PROFESI BARU AUDIT SISTEM INFORMASI
**rahmatxgrafi.blogspot.com
Jika selama ini kita hanya mengenal kata audit selalu identik dengan audit keuangan, maka kini muncul profesi baru di bidang IT yaitu audit sistem informasi (SI). Apa itu audit SI dan bagaimana gambaran profesi dibidang ini dapat dijelaskan sebagai berikut :
Pengertian Auditing
Auditing adalah proses pengumpulan dan pengevaluasian bahan bukti tentang informasi yang dapat diukur mengenai suatu entitas ekonomi yang dilakukan seorang yang kompeten dan independen untuk dapat menentukan dan melaporkan kesesuaian informasi dimaksud dengan kriteria-kriteria yang telah ditetapkan 1)
Pengertian Audit Sistem Informasi
Ron Weber (1999,10) mengemukakan bahwa Audit Sistem Informasi adalah :
“Information systems auditing is the process of collecting and evaluating evidence to determine whether a computer system safeguards assets, maintains data integrity, allows organizational goals to be achieved effectively, and uses resources efficiently” 2).
(Audit Sistem Informasi adalah proses pengumpulan dan penilaian bukti - bukti untuk menentukan apakah ‘sistem komputer’ dapat mengamankan aset, memelihara integritas data, dapat mendorong pencapaian tujuan organisasi secara efektif dan menggunakan sumber daya secara efisien).
Dampak fungsi audit sistem informasi pada suatu organisasi
Obyek Perlindungan Aset (Asset Safeguarding Objectives)
- Aset SI di dalam organisasi adalah H/W, S/W, Fasilitas, User (Knowledge), file data, dokumentasi sistem, dan persediaan barang.
- Sebaiknya semua aset harus dilindungi oleh sistem pengendalian internal.
Gbr. 1.1 Dampak fungsi audit sistem informasi pada suatu organisasi
Obyek Integritas Data (Data Integrity Objectives)
- Integritas data adalah merupakan konsep dasar di dalam audit SI. Data terdiri dari atribut-atribut yang harus berisi : lengkap (completeness), dapat dipercaya (soundness), bersih (purity), and benar (veracity).
- Jika integritas data tidak dipelihara, maka organisasi tidak akan mendapatkan representasi data yang benar untuk suatu aktifitas, akibatnya organisasi tidak dapat berkompetisi.
Obyek Efektivitas Sistem (System Effectiveness Objectives)
- Audit efektivitas sering dilakukan setelah sistem berjalan untuk beberapa waktu. Manajemen membutuhkan hasil audit efektivitas untuk mengambil keputusan apakah sistem terus dijalankan atau dihentikan sementara untuk proses modifikasi.
Obyek Efisiensi Sistem (System Efficiency Objectives)
- Efisiensi SI dilakukan dengan cara menggunakan sumber daya yang minimum untuk menyelesaikan suatu tujuan obyek (pekerjaan). Variasi sumber daya terdiri dari mesin, waktu, peripheral, S/W sistem, dan pekerja.
Gambar 1.2 Faktor-faktor yang mempengaruhi organisasi sehingga perlu melakukan audit dan pengendalian terhadap SI
Kenapa organisasi perlu melakukan audit dan pengendalian terhadap SI
Organizational Costs of Data Loss
Data dapat menyebabkan kebutuhan sumber daya menjadi kritis untuk keberlangsungan operasional organisasi (baik untuk memberikan gambaran masa lalu,masa kini dan masa yang akan datang).
Jika data akurat, maka organisasi akan mempunyai kemampuan untuk beradaptasi dan bertahan dalam lingkungan yang berubah. Jika tidak (data hilang), maka organisasi akan mengalami kehilangan data yang cukup penting.
Contoh jika data master barang di suatu toko swalayan rusak, maka kasir tidak dapat melakukan transaksi pembelian yang dilakukan oleh konsumen.
Cost of Incorrect Decision Making
Untuk membuat keputusan yang berkualitas dan dapat dipercaya, maka perlu di dukung oleh data yang akurat melalui sistem informasi berbasis komputer.
Termasuk : deteksi, investigasi, dan koreksi proses yang diluar kontrol (connection of out-of-control process)
Akibat data yang salah akan mempunyai dampak terhadap minat investor terhadap perusahaan. Contoh : jika penyediaan laporan keuangan salah (inaccurate financial information), maka investor akan membatalkan atas keputusan investasinya.
Penting juga diperhatikan tentang ‘aturan-aturan keputusan yang akurat (accurate decision rules). Contoh jika aturan pengambilan keputusan (decision rule) dalam sistem pakar untuk mendukung diagnosis, salah, mengakibatkan dokter akan salah dalam memberikan keputusan / pemberian resep kepada pasiennya, ini akan berakibat fatal.
Cost of Computer Abuse
Sebagian besar sebab yang mendorong pengembangan fungsi audit SI di perusahaan adalah akibat seringnya terjadi penyalahgunaan komputer.
Penyalahgunaan komputer : “segala kejadian yang berhubungan dengan teknologi komputer yang mengakibatkan kerugian pada korban atau mengakibatkan kehilangan yang diakibatkan oleh pelaku kejahatan untuk mencari keuntungan”
Sebagian besar tipe penyalahgunaan komputer adalah :
1) Hacking : seseorang yang tidak mempunyai akses otoritas terhadap sistem komputer untuk membaca, memodifikasi atau menghapus program atau data untuk mengacaukan proses.
2) Virus : adalah program yang menyerang file executable, area sistem atau disk, atau file data yang berisi macro yang mengakibatkan kekacauan operasi komputer atau kerusakan data / program.
3) Illegal Physical Access : seseorang yang mengambil keuntungan melalui akses fisik secara ilegal terhadap fasilitas komputer. Contoh memasuki ruang komputer atau ruang terminal secara ilegal, merusak H/W, atau copy program dan data yang bukan merupakan wewenangnya.
4) Abuse of Privilages : seseorang yang menggunakan hak-hak istimewanya untuk maksud dan tujuan yang bukan merupakan otoritasnya. Contoh : membuat copy data yang rahasia (sensitif) akan tetapi tidak meminta ijin atau persetujuan kepada yang berwenangnya.
Menurut survey Benbow (1990) : 80% penyalahgunaan komputer diakibatkan oleh ‘pegawai intern’.
Gbr. 1.3 Cost of computer abuse
Konsekuensi Penyalahgunaan Komputer
1. Destruction of asset (perusakan aset) : Hardware, software, data, fasilitas, dokumentasi atau persediaan barang dapat dirusak.
2. Theft of asset (pencurian asset): Hardware, software, data, dokumentasi, atau persediaan barang dapat dipindahkan secara ilegal.
