TKTI - D

Kendali / Kontrol Tatakelola TI

Irma Nur Afifah

5214100128
 Tujuan control / kendali
Untuk mengurangi dampak terjadinya resiko
Mengurangi invisiensi yang timbul dari model
Memonitor kinerja stakeholder apakah sudah selaras dengan strategi

Bentuk Control dapat berupa alat, action, aturan, prosedur

Dalam organisasi terdapat 2 (kendali internal, kendali eksternal)

Kendali internal: mengacu pada keterlibatan senior leadership pada control IT, memastikan
kesuksesan bisnis dan mencegah penipuan

1. Proper balance of power

Pemisah antara kekuasaan dan tanggung jawab kelompok manajemen. Memastikan
kebijakan tersebut berfungsi sebagai mana mestinya
2. Performance based renumeration
Memastikan bahwa pihak manajemen apresiasi dengan tetap menjaga hak investor dan
stakeholder lainnya
3. Monitoring by large shareholder
Memonitor performa manajemen, dengan berperan sebagai pengukur yang efektif
dalam control internal
4. Monitor by board
Memonitor dengan review berkelanjutan dari struktur internal, dan memastikan clear
line akuntabilitas manajemen (strategi perusahaan, prosedur risiko, performa,
perubahan tata kelola, budget & bisplan)
5. Internal audit & robust policies
Regular internal audit untuk memeriksa proses tatakelola, operasional, laporan
keuangan serta memastikan memenuhi keuangan dengan stakeholder

Kendali Eksternal: mengacu pada peran independen director dan komite audit pada control
IT

1. Government regulation
Merupakan control eksternal paling efektif, perlu mematuhi agar terhindar dari penalti
2. Media Exposure
Pengawasan media terhadap kinerja proses perusahaan
3. Market Competition
Dalam sisi kompetitif untuk perusahaan mengelola tata kelola nya. Reputasi, kredibiitas
dan persepsi positif adalah peran penting dalam mengalahkan kompetitior
4. Public release & Assessment financial statement
Sebagai wujud keterbukaan perusahaan terhadap penilaian dan pengawasa regulator,
investor, member dari public
 IT Control Framework
COBIT
Salah satu domain yang berkaitan dengan kendali/control organisasi yaitu MEA (Monitor,
Evaluate, and Assess) sebagai acuan. Domain MEA fokus pada area manajemen dan proses
pengawasan bagaimana sebuah TI dikelola pada organisasi, untuk memastikan desain dan
kontrol mematuhi regulasi, serta monitoring berkaitan dengan penilaian independen
berkaitan efektivitas sistem TI. Domain MEA terdiri dari 4 control objective (sub domain),
antara lain (ISACA, COBIT 4.1)
1. ME2 Monitor dan Evaluasi Kinerja TI
Memastikan memberikan kontribusi bisnis. Manajemen TI memerlukan monitoring yang
relevan sistematik, laporan pelaksanaan, tidakan yang harus dilakukan sesuai standar
2. ME2 Monitor dan Evaluasi Pengendalian Internal
Sebagai bahan audit keuangan, pada proses ini juga menilai risiko proses TI dan menilai
penerapan kendali internal TI
3. ME3 Mendapatkan jaminan Independent
Menilai jaminan dalam kepatuhan dan kebutuhan regulasi
4. ME4 Penyediaan untuk TataKelola TI
Pendefinisian struktur organisasi, proses, kepemimpinan peran dan tanggungjawab
untuk menjamin investasi TI selaras dengan strategi dan tujuan

Maturity Model
COBIT memiliki model kematangan (Maturity Models) untuk mengontrol proses TI dengan
metode penilain (scoring) sehingga dapat menilai proses TI yang dimiliki dari skala 0(Non
Existen) sampai optimised (5)

Grafik Tingkat Maturity COBIT 4.1, Sumber (ITGI, 2007)

COSO ( Committee of Sponsoring Organization of the Treadway mission)

Sebuah organisasi yang menyediakan pemikiran kepemimpinan dan bertujuan untuk
mengembangkan kerangka dan panduan mengenai Manajemen Risiko, Pengendalian
Internal, dan Pencegahan Fraud.
 Menurut COSO framework, Internal control terdiri dari 5 komponen yang saling terkait, yaitu:

A. Control Environment
adalah rangkaian standar, proses dan struktur yang menjadi dasar dalam pelaksanaan Internal
Conrtol di seluruh organisasi. Terdapat lima prinsip yang terkait dengan komponen ini yaitu:
Organisasi menunjukkan komitmen terhadap integritas dan nilai-nilai etika
Board of directors menunjukkan independensi dari manajemen dan melaksanakan
pengawasan terhadap pengembangan dan pelaksanaan IC.
Dengan pengawasan Board, manajemen menetapkan struktur, bentuk pelaporan,
tanggung jawab dan otoritas yang diperlukan dalam rangka pencapaian tujuan.
Organisasi menetapkan komitmen dalam menarik, mengembangkan, dan
mempertahankan individu yang kompeten dalam rangka pencapaian tujuan.
Organisasi memegang individu yang bertanggungjawab dalam IC dalam rangka
pencapaian tujuan.

B. Risk Assessment
Penilaian risiko melibatkan proses yang dinamis dan berulang untuk mengidentifikasi dan
menganalisis risiko untuk mencapai tujuan, serta membentuk dasar mengenai bagaimana
risiko harus dikelola. Terdapat empat prinsip yang berkaitan dengan komponen ini yaitu:

Organisasi menentukan tujuan yang spesifik sehingga memungkinkan untuk dilakukan

identifikasi dan penilaian risiko yang terkait dengan tujuan.
Organisasi mengidentifikasi risiko yang terkait dengan pencapaian tujuan di seluruh entitas
dan menganalisis risiko untuk menjadi dasar bagaimana risiko akan diperlakukan.
Organisasi mempertimbangkan potensi fraud dalam penilaian risiko.
Organisasi mengidentifikasi dan menilai perubahan yang akan memengaruhi sistem
pengendalian internal secara signifikan.
C. Control Activities
Aktivitas Pengendalian merupakan tindakan yang ditetapkan dengan prosedur dan
kebijakan untuk meyakinkan bahwa manajemen telah mengarah untuk memitigasi risiko
dalam rangka pencapaian tujuan. Terdapat tiga prinsip dalam komponen ini dalam
pencapaian tujuan yaitu:
Organisasi memilih dan mengembangkan aktivitas pengendalian yang berkontribusi
terhadap mitigasi risiko sampai pada tingkat yang dapat diterima Organisasi memilih dan
mengembangkan aktivitas pengendalian secara umum terkait teknologi
Organisasi menyebarkan aktivitas pengendalian melalui kebijakan dan prosedur dalam
pengimplementasiannya.

D. Information and communication

Informasi diperlukan dalam rangka pelaksanaan tanggung jawab IC nya dalam rangka
pencapaian tujuan. Sedangkan komunikasi diperlukan dalam rangka pelaksanaan IC sehari-
hari. Terdapat tiga prinsip dalam komponen ini terkait hal yang mempengaruhi fungsi dari
komponen lain dalam IC. yaitu:
Organisasi memperoleh dan menggunakan informasi yang berkualitas dan relevan
Organisasi secara internal mengomunikasikan informasi, termasuk tujuan dan tanggung
jawab IC
Organisasi berkomunikasi dengan pihak eksternal

E. Monitoring
Evaluasi berkelanjutan, terpisah, atau kombinasi keduanya untuk memastikan seluruh
komponen IC ada dan berfungsi. Terdapat dua prinsip dalam komponen ini yaitu:

Organisasi memilih, mengembangkan, dan melaksanakan evaluasi berkelanjutan dan/atau

terpisah untuk memastikan seluruh komponen IC ada dan berfungsi.
Organisasi mengevaluasi dan mengomunikasikan defisiensi IC pada pihak yang
bertanggung jawab agar diambil tindakan korektif.

Referensi:

Sandra Senft w Frederick Gallegos. 2009. Information Technology Control and Audit
Third Edition
Internal Audit COSO & COBIT: Chicago State University
Internal control-integrated framework, executive summary (book;may 2013)
IT governance & control an analysis of COBIT 4.1: mark longo
Auditing and internal control: amalia wulandari
Audit Sistem Informasi Perkreditan menggunakan framework COBIT 4.1 Domain
Monitor and Evaluate (Studi Kasus di PT Bank Rakyat Indonesia (Persero) TBK Cabang
Ambon
Evaluasi Sistem E-Government Kota Denpasar Menggunakan Framework COBIT 5 pada
Domain Monitor, Evaluate and Assess (MEA) : NyomanAdi