AUDIT TSI

1.      KONSEP AUDIT TSI

Perencanaan (Planning)

Tahap perencanaan ini yang akan dilakukan adalah menentukan ruang lingkup (scope), objek yang akan diaudit, standard evaluasi dari hasil audit dan komunikasi dengan managen pada organisasi yang bersangkutan dengan menganalisa visi, misi, sasaran dan tujuan objek yang diteliti serta strategi, kebijakan-kebijakan yang terkait dengan pengolahan investigasi.

Perencanaan meliputi beberapa aktivitas utama, yaitu:

o   Penetapan ruang lingkup dan tujuan audit

o   Pengorganisasian tim audit

o   Pemahaman mengenai operasi bisnis klien

o   Kaji ulang hasil audit sebelumnya

o   Penyiapan program audit

Pemeriksaan Lapangan (Field Work)

Tahap ini yang akan dilakukan adalah pengumpulan informasi yang dilakukan dengan cara mengumpulkan data dengan pihak-pihak yang terkait. Hal ini dapat dilakukan dengan menerapan berbagai metode pengumpulan data yaitu: wawancara, quesioner ataupun melakukan survey ke lokasi penelitian.

Pelaporan (Reporting)

Setelah proses pengumpulan data, maka akan didapat data yang akan diproses untuk dihitung berdasarkan perhitungan maturity level. Pada tahap ini yang akan dilakukan memberikan informasi berupa hasil-hasil dari audit. Perhitungan maturity level dilakukan mengacu pada hasil wawancara, survey dan rekapitulasi hasil penyebaran quesioner. Berdasarkan hasil maturity level yang mencerminkan kinerja saat ini (current maturity level) dan kinerja standard atau ideal yang diharapkan akan menjadi acuan untuk selanjutnya dilakukan analisis kesenjangan (gap). Hal tersebut dimaksudkan untuk mengetahui kesenjangan (gap) serta mengetahui apa yang menyebabkan adanya gap tersebut.

Tindak Lanjut (Follow Up)

Tahap ini yang dilakukan adalah memberikan laporan hasil audit berupa rekomendasi tindakan perbaikan kepada pihak managemen objek yang diteliti, untuk selanjutnya wewenang perbaikan menjadi tanggung jawab managemen objek yang diteliti apakah akan diterapkan atau hanya menjadi acuhan untuk perbaikan dimasa yang akan datang.

2.      PROSES AUDIT TSI

Proses Audit dalam konteks teknologi informasi adalah memeriksa apakah sistem informasi berjalan semestinya. Tujuh langkah proses audit sistem informasi yaitu:

1.      Implementasikan sebuah strategi audit berbasis manajemen resiko serta control practice yang dapat disepakati oleh semua pihak

2.       Tetapkan langkah-langkah audit yang rinci

3.      Gunakan fakta atau bahan bukti yang cukup, handal, relevan, serta bermanfaa

4.       Buat laporan beserta kesimpulan berdasarkan fakta yang dikumpulkan

5.        Telaah apakah tujuan audit tercapai

6.        Sampaikan laporan kepada pihak yang berkepentingan

7.      Pastikan bahwa organisasi mengimplementasikan managemen resiko serta control practice.

Perencanaan sebelum menjalankan proses audit dengan metodologi audit yaitu:

      a)      Audit subject

      b)      Audit objective

      c)      Audit Scope

      d)     Preaudit planning

      e)      Audit procedures and Steps for data gathering

      f)       Evaluasi hasil pengujian dan pemeriksaan

     g)      Audit report preparation

Berikut struktur isi laporan audit secara umumnya (tidak baku):

     a)      Pendahuluan

     b)      Kesimpulan umum auditor

     c)      Hasil audit

     d)     Rekomendasi

     e)      Exit interview

3. TEKNIK AUDIT TSI

Ada beberapa pendekatan yang dapat dipilih oleh seorang auditor apabila menggunakan teknik audit berbantuan komputer, yaitu melakukan pengujian aplikasi atau melakukan pengujian substantif. Beberapa pendekatan yang dapat dilakukan apabila auditor tersebut memilih melakukan pengujian aplikasiadalah:

1.TestData

Metode ini menggunakan data masukan yang telah dipersiapkan auditor dan menguji data tersebut dengan salinan (copy) dari perangkat lunak aplikasi auditan. Hasil pemrosesan data tersebut akan dibandingkan dengan ekspektasi auditor. Jika ada hasil yang tidak sesuai, mungkin ini suatu indikasi penyimpangan logika atau mekanisme pengendalian.

