Manual Prosedur Audit Teknologi Informasi
Satuan Pengawas Internal Universitas Brawijaya Malang 2011
Manual Prosedur Audit Teknologi Informasi Satuan Pengawas Internal Universitas Brawijaya
Kode Dokumen
:
00010 02008
Revisi
:
-
Tanggal
:
8 Oktober 2011
Diajukan oleh
:
Kabid Pengawasan Teknologi dan Informasi
Ir.Soeprapto, MT Dikendalikan oleh
:
Sekretaris Satuan Pengawas Internal
M. Khoiru Rusydi., SE., M.Si., Ak., BKP Disetujui oleh
:
Ketua Satuan Pengawas Internal
Prof.Dr. Made Sudarma, SE., Ak., MM., CPA
DAFTAR ISI
LEMBAR PENGESAHAN DAFTAR ISI MANUAL PROSEDUR AUDIT TEKNOLOGI INFORMASI 1. PENDAHULUAN 2. PIHAK/FUNGSI TERKAIT 3. KETENTUAN UMUM 4. RUANG LINGKUP 5. PROSEDUR AUDIT TEKNOLOGI INFORMASI LAMPIRAN: 1. FLOW CHART PROSEDUR AUDIT TEKNOLOGI INFORMASI 2. REFERENSI
MANUAL PROSEDUR AUDIT TEKNOLOGI INFORMASI
Pendahuluan Teknologi Informasi Teknologi
informasi
merupakan
komponen
penting
dari
sistem
informasi, selain data/ informasi, sumber daya manusia dan organisasi. Teknologi informasi yang dimaksud adalah teknologi telematika, mencakup teknologi komputer (perangkat keras, perangkat lunak) dan didukung dengan teknologi telekomunikasi, khususnya komunikasi data digital sebagai infrastruktur dari jaringan komputer. Diperlukan teknik untuk mengendalikan dan memastikan bahwa teknologi informasi sudah sesuai dengan tujuan organisasi. Audit teknologi informasi merupakan suatu cara untuk menilai sejauh mana suatu teknologi informasi telah mencapai tujuan organisasi. Universitas penggunaan
Brawijaya
TI
ke
bertekad
dalam
setiap
untuk aspek
lebih yang
mengintensipkan memungkinkan
keberadaannya. Tidak hanya untuk peningkatan kualitas di bidang akademik tapi juga administratif dan hal-hal
lainnya. Adanya kebijakan
seperti di atas,yang secara intrinsik dan formal menyangkut persoalan TI, maka universitas memerlukan sebuah audit khusus, yaitu audit teknologi informasi. Audit Teknologi Informasi Audit
teknologi
informasi
adalah
bentuk
pengawasan
dan
pengendalian dari infrastruktur teknologi informasi secara menyeluruh. Audit TI
merupakan
proses
pengumpulan
dan
evaluasi
bukti-bukti
untuk
menentukan apakah sistem komputer yang digunakan telah dapat melindungi aset milik organisasi, mampu menjaga integritas data, dapat membantu pencapaian tujuan organisasi secara efektif, serta menggunakan sumber daya yang dimiliki secara efisien. Dengan melaksanakan audit TI, suatu lembaga bisa dikatakan sudah memiliki kepedulian cukup tinggi terhadap posisi dan peran TI bagi perkembangan lembaganya. Audit TI yang direncanakan dengan baik akan
memberikan beberapa hasil yang manfaatnya akan sangat signifikan bagi perjalanan lembaga itu sendiri di kemudian hari.Hasil-hasil tersebut antara lain;
munculnya
evaluasi
terhadap
praktik-praktik
manajemen
risiko,
terhadap kendali sistem internal,dan terhadap kebijakan-kebijakan yang terkait dengan TI yang terjadi dalam lembaga tersebut, baik itu yang kompleksitasnya rendah atau yang tinggi. Audit teknologi informasi ini dapat berjalan bersama-sama dengan audit finansial dan audit internal, atau dengan kegiatan pengawasan dan evaluasi lain yang sejenis. Audit teknologi informasi adalah audit komputer yang banyak dipakai untuk menentukan apakah aset Teknologi informasi suatu institusi telah bekerja secara efektif, dan integratif dalam mencapai target organisasinya. Beberapa alasan penting mengapa audit TI perlu dilakukan, antara lain: 1. Kerugian Akibat Kehilangan Data Data telah menjadi salah satu aset terpenting bagi suatu institusi. Sehingga kehilangan data akan menjadi masalah yang sangat serius terhadap kelangsungan proses pada institusi tersebut. Jika terjadi kehilangan data, maka diperlukan
waktu yang cukup lama untuk
melakukan verifikasi manual atas dokumen yang dimiliki.
