Siapa Itu Admin HobiKU?

 

Penerapan Pengendalian Internal dan Pendekatan Audit Sistem Informasi pada Amartha

Nama: Ananda Iqbal Fujianto
NIM: 231011701301

Perkembangan teknologi finansial mengubah cara masyarakat meminjam, menabung, dan membayar. Layanan yang dahulu memerlukan tatap muka kini berjalan sepenuhnya melalui aplikasi: pengajuan pinjaman, verifikasi identitas, penilaian kelayakan kredit, hingga pencairan dana dilakukan oleh sistem dalam hitungan menit. Kecepatan ini menciptakan nilai bisnis yang besar, tetapi juga memindahkan risiko organisasi ke dalam sistem informasi. Kesalahan logika program, akses yang tidak sah, atau gangguan sistem dapat langsung berdampak pada keuangan perusahaan dan kepercayaan pelanggan.

Menurut Ron Weber (1999), pengendalian dan audit sistem informasi menjadi krusial karena kerugian akibat kehilangan data, keputusan yang salah, penyalahgunaan komputer, dan biaya kesalahan yang tinggi semakin besar pada organisasi yang bergantung pada komputer. Esai ini membahas bagaimana pengendalian internal, evaluasi risiko TI, pemilihan pendekatan audit, dan tahapan pembentukan opini audit dapat diterapkan pada PT Amartha Mikro Fintek (Amartha), sebuah startup fintech peer-to-peer lending di Indonesia.

PT Amartha Mikro Fintek (Amartha), perusahaan fintech peer-to-peer lending asal Indonesia yang berfokus pada pendanaan sektor produktif bagi pengusaha mikro, terutama perempuan. Amartha terdaftar di OJK sebagai penyelenggara layanan pinjam-meminjam uang berbasis teknologi informasi sejak 2017 dan memperoleh izin usaha permanen dari OJK pada 2019. Menurut informasi yang dipublikasikan perusahaan dan media, Amartha menerapkan sistem manajemen keamanan informasi berstandar ISO 27001, memakai machine learning untuk menilai kelayakan kredit mitranya, dan menyediakan perlindungan berlapis berupa credit scoring serta asuransi kredit.

Sebagai penyelenggara layanan keuangan digital yang diawasi OJK dan wajib mematuhi ketentuan perlindungan data pribadi, perusahaan sejenis Amartha menghadapi perhatian besar dari regulator dan auditor terhadap kualitas pengendalian internalnya.

Penerapan Sistem Pengendalian Internal

Pengendalian internal pada perusahaan ini dapat dikelompokkan menjadi pengendalian umum dan pengendalian aplikasi, dengan kerangka acuan seperti COSO untuk pengendalian internal, COBIT untuk tata kelola TI, dan ISO/IEC 27001 untuk keamanan informasi.

Pengendalian umum berlaku untuk seluruh lingkungan TI. Contohnya pembatasan hak akses berdasarkan peran dan prinsip least privilege, autentikasi berlapis bagi administrator, pemisahan tugas antara pengembang program dan operator sistem produksi, prosedur manajemen perubahan program yang mewajibkan pengujian dan persetujuan sebelum rilis, pencadangan data berkala, serta rencana pemulihan bencana (disaster recovery plan).

Pengendalian aplikasi melekat pada program yang memproses transaksi:

• Input: validasi format dan kelengkapan data pengajuan, verifikasi identitas melalui e-KYC, serta pencegahan data ganda.
• Proses: perhitungan bunga dan denda yang otomatis, batas plafon pinjaman, dan aturan persetujuan bertingkat untuk nilai tertentu.
• Output: rekonsiliasi harian antara catatan pinjaman, dana yang dicairkan, dan saldo rekening, serta laporan pengecualian yang ditinjau oleh manajemen.

