II-1
BAB II
TINJAUAN PUSTAKA
Dalam bab ini akan dijelaskan mengenai tinjauan pistaka yang digunakan dalam membuat penelitian ini.
2.1 Penilaian
Terdapat begitu banyak pengertian dari penilaian (atau sering disebut assesment). Menurut Mardapi (2003) penilaian adalah kegiatan menafsirkan atau mendeskripsikan hasil pengukuran. Menurut Cangelosi (1995) penilaian adalah keputusan tentang nilai. Penilaian dilakukan setelah objek menjawab pertanyaan yang terdapat pada tes. Hasil jawaban siswa tersebut ditafsirkan dalam bentuk nilai. Menurut Hargrove dan Poteet (1984), “Assesment is the process of gathering information, using appropriate tools and technique”. Penilaian adalah proses mengumpulkan informasi, dengan menggunakan alat dan teknik yang layak.
Menurut Kizlik (2009): “Assessment is a process by which information is obtained relative to some known objective or goal. Assessment is a broad term that includes testing. A test is a special form of assessment. Tests are assessments made under contrived circumstances especially so that they may be administered.
In other words, all tests are assessments, but not all assessments are tests”.
Penilaian adalah suatu proses dimana informasi diperoleh berkaitan dengan tujuan. Penilaian adalah istilah yang luas yang mencakup tes (pengujian). Tes adalah bentuk khusus dari penilaian. Tes adalah salah satu bentuk penilaian.
Dengan kata lain, semua tes merupakan penilaian, namun tidak semua penilaian berupa tes.
Peneliti lainnya menggambarkan definisi penilaian dengan berbeda.
Overton (2008) menjelaskan: “Assessment is a process of gathering information to monitor progress and make decisions if necessary. As noted in my definition of test, an assesment may include a test, but also include methods such as observations, interview, behavior monitoring, etc.” Artinya, penilaian adalah suatu proses pengumpulan informasi untuk memonitor kemajuan dan bila diperlukan pengambilan keputusan. Sebagaimana disebutkan dalam definisi
II-2
tentang tes, suatu penilaian bisa saja terdiri dari tes, atau bisa juga terdiri dari berbagai metode seperti observasi, wawancara, monitoring tingkah laku, dan sebagainya. Penilaian juga diartikan sebagai kegiatan menafsirkan data hasil pengukuran berdasarkan kriteria maupun aturan-aturan tertentu (Widoyoko, 2012).
Dari beberapa definisi tersebut dapat disimpulkan bahwa penilaian adalah proses pengumpulan berbagai data yang bisa memberikan gambaran perkembangan objek, menjelaskan dan menafsirkan hasil pengukuran (kuantifikasi suatu objek, sifat, perlaku dll), menggambarkan informasi tentang sejauh mana hasil atau ketercapaian yang telah dilakukan objek. Penilaian memberikan informasi lebih konprehensif dan lengkap dari pada pengukuran, sebab tidak hanya mengunakan instrument tes saja, tetapi juga mengunakan teknik non tes lainya. Penilaian adalah kegiatan mengambil keputusan untuk menentukan sesuatu berdasarkan kriteria baik buruk dan bersifat kualitatif. Hasil penilaian sendiri walaupun bersifat kualitatif, dapat berupa nilai kualitatif (pernyataan naratif dalam kata-kata) dan nilai kuantitatif (berupa angka).
2.2 Tingkat Kematangan
Tingkat kematangan (atau lebih sering disebut maturity level) suatu proses teknologi informasi merupakan sebutan yang dibuat oleh Infromation Technology Governance Institute (ITGI) dalam salah satu produknya yang dinamakan COBIT.
COBIT mempunyai model kematangan untuk mengontrol proses-proses TI dengan menggunakan metode penilaian (scoring) sehingga organisasi dapat menilai proses-proses TI yang dimilikinya (ITGI, 2008).
Dengan adanya model tingkat kematangan ini, maka organisasi dapat mengetahui posisi kematangannya saat ini, dan secara terus menerus serta berkesinambungan harus berusaha untuk meningkatkan levelnya sampai tingkat tertinggi agar aspek tata kelola terhadap teknologi informasi dapat berjalan secara efektif.
II-3
Gambar 2.1 Grafik Tingkat Kematangan pada COBIT (Sumber: ITGI, 2008)
Pada model tingkat kematangan ini, terdapat lima skala yang digunakan untuk menentukan nilai dari suatu keadaan yang terjadi pada objek. Berikut lima skala tersebut:
1. 0 – Non-existent
Perusahaan sama sekali tidak perduli akan pentingnya teknologi informasi untuk kelola secara baik oleh pihak manajemen.
2. 1 - Initial / Ad Hoc
Perusahaan secara reaktif melakukan penerapan dan implementasi teknologi informasi sesuai dengan kebutuhan-kebutuhan mendadak yang ada, tanpa didahului dengan perencanaan sebelumnya.
