Banyak perusahaan baru membicarakan risiko pajak ketika masalahnya sudah muncul.

Ada surat dari kantor pajak. Ada selisih data yang tidak bisa dijelaskan. Ada faktur pajak yang ternyata salah. Ada transaksi afiliasi yang nilainya material tetapi dokumentasinya lemah. Ada kontrak baru yang sudah berjalan berbulan-bulan sebelum tax team melihatnya.

Pada titik itu, pajak menjadi pekerjaan reaktif.

Tax risk register dibuat untuk membalik pola tersebut.

Dokumen ini bukan daftar seluruh pasal pajak yang berlaku. Ia juga bukan checklist kepatuhan yang hanya berisi tanggal setor dan lapor. Tax risk register adalah peta tentang transaksi, proses, dan posisi pajak mana yang dapat menimbulkan eksposur material bagi perusahaan, siapa pemilik risikonya, bagaimana kontrolnya, dan kapan risiko tersebut harus ditinjau ulang.

Pembahasan yang masih berada dalam jalur isu yang sama dapat dilanjutkan ke Tax Control Framework: Bagaimana Perusahaan Membuktikan Proses Pajaknya Terkendali?.

Per 2026, pendekatan seperti ini semakin relevan. PMK 111 Tahun 2025 tentang Pengawasan Kepatuhan Wajib Pajak berlaku sejak 1 Januari 2026. Regulasi tersebut menegaskan bahwa pengawasan DJP mencakup penelitian atas kewajiban yang akan dilaksanakan, belum dilaksanakan, maupun sudah dilaksanakan. DJP juga dapat meminta penjelasan atas data dan keterangan, melakukan pembahasan, kunjungan, menyampaikan imbauan atau teguran, serta meminta dokumen penentuan harga transfer sesuai ketentuan.

Artinya, perusahaan tidak cukup hanya memastikan SPT terkirim. Perusahaan harus mampu menjelaskan mengapa angka di SPT masuk akal dan bagaimana transaksi yang mendasarinya dikendalikan.

Tax risk register memulai percakapan sebelum surat datang

Bayangkan rapat bulanan CFO.

Tax manager menyampaikan satu halaman.

Risiko pertama: terdapat lonjakan pembelian jasa dari perusahaan afiliasi luar negeri. Nilai Rp25 miliar. Kontrak tersedia, tetapi bukti manfaat jasa masih tersebar di email regional. Risiko dinilai tinggi.

Risiko kedua: tiga cabang baru menggunakan vendor lokal yang tax master-nya belum lengkap. Ada kemungkinan salah pemotongan PPh dan kesalahan data faktur. Risiko menengah.

Risiko ketiga: perusahaan akan menjual satu gudang pada kuartal berikutnya. Tax impact belum dihitung. Risiko saat ini menengah tetapi dapat menjadi tinggi ketika transaksi masuk tahap SPA.

Dalam lima menit, CFO mengerti bahwa pajak bukan sekadar “bulan ini sudah lapor”.

Ia melihat risiko masa depan, nilai yang terpapar, dan tindakan yang harus dilakukan.

Itulah fungsi register yang baik.

Mulai dari proses bisnis, bukan jenis pajak

Tax risk register yang dibangun berdasarkan jenis pajak saja sering menjadi terlalu administratif.

PPh 21.
PPh 23.
PPN.
PPh badan.
Transfer pricing.

Daftar itu penting, tetapi belum menggambarkan bagaimana risiko muncul.

Lebih berguna jika perusahaan memetakan proses bisnis.

Revenue dan billing.

Procurement dan vendor.

Payroll.

Fixed asset.

Treasury.

Intercompany transaction.

Import dan export.

Corporate action.

Property.

Digital transaction.

Tax filing dan payment.

Setiap proses kemudian dikaitkan dengan jenis pajak yang relevan.

Contohnya, procurement dapat menyentuh PPh 23, PPh 4 ayat 2, PPN, PPh 26, treaty, serta transfer pricing. Dengan pendekatan proses, owner operasional lebih mudah memahami mengapa mereka terlibat.

Tax risk register bukan milik tax department sendirian.

Risk owner bisa berada di procurement, finance, HR, legal, sales, treasury, atau operations.

Risiko harus ditulis sebagai kejadian, bukan sebagai topik

Kalimat “risiko PPN” terlalu umum.

Kalimat yang lebih berguna adalah:

“Faktur pajak masukan dari vendor proyek dapat tidak dapat dikreditkan atau memerlukan koreksi karena data transaksi, waktu penerbitan, dan dokumen penerimaan barang tidak konsisten.”

Atau:

“Management fee ke afiliasi luar negeri berisiko dikoreksi karena bukti manfaat jasa dan metode alokasi biaya belum lengkap.”

