Pengendalian internal berkaitan dengan metode, prosedur, dan pemeriksaan yang ada

untuk memastikan bahwa organisasi bisnis memenuhi tujuannya. Karena pengendalian

internal berkaitan dengan pemenuhan tujuan, ada hubungan yang jelas dengan kegiatan
aktivitas manajemen. Kegiatan pengendalian internal dalam organisasi besar kemungkinan
besar akan dievaluasi oleh departemen audit internal. Dalam beberapa kasus, fungsi audit
internal dapat dialihdayakan ke kantor akuntan eksternal. Meskipun ada perbedaan antara
pendekatan dan kegiatan audit internal dan manajemen risiko, ada beberapa area yang
menjadi kepentingan bersama. Secara umum diterima bahwa manajemen risiko adalah fungsi
eksekutif yang harus dilakukan oleh anggota eksekutif organisasi. Hal ini mengarah pada
kesimpulan bahwa komite manajemen risiko harus diketuai oleh direktur setingkat direksi.

Sistem pengendalian internal yang baik mengurangi, tetapi tidak dapat

menghilangkan, kemungkinan penilaian dalam pengambilan keputusan, kesalahan manusia,
proses kontrol yang disengaja dielakkan oleh karyawan dan orang lain, manajemen
mengesampingkan kontrol, dan terjadinya keadaan yang tidak terduga. Oleh karena itu,
sistem pengendalian internal yang baik memberikan jaminan yang masuk akal, tetapi tidak
mutlak, bahwa perusahaan tidak akan terhalang dalam mencapai tujuan bisnisnya, atau dalam
pelaksanaan bisnisnya yang teratur dan sah, oleh keadaan yang mungkin secara wajar
diramalkan. Namun, sistem pengendalian internal tidak dapat memberikan perlindungan
secara pasti terhadap perusahaan yang gagal memenuhi tujuan bisnisnya atau semua
kesalahan material, kerugian, kecurangan atau pelanggaran hukum atau peraturan.

Peran utama audit internal terkait dengan ERM:

1. Memberikan jaminan atas proses manajemen risiko

2. Memberikan jaminan bahwa risiko telah dievaluasi dengan benar
3. Mengevaluasi proses manajemen risiko
4. Mengevaluasi pelaporan risiko-risiko utama
5. Meninjau pengelolaan risiko-risiko utama

Legitimate internal audit roles with safeguards:

1. Memfasilitasi identifikasi dan evaluasi risiko

2. Melatih manajemen dalam merespons risiko
3. Mengkoordinasikan kegiatan-kegiatan ERM
4. Pelaporan konsolidasi atas risiko
5. Memelihara dan mengembangkan kerangka kerja ERM
6. Memperjuangkan pembentukan ERM
7. Mengembangkan strategi manajemen risiko untuk persetujuan dewan komisaris

Peran audit internal yang tidak boleh dilakukan:

1. Menerapkan tanggapan risiko atas nama manajemen

2. Akuntabilitas untuk manajemen risiko
3. Mengambil keputusan tentang tanggapan risiko
4. Manajemen Assurance atas risiko-risiko
5. Menerapkan proses manajemen risiko
6. Menetapkan selera risiko (risk appetite)

Melaksanakan latihan audit internal melibatkan sejumlah langkah, yaitu

merencanakan pelaksanaan audit internal, melakukan kerja lapangan di mana kontrol diuji,
membuat laporan audit, dan terakhir, memastikan adanya tindak lanjut yang memadai.
Sebagai bagian dari pelaksanaan audit, auditor harus mengumpulkan informasi yang relevan
dengan audit yang akan dilakukan. Analisis terhadap informasi yang telah dikumpulkan akan
memungkinkan auditor untuk menentukan dan menyetujui prioritas dan tujuan tinjauan.