3. 2 - Repeatable but Intituitive
Perusahaan telah memiliki pola yang berulangkali dilakukan dalam melakukan manajemen aktivitas terkait dengan tata kelola teknologi informasi, namun keberadaannya belum terdefinisi secara baik dan formal sehingga masih terjadi ketidakkonsistenan.
4. 3 - Defined
Perusahaan telah memiliki prosedur baku formal dan tertulis yang telah disosialkan ke segenap jajaran manajemen dan karyawan untuk dipatuhi dan dikerjakan dalam aktivitas sehari- hari.
5. 4 - Managed and Measurable
II-4
Perusahaan telah memiliki sejumlah indikator atau ukuran kuantitatif yang dijadikan sebagai sasaran maupun objektif kinerja setiap penerapan aplikasi teknologi informasi yang ada.
6. 5 - Optimised
Perusahaan telah mengimplementasikan tata kelola teknologi informasi yang mengacu pada “Best Practice”.
2.3 Tata Kelola Teknologi Informasi
2.3.1 Definisi Tata Kelola Teknologi Informasi
Tata kelola Teknologi Informasi (TI) merupakan bagian dari pengelolaan perusahaan secara keseluruhan yang terdiri dari kepemimpinan dan struktur organisasi dan proses yang ada untuk memastikan kelanjutan TI organisasi dan pengembangan strategi dan tujuan dari organisasi. Sedangkan menurut Weill dan Ross (2004), “Specifying the decision rights and accountability framework to encourage desirable behaviour in the use of IT.”. Dijelaskan bahwa Tata kelola TI adalah framework yang spesifik dalam pengambilan keputusan dan akuntabilitas untuk mendukung kebiasaan perusahaan dalam menggunakan TI. Definisi tersebut menitikberatkan bahwa Tata kelola TI harus mampu mengarahkan perilaku penggunaan TI sesuai dengan perilaku yang diinginkan atau ditetapkan (perilaku yang sesuai dengan visi misi, nilai-nilai, strategi dan budaya organisasi).
Gondodiyoto (2007) menyatakan bahwa Tata kelola TI merupakan salah satu bagian terpenting dari kesuksesan penerapan good corporate governance. Tata kelola TI memastikan pengukuran efektifitas dan efisiensi peningkatan proses bisnis perusahaan melalui struktur yang terkait dengan TI menuju ke arah tujuan strategis perusahaan. Tata kelola TI memadukan best practice proses perencanaan, pengelolaan, penerapan, pelaksanaan dan pengawasan kinerja untuk memastikan bahwa TI benar-benar mendukung pencapaian perusahaan.
Dengan keterpaduan tersebut, diharapkan perusahaan dapat mendayakan informasi yang dimlikinya sehingga dapat mengoptimumkan segala sumber daya dan proses bisnis mereka untuk menjadi lebih kompetitif. Keputusan bisnis yang baik harus didasarkan pada knowledge yang berasal dari informasi yang relevan, komprehensif dan tepat waktu. Dimana informasi tersebut harus memenuhi
II-5
kriteria: efektif, efisien, kerahasiaan, keterpaduan, ketersediaan, kepatuhan tarhadap rencana/aturan, serta keakuratan informasi yang dihasilkan. Karena kunci utama di dalam mengelola bisnis pada kondisi lingkungan yang berubah pesat, khususnya perkembangan teknologi, adalah bagaimana kita mengelola kontrol. Pengelolaan informasi dan teknologi informasi yang efektif merupakan hal yang sangat penting untuk kelangsungan dan kesuksesan sebuah organisasi.
Skala kepentingan tersebut meningkat dalam lingkungan informasi dimana informasi berpindah tanpa batasan waktu, jarak dan kecepatan. Bagi sebagian besar organisasi, informasi dan teknologi yang mendukungnya mewakili aset organisasi yang paling berharga.
Dalam menghadapi lingkungan bisnis yang sangat kompetitif dan berubah dengan cepat, manajemen telah meningkatkan ekspektasi yang terkait dengan fungsi delivery TI. Ekspektasi tersebut antara lain adalah peningkatan kualitas, fungsionalitas dan kemudahan penggunaan, pengurangan waktu delivery, dan peningkatan tingkat layanan secara kontinu yang dicapai dengan biaya serendah mungkin. Sebagian besar organisasi menyadari manfaat potensial dari penerapan teknologi. Pemahaman dan pengelolaan resiko yang terkait dengan penerapan teknologi merupakan hal yang penting bagi keberhasilan organisasi. Beberapa perubahan dalam TI dan lingkungan pengoperasiannya mengharuskan kebutuhan untuk mengelola resiko yang terkait dengan TI. Ketergantungan pada sistem TI dan informasi merupakan keharusan untuk mendukung proses bisnis utama.
