Proses Bisnis

 Untuk memastikan efektifitas dan efisiensi proses audit, internal auditor harus selalaumeng-update pemahamannya terhadap strategi perusahaan, yang akan diwujudkandalam proses bisnis perusahaan

Pengertian Proses Bisnis

    Proses bisnis adalah serangkaian aktivitas dalam organisasi yang dirancang untuk mencapaitujuan dan sasaran organisasi secara efektif dan efisien. Kategori proses bisnis: prosesoperasi (operating processes), proses manajemen dan proses pendukung (management andsupport processes), serta proses projek (projects).

• Proses operasi, adalah aktivitas bisnis harian untuk penciptaan nilai tambah (value-creation activities) bagi stakeholders.
• Proses manajemen dan proses pendukung, adalah aktivitas yang berkaitan denganmanajemen atau pengelolaan proses operasional dan dukungan terhadap prosesoperasional, yang tujuanya adalah penciptaan nilai (value-creation) terhadap produkatau jasa yang dihasilkan perusahaan.
• Proses projek, adalah aktivitas yang berkaitan dengan kegiatan bisnis yang bersifatunik dan tidak dilaksanakan secara terus menerus.

Proses Bisnis Mencakup :

1. Pernyataan visi dan misi

2. Tujuan organisasi (stratejik, operasi, pelaporan, dan kepatuhan)

3.Value statement (pernyataan tentang nilai tambah atas barang/jasa yang ditawarkanoleh organisasi)

4. Sasaran tahunan organisasi

5. Sasaran tahunan sub bagian inti organisasi

6. Presentasi rencana strategis dan dokumen-dokumen yang terkait

Dokumentasi Proses Bisnis

    Dokumen proses bisnis harus dibuat oleh pelaku proses dan orang-orang yang terlibatdalam proses.Dokumen proses bisnis bermanfaat untuk:

• Alat orientasi bagi personel baru.
• Mendefinisikan area tanggungjawab.
• Evaluasi efektifitas dan efisiensi sistem.
• Menentukan area proses bisnis yang harus mendapatkan perhatian utama.
• Mengidentifikasi risiko-risiko signifikan dan prosedur pengendaliannya.

Urutan dokumentasi proses bisnis:

• Process map, adalah pemetaan proses bisnis untuk mereprentasikanhubungan input, proses, dan output. Proses map bisa juga dilengkapi dengannarasi untuk penjelasan.
• Process write-ups, adalah penulisan proses bisnis untuk mendeskripsikanpeta proses bisnis yang telah digambarkan dalam process map.

Risiko bisnis

    Kemampuan CAE (Chief Audit Executive) dalam mengidentifikasi risiko bisnis akanmenentukan kemampuan auditor dalam menjalankan misinya serta memberikan nilaitambah bagi organisasi.

Meskipun tersedia alat yang cukup banyak untuk menganalis profil risiko, pengukuran risikobisnis tetap masih dalam bentuk proses yang subjektif, yang sangat membutuhkanpengalaman dan judgment yang sehat (sound judgement)

Basic Business Risk Model

      1. Strategic Risks (Risiko Strategis)

• Eksternal, mencakup perubahan sbb: peraturan dan hukum, kompetisi,dinamika pasar, industry, dan teknologi.
• Internal, mencakup: reputasi, fokus strategi, kepuasan konsumen,governance.

      2. Compliance Risks (Risiko Kepatuhan)

• Eksternal, mencakup: kontrak, peraturan, tuntutan hukum, dan perizinan
• Internal, mencakup: etika, kebijakan, kecurangan, dan tindakan ilegal.

    3. Reporting Risks (Risiko Pelaporan)

• Eksternal, mencakup: pelaporan akuntansi dan keuangan serta perpajakan.
• Internal, mencakup pelaporan: anggaran, kinerja, pengendalian internal, dankepatuhan terhadap aturan
• Sumberdaya informasi, mencakup: kemudahan akses, ketersediaan,integritas data, kelengkapan infrastruktur, dan privasi.

    4. Operations Risks (Risiko Operasi)

• Proses, mencakup: rantai pasokan (supply chain), kapasitas, pelaksanaan proses, keamanan, kelangsungan bisnis, siklus operasi, bencana, kelambanan inovasi.
• Manusia, mencakup: ketersediaan SDM, kepemimpinan, SDM inti, insentifkinerja, pemberdayaan, perubahan tuntutan keterampilan, dan komunikasi.
• Keuangan, mencakup: tingkat bunga, kurs valas, kapasitas, default (kegagalankeuangan), konsentrasi, ketersediaan modal, manajemen kas, hargakomoditas, dan jangka waktu.

 Alternatif Tanggapan Resiko

• Avoidance (menghindari risiko), misalnya melalui menurunkan perluasan pasar,menjual divisi usaha, menghentikan produk yang kinerjanya rendah.
• Reduction (menurunkan risiko), misalnya melalui peningkatan pengawasan. 
• Sharing (membagi risiko), misalnya melalui program asuransi.
• Acceptance (mengambil risiko), misalnya dengan mengubah strategi untukmemanfaatkan risiko.

