Persiapan Audit yang Tidak Menghancurkan Q4

Tanggal 18 Desember. Tutup akhir tahun masih belum selesai. Daftar PBC auditor Anda memiliki 47 item yang belum diselesaikan, enam di antaranya jatuh tempo pada 30 November. Kepala AP Anda baru saja mengajukan pengunduran diri, akuntan senior Anda sedang sakit flu, dan senior associate dari tim audit telah mengirim email kepada tiga orang berbeda di tim Anda dalam 48 jam terakhir, meminta jadwal sewa yang sama dalam format yang sedikit berbeda.

Inilah rasanya persiapan audit yang buruk. Ini bukan masalah kecerdasan. Ini masalah kalender. Dan ini hampir sepenuhnya dapat dihindari.

Controller yang bertahan melewati Q4 tanpa kehilangan staf adalah mereka yang sudah menyelesaikan setengah pekerjaan audit pada bulan November. Mereka yang memperlakukan audit sebagai sprint Q1 kehilangan orang-orang terbaik mereka ke rekruter pada bulan Februari, ketika pesan LinkedIn mulai berdatangan dan tim terlalu lelah untuk mengabaikannya.

Inilah Playbook-nya. Angka nyata, diagnosis nyata, dan kalender Q3 hingga Q1 yang dapat Anda jalankan.

Mengapa Q4 Selalu Berantakan (Setiap Tahun, Dengan Cara yang Sama)

Lonjakan audit datang bersamaan dengan tutup akhir tahun. Batas waktu AP, akrual, air terjun pendapatan, dan putaran pertama permintaan PBC auditor semuanya bertepatan antara 15 Desember dan 10 Januari. Tambahkan hari libur, PTO, dan satu staf akuntan yang keluar pada November, dan Anda mendapatkan pola kelelahan yang sudah dapat diprediksi.

Polanya terlihat seperti ini:

• Oktober: Auditor mengirim daftar PBC "awal". Controller membacanya sekilas, menyimpannya, berencana menanganinya setelah tutup Q3.
• November: Daftar PBC muncul kembali. Kini ada 60 item. Setengahnya berulang dari tahun lalu, setengahnya baru. Tidak ada yang ditugaskan ke pemilik tertentu.
• Desember: Sesi penelusuran proses dijadwalkan, kemudian dijadwal ulang karena pemilik proses sedang cuti. Tutup akhir tahun dimulai.
• Januari: Item PBC yang terbuka, penelusuran proses, pengujian sampel, dan penyesuaian pasca-penutupan bertabrakan. Tim bekerja dua akhir pekan berturut-turut.
• Februari: Temuan berulang dari tahun lalu muncul kembali dalam deck komite audit. Controller menghabiskan satu minggu menjelaskan mengapa kontrol yang sama gagal dua kali.

Jika ada yang terdengar familiar, perbaikannya bersifat struktural, bukan taktis. Anda tidak akan keluar dari masalah ini tahun depan hanya dengan bekerja lebih keras. Anda akan keluar dari masalah ini dengan merencanakan lebih awal.

Manajemen Daftar PBC: Mulai di Q3, Bukan Q1

Satu hal dengan leverage tertinggi yang dapat dilakukan Controller adalah mengambil daftar PBC tahun sebelumnya dan mulai mengerjakannya pada September.

Inilah urutan yang saya jalankan:

September (Minggu 1): Ambil daftar PBC final tahun lalu. Tandai setiap item sebagai salah satu dari tiga jenis:

1. Statis berulang: item yang tidak bergantung pada saldo akhir tahun. Bagan organisasi, kebijakan yang ditandatangani, perjanjian utang, jadwal sewa, risalah dewan, atestasi kode etik. Sekitar 40 hingga 50 persen dari daftar PBC tipikal.
2. Dinamis berulang: item yang berulang tetapi memerlukan angka akhir tahun. Kertas kerja akrual, penuaan AR, rollforward persediaan, air terjun pendapatan ditangguhkan.
3. Satu kali: item yang terkait dengan peristiwa tertentu tahun lalu (akuisisi, penerbitan utang, penurunan nilai). Sebagian besar tidak akan terulang. Dokumentasikan dan lanjutkan.

