AUDIT SISTEM INFORMASI

Ø Pengertian Audit Sistem Informasi

Audit sistem informasi adalah proses pengumpulan dan penilaian bukti – bukti untuk menentukan apakah sistem komputer dapat mengamankan aset, memelihara integritas data, dapat mendorong pencapaian tujuan organisasi secara efektif dan menggunakan sumberdaya secara efisien

Ø Tujuan Audit Sistem Informasi

- Mengamankan asset

Aset (aktiva) yang berhubungan dengan instalasi sistem informasi mencakup: perangkat keras (hardware), perangkat lunak (software), manusia (people), file data, dokumentasi sistem, dan peralatan pendukung lainnya.

- Menjaga integritas data

Integritas data berarti data memiliki atribut:

o kelengkapan, baik dan dipercaya, kemurnian, dan ketelitian.

Tanpa menjaga integritas data, organisasi tidak dapat memperlihatkan potret dirinya dengan benar atau kejadian yang ada tidak terungkap seperti apa adanya.

o keputusan maupun langkah-langkah penting di organisasi salah sasaran karena tidak didukung dengan data yang benar.

o perlu pengorbanan biaya.

o Oleh karena itu, upaya untuk menjaga integritas data, dengan konsekuensi akan ada biaya prosedur pengendalian yang dikeluarkan harus sepadan dengan manfaat yang diharapkan.

- Menjaga efektivitas sistem

sistem informasi dikatakan efektif hanya jika sistem tersebut dapat mencapai tujuannya.

o perlu upaya untuk mengetahui kebutuhan pengguna sistem tersebut (user).

o apakah sistem menghasilkan laporan atau informasi yang bermanfaat bagi user (misal pengambil keputusan),

o auditor perlu mengetahui karakteristik user berikut proses pengambilan keputusannya.

Biasanya audit efektivitas sistem dilakukan setelah suatu sistem berjalan beberapa waktu.

Manajemen dapat meminta auditor untuk melakukan post audit guna menentukan sejauh mana sistem telah mencapai tujuan

Evaluasi ini akan memberikan masukan bagi pengambil keputusan apakah kinerja sistem layak dipertahankan; harus ditingkatkan atau perlu dimodifikasi; atau sistem sudah usang, sehingga harus ditinggalkan dan dicari penggantinya

Dapat juga dilaksanakan pada tahap perencanaan sistem (system design).

o User tidak dapat mengungkapkan kebutuhan sistem

o Dirasa perlu untuk mereview kembali spesifikasi sistem yang telah dibuat

- Mencapai efisiensi sumberdaya

Dikatakan efisien jika ia menggunakan sumberdaya seminimal mungkin untuk menghasilkan output yang dibutuhkan.

Pada kenyataannya, sistem informasi menggunakan berbagai sumberdaya, seperti mesin, dan segala perlengkapannya, perangkat lunak, sarana komunikasi dan tenaga kerja yang mengoperasikan sistem tersebut.

o harus berkompetisi untuk memberdayakan sumberdaya yang ada tersebut.

Ø Ruang lingkup Audit Sistem Informasi

Ruang lingkup Audit Sistem Informasi (SI) sebagai audit operasional terhadap fungsi sistem informasi (IT governance), audit objective-nya adalah melakukan assessment terhadap efektifitas, efisiensi, dan ekonomis tidaknya pengelolaan sistem informasi suatu organisasi.

Audit SI dimaksudkan untuk memberikan informasi kepada manajemen puncak agar manajemen mempunyai “a clear assessment” terhadap sistem informasi yang diimplementasikan pada organisasi tersebut. Misalnya, bahwa application software yang ada telah dianalisis dan didesain dengan baik, telah diimplementasikan dengan security features yang memadai.

Perlu dipahami bahwa audit SI tidak harus selalu merupakan penugasan lengkap mencakup seluruh aspek. Penugasan audit SI mungkin mencakup semua, tetapi bisa dengan beberapa variasi, atau beberapa aspek saja: suatu audit mungkin hanya menitikberatkan fokus pada satu aspek saja, atau beberapa aspek yang penting sesuai kebutuhan organisasi tersebut.

Meskipun hakekatnya keseluruhan aspek IT Governance tersebut sesungguhnya penting untuk diaudit dalam rangka peningkatan mutu sistem, namun itu tidak bersifat harus (it is not mandatory). Bisa saja dilakukan penugasan-penugasan audit yang berbeda untuk satu atau beberapa aspek, tidak harus sekali “gebrak” (to do all of them in one assignment). Salah satu alasannya adalah memang kompetensi/keterampilan yang diperlukan bagi auditor untuk setiap aspek tersebut bisa berbeda. Oleh karena itu aspek sebetulnya ada keterkaitan, dan semuanya adalah penting, maka bila dilakukan audit secara terpisah-pisah, manajemen harus mendapat gambaran umum (overview) yang jelas dan terpadu (the overview is critical).

Jadi, terdapat berbagai jenis penugasan audit sistem informasi yang dapat dilaksanakan pada suatu organisasi, misalnya sebagai berikut:

- Untuk mengidentifikasi sistem yang ada (inventory existing systems), baik yang ada pada tiap divisi/unit/departemen ataupun yang digunakan menyeluruh.

- Untuk dapat lebih memahami seberapa besar sistem informasi mendukung kebutuhan strategis perusahaan, operasi perusahaan, mendukung kegaitan operasional departemen/unit/divisi, kelompok kerja, maupun para petugas dalam melaksanakan kegiatannya.

- Untuk mengetahui pada bidang atau area mana, fungsi, kegiatan atau business processesyang didukung dengan sistem serta teknologi informasi yang ada.

- Untuk menganalisis tingkat pentingnya data/informasi yang dihasilkan oleh sistem dalam rangka mendukung kebutuhan para pemakainya.

