Artikel ini membahas bagaimana risiko residual (residual risk) tetap muncul meskipun pemerintah Indonesia telah menerapkan Integrated Financial Management Information System (IFMIS) yang kuat melalui SPAN (Sistem Perbendaharaan dan Anggaran Negara) dan SAKTI (Sistem Aplikasi Keuangan Tingkat Instansi). Sistem tersebut telah dilengkapi dengan berbagai mekanisme pengendalian digital, seperti validasi otomatis, role-based access control (RBAC), approval workflow, segregation of duties (SoD), serta audit trail. Namun demikian, penelitian menunjukkan bahwa pengendalian digital yang kuat tidak sepenuhnya menghilangkan risiko, melainkan menggeser bentuk risiko ke area lain yang lebih sulit dideteksi.

Penelitian menggunakan pendekatan studi kasus kualitatif interpretif dengan melakukan wawancara semi-terstruktur terhadap 14 informan yang berasal dari KPPN Surabaya I, KPPN Surabaya II, Kantor Wilayah Direktorat Jenderal Perbendaharaan Jawa Timur, serta Direktorat Sistem Informasi dan Teknologi Perbendaharaan. Data wawancara dipadukan dengan analisis dokumen regulasi terkait SPAN dan SAKTI. Analisis dilakukan menggunakan NVivo 15 melalui kombinasi deductive dan inductive coding sehingga memungkinkan identifikasi pola-pola risiko residual yang muncul dalam praktik operasional sehari-hari.

Hasil penelitian menunjukkan bahwa audit trail merupakan kekuatan utama IFMIS karena mampu merekam siapa yang melakukan transaksi, kapan transaksi dilakukan, serta tahapan persetujuan yang dilalui. Audit trail meningkatkan rekonstruksi bukti (reconstructability) sehingga memudahkan proses audit setelah suatu kejadian terjadi. Akan tetapi, audit trail tidak bersifat preventif, karena hanya menyediakan bukti setelah transaksi berlangsung, bukan mencegah penyalahgunaan sebelum terjadi. Oleh karena itu, keberadaan log transaksi saja tidak cukup apabila tidak disertai dengan peninjauan log secara aktif (active log review) dan tindak lanjut terhadap anomali yang ditemukan.

Penelitian juga menemukan bahwa rule-based validation mampu menolak transaksi yang melanggar aturan formal, misalnya transaksi yang melebihi pagu anggaran atau tidak sesuai dengan DIPA. Namun, sistem belum mampu menilai substansi transaksi, seperti kewajaran harga, indikasi kolusi, maupun kepatuhan terhadap standar biaya umum. Dengan demikian, pengendalian otomatis hanya efektif untuk memastikan kepatuhan prosedural, tetapi belum mampu menggantikan professional judgement auditor dan pengawas internal.

Aspek lain yang menjadi perhatian utama adalah access governance. Sistem telah menerapkan pembatasan akses berdasarkan peran pengguna (role-based access) dan pemisahan tugas (segregation of duties), tetapi penelitian menemukan bahwa risiko masih muncul akibat credential sharing, akun yang tidak segera dinonaktifkan, serta belum optimalnya periodic access recertification. Kondisi ini menyebabkan akun yang secara teknis sah tetap dapat digunakan oleh pihak yang tidak semestinya. Penulis menekankan bahwa pengelolaan siklus hidup akun pengguna harus menjadi bagian penting dari tata kelola keamanan sistem informasi pemerintah.

Selain itu, penelitian mengidentifikasi adanya data latency dan data lineage risk. Walaupun SPAN dan SAKTI telah terintegrasi, sinkronisasi data antar dashboard dan modul tidak selalu berlangsung secara real time. Perbedaan waktu pembaruan data (refresh delay) dapat menyebabkan informasi yang digunakan untuk pengambilan keputusan sementara menjadi tidak konsisten. Penelitian juga menemukan fenomena revision–execution race condition, yaitu kondisi ketika proses revisi anggaran belum selesai tetapi transaksi pembayaran sudah diproses. Situasi tersebut membuka peluang munculnya risiko operasional meskipun secara teknis sistem tetap berjalan sesuai prosedur.

Temuan penting lainnya adalah munculnya berbagai workarounds, yaitu praktik-praktik informal yang dilakukan pengguna untuk mempercepat penyelesaian pekerjaan ketika menghadapi tekanan waktu, keterbatasan prosedur, atau kendala sistem. Workaround tidak selalu menunjukkan niat melakukan kecurangan, tetapi dapat berkembang menjadi kebiasaan yang akhirnya melemahkan disiplin pengendalian internal. Oleh karena itu, workaround dipandang sebagai indikator adanya tekanan terhadap sistem pengendalian, bukan sekadar kesalahan individu.

Kontribusi utama artikel ini adalah memperkenalkan konsep residual risk sebagai post-control phenomenon. Penulis berargumentasi bahwa setelah sistem pengendalian digital diterapkan secara matang, risiko tidak hilang, tetapi berpindah ke area yang berkaitan dengan perilaku pengguna, tata kelola akses, kualitas monitoring, sinkronisasi data, dan pengelolaan pengecualian (exception handling). Dengan demikian, auditor TI tidak cukup hanya memeriksa keberadaan fitur pengendalian, tetapi juga harus mengevaluasi efektivitas implementasinya dalam praktik operasional.

Sebagai implikasi praktis, artikel mengusulkan agar proses audit IFMIS mencakup active log review, periodic access recertification, data lineage testing, exception analytics, monitoring dashboard, credential governance, serta evaluasi terhadap workarounds yang berulang. Penulis bahkan menyusun IT Audit Checklist yang berisi pertanyaan audit, bukti yang perlu dikumpulkan, dan indikator risiko (red flags) untuk membantu auditor mengevaluasi kualitas pengendalian digital secara lebih komprehensif.

Sebagai kesimpulan, penelitian menegaskan bahwa digitalisasi tidak menghilangkan risiko pengendalian, tetapi mengubah bentuk dan lokasinya. SPAN dan SAKTI berhasil meningkatkan transparansi, akuntabilitas, serta auditability, namun efektivitas pengendalian tetap sangat bergantung pada disiplin organisasi, tata kelola akses, perilaku pengguna, serta mekanisme monitoring yang berkelanjutan. Oleh karena itu, keberhasilan implementasi IFMIS tidak hanya ditentukan oleh kecanggihan teknologi, tetapi juga oleh kualitas tata kelola (governance), budaya kepatuhan, dan kemampuan organisasi dalam mengelola risiko residual yang muncul setelah sistem berjalan secara rutin.

Penulis: Oleh: Anak Agung Gde Satia Utama &  Rizky Ridho Dwinanda

Link Akses: https://www.tandfonline.com/doi/full/10.1080/07366981.2026.2671375