BAB

Penipuan
5
TUJUAN PEMBELAJARAN

Setelah mempelajari bab ini, Anda diharapkan mampu:

1. Jelaskan ancaman yang dihadapi oleh sistem informasi modern.
2. Definisikan kecurangan dan jelaskan kedua jenis kecurangan dan tanggung jawab
auditor untuk mendeteksi kecurangan.
3. Diskusikan siapa yang melakukan penipuan dan mengapa hal itu terjadi, termasuk
tekanan, peluang, dan rasionalisasi yang ada di sebagian besar penipuan.
4. Tentukan penipuan komputer dan diskusikan klasifikasi penipuan
komputer yang berbeda.
5. Jelaskan cara mencegah dan mendeteksi penipuan dan penyalahgunaan komputer.

KASUS INTEGRATIF Industri Barat Laut

Jason Scott adalah auditor internal untuk Northwest Industries, sebuah perusahaan hasil hutan. Pada tanggal 31 Maret, dia meninjau
pengembalian pajaknya yang lengkap dan memperhatikan bahwa pemotongan pajak pendapatan federal pada gaji terakhirnya adalah $ 5 lebih
dari jumlah yang ditunjukkan pada formulir W-2-nya. Dia menggunakan jumlah W-2 untuk menyelesaikan pengembalian pajaknya dan
membuat catatan untuk menanyakan departemen penggajian apa yang terjadi dengan $ 5 lainnya. Keesokan harinya, Jason kewalahan, dan
dia mengabaikan selisih $ 5 sebagai hal yang tidak penting.
On April 16, a coworker grumbled that the company had taken $5 more from his check than he was given
credit for on his W-2. When Jason realized he was not the only one with the $5 discrepancy, he investigated
and found that all 1,500 employees had the same $5 discrepancy. He also discovered that the W-2 of Don
Hawkins, the payroll programmer, had thousands of dollars more in withholdings reported to the Internal
Revenue Service (IRS) than had been withheld from his paycheck.
Jason knew that when he reported the situation, management was going to ask ques- tions, such as:

1. What constitutes a fraud, and is the withholding problem a fraud?

2. How was the fraud perpetrated? What motivated Don to commit it?

126
 3. Why did the company not catch these mistakes? Was there a breakdown in controls?
4. How can the company detect and prevent fraud?
5. How vulnerable is the company's computer system to fraud?

Introduction
As accounting information systems (AIS) grow more complex to meet our escalating needs
for information, companies face the growing risk that their systems may be compromised.
Recent surveys show that 67% of companies had a security breach, over 45% were targeted
by organized crime, and 60% reported financial losses.
The four types of AIS threats a company faces are summarized in Table 5-1.

TABLE 5-1 Threats to Accounting Information Systems

THREATS EXAMPLES
Natural and political disasters Fire or excessive heat
Floods, earthquakes, landslides, hurricanes, tornadoes, blizzards, snowstorms, and
freezing rain
War and attacks by terrorists
Software errors and equip- Hardware or software failure
ment malfunctions Software errors or bugs
Operating system crashes Power
outages and fluctuations
Undetected data transmission errors
Unintentional acts Accidents caused by human carelessness, failure to follow established procedures, and poorly trained
or supervised personnel
Innocent errors or omissions
Lost, erroneous, destroyed, or misplaced data
Logic errors
Systems that do not meet company needs or cannot handle intended tasks
Intentional acts (computer Sabotage
crimes) Misrepresentation, false use, or unauthorized disclosure of data
Misappropriation of assets
Financial statement fraud
Corruption
Computer fraud-attacks, social engineering, malware, etc.

127
12 BAGIAN II PENGENDALIAN DAN AUDIT SISTEM INFORMASI AKUNTANSI BAB 5 PENIPUAN 12
8 8

AIS Threats
Natural and political disasters-such as fires, floods, earthquakes, hurricanes, tornadoes, bliz-
zards, wars, and attacks by terrorists-can destroy an information system and cause many
companies to fail. For example:
• Terrorist attacks on the World Trade Center in New York City and on the Federal Build- ing in Oklahoma
City destroyed or disrupted all the systems in those buildings.
• A flood in Chicago destroyed or damaged 400 data processing centers. A flood in Des
Moines, Iowa, buried the city's computer systems under eight feet of water. Hurricanes
and earthquakes have destroyed numerous computer systems and severed communica-
tion lines. Other systems were damaged by falling debris, water from ruptured sprinkler
systems, and dust.
• A very valid concern for everyone is what is going to happen when cyber-attacks are
militarized; that is, the transition from disruptive to destructive attacks. For more on this,
see Focus 5-1.

