Materi Akuntansi Perusahaan

COSO Internal Control Integrated Framework (IC-IF)

Kerangka kerja pengendalian internal ini diharapkan akan membantu meningkatkan pelaksanaan pengendalian internal di setiap organisasi, walaupun pembiasaan lebih lanjut diharapkan untuk menyelaraskan pengendalian internal di seluruh dunia dan untuk membantu organisasi mengelola risiko secara lebih baik dan untuk meningkatkan kinerja organisasi secara keseluruhan.

COSO Enterprise Risk Management

Untuk meningkatkan proses administrasi risiko, COSO menyebarkan kerangka pengendalian kedua disebut Enterprise Risk Management (ERM). ERM yaitu proses dimana dewan direksi dan administrasi gunakan untuk mengatur strategi, mengidentifikasi peristiwa yang mungkin kuat terhadap entitas, mengukur dan mengelolah resiko serta menyediakan kepastian bahwa perusahaan mencapai tujuan dan sasarannya.

Prinsip dasar di balik ERM yaitu sebagai berikut (Romney and Steinbart, 2015) :
• Perusahaan dibentuk untuk menciptakan nilai bagi pemiliknya.
• Manajemen harus memutuskan seberapa besar ketidakpastian akan diterima alasannya penciptaan nilai.
• Ketidakpastian sebagai akhir dalam resiko yang merupakan kemungkinan bahwa sesuatu secara negatif mensugesti kemampuan perusahaan untuk menciptakan dan mempertahankan nilai.
• Hasil Ketidakpastian dalam peluang merupakan kemungkinan bahwa sesuatu secara faktual mensugesti kemampuan perusahaan menciptakan atau mempertahankan nilai.
• Kerangka ERM dapat mengelola ketidakpastian maupun menciptakan dan mempertahankan nilai perusahaan.

Tujuan COBIT	Pengoperasian sistem yang efektif dan efisien, kerahasiaan, kesatuan dan ketersediaan berita yang dilengkapi dengan sistem pelaporan keuangan yang handal diubahsuaikan dengan peraturan yang berlaku.
Pengguna	Manajemen, operator dan auditor sistem informasi.
Proses	Perencanaan dan organisasi, akuisis dan implementasi, epngiriman dan dukungan, dan monitoring dan evaluasi.
Fokus Pengendalian	Teknologi berita yang digunakan oleh perusahaan.
Pertanggungjawaban atas Sistem Pengendalian	Ditujukan kepada manajemen.
Komponen Pengendalian	Perencanaan dan pengorganisasian, pemanduan dan penetapan, pengawasan atas pertolongan serta pendistribusian.

Menurut Romney and Steinbart (2015), sebuah lingkungan internal terdiri dari :
a. Filosofi manajemen, gaya operasi, dan resiko.
Filosofi manajemen, gaya operasi, dan resiko dapat dinilai dengan menjawab pertanyaan-pertanyaan sebagai berikut :
• Apakah administrasi mengambil risiko bisnis yang tidak semestinya untuk mencapai tujuannya, atau apakah ia menilai resiko dan imbalan potensial sebelum bertindak?
• Apakah administrasi memanipulasi ukuran kinerja, menyerupai laba bersih, sehingga mereka terlihat lebih menguntungkan?
• Apakahmanajemen menekan para untuk mencapai hasil tanpa metode, atau apakah itu menuntut perilaku etis? Dengan kata lain menghalalkan segala cara?

b. Komitmen terhadap integritas, nilai etika, dan kompetensi.
Perusahaan mendukung integritas dengan :
• Secara aktif mengajari dan menerapkannya. Sebagai pola membuat terang bahwa laporan yang jujur lebih penting daripada yang menguntungkan.
• Menghindari keinginan yang tidak realistis atau insentif yang memotivasi tindakan tidak jujur atau ilegal, menyerupai praktik penjualan yang terlalu bernafsu penjualan, strategi negosiasi yang tidak etik dan tidak wajar, dan hasil keuangan yang dilaporkan.
• Secara kosisten menghargai kejujuran dan menunjukkan label lisan terhadap prilaku jujur dan tidak jujur.
• Mengembangkan aba-aba etik tertulis yang secara eksplisit menggambarkan perilaku jujur dan tidak jujur.
• Mewajibkan karyawan untuk melaporkan tindakan tidak jujur atau ilegal dan mendisiplinkan karyawan yang dengan sengaja tidak melaporkanya.
• karyawan harus diberhentikan dan dituntut untuk menunjukkan bahwa perilaku menyerupai itu tidak diperbolehkan.
• Membuat kesepakatan terhadap kompetensi. Perusahaan harus mempekerjakan karyawan yang kompeten dengan pengetahuan, pengalaman, pelatihan, dan keterampilan yang diperlukan.

