Quis Custodiet Ipsos Custodes: Siapa yang Mengawasi Pengawas Perusahaan?

Di sinilah muncul masalah yang jauh lebih mendasar: kurangnya independensi sejati. Meski secara struktural internal auditor melapor ke komite audit atau dewan direksi, kehidupan sehari-hari mereka tetap bergantung pada sumber daya yang disetujui manajemen. Anggaran, jumlah staf, teknologi pendukung, bahkan akses ke dokumen tertentu, semua bisa dipengaruhi atau dibatasi. Tekanan halus bisa muncul dalam bentuk prioritas audit yang "diarahkan", temuan yang "diminta untuk diperiksa ulang", atau laporan yang "perlu disesuaikan demi menjaga hubungan baik".

Dan, seperti dalam banyak struktur kekuasaan, ada risiko potensi kolusi. Sejarah bisnis penuh dengan kasus di mana auditor internal memilih menutup mata terhadap pelanggaran karena kedekatan pribadi, janji promosi, atau bahkan imbalan finansial. Kadang mereka tidak secara aktif menutupi kesalahan, tapi cukup dengan menunda penyelidikan hingga masalah itu "hilang" oleh waktu. Ada juga fenomena yang lebih subtil yang disebut soft corruption, di mana auditor internal tidak berani mengkritik pihak berkuasa karena takut terpinggirkan dari lingkaran pengaruh.

Semuanya ini mengarah pada satu kesimpulan getir: mekanisme pengawasan yang ada lebih sering berfungsi sebagai hiasan tata kelola daripada sistem kontrol yang efektif. Komite audit menjadi papan nama bergengsi, standar profesi menjadi jargon yang terdengar canggih, dan audit eksternal menjadi tameng untuk mengatakan "kami sudah diawasi". Tapi di balik semua lapisan itu, ruang abu-abu tetap ada, memberi celah bagi penyalahgunaan kekuasaan yang justru dilakukan oleh mereka yang seharusnya mencegahnya.

Dan di sinilah pertanyaan quis custodiet ipsos custodes? bergema paling nyaring. Karena jika internal auditor bisa beroperasi dengan sedikit atau tanpa pengawasan yang substantif, kita sebenarnya sedang memercayakan keamanan brankas kepada orang yang memegang kuncinya tanpa pernah memeriksa kantong bajunya.

Lalu, kapan dan bagaimana internal auditor diperiksa? Pertanyaan ini sering kali dijawab dengan satu kata: jarang. Internal auditor memang memiliki mekanisme evaluasi formal, tetapi jika kita bedah lebih dalam, frekuensi dan kualitas pengawasannya sering tidak sebanding dengan kekuatan yang mereka pegang.

Salah satu mekanisme resmi adalah Peer Review atau yang dikenal sebagai Quality Assurance Review (QAR). Menurut standar Institute of Internal Auditors (IIA), setiap unit internal audit wajib menjalani QAR setidaknya setiap lima tahun sekali. Kedengarannya ketat, bahkan prestisius. Namun, di balik kemasan formal itu, siapa yang melakukan review? Sering kali, QAR dilaksanakan oleh konsultan yang dibayar langsung oleh perusahaan yang mereka nilai. Secara teknis, mereka "independen", tapi secara praktis, mereka tahu siapa yang menandatangani cek pembayaran. Hasilnya bisa ditebak: laporan QAR yang dipenuhi bahasa sopan seperti "ada peluang peningkatan" alih-alih kritik pedas yang bisa mengusik status quo. Bukankah ini sama saja seperti menjaga rubah di kandang ayam?

Ada pula evaluasi oleh Komite Audit, yang secara teori berperan menilai kinerja internal auditor secara keseluruhan. Namun, praktiknya sering berhenti pada membaca dan membahas ringkasan laporan audit, tanpa penggalian mendalam terhadap metodologi, validitas bukti, atau alasan di balik penghapusan temuan tertentu. Dalam banyak kasus, "penilaian kinerja" ini setara dengan memberi nilai rapor hanya berdasarkan hasil akhir, tanpa pernah memeriksa proses ujian atau kecurangan yang mungkin terjadi di belakang layar.

Audit Eksternal kadang juga menilai sebagian pekerjaan internal auditor, tapi penilaian ini hanya sejauh relevansinya dengan audit laporan keuangan. Mereka tidak diminta (dan sering tidak dibayar) untuk meneliti apakah internal auditor bebas dari tekanan politik internal, apakah mereka menindaklanjuti semua temuan dengan konsisten, atau apakah ada temuan penting yang sengaja diabaikan.

Lebih ironis lagi, tidak ada jadwal universal untuk evaluasi internal auditor. Di banyak perusahaan, evaluasi mendalam baru dilakukan ketika ada tekanan regulasi, skandal besar, atau ketika manajemen ingin "membersihkan rumah" demi kepentingan citra publik. Artinya, selama tidak ada masalah yang mencuat ke permukaan, internal auditor bisa beroperasi bertahun-tahun tanpa ada pemeriksaan serius terhadap cara mereka bekerja.

Inilah kenyataannya: proses evaluasi internal auditor sering kali lebih menyerupai checklist compliance yang seperti menjadi sebuah pemenuhan kewajiban administratif agar perusahaan bisa mengatakan "kami sudah melakukan review" daripada instrumen pengawasan yang benar-benar tajam dan independen. Dengan pola seperti ini, sulit berharap bahwa review akan menemukan kelemahan mendasar, apalagi jika kelemahan itu justru melibatkan orang-orang yang duduk di puncak struktur kekuasaan perusahaan.

Menganggap internal auditor selalu bertindak benar hanya karena mereka seharusnya independen adalah kesalahan fatal. Dalam praktiknya, kurangnya pengawasan yang efektif membuka pintu bagi berbagai risiko yang tidak hanya merusak proses audit itu sendiri, tapi juga meruntuhkan fondasi tata kelola perusahaan.