Penilaian Risiko Audit Bank

Penilaian risiko yang komprehensif harus secara efektif menganalisis risiko utama (dan fungsi manajemen risiko kritis) untuk bank dan memprioritaskan entitas yang dapat diaudit dalam alam semesta audit.

Penilaian risiko audit harus mendokumentasikan aktivitas bisnis bank yang signifikan dan risiko terkait. Kepala auditor mempertimbangkan kerangka manajemen risiko bank, termasuk tingkat selera risiko yang ditetapkan oleh manajemen untuk berbagai aktivitas atau bagian organisasi. Fungsi audit internal dapat memanfaatkan penilaian risiko yang dilakukan oleh area lain bank dalam menetapkan dan mempertahankan penilaian risiko audit secara keseluruhan. Saat melakukannya, fungsi audit internal harus menerapkan penilaian independen. Audit internal diharapkan untuk mengidentifikasi dan mengomunikasikan kepada komite audit contoh-contoh signifikan di mana unit garis depan atau manajemen risiko independen tidak mengikuti kerangka kerja tata kelola risiko bank.

Pemeriksa harus mendapatkan pemahaman tentang hasil audit terbaru untuk setiap penilaian risiko leverage. Jika kerangka risiko bank tidak ada, kepala auditor menggunakan penilaian risikonya sendiri setelah berkonsultasi dengan manajemen senior dan dewan bank atau komite auditnya.

Faktor risiko utama yang biasa digunakan dalam penilaian risiko audit adalah sebagai berikut:

• Sifat dan ruang lingkup bisnis, lini produk, layanan, dan fungsi relatif terhadap bank dan industri perbankan.
• Sifat transaksi (misalnya, volume, ukuran, likuiditas, dan keragaman geografis).
• Sifat lingkungan operasi (misalnya, teknologi, kepatuhan terhadap hukum dan peraturan, kompleksitas transaksi, perubahan volume, tingkat sentralisasi sistem dan pelaporan, dan lingkungan ekonomi dan peraturan).
• Sifat ancaman internal atau eksternal yang wajar dan dapat diperkirakan sebelumnya.
• Sifat dan cakupan layanan dan produk pihak ketiga yang digunakan.
• Sumber daya manusia (misalnya, pengalaman manajemen dan staf, pergantian, kompetensi, dan tingkat delegasi).
• Sifat dan kekuatan pengendalian internal dan sistem informasi (misalnya, keamanan, SIM, dan kontrol manual atau otomatis).
• Derajat dan tingkat tata kelola dan pengawasan oleh manajemen senior.
• Waktu, ruang lingkup, dan hasil jaminan audit internal dari entitas yang dapat diaudit.
• Kemungkinan dampak dan kemungkinan terjadinya peristiwa ancaman.

Auditor atau manajer risiko harus mengembangkan pedoman tertulis tentang penggunaan alat penilaian risiko dan faktor risiko dan meninjau pedoman tersebut dengan komite risiko dewan atau komite audit. Kecanggihan dan formalitas pedoman bervariasi tergantung pada ukuran bank, kompleksitas, ruang lingkup kegiatan, keragaman geografis, dan teknologi yang digunakan. Auditor menggunakan pedoman untuk menilai area risiko utama, bersama dengan tema risiko. Pedoman tertulis harus menentukan hal-hal berikut:

• Panjang siklus audit: Pedoman ini didasarkan pada skor atau penilaian. Siklus audit harus ditetapkan dan harus menyediakan cakupan audit yang sesuai untuk semua entitas yang dapat diaudit. Misalnya, beberapa bank mengikuti siklus audit empat tahun, dengan area berisiko tinggi diaudit setiap 12 bulan dan area berisiko rendah setiap 48 bulan. Lihat bagian “Siklus Audit” dari buklet ini untuk informasi lebih lanjut.
• Metodologi penilaian risiko: Pedoman ini mendefinisikan proses bersama dengan penilaian dan pengukuran risiko. Metodologi penilaian risiko mendefinisikan dasar untuk menetapkan tingkat risiko, bobot risiko, atau skor risiko (misalnya, basisnya dapat berupa praktik industri normal atau pengalaman bank sendiri). Pedoman metodologi juga menentukan kisaran skor atau penilaian (misalnya, rendah, sedang, dan tinggi atau urutan numerik seperti 1 sampai 5).
• Pengabaian penilaian risiko: Pedoman harus menentukan siapa yang dapat mengesampingkan penilaian, proses persetujuan untuk penggantian tersebut, dan proses pelaporan untuk penggantian. Proses penggantian harus melibatkan dewan bank atau komite auditnya, mungkin melalui otoritas persetujuan akhir atau melalui prosedur pemberitahuan tepat waktu. Pengabaian penilaian risiko harus lebih merupakan pengecualian daripada aturan dan dilacak dengan tepat.
• Waktu penilaian risiko audit untuk setiap departemen atau aktivitas: Penilaian risiko audit, secara keseluruhan, diperbarui sebagai bagian dari perencanaan tahunan audit internal. Penilaian risiko audit harus menjadi alat yang dinamis untuk fungsi audit internal, dengan pembaruan berkala untuk mencerminkan perubahan profil risiko bank, staf kunci, teknologi, produk, layanan, fungsi, atau aktivitas, serta perubahan industri atau peraturan. Auditor internal harus mempertimbangkan untuk meninjau dan memperbarui bagian yang berlaku dari penilaian risiko audit dalam audit.
• Masalah pengendalian tematik: Pedoman tersebut harus membahas identifikasi masalah pengendalian tematik dan penentuan dampak keseluruhan dari masalah tersebut pada profil risiko bank.
• Persyaratan dokumentasi minimum: Persyaratan ini berkaitan dengan dokumentasi yang diperlukan untuk mendukung pengembangan dan pemeliharaan penilaian risiko audit, yang mencakup penilaian analisis tertulis atau keputusan penilaian.

Penilaian ini biasanya menganalisis risiko yang melekat pada lini atau proses bisnis tertentu, proses pengendalian yang memitigasi, dan eksposur risiko residual yang dihasilkan ke bank. Pengukuran risiko atau sistem penilaian harus dapat dipahami, mempertimbangkan semua faktor risiko yang relevan, dan menghindari subjektivitas.

Bank dapat memperoleh matriks, model, atau informasi tambahan tentang penilaian risiko dari kelompok industri seperti American Bankers Association, American Institute of Certified Public Accountants (AICPA), IIA, Financial Managers Society, dan banyak kantor akuntan publik bersertifikat. Sumber daya lain untuk membantu direktur dan auditor mengevaluasi pengendalian dan penilaian risiko adalah laporan Internal Control—Integrated Framework yang dikeluarkan oleh Committee of Sponsoring Organizations of the Treadway Commission (COSO).

Risiko Terkait Dengan Fungsi Audit Internal dan Eksternal

Dari perspektif pengawasan, risiko adalah potensi peristiwa yang akan berdampak buruk pada kondisi keuangan saat ini atau yang diproyeksikan dan ketahanan bank. OCC telah menetapkan delapan kategori risiko untuk tujuan pengawasan bank: kredit, suku bunga, likuiditas, harga, operasional, kepatuhan, strategis, dan reputasi. Kategori-kategori ini tidak saling eksklusif. Produk atau layanan apa pun dapat membuat bank menghadapi berbagai risiko. Risiko juga mungkin saling bergantung dan mungkin berkorelasi positif atau negatif. Pemeriksa harus menyadari dan menilai saling ketergantungan ini. Pemeriksa juga harus waspada terhadap konsentrasi yang secara signifikan dapat meningkatkan risiko. Konsentrasi dapat terakumulasi di dalam dan di seluruh produk, lini bisnis, wilayah geografis, negara, dan badan hukum.

Risiko utama yang terkait dengan fungsi audit internal dan eksternal adalah operasional, kepatuhan, strategis, dan reputasi. Fungsi audit merupakan komponen kunci dalam mengelola risiko di bank. Pengurangan efektivitas fungsi audit internal atau eksternal secara tidak langsung dapat meningkatkan risiko di semua kategori.

Resiko operasional

Risiko operasional adalah risiko terhadap kondisi dan ketahanan keuangan saat ini atau yang diproyeksikan yang timbul dari proses atau sistem internal yang tidak memadai atau gagal, kesalahan atau kesalahan manusia, atau peristiwa eksternal yang merugikan. Risiko operasional terlihat jelas di semua aspek perbankan. Program audit yang berfungsi dengan baik dapat berfungsi untuk mengidentifikasi dan mengurangi risiko operasional.

Banyak bank mengalihdayakan audit internal dengan menggunakan kantor akuntan independen atau profesional luar untuk melakukan pekerjaan yang biasanya dilakukan oleh auditor internal. Meskipun hal ini dapat mengurangi risiko operasional dengan, misalnya, memberikan tingkat keahlian dan cakupan audit yang tidak dapat dilakukan secara efektif atau efisien secara internal, hal ini juga menimbulkan risiko hubungan pihak ketiga. Dewan dan manajemen bank harus terlibat dalam manajemen risiko pihak ketiga yang sesuai ketika melakukan outsourcing audit internal.