September (Minggu 2-4): Kirim email ke mitra audit. Minta daftar PBC tahun berjalan, meskipun masih dalam bentuk draf. Sebagian besar firma akan mengirimkannya. Jika tidak, kirimkan daftar tahun lalu dengan item statis yang sudah terisi dan tanyakan "apakah ini masih dalam ruang lingkup?" Langkah itu saja biasanya mendapatkan respons.

Oktober: Isi terlebih dahulu setiap item statis. Bagan organisasi, anggaran dasar terkini, jadwal utang, jadwal sewa dengan saldo terkini, kebijakan delegasi wewenang yang ditandatangani, sertifikat asuransi, risalah rapat dewan tahun berjalan. Pada 31 Oktober, antara 35 hingga 45 persen dari daftar PBC final seharusnya sudah selesai dan diunggah.

November: Tangani item dinamis yang tidak memerlukan angka akhir tahun, apa pun yang dapat dijalankan pada saldo Q3 dan dilanjutkan ke depan. Beban kompensasi berbasis saham, sewa ditangguhkan, jadwal amortisasi aset tidak berwujud. Item-item ini jarang memiliki pergerakan material di Q4 kecuali ada sesuatu yang spesifik terjadi.

Desember dan Januari: Hanya item yang benar-benar bergantung pada akhir tahun yang tersisa. Pengujian batas waktu AP, akrual akhir tahun, penyesuaian pasca-penutupan, konfirmasi saldo. Daftar yang tadinya 60 item kini menjadi 15 hingga 20.

Setiap item mendapatkan tiga bidang yang sama: pemilik, tenggat waktu, status. Tanpa pengecualian. Jika Anda tidak dapat menamai pemilik, item tersebut tidak memiliki rumah dan akan jatuh terlewat. Pilihan status adalah: belum dimulai, sedang berjalan, siap untuk ditinjau, telah diserahkan, diterima oleh auditor. Lima status. Tidak ada "hampir selesai."

Jalankan standup mingguan 30 menit dengan tim audit mulai minggu kedua Oktober. Tinjau daftar. Apa pun yang merah diselesaikan blocker-nya di saat telepon. Jangan kirim email tentang itu sepanjang sisa minggu. Standup adalah saluran untuk membuka blokir.

Kalender Audit Q3 hingga Q1

Bentuk pekerjaan lebih penting dari satu baris mana pun. Perhatikan bagaimana September hingga November sebagian besar adalah Controller dan beberapa pemilik proses yang melakukan pekerjaan persiapan yang tidak pernah dilihat oleh sisa tim. Itulah intinya. Pada saat Desember tiba, tim sedang menutup buku dan menjawab pertanyaan PBC yang terarah, bukan berjuang mengumpulkan jadwal sewa dari awal.

Dokumentasi Kontrol: Efektivitas Desain vs. Efektivitas Operasi

Di sinilah sebagian besar temuan berasal, dan hampir selalu merupakan masalah dokumentasi, bukan masalah kontrol.

Auditor menguji kontrol pada dua dimensi:

Efektivitas desain: apakah kontrol, sebagaimana ditulis, mencegah atau mendeteksi risiko yang seharusnya ditangani? Ini adalah wilayah penelusuran proses. Auditor membaca narasi kontrol, menelusuri satu transaksi dari awal hingga akhir, dan menanyakan apakah desain tersebut akan menangkap masalah jika terjadi.

Efektivitas operasi: apakah kontrol benar-benar berjalan, setiap saat, sepanjang periode, dengan bukti? Ini adalah wilayah pengujian sampel. Auditor mengambil 25 atau 40 transaksi, meminta bukti bahwa kontrol berjalan untuk masing-masing, dan menghitung pengecualian.

Inilah jebakannya: Controller mencampuradukkan keduanya. Mereka menulis narasi kontrol yang indah ("supervisor AP meninjau dan menyetujui semua tagihan di atas $10.000 sebelum pembayaran dilepaskan"), pengujian desain lolos, kemudian pengujian sampel menunjukkan bahwa pada tiga dari 25 tagihan yang dipilih, persetujuan supervisor tidak ada atau bertanggal setelah tanggal pembayaran. Itu bukan kegagalan desain. Itu kegagalan operasi. Tetapi karena dokumentasi tidak memisahkan keduanya, temuan ditulis sebagai "kontrol atas pembayaran tidak efektif," yang terdengar jauh lebih buruk dari yang sebenarnya.