2. Kesalahan Dalam Pengambilan Keputusan Banyak institusi yang saat ini telah menggunakan bantuan Decision Support System (DSS) untuk mengambil keputusan-keputusan penting. Sehingga bagaimana validitas keputusan yang diambil jika data-data yang digunakan sebagai acuan tidak valid atau tidak tersedia. Dapat dipastikan akan terjadi kesalahan dalam pengambilan keputusan.
3. Risiko Kebocoran Data Data bagi suatu institusi merupakan sumber daya yang tidak ternilai harganya. Kebocoran data tidak saja berdampak teraksesnya data oleh orang/pihak yang tidak memiliki wewenang, akan tetapi lebih jauh lagi
kebocoran data dapat mengganggu kelangsungan proses pada suatu institusi.
4. Penyalahgunaan Komputer Alasan lain perlunya dilakukan audit TI adalah tingginya tingkat penyalahgunaan
komputer.
Pihak-pihak
yang
dapat
melakukan
kejahatan komputer sangat beraneka ragam. Kita mengenal adanya hackers dan crackers. Hackers merupakan orang yang dengan sengaja memasuki suatu sistem teknologi informasi secara tidak sah. Biasanya mereka melakukan aktivitas hacking untuk kebanggaan diri sendiri atau kelompoknnya, tanpa bermaksud merusak atau mengambil keuntungan atas tindakannya itu. Sedang, Crackers di sisi lain melakukan aktivitasnya dengan
tujuan
mengambil
keuntungan
sebanyak-banyaknya
dari
tindakannya tersebut, misalnya mengubah atau merusak atau, bahkan, menghancurkan sistem komputer. Tidak semua institusi siap mengantisipasi adanya risiko-risiko akibat adanya hackers dan crackers.
5. Kerugian Akibat Kesalahan Proses Perhitungan Seringkali, TI digunakan untuk melakukan perhitungan yang rumit. Salah satu alasan digunakannya TI adalah kemampuannya untuk mengolah data secara cepat dan akurat. Penggunaan TI untuk mendukung proses penghitungan bukannya tanpa risiko kesalahan. Risiko ini akan semakin besar jika tanpa adanya mekanisme pengembangan sistem yang memadai. Kesalahan yang ditimbulkan oleh sistem baru ini akan sulit terdeteksi tanpa adanya audit terhadap sistem tersebut.
6. Tingginya Nilai Investasi Perangkat Keras dan Perangkat Lunak Komputer Investasi yang dikeluarkan untuk suatu proyek TI seringkali sangat besar. Namun sulit mengukur manfaat yang dapat diberikan TI. Hasil audit TI adalah temuan-temuan yang terbagi ke dalam dua kategori,yakni temuan negatif dan temuan positif. Di dalam temuan negatif,auditor
mengungkapkan hal-hal yang menurutnya ‘tidak seharusnya terjadi ’ atau ‘tidak seharusnya dikerjakan ’oleh elemen dalam Universitas Brawijaya terkait dengan keberadaan atau pemanfaatan TI. Sementara dalam temuan positif, auditor menguraikan manfaat-manfaat atau keunggulan yang telah dicapai oleh Universitas Brawijaya dengan memanfaatkan fasilitas TI yang sudah ada. Sebagai tindak lanjut dari temuan-temuan, maka auditor memberikan saran dan masukan.Saran ini nantinya dapat digunakan sebagai petunjuk bagi para pembuat kebijakan dalam hal penyusunan kebijakan TI untuk masa kerja selanjutnya. COBIT (Control Objective for Information Related Tecnology) COBIT (Control Objective for Information Related Tecnology) adalah kerangka tata kelola TI (IT governance) yang ditujukan kepada manajemen, staf pelayanan TI, control departemen, fungsi audit dan lebih penting lagi bagi pemilik proses bisnis (business process owner’s), untuk memastikan confidenciality, integrity and availability data serta informasi sensitif dan kritikal. COBIT didesign terdiri dari 34 high level control objectives yang menggambarkan proses TI yang terdiri dari 4 domain yaitu: Plan and Organise, Acquire and Implement, Deliver and Support dan Monitor and Evaluate. Dengan melakukan kontrol terhadap ke 34 objektif tersebut, organisasi dapat memperoleh keyakinan akan kelayakan tata kelola dan kontrol yang diperlukan untuk lingkungan TI. Untuk mendukung IT process tersebut tersedia lagi sekitar 215 tujuan control yang lebih detil untuk menjamin kelengkapan dan efektifitas implementasi. Suatu perencanaan audit TI dapat dimulai dengan menentukan areaarea yang relevan dan berisiko paling tinggi. Sementara untuk kebutuhan penugasan tertentu, misalnya audit atas proyek TI, dapat dimulai dengan memilih proses yang relevan dari proses-proses tersebut.
