IT GOVERNANCE dan RISK MANAGEMENT

Aspek - aspek pada Risk Management:

1.  Tataran Korporasi. Aspek ini  terdiri atas tiga hal. 

Pertama, kecukupan modal minimum. Kedua, batasan portofolio investasi. Ketiga, pemisahan rekening perusahaan dan nasabah. Pengaturan aspek ini dimaksudkan untuk mencegah kejahatan korporasi (corporate crime).

2. Tataran Pengelola Perusahaan. Aspek ini terdiri atas tiga hal juga. Pertama, kompetensi manajemen berupa pengalaman dan keahlian. Kedua, integritas pengurus berupa rekam jejak yang tidak tercela. Ketiga, tata pengelolaan yang baik dan transparan. Pengaturan aspek ini dimaksudkan untuk mencegah kejahatan pimpinan perusahaan (white collar crime).  

3. Tataran Pelaksana Lapangan Perusahaan. Aspek ini terdiri atas tiga hal. Pertama, pengenalan selera risiko nasabah (risk appetite). Kedua, pengetahuan tenaga penjual akan produk investasi yang dijualnya. Ketiga, transparansi dalam menjelaskan risiko investasi. Pengaturan aspek ini dimaksudkan untuk mencegah kejahatan tenaga pelaksana (blue collar crime). 

Audit IT pada domain EDM (Evaluate, Direct, and Monitor)

Proses tata kelola EDM berurusan dengan tujuan stakeholder dalam melakukan penilaian, optimasi risiko dan sumber daya, mencakup praktek dan kegiatan yang bertujuan untuk mengevaluasi pilihan strategis, memberikan arahan kepada IT dan pemantauan hasilnya.

Audit IT pada domain APO (Align, Plan, and Organise)

Proses manajemen APO memberikan arah untuk penyampaian solusi (BAI) dan penyediaan layanan dan dukungan (DSS). Domain ini mencakup strategi dan taktik, dan identifikasi cara terbaik agar IT dapat berkontribusi pada pencapaian tujuan bisnis.

Audit IT pada domain BAI (Build, Acquire, and Implement)

Proses manajemen BAI memberikan solusi dan mengimplementasikannya sehingga berubah menjadi layanan. Untuk mewujudkan strategi IT, solusi IT perlu diidentifikas ikan, dikembangkan, serta diimplementasikan dan di integrasikan ke dalam proses bisnis. Perubahan dan pemeliharaan sistem yang ada juga tercakup dalam domain ini, untuk memastikan bahwa solusi dapat memenuhi tujuan bisnis.

Audit IT pada domain DSS (Deliver, Service, and Support)

Proses manajemen DSS menyampaikan solusi yang dapat digunakan bagi pengguna akhir. Domain ini berkaitan dengan penyampaian dan dukungan layanan aktual yang dibutuhkan, yang meliputi pelayanan serta pengelolaan keamanan dan keberlangsungan dukungan layanan bagi pengguna, dan manajemen data dan fasilitas operasional.

Audit IT pada domain MEA (Monitor, Evaluate, Assess)

Proses manajemen MEA memonitor semua proses untuk memastikan bahwa pengarahan yang disediakan domain yang sebelumnya diikuti. Semua proses IT perlu dinilai secara teratur dari waktu ke waktu untuk mengontrol kualitas dan kepatuhannya. Domain ini merujuk pada manajemen kinerja, pemantauan pengendalian internal, kepatuhan terhadap peraturan dan tata kelola.

