AUDIT TEKNOLOGI SI

Pengertian COBIT

Control Objective for Information & Related Technology (COBIT) adalah sekumpulan dokumentasi best practice untuk IT Governance yang dapat membantu auditor, pengguna (user), dan manajemen, untuk menjembatani gap antara resiko bisnis, kebutuhan kontrol dan masalah-masalah teknis IT (Sasongko, 2009).

COBIT mendukung tata kelola TI dengan menyediakan kerangka kerja untuk mengatur keselarasan TI dengan bisnis. Selain itu, kerangka kerja juga memastikan bahwa TI memungkinkan bisnis, memaksimalkan keuntungan, resiko TI dikelola secara tepat, dan sumber daya TI digunakan secara bertanggung jawab (Tanuwijaya dan Sarno, 2010).

COBIT merupakan standar yang dinilai paling lengkap dan menyeluruh sebagai framework IT audit karena dikembangkan secara berkelanjutan oleh lembaga swadaya profesional auditor yang tersebar di hampir seluruh negara. Dimana di setiap negara dibangun chapter yang dapat mengelola para profesional tersebut.

Kerangka Kerja COBIT

Kerangka kerja COBIT terdiri atas beberapa arahan/pedoman, yakni:

A). Control Objectives

Terdiri atas 4 tujuan pengendalian tingkat-tinggi (high-level control objectives) yang terbagi dalam 4 domain, yaitu : Planning & Organization , Acquisition & Implementation , Delivery & Support , dan Monitoring & Evaluation.

B). Audit Guidelines

Berisi sebanyak 318 tujuan-tujuan pengendalian yang bersifat rinci (detailed control objectives) untuk membantu para auditor dalam memberikan management assurance dan/atau saran perbaikan.

C). Management Guidelines

Berisi arahan, baik secara umum maupun spesifik, mengenai apa saja yang mesti dilakukan, terutama agar dapat menjawab pertanyaan-pertanyaan berikut :

• Sejauh mana TI harus bergerak atau digunakan, dan apakah biaya TI yang dikeluarkan sesuai dengan manfaat yang dihasilkannya.
• Apa saja indikator untuk suatu kinerja yang bagus.
• Apa saja faktor atau kondisi yang harus diciptakan agar dapat mencapai sukses ( critical success factors ).
• Apa saja risiko-risiko yang timbul, apabila kita tidak mencapai sasaran yang ditentukan
• Bagaimana dengan perusahaan lainnya, apa yang mereka lakukan.
• Bagaimana mengukur keberhasilan dan bagaimana pula membandingkannya.

Manfaat dan Pengguna COBIT

Secara manajerial target pengguna COBIT dan manfaatnya adalah :

A). Direktur dan Eksekutif

Untuk memastikan manajemen mengikuti dan mengimplementasikan strategi searah dan sejalan dengan TI.

 B). Manajemen

• Untuk mengambil keputusan investasi TI.
• Untuk keseimbangan resiko dan kontrol investasi.
• Untuk benchmark lingkungan TI sekarang dan masa depan.

C). Pengguna

Untuk memperoleh jaminan keamanan dan control produk dan jasa yang dibutuhkan secara internal maupun eksternal.

D). Auditors 

• Untuk memperkuat opini untuk manajemen dalam control internal.
• Untuk memberikan saran pada control minimum yang diperlukan.

Frame Work COBIT

COBIT dikeluarkan oleh IT Governance Institute (ITGI). COBIT digunakan untuk menjalankan penentuan atas IT dan meningkatkan pengontrolan IT. COBIT juga berisi tujuan pengendalian, petunjuk audit, kinerja dan hasil metrik, faktor kesuksesan dan maturity model.

Lingkup kriteria informasi yang sering menjadi perhatian dalam COBIT adalah:

A). Effectiveness

Menitikberatkan pada sejauh mana efektifitas informasi dikelola dari data-data yang diproses oleh sistem informasi yang dibangun.

B). Efficiency

Menitikberatkan pada sejauh mana efisiensi investasi terhadap informasi yang diproses oleh sistem.

C). Confidentiality

Menitikberatkan pada pengelolaan kerahasiaan informasi secara hierarkis.

