Pages - Menu

Friday, November 3, 2017

Audit Teknologi Sistem Informasi



TUGAS 1
AUDIT TEKNOLOGI SISTEM INFORMASI #
“TATA KELOLA AUDIT TEKNOLOGI SISTEM INFORMASI”



Dosen :
Qomariyah
Disusun oleh :
                                 Onnadia Tiomauli (18114351)
Kelas : 4KA32


FAKULTAS ILMU KOMPUTER DAN TEKNOLOGI INFORMASI
UNIVERSITAS GUNADARMA
PTA 2017/2018

KATA PENGANTAR
Puji syukur saya panjatkan ke hadirat Tuhan Yang Maha Esa, karena berkat rahmat-Nya saya bisa menyelesaikan makalah yang berjudul “Tata Kelola Audit Teknologi Sistem Informasi”. Makalah ini diajukan guna memenuhi tugas mata kuliah Audit Teknologi Sistem Informasi. Selain itu, untuk menambah wawasan lebih jauh mengenai “” dan hal-hal lain yang berikaitan di dalamnya.
Makalah ini disusun agar penyusun dan pembaca dapat memperluas ilmu tentang Audit Tekologi Sistem Informasi khusus nya dalam pengetahuan ,yang saya sajikan berdasarkan pengamatan dari berbagai sumber informasi, referensi, dan berita. Makalah ini disusun oleh penyusun dengan berbagai rintangan. Baik itu yang datang dari diri penyusun maupun yang datang dari luar. Namun dengan penuh kesabaran dan terutama pertolongan dari Tuhan akhirnya makalah ini dapat terselesaikan.
Semoga makalah ini dapat memberikan wawasan yang lebih luas dan menjadi sumbangan pemikiran kepada pembaca khususnya para mahasiswa Universitas Gunadarma. Saya sadar bahwa makalah ini masih banyak kekurangan dan jauh dari kata sempurna. Oleh karena itu,  kepada  dosen  saya  meminta  masukannya  demi  perbaikan  pembuatan  makalah  saya di masa  yang  akan  datang dan mengharapkan kritik dan saran dari para pembaca.



    Bekasi, 07 Oktober 2017

Onnadia Tiomauli



DAFTAR ISI

KATA PENGANTAR..................................................................2
DAFTAR ISI………………………………………..3
BAB I PENDAHULUAN
1.1 Latar Belakang..........................................5
1.2 Rumusan Masalah 6
              1.3 Tujuan Penulisan……………………….. 6
BAB II PEMBAHASAN
       2.1 Konsep Tata Kelola TI..............................7
2.1.1 Definisi Informasi dan Hubungannya dengan Audit SI 7
                             2.1.2 Teknologi Informasi dan Sistem
                 Informasi……………………………….. 7
                    2.1.3 Definisi Sistem…………………. 7
                    2.1.4 Aspek Demand dan Supply…… 8
          2.2 E Business………………………………. 9
2.2.1 Pengertian
                Ebusiness……………................................9
                    2.2.2 Teknologi Informasi dalam      
                Strategi Perusahaan ………………….  10
          2.3 Tata Kelola Teknologi Informasi……. 11
                    2.3.1 Definisi…………………………11
                    2.3.2 Tujuan dan Fungsi……………12
                    2.3.3 Pentingnya Tata Kelola TI…...12
                    2.3.4 Pengabaian Tata Kelola TI…..12
                    2.3.5 Manfaat Tata kelola TI………13
          2.4 Audit Sistem Informasi……………….. 15
                    2.4.1 Latar Belakang Audit Sistem15
                    2.4.2 Pengertian Audit Sistem
                         Informasi……………………….....16
                    2.4.3 Sasaran Audit SI………………17
                    2.4.4 Kebutuhan terhadap Audit SI..17
                    2.4.5 Assurance and Consulting
                          Activity……………………………19
                              2.5.1 Pendahuluan………….....19
                              2.5.2 Kerangka Kerja………...20
                    2.4.6 Auditor…………………………22
                    2.4.7 Proses Audit Sistem Informasi..24
                        2.4.8 Kriteria atau Standard Audit SI..25
                        2.4.9 Pembuatan Kesimpulan Audit SI.30
                        2.4.10 Evaluasi Audit SI…………….....30
            2.5 Implementasi……………………………..31
BAB III PENUTUP
                3.1 Kesimpulan……………………...…….. 34
           3.2 Saran…………………………….............34
DAFTAR PUSTAKA……………………………......................35




BAB I
PENDAHULUAN

I.            Latar Belakang
       Latar belakang dalam era globalisasi saat ini, Teknologi Informasi(TI) saat ini menjadi bagian yang tak terpisahkan dan terintegrasi dengan tujuan bisnis organisasi. Bagaimana teknologi informasi diaplikasikan dalam suatu organisasi akan mempengaruhi seberapa jauh organisasi tersebut telah mencapai visi, misi ataupun tujuan strategisnya.          

         Penerapan TI dalam dunia industri sudah sangat penting. Teknologi informasi memberi peluang terjadinya transformasi dan peningkatan produktifitas bisnis. Penerapan teknologi informasi membutuhkan biaya yang cukup besar dengan risiko kegagalan yang tidak kecil. Penerapan teknologi informasi di dalam perusahaan dapat digunakan secara maksimal, untuk itu  dibutuhkan pemahaman yang tepat mengenai konsep dasar dari sistem yang berlaku, teknologi yang dimanfaatkan, aplikasi yang digunakan dan pengelolaan serta pengembangan sistem yang dilakukan pada perusahaan tersebut. Perusahaan harus dapat mengatasi masalah dan perubahan yang terjadi secara cepat dan tepat sasaran. Oleh karena itu, faktor yang harus diperhatikan tidak hanya berfokus pada pengelolaan informasi semata, melainkan juga harus fokus untuk menjaga dan meningkatkan mutu informasi perusahaan.
       
          Dalam konteks ini, informasi dapat dikatakan menjadi kunci untuk mendukung dan meningkatkan manajemen perusahaan agar dapat memenangkan persaingan yang semakin lama akan semakin meningkat. Penerapan TI di perusahaan dapat dilakukan dengan baik apabila ditunjang dengan suatu pengelolaan TI (IT Governcance dari mulai perencanaan sampai implementasinya. IT Governance adalah suatu struktur hubungan dan proses untuk mengatur dan mengontrol perusahaan yang bertujuan untuk mencapai tujuan perusahaan yang telah ditetapkan dengan pertambahan nilai dengan tetap menyeimbangkan risiko-risiko dengan nilai yang didapatkan dari penerapan TI dan proses-prosesnya.


II.         Rumusan Masalah
        Berdasarkan latar belakang yang telah diuraikan, didapatkan suatu rumusan masalah sebagai berikut:
1.      Pengenalan TI, Audit SI dan semua konsep di dalamnya.
2.      Implementasi teori TI dan Audit SI.

III.     Tujuan Penulisan
1.      Memahami Pengenalan TI, Audit SI dan semua konsep di dalamnya.
2.      Mampu menjelaskan implementasi teori TI dan Audit SI.



