Standar Internasional Pendukung TCF: COSO, ISO 31000, GRI 207, dan ICAP — Peta Perkakas Sang Pembangun

Enam building blocks OECD memberi tahu apa yang harus dibangun. Tapi begitu mulai membangun, praktisi akan berjumpa dengan nama-nama standar lain yang berseliweran di setiap diskusi: COSO, ISO 31000, GRI 207, ICAP — plus inisiatif sukarela dunia usaha. Kabar buruknya: nama-nama ini sering dipakai bergantian secara keliru, membuat proyek TCF bingung memilih "kiblat". Kabar baiknya: mereka tidak saling bersaing — mereka mengisi lapisan yang berbeda. COSO adalah tulang punggung pengendalian internal (bagaimana kontrol dibangun), ISO 31000 adalah bahasa manajemen risiko (bagaimana risiko dikelola — dan jembatan ke ERM perusahaan), GRI 207 adalah standar pengungkapan publik (bagaimana menceritakannya ke dunia), dan ICAP adalah panggung multilateral tempat TCF yang matang dipanen manfaatnya lintas negara. Artikel ini memetakan keempatnya — apa itu, untuk apa, dan bagian TCF mana yang dilayaninya — supaya Anda tahu perkakas mana diambil untuk pekerjaan yang mana.

Masalah "Terlalu Banyak Kiblat"

Ada satu momen yang hampir selalu terjadi di rapat awal proyek TCF. Seseorang bertanya polos: "Kita pakai framework apa — OECD, COSO, atau ISO?" — dan ruangan terbelah. Tim internal audit membawa COSO (bahasa sehari-hari mereka). Tim manajemen risiko membawa ISO 31000 (kiblat ERM perusahaan). Konsultan pajak membawa enam blok OECD. Tim keberlanjutan menyebut GRI 207. Semua merasa membawa peta yang benar — dan memang benar semuanya.

Kesalahannya ada pada kata "atau". Pertanyaan itu seperti bertanya kepada tukang bangunan: "Bapak pakai palu atau gergaji atau meteran?" Jawabannya tentu: semuanya — untuk pekerjaan yang berbeda. Standar-standar ini beroperasi di lapisan yang berbeda dari bangunan yang sama:

• Enam blok OECD = cetak biru spesifik bangunannya (TCF): ruangan apa saja yang wajib ada.
• COSO = ilmu teknik sipilnya: bagaimana struktur pengendalian internal yang kokoh dibangun — untuk pajak maupun untuk apa pun.
• ISO 31000 = ilmu manajemen risikonya: bagaimana risiko diidentifikasi dan dikelola — dan bahasa yang menyambungkan TCF ke sistem risiko perusahaan (ERM).
• GRI 207 = standar memamerkan rumahnya ke publik: apa yang layak dan wajib diceritakan keluar.
• ICAP = forum penilaian internasionalnya: tempat rumah yang sudah jadi diperiksa banyak "dinas" sekaligus dan pemiliknya mendapat ketenangan lintas negara.

Mari kunjungi satu per satu — dengan format seragam: apa itu, mengapa relevan untuk TCF, dan cara memakainya.

1. COSO: Tulang Punggung yang Sudah Ada di Rumah Anda

Apa itu. COSO Internal Control — Integrated Framework (versi 2013) adalah standar de facto dunia untuk pengendalian internal — kerangka yang sama yang dipakai auditor menilai kontrol pelaporan keuangan (ICFR/SOX) di seluruh dunia. Strukturnya terkenal ringkas: lima komponen yang dijabarkan dalam tujuh belas prinsip:

1. Lingkungan pengendalian (control environment) — tone at the top, integritas, struktur, kompetensi.
2. Penilaian risiko (risk assessment) — identifikasi dan analisis risiko terhadap tujuan.
3. Aktivitas pengendalian (control activities) — kebijakan dan prosedur yang memitigasi risiko.
4. Informasi & komunikasi — data dan komunikasi yang mendukung kontrol berjalan.
5. Aktivitas pemantauan (monitoring activities) — evaluasi berkelanjutan/berkala atas efektivitas.

Mengapa relevan untuk TCF. Baca ulang lima komponen itu — lalu baca ulang enam blok OECD. Kesejajarannya bukan kebetulan; OECD sendiri menyebut TCF sebagai bagian dari kerangka pengendalian internal perusahaan. Petanya kira-kira: lingkungan pengendalian ↔ strategi & tanggung jawab (blok 1, 3); penilaian risiko ↔ cakupan menyeluruh (blok 2); aktivitas pengendalian + informasi & komunikasi ↔ dokumentasi & kontrol (blok 4); pemantauan ↔ pengujian & assurance (blok 5, 6). Enam blok, dalam arti yang sangat nyata, adalah COSO yang dispesialisasikan untuk pajak.

