Rangkuman Mata Kuliah

Disusun untuk Memenuhi Tugas Mata Kuliah Pengauditan Internal

Disusun Oleh :

Permatasari
A031231033

PROGRAM STUDI AKUNTANSI

1
 Information Technology Risks and Controls
1. Memahami bagaimana TI terjalin dengan tujuan, strategi, dan
operasi bisnis
TI bukan lagi fungsi pendukung belaka; TI telah
menjadi penggerak dan enabler strategis yang terintegrasi penuh dengan
bisnis.
• TI Memungkinkan Strategi Bisnis: Suatu strategi bisnis seringkali
hanya dapat dijalankan karena adanya TI. Contoh: Strategi penjualan
online (e-commerce) hanya dimungkinkan oleh keberadaan internet
dan teknologi pembayaran digital.
• TI Meningkatkan Kinerja Operasi: TI mengotomasi proses bisnis,
meningkatkan efisiensi, mengurangi kesalahan, dan memungkinkan
pengambilan keputusan yang lebih cepat dan berbasis data. Contoh:
Sistem ERP mengintegrasikan proses dari berbagai departemen
(penjualan, produksi, keuangan) menggunakan basis data tunggal.
• TI Memfasilitasi Pertumbuhan dan Inovasi: TI memungkinkan
perusahaan untuk berekspansi ke pasar geografis baru,
mengembangkan produk baru, dan berinovasi dalam model bisnis.
Contoh: Penggunaan big data dan analitik untuk memahami perilaku
pelanggan dan menciptakan penawaran yang dipersonalisasi.
• Keterkaitan ini berarti: Inisiatif TI harus selalu dipertimbangkan secara
tandem dengan inisiatif bisnis. Investasi TI harus selaras dengan tujuan
bisnis, dan setiap perubahan bisnis harus mempertimbangkan implikasi
TI-nya, dan sebaliknya.
2. Menjelaskan komponen kunci dari sistem informasi modern
Sebuah sistem informasi modern terdiri dari enam komponen utama yang
saling berinteraksi (Ilustrasi Exhibit 7-3)
a. Perangkat Keras Komputer
Komponen fisik. Contoh: Server, komputer desktop/laptop,
smartphone, printer, penyimpanan data (disk drives), dan perangkat
komunikasi (router, modem).

2
b. Jaringan (Networks)
Menghubungkan dua atau lebih perangkat untuk berbagi informasi
dan sumber daya.
• LAN (Local Area Network): Jaringan dalam area terbatas (satu
gedung).
• WAN (Wide Area Network): Menghubungkan LAN yang
letaknya berjauhan.
• Internet: Jaringan global publik.
• Intranet: Jaringan privat internal organisasi.
• Extranet: Jaringan yang dapat diakses oleh pihak ketiga terpilih
(pemasok, pelanggan).
c. Perangkat Lunak Komputer (Computer Software)
Instruksi yang memerintahkan perangkat keras.
• Sistem Operasi: Mengontrol operasi dasar komputer (e.g.,
Windows, Linux).
• Perangkat Lunak Utilitas: Menambah fungsi sistem operasi
(e.g., antivirus, enkripsi).
• Perangkat Lunak Aplikasi: Untuk melakukan tugas spesifik
(e.g., Microsoft Word, SAP, software akuntansi).
• Perangkat Lunak Basis Data (DBMS): Mengelola data dalam
database (e.g., Oracle, SQL Server).
• Firewall Software: Mengontrol akses antara jaringan.
d. Basis Data (Databases)
Gudang data yang terorganisir sehingga mudah diakses, diambil, dan
dimanipulasi.
• Database Operasional: Mendukung pemrosesan transaksi harian.
• Data Warehouse: Menyimpan data historis untuk analisis dan
pengambilan keputusan.
• Big Data: Volume data yang sangat besar, berkecepatan tinggi,
dan beragam yang memerlukan teknologi pemrosesan khusus.

