Analisa Resiko

Pengertian Analisa Resiko
Analisa resiko adalah bagian dari proses audit untuk menganalisa jenis resiko dan kerentanan, yang bermanfaat agar auditor dapat mengambil langkah langkah untuk meminimalisasi resiko yang ada. Tujuan analisis risiko yaitu untuk memisahkan risiko kecil yang dapat diterima dari risiko besar, dan menyiapkan data sebagai bantuan dalam prioritas dan penanganan risiko. Pengertian Resiko-Risiko diantaranya yaitu :

1. Audit Risk adalah  resiko auditor mengeluarkan pendapat Wajar Tanpa Pengecualian padahal dalam laporan tersebut terdapat salah saji yang material.
2. Inherent risk adalah kemungkinan suatu asersi  mengandung salah saji material dengan asumsi tidak ada pengendalian
3. Control risk adalah resiko ada salah saji  material dalam asersi yang tidak dapat dicegah atau ditemukan secara tepat waktu oleh pengendalian internal entitas
4. Detection risk detection risk adalah resiko auditor untuk tidak menemukan salah saji (yang sebenarnya ada) setelah melakukan prosedur audit.
5. Business Risk adalah potensi terjadinya suatu peristiwa, tindakan, atau tidak dilakukannya tindakan, yang mengakibatkan klien gagal untuk memenuhi tujuan usahanya (business objectives), atau gagal dalam mengidentifikasi tujuan usaha yang diharapkan oleh stakeholder utama.

Berikut adalah cara-cara untuk mengatasi resiko diantaranya adalah:

1. Avoid Risk , dengan melakukan terminasi resiko, awalnya ketika resiko sudah di ukur, maka kemudian dilakukan pengaturan aktifitas yang akan memicu resiko tersebut.
2. Reduce Risk, dengan meminimalkan kemungkinan terjadinya resiko, caranya adalah dengan menambahkan kontrol tambahan.
3. Accept Risk, menerima resiko yang ada dengan mempersiapkan management penanganannya.
4. Transfer Risk, meletakkan resiko pada pihak ketiga.

Tahapan kegiatan analisis risiko antara lain meliputi: identifikasi hazard, proyeksi risiko, penilaian risiko, dan manajemen risiko.

1. Identifikasi Hazard , dalam aktivitas identifikasi, maka informasi yang akan didapatkan adalah tipe hazard dan magnitude hazard.
2. Proyeksi Risiko, proyeksi atau estimasi risiko dilakukan untuk me-rating risiko berdasarkan kecenderungan bahwa risiko tersebut akan menjadi kenyataan dan segala konsekuensi dari masalah yang berhubungan dengan risiko tersebut. Proyeksi risiko merupakan komponen utama dalam tahap penilaian risiko. Tahap ini meliputi: penetapan skala yg merefleksikan persepsi kecenderungan suatu risiko (skala dapat bersifat kualitatif ataupun kuantitatif), menggambarkan konsekuensi dari risiko, menetapkan dampak dari risiko, dan ketepatan secara menyeluruh dari proyeksi risiko.
3. Penilaian Risiko, risiko diberi bobot berdasarkan persepsi dampak dan prioritas. Dampak merupakan fungsi dari 3 faktor yaitu:
1. Kecenderungan akan terjadinya kejadian.
2. Lingkup risiko, merupakan kombinasi tingkat keparahan dan jangkauan distribusi risiko.
3. Waktu dan lamanya dampak dirasakan.
4. Teknik Penilaian Risiko, teknik penilaian risiko dapat dilakukan secara kualitatif, semi kuantitatif, dan kuantitatif atau kombinasi tergantung pada kondisi. Karakteristik penilaian kualitatif meliputi tipe efek kesehatan, estimasi frekuensi pemajanan (harian, mingguan, bulanan), lokasi hazard dalam hubungannya dengan tempat kerja. Sedangkan karakteristik penilaian kuantitatif meliputi data pengukuran pemajanan, konsentrasi zat, angka kesakitan/kematian, modeling analisis konsekuensi dari pemajanan terhadap hazard dan modeling frekuensi pemajanan.

