ISACA

IT Professional Networking and Knowledge Center

ISACA - IT Professional Networking and Knowledge Center adalah tempat pertemuan untuk profesional IT yang sama-sama memiliki memiliki kepentingan profesional. Peserta dapat mengambil informasi, bertukar pengalaman dan keahlian, dan membangun pemahaman baru melalui kolaborasi. Beragam disiplin dan kekuatan praktik masyarakat profesional global ini, menjadikannya unik dan sumber daya holistik.

VAL IT

 

Cakupan Val IT framework adalah seluruhnya tercakup dalam lingkup COBIT kerangka kerja 5. Meninjau COBIT kerangka kerja 5 dan, jika lebih dari satu petunjuk pada nilai yang diperlukan, Merujuk ke publikasi Val IT untuk rincian lebih lanjut.

Kerangka kerja pemerintahan baru, dan mendukung publikasi mengatasi governance di dalamnya, diaktifkan investasi bisnis, Val IT terdiri dari sejumlah prinsip panduan. Beberapa proses menyesuaikan  prinsip-prinsip yang lebih didefinisikan sebagai kunci dari praktik manajemen.

Kerangka kerja Val IT  didukung dengan publikasi dan alat bantu operasional dan menyediakan bimbingan untuk:

• Mendefinisikan hubungan antara IT dan usaha dan fungsi-fungsi dalam organisasi dengan tanggung jawab tata pemerintahan;
• Mengelola portofolio organisasi IT-diaktifkan investasi bisnis,
• Memaksimalkan kualitas bisnis untuk IT-diaktifkan investasi bisnis dengan penekanan pada definisi utama bidang keuangan, kuantifikasi "soft" dan penilaian menyeluruh manfaat dari ancaman kerusakan.

Val IT diasumsikan alamat, biaya, resiko dan terkait dengan hasil portofolio seimbang IT-diaktifkan investasi bisnis. IT juga memberikan kemampuan benchmarking dan memungkinkan bumn untuk bertukar pengalaman praktek-praktek terbaik untuk manajemen nilai.

RISK IT

 

Risk IT Framework for Management of IT Related Business Risks

Resiko IT memberi akhir ke akhir, pandangan menyeluruh semua resiko yang terkait dengan penggunaan dan yang sama perawatan resiko manajemen secara menyeluruh, dari nada dan budaya di bagian atas, untuk operasional.

Risiko adalah bagian dari bagian alami dari bisnis. Jika dibiarkan mode Tanpa Pengaturan (Unmanaged, ketidakpastian dapat menyebar seperti gulma. Jika dikelola secara efektif, kerugian dapat dihindari dan keuntungan yang diperoleh.

Dalam bisnis saat ini, risiko memainkan peran penting. Hampir setiap keputusan bisnis memerlukan para eksekutif dan manajer untuk menyeimbangkan risiko dan pemasukan. Mengelola risiko bisnis secara efektif sangatlah penting untuk keberhasilan enterprise.

Terlalu sering, resiko IT (resiko usaha yang berhubungan dengan menggunakan) diabaikan. Risiko bisnis lainnya, seperti resiko pasar, risiko kredit dan risiko operasional yang telah lama dimasukkan ke dalam proses pembuatan keputusan perusahaan. IT telah dipindahkan ke risiko spesialis teknis di luar ruangan dewan, meskipun jatuh di bawah payung yang sama' kategori resiko sebagai resiko usaha lain: kegagalan untuk mencapai tujuan strategis

Resiko IT adalah sebuah kerangka risiko berdasarkan sekumpulan prinsip panduan untuk manajemen resiko yang efektif. Kerangka kerja melengkapi COBIT, kerangka kerja yang komprehensif untuk tata pemerintahan dan pengendalian kendali-bisnis, solusi berbasis layanan dan.

