Mengapa Kontrol Internal Sering Kalah oleh Operasional?

Sebanyak 89 persen institusi di Indonesia mengubah metode pencegahan kecurangan hanya setelah kecurangan itu terjadi. Sisanya, 11 persen, tidak mengubah apa pun.

Gambar 1: Kapan perusahaan memperbaiki metode pencegahan fraud?

Sumber: ACFE Indonesia Chapter, Survei Fraud Indonesia 2025, Juni 2025.

Angka tersebut berasal dari Survei Fraud Indonesia 2025, riset yang disusun Association of Certified Fraud Examiners (ACFE) Indonesia Chapter dengan 417 responden. Mayoritas responden berasal dari kalangan auditor internal, pemeriksa kecurangan, dan auditor eksternal yang menangani kasus secara langsung. 

Kerangka surveinya mengikuti Report to the Nations milik ACFE Global, sehingga hasilnya dapat dibandingkan dengan temuan lintas negara. 

Interpretasi yang paling umum terhadap angka tersebut sering kali berujung pada satu simpulan, yakni rendahnya kesadaran. Organisasi dianggap belum memahami risiko, sehingga solusi standar yang selalu ditawarkan berputar pada sosialisasi, pelatihan, dan penambahan kebijakan. 

Kelemahannya terletak pada asumsi yang menopang interpretasi tersebut, yaitu bahwa perusahaan bergerak lambat karena tidak tahu.

Muhammad Almaz Rifqi Satwika menawarkan pembacaan yang berbeda atas angka tersebut. Ia menghabiskan lima tahun sebagai auditor eksternal di PwC Indonesia, memeriksa pengendalian internal di berbagai industri, dari perkebunan sampai perhotelan dan telekomunikasi. 

Kini ia menjabat Assistant Vice President Fixed Asset Accounting di PT Indosat Tbk, berada di sisi sebaliknya sebagai pihak yang harus menjalankan kontrol tersebut.

“Lebih repot sebagai yang menjalankan daripada yang me-review,” ujarnya.

Dari posisi tersebut, Almaz melihat keterlambatan perbaikan lebih sebagai hasil pertimbangan daripada ketidaktahuan. Organisasi menimbang biaya menjalankan kontrol, membandingkannya dengan biaya menunggu temuan, lalu mengambil keputusan yang secara ekonomi masuk akal bagi mereka. 

Perbedaan dua pembacaan itu jauh dari perdebatan akademis, karena keduanya mengarahkan anggaran dan perhatian ke tempat yang berbeda. Jika akar persoalannya adalah kesadaran, solusinya jelas, yaitu komunikasi dan edukasi. 

Namun, realitasnya, jika hambatannya adalah kalkulasi biaya dan kapasitas operasional, imbauan semanis apa pun tidak akan mengubah keputusan di lapangan.

Kontrol Kalah Ketika Biaya Menjalankannya Terasa Lebih Besar

Penjelasan umum tentang kegagalan kontrol biasanya berhenti di dua kemungkinan. Perusahaan belum sadar, atau ada orang yang berniat jahat.

Almaz di sini menunjuk kemungkinan ketiga yang jarang masuk agenda rapat. Berdasarkan pengamatannya di berbagai organisasi sepanjang karier, penundaan perbaikan lebih sering lahir dari keterbatasan kapasitas ketimbang dari ketidaktahuan atas risikonya.

Setiap perbaikan kontrol menuntut ada orang yang ditugaskan secara khusus, dan hampir selalu membawa tambahan biaya. Ketika keduanya tidak tersedia, risiko yang sudah teridentifikasi bergeser ke daftar tunggu.

“Saat kita mau bicara kontrol, bicara improvement, pasti harus ada orang yang di-assign, harus ada orang yang benar-benar ditugaskan untuk itu. Belum lagi ada potensi biaya,” katanya.

Konsekuensi penundaan tersebut, menurut Almaz, umumnya sudah diperkirakan sejak awal. Organisasi menerima kemungkinan persoalan itu muncul sebagai temuan audit internal, lalu menanganinya sekaligus pada saat itu. Logikanya ia rangkum dalam satu kalimat: minimal kelabakannya sekali, tidak harus kelabakan tiga kali, karena resource-nya juga terbatas.

