Audit SDM: Cara Audit Payroll, Rekrutmen, dan Data Karyawan

Di banyak perusahaan, biaya karyawan (gaji, tunjangan, lembur, BPJS, bonus) bisa menjadi salah satu pos biaya terbesar. Anehnya, payroll sering dianggap “rutin” sehingga jarang diaudit mendalam. Padahal satu karyawan fiktif bergaji Rp6 juta saja berarti kerugian sekitar Rp78 juta setahun termasuk THR, belum termasuk iuran yang ikut dibayarkan.

Modul ini membahas cara mengaudit fungsi SDM dari kacamata auditor internal: risiko di payroll dan lembur, pemisahan tugas dan akses sistem, rekrutmen, proses keluar karyawan, kepatuhan ketenagakerjaan, dan perlindungan data karyawan. Di akhir, ada contoh program audit dan latihan yang bisa kamu adaptasi.

Kenapa fungsi SDM perlu diaudit

Ada tiga alasan. Pertama, uang: payroll adalah arus kas keluar yang terjadi tiap bulan tanpa henti, jadi kesalahan kecil akan berulang dua belas kali setahun. Kedua, kepatuhan: pelanggaran aturan ketenagakerjaan bisa berujung sengketa hubungan industrial, sanksi, dan masalah reputasi. Ketiga, orang: proses HR yang tidak adil, misalnya rekrutmen titipan atau lembur yang dibagi pilih kasih, merusak kepercayaan karyawan jauh lebih lama daripada kerugian uangnya.

Perlu dibedakan juga: audit SDM oleh audit internal tidak sama dengan evaluasi kinerja tim HR. Yang dinilai adalah apakah risiko di proses HR dikelola dengan kontrol yang memadai dan berjalan. HR sebagai pemilik proses tetap bertanggung jawab merancang dan menjalankan kontrolnya, sementara auditor memberi keyakinan independen kepada direksi dan komite audit bahwa kontrol itu bekerja.

Buat kamu yang berlatar belakang HR, audit SDM adalah jalur karier yang menarik karena menggabungkan pemahaman proses HR dengan cara berpikir auditor. Buat kamu yang berlatar akuntansi, ini kesempatan memahami sisi “manusia” dari angka biaya.

Istilah kunci di audit SDM

Peta risiko proses HR

Kenapa area ini rawan? Karena sering ada konflik pemisahan tugas: staf HR yang sama memasukkan karyawan baru, mengubah gaji, dan menjalankan payroll. Dalam kerangka COSO, ini masuk ranah aktivitas pengendalian dan pemisahan tugas [2]. Penelitian tentang kontrol internal di UKM bahkan mempertanyakan apakah kontrol dibangun secara proaktif atau baru reaktif setelah fraud karyawan terjadi [3]. Riset lain menelaah bagaimana investasi sumber daya manusia pada fungsi kontrol internal dan TI berkaitan dengan efisiensi audit [4].

Pemisahan tugas dan akses HRIS

Prinsip dasarnya sederhana: satu orang tidak boleh bisa membuat karyawan, mengatur gajinya, dan mengirim uangnya sekaligus. Kalau bisa, ghost employee hanya butuh satu orang yang nekat. Auditor menguji ini dengan membandingkan daftar hak akses di HRIS dan sistem pembayaran dengan matriks pemisahan tugas.

Di perusahaan kecil, pemisahan sempurna sering tidak mungkin karena timnya cuma dua orang. Solusinya adalah kontrol kompensasi: misalnya pemilik atau direktur keuangan mereviu laporan perubahan data master tiap bulan dan membandingkan total payroll dengan bulan sebelumnya sebelum menyetujui transfer.

Audit payroll: ghost employee dan lembur

Ghost employee adalah nama di payroll yang tidak benar-benar bekerja: karyawan fiktif, karyawan yang sudah resign tapi masih dibayar, atau pekerja harian yang “digelembungkan”. Skema payroll termasuk salah satu bentuk penyalahgunaan aset dalam klasifikasi fraud ACFE [1].

