AI dalam Audit Internal: Pemantauan Berkelanjutan dan Pengujian Seluruh Populasi

Oleh Jane Ha · Diperbarui 11 Oktober 2026

AI dalam audit internal adalah pemakaian pembelajaran mesin, analitik, dan model bahasa untuk menguji kontrol dan transaksi secara berkelanjutan serta mencakup seluruh populasi, alih-alih meninjau sampel kecil setahun sekali, sementara auditor tetap memegang tanggung jawab atas penentuan ruang lingkup, pertimbangan, dan kesimpulan. Perubahannya mudah dirumuskan. Audit tradisional bertanya, "Dari 60 faktur yang kami ambil, berapa yang melanggar aturan?" Audit berbantuan AI bertanya, "Dari seluruh 400.000 faktur, mana yang melanggar aturan, dan mana yang tampak janggal meskipun lolos?"

Panduan ini ditujukan bagi chief audit executive, manajer audit, CFO, dan controller (kepala akuntansi) yang ingin tahu apa sebenarnya yang tercakup dalam pemantauan berkelanjutan dan pengujian seluruh populasi, di mana AI membantu, dan di mana tidak. Untuk gambaran yang lebih luas, mulailah dari AI di bidang keuangan dan akuntansi. Untuk lingkungan pengendalian yang menjadi acuan pengujian audit, baca AI dan pengendalian internal.

Fakta Utama

• Global Internal Audit Standards dari IIA disusun dalam lima domain dan 15 prinsip (The IIA), dan mulai berlaku efektif pada 9 Januari 2025 (siaran pers The IIA, Januari 2025).
• IIA menerbitkan edisi ketiga Global Technology Audit Guide tentang audit dan pemantauan berkelanjutan pada 25 September 2025, menggantikan edisi 2015 (The IIA).
• Dalam North American Pulse of Internal Audit 2025, 41% tim melaporkan memakai AI generatif dalam audit internal, tetapi hanya 6% yang sering atau ekstensif memakainya dalam pekerjaan lapangan dan 13% dalam perencanaan (ringkasan Optro atas laporan Internal Audit Foundation).
• Dalam survei yang sama, analisis data adalah keterampilan yang paling ingin ditingkatkan oleh chief audit executive, dipilih oleh 78% responden (ringkasan Optro).
• Pengambilan sampel audit didefinisikan secara formal sebagai penerapan prosedur audit pada kurang dari 100% unsur dalam suatu populasi, dan risiko pengambilan sampel adalah risiko bahwa kesimpulan dari sampel berbeda dari kesimpulan yang akan diberikan oleh seluruh populasi (FRC, ISA (UK and Ireland) 530).
• AI Auditing Framework dari IIA, yang diperbarui pada 13 September 2024, mencakup tata kelola AI, pengelolaan AI, dan fungsi audit internal itu sendiri, termasuk AI generatif (The IIA).

Arti Pemantauan Berkelanjutan dan Pengujian Seluruh Populasi

Kedua gagasan ini berkaitan tetapi tidak identik.

Pengujian seluruh populasi berarti menjalankan suatu pengujian terhadap setiap catatan dalam satu set data (semua entri jurnal, semua pembayaran, semua klaim biaya), bukan terhadap sampel terpilih. Sampel memberi Anda perkiraan dengan tingkat keyakinan tertentu. Pengujian seluruh populasi memberi Anda daftar setiap pengecualian. Pengambilan sampel adalah alat untuk saat Anda tidak bisa memeriksa semuanya. Setelah data berada di gudang data dan pengujian berupa sebuah kueri, sering kali Anda bisa.

Pemantauan berkelanjutan berarti pengujian berjalan sesuai jadwal (harian, mingguan), bukan sekali per siklus audit. Secara ketat, panduan IIA membedakan dua peran. Audit berkelanjutan adalah apa yang dilakukan audit internal untuk memberikan keyakinan yang terus-menerus. Pemantauan berkelanjutan adalah apa yang dilakukan manajemen untuk mengawasi kontrolnya sendiri. Dalam praktik, keduanya memakai perangkat yang sama, dan program yang baik mengoordinasikannya agar kedua lini tidak membangun pengujian yang sama dua kali.

