Apa itu audit trail? Cara menyimpan jejak audit yang bisa ditelusuri auditor

Tiga minggu setelah audit tahunan dimulai, auditor eksternal mengirim sampel mereka: empat puluh pembayaran dari tahun lalu. Salah satunya Rp81.900.000 kepada vendor percetakan pada 14 Maret. Auditor ingin tahu siapa yang mengajukan pembelian itu, siapa yang menyetujuinya, apa yang dikirim dan mengapa rekening bank pada pembayaran berbeda dari rekening yang tertera di invoice vendor.

Pengajuannya ada di sebuah thread email. Persetujuannya berupa “ok” di WhatsApp dari manajer marketing yang sudah resign pada bulan Juni. Surat jalan yang ditandatangani tersimpan di binder di gudang. Rekening bank diubah setelah vendor mengirim surat lewat email, dua hari sebelum jadwal pembayaran, oleh seseorang yang memakai login bersama tim AP. Menyusun semuanya memakan waktu dua hari, dan vendor mengonfirmasi bahwa uangnya memang sudah mereka terima. Auditor tetap mencatatnya di management letter, karena tidak ada yang bisa menunjukkan bahwa pembayaran ke rekening yang salah akan tertahan.

Setiap jawaban itu adalah bagian dari sebuah jejak audit (audit trail), dan jejak yang satu ini tercecer di email, chat dan binder, dengan bagian terpentingnya hilang. Panduan ini menjelaskan apa itu audit trail, apa saja yang dicatat jejak audit yang baik, bagaimana auditor memakainya, contoh satu pembayaran yang ditelusuri dari awal sampai akhir dan cara membangun jejak yang menjawab pertanyaan auditor sebelum ditanyakan.

Apa itu audit trail?

Audit trail atau jejak audit adalah catatan atas semua yang terjadi pada sebuah transaksi: siapa melakukan apa, kapan dan apa yang berubah, beserta bukti untuk setiap langkahnya. Untuk pembayaran ke vendor, jejaknya berjalan dari pengajuan pembelian, persetujuan, purchase order (PO), penerimaan barang, invoice dan pembayaran sampai jurnal di buku besar. Untuk klaim pengeluaran, jejaknya berjalan dari struk sampai penggantian dana.

Istilah ini dipakai dalam dua arti. Dalam arti sempit, audit trail adalah log aktivitas sebuah sistem: daftar tindakan pada satu catatan, lengkap dengan waktunya. Dalam arti luas, audit trail adalah seluruh rangkaian dokumen dan keputusan di balik satu angka di laporan keuangan. Auditor membutuhkan keduanya: dokumen menunjukkan apa yang terjadi, dan log menunjukkan bahwa tidak ada yang mengubah ceritanya setelah itu.

Auditor memakai jejak audit dari dua arah:

• Vouching dimulai dari sebuah entri di buku besar lalu mundur ke buktinya, untuk memastikan bahwa yang dicatat benar-benar terjadi.
• Tracing dimulai dari dokumen sumber lalu maju ke buku besar, untuk memastikan bahwa yang terjadi benar-benar dicatat.

Jejak yang hanya bisa ditelusuri dari satu arah hanya menjawab separuh pertanyaan.

Apa yang dicatat jejak audit yang baik

Untuk setiap tindakan pada sebuah transaksi, jejak audit yang baik menunjukkan:

• Siapa: orang dengan nama yang jelas, atau sistem atau agent yang jelas namanya, bukan login bersama.
• Apa: tindakannya, misalnya dibuat, diubah, disetujui, ditolak, dibayar atau diposting.
• Kapan: tanggal dan jam, dicatat oleh sistem, bukan diketik manual.
• Sebelum dan sesudah: untuk setiap perubahan, nilai lama dan nilai barunya.
• Mengapa: alasan untuk apa pun yang tidak biasa, seperti override, pengecualian atau entri yang terlambat.
• Buktinya: dokumen sumber yang melekat pada transaksi, bukan disimpan di tempat lain yang harus dicari dulu.
• Kaitan ke buku besar: referensi dari transaksi ke jurnalnya, dan sebaliknya.

Jejak audit itu sendiri juga harus memenuhi empat syarat. Tidak bisa diubah atau dihapus, oleh siapa pun. Lengkap, sehingga tindakan di luar jejak itu dianggap tidak ada. Disimpan selama yang dibutuhkan peraturan dan auditor Anda. Dan bisa dibaca serta dipahami oleh orang yang tidak terlibat saat itu.