Tujuan Audit Teknologi Informasi Audit Teknologi Informasi dirancang untuk tujuan berikut: 1. Melakukan verifikasi terhadap efektifitas dari penerapan teknologi informasi. 2. Melakukan verifikasi apakah penerapan teknologi informasi sudah memenuhi aspek efisiensi, availability system, reliability, confidentiality, dan integrity, serta aspek keamanan. 3. Melaporkan hasil audit dengan data yang memadai dan memberikan masukan kepada bagian terkait agar dapat dilakukan perbaikan.
Pihak/Fungsi terkait 1. Ketua/Sekretaris SPI 2. Ketua Bidang Teknologi Informasi 3. Anggota SPI
Ketentuan Umum 1. Satuan Pengawasan Internal (SPI) adalah lembaga fungsional yang dibentuk oleh rektor dan diberi tugas untuk mengembangkan SPI di UB 2. Audit
internal
bidang
TIK
adalah
audit
yang ditujukan
untuk
memberikan jaminan atas kesesuaian antara Kebijakan, Standar, Manual Mutu, Manual Prosedur dan Peraturan dalam penggunaan Teknologi dan Sistem Informasi di lingkungan UB. 3. Management Representative (MR) bertugas : -
Memantau semua semua proses yang terkait sistem pengawasan internal (SPI) dengan pihak internal dan eksternal sehingga kegiatan terlaksana serta terpelihara
-
Merencanakan
dan
mengkoordinasi
jadwal
rutin
manajemen, audit internal TSI serta perbaikan SMM SPI UB
tinjauan
-
Mengkoordinasi
pengelolaan
dokumen,
rekaman
dan
sumberdaya di lingkungan SPI UB -
Membantu
Top Management
merencanakan, merumuskan,
memantau harapan kepuasan Rektor dan feedback pelanggan lainnya -
Memantau dan melaporkan ketercapaian indikator sasaran mutu minimal dua kali setiap tahun
4. Ketidaksesuaian Mayor adalah apabila ditemukan: - Pelanggaran atas peraturan perundang-undangan - Tidak terdapat elemen system pengendalian internal - Suatu sistem gagal untuk memenuhi satu klausul dari persyaratan system pengendalian internal - Penerapan suatu klausul sangat tidak konsisten - Ketidaksempurnaan penerapan suatu sistem telah mengarah pada ketidakpuasan pelanggan - Tindakan perbaikan yang tidak efektif dan terpantau dalam dua kali audit internal secara berturut-turut.
