Blok 3 — Responsibility Assigned: Tiga Lini Pertahanan dan Seni Membagi Tanggung Jawab Pajak

Peta risiko yang lengkap (blok 2) tidak menjaga dirinya sendiri. Blok ketiga TCF menuntut setiap risiko dan kontrol punya nama pemilik — bukan nama departemen, bukan "tim", tapi peran yang jelas dengan wewenang yang jelas. Kerangka kerjanya: model tiga lini (pemilik proses menjalankan kontrol, fungsi pajak merancang dan memantau, internal audit menguji independen) ditambah RACI matrix untuk membereskan siapa memutuskan apa. Artikel ini juga membedah dua isu yang sangat Indonesia: fungsi pajak yang "menumpang" di bagian akuntansi tanpa mandat formal, dan kenyataan hukum bahwa pengurus ikut menanggung kewajiban pajak perusahaan — yang membuat kejelasan tanggung jawab bukan sekadar kerapian organisasi, melainkan perlindungan diri.

Tragedi Milik Bersama

Ada hukum tak tertulis dalam organisasi yang berlaku universal, dari kantor pemerintah sampai startup:

Sesuatu yang menjadi tanggung jawab semua orang, pada praktiknya tidak menjadi tanggung jawab siapa pun.

Para ekonom menyebut fenomena serupa tragedy of the commons — tragedi milik bersama. Dalam urusan pajak, tragedi ini punya wajah yang sangat familiar. Coba tanyakan di perusahaan Anda: siapa yang bertanggung jawab jika terjadi salah potong PPh atas vendor?

Kemungkinan besar jawabannya berlapis-lapis dan saling menunjuk: bagian pembelian bilang "kami kan hanya proses pengadaan, urusan pajak di finance"; bagian hutang usaha bilang "kami memotong sesuai data di sistem"; bagian pajak bilang "kami melaporkan sesuai yang sudah dipotong"; dan sistem — yang master datanya salah sejak awal — tidak bisa disalahkan karena ia hanya menjalankan perintah. Kesalahan terjadi, semua terlibat, tidak ada yang bertanggung jawab. Dan karena tidak ada yang bertanggung jawab, tidak ada yang memperbaiki — kesalahan yang sama berulang bulan depan.

Blok ketiga TCF, responsibility assigned, adalah obat untuk tragedi ini. Prinsipnya satu kalimat: setiap risiko pajak yang teridentifikasi harus punya pemilik dengan nama peran yang jelas, wewenang yang cukup, dan garis eskalasi yang tegas. Kedengarannya administratif. Praktiknya, inilah blok yang paling menentukan apakah lima blok lainnya hidup atau tinggal dokumen.

Kerangka Kerja: Tiga Lini Pertahanan versi Pajak

Dunia tata kelola punya kerangka yang teruji untuk membagi tanggung jawab pengendalian: model tiga lini (three lines model). Diterjemahkan ke wilayah pajak, susunannya seperti ini:

Lini 1 — Pemilik proses: yang menjalankan kontrol setiap hari

Inilah lini yang paling sering salah dipahami. Lini pertama pertahanan pajak bukan departemen pajak — melainkan para pemilik proses bisnis tempat risiko lahir: tim procurement yang memastikan klausul pajak masuk kontrak, tim hutang usaha yang memverifikasi dokumen vendor sebelum membayar, tim penjualan yang menerbitkan faktur tepat waktu, tim HR yang memetakan benefit karyawan, tim master data yang menjaga tabel kode pajak di sistem.

Mengapa mereka? Karena kontrol paling efektif adalah kontrol yang menyatu dengan pekerjaan, dijalankan oleh orang yang paling dekat dengan transaksi, pada saat transaksi terjadi — bukan koreksi yang datang berminggu-minggu kemudian dari departemen lain. (Ingat pelajaran blok 2: risiko lahir di delapan wilayah yang tidak satu pun milik departemen pajak. Konsekuensi logisnya: penjaga pertamanya pun harus orang-orang di wilayah itu.)

Lini 2 — Fungsi pajak: arsitek dan menara pengawas

Kalau lini 1 menjalankan kontrol, lini 2 — fungsi pajak — melakukan tiga hal yang berbeda: merancang (menentukan kontrol apa yang harus ada di mana, menerjemahkan perubahan peraturan menjadi perubahan prosedur), mendampingi (menjadi tempat bertanya, melatih lini 1 mengenali titik sentuh pajak), dan memantau (mereviu, merekonsiliasi, menganalisis anomali — mendeteksi apa yang lolos dari lini 1).