3. Modification of asset : Hardware, software, data atau dokumentasi dimodifikasi dengan cara yang tidah syah
4. Privacy violaction (pelanggaran privasi) : privasi mengenai data seseorang atau organisasi di gunakan untuk kepentingan yang tidak sah.
5. Disruption of Operations (pengacauan operasi) : operasi fungsi sehari-hari (‘day-to-day’) SI dapat terhenti sementara yang diakibatkan oleh operasi yang dikacaukan.
6. Unauthorized use of asset (penyalahgunaan otorisasi aset) : Hardware, software, data, fasilitas, dokumentasi atau persediaan barang digunakan untuk maksud yang tidak sah. contoh penggunaan komputer dinas di kantor untuk maksud private atau konsultasi.
7. Physical harm to personnel (kejahatan fisik terhadap personal) : personal / pegawai dapat menderita akibat kejahatan fisik.
Gbr. 1.4 Consequences of Abuse
Value of computer H/W,S/W, Personnel
- Data, H/W, S/W dan personal adalah merupakan sumber daya kritis organisasi
- Beberapa organisasi telah menginvestasikan ratusan miliar dollar untuk itu.
High Cost of Computer Error
- Komputer saat ini mempunyai peranan / fungsi penting dengan lingkungan sosial. Contoh monitor digunakan untuk memantau pasien, memonitor missile, pengendali reaktor nuklir, dll. Akibatnya jika komputer ‘error’, maka akan mengakibatkan kerugian yang sangat besar (mahal).
- Contoh : 257 orang meninggal di pegunungan antartika, akibat error pada sistem yang diakibatkan oleh pekerjaan ‘iseng’ seseorang yang mengganti isi / data sistem komputer yang terkait dengan penerbangan.
Maintenance of Privacy
Sebagian besar data dikumpulkan, merupakan data individu seperti: data pembayar pajak, credit, medical, educational, employment, dan yang lainnya. Data ini dikumpulkan sebelum proses komputerisasi, dan data privasi ini harus dilindungi. Agar hak-hak privasinya terjaga.
Controlled of Evolution of Computer Use
- Konflik, satu sisi komputer digunakan untuk hal-hal yang berguna, tapi di sisi lain komputer digunakan untuk pengendalian nuklir yang mungkin saja digunakan untuk hal-hal yang tidak berguna.
III. Pendekatan Audit SI
Pesatnya perkembangan dunia komputer, diikuti dengan peningkatan pengetahuan auditor, ternyata mengundang dua perlakuan berbeda terhadap komputer, yaitu :
(1) Komputer dipergunakan sebagai alat bantu auditor dalam melaksanakan audit, misalnya untuk mengambil contoh transaksi, memproses data akuntansi, mencetak surat konfirmasi piutang dan sebagainya.
(2) Komputer dijadikan sebagai target audit, karena data di-entry ke komputer dan hasilnya dianalisa untuk menilai kehandalan pemrosesan dan keakuratan program komputer.
Dengan berjalannya evolusi tersebut, maka muncullah pendekatan audit sistem informasi yang dapat dikategorikan ke dalam tiga kelompok, yaitu :
(a) auditing around the computer
(b) auditing with the computer dan
(c) auditing throught the computer.
(a) Auditing around the computer, adalah mentrasir balik (trace-back) hasil olahan komputer antara lain output ke bukti dasarnya antara lain input tanpa melihat prosesnya.
(b) Auditing with the computer, pendekatan ini menitikberatkan pada penggunaan komputer sebagai alat bantu audit. Alat bantu audit ini berupa komputer dilengkapi dengan software audit umum (generale audit software, biasa disingkat GAS). Contoh GAS antara lain ACL (Audit Command Language), IDEA (Interactive Data Extraction and Analysis) dan lain-lain.
(c) Auditing throught the computer, auditor harus memperlakukan komputer sebagai target audit dan melakukan audit throught atau memasuki area program. Oleh sebab itu pendekatan Auditing throught the computer termasuk juga dalam CAATs (Computer Assisted Audit Technique) yaitu teknik audit berbantuan komputer (TABK).
Beberapa auditor memutuskan menggunakan pendekatan Auditing throught ini karena alasan berikut :
a. Ketidakmampuan untuk melokalisir source document atau print-out karena memang rancangan sistem pengarsipan yang digunakan menghendaki demikian.
b. Kekhawatiran bahwa jumlah yang ditunjukkan pada print-out komputer tidak sama dengan saldo yang ada (ter-record) di file komputer.
IV. Tahapan Audit Sistem Informasi
Menurut Ron Weber dalam bukunya Information Systems Control and Audit halaman 47-55, terdapat 5 (lima) langkah atau tahapan audit sistem informasi yaitu :
1. Perencanaan Audit (Planning the Audits)
2. Pengetesan Kendali (Tests of Controls)
3. Pengetesan Transaksi (Tests of Transactions)
4. Pengetesan Keseimbangan atau Keseluruhan Hasil (Tests of Balances or Overall Results) dan
5. Pengakhiran (penyelesaian) Audit (Completion of the Audit)
Sedangkan menurut Gallegos Cs. dalam bukunya Audit and Control of Informtion Systems (chapter 10), tahapan audit sistem informasi mencakup aktivitas :
1. Perencanaan (Planning)
2. Pemeriksaan Lapangan (Fieldwork)
3. Pelaporan (Reporting) dan
4. Tindak Lanjut (Follow Up)
Planning adalah kegiatan perencanaan untuk melaksanakan audit, Fieldwork adalah kegiatan pemeriksaan dan evaluasi sistem yang dilaksanakan di lapangan, Reporting adalah kegiatan pelaporan hasil-hasil yang diperoleh dari fieldwork dan Follow Up adalah tindakan lebih lanjut yang dilaksanakan oleh pihak manajemen berkaitan dengan laporan hasil pemeriksaan.
V. Pengumpulan Fakta
Terdapat lima alat dan teknik yang dapat digunakan dalam mengumpulkan fakta, yaitu :
1. Audit Software : secara umum membahas audit software, audit khusus industri software, high level language, utility software, expert systems, neural network software, dan software lainnya.
2. Code Review, Test Data, and Code Comparison : secara umum membahas tentang dimana kesalahan (error) program terjadi dengan cara melihat kode program, tes data dan perbandingan kode.
3. Concurrent Auditing Techniques : membahas tentang teknik, kebutuhan dan implementasi untuk audit bersamaan. Tipe concurrent auditing technique: integrated test facility, snapshort / extended record, system control / audit review file, continous and intermittent simulation.
4. Interviews, Questionnaires, and Control Flowcharts : membahas tentang desain dan penggunaan interview, kuisioner dan arus pengendalian.