2.IntegratedTestFacility(ITF)

Adalah suatu pendekatan teknik terotomatisasi yang memungkinkan auditor menguji alur logika dan kendali suatu aplikasi pada saat operasi normal berlangsung.

3.ParallelSimulation(PS)

Pendekatan ini mengharuskan auditor untuk membuat suatu program yang menyimulasikan fungsi utama tertentu dari aplikasi yang sedang diuji.

Sedangkan untuk melakukan pengujian substantif (misalnya detail transaksi atau saldo perkiraan),makaauditordapatmemilihteknik:

1.EmbaddedAuditModule(EAM)

Merupakan suatu teknik dimana satu atau lebih modul program tertentu dilekatkan di suatu aplikasi untuk mencatat secara tersendiri serangkaian transaksi yang telah ditentukan ke dalamfileyangakandibacaolehauditor

2.GeneralizedAuditSoftware(GAS)

Adalah pendekatan yang menggunakan suatu perangkat lunak tertentu yang dimanfaatkan untuk menyeleksi, mengakses, mengorganisasikan data untuk kepentingan pengujian substantif. Pendekatan ini memungkinkan auditor untuk mengakses dan mengambil berbagai file data ke dalam computer untuk kemudian melakukan berbagai pengujian yang diperlukan. Pendekatan ini merupakan teknik yang paling populer karena relatif lebih mudah karena tidak diperlukan kemampuan teknik komputasi yang cukup mendalam.

Teknik audit adalah cara-cara yang ditempuh auditor untuk memperoleh pembuktian dalam membandingkan keadaan yang sebenarnya dengan keadaan yang seharusnya. Teknik audit erat hubungannya dengan prosedur audit, dimana teknik-teknik audit digunakan dalam suatu prosedur audit untuk mencapai tujuan audit. Ada beberapa prosedur audit terhadap pengendalian yang harus dilakukan langsung oleh auditor (secara manual), dan beberapa prosedur yang dapat menggunakan dukungan komputer seperti tabel berikut ini:

Pengendalian Internal dan Prosedur Audit

1. Teknik Untuk Menguji Pengendalian Program Aplikasi Komputer Pada Batch Processing Environment

-Metode Data Tes (Test Deck) - Auditor’s Data, Client’s Software

Pengujian yang dilakukan dengan data uji ialah untuk mengetahui apakah program komputer sudah bekerja dengan baik. Biasanya data tes dibuat untuk menguji apakah program sudah:

1. Perform validity checks
2.  Perform limit and reasonableness checks 3.
3.  Attempt to process an improperly authorized transaction
4. Perforrn numeric, alphabetic, and special character checks.

Tahapan Pengujian  Test Deck

Auditor membuat data tes berupa elemen-elemen data simulasi (berupa dummy data). Auditor memasukkan data tes tersebut pada model input atau model proses yang dipilih untuk diuji. Auditor menetapkan hasil yang seharusnya sesuai dengan kaidah pengendalian intern yang baik Auditor membandingkan HASIL YANG SEHARUSNYA dengan HASIL PENGUJIAN. Dari hasil perbandingan dapat diketahui keandalan pengendalian sistem tersebut.

2. Teknik Untuk Menguji Pengendalian Program Aplikasi Komputer Pada On-line Real Time  Envenonment

a. Integrated Test Facilities (lTF) ITF digunakan untuk menguji sistem aplikasi dengan data tes pada saat komputer dioperasikan dalam kegiatan rutin pada perusahaan yang diaudit (auditan/auditee). Pada ITF pemeriksaan atau tes sistem komputerisasi dilaksanakan secara kontinyu dan simultan antara pelaksanaan tes dan real processing run. Dalam ITF Auditor harus membuat dummy data dan diproses bersamaan dengan real data yang mamang saat itu sedang diolah.

b. Process Tracing Software

Process Tracing Software dapat menjadi suatu cara untuk identifikasi program modules fraud yang tidak tertangkap dengan metoda tes uji data. Tagging Transactions ini juga dikenal dengan istilah “Snapshot approach”.

