Dalam dua tahun terakhir, istilah ICOFR semakin sering muncul dalam rapat Direksi, terutama di lingkungan BUMN dan lembaga jasa keuangan. Pemicunya jelas: Kementerian BUMN menerbitkan Petunjuk Teknis Pengendalian Internal atas Pelaporan Keuangan melalui SK-5/DKU.MBU/11/2024, dan Otoritas Jasa Keuangan menerbitkan POJK 15 Tahun 2024 tentang Integritas Pelaporan Keuangan Bank, yang kemudian disusul POJK 42 Tahun 2025 untuk sektor pembiayaan dan lembaga jasa keuangan lainnya. Ketiganya menempatkan tanggung jawab atas keandalan laporan keuangan secara eksplisit di pundak Direksi. Artikel ini menjelaskan apa itu ICOFR, sejauh mana tanggung jawab Direksi, dan apa yang perlu disiapkan perusahaan.

Apa itu ICOFR

ICOFR adalah singkatan dari Internal Control over Financial Reporting, atau pengendalian internal atas pelaporan keuangan. Sederhananya, ICOFR adalah kumpulan kebijakan, prosedur, dan aktivitas pengendalian yang dirancang agar laporan keuangan perusahaan disusun secara andal dan bebas dari salah saji material, baik yang disebabkan oleh kesalahan (error) maupun kecurangan (fraud).

Perlu dibedakan dari dua hal yang sering tertukar. ICOFR bukan audit laporan keuangan; audit menilai kewajaran angka akhir, sedangkan ICOFR menilai kualitas proses yang menghasilkan angka tersebut. ICOFR juga bukan keseluruhan sistem pengendalian internal perusahaan, melainkan irisan yang khusus berkaitan dengan pelaporan keuangan. Pengendalian atas efisiensi operasional atau keamanan aset fisik berada di luar cakupan ICOFR, kecuali bila berdampak langsung pada angka laporan keuangan.

Keyakinan memadai, bukan jaminan mutlak

Ini poin yang paling sering disalahpahami di tingkat Direksi. Petunjuk Teknis Kementerian BUMN menegaskan bahwa ICOFR dirancang untuk memberikan keyakinan memadai (reasonable assurance), bukan keyakinan absolut, atas keandalan laporan keuangan. Artinya, perusahaan yang telah menerapkan ICOFR dengan baik tetap tidak bisa menjamin nol kesalahan.

Alasannya ada pada empat keterbatasan yang melekat pada setiap sistem pengendalian:

Pertimbangan (judgement). Efektivitas pengendalian bergantung pada penilaian pemilik pengendalian (control owner) berdasarkan informasi yang tersedia saat itu, dan penilaian manusia bisa keliru.

Keterbatasan rancangan. Pengendalian bisa salah dirancang, salah dipahami, atau salah dijalankan termasuk akibat kompleksitas sistem teknologi informasi yang baru diterapkan.

Pengabaian manajemen (management override). Pihak yang memiliki otoritas dapat mengabaikan pengendalian dan memanipulasi catatan akuntansi, meskipun pengendalian tersebut tampak berjalan efektif.

Kolusi. Bila beberapa pihak bersekongkol mengubah data keuangan, sistem pengendalian internal berpeluang besar gagal mendeteksinya.

Konsekuensi praktisnya bagi Direksi: ICOFR menurunkan risiko secara signifikan, tetapi tidak menghapusnya. Karena itu, pernyataan manajemen atas efektivitas ICOFR selalu dibatasi pada periode tertentu dan pada ruang lingkup yang telah ditetapkan.

Kerangka acuan: COSO

Implementasi ICOFR di Indonesia merujuk pada COSO Internal Control Framework, kerangka yang dikembangkan Committee of Sponsoring Organizations of the Treadway Commission dan digunakan secara luas di dunia. COSO membagi pengendalian internal ke dalam lima komponen yang saling terkait: lingkungan pengendalian, penilaian risiko, aktivitas pengendalian, informasi dan komunikasi, serta aktivitas pemantauan. Kelima komponen inilah yang kemudian dipetakan ke dalam pengendalian konkret perusahaan, mulai dari keberadaan kode etik yang dimutakhirkan berkala, pemisahan tugas antara pencatat dan pemberi persetujuan transaksi, hingga evaluasi independen atas efektivitas pengendalian oleh Audit Internal.

Dasar hukum dan siapa yang terkena kewajiban

BUMN dan anak perusahaannya. Landasannya adalah Peraturan Menteri BUMN Nomor PER-2/MBU/03/2023, khususnya Pasal 69, yang menyebut sistem pengendalian intern mencakup pengendalian atas pelaporan keuangan. Petunjuk teknis pelaksanaannya dituangkan dalam SK-5/DKU.MBU/11/2024, yang berlaku bagi seluruh BUMN dan anak perusahaan BUMN. Dokumen ini mengatur enam tahapan ICOFR: perancangan, implementasi dan pemantauan berkelanjutan, evaluasi, remediasi, pelaporan, serta asurans oleh praktisi eksternal.