Atau:

“Penjualan aset tanah berisiko menghasilkan tax cost di atas budget karena valuation dan pajak daerah belum masuk financial model.”

Risk statement yang baik menjawab tiga hal.

Apa yang bisa salah?

Mengapa bisa salah?

Apa akibatnya?

Dengan format itu, manajemen dapat membedakan risiko operasional kecil dari risiko yang dapat mengubah laba setelah pajak atau menimbulkan sengketa besar.

Nilai risiko jangan hanya berdasarkan nominal pajak

Dua risiko dengan potensi pajak Rp1 miliar belum tentu sama.

Satu mungkin mempunyai dasar hukum jelas dan dokumen lengkap.

Satu lagi mungkin merupakan interpretasi agresif tanpa bukti kuat.

Karena itu, scoring perlu melihat beberapa dimensi.

Nilai finansial.

Probabilitas koreksi.

Kekuatan dokumentasi.

Kompleksitas hukum.

Frekuensi transaksi.

Dampak terhadap cash flow.

Dampak terhadap reputasi.

Kemungkinan memicu pemeriksaan area lain.

Dampak terhadap izin atau operasi.

Perusahaan tidak harus membuat model matematis rumit.

Skala rendah, menengah, tinggi dapat bekerja jika definisinya jelas.

Yang penting, semua tim menggunakan standar yang sama.

Gross exposure dan residual exposure perlu dipisahkan

Sebuah risiko dapat terlihat besar sebelum kontrol diterapkan.

Misalnya perusahaan mempunyai transaksi impor bernilai Rp500 miliar. Secara gross, nilai transaksi besar. Tetapi customs classification, dokumen impor, valuation, dan tax reconciliation mungkin sangat kuat.

Residual risk setelah kontrol bisa lebih rendah.

Sebaliknya, transaksi Rp10 miliar dengan pihak afiliasi baru dapat mempunyai residual risk tinggi jika tidak ada kontrak dan benefit test.

Tax risk register harus menunjukkan efek kontrol.

Kolomnya bisa sederhana:

risiko,
nilai eksposur,
likelihood,
existing control,
control owner,
residual risk,
action plan,
target date,
status.

Jika setelah tindakan risiko tetap tinggi, manajemen tahu bahwa masalahnya bukan sekadar kurang dokumen. Mungkin posisi transaksi memang perlu diubah.

PMK 111 Tahun 2025 membuat kualitas respons semakin penting

Dalam pengawasan kepatuhan, DJP dapat menerbitkan surat permintaan penjelasan atas data dan atau keterangan.

PMK 111 Tahun 2025 mengatur bahwa Wajib Pajak memberikan tanggapan paling lama 14 hari sejak peristiwa yang menjadi dasar penghitungan jangka waktu sesuai cara penyampaian surat.

Empat belas hari adalah waktu singkat jika perusahaan baru mulai mencari dokumen setelah surat diterima.

Tax risk register membantu karena risiko material sudah mempunyai evidence owner.

Untuk setiap high-risk item, perusahaan sebaiknya tahu:

kontrak ada di mana,
general ledger account apa,
siapa business owner,
rekonsiliasi apa yang tersedia,
memo posisi pajak mana yang digunakan,
dan siapa yang dapat menjelaskan transaksi.

Dengan begitu, respons tidak dimulai dari nol.

Register yang baik sebenarnya adalah indeks ke bukti.

Masukkan perubahan regulasi sebagai trigger

Risiko pajak tidak selalu muncul karena perusahaan melakukan transaksi baru.

Kadang aturan yang berubah membuat proses lama menjadi tidak memadai.

Contohnya, Coretax mengubah banyak aspek administrasi pajak sejak 2025. PMK 1 Tahun 2026 kembali mengubah PMK 81 Tahun 2024. PMK 111 Tahun 2025 membawa kerangka pengawasan yang berlaku mulai 2026.

Tax risk register perlu mempunyai regulatory change trigger.

Jika ada peraturan baru, tim tidak hanya menyimpan PDF.

Tanyakan:

proses mana yang terdampak,
SOP mana yang harus diubah,
master data apa yang harus diperbarui,
kontrak apa yang perlu ditinjau,
sistem apa yang perlu disesuaikan,
dan kapan effective date-nya.

Perubahan regulasi baru dianggap selesai jika dampak operasionalnya sudah ditutup.

Bukan ketika circular internal sudah dikirim.

Masukkan transaksi yang belum terjadi

Salah satu nilai terbesar tax risk register adalah forward-looking.

Transaksi yang belum terjadi justru sering masih bisa diperbaiki.

Akuisisi.

Divestasi.

Merger.

Pembiayaan baru.

Shareholder loan.

