Blok 5 — Testing Performed: Cara Menguji Kontrol Pajak Seperti Auditor (Sebelum Auditor Sungguhan Datang)

Kontrol yang tidak pernah diuji statusnya sama dengan alarm kebakaran yang tidak pernah dicek baterainya: memberi rasa aman, tidak memberi keamanan. Blok kelima TCF menuntut kontrol pajak diuji secara berkala — dan pengujian itu punya ilmunya sendiri: dua level uji (desain vs pelaksanaan), empat metode (tanya, amati, periksa bukti, kerjakan ulang), frekuensi berbasis risiko, dan siklus tindak lanjut temuan yang tuntas. Artikel ini menerjemahkan disiplin auditor ke bahasa praktisi pajak — supaya perusahaan Anda menemukan kontrol yang bolong lebih dulu daripada pihak yang datang menguji kemudian: internal audit, auditor eksternal, atau pemeriksa pajak. Karena dalam urusan kontrol, satu-satunya pertanyaan adalah: siapa yang menemukan lubangnya lebih dulu — Anda, atau mereka?

Alarm yang Tidak Pernah Dicek

Hampir setiap gedung punya alarm kebakaran. Pertanyaannya bukan itu. Pertanyaannya: kapan terakhir kali alarm itu diuji?

Gedung yang alarmnya terpasang tapi tidak pernah diuji sesungguhnya berada dalam kondisi paling berbahaya — lebih berbahaya daripada gedung tanpa alarm. Penghuninya merasa terlindungi, sehingga berhenti waspada; padahal perlindungannya mungkin sudah mati bertahun-tahun. Rasa aman tanpa keamanan.

Persis itulah kondisi kontrol pajak di banyak perusahaan yang sudah "selesai" membangun TCF-nya. Kebijakan tersusun, TCM terisi rapi, SOP tersosialisasi — lalu semua orang kembali sibuk, dan tidak ada satu pun yang pernah memeriksa: apakah rekonsiliasi bulanan itu benar-benar dikerjakan, atau tinggal templatenya? Apakah verifikasi vendor benar-benar menolak yang tidak lengkap, atau meloloskan semua sambil mencentang formulir?

Waktu bekerja melawan kontrol. Orang berganti dan penggantinya tidak diserahterimakan dengan utuh. Volume naik dan review berubah jadi stempel. Sistem di-upgrade dan konfigurasi pajaknya tergeser. Peraturan berubah dan tabel klasifikasi tertinggal. Tanpa pengujian, kontrol tidak mati mendadak — ia lapuk pelan-pelan, tanpa suara, sampai suatu hari surat pemeriksaan datang dan barulah semua orang tahu alarmnya sudah lama tidak berbunyi.

Blok kelima, testing performed, adalah jadwal rutin mengecek baterai. Dan kabar baiknya: ilmunya sudah matang — dunia audit sudah puluhan tahun menyempurnakannya. Tugas kita hanya meminjam dan menerjemahkannya ke bahasa pajak.

Dua Level Uji: Desainnya Benar? Jalannya Benar?

Kesalahan konsep paling umum dalam pengujian kontrol: mengira pengujian itu satu pertanyaan. Padahal dua — dan keduanya bisa gagal secara terpisah.

Level 1 — Design effectiveness: kalau kontrol ini dijalankan sempurna, apakah risikonya benar-benar tertangani?

Uji desain memeriksa logika kontrol, bukan pelaksanaannya. Kontrol bisa dikerjakan rajin setiap bulan dan tetap tidak berguna karena desainnya bolong. Contoh nyata yang sering ditemukan:

• Rekonsiliasi omzet dikerjakan tekun — tapi hanya membandingkan GL dengan SPT Masa PPN, tidak pernah menyentuh SPT Tahunan. Sepertiga risiko tidak pernah tersentuh desainnya.
• Review kontrak oleh fungsi pajak diwajibkan — tapi ambangnya terlalu tinggi sehingga 95% kontrak lewat tanpa review, termasuk jenis-jenis jasa yang justru paling rawan salah klasifikasi.
• Verifikasi vendor dilakukan — oleh peran yang sama yang menginput vendor. Pemeriksa memeriksa dirinya sendiri; desainnya melanggar pemisahan fungsi.

Uji desain cukup dilakukan sekali di awal dan setiap kali kontrol/proses berubah. Alatnya sederhana: duduk dengan pemilik kontrol, telusuri satu transaksi dari ujung ke ujung (walkthrough), dan tanyakan di tiap langkah — risiko yang mana yang tertangkap di sini, dan yang mana yang bisa lolos?

Level 2 — Operating effectiveness: kontrol yang desainnya benar itu — benarkah dijalankan, konsisten, oleh orang yang tepat, sepanjang periode?

