Intan Novitasari's Blog: COBIT

Nama : Intan Novitasari

Npm : 1C114803

Kelas : 4KA32

COBIT

Pengertian COBIT

COBIT (Control Objectives for Information and Related Technology) merupakan audit sistem informasi dan dasar pengendalian yang dibuat oleh Information Systems Audit and Control Association (ISACA) dan IT Governance Institute (ITGI) pada tahun 1992.

COBIT Framework adalah standar kontrol yang umum terhadap teknologi informasi, dengan memberikan kerangka kerja dan kontrol terhadap teknologi informasi yang dapat diterima dan diterapkan secara internasional.

COBIT bermanfaat bagi manajemen untuk membantu menyeimbangkan antara resiko dan investasi pengendalian dalam sebuah lingkungan IT yang sering tidak dapat diprediksi. Bagi user, ini menjadi sangat berguna untuk memperoleh keyakinan atas layanan keamanan dan pengendalian IT yang disediakan oleh pihak internal atau pihak ketiga. Sedangkan bagi Auditor untuk mendukung atau memperkuat opini yang dihasilkan dan memberikan saran kepada manajemen atas pengendalian internal yang ada.

Pedoman COBIT memungkinkan perusahaan untuk mengimplementasikan pengelolah IT secara efektif dan pada dasarnya dapat diterapkan di seluruh organisasi. Khususnya, komponen manajemen COBIT yang berisi sebuah respon kerangka kerja untuk kebutuhan manajemen bagi pengukuran dan pengendalian IT dengan menyediakan alat-alat untuk menilai dan mengukur kemampuan IT perusahaan untuk 34 proses IT.

Sejarah COBIT

COBIT pertama kali diterbitkan pada tahun 1996, kemudian edisi kedua dari COBIT diterbitkan pada tahun 1998. Pada tahun 2000 dirilis COBIT 3.0 dan COBIT 4.0 pada tahun 2005. Kemudian COBIT 4.1 dirilis pada tahun 2007 dan saat ini COBIT yang terakhir dirilis adalah COBIT 5.0 yang dirilis pada tahun 2012.

COBIT merupakan kombinasi dari prinsip-prinsip yang telah ditanamkan yang dilengkapi dengan balance scorecard dan dapat digunakan sebagai acuan model (seperti COSO) dan disejajarkan dengan standar industri, seperti ITIL, CMM, BS779, ISO 9000.

Kerangka Kerja COBIT

COBIT menyediakan referensi best business practices yang mencakup keseluruhan proses bisnis perusahaan dan memaparkannya dalam struktur aktivitas-aktivitas logis yang dapat dikelola serta dikendalikan secara efektif.

Secara keseluruhan konsep framework COBIT dapat dilihat dari 3 sudut pandang, yaitu:

Kriteria informas
Sumber daya TI
Proses TI.

Ketiga sudut pandang ini dapat terlihat dalam bentuk kubus COBIT dibawah ini

Kriteria Informasi berdasarkan COBIT

Untuk memenuhi tujuan bisnis, informasi perlu memenuhi kriteria tertentu, adapun 7 kriteria informasi yang menjadi perhatian COBIT, yaitu sebagai berikut:

Effectiveness (Efektivitas). Informasi yang diperoleh harus relevan dan berkaitan dengan proses bisnis, konsisten dapat dipercaya, dan tepat waktu.
Effeciency (Efisiensi). Penyediaan informasi melalui penggunaan sumber daya (yang paling produktif dan ekonomis) yang optimal.
Confidentially (Kerahasiaan). Berkaitan dengan proteksi pada informasi penting dari pihak-pihak yang tidak memiliki hak otorisasi/tidak berwenang.
Intergrity (Integritas). Berkaitan dengan keakuratan dan kelengkapan data/informasi dan tingkat validitas yang sesuai dengan ekspetasi dan nilai bisnis.
Availability (Ketersediaan). Fokus terhadap ketersediaan data/informasi ketika diperlukan dalam proses bisnis, baik sekarang maupun dimasa yang akan datang. Ini juga terkait dengan pengamanan atas sumber daya yang diperlukan dan terkait.
Compliance (Kepatuhan). Pemenuhan data/informasi yang sesuai dengan ketentuan hukum, peraturan, dan rencana perjanjian/kontrak untuk proses bisnis.
Reliability (Handal). Fokus pada pemberian informasi yang tepat bagi manajemen untuk mengoperasikan perusahaan dan pemenuhan kewajiban mereka untuk membuat laporan keuangan.

