Tugas Softskill Audit Teknologi Sistem Informasi

PENDAHULUAN

Pendahuluan

Beberapa hasil lokakarya dan diskusi mengisyaratkan betapa pentingnya perubahan sistem sebagai pendukung pembelajaran dan komunikasi ilmiah menuju sebuah organisasi riset bertaraf internasional. Perubahan tersebut di satu sisi membawa dampak positif sebagai peluang bagi sebuah universitas untuk  berkompetetif. Namun di sisi lain, satu hal yang perlu disadari adalah usaha menerapkan teknologi informasi semaksimal mungkin berarti harus mengubah pola pikir staf dan para perusahaan yang biasanya punya rasa kekhawatiran yang cukup signifikan terhadap dampak perubahan tersebut. Mengubah pola pikir merupakan hal yang teramat sulit dilakukan, karena pada dasarnya “people do not like to change”. Kalau saat ini seorang kepala perusahaan dan/atau para pengambil keputusan sudah memiliki komitmen khusus untuk merencanakan pengembangan sistem informasi perusahaan terintegrasi, bagaimana dengan para staf dan pegawainya? Karena penerapan teknologi informasi (TI) ini memerlukan biaya yang cukup besar dan disertai risiko kegagalan yang tidak kecil, maka TI harus dikelola selayaknya aset perusahaan lainnya. Penerapan TI di perusahaan akan dapat dilakukan dengan baik apabila ditunjang dengan suatu tata kelola TI (IT Governance) dari mulai perencanaan sampai implementasinya, dan pengelolaan TI yang akan diterapkan harus mengacu pada standar yang sudah mendapatkan pengakuan secara luas.

Identifikasi Masalah

Tata Kelola TI yang diharapkan mendapat dukungan dari stakeholder, memberikan pengembangan dan implementasi sistem on budget, on schedule dengan kualitas yang tinggi, meningkatkan efisiensi, produktivitas dan efektivitas, serta menjamin kerahasiaan, kelengkapan, dan ketersediaan informasi. Namun tata kelola TI dapat memiliki beberapa masalah yaitu dimana TI hanya menjadi concern dari tim teknikal karena tidak memperoleh perhatian dari pimpinan puncak, kerugian finansial, rusaknya reputasi proyek overbudget/overtime/underspec, penurunan efektivitas karena buruknya kualitas keluaran sistem TI, dan buruknya kualitas dukungan yang ditandai oleh sistem yang belum terintegrasi, aplikasi-aplikasi stand alone, buruknya kualitas sistem, tingginya keluhan user mengenai kinerja sistem TI, rendahnya kepedulian terhadap aspek kerahasiaan informasi, rendahnya tingkat ketersediaan informasi, tidak adanya kebijakan dan prosedur tata kelola TI secara utuh.

Ruang Lingkup

Ruang lingkup tata kelola TI sangat luas dan COBIT merupakan kombinasi dari prinsip-prinsip yang telah ditanamkan dan dikenal sebagai acuan model (seperti: COSO), dan disejajarkan dengan TI balanced scorecard. Secara komplitnya paket produk COBIT terdiri dari keluarga produk-produk COBIT, yaitu: executive summary, framework, control objectives, audit guidelines, implementation tool set, serta management guidelines, yang sangat berguna atau dibutuhkan oleh auditor, para pengguna TI, dan para manajer. Kontrol internal mencakup policy, struktur organisasi, praktik dan prosedur yang menjadi tanggung jawab manajemen perusahaan. Adapun ruang lingkup dalam penulisan tata kelola TI dengan COBIT ini adalah: membantu menganalisis dan menjaga profitabilitas pada lingkungan perubahan teknologi yang bergantung pada seberapa baik pengaturan kontrol yang dilakukan serta bisa digambarkan sebagai kebijakan kendali TI secara jelas, bersih, dan praktik yang baik.

Tujuan dan Manfaat

Dalam kerangka tata kelola perusahaan (corporate governance), tata kelola TI menjadi semakin utama dan merupakan bagian tidak terpisahkan terhadap kesuksesan penerapan tata kelola perusahaan secara menyeluruh. Tata kelola TI memastikan adanya pengukuran yang efisien dan efektif terhadap peningkatan proses bisnis perusahaan melalui struktur yang menghubungkan proses-proses TI, sumberdaya TI dan informasi ke arah dan tujuan strategis perusahaan.

Lebih jauh lagi, tata kelola TI memadukan dan melembagakan best practices dari proses perencanaan, pengelolaan, penerapan, pelaksanaan dan pendukung, serta pengawasan kinerja TI, untuk memastikan informasi perusahaan dan teknologi yang terkait lainnya benar-benar menjadi pendukung bagi pencapaian sasaran perusahaan. Dengan keterpaduan tersebut, diharapkan perusahaan mampu mendayagunakan informasi yang dimilikinya sehingga dapat mengoptimumkan segala sumber daya dan proses bisnis mereka untuk menjadi lebih kompetitif.

Dengan adanya tata kelola TI, proses bisnis perusahaan akan menjadi jauh lebih transparan, dapat dipertanggungjawabkan, serta akuntabilitas tiap fungsi atau individu semakin jelas. Tata kelola TI bukan hanya penting bagi teknis TI saja, direksi dan bahkan komisaris, yang tanggung jawabnya terhadap investasi dan pengelolaan risiko perusahaan, adalah pihak utama yang harus memastikan bahwa perusahaannya memiliki tata kelola TI. Dengan demikian keuntungan optimum investasi TI tercapai dan sekaligus memastikan semua potensi risiko investasi TI telah diantisipasi dan dapat terkendali dengan baik. Menurut COBIT, keputusan bisnis yang baik harus didasarkan pada pengetahuan yang berasal dari informasi yang relevan, komprehensif, dan tepat waktu. Informasi seperti itu dihasilkan oleh sistem informasi yang memenuhi 7 kriteria: efektivitas, efisiensi, kerahasiaan, keterpaduan, ketersediaan, kesesuaian terhadap rencana atau aturan, dan keakuratan informasi yang dihasilkan. Kunci utamanya adalah untuk mengelola bisnis yang menguntungkan pada kondisi lingkungan yang berubah pesat.

