Melakukan Audit TSI pada lingkungan Workgroup/Enterprise Information System

UNIVERSITAS GUNADARMA

FAKULTAS ILMU KOMPUTER & TEKNOLOGI INFORMASI

AUDIT TEKNOLOGI SISTEM INFORMASI

(Capaian 4)

Melakukan Audit TSI pada lingkungan Workgroup/Enterprise Information System

Pelaksanaan Audit TSI pada Lingkungan Workgroup/Enterprise Information System

Workgroup Information Systems ialah suatu bentuk sistem yang dalam menjalankan fungsinya terdiri dari beberapa orang yaitu berupa sekelompok tim kecil yang saling berkolaborasi dalam proyek atau aplikasi yang sama, memiliki aturan yang mengatur fungsi grup dan anggotanya serta standarisasi peran untuk setiap anggota dalam organisasi tersebut, Workgroup Information Systems dirancang untuk memenuhi kebutuhan dari sebuah kelompok kerja. Sistem ini dirancang untuk meningkatkan produktivitas dari suatu kelompok kerja. Dalam divisi sumber daya manusia, terdapat beberapa workgroup yang bertugas untuk meningkatkan kemampuan dan produktivitas personalia guna menunjang kelancaran suatu produk. Workgroup tersebut akan mengatur dan mengembangkan kemampuan sikap mental SDM yang memiliki potensi serta motivasi yang kuat untuk berprestasi dalam bidangnya di suatu usaha produk.

Auditor juga harus menggunakan penilaian yang baik dalam menilai risiko sebenarnya yang terkait dengan langkah-langkah ini, berdasarkan lingkungan dan keseluruhan postur keamanan sistem.

Auditing Entity-Level Controls

Karena kontrol tingkat entitas tersebar luas di seluruh organisasi, Jika tidak dipusatkan atau distandarisasi, auditor harus mempertanyakan kemampuan lingkungan TI secara keseluruhan agar terkontrol dengan baik. Apa dan tidak dianggap sebagai kontrol tingkat entitas tidak selalu ditentukan secara konsisten dan akan berbeda menurut organisasi, tergantung pada bagaimana lingkungan TI didefinisikan. Bidang yang merupakan proses tingkat entitas di satu perusahaan tidak harus merupakan proses tingkat entitas di perusahaan lain.

Auditing Data Centers and Disaster Recovery

Pusat data adalah fasilitas yang dirancang untuk menampung sistem kritis organisasi, yang terdiri dari perangkat keras, sistem operasi, dan aplikasi komputer. Aplikasi biasanya digunakan untuk mendukung proses bisnis yang spesifik seperti pemenuhan pesanan, customer relationship management (CRM), dan akuntansi. Pusat data menggabungkan beberapa jenis kontrol berbasis fasilitas, yang biasa disebut keamanan fisik dan pengendalian lingkungan, termasuk sistem kontrol akses fasilitas, sistem alarm, dan sistem pemadaman kebakaran. Sistem ini dirancang untuk mencegah intrusi yang tidak sah, mendeteksi masalah sebelum menyebabkan kerusakan, dan mencegah penyebaran api.

Auditing Routers, Switches and Firewalls

Jaringan memungkinkan host untuk berkomunikasi menggunakan perangkat keras khusus yang dioptimalkan untuk mengirimkan data dari satu host ke host lainnya. Pada dasarnya, perangkat keras adalah komputer yang menjalankan sistem operasi yang dirancang untuk memindahkan data. Perangkat jaringan seperti router, switch, dan firewall memiliki komponen dasar yang akan Anda temukan di server biasa Anda, kecuali perangkat yang sangat disesuaikan. Perangkat ini berisi prosesor khusus dengan petunjuk tertanam yang dirancang untuk memproses pergerakan data secara cepat dan efisien. Mereka juga memiliki memori, sistem operasi, dan sarana untuk mengkonfigurasi perangkat.

 Auditing Windows Operating Systems

Banyak komponen seputar sistem operasi yang harus diperhatikan dalam ulasan lengkap. Misalnya, perhatikan bahaya yang kurang terpelihara atau aplikasi yang dikonfigurasi Semakin banyak aplikasi yang Anda tambahkan ke platform, semakin banyak area masalah potensial yang Anda miliki sebagai auditor saat Anda meningkatkan area permukaan serangan Anda. Selain itu, perangkat keras, penyimpanan, dan jaringan mempengaruhi kinerja dan perlindungan sistem operasi. Akhirnya, kontrol dan pengelolaan lingkungan sekitar mempengaruhi dukungan, risiko, kepatuhan, dan keselarasan bisnis server.

