BAB 5 Kerangka Pengendalian Kontrol Lain: CobiT Kerangka kerja pengendalian internal Komite Sponsoring Organizations (COSO), seperti yang diperkenalkan dan dibahas di Bab 3, telah menjadi mekanisme standar untuk mengukur dan mengevaluasi pengendalian akuntansi internal di bawah Sarbanes-Oxley Act (SOx). Namun, SOx tidak mewajibkan penggunaan kerangka COSO secara ketat namun hanya meminta penggunaannya untuk memahami dan mengevaluasi pengendalian internal. Beberapa profesional telah mengungkapkan keprihatinannya tentang kerangka kontrol internal COSO dan telah mengkritiknya secara khusus karena tidak memberikan penekanan yang cukup pada alat dan proses teknologi informasi. Misalnya, materi panduan pengendalian internal COSO yang diterbitkan melihat aplikasi pengendalian internal pada tingkat yang sangat ti nggi; beberapa telah mencari lebih banyak panduan pengendalian internal spesifik TI. Kerangka kontrol internal yang berorientasi TI, yang disebut tujuan Kontrol untuk informasi dan Teknologi terkait (CobiT), ada sebelum SOx, dan banyak perusahaan mulai men ggunakannya ketika SOx menjadi undangundang untuk mematuhi prosedur pengendalian internal Bagian 404. Kerangka kontrol internal CobiT menyediakan panduan untuk mengevaluasi dan memahami kontrol internal, dengan penekanan pada sumber daya TI perusahaan. CobiT bukanlah pengganti kerangka kontrol internal COSO namun merupakan cara yang berbeda untuk melihat kontrol kontrol internal di dunia IT centric hari ini. Meskipun awalnya diluncurkan sebagai alat untuk membantu apa yang dulunya disebut "auditor komersil" - auditor internal dan eksternal khusus yang meninjau pengendalian internal terkait TI - CobiT adalah alat yang sangat membantu untuk mengevaluasi semua kontrol internal di seluruh perusahaan. Ini menekankan dan memberikan panduan tentang keterkaitan TI dengan sumber bisnis lain l ain untuk memberikan nilai keseluruhan ke perusahaan saat ini. Bab ini merupakan ikhtisar kerangka CobiT dan komponen utamanya. Yang lebih penting, ini menggambarkan menggambarkan hubungan antara tujuan CobiT dan kerangka pengendalian internal COSO untuk digunakan dalam tinjauan audit internal. Bahkan jika mereka tidak menggunakan kerangka kerja CobiT dalam tinjauan pengendalian internal, semua auditor internal harus memiliki kerangka pengetahuan umum tingkat tinggi (CBOK) dari kerangka dasar CobiT. Selain kerangka pengendalian internal COSO, pengetahuan tentang CobiT akan membantu auditor internal untuk lebih memahami peran pengendalian dan risiko TI di banyak lingkungan perusahaan. 5.1 Pengantar CobiT CobiT adalah akronim yang semakin dikenal oleh auditor dan banyak profesional TI. Meskipun kadang disingkat COBIT daripada penetapan yang benar seperti CobiT, akronim atau kata singkatan untuk tujuan Control untuk informasi i nformasi dan Teknologi terkait. Karena penekanan kerangka kerja ini pada kontrol dan teknologi, huruf pertama dan terakhir dikapitalisasi. CobiT adalah kerangka pengendalian internal yang penting yang dapat berdiri sendiri namun merupakan alat pendukung penting untuk mendokumentasikan dan memahami kontrol
internal COSO dan SOx. Meskipun penekanan asli CobiT ada di TI, kerangka kerja ini telah diperluas. Auditor di banyak perusahaan setidaknya harus memiliki pemahaman tentang kerangka kerja CobiT dan penggunaannya sebagai alat untuk mendokumentasikan, meninjau, dan memahami kontrol internal SOx. Standar dan kerangka kerja CobiT dikeluarkan dan diperbaharui secara berkala oleh IT Governance Institute (ITGI; www.itgi.org) dan organisasi profesional yang terkait erat, Asosiasi Audit dan Pengawasan Sistem Informasi (ISACA). ISACA lebih fokus pada audit TI sementara penekanan ITGI adalah pada proses penelitian dan tata kelola.ISACA juga mengarahkan eksekusi dan penunjukan Sistem Informasi Tersertifikasi (CISA) dan penetapan profesional serta sertifi kasi dan pemeriksaan Sistem Informasi Kustodian yang lebih baru (CISM). Sertifikasi profesional terkait audit ini dibahas di Bab 27. ISACA awalnya dikenal sebagai Electronic Auditor Processing Auditor (EDPAA), sebuah kelompok profesional yang dimulai pada tahun 1967 oleh auditor internal yang merasa organisasi profesional mereka, Institute of Internal Auditor (IIA), tidak memberikan perhatian yang memadai terhadap pentingnya sistem TI dan kontrol teknologi sebagai bagian dari kegiatan audit internal. EDP pernah berdiri untuk pengolahan data elektronik, elektronik, hari ini istilah yang hampir kuno untuk TI. Seiring waktu, perusahaan profesional ini memperluas fokusnya dan menjadi ISACA, sementara IIA juga telah lama memeluk isu teknologi yang kuat. EDPAA mulai mengembangkan materi panduan profesional audit IT segera setelah pembentukannya. Sama seperti EDPAA yang berevolusi menjadi ISACA dan sekarang ITGI, standar audit TI aslinya menjadi seperangkat tujuan pengendalian internal yang sangat baik yang berevolusi ke CobiT, sekarang dalam versi 2007 4.1 edisi.1 Dengan hampir semua proses perusahaan hari ini terkait dengan IT-related Masalahnya, pemahaman tentang keseluruhan keseluruhan wilayah tata kelola TI sangat penting. Kerangka kerja CobiT sering digambarkan sebagai pentagon yang mencakup lima area kontrol internal dan interkoneksi yang luas, seperti yang digambarkan pada Tampilan 5.1.
