Ada satu jenis percakapan yang relatif umum terjadi di kantor Inspektorat Daerah Indonesia menjelang akhir tahun anggaran. Auditor melaporkan menemukan indikasi penyimpangan dalam belanja program tertentu. Inspektur bertanya kapan transaksi itu terjadi. Auditor menjawab: delapan bulan yang lalu. Inspektur lanjut bertanya: di mana uangnya sekarang? Jawabannya, hampir selalu sama: sudah habis dibelanjakan.

Itulah dilema klasik audit periodik. Auditor menemukan masalah dengan cermat, dengan dokumentasi yang baik, dengan kemampuan analisis yang teruji. Tetapi waktu yang terlampaui antara terjadinya transaksi dan pendeteksiannya membuat sebagian besar temuan jatuh dalam kategori yang sama: terlambat. Anggaran sudah habis. Vendor sudah dibayar. Penyimpangan, kalau benar terjadi, masuk ke rekomendasi audit yang akan diproses bertahun-tahun ke depan.

Dari kebutuhan untuk keluar dari dilema waktu inilah lahir paradigma yang kini dikenal di literatur audit internal sebagai Continuous Auditing and Continuous Monitoring, atau CACM.

Akar Konseptual CACM

CACM bukan konsep yang lahir di Indonesia. Diskusi akademis tentang continuous auditing sudah berkembang sejak akhir 1980-an, dipicu oleh evolusi teknologi informasi yang memungkinkan auditor mengakses data transaksi secara elektronik. Tonggak penting tercatat pada 1989 ketika Coopers & Lybrand (kini PwC) mempublikasikan satu kerangka kerja awal continuous auditing, diikuti oleh berbagai publikasi dari American Institute of Certified Public Accountants (AICPA), Canadian Institute of Chartered Accountants (CICA), dan The Institute of Internal Auditors (IIA).

Pada 2005, IIA menerbitkan Global Technology Audit Guide (GTAG) 3: Continuous Auditing — Implications for Assurance, Monitoring, and Risk Assessment, yang menjadi rujukan praktis bagi praktisi audit internal global. ISACA, asosiasi profesi audit sistem informasi, juga menerbitkan publikasi standar terkait pada periode yang sama. Sejak itu, CACM diadopsi oleh banyak lembaga audit di sektor swasta maupun publik, termasuk kementerian dan lembaga audit di Amerika Serikat (GAO), Inggris (NAO), Australia (ANAO), dan banyak lembaga lain di Asia Tenggara.

Indonesia mengadopsi paradigma ini dengan kerangka regulasi formal melalui Peraturan Badan BPKP Nomor 2 Tahun 2018 tentang Pedoman Continuous Auditing dan Continuous Monitoring. Peraturan ini menjadi landasan operasional bagi BPKP sebagai pembina APIP nasional dan bagi Aparat Pengawasan Intern Pemerintah (APIP) di seluruh Kementerian, Lembaga, dan Pemerintah Daerah.

Dua Konsep dalam Satu Singkatan

CACM menggabungkan dua aktivitas yang berbeda aktor dan ruang lingkupnya, meskipun bekerja sebagai satu sistem terintegrasi.

Continuous Auditing (CA) adalah ranah auditor independen. Auditor menggunakan teknologi untuk menarik data dari sistem komputer auditi dan melakukan pengujian kepatuhan secara otomatis. Pendekatan ini berbeda dari audit tradisional di mana auditor datang setahun sekali untuk memeriksa berkas fisik. Dalam CA, auditor menetapkan parameter digital, berupa skrip atau algoritma, yang berjalan di atas data transaksi auditi untuk mendeteksi kejanggalan. Hasilnya: temuan audit dapat dihasilkan dalam hitungan hari atau minggu, bukan bulan.

Continuous Monitoring (CM) adalah ranah manajemen. Proses pengawasan yang melekat pada operasional harian unit pelaksana anggaran sendiri, bukan pada auditor independen. Sistem ini memantau apakah pengendalian internal seperti batas otorisasi transaksi, validitas data vendor, atau konsistensi dokumen pendukung berfungsi dengan baik dari hari ke hari. Kalau terjadi pelanggaran prosedur, sistem mengirim peringatan dini (early warning alert) ke pejabat yang berwenang.

CA tanpa CM cenderung hanya menjadi laporan auditor yang menunggu ditindaklanjuti. CM tanpa CA tidak punya verifikasi independen dari pihak ketiga. CACM menggabungkan keduanya: manajemen secara aktif memantau dirinya sendiri lewat CM, dan auditor independen secara aktif memverifikasi keandalan CM lewat CA. Inilah arsitektur tiga lini pertahanan (three lines of defense) dalam bentuk digitalnya.