Contoh kasus: satu pembayaran, ditelusuri

Berikut pembayaran Rp81.900.000 dari cerita pembuka, seperti yang akan terlihat pada jejak audit yang lengkap. Tim marketing memesan 2.000 katalog cetak seharga Rp42.000 per buah:

Tanggal	Yang terjadi	Rp ribu
3 Feb	Staf marketing mengajukan 2.000 katalog	84.000
4 Feb	Manajer marketing menyetujui pengajuan	84.000
5 Feb	Procurement menerbitkan purchase order	84.000
24 Feb	Gudang mencatat 1.950 katalog diterima	81.900
26 Feb	Invoice untuk 2.000 masuk, dicocokkan AP ke 1.950	81.900
27 Feb	Manajer keuangan menyetujui invoice	81.900
10 Mar	Rekening baru vendor disetujui setelah konfirmasi telepon
14 Mar	Direktur keuangan melepas pembayaran; jurnal terposting ke buku besar	81.900

Dengan jejak ini, auditor bisa memeriksa setiap pertanyaan yang penting baginya:

• Apakah transaksinya benar-benar terjadi? Gudang mencatat penerimaan barang, lengkap dengan nama petugas dan tanggalnya.
• Apakah sudah diotorisasi? Setiap persetujuan diberikan oleh orang yang berwenang untuk nominal Rp84 juta sesuai matriks persetujuan perusahaan, dan tidak ada yang menyetujui pengajuannya sendiri.
• Apakah nominalnya benar? Vendor menagih 2.000 katalog, tetapi yang datang hanya 1.950. Pencocokan tiga arah menyetujui 1.950 × Rp42.000 = Rp81.900.000 dan menahan Rp2.100.000 untuk 50 katalog yang belum datang, sampai ada nota kredit atau sisa pengiriman tiba.
• Apakah masuk ke periode yang benar? Katalog diterima pada 24 Februari, jadi biaya dan utangnya masuk ke bulan Februari, walaupun uangnya baru keluar pada bulan Maret.
• Apakah tugasnya sudah dipisahkan? Tujuh orang terlibat dalam transaksi ini, dan tidak ada yang sekaligus menyetujui dan membayar. Perubahan rekening bank diinput oleh AP, dikonfirmasi dengan menelepon vendor di nomor yang sudah tercatat dan disetujui oleh manajer keuangan, bukan oleh orang yang menginputnya.
• Apakah bisa ditelusuri dari dua arah? Pembayaran di buku besar merujuk ke invoice, dan invoice merujuk ke purchase order dan penerimaan barangnya.

Jejak dalam cerita pembuka putus di tiga titik: persetujuan, catatan penerimaan barang dan perubahan rekening bank. Uangnya sampai ke tujuan yang benar. Hanya saja, jejaknya tidak bisa membuktikan bahwa uang itu akan tertahan seandainya dikirim ke tempat lain.

Mengapa jejak audit sering putus

• Persetujuan di luar sistem. “Ya” di dalam rapat, emoji jempol di grup chat atau email ke satu orang. Persetujuannya ada, tetapi tidak di tempat yang bisa ditemukan auditor sembilan bulan kemudian.
• Login bersama. Jika tim AP memakai satu akun bersama, semua entri tercatat dibuat oleh “finance”, dan log tidak bisa memberi tahu siapa orangnya.
• Log yang bisa diubah. Entri yang sudah diposting bisa diedit atau dihapus tanpa jejak, atau perubahan menimpa nilai lama alih-alih menyimpannya.
• Bukti tersebar di beberapa tempat. Struk di aplikasi pengeluaran, persetujuan di email, kontrak di shared drive dan jurnal di ERP, yang dihubungkan hanya oleh nama file.
• Data master tanpa riwayat. Rekening bank vendor, batas wewenang dan peran pengguna berubah tanpa catatan siapa yang mengubahnya, padahal justru di situlah fraud pembayaran biasanya dimulai.
• Kertas yang pudar. Struk thermal sudah kosong setelah kira-kira setahun, dan fotonya ada di ponsel yang sudah diganti.
• Jejak yang berhenti di buku besar. Sistem pengeluaran atau AP dan buku besar tidak berbagi referensi, sehingga mencocokkan jurnal dengan sumbernya harus dicari manual.

Audit trail di Indonesia

• Catatan disimpan bertahun-tahun. Peraturan perpajakan Indonesia mewajibkan pembukuan, catatan dan dokumen pendukungnya disimpan selama sepuluh tahun, dan pemeriksaan pajak bisa menanyakan transaksi lama, jauh setelah orang-orang yang terlibat sudah pindah. Jejak yang tersimpan di kotak masuk email karyawan atau di kertas thermal tidak akan bertahan selama itu.
• Dokumen pajak masuk ke jejak yang sama. PPN masukan hanya bisa dikreditkan dengan faktur pajak yang lengkap dan benar, dan jika Anda memotong PPh 23 atas jasa, bukti potongnya adalah bagian dari cerita pembayaran yang sama. Simpan keduanya bersama invoice yang bersangkutan, bukan di folder pajak terpisah.
• Dokumen elektronik diakui sebagai alat bukti. UU ITE mengakui dokumen elektronik sebagai alat bukti hukum yang sah, selama dokumen itu dapat diakses, ditampilkan dan dijamin keutuhannya. Log yang tidak bisa diubah oleh siapa pun adalah cara Anda menunjukkan keutuhan itu.
• Persetujuan lewat WhatsApp. Menyetujui lewat chat memang cepat dan umum, tetapi chat-nya ada di ponsel pribadi seseorang dan ikut pergi bersamanya. Tangkapan layar hanya menunjukkan sebuah pesan, bukan persetujuan yang bisa diverifikasi.
• Jejak audit memuat data pribadi. Klaim pengeluaran dan log aktivitas mencatat nama, pengeluaran dan pergerakan karyawan, yang dilindungi UU PDP. Berikan auditor akses ke entitas dan periode yang sedang diperiksa, bukan ke semuanya, dan simpan catatan apa saja yang mereka buka.

