BAB 13

Conducting the Assurance Engagement

I MENENTUKAN TUJUAN DAN LINGKUP ENGAGEMENT

A Alasan Melakukan Engagement
Tipe engagement dan alasan-alasan melakukanya mungkin akan secara signifikan mempengaruhi
bagaimana engagement tersebut dilakukan. Oleh karena itu, penting untuk memahami alasan-alasan
melakukan engagement sebelum memulai perencanaan.
alasan melakukan assurance engagement adalah, tetapi tidak terbatas pada hal-hal sbb:
- Bagian dari rencana
Engagement terdapat dalam internal audit plan karena risiko inheren ditemukan saat prosessbusiness
riskassessment , dideteksinya risiko pada area yang diaudit terakhir kali, dan faktor lain yang relevan.
- Permintaan / compliance requirement
Untuk mengevaluasi sistem internal kontrol organisasi untuk tujuan pelaporan eksternal. Internal auditor
harus memastikan bahnwa engagement didesain untuk menguji area yang tercakup dalam underlying
regulations.
- Post mortem / pasca kejadian
Menentukan apakah suatu proses efektif atau tidak. Internal auditor harus menyesuaikan pengujian dan
evaluasi pada suatu event spesifik yang terjadi.
- Perubahan yang signifikan
Perubahan bisnis atau industri memerlukan modifikasi proses yang cepat dan manajemen menginginkan
validasi yang cepat bahwa modifikasi tersebut didesain secara tepat menyesuaiakn perubahan. Fungsi
Internal auditor dapat melakukan audit conrtrol-focused secara penuh atau fokus hanya pada kontrol yang
berubah.

B Menyusun Tujuan Engagement

Segera setelah suatu alasan engagement disepakati, tujuan engagement formal harus disusun :
- Biasanya diinyatakan dalam laporan final assurance engagement.
- Apabila dinyatakan dalam cara lain, harus jelas menyebutkan assurance apa yang disediakan dalam
engagement.
Sebagai contoh, tujuan dapat dimulai dengan susunan sbb :
- Evaluasi kecukupan desain
- Menentukan efektivitas operasi
- Assess compliance
- Menentukan efektivitas dan efisiensi dari..
- Assess pencapian dari
- Menentukan kinerja dari..

C Lingkup Engagement
Merupakan apa yang termasuk atau yang tidak termasuk dalam engagement). Segera setelah tujuan
engagement disusun, lingkup engagement harus ditentukan.
Pernyataan lingkup tersebut dapat mencakup :
- Batasan proses
- In-scope VS out-scope lokasi
- Subproses
- Komponen
- Jangka waktu
Lingkup engagement :
- Memerlukan judgment profesional.
- IA harus menjamin bahwa pernytaan lingkup harus untuk memenuhi tujuan engagement.
 - Pernyataan lingkup yang spesifik akan memungkinkan fokus tim audit internal yang lebih baik akan
pengujian tertentu.
- Penerima laporan akan mengenterpretasikan dengan lebih baik temuan yang ada [ada konteks tujuan
engagement.

D Outcomes dan Hasil yang Diharapkan

Begin with the end in mind
1 Outcome potensial dari pengujian-pengujian yang dilakukan selama engagement
Tipikal ekspektasi mencakup :
- Kesalahan laporan keuangan atau ketidaktepatan klasifikasi dalam akun keuangan, saldo, atau
pengungkapan.
- Defisiensi kontrol.
- Kekurangan pencapaian tujuan, yang disebabkan oleh defisiensi kontrol atau ketidakcukupan
kinerja.
- Inefisiensi, yang disebabkan sumber daya tidak dipergunakan dengan cara yang optimal.
- Keadaan out-of-compliance, ketika undang-undang, peraturan, atau kebijakan tidak diterapkan
secara konsisten.
2 Ekspektasi Auditee sesuai engagement communications
Memahami bentuk dan isi final communication membantu IA menjamin bahwa semua informasi yang
dibutuhkan telah dikumupulkan selama engagement.
Tipe umum communcation meliputi :
- Full scope. Tipikal Pelaporan Internal adalah ddisistribusikan secara luas, oleh karena itu
memerlukan cukup bukti yang tepat untuk mendukung kesimpulan dan rekomendasi untuk
peningkatan.
- Internal memoranda dapat digunakan untuk pendistribusian yang terbatas
- Laporan untuk keperluan pihak ke tiga harus diasumsikan bahwa pihak tersebut kurang familiar
dengan kebijakan dan prosedur yang khas untuk organisasi, dan oleh karena itu memerlukan
tingkat detail yang lebih untuk menjamin pembaca mengerti sifat dan konteks observasi dan
rekomendasi
- Terkadang, tingkat confidentiality yang lebih tinggi dibutuhkan untuk engagement tertentu. Hal
seperti itu harus didiskusikan terlebih dahulu dengan manajemen proses untuk menjamin bahwa
hasil akhir akan mendukung kebutuhan tingkat confidientality tersebut.

