TEKNOLOGI INFORMASI III A. Information Technology 3
I. Peran Sistem Informasi Auditor
1. Organisasi Profesi, Standar and Guideline untuk Audit Sistem Informasi
ISACA (The Information Systems Audit and Control Association) adalah organisasi profesi auditor sistem informasi berskala internasional yang berdiri tahun 1994.
ISACA bertugas melayani kebutuhan anggotanya yang berkaitan dengan : a. Merumuskan standar pengetahuan
b. Menciptakan standar kompetensi
c. Menyelenggarakan ujian kompetensi bagi anggotanya d. Menciptakan kode etik
e. Menjaga penerapan kode etik pada mekanisme disiplin
Dalam menjalankan tugasnya, anggota ISACA berpedoman pada kode etik profesional, sebagai berikut :
- Mendukung adanya standar, prosedur, dan pengendalian dalam sistem informasi.
- Mengikuti standar audit sistem informasi yang diadopsi asosiasinya.
- Melayani kepentingan pegawai, pemeang saham, klien dan masyarakat umum dengan jujur dan loyal, dan tidak menjadi bagian dari aktivitas ilegal. - Menjaga kerahasiaan informasi yang diperoleh dalam pelaksanaan
pekerjaannya.
- Melaksanakan pekerjaan secara independen dan obyektif dan menghindarkan aktivitas yang membahayakan independensinya.
- Menjaga kompetensi dalam auditing dan sistem informasi dengan berpartisipasi daam aktivitas pengembangan profesional.
- Menggunakan prinsip kehati-hatian dalam mendapatkan dokumen penting audit sebagai dasar dalam pengambilan kesimpulan dan rekomendasi.
- Menginformasikan hasil audit kepada pihak-pihak yang berkepentingan. - Mendukung pembelajaran kepada manajemen, klien dan masyarakat umum
untuk menambah pemahaman mereka terhadap auditing dan sistem informasi.
- Menjaga standar perilaku dan karakter yang tinggi dalam aktivitas profesional dan personal.
2. IT Governance dan IS Auditor
Pengetahuan yang harus dimiliki Auditor SI agar dapat mengevaluasi sistem dan proses bisnis untuk menjamin bahwa risiko yang ada telah di kelola sesuai dengan tujuan bisnis organisasi.
Terdapat 4 (empat) tugas berkaitan dengan SI Auditor :
- Evaluasi desain dan implementasi pengendalian manual dan terprogram untuk menjamin bahwa risiko yang teridentifikasi pada proses bisnis berada pada tingkat yang dapat diterima
- Evaluasi proyek-proyek perubahan proses bisnis untuk memastikan bahwa proyek tersebut telah secara tepat diorganisasikan, distaffing, dikelola dan dikendalikan
- Evaluasi pengorganisasian implementasi governance dan manajemen risiko
B. Metodologi Audit
Metodologi audit adalah seperangkat dokumentasi prosedur audit yang dirancan untuk mencapai tujuan audit yang direncanakan. Terdapat beberapa pendekatan audit diantaranya :
1. Risiko Audit dan Materialitas
Pendekatan ini digunakan untuk menilai risiko dan membantu auditor SI dalam memutuskan apakah akan melaksanakan pengujian substantif atau ketaatan.
2. Business Risk (risiko usaha)
Risiko usaha adalah risiko yang dapat mempengaruhi kelangsungan jangka panjang suatu organisasi. Karakteristik dari risiko ini dapat berupa finansial, peraturan atau operasional. Dengan memahami karakteristik usaha, auditor SI dapat megidentifikasi dan mengkategorikan jenis-jenis risiko yang dapat digunakan dalam pendekatan risiko pada saat melaksanakan audit.
3. Pendekatan Risk Based Audit
Dalam pendekatan risiko audit dapat dikategorikan atas :
- Inheren risk, risiko dimana kesalahan yang timbul dapat menjadi material bila dikombinasikan dengan kesalahan lain yang ditemui selama audit, dengan asumsi tidak ada pengendalian terkait.
