Tugas 3 ATSI Audit IT Governance & Management Risk
5 Aspek pada IT Governance
& Risk Management beserta contohnya :
1. Meeting
Stakeholder Needs. Setiap pemangku
kepentingan organisasi memiliki kebutuhan akan keberadaan sistem dan teknologi
informasi dalam konteksnya yang beragam. Ada yang mengharapkan terjadinya efisiensi,
bertambahnya revenue, semakin transparansinya pengelolaan aset,
memperbaiki kendali/control process, meningkatkan utilisasi pegawai,
memberdayakan sumber daya manusia, dan lain sebagainya. Ini adalah prinsip
utama dari governance, dimana keberadaan sistem dan teknologi
informasi tidak boleh lepas dari konteks kebutuhan dan harapan pemangku
kepentingan tertinggi dalam organisasi atau perusahaan (pemilik dan
pimpinannya).
2. Covering Enterprise End-to-End. Informasi
sebagai asset penting organisasi dibutuhkan oleh seluruh unit organisasi, dari
yang berada dalam domain proses hulu (dekat dengan pemasok bahan baku) hingga
ke domain proses hilir (dekat dengan pelanggan). Setiap proses
di dalam organisasi pasti membutuhkan informasi, mengolahnya, dan kemudian
menghasilkan informasi baru bagi kebutuhan proses selanjutnya. Oleh karena
itulah maka domain governance harus memperhatikan kenyataan
ini sehingga pendekatan yang dipergunakan perlu utuh dan lengkap, di segala
lini proses dan unit organisasi.
3. Applying a Single Integrated Framework.
Saat ini, begitu banyak standar best practice di bidang
manajemen dan governance teknologi informasi yang dikenal di
industri dan diadopsi beranekaragam organisasi maupun perusahaan, seperti:
ISO-38500, TOGAF, ITIL, ISO-20000, ISO-27001, PMBOK, CMMI, dan lain sebagainya.
Dalam konteks ini, Cobit telah mempertimbangkan dan mengadopsi berbagai
kerangka dan konsep best practice tersebut ke dalam prinsip,
model, dan strukturnya. Sehingga dapat dikatakan bahwa Cobit secara lengkap dan
terpadu mengintegrasikan keseluruhan kerangka best practice tersebut.
4. Enabling a
Holistic Approach. Isu governance tidak
bias dilihat sepotong-sepotong, dalam arti kata hanya memandangnya dari satu
sisi perspektif saja. Governance merupakan suatu tatanan
konsep yang berkaitan dengan sejumlah dimensi, seperti: kebijakan, proses,
sumber daya, fasilitas, teknologi, kultur, dan lain sebagainya. Masing-masing
domain ini mampu menjadi pemicu (enabler) bagi terselenggarakannya
praktek governance yang efektif tergantung dari situasi dan
konteks organisasi.
5. Separating
governance from management.
Cukup banyak pihak-pihak yang mencampur adukkan kedua konsep yang secara
prinsip dan hakiki berbeda ini. Di Negara yang kebanyakan organisasi atau
perusahaannya menggunaka nbentuk two-layer system (misalnya:
Komisaris dan Direksi), sangat penting untuk membedakan dan memisahkan
pengertian governance dengan manajemen karena keduanya
memiliki tujuan, alasan, dan karakteristik yang berbeda secara signifikan. Jika
manajemen lebih menekankan pada rangkaian menjalankan aktivitas untuk
pencapaian visi, misi, dan obyektif organisasi yang telah dicanangkan, governance lebih
fokus pada cara-cara pencapaian visi, misi, dan obyektif tersebut yang sejalan
dengan prinsip-prinsip nilai (value) yang dianut oleh pemilik perusahaan seperti
transparansi, akuntabilitas, responsibilitas, dan lain sebagainya.
Langkah-Langkah pada audit IT Governance :
1. Identifikasi dan dokumentasi
Layaknya audit umum,
identifikasi dan dukumentasi adalah keharusan. Hal ini bisa dilakukan dengan
menjalankan survei maupun observasi ke lapangan sehingga audit bisa lebih
objektif dan akurat.
2. Tes subtantif
Tes substansi merupakan tes
yang dijalankan untuk mengetahui “isi” secara lebih mendalam. Dalam tes ini ada
dua tipe yang bisa dijalankan: signifikan alias ditelusur secara lebih
mendalam; atau terbatas.
3. Evaluasi
Setelah melakukan tes
substantif, audit TI bisa menjalankan evaluasi berdasarkan hasil temuan. Di
tahap ini kembali dicek apakah kinerja perusahaan efektif atau tidak. Kalau
efektif berarti memenuhi syarat untuk dilanjutkan ke tahap selanjutnya. Namun
kalau tidak efektif, lakukan lagi tes substantif.
4. Penilaian Mutu/
Kesimpulan
Di langkah terakhir ini akan
terlihat apakah mutunya terjamin atau tidak. Jelas audit TI
bukanlah tindakan yang bisa dilakukan secara asal dan instan. Ketelitian
auditor menjadi ujung tombaknya. Selain itu tentu saja, tujuan dan
langkah-langkah tersebut harus dilakukan secara konsekuen.
1.Evaluate, Direct, and Monitor (EDM)
Proses tata kelola ini berurusan dengan
tujuan tata pemangku kepentingan dalam melakukan penilaian, optimasi risiko dan
sumber daya, mencakup praktek dan kegiatan yang bertujuan untuk mengevaluasi
pilihan strategis, memberikan arahan kepada TI dan pemantauan hasilnya. Berikut
domain proses EDM:
a.
