7 BAB 2 LANDASAN TEORI
2.1
Sistem Informasi Akuntansi 2.1.1 Pengertian Sistem Informasi Akuntansi Menurut Rama dan Jones (2006, p5) “Sistem Informasi Akuntansi merupakan
subsistem
dari
sistem
informasi
manajemen
yang
menyediakan informasi akuntansi dan keuangan, termasuk informasi lain yang diperoleh dari proses rutin transaksi akuntansi”. Sedangkan
menurut Wilkinson, Cerullo, Raval, Wong-On-
Wing (2000, p7), “Sistem Informasi Akuntansi adalah kelompok struktur dengan suatu entitas seperti usaha bisnis yang menggunakan sumbersumber fisik dan komponen lain untuk merubah data-data ekonomi menjadi informasi akuntansi, dengan tujuan untuk memenuhi kebutuhan informasi dari berbagai pengguna”. Sehingga dapat disimpulkan bahwa Sistem Informasi Akuntansi adalah sistem berbasis komputer yang dibuat dan digunakan untuk mengolah data transaksi perusahaan menjadi informasi yang berguna bagi pihak-pihak lain.
2.1.2 Tujuan / Kegunaan SIA Menurut Romney dan Steinbart (2003, p2), “Tiga fungsi penting SIA dari setiap organisasi adalah sebagai berikut:
8 1. Mengumpulkan dan menyimpan data tentang kegiatan-kegiatan yang dilakukan perusahaan. 2. Mengubah data menjadi informasi yang berguna untuk pengambilan keputusan
sehingga
memungkinkan
pihak
manajemen
untuk
merencanakan, menerapkan dan mengawasi kegiatan-kegiatan usaha. 3. Menyediakan kontrol yang memadai untuk melindungi harta perusahaan termasuk data, untuk memastikan bahwa data tersedia ketika dibutuhkan dan data tersebut akurat serta dapat dipertanggung jawabkan kebenarannya”.
Menurut Wilkinson, Cerullo, Raval, Wong-On-Win (2000, p8) menyatakan ” The primary aim of any AIS is to provide accounting information to a wide variey of users”. Dapat diterjemahkan bahwa tujuan utama dari SIA adalah menyediakan informasi tentang akuntansi untuk berbagai macam user. Tiga tujuan spesifik dari SIA: 1. Mendukung kegiatan operasional sehari-hari. 2. Mendukung pengambilan keputusan oleh Pihak Manajemen. 3. Memenuhi kewajiban untuk memberikan informasi kepada publik.
9
Sources of data
Data Collection
Data Maintenance
Information Generation
Users
Data Management Input
output Security and Control
Gambar 2.1 Fungsi dari Sistem Informasi Akuntansi Sumber: Accounting Information Systems (Wilkinson, Cerullo, Raval, dan Wong-On-Wing, 2000)
Sehingga dapat disimpulkan bahwa Tujuan/Kegunaan Sistem Informasi Akuntansi adalah untuk menjaga keamanan harta perusahaan termasuk data, menjamin keakuratan informasi dan mempercepat proses pengambilan keputusan bagi pihak manajemen dengan diterapkannya sistem informasi akuntansi yang tepat.
2.1.3 Siklus Proses Transaksi SIA Menurut Bodnar dan Hopwood yang diterjemahkan oleh Jusuf dan Tambunan (2000, p6), “Istilah Sistem Informasi Akuntansi meliputi empat siklus aktivitas bisnis yang umum yaitu: 1. Siklus
pendapatan:
Kejadian-kejadian
yang
berkaitan
dengan
10 pendistribusian barang dan jasa ke entitas-entitas lain dan pengumpulan pembayaran-pembayaran yang berkaitan. 2. Siklus pengeluaran: Kejadian-kejadian yang berkaitan dengan perolehan barang dan jasa dari entitas-entitas lain dan pelunasan kewajiban-kewajiban yang berkaitan. 3. Siklus
produksi:
Kejadian-kejadian
yang
berkaitan
dengan
pengubahan sumber daya menjadi barang dan jasa. 4. Siklus keuangan: Kejadian-kejadian yang berkaitan dengan perolehan dan manajemen dana-dana modal, termasuk kas. Dan satu Siklus pelaporan keuangan untuk memperoleh dan memproses data akuntansi dan data operasional dari 4 siklus diatas untuk menghasilkan laporan keuangan”. Menurut Romney dan Steinbart (2003, p355), “Lima siklus dalam sistem informasi akuntansi terdiri dari: 1. Siklus Pendapatan, terdiri dari semua aktivitas yang berkaitan dengan penjualan barang atau jasa dan mengumpulkan uang dari konsumen atas hasil penjualan barang atau jasa tersebut. 2. Siklus Pengeluaran/Biaya, yang berkaitan dengan kegiatan untuk memperoleh dan sekaligus untuk membayar barang atau jasa. 3. Siklus Produksi, terdiri dari kegiatan yang berkaitan dengan pemakaian upah dan peralatan untuk mengubah bahan baku menjadi barang jadi. 4. Siklus Sumber Daya/Siklus Penggajian, masalah yang berkaitan dengan perkembangan dan pengelolaan sumber daya paling bernilai
11 dari organisasi yaitu karyawan. 5. Siklus Buku Besar dan Pelaporan, menyelesaikan masalah yang berkaitan dengan pengelolaan
informasi keuangan dari berbagai
aktivitas bisnis yang dilakukan oleh organisasi secara benar, tepat, efektif dan efisiensi”. Dapat disimpulkan bahwa ada 4 siklus operasional dalam sistem informasi akuntansi yaitu siklus pendapatan, pengeluaran, produksi, sumber daya dan 1 siklus pelaporan yaitu siklus keuangan yang merangkum hasil dari keempat siklus operasional.
2.1.4 Siklus Pengeluaran dan Siklus Buku Besar dan Pelaporan
Gambar 2.2 Context diagram of General Ledger and reporting system Sumber : Accounting Information System (Romney, Steinbart 2003, p540)
12 Berdasarkan ruang lingkup pembahasan skripsi yaitu Sistem Informasi General Ledger atas Subsistem Kas Kecil, maka difokuskan pada siklus pengeluaran (expenditure cycle) dari pengeluaran kas (cash disbursement). Menurut Mulyadi (2001, p529) ”Kas kecil adalah pengeluaran kas dengan uang tunai”. Ada 2 jenis metode pencatatannya: 1. Sistem saldo berfluktuasi (Fluctuating fund balance system) adalah metode dimana pengisian kembali dana kas kecil dilakukan dengan jumlah sesuai dengan keperluan sehingga saldo rekening dana kas kecil berfluktuasi (berubah-ubah) dari waktu ke waktu. 2. Sistem saldo tetap (Imprest fund system) adalah metode dimana pengisian kembali dana kas kecil dilakukan sebesar jumlah rupiah yang tercantum dalam kumpulan bukti pengeluaran kas kecil sehingga saldo rekening dana kas kecil selalu dalam jumlah yang tetap sama di dalam buku besarnya. Mulyadi (2001, p530), ”Dokumen yang digunakan dalam penerapan metode kas kecil terdiri dari: 1. Bukti kas keluar: dokumen yang berfungsi sebagai perintah pengeluaran dana kas kecil sebesar yang tercantum dalam dokumen tersebut dan digunakan saat pembentukan dana kas kecil dan pengisian kembali dana kas kecil. 2. Permintaan pengeluaran kas kecil: dokumen yang digunakan oleh pemakai dana kas kecil untuk meminta uang kepada pemegang dana kas kecil (kasir). Bagi pemegang dana kas kecil (kasir), dokumen ini
13 berfungsi sebagai bukti telah dikeluarkannya dana kas kecil dan setelah di approve maka akan diarsip sebagai bukti. 3. Bukti pengeluaran kas kecil: dokumen-dokumen yang dibuat atau diperoleh
dari
pemakai
dana
kas
kecil
sebagai
bukti
pertanggungjawaban pemakaian dana kas kecil tersebut dan dilampirkan bersama dengan permintaan pengeluaran kas kecil yang diserahkan oleh pemakai dana kas kecil kepada pemegang dana kas kecil (kasir). 4. Permintaan pengisian kembali kas kecil: dokumen yang dibuat oleh pemegang dana kas kecil untuk meminta kepada bagian utang agar dibuatkan bukti kas keluarnya guna pengisian kembali dana kas kecil. Dalam sistem imprest fund, jumlah yang diminta untuk pengisian kembali dana kas kecil adalah sebesar jumlah uang tunai yang telah dikeluarkan sesuai dengan yang tercantum dalam bukti kas keluar”. Mulyadi juga menjelaskan tentang catatan akuntansi yang digunakan dalam sistem dana kas kecil adalah: 1. Jurnal pengeluaran kas (cash disbursement journal) adalah catatan akuntasi yang digunakan untuk mencatat pengeluaran kas dalam pembentukan dana kas kecil dan dalam pengisian kembali dana kas kecil. 2. Register cek adalah catatan akuntasi yang digunakan untuk mencatat cek perusahaan yang dikeluarkan untuk pembentukan dan pengisian kembali dana kas kecil. 3. Jurnal pengeluaran dana kas kecil adalah mencatat transaksi
14 pengeluaran dana kas kecil. Dalam ruang lingkup Evaluasi Sistem Informasi General Ledger atas Subsistem Kas Kecil (Subledger Petty Cash) ini, maka siklus yang dibahas terdiri dari 2 jenis yaitu: Siklus Pengeluaran yang dikhususkan pada pettty cash disbursement dan Siklus Buku Besar dan Pelaporan yang dikhususkan pada laporan untuk subledger petty cash.