Bidang utama penekanan utama CobiT disusun seputar konsep inti penting tata kelola TI: ? Keselarasan strategis. Upaya harus dilakukan untuk menyelaraskan operasi dan aktivitas TI dengan semua operasi perusahaan lainnya. Ini termasuk membangun hubungan antara operasi
bisnis perusahaan dan rencana TI serta proses untuk mendefinisikan, memelihara, dan memvalidasi hubungan kualitas dan nilai. ? Pengiriman nilai Proses harus dilakukan untuk memastikan bahwa TI dan unit operasi lainnya memberikan manfaat yang diharapkan selama siklus pengiriman dan dengan strategi yang mengoptimalkan biaya sambil menekankan nilai intrinsik TI dan aktivitas terkait. ? Manajemen risiko. Manajemen, di semua tingkat, harus memiliki pemahaman yang jelas tentang selera perusahaan terhadap risiko, persyaratan kepatuhan, dan dampaknya dari risiko yang signifikan. Baik TI maupun operasi lainnya memiliki tanggung jawab pengelolaan bersama dan tanggung jawab bersama sendiri yang mungkin s ecara individual atau bersama-sama mempengaruhi keseluruhan perusahaan. ? Pengelolaan sumber daya. Dengan penekanan pada TI, harus ada investasi yang optimal, dan pengelolaan sumber daya, aplikasi, informasi, infrastruktur, dan orang-orang TI yang tepat. Tata kelola TI yang efektif bergantung pada optimalisasi pengetahuan dan infrastruktur. ? Pengukuran kinerja. Proses harus dilakukan untuk melacak dan memantau pelaksanaan strategi, penyelesaian proyek, penggunaan sumber daya, kinerja proses, dan pemberian layanan. Mekanisme tata kelola TI harus menerjemahkan strategi implementasi ke dalam tindakan dan pengukuran untuk mencapai tujuan ini. Lima masalah pengendalian internal CobiT ini adalah elemen kerangka kerja CobiT dan mendefinisikan tata kelola TI. Kerangka CobiT adalah alat yang efektif untuk mendokumentasikan TI dan semua kontrol internal lainnya. Bab ini membahas kerangka kerja dalam perspektif yang lebih luas dalam menggunakan CobiT untuk membantu proses pengelolaan TI, manajemen perusahaan, dan audit internal. Bagian selanjutnya memberikan deskripsi keseluruhan kerangka kerja CobiT dan elemen utamanya untuk menghubungkan bisnis dengan sasaran TI melalui kontrol kunci dan metrik pengukuran yang efektif. Selain itu, bab ini menjelaskan pemetaan standar CobiT dengan kerangka pengendalian internal COSO, yang dibahas dalam Bab 3, praktik terbaik Manajemen Infrastruktur Information Technology Infrastructure (ITIL) yang diperkenalkan pada Bab 18, dan untuk keseluruhan TI dan tata kelola perusahaan. Elemen dan komponen kunci tata kelola TI juga dibahas. Kerangka CobiT adalah mekanisme yang efektif untuk mendokumentasikan dan memahami pengendalian internal di semua tingkat. Meskipun CobiT pertama kali memulai sebagai satu set materi panduan "IT audit", ini adalah alat yang jauh lebih hebat saat ini. 5.2 Kerangka CobiT Proses TI dan aplikasi perangkat lunak pendukung dan perangkat keras merupakan komponen kunci dalam perusahaan apa pun saat ini. Entah bisnis ritel kecil yang perlu melacak inventaris dan membayar karyawan, atau perusahaan besar Fortune 50, semua perusahaan memerlukan serangkaian proses TI saling terkait dan kompleks yang kompleks yang terkait erat dengan
operasi bisnis mereka. Artinya, proses bisnis dan sumber daya TI pendukung mereka bekerja dalam hubungan saling berbagi informasi. TI ti dak dapat dan tentu saja tidak boleh memberi tahu operasi bisnis jenis proses dan sistem TI apa yang harus mereka pertimbangkan untuk diterapkan, namun TI menyediakan informasi untuk membantu memengaruhi keputusan bisnis. Pada masa-masa awal sistem komputer, manajer TI terkadang merasa memiliki banyak jawaban dan menerapkan solusi sistem untuk bisnis mereka, terkadang dengan hasil yang sangat kontraproduktif. Namun, hari ini hubungan ini telah berubah, dan TI dan operasi bisnis umumnya memiliki hubungan timbal balik yang erat dengan persyaratan dan informasi bersama. Auditor internal harus memahami kebutuhan dan kebutuhan berbagi informasi di kedua belah pihak. IT memiliki tanggung jawab atas serangkaian area proses terkait lainnya yang diaudit oleh atau melalui pedoman audit yang ditetapkan, diukur dengan serangkaian langkah indikator kinerja dan kegiatan, dan dibuat efektif melalui serangkaian tujuan kegiatan. Semua kegiatan ini adalah bagian dari CobiT, kerangka pengendalian termasuk proses TI dan bisnis. Bab 3 menjelaskan kerangka pengendalian internal COSO dan pentingnya dalam mendefinisikan kontrol internal SOx. Auditor internal mungkin berkata: "Saya mengerti dan menggunakan kontrol internal COSO. Mengapa menggunakan kerangka kerja yang lain? "Jawabannya adalah CobiT memberikan pendekatan alternatif untuk mendefinisikan dan menggambarkan kontrol internal yang memiliki penekanan TI lebih besar daripada kerangka kontrol internal COSO murni. Informasi dan mendukung proses TI seringkali merupakan aset paling berharga untuk hampir semua perusahaan saat ini, dan manajemen memiliki tanggung jawab utama untuk melindungi aset TI pendukungnya, termasuk sistem otomatis. Manajemen, pengguna TI, dan auditor internal semua perlu memahami proses terkait informasi ini dan kontrol yang mendukungnya. Semua pengguna ini prihatin tentang efektifitas dan efisi ensi sumber daya TI mereka, proses TI, dan persyaratan bisnis secara keseluruhan, seperti ditunjukkan pada Tampilan 5.2 yang menjelaskan prinsip-prinsip dasar CobiT ini. Dalam pameran, kebutuhan bisnis mendorong permintaan sumber daya TI, dan sumber daya tersebut memulai proses TI dan informasi perusahaan secara terus menerus. Manajemen harus tertarik pada kualitas, biaya, dan pengaturan yang sesuai dari sumber daya terkait TI yang komponen kontrolnya sama dengan elemen kontrol internal COSO. Pengendalian i nternal atas sumber daya TI sangat banyak didasarkan pada ketergantungan dan efisiensi antar komponen TI ini. Tata kelola TI adalah konsep kunci CobiT yang, sebelum SOx, tidak terlalu ditekankan sebagai elemen CobiT. Ini adalah konsep pengendalian internal yang penting saat ini dengan ITGI memainkan peran kepemimpinan yang kuat. Seperti yang dijelaskan pada Tampilan 5.1, CobiT mendefinisikan tata kelola TI sebagai serangkaian bidang utama mulai dari menjaga fokus pada keberpihakan strategis terhadap pentingnya pengukuran risiko dan kinerja saat mengelola sumber daya TI Kita akan melihat referensi pentagonitas tata kelola TI ini saat kita menavigasi kerangka CobiT untuk l ebih memahami kerangka kontrol internal. CobiT juga melihat kontrol dalam tiga dimensi terkait TI:
sumber daya, proses, dan kriteria informasi. Ketiganya juga dijelaskan dalam apa yang disebut kubus CobiT, seperti yang diilustrasikan pada Exhibit 5.3. Serupa dengan kerangka kerja kerangka kontrol COSO dari Bab 3 dan kerangka COSO ERM dari Bab 6, model CobiT ini melihat kontrol TI dari perspektif tiga dimensi.
Setiap komponen pada satu bidang berhubungan dengan dua dimensi penghubung lainnya. Namun, dimensi front-facing CobiT dengan deskripsi bergambar dari diagram aliran arus terkadang membuat orang non-TI takut. Profesional non-TI-cerdas - dan ada banyak - mungkin melihat diagram proses dan memutuskan pendekatan ini harus "terlalu teknis." Ini sama sekali tidak benar. Bagian selanjutnya menjelaskan kerangka kerja CobiT dan mengapa hal itu bisa bermanfaat untuk memahami kontrol internal SOx dan memperbaiki tata kelola TI. (a) Kubus Komponen CobiT : Sumber Daya TI Sisi Sumber Daya TI dari kubus CobiT tiga dimensi mewakili semua aset TI perusahaan, termasuk masyarakatnya, sistem aplikasi, teknologi terpasang, fasilitas, dan nilai datanya. Melihat Exhibit 5.3, sisi kubus ini mewakili kekhawatiran semua sumber daya yang diperlukan
untuk pengoperasian sumber daya TI perusahaan. Entah secara individu atau kelompok, sumber daya ini harus dipertimbangkan saat mengevaluasi kontrol di lingkungan TI, yang diidentifikasi sebagai: ? Aplikasi terdiri dari kedua sistem pengguna otomatis dan prosedur manual untuk memproses informasi ? Informasi, termasuk input, output, dan data olahan, untuk digunakan oleh proses bisnis ? Komponen infrastruktur teknologi dan fasilitas termasuk perangkat keras, sistem operasi, database, jaringan, dan lingkungan yang menampung dan mendukungnya ? Kunci dan personil khusus untuk merencanakan, mengatur, memperoleh, menerapkan, mendukung, memantau, dan mengevaluasi layanan TI. Kami telah memulai deskripsi CobiT kami dari sisi kanan kubus, namun pertimbangan kontrol harus selalu dipertimbangkan dalam kaitannya bagaimana mereka berhubungan dengan komponen di sisi lain kubus. Intinya di sini adalah bahwa sumber daya TI harus selalu dianggap sebagai komponen kunci dari tata kelola TI dan pengendalian internal. (b) Kubus Komponen CobiT (i) PROSES TI Dimensi kedua dan dimensi depan dari kubus CobiT menghasilkan Proses TI dan terdiri dari tiga segmen: domain, proses, dan aktivitas. Domain adalah pengelompokan proses TI yang sesuai dengan area tanggung jawab organisasi; CobiT mendefinisikan empat area domain tertentu: 1. Perencanaan dan perusahaan. Area domain ini mencakup strategi dan taktik yang memungkinkan TI memberikan kontribusi terbaik dan mendukung tujuan bisnis perusahaan. Jenis pesan visi strategis TI ini harus dikomunikasikan ke seluruh perusahaan - pesan misi TI dan apa yang ingin dicapai untuk keseluruhan perusahaan. Ini adalah materi spesifik TI yang serupa dengan pembahasan Bab 24 tentang etika. 2. Akuisisi dan implementasi. Solusi TI perlu diidentifikasikan, dikembangkan atau diperoleh, dan keduanya diimplementasikan dan diintegrasikan dengan proses bisnis. Area domain ini mencakup perubahan dan pemeliharaan sistem yang ada. 3. Pengiriman dan dukungan. Area domain ini mencakup pengiriman layanan yang dibutuhkan, baik aplikasi dan alat infrastruktur. Proses aktual data dan kontrol aplikasi tercakup dalam domain ini. 4. Monitoring dan evaluasi. Area ini mencakup proses pengendalian, termasuk pemantauan kualitas dan kepatuhan, serta prosedur evaluasi audit eksternal dan internal.
