8
LANDASAN TEORI
2.1 Pengertian Sistem Informasi
Menurut O’Brien (2005, p5), Sebuah sistem informasi dapat berupa orang, hardware, software, jaringan komunikasi, dan sumber data yang diperoleh melalui pengumpulan data, diproses sehingga menjadi informasi bagi organisasi tersebut.
Menurut Brian dan Stacey (2005, p447), Sistem Informasi merupakan suatu kombinasi orang (user), hardware, software, jaringan komunikasi, dan sumber daya data yang mengumpulkan, mengubah, dan menyebarkan suatu informasi di dalam suatu organisasi.
Kesimpulan, sistem informasi adalah suatu kesatuan komponen yang terdiri dari people, hardware, software, network, dan sumber daya lainnya yang diproses untuk menghasilkan informasi bagi suatu organisasi.
2.2 Pengertian Audit
Menurut Arens dan Loebbecke yang di terjemahkan oleh Jusuf (2003, p1), Auditing adalah proses pengumpulan dan pengevaluasian bahan bukti tentang informasi yang dapat diukur mengenai suatu entitas ekonomi yang dilakukan seorang yang kompeten dan independen untuk dapat menentukan dan melaporkan kesesuaian informasi dimaksud dengan kriteria-kriteria yang telah ditetapkan.
Menurut Mulyadi (2002, p7), Auditing adalah suatu proses sistematik untuk memperoleh dan mengevaluasi bukti secara obyektif mengenai pernyataan pernyataan tentang kegiatan dan kejadian ekonomi, dengan tujuan untuk menetapkan tingkat kesesuaian antara pernyataan-pernyataan tersebut dengan kriteria yang telah ditetapkan, serta penyampaian hasil-hasilnya kepada pemakai yang berkepentingan.
2.2.1 Jenis-jenis Audit
Menurut Arens dan Loebbecke yang diterjemahkan oleh Jusuf (2003, p4), berdasarkan bidang yang diperiksa, audit terdiri dari 3 jenis audit yaitu : 1. Financial Statement Audit (Audit Laporan Keuangan )
Bertujuan untuk menentukan apakah laporan keuangan secara keseluruhan (informasi akan diverifikasi) telah disajikan sesuai dengan kriteria-kriteria tertentu.
2. Operational Audit (Audit Operasional)
Bertujuan untuk menelaah atas tujuan manapun dari prosedur dan metode operasi suatu organisasi untuk menilai efisiensi dan efektivitasnya.
3. Compliance Audit (Audit Ketaatan)
Bertujuan untuk mempertimbangkan apakah auditee (klien) telah mengikuti prosedur atau aturan tertentu yang telah ditetapkan pihak yang memiliki otoritas lebih tinggi.
2.2.2 Pengertian Laporan Audit
Menurut Arens & Loebbecke (2003, p36), Laporan audit adalah tahap terakhir dari prosedur audit yang merupakan komunikasi dari penemuan auditor untuk user.
Dan menurut Mulyadi (2002, p10), Laporan audit adalah media yang dipakai oleh auditor dalam berkomunikasi dengan masyarakat lingkungannya dan media untuk menyatakan pendapatnya mengenai kewajaran laporan keuangan.
2.3 Metodologi Pengumpulan Data
Menurut Indriantoro & Supomo (2002, p152) Ada tiga teknik pengumpulan data dalam metode survei yaitu :
1. Wawancara
Wawancara merupakan teknik pengumpulan data dalam metode survei yang menggunakan pertanyaan secara lisan kepada subyek penelitian. Teknik wawancara dilakukan jika peneliti memerlukan komunikasi atau hubungan dengan responden. Teknik wawancara dapat dilakukan dengan dua cara yaitu:
a. Wawancara tatap muka (Personal atau face-to-face interview)
Metode pengumpulan data primer dapat dilakukan dengan cara komunikasi secara langsung (tatap muka) antara pewawancara yang mengajukan pertanyaan secara lisan dengan responden yang menjawab pertanyaan secara lisan. Teknik wawancara tatap muka mempunyai kelebihan dibandingkan wawancara melalui telepon dan
teknik kuesioner. Teknik ini memungkinkan untuk mengajukan banyak pertanyaan dan memungkinkan bagi pewawancara untuk memahami kompleksitas masalah dan menjelaskan maksud penelitian kepada responden.
b. Wawancara dengan telepon (Telephone Interviews)
Teknik ini dapat mengatasi kelemahan wawancara tatap muka karena dapat mengumpulkan data dari responden yang letak geografisnya terpencar dengan biaya yang lebih murah dan diperoleh dengan waktu yang relatif cepat. Kelemahannya, pewawancara tidak dapat mengamati ekspresi wajah responden ketika menjawab pertanyaan yang pada kondisi tertentu diperlukan untuk menyakinkan apakah responden menjawab pertanyaan sesuai dengan fakta.
2. Observasi
Proses pencatatan pola perilaku subyek (orang), obyek (benda) atau kejadian yang sistematik tanpa adanya pertanyaan atau komunikasi dengan individu-individu yang diteliti. Metode observasi dapat menghasilkan data yang lebih rinci mengenai perilaku (subyek), benda atau kejadian (obyek) dibandingkan dengan metode survei. Teknik observasi dalam penelitian bisnis dapat dilakukan dengan 2 cara:
a. Observasi langsung (Direct observation)
Tipe observasi yang dilakukan langsung oleh peneliti, terutama untuk subyek atau obyek penelitian yang sulit diprediksi.
b. Observasi mekanik (Mechanical observation)
Teknik observasi yang dilakukan dengan bantuan peralatan mekanik, antara lain: kamera foto dan mesin penghitung. Observasi mekanik umumnya diterapkan pada penelitian terhadap perilaku atau kejadian yang bersifat rutin, berulang-ulang dan telah terprogram sebelumnya. 3. Pengujian sistem
Penelitian ini dilakukan dengan melakukan pengujian terhadap program yang dipakai pada perusahaan.
2.4 Pengertian Sistem Informasi Penjualan
Menurut Romney dan Steinbart (2003, p359) “Revenue cycle is a recurring set of business activities and related information processing operations associated with providing goods and services to cutomers and collecting cash in payment for those sales.” Dapat diartikan bahwa, siklus pendapatan atau revenue cycle yaitu kumpulan aktivitas bisnis dan berhubungan dengan proses informasi dalam hal penyediaan barang dan jasa kepada pelanggan dan mengumpulkan pembayaran atas penjualan tersebut.