2.2
Sistem Pengendalian Intern 2.2.1 Pengertian Pengendalian Intern Menurut Romney dan Steinbart (2003, p195), “Pengendalian intern adalah rencana organisasi dan metode bisnis yang digunakan untuk melindungi harta, menyediakan informasi yang akurat dan handal, mendukung menganjurkan
dan
meningkatkan
loyalitas/ketaatan
operasional untuk
secara
menentukan
efisien
dan
kebijakan
manajemen”. Menurut Gondodiyoto (2003, p78) mendefinisikan bahwa “Sistem pengendalian intern meliputi metode dan kebijakan yang terkoordinasi di dalam perusahaan untuk mengamankan kekayaan perusahaan, menguji ketepatan, ketelitian dan kehandalan catatan atau data akuntansi serta untuk mendorong ditaatinya kebijakan manajemen”. Berdasarkan definisi-definisi di atas dapat disimpulkan bahwa sistem pengendalian intern merupakan sebuah sistem yang dirancang oleh pihak manajemen untuk mengendalikan dan mengawasi seluruh kegiatan organisasi dalam rangka menjaga harta perusahaan dan untuk menjamin terlaksananya
15 peraturan-peraturan dan hukum yang berlaku.
2.2.2 Tujuan Sistem Pengendalian Intern Menurut Romney dan Steinbart (2003, p36), “Tiga tujuan utama dari pengendalian intern adalah: 1. Memastikan bahwa informasi yang dihasilkan oleh sistem akurat. 2. Memastikan bahwa kegiatan bisnis sudah dilaksanakan secara efisien, sesuai dengan tujuan dan kebijakan manajemen. 3. Menjaga harta perusahaan termasuk data”. Menurut Gondodiyoto (2003, p75), Sistem pengawasan intern dijalankan bertujuan untuk: 1. Mengamankan aset organisasi. 2. Memperoleh informasi yang akurat dan dapat dipercaya. 3. Meningkatkan efektifitas dan efisiensi kegiatan. 4. Mendorong
kepatuhan
pelaksanaan
terhadap
kebijakan
organisasi. Gondodiyoto (2003, p86) menyimpulkan bahwa pengendalian intern yang baik dalam perusahaan akan memberikan keuntungan, antara lain: 1. Dapat memperkecil kesalahan-kesalahan dalam penyajian data akuntansi, sehingga akan menghasilkan laporan yang benar. 2. Melindungi atau membatasi kemungkinan terjadinya kecurangan dan penggelapan-penggelapan. 3. Menghasilkan pekerjaan yang efisien.
16 4. Mendorong dipatuhinya kebijakan pimpinan. 5. Tidak memerlukan detail audit dalam bentuk pengujian substantif atas bahan bukti atau data perusahaan yang cukup besar oleh Akuntan Publik. Dari pendapat di atas dapat disimpulkan bahwa tujuan sistem pengendalian intern adalah untuk menjaga kekayaan perusahaan, memperoleh informasi yang akurat dan dapat dipercaya, meningkatkan efektifitas dan efisiensi kegiatan, dan mendorong dipatuhinya kebijakan manajemen.
2.2.3 Komponen Pengendalian Intern Menurut Romney dan Steinbart (2003, p197), “Committee of Sponsoring
Organizations (COSO) mendefinisikan 5 komponen utama
dari pengendalian intern yaitu: 1. Control environment, inti dari bisnis adalah manusia dan lingkungan bisnis. Sifat individu terdiri dari integritas, nilai etika dan kemampuan. Manusia dan lingkungan merupakan mesin penggerak yang mengarahkan perusahaan pada suatu tujuan. 2. Control activities, aturan dan prosedur yang ditetapkan dan dilaksanakan untuk memastikan bahwa setiap kegiatan sudah diotorisasi oleh manajemen sehingga tujuan perusahaan dapat tercapai secara efektif. 3. Risk assessment, organisasi harus berhati-hati terhadap resiko yang dihadapi. Resiko harus diatur secara objektif, ada mekanisme untuk
17 mengidentifikasi, menganalisa dan mengatur resiko yang ada dengan memfokuskan diri pada semua kegiatan perusahaan (penjualan, pembelian, produksi, pemasaran, dan keuangan). 4. Information and communication, kegiatan kontrol dipengaruhi oleh sistem informasi dan komunikasi, yang memungkinkan karyawan memperoleh dan bertukar informasi untuk mengurus, mengatur dan mengawasi operasional. 5. Monitoring, semua proses harus dimonitor dan diadakan perbaikan jika diperlukan, sehingga sistem dapat berkembang secara dinamis yang selalu dapat menyesuaikan diri dengan perubahan yang terjadi”. Menurut Bodnar dan Hopwood (2000, p176), “Struktur pengendalian intern perusahaan terdiri dari tiga elemen: 1. Lingkungan Pengendalian: merupakan dampak kolektif dari berbagai faktor
dalam
menetapkan,
meningkatkan,
atau
memperbaiki
efektivitas kebijakan dan prosedur-prosedur tertentu. Faktor-faktor itu mencakup: a. Filosofi dan gaya operasional manajemen. b. Struktur organisasi. c. Fungsi dewan komisaris dan anggota-anggotanya. d. Metode-metode otorisasi dan tanggungjawab. e. Metode-metode pengendalian menajemen. f. Fungsi audit intern. g. Kebijakan dan praktik-praktik kepegawaian. h. Pengaruh dari luar yang berkaitan dengan perusahaan.
18 2. Sistem Akuntansi: metode dan catatan-catatan yang dibuat untuk mengidentifikasikan, mengumpulkan, menganalisis, mencatat dan melaporkan transaksi-transaksi organisasi dan menyelenggarakan pertanggungjawaban bagi aktiva dan kewajiban yang berkaitan. 3. Prosedur-prosedur pengendalian: merupakan kebijakan dan prosedurprosedur yang tercakup dalam lingkungan pengendalian dan sistem akuntansi yang harus ditetapkan oleh manajemen untuk memberikan jaminan yang memadai bahwa tujuan tertentu akan dapat dicapai”. Gondodiyoto
(2003,
pp80-81)
menyimpulkan
Komponen
pengendalian intern menjadi tiga bagian, yaitu: 1. Lingkungan pengendalian: •
Nilai integritas dan etika.
•
Komitmen terhadap kompetensi.
•
Dewan komisaris dan komite audit.
•
Filosofi dan gaya operasi manajemen.
•
Struktur organisasi yang memadai.
•
Pembagian tugas dan delegasi wewenang.
