Audit Teknologi Sistem Informasi

-

Aspek-Aspek pada IT Governance dan Risk Management 

Aspek-Aspek pada IT Governance

1. Meeting Stakeholder Needs 
Setiap pemangku kepentingan organisasi memiliki kebutuhan akan keberadaan sistem dan teknologi informasi dalam konteksnya yang beragam. Ada yang mengharapkan terjadinya efisiensi, bertambahnya revenue, semakin transparansinya pengelolaan aset, memperbaiki kendali/control process, meningkatkan utilisasi pegawai, memberdayakan sumber daya manusia, dan lain sebagainya. Ini adalah prinsip utama dari governance, dimana keberadaan sistem dan teknologi informasi tidak boleh lepas dari konteks kebutuhan dan harapan pemangku kepentingan tertinggi dalam organisasi atau perusahaan (pemilik dan pimpinannya).

2. Covering Enterprise End-to-End
Informasi sebagai asset penting organisasi dibutuhkan oleh seluruh unit organisasi, dari yang berada dalam domain proses hulu (dekat dengan pemasok bahan baku) hingga ke domain proses hilir (dekat dengan pelanggan). Setiap proses di dalam organisasi pasti membutuhkan informasi, mengolahnya, dan kemudian menghasilkan informasi baru bagi kebutuhan proses selanjutnya. Oleh karena itulah maka domain governance harus memperhatikan kenyataan ini sehingga pendekatan yang dipergunakan perlu utuh dan lengkap, di segala lini proses dan unit organisasi.

3. Applying a Single Integrated Framework
Saat ini, begitu banyak standar best practice di bidang manajemen dan governance teknologi informasi yang dikenal di industri dan diadopsi beranekaragam organisasi maupun perusahaan, seperti: ISO-38500, TOGAF, ITIL, ISO-20000, ISO-27001, PMBOK, CMMI, dan lain sebagainya. Dalam konteks ini, Cobit telah mempertimbangkan dan mengadopsi berbagai kerangka dan konsep best practice tersebut ke dalam prinsip, model, dan strukturnya. Sehingga dapat dikatakan bahwa Cobit secara lengkap dan terpadu mengintegrasikan keseluruhan kerangka best practice tersebut.

4. Enabling a Holistic Approach
Isu governance tidak bias dilihat sepotong-sepotong, dalam arti kata hanya memandangnya dari satu sisi perspektif saja. Governance merupakan suatu tatanan konsep yang berkaitan dengan sejumlah dimensi, seperti: kebijakan, proses, sumber daya, fasilitas, teknologi, kultur, dan lain sebagainya. Masing-masing domain ini mampu menjadi pemicu (enabler) bagi terselenggarakannya praktek governance yang efektif tergantung dari situasi dan konteks organisasi.

5. Separating governance from management
Cukup banyak pihak-pihak yang mencampur adukkan kedua konsep yang secara prinsip dan hakiki berbeda ini. Di Negara yang kebanyakan organisasi atau perusahaannya menggunaka nbentuk two-layer system (misalnya: Komisaris dan Direksi), sangat penting untuk membedakan dan memisahkan pengertian governance dengan manajemen karena keduanya memiliki tujuan, alasan, dan karakteristik yang berbeda secara signifikan. Jika manajemen lebih menekankan pada rangkaian menjalankan aktivitas untuk pencapaian visi, misi, dan obyektif organisasi yang telah dicanangkan, governance lebih fokus pada cara-cara pencapaian visi, misi, dan obyektif tersebut yang sejalan dengan prinsip-prinsip nilai (value) yang dianut oleh pemilik perusahaan seperti transparansi, akuntabilitas, responsibilitas, dan lain sebagainya.

Aspek-Aspek pada Risk Management

  1. Tataran Korporasi: Aspek ini  terdiri atas tiga hal. Pertama, kecukupan modal minimum. Kedua, batasan portofolio investasi. Ketiga, pemisahan rekening perusahaan dan nasabah. Pengaturan aspek ini dimaksudkan untuk mencegah kejahatan korporasi (corporate crime).
  2. Tataran Pengelola Perusahaan: Aspek ini terdiri atas tiga hal juga. Pertama, kompetensi manajemen berupa pengalaman dan keahlian. Kedua, integritas pengurus berupa rekam jejak yang tidak tercela. Ketiga, tata pengelolaan yang baik dan transparan. Pengaturan aspek ini dimaksudkan untuk mencegah kejahatan pimpinan perusahaan (white collar crime).  
  3. Tataran Pelaksana Lapangan Perusahaan: Aspek ini terdiri atas tiga hal. Pertama, pengenalan selera risiko nasabah (risk appetite). Kedua, pengetahuan tenaga penjual akan produk investasi yang dijualnya. Ketiga, transparansi dalam menjelaskan risiko investasi. Pengaturan aspek ini dimaksudkan untuk mencegah kejahatan tenaga pelaksana (blue collar crime). 