2.4.1 Prosedur Sistem Informasi Penjualan Tunai
Menurut Mulyadi (2001, p470), Prosedur yang membentuk sistem penerimaan kas dari penjualan tunai adalah sebagai berikut :
1. Prosedur Order Penjualan
Dalam prosedur ini fungsi penjualan menerima order dari pembeli dan membuat faktur penjualan tunai untuk meningkatkan pembeli melakukan
pembayaran harga barang ke fungsi kas dan untuk memungkinkan fungsi gudang dan fungsi pengiriman menyiapkan barang yang akan diserahkan kepada pembeli.
2. Prosedur Penerimaan Kas
Dalam prosedur ini fungsi kas menerima pembayaran harga barang dari pembeli dan memberikan tanda pembayaran (Berupa Pita register kas dan Cap “LUNAS” pada faktur penjualan tunai) kepada pembeli untuk memungkinkan pembeli tersebut melakukan pengambilan barang yang dibelinya dari fungsi pengiriman.
3. Prosedur Penyerahan Barang
Dalam prosedur ini fungsi pengiriman menyerahkan barang kepada pembeli. 4. Prosedur Pencatatan Penjualan Tunai
Dalam prosedur ini, fungsi akuntansi melakukan pencatatan transaksi penjualan tunai dalam jurnal penjualan dan jurnal penerimaan kas, selain itu fungsi akuntansi juga mencatat berkurangnya persediaan barang yang dijual dalam kartu persediaan.
5. Prosedur Penyetoran Kas ke Bank
Sistem pengendalian intern terhadap kas mengharuskan penyetoran dengan segera ke bank semua kas yang diterima pada suatu hari.
6. Prosedur Pencatatan Penerimaan Kas
Dalam prosedur ini, fungsi akuntansi mencatat penerimaan kas ke dalam jurnal penerimaan kas berdasarkan bukti setor bank yang diterima dari bank melalui fungsi kas.
7. Prosedur Pencatatan Harga Pokok Penjualan
Dalam prosedur ini, fungsi akuntansi membuat rekapitulasi harga pokok penjualan berdasarkan data yang dicatat dalam kartu persediaan.
2.5 Pengertian Pengendalian Internal
Menurut Mulyadi (2001, p163), Sistem pengendalian internal meliputi struktur organisasi, metode dan ukuran-ukuran yang dikoordinasikan untuk menjaga kekayaan organisasi, mengecek ketelitian dan keandalan data akuntansi, mendorong efisiensi dan mendorong dipatuhinya kebijakan manajemen.
2.5.1 Tujuan Sistem Pengendalian Internal
Menurut Mulyadi (2001, p 163), tujuan sistem pengendalian internal terdiri dari :
1. Menjaga kekayaan organisasi
2. Mengecek ketelitian dan keandalan data akuntansi 3. Mendorong efisiensi
4. Mendorong dipatuhinya kebijakan manajemen
Tujuan pengendalian internal harus dipandang dalam kaitannya dengan individu yang menjalankan sistem pengendalian tersebut. Sistem harus dirancang sedemikian rupa sehingga para pegawai merasakannya sendiri dan yakin bahwa pengendalian bertujuan mengurangi kesulitan-kesulitan dalam operasi, melindungi organisasi, merupakan persyaratan tercapainya tujuan, dan dengan demikian mendorong terpenuhinya kebijakan manajemen yang telah digariskan.
2.5.2 Komponen Pengendalian Internal
Menurut Rama dan Jones (2006, p104), lima komponen model pengendalian intern adalah :
1. Lingkungan Pengendalian
Inti dari bisnis apapun adalah orang-orangnya, ciri perorangan, termasuk integritas, nilai-nilai etika, dan kompetensi serta lingkungan tempat beroperasi. Mereka adalah mesin yang mengemudikan organisasi dan dasar tempat segala hal terletak.
2. Aktivitas pengendalian
Kebijakan dan prosedur pengendalian harus dibuat dan dilaksanakan untuk membantu memastikan bahwa tindakan yang diidentifikasikan oleh pihak manajemen untuk mengatasi resiko pencapain tujuan organisasi, secara efektif dijalankan.
3. Penilaian resiko
Organisasi harus sadar akan dan berurusan dengan resiko yang dihadapinya. Organisasi harus menempatkan tujuan, produksi, pemasaran, keuangan, dan kegiatan lainnya, agar organisasi beroperasi secara otomatis. Organisasi juga harus membuat mekanisme untuk mengidentifikasi, menganalisis, dan mengelola risiko yang terkait.
4. Informasi dan komunikasi
Di sekitar aktivitas pengendalian terdapat sistem informasi dan komunikasi. Mereka memungkinkan orang-orang dalam organisassi untuk mendapat dan bertukar informasi yang dibutuhkan untuk melaksanakan, mengelola, dan mengendalikan operasinya.
5. Pengawasan
Seluruh proses harus diawasi, dan perubahan dilakukan sesuai dengan kebutuhan. Melalui cara ini, sistem dapat beraksi secara dinamis, berubah sesuai tuntutan keadaan.
2.5.3 Unsur-unsur Sistem Pengendalian Internal
Menurut pendapat Mulyadi (2001, p164-172), beberapa unsur yang terdapat di dalam suatu sistem pengendalian intern adalah sebagai berikut :
1. Struktur organisasi yang memisahkan tanggung jawab fungsional secara tegas.
Struktur organisasi merupakan kerangka (framework) pembagian tanggung jawab fungsional kepada unit-unit organisasi yang dibentuk untuk melaksanakan kegiatan-kegiatan pokok perusahaan.
2. Sistem wewenang dan prosedur pencatatan yang memberikan perlindungan yang cukup terhadap kekayaan, utang, pendapatan dan biaya.
Dalam organisasi, setiap transaksi hanya terjadi atas dasar otorisasi dari pejabat yang memiliki wewenang untuk menyetujui terjadinya transaksi tersebut.
3. Praktik yang sehat dalam melaksanakan tugas dan fungsi setiap unit organisasi.
Pembagian tanggung jawab fungsional dan sistem wewenang dan prosedur pencatatan yang telah ditetapkan tidak akan terlaksana dengan baik jika tidak diciptakan cara-cara untuk menjamin praktik yang sehat dalam pelaksanaannya.