c. Kelalaian pengendalian internal oleh dewan direksi.
Dewan direksi yang terlibat mewakili pemegang saham dan menunjukkan tinjauan independen terhadap administrasi yang bertindak sebagai check and balance dalam tindakannya. SOX mengharuskan perusahaan publik untuk memiliki komite audit dari luar, eksekutif independen. Komite ini bertanggung jawab untuk pelaporan keuangan, kepatuhan terhadap peraturan, pengendalian internal, dan perekrutan dan mengawasi auditor internal dan eksternal, yang melaporkan semua kebijakan dan praktik akuntansi.

d. Struktur organisasi.
Aspek penting dari struktur organisasi meliputi berikut :
• Sentralisasi atau desentralisasi kewenangan
• Hubungan pelaporan pribadi atau matriks
• Organisasi oleh industri, lini produk, lokasi, atau jaringan pemasaran
• Bagaimana alokasi tanggung jawab memepengaruhi kebutuhan informasi
• Organisasi dan garis wewenang untuk akuntansi, audit, dan fungsi sistem informasi
• Ukuran dan sifat kegiatan perusahaan

e. Metode dalam menetapkan wewenang dan tanggung jawab.
Manajemen harus memastikan karyawan memahami tujuan dan sasaran, menetukan kewenangan dan tanggungjawab untuk tujuan dan sasaran pada departemen dan individu, mengendalikan akuntanbilitas individu untuk mencapai tujuan dan sasaran, serta mendorong penggunaan inisiatif untuk memecahkan masalah.
Kewenangan dan tanggungjawab ditentukan dan dikomunikasikan menggunakan prsedur dan deskipsii pekerjaan formal, pelatihan karyawan kegiatan operasi, anggaran, aba-aba pelaksanaan, serta prosedur dan kebjikan tertulis.
Kebijakan dan prosedur manual menjelaskan praktek-praktek bisnis yang tepat, menggambarkan pengetahuan dan pengalama yang dibutuhkan, menjelaskan prosedur dokumen, menjelaskan bagaiman menangani transaksi serta membuat daftar sumber daya yang disediakan untuk mengerjakan tugas-tugas tertentu.

f. Standar SDM yang menarik membuatkan dan mempertahankan orang-orang yang kompeten.
Salah satu kekuatan pengendalial terbesar ialah kejujuran karyawan; salah satu kelemahan pengendalian terbesar ialah ketidakjujuran karyawan. Sumber daya (SDM) kebijakan dan praktek sumberdaya insan yang mengatur kondisi pekerjaan, insentif kerja, dan kemajuan karir dapat menjadi kekuatan dalam mendorong kejujuran, efisiensi, dan loyalitas pelayanan. Kebijakan SDM harus memberikan tingkat keahlian, kompetensi, perilaku etis, dan integritas yang dibutuhkan.

Menurut Romney and Steinbart (2015), ada empat tujuan pengendalian yang perlu ditetapkan dalam suatu perusahaan, adalah :
Tujuan strategis, yang merupakan tujuan tingkat tinggi yang selaras dengan misi perusahaan, mendukung misi serta menciptakan nilai bagi pemegang saham. Manajemen harus mengidentifikasi cara –cara alternatif untuk mencapai tujuan strategis; mengidentifikasi dan menilai risiko serta implikasi dari setiap alternatif, merumuskan taktik perusahaan, dan mengatur operasi, kepatuhan, dan tujuan pelaporan.

