PROSES AUDIT TI

Dosen Pengampu:

Anissa Hakim Purwantini, S.E., M. Sc

Disusun oleh

Kelompok 2:

Dyan Wicaksono 19.0102.0074

Gagas Julio 18.0102.0102

Endah Ayuning Prastyowati 16.0102.0082

Dimas Fiftakhul Falah 16.0102.0084

Widji Widyastuti 16.0102.0089

Eva Zaqiyah 16.0102.0097

Nurul Ma’rifatun N 16.0102.0106

Baety Nurjanah 16.0102.0115

Dwi dela Infantriani R. 16.0102.0124

FAKULTAS EKONOMI DAN BISNIS PRODI AKUNTANSI

UNIVERSITAS MUHAMMADIYAH MAGELANG

TAHUN 2019
 Peran audit TI terus menjadi mekanisme penting untuk memastikan integritas
sistem informasi dan pelaporan keuangan organisasi untuk mencegah kegagalan keuangan di
masa depan seperti Enron (2001) dan WorldCom (2002). Sayangnya, kegagalan ini terus
terjadi. Ekonomi global lebih saling tergantung dari sebelumnya dan risiko geopolitik
berdampak pada semua orang. Infrastruktur dan perdagangan elektronik terintegrasi dalam
proses bisnis di seluruh dunia. Kebutuhan untuk mengendalikan dan mengaudit TI tidak
pernah lebih besar. Auditor TI saat ini dihadapkan dengan banyak kekhawatiran tentang
paparan sistem informasi ke banyak risiko. Dari keprihatinan ini muncul tujuan untuk proses
dan fungsi audit. Bab ini membahas proses audit untuk TI dan tuntutan yang akan
ditempatkan pada profesi di masa depan.
Audit Universe
Salah satu praktik terbaik untuk fungsi audit adalah memiliki semesta audit. Audit
semesta adalah inventarisasi semua area audit potensial dalam suatu organisasi. Area audit
fungsional dasar dalam suatu organisasi meliputi penjualan, pemasaran, layanan pelanggan,
operasi, penelitian dan pengembangan, keuangan, sumber daya manusia, teknologi informasi,
dan hukum. Semesta audit mendokumentasikan kuncinya proses bisnis dan risiko organisasi.
Mendokumentasikan proses dan, khususnya, risiko telah terbukti menjadi praktik terbaik bagi
organisasi. Standar Kinerja fte IIA 2010 mendorong pembentukan rencana berbasis risiko
untuk menentukan prioritas kegiatan audit internal.
Semesta audit mencakup area audit fungsional dasar, tujuan organisasi, proses
bisnis utama yang mendukung tujuan organisasi tersebut, tujuan audit spesifik, risiko tidak
mencapai tujuan tersebut, dan kontrol yang memitigasi risiko. Mengikat semesta audit
dengan tujuan organisasi mengaitkan seluruh proses audit dengan tujuan dan risiko bisnis,
membuatnya lebih mudah untuk mengkomunikasikan dampak dari kekurangan kontrol.
Semesta audit juga merupakan blok bangunan penting untuk proses audit internal
berbasis risiko yang tepat. Biasanya, kelompok audit internal menyiapkan jadwal audit
tahunan untuk menentukan jumlah jam yang tersedia dan jumlah audit yang dapat dilakukan.
Audit semesta adalah proses yang berkelanjutan; ketika organisasi berubah, risiko baru
muncul atau risiko yang ada berubah, dan peraturan baru diperkenalkan. Organisasi dapat
menghapus audit prioritas rendah dari jadwal atau menyewa auditor eksternal untuk
menambah staf internal.
Audit TI, misalnya, memiliki proses TI spesifik untuk dimasukkan dalam semesta audit.
Tujuan Pengendalian untuk Teknologi Informasi dan Terkait (COBIT) menyediakan daftar
komprehensif proses TI kritis, yang dapat digunakan sebagai titik awal.
COBIT
COBIT adalah seperangkat praktik IT internasional yang diterima secara umum
atau tujuan kontrol yang membantu karyawan, manajer, eksekutif, dan auditor dalam:
memahami sistem TI, melepaskan tanggung jawab fidusia, dan memutuskan tingkat
keamanan dan kontrol yang memadai.
COBIT mendukung kebutuhan untuk meneliti, mengembangkan, mempublikasikan,
dan mempromosikan tujuan pengendalian TI yang diterima secara internasional. Penekanan
utama kerangka COBIT yang dikeluarkan oleh Audit dan Control Sistem Informasi pada
tahun 1996 adalah untuk memastikan bahwa teknologi memberikan bisnis dengan informasi
yang relevan, tepat waktu, dan berkualitas untuk tujuan pengambilan keputusan. Kerangka
kerja COBIT, sekarang pada edisi kelima (COBIT 5), telah berevolusi selama bertahun-tahun
dan setiap kali ada perubahan besar pada kerangka kerja, kerangka kerja diberi nomor versi
sekarang.
Manfaat dari kerangka kerja standar untuk kendali TI, seperti COBIT, adalah bahwa ia
memungkinkan manajemen untuk membandingkan lingkungannya dan membandingkannya
dengan organisasi lain. Auditor TI juga dapat menggunakan COBIT untuk memperkuat
penilaian dan pendapat kontrol internal mereka. Karena kerangka kerjanya komprehensif,
memberikan jaminan bahwa keamanan dan kontrol TI ada.
COBIT 5, yang dapat diunduh dari [Link], membantu organisasi
menciptakan nilai optimal dari TI dengan menjaga keseimbangan antara mewujudkan
manfaat dan mengoptimalkan tingkat risiko dan penggunaan sumber daya. COBIT 5
didasarkan pada lima prinsip (lihat Tampilan 3.2). COBIT 5 mempertimbangkan kebutuhan
TI dari pemangku kepentingan internal dan eksternal (Prinsip 1), sementara sepenuhnya
mencakup tata kelola dan manajemen informasi organisasi dan teknologi terkait (Prinsip 2).
COBIT 5 menyediakan kerangka kerja terintegrasi yang selaras dan terintegrasi dengan
kerangka kerja lainnya (mis., Komite Organisasi Sponsoring dari Komisi Treadway-
Manajemen Risiko Perusahaan (COSO-ERM), dll.), Standar, dan praktik terbaik yang
digunakan (Prinsip 3). COBIT 5 memungkinkan TI untuk diatur dan dikelola secara holistik
untuk seluruh organisasi (Prinsip 4) melalui:
a) Menetapkan prinsip, kebijakan, dan panduan praktis untuk manajemen sehari-hari.
b) Menerapkan proses untuk mencapai sasaran dan sasaran terkait TI secara keseluruhan
Menggunakan kuesioner analisis risiko
◾ Menganalisis tren laporan keuangan