Metodologi Analisis Resiko Eugene Tucker
Eugene Tucker, dalam Other Risk Analysis Methodologies, menjelaskan bahwa terdapat banyak metode analisis resiko. Tucker menjabarkan beberapa metodologi analisis resiko yang salah satunya adalah Operational Risk Management (ORM) yang bisa diterapkan dalam menganalisis risiko.

Operational Risk Management (ORM)
merupakan sebuah sistem manajemen resiko berbasis teknis yang umumnya digunakan oleh lembaga Administrasi Penerbangan dan militer. Perangkat analisis ini dirancang untuk mengenali manfaat dan resiko cara kerja untuk menentukan arah terbaik dari satu tindakan yang diambil dalam situasi tertentu. Resiko yang diteliti itu dapat merupakan akibat dari proses yang tidak memadai atau gagal, dari orang, dari sistemnya sendiri, maupun dari kejadian-kejadian di luar sistem (bersifat eksternal). Terdapat enam langkah dari ORM, yaitu mengenali bahaya;  menakar atau menilai resiko yang ada;  menganalisa ukuran pengendalian resiko; membuat putusan pengendalian;  menerapkan pengendalian resiko; dan  melakukan pengawasan dan peninjauan.

Metode Hibrida
Dapat digunakan untuk menerapkan komponen-komponen yang memanfaatkan informasi yang tersedia sekaligus memperkecil matriks yang terkumpul dan dihitung. Metode ini, sayangnya, kurang intinsif secara numeric (tetapi lebih murah biayanya) dibandingkan dengan sebuah metode analisis yang dilakukan secara lengkap dan mendalam.
Sebelum berlanjut cara menerapakan metode analisis, terdapat hal yang harus diperhatikan diantaranya yaitu :

1. Menentukan ruang lingkup (scope statement).
2. Menetapkan aset (asset pricing)
3. Mengeidentifikasi Risks and Threats.
4. Menentukan koefisien dampak. Meneliti sejauh mana sebuah aset dikenali sebagai hal yang rentan terhadap sesuatu, serta perbandingannya dengan aset yang justru kebal sama sekali.

Jenis-jenis Resiko
Resiko bisnis terkait dengan resiko inheren dan resiko pengendalian klien, dalam banyak kasus  resiko bisnis yang tinggi = resiko inheren yang tinggi dan resiko bisnis yang tinggi = resiko pengendalian yang tinggi. Jika auditor bisa mengindetifikasi resiko bisnis, maka auditor bisa mengelola resiko audit dengan lebih baik dan  hal itu akan memberikan manfaat lebih (add value) kepada klien

A. Risiko Deteksi Terencana
Risiko deteksi terencana (planned detection risk) merupakan ukuran risiko bahwa bukti audit atas segmen tertentu akan gagal mendeteksi keberadaan salah saji yang melebihi suatu nilai salah saji yang masih dapat ditoleransi, andaikan salah saji semacam itu ada. Terdapat dua poin utama tentang risiko deteksi terencana ini yaitu sebagai berikut :

1. Risiko  ini tergantung pada ketiga faktor lainnya yang terdapat dalam model. Risiko deteksi terencana hanya akan berubah jika auditor melakukan perubahan pada salah satu dari ketiga faktor lainnya tersebut.
2. Risiko ini menentukan nilai substantif yang direncanakan oleh auditor untuk dikumpulkan, yang merupakan kebalikan dari ukuran risiko deteksi terencana itu sendiri.

Jika nilai risiko deteksi terencana  berkurang, maka auditor harus mengumpulkan lebih banyak bukti audit untuk mencapai nilai risiko deteksi yang berkurang ini.

B. Risko Inheren
Risko inheren (inheren risiko) merupakan suatu ukuran yang dipergunakan oleh auditor dalam menilai adanya kemungkinan bahwa terdapat sejumlah salah saji yang material (kekeliruan atau kecurangan) dalam suatu segmen sebelum ia mempertimbangkan keefektifan dan pengendalian intern yang ada. Dengan mengasumsikan tiadanya pengendalian intern, maka risiko inheren ini dapat dinyatakan sebagai kerentanan laporan keuangan terhadap timbulnya salah saji yang material.