Adapun tujuan dari COBIT ini sendiri adalah :

Ø    Diharapkan dapat membantu menemukan berbagai kebutuhan manajemen yang berkaitan dengan TI,

Ø     Agar dapat mengoptimalkan investasi TI,

Ø  Menyediakan ukuran atau kriteria ketika terjadi penyelewengan atau penyimpangan. Adapun manfaat jika tujuan tersebut tercapai adalah :

v  Dapat membantu manajemen dalam pengambilan keputusan,

v  Dapat mendukung pencapaian tujuan bisnis, dan

v  Dapat meminimalisasikan adanya tindak kecurangan/ fraud yangmerugikan perusahaan yang bersangkutan.

PEMBAHASAN

Definisi COBIT

COBIT (Control Objectives for Information and related Technology) adalah suatu panduan standar praktek manajemen teknologi informasi dan sekumpulan dokumentasi best practices untuk tata kelola TI yang dapat membantu auditor, manajemen, dan pengguna untuk menjembatani pemisah (gap) antara risiko bisnis, kebutuhan pengendalian, dan permasalahan-permasalahan teknis.

COBIT dikembangkan oleh IT Governance Institute (ITGI), yang merupakan bagian dari Information Systems Audit and Control Association (ISACA). COBIT memberikan arahan (guidelines) yang berorientasi pada bisnis, dan karena itu business process owners dan manajer, termasuk juga auditor dan pengguna, diharapkan dapat memanfaatkan arahan ini dengan sebaik-baiknya.

Menurut Campbell, COBIT merupakan suatu cara untuk menerapkan tata kelola TI. COBIT berupa kerangka kerja yang harus digunakan oleh suatu organisasi bersamaan dengan sumber daya lainnya untuk membentuk suatu standar yang umum berupa panduan pada lingkungan yang lebih spesifik. Secara terstruktur, COBIT terdiri dari seperangkat control objectives untuk bidang Teknologi Informasi, dirancang untuk memudahkan tahapan-tahapan audit bagi auditor.

Sejarah Perkembangan COBIT

COBIT muncul pertama kali pada tahun 1996 yaitu COBIT versi 1 yang menekankan pada bidang audit, COBIT versi 2 pada tahun 1998 yang menekankan pada tahap pengendalian, COBIT versi 3 pada tahun 2000 yang berorientasi kepada manajemen, COBIT versi 4 pada bulan Desember 2005 dan versi 4.1 pada bulan Mei 2007 lebih mengarah pada tata kelola TI, dan terakhir COBIT versi 5 pada bulan Juni 2012 yang menekankan tata kelola TI pada perusahaan (Gambar 2.1).

Gambar 2.1.  Sejarah Perkembangan COBIT

Kerangka Kerja COBIT

Kerangka kerja COBIT terdiri dari tujuan pengendalian tingkat tinggi dan struktur klasifikasi secara keseluruhan, yang pada dasarnya terdiri tiga tingkat usaha tata kelola TI yang menyangkut manajemen sumber daya TI. Yaitu dari bawah, kegiatan tugas (Activities and Tasks) merupakan kegiatan yang dilakukan secara terpisah yang diperlukan untuk mencapai hasil yang dapat diukur. Dan selanjutnya kumpulan Activity and Tasks dikelompokkan ke dalam proses TI. Proses-proses TI yang memiliki permasalahan tata kelola TI yang sama akan dikelompokkan ke dalam domain. Maka konsep kerangka kerja dapat dilihat dari tiga sudut pandang, meliputi : Information Criteria, IT Resources, IT Processes, seperti terlihat pada gambar dibawah ini :

Gambar 2.2.  Kubus COBIT (ITGI : 2007)

Lingkup kriteria informasi (Information Criteria) yang menjadi perhatian dalam COBIT adalah:

Ø  Effectiveness: Menitikberatkan pada sejauh mana efektivitas informasi dikelola dari data-data yang diproses oleh sistem informasi yang dibangun.

Ø  Efficiency: Menitikberatkan pada sejauh mana efisiensi investasi terhadap informasi yang diproses oleh sistem.

Ø  Confidentiality: Menitikberatkan pada pengelolaan kerahasiaan informasi secara hierarkis.

Ø  Integrity: Menitikberatkan pada integritas data/informasi dalam sistem informasi.

Ø  Availability: Menitikberatkan pada ketersediaan data/informasi dalam sistem informasi.

Ø  Compliance: Menitikberatkan pada kesesuaian data/informasi dalam sistem informasi.

Ø  Reliability: Menitikberatkan pada kemampuan/ketangguhan sistem informasi dalam pengelolaan data/informasi.

Fokus terhadap pengelolaan sumber daya teknologi informasi dalam COBIT adalah pada:

Ø  Applications (Aplikasi)

Ø  Information (Informasi)

Ø  Infrastructure (Infrastruktur)

Ø  People (Manusia/Pengguna)

Domain 4: Monitor and Evaluate (ME) – Pemantauan dan Evaluasi

Domain ini menitikberatkan pada proses pengawasan pengelolaan TI pada organisasi seluruh kendali-kendali yang diterapkan setiap proses TI harus diawasi dan dinilai kelayakannya secara berkala. Domain ini fokus pada masalah kendali-kendali yang diterapkan dalam organisasi, pemeriksaan internal dan eksternal. Dimana domain ME terdiri dari 4 control objectives, meliputi :

Ø  ME1 :     Monitor and evaluate IT performance (Memantau dan mengevaluasi kinerja TI)

Ø  ME2 :     Monitor and evaluate internal control (Memantau dan mengevaluasi kendali internal)

Ø  ME3 :     Ensure regulatory compliance (Memastikan kepatuhan/kesesuaian terhadap aturan)

Ø  ME4 :     Provide IT Governance (Menyediakan tata kelola TI)

Kelebihan COBIT

Ø  Efektif dan Efisien

    Berhubungan dengan informasi yang relevan dan berkenaan dengan proses bisnis, dan sebaik mungkin informasi dikirim tepat waktu, benar, konsisten, dan berguna.

Ø  Rahasia

Proteksi terhadap informasi yang sensitif dari akses yang tidak bertanggung jawab.

Ø  Integritas

Berhubungan dengan ketepatan dan kelengkapan dari sebuah informasi.

Ø  Ketersediaan

Berhubungan dengan tersedianya informasi ketika dibutuhkan oleh proses bisnis sekarang dan masa depan.