Tujuan operasi, yang bekerjasama dengan efektivitas dan efisiensi operasional perusahaan, menentukan bagaimana mengalokasikan sumber daya. Mereka mencerminkan preferensi manajemen, penilaian, dan gaya serta merupakan faktor kunci dalam keberhasilan perusahaan. Mereka bervariasi dalam satu perusahaan yang mungkin memutuskan untuk menjadi pengguna pertama dari teknologi, yang lain mungkin mengadopsi teknologi saat terbukti, dan pihak lainnya mungkin mengadopsi hanya diterima secara umum.

Tujuan pelaporan membantu memastikan keakuratan, kelengkapan, dan keandalan laporan perusahaan, meningkatkan pengambilan keputusan, dan memonitor aktivitas perusahaan serta kinerja.

Tujuan Kepatuhan membantu perusahaan mematuhi semua hukum dan peraturan yang berlaku. Kebanyakan tujuan kepatuhan, dan tujuan pelaporan, yang dikenakan oleh entitas eksternal dalam menanggapi hukum atau peraturan. Seberapa baik perusahaan memenuhi kepatuhan dan tujuan pelaporan secara signifikan dapat menghipnotis reputasi perusahaan.

COSO (2013:3) dalam framework terbarunya menyatakan mengenai tujuan – tujuan pengendalian internal sebagai berikut :
“The Framework provides for three categories of objectives, which allow organizations to focus on differing aspects of internal control :
a. Operations objectives – These pertain to effectiveness and effciency of the entity’s operations, including assets against loss.
b. Reporting objectives – These pertain to internal and external financial and non financial reporting and may encompass reliability, timeliness, transparancy, or other terms as set forth by regulators, recognized standard setters, or the entity’s policies.
c. Compliance objectives – These pertain to adherence to laws and regulations to which the entity is subject.”

Berdasarkan konsep COSO, bahwa pengendalian internal ditujukan untuk mencapai tiga kategori tujuan yang memungkinkan organisasi untuk fokus pada aspek pengendalian internal yang berbeda, yang mencakup tujuan – tujuan operasi, tujuan – tujuan pelaporan, dan tujuan – tujuan ketaatan.

Tujuan – tujuan operasi berkaitan dengan efektivitas dan efisiensi operasi entitas, termasuk tujuan operasional dan keuangan, dan untuk menjaga aset dan kerugian. Tujuan – tujuan pelaporan berkaitan dengan kepentingan pelaporan keuangan baik untuk kalangan internal maupun eksternal yang memenuhi kriteria andal, sempurna waktu, transparan dan persyaratan – persyaratan lain yang ditetapkan oleh pemerintah, pembuat – pembuat standar yang diakui, ataupun kebijakan – kebijakan entitas. Sementara itu, tujuan – tujuan ketaatan berkaitan dnegan ketaatan terhadap hukum dan peraturan dengan mana entitas merupakan subjeknya.

Tujuan – tujuan pengendalian internal dalam versi ICIF COSO tahun 2013 ini pada dasarnya relatif sama dengan yang dikemukakan pada tahun 1992, namun tujuan – tujuan tersebut mengalami perluasan, misalnya pada tujuan – tujuan operasi yang tidak hanya mencakup kinerja keuangan dan pengamanan aset saja, tetapi juga operasi perusahaan / entitas secara keseluruhan.

A. Perkembangan Pengungkapan
Standar dan praktik pengungkapan dipengaruhi oleh sumber-sumber keuangan, undang-undang, bekerjasama dengan politik dan ekonomi, tingkat perkembangan ekonomi, pendidikan, budaya, dan faktor-faktor lainnya. Perbedaan nasional dalam pengungkapan umumnya didorong oleh perbedaan dalam tata kelola perusahaan dan keuangan. Perbedaan pengungkapan nasional sebagian besar didorong oleh perbedaan di pengelolaan dan keuangan perusahaan.