Planning:

1. Kontak awal: untuk menginformasikan klien (target audit) atau asosiasi yang terlibat
tentang audit dan tujuannya.
2. Pertemuan awal: pertemuan konferensi, sehingga klien dapat menjelaskan area yang akan
ditinjau dan dinyatakan sumber daya dan proses yang tersedia.
3. Survei pendahuluan: auditor akan mengumpulkan semua data yang dibutuhkan sehingga
mereka dapat memiliki gambaran umum yang baik tentang audit.
4. Meninjau struktur pengendalian internal: auditor akan menentukan area prioritas yang
akan ditinjau dalam audit.
5. Persiapan program audit: program audit akan menguraikan kerja lapangan yang
diperlukan terkait dengan topik/area audit
Kerja lapangan

1. Menguji kontrol internal yang penting: proses ini menguji apakah catatan yang dipilih
secara acak sudah akurat.
2. Pemutakhiran secara berkala: auditor akan melakukan pelaporan keuangan, sebagian
besar dalam bentuk lisan dan klien dapat membantu dalam menyelesaikan masalah yang
muncul.
3. Penyusunan ringkasan audit: setelah pekerjaan lapangan selesai, auditor akan meringkas
temuan, kesimpulan dan rekomendasi.

Laporan Audit

1. Laporan audit: laporan akan ditinjau oleh tim audit sebelum disampaikan kepada klien
untuk ditinjau lebih lanjut.
2. Membuat laporan: komentar dan saran pada draf pertama akan dipertimbangkan dalam
pembuatan laporan akhir.
3. Pendistribusian laporan akhir audit kepada pihak-pihak yang terlibat, manajemen senior,
komite audit senior, komite audit, sesuai kesepakatan.

Tindak lanjut

1. Tindak lanjut audit: tanggapan dari klien akan ditinjau, sehingga temuan dapat diuji dan
diselesaikan.
2. Pelaporan tindak lanjut audit: dampak dari temuan yang telah diselesaikan dan yang
belum diselesaikan akan dimasukkan dalam tindak lanjut.

MANAJEMEN RISIKO DAN INTERNAL AUDIT

Baik manajemen risiko maupun internal audit harus mencari area di mana mereka
dapat bekerja sama tanpa mengorbankan tujuan keseluruhan dari kontribusi masing-masing.
Salah satu konsep yang dapat membantu hal ini adalah “The Three Lines of Defence”. Model
tiga lini pertahanan didasarkan pada gagasan bahwa:
1. Manajemen memiliki tanggung jawab utama utama untuk pengelolaan risiko;
2. Fungsi-fungsi manajemen risiko dapat membantu manajemen dalam mengembangkan
pendekatan untuk memenuhi tanggung jawab mereka;
3. Fungsi audit internal memeriksa bahwa proses manajemen risiko dan kerangka kerja
manajemen risiko manajemen risiko dan kerangka kerja manajemen risiko telah efektif
dan efisien.

Ada keuntungan dan kerugian dalam memiliki hubungan kerja yang erat antara
manajemen risiko dan audit internal. Dalam banyak hal, terdapat kesesuaian yang saling
melengkapi antara kedua disiplin ilmu tersebut dan terdapat manfaat dalam memiliki fokus
yang sama dan perencanaan yang terkoordinasi terkait dengan pengelolaan risiko. Selain itu,
terdapat pula peluang untuk berbagi praktik terbaik mengenai alat dan teknik manajemen
risiko.
Namun, ada juga kelemahan dalam pendekatan yang sama. Diharapkan bahwa
manajemen lini menyadari bahwa tanggung jawab untuk memutuskan tingkat pengendalian
risiko tertentu, tanggung jawab untuk menerapkan kontrol yang lebih baik dan tanggung
jawab untuk mengaudit kepatuhan adalah masalah yang terpisah. Selain itu, sering kali akan
ada hubungan pelaporan yang berbeda dalam suatu organisasi antara manajemen risiko dan
audit internal. Akhirnya, audit internal bangga dengan status independen mereka, dan
keterlibatan yang lebih dekat dalam pengambilan keputusan manajemen risiko dapat
membahayakan independensi tersebut.
MANAGEMENT RESPONSIBILITIES

Internal Audit
1. Memberikan jaminan atas proses manajemen risiko
2. Memberikan jaminan bahwa risiko telah dievaluasi dengan benar
3. Mengevaluasi proses manajemen risiko
4. Mengevaluasi pelaporan risiko-risiko utama
5. Meninjau pengelolaan risiko-risiko utama

