Data Analytics Audit Internal: Benford, Continuous Audit, dan AI

Bayangin kamu admin toko online dengan 50 ribu transaksi setahun. Kalau bos minta cek apakah ada pembayaran ke supplier yang dobel, kamu bisa ambil 40 transaksi secara acak dan berharap ketemu. Atau, kamu tarik semua data ke Excel, urutkan berdasarkan supplier, nominal, dan tanggal, lalu tandai yang kembar. Cara kedua butuh waktu 30 menit dan hasilnya jauh lebih meyakinkan.

Itulah inti data analytics dalam audit: memakai data dan alat bantu untuk menguji populasi secara utuh, menemukan pola aneh, dan mengarahkan perhatian auditor ke tempat yang tepat. Modul ini membahas tes-tes dasar beserta rumusnya, cara menguji kualitas data, process mining, continuous auditing, pilihan alat, dan bagaimana AI mulai mengubah pekerjaan auditor.

Kenapa analitik data mengubah audit

Sampling lahir di era kertas, ketika memeriksa semua dokumen tidak mungkin. Sekarang hampir semua transaksi tersimpan di sistem, sehingga uji 100% populasi menjadi realistis. Penelitian tentang full population testing pada data buku besar menunjukkan bagaimana pendekatan seperti multidimensional audit data sampling membantu auditor menguji seluruh populasi lalu memilih item yang benar-benar perlu ditindaklanjuti [1].

Tapi teknologi saja tidak cukup. Studi tentang penerapan audit analytics di fungsi audit internal mengidentifikasi faktor pendorong dan penghambat, mulai dari ketersediaan data, keterampilan tim, sampai dukungan pimpinan [2]. Riset lain menemukan bahwa penggunaan analitik data berkaitan dengan persepsi kualitas audit internal di mata pemangku kepentingan [4].

Buat kamu yang baru mulai, kabar baiknya: kemampuan analitik dasar bisa dipelajari tanpa gelar ilmu komputer. Kalau kamu sudah biasa pakai filter, pivot table, dan VLOOKUP atau XLOOKUP, kamu sudah punya 60% bekal. Sisanya adalah cara berpikir auditor: tahu pertanyaan apa yang harus dijawab data. Analitik juga tidak menggantikan pertimbangan profesional. Data hanya bisa memberi tahu “apa” dan “di mana”; untuk menjawab “kenapa”, kamu tetap perlu membaca dokumen, bertanya ke auditee, dan memahami prosesnya.

Istilah kunci analitik audit

Tes analitik yang paling sering dipakai

Benford's Law dalam praktik

Benford's Law menyatakan bahwa pada banyak kumpulan data alami (nilai invoice, saldo, populasi), angka pertama tidak tersebar merata. Angka 1 muncul sebagai digit pertama sekitar 30,1%, angka 2 sekitar 17,6%, dan terus menurun sampai angka 9 sekitar 4,6%. Rumusnya: P(d) = log10(1 + 1/d). Kalau data dimanipulasi oleh manusia, polanya sering menyimpang.

Contoh praktik: rumus dan hitungan

Teori jadi lebih masuk akal kalau langsung dicoba. Berikut tiga tes yang bisa kamu kerjakan di Excel. Pemisah argumen rumus bisa koma atau titik koma, tergantung pengaturan bahasa Excel-mu.

Membaca hasil Benford dengan angka

Misalkan ada 10.000 invoice pembelian. Menurut Benford, invoice berdigit awal 4 diharapkan sekitar 9,7% × 10.000 = 970 invoice. Ternyata yang muncul 1.420 invoice, atau sekitar 46% lebih banyak dari harapan. Kenapa? Setelah ditelusuri, batas approval manajer adalah Rp5 juta, sehingga banyak invoice bernilai Rp4,1 juta sampai Rp4,9 juta. Benford tidak membuktikan fraud, tapi menunjuk lokasi yang perlu digali: invoice tepat di bawah batas approval. Langkah selanjutnya adalah tes pemecahan transaksi untuk vendor-vendor di kelompok itu.