B. Pengungkapan Sukarela
Adanya pemilihan pengungkapan yang dilakukan oleh pihak manajer dalam mencerminkan keseluruhan jawaban keperluan pengungkapan dan insentif mereka untuk menguraikan berita dengan sukarela. Sejumlah aturan, ibarat aturan akuntansi dan pengungkapan, dan akreditasi oleh pihak ketiga (seperti auditing) dapat memperbaiki berfungsinya pasar. Aturan akuntansi mencoba mengurangi kemampuan manjer dalam mencatat transaksi-transaksi ekonomi dengan cara yang tidak mewakili kepentingan terbaik pemegang saham. Aturan pengungkapan menetapkan ketentuan-ketentuan untuk memastikan bahwa para pemegang saham mendapatkan berita yang sempurna waktu, lengkap dan akurat.

a) Transaksi dengan pihak berelasi yang efisien dan yang abusif

1) Transaksi dengan pihak berelasi yang efisien
Jika suatu transaksi pihak berelasi bersifat efisien, maka pemegang saham pengendali akan melaksanakan transaksi tersebut, tanpa memperhatikan apakah hak arus kas yang dimiliki rendah ataupun tinggi. Hal ini dilakukan sebab transaksi tersebut akan menguntungkan baik bagi pemegang saham pengendali maupun pemegang saham nonpengendali

2) Transaksi dengan pihak berelasi yang abusif
Suatu transaksi afiliasi mampu dikatakan abusif apabila transaksi tersebut hanya mementingkan keuntungan pemegang saham secara umum dikuasai dan merugikan pemegang saham minoritas. Transaksi ini mampu berbentuk penjualan asset dengan harga yang digelembungkan, membeli aset di bawah harga wajar, atau pemegang saham secara umum dikuasai yang menerima garansi derma dari perusahaan, atau yang disebut tunneling. Transaksi afiliasi yang abusive dapat menjadikan eksproprisasi pemegang saham minoritas, baik secara material one-off ataupun perlahan.




b) Penanganan transaksi dengan pihak berelasi

1) Pengungkapan
Anggota harus mengungkapkan secara lengkap semua hal yang mungkin besar lengan berkuasa terhadap independensi dan obyektivitas anggota atau mungkin mengganggu kewajiban anggota kepada klien dan perusahaan. Anggota harus memastikan bahwa pengungkapan tersebut dikomunikasikan secara jelas, lugas, dan efektif.

2) Proses persetujuan
Jika suatu transaksi dimana seorang direktur, komisaris, pemegang saham utama atau pihak terafiliasi dari direktur, komisaris atau pemegang saham utama mempunyai benturan kepentingan, maka transaksi dimaksud terlebih dahulu harus disetujui oleh para pemegang saham independen atau wakil mereka yang diberi wewenang untuk itu dalam Rapat Umum Pemegang Saham. Persetujuan mengenai hal tersebut harus ditegaskan dalam bentuk sertifikat notariil

(a) Cakupan insider trading
Insider trading sebagai salah satu kejahatan di bidang pasar modal merupakan suatu kejahatan yang mempunyai karakteristik yang sangat khas. Kejahatan perdagangan orang dalam (insider trading) sebagai salah satu kejahatan di bidang pasar modal dapat dilakukan oleh perseorangan (pribadi) dan korporasi.

(b) Penanganan insider trading
Sanksi yang diberikan terhadap pelaku perseorangan yaitu berupa sanksi pidana penjara dan denda, sedangkan terhadap pelaku korporasi yang diberikan yaitu sanksi administratif alasannya melihat rumusan Pasal 104 Undang-Undang Pasar Modal dimana sanksi yang dirumuskan bersifat kumulatif berupa pidana penjara dan denda, Pemberian sanksi administratif kepada korporasi sesuai dengan Pasal 102 Undang-Undang Pasar Modal juncto Pasal 61 PP No. 45 Tahun 1995.

Peran akuntan professional dalam memfasilitasi perlakuan setara terhadap pemegang saham

 Archi secara ketat memenuhi peraturan pemerintah Indonesia dalam perancangan dan pelaksanaan proses Good Corporate Governance (GCG) dan memahami pentingnya penerapan standar GCG International demi kepentingan pelanggan dan investor international. Dalam mengimplementasi dan menentukan kebijakannya, Perseroan menerapkan prinsip-prinsip tata kelola perusahaan diseluruh perseroan sehingga menghasilkan pandangan dan praktik kerja yang konsisten dalam setiap unit usaha perseroan.

