Menguji dasar, bukan menulis angka

Skor risiko perangkat daerah dan batas peran inspektorat

Faizul Abrori
Auditor, Inspektorat Aceh, Banda Aceh, Indonesia
ORCID 0009-0005-8378-6639

Versi 1.0 · 26 September 2026

Ringkasan

Dalam penilaian risiko perangkat daerah, setiap risiko diberi skor dampak dan skor kemungkinan. Ketika inspektorat mereviu skor itu dan tidak sependapat, angkanya sering diganti. Yang tersisa hanya angka akhir, tanpa jejak siapa yang menulisnya dan atas dasar apa.

Tulisan ini berpendapat bahwa auditor inspektorat tidak semestinya menulis skor risiko, termasuk ketika ia yakin angkanya keliru. Angka itu milik pemilik risiko, dan hanya pemilik risiko yang tahu seberapa sering sebuah peristiwa terjadi di unitnya. Yang bisa diuji auditor adalah dasar dan perhitungan skor itu. Pengujian semacam ini di sini disebut uji dasar perhitungan.

Penyusun register di perangkat daerah cenderung menerima apa yang disarankan inspektorat. Karena itu keberatan auditor juga tidak boleh menawarkan angka. Keberatan yang menyebut angka pada praktiknya tetap menulis angka, hanya lewat tangan orang lain. Dari situ disusun lima aturan kerja.

1. Satu angka akhir yang tidak menyimpan riwayatnya

Untuk setiap risiko, register risiko perangkat daerah memuat skor dampak dan skor kemungkinan. Hasil kali keduanya menentukan kategori risiko dan apakah risiko itu masuk daftar yang harus ditangani lebih dulu.

Ketika inspektorat mereviu register itu, perbedaan pendapat tentang skor sering berakhir dengan angka yang diganti. Kadang diganti oleh penyusun sesudah mendengar saran auditor, kadang langsung oleh auditor. Hasilnya sama, yaitu satu angka akhir. Tidak ada yang bisa membedakan mana angka dari pemilik risiko dan mana angka dari auditor, dan tidak ada yang tahu alasan perubahannya.

Cara auditor memperlakukan skor pun berbeda-beda. Ada yang hanya memberi catatan, ada yang meminta angka diubah, dan ada yang mengisikannya sendiri. Yang paling mengkhawatirkan adalah keadaan ketika penyusun di perangkat daerah belum memahami cara mengisi skor, lalu auditor yang lebih paham mengisikannya. Angka yang lahir dengan cara itu tidak bersumber dari keadaan unit yang dinilai. Ia perkiraan orang luar yang tercatat sebagai penilaian pemilik risiko.

2. Angka itu milik siapa

Peraturan tentang sistem pengendalian intern pemerintah menempatkan kewajiban menilai risiko pada pimpinan instansi (Pemerintah Republik Indonesia, 2008, Pasal 13 ayat (1)). Pedoman pengelolaan risiko pada pemerintah daerah memberi ruang bagi inspektorat untuk mereviu draf dokumen penilaian risiko, dan hasil reviu itu menjadi bahan bagi perangkat daerah untuk memperbaiki dokumen yang disusunnya (Badan Pengawasan Keuangan dan Pembangunan, 2019, hlm. 35).

Standar audit intern pemerintah Indonesia menggolongkan pendampingan sebagai jasa konsultansi, yaitu pemberian saran tanpa tanggung jawab manajemen berpindah ke auditor intern (Asosiasi Auditor Intern Pemerintah Indonesia, 2021, glosarium). Model tiga lini dalam audit intern menyatakan hal yang sama dari arah lain. Menurut model itu, audit intern menjaga independensinya dengan tidak mengambil keputusan atau tindakan yang menjadi tanggung jawab manajemen, termasuk manajemen risiko (The Institute of Internal Auditors, 2020, hlm. 9).

Menetapkan skor risiko termasuk keputusan manajemen. Auditor yang menuliskannya mengambil alih tanggung jawab itu, dan kelak inspektorat yang sama menilai angka yang ditulisnya sendiri. Akibatnya juga sampai ke perangkat daerah. Angka yang ditulis orang lain tidak lagi terasa sebagai milik perangkat daerah itu. Ketika risikonya benar-benar terjadi atau pengendaliannya gagal, tidak jelas siapa yang keliru menilai.