Dalam sebuah perusahaan IT, proses untuk mengidentifikasi dan membangun aplikasi baru sering disebut prosedur pengembangan siklus hidup (SDLC) - dapat dilihat sebagai bagian dari domain implementasi CobiT dengan jaminan kualitas sebagai bagian dari domain pemantauan. Bahan deskriptif CobiT menggambarkan masing-masing area dom ain ini secara lebih rinci: ? Buat rencana strategis TI. ? Defenisi arsitektur informasi. ? Tentukan arah teknologi.
? Defenisi perusahaan IT dan hubungannya. ? Kelola investasi TI. ? Komunikasikan tujuan dan arahan manajemen. ? Mengelola sumber daya manusia. ? Pastikan kepatuhan terhadap persyaratan eksternal. ? Menilai risiko. ? Kelola proyek. ? Mengelola kualitas. Proses individu adalah tingkat berikutnya ke bawah. Mereka bergabung dalam aktivitas dengan istirahat kontrol normal. Akhirnya, kegiatan adalah tindakan yang diperlukan untuk mencapai hasil yang terukur. Kegiatan memiliki siklus hidup sedangkan tugas bersifat diskrit. Dengan siklus hidup, kita dapat memikirkan proses pengemban gan sistem siklus hidup (SDLC) dimana aplikasi baru pertama dirancang, diimplementasikan, kemudian dioperasikan dari waktu ke waktu, dan akhirnya diganti dengan proses yang lebih baik. (ii) PERSYARATAN BISNIS Dimensi ketiga dari kubus CobiT digambarkan se bagai Persyaratan Bisnis. Ketujuh komponennya harus dipertimbangkan untuk semua persyaratan bisnis dengan pertimbangan yang diberikan pada sumber daya dan proses TI yang diperlukan: 1. Efektivitas 2. Efektivitas 3. Konkrititas 4. Integritas 5. Ketersediaan 6. Kepatuhan 7. Reliabilitas Semua sistem keseluruhan TI harus dievaluasi berdasarkan tujuh bidang ini. Penekanan akan bervariasi tergantung pada jenis prosesnya, namun semua proses TI harus memiliki kriteria ini. Fungsi bisnis biasanya menetapkan persyaratan seperti itu u ntuk kebutuhan bisnis secara umum dan untuk IT. Masing-masing atribut ini dibahas secara lebih rinci di Bagian 5.3 dan di Bab 18 tentang audit pengendalian umum TI menggunakan ITIL. Kubus CobiT menyajikan cara yang efektif untuk memahami hubungan antara kebutuhan bisnis, proses TI, dan sumber daya TI. Model tiga dimensi dari model ini menekankan hubungan silang dan saling ketergantungan antara proses bisnis dan TI. Dalam dunia yang bergantung pada TI, ini adalah cara yang berguna bagi auditor internal untuk melihat dan memahami kontrol internal. CobiT adalah proses yang kaya-terkadang hampir terlalu kaya untuk berfokus pada sasaran bisnis dan TI serta pengendalian kunci dan mengidentifikasi metrik pengukuran utama.. 5.3 Menggunakan CobiT untuk Menilai Pengendalian Internal Selain kubus CobiT, dengan bagian depannya yang menunjukkan diagram aliran arus untuk menekankan hubungan, materi panduan CobiT yang dipublikasikan dapat terlihat hebat bagi beberapa auditor internal dan banyak profesi bisnis dan bahkan IT. Materi referensi CobiT dasar diterbitkan di hampir 200 halaman manual filed terutama dengan grafik array dan tabel. Ini adalah kumpulan materi yang berguna, namun beberapa penelitian mungkin diperlukan untuk memahami konsep di balik kerangka CobiT. Bagian di sini harus membantu auditor internal
untuk menavigasi kerangka CobiT yang diterbitkan dan, yang lebih penting, menggunakannya untuk mengembangkan dan menilai pengendalian internal perusahaan. Meskipun setiap dimensi kubus CobiT dapat digunakan untuk memahami lingkungan kontrol, keempat domain yang sebelumnya dibahas, dimulai dengan perencanaan dan perusahaan, berfungsi sebagai langkah awal yang efektif. Berdasarkan ketiga dimensi kub us kontrol CobiT ini, setiap proses TI harus dievaluasi melalui lima langkah navigasi dengan cara ini: I Pengendalian (nama proses) II Yang memuaskan (daftar persyaratan bisnis) III Dengan memusatkan perhatian pada (daftar tujuan TI yang penting) IV Diberikan oleh (daftar pernyataan kontrol) V Dan diukur dengan (daftar metrik utama) Proses lima langkah ini bisa dimulai dari angka I ke bawah atau bisa dimulai di tingkat dasar dan menavigasi ke atas. Bagaimanapun, kerangka kerja CobiT mengatakan bahwa kontrol terhadap setiap proses harus dipenuhi oleh daftar persyaratan bisnis pendukung dan bahwa sasaran bisnis tersebut harus berfokus pada sasaran TI yang penti ng. Ini masuk akal. Proses desentralisasi hanya akan menjadi nama kecuali persyaratan bisnis dan TI yang spesifik mendorong dan mengatur proses itu. Masing-masing persyaratan tersebut harus didefinisikan oleh satu atau lebih pernyataan kontrol dengan praktik pengendalian spesifik. . Proses lima langkah ini bisa menjadi naskah untuk memahami kontrol yang mendukung proses apapun dalam perusahaan. Elemen penting di sini adalah mendefinisikan pernyataan kontrol nomor IV yang mendukung setiap proses dan identifikasi nomor V metrik untuk menilai kontrol yang teridentifikasi tersebut.
