Jurnal Audit Teknologi Informasi menggunakan framework COBIT 5 pada Domain DSS iGracias Telkom Univeristy

 ABSTRAK

Teknologi informasi (TI) merupakan suatu bagian yang sangat penting bagi perusahaan atau lembaga dan merupakan suatu nilai investasi untuk menjadikan perusahaan atau lembaga tersebut menjadi lebih baik. Perusahaan atau lembaga menempatkan teknologi informasi sebagi suatu hal yang dapat mendukung pencapaian rencana strategis perusahaan untuk mencapai sasaran visi, misi dan tujuan perusahaan atau lembaga tersebut, begitu halnya dengan Telkom University. Teknologi Informasi yang diterapkan perlu diatur agar dapat dimanfaatkan dengan baik. Untuk mengatur teknologi informasi itu sendiri memerlukan audit yang bertujuan untuk mengevaluasi dan memastikan pemenuhannya ditinjau dari pendekatan objektif dari suatu standar. Teknologi Informasi di Telkom University memerlukan audit untuk mengevaluasi, menilai kapabilitas, dan menyusun rekomendasi terhadap teknologi informasi yang dipakai. Framework audit yang digunakan adalah COBIT 5 domain DSS (Deliver, Service, and Support) yang fokus pada penilaian pengiriman dan layanan teknologi informasi serta dukungannya termasuk pengelolaan masalah agar keberlanjutan layanan tetap terjaga.

 Kata Kunci : Audit, COBIT 5, domain DSS, Teknologi Informasi, Telkom University

1. PENDAHULUAN

Saat ini Teknologi Informasi (TI) telah menjadi  bagian yang sangat penting dalam perusahaan atau institusi tingkat enterprise. Sebuah perusahaan atau institusi berinvestasi dalam teknologi sebagai sesuatu yang dapat mendukung pencapaian rencana strategis perusahaan untuk mencapai  visi, misi dan tujuan perusahaan atau institusi. Karena berbagai keunggulan dan pentingnya teknologi informasi, perguruan tinggi (PT) mengadopsinya dalam proses operasionalnya. Perguruan tinggi dapat menggunakan teknologi informasi untuk menyediakan layanan administrasi, untuk mendukung proses belajar mengajar (TLB), sebagai alat komunikasi dan untuk membantu dalam pengambilan keputusan. Dengan menerapkan teknologi informasi yang baik di PT, meningkatkan kualitas layanan PT. Telkom University merupakan salah satu perguruan tinggi swasta di Indonesia yang berada di bawah naungan Yayasan Pendidikan Telkom (YPT). Visi Telkom University adalah menjadi universitas kelas dunia (A World Class University) yang berperan aktif dalam pengembangan ilmu pengetahuan dan seni berbasis teknologi informasi.

Telkom University  menerapkan pemanfaatan teknologi informasi sebagai penunjang dalam  pelayanan akademik yang ditujukan kepada seluruh civitas akademika, salah satu sistem informasi yang dimiliki Telkom University adalah iGracias (Integrated Academic Information System) yang ditangani oleh Direktorat Sistem Informasi Telkom University. iGracias merupakan sistem informasi yang digunakan untuk keperluan akademik di lingkungan Telkom University yang dapat diakses oleh mahasiswa, dosen, dan juga orangtua mahasiswa tersebut. Banyak fiture yang terdapat pada sistem tersebut misalnya untuk keperluan registrasi, input mata kuliah, perwalian dan lain – lain. iGracias yang telah diimplimentasikan pada Telkom Univrsitay tentu perlu untuk diukur dan dievaluasi untuk mengetahui apakah teknologi informasi yang diimplementasikan sudah sesuai dengan yang diharapkan dan mampu memudahkan proses bisnis dari Telkom University. Untuk itu perlu dilakukannya Audit teknologi informasi. 