Kalimat tersebut lebih tepat dibaca sebagai keputusan alokasi sumber daya daripada pengakuan kelalaian. Memperbaiki kontrol menuntut biaya yang berjalan terus, berupa orang yang ditugaskan dan waktu yang terpakai setiap bulan, sementara menunggu temuan membuat organisasi menghadapi biaya pada saat masalah sudah muncul.

Ketika sumber daya terbatas, pekerjaan yang hasilnya baru terasa saat risiko berhasil dicegah dapat kalah prioritas dari pekerjaan operasional yang harus selesai hari itu.

Pola itulah yang sebenarnya terbaca pada angka 89 persen tadi. Perbaikan menumpuk setelah kejadian karena pada titik tersebut biaya mengabaikan kontrol sudah berubah dari risiko yang abstrak menjadi masalah yang harus segera ditangani.

Harga Kontrol Terlihat dalam Langkah Kerja!

Resistensi terhadap kontrol jarang berbentuk penolakan terbuka. Bentuknya jauh lebih sederhana, dan Almaz mengukurnya dengan satuan yang sangat konkret.

“Yang awalnya kita bisa melakukan sesuatu cuma perlu tiga langkah, karena ada kontrol kita harus melakukan lima langkah,” ujarnya.

Dua langkah tambahan memang terdengar sepele di atas kertas. Namun, jika dikalikan dengan ratusan transaksi per bulan dan puluhan orang yang menjalankannya, makan beban tersebut akan terasa sepele.

Beban tersebut juga tidak selalu terasa sebagai biaya yang tercatat dalam anggaran. Sering kali bentuknya berupa waktu tambahan, pekerjaan administratif, atau perhatian yang harus dialihkan dari tugas utama.

Hitungannya menjadi semakin timpang karena beban dan manfaatnya jatuh ke pihak yang berbeda. Langkah tambahan ditanggung oleh orang yang menjalankan, setiap hari, sementara manfaatnya diterima perusahaan pada waktu yang belum tentu datang, dalam bentuk kejadian buruk yang tidak terjadi.

Manfaat semacam itu memang sulit dilihat, dan Almaz mengutip bahwa orang risiko tidak dicari siapa pun ketika semuanya aman, tetapi langsung menjadi pahlawan begitu ada temuan.

Ia sendiri menempatkan pekerjaan tersebut pada posisi yang tinggi. Penilaian risiko ia gambarkan sebagai upaya mengubah sesuatu yang abstrak menjadi terhitung, sehingga organisasi dapat memutuskan apakah sebuah risiko layak diterima, dialihkan, atau dimitigasi.

Namun, penilaian risiko tidak otomatis membuat kontrol menjadi prioritas operasional.

“Terkadang orang-orang yang bukan orang risk menjadikan itu prioritas terakhir. Bahkan tidak jadi KPI. Karena, kalau bukan jadi KPI, pasti reluctant untuk mengerjakan.” katanya.

Ketimpangan tersebut muncul ke permukaan setiap kali audit internal meminta penambahan kontrol. Menurut Almaz, unit yang diminta biasanya membalas dengan pertanyaan soal anggaran orang, dan pertanyaan tersebut jarang terjawab.

“Kalau mau nambah kontrol, mau bayarin nambah orang? Biasanya kontrol kalau di-challenge seperti itu tidak bisa bicara apa-apa.”

Pada titik ini, persoalannya bukan lagi apakah kontrol diperlukan. Persoalannya adalah siapa yang mengerjakannya, berapa banyak waktu yang dibutuhkan, dan apakah organisasi sudah menyediakan kapasitas untuk menjalankannya.

Ketika Standar Kontrol Bertemu Realitas Proses

Ada satu penjelasan struktural yang jarang muncul dalam pembahasan kepatuhan, dan Almaz menyampaikannya dari pengalaman berdiri di kedua sisi meja.

Audit eksternal dan pengendalian internal memiliki tujuan serta cara kerja yang berbeda. Auditor eksternal menggunakan materiality sebagai salah satu dasar untuk menilai apakah salah saji dapat memengaruhi kewajaran laporan keuangan. Sementara itu, pengendalian internal berfokus pada apakah proses berjalan sesuai rancangan kontrol yang ditetapkan. Pengendalian internal justru tidak mengenal garis semacam itu. 