Auditing Unix and Linux Operating Systems

File system bisa dianggap sebagai tree, dan basis setiap tree adalah root. Jadi direktori root, yang ditunjuk adalah trunk dari cabang direktori lain. Setiap sistem Unix memiliki direktori root, tapi Anda akan menemukan beberapa varian dalam apa yang Anda lihat dari sana. File dan directory permissions dapat dipisahkan menjadi user, group, dan world permissions. Dengan kata lain, setiap file dan direktori memiliki hak akses yang ditetapkan untuk user file, untuk group yang terkait dengan file tersebut, dan untuk orang lain (sering disebut "world" atau "other"). Masing-masing entitas ini dapat diberikan akses baca (read), tulis (write), dan eksekusi (execute). Baik file dan direktori memiliki set izin sendiri.

Auditing Web Servers and Web Applications

Audit web yang lengkap benar-benar merupakan audit terhadap tiga komponen utama, termasuk sistem operasi server, server web, dan aplikasi web. Komponen tambahan seperti database pendukung atau infrastruktur jaringan yang relevan mungkin juga sesuai untuk dipertimbangkan sebagai bagian dari audit Anda. Komponen pertama yang kami diskusikan adalah platform atau sistem operasi yang mendasari server dan aplikasi web yang terpasang dan beroperasi. Selanjutnya adalah web server itu sendiri, seperti Internet Information Services (IIS) atau Apache, yang digunakan untuk meng-host aplikasi web. Selanjutnya, meliput audit aplikasi web. Aplikasi web mencakup kerangka kerja pengembangan terkait seperti ASP.NET, Java, Python, atau PHP dan sistem pengelolaan konten yang sesuai (CMS) seperti Drupal, Joomla, atau WordPress.

Auditing Databases

Untuk mengaudit database secara efektif, Anda memerlukan pemahaman dasar tentang bagaimana sebuah database bekerja. Anda perlu memahami serangkaian komponen yang luas untuk mengaudit database dengan benar. Pada awal tahun 1990an, aplikasi ditulis menggunakan model client-server, yang terdiri dari program desktop yang menghubungkan melalui jaringan langsung ke database backend. Ini disebut sebagai aplikasi two-tier. Pada akhir 1990-an, aplikasi three-tiered menjadi norma. Model baru ini terdiri dari browser web yang terhubung ke aplikasi web tingkat menengah. Tingkat menengah kemudian dihubungkan dengan database backend. Aplikasi three-tiered merupakan langkah maju yang bagus. Ini berarti bahwa perangkat lunak khusus tidak perlu diinstal pada setiap workstation klien, dan pembaruan perangkat lunak dapat diterapkan ke server pusat. Klien bisa menjalankan sistem operasi yang mendukung browser dasar. Selain itu, dalam model three-tiered, mengamankan database jauh lebih sederhana. Tentu saja, infrastruktur yang dibutuhkan oleh database untuk mendukung aplikasi two-tier masih ada di database backend untuk aplikasi three-tiered. Bahaya sekarang ada bahwa penyerang akan menghindari aplikasi web untuk menyerang database backend.

Auditing Storage

Penyimpanan memperluas batas lingkungan komputasi untuk memungkinkan data dibagi antara pengguna dan aplikasi. Platform penyimpanan telah berkembang dengan sangat efisien sehingga server dapat menggunakan lingkungan penyimpanan, berbeda dengan penyimpanan asli ke server dan bentuk penyimpanan langsung lainnya, untuk kebutuhan penyimpanan utama mereka. Lingkungan penyimpanan terus berkembang, karena teknologi dan platform penyimpanan tradisional digabungkan menjadi satu kesatuan yang mengelola data file dan data aplikasi dalam unit yang sama. Protokol smart switch yang mampu memindahkan data pada kecepatan terik telah merusak kemacetan untuk mengkonsolidasikan lingkungan, yang pada gilirannya memungkinkan perampingan pusat data. Tambahkan ke teknologi ini seperti deduplikasi data, virtualisasi penyimpanan, dan solid state drive, dan mudah untuk melihat mengapa administrator penyimpanan yang baik diminati.

Read More

Melakukan Audit TSI pada lingkungan Personal Information System

UNIVERSITAS GUNADARMA

FAKULTAS ILMU KOMPUTER & TEKNOLOGI INFORMASI

AUDIT TEKNOLOGI SISTEM INFORMASI

(Capaian 3)

 

Melakukan Audit TSI pada lingkungan Personal Information System

Definis Sistem Informasi Personalia
Personalia adalah fungsi yang mendukung terlaksananya fungsi Human Resoursces yang lain, bertanggung jawab terhadap employee Database, Payroll dan pembayaran benefit lainnya, pinjaman karyawan, absensi, dan pencatatan cuti tahunan. Pembentukan fungsi personalia saat ini lebih disesuaikan denga kebutuhan dan ruang lingkup perusahaan.
Manajemen personalia akan semakin penting bagi organisasi, jika menyangkut ketersediaan tenaga kerja berbakat untuk menunjang rencana perubahan bisnis organisasi. Saat ini juga sudah diakui bahwa tenaga kerja menjadi salah satu sumber daya yang penting bagi perusahaan.