Mengapa CACM Penting

Tiga alasan teknis yang menjelaskan mengapa CACM relevan untuk pengawasan keuangan sektor publik di Indonesia hari ini.

Pertama, skala. Volume transaksi keuangan negara dan daerah sudah jauh melampaui kapasitas pengawasan dengan metode konvensional. Belanja APBN saja bergerak di angka ribuan triliun rupiah per tahun, ditambah belanja APBD ratusan triliun di 38 provinsi dan ratusan kabupaten/kota. Jumlah transaksinya jutaan per hari. Tidak ada jumlah auditor manusia yang cukup untuk memeriksa semua itu dengan sampling tradisional.

Kedua, waktu. Dalam pola audit periodik klasik, jeda antara terjadinya transaksi dan terdeteksinya masalah rata-rata enam sampai dua belas bulan. Ketika auditor menemukan penyimpangan, anggaran sudah menguap. Yang tersisa hanya rekomendasi audit yang akan ditindaklanjuti bertahun-tahun berikutnya. CACM mempersempit jeda ini secara signifikan.

Ketiga, kompleksitas. Modus penyimpangan kini bersaing dengan transaksi lintas-platform, vendor lintas-yurisdiksi, dan dokumen elektronik yang bisa dimanipulasi pasca-kejadian. Pengawasan yang efektif harus berjalan secara real-time atau mendekati real-time, agar pola-pola kompleks tersebut bisa dideteksi sebelum kerugian terealisasi penuh. CACM dirancang dengan kapabilitas data analytics dan pattern recognition untuk membaca pola-pola yang sebelumnya tidak terlihat oleh sampling manual.

Cara Kerja CACM Secara Praktis

Untuk auditor pemula yang baru berkenalan dengan CACM, gambaran konkretnya seperti berikut.

Pertama, identifikasi area risiko prioritas. Tidak semua jenis transaksi sama tinggi risikonya. Auditor memilih area yang paling rawan kebocoran, misalnya pengadaan barang dan jasa, hibah dan bantuan sosial, perjalanan dinas, atau belanja pegawai. Area-area ini menjadi target utama CACM.

Kedua, tetapkan kriteria audit yang akan diuji. Kriteria ini ditranslasikan ke dalam bentuk rule atau parameter digital yang dapat dijalankan otomatis oleh sistem. Contoh kriteria sederhana: “transaksi pengadaan dengan vendor yang sama lebih dari tiga kali dalam satu bulan dengan nilai di bawah ambang batas pengadaan langsung”, atau “perjalanan dinas dengan SPPD yang tanggal kepulangannya bertumpang tindih dengan SPPD lain dari orang yang sama”.

Ketiga, jalankan parameter di atas data transaksi auditi. Sistem akan menghasilkan daftar transaksi yang memenuhi kriteria. Daftar ini bukan langsung temuan audit, melainkan eksepsi yang perlu dieksplorasi lebih lanjut. Auditor menganalisis eksepsi tersebut untuk memilah mana yang valid sebagai temuan dan mana yang ternyata punya penjelasan wajar.

Keempat, dokumentasikan dan tindak lanjuti. Temuan yang valid masuk ke laporan audit reguler dengan dukungan bukti digital yang lebih kuat dibanding sampling manual. Eksepsi yang menjadi pola berulang menjadi input untuk perbaikan sistem pengendalian internal manajemen, lewat dimensi Continuous Monitoring.

Siklus ini berjalan terus-menerus. Bukan sekali setahun, melainkan harian, mingguan, atau bulanan tergantung sifat data dan area risikonya.

Tonggak Implementasi CACM di Indonesia

Adopsi CACM di lingkungan pengawasan intern pemerintah Indonesia bergerak dengan kecepatan yang berbeda di berbagai unit kerja, namun beberapa tonggak yang sudah terdokumentasi.

Pada 2018, BPKP menerbitkan Peraturan Badan BPKP Nomor 2 Tahun 2018 sebagai landasan formal. Periode 2018 sampai 2024 menjadi fase pengembangan kerangka, sosialisasi, dan piloting awal di unit-unit kerja terbatas.

Pada 2025, terdapat 7 Perwakilan BPKP yang masuk gelombang pilot CACM-Evran, model penerapan CACM untuk evaluasi dan reviu pengendalian.

Pada Maret 2026, jumlah Perwakilan BPKP yang sudah mengimplementasi CACM penuh melompat menjadi 36 Perwakilan. Lompatan lima kali lipat dalam satu tahun ini menandai transisi CACM dari mode piloting ke mode implementasi nasional.

Di tingkat daerah, 22 Pemerintah Daerah menjadi piloting awal pemanfaatan CACM oleh Inspektorat Daerah, atau yang lebih spesifik disebut CACM-APIP. Pemda piloting ini menandatangani komitmen formal untuk melanjutkan pemanfaatan CACM sebagai bagian dari sistem operasional inspektorat masing-masing.

