Audit Teknologi Sistem Informasi

Audit teknologi sistem informasi adalah bentuk pengawasan dan pengendalian dari infrastruktur teknologi informasi secara menyeluruh. Audit teknologi informasi ini dapat berjalan bersama-sama dengan audit finansial dan audit internal atau dengan kegiatan pengawasan dan evaluasi lain yang sejenis. Pada mulanya istilah ini dikenal dengan audit pemrosesan data elektronik, lalu sekarang audit teknologi informasi secara umum merupakan proses pengumpulan dan evaluasi dari semua kegiatan sistem informasi dalam perusahaan tersebut. Istilah lain dari audit teknologi sistem informasi adalah audit komputer yang banyak dipakai untuk menentukan apakah aset sistem informasi perusahaan itu telah bekerja secara efektif dan integratif dalam mencapai target organisasinya. Audit sistem informasi dibutuhkan dalam suatu organisasi perusahaan untuk mengetahui apakah suatu pengendalian dalam sistem informasi di sebuah organisasi tersebut tujuannya sudah tercapai atau belum. Semua aset (aktiva) dilindungi dengan baik atau tidak disalahgunakan serta terjaminnya integritas data, keandalan, serta efektifitas dan efisiensi penyelenggaraan sistem informasi berbasis komputer.

Tujuan Audit Teknologi Sistem Informasi yaitu :

1. Mengamankan Asset

Asset (aktiva) yang berhubungan dengan instalasi sistem informasi mencakup: perangkat keras, perangkat lunak, fasilitas, manusia, file data, dokumentasi sistem, dan peralatan pendukung lainnya. Sama halnya dengan aktiva lainnya maka aktiva ini juga perlu dilindungi dengan memasang pengendalian internal. Perangkat keras bisa rusak karena unsur kejahatan ataupun sebab-sebab lain, perangkat lunak dan isi file data dapat dicuri. Peralatan pendukung dapat dihancurkan atau digunakan untuk tujuan yang tidak diotorisasi karena konsentrasi aktiva tersebut berada pada lokasi pusat sistem informasi, maka pengamanannya pun menjadi perhatian dan tujuan yang sangat penting.

2. Menjaga Integritas Data

Integritas data merupakan konsep dasar audit sistem informasi. Integritas data berarti data memiliki atribut kelengkapan, baik dan dipercaya, kemurnian, dan ketelitian. Tanpa menjaga integritas data, organisasi tidak dapat memperlihatkan potret dirinya dengan benar atau kejadian yang ada tidak terungkap seperti apa adanya. Keputusan maupun langkah-langkah penting di organisasi dapat menjadi salah sasaran karena tidak didukung dengan data yang benar. Oleh karena itu, upaya untuk menjaga integritas data, dengan konsekuensi akan ada biaya prosedur pengendalian yang dikeluarkan harus sepadan dengan manfaat yang diharapkan.

3. Menjaga Efektifitas Sistem

Sistem informasi dikatakan efektif hanya jika sistem tersebut dapat mencapai tujuannya. Perlu upaya untuk mengetahui kebutuhan pengguna sistem tersebut (user), apakah sistem menghasilkan laporan atau informasi yang bermanfaat bagi user. Untuk menilai efektivitas sistem, auditor sistem informasi harus tahu mengenai kebutuhan pengguna sistem atau pihak-pihak pembuat keputusan yang terkait dengan layanan sistem tersebut. Selanjutnya, untuk menilai apakah sistem menghasilkan laporan atau informasi yang bermanfaat bagi penggunanya, auditor perlu mengetahui karakteristik user berikut proses pengambilan keputusannya. Auditor perlu mengetahui karakteristik user berikut proses pengambilan keputusannya. Biasanya audit efektivitas sistem dilakukan setelah suatu sistem berjalan beberapa waktu. Manajemen dapat meminta auditor untuk melakukan post audit guna menentukan sejauh mana sistem telah mencapai tujuan.

4. Efisiensi

Dikatakan efisien jika ia menggunakan sumber daya seminimal mungkin untuk menghasilkan output yang dibutuhkan. Efisiensi sistem pengolahan data menjadi penting apabila tidak ada lagi kapasitas sistem yang menganggur. Pada kenyataannya, sistem informasi menggunakan berbagai sumber daya seperti mesin dan segala perlengkapannya berupa perangkat lunak, sarana komunikasi, dan tenaga kerja yang mengoperasikan sistem tersebut.

