Banyak perusahaan masih memeriksa transaksi secara berkala. Data dikumpulkan pada akhir bulan, akhir kuartal, atau ketika audit dimulai. Pendekatan ini tetap berguna, tetapi mempunyai satu kelemahan yang sulit diabaikan. Masalah dapat terjadi jauh sebelum pemeriksaan dimulai.
Bayangkan sebuah kontrol persetujuan yang tidak berjalan selama tiga minggu. Jika pengecekan baru dilakukan bulan berikutnya, transaksi yang terdampak sudah terlanjur bertambah. Tim kemudian tidak hanya mencari penyebab, tetapi juga harus memeriksa dampak yang lebih luas.
Continuous monitoring transaksi membantu organisasi memeriksa pola dan pengecualian dengan frekuensi yang lebih dekat dengan aktivitas bisnis. Tujuannya bukan membuat tim menerima alert setiap menit. Tujuannya adalah memberi sinyal lebih awal ketika kontrol atau pola transaksi menyimpang dari kondisi yang diharapkan.
Pemeriksaan berkala tetap dibutuhkan
Continuous monitoring tidak berarti semua pekerjaan audit lama harus dihentikan. Pemeriksaan berkala tetap diperlukan untuk menilai desain kontrol, memahami konteks bisnis, melakukan wawancara, dan mengevaluasi risiko yang tidak terlihat hanya dari data.
Perbedaannya terletak pada frekuensi dan fokus. Audit berkelanjutan dapat menggunakan pengujian yang dijalankan kembali sesuai jadwal untuk membantu auditor melihat pengecualian lebih cepat. Sementara itu, audit periodik memberi ruang untuk penilaian yang lebih luas dan mendalam pada waktu tertentu.
Keduanya dapat saling melengkapi. Data yang dipantau sepanjang tahun memberi auditor gambaran tentang pola dan perubahan. Hasil tersebut kemudian dapat membantu menentukan area yang membutuhkan pemeriksaan lebih mendalam.
Kapan perusahaan mulai membutuhkan pemantauan lebih sering
Tidak semua proses harus diperiksa setiap hari. Continuous monitoring menjadi lebih relevan ketika volume transaksi tinggi, perubahan terjadi cepat, dampak kesalahan besar, atau pemeriksaan manual tidak lagi mampu mengikuti aktivitas bisnis.
Contohnya adalah pembayaran vendor, perubahan data master, transaksi penjualan, pencatatan akuntansi manual, akses pengguna, atau aktivitas yang melewati batas kewenangan. Proses tersebut menghasilkan data yang dapat diuji menggunakan aturan dan pola yang jelas.
Pengawasan risiko bisnis juga perlu mempertimbangkan waktu. Sebuah penyimpangan yang diketahui dua bulan kemudian mungkin masih dapat diperbaiki, tetapi biaya dan dampaknya bisa lebih besar daripada jika tim mengetahuinya dalam beberapa hari.
Mulai dari kontrol yang benar benar penting
Kesalahan umum saat memulai continuous control monitoring adalah mencoba memantau semua hal sekaligus. Akibatnya, tim menerima terlalu banyak temuan dan tidak mempunyai kapasitas untuk menindaklanjutinya.
Mulailah dari beberapa kontrol yang berkaitan dengan risiko utama. Tanyakan apa yang dapat salah, data apa yang menunjukkan kondisi tersebut, seberapa sering datanya tersedia, dan siapa yang bertanggung jawab ketika pengecualian ditemukan.
Pemantauan kontrol internal yang baik selalu mempunyai pemilik. Sistem dapat menampilkan transaksi yang melanggar aturan, tetapi seseorang tetap perlu memeriksa konteks, menentukan apakah kasus tersebut valid, dan mencatat tindak lanjut.
Gunakan data yang konsisten dan dapat dijelaskan
Analisis data bisnis hanya akan berguna jika data sumber dapat dipercaya. Format tanggal yang berubah, kode vendor ganda, nilai kosong, dan struktur kolom yang tidak konsisten dapat menghasilkan kesimpulan yang salah.