Tanda jejak audit Anda perlu dibenahi

Kemungkinan besar jejak audit Anda perlu ditinjau jika beberapa hal berikut terasa akrab:

• Persetujuan diberikan lewat chat, email atau di dalam rapat, dan tidak tercatat di tempat lain.
• Lebih dari satu orang memakai login yang sama ke sistem akuntansi atau portal bank.
• Transaksi yang sudah diposting bisa diedit atau dihapus tanpa meninggalkan jejak.
• Tidak ada yang tahu siapa yang terakhir mengubah rekening bank vendor, atau kapan.
• Menjawab satu item dalam sampel audit memakan waktu satu jam, karena buktinya tersebar di beberapa tempat.
• Struk disimpan dalam bentuk kertas, dan yang lama sudah pudar.
• Bulan yang sudah ditutup masih bisa diubah.

Bagi auditor, persetujuan yang tidak bisa ditemukan sama dengan persetujuan yang tidak pernah ada.

Cara membangun jejak audit yang bisa ditelusuri auditor

1. Pindahkan semua persetujuan ke satu sistem. Sepakati bahwa persetujuan lewat chat atau di dalam rapat belum berlaku sampai tercatat pada transaksinya, dan tuliskan aturan itu di kebijakan persetujuan Anda.
2. Berikan setiap orang login sendiri. Termasuk untuk sistem akuntansi dan portal bank. Akun bersama membuat setiap tindakan tercatat atas nama “admin”.
3. Lampirkan bukti sejak awal. Ambil struk atau invoice saat pengeluaran terjadi, dan simpan pada transaksinya, bukan di drive terpisah.
4. Catat setiap perubahan data master. Setiap perubahan rekening bank vendor, batas wewenang dan peran pengguna harus tercatat, dan perubahan rekening bank harus disetujui orang kedua setelah dikonfirmasi lewat telepon ke nomor yang sudah Anda miliki.
5. Koreksi dengan menambah, bukan menimpa. Perbaiki entri yang salah dengan jurnal balik atau perubahan yang tetap menyimpan entri aslinya beserta alasannya.
6. Kaitkan setiap jurnal dengan sumbernya. Setiap jurnal harus membawa referensi ke transaksi di baliknya, dan setiap transaksi ke jurnal yang dihasilkannya.
7. Kunci periode yang sudah ditutup. Setelah bulan ditutup, tidak ada yang boleh berubah di dalamnya; item yang terlambat masuk ke bulan berikutnya dengan catatan. Checklist tutup bulan membahas sisa proses penutupannya.
8. Telusuri beberapa transaksi sendiri. Setiap kuartal, pilih lima pembayaran dan telusuri mundur sampai ke pengajuannya, lalu lima invoice dan telusuri maju sampai ke buku besar. Di mana pun Anda tersendat, auditor Anda juga akan tersendat di sana.

---

Bagaimana Procapy membantu

Di Proca to Pay dan Capy Expense, setiap transaksi membawa buktinya sendiri: dokumen sumber, data yang dibaca ProcAI dari dokumen itu, pengodean akun GL dan cost center, serta setiap persetujuan, komentar dan lampiran. Setiap tindakan dicatat lengkap dengan siapa yang melakukannya dan kapan, mulai dari pengajuan, perubahan, persetujuan dan penolakan sampai perubahan pengodean, sinkronisasi ke buku besar dan pembayaran. Setiap perubahan membuat versi baru dan menyimpan versi lama, dan tidak ada yang bisa menulis ulang apa yang sudah terjadi, termasuk administrator. Proca Agents mencatat setiap tindakannya beserta alasannya, di jejak audit yang sama dengan tindakan tim Anda sendiri.

Struk ditangkap saat pengeluaran terjadi dan disimpan sebagai gambar asli beserta data yang dibaca darinya, dengan masa retensi yang diatur per entitas sesuai ketentuan setempat. Membuat transaksi, menyetujuinya, melepas pembayaran dan mengubah rekening bank vendor adalah peran yang terpisah, sistem mencegah satu orang memegang peran yang saling bertentangan pada satu transaksi dan setiap perubahan pengaturan peran ikut tercatat. Periode yang sudah ditutup dikunci, dan transaksi yang disetujui diposting ke ERP atau sistem akuntansi Anda dengan referensi di kedua sisi.

Auditor Anda bisa mendapat akses hanya-baca mereka sendiri, terbatas pada entitas dan periode yang sedang diperiksa, dan semua yang mereka buka juga tercatat. Sampel acak atau berstrata bisa diambil berdasarkan nominal, vendor, kategori atau periode, dan berkas lengkap setiap item diekspor dalam sekali proses. Halaman audit membahas selebihnya. Jadwalkan sesi demo 30 menit, bawa permintaan sampel dari audit terakhir Anda dan kami akan menarik buktinya secara langsung.