Business Process Out Sourcing

• Business Process Outsourcing (BPO) adalah pengalihan pelaksanaan proses bisniskepada penyedia jasa proses bisnis di luar perusahaan untuk tujuan peningkatanefektifitas dan efisiensi proses bisnis.
• Outsourcing berawal dari bidang TI, tetapi kemudian berkembang ke bidang SDM,rekayasa (engineering), pelayanan konsumen, keuangan dan akuntansi, dan logistik.

Praktik yang sehat dalam BPO:

1. Melibatkan internal auditor dalam seluruh proses BPO.

2. Verifikasi terhadap seluruh departemen/ bagian pendukung proses bisnis, sepertibagian legal, bagian pengamanan informasi, dan bagian SDM.

3. Memahami argumen tentang bagaimana dan mengapa memutuskan BPO.

4. Verifikasi pertimbangan pemilihan alternatif BPO.

5. Membuat dokumentasi proses konversi ke BPO.

6. Membuat bagan alir untuk proses bisnis yang penting.

7. Verifikasi analisis strategis untuk memastikan keselarasan dengan sasaran organisasi

8. Verifikasi analisis kos dan manfaat.

9. Lakukan asesmen risiko secara cermat.

10.Verifikasi cara pengawasan BPO termasuk personalia yang ditugasi untuk melakukan pengawasan

Manajeman Resiko

Manajemen Risiko

    Audit internal dapat menghindari adanya resiko kesalahan, penyalahgunaan, dan kendala dengan mengembangkan efisiensi dan efektivitas perusahaan. Manajemen risiko adalah upaya organisasi yang terkoordinasi untuk mengarahkan dan mengendalikan risiko sehingga manajemen risiko merupakan arsitektur untuk mengelola risiko secara sistematis, yang terdiri dari prinsip, kerangka kerja, dan proses untuk mengelola risiko.

    Manajemen risiko juga dijelaskan dalam Peraturan Menteri Keuangan Nomor 142/PMK.010/2009 sebagai serangkaian prosedur dan metodologi yang digunakan untuk mengidentifikasi, mengukur, memantau, dan mengendalikan risiko yang timbul dari kegiatan usaha. Semakin berkembangnya perusahaan maka kegiatan dan masalah yang dihadapi perusahaan semakin kompleks. Oleh sebab itu, audit internal harus menerapkan manajemen risiko yang baik. 

1. Pengertian Manajemen Risiko 

a. Wideman dan Mamduh (2009) 

    Risiko adalah ketidakpastian yang menimbulkan kemungkinan menguntungkan yang dikenal dengan istilah opportunity, sedangkan ketidakpastian yang menimbulkan akibat yang merugikan dikenal dengan istilah risiko (risk).

b. Emmaett J Vaughan dan Curtis Elliot (1978)

    Risiko diartikan sebagai kans kerugian (the chance of loss), kemungkinan kerugian (the possibility of loss), ketidakpastian (uncertainty), penyimpangan kenyataan dari hasil yang diharapkan (the dispersion of actual from expected result), probabilitas bahwa suatu hasil berbeda dari yang diharapkan (the probability of any outcome different from the expected).

c. Herman Darmawi (2006)

    Manajemen risiko adalah suatu usaha untuk mengetahui, menganalisis, serta mengendalikan risiko dalam setiap kegiatan perusahaan dengan tujuan untuk memperoleh efektivitas dan efisiensi yang lebih tinggi.

d. Irham Fahmi (2010) 

    Manajemen risiko sebagai suatu bidang ilmu yang membahas tentang bagaimana suatu organisasi atau perusahaan menerapkan ukuran dalam memetakan berbagai permasalahan yang ada dengan menempatkan berbagai pendekatan manajemen secara komprehensif dan sistematis.

2. Manfaat Manajemen Risiko bagi Perusahaan

a. Menjamin pencapaian tujuan

b. Meminimalkan kemungkinan bangkrut

c. Meningkatkan keuntungan perusahaan

d. Memberikan keamanan pekerjaan

3. Tujuan Manajemen Risiko

a. Menyediakan informasi mengenai risiko kepada pihak regulator.

b. Meminimalkan kerugian dari berbagai risiko yang uncontrolled.

c. Agar perusahaan tetap hidup dengan perkembangan yang berkesinambungan.

d. Biaya manajemen risiko (risk management) yang efisien dan efektif.

e. Memberikan rasa aman.

f. Agar pendapatan perusahaan stabil dan mampu memberikan kepuasan bagi pemilik dan pihak lain.