Sementara COBIT menyediakan satu set kontrol untuk mengurangi risiko itu, Risiko IT memberikan sebuah kerangka kerja untuk perusahaan untuk mengidentifikasi, mengatur dan mengelola risiko itu. Singkatnya, COBIT menyediakan cara manajemen risiko; ia menyediakan risiko berakhir. Bumn yang telah mengadopsi (atau tidak berencana untuk mengadopsi) COBIT sebagai kerangka kerja pemerintahan mereka dapat menggunakan risiko untuk meningkatkan manajemen risiko itu.

ITAF

 

ITAF Information Technology Assurance Framework

 

ITAF's design mengakui bahwa adalah IS Audit dan Asuransi profesional berhadapan dengan persyaratan yang berbeda dan berbagai jenis penetapan jaminan dan audit, mulai dari memimpin sebuah IS audit yang berfokus untuk memberikan kontribusi untuk sebuah finansial atau audit operasional. ITAF ini berlaku untuk audit yang formal atau keterlibatan jaminan.

ITAF berlaku untuk masing-masing orang yang bertindak dalam kapasitas IS profesional dan jaminan dan audit yang bergerak dalam memberikan kepastian atas beberapa komponen-komponen sistem TI, Aplikasi dan infrastruktur. Namun, standar-standar ini, panduan dan audit adalah prosedur jaminan dan dirancang dengan cara yang mungkin juga dapat berguna, dan memberikan keuntungan untuk, audiens yang lebih luas, termasuk pengguna adalah laporan jaminan dan audit.

Sejarah dan Manfaat Audit Sistem Informasi

Sejarah singkat Audit IT
Audit IT yang pada awalnya lebih dikenal sebagai EDP Audit (Electronic Data Processing) telah mengalami perkembangan yang pesat. Perkembangan Audit IT ini didorong oleh kemajuan teknologi dalam sistem keuangan, meningkatnya kebutuhan akan kontrol IT, dan pengaruh dari komputer itu sendiri untuk menyelesaikan tugas penting. Pemanfaatan teknologi komputer ke dalam sistem keuangan telah mengubah cara kerja sistem keuangan, yaitu dalam penyimpanan data, pengambilan kembali data, dan pengendalian. Sistem keuangan pertama yang menggunakan teknologi komputer muncul pertama kali tahun 1954. Selama periode 1954 sampai dengan 1960-an profesi audit masih menggunakan komputer. Pada pertengahan 1960-an terjadi perubahan pada mesin komputer, dari mainframe menjadi komputer yang lebih kecil dan murah. Pada tahun 1968, American Institute of Certified Public Accountants (AICPA) ikut mendukung pengembangan EDP auditing. Sekitar periode ini pula para auditor bersama-sama mendirikan Electronic Data Processing Auditors Association (EDPAA). Tujuan lembaga ini adalah untuk membuat suatu tuntunan, prosedur, dan standar bagi audit EDP. Pada tahun 1977, edisi pertama Control Objectives diluncurkan. Publikasi ini kemudian dikenal sebagai Control Objectives for Information and Related Technology (CobiT). Tahun 1994, EDPAA mengubah namanya menjadi Information System Audit (ISACA). Selama periode akhir 1960-an sampai saat ini teknologi TI telah berubah dengan cepat dari mikrokomputer dan jaringan ke internet. Pada akhirnya perubahan-perubahan tersebut ikut pula menentukan perubahan pada audit IT.
Jenis Audit IT
1. Sistem dan aplikasi.
Audit yang berfungsi untuk memeriksa apakah sistem dan aplikasi sesuai dengan kebutuhan organisasi, berdayaguna, dan memiliki kontrol yang cukup baik untuk menjamin keabsahan, kehandalan, tepat waktu, dan keamanan pada input, proses, output pada semua tingkat kegiatan sistem.
2. Fasilitas pemrosesan informasi.
Audit yang berfungsi untuk memeriksa apakah fasilitas pemrosesan terkendali untuk menjamin ketepatan waktu, ketelitian, dan pemrosesan aplikasi yang efisien dalam keadaan normal dan buruk.
3. Pengembangan sistem.
Audit yang berfungsi untuk memeriksa apakah sistem yang dikembangkan mencakup kebutuhan obyektif organisasi.
4. Arsitektur perusahaan dan manajemen TI.
Audit yang berfungsi untuk memeriksa apakah manajemen TI dapat mengembangkan struktur organisasi dan prosedur yang menjamin kontrol dan lingkungan yang berdaya guna untuk pemrosesan informasi.
5. Client/Server, telekomunikasi, intranet, dan ekstranet.
Suatu audit yang berfungsi untuk memeriksa apakah kontrol-kontrol berfungsi pada client, server, dan jaringan yang menghubungkan client dan server.

