## AUDIT LAPORAN KEUANGAN PASCA SARBANES OXLEY ACT: SUATU TINJAUAN LITERATUR
Husna Roza
Jurusan Akuntansi, Fakultas Ekonomi Universitas Andalas

## Abstract
The Sarbanes-Oxley Act was signed into law on July 30, 2002 by President Bush. The Act  is  considered  as  the  most  significant  change  to  federal  securities  laws  in  the United States since the New Deal. The Act is also designed to review legislative audit requirements  in  order  to  protect  investors  which  consequently  could  assist  in improving  the  accuracy  and  reliability  of  corporate  disclosures  that  encompasses issues  such  as  establishing  a  public  company  accounting  oversight  board,  corporate responsibility,  auditor,  independence,  and  enhanced  financial  disclosure.  The Sarbanes-Oxley  Act  supports  the internal  control  development.  According  to  the  act, internal  controls  must  be  reviewed  and  reported  in  the  annual  report.  Finally,  as indicated  by  Sarbanes-Oxley,  this  evolution  of  the  internal  control  process  has  been reactive in  nature  and  has  brought  some  changes  to  some  aspects  of  financial  audit through external auditor.
Key words : SOX, financial statement audit under SOX, internal control

## Pendahuluan
Sejarah  terus  berulang  dimanapun diseluruh  dunia.  Di  bidang  audit,  pada umumnya  ketentuan  baru  akan  dibuat apabila terjadi suatu skandal keuangan,  terungkapnya  kecurangan atau kesalahan yang berdampak pada banyak pihak.
Dapat  dicatat  bahwa    setelah kasus  1136  T enants’  Corporation  dan Max  Rothenberg  and  Co  pada  tahun 1971,  setiap  auditor  diharuskan  untuk membuat  kontrak  tertulis  dengan  klien (Arrens  dkk,  2008),  Pada  kasus Ultramas Corp vs Touch 1931, auditor telah  lalai  dalam  mengungkapkan transaksi  fiktif,  kekayaan  pemilik  Fred
Stern  and  Co  telah  disajikan  terlalu tinggi. Ultramas adalah kreditur terbesar  perusahaan  ini,  Pemilik  Fred Stern and Co tidak mampu  membayar hutangnya  ke  Ultramas  karena  tidak memiliki    dana  yang  cukup.  Auditor dituduh telah tidak mampu mengungkapkan kecurangan.  Saat itu auditor  belum  ada  kewajiban  untuk memenuhi  kepentingan  pihak  ketiga, tapi  hanya  kepada  pihak  yang  sangat berkepentingan  dengan  perusahaan.
Sejak  kasus  Ultramas,      auditor
diharuskan berhati hati dalam penugasan auditnya dan harus mempertimbangkan kepentingan pihak ketiga.  Kasus lain  yang  juga  berakibat kepada munculnya standar baru adalah Rush Factors Inc vs Levin pada tahun  1968,  dan  Rosenblum  vs  Adler pada  tahun  1983.  Kedua  kasus  ini menjadi penyebab munculnya kewajiban auditor untuk melaksanakan audit dengan memperhatikan
kepentingan  pihak-pihak  yang  ada kaitan  langsung  atau  tidak  langsung dengan  laporan  keuangan  klien  (Kell, 2003).
Sebelum  tahun  1931,  auditor tidak  mempunyai  kewajiban  untuk membuat kontrak kerja tertulis dengan klien. Namun setelah kasus Ultramas,    keluarlah  aturan  bahwa auditor harus membuat kontrak tertulis dan menyebutkan dalam kontrak bahwa  salah  satu  kewajiban  auditor adalah  auditor  harus  memperhatikan kepentingan pihak utama klien dimana mereka  berhak  memperoleh  informasi yang benar. Pada tahun 1977,  auditor diharuskan  untuk    memperhatikan kepentingan pihak-pihak yang berhubungan  langsung  dengan laporan  keuangan    perusahaan  yang diaudit.  Aturan  ini  keluar  jauh  setelah terjadi  kasus  Rusch  Factors  pada tahun 1968. Kemudian aturan ini terus disempurnakan,  di  mana  pada  pada
tahun 1983 auditor harus memperhatikan kepentingan pihak yang    tidak  berhubungan    langsung dengan klien auditnya. Penyempurnaan aturan tentang kewajiban auditor terus disempurnakan salah satunya
adalah;  setelah  kasus  credit  Alliance pada  tahun  1985,  AICPA    mengatur bahwa  auditor  berkewajiban  untuk menghindari  kelalaiannya  menemukan salah  saji  dalam  laporan  keuangan klien auditnya.
Jasa  audit  telah  diatur  dengan baik  dan  diregulasi  di  Amerika  dan  itu dimulai setelah Securities Acts of 1933 and  1934.    Sebelumnya,  pada  awal abad ke-19, audit atas laporan keuangan  dilakukan  secara  sukarela dan lisensi untuk auditor mulai berlaku pada tahun 1896. Standar audit secara formal  telah  dirancang  untuk  sektor swasta  pada  tahun  1939  seperti; Statement  of  Auditing  Procedure  yang dikeluarkan  oleh    Committee  on Auditing  Procedure  of  the  AICPA (American  Institute  of  Certified  Public Accountants),  yaitu  organisasi  swasta profesi  auditor  (Heler  et  al.  2005). Pada  tahun  1973,  Auditing  Standards Executive  Committee  mengambil  alih pembuatan  standar  audit  dan  telah mengeluarkan 112 Pernyataan Standar Auditing. Karena banyaknya kejadian dalam  hal    kegagalan    audit  pada tahun  1970,  serta  karena  tekanan pemerintah,    maka  AICPA  mendirikan
Stock Excange Comision (SEC)
Practice  Section.  AICPA  diberi  hak untuk memberikan sanksi bagi anggota yang melakukan pelanggaran.