Fungsi Sistem Informasi Personalia
Fungsi manajemen personalia terdiri dari :

• Perencanaan  

Perencanaan berarti menentukan program personalia yang akan membantu mencapai tujuan perusahaan yang telah ditetapkan. Tujuan ini memerlukan partisipasi aktif dari manajer personalia.

• Pengorganisasian

Jika perusahaan telah menentukan fungsi-fungsi yang harus dijalankan oleh karyawannya, maka manajer personalia harus membentuk organisasi dengan merancang susunan dari berbagai hubungan antara jabatan personalia dan faktor-faktor fisik. Organisasi merupakan suatu alat untuk mencapai tujuan.

• Pengarahan

Apabila manajer sudah mempunyai rencana dan sudah mempunyai organisasi untuk melaksanakan rencana tersebut, fungsi selanjutnya adalah mengadakan pengarahan terhadap pekerjaan. Fungsi itu berarti mengusahakan agar karyawan bekerja sama secara efektif.

• Pengawasan.

Pengawasan adalah mengamati dan membandingkan pelaksanaan dengan rencana dan mengoreksinya apabila terjadi penyimpangan. Dengan kata lain pengawasan adalah fungsi yang menyangkut masalah pengaturan berbagai kegiatan sesui dengan rencana personalia yang dirumuskan sebagi dasar analisis dari tujuan organisasi fundamental.
Fungsi manajemen personalia secara operasionalnya terdiri dari :

• Pengadaan

Menyediakan karyawan tertentu dan jenis keahlian yang diperlukan untuk mencapai tujuan perusahaan. Tujuan tersebut menyangkut masalah pemenuhan kebutuhan tenaga kerja, proses seleksi dan penempatan kerja.

• Pengembangan

Karyawan yang telah diperoleh dengan malalui pelatihan dengan tujuan untuk mengembagkan ketrampilan.

• Pemberian kompensasi

Pemberian penghargaan yang adil dan layak terhadap para karyawan sesuai dengan sumbangan mereka dalam mencapai tujuan perusahaan.

• Pengintegrasian

Menyangkut penyesuaian keinginan dari individu dengan keungan pihak perusahaan dan masyarakat.

• Pemeliharaan

Mempertahankan dan meningkatkan kondisi yang telah ada.

Read More

Menyusun Perencanaan Audit TSI

Pengertian Audit

Audit atau pemeriksaandalam arti luas bermakna evaluasi terhadap suatu organisasi, sistem, proses, atau produk. Audit dilaksanakan oleh pihak yang kompeten, objektif, dan tidak memihak, yang disebut auditor. Tujuannya adalah untuk melakukan verifikasi bahwa subjek dari audit telah diselesaikan atau berjalan sesuai dengan standar, regulasi, dan praktik yang telah disetujui dan diterima.

Ada beberapa jenis audit :

Audit keuangan adalah audit terhadap laporan keuangan suatu entitas (perusahaan atau organisasi) yang akan menghasilkan pendapat (opini) pihak ketiga mengenai relevansi, akurasi, dan kelengkapan laporan-laporan tersebut.

Audit Operasional adalah pengkajian atas setiap bagian organisasi terhadap prosedur operasi standar dan metode yang diterapkan suatu organisasi dengan tujuan untuk mengevaluasi efisiensi, efektivitas, dan keekonomisan (3E).

Audit Ketaatan adalah proses kerja yang menentukan apakah pihak yang diaudit telah mengikuti prosedur, standar, dan aturan tertentu yang ditetapkan oleh pihak yang berwenang.

Audit Investigatif adalah: 1. "Serangkaian kegiatan mengenali (recognize), mengidentifikasi (identify), dan menguji (examine) secara detail informasi dan fakta-fakta yang ada untuk mengungkap kejadian yang sebenarnya dalam rangka pembuktian untuk mendukung proses hukum atas dugaan penyimpangan yang dapat merugikan keuangan suatu entitas (perusahaan/organisasi/negara/daerah)." 2. "a search for the truth, in the interest of justice and in accordance with specification of law" (di negara common law)

Jadi, audit itu adalah suatu rangkaian kegiatan yang menyangkut:

1.   Proses pengumpulan dan evaluasi bahan bukti

2.   Informasi yang dapat diukur. Informasi yang dievaluasi adalah informasi yang dapat diukur. Hal-hal yang bersifat kualitatif harus dikelompokkan dalam kelompok yang terukur, sehingga dapat dinilai menurut ukuran yang jelas, seumpamanya Baik Sekali, Baik, Cukup, Kurang Baik, dan Tidak Baik dengan ukuran yang jelas kriterianya.

3.   Entitas ekonomi. Untuk menegaskan bahwa yang diaudit itu adalah kesatuan, baik berupa Perusahaan, Divisi, atau yang lain.

4.   Dilakukan oleh seseorang (atau sejumlah orang) yang kompeten dan independen yang disebut sebagai Auditor.

5.   Menentukan kesesuaian informasi dengan kriteria penyimpangan yang ditemukan. Penentuan itu harus berdasarkan ukuran yang jelas. Artinya, dengan kriteria apa hal tersebut dikatakan menyimpang.

