Bagaimana Penerapan Audit Internal Berbasis Risiko yang Baik?

Risk Based Internal audit (RBIA) atau Audit Internal Berbasis Risiko (AIBR) adalah sebuah metodologi yang menghubungkan audit internal kepada kerangka kerja manajemen risiko di dalam sebuah perusahaan secara menyeluruh dan komprehensif. Menerapkan RBIA memungkinkan audit internal untuk memberikan masukan kepada dewan direksi bahwa apakah proses penerapan manajemen risiko telah berjalan secara efektif.

Audit internal berbasis risiko bertujuan untuk memperkuat tanggung jawab dewan direksi dalam mengelola risiko pada setiap tahapannya dan menentukan kinerja fungsi/ unit dalam melaksanakan penerapan manajemen risiko.

Audit internal berbasis risiko pada dasarnya memiliki langkah-langkah yang meliputi penilaian risiko, rencana audit berbasis risiko, melakukan perikatan audit, mengkomunikasikan hasil perikatan dan melakukan tindak lanjut audit.

Sedangkan untuk penerapannya bagi perusahaan, terdapat beberapa langkah yang sebaiknya dilakukan oleh perusahaan agar adanya Audit Internal Berbasis Risiko bisa mencapai tujuannya.

LANGKAH PENERAPAN AIBR

Tahap 1: Menilai Kematangan Risiko (Risk Maturity) Perusahaan

Menilai kematangan risiko (risk maturity) perusahan untuk memperoleh gambaran menyeluruh sejauh mana direksi dan manajemen dalam menentukan, menilai, mengelola dan memantau risiko-risiko yang ada di perusahan.

Proses yang dilakukan untuk mencapai tujuan menilai tingkat kematangan risiko dengan cara:

A. Diskusikan pemahaman risk maturity dengan direksi dan manajer senior

• Tentukan apa yang telah dilakukan untuk meningkatkan risk maturity perusahaan dengan pelatihan, lokakarya risiko, kuesioner tentang risiko dan wawancara dengan para manajer sebagai pemilik risiko.
• Menentukan apakah para manajer telah mengisi register risiko sudah benar dan komprehensif.
• Mendiskusikan pemahaman tentang manajemen risiko telah menjadi budaya perusahaan sehingga para manajer merasa bertanggung jawab tidak hanya untuk mengidentifikasi, menilai dan melakukan perlakuan risiko, tetapi juga melakukan memantau kerangka kerja manajemen risiko.

B. Mendapatkan dokumen-dokumen terkait dengan:

• Tujuan dari perusahaan.
• Proses mengidentifikasi risiko yang menghambat tujuan perusahaan
• Bagaimana menganalis risiko terhadap dampak dan probalitas.
• Risk appetite yang telah disetujui direksi dalam penilaian yang menggunakan risiko yang melekat (inherent risk) dan risiko residual (residual risk).
• Bagaimana proses pengambilan keputusan manajemen (direksi) dengan mempertimbangkan risiko.
• Proses pelaporan risiko-risiko pada berbagai tingkat kegawatan risiko di fungsi/unit dalam perusahaan pada risk register.
• Sumber-sumber informasi yang digunakan oleh manajemen dan dewan untuk memantau kerangka kerja (framework) secara efektif untuk mengelola risiko dalam risk appetite.
• Setiap penilaian kematangan risiko perusahaan dan dokumen lainnya yang menunjukkan komitmen direksi untuk penerapan manajemen risiko.

C. Menilai dan melaporkan kematangan risiko (risk maturity)

• Dokumen dan informasi yang telah dikumpulkan untuk menilai kematangan risiko perusahaan dengan melihat dan menilai risiko-risiko yang ada pada fungsi/unit. Melaporkan risk maturity perusahaan akan memberikan penilaian bahwa proses manajemen risiko telah dilaksanakan dengan efektif sesuai dengan pencatatan dan pelaporan risiko, serta melaporkan apabila sistem pengendalian internal perusahaan dan pengawasan dewan belum berjalan dengan efektif.

