Satu tax staff menerima data.

Ia menghitung pajak.

Ia membuat jurnal.

Ia membuat billing.

Ia menyiapkan SPT.

Ia memeriksa sendiri.

Ia submit.

Ia menyimpan bukti.

Secara operasional terlihat efisien.

Secara kontrol, terlalu banyak kekuasaan berada pada satu orang.

Segregation of Duties atau SoD adalah prinsip memisahkan aktivitas yang tidak seharusnya dikendalikan penuh oleh satu individu tanpa review independen.

Dalam administrasi pajak, konsep ini semakin penting karena Coretax menyatukan banyak proses digital. Kesalahan tidak lagi hanya terjadi di spreadsheet. Satu user dapat memengaruhi dokumen, filing, akses, atau informasi resmi perusahaan.

Untuk memperluas konteks pada bagian ini, lihat Akun Coretax dan Delegasi Akses: Jangan Beri Hak Lebih Luas dari yang Dibutuhkan.

PMK 44 Tahun 2026 juga memperjelas konteks kuasa dan akses elektronik. Sementara PMK 111 Tahun 2025 menegaskan pentingnya pengawasan kepatuhan dan komunikasi melalui kanal resmi.

Perusahaan membutuhkan desain siapa membuat, siapa memeriksa, siapa menyetujui, dan siapa melakukan tindakan final.

SoD bukan berarti semua pekerjaan harus dikerjakan empat orang.

Ia berarti tidak ada risiko material yang sepenuhnya bergantung pada satu orang tanpa compensating control.

Mulai dari maker, checker, approver

Model paling sederhana mempunyai tiga peran.

Maker menyiapkan.

Checker memeriksa.

Approver menyetujui.

Dalam praktik, submitter dapat sama dengan salah satu role jika governance mengizinkan, tetapi internal approval tetap harus jelas.

Contoh SPT Masa:

Maker menarik data dan membuat computation.

Checker memeriksa rekonsiliasi serta exception.

Approver menyetujui kewajiban berdasarkan materiality.

Authorized user melakukan submission.

Evidence disimpan.

Untuk kewajiban kecil, checker dan approver mungkin satu orang.

Untuk kewajiban material, perlu layer berbeda.

Desain mengikuti ukuran perusahaan.

Bukan copy-paste dari perusahaan besar.

Pemisahan paling penting adalah preparation dan approval

Orang yang membuat computation mempunyai bias alami terhadap pekerjaannya sendiri.

Bukan karena tidak jujur.

Otak manusia cenderung tidak melihat kesalahan yang dibuat sendiri.

Independent review meningkatkan peluang error ditemukan.

Untuk SPT Tahunan, separation harus lebih kuat.

Tax preparer membuat fiscal reconciliation.

Tax manager review.

Finance controller memastikan tie to financial statements.

CFO atau pihak yang berwenang memberi sign-off untuk posisi material sesuai policy.

Submission dilakukan setelah approval.

Kalau preparer bisa langsung submit tanpa review, kontrol lemah.

Jangan samakan system access dengan approval right

Coretax mungkin memberi user kemampuan teknis melakukan tindakan tertentu.

Itu tidak berarti perusahaan memberi authority internal.

Capability dan authority berbeda.

Buat policy tertulis.

Misalnya tax manager technically dapat submit SPT.

Tetapi SPT Tahunan hanya boleh disubmit setelah CFO sign-off.

Evidence approval disimpan.

Kalau audit trail hanya menunjukkan siapa klik tombol, internal evidence menunjukkan siapa memutuskan.

Ini penting karena keputusan pajak adalah keputusan perusahaan.

Bukan sekadar tindakan user.

Pisahkan master data dari transaction processing

Vendor tax master dan customer tax master memengaruhi ribuan transaksi.

Kalau orang yang memproses invoice juga bebas mengubah tax classification di master tanpa review, ia bisa “memperbaiki” transaksi dengan mengubah rule.

Lebih sehat:

Master data team membuat perubahan.

Tax menentukan atau approve tax field tertentu.

AP atau AR memakai master.

Exception ditinjau.

Perubahan material meninggalkan audit trail.

Tidak harus semua field dikunci.

Fokus pada field kritikal.

NPWP.

Status PKP.

Tax code.

Related party.

Foreign status.

Treaty status.

Exemption atau facility.

Field yang mengubah tax outcome perlu kontrol lebih tinggi.

Pembayaran pajak harus dipisahkan dari computation

Tax staff menghitung kewajiban.

Treasury membayar.

Ini separation natural.

Tax membuat payment instruction dengan basis computation.

Reviewer menyetujui.

Treasury mengeksekusi.

Bank authorization mengikuti policy.

Setelah bayar, tax merekonsiliasi bukti penerimaan negara.

Kalau satu orang dapat menghitung dan mentransfer dana perusahaan tanpa review, risk meningkat.

Bukan hanya tax error.

Ada fraud risk.

SoD pajak harus terhubung ke treasury control.

Bukti potong juga perlu checker

Volume withholding dapat besar.

Tax engine menghasilkan data.