Dengan bantuan audit, dapat diketahui bahwa tingkat keamanan aset, dengan tetap menjaga integritas data, dapat mendorong pencapaian tujuan organisasi yang efektif dan penggunaan sumber daya yang efektif serta tingkat kematangan teknologi informasi di Telkom University dan memberikan rekomendasi pencapaian yang optimal sehingga dapat membantu mewujudkan visi , misi, dan tujuan di Telkom University. Audit teknologi informasi memiliki beberapa standar yang digunakan untuk peneletian. Contoh standar tersebut adalah ITIL dan COBIT 5. ITIL memiliki fokus pada layanan untuk pelanggan dan tidak memberikan proses penyelarasan strategi perusahaan terhadap strategi teknologi informasi yang dikembangkan. COBIT 5 merupakan standar komprehensif yang membantu perusahaan dalam mencapai tujuan dan menghasilkan nilai melalui tata kelola dan manajemen teknologi informasi yang efektif. COBIT 5 menyediakan kerangka kerja IT Governance dan control objectives yang rinci bagi manajemen, pemilik proses bisnis, pemakai dan auditor, karena mengelola teknologi informasi secara holistic, sehingga nilai yang diberikan oleh teknologi informasi dapat tercapai optimal dengan memperhatikan segala aspek tata kelola teknologi informasi mulai dari sisi people, skills, competencies, services, infrastructure, dan applications yang merupakan bagian dari enabler suatu tata kelola teknologi informasi. Maka dari itu COBIT 5 dianggap sesuai dan dapat membantu dalam proses audit teknologi informasi karena mencakup semua elemen pada teknologi informasi yang dipakai.

Domain DSS dipilih karena dianggap sesuai dengan kondisi teknologi informasi yang ada pada Telkom University saat ini. Dengan kondisi teknologi informasi di Telkom University yang sedang berlangsung dan kebutuhan untuk mengirimkan layanan, melayani, dan mendukung layanan teknologi informasi, maka Domain DSS yang dianggap sesuai dengan hal tersebut. Domain lain seperti APO (Align, Plan, and Organize) akan dirasa sesuai diterapkan pada tata kelola teknologi informasi yang belum dijalankan atau akan dijalankan, domain BAI (Build, Acquire, and Implement) akan dirasa sesuai diterapkan pada unit khusus yang berperan sebagai pembangun (developer) atau memperbaiki tata kelola teknologi informasi yang sudah ada, domain MEA (Monitor, Evaluate, and Asses) akan dirasa sesuai diterapkan untuk kondisi yang telah dibangun dan berlangsung, dan pelaksanaan monitoring dilakukan oleh pihak internal, karena monitoring dengan audit memiliki intensitas dan jangka waktu yang berbeda.

2. TINJAUAN PUSTAKA

2.1 Pengertian Audit Sistem Informasi / Teknologi Informasi

Menurut Weber (1999, p.10), “Audit sistem informasi adalah proses pengumpulan dan pengevaluasian bukti untuk menentukan apakah sistem komputer dapat melindungi aset, memelihara integritas data, memungkinkan tujuan organisasi untuk dicapai secara efektif dan menggunakan sumber daya secara efisien”. Menurut Gondodiyoto (2003, p.151), “Audit sistem informasi merupakan suatu pengevaluasian untuk mengetahui bagaimana tingkat kesesuaian antara aplikasi sistem informasi dengan prosedur yang telah ditetapkan dan mengetahui apakah suatu sistem informasi telah didesain dan diimplementasikan secara efektif, efisien, dan ekonomis, memiliki mekanisme pengamanan aset yang memadai, serta menjamin integritas data yang memadai”. 

Dari pengertian diatas, dapat disimpulkan bahwa audit sistem informasi adalah proses pengumpulan bukti dan evaluasi untuk mengetahui tingkat kesesuaian sistem informasi dengan prosedur yang telah ditetapkan dan mengetahui apakah sistem informasi telah didesain dan diimplementasikan secara efektif, efisien dan ekonimis, memiliki mekanisme pengamanan asset yang memadai dan menjamin integritas data

2.2 Pengertian Cobit

Menurut Tanuwijaya dan Sarno (2010), “COBIT mendukung tata kelola TI dengan menyediakan kerangka kerja untuk mengatur keselarasan TI dengan bisnis. Selain itu, kerangka kerja juga memastikan bahwa TI memungkinkan bisnis, memaksimalkan keuntungan, resiko TI dikelola secara tepat, dan sumber daya TI digunakan secara bertanggung jawab”. COBIT adalah salah satu framework yang digunakan untuk standar audit, COBIT merupakan standar yang dinilai lengkap dan cakupan yang menyeluruh sebagai framework audit. COBIT dikembangkan secara berkala oleh ISACA. Didalam COBIT ini terdapat beberapa Domain yang digunakan untuk proses audit.