FOCUS 5-1 Electronic Warfare

Shortly after Obama was elected President, he autho- rized
cyber-attacks on computer systems that run Iran's main
nuclear enrichment plants. The intent was to delay or
destroy Iran's nuclear-weapons program. The attacks were
based on the Stuxnet virus, which was developed with help
from a secret Israeli intelligence unit. The attack damaged
20% of the centrifuges at the Natanz uranium enrichment
facility (Iran denied its existence) by spinning them too fast.
This was the first known cyber-attack in- tended to harm a
real-world physical target.
A hacker group that is a front for Iran retaliated using
distributed denial of service attacks (DDoS) to bring on- line
systems at major American banks to their knees. Most denial of
service attacks use botnets, which are networks of computers
that the bot-herder infected with mal- ware. However, the
Iranians remotely hijacked and used "clouds" of thousands of
networked servers located in cloud computing data centers
around the world. The at- tack inundated bank computers with
encryption requests (they consume more system resources),
allowing the hack- ers to cripple sites with fewer requests. The
cloud services were infected with a sophisticated malware,
which evaded detection by antivirus programs and made it very
difficult to trace the malware back to its user. The scale and
scope of these attacks and their effectiveness is unprecedented,
as there have never been that many financial institutions under
simultaneous attack.
Defense Secretary Leon E. Panetta claimed that the
United States faces the possibility of a "cyber-Pearl
Har- bor" because it is increasingly vulnerable to
hackers who could shut down power grids, derail trains,
crash air- planes, spill oil and gas, contaminate water
supplies, and blow up buildings containing combustible
materials. They can disrupt financial and government
networks, destroy
data penting, dan mentransfer uang secara ilegal. Mereka juga
dapat melumpuhkan angkatan bersenjata suatu negara, karena
mereka mengandalkan jaringan komputer yang rentan. Semua
serangan ini sangat menakutkan karena dapat dilakukan dari
jarak jauh, dalam hitungan detik, dan dilakukan dengan segera
atau pada tanggal dan waktu yang ditentukan sebelumnya.
Serangan skala besar bisa menciptakan tingkat kekacauan
yang tak terbayangkan di Amerika Serikat. Serangan paling
merusak akan menggabungkan serangan dunia maya dengan
serangan fisik.
Both to be better able to use cyber weapons and to defend
against them, the United States has created a new U.S. Cyber
Command that will have equal footing with other commands
in the nation's military structure. In addition, intelligence
agencies will search computer net- works worldwide looking
for signs of potential attacks on the United States. Cyber
weapons have been approved for preemptive attacks, even if
there is no declared war, if authorized by the president-and if
an imminent attack on the United States warrants it. The
implications are clear: the United States realizes that cyber
weapons are going to be used and needs to be better at using
them than its adversaries.
Sayangnya, memperkuat keamanan dunia maya dan
sistem penjagaan yang aman secara signifikan
memperlambat kemajuan teknologi dan perkembangan
konstan alat-alat serangan dunia maya baru. Semakin
sulit, kemajuan seperti komputasi awan dan
penggunaan perangkat seluler lebih menekankan pada
akses dan kegunaan daripada keamanan. Sebagian
besar perusahaan dan lembaga pemerintah perlu
meningkatkan anggaran keamanan mereka secara
signifikan untuk mengembangkan cara memerangi
serangan tersebut. Diperkirakan bahwa permintaan
pasar akan pakar keamanan cyber lebih dari
100.000 orang per tahun dan gaji rata-rata mendekati
enam angka.
 Kesalahan perangkat lunak, sistem operasi crash, kegagalan perangkat keras, • In a recent
pemadaman listrik dan fluktuasi, dan kesalahan transmisi data yang tidak terdeteksi three-year period,
merupakan jenis ancaman kedua. Sebuah studi federal memperkirakan kerugian ekonomi the number of
tahunan akibat bug perangkat lunak mencapai hampir $ 60 miliar. Lebih dari networks that
60% perusahaan yang diteliti memiliki kesalahan perangkat lunak yang signifikan. were
Contoh kesalahan meliputi: compromised
rose
• Lebih dari 50 juta orang di Timur Laut dibiarkan tanpa listrik ketika sistem kontrol industri 700%. Para ahli
di bagian jaringan gagal. Beberapa daerah tidak berdaya selama empat hari, dan kerusakan yakin jumlah insiden
akibat pemadaman hampir mencapai $ 10 miliar. sebenarnya enam
• Di Facebook, sistem otomatis untuk memverifikasi kesalahan nilai konfigurasi menjadi kali lebih tinggi
bumerang, menyebabkan setiap klien mencoba memperbaiki data akurat yang dianggap daripada yang
tidak valid. Karena perbaikan melibatkan kueri cluster database, cluster itu dengan dilaporkan karena
cepat kewalahan perusahaan
ratusan ribu kueri per detik. Kerusakan yang diakibatkannya membuat sistem Facebook cenderung tidak
offline selama dua setengah jam. melaporkan
• Akibat bug sistem pajak, California gagal mengumpulkan $ 635 juta dalam bentuk pajak pelanggaran
bisnis. keamanan. Symantec
• Bug dalam perangkat lunak Burger King mengakibatkan tagihan kartu debit $ 4.334,33
memperkirakan
untuk empat hamburger. Kasir secara tidak sengaja memasukkan tagihan $ 4,33 dua bahwa peretas
kali, yang mengakibatkan kelebihan biaya. menyerang komputer
Jenis ancaman ketiga, tindakan yang tidak disengaja seperti kecelakaan atau kesalahan dan lebih dari 8,6 juta
kelalaian yang tidak disengaja, adalah risiko terbesar bagi sistem informasi dan menyebabkan kali per hari. Satu
kerugian dolar terbesar. Asosiasi Industri Teknologi Komputasi memperkirakan bahwa perusahaan
kesalahan manusia menyebabkan 80% masalah keamanan. Forrester Research memperkirakan keamanan komputer
bahwa karyawan secara tidak sengaja menciptakan risiko hukum, peraturan, atau keuangan
dalam 25% email keluar mereka.
Tindakan yang tidak disengaja disebabkan oleh kecerobohan manusia, kegagalan untuk
mengikuti prosedur yang ditetapkan, dan personel yang kurang terlatih atau diawasi. Pengguna
kehilangan atau salah taruh data dan secara tidak sengaja menghapus atau mengubah file, data,
dan program. Operator komputer dan pengguna memasukkan input yang salah atau input yang
salah, menggunakan versi program yang salah atau file data yang salah, atau file data yang salah
tempat. Analis sistem mengembangkan sistem yang tidak memenuhi kebutuhan perusahaan,
yang membuat mereka rentan terhadap serangan, atau yang tidak mampu menangani tugas yang
dimaksudkan. Pemrogram membuat kesalahan logika. Contoh tindakan yang tidak disengaja
meliputi:
• Seorang petugas entri data di Mizuho Securities secara keliru memasukkan penjualan
610.000 saham J-Com seharga 1 yen alih-alih menjual 1 saham seharga 610.000 yen.
Kesalahan tersebut merugikan perusahaan $ 250 juta.
• A programmer made a one-line-of-code error that priced all goods at Zappos, an online
retailer, at $49.95-even though some of the items it sells are worth thousands of dollars.
The change went into effect at midnight, and by the time it was detected at 6:00 A.M.,
the company had lost $1.6 million on goods sold far below cost.
• A bank programmer mistakenly calculated interest for each month using 31 days. Before
the mistake was discovered, over $100,000 in excess interest was paid.
• A Fannie Mae spreadsheet error misstated earnings by $1.2 billion.
• UPS lost a box of computer tapes containing sensitive information on 3.9 million
Citigroup customers.
• Jefferson County, West Virginia, released a new online search tool that exposed the
personal information of 1.6 million people.
• McAfee, the antivirus software vendor, mistakenly identified svchost.exe, a crucial part of
the Windows operating system, as a malicious program in one of its updates. Hun- dreds
of thousands of PCs worldwide had to be manually rebooted-a process that took
30 minutes per machine. A third of the hospitals in Rhode Island were shut down by the
error. One company reported that the error cost them $2.5 million.
A fourth threat is an intentional act such as a computer crime, a fraud, or sabotage, which is
deliberate destruction or harm to a system. Information systems are increasingly vulnerable to
attacks. Examples of intentional acts include the following:
sabotase - Disengaja
bertindak di mana tujuannya adalah untuk menghancurkan sistem atau beberapa komponennya.

Kue kering - File teks yang dibuat
oleh situs web dan disimpan di hard
drive pengunjung. Cookies
menyimpan informasi tentang siapa
pengguna dan apa yang telah
dilakukan pengguna di situs.
penipuan - Setiap dan semua cara
yang digunakan seseorang untuk
mendapatkan keuntungan yang tidak
adil atas orang lain.
reported that in the cases they handled that were perpetrated by Chinese hackers, 94% of
the targeted companies didn't realize that their systems had been compromised until
someone else told them. The median number of days between when an intrusion started
and when it was detected was 416.
• The Sobig virus wreaked havoc on millions of computers, including shutting down train
systems for up to six hours.
• In Australia, a disgruntled employee hacked into a sewage system 46 times over two
months. Pumps failed, and a quarter of a million gallons of raw sewage poured into
nearby streams, flooding a hotel and park.
• A programmer was able to download OpenTable's database due to an improperly de-
signed cookie (data a website stores on your computer to identify the site so you do not
have to log on each time you visit the site).
• Seorang hacker mencuri 1,5 juta nomor kartu kredit dan debit dari Pembayaran Global,
mengakibatkan kerugian $ 84 juta dan penurunan keuntungan 90% pada kuartal setelah
pengungkapan.
• Kelompok peretas aktivis bernama Anonymous memainkan Sinterklas pada suatu Natal,
menunjukkan bahwa mereka "mengabulkan harapan kepada orang-orang yang kurang
beruntung dari kebanyakan orang." Mereka dibanjiri permintaan untuk iPad, iPhone,
pizza, dan ratusan hal lainnya. Mereka meretas bank dan mengirim kartu kredit virtual
senilai lebih dari $ 1 juta kepada orang-orang.
Cyber thieves have stolen more than $1 trillion worth of intellectual property from busi-
nesses worldwide. General Alexander, director of the National Security Agency, called cyber
theft "the greatest transfer of wealth in history." When the top cyber cop at the FBI was asked
how the United States was doing in its attempt to keep computer hackers from stealing data
from corporate networks, he said, "We're not winning."
The seven chapters in part II focus on control concepts. Fraud is the topic of this chapter.
Computer fraud and abuse techniques are the topic of Chapter 6. Chapter 7 explains general
principles of control in business organizations and describes a comprehensive business risk and
control framework. Chapter 8 introduces five basic principles that contribute to systems
reliability and then focuses on security, the foundation on which the other four principles rest.
Chapter 9 discusses two of the other four principles of systems reliability: confidentiality and
privacy. Chapter 10 discusses the last two principles: processing integrity and availability.
Chapter 11 examines the processes and procedures used in auditing computer-based systems.
This chapter discusses fraud in four main sections: an introduction to fraud, why fraud
occurs, approaches to computer fraud, and how to deter and detect computer fraud.
Introduction to Fraud
Fraud is gaining an unfair advantage over another person. Legally, for an act to be fraudulent
there must be:
1. A false statement, representation, or disclosure
2. A material fact, which is something that induces a person to act
3. An intent to deceive
4. A justifiable reliance; that is, the person relies on the misrepresentation to take an action
5. An injury or loss suffered by the victim
Annual economic losses resulting from fraudulent activity each year are staggering. It is
rare for a week to go by without the national or local press reporting another fraud of some
kind. These frauds range from a multimillion-dollar fraud that captures the attention of the na-
tion to an employee defrauding a local company out of a small sum of money.
The Association of Certified Fraud Examiners (ACFE) conducts comprehensive fraud
studies and releases its findings in a Report to the Nation on Occupational Fraud and Abuse.
The ACFE estimates that:
• A typical organization loses 5% of its annual revenue to fraud, indicating yearly global
fraud losses of over $3.7 trillion.
• Owner/executive frauds took much longer to detect and were more than four times as
costly as manager-perpetrated frauds and more than 11 times as costly as employee frauds.
 • More than 87% of the perpetrators had never been charged or convicted of fraud.
• Small businesses, with fewer and less effective internal controls, were more vulnerable to
fraud than large businesses.
• Occupational frauds are much more likely to be detected by an anonymous tip than by
audits or any other means.
• More than 83% of the cases they studied were asset misappropriation frauds with a me-
dian loss of $125,000. Billing schemes and check tampering schemes were the most fre-
quent types of asset misappropriation.
• Only 10% of the cases were financial statement fraud, but these cases had a much higher
median loss of $975,000.
• The most prominent organizational weakness in the fraud cases studied was a lack of
internal controls.
• The implementation of controls to prevent fraud resulted in lower fraud losses and
quicker fraud detection.
• Dalam 79% kasus penipuan yang diteliti, pelaku menunjukkan tanda peringatan perilaku,
atau bendera merah, seperti hidup di luar kemampuan mereka, kesulitan keuangan,
hubungan dekat yang tidak biasa dengan vendor atau pelanggan, dan perceraian baru-baru
ini atau masalah keluarga yang menciptakan persepsi kebutuhan di benak pelaku.
Sebagian besar pelaku penipuan adalah orang dalam yang berpengetahuan luas dengan
akses, keterampilan, dan sumber daya yang diperlukan. Karena karyawan memahami sistem
perusahaan dan kelemahannya, mereka lebih mampu melakukan dan menyembunyikan
penipuan. Kontrol yang digunakan untuk melindungi aset perusahaan mempersulit pihak luar
untuk mencuri dari perusahaan. Pelaku penipuan sering disebut sebagai penjahat kerah putih. white-collar criminals - Biasanya,
Ada banyak sekali jenis penipuan yang berbeda. Kami secara singkat mendefinisikan dan pebisnis yang melakukan penipuan.
Penjahat kerah putih biasanya
memberikan contoh dari beberapa di antaranya dan kemudian memberikan diskusi yang lebih menggunakan tipu muslihat atau
luas tentang beberapa yang paling penting untuk bisnis. kejahatan, dan kejahatan mereka
Korupsi adalah perilaku tidak jujur oleh mereka yang berkuasa dan sering kali melibatkan biasanya melibatkan pelanggaran
kepercayaan atau kepercayaan.
tindakan yang tidak sah, tidak bermoral, atau tidak sesuai dengan standar etika. Ada banyak
jenis korupsi; Contohnya termasuk penyuapan dan persekongkolan tender. korupsi - Tindakan tidak jujur dari
Penipuan investasi salah merepresentasikan atau mengabaikan fakta untuk penguasa yang sering kali
melibatkan tindakan yang tidak sah,
mempromosikan investasi yang menjanjikan keuntungan fantastis dengan sedikit atau tanpa
tidak bermoral, atau tidak sesuai
risiko. Ada banyak jenis penipuan investasi; contohnya termasuk skema Ponzi dan penipuan dengan standar etika. Contohnya
sekuritas. termasuk penyuapan dan
persekongkolan tender.
Two types of frauds that are important to businesses are misappropriation of assets (some- times called employee
fraud) and fraudulent financial reporting (sometimes called manage- ment fraud). These two types of fraud are now penipuan investasi - Salah
discussed in greater depth. merepresentasikan atau mengabaikan
fakta untuk mempromosikan
investasi yang menjanjikan
keuntungan fantastis dengan sedikit
atau tanpa risiko. Contohnya
MISAPPROPRIATION OF ASSETS termasuk skema Ponzi dan penipuan
sekuritas.
Misappropriation of assets is the theft of company assets by employees. Examples include
the following: penyalahgunaan aset -
Pencurian aset perusahaan
• Albert Milano, a manager at Reader's Digest responsible for processing bills, embezzled oleh karyawan.
$1 million over a five-year period. He forged a superior's signature on invoices for ser-
vices never performed, submitted them to accounts payable, forged the endorsement on the
check, and deposited it in his account. Milano used the stolen funds to buy an expen- sive
home, five cars, and a boat.
• A bank vice president approved $1 billion in bad loans in exchange for $585,000 in kick-
backs. The loans cost the bank $800 million and helped trigger its collapse.
• A manager at a Florida newspaper went to work for a competitor after he was fired. The
first employer soon realized its reporters were being scooped. An investigation revealed the
manager still had an active account and password and regularly browsed its computer files
for information on exclusive stories.
• In a recent survey of 3,500 adults, half said they would take company property when
they left and were more likely to steal e-data than assets. More than 25% said they would
take customer data, including contact information. Many employees did not believe tak-
ing company data is equivalent to stealing.