Ø  Kepatuhan Nyata

Berhubungan dengan penyediaan informasi yang sesuai untuk manajemen. 

Kekurangan COBIT:

Ø COBIT hanya memberikan panduan kendali dan tidak memberikan panduan implementasi operasional.  Dalam memenuhi kebutuhan COBIT dalam lingkungan operasional, maka perlu diadopsi berbagai framework tata kelola operasional seperti ITIL (The Information Technology Infrastructure Library) yang merupakan sebuah kerangka pengelolaan layanan TI yang terbagi ke dalam proses dan fungsi.

Ø Kerumitan penerapan. Apakah semua control objective dan detailed control objective harus diadopsi, ataukah hanya sebagian saja? Bagaimana memilihnya?

Ø  COBIT hanya berfokus pada kendali dan pengukuran.

Ø  COBIT kurang dalam memberikan panduan keamanan namun memberikan wawasan umum atas proses TI pada organisasi daripada ITIL misalnya.

Perbedaan beberapa framework:

ITIL (The Information Technology Infrastructure Library)

Dikembangkan oleh Pemerintah Inggris Raya, ITIL merupakan sekumpulan best practices untuk proses manajemen implementasi TI. ITIL menjelaskan proses-proses yang perlu diterapkan untuk menjalankan dan mendukung layanan TI yang berfokus pada bisnis.

COBIT (Control Objectives for Information and related Technology)

Menggabungkan sekumpulan control objectives yang diakui secara internasional dan digunakan oleh manajer TI dan bisnis sehari-hari. COBIT menyajikan tata kelola TI dan indikator kunci yang bertujuan dalam pengembangan proses. Sekilas COBIT seakan tumpang tindih dengan ITIL, namun sejarah COBIT memang dipengaruhi oleh masalah-masalah dalam dunia asuransi. Merger dan akuisisi, penggabungan proses, alih daya, dan audit adalah area utama framework COBIT.

ISO (International Organization for Standardization)

Standar Internasional dari International Organization for Standardization / International Electrotechnical Commission (ISO/IEC) bertujuan meningkatkan kinerja organisasi dan praktiknya seputar keamanan informasi. ISO mendefinisikan pendekatan umum atas manajemen keamanan yang menyangkut tanggung jawab dan organisasi yang bertanggung jawab atas keamanan dan kebijakannya, klasifikasi aset penting, dan manajemen risiko. ISO paling baik digunakan jika sertifikasi keamanan dan definisi menyeluruh atas proses keamanan baik logikal maupun fisik dibutuhkan dan peraturan dasar dari keamanan ditentukan.

KESIMPULAN

COBIT mengatur masalah tujuan yang harus dicapai oleh sebuah organisasi dalam memberikan layanan TI, sedangkan ITIL merupakan best practice cara-cara pengelolaan TI untuk mencapai tujuan organisasi. Sehingga dapat dikatakan bahwa COBIT dan ITIL merupakan dua pendekatan dalam tata kelola TI dan tata kelola layanan teknologi informasi yang saling melengkapi.

Secara umum dapat dikatakan bahwa COBIT merupakan sebuah model tata kelola TI yang memberikan sebuah arahan yang lengkap mulai dari sistem mutu, perencanaan, manajemen proyek, keamanan, pengembangan dan pengelolaan layanan. Arahan dari COBIT kemudian didetailkan kembali oleh beberapa model framework sesuai dengan perkembangan keilmuan.

Contoh Kasus 

AUDIT SISTEM INFORMASI MENGGUNAKAN FRAMEWORK COBIT 4.1 PADA DOMAIN MONITOR AND EVALUATE (ME) 

(STUDI KASUS DI UNIVERSITAS WIDYATAMA BANDUNG)

Definisi Monitoring

Merupakan penilaian yang berkesinambungan yang bertujuan untuk menyediakan semua informasi rinci kepada stakeholder dengan cepat pada kemajuan atau penundaan dinilai dari kegiatan yang sedang berlangsung. Itu adalah tahap pengawasan pelaksanaan kegiatan tersebut. Tujuannya adalah untuk menentukan jika output, pengiriman, dan jadwal yang direncanakan telah dicapai sehingga tindakan dapat diambil untuk memperbaiki kekurangan secepat mungkin.

Definisi Evaluation 

Merupakan pemeriksaan yang sistematis dan objektif tentang relevansi, efektivitas, efisiensi dan dampak dari kegiatan dalam tujuan tertentu. Ide dalam mengevaluasi proyek adalah untuk mengisolasi kesalahan tidak akan mengulangi dan untuk menggaris bawahi dan mempromosikan mekanisme sukses untuk proyek-proyek saat ini dan masa depan.

Monitoring and Evaluation

Domain ini berfokus pada kendali-kendali yang diterapkan dalam organisasi, pemeriksaan intern, dan ekstern dan jaminan independent dari proses pemeriksaan yang dilakukan. 

Pengukuran Tingkat Kematangan/Maturity Model

Kuesioner ini merupakan metode pengumpulan data dengan tujuan untuk mengukur tingkat kematangan sistem informasi yang dikelola oleh Pusat Teknologi Informasi Universitas Widyatama, dengan menggunakan metode perhitungan scoring yang menjadi modul dari maturity model yaitu dengan formula:

Dengan formula tersebut akan menentukan nilai skala, dimana nilai skala adalah tingkatan ataupun level kematangan sistem informasi dimulai dari level 0-proses tidak ada sampai pada level 5-Dioptimalisasi, dengan penentuan rangking pengukuran responden sbebagai berikut:

Table ringkasan hasil perhitungan kuesioner audit sistem informasi 

Contoh perhitungan index

Hasil perhitungan audit SI ME-1

Hasil perhitungan audit ME-2

Hasil Perhitungan Audit ME-3

Hasil Perhitungan Audit ME-4

Berikut merupakan gambar pemetaan posisi layanan sistem informasi yang disediakan oleh PTI dengan metode perhitungan Maturity Model.

Dari hasil perhitungan dan pemetaan seperti gambar di atas dapat dilihat bahwa rata-rata pengadaan dan implementasi layanan sistem informasi adalah 3 diimana nilai rata-rata tersebut berada di level 3 pada model maturity COBIT.