Sumber Daya TI

Sumber daya TI ialah sumber daya yang berkaitan dengan teknologi informasi. Adapaun sumber daya yang terdapat dalam COBIT meliputi :

Organizations - People
Application Sistems
Technologies
Facilities
Data

Komponen Control Objective

Berdasarkan IT Governance Institute (2012), Framework COBIT disusun dengan karakteristik yang berfokus pada bisnis (bussiness focused). Pada edisi keempatnya ini, COBIT Framework terdiri dari 34 high level control objectives dan kemudian mengelompokan proses tersebut menjadi 4 domain, keempat domain tersebut antara lain: Plannig and Organization, Acquisition and Implementation, Delivery and Support, dan Monitoring and Evaluation :

1. Planing and Organization (Perencanaan dan Organisasi)

Merupakan domain yang menitikberatkan kepada proses perencanaan penerapan TI dan keselarasannya dengan tujuan yang ingin dicapai oleh perusahaan secara umum. Domain ini meliputi taktik dan strategi serta menyangkut proses identifikasi cara terbaik TI untuk memberikan kontribusi yang maksimal terhadap pencapaian tujuan bisnis perusahaan. Realisasi dari strategi perlu direncanakan, dikomunikasikan dan dikelola dengan berbagai sudut pandang yang berbeda. Implementasi strategi harus disertai dengan infrastruktur yang memadai dan dapat mendukung kegiatan bisnis perusahaan. Pada dasarnya domain ini bertugas untuk menjawab pertanyaan-pertanyaan berikut :

Apakah teknologi informasi dan strategi bisnis sesuai?
Apakah perusahaan mencapai penggunaan yang optimal dari seluruh sumberdayanya?
Apakah setiap orang dalam organisasi memahami tujuan teknologi informasi?
Apakah resiko teknologi informasi telah dipahami dan dikelola?
Apakah kualtias sistem teknologi informasi sesuai dengan kebutuhan bisnis?

Secara lebih detil proses-proses TI dalam domain ini adalah sebagai berikut :

1. PO1 – Define a strategic IT Plan. Tujuan dari proses ini adalah untuk menentukan rencana strategis TI yang dapat memenuhi kebutuhan bisnis. Menyeimbangkan antara peluang teknologi TI dengan kebutuhan bisnis organisasi sehingga tujuan bisnis dapat tercapai.

2. PO2 – Define the information architecture. Tujuan dari proses ini adalah menentukan arsitektur informasi yang memenhi kebutuhan bisnis dalam melakukan optimasi sistem informasi organisasi.

3. PO3 – Determine the technological direction. Tujuan dari proses ini adalah menentukan sasaran teknologi yang memenuhi kebutuhan bisnis untuk memanfaatkan keunggulan teknologi yang tersedia dan berkembang agar dapat mendukung kebutuhan bisnis.

4. PO4 – Define the IT organization and relationships. Proses ini bertujuan untuk menentukan organisasi TI dan hubungannya yang memenuhi kebutuhan bisnis agar memberikan layanan TI yang tepat.

5. PO5 – Manage the investment. Tujuan dari proses ini adalah mengatur investasi TI yang memenuhi kebutuhan bisnis untuk memastikan pembiayaan dan untuk mengenalikan penyebaran sumberdaya keuangan.

6. PO6 – Communicate management aims and direction. Tujuan dari proses ini adalah untuk mengkomunikasikan tujuan dan petunjuk managemen yang memenuhi kebutuhan bisnis untuk menyakinkan kesadaran pengguna dan pemahaman tujuan-tujuan tsb.

7. PO7 – Manage human resources. Tujuan dari proses ini adalah mengelola sumberdaya manausia yang memenuhi kebutuhan bisnis untuk memperoleh dan merawat tenaga kerja yang termotivasi dan cakap dan memaskimalkan kontribusi personil untuk proses TI.

8. PO8 – Ensure compliance with ecternal requirements. Tujuan dari proses ini adalah untuk memastikan kesesuaian dengan kebutuhan eksternal yang memenuhi kebutuhan bisnis agar sesuai dengan peraturan dan kewajiban kontrak yang ada.