•
Kebijakan dan praktek sumber daya manusia.
o Informasi, komunikasi dan resiko: a. Sistem dan prosedur efektif dan memberikan keyakinan yang memadai dalam penyajian informasi. b. Segala sesuatunya lebih dikomunikasikan kepada berbagai pihak: manajemen, personil dan lain-lainnya.
19 c. Adanya resiko yang mungkin akan timbul bila: ada bidang baru,
perubahan
sistem,
teknologi
baru,
hukum
dan
sebagainya. o Aktivitas pengendalian: •
Pemisahan tugas dan fungsi.
•
Otorisasi yang memadai.
•
Adanya dokumentasi yang layak.
•
Pengendalian fisik atas kekayaan dan catatan akuntansi.
•
Verifikasi independen atau review atas kegiatan atau kinerja.
Dapat disimpulkan bahwa komponen pengendalian intern terdiri dari lima komponen, yaitu: o Lingkungan Pengendalian Merupakan kebijakan, prosedur dan tindakan yang mencerminkan sikap manajemen puncak organisasi yang mempengaruhi kesadaran pengendalian orang-orangnya. o Penaksiran Resiko Adalah mengidentifikasi dan menganalisis resiko yang relevan untuk mencapai tujuan organisasi dan menentukan bagaimana suatu resiko harus dikelola. o Aktivitas Pengendalian Merupakan kebijakan dan prosedur yang ditetapkan manajemen untuk melaksanakan arahannya. o Informasi dan Komunikasi
20 Merupakan
metode
yang
digunakan
untuk
mengidentifikasi,
menggabungkan, mengklasifikasi, dan pertukaran informasi pada waktu orang-orang melaksanakan tanggung jawabnya. o Pemantauan Merupakan
proses
menentukan mutu kinerja
pengendalian
intern secara periodik dan terus menerus oleh manajemen untuk melihat apakah manajemen telah dilaksanakan dengan semestinya dan telah diperbaiki sesuai dengan keadaan.
2.2.4 Sistem Pengendalian Intern pada sistem berbasis komputer Menurut Romney dan Steinbart (2003, p26),” 4 prinsip dasar untuk menentukan apakah sistem dapat dijamin kebenarannya: 1. Keberadaan (Availability): sistem tersedia untuk operasional dan digunakan secara terus-menerus. Ini berarti pengguna sistem harus dapat memasukan, memperbaiki dan memperoleh data setiap saat jika dibutuhkan. 2. Keamanan (Security): Sistem harus diamankan dari akses ilegal baik secara fisik maupun logika (software). Ini membantu mencegah (a) pemakaian yang tidak tepat, perubahan dan kebocoran informasi dan software (b) pencurian sumber daya dari
suatu
sistem
informasi. 3. Pemeliharaan (Maintainability): Sistem dapat diubah sesuai dengan kebutuhan
tanpa
mempengaruhi
keberadaan,
keamanan
dan
integritasnya. Hanya otorisasi, testing dan perubahan dokumentasi
21 harus dibuat untuk sistem dan data-data yang berkaitan. Semua yang direncanakan dan perubahan menyeluruh, sumber daya yang harus tersedia untuk digunakan, termasuk jadwal dan dokumen harus dikomunikasikan dengan pihak manajemen dan user yang berwenang. 4. Integritas (Integrity): Proses sistem lengkap, benar, tepat dan diotorisasi. Sistem memiliki integritas jika dapat menjalankan fungsinya dengan baik, bebas dari akses ilegal atau manipulasi sistem”. Menurut Weber (1999, p69), “Ada 2 pengendalian intern dalam sistem informasi akuntansi yaitu: 1. Pengendalian Manajemen (Management Controls) terdiri dari: a. Pengendalian Top Manajemen (Top Management Controls). b. Pengendalian Manajemen Sistem Informasi (Information System Management Controls). c. Pengendalian
Manajemen
Pengembangan
Sistem
(System
Development Management Controls). d. Pengendalian
Manajemen
Sumber
Data
(Data
Resources
Management Controls). e. Pengendalian Manajemen Jaminan Kualitas (Quality Assurance Management Controls). f. Pengendalian Manajemen Keamanan (Security Management Controls). g. Pengendalian Manajemen Operasi (Operations Management Controls).
22 2. Pengendalian Aplikasi (Application Control) terdiri dari: a. Pengendalian Batasan (Boundary Controls). b. Pengendalian Masukan (Input Controls). c. Pengendalian Proses (Process Controls). d. Pengendalian Keluaran (Output Controls). e. Pengendalian Basis Data (Database Controls). f. Pengendalian Komunikasi Aplikasi (Application Communication Controls).” Dalam ruang lingkup audit Sistem Informasi General Ledger atas Subsistem Kas Kecil ini ditekankan pada pengendalian manajemen yang menyangkut segmentasi mengenai: A. Pengendalian
Manajemen
Keamanan
(Security
Management
Controls). Menurut Weber (1999, pp257-266) dapat disimpulkan
bahwa:
pengendalian terhadap manajemen keamanan secara garis besar bertanggung jawab dalam menjamin aset sistem informasi tetap aman. Ancaman utama terhadap keamanan aset sistem
informasi
adalah: 1. Ancaman Kebakaran Beberapa
pelaksanaan
pengamanan
untuk
ancaman
kebakaran: a. Memiliki alarm kebakaran otomatis yang diletakkan pada tempat dimana aset-aset sistem informasi berada.
23 b. Memiliki tabung kebakaran yang diletakkan pada lokasi yang mudah diambil. c. Keberadaan alat-alat pemadam kebakaran dapat dilihat dan dipakai dengan mudah dan cepat oleh karyawan. d. Untuk mencegah kebakaran akibat tegangan listrik, maka kabel-kabel dan penghantar listrik dilapisi atau di tempatkan pada bahan yang tidak mudah terbakar. e. Memiliki tombol power utama (termasuk AC). f. Gedung tempat penyimpanan aset sistem informasi dibangun dari bahan tahan api . g. Memiliki pintu/tangga darurat yang diberi tanda dengan jelas sehingga karyawan dengan mudah menggunakannya. h. Ketika alarm kebakaran berbunyi signal langsung dikirimkan ke stasiun pengendalian yang selalu dijaga oleh staf. i. Prosedur pemeliharaan gedung yang baik menjamin tingkat polusi rendah disekitar aset sistem informasi yang bernilai tinggi. Contoh: ruang komputer yang selalu dibersihkan dengan teratur, pengawasan rutin dan pengujian terhadap semua sistem perlindungan kebakaran dan memastikannya dirawat dengan baik. 2. Ancaman Banjir Beberapa pelaksanaan pengamanan untuk ancaman banjir: a. Jika memungkinkan memiliki atap, dinding dan lantai yang tahan air.
24 b. Menyediakan alarm pada titik strategis dimana material aset sistem informasi diletakkan. c. Semua material aset sistem informasi diletakkan di tempat yang tinggi. d. Menutup peralatan hardware dengan bahan yang tahan air dan udara sewaktu tidak digunakan. e. Memastikan saluran pembuangan saluran air yang lancar dan kapasitasnya cukup. f. Mempunyai tombol atau panel utama untuk semua saluran utama air. g. Untuk mencegah ancaman banjir, tempatkan aset sistem informasi di lantai yang lebih tinggi dimana lokasi aset ditempatkan. h. Lokasi tempat aset sistem informasi di tempatkan sebaiknya memiliki suhu yang kering atau tidak ada genangan air. 3. Kerusakan Struktural Kerusakan struktural terhadap aset sistem informasi
dapat
terjadi karena adanya gempa, angin, salju. Beberapa pelaksanaan pengamanan untuk mengantisipasi kerusakan struktural yaitu dengan memiliki lokasi perusahaan yang strategis dan aman dari ancaman-ancaman tersebut, dan juga
diperlukan
perancangan yang baik terhadap semua resiko yang akan dihadapi. 4. Polusi
25 Lokasi tempat aset sistem informasi harus bebas dari polusi karena polusi bisa mengakibatkan kerusakan pada disk drive, penyebab utama dari kerusakan hardware adalah debu yang sehingga diperlukan penjagaan terhadap kebersihan yang baik dan teratur.