Manfaat yang Mulai Terlihat di Lapangan

Beberapa perubahan struktural yang mulai terdokumentasi dari Perwakilan BPKP dan Pemerintah Daerah yang sudah mengimplementasi CACM.

Anomali transaksi yang sebelumnya baru terdeteksi enam sampai dua belas bulan kemudian, kini berpotensi dideteksi pada hari yang sama saat data masuk ke sistem. Skala dampaknya secara nasional masih dalam proses dokumentasi sistematis, tetapi logikanya jelas: semakin cepat anomali terdeteksi, semakin besar peluang intervensi sebelum kerugian terealisasi penuh.

Pekerjaan auditor bergeser dari rutin ke strategis. Pembersihan data (data cleansing) dan pemeriksaan kepatuhan rutin yang sebelumnya menyita waktu berminggu-minggu kini bisa dipercepat dengan tools yang disediakan dalam infrastruktur CACM. Auditor mengalihkan fokus dari pekerjaan administratif ke analisis risiko yang lebih strategis dan bernilai tinggi.

Budaya pengawasan bergeser dari reaktif ke proaktif. Auditor mulai terbiasa membaca dashboard analitik harian dibanding menunggu jadwal audit tahunan. Pergeseran ini tidak instan dan tidak seragam di semua Perwakilan, tetapi indikator awalnya sudah terlihat di unit-unit kerja yang sudah lebih lama mengimplementasi CACM.

Keterkaitan dengan IACM

Internal Audit Capability Model (IACM) adalah kerangka penilaian kapabilitas APIP yang dipakai BPKP sebagai standar pengukuran nasional. IACM mengukur kapabilitas APIP dalam lima level, dengan Level 3 (Integrated) sebagai target nasional yang ditetapkan dalam berbagai dokumen kebijakan pengawasan.

Salah satu indikator pada Level 3 adalah penggunaan teknologi audit yang sistematis dan terintegrasi. CACM memberi kerangka konkret untuk pencapaian indikator tersebut, karena ia menuntut auditor mengoperasikan teknologi audit dalam mode kontinu, bukan sebagai pelengkap occasional.

Implementasi CACM tidak otomatis menaikkan level kapabilitas APIP. Banyak faktor lain yang menentukan, termasuk struktur organisasi, kualitas SDM, dukungan pimpinan, dan kerangka regulasi internal. Sebagai salah satu enabler, kontribusi CACM signifikan tapi tidak tunggal.

Pelajaran untuk APIP Daerah

Tiga pembelajaran praktis dari implementasi CACM yang relevan bagi Inspektorat Provinsi, Inspektorat Kabupaten, dan Inspektorat Kota yang sedang membangun kapabilitasnya.

CACM bukan teknologi yang harus dibeli sekaligus. Ia adalah paradigma yang bisa diadopsi bertahap. Inspektorat Daerah bisa mulai dari otomasi pemeriksaan kepatuhan rutin yang paling sederhana, misalnya pemeriksaan otomatis terhadap data vendor di Sistem Informasi Pemerintahan Daerah (SIPD), sebelum bergerak ke pemeriksaan pola yang lebih kompleks. Skala investasi awal tidak harus besar.

Kunci sustainability bukan pada pengadaan alat, tetapi pada komitmen pimpinan inspektorat. Pemda piloting CACM yang berhasil punya satu kesamaan: komitmen formal pimpinan untuk mengalokasikan SDM dan anggaran operasional, bukan sekadar menerima alat. Tanpa komitmen ini, alat secanggih apa pun akan berhenti pakai dalam hitungan bulan.

Jejaring nasional sudah tersedia untuk dimanfaatkan. BPKP melalui 36 Perwakilan provinsi, plus 22 Pemda piloting, telah membangun ekosistem transfer pengetahuan CACM. Inspektorat daerah lain bisa belajar dari pengalaman mereka tanpa harus membangun semuanya dari nol. Pintu masuknya adalah komunikasi formal ke Perwakilan BPKP terdekat untuk diskusi adopsi.

Reformasi pengawasan keuangan negara di Indonesia bergerak. Pelan, tetapi bergerak. CACM adalah salah satu indikator yang paling konkret tentang ke arah mana pengawasan ini bergerak: dari periodik ke kontinu, dari berkas fisik ke data digital, dari sampling manual ke analitik otomatis.

Bagi APIP yang bertanggung jawab atas pengawasan tata kelola keuangan negara di Indonesia hari ini, pemahaman tentang CACM bukan lagi pengetahuan opsional. Ia adalah bagian dari literasi profesional dasar.