D). Integrity

Menitikberatkan pada integritas data/informasi dalam sistem.

E). Availability

Menitikberatkan pada ketersediaan data/informasi dalam sistem informasi.

F). Compliance

Menitikberatkan pada kesesuaian data/informasi dalam sistem informasi.

H). Reliability

Menitikberatkan pada kemampuan/ketangguhan sistem informasi dalam pengelolaan data/informasi.

Sedangkan fokus terhadap pengelolaan sumber daya teknologi informasi dalam COBIT adalah pada :

• Applications
• Information
• Infrastructure
• People

Dalam menyediakan informasi yang dibutuhkan perusahaan untuk mencapai tujuan organisasi, COBIT memiliki karakteristik :

• Business-Focused
• Process-Oriented
• Controls-Based
• Measurement-Driven

COBIT mengelompokkan semua aktivitas bisnis yang terjadi dalam organisasi menjadi 34 proses yang terbagi ke dalam 4 buah domain proses, meliputi :

A). Planning & Organization.

Domain ini menitikberatkan pada proses perencanaan dan penyelarasan strategi TI   dengan strategi perusahaan, mencakup masalah strategi, taktik dan identifikasi tentang bagaimana TI dapat memberikan kontribusi maksimal terhadap pencapaian tujuan bisnis organisasi sehingga terbentuk sebuah organisasi yang baik dengan infrastruktur teknologi yang baik pula.

Domain ini mencakup :

• PO1 – Menentukan rencana strategis
• PO2 – Menentukan arsitektur informasi
• PO3 – Menentukan arah teknologi
• PO4 – Menentukan proses TI, organisasi dan hubungannya
• PO5 – Mengelola investasi TI
• PO6 – Mengkomunikasikan tujuan dan arahan manajemen
• PO7 – Mengelola sumber daya manusia
• PO8 – Mengelola kualitas
• PO9 – Menilai dan mengelola resiko TI
• PO10 – Mengelola proyek

B). Acquisition & Implementation.

Domain ini berkaitan dengan implementasi solusi IT dan integrasinya dalam proses bisnis organisasi untuk mewujudkan strategi TI, juga meliputi perubahan dan maintenance yang dibutuhkan sistem yang sedang berjalan untuk memastikan daur hidup sistem tersebut tetap terjaga.

Domain ini meliputi:

• AI1 – Mengidentifikasi solusi yang dapat diotomatisasi.
• AI2 – Mendapatkan dan maintenance software aplikasi
• AI3 – Mendapatkan dan maintenance infrastuktur teknologi
• AI4 – Mengaktifkan operasi dan penggunaan
• AI5 – Pengadaan sumber daya IT.
• AI6 – Mengelola perubahan
• AI7 – Instalasi dan akreditasi solusi dan perubahan.

C). Delivery & Support.

Domain ini mencakup proses pemenuhan layanan IT, keamanan sistem, kontinyuitas layanan, pelatihan dan pendidikan untuk pengguna, dan pemenuhan proses data yang sedang berjalan.

Domain ini meliputi :

• DS1 – Menentukan dan mengelola tingkat layanan.
• DS2 – Mengelola layanan dari pihak ketiga
• DS3 – Mengelola performa dan kapasitas.
• DS4 – Menjamin layanan yang berkelanjutan
• DS5 – Menjamin keamanan sistem.
• DS6 – Mengidentifikasi dan mengalokasikan dana.
• DS7 – Mendidik dan melatih pengguna
• DS8 – Mengelola service desk dan insiden.
• DS9 – Mengelola konfigurasi.
• DS10 – Mengelola permasalahan.
• DS11 – Mengelola data
• DS12 – Mengelola lingkungan fisik
• DS13 – Mengelola operasi.

D). Monitoring and Evaluation.

Domain ini berfokus pada masalah kendali-kendali yang diterapkan dalam organisasi, pemeriksaan intern dan ekstern dan jaminan independent dari proses pemeriksaan yang dilakukan.

Domain ini meliputi:

• ME1 – Mengawasi dan mengevaluasi performansi TI.
• ME2 – Mengevaluasi dan mengawasi kontrol internal
• ME3 – Menjamin kesesuaian dengan kebutuhan eksternal.
• ME4 – Menyediakan IT Governance.