Meskipun penekanan CobiT secara historis ada di bidang TI, analisis jenis ini harus digunakan untuk berbagai audit pengendalian internal, apakah TI terkait atau tidak. Setiap tujuan pengendalian utama dalam materi panduan CobiT yang dipublikasikan didasarkan pada
kerangka navigasi ITGI yang ditunjukkan pada Tampilan 5.4. Sudut kiri atas pameran itu menunjukkan kebutuhan bisnis. Meskipun ini adalah contoh kosong, dalam panduan CobiT yang diterbitkan, masing-masing ditandai dengan P (untuk persyaratan utama), S (untuk sekunder), atau dibiarkan kosong untuk tujuan pengendalian yang tidak sesuai. Sudut kanan bawah mencantumkan area sumber daya TI. Jika ada yang berlaku, mereka dicatat dengan tanda centang. Sudut kiri bawah menunjukkan diagram pentagon yang sama seperti ditunjukkan pada Tampilan 5.1. Disini bagian-bagiannya diarsir atau ditandai jika mereka memiliki kepentingan primer atau sekunder. Pusat dari setiap halaman panduan CobiT memiliki "Kontrol atas Proses TI" serangkaian pernyataan yang diselesaikan untuk setiap tujuan pengendalian. Kami menunjukkan contoh pernyataan selesai saat kami meninjau domain CobiT nanti. Meskipun dokumentasi navigasi dan pendukung CobiT sangat menyeluruh dan sangat elegan, namun juga dapat menakut-nakuti auditor internal pertama. Selanjutnya kita melihat navigasi CobiT di berbagai domain terpilih untuk memberi nuansa bagi organisasinya. Auditor internal setidaknya harus bereksperimen dengan menggunakan CobiT dalam audit internal terpilih. Bab ini memberikan pengantar dan ikhtisar tentang CobiT; Organisasi profesional ITGI yang mendukungnya memiliki beragam penawaran publikasi dan edukasi mengenai penggunaan CobiT yang dapat ditemukan di situs Web, www.isaca.org. (a) Perencanaan dan Enterprise CobiT dikenal sebagai kelompok proses tingkat tinggi yang mengatur arahan untuk perusahaan dan sumber daya TI-nya. Untuk domain ini, CobiT memiliki 10 tujuan pengendalian Perencanaan dan Pengorganisasian tingkat tinggi (PO), yang didefinisikan dan diberi nomor dengan cara seperti ini: PO1 Buat sebuah rencana strategis. PO2 Tentukan model informasi. PO3 Tentukan arah teknologi. PO4 Tentukan proses, perusahaan, dan hubungan TI. PO5 Kelola investasi TI. PO6 Komunikasikan tujuan dan arahan manajemen. PO7 Mengelola sumber daya manusia TI. PO8 Mengelola kualitas. PO9 Menilai dan mengelola risiko TI. PO10 Kelola proyek. Ini semua merupakan konsep tingkat tinggi dimana banyak manajer mungkin berpendapat, "Tentu saja!" Ketika auditor internal menggunakan daftar ini untuk menanyakan apakah mereka memiliki rencana strategis, telah menentukan arsitektur informasi mereka, atau mematuhi semua tujuan PO ini. Namun, latihan CobiT menurunkan area tujuan pengendaliannya secara lebih rinci. Meskipun banyak masalah serupa, hal ini sangat kontras
dengan elemen Pemantauan kontrol internal COSO seperti yang dibahas di Bab 3. Di sana, konsepnya hanya pada tingkat yang cukup tinggi; CobiT jauh lebih spesifik. Misalnya, dengan menggunakan tujuan pengendalian PO1 ini untuk menentukan rencana strategis, CobiT kemudian menjelaskan enam tujuan yang lebih terperinci di bawah PO1: PO1.1 Penilaian management IT. PO1.2 Keselarasan Bisnis-TI. PO1.3 Penilaian kinerja saat ini. PO1.4 rencana strategis TI. PO1.5 rencana taktis IT. PO1.6 manajemen portofolio TI. Penomoran di sini penting, karena bahan panduan CobiT yang diterbitkan merujuk masingmasing dan tujuan lain dalam hal input dan output mereka. Materi yang diterbitkan CobiT memberikan deskripsi tingkat tinggi untuk masing-masing sasaran. Misalnya, tujuan PO1.4 pada rencana strategis menyatakan: Buat rencana strategis yang mendefinisikan, bekerja sama dengan pemangku kepentingan yang relevan, bagaimana TI akan berkontribusi pada tujuan strategis perusahaan (sasaran) dan biaya dan risiko terkait. Ini mencakup bagaimana TI akan mendukung investasi program TI dan layanan operasional. Ini menentukan bagaimana tujuan akan dipenuhi dan diukur dan akan menerima tanda tangan resmi dari para pemangku kepentingan. Rencana strategis TI harus mencakup investasi/anggaran operasional, sumber pendanaan, strategi sumber, strategi akuisisi, dan persyaratan hukum dan peraturan. Rencana strategis harus dirinci secara memadai untuk memungkinkan definisi rencana TI taktis. Paragraf ini adalah contoh salah satu dari banyak tujuan pengendalian dalam panduan CobiT. Mereka tidak memberi tahu profesional bagaimana menulis rencana strategis TI namun memberikan panduan terbaik mengenai bagaimana membangun rencana semacam itu, tidak peduli ukuran atau status perusahaan itu. Tujuan umum ini juga merupakan alat yang baik bagi auditor internal yang perlu membuat kriteria peninjauan ulang di bidang-bidang ini. Tujuan audit tersebut dapat dikembangkan dengan mengambil setiap kalimat dari tujuan pengendalian tersebut dan mengembangkan area review audit. Untuk masing-masing tujuan CobiT, materi panduan juga berisi apa yang disebut diagram RACI. Alat yang berevolusi dari prakarsa kualitas di tahun 1960an, bagan RACI adalah alat yang baik untuk mengidentifikasi peran dan tanggung jawab proses. Dengan menggunakan format spreadsheet, aktivitas diidentifikasikan di kolom samping dengan deskripsi fungsi atau posisi di sel di atas. Tanggung jawab untuk kegiatan tersebut diidentifikasi dalam memotong sel melalui satu atau beberapa inisial RACI: R = Bertanggung jawab, atau memiliki masalah atau proses. A = Akuntabel, atau siapa yang harus melakukan aktivitas sebelum hal tersebut efektif.
C = Konsultasikan, atau siapa yang memiliki informasi dan kemampuan untuk menyelesaikan pekerjaan. I = Informasi, atau siapa yang harus diberitahu tentang hasilnya tapi tidak perlu dihubungi.
