SA 300-499 Penilaian Risiko dan Respons
SA 402 Pertimbangan Audit Terkait dengan Entitas yang Menggunakan Suatu Organisasi Jasa
Mengatur tanggung jawab auditor pengguna untuk memperoleh bukti audit yang cukup dan tepat ketika entitas yang diaudit menggunakan jasa dari organisasi jasa, misalnya payroll outsourcing, pengelola dana, atau penyedia cloud.
Tim UpdateSAK · Catatan belajar edisi 2025 · Diperbarui 30 Oktober 2026 · Padanan: ISA 402 Audit Considerations Relating to an Entity Using a Service Organization
Poin Kunci
- Auditor memahami sifat jasa, materialitas transaksi yang diproses, tingkat interaksi entitas dengan organisasi jasa, dan hubungan kontraktualnya.
- Auditor mengevaluasi rancangan dan implementasi pengendalian di entitas pengguna yang berkaitan dengan jasa tersebut.
- Jika pemahaman tidak cukup dari entitas, auditor dapat memperoleh laporan Tipe 1 atau Tipe 2, menghubungi organisasi jasa, mengunjungi lokasi, atau menggunakan auditor lain.
- Saat menggunakan laporan auditor jasa, auditor menilai kompetensi dan independensi auditor jasa serta kecukupan standar yang dipakai.
- Auditor menilai kesesuaian tanggal dan periode laporan, serta mengevaluasi complementary user entity controls (CUEC) yang harus dijalankan entitas.
- Jika ingin mengandalkan pengendalian di organisasi jasa, auditor memperoleh bukti efektivitas operasinya, misalnya dari laporan Tipe 2 yang mencakup periode relevan.
- Auditor menanyakan apakah ada kecurangan, ketidakpatuhan, atau salah saji tidak terkoreksi yang dilaporkan organisasi jasa.
- Auditor tidak merujuk pekerjaan auditor jasa dalam opini wanpengecualian.
Praktik di Kertas Kerja
- Buat daftar organisasi jasa yang digunakan klien dan nilai relevansinya terhadap laporan keuangan (misalnya payroll vendor, kustodian, penyedia ERP berbasis cloud).
- Minta laporan SOC 1 (atau yang setara) dan dokumentasikan evaluasi: Tipe 1 atau Tipe 2, periode tercakup, pengecualian, dan CUEC yang perlu diuji di entitas.
- Jika periode laporan tidak sepenuhnya mencakup periode audit, minta bridge letter dan lakukan prosedur tambahan untuk periode celah.
- Jika tidak ada laporan auditor jasa, lakukan pengujian substantif langsung, misalnya rekonsiliasi payroll register dengan bukti bank dan data BPJS.
- Dokumentasikan bagaimana CUEC (misalnya reviu laporan output payroll oleh HR) diuji di entitas.
Temuan Reviu Mutu yang Sering Muncul
- Tidak ada identifikasi organisasi jasa yang relevan, padahal klien memakai sistem pihak ketiga untuk transaksi material.
- Laporan SOC diterima tetapi tidak dievaluasi (pengecualian, periode, CUEC diabaikan).
- Mengandalkan laporan Tipe 1 seolah memberikan bukti efektivitas operasi.
- Tidak ada prosedur untuk periode celah di luar cakupan laporan auditor jasa.
Catatan ini adalah ringkasan untuk belajar, bukan pengganti teks standar. Untuk pekerjaan perikatan, rujuk dokumen resmi IAPI di iapi.or.id.
Tanya Jawab
Apa beda laporan Tipe 1 dan Tipe 2?
Tipe 1 menjelaskan rancangan dan implementasi pengendalian pada suatu tanggal. Tipe 2 juga mencakup pengujian efektivitas operasi selama suatu periode, sehingga dapat dipakai untuk mengandalkan pengendalian.
Apakah penyedia cloud selalu organisasi jasa yang relevan?
Relevan bila jasanya merupakan bagian dari sistem informasi entitas yang relevan dengan pelaporan keuangan, misalnya hosting ERP yang memproses transaksi.
Bolehkah opini audit menyebut auditor jasa?
Tidak untuk opini wanpengecualian. Rujukan hanya boleh bila relevan untuk menjelaskan modifikasi opini, dan harus jelas bahwa tanggung jawab tetap pada auditor pengguna.