Proses Audit Internal dan Cara Menulis Temuan Audit (5C)

Kamu baru tiga bulan jadi staf audit. Supervisor bilang, “Minggu depan kita audit proses klaim reimburse, kamu yang pegang pengujian.” Kamu buka folder, isinya data 4.300 klaim setahun. Mau mulai dari mana? Cek semuanya satu per satu? Pilih yang nominalnya besar saja? Lalu kalau ketemu masalah, nulisnya bagaimana supaya direksi mau baca dan bertindak?

Modul ini membahas alur kerja satu penugasan audit dari awal sampai akhir, sesuai domain pelaksanaan layanan dalam IIA Global Internal Audit Standards [1]. Fokusnya praktis: apa yang dikerjakan di tiap tahap, cara memilih sampel, cara menulis dan memeringkat temuan, sampai cara menjaga hubungan baik dengan pihak yang diaudit.

Kenapa alur ini perlu kamu kuasai sejak awal

Standar audit internal global yang diterbitkan IIA pada 2024 dan berlaku sejak Januari 2025 mengelompokkan pekerjaan penugasan ke dalam satu domain tersendiri, yaitu pelaksanaan layanan audit internal [1]. Isinya mencakup tiga prinsip besar: merencanakan penugasan secara efektif, melaksanakan pekerjaan penugasan, serta mengomunikasikan hasil dan memantau rencana aksi. Jadi, alur yang kamu pelajari di sini bukan sekadar kebiasaan kantor, tapi memang yang diharapkan standar profesi.

Gampangnya gini: auditor junior jarang diminta merancang strategi audit tahunan. Yang sehari-hari kamu kerjakan justru penugasan, yaitu menguji, mendokumentasikan, dan menulis temuan. Auditor yang rapi di tahap ini cepat dipercaya memegang area yang lebih besar. Sebaliknya, kertas kerja berantakan atau temuan yang lemah bisa membuat satu laporan dipertanyakan seluruhnya.

Istilah kunci yang akan sering kamu dengar

Siklus penugasan audit

Perencanaan sering dianggap formalitas, padahal di sinilah kualitas audit ditentukan. Ruang lingkup yang terlalu luas membuat tim kehabisan waktu, sedangkan ruang lingkup yang terlalu sempit membuat risiko besar terlewat. Patokan praktis: kalau tujuan penugasan tidak bisa ditulis dalam satu atau dua kalimat, berarti masih terlalu kabur.

Matriks risiko-kontrol: peta kerja auditor

RCM adalah jembatan antara pemahaman proses dan pengujian. Setiap baris menjawab empat pertanyaan: apa yang bisa salah, kontrol apa yang mencegah atau mendeteksinya, apakah kontrol itu dirancang dengan baik, dan bagaimana cara membuktikan kontrol itu benar-benar berjalan.

Bedakan dua jenis pengujian. Uji rancangan (design) menjawab “seandainya kontrol ini dijalankan, apakah cukup untuk menekan risikonya?”. Uji efektivitas operasi (operating effectiveness) menjawab “apakah kontrol ini benar-benar dijalankan secara konsisten sepanjang periode?”. Kalau rancangannya sudah lemah, tidak perlu menghabiskan waktu menguji pelaksanaannya; langsung jadikan temuan rancangan.

Kertas kerja dan fieldwork

Kertas kerja (working papers) adalah dokumentasi semua yang auditor lakukan: data yang diminta, pengujian, bukti, dan kesimpulan. Patokannya sederhana: auditor lain yang kompeten, tanpa bertanya padamu, harus bisa memahami apa yang kamu uji dan sampai ke kesimpulan yang sama.

Bukti tidak hanya datang dari dokumen. Penelitian tentang audit internal hibrida menyoroti bahwa mode komunikasi (tatap muka, panggilan video, atau tertulis) bisa memengaruhi kesediaan manajer berbagi pengetahuan dengan auditor [5]. Untuk wawancara penting, usahakan tatap muka atau video, bukan sekadar daftar pertanyaan lewat email.

