Ø Pengertian Audit Sistem Informasi
Audit sistem informasi adalah proses pengumpulan dan penilaian bukti –
bukti untuk menentukan apakah sistem komputer dapat mengamankan aset,
memelihara integritas data, dapat mendorong pencapaian tujuan organisasi secara
efektif dan menggunakan sumberdaya secara efisien
Ø
Tujuan Audit Sistem Informasi
-
Mengamankan
asset
Aset (aktiva) yang
berhubungan dengan instalasi sistem informasi mencakup: perangkat keras
(hardware), perangkat lunak (software), manusia (people), file data,
dokumentasi sistem, dan peralatan pendukung lainnya.
-
Menjaga integritas
data
Integritas data
berarti data memiliki atribut:
o
kelengkapan,
baik dan dipercaya, kemurnian, dan ketelitian.
Tanpa menjaga
integritas data, organisasi tidak dapat memperlihatkan potret dirinya dengan
benar atau kejadian yang ada tidak terungkap seperti apa adanya.
o
keputusan
maupun langkah-langkah penting di organisasi salah sasaran karena tidak
didukung dengan data yang benar.
o
perlu
pengorbanan biaya.
o
Oleh karena
itu, upaya untuk menjaga integritas data, dengan konsekuensi akan ada biaya
prosedur pengendalian yang dikeluarkan harus sepadan dengan manfaat yang
diharapkan.
-
Menjaga efektivitas
sistem
sistem informasi
dikatakan efektif hanya jika sistem tersebut dapat mencapai tujuannya.
o
perlu upaya
untuk mengetahui kebutuhan pengguna sistem tersebut (user).
o
apakah sistem menghasilkan laporan atau
informasi yang bermanfaat bagi user (misal pengambil keputusan),
o
auditor perlu
mengetahui karakteristik user berikut proses pengambilan keputusannya.
Biasanya audit
efektivitas sistem dilakukan setelah suatu sistem berjalan beberapa waktu.
Manajemen dapat
meminta auditor untuk melakukan post audit guna menentukan sejauh mana sistem
telah mencapai tujuan
Evaluasi ini akan
memberikan masukan bagi pengambil keputusan apakah kinerja sistem layak
dipertahankan; harus ditingkatkan atau perlu dimodifikasi; atau sistem sudah
usang, sehingga harus ditinggalkan dan dicari penggantinya
Dapat juga
dilaksanakan pada tahap perencanaan sistem (system design).
o
User tidak
dapat mengungkapkan kebutuhan sistem
o
Dirasa perlu
untuk mereview kembali spesifikasi sistem yang telah dibuat
-
Mencapai efisiensi
sumberdaya
Dikatakan efisien jika
ia menggunakan sumberdaya seminimal mungkin untuk menghasilkan output yang
dibutuhkan.
Pada kenyataannya,
sistem informasi menggunakan berbagai sumberdaya, seperti mesin, dan segala
perlengkapannya, perangkat lunak, sarana komunikasi dan tenaga kerja yang
mengoperasikan sistem tersebut.
o
harus
berkompetisi untuk memberdayakan sumberdaya yang ada tersebut.
Ø
Ruang lingkup Audit Sistem Informasi
Ruang lingkup Audit Sistem Informasi (SI) sebagai audit
operasional terhadap fungsi sistem informasi (IT governance), audit
objective-nya adalah melakukan assessment terhadap efektifitas,
efisiensi, dan ekonomis tidaknya pengelolaan sistem informasi suatu organisasi.
Audit SI dimaksudkan untuk memberikan informasi kepada
manajemen puncak agar manajemen mempunyai “a clear assessment” terhadap sistem informasi yang diimplementasikan pada
organisasi tersebut. Misalnya, bahwa application software yang ada telah dianalisis dan didesain dengan baik,
telah diimplementasikan dengan security features yang memadai.