Jenis bagan ini berguna untuk membantu mengidentifikasi tanggung jawab atas banyak transaksi. Bagan 5.5 adalah bagan RACI, yang disesuaikan dengan bahan CobiT, pada tujuan PO1 untuk menentukan rencana strategis TI. Turunkan kolom tanggung jawab, dalam contoh ini, Pemilik Proses Bisnis Bertanggung Jawab untuk menganalisis portofolio program. Diinformasikan pada proses untuk membangun rencana strategis, dan bertindak sebagai Konsultan pada kegiatan lain untuk tujuan pengendalian ini. Bagan tersebut menguraikan tanggung jawab untuk orang-orang seperti kepala perusahaan TI atau chief information officer (CIO), pemilik proses, dan audit internal. Bagan RACI jenis ini muncul dalam panduan yang dipublikasikan untuk masing-masing tujuan pengendalian CobiT. Bahan CobiT diakhiri dengan analisis ringkas tentang tujuan pengendaliannya. Untuk masing-masing, serangkaian pertimbangan berbasis metrik menguraikan sasaran aktivitas pengendalian, yang diukur dengan serangkaian indikator kinerja utama (KPI) yang mendorong tujuan proses. Yang terakhir mendorong sasaran TI yang diukur dengan indikator sasaran utama TI. Proses dan rangkaian dokumentasi CobiT dijelaskan saat kami meninjau tujuan pengendalian CobiT lainnya. Untuk tujuan pengendalian utama PO, materi panduan membahas setiap tujuan pengendalian dengan cara yang sama dan mengikuti pendekatan yang sama seperti pendekatan tinjauan kontrol tingkat tinggi. Banyak item CobiT ini hanya dapat ditemukan dalam fungsi TI yang lebih besar, walaupun materi panduan CobiT memiliki berbagai pendekatan untuk setiap tujuan. Misalnya, tujuan CobiT PO3.5 mengidentifikasi kebutuhan akan papan atau fungsi arsitektur TI. Ini adalah panduan yang berharga, namun banyak sumber daya TI yang lebih kecil tidak memiliki sumber daya untuk membangun fungsi dewan arsitektur TI formal semacam itu. Manajer yang menggunakan CobiT dan auditor yang mengevaluasi kepatuhan harus selalu mengingat bahwa CobiT adalah seperangkat bahan panduan praktik terbaik namun bukan persyaratan wajib. Auditor internal harus selalu menggunakan panduan CobiT dengan hati-hati, dengan mengetahui bahwa CobiT sering menentukan beberapa cita-cita tingkat tinggi. Auditor internal
yang mengikuti CobiT memberi surat dan merekomendasikan kebutuhan akan papan "Arsitektur TI" formal di perusahaan yang lebih kecil dapat menjadi bahan tertawaan saat keluar dari kantor seseorang (b) Akuisisi dan Penerapannya Masing-masing sasaran pengendalian tingkat tinggi CobiT membahas prosedur pengendalian dalam format umum yang sama. Entah itu upaya pengembangan perangkat lunak internal ataupun komponen TI yang direncanakan. Adapun tujuan akuisisi dan penerapan tingkat tinggi yang disarankan di sini adalah: AI1 Mengidentifikasi solusi otomatis. AI2 Memperoleh dan memelihara perangkat lunak aplikasi. AI3 Memperoleh dan memelihara infrastruktur teknologi. AI4 Aktifkan operasi dan penggunaan. AI5 Pengadaan sumber daya TI. AI6 Kelola perubahan. AI7 Menginstal dan mengakreditasi solusi dan perubahan. Masing-masing tujuan rinci dalam domain ini mencakup prosedur pengendalian atas penerapan alat baru. Sementara penekanannya adalah pada perangkat lunak TI, konsep pengendalian internal dapat diterapkan pada akuisisi dan penerapan banyak alat perusahaan baru. Adapun AI6 tentang pengelolaan perubahan sebagai contoh bagaimana CobiT menguraikan area kontrol ini. Sebagai contoh, sebelumnya kita menggariskan proses lima langkah CobiT untuk mengevaluasi tujuan pengendalian. Garis besar untuk langkah-langkah ini muncul di bagian tengah halaman navigasi Exhibit 5.4. Tujuan AI6 dalam mengelola perubahan mengikuti proses lima langkah yang sama yaitu: I. Kontrol atas Proses TI dalam mengelola perubahan II. Yang memenuhi persyaratan bisnis untuk TI menanggapi kebutuhan bisnis yang selaras dengan strategi bisnis, sekaligus mengurangi solusi dan cacat pengiriman dan pengerjaan ulang III. Dengan berfokus pada pengendalian dampak penilaian, otorisasi, dan implementasi semua perubahan pada infrastruktur TI, aplikasi, dan solusi teknis, meminimalkan kesalahan karena spesifikasi permintaan yang tidak lengkap dan menghentikan penerapan perubahan yang tidak sah IV. Diraih dengan cara : > Menguraikan dan mengkomunikasikan prosedur perubahan, termasuk perubahan darurat > Menilai, memprioritaskan, dan memberi otorisasi perubahan > Melacak status dan melaporkan perubahan V. Dan diukur dengan: > Jumlah gangguan atau kesalahan data yang disebabkan oleh spesifikasi yang tidak akurat atau
penilaian dampak yang tidak lengkap > Pengerjaan ulang aplikasi atau infrastruktur yang disebabkan oleh spesifikasi perubahan yang tidak memadai > Persentase perubahan yang mengikuti proses pengendalian perubahan internal. Serangkaian pernyataan yang diambil dari bahan panduan CobiT, menjelaskan persyaratan dan tindakan pengendalian untuk tujuan pengendalian AI6 yang spesifik . Materi panduan CobiT memiliki seperangkat pernyataan serupa untuk setiap tujuan pengendalian, yang berguna saat mencoba untuk lebih memahami karakteristik masing-masing kontrol. Materi panduan yang sama melihat bagaimana masing-masing tujuan pengendalian berhubungan dengan dua sisi lain dari kubus CobiT. Untuk AI6, Manage Changes, control objective, ini menunjukkan bahwa di sisi Sumber Daya TI, semuanya penting. Artinya, objek kontrol memengaruhi Aplikasi, Informasi, Infrastruktur, dan Orang. Berpaling ke sisi kiri atas dari lembar ukuran Business Requention, materi bimbingan menunjukkan apakah itu Primer, Sekunder, atau tidak penting sama sekali. Untuk tujuan pengendalian contoh AI6 ini, Persyaratan Bisnis Efektivitas, Efisiensi, Integritas, dan Ketersediaan sangat penting sementara Reliability adalah kepentingan sekunder. Dua persyaratan yang tersisa, Conformiality and Compliance, tidak dianggap penting untuk tujuan pengendalian ini. Untuk setiap tujuan pengendalian, materi panduan CobiT menunjukkan gambar area fokus 5.1 Gambar segi lima. Untuk tujuan pengendalian AI6 ini, Value Delivery sangat penting dengan Manajemen Sumber Daya sekunder. Materi panduan CobiT tidak memberikan penjelasan rinci mengenai alasan penunjukan tersebut. Profesional yang bekerja dengan tujuan pengendalian CobiT biasanya dapat menyimpulkan mengapa area pengelolaan TI yang diberikan ditetapkan sebagai pengganti primer atau sekunder. (c) Kiriman dan Dukungan Dengan format umum yang sama, tujuan pengendalian CobiT tingkat tinggi ketiga disebut Pengiriman dan Dukungan (DS). Tujuan pengendalian ini sebagian besar mencakup masalah pengelolaan layanan yang berkaitan dengan tujuan proses bisnis ITIL yang dibahas di Bab 18. Hal ini benar-benar menyoroti beberapa perubahan pada pemahaman kita tentang pengendalian internal yang telah berevolusi sejak berl akunya SOx pada tahun 2002. CobiT dan ITIL pada waktu itu, namun SOx Section 404 menekankan pada pengendalian internal yang efektif telah membawa banyak hal. Tujuan pengendalian CobiT DS sama dengan pengendalian internal ITIL untuk meningkatkan proses bisnis. Keduanya mencakup bidang penting dari apa yang dikenal sebagai manajemen layanan TI, proses yang diperlukan untuk memastikan operasi TI yang efisien dan untuk memberikan layanan ini. Pada hari-hari sebelumnya, kekhawatiran tentang pengendalian internal TI sering difokuskan pada kontrol aplikasi-oleh-aplikasi
individual. Sementara banyak perhatian diberikan pada kontrol umum tingkat tinggi seperti perencanaan keamanan atau perencanaan darurat, para audiens dan lainnya yang sering berfokus pada kontrol komputasi dan penyeimbangan dalam aplikasi tertentu. Namun, tidak peduli seberapa baik desainnya, semua aplikasi TI tersebut harus beroperasi di pabrik otomatis yang efisien dan efisien seperti atmosfir. Akan selalu ada masalah yang lebih kecil, bagaimanapun, seperti pengguna sistem yang sah yang dikunci dengan memasukkan kata kunci yang salah. Ada kebutuhan akan layanan yang efisien dan proses manajemen masalah untuk melaporkan dan menyelesaikan masalah tersebut. Tujuan pengendalian CobiT DS mencakup banyak area penting ini: DS1 mendefinisikan dan mengelola tingkat layanan. DS2 Mengelola layanan pihak ketiga. DS3 Mengelola kinerja dan kapasitas. DS4 Pastikan layanan terus menerus. DS5 Pastikan keamanan sistem. DS6 Mengidentifikasi dan mengalokasikan biaya. DS7 Mendidik dan melatih pengguna. DS8 Mengelola meja layanan dan insiden. DS9 Mengelola konfigurasi. DS10 Mengelola masalah. DS11 Mengelola data. DS12 Mengelola lingkungan fisik. DS13 Mengelola operasi. Tujuan pengendalian ini merupakan bidang operasi TI yang penting yang secara historis sering tidak mendapat perhatian yang memadai. Materi CobiT merangkum bagaimana setiap tujuan pengendalian dicapai dan diukur dan mempertimbangkan hubungan dan saling ketergantungan di ketiga sisi kubus CobiT. Banyak daerah tujuan pengendalian ini tidak mendapat perhatian yang memadai dalam tinjauan pengendalian internal sebelum SOx Bagian 404. Tujuan COSO menangani kontrol internal pada tingkat tinggi namun terkadang tidak berfokus pada masalah pengendalian internal terkait layanan manajemen yang lebih rinci. Tujuan pengendalian CobiT DS10 untuk manajemen masalah adalah sebuah contoh: Manajemen masalah yang efektif memerlukan identifikasi dan klasifikasi masalah, analisis akar penyebab dan penyelesaian masalah. Proses pengelolaan masalah juga mencakup identifikasi rekomendasi untuk perbaikan,pemeliharaan catatan masalah dan review status tindakan korektif. Proses manajemen masalah yang efektif meningkatkan tingkat layanan, mengurangi biaya, dan meningkatkan kenyamanan dan kepuasan pelanggan.