fraudulent financial reporting -
Intentional or reckless conduct,
whether by act or omission, that
results in materially misleading
financial statements.
Faktor yang berkontribusi paling signifikan dalam sebagian besar penyalahgunaan adalah
tidak adanya kontrol internal dan / atau kegagalan untuk menegakkan kontrol internal yang ada.
Penyalahgunaan yang khas memiliki elemen atau karakteristik penting berikut ini. Pelaku:
• Mendapatkan kepercayaan atau keyakinan dari entitas yang ditipu.
• Menggunakan informasi yang menipu, licik, atau salah atau menyesatkan untuk melakukan
penipuan.
• Menyembunyikan penipuan dengan memalsukan catatan atau informasi lainnya.
• Jarang menghentikan penipuan secara sukarela.
• Melihat betapa mudahnya mendapatkan uang tambahan; kebutuhan atau keserakahan
mendorong orang tersebut untuk melanjutkan.
Beberapa penipuan terus berlanjut; jika pelakunya berhenti, tindakan mereka akan diketahui.
• Menghabiskan keuntungan haram. Jarang pelaku menabung atau menginvestasikan
uangnya. Beberapa pelaku menjadi bergantung pada pendapatan "ekstra", dan yang lain
mengadopsi gaya hidup yang membutuhkan lebih banyak uang. Karena alasan ini, tidak
ada penipuan kecil - hanya penipuan besar yang terdeteksi lebih awal.
• Menjadi serakah dan mengambil uang dalam jumlah yang lebih besar dengan interval
yang lebih sering, membuat pelaku diawasi dengan lebih cermat dan meningkatkan
kemungkinan penipuan ditemukan. Besarnya beberapa penipuan mengarah pada
pendeteksian mereka. Misalnya, akuntan di bengkel mobil, teman seumur hidup
pemilik toko, menggelapkan uang dalam jumlah yang lebih besar selama periode tujuh
tahun. Di tahun terakhir dari
fraud, the embezzler took over $200,000. Facing bankruptcy, the owner eventually laid
off the accountant and had his wife take over the bookkeeping. When the company
immediately began doing better, the wife hired a fraud expert who investigated and
uncovered the fraud.
• Grows careless or overconfident as time passes. If the size of the fraud does not lead
to its discovery, the perpetrator eventually makes a mistake that does lead to the
discovery.
FRAUDULENT FINANCIAL REPORTING
Komisi Nasional Pelaporan Keuangan Penipuan (Treadway Commission) mendefinisikan
pelaporan keuangan yang mengandung kecurangan sebagai perilaku yang disengaja atau
sembrono, baik melalui tindakan atau kelalaian, yang mengakibatkan laporan keuangan yang
menyesatkan secara material. Manajemen memalsukan laporan keuangan untuk menipu
investor dan kreditor, menaikkan harga saham perusahaan, memenuhi kebutuhan arus kas,
atau menyembunyikan kerugian dan masalah perusahaan. Komisi Treadway mempelajarinya
450 tuntutan hukum terhadap auditor dan menemukan kecurangan yang tidak terdeteksi
menjadi faktor di setengahnya.
Selama bertahun-tahun, banyak penipuan laporan keuangan yang dipublikasikan besar-
besaran telah terjadi. Dalam setiap kasus, laporan keuangan yang salah disajikan
menyebabkan kerugian finansial yang besar dan sejumlah kebangkrutan. Skema "masak
buku" yang paling sering melibatkan penggelembungan pendapatan secara fiktif, menahan
buku tetap terbuka (mengakui pendapatan sebelum diperoleh), menutup buku lebih awal
(menunda pengeluaran saat ini ke periode selanjutnya), melebih-lebihkan persediaan atau aset
tetap, dan menyembunyikan kerugian dan kewajiban.
Komisi Treadway merekomendasikan empat tindakan untuk mengurangi pelaporan
keuangan yang mengandung kecurangan:
1. Tetapkan lingkungan organisasi yang berkontribusi pada integritas proses pelaporan
keuangan.
2. Identifikasi dan pahami faktor-faktor yang menyebabkan pelaporan keuangan yang
mengandung kecurangan.
3. Menilai risiko pelaporan keuangan yang mengandung kecurangan dalam perusahaan.
4. Merancang dan menerapkan kontrol internal untuk memberikan jaminan yang memadai
untuk mencegah pelaporan keuangan yang mengandung kecurangan. 1
ACFE menemukan bahwa penyalahgunaan aset 17 kali lebih mungkin terjadi daripada
pelaporan keuangan yang mengandung kecurangan tetapi jumlah yang terlibat jauh lebih
kecil. Akibatnya, auditor dan manajemen lebih peduli dengan pelaporan keuangan yang
mengandung kecurangan meskipun mereka lebih mungkin menghadapi penyalahgunaan.
Bagian berikut membahas tanggung jawab auditor untuk mendeteksi kecurangan material.

