Audit Teknologi Informasi

AUDIT TEKNOLOGI INFORMASI

Definisi

Audit Teknologi Informasi adalah sebuah kontrol manajemen dalam sebuah teknologi informasi (TI) yang digunakan untuk menjaga data, integritas data dan beroperasi secara efektif untuk mencapai sebuah tujuan dalam sebuah manajemen organisasi. Audit TI pada umumnya disebut sebagai “Pengolahan Data Otomatis (ADP) Audit”.

Ruang Lingkup

Ruang lingkup Audit Sistem Informasi (SI) sebagai audit operasional terhadap fungsi sistem informasi (IT governance), audit objective-nya adalah melakukan assessment terhadap efektifitas, efisiensi, dan ekonomis tidaknya pengelolaan sistem informasi suatu organisasi.

Audit SI dimaksudkan untuk memberikan informasi kepada manajemen puncak agar manajemen mempunyai “a clear assessment” terhadap sistem informasi yang diimplementasikan pada organisasi tersebut. Misalnya, bahwa application software yang ada telah dianalisis dan didesain dengan baik, telah diimplementasikan dengan security features yang memadai.

Perlu dipahami bahwa audit SI tidak harus selalu merupakan penugasan lengkap mencakup seluruh aspek. Penugasan audit SI mungkin mencakup semua, tetapi bisa dengan beberapa variasi, atau beberapa aspek saja: suatu audit mungkin hanya menitikberatkan fokus pada satu aspek saja, atau beberapa aspek yang penting sesuai kebutuhan organisasi tersebut.

Meskipun hakekatnya keseluruhan aspek IT Governance tersebut sesungguhnya penting untuk diaudit dalam rangka peningkatan mutu sistem, namun itu tidak bersifat harus (it is not mandatory). Bisa saja dilakukan penugasan-penugasan audit yang berbeda untuk satu atau beberapa aspek, tidak harus sekali “gebrak” (to do all of them in one assignment). Salah satu alasannya adalah memang kompetensi/keterampilan yang diperlukan bagi auditor untuk setiap aspek tersebut bisa berbeda. Oleh karena itu aspek sebetulnya ada keterkaitan, dan semuanya adalah penting, maka bila dilakukan audit secara terpisah-pisah, manajemen harus mendapat gambaran umum (overview) yang jelas dan terpadu (the overview is critical).

Jadi, terdapat berbagai jenis penugasan audit sistem informasi yang dapat dilaksanakan pada suatu organisasi, misalnya sebagai berikut:

• Untuk mengidentifikasi sistem yang ada (inventory existing systems), baik yang ada pada tiap divisi/unit/departemen ataupun yang digunakan menyeluruh.
• Untuk dapat lebih memahami seberapa besar sistem informasi mendukung kebutuhan strategis perusahaan, operasi perusahaan, mendukung kegaitan operasional departemen/unit/divisi, kelompok kerja, maupun para petugas dalam melaksanakan kegiatannya.
• Untuk mengetahui pada bidang atau area mana, fungsi, kegiatan atau business processes yang didukung dengan sistem serta teknologi informasi yang ada.
• Untuk menganalisis tingkat pentingnya data/informasi yang dihasilkan oleh sistem dalam rangka mendukung kebutuhan para pemakainya.
• Untuk mengetahui keterkaitan antara data, sistem pengolahan dan transfer informasi.
• Untuk mengidentifikasi apakah ada kesenjangan (gap) antara sistem dengan kebutuhan.
• Untuk membuat peta (map) dari information flows yang ada.

Sumber: Buku Fraud & Auditing, 2014

TUJUAN

Tujuan Audit Teknologi Informasi adalah untuk mengevaluasi desain pengendalian internal sistem dan efektivitas. Tidak terbatas pada pada efisiensi dan keamanan protokol, proses pengembangan, dan tata kelola TI. Instalasi kontrol sangat diperlukan, tetapi perlu adanya keamanan protokol yang memadai agar tidak ada pelanggaran keamanan. Dalam lingkungan Sistem Informasi (SI), audit adalah pemeriksaan sistem informasi, input, output, dan pengolahan.

Fungsi utama audit TI ini adalah mengevaluasi sistem untuk menjaga keamanan data organisasi. Audit TI bertujuan untuk mengevaluasi dan menilai resiko untuk menjaga aset berharga dan menetapkan metode untuk meminimalkan resiko tersebut.

ATURAN

·         Ketepatan waktu, Proses dan pemrograman akan terus menerus diperiksa untuk mengurangi resiko, kesalahan dan kelemahan, tetapi masih sejalan dengan analisis kekuatan dan fungsional dengan aplikasi serupa.

·         Sumber Keterbukaan, Membutuhkan referensi tentang audit program yang telah dienskripsi, seperti penanganan open source.

