3. METODOLOGI PENELITIAN

(1)

3. METODOLOGI PENELITIAN

3.1 Rancangan Penelitian

Jenis penelitian yang dilakukan adalah penelitian deskriptif, di mana penelitian ini memberikan gambaran kepada pembaca dan mengungkapkan kondisi perusahaan secara detil.

Rancangan penelitian yang dilakukan berupa studi kasus, di mana penulis melakukan penelitian pada suatu objek penelitian saja dengan menilai kondisi general control atas sistem informasi yang diterapkan PT.”X”, dan sekaligus menyelesaikan masalah-masalah yang terjadi dalam penerapannya

3.2 Jenis dan Sumber Data

Jenis data yang digunakan dalam penelitian ini adalah data kualitatif, yaitu data yang tidak dapat diukur dalam skala numeric, misalnya kebijkaan perusahaan, struktur organisasi perusahaan beserta job descriptionnya, prosedur pengendalian umum, prosedur dan pengendalian password, prosedur toleransi kesalahan, prosedur back up, dan prosedur otorisasi penambahan atau perubahan program.

Sumber data yang dignakan penulis merupakan data primer, yaitu data yang diperoleh langsung dari sumber internal perusahaan (kepala bagian IT dari PT. “X” dan user-user yang terkait secara langsung langsung). Selanjutnya data tadi akan digunakan atau dijadikan sebagai bukti audit atau audit evidence yang dari penelitian yang dilakukan penulis ini yaitu audit sistem informasi atas general control PT. “X”.

Area/lingkup audit general control

Jenis Data Sumber Data

Pengendalian Struktur Fungsi IT

 Dokumentasi Struktur Perusahaan

 Kepala bagian IT

 Beberapa user

(2)

 Dokumentasi Job Description jika ada

 Hasil Wawancara

yang terkait dalam fungsi IT

Pengendalian Pusat Komputer

 Hasil wawancara

 Dokumentasi daftar member disaster recovery team, daftar aplikasi penting

 Dokumentasi daftar akses masuk ruang puskom

 Dokumentasi servis AC

 Beberapa member disaster recovery team

Pengendalian Sistem Operasi

 Hasil wawancara

 Dokumentasi standar dan kebijakan perusahaan tentang keamanan akses dan password

 Beberapa user operasional yang terkait

Pengendalian Personal Computer

 Hasil wawancara

 Dokumentasi standar dan kebijakan tentang pemilihan dan instalasi software

Pengendalian Manajemen Data

 Hasil wawancara

 Dokumentasi Database Authorization Table

 Database Admin

Pengendalian

Pemeliharaan Sistem

 Hasil wawancara

 Dokumentasi standar dan kebijakan tentang prosedur pengembangan system baru dan pemeliharaan system

 Programmer pengembangan dan pemeliharaan sistem

Pengendalian Jaringan dan Internet

 Hasil wawancara  Kepala bagian IT

(3)

3.3 Instrumen dan Metode Pengumpulan Data

Instrumen yang digunakan untuk mengumpulkan data berupa pedoman wawancara yang didalamnya terdapat daftar pertanyaan yang akan diajukan kepada pihak manajemen dan personel yang terkait dalam operasional yang bersangkutan dimana daftar pertanyaan ini berguna untuk mengarahkan penulis pada kondisi perusahaan dan masalah yang timbul dilapangan dan menggali apa yang menjadi kebutuhan, selain itu juga perlu ada catatan hasil wawancara, dan fotocopy dokumen.

Sedangkan dalam mengumpulkan data-data berikut yang diperlukan, metode yang akan dilakukan adalah:

Area/Sub Area audit general control

Metode Pengumpulan data

Pengendalian Struktur Fungsi IT

 Pemisahan fungsi di dalam

departemen IT

 Review dan verifikasi apakah kebijakan perusahaan mengenai keamanan computer telah dikomunikasikan kepada user dan supervisor.