Sampling: berapa banyak yang harus dicek?

Kalau tidak bisa menguji 100% populasi, auditor memakai sampel. Ada dua pendekatan: statistik (sampel acak dengan perhitungan tingkat keyakinan, hasilnya bisa diproyeksikan) dan nonstatistik/judgmental (dipilih berdasarkan pertimbangan, misalnya transaksi besar atau tidak biasa). Untuk uji kontrol, praktik yang lazim adalah menyesuaikan jumlah sampel dengan frekuensi kontrol.

Contoh hitungan: membaca hasil sampel

Dari 40 sampel klaim, 3 disetujui pemohon sendiri. Tingkat penyimpangan sampel = 3 ÷ 40 = 7,5%. Kalau fungsi audit menetapkan toleransi penyimpangan, misalnya 5%, hasil ini sudah melewati batas sehingga kontrol tidak bisa diandalkan. Lalu berapa besar masalahnya di populasi? Proyeksi kasar 7,5% × 4.312 klaim memberi sekitar 323 klaim.

Nah, di sini ada pelajaran penting. Ketika tim menjalankan analitik atas seluruh 4.312 klaim, yang benar-benar disetujui pemohon sendiri ternyata 47 klaim, atau sekitar 1,1%. Sampel kebetulan menangkap tiga dari sedikit kasus itu. Kesimpulan bahwa kontrolnya gagal tetap benar, tetapi angka 323 klaim akan melebih-lebihkan dampak. Karena itu, kalau datanya tersedia, konfirmasi besarnya masalah dengan analitik populasi sebelum menulis angka di laporan.

Menulis temuan dengan 5C

Temuan audit adalah kesenjangan antara “yang seharusnya” dan “yang terjadi”. Standar IIA meminta temuan dievaluasi dan dikomunikasikan dengan jelas beserta signifikansinya [1]. Format yang paling banyak dipakai adalah 5C.

• Kondisi harus faktual dan terukur. Tulis angka, periode, dan sumber. Hindari kata “beberapa” atau “banyak”.
• Penyebab adalah akar masalah, bukan gejala. “Staf lalai” jarang jadi akar masalah. Tanya “kenapa” sampai ketemu kelemahan sistem atau proses.
• Rekomendasi menjawab penyebab, spesifik, dan bisa dikerjakan. Sertakan rencana aksi manajemen, penanggung jawab, dan tenggat.
• Beri peringkat. Misalnya tinggi/sedang/rendah, supaya pembaca tahu mana yang harus didahulukan.

Satu prinsip lagi: tulis untuk pembaca yang sibuk. Kalimat aktif, satu ide per paragraf, dan istilah teknis dijelaskan. Temuan yang bisa dipahami dalam satu menit jauh lebih mungkin ditindaklanjuti dibanding temuan tiga halaman yang penuh kutipan SOP.

Teknik mencari akar masalah

Teknik paling sederhana adalah 5 Whys: tanya “kenapa” berulang sampai jawabannya menunjuk sesuatu yang bisa diperbaiki. Contoh: Kenapa klaim disetujui pemohon sendiri? Karena delegasi approval jatuh ke dirinya. Kenapa bisa? Karena HRIS tidak membatasi penerima delegasi. Kenapa tidak dibatasi? Karena saat implementasi, pengaturan delegasi tidak masuk daftar uji. Nah, akar masalahnya ada di proses perubahan sistem, bukan di karyawan yang “nakal”.

Memberi peringkat temuan

Standar IIA meminta auditor memprioritaskan temuan berdasarkan signifikansinya [1]. Di praktik, peringkat biasanya mempertimbangkan dua hal: seberapa besar dampaknya kalau risiko terjadi, dan seberapa mungkin risiko itu terjadi dengan kontrol yang ada sekarang. Kriteria peringkat harus tertulis dan dipakai konsisten, supaya diskusi di exit meeting fokus pada fakta, bukan perasaan.