Sebagai akibatnya lingkungan regulasi mempertegas kendali atas informasi. Hal tersebut dipicu oleh meningkatnya pengetahuan mengenai bencana sistem informasi dan penipuan elektronik. Pengelolaan resiko yang terkait dengan TI saat ini dipahami sebagai bagian utama dari tata kelola perusahaan.
Tata kelola TI menjadi semakin penting dalam tata kelola perusahaan dan didefinisikan sebagai sebuah struktur hubungan dan proses untuk mengarahkan dan mengendalikan perusahaan untuk mencapai tujuan perusahaan melalui penambahan nilai dengan tetap menyeimbangkan resiko dan manfaat dari TI dan proses-prosesnya. Tata kelola TI merupakan bagian integral dari keberhasilan tata kelola perusahaan yang dicapai melalui peningkatan terukur secara efisien dan efektif dalam proses- proses di perusahaan. Tata kelola TI menyediakan struktur
II-6
yang menghubungkan proses-proses TI, sumberdaya TI dan informasi dengan strategi dan tujuan perusahaan. Tata kelola TI mengintegrasikan dan membentuk pola perencanaan dan pengorganisasian, perolehan dan penerapan, penyampaian dan dukungan, serta pengawasan kinerja TI untuk memastikan bahwa informasi perusahaan dan teknologi terkait mendukung tujuan bisnis. Organisasi harus memenuhi kebutuhan kualitas, kelayakan dan keamanan informasinya sebagaimana pada pemenuhan kebutuhan aset-aset lainnya. Manajemen juga harus mengoptimalkan penggunaan sumberdaya yang tersedia, seperti data, sistem aplikasi, teknologi, fasilitas dan manusia. Dalam melakukan tanggung jawab tersebut dalam mencapai tujuannya, manajemen harus memahami status dari sistem TI perusahaannya dan menentukan jenis kendali dan keamanan yang harus digunakan.
2.3.2 Area Fokus Tata kelola TI
Terdapat 5 area yang menjadi fokus menurut Tata kelola TI, diantaranya:
Strategic Alignment (Penyelarasan Strategis)
Berfokus pada hubungan bisnis dan IT Plans; mendefinisikan, mempertahankan dan memvalidasi proposisi nilai teknologi informasi, dan menyelaraskan IT operations dengan operasi perusahaan secara keseluruhan.
Value Delivery (Penyampaian Nilai)
Adalah tentang menjalankan proposisi nilai seluruh siklus information delivery, memastikan bahwa informasi yang disampaikan melalui teknologi informasi, memberikan manfaat yang dijanjikan, fokus pada pengoptimalan biaya dan nilai intrinsik TI.
Resource Management (Pengelolaan Sumber Daya)
Adalah tentang mengoptimalkan investasi, dan pengelolaan yang tepat.
Sumber daya TI yang penting diantaranya: aplikasi, informasi, infrastruktur dan manusia, serta yang berkaitan dengan optimalisasi pengetahuan dan infrastruktur.
II-7
Risk Management (Manajemen Risiko)
Adanya peringatan risiko oleh senior corporate officer, pemahaman yang jelas mengenai enterprise’s appetite for risk, memahami kepatuhan persyaratan, adanya transparansi tentang risiko yang signifikan di perusahaan.
Performance Measurement (Pengukuran Kinerja)
Meliputi aktivitas audit dan penilaian, serta pengukuran terhadap kinerja secara berkelanjutan.
2.3.3 Domain Tata kelola TI
Beberapa area permasalahan yang menjadi fokus utama dalam tata kelola TI antara lain adalah:
Keselarasan strategis. Penerapan TI harus dapat mendukung pencapaian misi perusahaan; strategi TI harus selaras dengan strategi bisnis perusahaan.
Pemberian nilai. Penerapan TI harus dapat memberikan nilai tambah bagi pencapaian misi perusahaan.
Manajemen resiko. Penerapan TI harus disertai dengan pengidentifikasian resiko-resiko TI sehingga dampaknya dapat ditangani.
Manajemen sumberdaya. Penerapan TI harus didukung dengan sumber daya yang memadai dan penggunaan sumber daya yang optimal.
Pengukuran kinerja. Penerapan TI harus diukur dan dievaluasi secara berkala, untuk memastikan bahwa kinerja dan kapasitas TI sesuai dengan kebutuhan bisnis.
2.3.4 Proses Tata kelola TI
Proses tata kelola TI dimulai dengan menetapkan tujuan bagi teknologi informasi perusahaan atau dengan kata lain mempersiapkan tujuan awal.