Inilah pengujian yang harus berulang. Kontrol dengan desain sempurna gugur di sini karena hal-hal yang sangat manusiawi: dikerjakan tapi tidak setiap bulan; dikerjakan oleh staf magang yang tidak paham apa yang dicari; ditandatangani reviewer tanpa dibaca; berhenti dikerjakan sejak pemiliknya pindah bagian — dan tidak ada yang sadar.

Dua level ini menghasilkan matriks diagnosis yang berguna: desain gagal → perbaiki kontrolnya; pelaksanaan gagal → perbaiki disiplin, kapasitas, atau bebannya; dua-duanya gagal → risiko itu efektifnya telanjang, berapa pun rapinya TCM di atas kertas.

Empat Metode Menguji (Dari yang Terlemah ke yang Terkuat)

Bagaimana cara mengumpulkan bukti bahwa kontrol berjalan? Dunia audit mengenal empat metode, berurutan dari yang paling lemah ke paling kuat daya buktinya:

1. Inquiry — bertanya. "Apakah rekonsiliasi ini dikerjakan setiap bulan?" Cepat, murah, dan paling lemah: orang cenderung menjawab apa yang seharusnya, bukan apa yang terjadi. Aturan bakunya: inquiry tidak pernah cukup sendirian — ia pembuka, bukan bukti.
2. Observation — mengamati. Melihat langsung kontrol dijalankan: duduk di samping staf hutang usaha saat memverifikasi dokumen vendor. Lebih kuat dari bertanya, tapi punya kelemahan bawaan: orang bekerja lebih rapi saat ditonton. Observasi membuktikan kontrol bisa berjalan — bukan bahwa ia berjalan saat tidak ada yang melihat.
3. Inspection — memeriksa bukti. Mengambil rekaman historis dan memeriksanya: 12 kertas kerja rekonsiliasi setahun terakhir — lengkap semua? Selisihnya dijelaskan? Tanda tangan reviewer ada dan tanggalnya masuk akal (bukan 12 dokumen ditandatangani di hari yang sama menjelang pengujian)? Inilah metode kerja utama pengujian: bukti historis tidak bisa berpura-pura rajin.
4. Reperformance — mengerjakan ulang. Metode terkuat: penguji mengerjakan sendiri kontrolnya secara independen dan membandingkan hasil. Ambil data GL dan SPT, susun rekonsiliasinya sendiri — ketemu selisih yang sama? Ambil 25 pembayaran vendor, tentukan sendiri klasifikasi dan tarif potputnya dari dokumen sumber — cocok dengan yang dipotong sistem? Reperformance mahal waktu, maka disimpan untuk kontrol yang paling kritikal.

Untuk memilih sampel pada inspection dan reperformance, tidak perlu rumit di tahap awal: yang penting sampel tidak dipilih oleh pihak yang diuji, mencakup seluruh periode (bukan hanya bulan-bulan rapi), dan menyertakan transaksi yang tidak biasa — karena di transaksi tidak biasalah kontrol paling sering gagal.

Frekuensi Berbasis Risiko: Tidak Semua Kontrol Diuji Sama Sering

Menguji semua kontrol setiap tahun dengan intensitas sama adalah resep kehabisan napas di tahun kedua. Prinsip blok 5 sejalan dengan seluruh filosofi TCF: proporsional terhadap risiko.

Tiga variabel penentu seberapa sering dan sedalam apa sebuah kontrol diuji:

• Besarnya risiko yang dijaga — kontrol atas risiko berdampak material diuji tiap tahun dengan metode kuat; risiko kecil cukup dua-tiga tahun sekali atau lewat reviu analitis.
• Sifat kontrolnya — kontrol otomatis yang lingkungannya stabil cukup diuji desain dan konfigurasinya sekali, lalu diuji ulang hanya saat sistem berubah; kontrol manual — yang bergantung pada disiplin manusia — justru butuh pengujian pelaksanaan yang lebih rutin.
• Riwayatnya — kontrol yang pernah gagal, baru berubah, atau baru berganti pemilik masuk daftar pantau dengan frekuensi lebih rapat sampai terbukti stabil.

Hasil akhirnya adalah rencana pengujian tahunan: kalender sederhana yang menyebut kontrol mana diuji kapan, oleh siapa, dengan metode apa — dokumen sepupu TCM yang membuat blok 5 bisa dikelola, bukan diimprovisasi.