- Control risk, adalah risiko dimana kesalahan yang material tidak dapat di cegah atau di deteksi secara tepat waktu oleh sistem pengendalian intern.
- Detection risk, risiko dimana auditor tidak menggunakan prosedur tes yang memadai dan menyimpulkan bahwa kesalahan material tidak ada, padahal sebenarnya kesalahan tersebut ada.
- Overall audit risk, adalah kombinasi dari kategori risiko audit yang dinilai untuk setiap kontrol obyektif yang spesifik.
4. Teknik penilaian risiko
Setiap subyek dapat mewakili jenis risiko audit yang berbeda. Auditor SI harus dapat mengevaluasi berbagai calon risiko ini untuk menentukan area yang berisiko tinggi dan seharusnya di audit.
bahwa terdapat angka hasil editing yang dapat mendeteksi kesalahan dalam pemasukan transaksi yang dapat mempengaruhi aktivitas posting.
Atribut sampling mengacu pada tiga tipe sampling proposional yang berbeda tetapi berkaitan satu sama lain :
- Attribute Sampling adalah sebuah model sapling yang digunakan untuk memperkirakan tingkat (persen) kejadian atas kualitas spesifik (atribut) dalam populasi.
- Stop-or-Go Sampling adalah sebuah model sampling yang membantu mencegah sampling yang berlebihan dari suatu atribut dengan memperbolehkan suatu tes audit dihentikan sesegera mungkin. Sampling ini digunakan pada saat auditor SI percaya bahwa relative hanya sedikit kesalahan ditemukan dalam populasi.
- Discovery Sampling adalah sebuah model sampling yang dapat digunakan saat tingkat kejadian yang diharapkan sangat rendah. Sampling ini digunakan bila tujuan audit adalah mencari fraud atau penyimpangan dari regulasi.
Variable Sampling mengacu pada sejumlah tipe model sampling kuantitatif yang berbeda:
- Stratified Mean per Unit adalah model statistik dimana populasi dibagi ke dalam beberapa kelompok dan sample ditarik dari beragam kelompok. Stratified mean sampling digunakan untuk menghasilkan ukuran sample keseluruhan yang lebih kecil. - Unstratified Mean per Unit adalah model statistik dimana nilai tengah sample dihitung
dan diproyeksikan sebagai total perkiraan.
- Difference Estimation adalah model statistik yang digunakan untuk memperkirakan total perbedaan antara nilai hasil audit dan nilai buku (sebelum audit) berdasarkan perbedaan yang diperoleh dari obsrvasi sample.
Langkah utama dalam pemilihan dan pembuatan sample audit adalah : 1. Tentukan tujuan pengujian
2. Tentukan populasi yang akan di sampling
3. Tentukan metode sampling, apakah attribute atau variable sampling 4. Hitung ukuran sample
5. Pilih sample
6. Evaluasi sample dari perspektif audit
Evaluasi atas Kekuatan dan Kelemahan Audit
pendapat audit. Auditor SI diminta untuk mempertimbangkan kekuatan dan kelemahan dan kemudian mengembangkan pendapat audit dan rekomendasi. Langkah-langkah ini diperlukan oleh auditor SI untuk membuat judgment yang lebih sering didapat dari pengalaman daripada dari referensi materi.
Menilai Materialitas Temuan
Konsep materialitas adalah isu penting saat memutuskan temuan mana yang akan dimasukkan ke dalam laporan audit. Kunci untuk menentukan materialitas dari temuan audit adalah penilaian atas apa yang dianggap signifikan terhadap berbagai tingakt manajemen.