Perlu
dipahami bahwa audit SI tidak harus selalu merupakan penugasan lengkap mencakup
seluruh aspek. Penugasan audit SI mungkin mencakup semua, tetapi bisa dengan
beberapa variasi, atau beberapa aspek saja: suatu audit mungkin hanya
menitikberatkan fokus pada satu aspek saja, atau beberapa aspek yang penting
sesuai kebutuhan organisasi tersebut.
Meskipun
hakekatnya keseluruhan aspek IT Governance tersebut sesungguhnya
penting untuk diaudit dalam rangka peningkatan mutu sistem, namun itu tidak
bersifat harus (it is not mandatory). Bisa saja dilakukan penugasan-penugasan
audit yang berbeda untuk satu atau beberapa aspek, tidak harus sekali “gebrak”
(to do all of them in one assignment). Salah satu alasannya adalah memang
kompetensi/keterampilan yang diperlukan bagi auditor untuk setiap aspek
tersebut bisa berbeda. Oleh karena itu aspek sebetulnya ada keterkaitan, dan
semuanya adalah penting, maka bila dilakukan audit secara terpisah-pisah,
manajemen harus mendapat gambaran umum (overview) yang jelas dan terpadu (the
overview is critical).
Jadi,
terdapat berbagai jenis penugasan audit sistem informasi yang dapat
dilaksanakan pada suatu organisasi, misalnya sebagai berikut:
-
Untuk mengidentifikasi sistem yang ada (inventory
existing systems), baik yang ada pada tiap divisi/unit/departemen ataupun yang
digunakan menyeluruh.
-
Untuk dapat lebih memahami seberapa besar
sistem informasi mendukung kebutuhan strategis perusahaan, operasi perusahaan,
mendukung kegaitan operasional departemen/unit/divisi, kelompok kerja, maupun
para petugas dalam melaksanakan kegiatannya.
-
Untuk mengetahui pada bidang atau area mana,
fungsi, kegiatan atau business processesyang didukung dengan sistem serta
teknologi informasi yang ada.
-
Untuk menganalisis tingkat pentingnya
data/informasi yang dihasilkan oleh sistem dalam rangka mendukung kebutuhan
para pemakainya.
-
Untuk mengetahui keterkaitan antara data,
sistem pengolahan dan transfer informasi.
-
Untuk mengidentifikasi apakah ada kesenjangan
(gap) antara sistem dengan kebutuhan.
-
Untuk membuat peta (map) dari information
flows yang ada.
Ø
Pengendalian umum Audit Sistem Informasi
Tujuan
pengendalian umum lebih menjamin integritas data yang terdapat di dalam sistem
komputer dan sekaligus meyakinkan integritas program atau aplikasi yang
digunakan untuk melakukan pemrosesan data.
Pengendalian
umum pada perusahaan dilakukan terhadap aspek fisikal maupun logikal. Aspek
fisikal dilakukan terhadap aset-aset fisik perusahaan, sedangkan aspek logikal
terhadap sistem informasi di level manajemen (misal: sistem operasi).
Pengendalian umum sendiri digolongkan menjadi beberapa, diantaranya:
a) Pengendalian
organisasi dan otorisasi.
Yang
dimaksud dengan pengendalian organisasi adalah secara umum terdapat pemisahan
tugas dan jabatan antara pengguna sistem (operasi) dan administrator sistem
(operasi). Dan juga dapat dilihat bahwa pengguna hanya dapat mengakses sistem
apabila memang telah diotorisasi oleh administrator.
b) Pengendalian
operasi.
Operasi
sistem informasi dalam perusahaan juga perlu pengendalian untuk memastikan
sistem informasi tersebut dapat beroperasi dengan baik selayaknya sesuai yang
diharapkan.
c) Pengendalian
perubahan.
Perubahan-perubahan
yang dilakukan terhadap sistem informasi harus dikendalikan, termasuk
pengendalian versi dari sistem informasi tersebut, catatan perubahan versi,
serta manajemen perubahan atas diimplementasikannya sebuah sistem
informasi.
d) Pengendalian
akses fisikal dan logikal.