6.   Melaporkan hasilnya. Laporan berisi informasi tentang kesesuaian antara informasi yang diuji dan kriterianya, atau ketidaksesuaian informasi yang diuji dengan kriterianya serta menunjukkan fakta atas ketidaksesuaian tersebut.

Proses Audit

Audit dalam konteks teknologi informasi adalah memeriksa apakah sistem komputer berjalan semestinya. Tujuh langkah proses audit:

1.     Implementasikan sebuah strategi audit berbasis manajemen risiko serta control practice yang dapat disepakati semua pihak.

2.     Tetapkan langkah-langkah audit yang rinci.

3.     Gunakan fakta/bahan bukti yang cukup, handal, relevan, serta bermanfaat.

4.     Buatlah laporan beserta kesimpulannya berdasarkan fakta yang dikumpulkan.

5.     Telaah apakah tujuan audit tercapai.

6.     Sampaikan laporan kepada pihak yang berkepentingan.

7.     Pastikan bahwa organisasi mengimplementasikan managemen risiko serta control practice.

Sebelum menjalankan proses audit, tentu saja proses audit harus direncanakan terlebih dahulu. Audit planning (perencanaan audit) harus secara jelas menerangkan tujuan audit, kewenangan auditor, adanya persetujuan managemen tinggi, dan metode audit. Metodologi audit:

1.     Audit subject. Menentukan apa yang akan diaudit.

2.     Audit objective. Menentukan tujuan dari audit.

3.     Audit Scope. Menentukan sistem, fungsi, dan bagian dari organisasi yang secara spesifik/khusus akan diaudit.

4.     Preaudit Planning. Mengidentifikasi sumber daya dan SDM yang dibutuhkan, menentukan dokumen-dokumen apa yang diperlukan untuk menunjang audit, menentukan lokasi audit.

5.     Audit procedures and steps for data gathering. Menentukan cara melakukan audit untuk memeriksa dan menguji kendali, menentukan siapa yang akan diwawancara.

6.     Evaluasi hasil pengujian dan pemeriksaan. Spesifik pada tiap organisasi.

7.     Prosedur komunikasi dengan pihak manajemen. Spesifik pada tiap organisasi.

8.     Audit Report Preparation. Menentukan bagaimana cara memeriksa hasil audit, yaitu evaluasi kesahihan dari dokumen-dokumen, prosedur, dan kebijakan dari organisasi yang diaudit.

Struktur dan isi laporan audit tidak baku, tapi umumnya terdiri atas:

·                     Pendahuluan. Tujuan, ruang lingkup, lamanya audit, prosedur audit.

·                     Kesimpulan umum dari auditor.

·                     Hasil audit. Apa yang ditemukan dalam audit, apakah prosedur dan kontrol layak atau tidak

·                     Rekomendasi. Tanggapan dari manajemen (bila perlu).

·                     Exit interview. Interview terakhir antara auditor dengan pihak manajemen untuk membicarakan temuan-temuan dan rekomendasi tindak lanjut. Sekaligus meyakinkan tim manajemen bahwa hasil audit sahih

Teknik audit adalah cara-cara yang ditempuh auditor untuk memperoleh pembuktian dalam membandingkan keadaan yang sebenarnya dengan keadaan yang seharusnya.

Teknik audit erat hubungannya dengan prosedur audit,   dimana   teknik-teknik   audit   digunakan dalam suatu prosedur audit untuk mencapai tujuan audit.

Ada beberapa prosedur audit terhadap pengendalian  yang  harus  dilakukan  langsung olehauditor (secara manual), dan beberapa prosedur yang dapat menggunakan dukungan komputer seperti tabel berikut ini:

Pengendalian Internal dan Prosedur Audit

SUMBER :
https://id.wikipedia.org/wiki/Audit

http://openstorage.gunadarma.ac.id/linux/docs/v06/Kuliah/SistemOperasi/BUKU/SistemOperasi-4.X-2/ch22s10.html

Read More

Konsep, Metode, dan Regulasi Audit Teknologi Sistem Informasi

PENGERTIAN AUDIT TEKNOLOGI INFORMASI

Audit teknologi informasi (Inggris: information technology (IT) audit atau information systems (IS) audit) adalah bentuk pengawasan dan pengendalian dari infrastruktur teknologi informasi secara menyeluruh.

Audit teknologi informasi ini dapat berjalan bersama-sama dengan audit finansial dan audit internal, atau dengan kegiatan pengawasan dan evaluasi lain yang sejenis.

Pada mulanya istilah ini dikenal dengan audit pemrosesan data elektronik, dan sekarang audit teknologi informasisecara umum merupakan proses pengumpulan dan evaluasi dari semua kegiatan sistem informasi dalam perusahaan itu. Istilah lain dari audit teknologi informasi adalah audit komputer yang banyak dipakai untuk menentukan apakah aset sistem informasi perusahaan itu telah bekerja secara efektif, dan integratif dalam mencapai target organisasinya.

