Pengendalian dan Sistem Informasi Akuntansi

I. PENDAHULUAN
Mengapa ancaman terhadap sistem informasi akuntansi meningkat?
Karena banyak perusahaan tidak menyadari bahwa informasi adalah sebuah sumber daya strategis sehingga dalam melindungi informasi memerlukan ketentuan strategis dan beberapa perusahaan memandang kehilangan atas informasi penting sebagai sebuah ancaman yang tidak mungkin terjadi. Padahal di setiap organisasi pasti terdapat ancaman/kejadian (segala potensi kejadian yang merugikan atau kejadian yang tidak diinginkan yang dapat merusak SIA atau organisasi). Kerugian uang yang potensial dari sebuah ancaman disebut paparan/dampak. Kemungkinan bahwa paparan akan terjadi disebut sebagai kemungkinan (likelihood).

II. KONSEP PENGENDALIAN
Pengendalian internal adalah proses yang dijalankan untuk menyediakan jaminan memadai bahwa tujuan-tujuan pengendalian berikut telah tercapai.

• Mengamankan aset
• Mengelola catatan dengan detail yang baik untuk melaporkan aset perusahaan secara akurat dan wajar
• Memberikan informasi yang akurat dan reliabel
• Menyiapkan laporan keuangan yang sesuai dengan kriteria yang ditetapkan
• Mendorong dan memperbaiki efisiensi operasional
• Mendorong ketaatan terhadap kebijakan manajerial yang telah ditentukan 
• Mematuhi hukum dan peraturan yang berlaku

Para akuntan dan pengembang sistem membantu manajemen mencapai tujuan pengendaliannya dengan:

1. Mendesain sistem pengendalian yang efektif dengan menggunakan pendekatan proaktif untuk mengeliminasi ancaman sistem, serta yang dapat mendeteksi, memperbaiki, dan memulihkan dari ancaman ketika terjadi 
2. Membuatnya lebih mudah guna membentuk pengendalian ke dalam sebuah sistem pada tahapan desain awal daripada menambahkannya setelah terbentuk. 

Pengendalian internal menjalankan tiga fungsi penting sebagai berikut:

1. Pengendalian preventif (preventive control) mencegah masalah sebelum timbul
2. Pengendalian detektif (detective control) menemukan masalah yang tidak terelakkan
3. Pengendalian korektif (corrective control) memperbaiki dan memulihkan kesalahan yang dihasilkan

Pengendalian internal seringkali dipisahkan dalam dua kategori sebagai berikut:

1. Pengendalian umum (general control) memastikan lingkungan pengendalian sebuah organisasi stabil dan dikelola dengan baik
2. Pengendalian aplikasi (application control) mencegah, mendeteksi, mengoreksi, kesalahan transaksi serta penipuan di dalam program aplikasi

Robert Simons, seorang profesor bisnis Harvard, telah menganut empat kaitan pengendalian untuk membantu manajemen menyelesaikan konflik di antara kreativitas dan pengendalian 

1. Sebuah sistem kepercayaan (belief system) menjelaskan cara sebuah perusahaan menciptakan nilai, membantu pegawai memahami visi manajemen, mengomunikasikan nilai-nilai dasar perusahaan, dan menginspirasi pegawai untuk bekerja berdasarkan nilai-nilai tersebut.
2. Sebuah sistem batas (boundary system) membantu pegawai bertindak secara etis dengan membangun batas-batas dalam perilaku kepegawaian
3. Sebuah sistem pengendalian diagnostik (diagnostic control system) mengukur, mengawasi, dan membandingkan perkembangan perusahaan aktual berdasarkan anggaran dan tujuan kinerja
4. Sebuah sistem pengendalian interaktif (interactive control system) membantu manajer untuk memfokuskan perhatian bawahan pada isu-isu strategis utama dan lebih terlibat di dalam keputusan mereka

PRAKTIK KORUPSI ASING DAN SARBANES-OXLEY ACTS 

Pada 1977, Foreign Corrupt Practices Act (FCPA) dikeluarkan untuk mencegah perusahaan menyuap pejabat asing agar mendapatkan bisnis. Kongres menggabungkan aturan dari sebuah pernyataan American Institute of Certified Public Accountants (AICPA) ke dalam FCPA yang mengharuskan perusahaan untuk memelihara sistem pengendalian internal yang baik.

