Audit internal yang baik tidak berjalan secara autopilot. Fungsi ini tidak cukup hanya memiliki auditor, program kerja, prosedur pemeriksaan, dan format laporan. Agar benar-benar memberikan manfaat, audit internal harus dikelola secara strategis sehingga seluruh aktivitasnya tetap relevan dengan tujuan, risiko, dan perubahan yang dihadapi organisasi.
Global Internal Audit Standards yang diterbitkan oleh The Institute of Internal Auditors pada 9 Januari 2024 dan berlaku efektif sejak 9 Januari 2025 memberikan perhatian khusus terhadap pengelolaan fungsi audit internal. Dalam Domain IV, Chief Audit Executive atau CAE bertanggung jawab mengelola fungsi audit internal sesuai dengan piagam audit internal dan standar yang berlaku. Tanggung jawab tersebut mencakup perencanaan strategis, pengelolaan sumber daya, pembangunan hubungan, komunikasi dengan pemangku kepentingan, serta peningkatan kinerja fungsi audit internal.
Dengan demikian, keberhasilan audit internal tidak hanya dinilai dari banyaknya penugasan yang diselesaikan atau laporan yang diterbitkan. Ukuran yang lebih penting adalah apakah audit internal mampu memberikan asurans dan insight atas risiko yang benar-benar dapat memengaruhi keberhasilan organisasi.
Audit Internal Bukan Sekadar Melaksanakan Pemeriksaan
Dalam praktiknya, fungsi audit internal terkadang masih dipahami sebagai tim yang datang ke unit kerja, meminta dokumen, melakukan pengujian, mencatat temuan, dan menerbitkan laporan.
Seluruh aktivitas tersebut memang merupakan bagian dari pekerjaan audit internal. Namun, audit internal tidak dapat memberikan nilai tambah secara optimal apabila kegiatannya hanya berfokus pada pelaksanaan penugasan.
Fungsi audit internal juga harus dikelola sebagai suatu fungsi profesional. Artinya, audit internal perlu memiliki arah, prioritas, metodologi kerja, sumber daya, ukuran kinerja, dan hubungan yang efektif dengan pemangku kepentingan.
Tanpa pengelolaan yang baik, tim audit mungkin terlihat sibuk dan menghasilkan banyak laporan, tetapi belum tentu memusatkan perhatiannya pada risiko yang paling penting. Sebaliknya, fungsi audit internal yang dikelola secara strategis mampu menghubungkan kegiatan audit dengan tujuan organisasi dan kebutuhan dewan serta manajemen.
Audit yang berkualitas dimulai dari fungsi audit internal yang dikelola dengan baik.
Siapa yang Bertanggung Jawab Mengelola Fungsi Audit Internal?
Pihak yang memimpin dan bertanggung jawab mengelola fungsi audit internal disebut Chief Audit Executive atau CAE. Dalam organisasi tertentu, jabatan ini dapat menggunakan nama yang berbeda, seperti kepala satuan pengawasan internal, kepala audit internal, direktur audit internal, atau pimpinan fungsi audit internal.
CAE bertanggung jawab memastikan fungsi audit internal:
- menjalankan mandat yang tercantum dalam piagam audit internal;
- mematuhi standar profesional yang berlaku;
- memiliki strategi dan rencana audit yang relevan;
- menggunakan sumber daya secara tepat;
- menerapkan metodologi kerja yang konsisten;
- berkomunikasi secara efektif dengan pemangku kepentingan;
- serta terus mengevaluasi dan meningkatkan kualitas kinerjanya.
Sebagian pekerjaan dapat didelegasikan kepada auditor atau profesional lain yang memiliki kompetensi memadai. Meskipun demikian, akuntabilitas utama atas pengelolaan fungsi audit internal tetap berada pada CAE.
Karena itu, peran CAE tidak hanya bersifat administratif. CAE merupakan pemimpin strategis yang harus mampu menerjemahkan tujuan, risiko, dan kebutuhan organisasi menjadi arah kerja audit internal.
