Resume Materi Silabus
Audit Teknologi Sistem Informasi M1-M5
Disusun oleh:
Nama :
Ayu Rizqy Utami
NPM : 10120213
Kelas : 4KA21
Dosen Pengampu
: Kurniawan B. Prianto S.Kom, S.H, M.M
Mata Kuliah: Audit Teknologi Informasi
SISTEM INFORMASI
UNIVERSITAS GUNADARMA
2024
Poin Pokok Silabus
Bahasan 1
Definisi
Kontrol dan Audit Sistem Informasi
Kontrol
sistem informasi merupakan bagian yang tak dapat dipisahkan dari pengelolaan
sistem informasi, bahkan melaksanakan fungsi yang sangat penting karena
mengamati setiap tahapan daam proses pengelolaan informasi. Ada beberapa
ketrampilan untuk mengelola kontrol sistem informasi, yaitu ;
1. Kemampuan mengontrol kegiatan perencanaan
informasi
2. Kemampuan mengontrol proses transformasi
informasi
3. Kemampuan mengontrol organisasi pelaksana
sistem informasi
4. Kemampuan kegiatan koordinasi
Dengan
kemampuan-kemapuan itu, maka terjamin kelancaran pelaksanaan pengelolaan sistem
informasi Pengendalian sistem informasi adalah keseluruhan kegiatan dalam
bentuk mengamati, membina, dan mengawasi pelaksanaan mekanisme pengelolaan
sistem informasi, khususnya dalam fungsi-fungsi perencanaan informasi,
transformasi, organisasi, dan koordinasi.
Ø
Kontrol Terhadap Pengoperasian Sistem
Kontrol
pengoperasian sistem dimaksudkan untuk mencapai efisiensi dan keamanan. Kontrol
yang memberikan kontribusi terhadap tujuan ini dapat diklasifikasikan menjadi 5
area :
1. Struktur organisasional
Staf
pelayanan informasi diorganisir menurut bidang spesialisasi. Analisis,
Programmer, dan Personel operasi biasanya dipisahkan dan hanya mengembangkan
ketrampilan yang diperlukan untuk area pekerjaannya sendiri.
2. Kontrol perpustakaan
Perpustakaan
komputer adalah sama dengan perpustakaan buku, dimana didalamnya ada
pustakawan, pengumpulan media, area tempat penyimpanan media dan prosedur untuk
menggunakan media tersebut. Yang boleh mengakses perpustakaan media hanyalah
pustakawannya.
3. Pemeliharaan Peralatan
Orang yang
tugasnya memperbaiki computer yang disebut Customer Engineer (CE) / Field
Engineer (FE) / Teknisi Lapangan menjalankan pemeliharaan yang terjadwal / yang
tak terjadwal.
4. Kontrol lingkungan dan keamanan fasilitas
Untuk
menjaga investasi dibutuhkan kondisi lingkungan yang khusus seperti ruang
computer harus bersih keamanan fasilitas yang harus dilakukan dengan penguncian
ruang peralatan dan komputer.
5. Perencanaan disaster
a. Rencana Keadaan darurat
Prioritas
utamanya adalah keselamatan tenaga kerja perusahaan
b. Rencana Backup
Menjelaskan
bagaimana perusahaan dapat melanjutkan operasinya dari ketika terjadi bencana
sampai ia kembali beroperasi secara normal.
c. Rencana Record Penting
Rencana ini
mengidentifikasi file data penting & menentukan tempat penyimpanan kopi
duplikat.
d. Rencana Recovery
Rencana ini
mengidentifikan sumber-sumber peralatan pengganti, fasilitas komunikasi da
pasokan-pasokan.
( Sumber: https://www.academia.edu/17946337/Pengendalian_sistem_informasi
)
Ø
Kontrol
Proses Pengembangan
Tujuan
dari kontrol pengembangan adalah untuk memastikan bahwa CBIS yang
diimplementasikan dapat memenuhi kebutuhan pemakai. Yang termasuk dalam kontrol
pengembangan :
- Manajemen
puncak menetapkan kontrol proyek secara keseluruhan selama fase
perencanaan dengan cara membentuk komite MIS.
- Manajemen
memberitahu pemakai mengenai orientasi CBIS*Manajemen menentukan kriteria
penampilan yang digunakan dalam mengevaluasi operasi CBIS.
- Manajemen
dan bagian pelayanan informasi menyusun disain dan standar CBIS
- Manajemen
dan pelayanan informasi secara bersama-sama mendefinisikan program
pengujian yang dapat diterima
- Manajemen
melakukan peninjauan sebelum instalasi yang dilakukan tepat setelah
penggantian dan secara berkala meninjau CBIS untuk memastikan apakah
ia memenuhi kriteria penampilan.
- Bagian
pelayanan informasi menetapkan prosedur untuk memelihara dan memodifikasi
CBIS dan prosedur yang disetujui oleh manajemen.
Ø
Kontrol
Disain Sistem
Tujuannya untuk memastikan bahwa
disainnya bisa meminimalkan kesalahan, mendeteksi kesalahan dan mengoreksinya.
Kontrol tidak boleh diterapkan jika biayanya lebih besar dari manfaatnya. Nilai
atau manfaat adalah tingkat pengurangan resiko.
I. Permulaan Transaksi (Transaction
Origination)
Perekaman satu elemen data/lebih
pada dokumen sumber
1. Permulaan Dokumentasi Sumber
·
Perancangan
dokumentasi
·
Pemerolehan
dokumentasi
·
Kepastian
keamanan dokumen
2. Kewenangan : Bagaimana entry
data akan dibuat menjadi dokumen dan oleh siapa
3. Pembuatan Input Komputer :
Mengidentifikasi record input yang salah dan memastikan semua data input
diproses
4. Penanganan Kesalahan :
Mengoreksi kesalahan yang telah dideteksi dan menggabungkan record yg telah
dikoreksi ke record entry
5. Penyimpanan Dokumen Sumber :
Menentukan bagaimana dokumen akan disimpan dan dalam kondisi bagaimana dapat
dikeluarkan
II. Entri Transaksi
Entri transaksi mengubah data
dokumen sumber menjadi bentuk yang dapat dibaca oleh computer. Kontrol ono
berusaha untuk menjaga keakuratan data yang akan ditransmisikan ke jaringan
komunikasi atau yang akan dimasukan secara langsung ke dalam computer. Area
kontrolnya meliputi atas:
1. Entri Data
Kontrol dalam bentuk prosedur
tertulis dan dalam bentuk peralatan inputnya sendiri. Dapat dilakukan dengan
proses offline/online
2. Verifikasi Data
·
Key
Verification (Verifikasi Pemasukan) : Data dimasukkan ke sistem sebanyak 2 kali
·
Sight
Verification (Verifikasi Penglihatan) : Melihat pada layar sebelum memasukkan
data ke system
3. Penanganan Kesalahan : Merotasi
record yang telah dideteksi ke permulaan transaksi untuk pengoreksian
4. Penyeimbangan Batch :
Mengakumulasikan total setiap batch untuk dibandingkan dengan total yang sama
yang dibuat selama permulaan transaksi
III. Komunikasi Data
Komputer yang ada dalam jaringan
memberikan peluang resiko keamanan yang lebih besar dari pada computer yang ada
di dalam suatu ruangan. Area control ini terdiri dari:
1. Control pengiriman pesan
2. Control saluran (channel)
komunikasi
3. Control penerimaan pesan
4. Rencana pengamanan datacom
secara menyeluruh
IV. Pemrosesan Komputer
Pada umumnya semua elemen control
pada disain system selalu dikaitkan dengan pemasukan data ke dalam computer.
Area control pada pemrosesan computer terdiri dari:
1. Penangan
Data
2. Penangan
Kesalahan
3. Database
dan Perpustakaan software
Sebagian besar control database
dapat diperoleh melalui penggunanaan system manajemen database.
Audit atau pemeriksaan dalam arti
luas bermakna evaluasi terhadap suatu organisasi, sistem, proses, atau produk.
Audit dilaksanakan oleh pihak yang kompeten, objektif, dan tidak memihak, yang
disebut auditor. Tujuannya adalah untuk melakukan verifikasi bahwa subjek dari
audit telah diselesaikan atau berjalan sesuai dengan standar, regulasi, dan
praktik yang telah disetujui dan diterima.
Audit dari CISA/ Certified
Information Systems Auditor (2013) adalah Systematic process by which a
qualified, competent, independent team or person objectively obtains and
evaluates evidence regarding assertions about a process for the purpose of
forming an opinion about and reporting on the degree to which the assertion is
implemented.”Proses sistematis oleh tim independen atau orang obyektif yang
berkualifikasi dan kompeten untuk memperoleh dan mengevaluasi bukti mengenai
pernyataan tentang proses bertujuan untuk menyatakan pendapat dan melaporkan
sejauh mana pernyataan2 diimplementasikan yang memenuhi kumpulan standar. Dua
definisi mengenai Auditing yang sering dikutip adalah definisi dari America
Accounting dan definisi dari Arens dan kawan-kawan. Kedua definisi tersebut sebagaimana
dikutip oleh Basalamah (2003) tampak berikut ini, Serta kesimpulan yang diambil
dari kedua definisi tersebut.
Auditing adalah suatu proses yang
sistematis mengenai pengolahan dan penilaian bukti secara obyektif yang
berkenaan dengan pernyataan mengenai tindakan-tindakan dan kejadian-kejadian
ekonomi dengan tujuan menentukan tingkat kesesuaian antara pernyataan tersebut
dengan hasil-hasilnya kepada pihak-pihak yang berkepentingan. (American
Accounting Association, Committee on Basic Auditing Consepts, dalam Robetson,
1990) auditing adalah pengumpulan dan dan penilaian bukti mengenai informasi
untuk menentukan dan melaporakan mengenai tingkat kesesuaian antara informasi
tersebut dengan ketentuan yang ditetapkan. Auditing ini harus dilaksanakan oleh
orang yang kompeten dan independen (Aren, Elder dan Beasley, 2003).
Auditing adalah suatu proses
penilaian dan etestasi yang sistematis oleh orang (atau orang-orang) yang
memiliki keahlian dan independen terhadap informasi mengenai aktivitas ekonomi
suatu badan usaha, dengan tujuan untuk menentukan dan melaporkan tingkat
kesesuaian antara informasi tersebut dengan ketentuan yang telah ditetapkan
definisi ini tetap berlaku baik dalam audit terhadap organisasi yang tidak
mengolah datanya dengan menggunakan computer atau audit non PDE ¼ ataupun dalam
audit terhadap auditan yang telah mengolah data bisnis mereka dengan
menggunakan computer atau audit PDE.
