Pemeriksaan selesai.
Ketetapan sudah diterima.
Tim tax lega.
Folder pemeriksaan dipindahkan ke archive.
Lalu semua kembali ke pekerjaan rutin.
Kalau proses berhenti di sana, perusahaan membuang salah satu sumber informasi risiko paling berharga.
Pemeriksaan bukan hanya menghasilkan koreksi.
Ia menunjukkan di mana sistem perusahaan lemah.
Data tidak konsisten.
Kontrak kurang.
Tax code salah.
Evidence jasa tidak cukup.
Transfer pricing tidak sesuai operasi.
Rekonsiliasi terlambat.
Owner tidak jelas.
Jika semua temuan tidak masuk tax risk register, masalah yang sama dapat kembali pada tahun berikutnya.
Tax risk register harus hidup
Risk register bukan spreadsheet tahunan yang dibuat untuk audit committee lalu dilupakan.
Ia harus mencatat risiko aktual, owner, nilai, kemungkinan, tindakan, deadline, dan status.
Pemeriksaan memberi input nyata.
Bukan hypothetical.
Karena itu, setiap koreksi dan setiap near-miss perlu dievaluasi.
Tidak semua harus masuk sebagai high risk.
Tetapi semua material learning harus dipetakan.
Mulai dari setiap koreksi
Ambil daftar hasil pemeriksaan.
Untuk setiap koreksi, catat:
Jenis pajak.
Tahun.
Issue.
Nilai koreksi.
Tax effect.
Sanksi.
Disetujui atau disengketakan.
Root cause.
Control failure.
Owner.
Remediation.
Recurring atau one-off.
Potential future exposure.
Ini mengubah hasil pemeriksaan menjadi management data.
Tanpa itu, angka ketetapan hanya menjadi biaya masa lalu.
Bedakan technical risk dan operational risk
Technical risk muncul karena interpretasi pajak.
Contoh.
Klasifikasi royalti versus jasa.
Deductibility.
Transfer pricing method.
Treaty interpretation.
Operational risk muncul karena proses.
Invoice tidak masuk SPT.
Bukti potong tidak dilaporkan.
Kontrak hilang.
Data bank tidak direkonsiliasi.
Tax code salah.
Keduanya membutuhkan solusi berbeda.
Technical risk mungkin membutuhkan memo, external advice, policy.
Operational risk membutuhkan system, SOP, training, automation.
Jangan memperbaiki system problem dengan legal memo.
Jangan memperbaiki legal uncertainty hanya dengan checklist.
Root cause harus spesifik
“Human error” bukan root cause yang berguna.
Kenapa error?
User tidak dilatih?
Tax code terlalu banyak?
ERP tidak punya validation?
Approval tidak melibatkan tax?
Deadline terlalu dekat?
Owner unclear?
System interface gagal?
Policy ambiguous?
Jika root cause spesifik, control dapat dibuat.
Contoh.
Error: pembayaran vendor asing tanpa PPh 26 review.
Root cause: corporate card transaction tidak masuk AP workflow.
Remediation: corporate card feed ke tax review untuk foreign merchant.
Ini actionable.
“Staff harus lebih teliti” tidak actionable.
Masukkan issue yang dimenangkan juga
Jika pemeriksa mengusulkan koreksi tetapi perusahaan berhasil mempertahankan posisi, jangan hapus dari risk register.
Pertanyaan tetap muncul.
Mengapa?
Apakah dokumentasi cukup?
Apakah issue berulang?
Apakah evidence perlu diperkuat?
Misalnya management fee dipertahankan karena perusahaan punya deliverable kuat.
Risk tetap ada untuk tahun berikutnya.
Control yang berhasil perlu dipertahankan.
Risk register bukan hanya daftar kesalahan.
Ia juga daftar area scrutiny.
Recurring issue harus diberi prioritas
Kalau issue muncul tiap pemeriksaan, itu sinyal.
PPN reconciliation.
Management fee.
Payroll benefit.
Related-party loan.
Bad debt.
Foreign withholding.
Jangan hanya menjawab berulang.
Perbaiki process.
Risk register harus mempunyai flag recurring.
Jika recurring tiga tahun, management harus melihat.
Tax department tidak boleh sendirian menanggung.
Issue mungkin milik business process.
Masukkan future-year exposure
Pemeriksaan tahun 2023 menemukan tax code salah.
Sistem baru diperbaiki 2026.
Berarti 2024 dan 2025 mungkin punya exposure yang sama.
Risk register harus mencatat.
Jangan menunggu pemeriksaan berikutnya.
Lakukan back-test.
Quantify.