Beberapa pelaksanaan pengamanan untuk mengatasi
polusi adalah situasi kantor
yang
bebas
debu
dan
tidak
memperbolehkan membawa binatang peliharaan dan tong sampah dibersihkan secara teratur. 5. Perubahan Tegangan Sumber Energi Perubahan tegangan sumber energi dapat berupa peningkatan energi dan penurunan energi, yang dapat mengganggu perangkat keras operasi tetapi juga sistem yang diperlukan untuk memelihara stabilitas suatu lingkungan operasional. Pelaksanaan pengamanan untuk mengantisipasi perubahan tegangan sumber energi yaitu menggunakan stabilizer
ataupun
UPS
yang
memadai yang mampu mengcover tegangan listrik yang tiba-tiba turun. 6. Penyusup Penyusup biasanya masuk dengan tujuan untuk mencari aset sistem informasi untuk disabotase atau untuk tujuan pemerasan. Pelaksanaan pengamanan untuk mengantisipasi penyusup dapat dilakukan dengan penempatan penjaga dan penggunaan alarm, dapat juga dilakukan dengan menggunakan card locking system, dan disk drive diletakkan di brankas, kabinet atau rak khusus yang
26 dikunci. 7. Virus Pelaksanaan pengamanan untuk mengantisipasi virus: •
Tindakan preventif seperti menginstal anti virus, dan mengupdate secara rutin, menscan file yang akan digunakan.
•
Tindakan detektif, melakukan scan secara rutin.
•
Tindakan korektif, memastikan back-up data bebas virus, penggunaan anti virus terhadap file yang terinfeksi.
8. Hacking Beberapa pelaksanaan pengamanan untuk mengantisipasi hacking yaitu
dengan
menggunakan
pengendalian
logika
seperti
penggunaan password yang sulit untuk ditebak serta penempatan petugas keamanan yang secara teratur yang memonitor sistem yang digunakan. Apabila
ancaman
keamanan
benar-benar
terjadi,
pengendalian akhir yang dapat dilaksanakan antara lain adalah: 1. Rencana Pemulihan Bencana a. Rencana Darurat (Emergency Plan) Adalah jika terjadi sesuatu, tindakan apa yang segera harus dilakukan, siapa
melakukan apa, dan
bagaimana melakukannya. b. Rencana Backup (Backup Plan) Dilakukan misalnya dengan membuat persetujuan dengan
27 unit komputer atau instalasi lain, yaitu bila terjadi masalah dapat menggunakan komputer di tempat tersebut. c. Rencana Pemulihan (Recovery Plan) Prosedur apa yang harus dilakukan untuk kembali pada keadaan sebelum terjadi kerusakan dan tidak melakukan proses yang sama lagi. d. Rencana Pengujian (Test Plan) Seluruh program kerja yang sudah direncanakan perlu diuji coba lebih dahulu untuk tes atau uji kelayakannya. 2. Asuransi Pemilihan
asuransi
untuk
peralatan,
fasilitas,
media
penyimpanan, gangguan listrik, dokumen dan kertas yang berharga harus mempertimbangkan cost and benefitnya. B. Pengendalian
Manajemen
Operasi
(Operations
Management
Controls). Menurut Weber (1999, pp289-299), Operasi manajemen bertanggung jawab untuk pemakaian fasilitas hardware dan software sehari-hari sehingga (a) sistem aplikasi dapat menyelesaikan tugasnya dan (b) staf pengembangan sistem dapat mendesain, menerapkan dan memelihara sistem aplikasi. Manajemen operasi terdiri dari 9 fungsi: 1. Operasi komputer (Computer operations). Pengendalian
pada
operasi
komputer
mengatur
penggunaan hadware dan software sehari-hari .
kegiatan
28 3 tipe pengendalian yang harus ada: a. Pengendalian Operasi (Operations Controls) Pengendalian penggunaan program komputer yang biasanya dilakukan oleh operator komputer. Mengatur kapan program dijalankan dan berhenti, menetapkan batasan siapa saja yang dapat mengakses program, menetapkan siapa yang punya otorisasi untuk mendesain, menerapkan dan memelihara program. b. Pengendalian Jadwal (Scheduling Controls) Pengendalian untuk memastikan bahwa komputer hanya digunakan untuk tujuan yang benar dan penggunaan sistem sudah efisien. c. Pengendalian Pemeliharaan (Maintenance Controls) Pemeliharaan hardware komputer dapat mencegah kerusakan hardware dan mengurangi resiko terhadap keamanan data dan integritas data . 2. Jaringan Operasional (Network Operations) Kegiatan yang berkaitan dengan operasi jaringan, memonitor jalur jaringan komunikasi, peralatan jaringan dan program/file jaringan pada WAN (Wide Area Network) dan LAN (Local Area Network). Pengendalian pada WAN biasanya dengan menggunakan network control terminal yang menyediakan akses pada sistem software untuk melakukan fungsi sebagai berikut: a. Memulai dan memberhentikan jalur dan proses.
29 b. Memonitor kegiatan jaringan. c. Mengubah nama jalur komunikasi. d. Membuat statistik sistem. e. Meningkatkan frekuensi backup. Pengendalian pada LAN
merupakan pengendalian pada file
server. Akses yang ilegal pada server dapat memungkinkan penyusup
untuk
mengganggu
operasi
dari
LAN
atau
mempengaruhi integritas data pada jaringan. 3. Persiapan data dan entry (Data preparation and entry). Semua sumber data untuk aplikasi sistem dikodekan dan diverifikasi sebelum dimasukan ke komputer. Harus ada backup baik untuk data input, persiapan data dan peralatan input. Dokumen
sumber harus disimpan secara aman sampai sudah
tidak dibutuhkan sebagai file backup. 4. Pengendalian produksi (Production control). Terdiri dari 5 fungsi: a. Pengendalian input/output (Input/output controls) Staf production control bertanggung jawab untuk memastikan bahwa input berasal dari pihak yang berwenang, menerima dan mencatat input, mengamankan input, memasukan input untuk diproses secara tepat, menerima dan mengirim output kepada user yang berwenang, memastikan hasil output tepat waktu dan mengamankan hasil output dari pihak ilegal. b. Pengendalian jadwal kerja (Job Scheduling Controls)
30 Harus dibuat untuk memastikan hanya hasil dari tugas yang diotorisasi yang akan dijalankan oleh program. Contoh: Ketika program dijalankan, maka order program, data file dan printer yang digunakan akan mengeksekusi urutan tugasnya. c. Manajemen level perjanjian service (Management of Service Level Agreements) Bertanggung jawab untuk membuat perjanjian service level antara pemakai dengan fasilitas operasional komputer. Berisi turn around dan waktu respon yang dapat diharapkan pemakai dari fasilitas operasional dan penalti yang akan dijatuhkan bila pemakai / bagian operasional komputer gagal mencapai kondisi yang telah disebutkan pada perjanjian. d. Pengendalian harga (Transfer pricing/chargeout control) Bertanggung jawab terhadap tagihan user, pengumpulan faktur dan memeriksa tagihan yang belum terbayar terhadap pemanfaatan sistem informasi. e. Memperoleh kebutuhan (Acquisition of consumables) Bertanggung jawab untuk mendapatkan dan mengatur penggunaan perlengkapan operasi komputer (kertas print, disket, tinta). Pengendalian yang kurang dapat menghasilkan stok berlebih, harga yang mahal dan kualitas stok yang rendah, pencurian dan penyalahgunaan. 5. Penyimpanan file (File library). Bertanggung jawab atas media penyimpanan data seperti disket,
31 magnetic tape dan terdiri dari 4 fungsi yang harus dijalankan: a. Memastikan bahwa media penyimpanan disimpan dalam tempat yang aman dan bersih. b. Memastikan bahwa media penyimpanan digunakan untuk tujuan yang benar. c. Memelihara media penyimpanan dengan baik. d. Menempatkan media penyimpanan secara benar. 6. Dokumentasi dan penyimpanan program (Documentation and program library). Bertanggung jawab untuk memelihara dokumen yang dibutuhkan dalam rangka mendukung operasi komputer dan mengatur persediaan dari software yang dibutuhkan. Dokumen harus dijaga untuk selalu up-to-date dan dapat digunakan hanya oleh pihak yang berwenang dan software disimpan dengan baik agar tidak hilang atau dicuri. 7. Pendukung teknis (Help desk/technical support). Bertanggung jawab: a. Membantu end user dalam menggunakan fasilitas hardware dan software yang ada. b. Membantu menyelesaikan masalah dalam sistem yang berhubungan dengan user sehingga keluhan terhadap sistem dapat diatasi. 8. Perencanaan kapasitas dan monitor tampilan (Capacity planning and performance monitoring).