Hubungan antara risiko dengan risiko deteksi terencana serta dengan bukti audit yang direncanakan adalah sebagai berikut : risiko inheren saling berlawanan dengan risiko deteksi terencana serta memiliki hubungan yang searah  dengan bukti audit. Selain semakin meningkatnya bukti audit yang diperlukan untuk suatu tingkat risiko inheren yang lebih tinggi dalam suatu area audit tertentu, merupakan hal yang umum dilakukan pula untuk menugaskan staf yang telah memiliki lebih banyak pengalaman untuk melakukan audit pada area tersebut serta melakukan riview yang lebih mendalam pada kertas kerja yang telah selesai dibuat. Sebagai contoh : jika risiko inheren atas keusangan persediaan sangat tinggi, maka sangatlah masuk akal  bila kantor akuntan publik memilih staf yang berpengalaman untuk melakukan sejumlah tes yang lebih mendalam atas keusangan persediaan ini dan melakukan review yang lebih cermat atas hasil-hasil yang diperoleh dari audit ini. Sebagai contoh:

1. Valuasi piutang dagang, asersi keberadaan piutang dagang oleh manajemen, terkait kecemasan auditor tentang going concern.
2. Kalkulasi beban pensiun, metode penyusutan aset tetap dan kalkulasi beban penyusutan aset tetap
3. Kas lebih rentan pencurian dibanding persediaan.
4. Perubahan teknologi menyebabkan aset tetap padat teknologi harus di hapus-buku lebih cepat lantaran ketinggaalan teknologi.
5. Lapping banyak terjadi pada industri perbankan, dana pensiun, asuransi. KKN pada akun tabungan berjangka lebih banyak terjadi pada demand deposit.
6. Berbagai perusahaan memilih tak menggunakan pedoman sistem & prosedur (tertulis & kaku) untuk meningkatkan kreativitas dan layanan pelanggan.
7. Moral, standar etika, misalnya uang tip boleh diterima, itu rezeki anda, merupakan risiko budaya.

C. Resiko pengendalian
Resiko pengendalian (control risk) merupakan ukuran yang digunakan oleh auditor untuk menilai adanya kemungkina bahwa terdapat sejumlah salah saji material yang melebihi nilai salah saji yang masi dapat ditoleransi atas segmen tertentu akan tidak terhadang atau tidak terdeteksi oleh pengendalian intern yang dimiliki klien. Resiko pengendalian ini memperhatikan 2 hal berikut:

1. Penilaian tentang apakah pengendalian intern yang dimiliki klien efektif untuk mencegah atau mendeteksi terjadinya salah saji.
2. Kehendak auditor membuat penilaian tersebut senantiasa berada di bawah nilai maksimum (100 persen) sebagai bagian dari rencana audit yang dibuatnya.

Model resiko audit menunjukan hubungan yang erat antara resiko inheren dan resiko pengendalian sama dengan yang terjadi pada resiko inheren, hubungan antara resiko pengendalian dan resiko deteksi terencana adalah saling berlawanan, sementara hubungan antara resiko pengendalian dan bukti substantif merupakan hubungan yang searah. Sebagai contoh, jika auditor menyimpulkan bahwa pengendalian intern bersifat efektif, maka nilai resiko deteksi terencana dapat meningkat sehingga jumlah bukti audit yang direncanakan akan dikumpulkan akan turun. Auditor dapat meningkatkan resiko deteksi terencana pada saat pengendalian intern bersifat efektif karena pengendalian intern yang efektif akan mengurangi kemungkinan hadirnya salah saji dalam laporan keuangan.
Sebelum auditor  dapat menetapkan nilai resiko pengendalian kurang dari 100 persen, auditor harus memahami pengendalian intern yang ada, dan berdasarkan pemahaman itu, auditor melakukan evaluasi tentang bagaimana seharusnya fungsi pengendalian intern tersebut, serta melakukan uji atas efektifitas pengendalian intern tersebut. Hal pertama dari semua ini adalah keharusan untuk memahami semua jenis audit. Dua hal terakhir adalah langkah-langkah penilaian resiko pengendalian yang diperlukan jika auditor memilih untuk memberikan nilai atas resiko pengendalian supaya berada di bawah nilai maksimum.  Risiko peengendalian mencakupi risiko salah saji laporan keuangan tak tercegah atau tak tertemukan pada bingkai waktu tertentu oleh struktur pengendalian internal, kebijakan atau prosedur. Berbagai control risk selalu ada karena keterbatasan inheren dari struktur pengendalian internal. Bila kebijakan dan prosedur tak berjalan efektif, maka auditor melakukan penilaian control risk sebanyak mungkin, dengan catatan bahwa biaya pengendalian risiko harus lebih kecil dari manfaat pengendalian risiko. Pada umumnya, pengendalian inheren tak mampu membuat risiko menjadi 0%, diperangi atau dikurangi dengan strategi-sistem-prosedur terkait control risk. Control risk dirancang utk menekan risiko-residual tersebut sedapat-dapatnya, lalu sisa risiko selanjutnya menjadi tugas strategi deteksi, sistem-prosedur deteksi penyimpangan, KKN dan salah saji material.