Tujuan audit sistem informasi adalah untuk meninjau dan mengevaluasi pengendalian internal yang melindungi sistem tersebut. Tujuan audit ini berkaitan dengan komponen dari sistem informasi, dimana tujuan tersebut yaitu :

1. Perlengkapan keamanan melindungi perlengkapan komputer, program, komunikasi, dan data dari akses yang tidak sah, modifikasi atau penghancuran
2. Pengembangan dan perolehan program dilaksanakan sesuai dengan otorisasi khusus dan umum dari pihak manajemen
3. Modifikasi program dilaksanakan dengan otorisasi dan persetujuan dari pihak manajemen
4. Pemrosesan transaksi, file laporan dan catatan komputer lainnya telah akurat dan lengkap
5. Data sumber yang tidak akurat atau yang tidak memiliki otorisasi yang tepat diidentifikasi dan ditangani sesuai dengan kebijakan manajerial yang telah ditetapkan
6. File data komputer telah akurat, lengkap dan dijaga kerahasiaannya

Tahap-tahap Audit Sistem Informasi

Audit Sistem Informasi dapat dilakukan dengan berbagai macam tahap. Tahap-tahap audit terdiri dari 5 tahap yaitu sebagai berikut :

                1. Tahap pemeriksaan pendahuluan

                2. Tahap pemeriksaan rinci.

                3. Tahap pengujian kesesuaian.

                4. Tahap pengujian kebenaran bukti.

                5. Tahap penilaian secara umum atas hasil pengujian.

Jenis audit berdasarkan kelompok atau pelaksana audit, audit dibagi 4 jenis yaitu :

1. Auditor Ekstern Auditor ekstern/ independent; auditor yang bekerja di kantor akuntan publik yang statusnya diluar struktur perusahaan yang mereka audit. Umumnya auditorekstern menghasilkan laporan atas financial audit.
2. Auditor Intern Auditor intern bekerja untuk perusahaan yang mereka audit. Laporan audit manajemen umumnya berguna bagi manajemen perusahaan yang diaudit. Oleh karena itu tugas internal auditor biasanya adalah audit manajemen yang termasuk jenis compliance audit.
3. Auditor Pajak Auditor pajak bertugas melakukan pemeriksaan ketaatan wajib pajak yang diaudit terhadap undang-undang perpajakan yang berlaku.
4. Auditor Pemerintah Tugas auditor pemerintah adalah menilai kewajaran informasi keuangan yang disusun oleh instansi pemerintahan. Disamping itu audit juga dilakukan untuk menilai efisiensi, efektifitas dan ekonomisasi operasi program dan penggunaan barang milik pemerintah.

RUANG LINGKUP

Ruang lingkup Audit Teknologi Sistem Informasi sebagai audit operasional terhadap fungsi sistem informasi, audit objektifnya adalah melakukan assessment terhadap efektifitas, efisiensi, dan ekonomis tidaknya pengelolaan sistem informasi suatu organisasi. Audit Teknologi Sistem Informasi dimaksudkan untuk memberikan informasi kepada manajemen puncak agar manajemen mempunyai “a clear assessment” terhadap sistem informasi yang di implementasikan pada organisasi tersebut. Perlu dipahami bahwa audit SI tidak harus selalu merupakan penugasan lengkap mencakup seluruh aspek. Penugasan audit SI mungkin mencakup semua, tetapi bisa dengan beberapa variasi, atau beberapa aspek saja: suatu audit mungkin hanya menitik beratkan fokus pada satu aspek saja, atau beberapa aspek yang penting sesuai kebutuhan organisasi tersebut.

TOOLS-TOOLS YANG DIGUNAKAN

Tool-tool yang dapat digunakan untuk membantu pelaksanaan Audit Teknologi Sistem Informasi. Tidak dapat dipungkiri, penggunaan tool-tool tersebut memang sangat membantu auditor teknologi informasi dalam menjalankan profesinya baik dari sisi kecepatan maupun akurasinya.