4. Prinsip Manajemen Risiko

a. Perumusan tujuan

    Kejelasan visi dan misi perusahaan menjadi pedoman untuk menentukan langkah-langkah rasional dan strategi yang harus ditempuh, salah satunya yaitu tujuan yang hendak dicapai dalam pengelolaan risiko perusahaan melalui langkah-langkah antisipasi risiko secara umum yang bertujuan untuk menghindari segala bentuk pemborosan.

b. Kesatuan arah

    Dalam menjalankan suatu kegiatan dalam perusahaan, maka harus mempunyai tujuan yang sama dengan yang diarahkan oleh pimpinan. 

c. Pembagian kerja dan pendelegasian wewenang

    Pembagian kerja dan pendelegasian wewenang dalam sebuah perusahaan perlu dilakukan sehingga setiap unit mengetahui secara jelas wewenang dan tanggung jawab yang diembannya. 

d. Koordinasi

    Koordinasi merupakan salah satu fungsi manajemen atau proses pengintegrasian, sinkronisasi, serta penyederhanaan pelaksanaan tugas yang terpisah-pisah secara terus menerus untuk mencapai tujuan secara efektif dan efisien. 

e. Pengawasan

    Dengan adanya prinsip pengawasan, maka dapat diketahui tentang hasil yang telah dicapai. Pengawasan dapat berfungsi untuk mengukur seberapa jauh hasil yang telah dicapai sesuai dengan apa yang telah direncanakan.

5. Langkah-langkah Manajemen Risiko

a. Identifikasi Risiko perusahaan

    Identifikasi risiko bisa dilakukan dengan bantuan penggunaan checklist. Dalam sebuah perusahaan diperlukan metode yang sistematis untuk mengeksplorasi semua segi dari sebuah perusahaan. Metode yang bisa digunakan adalah:

1). Kuesioner analisis risiko (risk analysis questionnaire)

    Manajer risiko perlu memastikan bahwa informasi yang diperlukan berkenaan dengan harta dan operasi perusahaan tidak ada yang terlupakan.

2). Metode laporan keuangan

    Metode ini dilakukan dengan menganalisis laporan keuangan yaitu neraca, laporan laba dan rugi, serta catatan keuangan lainnya.

3). Metode peta aliran

    Metode ini akan menggambarkan seluruh rangkaian operasi usaha dimulai dari input sampai output.

4). Metode inspeksi langsung di tempat

    Metode ini digunakan untuk melakukan pemeriksaan secara langsung di tempat dimana dilakukan aktivitas perusahaan.

5). Mengadakan interaksi dengan pihak luar

    Pihak luar bisa diartikan yaitu mengadakan hubungan dengan perseorangan ataupun perusahaan-perusahaan lain. Terutama pihak-pihak yang dapat membantu perusahaan dalam menanggulangi risiko seperti penasihat hukum, akuntan, konsultan manajemen, dan lain-lain. Mereka dapat membantu dalam mengembangkan identifikasi terhadap kerugian-kerugian potensial.

6). Catatan statistik dari kerugian masa lalu

    Catatan ini bisa digunakan untuk evaluasi kinerja. Kinerja yang berpotensi akan menimbulkan kerugian perlu dipantau dan disempurnakan, seperti: kualitas produksi, kualitas pelayanan, dan lain-lain.

7). Analisis lingkungan

    Langkah ini sangat diperlukan guna mengetahui kondisi yang mempengaruhi timbulnya risiko seperti konsumen, pesaing, supplier, dan lain-lain.

b. Mengukur risiko

Mengukur usaha dilakukan dengan tujuan untuk mengetahui relative tingkat pentingnya dan memperoleh informasi untuk menetapkan kombinasi peralatan manajemen risiko yang tepat untuk menangani. Metode untuk mengukur risiko ini antara lain:

1) Metode sensitivitas

    Metode sensitivitas merupakan suatu cara pengukuran dampak pada eksposur dari akibat pergerakan variabel suatu risiko. Adapun variabel risiko yang dianalisis menggunakan metode sensitivitas antara lain: risiko suku bunga, risiko nilai tukar, risiko pasar, risiko kredit, dan risiko likuiditas.

2) Metode volatilitas

    Metode volatilitas merupakan metode yang menunjukkan besaran kemungkinan hasil di sekitar ekspektasi hasil. Volatilitas yang sering digunakan adalah jangkauan (range) dan standar deviasi. Perhitungan standar deviasi dapat menggunakan dua jenis data yaitu data historis dan data hasil peramalan

3) Risiko sisi bawah (downside risk)

    Risiko dapat memberi dampak positif maupun negative. Risiko ini hanya mengukur potensi dampak buruk bila risiko menjadi kenyataan

c. Pengendalian risiko

    Pengendalian risiko (risk control) dapat dilakukan melalui pengendalian risiko dan pembiayaan risiko. Pengendalian risiko dapat dijalankan dengan menghindari ris

Fungsi Audit Internal dan Piagam Audit Internal

 Fungsi Audit Internal

    Audit internal adalah proses pemeriksaan yang dikelola secara independen di dalam organisasi terhadap laporan dan catatan akuntansi perusahaan untuk menguji dan mengevaluasi kegiatan organisasi yang dilaksanakan.

