IT Governance & Risk Management.

 

-IT GOVERNANCE-

COBIT (Control Objectives for Information and Related Technology) merupakan audit sistem informasi dan dasar pengendalian yang dibuat oleh Information Systems Audit and Control Association (ISACA) dan IT Governance Institute (ITGI) pada tahun 1992. COBIT Framework merupakan standar kontrol yang umum di dunia teknologi informasi, dengan memberikan kerangka kerja dan kontrol terhadap teknologi informasi yang dapat diterima dan diterapkan secara internasional.

 

COBIT dirancang untuk digunakan oleh tiga pengguna berbeda yaitu :

1. Manajemen

Dengan penerapan COBIT, manajemen dapat terbantu dalam proses penyeimbangan resiko dan pengendalian investasi dalam lingkungan IT yang tidak dapat diprediksi.

2. Pengguna

Pengguna dapat menggunakan COBIT untuk memperoleh keyakinan atas layanan keamanan dan pengendalian IT yang disediakan oleh pihak internal atau pihak ketiga.

3. Auditor

Dengan penerapan COBIT, auditor dapat memperoleh dukungan dalam opini yang dihasilkan dan/atau untuk memberikan saran kepada manajemen atas pengendalian internal yang ada.

 

COBIT berorientasi proses dan dijadikan standar panduan untuk mengelola organisasi atau perusahaan dalam mencapai tujuannya dengan memanfaatkan IT. Adapun aspek yang mendasari COBIT adalah kebutuhan bisnis (Business Requierement), sumber daya TI (IT Resources), Proses TI (IT Processes), dan Kriteria Informasi (Information). 

 

1. Kebutuhan bisnis suatu organisasi atau perusahaan harus memenuhi kebutuhan akan informasi dalam hal kualitas (quality), kepercayaan (fiduciary) dan keamanan (security) yang diuraikan pada kriteria informasi sesuai COBIT sebagai berikut:

 

a. Effectiveness (Efektivitas). Informasi yang diperoleh harus relevan dan berkaitan dengan proses bisnis, konsisten dapat dipercaya, dan tepat waktu.

b. Effeciency (Efisiensi). Penyediaan informasi melalui penggunaan sumber daya (yang paling produktif dan ekonomis) yang optimal.

c. Confidentially (Kerahasiaan). Berkaitan dengan proteksi pada informasi penting dari pihak-pihak yang tidak memiliki hak otorisasi/tidak berwenang.

d. Integrity (Integritas). Berkaitan dengan keakuratan dan kelengkapan data/informasi dan tingkat validitas yang sesuai dengan ekspetasi dan nilai bisnis.

e. Availability (Ketersediaan). Fokus terhadap ketersediaan data/informasi ketika diperlukan dalam proses bisnis, baik sekarang maupun dimasa yang akan datang. Ini juga terkait dengan pengamanan atas sumber daya yang diperlukan dan terkait.

f. Compliance (Kepatuhan). Pemenuhan data/informasi yang sesuai dengan ketentuan hukum, peraturan, dan rencana perjanjian/kontrak untuk proses bisnis.

g. Reliability (Handal). Fokus pada pemberian informasi yang tepat bagi manajemen untuk mengoperasikan perusahaan dan pemenuhan kewajiban mereka untuk membuat laporan keuangan.

 

2. Sumber daya TI dalam COBIT dapat dijabarkan sebagai berikut :

 

a. Data. obyek-obyek dalam pengertian yang lebih luas (yakni internal dan eksternal), terstruktur dan tidak terstruktur, grafik, suara dan sebagainya.

b. Sistem aplikasi, dipahami untuk menyimpulkan atau meringkas, baik prosedur manual maupun yang terprogram.

c. Teknologi, mencakup hardware, sistem operasi, sistem manajemen database, jaringan (networking), multimedia, dan lain- lain.

d. Fasilitas, semua sumber daya untuk menyimpan dan mendukung system informasi.

e. Manusia, termasuk staf ahli, kesadaran dan produktivitas untuk merencanakan, mengorganisasikan atau melaksanakan, memperoleh, menyampaikan, mendukung dan memantau layanan sistem informasi.

 

3. Proses TI terdiri dari tiga segmen, yaitu domain, proses, dan aktivitas.

 

COBIT mengelompokkan semua aktivitas bisnis yang terjadi dalam organisasi menjadi 34 proses yang terbagi ke dalam empat buah domain proses, meliputi :

a. Plan and Organise (10 proses)

Meliputi strategi dan taktik yang berkaitan dengan identifikasi pemanfaatan IT yang dapat memberikan kontribusi dalam pencapaian tujuan bisnis.