◾ Mengisi daftar periksa polis asuransi

Keamanan absolut dari utas dan risiko di lingkungan teknologi saat ini tidak
realistis. Penilaian risiko, menurut Institut Nasional Standar dan Teknologi (NIST) Publikasi
Khusus 800-30, digunakan untuk membantu organisasi menentukan tingkat potensi ancaman
dan risiko yang terkait dengan sistem dan aplikasi TI. Hasil dari bantuan di atas membantu
manajemen dalam mengidentifikasi dan menerapkan kontrol TI yang tepat untuk mengurangi
atau menghilangkan ancaman dan risiko tersebut selama proses mitigasi. NIST
merekomendasikan bahwa untuk penilaian risiko, penting bagi organisasi untuk mengikuti
langkah-langkah ini:
1. Siapkan proses untuk mengidentifikasi atau mengkarakterisasi aset (mis., Aplikasi
keuangan, dll.).
2. Tetapkan kerentanan pada aset tersebut dan sumber ancaman yang dapat memicu
mereka.
3. Tentukan tingkat kemungkinan atau probabilitas (mis., Sangat tinggi, tinggi, sedang,
dll.) Yang dapat dilakukan kerentanan. Misalnya, probabilitas sangat tinggi = 1,00,
tinggi = 0,75, sedang = 0,50, rendah = 0,25, dan sangat rendah = 0,10 dapat
ditetapkan untuk setiap kerentanan berdasarkan estimasi organisasi tentang tingkat
kemungkinannya.
4. Tetapkan besarnya dampak untuk menentukan seberapa sensitif aset tersebut terhadap
ancaman yang dilakukan dengan sukses. Besaran dampak dan nilai tingkat dampak
biasanya ditugaskan oleh manajemen untuk setiap ancaman yang berhasil yang dapat
menimbulkan kerentanan.
5. Aset terkait dengan TI koresponden dan / atau risiko bisnis.
1. Hitung peringkat risiko dengan mengalikan probabilitas yang diberikan dari Langkah
3 di atas (mis., 1,00, 0,75, dll.) Dikali nilai tingkat dampak yang ditetapkan pada
Langkah 4.
2. Merekomendasikan kontrol yang diperlukan untuk mengurangi risiko sesuai dengan
prioritas atau peringkat mereka.
Terserah organisasi untuk menentukan bagaimana menghadapi risiko yang telah
mereka identifikasi: ambil kesempatan dan hiduplah dengan mereka atau ambil tindakan
untuk melindungi aset mereka. Pada saat yang sama, mereka harus mempertimbangkan biaya
yang terkait dengan penerapan kontrol, dampaknya terhadap pengguna, tenaga kerja yang
diperlukan untuk mengimplementasikan dan mengelolanya, dan ruang lingkup tindakan.
Tampilan 3.3 menunjukkan contoh penilaian risiko TI yang dilakukan untuk mengidentifikasi
dan memprioritaskan risiko dalam aplikasi keuangan. Penilaian risiko dibahas secara lebih
rinci dalam bab selanjutnya.
Penilaian Risiko

Penilaian risiko merupakan dasar dari fungsi audit karena dapat membantu dalam
mengembangkan proses untuk merencanakan audit individual. Secara khusus, penilaian
risiko mencakup:

 Meningkatkan kualitas, kuantitas, dan aksesibilitas data perencanaan, seperti daerah

berisiko, audit masa lalu dan hasil, dan informasi anggaran;
 Memeriksa proyek-proyek audit yang potensial; dan
 Menyediakan kerangka kerja untuk mengalokasikan sumber daya audit untuk
mencapai manfaat maksimal.

Pendekatan penilaian risiko memberikan kriteria yang jelas untuk mengevaluasi dan memilih
audit ini. Dalam lingkungan saat ini, sulit untuk mengikuti organisasi dan peraturan yang
mengalami perubahan untuk memberikan informasi yang akurat tentang pengendalian
internal. Sebuah proses perencanaan penilaian risiko yang efektif memungkinkan audit untuk
lebih fleksibel dan efisien dalam memenuhi kebutuhan organisasi yang mengalami
perubahan, seperti:

 Mengidentifikasi daerah yang berisiko baru.

 Mengidentifikasi perubahan di daerah risiko yang ada.
 Mengakses informasi peraturan dan hukum saat ini
 Mengambil keuntungan dari informasi yang dikumpulkan selama proses audit untuk
meningkatkan penilaian risiko.

Dalam penilaian risiko TI, misalnya, aplikasi keuangan audit yang umum dapat diidentifikasi,
dinilai, dan diprioritaskan. Kontrol (pengamanan) juga dapat diidentifikasi untuk dapat
mengatasi dan mengurangi risiko tersebut. Risiko TI dalam aplikasi keuangan juga dapat
diidentifikasi melalui:
  Audit, review, inspeksi
 Membaca diagram alur operasi
 Menggunakan kuesioner analisis risiko
 Menganalisis tren laporan keuangan
 Melengkapi daftar periksa polis asuransi

Institut Nasional Standar dan Teknologi (NIST) merekomendasikan bahwa untuk penilaian
risiko, suatu organisasi harus mengikuti langkah-langkah berikut ini:

1. Memiliki suatu aplikasi proses untuk dapat mengidentifikasi atau ciri aset (misalnya,
aplikasi keuangan, dll).
2. Menentukan kerentanan pada aset dan ancaman-sumber yang dapat memicu suatu
risiko.
3. Menentukan kemungkinan atau tingkat probabilitas (misalnya, sangat tinggi, tinggi,
sedang, dll) bahwa kerentanan dapat dilaksanakan. Sebagai contoh, probabilitas yang
sangat tinggi = 1,00, tinggi = 0,75, sedang = 0,50, rendah = 0,25, dan sangat rendah =
0,10 dapat ditugaskan untuk setiap kerentanan berdasarkan estimasi organisasi tingkat
kemungkinannya.
4. Menetapkan besarnya dampak untuk menentukan seberapa sensitif aset terhadap
ancaman.
5. Aset asosiasi dengan koresponden risiko TI dan/atau bisnis.
6. Peringkat risiko komputer dengan mengalikan probabilitas yang ada di langkah 3 di
atas (misalnya, 1.00, 0.75, dll) dikali dengan nilai tingkat dampak yang ada di langkah
4.
7. Kenalkan kontrol atau pengendalian yang diperlukan untuk mengurangi risiko sesuai
dengan prioritasnya atau peringkatnya.

Rencana Audit

Fungsi audit harus dapat merumuskan baik itu jangka panjang dan rencana tahunan.
Perencanaan adalah fungsi dasar yang diperlukan untuk menggambarkan apa yang harus
dicapai, termasuk anggaran waktu dan biaya, dan prioritas negara sesuai dengan tujuan dan
kebijakan organisasi. Tujuan dari perencanaan audit untuk mengoptimalkan penggunaan
sumber daya audit. Untuk mengalokasikan sumber daya audit yang efektif, departemen audit
internal harus mendapatkan pemahaman yang komprehensif tentang lingkungan audit dan
risiko yang terkait dengan setiap item lingkungannya. Kegagalan untuk memilih item yang
tepat dapat mengakibatkan hilangnya kesempatan untuk meningkatkan kontrol dan efisiensi
operasional. Departemen audit internal yang mengembangkan dan memelihara file audit
harus menyediakan kerangka yang solid untuk perencanaan audit.