BAB II
                                                                                     PEMBAHASAN        

2.1 Konsep Tata Kelola TI
      2.1.1 Definisi Informasi dan Hubungannya dengan Audit SI
               Informasi merupakan salah satu sumber daya strategis suatu organisasi. Oleh karena itu, untuk mendukug tercapainya visi dan misi suatu organisasi, pengelolaan informasi menjadi salah satu kunci sukses. Sistem informasi merupakan salah satu subsistem organisasi untuk mengelola informasi. Saat ini sistem informasi dioperasikan oleh hampir seluruh sumber daya manusia suatu organisasi, sehingga tidak dapat dipisahkan dengan operasi dan kehidupan organisasi. Teknologi informasi merupakan komponen penting dari sistem informasi, selain data/informasi, sumber daya manusia dan organisasi. Teknologi informasi yang dmaksud adalah teknologi telematika, telekomunikasi dan informatika, yang mencakup teknologi komputer (perangkat keras, perangkat lunak) dan didukung dengan teknologi telekomunikasi, khususnya komunikasi data digital sebagai infrastruktur dari jaringan komputer.
                 Perlu teknik untuk mengendalikan dan memastikan bahwa sistem informasi sudah sesuai dengan tujuan organisasi. Audit sistem informasi merupakan suatu cara untuk menilai sejauh mana suatu sistem informasi telah mencapai tujuan organisasi.

     2.1.2 Teknologi Informasi dan Sistem Informasi
                Istilah ‘teknologi informasi’ mulai dipergunakan secara luas di pertengahan 80-an. Teknologi ini merupakan pengembangan dari teknologi komputer yang dipadukan dengan teknologi telekomunikasi. Definisi kata ‘informasi’ sendiri secara iternasional telah disepakati sebagai ‘hasil dari pengolahan data’ yang secara prinsip memiliki nilai atau value yang lebih dibandingkan dengan data mentah. Komputer merupakan bentuk teknologi informasi pertama  (cikal bakal) yang dapat melakukan proses pengolahan data menjadi informasi. Dalam kurun waktu yang kurang lebih sama, kemajuan teknologi telekomunikasi terlihat sedemikian pesatnya, sehingga telah mampu membuat dunia terasa lebih kecil (mereduksi ruang dan waktu = time and space). Dari sejarah ini dapat ini dapat disimpulkan bahwa  yang dimaksudkan dengan teknologi informasi adalah suatu teknologi yang berhubungan dengan pengolahan data menjadi informasi  dan proses penyaluran data/informasi tersebut dalam batas-batas ruang dan waktu. Dengan berpegang pada definisi ini, terlihat bahwa komputer hanya merupakan salah satu produk domain teknologi informasi. Modem, Router, Oracle, Printer, Multimedia, Cabling System, VSAT, dan lain sebagainya, merupakan contoh dari produk-produk teknologi informasi.

   2.1.3 Definisi Sistem
           Kata ‘sistem’ mengandung arti ‘kumpulan dari komponen-kompnen yang memiliki unsur keterkaitan antara satu dan lainnya’. Sistem informasi merupakan suatu kumpulan dari komponen-komponen dalam perusahaan atau organisasi yang berhubungan dengan proses penciptaan dan pengaliran informasi. Dalam hal ini, teknologi informasi hanya merupakan salah satu komponen kecil saja dalam format perusahaan. Komponen-komponen lainnya adalah: proses dan prosedur, struktur organisasi, sumber daya manusia, produk, pelanggan, supplier, tekanan dan lain sebagainya. Secara teori, di satu titik ekstrem, suatu sistem informasi yang baik belum tentu harus memiliki komponen teknologi informasi (lihat perusahaan-perushaan pengrajin kecil dengan omset miliaran); sementara di titik ekstrem lain, computer memegang peranan teramat penting dalam pencipta produk (perhatikan perusahaan manufakturing Jepang yang memperkejakan robot untuk seluruh proses perakitan). Jadi, keandalan suatu sistem informasi dalam perusahaan atau organsasi terletak pada keterkaitan antara komponen-komponen yang ada, sehingga dapat dihasilkan dan dialirkan suatu  informasi yang berguna (akurat, terpecaya, detail, cepat, relevan, dsb) untuk lembaga yang bersangkutan.



    2.1.4 Aspek Demand dan Supply 

            Dengan berpegang pada definisi-definisi sederhana di atas, dapat diambil kesimpulan bahwa ada hubungan yang sangat erat antara ‘sistem informasi’ dan ‘teknologi informasi’. Dalam sebuah prespektif lain, kita dapat melihat bahwa ‘sistem informasi’ merupakan sisi demand dari perusahaan dalam menjalankan kegiatan manajemen sehari-hari, sementara ‘teknologi informasi’ merupakan sisi supply dari kebutuhan perusahaan tersebut. Gambaran di atas memperlihatkan contoh umum dari kebutuhan akan sistem informasi peusahaan, dari tingkatan terendah (transaksi, dibutuhkan oleh supervisor) sampai dengan yang tertinggi (strategis, dibutuhkan oleh direktur) yaitu: Database Information System, Transactional Information System, Managemet Information System, Decision Support System dan  Executive Information System. Dari sisi supply, dikembangkan produk-produk teknologi informasi sebagai jawaban terhadap kebutuhan tersebut, mulai dari jenis fisik mengalir, sampai dengan aplikasi-aplikasi multimedia untuk menampilkan informasi yang telah diproses.

2.2  EBusiness
       2.2.1 Pengertian Ebusiness


               Di era modern yang serba dinamis ini, organisasi seperti perusahaan berusaha untuk selalu berubah dari waktu ke waktu. Perkembangan teknologi informasi yang kecepatannya eksponensial saat ini memberikan dampak yang cukup besar bagi peusahaan yang selalu ingin beradaptasi dengan teknologi terbaru. Kemajuan teknologi informasi dan berbagai paradigma bisnis dianggap sebagai kunci sukses perusahaan-perusahaan di era informasi dan di masa-masa mendatang. Secara ringkas, Mohan Sawhney mendefinisikan eBusiness sebagai:
“The use of electronic networks and associated technologies to enable, improve, enhance, transform, or invent a business process or business system to create superior value for current or potential customers.”
                  Secara prinsip, definisi tersebut jelas memperlihatkan bagaimana teknologi elektronik dan digital berfungsi sebagai medium tercapainya proses dan sistem bisnis (pertukaran barang atau jasa) yang jauh lebih baik dibandingkan dengan cara-cara konvensional, terutama dilihat dari manfaat yang dapat dirasakan oleh mereka yang berkepentingan (stakeholders).

         2.2.2 Teknologi Informasi dalam Strategi Perusahaan
                Hampir semua teori manajemen sistem informasi modern menekankan perlunya strategi perencanaan dan pengembangan teknologi informasi dirancang sejalan (align) dengan strategi bisnis perusahaan. Dengan kata lain, para praktisi teknologi informasi di perusahaan (SDM di divisi teknologi informasi) harus mengatahui secara jelas, filosofi keberadaan peralatan komputer dan telekomunikasinya dalam bisnis. Secara sederhana, perusahaan memerlukan strategi karena adanya aspek 3-C (company, customers dan competitors).