Tetapi company perlu exception review.

Vendor baru.

Tax code berubah.

Payment luar negeri.

Related party.

High-value transaction.

Manual override.

Checker tidak perlu membuka semua transaksi jika sistem dan master data kuat.

Gunakan risk-based sample dan exception.

SoD bukan berarti review 100 persen selalu.

Tujuan review adalah menemukan error yang automation tidak tangkap.

PPN membutuhkan separation antara billing dan tax review

Sales atau billing membuat invoice.

System menghasilkan faktur pajak berdasarkan data.

Tax merekonsiliasi output.

Kalau sales dapat mengubah tax rule sesuka hati, risiko tinggi.

Sales boleh mengajukan tax exception.

Tax approve.

Contoh:

customer meminta fasilitas tertentu.

Sales tidak boleh langsung memilih zero tax code hanya supaya invoice cepat.

Supporting document harus dicek.

Pihak yang mengejar revenue dan pihak yang menentukan tax treatment mempunyai objective berbeda.

Separation melindungi keduanya.

Payroll membutuhkan HR, payroll, dan tax

PPh 21 adalah area lintas fungsi.

HR memiliki employee data.

Payroll menghitung remuneration.

Tax menentukan treatment dan reconciliation.

Finance mencatat.

Payment dieksekusi.

Kalau seluruh proses berada pada satu orang, error employee master dapat tidak terdeteksi.

Model yang sehat:

HR approve employee event.

Payroll process.

Tax review tax treatment dan reconciliation.

Finance reconcile GL.

Authorized user file.

Tidak semua perusahaan punya empat tim.

Kalau tim kecil, owner dapat digabung dengan compensating review oleh finance manager atau external adviser.

External consultant bukan otomatis checker

Perusahaan kadang merasa SoD sudah terpenuhi karena SPT dibuat konsultan.

Belum tentu.

Kalau konsultan membuat dan submit tanpa internal review, perusahaan tetap mempunyai dependency.

Wajib Pajak tetap bertanggung jawab atas kewajibannya meskipun menunjuk kuasa sesuai PMK 44 Tahun 2026.

Jadi internal owner harus review.

Minimal:

data completeness,
material assumption,
tax position,
dan final amount.

Konsultan bisa menjadi maker atau specialist checker.

Management tetap menjadi approver untuk keputusan material.

Jangan outsourcing responsibility.

Kuasa dan preparer bisa berbeda

Seseorang yang menjadi kuasa belum tentu orang yang menyiapkan seluruh computation.

Contoh pemeriksaan:

Internal tax team menyiapkan evidence.

External consultant menjadi kuasa.

Finance controller memvalidasi angka.

Director approve posisi material.

Kuasa menyampaikan.

Role ini sehat karena fungsi terpisah.

Kuasa membawa authority.

Internal team membawa fakta.

Management membawa decision.

Jangan memaksa kuasa menjadi data owner.

Coretax access harus mendukung SoD

Buat access matrix.

User.

Entity.

Role.

Allowed activity.

Internal authority.

Approver.

Expiry.

Review date.

Kalau system role memungkinkan tindakan yang lebih luas daripada policy, catat compensating control.

Misalnya user technically bisa submit, tetapi policy melarang sebelum approval.

Monthly review dapat memeriksa submission evidence terhadap approval.

Kalau mismatch, exception.

System design tidak selalu sempurna.

Governance menutup gap.

SoD untuk surat masuk juga penting

Komunikasi dari DJP dapat mempunyai deadline.

Kalau satu orang menerima dan memutuskan sendiri apakah surat penting, risk tinggi.

Buat mail control.

Surat diterima.

Dicatat.

Owner ditentukan.

Tax manager review.

Deadline dihitung.

Material issue di-escalate.

Backup memonitor.

Orang yang membuka surat tidak harus orang yang memutuskan respons.

Ini separation sederhana tetapi penting.

Access administration harus independen

Siapa yang boleh memberikan role Coretax?

Kalau user dapat memberi dirinya sendiri akses tanpa approval, kontrol rusak.

Access request harus mempunyai approver.

Perubahan role dicatat.

Periodic certification dilakukan oleh tax manager atau control owner.

Leaver access dicabut.

Kalau teknis perubahan dilakukan oleh PIC, approval tetap datang dari pihak yang ditentukan.

Administrator bukan pemilik authority.

Ia hanya mengeksekusi access decision.

Manual journal tax perlu review

Tax closing sering menghasilkan manual journal.

Tax payable.

Deferred tax.

Provision.

Reclassification.

Correction.

Orang yang menghitung adjustment dapat menyiapkan journal.

Tetapi reviewer harus memeriksa amount dan account.

Posting mengikuti finance authority.

Jangan biarkan tax spreadsheet langsung menjadi GL journal tanpa review.

Manual journal adalah area audit klasik karena bisa mengubah financial statements.

Tax control dan financial control harus terhubung.

Refund dan restitution membutuhkan kontrol lebih kuat

Ketika perusahaan meminta pengembalian pajak, nilai cash bisa besar.

Preparation.

Evidence.

Application.