Maksud dari rencana audit adalah untuk memberikan pendekatan secara keseluruhan
dimana perikatan audit dapat dilakukan. Ini memberikan panduan untuk mengaudit proses
yang terpisahkan dari [Link] dan manajemen harus berpartisipasi dan
mendukung upaya ini sepenuhnya. Bidang TI adalah teknologi yang kompleks dan memiliki
bahasa sendiri. Dalam perumusan rencana audit TI, dan khususnya auditor TI sendiri, harus
memiliki pengalaman dan pelatihan dalam hal-hal teknis yang memadai untuk dapat
memahami konsep-konsep kunci dan abstraksi tentang sistem aplikasi. Sebagai contoh,
abstraksi tentang TI mungkin termasuk aspek penting yang rentan terhadap penamaan,
menghitung, atau konseptualisasi.

Berdasarkan identifikasi masalah, auditor IT menentukan apa yang mungkin

dibutuhkan data tambahan untuk mencapai keputusan evaluasi. Oleh karena itu, proses audit
harus cukup fleksibel untuk menggabungkan tenaga terampil, teknologi baru, dan teknik
audit dengan cara-cara baru untuk memenuhi setiap situasi. Sistem yang dipahami buruk
(atau yang telah dirancang tanpa kontrol yang memadai) dapat menghasilkan pendapatan
yang hilang, biaya meningkat, dan mungkin bencana atau penipuan.

Selama fase perencanaan audit, manajer TI audit harus bertemu dengan chief
information officer (CIO) dan anggota senior manajemen TI untuk mendapatkan masukan
dan persetujuan mereka dengan penilaian risiko dari proses TI audit. Rencana audit TI
menjadi segmen diskrit yang menggambarkan sistem aplikasi sebagai rangkaian dari tugas
audit yang dikelola dan langkah-langkah yang baik. Pada perencanaan atau keterlibatan
tingkat rinci, segmen ini akan memiliki tujuan yang disesuaikan dengan kebutuhan untuk
melaksanakan tujuan organisasi dan tujuan dalam keadaan audit. Rencana audit TI, setelah
mengumpulkan pemahaman yang komprehensif tentang lingkungan audit dan risiko yang
terkait, harus:

1. Menyebutkan tujuan audit dan menggambarkan konteks.

2. Mengembangkan jadwal pemeriksaan.
3. Membuat anggaran audit dan menentukan ruang lingkup.
 4. Mendaftar anggota tim audit, menggambarkan tugas-tugas audit, menentukan tenggat
waktu.

Tujuan dan Konteks

Tujuan dan konteks pekerjaan merupakan elemen kunci dalam lingkungan audit yang
apapun dan tidak boleh diabaikan. Tujuannya adalah apa yang sedang mencoba untuk
dicapai. Konteksnya adalah lingkungan di mana pekerjaan akan dilakukan. Dengan demikian,
segala sesuatu akhirnya tergantung pada kedua tujuan dan konteks pekerjaan yang akan
dilakukan. Artinya, keputusan yang dibuat tentang ruang lingkup, sifat, dan waktu pekerjaan
audit tergantung pada apa auditor coba lakukan (misalnya, jaminan keuntungan dari
keseimbangan Piutang, memastikan bahwa aplikasi keuangan baru-diterapkan akan bekerja
dengan benar, menilai apakah website klien aman, dll) dan lingkungan dia/dia bekerja di
(misalnya, besar versus perusahaan kecil, sebuah organisasi domestik dengan sistem terpusat
versus multinasional dengan beberapa divisi, sebuah organisasi berbasis di New York versus
satu yang berbasis di North Dakota, dll). Auditor harus menilai konteks yang ia telah masuk
dan membuat keputusan tentang bagaimana lingkungan harus ditangani (misalnya,
perusahaan besar, perusahaan kecil, staf besar, staf kecil, dll).

Dengan mendefinisikan tujuan dan konteks pekerjaan yang tepat, manajemen dapat
memastikan bahwa audit akan memverifikasi fungsi dan kontrol dari semua bidang Audit
kunci yang benar. Sebuah tujuan/konteks umum ditetapkan untuk audit TI adalah untuk
mendukung audit laporan keuangan.

IT audit yang dilakukan untuk Mendukung Audit Laporan Keuangan

Untuk aplikasi yang digunakan untuk mendukung proses bisnis yang signifikan,
auditor harus menentukan kecanggihan dan luasnya penggunaannya. Studi pendahuluan ini
berlangsung hanya cukup untuk mengevaluasi kompleksitas dan kecanggihan dari aplikasi
dan menentukan prosedur yang harus diikuti dalam mengevaluasi pengendalian internalnya.
Hasil audit TI aplikasi keuangan memiliki hubungan langsung dengan pengujian substantif
yang dilakukan oleh auditor keuangan. Pengujian substantif melibatkan prosedur audit yang
diperlukan untuk memeriksa dan mendukung laporan keuangan (misalnya, mengkonfirmasi
saldo rekening, memeriksa dokumentasi, re-melakukan prosedur, bertanya tentang atau
mengamati transaksi, dll). Prosedur ini memberikan bukti yang diperlukan untuk mendukung
pernyataan bahwa catatan keuangan organisasi memang valid, akurat, dan lengkap.
 Hasil atau temuan dari audit TI biasanya menentukan jumlah pengujian substantif
yang akan dilakukan oleh auditor keuangan. Jika hasil yang efektif (yaitu, kontrol TI
ditemukan berada di tempat dan beroperasi dengan benar), pekerjaan auditor keuangan akan
kemungkinan besar akan kurang pada bagian tertentu dari audit. Di sisi lain, jika tidak ada
kontrol IT di tempat melindungi aplikasi keuangan, atau jika TI yang ada kontrol tidak
beroperasi secara efektif, jumlah pengujian substantif yang dilakukan oleh auditor keuangan
akan jauh lebih tinggi. Langkah berikutnya dalam rencana audit adalah pengembangan dari
jadwal audit, seperti waktu yang dibutuhkan untuk menyelesaikan audit, peningkatan biaya
kepada klien, dll.

Jadwal Audit

Departemen audit internal membuat jadwal audit tahunan untuk mendapatkan

persetujuan dari dewan, berkomunikasi dengan departemen fungsional, dan membuat rencana
proyek/sumber daya untuk tahun ini. Jadwal audit harus dikaitkan dengan tujuan bisnis saat
ini dan risiko berdasarkan biaya relatif dalam hal potensi kehilangan goodwill, kehilangan
pendapatan, atau ketidakpatuhan terhadap hukum dan peraturan. Penciptaan jadwal tahunan
adalah proses penentuan jam pemeriksaan total yang tersedia, kemudian menetapkan daerah
audit untuk mengisi waktu yang tersedia. Seperti disebutkan sebelumnya, untuk
memaksimalkan proses penilaian risiko, “berisiko tinggi” harus diberikan prioritas
pemeriksaan atas.

Jadwal penciptaan harus dilakukan bersamaan dengan proses penilaian risiko tahunan;
ini akan memungkinkan departemen audit internal untuk memperhitungkan perubahan dalam
peringkat risiko dan membuat penambahan yang diperlukan atau penghapusan. Jadwal audit
juga akan perlu disepakati dengan komite audit sebagai bagian dari proses perencanaan audit
secara keseluruhan. Setelah jam audit yang tersedia ditentukan, manajemen audit dapat terus
mempersiapkan rencana audit.

