Apa itu Sistem Kontrol Internal? Kewajiban berdasarkan 'Hukum Perusahaan Jepang' dan 'Hukum Transaksi Instrumen Keuangan Jepang' serta Tanggung Jawab Direktur

Sistem kontrol internal adalah mekanisme dalam perusahaan yang bertujuan untuk mencegah tindakan ilegal dan mencegah kebocoran informasi. Sistem kontrol internal didefinisikan dalam Undang-Undang Perusahaan Jepang dan Undang-Undang Instrumen Keuangan Jepang, dan perusahaan yang memenuhi persyaratan tertentu diwajibkan untuk membangun sistem kontrol internal.

Dalam manajemen perusahaan, sangat penting untuk membangun, mengoperasikan, dan memelihara sistem kontrol internal dengan tepat untuk kepatuhan.

Artikel ini menjelaskan apa itu sistem kontrol internal, khususnya sistem kontrol internal untuk mengurangi risiko insiden siber, dan menjelaskan tanggung jawab yang harus dipikul oleh direktur.

Apa itu Sistem Pengendalian Internal

Sistem Pengendalian Internal adalah sistem yang dibuat oleh perusahaan atau organisasi untuk memastikan kepatuhan terhadap hukum, regulasi, dan standar industri dengan menyiapkan dan menerapkan proses dan sistem yang tepat.

Terutama bagi perusahaan yang terdaftar di bursa, penting untuk membangun sistem pengendalian internal yang tepat untuk mengelola risiko demi meningkatkan kredibilitas dan citra merek perusahaan.

Sistem Pengendalian Internal dalam Hukum Perusahaan Jepang

Sistem Pengendalian Internal dalam Hukum Perusahaan Jepang, berdasarkan Pasal 362 Ayat 4 Nomor 6 dari Hukum Perusahaan Jepang[ja], didefinisikan sebagai:

Pembentukan sistem untuk memastikan bahwa pelaksanaan tugas Direksi sesuai dengan hukum dan anggaran dasar, serta sistem lainnya yang diperlukan untuk memastikan kepatuhan dalam operasional perusahaan dan grup perusahaan yang terdiri dari perusahaan dan anak perusahaannya, sebagaimana ditentukan dalam peraturan Kementerian Hukum.

Hal ini menjadi kewenangan eksklusif dari Dewan Direksi.

Sistem Pengendalian Internal dalam Hukum Perusahaan Jepang bertujuan untuk memastikan kepatuhan dalam operasional perusahaan dan grup perusahaan yang terdiri dari perusahaan dan anak perusahaannya.

Sistem Pengendalian Internal dalam Hukum Perdagangan Produk Keuangan Jepang

Menurut Hukum Perdagangan Produk Keuangan Jepang, perusahaan yang terdaftar di bursa dan sejenisnya memiliki kewajiban untuk mengajukan laporan pengendalian internal. Perusahaan yang terdaftar di bursa dan sejenisnya harus membangun sistem pengendalian internal berdasarkan Hukum Perdagangan Produk Keuangan Jepang dan mengungkapkan isi dari sistem tersebut.

Sistem Pengendalian Internal dalam Hukum Perdagangan Produk Keuangan Jepang berbeda dengan Hukum Perusahaan, karena dituntut dari perspektif perlindungan investor.

Perusahaan yang Bertanggung Jawab dalam Pembentukan Sistem Pengendalian Internal

Perusahaan yang memenuhi persyaratan tertentu diwajibkan untuk membangun sistem pengendalian internal. Perusahaan yang memiliki kewajiban untuk membangun sistem pengendalian internal ini didefinisikan dalam Hukum Perusahaan Jepang dan Hukum Instrumen Keuangan Jepang.

Perusahaan besar yang diwajibkan untuk membangun sistem pengendalian internal berdasarkan Hukum Perusahaan Jepang adalah perusahaan yang memiliki dewan direksi. Perusahaan besar adalah perusahaan dengan modal dasar 500 juta yen atau lebih atau dengan jumlah hutang 20 miliar yen atau lebih (Pasal 2 Ayat 6 dari Hukum Perusahaan Jepang).