Pada akhir 1990 dan awal 2000, berita melaporkan penipuan Enron, WorldCom, Xerox, Tyco, dan perusahaan lainnya. Merespons penipuan tersebut, kongres mengeluarkan Sarbanes-Oxley Act (SOX) pada 2002. SOX diterapkan bagi perusahaan-perusahaan publik dan auditor mereka serta didesain untuk mencegah penipuan laporan keuangan, membuat laporan keuangan lebih transparan, melindungi investor, memperkuat pengendalian internal, dan menghukum eksekutif yang melakukan penipuan. Berikut beberapa aspek terpenting SOX: 

1. Public Company Accounting Oversight Board (PCAOB) untuk mengendalikan profesi pengauditan, pengendalian kualitas, dan standar audit lainnya. Terdiri dari 5 orang yang ditunjuk oleh Securities and Exchange Commision (SEC). 
2. Aturan-aturan baru bagi para auditor. Auditor harus melaporkan informasi tertentu ke komite audit perusahaan, seperti kebijakan dan praktik akuntansi yang penting
3. Peran baru bagi komite audit. Seorang anggota komite audit harus seorang pakar keungan. Komite audit mempekerjakan, mengompensasi, dan mengawasi para auditor yang melapor langsung kepada mereka. 
4. Aturan baru bagi manajemen. SOX mengharuskan CEO dan CFO untuk menyatakan bahwa (1) pernyataan dan pengungkapan keuangan disajikan dengan wajar, ditinjau oleh manajemen, dan tidak menyesatkan; (2) para auditor diberitahukan tentang semua kelemahan pengendalian internal material dan diberitahukan juga tentang penipuan. Jika manajemen dengan sengaja melanggar aturan tersebut, mereka dapat dituntut dan didenda. 
5. Ketentuan baru pengendalian internal. Bagian 404 mengharuskan perusahaan untuk menerbitkan sebuah laporan pendukung laporan keuangan yang menyatakan bahwa manajemen bertanggung jawab untuk menetapkan dan memelihara sistem pengendalian internal yang memadai. 

Setelah SOX dikeluarkan, SEC memerintahkan bahwa manajemen harus: 

• Mendasarkan evaluasinya pada sebuah kerangka pengendalian yang berlaku
• Mengungkap semua kelemahan pengendalian internal material
• Menyimpulkan bahwa sebuah perusahaan tidak memiliki pengendalian internal pelaporan keuangan yang efektif jika terdapat kelemahan material

KERANGKA PENGENDALIAN 

1. Kerangka COBIT 

Information System Audit and Control Association (ISACA) mengembangkan kerangka Control Objective for Information and Related Technology (COBIT). COBIT adalah sebuah kerangka keamanan dan pengendalian yang memungkinkan:

• Manajemen untuk membuat tolok ukur praktik-praktik keamanan dan pengendalian lingkungan TI
• Para pengguna layanan TI dijamin dengan adanya keamanan dan pengendalian yang memadai
• Para auditor memperkuat opini pengendalian internal dan mempertimbangkan masalah keamanan TI dan pengendalian yang dilakukan

Dalam menjelaskan praktik-praktik terbaik untuk tata kelola dan manajemen TI yang efektif, kerangka COBIT 5 mempunyai lima prinsip utama tata kelola dan manajemen, yaitu: 

1. Memenuhi keperluan pemangku kepentingan dengan adanya proses dan prosedur bisnis yang baik untuk menciptakan sebuah sistem informasi yang bernilai. 
2. Mencakup perusahaan dari ujung ke ujung dengan berfokus pada operasi TI, pengintegrasian semua fungsi, dan proses TI.
3. Mengajukan sebuah kerangka terintegrasi dan tunggal
4. Memungkinkan pendekatan holistik
5. Memisahkan tata kelola dari manajemen

Tata kelola adalah tanggung jawab dewan direksi yang (1) mengevaluasi keperluan pemangku kepentingan untuk mengidentifikasi tujuan, (2) memberikan arahan bagi manajemen dengan memprioritaskan tujuan, dan (3) mengawasi kinerja manajemen. 