3
 e. Informasi (Information)
Data yang telah diproses dan diorganisir sehingga menjadi relevan,
andal, lengkap, akurat, dan tepat waktu untuk pengambilan keputusan.
f. Orang (People)
Individu yang terlibat dalam pengembangan, pengoperasian, dan
penggunaan sistem.
• Chief Information Officer (CIO): Bertanggung jawab atas
penyelarasan TI dengan strategi bisnis.
• Chief Information Security Officer (CISO): Bertanggung jawab
atas keamanan informasi.
• Database Administrator: Mengelola basis data.
• Systems Developers (Analis & Programmer): Merancang dan
membangun sistem.
• Information Processing Personnel: Mengoperasikan sistem
terpusat.
• End Users: Pengguna akhir yang menggunakan informasi untuk
menjalankan pekerjaannya.
3. Menjelaskan sifat peluang dan risiko TI
a. Peluang yang Dienable oleh TI ((IT-Enabled Opportunities)
• E-commerce: Memperluas jangkauan penjualan secara global
• Sistem ERP (Enterprise Resource Planning): Mengintegrasikan
proses bisnis, menghilangkan redundansi data, dan meningkatkan
pengambilan keputusan real-time.
• EDI (Electronic Data Interchange): Pertukaran dokumen bisnis
secara elektronik antar komputer dengan mitra dagang,
meningkatkan efisiensi dan mengurangi kesalahan.
• Big Data & Analytics: Mendapatkan wawasan mendalam dari data
untuk inovasi produk, pemasaran yang ditargetkan, dan optimasi
proses.
b. Risiko TI (IT Risks)

4
 Kemungkinan suatu peristiwa TI akan terjadi dan berdampak negatif
pada pencapaian tujuan organisasi. Risiko umum meliputi:
• Risiko Pemilihan (Selection Risk): Memilih solusi TI yang tidak
selaras dengan strategi atau tidak fleksibel untuk pertumbuhan
masa depan.
• Risiko Pengembangan/Akuisisi & Penerapan
(Development/Acquisition & Deployment Risk): Proyek TI yang
mengalami keterlambatan, pembengkakan biaya, atau bahkan gagal
total.
• Risiko Ketersediaan (Availability Risk): Sistem tidak tersedia saat
dibutuhkan, menyebabkan gangguan bisnis dan kerugian
pendapatan.
• Risiko Perangkat Keras/Lunak (Hardware/Software
Risk): Kegagalan perangkat keras/lunak merusak data atau
mengganggu operasi.
• Risiko Akses (Access Risk): Akses tidak sah ke sistem
menyebabkan pencurian data, modifikasi jahat, atau
penyalahgunaan.
• Risiko Keandalan Sistem & Integritas Informasi (System
Reliability & Information Integrity Risk): Kesalahan pemrosesan
menghasilkan informasi yang tidak akurat, yang berdampak pada
pengambilan keputusan yang buruk (information risk).
• Risiko Kerahasiaan & Privasi (Confidentiality & Privacy
Risk): Pengungkapan tidak sah informasi proprietary atau pribadi,
leading to lawsuits and reputational damage.
• Risiko Kecurangan & Tindakan Jahat (Fraud & Malicious Acts
Risk): Pencurian sumber daya TI, penyalahgunaan, atau perusakan
data yang disengaja.
4. Memahami konsep fundamental tata kelola TI, manajemen risiko,
dan pengendalian

5
TI telah mengubah kompetensi yang harus dimiliki auditor internal
dan cara mereka melakukan pekerjaannya.
• Proficiency dan Due Professional Care (Standar 1210.A3 &
1220.A2):
o Semua Auditor Internal harus memiliki pengetahuan
dasar tentang risiko dan pengendalian TI utama serta teknik
audit berbasis teknologi (data analytics).
o Auditor internal harus mempertimbangkan penggunaan teknik
audit berbasis teknologi dalam pelaksanaan due professional
care.
o Tidak semua auditor diharapkan menjadi ahli TI (IT Audit
Specialist), tetapi CAE harus memastikan fungsi audit internal
secara keseluruhan memiliki keahlian TI yang dibutuhkan (baik
dari dalam staf, dari bagian lain organisasi, atau dari penyedia
jasa eksternal).
• Tanggung Jawab dalam Assurance Engagement (Standar 2110.A2,
2120.A1, 2130.A1): Fungsi audit internal harus:
o Menilai apakah tata kelola TI mendukung strategi dan tujuan
organisasi.
o Mengevaluasi paparan risiko yang terkait dengan sistem
informasi organisasi.
o Mengevaluasi kecukupan dan efektivitas pengendalian dalam
menanggapi risiko dalam sistem informasi organisasi.
• Pendekatan Audit yang Berubah:
o "Audit Through the Computer": Auditor tidak bisa lagi hanya
"mengaudit sekitar komputer" (audit around the computer).
Mereka harus "mengaudit melalui komputer"
menggunakan teknik audit berbantuan komputer
(CAATs) atau data analytics untuk menguji pengendalian yang
tertanam dalam sistem.