Hambatan dalam Melaksanakan Audit Hambatan dari auditee dapat meliputi :
1. Perputaran pegawai atau tidak ada pegawai
2. Pelanggaran tanggal batas waktu atau tanggal proses siklik 3. Kurangnya pengetahuan atau dokumentasi
C. Teknik Audit
1. Teknik Audit Berkelanjutan
Teknik audit berkelanjutan adalah suatu alat audit SI yang digunakan dalam lingkungan time-sharing yang memproses sejumlah besar transaksi tetapi hanya sedikit jejak kertas auit yang ditinggalkan.ketika system disalahgunakan pleh seseorang untuk mengambil uang dari laporan yang tidak aktif, teknik audit berkelanjutan akan melaporkan penarikan ini dalam waktu tertenu pada auditor SI. Jadi jarak waktu antara penyalahgunaan system dan deteksi penyalahgunaannya dapat dikurangi.
Ada 5 tipe teknik audit berkelajutan yang tersedia :
System Cotrol Audit Reviu File and Embedded Audit Modules (SCARF/EAM). Kegunaan teknik ini termasuk software audit yang ditulis secara pada sistem aplikasi organisasi.
Snapshots. Meliputi pengambilan gambar alur proses dimana transaksi diikuti tahap input sampai tahap output.
Audit Hooks, disimpan pada sisem aplikasi dan berfungsi sebagai tanda merah sehingga menyebabkan auditor SI bertindak sebelum kesalahan atau penyimpangan berlebihan.
Integrated Test Facilities (ITF) mencakup record dari model yang ada dalam arsip produksi auditee.
Continous and Intermittent Simulations (CIS). Sistem komputer selama proses transaksi berjalan, membuat simulasi pelaksanaan instruksi pada aplikasi.
2. Penilaian Sendiri atas Pengendalian
pengawasan efektifitas atas pengendalian yang ada. Auditor SI bertidak sebagai fasilitator penilaian dan professional sebagai pengendalian.
Tujuan penilaian sendiri atas pengendalian meliputi : - Perluasan tanggung jawab audit (bukan replacement)
- Pendidikan untuk manajemen lini dalam tanggung jawab dan monitoring pengendalian
- Konsentrasi pada area berisiko tinggi
3. Pengujian Ketaatan vs. Substantif
Pengujian ketaatan (Complience Test) menentukan apakah pengendalian telah diterapkan sesuai dengan prosedur dan kebijakan manajemen. Tujuan pengujian ketaatan adalah untuk memberikan keyakinan pada auditor bahwa pengendalian tertentu bekerja dengan efektif. Pengujian ketaatan benyak digunakan bila banyak buki dokumentasi.
Pengujian substantif (Subtantive Test) mengutamakan integritas dari proses aktual. Pengujian ini akan memberikan bukti atas keabsahan dan ketepatan saldo dalam laporan keuangan dan transaksi yang mendukung saldo tersebut. Auditor SI akan menggunakan pengujian substantif untuk menguji kesalahan dalam keuangan yang secara langsung mempengaruhi saldo laporan keuangan.
4. Pengujian Substantif
Pengujian substantive bertujuan mendapatkan keyakinan secara mendalam atas keandalan pengendalian-pengendalian yang diterapkan untuk melindungi organisasi dari kemungkinan tindakan kecurangan. Bagi auditor sistem informasi, tingkat pengujian substantif akan jauh lebih ekstensif.
Contoh : seorang auditor system informasi akan mengembangkan pengujian substantive untuk menguji apakah daftar persediaan yang ada di tape library telah dilaporkan dengan benar. Untuk melaksanakan pengujian ini, auditor sistem informasi mungkin akan mengambil 100% data record file persediaan, atau mungkin juga menggunakan statistical sampling yang memungkinkannya mengambil kesimpulan yang lebih akurat dan komprehensif tentang kondisi dan pengelolaan seluruh persediaan.
Alat dan teknik pengujian substantif yang sering digunakan yaitu : a. Batch Off-line Parallel Simulation
Teknik pengujian ini umum digunakan oleh auditor ekstern dengan cara membuat salinan program dari sistem yang yang diuji, yang disebut simulated system. Selanjutnya auditor memasukkan data berupa transaksi sesungguhnya periode sebelumnya. Validasi dilakukan dengan cara membandingkan laporan yang diperoleh dengan laporan yang dihasilkan oleh sistem yang diuji. Teknik pengujian ini relatif mahal biayanya.
