COBIT ( Control Objectives for Information and related Technology )

COBIT

Control Objectives for Information and related Technology adalah sekumpulan dokumentasi best practices untuk IT governance yang dapat membantu auditor, manajemen dan pengguna ( user ) untuk menjembatani gap antara risiko bisnis, kebutuhan kontrol dan permasalahan-permasalahan teknis.

Latar Belakang dan Sejarah Singkat

COBIT edisi ketiga adalah merupakan versi terakhir dari tujuan pengendalian untuk 

informasi dan teknologi terkait, release pertama diluncurkan oleh yayasan ISACA pada 

tahun 1996. COBIT edisi kedua, merefleksikan suatu peningkatan sejumlah dokumen 

sumber, revisi pada tingkat tinggi dan tujuan pengendalian rinci dan tambahan seperangkat

alat implementasi  (implementation tool set ), yang telah dipublikasikan pada tahun 1998.

COBIT edisi ke tiga ditandai dengan masuknya penerbit utama baru COBIT yaitu Institut IT

Governance. 

nInstitut IT Governance dibentuk oleh ISACA dan yayasan terkait pada tahun 1998  dan memberikan pemahaman lebih dan mengadopsi prinsip-prinsip pengaturan TI. Melalui penambahan pedoman  manajemen (management guidelines) untuk COBIT edisi ketiga

nDan fokusnya diperluas dan ditingkatkan pada  IT Governance. Institut  IT Governance mengambil peranan yang penting dalam pengembangan publikasi.

Pengertian COBIT 

nCOBIT dapat diartikan sebagai  tujuan pengendalian untuk informasi dan teknologi  terkait dan merupakan standar terbuka untuk pengendalian terhadap teknologi informasi  yang dikembangkan dan dipromosikan oleh Institut IT Governance.

nCOBIT pertama sekali diperkenalkan pada tahun 1996 adalah merupakan alat (tool) yang  disiapkan untuk mengatur teknologi informasi ( IT Governance tool).

nCOBIT  telah dikembangkan sebagai sebuah aplikasi umum dan telah diterima menjadi  standar yang baik bagi praktek pengendalian dan keamanan TI yang menyediakan sebuah kerangka kerja bagi pengelola, user, audit sistem informasi, dan pelaksana pengendalian  dan keamanan. 

nCOBIT, di terbitkan oleh Institut IT Governance. Pedoman COBIT memungkinkan  perusahaan untuk mengimplementasikan pengaturan TI secara efektif dan pada dasarnya  dapat diterapkan di seluruh organisasi. Khususnya, komponen pedoman manajemen

nCOBIT yang berisi sebuah respon kerangka kerja untuk kebutuhan manajemen bagi pengukuran dan pengendalian TI dengan menyediakan alat-alat untuk menilai dan mengukur kemampuan TI perusahaan untuk 34 proses TI COBIT. 

Kerangka Kerja COBIT 

nKebutuhan Pengendalian Teknologi Informasi

nAgar organisasi meraih kesuksesan, maka perlu memperhatikan dan memahami  mengenai resiko dan keterbatasan TI disemua level organisasi agar mencapai arahan yang efektif dan pengendalian ya ng memadai.

nManajemen harus memutuskan investasi yang memadai bagi pengendalian  (control) dan  keamanan (security) TI dan menyeimbangkan resiko dan investasi pengendalian yang tidak terprediksi dalam lingkungan TI. Oleh karena itu, kebutuhan terhadap manajemen kerangka kerja (framework) yang jelas, secara umum diterima sebagai praktek- praktek pengendalian dan keamanan TI untuk  benchmark terhadap perencanaan dan kondisi  TI yang ada. 

nTerdapat kebutuhan yang meningkat dari user atas layanan TI untuk penjaminan, akreditasi dan audit atas layanan TI, baik yang  disediakan oleh pihak ketiga maupun yang disediakan oleh pihak internal.

Lingkungan Bisnis

nDi era kompetisi global seperti sekarang ini, organisasi harus melakukan restrukturisasi terhadap kegiatan operasionalnya dan menggunakan keunggulan TI untuk meningkatkan posisi daya saing organisasi.   

Dampak fungsi audit sistem informasi pada suatu organisasi

Obyek Perlindungan Aset (Asset Saveguarding Objectives) 

nAset SI di dalam organisasi adalah H/W, S/W, Fasilitas,  User (Knowledge), file data,dokumentasi sistem, dan persediaan barang.

nSebaiknya semua aset harus dilindungi oleh sistem pengendalian internal. 