Dalam kaitannya dengan jenis-jenis
audit, Basalamah (2003) mengatakan bahwa beberapa penulis menyebutkan jumlah
jenis audit yang berbeda. Sebagaimana menyatakan tiga jenis, sedangkan sebagian
menyatakan empat jenis . berapapun jumlah jenisnya, secara keseluruhan
jenis-jenis audit adalah sebagai berikut (Basalamah, 2003):
1. Audit Finansial (Financial
Audit) atau disebut juga audit extern (external audit) atau audit atas laporan
keuangan (financial statement audit atau financial report audit). Audit ini
dilakukan terhadap catatan-catatan dan system informasi suatu organisasi untuk
menilai perusahaan swasta dilakukan oleh akuntansi public dengan menertibkan
opini, sedangkan untuk badan usaha milik Negara / daerah (BUMN/BUMD) dilakukan oleh bapeka
atau pihak yang lain ditunjuk. Laporan keuangan akan dikatakan wajar
(unqualifield) apabila telah sesuai dengan standar akuntansi diterima umum
(generally accepted accounting principles) yang ada di Indonesia disebut dengan
standar akuntansi keuangan (SAK) dan ditertibkan oleh IAI, Unwualifield opinion
adalah opini yang menunjukan tingkat tertinggi yang diberikan oleh auditor
terhadap laporan keuangan yang diauditnya.
2. Audit operational (oprational
audit) atau yang disebut juga audit kinerja (permormance audit) atau audit
manajemen(manajemen audit) yaitu” suatu reviu atas salah atau bagian dari
prosedur-prosedur dan metode-metode operasi suatu organisasi” (Aren dkk, 2003)
dengan tujuan untuk memberikan rekomendasi mengenai kehematan dan efesiensi
penggunaan suber-sumber daya, efektivitas pencapaian perusahaan” (Robetson,
1990). Sementara itu aren dkk (2003) menyatakan bahwa tujuan dari audit
operational adalah untuk membantu agar organisasi tersebut dapat beroperasi
secara lebih efektif dan efisien.
4. Compliance Audit, yaitu suatu
jenis audit yang bertujuan “untuk menentukan apakah auditan mengikuti
prosedur-prosedur, hokum, atau peraturan –peraturan tertentu yang ditetapkan
oleh otoritas yang lebih tinggi” (Arens dkk, 2003) dimana otoritas disini bisa
dalam bentuk kontroler perusahaan, pemerintah (peraturan perundang-undangan),
mitra perusahaan dalam pelaksanaan kontrak, dan sebagainya. Audit ketaatan ini
pada dasarnya merupakan suatu proses untuk menentukan kesesuaian antara
aktivitas ekonomi suatu organisasi dengan ketentuan yang berlaku. Beberapa
jenis audit dapat diklasifikasikan kedalam audit ini, seperti audit khusus
(special audit atau investigasi) terhadap penyelewengan yang mungkin dilakukan
oleh seseorang, atau audit perpajakan terhadap aktivitas ekonomi wajib pajak
dalam kaitannya dengan kewajiban pajak mereka. Vasarhelyi dan Lin (1990)
menyatakan bahwa audit perpajakan merupakan suatu jenis audit tersendiri yang
bertujuan menilai apakah surat pemberitahuan pajak (SPT) telah dinyatakan sesuai
dengan peraturan perpajakan dan wajar.
Tujuan Audit Sistem Informasi
Tujuan audit sistem informasi menurut Ron Weber (1999:11-13) secara garis besar
terbagi menjadi empat tahap, yaitu:
a. Pengamanan Aset Aset informasi
suatu perusahaan seperti perangkat keras (hardware), perangkat lunak
(software), sumber daya manusia, file data harus dijaga oleh suatu sistem
pengendalian intern yang baik agar tidak terjadi penyalahgunaan aset perusahaan.
Dengan demikian sistem pengamanan aset merupakan suatu hal yang sangat penting
yang harus dipenuhi oleh perusahaan.
b. Menjaga integritas data
Integritas data (data integrity) adalah salah satu konsep dasar sistem
inforamasi. Data memeiliki atribut-atribut tertentu seperti: kelengkapan,
keberanaran, dan keakuratan. Jika integritas data tidak terpalihara, maka suatu
perusahaan tidak akan lagi memilki hasil atau laporan yang beanr bahkan
perusahaan dapat menderita kerugian
c. Efektifitas Sistem Efektifitas
sistem informasi perusahaan melikiki peranan pentigndalam proses pemgambilan
keputusan. Suatu sistem informasi dapat dikatakan efektif bila sistem informasi
tersebut telah sesuai dengan kebutuhan user
d. Efisiensi Sistem Efisiensi
menjadi hal yang sangat penting ketika suatu komputer tidak lagi memilki
kapasitas yang memadai atau harus mengevaluasi apakah efisiensi sistem masih memadai
atau harus menambah sumber daya, karena suatu sistem dapat dikatakan efisien
jika sistem informasi dapat memenuhi kebutuhan user dengan sumber daya
informasi yang minimal.
e. Ekonomis Ekonomis mencerminkan
kalkulasi untuk rugi ekonomi (cost/benefit) yang lebih bersifat kuantifikasi
nilai moneter (uang). Efisiensi berarti sumber daya minimum untuk mencapai
hasil maksimal. Sedangkan ekonomis lebih bersifat pertimbangan ekonomi.
Gambaran Umum Tentang Audit System
Informasi
Dalam kaitannya dengan pentingnya
audit oleh pihak yang independen, guy, Alderman dan winters(1999) menulis
sebagai berikut yang dikutip dari well steet journal edisi 16 maret 1998
menyebutkan bahwa kebutuhan audit ini melibatkan oleh adanya empat faktor yang
mendasarinya, yaitu sebagai berikut :
1.
Kompleksitas
2.
Jarak
3.
Bias dan motif penyaji
4. Konsekuensi
Audit
teknologi informasi
Auditing Teknologi Informasi muncul
seiring dengan pesatnya teknologi informasi. Dimana peranan computer dalam
proses auditing sangat penting. Bahkan sekarang ini mulai dari input, proses,
dan autput setelah banyak yang menggunakan computer atau sudah tidak manual
lagi. Pada dasarnya audit TI dapat dibedakan menjadi dua katagori, yaitu:
a.
Pengendalian Aplikasi(application Control) dan
b. Pengendalian umu (General
Control)
Tujuan pengendalian
umum lebih menjamin integritas data yang terdapat didalam system computer yang
sekaligus meyakinkan integritas program atau aplikasi yang digunakan untuk
melakukan pemerosesan data. Sementara tujuan pengendalian aplikasi dimaksudkan
untuk memastikan bahwa data diinput secara benar kedalam aplikasi, diproses secara
benar, dan terdapat pengendalian yang memadai atas output yang dihasilkan.
Dalam audit teknologi
informasi biasanya pemeriksaan atas pengendalian umum juga dilakukan mengingat
pengendalian umum memiliki kontribusi terhadap efektifitas atas
pengendalian-pengendalian aplikasi. Dalam pelaksanaannya auditor system
informasi mengumpulkan bukti bukti yang memadai melalui berbagai teknik
termasuk survey, interview, obeservasi dan review dokumentasi (termasuk review
source code bila diperlukan). Hal yang unik, bukti-bukti audit yang diambil
oleh auditor biasanya mencangkup pula bukti elektronis (dakta dalam bentuk file
softcopy) biasanya auditor system informasi menerapkan teknik audit berbantuan
computer disebut juga CAAT (Computer Aided AuditingTechnique). Teknik ini
digunakan untuk menganalisa data, misalnya saja data transaksi penjualan,
pembelian, transaksi aktivitas persediaan, aktivitas nasabah dan lain-lain.
Sesuai dengan standar Auditing ISACA (information system Audit and control
Association), salain melakukan pekerjaan lapangan, auditor juga harus menyusun
laporan yang mencangkup tujuan pemeriksaan, sifat dan kedalaman pemeriksaan
yang dilakukan. Laporan ini di tuju dan batasan-batasan distribusi laporan,
laporan juga harus memasukan temuan, kesimpulan, rekomendasi sebagaimana
layaknya laporan audit pada umumnya.
Konsep-konsep Auditing PDE adalah
sebagai berikut:
· Evidence
· Due Audit Care
· Fair Presentation
· Independence dan
· Ethical Conduct
Masing masing konsep ini menempati
posisi yang cukup penting dalam stuktur dari teori auditing.
Audit
Sistem Informasi
Berikut ini adalah yang melatar
belakangi pentingnya Audit SI
a.
Konsekuensi dari hilangnya sumber data
b.
Kemungkinan salah alokasi yang disebabkan keputusan dari data yang tidak benar
c.
Kemungkinan kerusakan komputer manakala sistem komputer tidak terkendali
d.
Nilai yang tinggi dari perangkat keras , perangkat lunak dan personalia
komputer
e.
Biaya yang tinggi dari kerusakan komputer
f.
Kebutuhan terhadap pemeliharaan dan kerahasiaan (privacy) dari setiap pribadi
g.
Kebutuhan terhadap pengendalian dari perkembangan penggunaan komputer.
h.
Memperbaiki pengelolaan teknologi informasi
· Konsep auditing system informasi
1.
Struktur Audit Laporan Keuangan
2.
Ada tiga pendekatan Auditing
a. Auditing Around Computer (audit
Sekitar Komputer)
b. Auditing Throught
Computer(Auditing melalui Komputer)
c. Auditing With Computer (Auditing
dengan Komputer)
· Teknologi Auditing Sistem
Informasi
o Test Data o Integrated Test
Facility
o Parallel Simulation o Audit
Software
o Generalized Audit software o PC
Software
o Embedded Audit Routine
Berbagai
jenis Audit System Informasi
1.
Pendekatan Umum pada Audit System Informasi
2.
Audit Aplikasi System Informasi
3.
Audit Pengembangan System Aplikasi
4.
Audit Pusat Layanan Komputer
Poin Pokok
Silabus Bahasan 2
Motivasi
dan Kebutuhan terhadap Kontrol dan Audit Sistem Informasi
Pengertian
Motivasi
Pengertian
Motivasi Kata Motivasi berasal dari kata Latin “Motive” yang berarti dorongan,
daya penggerak atau kekuatan yang terdapat dalam diri organism yang menyebabkan
organism itu bertindak atau berbuat. Selanjutnya diserap dalam bahasa Inggris
motivation berarti pemberian motiv, penimbulan motiv atau hal yang menimbulkan
dorongan atau keadaan yang menimbulkan dorongan.
Organisasi perlu
melakukan audit sistem
informasi sebagai evaluasi
dan pengendalian terhadap sistem informasi yang digunakan oleh
organisasi, hal ini dilakukan dengan alasan untuk :
1.
Pencegahan terhadap biaya organisasi bila terjadi data yang hilang
2.
Pengambilan keputusan yang salah akibat informasi yang salah
3.
Penyalahgunaan computer untuk kebutuhan diluar organisasi
4.
Adanya nilai dari
yang berharga dari
perangkat keras komputer, perangkat lunak dan
personel
5. Biaya
yang tinggi untuk kerusakan komputer
6.
Kerahasiaan data atau informasi yang dimiliki perusahaan
7.