 Review dokumentasi struktur perusahaan dan job description untuk memastikan apakah user yang terkait telah berlaku sesuai fungsinya masing-masing

 Review dokumentasi system dan pemeliharaan untuk beberapa sampel aplikasi guna memastikan pemisahan fungsi pengembangan dan pemeliharaan sistem

 Observasi untuk memastikan penerapan pemisahan fungsi sesuai dengan kebijakan perusahaan

 Review access log dan hak akses untuk memastikan bahwa programmer hanya masuk ruangan apabila terjadi suatu kegagalan dan bekerja sesuai dengan job descriptionnya

Pengendalian Pusat Komputer

 Lokasi pusat komputer

 Observasi dan wawancara mengenai lokasi, situasi dan konstruksi puskom.

 Review Access Log puskom untuk memastikan bahwa akses hanya terbatas bagi user yang terotorisasi saja

(4)

 Konstruksi pusat computer

 Akses pusat computer

 Pendingin Ruangan

 Alat Pemadam Api

 Power Supply

 Disaster Recovery Planning

 Observasi dan wawancara mengenai lokasi dan peralatan alat pemadam api

 Review dokumentasi hasil pengujian kinerja cadangan power supply

 Review dokumentasi daftar Disaster Recovery Team dan daftar aplikasi penting

 Verifikasi apakah semua dokumen, data file dan aplikasi penting telah di back-up secara offsite

 Wawancara mengenai secondary backup site dan asuransi

Pengendalian Sistem Operasi

 Prosedur log on

 Kebijakan Password

 Pengendalian Virus

 Pengendalian Audit Trail

 Prosedur Fault Tolerance

 Verifikasi apakah semua user memiliki masing-masing password

 Review dokumentasi standard dan kebijakan

perusahaan tentang pengendalian log on dan password

 Menguji prosedur log on dan kekuatan password yang diterapkan

 Verifikasi apakah administrator system dengan rutin melakukan scan virus terhadap file servers

 Review prosedur operasional apabila floppy disks (USB Port) sering digunakan untuk transfer data

 Wawancara mengenai pengetahuan user tentang resiko virus komputer

 Verifikasi apakah system audit trail telah aktif sesuai dengan kebijakan perusahaan.

 Review audit log untuk beberapa sampel aktivitas yang tidak biasa

 Evaluasi apakah system RAID yag diterapkan sesuai dengan kebutuhan perusahaan

 Verifikasi apakah ada alternative prosedur untuk merecover kegagalan apabila perusahaan tidak menerpakan system RAID

(5)

 Verifikasi apakah salinan boot disk telah dibuat untuk setiap server jaringan untuk berjaga apabila terjadi kegagalan salah satu server jaringan

Pengendalian Personal Computer

 Prosedur akses PC

 Prosedur back-up

 Prosedur pemilihan software

 Verifikasi apakah mikrokomputer (desktop, keyboard, A:drive) telah terjamin keamanannya dari akses illegal

 Apabila prosedur backup menggunakan removable hardrive, maka harus dipastikan agar tidak terhubung dengan computer apabila tidak digunakan dan

disimpan di tempat yang aman

 Review backup files untuk memastikan penerapan frekuensi prosedur backup

 Review dan verifikasi kebijakan perusahaan mengenai pemilihan software aplikasi apakah software tersebut bebas dari virus dan diperoleh dari vendor yang terpercaya

Pengendalian Manajemen Data

 Pengendalian akses database

 Pengendalian Transaction log

 Prosedur back-up dan check point otomatis

 Pengendalian Data Encryption

 Pengendalian user defined procedure

 Review kebijakan perusahaan mengenai job diskripsi untuk memverifikasi apakah bagian database telah membuat table otorisasi untuk tiap-tiap user

 Verifikasi dengan menguji apakah penerapan hak akses tiap-tiap user sesuai dengan table otorisasi

 Mencetak file enkripsi data untuk memverifikasi apakah data-data sensitive telah dienkripsikan dengan baik

 Verifikasi apakah prosedur backup dilakukan secara otomatis dalam frekwensi tertentu dan salinanya tersimpan secara offsite

 Verifikasi apakah tersedia prosedur transaction log.