Prinsip 9: Merencanakan Secara Strategis
Prinsip 9 dalam Global Internal Audit Standards menegaskan bahwa CAE harus melakukan perencanaan secara strategis agar fungsi audit internal mampu memenuhi mandatnya dan mencapai keberhasilan jangka panjang.
Perencanaan strategis tersebut mengharuskan CAE memahami mandat audit internal serta proses tata kelola, manajemen risiko, dan pengendalian organisasi. CAE juga perlu membangun strategi, metodologi, dan rencana audit yang mendukung keberhasilan organisasi.
Prinsip 9 terdiri atas lima bagian yang saling berhubungan.
1. Memahami tata kelola, manajemen risiko, dan pengendalian
Sebelum menentukan area yang akan diaudit, CAE harus memahami bagaimana organisasi menetapkan tujuan, mengambil keputusan, mengelola risiko, dan menerapkan pengendalian.
Pemahaman tersebut tidak cukup diperoleh hanya dari dokumen kebijakan. Audit internal juga perlu memperhatikan strategi organisasi, model bisnis, struktur tata kelola, proses operasional, sistem informasi, kewajiban regulasi, serta perubahan lingkungan bisnis.
Tanpa pemahaman yang memadai, audit internal berisiko memilih objek audit yang mudah diperiksa, tetapi tidak memiliki dampak signifikan terhadap organisasi.
2. Menetapkan strategi audit internal
Strategi audit internal menentukan posisi yang ingin dicapai oleh fungsi audit internal dan bagaimana fungsi tersebut akan memberikan kontribusi kepada organisasi.
Strategi tersebut seharusnya menggambarkan arah pengembangan fungsi audit internal, kebutuhan kompetensi, pemanfaatan teknologi, prioritas layanan, hubungan dengan pemangku kepentingan, serta peningkatan kualitas yang akan dilakukan.
Strategi audit internal berbeda dari audit plan. Strategi memberikan arah jangka menengah atau jangka panjang, sedangkan audit plan menerjemahkan arah tersebut menjadi penugasan dan aktivitas yang akan dilaksanakan dalam periode tertentu.
3. Membangun metodologi kerja
Audit internal memerlukan metodologi yang konsisten agar setiap penugasan dilaksanakan dengan kualitas yang dapat dipertanggungjawabkan.
Metodologi tersebut dapat mencakup proses penilaian risiko, penyusunan program audit, dokumentasi kertas kerja, pengumpulan bukti, supervisi, komunikasi hasil, pemantauan tindak lanjut, serta pengendalian kualitas.
Metodologi tidak seharusnya menjadi kumpulan prosedur yang kaku. Metodologi harus memberikan kerangka kerja yang konsisten sekaligus memungkinkan auditor menggunakan pertimbangan profesional sesuai dengan sifat dan tingkat risiko setiap penugasan.
4. Menyusun audit plan berbasis risiko
Audit plan tidak seharusnya hanya mengulang program tahun sebelumnya. Rencana audit perlu disusun berdasarkan penilaian yang terdokumentasi atas strategi, tujuan, dan risiko organisasi.
Menurut Global Internal Audit Standards, penilaian tersebut perlu dilakukan sekurang-kurangnya setiap tahun. Rencana audit juga perlu diperbarui apabila terjadi perubahan penting pada bisnis, sistem, regulasi, operasi, atau profil risiko organisasi.
Tujuan penyusunan audit plan bukan mengaudit sebanyak mungkin area, melainkan memilih area yang paling memerlukan perhatian dan asurans.
5. Berkoordinasi dengan penyedia asurans lainnya
Audit internal bukan satu-satunya pihak yang melakukan pengawasan atau memberikan asurans. Organisasi dapat memiliki fungsi manajemen risiko, kepatuhan, pengendalian internal, keamanan informasi, audit eksternal, regulator, dan penyedia asurans lainnya.
