Fix Persentasi 26-28.docx

TUGAS MATA KULIAH PENGAUDITAN KEPATUHAN DAN PENGENDALIAN INTERNAL RINGKASAN MATERI KULIAH BAB 26-28

KELOMPOK 1: 1. Bellina G. Sembiring

432420

2. Dina Pricillia Yudas

432425

3. Irene Ipal Parinding

432437

4. Kezia Aprilia

432439

5. Puja Latifa Hadina

432454

MAGISTER AKUNTANSI FAKULTAS EKONOMIKA DAN BISNIS UNIVERSITAS GADJAH MADA

MARET 2019

26.5 Kode Etik Perusahaan Pernyataan misi adalah kunci untuk menyatukan seluruh struktur tata kelola perusahaan, kode perusahaan yang luas memberikan panduan bagi semua pemangku kepentingan terkait. Sementara SOx menyebut ini sebagai kode etik, kami menggunakan kode perilaku yang lebih tradisional. Meskipun kode-kode semacam itu sudah ada di perusahaan-perusahaan besar selama bertahun-tahun, SOx mengharuskan para perusahaan mengembangkannya untuk pejabat keuangan senior mereka untuk mempromosikan penanganan yang jujur dan etis dari setiap konflik kepentingan dan kepatuhan terhadap peraturan dan ketentuan pemerintah yang berlaku. Ada banyak manfaat dari mengembangkan kode perilaku yang sesuai. Kode SOx dimandatkan, tetapi semua perusahaan dapat mengambil manfaat dari kode yang mencakup semua pemangku kepentingan. Perusahaan yang efektif saat ini harus mengembangkan dan menegakkan kode etik yang mencakup aturan etika, bisnis, dan hukum yang berlaku untuk semua pemegang saham perusahaan, apakah pejabat keuangan disorot dalam SOx, semua karyawan tetap dan karyawan per jam, atau pemangku kepentingan kelompok yang lebih besar. Walaupun audit internal biasanya bukan merupakan kelompok katalis untuk menyusun kode etik, audit internal dapat menjadi peserta utama dalam membantu meluncurkan dan kemudian menentukan bahwa perusahaan memiliki kode etik yang efektif yang mempromosikan praktik bisnis yang etis. Isi Kode Etik: Apa Yang Harus Menjadi Pesan dalam Kode etik Kode perilaku haruslah seperangkat aturan atau pedoman yang jelas dan tidak ambigu yang menguraikan apa yang diharapkan dari semua pemangku kepentingan perusahaan, baik pejabat, karyawan, kontraktor, vendor, atau lainnya. Kode harus didasarkan pada nilai-nilai dan masalah hukum yang melingkupi perusahaan. Misalnya perusahaan dapat mengharapkan untuk memiliki larangan kode etik terhadap diskriminasi seksual dan ras. Namun, kode tersebut harus berlaku untuk semua anggota perusahaan dari tingkat paling senior hingga pegawai administrasi paruh waktu. Misalnya, aturan perilaku yang melarang pelaporan keuangan yang keliru adalah sama apakah diarahkan pada CFO untuk pelaporan keuangan triwulanan yang salah atau paruh waktu untuk kartu waktu mingguan yang salah atau curang. Audit internal akan menjadwalkan peninjauan dari waktu ke waktu mengenai kode etik. SOx dan pedoman tata kelola perusahaan secara keseluruhan dimaksudkan untuk pejabat senior tersebut tetapi harus disampaikan sedemikian rupa sehingga akan berlaku untuk semua pemangku kepentingan perusahaan. Tim

gabungan dari lintas manajemen, termasuk lagal dan sumber daya manusia, harus dibentuk untuk mengembangkan kode. Tim harus memeriksa masalah bisnis yang dihadapi perusahaan dan kemudian menyusun seperangkat aturan yang berlaku untuk perusahaan itu. Kode etik untuk perusahaan yang berbeda terlihat berbeda dalam gaya, format, dan ukuran. Beberapa rumit, sementara yang lain adalah tidak. Kode perilaku perusahaan, pada dasarnya, tentu saja bukan rahasia perusahaan, dan kantor informasi perusahaan atau relasi publik biasanya akan memberikan salinan kode perilaku mereka. Perusahaan berskala global memiliki masalah lain ketika mengembangkan kode pembatasan. Meskipun sebuah perusahaan mungkin berkantor pusat di AS, itu mungkin memiliki operasi yang unik di seluruh dunia di mana manajer kunci, karyawan, dan pemangku kepentingan lainnya tidak menggunakan bahasa Inggris sebagai bahasa utama mereka. Komunikasi dengan Pemangku Kepentingan dan Memastikan Kepatuhan Kode etik perusahaan harus merupakan dokumen hidup. Jika dokumen tersebut mewakili kode perilaku baru atau bahkan revisi besar, perusahaan harus melakukan upaya besar untuk mengirimkan salinan kepada semua karyawan dan pemangku kepentingan. Dengan adanya aturan SOx saat ini, langkah pertama yang baik adalah dengan secara formal menyajikan kode perilaku baru kepada manajemen puncak perusahaan, dan khususnya petugas keuangan. Contoh kasus Enron maupun Worldcom, mereka memiliki kode perilaku perusahaan yang memadai, tetapi pejabat perusahaan mereka jelas tidak merasa bahwa aturan berlaku bagi mereka. Contoh pendistribusian kode etik penghindaran perilaku pejabat tinggi perusahaan dapat ditemukan dalam tindakan mantan CFO Enron yaitu Andrew. Karena dia tahu bahwa dia akan melanggar kode etik perusahaan enron dengan serangkaian skema penipuan di luar neraca, Fastow pergi ke komite audit enron dan meminta mereka secara formal untuk pembebasan dari aturan kode etik mereka. Komite audit pun memberikan pengecualiannya atau pembebasan tersebut. Grup manajemen senior harus secara resmi mengakui bahwa mereka telah membaca, membatalkan, dan akan mematuhi kode perilaku. Dengan tim manajemen berdiri di belakangnya, perusahaan selanjutnya harus meluncurkan dan kemudian memberikan kode pembatasan kepada semua pemangku kepentingan perusahaan. Kode perilaku baru dapat dikomunikasikan melalui video oleh CEO, siaran web, sesi pelatihan, atau cara lain untuk mengomunikasikan pentingnya dan artinya. Metode komunikasi