- Untuk mengetahui keterkaitan antara data, sistem pengolahan dan transfer informasi.

- Untuk mengidentifikasi apakah ada kesenjangan (gap) antara sistem dengan kebutuhan.

- Untuk membuat peta (map) dari information flows yang ada.

Ø Pengendalian umum Audit Sistem Informasi

Tujuan pengendalian umum lebih menjamin integritas data yang terdapat di dalam sistem komputer dan sekaligus meyakinkan integritas program atau aplikasi yang digunakan untuk melakukan pemrosesan data.

Pengendalian umum pada perusahaan dilakukan terhadap aspek fisikal maupun logikal. Aspek fisikal dilakukan terhadap aset-aset fisik perusahaan, sedangkan aspek logikal terhadap sistem informasi di level manajemen (misal: sistem operasi). Pengendalian umum sendiri digolongkan menjadi beberapa, diantaranya:

a) Pengendalian organisasi dan otorisasi.

Yang dimaksud dengan pengendalian organisasi adalah secara umum terdapat pemisahan tugas dan jabatan antara pengguna sistem (operasi) dan administrator sistem (operasi). Dan juga dapat dilihat bahwa pengguna hanya dapat mengakses sistem apabila memang telah diotorisasi oleh administrator.

b) Pengendalian operasi.

Operasi sistem informasi dalam perusahaan juga perlu pengendalian untuk memastikan sistem informasi tersebut dapat beroperasi dengan baik selayaknya sesuai yang diharapkan.

c) Pengendalian perubahan.

Perubahan-perubahan yang dilakukan terhadap sistem informasi harus dikendalikan, termasuk pengendalian versi dari sistem informasi tersebut, catatan perubahan versi, serta manajemen perubahan atas diimplementasikannya sebuah sistem informasi.

d) Pengendalian akses fisikal dan logikal.

Pengendalian akses fisikal berkaitan dengan akses secara fisik terhadap fasilitas-fasilitas sistem informasi suatu perusahaan, sedangkan akses logikal berkaitan dengan pengelolaan akses terhadap sistem operasi sistem tersebut (misal: windows).

Ø Pengendalian Aplikasi

Pengendalian aplikasi adalah prosedur-prosedur pengendalian yang didisain oleh manajemen organisasi untuk meminimalkan resiko terhadap aplikasi yang diterapkan perusahaan agar proses bisnisnya dapat berjalan dengan baik.

Macam Aplikasi

Aplikasi berwujud perangkat lunak, yang dapat dibagi menjadi dua tipe dalam perusahaan untuk kepentingan audit PDE:

- Perangkat lunak berdiri sendiri

Terdapat pada organisasi yang belum menerapkan SIA dan sistem ERP, sehingga masih banyak aplikasi yang berdiri sendiri pada masing-masing unitnya. Contoh: aplikasi (software) MYOB pada fungsi akuntansi dan keuangan.

- Perangkat lunak di server

Tedapat pada organisasi yang telah menerapkan SIA dan sistem ERP. Aplikasi terinstall pada server sehingga tipe struktur sistemnya memakai sistem client-server . Client hanya dipakai sebagai antar-muka (interface) untuk mengakses aplikasi pada server.

Macam Pengendalian Aplikasi

a. Pengendalian Organisasi dan Akses Aplikasi

Pada pengendalian organisasi, hampir sama dengan pengendalian umum organisasi, namun lebih terfokus pada aplikasi yang diterapkan perusahaan. Siapa pemilik aplikasi, tugas administrator, pengguna, hingga pengembangan aplikasi tersebut.

Untuk pengendalian akses, terpusat hanya pada pengendalian logika saja untuk menghindari akses tidak terotorisasi. Selain itu juga terdapat pengendalian role based menu dibalik pengendalian akses logika, dimana hanya pengguna tertentu saja yang mampu mengakses menu yang telah ditunjuk oleh administrator. Hal ini berkaitan erat dengan kebijakan TI dan prosedur perusahaan berkaitan dengan nama pengguna dan sandi nya.

- Pengendalian Input

Pengendalian input memastikan data-data yang dimasukkan ke dalam sistem telah tervalidasi, akurat, dan terverifikasi.

- Pengendalian Proses

Pengendalian proses biasanya terbagi menjadi dua tahapan, yaitu (1) tahapan transaksi, dimana proses terjadi pada berkas-berkas transaksi baik yang sementara maupun yang permanen dan (2) tahapan database, proses yang dilakukan pada berkas-berkas master.

- Pengendalian Output

Pada pengendalian ini dilakukan beberapa pengecekan baik secara otomatis maupun manual (kasat mata) jika output yang dihasilkan juga kasat mata.

- Pengendalian Berkas Master

Pada pengendalian ini harus terjadi integritas referensial pada data, sehingga tidak akan diketemukan anomali-anomali, seperti:

ü Anomaly penambahan

ü Anomaly penghapusan

ü Anomaly pemuktahiran/pembaruan

Ø Fungsi Internal Autdor

1. Menentukan baik tidaknya internal control dengan memperhatikan pemeriksaan fungsi dan apakah prinsip akuntansi benar-benar telah dilaksanakan.

2. Bertanggung jawab dalam menentukan apakah pelaksanaan sesuai dengan rencana policy dan prosedur yang telah ditetapkan sampai nilai apakah hal tersebut telah diperbaiki atau tidak.

3. Menverifikasi adanya keuntungan kekayaan atau asset termasuk mencegah dan menentukan penyelesaian.

4. Menverifikasikan dan menilai tingkat kepercayaan terhadap sistem akuntansi dan pelaporan.

5. Melaporkan secara objektif apa yang diketahui kepada manajemen disertai rekomendasi perbaikan.