Teknik pengujian ini merupakan pengembangan dari batch parallel simulation. Perbedaannya adalah bahwa teknik pengujian ini berada dalam sistem yang diuji atau apat dijalankan secara on-line dengan sistem yang diuji.
c. Generalized Audit Software (GAS)
Dari sifatnya, generalized audit software tidak melakukan pengujian atas suatu system, karena orientasinya lebih diarahkan sebagai suatu alat untuk melakukan pengujian data. Oleh karena itu, GAS lebih tepat digolongkan sebagai alat pengujian.
d. Virtual Transaction Testing (VTT)
Teknik pengujian yang dilakukn dalam lingkungan yang sama dengan sistem yang diuji, walaupun dalam partisi yang berbeda. Auditor harus mengkopi sistem yang diuji kedalam partisi yang berbeda serta memberikan nama yang berbeda.
Kelemahan teknik pengujian VTT adalah memerlukan perangkat keras yang memadai untuk dapat melakukan pengujiannya.
e. Embedded Auditability Modules
Teknik ini adalah menyatukan moul program audit kedalam program aplikasi yang berjalan/program produksi. Artinya, sebelum teknik ini dilaksanakan, auditor membuat kriteria tertentu tentang data current yang ingin diujinya dan menuangkannya kedalam modul program yang dirancangnya.
f. Auditors Data Base Segment
Dalam teknik pengujian ini, suatu segmen data base ditambahkan ke data base yang ada, semata-mata digunakan untuk keperluan auditor.
g. Embedded Audit Data Collection Modules (EADCM)
Dalam teknik ini, auditor merancang suatu modul program dengan fungsi mengumpulkan data audit untuk digunakan di masa yang akan datang.
Beberapa keuntungan yang diperoleh dalam penggunaan teknik EADCM, yaitu : - Data yang diperoleh dapat berupa current data, sehingga integritas data dapat
lebih diandalkan.
- Data yang diperoleh dapat di simpan dalam jangka waktu yang lama tanpa tercampur dengan data lainnya sehingga tidak mengganggu retensi file.
- Data yang diperoleh dapat berfungsi sebagai audit trail. h. Extended Audit Records (EAR)
Teknik ini merupakan salah satu bentuk dari EADCM. Dalam teknik ini, informasi yang dikumpulkan adalah berupa data tambahan yang hanya diperlukan oleh auditor.
i. Integrated Test Facilities (ITF)
Teknik ini di kenal juga dengan “a dummy company”. Dalam teknik ini beberapa data (records) dummy dimasukkan ke dalam transaksi riil/file produksi.
j. Snapshot
D. Audit Teknologi Informasi
1. Audit Atas Perencanaan Dan Organisasi Sistem Informasi a. Mereview dokumentasi
Strategi, rencana dan anggaran TI memberikan bukti dari perencanaan dan pengendalian manajemen dari lingkungan sistem informasi.
Dokumentasi kebijakan secutity memberikan standar untuk dipatuhi.
Bagan organisasi memberikan auditor SI pemahaman tentang jalur pelaporan dalam departemen/organisasi tertentu.
Deskripsi tugas menderfinisikan fungsi dan tanggung jawab dari posisi dalam organisasi.
Laporan komisi pengarah memberikan dokumentasi tentang informasi yang berhubungan dengan proyeksi sistem baru.
Prosedur pengembangan sistem dan perubahan progam memberikan kerangka kerja yang digunakan dalam pengembangan sistem dan perubahan program. Prosedur operasi menjelaskan tanggung jawab staf operasi
Manual SDM menyediakan aturan yang ditentukan oleh organisasi bagi para pegawai dalam mengatur diri mereka sendiri sesuai harapan organisasi.
b. Mewawancara dan mengobservasi personil
Observasi personil dalam menilai kinerja mereka dalam tugas membantu auditor SI mengidentifikasi :
Fungsi aktual – obervasi adalah pengujian terbaik untuk menyakinkan bahwa personil yang ditugaskan dan diotorisasi untuk melakukan fungsi tertentu adalah orang yang secara nyata mengerjakan pekerjaan tersebut.