CAE perlu berkoordinasi dengan pihak-pihak tersebut agar cakupan pengawasan tidak tumpang tindih dan tidak ada risiko penting yang terabaikan.
Koordinasi yang baik membantu organisasi menggunakan sumber dayanya secara lebih efisien sekaligus memperoleh gambaran asurans yang lebih menyeluruh.
Bahaya Audit Plan yang Hanya Mengulang Tahun Sebelumnya
Salah satu kelemahan yang sering muncul dalam pengelolaan fungsi audit internal adalah penggunaan audit plan yang hampir sama dari tahun ke tahun.
Sebagai contoh, sebuah perusahaan rutin mengaudit kas kecil, perjalanan dinas, pembelian alat tulis, dan administrasi cabang. Pada saat yang sama, perusahaan baru saja meluncurkan aplikasi digital, memindahkan data pelanggan ke sistem berbasis cloud, menggunakan vendor teknologi, dan mengalami beberapa insiden keamanan informasi.
Apabila audit plan tetap memusatkan perhatian pada area administratif yang sama, audit internal akan kehilangan relevansinya. Risiko yang paling besar justru tidak memperoleh perhatian yang memadai.
Dalam situasi tersebut, audit internal seharusnya mulai mempertimbangkan area seperti keamanan siber, privasi data, tata kelola teknologi informasi, manajemen vendor, pengelolaan akses, serta ketahanan operasional.
Contoh tersebut menunjukkan bahwa audit plan harus mengikuti perubahan organisasi. Ketika strategi, teknologi, proses bisnis, dan profil risiko berubah, prioritas audit juga perlu disesuaikan.
Dari Audit Internal Reaktif Menuju Audit Internal Strategis
Audit internal yang reaktif biasanya baru bergerak setelah terjadi masalah atau setelah memperoleh permintaan tertentu dari manajemen. Rencana auditnya cenderung mengulang agenda lama dan lebih banyak berfokus pada kepatuhan administratif.
Audit internal yang strategis memiliki pendekatan berbeda. Fungsi ini memahami tujuan organisasi, mengikuti perubahan risiko, menentukan area dengan dampak terbesar, serta memberikan insight yang membantu dewan dan manajemen mengambil keputusan.
Perbedaan utamanya tidak terletak pada jumlah penugasan, melainkan pada relevansi penugasan tersebut.
Audit internal strategis tidak bertanya, “Berapa banyak audit yang dapat diselesaikan tahun ini?” Pertanyaan yang lebih tepat adalah, “Risiko apa yang paling dapat menggagalkan tujuan organisasi, dan bagaimana audit internal dapat memberikan asurans yang relevan atas risiko tersebut?”
Lima Pertanyaan Penting Sebelum Menyusun Audit Plan
Sebelum menyusun audit plan, CAE dan tim audit internal perlu memperoleh jawaban yang memadai atas lima pertanyaan berikut:
- Apa tujuan strategis utama organisasi?
- Risiko apa yang dapat menghambat pencapaian tujuan tersebut?
- Apakah proses tata kelola dan pengendalian utama telah dirancang secara memadai?
- Area mana yang belum memperoleh cakupan asurans yang cukup?
- Apakah fungsi audit internal memiliki kompetensi dan sumber daya untuk mengaudit area tersebut?
Apabila pertanyaan-pertanyaan tersebut belum dapat dijawab, audit plan berisiko hanya menjadi daftar kegiatan, bukan suatu rencana strategis.
Hubungan CAE dengan Dewan dan Manajemen Senior
Agar dapat menjalankan tugasnya secara efektif, CAE membutuhkan hubungan yang tepat dengan dewan dan manajemen senior.
Hubungan langsung dengan dewan diperlukan untuk menjaga independensi, kewenangan, akses, serta perhatian terhadap hasil audit internal. Global Internal Audit Standards menekankan bahwa fungsi audit internal paling efektif ketika memiliki akuntabilitas langsung kepada dewan untuk aktivitas asurans dan advis yang dilakukannya.