Kemudian, dari aktivitas TI yang terjadi: kinerja diukur dan dibandingkan dengan tujuan, sehingga dihasilkan pengalihan aktivitas jika diperlukan atau melakukan perubahan tujuan yang disesuaikan. Tujuan perusahaan yang merupakan tanggung
II-8
jawab utama dewan direksi dan kinerja perusahaan yang merupakan tanggung jawab pihak manajemen, tentunya menyebabkan mereka harus terus melakukan pengembangan, sehingga tujuan dapat dicapai dan pengukurannya dapat merepresentasikan tujuan yang benar. Dalam menanggapi tujuan yang diterima, fungsi TI perlu fokus pada mencapai keuntungan dengan meningkatkan otomasi dan membuat perusahaan lebih efektif, dan dengan mengurangi biaya agar perusahaan lebih efisien, serta dengan mengelola risiko (keamanan, keandalan dan kepatuhan).
2.3.5 Tata kelola TI dan Corporate Governance
Meningkatnya minat pada tata kelola TI sebagian besar muncul karena adanya prakarsa kepatuhan (seperti Sarbanes-Oxley di Amerika Serikat dan Basel II di Eropa) serta semakin diakuinya kemudahan proyek TI yang dapat berakibat besar terhadap kinerja suatu organisasi. Tujuan penerapan tata kelola TI dapat digunakan untuk menekan biaya operasional TI dengan cara mengoptimalkan operasional TI melalui kendali- kendali yang diterapkan pada setiap proses penggunaan sumber daya TI dan penanganan resiko- resiko yang terkait TI.
Wallace (2011) menyebutkan bahwa Tata Kelola TI (IT governance) adalah suatu cabang dari tata kelola perusahaan yang terfokus pada sistem teknologi informasi (TI) serta manajemen kinerja dan risikonya. Henderi dkk (2008) menjelaskan relasi antara tujuan Tata kelola TI, dengan karakteristik dan tujuan good governance untuk memberikan gambaran bentuk dukungan Tata kelola TI terhadap prinsip dan cara kerja good governance. Ada beberapa tujuan penerapan Tata kelola TI yang memiliki korelasi yang sangat erat dengan tujuan dan karakteristik good governance. Salah satunya terjadi antara tujuan Tata kelola TI butir 1 dengan butir 1 tujuan good governance, butir 5 tujuan Tata kelola TI dengan butir 4 tujuan dan karakteristik good governance, dan tujuan Tata kelola TI butir 9 dengan butir 8 tujuan dan karakteristik good governance.
Sedangkan tujuan kedua good governance yaitu meningkatkan keterlibatan dan peranan masyarakat, mendengarkan keluhan, dan banyak berinteraksi dengan masyarakat memiliki korelasi terhadap penerapan prinsip dan
II-9
cara kerja Tata kelola TI pada berbagai bidang yang berhubungan dengan pelayanan publik, karena melalui penerapan Tata kelola TI, keterlibatan peran (partisipasi) masyarakat dapat ditingkatkan, para pengambil kebijakan dapat mengetahui keluhan dari masyarakat/ customer dengan cara membaca saran dan kritik yang dikirimkannya melalui e-mail kepada sistem yang dibangun (mendengarkan keluhan), dan frekwensi interaksi dengan masyarakat juga dapat ditingkatkan dengan menggunakan telewicara atau teleconference publik, sehingga bentuk dukungan ini sejalan dengan tujuan penerapan Tata kelola TI (tujuan 8) pada perusahaan atau organisasi, yaitu memperbaiki pelayanan dan mau mendengarkan pelanggan secara keseluruhan.
Selain dapat meningkatkan partisipasi masyarakat, penerapan prinsip dan cara kerja Tata kelola TI pada sistem pelayanan publik juga mendukung prinsip dan karakteristik good governance (tujuan 4) mengenai keterbukaan, karena sistem yang didukung dengan prinsip dan cara kerja Tata kelola TI dapat menjadi penyedia informasi dan memberi kemudahan dalam memperoleh informasi yang akurat dan memadai, sehingga tercipta kepercayaan timbal-balik antara organisasi dan customer (masyarakat), sekaligus mendukung karakteristik good governance (tujuan 5) yaitu responsif, karena sistem pelayanan publik yang menerapkan prinsip Tata kelola TI juga dapat berfungsi sebagai tools dalam menampung aspirasi masyarakat secara cepat sehingga tindakan lanjutan dapat segera dilakukan. Menurut Henderi dkk (2008), Tata kelola TI dapat memberikan supporting terhadap penerapan good governance pada semua perusahaan dan organisasi (termasuk organisasi pemerintahan) yang menerapkannya. Bentuk dukungan Tata kelola TI kepada penerapan prinsip dan cara kerja good governance diberbagai perusahaan atau organisasi diantaranya dilakukan dalam bentuk penerapan prinsip dan cara kerja Tata kelola TI pada berbagai bidang yang berhubungan dengan pelayanan publik, sistem pengelolaan aset organisasi dan customer, sistem pelayanan dan kegiatan operasional bisnis, dan membangun sistem pengukur pencapaian kinerja dan efisiensi organisasi pada aspek-aspek kritis tertentu.