Kepedulian terhadap security – kepedulian terhadap security harus diamati untuk memverifikasi pemahaman dan praktek individual atas pengukuran preventif dan defektif security yang baik untuk melindungi aset dan organisasi. Hubungan pelaporan – hubungan pelaporan harus di observasi untuk menjamin bahwa tanggung jawab yang diberikan dan pemisahan tugas telah dilaksanakan.
c. Mereview contractual commitments
Terdapat berbaga tahapan kontrak hardware, software dan jasa SI, antara lain : Pengembangan kebutuhan kontrak
Proses tender kontrak Proses seleksi kontrak Persetujuan kontrak Pelaksanaan kontrak Ketaatan kontrak
Tiap tahapan harus di dukung dokumen legal, tergantung dari otorisasi manajemen. Auditor SI harus memverifikasi partisipasi manajemen dalam proses kontrak dan menjamin adanya review ketaatan atas kontrak.
a. Penggunaan kartu dan kunci terminal
Auditor sistem informasi dapat mengambil sampel dari kartu atau kunci terminal dan berusaha mendapatkan akses melebihi otorisasi.
b. Identifikasi terminal
Auditor sistem informasi menyeleksi sampel terminal untuk meyakinkan bahwa terminal tersebut telah diidentifikasikan dalam diagram jaringan.
c. Logon-IDs dan password
Untuk mneguji kerahasiaan, auditor sistem informasi harus berusaha menebak password suatu sampel atas logon-ID para pegawai.
d. Pengendalian terhadap sumber daya produksi
Dalam tahap ini, auditor sistem informasi harus bekerja dengan analisis software sistem dan manajer operasi untuk menetapkan sumber daya produksi.
e. Pencatatan (logging) dan pelaporan pelanggaran akses komputer
Auditor sistem informasi berusaha mengakses transaksi atau data komputer dimana akses tidak diotorisasikan. Pengujian ini harus dikoordinasikan dengan pemilik data dan administrator security untuk menghindari pelanggaran peraturan security.
f. Tindak lanjut pelanggaran akses
Auditor sistem informasi harus menseleksi suatu sampel laporan sekuriti dan mencari bukti tindak lanjut serta investigasi pelanggaran akses.
g. Pengendalian akses dial-up
Auditor sistem informasi harus men-dial komputer dari suatu nomor saluran telepon yang terotorisasi dan tidak terotorisasi. Auditor sistem informasi harus menguji pengendalian logikal yang dilakukan setelah koneksi terotorisasi ke komputer tercapai dengan menggunakan keberhasilan dial-up untuk berusaha memperoleh akses file yang tidak diotorisasikan.
h. Identifikasi metode memotong (bypass) jalur security dan pengendalian kompensasi
Dalam hal ini, auditor sistem informasi bekerja sama dengan analis software sistem, manajer jaringan, manajer operasi dan administrator security untuk menetapkan cara memotong sistem keamanan (security).
i. Otorisasi perubahan jaringan
Auditor sistem informasi dapat menguji pengendalian perubahan ini dengan : a. Melakukan sampling permintaan perubahan yang ada, mencari otorisasi yang
tepat dan mencocokkan permintaan tersebut dengan alat jaringan aktual. b. Mencocokkan perubahan jaringan yang ada, seperti saluran telekomunikasi
yang baru, terminal tambahan dan permintaan perubahan yang diotorisasikan. j. Mereview pengendalian akses dan pengadministrasian password
Pengendalian akses dan pengadministrasian password direview untuk menentukan bahwa :
Ada prosedur untuk menyakinkan bahwa password individu tidak secara jelas diungkap.
Pembuatan password dengan panjang yang cukup, tidak mudah di tebak dan tidak mengulang-ulang karakter.