Audit Anggaran dan Penjajakan

Anggaran audit harus dibuat setelah jadwal audit ditentukan. Namun, sebagian besar
organisasi memiliki anggaran dan kendala sumber daya. Sebuah pendekatan alternatif
mungkin diperlukan ketika membangun jadwal audit. Setelah menentukan prioritas audit,
audit manajemen akan menentukan jumlah jam yang tersedia untuk memutuskan berapa
banyak audit yang sapat diselesaikan dalam setahun. Untuk audit TI tertentu, jam tercantum
per area, personel staf, dll. Ruang lingkup audit mendefinisikan area (s) (misalnya, aplikasi
keuangan yang relevan, database, sistem operasi, jaringan, dll) untuk ditinjau. Nama-nama
aplikasi keuangan dan database juga harus dijelaskan bersama dengan informasi hosting
mereka (misalnya, lokasi server, dll).

Ruang lingkup harus secara jelas mengidentifikasi proses bisnis penting yang
didukung oleh aplikasi keuangan yang dipilih. Asosiasi ini biasanya membenarkan relevansi
aplikasi dan, karenanya, dimasukkannya sebagai bagian dari audit. Ruang lingkup harus lebih
menyatakan bidang umum kontrol, tujuan pengendalian, dan kegiatan kontrol yang akan
menjalani ulasan.

Tim Audit, Tugas, dan Batas Waktu

Rencana audit harus menyertakan bagian daftar anggota audit, judul dan posisi
mereka, dan tugas-tugas umum mereka akan memiliki. Auditor tingkat senior tidak hanya
mengawasi pekerjaan staf auditor, tetapi membimbing mereka dalam melakukan pekerjaan
(misalnya, menemani auditor staf untuk bertemu dengan pengguna, membantu staf dalam
memilih apa informasi spesifik harus dikumpulkan, bagaimana untuk mendokumentasikan
informasi tersebut dalam kertas kerja, dll). Berikutnya adalah manajer atau manajer senior
(manajer senior biasanya terlibat sebagai bagian dari audit besar) yang mengawasi pekerjaan
audit yang dibuat oleh staf dan dikaji oleh senior. Manajer melakukan tinjauan rinci dari
kertas kerja dan memastikan tujuan audit telah dicapai.

Terakhir, PPD melakukan review tingkat tinggi dari pekerjaan (seperti yang
disediakan oleh pengelola), dengan fokus pada daerah berisiko tinggi, kontrol di tempat yang
tidak memadai dirancang atau beroperasi secara efektif, temuan diidentifikasi dan dampaknya
terhadap audit secara keseluruhan, dll . PPD cenderung mengandalkan ulasan rinci dilakukan
oleh manajer atau manajer senior, dan juga memastikan tujuan keseluruhan audit telah
dicapai. Tenggat waktu adalah komponen penting dari rencana audit. Mereka harus ditinjau
dan disetujui dengan organisasi klien dari awal audit sehingga mereka memenuhi persyaratan
yang ditetapkan oleh pihak ketiga (misalnya, bank, lembaga keuangan, dll) dan regulator
(misalnya, pemerintah, organisasi swasta, dll) . Tenggat waktu harus dipikirkan dari
memperhitungkan informasi dan sumber daya yang harus tersedia untuk melakukan
pekerjaan audit dalam persyaratan yang ditetapkan.
 Memo perencanaan pemeriksaan (“perencanaan memo”) adalah bagian dari kertas
kerja auditor dan mendokumentasikan bagian yang baru saja dijelaskan. Memo perencanaan
biasanya disiapkan oleh senior perikatan audit, dan ditinjau oleh manajer sebelum
mengirimkan ke PPD untuk persetujuan. Lampiran 1 menunjukkan format memo
perencanaan TI yang khas, termasuk prosedur yang dapat dilakukan oleh auditor IT
sehubungan dengan perikatan audit. Memo perencanaan dapat disesuaikan untuk fakta-fakta
tertentu dan keadaan perikatan audit. Ini termasuk menghapus bagian yang tidak berlaku.
Memo dalam Lampiran 1 mencakup beberapa kata-kata dalam huruf miring yang baik
tertutup dalam tanda kurung atau tanda kurung. Format ini digunakan untuk menunjukkan
informasi yang akan diganti yang berlaku, atau yang memandu penyelesaian memo.

Proses Audit

Pernyataan tentang Standar Audit (SAS No. 1) memiliki efek mandat seragam,
berorientasi proses pendekatan untuk perikatan audit. Pendekatan yang digambarkan adalah
teknik proses yang benar. Perbedaan dalam audit TI adalah pendekatan khusus untuk
pekerjaan audit dan keterampilan yang diperlukan untuk memahami teknologi dan
lingkungan kendali TI. Itu fase kegiatan audit biasanya tumpang tindih dan melibatkan
beberapa penilaian ulang dan penelusuran kembali prosedur dilakukan sebelumnya. Fase
umum perikatan audit ditunjukkan dalam Tampilan dibawah ini. Dua fase pertama, Penilaian
Risiko dan Rencana Audit, telah dijelaskan di atas. Berikut ini penjelasan tentang fase yang
tersisa terkait dengan audit TI.
Ulasan Pendahuuan

Dalam fase ini, auditor harus mendapatkan dan meninjau informasi tingkat ringkasan
dan mengevaluasinya dalam kaitannya dengan tujuan audit. Tujuan dari fase tinjauan
pendahuluan audit TI keterlibatan adalah untuk mengumpulkan pemahaman tentang
lingkungan TI, termasuk kontrol di tempat yang penting untuk memenuhi tujuan audit secara
keseluruhan. Auditor TI melakukan pendahuluan ini meninjau pada tingkat umum, tanpa
memeriksa rincian aplikasi individual dan prosesnya terlibat. Sebaliknya, auditor TI
mewawancarai personel kunci untuk menentukan kebijakan dan praktik, dan menyiapkan
informasi audit tambahan sesuai kebutuhan. Informasi tinjauan pendahuluan berfungsi
sebagai a dasar untuk mendukung informasi yang termasuk dalam rencana audit TI.

Informasi Umum Tetang Lingkungan IT

Seperti dibahas sebelumnya, TI didefinisikan sebagai perangkat keras, perangkat

lunak, komunikasi, dan lainnya fasilitas yang digunakan untuk memasukkan, menyimpan,
mengolah, mengirim, dan mengeluarkan data dalam bentuk apa pun. IT lingkungan mengacu
pada kebijakan, prosedur, dan praktik yang diterapkan oleh organisasi untuk memprogram,
menguji, mengirim, memantau, mengontrol, dan mendukung infrastruktur TI mereka (mis.
perangkat keras, perangkat lunak, jaringan, dll.). Lingkungan TI juga mencakup aplikasi dan
program yang digunakan oleh organisasi untuk mendukung operasi bisnis yang kritis (mis.,
operasi keuangan) dan mencapai bisnis strategi.