2. Kerangka COSO 

Pada 1992, Committee of Sponsoring Organizations (COSO) menerbitkan pengendalian internal - Kerangka Terintegrasi (Integrated Framework) - IC, yang diterima secara luas sebagai otoritas untuk pengendalian internal yang digabungkan ke dalam kebijakan, peraturan, dan regulasi yang digunakan untuk mengendalikan aktivitas bisnis. COSO ini adalah sebuah kelompok sektor swasta yang terdiri atas Asosiasi Akuntansi Amerika, AICPA, Ikatan Auditor Internal, Ikatan Akuntan Manajemen, dan Ikatan Eksekutif Keuangan. 

• Manajemen Risiko Perusahaan (Enterprise Risk Management) - Kerangka Terintegrasi - ERM

adalah sebuah kerangka COSO yang memperbaiki proses manajemen risiko dengan memperluas (menambahkan tiga elemen tambahan) pengendalian internal. Prinsip dasar di balik ERM adalah 

1. Perusahaan dibentuk untuk menciptakan nilai bagi para pemiliknya
2. Manajemen harus memutuskan seberapa banyak ketidakpastian yang akan ia terima saat menciptakan nilai 
3. Ketidakpastian menghasilkan risiko
4. Ketidakpastian menghasilkan peluang

LINGKUNGAN INTERNAL 

Lingkungan internal ini adalah fondasi dari seluruh komponen ERM lainnya karena memengaruhi cara organisasi menetapkan strategi dan tujuannya, membuat struktur aktivitas bisnis, dan mengidentifikasi, menilai, serta merespons risiko. Cakupan lingkungan internal, antara lain: 

1. Filosofi manajemen, gaya pengoperasian, dan selera risiko
2. Komitmen terhadap integritas, nilai-nilai etis, dan kompetensi
3. Pengawasan pengendalian internal oleh dewan direksi
4. Struktur organisasi
5. Metode penetapan wewenang dan tanggung jawab
6. Standar-standar sumber daya manusia yang menarik, mengembangkan, dan mempertahankan individu yang kompeten
7. Pengaruh eksternal 

PENETAPAN TUJUAN adalah komponen ERM yang kedua. Komponen ini harus dilakukan agar perusahaan tahu arah kemana mereka harus pergi dan dapat mengetahui ukuran kinerja yang harus dicapai demi kemajuan perusahaan. Tujuan dibagi menjadi beberapa jenis, yaitu: 

1. Tujuan strategis (strategic objective) merupakan sasaran tingkat tinggi yang disejajarkan dengan misi perusahaan untuk mendukung misi tersebut serta menciptakan nilai pemegang saham. 
2. Tujuan operasi (operation objective) adalah tujuan yang berhubungan dengan efektivitas dan efisiensi operasi perusahaan serta menentukan cara mengalokasikan sumber daya. 
3. Tujuan pelaporan (reporting objective) adalah tujuan yang membantu memastikan ketelitian, kelengkapan, dan keterandalan laporan perusahaan; meningkatkan pembuatan keputusan; dan mengawasi aktivitas serta kinerja perusahaan. 
4. Tujuan kepatuhan (compliance objective) adalah tujuan yang membantu perusahaan mematuhi seluruh hukum dan peraturan yang berlaku. 

IDENTIFIKASI KEJADIAN 

COSO mendefinisikan kejadian (event) sebagai "sebuah peristiwa yang berasal dari internal atau eksternal yang memengaruhi implementasi strategi atau pencapaian tujuan. Kejadian mungkin memiliki dampak positif atau negatif atau keduanya" 

Kejadian bisa terjadi secara individu atau secara serentak. Oleh karena itu, perusahaan harus menggunakan beberapa teknik untuk mengidentifikasikan kejadian dengan menggunakan sebuah daftar komprehensif dari kejadian potensial, pelaksanaan sebuah analisis internal, pengadaan seminar dan wawancara, dan penggunaan data mining. 

PENILAIAN RISIKO dan RESPONS RISIKO 

Manajemen harus mengidentifikasi dan menganalisis risiko untuk menentukan cara risiko-risiko seharusnya dikelola. Selain itu, manajemen juga harus mengidentifikasi dan menilai perubahan-perubahan yang dapat secara signifikan berdampak pada sistem pengendalian internal. Jenis risiko ada 2, yaitu:

1. Risiko Bawaan (Inherent risk) adalah risiko yang harus ditanggung karena kelemahan dari sebuah penetapan akun atau transaksi pada masalah pengendalian yang signifikan akibat dari tidak adanya pengendalian internal.
2. Risiko Residual (Residual risk) adalah risiko yang tersisa setelah manajemen mengimplementasikan pengendalian internal atau beberapa respons lainnya terhadap risiko.