Perbankan. POJK 15 Tahun 2024 mewajibkan bank menyusun dan menetapkan kebijakan serta prosedur pengendalian internal dalam proses pelaporan keuangan. Bank Umum wajib membentuk unit kerja khusus yang bertanggung jawab atas pencegahan kecurangan atau manipulasi informasi dan laporan keuangan; unit ini boleh dirangkap oleh fungsi manajemen risiko, kepatuhan, atau anti-fraud. POJK ini diundangkan pada 9 Oktober 2024, dengan masa transisi tiga bulan untuk penyusunan kebijakan dan enam bulan untuk pembentukan unit kerja.

Lembaga pembiayaan dan lembaga jasa keuangan lainnya. POJK 42 Tahun 2025, yang ditetapkan pada 22 Desember 2025, memperluas kewajiban serupa ke perusahaan pembiayaan, modal ventura, lembaga keuangan mikro, pergadaian, penyelenggara fintech lending, dan lembaga sejenis. Bagi PVML yang sudah berizin sebelum POJK ini diundangkan, kewajiban penyusunan kebijakan dan pembentukan unit kerja berlaku paling lama satu tahun sejak pengundangan.

Sanksinya tidak ringan. POJK 15/2024 mengatur sanksi administratif bagi Direksi, Dewan Komisaris, Dewan Pengawas Syariah, dan Pejabat Eksekutif bank umum yang dengan sengaja menyebabkan laporan keuangan tidak mencerminkan kondisi sebenarnya, berupa larangan sebagai pihak utama lembaga jasa keuangan dan/atau denda paling sedikit Rp2 miliar hingga paling banyak Rp50 miliar per orang.

Batas tanggung jawab Direksi

Inilah bagian yang paling perlu dipahami anggota Direksi. Tanggung jawab Direksi bersifat mengawasi dan menyatakan, bukan mengerjakan sendiri pengujian pengendalian.

Berdasarkan POJK 15/2024, Direksi bank bertanggung jawab atas penyusunan dan penyajian laporan keuangan, kesesuaiannya dengan standar akuntansi keuangan, kelengkapan dan kebenaran isinya, serta penerapan pengendalian internal dalam proses pelaporan keuangan. Direksi juga wajib menyampaikan laporan pengendalian internal kepada OJK yang paling sedikit memuat pernyataan tanggung jawab Direksi dan hasil penilaian Direksi atas efektivitas pengendalian tersebut. POJK 42/2025 bahkan menyertakan format Surat Pernyataan Direksi bermeterai dengan substansi serupa.

Di lingkungan BUMN, Petunjuk Teknis membagi peran ke dalam Tiga Lini. 

Lini Pertama, merancang serta menjalankan pengendalian dan melakukan Control Self Assessment. 

Lini Kedua, yaitu Fungsi ICOFR, menetapkan ruang lingkup dan memvalidasi rancangan pengendalian. 

Lini Ketiga, Audit Internal, melakukan evaluasi independen atas efektivitas implementasi. 

Direktur Utama berperan mengetahui penentuan ruang lingkup, mengawasi implementasi dan remediasi, serta menerbitkan Asesmen Manajemen atas efektivitas ICOFR. Asesmen ini ditandatangani bersama oleh CEO dan CFO setiap tahun, sesuai periode laporan keuangan. Dewan Komisaris, langsung maupun melalui Komite Audit, mengawasi seluruh tahapan tersebut.

Tahap terakhir adalah asurans oleh praktisi eksternal. Akuntan publik yang ditetapkan RUPS memberikan opini atas Asesmen Manajemen. Karena standar audit khusus ICOFR dari IAPI belum terbit, asurans saat ini dilaksanakan menggunakan Standar Perikatan Asurans (SPA) 3000 dengan Petunjuk Teknis sebagai kriteria.

Kondisi implementasi di lapangan

Penerapan ICOFR di Indonesia masih dalam tahap awal. PwC Indonesia dalam publikasinya mencatat bahwa inisiatif Kementerian BUMN mencakup kewajiban BUMN melaporkan temuan ICOFR kepada komite audit beserta strategi remediasi dan jadwal pelaksanaannya. Sebuah studi yang diterbitkan Jurnal Penelitian Inovatif atas laporan tahunan 2024 dari lima BUMN konstruksi menemukan tingkat kematangan ICOFR yang belum merata, dengan mayoritas entitas masih berada pada tahap awal hingga berkembang. Kelemahan utama yang teridentifikasi adalah penilaian risiko yang belum memetakan risiko salah saji material, ketiadaan Risk Control Matrix, dan belum dilaksanakannya pengujian efektivitas pengendalian.

