Memahami Internal Control Over Financial Reporting

Oleh: Harry A. Simbolon., SE., M.Ak., MH., QIA., Ak., CA., CPA., CMA., CIBA., ASEAN CPA

Tulisan ini dipublikasikan untuk menambah wawasan kepada para profesional di bidang akuntansi dan manajemen risiko, terutama terkait dengan rencana Kementerian Badan Usaha Milik Negara (BUMN) untuk mengimplementasikan Internal Control over Financial Reporting (ICOFR) di Perusahaan BUMN. Semoga bemanfaat.

ICoFR diwajibkan oleh SEC (OJKnya Amerika) agar perusahaan publik mematuhi Sarbanes-Oxley Act (SOX), UU yang dikeluarkan untuk merespon kasus Enron. ICoFR penting untuk membangun kepercayaan masyarakat terhadap pasar modal dan penerbit laporan keuangan (emiten). SOX merevolusi persyaratan pelaporan keuangan perusahaan publik di Amerika, yang mewajibkan manajemen perusahaan menilai ICoFR sebagai bagian dari pengungkapan publik tahunan. Selain penilaian manajemen terhadap pengendalian internal perusahaan, SOX Pasal 404 mewajibkan auditor independen untuk mereview, memberikan opini, dan membuktikan laporan manajemen mengenai ICoFR perusahaan. PCAOB (Public Company Accounting Oversight Board) mengontrol penerapan ICoFR oleh auditor independen di perusahaan publik. Sehingga Prosedur auditnya pun tentu berbeda dengan audit pada perusahaan yang tidak menerapkan ICoFR.

Menurut American Institute of Ceritified Public Accountants (AICPA) ICOFR adalah suatu proses yang dilakukan oleh pihak yang bertanggung jawab atas tata kelola, manajemen, dan personel lainnya, yang dirancang untuk memberikan keyakinan memadai mengenai penyusunan laporan keuangan yang andal sesuai dengan kerangka pelaporan keuangan yang berlaku dan mencakup kebijakan dan prosedur yang:

1. berkaitan dengan pemeliharaan dokumentasi yang terperinci, akurat dan secara wajar mencerminkan transaksi dan disposisi aset;
2. memberikan keyakinan memadai bahwa transaksi dicatat sebagaimana mestinya untuk memungkinkan penyusunan laporan keuangan sesuai dengan kerangka pelaporan keuangan yang berlaku, dan bahwa penerimaan dan pengeluaran dilakukan sesuai dengan kewenangan manajemen dan pihak yang bertanggung jawab atas tata kelola; dan
3. memberikan keyakinan yang memadai mengenai pencegahan, atau deteksi dan koreksi yang tepat waktu atas perolehan, penggunaan, atau pelepasan aset yang tidak diotorisasi yang dapat berdampak material terhadap laporan keuangan.

Untuk lebih memahami ICoFR dalam konsep dan praktik, KPMG mengidentifikasi tujuh pilar ICoFR untuk membentuk program ICoFR yang kuat. Pilar-pilar tersebut adalah: (1) strategi, (2) penilaian risiko, (3) pengendalian tingkat entitas, (4) pemilihan pengendalian, (5) strategi pengujian, (6) evaluasi hasil, dan (7) tata kelola. Sementara menurut PwC agar sukses menerapkan ICoFR perlu fokus akan 7 hal berikut: (1) framework development, (2) operations assessment, (3) control design review, (4) upgrading internal practices, (5) sampling techniques, (6) effectiveness testing, dan (7) documentation and representation.

Laporan Keuangan dan Pengendalian Internal

Laporan keuangan yang menjadi objek dari ICoFR ini disusun dengan merujuk pada Kerangka Penyusunan Pelaporan Keuangan (seperti Kerangka Konseptual Pelaporan Keuangan yang terdapat dalam Standar Akuntansi Keuangan Indonesia yang diadopsi dari International Financial Reporting Standard (IFRS)). Sedangkan Pengendalian Internal merupakan alat yang digunakan oleh manajemen agar tercipta laporan keuangan yang handal, biasanya merujuk pada kerangkan pengendalian internal yang dikeluarkan oleh Committee of Sponsoring Organizations of the Treadway Commission (COSO). Kerangka COSO berguna agar tercipta ICoFR yang efektif, termasuk pengendalian kas, pengendalian aset, dan pengendalian hutang. COSO framework meliputi: (1) lingkungan pengendalian, (2) penilaian risiko, (3) aktivitas pengendalian, (4) Informasi & komunikasi, dan (5) monitoring.

Berdasarkan IcoFR, laporan keuangan harus direview secara internal, termasuk mengotorisasi entri jurnal, merekonsiliasi akun ke buku besar, membandingkan laporan keuangan dengan catatan akuntansi yang mendasarinya, dan mengevaluasi kewajaran melalui tinjauan analitik. Prosedur FP&A (Financial Planning & Analysis) seperti analisis tren, perhitungan rasio, dan analisis varians yang membandingkan jumlah aktual dengan jumlah yang dianggarkan harus diteliti dengan cermat sebagai metode pemeriksaan lain terhadap keakuratan laporan keuangan.