Obyek Integritas Data(Data Integrity Objectives) 

nIntegritas data adalah merupakan konsep dasar di dalam audit SI. Data terdiri dari atribut- atribut yang harus berisi : lengkap (completeness), dapat dipercaya (soundness), bersih (purity), dan benar (veracity).

nJika integritas data tidak dipelihara, maka organisasi tidak akan mendapatkan  representasi data yang benar untuk suatu aktifitas, akibatnya organisasi tidak dapat berkompetisi. 

Obyek Efektivitas Sistem (System Efective Objectives) 

nAudit efektivitas sering dilakukan setelah sistem berjalan untuk beberapa waktu.

nManajemen membutuhkan hasil audit efektivitas untuk mengambil keputusan apakah sistem terus dijalankan atau dihentikan sementara untuk proses modifikasi. 

Obyek Efisiensi Sistem (System Efficiency Objectives) 

nEfisiensi SI dilakukan dengan cara menggunakan sumber daya yang minimum untuk menyelesaikan  suatu tujuan obyek (pekerjaan).

nVariasi sumber daya terdiri dari  mesin, waktu, peripheral, S/W sistem, dan pekerja.

Faktor-faktor yang mempengaruhi organisasi

 sehingga perlu melakukan  audit dan pengendalian

nOrganizational Costs of Data Loss

nData dapat menyebabkan kebutuhan sumber daya menjadi kritis untuk keberlangsungan operasional organisasi (baik untuk memberikan gambaran masa lalu,masa kini dan masa yang akan datang). 

nJika data akurat, maka organisasi akan mempunyai kemampuan untuk  beradaptasi  dan bertahan dalam lingkungan yang berubah. Jika tidak (data hilang), maka  organisasi akan mengalami kehilangan data yang cukup penting. Contoh jika data master barang di suatu toko swalayan rusak, maka kasir tidak  dapat melakukan transaksi pembelian yang dilakukan oleh konsumen. 

Cost of Incorrect Decision Making 

nUntuk membuat keputusan yang berkualitas dan dapat dipercaya, maka perlu di dukung oleh data yang akurat melalui sistem informasi berbasis komputer.     Termasuk : deteksi, investigasi, dan koreksi proses yang diluar kontrol  (connection of out-of-control process).  

nAkibat data yang salah akan mempunyai dampak terhadap minat investor  terhadap perusahaan. Contoh : jika penyediaan laporan keuangan salah  (in accurate financial information), maka investor akan membatalkan atas  keputusan investasinya.   

nPenting juga diperhatikan tentang ‘aturan-aturan keputusan yang akurat (accurate decision rules). Contoh jika aturan pengambilan keputusan (decision rule) dalam sistem pakar untuk mendukung diagnosis, salah, mengakibatkan dokter akan salah dalam memberikan keputusan / pemberian resep kepada pasiennya, ini akan berakibat fatal. 

Cost of Computer Abuse

nSebagian besar sebab yang mendorong pengembangan fungsi audit SI di  perusahaan adalah akibat seringnya terjadi penyalahgunaan komputer.    Penyalahgunaan komputer : “segala kejadian yang berhubungan dengan teknologi  komputer yang mengakibatkan kerugian pada korban atau mengakibatkan kehilangan yang diakibatkan oleh pelaku kejahatan untuk mencari keuntungan”   Sebagian besar tipe penyalahgunaan komputer adalah

nHacking  : seseorang yang tidak mempunyai akses otoritas terhadap sistem  komputer  untuk membaca, memodifikasi atau menghapus program atau data  untuk mengacaukan proses. 

nVirus  : adalah program yang menyerang file executable, area sistem atau disk,  atau file data yang berisi macro yang mengakibatkan kekacauan operasi  komputer atau kerusakan data / program.  

nIllegal Physical Access : seseorang yang mengambil keuntungan melalui  akses fisik secara ilegal terhadap fasilitas komputer. Contoh memasuki ruang  komputer atau ruang terminal secara ilegal, merusak H/W, atau copy program  dan data yang bukan merupakan wewenangnya.

nAbuse of Privilages : seseorang yang menggunakan hak- hak istimewanya  untuk maksud dan tujuan yang bukan merupakan otoritasnya. Contoh :  membuat copy data yang rahasia (sensitif) akan tetapi tidak meminta ijin atau persetujuan kepada yang berwenang.