 2.3 Tata Kelola Teknologi Informasi
       2.3.1 Definisi
      Merupakan suatu cabang dari tata kelola perusahaan yang terfokus pada Sistem/Teknologi informasi serta manajemen Kinerja dan risikonya. Tata kelola TI adalah struktur kebijakan atau prosedur dan kumpulan proses yang bertujuan untuk memastikan kesesuaian penerapan TI dengan dukungannya terhadap pencapaian tujuan  institusi dengan cara mengoptimalkan keuntungan dan kesempatan yang ditawarkan TI, mengendalikan penggunaan terhadap sumber daya TI dan mengelola risiko-risiko terkait TI.
      2.3.2 Tujuan dan Fungsi
     ITSM(Information Technology Service Management) memfokuskan diri pada 3 tujuan utama, yaitu :
1.      Menyelaraskan layanan TI dengan kebutuhan sekarang dan akan dating dari bisnis dan pelanggannya.
2.      Memeperbaiki kualitas layanan-layanan TI.
3.      Mengurangi biaya jangka panjang dari pengelolaan layanan-layanan tersebut.
Standar ITIL berfokus kepada layanan pelayanan customer, dan sama sekali tidak meyertakan proses penyelarasan strategi perusahaan terhadap strategi TI yang dikembangkan.

2.3.3 Pentingnya Tata Kelola TI
Di lingkungan yang sudah memanfaatkan Teknologi Informasi(TI), tatakelola TI menjadi   hal penting   yang harus diperhatikan. Hal ini dikarenakan ekspektasi dan realitas seringkali tidak sesuai. Pihak shareholder perusahaan selalu berharap agar perusahaan dapat:
1.Memberikan solusi TI dengan kualitas yang bagus, tepat waktu, dan sesuai dengan anggaran.
2.Menguasai dan menggunakan TI untuk mendatangkan keuntungan.
3.Menerapkan TI untuk meningkatkan efisiensi dan produktivitas sambil menangani risiko TI.

2.3.4 Pengabaian Tata Kelola TI                                  
              Tatakelola TI yang dilakukan secara tidak efektif akan menjadi awal terjadinya pengalaman buruk yang dihadapi perusahaan, yang memicu munculnya fenomena investasi TI yang tidak diharapkan,seperti:
1.Kerugian bisnis,berkurangnya reputasi, dan melemahnya posisi kompetisi.
2.Tenggang waktu yang terlampaui, biaya lebih tinggi dari yang diperkirakan, dan kualitas lebih rendah dari yang telah diantisipasi.
3.Efisiensi dan proses inti perusahaan terpengaruh secara negative oleh rendahnya kualitas penggunaan TI.
4.Kegagalan dari inisiatif TI untuk melahirkan inovasi atau memberikan keuntungan yang dijanjikan.

2.3.5 Manfaat Tata kelola TI
1.Untuk mengatur penggunaan TI.
2.Memastikan kinerja TI sesuai dengan tujuan/fokus utama area tatakelola TI.
MODEL TATAKELOLA TEKNOLOGI INFORMASI
       Control  Objectives for Information and related Technology (COBIT) COBIT Framework dikembangkan oleh IT Governance Institute, sebuah organisasi yang  melakukan studi tentang model pengelolaan TI yang berbasis di Amerika Serikat
COBIT Framework terdiri atas 4 domain utama :
1. Planning & Organisation
2. Acquisition & Implementation.
3. Delivery & Support.
4. Monitoring.

1. Planning & Organisation.
    Domain ini menitikberatkan pada proses perencanaan dan penyelarasan strategi TI dengan strategi perusahaan.
2. Acquisition & Implementation.
    Domain ini menitikberatkan pada proses pemilihan, pengadaaan dan penerapan teknologi informasi yang digunakan.
3. Delivery & Support.
    Domain ini menitikberatkan pada proses pelayanan TI dan dukungan teknisnya.
4. Monitoring.
    Domain ini menitikberatkan pada proses pengawasan pengelolaan TI pada organisasi.
COBIT mempunyai model kematangan(maturity models), untuk mengontrol proses-proses TI dengan menggunakan metode penilaian(scoring) sehingga suatu organisasi dapat menilai proses-proses TI yang dimilikinya dari skala non-existent sampai dengan optimised(dari 0 sampai 5). COBIT juga mempunyai ukuran-ukuran lainnya sebagai berikut:
1. Critical Success Factors (CSF)
2. Key Goal Indicators (KGI)
3. Key Performance Indicators (KPI)

1.Critical Success Factors (CSF)
Mendefinisian hal-hal atau kegiatan penting yang dapat digunakan manajemen untuk dapat mengontrol proses-proses TI di organisasinya
2. Key Goal Indicators (KGI)
Mendefinisikan ukuran-ukuran yang akan memberikan gambaran kepada manajemen apakah proses-proses TI yang ada telah memenuhi kebutuhan proses bisnis
yang ada KGI biasanya berbentuk kriteria informasi:
a. Ketersediaan informasi yang diperlukan dalam mendukung kebutuhan bisnis.
b. Tidak adanya risiko integritas dan kerahasiaan data.
c. Efisiensi biaya dari proses dan operasi yang  dilakukan
d. Konfirmasi reliabilitas, efektivitas,  dan compliance.
3. Key Performance Indicators (KPI)
Mendefinisikan ukuran-ukuran untuk menentukan kinerja proses-proses TI dilakukan untuk mewujudkan tujuan yang telah ditentukan. KPI biasanya berupa indikator kapabilitas, pelaksanaan, dan kemampuan sumber daya TI.

2.4 Audit Sistem Informasi
       2.4.1 Latar Belakang Audit Sistem Informasi

               Audit atas sistem informasi perlu dilakukan mengingat besarnya risiko yang harus dihadapi oleh organisasi berkaitan dengan penggunaan teknologi informasi. Risiko-risiko tersebut antara lain:
a.       Kehilangan Data
Data merupakan asset teknologi informasi yang sangat kritikal bagi kelangsungan operasional perusahaan. Dapat dibayangkan apabila sebuah organisasi mengalami kehilangan data, misalnya data piutang atau data pelanggan. Akibat terjadinya gangguan virus atau terjadi kebakaran pada ruangan computer, misalnya, maka seluruh data tagihan tersebut hilang. Kehilangan data tersebur mungkin saja akan mengakibatkan perusaan tidak dapat melakukan penagihan kepada para pelanggan. Atau, kalaupun masih dapat dilakukan, waktu yang dibutuhkan menjadi sangat lama karena harus melakukan verifikasi manual atas dokumen penjualan yang dimiliki.
b.      Kesalahan Pengambilan Keputusan
Sebuah keputusan pada umumnya diambil berdasarkan data dan informasi yang tersedia. Apa yang akan terjadi apabila data dan informasi yang tersedia tidak akurat, tidak lengkap, tidak tepat waktu dan tidak relevan? Contoh: Dalam bidang kedokteran, misalnya, keputusan dokter untuk melakukan tindakan operasi dapat saja ditentukan dengan menggunakan bantuan perangkat lunak Decision Support System(DSS). Dapat dibayangkan risiko yang mungkin dapat ditimbulkan apabila sang dokter salah memasukkan data pasien ke sistem TI yang digunakan. Taruhannya bukan lagi material, melainkan nyawa seseorang.
c.       Penyalahgunaan Komputer
Risiko kemungkinan penyalahgunaan teknologi yang dapat mengakibatkan kerugian yang bahkan tidak terbayangkan. Risiko tersebut dapat berupa ancaman fisik seperti penghancuran dan pencurian asset dan nonfisik seperti hacking, virus dan penyalahgunaan akses. Kejahatan computer juga bisa dilakukan oleh karyawan yang merasa tidak puas dengan kebijakan perusahaan, baik yang saat ini masih aktif bekerja di perusahaan yang bersangkutan maupun yang telah keluar. Sayangnya, tidak semua perusahaan siap mengantisipasi adanya risiko-risiko tersebut.
d.      Nilai Investasi
Sebagian besar investasi dalam teknologi informasi memerlukan dana yang tidak sedikit dan cenderung sulit dikendalikan. Contoh: Indonesia, belum banyak organisasi yang melakukan analisis cost & benefit sebelum melakukan investasi teknologi informasi.
e.       Aspek Privasi
Banyak data dan informasi yang bersifat pribadi tersimpan dalam sistem computer, seperti apabila kita mempunyai kartu kredit, maka data tanggal lahir, tempat tinggal, pekerjaan dan lain-lainnya yang terkadang merupakan informasi pribadi akan tersimpan dalam sistem computer penyedia kartu kredit.
f.       Kesalahan Pengoperasian Komputer
Sering kali, TI digunakan untuk melakukan perhitungan yang rumit. Salah satu alas an digunakannya TI adalah kemampuan untuk mengolah data secara cepat dan akurat(misalnya: perhitungan bunga bank). Penggunaan TI untuk mendukung proses perhitungan bunga bukannya tanpa risiko kesalahan. Risiko ini akan semakin besar, misalnya ketika bank tersebut baru saja berganti sistem dari sistem dari sistem yang sebelumnya mereka gunakan. Tanpa adanya mekanisme pengembangan sistem yang memadai, mungkin saja terjadi kesalahan penghitungan atau bahkan fraud. Kesalahan yang ditimbulkan oleh sistem baru ini akan sulit terdeteksi tanpa adanya audit terhadap sistem tersebut. Akibat kesalahan pengoperasian komputer dapat berupa kerugian finansial dari Rp 0 sampai kepada kebangkrutan bahkan kerugian jiwa.
g.      Evolusi Teknologi
Teknologi informasi, seperti halnya teknologi yang lain mempunyai sifat netral. Sisi baik dan sisi buruk akibat pemanfaatannya tergantung kepada siapa penggunanya dan untuk apa digunakan.