5. Ketidaksesuaian Minor (ringan), apabila ditemukan: - Suatu ketidaksesuaian dalam memenuhi suatu persyaratan dalam satu elemen SPI atau dokumen referensi lain - Suatu ketidaksesuaian yang diamati dari suatu pengamatan dari satu prosedur organisasi 6. Observation adalah apabila ditemukan: - Ada aspek yang disarankan dapat dikembangkan tetapi kondisi
yang
ada
saat
ini
bukan
ketidaksesuaian dalam sistem mutu.
merupakan
suatu
Ruang Lingkup Semua kegiatan audit internal bidang Teknologi Informasi (TI) yang dilaksanakan di semua bidang terkait dalam penerapan sistem pengawasan internal di UB. Dalam pelaksanaannya, auditor TI mengumpulkan bukti-bukti yang memadai melalui berbagai teknik termasuk survei, interview, observasi dan review dokumentasi (termasuk review source-code bila diperlukan). Bisa jadi bukti-bukti audit yang diambil oleh auditor mencakup bukti elektronis (data dalam bentuk file softcopy). Dalam proses pengumpulan bukti ini ada beberapa cara yang sering dipakai yaitu, audit around computer, audit trought computer dan audit with computer. Jika tingkat pemakaian TI tinggi maka audit yang dominan digunakan adalah audit with computer atau yang biasa disebut dengan teknik audit berbantuan computer atau menggunakan CAAT (Computer Aided Auditing Technique). Teknik ini digunakan untuk menganalisa data, misalnya saja data transaksi penjualan, pembelian, transaksi aktivitas persediaan, aktivitas nasabah, dan lain-lain. Tentunya untuk aspek sekuriti adakalanya auditor dituntut mempunyai keahlian teknis yang cukup memadai untuk menguji keamanan sistem. Standar yang digunakan dalam mengaudit teknologi informasi adalah standar yang diterbitkan oleh ISACA yaitu ISACA IS Auditing Standard. Selain itu ISACA juga menerbitkan IS Auditing Guidance dan IS Auditing Procedure. Guidelines memberikan penjelasan bagaimana auditor dapat memenuhi standar dalam berbagai penugasan audit, dan prosedur memberikan contoh langkah-langkah yang perlu dilalui auditor dalam penugasan audit tertentu sehingga sesuai dengan standar. Bagaimanapun auditor TI harus bisa menggunakan judgement profesional ketika menggunakan guidance dan procedure. Standar yang aplicable untuk audit TI adalah terdiri dari 11 standar yaitu; S1. Audit charter, S2. Audit Independent, S3. Profesional Ethic and
standard, S4.Profesional competence, S5. Planning, S6. Performance of Audit Work, S7. Reporting. S8.Follow-Up Activity, F9. Irregularities and Irregular Act, S10. IT Governance dan S11. Use of Risk Assestment in Audit Planning. IS Auditing Guideline terdiri dari 32 guidance dalam mengaudit TI yang mengcover petunjuk mengaudit area-area penting. IS Audit Procedure terdiri dari 9 prosedur yang menunjukan langkah-langkah yang dilakukan auditor dalam
penugasan
audit
yang
spesifik
seperti
prosedur
melakukan
bagaimana melakukan risk assestment, mengetes intrution detection system, menganalisis firewall dan sebagainya. Jika dibandingkan dengan audit keuangan, maka standar dari Isaca ini adalah setara dengan Standar Profesional Akuntan Publik (SPAP) yaitu menyangkut tata cara bagaimana audit dilakukan. Sedangkan bagaimana kondisi apa yang diaudit diberikan penilaian berdasarkan standar tersendiri yaitu Cobit.
Prosedur Audit Teknologi Informasi Secara umum tahapan dalam audit TI pada prinsipnya sama dengan audit lainnya. Tahap-tahap audit Teknologi Informasi yang umum terdiri dari 5 tahap sebagai berikut : 1. Tahap pra-penugasan Audit. a. Berdasar Rencana Audit Tahunan, proposal audit maupun temuan
awal
audit,
Rektor
meminta
Ketua
SPI
untuk
melaksanakan Audit Teknologi Informasi. b. Ketua SPI mengusulkan Tim Auditor Internal kepada Rektor c. Rektor menetapkan SK pengangkatan Tim Auditor Internal. Tim bertugas selama periode waktu tertentu d. Rapat koordinasi antara Ketua SPI dengan TIM Auditor untuk menentukan jadwal dan menyepakati mekanisme kerja. e. Ketua SPI menetapkan jadwal dan kegiatan audit Teknologi Informasi
2. Tahap Perencanaan Audit a. Mengembangkan Tujuan dan Lingkup Audit b. Menetapkan Tujuan dan Risiko Audit c. Lakukan Survey Pendahuluan d. Mengembangkan Audit Program
3. Tahap Pengujian Struktur Pengendalian Internal Tujuan pengujian SPI adalah untuk mengetahui apakah struktur pengendalian
intern
yang
digariskan
diterapkan
sebagaimana
mestinya atau tidak. Dalam tahap ini auditor dapat menggunakan ‘ COMPUTER ASSITED AUDIT TECHNIQUES’ ( CAAT ) untuk menilai keberadaan
dan
kepercayaan
auditor
terhadap
struktur
pengendalian intern tersebut.
