Ketika Coretax mulai digunakan, banyak perusahaan berfokus pada satu pertanyaan.

Siapa yang bisa login?

Pertanyaan itu terlalu sederhana.

Pertanyaan yang lebih penting adalah:

Setelah login, orang ini bisa melakukan apa?

Administrasi perpajakan digital mengandung data sensitif, dokumen legal, draft SPT, informasi pembayaran, bukti potong, faktur pajak, correspondence dengan DJP, dan berbagai tindakan yang dapat mempunyai konsekuensi bagi Wajib Pajak.

Karena itu, delegasi akses Coretax harus mengikuti prinsip least privilege.

Seseorang hanya diberi akses yang memang diperlukan untuk menjalankan pekerjaannya.

Tidak lebih.

Coretax sendiri mengenal mekanisme role, impersonate, PIC, wakil, dan kuasa dalam konteks pengelolaan Wajib Pajak badan. DJP telah menjelaskan penggunaan fitur seperti “Wakil/Kuasa Saya”, assign role, dan impersonating untuk memungkinkan orang pribadi menjalankan peran pada akun badan.

PMK 44 Tahun 2026 menambah konteks penting untuk kuasa. Jika Surat Kuasa Khusus mencakup pelaksanaan hak atau kewajiban secara elektronik, Wajib Pajak memberikan persetujuan akses pada Portal Wajib Pajak kepada kuasa.

Untuk memperluas konteks pada bagian ini, lihat Kuasa untuk Pemeriksaan Pajak: Kenapa Kompetensi dan akses dokumen sama pentingnya.

Jadi, system access dan legal authority harus dibaca bersama.

Akses bukan hadiah untuk orang yang dipercaya

Kalimat yang sering terdengar:

“Kasih full access saja, dia orang lama.”

Ini bukan alasan kontrol.

Trust penting.

Tetapi access design harus berdasarkan job responsibility.

Orang paling terpercaya pun dapat salah klik.

Akun dapat disalahgunakan.

Role dapat tidak sengaja digunakan untuk entitas yang salah.

Shared credential dapat tersebar.

Least privilege mengurangi blast radius.

Jika preparer hanya perlu membuat draft, jangan otomatis beri authority yang lebih luas.

Jika reviewer hanya perlu memeriksa, atur role sesuai kebutuhan yang tersedia.

Jika konsultan hanya menangani satu perkara, jangan berikan akses tak terbatas ke seluruh data perusahaan tanpa alasan.

Role harus mengikuti task.

Mulai dari role inventory

Perusahaan perlu tahu role apa saja yang tersedia pada sistem saat ini dan fungsi masing-masing.

Jangan membuat kebijakan hanya berdasarkan istilah internal.

Mapping actual Coretax capability.

Kemudian buat daftar aktivitas perusahaan:

membuat draft SPT,
meninjau SPT,
menyampaikan,
mengakses surat,
membuat bukti potong,
mengelola faktur,
mengelola profil,
melakukan permohonan,
dan aktivitas lain yang relevan.

Untuk masing-masing, tentukan user group.

Tax preparer.

Tax reviewer.

Finance.

Payroll.

Billing.

PIC.

Director.

Kuasa.

Consultant.

Setelah itu, baru mapping ke system role.

Ini menghindari kebijakan “semua tax staff sama”.

Segregation of duties dimulai dari akses

Kalau satu orang dapat:

membuat,
mengubah,
menyetujui,
menyampaikan,
dan menghapus seluruh jejak internal,

control terlalu lemah.

Tidak semua workflow Coretax dapat dikonfigurasi persis seperti ERP internal, tetapi perusahaan bisa menambahkan kontrol di luar sistem.

Misalnya:

Preparer membuat draft.

Reviewer memeriksa working paper.

Approver memberikan sign-off internal.

Submission dilakukan oleh orang dengan authority yang sesuai.

Evidence disimpan.

Kalau system role terlalu luas secara teknis, internal procedure membatasi apa yang boleh dilakukan.

Kemampuan sistem bukan otomatis kewenangan organisasi.

Ini prinsip penting.

PIC bukan alasan memberi satu orang seluruh kendali

DJP menjelaskan PIC sebagai salah satu mekanisme untuk menjalankan peran badan dan membagi pekerjaan di Coretax.

PIC membantu operasi.

Tetapi perusahaan tetap perlu backup dan oversight.

