Risk based audit adalah pendekatan audit yang memakai hasil penilaian risiko untuk menentukan area mana yang diaudit lebih dulu, seberapa sering, dan seberapa dalam. Tanpa pendekatan ini, waktu auditor mudah habis di area yang risikonya kecil, sementara area berisiko tinggi terlewat.
Artikel ini membahas definisi, contoh, tahapan, dasar standar dan regulasi, serta teknik identifikasi risiko pada audit berbasis risiko.
Apa itu Risk Based Audit?
Risk based audit adalah proses audit yang berfokus pada bagaimana risiko dapat memengaruhi pencapaian tujuan organisasi.
Dalam pendekatan ini, fokus terhadap risiko berarti proses audit harus mampu mengidentifikasi, mengevaluasi, dan memprioritaskan aspek-aspek yang memiliki risiko tinggi untuk diperbaiki.
Dengan cara ini, sumber daya dapat dialokasikan secara lebih efisien untuk mengatasi area yang paling rentan terhadap kegagalan atau ketidakpatuhan, sehingga risiko dapat dikelola dengan lebih baik.
Pada pendekatan berbasis siklus, semua area diaudit bergiliran tanpa memandang tingkat risikonya. Pada risk based audit, rencana dan cakupan audit ditentukan oleh penilaian risiko. Kepatuhan tetap diaudit bila risiko ketidakpatuhannya signifikan atau diwajibkan peraturan.
Hal ini memungkinkan auditor untuk memberikan nilai tambah yang lebih besar bagi organisasi dalam mencapai tujuannya.
Beberapa istilah dasar menurut glosarium Global Internal Audit Standards (GIAS) 2024: risiko adalah efek positif atau negatif dari ketidakpastian terhadap tujuan; risiko inheren adalah risiko yang ada tanpa tindakan manajemen; risiko residual adalah bagian risiko inheren yang tersisa setelah tindakan manajemen; dan selera risiko adalah jenis serta jumlah risiko yang bersedia diterima organisasi.
| Aspek | Audit berbasis siklus | Risk based audit |
|---|---|---|
| Dasar penentuan area | Giliran semua area | Hasil penilaian risiko |
| Frekuensi | Sama untuk semua area | Lebih sering untuk risiko tinggi |
| Alokasi sumber daya | Merata | Diarahkan ke area yang signifikan |
| Kepatuhan | Diaudit sebagai bagian dari siklus | Diaudit bila risikonya signifikan atau diwajibkan peraturan |
Bagaimana Contoh Risk Based Audit?
Pada audit berbasis risiko, auditor menggunakan pendekatan ini untuk memprioritaskan sumber daya pada area yang memiliki potensi dampak terbesar.
Berikut adalah beberapa contoh penerapan audit berbasis risiko:
- Industri Spesifik dengan Risiko Tinggi: Di industri perbankan, risiko kepatuhan terhadap peraturan (compliance risk) sangat tinggi karena perubahan regulasi yang ketat. Auditor fokus pada area kepatuhan terhadap peraturan keuangan.
- Proses Bisnis dengan Risiko Tinggi: Dalam perusahaan manufaktur, proses pengadaan bahan baku yang bergantung pada satu pemasok utama memiliki risiko tinggi. Auditor fokus pada pengendalian terkait pengadaan untuk mencegah gangguan operasional atau potensi penipuan.
- Penilaian Risiko Keuangan pada Bank: Pada bank umum, POJK 1/POJK.03/2019 Pasal 12 mensyaratkan rencana audit tahunan disusun berdasarkan penilaian risiko secara komprehensif yang mencakup, antara lain, kecukupan permodalan dan kecukupan likuiditas.
- Audit Sistem IT: Dalam perusahaan teknologi, auditor dapat fokus pada risiko keamanan siber, seperti kerentanan terhadap serangan peretasan, karena hal ini dapat berdampak besar pada kelangsungan operasi.
- Risiko Lingkungan dan Keberlanjutan: Dalam perusahaan yang bergerak di sektor energi, auditor fokus pada kewajiban lingkungan, seperti potensi denda atas pencemaran atau ketidakpatuhan terhadap standar emisi karbon.