2.4.2 Pengertian Audit Sistem Informasi
         Definisi Audit Sistem Informasi(atau beberapa kalangan lebih menyukai untuk menyebut audit teknologi informasi) dapat dikemukakan sebagai berikut:
a.       Ron Weber – IS Control & Audit, 1999
“The process of collecting and evaluating evidence to determine whether a computer system safeguards assets, maintains data integrity, allows organizational goals to be achieved effectively, and uses resources efficently.”
b.      ISACA – CISA Review Manual
The process of collecting and evaluating evidence to determine whether information systems and information technology environments adequately safeguards assets, maintain data and system integrity, provide relevant and reliable information, achieve organizational goals effectively, consume resources efficiently, and have in effect internal controls that provide reasonable assurance that operational and control objectives will be meet.”
         Apabila dilihat dari definisi-definisi di atas, maka dapat disimpulkan bahwa tujuan audit sistem informasi adalah untuk menilai apakah pengedalian sistem informasi telah dapat memberikan keyakinan yang memadai atas:
§  Pengamanan Aset
Aset teknologi informasi mencakup perangkat keras, perangkat lunak, fasilitas teknologi informasi, personil, file data, dokumentasi sistem dan perangkat lain. Pengamanan aset yang dimaksudkan di sini adalah sejauh mana TI dapat memberikan jaminan kerahasiaan dan ketersediaan informasi.
§  Integritas Data
Integritas data merupakan konsep dasar audit sistem informasi. Integritas data berarti data memilik atribur: perlengkap.


2.4.3    Sasaran Audit SI
         Sasaran audit adalah untuk meningkatkan kualitas proses-proses termasuk kontrol-kontrolnya dan tujuan akhirnya adalah untuk membantu organisasi mencapai tujuan-tujuannya.

2.4.4 Kebutuhan terhadap Audit SI
            Pengukuran terhadap software developer dengan menggunakan model CMM-SW diharapkan dapat membedakan antara software developer yang “matang” dengan software developer yang kurang “matang”.
           Mengikuti model kematangan ini, terutama aspek awareness-nya, dapat dibedakan tingkat-tingkat kebutuhan terhadap audit TI:
1.      Audit TI belum perlu dilakukan
      Jika regulator suatu industri belum memberikan persyaratan-persyaratan terhadap TI, tidak ada faktor pendorong bagi perusahaan-perusahaan di industri tersebut untuk melakukan audit TI, sehingga tergantung pada masing-masing perusahaan apakah mau melakukannya atau tidak.
      Di tingkat kematangan ini, perusahaan dan manajemen belum memiliki kebutuhan  terhadap audit TI atau sudah mulai merasakan kebutuhan tersebut, namun berdasarkan perkembangan finansial, operasional, dan sebagainya, diputuskan bahwa audit TI belum dilakukan untuk sementara.
      Contoh: pemeriksaan kendaraan sebelum berangkat ke tujuan memungkinkan terjadinya permasalahan ataupun tidak tetapi dengan pemeriksaan tersebut peluang tejadinya kecelakaan lebih kecil.
2.      Audit TI dilakukan karena diwajibkan
      Audit – audit yang dilakukan untuk mengetahui terpenuhi atau tidaknya persyaratan – persyaratan dari eksternal perusahaan ini disebut audit kepatuhan.
     Semua perusahaan di industry , baik besar maupun kecil harus melakukan audit TI. Ditingkat ini, audit dilakukan karena keterpaksaan dan keharusan , dengan adanya audit, perusahaan menjadi memenuhi persyaratan dan lolos dari sanksi.
3.      Audit TI dilakukan karena dianggap bermanfaat
      Dalam suatu model kematangan, tingkat kematangan untuk audit TI tidak ditentukan hanya dari kematangan awareness-nya; tingkat kematangan audit TI dapat dilihat dari berbagai aspek antara lain kejelasan kebijakan dan prosedur, keahlian dan pengalaman melakukan audit, serta penggunaan tools.
      Reasonable assurance dan rekomendasi ini dapat diterapkan dan dirasakan manfaatnya di ketiga manajemen lini pertama (first line manajemen) atau manajemen operasional, manajemen madya (middle management) atau manajemen taktis, dan manajemen puncak (top management) atau manajemen strategis.

        Manajemen puncak melihat organisasi secara keseluruhan, visi dan misinya, dan strategi-strategi yang perlu dijalankan, terasuk relasi dengan pihak-pihak luar perusahaan. Manajemen puncak melihat secara jangka panjang, perjalanan yang perlu ditempuh oleh organisasi
        Manajemen madya menjalankan rencana dan strategi-strategi yang ditetapkan oleh manjamen puncak. Manajemen taktis berurusan dengan pencapaian tujuan jangka menengah, anggaran, sumber daya, dan sebagainya.
       Manajemen lini pertama bertanggung jawab terhadap berjalannya operasi perusahaan sehari-hari (day to day running of the company) dan lebih bersifat jangka pendek.