4. Karyawan yang mutunya sesuai dengan tanggung jawabnya.
Bagaimanapun baiknya struktur organisasi, sistem otorisasi dan prosedur pencatatan, serta berbagai cara yang diciptakan untuk mendorong praktik yang sehat, semuanya sangat tergantung kepada manusia yang melaksanakannya.
2.5.4 Jenis-jenis Sistem Pengendalian Internal 2.5.4.1 Pengendalian Umum
Pengendalian yang berlaku umum, artinya ketentuan-ketentuan yang berlaku dalam pengendalian tersebut, berlaku untuk seluruh kegiatan komputerisasi di dalam pengendalian tersebut. Apabila tidak dilakukan pengendalian ini ataupun pengendaliannya lemah maka berakibat negatif terhadap pengendalian aplikasi.
Pengendalian umum terdiri dari:
1. Pengendalian Top Manajemen (Top Level Management Control)
Mengendalikan peranan manajemen dalam perencanaan kepemimpinan dan
pengawasan fungsi sistem.
2. Pengendalian Manajemen Sistem Informasi ( Information System Management Control)
Mengendalikan alternatif dari model pengembangan proses sistem informasi sehingga dapat digunakan sebagai dasar pengumpulan dan pengevaluasian bukti.
3. Pengendalian Manajemen Pengembangan Sistem (System Development Management Control)
Mengendalikan tahapan utama dari daur hidup program dan pelaksanaan dari
tiap tahap.
4. Pengendalian Manajemen Sumber Data (Data Resource Management Control)
Mengendalikan peranan dan fungsi dari data administrator atau database administrator.
5. Pengendalian Manajemen Jaminan Kualtitas (Quality Assurance Management Control)
Mengendalikan fungsi utama yang harus dilakukan oleh Quality Assurance Management untuk meyakinkan bahwa pengembangan, pelaksanaan dan pengoperasian, dan pemeliharaan dari sistem informasi sesuai dengan standar kualitas.
6. Pengendalian Manajemen Keamanan (Security Management Control)
Menurut Weber (1999, p257-266), dapat disimpulkan bahwa pengendalian terhadap manajemen keamanan secara garis besar bertanggung jawab dalam
menjamin aset sistem informasi tetap aman. Ancaman utama terhadap keamanan aset sistem informasi adalah :
a. Ancaman kebakaran
Beberapa pelaksanaan pengamanan untuk ancaman kebakaran :
1. Memiliki alarm kebakaran otomatis yang diletakkan pada tempat dimana aset-aset sistem informasi berada.
2. Memiliki tabung kebakaran yang diletakkan pada lokasi yang mudah diambil.
3. Memiliki tombol utama (termasuk AC).
4. Gedung tempat penyimpanan aset informasi dibangun dari bahan tahan api.
5. Memiliki pintu / tangga darurat yang diberi tanda dengan jelas sehingga karyawan mudah menggunakannya.
6. Ketika alarm berbunyi, signal langsung dikirim ke stasiun pengendalian yang selalu dijaga oleh staf.
7. Prosedur pemeliharaan gudang yang baik menjamin tingkat polusi sesuatunya telah dirawat dengan baik.
b. Ancaman banjir
Beberapa pelaksanaan pengamanan untuk ancaman banjir :
1. Usahakan bahan untuk atap, dinding dan lantai yang tahan air. 2. Menyediakan alarm pada titik strategis dimana material aset
3. Semua material aset sistem informasi diletakkan di tempat yang tinggi.
4. Menutup peralatan hardware dengan bahan yang tahan air sewaktu tidak digunakan.
c. Perubahan tenaga sumber energi
Pelaksanaan pengamanan untuk mengantisipasi perubahan tegangan sumber energi listrik, misalnya menggunakan stabilizer ataupun Uninteruptable Power Supply (UPS) yang memadai dan mampu mengcover tegangan listrik jika tiba-tiba turun.
d. Kerusakan struktural
Pelaksanaan struktural terhadap aset sistem informasi dapat terjadi karena adanya gempa, angin dan salju. Beberapa pelaksanaan pengamanan untuk mengantisipasi kerusakan struktural misalnya adalah memilih lokasi perusahaan yang jarang terjadi gempa dan angin ribut.
e. Polusi
Beberapa pelaksanaan pengamanan untuk mengantisipasi polusi, misalnya situasi kantor yang bebas debu dan tidak diperbolehkan membawa binatang peliharaan atau melarang karyawan membawa / meletakkan minuman di dekat peralatan komputer.
Pelaksanaan pengamanan untuk mengantisipasi penyusup, dapat dilakukan dengan penempatan penjaga dan penggunaan alarm.
g. Virus
Pelaksanaan pengamanan untuk mengantisipasi virus meliputi tindakan :
1. Preventive, seperti menginstall antivirus dan mengupdate secara rutin, melakukan scan file yang digunakan.
2. Detective, seperti melakukan scan secara rutin.
3. Corrective, seperti memastikan back up data bebas virus, pemakaian anti virus terhadap file yang terinfeksi.
h. Hacking
Beberapa pelaksanaan pengamanan untuk mengantisipasi hacking :
1. Penggunaan kontrol logical seperti penggunaan password yang sulit untuk ditebak.
2. Petugas keamanan secara teratur memonitor sistem yang digunakan.
7. Pengendalian Manajemen Operasi (Operations Management Control)
Menurut Weber (1999. p293-320), secara garis besar pengendalian manajemen operasi (Operations Management Control) bertanggung jawab terhadap hal-hal sebagai berikut :
a. Pengoperasian komputer (Computer Operations)
1. Menentukan fungsi-fungsi yang harus dilakukan operator komputer maupun fasilitas operasi otomatis.
2. Menentukan penjadwalan kerja pada pemakaian hardware atau software.
3. Menentukan perawatan terhadap hardware agar dapat berjalan baik.
4. Pengendalian perangkat keras berupa hardware controls dari produsen untuk deteksi hardware malfunction.
b. Pengoperasian Jaringan (Network Operations)
Pengendalian yang dilakukan ialah memonitor dan memelihara jaringan dan pencegahan terhadap akses oleh pihak yang tidak berwenang. Pengendalian sistem komunikasi data antara lain jalur komunikasi, Hardware, Cryptology, Software.
