Audit Teknik Sistem
Informasi
Audit teknik sistem informasi adalah proses pengumpulan
dan penilaian bukti – bukti untuk menentukan apakah sistem komputer dapat
mengamankan aset, memelihara integritas data, dapat mendorong pencapaian tujuan
organisasi secara efektif dan menggunakan sumberdaya secara efisien.
Metode Audit
· Audit Planning
1. Tanggung jawab : Piagam audit harus mendefinisikan
misi, tujuan, sasaran audit sistem informasi. Pada tahap ini didefinisikan juga
key performance indicators dan proses evaluasi audit.
2. Kewenangan : Piagam audit harus secara jelas
menyebutkan otoritas yang ditugaskan ke auditor sistem informasi sehubungan
dengan pekerjaan penilaian resiko yang akan dilakukan, hak untuk mengakses
informasi klien, ruang lingkup atau batasan lingkup, fungsi klien dan ekpektasi
audit.
3. Akuntabilitas : Piagam audit harus secara jelas
mendefinisikan garis pelaporan, penilaian kepatuhan, dan tindakan yang
disepakati.
4. Sejumlah alat, khusus untuk membantu auditor berjalan
audit pada database.
· Risk Assessment and Business Process Analysis
Proses kuantifikasi resiko disebut risk assessment.
Penilaian resiko berguna dalam pengambilan keputusan seperti :
1. Fungsi area / bisnis yang diaudit.
2.Sifat, luas dan waktu prosedur audit.
3.Jumlah sumber daya yang akan dialokasikan untuk audit.
· Performance of Audit Work
Dalam pelaksanaan audit standar sistem informasi harus
memberi pengawasan, mengumpulkan bukti audit dan mendokumentasikan pekerjaan
audit. Untuk mencapai tujua tersebut dilalui proses seperti :
1. Membentuk proses penkajian internal dimana karya satu orang
ditinjau oleh orang lain, sebaiknya orang yang lebih senior.
2. Mendapatkan bukti yang cukup, dapat diandalkan dan
relevan untuk diperoleh melalui inspeksi, pengamatan, permintaan, konfirmasi,
dan penghitungan ulang.
3. Mendokumentasika pekerjaan dengan menggambarkan
pekerjaan audit dan bukti audit dikumpulkan untuk mendukung temuan auditor.
Alat Audit
Tujuan dari paduan ini adalah untuk membantu perusahaan
dalam mempersiapkan laporan audit yang dapat dipahami dan didukung dengan
baik yang sesuai dengan persyaratan
standar audit dan Sistem Informasi dan pedoman Audit dan Assurance IS yang
diterbitkan oleh ISACA. Panduan ini juga dirancang untuk membantu memastikan
bahwa ringkasan hasil audit yang dipresentasikan dengan jelas dan laporan audit menyajikan hasil kerja yang dilakukan secara
jelas, ringkas, dan lengkap.
Panduan ini berlaku untuk audit Sistem Informasi yang dilakukan oleh auditor internal,
ekstenal atau pemerintah, walaupun
penekanan yang diberikan pada isi
laporan dapat bervariasi, tergantung pada jenis keterlibatan audit dan oleh
siapa tindakan tersebut dilakukan. Bimbingan juga diberikan pada organisasi
laporan, penulisan, review dan editing, serta presentasi.
REGULASI AUDIT TSI
Dengan dominannya
penggunaan komputer dalam membantu kegiatan operasional diberbagai
perusahaan, maka diperlukan standar-standar kontrol sebagai alat pengendali
internal untuk menjamin bahwa data elektronik yang diproses adalah benar.
Beberapa jenis standar kontrol yaitu:
a)COSO (Comitte
Of Sponsoring Organizationof the treadway commission’s)
Yaitu dibentuk pada tahun 1985 dengan tujuan untuk
menyatukan pandangan dalam komunitas bisnis berkaitan dengan isu-isu seputar
pelaporan keuangan yang mengandung fraud (penggelapan).Tahun 1992, COSO
menyusun dan Menerbitkan Internal Control Integrated Framework yang berisi
rumusan definisi pengendalian intern, pedoman penilaian, serta perbaikan
terhadap sistem pengendalian intern.Tahun 2004, COSO mengembangkan Internal
Control Integrated Framework dengan menambah cakupan tentang manajemen dan strategi resiko yang disebut ERM
(Enterprise Risk Manajement).