Perhatikan pergeseran perannya: dalam model ini fungsi pajak bukan lagi pabrik SPT. Penyusunan SPT tetap tugasnya, tapi identitas barunya adalah arsitek sistem kendali dan menara pengawas. Ini pergeseran identitas profesional yang nyata — dari "orang yang mengerjakan pajak" menjadi "orang yang memastikan pajak dikerjakan dengan benar oleh seluruh organisasi".

Lini 3 — Internal audit: penguji yang tidak ikut bermain

Lini 3 tidak merancang dan tidak menjalankan — justru karena itulah nilainya: independensi. Internal audit menguji apakah kontrol pajak yang dirancang lini 2 dan dijalankan lini 1 benar-benar bekerja, dengan metode audit yang objektif, dan melaporkan hasilnya bukan ke manajemen yang diuji melainkan ke komite audit/dewan komisaris.

Kelemahan umum di sini: tim internal audit sering kuat di audit keuangan dan operasional tapi tipis di kompetensi pajak, sehingga pengujian kontrol pajak hanya menyentuh kulit (apakah SPT lapor tepat waktu) dan tidak pernah masuk ke daging (apakah klasifikasi objek potput di master data benar). Solusinya bisa berupa pelatihan, guest auditor dari fungsi pajak entitas lain dalam grup, atau — di sinilah pihak eksternal berperan wajar — co-sourcing pengujian kontrol pajak kepada konsultan independen.

Di atas ketiganya: direksi dan komisaris

Model tiga lini berdiri di bawah dua pengampu: direksi yang memiliki seluruh sistem dan menetapkan arah (strategi pajak, blok 1), dan dewan komisaris/komite audit yang mengawasi apakah sistem itu berjalan. Peran komite audit sering diringkas dalam satu kewajiban sederhana: menanyakan pertanyaan yang tepat secara berkala — dan kita akan bedah daftar pertanyaannya di artikel tersendiri (artikel #44 dalam seri ini).

Alat Bantu Presisi: RACI Matrix Pajak

Tiga lini memberi arsitektur besar. Tapi di dalam keseharian, konflik tanggung jawab terjadi di level yang lebih halus: untuk risiko spesifik ini, siapa persisnya melakukan apa? Alat bantunya klasik dan efektif: RACI matrix — memetakan setiap risiko/kontrol utama ke empat peran:

• R — Responsible: yang mengerjakan kontrolnya.
• A — Accountable: yang mempertanggungjawabkan hasilnya — hanya boleh satu nama peran per baris. Dua orang accountable = tidak ada yang accountable.
• C — Consulted: yang dimintai pendapat sebelum keputusan.
• I — Informed: yang cukup diberi tahu.

Contoh tiga baris untuk merasakan bentuknya:

Perhatikan baris ketiga: untuk isu yang material, accountable-nya naik ke direktur — bukan karena manajer pajak tidak kompeten, melainkan karena keputusan mengambil risiko material adalah wewenang yang hanya sah di level itu (sambungan langsung dari selera risiko di blok 1). Di sinilah RACI bertemu dengan matriks eskalasi: ambang nilai atau jenis isu yang menentukan sebuah keputusan berhenti di meja siapa. Tanpa ambang tertulis, yang terjadi adalah pola paling berbahaya dalam tata kelola pajak: keputusan besar diambil diam-diam di level kecil — bukan karena niat buruk, tapi karena tidak ada yang bilang harus naik.

Dua Kenyataan yang Sangat Indonesia

Sampai sini kerangkanya universal. Sekarang dua kenyataan lokal yang membuat blok ini terasa berbeda urgensinya di Indonesia.

Kenyataan 1: Fungsi pajak yang menumpang tanpa mandat

Potret yang sangat umum di perusahaan Indonesia, termasuk yang beromzet triliunan: "fungsi pajak" secara struktural adalah dua-tiga orang di bawah manajer akuntansi, yang jabatannya lahir dari kebutuhan menyusun SPT — bukan dari desain tata kelola. Konsekuensinya sistemik:

• Tidak punya mandat lintas fungsi. Bagaimana staf di bawah manajer akuntansi bisa mewajibkan kepala procurement mengubah prosedur kontrak? Secara struktur, tidak bisa. Maka kontrol di delapan wilayah titik buta (blok 2) tidak pernah terpasang — bukan karena tidak tahu, tapi karena tidak berdaya.
• Terkunci di hilir. Seluruh energinya habis untuk kepatuhan formal bulanan; tidak tersisa kapasitas untuk peran lini 2 yang sesungguhnya (merancang, mendampingi, memantau).
• Konflik peran yang tak terlihat. Ketika fungsi pajak berada di dalam akuntansi, siapa yang mereviu perlakuan pajak atas kebijakan akuntansi itu sendiri? Yang mereviu dan yang direviu duduk di meja yang sama.