Wawancara (Interviews), digunakan untuk memperoleh baik jumlah (quantitative) maupun kualitas (quality) informasi selama pekerjaan pengumpulan fakta. Terdiri dari tiga fase yaitu : (1) persiapan wawancara (preparing for interview); (2) pelaksanaan wawancara (conducting the interview) dan (3) penganalisaan hasil wawancara (analyzing the interview).
Kuesioner (Questionnaires), digunakan untuk mengumpulkan fakta berdasarkan data, seperti apakah ada pengendalian dalam sistem aplikasi.
Empat fase kuesioner yaitu (1) desain pertanyaan (design of questions); (2) desain skala respon (design of response scales); (3) desain struktur dan layout (design of the layout and structure) dan (4) jaminan bahwa kuesioner valid dan dapat dipercaya (ensuring the questionnaire is valid and reliable).
Arus Pengendalian (Control Flowcharts), digunakan untuk menggambarkan apakah ada pengendalian dalam sistem dan dimana pengendalian itu berada dalam sistem.
5. Performance Monitoring Tools, mendiskusikan tentang obyek dari pengukuran kinerja, karakteristik dari pengawasan pengukuran, hardware, software, firmware, dan pengawasan pengukuran campuran (hybrid), bagaimana hasil dari pengukuran kinerja, dan resiko untuk pemeliharaan integritas data sewaktu pengawasan kinerja dilakukan
VI. Model Audit COBIT
6.1 Latar Belakang dan Sejarah Singkat COBIT
COBIT edisi keempat adalah merupakan versi terakhir dari tujuan pengendalian untuk informasi dan teknologi terkait, release pertama diluncurkan oleh yayasan ISACF pada tahun 1996. COBIT edisi kedua, merefleksikan suatu peningkatan sejumlah dokumen sumber, revisi pada tingkat tinggi dan tujuan pengendalian rinci dan tambahan seperangkat alat implementasi (implementation tool set), yang telah dipublikasikan pada tahun 1998. COBIT pada edisi ke tiga ditandai dengan masuknya penerbit utama baru COBIT yaitu Institut IT Governance.
Institut IT Governance dibentuk oleh ISACA dan yayasan terkait pada tahun 1998 dan memberikan pemahaman lebih dan mengadopsi prinsip-prinsip pengaturan TI. Melalui penambahan pedoman manajemen (management guidelines) untuk COBIT edisi ketiga dan fokusnya diperluas dan ditingkatkan pada IT Governance. Institut IT Governance mengambil peranan yang penting dalam pengembangan publikasi.
COBIT pada umumnya didasarkan pada tujuan pengendalian (Control Objectives) ISACF dan telah ditingkatkan dengan teknik internasional yang ada, professional, pengaturan, dan standar khusus industri. Hasil tujuan pengendalian telah dikembangkan untuk aplikasi sistem informasi yang luas pada organisasi. Istilah “pada umumnya dapat diterima dan diterapkan” secara eksplisit digunakan dalam pengertian yang sama dengan prinsip Generally Accepted Accounting Principles (GAAP).
6.2 Pengertian COBIT
COBIT dapat diartikan sebagai tujuan pengendalian untuk informasi dan teknologi terkait dan merupakan standar terbuka untuk pengendalian terhadap teknologi informasi yang dikembangkan dan dipromosikan oleh Institut IT Governance.
COBIT pertama sekali diperkenalkan pada tahun 1996 adalah merupakan alat (tool) yang disiapkan untuk mengatur teknologi informasi (IT Governance tool).
COBIT telah dikembangkan sebagai sebuah aplikasi umum dan telah diterima menjadi standar yang baik bagi praktek pengendalian dan keamanan TI yang menyediakan sebuah kerangka kerja bagi pengelola, user, audit sistem informasi, dan pelaksana pengendalian dan keamanan.
COBIT, di terbitkan oleh Institut IT Governance. Pedoman COBIT memungkinkan perusahaan untuk mengimplementasikan pengaturan TI secara efektif dan pada dasarnya dapat diterapkan di seluruh organisasi. Khususnya, komponen pedoman manajemen COBIT yang berisi sebuah respon kerangka kerja untuk kebutuhan manajemen bagi pengukuran dan pengendalian TI dengan menyediakan alat-alat untuk menilai dan mengukur kemampuan TI perusahaan untuk 34 proses TI COBIT.
Alat-alat tersebut yaitu :
1. Elemen pengukuran kinerja (pengukuran hasil dan kinerja yang mengarahkan bagi seluruh proses TI)
2. Daftar faktor kritis kesuksesan (CSF) yang disediakan secara ringkas, praktek terbaik non teknis dari tiap proses TI
3. Model maturity untuk membantu dalam benchmarking dan pengambilan keputusan bagi peningkatan kemampuan
Komponen COBIT terdiri dari Executive Summary, Framework, Control Objectives, Audit Guidelines, Implemenation Tool Set, Management Guidelines
COBIT memiliki misi melakukan riset, mengembangkan, mempublikasikan, dan mempromosikan makalah-makalah, serta meng-update tatanan atau ketentuan TI controls objective yang dapat diterima umum (generally accepted control objectives) berikut panduan pelengkap yang dikenal sebagai Audit Guidelines yang memungkinkan penerapan framework dan control objectives dapat berjalan mudah. Tatanan atau ketentuan tersebut selanjutnya digunakan oleh para manajer dunia usaha maupun auditor dalam menjalankan profesinya.
Sedangkan visi dari COBIT adalah dijadikan COBIT sendiri sebagai satu-satunya model pengurusan dan pengendalian teknologi informasi (Information Technology Governance).
6.3 Kerangka Kerja COBIT
6.3.1 Kebutuhan Pengendalian Teknologi Informasi
Agar organisasi meraih kesuksesan, maka perlu memperhatikan dan memahami mengenai resiko dan keterbatasan TI disemua level organisasi agar mencapai arahan yang efektif dan pengendalian yang memadai.
Manajemen harus memutuskan investasi yang memadai bagi pengendalian (control) dan keamanan (security) TI dan menyeimbangkan resiko dan investasi pengendalian yang tidak terprediksi dalam lingkungan TI. Oleh karena itu, kebutuhan terhadap manajemen kerangka kerja (framework) yang jelas, secara umum diterima sebagai praktek-praktek pengendalian dan keamanan TI untuk benchmark terhadap perencanaan dan kondisi TI yang ada.
Terdapat kebutuhan yang meningkat dari user atas layanan TI untuk penjaminan, akreditasi dan audit atas layanan TI, baik yang disediakan oleh pihak ketiga maupun yang disediakan oleh pihak internal.
6.3.2 Lingkungan Bisnis
Di era kompetisi global seperti sekarang ini, organisasi harus melakukan restrukturisasi terhadap kegiatan operasionalnya dan menggunakan keunggulan TI untuk meningkatkan posisi daya saing organisasi.