II-10
2.4. Control Objectives for Information and related Technology (COBIT) 4.1 COBIT (Control Objective for Information and Related Technology) merupakan a set of best practices (framework) bagi pengelolaan teknologi informasi (TI). COBIT disusun oleh IT Governance Institute (ITGI) dan Information System Audit and Control Association (ISACA), tepatnya dulu disebut Information System Audit and Control Foundation (ISACF) pada tahun 1992. Pada tahun 1996 diterbitkanlah COBIT edisi pertama, kemudian edisi kedua dari COBIT diterbitkan pada tahun 1998. Pada tahun 2000 dirilis COBIT 3.0 dan COBIT 4.0 pada tahun 2005. Kemudian COBIT 4.1 dirilis pada tahun 2007. Dan saat ini sedang dilakukan pengembangan dalam COBIT 5.0 yang akan rilis di tahun 2012. COBIT merupakan kombinasi dari prinsip-prinsip yang telah ditanamkan yang dilengkapi dengan balance scorecard dan dapat digunakan sebagai acuan model (seperti COSO) dan disejajarkan dengan standar industri, seperti ITIL, CMM, BS779, ISO9000.
COBIT juga bermanfaat bagi Manajemen untuk membantu mereka menyeimbangkan antara resiko dan investasi pengendalian dalam sebuah lingkungan TI yang sering tidak dapat diprediksi.. Bagi User, ia sangat berguna untuk memperoleh keyakinan atas layanan keamanan dan pengendalian TI yang disediakan oleh pihak internal atau pihak ketiga. Sedangkan bagi Auditor untuk mendukung atau memperkuat opini yang dihasilkan dan memberikan saran kepada manajemen atas pengendalian internal yang ada. Menurut COBIT, keputusan bisnis yang baik harus didasarkan pada knowledge yang berasal dari informasi yang relevan, komprehensif dan tepat waktu, yang dapat dihasilkan jika informasi memenuhi 7 kriteria yang akan dibahas pada subbab selanjutnya.
Control Objectives for Information and related Technology (COBIT) membantu memenuhi berbagai kebutuhan manajemen dengan menjembatani gap anata resiko bisnis, kebutuhan kendali dan permasalahan teknis. COBIT memberikan panduan melalui sebuah doman dan framework proses serta menyajikan aktivitas dalam sebuah struktur logis dan terkelola. Kaidah penerapan COBIT dibentuk dari konsensus para pakar yang akan membantu dalam mengoptimalkan investasi informasi dan akan memberikan sebuah ukuran ketika terdapat sebuah kesalahan.
Manajemen harus memastikan bahwa sebuah sistem kendali internal atau
II-11
framework dapat mendukung proses bisnis, memperjelas upaya kendali individu dalam memenuhi kebutuhan informasi dan mempengaruhi sumberdaya TI.
Pengaruh pada sumberdaya TI dan kebutuhan bisnis terhadap efektivitas, efisiensi, kerahasiaan, integritas, ketersediaan, kesesuaian dan kehandalan informasi yang harus dipenuhi terdapat dalam framework COBIT. Kendali yang mencakup kebijakan, struktur organisasi, prosedur dan pelaksanaan, merupakan tanggung jawab manajemen. Manajemen harus memastikan bahwa kendali dilaksanakan oleh seluruh pihak yang terlibat dalam pengelolaan, penggunaan, perancangan, pengembangan, perawatan atau pengoperasian sistem informasi.
Sebuah tujuan kendali TI merupakan sebuah pernyataan hasil atau tujuan yang diharapkan dapat dicapai dengan menerapkan prosedur kendali dalam sebuah aktivitas TI.
Tujuan utama COBIT adalah memberikan kebijakan yang jelas dan praktek yang baik dalam tata kelola TI dengan membantu manajemen senior memahami dan mengelola resiko terkait tata kelola TI dengan cara memberikan kerangka kerja tata kelola TI dan panduan detailed control objective (DCO) bagi pihak manajemen, pemilik proses bisnis, user dan auditor. COBIT mengintegrasikan sejumlah best practices TI dan menyediakan kerangka kerja untuk tata kelola TI yang dapat membantu pemahaman dan pengelolaan risiko serta memperoleh keuntungan terkait dengan TI. Dengan demikian implementasi COBIT sebagai framework tata kelola TI akan dapat memberikan keuntungan:
1. Penyelarasan yang lebih baik, berdasarkan pada fokus bisnis.
2. Sebuah pandangan, dapat dipahami oleh manajemen tentang hal yang dilakukan TI.
3. Tanggungjawab dan kepemilikan yang jelas didasarkan pada orientasi proses.
4. Dapat diterima secara umum dengan pihak ketiga dan pembuat aturan 5. Berbagi pemahaman diantara pihak yang berkepentingan,
didasarkan pada penggunaan bahasa yang sama.