1
Hak Cipta © 1987 oleh National Commission on Fraudulent Financial Reporting.
SAS NO. 99 (AU-C BAGIAN 240): TANGGUNG JAWAB AUDITOR UNTUK
MENDETEKSI PENIPUAN
Pernyataan Standar Audit (SAS) No. 99, Pertimbangan Kecurangan dalam Audit Laporan
Keuangan, berlaku efektif pada bulan Desember 2002. SAS No. 99 mewajibkan auditor untuk:
• Pahami penipuan. Karena auditor tidak dapat mengaudit secara efektif sesuatu yang
tidak mereka pahami, mereka harus memahami kecurangan dan bagaimana serta mengapa
hal itu dilakukan.
• Diskusikan risiko kesalahan penyajian material yang curang. Saat merencanakan audit,
anggota tim mendiskusikan di antara mereka sendiri bagaimana dan di mana laporan
keuangan perusahaan rentan terhadap kecurangan.
• Mendapatkan informasi. The audit team gathers evidence by looking for fraud risk
factors; testing company records; and asking management, the audit committee of the
board of directors, and others whether they know of past or current fraud. Because many
frauds involve revenue recognition, special care is exercised in examining revenue
accounts.
• ldentify, assess, and respond to risks. The evidence is used to identify, assess, and re-
spond to fraud risks by varying the nature, timing, and extent of audit procedures and by
evaluating carefully the risk of management overriding internal controls.
• Evaluate the results of their audit tests. Auditors must evaluate whether identified mis-
statements indicate the presence of fraud and determine its impact on the financial state-
ments and the audit.
• Document and communicate findings. Auditor harus mendokumentasikan dan
mengkomunikasikan temuan mereka kepada manajemen dan komite audit.
• Menggabungkan fokus teknologi. SAS No. 99 mengakui dampak teknologi terhadap
risiko penipuan dan memberikan komentar dan contoh yang mengenali dampak ini. Ini
juga mencatat peluang yang dimiliki auditor untuk menggunakan teknologi untuk
merancang prosedur audit kecurangan.
Selama bertahun-tahun telah terjadi perbaikan dan reorganisasi standar audit. Standar
penipuan sekarang disebut sebagai AU-C Bagian 240.

Siapa yang Melakukan Penipuan

dan Mengapa
When researchers compared the psychological and demographic characteristics of white-
collar criminals, violent criminals, and the public, they found significant differences
between violent and white-collar criminals. They found few differences between white-
collar criminals and the public. Their conclusion: Many fraud perpetrators look just like
you and me.
Some fraud perpetrators are disgruntled and unhappy with their jobs and seek revenge
against employers. Others are dedicated, hard-working, and trusted employees. Most have
no previous criminal record; they were honest, valued, and respected members of their
commu- nity. In other words, they were good people who did bad things.
Pelaku penipuan komputer biasanya berusia lebih muda dan memiliki lebih banyak
pengalaman dan keterampilan komputer. Beberapa dimotivasi oleh rasa ingin tahu,
pencarian pengetahuan, keinginan untuk mempelajari cara kerja, dan tantangan untuk
mengalahkan sistem. Beberapa orang melihat tindakan mereka sebagai permainan dan bukan
sebagai perilaku tidak jujur. Yang lain melakukan penipuan komputer untuk mendapatkan
reputasi di komunitas peretasan.
Banyak dan terus bertambahnya pelaku penipuan komputer yang sifatnya lebih predator
dan berusaha mengubah tindakan mereka menjadi uang. Pelaku penipuan ini lebih seperti
penjahat kerah biru yang terlihat memangsa orang lain dengan merampok mereka.
Perbedaannya adalah mereka menggunakan komputer dan bukan senjata.
Banyak pelaku penipuan pertama kali yang tidak tertangkap, atau yang tertangkap tetapi
tidak dituntut, beralih dari penipu "tidak disengaja" menjadi penipu "berantai".
 Malicious software is a big business and a huge profit engine for the criminal under-
ground, especially for digitally savvy hackers in Eastern Europe. They break into financial
accounts and steal money. They sell data to spammers, organized crime, hackers, and the
intelligence community. They market malware, such as virus-producing software, to others.
Some work with organized crime. A recently convicted hacker was paid $150 for every
1,000 computers he infected with his adware and earned hundreds of thousands of dollars a
year.
FIGURE 5-1 Commit Attitude
Fraud Triangle Opportunity Rationalization
Triangle Triangle
Fraud
Triangle

Pressure

Financial Financial

Employee Financial
Pressure Statement
Triangle Pressure
Triangle

Penjahat dunia maya adalah prioritas utama FBI karena mereka telah berpindah dari
serangan yang terisolasi dan tidak terkoordinasi ke skema penipuan terorganisir yang
ditargetkan pada individu dan bisnis tertentu. Mereka menggunakan perusahaan pembayaran
online untuk mencuci keuntungan haram mereka. Untuk menyembunyikan uang, mereka
memanfaatkan kurangnya koordinasi antara organisasi penegakan hukum internasional.

tekanan - Insentif atau motivasi
seseorang untuk melakukan
penipuan.
SEGITIGA PENIPUAN
Untuk sebagian besar pelaku penipuan predator, semua yang dibutuhkan pelaku penipuan adalah
kesempatan dan pola pikir kriminal yang memungkinkannya untuk melakukan penipuan. Untuk
sebagian besar pelaku penipuan yang baru pertama kali melakukan penipuan, ada tiga kondisi yang
muncul saat penipuan terjadi: tekanan, peluang, dan rasionalisasi. Ini disebut sebagai segitiga
penipuan, dan merupakan segitiga tengah pada Gambar 5-1.
TEKANAN A pressure is a person's incentive or motivation for committing fraud. Three types of
pressures that lead to misappropriations are shown in the Employee Pressure Triangle in Figure
5-1 and are summarized in Table 5-2.
Financial pressures often motivate misappropriation frauds by employees. Examples of
such pressures include living beyond one's means, heavy financial losses, or high personal
debt. Often, the perpetrator feels the pressure cannot be shared and believes fraud is the best
way out of a difficult situation. For example, Raymond Keller owned a grain elevator where

TABLE 5-2 Pressures That Can Lead to Employee Fraud

FINANCIAL EMOTIONAL LIFESTYLE

Living beyond one's means Excessive greed, ego, pride, Gambling habit
High personal debt/expenses ambition Drug or alcohol
"Inadequate" salary/income Performance not recognized addiction
Poor credit ratings Job dissatisfaction Sexual relationships
Heavy financial losses Fear of losing job Family/peer pressur
Bad investments Need for power or control
Taxavoidance Overt, deliberate nonconformity
Unreasonable quotas/goals Inability to abide by or respect rules
Challenge of beating the system
Envy or resentment against others
Need to win financial one-
upmanship competition
Coercion by bosses/top
management
he stored grain for local farmers. He made money by trading in commodities and built a lavish
house overlooking the Des Moines River. Heavy financial losses created a severe cash short-
age and high debt. He asked some farmers to wait for their money, gave others bad checks, and
sold grain that did not belong to him. Finally, the seven banks to which he owed over
$3 million began to call their loans. When a state auditor showed up unexpectedly, Raymond
took his life rather than face the consequences of his fraud.
A second type of pressure is emotional. Many employee frauds are motivated by greed.
Some employees turn to fraud because they have strong feelings of resentment or believe they
have been treated unfairly. They may feel their pay is too low, their contributions are not ap-
preciated, or the company is taking advantage of them. A California accountant, passed over for
a raise, increased his salary by 10%, the amount of the average raise. He defended his actions by
saying he was only taking what was rightfully his. When asked why he did not in- crease his
salary by 11%, he responded that he would have been stealing 1%.
Orang lain dimotivasi oleh tantangan untuk "mengalahkan sistem" atau menumbangkan
kontrol sistem dan membobol sistem. Ketika sebuah perusahaan membual bahwa sistem
barunya tidak dapat ditembus, tim individu membutuhkan waktu kurang dari 24 jam untuk
membobol sistem dan meninggalkan pesan bahwa sistem telah disusupi.
Beberapa orang melakukan penipuan untuk mengimbangi anggota keluarga lainnya atau
memenangkan persaingan "siapa yang memiliki paling banyak atau terbaik". Seorang ahli
bedah plastik, menghasilkan $ 800.000 setahun, menipu kliniknya sebesar $ 200.000 untuk
bersaing dalam "permainan" keluarga peningkatan keuangan.
Other people commit fraud due to some combination of greed, ego, pride, or ambition
that causes them to believe that no matter how much they have, it is never enough. Thomas
Coughlin was a vice-chairman of Walmart and a personal friend of founder Sam Walton.
Even though his annual compensation exceeded $6 million, over a five-year period he had
subordi- nates create fictitious invoices so that Walmart would pay for hundreds of
thousands of dollars of personal expenses. These expenses included hunting vacations, a
$2,590 pen for Coughlin's dog, and a $1,400 pair of alligator boots. Dennis Kozlowski and
Mark Swartz, the CEO and CFO of Tyco International, were convicted of stealing $170
million from Tyco by abusing the company's loan program and by granting themselves
unauthorized bonuses.
Jenis tekanan karyawan yang ketiga adalah gaya hidup seseorang. Orang tersebut mungkin
membutuhkan dana untuk mendukung kebiasaan berjudi atau mendukung kecanduan narkoba
atau alkohol. Seorang wanita muda menggelapkan dana karena pacarnya mengancam akan
meninggalkannya jika dia tidak memberikan uang yang dia butuhkan untuk membiayai
perjudian dan kecanduan narkoba.
Three types of organizational pressures that motivate management to misrepresent fi-
nancial statements are shown in the Financial Statement Pressure triangle in Figure 5-1 and
summarized in Table 5-3. A prevalent financial pressure is a need to meet or exceed earn-
ings expectations to keep a stock price from falling. Managers create significant pressure
with unduly aggressive earnings forecasts or unrealistic performance standards or with
incentive programs that motivate employees to falsify financial results to keep their jobs or
to receive stock options and other incentive payments. Industry conditions such as new
regulatory re- quirements or significant market saturation with declining margins can
motivate fraud.
OPPORTUNITIES Seperti yang ditunjukkan pada Segitiga Peluang pada Gambar 5-1, peluang One way for an
adalah kondisi atau situasi, termasuk kemampuan pribadi seseorang, yang memungkinkan employee to hide a
seorang pelaku melakukan tiga hal: theft of company
assets is to charge
1. Melakukan penipuan. Pencurian aset adalah jenis penyalahgunaan yang paling umum.
the sto- len item to
Sebagian besar contoh pelaporan keuangan yang mengandung kecurangan melibatkan
an expense account.
pernyataan berlebihan atas aset atau pendapatan, pernyataan kewajiban yang lebih rendah,
The perpetrator's
atau kegagalan untuk mengungkapkan informasi.
exposure is limited
2. Sembunyikan penipuan. To prevent detection when assets are stolen or financial
to a year or less,
statements are overstated, perpetrators must keep the accounting equation in balance by
inflating other assets or decreasing liabilities or equity. Concealment often takes more
effort and time and leaves behind more evidence than the theft or misrepresentation. Taking
cash requires only a few seconds; altering records to hide the theft is more challenging and
time-consuming.
opportunity - The condition or situation that allows a person or organization to commit and conceal a dishonest act and convert it to
personal gain.
 TABLE 5-3 Pressures That Can Lead to Financial Statement Fraud

