Seluruh contoh angka dan skenario dalam artikel ini bersifat ilustratif untuk keperluan pemahaman metodologi SK-5, bukan opini audit atas entitas mana pun. Penilaian akhir tingkat defisiensi selalu menjadi judgment profesional auditor independen dan Komite Audit berdasarkan bukti lengkap tahun buku berjalan.
Defisiensi pengendalian (control deficiency) adalah kondisi ketika desain atau operasi kontrol tidak memungkinkan pencegahan atau pendeteksian salah saji secara tepat waktu. Tidak setiap defisiensi sama bobotnya : SK-5 mengenal tiga tingkat yang menentukan respons dan pengungkapan.
Tingkat pertama, **control deficiency** biasa: kelemahan yang belum mencapai ambang perhatian tata kelola. Contohnya satu dokumen GR tanpa paraf pada populasi besar dengan kontrol kompensasi yang berjalan : dicatat, diperbaiki pemilik proses, dan tidak dilaporkan ke Komite Audit secara individual.
Tingkat kedua, **[significant deficiency](/glosarium/defisiensi-signifikan)**: defisiensi (atau kombinasinya) yang cukup penting untuk mendapat perhatian pihak yang bertanggung jawab atas tata kelola, tetapi belum mengindikasikan kemungkinan wajar salah saji material. Cirinya: mencakup area sensitif (otorisasi pembayaran, akses ERP), berulang lintas periode, atau menunjukkan kegagalan pemantauan Lini 2. Defisiensi tingkat ini wajib dikomunikasikan tertulis kepada Komite Audit beserta rencana perbaikannya : komunikasi lisan atau catatan kaki laporan tidak memenuhi standar, karena Komite membutuhkan dasar tertulis untuk memutuskan eskalasi dan alokasi sumber daya remediasi.
Tingkat ketiga, **[material weakness](/glosarium/defisiensi-material)**: defisiensi (atau kombinasinya) yang menimbulkan kemungkinan wajar bahwa salah saji material tidak dapat dicegah atau dideteksi tepat waktu. Ini tingkat tertinggi : memengaruhi kesimpulan efektivitas ICOFR secara keseluruhan dan pengungkapan dalam asersi manajemen.
Kesalahan paling mahal yang kami temui di lapangan adalah menilai setiap temuan secara terpisah tanpa agregasi: lima control deficiency pada satu siklus yang sama diperlakukan sebagai lima catatan kecil, padahal kombinasinya melubangi seluruh siklus. Pola ini paling sering muncul pada entitas yang pengujian TOD dan TOE-nya dikerjakan tim berbeda tanpa koordinator agregasi : masing-masing tim menutup kertas kerjanya sendiri dan tidak ada yang melihat gambar utuhnya. Karena itu agregasi wajib dijadwalkan sebagai tahap eksplisit setelah seluruh pengujian siklus selesai, dengan pemilik yang jelas di Lini 2, bukan sebagai renungan akhir bila sempat. Bagian berikut menunjukkan cara mengagregasi dengan benar.
Agregasi menilai kombinasi defisiensi berdasarkan tiga dimensi: kedekatan area (apakah menempel pada akun signifikan yang sama), keterkaitan sebab (apakah berakar pada kelemahan ELC yang sama, misalnya lemahnya penegakan SoD), dan efek kompensasi (apakah kontrol lain yang efektif menutup lubang tersebut).
| Kombinasi temuan | Area dan sebab | Penilaian agregat | |---|---|---| | 3 control deficiency pada akun dan sebab berbeda, masing-masing tertutup kontrol kompensasi efektif | Tersebar, tidak terkait | Tetap control deficiency individual | | 2-3 control deficiency pada satu siklus tanpa kompensasi efektif | Satu assertion (misal kelengkapan pengadaan) | Naik menjadi significant deficiency | | Significant deficiency + 1 control deficiency terkait pada akun signifikan | Satu area sensitif | Naik menjadi significant deficiency berat, dekat ambang material | | Beberapa significant deficiency pada satu komponen COSO (misal aktivitas pengendalian) | Pola sistemik | Naik menjadi material weakness | | Defisiensi apa pun pada asersi manajemen yang ditandatangani tanpa basis uji | Fondasi asersi | Material weakness langsung |
Prinsipnya: agregasi bergerak ke atas mengikuti konsentrasi risiko, bukan jumlah temuan. Sepuluh temuan kecil yang tersebar pada akun tidak signifikan tidak lebih berat daripada dua temuan sedang yang menempel pada akun kas dan pendapatan. Inilah alasan matriks scoping dan [RCM yang terdokumentasi](/blog/contoh-rcm-siklus-pengadaan-bumn-tod-toe) menjadi prasyarat agregasi : tanpa peta risiko, agregasi hanyalah tebakan.
Ambil ilustrasi siklus pengadaan satu entitas anak. Temuan pertama: 2 dari 25 sampel TOE pembayaran tidak melampirkan three-way match lengkap (control deficiency : sampel kecil, terdeteksi). Temuan kedua: matriks SoD kedaluwarsa : satu staf merangkap pembuat PO dan verifikator bayar selama 4 bulan (control deficiency menuju significant : durasi panjang, area sensitif). Temuan ketiga: user access review semesteran tidak dilaksanakan tahun berjalan (significant deficiency : kegagalan pemantauan).