Implementasi ERP.

Pembangunan pabrik.

Masuk marketplace.

Pembayaran royalty.

Penerbitan obligasi.

Ekspansi luar negeri.

Jika transaksi masuk register pada tahap perencanaan, tax team mempunyai waktu untuk menilai kontrak dan struktur.

Kalau baru masuk setelah invoice diterbitkan, opsi sudah sempit.

Karena itu, register sebaiknya dibahas bersama capex plan dan corporate action pipeline.

CFO tidak perlu membaca semua pasal

Tax risk register bukan laporan teknis untuk memamerkan kedalaman analisis pajak.

CFO membutuhkan keputusan.

Setiap risiko utama sebaiknya dapat diringkas menjadi:

apa masalahnya,
berapa eksposurnya,
seberapa kuat posisi perusahaan,
apa tindakan yang diperlukan,
siapa pemiliknya,
kapan selesai,
dan apa yang terjadi jika tidak dilakukan.

Memo hukum lengkap tetap disimpan di belakang.

Board tidak perlu membaca tiga puluh halaman untuk memahami satu keputusan.

Ini adalah perbedaan antara tax knowledge dan tax governance.

Satu tax risk bisa mempunyai lebih dari satu owner

Misalnya customer master salah mencatat status PKP.

Sales membuat customer.

Master data team memasukkan profil.

Billing menerbitkan invoice.

Tax engine menentukan treatment.

Tax team merekonsiliasi.

Kalau masalah terjadi, tidak realistis menyebut “tax department” sebagai satu-satunya owner.

Register dapat membedakan risk owner dan control owner.

Risk owner adalah pihak yang bertanggung jawab terhadap proses bisnis.

Control owner adalah pihak yang menjalankan kontrol tertentu.

Tax dapat menjadi subject matter owner.

Pembagian ini membuat perbaikan lebih efektif daripada hanya meminta tax staff lebih teliti.

Hubungkan register dengan tax closing bulanan

Register tidak boleh menjadi file tahunan yang dibuka sebelum audit.

Setiap closing dapat menghasilkan sinyal baru.

Lonjakan effective tax rate.

PPN masukan besar yang belum dikreditkan.

Withholding yang tidak sesuai ledger.

Saldo tax payable lama.

Intercompany account yang membesar.

Aset dijual tanpa tax review.

Vendor asing baru.

Semua anomaly material dapat masuk register.

Sebaliknya, risiko yang sudah ditutup bisa diturunkan statusnya setelah bukti cukup.

Dengan cara itu, register hidup mengikuti bisnis.

Jangan masukkan seratus risiko dengan bobot sama

Register yang terlalu panjang kehilangan fungsi.

Jika semua hal dianggap high risk, tidak ada yang benar-benar prioritas.

Perusahaan dapat memakai tiga layer.

Layer pertama berisi top tax risks yang perlu dilihat CFO.

Layer kedua berisi operational tax risks yang dimonitor tax manager.

Layer ketiga berisi routine compliance control yang dikelola melalui checklist dan SOP.

Tidak semua keterlambatan dokumen perlu naik ke CFO.

Tetapi transaksi afiliasi Rp500 miliar tanpa dokumentasi jelas seharusnya tidak tenggelam di baris ke-87.

Tax risk register mengubah budaya pertanyaan

Tanpa register, pertanyaan manajemen sering seperti ini:

“SPT sudah dilaporkan?”

Dengan register, pertanyaannya berubah:

“Apa tiga risiko pajak terbesar bulan ini?”

“Mana yang meningkat sejak bulan lalu?”

“Apa exposure yang belum mempunyai kontrol?”

“Transaksi apa yang harus masuk tax review sebelum kontrak ditandatangani?”

Perubahan pertanyaan itu penting.

Pajak tidak lagi dinilai hanya dari apakah deadline terlewati.

Ia dinilai dari apakah perusahaan memahami risiko sebelum risiko berubah menjadi koreksi.

Dalam sistem self assessment, perusahaan memang menghitung dan melaporkan kewajibannya sendiri. PMK 111 Tahun 2025 menunjukkan bahwa DJP juga mempunyai kerangka pengawasan atas kepatuhan yang sudah, belum, dan akan dilaksanakan.

Maka tax governance yang matang harus mempunyai ingatan institusional.

Tax risk register adalah salah satu bentuk paling sederhana dari ingatan tersebut.

Ia mencatat apa yang berisiko, mengapa, siapa yang bertanggung jawab, bukti apa yang tersedia, dan apa yang harus dilakukan berikutnya.

Kalau dokumen itu benar-benar dipakai dalam rapat, pajak berhenti menjadi pekerjaan akhir bulan.

Ia menjadi bagian dari keputusan perusahaan.