c. Persiapan dan pengentrian data (Preparation and Entry Data)
Fasilitas-fasilitas yang ada harus dirancang untuk memiliki kecepatan dan keakuratan data serta telah dilakukan terhadap pengentrian data.
d. Pengendalian produksi ( Production Control)
Fungsi yang harus dilakukan untuk pengendalian produksi adalah :
1. Penerimaan dan pengiriman input dan output. 2. Penjadwalan kerja.
4. Peningkatan pemanfaatan komputer. e. File Library
Fungsi yang harus dilakukan untuk file library adalah :
1. Penyimpanan media penyimpanan (storage of storage media) 2. Penggunaan media penyimpanan (use of storage media)
3. Pemeliharaan dan penempatan media penyimpanan (maintenance and disposal of storage media)
4. Lokasi media penyimpanan (location of storage media) f. Documentation and Program Library
Orang yang bertanggung jawab atas dokumentasi mempunyai beberapa fungsi yang harus dilakukan yaitu :
1. Memastikan bahwa semua dokumentasi disimpan secara aman 2. Memastikan bahwa hanya orang yang mempunyai otorisasi saja
yang bisa mengakses dokumentasi
3. Memastikan bahwa dokumentasi tersebut selalu up to date.
4. Memastikan adanya back up yang cukup untuk dokumentasi yang ada.
g. Help Desk / Technical Support
Ada dua fungsi utama help desk / technical support yaitu :
1. Membantu end user dalam menggunakan hardware dan software yang berhubungan dengan end user seperti microcomputer,
spreadsheet packages, database management packages, dan local area networks.
2. Menyediakan technical support untuk sistem produksi dengan dilengkapi suatu penyelesaian masalah yang berhubungan dengan hardware, software dan database.
h. Capacity Planning and Performance Monitoring
Tujuan utama dari fungsi sistem informasi ini adalah untuk mencapai tujuan dari penggunaan sistem infomasi dengan biaya serendah mungkin.
i. Management of Outsourced Operations
Saat ini banyak organisasi yang melakukan outsource terhadap beberapa fungsi dari sistem informasi mereka. Alasan utama dilakukannya outsource karena mereka ingin memfokuskan pada fungsi inti bisnis mereka.
2.5.4.2 Pengendalian Aplikasi
Pengendalian aplikasi adalah sistem pengendalian internal komputer yang berkaitan dengan pekerjaan atau kegiatan tertentu yang telah ditentukan (setiap aplikasi berbeda karakteristik dan kebutuhan pengendaliannya). Pengendalian aplikasi terdiri atas :
1. Pengendalian Boundary (Boundary Control)
Pengendalian Boundary menentukan hubungan antara pemakai komputer dengan sistem komputer itu sendiri, ketika pemakai menggunakan komputer maka fungsi boundary berjalan.
a. Pengendalian Kriptografi (Cryptographic Control)
Pengendalian Kriptografi dirancang untuk mengamankan data pribadi dan untuk menjaga modifikasi data oleh orang yang tidak berwenang, cara ini dilakukan dengan mengacak data sehingga tidak memiliki arti bagi orang yang tidak dapat menguraikan data tersebut.
b. Pengendalian Akses (Access Control)
Pengendalian Akses berfungsi untuk membatasi penggunaan sumber daya sistem komputer, membatasi dan memastikan user untuk mendapatkan sumber daya yang mereka butuhkan. Menurut Weber (1999, p380-383), mekanisme pengendalian akses terdiri dari :
1. Identifikasi dan Otentifikasi (Identification and Authentication)
User mengidentifikasi dirinya pada mekanisme pengendalian akses dengan memberi informasi seperti nama atau nomor rekening. Informasi tersebut memungkinkan mekanisme untuk menentukan bahwa data yang masuk sesuai dengan informasi pada file otentifikasi. Terdapat tiga bagian yang dapat diisi oleh user untuk informasi otentifikasi yaitu :
a. Informasi yang mudah diingat, contohnya : nama, tanggal lahir, nomor account, password, PIN dan lain-lain.
b. Objek yang berwujud yang dimiliki, contohnya : Badge, plastic card, kunci, cincin.
c. Karakter pribadi, contohnya : sidik jari, ukuran tangan, suara, tanda tangan, pola retina mata.
2. Sumber Daya Objek
Sumber daya yang digunakan oleh user berdasarkan sistem informasi berbasis komputer dapat dibagi menjadi empat jenis yaitu :
a. Hardware, contohnya : terminal, printer, prossesor, disk.
b. Software, contohnya : program sistem aplikasi, storage space.
c. Komoditi, contohnya : Processor time, storage space
d. Data, contohnya : files, groups, data item ( termasuk images dan sound).
3. Hak Istimewa (Action Privileges)
Hak istimewa diberikan kepada user berdasarkan pada tingkatan kewenangan user dan jenis sumber daya yang diperlukan oleh user. Contoh hak istimewa ini adalah user hanya dapat melakukan akses berupa membaca tetapi tidak bisa mengubah atau
menambah (dikenal dengan istilah read only), atau user hanya memiliki fasilitas menambah data tetapi tidak bisa mengubah atau menghapus data.
2. Pengendalian Input (Input Control)
Menurut Weber (1999,p420-450), komponen pada subsistem input, bertanggung jawab untuk memasukkan data dan intruksi pada sistem aplikasi, kedua jenis input tersebut harus divalidasi, setiap kesalahan data harus dapat diketahui dan dikontrol sehingga input yang dimasukkan akurat, lengkap, unik dan tepat waktu.
Komponen Pengendalian Input terdiri dari 8 komponen antara lain :
a. Metode Data Input
b. Perancangan Dokumen Sumber
c. Perancangan Layar Data Entry
d. Pengendalian Kode Data
e. Cek Digit
f. Pengendalian Batch
g. Validasi Input Data
3. Pengendalian Output (Output Control)
Menurut Weber (1999, p615-646), subsistem output menyediakan fungsi-fungsi yang menentukan isi dari data yang akan disediakan bagi pengguna, cara dimana data dapat diformat dan dipersembahkan bagi pengguna, dan cara dimana data dapat diperbaiki dan dikeluarkan untuk pengguna.
