Bagian II · Modul 3 dari 8 · Menengah
Pengendalian Internal COSO 2013: 5 Komponen, 17 Prinsip, Contoh
Kontrol internal bukan tumpukan SOP. Pahami kerangka COSO 2013, jenis kontrol, pemisahan tugas, dan cara menyusun matriks risiko-kontrol.
14 menit baca · Diperbarui · 7 referensi
Intinya
- –COSO 2013 punya 5 komponen (lingkungan pengendalian, penilaian risiko, aktivitas pengendalian, informasi dan komunikasi, pemantauan) yang dirinci menjadi 17 prinsip; semuanya harus hadir, berfungsi, dan bekerja bersama.
- –Kontrol bisa preventif atau detektif, manual atau otomatis. Kombinasi yang seimbang lebih kuat daripada menumpuk satu jenis.
- –Segregation of duties memisahkan otorisasi, pencatatan, penguasaan aset, dan reviu supaya satu orang tidak bisa berbuat curang sekaligus menutupinya.
- –Matriks risiko-kontrol (RCM) menghubungkan risiko, kontrol, dan cara mengujinya; pengujian dibagi menjadi uji desain dan uji efektivitas operasional.
- –Pengendalian internal hanya memberi keyakinan memadai: kolusi dan pengabaian kontrol oleh manajemen tetap bisa menembusnya.
Di warung kopi kekinian, kasir menerima uang, barista membuat minuman, dan pemilik mencocokkan laporan kasir dengan uang di laci tiap malam. Kenapa tidak satu orang saja yang pegang semuanya? Karena kalau kasir juga yang menghitung laci dan membuat laporan, selisih Rp50 ribu per hari bisa “hilang” tanpa ada yang tahu. Dalam setahun itu sudah lebih dari Rp18 juta.
Pengaturan sederhana seperti itu namanya pengendalian internal. Kerangka yang paling banyak dipakai di dunia untuk merancang dan menilainya adalah COSO Internal Control – Integrated Framework versi 2013 [1]. Auditor internal memakai kerangka ini hampir setiap hari, jadi wajib paham. Di modul ini kamu akan belajar asal-usul COSO, kelima komponen dan ketujuh belas prinsipnya, jenis kontrol, pemisahan tugas, cara menyusun dan menguji matriks risiko-kontrol, sampai cara menilai seberapa serius sebuah kelemahan.
Apa itu COSO dan dari mana asalnya
COSO (Committee of Sponsoring Organizations of the Treadway Commission) adalah gabungan lima asosiasi profesi di Amerika Serikat: asosiasi akademisi akuntansi (AAA), asosiasi akuntan publik (AICPA), asosiasi eksekutif keuangan (FEI), asosiasi auditor internal (IIA), dan asosiasi akuntan manajemen (IMA). Namanya diambil dari Treadway Commission, komisi nasional di AS pada pertengahan 1980-an yang mempelajari penyebab kecurangan pelaporan keuangan dan merekomendasikan kerangka pengendalian yang seragam.
Kerangka pengendalian internal pertamanya terbit 1992, lalu diperbarui pada 2013 dengan menambahkan 17 prinsip yang membuat penilaian kontrol lebih terstruktur [1]. Pembaruan ini juga merespons perubahan besar sejak 1992: bisnis makin bergantung pada teknologi, rantai pasok makin global, dan ekspektasi soal pencegahan fraud makin tinggi. Riset tentang adopsi COSO 2013 di pasar modal AS menelaah apakah peralihan ke kerangka baru ini memperbaiki lingkungan informasi bagi investor [2].
COSO mendefinisikan pengendalian internal sebagai proses yang dijalankan dewan, manajemen, dan personel lain untuk memberi keyakinan memadai (bukan mutlak) atas tercapainya tujuan dalam tiga kategori: operasional (efektivitas dan efisiensi), pelaporan (keuangan dan nonkeuangan, internal dan eksternal), serta kepatuhan terhadap hukum dan regulasi. Kata “memadai” penting: kontrol tidak pernah menjamin 100% bebas masalah.