Berikut beberapa software yang dapat dijadikan alat bantu dalam pelaksanaan audit teknologi sistem informasi :

a. ACL (Audit Command Language)

ACL merupakan sebuah software CAAT (Computer Assisted Audit Techniques) yang sudah sangat populer untuk melakukan analisa terhadap data dari berbagai macam sumber dan membantu auditor dalam melakukan pemeriksaan di lingkungan sistem informasi berbasis komputer atau pemrosesan data elektronik.

b. Picalo

Picalo merupakan sebuah software CAAT (Computer Assisted Audit Techniques) seperti halnya ACL yang dapat digunakan untuk menganalisa data dari berbagai macam sumber. Picalo bekerja dengan menggunakan GUI Front End dan memiliki banyak fitur untuk ETL sebagai proses utama dalam mengekstrak dan membuka data.

c. Powertech Compliance Assessment

Powertech Compliance Assessment merupakan automated audit tool yang dapat dipergunakan untuk mengaudit dan mem-benchmark user access to data, public authority to libraries, user security, system security, system auditing, dan administrator rights (special authority) sebuah serverAS/400.

d. Nipper

Nipper (Jaringan Infrastruktur Parser) adalah alat berbasis open source untuk membantu profesional TI dalam mengaudit, mem-benchmark konfigurasi sebuah router, dan mengelola jaringan komputer dan perangkat jaringan infrastruktur.

e. Nessus

Nessus merupakan sebuah vulnerability assessment software yaitu sebuah software yang digunakan untuk mengecek tingkat vulnerabilitas suatu sistem dalam ruang lingkup keamanan yang digunakan dalam sebuah perusahaan.

f. Metasploit

Metasploit Framework merupakan sebuah penetration testing tool yaitu sebuah software yang digunakan untuk mencari celah keamanan.

g. NMAP

NMAP merupakan open source utility untuk melakukan security auditing. NMAP atau Network Mapper adalah software untuk mengeksplorasi jaringan, banyak administrator sistem, dan jaringan yang menggunakan aplikasi ini menemukan banyak fungsi dalam inventori jaringan, mengatur jadwal peningkatan service, dan memonitor host atau waktu pelayanan.

h. Wireshark

Wireshark merupakan aplikasi analisa netwrok protokol paling digunakan di dunia. Wireshark bisa mengcapture data dan secara interaktif menelusuri lalu lintas yang berjalan pada jaringan komputer, dengan berstandart de facto dibanyak industri dan lembaga pendidikan.

Menurut Weber (1999) terdapat beberapa alasan mendasar mengapa organisasi perlu melakukan audit sebagai evaluasi dan pengendalian terhadap sistem yang digunakan oleh organisasi :

1. Pencegahan terhadap biaya organisasi untuk data yang hilang

Kehilangan data dapat terjadi karena ketidakmampuan pengendalian terhadap pemakaian komputer. Kelalaian dengan tidak menyediakan backup yang memadai terhadap file data, sehingga kehilangan file dapat terjadi karena program komputer yang rusak, adanya sabotase, atau kerusakan normal yang membuat file tersebut tidak dapat diperbaiki sehingga akhirnya membuat kelanjutan operasional organisasi menjadi terganggu.

2. Pengambilan keputusan yang tidak sesuai

Membuat keputusan yang berkualitas tergantung pada kualitas data yang akurat dan kualitas dari proses pengambilan keputusan itu sendiri. Pentingnya data yang akurat bergantung kepada jenis keputusan yang akan dibuat oleh orang – orang yang berkepentingan di suatu organisasi.

3. Penyalahgunaan komputer

Penyalahgunaan komputer memberikan pengaruh kuat terhadap pengembangan EDP audit maka untuk dapat memahami EDP audit diperlukan pemahaman yang baik terhadap beberapa kasus penyalahgunaan komputer yang pernah terjadi.

4. Nilai dari perangkat keras komputer, perangkat lunak dan personel
Di samping data, hardware dan software serta personel komputer juga merupakan sumber daya yang kritikal bagi suatu organisasi, walaupun investasi hardware perusahaan sudah dilindungi oleh asuransi, tetapi kehilangan hardware baik terjadi karena kesengajaan maupun ketidaksengajaan dapat mengakibatkan gangguan. Jika software rusak akan mengganggu jalannya operasional dan bila software dicuri maka informasi yang rahasia dapat dijual kepada kompetitor. Personel adalah sumber daya yang paling berharga, mereka harus dididik dengan baik agar menjadi tenaga handal dibidang komputer yang profesional.