KONSEP AUDIT TSI

Perencanaan (Planning)

Tahap perencanaan ini yang akan dilakukan adalah menentukan ruang lingkup (scope), objek yang akan diaudit, standard evaluasi dari hasil audit dan komunikasi dengan managen pada organisasi yang bersangkutan dengan menganalisa visi, misi, sasaran dan tujuan objek yang diteliti serta strategi, kebijakan-kebijakan yang terkait dengan pengolahan investigasi.

Perencanaan meliputi beberapa aktivitas utama, yaitu:

·         Penetapan ruang lingkup dan tujuan audit

·         Pengorganisasian tim audit

·         Pemahaman mengenai operasi bisnis klien

·         Kaji ulang hasil audit sebelumnya

·         Penyiapan program audit

Pemeriksaan Lapangan (Field Work)

Tahap ini yang akan dilakukan adalah pengumpulan informasi yang dilakukan dengan cara mengumpulkan data dengan pihak-pihak yang terkait. Hal ini dapat dilakukan dengan menerapan berbagai metode pengumpulan data yaitu: wawancara, quesioner ataupun melakukan survey ke lokasi penelitian.

Pelaporan (Reporting)

Setelah proses pengumpulan data, maka akan didapat data yang akan diproses untuk dihitung berdasarkan perhitungan maturity level. Pada tahap ini yang akan dilakukan memberikan informasi berupa hasil-hasil dari audit. Perhitungan maturity level dilakukan mengacu pada hasil wawancara, survey dan rekapitulasi hasil penyebaran quesioner. Berdasarkan hasil maturity level yang mencerminkan kinerja saat ini (current maturity level) dan kinerja standard atau ideal yang diharapkan akan menjadi acuan untuk selanjutnya dilakukan analisis kesenjangan (gap). Hal tersebut dimaksudkan untuk mengetahui kesenjangan (gap) serta mengetahui apa yang menyebabkan adanya gap tersebut.

Tindak Lanjut (Follow Up)

Tahap ini yang dilakukan adalah memberikan laporan hasil audit berupa rekomendasi tindakan perbaikan kepada pihak managemen objek yang diteliti, untuk selanjutnya wewenang perbaikan menjadi tanggung jawab managemen objek yang diteliti apakah akan diterapkan atau hanya menjadi acuhan untuk perbaikan dimasa yang akan datang.

PROSES AUDIT TSI

Proses Audit dalam konteks teknologi informasi adalah memeriksa apakah sistem informasi berjalan semestinya. Tujuh langkah proses audit sistem informasi yaitu:

a)      Implementasikan sebuah strategi audit berbasis manajemen resiko serta control practice yang dapat disepakati oleh semua pihak

b)      Tetapkan langkah-langkah audit yang rinci

c)      Gunakan fakta atau bahan bukti yang cukup, handal, relevan, serta bermanfaat

d)     Buat laporan beserta kesimpulan berdasarkan fakta yang dikumpulkan

e)      Telaah apakah tujuan audit tercapai

f)       Sampaikan laporan kepada pihak yang berkepentingan

g)      Pastikan bahwa organisasi mengimplementasikan managemen resiko serta control practice.

Perencanaan sebelum menjalankan proses audit dengan metodologi audit yaitu:

a)            Audit subject

      b)      Audit objective

      c)      Audit Scope

      d)     Preaudit planning

      e)      Audit procedures and Steps for data gathering

      f)       Evaluasi hasil pengujian dan pemeriksaan

      g)      Audit report preparation

Berikut struktur isi laporan audit secara umumnya (tidak baku):

     a)      Pendahuluan

     b)      Kesimpulan umum auditor

     c)      Hasil audit

     d)     Rekomendasi

     e)      Exit interview

  

TEKNIK AUDIT

Ada beberapa pendekatan yang dapat dipilih oleh seorang auditor apabila menggunakan teknik audit berbantuan komputer, yaitu melakukan pengujian aplikasi atau melakukan pengujian substantif.

Beberapa pendekatan yang dapat dilakukan apabila auditor tersebut memilih melakukan pengujianaplikasiadalah:

1. TestData
Metode ini menggunakan data masukan yang telah dipersiapkan auditor dan menguji data tersebut dengan salinan (copy) dari perangkat lunak aplikasi auditan. Hasil pemrosesan data tersebut akan dibandingkan dengan ekspektasi auditor. Jika ada hasil yang tidak sesuai, mungkin ini suatu indikasi penyimpangan logika atau mekanisme pengendalian.

2. IntegratedTestFacility(ITF)
Adalah suatu pendekatan teknik terotomatisasi yang memungkinkan auditor menguji alur logika dan kendali suatu aplikasi pada saat operasi normal berlangsung.

3. ParallelSimulation(PS)
Pendekatan ini mengharuskan auditor untuk membuat suatu program yang menyimulasikan fungsi utama tertentu dari aplikasi yang sedang diuji.