II MEMAHAMI AUDITEE
A Menentukan Tujuan-Tujuan dari Auditee
Memahami suatu proses dimulai dengan menentukan tujuan dari proses utama. Tujuan pada level proses
(prosses level) dapat dijelaskan sbb :
1 Tujuan operasi
- Tipe tujuan yang paling umum tujuan pada proses level.
- Bisanya menentukan latar belakang mengapa proses itu ada.
- Biasanya merupakan tata kelola atau task-oriented.
- Sebagai hasil, kebanyakan fokus pada keakuratan, ketepatan waktu, kelengkapan, ataau atribut kontrol.
- Tambahan, biasanya fokus pada menjamin efektifitas dan efisiensi operasi dan pengamanan aset.
2 Tujuan pelaporan pada level proses
Didesain untuk memenuhi kebutuhan pelaporan organisasi, baik internal maupun eksternal.
3 Tujuan kepatuhan (Compliance objectives) pada level proses
Berhubungan dengan kepatuhan terhadap undang-undang dan peraturan eksternal, kebijakan internal, atau
kontrak.
4 Tujuan strategis pada level proses
Disusun secara khusus agar sesuai dengan tujuan strategis perusahaan.
5 Other objectives
 Untuk proses spesifik yang berhubungan dengan inisiatif departemen masing-masing.
Pertanyaan-pertanyaan yang dapat digunakan untuk menentukan/mengetahui tujuan dari proses utama
(key process objectives) :
- Mengapa proses tersebut ada? (apa tujuan utamanya?)
- Tujuan strategis organisasi mana yang akan terpegaruh dan bagaimana?
- Inisatif apa yang dilakukan/harus dilakukan proses tersebut untuk membantu organisasi mencapai tujuan
strategisnya?
- What does this process provide the organization, without which the organization would have a difficult
time being successful?
- Pada akhir hari/minggu/bulan/tahun, apa yang mendorong karyawan untuk menyelesaikan dengan
pekerjaan mereka ?
- What accomplishment tendt to get employees recognized by management or internal customers?

B Mengumpulkan Informasi
1 Jenis dan sumber informasi yang relevan.
Titik awal untuk memahami suatu proses adalah mereview dokumentasi yang ada. Contoh :
- Kebijakan yang berhubungan dengan proses.
- Manual prosedur.
- Organizational charts atau informasi serupa yang menunjuka hubungan/aliran jumlah karyawan dan
pelaporan utama.
- Job description pihak yang terlibat dalam proses.
- Process map atau flowcharts yang menggambarkan aliran keseluruhan proses.
- Penjelasan naratif pekerjaan kunci/utama atau bagian dari suatu proses.
- Informasi yang relevan berhubungan dengan undang-undang dan peraturan yang mempengaruhi proses.
- Dokumen lain yang dibuat untuk mendukung pelaporan yang diperlukan untuk efektifitas dari sistem
pengendlian internal.
2 Prosedur Analitis
- Suatu cara IA menerapkan high-levelassessment yang dapat mengungkapkan aktivitas proses yang
menuntun perhatian yang lebih, dan oleh karena itu memerlukan pengujian yang lebih detail.
- Termasuk di dalamya me-review dan mengevaluasi informasi yang ada baik finansial maupun non
finansial untuk menentukan apakah konsisten dengan ekpektasi yang telah ditetapkan.
3 Data Analysis Using:
a Computer-assisted Audit Techniques (CAATs)
- Data analisis termasuk mengkompilasi dan menganalisis banyak data, biasanya melalui penggunaaan
teknologi.
- Disamping sebagian besar analisis data dilakukan untuk menguji efektifitas suatu proses, beberapa
pengujian data analisis dapat menyediakan informasi yang berguna selama proses perencanaan.
- Analisis data dapat menyediakan informasi tentang populasi transaksi yang dapat dimanfaatkan
ketika menentukan pendekatan internal audit.
b Analisis kontrol level entitas
Kontrol level entitas biasanya dievaluasi berdasarkan luasnya organisasi pada periodic interval (ex:
tahunan). Oleh karena itu, bisanya tidak diperlukan untuk melakukan assessment efektivitas dari kontrol
level entitas untuk setiap engagement. Akan tetapi auditor internal harus mempertimbangkan hasil
assessment kontrol level entitas ketika merencanakan individual engagement untuk menjamin
pendekatan penguianya relevan dan efisien