Untuk lembur, auditor menguji dua hal: kewajaran (lembur memang terjadi dan disetujui) dan kepatuhan. Sejak berlakunya UU Cipta Kerja dan PP 35/2021, batas lembur adalah paling lama 4 jam per hari dan 18 jam per minggu, dengan dasar perhitungan upah sejam sebesar 1/173 upah sebulan. Upah lembur pada hari kerja biasa dihitung 1,5 kali upah sejam untuk jam pertama dan 2 kali untuk jam berikutnya.

Contoh hitungan: lembur dan biaya ghost employee

Auditor harus bisa menghitung ulang sendiri, bukan sekadar percaya angka sistem. Dua contoh di bawah memakai angka bulat supaya mudah diikuti. Dasar upah lembur secara umum memakai upah pokok ditambah tunjangan tetap; PP 35/2021 juga mengatur cara hitung bila komponen tetapnya kecil dibanding total upah, jadi cek struktur upah perusahaan sebelum menghitung.

Angka 10,24% pada contoh 2 adalah perkiraan gabungan iuran pemberi kerja untuk BPJS Kesehatan, JHT, JP, JKM, dan JKK dengan tingkat risiko terendah. Tarif JKK berbeda per tingkat risiko pekerjaan dan beberapa iuran punya batas atas upah, jadi selalu pakai tarif yang berlaku saat audit. Kalau perusahaanmu punya 10 ghost employee seperti ini selama tiga tahun, kerugiannya sudah mendekati Rp2,6 miliar. Angka seperti inilah yang membuat manajemen mau mendengar.

Audit rekrutmen

• Kepatuhan proses: apakah setiap rekrutmen punya permintaan yang disetujui dan sesuai anggaran headcount?
• Konflik kepentingan: apakah pewawancara mendeklarasikan hubungan keluarga dengan kandidat? Bandingkan alamat, nama keluarga, dan nomor kontak darurat.
• Verifikasi latar belakang: apakah ijazah, sertifikat, dan referensi benar-benar dicek, terutama untuk posisi kunci?
• Konsistensi penilaian: apakah kandidat yang diterima punya skor tertinggi? Kalau tidak, apakah alasannya terdokumentasi?
• Alat seleksi berbasis algoritma: jika memakai AI untuk menyaring CV, apakah ada pengujian bias dan dokumentasi logikanya? Kajian tentang bias algoritma di sistem HRM berbasis AI menekankan perlunya tata kelola yang jelas [6].

Untuk konflik kepentingan, tes berbasis data biasanya lebih kuat daripada sekadar mengecek formulir deklarasi. Ambil data karyawan baru setahun terakhir, lalu cocokkan alamat, nama gadis ibu kandung bila tersedia, nomor kontak darurat, dan nama belakang dengan data pewawancara, user yang meminta, serta pejabat yang menyetujui. Kecocokan bukan otomatis pelanggaran, karena kerabat boleh saja bekerja di perusahaan yang sama asalkan sesuai kebijakan. Yang menjadi temuan adalah hubungan yang tidak dideklarasikan, atau kerabat yang ikut menilai dan menyetujui kandidat. Ingat juga bahwa data yang kamu cocokkan adalah data pribadi, jadi pakai seperlunya dan simpan hasilnya secara terbatas.

Satu catatan penting: auditor tidak menilai apakah kandidat yang dipilih adalah yang terbaik. Itu wewenang manajemen. Yang diuji adalah apakah prosesnya adil, terdokumentasi, sesuai kebijakan, dan bebas dari konflik kepentingan. Kalau user memilih kandidat skor kedua dengan alasan tertulis yang masuk akal, itu bukan temuan.