Jika perlu pembetulan sesuai ketentuan, evaluasi.
Past period remediation sering lebih penting daripada future control.
Karena risiko sudah terjadi.
Hitung nilai exposure
Risk tanpa angka sulit diprioritaskan.
Estimate.
Best case.
Expected.
Worst case.
Kalau data belum cukup, gunakan range.
Misalnya error mapping memengaruhi transaksi Rp50 sampai Rp70 miliar.
Tax exposure Rp5 sampai Rp7 miliar.
Probability medium.
Dengan angka, CFO dapat memutuskan sumber daya.
Risk Rp100 juta dan Rp100 miliar tidak mendapat prioritas sama.
Namun materiality bukan satu-satunya faktor.
Reputational dan criminal exposure tertentu dapat membutuhkan perhatian meskipun nominal lebih kecil.
Tentukan likelihood
Low.
Medium.
High.
Atau skala lain.
Basis harus jelas.
Apakah issue sudah dikoreksi?
Apakah aturan jelas?
Apakah dokumentasi kuat?
Apakah DJP sudah mempertanyakan?
Apakah terjadi berulang?
Apakah ada external opinion?
Likelihood bukan tebakan.
Ia harus berbasis fakta.
Risk register membantu provision
Tax dispute dapat memengaruhi financial reporting.
Jika perusahaan mempunyai ketetapan dan akan mengajukan keberatan atau banding, accounting perlu mengevaluasi treatment berdasarkan standar yang berlaku.
Tax team harus memberi informasi.
Issue.
Amount.
Stage.
Legal assessment.
Probability.
Expected cash flow.
Risk register dapat menjadi bridge ke tax provision process.
Jangan membuat dua spreadsheet dengan angka berbeda.
Finance dan tax harus satu source.
Pisahkan dispute status
Issue dapat berada di beberapa tahap.
Assessment.
Payment.
Objection.
Appeal.
Judicial review.
MAP.
Settlement administrasi sesuai mekanisme.
Setiap tahap punya deadline.
Risk register harus mencatat.
Jangan hanya tulis “ongoing”.
Tanggal penting.
Ketetapan.
Due date.
Keberatan.
Decision.
Banding.
Hearing.
Owner.
Advisor.
Deadline miss dapat menghilangkan hak.
Masukkan cash impact
Tax risk bukan hanya P&L.
Ada cash.
Pajak dibayar dulu?
Jaminan?
Refund?
Interest?
Penalty?
Cash forecast harus melihat.
Treasury perlu tahu.
Jika sengketa Rp100 miliar kemungkinan memerlukan pembayaran tertentu pada tanggal tertentu, risk register harus terhubung dengan liquidity planning.
Jangan membuat CFO kaget.
Pemeriksaan sudah memberi timeline.
Use it.
Masukkan process remediation
Setiap risk harus punya action.
Contoh PPN mismatch.
Action:
Build monthly reconciliation.
Owner: tax manager.
Support: accounting.
Due: Q4.
Control: automated match.
KPI: unmatched factur <0.1%.
Contoh contract missing.
Action:
Procurement gate.
Owner: procurement head.
Support: legal/tax.
Due.
Evidence.
Risk register harus mengarah ke action.
Kalau hanya description, bukan management tool.
Control owner tidak selalu tax
Ini penting.
Tax issue bisa berasal dari fungsi lain.
Payroll: HR.
Contract: legal/procurement.
Bank: treasury.
Revenue recognition: accounting.
Marketplace: e-commerce operation.
Transfer pricing function: group finance/business.
Tax manager adalah risk coordinator.
Bukan owner semua process.
Kalau semua action diberikan ke tax, remediation gagal karena tax tidak mengendalikan source system.
Assign ke orang yang punya authority.
Masukkan data quality risk
Pemeriksaan 2026 semakin berbasis data.
PMK 111 Tahun 2025 memperkuat kerangka pengawasan kepatuhan berbasis data dan informasi.
PMK 15 Tahun 2025 mengatur pemeriksaan dan data konkret.
Kalau pemeriksaan menemukan reconciliation problem, masukkan data risk.
ERP mapping.
Master data.
Integration.
Duplicate.
Missing.
Manual journal.
Tax data governance perlu menjadi area risk.
Jangan melihat data error sebagai masalah IT semata.
Ia dapat menghasilkan tax exposure.
Masukkan transfer pricing governance
Jika koreksi afiliasi muncul, jangan hanya update benchmark.
Cek.
Function.
Contract.
Pricing.
Segmented financial.
Allocation.
Service evidence.
Intercompany reconciliation.
Business change.