Obatnya tidak selalu berupa restrukturisasi besar. Yang minimal harus ada: mandat tertulis — penegasan formal (dalam kebijakan pajak atau piagam) bahwa fungsi pajak berwenang menetapkan persyaratan kontrol pajak pada proses fungsi lain, dengan sponsor langsung dari direktur keuangan. Mandat selembar itu sering lebih mengubah keadaan daripada penambahan tiga staf.

Kenyataan 2: Pengurus ikut menanggung — secara pribadi

Ketentuan umum perpajakan Indonesia telah lama mengatur bahwa pengurus adalah wakil wajib pajak badan yang bertanggung jawab atas pemenuhan kewajiban perpajakannya — dan dalam keadaan tertentu tanggung jawab itu dapat menjangkau harta pribadi, bahkan ranah pidana bila terdapat unsur kesengajaan atau kealpaan. (Catatan redaksi: rujukan pasal dan lingkupnya agar diverifikasi terhadap ketentuan berlaku.)

Baca kembali kenyataan pertama dengan kacamata kenyataan kedua, dan absurditasnya terlihat: pihak yang menanggung risiko terbesar (direksi) sering kali adalah pihak yang paling tidak tahu bagaimana risiko itu dikelola — karena struktur di bawahnya tidak pernah dirancang untuk melaporkan ke atas. Direktur yang menandatangani SPT tanpa pernah menerima laporan efektivitas kontrol pajak pada dasarnya sedang menandatangani pertanggungjawaban pribadi atas sistem yang tidak ia lihat.

Blok 3, dari sudut pandang seorang direktur, bukanlah proyek kerapian organisasi. Ia adalah mekanisme perlindungan diri yang paling rasional: memastikan ada nama di setiap risiko, ada laporan yang naik secara berkala, dan ada bukti bahwa direksi menjalankan pengurusannya dengan tata kelola yang memadai.

Tiga Kesalahan Umum Saat Membagi Tanggung Jawab

1. Menugaskan departemen, bukan peran. "Kontrol ini tanggung jawab bagian finance" — kalimat yang terdengar jelas dan tidak menugaskan siapa pun. Tanggung jawab yang bisa ditagih selalu melekat pada peran (manajer hutang usaha, kepala procurement), bukan pada kerumunan.
2. Memberi tanggung jawab tanpa wewenang dan kapasitas. Menunjuk tim master data sebagai pemilik kontrol klasifikasi pajak tanpa pernah melatih mereka membaca objek pemotongan adalah menyiapkan kambing hitam, bukan kontrol. Setiap penugasan harus datang sepaket: kejelasan tugas, pelatihan, alat bantu (pedoman klasifikasi dari lini 2), dan wewenang berkata "tidak" (menolak memproses vendor yang dokumennya tidak lengkap).
3. Membiarkan lini 2 mengerjakan segalanya. Reaksi spontan banyak perusahaan saat sadar pentingnya kontrol pajak: menambah beban departemen pajak — mereviu semua kontrak, memverifikasi semua vendor, mengecek semua benefit HR. Model ini pasti kolaps: fungsi pajak menjadi leher botol seluruh perusahaan, dan begitu volumenya melewati kapasitas, review menjadi stempel. Desain yang benar selalu: kontrol ditanam di lini 1, lini 2 mengawasi dengan uji petik dan analisis.

Penutup: Nama Sudah Tertulis, Sekarang Tuliskan Semuanya

Mari rangkum perjalanan tiga blok: strategi memberi arah (blok 1), pemetaan memberi cakupan (blok 2), dan penugasan memberi penjaga di setiap titik (blok 3). Arsitektur manusianya lengkap.

Tapi ada satu kerapuhan yang belum teratasi: semua kesepakatan itu — siapa menjaga apa, kontrol mana di titik mana, kapan isu naik ke atas — saat ini masih hidup di kepala orang-orang dan di notulen rapat yang tercecer. Orang pindah, kepala lupa, notulen hilang. Sistem yang hanya hidup di ingatan akan mati bersama pergantian orang.

Maka blok keempat: menuliskan semuanya — secara sistematis, teruji struktur, dan siap diperiksa. Di sanalah kita akan berkenalan dengan dokumen paling operasional dalam seluruh TCF: tax control matrix.

Referensi Utama

1. OECD (2016), Building Better Tax Control Frameworks (seri publikasi Forum on Tax Administration), OECD Publishing, Paris.
2. The Institute of Internal Auditors (2020), The IIA's Three Lines Model.
3. COSO (2013), Internal Control — Integrated Framework (komponen lingkungan pengendalian dan aktivitas pemantauan).
4. Ketentuan umum dan tata cara perpajakan Indonesia mengenai wakil wajib pajak badan dan tanggung jawab pengurus.