2.4.5 Assurance and Consulting Activity
2.4.5.1 Pendahuluan
          Assurance activity adalah aktivitas di mana pelakunya menyatakan sebuah kesimpulan/konklusi dari pengukuran atau evaluasi terhadap suatu hal/objek berdasarkan kriteria tertentu dengan tujuan untuk memberikan semacam jaminan/keyakinan kepada sponsor aktivitas tersebut sehingga pihak sponsor dapat membuat keputusan yang berbasiskan informasi (informed decisions). Audit termasuk dalam assurance activity.
        The International Auditing and Assurance Board (IAASB), sebuah lembaga independen yang menyediakan standar internasional untuk audit dan assurance, mendefinisikan unsur-unsur dari assurance activity dalam kerangka kerjanya:
a.       Hubungan tiga pihak yaitu pelaku (dalam konteks audit berarti auditor), pihak yang bertanggung jawab (dalam konteks audit berarti auditee), dan penerima/pengguna laporan.
b.      Pokok bahasan (subject matter) yaitu objek audit .
c.       Kriteria yang digunakan untuk memeriksa dan mengevaluasi objek audit.
d.      Bukti yang tepat dan cukup.
e.       Laporan (assurance report).
      Consulting activity menghasilkan rekomendasi untuk masa yang akan datang, sedangkan assurance activity memeriksa hal yang sedang berjalan untuk mendapatkan indikasi ke depan.
       Jika hanya dua pihak yang terlibat, tidak terlalu dirasakan keperluan untuk menyoroti kelemahan-kelemahan yang ada, dan hal yang terutama diperlukan adalah rekomendasi-rekomendasi untuk perbaikan/pengikatan, review dapat dipilih sebagai tipe aktivitas dan bukannya audit. 

2.4.5.2         Kerangka Kerja
               Bagian ini akan menjelaskan di mana posisi audit TI dalam kerangka kerja assurance secara keseluruhan, yaitu:
A.    Tiga Lini Pertahanan
       Dari sudut pandang ini, manajemen operasional menjadi lini pertahanan pertama(first-liners) mereka bertanggung jawab untuk memastikan proses-proses ti berjalan secara efektif dan efesien.
    Lini pertahanan kedua adalah pihak – pihak TI yang melakukan pemantauan berkesinambungan atau pengawasan melekat, tidak untuk semua aspek namun hanya untuk aspek – aspek yang relevan dengan area mereka.
    Auditor sebagai pihak independen di luar unit TI menjadi lini pertahanan terakhir dalam arti jika lini pertama, kedua dan ketiga tidak dapat mendeteksi risiko , maka tidak adalagi pihak lain yang secara sistematis akan melakukan pendeteksian resiko/masalah TI.
B.     Perencanaan Audit Tahunan
      Ada banyak area/objek yang dapat diaudit sedangkan waktu dan sumber daya yang dimiliki unit audit terbatas. Oleh karena itu, perlu diseleksi area/objek yang penting yang akan diperiksa, urutan pemeriksaannya, dan frekuensi auditnya dalam setahun, termasuk menentukan audit yang direncanakan untuk dilakukan di tahun berikutnya.
     Jika belum dilakukan sebelumnya atau sudah cukup lama, dapat dilakukan audit TI yang bersifat umum terlebih dahulu (termasuk kepatuhan terhadap peraturan perundangan) kemudian diikuti dengan audit-audit yang lebih berfokus di bulan-bulan berikutnya. Dalam audit TI umum, dilakukan pemeriksaan secara umum terhadap semua ranah dengan tujuan antara lain :
-          Mendeteksi permasalahan-permasalahan besar/utama.
-          Mendapatkan kesan secara keseluruhan (overall impression).
-          Mengetahui ranah-ranah/proses-proses yang perlu diaudit dengan lebih detail.
C.     Perencanaan Audit Individual
      Sebelum ditetapkan audit apa saja yang akan dilakukan dalam setahun(atau dua tahun), untuk masing-masing audit tersebut harus dibuat perencanaan auditnya. Tahapan audit secara umum akan berlaku untuk setiap audit ini namun isi atau detail dari tiap tahapan bisa berbeda untuk masing-masing audit. Contoh: perencanaan audit jaringan akan berbeda dengan perencanaan audit pengembangan sistem.
     Meningkatkan kualitas evaluasi audit :
A.    Evaluasi pascaaudit(post-audit evaluation)
B.     Evaluasi audit tahunan

                                      
2.4.6 Auditor
1.      Independensi
      Independen di sini mencakup independensi auditor dan independensi organisasi auditor. Hal yang dimaksud independensi auditor adalah independensi terhadap auditee dalam segala hal, tidak hanya yang diperlihatkan di luar namun juga dalam hati.
       Contohnya di sini adalah hubungan keluarga antara auditor dengan auditee, atau misalnya auditee adalah sahabat karib dari auditor. Selain independensi auditor, organisasi auditor juga harus independen terhadap organisasi auditee yang artinya organisasi auditor tidak memiliki keterkaitan/hubungan atau kepentingan tersembunyi terhadap organisasi auditee. Misalnya dalam kasus organisasi auditor memiliki kepentingan agar organisasi auditee bisa lulus audit karena kedua organisasi masih terkait, organisasi auditor itu tidak independen.
      Auditor atau perusahaan yang mengalami masalah independensi ini seharusnya secara jujur menyatakan permasalahan ini untuk didiskusikan. Jika diputuskan untuk diteruskan, hal ini harus dicantumkan dengan jelas dalam laporan hasil audit. 
2.      Objektivitas
     Objektivitas di sini berarti kemampuan untuk menilai, menyatakan pendapat, dan memberikan rekomendasi tanpa bias, prasangka, atau berat sebelah. Termasuk di sini adalah auditor tidak keras kepala bahwa ia selalu benar sehingga selalu beradu argumen mempertahankan pendapatnya. Auditor dapat juga mengalami masalah objektivitas dan independensi.
      Misalnya dalam kasus unit TI ingin lulus sertifikasi tentu dari badan regulator dan harus diaudit oleh auditor eksternal.  Dalam hal ini, unit TI dan menejemen puncak memiliki harapan agar auditor tidak terlalu ketat dalam mengaudit agar sertifikasi bisa didapat dengan lancar; audit yang ketat dapat menyebabkan auditee tidak lulus sertifikasi sehingga menyebabkan auditee tidak puas dan kemudian menggunakan auditor lain yang lebih akomodatif. Unit TI atau menajemen dapat memberikan pesan secara halus kepada auditor bahwa jika mereka tidak lulus audit maka jasa auditor tersebut tidak akan lagi dicari., dan/atau jika mereka lulus audit, auditor dijanjikan beberapa proyek ke depan.
      Dalam kasus ini, auditor harus selalu ingat kepentingan siapa yang diwakilinya. 
3.      Kompetensi
 Auditor harus kompeten dalam arti:
1.      Memiliki pengetahuan dan pemahaman mengenai audit
2.      Memiliki pengetahuan dan pemahaman mengenai objek yang diaudit
3.      Memiliki keterampilan teknis dan non-teknis untuk melakukan audit
4.      Memiliki pengalaman yang relavan 
   Auditor harus kompeten. Auditor yang kurang mengetahui cara melakukan audit, audit khusus, atau audit dengan cakupan kerja yang tidak umum/lazim, sebaiknyna tidak menjadi auditor utama (lead auditor) tetapi menjadi auditor pendukung dan bekerja di bawah supervisi/pengawasan auditor ahli.
   Jika dirasa kompetensi untuk mengaudit kurang mencukupi, dapat digunakan jasa ahli/spesialis dari luar perusahaan yang memiliki latar belakang pendidikan dna pelatihan lebih tepat, sertifikasi/kualifikasi professional yang relavan, serta pengalaman yang lebih banyak. Contohnya adalah menggunakan jasa ahli/spesialis untuk menguji keamana sistem operasi smartphone dan keamanan mobile applications.
   Selain ketiga hal yang muncul dari definisi-definisi di atas, yaitu independensi, objektivitas, dan kompetensi, auditor juga perlu menerapkan prinsip due diligence & professional skepticism serta intergritas auditor.
4.      Due Diligence & Professional Skepticism
     Prinsip due diligence di sini berarti auditor mengaudit secara professional dengan mengacu kepada standar-standar audit, berhati-hati, teliti, dan lengkap dalam arti tidak ada detail yang tidak diperiksa.
    Setelah mendapatkan  temuan pun, auditor bersikap skeptic dan tidak serta-merta menerimanya namun harus memverifikasi temuan tersebut dengan bukti-buktinya serta menilainya secara kritis.
    Contoh auditor yang kurang menerapkan prinsip ini adlah auditor yang tidak memeriksa formula/kalkulasi dari fungsi-fungsi utama sebuah aplikasi dengan asumsi bahwa fungsi-fungsi utama tentunya sudah diperiksa oleh pemrogram dan juga oleh tim software quality assurance.
5.      Integritas
     Integritas di sini berarti auditor memiliki prinsip-prinsip moral yang baik dan kukuh serta standar perilaku yang konsisten dan persisten terhadap setiap pihak. Auditor yang memiliki integritasakan berpegang teguh pada standar audit dan kode etik profesionalnya, seperti antara lain menolak melakukan segala sesuatu yang melanggar peraturan perundangan dan juga menjaga kerahasiaan informasi yang diperoleh saat audit. Contohnya adalah tidak mencari bukti temuan dengan melakukan penyadapan sistem (yang berarti melanggar UU no. 11 tahun 2008) kecuali telah mendapatkan izin/persetujuan.
    Terkait dengan kode etik profesi tersebut di atas, terdapat ebberapa kode etik yang dapat dijadikan sebagai acuan misalnya Code of Ethics (Pprinciples and Rules of Conduct) dari The Institute of Internal Auditors, Code of Professional Ethics dari ISACA, dan Code of Ethics dari (ISC).