Business re-engineering, right-sizing, outsourcing, empowerment, flattened organization, dan distributed processing merupakan semua perubahan yang mempengaruhi cara bisnis dan operasional perusahaan. Perubahan ini akan terus terjadi dan akan berimplikasi besar terhadap manajemen dan struktur pengendalian operasional dalam organisasi.
Penekanan dalam mencapai keuntungan yang kompetitif dan efisiensi biaya, termasuk kepercayaan yang meningkat pada teknologi merupakan komponen besar dalam strategi kebanyakan organisasi. Fungsi organisasi yang otomatis, secara alamiah merupakan penggabungan ketentuan mekanisme pengendalian yang lebih kuat kedalam komputer dan jaringan, berbasis hardware dan software.
6.4 Perusahaan dan IT Governamce
IT Governance menyediakan suatu stuktur yang berhubungan dengan proses TI, sumberdaya TI dan informasi untuk strategi dan tujuan perusahaan. Cara mengintegrasikan IT Governance dan optimalisasi perusahaan yaitu melalui perencanaan dan pengorganisasian (PO), akuisisi dan implementasi (AI), penyampaian dan dukungan (DS), dan pengawasan (M) kinerja TI.
IT Governance merupakan bagian terintegrasi bagi kesuksesan pengaturan perusahaan dengan jaminan efisiensi dan efektivitas perbaikan pengukuran dalam kaitan dengan proses perusahaan. IT Governance memungkinkan perusahaan untuk memperoleh keunggulan penuh terhadap informasi, keuntungan yang maksimal, modal, peluang dan keunggulan kompetitif dalam bersaing.
Pengaturan perusahaan (enterprise governance) dan sistem oleh entitas diarahkan dan dikendalikan, melalui kumpulan dan arahan IT Governance. Pada saat yang sama, TI dapat menyediakan masukan kritis, dan merupakan komponen penting bagi perencanaan strategis. Pada kenyataannya TI dapat mempengaruhi peluang strategis yang ditetapkan oleh perusahaan.
Gambar 1.5 Pengaruh IT Governance terhadap pengaturan perusahaan [3]
Aktivitas perusahaan membutuhkan informasi dari aktivitas TI dengan maksud untuk mempertemukan tujuan bisnis. Jaminan kesuksesan organisasi diakibatkan oleh adanya saling ketergantungan antara perencanaan strategis dan aktivitas TI lainnya. Kegiatan perusahaan perlu informasi dari kegiatan TI agar dapat mengintegrasikan tujuan bisnis.
Gambar 1.6 Aktivitas Perusahaan memerlukan Aktivitas TI [3]
Siklus pengaturan perusahaan dapat dijelaskan sebagai berikut : pengaturan perusahaan ditentukan oleh praktek terbaik yang secara umum dapat diterima untuk menjamin perusahaan mencapai tujuannya, melalui pengendalian tertentu. Dari tujuan-tujuan ini mengalir arahan organisasi, yang mengatur kegiatan atau aktivitas perusahaan dengan menggunakan sumberdaya perusahaan. Hasil kegiatan atau aktivitas perusahaan diukur dan dilaporkan, memberikan masukan bagi pengendalian, demikian seterusnya, kembali ke awal siklus.
Gambar 1.7 Siklus pengaturan perusahaan [4]
Siklus pengaturan TI dapat dijelaskan sebagai berikut : pengaturan TI, di tentukan oleh praktek terbaik yang menjamin informasi perusahaan dan teknologi terkait mendukung tujuan bisnisnya, sumberdaya digunakan dengan tanggung jawab dan resiko diatur secara memadai. Praktek tersebut membentuk dasar arahan kegiatan TI yang dapat dikelompokan kedalam PO, AI, DS dan M, dengan tujuan untuk pengaturan (memperoleh keamanan, keandalan dan pemenuhan) dan mendapat keuntungan (meningkatkan efektivitas, dan efisiensi). Laporan dikeluarkan melalui hasil kegiatan atau aktivitas TI, yang diukur dari praktek dan pengendalian yang bervariasi, demikian seterusnya, kembali ke awal siklus.
Gambar 1.8 Siklus pengaturan TI [4]
Agar menjamin manajemen mencapai tujuan bisnisnya, maka harus mengatur dan mengarahkan kegiatan TI dalam mencapai keseimbangan yang efektif antara mengatur resiko dan mendapatkan keuntungan. Untuk melaksanakannya, manajemen perlu mengidentifikasikan kegiatan terpenting. Selain itu, perlu juga kemampuan mengevaluasi tingkat kesiapan organisasi terhadap praktek terbaik dan standar internasional. Untuk mendukung kebutuhan manajemen tersebut, pedoman manajemen COBIT (COBIT Management Guidelines) telah secara khusus mengidentifikasikan CSF, KGI, KPI dan model maturity untuk pengaturan TI.
6.5 Definisi Umum
Pengendalian, didefinisikan sebagai kebijakan, prosedur, praktek dan struktur organisasi yang dirancang untuk mengadakan jaminan yang tepat dimana tujuan bisnis akan tercapai dan kejadian yang tidak diinginkan akan dicegah atau dideteksi dan dikoreksi.
Tujuan pengendalian TI, didefinisikan sebagai suatu pernyataan hasil yang diinginkan atau tujuan yang ingin dicapai oleh prosedur pengendalian implementasi dalam kegiatan TI khusus.
Pengaturan TI, didefinisikan sebagai suatu stuktur hubungan dan proses untuk mengarahkan dan mengendalikan perusahaan agar mencapai tujuannya dengan menambah nilai yang menyeimbangkan resiko terhadap nilai kembali atas TI dan prosesnya.
Untuk mencapai tujuan organisasi secara memuaskan, informasi harus memenuhi beberapa kriteria. COBIT telah menetapkan kriteria tersebut dengan merujuk pada kebutuhan informasi di organisasi atau perusahaan. COBIT mengkombinasikan beberapa prinsip penyusunan informasi berdasarkan model-model yang sudah ada, dan merumuskannya kedalam tiga kategori utama, yaitu : kualitas (quality), tanggung jawab fidusier (fiduciary responsibility) dan keamanan (security).
Berdasarkan tiga persyaratan di atas, muncul tujuh kategori yang saling terkait satu sama lain, dan dijadikan sebagai kriteria untuk mengevaluasi sumberdaya teknologi informasi yang dapat memenuhi kebutuhan organisasi atau perusahaan akan suatu informasi.
Kriteria dimaksud adalah :
(a) Efektivitas (Effectiveness), menguraikan informasi yang relevan dan berhubungan dengan proses bisnis yang disampaikan tepat pada waktunya dengan cara yang benar, konsisten dan tepat digunakan.
(b) Efisiensi (Efficiency), menyangkut ketentuan informasi melalui penggunaan sumberdaya yang optimal (lebih produktif dan ekonomis).