Berikut contoh pemeringkatan area audit. Angka bersifat hipotetis untuk ilustrasi, bukan standar.
| Area audit | Risiko utama | Dampak (1 sampai 5) | Kemungkinan (1 sampai 5) | Efektivitas kontrol | Prioritas |
|---|---|---|---|---|---|
| Pengadaan bahan baku | Ketergantungan pada satu pemasok utama | 4 | 4 | Lemah | Tinggi |
| Kas kecil | Selisih dan penyalahgunaan dana kecil | 2 | 3 | Baik | Rendah |
| Keamanan sistem keuangan | Akses tidak sah | 5 | 3 | Sedang | Tinggi |
| Penggajian | Pembayaran tidak sah | 3 | 3 | Baik | Sedang |
| Reklamasi lahan | Denda dan kewajiban lingkungan | 4 | 3 | Belum teruji | Tinggi |
Dampak dan kemungkinan dipertimbangkan bersama efektivitas kontrol yang sudah diketahui. Area berprioritas tinggi masuk rencana tahun ini dan diaudit lebih sering, sedangkan area berprioritas rendah dijadwalkan lebih jarang. Pola ini sejalan dengan GIAS Standard 9.4, yang meminta kepala audit (CAE) mempertimbangkan tingkat risiko tiap unit audit relatif terhadap tingkat efektivitas kontrol yang diketahui.
Baca juga:
Bagaimana Tahapan Risk Based Audit?
Risk based audit memakai penilaian risiko untuk menentukan area dan kedalaman audit. Hasilnya membantu memberi keyakinan kepada manajemen dan dewan bahwa risiko dikelola dalam batas yang dapat diterima. Tahapannya berjalan di dua tingkat, yaitu tingkat organisasi dan tingkat penugasan.
| Tingkat | Tahap | Hasil atau dokumen | Acuan GIAS 2024 |
|---|---|---|---|
| Organisasi | Memahami tujuan, strategi, serta proses tata kelola, manajemen risiko, dan pengendalian | Pemahaman organisasi | Standard 9.1 |
| Organisasi | Menyusun audit universe, lalu mengidentifikasi dan menilai risiko tiap unit | Audit universe dan peta risiko | Standard 9.4 |
| Organisasi | Menyusun rencana audit berbasis risiko dan memperbaruinya bila risiko berubah | Rencana audit tahunan dan alokasi sumber daya | Standard 9.4 |
| Penugasan | Menilai risiko penugasan | Matriks risiko dan pengendalian | Standard 13.2 |
| Penugasan | Menetapkan sasaran, ruang lingkup, kriteria, dan program kerja | Program kerja audit | Standard 13.3 sampai 13.6 |
| Penugasan | Melakukan pengujian dan mengevaluasi temuan | Kertas kerja dan temuan | Principle 14 |
| Penugasan | Melaporkan hasil dan memantau tindak lanjut | Laporan dan rencana tindak | Principle 15 |
Urutan berikut merangkum tahapan di atas dalam delapan langkah:
- Pahami tujuan dan proses organisasi: memahami strategi, tujuan, serta proses tata kelola, manajemen risiko, dan pengendalian.
- Identifikasi risiko: menentukan dan mencatat risiko yang dapat memengaruhi pencapaian tujuan atau operasi organisasi.
- Penilaian risiko: mengevaluasi setiap risiko berdasarkan dampak dan kemungkinan terjadinya, termasuk efektivitas pengendalian yang ada.
- Penyusunan rencana audit berbasis risiko: menyusun rencana audit tahunan, jadwal, dan kebutuhan sumber daya berdasarkan peringkat risiko.
- Penilaian risiko penugasan dan program kerja: pada tiap penugasan, memahami area yang diaudit, lalu menetapkan sasaran, ruang lingkup, kriteria, dan program kerja.
- Pengujian: tinjauan dokumen, wawancara dan survei, analisis data, evaluasi pengendalian, serta tinjauan kepatuhan.
- Pelaporan: menyusun laporan berisi temuan, penilaian risiko, status kepatuhan, dan rekomendasi atau rencana tindak.
- Tindak lanjut dan pembaruan: memantau perbaikan, lalu memperbarui penilaian risiko dan rencana audit bila risiko berubah.