Di sisi lain, sejumlah BUMN sudah bergerak. Brian Pramudita, CEO PT BATS Internasional Group, menyelenggarakan pelatihan internal ICOFR sebagai tindak lanjut inisiatif holding BUMN, dengan tujuan memperkuat kepercayaan pemegang saham dan regulator serta mencegah salah saji material pada laporan keuangan.

Kesimpulan

ICOFR bukan proyek dokumentasi satu kali, melainkan siklus tahunan yang berujung pada pernyataan tertulis Direksi mengenai efektivitas pengendalian atas pelaporan keuangan. Yang perlu dipastikan Direksi sejak awal ada empat hal: 

Ruang lingkup ICOFR sudah ditetapkan berdasarkan materialitas dan akun signifikan; 

Risiko serta pengendalian sudah terdokumentasi dalam Business Process Mapping dan Risk Control Matrix; 

Pengujian efektivitas benar-benar dijalankan oleh pihak yang independen; dan

Defisiensi yang ditemukan diremediasi tepat waktu sebelum Asesmen Manajemen ditandatangani. 

Menandatangani pernyataan tanpa dasar pengujian yang memadai adalah risiko pribadi yang nyata bagi anggota Direksi, bukan sekadar risiko korporasi.

Perlu pendampingan implementasi ICOFR?

PT BATS International Group (BATS Consulting) adalah Kantor Jasa Akuntan yang mendampingi perusahaan dalam membangun dan mengevaluasi pengendalian internal atas pelaporan keuangan. 

Layanan kami mencakup:

Penentuan ruang lingkup ICOFR: materialitas, akun dan pengungkapan signifikan, proses bisnis, aplikasi signifikan, dan ITGC

Penyusunan Business Process Mapping (BPM) dan Risk Control Matrix (RCM)

Gap assessment terhadap SK-5/DKU.MBU/11/2024, POJK 15/2024, dan POJK 42/2025

Pendampingan pengujian rancangan dan efektivitas operasi pengendalian, serta penyusunan Asesmen Manajemen

Pelatihan ICOFR untuk Direksi, Komite Audit, Audit Internal, dan pemilik pengendalian

Hubungi tim kami untuk diskusi awal mengenai kesiapan ICOFR perusahaan Anda.

Pertanyaan yang Sering Diajukan (FAQ)

1. Apakah ICOFR sama dengan audit laporan keuangan? Tidak. Audit laporan keuangan menilai kewajaran penyajian angka akhir, sedangkan ICOFR menilai apakah proses yang menghasilkan angka tersebut sudah dikendalikan dengan baik. Keduanya saling melengkapi dan dalam konteks BUMN dapat dikerjakan oleh praktisi eksternal yang memberikan opini terpisah atas Asesmen Manajemen.

2. Apakah perusahaan swasta non-BUMN dan non-lembaga keuangan wajib menerapkan ICOFR? Secara hukum, kewajiban formal saat ini melekat pada BUMN dan anak perusahaannya, bank, serta PVML. Perusahaan lain tidak diwajibkan, tetapi banyak yang menerapkannya secara sukarela untuk memperkuat tata kelola, mempersiapkan diri menghadapi audit, atau memenuhi ekspektasi investor dan calon pembeli dalam proses akuisisi.

3. Siapa yang menandatangani pernyataan efektivitas ICOFR? Di lingkungan BUMN, Asesmen Manajemen atas efektivitas implementasi ICOFR ditandatangani bersama oleh CEO dan CFO setiap tahun sesuai periode laporan keuangan. Untuk bank dan PVML, Direksi menyampaikan laporan pengendalian internal beserta pernyataan tanggung jawab kepada OJK.

4. Berapa lama waktu yang dibutuhkan untuk implementasi awal? Tidak ada angka baku karena bergantung pada jumlah entitas dalam cakupan, kompleksitas proses bisnis, dan kondisi dokumentasi yang sudah ada. Sebagai gambaran, tahap perancangan penentuan ruang lingkup hingga penyusunan BPM dan RCM umumnya menjadi bagian yang paling menyita waktu, dan siklus penuh hingga penerbitan Asesmen Manajemen mengikuti periode satu tahun buku.

5. Apa yang terjadi jika ditemukan pengendalian yang tidak efektif? Perusahaan masuk ke tahap remediasi: pemilik pengendalian memperbaiki rancangan atau pelaksanaan pengendalian, Fungsi ICOFR memvalidasi perbaikan tersebut, dan dampak defisiensi yang belum teremediasi terhadap laporan keuangan harus diidentifikasi. Jika defisiensinya material dan tidak terselesaikan, hal tersebut memengaruhi kesimpulan dalam Asesmen Manajemen dan opini praktisi eksternal.