Tiga Lini Pertahanan (Three Line of Defenses) dalam

Sumber: Bertahan

Seperti hal nya dalam bermain sepakbola ada pola menyerang untuk mencetak gol ke gawang lawan dan pola bertahan untuk mempertahankan gawang sendiri supaya tidak dibobol lawan. Dalam pola pertahanan ini sama hal seperti model tiga lini pertahanan atau Three Line of Defenses (Tiga Lini Pertahanan)dapat diterapkan pada Good Corporate Governane (GCG) atau tata kelola perusahaan yang baik atau dalam Manajemen Risiko.

Ilustrasi: model Tiga Lini Pertahanan

Tiga lini pertahanan merupakan model yang memperlihatkan adanya tiga lini yang memastikan keefektifan pengelolaan dan pengendalian terhadap risiko perusahaan. Ketiga lini tersebut adalah sebagai berikut:
1. Fungsi pemilik risiko
2. Fungsi pengawas risiko
3. Fungsi pemeriksa risiko

Rujukan:
Pengertian dari KPMG
Pengertian dari E&Y
Pengertian dari IIA

Model COSO Framework

Model COSO Framework

Model COSO Framework yang dikembangkan pada awal tahun 1990an ini menghubungkan pengendalian dengan lingkungan pengendalian diantaranya meliputi budaya organisasi, sikap orang yang ada didalam organisasi, dan pendekatan organisasi untuk menilai risiko. Model ini melakukan pengendalian dengan cara menempatkan pengendalian pada didalam praktek/pelaksanaan kegiatan organisasi.

Model COSO mendefinisikan pengendalian internal sebagai sistem yang dirancang untuk memberikan keyakinan yang memadai terhadap pencapaian tujuan (1) efektivitas dan efisiensi operasi, (2) keandalan informasi keuangan dan (3) ketaatan terhadap hukum dan peraturan yang berlaku. Model COSO terdiri atas lima komponen pengendalian internal sebagai berikut:

a.       Pengendalian Lingkungan (Control Environment)

b.      Penilaian Risiko (Risk Assessment)

c.       Pengendalian Kegiatan (Control Activities)

d.      Informasi dan Komunikasi (Communication and Information)          

e.       Pemantauan (Monitoring)

Model COSO mensyaratkan adanya pertimbangan untuk kelima komponen.

a.       Lingkungan Pengendalian (The Control Environment).

Komponen ini merupakan pondasi awal untuk pengembangan Sistem Internal Controls dengan menyediakan disiplin dan struktur yang bersifat fundamental. Hal ini diantaranya mencakup: Integritas dan Nilai Etika, Komitmen terhadap Kompetensi, Berfungsinya Auditor, Filosofi Manajemen dan Gaya Kepemimpinan, Struktur Organisasi, Pemberian Wewenang dan Tanggung Jawab, Kebijakan dan Praktik Sumber Daya Manusia (SDM). Ketiadaan satu atau lebih unsur yang penting dari lingkungan pengendaliaan akan menyebabkan sistem tidak efektif, meskipun terdapat kekuatan dari sisiempat komponen pengendalian internal yang lain. Efektivitas Internal Controls merupakan fungsi dari unsure lingkungan pengendalain terhadap individual yang menciptakan, mengadministrasikan, dan memonitor pengendalian. Suatu organisasi perlu menetapkan lingkungan pengendalian yang dikomunikasikan kepada pegawai dan diperkuat dalam pelaksanaan kegiatan sehari-hari.

b.      Penilaian Risiko (Risk Assessment).

Komponen ini merupakan identifikasi dan analisis yang dilakukan oleh manajemen terhadap risiko terkait dengan pencapaian tujuan yang telah ditetapkan. Penilaian risiko organisasi dapat dilakukan melalui identifikasi, analisis, dan pengelolaan risiko-risiko yang relevan terhadap penyusunan laporan keuangan yang secara wajar disajikan sesuai dengan prinsip-prinsip akuntansi berlaku umum. Proses penilaian risiko harus mempertimbangkan kejadian dan keadaan baik yang bersifat eksternal dan internal yang mungkin timbul dan secara tidak baik mempengaruhi kemampuan entitas untuk mencatat, mengolah, mengikhtisarkan dan melaporkan data keuangan konsisten dengan asersi manajemen dan  laporan keuangan. Risiko organisasi dapat berasal dari perubahan dalam lingkungan operasi, peronil baru, sistem informasi baru, pertumbuhan organisasi yang cepat, teknologi baru, dan lain-lain.

c.       Kegiatan Pengendalian (Control Activities).