Fungsi Audit Internal Antara Lain Sebagai Berikut :

    Menurut Tugiman (2014), tujuan audit internal adalah membantu para anggota organisasi agar mereka dapat melaksanakan tanggung jawabnya secara efektif. Audit internal mencakup pula usaha mengembangkan pengendalian yang efektif dengan biaya yang wajar.

    Sedangkan menurut Hery (2017), audit internal secara umum bertujuan untuk membantu segenap anggota manajemen dalam menyelesaikan tanggung jawab mereka secara efektif, dengan memberi mereka analisis, penilaian, saran dan komentar yang objektif mengenai kegiatan atau hal-hal yang diperiksa.

    Menurut Sawyer (2009), audit internal memiliki fungsi penilaian yang bebas dalam suatu organisasi, guna menelaah atau mempelajari dan menilai kegiatan-kegiatan perusahaan untuk memberikan saran-saran kepada manajemen. Tujuannya adalah untuk membantu tingkatan manajemen agar tanggung jawab dilaksanakan secara efektif.

 Fungsi audit internal secara detail dapat dijelaskan sebagai berikut:

1. Membahas menilai kebaikan dan ketepatan pelaksanaan pengendalian akuntansi, keuangan serta operasi. 
2. Meyakinkan apakah pelaksanaan sesuai dengan kebijaksanaan rencana dan prosedur yang ditetapkan. 
3. Meyakinkan apakah kekayaan perusahaan dipertanggungjawabkan dengan baik dan dijaga dengan aman terhadap segala kemungkinan risiko kerugian. 
4. Meyakinkan tingkat kepercayaan akuntansi dan cara lainnya yang dikembangkan dalam organisasi.
5. Menilai kualitas pelaksanaan tugas dan tanggung jawab yang telah dibebankan.

 Manfaat yang diberikan oleh audit internal untuk perusahaan.

1. Audit internal melaporkan langsung kepada para pemangku kepentingan, agar perusahaan dapat memanfaatkan hasil laporan tersebut untuk mengidentifikasikan dan memperbaiki kelemahannya sebagai persiapan untuk audit eksternal di mana hasilnya akan dibagikan kepada publik.
2. Meningkatkan lingkungan pengendalian perusahaan, agar proses tata kelola internal bisa berjalan dengan lancar sebagaimana mestinya.
3. Mengidentifikasi redundansi dalam prosedur operasional dan pengendalian serta meningkatkan efisiensi dan efektivitasnya.
4. Berfungsi sebagai sistem peringatan dini jika terjadi kendala, sehingga setiap masalah yang mungkin terjadi dapat diidentifikasi dan diperbaiki tepat waktu.
5. Meningkatkan akuntabilitas dalam sebuah organisasi perusahaan.

Piagam Audit Internal

    Piagam audit internal adalah dokumen resmi yang disetujui oleh fungsi oversight/Dewan Komisaris/Dewan Pengawas dan disepakati dengan manajemen. 

 Mengapa Piagam Audit Internal Penting

    Piagam audit internal adalah cetak biru/landasan bagi organisasi yang mengatur bagaimana audit internal dapat melakukan tugasnya dan membantu fungsi oversight memberi sinyal yang jelas atas independensi audit internal.

    Idealnya piagam audit internal memberikan penegasan atas garis pelaporan Chief Audit Executive (CAE) yang mendukung independensi audit internal dengan melaporkan secara fungsional kepada fungsi oversight (atau fungsi yang bertanggung jawab atas tata kelola organisasi) dan secara administratif kepada manajemen. Piagam audit internal juga memberikan kewenangan yang diperlukan audit internal untuk menjalankan tugasnya, misalnya audit internal memiliki hak akses tanpa batas ke catatan, personel, dan properti organisasi yang relevan sehingga dapat menjalankan tugasnya.

Komponen Penting Piagam Audit Internal

    IIA telah mengidentifikasi tujuh komponen utama yang mendukung kekuatan dan efektivitas keseluruhan kegiatan audit internal dan harus dicakup dalam piagam audit internal. Tujuh komponen tersebut antara lain sebagai berikut :

1. Misi dan Tujuan:

• Misi audit internal adalah untuk meningkatkan dan melindungi nilai organisasi dengan memberikan asurans, saran, dan wawasan berbasis risiko yang objektif.
• Tujuan audit internal adalah untuk menyediakan jasa asurans dan konsultasi yang independen dan objektif, yang dirancang untuk meningkatkan nilai dan operasi organisasi.

2.  Standar Internasional Praktik Profesional Audit Internal:

• Audit internal harus memastikan seluruh kegiatannya telah mematuhi unsur-unsur wajib Kerangka Praktik Profesional Internasional (IPPF) IIA termasuk Standar, Prinsip Inti Praktik Profesional Audit Internal, Definisi Audit Internal dan Kode Etik.