Evaluasi Risiko Teknologi Informasi

Sebelum menentukan pendekatan audit, risiko TI perlu diidentifikasi dan dinilai berdasarkan kemungkinan terjadinya dan dampaknya. Beberapa risiko utama pada perusahaan studi kasus ini adalah sebagai berikut.

Risiko	Dampak	Pengendalian yang diharapkan
Kebocoran data pribadi pengguna	Sanksi regulator, hilangnya kepercayaan	Enkripsi data, manajemen akses, pemantauan log
Penipuan dan pengambilalihan akun	Kerugian finansial pengguna dan perusahaan	Autentikasi berlapis, deteksi anomali transaksi
Kesalahan logika penilaian kredit atau perhitungan bunga	Kredit macet, salah tagih, keluhan pelanggan	Pengujian program, validasi model, peninjauan berkala
Gangguan atau henti layanan	Transaksi gagal, kerugian operasional	Redundansi sistem, DRP yang diuji berkala
Ketergantungan pada pihak ketiga (cloud, payment gateway)	Risiko di luar kendali langsung	Perjanjian tingkat layanan, penilaian vendor
Ketidakpatuhan terhadap regulasi	Teguran, denda, pencabutan izin	Pemantauan kepatuhan dan pelaporan rutin

Hasil penilaian ini menentukan area yang mendapat porsi pengujian paling besar. Pada kasus ini, logika aplikasi pinjaman dan keamanan data berisiko paling tinggi.

Pemilihan Pendekatan Audit

Ada tiga pendekatan audit terhadap sistem berbasis komputer, dan pemilihannya bergantung pada tingkat otomatisasi serta risiko yang dihadapi.

Auditing Around the Computer memperlakukan komputer sebagai black box: auditor hanya membandingkan input dengan output tanpa menguji proses di dalamnya. Pendekatan ini kurang tepat untuk PT Dana Nusantara Digital karena hampir seluruh transaksi diproses otomatis dan jejak audit berbentuk dokumen fisik nyaris tidak ada. Kelemahan mendasarnya, auditor tidak dapat memastikan bahwa logika program benar dan pengendalian dalam sistem berfungsi, sehingga kesalahan yang tersembunyi di dalam proses dapat lolos.

Auditing With the Computer memakai komputer sebagai alat bantu audit, umumnya melalui Generalized Audit Software (GAS). Pendekatan ini cocok untuk menguji seluruh populasi transaksi, bukan sekadar sampel. Contohnya, auditor dapat memeriksa seluruh data pencairan untuk menemukan pinjaman ganda ke satu rekening, bunga yang dihitung tidak sesuai ketentuan, pencairan di luar jam operasional, atau transaksi yang melewati batas persetujuan. Keunggulan utama GAS adalah cakupan yang luas, kecepatan, dan kemampuan memverifikasi data langsung dari berkas sistem.

Auditing Through the Computer menguji logika dan pengendalian di dalam aplikasi secara langsung, misalnya dengan data uji (test data), simulasi paralel, atau fasilitas pengujian terintegrasi. Pendekatan ini dapat membuktikan keandalan program penilaian kredit dan perhitungan bunga, tetapi menuntut auditor memiliki keahlian teknis yang tinggi dan memakan waktu serta biaya lebih besar.

Dengan mempertimbangkan risiko tersebut, pendekatan yang paling tepat adalah kombinasi With dan Through the Computer. Pendekatan Through digunakan untuk menguji logika aplikasi inti (penilaian kredit, perhitungan bunga, dan batas persetujuan), sedangkan With digunakan untuk menguji keseluruhan transaksi dan mendeteksi anomali. Pendekatan Around hanya dipakai secara terbatas sebagai pendukung, misalnya mencocokkan laporan akhir dengan data sumber. Kombinasi ini mensyaratkan tim yang kompeten di bidang TI, sehingga auditor harus memahami sistem informasi, keamanan, dan alat bantu audit, baik melalui pelatihan dan sertifikasi bagi auditor internal maupun dengan merekrut tenaga ahli dari luar.