PMK 172 Tahun 2023 menuntut penerapan arm’s length berdasarkan actual condition.
Jadi remediation mungkin perlu mengubah pricing policy.
Bukan hanya dokumentasi.
Risk register harus menunjukkan strategic action.
Masukkan document retention
Jika perusahaan kalah karena dokumen tidak ada, itu risk.
Bukan “admin”.
Retention policy.
Archive.
Version control.
Handover.
Access.
Evidence.
Owner.
Document risk dapat bernilai besar.
Satu kontrak hilang dapat melemahkan biaya miliaran.
Karena itu, governance perlu formal.
Masukkan timeline tax audit
Pemeriksaan juga mengungkap bottleneck.
Berapa hari menemukan bank statement?
Kontrak?
Payroll?
TP data?
Jika terlalu lama, audit readiness risk.
Buat KPI.
Document retrieval time.
Reconciliation completion.
Request aging.
Issue aging.
Kecepatan bukan tujuan utama.
Tetapi slow response sering tanda data architecture lemah.
Masukkan ke improvement plan.
Lakukan post-audit workshop
Jangan hanya tax team.
Undang finance.
Accounting.
HR.
Legal.
Procurement.
Treasury.
IT.
Business sesuai issue.
Agenda:
Apa yang diperiksa?
Apa koreksi?
Apa yang berhasil?
Apa yang gagal?
Apa root cause?
Apa action?
Siapa owner?
Workshop harus menghasilkan risk register update.
Bukan hanya cerita pengalaman audit.
Keep it factual.
Lakukan annual review
Risk register perlu direview paling tidak berkala dan saat ada perubahan material.
New regulation.
New transaction.
New country.
New ERP.
New acquisition.
New tax audit.
Risk lama bisa turun.
Risk baru muncul.
Action bisa selesai.
Exposure bisa berubah.
Jangan membawa status “high” selamanya tanpa review.
Dynamic.
Risk register harus mencerminkan kondisi terkini.
Board dashboard jangan terlalu detail
Direksi tidak perlu 80 baris issue.
Ringkas.
Top tax risks.
Total exposure.
Major dispute.
Major compliance gap.
Trend.
Action overdue.
Decision needed.
Tax manager tetap punya detailed register.
Board punya executive view.
Dengan structure, tax risk menjadi bagian enterprise risk.
Bukan folder teknis.
Gunakan hasil pemeriksaan untuk memperbaiki policy
Kalau pemeriksa mempertanyakan expense tertentu dan perusahaan menyadari policy ambiguous, update.
Travel.
Reimbursement.
Intercompany.
Corporate card.
Vendor onboarding.
Contract.
Tax code.
Documentation.
Policy harus berubah dari lesson learned.
Jangan hanya kirim email “harap lebih hati-hati”.
Sistemik problem butuh systemic fix.
Setelah pemeriksaan selesai, pertanyaan terbaik bukan “berapa akhirnya?”
Pertanyaan terbaik adalah “apa yang sekarang kita tahu tentang risiko perusahaan yang sebelumnya tidak kita tahu?”
Jawabannya masuk tax risk register.
Koreksi yang diterima.
Koreksi yang dipertahankan.
Weak evidence.
Data gap.
Process failure.
Recurring issue.
Future exposure.
Dispute.
Cash.
Remediation.
Owner.
Deadline.
Pemeriksaan yang mahal tetapi tidak menghasilkan perbaikan adalah biaya dua kali.
Pembahasan yang masih berada dalam jalur isu yang sama dapat dilanjutkan ke Pemeriksaan Transaksi Afiliasi: Apa yang Harus Disiapkan di Luar TP Documentation?.
Untuk memperluas konteks pada bagian ini, lihat Closing Conference dalam Pemeriksaan: Apa Fungsi Tahap Ini bagi Wajib Pajak?.
Pertama perusahaan membayar pajak dan sanksi.
Kedua perusahaan membiarkan risiko yang sama tetap hidup.
Risk register mencegah biaya kedua.
Risk register juga harus menangkap risiko prosedural
Tidak semua risiko berasal dari salah hitung pajak.
Perusahaan bisa kehilangan posisi karena deadline.
Tanggapan SPHP terlambat.
Dokumen terlambat diserahkan.
Keberatan terlambat.
Form DGT tidak tersedia pada saat diperlukan.
Bukti pembayaran hilang.
Akses Coretax tidak siap.
Masukkan procedural risk.
Owner.
Control.
Reminder.
Backup.
Satu deadline terlewat dapat mempunyai konsekuensi yang lebih besar daripada satu formula salah.