“Kalau orang internal control, seribu rupiah pun akan dipermasalahkan. Tidak ada basis materialitas. Kamu salah, akan dicari, seribu itu kenapa?” ungkapnya.

Almaz menggambarkan keduanya sebagai dua cara pandang yang memang challenging untuk bertemu. Diskusi dengan auditor eksternal berjalan di atas ambang yang disepakati, sedangkan diskusi dengan pengendalian internal berjalan tanpa ambang sama sekali.

Tabel 1: Dua pengendalian yang berjalan bersamaan di satu perusahaan

Sumber: Wawancara dengan M. Almaz Rifqi Satwika, CA, Agustus 2026.

Perbedaan tersebut menjelaskan friksi yang selama ini terlanjur dianggap sebagai persoalan ego antardivisi. Tim keuangan dan tim operasi sering merasa berhadapan bukan karena salah satunya bekerja keliru, melainkan karena keduanya bekerja benar menurut kerangka yang berbeda.

Bagi orang yang menjalankan proses setiap hari, perbedaan tersebut dapat terasa sebagai tambahan pekerjaan yang terus muncul.

Beban itu berpindah dari musiman menjadi bulanan sejak internal control over financial reporting atau ICoFR diberlakukan. Almaz menyebut ICoFR sebagai daftar periksa yang disusun bersama konsultan pada tahap awal, dijalankan setiap kali pelaporan, lalu diaudit terpisah dari audit laporan keuangan.

Yang menarik justru bentuk bukti yang diminta. Untuk membuktikan sebuah persetujuan benar terjadi, yang dikumpulkan sering kali berupa tangkapan layar surel.

Organisasi yang sudah menggunakan sistem perencanaan sumber daya perusahaan sekalipun masih dapat mengumpulkan bukti kepatuhan dalam bentuk tangkapan layar (screen capture) dari kotak masuk jika persetujuan berlangsung di luar alur transaksi. Sistemnya sendiri tidak bermasalah, tetapi jejak persetujuannya berada di luar sistem transaksi.

Karena itu, perusahaan yang ingin menutup celah tersebut biasanya mulai dengan menata audit trail agar terbentuk sendiri saat transaksi berlangsung.

Pro Tip: Cara cepat menguji kualitas jejak kontrol Anda

Hitung berapa banyak bukti kepatuhan bulanan perusahaan Anda yang berbentuk screen capture atau berkas yang disusun manual setelah kejadian. Semakin besar porsinya, semakin banyak waktu dan tenaga yang perlu dialokasikan untuk menjalankan kontrol tersebut setiap bulan.

Baca juga: 10 Rekomendasi Audit Trail Software Terbaik untuk Bisnis

Saat Kontrol Berubah Menjadi Pekerjaan Administratif

Contoh screen capture email menunjukkan satu persoalan yang sering luput dalam pembahasan kontrol: perusahaan dapat memiliki sistem dan kebijakan yang baik, tetapi proses pembuktiannya tetap berlangsung secara manual.

Artinya, digitalisasi proses belum tentu membuat kontrol berjalan secara otomatis jika persetujuan atau bukti kepatuhan masih berlangsung di luar workflow transaksi.

Di sinilah biaya kontrol mulai terasa oleh operasional. Orang tetap harus meminta persetujuan, mencari bukti, menyimpan dokumen, lalu mengumpulkannya kembali ketika pemeriksaan berlangsung.

Jejak audit yang terbentuk otomatis saat transaksi berjalan dapat mengurangi pekerjaan administratif tersebut.

Aturannya Lengkap, Implementasinya yang Berbeda-beda

Ketika ditanya akar persoalan yang lebih sering ia temui, kebijakan yang belum memadai atau kebijakan yang sudah memadai tetapi penyimpangannya tidak terlihat, Almaz memilih yang kedua tanpa ragu.

Menurut penilaiannya, kebijakan di kebanyakan perusahaan sudah cukup rinci dan kuat. Perbedaan justru muncul pada cara tiap orang menafsirkan aturan yang sama serta pada mutu dokumentasi yang menyertainya.

