Audit TSI pada lingkungan Personal Information System

1. Pengertian Audit TSI

Audit teknologi informasi (Inggris: information technology (IT) audit atau information systems (IS) audit) adalah bentuk pengawasan dan pengendalian dari infrastruktur teknologi informasi secara menyeluruh.

Audit system informasi merupakan proses mengumpulkan dan mengevaluasi fakta/temuan/ evidence untuk menentukan apakah suatu sistem komputer dapat mengamankan aset, memelihara integritas data, dapat mendorong pencapaian tujuan organisasi secara efektif dan menggunakan sumberdaya secara efisien.

Audit merupakan proses yang sistematis dalam memperoleh dan mengevaluasi bukti-bukti, guna memberikan asersi dan menilai seberapa jauh tindakan ekonomi sudah sesuai dengan kriteria berlaku, dan mengkomunikasikan hasilnya kepada pihak terkait.

2. Proses Audit

Audit dalam konteks teknologi informasi adalah memeriksa apakah sistem komputer berjalan semestinya. Tujuh langkah proses audit:

1. Implementasikan sebuah strategi audit berbasis manajemen risiko serta control practice yang dapat disepakati semua pihak.
2. Tetapkan langkah-langkah audit yang rinci.
3. Gunakan fakta/bahan bukti yang cukup, handal, relevan, serta bermanfaat.
4. Buatlah laporan beserta kesimpulannya berdasarkan fakta yang dikumpulkan.
5. Telaah apakah tujuan audit tercapai.
6. Sampaikan laporan kepada pihak yang berkepentingan.
7. Pastikan bahwa organisasi mengimplementasikan managemen risiko serta control practice.

3. Teknik Audit

Teknik audit adalah cara yang dipergunakan oleh auditor untuk memperoleh bukti,   berikut adalah teknik yang umum di gunakan oleh auditor : analisis, observasi/pengamatan, permintaan informasi, evaluasi, investigasi, verifikasi, cek, uji/tes, footing, cross footing, vouching, trasir, scanning, rekonsiliasi, konfirmasi, bandingkan, inventarisasi, inspeksi.

A. Teknik-teknik audit yang dapat digunakan untuk pengujian fisik adalah :

• Observasi/pengamatan adalah peninjauan dan pengamatan atas suatu objek secara hati-hati, ilmiah, dan berkesinambungan selama kurun waktu tertentu untuk membuktikan suatu keadaan atau masalah.

• Inventarisasi/opname adalah pemeriksaan fisik dengan menghitung fisik barang, menilai kondisinya dan membandingkan dengan saldo menurut buku, kemudian mencari sebab-sebab terjadinya perbedaan apabila ada. hasil opname biasanya dituangkan dalam suatu berita acara.

• Inspeksi adalah meneliti secara langsung ketempat kejadian, yang lazim pula disebut on the spot inspection, yang dilakukan secara rinci dan teliti.

B. Teknik audit untuk bukti dokumen.

• Verifikasi Adalah pengujian secara rinci dan teliti tentang kebenaran, ketelitian perhitungan, kesahihan, pembukuan, kepemilikan, dan eksistensi suatu dokumen.

• Cek adalah menguji kebenaran atau keberadaan sesuatu, dengan teliti.

• Uji/Test uji test adalah penelitian secara mendalam terhadap hal-hal secara esensial atau penting.

• Footing Adalah menguji kebenaran penjumlahan subtotal dan total dari atas ke bawah, footing dilakukan terhadap data yang disediakan auditi, tujuan teknik footing adalah untuk menentukan apakah data atau laporan yang disediakan auditi dpat diyakini ketepatan perhitungannya.

• Vouching adalah menelusuri suatu informasi/data dalam suatu dokumen dari pencatatan menuju kepada adanya bukti pendukung, atau menelusuri mengikuti prosedur yang berlaku dari ahasil menuju awal kegiatan.

• Trasir/telusur adalah teknik audit dengan menelusuri suatu bukti transaksi/kejadian menuju ke penyajian dalam suatu dokumen.

• Scanning adalah penelaahan secara umum dan dilakukan dengan cepat tetapi teliti, untuk menemukan hal-hal yang tidak lazim atas suatu informasi. contoh scanning terhadap pengeluaran kas yang lebih besar dari Rp. 10.000.000

• Rekonsiliasi mencocokan dua data yang terpisah, mengenai hal yang sama dikerjakan oleh bagian yang berbeda.

C. Teknik audit untuk bukti analisis.

• Analisis memecah atau mengurai data informasi ke dalam unsur-unsur yang lebih kecil atau bagian-bagian, sehingga dapat diketahui pola hubungan antar unsur atau unsur penting tersembunyi.

• Evaluasi merupakan cara memperoleh suatu kesimpulan dengan mencari pola hubungan atau dengan menghubungkan atau merakit berbagai informasi yang telah diperoleh baik bukti intern maupun ekstern.

• Investigasi adalah suatu upaya untuk mengupas secara intensif suatu permasalahan melalui penjabaran, penguraian, atau penelitian secara mendalam. tujuan yaitu memastikan apakah indikasi yang diperoleh dari teknik audit yang lainnya dilakukanmemang benar terjadi.

• Pembandingan yaitu membandingkan data dari satu unit kerja dengan unit kerja lain, atas hal sama dan periode yang sama atau hal yang sama dengan periode yang berbeda kemudian ditarik kesimpulan.

D. Teknik audit untuk bukti keterangan

• Konfirmasi : adalah memperoleh bukti sebagai kepastian bagi auditor, dengan cara mendapatkan mendapatkan informasi yang sah dari pihak luar auditi. konfirmasi terdapat konfirmasi positif yaitu konfirmasi yang harus dijawab secara tertulis oleh pihak luar dan konfirmasi negatifmerupakan konfirmasi yang meminta jawaban tertulis bila data yang dikonfirmasi berbeda.