Perusahaan yang telah mempersiapkan sistem pengendalian internal harus mencantumkan ringkasan tentang operasi sistem pengendalian internal dalam laporan bisnis mereka. Selain itu, di perusahaan yang memiliki auditor, auditor melakukan audit sistem pengendalian internal sebagai bagian dari audit terhadap pelaksanaan tugas oleh direksi.

Di sisi lain, berdasarkan Hukum Instrumen Keuangan Jepang, perusahaan yang terdaftar dan sejenisnya yang diwajibkan untuk membangun sistem pengendalian internal dan mengungkapkan isinya adalah perusahaan yang mengajukan laporan efek berharga. Perusahaan yang terdaftar dan sejenisnya harus mengungkapkan laporan pengendalian internal mereka setiap tahun bisnis bersamaan dengan laporan efek berharga mereka.

Ketidakcukupan Sistem Pengendalian Internal Menyebabkan Direksi Bertanggung Jawab

Dalam insiden yang terkait dengan sistem pengendalian internal, siapakah yang bertanggung jawab jika terjadi insiden siber seperti akses ilegal atau kebocoran informasi?

Jika terjadi kebocoran informasi atau sejenisnya karena adanya kerentanan dalam sistem keamanan, pihak yang menderita kerugian (seperti pelanggan) dapat menuntut tanggung jawab atas pelanggaran kewajiban hukum perdata atau tindakan ilegal, dan mungkin akan menuntut ganti rugi.

Direksi, berdasarkan hukum perusahaan Jepang, telah diberi mandat untuk mengelola perusahaan dan memiliki kewajiban untuk menjalankan tugas mereka dengan perhatian seorang administrator yang baik (kewajiban pengawasan yang baik) agar tidak merugikan perusahaan.

Menurut preseden hukum, kewajiban untuk membangun sistem pengendalian internal adalah salah satu dari kewajiban pengawasan yang baik.

Oleh karena itu, jika terjadi kebocoran informasi atau sejenisnya dan tuntutan ganti rugi diajukan kepada perusahaan oleh pihak yang menderita kerugian, mungkin ada tuntutan untuk ganti rugi terhadap direksi jika dianggap bahwa mereka telah melanggar kewajiban pengawasan yang baik karena tidak meningkatkan tingkat keamanan atau mengambil tindakan untuk menghilangkan kerentanan.

Putusan Hukum Mengenai Sistem Pengendalian Internal

Seperti yang telah disebutkan, perusahaan dan direksi wajib membangun sistem pengendalian internal. Mari kita lanjutkan dengan menjelaskan berdasarkan putusan hukum yang konkret.

Kasus Yakult Tokyo District Court (Putusan Pengadilan Distrik Tokyo, 16 Desember 2004 (Tahun Heisei 16))

Yakult mengalami kegagalan dalam transaksi derivatif yang spekulatif dengan tujuan menutupi kerugian yang belum direalisasi dari sekuritas berharga, yang malah memperbesar kerugian. Sebagai tanggapan, pemegang saham mengajukan gugatan perwakilan pemegang saham terhadap manajemen saat itu, menuntut ganti rugi sebesar 53,3 miliar yen.

Dalam kasus ini, apakah sistem manajemen risiko untuk transaksi derivatif telah diterapkan atau tidak menjadi perdebatan.

Pada pengadilan, mantan wakil presiden yang menangani transaksi derivatif sebagai manajer investasi aset diperintahkan untuk membayar 6,7 miliar yen karena “melanggar kewajiban hati-hati sebagai direksi”. Namun, tanggung jawab manajemen lainnya tidak diakui karena “perusahaan memiliki sistem manajemen risiko yang cukup”. Selain itu, setelah kerugian terjadi, pengadilan menolak klaim bahwa sistem manajemen risiko tidak memadai, dengan alasan bahwa pemahaman tentang risiko transaksi derivatif berkembang pesat setelah kejadian (= tidak cukup pada saat kejadian). Putusan Pengadilan Tinggi Tokyo pada Mei 2008 juga mendukung putusan pertama, dan Mahkamah Agung juga mendukung putusan pertama dan kedua.