c. Embedded Audit Modules

 Pada saat yang sama transaksi dicek oleh modul audit yang terpasang di dalam program.  Jika transaksi itu benar, maka transaksi itu dipilih oleh modul bersangkutan dan disalin pada log audit (sering disebut SCARF/ System Control Audit Review File). Secara periodik, isi log itu dicetak untuk diteliti oleh auditor.

d. Mapping

Keunggulan metoda ini antara lain:  auditor atau evaluator terhadap suatu program dapat memberikan rekomendasi atau usul perbaikan, yaitu mengurangi bagian-bagian program yang ternyata tidak bermanfaat.  Dengan demikian jika perbaikan tersebut dapat dilaksanakan dengan baik, maka berarti komputer akan dapat dioperasikan dengan lebih efisien.

e. Job Accounting Data Analysis

Pada instalasi komputer induk (mainframe) lazimnya layanannya digunakan secara patungan (sharing) oleh berbagai unit dan berbagai sistem aplikasi yang diimplementasikan pada organisasi tersebut. Pada instalasi ini hanya terdapat satu central processing unit tetapi users atau pemakainya mungkin puluhan, bahkan bisa mencapai ratusan orang (terminal) pada saat yang bersamaan.  Sementara itu pada jenis mesin tersebut computer-time cost relatif tinggi karena harga investasi serta biaya operasional atau konsumsi sumber-daya (khususnya listrik, infrastruktur) sangat mahal.

f. Perangkat Lunak Audit

 Perangkat lunak audit terdiri dari software (program-program komputer) yang digunakan oleh auditor sebagai bagian atau dukungan teknis pengumpulan bahan bukti audit dalam prosedur auditnya.  Software audit mencakup program-program komputer yang memungkinkan komputer digunakan sebagai alat audit untuk mengumpulkan dan mengolah data audit yang signifikan dari sistem informasi perusahaan.  Sebelum meggunakan program untuk tujuan auditnya, auditor harus meyakini validitas program yang akan ia gunakan.

b.     REGULASI AUDIT TSI

Dengan dominannya  penggunaan komputer dalam membantu kegiatan operasional diberbagai perusahaan, maka diperlukan standar-standar kontrol sebagai alat pengendali internal untuk menjamin bahwa data elektronik yang diproses adalah benar. Beberapa jenis standar kontrol yaitu:

     a)      COSO (Comitte Of Sponsoring Organizationof the treadway commission’s)

Yaitu dibentuk pada tahun 1985 dengan tujuan untuk menyatukan pandangan dalam komunitas bisnis berkaitan dengan isu-isu seputar pelaporan keuangan yang mengandung fraud (penggelapan).Tahun 1992, COSO menyusun dan Menerbitkan Internal Control Integrated Framework yang berisi rumusan definisi pengendalian intern, pedoman penilaian, serta perbaikan terhadap sistem pengendalian intern.Tahun 2004, COSO mengembangkan Internal Control Integrated Framework dengan menambah cakupan tentang manajemen  dan strategi resiko yang disebut ERM (Enterprise Risk Manajement).

Pencapaian tujuan pengendalian intern yang didefenisikan COSO:    

     1.      Efektifitas dan efisiensi aktivitas operasi

     2.      Kehandalan pelaporan keuangan

     3.      Ketaatan terhadap hukum dan peraturan yang berlaku

     4.      Pengamanan aset entitas.

     b)      COBIT (Control Objectives for Information and Related Technology)

Yaitu alat pengendalian untuk informasi dan tekhnology terkait dan merupakan standar terbuka yang dikembangkan oleh ISACA melalui ITGI (Information and Technology Governance Institute)pada tahun 1992. Tujuan dari COBIT yaitu untuk mengembangkan , melakukan riset dan mempublikasikan suatu standar teknologi informasi yang diterima umum dan selalu up to date untuk digunakan dalam kegiatan bisnis sehari-hari.

     c)      SARBOX (Sarbanes-Oxley Act)

Yaitu merupakan peraturan yang ditandatangani Presiden George W.Bush tanggal 30 juli 2012 untuk mereformasi dunia pasarmodal Amerika Serikat. Tujuan SARBOX yaitu:

1.      Meningkatkan akuntabilitas manajemen dengan memastikan bahwa manajemen akuntan dan pengacara memiliki tanggung jawab atas informasi keuangan yang menjadi tanggung jawab mereka.