Pendekatan Audit SI

nPesatnya perkembangan dunia komputer, diikuti dengan peningkatan pengetahuan auditor, ternyata mengundang dua perlakuan berbeda terhadap komputer, yaitu :

   (1)  Komputer dipergunakan sebagai alat bantu auditor dalam melaksanakan audit, misalnya untuk mengambil contoh transaksi, memproses data akuntansi, mencetak surat konfirmasi piutang dan sebagainya.

n(2)  Komputer dijadikan sebagai target audit, karena data di entry ke komputer dan  hasilnya dianalisa untuk menilai kehandalan pemrosesan dan keakuratan program  komputer. 

Dengan berjalannya evolusi tersebut, maka muncullah pendekatan audit sistem informasi  yang dapat dikategorikan ke dalam tiga kelompok, yaitu : 

(a) auditing around the computer

(b) auditing with the computer dan 

(c) auditing throught the computer .

Auditing around the computer

n(a)   Auditing around the computer 

adalah mentrasir balik (trace -back) hasil olahan komputer yaitu tidak

menguji operasi pemrosesan dan program komputer secara langsung.

Terfokus pada input dan output sistem. (wilkinson & cerullo; 1997;374)

Auditing with the computer

n(b)   Auditing with the computer

nPendekatan ini menitikberatkan pada penggunaan komputer sebagai

alat bantu audit. Alat bantu audit ini berupa komputer dilengkapi dengan

software audit umum (generale audit software,  biasa disingkat GAS).

Contoh GAS antara lain ACL (Audit Command Language), IDEA

(Interactive Data Extraction and Analysis) dan lain- lain.

Auditing throught the computer

n(c)   Auditing throught the computer

nauditor harus memperlakukan komputer sebagai target audit dan

melakukan audit throught atau memasuki area program. Oleh sebab  itu

pendekatan  Auditing throught the computer termasuk juga dalam

CAATs (Computer Assisted Audit Technique) yaitu teknik audit berbantuan komputer (TABK).

Beberapa auditor memutuskan menggunakan

pendekatan  Auditing throught  ini karena

alasan berikut :

nA.Ketidakmampuan untuk melokalisir source document atau  print-out

karena memang rancangan sistem pengarsipan yang digunakan

menghendaki demikian. 

nB.Kekhawatiran bahwa jumlah yang ditunjukkan pada print-out

komputer tidak sama dengan saldo yang ada (ter-record) di file

komputer.

Tahapan Audit Sistem Informasi 

nMenurut Ron Weber dalam bukunya Information Systems Control and Audit halaman 47- 55, terdapat 5 (lima) langkah atau tahapan audit sistem informasi yaitu :

1.  Perencanaan Audit (Planning the Audits)

2.  Pengetesan Kendali (Tests of Controls)

3.  Pengetesan Transaksi (Tests of Transactions)

4.  Pengetesan Keseimbangan atau Keseluruhan  Hasil (Tests  of Balances or Overall Results)

5.  Pengakhiran (penyelesaian) Audit (Completion of the Audit)

Sedangkan menurut Gallegos Cs. dalam bukunya  Audit and Control of

Informtion Systems (chapter 10), tahapan audit sistem  informasi

mencakup aktivitas :

1.  Perencanaan (Planning)

2.  Pemeriksaan Lapangan (Fieldwork) 

3.  Pelaporan (Reporting ) dan

4.  Tindak Lanjut (Follow Up)

Planning  adalah kegiatan perencanaan untuk melaksanakan audit 

Fieldwork adalah kegiatan pemeriksaan dan evaluasi sistem yang dilaksanakan di lapangan

Reporting  adalah kegiatan pelaporan hasil- hasil yang diperoleh dari

fieldwork

Follow Up adalah tindakan lebih lanjut yang dilaksanakan oleh pihak manajemen berkaitan dengan laporan hasil pemeriksaan. 

Pengumpulan Fakta

Terdapat lima alat dan teknik yang dapat digunakan dalam mengumpulkan fakta, yaitu :

1.  Audit Software : secara umum membahas audit software, audit khusus industri software,  high level language,  utility software,  expert systems,  neural network software, dan software lainnya.