Alasan dilakukannya Audit IT
Ron Webber, Dekan Fakultas Teknologi Informasi, monash University, dalam salah satu bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan, antara lain:
1.Kerugian akibat kehilangan data.
2.Kesalahan dalam pengambilan keputusan.
3.Resiko kebocoran data.
4.Penyalahgunaan komputer.
5.Kerugian akibat kesalahan proses perhitungan.
6.Tingginya nilai investasi perangkat keras dan perangkat lunak komputer.

Manfaat Audit IT
A. Manfaat pada saat Implementasi (Pre-Implementation Review)
1. Institusi dapat mengetahui apakah sistem yang telah dibuat sesuai dengan kebutuhan ataupun memenuhi acceptance criteria.
2. Mengetahui apakah pemakai telah siap menggunakan sistem tersebut.
3. Mengetahui apakah outcome sesuai dengan harapan manajemen.

B. Manfaat setelah sistem live (Post-Implementation Review)
1. Institusi mendapat masukan atas risiko-risiko yang masih yang masih ada dan saran untuk penanganannya.
2. Masukan-masukan tersebut dimasukkan dalam agenda penyempurnaan sistem, perencanaan strategis, dan anggaran pada periode berikutnya.
3. Bahan untuk perencanaan strategis dan rencana anggaran di masa mendatang.
4. Memberikan reasonable assurance bahwa sistem informasi telah sesuai dengan kebijakan atau prosedur yang telah ditetapkan.
5. Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan pemeriksaan.
6. Membantu dalam penilaian apakah initial proposed values telah terealisasi dan saran tindak lanjutnya.
Metodologi Audit IT.
Dalam praktiknya, tahapan-tahapan dalam audit IT tidak berbeda dengan audit pada umumnya, sebagai berikut :
Tahapan Perencanaan.
Sebagai suatu pendahuluan mutlak perlu dilakukan agar auditor mengenal benar obyek yang akan diperiksa sehingga menghasilkan suatu program audit yang didesain sedemikian rupa agar pelaksanaannya akan berjalan efektif dan efisien.
Mengidentifikasikan reiko dan kendali.
Untuk memastikan bahwa qualified resource sudah dimiliki, dalam hal ini aspek SDM yang berpengalaman dan juga referensi praktik-praktik terbaik.
Mengevaluasi kendali dan mengumpulkan bukti-bukti.
Melalui berbagai teknik termasuk survei, interview, observasi, dan review dokumentasi.
Mendokumentasikan.
Mengumpulkan temuan-temuan dan mengidentifikasikan dengan auditee.
Menyusun laporan.
Mencakup tujuan pemeriksaan, sifat, dan kedalaman pemeriksaan yang dilakukan.
Alasan dilakukannya Audit IT.
Ron Webber, Dekan Fakultas Teknologi Informasi, monash University, dalam salah satu bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan, antara lain:
Kerugian akibat kehilangan data.
Kesalahan dalam pengambilan keputusan.
Resiko kebocoran data.
Penyalahgunaan komputer.
Kerugian akibat kesalahan proses perhitungan.
Tingginya nilai investasi perangkat keras dan perangkat lunak komputer.
Resiko kecurangan
auditing yang diterima umum mengharuskan auditor untuk menilai resiko kesalahan pernyataan material sampai kecurangan. Ketika auditor mempertimbangkan resiko bawaan dan resiko pengendalian, auditor juga harus mempertimbangkan resiko kecurangan. Auditor biasanya mempertimbangkan resiko kesalahan pernyataan material dengan membagi dua tipe kecurangan: kecurangan laporan keuangan dan penyalahgunaan asset. Segitiga kecurangan yang menggambarkan aspek umum dari seluruh kecurangan, yaitu:
1. Kesempatan untuk melakukan kecurangan.
2. Insentive atau tekanan
3. Kemampuan untuk merasionalisasi kecurangan menjadi konsisten dengan nilai kepantasan internal.
Pada tahap awal audit, tim audit menyewa dalam sesi brainstorming untuk memastikan setiap orang dalam tim audit menyadari faktor-faktor potensi resiko yang dapat meningkatkan resiko kecurangan.