Manajemen harus menilai kemungkinan dan dampak risiko, seperti biaya dan manfaat dari respons-respons alternatif. Manajemen dapat merespons risiko dengan salah satu dari empat cara beriku: 

1. Mengurangi kemungkinan dan dampak risiko dengan mengimplementasikan sistem pengendalian yang efektif.
2. Menerima kemungkinan dan dampak risiko
3. Membagikan kepada orang lain dengan asuransi pembelian atau masuk ke dalam transaksi lindung nilai (hedging). 
4. Menghindari dengan tidak melakukan aktivitas yang menyebabkan risiko.  

AKTIVITAS PENGENDALIAN adalah kebijakan, prosedur, dan aturan yang memberikan jaminan memadai bahwa tujuan pengendalian telah dicapai dan respons risiko dilakukan. Prosedur pengendalian dilakukan dalam kategori berikut:

1. Otorisasi transaksi dan aktivitas yang layak guna untuk memberdayakan pegawai karena manajemen kekurangan waktu dan sumber daya untuk mengawasi setiap aktivitas dan keputusan perusahaan. Otorisasi (authorization) sering didokumentasikan dengan penandatanganan, penginisialisasian, dan pemasukan sebuah kode otorisasi pada sebuah dokument atau catatan. Otorisasi khusus (specific authorization) adalah pemberdayaan pegawai dari manajemen untuk menangani aktivitas atau transaksi tertentu. Otorisasi umum (general authorization) adalah pemberdayaan pegawai untuk menangani transaksi rutin tanpa persetujuan khusus.

2. Pemisahan tugas agar pegawai tidak mempunyai kesempatan untuk melakukan dan menyamarkan penipuan. Pemisahan tugas dibagi dalam dua sesi terpisah, yaitu: (1) Pemisahan tugas akuntansi yang terdiri dari fungsi-fungsi yang terpisahkan. Fungsi tersebut adalah otorisasi (menyetujui transaksi dan keputusan), pencatatan, dan penyimpanan (menangani kas, persediaan, menerima cek dari pelanggan). (2) Pemisahan tugas sistem merupakan penerapan prosedur-prosedur pengendalian untuk membagi wewenang dan tanggung jawab secara jelas di dalam fungsi sistem informasi. Fungsi yang terbagi, antara lain: Administrator sistem, manajemen jaringan, manajemen keamanan, manajemen perubahan, pengguna, analisis sistem, pemrograman, operasi komputer, perpustakaan sistem informasi, dan pengendalian data.

3. Pengembangan proyek dan pengendalian akuisisi (perolehan)
Pengendalian pengembangan sistem yang penting meliputi hal-hal sebagai berikut:

• Komite pengarah (steering committee) yang memandu dan mengawasi pengembangan dan perolehan sistem informasi.
• Rencana induk strategis (strategic master plan) adalah sebuah rencana multitahunan yang menjabarkan proyek perusahaan yang harus terselesaikan untuk mencapai tujuan jangka panjangnya dan sumber daya yang dibutuhkan untuk mencapai rencana tersebut. 
• Rencana pengembangan proyek (project development plan) adalah sebuah dokumen yang menunjukkan sebuah proyek akan diselesaikan dengan adanya tonggak proyek - poin kemajuan yang ditinjau dan waktu penyelesaian aktual serta perkiraan dibandingkan. 
• Jadwal pengolahan data (data processing schedule) 
• Pengukuran kinerja sistem (system performance measurement) adalah cara-cara untuk mengevaluasi dan menilai sebuah sistem. Pengukuran umum meliputi throughput (output per unit waktu), pemanfaatan (utilization), persentase waktu penggunaan sistem, dan waktu respons (lamanya waktu yang diperlukan sistem untuk merespons). 
• Tinjauan pasca-implementasi (pstimplementation review) adalah tinjauan yang dilakukan setelah sistem baru beroperasi untuk periode yang singkat, guna memastikan hal itu sesuai dengan tujuan yang telah ditentukan. 

