COSO (Committee of Sponsoring Organizations of the Treadway Commission) merilis publikasi terbaru berjudul Achieving Effective Internal Control Over Generative AI (GenAI). Panduan ini menerjemahkan kerangka Internal Control–Integrated Framework (ICIF) milik COSO menjadi pedoman praktis yang siap diaudit untuk membantu organisasi mengelola risiko dan peluang yang muncul dari penggunaan Generative AI.

Seiring GenAI masuk ke ruang rapat direksi hingga operasional harian, mulai dari otomatisasi rekonsiliasi, percepatan analisis, hingga dukungan pengambilan keputusan di mana kecepatannya melampaui model tata kelola tradisional. Namun, percepatan ini juga menghadirkan risiko baru seperti paparan siber yang meningkat, manipulasi berbasis prompt, logika model yang tidak transparan (opaque reasoning), model drift, serta perubahan konfigurasi yang sering terjadi. Tanpa pengendalian internal yang kuat, risiko tersebut dapat mengganggu integritas operasional, pelaporan, dan kepatuhan.

Alih-alih menciptakan model tata kelola baru, publikasi ini mengadaptasi lima komponen utama COSO: Control Environment, Risk Assessment, Control Activities, Information & Communication, dan Monitoring Activities ke dalam praktik spesifik untuk GenAI. Pendekatan ini ditujukan bagi manajemen, tim operasional, fungsi risiko dan kepatuhan, pengendali keuangan, tata kelola TI, komite dewan, auditor eksternal, hingga internal audit.

Salah satu kontribusi utama panduan ini adalah pengenalan capability-first taxonomy, yang mengelompokkan use case GenAI ke dalam delapan tipe kapabilitas: ingestion, transformation, posting, orchestration, judgment, monitoring, regulatory intelligence, dan human–AI interaction. Setiap kategori dilengkapi pertimbangan pengendalian yang disesuaikan dengan bagaimana risiko GenAI muncul sepanjang siklus data hingga pengambilan keputusan.

Selain itu, panduan ini menyediakan audit-ready control mapping, termasuk contoh ekspektasi pengendalian minimum yang selaras dengan lima komponen COSO serta metrik ilustratif untuk mendukung monitoring operasional dan pengumpulan bukti audit. COSO juga menghadirkan artefak implementasi praktis seperti template matriks penilaian risiko, prosedur pengujian kontrol, dan dashboard metrik guna mempercepat penerapan dan mengurangi waktu menuju nilai (time-to-value).

Publikasi ini menegaskan bahwa meskipun GenAI mengubah cara informasi dihasilkan dan diproses, tujuan utama pengendalian internal tetap sama: memastikan organisasi mencapai tujuannya secara andal. Tantangannya bukan mengganti prinsip lama, melainkan menerapkannya dengan disiplin, transparansi, dan ketertelusuran yang lebih kuat. Dengan panduan ini, COSO memberikan kerangka kerja yang membantu organisasi memanfaatkan

potensi GenAI secara bertanggung jawab, sekaligus menjaga keandalan operasi, kualitas pelaporan, dan kepatuhan di tengah lanskap teknologi yang berkembang sangat cepat.

Referensi:

• COSO. (2026, February 23). COSO Releases Practical Roadmap for Managing Generative AI Risks and Controls. PR Newswire https://www.prnewswire.com/news-releases/coso-releases-practical-roadmap-for-managing-generative-ai-risks-and-controls-302694327.html