Tipe pengendalian yang berhubungan dengan Pengendalian Output:
a. Inference Control
Pengendalian model akses memperbolehkan atau menolak akses terhadap item data berdasarkan nama dari data item, isi dari data item atau beberapa karakteristik dari serangkaian data yang terdapat pada data item.
b. Batch Output and Distribution Control
Batch output adalah output yang dihasilkan pada beberapa fasilitas operasional dan setelah itu dikirim atau disimpan oleh pemakai output tersebut. Output ini menggunakan banyak formulir, contohnya, keluaran laporan pengendalian manajemen berisi tabel, grafik atau image. Pengendalian terhadap batch output dilakukan dengan tujuan untuk memastikan bahwa laporan tersebut akurat, lengkap dan tepat waktu yang hanya dikirim atau diserahkan kepada pemakai yang berhak
c. Batch Report Design Controls
Elemen penting untuk melihat pengendalian efektivitas pelaksanaan terhadap produksi, distribusi, laporan keluaran batch adalah dengan
melihat kualitas dari desainnya. Desain laporan yang baik akan membuat pemakai mudah untuk membaca output yang dihasilkan.
d. Online Output Production and Distribution Controls
Pengendalian terhadap produksi dan distribusi atas output yang dilakukan melalui online secara garis lurus, tujuan utamanya adalah untuk memastikan bahwa hanya bagian yang memiliki wewenang saja dapat melihat output online tersebut.
e. Audit Trail Controls
Pengendalian jejak audit pada subsistem output dilakukan untuk menjaga kronologi kejadian yang terjadi dari saat output diterima sampai pemakai melakukan penghapusan output tersebut karena sudah tidak dipakai atau disimpan lagi.
f. Existence Controls
Output dapat hilang atau rusak karena berbagai alasan, seperti invoice hilang, online output terkirim pada alamat yang salah, output terbakar karena kebakaran. Recovery terhadap subsistem output secara akurat, lengkap dan tepat merupakan hal yang sangat membantu kelangsungan hidup banyak organisasi.
2.6 Pengertian Audit Sistem Informasi
Menurut Weber (1999, p10), Audit sistem informasi adalah proses pengumpulan dan pengevaluasian bukti-bukti untuk memutuskan apakah dengan adanya sistem pengamanan asset yang berbasis komputer dan pemeliharaan integritas data, data dapat mendukung perusahaan untuk mencapai tujuannya secara efektif dan penggunaan sumber daya secara efisien serta mengetahui apakah suatu perusahaan memiliki pengendalian internal yang memadai.
Menurut Romney dan Steinbart (2003, p321), Audit sistem informasi mengkaji ulang pengendalian sistem informasi akuntansi untuk menilai pemenuhannya dengan kebijakan dan prosedur pengendalian intern dan keefektifan perlindungan terhadap asset.
2.6.1 Tujuan Audit Sistem Informasi
Menurut Romney dan Steinbart (2003, p325), tujuan Audit Sistem Informasi adalah untuk meninjau dan mengevaluasi pengendalian internal yang melindungi sistem tersebut. Ketika melaksanakan audit sistem informasi, para auditor harus memastikan tujuan-tujuan berikut ini dipenuhi :
1. Perlengkapan keamanan melindungi perlengkapan komputer, program, komunikasi, dan data dari akses yang tidak sah, modifikasi, atau penghancuran.
2. Pengembangan dan perolehan program dilaksanakan sesuai dengan otorisasi khusus dan umum dari pihak manajemen.
3. Modifikasi program dilaksanakan dengan otorisasi dan persetujuan pihak manajemen.
4. Pemrosesan transaksi, file, laporan, dan catatan komputer lainnya telah akurat dan lengkap.
5. Data sumber yang tidak akurat atau yang tidak memiliki otorisasi yang tepat diidentifikasikan dan ditangani sesuai dengan kebijakan manajerial yang telah di tetapkan.
6. File data komputer telah akurat, lengkap dan dijaga kerahasiaanya.
Menurut Weber (1999, p.11-13), tujuan audit sistem informasi dapat disimpulkan secara garis besar terbagi menjadi 4 tahap, yaitu:
1. Meningkatkan keamanan aset-aset perusahaan
Aset informasi suatu perusahaan seperti perangkat keras (hardware), perangkat lunak (software), sumber daya manusia, file data harus dijaga oleh suatu sistem pengendalian internal yang baik agar tidak terjadi penyalahgunaan aset perusahaan. Dengan demikian sistem pengamanan aset merupakan suatu hal penting yang harus dipenuhi oleh perusahaan.
2. Meningkatkan integritas data
Integritas data (data integrity) adalah salah satu konsep dasar sistem informasi. Data memiliki atribut-atribut tertentu seperti: kelengkapan, kebenaran, dan keakuratan. Jika integritas data tidak terpelihara, maka suatu perusahaan tidak akan lagi memiliki hasil atau laporan yang benar bahkan perusahaan dapat menderita kerugian.
3. Meningkatkan efektifitas sistem
Efektifitas sistem informasi perusahaan memiliki peranan penting dalam proses pengambilan keputusan. Suatu sistem informasi dapat dikatakan efektif bila sistem informasi tersebut telah sesuai dengan kebutuhan user.
4. Meningkatkan efisiensi sistem
Efisiensi menjadi hal yang sangat penting ketika suatu komputer tidak lagi memiliki kapasitas yang memadai. Jika cara kerja dari sistem aplikasi komputer menurun maka pihak manajemen harus mengevaluasi apakah efisiensi sistem masih memadai atau harus melakukan penambahan sumber daya, karena suatu sistem informasi dapat dikatakan efisien jika mampu memenuhi kebutuhan user dengan sumber daya yang minimal.
2.6.2 Metode Audit Yang Berkaitan Dengan Komputer
Menurut Weber (1999, p.55) pendekatan metode-metode audit yang berkaitan dengan komputer, yaitu :
1. Audit arround the computer
Merupakan suatu pendekatan audit dengan memperlakukan komputer sebagai black box, maksudnya metode ini tidak menguji langkah-langkah proses secara langsung, tetapi hanya berfokus pada masukan dan keluaran dari sistem komputer. Diasumsikan jika masukan benar maka keluaran juga benar, sehingga pemrosesan juga benar dan tidak melakukan pengecekan terhadap pemrosesan yang dilakukan komputer secara langsung. Metode ini dapat dilakukan bila sistem yang diaudit memenuhi kriteria-kriteria sebagai berikut: bisnis tersebut resikonya kecil, logikanya sederhana, input transaksi dilakukan dengan metode batch, proses utama berisi sortir terhadap input dan update master file dilakukan secara berurutan, jejak audit jelas, jenis penugasan relatif tetap dan sistem jarang diubah. Keuntungan dari metode ini
adalah pelaksanaan audit lebih sederhana dan dapat dilakukan oleh auditor yang memiliki pengetahuan minim tentang komputer.