Dokumentasikan secara terpisah. Untuk setiap kontrol utama:

• Narasi desain: risiko apa yang ditangani, siapa yang melaksanakannya, kapan, bukti apa yang dihasilkan, apa ambang batas atau pemicunya.
• Bukti operasi: di mana bukti berada (sistem, folder, log email), cara mengambilnya, siapa yang memelihara jejak audit, seperti apa populasinya untuk periode sampel.

Ketika auditor mengambil sampel, bukti operasi hanya membutuhkan satu klik. Ketika mereka mengajukan pertanyaan desain, narasi menjawabnya. Kedua percakapan tidak bercampur satu sama lain.

Hubungan dengan Auditor: Sering dan Bersih Lebih Baik dari Bermusuhan

Langkah terbaik yang dapat Anda lakukan pada Oktober adalah menjadwalkan check-in mingguan 30 menit dengan senior auditor dan engagement manager. Berulang. Di kalender. Hingga Januari.

Tiga aturan untuk panggilan tersebut:

1. Satu narahubung bernama dari pihak Anda. Bukan Controller ditambah akuntan senior ditambah manajer FP&A. Satu orang. Auditor meng-cc orang itu pada setiap email. Jika senior associate mengirim email kepada tujuh orang berbeda di tim Anda, Anda akan menghabiskan dua minggu menghapus duplikasi respons dan meminta maaf atas inkonsistensi.
2. Ungkapkan masalah sebelum menjadi temuan. Jika Anda tahu kontrol gagal dua kali di Q2, katakan saat panggilan Oktober, bukan Januari ketika pengujian sampel menemukannya. Auditor membenci kejutan jauh lebih dari mereka membenci masalah. Kesenjangan kontrol yang diungkapkan sendiri dengan remediasi yang terdokumentasi hampir tidak pernah menjadi temuan tertulis. Kesenjangan yang sama yang ditemukan dalam pengujian biasanya menjadi temuan.
3. Jika Anda tidak setuju, tidak setuju dengan kertas kerja, bukan dengan nada. "Kami tidak berpikir itu temuan" adalah pertengkaran. "Inilah kertas kerja yang menunjukkan kontrol berjalan pada tiga pengecualian tersebut, dan inilah mengapa kami percaya populasi pengujian telah dibatasi secara tidak tepat" adalah percakapan. Mitra audit telah mendengar setiap versi "kami tidak setuju" dan tidak ada yang berhasil tanpa dokumentasi.

Sering dan bersih tidak sama dengan bersahabat. Anda tidak sedang berteman. Anda mengurangi biaya transaksi pada setiap email, setiap item PBC, setiap penelusuran proses.

Anti-Pola "Temuan Terbuka dari Tahun Lalu"

Temuan berulang adalah cara audit yang bersih berubah menjadi percakapan tentang kelemahan material. Ini juga cara karier Controller terhenti.

Setiap temuan tahun sebelumnya harus memiliki remediasi yang terdokumentasi pada pengujian interim (Q3, bukan akhir tahun). Bukan rencana. Remediasi yang telah beroperasi setidaknya satu kuartal, dengan bukti yang dapat disampel auditor.

Jika Anda benar-benar tidak dapat meremediasi sebelum interim, dokumentasikan mengapa dan kontrol kompensasi apa yang ada. Kontrol kompensasi adalah mata uang audit yang nyata. "Kami belum bisa membuat sistem pesanan pembelian kami menegakkan sourcing tiga penawaran, jadi CFO meninjau dan menandatangani setiap PO di atas $50.000 dengan memo tiga penawaran" adalah kontrol kompensasi yang valid. "Kami sedang mengerjakannya" bukan.

Alasan ini penting: satu temuan adalah temuan. Temuan yang sama dua tahun berturut-turut adalah pola. Tiga tahun berturut-turut, dalam lingkungan SOX, adalah kelemahan material. Dan kelemahan material diungkapkan secara publik, masuk ke 10-K, dan berakhir dalam percakapan dewan yang tidak diinginkan Controller mana pun.

Jika laporan tahun sebelumnya Anda memiliki temuan terbuka yang masih tercantum sebagai "dalam remediasi" pada September, itu adalah pekerjaan dengan prioritas tertinggi di perusahaan. Yang lain bisa menunggu dua minggu.