Sedangkan untuk melakukan pengujian substantif (misalnya detail transaksi atau saldo perkiraan),makaauditordapatmemilihteknik:

1. EmbaddedAuditModule(EAM)
Merupakan suatu teknik dimana satu atau lebih modul program tertentu dilekatkan di suatu aplikasi untuk mencatat secara tersendiri serangkaian transaksi yang telah ditentukan ke dalamfileyangakandibacaolehauditor

2. GeneralizedAuditSoftware(GAS)
Adalah pendekatan yang menggunakan suatu perangkat lunak tertentu yang dimanfaatkan untuk menyeleksi, mengakses, mengorganisasikan data untuk kepentingan pengujian substantif. Pendekatan ini memungkinkan auditor untuk mengakses dan mengambil berbagai file data ke dalam computer untuk kemudian melakukan berbagai pengujian yang diperlukan. Pendekatan ini merupakan teknik yang paling populer karena relatif lebih mudah karena tidak diperlukan kemampuan teknik komputasi yang cukup mendalam.

REGULASI AUDIT TSI

Dengan dominannya  penggunaan komputer dalam membantu kegiatan operasional diberbagai perusahaan, maka diperlukan standar-standar kontrol sebagai alat pengendali internal untuk menjamin bahwa data elektronik yang diproses adalah benar. Beberapa jenis standar kontrol yaitu:

    a)      COSO (Comitte Of Sponsoring Organizationof the treadway commission’s)

Yaitu dibentuk pada tahun 1985 dengan tujuan untuk menyatukan pandangan dalam komunitas bisnis berkaitan dengan isu-isu seputar pelaporan keuangan yang mengandung fraud (penggelapan).Tahun 1992, COSO menyusun dan Menerbitkan Internal Control Integrated Framework yang berisi rumusan definisi pengendalian intern, pedoman penilaian, serta perbaikan terhadap sistem pengendalian intern.Tahun 2004, COSO mengembangkan Internal Control Integrated Framework dengan menambah cakupan tentang manajemen  dan strategi resiko yang disebut ERM (Enterprise Risk Manajement).

Pencapaian tujuan pengendalian intern yang didefenisikan COSO:    

     1.      Efektifitas dan efisiensi aktivitas operasi

     2.      Kehandalan pelaporan keuangan

     3.      Ketaatan terhadap hukum dan peraturan yang berlaku

     4.      Pengamanan aset entitas.

     b)      COBIT (Control Objectives for Information and Related Technology)

Yaitu alat pengendalian untuk informasi dan tekhnology terkait dan merupakan standar terbuka yang dikembangkan oleh ISACA melalui ITGI (Information and Technology Governance Institute)pada tahun 1992. Tujuan dari COBIT yaitu untuk mengembangkan , melakukan riset dan mempublikasikan suatu standar teknologi informasi yang diterima umum dan selalu up to date untuk digunakan dalam kegiatan bisnis sehari-hari.

     c)      SARBOX (Sarbanes-Oxley Act)

Yaitu merupakan peraturan yang ditandatangani Presiden George W.Bush tanggal 30 juli 2012 untuk mereformasi dunia pasarmodal Amerika Serikat. Tujuan SARBOX yaitu:

1.            Meningkatkan akuntabilitas manajemen dengan memastikan bahwa manajemen akuntan dan  pengacara memiliki tanggung jawab atas informasi keuangan yang menjadi tanggung jawab mereka.

2.            Meningkatkan pengungkapan dengan berusaha untuk menyatakan bahwa beberapa kejadian kunci dan transaksi luar biasa tidak mendapatkan pengawasan hanya karena tidak disyaratkan untuk diungkap di publik.

3.            Meningkatkan pengawasan rutin yang lebih intensif oleh SEC.

4.            Meningkatkan akuntabilitas akuntan.

    d)     ISO 17799

Yaitu standar untuk sistem manajemen keamanan informasi meliputi dokomen kebijakan keamanan informasi, alokasi keamanan informasi tanggung-jawab,menyediakan semua para pemakai dengan pendidikan dan pelatihan didalam keamanan informasi, mengembangkan suatu sistem untuk pelaporan peristiwa keamanan, memperkenalkan virus kendali, mengembangkan suatu rencana kesinambungan bisnis, mengendalikan pengkopian perangkat lunak kepemilikan, surat pengantar arsip organisatoris, mengikuti kebutuhan perlindungan data, dan menetapkan prosedure untuk mentaati kebijakan keamanan.

    e)      BASEL II

BASEL II dibentuk yaitu sebagai penerapan kerangka pengukuran bagi risiko kredit, sistem ini mensyaratkan Bank-bank  untuk memisahkan eksposurnya ke dalam kelas yang lebih luas, yang menggambarkan kesamaan tipe debitur(hutang).