2. Audit through the computer
Dalam pendekatan audit ini auditor melakukan pemeriksaan langsung terhadap program-program dan file-file komputer pada audit sistem informasi berbasis komputer. Auditor menggunakan software bantu atau dengan cek logika atau listing program (desk test on logic or program source code) untuk menguji logika program dalam rangka pengujian pengendalian yang ada di dalam komputer. Selain itu auditor juga dapat meminta penjelasan dari para teknisi komputer mengenai spesifikasi sistem dan program yang diperiksanya. Dalam pengujian substantif para auditor memeriksa file atau data komputer. Apabila auditor menggunakan alat bantu program audit, besar kecilnya peranan penggunaan komputer dalam audit tergantung kepada kompleksitas dari sistem komputer perusahaan yang diaudit. Dalam pendekatan ini fokus perhatian auditor langsung pada operasi pemrosesan di dalam sistem komputer. Keuntungan dari metode audit ini adalah auditor dapat meningkatkan kemampuan untuk melakukan pengetesan terhadap sistem dengan lebih efektif. Dan kelemahannya adalah memerlukan biaya yang relatif lebih tinggi dan tenaga kerja untuk memahami cara kerja internal dari aplikasi sisetm yang diaudit.
3. Audit with the computer
Pada pendekatan ini audit dilakukan dengan menggunakan komputer dan soft ware untuk mengotomatisasi prosedur pelaksanaan audit. Pendekatan ini dapat menggunakan beberapa pelaksanaan audit. Pendekatan ini dapat
menggunakan beberapa computer assisted audit techniques, misalnya Systems Control Audit Review File (SCARF), snapshot (pemotretan cepat), dan sebagainya. Pendekatan audit dengan bantuan komputer merupakan cara audit yang sangat bermanfaat, khususnya dalam pengujian substantif atas file dan record perusahaan. Software audit yang digunakan merupakan program komputer yang digunakan oleh auditor untuk membantu pengujian dan evaluasi keandalan record/data/file perusahaan. Software audit yang digunakan dapat digolongkan menjadi dua, yaitu : perangkat lunak audit khusus (SAS, Specialized Audit Software), dan perangkat lunak audit yang berlaku secara umum (GAS, Generalized Audit Software). Selain itu pada pendekatan ini juga menggunakan komputer untuk dukungan kegiatan audit, misalnya untuk kegiatan administrasi dan surat menyurat, pembuatan tabel atau jadwal untuk sampling, dan berbagai kegiatan office automation lainnya.
2.6.3 Tahapan Audit Sistem Informasi
Menurut Weber (1999, p47-55), ada 5 tahap audit sistem informasi, yaitu:
1. Planning the Audit (Perencanaan Audit)
Perencanaan merupakan fase pertama dari kegiatan audit, bagi auditor eksternal hal ini berarti melakukan investigasi terhadap klien untuk mengetahui apakah penugasan audit (audit engagement) dapat diterima, menempatkan staf audit, mendapatkan surat penugasan, mendapatkan informasi mengenai latar belakang klien, memahami informasi mengenai kewajiban hukum klien dan melakukan analisa terhadap prosedur yang ada untuk memahami bisnis klien dan
mengidentifikasi area-area yang berisiko. Pada tahap ini auditor juga harus memahami pengendalian intern organisasi lalu menentukan tingkat resiko pengendalian yang berhubungan dengan setiap segmen audit.
2. Tests of Controls (Pengujian Pengendalian)
Auditor melakukan test of controls ketika mereka menilai bahwa tingkat resiko pengendalian berada pada level kurang dari maksimum (pengendalian masih dapat dipercaya). Test of controls diarahkan kepada efektifitas pengendalian intern perusahaan, baik dalam rancangan maupun operasinya (pelaksanaannya). Tahap ini diawali dengan fokus pada pengendalian manajemen (management controls), jika pengendalian manajemen dinilai beroperasi secara tidak handal, maka auditor hanya akan melakukan sedikit pengujian pada pengendalian aplikasi (application controls). Namun jika auditor menemukan kelemahan yang serius pada pengendalian manajemen maka auditor akan memberikan opini tidak wajar (adverse opinion) terhadap pengendalian yang ada di dalam perusahaan atau melakukan pengujian substantif (substantive test) atas transaksi dan pengujian keseimbangan dan hasil keseluruhan (balances or overall result). Jika auditor menyatakan pengendalian manajemen beroperasi secara memadai, maka auditor akan melakukan evaluasi terhadap keandalan pengendalian aplikasi dengan menelusuri jenis-jenis materialitas dari transaksi melalui masing-masing pengendalian yang dijalankan pada subsistem pengendalian aplikasi.
3. Tests of Transaction (Pengujian Transaksi)
Auditor menggunakan test ini untuk mengevaluasi apakah kesalahan-kesalahan atau pemrosesan yang keliru terhadap transaksi telah mengarah pada
kesalahan yang material pada pernyataan laporan keuangan. Tes pembuktian ini mencakup penelusuran terhadap jurnal hingga ke dokumen sumbernya, menguji kebenaran file, menguji akurasi perhitungan. Jika hasil tes transaksi mengindikasikan terjadi kehilangan atau kesalahan pencatatan yang material maka auditor dapat mengembangkan tingkat pengujiannya dengan melakukan test of balances or overall result untuk mendapatkan estimasi yang lebih baik terhadap kehilangan/ kesalahan pencatatan.
4. Tests of Balances or Overall Results
Auditor melakukan tes ini untuk memperoleh bukti yang cukup dalam membuat penilaian akhir (final judgment) mengenai tingkat kehilangan atau kesalahan pencatatan yang terjadi ketika fungsi sistem informasi gagal melindungi aset, memelihara integritas data, mencapai efektifitas dan efisiensi sistem informasi.