Analisis

ME – 1 Monitoring and Evaluate IT Performance

Dalam menentukan kelayakan IT untuk memenuhi kebutuhan bisnis, maka PTI memerlukan pendekatan yang jelas dan terstruktur. Dalam hasil responden diatas hal yang perlu dievaluasi adalah terkait wifi kampus dan  yang dirasa masih kurang memuaskan.

ME – 2 Monitor and Evaluate Internal Control

Kemampuan pihak internal untuk melakukan pengawasan IT sudah cukup baik, dan terdapat dokumentasi pada setiap laporan terkait IT dan proses maintenance.  Ditinjau dari segi efektivitas dan efisien terkait kontrol internal IT juga sudah cukup baik.

ME – 3 Ensure Regulatory Compliance With External Requirements

Ketaatan pada setiap kontrak kerjasama yang sedang berlangsung atau akan berlangsung sangat penting untuk meningkatkan proses bisnis institusi. Dalam contoh kasus diatas ketaatan atau regulasi terhadap instusi mendapatkan tanggapan yang cukup baik dari para responden.

ME – 4 Provide IT Goverance

Ketersediaan layanan IT yang layak bagi user sangat penting untuk bisa mencapai strategi institusi. Institusi telah menyediakan layanan IT yang sudah cukup mumpuni dan kesesuaian strategi organisasi terhadap perencanaan sudah cukup memuaskan.

http://widiastuti.staff.gunadarma.ac.id/Downloads/files/51932/%5EAKS+-+Pertemuan+13+-+Cobit5.pdf (Diakses tanggal 6 November 2018, 21.00 WIB)

https://www.slideshare.net/fananifaiz/cobit-pertamina#btnNext (Diakses tanggal 6 November 2018, 21.14 WIB)

https://id.scribd.com/document/352959954/TUGAS-MATA-KULIAH-AUDIT-DAN-EVALUASI-TEK-pdf (Diakses tanggal 6 November 2018, 21.38 WIB)

http://arumsasi21.blogspot.com/2017/10/kasus-pada-cobit.html (Diakses tanggal 7 November 2018, 15.23 WIB)

Read More

Tugas Sistem Keamanan Tek. Informasi

Tugas 

Sistem Keamanan Tek. Informasi Bab 9 dan 10

Dosen : Kurniawan B. Prianto, SKOM., SH, MM

Nama : Pandu Pradana Putra

NPM : 15115303

Kelas : 4KA31

LINK TUGAS

Read More

Tugas Softskill Audit Sistem Informasi

Pengendalian Internal 

Pendahuluan

Dunia usaha di Indonesia saat ini sudah maju, bisa dilihat dari semakin banyaknya berdiri usaha-usaha baru yang didirikan oleh masyarakat. Salah satu aspek penting pada suatu perusahaan adalah Sistem Pengendalian Internal. Karena suatu perusahaan tidak dapat berjalan dengan baik tanpa adanya Sistem Pengendalian Internal yang baik.

Sistem Pengendalian Internal merupakan kebijakan dan prosedur yang melindungi aktiva dari penyalahgunaan. Sistem Pengendalian Internal dapat digunakan lebih efektif untuk mencegah penggelapan atau penyimpangan. Pada suatu perusahaan, pengendalian internal sangat dibutuhkan mengingat faktor-faktor yang meliputi luas dan entitas perusahaan yang sangat kompleks. Hal ini mengakibatkan manajemen harus percaya pada laporan-laporan serta analisis untuk operasi pengendalian Internal yang efektif.

Pada Sistem Pengendalian Internal juga terdapat elemen-elemen penting yang juga harus ditanamkan pada tiap perusahaan yaitu lingkungan pengendalian, sistem akuntansi, dan pengendalian prosedur. Kas merupakan alat pembayaran yang siap dan bebas dipergunakan untuk membiayai kegiatan umum perusahaaan. Kas perlu dikendalikan agar dapat terlindungi dari hal-hal yang dapat merugikan kas perusahaan. Hal ini dikarenakan Kas merupakan harta lancar perusahaan yang sangat menarik dan mudah diselewengkan,dan banyak transaksi perusahaan yang menyangkut penerimaan dan pengeluaran kas. Karena itu, diperlukan adanya pengendalian internal yang baik.

Teori

Menurut Gramling, Rittenberg, dan Johnstone (2012: 208), “Internal control is a process related to the achievement of the organization’ s objectives. Organizations identify the risks to achieving those objectives and implement various controls to mitigate those risks”. 

Pengendalian internal diperlukan untuk mengidentifikasi risiko agar proses bisnis perusahaan tidak terganggu. 

Jadi dapat disimpulkan bahwa pengendalian internal adalah pengendalian dalam suatu organisasi bertujuan untuk menjaga aset perusahaan, pemenuhan terhadap kebijakan dan prosedur, kehandalan dalam proses, dan operasi yang efisien 

Tujuan 

1.Menjaga kekayaan organisasi, 

2.Mengecek ketelitian dan kehandalan data akuntasi, 

3.Mendorong efisiensi, dan 

4.Mendorong dipatuhinya kebijakan manajemen. 

InstitutAkuntanPublik Indonesia (IAPI) (2011: 319.2) mendefinisikan pengendalian intern sebagai suatu proses yang dijalankan oleh dewan komisaris, manajemen dan personel lain entitas-yang didesain untuk memberikan keyakinan memadai tentang pencapaian tiga golongan tujuan berikut ini :

- Keandalan pelaporan keuangan

- Efektivitas dan efisiensi operasi

- Kepatuhan terhadap hukum dan peraturan yang berlaku 

Atau pengendalian intern adalah suatu proses yang terdiri dari usaha atau tindakan-tindakan yang tepat dan terintegrasi yang harus dilakukan untuk mencapai tujuan. Pelaksanaan pengendalian intern melibatkan seluruh anggota organisasi bukan dibebankan pada bagian tertentu saja, sehingga memberikan keyakinan terpercaya atas seluruh kegiatan organisasi yang meliputi realibility dari pelaporan keuangan, efisiensi dan keefektifan atas kegiatan atau operasi perusahaan dan kepatuhan terhadap hukum dan undang-undang yang berlaku.