D. Strategi audit risiko

• Strategi audit dipilih tergantung pada risk maturiy perusahaan. Strategi audit untuk risiko yang dikelola perusahaan dapat memberikan kepastian terhadap proses manajemen risiko yang dinilai audit internal telah berjalan dengan efektif. Strategi audit juga memberikan konsultasi kepada pemilik risiko dimana audit internal menyisihkan waktu untuk meningkatkan pengenalan proses manajemen risiko di perusahaan sehingga tujuan untuk memastikan risk maturity perusahaan telah meningkat dan berjalan dengan efektif.

Tahap 2: Perencanaan Pemeriksaan Periodik

Tujuan perencanaan pemeriksaan periodik adalah untuk memastikan semua proses manajemen risiko yang telah dilakukan sesuai dengan masukan dari audit internal, telah berjalan objektif. Perencanaan pemeriksaan periodik merupakan kegiatan rutin dilakukan, dimana rencana audit yang berisi semua audit yang akan dilakukan selama jangka waktu tertentu.

Langkah yang dilakukan untuk mencapai tujuan perencanaan audit:

A. Identifikasi

• Identifikasi tanggapan dan proses manajemen risiko dengan obyektif dan melihat daftar semua tanggapan secara obyektif dan informasi tentang risiko yang terkait.

B. Kategori dan Prioritas Risiko

• Risiko harus dilakukan kategori dengan membuat pengelompokan risiko menjadi urutan logis sehingga banyak membantu dalam menyusun rencana audit.
• Daftar prioritis risiko termasuk:

1. Ukuran risiko yang melekat (inherent risk): semakin besar risiko, semakin tinggi prioritas.
2. Kontribusi dan upaya perlakuan risiko yang maksimal untuk mengurangi risiko, semakin tinggi prioritas.
3. Kategori risiko di mana merupakan masukan komite audit.

C. Menghubungkan risiko penugasan audit

• Dapat menggunakan dua metode, yakni pengelompokkan riiko dan pengalokasian audit universal dari setiap audit untuk risiko unit bisnis.

D. Menyusun rencana audit periodik

• Memperkirakan jumlah hari yang dibutuhkan untuk setiap melakukan audit dan mengidentifikasi proses audit dapat diselesaikan dengan sumber daya yang tersedia, serta memberikan waktu dan ruang lingkup untuk melakukan konsultasi.

E. Pelaporan kepada manajemen dan komite audit

• Rencana audit periodik harus didiskusikan dengan manajemen dan disampaikan kepada komite audit untuk mendapatkan persetujuan. Rancana audit periodik menyiapkan:
• Rincian risiko diberikan dalam melaksanakan audit dari proses manajemen risiko dan rencana tanggapan.
• Rincian risiko di mana disediakan tapi berdasarkan pekerjaan audit dari tahuntahun sebelumnya.
• Rincian risiko di mana pekerjaan konsultasi dilakukan untuk membantu manajemen dalam mengurangi risiko agar sesuai dengan risk appetite.
• Mengkonfirmasi bahwa rencana audit telah sesuai SOP.

Tahap 3: Penugasan Audit

Audit internal berbasis risiko dalam perencanaan audit berdasarkan register risiko perusahaan. Metodologi yang digunakan untuk melakukan audit internal berbasis risiko agar supaya auditor internal dapat memfasilitasi perbaikan kerangka kerja manajemen risiko dalam perencanaan kerangka audit serta melakukan konsultasi untuk perbaikan dan peningkatan efektifitas penerapan manajemen risiko.

Salah satu tujuan kegiatan konsultasi adalah untuk meningkatkan kematangan risiko (maturity risk) perusahaan dimana kegiatan konsultasi mempunyai sifat dan ruang lingkup yang telah disepakati dengan manajemen.

Source: Manajemen Risiko Pasar Modal (ISO 31000: 2018) edisi dua Dr. Embun Prowanta, MM, CSA, CRP, CFP