(c) Kerahasiaan (Confidentiality), menyangkut perlindungan informasi yang sensitif dari akses yang tidak sah.
(d) Integritas (Integrity), berkaitan dengan keakuratan dan kelengkapan informasi juga keabsahannya yang sesuai dengan harapan (expectation) dan nilai bisnis.
(e) Ketersediaan (Availability), berkaitan dengan informasi yang tersedia yang diperlukan oleh proses bisnis saat ini dan yang akan datang, juga menyangkut penjagaan sumberdaya yang perlu dan kemampuan yang terkait.
(f) Pemenuhan (Compliance), menguraikan pemenuhan hukum, peraturan dan persetujuan yang bersifat kontrak dimana proses bisnisnya merupakan subyek, yakni kriteria bisnis yang ditentukan dari luar.
(g) Keterandalan informasi (Reliability of Information), berkaitan dengan ketentuan informasi yang memadai bagi manajemen untuk menjalankan dan melaksanakan keseluruhan finansialnya dan pemenuhan laporan tanggung jawab.
Sumberdaya TI yang diidentifikasikan dalam COBIT dapat diterangkan atau diidentifikasikan sebagai berikut :
a. Data, adalah obyek-obyek dalam pengertian yang lebih luas (yakni internal dan eksternal), terstruktur dan tidak terstruktur, grafik, suara dan sebagainya.
b. Sistem aplikasi, dipahami untuk menyimpulkan atau meringkas, baik prosedur manual maupun yang terprogram.
c. Teknologi, mencakup hardware, sistem operasi, sistem manajemen database, jaringan (networking), multimedia, dan lain-lain.
d. Fasilitas, adalah semua sumberdaya untuk menyimpan dan mendukung sistem informasi.
e. Manusia termasuk staf ahli, kesadaran dan produktivitas untuk merencanakan, mengorganisasikan atau melaksanakan, memperoleh, menyampaikan, mendukung dan memantau layanan sistem informasi.
Cara lain memandang hubungan sumberdaya TI untuk penyampaian layanan digambarkan sebagai berikut :
Gambar 1.9 Hubungan sumber TI untuk penyampaian layanan [3]
Proses bisnis membutuhkan informasi yang efektif, efisien, kerahasiannya terjamin, integritas data terjaga, memenuhi aturan dan handal. Itu semua harus dapat dipenuhi oleh informasi yang dihasilkan dari sumberdaya TI yang terdiri dari data, sistem aplikasi, teknologi fasilitas dan sumberdaya manusia.
Gambar 1.10 Kerangka kerja tujuan pengendalian TI
Kerangka kerja COBIT, terdiri dari tujuan pengendalian tingkat tinggi dan struktur klasifikasi keseluruhan. Terdapat tiga tingkat (level) usaha pengaturan TI yang menyangkut manajemen sumberdaya TI. Mulai dari bawah, yaitu kegiatan dan tugas (activities and tasks) yang diperlukan untuk mencapai hasil yang dapat diukur. Dalam Aktivitas terdapat konsep siklus hidup yang di dalamnya terdapat kebutuhan pengendalian khusus. Kemudian satu lapis di atasnya terdapat proses yang merupakan gabungan dari kegiatan dan tugas (activities and tasks) dengan keuntungan atau perubahan (pengendalian) alami. Pada tingkat yang lebih tinggi, proses biasanya dikelompokan bersama kedalam domain.
Pengelompokan ini sering disebut sebagai tanggung jawab domain dalam struktur organisasi dan yang sejalan dengan siklus manajemen atau siklus hidup yang dapat diterapkan pada proses TI.
Gambar 1.11 Tiga tingkat usaha pengaturan TI [3]
Selanjutnya, konsep kerangka kerja dapat dilihat dari tiga sudut pandang, yaitu (1) kriteria informasi (information criteria), (2) sumberdaya TI (IT resources), dan (3) proses TI (IT processes).
Ketiga sudut pandang tersebut digambarkan dalam kubus COBIT sebagai berikut :
Gambar 1.12 Kubus COBIT [3]
Dalam kerangka kerja sebelumnya, domain diidentifikasikan dengan memakai susunan manajemen yang akan digunakan dalam kegiatan harian organisasi. Kemudian empat domain yang lebih luas diidentifikasikan, yaitu PO, AI, DS, dan M.
Definisi keempat domain tersebut, dimasukan dalam klasifikasi tingkat tinggi sebagai berikut :
(a) PO, domain ini mencakup level strategis dan taktis, dan konsennya pada identifikasi cara TI yang dapat menambah pencapaian terbaik tujuan-tujuan bisnis.
(b) AI, untuk merealisasikan strategi TI, solusi TI yang perlu diidentifikasikan, dikembangkan atau diperlukan, juga diimplementasikan dan diintegrasikan dalam proses bisnis.
(c) DS, domain ini menyangkut penyampaian aktual dari layanan yang diperlukan, dengan menyusun operasi tradisional terhadap keamanan dan aspek kontinuitas sampai pada pelatihan, domain ini termasuk proses data aktual melalui sistem aplikasi, yang sering diklasifikasikan dalam pengendalian aplikasi.
(d) M, semua proses TI perlu dinilai secara teratur atas suatu waktu untuk kualitas dan pemenuhan kebutuhan pengendalian. Domain ini mengarahkan kesalahan manajemen pada proses pengendalian organisasi dan penjaminan independen yang disediakan oleh audit internal dan eksternal atau diperolah dari sumber alternatif.
Proses-proses TI ini dapat diterapkan pada tingkatan yang berbeda dalam organisasi, misalnya tingkat perusahaan, tingkat fungsi dan lain-lain.
Jelas bahwa semua ukuran pengendalian perlu memenuhi kebutuhan bisnis yang berbeda untuk informasi pada tingkat yang sama.
a) Pertama adalah tingkat tujuan pengendalian yang diterapkan secara langsung mempengaruhi kriteria informasi terkait.
b) Kedua adalah tingkat tujuan pengendalian yang ditetapkan hanya memenuhi tujuan pengendalian atau secara tidak langsung kriteria informasi terkait.
c) Blank dapat diterapkan namun kebutuhannya lebih memenuhi kriteria lain dalam proses ini atau yang lainnya.
Agar organisasi mencapai tujuannya, pengaturan TI harus dilaksanakan oleh organisasi untuk menjamin sumberdaya TI yang dijalankan oleh seperangkat proses TI.
6.6 COBIT dan Pedoman Audit
Pedoman audit menyediakan alat yang saling melengkapi untuk memungkinkan aplikasi yang mudah dari kerangka kerja COBIT dan tujuan-tujuan pengendalian dalam audit dan kegiatan penilaian.