COBIT Maturity Model

COBIT menyediakan parameter untuk penilaian setinggi dan sebaik apa pengelolaan IT pada suatu organisasi dengan menggunakan maturity models yang bisa digunakan untuk penilaian kesadaran pengelolaan (management awareness) dan tingkat kematangan (maturity level). COBIT mempunyai model kematangan (maturity models) untuk mengontrol proses-proses IT dengan menggunakan metode penilaian (scoring) sehingga suatu organisasi dapat menilai proses-proses IT yang dimilikinya dari skala nonexistent sampai dengan optimised (dari 0 sampai 5), yaitu: 0: Non Existen, 1: Initial, 2: Repetable, 3: Defined, 4: Managed dan 5: Optimized  (Purwanto dan Saufiah, 2010; Setiawan, 2008; Nurlina dan Cory, 2008).

CONTOH KASUS

Domain : Deliver and Support (DS) & Monitor and Evaluate (ME)
Kasus    : PT. SMI

ANALISIS PENGUKURAN TINGKAT KEMATANGAN MENGGUNAKAN KERANGKA COBIT 4.1 (STUDI KASUS: PT SMI)

 ABSTRAK

Penerapan teknologi informasi memiliki peranan penting untuk meningkatkan daya saing perusahaan terhadap kompetitor perusahaan, PT SMI sebagai perusahaan manufaktur mengharapkan hasil produksi akan menjadi lebih berkualitas   dengan penerapan TI sehingga dibutuhkan suatu pengelolaan TI yang terstruktur.   Tata Kelola TI merupakan suatu hubungan yang terstruktur dan terdapat proses untuk mengarahkan dan mengendalikan organisasi guna mencapai tujuannya .Penelitian ini menggunakan  COBIT (Control Objective  for Information and Related Technology) 4.1 pada  domain Deliver and Support (DS) dan Monitor and Evaluate (ME) yang bertujuan untuk mengetahui keselarasan penerapan teknologi informasi yang ada saat ini dengan yang diinginkan. Berdasarkan analisa dan pengukuran tingkat kematangan terdapat perbedaan antara level yang diharapkan dengan level maturity saat ini. Rekomendasi diberikan kepada PT SMI untuk mengatasi kekurangan level yang ada dengan mengacu pada ketentuan COBIT. 

1. PENDAHULUAN

PT SMI adalah sebuah perusahaan yang memproduksi dan memasarkan KWH digital, KWH digital ini berfungsi untuk mengukur penggunaan listrik secara otomatis sehingga mengurangi kegiatan pencatatan secara manual. Sebagai perusahaan yang memproduksi dan memasarkan langsung produknya, maka perusahaan harus dapat memproduksi perangkat dengan tepat waktu, akurat dan sesuai dengan kebutuhan pengguna agar dapat menjaga kepercayaan pelanggan terhadap hasil produksi yang dihasilkan oleh perusahaan. Hal ini juga sesuai dengan visi perusahaan yaitu perusahaan yang mendesain dan memproduksi peralatan listrik dengan teknologi tepat guna untuk menghasilkan produk yang berkualitas serta dapat memberikan banyak manfaat [6]. Perkembangan Teknologi Informasi (TI) saat ini membantu perusahaan dalam peningkatan efisiensi dan proses bisnis yang lebih baik. Pemanfaatan TI yang dilakukan oleh PT SMI dapat tercapai dengan baik apabila melakukan perencanaan dan memanfaatkan teknologi informasi secara maksimal yang disesuaikan dengan proses bisnis pada perusahaan. Penerapan strategi TI yang baik hanya dapat terjadi apabila telah didukung oleh sistem Tata Kelola Teknologi Informasi (IT Governance) yang baik yaitu dimulai dari tahap perencanaan, implementasi dan evaluasi terhadap hasil yang telah dilakukan sebelumnya. Tata Kelola TI juga dapat digunakan untuk mengukur tingkat kematangan dari penerapan IT sehingga dapat diketahui sejauh mana manfaat penerapan teknologi informasi dalam mendukung perusahaan untuk mencapai sasaran dan tujuan yang diharapkan. Berdasarkan pemanfaatan TI yang diterapkan oleh PT SMI, harus dilakukan pengukuran hasil penerapan yang telah dilakukan salah satunya dengan menggunakan framework COBIT pada domain Deliver and Support (DS) dan Monitor and Evaluate (ME). 