Contoh umum kecurangan laporan keuangan mengakibatkan penadapatan yang lebih besar dari sebenarnya. Pertama, kecurangan laporan keuangan biasanya mengakibatkan beberapa level manajemen mengesampingkan pengendalian internal (pengendalian resiko) yang memperbolehkan kesempatan untuk manajer akuntansi salah menyatakan pendapatan. Kedua, hal itu biasanya mengakibatkan dorongan dalam bonus atau tekanan yang signifikan dari menajer senior untuk terget pendapatan (resiko bawaan).
Sama halnya, penyalahgunakan asset menyebabkan faktor kecurangan umum yang sama. Biasanya penyahgunaan asset berhubungan dengan kesempatan yang diciptakan oleh pemisahan kemiskinan dari kewajiban dan kemiskinan atau pengendalian internal yang tidak efektif (resiko pengendalian tinggi).
Mengembangkan strategi audit pendahuluan
Auditor kadang membuat keputusan pendahuluan tentang komponen model resiko audit dan mengembangkan strategi pendahhuluan untuk mengumpulkan bukti-bukti. Audit sekarang ini, auditor mengawali audit dengan pengalaman sebelumnya pada suatu entitas. Setelah memperbaharui pengetahuan perubahan dalam entitas dan lingkungan, dan menjalankan sedikit prosedur rencana audit awal, auditor mungkin harus memulai untuk mengembangkan harapan apakah pengendalian internal melanjutkan untuk berfungsi sesuai diharapkan, dan apakah faktor lain tetap yang mengkun mengindikasikan potensi kesalahan pelaporan. Auditor kadang mengembangkan strategi audit awal untuk mengaudit asersi.
Memahami pengendalian internal
Auditor diharuskan mendapatkan pemahaman sistem entitas dari pengendalian internal di setiap audit. Auditor menggunakan pemahaman ini untuk:
1. Mengidentifikasi jenis-jenis potensi kesalahan pelaporan.
2. Mempertimbangan faktor-faktor efek resiko meterialitas kesalahan pelaporan.
3. Mendesain bawaan, pemilihan waktu dan luasnya prosedur audit lanjutan.
Pertama, auditor menggunakan pemahaman pengendalian internal untuk mengidentifikasi tipe potensi kesalahan pelaporan yang mungkin terjadi. Contohnya, meninjau sistem pendapatan gereja yang memberikan kontribusi kas yang signifikan. Bawaan penerimaan entitas menciptakan urusan diatas kelengkapan penerimaan.
Kedua, auditor biasanya paham bagaimana sistem pengendalian internal akan mencegah, atau mendeteksi dan mengoreksi, potensi kesalahan pelaporan untuk asersi tiap laporan keuangan. Sistem yang kuat dari pengendalian internal mengurangi potensial kesalahan pelaporan laporan keuangan.
Terakhir, auditor menggunakan pemanaman sistem pengendalian internal untuk mendesain prosedur audit lanjutan untuk mengumpulkan bukti. Contohnya, dokumentasi atau jejak audit elektronik adalah bagian pengendalian internal. Ini penting untuk memahami sitem ini guna mengidentifikasi bukti yang tepat untuk menguji asersi laporan keuangan.
Hubungan faktor resiko dengan potensi kesalahan pelaporan laporan keuangan
Awalnya, auditor harus menghubungkan faktor resiko yang teridentifikasi selama menalankan prosedur penaksiran resiko yang berpotensi pada kesalahan pelaporan pada laporan keuangan. Contohnya, auditor harus memahami apakah kesalahan pelaporan seperti pada penualan dan penerimaan, atau inventori, atau pada akuntasi untuk harta tetap. Auditor juga harus memahami apakah faktor, seperti kelemahan sistem pengendalian internal, apakah masa sekarang akan memberikan efek pada laporan keuangan.
Menentukan Besarnya Potensi Kesalahan
Ketika menaksi resiko bawaan dan pengendalian pada suatu audit klien, auditor harus menentukan besarnya potensi kesalahan yang dihubungkan pada faktor-faktor resiko. Contohnya dalam bisnis untuk mengimplementasi sistem pengendalian internal digunakan pertimbangan biaya dan manfaat dan dalam dunia bisnis beranggapan biaya yang dikeluarkan untuk pengendalian kesalahan kecil lebih besar dari manfaatnya.