Tahapan Audit hingga Terbentuknya Opini

Audit sistem informasi atas fintech seperti Amartha dapat dijalankan melalui lima tahap.

1. Planning. Auditor memahami bisnis dan sistem perusahaan, menilai risiko, menetapkan ruang lingkup dan materialitas, memilih pendekatan audit, serta menyusun program kerja dan kebutuhan tim.
2. Test of Control. Auditor menguji apakah pengendalian umum dan pengendalian aplikasi dirancang dan berjalan efektif, misalnya meninjau hak akses, prosedur perubahan program, dan fungsi validasi input. Hasilnya menentukan seberapa luas pengujian tahap berikutnya.
3. Test of Transaction. Auditor menguji transaksi untuk memastikan data diproses dengan benar, lengkap, dan sesuai otorisasi, antara lain dengan GAS dan data uji.
4. Test of Balances. Auditor memverifikasi saldo akhir, seperti total piutang pinjaman, saldo dana pengguna, dan pendapatan bunga, dengan konfirmasi dan rekonsiliasi.
5. Completion of the Audit. Auditor mengevaluasi seluruh temuan, mengkaji peristiwa setelah tanggal laporan, menyusun laporan, lalu menyatakan opini.

Pada tahap akhir, opini dapat berupa salah satu dari empat jenis berikut.

• Unqualified opinion (wajar tanpa pengecualian): diberikan bila pengendalian efektif dan laporan disajikan secara wajar dalam semua hal yang material.
• Qualified opinion (wajar dengan pengecualian): diberikan bila ada penyimpangan atau keterbatasan yang material tetapi tidak berdampak menyeluruh, misalnya kelemahan pada pengendalian perubahan program di satu modul.
• Adverse opinion (tidak wajar): diberikan bila penyimpangan sangat material dan berdampak menyeluruh, misalnya perhitungan bunga yang salah secara sistematis sehingga laporan tidak dapat diandalkan.
• Disclaimer of opinion (tidak menyatakan pendapat): diberikan bila auditor tidak dapat memperoleh bukti yang cukup, misalnya karena akses ke data atau sistem dibatasi sehingga pengujian tidak dapat dilakukan.

Sebagai skenario hipotetis (bukan hasil audit nyata atas Amartha), jika auditor hanya menemukan kelemahan terbatas pada pengendalian akses di satu modul dan sistem inti terbukti andal, opini yang wajar adalah qualified opinion, disertai rekomendasi perbaikan bagi manajemen.

Kesimpulan

Pada startup fintech seperti Amartha, hampir seluruh proses bisnis bergantung pada sistem informasi, sehingga pengendalian internal harus dirancang pada level umum dan aplikasi, dan risiko TI harus dinilai sejak awal. Karena transaksi diproses otomatis, pendekatan Around the Computer tidak memadai sebagai satu-satunya metode. Kombinasi With dan Through the Computer memberikan keyakinan yang lebih kuat atas logika aplikasi dan keandalan data, asalkan didukung auditor yang kompeten. Dengan tahapan audit yang terstruktur dari perencanaan hingga penyelesaian, auditor dapat memberikan opini yang berdasar pada bukti yang cukup dan membantu manajemen memperbaiki pengendalian sebelum risiko berubah menjadi kerugian.

Referensi

• Weber, R. (1999). Information Systems Control and Audit. Prentice Hall.
• Republika (12 Maret 2019). Amartha Dukung OJK dan AFPI Wujudkan Inklusi Keuangan.
• Republika (27 Maret 2018). Fintech Terpercaya untuk Kemajuan Ekonomi Indonesia.
• Warta Ekonomi. Resmi, Amartha Resmi Kantongi Izin Usaha OJK.
• Kontan. Amartha Sebut Telah Terapkan Bunga Pinjaman di Bawah Batas Maksimum Ketentuan OJK.