Pencapaian tujuan pengendalian intern yang didefenisikan
COSO:
1.Efektifitas
dan efisiensi aktivitas operasi
2.Kehandalan
pelaporan keuangan
3.Ketaatan
terhadap hukum dan peraturan yang berlaku
4.Pengamanan
aset entitas.
b) COBIT (Control
Objectives for Information and Related Technology)
Yaitu alat pengendalian untuk informasi dan tekhnology
terkait dan merupakan standar terbuka yang dikembangkan oleh ISACA melalui ITGI
(Information and Technology Governance Institute)pada tahun 1992. Tujuan dari
COBIT yaitu untuk mengembangkan , melakukan riset dan mempublikasikan suatu
standar teknologi informasi yang diterima umum dan selalu up to date untuk
digunakan dalam kegiatan bisnis sehari-hari.
c) SARBOX
(Sarbanes-Oxley Act)
Yaitu merupakan peraturan yang ditandatangani Presiden
George W.Bush tanggal 30 juli 2012 untuk mereformasi dunia pasarmodal Amerika
Serikat. Tujuan SARBOX yaitu:
1.Meningkatkan akuntabilitas manajemen dengan memastikan
bahwa manajemen akuntan dan pengacara
memiliki tanggung jawab atas informasi keuangan yang menjadi tanggung jawab
mereka.
2.Meningkatkan pengungkapan dengan berusaha untuk
menyatakan bahwa beberapa kejadian kunci dan transaksi luar biasa tidak
mendapatkan pengawasan hanya karena tidak disyaratkan untuk diungkap di publik.
3.Meningkatkan pengawasan rutin yang lebih intensif oleh
SEC.
4.Meningkatkan akuntabilitas akuntan.
d) ISO 17799
Yaitu standar untuk sistem manajemen keamanan informasi meliputi
dokomen kebijakan keamanan informasi, alokasi keamanan informasi
tanggung-jawab,menyediakan semua para pemakai dengan pendidikan dan pelatihan
didalam keamanan informasi, mengembangkan suatu sistem untuk pelaporan
peristiwa keamanan, memperkenalkan virus kendali, mengembangkan suatu rencana
kesinambungan bisnis, mengendalikan pengkopian perangkat lunak kepemilikan,
surat pengantar arsip organisatoris, mengikuti kebutuhan perlindungan data, dan
menetapkan prosedure untuk mentaati kebijakan keamanan.
e) BASEL II
BASEL II dibentuk yaitu sebagai penerapan kerangka
pengukuran bagi risiko kredit, sistem ini mensyaratkan Bank-bank untuk memisahkan eksposurnya ke dalam kelas
yang lebih luas, yang menggambarkan kesamaan tipe debitur(hutang).
STANDAR DAN KERANGKA KERJA
Standar Audit SI tidak lepas dari standar professional
seorang auditor SI. Standar professional adalah ukuran mutu pelaksanaan
kegiatan profesi yang menjadi pedoman bagi para anggota profesi dalam
menjalankan tanggungjawab profesinya.
Standar profesional adalah batasan kemampuan (knowledge,
technical skill and professional attitude) minimal yang harus dikuasai oleh
seseorang individu untuk dapat melakukan kegiatan profesionalnya pada
masyarakat secara mandiri yang aturan-aturannya dibuat oleh organisasi profesi
yang bersangkutan. Beberapa diantaranya adalah:
• ISACA : IT Standards, Guidelines, and Tools and Techniques for Audit and
Assurance and Control Professionals
• IIA : International Professional Practices Framework / IPPF
• IASII : Standar Audit Sistem Informasi
• BI : Standar Pelaksanaan Fungsi Audit Intern Bank / SPFAIB
• BPPT : Framework, Kode Etik & Standar, Pedoman Umum Audit Teknologi
S1 Audit Charter
• Tujuan, tanggung jawab, kewenangan dan akuntabilitas dari fungsi audit
sistem informasi atau penilaian audit sistem informasi harus didokumentasikan
dengan pantas dalam sebuah audit charter atau perjanjian tertulis.
• Audit charter atau perjanjian tertulis harus mendapat persetujuan dan
pengabsahan pada tingkatan yang tepat
dalam organisasi.
S2 Independence
• Professional Independence
• Dalam semua permasalahan yang berhubungan dengan audit, auditor sistem informasi harus independen terhadap auditee
baik dalam sikap maupun penampilan.
• Organisational Independence
• Fungsi audit sistem informasi harus independen tehadap area atau aktivitas
yang sedang diperiksa agar tujuan penilaian audit terselesaikan.
S3 Professional Ethics and Standards
• Auditor sistem informasi harus
tunduk pada kode etika profesi dari ISACA dalam melakukan tugas audit.
• Auditor sistem informasi harus patuh pada penyelenggarakan profesi,
termasuk observasi terhadap standar audit profesional yang dipakai dalam
melakukan tugas audit.
S4 Professional Competence
• Auditor sistem informasi harus seorang
profesional yang kompeten, memiliki
keterampilan dan pengetahuan untuk melakukan tugas audit.