5. Completion of the Audit
Tahap ini merupakan tahap akhir dari tahapan audit sistem informasi. Pada tahap ini auditor merumuskan opininya terhadap kehilangan material dan kesalahan pencatatan yang terjadi sekaligus membuat rekomendasi untuk manajemen yang nantinya disajikan pada laporan audit.
Adapun jenis-jenis opini yang berlaku umum adalah : a. Unqualified Opinion (Wajar Tanpa Pengecualian)
Auditor menyatakan bahwa laporan keuangan disajikan secara wajar. b. Qualified Opinion (Wajar Dengan Pengecualian)
Auditor menyatakan bahwa laporan keuangan disajikan secara wajar, kecuali pada pos tertentu.
c. Adverse Opinion (Pendapat Tidak Wajar)
Auditor merasa yakin bahwa keseluruhan laporan keuangan yang disajikan memuat salah saji yang material atau menyesatkan sehingga tidak menyajikan secara wajar posisi keuangan perusahaan sesuai dengan prinsip akuntansi berlaku umum.
d. Disclaimer of Opinion (Tidak Memberikan Pendapat)
Auditor menolak memberikan pendapat dikarenakan beberapa kondisi antara lain: pembatasan lingkup audit, hubungan yang tidak independen antara auditor dan klien, dsb.
Standar Audit
Menurut Gondodiyoto dan Hendarti (2007, p197-198), standar audit yang termuat dalam standar profesional akuntan publik (Ikatan Akuntasi Indonesia, 2001) terdiri dari standar umum, standar pekerjaan lapangan dan standar pelaporan:
1. Standar Umum
a. Audit harus dilaksanakan oleh seseorang atau lebih yang memiliki keahlian dan pelatihan teknis cukup sebagai auditor.
b. Dalam semua hal yang berhubungan dengan penugasan, independensi sikap mental harus dipertahankan oleh auditor.
c. Dalam pelaksaan audit dan penyusunan laporannya, auditor wajib menggunakan kemahiran profesionalnya dengan cermat dan seksama.
2. Standar Pekerjaan Lapangan
a. Pekerjaan harus dilaksanankan sebaik-baiknya dan jika digunakan asisten harus disupervisi dengan semestinya.
b. Pemahaman yang memadai atas struktur pengendalian intern harus diperoleh untuk merencanakan audit dan menentukan sifat, saat dan lingkup pengujian yang harus dilakukan.
c. Bukti audit yang kompeten yang cukup harus diperoleh melalui inspeksi, pengamatan, pengajuan pertanyaan dan konfirmasi sebagai dasar yang memadai untuk menyatakan pendapat atas laporan keuangan yang diaudit.
3. Standar pelaporan
a. Laporan audit harus menyatakan apakah laporan keuangan telah disusun dengan prinsip akuntansi yang berlaku umum.
b. Laporan audit harus menunjukkan keadaan yang ada didalamnya prinsip akuntansi tidak secara konsisten diterapkan dalam penyusunan laporan keuangan periode berjalan dalam hubungannya dengan prinsip akuntansi yang diterapkan dalam periode sebelumnya.
c. Pengungkapan informatif dalam laporan keuangan harus dipandang memadai, kecuali dinyatakan lain dalam laporan audit.
Standard ISACA
Keahlian dan keterampilan minimal yang harus dilakukan agar dapat memenuhi persyaratan kompetensi profesional minimal dalam melaksanakan
tugas audit diatur dalam standar professional. Adapun standard audit sistem informasi disusun oleh Information Systems Audit and Control Association (ISACA).
Alasan Perlunya Standar Audit SI
1. Audit SI memerlukan standar, karena Audit SI memiliki ciri-ciri khas dan untuk dapat melaksanakan tugas itu dibutuhkan pengetahuan dan keterampilan khusus dalam audit SI.
2. Salah satu tujuan ISACA ialah melakukan globalisasi (menduniakan) standar audit SI, oleh karena itu pengembangan dan distribusi standar Audit SI adalah merupakan salah satu konstribusi penting ISACA kepada komunitas/profesi audit SI.
S1 Audit Chapter (per 1 Januari 2005)
Perlunya dibuat Audit Charter atau Letter of Engagement dalam penugasan audit sistem informasi.
Hal yang diatur tentang perlunya audit charter bagi audit internal (atau letter of engagement untuk auditor eksternal), mencakup Responsibility, Authority and Accountability, yaitu meliputi tanggung jawab, otoritas dan accountability dari fungsi audit sistem informasi pada suatu organisasi (perlu didokumentasikan dalam suatu surat keputusan pimpinan atau perjanjian).
a. Professional independence
Dalam permasalahan yang berkaitan dengan audit, auditor sistem informasi harus bersikap independen dalam tingkah laku dan tindakannya.
Auditor atau Unit/Fungsi Audit harus mempunyai posisi independen terhadap pihak-pihak yang berkaitan dalam audit (untuk menjaga agar tidak terjadi conflict of interest).
b. Organiational Relationship
Fungsi audit sistem informasi harus berada independen dari area yang diaudit untuk mencapai tujuan obyektivitas dari suatu proses audit.
S3 Professional Ethics and Standards (per 1 Januari 2005)
Audit harus selalu mempedomani profesional ethics dan standards.
a. Code of Professional Ethics
Auditor dari sistem informsi harus menghormati dan menaati etika profesional dari Information System Audit and Control Association.
b. Due Professional Care
Standard auditing profesional harus diterapkan dalam segala aspek dalam pekerjaan yang dilakukan oleh auditor sistem informasi.
Auditor harus memiliki kompetensi yang dibutuhkan untuk melaksanakan tugasnya. Auditor sistem informasi harus memaintain kompetensi teknikal melalui pendidikan profesional berkelanjutan (Continuing Professional Education).
S5 Audit Planning (per 1 Januari 2005)
Auditor sistem informasi harus merencanakan kegiatan audit, agar tujuan audit tercapai sesuai standar profesional audit. Perencanaan audit (audit planning) diperlukan dalam tiap pelaksaan suatu penugasan audit.