MANAGEMENT CHARACTERISTICS INDUSTRY CONDITIONS FINANCIAL

Questionable management ethics,
management style, and track record
Unduly aggressive earnings forecasts,
performance standards, accounting
methods, or incentive programs
Significant incentive compensation based
on achieving unduly aggres- sive goals
Management actions or transactions
with no clear business justification
Oversensitivity to the effects of
alter-
native accounting treatments on
earnings per share
Strained relationship with past
auditors
Failure to correct errors on a timely
basis, leading to even greater
problems
High management/employee turnover
Unusual/odd related-party
relationships
Declining industry
Industry or technology changes
leading to declin- ing demand
or product obsolescence
New regulatory requirements that
impair financial stability or
profitability
Significant competition or
market saturation, with de-
clining margins
Significant tax changes or
adjustments
Intense pressure to meet or exceed earnings
expectations
Significant cash flow problems; unusual difficulty
collecting receivables, paying payables
Heavy losses, high or undiversified risk, high de-
pendence on debt, or unduly restrictive debt
covenants
Heavy dependence on new or unproven product lines
Severe inventory obsolescence or excessive inven-
tory buildup
Economic conditions (inflation, recession)
Litigation, especially management vs. shareholders
Impending business failure or bankruptcy
Problems with regulatory agencies
High vulnerability to rise in interest rates
Poor or deteriorating financial position
Unusually rapid growth or profitability compared to
companies in same industry
Estimasi signifikan yang melibatkan penilaian atau
ketidakpastian yang sangat subjektif

lapping - Menyembunyikan
pencurian uang tunai melalui
serangkaian penundaan dalam
posting penagihan ke piutang.
periksa kiting - Menciptakan uang
tunai dengan menggunakan jeda
antara waktu cek disimpan dan
waktu kliring bank.
3. Convert the the/t or misrepresentation to personal gain. In a misappropriation, fraud
internal controls, such as deficiencies in proper segregation of duties,
karena akun pengeluaran dikosongkan pada akhir setiap tahun. Pelaku yang
menyembunyikan pencurian di rekening neraca harus melanjutkan penyembunyiannya.
Another way to hide a theft of company assets is to use a lapping scheme. In a
lapping scheme, an employee of Company Z steals the cash or checks customer A
mails in to pay the money it owes to Company Z. Later, the employee uses funds from
customer B to pay off customer A's balance. Funds from customer C are used to pay
off customer B's balance, and so forth. Because the theft involves two asset accounts
(cash and ac- counts receivable), the cover-up must continue indefinitely unless the
money is replaced or the debt is written off the books.
An individual, for his own personal gain or on behalf of a company, can hide the theft
of cash using a check-kiting scheme. In check kiting, cash is created using the lag be-
tween the time a check is deposited and the time it clears the bank. Suppose an individual
or a company opens accounts in banks A, B, and C. The perpetrator "creates" cash by
depositing a $1,000 check from bank B in bank C and withdrawing the funds. If it takes
two days for the check to clear bank B, he has created $1,000 for two days. After two days,
the perpetrator deposits a $1,000 check from bank A in bank B to cover the created
$1,000 for two more days. At the appropriate time, $1,000 is deposited from bank C in
bank A. The scheme continues-writing checks and making deposits as needed to keep the
checks from bouncing-until the person is caught or he deposits money to cover the
created and stolen cash. Electronic banking systems make kiting harder because the time
between a fraudster depositing the check in one bank and the check being presented to
the other bank for payment is shortened.
perpetrators who do not steal cash or use the stolen assets personally must convert them to
a spendable form. For example, employees who steal inventory or equipment sell the items
or otherwise convert them to cash. In cases of falsified financial statements, perpe- trators
convert their actions to personal gain through indirect benefits; that is, they keep their jobs,
their stock rises, they receive pay raises and promotions, or they gain more power and
influence.
Table 5-4 lists frequently mentioned opportunities. Many opportunities are the result of a deficient system of
 TABLE 5-4 Opportunities Permitting Employee and Financial Statement Fraud

INTERNAL CONTROL FACTORS OTHER FACTORS

Failure to enforce/monitor internal controls
Management's failure to be involved in
the internal control system
Management override of controls
Managerial carelessness, inattention to details
Dominant and unchallenged management
Ineffective oversight by board of directors
No effective internal auditing staff
Infrequent third-party reviews Insufficient
separation of authorization,
custody, and record-keeping duties
Too much trust in key employees
Inadequate supervision
Unclear lines of authority
Lack of proper authorization procedures No
independent checks on performance Inadequate
documents and records Inadequate system for
safeguarding assets No physical or logical
security system
No audit trails
Failure to conduct background checks
No policy of annual vacations, rotation of
duties
Large, unusual, or complex transactions
Numerous adjusting entries at year-end
Related-party transactions
Departemen akuntansi yang kekurangan staf,
terlalu banyak bekerja
Personel yang tidak kompeten
Pergantian karyawan kunci yang cepat
Masa jabatan yang lama dalam pekerjaan utama
Struktur organisasi yang terlalu kompleks
Tidak ada kode etik, pernyataan konflik
kepentingan, atau definisi perilaku yang tidak
dapat diterima
Perubahan yang sering pada auditor, penasihat hukum
Beroperasi dalam kondisi krisis
Hubungan erat dengan pemasok / pelanggan Aset
sangat rentan terhadap penyalahgunaan Praktik
akuntansi yang dipertanyakan
Mendorong prinsip akuntansi hingga batas
Kebijakan dan prosedur perusahaan yang tidak
jelas Gagal mengajarkan dan menekankan
kejujuran perusahaan Kegagalan menuntut
karyawan yang tidak jujur Semangat dan loyalitas
karyawan rendah