Pengontrolan pengembangan / evolusi computer
Sedangkan empat
tujuan utama mengapa
perlu dilakukannya audit
sistem informasi yaitu:
1.
Mengamankan assetAsset (aktiva) yang berhubungan dengan instalasi sistem
informasi juga perludilindungi
dengan memasang pengendalian internal.
Perangkat keras bisarusak karena unsur kejahatan ataupun
sebab-sebab lain. Perangkat lunak danisi file data dapat
dicuri. Peralatan pendukung
dapat dihancurkan ataudigunakan untuk tujuan yang tidak
diotorisasi.
2. Menjaga
integritas dataTanpa menjaga integritas data, organisasi tidak dapat
memperlihatkan potretdirinya dengan benar akibatnya, keputusan maupun
langkah-langkah pentingdi organisasi salah sasaran karena tidak didukung dengan
data yang benar.
3. Menjaga
efektivitas sistemUntuk menilai efektivitas
sistem, auditor sistem
informasi harus tahumengenai kebutuhan pengguna sistem atau
pihak-pihak pembuat keputusanyang
terkait dengan layanan
sistem tersebut. Selanjutnya, untuk
menilaiapakah sistem menghasilkan laporan
/ informasi yang
bermanfaat bagipenggunanya, auditor
perlu mengetahui karakteristik user
berikut prosespengambilan
keputusannya.
4. Mencapai
efisiensi sumber dayaSuatu sistem sebagai fasilitas pemrosesan informasi
dikatakan efisien jika iamenggunakan
sumber daya seminimal
mungkin untukmenghasilkan output
yang dibutuhkan. Efisiensi
sistem pengolahan datamenjadi penting apabila tidak ada lagi
kapasitas sistem yang menganggur.
Poin Pokok
Silabus Bahasan 3
Fondasi
Audit Sistem Informasi
Audit sistem informasi atau
Information System Audit disebut juga EDP Audit (Electronc Data Processing
Audit) atau computer audit merupakan suatu proses dikumpulkannya data dan
dievakuasinya bukti untuk menetapkan apakah suatu sistem aplikasi komputerisasi
sudah diterapkan dan menerapkan sistem pengendalian internal yang sudah
sepadan, seluruh aktiva dilindungi dengan baik atau disalahgunakan dan juga
terjamin integritas data, keandalan dan juga efektifitas dan efisiensi
penyelenggaraan informasi berbasis komputer. Audit sistem informasi merupakan
gabungan dari berbagai macam ilmu, antara lain traditional audit, manajemen
sistem informasi, sistem informasi akuntansi, ilmu komputer, dan
behavioral science.
Menurut Ron Weber (2010) audit
sistem informasi adalah proses pengumpulan dan penilaian bukti–bukti untuk
menentukan apakah sistem komputer dapat mengamankan aset, memelihara integritas
data, dapat mendorong pencapaian tujuan organisasi secara efektif dan
menggunakan sumberdaya secara efisien. Beberapa aspek yang diperiksa pada audit
sistem informasi seperti efektifitas, efisiensi, availability system,
reliability, confidentiality, dan integrity, aspek security, audit atas proses,
modifikasi program, audit atas sumber data, dan data file.
Faktor-faktor
yang mendorong pentingnya kontrol dan audit sistem informasi (Weber, 2006)
adalah :
·
Mendeteksi
agar komputer tidak dikelola secara kurang terarah.
·
Mendeteksi
resiko kehilangan data.
·
Mendeteksi
resiko pengambilan keputusan yang salah akibat informasi hasil proses sistem
komputerisasi salah/lambat/tidak lengkap.
·
Menjaga
aset perusahaan karena nilai hardware, software dan personil yang lazimnya
tinggi.
·
Mendeteksi
resiko error komputer.
·
Mendeteksi
resiko penyalahgunaan komputer (fraud).
·
Menjaga
kerahasiaan
·
Meningkatkan
pengendalian evolusi penggunaan computer
Tujuan
audit sistem informasi menurut Ron Weber secara garis besar yaitu:
·
Pengamanan
Aset. Aset informasi suatu perusahaan seperti perangkat keras (hardware),
perangkat lunak (software), sumber daya manusia, file data harus dijaga oleh
suatu sistem pengendalian internal yang baik agar tidak terjadi penyalahgunaan
aset perusahaan. Dengan demikian sistem pengamanan aset merupakan suatu hal
yang sangat penting yang harus dipenuhi oleh perusahaan.
·
Menjaga
Integritas Data. Integritas data (data integrity) adalah salah satu konsep
dasar sistem informasi. Data memiliki atribut-atribut tertentu seperti:
kelengkapan, kebenaran, dan keakuratan. Jika integritas data tidak terpelihara,
maka suatu perusahaan tidak akan lagi memilki hasil atau laporan yang benar
bahkan perusahaan dapat mengalami kerugian.
·
Efektifitas
Sistem. Efektifitas sistem informasi perusahaan memiliki peranan penting dalam
proses pengambilan keputusan. Suatu sistem informasi dapat dikatakan efektif
bila sistem informasi tersebut telah sesuai dengan kebutuhan user.
·
Efisiensi
Sistem. Efisiensi menjadi hal yang sangat penting ketika suatu komputer tidak
lagi memilki kapasitas yang memadai atau harus mengevaluasi apakah efisiensi
sistem masih memadai atau harus menambah sumber daya, karena suatu sistem dapat
dikatakan efisien jika sistem informasi dapat memenuhi kebutuhan user dengan
sumber daya informasi yang minimal.
Tujuan
Audit Sistem Informasi dapat dikelompokkan ke dalam dua aspek utama dari
ketatakelolaan IT, yaitu :
1.
Conformance(Kesesuaian) – Pada
kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan
atas aspek kesesuaian, yaitu : Confidentiality (Kerahasiaan), Integrity (Integritas), Availability (Ketersediaan)
dan Compliance (Kepatuhan).
2.
Performance(Kinerja) – Pada kelompok
tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas
aspek kinerja, yaitu : Effectiveness (Efektifitas), Efficiency (Efisiensi), Reliability (Kehandalan).
Adapun
tujuan yang lain adalah :
·
Untuk
memeriksa kecukupan dari pengendalian lingkungan, keamanan fisik, keamanan
logikal serta keamanan operasi sistem informasi yang dirancang untuk melindungi
piranti keras, piranti lunak dan data terhadap akses yang tidak sah,
kecelakaan, perubahan yang tidak dikehendaki.
·
Untuk
memastikan bahwa sistem informasi yang dihasilkan benar-benar sesuai dengan
kebutuhan sehingga bisa membantu organisasi untuk mencapai tujuan strategis.
Dalam
melaksanakan Audit sistem informasi, seorang auditor harus memastikan
tujuan-tujuan berikut ini terpenuhi.
·
Perlengkapan
keamanan melindungi perlengkapan komputer, program, komunikasi, dan data dari
akses yang tidak sah, modifikasi, atau penghancuran.
·
Pengembangan
dan perolehan program dilaksanakan sesuai dengan otorisasi khusus dan umum dari
pihak manajemen.
·
Modifikasi
program dilaksanakan dengan otorisasi dan persetujuan pihak manajemen.
·
Pemrosesan
transaksi, file, laporan, dan catatan komputer lainnya telah akurat dan
lengkap.
·
Data
sumber yang tidak akurat. atau yang tidak memiliki otorisasi yang tepat
diidentifikasi dan ditangani sesuai dengan kebijakan manajerial yang telah
ditetapkan.
·
File
data komputer telah akurat, lengkap, dan dijaga kerahasiaannya.
Ada
Tiga Pendekatan Auditing yaitu :
·
Auditing
Around Computer (Audit Sekitar Komputer) yaitu dimana penggunaan komputer pada
tahap proses diabaikan.
·
Auditing
Throught Computer (Auditing Melalui Komputer) yaitu dimana pada tahap proses
penggunaan komputer telah aktif.
·
Auditing
With Computer (Auditing Dengan Komputer) yaitu dimana input, proses dan output
telah menggunakan komputer.
(Sumber:
https://accounting.binus.ac.id/2019/06/10/memahami-audit-sistem-informasi/ )
Audit
sistem informasi adalah proses pengumpulan dan penilaian bukti-bukti untuk
menentukan apakah sistem komputer dapat mengamankan aset, memelihara integritas
data, dapat mendorong pencapaian tujuan organisasi secara efektif dan
menggunakan sumberdaya secara efisien dan pengendalian dari sistem informasi
merupakan bagian penting dari audit sistem informasi karenanya diperlukan
pemahaman yang lebih dalam tentang bagaimana perbandingan sistem manual dengan
sistem informasi.
Jenis
Pengendalian dalam Sistem Informas dalam Audit SI
Pengendalian
pada sistem informasi secara umum diklasifikasikan menjadi dua bagian besar.
1.
Pengendalian Umum Adalah pengendalian yang mengatur lingkungan di mana sistem
informasi dibangun, dikembangkan, dipelihara, dan dioperasikan. Pengendalian
yang mencakup standar pembangunan dan pengembangan sistem yang dioperasikan
oleh organisasi, pengendalian yang berlaku untuk pengoperasian instalasi komputer
termasuk didalamnya perangkat keras, perangkat lunak, teknologi jaringan dan
semua bagian yang berhubungan dengan sistem berbasis komputer.
2.
Pengendalian aplikasi atau sistem informasi, baik manual dan terkomputerisasi,
dalam aplikasi bisnis untuk memastikan data tersebut diproses secara lengkap,
akurat, dan tepat waktu. Kontrol aplikasi biasanya khusus untuk aplikasi bisnis
dan termasuk:
a.
Kontrol input seperti validasi dan batching data. Proses sebuah sistem dimulai
pada aktivitas input data untuk kemudian diolah oleh sistem. Input data perlu
serangkaian proses validasi yang harus dilaksanakan untuk dapat menggunakan
sistem seperti memasukkan user id dan password jika menggunakan layar komputer
atau keyboard sebagai media inputnya. Proses yang berbeda jika sistem
menggunakan alat yang berbeda sebagai media input sebagai contoh finger scanner
atau RFID (Radio Frequnce Identification) atau QRcode. Kesimpulannya
pengendalian sistem informasi bergantung pada device yang digunakan. Yang kedua
terkait dengan batching data yang tersimpan dalam sistem harus melalui
serangkaian proses validasi untuk memastikan bahwa data yang akan disimpan
sudah mengikuti ketentuan yang ada.
b.
Pengendalian run-to-run untuk memeriksa total file pada masukan (input), proses
(process) dan keluaran (output) dari sistem yang digunakan. Pengendalian pada
bagian ini sangat penting untuk memastikan secara kuantitas file yang digunakan
tidak mengalami pengurangan saat proses dilakukan. Pengurangan yang dimaksud
adalah informasi yang dihasilkan tidak valid karena mengalami kesalahan saat
pemrosesan berlangsung, misalnya salah perhitungan yang disebabkan kesalahan
pemrograman komputer.