Selama bertahun-tahun, pengguna TI memiliki masalah dalam menggunakan berbagai sistem dan aplikasi, namun operasi TI yang tidak sensitif sering kali tidak melakukan pekerjaan yang sesuai dalam menyelesaikan masalah yang dilaporkan. Terlalu sering, jika aplikasi utama benarbenar gagal, ada upaya keras untuk mengembalikannya ke dalam operasi. Masalah yang lebih kecil dan kurang kritis bagaimanapun, ditepis sebagai sesuatu yang harus dipertimbangkan dalam pembaruan berikutnya. Materi panduan CobiT yang dipublikasikan menghubungkan tujuan pengendalian ini dengan orang lain yang memberikan masukan dan hasilnya. Sebagai contoh, tujuan AI6 tentang otorisasi perubahan, DS8 untuk pelaporan kejadian, DS9 untuk manajemen konfigurasi TI, dan DS13 pada log kesalahan semuanya memberikan masukan pada tujuan pengendalian DS10. CobiT menyediakan cara yang ampuh untuk melihat luasnya dan kedalaman kontrol internal yang terkait dengan TI dan hubungannya. Kami telah membahas bagaimana setiap kontrol CobiT memiliki serangkaian tujuan rinci, memiliki input dan keluaran kontrol lainnya, dan memiliki bagan RACI yang menguraikan fungsi dan tanggung jawab untuk setiap kontrol. Selain itu, materi panduan CobiT yang dipublikasikan memiliki bagian Sasaran dan Metrik untuk setiap tujuan pengendalian. Gambar 5.6 menunjukkan bagan ini untuk tujuan pengendalian DS10 Manage Problems. Setiap tujuan pengendalian CobiT yang dipublikasikan memiliki seperangkat analisis yang sangat berguna i ni. Dengan manajemen masalah, misalnya, tiga metrik pengukuran yang disarankan harus dipertimbangkan. Salah satunya adalah melakukan analisis akar penyebab masalah yang dilaporkan, sebuah tujuan penting yang terkadang tidak terjawab. Grafik RACI t erkait menunjukkan bahwa palungan masalah bertanggung jawab atas aktivitas ini sementara yang lain memiliki peran konsultasi. Di bawah setiap tujuan aktivitas, tabel indikator kinerja utama mengikuti dorongan seperangkat tujuan proses. Dengan isi spesifik yang berbeda untuk setiap kontrol CobiT, jenis analisis ini memberi semua standar yang bagus untuk mengukur kinerja area kontrol dan menetapkan metrik untuk menilai pencapaian tujuan ini. Analisis untuk manajemen masalah ini adalah contoh bagus dari kekuatan materi CobiT yang diterbitkan. Banyak operasi TI memiliki beberapa jenis fungsi "help desk" untuk melaporkan dan menyelesaikan masalah. Disini CobiT memberikan saran bagus untuk jenis ukuran dan metrik yang dapat digunakan untuk mengevaluasi pencapaian tujuan pengendalian ini. Tabel tujuan dan tujuan yang serupa ada untuk setiap tujuan pengendalian. Ini serupa dengan standar audit SOx yang dibahas di Bab 4 atau standar praktik profesional audit internal yang dirujuk dalam Bab 8. Namun, materi CobiT memberikan bahan panduan yang sangat baik untuk menetapkan dan kemudian mengukur pengendalian internal yang efektif.
(d) Monitoring and Evaluasi Domain CobiT keempat disebut Monitoring and Evaluation (ME), satu set tujuan pengendalian yang menekankan CobiT sebagai proses loop tertutup yang tidak akan pernah berakhir secara efektif. CobiT meminta untuk menetapkan langkah-langkah dasar untuk memungkinkan perusahaan mengukur bagaimana kinerjanya dan memberi mereka peluang di masa depan. Area domain ini mencakup area penjaminan kualitas yang secara tradisional lebih umum terjadi pada area manufaktur dan operasi lainnya daripada TI.
Meski tidak dibahas dalam materi panduan CobiT, karya penjaminan kualitas perintis W. Edwards Deming memberikan cara untuk mempertimbangkan wilayah domain CobiT ini. Seorang konsultan yang membantu membangun kembali Jepang setelah Perang Dunia II, Deming mengembangkan standar dan pendekatan berkualitas yang membantu Jepang membangun kembali dan menetapkan praktik kualitas yang digunakan di seluruh dunia hari ini. Di antara pendekatan lainnya, Deming mengembangkan pendekatan sistem mutu yang meminta proses bisnis untuk dianalisis dan diukur untuk mengidentifikasi sumber variasi yang menyebabkan produk menyimpang dari kebutuhan pelanggan. Dia mengusulkan agar proses bisnis ditempatkan dalam lingkaran umpan balik yang berkesinambungan sehingga manajer dapat mengidentifikasi dan mengubah bagian-bagian dari proses yang memerlukan perbaikan. Ini harus terus berlanjut, siklus yang tidak pernah berakhir dimana kita harus selalu memantau kinerja dan pengambilan proses tindakan saat ini untuk menerapkan perbaikan pada proses itu.