• Auditor sistem informasi harus mempertahankan kompetensi profesionalnya secara
terus menerus dengan melanjutkan edukasi dan training.
S5 Planning
• Auditor sistem informasi harus merencanakan peliputan audit sistem
informasi sampai pada tujuan audit dan tunduk pada standar audit profesional
dan hukum yang berlaku.
• Audit sistem informasi harus membangun dan mendokumentasikan resiko yang
didasarkan pada pendekatan audit.
S6 Performance of Audit Work
• Pengawasan-staff audit sistem informasi harus diawasi untuk memberikan
keyakinan yang masuk akal bahwa tujuan audit telah sesuai dan standar audit
profesional yang ada.
• Bukti-Selama berjalannya audit, auditor sistem informasi harus mendapatkan
bukti yang cukup, layak dan relevan untuk mencapai tujuan audit. Temuan audit
dan kesimpulan didukung oleh analisis yang tepat dan interprestasi terhadap
bukti-bukti yang ada.
• Dokumentasi-Proses audit harus didokumentasikan, mencakup pelaksanaan kerja
audit dan bukti audit untuk mendukung temuan dan kesimpulan auditor sistem
informasi.
S7 Reporting
• Auditor sistem informasi harus menyajikan laporan, dalam pola yang tepat,
atas penyelesaian audit.
• Laporan audit harus berisikan ruang lingkup, tujuan, periode peliputan,
waktu dan tingkatan kerja audit yang dilaksanakan.
• Laporan audit harus berisikan
temuan, kesimpulan dan rekomendasikan serta berbagai pesan, kualifikasi atau
batasan dalam ruang lingkup bahwa auditor sistem informasi bertanggung jawab
terhadap audit.
• Auditor sistem informasi harus memiliki bukti yang cukup dan tepat untuk
mendukung hasil pelaporan.
MANAJEMEN RESIKO
Didalam TSI, hal-hal yang perlu diperhatikan salah
satunya adalah penilaian resiko. Konsep resiko dalam hal ini meliputi ancaman,
kelemahan dan dampak dari penilaian resiko. Ancaman yang sering terjadi salah
satunya adalah adanya kompleksitas dari TSI itu sendiri. Berbagai macam elemen
dan variasi yang terdapat dalam TSI mewarnai perkembangan TSI kedepannya.
Keamanan dan pengendalian TSI dewasa ini menjadi
kelemahan dalam penilaian resiko. Dalam hal ini, kedua hal tersebut menjadi
suatu hal yang patut disorot dan diperhatikan agar dapat berkembang menjadi
semakin baik. Memang hal ini bukan suatu hal yang mudah untuk dapat dilakukan,
namun dengan melakukannya secara bersama-sama, saling menjaga, merawat dan
memeliharanya, niscaya kelemahan ini dapat dikurangi bahkan dihilangkan. Adapun
dampaknya adalah aset yang ada dapat terlindungi.
Tipe-tipe resiko terdiri dari:
1. Resiko pengembangan
2. Resiko Kesalahan
3. Resiko Terhentinya Bisnis
4. Resiko Pengungkapan Informasi
5. Resiko Penggelapan
Proses penilaian resiko dapat dilakukan melalui
tahap-tahap berikut ini:
a. Identifikasi objek (asset) yang akan dilindungi
b. Penentuan ancaman yang dihadapi
c. Menetapkan peluang kejadian
d. Menghitung besarnya dampak dan kelemahan sistem
e. Menilai alat-alat pengamanan yang ada
f. Rekomendasi dan implementasi
Proses perencanaan audit terdiri dari:
a. Penetapan tipe resiko
b. Untuk setiap tipe resiko, ancaman, kelemahan system,
dampak diberi skor/skala tinggi, cukup, rendah atau tidak ada
c. Hitung skor resiko:
Resiko = ancaman x kelemahan x dampak
d. Urutkan resiko berdasarkan skor
e. Kaji ulang dan penyesuaian jika diperlukan
f. Buat rencana audit dengan prioritas resiko
g. Kaji ulang rencana dan penyesuaiannya
h. Laksanakan audit
Proses pemeriksaan Teknologi Sistem Informasi (TSI),
dilakukan melalui tahap-tahap sebagai berikut:
a. Identifikasi spesifikasi sistem
b. Penilaian kompleksitas TSI
c. Penilaian resiko pra pemeriksaan
d. Pemeriksaan around the computer
e. Pemeriksaan through the computer
f. Pemeriksaan keuangan
Sumber:
alfhirosita.blogspot.com/2015/03/dasar-audit-sistem-informasi-informasi.html
http://oktatinoyudha.blogspot.com/2017/10/konsep-metode-dan-regulasi-audit.html