Proses dalam domain ini adalah :

· Menetapkan rencana strategis TI

· Menetapkan susunan informasi

· Menetapkan kebijakan teknologi

· Menetapkan hubungan dan organisasi TI

· Mengelola investasi IT

· Mengkomunikasikan arah dan tujuan manajemen

· Mengelola sumberdaya manusia

 

b. Acquire and Implement (7 proses)

Merupakan domain proses yang merealisasikan strategi IT, serta solusi – solusi IT yang diperlukan untuk diterapkan pada proses bisnis organisasi. Pada domain ini pula dilakukan pengelolaan perubahan terhadap sistem eksisting untuk menjamin proses yang berkesinambungan.

Langkah – langkah domain ini adalah :

· Mengidentifikasi solusi terotomatisasi

· Mendapatkan dan memelihara software aplikasi

· Mendapatkan dan memelihara infrastruktur teknologi

· Mengembangkan dan memelihara prosedur

· Memasang dan mengakui sistem

· Mengelola perubahan

 

c. Delivery and Support (13 proses)

Domain ini berfokus utama pada aspek penyampaian atau pengiriman dari IT. Domain ini mencakup area-area seperti pengoperasian aplikasi – aplikasi dalam sistem IT dan hasilnya, dan juga, proses dukungan yang memungkinkan pengoperasian sistem IT tersebut dengan efektif dan efisien. Proses dukungan ini termasuk isu atau masalah keamanan dan juga pelatihan.

Proses dalam domain ini adalah :

· Menetapkan dan mengelola tingkat pelayanan

· Mengelola pelayanan kepada pihak lain

· Mengelola kinerja dan kapasitas

· Memastikan pelayanan yang kontinyu

· Memastikan keamanan sistem

 

d. Monitor and Evaluate (4 proses)

Merupakan domain yang memberikan pandangan bagi pihak manejemen berkaitan dengan kualitas dan kepatuhan dari proses yang berlangsung dengan kendali-kendali yang diisyaratkan.

Proses dalam domain ini sebagai berikut :

· Memonitor proses

· Menaksir kecukupan pengendalian internal

· Mendapatkan kepastian yang independen

 

-RISK MANAGEMENT-

 

Pada COBIT, secara khusus dibahas mengenai manajemen resiko pada proses PO9

 

Resiko adalah segala hal yang mungkin berdampak pada kemampuan organisasi dalam mencapai tujuannya. Framework manajemen resiko TI dengan menggunakan COBIT terdiri dari:

 

1.  Penetapan Objektif

Kriteria informasi dari COBIT dapat digunakan sebagai dasar dalam mendefinisikan objektif TI.

 

2.  Identifikasi Resiko

Identifikasi resiko merupakan proses untuk mengetahui resiko. Sumber resiko bisa berasal dari :

•  Manusia, proses dan teknologi

•  Internal (dari dalam perusahaan) dan eksternal (dari luar perusahaan)

•  Bencana (hazard), ketidakpastian (uncertainty) dan kesempatan (opportunity).

 

Dari ketiga sumber resiko tersebut dapat diketahui kejadian-kejadian yang dapat mengganggu perusahaan dalam mencapai objektifnya.

 

3.  Penilaian Resiko

Penilaian resiko merupakan proses untuk menilai seberapa sering resiko terjadi atau seberapa besar dampak dari resiko. Dampak resiko terhadap bisnis (business impact) bisa berupa: dampak terhadap financial, menurunnya reputasi disebabkan sistem yang tidak aman, terhentinya operasi bisnis, kegagalan aset yang dapat dinilai (sistem dan data), dan penundaan proses pengambilan keputusan.

 

Sedangkan kecenderungan (likelihood) terjadinya resiko dapat disebabkan oleh sifat alami dari bisnis, struktur dan budaya organisasi, sifat alami dari sistem (tertutup atau terbuka, teknologi baru dan lama), dan kendali-kendali yang ada. Proses penilaian resiko bisa berupa resiko yang tidak dapat dipisahkan (inherent risks) dan sisa resiko (residual risks).

 

4.  Respon Resiko

Untuk melakukan respon terhadap resiko adalah dengan menerapkan kontrol objektif yang sesuai dalam melakukan manajemen resiko. Jika sisa resiko masih melebihi resiko yang dapat diterima (acceptable risks), maka diperlukan respon resiko tambahan. Proses-proses pada framework COBIT (dari 34 Control Objectives) yang sesuai untuk manajemen resiko adalah :

•             PO1 (Define a Stretegic IT Plan) dan PO9 (Assess and Manage Risks)

•             AI6 (Manages Change)

•             DS5 (Ensure System and Security) dan DS11 (Manage Data)

•             ME1 (Monitor and Evaluate IT Performance)

 

5. Monitor Resiko

Setiap langkah dimonitor untuk menjamin bahwa resiko dan respon berjalan sepanjang waktu.