Baca juga:
- Mengenal Apa Itu Audit Universe, Manfaat, Prosedur, dan Contohnya
- Risk Assessment adalah: Arti, Langkah, Matriks, & Contohnya
- Program Audit (Program Kerja Audit Internal): Pengertian, Jenis, Contoh, dan Cara Menyusun
- Tindak Lanjut Temuan Audit: Penyebab Diabaikan dan Solusinya
Apa Dasar Standar dan Regulasi Risk Based Audit?
| Acuan | Isi yang relevan | Catatan |
|---|---|---|
| GIAS 2024 Standard 9.4 (Internal Audit Plan) | Kepala audit wajib membuat rencana audit berdasarkan penilaian terdokumentasi atas strategi, tujuan, dan risiko organisasi. Penilaian dilakukan minimal sekali setahun, rencana harus dinamis, dan rencana beserta perubahan signifikannya disetujui dewan. | GIAS 2024 berlaku efektif sejak 9 Januari 2025 |
| GIAS 2024 Standard 9.4, bagian pertimbangan penerapan | Contoh pendekatan: menyusun audit universe (unit bisnis, proses, program, sistem) dan menghubungkannya dengan risiko utama. Bila lingkungan dinamis, rencana dapat diperbarui tiap enam bulan, triwulan, bahkan bulanan. Fungsi audit sebaiknya memvalidasi risiko utama secara independen. | Bersifat anjuran penerapan |
| GIAS 2024 Standard 13.2 (Engagement Risk Assessment) | Pada tiap penugasan, auditor memahami aktivitas yang diaudit, mengidentifikasi risiko signifikan terhadap tujuannya, mempertimbangkan risiko fraud, dan memprioritaskan risiko untuk ditinjau. | Tingkat penugasan |
| POJK 1/POJK.03/2019 Pasal 12 | Bank umum wajib memiliki rencana audit tahunan yang disusun berdasarkan penilaian risiko secara komprehensif, mencakup paling sedikit tata kelola, manajemen risiko, kecukupan permodalan, kecukupan likuiditas, pelaporan intern, kepatuhan, dan keuangan. | Berlaku untuk bank umum |
| POJK 56/POJK.04/2015 Pasal 7 | Unit audit internal emiten dan perusahaan publik bertugas menyusun dan melaksanakan rencana audit internal tahunan serta menguji dan mengevaluasi pengendalian internal dan sistem manajemen risiko. | Tidak secara eksplisit mewajibkan risk based audit |
Standar IIA tidak menjadikan risk based audit sebagai kewajiban terpisah, tetapi mensyaratkan rencana audit dibangun dari penilaian risiko terdokumentasi. Bagi auditor internal yang mengikuti GIAS, pendekatan berbasis risiko adalah dasar penyusunan rencana, bukan opsi tambahan. Status berlaku peraturan dapat berubah, jadi periksa teks terbaru.
Kerangka manajemen risiko seperti COSO ERM dan ISO 31000 menjadi rujukan pengelolaan risiko organisasi. Auditor internal menilai proses itu, bukan menggantikannya.
Rujukan:
- Global Internal Audit Standards 2024 (The IIA)
- POJK 1/POJK.03/2019 tentang Penerapan Fungsi Audit Intern pada Bank Umum
- POJK 56/POJK.04/2015 tentang Pembentukan dan Pedoman Penyusunan Piagam Unit Audit Internal
Baca juga:
- Implementasi COSO Framework dalam Sistem Audit Internal
- Menerapkan ISO 31000: Kerangka Kerja Manajemen Risiko untuk Perusahaan
- Standar Audit Internal di Indonesia dan Pedoman Penerapannya
Apa Saja Teknik Identifikasi Risiko pada Risk Based Audit?
Teknik identifikasi risiko memiliki peran yang sangat penting dalam risk based audit karena menjadi langkah awal yang menentukan fokus dan efisiensi seluruh proses audit.
Tanpa proses ini, auditor tidak akan mampu menentukan fokus audit yang efektif, sehingga bisa mengurangi dampak dan relevansi audit terhadap manajemen risiko organisasi.
Berikut beberapa di antaranya:
- Analisis SWOT: Sebagai teknik pelengkap, analisis ini membantu auditor memetakan kekuatan dan kelemahan internal organisasi, serta peluang dan ancaman dari luar.
- Analisis Skenario: Auditor memikirkan berbagai situasi yang mungkin terjadi di masa depan dan menilai risiko yang menyertainya.
- Analisis Historis: Melihat kembali temuan audit sebelumnya, insiden, dan data kerugian membantu auditor menemukan pola risiko yang berulang.