AUDIT SISTEM INFORMASI

AUDIT SISTEM INFORMASI

(1    ) TABEL PERBANDINGAN +/- STANDAR AUDIT SI

STANDAR AUDIT SI	KELEBIHAN	KEKURANGAN
COBIT	·         .Berhubungan dengan penyediaan informasi yang sesuai untuk manajemen ·         . Proteksi terhadap informasi yang sensitif dari akses yang tidak bertanggung jawab.	·         COBIT hanya memberikan panduan kendali dan tidak memberikan panduan implementasi operasional. ·          COBIT hanya berfokus pada kendali dan pengukuran.
ITIL	·         Memberi deskripsi rinci sejumlah praktik penting TI dan menyediakan daftar komprehensif tugas dan prosedur yang didalamnya setiap organisasi dapat menyesuaikan dengan kebutuhannya sendiri ·         ITIL bukan merupakan standard yang memberikan prescription tetapi lebih kepada merekomendasikan, oleh karena itu implementasi antara satu organisasi dengan organisasi lain dapat dipastikan terdapat perbedaan. Dengan demikian kita tidak bisa membandingkan / melakukan benchmark secara past	·         Kelemahan ITIL antara lain: buku-buku ITIL sulit terjangkau bagi pengguna non komersial, ITIL bersifat holistic yang mencakup semua kerangka kerja untuk tatakelola TI, pelaksanaan pedoman dalam buku ITIL memerlukan pelatihan khusus dan biaya pelatihan atau sertifikasi ITIL terlalu tinggi.
ISO/EC	·         memberikan panduan secara prinsip bagi para direksi dari suatu perusahaan (termasuk di dalamnya para pemilik, anggota dewan, direksi, partners, senior executives, atau sejenisnya) mengenai Teknologi Informasi (TI) yang effective, efficient, dan acceptable use di dalam organisasi mereka.	·         menerapkan dan menjalankan sistem ISO compliant mahal. Tugas menyiapkan informasi perusahaan dan menulis manual perusahaan serta prosedur standar operasi perusahaan bisa mahal terutama karena Anda harus membawa konsultan dari perusahaan luar dan organisasi untuk menangani bagian dari pekerjaan untuk Anda.

(  2  )

A)   

KONSEP DASAR KONTROL

·        Proses dalam pelaksanaan audit sistem informasi berbasis kendali sesuai standar audit yaitu:

a)      Mengumpulkan bukti-bukti yang memadai melalui berbagai teknik seperti survei, interview, observasi, review.

b)      Jika bukti –bukti berupa bukti elektronis (data bentuk file suftcopy) maka auditor menerapkan sistem teknik audit berbantuan komputer yang disebut CAAT(Computer Aided Auditing Technique) yang bertujuan untuk menganalisa data seperti penjualan, pembelian, transaksi, dan lain-lain)

c)      Sesuai standar auditing ISACA (information System Audit And Control Association)Auditor juga harus menyusun laporan yang mencakup tujuan pemeriksaansifat dan kedalaman pemeriksaan.

d)     Laporan juga harus menyebutkan organisasi yang diperiksa, pihak pengguna laporan yang dituju, dan batasan-batasan distrubusi laporan.

e)      Laporan juga harus memasukkan temuan,kesimpulan, rekomendasi, sebagaimana layaknya laporan audit.

·        Audit sistem informasi berbasis kendali merupakan  suatu sistem yang mencegah, mendeteksi atau memperbaiki kejadian yang tidak dibenarkan (unlawfulevents) seperti: unautorized (tidak nyambung), innacurrete(kurang baik), incomplete(tidak komplet/tidak sesuai), redundant(mubazir), ineffective, ineffeicient event.tujuanya yaitu untuk mengurangi kesalahan yang mungkin terjadi dari kejadian yang dibenarkan.

·        Berdasarkan standar manajemen yang dikeluarkan  oleh Internasional Standar Organization (ISO) yaitu ISO 9001-2000, penilaian kondisi sistem mutu mempunyai 4 skala yaitu:

a)      P (Poor) yaitu sistem mutu praktis belum terbentuk. Disarankan untuk meninjau ulang keseluruhan proses.

b)      W (Weak) yaitu masih banyak elemen sistem manajemen mutu yang tidak sesuai standar.

c)      F (Fair) yaitu beberapa elemen sistem telah sesuai standar tetapi masih ada yang belum sesuai bahkan tidak ada sama sekali.

d)     S (Strong) yaitu Sebagian besar persyaratan ISO 9001-2000 telah dapat dipenuhi oleh sistem.

B)    

PRINSIP PRINSIP DASAR PROSES AUDIT SI

·        Audit dititikberatkan pada objek audit yang mempunyai peluang untuk diperbaiki

·        Prasyarat Penilaian terhadap kegiatan objek audit

·        Pengungkapan dalam laporan adanya temuan-temuan yang bersifat positif

·        Identifikasi individu yang bertanggungjawab terhadap kekurangan-kekurangan yang terjadi.

·        Penentuan tindakan terhadap petugas yang seharusnya bertanggung jawab

·        Pelanggaran hokum

·        Penyelidikan dan pencegahan kecurangan

C.)

 STANDAR DAN PANDUAN AUDIT SI

Standar Audit SI tidak lepas dari standar professional seorang auditor SI, yaitu ukuran mutu pelaksanaan kegiatan profesi yang menjadi pedoman bagi para anggota profesi dalam menjalankan tanggung jawab profesinya.

( 3.)

