Apa yang dimaksud dengan Kepatuhan SOX (Sarbanes-Oxley Act)?

Sarbanes-Oxley Act of 2002 adalah undang-undang federal AS yang disponsori bersama oleh Senator Paul Sarbanes dan Perwakilan Michael Oxley. Kongres mengesahkan undang-undang tersebut setelah beberapa skandal keuangan pada awal abad ke-21, termasuk runtuhnya Enron, WorldCom, dan Tyco.

Dalam kasus ini dan kasus lainnya, perusahaan publik menggunakan gabungan antara celah akuntansi dan penipuan langsung untuk menggelembungkan nilai mereka, menyebabkan investor kehilangan miliaran dolar. Sebagai contoh, ketika penipuan Enron terbongkar, harga sahamnya jatuh dari USD 90,75 sen menjadi hanya 60 sen per saham.

Dalam beberapa kasus, perusahaan dibantu oleh firma akuntansi eksternal yang seharusnya mengaudit mereka. Arthur Andersen, yang pernah menjadi salah satu dari "Lima Besar" firma akuntansi, berhenti beroperasi karena perannya dalam skandal Enron dan WorldCom.

SOX bertujuan untuk mencegah kecurangan perusahaan dengan menetapkan mandat peraturan yang ketat tentang bagaimana organisasi melindungi catatan keuangan dari gangguan dan membuat auditor lebih independen dari klien mereka.

Undang-undang ini merupakan undang-undang yang besar dengan total 11 judul. Beberapa dampaknya yang paling signifikan meliputi: 

1. Membentuk Public Company Accounting Oversight Board (PCAOB).
2. Memperkuat persyaratan pelaporan keuangan.
3. Menjadikan eksekutif perusahaan secara pribadi bertanggung jawab atas pengungkapan dan pengendalian keuangan.
4. Meningkatkan independensi untuk auditor dan analis eksternal.
5. Melindungi pelapor.

SOX berlaku untuk semua perusahaan publik yang menjalankan bisnis di AS dan anak perusahaan yang dimiliki sepenuhnya. SOX juga berlaku untuk analis sekuritas dan firma akuntansi yang mengaudit perusahaan publik.

Meskipun perusahaan swasta dan organisasi nirlaba umumnya tidak terikat oleh SOX, ada beberapa pengecualian. Perusahaan swasta yang bersiap untuk go public melalui penawaran umum perdana tunduk pada SOX ketika mereka mengajukan pernyataan pendaftaran ke SEC. Pelapor di perusahaan swasta yang menyediakan layanan untuk perusahaan publik dilindungi oleh SOX ketika melaporkan kesalahan klien publik mereka.

SOX melarang organisasi mana pun, publik, swasta, atau nirlaba, untuk menghancurkan atau memalsukan catatan keuangan untuk menghalangi penyelidikan federal.

Meskipun SOX adalah peraturan AS, namun peraturan ini memiliki dampak bagi organisasi di luar negara tersebut. Perusahaan publik yang berkantor pusat di luar AS harus mematuhi persyaratan SOX jika mereka melakukan bisnis di AS.

Pengesahan SOX juga mengilhami negara-negara lain untuk mengadopsi undang-undang mereka sendiri yang memerangi penipuan keuangan, seperti Undang-Undang Menepati Janji untuk Ekonomi yang Kuat di Kanada (disebut juga "C-SOX") dan Undang-Undang Instrumen Keuangan dan Pertukaran di Jepang (disebut juga "J-SOX").

Di Eropa, banyak pihak yang mencatat adanya tumpang tindih yang signifikan antara kepatuhan SOX dan kepatuhan terhadap Peraturan Perlindungan Data Umum (GDPR). Khususnya, banyak kontrol keamanan dan proses perlindungan data yang sama yang memungkinkan kepatuhan terhadap SOX juga mendukung kepatuhan terhadap GDPR. Uni Eropa juga telah menerapkan peraturan yang mirip dengan SOX mengenai independensi auditor keuangan.