- Sesi Brainstorming: Diskusi tim memungkinkan banyak ide baru muncul, membuka kemungkinan untuk menemukan risiko yang mungkin terlewat.
- Benchmarking: Membandingkan proses organisasi dengan standar atau praktik terbaik di industri membantu auditor mengenali celah atau penyimpangan yang berisiko.
- Identifikasi Risiko dengan Teknologi: Menggunakan alat analitik dan perangkat lunak canggih membantu auditor menemukan pola dan risiko lebih cepat melalui pengolahan data besar.
- Risk Register: Risk register adalah dokumen penting yang memuat semua risiko yang ditemukan untuk memantau risiko secara terstruktur dan merencanakan langkah-langkah mitigasi. Auditor perlu memvalidasi risiko utama dalam register secara independen, dan hanya mengandalkan informasi manajemen bila proses manajemen risikonya disimpulkan efektif.
- Ulasan Penilaian Risiko yang Ada: Auditor mengulas penilaian risiko manajemen dan kertas kerja penugasan sebelumnya sebagai titik awal, lalu memperbaruinya bila ada perubahan.
- Wawancara dan Walkthrough Proses: Menelusuri alur proses bersama pelaksana membantu auditor memahami bagaimana proses benar-benar berjalan dan di mana risikonya.
- Risk and Control Matrix: Matriks yang menghubungkan tujuan, risiko, dan pengendalian membantu auditor memetakan risiko yang perlu diuji.
Baca juga:
Bagaimana Penerapan Audit Berbasis Risiko?
Penerapan audit berbasis risiko dapat meningkatkan efisiensi audit dan pengelolaan risiko dalam organisasi, meskipun ada tantangan yang harus diatasi.
Keuntungan Risk Based Audit
Pendekatan ini memfokuskan audit pada area yang memiliki risiko paling tinggi, sehingga sumber daya dapat digunakan lebih efektif.
Auditor tidak perlu memeriksa semua aspek operasional, melainkan cukup memprioritaskan bagian yang berpotensi menyebabkan kerugian besar.
Selain itu, RBA membantu membuat audit lebih relevan dengan menyoroti area yang paling berdampak pada pencapaian tujuan. Hasil audit yang spesifik memudahkan manajemen dalam mengambil keputusan.
Tantangan Penerapan
Salah satu kendala utama adalah kurangnya data yang lengkap dan akurat tentang risiko serta ketergantungan pada kualitas penilaian risiko. Penilaian yang salah bisa mengarahkan audit pada area yang kurang penting.
Perubahan risiko yang cepat juga menjadi tantangan. Lingkungan bisnis yang dinamis, seperti perubahan regulasi atau teknologi, memerlukan fleksibilitas dan kemampuan analisis yang kuat agar auditor dapat menyesuaikan rencana audit dengan segera.
Keterbatasan sumber daya audit juga menjadi tantangan. Karena itu GIAS Standard 9.4 meminta kepala audit menyampaikan kepada dewan dan manajemen senior dampak keterbatasan sumber daya terhadap cakupan audit, serta alasan bila area berisiko tinggi tidak masuk rencana.
Bagaimana Memulai Audit Berbasis Risiko di Organisasi Anda?
- Susun audit universe yang memuat unit bisnis, proses, program, dan sistem yang dapat diaudit.
- Tentukan kriteria penilaian risiko, misalnya dampak, kemungkinan, dan efektivitas kontrol.
- Peringkatkan area audit, lalu susun rencana tahunan beserta kebutuhan sumber daya.
- Jadwalkan pembaruan penilaian risiko, minimal setahun sekali dan lebih sering bila lingkungan berubah cepat.
- Dokumentasikan hasilnya dan pantau tindak lanjut sampai selesai.
Apa Bedanya Risk Based Audit dengan Audit Risk dan Risk Based Approach?
Ketiga istilah ini sering tertukar. Audit risk (risiko audit) dalam audit eksternal adalah risiko auditor menyatakan opini yang keliru atas laporan keuangan yang mengandung salah saji material. Risk based audit, sebaliknya, adalah cara menentukan prioritas audit berdasarkan risiko bagi organisasi.
Risk based approach adalah istilah yang lebih umum untuk pendekatan berbasis risiko di berbagai bidang, misalnya kepatuhan, dan tidak dibahas di artikel ini.