Semua  anggota  AICPA    haruslah mendaftar  untuk  melaksanakan peer review .  Setiap  tiga  tahun  suatu  team auditor  dari kantor akuntan  lain harus mereview  sebuah  kantor  akuntan,  dan tujuan review adalah
untuk memastikan  bahwa  kantor  akuntan memiliki  kualitas  pengendalian  yang mencukupi (AICPA 2004).
Pemerintah  sejak  empat  dekade melalui  SEC  telah  melaksanakan pengendalian  yang  sangat  ketat  atas jasa  audit.    Kantor  akuntan  yang dibolehkan  melaksanakan  audit  atas perusahaan  yang  terdaftar  sahamnya di  bursa  ditentukan  oleh  SEC  (Olson 1978).
Pemerintahlah yang
memberikan  lisensi  bagi  auditor  yang memberikan    opini  atas  laporan
keuangan. Pemerintah juga  mengatur hak individual auditor untuk memperoleh gelar akuntan bersertifikat  akuntan  publik  dan  untuk mendapatkan izin praktek.
Skandal  atau  kasus  berikut  yang mengakibatkan  munculnya  undang- undang  yang  salah  satunya  mengatur tugas pekerjaan auditor adalah skandal  Enron  dan  Worldcom.  Enron sebagai  perusahaan  penghasil  energi terbesar  di  Amerika  telah  menyajikan laporan  keuangan  yang  menyesatkan. Ketika hampir bangkrut labanya disajikan  melebihi  yang  seharusnya dan hutang disajikan lebih rendah dari yang  sesungguhnya.  Ini  terjadi  karena manajemen  melakukan  kolusi.  Publik mengetahui  setelah    labanya  turun drastis  dan  SEC  menemukan  bahwa laporan keuangan perusahaan menyesatkan.      Skandal  ini    muncul karena kelemahan dari Standar Akuntansi Keuangan. Standar Akuntansi Keuangan gagal mengakomodasi  perkembangan  bisnis yang  sangat  cepat.    Maka  kemudian kongres Amerika mensyahkan Sarbane-Oxley Act (SOX) pada tanggal  30  July  2002.  SOX  adalah undang undang paling baru di Amerika yang berkaitan dengan profesi akuntan. Tulisan ini ditujukan untuk mereview bacaan yang  terkait dengan SOX  seksi  404  dan  hubungannya dengan audit internal yang dilaksanakan  manajemen  dan  audit eksternal  yang  dilaksanakan  oleh Kantor Akuntan Publik atau selanjutnya disebut auditor. Sistematika  penyajian  akan  berurutan mulai dari penjelasan tentang Sarbanes-Oxley Act  (SOX), kemudian diikuti dengan Audit Laporan Keuangan Sesudah SOX. Pada bagian  ini  akan  dijelaskan  sejarah perkembangan  pengendalian  internal, penilaian  pengendalian  internal  oleh manajemen, dan pengujian pengendalian  internal  oleh  auditor serta pelaporan hasil pengujian pengendalian  internal.  Dan  terakhir tulisan ini ditutup dengan kesimpulan.

## Sarbanes-Oxley Act  (SOX)
Sarbanes-Oxley  Act  (SOX)  adalah undang undang paling baru di Amerika yang  disyahkan  pada  tanggal  30  July 2002.  SOX  lahir  sebagai  akibat  dari banyaknya  skandal    seperti  Enron, Worldcom  yang  mengakibatkan  para investor    hilang  kepercayaanya  atas laporan  keuangan  dan    audit  laporan keuangan    yang  dilakukan    oleh auditor  (James,2006).  Skandal  Enron dan Worldcom muncul karena kelemahan  dari  Standar  Akuntansi Keuangan. Standar Akuntansi Keuangan gagal mengakomodasi perkembangan  bisnis  yang  sangat cepat.  Adanya  kekosongan  standar mengakibatkan pihak perusahaan memanfaatkan kesempatan menggunakan judgment yang  mereka pikir  tidak  melanggar  standar.    Enron sebagai  perusahaan  penghasil  energi terbesar  di  Amerika  telah  menyajikan laporan  keuangan  yang  menyesatkan. Ketika  hampir  bangkrut  labanya    telah disajikan  melebihi  yang  seharusnya dan hutang disajikan lebih rendah dari yang  sesungguhnya.  Ini  terjadi  karena manajemen  melakukan  kolusi.  Publik mengetahui  setelah    labanya  turun drastis  dan  SEC  menemukan  bahwa laporan keuangan perusahaan menyesatkan. Tujuan  dari  SOX  sebenarnya adalah  untuk  melindungi    investor melalui  peningkatan  keakuratan  dan kepastian pengungkapan dalam laporan  keuangan  perusahaan.  SOX mewajibkan  seperangkat  perubahan dalam  laporan  keuangan  perusahaan dan corporate governance untuk perusahaan  yang  sudah  go  public
(Engel,  Hayes  and  Wang,  2004) Sedangkan  fokus  utama  dari  SOX adalah  untuk    meningkatkan  integritas proses  audit  pada  perusahaan  yang sudah  go  public  dan  kelayakan laporan  keuangan  yang  sudah diaudit. Artinya  kongres  Amerika  memberi institusi    pengadilan  dan  SEC  alat bantu  untuk  mengawasi/mengamati laporan keuangan  perusahaan publik. Dan  juga  memberi  PCAOB  secara spesifik untuk mengamati peran industri  akuntansi  dalam  audit  dan pelaporan keuangan perusahaan (Hollis at all, 2008). Sebenarnya SOX terdiri dari beberapa  bagian  akan  tetapi    hanya ada  lima  bagian  yang  penting  (Engel, Hayes  and  Wang,  2004).  Pertama adalah manajemen perusahaan haruslah  menyatakan    bahwa  laporan keuangan  dan  pengungkapan  telah disusun sesuai dengan Standar Akuntansi Keuangan. Perusahaan haruslah  mengungkapkan  transaksi berdasarkan  ketentuan  terbaru  dan harus  menyediakan  transaksi  neraca yang  terinci  dan  entitas  untuk  tujuan khusus.    Kedua,  SOX  mengharuskan seluruh perusahaan publik
membangun  dan  memelihara  sebuah sistem  pengendalian  internal  untuk pelaporan  keuangan  dan  mewajibkan manajemen untuk mengevaluasi efektifitasnya. Ketiga, SOX merancang standar  baku  untuk  keanggotaan komite  audit.  Seluruh  anggota  komite audit  haruslah  independen,  dan  paling tidak  satu  dari  mereka  haruslah seorang  ahli  keuangan.  Keempat, SOX mempengaruhi kemampuan internal  perusahaan  untuk  mencapai laba  dari  perdagangan  saham.  Kelima ,  SOX  mendefinisikan  beberapa  cara baru  menangkis  tindakan  kriminal melalui  peningkatan  hukuman  atas perbuatan  kriminal . Contoh  tindakan kriminal yang baru adalah penghilangan dokumen. Eksekutif yang diketahui menandatangani
laporan  keuangan  yang  salah  akan dikenakan  hukuman  sebesar  5  juta dollar  US  atau  20  tahun  kurungan penjara atau keduanya.