Pada intinya, kepatuhan terhadap SOX berarti bahwa semua pengungkapan keuangan organisasi sepenuhnya akurat dan bahwa organisasi tersebut memiliki kontrol dan dokumentasi untuk mendukung laporan keuangannya. 

Namun, proses untuk mencapai kepatuhan terhadap SOX bisa jadi rumit. SOX tidak menguraikan secara lengkap setiap pengendalian yang dibutuhkan perusahaan atau setiap langkah yang harus diambil oleh auditor. Organisasi yang berbeda mencapai kepatuhan SOX dengan cara yang berbeda.   

Pada tingkat tinggi, SOX memiliki tiga persyaratan luas: 

1. Mengarsipkan laporan keuangan yang akurat yang disertifikasi oleh eksekutif perusahaan.
   
2. Menerapkan pengendalian internal yang tepat.
   
3. Lulus audit rutin.  

Berdasarkan SOX pasal 302, "Tanggung Jawab Perusahaan atas Laporan Keuangan," CEO, CFO, atau pimpinan perusahaan yang setara harus menandatangani setiap laporan keuangan tahunan dan triwulanan yang diajukan ke SEC. 

Dalam menandatangani laporan, CEO dan CFO harus menyatakan bahwa laporan keuangan benar-benar akurat. Mereka juga harus menyatakan bahwa kontrol internal yang sesuai telah tersedia dan telah divalidasi dalam waktu 90 hari terakhir.  

Berdasarkan SOX bagian 404, "Penilaian Manajemen Pengendalian Internal," setiap laporan keuangan tahunan yang diajukan ke SEC harus berisi laporan pengendalian internal yang mendalam. Laporan pengendalian internal menyatakan bahwa manajemen bertanggung jawab atas pengendalian internal dan menilai efektivitas pengendalian internal perusahaan pada akhir tahun fiskal terakhir. 

Organisasi harus segera melaporkan setiap perubahan material pada status keuangan mereka. Meskipun insiden keamanan siber dapat dianggap sebagai perubahan material di bawah SOX, perlu dicatat bahwa SEC mengadopsi aturan baru pada bulan Juli 2023 yang membuat persyaratan pelaporan untuk insiden ini menjadi lebih ketat (tautan berada di luar ibm.com).

Khususnya, organisasi harus melaporkan insiden keamanan siber dalam waktu empat hari setelah menentukan bahwa insiden tersebut memiliki atau dapat memiliki dampak material. Perusahaan harus melaporkan insiden pada pihak ketiga, seperti layanan cloud, jika insiden tersebut dapat memengaruhi organisasi secara material. 

Perusahaan menerapkan kontrol internal SOX untuk mencegah pelaku internal dan eksternal mengubah data keuangan secara curang atau menggunakannya untuk tujuan terlarang.  

SOX tidak secara eksplisit mencantumkan semua kontrol yang harus diterapkan oleh perusahaan. Organisasi sering mengandalkan kerangka kerja tata kelola perusahaan seperti kerangka kerja Tujuan Kontrol untuk Informasi dan Teknologi Terkait yang dimiliki oleh Asosiasi Audit dan Kontrol Sistem Informasi. 

Komite Organisasi Sponsor dari kerangka Komisi Treadway juga populer. Meskipun kerangka kerja ini tidak dikembangkan secara khusus untuk SOX, skema kontrol yang disajikan biasanya memenuhi persyaratan kepatuhan SOX. 

Organisasi menerapkan kontrol pada tingkat proses bisnis dan infrastruktur teknologi informasi.  

Sebagaimana disebutkan di atas, CEO dan CFO harus menjamin keakuratan setiap laporan keuangan dan efektivitas pengendalian internal. Audit rutin memberikan bukti yang dibutuhkan para eksekutif untuk membuat pernyataan ini. 