9. PO9 – Assess Risk. Tujuan dari proses ini adalah memperkirakan atau menilai resiko untuk mendukung keputusan managemen dalam pencapaian tujuan TI dan merespon ancaman dengan cara mereduksi kompleksitas, meningkatkan objektivitas, dan identifikasi faktor-faktor keputusan yang penting.

10. PO10 – Manage projects. Tujuan dari proses ini adalah mengatur proyek yang memenuhi kebutuhan bisnis untuk menetapkan prioritas dan untuk menyampaikannya tepat waktu dan sesuai anggaran.

11. PO11 – Manage quality. Tujuan dari proses ini adalah untuk mengatur kualitas yang memenuhi kebutuhan bisnis untuk mempertemukan kebutuhan customer TI.

2. Acquire and Implement (Pengadaan dan Implementasi)

Untuk merealisasikan strategi TI, perlu dilakukan pengidentifikasian, pengembangan dan perolehan solusi TI, sesuai dengan yang akan diimplementasikan dan diintegrasikan ke dalam proses bisnis.

Domain ini juga menitikberatkan kepada strategi dan proses pemilihan teknologi yang akan digunakan dan proses implementasinya. Untuk merealisasikan strategi TI yang telah ditetapkan harus disertai solusi yang sesuai. Solusi TI kemudian ditiadakan dan diimplementasikan dan diintegrasikan ke dalam proses bisnis perusahaan. Domain ini menjawab pertanyaan-pertanyaan sebagai berikut :

Apakah proyek-proyek baru akan memberikan solusi untuk memenuhi kebutuhan bisnis?
Apakah proyek baru kemungkinan besar akan diimlementasikan tepat waktu?
Apakah sistem baru tersebut akan bekerja sesuai dengan anggaran?
Apakah perubahan dilakukan tanpa mengganggu operasi bisnis saat ini?

Proses-proses TI pada domain AI adalah :

1. AI1 – Identify automated solution. Proses ini menitikberatkan pada kontrol terhadap pelaksanaan identifikasi solusi-solusi TI terotomatisasi. Tujuan dari proses ini adalah menjamin efektivitas dan efisiensi sesuai pendekatan dalam hal kepuasan terhadap kebutuhan pengguna.

2. AI2 – Acquire and maintain application software. Tujuan dari proses ini adalah untuk menyediakan fungsi-fungsi yang telah terotomatisasi dan secara efektif mampu mendukung proses bisnis.

3. AI3 – Acquire and maintain technology infrastructure. Tujuan dari proses ini adalah menyediakan berbagai platform yang tepat untuk mendukung aplikasi bisnis.

4. AI4 – Develop and maintain procedure. Merupakan proses rekayasa terhadap prosedur-prosedur pengelolaan TI yang ada (meliputi : pengembangan, implementasi, dan perawatan terhadap prosedur-prosedur tsb). Tujuan dari proses ini adalah untuk menjamin bahwa penggunaan aplikasi-aplikasi dan solusi-solusi teknologi dalam Tata Kelola TI mendapat peran yagn semestinya dan sesuai pada tempatnya.

5. AI5 – Install and accredit systems. Tujuan dari proses inia dalah untuk melakukan verifikasi dan konfirmasi bahwa solusi-solusi teknologi yang diberikan sesuai dengan tujuan yang diharapakan.

6. AI6 – Manage change. Tujuan dari proses ini adlah meminimalisasi kemungkinan gangguan, kesalahan dan perubahan yang tidak sah.

3. Delivery and Support (Pengiriman Layanan dan Dukungan)

Domain ini fokus terhadap penyampaian jasa yang sesungguhnya diperlukan, termasuk penyediaan layanan, manajemen keamanan dan kontinuitasnya, jasa dukungan kepada user dan manajemen data dan fasilitas operasi. Domain ini juga menyangkut permasalahan pemenuhan layanan TI, keamanan sistem, kesinambungan layanan, pelatihan, dan pendidikan untuk pengguna, dan pengelolaan data yang sedang berjalan. Biasanya untuk menjawab pertanyaan-pertanyaan sebagai berikut :

Apakah layanan TI yang disampaikan sejalan dengan prioritas bisnis?
Apakah biaya-biaya TI dapat dioptimalisasikan?
Apakah pekerja dapat menggunakan sistem secara produktif dan aman?
Apakah sistem pengamanan informasi memiliki kerahasiaan, integritas, dan ketersediaan yang baik?