khusus dapat digunakan untuk kelompok lain seperti vendor atau kontraktor, tetapi tujuan perusahaan haruslah untuk membuat semua pemangku kepentingan secara resmi mengakui bahwa mereka akan mematuhi kode perilaku. Respons harus dicatat pada database yang mencantumkan nama karyawan dan data tinjauan serta penerimaan atau tidaknya penerimaan mereka. Jika seseorang menolak untuk menerima kode karena pertanyaan, penyelia atau lainnya harus mendiskusikan masalah tersebut dengan orang tersebut untuk mendapatkan penyelesaian akhirnya. Perusahaan harus mengharapkan semua karyawan setuju untuk menerima dan menyetujui dengan kode etik itu. Mengikuti kode etik hanyalah aturan kerja yang lain, dan kegagalan yang konsisten untuk mematuhi aturannya harus menjadi dasar untuk pemutusan hubungan kerja. Poin dari kode ini adalah untuk menghindari "Saya tidak tahu itu aturannya" alasan ketika pelanggaran kode ditemui. Adalah ide yang baik untuk melalui proses penerimaan kode

setiap

tahun

atau

setidaknya

setelah

revisi

dokumen

kode.

File-file

yang

mendokumentasikan kode pengakuan harus disimpan dengan cara yang aman. Pelanggaran Kode dan Tindakan Korektif Kode perilaku perusahaan memaparkan seperangkat aturan untuk perilaku yang diharapkan dalam perusahaan. SOx mensyaratkan bahwa petugas keuangan harus mengeluarkan satu kode perilaku dengan panduan untuk semua pemangku kepentingan - pejabat keuangan yang terkena dampak SOx serta yang lain, termasuk karyawan di semua tingkatan, kontraktor, vendor, dan yang lainnya. Suatu perusahaan perlu menetapkan suatu mekanisme untuk memungkinkan karyawan atau bahkan orang luar melaporkan potensi pelanggaran kode dengan cara yang aman dan rahasia. Sebagian besar mekanisme pelaporan dapat ditangani melalui fasilitas wistleblower. Potensi pelanggaran lain harus ditangani pada tingkat yang berbeda. Selain fasilitas whistleblowe, perusahaan harus menetapkan mekanisme lain untuk melaporkan pelanggaran kode etik potensial. Kode perilaku menggambarkan serangkaian aturan untuk tindakan yang diharapkan di perusahaan. Ketika pelanggaran ditemukan, masalah tersebut harus diselidiki dan tindakan diambil secara konsisten, tidak peduli pangkat pemangku kepentingan perusahaan. Jika kode etik melarang membuat salinan perangkat lunak perusahaan dan hukumannya bagi seorang analis staf di kantor penjualan jarak jauh atau manajer senior di kantor pusat perusahaan harus sama. Sebagian besar pelanggaran kode etik dapat ditangani melalui prosedur sumber daya manusia normal perusahaan, yang seharusnya membentuk proses di mana pelanggaran pertama

dapat mengakibatkan konseling atau masa percobaan, dengan penghentian karena pelanggaran berulang. Ketika hal-hal ini ditemukan dan dilaporkan kepada pihak berwenang di luar, masalah tersebut bergerak di luar tangan perusahaan. Tujuannya di sini adalah agar perusahaan memiliki beberapa proses untuk menjebak semua pemangku kepentingan untuk mengikuti praktik etika yang baik, sebagaimana didefinisikan dalam kode etik, dan untuk menyediakan mekanisme yang konsisten untuk melaporkan pelanggaran dan mengambil tindakan disiplin jika diperlukan. Menjaga Kode Etik Terkini Sebagian besar aturan dasar perilaku etis yang baik serta banyak aturan khusus perusahaan tidak akan berubah dari tahun ke tahun. Jenis aturan etis tidak akan berubah seiring waktu, tetapi banyak perubahan lainnya karena bisnis atau kondisi lainnya. Perusahaan harus meninjau kode etik yang diterbitkan secara berkala dan setidaknya sekali setiap dua tahun untuk memastikan pedoman ini masih berlaku dan terkini. Ketika karyawan baru dan pemangku kepentingan lainnya yang bergabung dengan perusahaan, mereka harus diberi kode perilaku yang ada dengan persyaratan yang sama dengan ketika mereka membaca dan menegaskan dokumen tersebut. Revisi kode etik baru dan permintaan untuk penegasan kembali pemangku kepentingan bisa menjadi tugas mahal yang membutuhkan sumber daya perusahaan khusus dari fungsi etika, sumber daya manusia, audit internal, dan lainnya. Audit internal harus memainkan peran kunci dalam mempromosikan kode dan memantau kepatuhan melalui tinjauan audit dan kontrak yang sedang berlangsung melalui perusahaan. Auditor internal harus sangat menyadari kode etik perusahaan mereka dan menggunakannya sebagai dasar untuk melaporkan pelanggaran dan membuat rekomendasi dalam proses semua audit internal lainnya. 26.6 Fungsi Wistleblower dan Hotline Fungsi whistleblower adalah fasilitas di mana karyawan atau pemangku kepentingan yang melihat beberapa bentuk kesalahan dapat secara independen dan anonim melaporkannya ke perusahaan atau ke otoritas pembuat peraturan tanpa takut akan retribusi. Sementara program whistleblower telah ada selama beberapa tahun untuk mendukung undang-undang kontrak federal AS, peraturan keselamatan, dan lainnya. SOx memindahkan aturan-aturan ini ke kantor bisnis semua perusahaan publik AS. Sementara komite audit diharuskan untuk menetapkan prosedur pengungkap fakta ini, fungsi-fungsi lain, seperti departemen etika, sumber daya manusia, atau audit internal, sebenarnya mengaturnya. Terlalu sering, insiden yang dilaporkan