Auditor perlu membedakan antara faktor resiko yang dihubugkan dengan kesalahan yang berpotensi dapat di agregasi kepada jumlah yang material. Contohnya sama seperti persoalan pengakuan pendapatan akan mempunyai pengaruh potensi yang besar kepada laporan keuangan daripada biaya dibayar dimuka. Selanjutnya, penilaian inventori lebih signifikan perusahaan kertas daripada hotel/bank.
Menentukan Kemungkinan Kesalahan Material
Disamping memeriksa besarnya resiko potensial, auditor juga butuh menentukan kemungkinan resiko itu akan menghasilkan kesalahan material pada laporan keuangan. Adalah tugas auditor untuk mengidentifikasi faktor-faktor resiko yang dihubungkan dengan resiko bawaan yang tinggi dimana kemungkinan kesalahan material dapat dikurangi oleh system pengendalian internal klien. Dalam membuat penaksiran ini auditor terdiri dari resiko bawaan dan resiko pengendalian. Contohnya perusahaan konstruksi mungkin memiliki resiko bawaan yang tinggi sampai kompleksitas estimasi kontrak konstruksi jangka panjang. Beberapa perusahaan konsturksi ukuran sedang juga memiliki pengendalian internal yang lemah. Hasilnya auditor membutuhkan untuk mendesain kecukupan dan kemampuan prosedur audit untuk mrndeteksi kesalahan material.
Menentukan Tingkat Signifikansi Resiko Bawaan
Dalam GAAS auditor harus menentukan mana yang diidentifikasi sebagai resiko dalam pernyataan auditor, signifikan resiko bawaan yang membutuhkan pertimbangan pemeriksaan special. Dalam fase audit selanjutnya, tanggapan dalam penaksiran audit, auditor mengharuskan untuk memberikan perhatian kepada fakta yang beresiko diidentifikasi ebagai resiko bawaaan yang signifikan.
Dalam megidentifikasi resiko bawaan signifikan auditor mempertimbangkan masalah-masalah seperti:
• Apakah resiko itu adalah resiko kecurangan. Contohnya: resiko bawaan signifikan mugkin diindikasi jika auditor merasakan 3 elemen triangle fraud terjadi.
• Apakah resiko itu berhubungan dengan kejadian ekonomi di masa sekarang, akuntansi atau perkembangan lain yang membutuhkan perhatian spesial.
• Kompleksitas transaksi yang dapat memberikan kenaikan resiko.
• Apakah resiko meliputi transaksi signifikan dihubungkan dengan bagian-bagian.
• Tingkat subjektifitas dalam pengukuran informasi keuangan dihubungkan dengan resiko.
• Apakah resiko meliputi transaksi non rutin yang signifikan transaksi non rutin adalah transaksi yang tidak biasa, dapat dilihat dari ukuran/besarnya dan kebiasaan dan jarang terjadi.
• Apakah resiko meliputi masalah keputusan.
• Resiko bisnis signifikan seringkali adalah resiko bawaan signifikan.
Waktu Pengujian Audit
Auditor kadang memilih memodifikasi waktu pengujian audit dengan memilih tes performa pengendalian atau substantif tes saat tanggal sementara. Jika pengedalian internal ditemukan menjadi efektif untuk merespon masalah hanya jika tes relean dengan resiko yang tidak dapat diterima pada kesimpulan auditor dari sampel yang mungkin berbeda dari konklusi yang didapat jika seluruh populasi menjadi subjek pada prosedur audit yang sama.
Tanggapan Pada Resiko Bawaan Yang Signifikan
Resiko bawaan yang signifikan timbul dalam kebayakan audit dan berkisar dari beresiko hasil kesalahan material dari resiko bisnis klien sampai transaksi non rutin atau transaksi komplek sampai resiko penilaian tinggi dari audit. Pertama, auditor harus mengevaluasi efektifitas dari desain pengendalian internal dihubungkan kepada seluruh resiko bawaan signifikan. Kedua, jika banana audit pada pengumpulan bukti dari tes pengendalian sampai mengurangi resiko bawaan signifikan, auditor harus menguji efektifitas operasi dari pengendalian relevan di periode audit sekarang. Ketiga, auditor harus melakukan pengujian substantif yang dapat merespon resiko bawaan signifikan.
Tujuan audit SIA adalah untuk meninjau dan mengevaluasi pengendalian internal yang melindungi sistem tersebut.