A)

 KONTROL INTERNAL

Proses yang dipengaruhi oleh sumber daya manusia dan sistem teknologi informasi yang dirancang untuk membantu organisasi mencapai suatu tujuan tertentu atau suatu cara untuk mengarahkan, mengawasi, dan mengukur sumber daya suatu organisasi.

RUANG LINGKUP INTERNAL : Menilai keefektifan sistem pengendalian intern, pengevaluasian terhadap kelengkapan dan keefektifan sistem pengendalian internal yang dimiliki organisasi, serta kualitas pelaksanaan tanggung jawab yang diberikan.

SISTEM KONTROL INTERNAL : Suatu sistem atau sosial yang dilakukan perusahaan yang terdiri dari struktur organisasi, metode, dan ukuran-ukuran untuk menjaga dan mengarahkan jalan perusahaan agar bergerak sesuai dengan tujuan dan prgram perusahaan dan mendorong efisiensi serta dipatuhinya kebijakan manajemen.

B.) 

CONTROL OBJECTIVES : Efektivitas proses departemen dalam mendukung desain dan persetujuan kerangka pengendalian program berbasis risiko dan mengatur dan mendukung pengumpulan dan penggunaan laporan penerima.

CONTROL RISK : Risiko pengendalian(control risks) adalah salah satu material yang tidak dapat dicegah ataupun dideteksi secara tepat pada waktunya oleh berbagai kebijakan dan prosedur struktur pengendalian intern perusahaan.  

C )

 MANAGEMENT CONTROL FRAMEWORK : Mengumpulkan dan menggunakan informasi untuk mengevaluasi kinerja berbagai sumber daya organisasi secara keseluruhan.

APPLICATION CONTROL FRAMEWORK : Sistem pengendalian intern komputer yang berkaitan dengan pekerjaan dan kegiatan tertentu yang telah ditentukan. Berkaitan dengan ruang lingkup proses  bisnis individu atau sistem aplikasi.

D.)

 CORPORATE IT GOVERNANCE  : Kumpulan kebijakan, proses atau aktifitas dan prosedur untuk mendukung pengoperasian TI agar hasilnya sejalan dengan strategi bisnis.

( 4 )

Aspek Management Control Framework

1.     Planning and Organization

Mencakup strategi dan taktik yang menyangkut identifikasi tentang bagaimana TI dapat memberikan kontribusi terbaik dalam pencapaian tujuan bisnis organisasi sehingga terbentuk sebuah organisasi yang baik dengan infrastruktur teknologi yang baik pula.

2.     Acquisition and Implementation

Identifikassi solusi Ti kemudian di implementassikan dan diintegrasikan dalam proses bisnis untuk mewujudkan strategi TI.

3.     Delivery and Support

Domain yang berhubungan dengan penyimpanan layanan yang diinginkan, yang terdiri dari operasi pada sistem keamanan dan aspek kesinambungan bisnis sampai dengan pengadaan training.

4.     Monitoring

Semua proses TI perlu dinilai secara teratur dan berkala bagaimmana kualitas dan kesesuiananya dengan kebutuhan control.

http://bang-ilmu.blogspot.co.id/2016/05/cobit-itil.html

http://afrizalseptember.blogspot.co.id/2014/12/konsep-audit-sistem-informasi.html

http://yuliakurnia.blogspot.co.id/2011/07/materi-kuliah.html

Lembaga-lembaga Audit di Indonesia

1.      LPAI

LPÄI Lembaga Pengembangan Auditor Internal adalah lembaga yang concern terhadap pengembangan SDM bidang audit internal. Sebagai salah satu divisi training dari Proesdeem Indonesia — lembaga konsultan manajemen yang sejak 1995 memfokuskan kegiatannya pada pelatihan manajemen — LPÄI menyelenggarakan pelatihan internal audit dan fraud audit secara lengkap, terprogram-berkesinambungan, serta kurikulum berkualitas. Pelatihan yang diselenggarakan oleh LPAI senantiasa dievaluasi dan diupdate — mengacu pada perkembangan pengetahuan dan praktek bisnis paling mutakhir — dimana benchmarknya adalah lembaga-lembaga internal audit dan fraud audit yang sudah dikenal baik reputasinya di dunia.

Selain itu program pelatihan yang diselenggarakan oleh LPAI didukung oleh tenaga instruktur berpengalaman, baik sebagai instruktur maupun sebagai auditor ataupun praktisi manajemen lainnya serta memiliki background pendidikan S2 dan Ph.D. dari dalam dan luar negeri. Sebagian besar instruktur LPAI adalah praktisi audit yang memiliki sertifikat keahlian atau profesi seperti CIA, CFE, CISA, dan sebagainya.