Bahkan, data nasional bergerak ke arah yang sama. Survei Fraud Indonesia 2025 memang menempatkan kurangnya pengendalian internal sebagai penyebab tertinggi dengan 39 persen, tetapi dua penyebab berikutnya tidak berkaitan dengan ketiadaan aturan.

Kurangnya keteladanan pimpinan menyumbang 23 persen, sementara pengabaian terhadap pengendalian yang sudah ada menyumbang 16 persen.

Gambar 2: Kelemahan pengendalian yang memicu fraud di Indonesia

Sumber: ACFE Indonesia Chapter, Survei Fraud Indonesia 2025, Juni 2025.

Polanya konsisten sampai ke tingkat global. Laporan ACFE Occupational Fraud 2026, yang menganalisis 2.402 kasus di 143 negara, menyimpulkan tiga kelemahan bersama-sama menyumbang 70 persen kasus, yaitu ketiadaan pengendalian, pengabaian atas pengendalian yang sudah ada, dan tidak adanya review manajemen. 

Laporan yang sama mencatat rata-rata skema berjalan sekitar dua belas bulan sebelum akhirnya ditemukan.

Almaz menggambarkan cara pengabaian itu bekerja lewat pola yang lazim pada masa sebelum bukti digital menjadi standar. Kebijakan penggantian biaya perjalanan ketika itu memperbolehkan karyawan mencantumkan nominal tanpa melampirkan bukti, selama nilainya berada dalam rentang tarif yang wajar.

Biaya sebenarnya kerap lebih rendah karena moda transportasi yang dipakai berbeda dari asumsi kebijakan. Selisihnya kecil dan berulang, sehingga tidak pernah tertangkap pada pemeriksaan per transaksi. 

Aturannya sendiri tidak dilanggar secara terbuka, dan yang terjadi adalah pemanfaatan ruang tafsir dengan patokan sederhana bahwa nominal yang dilaporkan masih terlihat wajar.

Bagian paling penting dari pola itu terletak pada cara praktik tersebut akhirnya terlihat. Tidak ada persetujuan yang menolak, dan tidak ada pemeriksaan dokumen yang menangkap. Anomali baru muncul ketika manajemen membaca pola pengeluaran secara menyeluruh, lalu menyadari total biaya transportasi tetap tinggi padahal kebiasaan tim sudah berubah.

Kontrol yang akhirnya bekerja bukan lapisan persetujuan tambahan, melainkan kemampuan membaca pola dari data yang sudah terkumpul.

Ketika Operasional Masih Bergantung pada Deteksi Manual

Pengamatan Almaz tadi terdengar seperti anekdot, tetapi data nasional memperlihatkan bahwa kondisi itu justru normal di Indonesia.

Survei Fraud Indonesia 2025 memetakan pemicu pertama terungkapnya kecurangan, dan hasilnya didominasi manusia. Pengaduan menempati posisi teratas dengan 53,24 persen, disusul audit internal 19,18 persen serta pemeriksaan dokumen 7,43 persen.

Bagian bawah daftar itulah yang mengubah cara membaca keseluruhannya. Rekonsiliasi akun hanya menyumbang 1,92 persen, review oleh manajemen 1,44 persen, dan otomasi transaksi 0,72 persen.

Gambar 3: Pemicu kasus fraud pertama kali terdeteksi di Indonesia

Sumber: ACFE Indonesia Chapter, Survei Fraud Indonesia 2025, Juni 2025.

Angka tersebut menunjukkan bahwa deteksi dalam survei masih banyak bergantung pada mekanisme yang membutuhkan tindakan manusia, sementara otomasi transaksi menyumbang porsi yang jauh lebih kecil.

Konsekuensi bisnisnya bertumpuk dari situ. Deteksi yang bergantung pada laporan manusia membuat waktu temuan lebih sulit diprediksi, sementara nilai kerugian terus berjalan selama masa tunggu.

Survei yang sama mencatat hanya 19 persen institusi berhasil memulihkan seluruh kerugian, sedangkan 70 persen memulihkan sebagian dan 11 persen tidak memulihkan apa pun.