Pada
akhirnya proses audit adalah menentukan apakah sistem aplikasi berfungsi
sebagaimana mestinya, integritas, akurasi, dan kelengkapan data terkontrol
dengan baik, dan melaporkan setiap perbedaan yang signifikan. Integritas data
bergantung pada kecukupan kontrol aplikasi. Namun, kontrol aplikasi sepenuhnya
bergantung pada integritas kendali umum atas lingkungan di dalamnya yang mana
aplikasi dikembangkan dan dijalankan. Proses audit sering mengambil posisi yang
cukup ketergantungan pada kontrol di sekitar komputer, yaitu dalam kontrol
aplikasi atau sistem informasi karena auditor berkonsentrasi pada input dan
output dari komputer, bukan apa yang terjadi pada komputer. Dengan penyebaran
kerja online dan real time, dan dari meningkatnya kapasitas penyimpanan yang
fleksibel, semua data organisasi biasanya dimuat secara permanen di sistem
komputer dan dapat diakses dari berbagai tempat, dengan hanya melakukan kontrol
terhadap perangkat lunak sistem yang mengendalikan akses ke data. Sistem ini secara
teknis meningkatkan kompleksitas namun potensi untuk memanfaatkan kelemahan
yang ada juga meningkat.
Poin Pokok
Silabus Bahasan 4
Jenis audit: audit internal, audit
system informasi, audit kecurangan (fraud), eksternal audit/audit keuangan,
audit internal
Jenis-jenis
Audit Sistem Informasi
Audit
sistem informasi dapat digolongkan dalam tipe atau jenis-jenis audit sebagai
berikut.
Ø
Audit
Laporan Keuangan (Financial Statement Audit)
Audit yang dilakukan untuk mengetahui
tingkat kewajaran laporan keuangan yang disajikan oleh perusahaan (apakah
sesuai dengan standar akuntansi keuangan serta tidak menyalahi uji
materialitas). Apabila sistem akuntansi organisasi yang di audit merupakan
sistem akuntansi berbasis komputer, maka dilakukan audit terhadap sistem
informasi akuntansi apakah proses/mekanisme sistem dan program komputer telah
sesuai, pengendalian umum sistem memadai dan data telah substantif.
(Sumber: https://osf.io/xzecv/download )
Ø .Audit Operasional (Operational
Audit)
Audit terhadap aplikasi komputer
terbagi menjadi tiga jenis, antara lain:
1.
Post
implementation Audit (Audit setelah implementasi) Audit ini dilakukan untuk
memeriksa apakah sistem aplikasi komputer yang telah diimplementasikan pada
suatu organisasi atau perusahaan telah efektif sesuai dengan kebutuhan pengguna
dan telah dijalankan dengan sumber daya yang efisien. Auditor mengevaluasi
apakah sistem aplikasi tertentu perlu dimodifikasi atau bahkan dihentikan
karena sudah tidak sesuai kebutuhan atau mengandung kesalahan.
2.
Concurrent
Audit (Audit secara bersama) Audit ini dilakukan oleh auditor yang menjadi
anggota dalam tim pengembangan sistem. Mereka membantu tim dalam meningkatkan
kualitas pengembangan sistem yang dibangun oleh para sistem analis, desainer,
dan programmer dan akan diimplementasikan. Auditor dalam hal ini mewakili
pimpinan proyek dan manajemen sebagai quality assurance.
3.
Concurrent
Audits (Audit secara bersama-sama) Audit ini dilakukan oleh auditor untuk
mengevaluasi kinerja unit fungsional atau fungsi sistem informasi
(pusat/instalasi komputer) apakah telah dikelola dengan baik, apakah kontrol
dalam pengembangan sistem secara keseluruhan sudah dilakukan dengan baik, dan
apakah sistem komputer telah dikelola dan dioperasikan dengan baik.
(
Sumber: https://fikti.umsu.ac.id/audit-sistem-informasi-pengertian-tujuan-jenis-dan-tahapan/
)
Ø Audit
Kepatuhan
Audit
kepatuhan adalah jenis kegiatan audit yang bertujuan untuk menilai sejauh mana
unit kerja dalam perusahaan menjalankan tugasnya sesuai dengan aturan dan
prosedur yang telah ditetapkan oleh perusahaan. Audit ini bertujuan untuk
memastikan bahwa karyawan dan departemen mematuhi peraturan perusahaan, serta
peraturan eksternal yang berlaku.
(
Sumber: https://startupstudio.id/tiga-jenis-audit-internal-dalam-perusahaan/
)
Ø Audit
Kecurangan
Kecurangan atau
penipuan (selanjutnya disebut “Fraud”) didefinisikan dalam
Webster’s New Worls Dictionarysebagai
"penipuan yang disengaja
untuk menyebabkan seseorang
menyerahkan properti atau hak yang sah." Definisi lain dari
sisi hukum (legal
definition), fraud juga
dapat ditemukan dalam kasus
hukum di pengadilan.
Salah satu contoh dari
definisi semacam itu
adalah "Sebuah istilah umum,
mencakup semua cara
yang beraneka ragam
yang dapat dirancang oleh
kecerdikan manusia, dan
yang digunakan oleh seorang
individu untuk mendapatkan keuntungan dari
yang lain dengan
saran palsu dengan menekan kebenaran
dan mencakup semua
kejutan, tipuan, kelicikan, menyembunyikan, dan setiap cara yang tidak
adil yang digunakan orang
lain untuk ditipu."
Fraud biasanya disebut juga
sebagai tindakan yang
disengaja dilakukan untuk merugikan
orang lain, mengamankan
keuntungan yang tidak adil
atau melanggar hukum
(Rezaee & Riley, 2010). Securities Exchange
Commision, Amerika Serikat
(US-SEC) memiliki definisi
fraud tersendiri yang
berlaku untuk transaksi yang
melibatkan sekuritas.
·
Metodologi Audit Kecurangan
Metodologi yang
digunakan dalam penilaian
resiko kecurangan khususnya dalam
ruang lingkup audit
atas laporan keuangan dapat
menggunakan panduan yang diterbitkan oleh
IFAC Audit Guide
bahwa dalam prosedur penaksiran resiko kecurangan, audit
teamharus mengindentifikasikan risiko–risiko kecurangan secara
bersama-sama ke dalam
eleman-elemen fraud
triagle. Risiko-risiko yang
telah diklasifikasikan ke
dalam elemen-eleman fraud triagle
nantinya akan dinilai
tingkat signifikasinya
berdasarkan professional judgment. Prosedur penaksiran risiko
kecurangan (Fraud Risk
assessment Procedure)
dilakukan dengan tahapan-tahapan sebagai berikut yaitu:
a.Audit Team Discussion adalah mengenai
informasi yang di peroleh anggota tim
audit untuk memperolah
suatu keyakinan yang terintegrasi mengenai
faktor risiko kecurangan yang
mengkin terjadi;
b.Identification of
Fraud Risk Factor
merupakan proses
mengidentifikasi faktor risiko kecurangan yang dilakukan.
·
Fraud Data Analytics (FDA)
FDA Adalah
suatu kombinasi teknologi
analitik dan teknik fraud
detection yang akan
membantu mendeteksi
kemungkinan transaksi yang
tidak tepat seperti
penipuan atau penyuapan baik
sebelum transaksi dilakukan
atau setelah transaksi dilakukan
·
FDA
Metodology
(Sumber:
https://repository.penerbiteureka.com/publications/563051/audit-kecurangan-dan-forensik
)
Ø Audit
Internal
Suatu
fungsi penilai yang independen yang ditetapkan (estabilished) dalam suatu
organisasi untuk menguji dan mengevaluasi efektifitasnya sebagai pelayanan
kepada oraganisasi tersebut. Tujuannya adalah untuk membantu para anggota
organisasi tersebut dalam menjalankan kewajiban mereka secara efektif . pada
akhirnya audit internal memberikan pelayanan kepada mereka secara efektif. Pada
akhirnya audit internal memberikan pelayanan kepada mereka dalam bentuk
analisis, penilaian, rekomendasi, konseling, dan informasi yang berkaitan
dengan aktivitas-aktivitas yang dievaluasi” ( The Institue of Internal
Auditors, dalam Robertson, 1990) Menurut Robertson, audit operasional adalah
bagian dari audit internal.
Ø
Audit
Eksternal
Audit eksternal adalah proses
pemeriksaan dan evaluasi terhadap keandalan laporan keuangan suatu perusahaan
oleh seorang auditor atau sebuah lembaga audit yang independen dari perusahaan
tersebut.
Tujuan dari audit eksternal adalah
untuk memberikan opini atau saran mengenai keandalan laporan keuangan
perusahaan tersebut, sehingga dapat memberikan kepercayaan kepada pihak-pihak
yang berkepentingan terhadap laporan tersebut. Audit eksternal dilakukan dengan
cara mengumpulkan bukti-bukti yang cukup dan relevan, menilai kecukupan dan
keandalan bukti tersebut, serta memberikan opini atas laporan keuangan
perusahaan.
(Sumber: https://www.asdf.id/audit-eksternal-adalah-ini-penjelasannya/
)
·
Perbedaan Audit Internal dan Audit Eksternal
Ada perbedaan yang sangat mendasar
antara audit internal dengan audit eksternal. Berikut tabel perbedaannya
(
Sumber: https://startupstudio.id/tiga-jenis-audit-internal-dalam-perusahaan/
)
Poin Pokok
Silabus Bahasan 5
Ruang
Lingkup Audit Sistem Informasi
Ruang
lingkup Audit Sistem Informasi (SI) sebagai audit operasional terhadap fungsi
sistem informasi (IT governance), audit objective-nya adalah melakukan
assessment terhadap efektifitas, efisiensi, dan ekonomis tidaknya pengelolaan
sistem informasi suatu organisasi. Audit SI dimaksudkan untuk memberikan
informasi kepada manajemen puncak agar manajemen mempunyai “a clear assessment”
terhadap sistem informasi yang diimplementasikan pada organisasi tersebut.
Misalnya, bahwa application software yang ada telah dianalisis dan didesain
dengan baik, telah diimplementasikan dengan security features yang memadai.
Perlu dipahami bahwa audit SI tidak harus selalu merupakan penugasan lengkap
mencakup seluruh aspek. Penugasan audit SI mungkin mencakup semua, tetapi bisa
dengan beberapa variasi, atau beberapa aspek saja: suatu audit mungkin hanya
menitikberatkan fokus pada satu aspek saja, atau beberapa aspek yang penting
sesuai kebutuhan organisasi tersebut. Meskipun hakekatnya keseluruhan aspek IT
Governance tersebut sesungguhnya penting untuk diaudit dalam rangka peningkatan
mutu sistem, namun itu tidak bersifat harus (it is not mandatory). Bisa saja
dilakukan penugasan-penugasan audit yang berbeda untuk satu atau beberapa aspek,
tidak harus sekali “gebrak” (to do all of them in one assignment). Salah satu
alasannya adalah memang kompetensi/keterampilan yang diperlukan bagi auditor
untuk setiap aspek tersebut bisa berbeda. Oleh karena itu aspek sebetulnya ada
keterkaitan, dan semuanya adalah penting, maka bila dilakukan audit secara
terpisah-pisah, manajemen harus mendapat gambaran umum (overview) yang jelas dan
terpadu (the overview is critical).