Contoh Aspek yang terdapat pada IT Governance dan Risk Management 

Dalam Aspek IT Governance contoh yang bisa diambil adalah dalam hal tata kelola IT yang fokus utamanya adalah :

  1. Penyelarasan Strategis (Strategic Alignment) 
    Memfokuskan kepastian terhadap keterkaitan antara strategis bisnis dan TI serta penyelarasan antara operasional TI dengan bisnis. 
  2. Penyampaian Nilai (Value Delivery)
    Mencakup hal-hal yang terkait dengan penyampaian nilai yang memastikan bahwa IT memenuhi manfaat yang dijanjinkan dengan memfokuskan pada pengoptimalan biaya dan pembuktian nilai hakiki akan keberadaan TI. 
  3. Pengelolaan Sumber Daya (Resource Management)
    Berkaitan dengan pengoptimalan investasi yang dilakukan dan pengelolaan secara tepat dari sumber daya TI yang kritis mencakup : aplikasi, informasi, infrastruktur dan Sumber Daya Manusia (SDM). Isu kunci area ini berhubungan dengan pengoptimalan pengetahuan dan infrastruktur.
  4. Pengelolaan Resiko (Risk Management) 
    Membutuhkan kepekaan akan resiko oleh manajemen senior, pemahaman yang jelas akan perhatian perusahaan terhadap keberadaan resiko, pemahaman kebutuhan akan kepatutan, transparansi akan resiko yang signifikan terhadap proses bisnis perusahaan dan tanggung jawab pengelolaan resiko ke dalam organisasi itu sendiri. 
  5. Pengukuran Kinerja (Performance Measurement) 
    Penelusuran dan pengawasan implementasi dari strategi, pemenuhan proyek yang berjalan, penggunaan sumber daya, kinerja proses dan penyampaian layanan dengan menggunakan kerangka kerja seperti Balanced Scorecard yang menerjemahkan strategi ke dalam tindakan untuk mencapai tujuan terukur dibandingkan dengan akuntansi konvensional. 

Dalam aspek Risk Management contoh yang bisa diambil adalah hal keamanan yakni diklasifikasikan menjadi 4 lubang keamanan :
  1. Keamanan yang bersifat Fisik (Physical Security)
    Termasuk akses ke orang ke gedung, peralatan, dan media yang digunakan.
  2. Kemanan yang berhubungan dengan Orang (Personel)
    Termasuk identifikasi dan profil resiko dari orang yang mempunyai akses (pekerja).
  3. Kemanan dari data media serta teknik komunikasi (Communication)
    Termasuk juga kelemahan dalam software yang digunakan untuk mengelola data. 
  4. Keamanan dalam Operasi 
    Termasuk kebijakan (policy) dan prosedur yang digunakan untuk mengatur dan mengelola sistem keamanan dan juga termasuk prosedur setelah serangan (Post Attack Recovery). 


Langkah-langkah pada auditing IT Governance 

Auditor TI bertanggung jawab atas penilaian efisiensi tata kelola TI dengan tingkatan prosedur dalam pelaksanaannya. Auditor TI (dari dalam organisasi atau independen) dapat melakukan sejumlah peran kunci dalam Gary Hardy, “The Role of the IT Auditor in IT Governance”: 

  • Memulai program tata kelola TI: menjelaskan tata kelola TI dan nilainya pada manajemen.
  • Menilai kondisi saat ini: memberikan masukan dan membantu memberikan penilaian kondisi yang sebenarnya.
  • Merencanakan solusi tata kelola TI.
  • Memantau inisiatif tata kelola TI.
  • Membantu membuat bisnis tata kelola TI, seperti : memberikan input objektif dan konstruktif, mendorong penilaian diri, dan memberikan keyakinan kepada manajemen bahwa tata kelola bekerja secara efektif


Audit IT pada domain EDM (Evaluate, Direct, and Monitor)

Proses tata kelola ini berurusan dengan tujuan tata pemangku kepentingan dalam melakukan penilaian, optimasi risiko dan sumber daya, mencakup praktek dan kegiatan yang bertujuan untuk mengevaluasi pilihan strategis, memberikan arahan kepada TI dan pemantauan hasilnya. Berikut domain proses EDM:

  • EDM01 Ensure Governance Framework Setting and Maintenance (Memastikan Pengaturan dan Pemeliharaan Kerangka Tata Kelola)
  • EDM02 Ensure Benefits Delivery (Memastikan Memberi Manfaat)
  • EDM03 Ensure Risk Optimisation (Memastikan Pengoptimalan Risiko)
  • EDM04 Ensure Resource Optimisation (Memastikan Pengoptimalan Sumber Daya)
  • EDM05 Ensure Stakeholder Transparency (Memastikan Transparansi Pemangku Kepentingan)


Audit IT pada domain APO (Align, Plan and Organise) 

