Apakah Control Self-Assessment (CSA) wajib digunakan dalam implementasi Internal Control over Financial Reporting (ICOFR)?

CSA tidak wajib digunakan dalam implementasi ICOFR. COSO, PCAOB, dan model tiga lini the Institute of Internal Auditors (IIA) tidak mewajibkan. Lebih lanjut, penelitian Abbott et al. (2019) terhadap 172 perusahaan Fortune 1000 non-bank di Amerika Serikat menemukan bahwa hanya sekitar 34% perusahaan yang menggunakan Control Self-Assessment (CSA) sebagai metode utama monitoring pengendalian internal atas pelaporan keuangan/ICOFR. Angka ini menunjukkan bahwa meskipun CSA cukup dikenal dalam praktik SOX, pendekatan ini belum menjadi standar dominan bahkan di perusahaan-perusahaan besar Amerika Serikat. Menariknya, angka tersebut sebenarnya masih sejalan dengan survei EY (2011) yang menemukan bahwa hanya sekitar 48% perusahaan menggunakan CSA dalam proses compliance SOX/ICOFR.

Dalam pendekatan CSA, monitoring pengendalian tidak hanya dilakukan oleh internal audit, tetapi juga melibatkan control owner dan manajemen operasional yang menjalankan proses bisnis sehari-hari. Penelitian Abbott et al. (2019) menunjukkan bahwa perusahaan yang menggunakan CSA cenderung memiliki biaya audit ICOFR yang lebih rendah, sekitar 6% lebih rendah dibanding perusahaan yang tidak menggunakan CSA. Penelitian tersebut juga menemukan bahwa penggunaan CSA meningkatkan efektivitas dukungan internal audit terhadap auditor eksternal.

Namun, Abbott et al. (2019) juga menjelaskan mengapa adopsi CSA belum dominan. Salah satu tantangan utamanya adalah isu objektivitas. Ketika control owner menilai kontrol mereka sendiri, muncul risiko bahwa evaluasi menjadi kurang independen. SEC bahkan pernah mengingatkan bahwa CSA dapat mengurangi objektivitas evaluator apabila governance dan pengawasannya tidak memadai.

Selain itu, CSA membutuhkan komunikasi lintas fungsi, akuntabilitas yang jelas, pelatihan, dan dukungan organisasi yang kuat. Karena itu, banyak perusahaan tetap menggunakan pendekatan separate evaluation, yaitu monitoring pengendalian yang lebih terpusat melalui internal audit atau fungsi kontrol independen.