2.       Meningkatkan pengungkapan dengan berusaha untuk menyatakan bahwa beberapa kejadian kunci dan transaksi luar biasa tidak mendapatkan pengawasan hanya karena tidak disyaratkan untuk diungkap di publik.

3.       Meningkatkan pengawasan rutin yang lebih intensif oleh SEC.

4.      Meningkatkan akuntabilitas akuntan.

    d)     ISO 17799

Yaitu standar untuk sistem manajemen keamanan informasi meliputi dokomen kebijakan keamanan informasi, alokasi keamanan informasi tanggung-jawab,menyediakan semua para pemakai dengan pendidikan dan pelatihan didalam keamanan informasi, mengembangkan suatu sistem untuk pelaporan peristiwa keamanan, memperkenalkan virus kendali, mengembangkan suatu rencana kesinambungan bisnis, mengendalikan pengkopian perangkat lunak kepemilikan, surat pengantar arsip organisatoris, mengikuti kebutuhan perlindungan data, dan menetapkan prosedure untuk mentaati kebijakan keamanan.

    e)      BASEL II

BASEL II dibentuk yaitu sebagai penerapan kerangka pengukuran bagi risiko kredit, sistem ini mensyaratkan Bank-bank  untuk memisahkan eksposurnya ke dalam kelas yang lebih luas, yang menggambarkan kesamaan tipe debitur(hutang).

5.      STANDAR DAN KERANGKA KERJA

Standar Audit SI tidak lepas dari standar professional seorang auditor SI. Standar professional adalah ukuran mutu pelaksanaan kegiatan profesi yang menjadi pedoman bagi para anggota profesi dalam menjalankan tanggungjawab profesinya.

Standar profesional adalah batasan kemampuan (knowledge, technical skill and professional attitude) minimal yang harus dikuasai oleh seseorang individu untuk dapat melakukan kegiatan profesionalnya pada masyarakat secara mandiri yang aturan-aturannya dibuat oleh organisasi profesi yang bersangkutan. Beberapa diantaranya adalah:

a.      ISACA : IT Standards, Guidelines, and Tools and Techniques for Audit and Assurance and Control Professionals

b.      IIA : International Professional Practices Framework / IPPF

c.      IASII : Standar Audit Sistem Informasi

d.      BI : Standar Pelaksanaan Fungsi Audit Intern Bank / SPFAIB

e.      BPPT : Framework, Kode Etik & Standar, Pedoman Umum Audit Teknologi

Standar dan kerangka kerja menurut ISACA:

S1 Audit Charter

a)      Tujuan, tanggung jawab, kewenangan dan akuntabilitas dari fungsi audit sistem informasi atau penilaian audit sistem informasi harus didokumentasikan dengan pantas dalam sebuah audit charter atau perjanjian tertulis.

b)      Audit charter atau perjanjian tertulis harus mendapat persetujuan dan pengabsahan pada tingkatan yang tepat dalam organisasi.

S2 Independence

a)      Professional Independence

b)      Dalam semua permasalahan yang berhubungan dengan audit, auditor sistem informasi harus independen terhadap auditee baik dalam sikap maupun penampilan.

c)      Organisational Independence

d)      Fungsi audit sistem informasi harus independen tehadap area atau aktivitas yang sedang diperiksa agar tujuan penilaian audit terselesaikan.

S3 Professional Ethics and Standards

a)      Auditor  sistem informasi harus tunduk pada kode etika profesi dari ISACA dalam melakukan tugas audit.

b)      Auditor sistem informasi harus patuh pada penyelenggarakan profesi, termasuk observasi terhadap standar audit profesional yang dipakai dalam melakukan tugas audit.

S4 Professional Competence

a)      Auditor sistem informasi harus seorang profesional yang kompeten, memiliki keterampilan dan pengetahuan untuk melakukan tugas audit.

b)      Auditor sistem informasi harus mempertahankan kompetensi profesionalnya secara terus menerus dengan melanjutkan edukasi dan training.