Sedangkan  penulis  lain  melihat undang  undang  ini  atau  SOX  sebagai sebuah  kebutuhan  untuk  memperbaiki tata  kelola  perusahaan.  Kebutuhan  ini muncul karena sejumlah skandal yang disebabkan  karena  tidak  dipatuhinya tata  kelola  perusahaan  dan  tidak efektifnya laporan keuangan perusahaan yang telah diaudit. Penulis Fredriksson dan Lindahl (2008) melihat  lima  area  utama  dari  undang undang ini yaitu: 1.  Public Company Accounting Oversight Board (PCAOB). Undang undang ini meminta didirikannya  organisasi  PCAOB, menentukan komposisi anggotanya,  pekerjaannya,  skop pekerjaan dan kekuasaannya.
PCAOB  terdiri  dari  lima  anggota dimana    dua  orang  haruslah akuntan  publik  dan  tiga  lainnya non  Akuntan  publik.    Seperti  bisa kita  lihat  dari    dokumen  ;  the PCAOB’s  mission  is  “...to  oversee the  audits  of  public  companies  in order  to  protect  the  interests  of investors  and  further  the  public interest  in  the  preparation  of informative,  fair,  and  independent audit  reports.”  (PCAOB,  2003). Lebih  jelasnya,   ini  adalah  sebuah organisasi yang ditunjuk oleh SEC untuk mengawal standar audit dan kualitas operasional kantor akuntan  yang  melaksanakan  audit laporan  keuangan.  Hal  ini  terjadi karena  profesi    telah  gagal  dalam meregulasi dirinya sendiri.
2.  Independensi  Auditor.  Seorang auditor  tidak  lagi  leluasa  dalam menawarkan jasa konsultasi
kepada  klien  auditnya.  Pemberian dua jenis jasa audit dan konsultasi pada  saat  yg  sama  untuk  klien  yg sama    akan  menjadi  dilema  bagi auditor terhadap sikap independennya.  Undang  undang juga  mengatur  bahwa  partner kantor  akuntan    hanya  bisa memberikan  jasa  audit  pada  klien yang  sama  untuk  tujuh  tahun berturut  turut.  Karena  kalau  lebih dari  waktu  itu  akan  muncul benturan kepentingan
dan
merusak  sikap  independensi  dan objektifitas  auditor.  Sebenarnya aturan ini sudah muncul pada awal tahun  1970  kongres Amerika Serikat telah membatasi jenis jenis jasa non audit untuk ditawarkan ke klien  audit  oleh  kantor  akuntan. Tapi aturan ini tidaklah diwajibkan. Pada  saat  itu  jasa  non  audit bukanlah  merupakan  jasa  yang utama  yang  ditawarkan  karena tidak  menghasilkan  pendapatan yang  tinggi  bagi  kantor  akuntan. Namun  demikian  pada  tahun antara  1982  dan  1988,  jasa  non audit  telah  menempati  jumlah pendapatan yg tinggi. Seperti yang ditulis  oleh    Read  and  Tomczyk (1992)  dikutip  dari  Hollis  at  al (2008) non audit services increased  annually  by  about  3.8% .    Selama  tahun  1990  kantor akuntan publik secara
berkelanjutan  membangun  dan mengembangkan  jenis  jasa  non audit  dan  jasa  auditnya  seperti: jasa penyelesaian masalah hukum yang  menyangkut  perusahaan, audit  internal,  konsultasi  tentang masalah pensiun karyawan, pajak,
dan sistem informasi. 3.  Corporate Responsibility for Financial  Reports.  Direktur  utama dan  direktur  keuangan  sebuah perusahaan publik diharuskan secara  eksplisit  untuk  mengakui tanggung  jawabnya  atas  laporan keuangan. Aturan ini muncul karena  para  direktur  utama  dan keuangan  yang  terlibat  skandal mengakui  bahwa  mereka  tidak mengerti  laporan  keuangan  dan hanya bergantung pada akuntannya. 4.  Management Assessment of Internal Controls. Manajemen haruslah secara eksplisit mengakui bahwa mereka bertanggung jawab untuk kecukupan rancangan pengendalian internal untuk menghindari kecurangan
keuangan  dan  salah  saji  material. Dan  auditor  kemudian  menguji kecukupan  pengendalian  internal atas  review pengendalian internal yang  telah  dilakukan  oleh  internal auditor perusahaan. 5.  Audit Committees. Undang undang ini mewajibkan perusahaan  membentuk  komite audit  sebagai  bagian  dari  dewan direksi.    Komite  audit  haruslah terdiri  dari  anggota  anggota  yang independen  dan  harus  ada  yang mengerti  dalam  hal  keuangan. Komitelah yang menentukan auditor  perusahaan  dan  mereview pekerjaan  auditor.  Selama  ini sebelum ada undang undang SOX pihak
perusahaan memiliki
kekuasaan  yang  sangat  besar terhadap auditor eksternalnya seperti: menunjuk auditor, mengatur  auditor  (mempengaruhi independensi auditor)
dan membayar auditor.
