Kelemahan Material ITGC ICOFR aspek User Access, Program Change, Dokumentasi IT, dan IT Risk Assessment Mesa Air Group, Inc.

Mesa Air Group, Inc. (“Perusahaan”) adalah perusahaan induk penerbangan komersial yang berasal dari Nevada, dengan kantor pusat di 410 North 44th Street, Suite 700 di kawasan Camelback East, Phoenix, Arizona, Amerika Serikat. Perusahaan ini mengoperasikan satu anak perusahaan maskapai penerbangan regional, yaitu Mesa Airlines, yang beroperasi sebagai United Express dan (hingga tahun 2023) sebagai American Eagle, berdasarkan perjanjian kontraktual dengan United Airlines dan American Airlines. Per Juni 2022, Mesa mengoperasikan 167 pesawat, dengan lebih dari 457 keberangkatan harian ke 120 kota di seluruh Amerika Serikat, District of Columbia, Kanada, Meksiko, Bahama, dan Kuba.

Per tanggal 30 September 2023, manajemen mengungkapkan dua kelemahan material/material weakness (MW) ICOFR untuk tahun fiskal yang berakhir pada tanggal tersebut, yaitu terkait:
(i) ITGC, dan
(ii) Kepatuhan terhadap perjanjian utang (debt covenant compliance) (dibahas di tulisan selanjutnya).

Kelemahan material terkait ITGC mencakup tidak efektifnya pengendalian dalam manajemen akses pengguna (user access management) dan manajemen perubahan program (program change management) – khususnya pada sistem manajemen persediaan Perusahaan (PMI) dan sistem pelaporan keuangan Oracle. Manajemen meyakini bahwa kekurangan pengendalian ini disebabkan oleh:
(i) Dokumentasi proses pengendalian teknologi informasi yang tidak memadai, sehingga keberhasilan operasi ITGC terlalu bergantung pada pengetahuan dan tindakan individu tertentu untuk setiap sistem IT,
(ii) Pelatihan yang kurang memadai kepada personel IT dalam menjalankan tanggung jawab pengendalian mereka, dan
(iii) Proses penilaian risiko yang tidak cukup kuat untuk mengidentifikasi dan menilai perubahan dan risiko lingkungan IT yang dapat memengaruhi pengendalian internal atas pelaporan keuangan.

Sebagai akibat dari kelemahan material ini, pengendalian proses bisnis manual dan otomatis yang bergantung pada ITGC yang terdampak menjadi tidak efektif, karena kontrol tersebut berpotensi terdampak secara negatif.

Untuk meremediasi kelemahan material dalam pengendalian internal atas pelaporan keuangan terkait ketidakefektifan ITGC dalam manajemen akses dan manajemen perubahan program, manajemen menerapkan pengendalian pemantauan IT tambahan dan memperkuat dokumentasi proses terkait manajemen akses dan perubahan program dalam domain ITGC. Lebih lanjut, manajemen, termasuk CEO dan CFO, menegaskan kembali pentingnya pengendalian internal, kesadaran pengendalian, dan lingkungan pengendalian yang kuat. Manajemen juga terus meninjau, mengoptimalkan, dan meningkatkan kontrol serta prosedur pelaporan keuangan.

Sumber: SEC (2023). Form 8-K, 10-K.