Audit proses exit dan PHK

Proses keluar karyawan sering lebih berantakan daripada proses masuk. Risikonya dua arah: perusahaan bisa rugi (gaji tetap dibayar, aset tidak kembali, akses sistem masih aktif) atau justru melanggar hak karyawan (pesangon dan hak lain tidak dibayar sesuai ketentuan). PP 35/2021 mengatur komponen hak akibat PHK seperti uang pesangon, uang penghargaan masa kerja, dan uang penggantian hak, yang besarnya bergantung pada alasan PHK dan masa kerja.

Kepatuhan ketenagakerjaan dan UU PDP

Contoh: menguji kontrak PKWT

PKWT adalah area kepatuhan yang paling sering bermasalah, terutama di perusahaan dengan banyak karyawan kontrak. Secara umum, PP 35/2021 membatasi PKWT untuk pekerjaan yang sifatnya sementara atau selesai dalam waktu tertentu, mengatur batas total jangka waktunya, dan mewajibkan uang kompensasi saat PKWT berakhir. Auditor bisa mengambil sampel kontrak lalu mengujinya dengan daftar berikut.

UU Pelindungan Data Pribadi (UU PDP) Nomor 27 Tahun 2022 berlaku penuh setelah masa transisi dua tahun, yaitu sejak Oktober 2024. Data HR penuh dengan data pribadi: KTP, KK, rekening, NPWP, alamat, dan sebagian termasuk data pribadi yang bersifat spesifik seperti data kesehatan, biometrik (sidik jari absensi), dan catatan kejahatan. Perusahaan sebagai pengendali data wajib menjaga keamanannya dan memberi tahu subjek data serta lembaga pengawas bila terjadi kegagalan pelindungan dalam batas waktu yang ditentukan undang-undang.

Seiring HR makin banyak memakai sistem algoritmik, risiko privasi dan keadilan ikut bertambah. Kajian tentang HRM algoritmik menyoroti bagaimana teknologi ini mengubah cara keputusan HR diambil [5], sehingga auditor perlu menguji tidak hanya data, tapi juga logika sistemnya.

Hati-hati juga saat merekomendasikan “pengawasan lebih ketat”. Riset tentang pemantauan elektronik terhadap karyawan menemukan bahwa praktik ini bisa menggerus kepercayaan yang dibangun oleh pemimpin yang etis [7]. Jadi, kalau rekomendasimu berupa pemantauan tambahan (CCTV, pelacakan lokasi, rekaman layar), pastikan tujuannya jelas, proporsional terhadap risikonya, punya dasar pemrosesan yang sah menurut UU PDP, dan dikomunikasikan terbuka ke karyawan.

• Siapa saja yang punya akses ke data gaji dan data kesehatan? Apakah sesuai kebutuhan kerja?
• Apakah ada inventaris data pribadi karyawan (apa, di mana, untuk apa, berapa lama disimpan)?
• Apakah file KTP, slip gaji, atau hasil medical check-up tersimpan di folder bersama atau grup chat?
• Apakah ada prosedur penanganan insiden kebocoran data, dan pernahkah diuji?
• Apakah vendor payroll atau HRIS terikat perjanjian pemrosesan data?

Contoh program audit payroll

Variasi penerapan dan strategi kerja sama

• Kesalahan umum 1: menyimpan ekspor data gaji di laptop pribadi atau email. Auditor juga wajib patuh UU PDP.
• Kesalahan umum 2: melaporkan semua pengecualian analitik sebagai temuan. Telusuri dulu; rekening bersama suami-istri, misalnya, bisa sah.
• Kesalahan umum 3: hanya menguji payroll tapi lupa data master. Masalah payroll hampir selalu berawal dari data master.

Latihan mandiri dan checklist

• Headcount payroll, HRIS, dan BPJS sudah direkonsiliasi dan selisihnya dijelaskan.
• Tidak ada pengguna yang bisa mengubah data master sekaligus merilis pembayaran tanpa kontrol kompensasi.
• Lembur diuji terhadap absensi dan batas regulasi.
• Proses exit menutup akses, menarik aset, dan menghentikan gaji tepat waktu.
• Data pribadi karyawan punya inventaris, pembatasan akses, dan kebijakan retensi.