Pengendalian
akses fisikal berkaitan dengan akses secara fisik terhadap fasilitas-fasilitas
sistem informasi suatu perusahaan, sedangkan akses logikal berkaitan dengan
pengelolaan akses terhadap sistem operasi sistem tersebut (misal: windows).
Ø
Pengendalian Aplikasi
Pengendalian
aplikasi adalah prosedur-prosedur pengendalian yang didisain oleh manajemen
organisasi untuk meminimalkan resiko terhadap aplikasi yang diterapkan
perusahaan agar proses bisnisnya dapat berjalan dengan baik.
Macam Aplikasi
Aplikasi berwujud perangkat lunak,
yang dapat dibagi menjadi dua tipe dalam perusahaan untuk kepentingan audit
PDE:
-
Perangkat lunak berdiri sendiri
Terdapat
pada organisasi yang belum menerapkan SIA dan sistem ERP, sehingga masih banyak
aplikasi yang berdiri sendiri pada masing-masing unitnya. Contoh: aplikasi
(software) MYOB pada fungsi akuntansi dan keuangan.
-
Perangkat lunak di server
Tedapat
pada organisasi yang telah menerapkan SIA dan sistem ERP. Aplikasi terinstall
pada server sehingga tipe struktur sistemnya memakai sistem client-server . Client hanya
dipakai sebagai antar-muka (interface) untuk mengakses aplikasi pada server.
Macam Pengendalian Aplikasi
a.
Pengendalian Organisasi dan Akses Aplikasi
Pada
pengendalian organisasi, hampir sama dengan pengendalian umum organisasi, namun
lebih terfokus pada aplikasi yang diterapkan perusahaan. Siapa pemilik
aplikasi, tugas administrator, pengguna, hingga pengembangan aplikasi tersebut.
Untuk
pengendalian akses, terpusat hanya pada pengendalian logika saja untuk
menghindari akses tidak terotorisasi. Selain itu juga terdapat
pengendalian role based menu dibalik pengendalian akses logika,
dimana hanya pengguna tertentu saja yang mampu mengakses menu yang telah
ditunjuk oleh administrator. Hal ini berkaitan erat dengan kebijakan TI dan
prosedur perusahaan berkaitan dengan nama pengguna dan sandi nya.
-
Pengendalian Input
Pengendalian
input memastikan data-data yang dimasukkan ke dalam sistem telah tervalidasi,
akurat, dan terverifikasi.
-
Pengendalian Proses
Pengendalian
proses biasanya terbagi menjadi dua tahapan, yaitu (1) tahapan transaksi,
dimana proses terjadi pada berkas-berkas transaksi baik yang sementara maupun
yang permanen dan (2) tahapan database, proses yang dilakukan pada
berkas-berkas master.
-
Pengendalian Output
Pada
pengendalian ini dilakukan beberapa pengecekan baik secara otomatis maupun
manual (kasat mata) jika output yang dihasilkan juga kasat mata.
-
Pengendalian Berkas Master
Pada
pengendalian ini harus terjadi integritas referensial pada data, sehingga tidak
akan diketemukan anomali-anomali, seperti:
ü
Anomaly penambahan
ü
Anomaly penghapusan
ü
Anomaly pemuktahiran/pembaruan
Ø
Fungsi Internal Autdor
1. Menentukan baik tidaknya internal control
dengan memperhatikan pemeriksaan fungsi dan apakah prinsip akuntansi
benar-benar telah dilaksanakan.
2. Bertanggung jawab dalam menentukan apakah
pelaksanaan sesuai dengan rencana policy dan prosedur yang telah ditetapkan
sampai nilai apakah hal tersebut telah diperbaiki atau tidak.
3. Menverifikasi adanya keuntungan kekayaan atau
asset termasuk mencegah dan menentukan penyelesaian.
4. Menverifikasikan dan menilai tingkat
kepercayaan terhadap sistem akuntansi dan pelaporan.
5. Melaporkan secara objektif apa yang diketahui
kepada manajemen disertai rekomendasi perbaikan.