Jadi,
terdapat berbagai jenis penugasan audit sistem informasi yang dapat
dilaksanakan pada suatu organisasi, misalnya sebagai berikut: Untuk
mengidentifikasi sistem yang ada (inventory existing systems), baik yang ada
pada tiap divisi/unit/departemen ataupun yang digunakan menyeluruh. Untuk dapat
lebih memahami seberapa besar sistem informasi mendukung kebutuhan strategis
perusahaan, operasi perusahaan, mendukung kegaitan operasional
departemen/unit/divisi, kelompok kerja, maupun para petugas dalam melaksanakan
kegiatannya. Untuk mengetahui pada bidang atau area mana, fungsi, kegiatan atau
business processes yang didukung dengan sistem serta teknologi informasi yang
ada. Untuk menganalisis tingkat pentingnya data/informasi yang dihasilkan oleh
sistem dalam rangka mendukung kebutuhan para pemakainya. Untuk mengetahui
keterkaitan antara data, sistem pengolahan dan transfer informasi. Untuk
mengidentifikasi apakah ada kesenjangan (gap) antara sistem dengan kebutuhan.
(
Sumber: https://osf.io/gn7u2/download )
Ruang
Lingkup Audit Sistem Informasi
Audit
sistem informasi untuk mengevaluasi sistem, praktik dan operasi dapat juga termasuk
satu atau dua hal berikut ini:
· Penilaian terhadap
kontrol internal termasuk
di dalamnya lingkungan teknologi informasi
untuk menilai validitas,
reliabiltas dan keamanan
dari informasi
·Penilaian terhadap
efisiensi dan efektivitas
dari lingkungan teknologi informasi dalam hubungan ekonomi
Selain
itu, ruang lingkup sistem informasi juga terdapat sebagai berikut:
·
Mengidentifikasi
sistem yang ada
·
Memahami
seberapa besar sistem informasi mendukung kebutuhan strategis organisasi dan
operasional organisasi
·
Mengetahui
pada bidang atau area mana, fungsi, kegiatan atau business processes yang
didukung dengan sistem informasi.
·
Menganalisis
tingkat pentingnya data/informasi yang dihasilkan oleh sistem dalam rangka
mendukung kebutuhan para pemakainya.
·
Mengetahui
keterkaitan antara data, sistem pengolahan dan transfer informasi.
·
Mengidentifikasi
apakah ada kesenjangan (gap) antara sistem dengan kebutuhan.
·
Membuat
peta (map) dari information flows yang ada
(
Sumber: https://sif.uin-suska.ac.id/wp-content/uploads/2024/02/P1-P3-Pengantar-Audit-TI-UIN.pdf )
Ruang
lingkup audit, termasuk didalamnya area audit fungsional, periode audit yang
tercakup, dan sistem informasi, aplikasi, atau lingkungan proses yang diaudit.
Perubahan
ruang lingkup / waktu audit, perubahan ruang lingkup menjadi masalah yang
sering terjadi ketika saat proses audit berjalan ditemukan hal yang saling
berkaitan antara satu bagian dengan bagian lainnya sehingga secara tidak
langsung memperluas lingkup dan waktu pelaksanaan audit.
(Sumber:
https://pustaka.ut.ac.id/lib/wp-content/uploads/pdfmk/MSIM4305-M1.pdf )
Poin Pokok
Silabus Bahasan 6
Jenis-jenis
Kontrol dan Audit Sistem Informasi
1. Kontrol Keamanan Fisik
Kontrol
keamanan fisik meliputi semua perangkat keras komputer termasuk CPU dan semua
perangkat periferal. Dalam sistem jaringan, perangkat ini mencakup semua bridge,
router, gateway, sakelar, modem, hub, media telekomunikasi, dan perangkat lain
yang digunakan dalam transmisi fisik data. Peralatan ini harus dilindungi
secara memadai dari kerusakan fisik akibat bencana alam, seperti gempa bumi,
angin topan, tornado, dan banjir, serta bahaya lainnya, seperti pemboman,
kebakaran, lonjakan listrik, pencurian, vandalisme, dan gangguan lainnya.
Kontrol
yang melindungi dari ancaman ini disebut kontrol keamanan fisik. Contoh kontrol
keamanan fisik mencakup berbagai jenis perlindungan (misalnya, kunci
konvensional, akses elektronik, biometrik, password); perlindungan asuransi
atas perangkat keras dan biaya untuk membuat ulang data; prosedur untuk
melakukan pencadangan harian perangkat lunak sistem, program aplikasi, dan
data; serta penyimpanan atau backup. Dalam proses audit sistem informasi
terkait dengan hardware harus meliputi beberapa proses untuk memastikan semua
proses dari mulai pengadaan perangkat keras dari supplier hingga pembuangan
perangkat keras ketika sudah habis umur ekonomisnya memenuhi standard keamanan
perusahaan. Berikut ini adalah tahapantahapan yang harus dilakukan untuk
melindungi keamanan data yang berhubungan dengan perangkat keras.
a.
Perencanaan, yaitu kegiatan membuat rencana semua kegiatan yang dilakukan selama
kegiatan audit sistem informasi.
b.
Acquisistion adalah kegiatan menganalisis sumber perangkat keras yang digunakan
oleh perusahaan untuk mendukung sistem informasi yang digunakan oleh
perusahaan.
c.
Implementation adalah kegiatan memahami dan mengawasi instalasi perangkat keras
yang digunakan untuk mendukung sistem informasi perusahaan.
d.
Maintenance adalah kegiatan memahami proses pemeliharaan perangkat keras yang
digunakan untuk mendukung sistem informasi perusahaan.
e. Disposal
adalah kegiatan mengetahui kegiatan pembuangan perangkat keras pendukung sistem
informasi perusahaan yang sudah tidak digunakan lagi.
Proses
audit sistem informasi yang berhubungan dengan perangkat keras fokus pada 4
hal.
a.
Efektivitas dan efisiensi penggunaan aset perangkat keras. Efektivitas dan
efisiensi pada biaya dan manfaat dari perangkat keras yang digunakan artinya
biaya atau harga dari perangkat keras yang dibeli harus berdasarkan manfaat
yang dihasilkan sehingga tercipta efektivitas dan efisiensi yang tinggi.
b.
Sistem keamanan sebagai perlindungan aset perangkat keras. Sistem pengamanan
aset perangkat keras meliputi lokasi atau gedung tempat penyimpanan dan semua
sub sistem di dalamnya seperti tenaga keamanan, pendukung jika terjadi bencana
alam termasuk backup data pada lokasi yang berbeda
c. Ketersediaan penggunaan perangkat keras
bagi pihak yang berwenang merupakan salah satu hal penting sehingga penggunaan
perangkat keras dapat ditelusuri penggunaannya, jika terdapat kerusakan atau
penyalahgunaan dapat dengan mudah ditindak lanjuti.
d.
Pemeliharaan aset perangkat keras secara terintegrasi menekankan pada kondisi
dimana penggunaan aset perangkat keras tidak berdiri sendiri artinya penggunaan
perangkat keras berhubungan satu dengan lainya. Oleh karena itu pemeliharaan
perangkat keras harus dilakukan secara terpadu.
2.
Kontrol
Keamanan Logis
Kontrol keamanan logis adalah
perlindungan keamanan atas sistem komputasi secara memadai dari akses yang
tidak sah dan kerusakan yang tidak disengaja atau disengaja atau perubahan
program perangkat lunak sistem, program aplikasi, dan data. Perlindungan dari
ancaman ini dilakukan melalui penerapan kontrol keamanan logis. Kontrol
keamanan logis adalah kontrol yang membatasi kapabilitas akses pengguna sistem
dan mencegah pengguna yang tidak berwenang mengakses sistem. Kontrol keamanan
logis ada di dalam sistem operasi, sistem manajemen database, program aplikasi,
atau ketiganya.
Jumlah dan jenis kontrol keamanan
logis yang tersedia bervariasi dengan setiap sistem operasi, sistem manajemen
basis data, aplikasi, dan banyak jenis perangkat telekomunikasi. Beberapa
dirancang dengan berbagai pilihan kontrol keamanan logis dan parameter yang
tersedia untuk administrator keamanan sistem. Ini termasuk ID pengguna, kata
sandi dengan persyaratan panjang minimum dan jumlah digit dan karakter yang
diperlukan, penangguhan ID pengguna setelah upaya masuk yang gagal
berturut-turut, pembatasan akses direktori dan file, pembatasan waktu dan hari,
dan pembatasan penggunaan terminal. Sistem operasi dan aplikasi lain dirancang
dengan sedikit pilihan kontrol. Untuk sistem ini, kontrol keamanan logis sering
ditambahkan sebagai alternatif saja, mengakibatkan pengaturan kontrol yang
lebih lemah daripada yang diinginkan, bahkan ketika pembatasan akses maksimum
yang tersedia telah diterapkan.
Banyak sistem diprogram dengan
kontrol yang sepadan dengan tingkat risiko yang terkait dengan fungsi yang
dilakukan oleh sistem. Namun, waspadalah terhadap sistem berisiko tinggi dengan
kontrol yang buruk. Banyak sistem berisiko tinggi telah diprogram dengan fitur
kontrol yang tidak memadai atau memiliki fitur kontrol yang memadai, tetapi
fitur tersebut tidak diimplementasikan secara memadai. Masalah dapat terjadi
ketika pemrogram dan/ atau pemilik proses tidak menyadari satu atau lebih
risiko signifikan yang dihadapi organisasi selama penggunaan sistem.
(Sumber:
https://pustaka.ut.ac.id/lib/wp-content/uploads/pdfmk/MSIM4305-M1.pdf )
Control
Audit Sistem Informasi Control Audit Sistem Informasi terdiri dari :
a.
Kontrol lingkungan (Environmental controls)
Pengendalian
lingkungan meliputi hal-hal seperti kebijakan keamanan IS, standar, dan
pedoman; struktur pelaporan dalam lingkungan pemrosesan IS (termasuk operasi
komputer dan pemrograman); kondisi keuangan organisasi dan vendor jasa
b.
Kontrol keamanan fisik (Physical security controls)
Kontrol
keamanan fisik berkaitan dengan perlindungan terhadap perangkat keras komputer,
komponen, dan fasilitas di mana mereka berada.
c.
Kontrol keamanan logis (Logical security controls)
Kontrol
keamanan logis adalah yang telah dikerahkan dalam sistem operasi dan aplikasi
untuk membantu mencegah akses tidak sah dan penghancuran yang disengaja atau
disengaja terhadap program dan data.
d.