3. Yang bisa diuji auditor

Skor kemungkinan bertumpu pada seberapa sering sebuah peristiwa terjadi di unit yang dinilai. Skor dampak bertumpu pada seberapa besar akibatnya bagi tujuan unit itu. Keduanya diketahui oleh orang yang menjalankan kegiatan unit itu, bukan oleh orang yang mereviu skornya. Auditor yang menulis angka tandingan menukar perkiraan pemilik risiko dengan perkiraannya sendiri, dan perkiraan auditor tidak dengan sendirinya lebih dekat ke kenyataan.

Yang bisa diuji auditor adalah jalan dari angka ke dasarnya. Apakah skor kemungkinan itu punya dasar, misalnya catatan kejadian, keluhan, atau temuan sebelumnya? Apakah dasarnya dicocokkan dengan kriteria skala yang berlaku? Apakah hasil kalinya benar dan kategorinya sesuai? Dalam tulisan ini, pengujian semacam itu disebut uji dasar perhitungan, yaitu menelusuri balik angka yang sudah tertulis sampai ke dasar dan perhitungannya, bukan menilai ulang besarnya.

Uji dasar perhitungan bisa berakhir dengan kesimpulan bahwa sebuah skor tidak punya dasar, atau dasarnya tidak mendukung angka itu. Kesimpulan itu tetap bukan angka baru. Ia pertanyaan yang harus dijawab pemilik risiko.

4. Keberatan yang menawarkan angka tetap menulis angka

Menyerahkan penulisan skor kepada pemilik risiko belum cukup. Penyusun register, yaitu yang menghimpun isian pemilik risiko menjadi satu dokumen, sering kali staf pelaksana, bukan pejabat yang menetapkan kebijakan unitnya. Mereka cenderung menerima apa pun yang disarankan auditor inspektorat, karena saran itu datang dari pihak yang dianggap lebih paham dan yang kelak memeriksa.

Dalam keadaan itu, keberatan yang berbunyi "skor kemungkinan ini sebaiknya 4" akan dijawab dengan angka 4. Di register, angka itu tercatat sebagai revisi pemilik risiko. Dalam kenyataan, auditorlah yang menulisnya. Larangan menulis skor terlanggar tanpa auditor menyentuh satu kolom pun.

Karena itu keberatan hanya boleh berisi alasan dan pertanyaan tentang dasar, misalnya "skor kemungkinan belum menyebut dasar kejadiannya" atau "dasar yang disebut tidak sesuai dengan kriteria skala". Angka yang menjawab keberatan itu harus lahir dari pemilik risiko, sesudah ia sendiri memeriksa dasarnya.

5. Dua dorongan yang sama-sama merusak

Pemilik risiko wajib menyebut dasar setiap skor dan setiap revisinya, karena dua dorongan yang berlawanan arah muncul bersamaan.

Menerima semua keberatan supaya cepat selesai. Bagi perangkat daerah, register risiko adalah laporan wajib. Menerima setiap keberatan adalah cara tercepat menuntaskannya, apa pun isi keberatannya.

Menahan skor tetap rendah supaya tidak sering diawasi. Karena skor risiko ikut menentukan unit mana yang lebih sering diawasi, perangkat daerah punya alasan menjaga angkanya tetap rendah. Dorongan ini biasanya sudah bekerja sejak skor pertama ditulis, sebelum ada keberatan. Ia justru lahir dari penilaian risiko yang dipakai sebagaimana mestinya, yaitu memusatkan pengawasan pada unit yang paling berisiko.

Keduanya tidak teratasi dengan membiarkan auditor menulis angka. Auditor yang menaikkan skor yang terlalu rendah hanya memindahkan kepemilikannya. Yang mengatasi keduanya adalah dasar yang tercatat. Tanpa dasar baru, sebuah revisi terlihat sekadar upaya supaya cepat selesai. Skor rendah yang tidak didukung dasarnya terlihat sebagai skor yang bertahan tanpa alasan.

6. Aturan kerjanya

Aturan 1. Skor dampak dan kemungkinan hanya ditulis pemilik risiko. Auditor tidak menulis dan tidak mengubahnya, termasuk ketika penyusun meminta auditor mengisikannya. Pemilik risiko dan penyusun yang belum memahami cara menilai didampingi sampai bisa menilai sendiri, bukan digantikan.