2. STUDI PUSTAKA

Tata Kelola TI merupakan tanggung jawab dari dewan direksi dan manajemen tingkat atas. Ini merupakan tingkatan atas pemerintahan yang terdiri atas kepemimpinan dan struktur organisasi serta proses yang digunakan untuk memastikan bahwa organisasi TI menopang untuk memperluas strategi dan tujuan organisasi [3]. Tata kelola TI merupakan sebuah kegiatan yang melibatkan dewan, manajemen eksekutif dan manajemen TI untuk mengendalikan rencana dan implementasi strategi TI serta memastikan perpaduan dari bisnis dan TI [2]. Dari definisi yang telah dikemukan diatas terdapat beberapa perbedaan tetapi proses yang dilakukan, tetapi dari perbedaan tersebut dalam tata kelola TI yang menjadi bahasan utama yaitu permasalahan TI dimulai dari keputusan manajemen tingkat atas terkait TI sampai proses TI yang berjalan.

2.1 Area Kegiatan Tata Kelola Teknologi Informasi

Kegiatan dalam IT Governance sendiri mencakup beberapa area, setiap area yang ada akan fokus pada beberapa kegiatan antara lain [4]: Strategic Alignment, Value Delivery, Risk Management, Resource Management, Performance Management.

Proses TI yang berjalan dengan menerapkan tata kelola TI, menurut [4] terdapat beberapa proses yang terlihat pada gambar dibawah ini:

 

2.2 Penelitian Terdahulu 

Kegiatan yang dilakukan disini dilakukan dengan memberikan kesimpulan dari penelitian-penelitian terdahulu yang relevan dengan topik yang diambil. Adapun beberapa penelitian yang diambil dapat dilihat adalah:

Pengukuran Tingkat Kematangan Tata Kelola Teknologi Informasi Menggunakan Framework COBIT 4.1: Studi Kasus di Pemerintah Kota Bogor, Ichsan Ramdhani 2012.
Penelitian yang dilakukan oleh Ichsan Ramdhais ini mengukur tingkat kematangan tata kelola teknologi informasi di kota Bogor dengan menggunakan modelframework COBIT 4.1. berdasarkan penelitian yang dilakukan maka diperoleh nilai 2,18. Dari hasil yang didapat pada penelitian ini bahwa tata kelola teknologi informasi Pemerintah Kota Bogor berada pada level repeatable but intuitive [5].

Perancangan Tata Kelola Infrastruktur Teknologi Informasi Kabupaten Banyuwangi Dengan Kerangka Kerja COBIT 4.1, Nafi Ferdian 2012.
 Sama dengan penelitian yang dilakukan oleh Ichsan Ramadhani, penelitian yang dilakukan oleh Nafi Ferdian juga menggunakan COBIT 4.1 untuk mengukur tingkat kemantangan penerapan tata kelola teknologi informasi di Kabupaten Banyumas. Tingkat kematangan yang didapatkan adalah berkisar antara dua sampai dengan tiga [1].

 
3. METODOLOGI PENELITIAN

Metodologi penelitian menggunakan tahapan-tahapan kegiatan yaitu:  

A). Identifikasi masalah 

Proses identifikasi masalah dilakukan untuk mendapatkan permasalahan yang terdapat pada PT SMI, dimana hasil dari masalah yang didapat akan digunakan sebagai masalah dalam penelitian yang diambil penulis.

B). Penelusuran kepustakaan 

Penggunaan kepustakaan ini berkaitan dengan mengambil kembali litatur yang berhubungan dengan penelitian yang akan dibahas oleh penulis baik berupa paper atau berupa buku penunjang penelitian.

C). Pengumpulan data

Proses ini berhubungan dengan proses pengambilan data yang sesuai dengan permasalahan yang diambil dalam proses yang berjalan pada PT SMI.