2.  Code Review, Test Data, and Code Comparison : secara umum membahas tentang dimana kesalahan (error) program terjadi dengan cara melihat kode program, tes data dan perbandingan kode.

3. Concurrent Auditing Techniques : membahas tentang teknik, kebutuhan dan implementasi untuk audit bersamaan.

4. Interviews, Questionnaires, and Control Flowcharts : membahas tentang desain dan penggunaan interview, kuisioner dan arus pengendalian.

Wawancara (Interviews),  digunakan untuk memperoleh baik jumlah (quantitative) maupun kualitas (quality) informasi selama pekerjaan pengumpulan fakta. Terdiri  dari tiga fase yaitu :

(1)    persiapan wawancara (preparing for interview);

(2)    pelaksanaan wawancara (conducting the interview)

(3) penganalisaan hasil wawancara (analyzing the interview ). 

Kuesioner (Questionnaires), digunakan untuk mengumpulkan fakta

berdasarkan data, seperti apakah ada pengendalian dalam sistem

aplikasi.  Empat fase kuesioner yaitu

 (1) desain pertanyaan (design of questions)

 (2) desain skala respon (design of response scales)

 (3) desain struktur dan layout (design of the layout and structure)

 (4) jaminan bahwa kuesioner valid dan dapat dipercaya  (ensuring the  questionnaire is valid and reliable).

Arus Pengendalian (Control Flowcharts), digunakan untuk

menggambarkan apakah  ada pengendalian dalam sistem dan dimana

pengendalian itu berada dalam sistem.

5. Performance Monitoring Tools, mendiskusikan tentang obyek dari

pengukuran kinerja, karakteristik dari pengawasan pengukuran,

hardware, software,  dan pengawasan pengukuran campuran (hybrid),

bagaimana hasil dari pengukuran kinerja, dan resiko untukpemeliharaan

integritas data sewaktu pengawasan kinerja dilakukan.

Proses Audit

Audit dalam konteks teknologi informasi adalah memeriksa apakah sistem komputer berjalan semestinya.

Tujuh langkah proses audit :

1. Implementasikan sebuah strategi audit berbasis manajemen risiko serta control practice yang dapat disepakati semua pihak.

2.  Tetapkan langkah-langkah audit yang rinci.

3.  Gunakan fakta/bahan bukti yang cukup, handal, relevan, serta bermanfaat.

4.  Buatlah laporan beserta kesimpulannya berdasarkan fakta yang dikumpulkan.

5.  Telaah apakah tujuan audit tercapai.

6.  Sampaikan laporan kepada pihak yang berkepentingan.

7.  Pastikan bahwa organisasi mengimplementasikan managemen

risiko serta control practice.

Metodologi audit: 

Audit subject.

Menentukan apa yang akan diaudit.

Audit objective.

Menentukan tujuan dari audit.

Audit Scope.

Menentukan sistem, fungsi, dan bagian dari organisasi yang secara

spesifik/khusus akan diaudit.

Preaudit Planning.

Mengidentifikasi sumber daya dan SDM yang dibutuhkan, menentukan

dokumen-dokumen apa yang diperlukan untuk menunjang audit,

menentukan lokasi audit.

Audit procedures and steps for data gathering.

Menentukan cara melakukan audit untuk memeriksa dan menguji

kendali, menentukan siapa yang akan diwawancara.

Evaluasi hasil pengujian dan pemeriksaan. Spesifik pada tiap

organisasi.

Prosedur komunikasi dengan pihak manajemen. Spesifik pada tiap

organisasi.

Audit Report Preparation.

Menentukan bagaimana cara memeriksa hasil audit, yaitu evaluasi

kesahihan dari dokumen-dokumen, prosedur, dan kebijakan dari

organisasi yang diaudit.

Struktur dan isi laporan audit tidak baku, tapi umumnya terdiri atas:

Pendahuluan, tujuan, ruang lingkup, lamanya audit, prosedur audit.

Kesimpulan umum dari auditor.

Hasil audit. Apa yang ditemukan dalam audit, apakah prosedur dan

kontrol layak atau tidak

Rekomendasi. Tanggapan dari manajemen (bila perlu).

Exit interview.

Interview terakhir antara auditor dengan pihak manajemen untuk

membicarakan temuan-temuan dan rekomendasi tindak lanjut.

Sekaligus meyakinkan tim manajemen bahwa hasil audit sahih.