Aturan 2. Auditor menguji dasar dan perhitungan skor, bukan besarnya. Uji dasar perhitungan memeriksa apakah skor punya dasar, apakah dasarnya dicocokkan dengan kriteria skala yang berlaku, dan apakah perhitungan serta kategorinya benar.

Aturan 3. Keberatan berisi alasan dan pertanyaan tentang dasar, tanpa angka usulan. Keberatan yang menyebut angka pada praktiknya menulis angka, karena penerimanya cenderung menyalinnya.

Aturan 4. Pemilik risiko menjawab keberatan dengan dasar, lalu merevisi atau bertahan. Keduanya dapat diterima. Yang tidak dapat diterima adalah jawaban tanpa dasar, baik berupa revisi maupun bertahan pada angka semula.

Aturan 5. Riwayat angka tetap terbaca. Angka awal, keberatan, jawaban, dan angka akhir tercatat berurutan dan bisa dibaca, baik oleh pimpinan perangkat daerah maupun oleh inspektorat saat menyusun rencana pengawasan tahun berikutnya. Angka akhir saja tidak cukup.

7. Cara mengetahui aturan ini berhasil

1. Apakah setiap skor dalam register ditulis pemilik risikonya sendiri?
2. Apakah setiap keberatan menyebut dasar yang dipersoalkan, dan tidak satu pun memuat angka usulan?
3. Apakah setiap revisi sesudah keberatan disertai dasar baru dari pemilik risiko?
4. Apakah skor yang bertahan sesudah keberatan disertai dasarnya, dan apakah pimpinan perangkat daerah membacanya?
5. Apakah inspektorat membaca riwayat skor, bukan hanya angka akhirnya, saat menyusun rencana pengawasan tahun berikutnya?

8. Batas klaim

Tulisan ini menyatakan aturan kerja dan belum melaporkan hasil pengukuran apa pun. Gambaran praktik di bagian 1, 4, dan 5 berasal dari pengamatan penulis, dan contoh bunyi keberatan di bagian 4 adalah rekaan.

Penulis bekerja di inspektorat dan juga merancang alat pengelolaan risiko yang dipakai perangkat daerah dan inspektorat. Aturan-aturan di atas lahir dari rancangan itu, sehingga penulis berkepentingan dengan keberhasilannya. Pembaca sebaiknya menimbangnya dengan mengingat peran ganda ini.

Tulisan ini tidak menolak peran inspektorat mereviu penilaian risiko. Pedoman justru memberi ruang untuk itu. Yang ditolak hanya satu bentuk pelaksanaannya, yaitu auditor yang menulis atau menawarkan angka. Aturan-aturan di atas juga tidak menjamin skor menjadi benar. Pemilik risiko tetap bisa bertahan pada angka yang keliru. Yang diusahakan hanya supaya kekeliruan itu miliknya, tercatat bersama dasarnya, dan terbaca oleh yang berwenang.

Aturan-aturan ini adalah usul penulis, bukan tafsir resmi atas standar atau pedoman mana pun. Tulisan ini tidak menyebut perangkat daerah mana pun, tidak memuat hasil evaluasi, dan tidak menilai satu unit pun.

Rujukan

• Asosiasi Auditor Intern Pemerintah Indonesia. (2021). Peraturan Nomor PER-01/AAIPI/DPN/2021 tentang Standar Audit Intern Pemerintah Indonesia. https://itjen.pertanian.go.id/storage/master/file/knno0IEe_saipi2021.pdf
• Badan Pengawasan Keuangan dan Pembangunan. (2019). Peraturan Deputi Bidang Pengawasan Penyelenggaraan Keuangan Daerah Nomor 4 Tahun 2019 tentang Pedoman Pengelolaan Risiko pada Pemerintah Daerah.
• Pemerintah Republik Indonesia. (2008). Peraturan Pemerintah Nomor 60 Tahun 2008 tentang Sistem Pengendalian Intern Pemerintah (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 127).
• The Institute of Internal Auditors. (2020). The IIA's Three Lines Model: An update of the Three Lines of Defense. https://www.theiia.org/globalassets/site/about-us/advocacy/three-lines-model-updated.pdf