Auditor TI memulai proses pemeriksaan dengan berkenalan, secara umum, dengan

perusahaan, lini bisnisnya, dan lingkungan TI, termasuk sistem aplikasi keuangannya.
Biasanya, auditor TI akan mengunjungi fasilitas perusahaan klien dan mengamati bisnis
umum operasi yang bergantung pada layanan pelanggan serta pada fungsi keuangan yang
ketat.

Auditor TI harus mendapatkan pemahaman yang mendalam tentang lingkungan TI,

khususnya bagaimana organisasi merespons risiko yang timbul dari TI, dan apakah kendali
TI sudah ada dirancang dan dioperasikan secara memadai untuk mengatasi risiko-risiko
tersebut. Dari sudut pandang keuangan, pengetahuan tentang lingkungan TI sangat penting
bagi auditor TI untuk memahami bagaimana keuangannya transaksi dimulai, disahkan,
direkam, diproses, dan dilaporkan dalam keuangan pernyataan.
 Untuk sistem aplikasi yang organisasi gunakan komputer untuk memproses keuangan
yang signifikan data, auditor TI akan mengumpulkan sejumlah item spesifik dari materi
bukti, seperti:

1). Kebijakan dan prosedur yang diterapkan organisasi dan infrastruktur TI dan perangkat
lunak aplikasi yang digunakannya untuk mendukung operasi bisnis dan mencapai
bisnis strategi.
2). Narasi atau diagram alur aplikasi keuangan, termasuk nama server, dibuat dan model,
antara lain sistem operasi, database, dan lokasi fisik.
3). Apakah aplikasi keuangan dikembangkan sendiri, dibeli dengan sedikit atau tanpa
penyesuaian, dibeli dengan kustomisasi yang signifikan, atau hak milik yang
disediakan oleh layanan organisasi.
4). Apakah organisasi layanan meng-host aplikasi keuangan dan jika demikian, apa saja
aplikasi ini dan layanan terkait apa yang mereka lakukan.
5). Kontrol diterapkan untuk mendukung area operasi sistem informasi, seperti yang
mendukung penjadwalan pekerjaan, data dan pemulihan, cadangan, dan penyimpanan
di luar kantor.
6). Kontrol diterapkan untuk mendukung bidang keamanan informasi, seperti yang
mendukung teknik otentikasi (mis., kata sandi), akses baru atau prosedur terminasi,
penggunaan firewall dan bagaimana cara mengkonfigurasi, keamanan fisik, dll.
7). Kontrol diterapkan untuk mendukung area manajemen kontrol perubahan, seperti
yang mendukung implementasi perubahan ke dalam aplikasi, sistem operasi, dan basis
data; menguji apakah akses programmer cukup; dll.

Metode yang diterapkan dalam mengumpulkan data ini termasuk meninjau sistem
informasi komputer dan praktik antarmuka manusia, prosedur, dokumen, narasi, diagram
alur, dan tata letak catatan. Lain prosedur audit yang diterapkan untuk mengumpulkan data
meliputi: mengamati, mewawancarai, memeriksa yang ada dokumentasi, dan diagram alur,
antara lain. Teknik pemeriksaan fisik digunakan keduanya untuk mengumpulkan data dan
untuk memvalidasi dokumen atau representasi yang ada yang dibuat selama wawancara.

Banyak dari prosedur ini secara substansial sama terlepas dari apakah akuntansi
sistem terkomputerisasi atau tidak. Perbedaan yang terkait dengan audit sistem
terkomputerisasi berpusat pada perubahan kontrol, dokumentasi, teknik audit, dan kualifikasi
teknis dibutuhkan oleh anggota staf audit.
Desain Prosedur Audit

Dalam fase ini, auditor TI harus menyiapkan program audit untuk area yang diaudit,
pilih kontrol tujuan yang berlaku untuk setiap bidang, dan mengidentifikasi prosedur atau
kegiatan untuk menilai tujuan tersebut. Sebuah program audit berbeda dari kuesioner kontrol
internal (ICQ) karena ICQ melibatkan pertanyaan untuk mengevaluasi desain sistem kontrol
internal. Khususnya, ICQ memeriksa apakah kontrol diimplementasikan untuk mendeteksi,
mencegah, atau memperbaiki salah saji material. Kontrol tidak pada tempatnya akan
mewakili penyimpangan atau kekurangan dalam struktur kontrol internal. Program audit, di
sisi lain tangan, berisi prosedur khusus untuk menguji tanggapan yang diterima dari
pertanyaan yang diajukan, dengan demikian memperkuat bahwa kontrol yang diidentifikasi
sudah ada dan berfungsi seperti yang diharapkan oleh manajemen.

Program audit adalah rencana formal untuk meninjau dan menguji setiap bidang
subjek audit yang signifikan diungkapkan selama pengumpulan fakta. Auditor harus memilih
area subjek untuk pengujian yang memiliki signifikan berdampak pada kontrol aplikasi dan
orang-orang yang berada dalam ruang lingkup yang ditentukan oleh tujuan audit. Bidang
audit TI sangat spesifik untuk jenis audit. Untuk IT, COBIT sangat bagus titik awal karena
daftar risiko, tujuan, dan kontrol utama per area audit TI. Informasi ini kemudian harus
disesuaikan dengan tujuan, proses, dan teknologi organisasi tertentu.

Mengidentifikasi Aplikasi Keuangan

Dengan bantuan manajemen, auditor TI harus memutuskan sistem aplikasi apa yang
harus diperiksa pada tingkat yang lebih rinci (mis., pelingkupan). Sebagai dasar penyusunan
rencana audit, laporan Auditor TI juga harus menentukan, secara umum, berapa banyak
waktu yang akan dibutuhkan, tipe orang seperti apa dan keterampilan akan dibutuhkan untuk
melakukan pemeriksaan; dan, kira-kira, apa jadwalnya nanti. Identifikasi aplikasi keuangan
dapat diselesaikan dengan perolehan auditor terbiasa dengan prosedur dan proses akuntansi
organisasi. Pentingnya menentukan aplikasi keuangan yang signifikan harus diturunkan
melalui analisis pendahuluan. Penilaian kecanggihan aplikasi, kompleksitasnya, proses bisnis
mereka dukungan, dan tingkat penggunaan adalah faktor yang ikut berperan dalam
memutuskan apakah akan memilih aplikasi tersebut dan bagaimana seseorang dapat
mengevaluasinya. Seperti yang dinyatakan sebelumnya, fase tinjauan pendahuluan sangat
penting langkah dalam proses audit yang memeriksa sistem keuangan organisasi dan
menyediakan auditor dengan dasar untuk memilih area audit untuk analisis dan evaluasi yang
lebih rinci apakah mereka manual atau terkomputerisasi.