Sebelum melakukan monitoring transaksi otomatis, tentukan sumber data yang akan digunakan, jadwal pengambilan data, pemeriksaan kualitas, serta cara menangani perubahan struktur. Jika data berasal dari beberapa sistem, aturan penggabungannya harus terdokumentasi.
Tim juga perlu memahami logika pengujian. Contohnya, jika sistem menandai transaksi yang melewati batas persetujuan, reviewer harus mengetahui batas yang digunakan, periode datanya, dan kondisi pengecualian yang diizinkan.
Bedakan alert, anomali, dan temuan
Deteksi anomali data membantu menunjukkan aktivitas yang berbeda dari pola umum. Namun, sesuatu yang tidak biasa belum tentu salah. Transaksi bernilai besar mungkin telah mendapatkan persetujuan khusus. Aktivitas pada akhir pekan mungkin berasal dari unit yang memang beroperasi pada hari tersebut.
Karena itu, alert sebaiknya diperlakukan sebagai bahan pemeriksaan. Reviewer perlu menilai bukti dan konteks sebelum menyebutnya sebagai temuan. Proses ini mencegah tim langsung menyimpulkan adanya fraud hanya karena sebuah nilai terlihat tidak umum.
Audit analytics dapat membantu mengelompokkan transaksi, menjalankan pengujian berulang, dan menyajikan pengecualian yang perlu ditinjau. Nilai utamanya muncul ketika hasil tersebut terhubung dengan proses review, penugasan, dokumentasi keputusan, dan eskalasi.
Di mana AI dapat membantu
Analisis data berbasis AI dapat membantu tim membaca volume data besar, mencari pola, merangkum konteks, dan memprioritaskan area yang memerlukan perhatian. Bantuan ini dapat mengurangi waktu yang dihabiskan untuk menelusuri data secara manual.
Namun, AI tidak memahami seluruh alasan bisnis secara otomatis. Hasil analisis tetap perlu diperiksa oleh orang yang memahami proses, kebijakan, dan risiko. Tim juga perlu mengetahui data apa yang digunakan dan mengapa sebuah transaksi ditampilkan.
Pendekatan yang sehat menempatkan AI sebagai dukungan keputusan. Auditor dan pemilik kontrol tetap menentukan apakah sebuah pengecualian wajar, memerlukan perbaikan, atau perlu dieskalasi.
Tentukan frekuensi berdasarkan risikonya
Continuous tidak selalu berarti real time. Ada kontrol yang cukup dipantau setiap hari, mingguan, atau bulanan. Frekuensi sebaiknya mengikuti kecepatan perubahan data dan seberapa cepat organisasi perlu mengambil tindakan.
Pembayaran bernilai besar mungkin perlu diperiksa lebih sering daripada perubahan pada data yang jarang digunakan. Sebaliknya, proses yang datanya baru lengkap pada akhir bulan tidak mendapat banyak manfaat dari pemeriksaan setiap jam.
Tentukan juga kapan sebuah alert harus dikirim. Terlalu sensitif akan menimbulkan kelelahan alert. Terlalu longgar dapat membuat kondisi penting terlewat. Aturan perlu ditinjau kembali berdasarkan hasil review nyata.
Ukur apakah monitoring menghasilkan perubahan
Keberhasilan tidak cukup diukur dari jumlah alert. Perusahaan dapat memantau waktu hingga pengecualian ditinjau, jumlah kasus yang mempunyai pemilik, konsistensi keputusan, persentase temuan berulang, dan perbaikan kontrol yang berhasil dilakukan.
Jika alert terus bertambah tetapi tidak ditindaklanjuti, proses belum memberikan nilai. Continuous monitoring seharusnya membantu organisasi menemukan masalah lebih awal dan mengambil keputusan lebih jelas, bukan sekadar menghasilkan dashboard baru.
Actifficient membantu organisasi menilai kesiapan data, memilih kontrol prioritas, dan menyusun alur review sebelum menerapkan solusi analisis data dan continuous monitoring. Jika perusahaan Anda ingin beralih dari pemeriksaan yang terlambat menuju pengawasan yang lebih terarah, silakan Request Consultation.