Kontrol operasi IS (IS operating controls)
Kontrol
operasi sistem informasi, yang dirancang untuk membantu memastikan bahwa sistem
informasi beroperasi secara efisien dan efektif. Kontrol ini termasuk
penyelesaian tepat waktu dan akurat pekerjaan produksi, distribusi media
output, kinerja cadangan dan prosedur pemulihan, kinerja prosedur pemeliharaan
Preventif
control adalah suatu langkah pencegahan yang diambil sebelum keadaan darurat,
kehilangan, atau masalah terjadi. Ini termasuk pengunaan alarm dan kunci,
pemisahan tugas (untuk mencegah perekam uang tunai dari kas dan mengendalikan
persediaan pesonil dari pengendalian persediaan), ditambah umum lainnya dan
kebijakan-kebijakan otorisasi khusus.
Detective
control adalah sesuatu yang dirancang untuk menemukan kesalahan atau
penyimpangan setelah mereka telah terjadi. Misalnya departemen memeriksa
tagihan telepon untuk panggilan pribadi.
Corrective
control adalah program yang dibuat khusus untuk memperbaiki kesalahan pada data
yang mungkin timbul akibat gangguan pada jaringan, computer ataupun kesalahan
user.
Secara
umum, fungsi dari kontrol adalah untuk menekan kerugian yang mungkin timbul
akibat kejadian yang tidak diharapkan yang mungkin terjadi pada sebuah sistem.
Jenis
Audit
Ø
System
Audit
Audit
terhadap sistem terdokumentasi untuk memastikan sudah memenuhi standar nasional
atau internasional.
Ø
Product
/ Service Audit
Utuk
menguji suatu produk atau layanan telah sesuai spesifikasi yang telah
ditentukan dan cocok digunakan.
Ø
Compliance
Audit
Untuk
menguji efektivitas implementasi darai kebijakan, prosedur, control dan unsur
hukum yang lain.
(Sumber:
https://www.slideshare.net/syulamri/kontrol-dan-audit-sistem-informasi-70889583 )
Poin Pokok
Silabus Bahasan 7
Tujuan
Kontrol dan Audit Sistem Informasi
Tujuan
Kontrol Sistem Informasi
Ø Kontrol
Proses Pengembangan
Tujuan
dari kontrol pengembangan adalah untuk memastikan bahwa CBIS yang
diimplementasikan dapat memenuhi kebutuhan pemakai.
Ø
Kontrol
Desain Sistem
Tujuannya
untuk memastikan bahwa disainnya bisa meminimalkan kesalahan, mendeteksi
kesalahan dan mengoreksinya. Kontrol tidak boleh diterapkan jika biayanya lebih
besar dari manfaatnya. Nilai atau manfaat adalah tingkat pengurangan resiko.
Ø
Kontrol
Pengoperasian Sistem
Kontrol
pengoperasian sistem dimaksudkan untuk mencapai efisiensi dan keamanan. Kontrol
yang memberikan kontribusi terhadap tujuan ini dapat diklasifikasikan menjadi 5
area :
1.
Struktur organisasional
Staf
pelayanan informasi diorganisir menurut bidang spesialisasi. Analisis,
programmer, dan personel operasi biasanya dipisahkan dan hanya mengembangkan
ketrampilan yang diperlukan untuk area pekerjaannya sendiri.
2. Kontrol
perpustakaan
Perpustakaan
komputer adalah sama dengan perpustakaan buku, dimana didalamnya ada
pustakawan, pengumpulan media, area tempat penyimpanan media dan prosedur untuk
menggunakan media tersebut. Yang boleh mengakses perpustakaan media hanyalah
pustakawannya.
3.
Pemeliharaan Peralatan
Orang yang
tugasnya memperbaiki computer yang disebut Customer Engineer(CE) / Field
Engineer (FE) / Teknisi Lapangan menjalankan pemeliharaan yang terjadwal / yang
tak terjadwal.
4. Kontrol
lingkungan dan keamanan fasilitas
Untuk
menjaga investasi dibutuhkan kondisi lingkungan yang khusus seperti ruang
computer harus bersih keamanan fasilitas yang harus dilakukan dengan penguncian
ruang peralatan dan komputer.
5.
Perencanaan Disaster : mencakup rencana keadaan darurat, rencana backup,
rencana record penting, dan rencana recovery
Tujuan
Audit Sistem Informasi
Tujuan
audit sistem informasi menurut Ron Weber “1999:11-13” secara garis besar
terbagi menjadi empat tahap yaitu:
1.
Pengamanan
Aset
Aset
informasi suatu perusahaan seperti perangkat keras “hardware”, perangkat lunak
“software”, sumber daya manusia, file data harus dijaga oleh suatu sistem
pengendalian intern yang baik agar tidak terjadi penyalahgunaan aset
perusahaan. Dengan demikian sistem pengamanan aset merupakan suatu hal yang
sangat penting yang harus dipenuhi oleh perusahaan.
2. Menjaga Integritas
Data
Integritas data “data integrity” adalah salah satu konsep dasar sistem
informasi. Data memiliki atribut-atribut tertentu seperti: kelengkapan,
kebenaran dan keakuratan. Jika integritas data tidak terpelihara maka suatu
perusahaan tidak akan lagi memiliki hasil atau laporan yang benar bahkan
perusahaan dapat menderita kerugian.
3.
Efektifitas Sistem
Efektifitas
sistem informasi perusahaan memiliki peranan penting dalam proses pengambilan
keputusan, suatu sistem informasi dapat dikatakan efektif bila sistem informasi
tersebut telah sesuai dengan kebutuhan user.
4.
Efisiensi Sistem
Efisiensi
menjadi hal yang sangat penting ketika suatu komputer tidak lagi memiliki
kapasitas yang memadai atau harus mengevaluasi apakah efisiensi sistem masih
memadai atau harus menambah sumber daya karena suatu sistem dapat dikatakan
efisien jika sistem informasi dapat memenuhi kebutuhan user dengan sumber daya
informasi yang minimal.
5.
Ekonomis
Ekonomis
mencerminkan kalkulasi untuk rugi ekonomi “cost/benefit” yang lebih bersifat
kuantifikasi nilai moneter “uang”. Efisiensi berarti sumber daya minimum untuk
mencapai hasil maksimal. Sedangkan ekonomis lebih bersifat pertimbangan
ekonomi.
6.
Ketersediaan.
Berhubungan
dengan ketersediaan dukukan/layanan teknologi informasi TI.TI hendaknya dapat
dapat mendukung secara kontinyu terhadap proses bisnis.Semakin sering terjadi
gangguan maka berarti tingkat ketersediann sistem rendah.
7.
Kerahasian.
Fokusnya
pada proteksi terhadap informasi dan supaya terlindung dari akses dari
pihak-pihak yang tidak berwenang.
8.
Kehandalan.
Kesesuaian
dan keakuratan bagi manajemen dalam pengelolaan organisasi, pelaporan dan
pertanggunjawaban.
9.
Menjaga Intergritas
Data
Integritas data adalah salah satu konsep dasar sistem informasi, data memiliki
atribut atribut yaitu : kelengkapan, kebenaran, dan keakuratan.
Poin Pokok
Silabus Bahasan 8
Pengantar
Proses Audit
Proses
audit merupakan bagian dari assurance services, yang melibatkan usaha
peningkatan kualitas informasi bagi pengambil keputusan serta independensi dan
kompetensi dari pihak yang melakukan audit, sehingga kesalahan yang terjadi
dalam proses pengauditan akan berakibat berkurangnya kualitas informasi yang
diterima oleh pengambil keputusan (Weningtyas dkk, 2006).
(Sumber:
https://eprints.ums.ac.id/30378/3/BAB_I.pdf )
Langkah
– langkah audit sistem informasi.
Proses
audit sistem informasi adalah proses yang berkaitan langsung dengan
kompleksitas. Terkadang auditor harus menyelesaikan tugasnya dalam sistem yang
sangat banyak dan kompleks. Karena kompleksitas merupakan akar permasalahan
dari setiap problem yang dihadapai oleh para profesional, maka para ilmuwan
telah berusaha untuk membuat panduan untuk mengurangi kompleksitas tersebut,
yaitu :
a.
Memecah sebuah sistem yang besar menjadi beberapa subsistem untuk dievaluasi
secara terpisah
b.
Menentukan kehandalan setiap subsistem dan pengaruh setiap subsistem terhadap
kehandalan sistem secara keseluruhan
Tahapan
Audit Dalam melakukan kegiatan audit, penelit memakai tahapan audit sebagai
berikut :
1.
Planning, mendapatkan pemahaman yang lengkap mengenai bisnis perusahaan yang
sedang dilakukan audit. Pada proses ini auditormenentukan ruanglingkup dan
tujuan pengendalian, tingkat materialitas, dan outsourcing. Pada tahap ini
auditor menetapkan mengapa, bagaimana,kapan dan oleh siapa audit akan
dilaksanakan. Untuk mematangkan tahap perencanaan, sebuah program audit awal
dipersiapkan untuk menunjukkan sifat, keluasan, dan waktu prosedur-prosedur
yang dibutuhkan untuk mencapai tujuan audit dan untuk meminimalkan
risiko-risiko audit.
2.
Prepare Audit Program, audit program disesuaikan dengan hardware dan software
yang dimiliki perusahaan, topologi dan arsitektur jaringan, dan lingkungan
serta pertimbangan khusus mengenai industri tersebut. Komponen- komponen dari
audit program tersebut adalah: ruang lingkup audit,sasaran audit, prosedur
audit, dan rincian administratif (perencanaan dan pelaporan).
3.
Gather Evidence, bertujuan untuk mendapatkan bukti-bukti memadai, handal,
relevan, dan berguna untuk mencapai sasaran audit secara efektif. Jenis bukti
yang sering ditemukan auditor pada kerja lapangan yaitu:
observasi
proses-proses dan keberadaan dari item fisik seperi pengoperasian komputer atau
prosedur backup data, bukti dalam bentuk dokumen (seperti program change logs,
sistem access logs, dan tabel otoritas), gambaran dari perusahaan seperi
flowcharts, narratives, dan kebijakan dan prosedur yang tertulis), serta
analisa seperti prosedur CAATs yang dijalankan pada data perusahaan.
4.
Form Conclusion, mengevaluasi bukti- bukti dan membuat suatu kesimpulan tentang
hasil pemeriksaan yang pada akhirnya akan mengarah pada opini audit. Auditor
juga akan melaporkan kelemahan dan kelebihan darisistem.
5.
Deliver Audit Opinion, informasi umum yang harus ada dalam sebuah laporan audit
yaitu:
a.
Nama dari organisasi/perusahaan yang diaudit
b.
Judul, tanda tangan, dan tanggal
c.
Pernyataan sasaran audit dan apakah audit tersebut telah memenuhi sasaran Ruang
lingkup audit, termasuk didalamnya area audit fungsional, periode audit yang
tercakup, dan sistem informasi, aplikasi, atau lingkungan proses yang diaudit
d.