Saat Volume Transaksi Mengalahkan Kapasitas Pemeriksaan

Dua hal tadi menjadi semakin penting ketika perusahaan menghadapi volume transaksi yang tinggi. Survei Fraud Indonesia 2025 menanyakan skema penyalahgunaan aset mana yang eksposur risikonya paling tinggi.

Jawaban teratas adalah penggantian biaya atau expense reimbursement, yang mencakup klaim tidak sah, fiktif, maupun penggelembungan, dengan 39,33 persen. Posisi berikutnya terpaut jauh, yaitu skimming 19,9 persen dan billing 14,39 persen.

Gambar 4: Skema penyalahgunaan aset dengan eksposur risiko tertinggi

Sumber: ACFE Indonesia Chapter, Survei Fraud Indonesia 2025, Juni 2025.

Sandingkan angka itu dengan cara tim keuangan bekerja saat tutup buku, dan gambarannya menjadi lengkap. Almaz menjelaskan metodenya dengan jelas.

“Kita sebagai accounting juga tidak bisa mengecek seratus persen. Kita akan mengecek berdasarkan sampling, dan kita akan mengecek yang besar-besar saja, dan yang angkanya recurring,” ujar Almaz.

Metode tersebut menjadi pilihan yang masuk akal ketika waktu dan jumlah tenaga terbatas. Memeriksa transaksi bernilai besar memang memberi perlindungan terbesar per jam kerja.

Namun, metode tersebut memiliki titik buta. Transaksi yang nilainya kecil tetapi jumlahnya banyak dapat luput ketika tim harus menentukan sampel berdasarkan prioritas tertentu.

Di sinilah topik artikel ini menemukan konteksnya. Operasional membutuhkan pemeriksaan yang realistis terhadap kapasitas tim, sementara kontrol membutuhkan kemampuan untuk melihat penyimpangan yang mungkin tersebar dalam banyak transaksi kecil.

Menambah lapisan persetujuan tidak menutup ruang itu, karena setiap transaksi memang lolos ketika dinilai sendiri-sendiri. Yang menutupnya adalah kemampuan membaca agregat, persis seperti cara anomali biaya perjalanan pada contoh sebelumnya akhirnya terlihat. 

Kemampuan itulah yang coba dijawab oleh analisis pola pengeluaran atau spend analysis, yang membaca ribuan transaksi kecil sebagai satu gambar utuh alih-alih sebagai antrean persetujuan.

Satu catatan tambahan memperkuat kesimpulan tersebut. Survei Fraud Indonesia 2025 mencatat lebih dari 60 persen kasus melibatkan tiga pelaku atau lebih, dan pelaku terbanyak berasal dari manajemen tingkat menengah, yakni 42 persen pada korupsi dan 44 persen pada penyalahgunaan aset.

Temuan tersebut relevan untuk desain kontrol karena manajemen tingkat menengah dapat berada dalam rantai pengajuan, persetujuan, maupun pengawasan transaksi.

Pro Tip: Uji blindspot pemeriksaan Anda

Ambil kategori pengeluaran dengan jumlah transaksi terbanyak tetapi nilai per transaksi terkecil, lalu periksa apakah kategori itu pernah masuk daftar sampling tim keuangan dalam dua belas bulan terakhir.

Kontrol Tidak Harus Kalah Jika Menjadi Bagian dari Workflow

Seluruh temuan di atas mengarah ke satu kesimpulan yang tidak nyaman bagi pendekatan kepatuhan yang selama ini dipakai.

Masalahnya tidak selalu terletak pada kurangnya kesadaran. Dalam kasus yang digambarkan Almaz, para praktisi memahami pentingnya kontrol, tetapi organisasi tetap harus memperhitungkan biaya, waktu, dan kapasitas untuk menjalankannya.

Menambah aturan juga tidak otomatis menyelesaikan persoalan, mengingat 23 persen kasus di Indonesia berkaitan dengan lemahnya keteladanan pimpinan dan 16 persen dengan pengabaian terhadap kontrol yang sudah dirancang.