COSO mendefinisikan sebuah peristiwa sebagai "insiden atau kejadian yang berasal dari sumber internal atau eksternal yang mensugesti implementasi taktik atau pencapaian tujuan. Peristiwa mungkin memiliki dampak faktual atau negatif atau keduanya. Suatu peristiwa mencerminkan ketidakpastian, mungkin atau mungkin tidak terjadi, sulit untuk mengetahui kapan hingga ia terjadi, mungkin sulit untuk menentukan dampaknya saat itu terjadi, mungkin memicu peristiwa lain dapat terjadi secara individu atau bersamaan. Manajemen harus mencoba untuk mengantisipasi semua kemungkinan peristiwa faktual atau negatif, menentukan mana yang paling dan paling mungkin terjadi, dan memahami keterkaitan antar peristiwa.

Sebagai contoh, implementasi sistem Electronic Data Interchange (EDI) yang menciptakan dokumen elektronik, mengirimkan mereka ke pelanggan dan pemasok, dan mendapatkan jawaban elektronik. Beberapa peristiwa perusahaan yang mungkin dihadapi ialah memilih teknologi yang tepat, susukan yang tidak sah, hilangnya integritas data, ketidaklengkapan sistem transaksi, dan sistem yang tidak kompetibel.

Beberapa perusahaan teknik digunakan untuk mengidentifikasi kejadian termasuk menggunakan daftar lengkap peristiwa potensial, melaksanakan analisis internal, pemantauan program terkemuka dan memicu poin, melaksanakan lokakarya dan wawancara, dengan menggunakan data mining, dan menganalisis proses bisnis.

Romney and Steinbart (2015), menyatakan bahwa risiko sebuah peristiwa yang teridentifikasi dinilai dalam beberapa cara yang berbeda: kemungkinan, dampak positif dan negatif, secara individu dan berdasarkan kategori, efeknya pada unit-unit organisasi lainnya, dan pada basis inehren dan residual. Risiko inheren yaitu kerentanan yang mengatur seperangkat akun atau transaksi untuk duduk perkara pengendalian yang signifikan dalam absennya pengendalian internal. Risiko residual yaitu resiko yang tersisa setelah administrasi menerapkan pengendalian internal atau respon lain terhadap risiko. Perusahaan harus menilai risiko yang melekat, membuatkan respon, dan kemudian menilai risiko residual.

COSO (2013:4) menjelaskan mengenai komponen penilaian risiko (risk assessment) sebagai berikut :
“Risk is defined as the possibility that an event will occur and adversely affect the achivement of objectives. Risk assessment involves a dynamic and iteractive process for identifying and assessing risks to the achievement of objectives. Risks to the achievement of these objectives from across the entity are considered relative to established risk tolerances. Thus, risk assessment forms the basis for determining how risks will be managed. A precondition to risk assessment is the establishment of objectives, linked at different levels of the entity. Management specifies objectives within categories relating to operations, reporting and compliance with sufficient clarity to be able to identify and analyze risks to those objectives. Management also considers the suitability of the objectives for the entity. Risk assessment also requires management to consider the impact of possible changes in the external environment and within its own business model that may render internal control ineffective.”

Berdasarkan rumusan COSO, bahwa penilaian risiko melibatkan proses yang dinamis dan interaktif untuk mengidentifikasi dan menilai risiko terhadap pencapaian tujuan. Risiko itu sendiri dipahami sebagai suatu kemungkinan bahwa suatu peristiwa akan terjadi dan mensugesti pencapaian tujuan entitas, dan risiko terhadap pencapaian seluruh tujuan dari entitas ini dianggap relatif terhadap toleransi risiko yang ditetapkan. Oleh alasannya itu, penilaian risiko membentuk dasar untuk menentukan bagaimana risiko harus dikelola oleh organisasi.