1. Perlengkapan keamanan melindungi perlengkapan komputer,  program, komunikasi, dan data dari akses yang   tidak sah, modifikasi, atau penghancuran.
2. Pengembangan dan perolehan program dilaksanakan sesuai dengan otorisasi khusus dan umum dari pihak manajemen.
3. Modifikasi program dilaksanakan dengan otorisasi dan persetujuan pihak manajemen.
4. Pemrosesan transaksi, file, laporan, dan catatan komputer lainnya telah akurat dan lengkap
5. Data sumber yang tidak akurat atau yang tidak memiliki otorisasi yang tepat diidentifikasi dan ditangani sesuai dengan kebijakan manajerial yang telah ditetapkan.
6. File data komputer telah akurat, lengkap, dan dijaga kerahasiaannya.

Sumber : http://ganigani.tumblr.com/

Pengertian dan Aturan dalam Sistem Informasi

Audit Sistem Informasi Adalah :

Audit sistem informasi adalah proses pengumpulan dan penilaian bukti – bukti untuk menentukan apakah sistem komputer dapat mengamankan aset, memelihara integritas data, dapat mendorong pencapaian tujuan organisasi secara efektif dan menggunakan sumberdaya secara efisien.

Ada beberapa aspek yang diperiksa pada audit sistem informasi:

-          Audit secara keseluruhan menyangkut : efektifitas, efisiensi, availability system, reliability, confidentiality, dan integrity, serta aspek security.

-          Selanjutnya adalah audit atas proses, modifikasi program, audit atas sumber data, dan data file.

Lalu, apa fungsi dan peranan internal auditor? Mengapa manajemen perusahaan perlu internal auditor?

MEMASTIKAN BAHWA SETIAP ELEMEN DI DALAM PERUSAHAAN TAAT KEPADA ATURAN.

1. Aturan di Dalam (Internal)

Nah fungsi internal auditor adalah memastikan bahwa setiap elemen di dalam perusahaan taat kepada SPI (sistem pengendalian intern).

Sehingga, konkretnya, tugas internal auditor ke dalam, bercabang lagi menjadi 2, yaitu:

(a) Memastikan bahwa setiap orang di dalam perusahaan bekerja sesuai dengan aturan dan prosedur internal perusahaan; dan

(b) Setiap asset di dalam perusahaan digunakan sesuai dengan aturan dan prosedur.