Otoritas  pasar  modal    di  Amerika telah  menerbitkan  berbagai  US  SEC Rules. Dalam Securities Exchange Act
of 1934 as amandemend by Sarbanes- Oxley  Act  0f  2002  dan  US  SEC  Final
Rule  Standards  Relating  to  Listed
Company  Audit  Committes  disebutkan bahwa (Arryman, dkk:2010, 161-162) : a.  Komite audit mempunyai tanggung  jawab  dalam  hal penunjukan pemberian kompensasi  dan  pemantauan pelaksanaan audit. b.  Komite audit melakukan penelaahan  yang  independen dan oversight terhadap proses pelaporan keuangan, pengendalian internal dan auditor independen c.  Setiap  anggota  komite  audit harus merupakan anggota dari board  of  director  dan  harus independent.  Untuk  ketentuan ini,  rule  10A-3(e)(2)  SEC  of 1934 memberikan pengecualian bagi foreign private  issuer  yang  memakai two-tier  board  system.  Bagi foreign  private  issuer  yang memakai two-tier board
system,  kata  board  of  director menunjuk  pada  advisory  atau non-management board.
d.  Komite  audit  harus  menyusun dan  memiliki  prosedur  untuk penanganan  pengaduan  dan kerahasiaan pelapor e.  Komite audit memiliki kewenangan untuk mempekerjakan  tenaga  ahli independen f. Harus  tersedia  dana  yang memadai  bagi  komite  audit untuk  membayar  kompensasi kantor  akuntan  publik  yang melakukan  audit  dan  tenaga ahli independen yang dipekerjakan oleh komite audit. Sebagai  tambahan  kompetensi
yang  harus  dimiliki  oleh  komite  audit dan  sesuai  dengan  SOX  Section  407 dan Disclosur Required by Section 406 dan  407  dari  SOX  of  2002  adalah sebagai berikut:
1.  Memiliki pemahaman terhadap standar  akuntansi  keuangan dan pelaporan keuangan 2.  Berpengalaman dalam menyusun  laporan  keuangan atau  melakukan  audit  atas
laporan  keuangan  berbagai perusahaan  dan  menerapkan prinsip prinsip akuntansi dalam hubungannya dengan estimasi, accrual dan reserve 3.  Berpengalaman dalam internal accounting controls 4.  Memahami fungsi komite audit. AUDIT LAPORAN KEUANGAN SESUDAH SOX
Yang  paling  mempengaruhi  audit laporan  keuangan  dari  aturan  yang ada  pada  SOX  adalah  bagian  404 yang mengharuskan manajemen
melakukan  evaluasi  terhadap  sistem pengendalian internal perusahaan  dan perlunya opini auditor terhadap
management assessment ini.   Kutipan berikut menegaskannya,
”A  significant  feature  of  the
Sarbanes-Oxley  Act  (hereafter SOX)  (U.S.  Congress  2002)  is
Section 404 that requires m anagement’s  assessment  of the  company’s  internal  controls over    financial  reporting  and  an auditor’s opinion on the management’s assessment.”( Bryan, S and  Lilien, S;2006). Bagian  ini  akan  menjelaskan audit laporan keuangan setelah diberlakukannya  SOX  di  Amerika.
Penjelasan akan diawali dengan sejarah perkembangan tentang pengendalian internal, kemudian
dilanjutkan  dengan  proses  penilaian pengendalian internal oleh manajemen dan  proses  pengujian  pengendalian internal oleh auditor.

## Pengendalian Internal
Pengendalian  internal  adalah  sebuah proses  yang  dirancang  dalam  hal menyediakan
keyakinan yang memadai  dalam  pencapaian  tujuan perusahaan untuk keterandalan
laporan keuangan, efisiensi dan efektifitas  operasi  serta  kepatuhan terhadap  Undang  Undang    dan peraturan lainnya Membangun dan memelihara sistem pengendalian internal perusahaan  sangatlah  penting.  Dan apabila diterapkan sistem pengendalian  internal  yang  efektif akan  dapat  menjamin  terpeliharanya
kekayaan  pemilik  perusahaan,  dan menguntungkan banyak para pengambil keputusan. Adalah bijaksana apabila disini disajikan sejarah  perkembangan    terbangunnya sistem  pengendalian  internal  dalam perusahaan. Ternyata
sistem
pengendalian internal tidaklah sesuatu yang sekali jadi, dan memang membutuhkan  sejarah  yang  panjang. Tulisan    dari  Jan  R.  Heier  at  al  pada tahun 2003 dapat membuktikan pernyataan  diatas.  Berikut  ini  adalah bagian  dari  sejarah  pengendalian internal  yang  ditulis  oleh  penulis  Jan Heir.