Auditor yang terlibat dalam peninjauan aplikasi keuangan harus memusatkan

perhatian mereka pada aplikasi tersebut aspek kontrol. Ini membutuhkan keterlibatan mereka
sejak transaksi dimulai sampai diposting ke buku besar umum organisasi. Secara khusus,
auditor harus memastikan hal itu ketentuan dibuat untuk:

a. Jejak audit yang memadai sehingga transaksi dapat dilacak maju dan mundur aplikasi
keuangan.
b. Dokumentasi dan keberadaan kontrol atas akuntansi untuk semua data (mis.,
Transaksi, dll) dimasukkan ke dalam aplikasi dan kontrol untuk memastikan integritas
transaksi tersebut di seluruh segmen aplikasi yang terkomputerisasi.
c. Menangani pengecualian, dan penolakan dari, aplikasi keuangan.
d. Unit dan pengujian terintegrasi, dengan kontrol di tempat untuk menentukan apakah
aplikasi lakukan seperti yang dinyatakan.
e. Kontrol atas perubahan pada aplikasi untuk menentukan apakah otorisasi yang tepat
telah telah diberikan dan didokumentasikan.
f. Prosedur otorisasi untuk penggantian sistem aplikasi dan dokumentasi proses-proses
tersebut.
g. Menentukan apakah kebijakan dan prosedur organisasi dan pemerintah dipatuhi
dalam implementasi sistem.
h. Melatih personel pengguna dalam pengoperasian aplikasi keuangan.
i. Mengembangkan kriteria evaluasi terperinci sehingga memungkinkan untuk
menentukan apakah dilaksanakan aplikasi telah memenuhi spesifikasi yang telah
ditentukan.
j. Kontrol yang memadai antara sistem aplikasi yang saling berhubungan.
k. Prosedur keamanan yang memadai untuk melindungi data pengguna.
l. Prosedur pencadangan dan pemulihan untuk pengoperasian aplikasi dan jaminan
keberlangsungan bisnis.
m. Memastikan teknologi yang disediakan oleh vendor yang berbeda (mis., Platform
operasional) kompatibel dan dikendalikan.
n. Database yang dirancang dan dikendalikan secara memadai untuk memastikan bahwa
definisi umum dari data adalah digunakan di seluruh organisasi, redundansi
 dihilangkan atau dikendalikan, dan data ada dalam banyak basis data diperbarui
secara bersamaan.

Daftar ini menegaskan bahwa auditor TI terutama berkaitan dengan kontrol yang
memadai untuk melindungi aset organisasi.

Kontrol Tes

Auditor TI melaksanakan beberapa prosedur untuk menguji kontrol, proses, dan

paparan yang jelas. Prosedur audit ini dapat mencakup memeriksa bukti dokumenter, serta
melakukan wawancara yang menguatkan, inspeksi, dan pengamatan pribadi.

Bukti dokumenter dapat terdiri dari berbagai bentuk dokumentasi pada sistem aplikasi
yang sedang ditinjau. Contohnya termasuk catatan dari pertemuan pada pokok masalah,
catatan programmer, dokumentasi sistem, tangkapan layar, buku petunjuk, dan dokumentasi
perubahan kontrol dari sistem atau perubahan operasi sejak awal, dan salinan kontrak jika
pihak ketiga terlibat. Memeriksa bukti dokumenter semacam itu mungkin mengharuskan
auditor TI untuk mengajukan pertanyaan kepada pengguna, pengembang dan manajer untuk
membantunya menetapkan kriteria pengujian yang sesuai untuk digunakan. Ini juga
membantu dalam mengidentifikasi aplikasi kritis dan proses yang akan diuji.

Wawancara yang menguatkan juga merupakan bagian dari proses pengujian, dan dapat
mencakup prosedur seperti:

 Mengajukan pertanyaan berbeda kepada personel yang berbeda dan membandingkan

jawaban mereka
 Mengajukan pertanyaan yang sama dengan cara yang berbeda di waktu yang berbeda
 Membandingkan jawaban untuk dokumentasi pendukung, kertas kerja, program, tes,
atau hasil yang dapat diverifikasi lainnya
 Membandingkan jawaban untuk pengamatan dan hasil sistem aktual

Sebuah contoh akan melibatkan mewawancarai seorang programmer untuk aplikasi yang
sedang ditinjau. Programmer menyatakan bahwa aplikasi telah mengalami perubahan terbaru
yang tidak tercermin dalam dokumentasi saat ini. Sangat penting untuk mengidentifikasi
perubahan apa itu jika area aplikasi dipilih untuk pengujian kontrol.

Untuk inspeksi dokumentasi, auditor TI dapat memperoleh pengaturan logis (Kata

sandi) yang saat ini dikonfigurasikan di tingkat jaringan organisasi, sistem operasi, dan
aplikasi keuangan. Yang paling penting adalah untuk mendapatkan dan menilai pengaturan
logis yang dikonfigurasi jaringan karena ini adalah tingkat otentikasi pertama sebelum
pengguna dapat memperoleh akses ke aplikasi keuangan. Pengaturan yang diterima kemudian
dibandingkan dengan kebijakan kata sandi organisasi untuk menentukan apakah mereka
sesuai atau tidak dengan kebijakan tersebut. Dengan tidak adanya kebijakan kata sandi,
pengaturan logis organisasi yang dikonfigurasi dibandingkan dengan standar industri atau
praktik terbaik. Dokumentasi yang mendukung pengaturan di atas biasanya pertama kali
diperoleh melalui wawancara dengan petugas keamanan informasi.

Prosedur audit umum lainnya untuk menguji dan memvalidasi informasi adalah
mengamati prosedur aktual yang terjadi. Dalam contoh di atas, auditor TI akan mengamati
pengaturan yang dikonfigurasikan dalam aplikasi keuangan dan meminta personel organisasi
untuk mencetak tangkapan layar untuk dokumentasi dalam kertas kerja audit. Dalam hal ini,
pengaturan seperti riwayat kata sandi yang dipaksakan, usia kata sandi minimum (atau
maksimum), panjang kata sandi minimum, kompleksitas kata sandi, durasi dan ambang
penguncian akun, dan apakah kata sandi telah disimpan menggunakan enkripsi yang dapat
dibalik adalah beberapa pengaturan yang biasanya dikumpulkan . Seorang auditor IT kertas
kerja yang mendokumentasikan pengujian beberapa pengaturan ini. Pengaturan kata sandi
aktual yang dikonfigurasi didokumentasikan di jaringan (atau tingkat otentikasi pertama),
sistem operasi, dan tingkat aplikasi keuangan. Juga perhatikan catatan dan tanda centang
(penjelasan) tentang informasi di dalamnya dan, yang paling penting, penilaian apakah
pengaturan kata sandi klien mematuhi kebijakan perusahaan yang ada, atau standar industri
dan praktik terbaik. Ketika pengaturan tidak mematuhi kebijakan atau standar industri atau
praktik terbaik, pengecualian audit (temuan) ditulis dan didaftarkan dalam kertas kerja
terpisah. Kertas kerja ini pada akhirnya akan membantu ketika menulis bagian temuan /
kekurangan dari Surat Manajemen. Contoh pengamatan kedua sebagai prosedur pengujian
akan melibatkan auditor TI yang memeriksa latihan pemulihan bencana. Di sini, auditor TI
dapat menentukan apakah personel mengikuti prosedur dan proses yang sesuai. Melalui
pengamatan pribadi , auditor dapat menilai dan menentukan apakah personel mengikuti
prosedur dan rencana operasi, dan cukup siap untuk simulasi bencana.