2.3 Pemetaan Hubungan Enterprise Goals, IT – Related Goals, dan Proses control

Pemetaan hubungan ini digunakan utnuk melakukan penilaian tingkat kapabilitas, beberapa tahap hubungan pemetaan terseut diantaranya antara adalah :

1. Pemetaan Enterprise Goals dengan tujuan perusahaan.

Pemetaan dilakukan ke dalam perspektif IT Balanced Scorecard (IT BSC). 

2. Pemetaan Enterprise Goals dengan IT – Related Goals.

Pemetaan yang dilakukan pada hubungan sama dengan yang dilakukan pada hubungan Enterprise.

3. Pemetaan IT – Related Goals dengan Proses domain DSS

Pemetaan ini dilakukan untuk mendapat proses – proses domain DSS mana sajakah yang masuk dalam ruang kegiatan audit.

2.4 Diagram RACI

Diagram RACI adalah bagian dari Responsibility Assignment Matrix (RAM), yaitu bentuk pemetaan antara sumberdaya dengan aktivitas dalam setiap prosedur. dengan aktivitas dalam setiap prosedur. RACI merupakan singkatan dari R (Responsible), A (Accountable), C (Consulted), dan I (Informed). Untuk melakukan penilaian dengan domain DSS, maka dilakukan mapping antara sub control objectives dan sumber daya manusia yang ada pada pelaksaan sistem informasi.

2.5 Proses Capability Model

ISO/IEC 15505 mendefinisikan pengukuran untuk penilaian kemampuan proses dari framework COBIT. Process capability didefinisikan pada 6 level poin dari 0 sampai 5, yang mempresentasikan peningkatan capability dari proses yang diimplementasikan. 

3. METODOLOGI PENELITIAN

Penelitian yang akan dilakukan akan terdiri dari beberapa fase-fase audit yang terdiri dari perencanaan, pengumpulan data, analisis data, dan laporan. Audit akan dijalankan mulai studi pendahuluan terhadap studi pustaka dan studi kasus, kemudian fase terakhir akan diakhiri dengan pembuatan laporan yang didalamnya terdapat hasil rekomendasi, yang menunjukkan kegiatan audit selesai dan ditutup.

4. IMPLEMENTASI & HASIL ANALISIS 

4.1 Teknik Pengumpulan Data

Langkah awal dari pengumpulan data ini mulai dari menyiapkan daftar kuisioner, kemudian di sesuai atau di petakan dengan hasil diagram RACI supaya daftar kuisoner tepat dengan sasaran. Setelah itu melakukan validasi hasil kuisioner, apabila data kuisioner ada yang tidak valid maka kuisioner yang tidak valid diulang kembali sampai menghasilkan hasil valid. Kemudin setelah semua data valid maka dilakukan kroscek dengan melakukan wawancara ke pihak yang memiliki jabatan tinggi di Direktorat SISFO, kemudian disertai dengan pengambilan bukti.

4.2 Teknik Pengukuran Data

Pengukuran data digunakan untuk menilai apakah hasil dari kuisioner tersebut dapat dipercaya atau valid. Dalam teknik pengukuran data disini menggunakan validasi. Jenis – jenis dari validasi pun bermacam – macam, disini penulis mneggunakan jenis validasi korelasi product moment yang di kemukakan oleh pearson.Pemilihan jenis validasi dengan korelasi product moment ini dirasa cocok karena instrument yang digunakan dalam pengukuran validasi ini serupa (menggunakan variable interval), dan cara perhitungan yang dapat diterapkan dengan baik. Pada validasi korelasi product moment ini item dikatakan valid jika nilai-nilai total correlation lebih besar dari nilai kritis. Nilai r-kritis yang ditetapkan adalah sebesar 0,30. Item pertanyaan yang memiliki nilai koefisien validitas lebih besar dari nilai r kritisnya dapat disimpulkan bahwa item  tersebut valid dalam yang berarti bahwa item yang digunakan untuk mengukur suatu kajian dalam Direktorat SISFO dalam domain DSS (Deliver, Service and Support) menghasilkan data yang valid/dapat dipercaya.