Cara memakainya. Dua manfaat praktis. Pertama, jangan membangun dari nol: perusahaan yang sudah menjalankan ICFR (semua emiten dan perusahaan teraudit serius) sudah punya otot, kosakata, dan bahkan sebagian kontrol yang tinggal diperluas ke pajak — rekonsiliasi, pemisahan fungsi, kontrol akses, jejak reviu. Proyek TCF yang cerdas memulai dengan inventarisasi: kontrol keuangan mana yang sudah sekaligus mengendalikan risiko pajak, mana yang tinggal dimodifikasi, mana yang benar-benar harus baru. Kedua, bicara bahasa auditor: TCF yang disusun dengan struktur COSO langsung bisa "dibaca" internal audit dan auditor eksternal tanpa penerjemahan — mempermulus blok 5 dan 6 (dan musim audit Anda, seperti dibahas di artikel #9).

2. ISO 31000: Bahasa Bersama dengan Dunia Risiko

Apa itu. ISO 31000 adalah standar internasional manajemen risiko — bukan tentang kontrol, tapi tentang disiplin mengelola risiko: prinsip-prinsipnya, kerangkanya, dan prosesnya (identifikasi → analisis → evaluasi → perlakuan risiko, dibungkus komunikasi dan pemantauan berkelanjutan). Inilah kiblat yang umum dipakai fungsi Enterprise Risk Management (ERM) perusahaan.

Mengapa relevan untuk TCF. Satu kegagalan senyap yang sering menimpa TCF: ia dibangun sebagai pulau — register risiko pajak sendiri, skala dampak sendiri, istilah sendiri — terpisah dari ERM perusahaan. Akibatnya risiko pajak tidak pernah muncul di peta risiko korporat yang dibaca direksi dan komite risiko; ia hidup (dan mati) di laci fungsi pajak. ISO 31000 adalah obatnya: dengan menyusun risk assessment pajak (artikel kita tentang teknik penilaian risiko) memakai struktur, skala, dan taksonomi yang sama dengan ERM, risiko pajak otomatis "tersambung ke listrik" tata kelola perusahaan — naik ke agenda yang sama, dilaporkan di dasbor yang sama, diperlakukan sesetara risiko operasional dan keuangan lainnya.

Cara memakainya. Sederhana dan sangat konkret: sebelum membangun register risiko pajak, pinjam dulu dokumen kerangka ERM perusahaan (kalau ada) — pakai definisi dampak-kemungkinannya, kategori risikonya, dan siklus pelaporannya. Kalau perusahaan belum punya ERM formal, bangun register pajak dengan proses ISO 31000 — kelak justru bisa menjadi contoh bagi fungsi risiko lainnya.

3. GRI 207: Ketika TCF Harus Bisa Diceritakan ke Publik

Apa itu. GRI 207: Tax (2019) adalah standar pelaporan keberlanjutan khusus pajak — bagian dari keluarga standar GRI yang dipakai mayoritas pelapor keberlanjutan dunia, termasuk banyak emiten Indonesia. Empat pengungkapannya:

• 207-1 — Pendekatan terhadap pajak: strategi pajak, siapa yang mengesahkan, kaitannya dengan strategi bisnis dan keberlanjutan.
• 207-2 — Tata kelola, pengendalian, dan manajemen risiko pajak: siapa bertanggung jawab, bagaimana risiko diidentifikasi dan dikendalikan, bagaimana kepatuhan dievaluasi — ini pengungkapan tentang TCF Anda, secara harfiah.
• 207-3 — Pelibatan pemangku kepentingan: bagaimana perusahaan berhubungan dengan otoritas dan menyikapi kekhawatiran publik soal pajak.
• 207-4 — Pelaporan per negara (country-by-country): untuk grup multinasional, data pendapatan, laba, pajak per yurisdiksi.

Mengapa relevan untuk TCF. GRI 207 adalah cermin yang jujur: perusahaan hanya bisa mengungkapkan tata kelola pajak yang benar-benar dimilikinya. Bagi yang TCF-nya matang, 207-1 dan 207-2 nyaris menulis dirinya sendiri — tinggal meringkas strategi (blok 1) dan arsitektur kontrol (blok 3–6) yang memang ada. Bagi yang belum, dua pengungkapan itu menjadi momen canggung tahunan: menulis kalimat-kalimat umum yang tidak didukung apa pun — persis jenis "dokumen pajangan" yang artikel #7 peringatkan, kali ini dipajang di hadapan publik dan investor.

Cara memakainya. Jadikan GRI 207 sebagai uji akhir keterbacaan TCF Anda: setelah keenam blok berdiri, cobalah menulis draf 207-1 dan 207-2. Kalau menulisnya mudah dan setiap kalimat bisa ditunjuk buktinya — TCF Anda sehat. Kalau tersendat — bagian yang tersendat itulah bloknya yang keropos. (Dan bagi emiten yang laporan keberlanjutannya menuju standar yang makin ketat, latihan ini bukan lagi opsional.)