Baca juga:
- Risiko Audit: Pengertian, Jenis, Contoh, dan Cara Menentukan
- Risiko Inheren dalam Audit: Pengertian, Contoh, dan Cara Pengukuran
- Control Risk dalam Audit: Pengertian, Contoh, dan Cara Menilainya
- Hubungan Asersi Audit dan Penilaian Risiko
FAQ Seputar Risk Based Audit
Apa itu risk based audit?
Risk based audit adalah proses audit yang berfokus pada bagaimana risiko dapat memengaruhi pencapaian tujuan organisasi. Auditor mengidentifikasi, mengevaluasi, dan memprioritaskan aspek berisiko tinggi agar sumber daya audit dialokasikan pada area yang paling rentan.
Apa bedanya dengan audit tradisional?
Audit tradisional umumnya mengaudit semua area secara bergiliran, tanpa memandang tingkat risikonya. Risk based audit menentukan prioritas dan cakupan berdasarkan penilaian risiko. Kepatuhan tetap diaudit bila risikonya signifikan atau diwajibkan peraturan.
Bagaimana tahapan risk based audit?
Tahapannya berjalan di dua tingkat. Di tingkat organisasi, auditor memahami tujuan dan proses organisasi, mengidentifikasi dan menilai risiko, lalu menyusun rencana audit berbasis risiko. Di tingkat penugasan, auditor menilai risiko penugasan, menyusun program kerja, melakukan pengujian, melaporkan temuan, dan memantau tindak lanjut.
Apa teknik identifikasi risiko yang dipakai?
Analisis SWOT, analisis skenario, analisis historis atas temuan audit sebelumnya, sesi brainstorming tim, benchmarking terhadap praktik terbaik industri, identifikasi berbantuan teknologi analitik, serta penyusunan risk register untuk memantau risiko secara terstruktur.
Apa keuntungan menerapkan audit berbasis risiko?
Audit terfokus pada area berisiko paling tinggi sehingga sumber daya terpakai lebih efektif, dan auditor tidak perlu memeriksa semua aspek operasional. Hasil auditnya juga lebih relevan dan spesifik, sehingga memudahkan manajemen mengambil keputusan.
Apa tantangan penerapan risk based audit?
Tantangannya meliputi kurangnya data risiko yang lengkap dan akurat, ketergantungan pada kualitas penilaian risiko (penilaian yang keliru bisa mengarahkan audit ke area kurang penting), serta perubahan risiko yang cepat akibat dinamika regulasi dan teknologi.
Apa dasar standar risk based audit?
Bagi auditor internal, dasarnya adalah Global Internal Audit Standards (GIAS) 2024 Standard 9.4, yang mensyaratkan rencana audit berdasarkan penilaian risiko terdokumentasi, dan Standard 13.2 untuk penilaian risiko tiap penugasan. Bagi bank umum, POJK 1/POJK.03/2019 Pasal 12 juga mensyaratkan rencana audit berbasis penilaian risiko.
Seberapa sering rencana audit berbasis risiko diperbarui?
Menurut GIAS 2024 Standard 9.4, penilaian risiko yang mendasari rencana audit dilakukan minimal sekali setahun. Bila lingkungan organisasi dinamis, rencana dapat diperbarui tiap enam bulan, triwulan, bahkan bulanan.
Apa bedanya risk based audit dengan audit risk?
Audit risk adalah konsep audit eksternal, yaitu risiko auditor memberi opini yang keliru atas laporan keuangan yang mengandung salah saji material. Risk based audit adalah pendekatan yang memakai risiko organisasi untuk menentukan prioritas dan cakupan audit.
Bagaimana Software Audit Internal Membantu Audit Berbasis Risiko?
Audithink adalah software manajemen audit internal yang dapat dikustomisasi sesuai metodologi organisasi Anda, bukan pelaksana audit. Fitur risk assessment membantu mencatat dan menilai risiko per area atau proses. Fitur perencanaan audit membantu menyusun jadwal berdasarkan hasil penilaian tersebut, dan template program kerja membantu menyeragamkan penugasan. Notifikasi, monitoring tindak lanjut, dan laporan otomatis membantu tim memantau rekomendasi sampai selesai. Audithink tidak menggantikan peran auditor dalam menilai risiko dan mengambil keputusan profesional.
Jadwalkan demo untuk melihat kecocokannya dengan metodologi audit berbasis risiko di organisasi Anda.
Baca juga, penerapan audit berbasis risiko dan standarnya:
