RPS minggu 13 · 2x50 menit

Audit & Pengendalian Internal Bank

Audit Internal · Audit Eksternal · COSO · Fraud Triangle — Magister Manajemen FEB UNDIP

Selamat datang di pertemuan ketiga belas. Setelah dua belas minggu mendalami aspek teknis akuntansi dan pengungkapan bank, hari ini kita melihat bagaimana integritas laporan keuangan dijaga melalui audit internal, audit eksternal, dan sistem pengendalian internal. Bank adalah sektor dengan risiko operasional tertinggi karena mengelola uang publik dalam volume transaksi sangat besar — sebab itulah audit dan kontrolnya jauh lebih ketat dari perusahaan biasa. Fraud bank Indonesia periode 2000-2020 menyebabkan kerugian belasan triliun rupiah, dengan kasus markah seperti BNI 2003 letters of credit fictive Rp 1,7 triliun, Century 2008, dan Citibank 2011. Anda sebagai calon auditor eksternal, internal audit head bank, atau CFO harus menguasai kerangka audit perbankan dan COSO Framework. Sebagai jangkar diskusi, kita akan banyak memakai kasus fraud bank sebagai contoh pembelajaran agar konsep tidak abstrak. Silakan siapkan satu kasus fraud bank yang Anda ketahui untuk dianalisis lewat fraud triangle sepanjang sesi.

Peta Pembelajaran Hari Ini

Sub-CPMK 13: menjelaskan peran audit dan pengendalian internal pada lembaga keuangan. Empat indikator capaian yang harus Anda kuasai sebelum meninggalkan kelas.

Jam ke-1 (50 menit)

Definisi audit & assurance; tiga tingkat assurance (audit, review, AUP)
Standar audit perbankan: SPAP + POJK audit + ISA
Audit internal bank: fungsi, skope (cabang, IT, kredit, treasury, kepatuhan)

Jam ke-2 (50 menit)

Audit eksternal: tugas & empat jenis opini (unqualified, qualified, adverse, disclaimer)
COSO Framework: lima komponen pengendalian internal
Fraud Triangle (Cressey 1953) & kasus bank; persiapan P14 (studi kasus terintegrasi)

Posisi dalam alur 14 pertemuan: fondasi kepercayaan (audit) setelah pengungkapan (P12) sebelum integrasi penuh di studi kasus (P14).

Mengapa Audit Bank Sangat Ketat

Bank mengelola uang publik dengan kompleksitas operasi tinggi — audit dan kontrol adalah pagar terakhir melawan fraud.

Estimasi Kerugian Fraud Bank RI 2000-2020

~Rp 15+ T

BNI 2003 (Rp 1,7 T) + Century 2008 + Citibank 2011 + kasus lain (akumulasi, dihedge)

Volume Transaksi Bank Besar

Jutaan/hari

Setoran, tarikan, transfer, pembayaran — peluang error & fraud sangat besar

Pertanyaan pemantik: bank dengan sistem IT canggih sekalipun masih bisa kena fraud besar. Mengapa? Karena fraud terjadi di celah kontrol prosedur dan manusia, bukan teknologi semata.

Saya ingin Anda merasakan ketatnya audit bank secara intuitif. Fraud bank Indonesia periode 2000-2020 menyebabkan kerugian akumulasi belasan triliun rupiah, dengan kasus besar seperti BNI 2003 letters of credit fictive Rp 1,7 triliun, Century 2008 dengan talangan Rp 6,7 triliun, dan Citibank 2011 dengan transfer nasabah ke rekening pribadi relationship manager. Selain kerugian finansial langsung, fraud merusak kepercayaan publik yang jauh lebih mahal dipulihkan. Bank besar memproses jutaan transaksi per hari — setoran, tarikan, transfer, pembayaran — yang berarti peluang error dan fraud sangat besar jika kontrol lemah. Pertanyaan pemantik: bank dengan sistem IT canggih sekalipun masih bisa kena fraud besar. Mengapa? Karena fraud terjadi di celah kontrol prosedur dan manusia, bukan teknologi semata. Kasus BNI 2003 terjadi meski bank besar dengan sistem IT modern, karena lemahnya kontrol prosedural atas letter of credit. Inilah mengapa audit dan pengendalian internal bank jauh lebih ketat dari perusahaan biasa — tugas Anda sebagai auditor atau internal audit head adalah pagar terakhir melawan fraud dan error.

BLOK 1 · 1/4

Konsep Audit & Assurance

Pertanyaan diskusi: Apa perbedaan audit dan assurance? Apakah semua pekerjaan assurance adalah audit?

Definisi Audit & Assurance

Audit dan assurance adalah dua konsep terkait tapi berbeda — Anda harus tahu kapan menggunakan istilah mana.

Audit

Pemeriksaan sistematis oleh profesional independen (KAP) atas laporan keuangan
Tujuan: berikan opini kewajaran sesuai PSAK
Audit tahunan bank Indonesia wajib oleh KAP yang disetujui OJK
Jangkauan: seluruh laporan keuangan

Assurance (Lebih Luas dari Audit)

Jasa keyakinan atas subjek lain selain laporan keuangan
Contoh: sistem kontrol, sustainability report, model ECL, kepatuhan AML
Bank bisa dapat assurance atas sistem IT, proses tertentu
Standar pelaporan & tanggung jawab berbeda dari audit

Hubungan: audit ⊂ assurance. Standar acuan: SPAP Indonesia (sebut umum; verifikasi ke rules-reference untuk nomor spesifik PSA).

Audit dan assurance adalah dua konsep terkait tapi berbeda yang harus Anda kuasai sebagai calon auditor atau CFO bank. Audit: pemeriksaan sistematis oleh profesional independen atau Kantor Akuntan Publik atas laporan keuangan untuk memberikan opini kewajaran sesuai PSAK. Audit tahunan bank Indonesia wajib dilakukan oleh KAP yang disetujui OJK dengan syarat pengalaman perbankan dan partner bersertifikat. Jangkauan audit adalah seluruh laporan keuangan secara komprehensif. Assurance lebih luas dari audit — mencakup jasa keyakinan atas subjek lain selain laporan keuangan. Contoh: assurance atas sistem kontrol internal, sustainability report, model ECL, kepatuhan AML, atau sistem IT bank. Bank bisa mendapat assurance atas area tertentu yang tidak mencakup seluruh laporan keuangan. Hubungan matematis: audit adalah subset dari assurance. Standar acuan untuk audit di Indonesia adalah SPAP atau Standar Profesional Akuntan Publik yang berisi PSA — kita pakai nama umum di kelas ini, verifikasi ke rules-reference untuk nomor spesifik. Sebagai auditor bank, Anda harus jelas jenis engagement-nya karena standar pelaporan dan tanggung jawab berbeda antara audit dan assurance.

Tiga Jenis Assurance

Tiga tingkat assurance yang harus Anda bedakan — dari keyakinan tertinggi hingga temuan fakta tanpa opini.

Jenis	Tingkat Keyakinan	Bentuk Opini	Contoh Pemakaian Bank
Audit	Reasonable assurance (tinggi)	Opini positif: "laporan menyajikan secara wajar"	Audit tahunan laporan keuangan bank (wajib)
Review	Limited assurance (moderat)	Opini negatif: "tidak ada hal yang membuat kami percaya laporan tidak wajar"	Review laporan keuangan triwulanan
Agreed-Upon Procedures	No assurance	Hanya temuan fakta sesuai prosedur disepakati	AUP atas area tertentu (mis. saldo kredit khusus)

Perbedaan kunci: audit memberikan keyakinan tingkat tinggi; review hanya moderat; AUP tidak memberikan assurance sama sekali. Bank memerlukan ketiganya di area berbeda.

Tiga tingkat assurance yang harus Anda bedakan sebagai calon auditor atau CFO bank. Pertama, audit memberikan reasonable assurance — keyakinan tingkat tinggi tapi bukan absolute karena risiko deteksi masih ada. Bentuk opini positif: "laporan menyajikan secara wajar sesuai PSAK dalam semua hal yang material". Contoh pemakaian: audit tahunan laporan keuangan bank yang diwajibkan POJK. Kedua, review memberikan limited assurance — keyakinan moderat. Bentuk opini negatif: "tidak ada hal yang membuat kami percaya laporan tidak wajar". Contoh pemakaian: review laporan keuangan triwulanan antara audit tahunan. Ketiga, agreed-upon procedures atau AUP memberikan no assurance — hanya temuan fakta sesuai prosedur yang disepakati klien dan auditor. Contoh pemakaian: AUP atas area tertentu seperti saldo kredit khusus atau kepatuhan kovenant pinjaman. Perbedaan kunci: audit memberikan keyakinan tingkat tinggi; review hanya moderat; AUP tidak memberikan assurance sama sekali. Bank memerlukan ketiganya di area berbeda — audit tahunan, review triwulanan, AUP untuk area spesifik. Sebagai auditor, Anda harus jelas jenis engagement-nya karena standar PSA yang berlaku berbeda.

Standar Audit Perbankan

Auditor bank harus memenuhi syarat khusus dari OJK — kompleksitas bank menuntut kompetensi tinggi.

Empat Lapis Standar

SPAP Indonesia (PSA) — standar audit nasional
POJK audit internal bank — aturan fungsi internal audit
POJK akuntan publik bank — syarat KAP pengaudit bank
ISA — standar internasional, acuan global

Syarat KAP Auditor Bank

Pengalaman audit perbankan minimal
Partner bersertifikat khusus perbankan
Tim dengan kompetensi instrumen keuangan kompleks
Independensi ketat (rotasi partner, prohibisi layanan non-audit tertentu)

Catatan: nomor POJK/PSA diverifikasi ke rules-reference. Pemilihan KAP berkualifikasi = keputusan strategis penting bagi CFO bank.

Standar audit perbankan yang harus Anda kuasai sebagai auditor bank Indonesia. Empat lapis standar. Pertama, SPAP Indonesia atau Standar Profesional Akuntan Publik yang berisi PSA sebagai standar audit nasional. Kedua, POJK audit internal bank yang mengatur fungsi internal audit — struktur, pelaporan, kompetensi. Ketiga, POJK akuntan publik bank yang mengatur syarat KAP yang dapat mengaudit bank. Keempat, standar internasional ISA atau International Standards on Auditing yang menjadi acuan global. Auditor bank harus memenuhi syarat khusus dari OJK karena kompleksitas bank yang jauh di atas perusahaan non-keuangan. Syarat KAP auditor bank meliputi pengalaman audit perbankan minimal beberapa tahun, partner bersertifikat khusus perbankan, tim dengan kompetensi instrumen keuangan kompleks seperti derivatif dan ECL, serta independensi ketat dengan rotasi partner setiap beberapa tahun dan prohibisi layanan non-audit tertentu yang dapat mengancam independensi. Sebagai CFO bank, pemilihan KAP yang berkualifikasi adalah keputusan strategis penting karena kualitas audit memengaruhi kredibilitas laporan keuangan dan akses pasar modal. Catatan: nomor POJK dan PSA diverifikasi ke rules-reference untuk hindari kesalahan nomor di kelas.

Hitung dari Nol: Daftar Audit Internal Tahunan Bank X

Skenario: Anda sebagai kepala audit internal Bank X dengan 500 cabang, 30.000 karyawan, dan portofolio kredit 2 juta file. Susun rencana audit internal tahunan berbasis risiko.

Jenis Audit	Skop/Sampel	Frekuensi	SLA Penyelesaian Temuan
Audit cabang	100 cabang/tahun (rotasi 5 tahun)	Tahunan	—
IT audit	Core banking, cybersecurity, data center	Tahunan komprehensif	—
Kredit audit	Sampling 5.000 file dari 2 juta	Tahunan	—
Treasury audit	Aktivitas trading, hedging, derivatif	Kuartalan	—
Kepatuhan audit	KYC, AML, sanctions screening	Kuartalan	—
Semua jenis	—	—	Kritikal <30 hari · Non-kritikal <90 hari

Insight Operasional

5 Area Audit

Rencana berbasis risiko — area berisiko tinggi diaudit lebih sering; bank besar butuh tim audit ratusan orang

Mari praktik menyusun daftar audit internal tahunan Bank X sebagai kepala audit internal. Bank dengan 500 cabang, 30.000 karyawan, dan portofolio kredit 2 juta file. Audit cabang: 100 cabang per tahun dengan rotasi 5 tahun sehingga semua cabang tercakup dalam 5 tahun — itu 20 persen per tahun. IT audit: tahunan komprehensif mencakup core banking, cybersecurity, dan data center. Kredit audit: sampling 5.000 file dari total 2 juta file kredit — sampling berbasis risiko dengan fokus pada file berisiko tinggi. Treasury audit: kuartalan mengingat volatilitas tinggi aktivitas trading dan derivatif. Kepatuhan audit: kuartalan untuk AML, KYC, dan sanctions screening. SLA penyelesaian temuan: kritikal diselesaikan kurang dari 30 hari, non-kritikal kurang dari 90 hari. Sebagai kepala audit internal, Anda harus menyusun rencana berbasis risiko — area berisiko tinggi seperti treasury dan kepatuhan diaudit lebih sering daripada area berisiko rendah. Bank besar punya tim audit internal ratusan orang untuk menjaga seluruh skop. Sebagai analis, perhatikan temuan audit internal yang diungkap di annual report bank sebagai sinyal kualitas pengendalian internal.

BLOK 2 · 2/4

Audit Internal Bank

Pertanyaan diskusi: Mengapa audit internal bank harus melapor langsung ke Komite Audit/Dewan Komisaris, bukan ke Direksi?

Fungsi Audit Internal Bank

Audit internal adalah mata-mata independen yang menjaga integritas operasional bank — bersifat konsultatif + assurance untuk internal.

Lima Fungsi Inti

Evaluasi efektivitas pengendalian internal
Evaluasi kepatuhan terhadap regulasi OJK & internal
Evaluasi kinerja operasi (efisiensi & efektivitas)
Investigasi fraud & whistleblowing
Rekomendasi perbaikan ke manajemen

Karakteristik Unik

Bersifat konsultatif (membantu manajemen) + assurance (beri keyakinan)
Pelapor fungsional: Komite Audit (independen)
Pelapor administratif: Direktur Utama
Akses tanpa batas ke seluruh operasi bank

Perbedaan audit internal vs eksternal: internal = konsultatif untuk manajemen; eksternal = opini untuk publik. Tujuan & audiens berbeda.

Fungsi audit internal bank yang harus Anda pahami sebagai calon internal audit head. Lima fungsi inti. Pertama, evaluasi efektivitas pengendalian internal — apakah sistem kontrol cukup mencegah error dan fraud. Kedua, evaluasi kepatuhan terhadap regulasi OJK dan internal bank. Ketiga, evaluasi kinerja operasi — apakah proses bisnis efisien dan efektif. Keempat, investigasi fraud dan whistleblowing dari pegawai atau pihak ketiga. Kelima, rekomendasi perbaikan ke manajemen berdasarkan temuan audit. Karakteristik unik audit internal bank: bersifat konsultatif membantu manajemen sekaligus assurance memberikan keyakinan atas efektivitas kontrol. Struktur pelaporan: secara fungsional ke Komite Audit yang independen dari direksi, secara administratif ke Direktur Utama. Akses tanpa batas ke seluruh operasi bank termasuk dokumen rahasia. Perbedaan audit internal vs eksternal: audit internal bersifat konsultatif untuk manajemen internal, sementara audit eksternal memberikan opini untuk publik dan investor. Tujuan dan audiens berbeda sehingga keduanya saling melengkapi. Sebagai kepala audit internal bank, Anda adalah mata-mata independen yang menjaga integritas operasional.

Skope Audit Internal Bank

Skope audit internal bank yang luas mencerminkan kompleksitas operasi bank modern.

Skope 1-2

Audit cabang — operasional kantor cabang, kunjungan rutin, validasi prosedur
Audit IT — core banking, cybersecurity, data center, application security

Skope 3-4

Audit kredit — sampling portofolio, validasi CKPN & dokumentasi
Audit treasury — aktivitas trading, hedging, derivatif

Skope 5

Audit kepatuhan — KYC, AML, anti-fraud, sanctions screening
Termasuk pemantauan transaksi mencurigakan (STR/LTKM)
Audit ESG dan tata kelola semakin penting

Bank besar punya tim audit internal ratusan orang untuk menjaga seluruh skope. Sebagai analis, perhatikan temuan audit internal di annual report bank.

Skope audit internal bank yang luas ini mencerminkan kompleksitas operasi bank modern. Lima area skope utama. Pertama, audit cabang — kunjungan rutin ke kantor cabang untuk validasi operasi, cash count, dan kepatuhan prosedur. Kedua, audit IT — sistem core banking, keamanan cyber, data center, application security, dan disaster recovery. Ketiga, audit kredit — sampling portofolio kredit untuk validasi CKPN, dokumentasi agunan, dan kepatuhan 5C. Keempat, audit treasury — aktivitas trading, hedging, derivatif yang memiliki risiko pasar dan kompleksitas tinggi. Kelima, audit kepatuhan — KYC atau Know Your Customer, AML atau Anti-Money Laundering, anti-fraud, sanctions screening, termasuk pemantauan transaksi mencurigakan atau STR dan LTKM yang dilaporkan ke PPATK. Audit ESG dan tata kelola juga semakin penting seiring trend keberlanjutan. Bank besar dengan operasi nasional punya tim audit internal ratusan orang untuk menjaga seluruh skope — ini investasi besar yang menunjukkan keseriusan bank dalam pengendalian internal. Sebagai analis, perhatikan temuan audit internal yang diungkap di annual report bank sebagai indikator kualitas pengendalian internal. Bank yang transparan mengungkap temuan dan remediasinya.