Di mana AI berperan? Analitik berbasis aturan sudah bisa menguji seluruh populasi: "tandai setiap pembayaran di atas batas persetujuan." AI menambahkan tiga hal yang sulit ditangani aturan:

1. Deteksi pola tanpa aturan tertulis. Model anomali menilai setiap transaksi berdasarkan apa yang normal bagi vendor (pemasok), pengguna, atau akun tersebut, sehingga memunculkan item janggal yang tidak terpikir oleh siapa pun untuk dibuatkan aturannya.
2. Membaca teks tak terstruktur. Model bahasa dapat membaca kontrak, email, deskripsi biaya, dan dokumen kebijakan, lalu membandingkannya dengan isi buku besar.
3. Penentuan prioritas. Dengan seluruh populasi, Anda mungkin mendapat 3.000 pengecualian. Model dapat meranking-nya agar auditor memulai dari yang paling mungkin benar-benar bermasalah.

Pengambilan Sampel vs Pengujian Seluruh Populasi

Tabel ini menunjukkan mengapa perubahannya bukan sekadar "lebih banyak pengujian." Pekerjaan auditor bergeser dari mengambil item menjadi memutuskan pengecualian mana yang penting dan mengapa. Risiko pengambilan sampel, sebagaimana didefinisikan dalam teks ISA 530 dari FRC, adalah kemungkinan bahwa kesimpulan berbasis sampel berbeda dari yang akan ditunjukkan jika semuanya diuji. Pengujian seluruh populasi menghilangkan risiko spesifik itu. Namun ia menambah risiko lain, yang dibahas di bawah.

Di Mana AI Membantu, Menurut Area Audit

Contoh di bawah ini bersifat ilustratif, tidak diambil dari organisasi tertentu.

Utang usaha (accounts payable) dan pengadaan. Pengujian berbasis aturan memeriksa nomor faktur ganda. Model juga menangkap hampir-duplikat: jumlah dan vendor yang sama dengan satu digit tertukar, atau pembelian yang dipecah tepat di bawah batas persetujuan. Model bahasa dapat membandingkan deskripsi faktur dengan pesanan pembelian (PO). Lihat AI dalam utang usaha untuk cara prosesnya sendiri diotomatisasi, yang mengubah apa yang harus diuji audit.

Entri jurnal dan tutup buku. Auditor sudah lama menguji entri jurnal manual berdasarkan penanda risiko: dicatat pada jam yang tak lazim, jumlah bulat, pasangan akun yang tidak biasa, entri oleh pengguna yang jarang mencatat. Model menilai setiap entri terhadap pola tersebut dan riwayat penyusunnya. Tutup buku akhir bulan adalah saat sebagian besar penyesuaian manual menumpuk, sehingga menjadi tempat alami untuk memusatkan perhatian.

Biaya dan belanja kartu. Alih-alih mengambil sampel 40 klaim, ujilah setiap klaim untuk pelanggaran kebijakan, struk ganda, belanja akhir pekan, dan ketidakcocokan merchant. Manajemen biaya dengan AI membahas metode deteksinya lebih rinci.

Akses dan pemisahan tugas. Bandingkan penetapan peran pengguna di sistem ERP dan perbankan, lalu tandai orang yang dapat sekaligus membuat vendor dan menyetujui pembayaran. Ini masalah pencocokan data, dan berjalan baik dengan jadwal harian.

Pendapatan dan piutang. Uji setiap faktur terhadap ketentuan kontrak dan catatan pengiriman, dan tandai nota kredit yang diterbitkan tak lama setelah akhir kuartal. Model peninjau dokumen dapat membaca klausul kontrak dan membandingkannya dengan pengaturan penagihan.

Indikator penipuan. Model dapat meranking vendor, karyawan, atau transaksi menurut risiko penipuan untuk diselidiki. Perlakukan keluarannya sebagai petunjuk, bukan temuan. Panduan pendampingnya, deteksi penipuan dengan AI di bidang keuangan, membahas metode beserta tingkat kesalahannya.