tidak diselidiki dengan cara yang benar atau kerahasiaannya tidak cukup kuat. Tergelincir di sini dapat menyebabkan masalah besar bagi suatu perusahaan jika pemangku kepentingan yang berselisih merasa bahwa masalah belum diselesaikan atau kerahasiaan individu telah dikompromikan. Audit internal sering dapat menjadi bantuan utama dalam proses ini melalui peninjauan proses yang ada, merekomendasikan kontrol yang tepat, dan memberikan panduan kepada komite audit. Masalah ini kemudian akan diselidiki dan diperbaiki jika tuduhan terbukti benar, dan pelapor asli dapat menerima hadiah proporsional dari tabungan. Program whistleblower SOx melemparkan tantangan baru lain kepada anggota komite audit yang bertanggung jawab. Anggota dewan komite audit dewan direksi yang khusus mungkin mengetahui fungsi perusahaan seperti itu melalui presentasi sebelumnya, tetapi hampir pasti tidak akan menyadari proses yang diperlukan untuk membentuk program pengungkap fakta yang efektif. Grup audit internal sering dapat membantu komite audit untuk membentuk program pengungkap fakta yang efektif yang akan mematuhi SOx. Bagian ini membahas cara membuat program whistleblower yang efektif dan bagaimana audit internal dapat membantu meluncurkan fungsi refresh. Aturan Whistleblower Federal Departmen of Labor (DOL) AS mengelola dan menegakkan lebih dari 200 undangundang federal yang mencakup banyak kegiatan di tempat kerja bagi sekitar 10 juta pengusaha dan 125 juta pekerja. Sebagian besar hukum ketenagakerjaan dan keselamatan publik dan banyak hukum lingkungan mengamanatkan perlindungan wistleblower bagi karyawan yang mengeluh tentang pelanggaran hukum oleh majikan mereka. Dalam banyak hal, ketentuan whistleblower dirancang terutama untuk melindungi karyawan yang merasa telah menemukan kesalahan daripada meningkatkan kontrol internal perusahaan. Secara virtual, setiap tindakan personel yang diambil terhadap karyawan pelapor, termasuk penurunan pangkat atau penangguhan, berpotensi dapat dikenakan tindakan hukum berdasarkan ketentuan ini. Meskipun sampai saat ini masih ada tindakan pelapor yang terbatas, ini masih merupakan masalah terbuka yang seharusnya ada di manajemen. Karyawan whistleblower yang kemudian menghadapi tindakan ketenagakerjaan yang merugikan berpotensi menjadi saksi informan yang dilindungi. SOx mensyaratkan komite audit untuk menetapkan proses penerimaan dan perlakuan pengaduan yang diterima terkait akuntansi, pengendalian akuntansi internal, atau masalah audit dan untuk pengajuan anonim

rahasia oleh karyawan terkait masalah akuntansi atau audit yang dipertanyakan. Seorang karyawan yang berlaku dalam tindakan seperti itu berhak mendapatkan ganti rugi penuh, termasuk pemulihan kembali, pembayaran kembali dengan bunga, dan kompensasi untuk biaya litigasi dan biaya pengacara. Lingkungan yang positif diperlukan di mana karyawan merasa bebas untuk menyampaikan kekhawatiran kepada manajemen ditambah dengan mekanisme yang efektif untuk menangani masalah yang diangkat. Program terkait etika yang kuat termasuk pernyataan misi dan kode perjanjian, akan mendukung strategi ini. Aturan Whistleblower SOx dan Audit Internal Di bawah SOx, karyawan atau pemangku kepentingan mana pun dapat menjadi pengungkap fakta dengan melaporkan tindakan yang tidak sah atau tidak benar, kontrol internal, dan aktivitas audit. Ini harus menjadi proses yang efektif ketika penyeleweng adalah anggota staf akuntansi perusahaan yang mendengar rencana untuk beberapa transaksi penipuan atau karyawan di unit terpencil yang tidak sering dikunjungi oleh staf perusahaan, seperti audit internal. Aturan pelapor dirancang untuk mengatur pemangku kepentingan untuk melaporkan tindakan penipuan atau ilegal ini dan untuk melindungi orang yang melaporkan masalah tersebut. Ini menimbulkan serangkaian masalah mengenai auditor internal dan tinjauan audit internal mereka. Tujuan audit internal adalah untuk meninjau dan menemukan jenis-jenis akuntansi, pengendalian internal, dan masalah audit yang ditentukan dalam SOx. Temuan audit internal ditinjau oleh manajemen dan disajikan dalam laporan audit formal di mana manajemen dapat menguraikan rencana mereka untuk tindakan korektif. Tim audit internal jelas merupakan bagian dari manajemen, dan auditor internal memiliki tanggung jawab pertama untuk melaporkan segala hal yang tidak patut atau tidak sah yang terjadi selama audit kepada manajemen internal untuk disposisi. Anggota tim audit internal tidak boleh berusaha untuk bekerja sebagai pelapor independen sebagai bagian dari pekerjaan audit internal mereka. Audit internal harus mengembangkan kebijakan yang jelas yang menyatakan bahwa masalah akuntansi SOx, pengendalian internal, atau audit yang terjadi selama tinjauan audit yang dijadwalkan harus didokumentasikan dalam kertas kerja audit dan dikomunikasikan kepada manajemen audit internal untuk penyelesaian. Suatu situasi dapat terjadi ketika auditor internal menemukan beberapa masalah akuntansi atau pengendalian internal yang entah bagaimana merupakan droppes dari proses audit, mungkin dalam review kertas kerja auditor senior. Auditor internal memiliki tanggung jawab pertama untuk

menyelesaikan masalah ini melalui kepala eksekutif audit atau komite audit. Jika auditor internal mendokumentasikan dan melaporkan suatu masalah, tetapi manajemen audit internal memilih untuk membatalkan atau mengabaikan masalah tersebut, auditor internal tentu memiliki hak dan tanggung jawab untuk melaporkannya melalui

komite audit perusahaan atau bahkan SEC.