6. Pemenuhan kebutuhan atau sebagai pelengkap bagi Committee of Sponsoring Organization of the Treadway Commission (COSO) untuk lingkungan kendali TI.
II-12
Dalam memahami framework COBIT, perlu diketahui mengenai karakteristik utama dimana framework COBIT dibuat, serta prinsip yang mendasarinya. Adapun karakteristik utama framework COBIT adalah fokus pada bisnis (business-focused), orientasi pada proses (process-oriented), berbasis kontrol (controls-based) dan dikendalikan oleh pengukuran (measurement- driven), sedangkan prinsip yang mendasarinya adalah untuk menyediakan informasi yang diperlukan organisasi dalam mewujudkan tujuannya, organisasi perlu mengelola dan mengendalikan sumberdaya TI dengan menggunakan sekumpulan proses-proses yang terstruktur untuk memberikan layanan informasi yang diperlukan. Framework COBIT 4.1 terdiri dari 3 level control objectives, dimulai dari level yang paling bawah yaitu activities. Activities merupakan kegiatan rutin yang memiliki konsep siklus hidup. Selanjutnya kumpulan activities dikelompokkan ke dalam proses TI, kemudian proses-proses TI yang memiliki permasalahan yang sama dikelompokkan ke dalam domain. Ketiga tingkatan kerangka kerja tersebut ditunjukkan pada Gambar 2.2 berikut ini.
Gambar 2.2. Struktur Kerangka Kerja COBIT 4.1
Secara keseluruhan konsep kerangka kerja COBIT digambarkan sebagai sebuah kubus tiga dimensi yang terdiri dari: (1) Proses TI, (2) Kriteria Informasi, dan (3) Sumber Daya TI. Kubus COBIT tersebut ditunjukkan pada Gambar 2.3 berikut ini.
II-13
Gambar 2.3. Kubus COBIT 4.1
2.4.1. Elemen IT Resources dalam COBIT 4.1
Elemen- elemen sumber daya TI merupakan hal yang sangat penting di dalam pencapaian tujuan bisnis. Karena itu dibutuhkan dukungan sumber daya informasi yang memadai. Fokus terhadap pengelolaan sumber daya teknologi informasi dalam COBIT 4.1 diantaranya:
• Applications (Aplikasi)
Merupakan sistem otomatis yang digunakan dan prosedur manual mengenai proses informasi.
• Information (Informasi)
Merupakan data, dalam segala bentuk yang melalui tahap input, processed dan output/ dihasilkan oleh sistem informasi dalam berbagai bentuk yang nantinya akan digunakan oleh perusahaan.
• Infrastructure (Infrastruktur)
Merupakan teknologi dan fasilitas (hardware, operating systems, database management system, networking, multimedia dan lingkungan pendukung lainnya) yang dapat memproses aplikasi.
• People (Manusia)
Personil yang dibutuhkan untuk melakukan perencanaan, mengorganisasikan, memperoleh, mengimplementasikan, menyampaikan, mendukung, mengawasi dan mengevaluasi sistem dan layanan informasi.
II-14 2.4.2 Proses TI dalam COBIT 4.1
Kerangka kerja COBIT mengidentifikasi 34 proses TI yang dikelompokkan ke dalam 4 domain utama, yaitu domain Planning and Organisation (PO), Acquisition and Implementation (AI), Delivery and Support (DS), dan Monitoring and Evaluation (ME). Setiap domain memiliki karakteristik yang berbeda. Peran dan fungsi dari masing- masing domain adalah sesuai dengan siklus struktur kerangka kerja COBIT. Pada struktur kerangka kerja COBIT tersebut terdapat sumber daya TI yang secara prinsip tersedia dalam jumlah yang terbatas. Untuk menyediakan informasi yang mendukung sasaran dan kebutuhan bisnis, maka penggunaan sumber daya TI perlu diatur dan dilakukan sesuai siklus langkah-langkah yang terbagi ke dalam empat domain tersebut.
Planning and Organization (PO)
Domain ini mencakup strategi dan taktik, serta perhatian pada identifikasi cara TI dalam memberikan kontribusi terbaiknya pada pencapaian objektif bisnis. Selanjutnya, realisasi visi strategis perlu direncanakan, dikomunikasikan dan dikelola untuk perspektif yang berbeda. Akhirnya suatu organisasi yang tepat seperti halnya infrastruktur teknologi harus diletakkan sesuai pada tempatnya.