Pengujian Substantif

Ketika kontrol ditentukan tidak efektif, pengujian substantif mungkin diperlukan

untuk menentukan apakah ada masalah material dengan informasi keuangan yang dihasilkan.
Dalam audit TI, pengujian substantif digunakan untuk menentukan keakuratan dan
kelengkapan informasi yang dihasilkan oleh suatu proses atau aplikasi. Bertentangan dengan
pengujian kepatuhan di mana tujuan auditor adalah untuk mengkonfirmasi apakah organisasi
mematuhi kebijakan, prosedur, aturan, dan peraturan yang berlaku. Contoh prosedur uji
kepatuhan akan memverifikasi bahwa perubahan atau peningkatan dalam aplikasi keuangan
telah diuji, disetujui, dan didokumentasikan secara memadai sebelum penerapannya.

Tes audit substantif dirancang dan dilakukan untuk memverifikasi keakuratan

fungsional, efisiensi, dan kontrol subjek audit. Selama audit aplikasi keuangan, misalnya,
auditor TI akan membangun dan memproses data uji untuk memverifikasi langkah-langkah
proses dalam aplikasi tersebut.

Auditing-melalui-komputer adalah istilah yang melibatkan langkah-langkah di

samping yang disebutkan sebelumnya. Program dijalankan di komputer untuk menguji dan
mengotentikasi program aplikasi yang berjalan dalam pemrosesan normal. Biasanya, tim
audit keuangan akan memilih salah satu dari banyak paket Perangkat Lunak Audit Umum
seperti SAS, SPSS, Teknik Audit Berbantuan Komputer (CAAT), atau CA-Easytrieve (T)
dan menentukan perubahan apa yang diperlukan untuk menjalankan perangkat lunak di
instalasi. Auditor keuangan menggunakan perangkat lunak khusus ini untuk melakukan
pengambilan sampel, ekstraksi data, pelaporan pengecualian, meringkas dan total kaki, dan
tugas-tugas lainnya. Mereka juga menggunakan paket-paket seperti Microsoft Access, Excel,
IDEA, atau ACL karena kemampuan analisis dan pelaporan mereka yang mendalam.

CAAT, misalnya, menggunakan spesifikasi yang disediakan auditor untuk

menghasilkan program yang melakukan fungsi audit, seperti mengevaluasi kontrol aplikasi,
memilih dan menganalisis data terkomputerisasi untuk tes audit substantif, dll. Pada
dasarnya, CAAT mengotomatiskan dan menyederhanakan proses audit, dan ini itulah
sebabnya tim audit (eksternal dan internal) semakin menggunakannya. Bahkan, banyak
organisasi telah menginstal Perangkat Lunak Audit Umum untuk auditor internal mereka agar
mereka dapat mengumpulkan informasi dan melakukan tes audit yang direncanakan.
Pemilihan yang tepat dan penggunaan efektif alat audit ini sangat penting tidak hanya untuk

melakukan pengujian audit yang memadai tetapi juga untuk mendokumentasikan hasil.

Hasil Dokumen
 Tahap berikutnya dari audit melibatkan hasil dari dokumentasikan dari pekerjaan
yang dilakukan, serta laporan-laporan temuan dilapangan. Hasil audit harus mencakup
deskripsi temuan audit, kesimpulan, dan rekomendasi.

Temuan Audit

Istilah Temuan, pengecualian, kekurangan, penyimpangan, masalah, dan masalah

pada dasarnya identik dalam dunia audit, dan berarti auditor mengidentifikasi situasi di mana
kontrol, prosedur, atau ketidakefisienan dapat ditingkatkan. Temuan mengidentifikasi dan
menjelaskan tidak akurat, tidak efisien, atau tidak cukup dikendalikan subyek audit. Contoh
audit temuan TI akan menjadi perubahan diimplementasikan ke dalam aplikasi keuangan
yang tidak termasuk otorisasi manajemen yang tepat. Contoh lain akan mencakup auditor IT
menemukan bahwa pengguna organisasi prosedur tidak memerlukan izin manajemen
sebelum menerapkan perubahan ke dalam aplikasi.

Temuan audit harus secara individual didokumentasikan dan setidaknya harus

mencakup sebagai berikut:

1. Nama lingkungan IT (sistem operasi aplikasi keuangan yang relevan dan dievaluasi)
2. Bidang IT yang terkena (IS operasi, keamanan informasi, perubahan manajemen
kontrol) berdasarkan referensi kertas tes di mana temuan itu diidentifikasi
3. pengendalian umum tujuan dan aktivitas yang gagal,
penjelasan singkat dari temuan
4. temuan secara resmi dikomunikasikan kepada manajemen (ini harus merujuk Surat
Manajemen dalam Laporan Auditor)
Klasifikasi individu temuan per standar audit AU 325, Komunikasi Tentang
Pengendalian Kekurangan dalam Audit Laporan Keuangan, baik sebagai kekurangan
kekurangan, atau kelemahan yang material*

Evaluasi temuan, khususnya identifikasi pada tingkat desain (yaitu, tidak ada kontrol umum
di tempat) atau pada tingkat operasional (yaitu, kontrol umum adalah di tempat, tapi tidak
menguji secara efektif).

Apakah temuan tersebut merupakan atau tidak risiko meresap atau badan-tingkat

Apakah temuan tersebut dapat dikurangi dengan kompensasi kontrol umum lainnya, dan jika
demikian, termasuk referensi ke tempat kontrol ini telah diuji dengan sukses.
 Bentuk temuan audit (misalnya, General Komputer Kontrol Temuan Bentuk, dll)
dapat digunakan untuk meninjau masalah pengendalian diidentifikasi dengan manajer TI
yang bertanggung jawab untuk menyetujui tindakan korektif. Informasi ini kemudian dapat
digunakan untuk menyiapkan Surat Manajemen formal yang akan menemani Laporan Audit
dan tindakan korektif tindak lanjut. Mengambil tindakan korektif dapat mengakibatkan
peningkatan produktivitas; yang pencegahan penipuan; atau pencegahan kerugian keuangan,
personal cedera, atau kerusakan lingkungan.

Kesimpulan dan Rekomendasi

Kesimpulan pendapat auditor, berdasarkan bukti-bukti yang terdokumentasi, yang

menentukan apakah suatu wilayah subjek audit yang memenuhi tujuan audit. Semua
kesimpulan harus berdasarkan data faktual yang diperoleh dan didokumentasikan oleh auditor
sebagai hasil dari kegiatan audit. Sejauh mana kesimpulan yang didukung oleh bukti adalah
fungsi dari jumlah bukti diamankan oleh auditor. Kesimpulan didokumentasikan dalam kertas
kerja audit dan harus mendukung prosedur audit yang dilakukan. kertas kerja adalah koleksi
formal tulisan yang bersangkutan, dokumen, diagram alur, korespondensi, hasil pengamatan,
rencana dan hasil tes, rencana audit, risalah rapat, catatan terkomputerisasi, file data atau
hasil aplikasi, dan evaluasi yang mendokumentasikan kegiatan auditor untuk periode audit
keseluruhan. Sebuah lengkap, terorganisasi, dan dapat dibaca dari kertas kerja sangat penting
untuk mendukung temuan, kesimpulan, dan rekomendasi sebagaimana dinyatakan dalam
Laporan Audit. Biasanya, salinan Laporan Audit akhir diajukan dalam kertas kerja.

