Siklus pengadaan (Purchase-to-Pay) hampir selalu masuk akun signifikan dalam scoping ICOFR BUMN. Alasannya kuantitatif dan kualitatif sekaligus: nilai belanja modal dan operasional membentang dari ratusan miliar hingga triliunan rupiah, transaksi terjadi ribuan kali setahun di banyak unit kerja, dan setiap tahap : permintaan, pemilihan vendor, penerimaan barang, pembayaran : melibatkan judgment manusia yang dapat disalahgunakan. Tidak heran temuan BPK atas pengadaan BUMN berulang dari tahun ke tahun dengan pola yang sama.

Bagi Lini 1 (pemilik proses pengadaan), tantangan utamanya bukan ketiadaan SOP melainkan ketiadaan peta yang menghubungkan risiko ke kontrol secara eksplisit. SOP bercerita tentang alur; RCM bercerita tentang keyakinan. RCM menjawab pertanyaan yang ditanyakan setiap penguji [TOD](/glosarium/tod): untuk risiko salah saji X pada assertion Y, kontrol apa yang : bila dijalankan sebagaimana dirancang : mencegah atau mendeteksinya tepat waktu, siapa pemiliknya, seberapa sering dijalankan, dan bukti apa yang membuktikan ia berjalan.

Artikel ini memberi satu tabel RCM pengadaan yang lengkap dan siap adaptasi, bukan teori generik. Salin strukturnya, ganti nilai ambang dan pemiliknya dengan kondisi entitas Anda, dan tabel ini langsung dapat diuji.

Setiap baris RCM berpangkal pada risiko salah saji yang dipetakan ke assertion COSO: keberadaan dan keterjadian (existence/occurrence), kelengkapan (completeness), penilaian dan alokasi (valuation), hak dan kewajiban (rights/obligations), serta penyajian dan pengungkapan (presentation). Delapan risiko berikut menutup hampir seluruh permukaan salah saji material siklus pengadaan BUMN.

**R1 : Pembelian fiktif atau mark-up kepada vendor afiliasi.** Assertion keberadaan dan penilaian. Modusnya: purchase order diterbitkan untuk vendor yang tidak memasok barang senilai itu, atau harga dimark-up di atas harga pasar dengan kickback. Ini risiko fraud tertinggi dan wajib memiliki kontrol preventif berlapis.

**R2 : Pemecahan paket (split PO) untuk menghindari ambang tender.** Assertion kelengkapan dan penyajian. Satu kebutuhan dipecah menjadi beberapa PO di bawah ambang batas metode pemilihan langsung, sehingga proses kompetisi yang diwajibkan regulasi pengadaan tidak terjadi.

**R3 : Three-way match tidak dilakukan sebelum pembayaran.** Assertion keberadaan dan penilaian. Invoice vendor dibayar tanpa mencocokkan purchase order, bukti penerimaan barang (goods receipt), dan invoice secara tiga arah : membuka pintu pembayaran atas barang yang tidak diterima atau harga yang tidak sesuai kontrak.

**R4 : Segregation of duties dilanggar satu orang memegang ujung ke ujung.** Assertion keberadaan. Personil yang sama membuat permintaan, menyetujui PO, menerima barang, dan memverifikasi pembayaran. Tanpa pemisahan tugas, seluruh kontrol lain dapat dielakkan oleh satu orang.

**R5 : Penerimaan barang dicatat tanpa pemeriksaan fisik.** Assertion keberadaan dan penilaian. Goods receipt diterbitkan berdasarkan dokumen pengiriman tanpa opname, sehingga kuantitas dan kualitas yang dibayar tidak mencerminkan realita gudang.

**R6 : Cut-off pencatatan lintas tahun buku.** Assertion kelengkapan dan cut-off penyajian. Barang diterima Desember tetapi kewajiban dicatat Januari (atau sebaliknya), menggeser beban antar periode dan mendistorsi laba tahun berjalan.