• Permintaan informasi : Permintaan informasi yang dilakukan dengan tujuan menggali informasi tertentu berbagai pihak yang berkopeten. hal-hal yang perlu diperhatikan yaitu sumber informasi.

4. Regulasi Audit

Dengan dominannya  penggunaan komputer dalam membantu kegiatan operasional diberbagai perusahaan, maka diperlukan standar-standar kontrol sebagai alat pengendali internal untuk menjamin bahwa data elektronik yang diproses adalah benar. Beberapa jenis standar kontrol yaitu:

a) COSO (Comitte Of Sponsoring Organizationof the treadway commission’s)

Yaitu dibentuk pada tahun 1985 dengan tujuan untuk menyatukan pandangan dalam komunitas bisnis berkaitan dengan isu-isu seputar pelaporan keuangan yang mengandung fraud (penggelapan).Tahun 1992, COSO menyusun dan Menerbitkan Internal Control Integrated Framework yang berisi rumusan definisi pengendalian intern, pedoman penilaian, serta perbaikan terhadap sistem pengendalian intern.Tahun 2004, COSO mengembangkan Internal Control Integrated Framework dengan menambah cakupan tentang manajemen  dan strategi resiko yang disebut ERM (Enterprise Risk Manajement).

Pencapaian tujuan pengendalian intern yang didefenisikan COSO:    

1.      Efektifitas dan efisiensi aktivitas operasi

2.      Kehandalan pelaporan keuangan

3.      Ketaatan terhadap hukum dan peraturan yang berlaku

4.      Pengamanan aset entitas.

b) COBIT (Control Objectives for Information and Related Technology)

Yaitu alat pengendalian untuk informasi dan tekhnology terkait dan merupakan standar terbuka yang dikembangkan oleh ISACA melalui ITGI (Information and Technology Governance Institute)pada tahun 1992. Tujuan dari COBIT yaitu untuk mengembangkan , melakukan riset dan mempublikasikan suatu standar teknologi informasi yang diterima umum dan selalu up to date untuk digunakan dalam kegiatan bisnis sehari-hari.

c) SARBOX (Sarbanes-Oxley Act)

Yaitu merupakan peraturan yang ditandatangani Presiden George W.Bush tanggal 30 juli 2012 untuk mereformasi dunia pasarmodal Amerika Serikat. Tujuan SARBOX yaitu:

1.      Meningkatkan akuntabilitas manajemen dengan memastikan bahwa manajemen akuntan dan pengacara memiliki tanggung jawab atas informasi keuangan yang menjadi tanggung jawab mereka.

2.      Meningkatkan pengungkapan dengan berusaha untuk menyatakan bahwa beberapa kejadian kunci dan transaksi luar biasa tidak mendapatkan pengawasan hanya karena tidak disyaratkan untuk diungkap di publik.

3.      Meningkatkan pengawasan rutin yang lebih intensif oleh SEC.

4.      Meningkatkan akuntabilitas akuntan.

d) ISO 17799

Yaitu standar untuk sistem manajemen keamanan informasi meliputi dokomen kebijakan keamanan informasi, alokasi keamanan informasi tanggung-jawab,menyediakan semua para pemakai dengan pendidikan dan pelatihan didalam keamanan informasi, mengembangkan suatu sistem untuk pelaporan peristiwa keamanan, memperkenalkan virus kendali, mengembangkan suatu rencana kesinambungan bisnis, mengendalikan pengkopian perangkat lunak kepemilikan, surat pengantar arsip organisatoris, mengikuti kebutuhan perlindungan data, dan menetapkan prosedure untuk mentaati kebijakan keamanan.

e) BASEL II

BASEL II dibentuk yaitu sebagai penerapan kerangka pengukuran bagi risiko kredit, sistem ini mensyaratkan Bank-bank  untuk memisahkan eksposurnya ke dalam kelas yang lebih luas, yang menggambarkan kesamaan tipe debitur(hutang).

5. Standar dan Kerangka Kerja Audit

Standar Audit SI tidak lepas dari standar professional seorang auditor SI. Standar professional adalah ukuran mutu pelaksanaan kegiatan profesi yang menjadi pedoman bagi para anggota profesi dalam menjalankan tanggungjawab profesinya. 

Standar profesional adalah batasan kemampuan (knowledge, technical skill and professional attitude) minimal yang harus dikuasai oleh seseorang individu untuk dapat melakukan kegiatan profesionalnya pada masyarakat secara mandiri yang aturan-aturannya dibuat oleh organisasi profesi yang bersangkutan. Beberapa diantaranya adalah:

• ISACA : IT Standards, Guidelines, and Tools and Techniques for Audit and Assurance and Control Professionals

• IIA : International Professional Practices Framework / IPPF

• IASII : Standar Audit Sistem Informasi

• BI : Standar Pelaksanaan Fungsi Audit Intern Bank / SPFAIB

• BPPT : Framework, Kode Etik & Standar, Pedoman Umum Audit Teknologi

Standar dan kerangka kerja menurut ISACA:

 S1 Audit Charter

o Tujuan, tanggung jawab, kewenangan dan akuntabilitas dari fungsi audit sistem informasi atau penilaian audit sistem informasi harus didokumentasikan dengan pantas dalam sebuah audit charter atau perjanjian tertulis.
o Audit charter atau perjanjian tertulis harus mendapat persetujuan dan pengabsahan pada tingkatan yang tepat dalam organisasi.

 S2 Independence

o Professional Independence
o Dalam semua permasalahan yang berhubungan dengan audit, auditor sistem informasi harus independen terhadap auditee baik dalam sikap maupun penampilan.
o Organisational Independence
o Fungsi audit sistem informasi harus independen tehadap area atau aktivitas yang sedang diperiksa agar tujuan penilaian audit terselesaikan.

 S3 Professional Ethics and Standards

o Auditor  sistem informasi harus tunduk pada kode etika profesi dari ISACA dalam melakukan tugas audit.
o Auditor sistem informasi harus patuh pada penyelenggarakan profesi, termasuk observasi terhadap standar audit profesional yang dipakai dalam melakukan tugas audit.