C Mendokumentasikan Alur Proeses

Dokumentasi alur proses akan memudahkan review kertas kerja oleh supervisor internal auditor atau yang lainya.
Bentuk yang paling umum: Flowchart (High-level atau detail) dan narrative memoranda.
1 Process map Menggambarkan luasnya input, aktivitas, workflow, dan hubunganya dengan proses dan
output lain. Framework untuk memahami aktivitas dan subproses.
Proses map berguna pada level bisnis, seddangkan flowchart dan hybrid documentation pada detail proses.
 2 Flowchart mencakup tambahan informasi, biasanya menggambarkan sistem komputer dan aplikasi, alur
dokumen, detail risiko dan pengendalian, langkah manual atau otomatis, waktu yang dibutuhkan daalam
proses, pelaksana langkah kunci, dan informasi tambahan lain yang dibutuhkan untuk membantu pereviu
memahami proses dan alurnya.
High-level flowchart :
- Menggambarkan luasnya input, tugas, alur kerja, dan output.
- Membantu pereviu memahami keseluruhan proses, sistem, laporan, dan hubunganya dengan proses dan
subproses lain.
- Biasanya digambarkan seperti process map, dengan informasi yang ditambahkan.
Detailed Flowchart :
- Mendokumentasikan secara lebih spesifik input, tugas, actions, sistem, keputusan, dan output.
- Contoh, dapat memasukan semua atau beberapa informasi berikut :Key risk, key control,
indiviudal/position performing, timing, elapsed time.
3 Narrative memoranda Memberikan informasi tentang alur proses hanya menggunakan kata tulis. Biasanya
digabungkan dengan flowchart untuk membuat dokumentasi bentuk hybrid.
Situasi yang tepat untuk menggunakan narrative memoranda :
- Prosesnya simpel, gambaran visual tidak bernilai penting.
- Langkahnya rumit, sulit untuk mendeskripsikan secara efektif dalam ruang yang terbatas yang ada pada
simbol2 flowchart.
- Process owner request.
- Lebih efisien dalam mendokumentasikan proses.

D Mengidentifikasi Indikator Kinerja Kunci

KPI Metrik atau bentuk lain pengukuran apakah proses atau kerja individu dioperasikan dengan toleransi yang
telah ditentukan sebelumya.
Karakteristik KPI yang baik :
- Relevant
- Measurable
- Available
- Sesuai degan key objective process (ex: infromasi pembayaran ganda diketahu karena terdapat tujuan untuk
tidak terdapat pembayaran ganda).
- Articulated, dapat dilafakan/disampaikan kepada orang yang terlibat dalam proses

E Mengevaluasi Risiko Fraud pada Level Proses

Sebelum memulai proses risk assessment formal, penting untuk mengevaluasi potensi skenario fraud
dalam proses, yang meliputi 3 langkah :
1 Mengidentifikasi potensi skenario fraud. Ex: brainstorming.
2 Memahami potensi dampak fraud.
3 Menentukan apakah akan dilaukan pengujian untuk risiko fraud spesifik.
Tidak dimaksudakn untuk mengidentifikasi terjadinya fraud, tapi mengevaluasi kemungkinan terjadinya
skenario fraud.

III IDENTIFY AND ASSESS RISKS

A Mengidentifikasi Skenario Risiko Pada Level Proses
Tujuan: menjawab pertanyaan What can happen that would prevent the achievement of each process-
level objective?
Langkahnya:
1 Memilih satu tujuan pada level proses. 4 Mengkategorikan dan mnegkombinasikan
2 Brainstorm hambatan-hambatan. skenario risiko yang ang serupa.
3 Continue the exercise for the remaining
process-level objectives.
B Menentukan Risiko Pada Level Proses
Pendekatan optimal dalam menentukan risiko tergantung pada budaya dan risk
language organisasi. Suatu pendekatan yang umum dan efektif untuk menentukan risiko
adalah menggunakan cause and effecttprotocol. Dengan pendekatan ini, risiko dimulai
dengan cause dan dilanjutkan ke efffect.
Setelah risiko ditentukan, risiko tersebut harus dihubungkan dengan tujuan pada
level proses untuk menjamin terdapat hubungan antara tiap risiko dan tujuan tersebut.
Tugas terakhir adalah memvalidasi definisi speak the leanguge pegawai pada level
proses. Internal auditor harus mensharing dan mendiskusikan definisi risiko dengan
managemen pada level proses dan pegawai untuk memvalidasi bahwa daftar risiko
tersebut telah lengkap dan definisinya sesuai.