Rekomendasi adalah pernyataan formal yang menggambarkan tindakan yang harus

dilakukan dan diimbangi dengan manajemen perusahaan untuk mengembalikan atau
memberikan akurasi, efisiensi, atau memadai kontrol mata pelajaran audit. Rekomendasi
harus disediakan oleh auditor untuk setiap audit menemukan laporan yang akan berguna
untuk manajemen.

Komunikasi

Nilai audit tergantung, sebagian besar, pada seberapa efisien dan efektif hasilnya
dikomunikasikan. Pada akhir tes audit, yang terbaik adalah untuk membahas temuan
diidentifikasi dengan manajemen TI untuk mendapatkan persetujuan mereka dan mulai
tindakan korektif yang diperlukan. Temuan, risiko sebagai akibat dari temuan mereka, dan
rekomendasi audit yang biasanya didokumentasikan Surat Manajemen (di bagian terpisah
dari Laporan Audit).

Jenis Audit TI Lainnya

Selain mendukung audit laporan keuangan, ada bidang audit lain yang sangat diminati
di dalamnya. Berikut ini penjelasan secara singkatnya.
1. Arsitektur Perusahaan
Manajemen TI harus mengembangkan prosedur organisasi untuk memastikan arsitektur
terkontrol dan efisien untuk pemrosesan informasi. Prosedur ini juga harus menentukan
komputer dan peralatan periferal diperlukan untuk mendukung semua fungsi secara
ekonomis dan tepat waktu. Dengan sistem perusahaan yang sangat penting untuk bisnis
skala menengah dan besar saat ini, kebutuhan untuk memantau dan memvalidasi
integritas operasional dari sistem perencanaan sumber daya perusahaan adalah proses
penting. Audit TI memainkan peran penting dalam mempertahankan, memvalidasi, dan
memantau perusahaan Arsitektur.
2. Sistem dan Aplikasi Terkomputerisasi
Jenis audit sistem dan aplikasi terkomputerisasi memverifikasi bahwa sistem dan sistem
organisasi
aplikasi (bersifat operasional dan non-finansial) adalah:

◾◾ sesuai dengan kebutuhan pengguna,

◾◾ efisien, dan

◾◾ dikontrol secara memadai untuk memastikan input, pemrosesan, dan yang valid, andal,

tepat waktu, dan aman output pada tingkat aktivitas sistem saat ini dan yang
diproyeksikan.
3. Fasilitas Pemrosesan Informasi
Audit fasilitas pemrosesan informasi memastikan pemrosesan tepat waktu, akurat, dan
efisien aplikasi dalam kondisi normal dan berpotensi mengganggu.
4. Pengembangan Sistem
 Audit TI yang terkait dengan pengembangan sistem akan memastikan aplikasi dan sistem
itu dalam pengembangan memenuhi tujuan organisasi, memenuhi persyaratan pengguna,
dan menyediakan aplikasi dan sistem yang efisien, akurat, dan hemat biaya. Jenis audit
ini memastikan hal itu aplikasi dan sistem ditulis, diuji, dan diinstal sesuai dengan yang
diterima secara standar umum untuk pengembangan sistem.
5. Perencanaan Kesinambungan Bisnis / Perencanaan Pemulihan Bencana
Menurut SysAdmin, Audit, Network, Security (SANS) Institute, sebuah
kelangsungan bisnis (atau plan resiliency) (BCP) menggabungkan kegiatan dan prosedur
untuk memulihkan semua operasi bisnis (no hanya IT) dari gangguan atau kejadian
buruk. * Sebuah rencana pemulihan bencana (DRP) menggabungkan seperangkat
prosedur untuk memulihkan dan melindungi infrastruktur TI organisasi jika terjadi
keadaan darurat atau bencana. Kedua rencana harus didokumentasikan secara formal,
dan terus diperbarui dalam organisasi.
Audit BCP mengevaluasi bagaimana proses kesinambungan organisasi dikelola.
Ini jenis audit mendefinisikan risiko atau ancaman terhadap keberhasilan rencana, dan
menilai pengendalian yang ada untuk menentukan apakah risiko atau ancaman itu dapat
diterima dan sesuai dengan tujuan organisasi. Audit ini juga mengukur dampak dari
kelemahan rencana dan menawarkan rekomendasi untuk perbaikan rencana
kesinambungan bisnis.
Audit DRP membantu memastikan bahwa infrastruktur TI dan semua peralatan
terkait yang digunakan untuk mengembangkan, menguji, mengoperasikan, memantau,
mengelola, dan / atau mendukung layanan TI (mis., perangkat keras, perangkat lunak,
jaringan, pusat data, dll.) dipelihara dan dilindungi secara memadai untuk memastikan
ketersediaannya yang berkelanjutan konsisten dengan tujuan organisasi. Audit DRP
mempertimbangkan faktor faktor seperti penunjukan lokasi alternatif, pelatihan personil,
dan masalah asuransi, antara lain.
Kesimpulan
Selama beberapa dekade, komputer telah digunakan untuk mendukung operasi
sehari-hari di lingkungan bisnis. Sebagian besar perusahaan menemukan bahwa mereka
harus menggunakan teknologi komputer secara efektif untuk tetap kompetitif. Namun,
sifat teknologi terus berubah dengan cepat. Akibatnya, perusahaan melanjutkan untuk
mengintegrasikan sistem dan operasi akuntansi/keuangan mereka. Profesi audit telah
dibuat penyesuaian ini juga. Di seluruh dunia, organisasi profesional telah mengeluarkan
panduan yang bermanfaat dan instruksi untuk membantu manajer dan profesional audit.
 Apakah audit TI meninjau operasi sistem informasi, keamanan informasi, atau aplikasi,
kontrol yang diterapkan di area tersebut harus diverifikasi. Fungsi auditor TI (apakah
internal atau eksternal) memberikan jaminan yang masuk akal bahwa aset sistem
dilindungi, informasi tepat waktu dan dapat diandalkan, dan kesalahan serta kekurangan
ditemukan dan diperbaiki segera. Sama tujuan penting dari fungsi ini adalah kontrol yang
efektif, jalur audit yang lengkap, dan kepatuhan dengan kebijakan organisasi. Sifat audit
tidak diragukan lagi akan terus mengalami perubahan substansial sebagai tingkat
teknologi meningkat. Otomatisasi penuh dari inisiasi proyek hingga pelaporan akhir
tahap akan memungkinkan auditor untuk menggunakan sumber daya yang tersedia
secara lebih efisien dan meningkatkan kredibilitas audit dilakukan. Penggunaan
teknologi komputer yang efektif juga dapat memberdayakan auditor untuk lebih
memahami desain sistem komputer klien, serta perilaku audit yang berhasil di
lingkungan yang sangat otomatis saat ini.
DAFTAR PUSTAKA

Otero, A. R. (2019). Information Technology Control and Audit. Boca Raton: Taylor &
Francis Group, LLC .