 S4 Professional Competence

o Auditor sistem informasi harus seorang profesional yang kompeten, memiliki keterampilan dan pengetahuan untuk melakukan tugas audit.
o Auditor sistem informasi harus mempertahankan kompetensi profesionalnya secara terus menerus dengan melanjutkan edukasi dan training.

 S5 Planning

o Auditor sistem informasi harus merencanakan peliputan audit sistem informasi sampai pada tujuan audit dan tunduk pada standar audit profesional dan hukum yang berlaku.
o Audit sistem informasi harus membangun dan mendokumentasikan resiko yang didasarkan pada pendekatan audit.

 S6 Performance of Audit Work

o Pengawasan-staff audit sistem informasi harus diawasi untuk memberikan keyakinan yang masuk akal bahwa tujuan audit telah sesuai dan standar audit profesional yang ada.
o Bukti-Selama berjalannya audit, auditor sistem informasi harus mendapatkan bukti yang cukup, layak dan relevan untuk mencapai tujuan audit. Temuan audit dan kesimpulan didukung oleh analisis yang tepat dan interprestasi terhadap bukti-bukti yang ada.
o Dokumentasi-Proses audit harus didokumentasikan, mencakup pelaksanaan kerja audit dan bukti audit untuk mendukung temuan dan kesimpulan auditor sistem informasi.

 S7 Reporting

o Auditor sistem informasi harus menyajikan laporan, dalam pola yang tepat, atas penyelesaian audit.
o Laporan audit harus berisikan ruang lingkup, tujuan, periode peliputan, waktu dan tingkatan kerja audit yang dilaksanakan.
o Laporan audit harus berisikan temuan, kesimpulan dan rekomendasikan serta berbagai pesan, kualifikasi atau batasan dalam ruang lingkup bahwa auditor sistem informasi bertanggung jawab terhadap audit.
o Auditor sistem informasi harus memiliki bukti yang cukup dan tepat untuk mendukung hasil pelaporan.



6. Manajemen Resiko
Risiko merupakan sesuatu yang tidak ada dalam rencana proyek namun mungkin terjadi dan menyebabkan waktu pelaksanaan proyek menjadi terlambat terlambat, biaya membengkak membengkak dan kompromi terhadap kualitas/kinerja. Risiko merupakan merupakan ancaman-ancaman dalam proyek.
Manajemen Risiko adalah suatu pendekatan terstruktur/metodologi dalam mengelola ketidakpastian yang berkaitan dengan ancaman; suatu rangkaian aktivitas manusia termasuk: Penilaian resiko, pengembangan strategi untuk mengelolanya dan mitigasi resiko dengan menggunakan pemberdayaan/pengelolaan sumberdaya. Strategi yang dapat diambil antara lain adalah memindahkan resiko kepada pihak lain, menghindari resiko, mengurangi efek negatif resiko, dan menampung sebagian atau semua konsekuensi resiko tertentu.

Empat Tahap Manajemen Manajemen Risiko
1.      Identifikasi

• Antisipasi risiko
• Membuat daftar risiko, pemicunya dan gejalanya

2.      Analisis

• Mengevaluasi kemungkinan dampak yang ditimbulkan
• Kualitatif vs. Kuantitatif

3.      Merespon Risiko Pengembangan strategi mitigasi risiko

• Mengurangi Mengurangi dampak yang ditimbulkan ditimbulkan risikko risikko
• Mebuat contigency plan / rencana darurat

4.      Mengendalikan Risiko

• Memonitor
• Melakukan update daftar dan strategi
• Menjalankan contingency plan
• Menghadapinya

Cara Melakukan Manajemen Resiko Dengan Efektif

Untuk melakukan manajemen risiko kita perlu melelui beberapa proses. Seperti yang dikutip dari id.wikipedia.org, COSO atau  Committee of Sponsoring Organizations of the Treadway Commission menyebutkan ada delapan kerangka yang berkaitan dalam Manajemen Risiko Korporasi (MRK) yaitu

• Lingkungan internal (internal environment)
• Penentuan sasaran (objective setting)
• Identifikasi peristiwa (event identification)
• Penilaian risiko (risk assessment)
• Tanggapan risiko (risk response)
• Aktivitas pengendalian (control activities)
• Informasi dan komunikasi (information and communication)
• Pemantauan (monitoring)

Perencaaan Audit Teknologi Sistem Informasi

Pada tahap perencanaan TSI yang akan dilakukan adalah menentukan ruang lingkup (scope), objek yang akan diaudit, standard evaluasi dari hasil audit dan komunikasi dengan managen pada organisasi yang bersangkutan dengan menganalisa visi, misi, sasaran dan tujuan objek yang diteliti serta strategi, kebijakan-kebijakan yang terkait dengan pengolahan investigasi.Jika proses perencanaan dilaksanakan secara efektif, maka tim audit akan sukses. Sebaliknya, jika dilakukan dengan buruk dan pekerjaan dimulai tanpa rencana dan tanpa jelas arah, upaya tim audit bisa berakibat pada kegagalan. Tujuan dari proses perencanaan adalah untuk menentukan tujuan dan ruang lingkup audit. Anda perlu menentukan apa yang ingin anda capai dengan ulasannya. Proses perencanaan ini membutuhkan penelitian yang cermat, pemikiran, dan pertimbangan untuk setiap audit. 

Perencanaan meliputi beberapa aktivitas utama, yaitu:

• Penetapan ruang lingkup dan tujuan audit

• Pengorganisasian tim audit

• Pemahaman mengenai operasi bisnis klien

• Kaji ulang hasil audit sebelumnya

• Penyiapan program audit

Perencanaan sebelum menjalankan proses audit dengan metodologi audit yaitu:

• Audit subject
• Audit objective
• Audit Scope
• Preaudit planning
• Audit procedures and Steps for data gathering
• Evaluasi hasil pengujian dan pemeriksaan
• Audit report preparation

Berikut struktur isi laporan audit secara umumnya (tidak baku):

     a)      Pendahuluan

     b)      Kesimpulan umum auditor

     c)      Hasil audit

     d)     Rekomendasi

     e)      Exit interview

Teknik Audit

T

Ada beberapa pendekatan yang dapat dipilih oleh seorang auditor apabila menggunakan teknik audit berbantuan komputer, yaitu melakukan pengujian aplikasi atau melakukan pengujian substantif.