Pada  tahun  1988,  Auditing Standards  Board  issued  SAS  No.  55, “ Consideration  of  the  Internal  Control Structure  in  a  Financial  Statement Audit. Dalam SAS 55 telah didefinisikan  kembali  pengendalian internal  sebagai  struktur  pengendalian yang memiliki tiga elemen utama yaitu:
lingkungan pengendalian, sistem akuntansi  dan  prosedur  pengendalian.
Pembedaan antara pengendalian administrasi dan pengendalian akuntansi  yang  sudah  lama  dikenal tidak ditemukan lagi dalam SAS 55. Di  tahun  1992  Committee  of Sponsoring Organizations of the Treadway Commission (COSO) mengembangkan  sebuah  model  untuk mengevaluasi  pengendalian  internal. Sementara itu COSO adalah organisasi  swasta  yang  didirikan  di Amerika  Serkat.  Tujuannya  adalah menyediakan panduan kepada manajemen  eksekutif  dan  pengelola perusahaan tentang aspek aspek kritis dalam  pengelolaan  organisasi,  etika bisnis, pengendalian
internal,
manajemen resiko perusahaan, kecurangan, dan pelaporan keuangan. Model yang
dikembangkan COSO  diadopsi    sebagai  kerangka pengendalian  internal  yang  diterima umum  dan  telah  diakui  secara  luas sebagai  standar  yang  difinitif  yang biasanya  digunakan  untuk  mengukur efektifitas sistem pengendalian internal berbagai  organisasi.    Pengendalian internal  oleh  COSO    didefinisikan sebagai sebuah proses
yang
dipengaruhi  oleh    dewan  direksi perusahaan, manajemen dan personel lainnya  dan  dirancang  untuk  bisa menjamin
tercapainya tujuan organisasi    yaitu;  efektifitas  dan efisiensi operasi; kelayakan dari laporan  keuangan  dan  kepatuhan kepada hukum dan perundang- undangan (Krishnan, G.V dan Visvanathan, G., 2005). Dalam sebuah sistem pengendalian  internal  yang  efektif, ada  lima  unsur  yang  harus  dimiliki agar  bisa  dicapai  misi,  strategi  dan tujuan bisnis. Kelima unsur pengendalian internal  tersebut adalah: a.  Lingkungan Pengendalian. Lingkungan pengendalian suatu  perusahaan  mencakup seluruh  sikap  manajemen  dan karyawan mengenai pentingnya pengendalian yang faktornya antara lain dipengaruhi  oleh  falsafah  dan gaya operasi manajemen. Selain  itu,  struktur  organisasi usaha yang merupakan kerangka dasar untuk perencanaan dan pengendalian operasi juga mempengaruhi lingkungan pengendalian. Kebijakan personalia meliputi perekrutan, pelatihan, evaluasi, penetapan gaji,  dan  promosi  karyawan juga mempengaruhi lingkungan pengendalian. b.  Penilaian Resiko. Semua organisasi menghadapi resiko. Contoh-contoh  resiko  antara lain perubahan tuntutan pelanggan, ancaman persaingan, perubahan peraturan,  perubahan  factor ekonomi  seperti  perubahan suku  bunga,  dan  pelanggaran karyawan  terhadap  prosedur perusahaan.  Setelah  resiko dapat diidentifikasi, maka dapat  dilakukan  analisis  untuk memperkirakan besarnya pengaruh  dari  resiko  tersbut serta tingkat kemungkinan terjadinya,  dan  menentukan tindakan-tindakan untuk meminimumkannya. c.  Prosedur Pengendalian. Prosedur pengendalian diterapkan  untuk  memberikan jaminan  yang  wajar  bahwa sasaran  bisnis  akan  tercapai,
termasuk penggelapan. Diantara prosedur-prosedur itu adalah pegawai yang kompeten,  perputaran  tugas, dan  cuti  wajib;  pemisahan tanggung  jawab  untuk  operasi yang  berkaitan,  pemisahan operasi,  pengamanan  aktiva, dan  akuntansi,  dan  operasi serta prosedur d.  Pemantauan. Pemantauan terhadap system pengendalian internal  akan  mengidentifikasi dimana  letak  kelemahannya dan  memperbaiki  efektivitas pengendalian tersebut. e.  Informasi dan Komunikasi. Informasi yang valid mengenai lingkungan pengendalian, penilaian resiko, prosedur pengendalian, dan pemantauan  diperlukan  oleh manajemen untuk mengarahkan operasi dan memastikan terpenuhinya tuntutan-tuntutan pelaporan serta peraturan yang berlaku. Model pengendalian internal COSO  ini  merupakan  perkembangan yang terbaru. Dunia akuntansi memerlukan    waktu  yang  lama  untuk sampai  kepada  model  terbaru  ini. Model pengendalian ini  menyebabkan perubahan  juga  dalam  konsep    audit yang  selama  ini  masih  tradisional. Dahulu  mengaudit  artinya  melakukan pengujian atas saldo akun dan kelompok  kelompok  transaksi  tapi sekarang mengaudit artinya melakukan  pemeriksaan  atas  sistem akuntansi perusahaan untuk memastikan keakuratan laporan keuangan.    Perkembangan ini   adalah sebagai  reaksi  atas  berlangsungnya perubahan yang sistimatis dilingkungan  bisnis.  Sebagai  contoh kegagalan  audit  pada  Bank  Oklahoma City's  Penn  Square  dan    Bank Chicago's Continental Illinois dikarenakan  auditor  gagal  memahami sistem pinjaman dan penjualan hutang antar bank . Penilaian Pengendalian Internal oleh Manajemen SOX bagian 404 menjadikan pengendalian  internal    mencapai  titik puncak persyaratan perlunya pengendalian internal bagi perusahaan.  Manajemen  perusahaan harus menyatakan tanggung jawabnya untuk  membangun  dan  memelihara struktur  pengendalian  internal  dan prosedur prosedur pelaporan keuangan. Di awal 2003, SEC merespon SOX bagian 404 ini dengan mengeluarkan undang undang tentang penilaian  pengendalian  internal  bagi perusahaan    yang  terdaftar  di  pasar modal. Semua perusahaan yang terdaftar  harus  memasukan  dalam laporan  tahunannya  sebuah  laporan manajemen tentang pengendalian internal  terhadap  laporan  keuangan. Laporan manajemen ini meliputi:
“…a  statement  of  management's responsibility  for  establishing  and maintaining  adequate  internal  control over financial reporting for the company;  management's  assessment of  the  effectiveness  of  the  company's internal  control  over  financial  reporting as  of  the  end  of  the  company's  most recent fiscal year; a statement identifying  the  framework  used  by management to evaluate the
effectiveness of the company's internal control  over  financial  reporting;  and  a statement  that  the  registered  public accounting  firm  that  audited  the company's financial statements included  in  the  annual  report  has issued anattestation report on management's  assessment  of  the company's internal control over financial  reporting.  “ (Stephen  Bryan and  Steven Lilien, 2006,)
Dibawah undang undang baru ini , sebuah  perusahaan  diwajibkan  untuk memasukan  laporan  hasil  pengujian kantor  akuntan  terhadap  penilaian pengendalian  internal  yang  dilakukan manajemen dalam laporan tahunannya. Manajemen juga diharuskan  mengevaluasi    segala perubahan perubahan atas pengendalian  internal  perusahaan.  Ini berarti perusahaan diharuskan mengungkapkan informasi yang cukup bagi para pengambil keputusan. Semua keharusan ini akan mendatangkan  keuntungan yang lebih luas  bagi  perusahaan  seperti  dapat
menghindari  kecurangan    pelaporan keuangan,  menghindari  reaksi  pasar yang  brutal,  menghindari  tuntutan hukum  dan  juga  dapat  mengurangi biaya modal.  Akses perusahaan untuk kepasar modal juga menjadi lebih baik.
Berdasarkan  SOX  bagian  404 dan  undang  undang  yang  dikeluarkan SEC  pada  tahun  2003  manajemen perusahaan  berkewajiban  melakukan penilaian pengendalian
internal perusahaan yang dikelolanya. Di dalam perusahaan pihak yang melaksanakan  penilaian  pengendalian internal adalah auditor internal. Auditor internal akan memulai tugasnya dengan    menentukan  proses  kunci  di organisasi, mendokumentasikan pengendalian  internal,  melaksanakan pengujian pengujian yang tepat  untuk setiap  pengendalian  internal  tersebut. Moeller,  R.R  (2005)  menyarankan kepada  manajemen  perusahaan  agar auditor  internal  meluncurkan  sebuah proyek  spesifik  dan  resmi  guna memenuhi kewajiban pada SOX bagian 404. Dia menyarankan langkah langkah    yang  harus  dilakukan  guna terwujudnya  proyek  tersebut  yaitu; Bentuk  proyek  untuk  melaksanakan SOX  404;  Buat  Perencanaan  atas Proyek  tersebut;  Pilih  proses  yang penting  untuk  direview;  Siapkan  aliran dokumen  transaksi  dari  proses  yang terpilih;  Identifikasi,  dokumen,  dan lakukan pengujian pengendalian internal  ;  Lakukan  Penilaian  resiko atas  proses  yang  terpilih;  Lakukan penilaian efektifitas pengendalian melalui prosedur pengujian yang tepat;  Review  hasil  hasil  penilaian dengan  Pihak  yang  berkepentingan; Sempurnakan  laporan  atas  efektifitas struktur pengendalian internal.
Kegiatan  pelaksanaan  penilaian atas pengendalian internal oleh
manajemen  yang  dilaksanakan    oleh auditor  internal  adalah  merupakan kegiatan  tahunan.  Manajemen  dapat merubah atau mengembangkan stategi    pelaksanaannya  pada  tahun tahun  berikutnya.  Tidak  ada  aturan terhadap manajemen
untuk melaksanakan  strategi  yang  sama setiap  tahunnya  kecuali  meningkatnya biaya  atau  banyaknya  waktu  yang diperlukan.    Seharusnya  manajemen melaksanakan  kegiatan  tahunan  ini
dengan biaya yang hemat dan kewajiban atas SOX 404 tetap terpenuhi.
Pengujian  Auditor  atas  Penilaian Pengendalian Internal oleh Manajemen Berdasarkan  SOX  bagian  404  auditor wajib memberikan opini atas pengendalian internal perusahaan publik.    Untuk  itu  auditor  diharuskan melakukan  pengujian  atas  penilaian pengendalian internal oleh manajemen ketika auditor melakukan audit laporan keuangan  perusahaan.    Sebelum  ada SOX  bagian  404  tujuan auditor melakukan  review  atas  pengendalian internal  adalah    untuk  merencanakan audit  laporan  keuangan.  Auditor  tidak secara  resmi  mengaudit  pengendalian internal  dan  tidak  secara  formal melaporkan  hasil  hasilnya.  Pengujian atas penilaian pengendalian internal ini dikenal  sebagai  jasa  atestasi.  Jasa atestasi  ini  harus  dilaksanakan  sesuai dengan    standar  penugasan  atestasi yang  dikeluarkan  atau  diadopsi  oleh PCAOB. Namun bagi auditor jenis jasa ini  bukanlah  penugasan  yang  terpisah dari  penugasan  audit  atas  laporan keuangan. Sehingga SEC menegaskan bahwa penugasan atestasi  ini  tidak  menjadi  dasar  untuk peningkatan  biaya  fee  audit  laporan keuangan.