Karena itu, kalender dan access governance adalah bagian tax risk management.
Pisahkan gross exposure dan net exposure
Gross exposure menunjukkan nilai pajak jika seluruh koreksi dipertahankan.
Net exposure memperhitungkan kemungkinan relief, kredit, atau posisi yang diperkirakan dapat dipertahankan.
Keduanya berguna.
Management perlu tahu worst case.
Finance perlu tahu expected case.
Tax perlu tahu issue-by-issue.
Jangan hanya menulis satu angka tanpa definisi.
Misalnya gross assessment Rp20 miliar.
Perusahaan setuju Rp5 miliar.
Rp15 miliar akan disengketakan.
Expected loss mungkin Rp6 miliar berdasarkan assessment internal.
Risk register harus menunjukkan lapisan tersebut.
Ini membuat cash planning lebih realistis.
Tambahkan trigger review
Risk tidak boleh dibiarkan statis sampai annual meeting.
Tentukan trigger.
Regulasi berubah.
SP2DK baru.
Pemeriksaan baru.
Putusan pengadilan relevan.
Kontrak berubah.
ERP baru.
M&A.
Restrukturisasi.
Tax manager resign.
Transaksi cross-border baru.
Begitu trigger terjadi, risk terkait direview.
Contoh.
Perusahaan mempunyai risk PPh 26 atas software license.
Kontrak vendor berubah menjadi SaaS dengan service component.
Risk treatment harus ditinjau.
Jangan menunggu akhir tahun.
Hubungkan risk register dengan internal audit
Tax dan internal audit sering bekerja terpisah.
Padahal hasil pemeriksaan pajak dapat memberi area untuk internal audit.
Contract compliance.
Vendor onboarding.
Payroll.
Bank reconciliation.
ERP mapping.
Related-party approval.
Document retention.
Jika root cause bersifat process, internal audit dapat membantu menguji apakah remediation benar-benar berjalan.
Tax team menentukan technical requirement.
Internal audit menguji control.
Kolaborasi ini membuat action tidak berhenti di policy.
Risk register menjadi penghubung.
Uji efektivitas remediation
Action “buat SOP baru” belum berarti risk selesai.
Perlu test.
Apakah SOP dipakai?
Apakah exception turun?
Apakah document retrieval membaik?
Apakah tax code error hilang?
Apakah kontrak tersedia sebelum payment?
Tetapkan evidence of closure.
Contoh.
Risk: faktur approved belum masuk SPT.
Action: automated reconciliation.
Closure test: tiga masa berturut-turut 100 persen matched atau seluruh unmatched mempunyai status terkontrol.
Baru setelah itu risk dapat diturunkan.
Jangan close hanya karena proyek IT selesai.
Perhatikan konsentrasi risiko pada satu orang
Pemeriksaan sering menunjukkan bahwa satu staf memegang terlalu banyak knowledge.
Ia tahu semua file.
Semua password.
Semua formula.
Semua contact.
Ini key-person risk.
Masukkan ke register.
Action:
Document SOP.
Cross-train backup.
Central archive.
Access matrix.
Handover.
Automation.
Key-person risk sering tidak terlihat sampai orang resign atau cuti saat pemeriksaan.
Tax governance yang matang harus mengurangi dependency.
Review risk setelah dispute selesai
Kalau keberatan atau banding menghasilkan keputusan, update risk.
Apakah interpretasi perusahaan diterima?
Apakah sebagian diterima?
Apakah ada prinsip yang harus diterapkan ke tahun lain?
Apakah policy perlu berubah?
Putusan sengketa bukan hanya kemenangan atau kekalahan.
Ia memberi informasi baru tentang risk.
Jika perusahaan menang karena bukti tertentu, pastikan bukti itu menjadi standard ke depan.
Jika kalah karena kontrak, perbaiki.
Lifecycle risk berlanjut setelah audit.
Tax risk register pada akhirnya harus menjadi alat keputusan
Jika daftar hanya dibaca tax manager, manfaatnya terbatas.
CFO harus dapat menggunakan untuk budget.
Treasury untuk cash.
Legal untuk contract.
HR untuk payroll.
Procurement untuk vendor.
IT untuk system.
Board untuk oversight.
Setiap risk harus menjawab:
Apa yang bisa salah?
Berapa nilainya?
Seberapa mungkin?
Kenapa?
Siapa owner?
Apa action?
Kapan selesai?
Bagaimana tahu sudah selesai?
Jika delapan pertanyaan itu terjawab, hasil pemeriksaan telah diubah menjadi sistem pembelajaran perusahaan.
Itulah tujuan sebenarnya.