Ketika Ditemukan Lubang: Siklus yang Harus Tuntas

Pengujian yang berhenti pada "ditemukan temuan" hanyalah separuh pekerjaan — dan separuh yang tidak berguna. Siklus lengkapnya empat langkah:

1. Nilai dulu beratnya. Tidak semua temuan setara. Rekonsiliasi telat sehari berbeda kelas dengan rekonsiliasi yang setahun tidak dikerjakan. Pertanyaan kuncinya selalu: risiko apa yang selama ini terbuka, seberapa lama, dan adakah indikasi kesalahan pajak nyata yang sudah telanjur terjadi di periode terbukanya?
2. Bedakan dua tindak lanjut. Temuan kontrol melahirkan dua pekerjaan yang tidak boleh dicampur: memperbaiki kontrolnya (remediasi ke depan) dan membereskan dampaknya (menghitung eksposur historis; bila ditemukan kesalahan nyata, mempertimbangkan pembetulan secara proaktif — yang hampir selalu lebih murah daripada menunggu ditemukan). Perusahaan yang hanya mengerjakan yang pertama sedang menyapu lantai sambil membiarkan genangan di kolong.
3. Remediasi dengan pemilik dan tenggat. Rencana perbaikan tanpa nama dan tanggal adalah harapan, bukan rencana. Setiap temuan masuk daftar tindak lanjut dengan pemilik (sesuai RACI), tenggat, dan status yang dipantau — daftar yang sama yang kelak dilaporkan ke direksi (blok 6).
4. Uji ulang. Temuan hanya boleh ditutup oleh pengujian ulang yang membuktikan kontrol sudah berjalan — bukan oleh email "sudah kami perbaiki". Kontrol yang gagal lalu diperbaiki tanpa diuji ulang adalah alarm yang baterainya diganti tanpa pernah ditekan tombol tesnya.

Siapa yang Menguji? Tiga Lapis, Satu Prinsip

Pertanyaan terakhir dan paling praktis. Jawabannya mengikuti arsitektur tiga lini dari blok 3 — dengan satu prinsip yang tidak bisa ditawar: makin tinggi nilai keyakinan yang dibutuhkan, makin independen pengujinya harus dari yang diuji.

• Lapis pertama: self-testing lini 1. Pemilik kontrol memeriksa pekerjaannya sendiri lewat checklist dan reviu berjenjang. Murah dan mendidik — tapi nilainya sebagai bukti rendah, karena tidak ada orang yang objektif menilai dirinya sendiri.
• Lapis kedua: monitoring lini 2. Fungsi pajak menguji kontrol yang dijalankan lini 1 — uji petik klasifikasi vendor, reviu kualitas rekonsiliasi, analisis anomali. Inilah mesin pengujian rutin sehari-hari.
• Lapis ketiga: pengujian independen. Untuk kontrol paling kritikal — dan untuk menguji pekerjaan lini 2 itu sendiri — pengujinya harus pihak yang tidak ikut merancang maupun menjalankan: internal audit, atau pihak eksternal. Di sinilah keterbatasan yang jujur harus diakui: internal audit banyak perusahaan belum berkedalaman teknis pajak, sementara fungsi pajak tidak boleh menguji dirinya sendiri. Jalan keluar yang lazim ditempuh perusahaan yang serius: co-sourcing pengujian kepada spesialis pajak independen — masuk secara berkala, menguji dengan metode auditor, dan memberi laporan yang punya bobot di mata direksi, auditor eksternal, dan (kelak) otoritas.

Ada satu bonus strategis dari pengujian independen yang layak disebut: ia adalah gladi resik pemeriksaan pajak. Perusahaan yang kontrolnya rutin diuji pihak independen dengan metode audit tidak akan gugup saat pemeriksa sungguhan datang — dokumennya sudah biasa diminta, orangnya sudah biasa ditanya, dan lubangnya sudah ditambal jauh hari. Kembali ke pertanyaan pembuka artikel ini: siapa yang menemukan lubangnya lebih dulu? Pengujian adalah cara memastikan jawabannya selalu: Anda.

Penutup: Dari Bukti Menjadi Keyakinan

Dengan blok 5, TCF perusahaan Anda kini menghasilkan sesuatu yang belum dihasilkan blok mana pun sebelumnya: bukti. Bukti bahwa kontrol bukan hanya dirancang dan dituliskan, tapi berjalan — atau bukti jujur tentang di mana ia belum berjalan, lengkap dengan rencana perbaikannya.

Tapi bukti yang menumpuk di laci fungsi pajak belum menjadi apa-apa. Ia harus diolah menjadi satu produk akhir: keyakinan — yang dilaporkan ke direksi yang menandatangani SPT, ke komite audit yang mengawasi, ke auditor eksternal yang menilai angka pajak di laporan keuangan, dan suatu hari nanti, ke otoritas pajak yang menimbang seberapa besar kepercayaan pantas diberikan. Mengubah tumpukan bukti menjadi keyakinan yang bisa dipertanggungjawabkan — itulah blok keenam, blok pamungkas.

Referensi Utama

1. OECD (2016), Building Better Tax Control Frameworks (seri publikasi Forum on Tax Administration), OECD Publishing, Paris.
2. COSO (2013), Internal Control — Integrated Framework (komponen monitoring activities).
3. Standar dan praktik pengujian pengendalian internal dalam profesi audit (metode inquiry, observation, inspection, reperformance; konsep design vs operating effectiveness — antara lain dari praktik ICFR/SOX sebagai pembanding metodologis).
4. The Institute of Internal Auditors (2020), The IIA's Three Lines Model.