Dukungan Manajemen Risiko

1. Memfasilitasi identifikasi dan evaluasi risiko
2. Melatih manajemen dalam menanggapi risiko
3. Mengkoordinasikan kegiatan erm
4. Pelaporan konsolidasi tentang risiko
5. Memelihara dan mengembangkan kerangka kerja erm
6. Memperjuangkan pembentukan erm
7. Mengembangkan strategi rm untuk mendapatkan persetujuan dewan

Tanggung Jawab Manajemen

1. Menetapkan selera risiko (risk appetite)
2. Menerapkan proses manajemen risiko
3. Jaminan manajemen atas risiko
4. Mengambil keputusan atas tanggapan terhadap risiko
5. Melaksanakan tanggapan risiko atas nama manajemen
6. Pertanggungjawaban untuk manajemen risiko

Five lines of assurance

Ada banyak diskusi tentang pengoperasian tiga lini model pertahanan. Sebagai
contoh, sebuah organisasi yang telah mengadopsi pendekatan ini akan perlu
mempertimbangkan di mana fungsi kantor pusat beroperasi dalam tiga lini tersebut, karena
mereka akan sering melakukan kegiatan yang merupakan kegiatan lini pertama dan/atau
kedua dan, secara potensial, juga beroperasi sebagai lini ketiga.
 Kelemahan lain dari model tiga lini pertahanan adalah bahwa model ini lebih relevan
untuk risiko bahaya (atau operasional), termasuk pengendalian keuangan internal. Model
pertahanan tiga lapis model pertahanan tiga lini juga cocok untuk tata kelola risiko
kepatuhan. Namun demikian, komite audit umumnya tidak mengaudit sisi atas risiko, atau
berusaha mengidentifikasi keadaan di mana ada peluang yang terlewatkan. Oleh karena itu,
ada kemungkinan bahwa akan ada keterputusan antara ruang lingkup kerja manajemen risiko
dan departemen audit internal dibandingkan dengan cakupan dan ruang lingkup penuh dari
aktivitas manajemen risiko perusahaan.
Model tiga lapis pertahanan ini sudah mapan, namun terkadang model ini diperluas
menjadi lima lini pertahanan dengan menunjukkan audit eksternal sebagai lini keempat dan
regulator sebagai kelima. Namun, hal ini tidak mewakili pendekatan lima lini assurance, yang
saat ini sedang dikembangkan. Dalam rangka meningkatkan efektivitas dari tiga (atau lima)
lini pertahanan, pendekatan alternatif dari lima lini assurance telah diajukan. Model lima lini
assurance menyarankan sumber-sumber assurance sebagai berikut:
1. Dewan direksi bertanggung jawab secara keseluruhan untuk memastikan bahwa proses
manajemen risiko yang efektif dan lini lainnya mengelola risiko sesuai dengan tingkat
risiko yang dapat diterima.
2. Eksekutif senior dan manajer senior dengan tanggung jawab keseluruhan untuk
membangun dan memelihara proses manajemen risiko yang kuat dan memberikan yang
dapat diandalkan mengenai risiko-risiko utama.
3. Pemimpin unit bisnis yang ditugaskan untuk memiliki kepemilikan atau tanggung jawab
untuk melaporkan risiko tertentu, dan memastikan sumber daya dilindungi dan tujuan
yang telah ditetapkan dan tujuan-tujuan yang telah ditetapkan dapat tercapai.
4. Unit spesialis yang memberikan keahlian pada jenis risiko tertentu, seperti treasury,
keselamatan, lingkungan, hukum dan asuransi dengan tanggung jawab atas risiko terkait
proses manajemen risiko terkait.
5. Kegiatan audit internal, yang memberikan informasi yang independen dan tepat waktu
kepada Dewan independen dan tepat waktu kepada Dewan Komisaris mengenai
keandalan proses manajemen risiko dalam organisasi dan menghasilkan laporan
konsolidasi.
Model lima lini pertahanan lebih relevan dengan manajemen risiko strategis dan taktis
(termasuk peluang) daripada model tiga lini pertahanan. Fakta ini muncul secara langsung
dari peningkatan fokus pada jaminan dalam model lima lini jaminan, daripada kontrol dalam
model tiga lini pertahanan. Perlu dicatat bahwa, dalam kedua model tersebut, auditor
eksternal dan regulator akan terus memenuhitanggung jawab khusus mereka.