·         Elaborateness, Proses Audit harus berorientasi ke standar minimum. Kebutuhan pengetahuan khusus di satu sisi untuk dapat membaca kode pemrograman tentang prosedur yang telah di enskripsi. Komitmen seseorang sebagai auditor adalah kualitas, skala dan efektivitas.

·         Konteks Keuangan, transparansi berkelanjutan membutuhan klarifikasi apakah perangkat lunak telah dikembangkan secara komersial dan didanai.

·         Referensi Ilmiah Perspektif Belajar, setiap audit harus menjelaskan temuan secara rinci. Seorang auditor berperan sebagai mentor, dan auditor dianggap sebagai bagian dari PDCA = Plan-Do-Check-Act).

·         Sastra-Inklusi, Seorang pembaca tidak boleh hanya mengandalkan hasil dari satu review, tetapi juga menilai menurut loop dari sistem manajemen. Maka dalam manajemen membutuhkan reviewer untuk menganalisa masalah lebih lanjut.

·         Pencantuman buku petunjuk dan dokumentasi, langkah selanjutnya adalah melakukan hal tersebut, baik secara manual dan dokumentasi teknis.

·         Mengidentifikasi referensi untuk inovasi, Aplikasi yang memungkinkan pesan offline dan kontak online, sehingga membutuhkan lebih dari 2 fungsi dalam satu aplikasi.

AKIBAT

Penggunaan TI dapat meningkatkan pengendalian internal dengan menambahkan prosedur pengendalian baru yang dilakukan oleh komputer, dan dengan mengganti pengendalian manual yang dapat terpengaruh oleh kesalahan manusia. Tetapi auditor tidak tidak dapat bergantung pada informasi hanya karena dihasilkan oleh komputer.

1.      Pengaruh Teknologi Informasi dalam Meningkatkan Pengendalian Internal

Beberapa perubahan pengendalian internal yang diakibatkan oleh pengintegritasan TI dalam sistem akuntansi:

·         Pengendalian komputer menggantikan pengendalian manual. Manfaat nyata dari TI adalah kemampuannya untuk menangani seumlah besar transaksi bisnis yang rumit secara murah.

·         Tersedianya informasi yang bermutu tinggi. Aktivitas TI yang kompleks biasanya dikelola secara efektif karena kerumitan itu memerlukan organisasi, prosedur, dan dokumentasi yang efektif.

1.      Menilai Resiko Teknologi Informasi

Selain dapat meningkatkan pengendalian internal perusahaan, TI juga dapat mempengaruhi resiko pengendalian perusahaan secara keseluruhan. Jika sistem TI gagal, orgnisasi dapat lumpuh karena tidak mampu mendapatkan kembali informasi atau menggunakan informasi yang tidak andal karena kesalahan pemrosesan. Resiko khusus pada sistem TI meliputi:

1.      Resiko pada perangkat keras dan data

2.      Jejak audit yang berkurang

3.      Kebutuhan akan pengalaman TI dan pemisahan tugas TI

Meskipun TI memberikan maanfaat yang signifikan, TI menciptakan resiko yang unik dalam melindungi perangkat keras termasuk memunculkan jenis kesalahan baru. Resiko ini meliputi:

·         Ketergantungan pada kemampuan berfungsinya perangkat keras dan lunak.

·         Kesalahan sistematis vs kesalahan acak.

·         Akses yang tidak sah.

·         Hilangnya data.

Salah saji mungkin tidak terdeteksi dengan menungkatnya penggunaan TI akibat hilangnya jejak audit yang nyata, termasuk berkurangnya keterlibatan manusia. Komputer juga menggantikan jenis otorisasi tradisional dalam banyak sistem TI, antar lain:

·         Visitabilitas jejak audit

·         Keterlibatan manusia yang berkurang

·         Tidak adanya otorisasi tradisional

Sistem TI mengurangi pemisahan tugas tradisional (otorisasi, pembukuan, dan penyimpanan) dan menciptakan kebutuhan akan pengalaman TI tambahan.

·         Pemisaha tugas yang berkurang

·         Kebutuhan akan pengalaman TI

1.      Pengendalian Internal Khusus atas TI

Pengendalian umum (general controls) diterapkan pada semua aspek fungsi TI, termasuk administrasi TI, pemisahan tugas TI, pengembangan sistem, keamanan fisik dan online atas akses ke perangkat keras, perangkat lunak, dan data terkait, backup dan perencanaan kontijensi atas keadaan darurat yang tak terduga, serta pengendalian pengendalian perangkat keras.

Pengendalian aplikasi (application controls) berlaku bagi pemrosesan transaksi, seperti pengendalian atas pemrosesan penjualan atau penerimaan kas.

Administrasi fungsi TI. Pengawasan, alokasi sumber daya, dan keterlibatannya dalam setiap keputusan kunci TI memberikan isyarat tentang pentingnya TI. Dalam lingkungan yang kompleks, manajemen dapat menetapkan komite pengendalian TI untuk membantu memantau kebutuhan teknologi organisasi.