4. Tahap pemeriksaan rinci Tahap audit secara rinci dapat dilakukan jika auditor memutuskan melanjutkan
auditnya.
mendapatkan
Dalam
informasi
lebih
tahap
ini
mendalam
auditnya untuk
berupaya memahami
pengendalian yang diterapkan dalam sistem komputer klien. Auditor harus dapat memperkirakan bahwa hasil audit pada akhirnya harus dapat
dijadikan
sebagai
dasar
untuk
menilai
apakah
struktur
pengendalian intern yang diterapkan dapat dipercaya atau tidak. Kuat atau tidaknya pengendalian tersebut akan menjadi dasar bagi auditor dalam menentukan langkah selanjutnya.
5. Tahap penilaian secara umum atas hasil pengujian. Pada tahapan ini dilakukan analisis total berdasarkan semua datadata yang sudah diperoleh. Analisis ini kemudian dijabarkan dalam bentuk temuan, baik temuan negatif atau temuan positif. Kemudian dibuatlah rekomendasi yang merupakan hasil akhir dari proses audit.
6. Tahap Laporan Audit a. Menyiapkan draft laporan audit b. Mendiskusikan draft dengan pihak manajemen dan meminta tanggapan manajemen atas temuan audit c. Menerbitkan Laporan Akhir Audit
7. Tindak Lanjut Temuan / Rekomendasi Audit Setelah melaporkan temuan dan membuat rekomendasi audit, Auditor IT mengevaluasi berbagai informasi yang relevan dan memastikan tindak lanjut temuan telah dilaksanakan oleh manajemen tepat pada waktunya.
LAMPIRAN: FLOW CHART PROSEDUR AUDIT TEKNOLOGI INFORMASI
Permintaan Audit
Berdasarkan proposal kegiatan atau berdasarkan temuan awal, Rektor meminta Ketua SPI untuk melakukan audit Teknologi Informasi
Usulan Tim Audit
Ketua SPI mengusulkan Tim Auditor Internal kepada Rektor
SK Rektor Tim Audit
Selanjutnya Rektor menetapkan SK pengangkatan Tim Auditor Internal. Tim bertugas selama periode waktu tertentu
Rapat Koordinasi Tim Audit
Rapat koordinasi antara Ketua SPI dengan TIM Auditor untuk menentukan jadwal dan menyepakati mekanisme kerja.
Penetapan Jadwal Proses Audit
Ketua SPI menetapkan jadwal dan kegiatan audit Teknologi Informasi.
TIM Auditor melakukan tahap
Pemeriksaan Pendahuluan
pemeriksaan pendahuluan berdasarkan data-data awal yang diketahui
Pemeriksaan Rinci
TIM Auditor melakukan tahap pemeriksaan rinci dengan mencari data penujang tambahan
Pengujian Kesesuaian
TIM Auditor melakukan tahap pengujian kesesuaian.
Pengujian Kebenaran Bukti
Penilaian dan Hasil
TIM Auditor melakukan Tahap pengujian kebenaran bukti.
TIM Auditor melakukan penilaian secara umum atas hasil pengujian yang dijabarkan dalam bentuk temuan-temuan.
Rekomendasi ke Rektor
TIM Auditor dan Ketua SPI membuat rekomendasi terkait objek audit kepada Rektor
REFERENSI Anonimous, 2005. Praktek Baik Dalam Penjaminan Mutu Pendidikan Tinggi. Direktorat Jenderal Pendidikan Tinggi. Departemen Pendidikan Nasional. Indonesia. Anonimous, 2007. Dokumen AMAI Universitas Brawijaya. Malang. Indonesia. Permendiknas Nomor 16 Tahun 2009 tentang Satuan Pengawasan Intern