prosedur otorisasi, garis kewenangan yang jelas, pengawasan yang tepat, dokumen dan catatan
yang memadai, pengamanan aset, atau pemeriksaan independen atas kinerja. Manajemen
mengizinkan penipuan karena kurangnya perhatian atau kecerobohan. Manajemen melakukan
kecurangan dengan mengesampingkan kendali internal atau menggunakan posisi kekuasaan
untuk memaksa bawahan melakukannya. Kesempatan yang paling umum untuk hasil penipuan
dari kegagalan perusahaan untuk merancang dan menegakkan sistem kontrol internalnya.
Perusahaan yang tidak melakukan pemeriksaan latar belakang terhadap calon karyawan
berisiko menyewa "pengendali bayangan". Dalam satu kasus, seorang presiden perusahaan
mampir ke kantor pada suatu malam, melihat lampu di kantor pengawas, dan pergi untuk
melihat mengapa dia bekerja lembur. Presiden terkejut menemukan orang asing di tempat kerja.
Investigasi menunjukkan bahwa pengendali bukanlah seorang akuntan dan telah dipecat dari
tiga pekerjaan selama delapan tahun sebelumnya. Tidak dapat melakukan pekerjaan akuntansi,
dia mempekerjakan seseorang untuk melakukan pekerjaannya untuknya di malam hari. Apa
yang dia kuasai adalah mencuri uang - dia telah menggelapkan beberapa juta dolar.
Other factors provide an opportunity to commit and conceal fraud when the company has
unclear policies and procedures, fails to teach and stress corporate honesty, and fails to pros-
ecute those who perpetrate fraud. Examples include large, unusual, or complex transactions;
numerous adjusting entries at year-end; questionable accounting practices; pushing account- ing
principles to the limit; related-party transactions; incompetent personnel, inadequate staff- ing,
rapid turnover of key employees, lengthy tenure in a key job, and lack of training.
Penipuan terjadi ketika karyawan membangun hubungan pribadi yang saling
menguntungkan dengan pelanggan atau pemasok, seperti agen pembelian yang membeli
barang dengan harga yang dinaikkan untuk ditukar dengan suap vendor. Penipuan juga dapat
terjadi ketika krisis muncul dan prosedur pengendalian normal diabaikan. Sebuah perusahaan
yang masuk dalam daftar Fortune 500 mengalami penipuan senilai tiga juta dolar pada tahun
ketika perusahaan tersebut mengabaikan prosedur pengendalian internal standar ketika
mencoba menyelesaikan serangkaian krisis.
RASIONALISASI Sebuah rasionalisasi memungkinkan pelaku untuk membenarkan perilaku inginkan lebih penting
ilegal mereka. Seperti yang ditunjukkan dalam Segitiga Rasionalisasi pada Gambar 5-1, ini daripada jujur"). Di lain
dapat berupa justifikasi ("Saya hanya mengambil apa yang mereka hutangi"), sikap ("Aturan
tidak berlaku untuk saya"), atau a kurangnya integritas pribadi ("Mendapatkan apa yang saya
rationalization - The excuse that fraud perpetrators use to justify their illegal behavior.

computer fraud - Any type of
fraud that requires computer
technology to perpetrate.
words, perpetrators rationalize that they are not being dishonest, that honesty is not required of
them, or that they value what they take more than honesty and integrity. Some perpetra- tors
rationalize that they are not hurting a real person, but a faceless and nameless computer system or
an impersonal company that will not miss the money. One such perpetrator stole no more than
$20,000, the maximum loss the insurance company would reimburse.
The most frequent rationalizations include the following:
• I am only "borrowing" it, and I will repay my "loan."
• You wouldunderstand ifyouknewhowbadlyIneeded it.
• What I did was not that serious.
• It was for a good cause (the Robin Hood syndrome: robbing the rich to give to the poor).
• In my very important position of trust, I am above the rules.
• Everyone else is doing it.
• No one will ever know.
• The company owes it to me; I am taking no more than is rightfully mine.
Fraud occurs when people have high pressures; an opportunity to commit, conceal, and
convert; and the ability to rationalize away their personal integrity. Fraud is less likely to oc-
cur when people have few pressures, little opportunity, and high personal integrity. Usually
all three elements of the fraud triangle must be present to some degree before a person
commits fraud.
Likewise, fraud can be prevented by eliminating or minimizing one or more fraud tri-
angle elements. Although companies can reduce or minimize some pressures and rationaliza-
tions, their greatest opportunity to prevent fraud lies in reducing or minimizing opportunity
by implementing a good system of internal controls. Controls are discussed in Chapters 7
through 10.
Computer Fraud
Computer fraud is any fraud that requires computer technology to perpetrate it. Examples
include:
• Unauthorized theft, use, access, modification, copying, or destruction of software, hard-
ware, or data
• Theft of assets covered up by altering computer records
• Obtaining information or tangible property illegally using computers
THE RISE IN COMPUTER FRAUD
It is estimated that computer fraud costs the United States somewhere between $70 billion and
$125 billion a year and that the costs increase significantly each year. Computer systems are
particularly vulnerable for the following reasons:
• People who break into corporate databases can steal, destroy, or alter massive amounts of
data in very little time, often leaving little evidence. One bank lost $10 million in just a few
minutes.
• Computer fraud can be much more difficult to detect than other types of fraud.
• Some organizations grant employees, customers, and suppliers access to their system.
The number and variety of these access points significantly increase the risks.
• Computer programs need to be modified illegally only once for them to operate improp-
erly for as long as they are in use.
• Komputer pribadi (PC) rentan. Sulit untuk mengontrol akses fisik ke setiap PC yang
mengakses jaringan, dan PC serta datanya dapat hilang, dicuri, atau salah tempat. Selain
itu, pengguna PC umumnya kurang menyadari pentingnya keamanan dan kontrol.
Semakin banyak pengguna yang sah, semakin besar risiko serangan terhadap jaringan.
• Sistem komputer menghadapi sejumlah tantangan unik: keandalan, kegagalan peralatan,
ketergantungan pada daya, kerusakan dari air atau api, kerentanan terhadap gangguan dan
gangguan elektromagnetik, dan penyadapan.
 Sejak 1979, majalah Time menyebut penipuan komputer sebagai "industri yang
berkembang". Sebagian besar bisnis telah menjadi korban penipuan komputer. Baru-baru ini,
jaringan mata-mata di China diretas
1.300 komputer pemerintah dan perusahaan di 103 negara. Jumlah insiden, kerugian total
dolar, dan kecanggihan pelaku serta skema yang digunakan untuk melakukan penipuan
komputer meningkat pesat karena beberapa alasan:
1. Tidak semua orang setuju tentang apa yang dimaksud dengan penipuan komputer.
Banyak orang tidak percaya bahwa menyalin perangkat lunak merupakan penipuan
komputer. Penerbit perangkat lunak berpikir sebaliknya dan menuntut mereka yang
membuat salinan ilegal. Beberapa orang tidak berpikir menelusuri file komputer orang lain
jika tidak merugikan, sedangkan perusahaan yang datanya dijelajahi merasa jauh berbeda.
2. Banyak kasus penipuan komputer tidak terdeteksi. A few years ago, it was estimated
that U.S. Defense Department computers were attacked more than a half million times per
year, with the number of incidents increasing 50% to 100% per year. Defense Depart- ment
staffers and outside consultants made 38,000 "friendly hacks" on their networks to evaluate
security. Almost 70% were successful, and the Defense Department detected only 4% of
the attacks. The Pentagon, which has the U.S. government's most advanced hacker-
awareness program, detected and reported only 1 in 500 break-ins. The Defense
Department estimates that more than 100 foreign spy agencies are working to gain access
to U.S. government computers as well as an unknown number of criminal organizations.
3. A high percentage of frauds is not reported. Banyak perusahaan percaya bahwa publisitas
yang merugikan akan mengakibatkan penipuan peniru dan hilangnya kepercayaan
pelanggan, yang bisa lebih mahal daripada penipuan itu sendiri.
4. Banyak jaringan tidak aman. Dan Farmer, yang menulis SATAN (alat uji keamanan
jaringan), menguji 2.200 situs web terkenal di lembaga pemerintah, bank, dan surat kabar.
Hanya tiga situs yang mendeteksi dan menghubunginya.
5. Situs Internet menawarkan petunjuk langkah demi langkah tentang cara melakukan
penipuan dan penyalahgunaan komputer. Misalnya, pencarian di Internet menemukan
ribuan situs yang memberitahukan cara melakukan serangan "penolakan layanan", suatu
bentuk penyalahgunaan komputer yang umum.
6. Penegakan hukum tidak dapat mengikuti pertumbuhan penipuan komputer. Karena
kurangnya dana dan staf yang terampil, FBI hanya menyelidiki 1 dari 15 kejahatan
komputer.
7. Sulit menghitung kerugian. Sulit untuk menghitung kerugian total saat informasi dicuri,
situs web dirusak, dan virus mematikan seluruh sistem komputer.
Peningkatan penipuan komputer ini menciptakan kebutuhan akan detektif dunia maya yang dibahas di
Fokus 5-2.