Manajemen audit dan proses lain harus ada untuk mencegah situasi whistleblower auditor internal yang frustrasi. Meluncurkan Bantuan Perusahaan atau Fungsi Hotline Banyak perusahaan memiliki fungsi bantuan atau hotline, yang dikelola melalui dapartemen etika mereka, sumber daya manusia, atau penyedia independen, yang memungkinkan karyawan atau pemangku kepentingan untuk melakukan panggilan secara anomim dan mengajukan pertanyaan, melaporkan kekhawatiran, atau meniup peluit mengenai suatu hal. Idenya adalah untuk menyediakan fasilitas independen di mana semua pemangku kepentingan dapat mengajukan pertanyaan atau melaporkan kemungkinan kesalahan di tingkat mana pun. Ini bukan fungsi yang diminta kembali secara hukum, tetapi memungkinkan karyawan atau pemangku kepentingan lainnya untuk mengajukan pertanyaan, melaporkan kemungkinan kesalahan, dan bahkan mencari saran. Item yang dilaporkan dapat berkisar dari dugaan pencurian properti perusahaan, keluhan sumber daya manusia, atau pertanyaan yang mengganggu. Di mana panggilan hotline mencakup tuduhan kesalahan, kasus yang direkam harus diselidiki oleh orang lain untuk diselidiki, seperti ke departemen hukum. Dalam beberapa kasus, garis-garis ini telah berubah menjadi sedikit lebih dari garis snitch perusahaan di mana manu minor grips atau infractions dilaporkan secara umum, namun, hotline telah sangat berhasil. Sementara banyak hotline etika yang sudah mapan dibuat untuk bersikap ramah dalam menjawab pertanyaan karyawan dan memberikan beberapa saran selain untuk menyelidiki insiden yang dilaporkan, menggunakan jenis fasilitas ini untuk program whistleblower SOx menempatkan kontrol dan tanggung jawab baru pada suatu perusahaan. Sementara aspek yang lebih ramah dari hotlinne etika masih dapat diterapkan, peraturan pengungkap fakta federal memerlukan proses yang lebih formal, terutama di bidang-bidang seperti kerahasiaan, persyaratan dokumentasi untuk semua catatan, dan pemrosesan penyelidikan yang efisien.Sebuah hotline etika dan fasilitas whistleblowwer tidak akan bernilai banyak kecuali jika dikomunikasikan dan dijual kepada semua anggota perusahaan. Cara yang baik untuk memulai proses ini pada awalnya

adalah melalui kode perilaku karyawan, yang telah dibahas sebelumnya. Sekalipun hotline semacam itu telah diluncurkan, fakta bahwa saluran tersebut dapat digunakan untuk potensi pelapor SOx perlu dikomunikasikan. 26.7 Mengaudit Fungsi Etika Perusahaan Fungsi etika dan hotline tidak boleh dikecualikan dari jenis tinjauan operasional atau keuangan yang sama dengan yang dilakukan oleh audit internal di semua aspek lain dari perusahaan. Berbeda dari manajemen aset, pemasaran, atau rekayasa desain, yang secara berkala tunduk pada tinjauan operasional atau keuangan berdasarkan risiko audit potensial, fungsi etika tetap harus dimasukkan dalam jenis model analisis risiko yang sama yang digunakan oleh audit internal untuk perencanaan audit. Meskipun fungsi kode etik dapat menimbulkan risiko minimal, fungsi wistleblower khususnya jika diadministrasikan secara internal dapat menghadirkan beberapa keamanan besar dan risiko yang rahasia. Selain itu, CFO dan pejabat kunci lainnya sangat beresiko jika ada masalah di sini. Tujuan dari tinjauan audit internal terhadap fungsi etika dan wistleblower adalah untuk menilai apakah kelompok etika mengikuti prosedur pengendalian internal yang baik, memanfaatkan sumber dayanya secara efektif, mematuhi prosedur kerahasiaan yang baik, dan mengikuti piagam departemennya yang mengesahkan fungsi etika, audit internal harus mendapatkan batasan yang jelas tentang bagaimana fungsi beroperasi dan prosedur biasanya dilakukan. Sebagai fungsi etika perusahaan, audit internal harus mengharapkan untuk menemukan prosedur setidaknya sebaik audit internal mengenai kepatuhan pada bidang-bidang seperti kerahasiaan dokumen dan kepatuhan dengan kebijakan perusahaan seperti biaya perjalanan. Karena hubungan yang erat dan berkelanjutan yang harus ada antara fungsi etika dan audit internal, jika tinjauan internal etika muncul sebagai bagian dari analtsis risiko audit, CAE harus membahas tinjauan yang direncanakan dengan direktur etika dengan beberapa detail untuk menjelaskan alasan dan tujuan dari tinjauan operasional yang direncanakan. Dengan asumsi bahwa masalah ini dapat diselesaikan dengan tepat, tinjauan operasional fungsi etika akan memberikan jaminan tambahan kepada manajemen tentang integritas kontrol dalam fungsi etika, komponen operasi di mana sebagian besar manajer memiliki sedikit paparan atau pengalama 26.8 Memperbaiki Praktik Tata Kelola Perusahaan

Program etika yang kuat, berdasarkan pada pernyataan misi yang bermakna dan kode perilaku, adalah elemen kunci dalam setiap program tata kelola perusahaan secara keseluruhan di perusahaan. Skandal akuntansi yang mengarah ke SOx adalah skandal di tingkat atas perusahaan yang disebabkan oleh petugas keuangan yang licik, CEO yang tamak, atau firma akuntansi publik yang tidak terbuka. Tim eksekutif di perusahaan yang mengalami skandal menetapkan peraturan mereka sendiri dengan hanya memberikan sedikit pertimbangan kepada anggota perusahaan lainnya. Program etika yang kuat secara keseluruhan akan meningkatkan praktik tata kelola perusahaan untuk seluruh perusahaan, bukan hanya orang-orang di tingkat eksekutif. Sebagai bagian dari peran mereka sebagai pemimpin etika dalam perusahaan, auditor internal harus menyadari kebutuhan akan tata kelola perusahaan dan kebijakan etika perusahaan secara keseluruhan. Auditor internal harus memiliki program etika dan kepatuhan yang kuat di dalam kelompok audit internal mereka sendiri dan harus mencari praktik serupa dalam perusahaan. Praktik-praktik ini termasuk pernyataan kebijakan manajemen senior perusahaan untuk menekankan bahwa semua pemangku kepentingan didorong untuk membawa masalah praktik akuntansi dan keuangan ke perhatian manajemen.

BAB 27 DETEKSI DAN PENCEGAHAN FRAUD

Fraud dalam perusahaan adalah hal yang akan selalu ada, namun auditor internal dapat membantu mencegah dan mendeteksinya melalui tinjauan pengendalian internal yang efektif. Auditor internal yang efektif harus mengenali potensi kecurangan praktik bisnis sebagai bagian dari audit dan kemudian merekomendasikan pengendalian dan prosedur untuk membatasai paparan terhadap aktivitas fraud. Semua auditor internal harus memiliki seperangkat pengetahuan umum tentang bagaimana mengendus situasi, bagaimana mengaudit aktivitas berpotensi fraud, dan proses menginvestigasi dan melaporkan fraud.

