Evaluating Organization & Audit Risk.pptx

evaluasi organisasi dan resiko audit

1. Evaluating Organization & Audit Risk

2. ILUSTRASI

3. Penjualan kecil ? Tata kelola buruk ? SDM tidak berkualitas ? TIDAK Lalu mengapa mereka nyaris bangkrut ?

4. Jawabannya Karena mereka terlambat merespon pesaing pasar dan perkembangan lingkungan, dan ini terjadi sangat cepat. Auditor dituntut tidak hanya memberikan keyakinan yang memadai terkait kewajaran laporan keuangan. Tetapi juga memberikan penilaian terhadap keberlanjutan (going concern) perusahaan

5. PENDEKATAN DALAM AUDIT BE RBASIS R I SIKO

6. Pendekatan audit ber basis risiko bukan berarti menggantikan pendekatan audit konvensional yang dijalankan oleh lembaga audit intern yang sudah berjalan selama ini. Pendekatan ini hanya membawa suatu metodologi audit yang dapat dijalankan oleh auditor intern dalam pelaksanaan penugasan auditnya melalui pendekatan dan pemahaman atas risiko yang harus diantisipasi, dihadapi, atau dialihkan oleh manajemen guna mencapai tujuan.

7. KONVENSIONAL VS ABR

8. Konvensional VS ABR AUDIT KONVENSIONAL AUDIT BERPEDULI RISIKO Perhatian auditor dititikberatkan pada risiko manajemen dalam kaitannya dengan pencapaian tujuan audit . Auditor akan melakukan analisis atas risiko manajemen yang memengaruhi tujuan auditnya . Semakin memadai pengendalian intern, maka pengujian dan pembuktian audit (besarnya sample pengujian) yang harus dilakukan akan berkurang. Perhatian auditor lebih jauh lagi dititik beratkan pada penaksiran risiko (risk assessment). Auditor melakukan penaksiran risiko bukan hanya semata – mata untuk audit , namun lebih difokuskan pada risiko atas kelangsungan dan perkembangan aktivitas dalam rangka pencapaian tujuan manajemen.

9. Konvensional VS ABR AUDIT KONVENSIONAL AUDIT BERPEDULI RISIKO Auditor berfokus pada kejadian dan kondisi masa lalu yang berdampak pada tujuan audit yang telah ditetapkan dengan tujuan untuk menilai tingkat kewajarannya Auditor mencoba membuat skenario di masa kini dan di masa depan yang akan berdampak pada pencapaian tujuan organisasi . Sehingga dalam memberikan rekomendasi audit, lebih dititikberatkan pada pengelolaan risiko (risk management) selalin pengelolaan pengendalian (management control).

10. Konvensional VS ABR AUDIT KONVENSIONAL AUDIT BERPEDULI RISIKO Laporan audit merupakan informasi yang disampaikan kepada pihak – pihak yang berkepentingan dan pengguna laporan sesuai tujuan audit yang sudah ditetapkan, terutama mengenai berfungsi atau tidaknya pengendalian. Dalam laporan audit, auditor lebih menitikberatkan pada pengungkapan proses yang memiliki risiko dibandingan pengungkapan berfungsi atau tidaknya suatu pengendalian

11. AUDIT KONVENSIONAL AUDIT BERPEDULI RISIKO Pendekatan proses auditnya berbasis sistem (system based audit). Audit berbasis sistem dilaksanakan atas dasar keberadaan suatu sistem yang sesungguhnya ada dan pengendalian yang dijalankan terkait dengan sistem tersebut. Oleh karena itu dengan sistem yang ada, dianggap akan mampu mengatasi semua risiko. Biasanya pengujian dilakukan dengan “kuisioner internal kontrol” yaitu dokumen standar yang digunakan dalam setiap penugasan audit. Pendekatan proses auditnya berbasis risiko (risk based audit). Audit berbasis risiko dilaksanakan atas dasar risiko – risiko dan melaporkan kepada pihak manajemen apakah risiko risiko tersebut telah dapat dikelola dengan baik atau sebaliknya. Dalam hal ini proses ABR dilaksanakan untuk mengelompokkan sejumlah risiko – risiko, dan proses menggambarkan “sesuatu yang logis” dan bukan kondisi aktual. Jika terdapat suatu risiko tetapi tidak termasuk di dalam proses yang dipetakan maka harus dipecahkan melalui proses yang baru. Konvensional VS ABR