Komponen ini berupa kegiatan, kebijakan, prosedur dan praktek yang menjamin pencapaian tujuan institusi. Kegiatan ini memungkinkan pengambilan berbagai tindakan yang diperlukan untuk mengelola risiko terhadap pencapaian tujuan organisasi. Kegiatan pengendalian berlangsung di seluruh organisasi, semua tingkatan dan pada semua fungsi yang ada. Kegiatan ini mencakup rentang kegiatan mulai dari pengesahan, kewenangan, verifikasi, rekonsiliasi, pengkajian ulang kinerja, pengamanan aktiva dan pemisahan tugas. Kegiatan pengendalian yang dapat dilakukan diantaranya penelahaan kinerja, pengolahan informasi, pengendalian fisik dan pemisahan fungsi.

d.      Informasi dan Komunikasi (Information and Communication).

Komponen ini mendukung semua komponen pengendalian lainnya dengan mengkomunikasikan tanggung jawab pengendalian kepada seluruh pegawai dan menyediakan informasi dalam sebuah bentuk dan kerangka waktu yang mengizinkan orang menyelesaikan tugasnya. Sistem informasi yang ada menghasilkan laporan-laporan yang berisi informasi mengenai kegiatan organisasi, keuangan dan informasi yang ada hubungannya dengan kepatuhan, yang memungkinkan penggunaannya untuk menjalankan dan mengendalikan organisasi. Informasi ini tidak hanya berhubungan dengan data yang dihasilkan internal, tetapi juga mengenai peristiwa-peristiwa eksternal, kegiatan-kegiatan dan kondisi yang dibutuhkan untuk menginformasikan pengambilan keputusan dan pelaporan untuk pihak luar. Komunikasi yang efektif juga harus terjadi dalam bentuknya yang luas, mengalir ke bawah, melintasi berbagai tingkatan dalam organisasi dan juga ke atas. Semua pegawai harus menerima informasi atau pesan dari Manajemen secara jelas yang menegaskan bahwa tanggung jawab menjalankan kontrol harus dilakukan secara sangat serius. Pegawai harus mengerti peran mereka dalam sistem Internal Controls, sama seperti kegiatan masingmasing secara individual memiliki hubungan dengan pekerjaan orang lain. Pegawai harus memiliki alat atau media untuk mengkomunikasikan informasi ke atasan mereka. Mereka juga butuh untuk berkomunikasi secara efektif dengan pihak luar, seperti halnya pelanggan, pemasok (vendor), pemilik saham dan regulator.

e.       Pemantauan (Monitoring).

Komponen ini memberikan kepastian yang memadai bahwa tujuan suatu organisasi dapat tercapai, manajemen harus memonitor sistem Internal Controls untuk menentukan apakah sistem beroperasi seperti yang diinginkan dan dimodifikasi agar sesuai dengan perubahan dalam kondisi. Pemantuan merupakan suatu proses yang menilai mutu sistem Internal Controls sepanjang waktu. Pemantuan mencakup personil yang tepat untuk menilai disain dan operasi pengendalian dengan dasar yang tepatwaktu dalam mengambil tindakan perbaikan yang diperlukan. Pengawasan ini juga melibatkan unsur eksternal terhadap Internal Controls yang dilakukan oleh manajemen atau pihak lain di luar proses serta pelaksanaan metodologi independen seperti prosedur atau standar cheklist yang biasa dilakukan oleh pegawai dalam proses.

Dalam konteks struktur organisasi, Model COSO menempatkan dalam konteks mengapa pengendalian tetapi bukan bagaimana atau dimana . Model COSO mengilustrasikan hubungan antara risiko dan pengendalian serta menekankan pada tanggung jawab manajemen dalam organisasi untuk menjadi proaktif dalam mencari jalan agar tujuan dapat dicapai yaitu penggunaan pengendalian, dengan kata lain, sebagai satu dari beberapa strategi peminimalan risiko yang akan diambil oleh pimpinan.

Model COSO secara umum dilihat sebagai model pengendalian keras (hard controls) karena COSO difokuskan pada aksi dalam operasi, proses dan sistem tergantung pada aksi manajemen dan menaruh ekspektasi (harapan) pada pimpinan untuk memantau dan mereview kesuksesan mereka dalam mencapai sasaran/tujuan melalui penggunaan/penerapan Internal Controls yang tepat.