Beberapa pendekatan yang dapat dilakukan apabila auditor tersebut memilih melakukan pengujianaplikasiadalah:

1.TestData
Metode ini menggunakan data masukan yang telah dipersiapkan auditor dan menguji data tersebut dengan salinan (copy) dari perangkat lunak aplikasi auditan. Hasil pemrosesan data tersebut akan dibandingkan dengan ekspektasi auditor. Jika ada hasil yang tidak sesuai, mungkin ini suatu indikasi penyimpangan logika atau mekanisme pengendalian.

2.IntegratedTestFacility(ITF)
Adalah suatu pendekatan teknik terotomatisasi yang memungkinkan auditor menguji alur logika dan kendali suatu aplikasi pada saat operasi normal berlangsung.

3.ParallelSimulation(PS)
Pendekatan ini mengharuskan auditor untuk membuat suatu program yang menyimulasikan fungsi utama tertentu dari aplikasi yang sedang diuji.

Sedangkan untuk melakukan pengujian substantif (misalnya detail transaksi atau saldo perkiraan),makaauditordapatmemilihteknik:

1.EmbaddedAuditModule(EAM)
Merupakan suatu teknik dimana satu atau lebih modul program tertentu dilekatkan di suatu aplikasi untuk mencatat secara tersendiri serangkaian transaksi yang telah ditentukan ke dalamfileyangakandibacaolehauditor

2.GeneralizedAuditSoftware(GAS)
Adalah pendekatan yang menggunakan suatu perangkat lunak tertentu yang dimanfaatkan untuk menyeleksi, mengakses, mengorganisasikan data untuk kepentingan pengujian substantif. Pendekatan ini memungkinkan auditor untuk mengakses dan mengambil berbagai file data ke dalam computer untuk kemudian melakukan berbagai pengujian yang diperlukan. Pendekatan ini merupakan teknik yang paling populer karena relatif lebih mudah karena tidak diperlukan kemampuan teknik komputasi yang cukup mendalam.

Direferensikan sebagai bagian dari setiap proses perencanaan audit:

1.      Melepaskan dari manajer audit

2.      Survei pendahuluan

3.      Permintaan pelanggan

4.      Daftar periksa standar

5.      Penelitian

6.      Penilaian

7.      Penjadwalan

8.      Memulai rapat

a.      Terlepas dari manajer audit

Jika audit termasuk dalam rencana audit, pasti ada beberapa alasan. Manajer audit harus menyampaikan kepada tim audit informasi tersebut yang menyebabkan audit dijadwalkan. Ini mungkin termasuk komentar dari it manajemen dan / atau kekhawatiran yang diketahui di daerah tersebut. Faktor-faktor yang menyebabkan terjadinya audit dijadwalkan perlu dicakup dalam rencana audit. Selain itu, manajer audit harus dapat memberikan tim audit kontak kunci untuk audit tersebut.

b.      Survei awal

Tim audit harus meluangkan waktu sebelum setiap audit melakukan survei pendahuluan di wilayah yang akan diaudit untuk memahami apa auditnya akan memerlukan. Hal ini kemungkinan akan mencakup wawancara dengan pelanggan audit untuk memahami fungsi sistem atau proses yang sedang ditinjau, serta review dari setiap yang bersangkutan dokumentasi. Tujuannya adalah untuk mendapatkan latar belakang dan pemahaman dasar area yang akan ditinjau. Hal ini diperlukan untuk melakukan penilaian awal terhadap risiko di daerah.

c.       Permintaan pelanggan

Tim audit seharusnya tanyakan pada pelanggan area apa yang mereka pikir harus ditinjau dan area mana yang menjadi perhatian. Masukan ini harus sesuai dengan hasil penilaian risiko obyektif auditor untuk menentukan ruang lingkup audit. Tentu, terkadang auditor tidak akan menggunakan masukan pelanggan.

d.      Daftar standar

Daftar periksa audit standar untuk area yang sedang diperiksa adalah sering tersedia daftar periksa di bagian ii buku ini dapat menjadi awal yang baik titik untuk banyak audit selain itu, departemen audit mungkin memiliki daftar periksa sendiri untuk sistem dan proses standar di perusahaan. Memiliki standar, repeatable audit daftar periksa untuk area umum dapat memberikan awal yang berguna bagi banyak audit. Mereka daftar periksa, bagaimanapun, harus dievaluasi dan diubah seperlunya untuk setiap audit tertentu.memiliki daftar periksa standar tidak menghilangkan persyaratan auditor untuk melakukan penilaian risiko sebelum setiap audit.

e.      Penelitian

Akhirnya, internet, buku, dan materi pelatihan harus dirujuk dan digunakan sesuai untuk setiap audit untuk mendapatkan informasi tambahan tentang area tersebut diaudit

f.        Penilaian

Auditor harus melakukan penilaian terhadap risiko di wilayah yang ditinjau untuk mengidentifikasi langkah-langkah yang harus dilakukan selama audit.auditor perlu pikirkanlah melalui risiko terhadap sistem atau fungsi teknologi yang dimaksud. Hasil dari latihan sebelumnya harus menjadi penentuan lingkup dari audit, termasuk menentukan dan mengkomunikasikan apa yang berada di luar jangkauan dan menyusun daftar langkah yang harus dilakukan untuk mencapai cakupan itu. Langkah-langkah ini seharusnya didokumentasikan dengan detail yang cukup untuk memungkinkan auditor melakukan audit pahami risikonya ditangani setiap langkahnya. Penting juga agar anda mendokumentasikan langkah-langkah audit sehingga mereka berulang dan mudah digunakan oleh orang berikutnya yang melakukan audit serupa, sehingga berfungsi sebagai alat pelatihan dan memungkinkan dilakukannya pengulangan ulang yang lebih efisien audit.