Acquisition and Implementation (AI)
Solusi TI perlu diidentifikasi, dikembangkan atau diperoleh untuk merealisasikan strategi TI, serta diimplementasikan dan diintegrasikan kedalam proses bisnis. Perubahan dan pemeliharaan sistem yang ada dicakup dalam domain ini untuk memastikan solusi berlangsung untuk memenuhi objektif bisnis.
Delivery and Support (DS)
Domain ini dihubungkan dengan penyampaian sesungguhnya layanan yang diperlukan, yang mencakup penyediaan layanan, manajemen keamanan dan kelangsungan, dukungan layanan pada user, manajemen data dan fasilitas operasional.
Monitoring and Evaluation (ME)
Seluruh kendali-kendali yang diterapkan pada setiap proses TI harus diawasi dan dinilai kelayakannya secara berkala. Domain ini berfokus
II-15
pada masalah kendali-kendali yang diterapkan dalam perusahaan, pemeriksaan internal dan eksternal.
2.4.3 Komponen Control Objectives dalam COBIT 4.1
Framework COBIT disusun dengan karakteristik yang berfokus pada bisnis (business-focused), berorientasi pada proses (process-oriented), berbasis pada pengendalian (controls-based) dan terarah kepada pengukuran (measurement-driven). Pada edisi keempatnya ini, COBIT framework terdiri dari 34 high level control objectives dan kemudian mengelompokan proses tersebut menjadi 4 domain, keempat domain tersebut adalah: Planning and Organization (10 proses), Acquisition and Implementation (7 proses), Delivery and Support (13 proses), dan Monitoring and Evaluation (4 proses). Untuk mendapatkan control objectives yang sesuai dengan keadaan tata kelola TI di perusahaan, dilakukan beberapa tahapan. Tahapan yang dilakukan menggunakan penelitian dari Ramadhani dkk (2013) yang melakukan penilaian tata kelola TI di Rumah Sakit Hasan Sadikin (RSHS) Bandung. Penelitian ini dipilih dikarenakan pengambilan objek yang sama yakni di perusahaan rumah sakit, sehingga tahapan yang dilakukan dalam penelitian ini sesuai dengan karakteristik perusahaan (studi kasus Rumah Sakit Panti Waluyo).
Menurut Ramadhani dkk (2013), langkah pertama yang dilakukan ialah mengidentifikasi rencana strategik yang ada dalam perusahaan. Butir-butir rencana strategik yang digunakan dalam perancangan alat ukur COBIT ialah rencana strategik yang spesifik, terukur, akuntabel, relevan, dan memiliki periode waktu tertentu. Rencana strategik perusahaan ini dapat diperoleh pada buku rencana strategik perusahaan ataupun dokumen perusahaan lainnya. Langkah berikutnya ialah mengidentifikasi business goals dari COBIT. Pada tahap ini dilakukan pemetaan COBIT 4.1, tujuan bisnis rumah sakit yang telah ditetapkan dalam Dokumen Rencana Strategik kemudian disesuaikan dengan COBIT 4.1.
Kemudian tujuan perusahaan (business goals) disesuaikan padanannya dengan business goals yang tersedia dari COBIT 4.1 (Grembergen, 2005). Langkah berikutnya ialah mengidentifikasi IT Goals. Pada tahap ini dilakukan COBIT business goals to IT goals maping, proses mengidentifikasi tujuan dari
II-16
pengembangan TI berdasarkan proses sebelumnya, yakni tujuan bisnis perusahaan yang sebelumnya telah ditetukan. Kemudian didapatkan kaitan antara tujuan bisnis dengan tujuan TI. Luaran dari proses ini adalah berupa dokumen yang berisi rencana dalam pemenuhan target perusahaan dengan menggunakan sistem teknologi informasi. Dokumen ini akan diturunkan ke proses berikutnya, yakni identifikasi IT Process.
Tahap berikutnya dilakukan COBIT IT Goals to IT Process Maping yang merupakan turunan dari proses sebelumnya. Setelah diidentifikasi, kemudian dihasilkan proses TI dari kaitan antara proses TI menurut perusahaan dengan proses TI berdasarkan COBIT 4.1. Luaran dari proses ini adalah berupa dokumen yang berisi langkah-langkah untuk melaksanakan IT Goals untuk menuntaskan rencana strategis dari perusahaan. Dokumen ini akan diturunkan ke proses berikutnya, yakni indentifikasi Control Objectives. Dan terakhir dilakukan identifikasi control objectives. Pada tahap ini, dilakukan identifikasi control objectives yang dibutuhkan dalam proses TI perusahaan. Control objectives merupakan bagian detail dari proses TI, untuk setiap proses TI terdapat control objectives yang berbeda-beda. Dalam control objectives sendiri juga terdapat detailed control objectives berupa daftar pertanyaan yang digunakan dalam penilaian. ITGI (2008) dalam buku panduan penggunaan COBIT 4.1 mengatur siapa saja yang berhak menjawab pertanyaan dari detailed control objectives untuk menilai tata kelola TI (baik sebagai top level management, middle level management, maupun low level management) sesuai dengan yang ditentukan oleh COBIT. Pada control objectives proses PO1, PO3, PO4, PO5, PO7, PO8, PO9, DS1, DS2, DS6, ME1, ME2, ME3, serta ME4 hanya berhak ditanyakan kepada top level management, seperti para direksi perusahaan atau ketua pada organisasi.