Penelusuran Proses yang Akan Diterima Tim Audit

Penelusuran proses yang buruk adalah Controller yang bernarasi sementara tiga pemilik proses duduk diam di ruangan. Auditor mengajukan pertanyaan, Controller menjawab, dan auditor menulis "Controller tampak menjawab atas nama pemilik proses; efektivitas desain tidak dapat disimpulkan." Itu adalah temuan yang menunggu terjadi.

Penelusuran proses yang baik memiliki tiga properti:

1. Satu pemilik proses yang berbicara. Controller ada di ruangan sebagai cadangan, bukan sebagai narator. Jika pemilik proses tidak dapat menjelaskan kontrol dengan kata-kata mereka sendiri, Anda memiliki masalah pelatihan, dan auditor akan menemukannya pada akhirnya.
2. Demo sistem langsung ditambah dokumen sampel ditambah bukti kontrol, dalam satu sesi. Jangan membuat auditor menjadwalkan tiga sesi terpisah. Ambil transaksi nyata, telusuri melalui sistem, tunjukkan bukti persetujuan, tunjukkan rekonsiliasi, tunjukkan persetujuan. Dari awal hingga akhir dalam 25 menit.
3. Lakukan setiap penelusuran proses secara internal satu minggu sebelum auditor melihatnya. Jalankan demo yang sama dengan Controller berperan sebagai auditor. Setiap kesenjangan yang Anda temukan adalah kesenjangan yang akan ditemukan auditor. Perbaiki kesenjangan sebelum penelusuran proses sesungguhnya, bukan setelah.

Anti-pola "penelusuran proses oleh komite", di mana lima orang dari tim Anda ada di ruangan dan tiga di antaranya terus mengoreksi satu sama lain, adalah salah satu cara tercepat untuk menarik temuan efektivitas desain. Pilih satu pemilik. Percayai mereka. Jadilah cadangan, bukan pemimpin.

SOX vs. Non-SOX: Ketahui Permainan Mana yang Anda Mainkan

Persiapan audit terlihat sangat berbeda tergantung apakah Anda berada di bawah SOX 404(b).

Swasta, pra-IPO, tidak ada perjanjian utang yang memerlukan ICFR: Hanya audit laporan keuangan. Auditor memberikan pendapat apakah laporan keuangan disajikan secara wajar. Mereka menelusuri kontrol untuk membatasi pengujian substantif mereka, tetapi tidak ada pendapat ICFR terpisah, tidak ada asersi manajemen, dan tidak ada atestasi auditor atas pengendalian internal. Daftar PBC lebih ramping. Penelusuran proses bersifat konsultatif, bukan dinilai.

Publik, pasca-IPO, filer yang dipercepat: SOX 404(b) penuh. Asersi manajemen atas efektivitas ICFR ditambah atestasi auditor. Pengujian kontrol sepanjang tahun. Sertifikasi kuartalan. Kewajiban pengungkapan kelemahan material. Daftar PBC kira-kira dua kali ukuran audit khusus laporan keuangan, pengujian kontrol terjadi pada interim dan akhir tahun, dan setiap kekurangan di atas ambang batas tertentu harus dilacak, dievaluasi, dan berpotensi diungkapkan.

Pra-IPO dengan S-1 dalam 18 bulan ke depan: Inilah di mana Controller mengalami kerugian. Naluri adalah menunggu hingga penyusunan S-1 dimulai sebelum memulai kesiapan SOX. Saat itu, Anda memiliki sembilan bulan dan mitra audit yang memberi tahu Anda bahwa Anda memerlukan tiga kuartal kontrol yang telah diremediasi beroperasi secara efektif sebelum dapat mendukung pendapat yang bersih. Matematikanya tidak berhasil.

Delapan belas bulan waktu tunggu adalah ambang batas minimum untuk kesiapan SOX. Dua puluh empat lebih nyaman. Tahun pertama adalah pelingkupan, penulisan narasi, dan remediasi kesenjangan. Tahun kedua adalah pengujian kontrol yang beroperasi secara efektif untuk periode menjelang 10-K pertama. Jika Anda berada dalam 12 bulan dari S-1 yang diperkirakan dan pekerjaan SOX belum dimulai, itu adalah percakapan tingkat dewan, bukan alur kerja Controller.