Metode Audit

·         Audit Planning

1.      Tanggung jawab : Piagam audit harus mendefinisikan misi, tujuan, sasaran audit sistem informasi. Pada tahap ini didefinisikan juga key performance indicators dan proses evaluasi audit.

2.      Kewenangan : Piagam audit harus secara jelas menyebutkan otoritas yang ditugaskan ke auditor sistem informasi sehubungan dengan pekerjaan penilaian resiko yang akan dilakukan, hak untuk mengakses informasi klien, ruang lingkup atau batasan lingkup, fungsi klien dan ekpektasi audit.

3.      Akuntabilitas : Piagam audit harus secara jelas mendefinisikan garis pelaporan, penilaian kepatuhan, dan tindakan yang disepakati.

4.      Sejumlah alat, khusus untuk membantu auditor berjalan audit pada database.

·         Risk Assessment and Business Process Analysis

Proses kuantifikasi resiko disebut risk assessment. Penilaian resiko berguna dalam pengambilan keputusan seperti :

1.      Fungsi area / bisnis yang diaudit.

2.      Sifat, luas dan waktu prosedur audit.

3.      Jumlah sumber daya yang akan dialokasikan untuk audit. 

·         Performance of Audit Work

Dalam pelaksanaan audit standar sistem informasi harus memberi pengawasan, mengumpulkan bukti audit dan mendokumentasikan pekerjaan audit. Untuk mencapai tujua tersebut dilalui proses seperti :

1.      Membentuk proses penkajian internal dimana karya satu orang ditinjau oleh orang lain, sebaiknya orang yang lebih senior.

2.      Mendapatkan bukti yang cukup, dapat diandalkan dan relevan untuk diperoleh melalui inspeksi, pengamatan, permintaan, konfirmasi, dan penghitungan ulang.

3.      Mendokumentasika pekerjaan dengan menggambarkan pekerjaan audit dan bukti audit dikumpulkan untuk mendukung temuan auditor.

Alat Audit

Tujuan dari paduan ini adalah untuk membantu perusahaan dalam mempersiapkan laporan audit yang dapat dipahami dan didukung dengan baik  yang sesuai dengan persyaratan standar audit dan Sistem Informasi dan pedoman Audit dan Assurance IS yang diterbitkan oleh ISACA. Panduan ini juga dirancang untuk membantu memastikan bahwa ringkasan hasil audit yang dipresentasikan dengan jelas dan laporan audit  menyajikan hasil kerja yang dilakukan secara jelas, ringkas, dan lengkap.

Panduan ini berlaku untuk audit Sistem Informasi  yang dilakukan oleh auditor internal, ekstenal atau pemerintah, walaupun  penekanan yang diberikan  pada isi laporan dapat bervariasi, tergantung pada jenis keterlibatan audit dan oleh siapa tindakan tersebut dilakukan. Bimbingan juga diberikan pada organisasi laporan, penulisan, review dan editing, serta presentasi.

STANDAR DAN KERANGKA KERJA

Standar Audit SI tidak lepas dari standar professional seorang auditor SI. Standar professional adalah ukuran mutu pelaksanaan kegiatan profesi yang menjadi pedoman bagi para anggota profesi dalam menjalankan tanggungjawab profesinya. 

Standar profesional adalah batasan kemampuan (knowledge, technical skill and professional attitude) minimal yang harus dikuasai oleh seseorang individu untuk dapat melakukan kegiatan profesionalnya pada masyarakat secara mandiri yang aturan-aturannya dibuat oleh organisasi profesi yang bersangkutan. Beberapa diantaranya adalah:

•       ISACA : IT Standards, Guidelines, and Tools and Techniques for Audit and Assurance and Control Professionals

•       IIA : International Professional Practices Framework / IPPF

•       IASII : Standar Audit Sistem Informasi

•       BI : Standar Pelaksanaan Fungsi Audit Intern Bank / SPFAIB

•       BPPT : Framework, Kode Etik & Standar, Pedoman Umum Audit Teknologi

S1 Audit Charter

•       Tujuan, tanggung jawab, kewenangan dan akuntabilitas dari fungsi audit sistem informasi atau penilaian audit sistem informasi harus didokumentasikan dengan pantas dalam sebuah audit charter atau perjanjian tertulis.

•       Audit charter atau perjanjian tertulis harus mendapat persetujuan dan pengabsahan pada   tingkatan yang tepat dalam organisasi.

S2 Independence

•       Professional Independence

•       Dalam semua permasalahan yang berhubungan dengan audit, auditor sistem  informasi harus independen terhadap auditee baik dalam sikap maupun penampilan.

•       Organisational Independence

•       Fungsi audit sistem informasi harus independen tehadap area atau aktivitas yang sedang diperiksa agar tujuan penilaian audit terselesaikan.

S3 Professional Ethics and Standards

•       Auditor  sistem informasi harus tunduk pada kode etika profesi dari ISACA dalam melakukan tugas audit.

•       Auditor sistem informasi harus patuh pada penyelenggarakan profesi, termasuk observasi terhadap standar audit profesional yang dipakai dalam melakukan tugas audit.