Proses-proses TI yang ada di dalam domain ini adalah :

1. DS1 – Define service levels. Tujuan dari proses ini adalah pemenuhan terhadap pencapaian tujuan bisnis dan tingkat layanan yang dibutuhkan agar tujuan tersebut dapat diraih.

2. DS2 – Manage third-party services. Tujuan dari proses ini adalah memastikan bahwa peran dan tanggungjawab dari pihak ke-3 secara jelas terdefinisikan, ditaati, dan secara berkesinambungan memenuhi kebutuhan yang dipersyaratkan.

3. DS3 – Manage performance and capacity. Tujuan dari proses ini adalah memastikan kapasitas yang sepadan tersedia dan digunakan secara baik dan optimal sehingga memenuhi kebutuhan kinerja yang telah ditentukan.

4. DS4 – Ensure continous service. Tujuan dari proses ini adalah menjamin bahwa layanan TI tersedia saat dibutuhkan dan memastikan dampak minimum terhadap bisnis saat terjadi kegagalan layanan.

5. DS5 – Ensure systems security. Tujuan dari proses ini adalah menjaga informasi dari penggunaan dari pihak yang tidak memiliki kewenangan, dari modifikasi, kerusakan, ataupun kehilangan.

6. DS6 – Identify and atribute costs. Tujuan dari proses ini adalah memastikan adanya pemahaman dan kesadaran atas biaya yang ditimbulkan oleh layanan TI.

7. DS7 – Educate and train users. Tujuan dari proses ini adalah memastikan bahwa users menggunakan teknologi secara efektif dan sadar terhadap resiko yang terjadi dan bertanggungjawab.

8. DS8 – Assist and advice IT customer. Tujuan dari proses ini adalah memastikan setiap problem yang dialami oleh user dapat diselesaikan.

9. DS9 – Manage the configuration. Tujuan dari proses ini adalah menginventaris komponen TI, mencegah sistem dari perubahan yang terjadi tanpa otoritasi, memverifikasi kondisi fisik, dan menyediakan informasi dasar bagi managemen perubahan.

10. DS10 – Manage problem and incidents. Tujuan dari proses ini adalah memastikan semua problem dan insiden dapat diselesaikan dan menyelidiki penyebabnya sehingga mencegah terjadi kembali di masa yang akan datang.

11. DS11 – Manage data. Tujuan dari proses ini adalah memastikan semua data lengkap, akurat, dan valid selama proses input, update, dan penyimpanan.

12. DS12 – Manage facilities. Tujuan dari proses ini adalah proteksi terhadap aset komputer dan data bisnis serta meminimalisasi resiko gangguan bisnis.

13. DS13 – Manage operation. Tujuan dari proses ini adalah merawat integritas data dan memastikan bahwa infrastruktur TI dapat bertahan dan memulihkan diri dari errors dan kegagalan.

4. Monitoring and Evaluate (Pengawasan dan Evaluasi)

Domain ini menitikberatkan pada proses pengawasan pengelolaan TI pada organisasi. Domain ini juga berhubungan dengan strategi perusahaan dalam mengacces kebutuhan perusahaan dan apakah sistem TI yang ada saat ini masih memenuhi tujuan desainnya dan control yang dibutuhkan terhadap kebutuhan relugasi. Seluruh kendali-kendali yang diterapkan pada setiap proses TI harus diawasi dan dinilai kelayakannya secara berkala. Domain ini berfokus pada masalah kendali-kendali yang diterapkan dalam perusahaan, pemerikasaan internal, dan eksternal.

Apakah kinerja TI diukur untuk mendektsi masalah sebelum terlambat?
Apakah managemen meyakini bahwa pengendalian internal efektif dan efisien?
Dapatkah kinerja TI berkorelasi dengan pencapaian tujuan bisnis?
Apakah ada pengendalian atas kerahasiaan, integritas, dan ketersediaan dalam sistem pengamanan informasi?

