---

Bagi sebagian besar Badan Usaha Milik Negara (BUMN) dan anak perusahaannya, spreadsheet (Microsoft Excel atau Google Sheets) telah menjadi perkakas *default* selama bertahun-tahun dalam menyusun *Risk and Control Matrix* (RCM) serta kertas kerja pengendalian intern atas pelaporan keuangan (*Internal Control over Financial Reporting* / ICOFR).

Kemudahan penggunaan, ketiadaan biaya investasi perangkat lunak awal, dan fleksibilitas sel membuat spreadsheet menjadi pilihan praktis lini operasional. Namun, seiring diterbitkannya mandat **SK-5/DKU.MBU/11/2024** dan pengetatan standar pemeriksaan kepatuhan oleh Badan Pemeriksa Keuangan (BPK), Badan Pengawasan Keuangan dan Pembangunan (BPKP), serta Kantor Akuntan Publik (KAP) Tier-1, ketergantungan pada lembar kerja manual ini berubah menjadi sumber risiko kepatuhan hukum dan tata kelola yang kritis.

Pengendalian intern yang dikelola secara terfragmentasi dalam puluhan berkas spreadsheet tidak lagi memadai untuk membuktikan efektivitas rancangan (*Test of Design* / TOD) dan efektivitas operasi (*Test of Operating Effectiveness* / TOE) kepada Komite Audit dan Dewan Direksi.

---

Berikut adalah perbandingan objektif antara pengelolaan manual RCM menggunakan spreadsheet dengan platform tata kelola terotomasi [GRC Integra](/platform/grc-integra):

| Dimensi Pengujian & Audit | Pengelolaan RCM Manual (Spreadsheet Excel) | Platform Terdedikasi Kepatuhan BUMN (GRC Integra) | Konsekuensi Audit BPK / KAP | | :--- | :--- | :--- | :--- | | **1. Jejak Audit (Audit Trail)** | Mudah dimanipulasi: Data sel dapat diubah tanpa rekam jejak pengguna, waktu, dan riwayat nilai sebelumnya. | *Immutable System Log*: Setiap perubahan nilai kontrol, pengunggahan bukti, dan verifikasi tercatat kriptografis. | Berisiko menjadi temuan kelemahan pengendalian material jika jejak audit pengujian tidak dapat diverifikasi. | | **2. Integritas Data & Versi** | Konflik versi berkas (*file (1).xlsx*, revisi via email): Rawan formula tertimpa dan baris terhapus tidak sengaja. | *Single Source of Truth*: Basis data terpusat dengan kontrol versi terisolasi untuk seluruh entitas holding. | Menghilangkan perdebatan antara auditor dan auditee mengenai validitas dokumen final. | | **3. Segregasi Kewenangan (SOD)** | Siapa pun yang memiliki akses berkas dapat mengubah rancangan kontrol sekaligus status hasil pengujiannya. | Pembagian peran independen: Pemilik Kontrol (Lini 1), Tim Kepatuhan/Risk (Lini 2), dan Auditor Internal SPI (Lini 3). | Memenuhi standar independensi *Three Lines Model* tanpa tumpang tindih otorisasi. | | **4. Penentuan Ukuran Sampel** | Bergantung pada kalkulasi manual personel: Rawan salah interpretasi batas populasi pengujian. | Otomatis terintegrasi: Mengadopsi formula baku **Tabel 22 SK-5/2024** sesuai frekuensi kontrol. | Menjamin kecukupan jumlah sampel pengujian TOE yang dapat dipertanggungjawabkan di hadapan pemeriksa. | | **5. Pengarsipan Bukti Uji (Evidence)** | Bukti tercecer di folder lokal, link cloud penyimpanan eksternal, atau lampiran email yang rentan rusak. | *Centralized Evidence Repository*: Bukti uji terkunci pada baris kontrol dan terverifikasi stempel waktu (*timestamp*). | Memangkas waktu pemeriksaan audit dari hitungan minggu menjadi hitungan jam. |

---

Kelemahan paling fatal dari spreadsheet dalam audit kepatuhan korporasi adalah ketiadaan *immutable audit trail*. Ketika seorang staf operasional mengubah status pengujian kontrol dari *Deficient* menjadi *Effective*, spreadsheet standar tidak menyimpan riwayat otorisasi: - Siapa akun pengguna yang melakukan perubahan data; - Kapan perubahan tepatnya dilakukan; - Alasan atau justifikasi perubahan status kontrol tersebut.

Dalam standar audit SPKN BPK dan ISA 315, ketiadaan jejak audit yang terverifikasi dapat dikategorikan sebagai *Control Deficiency* (Defisiensi Kontrol) atau bahkan *Significant Deficiency* pada tata kelola teknologi pendukung pelaporan keuangan.