2.4.7 Proses Audit Sistem Informasi
          Berdasarkan definisi-definisi di atas, pelaksanaan audit harus dilakukan dengan disiplin dan sistematis mengikuti langkah-langkah audit sesuai perencanaan. Prosesnya mencakup :
A.    Perencanaan, pemeriksaan dan pengumpulan hal-hal yang dapat menjadi barang bukti
B.     Pelaksanaan evaluasi, dan pebuatan pernyataan/opini dalam laporan mengenai kepatuhan/kesesuaian terhadap kriteria kriteria/standar.
C.     Pemantauan selanjutnya dan implementasi rekomendasi audit.

2.4.8    Kriteria atau Standard Audit SI
            Definisi dari ISACA menyatakan bahwa audit dilakukan untuk memberikan opini mengenai kepatuhan objek audit terhadap suatu kriteria atau standar.
           Pemilihan kriteria harus dilakukan secara cermat dam memiliki justifikasi yang kuat, sehingga pertanyaan mengenai kenapa kriteria tersebut digunakan dapat dijawab dengan tepat dan memuaskan.
           Kriteria yang dapat digunakan terbagi menjadi 2 yaitu:
A.    Kriteria Internal
      Kriteria internal terbagi menjadi acuan internal perusahaan yang telah ada di perusahaan dan kriteria yang didefinisikan sendiri. Pemilihan kriteria berikutnya adalah kriteria internal yang telah ada seperti, prinsip-prinsip TI, kebijakan, prosedur dan instruksi kerja, panduan, standar, kode etik, serta profil manajemen risiko TI.
     Banyak perusahaan yang tidak terlalu mengindahkan peraturan perundangan yang ada dan lebih mementingkan kesesuaian proses-proses TI dengan acuan internal yang ada. Dalam hal ini, audit dilakukan apakah misalnya kebijakan, prosedur, dan instruksi kerja diikuti oleh staf-staf TI dalam menjalankan proses-proses TI. Contoh lain adalah audit terhadap kesesuaian standard operating environment (SOE) atau pemeriksaan kesesuaian standar spesifikasi PC/laptop dan mailbox quota pengguna dengan profil pegawai.
     Sebagai contoh, berdasarkan profil risiko TI perusahaan, control objectives unit TI yang bersifat umum (control objectives sebaiknya spesifik dengan risiko-risiko TI yang juga spesifik) adalah sbb:
                       1.   Informasi terjamin integritasnya.
2.      Tidak ada peraturan perundangn dan peraturan internal yang terlanggar.
3.      Aset informasi terlindungi kegiatan operasional TI berjalan secara efektif dan efisien.
    Kriteria internal – pendefinisian kriteria baru untuk audit yang spesifik, bisa jadi tidak terdapat existing criteria/standard yang benar-benar pas. Dalam kasusu ini, kriteria dapat didefinisikan sendiri oleh auditor. Contohnya, seorang auditor diminta untuk memberikan reasonable assurance bahwa program penarikan undian benar-benar menarik pemenang secara acak. Untuk ruang lingkup tersebut, tidak ada peraturan perundangan atau peraturan regulator yang relavan, tidak ada standar yang benar-benar cocok untuk dapat digunakan sebagai referensi, atau kriteria internal lainnya, sehingga auditor perlu menetapkan kriteria-kriterianya sendiri.
     Hal-hal yang perlu diwaspadai sbb:
                      1.    Penggunaan kriteria-kriteria yang tidak mewakili semua hal yang ingin diperiksa
2.      Penggunaan kriteria yang kurang pas/representative terhadap hal yang ingin diperiksa.
      Dalam pemilihan kriteria-kriteria audit, dari manapun sumbernya, termasuk best practice standards, perlu dipertimbangkan kualitas-kualitas yang perlu ada dalam kriteria. Kriteria audit yang berkualitas adalah kriteria yang memeliki kualifikasi sebagai berikut:
A.Relevan
    Kriteria yang digunakan harus terkait langsung dengan area yang diaudit.Contoh pemilihan kriteria yang kurang relevan adalah pemilihan kriteria-kriteria dari ISO/IEC 27002, sebuah referensi sekuriti, untuk memeriksa manajemen risiko. Contoh lainnya, pemilihan kriteria-kriteria dari The Open Group Architecture Framework (TOGAF) sebagai kriteria untuk memeriksa software requirement padahal TOGAF adalah framework untuk arsitektur informasi.
B.Kredibel
    Kredibilitas di sini mengacu kepada seberapa meyakinkannya kriteria serta tingkat keahlian dan keterpercayaan/keterandalan dari sumber. Kriteria/standar yang dirilis oleh organisasi yang independen, terkenal, dan dapat dipercaya dianggap sebagai kriteria/standar yang kredibel, contohnya standar-standar yang dikeluarkan ISACA. National Institute of Standards and Technology (NIST) yang antara lain mengeluarkan standar-standar SP 800, serta International Organization for Standarization yang mengeluarkan standar-standar ISO, dianggap sebagai standar-standar dengan kredibilitas yang cukup tinggi.
C.Terbaru
    Kriteria yang digunakan harus masih berlaku dan sesuai dengan kondisi saat ini. Hal ini sangat penting untuk peraturan perundangan, di mana cukup sering terjadi persyaratan dalam peraturan perundangan lama diubah., dihilangkan, ditambah, atau diganti dengan persyaratan lain dalam peraturan perundangan yang lebih baru. Contohnya, Peraturan Otoritas Jasa Keuangan no. 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum (POJK MRTI) yang menggantikan PBI no. 9/15/PBI/2007. 
D.Lengkap
    Aspek yang diaudit akan memiliki atribut-atribut yang mewakili atau melekat pada aspek itu. Agar didapatkan hasil evaluasi yang menyeluruh terhadap aspek yang daudit, semua atribut perludiaudit; semua atribut dari aspek yang diaudit perlu diperiksa karena bisa jadi hasil pemeriksaan dari salah satu atribut itu mempengaruhi opini audit.
   Sebagai contoh, aspek integritas mengacu kepada:
               1.     Validitas internal (internal validity) dari proses dan kontrol.
                                                       I.            Proses berjalan dengan benar (correct processing) termasuk formula/rumus.
                                                    II.            Kontrol berjalan dengan efektif. 
2. Validitas eksternal (external validity) dari isi/substansi yaitu data benar dan akurat sesuai dengan dunia nyata.
E.Valid