Hal ini diperlukan untuk menyusun kembali data-data perusahaan apabila terjadi kegagalan

Pengendalian

Pemeliharaan Sistem

 Review audit trail mengenai perubahan beberapa sampel system yang telah dilakukan maintainance

(6)

 Prosedur

pemeliharaan sistem

 Review dokumentasi perubahan system mengenai otorisasi dan catatan perubahan

Pengendalian Jaringan dan Internet

 Review kecukupan firewall terhadap kebutuhan dan tujuan perusahaan

 Review kelayakan personal yang berhak mengakses internet

1.4 Teknik Analisis Data

Teknik analisa data yang dilakukan penulis adalah analisa deskriptif kualitatif. Deskriptif kualitatif adalah penyajian data yang diperoleh dari PT “X”

dengan memberikan gambaran apa adanya atau sesuai dengan keadaan yang sebenarnya. Analisis artinya menggunakan data yang diperoleh penulis kemudaian penulis membandingkan dengan teori-teori yang sesuai untuk berusaha memberikan usulan-usulan perbaikan atas kelemahan pengendalian umum yang ada. Tahap-tahap yang akan dilakukan adalah sebagai berikut :

1) Mengumpulkan Data

Pengumpulan data yang diperlukan untuk keperluan penelitian, dilakukan dengan melakukan survei secara langsung ke PT. “X”. Data dikumpulkan dengan cara melakukan:

a. Wawancara

Wawancara dilakukan dengan tanya jawab secara langsung kepada pihak- pihak yang terlibat dalam bidang yang diteliti. Data yang didapat didalam wawancara adalah data tentang asuransi hardware dan software, user yang terlibat dalam sistem informasi perusahaan, dan akses terhadap aplikasi b. Dokumentasi

Mendokumentasikan hal-hal penting yang didapatkan dari wawancara dan observasi dengan seijin perusahaan, misalnya dokumen daftar masuk keruang server , dokumen tentang service AC , dan dokumen pengupdate antivirus

(7)

c. Observasi

Observasi dilakukan secara langsung dengan mengamati objek tempat penelitian dilakukan, yang berhubungan dengan pokok masalah yang diteliti untuk memperoleh data-data yang diperlukan. Misalnya pengamatan untuk mengetahui apakah kebijakan dan prosedur pengendalian internal telah dipatuhi oleh unit-unit operasional yang ada, sebagai contoh melihat pengamanan suatu password, melihat adanya scan antivirus, dan letak pusat komputer.

d. Pengujian

Pengujian dilakukan dengan melakukan uji coba, yaitu dengan melakukan suatu simulasi kecil atas bidang yang diteliti. Misalnya pengujian atas penerapan kebijakan password, atau keamanan sebuah hardware PC 2) Menganalisis Data

Data-data tersebut akan dianalisis berdasarkan tiap-tiap sub area/lingkup audit pengendalian umum atas informasi sistem, yaitu dengan cara membandingkannya dengan standar yang telah ditetapkan berdasarkan teori- teori pengedalian umum yang ada untuk mengetahui apakah pengendalian umum atas sistem informasi terkomputerisasi perusahaan telah sesuai atau tidak.

3) Memberi Hasil Audit dan Saran Perbaikan

Setelah data-data tersebut dianalisa dan dibandingkan sesuai dengan landasan teori yang ada, maka penulis dapat menyimpulkan dan mengkomunikasikan apakah penerapan pengendalian umum atas sistem informasi yang diterpakan PT ”X” telah sesuai atau tidak dan sekaligus memberikan saran/rekomendasi bagi manajemen perusahaan untuk memperbaiki pengendalian umum atas sistem informasi terkomputerisasinya apabila ada kelemahan-kelemahan dalam penerapannya