Setelah  keluar  undang  undang SOX    industri  jasa  audit  termasuk didalamnya  kantor  akuntan  publik  dan profesi
harus menghadapinya, sehingga  undang  undang  ini  menjadi berarti  bagi  semua  pihak.  Sudah diketahui  secara  umum  bahwa  di Amerika  ada      empat  kantor  akuntan publik  besar  dan  banyak  kantor akuntan publik kecil yang menawarkan jasa audit laporan
keuangan. Dan diantara kantor
akuntan  kecil  itu  ada  yang  berupa kantor akuntan publik  multi nasional.
Sebenarnya  industri  jasa  audit adalah  hanya  menghasilkan  satu produk  yaitu  opini  auditor.  Auditor mengekpresikan opininya atas laporan keauangan  kepada  pihak  pihak  yang berkepentingan  terhadap  perusahaan. Kantor akuntan publik dapat dijelaskan sebagai  sekumpulan  dari  asset  yang dikendalikan oleh sistem otoritas.  Aset
dari  kantor  akuntan  adalah  modal sumber  day a  manusia  dan  “brand name” (Van Lent, 1999).
Human  capital  consist  of  general  and specific  human  capital,  where  general capital  enhances  the  holder’s  value  in the  market,  and  the  specific  capital raises the value of the holder to his or her employer (Becker 1975).
Secara  umum  modal  sumber daya  manusia  berupa    keahlian pencapaian  kualitas yang tinggi dalam mengaudit.  Keahlian  ini  diperoleh melalui  pendidikan    di  universitas, program  pelatihan  professional  yang dilaksanakan  perusahaan  (KAP)  atau pelatihan diluar perusahaan. Sedangkan modal sumber daya manusia yang spesifik adalah pengetahuan  auditor  atas  bisnis  klien. Auditor  akan  menjadi  familiar  dengan bisnis klien ; beberapa KAP mengkhususkan  stafnya  berdasarkan jenis industri klien, membina hubungan dengan  orang  orang  keuangan  di perusahaan, dan belajar tentang proses keuangan perusahaan. Sedangkan brand  name dipengaruhi oleh kualitas sumber daya KAP seperti kemampuan  staf  audit  bekerja  secara professional,  kompeten  dan  beretika. Sayangnya masyarakat tidak memahami secara utuh tentang fungsi dari  opini  audit  yang  dihasilkan  KAP. Opini  dihasilkan  dibawah  panduan standar  audit.    Kebanyakan  Negara memiliki  standar  masing  masing  tapi saat  ini  bertambah  banyak  negara yang  mempedomani  Standar  Auditing Internasional.
Proses Pengujian Auditor atas Penilaian Pengendalian Internal oleh Manajemen. Auditor  laporan  keuangan  perusahaan publik  diwajibkan  oleh  SOX  404  untuk menguji penilaian pengendalian internal yang telah dilaksanakan manajemen. Proses untuk melaksanakan  kewajiban  ini  melalui empat  tahap  (Elder,  Beasley  dan Arens, 2008) yaitu: 1.  Dapatkan dan dokumentasikan  pemahaman atas pengendalian internal melalui pendokumentasian rancangan dan proses pengendalian internal.
2.  Menilai resiko pengendalian
3.  Merancang dan melaksanakan
dan  mengevaluasi  pengujian pengendalian 4.  Memutuskan  resiko  deteksi yang direncanakan dan pengujian substantive Untuk  mendapatkan    pemahaman atas    rancangan  dan  penerapan pengendalian    auditor  mengumpulkan bukti audit dalam bentuk dokumentasi,
mengajukan pertanyaan kepada karyawan  klien,  mengamati    karyawan dalam melaksanakan proses
pengendalian,  melaksanakan  proses ulang  untuk  satu  atau  beberapa transaksi melalui sistem akuntansi dari awal  sampai  akhir.  Sedangkan  untuk mendokumentasikan pemahaman atas rancangan pengendalian internal auditor menggunakan tiga tipe
dokumentasi yaitu: narasi, aliran dokumen  dan  pertanyaan  pertanyaan pengendalian internal.
