"Cara Kerja Pengendalian Intern: Bukan Hanya Audit"

Salah satu konsep yang paling sering disebut tapi paling jarang dipahami dengan baik di lingkungan pemerintah adalah pengendalian intern. Banyak yang mengira ini hanya urusan audit. Padahal pengendalian intern adalah tanggung jawab semua pihak dalam organisasi — auditor hanya menilaihnya.

Apa Itu Pengendalian Intern?

Pengendalian intern adalah proses yang dirancang dan dijalankan oleh pimpinan dan pegawai untuk memberikan keyakinan memadai bahwa tujuan organisasi akan tercapai. Tiga tujuan utamanya:

1. Efektivitas dan efisiensi operasional — program dan kegiatan berjalan sebagaimana dimaksud dengan sumber daya yang tepat
2. Keandalan laporan keuangan — informasi yang dilaporkan akurat dan dapat dipercaya
3. Kepatuhan terhadap hukum dan regulasi — kegiatan dijalankan sesuai aturan yang berlaku

Di Indonesia, kerangka pengendalian intern pemerintah diatur dalam PP 60/2008 tentang SPIP (Sistem Pengendalian Intern Pemerintah), yang diadaptasi dari kerangka COSO.

Lima Komponen Pengendalian Intern (SPIP)

1. Lingkungan Pengendalian

Ini adalah "tanah" tempat pengendalian tumbuh. Lingkungan pengendalian yang baik mencakup komitmen pimpinan terhadap integritas, pembagian kewenangan yang jelas, dan budaya akuntabilitas.

Tanpa lingkungan pengendalian yang kondusif, pengendalian teknis secanggih apapun tidak akan efektif. Auditor yang menilai SPIP selalu mulai dari sini.

2. Penilaian Risiko

Organisasi harus mengidentifikasi risiko yang bisa menghambat pencapaian tujuan, lalu menilai kemungkinan dan dampaknya. Penilaian risiko ini menjadi dasar merancang respons dan pengendalian.

Auditor memperhatikan apakah proses penilaian risiko di entitas dilakukan secara sistematis atau hanya formalitas.

3. Kegiatan Pengendalian

Ini adalah tindakan konkret yang diambil untuk memitigasi risiko: persetujuan bertingkat, pemisahan tugas, rekonsiliasi berkala, review dan supervisi, dokumentasi yang memadai.

Kegiatan pengendalian adalah yang paling mudah diamati di lapangan — auditor sering memulai pengujian dari sini.

4. Informasi dan Komunikasi

Pengendalian hanya bisa berjalan kalau informasi yang relevan tersedia tepat waktu dan dikomunikasikan ke pihak yang tepat. Ini mencakup sistem informasi, pelaporan internal, dan komunikasi kebijakan ke seluruh pegawai.

5. Pemantauan

Pengendalian harus dipantau secara berkelanjutan untuk memastikan masih efektif. Pemantauan bisa dilakukan oleh pimpinan langsung (pemantauan berkelanjutan) atau melalui evaluasi berkala seperti evaluasi SPIP oleh BPKP.

Siapa yang Bertanggung Jawab?

Ini yang sering disalahpahami. Pengendalian intern adalah tanggung jawab semua orang dalam organisasi:

• Pimpinan tertinggi bertanggung jawab atas keseluruhan sistem pengendalian
• Manajer/pimpinan unit bertanggung jawab atas pengendalian di unit masing-masing
• Seluruh pegawai bertanggung jawab menjalankan pengendalian yang berlaku
• APIP/Itjen bertanggung jawab menilai efektivitas pengendalian dan memberikan rekomendasi perbaikan

Auditor yang memahami ini tidak akan terjebak dalam peran yang seharusnya bukan miliknya: memperbaiki pengendalian adalah tugas manajemen, bukan auditor.

Hubungan Antara Pengendalian dan Audit

Ketika auditor masuk ke sebuah penugasan, salah satu yang pertama dilakukan adalah memahami sistem pengendalian yang ada. Ini disebut understanding of internal controls.

Hasil pemahaman ini menentukan:

• Luas pengujian substantif — kalau pengendalian diyakini kuat, auditor bisa mengurangi luas pengujian atas saldo/transaksi
• Jenis risiko yang perlu diuji — kelemahan pengendalian spesifik mengarahkan pengujian yang lebih fokus
• Temuan dan rekomendasi — kelemahan pengendalian yang ditemukan menjadi bagian dari laporan

Auditor yang tidak memahami pengendalian akan menguji secara membabi-buta — menghabiskan waktu untuk hal yang tidak perlu dan melewatkan yang penting.

Pengendalian Kompensasi

Satu konsep yang penting untuk dipahami: pengendalian tidak selalu harus sempurna di setiap titik. Pengendalian kompensasi (compensating controls) adalah pengendalian yang mengimbangi kelemahan di pengendalian lain.

Contoh: tidak ada pemisahan tugas antara penginput dan approver karena keterbatasan staf. Pengendalian kompensasinya bisa berupa review berkala oleh pimpinan yang lebih senior, atau rekonsiliasi independen.

Auditor yang baik tidak hanya mencatat kelemahan, tapi juga mempertimbangkan apakah ada pengendalian kompensasi yang efektif sebelum menyimpulkan tingkat risiko.

Memahami pengendalian intern membuat auditor lebih dari sekadar "pencari masalah". Ini membuat auditor bisa berkontribusi nyata: membantu organisasi membangun sistem yang lebih baik, bukan hanya melaporkan bahwa ada yang rusak.