Tipe-tipe resiko terdiri dari:
1. Resiko pengembangan
2. Resiko Kesalahan

3. Resiko Terhentinya Bisnis

4. Resiko Pengungkapan Informasi

5. Resiko Penggelapan

Proses penilaian resiko dapat dilakukan melalui tahap-tahap berikut ini:

a. Identifikasi objek (asset) yang akan dilindungi

b. Penentuan ancaman yang dihadapi

c. Menetapkan peluang kejadian

d. Menghitung besarnya dampak dan kelemahan sistem

e. Menilai alat-alat pengamanan yang ada

f. Rekomendasi dan implementasi

g.      Penjadwalan

Elemen penting dari proses perencanaan adalah penjadwalan audit (yaitu, menentukan saat audit akan berlangsung). Daripada mendikte kapan audit akan terjadi berdasarkan semata-mata pada kenyamanan tim audit, penjadwalan audit harus dilakukan bekerja sama dengan nasabah audit. Ini akan memungkinkan tim audit untuk melakukannya pertimbangkan absensi personil dan waktu aktivitas tinggi, di mana tim audit mungkin tidak bisa mendapatkan waktu dan perhatian yang tepat dari organisasi mereka.

h.      Memulai rapat

Menjelang akhir proses perencanaan, memulai harus dilakukan dengan audit pelanggan sehingga anda dapat mengkomunikasikan apa yang masuk dan keluar dari ruang lingkup proyek audit dan juga menerima masukan terakhir mereka.

source :

http://mirzahtale.blogspot.co.id/2017/10/audit-teknologi-sistem-informasi.html?view=sidebar

http://novitasi.blogspot.co.id/2017/10/audit-tsi.html

http://blog.pasca.gunadarma.ac.id/2012/07/25/teknologi-sistem-informasi-tsi/

Audit Teknologi SIstem Informasi

Audit merupakan sebuah kegiatan yang melakukan pemeriksaan untuk menilai dan mengevaluasi sebuah aktivitas atau objek seperti implementasi pengendalian internal pada sistem informasi akuntansi yang pekerjaannya ditentukan oleh manajemen atau proses fungsi akuntansi yang membutuhkan kemajuan. Proses auditing telah menjadi sangat rapi di Amerika Serikat, khususnya pada bidang profesional accounting association. Akan tetapi, baik profesi audit internal maupun eksternal harus secara terus menerus bekerja keras untuk meningkatkan dan memperluas teknik, karena profesi tersebut akan menjadi tidak mampu untuk mengatasi perkembangan dalam teknologi informasi dan adanya tuntutan yang semakin meningkat oleh para pemakai informasi.

 Secara garis besar perlunya pelaksanaan audit dalam sebuah perusahaan yang telah mempunyai keahlian dalam bidang teknologi informasi yaitu antara lain: Kerugian akibat kehilangan data, kerugian akibat kesalahan pemrosesan komputer, pengambilan keputusan yang salah akibat informasi yang salah, kerugian karena penyalahgunaan komputer (Computer Abused), Nilai hardware, software dan personil sistem informasi, dan terakhir pemeliharaan kerahasiaan informasi.

Perencanaan (Planning)

Tahap perencanaan ini yang akan dilakukan adalah menentukan ruang lingkup (scope), objek yang akan diaudit, standard evaluasi dari hasil audit dan komunikasi dengan managen pada organisasi yang bersangkutan dengan menganalisa visi, misi, sasaran dan tujuan objek yang diteliti serta strategi, kebijakan-kebijakan yang terkait dengan pengolahan investigasi.

Perencanaan meliputi beberapa aktivitas utama, yaitu:

–      Penetapan ruang lingkup dan tujuan audit

–      Pengorganisasian tim audit

–      Pemahaman mengenai operasi bisnis klien

–      Kaji ulang hasil audit sebelumnya

–      Penyiapan program audit

Pemeriksaan Lapangan (Field Work)

Tahap ini yang akan dilakukan adalah pengumpulan informasi yang dilakukan dengan cara mengumpulkan data dengan pihak-pihak yang terkait. Hal ini dapat dilakukan dengan menerapan berbagai metode pengumpulan data yaitu: wawancara, quesioner ataupun melakukan survey ke lokasi penelitian.

Pelaporan (Reporting)

Setelah proses pengumpulan data, maka akan didapat data yang akan diproses untuk dihitung berdasarkan perhitungan maturity level. Pada tahap ini yang akan dilakukan memberikan informasi berupa hasil-hasil dari audit. Perhitungan maturity level dilakukan mengacu pada hasil wawancara, survey dan rekapitulasi hasil penyebaran quesioner. Berdasarkan hasil maturity level yang mencerminkan kinerja saat ini (current maturity level) dan kinerja standard atau ideal yang diharapkan akan menjadi acuan untuk selanjutnya dilakukan analisis kesenjangan (gap). Hal tersebut dimaksudkan untuk mengetahui kesenjangan (gap) serta mengetahui apa yang menyebabkan adanya gap tersebut.

Tindak Lanjut (Follow Up)

Tahap ini yang dilakukan adalah memberikan laporan hasil audit berupa rekomendasi tindakan perbaikan kepada pihak managemen objek yang diteliti, untuk selanjutnya wewenang perbaikan menjadi tanggung jawab managemen objek yang diteliti apakah akan diterapkan atau hanya menjadi acuhan untuk perbaikan dimasa yang akan datang. Menurut Weber (2001), tahapan-tahapan audit sistem informasi terdiri dari:

Investigasi dan Penyelidikan Awal

Merupakan tahapan pertama dalam audit bagi auditor eksternal yang berarti menyelidiki dari awal atau melanjutkan yang ada unutk menentukan apakah pemeriksaan tersebut dapat diterima, penempatan staf audit yang sesuai melaukan pengecekan informasi latar belakang klien, mengerti kewajiban utama dari klien dan mengidentifikasi area resiko.