    Valid memiliki basis yang kuat berdasarkan fakta atau logika. Kriteria yang valid akan benar-benar cocok/sesuai dengan konsep/hal yang mau dinilai. Sebagai contoh, suatu audit akan dilakukan terhadap kinerja jaringan memeriksa antara lain response time, processing times, bandwidth utilization, throughtput rates untuk receiving, transmitting, dan rata-ratanya. Hal yang kurang valid untuk audit khusus mengenai kinerja jaringan adalah pemeriksaan apakah user dapat teridentifikasi secara unik di jaringan dan semua aktivitasnya dapat ditelusuri; akuntabilitas akan menjadi kriteria yang valid untuk audit keamanan jaringan namun kurang tepat sebagai kriteria untuk kinerja jaringan.
F.Spesifik
   Kriteria yang digunakna sebaiknya memiliki penjelasan yang jelas dan detail untuk menghindari interpretasi/penerjemahan yang berbeda-beda. Sebagai contoh, salah satu peraturan dari regulator mensyaratkan dilakukannya “system performance review” namun tidak ada penjelasan lebih rinci mengenai factor-factor yang termasuk dalam “performance”. Bisa jadi auditee berpikir bahwa evaluasi terhadap system uptime, sebagai salah satu pengukuran dalam manajemen ketersediaan sistem (availability management), sudah cukup, sementara auditor beranggapan bahwa pengukuran terhadap throughtput, rensponse time, dan pengukuran-pengukuran lain juga harus tercakup karena merupakan bagian dari performance. Perbedaan interpretasi ini dapat berkembang menjadi pertentangan/perselisihan yang sebenarnya bisa dihindari jika kriteria dari regulator spesifik dan jelas atau disepakati sejak awal.
G.Realistis
    Kriteria perlu bersifat realistis dan dapat dicapai. Kadang-kadang kriteria yang dipilih terlalu ideal dan tidak cocok untuk diterapkan pada objek autid. Untuk itu bisa dilakukan modifikasi terhadap kriteria, termasuk pengurangan atau penambahan kiteria. Contohnya, pada sata mengaudit perusahaan menengah-kecil, persyaratan COBIT 5 untuk keberadaan IT strategy committee dapat diadaptasi menjadi tercakupnya fungsi dan tugas-tugas IT strategy committee dalam fungsi dan tugas-tugas IT steering committee. Kurang realistis jika dipaksakan untuk ada dua komite dalam suatu perusahaan kecil.
H.Terukur
    Kriteria perlu dapat diukur untuk mengetahui terpenuhi atau tidaknya kriteria tersebut. Pengukuran sebaiknya bersifat kuantitafif-objektif yang terfasilitasi dengan alat bantu. Jika bersifat kualitatif-keandalan yang baik dalam arti penilaian/pengukuran oleh pihak yang berbeda memberikan hasil pengukuran yang konsisten. 
B.     Kriteria Eksternal
        Kriteria eksternal terbagi menjadi peraturan perundangan dan peraturan regulator terkait TI serta best practice standards. Kriteria eksternal – peraturan perundangan dan regulasi berisi pemilihan kriteria dengan justifikasi terkuat adalah kriteria yang diambil dari peraturan perundangan. Salah satu assurance yang penting bagi perusahaan adalah bahwa proses-proses TI mereka tidak melanggar peraturan perundangan. Untuk itu dilakukan audit kebutuhan (compliance audit) dengan kriteria-kriteria yang mengacu kepada peraturan perundangan yang relavan untuk didapatkan assurance bahwa proses-proses TI telah mengikuti peraturan perundangan. Setelah kriteria-kriteria dari peraturan perundangan, dapat direferensi sumber-sumber kriteria lainnya. Kriteria eksternal-best practice standards berisi Jika tidak menggunakan peraturan perundangan dan peraturan regulator sebagai kriteria, dan juga diputuskan untuk tidak hanya menggunakan kriteria internal, dapat digunakan best practice standards sebagai referensi untuk menetapkan kriteria audit TI.
         Standar yang terutama direkomendasikan sebagai standar ‘payung’ untuk audit SI adalah COBIT dari ISACA. Saat ini versi terbaru dari COBIT adalah COBIT 5 yang bukan lagi kerangka kerja TI untuk diadopsi unit tapi dinyatakan oleh ISACA sebagai kerangka kerja bisnis untuk tata kelola dan manajemen terhadap TI (“business framework for the governance and management of enterprise IT”i) untuk diadopsi perusahaan. Standar ini mencakup semua ranah dna proses TI sehingga cocok disebut sebagai standar ‘paying’, tapi di banyak ranah dan proses tersebut, terdapat standar-standar lain yang lebih detail dan mendalam daripada COBIT.
        Hal yang perlu diingat saat mengacu kepada best practice standards adalah tiada hal yang sempurna, termasuk standar-standar dan tim pembuatnya. Bisa terdapat permasalahan-permasalahan dalam penggunaan best practices standards seperti tidak lengkapnya komponen/bagian tertentu, kurang cocoknya pemetaan yang disediakan, kesulitan penyesuaian kondisi actual ke framework dari standar, dan sebagainya.
        Hal lainnya yang perlu diperhatikan adalah apakah auditee sebelumnya memenag telah mengadopsi suatu standar. Jika tidak, maka perlu berhati-hati dalam menyatakan bahwa auditee tidak conform terhadap standar. Jika ada auditee yang selama ini tidak mencoba mengikuti suatu standar, kemudian diaudit dengan standar tertentu, maka sangat wajar jika banyak ditemukan nonkonformitas.

2.4.9 Pembuatan Kesimpulan Audit SI
           Auditor dapat memeriksa asersi yang dibuat manajemen dan kemudian membuat laporan/kesimpulan mengenai asersi tersebut (indirect report), atau membuat laporan berdasarkan pemeriksaan langsung terhadap objek audit (direct report). Asersi adalah pernyataan resmi tertulis yang dibuat oleh manajemen mengenai suatu entitas atau kejadian. Asersi dibuat manajemen untuk digunakan oleh pihak lain.

2.4.10 Evaluasi Audit SI
              Evaluasi pascaaudit (post-audit evaluation) dilakukan untuk mengetahui antara lain:
ü  Kepatuhan pelaksanaan audit terhadap kebijakan dan prosedur audit.
ü  Efektivitas audit yaitu pencapaian sasaran dan tujuan audit.
ü  Efisiensi audit dari sisi waktu, tenaga dan biaya.
ü  Kinerja, sikap, dan tingkah laku auditor.
ü  Efektivitas dan efisensi manajemen projek.
ü  Kepuasan auditee terhadap hasil audit(hasil audit dianggap auditee memiliki nilai tambah dan dapat meningkatkan kualitas proses dan kontrol) dan manajemen projek.
ü  Hal-hal yang dapat ditingkatkan untuk audit berikutnya (lessons learned).
            Hasil –hasil evaluasi ini digunakan untuk peningkatan kualitas audit secara terus menerus(quality assurance and improvement program).