Memberikan arah untuk pengiriman solusi (BAI) dan penyediaan layanan dan dukungan (DSS). Domain ini mencakup strategi dan taktik, dan mengidentifikasi kekhawatiran cara terbaik TI agar dapat berkontribusi pada pencapaian tujuan bisnis. Realisasi visi strategis perlu direncanakan, dikomunikasikan dan dikelola untuk perspektif yang berbeda. Sebuah organisasi yang tepat, serta infrastruktur teknologi, harus dimasukkan ke dalam tempatnya. Berikut domain proses APO:
  • APO01 Manage The IT Management Framework (Mengelola Kerangka Manajemen TI)
  • APO02 Manage Strategy (Mengelola Strategi)
  • APO03 Manage Enterprise Architecture (Mengelola Arsitektur Bisnis)APO04 Manage Innovation (Mengelola Perubahan)
  • APO05 Manage Portfolio (Mengelola Dokumen)
  • APO06 Manage Budget and Costs (Mengelola Anggaran dan Biaya)
  • APO07 Manage Human Resources (Mengelola Sumber Daya Manusia)
  • APO08 Manage Relationships (Mengelola Relasi)
  • APO09 Manage Service Agreements (Mengelola Perjanjian Layanan)
  • APO10 Manage Suppliers (Mengelola Pemasok)
  • APO11 Manage Quality (Mengelola Kualitas)
  • APO12 Manage Risk (Mengelola Risiko)
  • APO13 Manage Security (Mengelola Keamanan)


Audit IT pada domain BAI (Build, Acquire and Implement) 

Memberikan solusi dan melewatinya sehingga akan berubah menjadi layanan. Untuk mewujudkan strategi TI, solusi TI perlu diidentifikasi, dikembangkan atau diperoleh, serta diimplementasikan dan terintegrasi ke dalam proses bisnis. Perubahan dan pemeliharaan sistem yang ada juga dicakup oleh domain ini, untuk memastikan bahwa solusi terus memenuhi tujuan bisnis. Berikut domain proses BAI:
  • BAI01 Manage Programmes and Project (Mengelola Program Dan Proyek)
  • BAI02 Manage Requirements Definition (Mengelola Definisi Persyaratan)
  • BAI03 Manage Solutions Identification and Build (Mengelola Identifikasi Solusi dan Pembangunan)
  • BAI04 Manage Availability and Capacity (Mengelola Ketersediaan dan Kapasitas)
  • BAI05 Manage Organisational Change Enablement (Mengelola Pemberdayaan Organisasi Perubahan)
  • BAI06 Manage Changes (Mengelola Perubahan)
  • BAI07 Manage Change Acceptance and Transitioning (Mengelola Penerimaan Perubahan dan Transisi)
  • BAI08 Manage Knowledge (Mengelola Pengetahuan)
  • BAI09 Manage Assets (Mengelola Kepemilikan)
  • BAI10 Manage Configuration (Mengelola Susunan)


Audit IT pada domain DSS (Deliver, Service and Support) 

Menerima solusi dan dapat digunakan bagi pengguna akhir. Domain ini berkaitan dengan pengiriman aktual dan dukungan layanan yang dibutuhkan, yang meliputi pelayanan, pengelolaan keamanan dan kelangsungan, dukungan layanan bagi pengguna, dan manajemen data dan fasilitas operasional. Berikut domain proses DSS:
  • DSS01 Manage Operations (Mengelola Operasi)
  • DSS02 Manage Service Requests and Incidents (Mengelola Layanan Permohonan dan Kecelakaan)
  • DSS03 Manage Problems (Mengelola Masalah)
  • DSS04 Manage Continuity (Mengelola Keberlangsungan)
  • DSS05 Manage Security Services (Mengelola Jasa Keamanan)
  • DSS06 Manage Business Process Controls (Mengelola Kontrol Proses Bisnis)


Audit IT pada domain MEA (Monitor, Evaluate and Assess) 

Monitor semua proses untuk memastikan bahwa arah yang disediakan diikuti. Semua proses TI perlu dinilai secara teratur dari waktu ke waktu untuk mengontrol kualitas dan kepatuhan mereka. Domain ini tertuju pada manajemen kinerja, pemantauan pengendalian internal, kepatuhan terhadap peraturan dan tata kelola. Berikut domain proses MEA:
  • MEA01 Monitor, Evaluate and Assess Performance and Conformance (Memantau, Evaluasi dan Menilai Kinerja Dan Penyesuaian)
  • MEA02 Monitor, Evaluate and Assess The System of Internal Control (Memantau, Evaluasi dan Menilai Sistem Pengendalian Internal)
  • MEA03 Monitor, Evaluate and Assess Compliance with External Requirements (Memantau, Evaluasi dan Menilai Kepatuhan dengan Persyaratan Eksternal)

Sumber :
https://media.neliti.com/media/publications/228029-metode-audit-tata-kelola-teknologi-infor-a874085b.pdf

https://si.ittelkom-pwt.ac.id/2017/09/07/lima-prinsip-utama-it-governance/

http://rachmagustin.blogspot.com/2020/01/it-governance-risk-management.html

https://books.google.co.id/books?id=kmAaEAAAQBAJ&printsec=frontcover&hl=id#v=onepage&q&f=false

https://zulfikarfarros.blogspot.com/2019/11/contoh-dari-setiap-aspek-yang-terdapat.html



Komentar

Posting Komentar