Apabila  klien  yang  telah  direview pengendalian  internalnya    dipastikan bisa diaudit dimana manajemen memiliki integritas dan catatan akuntansi mencukupi maka selanjutnya auditor akan melaksanakan  pengukuran  awal  atas resiko  pengendalian.    Pengukuran  ini dilaksanakan untuk mendapatkan suatu  ukuran  harapan  auditor  atas pengendalian  internal  yang  dapat menghindari  terjadinya  salah  saji material  atau  dapat  mendeteksi  dan memperbaiki salah saji tersebut (Elder, Beasley  dan  Arens,  2008).    Tahapan yang dilakukan auditor adalah mengidentifikasi tujuan audit, mengidentifikasi  pengendalian  yang ada,    melihat  hubungan  pengendalian dengan  tujuan  audit,  identifikasi  dan evaluasi kelemahan pengendalian, kelemahan yang signifikan dan kelemahan material. Sebagaimana  diatur  oleh  standar audit 2 oleh PCAOB auditor diwajibkan untuk mengevaluasi pengujian pengendalian  internal  yang  dilakukan manajemen  dan  juga  pelaksanaan pengujian
pengendalian yang dilakukan  nya  sendiri.  Berikut  adalah tahapan  penting  dalam  melakukan audit    terhadap  pengendalian  internal oleh auditor independent:
Plan the audit, evaluate management’s assessment process, obtain an understanding of internal control, test and evaluate design effectiveness,test  and  evaluate operating effectiveness, evaluate the sufficiency of testing,formulate  an  opinion  on the  effectiveness  of  internal control  over  financial  reporting,
issue  a  report  on  internal control, communicate findings to the audit committee and
management Ada  empat  prosedur  yang
dapat  dilakukan  oleh  auditor  untuk melaksanakan
pengujian pengendalian  (  Elder,  Beasley  dan Arens, 313-14 , 2008):
1.  Make inquiries of appropriate client personnel
2.  Examine  documents,  records,  and reports
3.  Observe control related activities 4.  Reperform client procedures
Pelaporan pengendalian internal berdasarkan SOX 404 Laporan  auditor  dalam  pengendalian internal  meliputi  dua  opini  auditor yaitu:
1.  Opini  auditor  tentang  apakah penilaian manajemen atas efektifitas pengendalian internal atas laporan keuangan  pada  akhir  periode akuntansi telah disajikan secara  fair  dalam  segala  hal yang material 2.  Opini  auditor  tentang  apakah perusahaan memelihara dalam segala hal yang material, efektifitas pengendalian internal atas laporan keuangan pada tanggal tertentu. Jenis  jenis  opini  yang  akan
diperoleh oleh klien audit atas
pengujian penilaian pengendalian internal oleh majamemen adalah; a.  wajar tanpa pengecualian;
b.  tidak wajar
c.  wajar  dengan  pengecualian atau tidak memberikan opini
Auditor akan mengeluarkan laporan audit dengan opini wajar tanpa pengecualian bila tidak ada
teridentifikasi  salah  saji  material  dan tidak  ada  pembatasan  ruang  lingkup pekerjaan  auditor.    Opini  tidak  wajar akan  dikeluarkan  bila  ada  kelemahan material  dalam  pengendalian  internal perusahaan.  Sedangkan  opini  wajar dengan pengecualian didasarkan pada apabila  auditor  tidak  mampu  untuk menentukan jika ada kelemahan material  disebabkan  oleh  dibatasinya ruang lingkup  audit  atas  pengendalian internal  atau  karena  kondisi  tertentu auditor  tidak  mendapatkan  bukti  yang mencukupi.

## Kesimpulan
Tulisan ini mencoba mereview bagaimana  efek  dari  SOX  404  atas audit  laporan  keuangan  perusahaan publik  di  Amerika.  Uraian  diawali dengan  proses  munculnya  sebuah undang  undang  tentang  auditor  atau audit  di  Amerika.    Sejarah  selalu berulang, undang undang baru biasanya    dibuat  setelah  terjadi  suatu skandal keuangan. Begitu juga dengan
SOX  undang  undang  ini  muncul karena  adanya  skandal  kecurangan keuangan  oleh  perusahaan  Enron  di Amerika.
Ada  lima  aspek  yang  diatur  oleh SOX tapi uraian lebih diarahkan  pada SOX  404  yang  mengatur  tentang pelaksanaan  penilaian  pengendalian internal oleh manajemen dan pengujiannya oleh auditor. Sejak diterapkannya  SOX  404  auditor  tidak hanya  mengaudit  laporan  keuangan tapi  juga  harus  mengaudit  atau melakukan  pengujian  atas  penilaian pengendalian
internal yang
dilaksanakan  oleh  manajemen.    Hasil pengujian  tersebut  dilaporkan  oleh auditor  dalam  laporan  atas  pengujian pengendalian
internal dengan memberikan  opini  atas  pengujian tersebut.  Pengujian  atas  penilaian pengendalian internal oleh manajemen adalah  penugasan  yang  dilaksanakan bersamaan  dengan  audit  atas  laporan keuangan  perusahaan.    Sehingga audit  laporan  keuangan  setelah  SOX 404  harus  menghasilkan  dua  opini satu  opini  untuk  pengujian  atas pengendalian  internal  dan  yang  satu lagi  adalah  opini  audit    atas    laporan keuangan. Referensi
Becker, Gary S., 1975. Human Capital , New  York:  Columbia  University Press. Elder,  Beasley  and  Arens;  2008; Auditing  and  Assurance  Srvices, An Integrated Aproach, 12 ed,
Ellen  Engel,  Rachel  M.  Hayes,  and
Xue  Wang;  May  6,  2004;  The Sarbanes-Oxley  Act  and  Firms' Going-Private Decisions¤
Fredriksson, Antti and Lindahl ,Frederick  ;2008;  Did  Auditors Need  Reforming?  The  Need  for SOX Gopal V. Krishnan, Gnanakumar
Visvanathan; October 2005, Reporting Internal Control Deficiencies in the Post-Sarbanes Oxley  Era:  the  Role  of  Auditors and Corporate Governance Hollis  Ashbaugh-Skaife.,  Daniel  W. Collins,. William R. Kinney,
Jr.,Ryan  LaFond;June  10,  2008; The Effect of SOX Internal Control
Deficiencies  on  Firm  Risk  and
Cost of Equity
Jan  R.  Heier,  Michael  T.  Dugan  and David L. Sayers; 2003, Sarbanes- Oxley  and  the  Culmination  of Internal  Control  Development:  A Study of Reactive Evolution Boynton,  Johnson  and  Kell,  2000, Modern Auditing, 7ed, John Wiley and Sons, Inc.
Mooeller,  R  R,  2005,  Brink’s  Modern Internal  Auditing,  John  Wiley  and Sons,  Inc,  USA  New  Jersey, Pearson Prentice Hall Stephen Bryan and  Steven Lilien, 2006, Characteristics of Firms with Material Weaknesses inInternal Control: An Assessment of Section 404 of Sarbanes Oxley Van  Lent,  L.  1999:  The  Economics  of an  Audit  Firm:  The  Benefits  of Partnership
Governance,  in:  British  Accounting Review, Vol. 31, p. 225-254.