27.1 Memahami dan Mengenali Fraud Fraud terjadi saat seseorang secara tidak benar mengotorisasi beberapa dokumen yang menyebabkan terjadinya transfer uang. Pengendalian internal yang efektif, yaitu pengendalian yang komprehensif, terimplementasi penuh, dan dipantau secara reguler, adalah garis depan pertahanan perusahaan terhadap fraud. Biasanya fraud ditemukan oleh manajemen, kemudian auditor internal akan diminta untuk menginvestigasinya. Fraud bisa juga ditemukan saat audit terjadwal oleh auditor walau hal demikian jarang terjadi. Dulu, auditor mengklaim bahwa mendeteksi fraud adalah di luar tanggung jawab mereka. Namun dengan adanya standar pengauditan AICPA mengenai fraud, AU-C, Section 240 berjudul Consideration of Fraud in a Financial Statement Audit, auditor bertanggung jawab dalam aktivitas tinjauan mereka untuk merekomendasikan pengendalian yang tepat untuk mencegah fraud di masa mendatang.

27.2 Red Flag: Tanda Deteksi Fraud Bagi Auditor Internal Banyak aktivitas fraud yang mudah diidentifikasi setelah suatu fraud terbongkar. Namun, auditor dan manajemen harus mencari indikator kemungkinan aktivitas fraud sebelum hal itu terjadi. Mereka harus mencari apa yang dinamakan red flag. Berikut ini adalah daftar red flag yang dapat menunjukkan potensi terjadinya aktivitas fraud keuangan. Tidak ada yang merupakan indikator absolut fraud, namun auditor harus selalu bersikap skeptis dan waspada terhadap sinyal tertentu. Jika auditor melihat satu atau lebih red flag berikut, mungkin saatnya mereka menggali lebih dalam.

Sayangnya, auditor internal sering gagal mendeteksi fraud karena alasan berikut: 

Keengganan untuk mencari fraud



Terlalu percaya pada auditee



Tidak terlalu menekankan potensi isu fraud pada temuan audit



Masalah fraud kurang mendapat dukungan dari manajemen



Auditor kadang gagal berfokus pada area fraud berisiko tinggi

Untuk dapat mendeteksi fraud, auditor perlu memiliki pemahaman tentang mengapa orang melakukan fraud. Berikut adalah daftar beberapa alasan atau dalih bagi seseorang untuk melakukan fraud. Deteksi fraud akan lebih sulit saat ada kolusi di antara sekelompok orang.

Fraud yang melibatkan partisipasi manajer senior lebih sulit dideteksi daripada yang melibatkan karyawan tingkat bawah. Auditor eksternal kadang menganggap temuan sebagai pelanggaran pengendalian internal dan bukan fraud. Mereka kadang melewatkan prosedur audit tradisional seperti konfirmasi saldo bank, padahal dengan melakukan hal tersebut, bisa saja fraud terdeteksi lebih cepat. 27.3 Peran Akuntan Publik dalam Deteksi Fraud

Dulu, auditor eksternal tidak bertanggung jawab terhadap deteksi fraud. Ini diperkuat oleh AICPA Statement on Auditing Standards (SAS No.1) yang menyatakan bahwa “auditor tidak memiliki tanggung jawab untuk merencanakan dan melaksanakan audit untuk memperoleh keyakinan wajar bahwa salah saji, baik disebabkan oleh error ataupun fraud, yang tidak material terhadap statemen keuangan dideteksi.” Namun hal ini berubah pada tahun 1997 saat tanggung jawab untuk fraud dinyatakan ulang di SAS No.82. Pada Desember 2002 AICPA merilis SAS No.99 tentang tanggung jawab auditor untuk mendeteksi kecurangan pelaporan keuangan. Dengan adanya standar ini, auditor eksternal bertanggung jawab untuk menyediakan keyakinan yang wajar bahwa laporan keuangan yang diaudit bebas dari salah saji yang material, baik disebabkan oleh error maupun fraud. Standar akuntansi publik mengharuskan auditor eksternal untuk memiliki sikap skeptis terkait fraud yang mungkin terjadi. Tim audit harus bertuker ide atau melakukan brainstorming di mana mereka mengidentifikasi risiko fraud dan mengingat karakterisitik yang ada saat fraud terjadi: insentif, kesempatan, dan kemampuan untuk merasionalisasi. Hasil dari diskusi akan memampukan tim audit untuk merancang uji audit yang responsif terhadap risiko fraud. Tim audit eksternal harus selalu mengantisipasi adanya aktivitas fraud saat ada perikatan audit. Hal ini berlawanan dengan audit internal di mana auditor dan auditee berasal dari perusahaan yang sama dant idak ada kecurigaan fraud kecuali ditemukan bukti fraud atau ada dugaan yang dilaporkan oleh anggota perusahaan. Saat mengaudit, tim auditor eksternal harus bertanya ke karyawan di semua level dan mendorong mereka untuk melaporkan hal yang mencurigakan. Ini akan menghalangi karyawan untuk melakukan fraud karena mereka takut akan dilaporkan. Tim audit perlu mendesain tes yang tidak diduga oleh klien. Manajemen sering berada di posisi yang mengesampingkan pengendalian agar dapat melakukan fraud statemen keuangan. Oleh karena itu, standar audit mengharuskan adanya prosedur di setiap audit untuk menguji manajemen apakah mereka mengesampingkan pengendalian. 27.4 IIA STANDARDS FOR DETECTING AND INVESTIGATING FRAUD Auditor internal lebih baik dalam mendeteksi kecurangan daripada auditor eksternal. Auditor eksternal membatasi sebagian besar kunjungan ke klien sekitar triwulanan dan tahunan sesuai tanggal laporan keuangan. Sedangkan, auditor internal melakukan kunjungan ke perusahaan setiap hari. Dengan pengamatan, auditor internal lebih baik daripada auditor eksternal dalam melihat red flags. Jika manajemen merasa adanya potensi terjadi kecurangan di perusahaan,

manajemen selalu menghubungi auditor internal yang juga memilki koneksi dan komunikasi dengan departemen hukum. Bersama dengan departemen hukum, auditor internal akan mendiskusikan potensi masalah dan pendapa terkait kekhawatiran sehingga membutuhkan perhatian khusus. Jika terdapat tanda-tanda kuat mengenai kecurangan, departemen hukum akan siap membantu. Standar IIA menekankan bahwa auditor internal memiliki peran untuk deteksi dan pencegahan kecurangan, tetapi tanggung jawab deteksi tetap pada manajemen. Standar IIA untuk praktek professional audit internal mencakup keprofesionalan dan ruang lingkup pekerjaan. Auditor internal perlu memperhatikan kemungkinan terjadinya kesalahan dan mencari bukti adanya kesalahan maupun kegiatan illegal dalam proses audit. IIA melakukan revisi pada standar 1210.A2 karena kemungkinan sulitnya mendeteksi kecurangan. Auditor internal bertangung jawab untuk mencegah kecurangan dengan memeriksa dan mengevaluasi kecukupan dan efektivitas sistem pengendalian internal, sepadan dengan potensi risiko yang ditimbulkan. Dalam menjalankan tanggung jawab ini, auditor internal harus menentukan, misal: 