Peran Perusahaan dalam ICoFR

Perusahaan perlu menetapkan strategi ICoFR, menetapkan kebijakan dan prosedur pengendalian internal, menilai lingkungan pengendalian dan risiko kesalahan penyajian material dalam laporan keuangan, mereview dan menyetujui transaksi (management review control), menguji sampel transaksi, dan menerbitkan laporan ICoFR yang disertifikasi oleh CEO dan CFO.

Perusahaan menetapkan sistem pengendalian internal dengan kebijakan dan prosedur yang mencakup pemisahan tugas, pencocokan dokumen, serta otorisasi dan persetujuan. Untuk pemisahan tugas yang tepat, karyawan yang sama tidak boleh menangani dua fungsi pencatatan secara bersamaan, seperti menerima uang dan bersamaan mencatat transaksi akuntansi untuk pendapatan, biaya, aset, pengeluaran, dan pengeluaran lainnya.

Manajemen perusahaan perlu membangun lingkungan pengendalian yang efektif mencakup budaya perusahaan, etika manajemen eksekutif yang mendorong pelaporan keuangan yang tepat, dan review Komite Audit atas laporan keuangan sebagai pengawasan tingkat tinggi.

Setiap tahun manajemen perlu melakukan evaluasi penerapan pengendalian internal atas laporan keuangan, melaporkan kewajaran dan efektivitas operasi ICoFR pada form 10-K. Setiap triwulan, manajemen menilai apakah telah terjadi perubahan material pada ICoFR. Dalam laporan Formulir 10-Q yang diajukan ke SEC, manajemen memiliki persyaratan pelaporan untuk mengungkapkan bahwa manajemen mempunyai tanggung jawab untuk membangun dan memelihara ICoFR. Hal ini harus mencakup setiap perubahan pada ICoFR yang telah atau mungkin berdampak signifikan pada ICoFR.

Dalam laporan ke SEC, Emiten juga harus mengungkapkan kelemahan material dalam pengendalian internalnya. Emiten harus memiliki prosedur untuk memperbaiki pengendalian internal, khususnya yang dianggap memiliki significant deficeincy atau klasifikasi defisiensi ICoFR yang paling parah yaitu material weekness.

Peran Auditor dalam ICoFR

Auditor menilai sistem prosedur pengendalian internal ICoFR kliennya, termasuk menilai risiko kesalahan penyajian material dalam laporan keuangan dan pengujian sampel transaksi. Auditor menentukan apakah terdapat kelemahan material dalam pengendalian internal. Luasnya pengujian audit bergantung pada lemahnya pengendalian internal, semakin lemah pengendalian internal di perusahaan klien maka biaya audit juga akan meningkat.

Sehubungan dengan audit tahunan atau review laporan keuangan, auditor menerbitkan laporan kepada klien mengenai masalah pengendalian internal yang memerlukan perbaikan. Laporan-laporan ini disampaikan kepada manajemen dan Komite Audit. Perusahaan harus memperbaiki kekurangan pengendalian internal ini secara tepat waktu.

ICoFR Testing

Pengujian ICoFR dilakukan oleh perusahaan dan auditornya. Perusahaan menilai risiko dan lingkungan pengendalian untuk menguji strategi dan menerapkan monitoring berkelanjutan. Pengujian oleh Auditor, seperti yang disyaratkan oleh PCAOB, menggunakan ukuran sampel yang lebih besar di akhir tahun untuk menguji prosedur pengendalian internal.

Semua perusahaan publik harus menyertakan laporan manajemen mengenai ICoFR dalam laporan tahunan Formulir 10-K yang diajukan ke SEC, sesuai SOX 404(a). SEC mewajibkan perusahaan publik dengan pendapatan minimal $100 juta agar auditornya melengkapi pengesahan terpisah atas ICoFR dan juga menyertakan laporan pengesahan auditor dalam Formulir 10-K.

Terakhir, terkait dengan rencana kementerian BUMN untuk menerapkan ICoFR di BUMN, Saya setuju BUMN dikelola dengan baik sebagai pertanggungjawaban kepada masyarakat Indonesia, salah satu caranya adalah dengan menerapkan menejemen risiko yang efektif, contoh nyatanya adalah dengan menerapkan ICoFR ini. Namun perlu dikaji secara mendalam dengan mempertimbangkan persyaratan yang kompleks tersebut dan kebutuhan biaya yang dikeluarkan. Seperti yang kita pelajari dari perusahaan publik yang sudah terlebih dahulu menerapkannya, implementasi ICoFR tentunya membutuhkan biaya tinggi mulai dari merancang lingkungan pengendalian internal yang baik, menyusun kebijakan yang sesuai, mereview internal control secara berkala, mengaudit, kebutuhan organ perusahaan yang terlibat, melaporkan, sampai pada implementasi dan evaluasi kesisteman yang ada.

Dari sisi audit, tentunya tidak semua kantor akuntan memiliki kapabilitas untuk melakukan audit ICoFR. Untuk Kasus Indonesia, karena memang baru Telkom yang diwajibkan menerapkan ICoFR pilihan yang tersedia tidak banyak, firma akuntansi yang pernah mengaudit Telkom tentu memiliki nilai lebih dibanding firma akuntansi lainnya.

Beberapa referensi yang relevan:

Panduan Penerapan ICoFR oleh PCAOB

Panduan Penerapan ICoFR oleh CAQ

Contoh report ICoFR

Penerapan Internal Control di Telkom

COSO Framework

Audit ICoFR by AICPA

Standard Audit ICoFR