Selanjutnya, COSO (2013:7) menjelaskan mengenai prinsip – prinsip yang mendukung penilaian risiko sebagai berikut :
a. The organization specifies objectives with sufficient clarity to enable the identification and assessment of risks relating to objectives.
b. The organization identifies risks to the achievement of its objectives across the entity and analyzes risks as a basis for determining how the risks should be managed.
c. The organization considers the potential for fraud in assessing risks to the achievement of objectives.
d. The organization identifies and assesses changes that could significantly impact the system of internal control.”

Romney and Steinbart (2015), menegaskan bahwa untuk menyelaraskan risiko diidentifikasi dengan toleransi perusahaan terhadap risiko, administrasi harus menggunakan pandangan yang luas wacana risiko. Mereka harus menilai kemungkinan risiko dan dampak serta biaya dan manfaat dari respon alternatif. Manajemen dapat merespon risiko dalam salah satu dari empat cara :
a. Mengurangi kemungkinan dan dampak risiko dengan menerapkan sistem pengendalian intern yang efektif.
b. Menerima kemungkinan dan dampak risiko.
c. Membagi risiko atau mentransfer ke orang lain dengan membeli asuransi, outsourcing aktivitas, atau memasukkannya ke dalam transaksi yang terlindungi.
d. Menghindari risiko dengan tidak terlibat dalam kegiatan yang menghasilkan risiko.

COSO (2013:5) menjelaskan mengenai kegiatan pengendalian (control activities) sebagai berikut :

“Control activities are the actions established through policies and procedures that help ensure that management’s directives to mitigate risks to the achievement of objectives are carried out. Control activities are performed at all levels of the entity, at various stages within business processes, and over the technology environment. They may be preventive or detective in nature and may encompass a range of manual and automated activities such as authorizations and approvals, verifications, reconciliations, and business performance reviews. Segregation of duties is typically built into the selection and development of control activities. Where segregation of duties is not practical, management selects and develops alternative control activities.”

Berdasarkan rumusan COSO, bahwa kegiatan pengendalian yaitu tindakan – tindakan yang ditetapkan melalui kebijakan – kebijakan dan prosedur – prosedur yang membantu memastikan bahwa instruksi administrasi untuk mengurangi risiko terhadap pencapaian tujuan dilakukan. Aktivitas pengendalian dilakukan pada semua tingkat entitas, pada banyak sekali tahap dalam proses bisnis, dan atas lingkungan teknologi.

Selanjutnya, COSO (2013:7) menegaskan mengenai prinsip – prinsip dalam organisasi yang mendukung kegiatan pengendalian yaitu sebagai berikut :
a. Organisasi memilih dan mengembangkan kegiatan pengendalian yang berkontribusi terhadap mitigasi risiko pencapaian sasaran pada tingkat yang dapat diterima.
b. Organisasi memilih dan mengembangkan kegiatan pengendalian umum atas teknologi untuk mendukung tercapainya tujuan.
c. Organisasi berbagi kegiatan pengendalian melalui kebijakan – kebijakan yang menetapkan apa yang diharapkan, dan prosedur – prosedur yang menempatkan kebijakan – kebijakan ke dalam tindakan.

COSO (2013:5) menjelaskan mengenai komponen berita dan komunikasi (information and communication) dalam pengendalian internal sebagai berikut :
“Information is necessary for the entity to carry out internal control responsibilities to support the achievement of its objectives. Management obtains or generates and uses relevant and quality information from both internal and external sources to support the functioning of other components of internal control. Communication is the continual, iterative process of providing, sharing, and obtaining necessary information. Internal communication is the means by which information is disseminated throughout the organization, flowing up, down, and across the entity. It enables personnel to receive a clear message from senior management that control responsibilities must be taken seriously. External communication is twofold : it enables inbound communication of relevant external information, and it provides information to external parties in response to requirements and expectations.”

Sebagaimana yang dinyatakan oleh COSO di atas, bahwa berita sangat penting bagi setiap entitas untuk melakukan tanggungjawab pengendalian internal guna mendukung pencapaian tujuan – tujuannya. Informasi yang diharapkan administrasi ialah berita yang relevan dan berkualitas baik yang berasal dari sumber internal maupun eksternal dan berita digunakan untuk mendukung fungsi komponen – komponen lain dari pengendalian internal. Informasi diperoleh ataupun dihasilkan melalui proses komunikasi antar pihak internal maupun eksternal yang dilakukan secara terus – menerus, berulang, dan berbagi. Kebanyakan organisasi membangun suatu sistem berita untuk memenuhi kebutuhan berita yang andal, relevan, dan sempurna waktu.