6
 o Integrated Auditing: Mengintegrasikan penilaian risiko dan
pengendalian TI ke dalam penugasan assurance untuk risiko
pelaporan, operasi, dan kepatuhan. Ini lebih efektif dan efisien
daripada melakukan audit TI yang terpisah.
o Continuous Auditing: Melakukan aktivitas audit terkait pada
basis yang lebih berkelanjutan, mencakup continuous controls
assessment dan continuous risk assessment.
5. Memahami implikasi TI bagi auditor internal
TI telah mengubah kompetensi yang harus dimiliki auditor internal
dan cara mereka melakukan pekerjaannya.
• Proficiency dan Due Professional Care (Standar 1210.A3 &
1220.A2):
o Semua Auditor Internal harus memiliki pengetahuan
dasar tentang risiko dan pengendalian TI utama serta teknik
audit berbasis teknologi (data analytics).
o Auditor internal harus mempertimbangkan penggunaan teknik
audit berbasis teknologi dalam pelaksanaan due professional
care.
o Tidak semua auditor diharapkan menjadi ahli TI (IT Audit
Specialist), tetapi CAE harus memastikan fungsi audit internal
secara keseluruhan memiliki keahlian TI yang dibutuhkan (baik
dari dalam staf, dari bagian lain organisasi, atau dari penyedia
jasa eksternal).
• Tanggung Jawab dalam Assurance Engagement (Standar 2110.A2,
2120.A1, 2130.A1): Fungsi audit internal harus:
o Menilai apakah tata kelola TI mendukung strategi dan tujuan
organisasi.
o Mengevaluasi paparan risiko yang terkait dengan sistem
informasi organisasi.
o Mengevaluasi kecukupan dan efektivitas pengendalian dalam
menanggapi risiko dalam sistem informasi organisasi.

7
 • Pendekatan Audit yang Berubah:
o "Audit Through the Computer": Auditor tidak bisa lagi hanya
"mengaudit sekitar komputer" (audit around the computer).
Mereka harus "mengaudit melalui komputer"
menggunakan teknik audit berbantuan komputer
(CAATs) atau data analytics untuk menguji pengendalian yang
tertanam dalam sistem.
o Integrated Auditing: Mengintegrasikan penilaian risiko dan
pengendalian TI ke dalam penugasan assurance untuk risiko
pelaporan, operasi, dan kepatuhan. Ini lebih efektif dan efisien
daripada melakukan audit TI yang terpisah.
o Continuous Auditing: Melakukan aktivitas audit terkait pada
basis yang lebih berkelanjutan, mencakup continuous controls
assessment dan continuous risk assessment.
6. Menjelaskan keterampilan dan bakat TI yang diperlukan untuk
auditor internal di masa depan
Keterampilan TI yang harus dimiliki semua auditor internal termasuk:
• Data Analytics: Kemampuan menganalisis data dan menggunakan
perangkat lunak audit (e.g., ACL, IDEA).
• Cybersecurity: Memahami komponen kunci, terminologi, dan risiko
utama keamanan informasi.
• Kelangsungan Bisnis dan Pemulihan Bencana (BCDR): Memahami
area bisnis yang paling signifikan dan praktik pemulihan.
• Manajemen Perubahan: Pengetahuan tentang manajemen proyek dan
proses perubahan TI serta dampaknya terhadap organisasi.
• Pengetahuan Teknologi Baru: Melek teknologi (tech-savvy) dengan
isu-isu terkini tentang teknologi emerging (e.g., cloud, AI, IoT) dan
dampak potensialnya pada bisnis.
• Penggunaan Sistem Kertas Kerja Otomatis (e.g., TeamMate).
IT Audit Specialist membutuhkan keahlian yang lebih dalam
dan seringkali mengejar sertifikasi seperti:
8
 • CISA (Certified Information Systems Auditor) dari ISACA.
• CISSP (Certified Information Systems Security
Professional) dari (ISC)².
7. Mengidentifikasi sumber panduan audit TI
Sumber panduan utama untuk auditor internal adalah Global Technology
Audit Guides (GTAGs) dari The IIA. GTAGs membahas isu-isu terkini
terkait manajemen, pengendalian, dan keamanan TI. Daftar GTAGs
tersedia di Exhibit 7-1. Sumber lain termasuk:
• ISACA ([Link]) - Sumber yang kaya akan framework (seperti
COBIT), standar, dan sertifikasi.
• SANS Institute ([Link]) - Terkenal dengan sumber daya
keamanan siber.
• National Institute of Standards and Technology
(NIST) ([Link]) - Framework Keamanan Siber NIST sangat
berpengaruh.
• International Organization for Standardization
(ISO) ([Link]) - Standar seperti ISO/IEC 27001 untuk
Manajemen Keamanan Informasi.
8. Menjelaskan 10 risiko teknologi teratas
Berdasarkan studi CBOK 2015 (Navigating Technology’s Top 10 Risks),
berikut adalah 10 risiko teknologi teratas yang harus diperhatikan auditor
internal (Exhibit 7-2):
1. Cybersecurity
2. Information Security (sering tumpang tindih dengan cybersecurity)
3. IT Systems Development Projects (Risiko kegagalan proyek)
4. IT Governance (Tata kelola TI yang lemah)
5. Outsourced IT Services (Risiko dari alih daya TI)
6. Social Media Use (Risiko reputasi dan keamanan)
7. Mobile Computing (BYOD, kehilangan device)
8. IT Skills Among Internal Auditors (Kesenjangan keterampilan)
9. Emerging Technologies (Risiko dari teknologi baru seperti AI, IoT)