FOKUS 5-2 Detektif dunia maya

Dua ahli forensik, menyamar sebagai petugas reparasi, memasuki kantor
setelah jam kerja. Mereka mengambil foto grafik digital dari tiga meja
karyawan, membuat salinan hard drive masing-masing karyawan, dan
menggunakan foto itu untuk meninggalkan semuanya saat mereka
menemukannya. Ketika salinan hard drive dianalisis, mereka menemukan
bukti penipuan dan memberi tahu perusahaan yang mempekerjakan mereka.
Perusahaan menyerahkan kasus ini ke penegak hukum untuk penyelidikan
dan penuntutan.
The forensic experts breaking into the company and
copying the data worked for a Big Four accounting firm.
The accountants, turned cyber sleuths, specialize in
catching fraud perpetrators. Cyber sleuths come from a
variety of backgrounds, including accounting, informa- tion
systems, government, law enforcement, military, and
banking.
Cyber sleuths need the following skills:
• Ability to follow a trail, think analytically,
and be thor- ough. Fraud perpetrators
leave tracks, and a cyber sleuth must think
analytically to follow paper and elec-
tronic trails and uncover fraud. They must
be thorough so they do not miss or fail to
follow up on clues.
• Good understanding of information technology (IT).
Cyber sleuths need to understand data storage, data
communications, and how to retrieve hidden or de-
leted files and e-mails.
continued
 FOCUS 5-2 Continued
• Ability to think like a fraud perpetrator.
Cyber sleuths must understand what
motivates perpetrators, how they think,
and the schemes they use to commit and
conceal fraud.
• Ability to use hacking tools and
techniques. Cyber sleuths need to
understand the tools computer crimi- nals
use to perpetrate fraud and abuse.
Another way to fight crime is to develop software to ex-
amine bank or accounting records for suspicious
transactions. Pattern recognition software searches millions
of bank, bro- kerage, and insurance accounts and reviews
trillions of dol- lars worth of transactions each day. Some
companies, such as PayPal, use the software to lower their
fraud rates significantly.
This software is based on a mathematical principle
known as Benford's Law. In 1938, Frank Benford discov-
ered that one can predict the first or second digit in a set of
naturally occurring numerical data with surprising ac-
curacy. Benford found that the number 1 is the first digit
31% of the time, compared to only 5% for the number
9. Pattern recognition software uses Benford's Law to ex-
amine company databases and transaction records to root out
accounting fraud.
Students seeking to find their niche in life should be
aware that if playing James Bond sounds appealing,
then a career as a computer forensics expert might be
the way to go.

COMPUTER FRAUD CLASSIFICATIONS

As shown in Figure 5-2, computer fraud can be categorized using the data processing model.

INPUT FRAUD The simplest and most common way to commit a computer fraud is to alter or
falsify computer input. It requires little skill; perpetrators need only understand how the sys-
tem operates so they can cover their tracks. For example:
• A man opened a bank account in New York and had blank bank deposit slips printed that
were similar to those available in bank lobbies, except that his account number was en-
coded on them. He replaced the deposit slips in the bank lobby with his forged ones. For
three days, bank deposits using the forged slips went into his account. The perpetrator
withdrew the money and disappeared. He was never found.
• A man used desktop publishing to prepare bills for office supplies that were never or-
dered or delivered and mailed them to local companies. The invoices were for less than
$ 300, jumlah yang seringkali tidak memerlukan pesanan pembelian atau persetujuan.
Persentase yang tinggi dari perusahaan yang membayar tagihan.
• Seorang karyawan di Veteran's Memorial Coliseum menjual tiket harga penuh kepada
pelanggan, memasukkannya sebagai tiket setengah harga, dan mengantongi selisihnya.
• Karyawan kereta api memasukkan data untuk menghapus lebih dari 200 gerbong kereta
api. Mereka memindahkan mobil dari sistem kereta api, mengecat ulang, dan menjualnya.
• Sebuah perusahaan yang menyediakan dukungan teknis di tempat membuat duplikat
persis dari cek yang digunakan untuk membayarnya, menggunakan pemindai siap
pakai, perangkat lunak grafis, dan printer. Jika
GAMBAR 5-2
Data
Penipuan Penipuan
Komputer
Klasifikasi

lnput Prosesor Keluaran

Penipuan Penip Penipuan
uan

Penipuan
Instruksi
Komputer
 double payments were caught, the bank checked their microfiche copies of the two iden-
tical checks, assumed a clerical error had occurred, and wrote off the loss as a gesture of
maintaining good customer relations.

PROCESSOR FRAUD Processor fraud includes unauthorized system use, including the theft of
computer time and services. For example:
• An insurance company installed software to detect abnormal system activity and found
that employees were using company computers to run an illegal gambling website.
• Two accountants without the appropriate access rights hacked into Cisco's stock option system, transferred over
$6.3 million of Cisco stock to their brokerage accounts, and sold the stock. They used part of the funds to support an
extravagant lifestyle, including a
$52,000 Mercedes-Benz, a $44,000 diamond ring, and a $20,000 Rolex watch.

COMPUTER INSTRUCTIONS FRAUD Computer instructions fraud includes tampering with

company software, copying software illegally, using software in an unauthorized manner,
and developing software to carry out an unauthorized activity. This approach used to be
uncom- mon because it required specialized programming knowledge. Today, it is more
frequent be- cause of the many web pages that tell users how to create them.

DATA FRAUD Illegally using, copying, browsing, searching, or harming company data consti-
tutes data fraud. The biggest cause of data breaches is employee negligence.
Companies now report that their losses are greater from the electronic theft of data than
from stealing physical assets. It is estimated that, on average, it costs a company $6.6 million,
including lost business, to recover from a data breach.
Company employees are much more likely to perpetrate data fraud than outsiders are. A
recent study shows that 59% of employees who lost or left a job admitted to stealing con-
fidential company information. Almost 25% of them had access to their former employer's
computer system. In addition, more cases are beginning to surface of employees stealing
their employer's intellectual properties and selling them to foreign companies or
governments.
In the absence of controls, it is not hard for an employee to steal data. For example, an
employee using a small flash drive can steal large amounts of data and remove it without be-
ing detected. In today's world, you can even buy wristwatches with a USB port and internal
memory.
The following are some recent examples of stolen data:
• Manajer kantor firma hukum Wall Street menjual informasi kepada teman dan kerabat
tentang calon merger dan akuisisi yang ditemukan dalam file Word. Mereka
menghasilkan beberapa juta dolar dari perdagangan sekuritas.
• Seorang pria Kazakh berusia 22 tahun membobol jaringan Bloomberg dan mencuri
informasi akun, termasuk Michael Bloomberg, walikota New York dan pendiri
perusahaan berita keuangan. Dia menuntut $ 200.000 sebagai imbalan karena tidak
menggunakan atau menjual informasi tersebut. Dia ditangkap di London saat menerima
uang tebusan.
• Seorang insinyur perangkat lunak mencoba mencuri rencana mikroprosesor baru Intel.
Karena dia dapat melihat tetapi tidak dapat menyalin atau mencetak rencana tersebut, dia
memotretnya layar demi layar pada larut malam di kantornya. Tanpa sepengetahuannya,
salah satu kendali Intel adalah memberi tahu keamanan ketika rencana dilihat setelah jam
kerja. Dia tertangkap basah dan ditangkap.
• Penjahat dunia maya menggunakan teknik peretasan dan pencurian identitas yang canggih
untuk meretas tujuh akun di perusahaan pialang online besar. Mereka menjual sekuritas
dalam rekening tersebut dan menggunakan uang tunai untuk menaikkan harga perusahaan
yang sudah mereka miliki dengan harga rendah dan diperdagangkan tipis. Kemudian
mereka menjual saham di akun pribadi mereka untuk mendapatkan keuntungan besar. E-
trade kehilangan $ 18 juta dan Ameritrade $ 4 juta dalam skema pump-and-dump yang
serupa.
• Departemen Urusan Veteran AS digugat karena laptop karyawan yang berisi catatan 26,5
juta veteran telah dicuri, sehingga menyebabkan pencurian identitas. Tak lama kemudian,
sebuah laptop dengan catatan 38.000 orang menghilang dari kantor subkontraktor.
 Data juga dapat diubah, dirusak, dihancurkan, atau dirusak, terutama oleh karyawan dan
peretas yang tidak puas. Para pengacau masuk ke situs web NCAA sebelum turnamen bola
basket
 pasangan diumumkan dan dipasang swastika, penghinaan rasial, dan logo kekuatan putih.
Angkatan Udara, CIA, dan NASA juga menjadi korban serangan situs web terkenal. Seorang
analis Institut Keamanan Komputer menggambarkan masalah tersebut sebagai "pengacau
dunia maya dengan kaleng semprotan digital."
Data bisa hilang akibat kelalaian atau kecerobohan. Sumber data rahasia yang baik adalah
hard drive komputer bekas yang disumbangkan untuk amal atau dijual kembali. Seorang
profesor di universitas besar membeli 10 komputer bekas untuk kelas forensik komputernya.
Dengan menggunakan peranti lunak yang tersedia secara komersial, murid-muridnya
menemukan data yang sangat rahasia pada 8 dari 10 hard drive.
Menghapus file tidak menghapusnya. Bahkan memformat ulang hard drive mungkin tidak
menghapusnya hingga bersih. Untuk menghapus hard drive sepenuhnya, perangkat lunak
khusus harus digunakan. Jika komputer bekas akan dibuang, cara terbaik untuk melindungi data
adalah dengan menghancurkan hard drive.