REFERENSI

http://www.isaca.org/Knowledge-Center/cobit/Pages/COBIT-An-International-Source-For-Information-Technology-Controls.aspx

https://www.researchgate.net/publication/323186666_COBIT_5_UNTUK_MANAJEMEN_TEKNOLOGI_INFORMASI_PROSES_BISNIS_PERUSAHAAN/link/5a8540ffaca272c99ac41a31/download

https://gisagisni.wordpress.com/2014/03/25/control-objective-for-information-and-related-technology-cobit/

 

Peran dan Tanggung Jawab Auditor Teknologi Sistem Informasi

Audit Sistem Informasi adalah sebuah proses yang sistematis dalam mengumpulkan dan mengevaluasi bukti-bukti untuk menentukan bahwa sebuah sistem informasi berbasis komputer yang digunakan oleh organisasi telah dapat mencapai tujuannya.

Audit merupakan sebuah kegiatan yang melakukan pemerikasaan untuk menilai dan mengevaluasi sebuah aktivitas atau objek seperti implementasi pengendalian internal pada sistem informasi akuntansi yang pekerjaannya ditentukan oleh manajemen atau proses fungsi akuntansi yang membutuhkan improvement.

 

AUDIT SISTEM INFORMASI

Merupakan suatu proses pengumpulan dan pengevaluasian bukti-bukti yang dilakukan oleh pihak yang independen dan kompeten untuk mengetahui apakah suatu sistem informasi dan sumber daya terkait, secara memadai telah dapat digunakan untuk:

a.      Melindungi asset.

b.      Menjaga integritas dan ketersediaan sistem dan data.

c.      Menyediakan informasi yang relevan dan handal.

d.      Mencapai tujuan organisasi dengan efektif.

e.      Menggunakan sumber daya dengan efisien.

f.       Tujuan audit SIA adalah untuk meninjau dan mengevaluasi pengendalian internal yang melindungi sistem tersebut.

g.      Ketika melaksanakan audit sistem informasi, para auditor harus memastikan tujuan-tujuan berikut ini dipenuhi:

·        Perlengkapan keamanan melindungi perlengkapan komputer, program, komunikasi, dan data dari akses yang tidak sah, modifikasi, atau penghancuran.

·        Pengembangan dan perolehan program dilaksanakan sesuai dengan otorisasi khusus dan umum dari pihak manajemen.

·        Modifikasi program dilaksanakan dengan otorisasi dan persetujuan pihak manajemen.

·        Pemrosesan transaksi, file, laporan, dan catatan komputer lainnya telah akurat dan lengkap.

 

TUJUAN dan LINGKUP AUDIT SISTEM INFORMASI
Tujuan Audit Sistem Informasi dapat dikelompokkan ke dalam dua aspek utama, yaitu:

Conformance (Kesesuaian) – Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kesesuaian, yaitu : Confidentiality (Kerahasiaan), Integrity (Integritas), Availability (Ketersediaan) dan Compliance (Kepatuhan).

Performance (Kinerja) - Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kinerja, yaitu : Effectiveness (Efektifitas), Efficiency (Efisiensi), Reliability (Kehandalan).

 

PERAN AUDITOR dan AKUNTAN
Sebagian besar jurusan akuntansi mengisi posisi internal maupun eksternal auditor dan akan sangat dilibatkan dalam program dan proses audit. Para akuntan pemerintah atau industri akan membantu auditor untuk mengevaluasi informasi yang dihasilkan dan mengendalikan kelemahan pada system. Mereka yang dilibatkan dalam sistem analisis dan desain diharapkan dapat mengembangkan sebuah sistem yang menyediakan informasi yang handal.
Pemakaian auditor terus meningkat sebagai penasehat selama merancang pengembangan sistem. Auditor mungkin membantu dalam pemilihan ukuran keamanan dan kendali, menaksir cost, dan pengendalian keuntungan dan penentuan prosedur audit yang paling efektif.

 

TIPE AUDIT
Audit yang dilaksanakan sesuai tipe perusahaan yaitu operasional, compliance, pengembangan system, internal control, financial dan kecurangan audit. Empat jenis auditor yang dilibatkan dalam menyelenggarakan audit yang di list adalah:

1.      Internal auditor adalah karyawan perusahaan, yang pada umumnya melaksanakan compliance, operasional, pengembangan sistem, pengawasan intern dan kecurangan audit.

2.      Ekstenal auditor adalah akuntan publik independen yang ditugaskan oleh perusahaan, secara khusus melaksanakan audit keuangan. Dalam berbagai macam audit keuangan, eksternal auditor dibantu oleh internal auditor. akantetapi auditor eksternal yang bertanggung jawab untuk menegaskan kewajaran laporan keuangan.