3. Kewenangan - Piagam harus mencakup:

•  Pernyataan tentang hubungan pelaporan fungsional dan administrasi CAE dalam organisasi.
• Pernyataan bahwa fungsi oversight akan menetapkan, memelihara dan memastikan bahwa kegiatan audit internal memiliki wewenang yang cukup untuk memenuhi tugasnya dengan:

➢ Menyetujui piagam audit internal.

➢ Menyetujui rencana audit internal yang tepat waktu, berbasis risiko, dan agile.

➢ Menyetujui anggaran dan rencana sumber daya audit internal.

➢ Menerima komunikasi tepat waktu dari CAE tentang kinerja audit internal relatif terhadap rencana audit internalnya.

➢ Berpartisipasi aktif dalam diskusi terkait pengangkatan dan pemberhentian CAE untuk memutuskan 

persetujuannya. 

➢ Berpartisipasi aktif dalam diskusi terkait remunerasi CAE untuk memutuskan persetujuannya.

➢ Menanyakan kepada manajemen dan CAE apakah ada ruang lingkup yang tidak tepat atau keterbatasan sumber daya audit internal.

➢ Membuat dan menyetujui pernyataan bahwa CAE akan memiliki akses tidak terbatas ke fungsi oversight serta dapat berkomunikasi dan berinteraksi langsung dengan fungsi oversight tanpa kehadiran manajemen.

➢ Membuat dan menyetujui kewenangan bahwa audit internal akan memiliki akses tidak terbatas atas semua fungsi, catatan, properti, dan personel yang berkaitan dengan pelaksanaan pekerjaannya, dan bertanggung jawab atas kerahasiaan dan catatan dan informasi tersebut.

4. Independensi dan Objektivitas - Piagam harus mencakup:

• Pernyataan bahwa CAE akan memastikan bahwa aktivitas audit internal bebas dari kondisi yang mengancam kemampuan audit internal untuk melakukan pekerjaannya dalam keadaan yang tidak memihak. Jika independensi atau objektivitas audit internal terganggu secara fakta maupun penampilan, CAE akan mengungkapkan rincian potensi penurunan independensi dan objektivitas audit internal kepada pihak-pihak yang tepat.
• Pernyataan bahwa kegiatan audit internal tidak memiliki tanggung jawab atau wewenang operasional langsung atas kegiatan yang diaudit.
•  Pernyataan bahwa jika CAE memiliki atau diharapkan memiliki peran dan / atau tanggung jawab di luar audit internal, kerangka pengaman (safeguards) akan dibuat untuk membatasi terjadinya penurunan independensi dan obyektivitas.
•  Kewajiban bagi CAE untuk mengkonfirmasi setidaknya setiap tahun atas independensi kegiatan audit internal kepada fungsi oversight.

5. Lingkup Kegiatan Audit Internal - Piagam harus mencakup:

• Pernyataan bahwa ruang lingkup kegiatan audit internal meliputi, tetapi tidak terbatas pada, pemeriksaan objektif dengan tujuan memberikan penilaian independen terhadap kecukupan dan efektivitas tata kelola, manajemen risiko, dan proses kontrol.
• Pernyataan bahwa CAE akan melaporkan secara berkala kepada manajemen dan fungsi oversight atas hasil kerja audit internal.

6. Tanggung jawab - Piagam harus mencakup:

•  Pernyataan tentang tanggung jawab audit internal untuk:

➢ Menyampaikan setidaknya setiap tahun rencana audit internal berbasis risiko.

➢ Berkomunikasi dengan manajemen dan fungsi oversight dampak keterbatasan sumber daya pada rencana audit internal.

➢ Memastikan aktivitas audit internal memiliki akses terhadap sumber daya yang berkaitan dengan kompetensi dan keterampilan.

➢ Mengelola aktivitas audit internal dengan tepat sehingga dapat memenuhi mandatnya.

➢ Memastikan kesesuaian dengan Standar IIA.

➢ Mengkomunikasikan hasil pekerjaannya dan memantau tindakan korektif yang disepakati.

➢ Koordinasi dengan penyedia asurans lainnya.

7. Program Kualitas Asurans dan Peningkatan audit internal - Piagam harus mencakup:

• Pernyataan bahwa kegiatan audit internal akan mengelola program kualitas asurans dan program peningkatan audit internal yang mencakup semua aspek kegiatan audit internal termasuk evaluasi kesesuaiannya dengan Standar IIA.
•  Kewajiban bagi CAE untuk melaporkan secara berkala hasil dari program kualitas asurans dan peningkatan audit internal kepada manajemen dan fungsi oversight dan memastikan dilakukannya penilaian eksternal atas kegiatan audit internal setidaknya setiap lima tahun sekali.

Tata Kelola

    

Definisi Tata Kelola

    Istilah tata kelola memiliki beragam definisi tergantung pada berbagai keadaan lingkungan, struktural, dan budaya, serta kerangka hukum.