C Evalusai Dampak dan Keterjadian Risiko

Ketika risiko telah diidentifikasi dan ditetapkan, auditor kemudian siap untuk melakukan
risk assessment. Tujuan melakukan evaluasi ini adalah untuk membantu mengidentifikasi
risiko yang mempunyai efek paling besar pada pencapaian tujuan.
Langkah yang dilakukan dalam melakukan risk assessment
1 Menetapkan impact dari berbagai outcome yang terkait dengan masing-masing risiko.
2 Memperkirakan keterjadian bahwa setiap dampak risiko akan terjadi.
3 Menggabungkan penilaian dari impactdan tingkat keterjadian menjadi penilaian risiko
tunggal.

Nomer 9 dan 8 menunjukkan risiko tinggi, nomor 5,6,7, menunjukkan risiko sedang,
nomor 1,2,3,4 menunjukkan risiko rendah.

D Memahami Risk Tolerance Management

Risk tolerance Tingkatan atas ukuran dan jenis risiko yang dapat diterima manajemen
dalam usaha pencapaian tujuan, yang harus sejalan dengan risk apetite organisasi.
Langkah-langkah untuk memahami tingkatan risk tolerance suatu manajemen :
 1 Identifikasi kemungkinan risiko hasil.
Risiko menggambarkan jarak atas kemungkinan hasil. Sedangkan hasil biasanya diukur
secara financial, mungkin ada juga risiko lainnya yang tidak terungkap dengan pengukuran
keuangan.
2 Memahami tingkat toleransi yang ditetapkan.
Setiap tingkatan toleransi terlihat dari pengukuran pada dokumentasi KPI, capaian kinerja
individu, dan komunikasi lainnya.
3 Menilai level toleransi atas hasil yang belum ditetapkan.

IV IDENTIFIKASI KEY CONTROL

Key control sebuah aktifitas yang dirancang untuk mengurangi risiko terkait dengan
tujuan bisnis yang penting. Untuk melakukan hal ini, sangat penting untuk memahami
berbagai macam tipe control yang mungkin saja merupakan key control pada tingkatan proses
yang dijalankan. Beberapa contoh control yang telah dijalankan :
1 Approving memerlukan otorisasi saat melakukan transaksi.
2 Calculating menghitung atau melakukan penghitungan kembali atas hasil dari suatu data.
3 Documenting terkait dengan menjaga sumber informasi atau mendokumentasikan
pertimbangan keputusan.
4 Examining melakukan verifikasi.
5 Matching melakukan perbandingan dari dua atribut yang berbeda.
6 Monitoring melakukan pemeriksaan untuk memastikan kegiatan yang dilaksanakan.
7 Restricting tidak mengijinkan melakukan tindakan terlarang.
8 Segregating memisahkan pelaksana pekerjaan untuk menghindari tindakan yang tidak
diinginkan.
9 Supervising melakukan pengawasan untuk memastikan kegiatan dilaksanakan sesuai dengan
rencana.
Hal-hal penting dalam menetapkan key control :
1 Internal auditor harus memiliki pemahama yang jelas mengenai proses pencapaian tujuan.
2 Konsekuensi dari kurangnya control harus dievaluasi.
3 Control tambahan harus dilakukan apabila ada indikasi kegiatan tidak dijalankan sesuai key
control.
4 Efek dari suatu control terhadap control lainnya harus dipertimbangkan.
5 Dampak dari control entitas juga harus dipertimbangkan.
6 Control yang berlebihan,atau sesuatu yang tidak efektif harus diubah atau dihilangkan.

V EVALUASI KECUKUPAN DESAIN KONTROL

Menetapkan apakah key control dirancang dengan cukup untuk mengurangi risiko individual
dari sebuah proses menjadi risiko yang diterima. Gap yang teridentifikasi harus didiskusikan
dengan manajemen.
Evaluasi kecukupan rencana pengendalian :
1 Rencana dinyatakan cukup, tidak ada perbedaan yang signifikan.
2 Rencana dinyatakan cukup, terdapat perbedaan.
3 Rencana tidak cukup, terdapat perbedaan yang signifikan.