D. Resiko akseptibilitas audit
Resiko akseptibilitas audit (acceptable audit risk) merupakan ukuran atas tingkat kesediaan auditor untuk menerima kenyataan bahwa laporan keuangan mungkin masih mengandung salah saji yang material setelah audit selesai dilaksanakan serta suatu laporan audit wajar tanpa syarat telah diterbitkan. Ketika auditor memutuskan untuk menetapkan suatu tingkat resiko akseptibilitas audit yang lebih rendah, hal tersbut berarti bahwa auditor ingin memperoleh tingkat keyakinan yang lebih tinggi bahwa laporan keuangan tidak mengandung salah saji yang material. Resiko nol berarti yakin sekali, dan suatu tingkat resiko sebesar 100 persen berarti benar-benar tidak yakin.
Dalam audit terdapat istilah audit assurance atau tingkat keyakinan, yaitu merupakan pelengkap dari resiko akseptibilitas audit. Audit assurance dihitung dengan perhitungan satu dikurangi resiko akseptibilitas audit. Sebagai contoh, tingkat resiko akseptibilitas audit sebesar 2 persen sama dengan tingkat audit assurance sebesar 98 persen.
Dengan mempergunakan model audit, akan terlihat adanya hubungan yang searah antara resiko akseptibilitas audit dan resiko deteksi terencana, serta hubungan yang saling berlawanan antara resiko akseptibilitas audit dan bukti audit yang direncanakan. Sebagai contoh, jika auditor memutuskan akan mengurangi nilai resiko akseptibilitas audit, maka akan mengurangi pula resiko deteksi terencana serta bukti audit yang direncanakan akan dikumpulkan harus ditingkatkan. Auditor pun seringkali harus menugaskan staf yang lebih berpengalaman atau mereview kertas kerja dengan lebih cermat bagi klien dengan tingkat resiko akseptibilitas audit yang lebih rendah.

E. Resiko kecurangan
Resiko kecurangan merupakan resiko selain 4 resiko di atas dan resiko ini biasanya di perhitungkan di luar dari model resiko audit. Karena resiko kecurangan secara konsep dan praktek sangat sulit untuk dipisahkan faktor-faktornya ke dalam 4 jenis resiko di atas. Kecurangan sendiri memiliki arti kesalahan penyajian yang dilakukan secara sengaja dalam bentuk penggelapan aktiva dan kecurangan pelaporan keuangan.
Untuk menilai resiko kecurangan, auditor mengumpulkan informasi untuk menentukan luasnya keberadaan kondisi kecurangan. Hal-hal yang menyebabkan timbulnya resiko kecurangan antara lain tekanan yang diterima manajemen baik kelompok maupun individual, kesempatan yang tercipta, dan perilaku manajemen untuk membiarkan terjadinya tindakan ketidakjujuran tersebut.