32 Operasi manajemen harus selalu terus menerus memonitor tampilan dari hardware/software untuk memastikan bahwa sistem sudah dijalankan secara efisien dan kapasitas kecepatan hardware sudah sesuai. 9. Kegiatan outsource (Outsourced operations). Bertanggung
jawab
untuk
mengatur
kegiatan
sehari-hari
bekerjasama dengan pihak outsource. Fokus pada 4 tipe pengendalian: a. Evaluasi kelangsungan hidup outsourcing vendor. b. Memastikan
pemenuhan
kontrak
dan
kondisi
dengan
pada
operasi
outsourcing. c. Memastikan
kehandalan
pengendalian
outsourcing vendor. d. Memelihara prosedur untuk pemulihan bencana dengan outsourcing vendor.
Sedangkan Pengendalian Aplikasi (Application Controls) yang akan dibahas yaitu: A. Pengendalian Batasan (Boundary Controls) Menurut Weber (1999, p370)
“The boundary subsystem
establishes the interface between the would-be user of a computer system and the computer system itself“. Maksudnya batasan sistem (boundary) dibangun sebagai suatu tampilan antara pengguna sistem komputer dengan sistem komputer itu sendiri. Adapun 3 (tiga) tujuan
33 pengendalian subsistem boundary adalah sebagai berikut: 1. Untuk menetapkan identitas dan kewenangan pengguna dari sistem komputer (sistem harus memastikan orang tersebut adalah orang yang berhak). 2. Untuk menetapkan identitas dan kewenangan dari sumber daya yang digunakan (pengguna harus memastikan bahwa mereka diberikan kewenangan dari sumber daya). 3. Membatasi tindakan-tindakan yang dilakukan oleh pengguna yang menggunakan sumber daya komputer terhadap tindakan-tindakan yang terotorisasi (pengguna diperbolehkan menggunakan sumber daya pada batasan-batasan tertentu). Jenis-jenis pengendalian dalam subsistem boundary, yaitu: a. Pengendalian Kriptografi Kriptografi merupakan suatu teknik mentransformasikan data menjadi kode/sandi rahasia (cryptograms) sehingga tidak memiliki arti bagi orang yang tidak memiliki kemampuan untuk mengubah kembali data tersebut. b. Pengendalian Akses (Access Control) Berfungsi untuk membatasi dan mengatur penggunaan sumber daya sistem informasi dari unauthorized user, membatasi dan memastikan user mendapatkan sumber daya yang dibutuhkannya. Mekanisme pengendalian akses terdiri dari tiga tahap, yaitu : 1. Identifikasi Suatu mekanisme yang mengharuskan user mengidentifikasi
34 dirinya kepada sistem sebagai tanda pengenal. Misalnya dengan menggunakan user name. 2. Autentifikasi Mekanisme yang membawa user pada identifikasi tingkat tinggi untuk membuktikan hak akses user dengan cara menyediakan: − Something user know. Sesuatu yang user ketahui, contohnya password. − Something user has. Sesuatu yang user miliki (kartu). − Something user is. Sesuatu yang merupakan karakteristik user (sidik jari, retina). 3. Otorisasi Suatu mekanisme yang mengatur seberapa luas hak akses yang dimiliki user sekaligus membatasi user dari aktivitasaktivitas diluar wewenangnya. c. PIN (Personal Identification Number) PIN adalah teknik yang sering digunakan untuk mengautentifikasi seseorang. PIN adalah jenis password yang sederhana yang biasanya berupa nomor rahasia yang diberikan pada seseorang dengan tujuan untuk memverifikasi keotentikan seseorang. Tiga macam penciptaan PIN: -
Derived PIN. Penciptaan PIN berdasarkan pada Account Number Customer (nomor rekening pelanggan). Nomor
35 rekening itu akan diubah dengan menggunakan algoritma kriptografi dan kunci kriptografi untuk menghasilkan sebuah PIN yang bersifat sementara. -
Random PIN. Institusi membuat PIN berdasarkan nomor acak dengan panjang tertentu. Keuntungan metode ini adalah PIN tidak terhubung dengan nomor account sehingga dapat diganti tanpa mengubah nomor account. Kelemahannya: nomor PIN harus disimpan pada database pembuat PIN sehingga harus dapat diamankan dari pihak yang tidak berwenang.
-
Customer-selected PIN. Konsumen memilih sendiri nomor PINnya. Keuntungannya adalah mereka dapat memilih sendiri PIN yang memudahkan mereka untuk mengingatnya, tapi hal ini juga merupakan kelemahan karena konsumen sering memilih nomor yang berhubungan dengan mereka seperti tanggal lahir, nama pasangan. PIN ini juga harus disimpan pada database.
d. Digital Signature Ketika surat dibuat dalam bentuk formulir elektronik, tanda tangan yang biasa dilakukan secara manual tidak dapat dilakukan lagi. Untuk mengantisipasi hal tersebut maka diperlukan tanda tangan digital (digital signature) untuk mengautentifikasi seseorang yang berhak mengakses surat tersebut. e. Plastic Card Plastic Card dimaksudkan untuk mengidentifikasi individu yang
36 akan melakukan akses terhadap sistem. f. Audit Trail Control Audit Trail akan merekam semua kejadian yang terjadi pada subsistem
boundary.
Audit
Trail
juga
digunakan
untuk
menganalisa bukti-bukti yang berkaitan dengan penggunaan sumberdaya. g. Existence Control Ketika subsistem boundary mengalami kegagalan, existence control tidak akan berupaya melakukan perbaikan pada kerusakan tersebut. Existence Control akan meminta user untuk melakukan prosedur sign on ulang untuk menghadapi situasi jika original user meninggalkan terminal dan digantikan user lain. Sedangkan menurut Gondodiyoto (2003, p140) pengendalian batas-batas sistem aplikasi (boundary controls) ialah bahwa dalam suatu sistem aplikasi komputer perlu jelas desainnya, yang mencakup hal-hal: 1. Ruang lingkup sistem. Suatu sistem komputerisasi harus jelas ruang lingkupnya: apa dokumen inputnya, dari mana sumbernya, tujuan pengolahan data, dan siapa para penggunanya, siapa sponsornya (pemegang kewenangan). 2. Subsistem dan keterkaitan. Sistem terdiri dari subsistem, modul, program, dan perlu kejelasan ruang lingkupnya (boundary controls), dan keterkaitan (interface) antar subsistem-subsistem atau modul-modul.
37 Keberadaan pengendalian di dalam batasan subsistem pada umumnya secara langsung. Jika subsistem gagal, pengendalian biasanya tidak mencoba untuk menukar kembali subsistem yang gagal, tapi pengguna yang diminta untuk mulai mengulang prosedur kembali. B. Pengendalian Masukan (Input Controls) Menurut Weber (1999, p420) “Components in the input subsystem are responsible for bringing both data and instructions into an application control“.
Pengertiannya secara garis besar adalah
komponen pada subsistem input bertanggung jawab untuk mengontrol data dan instruksi/perintah yang masuk ke dalam aplikasi. Dokumen sumber digunakan sebagai dasar untuk menginput data. Dokumen sumber yang didesain dengan baik penting untuk mencapai tujuan audit. Tiga alasan pentingnya Input Controls, yaitu: 1. Pada sistem informasi kontrol yang besar jumlahnya adalah pada subsistem input, sehingga auditor harus memberikan perhatian yang lebih kepada keandalan input kontrol yang ada. 2. Kegiatan subsistem input melibatkan jumlah kegiatan yang besar dan rutin dan merupakan kegiatan yang monoton sehingga dapat menyebabkan terjadinya kesalahan. 3. Subsistem input seringkali merupakan target dari fraud, banyak kegiatan yang tidak seharusnya dilakukan seperti penambahan, penghapusan, dan sebagainya.