VI MEMBUAT RENCANA PENGUJIAN

Digunakan untuk mengumpulkan kecukupan bukti yang sesuai untuk mendukung evaluasi
 dari seberapa efektif key control dilaksanakan.
Langkah yang dilakukan:
1 Menetapkan control mana yang cukup penting untuk pengujian.
Fokus utama melakukan pengujian adalah mengetahui apakah key control dilaksanakan cukup
efektif untuk memastikan proses risiko setiap tingkatan diatur dengan cukup. Dalam pengujian
tersebut ditetapkan control yang dipilih untuk diuji
2 Mengembangkan pendekatan untuk menguji control-control tersebut.
Pendekatan pengujian digunakan untuk menetapkan sifat-beda sifat pengujian berbeda tingkat
keyakinan yang diberikan, luasan-control dapat diuji secara parsial atau keseluruhan, dan waktu
yang tepat untuk melakukan pengujian-pengujian dapatdilakukan pada waktu yang berbeda.
3 Dokumentasi pertimbangan mendukung pemilihan audit tes.
Salah satu contoh rencana pengujian

VII MENGEMBANGKAN WORK PROGRAM

Work program sebuah dokumen yang berisi rincian prosedur yang arus diikuti selama
pemeriksaan, didesain untuk mencapai tujuan pemeriksaan.
Work program ini dapat memiliki bentuk yang berbeda, antara lain :
1 Standar template atau checklist yang menuntun internal auditor mempersiapkan untuk
mendokumentasikan pelaksanaan langkah yang sesuai rencana.
2 Sebuah memorandum yang berisi ringkasan penyelesaian tugas.
3 Kolom tambahan pada matriks risiko dan control bila auditor ingin semua hal yang ditemukan
dalam dokumen akan disajikan.
 4 Kombinasi dari ketiganya.
Format tersebut akan bervariasi dari fungsi internal audit yang satu dengan fungsi internal
audit lainnya. Hal ini berarti ada beberapa cara untuk :
1 Memastikan seluruh tim pemeriksa memahami apa yang telah dilakukan dan apa yang masih
harus dilakukan.
2 Melakukan komunikasi mengenai siaoa yang bertanggungjawab melaksanakan setiap tugas
pemeriksaan.
3 Mendapatkan catatan dari tugas yang telah diselesaikan.
4 Memfasilitasi reviu oleh manajer pemeriksaan atau direktur yang melakukan pengawasan datau
direktur selama proses rencana pemeriksaan.

VIII MENGALOKASIKAN SUMBER DAYA UNTUK MELAKSANAKAN PEMERIKSAAN

Sumber daya pemeriksaan antara lain : auditor internal, orang lain (internal/eksternal), alat
transportasi, teknologi, dan lain lain.
Langkah terakhir dalam merencanakan pemeriksaan adalah menetapkan sumber daya yang
dibutuhkan dengan benar untuk melaksanakan tugas yang direncanakan. Langkah tersebut
adalah :
1 Mengestimasi, atau menganggarkan sumber daya yang dibutuhkan.
2 Mengalokasikan sumber daya manusia yang tepat untuk melaksanakan pemeriksaan.
3 Menjadwalkan sumber daya untuk memastikan penugasan selesai tepat pada waktunya.

IX MELAKUKAN TES UNTUK MENGUMPULKAN BUKTI

Pada bagian ini adalah transisi dari tahap perencanaa kepada tahap pelaksanaan.
Langkah yang dilakukan auditor : menerapkan prosedur audit khusus untuk mendapatkan
bukti; dan mendokumentasikan prosedur yang dilaksanakan dan hasilnya dari pelaksanaan
prosedur tersebut

X MENGEVALUASI BUKTI YANG DIDAPAT DAN MEMBUAT KESIMPULAN

Pertanyaan yang harus dijawab dalam evaluasi :
- Apakah key control telah didesain secara memadai?
- Apakah key control dijalankan dengan efektif sesuai dengan desain?
- Apakah risiko yang melekat telah dimitigasi pada tingkatan yang diterima?
- Apakag desain dan pelaksanaan key control mendukung pencapaian tujuan pelaksaan tugas?
XI MENGEMBANGKAN OBSERVASI DAN MENYUSUN REKOMENDASI
Elemen kunci dari observasi :
1 Kriteria Apa yang seharusnya ada?
2 Kondisi Apa yang terjadi?
3 Sebab Kenapa terdapat perbedaan antara yang terjadi dengan yang seharusnya?
4 Akibat Konsekuensi dari perbedaan antara yang seharusnya terjadi denfan kenyataan.