S4 Professional Competence

•       Auditor sistem informasi harus seorang profesional yang kompeten, memiliki  keterampilan dan pengetahuan untuk melakukan tugas audit.

•       Auditor sistem informasi harus mempertahankan kompetensi profesionalnya secara terus menerus dengan melanjutkan edukasi dan training.

S5 Planning

•       Auditor sistem informasi harus merencanakan peliputan audit sistem informasi sampai pada tujuan audit dan tunduk pada standar audit profesional dan hukum yang berlaku.

•       Audit sistem informasi harus membangun dan mendokumentasikan resiko yang didasarkan pada pendekatan audit.

S6 Performance of Audit Work

•       Pengawasan-staff audit sistem informasi harus diawasi untuk memberikan keyakinan yang masuk akal bahwa tujuan audit telah sesuai dan standar audit profesional yang ada.

•       Bukti-Selama berjalannya audit, auditor sistem informasi harus mendapatkan bukti yang cukup, layak dan relevan untuk mencapai tujuan audit. Temuan audit dan kesimpulan didukung oleh analisis yang tepat dan interprestasi terhadap bukti-bukti yang ada.

•       Dokumentasi-Proses audit harus didokumentasikan, mencakup pelaksanaan kerja audit dan bukti audit untuk mendukung temuan dan kesimpulan auditor sistem informasi.

S7 Reporting

•       Auditor sistem informasi harus menyajikan laporan, dalam pola yang tepat, atas penyelesaian audit.

•       Laporan audit harus berisikan ruang lingkup, tujuan, periode peliputan, waktu dan tingkatan kerja audit yang dilaksanakan.

•       Laporan audit harus berisikan temuan, kesimpulan dan rekomendasikan serta berbagai pesan, kualifikasi atau batasan dalam ruang lingkup bahwa auditor sistem informasi bertanggung jawab terhadap audit.

•       Auditor sistem informasi harus memiliki bukti yang cukup dan tepat untuk mendukung  hasil pelaporan.

Manajemen RESIKO

Didalam TSI, hal-hal yang perlu diperhatikan salah satunya adalah penilaian resiko. Konsep resiko dalam hal ini meliputi ancaman, kelemahan dan dampak dari penilaian resiko. Ancaman yang sering terjadi salah satunya adalah adanya kompleksitas dari TSI itu sendiri. Berbagai macam elemen dan variasi yang terdapat dalam TSI mewarnai perkembangan TSI kedepannya.

Keamanan dan pengendalian TSI dewasa ini menjadi kelemahan dalam penilaian resiko. Dalam hal ini, kedua hal tersebut menjadi suatu hal yang patut disorot dan diperhatikan agar dapat berkembang menjadi semakin baik. Memang hal ini bukan suatu hal yang mudah untuk dapat dilakukan, namun dengan melakukannya secara bersama-sama, saling menjaga, merawat dan memeliharanya, niscaya kelemahan ini dapat dikurangi bahkan dihilangkan. Adapun dampaknya adalah aset yang ada dapat terlindungi.

Tipe-tipe resiko terdiri dari:
1. Resiko pengembangan
2. Resiko Kesalahan
3. Resiko Terhentinya Bisnis
4. Resiko Pengungkapan Informasi
5. Resiko Penggelapan

Proses penilaian resiko dapat dilakukan melalui tahap-tahap berikut ini:
a. Identifikasi objek (asset) yang akan dilindungi
b. Penentuan ancaman yang dihadapi
c. Menetapkan peluang kejadian
d. Menghitung besarnya dampak dan kelemahan sistem
e. Menilai alat-alat pengamanan yang ada
f. Rekomendasi dan implementasi

Proses perencanaan audit terdiri dari:
a. Penetapan tipe resiko
b. Untuk setiap tipe resiko, ancaman, kelemahan system, dampak diberi skor/skala tinggi, cukup, rendah atau tidak ada
c. Hitung skor resiko:
Resiko = ancaman x kelemahan x dampak
d. Urutkan resiko berdasarkan skor
e. Kaji ulang dan penyesuaian jika diperlukan
f. Buat rencana audit dengan prioritas resiko
g. Kaji ulang rencana dan penyesuaiannya
h. Laksanakan audit

Proses pemeriksaan Teknologi Sistem Informasi (TSI), dilakukan melalui tahap-tahap sebagai berikut:
a. Identifikasi spesifikasi sistem
b. Penilaian kompleksitas TSI
c. Penilaian resiko pra pemeriksaan
d. Pemeriksaan around the computer
e. Pemeriksaan through the computer
f. Pemeriksaan keuangan

Kesimpulan

Sumber

-          Hartatidewi3.blogspot.com/2014/05/auditing.teknologi.informasi.html

-          Id.netlog.com/miemaya/blog

-          https://dodyperdanaputra.wordpress.com/2014/12/29/teknologi.informasi.auditing

Read More