Penilaian Resiko

A. Menilai Risiko Yang Dapat Diterima ( Acceptable Audit Risk )
Auditor harus memutuskan risiko audit yang dapat diterima yang tepat bagi suatu audit selama perencanaan audit. Pertama, auditor memutuskan risiko risiko penugasan.
Risiko penugasan (engagement risk) adalah risiko bahwa auditor atau organisasi yang membawahi auditor akan menderita kerugian setelah selesainya audit, walaupun laporan audit sudah benar. Untuk menilai risiko audit yang dapat diterima, auditor harus menilai setiap faktor yang mempengaruhi risiko audit yang dapat diterima

Menurut Petunjuk Teknis Penilaian Risiko Pemeriksaan BPK
Penilaian risiko pemeriksaan yang dapat diterima  secara kualitatif bisa dibagi menjadi 3 kategori yaitu:

1. Tingkat risiko pemeriksaan yang dapat diterima rendah,
2. Tingkat risiko pemeriksaan yang dapat diterima menengah,
3. Tingkat risiko pemeriksan yang dapat diterima tinggi.

Sedangkan penilaian risiko pemeriksaan menggunakan pendekatan kuantitatif menetapkan tingkat risiko pemeriksaan yang dapat diterima merujuk pada ASOSAI yaitu:

1. Tingkat risiko pemeriksaan yang dapat diterima sebesar 5 %, artinya tingkat keyakinan pemeriksa atas opininya sebesar 95% (AAR=1-tingkat keyakinan). Tingkat ini berlaku untuk sebagian besar entitas yang diperiksa.
2. Tingkat risiko pemeriksaan yang dapat diterima sebesar 3%, artinya tingkat keyakinan pemeriksa atas opininya sebesar 97%. Tingkat ini dinilai cukup memadai untuk beberapa entitas yang sangat sensitif atau berisiko tinggi.
3. Tingkat risiko pemeriksaan yang dapat diterima sebesar 1%, artinya tingkat keyakinan pemeriksa atas opininya sampai 99%. Tingkat ini berlaku bagi beberapa entitas dengan ciri-ciri sebagai berikut: 

• Entitas tersebut mempunyai pengguna eksternal yang sangat ekstensif perhatiannya terhadap laporan keuangan entitas tersebut, dan/atau
• Entitas tersebut cukup rentan akan terjadinya salah saji material dan secara politik sensitif dan/atau adanya harapan  atas kewajaran laporan keuangan entitas tersebut sehingga pemeriksa membutuhkan tingkat keyakinan yang sangat tinggi.

Pemeriksa harus menentukan risiko pemeriksaan yang dapat diterima berdasarkan identifikasi kondisi entitas yang diperiksa dan juga informasi penting lainnya yang berkaitan. Pemeriksa juga perlu mempertimbangkan harapan penugasan atas entitas diperiksa apalagi jika entitas tersebut mempunyai stakeholders yang luas.

Penilaian Kuantitatif Risiko
Kuantifikasi terhadap suatu risiko akan sangat tergantung pada kondisi nature hazard, kemudahan utk diukur (measurable) dan adanya suatu standar yg dipakai. Untuk mengkuantifikasi risiko, ketiga komponen risiko (frekuensi, probabilitas dan hasil jadi atau outcome) harus bisa diekspresikan secara matematika (modeling).  Analisis Resiko Kuantitatif merupakan suatu metode analisis resiko yang mengenali pengendalian pengamanan apa dan bagaimana yang seharusnya diterapkan serta besaran biaya untuk menerapkannya.

Penilaian Kualitatif Risiko
Metode penilaian risiko secara kualitatif terkesan subjektif dan memberi peluang multiinterpretasi dan debat. Persepsi risiko bisa bervariasi untuk setiap orang. Ada beberapa metode yang dapat diterapkan . Analisis Resiko Kualitatif digunakan untuk meningkatkan kesadaran atas masalah keamanan sistem informasi dan sikap dari sistem yang sedang dianalisis tersebut.