BLOK 3 · 3/4

Audit Eksternal & Opini

Pertanyaan diskusi: Apa dampak opini "wajar dengan pengecualian" terhadap reputasi bank dan kepercayaan publik?

Lima Tugas Auditor Eksternal

Auditor eksternal menjalankan lima tugas sistematis untuk menerbitkan opini atas laporan keuangan bank.

Tahap	Aktivitas	Output Utama
1. Perencanaan	Audit berbasis risiko: fokus area berisiko tinggi (kredit bermasalah, instrumen kompleks)	Audit plan + risk assessment
2. Pemahaman kontrol	Memahami pengendalian internal bank untuk menilai reliability	Walkthrough + kontrol test
3. Pengujian transaksi & saldo	Sampling — konfirmasi DPK, validasi CKPN	Audit evidence
4. Bukti audit cukup	Konfirmasi pihak ketiga, observasi fisik, recalculation	Sufficient appropriate evidence
5. Penerbitan opini	Berdasarkan bukti yang diperoleh — empat jenis opini	Auditor's report

Sebagai CFO bank, kerja sama dengan auditor eksternal adalah kunci untuk opini yang baik. Sebagai investor, opini auditor adalah input penting tapi bukan satu-satunya.

Lima tugas auditor eksternal bank yang harus Anda pahami sebagai CFO atau investor. Pertama, merencanakan audit berbasis risiko — fokus pada area berisiko tinggi seperti kredit bermasalah, instrumen keuangan kompleks, dan pengungkapan kompleks seperti ECL. Outputnya adalah audit plan dan risk assessment. Kedua, memahami pengendalian internal bank untuk menilai apakah dapat diandalkan. Outputnya adalah walkthrough dan kontrol test. Ketiga, menguji transaksi dan saldo dengan sampling — konfirmasi DPK ke nasabah, validasi CKPN per kolektibilitas, observasi fisik agunan. Outputnya adalah audit evidence. Keempat, mendapatkan bukti audit cukup dan tepat — termasuk konfirmasi pihak ketiga seperti nasabah bank dan kreditor, observasi fisik seperti cash count dan inventaris agunan, serta recalculation seperti penghitungan ECL independen. Outputnya adalah sufficient appropriate evidence. Kelima, menerbitkan opini audit berdasarkan bukti yang diperoleh — empat jenis opini akan kita definisikan di slide berikut. Outputnya adalah auditor's report. Sebagai CFO bank, kerja sama dengan auditor eksternal adalah kunci untuk opini yang baik. Sebagai investor, opini auditor adalah input penting tapi bukan satu-satunya — selalu lakukan analisis mandiri sebagai validasi silang.

Empat Jenis Opini Audit

Empat jenis opini audit yang harus Anda kuasai — dari terbaik hingga terburuk, masing-masing dengan implikasi besar pada bank.

Opini Baik & Sedang

Unqualified (Wajar Tanpa Pengecualian) — opini terbaik; laporan wajar sesuai PSAK
Qualified (Wajar dengan Pengecualian) — ada pengecualian tapi tidak material menyeluruh
Bank sehat harus berusaha unqualified setiap tahun

Opini Buruk

Adverse (Tidak Wajar) — laporan misleading secara material
Disclaimer (Tidak Menyatakan Pendapat) — auditor tidak dapat bukti cukup
Qualified atau adverse = sinyal masalah serius → kepercayaan turun, OJK intervensi

Sebagai investor: periksa opini auditor minimal 5 tahun terakhir. Pola qualified berulang menandakan masalah struktural pada bank.

Empat jenis opini audit yang harus Anda kuasai sebagai CFO bank atau investor. Pertama, Unqualified atau Wajar Tanpa Pengecualian — opini terbaik yang menunjukkan laporan keuangan wajar sesuai PSAK dalam semua hal yang material. Bank Indonesia yang sehat harus berusaha mendapat unqualified setiap tahun. Kedua, Qualified atau Wajar dengan Pengecualian — ada pengecualian pada satu atau beberapa pos tapi tidak material terhadap laporan secara keseluruhan. Contoh: pengecualian pada CKPN yang understated dalam jumlah tertentu. Ketiga, Adverse atau Tidak Wajar — laporan misleading secara material; opini terburuk yang menunjukkan laporan tidak dapat dipercaya. Keempat, Disclaimer atau Tidak Menyatakan Pendapat — auditor tidak dapat bukti audit cukup untuk memberikan opini, biasanya karena dokumentasi bank tidak lengkap atau akses dibatasi. Bank yang dapat qualified atau adverse menghadapi sinyal masalah serius yang bisa memicu kepercayaan turun, saham anjlok 5-50 persen, atau bahkan tindakan OJK seperti pembatasan operasi. Sebagai investor, periksa opini auditor selama minimal 5 tahun terakhir — pola qualified berulang menandakan masalah struktural pada bank, bukan insiden sekali.