A. Peran dan Tanggung Jawab

Beberapa pihak yang bertanggung jawab dalam suatu organisasi :

1. Manajemen. Merupakan tanggung jawab manajemen untuk menciptakan pengendalian intern yang efektif.

2. Dewan Direksi dan Komite Audit. Dewan direksi harus menentukan bahwa manajemen telah memenuhi tanggung jawabnya untuk menciptakan dan memelihara pengendalian intern. Komite audit (atau bila tidak ada, dewan direksi sendiri) harus waspada dalam mengidentifikasi keberadaan penolakan manajemen atas pengendalian atau pelaporan keuangan yang curang, dan segera mengambil tindakan yang diperlukan untuk membatasi tindakan yang tidak sesuai oleh manajemen.

3. Auditor Internal. Auditor internal harus memeriksa dan mengevaluasi kecukupan pengendalian intern suatu entitas secara periodic dan membuat rekomendasi untuk perbaikan, tapi mereka tidak memiliki tanggung jawab utama untuk menciptakan dan memelihara pengendalian intern.

4. Personel Entitas Lainnya. Peran dan tanggung jawab dari semua personel lain yang menyediakan informasi kepada, atau menggunakan informasi yang disediakan oleh system yang mencakup pengendalian intern, harus memahami bahwa mereka memiliki tanggung jawab untuk mengkomunikasikan masalah apapun yang tidak sesuai dengan pengendalian atau tindakan melawan hukum yang mereka temui kepada tingkat yang lebih tinggi dalam organisasi.

5. Auditor Independen. Seorang akuntan public dapat melakukan perikatan atestasi terpisah untuk memeriksa dan melaporkan kepada pihak eksternal mengenai asersi manajemen terpisah atas pengendalian intern entitas.

6. Pihak Eksternal Lainnya.

B. Keterbatasan Pengendalian Intern Suatu Entitas

Terlepas dari bagaimana bagusnya desain dan operasinya, pengendalian intern hanya dapat memberikan keyakinan memadai bagi manajemen dan dewan komisaris berkaitan dengan pencapaian tujuan pengendalian intern entitas.

Kemungkinan pencapaian tersebut dipengaruhi oleh keterbatasan bawaan yang melekat dalam pengendalian intern.Hal ini mencakup kenyataan bahwa pertimbangan manusia dalam pengambilan keputusan dapat salah dan bahwa pengendalian inten dapat rusak karena kegagalan yang bersifat manusiawi tersebut, seperti kekeliruan atau kesalahan yang sifatnya sederhana.

Disamping itu pengendalian dapat tidak efektif karena adanya kolusi di antara dua orang atau lebih atau manajemen mengesampingkan pengendalian intern. Factor lain yang memebatasi pengendalian intern adalah biaya pengendalian intern entitas tidak boleh melebihi manfaat yang diharapkan dari pengendalian tersebut.

Meskipun hubungan manfaat-biaya merupaka criteria utama yang harus dipertimbangkan dalam pendesainan pengendalian intern, pengukuran secara tepat biaya dan manfaat umumnya tidak mungkin dilakukan. Oleh karena itu, manajemen melakukan estimasi kualitatif dan kuantitatif serta pertimbangan dalam menilai hubungan biaya manfaat tersebut. 

Berikut ini adalah keterbatasan bawaan yang melekat dalam setiap pengendalian intern :

1. Kesalahan dalam pertimbangan

Kadang – kadang, manajemen dan personel lainnya dapat melakukan pertimbangan yang buruk dalam membuat keputusan bisnis atau dalam melaksanakan tugas rutin karena informasi yang tidak mencukupi, keterbatasan waktu, atau prosedur lainnya.

2. Gangguan

Kemacetan dalam melaksanakan pengendalian dapat terjadi karena adanya gangguan ketika personel salah memahami instruksi atau membuta kekeliruan akibat kecerobohan, kebingungan, atau kelelahan. Perubahan sementara atau permanen dalam personel atau dalam sistem atau prosedur juga dapat berkontribusi pada teradinya kemacetan.

3. Kolusi

Individu yang bertindak bersama, seperti karyawan yang melaksanakan suatu pengendalian penting bertindak bersama dengan karyawan lain, konsumen atau pemasok, dapat melakukan sekaligus menutupi kecurangan sehingga tidak dapat dideteksi oleh pengendalian internal

4. Pengabaian dalam manajemen

Manajemen dapat mengesampingkan kebijakan atau prosedur tertulis untuk tujuan tidak sah seperti keuntungan pribadi atau presentasi mengenai kondisi keuangan suatu entitas yang dinaikkan ( misal, menaikkan laba yang dilaporkan untuk menaikkan pembayaran bonus atau nilai pasar dari saham entitas ). Praktik pengabaian termasuk membuat penyajian yang salah dengan sengaja kepada auditor dan lainnya seperti menerbitkan dokumen palsu untuk mendukung pencatatan transaksi penjualan fiktif

5. Biaya lawan manfaat

Biaya pengendalian internal suatu entitas seharusnya tidak melebihi manfaat yang diharapkan untuk diperoleh. Karena pengukuran yang tepat baik dari biaya dan manfaat biasanya tidak memungkinkan, manajemen harus membuat baik estimasi kuantitatif maupun kualitatif dalam mengevaluasi hubungan antara biaya dan manfaat.

Pengendalian intern terdiri atas lima komponen yang saling terkait berikut ini :

1. Lingkungan Pengendalian

Lingkungan pengendalian menetapkan corak suatu organisasi, mempengaruhi kesadaran pengendalian orang-orangnya. Lingkungan pengendalian merupakan dasar untuk semua komponen pengendalian intern, menyediakan disiplin dan struktur.

Lingkungan pengendalian mencakup hal-hal berikut ini:

- Integritas dan nilai etika

- Untuk menekankan pentingnya integritas dan nilai etika di antara semua personel organisasi, CEO dan anggota manajemen puncak lainnya harus :

- Menetapkan suasana melalui contoh mendemonstrasikan integritas dan mempraktikkan standar yang tinggi dari perilaku etis

- Mengkomunikasikan kepada semua karyawan, baik secara verbal melalui pernyataan kebijakan tertulis dan kode etik perilaku, bahwa hal yang sama diharapkan dari mereka, bahwasetiap karyawan memiliki tanggung jawab untuk melaporkan pelanggaran yang ia ketahui atau yang mungkin akan terjadi kepada tingkat yang lebih tinggi dalam organisasi, dan bahwa pelanggaran akan dikenakan denda.