S6 Performance of Audit Work (per 1 Januari 2005) a. Supervision
Staf dari audit sistem informasi harus tepat untuk dapat menjamin tujuan dari audit dijalankan dan standar profesional auditing dapat terpenuhi.
b. Evidence
Selama masa pekerjaan audit auditor sistem informasi harus mendapatkan bukti yang tepat, dapat dipercaya, relevan, dan berguna untuk mencapai tujuan objectif dari suatu audit. S7 Reporting (per 1 Januari 2005)
Report Content and Form, auditor sistem informasi harus menyediakan report dalam bentuk yang tepat pada saat penyelesaian tugas audit. Laporan Audit berupa lingkup, tujuan, periode, audit, dan lingkungan dimana audit dijalankan. Laporan audit harus mengindetifikasikan permasalahan yang terjadi dalam
jangka waktu audit. Laporan audit juga untuk memberikan rekomendasi dari layanan atau kualifikasi yang diberikan auditor terhadap tugas audit yang dijalankan.
S8 Follow Up Activities (per 1 Januari 2005)
Tindak-lanjut atas rekomendasi temuan audit, auditor sistem informasi harus meminta dan mengevaluasi informasi yang sesuai dari penemuan yang terdahulu dan rekomendasi yang dihasilkan pada periode audit terdahulu untuk mendefinisikan tindakan yang tepat yang harus diimplementasikan dalam satu periode waktu. S9 Irregularities of Audit Work (per 1 September 2005)
Hal-hal yang berkaitan dengan ketidakwajaran dan penyimpangan (irregularities and illegal acts).
S10 IT Governance (per 1 September 2005)
Hal-hal yang berkaitan dengan tata kelola teknologi informasi pada suatu organisasi/perusahaan, agar TI dikelola secara efektif, efisien, ekonomis, terjamin integrity, security, availability, realibility, dan continuity.
S11 Use of Risks Assessment in Audit Planning (per 1 Nopember 2005) Teknik-teknik penaksiran risiko dalam perencanaan audit.
S12 Audit Materaility (per 1 Juli 2006)
Konsep materailitas dalam audit (khusus audit sistem informasi). S13 Using the Work of Other expert (per 1 Juli 2006)
Penggunaan hasil audit lain (expert lainnya) dalam pelaksanaan audit.
S14 Audit Evidence (per 1 Juli 2006)
Hal-hal yang berkaitan dengan bukti audit.
Selain kode etik dan standar, auditor wajib mengikuti panduan (guideliness) dan pedoman prosedur audit (procedures) yang dikeluarkan ISACA. Jadi selain kode etik, aturan ISACA terdiri dari beberapa level: Information Systems Auditing Standards, Guidelines, dan Procedures. Information Systems Auditing Guidelines (ISACA, 2007) antara lain terdiri dari :
1. Pelaksanaan tugas audit bila menggunakan bahan bukti yang berasal dari pekerjaan auditor atau ahli lainnya.
2. Bahan bukti audit.
3. Penggunaan alat bantu software audit (computer assisted audit techniques).
4. Pemeriksaan pada sistem informasi yang dioutsourcing ke organisasi lain.
5. Hal-hal yang berkaitan dengan audit charter/letter of engagement. 6. Konsep materialist.
7. Pelaksanaan tugas dengan penuh kehati-hatian (seksama). 8. Dokumentasi dalam audit.
9. Pertimbangan-pertimbangan yang berkaitan dengan irregulatities. 10. Audit sampling.
11. Dampak pervasive IS controls (kontrol internal yang tersebar). 12. Keterkaitan dan Independensi.
13. Penaksiran risiko dalam perencanaan (program) audit. 14. Review sistem aplikasi.
15. Planning dalam Audit.
16. Dampak organization’s IT controls oleh pihak ketiga. 17. Independensi dan peranan auditor dalam bidang non-audit. 18. Tatakelola TI (IT Governance).
19. Irregularities dan illegal acts. 20. Reporting.
21. Enterprise resources planning (ERP). 22. Review terhadap B2C e-Commerce. 23. Review Pengembangan Sistem Aplikasi. 24. Internet Banking.
25. Review terhadap Virtual Private Network.
26. Review terhadap Business Process Reengineering (BPR). 27. Mobile Computing.
28. Computer Forensic.
29. Post Implementation Review. 30. Kompetensi.
31. Privacy.
32. Review Business Continuity Plan dari Perspektif TI. 33. General Considerations on Using Internet.
34. Responsibility, authority, and accountability. 35. Follow-up Activities.
Sedangkan Informations Systems Auditing Procedures berisi prosedur untuk :
1. IS Risks Assessment. 2. Digital Signatures. 3. Intrusion Detection.
4. Viruses and Other Malicious Code. 5. Control Risks Self-assessment. 6. Firewalls.
7. Irregularities and Illegal Acts.
8. Security Assessment – PenetrationTesting and Vulnerability Analysis. 9. Evaluation of Management Controls Over Encryption Methodologies. 10. Business Application Change Control.
11. Electronics Fund Transfer (EFT).
2.7 Tingkatan Resiko
Menurut Peltier (2001, p1), Resiko dapat didefinisikan sebagai seseorang atau sesuatu yang menyebabkan ancaman. Resiko dibagi menjadi tiga tingkatan, yaitu :
1. High Vulnerability
Kelemahan yang sangat besar berada didalam sistem atau rutinitas operasional, dimana dampak potensial pada bisnis adalah penting sehingga harus ada pengendalian yang ditingkatkan.
2. Medium Vulnerability
Beberapa kelemahan yang ada pada sistem dan dimana dampak potensial pada bisnis adalah penting, untuk itu akan ada pengendalian yang perlu ditingkatkan.
3. Low Vulnerability
Kelemahan yang sangat kecil berada didalam sistem berakibat kecil bagi perusahaan, biasanya resiko ini jarang terjadi atau muncul. Tindakan yang dapat menghilangkan resiko ini perlu diambil jika mungkin, tetapi biaya yang dikeluarkan harus sebanding dengan pengurangan akibat dari resiko ini.
Dari ketiga tingkatan resiko tersebut dibagi lagi menjadi tiga dampak resiko, yaitu :
1. Severe impact (high)
Memungkinkan untuk perusahaan keluar dari bisnis atau kerusakan parah dari kemungkinan bisnis dan perkembangan perusahaannya.
2. Significant impact (medium)
Akan mengakibatkan kerusakan yang berarti dan biaya yang dikeluarkan juga cukup besar sehingga perusahaan akan berjuang untuk mempertahankan. 3. Minor impact (low)
Tipe dari operasional yang memberi pengaruh yang kuat pada suatu harapan untuk dapat mengatur sebagian dari kehidupan bisnis yang luar biasa.