Model COSO memberikan suatu kerangka Internal Controls secara umum yang didesain untuk memuaskan kebutuhan dari semua kelompok yang berhubungan dengan Internal Controls yaitu manajemen organisasi, auditor eksternal dan internal, CFO (Chief Financial Officer), akuntan manajemen dam otoritas pengatur.

Rujukan:

Gambar-Model COSO framework

Pengendalian Internal

Pengendalian Internal Aktif dan Pasif

Pengendalian internal seperti pagar yang menghalangi pencuri masuk ke halaman rumah orang. Pagar-pagar ini membatasi, menghalangi, atau menutup jalan masuk (akses) si calon pelaku kecurangan. Seperti pagar, bagaimana pun kokoh kelihatannya, pagar tetap dapat ditembus oleh pelaku kecurangan yang cerdik dan mempunyai ketegaran untuk melakukannya.

Dalam memagari calon pelaku kecurangan terdapat beberapa model pengendalian, antara lain model U.S. GAO, COSO, COCO, dan COBIT. Setiap model tersebut memiliki jenis pengendalian yang sama, yaitu untuk melindungi barang milik organisasi agar tidak diambil oleh orang-orang yang tidak berkepentingan.

Pengendalian internal dalam suatu kegiatan organisasi dapat dilakukan secara aktif dan pasif.

Pengendalian Internal Aktif

Pengendalian ini dijalankan untuk mencegah sebelum kecurangan terjadi. Biasanya alat yang dipakai untuk pengendalian internal aktif (lebih dikenal dalam sistem akuntansi) adalah:

1. Tanda tangan. Tanda tangan merupakan unsur penting untuk menyatakan keabsahan dan tanggung jawab atas suatu dokumen.
2. Persetujuan dokumen dilakukan lebih dari satu tanda tangan (countersigning). Pembubuhan lebih dari satu tanda tangan dianggap sebagai bentuk pengawasan dari sesama pihak yang bertanda tangan.
3. Password dan Personal Identification Number (PIN). Kerahasiaan seseorang yang berinteraksi dengan komputer.
4. Pemisahan tugas.
5. Pengendalian aktiva secara fisik. Pada dasarnya mengatur perpindahan (keluar, masuk dan pengadaan) aktiva melalui otorisasi.
6. Pengendalian persediaan secara real time dan terintegrasi (misalnya Enterprise Resource Planning atau ERP).
7. Pagar, gembok, dan penghalang fisik lainnya.

Pengendalian Internal Pasif

Pengendalian pasif memiliki tujuan yang sama dengan aktif, yaitu mencegah kecurangan terjadi. Pengendalian pasif dibuat dengan beberapa lapisan pengamanan yang terlihat dari permukaan tidak terdapat pengendalian. Hal ini membuat pelaku kecurangan tidak dapat mengelak terhadap kecurangan yang dilakukan karena bukti-bukti kecurangan telah terdata. Biasanya, alat yang dipakai untuk pengendalian tersebut adalah:

1. Customized control. Pengendalian yang dibuat karena pengendalian aktif sudah tidak dapat dilakukan (keterbatasan waktu atau sumber daya), misalnya pengawasan terhadap pelaksanaan pengecatan secara benar oleh kontraktor ditetapkan terhadap pengecatan dengan 2 warna yang berbeda.
2. Jejak audit (audit trails). Sistem yang terkomputerisasi memberikan rekam jejak kegiatan para pengguna (user), misalnya rekap absensi karyawan.
3. Audit yang fokus (focused audit). Lingkup audit ditujukan pada bagian-bagian yang biasanya mudah terjadi kecurangan. Biasanya dilakukan berdasarkan pengelaman auditor.
4. Penelusuran aktivitas (surveillance of key activities). Pengintaian terhadap pemanfaatan fasilitas organisasi dapat dilakukan secara komputerisasi, misalnya dengan pemasangan kamera CCTV di mesin-mesin ATM.
5. Pemindahan tugas (rotation of key personnel).

Rujukan:

1. Tuanakotta, Theodorus. “Akuntansi Forensik & Audit Investigatif”. Jakarta: Salemba Empat. 2010
2. Pengendalian intern mencegah fraud
3. Fraud internal control