Laporan dan tindak lanjut

Temuan audit internal yang berkualitas juga punya pembaca lain. Penelitian terbaru menelaah bagaimana auditor eksternal mengandalkan temuan dan rekomendasi audit internal [3], dan sebaliknya bagaimana auditor internal menilai temuan auditor eksternal, termasuk pengaruh kolaborasi dan cara kelemahan kontrol terdeteksi [4]. Studi kasus audit pengendalian internal juga menunjukkan bahwa dampak sebuah audit sangat dipengaruhi kualitas proses dan dialog dengan auditee [2].

Menjaga hubungan dengan auditee

Jujur aja, tidak ada yang senang diaudit. Tapi auditee yang merasa diperlakukan adil jauh lebih terbuka memberi data dan lebih serius menjalankan rencana aksi. Penelitian berbasis wawancara dengan para kepala audit internal menggambarkan bagaimana auditor membangun kepercayaan manajemen lewat kredibilitas dan kejelasan maksud, misalnya dengan menjelaskan tujuan audit sejak awal dan konsisten dengan apa yang dijanjikan [6].

• Tidak ada kejutan di laporan. Setiap temuan sudah dibicarakan dengan auditee sebelum exit meeting.
• Konfirmasi fakta, bukan opini. Minta auditee mengecek angka dan kronologi. Kalau ada data yang belum kamu lihat, terima dan uji.
• Pisahkan orang dari proses. Tulis “approval tidak dilakukan”, bukan “Pak Budi tidak menyetujui”.
• Akui yang sudah berjalan baik. Satu paragraf praktik baik membuat laporan terasa adil.
• Tetap independen. Ramah bukan berarti melunakkan temuan. Peringkat tetap mengikuti kriteria tertulis.

Kalau auditee tidak setuju

Perbedaan pendapat itu wajar. Pertama, pisahkan dulu jenis ketidaksetujuannya. Kalau yang dipersoalkan adalah fakta (angka, tanggal, kronologi), cek ulang buktinya; kalau auditee benar, perbaiki temuan tanpa gengsi. Kalau yang dipersoalkan adalah peringkat atau rekomendasi, kembalikan ke kriteria tertulis dan tawarkan alternatif rencana aksi yang tetap menjawab akar masalah. Kalau tetap buntu, standar IIA memberi ruang untuk mencantumkan tanggapan manajemen di laporan, sehingga pembaca bisa menilai sendiri [1]. Yang tidak boleh: menghapus temuan yang didukung bukti hanya karena auditee keberatan.

Situasi lain yang perlu diwaspadai adalah ketika manajemen memilih menerima risiko, misalnya “kami tahu kontrolnya lemah, tapi biaya perbaikannya terlalu mahal.” Itu hak manajemen. Tugas auditor memastikan keputusan tersebut diambil oleh orang yang berwenang dan, bila risikonya melebihi selera risiko organisasi, dikomunikasikan ke pimpinan yang lebih tinggi atau dewan [1].

Variasi penerapan di berbagai organisasi

Apa pun bentuk organisasinya, logikanya sama: rencanakan berdasarkan risiko, uji dengan bukti yang cukup, tulis temuan yang bisa ditindaklanjuti, dan pastikan perbaikannya terjadi. Yang berbeda hanya formalitas, alat, dan siapa saja pembaca laporannya.

Latihan mandiri dan checklist penugasan

• Tujuan dan ruang lingkup penugasan tertulis jelas dan disepakati auditee.
• RCM disusun dan direviu sebelum pengujian dimulai.
• Setiap sampel tercatat beserta metode pemilihannya.
• Setiap angka di temuan punya referensi ke kertas kerja.
• Temuan memuat 5C dan peringkat sesuai kriteria tertulis.
• Rencana aksi punya PIC, tenggat, dan bukti penyelesaian yang disepakati.
• Tracker tindak lanjut diperbarui dan temuan peringkat tinggi diuji ulang.