D). Analisis dan penafsiran data

Analisa diambil atas proses pengumpulan data yang telah diambil sebelumnya untuk mendapatkan hasil yang sesuai dengan mengetahui permasalahan yang dimiliki oleh PT SMI

E). Pengambilan keputusan

Proses ini dilakukan untuk membantu PT SMI dalam menentukan bagaimana menyelesaikan permasalahan yang ada dengan mengetahui permasalahan saat ini yang sedang berjalan.

 

4. HASIL DAN PEMBAHASAN

Kegiatan yang dilakukan untuk mendapatkan tingkat kematangan penggunaan tata kelola TI pada suatu perusahaan yaitu melakukan pemetaan dari setiap proses bisnis yang berjalan sesuai dengan proses penggunaan TI.  Pemetaan proses bisnis ke proses penggunaan IT dilakukan dengan pendekatan framework cobit 4.1.
 
4.1 Identifikasi Bisnis Strategi dengan IT Goals

Proses identifikasi awal adalah memetakan tujuan bisnis perusahaan  sesuai dengan tujuan bisnis yang terdapat pada COBIT. Tujuan bisnis yang digunakan dalam penelitian yaitu tujuan PT SMI, visi dan misi. Hasil pemetaan yang didapat yaitu: 

Tabel 1 Pemetaan Tujuan Bisnis ke Tujuan TI

 

 4.2  Identifikasi Proses TI COBIT 

Proses ini dilakukan dengan cara melihat hasil pemetaan sebelumnya yaitu pemetaaan dari tujuan bisnis ke tujuan TI. Setelah tujuan TI didapat maka kegiatan tersebut akan memetakan proses-proses yang berhubungan dengan tujuan bisnis TI. Proses pemetaan diambil dari tabel yang dimiliki oleh COBIT 4.1 yaitu pemetaan dari IT Goals ke IT Process. Hasil pemetaan yang dilakukan dapat dilihat pada Tabel 2:
 
Tabel 2 Pemetaan IT Business Goals ke Proses IT Goals

 

4.3  Penilaian dan Pengukuran Tingkat Kematangan
Pengukuran tingkat kematangan dapat dilakukan setelah mengetahui domain proses yang akan diukur berdasarkan pemetaan yang telah dilakukan sebelumnya yaitu domain Deliver Support (DS) serta Monitoring and Evaluate (ME). Proses pengukuran tingkat kematangan didapatkan melalui proses wawancara terhadap respon berdasarkan tabel RACI setiap proses yang terdapat pada framework Cobit 4.1.

Perhitungan tingkat kematangan dilakukan dengan memanfaatkan sebuah aplikasi dalam bentuk kuesioner yang terdapat pada Implementing and Continually Improving IT Governance-Supplemental Tools and Materials. Proses pengisian kuesioner dilakukan dengan cara seperti terlihat pada Gambar 3: 

 

Berdasarkan proses pengukuran yang dilakukan pada domain Deliver Support (DS) serta Monitoring and Evaluate (ME) didapatkan hasil pengukuran tingkat kematangan TI pada PT SMI saat ini adalah pada level 3 dan tingkat kematangan yang diharapkan berada pada level 4, dimana artinya tata kelola TI yang diinginkan ketika melakukan implementasi telah memiliki kegiatan yang terdokumentasi dan tertata dengan baik untuk setiap proses yang berjalan berdasar COBIT 4.1. 4.4 Rekomendasi 

Pencapaian Tingkat Kematangan TI  

Berdasarkan hasil pengukuran didapatkan tingkat kematangan TI masih berada pada level 3 yang merupakan tingkatan dibawah dari yang diinginkan perusahaan SMI yaitu pada level 4, tingkat kematangan level 4 dibutuhkan oleh PT.SMI agar tujuan perusahaan dapat tercapai dengan pemanfaatan TI yang tepat guna. Berikut beberapa  rekomendasi yang diberikan untuk mengatasi gap yang ada serta untuk meningkatkan level pemanfaatan TI mencapai level 4. 