2.5 IMPLEMENTASI
Tata Kelola Teknologi Informasi di Perguruan Tinggi

Keterlibatan teknologi informasi (TI) dalam dunia pendidikan bukan lagi dianggap sebagai pilihan, tetapi sudah menjelma menjadi kebutuhan mutlak yang harus dimiliki oleh perguruan tinggi, apabila ingin meningkatkan kualitas pelayanan kepada para stakeholder dan meningkatkan keunggulan bersaing (competitive advanced). Peran TI adalah sebagai enabler atau alat yang memungkinkan perguruan tinggi menciptakan proses pendidikan yang lebih murah, lebih baik, dan lebih cepat (cheaper-better-faster). Sebagai back office, TI digunakan untuk mendukung proses administrasi penyelenggaraan pendidikan tinggi atau kegiatan operasional. Sebagai front office, semua informasi yang berkaitan dengan perguruan tinggi tersebut dapat diakses kapan dan dimana saja oleh para stakeholders yang membutuhkannya. Semua kegiatan tersebut dilakukan dengan berbasis TI sebagai salah satu cara bagi perguruan tinggi untuk meningkatkan kualitas penyelenggaran pendidikan.
TI juga harus selaras dan mendukung visi, misi, serta tujuan perguruan tinggi, sehingga diperlukan sistem tata kelola yang baik (IT Governance). Tata kelola TI didefinisikan sebagai struktur hubungan dan proses untuk mengarahkan dan mengontrol suatu institusi (perguruan tinggi) dalam mencapai tujuannya dengan menambahkan nilai dan menyeimbangkan resiko terhadap teknologi informasi dan proses-prosesnya. Tata kelola ini mencakup proses perencanaan, implementasi, dan evaluasi.
COBIT (Control Objectives for Information and Related Technology)
COBIT adalah salah satu metodologi yang memberikan kerangka dasar dalam menciptakan sebuah teknologi informasi yang sesuai dengan kebutuhan organisasi dengan tetap memperhatikan faktor-faktor lain yang berpengaruh. Pada dasarnya COBIT dikembangkan untuk membantu memenuhi berbagai kebutuhan manajemen terhadap informasi dengan menjembatani kesenjangan antara resiko bisnis, kontrol, dan masalah teknik. COBIT memberikan satu langkah praktis melalui domain dan framework yang menggambarkan aktivitas IT dalam suatu struktur dan proses yang dapat disesuaikan. Dalam COBIT terdapat pedoman manajemen yang berisi sebuah respon kerangka kerja untuk kebutuhan manajemen bagi pengukuran dan pengendalian TI dengan menyediakan alat-alat untuk menilai dan mengukur kemampuan TI perusahaan untuk 34 proses TI.
Pada dasarnya kerangka kerja COBIT terdiri dari 3 control objectives, yaitu activities dan tasks, process, dan domains. Activities dan tasks merupakan kegiatan rutin yang memiliki konsep daur hidup, sedangkan tasks merupakan kegiatan yang dilakukan secara terpisah. Selanjutnya kumpulan activity dan tasks ini dikelompokkan ke dalam proses TI yang memiliki permasalahan pengelolaan TI yang sama dikelompokkan ke dalam domains. COBIT terdiri dari 34 high-level control objectives, satu untuk setiap proses TI dan dikelompokkan ke dalam 4 domain, yaitu: 1) Plan and Organise (PO), mencakup masalah mengidentifikasikan cara terbaik TI untuk memberikan konstribusi yang maksimal terhadap pencapaian tujuan bisnis organisasi; 2) Acquire and Implement (AI), menitikberatkan proses pemilihan, pengadaan, dan penerapan TI yang digunakan. Pelaksanaan strategi yang telah ditetapkan harus disertai dengan solusi-solusi TI yang sesuai, dan solusi tersebut diadakan, diimplementasikan dan diintegrasikan ke dalam proses bisnis organisasi; 3) Delivery and Support (DS), menitikberatkan pada teknis-teknis yang mendukung terhadap proses pelayanan TI; and 4) Monitor and Evaluate (ME), dikonsentrasikan pada pengawasan dan evaluasi penerapan TI.
Maturity Models
COBIT mempunyai model kematangan untuk mengontrol proses-proses TI dengan menggunakan metode penilaian/scoring sehingga organisasi dapat menilai proses-proses TI yang dimilikinya (dari skala 0 sampai 5). Maturity Models yang ada pada COBIT dapat dilihat pada Tabel 1. Dengan adanya maturity level models, maka organisasi dapat mengetahui posisi kematangan tata kelola teknologi informasinya. Semakin optimal suatu organisasi dalam mengelola sumber daya teknologi informasinya, akan semakin tinggi nilai akhir tingkat kematangan yang diperoleh.



BAB III
PENUTUP

3.1 Kesimpulan
       Auditor TI memiliki tanggung jawab yang besar. Auditor TI menjadi wakil dari manajemen puncak. Manajemen puncak memberi amanah kepada auditor untuk memastikan kelancaran proses-proses unit TI. Auditor memastikan hal tersebut melalui audit TI yang mengidentifikasi masalah dan masalah potensial sehingga dapat ditangani oleh unit TI dan manajemen puncak. Melalui audit TI tersebut, auditor menambah kredibilitas terhadap proses-proses TI sehingga manajemen puncak menjadi lebih yakin terhadap TI. Dalam hal ini auditor berperan sebagai assurance provider bagi manajemen puncak.
3.2 Saran
        Dosen lebih mengajarkan lebih lanjut mengenai materi Audit SI dan implementasinya di dunia kerja.


DAFTAR PUSTAKA

[1] Aminy, Reza,  M.TI. 2017. Audit Sistem Infomasi: Lima Aspek Audit Sistem Informasi. CV Mega Indo Komunika, Yogyakarta.
[3] Isnanto, Rizal. 2009. “Tata Kelola Teknologi Informasi(IT GOVERNANCE)” URL: http://rizal.blog.undip.ac.id/files/2009/08/7_Pertemuan-ke-7-Terakhir-IT-Governance.pdf, 9 Oktober 2017, 19:00 PM.
[4] Sukardi, Mardiana. 2016. “Tata Kelola Teknologi Informasi di Perguruan Tinggi“ URL: https://dosen.perbanas.id/tata-kelola-teknologi-informasi-di-perguruan-tinggi/, 9 Oktober 2017, 19:30 PM.
[5] Sutimin,Putrapradana,Anugerahsurya. 2017. “Tata Kelola TI:IT Governance” URL: https://www.slideshare.net/putrasutimin/tata-kelola-teknologi-informasi-dan-komunikasi, 9 Oktober 2017 20:10 PM.
[6] Swastika,Agus,Putu,I,M.Kom.,Putra,Raditya,Agung,Lanang,Gusti,I,S.Pd.,M.T. 2016. AUDIT SISTEM INFORMASI DAN TATA KELOLA TEKNOLOGI INFORMASI: Implementasi dan Studi Kasus. Andi, Yogyakarta.
[7] Widyatama. 2016. “Pendahuluan COBIT” URL: http://repository.widyatama.ac.id/xmlui/bitstream/handle/123456789/3782/Bab%201.pdf?sequence=3, 11 Oktober 2017, 19:00 PM.

No comments:

Post a Comment