Untuk menilai seberapa jauh penyimpangan secara keseluruhan, praktisi biasanya memakai ukuran statistik seperti uji chi-square atau rata-rata selisih absolut antara persentase aktual dan harapan. Untuk tahap awal, membandingkan grafik aktual dengan grafik Benford dan menyelidiki digit yang paling menyimpang sudah cukup bermanfaat.

Menguji kelengkapan dan kualitas data

Kesalahan paling fatal dalam analitik audit adalah menyimpulkan “tidak ada pembayaran ganda” padahal datanya hanya berisi sebagian transaksi. Karena itu, sebelum menjalankan tes apa pun, auditor menguji apakah datanya lengkap, akurat, dan bisa dipercaya.

Catat hasil uji kualitas data ini di kertas kerja, termasuk siapa yang mengekstrak data, dari sistem mana, kapan, dan dengan query apa. Kalau ada selisih dengan buku besar, jelaskan dulu sebelum melanjutkan. Selisih kecil karena transaksi batal mungkin wajar; selisih besar tanpa penjelasan berarti datanya belum bisa dipakai.

Cara mengerjakan proyek analitik audit

Process mining: melihat alur yang sebenarnya

SOP bilang alurnya: permintaan, PO, penerimaan barang, invoice, pembayaran. Tapi apakah semua transaksi benar-benar lewat jalur itu? Process mining menjawabnya dengan membaca event log dari sistem, yaitu catatan setiap aktivitas yang punya tiga unsur: nomor kasus (misalnya nomor PO), nama aktivitas, dan waktu. Dari ribuan log, alat process mining menggambar peta alur yang benar-benar terjadi, lengkap dengan jalan pintas dan putarannya.

• PO dibuat setelah invoice (after-the-fact PO): barang sudah dipesan duluan, PO hanya formalitas.
• Pembayaran sebelum penerimaan barang: risiko membayar barang yang tidak pernah datang.
• Approval dilewati atau dilakukan orang yang sama dengan pembuat dokumen.
• Putaran berulang seperti PO diubah berkali-kali setelah disetujui, yang bisa jadi tanda negosiasi tidak wajar.

Contoh hasilnya kira-kira begini. Dari 12.400 PO dalam setahun, peta proses memperlihatkan 1.860 PO (15%) dibuat setelah invoice diterima, dan sebagian besar berasal dari dua departemen. Angka seperti ini jauh lebih kuat daripada kalimat “ditemukan beberapa PO yang terlambat”, karena langsung menunjukkan skala dan lokasi masalahnya.

Penerapannya butuh persiapan. Kajian terbaru mengusulkan kerangka bertahap untuk mengimplementasikan process mining dalam tugas audit, mulai dari menentukan tujuan, menyiapkan data, sampai menafsirkan hasilnya [7]. Untuk pemula, mulailah dari satu proses dengan data yang rapi, misalnya pengadaan, sebelum mencoba proses lain.

Continuous auditing dan continuous monitoring

Continuous auditing adalah menjalankan tes audit secara otomatis dan berkala (harian, mingguan, bulanan) atas data transaksi, lalu mengirim pengecualian ke auditor. Kalau yang menjalankan adalah manajemen (lini pertama atau kedua) sebagai bagian dari pengendalian, biasanya disebut continuous monitoring. Riset terbaru bahkan menjajaki pemanfaatan large language model untuk verifikasi silang informasi akuntansi secara hampir real-time [6].

Perhatikan bahwa beberapa aturan dijalankan sebelum uang keluar. Di sinilah nilai terbesarnya: masalah dicegah, bukan hanya ditemukan. Seiring waktu, aturan yang sudah stabil sebaiknya diserahkan ke manajemen sebagai continuous monitoring, sementara audit internal menguji apakah monitoring itu berjalan dan beralih membangun tes untuk area lain.

Pendekatan ini juga relevan untuk sektor publik. Studi kasus penerapan metodologi continuous audit dan monitoring pada pengadaan obat pemerintah menunjukkan bagaimana aturan analitik dirancang untuk proses pengadaan yang nyata [8]. Di Indonesia, banyak data pengadaan pemerintah sudah tercatat secara elektronik, sehingga peluang menerapkan pendekatan serupa oleh aparat pengawasan intern cukup terbuka.