Deming menyebut rencana ini, Do, Check Act cycle (PDCA), seperti yang ditunjukkan pada Tampilan 5.7. Langkah-langkahnya di sini adalah: Langkah 1. Merencanakan: Merancang atau merevisi proses bisnis untuk memperbaiki hasilnya. Langkah 2. Lakukan: Terapkan untuk merencanakan dan mengukur kinerjanya. Langkah 3. Periksa: Menilai pengukuran dan melaporkan hasilnya Langkah 4. Tindakan: Tentukan perubahan yang diperlukan untuk memperbaiki hasil. Meskipun fokus Deming adalah pada rekonstruksi pascaperang dan pada produksi industri, konsepnya telah dibawa ke depan dan sangat sesuai untuk lingkungan bisnis saat ini, termasuk operasi TI dan pemantauan internal SOx. Mengikuti format yang sama dengan domain CobiT lainnya, komponen domain ME memiliki empat tujuan pengendalian utama yaitu : ME1 Memantau dan mengevaluasi kinerja TI. ME2 Memantau dan mengevaluasi kontrol internal. ME3 Memastikan kepatuhan terhadap peraturan. ME4 Menyediakan tata kelola TI. Bidang ini sangat diminati oleh auditor internal dan juga anggota perusahaan di luar operasi TI. Bahan kontrol untuk ME2 dalam memantau dan mengevaluasi pengendalian internal adalah contoh bagus bagi kekuatan CobiT. Ini menyatakan bahwa proses pemantauan dan evaluasi pengendalian internal dicapai dengan mendefinisikan sistem kontrol TI yang tertanam dalam kerangka proses TI, dengan memantau dan melaporkan efektivitas pengendalian internal ini, dan dengan melaporkan pengecualian kepada manajemen untuk tindakan korektif. Ini benar-benar proses PDCA Deming, dan ini harus diukur dengan: ? Jumlah pelanggaran pengendalian internal ? Jumlah inisiatif peningkatan pengendalian ? Jumlah dan cakupan penilaian diri kontrol Seperti kebanyakan kerangka CobiT, materi di sini berfokus pada kontrol TI, namun banyak dari konsep ini dapat digeneralisasi ke keseluruhan proses tinjauan pengendalian internal. Pengendalian penilaian diri mengacu pada proses tinjauan internal yang sedang berlangsung mengenai kelengkapan dan efektivitas pengendalian internal seseorang. Mereka adalah proses
audit internal yang penting yang dibahas dan diuraikan di Bab 11. Tujuan CobiT Monitor dan Evaluasi Internal Control ini memiliki tujuh tujuan pendukung yang terperinci. Di sini kita merangkum mereka untuk menggambarkan esensi mereka. Sementara Koalisi berorientasi pada tinjauan internal terhadap area sumber daya TI ini, panduan ini penting bagi auditor internal dalam tinjauan semua kontrol internal lainnya: ME2.1 Pemantauan Kerangka Pengendalian Internal. Auditor internal harus terus memantau lingkungan dan kerangka pengendalian dengan menggunakan praktik terbaik industri dan benchmarking untuk memperbaiki lingkungan dan kerangka pengend alian. ME2.2. Tinjauan Pengawasan. Selain tinjauan auditor, CobiT meminta manajemen untuk memantau dan melaporkan efektifitas pengendalian internal TI melalui tinjauan pengawasan, termasuk kepatuhan terhadap kebijakan dan standar, keamanan informasi, kontrol perubahan, dan kontrol yang ditetapkan dalam perjanjian tingkat layanan. ME2.3. Pengecualian Kontrol.Catat informasi mengenai semua pengecualian kontrol dan pastikan itu mengarah pada analisis penyebab dan tindakan korektif. Manajemen harus memutuskan pengecualian mana yang harus dikomunikasikan kepada individu yang bertanggung jawab atas fungsinya dan pengecualian mana yang harus ditingkatkan. ME2.4 Pengendalian Penilaian Mandiri. Manajemen TI harus mengevaluasi kekompakan dan efektivitas pengendalian internal atas proses TI mereka melalui program p enilaian mandiri yang berkelanjutan. ME2.5 Jaminan Pengendalian Internal. TI harus m emperoleh, jika diperlukan, memastikan kelengkapan dan efektivitas pengendalian internal melalui tinjauan pihak ketiga oleh fungsi kepatuhan perusahaan, audit internal, konsultan dari luar, atau badan sertifikasi. ME2.6 Pengendalian Internal pada Pihak Ketiga. Menilai status masing-masing internal penyedia dan memastikan bahwa mereka mematuhi persyaratan hukum dan peraturan serta kewajiban kontraktual. ME2.7. Tindakan Remedial .Mengidentifikasi dan memulai tindakan perbaikan berdasarkan penilaian dan pelaporan pengendalian. Ini termasuk tindak lanjut dari semua penilaian termasuk: (1) review, negosiasi, dan penetapan tanggapan manajemen; (2) penugasan tanggung jawab untuk remediasi atau risk accep- tance; dan (3) melacak hasil tindakan yang dilakukan.
Tujuan pengendalian CobiT ini digambarkan secara "terperinci" namun memberikan bukaan untuk berbagai prosedur pengendalian yang lebih banyak lagi. Sebagai contoh, ME2.1 mengenai pemantauan kerangka kerja pengendalian internal meminta auditor internal untuk mengembangkan prosedur pengendalian terperinci yang biasanya dapat menghasilkan sebuah program dari beberapa tes atau langkah lagi. Tujuan pengendalian CobiT ini, dan juga semua dokumen pendukung lainnya, memiliki bagian untuk menilai kematangan setiap pengendalian internal. Kedewasaan di sini mengacu pada Model Maturitas Kemampuan (CMM; kadangkadang disebut CMMi, di mana saya berdiri untuk mengintegrasikan area proses dan praktik terbaik). CMMi adalah ukuran penilaian lima tingkat yang dirancang dan dikembangkan oleh Universitas Carnegie Mellon.3 Model ini memiliki tingkat yang ditentukan saat kontrol dapat dinilai dari tingkat CMMi 1 yang tidak ada, tingkat 2 sebagai kontrol awal atau ad hoc sampai ke tingkat 5 , kontrol yang optimal. CobiT menilai masing-masing kontrolnya terhadap ukuran CMMi ini. Misalnya, CobiT mendefinisikan bahwa perusahaan akan berada di Level 3, mengendalikan proses yang didefinisikan untuk ME2, Memantau dan Mengevaluasi Pengendalian Internal, ketika manajemen mendukung dan telah melembagakan pengawasan
pengendalian internal. Panduan tersebut selanjutnya mengatakan bahwa kebijakan dan prosedur seharusnya dikembangkan untuk memproses dan melaporkan kegiatan pemantauan pengendalian internal. Untuk mencapai tingkat CMMi ini, sebuah program pendidikan dan pemantauan untuk pemantauan pengendalian internal seharusnya telah ditetapkan. 5.4 Menggunakan CobiT di lingkungan Sox Ketika pertama kali menjadi efektif di Amerika Serikat, ha nya sedikit panduan tentang bagaimana menerapkan dan mengelola tinjauan pengendalian internal Bagian 404. PCAOB pada awalnya mengindikasikan bahwa mereka akan menetapkan beberapa standar tertentu namun membiarkan para pemangku kepentingan dan auditor eksternal mereka sendiri. Banyak perusahaan mengadopsi CobiT, dengan penekanan berat pada kon trol internal berorientasi TI tingkat tinggi, sebagai kerangka pengendalian internal pilihan. Bagian ini mengulas kerangka kerja CobiT untuk membantu pencapaian kepatuhan SOx. Bab 4 membahas SOx Section 404 persyaratan penilaian pengendalian internal dan menyoroti pendekatan berbasis risiko untuk mengevaluasi pengendalian internal dengan gambaran pada kerangka kontrol internal COSO. CobiT adalah kerangka penilaian pengendalian internal alternatif yang kuat, terutama di lingkungan dengan konsentrasi proses dan sumber daya TI yang tinggi. Seperti yang telah dibahas, baik pengendalian internal COSO dan CobiT menggunakan kerangka kerja tiga dimensi untuk menggambarkan lingkungan pengendalian internal mereka. Mereka serupa namun dengan sedikit perbedaan dalam klasifikasi dan terminologi, Exhibit 5.8 menunjukkan bagaimana kerangka kerja CobiT ke model kontrol internal COSO.