2. Aturan di Luar (External)

pihak eksternal mana perusahaan berhubungan, minimal:

1.      Investor 

Tugas internal auditor adalah memastikan bahwa perusahaan menjalankan hak dan kewajibannya terhadap pemegang saham dengan baik dan efektif. Tugas internal auditor di dalam perusahaan go public, juga memastikan bahwa perusahaan telah menjalankan aturan-aturan yang ditetapkan oleh Bappepam.

2.      Kreditur 

Tugas internal auditor adalah memastikan bahwa perusahaan telah melaksanakan hak dan kewajibannya terhadap pihak kreditur, sesuai dengan “term and conditions” yang dijadikan acuan di dalam kesepkatan.

3.      Ditjen Pajak (DJP) 

Tugas internal auditor adalah memastikan bahwa perusahaan telah menjalankan hak dan kewajiban perpajakannya dengan benar dan efektif sesuai dengan undang-undang perpajakan tentunya.

4.      Pemerintah Daerah dan Pusat 

Tugas internal auditor adalah memastikan bahwa perusahaan menjalankan hak dan kewajibannya terhadap pemerintah daerah (lokal) di mana perusahaan berada, maupun pusat.

5.      Badan-badan Pemerintah Tertentu 

Tugas internal auditor adalah memastikan bahwa perusahaan telah menjalankan hak dan kewajibannya dengan badan-badan tertentu tersebut.

Memastikan bahwa “PERUSAHAAN TAAT PADA ATURAN” di dalam perusahaan itu sendiri (internal) ditambah dengan eksternal, maka bisa disimpulkan bawa fungsi dan peranan internal auditor di dalam perusahaan sangat luas dan kompleks.

Tujuan Audit Sistem Informasi dapat dikelompokkan ke dalam dua aspek utama dari ketatakelolaan IT, yaitu :

a. Conformance (Kesesuaian) – Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kesesuaian, yaitu : Confidentiality (Kerahasiaan), Integrity  (Integritas),  Availability (Ketersediaan) dan Compliance(Kepatuhan).

b. Performance (Kinerja) – Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kinerja, yaitu : Effectiveness  (Efektifitas), Efficiency  (Efisiensi),  Reliability (Kehandalan).

Tujuan audit sistem informasi menurut Ron Weber tujuan audit yaitu :

    1.      Pengamanan Aset

Aset informasi suatu perusahaan seperti perangkat keras (hardware) perangkat lunak (software), sumber daya manusia, file data harus dijaga oleh suatu sistem pengendalian intern yang baik agar tidak terjadi penyalahgunaan aset.

    2.      Menjaga integritas Data

Integritas data (data integrity) adalah salah satu konsep dasar sistem
informasi. Data memiliki atribut-atribut tertentu seperti: kelengkapan, kebenaran, dan keakuratan.

    3.      Efektifitas

Sistem Efektifitas sistem informasi perusahaan memiliki peranan penting dalam proses pengambilan keputusan. Suatu sistem informasi dapat dikatakan  efektif bila sistem informasi tersebut telah sesuai dengan kebutuhan user.

    4.      Efisiensi

Sistem Efisiensi menjadi hal yang sangat penting ketika suatu komputer tidak lagi memiliki kapasitas yang memadai.

    5.      Ekonomis

Ekonomis mencerminkan kalkukasi untuk rugi ekonomi (cost/ benefit) yang lebih bersifat kuantifikasi nilai moneter (uang).

Adapun tujuan yang lain adalah :

Untuk memeriksa kecukupan dari pengendalian lingkungan, keamanan fisik, keamanan logical serta keamanan operasi sistem informasi yang dirancang untuk melindungi piranti keras, piranti lunak dan data terhadap akses yang tidak sah, kecelakaan, perubahan yang tidak dikehendaki.