Proses-proses TI yang ada di dalam domain ini adalah :

1. ME1 – Monitor the process. Tujuan dari proses ini adalah memastikan diraihnya tujuan kinerja dari seluruh proses TI.

2. ME2 – Assess internal control adequacy. Tujuan dari proses ini adalah memastikan pencapaian tujuan kontrol internal dari proses-proses TI yang ada.

3. ME3 – Obtain independent assurance. Tujuan dari proses ini adalah meningkatkan keyakinan dan kepercayaan diantara organsasi, pelanggan dan provider pihak ke-3.

4. ME4 – Provide for independent audit. Tujuan dari proses ini adalah meningkat level keyakinan dan mendapatkan keuntungan dari saran best practices.

Pedoman Management COBIT

Pedoman manajemen COBIT (COBIT Management guidelines) berisi pedoman dan arahan manajemen dalam hal pengontrolan dan pengukuran proses TI. Pedoman manajemen COBIT terdiri dari Model Maturity, Critical Success Factors (CSF), Key Goal Indicators (KPI), dan Key Performance Indicators (KPI).

Model Maturity

Model maturity merupakan alat bantu untuk memetakan status kematangan dari proses TI (dalam skala 0 – 5). Dengan menggunakan model maturity yang dikembangkan untuk setiap 34 proses TI COBIT maka managemen dapat mengidentifikasikan :

Status organisasi saat ini – dimana posisi organisasi saat ini.
Status terbaik industri saat ini (di kelasnya) – sebagai perbandingan.
Status standar internasional saat ini – sebagai perbandingan tambahan.
Strategi organisasi untuk perbaikan atau peningkatan – ke arah mana keinginan organisasi.

Dimana tingkat maturity proses TI dibagi ke dalam 6 skala, mulai dari 0 – Non-Existent sampai dengan 5-Optimized.

0 – Non-Existent. Tidak ada proses yang dapat dikenali. Perusahaan tidak menyadari adanya isu pengelolaan yang harus ditangani.

1 – Initial. Terdapat bukti bahwa perusahaan telah mengetahui adanya isu-isu TI yang harus ditangani. Tidak ada proses yang standar dan penaganan proses umumnya menggunakan pendekatan ad hoc case by case basis. Secara keseluruhan pendekatan yang digunakan dalam pengelolaan tidak terorganisir.

2 – Repeatable. Proses dilengkapi dengan prosedur yang diikuti oleh individu-individu yang memiliki kesamaan tugas. Tidak ada program pelatihan secara formal yang bertujuan untuk mengkomunikasikan prosedur-prosedur dan tanggungjawab setiap individu. Proses sangat bergantung pada keahlian individu.

3 – Defined. Proses dilengkapi dengan prosedur yang terstandarisasi, terdokumentasikan, dan dikomunikasikan melalui pelatihan secara formal. Walalupun demikian penyimpangan terhadap ketaatan pada prosedur masih sulit untuk dideteksi. Prosedur yang dibuat merupakan formalisasi dari kegiatan-kegiatan yang ada.

4 – Managed. Proses pengawasan dan penilaian ketaatan pada prosedur sudah diterapkan dan terdapat aktivitas untuk melakukan proses perbaikan ketika proses berjalan tidak efektif. Best practice sudah diterapkan dan diikuti. Otomatisasi dan peralatan yang digunakan masih terbatas.

5 – Optimised. Proses telah disaring pada tingkat praktek terbaik berdasarkan pada hasil perbaikan yang terus menerus dan pengukuran model maturity dengan pihak lain. TI digunakan dalam cara yang terpadu untuk mengotomatisasi arus kerja, sebagai alat bantu meningkatkan kualitas dan efektivitas dan membuat perusahaan mudah untuk beradaptasi.

Contoh kasus dari Delivery and Support

AUDIT SISTEM INFORMASI UNTUK MENILAI PROSES PENYAMPAIAN DAN DUKUNGAN (DELIVERY AND SUPPORT) DALAM PELAYANAN INFORMASI DENGAN MENGGUNAKAN FRAMEWORK COBIT STUDI KASUS : PT. TELEKOMUNIKASI INDONESIA, TBK. R & D CENTER

Sama halnya seperti aset organisasi lainnya, sistem informasi (SI) membutuhkan pengelolaan. Agar dapat dikelola maka SI harus dapat dikendalikan. Pengendalian memberikan jaminan yang memadai pada pihak manajemen bahwa unit SI telah berjalan sesuai dengan sasaran bisnis organisasi. Setiap proses SI yang akan dikendalikan membutuhkan pengukuran. Ukuran ini mengindikasikan kinerja SI dalam mencapai sasaran kendali dan memudahkan pihak manajemen untuk melakukan perbaikan terhadap kinerja SI.