Kalau seluruh akses terkonsentrasi pada satu PIC:

ketika cuti, proses berhenti.

ketika resign, ada risk.

ketika akun bermasalah, perusahaan kehilangan operasional.

ketika terjadi error, review sulit.

Buat primary dan backup sesuai mekanisme yang memungkinkan.

Tetapi backup juga tidak harus full access jika tidak diperlukan.

Business continuity dan least privilege harus berjalan bersama.

Impersonating harus dipahami user

Dalam Coretax, orang pribadi yang mempunyai role dapat melakukan impersonate ke akun Wajib Pajak badan untuk menjalankan fungsi tertentu.

Ini berbeda dari pola lama di mana orang masuk menggunakan credential badan bersama.

Dari governance, impersonating lebih baik karena tindakan dapat dikaitkan dengan user individu.

Perusahaan harus melatih user.

Sebelum melakukan tindakan, cek entitas.

Grup bisa mempunyai banyak NPWP.

Salah impersonate dapat membuat draft atau tindakan terjadi pada perusahaan yang salah.

Tambahkan visual checklist:

nama badan,
NPWP,
periode,
dan fungsi.

Lima detik verifikasi lebih murah daripada koreksi.

Shared credential harus dihindari

Shared password menghilangkan accountability.

Kalau satu akun dipakai delapan orang, perusahaan tidak tahu siapa melakukan tindakan.

Kalau password bocor, siapa yang harus diinvestigasi?

Kalau karyawan resign, apakah password diganti setiap kali?

Sistem modern didesain agar individu mempunyai identitas sendiri.

Perusahaan sebaiknya mengikuti itu.

Jangan membuat shortcut karena lebih mudah.

Security dan tax control mempunyai tujuan sama: traceability.

Kuasa mempunyai lifecycle akses sendiri

Ketika perusahaan menunjuk kuasa sesuai PMK 44 Tahun 2026, akses elektronik diberikan jika scope membutuhkan pelaksanaan secara elektronik.

Akses tersebut harus mengikuti masa kewenangan.

Ketika kuasa berakhir, akses juga harus berakhir sesuai ketentuan.

Buat trigger.

Surat kuasa expired.

Access review otomatis.

Kuasa dicabut.

Access revoke.

Engagement selesai.

Review.

Izin atau SKT bermasalah.

Review.

Jangan mengandalkan ingatan.

Link power-of-attorney register dengan access register.

Satu perubahan menggerakkan dua proses.

User internal juga perlu lifecycle

Joiner.

Mover.

Leaver.

Tiga event ini harus masuk Coretax access governance.

Joiner:
orang baru mendapat role setelah approval dan training.

Mover:
orang pindah fungsi, role lama ditinjau.

Leaver:
akses dicabut sebelum atau pada saat akhir kerja sesuai policy.

Mover sering dilupakan.

Tax staff pindah ke FP&A tetapi masih mempunyai akses pajak penuh selama dua tahun.

Ini privilege creep.

Quarterly access certification membantu membersihkan.

Tax manager melihat seluruh user dan mengonfirmasi role masih diperlukan.

Foreign consultant dan external user perlu expiry

Akses pihak eksternal sebaiknya mempunyai expiry date.

Jangan berikan permanent access kalau engagement enam bulan.

Jika sistem tidak menyediakan expiry otomatis untuk role tertentu, buat calendar reminder.

Contract end date masuk access register.

Setelah selesai, revoke.

Jika engagement diperpanjang, reapprove.

Ini memaksa perusahaan mengevaluasi necessity.

Tidak ada akses eksternal yang hidup karena semua orang lupa.

Role change harus punya evidence

Setiap penambahan atau pengurangan akses perlu tercatat.

Requestor.

Approver.

User.

Entitas.

Role.

Reason.

Effective date.

Expiry jika ada.

Completion evidence.

Kalau terjadi incident, perusahaan dapat merekonstruksi siapa mempunyai akses pada tanggal tertentu.

Ini sangat penting untuk internal audit.

Coretax access adalah bagian dari financial control environment.

Jangan menganggapnya hanya urusan IT.

Monitoring surat perlu backup

PMK 111 Tahun 2025 tentang pengawasan kepatuhan memungkinkan komunikasi tertentu disampaikan melalui Akun Wajib Pajak atau kanal elektronik yang diatur.

Artinya, akses untuk membaca komunikasi resmi sangat penting.

Jangan hanya satu orang yang bertugas memonitor.