Pengujian atas Control (Tests of Controls)

Tahap ini dimulai dengan pemfokusan pada pengendalian menegemen, apabila hasil yang ada tidak sesuai dengan harapan, maka pengendalian manegemen tidak berjalan sebagai mana mestinya. Apabila auditor menemukan kesalahan yang serius pada pengendalian manegemen, maka mereka akan mengemukakan opini atau mengambil keputusan dalam pengujian transaksi dan saldo untuk hasilnya.

Pengujian atas Transaksi (Tests of Transaction)

Pengujian yang termasuk adalah pengecekan jurnal yang masuk dari dokumen utama, menguji nilai kekayaan dan ketepatan komputasi. Komputer sangat berguna dalam pengujian ini dan auditor dapat mengunakan software audit yang umum untuk mengecek apakah pembayaran bunya dari bank telak dikalkulasi secara tepat.

Pengujian atas Keseimbangan atau Hasil Keseluruhan (Tests of Balances or Overall Results)

Auditor melakukan pengujian ini agar bukti penting dalam penilaian akhir kehilangan atau pencatatan yang keliru yang menyebabkan fungsi sistem informasi gagal dalam memelihara data secara keseluruhan dan mencapai sistem yang efekti dan efesien. Dengan kata lain, dalam tahap ini mementingkan pengamatan asset dan integritas data yang obyektif.

Penyelesaian Audit (Completion of The Audit)

Tahap terakhir ini, auditor eksternal melakukan beberapa pengujian tambahan untuk mengoleksi bukti untuk ditutup dengan memberikan pernyataan pendapat.

PROSES AUDIT

Audit dalam konteks teknologi informasi seperti dijelaskan di atas adalah memeriksa apakah sistem komputer berjalan semestinya yang mempunyai tujuh langkah proses audit, yaitu:

1.         Implementasikan sebuah strategi audit berbasis manajemen risiko serta control practice yang dapat disepakati semua pihak.

2.         Tetapkan langkah-langkah audit yang rinci.

3.         Gunakan fakta/bahan bukti yang cukup, handal, relevan, serta bermanfaat.

4.         Buatlah laporan beserta kesimpulannya berdasarkan fakta yang dikumpulkan.

5.         Telaah apakah tujuan audit tercapai.

6.         Sampaikan laporan kepada pihak yang berkepentingan.

7.         Pastikan bahwa organisasi mengimplementasikan managemen risiko serta control practice.

Sebelum menjalankan proses audit, tentu saja proses audit harus direncanakan terlebih dahulu. Audit planning (perencanaan audit) harus secara jelas menerangkan tujuan audit, kewenangan auditor, adanya persetujuan managemen tinggi, dan metode audit. Metodologi audit:

1.         Audit subject. Menentukan apa yang akan diaudit.

2.         Audit objective. Menentukan tujuan dari audit.

3.         Audit Scope. Menentukan sistem, fungsi, dan bagian dari organisasi yang secara spesifik/khusus akan diaudit.

4.         Preaudit Planning. Mengidentifikasi sumber daya dan SDM yang dibutuhkan, menentukan dokumen-dokumen apa yang diperlukan untuk menunjang audit, menentukan lokasi audit.

5.         Audit procedures and steps for data gathering. Menentukan cara melakukan audit untuk memeriksa dan menguji kendali, menentukan siapa yang akan diwawancara.

6.         Evaluasi hasil pengujian dan pemeriksaan. Spesifik pada tiap organisasi.

7.         Prosedur komunikasi dengan pihak manajemen. Spesifik pada tiap organisasi.

8.         Audit Report Preparation. Menentukan bagaimana cara memeriksa hasil audit, yaitu evaluasi kesahihan dari dokumen-dokumen, prosedur, dan kebijakan dari organisasi yang diaudit.

Struktur dan isi laporan audit tidak baku, tapi umumnya terdiri atas:

·            Pendahuluan. Tujuan, ruang lingkup, lamanya audit, prosedur audit.

·            Kesimpulan umum dari auditor.

·            Hasil audit. Apa yang ditemukan dalam audit, apakah prosedur dan kontrol layak atau tidak

·            Rekomendasi. Tanggapan dari manajemen (bila perlu).

·            Exit interview. Interview terakhir antara auditor dengan pihak manajemen untuk membicarakan temuan-temuan dan rekomendasi tindak lanjut. Sekaligus meyakinkan tim manajemen bahwa hasil audit sahih

TEKNIK AUDIT

Teknik audit adalah metode yang digunakan auditor untuk mengumpulkan bukti audit. Menurut Arens dalam bukunya yang berjudul “Auditing and Assurance Services, 9^th Edition”, teknik audit ada 7, yaitu:

1.         Pengujian Fisik (Physical Examination)

2.         Konfirmasi (Confirmation)

3.         Dokumentasi (Documentation)

4.         Prosedur Analitis (Analytical Procedures)

5.         Wawancara Kepada Klien (Inquiries of the Client)

6.         Hitung Uji (Reperfomance)

7.         Observasi (Observation)

Saat ini, hampir semua perusahaan besar menggunakan media elektronik untuk catatan akuntansinya. Apabila catatan klien menggunakan media elektronik, auditor dapat menggunakan teknik audit berbantuan komputer untuk membantu dalam pelaksanaan beberapa prosedur auditnya. Contohnya, auditor dapat menggunakan software untuk melaksanakan perhitungan dan perbandingan yang digunakan pada prosedur analitis, memilih sampel piutang untuk konfirmasi, melaksanakan penghitungan kembali berbagai macam perhitungan, dan lain-lain.

Sedangkan dalam melakukan audit internal untuk mengumpulkan fakta tentang penerapan sistem manajemen, auditor harus melakukan 3 teknik audit berikut yang dapat membantu mengumpilkan bukti-bukti penerapan.