- Memberikan bimbingan moral kepada karyawan yang memiliki latar belakang moral kurang baik yang telah mengakibatkan mereka tidak mempedulikan mana yang baik dan yang buruk.

- Mengurangi atau menghilangkan insentif dan godaan yang dapat mengarahkan individu untuk melakukan tindakan yang tidak jujur, melawan hukum, atau tidak etis.

2. Komitmen terhadap kompetensi

Untuk mencapai tujuan entitas, personel pada setiap tingkatan dalam organisasi harus memiliki pengetahuan dan keahlian yang diperlukan untuk melaksanakan pekerjaan mereka secara efektif. Komitmen terhadap kompetensi mencakup pertimbangan manajemen mengeneai pengetahuan dan keahlian yang diperlukan, dan bauran dari intelegensi, pelatihan, dan pengalaman yang diperlukan untuk mengembangkan kompetensi tersebut.

3. Partisipasi dewan komisaris atau komite audit

Komposisi dewan direksi dan komita audit dan cara mereka melaksanakan tanggung jawab atas kekuasaan dan kekeliruan memiliki dampak yang besar terhadap lingkungan pengendalian. Faktor-faktor yang mempengaruhi efektivitas dari dewan direksi dan komite audit termasuk independensi mereka dari manajemen, yang berhubungan dengan proporsi direksi dari luar perusahaan, pengalaman dan status dari anggota, sifat dan luasnya keterlibatan mereka dalam aktivitas manajemen serta pengamatan mereka terhadap aktivitas manajemen; kesesuaian tindak tanduk mereka; tingkat di mana mereka memberikan dan mencari pertanyaan yang sulit dengan manajemen; serta sifat dan luasnya interaksi mereka dengan auditor internal dan auditor eksternal. Komite audit yang hanya terdiri dari direksi dari luar perusahaan dapat berkontribusi secara signifikan terhadap pemenuhan tujuan pelaporan keuangan suatu entitas dengan melaksanakan pemeriksaan terhadap kekeliruan pelaporan keuangan dan dengan meningkatkan independensi auditor eksternal.

4. Struktur organisasi

Struktur organisasi berkontribusi terhadap kemampuan suatu entitas untuk memenuhi tujuan dengan menyediakan kerangka kerja menyeluruh atas perencanaan, pelaksanaan, pengendalian, dan pemantauan aktivitas suatu entitas. Mengembangkan struktur organisasi suatu entitas melibatkan penentuan bidang kunci dari wewenang dan tanggung jawab, serta garis pelaporan yang tepat. Hal ini sebagian akan tergantung pada ukuran entitas dan sifat aktivitasnya. Struktur organisasi entitas biasanya digambarkan dalam suatu bagan organisasi yang harus secara akurat merefleksikan garis wewenang dan hubungan pelaporan. Manajemen harus member perhatian tidak hanya pada operasi entitas, tetapi juga pada struktur informasi dari teknologi informasi dan system informasi akuntansi. Auditor perlu memahami hubungan ini untuk menilai lingkungan pengendalian secara tepat dan bagaimana hubungan tersebut dapat mempengaruhi efektivitas pengendalian tertentu.

5. Pemberian wewenang dan tanggung jawab

Penetapan wewenang dan tanggung jawab merupakan perpanjangan dari pengembangan suatu struktur organisasi. Wewenang dan tanggung jawab mencakup penjelasan-penjelasan mengenai bagaimana dan kepada siapa wewenang dan tanggung jawab untuk semua aktivitas entitas dibebankan, dan harus memungkinkan setiap individu untuk mengetahui (1) bagaimana tindakannya saling berhubungan dengan individu lainnya dalam memberikan kontribusi terhadap pencapaian tujuan entitas, dan (2) setiap individu akan betanggung jawab atas hal apa. Faktor ini juga mencakup kebijakan berkenaan dengan praktik bisnis yang sesuai, pengetahuan dan pengalaman personel kunci, dan sumberdaya yang tersedia untuk melaksanakan tugas.

6. Kebijakan dan praktik sumber daya manusia

Kebijakan dan prosedur sumberdaya manusia (human resources policies and procedures) yang diterapkan akan menjamin bahwa personel entitas memiliki tingkat integritas, nilai etika, dan kompetensi yang diharapkan. Praktik tersebut mencakup perekrutan dan proses penyelesaian yang dikembangkan dengan baik; orientasi personel baru terhadap budaya dan gaya operasi entitas, kebijakan pelatihan yang mengkomunikasikan peran prospektif dan tanggung jawab; tindakan pendisiplinan untuk pelanggaran terhadap perilaku yang diharapkan; pengevaluasian, konseling, dan mempromosikan orang berdasarkan penilaian kinerja periodik; serta program kompensasi yang memotivasi dan memberikan penghargaan atas kinerja yang tinggi sambil menghindari disinsentif terhadap perilaku etis.

C. Penaksiran Risiko

Risiko yang relevan dengan pelaporan keuangan mencakup peristiwa dan keadaan intern maupun ekstern yang dapat terjadi dan secara negative mempengaruhi kemampuan entitas untuk mencatat, mengolah, meringkas, dan melaporkan data keuangan konsisten dengan asersi manajemen dalam laporan keuangan.

Risiko dapat timbul atau berubah karena keadaan berikut ini:

- Perubahan dalam lingkungan operasi

- Personel baru

- System informasi yang baru atau yang diperbaiki

- Teknologi baru

- Lini produk, produk atau aktivitas baru

- Restrukturisasi koporasi

- Operasi luar negeri

- Standar akuntansi baru

D. Aktivitas Pengendalian

Aktivitas pengendalian adalah kebijakan dan prosedur yang membantu memastikan bahwa arahan manajemen dilaksanakan. Aktivitas tersebut membantu memastikan bahwa tindakan yang diperlukan untuk menanggulangi risiko dalam pencapaian tujuan entitas sudah dilaksanakan.