Maksud pedoman audit adalah untuk menyediakan struktur yang sederhana untuk mengaudit dan menilai pengendalian berdasarkan pada praktek audit yang diterima secara umum yang sesuai dengan skema COBIT keseluruhan. Pedoman audit ini menyediakan petunjuk untuk mempersiapkan perencanaan audit yang diintegrasikan dengan kerangka kerja COBIT dan tujuan pengendalian rinci, yang dapat dikembangkan kedalam program audit khusus.
Pedoman audit COBIT memungkinkan auditor mereview proses khusus TI terhadap tujuan pengendalian yang direkomendasikan, untuk membantu menjamin menajemen terhadap pengendalian yang memadai, atau memberi saran kepada manajemen apakah proses perlu ditingkatkan.
6.7 Kebutuhan Proses Bisnis
Untuk menetapkan bidang audit yang benar, dibutuhkan investigasi, analisa dan definisi :
a) proses bisnis yang bersangkutan
b) platform dan sistem informasi yang mendukung proses bisnisnya juga antar konektifitas dengan platform dan sistem lainnya
c) peran dan tanggungjawab TI yang ditetapkan, termasuk yang telah menjadi sumber dalam dan luar
d) resiko bisnis terkait dan pilihan strategis
Langkah selanjutnya adalah mengidentifikasikan kebutuhan informasi yang ada relevansinya dengan proses bisnis. Selanjutnya diperlukan identifikasi resiko TI yang melekat juga tingkat pengendalian keseluruhan yang dapat diasosiasikan dengan proses bisnis, yakni :
a) perubahan yang ada dalam lingkungan bisnis yang berdampak pada TI
b) perubahan yang ada pada lingkungan TI, perkembangan baru dan lain-lain.
c) kejadian yang ada, relevan terhadap pengendalian dan lingkungan bisnis.
d) pengendalian pemantauan TI diterapkan oleh manajemen
e) audit yang ada dan atau laporan sertifikasi
f) hasil yang ada pada penilaian itu sendiri
Atas dasar informasi yang diperoleh, kita dapat menyeleksi proses COBIT yang relevan juga sumberdaya yang dapat diterapkan. Selain itu harus menerapkan strategi audit atas dasar rencana audit rinci yang lebih lanjut harus diuraikan yakni dengan pendekatan berbasis pengendalian atau pendekatan substantif.
6.8 Pedoman Manajemen COBIT
Institut IT Governance telah melakukan riset utama bekerja sama dengan kalangan akademisi, analis, dan para ahli dunia industri. Riset tersebut menghasilkan definisi pedoman manajemen untuk COBIT, yang terdiri dari model maturity, CSF, KGI, dan KPI, yang kemudian menyediakan manajemen dengan alat untuk menilai dan mengukur lingkungan TI organisasi terhadap 34 proses TI yang diidentifikasikan COBIT.
Terdapat perubahan besar dalam TI dan jaringan yang menekankan informasi elektronik dan sistem TI untuk mendukung proses bisnis kritis. Selanjutnya, bisnis yang sukses perlu pengaturan yang lebih baik dalam menghadapi teknologi yang komplek. Dengan meningkatnya pengungkapan kesalahan sistem informasi dan penyalahgunaan (fraud) elektronik, maka lingkungan organisasi memerlukan pengendalian yang teliti terhadap informasi. Saat ini manajemen TI terkait resiko tersebut dipahami sebagai bagian inti dari pengaturan perusahaan.
Pengaturan TI yang merupakan bagian dari pengaturan perusahaan, menjadi lebih dirasakan peranannya dalam mencapai tujuan organisasi dengan menambah nilai melalui penyeimbangan resiko terhadap nilai kembali atas TI dan prosesnya.
Pengaturan TI merupakan pelengkap suksesnya pengaturan perusahaan melalui peningkatan yang efisien dan efektif sehubungan dengan proses perusahaan. Pengaturan TI menyediakan stuktur yang berhubungan dengan proses TI, sumberdaya TI, dan informasi untuk strategi dan tujuan perusahaan. Lebih lanjut, pengaturan TI mengintegrasikan dan melembagakan praktek yang berhubungan dengan PO, AI, DS, dan M kinerja TI untuk menjamin bahwa informasi perusahaan dan teknologi terkait mendukung tujuan bisnisnya. Selain itu pengaturan TI memungkinkan perusahaan mengambil keuntungan dari informasi tersebut.
Jawaban untuk kebutuhan penetapan ini dan pemantauan keamanan TI yang sesuai dan tingkat pengendalian adalah definisi dari :
a) Benchmarking praktek pengendalian TI (dinyatakan sebagai model maturity )
b) Indikator kinerja proses TI - untuk hasil dan kinerjanya
c) CSF untuk mendapatkan proses dalam pengendalian ini
Pedoman manajemen konsisten dan dibangun atas kerangka kerja COBIT, tujuan pengendalian dan pedoman audit. Selain itu, prinsip balance business scorecard digunakan untuk memfokuskan pada manajemen kinerja, yang membantu menetapkan KGI, mengidentifikasikan dan mengukur hasil proses dan KPI, menilai bagaimana proses dilaksanakan melalui ukuran yang memungkinkan. Oleh karena itu hubungan antara tujuan bisnis dengan ukurannya dan TI dengan tujuan dan ukurannya sangat penting dan dapat digambarkan sebagai berikut :
Gambar 1.15 Hubungan antara tujuan dan ukuran bisnis dengan tujuan dan ukuran TI [4]
Ukuran ini akan membantu manajemen dalam memantau organisasi dengan menjawab pertanyaan berikut :
1. Apa yang menjadi perhatian manajemen?
Yakinkan bahwa kebutuhan perusahaan dipenuhi
2. Dimana diaturnya?
Pada Balanced Business Scorecard sebagai Key Goal Indicator yang menggambarkan hasil proses bisnis.
3. Apa yang menjadi perhatian TI?
Bahwa proses TI menyampaikan dasar informasi yang benar dan tepat pada perusahaan memungkinkan kebutuhan bisnis dipenuhi. Ini merupakan CSF bagi perusahaan.
4. Dimana diukurnya?
Pada Balanced Business Scorecard TI, sebagai KGI yang menggambarkan hasil TI, dimana informasi tersebut disampaikan dengan kriteria yang benar (efektivitas, efisiensi, kerahasiaan, integritas, ketersediaan, pemenuhan dan keterandalan).
5. Kebutuhan-kebutuhan lain apa yang diukur?
Apapun hasilnya secara positif dipengaruhi oleh sejumlah CSF yang perlu diukur sebagai KPI terhadap bagaimana TI berjalan dengan baik.
Model maturity untuk pengendalian terhadap proses TI terdiri dari pengembangan suatu metode penyusunan agar suatu organisasi dapat menilai tingkatan posisinya dari non-existent ke optimised (dari 0 sampai 5).
