Business Risk

Ketika internal auditor sudah memahami tujuan organisasi dan proses kunci yang digunakan untuk
mencapai tujuan tersebut, langkah berikutnya adalah mengevaluasi risiko bisnis yang dapat
menghalangi pencapaian tujuan tersebut. Bagi organisasi yang telah menerapkan Enterprise Risk
Management (ERM), umumnya manajemen telah mengembagkan suatu risk profile. Dalam kasus
tersebut maka fungsi internal audit dapat membangun penilaian risikonya dari risk profile tersebut.
Bila risk profile tidak tersedia, maka fungsi internal audit adalah menyusun profil sebagai titik awal
untuk perencanaan audittahunan.

Pendekatan umum yang dapt dilakukan untuk mengembangkan risk profile adalah dengan
melakukan sesi brainstorming dengan senior manajemen atau, jika mereka tidak dapat, dengan
anggota fungsi internal audit. Potensi risiko dibagi ke dalam 4 (empat) kategori sesuai dengan ERM
COSO yaitu Strategic Risks, Compliance Risks, Reporting Risks, dan Operations Risks. (Lihat
Chapter 4 “Risk Management”)

Risiko yang beraneka ragam tersebut kemudian dinilai dampak dan keterjadiannya seperti gambar
di atas ini.
 Tahap selanjutnya adalah dimasukannya risiko-riko yang telah terdapat dalam Risk Model ke
dalam Matriks Risk Assessment di atas dan menghubungkan risiko yang telah teridentifikasi dengan
tujuan spesifiknya. Hal tersebut akan membantu untuk memastikan bahwa semua risiko kunci, dan
dampak yang dihasilkan telah diidentifikasi

Memetakan Resiko Pada Proses Bisnis

A. Membangun Respon yang Sesuai untuk Masing-masingRisiko

Respon yang bisa diberikan oleh organisasi terhadap risiko (perspektif ERM):

1) Avoidance/Penghindaran (contoh: tidak meluaskan pangsa pasar, menjual sebuahdivisi)

2) Reduction/Pengurangan yaitu mengurangi dampak, keterjadian atau keduanya
(contoh: mengimplementasikancontrol)
3) Sharing/Membagi dengan mentransfer atau membagi porsi risiko, (contoh: asuransi,
hedging, outsource activity)
4) Acceptance/Penerimaan organisasi memilih menerima risiko dengan level tertentu daripada
menggunakan sumber daya untuk merespon dengan caralainnya.

IIA Standard 2010 bilang:

“Planning explicity requires CAE to ‘establish a risk-based plan to determine the priorities of the
internal audit activity, consistent with the organization’s goals’”

Atau

Perencanaan secara eksplisit membutuhkan CAE untuk 'menetapkan rencana berbasis risiko untuk
menentukan prioritas kegiatan audit internal, yang konsisten dengan tujuan organisasi’”

B. Hubungan yang sudah dianalisis (antara proses dan risiko), Dievaluasi untuk menentukan
mana yang kunci atau bukan(sekunder)
Hubungan kunci (Key link) yang prosesnya dilaksanakan secara langsung untuk memanaje
risiko.Hubungan sekunder (secondary link) yang prosesnya dilaksanakan secara tidak langsung
untuk memanaje risiko.

RBPM pada exhibit 5-11 di atas digunakan internal auditor untuk memutuskan bagian mana
yang harus dimasukkan kedalam rencana audit fungsional tahunan. Langkahnya menghitung
jumlah link key dan secondary untuk setiap proses. Hal ini karena link tersebut akan
mempengaruhi tipe audit yang akan dilakukan.

Selain pakai RBPM, pendekatan lain untuk mencari hubungan antara bisnis proses dan
risiko adalah dengan membangun factor risiko dasar yang digunakan untuk mengevaluasi
risiko melalui proses (risk factor approach). Biasanya model RF ini diidentifikasi 7 sampai
15 faktor untuk mengassess masing2 proses. Biasanya ada 2 jenis factor, external risk
factor dan internal risk factor.

a) External RiskFactor
Berkaitan dengan faktor-faktor yang dibangun ke dalam lingkungan dan sifat proses itu
sendiri.
b) Internal RiskFactor
Berkaitan dengan kontrol batas yang dirancang ke dalam proses untuk menjamin
pencapaian tujuan, kinerja orang-orang yang terlibat dalam kegiatan dan dalam
mengelola proses, dan tingkat perubahan dalam proses dan lingkungan di mana
bisnisberoperasi.
Setelah factor diidentifikasi, ada 3 keputusan yang harus dibuat sebelum model
diimplementasikan:
1. Menentukan skala untuk tiap factor yang diassess
2. Menentukan pembobotan untuk tiapfactor
3. Menentukan bagaimana tiap factordikombinasikan

Proses Bisnis dan Risiko dalam Assurance Engagement

Assurance engagement ialah pemeriksaan obyektif pada bukti-bukti dengan tujuan

memberikan penilaian independen terhadap tata kelola, manajemen risiko dan proses
kontrol untuk organisasi.