B. Menilai Risiko Inheren (Inherent Risk)
Auditor melakukan penilaian risiko inheren selama tahap perencanaan dan memperbaharui penilaian tersebut selama audit berlangsung. Auditor harus mengevaluasi informasi yang mempengaruhi risiko inheren serta memutuskan faktor risiko inheren yang tepat bagi setiap tujuan audit.
Faktor faktor yang mempengaruhi risiko inheren :

• Sifat bisnis klien, risiko inheren untuk akun tertentu dipengaruhi oleh sifat bisnis klien. Pemahaman auditor atas bisnis klien akan membantu menilai risiko inheren ini.
• Hasil audit sebelumnya, salah saji yang ditemukan dalam audit tahun sebelumnya dapat ditemukan lagi dalam audit tahun berjalan. Oleh karena itu auditor tidak boleh mengabaikan hasil audit tahun sebelumnya selama mengembangkan proses audit di tahun berjalan.
• Penugasan awal vs penugasan berulang, auditor akan memperoleh pengalaman dan pengetahuan tentang kemungkinan salah saji setelah mengaudit klien selama beberapa tahun. Auditor menetapkan risiko inheren yang tinggi pada tahun pertama audit dan mengurangi tinggkat risikonya pada tahun berikutnya karena telah semakin memahami klien.
• Pihak pihak yang terkait, pihak yang terkait yaitu perusahaan induk dengan perusahaan anak, serta manajemen dan entitas perusahaan. Risiko inheren atas transaksi pihak yang terkait ini sangat tinggi karena kemungkinan salah saji yang lebih besar.
• Transaksi non rutin, transaksi yang tidak biasa bagi klien lebih besar resikonya dibandingkan transaksi rutin karen pengalaman untuk transaksi non rutin masih sedikit.
• Pertimbangan yang diperlukan untuk mencatat saldo akun dan transaksi dengan tepat, auditor harus memperbesar risiko inheren karena banyak akun memerlukan estimasi dan banyak pertimbangan manajemen.
• Unsur unsur populasi, seluruh item yang membentuk populasi mempengaruhi ekspektasi auditor mengenai salah saji yang material

Faktor faktor yang berkaitan dengan pelaporan keuangan yang curang dan misal propriasi aktiva
Menurut konsep maupun praktik sangat sulit memisahkan faktor faktor risiko kecurangan ke dalam risiko yang dapat diterima ataupun risiko inheren.


Menurut Petunjuk Teknis Penilaian Risiko Pemeriksaan BPK
Secara kualitatif, risiko inheren terbagi menjadi lebih rendah dan lebih tinggi. Pemeriksa dapat mendokumentasikan penilaian risiko inherennya pada setiap level melalui formulir Audit Risk Matrix (ARM). Berdasarkan analisis pada matriks ARM maka dihasilkan akun-akun apa saja yang signifikan dan beresiko tinggi terhadap kewajaran laporan keuangan.
a.      Lebih tinggi atau 100%. Pada saat pemeriksa mengidentifikasi risiko tertentu atau faktor lain yang menimbulkan keyakinan bahwa terdapat kemungkinan yang lebih besar akan terjadinya kesalahan atas hal yang menurut pemeriksaan penting, pemeriksa akan menilai risiko inheren bagi asersi laporan keuangan yang relevan dengan kriteria lebih tinggi. Pemeriksa juga menganggap risiko inheren sebagai 100% sebagai hasil pertimbangan profesionalnya dan bersifat konservatif.
b.      Lebih rendah atau <100%. Jika pemeriksa yakin bahwa kecil kemungkinan terjadinya kesalahan atas hal yang menurut pemeriksaan penting (dengan asumsi tidak ada pengendalian), pemeriksa akan memberi penilaian dengan kriteria lebih rendah.

C. Menilai Risiko Deteksi Yang Direncanakan (Planned Detection Risk)

Para auditor menetapkan tingkat risiko deteksi yang dapat diterima (risiko deteksi yang direncanakan) yang mempengaruhi tes-tes substantif yang mereka lakukan.

• Jika tingkat risiko deteksi yang direncanakan rendah, maka auditor akan mengumpulkan bukti sebanyak mungkin untuk menurunkan risiko kesalahan saji .
• Tingkat risiko deteksi yang direncanakan tinggi maka auditor mengurangi pengumpulan bukti .

Menurut Petunjuk Teknis Penilaian Risiko Pemeriksaan BPK,
Ada dua jenis risiko deteksi berkaitan dengan audit sampling, yaitu risiko prosedur analitis dan risiko pengujian substantive.