Pernyataan bahwa telah terjadi pembatasan ruang lingkup dimana auditor tidak
dapat melaksanakan pekerjaan audit dengan memadai untuk mencapai
sasaran-sasaran audit tertentu
e.
Pengguna laporan audit yang dikehendaki, termasuk beberapa pembatasan dalam
pendistribusian laporan audit
f.
Standar-standar dan kriteria yang menjadi dasar auditor untuk melaksanakan
pekerjaan audit tersebut g. Penjelasan rinci mengenai temuan- temuan penting
h.
Kesimpulan dari area audit yang dievaluasi, termasuk di dalamnya syarat dan
kualifikasi penting
i.
Saran-saran yang tepat untuk tindakan perbaikan danpeningkatan
j.
Peristiwa-peristiwa penting yang terjadi setelah masa fieldwork audit yang
bersangkutan berakhir
6.
Follow Up, melakukan tindak lanjut dengan membuat suatu ketentuan untuk
melakukan tindak lanjut bersama dengan perusahaan pada kondisi-kondisi yang
dilaporkan atau defisiensi audit yang tidak ter-cover selama kegiatan audit.
Tindak lanjut ini dapat dilakukan dengan menelepon pihak menejemen.
Tahapan
Audit Sistem Informasi
Berikut
ini terdapat beberapa tahapan audit sistem informasi, terdiri atas:
a.
Perencanaan Audit (Planning The Audit)
Perencanaan
merupakan fase pertama dari kegiatan audit, bagi auditor eksternal hal ini
artinya adalah melakukan investigasi terhadap klien untuk mengetahui apakah
pekerjaan mengaudit dapat diterima, menempatkan staff audit, menghasilkan
perjanjian audit, menghasilkan informasi latar belakang klien, mengerti tentang
masalah hukum klien dan melakukan analisa tentang prosedur yang ada untuk
mengerti tentang bisnis klien dan mengidentifikasikan resiko audit.
b.
Pengujian Pengendalian (Test Of Controls)
Auditor
melakukan kontrol test ketika mereka menilai bahwa kontrol resiko berada pada
level kurang dari maksimum, mereka mengandalkan kontrol sebagai dasar untuk
mengurangi biaya testing. Sampai pada fase ini auditor tidak mengetahui apakah
identifikasi kontrol telah berjalan dengan efektif, oleh karena itu diperlukan
evaluasi yang spesifik.
c.
Pengujian Transaksi (Test Of Transaction)
Auditor
menggunakan test terhadap transaksi untuk mengevaluasi apakah kesalahan atau
proses yang tidak biasa terjadi pada transaksi yang mengakibatkan kesalahan
pencatatan material pada laporan keuangan. Tes transaksi ini termasuk
menelusuri jurnal dari sumber dokumen, memeriksa file dan mengecek keakuratan.
d.
Pengujian Keseimbangan atau Keseluruhan Hasil (Tests Of Balances or Overal
Result)
Untuk
mengetahui pendekatan yang digunakan pada fase ini, yang harus diperhatikan
adalah pengamatan harta dan kesatuan data. Beberapa jenis subtantif tes yang
digunakan adalah konfirmasi piutang, perhitungan fisik persediaan dan
perhitungan ulang aktiva tetap.
e.
Penyelesaian / Pengakhiran Audit (Completion Of The Audit)
Pada
fase akhir audit, eksternal audit akan menjalankan beberapa test tambahan
terhadap bukti yang ada agar dapat dijadikan laporan. Lingkup Audit Sistem
Informasi pada umumnya difokuskan kepada seluruh sumber daya sistem informasi
yang ada, yaitu Aplikasi, Informasi, Infrastruktur dan Personil.
Poin Pokok
Silabus Bahasan 9
Analisis
Risiko
Konsep
Resiko
Agar
segala sesuatu berjalan sesuai yang seharusnya, maka perlu ada pengawasan.
Salah satu bentuk/cara pengawasan ialah yang disebut system pengendalian intern
(internal control system) yang melekat pada system dan prosedur organisasi
tersebut. Pendekatan Audit SI /TI berbasis resiko digunakan untuk menilai
resiko dari poses bisnis yang berlangsung diorganisasi atau perusahaan dan yang
terpenting dapat membantu pengaudit SI/TI dalam memutuskan metode pengujian
yang digunakan dalm pelaksaaan audit nantinya dengan melakukan uji kepatutan
atau uji secara substantif
Jenis
Jenis Resiko
Adapun
Jenis jenis resiko sebagai berikut :
1.
Risiko Bisnis (Bussiness Risks) Risiko bisnis adalah risiko yang dapat
disebabkan oleh faktor-faktor intern maupun ekstern yang berakibat kemungkinan
tidak tercapainya tujuan organisasi (business goals objectives).
a.
Risiko ekstern (risk from external environment) ialah misalnya antara lain
perubahan kondisi perekonomian tingkat kurs yang berubah mendadak, dan
munculnya pesaing baru yang mempunyai potensi bersaing tinggi
b.
Risiko internal ialah risiko yang berasal dari internal misalnya antara lain
permasalahan kepegawaian, risiko-risiko yang berkaitan dengan peralatan atau
mesin, risiko keputusan yang tidak tepat, dan kecurangan manajemen (Manajement
Fraud)
2.
Risiko Bawaan (Inherent Risks)
Risiko
bawaan ialah potensi kesalahan atau penyalahgunaan yang melekat pada suatu
kegiatan, jika tidak ada pengendalian intern. Misalnya kegiatan kampus, apabila
tidak ada absensi/daftar kehadiran kuliah akan banyak mahasiswa yang cenderung
tidak disiplin hadir mengikuti kuliah. Inherent risk atau resiko bawaan
merupakan resiko kesalahan audit yang merupakan aktivitas bawaan dari proses
bisnis.Resiko kesalahan tersebut bersifat indenpenden dan akan semakin tinggi
jika compensating control tidak tersedia.
3.
Risiko Pengendalian (Control Risks)
Dalam
suatu organisasi yang baik seharusnya sudah ada risks assessment, dan dirancang
pengendalian intern secara optimal terhadap setiap potensi risiko. Risiko
pengendalian ialah masih adanya risiko meskipun sudah ada pengendalian. Control
Risk atau resiko kontrol merupakan resiko kesalahan yang tidak terdeteksi oleh
kontrol internal itu sendiri selama proses audit berlangsung. Resiko kontrol
tersebut menjadi rendah jika prosedur validasi tersedut dilakukan
secaraterkomputerisasi. Risiko pengendalian tidak pernah mencapai keyakinan
penuh bahwa semua salah saji material akan dapat dideteksi ataupun dicegah.
Risiko pengendalian merupakan fungsi dari efektivitas struktur pengendalian
inter. Semakin efektif struktur pengendalian intern perusahaan klien, semakin
kecil risiko pengendaliannya. Penetapan risiko pengendalian didasarkan atas
kecukupan bukti audit yang menyatakan bahwa struktur pengendalian inter klien
adalah efektif. Ada dua macam risiko pengendalian, yaitu:
1.
Actual level of control risk Assessed level of control risk yang ditentukan
dengan melakukan modifikasi prosedur untuk menghimpun pemahaman struktur
pengendalian intern terkait dengan asersi, dan prosedur untuk melaksanakan test
of control. Pada saat perencanaan audit, auditor menentukan besarnya risiko
pengendalian yang direncanakan untuk setiap asersi yang signifikan.
2.
Planned assessed level of control risk ini ditentukan berdasar asumsi tentang
efektivitas rancangan dan operasi struktur pengendalian intern yang relevan.
4.
Risiko Deteksi (Detection Risks) Risiko deteksi adalah risiko yang terjadi
karena prosedur audit yang dilakukan mungkin tidak dapat mendeteksi adanya
error yang cukup materialitas atau adanya kemungkinan fraud. Risiko deteksi
mungkin dapat terjadi karena auditor ternyata dalam prosedur auditnya tidak
dapat mendeteksi terjadinya existing control failures (system pengendalian
intern yang ada ternyata tidak berjalan baik).
5.
Audit (Audit Risks) Risiko audit sebenarnya adalah kombinasi dari inherent
risks, control risks, dan detection risks. Risiko audit adalah risiko bahwa
hasil pemeriksaan auditornya ternyata belum dapat mencerminkan keadaan yang
sesungguhnya. Ada Pun rumus mengetahui Resiko Audit dengan rumus dibawah:
1.
Execution risk Execution risk adalah risiko yang berkaitan dengan tidak
tercapainya sesuatu yang seharusnya dilaksanakan.
2.
Information risk Risiko informasi yang dimaksud oleh Jones dan Rama ini ialah
risiko yang berkaitan dengan kemungkinan kesalahan atau penyalahgunaan data
informasi. Risiko terjadi waktu mencatat/entri data (recording risks) serta
updating risks.
3.
Asset protection risk Risiko yang berkaitan dengan save guarding assets ini
ialah kerusakan, hilang, atau asset tidak digunakan seperti yang seharusnya,
maupun risiko yang dapat timbul terhadap assets perusahaan akibat keputusan
yang salah.
4.
Performance Risk Risiko kinerja ini adalah resiko berkaitan dengan kinerja
pegawai/ kinerja perusahaan yang tidak dapat dilaksanakan sesuai
tujuan/standar/ukuran yang ditetapkan. Pada hakekatnya yang bertanggung jawab
dan akan mempertanggung jawabkan pengelolaan perusahaan kepada para
share/stockholder dan stakeholder adalah para pengurus perusahaan, yang menurut
Undang-undang Perseroan Terbatas di Indonesia ialah para anggota Dewan Direksi
dan anggota Dewan Komisaris.
Dalam
pelaksanaan kegiatan sehari-hari, yang melakukan tugas operasional ialah para
manajer tingkat menengah, supervisor, staf dan pegawai pelaksana, yang
melaksanakan tugas sesuai dengan kebijakan yang ditetapkan pimpinan. Jika
mereka tidak melakukan tugas sesuai dengan yang seharusnya, atau kalau
kinerjanya tidak sesuai dengan yang seharusnya. Hal ini merupakan risiko yang
dipreventif, dideteksi, atau dikoreksi/diperbaiki.
Audit
resiko merupakan risiko kemungkinan auditor ekstern memberikan opini yang salah
terhadap fairness laporan keuangan auditee, atau temuan dan rekomendasi yang
salah pada laporan hasil pemeriksaan auditor intern. Risiko ini sangat
berbahaya karena auditor sudah memberikan opini atau rekomendasi bahwa “Things
are okay and fine, but they are not”
Efek
Risiko dalam sistem informasi ditemui pada:
1.
Strategi (Strategic):
risiko
dimana sistem informasi tidak sesuai dengan tujuan organisasi dan tidak
mendukung pencapaian misi.
2.
Operasi (Operations):
risiko
dimana sistem informasi menimbulkan beban yang terlalu besar bagi organisasi.