4.3 Analisis Hasil

1. Analisis Hasil Kuisioner

Dalam menentukan kondisi pada level manakah aktifitas – aktifitas yang terdapat pada form kerja audit itu berada, maka dilakukan analisis berupa mencari level yang tepat pada form hasil kuisioner. Penentuan level ditiap aktifitas ini dilakukan dengan memilih nilai modus atau nilai yang paling banyak muncul pada tiap aktifitasnya. Dan apabila nilai yang muncul itu terdapat 2 level atau mungkin lebih, maka yang di pilih adalah nilai level yang terkecil diantaranya, misalkan pada DSS01-01 pada aktifitas ke 3 terdapat 9 responden, kemudian dari 9 responden yang memilih di level 2 adalah 4 orang, di level 4 adalah 4 orang, dan di level 5 adalah 1 orang. Maka level yang terpilih adalah pada level 3, karena diartikan juga berarti 4 orang yang memilih di level 4 tersbut juga merasa bahwa pada aktifitas ke 3 telah berada pada level 3.

2. Rekapitulasi Nilai Capability 

Mencari rata – rata nilai pada tiap proses untuk mengetahui bagaimana kondisi tiap proses yang ada. Dari Capability level yang didapat 4.36 dilakukan pembulatan untuk memudahkan mencari kondisi terkini berdasarkan kriteria capability level yang telah ditetapkan. Dalam melakaukan pembulatan tersebut menggunakan konsep penentuan capability process tertentu, yaitu suatu proses akan mencapai level k jika semua atribut sebelum level k terpenuhi secara fully achieved dan semua atribut di level k telah terpenuhi secara largely (>50% hingga 85%) atau fully achieved (>85%) [15]. Disini penulis menggunakan pilihan yang terpenuhi secara fully achieved atau level terpenuhi dengan nilai >85%, yang di rasa akan lebih akurat dalam menilai atau menggambarkan kondisi yang existing yang ada.

4.4  Pengumpulan Evidence dan Kondisi Existing

1. Pengumpulan dan Daskripsi Evidence

Dalam penentuan suatu kondisi yang di dapat sudah valid atau belum, dalam audit ini dilakukan dengan pengumpulan bukti – bukti yang sudah ditetapkan pada COBIT 5 Domain DSS (Deliver, Service, and Support). Hasil bukti yang di dapat diperiksa dengan kesesuaiaan kondisi existing yang telah dapat dan menjadi alat ukur tersendiri.

2. Penilaian Kondisi Existing

- Existing DSS01

Menjalankan absensi dan rekap dilakukan dengan baik, tidak asuransi independent terhadap manajemen outsourced IT service, pelaksanaan monitoring infrastruktur IT terlaksana dengan baik 

- Existing DSS02 

Dalam menjalankan layanan insiden dan permintaan layanan telah dibuatkan skema layanan/ SOP tentang request insiden, terdapat aturan – aturan mengenai penanganan insiden, dan telah di dokumentasikan dalam bentuk SLA, direktorat SISFO memiliki aplikasi sistem informasi tersendiri dalam pelayanan yang berkaitan dengan sistem informasi di Telkom University.

- Existing DSS03

Permasalah yang ada di rekap dan dilaporkan dalam rapat besar tiap 3 bulan Direktorat SISFO, direktorat SISFO melakukan pengklasifikasian terhadap permasalahan yang muncul, dan tertulis dalam SLA, dalam menyelesaikan masalah dan menutup masalah dikomunikasikan dalam RTM dan dilakukan dengan baik, direkap dan dijaga dengan baik.

4.5 Analisis GAP

Analisis Gap ini dlakukan untuk mencari selisih dari level capability yang didapat dengan level target yang ingin dicapai. Dalam penentuan level target, ditentukan dengan level yang sedang dituju dari level rata – rata yang didapat. Contoh untuk DSS01 di peroleh level rata – rata 3,82 maka DSS01 sedang dalam tahap menuju level capability 4 dan masih mencapai 0,82 atau 82% di atas level 3 atau kurang dari 0,18 atau 18% menuju level capabilty 4. Sehingga ditetapkan level targetnya adalah level 4.