Lingkungan organisasi menumbuhkan kesadaran dan tujuan sasaran usaha yang realistis



Ada kebijakan tertulis (kode etik) yang menggambarkan kegiatan yang dilarang dan tindakan yang diperlukan setiap kali ditemukan pelanggaran



Kebijakan otorisasi yang sesuai untuk transaksi perlu untuk ditetapkan dan dipelihara



Kebijakan, praktik, prosedur, laporan, dan mekanisme lainnya dikembangkan untuk memantau kegiatan dan melindungi aset, khususnya di area yang berisiko tinggi



Saluran komunikasi memberikan informasi yang memadai dan dapat diandalkan kepada manajemen



Rekomendasi perlu dibuat untuk pendirian atau peningkatan pengendalian hemat biaya untuk mencegah penipuan

Ketika auditor internal mencurigai potensi adanya kecurangan, otoritas perusahaan (departemen hukum) harus dieri tahu. Internal auditor dapat merekomendasikan penyelidikan yang diperlukan. Setelah itu, auditor harus menindaklanjuti untuk melihat tanggung jawab internal dan aktivitas audit telah dipenuhi. Namun, kegiatan tersebut bisa jadi tidak melatih auditor melihat

red flag yang mendorong terjadinya kecurangan karena auditor hanya memberikan evaluasi terkait baik tidaknya kebijakan pengendalian internal maupun ada tidaknya kode etik di perusahaan. IIA belum mengambil posisi kuat untuk mendeteksi kecurangan yang sudah dilakukan sebelumnya oleh AICPA. 27.5 FRAUD INVESTIGATIONS FOR INTERNAL AUDITOR Selain membantu membangun dan meninjau pengendalian untuk mencegah dan mendeteksi penipuan, auditor internal terlibat dalam investigasi penipuan. Dugaan awal terkait dengan penipuan dapat diserahkan kepada otoritas hukum. Yang paling penting adalah semua dokumen yang digunakan pelu diamankan untuk membanu mencegah dann mendeteksi terjadinya kecurangan. Sementara otoritas hukum bertugas untuk melakukan penyelidikan. Dalam beberapa kasus, hukum akan menyarankan agar pihak berwenang lainnya ikut terlibat dan di kasus tertentu internal audit terkadang diminta untuk bertanggung jawab atas penyelidikan. Proses ini melibatkan tinjauan dokumen secara terperinci. Bukti yang dikumpulkan menjadi dasar untuk tindakan selanjutnya. Dalam meninjau kecurangan, auditor harus memiliki tiga tujuan utama: 1. Membuktikan kerugiannya. Tinjauan investigasi dipimpin oleh auditor internal yang bertanggung jawab menyusun bahan yang relevan sebanyak yang diperlukan untuk menentukan ukuran keseluruhan dan ruang lingkup kerugian. 2. Menetapkan tanggung jawab dan niat. Langkah ini harus menjawan siapa pelaku tindakan kecurangan dan sebanyak mungkin mengidentifikasi pihak yang bertanggung jawab jika terdapat keadaan khusus atau berbeda terkait dengan tindakan kecurangan. 3. Membuktikan metode investigasi audit yang digunakan. Kebutuhan tim investigasi dapat membuktikan bahwa kesimpulan terkait penipuan didasarkan pada detail proses investigasi selangkah demi selangkah dan hasil tinjauan harus didokumentasi menggunakan proses reviu audit internal terbaik. Ada banyak prosedur lain yang terkait dengan pemeriksaan kecurangan dan deteksi maupun pencegahan kecurangan diuraikan oleh standar baru, khususnya AICPA SAS No. 99 serta IIA. Auditor internal yang tertarik mempelajari lebih lanjut tentang investigasi kecurangan harus mengeksplorasi kegiatan dan publikasi dari ACFE.

27.6 INFORMATION TECHNOLOGY FRAUD PREVENTION PROCESSES Sistem teknologi informasi menjadi komponen kunci dari segala bentuk kecurangan akuntansi karena TI mendukung begitu banyak bidang dan berbagai dimensi, misalnya: 

Masalah akses internet. Perusahaan sering membuat pedoman dan pengendalian terkait pembatasan penggunaan internet untuk memisahkan penggunaan pribadi dari bisnis. Selain itu, perusahaan dapat memantau kegiatan karyawan.



Penggunaan sumber daya TI untuk pribadi dan akses yang tidak tepat. Perusahaan perlu menetapkan autran terkait penggunaan file maupun program yang disediakan oleh perusahaan. Perusahaan sebaiknya menekankan bahwa karyawan tidak melakukan aktivitas bisnis pribadi saat berada di tempat kerja untuk menghindari kemungkinan virus yang terbawa ke sistem dan perangkat lunak perusahaan.



Penggunaan perangkat lunak secara illegal. Karyawan kadang mencoba untuk mencuri/mengunduh salinan perangkat lunak perusahaan atau menginstal perangkat lunak mereka sendiri di komputer perusahaan. Hal ini melanggar aturan perusahaan. Perusahaan juga harus menginstal firewall untuk melindungi sistem perusahaan dari serangan perangkat lunak.



Keamanan komputer dan masalah kecurangan yang bersifat rahasia. Karyawan dapat mengakses sistem komputer dengan mencuri password dan melakukan tindakan curang dengan melanggar aturan keamanan komputer.



Pencurian informasi melalui perangkat USB. Perusahaan dapat mengalami risiko pencurian dan kehilangan data melalui cara ini.



Pencurian informasi atau penyalahgunaan komputer. Mengakses sistem komputer dengan melanggar pengendalian sistem untuk melihat, memodifikasi bahkan menyalin file secara tidak patut.