Hal ini dikarenakan control objectives ini berhubungan dengan strategi perusahaan seperti sektor bisnis, rencana taktis, maupun investasi TI yang dilakukan. Sedangkan pada control objectives proses PO2, PO6, AI2, AI3, AI4, AI5, AI6, AI7, DS3, DS4, DS5, DS7, DS8, DS10, DS11, DS12, serta DS13 hanya berhak ditanyakan kepada bagian yang bertanggungjawab terhadap TI perusahaan (dalam konteks studi kasus penelitian ini ialah bagian PDE). Hal ini dikarenakan control objectives tersebut berhubungan dengan teknis TI, seperti pengembangan
II-17
aplikasi, maintenance produk TI, serta pelatihan untuk penggunaan aplikasi. Pada bagian ini dihasilkan dokumen penilaian sistem informasi yang akan digunakan untuk penilaian maturity level tata kelola TI di suatu perusahaan.
2.4.4 Tahapan Penerapan Tata Kelola TI Menggunakan COBIT 4.1
Terdapat 4 fase penerapan Tata Kelola TI menggunakan COBIT, yaitu fase identify needs (mengidentifikasi kebutuhan), envision solution (meramalkan solusi), plan solution (merencanakan solusi), dan implement solution (menerapkan solusi). Keempat fase tersebut merupakan tahapan yang harus dilalui untuk menerapkan Tata Kelola TI (Gambar 2.4).
Gambar 2.4. Tahapan tata kelola TI dengan COBIT 4.1
1. Identify Needs (Mengidentifikasi Kebutuhan)
Pada fase ini dilakukan kegiatan-kegiatan penting untuk mengidentifikasi kebutuhan Tata Kelola TI, seperti mengkomunikasikan dan mengkonfirmasi ulang kebutuhan, menyaring dan mendefinisikan kebutuhan, hingga memilih model kendali dan proses-proses TI yang diperlukan dalam Tata Kelola TI. Untuk memilih model kendali dan proses-proses TI, diperlukan langkah- langkah sebagai berikut:
Memahami latar belakang inisiatif Tata Kelola TI dan menyusun tujuan bisnis untuk proyek penerapan Tata Kelola TI,
II-18
meningkatkan kesadaran (awareness) dan mendefinisikan pengorganisasian proyek dengan tepat.
Memahami tujuan bisnis dan bagaimana tujuan bisnis harus diterjemahkan ke dalam tujuan TI.
Memahami resiko potensial dan bagaimana resiko-resiko tersebut dapat mempengaruhi tujuan TI.
Menentukan lingkup proyek perbaikan dan mengidentifikasi proses-proses TI yang akan diterapkan atau ditingkatkan.
2. Envision Solution (Meramalkan Solusi)
Fase kedua dari road map adalah envision solution (meramalkan solusi). Fase ini terdiri dari tiga langkah utama.
Mendefinisikan dimana status perusahaan saat ini (as-is) dan menilai kemampuan dan kematangan proses-proses pada saat ini.
Menetapkan target dari tingkat kematangan (to-be) dan kemampuan yang reasonable dan sesuai untuk masing-masing proses TI.
Menganalisis dan menerjemahkan gap antara as-is dan to-be ke dalam peluang-peluang untuk melakukan peningkatan.
3. Plan Solution (Merencanakan Solusi)
Fase ketiga dari road map mengidentifikasi inisiatif-inisiatif peningkatan dan menterjemahkannya ke dalam proyek yang dapat dipertimbangkan untuk memenuhi tujuan bisnis dan mengurangi resiko. Kemudian proyek tersebut diintegrasikan ke dalam suatu strategi peningkatan dan rencana program yang terperinci dan mudah dilaksanakan untuk menjalankan solusi.
4. Implement Solution (Menerapkan Solusi)
Pada saat rencana peningkatan dijalankan, pelaksanaan rencana diatur oleh proyek yang dibentuk dan metodologi manajemen perubahan.
Kelangsungan atas penyampaian hasil bisnis yang diinginkan dijamin oleh umpan balik dan pembelajaran yang diperoleh dengan me-review pasca implementasi, monitoring peningkatan kinerja perusahaan, dan IT balance scorecards.