• Risiko prosedur analitis berasal dari keputusan pemeriksa untuk menggunakan pertimbangannya dan menentukan apakah prosedur analitis merupakan prosedur yang efektif dan efisien dalam mendapatkan bukti pemeriksaan yang memadai.
• Penilaian risiko prosedur analitis sangat subyektif dan sulit untuk dikuantifikasikan. Oleh sebab itu biasanya pemeriksa secara konservatif memberikan nilai risiko ini cukup tinggi, yaitu antara 40% hingga 100%.

D. Menilai Risiko Pengendalian (Control Risk)

Auditor harus memahami perancangan dan pengimplementasian pengendalian internal untuk melakukan penilaian pendahuluan atas risiko pengendalian. Setelah memahami pengendalian internal, auditor dapat membuat penilaian pendahuluan atas risiko pengendalian sebagai bagian dari penilaian risiko secara keseluruhan. Penilaian ini merupakan ukuran ekspektasi auditor bahwa pengendalian internal akan mencegah salah saji material atau mendeteksi dan mengoreksinya jika terjadi.
Banyak auditor menggunakan matriks risiko pengendalian (control risk matrix) untuk membantu proses penilaian risiko pengendalian. Tujuannya adalah menyediakan cara yang mudah untuk mengatur penilaian risiko pengendalian bagi setiap tujuan audit.
Langkah langkah dalam penilaian risiko pengendalian:

• Mengidentifikasi tujuan audit
• Mengidentifikasi pengendalian yang ada
• Menghubungkan pengendalian dengan tujuan audit
• Mengidentifikasi dan mengevaluasi defisiensi pengendalian, defisiensi yang signifikan dan kelemahan yang material
• Menghubungkan defisiensi yang signifikan dan kelemahan yang material dengan tujuan audit terkait.
• Menilai risiko pengendalian untuk setiap tujuan audit.

E. Menilai Risiko Kecurangan

Dalam menilai risiko kecurangan, auditor harus mempertahankan sikap skeptisisme profesional ketika memepertimbangkan serangkaian informasi termasuk faktor faktor risiko kecurangan, untuk dapat mengidentifikasi dan menanggapi risiko kecurangan

• Skeptisisme professional

Selama penugasan, bahwa tim auditor harus mempertahankan sikap dan pikiran yang selalu mempertanyakan.

• Evaluasi kritis atas bukti

Auditor harus menyelidiki secara mendalam permasalahan dan kemungkinan kesalahan salah saji yang material karen kecurangan.

• Komunikasi di antara tim audit

Diantara auditor dapat saling bertukar pendapat terutama dengan yang telah berpengalaman mengenai penilaian risiko kecurangan, dan bagaimana kecurangan kecurangan itu biasanya terjadi dalam organisasi atau entitas yang diaudit.

• Mengajukan pertanyaan kepada manajemen

Untuk menilai risiko kecurangan, auditor dapat menanyakan beberapa pertanyaan secara langsung kepada manajemen ataupun pihak lain dalam organisasi, sehingga terbuka kesempatan datangnya informasi yang dalam kondisi lain tidak diungkapkan oleh manajemen ataupun pihak lain dalam organisasi.

• Prosedur analitis

Auditor harus melakukan prosedur analitis selama tahapan perencanaan audit dan penyelesaian audit untuk membantu mengidentifikasi kecurangan kecurangan.

• Faktor faktor risiko

Untuk menilai resiko kecurangan, kondisi yang harus diperhatikan adalah  adanya faktor faktor risiko kecurangan (segitiga kecurangan/ fraud triangle)

• Insentif/tekanan

Manajemen atau pegawai merasakan insentif atau tekanan untuk melakukan kecurangan. Insentif yang umum bagi entitas untuk memanipulasi laporan keuangan adalah menurunnya prospek keuangan entitas.

• Kesempatan

Situasi yang membuka kesempatan bagi manajemen atau pegawai lain untuk melakukan kecurangan. Risiko kecurangan yang lebih besar akan dihadapi oleh entitas yang menggunakan banyak pertimbangan dan estimasi dalam operasinya.

• Perilaku/rasionalisasi

Karakter, sikap dan nilai nilai etis yang membolehkan manajemen dan pegawai lain bersikap curang atau lingkungan yang menekan dan membuat adanya rasionalisasi tindakan curang.