5. Biaya yang tinggi untuk kerusakan komputer

Saat ini pemakaian komputer sudah sangat meluas dan dilakukan juga terhadap fungsi kritis pada kehidupan kita. Kesalahan yang terjadi pada komputer memberikan implikasi yang luar biasa, sebagai contoh data error mengakibatkan jatuhnya pesawat di Antartika yang menyebabkan 257 orang meninggal atau seseorang divonis masuk penjara karena kesalahan data di komputer.

6. Kerahasiaan
Banyak data tentang diri pribadi yang saat ini dapat diperoleh dengan cepat, dengan adanya komputerisasi kependudukan maka data mengenai seseorang dapat segera diketahui termasuk hal – hal pribadi.

7. Pengontrolan penggunaan komputer

Teknologi adalah hal yang alami, tidak ada teknologi yang baik atau buruk. Pengguna teknologi tersebut yang dapat menentukan apakah teknologi itu akan menjadi baik atau malah menimbulkan gangguan. Banyak keputusan yang harus diambil untuk mengetahui apakah komputer digunakan untuk suatu hal yang baik atau buruk.

PENDEKATAN AUDIT TEKNOLOGI SISTEM INFORMASI

Menurut Wilkinson (2006), terdapat tiga pendekatan auditing pada sistem berbasis komputer/teknologi informasi yaitu :

1. Audit di Sekitar Komputer (Auditing Around The Computer)

Audit terhadap penyelenggaraan sistem informasi komputer tanpa menggunakan kemampuan peralatan itu sendiri, pemrosesan dalam komputer dianggap benar, apa yang ada dalam komputer dianggap sebagai “black box” sehingga audit hanya dilakukan di sekitar box tersebut. Pendekatan ini memfokuskan pada input dan output yaitu dimana penggunaan komputer pada tahap proses diabaikan. Audit ini dilakukan dengan cara mengecek prosedur interal yang ada di perusahaan dengan kejadian yang nyata terjadi di lapangan.

2. Audit Melalui Komputer (Auditing Through The Computer)
Audit ini dilakukan melalui komputer, dimana auditor mengajukan data ke komputer untuk di proses. Kemudian hasilnya akan dianalisis oleh proses yang dapat dipercayai dan mempunyai ketepatan dengan program komputer yaitu dimana pada tahap proses penggunaan komputer telah aktif.

3. Audit Dengan Komputer (Auditing With Computer)
Audit ini dilakukan dengan menggunakan komputer dan software untuk mengotomatisasi prosedur pelaksanaan audit. Pendekatan ini dapat menggunakan beberapa komputer assisted audit techniques, misalnya Systems Control Audit Review File (SCRAF) atau snapshot (pemotretan cepat). Audit yang menggunakan komputer sebagai alat bantu auditor dalam melakukan audit yaitu dimana input, proses, dan output telah menggunakan komputer.

Faktor-faktor yang mendorong pentingnya kontrol dan audit teknologi sistem informasi (Weber, 1999, p.6) yaitu antara lain :

a) Mendeteksi agar komputer tidak dikelola secara kurang terarah

b) Mendeteksi resiko pengambilan keputusan yang salah akibat informasi hasil proses sistem komputerisasi salah atau tidak lengkap
c) Menjaga aset perusahaan karena nilai hardware, software, dan personil lazimnya yang tinggi

d) Mendeteksi resiko error komputer
e) Mendeteksi resiko penyalahgunaan komputer

f) Menjaga kerahasiaan

g) Meningkatkan pengendalian evolusi penggunaan komputer

Tahapan Pada Audit Teknologi Sistem Informasi

a) Subjek Audit
Tentukan identifkasi unit/lokasi yang di audit

b) Sasaran audit
Tentukan sistem secara spesifik, fungsi, atau unit orgainisasi yang akan diperiksa