Hitung dari Nol: Skenario Opini & Dampak Pasar

Skenario: Anda sebagai investor institusional mempertimbangkan investasi di Bank X yang menerima empat jenis opini berbeda. Estimasi dampak tiap skenario pada saham, biaya pinjaman, dan akses pasar modal.

Skenario Opini	Penyebab	Dampak Saham	Dampak Operasional
A. Unqualified	Laporan wajar sesuai PSAK	Stabil / rally kecil	Pasar percaya; biaya pinjaman rendah
B. Qualified	CKPN understated (mis. 20% lebih rendah)	Turun 5-10%	OJK mungkin tanya; rating agency waspada
C. Adverse	Fraud ditemukan; laporan misleading	Jatuh 20-50%	OJK intervensi; potensi suspensi
D. Disclaimer	Dokumentasi tidak cukup; akses dibatasi	Turun 10-20%	Bank harus remediasi; peringatan OJK

Kesimpulan

Opini = Indikator

Opini audit adalah indikator integritas terkuat dari pihak eksternal — investor harus periksa minimal 5 tahun

Mari lihat dampak tiap jenis opini pada bank dari perspektif investor institusional. Skenario A unqualified: laporan wajar sesuai PSAK — dampak saham stabil atau rally kecil, pasar percaya, biaya pinjaman rendah, akses pasar modal lancar. Skenario B qualified karena CKPN understated sekitar 20 persen lebih rendah dari seharusnya: dampak saham turun 5-10 persen, OJK mungkin mengajukan pertanyaan supervisory, rating agency waspada dan mungkin menurunkan peringkat. Skenario C adverse karena fraud ditemukan: krisis kepercayaan publik, saham jatuh 20-50 persen, OJK intervensi dengan potensi suspensi operasi atau penggantian direksi, bank mungkin tidak bisa akses pasar modal sama sekali. Skenario D disclaimer karena dokumentasi tidak cukup atau akses dibatasi: saham turun 10-20 persen, bank harus menjalani remediasi dengan deadline, peringatan OJK. Sebagai CFO bank, pekerjaan Anda adalah memastikan tidak ada skenario B, C, atau D dengan memelihara pengendalian internal dan dokumentasi yang kuat. Sebagai investor, opini auditor adalah indikator integritas terkuat dari pihak eksternal — periksa minimal 5 tahun terakhir untuk melihat pola, bukan hanya titik waktu tunggal.

BLOK 4 · 4/4

Pengendalian Internal & Fraud

Pertanyaan diskusi: Apa pencegah fraud paling efektif di bank: teknologi, prosedur, atau budaya etika?

COSO Framework: Lima Komponen Pengendalian Internal

COSO adalah standar global untuk pengendalian internal yang diadopsi POJK perbankan Indonesia — lima komponen yang harus ada dan efektif.

Komponen 1-2

1. Control Environment — budaya, integritas, tone from the top
2. Risk Assessment — identifikasi & analisis risiko yang menghalangi tujuan

Komponen 3-4

3. Control Activities — kebijakan & prosedur spesifik (segregation of duties, authorization, reconciliation)
4. Information & Communication — sistem informasi yang menangkap & menyampaikan

Komponen 5

5. Monitoring Activities — pengawasan berkelanjutan atas efektivitas kontrol
Termasuk: audit internal berkelanjutan + evaluasi temperatur
Deficiencies dilaporkan ke manajemen + Komite Audit

Sebagai auditor, Anda memvalidasi seluruh lima komponen ada dan efektif. Kelemahan di satu komponen (mis. Control Environment) bisa menjalar ke komponen lain.