4. ICAP: Panggung Tempat TCF Dipanen Lintas Negara

Apa itu. International Compliance Assurance Programme — program sukarela yang dikoordinasikan Forum on Tax Administration OECD, tempat sebuah grup multinasional menjalani penilaian risiko serentak oleh belasan otoritas pajak sekaligus. Grup menyerahkan satu paket dokumentasi (termasuk laporan per negara/CbCR, struktur, kebijakan transfer pricing, dan — ya — gambaran tax control framework-nya); otoritas-otoritas peserta menilainya bersama; hasilnya berupa surat hasil penilaian dari tiap otoritas yang menyatakan tingkat keyakinannya (idealnya: risiko rendah, tidak butuh penelaahan lanjutan) atas area-area yang dinilai.

Mengapa relevan untuk TCF. ICAP adalah kepatuhan kooperatif yang di-multilateral-kan: alih-alih membangun kepercayaan dengan satu otoritas (model lima negara di seri studi banding kita), grup membangun kepercayaan dengan banyak otoritas dalam satu proses. Dan tiket masuknya sama seperti di mana-mana: kemampuan menunjukkan bahwa mesin pajak grup terkendali. Grup dengan TCF matang menjalani ICAP sebagai pemanenan — dokumentasi tinggal diserahkan; grup tanpa TCF bahkan tidak akan mempertimbangkan mendaftar.

Cara memakainya. Untuk grup Indonesia yang berekspansi multinasional (jumlahnya terus bertambah), ICAP layak masuk radar perencanaan 3–5 tahun: kepastian serentak di banyak yurisdiksi adalah efisiensi yang luar biasa dibanding menghadapi penelaahan satu per satu. Dan bagi yang induknya di luar negeri: jika grup Anda menjalani ICAP, entitas Indonesia akan kebagian menyiapkan bukti kendalinya — satu lagi alasan TCF lokal tidak bisa menunggu.

Pelengkap: Inisiatif Sukarela Dunia Usaha

Dua nama yang layak dikenal karena sering muncul dalam diskusi tata kelola pajak global: The B Team Responsible Tax Principles — tujuh prinsip pajak bertanggung jawab yang dideklarasikan koalisi perusahaan multinasional besar (akuntabilitas dewan, kepatuhan, struktur bisnis yang bersubstansi, hubungan dengan otoritas, transparansi, dan seterusnya) — dan berbagai kode tata kelola pajak nasional yang digagas asosiasi dunia usaha (seperti inisiatif di Belanda). Keduanya bukan standar teknis, melainkan norma aspirasional: berguna sebagai rujukan bahasa saat direksi merumuskan strategi pajak (blok 1) dan sebagai pembanding saat menulis pengungkapan GRI 207 — bukti bahwa komitmen semacam ini sudah menjadi arus utama korporasi global, bukan keanehan.

Menutup Peta: Satu Bangunan, Empat Lapisan Perkakas

Mari padatkan dalam satu tabel yang bisa ditempel di dinding ruang proyek:

Satu bangunan, empat lapisan perkakas, nol kontradiksi. Perusahaan yang memahami peta ini berhenti bertanya "pakai yang mana" dan mulai bertanya yang benar: "untuk pekerjaan yang sedang saya kerjakan minggu ini, perkakas mana yang tepat?"

Penutup: Perkakas Lengkap, Saatnya Membangun

Dengan artikel ini, seluruh bekal konseptual sudah di tangan: filosofi, anatomi, konteks Indonesia, pengalaman dunia, dan kini peta standar pendukungnya. Tidak ada lagi alasan konseptual untuk menunda.

Maka babak berikutnya adalah babak yang paling ditunggu para praktisi — dan paling panjang lengan bajunya harus digulung: implementasi. Kita mulai dari pertanyaan yang diajukan setiap perusahaan yang akhirnya memutuskan bergerak: "Oke, kami mau membangun. Dari mana mulainya, siapa yang dilibatkan, dan seperti apa dua belas bulan pertamanya?"

Referensi Utama

1. OECD (2016), Building Better Tax Control Frameworks, OECD Publishing, Paris.
2. COSO (2013), Internal Control — Integrated Framework (lima komponen, tujuh belas prinsip).
3. ISO 31000, Risk Management — Guidelines.
4. GRI (2019), GRI 207: Tax (pengungkapan 207-1 s.d. 207-4).
5. OECD Forum on Tax Administration, dokumentasi International Compliance Assurance Programme (ICAP).
6. The B Team (2018), A New Bar for Responsible Tax: The B Team Responsible Tax Principles.