• Standar mendefinisikan tata kelola sebagai kombinasi proses dan struktur yang diterapkan oleh Dewan untuk menginformasikan, mengarahkan, mengelola, dan memantau kegiatan organisasi dalam rangka pencapaian tujuan. 
• CAE dapat menggunakan definisi yang berbeda untuk tujuan audit apabila organisasi telah mengadopsi kerangka atau model tata kelola yang berbeda.
• Secara global, terdapat berbagai model tata kelola yang telah diterbitkan oleh organisasi lain serta badan regulator tertentu. Sebagai contoh, Organisasi untuk Kerjasama Ekonomi dan Pembangunan (OECD) mendefinisikan tata kelola sebagai satu set hubungan antara manajemen perusahaan, dewan, pemegang saham, dan pemangku kepentingan lainnya. Tata kelola perusahaan menyediakan struktur bagi penetapan tujuan perusahaan dan sarana-sarana untuk mencapai tujuan-tujuan eserta pemantauan kinerjanya. 
• The Australian Securities Exchange Corporate Governance Council mendefinisikan tata kelola sebagai sistem dimana perusahaan diarahkan dan dikelola. Ini mempengaruhi bagaimana tujuan perusahaan ditetapkan dan dicapai, bagaimana risiko dipantau dan dinilai, dan bagaimana kinerja dioptimalkan. 
• Dalam banyak kasus, ada indikasi bahwa tata kelola adalah sebuah proses atau sistem, dan tidak bersifat statis. Apa yang membedakan pendekatan dalam Standar adalah penekanan khusus di Dewan dan kegiatan tata kelola mereka.

    Kerangka kerja dan prasyarat bagi tata kelola dapat bervariasi antara organisasi satu dengan yang lain tergantung jenis organisasi dan regulasi terkait. Contohnya perusahaan publik, organisasi nirlaba, asosiasi, pemerintahan, lembaga akademik, perusahaan swasta, komisi, dan bursa efek akan dapat memiliki tata kelola yang berbeda-beda.

    Demikian pula, desain organisasi dan praktik prinsip-prinsip tata kelola yang efektif juga dapat bervariasi tergantung pada kompleksitas, ukuran, dan siklus kematangan hidup organisasi, struktur pemangku kepentingan, persyaratan hukum dan budaya, dan lain-lain.

    Audit internal merupakan bagian integral dari kerangka tata kelola organisasi. Posisi mereka yang unik dalam organisasi memungkinkan auditor internal untuk mengamati dan menilai secara formal struktur tata kelola, desain, serta efektivitas operasionalnya, dengan tetap independen.

Peranan Auditor Internal Dalam Pengeloaan Organisasi 

    Dalam kebanyakan organisasi, Audit Internal dapat menjadi kunci dalam pencapaian tujuan. Meski struktur organisasi sesungguhnya berbeda dengan organisasi yang satu dengan lainnya, setiap organisasi harus menetapkan struktur tatakelola secara keseluruhan untuk memastikan kebutuhan seluruh pemangku kepentingan bertemu. Struktur tatakelola akan memberikan pedoman aktivitas untuk mengelola risiko yang melekat pada perusahaan.

    Poin penting yang dapat diambil dari gambaran terhadap (tata kelola) governance adalah :

• Governance dimulai dari jajaran direkturdan para komite.jajaran manajemen harus memahami dan fokus terhadap kebutuhan dari para pemangku kepentingan.
• Tata kelola dalam penerapannya sehari hari dilaksanakan oleh manajemen dari organisasi.
• Aktivitas internal dan eksternal dipertanggungjawabkan dan selalu dipantau oleh jajaran manajemen.  

    Untuk melaksanakan tanggung jawab governance, manajemen senior bertanggung jawab untuk:

• Memastikan bahwa seluruh lingkup arah dan wewenang dipahami dengan tepat
• Mengidentifikasi proses dan kegiatan dalam organisasi yang merupakan bagian integral dalam melaksanakan arah pemerintahan yang disediakan oleh dewan. Oleh karena itu, manajemen senior harus menentukan:Di mana organisasi mengelola risiko tertentu yang dapat menimbulkan dampak yang tidak dapat diterima.

1. Siapa yang akan bertanggung jawab untuk mengelola  risiko tersebut.
2. Bagaimana risiko tersebut akan dikelola.
3. Mengevaluasi apa pertimbangan bisnis lain atau faktor-faktor yang mungkin membuat pembenaran untuk mendelegasikan tingkat toleransi lebih rendah kepada  pemilik risiko dari yang didelegasikan oleh dewan.
4. Memastikan bahwa informasi yang memadai telah dikumpulkan dari pemilik risiko untuk mendukung  kebutuhan pelaporan kepada dewan.