PENIPUAN OUTPUT Kecuali jika dijaga dengan baik, hasil cetakan yang ditampilkan atau
dicetak dapat dicuri, disalin, atau disalahgunakan. Seorang insinyur Belanda menunjukkan
bahwa beberapa monitor memancarkan sinyal seperti televisi yang, dengan bantuan
beberapa peralatan elektronik yang tidak mahal, dapat ditampilkan di layar televisi. Dalam
kondisi ideal, sinyal dapat diambil dari monitor yang berjarak dua mil. Seorang insinyur
menyiapkan peralatan di ruang bawah tanah sebuah gedung apartemen dan membaca
monitor di lantai delapan.
Pelaku penipuan menggunakan komputer untuk membuat hasil yang tampak otentik, seperti
gaji. Pelaku penipuan dapat memindai gaji perusahaan, menggunakan perangkat lunak
penerbitan desktop untuk menghapus penerima pembayaran dan jumlahnya, dan mencetak gaji
fiktif. Kerugian untuk memeriksa penipuan di Amerika Serikat berjumlah lebih dari $ 20 miliar
setahun.

Mencegah dan Mendeteksi Penipuan dan

Penyalahgunaan
Untuk mencegah penipuan, organisasi harus menciptakan iklim yang mengurangi kemungkinan terjadinya penipuan,
meningkatkan kesulitan dalam melakukannya, meningkatkan metode deteksi, dan mengurangi jumlah kerugian jika
terjadi penipuan. Langkah-langkah ini diringkas dalam Tabel 5-5 dan dibahas dalam Bab 7 hingga 10.

TABEL 5-5 Ringkasan Cara Mencegah dan Mendeteksi Penipuan

MEMBUAT PENIPUAN KURANG TERJADI

• Ciptakan budaya organisasi yang menekankan integritas dan komitmen terhadap nilai-nilai etika dan kompetensi.
• Mengadopsi struktur organisasi, filosofi manajemen, gaya operasi, dan selera risiko yang meminimalkan kemungkinan
penipuan.
• Memerlukan pengawasan dari komite audit yang aktif, terlibat, dan independen dari dewan direksi.
• Tetapkan wewenang dan tanggung jawab untuk tujuan bisnis kepada departemen dan individu tertentu, dorong mereka untuk
menggunakan inisiatif untuk memecahkan masalah, dan meminta pertanggungjawaban mereka untuk mencapai tujuan tersebut.
• Identifikasi peristiwa yang mengarah pada peningkatan risiko penipuan, dan ambil langkah-langkah untuk mencegah, menghindari,
membagikan, atau menerima risiko tersebut.
• Kembangkan serangkaian kebijakan keamanan yang komprehensif untuk memandu rancangan dan penerapan prosedur
pengendalian khusus, dan mengkomunikasikannya secara efektif kepada karyawan perusahaan.
• Menerapkan kebijakan sumber daya manusia untuk mempekerjakan, memberi kompensasi, mengevaluasi, mempromosikan,
dan memberhentikan karyawan yang mengirimkan pesan tentang tingkat perilaku etis dan integritas yang diperlukan.
• Kembangkan serangkaian kebijakan anti-penipuan yang secara jelas menjabarkan ekspektasi untuk perilaku yang jujur dan
etis serta menjelaskan konsekuensi dari tindakan yang tidak jujur dan curang.
• Mengawasi karyawan secara efektif, termasuk memantau kinerja mereka dan memperbaiki kesalahan mereka.

• Menyediakan program dukungan karyawan; ini memberikan tempat bagi karyawan untuk berpaling ketika mereka menghadapi tekanan
yang mungkin ingin mereka selesaikan dengan melakukan penipuan.
• Menjaga jalur komunikasi terbuka dengan karyawan, pelanggan, pemasok, dan pihak eksternal terkait (bank, regulator, otoritas pajak,
dll.).
• Membuat dan menerapkan kode etik perusahaan untuk menuliskan apa yang diharapkan perusahaan dari karyawannya.
• Melatih karyawan dalam pertimbangan integritas dan etika, serta keamanan dan pencegahan penipuan.
• Mewajibkan liburan karyawan tahunan dan menandatangani perjanjian kerahasiaan; merotasi tugas karyawan kunci secara berkala.
• Menerapkan kontrol akuisisi dan pengembangan proyek yang formal dan ketat, serta kontrol manajemen perubahan.
• Meningkatkan sanksi bagi pelaku fraud dengan lebih gencar menuntut pelaku fraud.
 TABEL 5-5 Lanjutan

MENINGKATKAN KESULITAN KOMITTING PENIPUAN

• Kembangkan dan terapkan sistem pengendalian internal yang kuat.
• Pisahkan fungsi akuntansi dari otorisasi, pencatatan, dan penahanan.
• Menerapkan pemisahan tugas yang tepat antara fungsi sistem.
• Batasi akses fisik dan jarak jauh ke sumber daya sistem untuk personel yang berwenang.
• Require transactions and activities to be authorized by appropriate supervisory personnel. Have the system authenticate the person, and
their right to perform the transaction, before allowing the transaction to take place.
• Use properly designed documents and records to capture and process transactions.
• Safeguard all assets, records, and data.
• Require independent checks on performance, such as reconciliation of two independent sets of records, where practical.
• Implement computer-based controls over data input, computer processing, data storage, data transmission, and information
output.
• Encrypt stored and transmitted data and programs to protect them from unauthorized access and use.
• When disposing of used computers, destroy the hard drive to keep criminals from mining recycled hard drives.
• Perbaiki kerentanan perangkat lunak dengan menginstal pembaruan sistem operasi, serta program keamanan dan aplikasi.

MENINGKATKAN METODE DETEKSI

• Mengembangkan dan menerapkan program penilaian risiko penipuan yang mengevaluasi kemungkinan dan besarnya
aktivitas penipuan serta menilai proses dan kontrol yang dapat mencegah dan mendeteksi potensi penipuan.
• Buat jejak audit sehingga transaksi individu dapat dilacak melalui sistem ke laporan keuangan dan data laporan keuangan
dapat ditelusuri kembali ke transaksi individu.
• Melakukan audit eksternal dan internal secara berkala, serta audit keamanan jaringan khusus; ini dapat sangat membantu
jika terkadang dilakukan secara mendadak.
• Instal perangkat lunak pendeteksi penipuan.
• Terapkan hotline penipuan.
• Motivate employees to report fraud by implementing whistleblower rewards and protections for those who come forward.
• Employ a computer security officer, computer consultants, and forensic specialists as needed.
• Monitor system activities, including computer and network security efforts, usage and error logs, and all malicious actions. Use intrusion
detection systems to help automate the monitoring process.

REDUCE FRAUD LOSSES

• Maintain adequate insurance.
• Develop comprehensive fraud contingency, disaster recovery, and business continuity plans.
• Store backup copies of program and data files in a secure off-site location.
• Use software to monitor system activity and recover from fraud.

Summary and Case Conclusion

Membutuhkan bukti untuk mendukung keyakinannya bahwa Don Hawkins telah melakukan
penipuan, Jason Scott memperluas cakupan penyelidikannya. Seminggu kemudian, Jason
mempresentasikan temuannya kepada presiden Northwest. Untuk membuat kasusnya menjadi
populer, Jason memberinya salinan laporan pemotongan IRS dan menunjukkan
pemotongannya. Kemudian dia menunjukkan padanya cetakan pemotongan gaji dan
menunjukkan selisih $ 5, serta selisih beberapa ribu dolar dalam pemotongan gaji Don
Hawkins. Ini menarik perhatiannya, dan Jason menjelaskan bagaimana dia percaya penipuan
telah dilakukan.
During the latter part of the previous year, Don had been in charge of a payroll program
update. Because of problems with other projects, other systems personnel had not reviewed the
update. Jason asked a former programmer to review the code changes. She found program
code that subtracted $5 from each employee's withholdings and added it to Don's withhold-
ings. Don got his hands on the money when the IRS sent him a huge refund check.
Don apparently intended to use the scheme every year, as he had not removed the incrimi-
nating code. He must have known there was no reconciliation of payroll withholdings with the
IRS report. His simple plan could have gone undetected for years if Jason had not overheard
someone in the cafeteria talk about a $5 difference.