Bank detail.

Correspondence.

Receipt.

Semua perlu governance.

Bank account untuk refund tidak boleh diubah oleh orang yang sama yang mengajukan tanpa independent validation.

Permohonan material perlu management approval.

Dokumen harus direview.

Jika kuasa eksternal menangani, internal owner tetap memonitor.

SoD membantu mencegah error dan fraud.

Corporate action membutuhkan special approval

Merger.

Dividend.

Capital reduction.

Share swap.

Liquidation.

Large asset sale.

Tax treatment dapat bernilai besar dan jarang terjadi.

Routine SoD tidak cukup.

Buat transaction-specific governance.

Business owner.

Legal.

Tax.

Finance.

CFO.

Director.

External adviser jika perlu.

Setiap pihak mempunyai fungsi.

Tax memberi technical recommendation.

Management approve.

Legal memastikan struktur.

Finance menghitung cash effect.

Tidak ada satu fungsi yang mengendalikan seluruh transaction narrative.

Tim kecil tetap bisa melakukan SoD

UMKM atau perusahaan kecil tidak punya cukup orang untuk maker, checker, approver terpisah pada setiap proses.

Gunakan compensating controls.

Owner review monthly.

External accountant review.

Quarterly independent tax review.

Bank dual authorization.

System access log.

Exception report.

Random sample.

Management sign-off.

Tidak ideal memaksakan struktur korporasi besar.

Yang penting risk tidak tanpa review.

Kalau hanya satu tax staff, CFO dapat menjadi approver.

Finance manager dapat review reconciliation.

External adviser dapat melakukan periodic health check.

SoD adalah prinsip, bukan jumlah kepala.

Buat conflict matrix

Perusahaan dapat membuat tabel aktivitas.

Create vendor tax master.

Process invoice.

Change tax code.

Prepare tax return.

Approve tax return.

Submit.

Create tax payment.

Approve payment.

Manage access.

Review access.

Receive official correspondence.

Respond.

Lalu tandai combination yang tidak boleh dimiliki satu orang.

Contoh toxic:

manage access + approve own access.

prepare SPT + final approve tanpa review.

create vendor + change bank + process payment.

prepare refund + change bank account + approve.

Conflict matrix membuat SoD terukur.

Tidak hanya slogan.

Review SoD ketika organisasi berubah

Reorganisasi dapat merusak pemisahan tugas.

Dua tim digabung.

Orang resign.

Shared service dibentuk.

ERP baru.

Tax engine diimplementasikan.

Coretax role berubah.

Setiap perubahan struktur harus memicu SoD review.

Jangan menganggap matrix lima tahun lalu masih berlaku.

Kalau checker resign, siapa menggantikan?

Kalau temporary backup menjadi permanen, access harus diperbarui.

Role creep adalah risiko nyata.

KPI tidak boleh mendorong bypass

Kalau tax team dinilai hanya dari speed, mereka mungkin melewati review.

Kalau finance dinilai hanya dari close cepat, tax reconciliation bisa dipaksa selesai.

Control culture perlu seimbang.

On-time.

Accurate.

Reviewed.

Exception resolved.

Semua penting.

Deadline internal harus memberi ruang untuk SoD.

Kalau preparer selesai lima menit sebelum statutory deadline, reviewer hanya punya dua pilihan: submit tanpa review atau terlambat.

Masalahnya bukan reviewer.

Masalahnya calendar.

SoD yang baik terlihat dari audit trail

Untuk transaksi atau filing material, perusahaan harus bisa menunjukkan:

siapa menyiapkan,
siapa memeriksa,
siapa menyetujui,
siapa submit,
kapan,
dan bukti apa.

Kalau semua role menunjuk orang yang sama, tanyakan apakah risk memang kecil atau control belum dirancang.

Kadang satu orang masih boleh memegang beberapa tahap.

Tetapi harus intentional.

Ada rationale.

Ada compensating control.

Tidak karena “dari dulu begini”.

Pemisahan tugas membuat pajak lebih tahan terhadap kesalahan manusia

Tidak ada tim yang bebas error.

SoD menerima kenyataan itu.

Maker bisa salah.

Checker menangkap.

Checker bisa salah.

Approver melihat materiality.

System bisa salah.

Reconciliation menemukan.

User bisa resign.

Backup mengambil alih.

Kuasa bisa berganti.

Case file tetap hidup.

Itulah nilai sebenarnya.

Segregation of Duties bukan membuat proses lambat.

Ia membuat perusahaan tidak bergantung pada satu orang untuk seluruh kebenaran pajak.

Siapa membuat harus jelas.

Siapa memeriksa harus jelas.

Siapa menyetujui harus jelas.

Siapa melaporkan harus jelas.

Dan ketika sistem memberikan kemampuan yang lebih luas, governance internal tetap menentukan apa yang boleh dilakukan.

Administrasi pajak yang matang bukan yang paling banyak orangnya.

Ia adalah yang mempunyai pembagian kewenangan cukup kuat sehingga satu kesalahan tidak langsung menjadi kesalahan perusahaan yang tidak terdeteksi.