• Pengujian tingkat keamanan
• Pengelolaan sistem keamanan
• Disasater recovery
• Tingkat pendidikan personil atas pengamanan

c) Jangkauan audit
Identifikasi sistem secara spesifik, fungsi, atau unit organisasi untuk dimasukkan lingkup pemeriksaan

d) Rencana pre-audit

• Identifikasi kebutuhan keahlian teknik dan sumber daya yang diperlukan untuk audit
• Identifikasi sumber bukti untuk tes atau review seperti fungsi flowchart, kebijakan, standard prosedur, dan kertas kerja audit sebelumnya

e) Prosedur audit dan langkah-langkah pengumpulan bukti audit

• Identifikasi dan pilih pendekatan audit untuk memeriksa dan menguji pengendalian internal
• Identifikasi daftar individu untuk interview
• Identifikasi dan menghasilkan kebijakan yang berhubungan dengan bagian, standar, dan pedoman untuk interview
• Mengembangkan instrumen audit dan metodologi pengujian dan pemeriksaan kontrol internal

f) Prosedur untuk evaluasi

• Organisasikan sesuai kondisi dan situasi
• Identifikasi prosedur evaluasi atas tes efektifitas dan efisiensi sistem, evaluasi kekuatan dari dokumen, kebijakan, dan prosedur yang di audit

g) Laporan hasil audit
Siapkan laporan yang objektif, konsteuktif (bersifat membangun), dan menampung penjelasan audit

Metodologi Audit Teknologi Sistem Informasi

Dalam pelaksanaanya, auditor TI mengumpulkan bukti-bukti yang memadai melalui berbagai teknik termasuk survey, wawancara, observasi, dan review dokumentasi. Satu hal yang unik, bukti-bukti audit yang diambil oleh auditor biasanya mencakup pula bukti elektronis. Biasanya auditor TI menerapkan teknik audit berbantu komputer. Teknik ini digunakan untuk menganalisa data misalnya data transaksi penjualan, pembelian, transaksi aktivitas persediaan,maupun aktivitas nasabah.

Pendekatan Umum Pada Audit Teknologi Sistem Informasi

Hampir semua pendekatan untuk sebuah audit teknologi sistem informasi mengikuti beberapa variasi dari sebuah struktur tiga tahap.

• Tahap pertama terdiri atas kajian ulang awal dan evaluasi wilayah yang akan di audit dan persiapan rencana audit yang bertujuan menetukan serangkaian tindakan yang akan dilakukan audit dan meliputi keputusan-keputusan yang berkaitann dengan wilayah wilayah tertentu yang akan diinvestigasi, penggunaan tenaga kerja audit, teknologi audit yang akan digunakan, dan pengembangan anggaran waktu dan atau biaya audit itu sendiri
• Tahap kedua adalah kaji ulang dan evaluasi terperinci. Dalam tahap audit ini, upaya diarahkan pada penemuan fakta dalam bidang atau wilayah yang dipilih untuk di audit
• Tahap ketiga dalam audit adalah pengujian. Tahap pengujian sebuah audit menghasilkan bukti kepatuhan terhadap prosedur yang telah ditetapkan. Uji kepatuhan dilakukan untuk menyediakan jaminan kepastian bahwa ada pengendalian internal dan dilakukan sesuai dengan yang telah dituliskan dalam dokumentasi sistem

SUMBER :

- https://firdharmwt25.wordpress.com/2017/01/11/tools-untuk-melalukan-audit-ti-postest-cobit-v-class-1/

- https://sis.binus.ac.id/2015/06/24/pentingnya-audit-sistem-informasi-bagi-organisasi/

- http://blog.pasca.gunadarma.ac.id/2012/06/07/audit-sistem-informasi-akuntansi-teknologi-sistem-informasi/

 -http://lenimaimiati.hol.es/sisteminformasi-akuntansi/audit-teknologi-informasi-audit-electronik-data-processing-edp/

- http://www.pendidikanmu.com/2015/05/pengertian-audit-sistem-informasi.html

- http://henindya.blogspot.co.id/2011/10/it-audit-tools.html

- http://goldsonny.blogspot.co.id/2016/01/pengendalian-dan-audit-sistem-informasi_8.html

- https://avanza250.wordpress.com/2013/06/22/pemeriksaan-sistem-informasi-audit-it/

- https://datakata.wordpress.com/2014/12/26/auditing-dan-sistem-informasi/