Analitik Jurnal pada Populasi Data yang Tidak Lengkap
KAP Anda mengaudit PT Global Retail yang memiliki empat entitas anak; tiga memakai ERP SAP dan satu memakai sistem akuntansi lokal. Untuk pengujian jurnal, tim meminta ekstraksi buku besar 1,2 juta baris dari SAP. Data diberikan oleh staf TI klien pada 12 Februari 2025 dalam bentuk file CSV, tanpa tabel master akun dan tanpa buku besar entitas anak keempat. Rekonsiliasi ke neraca saldo belum dilakukan. Dari data tersebut, tim menemukan 4.300 jurnal manual yang diposting antara pukul 23.00 dan 02.00 oleh dua akun pengguna generik (USER01 dan ADMIN), dan uji Hukum Benford atas digit pertama menunjukkan penyimpangan 8% pada angka yang dimulai dengan 4. File ekstraksi juga memuat nama dan nomor identitas pelanggan, dan disimpan di folder bersama yang dapat diakses seluruh staf KAP. Anggaran perikatan hampir habis dan partner menanyakan apakah temuan ini cukup untuk menyimpulkan adanya kecurangan.
1. Apakah kesimpulan analitik tim dapat diandalkan? Prosedur apa yang diperlukan untuk memastikan kelengkapan dan akurasi data?
Read the worked answer
Kesimpulan analitik belum dapat diandalkan karena populasinya tidak lengkap dan belum tervalidasi. Ada tiga cacat: buku besar entitas anak keempat tidak termasuk, tabel master akun tidak ada sehingga pemetaan akun tidak dapat diuji, dan tidak ada rekonsiliasi ke neraca saldo. Kesimpulan tentang jurnal manual atau Hukum Benford dari data seperti ini hanya berlaku untuk sebagian populasi, dan justru entitas yang tidak diekstrak bisa menjadi tempat jurnal bermasalah.
Prosedur perbaikan:
- Minta ekstraksi ulang yang mencakup keempat entitas, atau ekstrak terpisah untuk sistem akuntansi lokal, dengan parameter dan tanggal yang sama.
- Rekonsiliasi jumlah baris dan total nilai ekstraksi ke buku besar dan neraca saldo per entitas; setiap selisih harus dijelaskan.
- Uji kelengkapan secara independen: ambil jumlah transaksi dari tabel kontrol sistem, bandingkan dengan jumlah baris file, dan uji sampel balik ke dokumen sumber.
- Idealnya peroleh akses baca-saja langsung atau saksikan proses ekstraksi, agar tidak bergantung pada file yang disiapkan klien.
- Dokumentasikan query, tanggal ekstraksi, dan hasil rekonsiliasi.
Sikap yang benar. Tekanan anggaran bukan alasan menerima data yang tidak lengkap; lebih baik mempersempit lingkup kesimpulan dan menyatakannya secara eksplisit daripada menyimpulkan kecurangan dari populasi yang cacat. Sampaikan kepada partner bahwa temuan saat ini berstatus indikasi, bukan bukti.
2. Bagaimana Anda menindaklanjuti 4.300 jurnal manual malam hari dan menafsirkan penyimpangan Hukum Benford 8%?
Read the worked answer
Jurnal manual malam hari oleh akun generik. Pola ini adalah indikator risiko management override yang wajib ditindaklanjuti, tetapi bukan bukti kecurangan. Penjelasan yang tidak bersalah tetap mungkin: proses batch terjadwal, perbedaan zona waktu, atau kebiasaan penutupan harian.
Prosedur berbasis risiko:
- Uji keunikan akun pengguna: apakah USER01/ADMIN dipakai bersama, siapa yang memiliki akses, dan apakah log sistem dapat mengidentifikasi individu.
- Saring jurnal yang paling berisiko: angka bulat besar, kombinasi akun tidak biasa (pendapatan berhadapan dengan akun antarperusahaan atau akun suspens), jurnal yang dibalik dalam 1–3 hari, dan jurnal tanpa deskripsi.
- Untuk sampel berisiko tinggi, minta dokumen pendukung, uji otorisasi sesuai kebijakan, dan lakukan wawancara.
- Telaah hak akses dan pemisahan tugas pada sistem sebagai pengendalian umum TI.
- Tindak lanjuti jurnal yang muncul tepat sebelum tutup buku dan dibalik pada periode berikutnya.
Hukum Benford. Uji ini hanya alat prioritisasi. Penyimpangan 8% pada digit pertama 4 dapat berasal dari struktur harga, batas nilai, atau populasi yang tidak sesuai asumsi Benford. Lakukan analisis akar masalah per kelompok data dan per akun sebelum menyimpulkan apa pun.
Jawaban untuk partner: temuan ini cukup untuk memperluas prosedur, belum cukup untuk menyimpulkan kecurangan; kesimpulan hanya boleh diambil setelah prosedur di atas dan setelah populasi data lengkap.
3. Bagaimana Anda menangani data pribadi pelanggan yang ikut terekstraksi dan tersimpan di folder bersama?
Read the worked answer
Kewajiban kerahasiaan dan pelindungan data. Nama dan nomor identitas pelanggan bukan bagian yang diperlukan untuk pengujian jurnal. Mengambil dan menyimpan data pribadi yang tidak relevan melanggar prinsip minimalisasi dan menciptakan risiko pelanggaran kerahasiaan menurut Kode Etik serta peraturan pelindungan data pribadi yang berlaku.
Langkah segera:
- Pindahkan file dari folder bersama ke repositori perikatan dengan akses terbatas pada tim inti, dan cabut akses staf lain.
- Hapus atau samarkan kolom nama dan nomor identitas; pertahankan hanya kolom yang diperlukan untuk analitik.
- Catat siapa yang mengakses, kapan, dan untuk tujuan apa; tetapkan jadwal retensi dan penghapusan setelah perikatan selesai.
- Bila data sudah tersebar (misalnya diunduh ke perangkat pribadi), tarik dan hapus salinannya; nilai apakah perlu pemberitahuan internal sesuai kebijakan KAP.
- Tinjau perjanjian perikatan dan instruksi klien tentang penanganan data.
Konsekuensi profesional. Akses tidak sah atau kebocoran merupakan insiden yang wajib ditangani menurut kebijakan mutu KAP dan berpotensi menjadi pelanggaran kerahasiaan; dokumentasikan tindakan remediasi.
Perbaikan proses ke depan: minta ekstraksi yang kolomnya sudah dibatasi sejak awal, sepakati protokol pertukaran data dalam engagement letter, dan gunakan lingkungan analitik KAP yang terkontrol. Jangan menunggu data pribadi menyebar ke seluruh laptop tim.