38 Sedangkan menurut Bodnar dan Hopwood (2000, p189) menyatakan
bahwa
“Pengendalian
masukan
dirancang
untuk
mencegah atau mendeteksi kekeliruan dalam tahap masukan pengolahan data”. Menurut Gondodiyoto (2003, p140) menyatakan bahwa input merupakan salah satu tahap dalam sistem komputerisasi yang paling krusial dan mengandung resiko. Resiko yang dihadapi misalnya: 1. Data transaksi yang ditulis oleh pelaku transaksi salah (error). 2. Kesalahan pengisian dengan kesengajaan disalahkan. 3. Penulisan tidak jelas sehingga dibaca salah oleh orang lain. Cara pemrosesan data input menurut Gondodiyoto (2003, pp140142) antara lain: 1. Batch system Cara pemrosesan data input dengan sistem batch processing adalah
data
diolah
dalam
satuan
kelompok
dokumen.
Pengendalian input dalam sistem batch dilakukan pada tahap: a. Data Capturing.
Dilakukan sejak pada tahap pengisian
dokumen input (data capturing). Pengendalian ini termasuk pengendalian yang bersifat preventif, caranya misalnya dengan desain formulir atau dokumen yang baik, jelas dan mudah pengisiannya, dan sebagainya. b. Batch Data Preparation. perekaman
(data
Pada tahap persiapan sebelum
preparation),
yaitu
antara
lain
dilaksanakannya editing code atau isian-isian nomor tertentu,
39 dan pembundelan (batching). Pada waktu batching dibuat total controls untuk jumlah lembar dokumen, jumlah uang, dan sebagainya. c. Batch Data Entry. Pada tahap pemasukan data (data entry), biasanya dicek terprogram oleh mesin data entry system (mesin perekam data yang kini sudah jarang digunakan, atau bahkan sudah tidak ada lagi). d. Validation. Pengecekan terprogram (validation) terhadap data input berdasar kriteria tertentu, misalnya jumlah lembar dokumen menurut jumlah record yang dihitung komputer sesuai (sama) dengan yang tertulis pada record batch. 2. On-line Real Time Entry Validation Cara penginputan yang lainnya adalah on-line transaction processing system. Pada sistem tersebut data masukan dientry dengan workstation/terminal atau jenis input device yang seperti automatic teller machine (ATM).
Pengendalian input dalam
sistem on-line real time dilakukan pada tahap: a. Entry Data & Validation.
Pada sistem on-line real time
seringkali sudah tidak dengan dokumen lagi. Data lazimnya langsung dientry ke sistem komputer. b. Batch Process. Pada batch processing system lazimnya entry data dilakukan petugas data entry (petugas teknis unit komputer), sedangkan dalam sistem on-line lazimnya entry data oleh pemakai langsung.
40 c. Output. Dalam sistem komputerisasi, khususnya yang menggunakan sistem on-line real time, paperless, maka masalah jejak pemeriksaan (audit trail) menjadi makin penting. C. Pengendalian Keluaran (Output Controls) Menurut
Gondodiyoto
(2003,
p145)
mengatakan
bahwa
“Pengendalian keluaran adalah pengendalian intern untuk mendeteksi jangan sampai informasi yang disajikan tidak akurat, tidak lengkap, tidak mutakhir datanya, atau didistribusikan kepada orang-orang yang tidak berhak”. Berdasarkan sifatnya metode output control terdiri dari tiga jenis, yaitu: 1. Preventive Objective. Misalnya dengan menggunakan tabel laporan yang terdiri dari jenis laporan, periode laporan, tanda terima konfirmasi, siapa penggunanya, prosedur permintaan laporan. 2. Detection Objective. Misalnya perlunya dibuat nilai-nilai subtotal dan total yang dapat diperbandingkan untuk mengevaluasi keakurasian laporan. 3. Corrective Objective. Misalnya tersedianya help desk dan contact person. Yang termasuk pengendalian output (Output Controls): 1. Rekonsiliasi Output Dengan Input Dengan melakukan rekonsiliasi maka akan diperoleh jaminan
41 bahwa input telah diproses dengan benar sehingga hasilnya benar. 2. Pendistribusian Output Pengendalian ini mencakup: a. Output hanya didistribusikan kepada user yang berwenang. b. Pendistribusian output harus dilakukan secara tepat waktu. c. Hanya output yang diperlukan saja yang didistribusikan. d. Tanggal penerimaan dan nama penerima hendaknya dicatat secara reguler setiap kali output didistribusikan. 3. Pengawasan Terhadap Catatan (Record Retention) a. Menjaga jangka waktu pencatatan tertentu untuk menjaga keamanan output. b. Menghindari rekonstruksi yang tidak perlu terhadap file. c. Mengendalikan output-output yang sudah tidak diperlukan lagi (dihancurkan). Menurut Bodnar dan Hopwood (2000, p194) “Pengendalian keluaran
dirancang
untuk
memeriksa
apakah
masukan
dan
pemrosesan berpengaruh pada keluaran secara absah dan apakah keluaran telah didistribusikan secara memadai”. Menurut Hall (2002, p352) “Pengendalian internal dalam Sistem Informasi Berbasis Komputer (SIBK) dibagi dalam 2 kategori utama yaitu: Pengendalian Umum dan Pengendalian Aplikasi”. Dapat disimpulkan bahwa Sistem pengendalian intern pada sistem berbasis
komputer
terdiri
dari
2:
Pengendalian
Manajemen
(operasional) dan Pengendalian Aplikasi (Software). Pengendalian
42 Manajemen terdiri dari pengendalian top manajemen, pengendalian manajemen
sistem
informasi,
pengendalian
manajemen
pengembangan sistem, pengendalian manajemen sumber data, pengendalian manajemen jaminan kualitas, pengendalian manajemen keamanan,
pengendalian
manajemen
pengendalian aplikasi terdiri dari
operasi.
Sedangkan
pengendalian batasan sistem,
pengendalian masukan, pengendalian proses, pengendalian keluaran, pengendalian basis data, dan pengendalian komunikasi aplikasi.
2.3
Audit Sistem Informasi 2.3.1 Pengertian Audit Sistem Informasi Menurut Romney dan Steinbart (2003, p321), ”Audit Sistem Informasi mengkaji ulang pengendalian sistem informasi akuntansi untuk menilai pemenuhannya dengan kebijakan dan prosedur pengendalian intern dan keefektifan perlindungan terhadap aset”. Menurut Weber (1999, p10), “Audit Sistem Informasi adalah proses pengumpulan dan pengevaluasian bukti-bukti untuk memutuskan apakah dengan adanya sistem pengamanan aset yang berbasis komputer dan pemeliharaan integritas data dapat mendukung perusahaan untuk mencapai tujuannya secara efektif dan penggunaan sumber daya secara efisien serta untuk mengetahui apakah suatu perusahaan memiliki pengendalian yang memadai”. Berdasarkan beberapa definisi diatas dapat disimpulkan bahwa audit
sistem
informasi
adalah
proses
pengumpulan
data
dan
43 pengevaluasian bukti-bukti serta pengkajian ulang pengendalian sistem informasi untuk mencapai tujuan perusahaan secara efektif dan penggunaan sumber daya secara efisien.
2.3.2
Prosedur Audit Sistem Informasi Menurut Weber (1999, pp45-46), ”5 tipe prosedur untuk mengetahui kerugian material yang terjadi pada sistem informasi akuntansi: 1. Memeriksa prosedur yang ada untuk dapat memahami pengendalianpengendalian (Procedures to obtain an understanding of controls): Pemeriksaan dan pengamatan dapat digunakan untuk memahami pengendalian yang seharusnya ada, seberapa baik pengendalian itu dibuat dan apakah sudah diterapkan dalam kegiatan operasional. 2. Melakukan test terhadap pengendalian-pengendalian yang ada (Tests of controls): Pemeriksaan, pengamatan dan perbaikan dari prosedur pengendalian untuk mengevaluasi apakah pengendalian sudah dapat dilakukan secara efektif. 3. Test substantif dari setiap transaksi (Substantive tests of details of transactions): Test yang didesign untuk mengetahui kesalahan perhitungan atau ketidakteraturan dalam transaksi yang dapat mempengaruhi laporan keuangan. 4. Test Substantif dari setiap rekening di neraca (Substantive tests of details of accout balances): Test yang fokus pada penyelesaian buku besar di neraca dan laporan rugi laba.
