Manajemen Risiko dan Pengendalian Internal
Domain ini menguji kemampuan memahami risiko entitas dan menilai apakah pengendalian internalnya dirancang dan dioperasikan secara memadai - bekal utama untuk pendekatan audit berbasis risiko.
Kerangka COSO
Lima komponen pengendalian internal: lingkungan pengendalian, penilaian risiko, aktivitas pengendalian, informasi dan komunikasi, serta pemantauan; totalnya 17 prinsip. COSO ERM memperluasnya ke strategi dan risk appetite. Kunci praktik: risiko dinilai dari kombinasi kemungkinan dan dampak, dibedakan antara risiko inheren dan risiko residual setelah pengendalian.
Aktivitas pengendalian yang diuji
Otorisasi dan persetujuan, pemisahan tugas (segregation of duties), rekonsiliasi, pengendalian fisik atas aset, dan pengendalian sistem informasi. Pada sisi tata kelola dikenal model tiga lini: manajemen operasional, fungsi risiko dan kepatuhan, serta audit internal sebagai lini ketiga.
Contoh dengan penalaran
Kasir penerimaan juga menyusun rekonsiliasi bank dan memiliki hak akses mengubah data pelanggan. Analisis: seluruh unsur kecurangan - mencuri, menyembunyikan, dan mengubah data - berada pada satu orang, sehingga tidak ada compensating control yang memadai. Simpulannya bukan sekadar defisiensi, tetapi kandidat material weakness yang wajib dikomunikasikan kepada pihak yang bertanggung jawab atas tata kelola.
Jebakan yang sering menjatuhkan
Menyimpulkan pengendalian efektif hanya karena ada SOP tertulis tanpa menguji desain dan implementasinya; berhenti pada uji desain tanpa uji operasi ketika hendak mengandalkan pengendalian; serta menyamakan semua defisiensi dengan material weakness - padahal ada tingkatan defisiensi, defisiensi signifikan, dan material weakness.