S5 Planning

a)      Auditor sistem informasi harus merencanakan peliputan audit sistem informasi sampai pada tujuan audit dan tunduk pada standar audit profesional dan hukum yang berlaku.

b)      Audit sistem informasi harus membangun dan mendokumentasikan resiko yang didasarkan pada pendekatan audit.

S6 Performance of Audit Work

a)     Pengawasan-staff audit sistem informasi harus diawasi untuk memberikan keyakinan yang masuk akal bahwa tujuan audit telah sesuai dan standar audit profesional yang ada.

b)      Bukti-Selama berjalannya audit, auditor sistem informasi harus mendapatkan bukti yang cukup, layak dan relevan untuk mencapai tujuan audit. Temuan audit dan kesimpulan didukung oleh analisis yang tepat dan interprestasi terhadap bukti-bukti yang ada.

c)      Dokumentasi-Proses audit harus didokumentasikan, mencakup pelaksanaan kerja audit dan bukti audit untuk mendukung temuan dan kesimpulan auditor sistem informasi.

S7 Reporting

a)      Auditor sistem informasi harus menyajikan laporan, dalam pola yang tepat, atas penyelesaian audit.

b)        Laporan audit harus berisikan ruang lingkup, tujuan, periode peliputan, waktu dan tingkatan kerja audit yang dilaksanakan.

c)       Laporan audit harus berisikan temuan, kesimpulan dan rekomendasikan serta berbagai pesan, kualifikasi atau batasan dalam ruang lingkup bahwa auditor sistem informasi bertanggung jawab terhadap audit.

d)      Auditor sistem informasi harus memiliki bukti yang cukup dan tepat untuk mendukung hasil pelaporan.

6.      Manajemen RESIKO

Didalam TSI, hal-hal yang perlu diperhatikan salah satunya adalah penilaian resiko. Konsep resiko dalam hal ini meliputi ancaman, kelemahan dan dampak dari penilaian resiko. Ancaman yang sering terjadi salah satunya adalah adanya kompleksitas dari TSI itu sendiri. Berbagai macam elemen dan variasi yang terdapat dalam TSI mewarnai perkembangan TSI kedepannya.

Keamanan dan pengendalian TSI dewasa ini menjadi kelemahan dalam penilaian resiko. Dalam hal ini, kedua hal tersebut menjadi suatu hal yang patut disorot dan diperhatikan agar dapat berkembang menjadi semakin baik. Memang hal ini bukan suatu hal yang mudah untuk dapat dilakukan, namun dengan melakukannya secara bersama-sama, saling menjaga, merawat dan memeliharanya, niscaya kelemahan ini dapat dikurangi bahkan dihilangkan. Adapun dampaknya adalah aset yang ada dapat terlindungi.

Tipe-tipe resiko terdiri dari:

1. Resiko pengembangan

2. Resiko Kesalahan

3. Resiko Terhentinya Bisnis

4. Resiko Pengungkapan Informasi

5. Resiko Penggelapan

Proses penilaian resiko dapat dilakukan melalui tahap-tahap berikut ini:

a. Identifikasi objek (asset) yang akan dilindungi

b. Penentuan ancaman yang dihadapi

c. Menetapkan peluang kejadian

d. Menghitung besarnya dampak dan kelemahan sistem

e. Menilai alat-alat pengamanan yang ada

f. Rekomendasi dan implementasi

Proses perencanaan audit terdiri dari:

a. Penetapan tipe resiko

b. Untuk setiap tipe resiko, ancaman, kelemahan system, dampak diberi skor/skala tinggi, cukup, rendah atau tidak ada

c. Hitung skor resiko:

Resiko = ancaman x kelemahan x dampak

d. Urutkan resiko berdasarkan skor

e. Kaji ulang dan penyesuaian jika diperlukan

f. Buat rencana audit dengan prioritas resiko

g. Kaji ulang rencana dan penyesuaiannya

h. Laksanakan audit

Proses pemeriksaan Teknologi Sistem Informasi (TSI), dilakukan melalui tahap-tahap sebagai berikut:

a. Identifikasi spesifikasi sistem

b. Penilaian kompleksitas TSI

c. Penilaian resiko pra pemeriksaan

d. Pemeriksaan around the computer

e. Pemeriksaan through the computer

f. Pemeriksaan keuangan