9
 10. Board and Audit Committee Technology Awareness (Kurangnya
pemahaman teknologi di tingkat dewan)
9. Menjelaskan mengapa keamanan siber adalah salah satu risiko paling
signifikan bagi organisasi
• Frekuensi dan Tingkat Keparahan yang Meningkat: Serangan siber
semakin sering, kompleks, dan merusak (e.g., ransomware yang
melumpuhkan operasi).
• Dampak yang Luas: Pelanggaran keamanan siber dapat
menyebabkan:
a. Gangguan Operasional yang parah dan berkepanjangan.
b. Kerugian Finansial langsung (pencurian dana, biaya pemulihan)
dan tidak langsung (kehilangan pendapatan).
c. Pencurian Data sensitif (kekayaan intelektual, data pribadi
pelanggan/karyawan).
d. Kerusakan Reputasi dan hilangnya kepercayaan stakeholder.
e. Konsekuensi Hukum dan Regulasi (denda untuk gagal
melindungi data).
• Lingkungan yang Semakin Terbuka: Tren seperti cloud
computing, BYOD, IoT, dan akses pihak ketiga memperluas attack
surface organisasi, menyediakan lebih banyak titik masuk bagi
penyerang.
• Motivasi Penyerang yang Beragam: Dilakukan oleh nation-
states, cybercriminals (untuk keuntungan finansial), hacktivists (untuk
tujuan politik), atau insider yang jahat.
10. Memahami implikasi yang ditimbulkan oleh diperkenalkannya
teknologi baru terhadap lingkungan bisnis
• Menciptakan Risiko Baru: Teknologi baru seringkali
diperkenalkan tanpa kontrol yang matang, menciptakan kerentanan
baru yang dapat dieksploitasi.
• Mengubah Lanskap Risiko yang Sudah Ada: Teknologi baru dapat
memperburuk risiko yang sudah ada. Contoh: Social
10
 media mempercepat penyebaran informasi negatif dan meningkatkan
risiko reputasi.
• Dampak Meskipun Tidak Diadopsi: Organisasi yang memilih
untuk tidak mengadopsi teknologi baru pun tetap terkena dampaknya.
Contoh: Kompetitor yang menggunakan big data mungkin menjadi
lebih efisien, atau masyarakat yang menggunakan social media dapat
membentuk persepsi tentang organisasi Anda tanpa Anda kendalikan.
• Membutuhkan Keahlian Baru: Teknologi baru memerlukan
keterampilan baru baik untuk mengelolanya maupun untuk
mengauditnya, menciptakan kesenjangan keterampilan (skills gap).
11. Memahami bagaimana audit internal dapat memberikan panduan
selama proyek TI
Auditor internal dapat memberikan nilai tambah yang signifikan selama
proyek TI melalui layanan consulting atau assurance.
• Sebelum Proyek Dimulai: Memberikan wawasan tentang risiko yang
melekat pada proyek dan kontrol yang harus dipertimbangkan sejak
fase desain.
• Selama Pengembangan/Akuisisi: Memastikan proses manajemen
proyek yang kuat diterapkan (e.g., stage gates, testing yang memadai,
manajemen perubahan).
• Sebelum Implementasi: Melakukan post-implementation
reviews atau memastikan testing penerimaan pengguna (user
acceptance testing - UAT) dilakukan dengan baik untuk memverifikasi
bahwa sistem memenuhi kebutuhan bisnis dan kontrol berfungsi
sebagaimana dimaksud.
• GTAG: Auditing IT Projects memberikan panduan mendetail tentang
peran audit internal dalam proyek TI. Dengan terlibat sejak dini, audit
internal membantu meningkatkan kemungkinan keberhasilan proyek
TI—tepat waktu, sesuai anggaran, dan memenuhi tujuan yang
diharapkan.

11