2.      BPK

Badan Pemeriksa Keuangan Republik Indonesia (disingkat BPK RI) adalah lembaga tinggi negara dalam sistem ketatanegaraan Indonesia yang memiliki wewenang memeriksa pengelolaan dan tanggung jawab keuangan negara. Menurut UUD 1945, BPK merupakan lembaga yang bebas dan mandiri. Badan Pemeriksa Keuangan Republik Indonesia (disingkat BPK RI) adalah lembaga tinggi negara dalam sistem ketatanegaraan Indonesia yang memiliki wewenang memeriksa pengelolaan dan tanggung jawab keuangan negara. Menurut UUD 1945, BPK merupakan lembaga yang bebas dan mandiri.

3.         BPKP

Badan Pengawasan Keuangan dan Pembangunan, atau yang disingkat BPKP, adalah Lembaga pemerintah nonkementerian Indonesia yang melaksanakan tugas pemerintahan di bidang pengawasan keuangan dan pembangunan yang berupa Audit, Konsultasi, Asistensi, Evaluasi, Pemberantasan KKN serta Pendidikan dan Pelatihan Pengawasan sesuai dengan peraturan yang berlaku.

Hasil pengawasan keuangan dan pembangunan dilaporkan kepada Presiden selaku kepala pemerintahan sebagai bahan pertimbangan untuk menetapkan kebijakan-kebijakan dalam menjalankan pemerintahan dan memenuhi kewajiban akuntabilitasnya. Hasil pengawasan BPKP juga diperlukan oleh para penyelenggara pemerintahan lainnya termasuk pemerintah provinsi dan kabupaten/kota dalam pencapaian dan peningkatan kinerja instansi yang dipimpinnya

Standar dan Panduan Audit

1.      ISACA

            ISACA adalah suatu organisasi profesi internasional di bidang tata kelola teknologi     

      informasi yang didirikan di Amerika Serikat pada tahun 1967. Awalnya dikenal dengan nama

      lengkap Information Systems Audit and Control Association, saat ini ISACA hanya 

      menggunakan akronimnya untuk merefleksikan cakupan luasnya di bidang tata 

      kelola teknologi informasi.
                 ISACA telah memiliki kurang lebih 70.000 anggota yang tersebar di 140 negara. Anggota

      ISACA terdiri dari antara lain auditor sistem informasi, konsultan, pengajar, profesional 

      keamanan sistem informasi, pembuat perundangan, CIO, serta auditor internal. Jaringan 

      ISACA terdiri dari sekitar 170 cabang yang berada di lebih dari 60 negara, termasuk di 

      Indonesia.

2.      ISO 9001

ISO 9001 adalah  standar internasional di bidang sistem manajemen mutu. Suatu lembaga/organisasi yang telah mendapatkan akreditasi (pengakuan dari pihak lain yang independen) ISO tersebut, dapat dikatakan telah memenuhi persyaratan internasional dalam hal manajemen penjaminan mutu produk/jasa yang dihasilkannya.

Generic Generic berarti standar yang sama dapat diterapkan pada berbagai organisasi, besar atau pun kecil, apapun product dan layanannya, dalam sembarang actifitas suatu sektor, dan apakah itu adalah perusahaan business, layanan public atau departemen pemerintahan.

Sistem manajemen mengacu pada apa yang organisasi lakukan untuk mengelola proses, atau aktivitas, sehingga produk atau jasa memenuhi tujuan yang telah ditetapkannya sendiri, seperti:

·                     Memenuhi persyaratan kualitas pelanggan,

·                     Sesuai dengan peraturan, atau

·                     tujuan lingkungan.

3.      COSO

COSO pada tahun 2009 merilis Pedoman Pemantauan Sistem Pengendalian Internal (Guidance on Monitoring Internal Control Systems). Pedoman ini dimaksudkan untuk membantu organisasi memantau efektivitas sistem pengendalian internal mereka dan mengambil tindakan perbaikan yang diperlukan secara tepat waktu. Meskipun pada saat ini banyak organisasi telah melakukan pemantauan pengendalian internal secara efektif, namun informasi yang diberikan seringkali tidak dimanfaatkan. Sebaliknya dalam kasus lain, seringkali pemantauam yang rutin dan efektif tidak dilakukan, sehingga pengujian tambahan harus dilakukan pada saat menjelang akhir tahun. Hal ini tentu saja akan menambah biaya ekstra. Dalam kedua kasus tersebut, pedoman ini diharapkan dapat meningkatkan pemantauan pengendalian internal yang lebih efektif dengan biaya yang lebih efisien.