Tujuan utama CobiT, mulai dari Perencanaan dan Enterprise sampai Pemantauan dan Evaluasi, dapat digunakan untuk memahami dan mengevaluasi pengendalian internal melalui komponen kontrol internal COSO. Apakah mempertimbangkan kontrol COSO secara internal atau menggunakan CobiT, auditor internal harus melakukan serangkaian proses mulai dari perencanaan hingga pelaksanaan penilaian risiko dan untuk mengidentifikasi, mendokumentasikan, dan mengevaluasi pengendalian internal utama. Dengan SOx, penekanan yang meningkat pada tata kelola TI, dan pengakuan akan kekritisan TI dalam sebagian besar keputusan pengendalian internal, CobiT telah mengalami banyak penglihatan sampai edisi 4.1 saat ini. Cobalt mensponsori IT Governance Institute telah melakukan pekerjaan yang sangat
baik dalam merilis publikasi yang memetakan kerangka kerja CobiT ke standar lain ini. Sebagai contoh, ada studi yang sangat rinci4 yang memetakan kerangka kerja CobiT untuk persyaratan audit SOx. Gambar 5.9 adalah kutipan dari panduan CobiT yang dipamerkan ini yang menunjukkan bagaimana area kontrol utama CobiT yang utama terhubung dengan komponen kontrol internal COSO yang utama. Keterkaitan ini saling terkait bahkan dengan tingkat yang lebih rendah. Sebagai contoh, tujuan CobiT AI6 tentang Mengelola Perubahan di bawah Memperoleh dan Menerapkan domain kontrol memengaruhi komponen COSO dalam Kegiatan dan Pemantauan Kontrol. Tujuan pengendalian terperinci CobiT yang dipublikasikan terkait dengan masing-masing komponen COSO ini. Ada hubungan erat antara tujuan dan komponen kontrol CobiT dan COSO ini. Kumpulan lengkap bahan tujuan pengendalian CobiT memberikan dukungan kuat untuk auditor internal yang melakukan tinjauan asesmen kontrol internal SOx Section 404. Sementara konsep dapat digunakan di area kontrol internal, penekanannya adalah pada aplikasi dan proses TI. Bagi banyak perusahaan, pemahaman dan penilaian terhadap kontrol internal terkait TI adalah kunci untuk mencapai kepatuhan SOx. (Gambar) CobiT telah ada selama beberapa tahun sekarang, namun banyak yang menganggapnya sebagai alat audit TI khusus, bukan sebagai bantuan yang lebih umum untuk pekerjaan audit internal lainnya. Meskipun penekanan CobiT terus berlanjut di bidang TI, semua auditor internal harus mempertimbangkan kerangka kerja CobiT sebagai alat yang sangat baik untuk membantu persyaratan kepatuhan SOx saat ini dan berkembang. 5.5 Pedoman Kerangka Kerja CobiT Assurance Sementara kerangka kerja CobiT memberikan panduan untuk membangun pengendalian internal yang efektif dengan penekanan pada sumber daya TI, ITGI pada tahun 2008 merilis panduan 5 Asisten Teknologi Informasi, panduan praktik yang baik untuk memberikan panduan mengenai disain, pelaksanaan, dan pelaporan tugas audit dan penjaminan TI. Tujuan dari panduan terkait CobiT ini adalah untuk menetapkan standar untuk audit dan peran profesional TI dan tanggung jawab, pengetahuan dan ketrampilan, dan ketekunan, pelaksanaan dan pelaporan persyaratan. Judul dan banyak referensi kami dalam buku ini menggunakan kata auditing; Panduan CobiT baru ini berfokus pada kata-kata lain yang berhubungan dengan audit dan lain-lain yang kurang umum. Istilah ini juga ditemukan dalam referensi dasar IIA yang menyatakan: Audit internal adalah kegiatan assurance dan konsultasi independen yang bertujuan untuk menambah nilai dan memperbaiki operasi organisasi. Ini membantu organisasi mencapai tujuannya dengan mengajukan pendekatan yang sistematis dan disiplin untuk mengevaluasi dan memperbaiki keefektifan proses manajemen, pengendalian, dan tata kelola risiko.6 Sebagaimana dibahas di Bab 29, jaminan mencakup semua bentuk audit internal, manajemen risiko , dan layanan kepatuhan. Panduan CobiT ini mencakup berbagai ulasan yang dilakukan oleh auditor internal. Tujuan keseluruhan sebuah ITAF adalah mendefinisikan seperangkat standar untuk memastikan kualitas, konsistensi, dan keandalan penilaian TI, berdasarkan seperangkat pedoman dan prosedur pengaturan praktik yang baik. Sementara dokumen ITAF mengacu pada panduannya
sebagai "standar," saat ini ISACA CobiT tidak dikenali sebagai badan penetapan standar. Bab 8 menguraikan standar IIA dan merangkum standar ITAF yang terkait dengan CobiT. Kami menyebutkan standar ITAF baru ini untuk menyoroti fakta bahwa standar audit internal dikembangkan untuk membantu ulasan di lingkungan CobiT. Namun, auditor internal harus memahami bahwa ITAF itu baru; Hal itu bisa mencapai pengakuan lebih karena hal itu menjadi lebih baik diterima dan mungkin tidak sesuai. 5.6 CobiT dalam Perspektif Apakah spesialis operasional, keuangan, atau TI, semua auditor internal setidaknya harus memiliki pemahaman CBOK tingkat tinggi tentang kerangka kerja CobiT. Ini adalah alat yang sangat berguna untuk menilai pengendalian internal di lingkungan yang lebih berorientasi TI jenis lingkungan yang hampir selalu kita hadapi saat ini. Keputusan untuk menggunakan CobiT dalam audit internal seharusnya tidak menjadi keputusan tingkat audit satu kali atau individual. Sebaliknya, audit internal harus melatih anggota kunci tim audit mengenai penggunaan Co- biT, kemudian mencoba menggunakannya untuk menilai pengendalian internal terhadap beberapa audit lain yang sedang dikembangkan dan didokumentasikan dengan menggunakan teknik audit internal yang dibahas pada Bab 7 dan 9. Bagi banyak perusahaan , CobiT akan menawarkan beberapa perbaikan terhadap proses audit yang sedang berlangsung. Aplikasinya pertama-tama harus didiskusikan dengan komite audit untuk menjelaskan alasan perubahan pendekatan audit internal. Jika perusahaan menempatkan ketergantungan yang besar pada sistem dan proses TI, kepindahan menggunakan CobiT nampaknya baik secara logistik. Namun, audit internal seharusnya tidak memilikinya spesialis audit internal dengan menggunakan proses penilaian CobiT sedangkan sisanya dari internal audit menggunakan operasional yang telah ditetapkan/ standar audit internal keuangan. CobiT adalah kerangka kontrol internal yang elegan -terkadang terlalu elegan dan alat evaluasi untuk menilai pengendalian internal. Mungkin hambatan audit internal terbesar untuk keseluruhan penggunaannya adalah bahwa CobiT awalnya dibangun terutama sebagai alat audit TI. Meskipun perpindahan dari ISACA ke sponsor ITGI telah memperluas daya tarik dan fokusnya, fokus TI yang berat dalam banyak bahan panduan CobiT yang dipublikasikan membuat banyak pengguna potensial. Kekuatan nyata CobiT adalah fokus tata kelola TI, seperti yang dijelaskan pada Tampilan 5.1. Bagan tersebut menggambarkan pentingnya aliansi strategis bisnis dan sumber daya TI dengan manajemen pengiriman barang, manajemen sumber daya, manajemen risiko, dan pengukuran kinerja. Semua li ma sumber daya ini memungkinkan perusahaan untuk menetapkan tata kelola TI yang efektif, dan CobiT harus membantu dalam mengelola dan memahami konsep-konsep ini. Kita dapat mengharapkan CobiT menerbitkan standar dan praktik untuk terus memperluas dan melampaui hanya konsep audit "IT audit". Semua pengguna internal harus memiliki pemahaman CBOK tentang CobiT dan belajar untuk menggunakan dan memahami kerangka penilaian penilaian internal ini.