Pendekatan ini diambil dari Maturity Model Software Engineering Institute yang diterapkan untuk kematangan kemampuan pengembangan software. Terhadap tingkat ini, dikembangkan untuk setiap 34 proses TI COBIT, manajemen dapat menggambarkan :
a) status organisasi saat ini – dimana organisasi saat ini
b) status terbaik industri saat ini (dikelasnya) – sebagai perbandingan
c) status standar internasional saat ini – sebagai perbandingan
d) strategi organisasi untuk perbaikan atau peningkatan – ke arah mana keinginan organisasi
Gambar 1.16 Model Maturity [4]
CSF menetapkan masalah terpenting atau tindakan untuk manajemen mencapai pengendalian proses TI. CSF harus mengatur orientasi pedoman implementasi dan mengidentifikasikan hal terpenting yang dilakukan secara strategis, teknis, organisasional atau prosedur.
KGI menetapkan ukuran yang mengarahkan manajemen setelah fakta – apakah proses TI telah mencapai kebutuhan bisnisnya, biasanya digambarkan atas kriteria informasi : ketersediaan informasi diperlukan untuk mendukung kebutuhan bisnis, ketiadaan atau kekurangan integritas dan resiko kerahasiaaan, efisiensi biaya proses dan operasi, konfirmasi reliabilitas, efektivitas dan pemenuhan
KPI menetapkan ukuran untuk menentukan bagaimana proses TI dilaksanakan dengan baik yang memungkinkan tujuan tersebut dicapai.
Secara ringkas dapat diuraikan sebagai berikut :
a. Model maturity, untuk pilihan strategis dan perbandingan benchmarking
b. CSF, untuk mendapatkan proses dalam pengendalian
c. KGI, untuk memantau pencapaian tujuan proses
d. KPI, untuk memantau kinerja dalam setiap proses TI.
Kerangka kerja COBIT menetapkan 34 proses TI dalam lingkungan TI. Untuk setiap proses terdapat satu pertanyaan pengendalian tingkat tinggi dan antara 3 sampai 30 tujuan pengendalian rinci. Pemilik proses harus dapat menetapkan tingkat yang melekat pada tujuan pengendalian. Untuk setiap 34 proses TI, terdapat skala ukuran naik, berdasarkan pada level 0-5, yang digambarkan dari ”tidak ada (Non Existent)” sampai dengan ”dioptimalisasi (Optimised)” sebagai berikut:
Tabel 1.3 Model Umum Maturity
Model Umum Maturity
Level 0
Tidak ada (Non-Existent), kurang lengkapnya setiap proses yang dikenal. Organisasi belum mengenal adanya isu atau masalah yang diarahkan.
Level 1 Inisialisasi (Initial), ada bukti bahwa organisasi telah mengenal isu atau masalah yang ada dan perlu diarahkan. Tetapi tidak ada proses standarisasi, tetapi sekurang-kurangnya ada pendekatan khusus (adhoc) yang cenderung diterapkan pada individu atau dasar kasus demi kasus. Pendekatan terhadap keseluruhan manajemen tidak terorganisir.
Level 2 Dapat diulang (Repeatable), proses telah berkembang pada tahap dimana prosedur yang sama diikuti oleh orang yang berbeda dalam menjalankan tugas yang sama, tetapi tidak ada pelatihan formal atau prosedur komunikasi standar. Tanggung jawab diserahkan kepada setiap individu. Kepercayaan terhadap pengetahuan individu sangat tinggi sehingga seringkali terjadi kesalahan.
Level 3 Ditetapkan (Defined), prosedur telah distandarisasi dan didokumentasikan serta dikomunikasikan melalui pelatihan. tetapi imlementasinya masih bergantung pada individu apakah mau mengikuti prosedur tersebut atau tidak. Prosedur dikembangkan sebagai bentuk formalisasi dari praktek yang ada.
Level 4 Diatur (Managed), sudah memungkinkan untuk memantau dan mengukur ketaatan pada prosedur sehingga dapat dengan mudah diambil tindakan apabila proses yang ada tidak berjalan secara efektif. Perbaikan proses dilakukan secara tetap dan memberikan praktek terbaik. Otomasi dan peralatan yang digunakan terbatas.
Level 5 Dioptimalisasi (Optimised), proses telah disaring pada tingkat praktek terbaik berdasarkan pada hasil perbaikan yang terus menerus dan pengukuran model maturity dengan organisasi lain. TI digunakan dalam cara yang terintegrasi untuk mengotomatisasi arus kerja, menyediakan alat untuk meningkatkan kualitas dan efektivitas, membuat perusahaan mudah untuk beradaptasi.
6.9 Pengendalian
6.9.1 Definisi Pengendalian
Ron Weber (1999,35) mengemukakan Pengendalian (control) adalah sebuah sistem yang digunakan untuk mencegah (prevents), mendeteksi (detects), atau mengkoreksi kejadian yang tidak dibenarkan (unlawful events).
Tiga aspek kata kunci definisi pengendalian, yaitu :
1. Pengendalian adalah sebuah sistem (a control is a system)
Dengan kata lain, terdiri dari sekumpulan komponen yang saling berelasi yang berfungsi secara bersama-sama untuk menyelesaikan suatu maksud atau tujuan.
2. Kejadian yang tidak dibenarkan (unlawful events)
Ketidakabsahan kegiatan dapat muncul jika tidak ada otorisasi (unauthorized), tidak akurat (inaccurate), tidak lengkap (incomplete), redundansi (redundant), tidak efektif (ineffective) atau tidak efisien (inefficient) pemasukan data kedalam sistem.
3. Ketiga, pemeriksaan digunakan untuk mencegah (prevent), mendeteksi (detect), atau mengkoreksi (correct) kejadian yang tidak dibenarkan (unlawful events).
6.9.2 Pendekatan Pengendalian
Dua pendekatan pengendalian yaitu :
1. Pengendalian manajemen (management control), terdiri dari Top Management Controls, Systems Development Management Controls, Programming Management Controls, Data Resource Management Controls, Security Management Controls, Operations Management Controls, dan Quality Assurance Management Controls
2. Pengendalian aplikasi (application control), terdiri dari, Boundary Controls, Input Controls, Communication Controls, Processing Controls, Database Controls, dan Output Controls.
Gambar 1.17 Pengendalian manajemen sebagai suatu lapisan disekitar pengendalian aplikasi [5,45]
Pengendalian terdiri dari dua jenis, yaitu pengendalian intern dan pengendalian ekstern. Pada kesempatan ini hanya akan dijelaskan mengenai pengendalian intern.