COSO Framework dengan lima komponen pengendalian internal yang harus Anda kuasai sebagai auditor atau internal audit head bank. Pertama, Control Environment — budaya organisasi, integritas pegawai, dan tone from the top yang ditetapkan pimpinan tertinggi. Komponen ini adalah fondasi semua kontrol lain; bank dengan tone from the top yang lemah cenderung punya masalah di semua komponen lain. Kedua, Risk Assessment — identifikasi dan analisis risiko yang menghalangi pencapaian tujuan entitas. Bank wajib punya proses identifikasi risiko sistematis per area bisnis. Ketiga, Control Activities — kebijakan dan prosedur spesifik seperti segregation of duties yang memisahkan otorisasi, eksekusi, dan rekonsiliasi; authorization hierarki berdasarkan nilai; reconciliation rutin antar sistem. Keempat, Information and Communication — sistem informasi yang menangkap dan menyampaikan informasi relevan ke pihak yang tepat tepat waktu, baik vertikal ke manajemen maupun horizontal antar unit. Kelima, Monitoring Activities — pengawasan berkelanjutan atas efektivitas kontrol, termasuk audit internal berkelanjutan dan evaluasi temperatur kontrol. Deficiencies dilaporkan ke manajemen dan Komite Audit untuk remediasi. COSO adalah standar global untuk pengendalian internal yang diadopsi POJK perbankan Indonesia. Sebagai auditor, Anda memvalidasi seluruh lima komponen ada dan efektif. Kelemahan di satu komponen, terutama Control Environment, bisa menjalar ke komponen lain.

Fraud Triangle & Kasus Bank

Fraud Triangle dari Cressey (1953) menjelaskan tiga elemen yang berkonvergensi menyebabkan fraud — fokus pada elimination opportunity yang paling bisa dikontrol.

1. Pressure

Tekanan finansial: hutang, gambling
Tekanan karier: target mustahil
Tekanan sosial: gaya hidup

2. Opportunity

Celah pengendalian internal
Akses tak terbatas ke aset
Segregation of duties lemah

3. Rationalization

"Saya hanya pinjam"
"Saya underpaid"
"Semua orang melakukan"

Kasus BNI 2003 (LC fictive, Rp 1,7 T) & Citibank 2011 (transfer nasabah): ketiganya hadir. Eliminasi opportunity = fokus utama auditor & internal audit.

Fraud Triangle dari Cressey 1953 menjelaskan tiga elemen yang berkonvergensi menyebabkan fraud pada lembaga keuangan. Pertama, Pressure — tekanan finansial seperti hutang pribadi, gambling, atau tekanan karier seperti target mustahil yang ditetapkan manajemen. Tekanan sosial seperti gaya hidup konsumtif juga termasuk. Kedua, Opportunity — celah pengendalian internal yang memungkinkan fraud terjadi tanpa terdeteksi, akses tak terbatas ke aset bank, segregation of duties yang lemah memungkinkan satu orang mendominasi transaksi dari otorisasi hingga rekonsiliasi. Ketiga, Rationalization — pembenaran etis di pikiran pelaku seperti "saya hanya pinjam akan saya kembalikan", "saya underpaid jadi pantas dapat kompensasi tambahan", atau "semua orang melakukan hal ini di industri". Kasus BNI 2003 dengan kerugian Rp 1,7 triliun dari letter of credit fictive: pelaku punya pressure berupa target, opportunity berupa lemahnya kontrol LC, dan rationalization berupa rasa underpaid. Kasus Citibank 2011 transfer nasabah ke rekening pribadi relationship manager: pelaku punya akses ke dana nasabah sebagai opportunity, target pendapatan sebagai pressure, dan rationalization. Sebagai auditor dan internal audit head, fokus pada elimination opportunity karena itu satu-satunya elemen yang bisa dikontrol secara langsung oleh bank lewat perbaikan pengendalian internal. Pressure dan rationalization sulit dikontrol karena berasal dari luar bank.

Studi Kasus: Fraud Bank Indonesia & Pelajaran

Tiga kasus fraud bank Indonesia dengan profil berbeda menunjukkan kompleksitas deteksi dan pencegahan.

Kasus	Modus Operandi	Pelajaran Pencegahan
BNI 2003 (Rp 1,7 T)	Letters of credit fictive ke perusahaan afiliasi; skema lintas negara	Validasi counterparty + dual approval LC; konfirmasi pihak ketiga
Century 2008 (talangan Rp 6,7 T)	Indikasi manipulasi CAPEX, pengungkapan risiko tidak akurat	Disclosure controls + whistleblowing; Komite Audit independen aktif
Citibank 2011	Relationship manager transfer dana nasabah ke rekening pribadi	Segregation of duties; monitoring transaksi anomaly; job rotation RM

Tiga pelajaran kunci: (1) Validasi counterparty adalah pagar pertama; (2) Disclosure controls mencegah manipulasi pelaporan; (3) Segregation of duties + monitoring anomaly adalah kontrol operasional terkuat.