12. Analisis resiko Tujuan analisis risiko adalah untuk memisahkan risiko kecil yang dapat diterima dari risiko besar , dan menyiapkan data sebagai bantuan dalam prioritas dan penanganan risiko . Analisis risiko meliputi penentuan sumber risiko , kemungkinan dan dampak risiko yang akan terjadi . Faktor yang mempengaruhi timbulnya kemungkinan dan dampak juga diidentifikasi .

13. Faktor-faktor yang harus diperhatikan dalam menganalisis risiko : Memahami pengelolaan / pengendalian risiko yang ada Kemungkinan dan dampak

14. Memahami pengelolaan / pengendalian risiko yang ada Lakukan identifikasi sistem pengendalian manajemen yang ada , petunjuk teknis dan prosedur untuk mengendalikan risiko serta lakukan penilaian terhadap kekuatan dan kelemahannya . Instrumen yang digunakan dalam ini adalah : checklist, pertimbangan sesuai pengalaman dan dokumen , flow charts, brainstorming, analisis sistem , analisis skenario , teknik pengembangan sistem , inspeksi , dan teknik CSA (Control Self-Assessment).

15. Kemungkinan dan dampak Kemungkinan dan dampak dikombinasikan untuk menghasilkan status risiko tertentu . Kemungkinan dan dampak dapat ditentukan dengan menggunakan analisis statistik dan perhitungan tertentu . Jika tidak ada data tersedia , estimasi subyektif dapat dibuat untuk mencerminkan tingkat keyakinan individu atau kelompok bahwa suatu kejadian atau hasilnya akan terjadi .

16. Tahapan penilaian Resiko PENETAPAN TUJUAN / sasaran mutu • Tujuan IDENTIFIKASI RISIKO • Sumber risiko internal & eksternal ANALISIS RISIKO • Pengaruh/ dampak risiko thd pencapaian tujuan PENILAIAN RISIKO

17. Using of Risk Analysis Distribute Audit Works (areas to be reviewed) Plan Audit Project Internal Audit Budget Quantitative Approaches to Risk Analysis  Risk = Probability X Exposure (costs) Assigning Risk Exposure Probabilities  expected annualized loss per year Estimating Expected Exposure Losses

18. Komponen Risiko Utama Jenis Resiko Komponen Utama Resiko Bawaan ( Inheren Risk) Risiko yang melekat pada suatu proses atau aktivitas sebelum mempertimbangkan kontrol internal yang ada . ( Misalnya : Proses transaksi bernilai besar secara inheren memiliki IR tinggi ) Risiko Pengendalian (Control Risk) Risiko bahwa sistem pengendalian internal yang ada gagal mencegah atau mendeteksi salah saji , kegagalan , atau penyimpangan secara tepat waktu . Risiko Residual (Residual Risk) Risiko yang tersisa setelah mempertimbangkan dampak kontrol internal. Inilah yang menjadi fokus utama audit internal. Resiko Audit: Resiko Bawaan x Resiko Pengendalian x Resiko Deteksi

19. Formula Inti Pengukuran Resiko Internal Dampak = Konsekuensi jika risiko terjadi ( kerugian finansial , kerusakan reputasi , sanksi kepatuhan , kegagalan operasional ) Probabilitas = Kemungkinan atau frekuensi risiko tersebut terjadi . Hasil perhitungan skor ini digunakan untuk memplot risiko pada Matriks Risiko dan menentukan level prioritas Tingkat Resiko = Dampak (Impact) x Probabilitas (Likelihood)