44 5. Prosedur pemeriksaan analisis (Analytical review procedures): Test yang fokus pada hubungan antar jenis data dengan tujuan untuk mengidentifikasi area yang lebih membutuhkan audit”. Menurut Romney dan Steinbart (2003, p327), “Prosedur audit terbagi 2: 1. Memeriksa sistem (System review) terdiri dari: • Memeriksa situs komputer. • Memeriksa keamanan informasi / rencana perlindungan. • Mewawancarai karyawan sistem informasi tentang prosedur keamanannya. • Memeriksa dokumentasi tertulis tentang kebijakan dan prosedur akses fisik. • Memeriksa kebijakan dan prosedur akses logik. • Memeriksa file cadangan, kebijakan dan prosedur pemulihan. • Memeriksa penyimpanan data, kebijakan dan prosedur pengiriman (transmission). • Memeriksa prosedur penggunaan sistem downtime. • Memeriksa kontrak dengan pihak vendor. • Memeriksa akses log dari sistem. • Memeriksa rencana pemulihan bencana. • Memeriksa kebijakan asuransi terhadap sistem informasi. 2. Menguji pengendalian (Tests of Controls) a. Mengamati prosedur akses komputer.
45 b. Mengamati persiapan dan tempat penyimpanan dari file cadangan. c. Memeriksa catatan dari pengesahan dan perubahan password. d. Menyelidiki bagaimana jika terjadi adanya akses ilegal. e. Menguji tingkat dan efektifitas data enkripsi yang digunakan. f. Menguji penggunaan efektif dari pengendalian data transmisi. g. Menguji penggunaan efektif dari firewall. h. Menguji penggunaan efektif dari prosedur anti virus. i. Menguji penggunaan dari UPS (Uninterruptible Power Supply). j. Menguji jumlah dan batasan dari perlindungan asuransi. k. Memeriksa hasil test simulasi dari rencana pemulihan bencana (disaster recovery plan)”.
Dapat disimpulkan bahwa prosedur audit adalah petunjuk atau instruksi rinci untuk pengumpulan jenis bahan bukti audit tertentu yang harus diperoleh pada saat tertentu dalam audit. Prosedur audit terdiri dari inspeksi atau pemeriksaan fisik, pengamatan atau observasi, konfirmasi, permintaan keterangan atau tanya jawab dengan klien, penelusuran, pemeriksaan dokumen pendukung (vouching), penghitungan (counting), scanning, pelaksanaan ulang (Reperforming), teknik audit berbantuan komputer (Computer-assisted audit techniques), dan prosedur analitis.
2.3.3 Standar Audit Menurut Romney dan Steinbart (2003,p321), IIA(Institute of Internal Auditors) mendefinisikan “5 Standar Audit:
46 1. Memeriksa kehandalan dan integritas dari informasi keuangan dan operasional dan bagaimana informasi tersebut diidentifikasi, dinilai, dikelompokan dan dilaporkan. 2. Menetapkan desain sistem untuk disesuaikan dengan kebijakan operasional dan pelaporan, rencana, prosedur, hukum dan peraturan yang seharusnya dijalankan. 3. Memeriksa bagaimana aset dilindungi dan menguji kesesuaian keberadaan dari aset tersebut. 4. Memeriksa sumber-sumber daya perusahaan untuk menentukan apakah sudah secara efektif dan efisien digunakan. 5. Memeriksa kegiatan operasi dan program perusahaan untuk menentukan apakah sudah sejalan dengan yang direncanakan dan sudah dapat mencapai tujuannya.”
Menurut Weber (1999, p90), ”Tipe standar dari sistem informasi: 1. Standar metode (Methods Standards): Menetapkan standar praktek dan prosedur yang harus dijalankan. 2. Standar prestasi (Performance Standards): Menjelaskan pemakaian sumber daya yang diperoleh dari berbagai jenis kegiatan sistem informasi dan kualitas dari hasil yang harus dicapai. 3. Standar dokumentasi (Documentation Standards): Menjelaskan bagaimana
kegiatan-kegiatan
harus
dilakukan
dan
mendokumentasikan perkembangan sistem informasi yang ada. 4. Standar
pengendalian
proyek
(Project
Control
Standards):
47 Menjelaskan tahapan dari proyek yang dibuat
berkaitan dengan
pengendalian fungsi sistem informasi. 5. Standar dasar audit (Post Audit Standards): Menjelaskan cara-cara mereview kegiatan sistem informasi yang akan diterapkan”. Dapat disimpulkan bahwa Standar Audit adalah aturan dan batasan yang digunakan auditor dalam melakukan kegiatan audit.
2.3.4 Instrumen Audit Menurut Weber (1999, p709), “3 tehnik yang digunakan auditor dalam mengumpulkan bukti-bukti untuk test subtantif: 1. Review kode program (Program code review): kegiatan untuk melihat dan memahami sumber coding pada program dengan menampilkan identifikasi kesalahan yang ada di kode program tersebut. 2. Melakukan test data (Test data): kegiatan menjalankan program dengan menggunakan sampel data untuk menemukan kesalahan dari program tersebut. 3. Membandingkan kode (Code Comparison): Menggunakan software lain untuk menilai kehandalan coding dari program
sebagai
perbandingan antara program yang ditest dengan program lain”. Menurut Indrianto dan Supomo (2002, p152), “2 instrument audit yaitu: a. Wawancara (Interview): merupakan tehnik pengumpulan data dalam metode survei yang menggunakan pertanyaan secara lisan kepada
48 subyek penelitian. Dilakukan jika peneliti memerlukan komunikasi / hubungan dengan responden. b. Observasi: proses pencatatan pola prilaku subyek (orang), obyek (benda) atau kejadian yang sistematik tanpa adanya pertanyaan atau komunikasi dengan individu-individu yang diteliti”.
2.4
Audit Sistem Informasi General Ledger atas Subsistem Kas Kecil 2.4.1
Pengertian General Ledger,
Ledger, Subledger, COA (Chart Of
Account) Menurut Mulyadi (2001, p121), ”Buku Besar (General Ledger) merupakan
kumpulan
rekening-rekening
yang
digunakan
untuk
menyortasi dan meringkas informasi yang telah dicatat dalam jurnal”. Menurut Niswonger, Warren, Reeve dan Fess (1999, p44), ” Buku Besar (Ledger) merupakan kumpulan akun dalam entitas usaha, Buku besar umum (General Ledger) merupakan buku besar yang menampung semua akun neraca dan laporan laba-rugi, Chart of account merupakan daftar akun dalam buku besar (bagan akun)”. Pengertian Buku Besar Pembantu (Subsidiary ledger)
adalah
kumpulan transaksi yang terjadi dalam daftar akun tertentu, dalam Sistem Informasi General Ledger atas Subsistem Kas Kecil maka akan dibahas mengenai buku besar pembantu kas kecil (Subledger petty cash). Dapat disimpulkan bahwa Buku Besar (General Ledger) merupakan kumpulan dari buku besar pembantu (subledger).
49 2.4.2 Sistem Informasi General Ledger atas Subsistem Kas kecil Menurut Romney dan Steinbart (2003, p562), “Sistem General Ledger dan laporan keuangan adalah ringkasan hasil dari berbagai subsistem akuntansi yaitu pendapatan, pengeluaran, produksi, dan siklus sumber daya. General Ledger juga adalah pusat dari file utama (masterfile) sistem informasi akuntansi”. Sistem informasi General Ledger atas Subsistem Kas kecil adalah ringkasan hasil dari bagian subsistem pengeluaran yaitu Cash disbursement yang menampilkan mutasi transaksi pengeluaran kas kecil dalam periode tertentu (per hari, per minggu, per bulan).