Untuk memastikan bahwa sistem informasi yang dihasilkan benar-benar sesuai dengan kebutuhan sehingga bisa membantu organisasi untuk mencapai tujuan strategis.

Memperbaiki Kualitas Sistem

Sesuai rumpun standar 1300, Aktivitas Audit Internal harus menerapkan program pemastian kualitas dan peningkatan (QAIP - Quality Assurance and Improvement Program). Secara umum program tersebut dilakukan untuk memastikan beberapa hal pokok, yaitu:

1.      Kesesuaian aktivitas audit internal dengan kode etik, definisi, dan standar audit internal yang berlaku umum

2.      Efisiensi dan efektivitas aktivitas audit internal

3.      Mengidentifikasi peluang-peluang untuk perbaikan dan peningkatan

Mengukur Kinerja

Di dalam standar QAIP tersebut juga diatur bagaimana dan siapa yang melakukan penilaian terhadap Aktivitas Audit Internal. Program tersebut dilakukan melalui review internal dan review eksternal. Review internal dilakukan secara terus menerus sebagai bagian yang terintegrasi dengan proses manajemen Aktivitas Audit Internal. Selain itu review internal juga dilakukan secara berkala, baik oleh personil di dalam Aktivitas Audit Internal sendiri atau personil lainnya di dalam organisasi yang menguasai kerangka profesional praktik audit internal. Sedangkan review eksternal dilakukan sekurang-kurangnya sekali dalam lima tahun oleh pihak-pihak independen di luar organisasi dengan kompetensi dan prosedur yang diatur oleh kerangka profesional praktik audit internal. Untuk menetapkan ukuran kinerja yang efektif, Kepala Eksekutif Audit harus terlebih dahulu mengidentifikasi aspek-aspek dalam kinerja audit internal yang kritikal. Salah satu cara yang sering digunakan di antaranya adalah kerangka yang diadaptasi dari pemikiran Kaplan dan Norton, Balanced Scorecard, yang menyarankan aspek pengukuran kinerja audit internal ke dalam perspektif:

1.      Inovasi dan pembelajaran, untuk menjawab pertanyaan apakah audit internal mampu berkelanjutan dan menciptakan value.

2.      Proses Audit Internal, untuk menjawab pertanyaan pada bidang apa audit internal memiliki keahlian.

3.      Manajemen/Auditee, adaptasi perspektif pelanggan, yaitu untuk menjawab pertanyaan bagaimanacustomer memandang audit internal.

4.      Board/Komite Audit, adaptasi dari perspektif keuangan, untuk menjawab pertanyaan bagaimana audit internal memandang stakeholders.

Tes mutu sistem pemeliharaan

            Tes yang dilakukakn:

1.        Tes pemeliharaan sistem dan pengendalian akuisisi

2.        Tes teknik pngendalian virus

Uji keterandalan sistem informasi

Yang diujikan antara lain:

1.      Melakukan pengujian pengendalian. Pengumpulan bukti-bukti yang berfungsi secara efektif dan konsisten.

2.      Mengevaluasi pengujian pengendalian yang diperoleh. Setelah memperoleh hasil-hasil pengujian, auditor dapat mengevaluasi efektifitas operasional dari sistem pengendalian internal.

3.      Menilaian akhir terhadap risiko pengendalian. Berdasarkan evaluasi diatas auditor menilai tingkat risiko pengendalian tertentu untuk tiap-tiap kelompok transaksi yang utama. Tingkat risiko pengendalian akhir memberikan dasar untuk memperkirakan tingkat risiko yang terdeteksi yang akan dating, sifat, waktu, serta luasnya prosedur pengujian substantive

4.      Mengembangkan program audit final. Program audit meliputi prosedur-prosedur khusus yang dibutuhkan untuk mencapai tujuan audit. Auditor menyatakan sifat dan prosedur pengujian yang menunjukkan luas dan waktu dibutuhkan.

Sumber : http://mayarospita10100.blogspot.com/2012/10/audit-sistem-informasi.html