20. Kriteria Penilaian Dampak (Impact) Skor Tingkat Deskripsi Kualitatif Contoh Konsekuensi 5 Sangat Tinggi (ST) Krisis / Bencana . Mengancam kelangsungan hidup perusahaan atau menghancurkan reputasi Kerugian finansial di atas batas materialitas tertinggi (>$10 Juta), tuntutan hukum besar , penghentian operasional utama secara permanen 4 Tinggi (T) Signifikan . Menyebabkan kerugian besar dan membutuhkan intervensi manajemen senior secara intensif Kerugian finansial signifikan (5−$10 Juta), denda kepatuhan dari regulator, kerusakan reputasi di mata publik/investor. 3 Sedang (S) Material. Kerugian cukup berarti , memerlukan koreksi operasional , tetapi dapat ditangani oleh manajemen lini . Kerugian finansial material (1−$5 Juta), pelanggaran minor pada kontrak / kebijakan , penurunan efisiensi operasional yang berkepanjangan

21. Kriteria Penilaian Dampak (Impact) Skor Tingkat Deskripsi Kualitatif Contoh Konsekuensi 2 Rendah (R) Minor. Kerugian dapat diatasi melalui prosedur rutin dan tidak memengaruhi tujuan strategis Kerugian finansial minor (50 K −$1 Juta), penundaan operasional jangka pendek , ketidaknyamanan pelanggan 1 Sangat Rendah (SR) Tidak Signifikan . Hanya berdampak pada internal departemen dan di bawah batas toleransi kerugian minimal. Kerugian finansial sangat kecil (<$50 K ), gangguan administratif ringan .

22. Kriteria Penilaian Probabilitas (Likelihood) Skor Tingkat Deskripsi Kualitatif Contoh Frekuinsi Terjadi 5 Hampir Pasti (HP) Reguler / Berulang . Sudah terjadi beberapa kali di masa lalu dan hampir pasti terjadi lagi . Kemungkinan terjadi >90% dalam setahun , terjadi setiap bulan atau kuartal . 4 Mungkin (M) Sering. Dapat terjadi sewaktu-waktu dan telah memiliki riwayat kejadian . Kemungkinan terjadi 50%−90% dalam setahun , terjadi setiap tahun 3 Cukup Mungkin (CM) Sesekali . Mungkin terjadi , tetapi belum menjadi kejadian rutin Kemungkinan terjadi 10%−50% dalam setahun , terjadi setiap 2−5 tahun 2 Jarang (J) Kecil Kemungkinan . Belum pernah terjadi dalam sejarah perusahaan , tetapi bisa terjadi di industri sejenis Kemungkinan terjadi 1%−10% dalam setahun , terjadi lebih dari 5 tahun sekali . 1 Tidak Mungkin (TM) Hampir Tidak Terjadi . Kejadian yang sangat langka dan sulit dibayangkan Kemungkinan terjadi <1% dalam setahun , belum pernah terjadi dan tidak ada riwayat industri .

23. Contoh Kasus Faktor Resiko Penilaian Rasionalisasi Dampak (Skor) 4 (Tinggi) Jika terjadi kesalahan pembayaran , nominalnya bisa mencapai jutaan rupiah dan menyebabkan kekurangan kas yang signifikan Probabilitas (Skor) 3 (Sedang) Prosesnya melibatkan banyak manual entry dan pernah ada dua kasus pembayaran ganda dalam 5 tahun terakhir ( terjadi sesekali ). Skor Resiko : 4 x 3 = 12 (?)

24. Interpretasi Zona Resiko Zona Warna Rentang Skor Tingkat Resiko Prioritas Merah 16-25 Tinggi ( Ekstrem ) Prioritas Utama (Must Audit): Membutuhkan pengawasan dan audit segera , mendalam , dan frekuensi tinggi ( tahunan atau semesteran ) Kuning 5-15 Sedang (Material) Prioritas Menengah (Should Audit): Harus dimasukkan dalam rencana audit tahunan , dapat diaudit setiap 1-3 tahun tergantung sumber daya . Hijau 1-4 Rendah (Minor) Prioritas Rendah (May Audit): Dapat diaudit sebagai bagian dari audit yang lebih besar , atau secara berkala lebih dari 3 tahun sekali , fokus pada Continuous Monitoring .