2.4.3 Audit Sistem Informasi General Ledger atas Subsistem Kas Kecil Menurut Romney dan Steinbart (2003, p562), “Karena General Legder adalah pusat dari file utama (master file) sistem informasi akuntansi, maka penting untuk menerapkan prosedur pengendalian untuk memastikan kebenaran dan keamanannya”. Dapat disimpulkan bahwa Audit dari sistem informasi General Ledger terdiri dari proses pengumpulan dan pengevaluasian prosedur pengeluaran kas kecil mulai dari memeriksa voucher dan bon pengeluaran, membuat bukti penerimaan sebagai dokumen pengajuan pencairan kas kecil dan bukti kas keluar, memeriksa jurnal yang diinput ke dalam General Ledger, mencocokan inputan dengan output yang dihasilkan.
50 2.4.4 Matriks Penetapan Penilaian Resiko dan Pengendalian pada Sistem Informasi General Ledger atas Subsistem Kas Kecil Setelah memperoleh bukti audit yang berkualitas dan cukup beserta temuannya dengan menggunakan instrumen pengumpulan bukti, auditor menggunakan metode Matriks Penetapan Penilaian Resiko dan Pengendalian guna merumuskan dan mempertajam analisa terhadap bukti audit dan temuan agar dapat merumuskan dan menyimpulkan opini yang andal dengan melakukan perbandingan dan penilaian terhadap tingkat resiko dan control yang ada. Metode Penetapan Penilaian Resiko dan Pengendalian ini didasari oleh teori Pickett yang dinyatakan dalam bukunya yang berjudul The Essential Handbook of Internal Auditing (2005, p76) yang sebagian dari esensi buku ini juga didukung oleh Thomas R. Peltier dalam bukunya yang berjudul Information Security Risk Analysis (2001, pp60-63).
1. Matrik Penilaian Resiko Adalah cara untuk menganalisa seberapa besar pengaruh dan hubungan antara tingkat resiko / dampak (impact) terhadap tingkat keterjadian dari resiko tersebut. Besarnya tingkatan resiko dan keterjadian dinyatakan dengan: L ( Low ) bernilai -1 M ( Medium ) bernilai -2 H ( High ) bernilai -3
51 Tehnik perhitungan dalam matriks penilaian resiko menggunakan perkalian antara resiko dengan keterjadian. Kriteria penilaian dalam metrik resiko : a. Resiko kecil (Low) nilainya antara -1 dan -2 seperti: • Dampak low (-1) dan keterjadian low (-1), maka resiko -1, artinya nilai resiko dari dampak dan keterjadian kecil. • Dampak low (-1) dan keterjadian medium (-2), maka resiko -2, artinya nilai resiko dari dampak dan keterjadian kecil. • Dampak medium (-2) dan keterjadian low (-1), maka resiko -2, artinya nilai resiko dari dampak dan keterjadian kecil. b. Resiko sedang (Medium) nilainya antara -3 dan -4 seperti: • Dampak low (-1) dan keterjadian high (-3), maka resiko -3, artinya nilai resiko dari dampak dan keterjadian sedang. • Dampak medium (-2) dan keterjadian medium (-2), maka resiko -4, artinya nilai resiko dari dampak dan keterjadian sedang. • Dampak high (-3) dan keterjadian low (-1), maka resiko -3, artinya nilai resiko dari dampak dan keterjadian sedang. c. Resiko tinggi (High) nilainya antara -6 dan -9 seperti : • Dampak medium (-2) dan keterjadian high (-3), maka resiko -6 artinya nilai resiko dari dampak dan keterjadian tinggi. • Dampak high (-3) dan keterjadian medium (-2), maka resiko -6 artinya nilai resiko dari dampak dan keterjadian tinggi.
52 • Dampak high (-3) dan keterjadian high (-3), maka resiko -9, artinya nilai resiko dari dampak dan keterjadian tinggi.
I M P A C T
-3 H
-3
-6
-9
-2 M
-2
-4
-6
-2
-3
-1 L
-1
L -1
M -2
H -3
LIKELIHOOD Gambar 2.3 Matriks Penilaian Resiko Sumber : The Essential Handbook of Internal Auditing (IIA, 2005)
2. Matrik Penilaian Pengendalian Adalah cara untuk menganalisa seberapa besar pengaruh dan hubungan antara tingkat efektifitas dengan desain (rancangan) dari pengendalian resiko. Besarnya tingkat efektifitas dan desain (rancangan) dinyatakan dengan: L (Low) bernilai 1 M (Medium) bernilai 2 H (High) bernilai 3
Tehnik
perhitungan
dalam
matrik
penilaian
pengendalian
menggunakan perkalian antara efektifitas dan desain (rancangan).
53 Kriteria penilaian dalam matrik pengendalian : a. Pengendalian kecil (Low) nilainya antara 1 dan 2 seperti: • Efektifitas low (1) dan desain low (1) , maka pengendalian 1, artinya nilai pengendalian dari efektifitas dan desain kecil. • Efektifitas low (1) dan desain medium (2), maka pengendalian 2, artinya nilai pengendalian dari efektifitas dan desain kecil. • Efektifitas medium (2) dan desain low (1), maka pengendalian 2, artinya nilai pengendalian dari efektifitas dan desain kecil. b. Pengendalian sedang (Medium) nilainya antara 3 dan 4 seperti: • Efektifitas low (1) dan desain high (3), maka pengendalian 3, artinya nilai pengendalian dari efektifitas dan desain sedang. • Efektifitas medium (2) dan desain medium (2), maka pengendalian 4, artinya nilai pengendalian dari efektifitas dan desain sedang. • Efektifitas high (3) dan desain low (1), maka pengendalian 3, artinya nilai pengendalian dari efektifitas dan desain sedang. c. Pengendalian tinggi (High) nilainya antara 6 dan 9 seperti: • Efektifitas medium (2) dan desain high (3), maka pengendalian 6, artinya nilai pengendalian dari efektifitas dan desain tinggi. • Efektifitas high (3) dan desain medium (2), maka pengendalian 6, artinya nilai pengendalian dari efektifitas dan desain tinggi. • Efektifitas high (3) dan desain high (3), maka pengendalian 9, artinya nilai pengendalian dari efektifitas dan desain tinggi.
54 E F E 3H T I 2M F I T 1L A S
3
6
9
2
4
6
1
2
3
L 1
M 2
H 3
DESAIN Gambar 2.4 Matriks Penilaian Pengendalian Sumber : The Essential Handbook of Internal Auditing (2005) Penetapan tingkat efektifitas pengendalian terhadap resiko adalah sebagai berikut: ¾ Jika selisih antara resiko dan pengendalian adalah 0, maka tingkat pengendalian dan resiko adalah standard, artinya pengendalian yang ada masih dapat diandalkan untuk mengcover resiko, namun perlu dilakukan pengawasan secara berkelanjutan agar resiko tidak dapat melampaui pengendalian di kemudian hari. ¾ Jika selisih antara resiko dan pengendalian adalah positif, maka pengendalian adalah baik. Artinya pengendalian yang ada dapat sepenuhnya diandalkan untuk mengcover resiko yang ada. Perlu diperhatikan bahwa jika selisih antara resiko dan pengendalian terlalu tinggi (bernilai positif) maka ada kemungkinan telah terjadi over control yang dapat menyebabkan terjadinya inefisiensi. ¾ Jika selisih antara resiko dan pengendalian adalah negatif, maka pengendalian adalah buruk. Artinya pengendalian yang ada tidak dapat
55 mengcover resiko sepenuhnya (tidak dapat diandalkan) sehingga perlu dilakukan perubahan/peningkatan pengendalian guna mengendalikan dan menghindari resiko yang lebih besar. Perlu diperhatikan bahwa jika selisih antara resiko dan pengendalian (bernilai negatif) semakin tinggi maka tingkat resiko yang akan dihadapi perusahaan juga semakin tinggi sehingga memerlukan peningkatan / pengembangan pengendalian untuk mengendalikan/menghindari resiko yang lebih besar.