Mengetahui permainan mana yang Anda mainkan mengubah segalanya tentang kalender audit. Jangan menjalankan siklus persiapan kelas SOX jika Anda adalah perusahaan swasta Seri B tanpa perjanjian utang. Jangan menjalankan siklus khusus laporan keuangan jika Anda baru saja go public tahun lalu.

Pengujian Interim vs. Akhir Tahun: Dorong Pekerjaan ke Kiri

Pengungkit yang paling kurang dimanfaatkan dalam persiapan audit adalah pengujian interim.

Pengujian interim terjadi di Q3 (biasanya Oktober atau November). Auditor memilih sampel pada transaksi tahun berjalan, menguji kontrol yang beroperasi hingga titik tersebut, menjalankan analitik awal pada pendapatan dan beban, dan mengkonfirmasi ruang lingkup. Pengujian akhir tahun terjadi di Q1 dan berfokus pada prosedur rollforward: mengkonfirmasi bahwa kontrol terus beroperasi dari batas waktu interim hingga 31 Desember, ditambah konfirmasi saldo, penyesuaian pasca-penutupan, dan prosedur yang benar-benar memerlukan saldo akhir tahun.

Semakin banyak yang Anda selesaikan pada interim, semakin sedikit yang menekan tim di Januari. Beberapa Controller menolak: "pengujian interim menarik staf kami ke dalam pekerjaan audit selama tutup Q3." Itu benar. Tetapi juga mendistribusikan ulang beban kerja. Dampak kecil pada tutup Q3 (misalnya, 15-20 jam waktu staf selama dua minggu) menghemat 80 jam lebih di Januari.

Negosiasikan ruang lingkup interim dengan senior auditor pada September. Apa pun yang dapat diuji pada angka tahun berjalan harus diuji pada interim. Apa pun yang benar-benar memerlukan saldo akhir tahun tetap di akhir tahun. Auditor juga menginginkan ini. Pengujian interim mengurangi tekanan akhir tahun mereka dan meningkatkan kualitas. Sebagian besar firma akan setuju jika Anda meminta.

Lima Diagnosis yang Saya Lihat Setiap Tahun

Ketika audit Q4 berjalan menyimpang, hampir selalu merupakan salah satu dari lima ini:

1. Temuan berulang: temuan terbuka tahun lalu tidak pernah mendapat remediasi nyata. Sekarang ini menjadi pola.
2. Perluasan ruang lingkup: auditor memperluas daftar PBC di tengah siklus dan Controller tidak menolak dengan kertas kerja yang menunjukkan ruang lingkup asli. Dua minggu pekerjaan ekstra muncul.
3. Penelusuran proses oleh komite: lima orang di ruangan, tidak ada pemilik proses yang jelas, tiga koreksi per penelusuran proses. Temuan desain menumpuk.
4. Titik kegagalan tunggal: satu staf akuntan menyimpan seluruh air terjun pendapatan dalam memorinya, mengajukan pengunduran diri pada November, dan tidak ada orang lain yang dapat menjelaskannya kepada auditor.
5. Mulai PBC terlambat: Controller tidak membuka daftar PBC tahun lalu hingga Desember. Seluruh kalender runtuh ke belakang masuk ke Q4.

Setiap satu dari itu dapat dicegah pada September. Tidak ada yang dapat dicegah pada Januari.

Penutup

Audit yang bersih adalah masalah kalender. Controller yang menjalankan check-in mingguan dengan tim audit mereka mulai Oktober, mendokumentasikan efektivitas desain dan operasi sebagai alur kerja terpisah, dan menyelesaikan 40 persen dari daftar PBC sebelum Desember adalah mereka yang menyelesaikan tutup akhir tahun tepat waktu tanpa kelelahan.

Mereka yang memperlakukan audit sebagai sprint Q1 adalah mereka yang memperbarui LinkedIn mereka di Februari.

Pilih kalender. Jalankan standup. Dokumentasikan kontrol dalam dua bagian. Sisanya adalah eksekusi.

Pelajari Lebih Lanjut

• Template JD Controller
• Ritme Penutupan: Tutup Akhir Bulan 5 Hari Tanpa Kelelahan
• Akrual, Pengakuan Pendapatan, dan Cadangan
• Metrik Controller: Kecepatan Penutupan, Akurasi, Kontrol, Temuan
• Kesalahan Umum Controller