Aktivitas pengendalian mempunyai berbagai tujuan dan diterapkan di berbagai tingkat organisasi dan fungsi. Umumnya aktivitas pengendalian yang mungkin relevan dengan audit dapat digolongkan sebagai kebijakan dan prosedur yang berkaitan dengan hal-hal berikut ini:

- Review terhadap kinerja

- Pengendalian phisik

- Pengendalian informasi

Pengendalian pemrosesan informasi (information processing controls) mengacu pada resiko yang berhubungan dengan otorisasi, kelengkapan, dan akurasi transaksi. Pengendalian ini relevan dengan audit laporan keuangan.

Contoh Kasus

Dalam memeriksa asersi keberadaan kas, perlu memperoleh pemahaman tentang SPI (Sistem Pengendalian Internal) terhadap asersi tersebut. Pertanyaan-pertanyaan berikut ini menuntut auditor untuk memperoleh pemahaman tentang SPI yang berkaitan dengan asersi keberadaan kas :

• jenis asersi apa yang dapat terjadi dalam asersi keberadaan kas ?

• faktor apa saja yang berdampak terhadap resiko salah saji material dan berapa taksiran tingkat risiko pengendalian ?

• pengujian substantif apa yang perlu di desain?

Oleh karena itu, auditor perlu memperoleh pemahaman tentang kebijakan dan prosedur yang berkaitan dengan asersi keberadaan kas dengan mempertimbangkan kemungkinan terjadinya saldo akun bank di catat benar-benar ada.

Sumber:
https://tiositumorang.wordpress.com/2017/12/01/audit-sistem-informasi-pengendalian-internal-umum-dan-aplikasi/ ( 14 Oktober 2018, Jam 13:10 WIB )
https://www.academia.edu/12236974/Makalah_Pengendalian_Internal_Audit ( 14 Oktober 2018, Jam 13:20 WIB)
http://lee3006.blogspot.com/2011/05/sistem-pengendalian-intern.html (18 Oktober 2018, jam 17:00 WIB).

ANALISA

Pengendalian Internal dalam dunia perusahaan terutama di Indonesia sangatlah dibutuhkan. Pengendalian internal merupakan sebuah proses untuk mengidentifikasi risiko agar bisinis sebuah perusahaan dapat berjalan dengan baik tanpa adanya gangguan, dijalankan oleh manajemen atau dewan komisaris dan memiliki tujuan untuk menjaga aset atau kekayaan sebuah perusahaan, dan mendorong kebijakan manajemen agar dapat beroperasi dengan efisien dan handal. 

Dalam pengendalian internal terdapat beberapa pihak yang bertanggung jawab, diantaranya yaitu, Manajemen yang bertanggung jawab untuk menciptakan pengendalian internal agar dapat berjalan dengan efektif. Dewan direksi dan komite audit yang bertanggung jawab untuk memelihara jalannya pengendalian internal serta mengidentifikasi adanya kecurangan dalam pelaporan keuangan. Auditor internal yang bertanggung jawab untuk memeriksa suatu entitas/perusahaan/organisasi dalam pengendalian internal serta membuat rekomendasi untuk perbaikan.

Pada contoh kasus diatas, seorang audit internal dalam memeriksa kas dalam sebuah perusahaan harus memahami tentang SPI atau Sistem Pengendalian Internal agar nantinya dapat mengetahui tentang; pengujian substantif yang berisikan prosedur untuk menguji kebenaran dalam laporan keuangan, dampak terhadap risiko salah saji material dan taksiran tingkat risiko di dalam suatu perusahaan nantinya dapat diminimalisir dengan baik.

Standar dan Panduan untuk Audit Sistem Informasi

ISACA

ISACA adalah suatu organisasi profesi internasional di bidang tata kelola teknologi informasi yang didirikan di Amerika Serikat pada tahun 1967. Awalnya dikenal dengan nama lengkap Information Systems Audit and Control Association, saat ini ISACA hanya menggunakan akronimnya untuk merefleksikan cakupan luasnya di bidang tata kelola teknologi informasi. ISACA didirikan oleh individu yang mengenali kebutuhan untuk sumber informasi terpusat dan bimbingan dalam bidang tumbuh kontrol audit untuk sistem komputer. Hari ini, ISACA memiliki lebih dari 115.000 konstituen di seluruh dunia dan telah memiliki kurang lebih 70.000 anggota yang tersebar di 140 negara. Anggota ISACA terdiri dari antara lain auditor sistem informasi, konsultan, pengajar, profesional keamanan sistem informasi, pembuat perundangan, CIO, serta auditor internal. Jaringan ISACA terdiri dari sekitar 170 cabang yang berada di lebih dari 60 negara, termasuk di Indonesia. 

ISACA mulai pada tahun 1967, ketika sekelompok kecil orang dengan kontrol pekerjaan-audit serupa di sistem komputer yang menjadi semakin penting untuk operasi mereka organisasi-duduk untuk membahas perlunya sumber informasi terpusat dan bimbingan dalam bidang. Pada tahun 1969, kelompok formal, menggabungkan sebagai Asosiasi EDP Auditor. Pada tahun 1976 asosiasi membentuk yayasan pendidikan untuk melakukan upaya penelitian besar-besaran untuk memperluas pengetahuan dan nilai tata kelola TI dan bidang kontrol. Sebelumnya dikenal sebagai Audit Sistem Informasi dan Control Association, ISACA sekarang berjalan dengan singkatan saja, untuk mencerminkan berbagai profesional TI pemerintahan yang dilayaninya. 

Certified Information Systems Auditor (CISA) sertifikasi yang diakui secara global dan telah diterima oleh lebih dari 109.000 profesional sejak awal. Certified Information Security Manager (CISM) sertifikasi unik menargetkan penonton manajemen keamanan informasi dan telah diterima oleh lebih dari 25.000 profesional. Certified di Pemerintahan Enterprise IT (CGEIT) penunjukan mempromosikan kemajuan profesional yang ingin diakui untuk pengalaman pemerintahan yang berkaitan dengan IT dan pengetahuan dan telah diterima oleh lebih dari 6.000 profesional. Certified di Risiko dan Sistem Informasi Control (CRISC) ​​sebutan untuk mereka yang mengidentifikasi dan mengelola risiko melalui pengembangan, implementasi dan pemeliharaan kontrol sistem informasi telah diterima oleh lebih dari 17.000 profesional. 