1. DS 2 Manage Third-Party Services
Rekomendasi untuk menuju ke tingkat kematangan yang diinginkan: 
a. PT SMI harus memastikan standarisasi tentang setiap keterlibatan setiap proses yang dilaksanakan telah sesuai dengan ruang lingkup, jadwal pekerjaan serta tanggung jawab yang diberikan.
b. Ketika melakukan hubungan dengan vendor yang akan diajak kerjasama maka kegiatan kualifikasi dan verifikasi yang telah dilakukan harus tetap dilakukan agar proses layanan yang diberikan pihak ketiga tetap sesuai.
c. Tujuan bisnis yang telah ditetapkan dalam kegiatan PT SMI harus dijalankan dan penilaian terhadap kinerja dari vendor harus dilakukan.
d. Memastikan kesepakatan yang sebelumnya telah dibuat agar tetap diawasi pelaksanaannya. 

2. DS13 Manage Operations 

Rekomendasi untuk menuju ke tingkat kematangan yang diinginkan:
a. Pengawasan terhadap penggunaan komputer dan kegiatan lainnya dilakukan secara terstruktur dan tetap dilakukan monitoring yang secara terus menerus.
b. Membuat sebuah pelatihan yang formal dan berkelanjutan untuk setiap kegiatan yang ada pada PT SMI.
c. Membuat dokumentasi dan komunikasi tentang jadwal dan tugas, baik tentang fungsi TI ataupun terhadap pelanggan bisnis.
d. Perlu adanya monitoring dan pencatatan terhadap kegiatan yang ada dalam penggunaan sumber daya komputasi serta memastikan pekerjaan yang berjalan diselesaikan.

3. ME1 Monitor and Evaluate IT Performance 

Rekomendasi untuk menuju ke tingkat kematangan yang diinginkan:
a. PT SMI telah memiliki hubungan dengan lembaga yang mengontrol kegiatan manajemen dan proses yang berjalan, tetapi untuk proses TI tidak memiliki lembaga terkait yang digunakan untuk memantau pengontrollan proses TI yang berjalan.
b. Adanya pengembangan dan formalisasi terhadap histori suatu kegiatan yang telah dilakukan dan adanya kegiatan untuk menilai dan memantau tingkat layanan TI.
c. Pengukuran dilakukan terhadap tingkat layanan TI yang dijalankan PT SMI sesuai dengan kontribusi dari layanan informasi. d. Proses pengukuran kepuasan pelanggan dan tingkat layanan harus sesuai dengan startegi dan kinerja dari TI.


5. KESIMPULAN

Berdasar hasil penelitian yang telah dilakukan pada PT SMI dapat disimpulkan sebagai berikut:
1. Tingkat kematangan tata kelola TI pada PT SMI rata – rata berada pada level 3 yaitu “defined” dan masih belum berada pada tingkat kematangan yang diharapkan perusahaan.
2. Terdapat gap tingkat kematangan saat ini dan yang diharapkan. Untuk dapat mencapai tingkatan tersebut dibutuhkan tahapan yang harus dilakukan berdasarkan rekomendasi pencapaian tingkat kematangan proses TI. Hal ini dilakukan untuk mendapatkan hasil produksi yang maksimal dan hubungan dengan pelanggan dapat tetap berjalan dengan baik.
3. Belum maksimalnya aturan dan dokumentasi yang terkait TI, serta belum ada standar yang digunakan oleh manajemen untuk pengukuran TI.


6. DAFTAR RUJUKAN

[1] Ferdian, Nafi. 2012. Perancangan Tata Kelola Infrastruktur Teknologi Informasi Kabupaten Banyuwangi Dengan Kerangka Kerja COBIT 4.1. September 15, 2013. Surabaya: Institute Teknologi Surabaya.

[2] Grembergen, Wim Van. 2004. Strategies in Information Technology   Governance.  USA: Idea Group Publishing.

[3] IT Governance Institute. 2003. Board Broefing IT Governance (2nd Ed). USA: IT Governance Institute.

[4] IT Governance Institute. 2007. COBIT 4.1 Framework Control Objectives Management Guidelines, Maturity Models. Rolling Meadows, USA: IT Governance Institute.

[5] Ramdhani, Ichsan. 201. Pengukuran Tingkat Kematangan Tata Kelola Teknologi Informasi Menggunakan Framework COBIT 4.1: Studi Kasus di Pemerintahan Kota Bogor. Jakarta: FASILKOM Universitas Indonesia.

[6] Smart Meter Indonesia. 2008. Manual Mutu. 

[7] https://haendra.wordpress.com/2012/06/08/pengertian-cobit/