Administrasi audit. Model bahasa dapat meringkas kertas kerja tahun sebelumnya, menyusun langkah pengujian dari deskripsi kontrol, dan mengubah catatan wawancara menjadi draf pertama temuan. Data Pulse dari IIA Foundation menunjukkan inilah pola awalnya: pemakaian tersebar tipis di perencanaan, pekerjaan lapangan, dan pelaporan, dan sedikit tim yang memakainya secara intensif di salah satu tahap.

Seperti Apa Pemantauan Berkelanjutan dalam Praktik

Pengaturan yang berfungsi memiliki beberapa komponen, dan tidak ada yang eksotis.

• Lapisan data. Ekstraksi dari ERP, sistem pembayaran, SDM, dan log akses masuk ke penyimpanan terkendali sesuai jadwal. Auditor memiliki akses hanya-baca.
• Pustaka pengujian. Setiap pengujian memiliki ID, kontrol yang terkait, deskripsi logika, pemilik, dan ambang batas. Sebagian pengujian berupa aturan. Sebagian lagi berupa model.
• Antrean pengecualian. Hasil masuk ke satu tempat dengan status (baru, sedang ditinjau, terkonfirmasi, ditolak) dan kode alasan untuk setiap keputusan.
• Aturan perutean. Pengecualian berisiko rendah dikirim ke pemilik kontrol di lini pertama untuk dijelaskan. Yang berisiko tinggi dikirim ke audit.
• Dasbor untuk komite audit. Tren pengecualian menurut proses dan entitas, waktu penyelesaian, dan masalah yang berulang.

Aturan perutean adalah penentu berhasil atau tidaknya program. Jika manajemen memiliki pemantauan dan audit menguji pemantauan itu, Anda mendapat koordinasi tanpa duplikasi. Jika audit menjalankan semuanya sendiri, ia berisiko menjadi bagian dari lingkungan pengendalian yang seharusnya ia nilai secara independen.

Cara Menerapkannya, Langkah demi Langkah

1. Pilih proses pertama berdasarkan risiko dan kesiapan data. Pilih proses dengan sumber data yang bersih dan terpusat serta kontrol yang jelas. Pembayaran, entri jurnal, dan biaya adalah titik awal yang umum. Kesiapan data keuangan untuk AI mencantumkan apa yang perlu diperiksa.
2. Mulai dengan aturan, tambahkan model di tempat aturan tidak cukup. Bangun ulang pengujian berbasis sampel Anda saat ini sebagai kueri seluruh populasi terlebih dahulu. Hanya itu pun sering mengubah apa yang Anda lihat. Tambahkan penilaian anomali di tempat ada celah yang jelas.
3. Tentukan apa yang dihitung sebagai pengecualian sebelum menjalankannya. Tulis tujuan kontrol, logika pengujian, dan ambang batas. Tanpa itu, Anda tidak bisa menjelaskan hasil kepada pemilik proses.
4. Bandingkan dengan metode lama. Jalankan pengujian seluruh populasi pada periode yang sudah Anda sampel. Bandingkan temuan kedua pendekatan.
5. Ukur positif palsu dan sesuaikan. Jika 90% tanda ditolak, peninjau akan berhenti memeriksa. Sesuaikan ambang batas bersama orang yang meninjau antrean.
6. Sepakati peran dengan manajemen. Putuskan pengujian mana yang dimiliki manajemen sebagai pemantauan, mana yang dimiliki audit sebagai keyakinan, dan bagaimana pengecualian dirutekan. Dokumentasikan.
7. Tetapkan tata kelola model. Catat tujuan, masukan, pemilik, hasil pengujian, dan riwayat perubahan setiap model. AI Auditing Framework dari IIA adalah daftar periksa yang berguna untuk menilai proses berbasis AI, dan disiplin yang sama berlaku untuk model Anda sendiri.
8. Validasi kesimpulan secara manual. Setiap temuan yang dilaporkan harus dapat ditelusuri ke catatan sumber yang sudah dilihat auditor, bukan hanya ke skor model.
9. Laporkan dengan cara berbeda. Beralihlah dari "kami menguji 40 item dan menemukan 2 pengecualian" ke "kami menguji seluruh 212.000 item, menemukan 340 pengecualian, dan 19 di antaranya terkonfirmasi sebagai kesalahan."
10. Tinjau program setiap kuartal. Periksa cakupan, tingkat positif palsu, gangguan aliran data, dan apakah pengujian masih sesuai dengan kontrolnya.

