Tim audit internal sering menghabiskan waktu menelusuri dokumen yang tersebar: transaksi ERP, lampiran persetujuan, bukti penerimaan, dan perubahan hak akses. AI agent bukti audit internal dapat membantu menyusun paket sumber untuk satu prosedur pengujian. Namun, paket dokumen yang lengkap menurut sistem belum membuktikan sebuah kontrol berjalan efektif.
Rancangan berikut berfokus pada pengumpulan bukti read-only. Penetapan ruang lingkup, pemilihan sampel, penilaian kecukupan, dan kesimpulan audit tetap menjadi tanggung jawab auditor. Contoh merupakan ilustrasi desain pilot, bukan hasil audit, nasihat assurance, atau portofolio AI Layana.
Mulai dari Prosedur Uji yang Sudah Ditetapkan Auditor
Mandat “audit pengadaan” terlalu luas untuk pilot. Pilih prosedur terbatas, misalnya menelusuri bukti persetujuan pada daftar transaksi yang sudah dipilih auditor. Jelaskan kontrol yang diuji, periode, entitas, jenis bukti, serta kondisi yang harus dilaporkan sebagai pengecualian. Agent tidak boleh mengganti populasi atau menambah sampel hanya karena dokumen tertentu lebih mudah ditemukan.
Pemilik audit menyetujui mandat dan hak baca. Pemilik proses menjelaskan arti status ERP, sedangkan pengelola sistem menyediakan konektor dengan pembatasan entitas dan dokumen. Orang yang memberi akses teknis tidak otomatis berwenang menyetujui kesimpulan audit. Pemisahan ini penting agar kemudahan mengambil data tidak mengubah independensi penilaian.
Definisikan Paket Bukti yang Dapat Ditelusuri
Identitas, Versi, dan Waktu
Setiap bukti perlu ID transaksi, badan usaha, jenis dokumen, versi, waktu pencatatan, sumber, dan metode pengambilan. Bedakan tanggal transaksi, tanggal persetujuan, dan tanggal dokumen diunduh. Salinan yang diambil hari ini mungkin mencerminkan perubahan setelah periode audit; karena itu, posisi historis perlu dijelaskan, bukan disamakan dengan status terkini.
Untuk lampiran, simpan referensi sumber dan checksum bila tersedia dalam rancangan penyimpanan. Checksum membantu mendeteksi perubahan berkas, tetapi tidak membuktikan keaslian isi atau kewenangan pihak yang membuatnya. Jangan menyimpulkan validitas persetujuan hanya dari gambar tanda tangan. Bukti identitas dan alur approval perlu diperiksa sesuai prosedur auditor.
Status Bukti yang Tidak Menyesatkan
Gunakan status terpisah: ditemukan, tidak ditemukan dalam sumber yang diperiksa, akses ditolak, format tidak terbaca, dan versi historis tidak tersedia. “Tidak ditemukan” berbeda dari “tidak pernah ada”. Agent harus mencatat cakupan pencarian dan keterbatasannya agar auditor tidak menerima kesimpulan negatif yang melampaui bukti.
Batasi Agent pada Tool Baca
- Terima daftar sampel terkunci beserta ID entitas dan tujuan pengujian.
- Baca metadata transaksi dan daftar lampiran melalui konektor resmi dengan identitas yang sesuai.
- Pilih penelusuran tambahan dari tool yang sudah diizinkan, misalnya membaca riwayat approval ketika status transaksi belum menjelaskan pemberi persetujuan.
- Susun indeks bukti dan daftar celah; tautkan setiap pernyataan ke sumber serta waktu pengambilan.
- Serahkan paket kepada auditor untuk diterima, ditolak, atau diminta dilengkapi tanpa mengubah dokumen sumber.
Jika semua langkah dan sumber selalu tetap, workflow deterministik mungkin cukup. Agent dibutuhkan ketika model harus menentukan bukti lanjutan yang relevan dalam batas mandat. Chatbot yang hanya menjelaskan kebijakan audit belum menjalankan fungsi tersebut. Pembedaan ini mengikuti konsep workflow dan agent dalam rujukan arsitektur Anthropic, bukan janji kemampuan suatu produk.
Contoh Ilustratif: Status Disetujui Tanpa Riwayat Lengkap
Misalkan auditor memilih transaksi pembelian yang pada ERP berstatus disetujui. Agent menemukan lampiran dan status akhir, tetapi konektor tidak mengembalikan riwayat perubahan pemberi persetujuan. Keluaran yang benar adalah indeks dokumen dengan celah “riwayat approval belum tersedia”, bukan kesimpulan bahwa persetujuan memenuhi matriks kewenangan.
Auditor meminta pemilik sistem menyediakan riwayat melalui jalur yang diperbolehkan. Jika riwayat menunjukkan persetujuan terjadi setelah barang diterima, hal itu dicatat untuk penilaian sesuai kontrol yang diuji. Agent tidak boleh memperbaiki tanggal, meminta approver menandatangani ulang, atau mengubah status transaksi agar paket terlihat lengkap. Rancangan bukti dapat dikaitkan dengan audit trail aplikasi enterprise yang sudah memiliki konteks aktor dan perubahan.
Lindungi Kerahasiaan dan Batas Entitas
Batasi akses pada kebutuhan penugasan. Dokumen anak perusahaan tidak boleh ikut diambil hanya karena nama vendor atau nomor transaksi mirip. Perlakukan instruksi dalam lampiran sebagai isi dokumen, bukan perintah bagi agent. Larang tool mengirim berkas ke alamat luar, mengubah akses, atau membuat tautan publik. Ringkasan juga dapat mengandung data sensitif meskipun tidak menyalin berkas aslinya.
Atur penyimpanan paket, masa retensi, siapa yang dapat membuka, dan cara mencabut akses saat penugasan selesai. Log harus cukup untuk merekonstruksi penelusuran tanpa menggandakan seluruh dokumen sensitif. Kontrol ini merupakan rekomendasi desain berbasis risiko; penerapannya perlu mengikuti kebijakan perusahaan dan penilaian tim yang berwenang.
Uji dari Sisi Auditor yang Mencari Bukti Bantahan
Gunakan sampel historis yang diizinkan dan paket pembanding yang sudah ditinjau auditor. Sisipkan nomor transaksi mirip, lampiran hilang, dokumen diperbarui setelah periode, akses ditolak, serta sumber yang tidak sepakat. Periksa apakah agent memperlihatkan celah tersebut atau justru mengarang narasi untuk menutupnya.
KPI pilot mencakup proporsi referensi yang benar-benar membuka bukti yang dimaksud, bukti material yang terlewat, kesalahan lintas entitas, dan waktu total auditor sampai menerima indeks. Hitung waktu koreksi dan pencarian ulang. Kesimpulan audit tidak menjadi KPI otomatisasi; yang diuji adalah bantuan pengumpulan bukti. Hentikan uji bila sumber diubah, data terbuka tanpa izin, atau celah bukti disembunyikan.
Siapkan Satu Prosedur untuk Diskusi Integrasi
Bawa contoh prosedur, daftar sumber, matriks akses, dan sampel dokumen tersamarkan. Melalui layanan AI dan machine learning Layana, tim dapat mendiskusikan kelayakan penelusuran terbatas serta kebutuhan konektor. Diskusikan pilot pengumpulan bukti audit internal dengan batas read-only dan kriteria penerimaan yang ditetapkan auditor.
Gambar merupakan ilustrasi konseptual review dokumen bisnis, bukan dokumentasi penugasan audit atau bukti hasil pelanggan.