Beberapa perusahaan mempekerjakan seorang sistem integrator (system integrator) yang bertugas untuk mengelola usaha pengembangan sistem perusahaan. Perusahaan tersebut sebaiknya menggunakan proses dan pengendalian manajemen proyek yang sama dengan proyek internal. Selain itu, perusahaan harus mengembangkan spesifikasi yang jelas dan mengawasi proyek. 

4. Mengubah Pengendalian Manajemen

5. Mendesain dan Menggunakan Dokumen dan Catatan

Dokumen harus dinomori secara urut sehingga masing-masing dapat dibukukan. Selain itu, dokumen yang mengawali sebuah transaksi harus menyediakan sebuah ruang untuk otorisasi. 

6. Pengamaman Aset, Catatan, dan Data dengan cara (1) menciptakan dan menegakkan kebijakan dan prosedur yang tepat, (2) memelihara catatan akurat dari seluruh aset, (3) membatasi akses terhadap aset, (4) melindungi catatan dan dokumen. 

7. Pengecekan Kinerja yang Independen meliputi : 

• Tinjauan tingkat atas. Manajemen harus mengawasi hasil perusahaan dan membandingkan kinerja perusahaan secara periodik terhadap (1) kinerja yang direncanakan, (2) kinerja periode sebelumnya, (3) kinerja pesaing. 
• Tinjauan analitis adalah pemerikasaan hubungan antara set-set data yang berbeda.
• Rekonsiliasi catatan-catatan yang dikelola secara independen
• Perbandingan terhadap kuantitas aktual dengan jumlah yang dicatat
• Akuntansi double-entry 
• Tinjauan independen

INFORMASI dan KOMUNIKASI 

Dengan adanya sistem informasi dan komunikasi akan menghasilkan jejak audit yang memudahkan akuntasi dalam menelusuri transaksi secara bolak-balik antara asalnya dan laporan keuangan. Komunikasi harus dilakukan secara internal dan eksternal untuk menyediakan informasi yang dibutuhkan guna menjalankan aktivitas pengendalian internal harian. 

PENGAWASAN 

Metode utama dalam pengawasan kinerja terdiri dari:

1. Menjalankan evaluasi pengendalian internal menggunakan evaluasi formal atau evaluasi penilaian diri.
2. Implementasi pengawasan yang efektif meliputi kegiatan melatih dan mendampingi pegawai, mengoreksi kesalahan, dan mengawasi pegawai yang memiliki akses terhadap aset.
3. Menggunakan sistem akuntansi pertanggungjawaban meliputi anggaran, kuota, jadwal, biaya standar, dan standar kualitas. 
4. Mengawasi aktivitas sistem 
5. Melacak perangkat lunak dan perangkat bergerak yang dibeli
6. Menjalankan audit berkala
7. Mempekerjakan petugas keamanan komputer dan Chief Complience Officer. CCO tersebut adalah seorang pegawai yang bertanggungjawab atas semua tugas kepatuhan yang terkait SOX serta pengaturan hukum dan peraturan. 
8. Menyewa spesialis forensik. Penyelidik forensik adalah individu yang memiliki spesialisasi dalam penipuan, sebagian dari mereka memiliki pelatihan khusus dari agen-agen penegak hukum lainnya, seperti FBI atau IRS atau memiliki sertifikasi profesional seperti Certified Fraud Examiner (CFE). Sedangakan spesialis forensik komputer adalah pakar komputer yang menemukan, mengekstraksi, mengamankan, dan mendokumentasi bukti komputer seperti keabsahan, akurasi, dan integritas bahwa tidak akan menyerah pada tantangan hukum. 
9. Memasang perangkat lunak deteksi penipuan. Sistem komputasi yang meniru proses pembelajaran otak dengan menggunakan jaringan prosesor yang terhubung satu sama lain dengan menjalankan berbagai operasi secara serentak dan berinteraksi dengan dinamis disebut jaringan saraf (neural network).
10. Mengimplementasikan hotline penipuan. Nomor telepon yang dapat dihubungi oleh para pegawai untuk melaporkan penipuan dan penyalahgunaan secara anonim adalah hotline penipuan. Namun, hotline ini memiliki dampak negatif karena ada banyaknya panggilan yang tidak layak untuk diselidiki; beberapa diantaranya dimotivasi oleh kehendak untuk membalas dendam, beberapa adalah laporan kesalahan yang tidak jelas dan tidak bermanfaat.

Nama: Beta Jati Rahayu

NIM  : 29478