Dengan melakukan audit internal secara rutin terhadap praktik pelaporan keuangan dan kontrol data, perusahaan dapat memantau kepatuhan dari waktu ke waktu, mengidentifikasi kesenjangan, dan memperbaiki kelemahan.  

Temuan audit internal juga dapat membantu auditor eksternal yang melakukan audit kepatuhan SOX tahunan. Dalam audit tahunan, firma akuntansi independen melakukan penilaian sendiri atas pengendalian internal dan pelaporan keuangan. Hasil audit ini sering kali disertakan dengan laporan tahunan SEC perusahaan.  

Di masa lalu, auditor harus melaporkan apakah mereka merasa penilaian manajemen terhadap pengendalian internal akurat. Persyaratan ini dihapus ketika SEC mengadopsi Standar Audit No. 5 pada tahun 2007 (tautan berada di luar ibm.com). 

SOX tidak menjelaskan secara spesifik bagaimana manajer dan firma akuntansi harus melakukan audit. Sebaliknya, SEC menyatakan (tautan berada di luar ibm.com) bahwa auditor dan manajer harus menggunakan penilaian risiko dari atas ke bawah (TDRA) untuk menentukan ruang lingkup audit mereka. TDRA mengidentifikasi akun, pengungkapan, dan area lain yang paling berisiko terhadap kecurangan material dan berfokus pada penilaian kontrol utama yang mengatasi risiko tersebut.  

Manfaat mematuhi SOX. Investor mungkin lebih percaya diri dalam pengungkapan keuangan dan, oleh karena itu, lebih bersedia untuk berinvestasi di perusahaan yang sesuai dengan SOX. SOX juga mengurangi insentif bagi para pemimpin perusahaan untuk melakukan penipuan dengan meminta mereka bertanggung jawab secara pribadi atas laporan keuangan.  

Kepatuhan terhadap SOX dapat membantu organisasi meningkatkan postur keamanan siber mereka secara keseluruhan. Banyak kontrol keamanan data yang digunakan organisasi untuk mencegah gangguan keuangan juga dapat memerangi serangan siber. Misalnya, solusi IAM membantu mencegah peretas memasuki akun pengguna, dan alat SIEM dapat membantu mendeteksi insiden keamanan yang sedang berlangsung lebih cepat.  

Ketidakpatuhan terhadap SOX juga dapat menyebabkan hukuman perdata dan pidana bagi organisasi dan individu.  

Para eksekutif yang mengesahkan laporan keuangan yang tidak akurat dapat didenda hingga USD 1 juta dan dipenjara hingga 10 tahun. Para eksekutif yang dengan sengaja mengesahkan pernyataan yang menyesatkan dapat didenda hingga USD 5 juta dan dipenjara hingga 20 tahun. 

Para eksekutif juga dapat memperoleh kembali kompensasi terkait insentif jika organisasi harus menerbitkan penyajian kembali keuangan. Berdasarkan aturan SEC yang diadopsi pada tahun 2022 (tautan berada di luar ibm.com), eksekutif bahkan tidak perlu bersalah atas pelanggaran. Clawback secara otomatis dipicu setiap kali laporan menunjukkan bahwa sasaran yang terkait dengan insentif tidak tercapai. 

SOX juga melarang tindakan merusak, mengubah, atau mengganggu catatan keuangan. Karyawan perorangan dapat menghadapi hukuman penjara hingga 20 tahun karena melakukan hal tersebut. Pejabat perusahaan yang melakukan pembalasan terhadap pelapor dapat dikenai denda dan hukuman penjara hingga 10 tahun.

SEC dapat melarang orang yang melanggar peraturan SOX untuk menjabat sebagai pejabat perusahaan, direktur, pialang, penasihat, dan dealer. Perusahaan bahkan dapat dikeluarkan dari bursa saham karena ketidakpatuhan yang signifikan.