1.         Describe (Menjelaskan)

2.         Demonstration (Memperagakan)

3.         Documentation (Dokumentasi)

Auditor dapat menggunakan 3 teknik audit internal di atas untuk memastikan sistem manajemen telah diterapkan secara efektif dan telah sesuai dengan perencanaan yang ditetapkan manajemen.

REGULASI AUDIT

Teori regulasi disampaikan oleh Stigler (1971) yang mengatakan bahwa aktivitas seputar peraturan menggambarkan hubungan di antara kekuatan politik dari kelompok berkepentingan (eksekutif/industri) sebagai sisi permintaan (demand) dan legislatif sebagai supply. Teori ini berpendapat bahwa dibutuhkan aturan-aturan atau ketentuan dalam akuntansi. Dibutuhkan peranan pemerintah untuk mengatur ketentuan terhadap apa yang harus dilakukan perusahaan untuk menentukan informasi. Ketentuan diperlukan agar pemakai maupun penyaji mendapatkan informasi yang sama dan seimbang.

Menurut Scott (2009) terdapat 2 teori regulasi yaitu public interest theory dan interest group theory. Public interest theory menjelaskan bahwa regulasi harus dapat memaksimalkan kesejahteraan sosial dan interest group theory menjelaskan bahwa regulasi adalah hasil lobi dari beberapa individu atau kelompok yang mempertahankan dan menyampaikan kepentingan mereka kepada pemerintah.

Teori regulasi menunjukkan hasil dari tuntutan publik atas koreksi terhadap kegagalan pasar. Dalam teori ini kewenangan pusat termasuk badan pengawas regulator diasumsikan memiliki kepentingan di masyarakat. Peraturan yang dibuat pemerintah dianggap sebagai trade off antara biaya regulasi dan manfaat sosial dalam bentuk operasi improved pasar.

Pemerintah di banyak negara telah membentuk badan pembuat peraturan yang bekerja secara independen dan berusaha untuk menghasilkan standar akuntansi dengan kualitas tinggi yang akan memenuhi kebutuhan para pengguna laporan keuangan dalam membuat suatu keputusan. Beberapa pihak yang berperan aktif dalam laporan keuangan adalah pembuat laporan keuangan dan auditor eksternal serta pembuat peraturan seperti pemerintah dan departemennya (di Indonesia ada Dewan Standar Akuntansi Keuangan yang tergabung dalam Ikatan Akuntan Indonesia dan Bapepam).

Laporan keuangan yang dibuat oleh suatu perusahaan akan dipengaruhi oleh hukum, politik, sosial dan ekonomi dimana laporan keuangan tersebut dibuat. Terdapat banyak perbedaan pada kerangka peraturan akuntansi keuangan di masing-masing negara, tetapi ada beberapa unsur yang sama yaitu:

1.         Persyaratan Wajib

2.         Tata Pengelolaan Perusahaan

3.         Auditor dan Pengawasan

4.         Badan Pelaksana Independen

STANDAR DAN KERANGKA KERJA AUDIT

Kerangka kerja atau kertas kerja adalah catatan-catatan yang diselenggrakan auditor mengenai prosedur audit yang ditempuhnya, pengujian yang dilakukannnya, informasi yang diperolehnya, dan kesimpulan yang dibuatnya berkenaan dengan pelaksanaan audit.

Menurut SA 339. par 04 dikatakan bahwa kertas kerja harus disesuaikan dengan keadaan yang dihadapi dan kebutuhan auditor dalam melaksanakan suatu penugasan audit. Faktor yang mempengaruhi pertimbangan auditor mengenai kuantitas, bentuk, dan isi kertas kerja pada waktu melaksanakan penugasan audit, antara lain:

1.         Sifat penugasan auditor

2.         Sifat laporan audit

3.         Sifat laporan keuangan, daftar, dan keterangan yang perlu bagi auditor dalam pembuatan laporan

4.         Sifat dan kondisi catatan klien

5.         Tingkat risiko pengendalian yang ditetapkan oleh auditor

6.         Kebutuhan dalam keadaan tertentu untuk mengadakan supervisi dan review atas pekerjaan yang dilakukan para asisten

Dokumentasi auditor antara lain berisi:

·           Semua jawaban terhadap risiko salah saji pada level laporan keuangan

·           Sifat, waktu, dan luas dari prosedur audit yang selanjutnya

·           Hubungan prosedur dengan penilaian risiko pada level asersi

·           Hasil dari prosedur audit

·           Sifat dan pengaruh dari jumlah salah saji

·           Kesimpulan auditor terhadap jumlah salah saji yang menyebabkan salah saji menjadi material

·           Faktor-faktor kualitatif yang dipertimbangkan auditor dalam mengevaluasi salah saji yang material dan kesimpulannya

Tujuan pembuatan dan penyampaian kertas kerja:

1.         Memberi dukungan yang principal atas laporan audit.

2.         Sebagai alat untuk melakukan koordinasi, mengorganisasi, dan mengawasi pelaksanaan seluruh tahapan audit.

3.         Bukti bahwa audit telah dilakukan sesuai standar auditing.

4.         Sebagai pedoman dalam melaksanakan audit berikutnya.

Kertas kerja harus disesuaikan dengan keadaan yang dihadapi dan kebutuhan auditor dalam melaksanakan suatu penugasan audit, ada 3 kelompok standar auditing, yaitu:

1.         Kertas Kerja Audit dan Standar Umum

Standar umum menyatakan tentang kompetensi, independensi, dan kecermatan dan keseksamaan pelaksanaan tugas.

2.         Kertas Kerja Audit dan Standar Pekerjaan Lapangan

Standar pekerjaan lapangan berhubungan dengan perencanaan dan pengawasan struktur pengendalian internal bukti audit kompeten yang memadai.

