Perusahaan dapat mempunyai tax manager yang berpengalaman, konsultan yang bagus, dan software yang mahal.

Tetapi ketika ditanya, “Bagaimana Anda tahu bahwa angka pajak yang dilaporkan benar?”, jawaban yang sering muncul masih seperti ini:

“Tim kami sudah review.”

Review oleh siapa?

Review apa?

Berdasarkan data dari mana?

Kalau ada perubahan kontrak, siapa yang memberi tahu tax?

Kalau reviewer cuti, siapa yang menggantikan?

Apa bukti bahwa kontrol benar-benar dilakukan?

Tax Control Framework, atau TCF, mencoba menjawab pertanyaan tersebut secara sistematis.

TCF bukan satu formulir yang diwajibkan untuk semua Wajib Pajak Indonesia dengan format tunggal. Ia adalah kerangka governance internal untuk memastikan risiko pajak diidentifikasi, data yang dipakai dapat dipercaya, keputusan mempunyai otorisasi, kontrol berjalan, dan posisi pajak dapat dijelaskan.

Dalam lingkungan pajak 2026, kebutuhan ini semakin nyata. Coretax memperluas integrasi administrasi perpajakan. PMK 111 Tahun 2025 mengatur pengawasan kepatuhan secara lebih terstruktur dan memungkinkan DJP meminta penjelasan atas data dan keterangan, melakukan pembahasan, kunjungan, imbauan, teguran, serta meminta dokumen penentuan harga transfer sesuai aturan.

Perusahaan yang hanya bergantung pada review akhir bulan akan kesulitan ketika harus menjelaskan proses dari transaksi sampai SPT.

TCF dimulai dari satu pertanyaan: siapa yang bertanggung jawab?

Struktur paling sederhana mempunyai tiga lapisan.

Business process owner menghasilkan transaksi.

Finance dan tax control mengklasifikasi serta menguji.

Management memberikan oversight dan approval untuk area material.

Misalnya vendor baru.

Procurement memilih vendor.

Master data team memasukkan identitas.

AP memproses invoice.

Tax engine atau tax staff menentukan withholding dan PPN.

Reviewer memeriksa exception.

Controller melihat rekonsiliasi.

Tax manager menilai transaksi material atau tidak biasa.

Kalau salah potong, perusahaan dapat menelusuri di titik mana kontrol gagal.

Tanpa framework, jawaban yang muncul hanya “human error”.

Human error bukan root cause.

Mungkin field tax code tidak wajib.

Mungkin master data tidak mempunyai validation.

Mungkin SOP tidak menentukan reviewer.

Mungkin transaksi baru tidak pernah masuk tax review.

TCF mencari penyebab sistemik.

Control objective harus jelas

Setiap kontrol perlu menjawab apa yang ingin dicegah atau dideteksi.

Contoh control objective:

Seluruh pembayaran jasa kepada vendor diklasifikasikan untuk withholding secara benar.

Seluruh faktur keluaran mencerminkan data customer dan transaksi yang valid.

Seluruh pembayaran lintas negara direview sebelum settlement.

Seluruh transaksi afiliasi material teridentifikasi dan masuk dokumentasi transfer pricing.

Seluruh SPT dapat direkonsiliasi ke general ledger.

Seluruh komunikasi resmi DJP diterima dan ditindaklanjuti tepat waktu.

Kalau objective jelas, perusahaan baru bisa menilai apakah kontrol yang dipilih efektif.

“Tax review setiap bulan” terlalu umum.

Review apa?

Atas populasi apa?

Dengan threshold berapa?

Bukti review apa?

Siapa approver?

Kapan dilakukan?

TCF memaksa jawaban lebih konkret.

Preventive control lebih murah daripada detective control

Ada dua tipe kontrol yang perlu dibedakan.

Preventive control mencegah kesalahan sebelum transaksi terjadi.

Contoh:
vendor tax profile wajib lengkap sebelum PO aktif.

Pembayaran luar negeri di atas threshold tertentu tidak dapat dieksekusi tanpa tax clearance.

Contract template mempunyai tax clause standar.

Customer tidak dapat diinvoice jika master data pajaknya belum valid.

Detective control menemukan kesalahan setelah transaksi terjadi.

Contoh:
rekonsiliasi ledger ke SPT.

Review exception.

Analisis effective tax rate.

Rekonsiliasi faktur pajak.

Review withholding.

Perusahaan membutuhkan keduanya.

Tetapi jika semua kontrol hanya detective, tax team akan selalu bekerja mengejar kesalahan.