Penggunaan aset perusahaan seperti laptop, dapat dimanfaatkan oleh karyawan untuk aktivitas diluar perusahaan. Untuk hal ini diperlukan pemeriksaan forensic yang melibatkan pemeriksaan media komputer. Forensic komputer adalah pendekatan untuk membantu penyelidikan kecurangan komputer. Untuk hal ini maka AICPA meluncurkan sertifikat CFF (Certified of Financial Forensics).

27.7 FRAUD DETECTION AND THE INTERNAL AUDITOR Kecurangan selalu menjadi ancaman dan menimbulkan skandal akuntansi sehingga SOx, AICPA, dan auditor eksternal mengambil tugas utama untuk mendeteksi kecurangan dengan lebih baik dalam melakukan audit laporan keuangan dan membuat standar baru yang menuntut dimensi berpikir yang baru. Auditor internal perlu memberikan pertimbangan yang lebih besar terhadap kecurangan dalam pekerjaan auditnya. Seperti pedoman dalam SAS No. 99, auditor internal perlu bertanya tentang situasi auditee yang menyebabkannya melakukan tindakan kecurangan. Selain itu, auditor internal harus selalu mempertimbangkan potensi kecurangan dalam penugasan pekerjaan yang sedang berlangsung dan pemahaman CBOK tentang red flags yang menunjukkan kemungkinan terjadinya penipuan serta tinjauan prosedur audit umum yang mencakup penyelidikan kecurangan. Audit internal juga harus memahami bahwa kecurangan dapat terjadi di berbagai tingkatan. Chapter 28: Internal Audit GRC Approaches and Other Compliance Requirements Manajemen senior pada awalnya sering memimpin dalam menetapkan aturan dan kebijakan bisnis dan kepatuhan untuk diikuti karyawan dan orang lain. Auditor internal membuat rekomendasi untuk meningkatkan tata kelola entitas melalui reviu mereka terhadap pengendalian internal. Akan lebih mudah bagi entitas jika mereka memiliki kepemimpinan terpusat yang kuat, seperti CEO, untuk mengotorisasi dan mengimplementasikan langsung kebijakan tata kelola. Namun, sekarang entitas itu berada di berbagai lokasi dan berbagai ukuran yang menghadapi berbagai peraturan, baik peraturan lokal, hukum, maupun peraturan publik sehingga entitas harus memenuhi semua peraturan dan kebijakan tersebut. Kemungkinan untuk melanggar dan mendapatkan pinalti menjadi semakin besar. Audit internal harus berfokus pada isu ini dengan melakukan reviu tertentu, tetapi setiap entitas membutuhkan proses untuk memastikan bahwa entitas beroperasi sesuai dengan regulasi dan peraturan yang tepat. Entitas selalu dihadapkan dengan risiko kesalahan interpretasi regulasi atau risiko melanggar regulasi dan peraturan yang ada. Meskipun entitas berfokus pada tata kelola, risiko, dan isu kepatuhan, manajemen harus membawa ketiganya bersama dalam apa yang disebut sebagai prinsip GRC (governance, risk, compliance).

28.1 The Road to Effective FRC Principles G atau governance, mencakup keseluruhan entitas. Tata kelola berarti merawat bisnis, memastikan bahwa semua hal itu dilakukan berdasarkan pada standar entitas, regulasi, dan keputusan dewan direksi. R atau risk, apapun yang dilakukan dan semua aspek dalam operasi bisnis itu berhubungan dengan elemen risiko. Ketika risiko terjadi dalam bisnis, faktor risiko menjadi cara untuk membantu melindungi nilai aset yang ada dan menciptakan nilai dengan memperluas secara strategis suatu perusahaan atau menambah produk dan layanan baru. C atau compliance, banyaknya peraturan dan regulasi berdampak pada bisnis dan auditor internal. C juga bisa diartikan control, yang berarti bahwa penting untuk melakukan pengendalian untuk memastikan bahwa compliance itu dilakukan. GRC itu lebih dari serangkaian isu audit internal, tapi merupakan sebuah paradigma yang membantu entitas untuk bertumbuh dengan cara yang benar.

Gambar 28.1 Konsep GRC Gambar di atas menunjukkan bahwa kebijakan internal tepat di bawah tata kelola di tengah atas diagram dan merupakan faktor utama yang mendukung tata kelola, bahwa peraturan eksternal mendorong prinsip kepatuhan, dan risiko perusahaan adalah elemen kunci manajemen risiko. Komponen kiri bawah dari segitiga GRC adalah manajemen risiko, dan elemen ini harus terkait erat dengan risiko, istilah yang relatif baru bagi banyak profesional audit bisnis dan internal dalam beberapa tahun terakhir. Komponen kanan bawah adalah kepatuhan, masalah yang sangat

dekat dengan banyak aktivitas reviu auditor internal. Namun, meskipun auditor internal sering terlibat dengan reviu kepatuhan dengan prosedur yang ditetapkan perusahaan, peraturan eksternal terkait erat dengan masalah kepatuhan umum. Gambar di atas juga menyoroti komponen strategi GRC yang efektif, termasuk proses, teknologi, IT, dan orang di dalam entitas untuk membuat semuanya bisa berjalan. Pada bagian kiri, dikatakan bahwa suatu perusahaan memerlukan perhatian dan dukungan manajemen, dan bahwa perilaku etis yang benar, efisiensi organisasi, dan meningkatkan efektifitas adalah kuncinya. Prinsip GCR ini merupakan prinsip yang harus berhubungan satu sama lain, tidak ada satu prinsip yang lebih penting daripada prinsip yang lain. Tata kelola perusahaan adalah tanggung jawab dan praktik yang dilakukan oleh dewan, manajemen eksekutif senior, dan semua tingkatan manajemen fungsional di banyak bidang dengan tujuan memberikan arahan strategis, memastikan bahwa tujuan tercapai, memastikan bahwa risiko dikelola dengan tepat, dan memverifikasi bahwa sumber daya perusahaan digunakan secara bertanggung jawab. Tata kelola benar-benar mengacu pada proses penetapan aturan dan prosedur di semua tingkatan perusahaan, mengkomunikasikan aturan itu ke tingkat pemangku kepentingan yang tepat, melakukan pemantauan terhadap peraturan, dan mengelola reward dan hukuman berdasarkan kinerja relatif atau kepatuhan terhadap aturan. 28.2 GRC Risk Management Components Serangkaian prinsip dan komponen GRC perusahaan yang luas diperlukan dan program manajemen risiko yang efektif merupakan komponen utama dari prinsip-prinsip GRC perusahaan dan proses reviu audit internal. Ada empat langkah yang saling terkait dalam proses GRC manajemen risiko perusahaan yang efektif sebagai berikut: 1. Rencana penilaian risiko Suatu perusahaan menghadapi semua tingkat risiko, baik masalah global mulai dari krisis ekonomi atau mata uang nasional hingga faktor persaingan pasar produk dan hingga gangguan terkait cuaca di operasi lokal. Kita tidak dapat merencanakan atau mengidentifikasi setiap jenis risiko yang dapat memengaruhi suatu perusahaan, tetapi harus ada analisis berkelanjutan terhadap berbagai risiko potensial ini. 2. Analisis dan identifikasi risiko