4.6 Rekomendasi

1. Rekomendasi DSS01

Melakukan penilaian terhadap infrastruktur yang dimilki dan dibuat dokumentasinya untuk bahan evaluasi kedepan, menindak lanjuti hasil audit independent terhadap kualitas layanan, lingkungan dan dengan pihak luar yang menjalin kerjasama, apabila dari audit independent tidak ada maka ditambahkan sendiri, melakukan analisis perangkat IT untuk mencegah ancaman yang timbul dari tindakan manusia seperti pencurian, dan juga terlindung dari ancaman dari hal – hal lain misalkan kebocoran, akan hujan, bahaya kebakaran karena konsleting dll.

2. Rekomendasi DSS02

Membuat klasifikasi terhadap jenis – jenis layanan dan insiden yang dilayani, sehingga mudah untuk dipetakan ke bagian atau divisi yang akan langsung menyelesaikan layanan atau insiden tersebut, membuat strategi – strategi dalam permintaan layanan dan pemecahan insiden baik dalam bentuk kebijakan ataupun tindakan penanganan langsung seperti sistem, mengembangkan sistem yang dapat melaporkan kecenderungan masalah atau insiden yang dihadapi sehingga pihak Direktorat SISFO dapat mengetahui kesalahan – kesalahan yang didapatkan.

3. Rekomendasi DSS03

Melakukan pemantauan terhadap kinerja penyelesaian masalah yang telah ditentukan, membuat dokumentasi terkait solusi – solusi dalam pemecahan masalah, melakukan analisa pembiayan untuk menyelesaikan masalah, melakukan pemantauan dan didokumentasikan.

4. Rekomendasi Umum Keseluruhan Proses

Membuat penerapan pengukuran layanan yang harus dipenuhi dalam tiap proses bisnis untuk terjaminnya sistem iGracias berjalan dengan baik, membuat sistem monitoring dan evaluasi yang tepat terhadap proses bisnis untuk mengoptimalkan keberlangusngan iGracias, membuat dokumentasi atau laporan mengenai keseluruhan hasil proses yang berlangsung, dan juga pelanggaran yang terjadi sebagai bahan evaluasi dan pengembangan keberlanjutannya, membuat dan menjaga dengan baik pendokumentasian informasi yang dapat meningkatkan/menjaga keberlangsungan jalannya sistem iGracias.

5. KESIMPULAN DAN SARAN

5.1 Kesimpulan

Berdasarkan audit yang dilakukan pada Direktorat SISFO Telkom University dalam study kasus iGracias dengan framework COBIT 5 Domain DSS (Deliver, Service, and Support) maka kesimpulannya adalah : 

1) Pada tahap Pra audit, telah diperoleh 3 proses domain DSS COBIT 5 yang dimana merupakan keseluruhan proses dari domain DSS yang sesuai dengan kondisi tata kelola Direktorat SISFO Telkom University dan digunakan sebagai ruang lingkup dan standar audit yaitu DSS01, DSS02, DSS03

2) Dari hasil audit, diketahui ada 1 proses yang mempunyai level kapabilitas 3 yaitu DSS02, ada 2 proses yang mempunyai level kapabilitas 3 yaitu DSS01, DSS03.

3) Level capability keseluruhan yang diperoleh berdasarkan keseluruhan rata – rata adalah 3, yang berarti sebagian besar aktifitas pada domain DSS untuk Direktorat SISFO Telkom University telah dilakukan, ada standar penerapan dalam melakukan proses tersebut, terdokumentasi dan komunikasi berjalan dengan baik.

5.2 Saran

Berikut adalah saran yang dapat disampaikan oleh penulis adalah : 

1) Penilaian tingkat kapabilitas terkait Direktorat SISFO Telkom University dapat dilanjutkan lagi pada modul-modul lain menggunakan COBIT 5. 

2) Dapat ditambahkan scoring/pembobotan dalam terkait pengumpulan bukti/evidence yang dicari, Untuk memperjelas pemberian rekomendasi. 

3) Metode dalam penghitungan validasi dan penentuan level capability tiap aktifitas dapat dilakukan dengan metode yang berbeda. 

Refrensi Jurnal :

 https://openlibrarypublications.telkomuniversity.ac.id/index.php/engineering/article/view/2427