TCF yang matang mendorong risiko ke hulu.

Data lineage adalah bagian tax control

Coretax membuat kualitas data semakin penting.

SPT tidak muncul dari ruang kosong.

Angka berasal dari ERP, payroll, procurement, billing, bank, dan berbagai sistem lain.

Perusahaan perlu dapat menjawab:

data source apa,
field mana yang menentukan tax treatment,
siapa dapat mengubah master data,
apakah perubahan meninggalkan audit trail,
bagaimana data dipindahkan ke tax engine,
bagaimana hasilnya direkonsiliasi ke GL,
dan siapa yang memvalidasi.

Jika spreadsheet manual digunakan, version control juga perlu ada.

Satu angka pajak yang benar tetapi tidak dapat direproduksi adalah kontrol yang lemah.

Besok reviewer lain harus bisa mengulang proses dan memperoleh hasil yang sama.

Segregation of duties jangan hanya berlaku di pembayaran

Perusahaan sering mempunyai segregation of duties untuk kas.

Maker.

Checker.

Approver.

Di pajak, prinsip yang sama perlu diterapkan pada aktivitas material.

Orang yang menyiapkan SPT tidak ideal menjadi satu-satunya orang yang menyetujui SPT.

Orang yang membuat vendor master tidak seharusnya sendirian menentukan seluruh tax code tanpa kontrol.

Orang yang mempunyai akses luas ke Coretax harus dikelola berdasarkan kebutuhan.

Perusahaan juga perlu memetakan siapa dapat membuat, mengubah, menandatangani, dan melaporkan.

PMK 44 Tahun 2026 memperbarui ketentuan mengenai kuasa Wajib Pajak, tetapi delegation internal dan access management tetap merupakan isu governance perusahaan.

TCF perlu menghubungkan kewenangan legal dengan kewenangan sistem.

Evidence adalah bagian dari kontrol

Kontrol yang tidak meninggalkan bukti sulit dibuktikan.

Jika perusahaan mengatakan “tax manager selalu review”, harus ada evidence yang proporsional.

Approval workflow.

Sign-off.

Review note.

Exception report.

Reconciliation file.

Meeting minutes.

System log.

Tidak semua kontrol membutuhkan tanda tangan basah.

Yang penting, perusahaan dapat menunjukkan bahwa kontrol benar-benar dilakukan pada periode yang relevan.

Ini sangat membantu ketika staf berganti.

Evidence membuat proses menjadi milik organisasi, bukan ingatan individu.

Jangan membuat kontrol yang tidak mungkin dijalankan

Satu kegagalan umum TCF adalah terlalu ambisius.

SOP mengatakan tax manager harus review 100 persen invoice.

Perusahaan memproses 50.000 invoice per bulan.

Kontrol itu tidak realistis.

Akibatnya, SOP terlihat bagus tetapi praktik berbeda.

Lebih sehat membuat risk-based control.

Transaksi rutin dengan vendor tax master valid diproses otomatis.

Exception ditinjau.

Vendor baru ditinjau.

Payment ke luar negeri ditinjau.

Related party transaction ditinjau.

Transaksi di atas threshold ditinjau.

Dengan begitu, sumber daya tax diarahkan ke risiko material.

Automation tidak menghapus tanggung jawab

Tax engine dapat menentukan withholding berdasarkan rule.

ERP dapat memvalidasi field.

Coretax dapat menyediakan workflow.

Tetapi automation tetap membutuhkan governance.

Siapa yang mengubah rule?

Siapa melakukan user acceptance test?

Bagaimana perubahan regulasi diterjemahkan ke configuration?

Apakah ada change log?

Kapan rule terakhir diuji?

Apakah manual override diperbolehkan?

Siapa yang menyetujui override?

Kesalahan pada rule otomatis dapat memengaruhi ribuan transaksi sekaligus.

Karena itu, automated control justru perlu change management yang kuat.

Masukkan regulatory change ke framework

Peraturan pajak berubah.

TCF perlu mempunyai proses formal untuk menerjemahkan perubahan menjadi tindakan.

Tahapnya bisa seperti ini:

monitor regulasi,
screen relevansi,
buat impact assessment,
tentukan process owner,
ubah SOP atau system,
lakukan testing,
training user,
tentukan effective date,
monitor hasil pertama.

Tanpa tahap ini, perusahaan bisa mengetahui aturan baru tetapi tetap menjalankan proses lama.

Pengetahuan tidak sama dengan implementation.