25. Contoh Penempatan Resiko Area Audit Resiko Dampak (Y) Probabilitas (X) Skor Zona Prioritas Audit Proses pembayaran gaji Kesalahan perhitungan lembur karyawan 4 4 16 Merah Tinggi Proses inventory Ketidakakuratan jumlah stok barang gudang 3 3 9 Kuning Sedang Proses fixed asset Kesalahan pelabelan aset bernilai kecil 1 2 2 Hijau Rendah

26. Faktor Penyesuaian Faktor penyesuaian Deskripsi & Mengapa Penting Kriteria Skor Tinggi Kualitas / Efektivitas Pengendalian Internal Menilai apakah kontrol yang ada ( seperti otorisasi , rekonsiliasi , pemisahan tugas ) berfungsi secara efektif . Skor Tinggi diberikan jika kontrol Lemah ( tidak ada , tidak teruji , atau tidak efektif ), menunjukkan Risiko Pengendalian (CR) yang tinggi . Kompleksitas Proses & Perubahan Menilai tingkat kerumitan proses, seberapa banyak pihak / sistem yang terlibat , dan apakah ada perubahan signifikan baru-baru ini . Skor Tinggi diberikan jika proses Sangat Kompleks atau baru saja mengalami perubahan besar ( sistem baru , regulasi baru , restrukturisasi ). Waktu Audit Terakhir Mengukur waktu yang telah berlalu sejak area tersebut terakhir diaudit Skor Tinggi diberikan jika area tersebut Belum Pernah diaudit atau sudah lebih dari tiga tahun tidak diaudit . Ketersediaan Sumber Daya ( Manajemen ) Menilai apakah manajemen memiliki sumber daya (orang, dana, waktu ) yang memadai untuk mengelola risiko di area tersebut . Skor Tinggi diberikan jika sumber daya Terbatas atau tidak memadai untuk mengelola risiko yang ada

27. Perhitungan Resiko dengan Pembobotan Skor IR (Inherent Risk): Diambil dari Matriks Risiko ( Dampak×Probabilitas ). Skor CR (Control Risk): Diambil dari penilaian Kualitas Pengendalian Internal. Skor Faktor Lain: Diambil dari skor Kompleksitas , Perubahan , dll . A, B, C: Adalah bobot persentase yang ditetapkan ( misalnya : A=40%, B=30%, C=30%) Skor Prioritas Audit = (A x Skor IR) + (B x Skor CR) + (C x Skor FL)

28. Ambang Batas Skor Prioritas Audit Kategori Prioritas Rentang Skor Tujuan Audit Kritis (A) Di atas 4.0 Wajib Audit Tahunan (100% Cakupan ): Fokus Sumber Daya Utama Signifikan (B) 2.5 – 4.0 Audit Berkala (1-2 Tahun ): Wajib dimasukkan dalam Rencana Tahunan Rendah (C) Di bawah 2.5 Audit Jangka Panjang (3+ Tahun) atau Continuous Monitoring : Audit dapat ditunda atau dilakukan secara acak

29. Contoh Kasus Proses Skor Matriks Awal (IR) Skor Kualitas Kontrol (CR) Skor Kompleksitas Skor Prioritas Akhir Implikasi Pengadaan & Vendor Management 15 5 (Tinggi, berarti desain kontrol lemah ) 4 (Tinggi) 4.85 (A – Kritis ) Risiko Residual tinggi karena kontrol lemah Proses pembayaran gaji 15 2 2 ( Rendah ) 2.4 (C – Rendah ) Risiko Residual lebih rendah karena kontrol teruji kuat Ambil dari Kuesioner Pengendalian Internal

30. Kuesioner Pengendalian Internal (ICQ)