Pada saat yang sama, CAE biasanya memiliki jalur pelaporan administratif kepada pimpinan manajemen senior, seperti chief executive officer. Hubungan administratif tersebut membantu fungsi audit internal menjalankan aktivitas sehari-hari, memperoleh dukungan operasional, dan memiliki posisi yang memadai di dalam organisasi.
Dengan demikian, dewan dan manajemen senior sama-sama memiliki peran penting, tetapi dengan tujuan yang berbeda. Dewan membantu melindungi independensi fungsi audit internal, sedangkan manajemen senior mendukung kebutuhan operasionalnya.
Ciri-Ciri Fungsi Audit Internal yang Dikelola dengan Baik
Fungsi audit internal yang dikelola secara efektif umumnya memiliki beberapa karakteristik utama. Strateginya terhubung dengan tujuan organisasi, audit plan disusun berdasarkan risiko, dan metodologi kerjanya diterapkan secara konsisten.
Selain itu, fungsi tersebut memiliki auditor dengan kompetensi yang sesuai, mampu berkoordinasi dengan penyedia asurans lain, serta secara berkala mengukur kinerja dan kualitas pekerjaannya.
Keberhasilan audit internal tidak hanya diukur melalui jumlah temuan atau laporan. Pengukuran juga perlu memperhatikan apakah pekerjaan audit telah memberikan cakupan atas risiko utama, memenuhi ekspektasi pemangku kepentingan, mendorong perbaikan pengendalian, dan memberikan kontribusi terhadap pencapaian tujuan organisasi.
Penutup
Audit internal yang tidak memiliki arah dapat terlihat sangat sibuk, menghasilkan banyak laporan, dan mencatat banyak temuan. Namun, seluruh aktivitas tersebut belum tentu memberikan dampak yang berarti bagi organisasi.
Sebaliknya, audit internal yang dikelola secara strategis memahami ke mana organisasi ingin bergerak, risiko apa yang dapat menghambatnya, kemampuan apa yang dibutuhkan oleh tim audit, dan kontribusi apa yang diharapkan oleh dewan serta manajemen.
Karena itu, pertanyaan utama dalam pengelolaan fungsi audit internal bukan hanya:
“Apa yang akan kita audit?”
Pertanyaan yang lebih penting adalah:
“Bagaimana audit internal membantu organisasi mencapai tujuannya?”
KAP Muchammad Nasran membantu organisasi memperkuat fungsi audit internal melalui layanan internal audit outsourcing dan co-sourcing, evaluasi manajemen risiko, review kepatuhan, serta penasihat tata kelola. Pendekatan tersebut ditujukan untuk membantu organisasi meningkatkan efektivitas pengendalian, mengelola risiko, dan memperoleh insight yang relevan bagi pengambilan keputusan.
Muchammad Nasran
Managing Partner KAP Muchammad Nasran
www.kapmns.com
Pertanyaan yang Sering Diajukan
Apa yang dimaksud dengan mengelola fungsi audit internal?
Mengelola fungsi audit internal adalah proses menetapkan strategi, menyusun audit plan berbasis risiko, mengelola sumber daya, membangun metodologi, berkomunikasi dengan pemangku kepentingan, dan meningkatkan kualitas audit internal.
Siapa yang bertanggung jawab atas fungsi audit internal?
Tanggung jawab utama berada pada Chief Audit Executive atau CAE. Tugas tertentu dapat didelegasikan, tetapi akuntabilitas utama tetap berada pada CAE.
Apa perbedaan strategi audit internal dan audit plan?
Strategi audit internal menentukan arah dan tujuan pengembangan fungsi audit internal. Audit plan berisi penugasan dan aktivitas yang akan dilaksanakan untuk mendukung strategi tersebut.
Mengapa audit plan harus berbasis risiko?
Audit plan berbasis risiko membantu fungsi audit internal memusatkan sumber dayanya pada area yang paling dapat memengaruhi pencapaian tujuan organisasi.