PMK 1 Tahun 2026 yang mengubah PMK 81 Tahun 2024 adalah contoh mengapa rule library perusahaan perlu mempunyai version control.

Tax control harus tahu regulasi mana yang digunakan pada periode transaksi.

Kontrol transaksi afiliasi membutuhkan lapisan khusus

Transfer pricing sering gagal bukan karena local file tidak dibuat.

Masalahnya dimulai jauh lebih awal.

Intercompany agreement terlambat.

Service description terlalu umum.

Benefit evidence tidak dikumpulkan.

Cost allocation tidak konsisten.

Invoice dibuat pada akhir tahun.

Business team tidak memahami siapa melakukan fungsi.

TCF dapat mempunyai control lifecycle untuk transaksi afiliasi.

Sebelum tahun berjalan:
review agreement dan pricing policy.

Bulanan atau kuartalan:
monitor actual result.

Saat pembayaran:
review withholding dan treaty.

Akhir tahun:
true-up jika kebijakan memang mengatur dan mempunyai dasar.

Setelah tahun:
siapkan documentation berdasarkan fakta yang sudah dikumpulkan.

Dengan model ini, transfer pricing bukan proyek dokumentasi setelah transaksi selesai.

Tax closing adalah tes bulanan atas framework

Setiap bulan, closing memberi sinyal apakah kontrol bekerja.

Berapa banyak manual correction?

Berapa banyak invoice salah tax code?

Berapa banyak faktur pajak perlu diperbaiki?

Apakah withholding ledger rekonsiliasi?

Apakah vendor tanpa data pajak meningkat?

Apakah suspense account lama belum selesai?

Jika exception terus muncul pada titik yang sama, framework perlu diubah.

Jangan sekadar memperbaiki transaksi satu per satu.

Cari kontrol yang gagal.

Itulah perbedaan antara compliance dan control improvement.

Board tidak perlu membaca seluruh control matrix

TCF bisa berisi puluhan atau ratusan kontrol.

Board membutuhkan ringkasan.

Top tax risks.

Material control failures.

Open remediation.

Outstanding dispute.

Regulatory change.

Status filing dan payment.

Access issue.

Significant transaction.

Tax manager perlu menerjemahkan control detail menjadi management information.

Jika semua terlihat hijau padahal tax team setiap bulan melakukan ratusan manual correction, dashboard tidak mencerminkan kenyataan.

Key control indicator harus dirancang untuk menunjukkan kualitas proses.

Contohnya:

persentase filing tepat waktu,
jumlah material tax adjustment setelah closing,
jumlah vendor exception,
nilai unreconciled PPN,
jumlah overdue tax issue,
jumlah user access yang tidak sesuai role,
status dokumentasi transfer pricing.

TCF harus bisa diuji

Perusahaan dapat melakukan self assessment.

Pilih beberapa kontrol utama.

Ambil sample periode.

Periksa apakah kontrol dilakukan.

Apakah evidence ada?

Apakah reviewer kompeten?

Apakah exception ditindaklanjuti?

Apakah hasilnya benar?

Internal audit juga dapat membantu menilai desain dan efektivitas kontrol.

Tax team tidak harus menjadi satu-satunya pihak yang menilai dirinya sendiri.

Untuk risiko tinggi, independent testing memberikan comfort tambahan.

Tujuan akhirnya bukan nol kesalahan

Tidak ada framework yang menjamin perusahaan tidak pernah salah.

Bisnis berubah.

Orang berubah.

Sistem berubah.

Regulasi berubah.

Tujuan TCF adalah membuat kesalahan lebih cepat terlihat, risiko lebih cepat naik ke pihak yang tepat, dan keputusan lebih mudah dibuktikan.

Ketika DJP meminta penjelasan, perusahaan tidak hanya menunjukkan angka.

Perusahaan dapat menjelaskan proses.

Data berasal dari mana.

Kontrol apa yang dilakukan.

Siapa yang menyetujui.

Mengapa posisi pajak dipilih.

Dokumen apa yang mendukung.

Itulah bukti bahwa pajak dikendalikan sebagai bagian dari governance.

TCF yang baik tidak membuat tax team lebih birokratis.

Ia justru mengurangi ketergantungan pada heroics, pekerjaan lembur, dan ingatan individu.

Pajak berubah dari “semoga reviewer menangkap kesalahan” menjadi proses yang mempunyai design, owner, evidence, dan escalation.

Dan bagi CFO, itu jauh lebih bernilai daripada sekadar laporan bahwa semua SPT sudah dikirim.