Risiko Kepatuhan

Risiko kepatuhan adalah risiko terhadap kondisi dan ketahanan keuangan saat ini atau yang diproyeksikan yang timbul dari pelanggaran hukum atau peraturan, atau dari ketidaksesuaian dengan praktik yang ditentukan, kebijakan dan prosedur internal bank, atau standar etika. Fungsi audit internal bertanggung jawab untuk menguji kecukupan dan kepatuhan terhadap kebijakan, prosedur, proses, dan standar bank. Fungsi audit internal juga harus menguji kepatuhan bank terhadap peraturan perundang-undangan yang berlaku. Fungsi audit itu sendiri dicakup oleh persyaratan hukum. Dalam beberapa kasus, seperti pelaporan keuangan, fungsi audit internal dan eksternal diperlukan untuk melakukan jaminan dan pelaporan kontrol khusus. Ketidakpatuhan terhadap persyaratan hukum atau dengan standar keselamatan dan kesehatan dapat menyebabkan bank menghadapi konsekuensi serius, termasuk membahayakan reputasi atau kondisi bank, dan dapat mengakibatkan peningkatan tindakan pengaturan, termasuk denda uang perdata, dan penggantian biaya pelanggan.

Risiko Strategis

Risiko stratejik adalah risiko terhadap kondisi dan ketahanan keuangan saat ini atau proyeksi yang timbul dari keputusan bisnis yang merugikan, implementasi keputusan bisnis yang buruk, atau kurangnya respons terhadap perubahan di industri perbankan dan lingkungan operasi. Meskipun tidak mengatur kebijakan bank atau membuat keputusan bisnis, fungsi audit internal dapat mempengaruhi mereka dengan memberikan wawasan dan saran yang berguna dalam hal penilaian risiko, struktur tata kelola, dan proses tata kelola, khususnya atas bank baru, yang dimodifikasi, atau diperluas. produk dan layanan (secara kolektif, aktivitas baru). Kurangnya jaminan independen oleh fungsi audit dapat mengakibatkan keputusan strategis yang meningkatkan risiko lini bisnis melalui kebijakan, prosedur, dan kontrol yang tidak efektif yang bertentangan dengan selera risiko bank. Dewan dan manajemen harus mempertimbangkan kebutuhan fungsi audit internal dalam proses perencanaan strategisnya dan mengalokasikan sumber daya yang cukup untuk independensi dan skala yang sesuai dengan perubahan strategi bisnis, ukuran, kompleksitas, atau profil risiko bank.

Risiko Reputasi

Risiko reputasi adalah risiko terhadap kondisi dan ketahanan keuangan saat ini atau yang diproyeksikan yang timbul dari opini publik yang negatif. Sebagai fungsi manajemen risiko independen yang didelegasikan oleh dewan direksi, fungsi audit mempromosikan operasi bank yang aman dan sehat serta kepatuhan terhadap hukum dan peraturan. Fungsi audit juga menunjukkan kemauan dan kemampuan bank dalam mengelola risiko. Kekurangan nyata atau yang dirasakan dalam praktik audit, yang mencakup audit eksternal, outsourcing, dan co-source, dapat meningkatkan risiko reputasi.

Karena objektivitas audit jarang dapat diamati secara langsung, kepercayaan pemangku kepentingan eksternal terhadap independensi auditor sebagian besar terletak pada persepsi mereka. Kurangnya kepercayaan pada objektivitas audit secara langsung mempengaruhi kepercayaan pada integritas pelaporan keuangan bank, situasi yang dapat meningkatkan kemungkinan kerugian finansial.

Manajemen risiko

Setiap bank harus mengidentifikasi, mengukur, memantau, dan mengendalikan risiko dengan menerapkan sistem manajemen risiko yang efektif sesuai dengan ukuran dan kompleksitas operasinya. Ketika pemeriksa menilai efektivitas sistem manajemen risiko bank, mereka mempertimbangkan kebijakan, proses, personel, dan sistem kontrol bank.

Semua bank harus memiliki program audit yang efektif. Idealnya, program semacam itu terdiri dari program audit internal penuh waktu yang berkesinambungan ditambah dengan program audit eksternal yang baik. Program audit yang efektif secara substansial mengurangi risiko bank gagal mendeteksi masalah yang berpotensi serius.

Sumber :

Version 1.0, D. 2016. (2016). Internal and External Audits. In Office of the Comptroller of the Currency (Vol. 1).

Ikuti tulisan menarik Ahmad Ihbal lainnya di sini.