EDM01 Ensure Governance Framework Setting and Maintenance (Memastikan
Pengaturan dan Pemeliharaan Kerangka Tata Kelola)
b.
EDM02 Ensure Benefits Delivery (Memastikan Memberi Manfaat)
c.
EDM03 Ensure Risk Optimisation (Memastikan Pengoptimalan Risiko)
d.
EDM04 Ensure Resource Optimisation (Memastikan Pengoptimalan Sumber
Daya)
e.
EDM05 Ensure Stakeholder Transparency (Memastikan Transparansi Pemangku
Kepentingan)
2. Align, Plan and Organise (APO)
Memberikan arah untuk pengiriman solusi (BAI)
dan penyediaan layanan dan dukungan (DSS). Domain ini mencakup strategi dan
taktik, dan mengidentifikasi kekhawatiran cara terbaik TI agar dapat
berkontribusi pada pencapaian tujuan bisnis. Realisasi visi strategis perlu
direncanakan, dikomunikasikan dan dikelola untuk perspektif yang berbeda.
Sebuah organisasi yang tepat, serta infrastruktur teknologi, harus dimasukkan
ke dalam tempatnya. Berikut domain proses APO:
a.
APO01 Manage The IT Management Framework (Mengelola Kerangka Manajemen
TI)
b.
APO02 Manage Strategy (Mengelola Strategi)
c.
APO03 Manage Enterprise Architecture (Mengelola Arsitektur Bisnis)APO04
Manage Innovation (Mengelola Perubahan)
d.
APO05 Manage Portfolio (Mengelola Dokumen)
e.
APO06 Manage Budget and Costs (Mengelola Anggaran dan Biaya)
f.
APO07 Manage Human Resources (Mengelola Sumber Daya Manusia)
g.
APO08 Manage Relationships (Mengelola Relasi)
h.
APO09 Manage Service Agreements (Mengelola Perjanjian Layanan)
i.
APO10 Manage Suppliers (Mengelola Pemasok)
j.
APO11 Manage Quality (Mengelola Kualitas)
k.
APO12 Manage Risk (Mengelola Risiko)
l.
APO13 Manage Security (Mengelola Keamanan)
3.Build, Acquire and Implement (BAI)
Memberikan solusi dan melewatinya sehingga
akan berubah menjadi layanan. Untuk mewujudkan strategi TI, solusi TI perlu
diidentifikasi, dikembangkan atau diperoleh, serta diimplementasikan dan terintegrasi
ke dalam proses bisnis. Perubahan dan pemeliharaan sistem yang ada juga dicakup
oleh domain ini, untuk memastikan bahwa solusi terus memenuhi tujuan bisnis.
Berikut domain proses BAI:
a.
BAI01 Manage Programmes and Project (Mengelola Program Dan Proyek)
b.
BAI02 Manage Requirements Definition (Mengelola Definisi Persyaratan)
c.
BAI03 Manage Solutions Identification and Build (Mengelola Identifikasi
Solusi dan Pembangunan)
d.
BAI04 Manage Availability and Capacity (Mengelola Ketersediaan dan
Kapasitas)
e.
BAI05 Manage Organisational Change Enablement (Mengelola Pemberdayaan
Organisasi Perubahan)
f.
BAI06 Manage Changes (Mengelola Perubahan)
g.
BAI07 Manage Change Acceptance and Transitioning (Mengelola Penerimaan
Perubahan dan Transisi)
h.
BAI08 Manage Knowledge (Mengelola Pengetahuan)
i.
BAI09 Manage Assets (Mengelola Kepemilikan)
j.
BAI10 Manage Configuration (Mengelola Susunan)
4. Deliver, Service and Support (DSS)
Menerima solusi dan dapat digunakan bagi
pengguna akhir. Domain ini berkaitan dengan pengiriman aktual dan dukungan
layanan yang dibutuhkan, yang meliputi pelayanan, pengelolaan keamanan dan
kelangsungan, dukungan layanan bagi pengguna, dan manajemen data dan fasilitas
operasional. Berikut domain proses DSS:
a.
DSS01 Manage Operations (Mengelola Operasi)
b.
DSS02 Manage Service Requests and Incidents (Mengelola Layanan
Permohonan dan Kecelakaan)
c.
DSS03 Manage Problems (Mengelola Masalah)
d.
DSS04 Manage Continuity (Mengelola Keberlangsungan)
e.
DSS05 Manage Security Services (Mengelola Jasa Keamanan)
f.
DSS06 Manage Business Process Controls (Mengelola Kontrol Proses Bisnis)
5.Monitor, Evaluate, and Assess (MEA)
Monitor semua proses untuk memastikan bahwa
arah yang disediakan diikuti. Semua proses TI perlu dinilai secara teratur dari
waktu ke waktu untuk mengontrol kualitas dan kepatuhan mereka. Domain ini
tertuju pada manajemen kinerja, pemantauan pengendalian internal, kepatuhan
terhadap peraturan dan tata kelola. Berikut domain proses MEA:
a.
MEA01 Monitor, Evaluate and Assess Performance and Conformance
(Memantau, Evaluasi dan Menilai Kinerja Dan Penyesuaian)
b.
MEA02 Monitor, Evaluate and Assess The System of Internal Control
(Memantau, Evaluasi dan Menilai Sistem Pengendalian Internal)
c.
MEA03 Monitor, Evaluate and Assess Compliance with External Requirements
(Memantau, Evaluasi dan Menilai Kepatuhan dengan Persyaratan Eksternal).
test
BalasHapus