Peran AI dalam audit dan risikonya

AI, termasuk AI generatif, mulai dipakai untuk merangkum dokumen kontrak, membaca ribuan notulen rapat, mengklasifikasi transaksi, dan membuat draf program audit. Tulisan tentang risiko dan peluang AI di akuntansi dan audit membahas dua sisi ini sekaligus [5]. Pegangan praktisnya: AI mempercepat kerja, tapi kesimpulan audit tetap tanggung jawab auditor. Ada juga isu explainability: auditor harus bisa menjelaskan mengapa model menandai suatu transaksi. Kajian tentang explainable AI (XAI) dalam audit membahas pentingnya hal ini [3].

Contoh pemakaian AI yang wajar dalam penugasan

Menjaga kerahasiaan dan jejak kerja data audit

Auditor yang mengakses data seluruh perusahaan memegang kepercayaan besar. Data payroll, data pelanggan, dan data vendor berisi data pribadi yang dilindungi UU PDP 27/2022. Kebocoran dari tangan auditor akan merusak kredibilitas fungsi audit sekaligus menimbulkan risiko hukum bagi perusahaan.

• Minta seperlunya. Kalau tes duplikat tidak butuh nama karyawan, jangan minta kolom nama.
• Samarkan bila bisa. Ganti NIK atau nomor rekening dengan kode, lalu buka identitas asli hanya untuk pengecualian yang ditelusuri.
• Simpan di tempat yang dikendalikan. Folder audit dengan akses terbatas, bukan laptop pribadi, flashdisk, atau email.
• Simpan skrip dan versinya. Skrip yang sama harus memberi hasil yang sama saat dijalankan ulang oleh pereviu.
• Reviu skrip seperti mereviu kertas kerja. Satu salah ketik di kondisi filter bisa membuang ratusan pengecualian yang sebenarnya penting.
• Hapus sesuai kebijakan retensi. Data mentah yang sudah tidak diperlukan jangan disimpan selamanya.

Strategi memulai dan meyakinkan manajemen

• Mulai kecil, menang cepat. Pilih satu tes dengan potensi uang kembali, misalnya duplikat pembayaran. Hasil rupiah adalah argumen terkuat untuk investasi berikutnya.
• Bangun hubungan dengan IT sejak awal. Akses data yang lancar lebih menentukan keberhasilan daripada pilihan software.
• Dokumentasikan skrip supaya bisa diulang, direviu, dan diwariskan ke auditor lain.
• Investasi di orang. Latih satu atau dua auditor menjadi champion analitik, lalu biarkan mereka mengajari yang lain.
• Kesalahan umum: langsung beli software mahal tanpa use case, mengabaikan uji kelengkapan data, atau melaporkan ratusan pengecualian mentah ke manajemen tanpa disaring.

Supaya program analitik bertahan, ukur hasilnya dengan bahasa yang dipahami manajemen. Beberapa ukuran yang mudah dikumpulkan: jumlah transaksi yang diuji dibanding tahun lalu, nilai uang yang berhasil ditagih kembali atau dicegah keluar, jumlah jam audit yang dihemat karena pengujian otomatis, dan persentase false positive yang terus turun. Dari contoh studi kasus di atas, 15 hari kerja satu auditor menghasilkan pengembalian Rp2,7 miliar. Perbandingan biaya dan manfaat seperti itu biasanya cukup untuk meminta anggaran pelatihan atau satu posisi analis data.

Satu catatan: jangan menjanjikan bahwa analitik akan selalu menemukan uang. Kadang hasil terbaiknya adalah keyakinan bahwa kontrol berjalan baik di seluruh populasi, bukan hanya di 40 sampel. Itu juga nilai yang layak dilaporkan, karena manajemen dan komite audit jadi punya dasar yang lebih kuat untuk percaya pada prosesnya.

Latihan mandiri dan checklist

• Pertanyaan risiko tertulis sebelum data diminta.
• Kelengkapan data sudah direkonsiliasi dengan sumber atau buku besar.
• Skrip atau rumus tersimpan, berversi, dan direviu orang lain.
• Pengecualian disaring dan ditelusuri ke dokumen sebelum disebut temuan.
• Data pribadi diminta seperlunya, disamarkan, dan disimpan di lokasi terkendali.
• Output AI diverifikasi ke sumber asli sebelum masuk kertas kerja.