Fungsi tugas-tugas TI. Sebagai respons terhadap resiko menggabungkan tanggungjawab penyimpanan tradisional, otorisasi, dan administrasi ke dalam fungsi TI, organisasi yang dikendalikan dengan baik memisahkan tugas-tugas kunci dalam TI. Idealnya tanggung jawab atas manajemen TI, pengembangan sistem, operasi, dan pengendalian data harus dipisahkan sebagai berikut:

·         Manajemen TI. CIO/manajer TI harus bertanggung jawab mengawasi fungsi TI guna memastikan bahwa aktivitasnya telah dilaksanakan sejalan dengan rencana strategis TI.

·         Pengembangan sistem. Analisis sistem yang bertanggung jawab atas keseluruhan perancangan setiap sistem aplikasi, mengkoordinasikan pengembangan dan peralihan ke sistem TI oleh personil TI yang bertanggung jawab memrogram aplikasi, serta personil di luar fungsi TI yang merupakan para pemakai utama sistem itu.

·         Operator komputer bertanggung jawab atas operasi komputer sehari-hari sesuai dengan skedul yang ditetapkan oleh CIO.

·         Pengendalian data. Personil pengendalian input/output data secara independen memverifikasi mutu input dan kelayakan output.

Pengendalian perangkat keras (hardware controls) sudah dipasang dalam peralatan komputer oleh pabrik pembuatannya untuk mendeteksi dan melaporkan kegagalan peralatan. Pengendalian aplikasi dirancang untuk setiap aplikasi perangkat lunak dan dimaksudkan untuk membantu perusahaan memenuhi enam tujuan audit yang terkait dengan transaksi sebelumnya.

Pengendalian input, dirancang untuk memastikan bahwa informasi yang dimasukkan ke dalam komputer sudah diotorisasi, akurat, dan lengkap. Pengendalian input sangat penting karena sebagian besar kesalahan dalam sistem TI diakibatkan oleh kesalahan memasukkan data, sehingga kesalahan input akan menimbulkan kesalahan output tanpa dipengaruhi oleh mutu pemrosesan informasi.

Pengendalian manual yang dianggap penting dalam TI, antara lain:

·         Otorisasi manajemen atas transaksi

·         Penyiapan dokumen sumber input yang memadai

·         Personil yang kompeten

Sedangkan pengendalian yang spesifik untuk TI mencakup:

·         Layar input yang dirancang secara memadai dengan prompt yang telah diformat untuk informasi transaksi.

·         Daftar menu pull-down dri opsi perangkat lunak yang tersedia.

·         Pengujian validasi atas keakuratan input yang dilakukan komputer, seperti validasi nomor pelanggan terhadap file induk pelanggan.

·         Pengendalian input berbasis online atas aplikasi e-commerce di mana pihak eksternal, seperti pelanggan dan pemasok, melaksanakan bagian awal dari penginputan transaksi.

·         Prosedur koreksi kesalahan segera, untuk memberikan pendeteksian awal dan koreksi kesalahan input.

·         Akumulasi kesalahan ke dalam file kesalahan yang selanjutnya ditindaklanjuti oleh personil input data.

Pengendalian pemrosesan, mencegah dan mendeteksi kesalahan ketika data transaksi diproses. Pengendalian pemrosesan aplikasi khusus sering diprogram ke dalam perangkat lunak untuk mencegah, mendeteksi, mengoreksi kesalahan pemrosesan.

Pengendalian output, berfokus pada pendeteksian kesalahan setelah pemrosesan diselesaikan, bukan pada mencegah kesalahan. Pengendalian output yang paling penting adalah riview kelayakan data oleh seseorang yang memahami output itu. Berikut ini pengendalian umum yang dapat mendeteksi kesalahan output:

·         Merekonsiliasi output yang dihasilkan komputer dengan total pengendalian manual

·         Membandingkan jumlah unit yang diproses dengan jumlah unit yang diserahkan untuk pemrosesan.

·         Membandingkan sampel output transaksi dengan dokumen sumber input.

·         Memverifikasi tanggal dan waktu pemrosesan untuk mengidentifikasi setiap pemrosesan yang tidak sesuai urutan.

1.      Dampak TI terhadap Proses Audit

Auditor bertanggung jawab untuk memenugi pengendalian internal, mereka harus mengetahui tentang pengendalian umum dan pengendalian aplikasi, tanpa memperhatikan apakah sistem TI klien kompleks atau sederhana.

1.      Permasalahan pada Lingkungan TI yang Berbeda

·         Masalah pada sistem jaringan

·         Masalah pada sistem database

·         Masalah pada sistem e-commerce

·         Masalah yang timbul ketika klien mengoutsorce TI

Source: Alvin A. Arens, Randal J. Elder, Mark S. Beasley., Auditing dan Jasa Assurance : pendekatan integrasi jilid 1. Penerbit Erlangga, Jakarta. 2008