4. Identifikasi risiko, kontrol, dan kesenjangan proses yang ada.

Selama peninjauan dokumentasi yang ada dan saat melakukan wawancara, tim harus
memulai untuk mengidentifikasi risiko, kontrol, dan kesenjangan yang terkait dengan proses yang
ada. Untuk struktur kontrol yang ada matang dan lengkap, proses ini mungkin termasuk mencatat
perubahan sejak terakhir kali proses dan dokumentasi kontrol telah diperbarui. Untuk yang lain
struktur kontrol, membangun fondasi untuk kontrol dokumentasi dan rencana perbaikan mungkin
diperlukan mencatat secara terperinci tentang risiko proses, kontrol, dan kesenjangan terkait.

5. Mempersiapkan dokumentasi proses akhir dengan kontrol.

Apakah organisasi menggunakan tata kelola, risiko, dan sistem kepatuhan atau alat manual
seperti kata perangkat lunak pemrosesan dan spreadsheet, dasar komponen dari proses
dokumentasi adalah sama.

Pertama, tim mungkin ingin mempertimbangkan untuk mengembangkan narasi atau

diagram alur proses saat ini. Untuk menunjukkan pemahaman yang cukup tentang proses tersebut,
poin-poin berikut dapat dipertimbangkan untuk dimasukkan:

 Aliran dasar transaksi dari awal hingga selesai

 Personel yang terlibat dalam aliran proses
 Kontrol dilakukan sebagai bagian dari aliran proses, dan juga personel yang bertanggung
jawab untuk melakukan kontrol versus mereka yang bertanggung jawab untuk meninjau
kinerja kontrol
 Sistem yang digunakan dalam proses dan laporan yang dihasilkan oleh sistem ini
 Pemisahan tugas, apakah manual atau otomatis

Mengingat berbagai pendekatan implementasi, satu opsi bagi tim adalah mengembangkan
matriks risiko dan kontrol (lihatGambar 5). Matriks kontrol adalah dokumen (umumnya dikelola
dalam format spreadsheet atau khusus aplikasi database) yang mengidentifikasi semua kontrol
internal dalam proses di samping deskripsi spesifik dan atribut kategori yang terkait dengan setiap
kontrol. Informasi ditangkap untuk setiap kontrol mungkin termasuk yang berikut:

• Nomor kontrol (ditetapkan oleh manajemen sebagai pengenal unik)

• Deskripsi kontrol
• Tujuan kontrol
• Risiko yang terkait dengan tujuan pengendalian
• Frekuensi kontrol
• Kontrol pemilik (peran / judul)
• Jenis kontrol kunci atau nonkunci
• IT atau tipe kontrol manual
• Jenis kontrol preventif atau detektif
• Jenis kontrol penipuan atau non-penipuan
• Prinsip COSO (terkait dengan kontrol)
• Pernyataan laporan keuangan (terkait dengan kontrol)