Tiga kasus fraud bank Indonesia dengan profil berbeda menunjukkan kompleksitas deteksi dan pencegahan. Kasus BNI 2003 dengan kerugian Rp 1,7 triliun: modus operandi adalah letters of credit fictive ke perusahaan afiliasi dengan skema lintas negara yang memanfaatkan lemahnya validasi counterparty. Pelajaran pencegahan: validasi counterparty yang ketat, dual approval untuk LC bernilai besar, dan konfirmasi pihak ketiga ke beneficiary. Kasus Century 2008 dengan talangan Rp 6,7 triliun: indikasi manipulasi CAPEX dan pengungkapan risiko yang tidak akurat membuat regulator salah menilai kondisi bank. Pelajaran pencegahan: disclosure controls yang kuat, whistleblowing yang efektif, dan Komite Audit independen yang aktif mengawasi pelaporan. Kasus Citibank 2011: relationship manager menyalahgunakan kepercayaan nasabah untuk transfer dana ke rekening pribadi. Pelajaran pencegahan: segregation of duties yang memisahkan sales dari back-office, monitoring transaksi anomaly yang otomatis, dan job rotation relationship manager untuk mencegah hubungan terlalu dekat dengan nasabah. Tiga pelajaran kunci: pertama, validasi counterparty adalah pagar pertama melawan fraud LC dan trade finance. Kedua, disclosure controls mencegah manipulasi pelaporan keuangan. Ketiga, segregation of duties dan monitoring transaksi anomaly adalah kontrol operasional terkuat untuk mencegah fraud transaksi. Sebagai manajer risiko, investasi di teknologi monitoring dan prosedur kontrol adalah investasi langsung di ketahanan bank terhadap fraud.

Ringkasan Kunci Pertemuan 13

Audit & Assurance

Audit ⊂ assurance — tiga tingkat: audit (reasonable), review (limited), AUP (no assurance)

4 Jenis Opini

Unqualified (terbaik) · qualified · adverse · disclaimer — dampak besar pada saham & reputasi

COSO & Fraud Triangle

5 komponen COSO + 3 elemen fraud (pressure-opportunity-rationalization) — eliminasi opportunity jadi fokus

Bawa tiga lensa ini (hierarki assurance · 4 opini · COSO+Fraud Triangle) sebagai peta literasi audit.

Persiapan P14: pilih satu bank Indonesia untuk analisis terintegrasi menyeluruh dengan metodologi 7-langkah. Tugas mini: telaah opini auditor satu bank selama 5 tahun.

Sebagai penutup, saya ingin menegaskan lima pesan kunci yang akan menjadi lensa menuju pertemuan studi kasus terakhir. Pertama, audit adalah subset dari assurance yang lebih luas — tiga tingkat assurance adalah audit dengan reasonable assurance, review dengan limited assurance, dan agreed-upon procedures dengan no assurance. Kedua, audit internal bersifat konsultatif untuk internal manajemen sementara audit eksternal memberikan opini untuk publik dan investor — tujuan dan audiens berbeda sehingga keduanya saling melengkapi. Ketiga, empat jenis opini audit adalah unqualified sebagai terbaik, qualified dengan pengecualian, adverse untuk laporan misleading, dan disclaimer ketika bukti tidak cukup — masing-masing dengan dampak besar pada harga saham dan reputasi bank. Keempat, COSO Framework memiliki lima komponen pengendalian internal: Control Environment, Risk Assessment, Control Activities, Information and Communication, dan Monitoring Activities — semuanya harus ada dan efektif di bank. Kelima, fraud triangle dari Cressey 1953 terdiri dari pressure, opportunity, dan rationalization — eliminasi opportunity adalah fokus utama auditor dan internal audit karena dua elemen lain sulit dikontrol dari sisi bank. Bila Anda menguasai lima ini, Anda siap untuk P14 studi kasus terintegrasi yang akan menggabungkan seluruh konsep P1-P13 dalam analisis bank nyata. Persiapan: pilih satu bank Indonesia yang akan menjadi fokus analisis komprehensif. Tugas mini: telaah opini auditor eksternal satu bank selama 5 tahun terakhir — apakah konsisten unqualified atau ada pengecualian? Kuis singkat di awal P14 untuk menguji penguasaan Anda atas lima poin hari ini.