Gelar CISA ini dikeluarkan oleh ISACA (Information Systems Audit and Control Association). Selain CISA, ISACA juga mengeluarkan sertifikasi atu gelar CISM(Certified Information Systems Manager) dan CGEIT (Certified in the Governance of Enterprise IT). Gelar CISA ini terkait erat dengan profesi Information Technology (IT) auditor. Namun banyak juga CISA-holder yang non-IT auditor, seperti misalnya IT/Information Systems (IS) security consultant, IT/IS consultant, compliance/risk management, dan lain-lain. 

Menurut ISACA, pemegang gelar CISA mempunyai competitive advantage dengan memastikan bahwa: 

· Audit sistem informasi dilakukan sesuai dengan standar, panduan, dan best practises terkait. 

· Suatu perusahaan melaksanakan tata-kelola teknologi informasi (corporate governance of IT). 

· Manajemen atas sistem dan infrastruktur IT (systems and infrastructure life cycle management) dilakukan sesuai dengan tujuan perusahaan. 

· Arsitektur keamanan didesain untuk menjaga prinsip kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) atasinformation assets. 

· Program disaster recovery dan business continuity direncanakan dengan baik dan dampak resiko-nya diminimalisir.

COSO 

The Comitte of Sponsoring Organizations of the treadway commission’s (COSO) dibentuk pada tahun 1985 sebagai alinasi dari 5 (lima) organisasi professional. Organisasi tersebut terdiri dari American Accounting Association, American Instititue of Certified Public Accountants, Financial Executives International, Instititute of Management Accountants, dan The Institute of Internal Auditors. Koalisi ini didirikan untuk menyatukan pandangan dalam komunitas bisnis berkaitan dengan isu-isu seputar pelaporan keuangan yang mengandung fraud. 

Pada tahun 1992, COSO menyusun dan menerbitkan internal control integrated framework yang berisi rumusan definisi pengendalian intern, pedoman penilaian, serta perbaikan terhadap sistem pengendalian intern. Kerangka ini diterima sebagai acuan umum pengendalian intern, yang penggunaannya mencakup penentuan tujuan pengendalian pelaporan keuangan dan proses operasional dalam konteks organisasional, sehingga perbaikan dan kontrol dapat dilakukan secara menyeluruh. Struktur pengendalian intern menurut COSO mencakup aktivitas pengendalian terkait pengendalian dengan pemrosesan informasi yaitu pengendalian umum dan pengendalian aplikasi. 

Pada tahun 2004, COSO mengembangkan internal control integrated framework dengan menambahkan cakupan tentang manajemen dan strategi risiko yang selanjutnya dikenal dengan pendekatan enterprise risk management (ERM). Menurut kerangka tersebut, pengendalian intern merupakan bagian integral dari manajemen risiko. 

Secara garis besar, COSO menghadirkan suatu kerangka kerja yang integral terkait dengan definisi pengendalian intern, komponen-komponennya, dan kriteria pengendalian intern yang dapat dievaluasi. Pengendalian internal terdiri dari 5 komponen yang saling berhubungan. Komponen-komponen tersebut memberikan kerangka kerja yang efektif untuk menjelaskan dan menganalisa sistem pengendalian internal yang diimplementasikan dalam suatu organisasi. Komponen-komponen tersebut, adalah sebagai berikut: 

1. Lingkungan pengendalian 

2. Penilaian resiko 

3. Aktifitas pengendalian 

4. Informasi dan komunikasi 

5. Pemantauan 

IIA 

Didirikan pada tahun 1941, The Institute of Internal Auditors (IIA) Melayani anggota di 165 negara. IIA adalah Penyatuan global profesi audit internal,pemimpin advokat , otoritas yang diakui, dan pendidik utama, dengan kantor pusat global di Altamonte Springs, Florida, Amerika Serikat. Misi Institute of Internal Auditors adalah untuk memberikan “kepemimpinan yang dinamis” untuk profesi audit internal secara global . Antara lain meliputi : 

· Mengadvokasi dan mempromosikan nilai yang ditambah oleh audit internal yang pofesinal pada organisasi mereka; 

· Memberikan pendidikan profesional yang komprehensif dan pengembangan peluang, standar dan pembinaan praktek profesional lainnya, dan program sertifikasi; 

· Meneliti, menyebarkan, dan mempromosikan kepada praktisi dan stakeholder tentang audit internal dan peran yang tepat dalam pengendalian, manajemen risiko tata kelola, dan; 

· Mendidik praktisi dan masyarakat lain yang relevan pada praktik terbaik dalam audit internal; 

· Berbagi informasi dan pengalaman bersama auditor internal dari semua negara. 

ISO 1799

ISO adalah Internasional untuk Standardisasi (International Organization for Standardization) dan disingkat ISO. ISO adalah badan penetap standar internasional yang terdiri dari wakil-wakil dari badan standardisasi nasional setiap negara. Sebelum menjadi nama ISO pada awalnya lembaga tersebut bernama IOS. Tetapi sekarang lebih sering menggunakan singkatan ISO, karena dalam bahasa Yunaniisos berarti sama (equal). Penggunaan ini dapat dilihat pada kata isometrik atau isonomi. 

ISO 1799 Menghadirkan sebuah standar untuk sistem manajemen keamanan informasi yang meliputi dokumen kebijakan keamanan informasi, alokasi keamanan informasi tanggung jawab menyediakan semua pemakai dengan pendidikan dan pelatihan di dalam keamanan informasi, mengembangkan suatu sistem untuk laporan peristiwa keamanan, memperkenalkan virus kendali, mengembangkan suatu rencana kesinambungan bisnis, mengikuti kebutuhan untuk pelindungan data, dan menetapkan prosedur untuk mentaati kebijakan keamanan.

Sumber: 

http://andikoeko.blogspot.com/2016/06/isaca.html
https://dwianita96.wordpress.com/2017/10/13/standar-dan-panduan-untuk-audit-sistem-informasi/

https://aristasefree.wordpress.com/tag/institute-of-internal-auditors/

http://lana.staff.gunadarma.ac.id/Downloads/files/27831/supl-minggu8-perbandingan-standar-pengendalian-internal-coso-cobit-soa-basel-ii-dan-iso-17799.pdf

https://www.safetyshoe.com/tag/pengertian-standar-iso/

Read More