Audit SI merupakan wujud dari pengendalian tersebut. COBIT (Control Objectives for Information and Related Technology) merupakan salah satu standar audit SI yang memadukan pandangan bisnis dan Teknologi Informasi (TI) dalam kerangka kerjanya. Sebagai model untuk organisasi SI, maka COBIT memuat kendali yang sifatnya generik.

Tesis ini mengembangkan model audit yang dapat digunakan untuk menilai proses penyampaian dan dukungan pelayanan informasi pada PT. Telekomunikasi Indonesia, Tbk. R and D Center. Penilaian tersebut dilakukan melalui kendali dan indikator kinerja yang merupakan hasil ekstraksi dari COBIT domain DS (delivery and support), disesuaikan dengan kondisi sistem informasi PT. Telekomunikasi Indonesia,Tbk R and D Center. Berdasarkan model tersebut, sebuah kuesioner akan dibentuk untuk mengidentifikasi tingkat maturity PT. Telekomunikasi Indonesia,Tbk R and D Center.

Model IT Governance dan model audit ini dimaksudkan untuk membuat pemetaan proses penyampaian dan dukungan terhadap tingkatan model maturity. Model maturity adalah alat untuk mengukur seberapa baik proses-proses sistem informasi berkembang. Dengan model maturity manajemen dapat mengukur posisi proses sistem informasi yang sekarang dan menilai hal yang diperlukan untuk meningkatkannya. Model maturity terdapat pada setiap proses sistem informasi. Alat yang digunakan untuk memetakan posisi proses sistem informasi adalah dengan menggunakan kuesioner. Kuesioner dibuat dengan menggunakan teknik pengukuran ordinal dengan skala likert.

Berdasarkan hasil pengelolaan interview dan kuesioner yang berkaitan dengan proses TI yang mengacu standar COBIT, menunjukkan pencapaian tingkatan current maturity perusahaan untuk DS1, DS3, DS5, DS7, DS11, dan DS12 mencapai tingkat 3 (defined) artinya bahwa perusahaan melaksanakan proses TI dalam mengelola sistem informasi perusahaan mencapai tarap didokumentasikan dengan baik dan dikomunikasikan kepada pemakai yang membutuhkan dan berhak atas informasi, DS2, DS4, DS8, DS9, DS10, dan DS13 mencapai tingkat 2 (repeatable) artinya perusahaan melaksanakan proses TI standar sistem informasi perusahaan digunakan berulang pada aktivitas yang sama dan unit organisasi yang berbeda dengan mengikuti pola yang teratur, sedangkan DS6 mencapai tingkat 4 (managed) artinya bahwa sistem informasi perusahaan melaksanakan proses TI dalam mengelola sistem informasi perusahaan mencapai pada pengukuran dan pemantauan terhadap kepatuhan prosedur. Dari pencapaian tersebut diukur berdasarkan maturity, CSF, KPI, dan KGI yang menunjukkan bahwa manajemen organisasi harus melakukan pengendalian secara kondusif dan komperehensif pada setiap proses TI dan fungsi sistem informasi perusahaan, karena dibutuhkan keseimbangan pengelolaan teknologi informasi dan sistem informasi perusahaan yang berorientasi pada layanan kebutuhan pemakai.

Selanjutnya untuk memperoleh gambaran yang lebih jelas mengenai keadaan perusahaan berdasarkan audit dari COBIT dibuatlah daftar analisis SWOT (Strengths Weaknesses Opportunities Threats). Dari analisis SWOT dapat diketahui kekuatan perusahaan yaitu karyawan sudah terbiasa menggunakan infrastruktur komputer dan tersedianya fasilitas internet, intranet dan kelemahan perusahaan yaitu Manajer dan pengelola IT tidak melakukan pengelolaan bersama-sama dalam mengelola sumberdaya IT dan infrastruktur IT secara berkesinambungan.

Referensi :