Variabel yang benar-benar menentukan adalah harga menjalankan kontrol. Selama kepatuhan berbentuk dua langkah manual tambahan, tangkapan layar surel, dan berkas yang disusun ulang tiap akhir bulan, perhitungan yang digambarkan Almaz akan terus menghasilkan jawaban yang sama.

Perhitungan itu baru berubah ketika kontrol berhenti menjadi pekerjaan tambahan dan melebur ke dalam alur kerja yang memang tetap dilakukan orang.

Dengan kata lain, solusi yang lebih realistis bukan sekadar menambah kontrol, melainkan merancang kontrol agar muncul sebagai bagian dari proses yang memang harus dijalankan.

Tabel 2: Memindahkan kontrol dari pekerjaan tambahan ke dalam alur transaksi

Sumber: Analisis wawancara dan data Survei Fraud Indonesia 2025.

Perbedaan di sini terletak pada kontrol manual meminta orang mengingat, memeriksa, dan mendokumentasikan. Kontrol yang masuk ke dalam workflow membuat sebagian pekerjaan tersebut terjadi sebagai bagian dari transaksi.

Perubahan pada kolom ketiga itulah yang mendasari platform manajemen pengeluaran seperti Mekari Expense. Otomasi persetujuan membentuk jejak kepatuhan sebagai akibat dari transaksi, alokasi anggaran memunculkan sisa dana pada momen pengajuan, sementara alur penggantian biaya karyawan memindahkan claim yang selama ini tersebar menjadi data yang bisa dibaca sebagai pola.

Pendekatan tersebut tidak menghilangkan seluruh biaya kontrol. Namun, otomatisasi dapat mengurangi pekerjaan manual yang diperlukan untuk menjalankan kontrol, sekaligus membuat data transaksi lebih siap digunakan untuk pemeriksaan dan analisis.

Tiga Pertanyaan untuk Diuji di Perusahaan Anda!

Bagi pemimpin keuangan yang ingin menguji posisi organisasinya, tiga pertanyaan berikut lebih berguna daripada audit kesadaran.

1. Berapa langkah manual tambahan yang diminta oleh kebijakan kontrol Anda saat ini, dan siapa yang menanggung langkah-langkah tersebut setiap hari?
2. Dari temuan pengendalian dalam dua tahun terakhir, berapa banyak yang sebenarnya sudah diketahui sebelum menjadi temuan resmi? Jika sebagian besar sudah diketahui lebih dulu, perusahaan perlu melihat kembali apakah masalahnya terletak pada deteksi atau pada tindak lanjut atas risiko yang sudah diketahui?
3. Apakah organisasi Anda mampu melihat pola pengeluaran secara agregat tanpa meminta seseorang menyusun laporan manual? Jika belum, kategori pengeluaran dengan transaksi bernilai kecil tetapi berjumlah besar dapat menjadi salah satu titik yang sulit dipantau secara konsisten?

Ketiga pertanyaan itu bermuara pada satu titik yang jarang menjadi agenda rapat, dan Almaz menempatkannya di sana sejak awal. Fungsi pengendalian internal, audit internal, dan manajemen risiko sudah tersedia di hampir semua organisasi besar, lengkap dengan orang-orang yang memang bertugas memikirkannya.

“Cuma tantangannya adalah bagaimana hasil kerja orang-orang itu terinternalisasi ke divisi lain atau operasi lain,” Tutupnya.

Internalisasi semacam itu tidak cukup mengandalkan imbauan. Kontrol perlu masuk ke dalam desain proses agar tetap berjalan ketika operasional sedang padat.

Pada akhirnya, kontrol internal tidak selalu kalah karena operasional menganggapnya tidak penting. Kontrol dapat kalah ketika cara menjalankannya menambah pekerjaan, membutuhkan waktu, dan bersaing dengan prioritas yang hasilnya lebih mudah terlihat.

Karena itu, tantangan pengendalian internal bukan sekadar membuat aturan yang lebih kuat. Tantangannya adalah merancang proses agar kontrol tetap berjalan tanpa terus meminta operasional menanggung pekerjaan tambahan.

Referensi

• ACFE Indonesia Chapter. “Survei Fraud Indonesia 2025“
• Association of Certified Fraud Examiners. “Occupational Fraud 2026: A Report to the Nations“