Batasan dan Jebakan

Pengujian seluruh populasi terdengar seperti kepastian. Nyatanya tidak.

• Set data yang lengkap tidak sama dengan keyakinan yang lengkap. Anda menguji setiap catatan dalam ekstraksi. Jika ekstraksi itu melewatkan satu sistem, satu entitas, atau satu proses manual, populasinya tidak utuh. Rekonsiliasi jumlah catatan dan total ke buku besar sebelum Anda memercayai pengujian.
• Kontrol yang tidak ada dalam data. Tinjauan manajemen, persetujuan lewat email, dan pemeriksaan fisik meninggalkan sedikit jejak terstruktur. Analitik tidak bisa menguji apa yang tidak tercatat.
• Positif palsu. Ribuan pengecualian dapat mengubur yang benar-benar bermasalah. Antrean yang diranking membantu, tetapi hanya jika perankingannya disetel dan ditinjau.
• Keluaran kotak hitam. Jika model menandai sebuah entri dan tak seorang pun bisa menjelaskan alasannya, Anda tidak bisa mendukung temuan dengan itu. Pilih metode yang alasannya terlihat, atau tambahkan lapisan penjelasan dan verifikasi terhadap dokumen sumber.
• Kesalahan model bahasa. Tulisan yang terdengar benar tetap bisa salah. Sebuah catatan praktisi yang diterbitkan IIA tentang setahun memakai AI dalam audit memperingatkan keluaran yang tampak rapi tetapi menyembunyikan kesalahan, dan menganjurkan agar keluaran itu ditinjau seperti draf rekan junior (Internal Auditor, Desember 2025). Perlakukan temuan dan ringkasan yang disusun model sebagai draf.
• Independensi. Jika audit membangun dan menjalankan pemantauan yang seharusnya dimiliki manajemen, audit mengambil peran manajemen. Jaga batas itu tetap jelas.
• Privasi dan keamanan data. Data penggajian, vendor, dan pelanggan yang masuk ke model atau alat eksternal membutuhkan kontrol akses dan persetujuan yang sama seperti sistem sensitif lainnya.
• Drift model. Perubahan bisnis (modul ERP baru, alur onboarding vendor baru) menggeser apa yang dianggap normal. Model yang dilatih sebelum perubahan akan salah melabeli sesudahnya.
• Kesenjangan keterampilan. Responden Pulse menyebut analisis data sebagai keterampilan yang paling ingin mereka tingkatkan. Alat tanpa orang yang bisa menafsirkan dan menantangnya hanya menghasilkan laporan yang tidak ditindaklanjuti siapa pun.
• Klaim yang berlebihan. "Kami menguji semuanya" hanya benar untuk populasi dan pengujian yang benar-benar Anda jalankan. Sebutkan apa yang tercakup.

Apa yang Perlu Diukur

• Cakupan: proporsi transaksi dalam lingkup yang diuji, dan proporsi kontrol kunci yang memiliki pengujian otomatis.
• Kualitas pengecualian: pengecualian yang diajukan, dikonfirmasi, ditolak, dan tingkat positif palsu per pengujian.
• Kecepatan: waktu dari kejadian ke tanda, dan dari tanda ke penyelesaian.
• Masalah berulang: kontrol yang sama gagal di unit yang sama, yang menandakan akar masalah, bukan kejadian sekali saja.
• Pergeseran upaya: jam kerja auditor yang dialihkan dari pemilihan sampel dan pengujian ulang ke penyelidikan.
• Kesehatan data: kegagalan aliran data, catatan yang hilang, dan selisih rekonsiliasi.

Langkah Selanjutnya

Jika Anda hanya melakukan satu hal kuartal ini, pilih satu proses, bangun ulang pengujian sampelnya sebagai kueri seluruh populasi, lalu bandingkan temuannya dengan sampel tahun lalu. Setelah itu baca AI dan pengendalian internal untuk sisi perancangan kontrol, deteksi penipuan dengan AI di bidang keuangan untuk metode penyelidikan, dan AI di bidang keuangan untuk gambaran tata kelola di seluruh fungsi.