COSO (2013:7) selanjutnya menegaskan mengenai prinsip – prinsip dalam organisasi yang mendukung komponen berita dan komunikasi yaitu sebagai berikut :
a. Organisasi memperoleh atau menghasilkan dan menggunakan berita yang berkualitas dan yang relevan untuk mendukung fungsi pengendalian internal.
b. Organisasi secara internal mengkomunikasikan informasi, termasuk tujuan dan tanggungjawab untuk pengendalian internal dalam rangka mendukung fungsi pengendalian internal.
c. Organisasi berkomunikasi dengan pihak eksternal mengenai hal – hal yang mensugesti fungsi pengendalian internal.

EXAMPLE	EXPLANATION
People : Creation Of A “Security – Conscious” Culture	Manajemen puncak tidak hanya harus berkomunikasi kebijakan keamanan organisasi, tetapi juga harus memimpin dengan contoh. Karyawan lebih mungkin untuk mematuhi kebijakan keamanan info saat mereka melihat manajer mereka melakukannya. Sebaliknya, jikalau karyawan mengamati manajer melanggar kebijakan keamanan informasi, misalnya dengan menuliskan password dan membubuhkan ke pemantauan, mereka cenderung menggandakan perilaku itu. Gambar 1. Various Preventetive Controls : Pieces the Security Puzzle
People : Training	Pelatihan yaitu kontrol preventif secara kritis. Investasi organisasi dalam pelatihan keamanan akan efektif hanya jikalau administrasi terperinci menunjukkan bahwa ia mendukung karyawan yang mengikuti kebijakan keamanan yang ditentukan. Hal ini sangat penting untuk memerangi serangan rekayasa sosial, sebab penanggulangan terkadang membuat konfrontasi memalukan dengan karyawan lainnya.
Process : User Access Controls	·       Authentication Controls, yaitu proses verifikasi identitas orang atau perangkat yang mencoba mengakses sistem. ·       Authorization Controls, yaitu proses membatasi kanal pengguna dikonfirmasi ke episode tertentu dari sistem dan membatasi tindakan apa yang mereka diizinkan untuk melakukan.
IT Solutions : Antimalware Controls	COBIT 5 episode DSS05.01 berisi pinjaman malware sebagai salah satu kunci untuk keamanan yang efektif.
IT Solutions : Network Access Controls	Kebanyakan organisasi menyediakan karyawan, pelanggan, dan pemasok dengan kanal remote ke sistem info mereka. Biasanya kanal ini terjadi melalui internet, tetapi beberapa organisasi masih menjaga jaringan milik mereka sendiri atau menunjukkan pribadi kanal dial-up oleh modem.
IT Solutions : Device and Software Hardening Controls	Sebuah organisasi dapat meningkatkan sistem keamanan info dengan menambah kontrol pencegahan pada perimeter jaringan dengan kontrol pencegahan aksesori pada workstation, server, printer, dan perangkat lain (secara kolektif disebut sebagai endpoint) yang terdiri jaringan organisasi.
IT Solutions : Encryption	Enkripsi menunjukkan lapisan selesai pertahanan untuk mencegah kanal tidak sah ke info sensitif.
Physical Security : Access Controls	Kontrol kanal fisik dimulai dengan entry point untuk bangunan itu sendiri. Idealnya, seharusnya hanya ada satu titik masuk reguler yang tetap tidak terkunci selama jam kerja normal. Akses fisik ke peralatan komputer kamar perumahan juga harus dibatasi. Beberapa kanal upaya gagal harus memicu alarm. Akses ke kabel yang digunakan dalam rencana organisasi juga perlu dibatasi untuk mencegah penyadapan.
Change Controls and Change Management	Perubahan kontrol dan administrasi perubahan yaitu proses formal yang digunakan untuk memastikan bahwa modifikasi perangkat keras, perangkat lunak, atau proses tidak mengurangi keandalan sistem.