Auditor Internal Sebagai Komponen Tata Kelola Perusahaan

   Audit Internal mendukung kepatuhan dalam kerangka tata kelola perusahaan dengan dua cara : Pertama, Audit Internal merupakan komponen integral dari sistem pemantauan bisnis. Kedua, hasil kerja lapangannya menghasilkan berbagai informasi yang dapat digunakan untuk memastikan dan meningkatkan kesadaran dan kepatuhan terhadap persyaratan kepatuhan.

    Tanggung jawab Audit Internal meliputi pemeriksaan pelaporan keuangan dan pengendalian proses, audit individual khusus kasus (terutama dalam kasus dugaan kerugian perusahaan atau berdasarkan permintaan khusus dari Direksi), inisiasi pedoman dan pekerjaan instruksi, dan kerjasama yang erat dengan Manajemen risiko, auditor eksternal, dan jika perlu Komite Audit.

    Audit Internal terlibat dalam pendekatan tata kelola perusahaan secara keseluruhan dalam berbagai cara. Hubungan individu dapat digambarkan sebagai berikut:

• Sebagai badan audit Dewan, Audit Internal mengemban tugas yang memungkinkan Dewan mendelegasikan tanggung jawabnya sehubungan dengan tanggung jawab dan tata kelola.
• Audit Internal melakukan berbagai kegiatan lapangan untuk mendorong fokus yang kuat pada kepatuhan pelaporan keuangan.
• Audit sistem pengendalian internal mencakup baik evaluasi proses atas dasar sampel selama audit individu dan tes kepatuhan sistematis untuk mempersiapkan pengungkapan yang ditetapkan.  
• Memantau sistem manajemen risiko, bersama dengan fungsi manajemen risiko.
• Untuk mematuhi aturan dan menegakkan tindakan individu, biasanya Dewan Direksi perlu menetapkan pedoman dan instruksi yang sesuai.
• Komunikasi antara Audit Internal dan Direksi membantu memperkuat peran Audit Internal. Untuk itu, Standar mengharuskan Komite Audit bertemu secara pribadi dan secara berkala. 
• Ada beberapa pilihan kerjasama dengan auditor eksternal. Temuan audit yang sedang berlangsung dapat dipertukarkan secara teratur. Selain itu, laporan audit internal harus tersedia bagi auditor eksternal.
• Pada akhirnya, laporan Audit Internal menyediakan berbagai informasi yang memungkinkan Direksi dan manajemen untuk memulai atau melakukan kegiatan yang bertujuan untuk mematuhi prinsip-prinsip tata kelola perusahaan berdasarkan kasus per kasus.

Penilaian Tata Kelola

    Penilaian audit internal terhadap proses tata kelola sangat mungkin didasarkan pada informasi yang diperoleh dari berbagai penugasan audit dari waktu ke waktu. Auditor internal harus mempertimbangkan:

• Hasil audit terhadap proses tata kelola tertentu (misalnya: proses whistleblower, proses manajemen strategi).
• Isu-isu tata kelola yang timbul dari audit lain yang tidak secara khusus berfokus pada tata kelola (misalnya: audit proses manajemen risiko, pengendalian internal atas pelaporan keuangan, risiko kecurangan).
• Hasil kerja penyedia layanan pemastian lainnya, baik internal dan eksternal (misalnya: audit oleh KAP, BPKP, BPK, dsb). 
• Informasi lain tentang isu-isu tata kelola misalnya suatu insiden merugikan yang memberikan peluang untuk memperbaiki proses tata kelola.

3 lines of model

Pertahanan 3 Lapis (The 3 Lines of Defence) – Konteks ERM Perusahaan Publik di Indonesia

    Model 3LD adalah model pertahanan internal organisasi perusahaan yang secara sederhana dapat diringkas sebagai berikut:

 1.  Pertahanan lapis pertama:

• Pertahanan lapis pertama dilaksanakan oleh unit atau komponen atau fungsi bisnis yang melakukan aktivitas operasional perusahaan sehari-hari, terutama yang merupakan garis depan atau ujung tombak organisasi. Dalam hal ini mereka diharapkan untuk:
• Memastikan adanya lingkungan pengendalian (control environment) yang kondusif di unit bisnis mereka.
• Menerapkan kebijakan manajemen risiko yang telah ditetapkan sewaktu menjalankan peran dan tanggung jawab mereka terutama dalam mengejar pertumbuhan perusahaan. Mereka diharapkan secara penuh kesadaran mempertimbangkan faktor risiko dalam keputusan-keputusan dan tindakan-tindakan yang dilakukannya.
• Mampu menunjukkan adanya pengendalian internal yang efektif di unit bisnis mereka, dan juga adanya pemantauan dan transparansi terhadap efektifitas pengendalian internal tersebut

2.     Pertahanan lapis kedua

    Pertahanan lapis kedua dilaksanakan oleh fungsi-fungsi manajemen risiko dan kepatuhan, terutama fungsi-fungsi manajemen risiko dan kepatuhan yang sudah terstruktur misal: departemen atau unit manajemen risiko dan kepatuhan. Dalam hal ini, mereka diharapkan untuk:

• Bertanggung jawab dalam mengembangkan dan memantau implementasi manajemen risiko perusahaan secara keseluruhan.
• Melakukan pengawasan terhadap bagaimana fungsi bisnis dilaksanakan dalam koridor kebijakan manajemen risiko dan prosedur-prosedur standard operasionalnya yang telah ditetapkan oleh perusahaan.
• Memantau dan melaporkan risiko-risiko perusahaan secara menyeluruh kepada organ yang memiliki akuntabilitas tertinggi di perusahaan.