Buat mailbox or monitoring control.

Harian atau dengan frekuensi yang sesuai risk.

Surat baru masuk.

Dicatat.

Owner ditentukan.

Deadline dihitung.

Evidence disimpan.

Kalau PIC cuti, backup tetap memonitor.

Least privilege tidak berarti membuat perusahaan buta.

Access design harus menjaga both control dan continuity.

Logging perlu ditinjau ketika ada anomali

Kalau sistem menyediakan jejak aktivitas yang relevan, perusahaan sebaiknya menggunakannya saat terjadi insiden.

Contoh:

SPT berubah setelah review.

Akses user tidak dikenal.

Data profil berubah.

Dokumen dikirim pada waktu tidak biasa.

Role ditambahkan tanpa request.

Investigasi harus melihat system evidence dan internal approval.

Tidak perlu memonitor setiap klik setiap hari.

Gunakan risk-based review.

Audit trail menjadi penting ketika ada exception.

Akses harus dibedakan dari approval

Seseorang bisa secara teknis mampu submit.

Tetapi secara internal belum mendapat approval.

Perusahaan harus mendokumentasikan bahwa authority organisasi berasal dari approval matrix, bukan dari kemampuan button di system.

Contoh:

Tax manager mempunyai akses submission untuk alasan operasional.

Namun SPT Tahunan di atas materiality tertentu membutuhkan CFO sign-off sebelum submit.

Buat workflow internal.

Working paper.

Review.

Approval.

Submission.

Archive.

Kalau nanti ditanya siapa menyetujui posisi, perusahaan tidak hanya menjawab “user X yang klik submit”.

Klik bukan governance.

Delegation matrix harus per entitas

Grup perusahaan bisa memakai satu tim pusat.

Role satu orang pada PT A belum tentu sama pada PT B.

PT A mungkin operasi aktif.

PT B dormant.

PT C sedang diperiksa.

PT D menggunakan konsultan.

Access matrix harus per NPWP.

Jangan copy role seluruh grup hanya agar setup cepat.

Semakin banyak entitas, semakin besar risiko salah badan.

Gunakan group dashboard:

user,
entity,
role,
status,
last review,
expiry,
dan business justification.

Identifikasi toxic access combination

Ada kombinasi akses yang secara governance terlalu kuat.

Misalnya user dapat mengubah master data penting, membuat transaksi, dan menyelesaikan reporting tanpa review.

Atau orang yang menyiapkan payroll juga satu-satunya reviewer PPh 21.

Atau external consultant mempunyai akses ke semua entitas walaupun hanya menangani satu.

Perusahaan perlu menilai toxic combination.

Tidak semua harus diselesaikan melalui system configuration.

Compensating control dapat digunakan.

Independent review.

Monthly audit.

Approval.

Exception report.

Tetapi risk harus diketahui.

Jangan biarkan karena “sistem memang begitu”.

Access review harus melihat real use

Kadang role terlihat perlu, tetapi tidak pernah digunakan.

Kalau user tidak menggunakan akses setahun, tanyakan apakah masih dibutuhkan.

Dormant privilege adalah risk.

Sebaliknya, jika satu user mempunyai volume aktivitas sangat tinggi karena semua orang bergantung kepadanya, itu business continuity issue.

Analytics access dapat memberi insight.

Least privilege bukan hanya security.

Ia juga membantu melihat design proses.

Akses yang sehat membuat accountability terlihat

Tujuan akhir bukan membuat semua orang sulit bekerja.

Tujuan akhirnya tepat.

Orang yang tepat.

Entitas yang tepat.

Role yang tepat.

Waktu yang tepat.

Scope yang tepat.

Kuasa dengan Surat Kuasa Khusus mendapat access sesuai kewenangan.

Tax staff mendapat access sesuai pekerjaan.

PIC tidak menjadi single point of failure.

User resign dicabut.

Role change terdokumentasi.

Submission mempunyai approval.

Communication dimonitor.

Dengan struktur seperti ini, Coretax menjadi sistem yang mendukung governance.

Bukan sekadar portal tempat semua orang diberi full access supaya pekerjaan cepat.

Kecepatan tanpa kontrol mungkin terasa efisien sampai satu tindakan salah dilakukan pada NPWP yang salah.

Least privilege membuat kesalahan lebih kecil, audit trail lebih jelas, dan perusahaan lebih siap menjelaskan siapa melakukan apa.