Sistem pengendalian internal yang lemah dapat membuat kesalahan dalam laporan keuangan tidak terdeteksi hingga proses audit berlangsung.
Dalam audit, kondisi tersebut dikenal sebagai control risk, yaitu risiko ketika pengendalian internal perusahaan gagal mencegah atau menemukan salah saji material secara tepat waktu.
Semakin tinggi control risk, semakin besar perhatian auditor dalam menguji transaksi dan menentukan prosedur audit yang diperlukan. Memahami konsep ini membantu perusahaan memperkuat pengendalian internal serta meningkatkan kesiapan menghadapi proses audit.
This article discusses the meaning of control risk, posisinya dalam model risiko audit, perbedaan dengan inherent risk, cara penilaian auditor, hingga contoh penerapannya dalam praktik.
Pengertian Control Risk
Control risk adalah risiko bahwa salah saji material tidak dapat dicegah atau dideteksi tepat waktu oleh sistem pengendalian internal perusahaan. Risiko ini muncul ketika internal control yang dirancang gagal berjalan efektif dalam praktik sehari-hari.
Penyebabnya bisa beragam, mulai dari desain kontrol yang kurang matang, implementasi yang tidak konsisten, hingga pemisahan tugas (segregation of duties) yang tidak jelas di lapangan.
Semakin lemah pengendalian internal suatu perusahaan, semakin tinggi control risk yang harus diperhitungkan auditor sebelum menyusun prosedur pengujian lebih lanjut.
Posisi Control Risk dalam Model Risiko Audit
On audit risk model, control risk merupakan salah satu dari tiga komponen utama yang menentukan tingkat risiko audit secara keseluruhan, bersama dengan inherent risk and detection risk.
Ketiga komponen tersebut digunakan auditor untuk menilai kemungkinan adanya salah saji material yang tidak terdeteksi dalam laporan keuangan.
Rumus risiko audit dapat dituliskan sebagai berikut:
Audit Risk (AR) = Inherent Risk (IR) × Control Risk (CR) × Detection Risk (DR)
Melalui model ini, auditor dapat menentukan tingkat pengujian yang diperlukan berdasarkan tingkat risiko yang ditemukan selama proses audit.
Inherent Risk vs Control Risk dalam Audit
Inherent risk adalah risiko salah saji yang muncul secara alami dari sifat bisnis atau transaksi, sebelum mempertimbangkan pengendalian apa pun. Contohnya, transaksi kas bervolume tinggi secara alami memiliki risiko inheren yang lebih besar dibanding transaksi non-tunai.
Control risk, sebaliknya, muncul setelah pengendalian diterapkan, yaitu risiko bahwa kontrol tersebut gagal mencegah atau mendeteksi kesalahan yang seharusnya bisa ditangkap.
Perbedaan mendasarnya: inherent risk berkaitan dengan sifat bawaan bisnis, sementara control risk berkaitan dengan efektivitas sistem pengendalian yang sudah dibangun perusahaan.
Control Risk Tinggi vs Control Risk Rendah
Level control risk memengaruhi seberapa besar auditor bisa mengandalkan sistem pengendalian klien saat merancang prosedur audit.
A. High Control Risk Audit
Control risk dinilai tinggi ketika pengendalian internal lemah, tidak konsisten diterapkan, atau bahkan tidak ada sama sekali pada area tertentu. Kondisi ini sering ditemukan pada perusahaan tanpa fungsi audit internal, atau pada unit bisnis yang baru terbentuk dan belum memiliki prosedur baku.
Pada kondisi ini, auditor tidak bisa mengandalkan kontrol klien dan harus memperluas pengujian substantif untuk menekan detection risk seminimal mungkin.
B. Low Control Risk Audit
Sebaliknya, control risk dinilai rendah ketika pengendalian internal dirancang baik dan terbukti berjalan konsisten, misalnya lewat pemisahan tugas yang jelas, otorisasi transaksi berlapis, dan pemantauan rutin.
Auditor bisa lebih mengandalkan kontrol tersebut, sehingga pengujian substantif dapat dipersempit tanpa menambah risiko audit secara keseluruhan.
Cara Auditor Menilai Control Risk
Assessment control risk umumnya dilakukan lewat kombinasi tiga pendekatan berikut:
- Pemahaman desain kontrol. Auditor mempelajari kebijakan, prosedur, serta struktur pengendalian yang diterapkan perusahaan pada area yang relevan.
- Pengujian pengendalian (test of controls). Auditor menguji apakah kontrol yang dirancang benar-benar berjalan konsisten sepanjang periode yang diperiksa, bukan hanya ada di dokumentasi.
- Evaluasi hasil pengujian. Berdasarkan hasil pengujian, auditor menetapkan tingkat control risk sebagai dasar menentukan luas dan kedalaman prosedur audit selanjutnya, sejalan dengan pendekatan risk-based audit yang lebih menyeluruh.
Contoh Control Risk dalam Praktik Audit
Sebuah perusahaan distribusi tidak menerapkan pemisahan tugas antara staf yang mencatat penjualan dan staf yang menerima pembayaran dari pelanggan. Tanpa pengawasan tambahan, potensi manipulasi pencatatan sulit terdeteksi lebih awal, sehingga auditor menilai control risk pada area ini tinggi.
Sebaliknya, perusahaan lain menerapkan sistem otorisasi berlapis untuk setiap transaksi di atas nominal tertentu, disertai rekonsiliasi rutin oleh pihak independen. Auditor dapat menilai control risk pada area ini rendah, karena kontrol terbukti berjalan konsisten saat diuji.
FAQ (Pertanyaan yang Sering Diajukan)
Apa perbedaan control risk dan detection risk?
Control risk berkaitan dengan efektivitas pengendalian internal klien, sedangkan detection risk berkaitan dengan kemampuan prosedur audit itu sendiri dalam mendeteksi salah saji.
Apakah control risk bisa bernilai nol?
Secara teori sangat sulit, karena keterbatasan bawaan pengendalian internal seperti human error tetap ada meski sistem kontrol dirancang sebaik apa pun.
Bagaimana control risk memengaruhi luas pengujian audit?
Semakin tinggi control risk, semakin luas dan mendalam pengujian substantif yang perlu dilakukan auditor untuk menjaga risiko audit tetap rendah.
Siapa yang bertanggung jawab menekan control risk dalam perusahaan?
Manajemen bertanggung jawab merancang dan menjalankan pengendalian internal yang efektif, sementara auditor hanya menilai dan melaporkan tingkat risikonya.
Apakah control risk sama untuk setiap area laporan keuangan?
Tidak. Penilaian control risk dilakukan per area atau asersi tertentu, karena tingkat efektivitas kontrol bisa berbeda antara satu proses bisnis dengan proses lainnya.
Kelola Penilaian Pengendalian dengan Lebih Terstruktur
Menilai control risk secara manual lewat dokumen dan wawancara terpisah, membuat proses audit lebih lambat dan rawan celah yang terlewat. Pendekatan yang terstruktur membantu tim audit fokus pada area dengan risiko pengendalian paling signifikan.
Jika Anda ingin proses penilaian pengendalian internal berjalan lebih terstruktur dan terdokumentasi rapi, Audithink ready to help. Hubungi tim kami to discuss your company's audit needs.