Kerangka ini sering digambarkan sebagai kubus: sisi atas berisi tiga kategori tujuan, sisi depan berisi lima komponen, dan sisi samping berisi struktur organisasi (entitas, divisi, unit operasi, fungsi). Artinya, kelima komponen berlaku untuk setiap kategori tujuan dan di setiap tingkat organisasi. Contoh: penilaian risiko berlaku untuk tujuan kepatuhan di level cabang, sama seperti untuk tujuan pelaporan di level grup.
Kenapa ini penting buat kamu, bahkan kalau kamu bukan auditor? Karena hampir semua pekerjaan kantor menjalankan kontrol. Staf HR yang mengecek dokumen karyawan baru, staf gudang yang menghitung stok, admin yang mencocokkan invoice dengan PO, semuanya adalah pelaksana kontrol. Kalau kamu paham alasan di balik tiap kontrol, kamu tidak akan menganggapnya sekadar formalitas, dan kamu bisa mengusulkan cara yang lebih efisien tanpa membuka celah risiko.
Lima komponen dan 17 prinsip, versi ringkas
Gambar 1. Lima komponen COSO
| Komponen | Prinsip | Intinya |
|---|---|---|
| Lingkungan pengendalian | 1–5 | Komitmen integritas dan etika, pengawasan independen oleh dewan, struktur dan wewenang yang jelas, komitmen pada kompetensi, akuntabilitas individu |
| Penilaian risiko | 6–9 | Tujuan yang jelas, identifikasi dan analisis risiko, mempertimbangkan potensi fraud, mengenali perubahan signifikan |
| Aktivitas pengendalian | 10–12 | Memilih dan mengembangkan kontrol, kontrol umum atas teknologi, menjalankan kontrol lewat kebijakan dan prosedur |
| Informasi dan komunikasi | 13–15 | Memakai informasi yang relevan dan berkualitas, komunikasi internal, komunikasi eksternal |
| Pemantauan | 16–17 | Evaluasi berkelanjutan dan/atau terpisah, mengevaluasi dan mengomunikasikan kelemahan |
Lingkungan pengendalian sering disebut tone at the top. Riset tentang tata kelola internal di jajaran eksekutif menelaah kaitannya dengan kelemahan material pengendalian internal [3]. Artinya, kontrol yang bagus di atas kertas bisa runtuh kalau pimpinan memberi contoh buruk. Studi di perusahaan tercatat Tiongkok juga menelaah apakah direktur keuangan (CFO) yang pernah menjadi auditor berkaitan dengan kualitas pengendalian internal yang lebih baik [6], yang menunjukkan bahwa kompetensi orang di posisi kunci ikut menentukan kuat-lemahnya kontrol.
Membedah 17 prinsip dengan contoh sehari-hari
Tabel ringkas di atas mudah dihafal, tapi saat mengaudit kamu perlu tahu wujud tiap prinsip di lapangan. Berikut parafrase tiap prinsip beserta contoh bukti yang biasa dicari auditor di perusahaan Indonesia.
| No. | Prinsip (parafrase) | Contoh bukti di lapangan |
|---|---|---|
| 1 | Organisasi menunjukkan komitmen pada integritas dan nilai etika | Kode etik, pernyataan tahunan bebas konflik kepentingan, saluran whistleblowing |
| 2 | Dewan independen dari manajemen dan mengawasi pengendalian internal | Notulen rapat komite audit yang membahas temuan audit |
| 3 | Manajemen menetapkan struktur, jalur pelaporan, wewenang, dan tanggung jawab | Struktur organisasi dan matriks batas wewenang |
| 4 | Organisasi berkomitmen menarik, mengembangkan, dan mempertahankan orang yang kompeten | Uraian jabatan, rencana pelatihan, penilaian kinerja |
| 5 | Individu dimintai pertanggungjawaban atas peran pengendaliannya | KPI yang memuat kepatuhan kontrol, sanksi atas pelanggaran |
| 6 | Tujuan ditetapkan cukup jelas sehingga risikonya bisa dikenali | Target tahunan yang terukur per unit |
| 7 | Risiko diidentifikasi dan dianalisis untuk menentukan cara mengelolanya | Register risiko dengan skor dan rencana mitigasi |
| 8 | Potensi fraud dipertimbangkan saat menilai risiko | Penilaian risiko fraud per proses |
| 9 | Perubahan signifikan dikenali dan dinilai dampaknya | Analisis risiko sebelum migrasi ERP atau akuisisi |
| 10 | Aktivitas pengendalian dipilih dan dikembangkan untuk menekan risiko | Matriks risiko-kontrol (RCM) |
| 11 | Kontrol umum atas teknologi dipilih dan dikembangkan | Prosedur manajemen akses dan perubahan program |
| 12 | Kontrol dijalankan lewat kebijakan dan prosedur | SOP yang menjelaskan siapa, kapan, dan bukti apa |
| 13 | Informasi yang relevan dan berkualitas diperoleh dan dipakai | Laporan sistem yang datanya sudah direkonsiliasi |
| 14 | Informasi tentang pengendalian dikomunikasikan secara internal | Sosialisasi kebijakan, saluran pelaporan ke atasan |
| 15 | Komunikasi dengan pihak luar berjalan untuk hal yang memengaruhi pengendalian | Mekanisme pengaduan pelanggan, komunikasi dengan regulator |
| 16 | Evaluasi berkelanjutan dan/atau terpisah dilakukan | Self-assessment unit, audit internal, pemantauan dashboard |
| 17 | Kelemahan dievaluasi dan dikomunikasikan tepat waktu ke pihak yang bertanggung jawab | Laporan temuan dan pemantauan tindak lanjut |
Gambar 2. Segitiga fraud
Jenis-jenis kontrol
Gambar 3. Dua sumbu jenis kontrol
Otomatisasi →
| Jenis | Tujuan | Contoh |
|---|---|---|
| Preventif manual | Mencegah sebelum terjadi | Manajer menandatangani PO di atas Rp25 juta |
| Preventif otomatis | Mencegah lewat sistem | Sistem menolak invoice tanpa nomor PO yang valid |
| Detektif manual | Menemukan setelah terjadi | Rekonsiliasi bank bulanan oleh staf yang bukan kasir |
| Detektif otomatis | Menemukan lewat sistem | Laporan harian transaksi di atas limit dikirim ke email kepala keuangan |
- Kontrol kunci (key control): kontrol yang kalau gagal, risiko besar langsung lolos. Ini yang diprioritaskan untuk diuji.
- Kontrol kompensasi: kontrol tambahan ketika kontrol utama tidak bisa diterapkan, misalnya reviu detail oleh pemilik usaha di toko yang karyawannya hanya dua orang.
- IT general control (ITGC): kontrol atas akses, perubahan program, dan operasi sistem. Kalau ITGC lemah, kontrol otomatis ikut diragukan.
- Kontrol tingkat entitas: kontrol yang berlaku untuk seluruh organisasi, seperti kode etik, whistleblowing, dan reviu kinerja oleh direksi. Bentuknya lebih umum, tapi pengaruhnya besar ke semua proses.
Segregation of duties: pemisahan tugas
Prinsip dasarnya: pisahkan empat fungsi ini supaya satu orang tidak bisa melakukan kecurangan sekaligus menutupinya: otorisasi (menyetujui), pencatatan (input ke sistem), penguasaan aset (pegang uang/barang), dan rekonsiliasi/reviu (mencocokkan).
| Kombinasi berbahaya | Risiko | Perbaikan |
|---|---|---|
| Buat vendor baru + approve pembayaran | Vendor fiktif dibayar | Master vendor dikelola tim terpisah dari pembayaran |
| Input karyawan baru + proses payroll | Karyawan fiktif (ghost employee) | HR input data, payroll hanya memproses |
| Terima kas + catat piutang | Lapping (menutup piutang dengan setoran pelanggan lain) | Kasir terpisah dari staf AR |
| Admin sistem + user transaksi | Mengubah data tanpa jejak | Akses admin terpisah dan log direviu |
Di perusahaan yang sudah memakai ERP, konflik pemisahan tugas biasanya dicek lewat matriks peran sistem: daftar hak akses tiap pengguna dibandingkan dengan daftar kombinasi akses yang dilarang. Contoh: dari 320 pengguna, 14 punya akses membuat vendor sekaligus memproses pembayaran. Itu 4,4% pengguna yang perlu ditinjau ulang aksesnya.
Cara menyusun matriks risiko-kontrol (RCM)
RCM (Risk and Control Matrix) adalah tabel yang menghubungkan proses, risiko, kontrol, dan cara pengujian. Riset menunjukkan bahwa auditor yang membuat flowchart proses sendiri cenderung lebih memahami alur transaksi dan lebih baik dalam mengevaluasi kontrol [4], jadi gambar alurnya dulu sebelum mengisi RCM.
Langkah menyusun RCM
- 1
Petakan proses
Buat flowchart dari awal sampai akhir, misalnya purchase-to-pay: permintaan, PO, penerimaan barang, invoice, pembayaran.
- 2
Identifikasi risiko per langkah
Tanya: apa yang bisa salah di sini? Contoh: barang diterima tidak sesuai PO.
- 3
Catat kontrol yang ada
Siapa melakukan apa, kapan, dengan bukti apa. Tandai preventif/detektif dan manual/otomatis.
- 4
Nilai desain
Apakah kontrol itu, kalau berjalan, cukup untuk mengatasi risikonya?
- 5
Rancang pengujian
Tentukan populasi, jumlah sampel, dan bukti yang dicek untuk menilai apakah kontrol benar-benar berjalan.
| Risiko | Kontrol | Jenis | Frekuensi | Uji |
|---|---|---|---|---|
| Pembelian tanpa otorisasi | PO di atas Rp25 juta wajib approval manajer di sistem | Preventif, otomatis | Per transaksi | Cek konfigurasi limit + uji 25 PO |
| Pembayaran ganda | Sistem memblokir nomor invoice yang sama per vendor | Preventif, otomatis | Per transaksi | Coba input duplikat di sistem uji + analitik data |
| Barang diterima tidak sesuai | Three-way match PO, GRN, invoice | Preventif, otomatis | Per transaksi | Reviu pengecualian match bulan terpilih |
| Vendor fiktif | Reviu bulanan perubahan master vendor oleh kepala keuangan | Detektif, manual | Bulanan | Cek bukti reviu 3 bulan sampel |
Studi kasus
Studi kasus: CV Maju Bangun Sejahtera
CV Maju Bangun Sejahtera (fiktif), distributor bahan bangunan dengan omzet Rp60 miliar per tahun, punya satu staf keuangan senior yang bisa membuat vendor baru, menginput invoice, dan melakukan transfer lewat internet banking. Audit internal menyusun RCM untuk proses pembayaran dan menemukan tiga vendor dengan nomor rekening yang sama dengan rekening keluarga staf tersebut, dengan total pembayaran Rp1,1 miliar dalam dua tahun. Perbaikan yang disepakati: master vendor dipindah ke bagian pembelian, transfer memakai dual approval di internet banking, dan pemilik menerima laporan mutasi rekening langsung dari bank setiap minggu.
Menguji kontrol: uji desain dan uji efektivitas
Setelah RCM jadi, auditor menguji dua hal. Uji desain menjawab: kalau kontrol ini berjalan sesuai rancangan, apakah risikonya tertangani? Uji efektivitas operasional menjawab: apakah kontrol itu benar-benar berjalan secara konsisten sepanjang periode? Kontrol yang desainnya salah tidak perlu diuji efektivitasnya, karena hasilnya pasti tidak memadai.
Gambar 4. Alur pengujian kontrol
- 1Walkthrough
- 2Uji desain
- 3Pilih sampel
- 4Uji efektivitas
- 5Simpulkan
| Teknik | Cara | Kekuatan bukti |
|---|---|---|
| Tanya jawab (inquiry) | Bertanya ke pelaksana kontrol | Lemah kalau berdiri sendiri, perlu dikombinasikan |
| Observasi | Melihat langsung kontrol dijalankan | Sedang, hanya berlaku saat diamati |
| Inspeksi | Memeriksa dokumen atau bukti sistem | Kuat jika dokumennya asli dan lengkap |
| Pelaksanaan ulang (reperformance) | Auditor mengulang kontrol sendiri | Paling kuat |
Berapa sampel yang perlu diuji? COSO tidak mengatur angka pasti. Banyak tim audit memakai patokan berdasarkan frekuensi kontrol: makin sering kontrol dijalankan, makin banyak sampel yang diambil. Angka di grafik berikut adalah contoh patokan umum, bukan aturan baku; sesuaikan dengan metodologi tim dan tingkat risikonya.
Gambar 5. Contoh patokan jumlah sampel
Menilai seberapa serius sebuah kelemahan
Tidak semua kelemahan sama beratnya. Prinsip 17 COSO meminta kelemahan dievaluasi dan dikomunikasikan ke pihak yang tepat. COSO memakai istilah kekurangan (deficiency) untuk kelemahan pada komponen atau prinsip, dan kekurangan mayor (major deficiency) bila kelemahannya cukup berat sehingga sistem pengendalian tidak bisa dianggap efektif. Di konteks pelaporan keuangan perusahaan tercatat di AS, dikenal juga istilah significant deficiency dan material weakness.
Contoh hitungan: dari tingkat deviasi ke perkiraan dampak
Misalkan populasi pembayaran vendor setahun ada 4.800 transaksi dengan total Rp36 miliar. Auditor menguji 40 sampel dan menemukan 2 pembayaran tanpa approval yang sah. Tingkat deviasinya 2 ÷ 40 = 5%. Kalau tim menetapkan toleransi 0 deviasi untuk kontrol kunci, kontrol ini dinyatakan tidak efektif. Untuk memberi gambaran besarnya eksposur, auditor bisa memakai perkiraan kasar: 5% × Rp36 miliar = Rp1,8 miliar nilai transaksi yang berpotensi tidak terotorisasi. Ini bukan kerugian pasti, tapi cukup untuk menunjukkan bahwa masalahnya tidak sepele.
| Tingkat | Ciri | Contoh | Dilaporkan ke |
|---|---|---|---|
| Rendah | Kontrol berjalan, ada penyimpangan kecil administratif | Satu formulir tanpa tanggal | Manajer unit |
| Sedang | Kontrol tidak konsisten, eksposur terbatas | Rekonsiliasi kas kecil terlambat dua bulan | Direktur terkait |
| Tinggi | Kontrol kunci tidak efektif, eksposur besar | Deviasi 5% pada approval pembayaran senilai Rp36 miliar | Direksi dan komite audit |
| Kritis | Satu komponen atau prinsip tidak hadir atau tidak berfungsi | Tidak ada reviu master vendor sama sekali selama setahun | Komite audit segera |
Variasi penerapan: UMKM, perusahaan tercatat, bank, dan pemerintah
COSO bisa dipakai organisasi apa pun, tapi intensitasnya berbeda. Di Indonesia, kerangka serupa juga dipakai di sektor publik: Sistem Pengendalian Intern Pemerintah (SPIP) yang diatur lewat peraturan pemerintah memakai lima unsur yang sejalan dengan komponen COSO, yaitu lingkungan pengendalian, penilaian risiko, kegiatan pengendalian, informasi dan komunikasi, serta pemantauan.
| Organisasi | Penekanan utama | Contoh kontrol khas |
|---|---|---|
| UMKM | Kontrol kompensasi oleh pemilik | Pemilik cek mutasi rekening tiap minggu, stok opname mendadak |
| Startup | Kontrol otomatis yang ikut tumbuh bersama sistem | Limit transaksi di aplikasi, log akses, alert transaksi anomali |
| Perusahaan tercatat | Kontrol atas pelaporan keuangan dan pengungkapan | Rekonsiliasi akun bulanan, reviu jurnal manual, komite audit aktif |
| Bank | Kontrol risiko operasional dan kepatuhan yang diatur regulator | Dual control di teller, maker-checker di sistem, rekonsiliasi harian |
| Instansi pemerintah | Akuntabilitas anggaran sesuai SPIP | Verifikasi SPJ, pemisahan pejabat pembuat komitmen dan bendahara |
Di sektor keuangan, kualitas pengendalian internal juga dikaitkan dengan kinerja. Studi tentang bank menelaah apakah kualitas pengendalian internal atas pelaporan keuangan memengaruhi efisiensi operasional bank [7]. Pesannya buat kamu: kontrol yang baik tidak selalu berarti lambat dan mahal; kontrol yang dirancang tepat justru bisa membuat proses lebih rapi dan efisien.
Strategi: kontrol yang pas, bukan kontrol yang banyak
- Mulai dari risiko, bukan dari SOP. Kontrol yang tidak menjawab risiko apa pun hanya menambah birokrasi.
- Hitung biaya kontrol. Approval berlapis untuk pembelian Rp200 ribu bisa lebih mahal daripada risikonya.
- Utamakan otomatisasi untuk transaksi bervolume tinggi, tapi pastikan ITGC-nya kuat.
- Kesalahan umum: menulis “kontrol: SOP sudah ada” tanpa menjelaskan siapa melakukan apa; menguji kontrol yang tidak kunci; mengabaikan budaya. Studi kasus audit pengendalian internal juga menunjukkan bahwa dampak audit bergantung pada kualitas proses dan hubungan dengan auditee, bukan hanya jumlah temuan [5].
- Kesalahan lain: menyamakan “ada tanda tangan” dengan “ada reviu”. Tanyakan apa yang sebenarnya dicek oleh penandatangan, dan minta bukti koreksi yang pernah ia lakukan.
Contoh hitungan sederhana untuk presentasi: perusahaan melakukan 1.200 transfer per tahun. Dual approval menambah 5 menit per transfer, jadi total 6.000 menit atau 100 jam setahun. Kalau biaya per jam manajer sekitar Rp150 ribu, biaya kontrolnya sekitar Rp15 juta per tahun. Bandingkan dengan kasus CV Maju Bangun Sejahtera yang kebobolan Rp1,1 miliar. Perbandingan seperti ini biasanya cukup untuk mendapatkan persetujuan.
Latihan hitung
Biaya kontrol dual approval vs kerugian yang dicegah
Kamu sedang menyiapkan argumen untuk direksi. Masukkan volume transfer, tambahan waktu per transfer, dan biaya per jam manajer. Angka awal mengikuti contoh di atas dan kasus CV Maju Bangun Sejahtera.
Hasil
- Tambahan waktu per tahun
- 100
- Biaya kontrol per tahun
- Rp15.000.000
- Kerugian dicegah ÷ biaya kontrol
- 73,3
Potensi kerugian jauh di atas biaya kontrol, minimal sepuluh kali lipat. Argumen seperti ini biasanya langsung disetujui direksi.
Latihan mandiri dan checklist
Latihan mengelompokkan
Preventif atau detektif, manual atau otomatis?
Tiap kontrol di bawah diambil dari proses yang sering diaudit. Tentukan jenisnya. Pertanyaan kuncinya: kontrol ini menghentikan masalah sebelum terjadi, atau menemukannya setelah terjadi? Dan siapa yang menjalankan, orang atau sistem?
- 1.
Manajer HR memeriksa dan menandatangani formulir lembur sebelum lembur boleh dikerjakan.
- 2.
ERP menolak invoice yang nomornya sudah pernah diinput untuk vendor yang sama.
- 3.
Staf keuangan yang bukan kasir mencocokkan rekening koran dengan buku kas setiap akhir bulan.
- 4.
Sistem mengirim email harian ke kepala keuangan berisi daftar transaksi di atas limit.
- 5.
Aplikasi kasir tidak mau memproses diskon di atas 20% sebelum supervisor memasukkan PIN.
- 6.
Supervisor gudang melakukan stok opname mendadak dan membandingkan hasilnya dengan catatan sistem.
- 7.
Kepala pengadaan wajib memeriksa tiga penawaran harga sebelum menyetujui vendor untuk pembelian di atas Rp25 juta.
- 8.
Aplikasi payroll otomatis menandai karyawan dengan nomor rekening yang sama dalam laporan bulanan ke HR.
Latihan hitung
Dari hasil uji sampel ke kesimpulan kontrol
Kamu baru selesai menguji kontrol approval pembayaran vendor. Masukkan jumlah sampel, deviasi yang ditemukan, dan nilai populasi. Angka awal sama dengan contoh di bab menilai kelemahan.
Hasil
- Tingkat deviasi
- 5%
- Perkiraan kasar eksposur
- Rp1.800.000.000
Tingkat deviasi melewati toleransi dan eksposurnya di atas Rp1 miliar. Kontrol dinyatakan tidak efektif dan temuannya layak dilaporkan ke direksi dan komite audit. Ingat, ini eksposur, bukan kerugian pasti.
Tugas lanjutan: susun RCM mini untuk proses penggajian
- 1
Gambar alurnya
Mulai dari data karyawan baru masuk, absensi, perhitungan gaji, approval, sampai transfer ke rekening.
- 2
Tulis tiga risiko
Contoh: karyawan fiktif, lembur tidak sah, gaji ditransfer ke rekening yang salah.
- 3
Pasangkan kontrol
Untuk tiap risiko, tulis satu kontrol preventif dan satu detektif, lengkap dengan pelaksana dan frekuensinya.
- 4
Petakan ke COSO
Tandai kontrol itu masuk komponen dan prinsip mana, misalnya prinsip 10 atau 11.
- 5
Rancang uji
Tentukan teknik pengumpulan bukti dan jumlah sampel berdasarkan frekuensi kontrol.
- Saya bisa menyebut lima komponen COSO dan jumlah prinsip di tiap komponen.
- Saya tahu beda kontrol preventif dan detektif, manual dan otomatis.
- Saya bisa mengenali minimal tiga kombinasi tugas yang melanggar segregation of duties.
- Saya bisa membedakan uji desain dan uji efektivitas operasional.
- Saya bisa menghitung tingkat deviasi dan menjelaskan dampaknya dengan angka.
Cek pemahaman
Seorang staf HR bisa menambahkan karyawan baru di sistem dan juga menjalankan proses payroll bulanan. Kontrol apa yang paling tepat untuk mengatasi risikonya?
Referensi
Artikel jurnal internasional bereputasi (Q1–Q2) terbitan 2022 ke atas, standar profesi, dan peraturan perundang-undangan resmi.
- 1.Committee of Sponsoring Organizations of the Treadway Commission (COSO) (2013). Internal Control – Integrated Framework. COSO. www.coso.org/internal-controlStandar
- 2.Gupta, P. P., Sami, H., Zhang, J. H., & Zhou, H. (2025). Does the 2013 COSO internal control framework improve the information environment in the U.S. capital markets? Managerial Auditing Journal, 40(4), 357–383. doi.org/10.1108/maj-11-2023-4118Q2
- 3.Dao, M., Pham, T., & Xu, H. (2023). Internal governance and internal control material weaknesses. Corporate Governance: An International Review, 32(3), 474–499. doi.org/10.1111/corg.12548Q1
- 4.Perols, R. R., & Perols, J. L. (2024). The impact of auditors creating flowcharts on auditors’ understanding of the flow of transactions and internal control evaluation. Managerial Auditing Journal, 39(7), 779–798. doi.org/10.1108/maj-10-2023-4094Q2
- 5.Christensen, L. (2022). Internal audit: A case study of impact and quality of an internal control audit. International Journal of Auditing, 26(3), 339–353. doi.org/10.1111/ijau.12280Q2
- 6.Zhao, X., Huang, Y., & Yu, Y. (2026). CFOs with prior audit experience and internal control quality. Managerial Auditing Journal, 41(4), 664–690. doi.org/10.1108/maj-09-2024-4493Q2
- 7.Lai, S.-M., & Liu, C.-L. (2026). Does internal control matter to banks’ operational efficiency? Managerial Auditing Journal, 41(5), 773–813. doi.org/10.1108/maj-05-2024-4326Q2
Masih di bagian Audit Internal
14 menit bacaII.2Three Lines Model IIA: Pengertian, Peran, dan Contoh di IndonesiaSiapa yang ambil risiko, siapa yang mengawasi, siapa yang memberi keyakinan? Three Lines Model menjawabnya tanpa bikin semua orang saling lempar tanggung jawab.Pembuka · 14 menitPembuka
14 menit bacaII.4Audit Berbasis Risiko: Cara Menyusun Rencana Audit TahunanWaktu auditor terbatas, risiko tidak. Pelajari cara memilih apa yang diaudit lewat audit universe, skor risiko, dan rencana tahunan.Menengah · 14 menitMenengah
14 menit baca