6.9.3 Definisi Pengendalian Internal
Definisi COBIT merujuk pada bagaimana COSO (committee of sponsoring organization of the treadway commission) mendefinisikan pengendalian sebagai serangkaian kebijakan, prosedur, praktek, dan struktur organisasi yang dirancang untuk menyiapkan keyakinan yang mendasar, bahwa tujuan organisasi atau perusahaan akan dapat dicapai dan hal-hal yang tidak dikehendaki akan terdeteksi atau terkoreksi.
Disamping itu COBIT juga mengadaptasi definisi dari IT contol objective yang dikeluarkan oleh SAC (system auditability and control), yaitu suatu pernyataan tentang hasil yang dikehendaki atau direncanakan untuk dicapai dengan menerapkan prosedur-prosedur pengendalian di dalam kegiatan teknologi informasi yang terkait.
6.9.4 Tujuan Pengendalian Internal
Tujuan pengendalian TI didefinisikan sebagai suatu pernyataan hasil yang diinginkan atau maksud yang dicapai oleh prosedur pengendalian implementasi dalam kegiatan TI khusus.
Tujuan dari pengendalian internal adalah :
a. Memeriksa ketelitian dan kebenaran data yang akan menghasilkan laporan-laporan yang dapat diandalkan.
b. Efektivitas dan efisiensi dalam operasi, yaitu efektif dalam mencapai tujuan organisasi secara keseluruhan dan efisien dalam pemakaian sumberdaya yang tersedia.
c. Membantu agar tidak terjadi penyimpangan terhadap hukum dan peraturan yang berlaku
d. Mengamankan harta milik organisasi atau perusahaan termasuk data yang tersedia.
6.9.5 Klasifikasi Proses Pengendalian Sistem Informasi
COBIT Framework sebagaimana disebutkan dalam IS Auditing Guidelines pada bab ‘Effect of Perfasive IS Control’ yang mulai berlaku efektif sejak 1 Maret 2000, membagi proses pengendalian sistem informasi ke dalam empat domain, yaitu :
1. Perencanaan dan pengorganisasian (PO : Planning and Organisation)
2. Akuisisi dan implementasi (AI : Acquisition and Implementation)
3. Penyampaian dan dukungan (DS : Delivery and Support)
4. Pemantauan (M : Monitoring)
Keempat domain tersebut diatas kemudian dijabarkan menjadi 34 faktor resiko yang harus dievaluasi jika ingin diperoleh suatu kesimpulan mengenai seberapa besar kepedulian manajemen terhadap teknologi informasi, serta bagaimana teknologi informasi dapat memenuhi kebutuhan manajemen akan informasi.
Tabel 1.4 Tiga puluh empat faktor resiko dan pengendalian
PLANNING AND ORGANISATION (PO)
1. PO1 Menetapkan Rencana Strategis Teknologi Informasi (Define a Strategic IT Plan)
2. PO2 Menetapkan Arsitektur Informasi (Define the Information Architecture)
3. PO3 Menetapkan Arah Teknologi (Determine Technological Direction)
4. PO4 Menetapkan Organisasi TI dan Hubungannya (Define the IT Organisation and Relationships)
5. PO5 Mengatur Investasi TI (Manage the IT Investment)
6. PO6 Mengkomunikasikan Tujuan dan Arahan Manajemen (Communicate Management Aims and Direction)
7. PO7 Mengelola Sumberdaya Manusia (Manage Human Resources)
8. PO8 Memastikan Kesesuaian dengan Kebutuhan-kebutuhan eksternal (Ensure Compliance with External Requirements)
9. PO9 Menilai Resiko (Assess Risks)
10. PO10 Mengatur Proyek (Manage Projects)
11. PO11 Mengatur Kualitas (Manage Quality)
ACQUISITION AND IMPLEMENTATION (AI)
12. AI1 Identifikasi solusi-solusi otomatisasi (Identify Automated Solutions)
13. AI2 Memperoleh dan memelihara Perangkat Lunak Aplikasi (Acquire and Maintain Application Software)
14. AI3 Memperoleh dan memelihara Infrastruktur Teknologi (Acquire and Maintain Technology Infrastructure)
15. AI4 Mengembangkan dan memelihara prosedur (Develop and Maintain Procedures)
16. AI5 Instalasi dan pengakuan sistem (Install and Accredit Systems)
17. AI6 Mengatur Perubahan (Manage Changes)
DELIVERY AND SUPPORT (DS)
18. DS1 Menetapkan dan mengatur tingkatan pelayanan (Define and Manage Service Levels)
19. DS2 Mengelola layanan pihak ke tiga (Manage Third-Party Services)
20. DS3 Mengelola kapasitas dan kinerja (Manage Performance and Capacity)
21. DS4 Menjamin layanan berkelanjutan (Ensure Continuous Service)
22. DS5 Menjamin keamanan sistem (Ensure Systems Security)
23. DS6 Mengidentifikasikan dan mengalokasikan biaya (Identify and Allocate Costs)
24. DS7 Mendidik dan melatih user (Educate and Train Users)
25. DS8 Membantu dan memberikan masukan kepada pelanggan (Assist and Advise Customers)
26. DS9 Mengelola konfigurasi (Manage the Configuration)
27. DS10 Mengelola kegiatan dan permasalahan (Manage Problems and Incidents)
28. DS11 Mengelola Data (Manage Data)
29. DS12 Mengelola Fasilitas (Manage Facilities)
30. DS13 Mengelola Operasi (Manage Operations)
MONITORING (M)
31. M1 Mengawasi proses (Monitor the Processes)
32. M2 Menilai kecukupan pengendalian internal (Assess Internal Control Adequacy)
33. M3 Memperoleh jaminan independen (Obtain Independent Assurance)
34. M4 Menyediakan Audit Independen (Provide for Independent Audit)
Daftar Pustaka
1. Alvin A, Arens, James K.Loebbecke, Auditing, Edisi Indonesia, Jakarta, 2003.
2. Weber, Ron (1999), Information Systems Control and Audit, The University of Queensland, Prentice Hall.
3. Information System Audit and Control Association (ISACA) (2003), IS Standards, Guidelines and Procedures for Auditing and Control Professionals, http://www.isaca.org., 14 Juli 2003.
4. IT Governance Institute (2000), Executive Summary, COBIT 3rd Edition, http://www.isaca.org, 14 Juli 2003..
5. IT Governance Institute (2000), Audit Guidelines, COBIT 3rd Edition, http://www.isaca.org, 14 Juli 2003..
6. IT Governance Institute (2000), Management Guidelines, COBIT 3rd Edition, http://www.isaca.org., 14 Juli 2003.
7. IT Governance Institute (2000), Implemetation Tool Set, COBIT 3rd Edition, http://www.isaca.org., 14 Juli 2003.
8. Yayasan Pendidikan Internal Audit (2002), Institut Pendidikan dan Pelatihan Audit dan Manajemen, Audit Sistem Informasi II, Jakarta.