Daripada hanya merencanakan kemungkinan terjadinya suatu peristiwa risiko, analisis yang lebih rinci harus dibuat tentang kemungkinan risiko ini membuahkan hasil serta dampak potensial. Dampak dari risiko yang diidentifikasi harus memenuhi syarat dan strategi mitigasi ditentukan jika peristiwa risiko terjadi. Mitigasi mengacu pada penilaian cara terbaik untuk mengelola atau menghilangkan risiko yang teridentifikasi. Faktor terakhir yang terkait dengan risiko ini juga harus diidentifikasi. Risiko yang teridentifikasi akan jauh lebih signifikan jika kita dapat mengidentifikasi total biaya bagi perusahaan jika itu terjadi. 3. Memanfaatkan dan mengembangkan strategi respons risiko Pada

dasarnya

sejalan

dengan

identifikasi

risiko,

suatu

perusahaan

harus

mengembangkan rencana dan strategi untuk kembali ke operasi normal dan kemudian pulih dari peristiwa risiko. Ini mungkin termasuk analisis peluang terkait risiko. Sebagai contoh, jika ada risiko yang teridentifikasi bahwa beberapa peralatan produksi pabrik yang lebih tua mungkin gagal, ada peluang untuk meninggalkan lini produksi itu dan memasang peralatan baru menggunakan teknologi yang lebih baru dan bahkan mungkin dengan alternatif lokasi yang lebih baru. 4. Pemantauan risiko Alat dan fasilitas harus ada di tempat untuk memantau untuk mengidentifikasi serta risiko baru lainnya. Alarm kebakaran pendeteksi asap adalah contoh di sini, meskipun sebagian besar pemantauan terkait risiko memerlukan serangkaian laporan khusus, standar yang ditetapkan dan terukur, dan fungsi sumber daya manusia yang rajin. Idenya adalah untuk tetap merencanakan ke depan dan memasuki kembali langkah-langkah manajemen risiko sebelumnya sebagaimana diperlukan. Manajemen risiko harus menciptakan nilai dan menjadi bagian integral dari proses organisasi. Ini harus menjadi bagian dari proses pengambilan keputusan dan dirancang secara sistematis dan terstruktur untuk secara eksplisit mengatasi ketidakpastian yang dihadapi perusahaan berdasarkan informasi terbaik yang tersedia. Selain itu, proses manajemen risiko harus dinamis, berulang, dan responsif terhadap perubahan dengan kemampuan peningkatan berkelanjutan. 28.3 GRC and Internal Audit Enterprise Compliance Issues

yang

Kepatuhan adalah proses mematuhi pedoman atau aturan yang ditetapkan oleh lembaga pemerintah, standar, kelompok, atau kebijakan internal perusahaan. Mematuhi persyaratan yang terkait dengan kepatuhan ini merupakan tantangan bagi perusahaan, pemangku kepentingan terkait, dan auditor internal yang meninjau proses ini karena: 

Seringnya pengenalan hukum dan peraturan baru



Peraturan tertulis yang samar-samar membutuhkan interpretasi



Tidak ada konsensus tentang aturan praktik terbaik yang digunakan untuk kepatuhan



Berbagai peraturan kepatuhan yang tumpang tindih



Peraturan yang terus berubah

Secara sederhana, luas dan kompleksitas undang-undang dan peraturan terkait kepatuhan ini telah menimbulkan tantangan bagi banyak perusahaan dan auditor internal selama bertahuntahun. Perusahaan perlu mendekati prinsip-prinsip kepatuhan GRC mereka dari perspektif strategis yang dapat membantu mereka bergerak lebih dari sekadar memenuhi mandat kepatuhan individu untuk mewujudkan manfaat bisnis nyata dari investasi infrastruktur mereka secara keseluruhan. Suatu perusahaan tidak boleh mengabaikan beberapa aturan, harus selalu sadar bahwa mereka ada. Namun demikian, pendekatan yang konsisten pada penggunaan kemampuan yang digerakkan oleh kepatuhan dan teknologi pendukung di suatu perusahaan dapat memberikan manfaat potensial bagi perusahaan: 

Fleksibilitas



Mengurangi total biaya kepemilikan kepatuhan



Keunggulan kompetitif

Proses kepatuhan GRC yang efektif membantu audit internal untuk mentransformasikan operasi bisnis mereka dan memperoleh wawasan yang lebih dalam dan prediktabilitas dari informasi bisnis mereka ketika mereka mengatasi pengaduan yang didorong oleh peraturan. Penggerak bisnis utama dapat mencakup kemampuan untuk mengelola aset informasi dengan lebih baik, menunjukkan kepatuhan terhadap kewajiban peraturan dan hukum, mengurangi risiko litigasi, mengurangi biaya penyimpanan dan penemuan, dan menunjukkan akuntabilitas perusahaan.

28.4 Importance of Effective GRC Practices and Principles Suatu perusahaan perlu mengadopsi tata kelola yang kuat, risiko, dan proses kepatuhan, dengan tujuan membangun program GRC yang efektif. Kita tidak boleh melupakan pentingnya keseluruhan proses tata kelola yang kuat, risiko, dan kepatuhan yang mendukung semua bidang operasi perusahaan. Baik sebagai elemen entitas di mana audit internal melakukan tinjauan dan juga standar pribadi dan profesional auditor internal, prinsip dan proses GRC harus ditekankan. Semua auditor internal harus memiliki pengetahuan CBOK yang kuat dan pemahaman tentang praktik dan prinsip GRC. Mereka harus menjadi komponen dasar yang mendasar dan merupakan komponen penting dari proses tata kelola TI yang efektif.