Reviu, Asurans, dan Jasa Terkait
SPA 3402 Laporan Asurans Atas Pengendalian pada Organisasi Jasa
Standar untuk perikatan asurans atas pengendalian di organisasi jasa yang relevan bagi pelaporan keuangan entitas pengguna, misalnya penyedia jasa penggajian atau pemrosesan transaksi. Laporannya dipakai oleh entitas pengguna dan auditornya.
Tim UpdateSAK · Catatan belajar edisi 2025 · Diperbarui 30 Oktober 2026 · Padanan: ISAE 3402, Assurance Reports on Controls at a Service Organization
Poin Kunci
- Terdapat dua jenis laporan: tipe 1 atas deskripsi dan desain pengendalian pada suatu tanggal, dan tipe 2 yang juga mencakup efektivitas operasi selama periode.
- Organisasi jasa wajib menyusun deskripsi sistem dan pernyataan tertulis yang menjadi dasar kesimpulan praktisi.
- Praktisi menilai kesesuaian kriteria yang dipakai untuk mengevaluasi deskripsi, desain, dan efektivitas pengendalian.
- Pengendalian komplementer di entitas pengguna diidentifikasi dan diungkapkan karena tujuan pengendalian bergantung padanya.
- Bila ada organisasi subjasa, praktisi menentukan apakah memakai metode inklusif atau metode carve-out.
- Untuk tipe 2, praktisi menguji efektivitas operasi pengendalian dan menguraikan pengujian beserta hasilnya dalam laporan.
- Penyimpangan pengendalian dievaluasi dampaknya dan dapat menyebabkan opini dimodifikasi.
- Penggunaan laporan dibatasi bagi organisasi jasa, entitas pengguna, dan auditor entitas pengguna.
Praktik di Kertas Kerja
- Klien tipikal adalah penyedia jasa penggajian, pusat data, pemroses pembayaran, dan penyedia sistem akuntansi berbasis cloud yang melayani banyak pelanggan.
- Auditor entitas pengguna memanfaatkan laporan ini sesuai SA 402 sehingga tidak perlu menguji pengendalian di organisasi jasa satu per satu.
- Untuk tahun pertama, organisasi jasa sering memulai dengan laporan tipe 1 sebelum siap menjalani tipe 2.
- Bantu klien menyusun tujuan pengendalian yang jelas dan terkait dengan risiko pelaporan keuangan pelanggannya.
- Bila kebutuhannya menyangkut keamanan informasi di luar pelaporan keuangan, gunakan SPA 3000 sebagai dasar.
Temuan Reviu Mutu yang Sering Muncul
- Deskripsi sistem terlalu umum dan tidak sesuai dengan operasi sebenarnya.
- Pengendalian komplementer entitas pengguna tidak diungkapkan.
- Periode pengujian tipe 2 terlalu pendek untuk mendukung kesimpulan efektivitas operasi.
- Organisasi subjasa tidak diidentifikasi atau metode carve-out tidak dijelaskan.
Catatan ini adalah ringkasan untuk belajar, bukan pengganti teks standar. Untuk pekerjaan perikatan, rujuk dokumen resmi IAPI di iapi.or.id.
Tanya Jawab
Apa beda laporan tipe 1 dan tipe 2?
Tipe 1 menilai deskripsi dan desain pengendalian pada satu tanggal. Tipe 2 menambahkan pengujian efektivitas operasi pengendalian selama suatu periode, sehingga lebih bermanfaat bagi auditor pengguna.
Siapa yang memakai laporan SPA 3402?
Organisasi jasa, entitas pengguna jasa, dan auditor entitas pengguna untuk mendukung audit laporan keuangan entitas pengguna.
Apakah laporan ini menjamin seluruh keamanan sistem organisasi jasa?
Tidak. Ruang lingkupnya pengendalian yang relevan dengan pelaporan keuangan entitas pengguna sesuai tujuan pengendalian yang dinyatakan.