3.      pertahanan lapis ketiga  

• Pertahanan lapis ketiga dilaksanakan oleh auditor baik auditor internal maupun auditor eksternal. Peran auditor internal jauh lebih intens dalam model 3LD ini karena mereka adalah bagian internal perusahaan yang bersifat independen terhadap fungsi-fungsi lainnya. Dalam hal ini, auditor internal diharapkan untuk:
• Melakukan reviu dan evaluasi terhadap rancang bangun dan implementasi manajemen risiko secara keseluruhan, dan
• Memastikan bahwa pertahanan lapis pertama dan lapis kedua berjalan sesuai dengan yang diharapkan.

    Untuk perusahaan publik di Indonesia, konteks penerapan model 3LD harus dilihat dari kacamata bentuk struktur governance di Indonesia yang menganut ‘two-board system’ yaitu keberadaan direksi perusahaan yang memiliki akuntabilitas eksekutif (executive accountability) dan dewan komisaris yang memiliki akuntabilitas pengawasan (oversight accountability). Sejalan dengan peraturan Bapepam, direksi memiliki unit audit internal sebagai bagian dari pengendalian perusahaan dan dewan komisaris memiliki komite audit sebagai bagian dari mekanisme pelaksanaan akuntabilitas mereka. Dalam konteks tersebut, di bawah ini adalah ilustrasi gambaran umum model Pertahanan Tiga Lapis untuk perusahaan publik di Indonesia:

    "Gambar di atas menunjukkan bahwa ketiga lapis pertahanan berada di bawah akuntabilitas dan koordinasi langsung direksi perusahaan (ditunjukkan dengan tanda panah solid)"

     Sedangkan dewan komisaris – melalui komite audit mereka – memiliki akuntabilitas tidak langsung (ditunjukkan dengan tanda panah terputus-putus) terhadap pertahanan lapis ketiga. Walaupun dewan komisaris hanya memiliki koordinasi dengan auditor internal dan eksternal untuk pertahanan lapis ketiga, mereka juga sebenarnya secara tidak langsung terlibat dalam pemantauan efektifitas pertahanan lapis kedua melalui hasil reviu auditor internal tentang efektifitas kebijakan dan implementasi manajemen risiko di perusahaan mereka secara menyeluruh.

    Walaupun tidak diharuskan oleh Bapepam, dewan komisaris di beberapa perusahaan publik juga memiliki komite pemantau risiko di samping komite audit. Bagi perusahaan-perusahaan tersebut, akuntabilitas pertahanan lapis kedua secara lebih eksplisit juga menjadi bagian dari akuntabilitas tidak langsung dewan komisaris perusahaan, sebagaimana diilustrasikan dalam gambar di bawah ini:

   " Gambar di atas memperlihatkan bahwa akuntabilitas langsung untuk ketiga lapis pertahanan ada di direksi perusahaan (ditunjukkan dengan tanda panah solid)"

 Sementara akuntabilitas dewan komisaris bersifat tidak langsung (ditunjukkan dengan tanda panah terputus-putus) dan terkait hanya pada lapis kedua dan ketiga dari pertahanan tersebut.

    Walaupun dewan komisaris – melalui komite audit dan komite pemantau risiko – hanya memiliki koordinasi dengan auditor internal dan eksternal untuk pertahanan lapis ketiga, dan koordinasi dengan departemen atau unit manajemen risiko untuk pertahanan lapis kedua, mereka juga sebenarnya secara tidak langsung dapat terlibat dalam pemantauan efektifitas pertahanan lapis pertama melalui laporan-laporan dari departemen atau unit manajemen risiko tersebut kepada komite pemantau risiko.

    Bagi beberapa orang, penerapan model 3LD ini diyakini akan membuat daya tahan (resilience) perusahaan terhadap risiko-risiko yang dihadapi akan jauh lebih kuat – terutama bagi perusahaan publik yang memiliki komite audit dan komite pemantau risiko – dibanding perusahaan yang tidak menerapkannya. Oleh karena itu, sering dikatakan bahwa kematangan dan efektifitas penerapan Enterprise Risk Management (ERM) di perusahaan akan tercermin dari efektifitas penerapan model 3LD ini. Semakin matang model ini diterapkan, semakin intens terciptanya suatu budaya manajemen risiko yang terpadu di seluruh proses dan seluruh lini perusahaan, menuju suatu tingkat daya tahan organisasi (organizational resilience) yang kokoh dan menyeluruh.