Password diganti secara berkala.
Organisasi user secara periodik memvalidasi kemampuan akses yang diberikan ke individu dalam departemennya.
Prosedur memberikan penundaan kode identifikasi user atau penghentian terminal, mikrokomputer atau aktivitas alat pemasukan data setelah sejumlah tertentu pelanggaran prosedur security.
3. Akses Fisik
Dalam hal ini, seorang auditor sistem informasi harus memahami proses evaluasi security atas infrastruktur teknologi informasi, logical security serta lingkungan security untuk memenuhi kebutuhan bisnis organisasi dalam mengamankan aset informasi dari penggunaan, pengungkapan dan modifikasi oleh pihak yang tidak berwenang serta dari kerusakan atau kerugian.
Ada empat hal yang perlu diperhatikan dalam proteksi atas aset sistem nformasi : a. Mengevaluasi desain, implementasi dan pemantauan pengendalian akses logikal
(logical access control) untuk menjamin integritas (integrity), kerahasiaan (confidentiality) serta ketersediaan (availability) atas aset-aset informasi.
b. Mengevaluasi security atas jaringan infrastruktur untuk manjamin integritas, kerahasiaan, ketersediaan, serta penggunaan terotorisasi atas jaringan serta informasi yang ditransmisikan.
c. Mengevaluasi desain, inplementasi serta pemantauan pengendalian lingkungan guna mencegah dan/atau meminimalkan kerugian potensial.
d. Mengevaluasi desain, implementasi serta pemantauan pengendalian akses fisikal untuk menjamin bahwa tingkat proteksi terhadap aset dan fasiltasnya telah memadai dalam memenuhi tujuan bisnis organisasi.
4. Audit Atas Akses Fisik
Pengujian security fisik banyak dicapai dengan melakukan pengamatan visual atas pencatatan security sebelumnya. Penelusuran Pusat Sistem Informasi berguna untuk memperoleh pemahaman dan persepsi menyeluruh atas instalasi yang di review. Penelusuran ini memberikan kesempatan untuk mereview batasan-batasan akses fisik (pengendalian terhadap pegawai, pengunjung, penyelusup dan vendor).
5. Audit Atas Infrastruktur Dan Operasi 1. Review atas hardware
2. Review atas sistem operasi 3. Review database
6. Review atas operasi dari sistem informasi 7. Prosedur penanganan file
8. Pengendalian atas data entry
9. Lights Out Operations (proses otomatisasi) 10. Review atas laporan masalah manajemen
11. Review atas kesiapan hardware dan laporan utilisasi 12. Review atas jadwal pekerjaan dengan jadwal personilnya
6. Audit Pengendalian Aplikasi
1. Menelaah dokumentasi sistem aplikasi
Dokumentasi yang harus ditelaah untuk memperoleh pemahaman mengenai pengembangan aplikasi :
- Dokumentasi Metodologi Pengembangan Sistem - Perubahan Program
- Manual Pemakai
- Dokumentasi Referensi Teknikal 2. Menganalisis arus transasksi dalam sistem
3. Mempersiapkan suatu model penilaian risiko untuk menganalisis pengendalian aplikasi
4. Observasi dan pengujian prosedur pelaksanaan pemakai 7. Audit Atas Keamanan Jaringan
- Review Diagram Jaringan
Diagram ini menggambarkan hubungan telekomunikasi antara komputer, terminal dan alat peripheral seperti switch jaringan, modem dan saluran dial-up. Informasi ini penting karena Auditor Sistem Informasi akan mengevaluasi jaringan ini untuk menetapkan apakah pengendalian akses fisik dan logik yang tepat telah diterapkan dan untuk menginventarisasi berbagai hubungan terminal untuk menjamin keakuratan diagram.
- Security Akses Jarak Jauh (Remaote Access Security)
Pengendalian security akses jarak jauh sebaiknya didokumentasikan dan diimplementasikan untuk pengguna luar yang terotorisasi dari lingkungan jaringan yang dapat dipercaya.