Dalam putusan ini, pengadilan menunjukkan bahwa isi sistem pengendalian internal harus ditentukan dengan merujuk pada studi administratif tentang manajemen risiko dan contoh risiko.

Kasus Kesalahan Pemesanan Saham J:COM (Putusan Pengadilan Tinggi Tokyo, 24 Juli 2013 (Tahun Heisei 25))

Ini adalah kasus di mana seorang karyawan Mizuho Securities secara keliru memasukkan perintah yang seharusnya “jual 1 saham J:COM seharga 610.000 yen” menjadi “jual 610.000 saham J:COM seharga 1 yen” ke dalam komputer, menyebabkan kerugian besar bagi klien.

Mizuho Securities menyadari kesalahan dan melakukan prosedur pembatalan, tetapi pembatalan tidak dilakukan karena cacat sistem Bursa Efek Tokyo, dan harga saham jatuh drastis karena jumlah penjualan yang tidak biasa. Akibatnya, kerugian lebih dari 40 miliar yen terjadi. Mizuho Securities berpendapat bahwa kerugian lebih dari 40 miliar yen yang tidak dapat dibatalkan karena bug dalam sistem Tokyo Stock Exchange, dan menuntut ganti rugi dari Tokyo Stock Exchange.

Dalam putusan ini, “apakah bug sistem merupakan kelalaian serius” menjadi titik perdebatan utama. Pengadilan Tinggi Tokyo memerintahkan Tokyo Stock Exchange untuk membayar sekitar 10,7 miliar yen, dengan menyatakan bahwa “tidak segera menggunakan wewenang untuk menghentikan perdagangan adalah kelalaian serius oleh Tokyo Stock Exchange”.

Apakah Tokyo Stock Exchange dapat menemukan dan mengatasi bug ini secara teknis juga menjadi titik perdebatan, tetapi Pengadilan Tinggi Tokyo menyatakan, “argumen dalam pendapat ahli yang diajukan bertentangan, dan sulit untuk menentukan mana yang lebih baik”, dan menghindari penilaian tentang aspek teknis.

Namun, Pengadilan Tinggi Tokyo mengakui kelalaian serius oleh Tokyo Stock Exchange karena tidak membatalkan transaksi meskipun menyadari bahwa transaksi yang jelas tidak normal sedang berlangsung.

Dengan demikian, dalam kasus di mana pengadilan tidak dapat membuat keputusan dari sudut pandang teknis, ada kasus di mana tindakan ilegal diakui dengan fokus pada aspek lain.

Kesimpulan: Silakan Konsultasikan Pembangunan Sistem Kontrol Internal ke Pengacara

Terutama bagi perusahaan yang terdaftar, penting untuk membangun dan mengoperasikan sistem kontrol internal yang tepat untuk manajemen risiko.

Jika terjadi insiden terkait keamanan informasi, perusahaan dapat berisiko dituntut atas tanggung jawab gagal memenuhi kewajiban jika dianggap tidak mengambil tindakan keamanan informasi yang sesuai dengan skala perusahaan dan jenis bisnis. Dalam hal ini, mungkin juga ada kemungkinan untuk menuntut ganti rugi terhadap direksi atas pelanggaran kewajiban pengawasan yang baik. Untuk sistem kontrol internal terkait keamanan informasi, silakan konsultasikan segera dengan pengacara yang berpengalaman dalam IT dan hukum perusahaan.

Artikel terkait: Bagaimana mencegah insiden keamanan di pihak yang diberi tugas? Penjelasan tentang pembangunan dan operasi sistem kontrol internal pemberi tugas[ja]

Panduan Strategi dari Kantor Kami

Kantor Hukum Monolith adalah kantor hukum yang memiliki keahlian tinggi dalam bidang IT, khususnya internet dan hukum. Kebutuhan untuk pengecekan hukum dalam pembangunan sistem kontrol internal semakin meningkat. Di kantor kami, kami menyediakan solusi untuk banyak perusahaan dalam upaya mematuhi kepatuhan. Detailnya dijelaskan dalam artikel di bawah ini.

Bidang yang ditangani oleh Kantor Hukum Monolith: Hukum Perusahaan IT & Startup[ja]