Audit tahunan masih punya tempat, tetapi organisasi tidak harus menunggu satu tahun untuk melihat seluruh sinyal risiko. Transaksi besar, perubahan rekening vendor, kegagalan kontrol akses, atau lonjakan klaim keberlanjutan bisa muncul jauh sebelum siklus audit berikutnya. Continuous auditing berguna untuk menangkap sinyal semacam itu, asalkan kita tidak menyamakan semua aktivitas berlabel continuous sebagai hal yang sama.
Continuous monitoring terutama merupakan pekerjaan manajemen. Pemilik proses memakai data dan indikator untuk memantau apakah operasional dan kontrol sehari-hari berjalan sesuai harapan. Misalnya, tim keuangan menerima peringatan ketika pembayaran melewati batas otorisasi atau ketika rekening bank pemasok berubah. Tim itulah yang menyelidiki dan memperbaiki kondisi tersebut.
Continuous auditing berbeda. Fungsi audit internal memakai teknologi dan prosedur yang berulang untuk menilai risiko, desain atau efektivitas kontrol, dan tindak lanjut manajemen secara lebih sering. Tujuannya memberi penilaian independen atas apakah pengendalian berjalan dan masalah ditangani; audit internal tidak mengambil alih pengendalian operasional. Istilah continuous assurance dapat menggambarkan keyakinan yang dihasilkan dari penilaian berkelanjutan itu, tetapi tidak boleh dipakai untuk mengaburkan batas peran antara manajemen dan audit internal.
Pembedaan ini penting bagi independensi. Kalau auditor internal setiap hari memutuskan transaksi mana yang harus diblokir atau disetujui, auditor berisiko menilai keputusan operasional yang dibuatnya sendiri. Sebaliknya, auditor dapat mengevaluasi apakah aturan pemblokiran dirancang memadai, apakah pengecualian disetujui pihak yang berwenang, dan apakah manajemen menyelesaikan temuan tepat waktu.
Sebagai contoh, sistem bisa setiap malam menandai jurnal dengan pola yang tidak biasa, transaksi di luar jam kerja, vendor baru yang langsung menerima pembayaran besar, perubahan rekening pemasok, atau pengeluaran yang mendekati batas persetujuan. Alarm otomatis hanya menunjukkan bagian yang perlu dilihat lebih dekat. Auditor tetap perlu memeriksa dokumen sumber, memahami konteks bisnis, dan membedakan anomali yang sah dari penyimpangan yang benar-benar berisiko.
Dalam Continuous Auditing and Monitoring, 3rd Edition, IIA menyebut continuous auditing sebagai pemanfaatan teknologi untuk penilaian berkelanjutan atas risiko dan kontrol. Namun, panduan ini berstatus Recommended, jadi tidak bersifat wajib. Halaman resmi IIA menempatkannya sebagai Global Technology Audit Guide dan guidance yang direkomendasikan. Artinya, organisasi bisa mengambil prinsipnya secara proporsional, sambil tetap memenuhi standar wajib yang berlaku bagi fungsi audit internalnya.
ISSA 5000 adalah standar umum untuk penugasan assurance atas informasi keberlanjutan, lintas topik dan kerangka pelaporan. IAASB menjelaskannya sebagai kerangka assurance berbasis prinsip. Standar ini tidak menetapkan bahwa assurance harus dilakukan secara real time, harian, atau melalui sistem continuous auditing. Jadi, data keberlanjutan yang diperbarui tiap bulan atau dashboard emisi yang tersedia setiap hari tidak lantas menjadikan ISSA 5000 standar continuous auditing.
Mulailah dari yang sederhana. Pilih satu proses dengan risiko yang jelas, misalnya perubahan data master vendor atau klaim emisi Scope 1. Tetapkan populasi data, frekuensi pengujian, aturan pengecualian, pemilik tindak lanjut, batas eskalasi, dan bukti penyelesaian. Setelah beberapa siklus, ukur berapa banyak alarm yang benar-benar menghasilkan tindakan. Kalau alarm terlalu banyak, tim akan mengabaikannya; kalau terlalu sedikit, alarm bisa memberi rasa aman palsu.
Jumlah transaksi yang diperiksa belum cukup sebagai ukuran keberhasilan. Lihat juga waktu dari alarm sampai penyelesaian, persentase alarm yang terbukti relevan, masalah yang berulang, serta apakah pengendalian benar-benar membaik. Ukuran-ukuran ini menunjukkan apakah continuous auditing membuat organisasi melihat risiko lebih cepat dan bertindak lebih tepat, atau cuma menghasilkan dashboard yang sibuk.
Referensi 1. IIA: GTAG Continuous Auditing and Monitoring, 3rd Edition. 2. IIA: Global Internal Audit Standards. 3. PCAOB: Technology-Assisted Analysis. 4. IAASB: Understanding ISSA 5000. 5. Alles, Kogan, dan Vasarhelyi, Continuous Assurance. 6. Jans, Alles, dan Vasarhelyi, Process Mining in Auditing.