Selain itu ketergantungan organisasi terhadap suatu sistem informasi berarti
apabila sistem tersebut tidak tersedia selama waktu tertentu dapat menimbulkan
risiko besar bagi operasional.
3.
Pelaporan (Reporting):
risiko
dimana sistem informasi tidak dapat diandalkan untuk menghasilkan informasi
yang akurat, lengkap dan tepat waktu.
4.
Kepatuhan (Compliance):
risiko
dimana sistem informasi malah menimbulkan pelanggaran hukum dan regulasi yang
merugikan bagi organisasi baik secara finansial maupun reputasi.
Keterkaiatan
antar Tujuan Bisnis dan TI akan dipaparkan dengan mengacu pada kerangka kerja
COBIT. Kerangka kerja tersebut memberikan pemetaan keterkaitan antara tujuan
bisnis dengan tujuan TI sehingga dapat dijadikan acuan bagi perusahaan dalam
menerjemakan kebutuhan bisnis akan tersediaan TI.
Poin Pokok
Silabus Bahasan 10
Definisi Kontrol Internal dan
Kontrol Internal pada Sistem nformasi
Definisi
Kontrol Intenal
George
E. Bennett (1930) : Sistem pengecekan internal sebagai koordinasi dan sistem
akun-akun dan prosedur perkantoran yang berkaitan sehingga seorang karyawan
selain mengerjakan tugasnya sendiri juga secara berkelanjutan mengecek
pekerjaan karyawan yang lain untuk hal-hal tertentu yang rawan kecurangan.
AICPA
Committee on Auditing procedure (1949) : Pengendalian internal (internal
control) berisi rencana organisasi dan semua metode yang terkoordinasi dan
pengukuran-pengukuran yang diterapkan perusahaan untuk mengamankan aktiva,
memeriksa akurasi dan keandalan data akuntansi, meningkatkan efisiensi
operasional, dan mendorong ketaatan terhadap kebijakan manajerial yang telah
ditetapkan.
5
komponen internal control menurut COSO :
1.
Lingkungan pengendalian (Control Environtment).
2.
Penentuan risiko (Risk Assesment).
3.
Aktivitas pengendalian (Control Activities).
4.
Informasi & Komunikasi (Information & Communication).
5.
Pemantauan (Monitoring).
Sifat
dari control :
a.
Preventif : untuk mencegah terjadinya hal-hal yang tidak diinginkan.
b.
Detektif : untuk mendetkesi dan memperbaiki hal-hal yang tidak diinginkan yang
telah terjadi.
c.
Direktif : untuk menyebabkan / mengarahkan terjadinya hal yang diinginkan.
(Sumber:
http://eprints.binadarma.ac.id/5392/1/Internal%20Control.pdf )
Pada
awal konsep / bidang kontrol internal mungkin hanya merupakan mekanisme yang
sangat tinggi dari segi pandang manajemen perusahaan yaitu sebagai sistem yang
dapat ,menjamin dipatuhinya kebijakan perusahaan oleh para pegawai, melindungi
aset perusahaan, dan menghindari terjadinya kesalahan / kekeliruan dan
penyalahgunaan
Sasaran
kontrol internal dikategorikan menjadi beberapa area sebagai berikut:
a.
Operations – efisisensi dan efektifitas operasi dalam mencapai sasaran bisnis
yang juga meliputi tujuan performansi dan keuntungan.
b.
Financial reporting – persiapan pelaporan anggaran finansial yang dapat
dipercaya.
c.
Compliance – pemenuhan hukum dan aturan yang dapat dipercaya.
Sistem
pengendalian intern merupakan bagian yang tidak terpisahkan dari sistem
informasi akuntansi. Tanpa dukungan sistem pengendalian intern yang memadai
sistem informasi akuntansi tidak akan dapat menghasilkan informasi yang handal
untuk pengambilan keputusan. Sistem pengendalian intern yang diterapkan pada
sistem informasi akuntansi sangat berguna untuk mencegah dan menjaga hal-hal
yang tidak diinginkan. Sistem pengendalian intern juga dapat digunakan untuk
mengecek kesalahan-kesalahan yang terjadi sehingga dapat dikoreksi. Sistem
pengendalian intern meliputi struktur organisasi, metode dan ukuranukuran yang
dikoordinasikan untuk menjaga kekayaan organisasi, mengecek ketelitian dan
dapat dipercaya tidaknya data akuntansi mendorong efisiensi dan mendorong
dipatuhinya kebijaksanaan.
Dalam
arti sempit, pengawasan intern merupakan pengecekan penjumlahan mendatar
(crossfooting) maupun penjumlahan menurun (footing). Dalam artian luas,
pengawasan intern tidak hanya meliputi pekerjaan pengecekan tetapi meliputi
semua alat-alat yang digunakan manajemen untuk mengadakan pengawasan.
Pengawasan intern itu meliputi struktur organisasi dan semua cara-cara serta
alat yang dikoordinasikan yang digunakan dalam perusahaan dengan tujuan untuk
menjaga keamanan harta perusahaan, memeriksa ketelitian dan kebenaran data
akuntansi, memajukan efisiensi di dalam operasi, dan membantu dipatuhinya
kebijaksanaan manajemen yang telah ditetapkan lebih dahulu.
Berdasarkan
lingkupnya, pengendalian internal dibedakan menjadi:
1)
Pengendalian akuntansi yang berfungsi untuk mengamankan sumber daya organisasi
dari penyalahgunaan dan menjaga kecermatan data akuntansi.
2)
Pengendalian administratif yang berfungsi mendorong efisiensi operasi dan
mengupayakan agar kebijakan ataupun tujuan manajemen dapat tercapai.
Pengendalian
internal juga diklsifikasikan menjadi pengendalian umum dan pengendalian
aplikasi.Pengendalian umum adalah pengendalian yang dirancang agar lingkungan
pengendalian organisasi menjadi stabil dan terkelola dengan baik sehingga dapat
mendukung efektifitas pengendalian aplikasi. Sedangkan pengendalian aplikasi
adalah pengendalian yang digunakan untuk mencegah, mendeteksi, dan memperbaiki
kesalahan serta penyimpangan dalam transaksi pada saat diproses.
Apapun
bentuk klasifikasi dari sistem pengendalian internal, semuanya memiliki tujuan
yang sama yaitu menjaga aktiva organisasi, memastikan akurasi dan keandalan
catatan serta informasi akuntansi, mendorong efisiensi dalam operasional
organisasi, dan mengukur kesesuaian dengan kebijakan serta prosedur yang
ditetapkan oleh pihak manajemen.
Poin Pokok
Silabus Bahasan 11
Cara Melakukan Audit Sistem Informasi
Tahapan Audit Sistem Informasi
Tahapan
audit menurut Gallegos. Dalam bukunya “Audit and Control of Information System”
yang mencakup beberapa aktivitas yaitu perencanaan, pemeriksaan lapangan,
pelaporan dan tindak lanjut. Berikut dibawah tahapan dari audit sistem
informasi, adalah sebagai berikut:
1.
Perencanaan (Planning)
Tahap
perencanaan ini yang akan dilakukan adalah menentukan ruang lingkup (scope),
objek yang akan diaudit, standard evaluasi dari hasil audit dan komunikasi
dengan managen pada organisasi yang bersangkutan dengan menganalisa visi, misi,
sasaran dan tujuan objek yang diteliti serta strategi, kebijakan-kebijakan yang
terkait dengan pengolahan investigasi. Tahapan pertama dalam audit bagi auditor
eksternal yang berarti menyelidiki dari awal atau melanjutkan yang ada unutk
menentukan apakah pemeriksaan tersebut dapat diterima, penempatan staf audit
yang sesuai melaukan pengecekan informasi latar belakang klien, mengerti
kewajiban utama dari klien dan mengidentifikasi area resiko
2.
Pemeriksaan Lapangan (Field Work)
Tahap ini
yang akan dilakukan adalah pengumpulan informasi yang dilakukan dengan cara
mengumpulkan data dengan pihak-pihak yang terkait. Hal ini dapat dilakukan
dengan menerapan berbagai metode pengumpulan data yaitu: wawancara, quesioner
ataupun melakukan survey ke lokasi penelitian.
3.
Pelaporan (Reporting)
Audit
Sistem Informasi – Setelah proses pengumpulan data, maka akan didapat data yang
akan diproses untuk dihitung berdasarkan perhitungan maturity level. Pada tahap
ini yang akan dilakukan memberikan informasi berupa hasil-hasil dari audit.
Perhitungan maturity level dilakukan mengacu pada hasil wawancara, survey dan
rekapitulasi hasil penyebaran quesioner. Berdasarkan hasil maturity level yang
mencerminkan kinerja saat ini (current maturity level) dan kinerja standard
atau ideal yang diharapkan akan menjadi acuan untuk selanjutnya dilakukan
analisis kesenjangan (gap). Hal tersebut dimaksudkan untuk mengetahui
kesenjangan (gap) serta mengetahui apa yang menyebabkan adanya gap tersebut.
4. Tindak
Lanjut (Follow Up)
Tahap ini
yang dilakukan adalah memberikan laporan hasil audit berupa rekomendasi
tindakan perbaikan kepada pihak managemen objek yang diteliti, untuk
selanjutnya wewenang perbaikan menjadi tanggung jawab managemen objek yang
diteliti apakah akan diterapkan atau hanya menjadi acuhan untuk perbaikan
dimasa yang akan datang.
5.
Pengujian atas Control (Tests of Controls)
Tahap ini
dimulai dengan pemfokusan pada pengendalian menegemen, apabila hasil yang ada
tidak sesuai dengan harapan, maka pengendalian manegemen tidak berjalan sebagai
mana mestinya. Apabila auditor menemukan kesalahan yang serius pada
pengendalian manegemen, maka mereka akan mengemukakan opini atau mengambil
keputusan dalam pengujian transaksi dan saldo untuk hasilnya.
6.
Pengujian atas Transaksi (Tests of Transaction)
Pengujian
yang termasuk adalah pengecekan jurnal yang masuk dari dokumen utama, menguji nilai
kekayaan dan ketepatan komputasi. Komputer sangat berguna dalam pengujian ini
dan auditor dapat mengunakan software audit yang umum untuk mengecek apakah
pembayaran bunya dari bank telak dikalkulasi secara tepat.
7.
Pengujian atas Keseimbangan atau Hasill Keseluruhan (Tests of Balances or
Overall Results)
Auditor
melakukan pengujian ini agar bukti penting dalam penilaian akhir kehilangan
atau pencatatan yang keliru yang menyebabkan fungsi sistem informasi gagal
dalam memelihara data secara keseluruhan dan mencapai sistem yang efekti dan
efesien. Dengan kata lain, dalam tahap ini mementingkan pengamatan asset dan
integritas data yang obyektif.
(Sumber: https://sis.binus.ac.id/2021/06/15/audit-sistem-informasi-2/
)
Tidak ada komentar:
Posting Komentar