3.      Goverment auditor, melaksanakan pemenuhan audit atau menguji laporan perusahaan atas pengawasan yang menyangkut para pegawai pemerintahan. sebagai contoh, pemeriksa bank pemerintahan melaksanakan audit bank, auditor yang dtugaskan oleh auditor negara yang umumnya melaksanakan audit daerah dan para pegawai pemerintah

4.      Fraud auditor, mengkhususkan dalam menyelidiki kecurangan dan bekerja secara tertutup dengan internal auditor dan pengacara. fraud examminer misalnya: kesatuan FBI penyelidikan kecurangan, perusahan besar akuntan publik , IRS, perusahaan asuransi.

Jenis-jenis audit:

1.      Operational audit, terkonsen pada efisiensi dan efectifitas dengan semua sumberdaya yang digunakan untuk melaksanakan tugas, cakupanya meliputi kesesuaian praktik dan prosedur dengan peraturan yang ditetapkan

2.      Compliance audit terkonsentrasi pada cakupan undang-undang, peraturan pemerintah, pengendalian dan kewajiban badan eksternal lain yang telah diikut.

3.      Project manajement and change control audit,(dulu dikenal sebagai suatu pengembangan sistem audit) terkonsentrasi oleh efesiensi dan efektifitas pada berbagai tahap pengembangan sistem siklus kehidupan yang sedang diselenggarakan.

4.      Internal control audit terkonsentrasi pada evaluasi struktur pengendalian internal

5.      Financial audit terkonsentrasi pada kewajaran laporan keuangan yang menunjukan posisi keuangan, aliran kas dan hasil kinerja perusahaan.

6.      Fraud audit adalah nonrecurring audit yang dilaksanakan untuk mengumpulkan bukti untuk menentukan apakah sedang terjadi, telah terjadi atau akan terjadi kecurangan. Dan penyelesaian hal sesuai dengan pemberian tanggungjawab.

Sistem Basis Data

             6 Tahap  Perancangan Basis Data

Secara khusus proses perancangan berisikan 2 aktifitas paralel. Aktifitas yang pertama melibatkan perancangan dari isi data dan struktur basis data, sedangkan aktifitas kedua mengenai perancangan pemrosesan basis data dan aplikasi-aplikasi perangkat lunak.

Proses perancangan basis data sebagai berikut :

·        Fase 1 - Pengumpulan Data dan Analisis.

·        Fase 2 - Perancangan Basis Data Secara Konseptual.

·        Fase 3 - Pemilihan DBMS.

·        Fase 4 - Perancangan Basis Data Secara Logika.

·        Fase 5 - Perancangan Basis Data Secara Fisik.

·        Fase 6 - Implementasi Sistem Basis Data.

 

Manakah dari 6 tahap tersebut sebagai aktifitas utama dalam proses perancangan basis data ? Mengapa ?

·        Perancangan Basis Data Secara Konseptual.

·        Perancangan Basis Data Secara Logika.

·        Perancangan Basis Data Secara Fisik.

Krena suatu database yang merupakan hasil dari tahap 1 dan menghasilkan sebuah conceptual database schema pada DBMS-independent model data tingkat tinggi seperti EER (Enhanced Entity Relationship) model.setelah itu skema konseptual ditransformasikan dari model data tingkat tinggi yang digunakan pada tahap 2 ke dalam model data dari model data dari DBMS yang dipilih pada tahap 3.

 

Mengapa perancangan skema dan aplikasi dilakukan secara parallel ?

Karena aktifitas pertama yaitu desain skema konseptual, menentukan kebutuhan data yang dihasilkan pada tahap 1 dan menghasilkan skema basis data konseptual. Aktifitaskedua, desain transaksi dan aplikasi, menentukan analisa aplikasi basis data pada tahap1 dan menghasilkan spesifikasi level tinggi untuk aplikasi tersebut.

 

Mengapa digunakan model data implementation-independent selama perancangan skema konseptual ?

Skema konseptual tidak tersedia sebagai deskripsi stabil dari isi basis data. Pemilihan DBMS dan keputusan desain dapat berubah tanpa mengubah skema konseptual DBMS-independent.

 

Mengapa diperlukan koleksi (Pengumpulan data) dan analisa kebutuhan

Karena ini suatu tahap dimana kita melakukan proses indentifikasi dan analisa kebutuhan-kebutuhan data dan ini disebut pengumpulan data dan analisa. Untuk menentukan kebutuhan-kebutuhan suatu sistem database, kita harus mengenal terlebih dahulu bagian-bagian lain dari sistem informasi yang akan berinteraksi dengan sistem database, termasuk para user yang ada dan para useryang baru beserta aplikasi-aplikasinya. Kebutuhan-kebutuhan dari para user dan aplikasi-aplikasi inilah yang kemudian dikumpulkan dan dianalisa.