3.         Kertas Kerja dan Standar Pelaporan

Kertas kerja juga berhubungan erat dengan standar pelaporan. Kertas kerja berguna untuk mendukung pendapat auditor yang diberikan dalam laporan audit.

Pembuatan kertas kerja menggunakan 4 teknik dasar, yaitu:

1.         Pembuatan heading yang berisi nama klien dan judul untuk menngidentifikasikan isi kertas kerja, serta tanggal neraca atau periode audit.

2.         Nomor indeks yang dimaksudkan untuk memudah identifikasi dan referensi silang antara kertas kerja.

3.         Referensi silang (cross-referencing). Data dalam kertas kerja yang diambil dari kertas kerja lainnya atau yang digunakan dalam kertas kerja lain harus dberi referensi silang dengan nomor.

4.         Tick mark yang berupa simbol-simbol yang digunakan auditor untuk membuat referensi penjelasan naratif di mana pun dalam kertas kerja.

Kertas kerja merupakan bukti dilaksanakannya standar auditing, dan program audit yang telah ditetapkan. Kuantitas, tipe, dan isi kertas kerja dapat saja bervariasi tergantung pada keadaan yang dihadapi oleh auditor.

Dalam SA 339 dikemukakan bahwa kertas kerja biasanya berisi dokumentasi yang diperlihatkan:

1.         Pemeriksaan telah direncanakan dan disupervisi dengan baik, yang menunjukkan dilaksanakannya standar pekerjaan lapangan yang pertama.

2.         Pemahaman yang memadai atas struktur pengendalian intern telah diperoleh untuk merencanakan audit dan menentukan sifat,saat, dan lingkup pengujian yang telah dilakukan.

3.         Bukti audit telah diperoleh, prosedur pemeriksaan yang telah diterapkan dan pengujian yang telah dilaksanakan,yang memberikan bukti kompeten yang cukup untuk menyatakan pendapat atas keuangan audit

Agar kertas kerja bermanfaat, maka harus memperhatikan hal-hal tertentu dalam pembuatannya. Kertas kerja yang dibuat harus:

1.         Lengkap

Dikatakan lengkap jika berisi semua informasi pokok dan tidak memerlukan penjelasan lisan sebagai tambahan.

2.         Teliti

Kertas kerja yang dibuat auditor harus bebas dari kesalahan, baik kesalahan penulisan maupun kesalahan dalam penjumlahan.

3.         Ringkas

Kertas kerja dikatakan ringkas apabila hanya berisi informasi pokok dan relevan dengan tujuan pemeriksaan.

4.         Jelas

Auditor harus menggunakan istilah-istilah yang tidak menimbulkan pengertian ganda. Auditor harus menyajikan kertas kerja secara sistematis.

5.         Rapi

Kerapian kertas kerja akan mempermudah pemahaman terhadap kertas kerja tersebut.

Pada dasarnya ada beberapa tipe kertas kerja audit. Namun demikian ada 7 tipe kertas kerja audit yang biasanya dikenal, yaitu:

1.         Program audit

2.         Working trial balance

3.         Ringkasan jurnal penyesuaian dan jurnal pengklasifikasian kembali

4.         Daftar pendukung

5.         Daftar utama

6.         Memorandum audit dan dokumentasi informasi pendukung

7.         Skedul dan analisis

Untuk memudahkan penelaahan kertas kerja yang dibuat asisten maupun staf auditor, berbagai jenis kertas kerja tersebut harus disajikan dalam susunan yang sistematis. Berikut adalah susunan yang umum dilakukan:

1.         Daftar laporan audit

2.         Laporan keuangan audit

3.         Ringkasan informasi bagi penelaah

4.         Program audit

5.         Laporan keuangan atas neraca lanjur yang dibuat klien

6.         Ringkasan jurnal penyesuaian

7.         Working Trial Balance

8.         Daftar utama

9.         Daftar pendukung

MANAJEMEN RESIKO

Manajemen resiko adalah suatu pendekatan terstruktur atau metodologi dalam mengelola ketidakpastian yang berkaitan dengan ancaman. Strategi yang dapat diambil antara lain adalah memindahkan resiko kepada pihak lain, menghindari resiko, mengurangi efek negatif resiko, dan menampung sebagian atau semua konsekuensi resiko tertentu.

Sasaran dari pelaksanaan manajemen resiko adalah untuk mengurangi resiko yang berbeda-beda yang berkaitan dengan bidang yang telah dipilih pada tingkat yang dapat diterima oleh masyarakat. Hal ini dapat berupa berbagai jenis ancaman yang disebabkan oleh lingkungan, teknologi, manusia, organisasi, dan politik. Di sisi lain, pelaksanaan manajemen resiko melibatkan segala cara yang tersedia bagi manusia, khususnya, bagi entitas manajemen resiko (manusia, staff, dan organisasi).

Dalam perkembangannya, resiko yang dibahas dalam manajemen resiko dapat diklasifikasi menjadi 4, yaitu:

1.         Resiko Operasional

2.         Resiko Hazard

3.         Resiko Finansial

4.         Resiko Strategik

Untuk melakukan manajemen resiko kita perlu melalui beberapa proses. COSO (Committee of Sponsoring Organization of the Treadway Commission) menyebutkan ada 8 kerangka yang berkaitan dalam manajemen resiko korporasi (MRK), yaitu:

1.         Lingkungan Internal (Internal Environment)

2.         Penentuan Sasaran (Objective Setting)

3.         Identifikasi Peristiwa (Event Identification)

4.         Penilaian Resiko (Risk Assessment)

5.         Tanggapan Resiko (Risk Response)

6.         Aktifitas Pengendalian (Control Activities)

7.         Informasi dan Komunikasi (Information and Communication)

8.         Pemantauan (Monitoring)

Source:

http://ftp.gunadarma.ac.id/linux/docs/v06/Kuliah/SistemOperasi/BUKU/SistemOperasi-4.X-2/ch22s10.html

https://www.scribd.com/doc/39244016/Teknik-Audit

http://changekonsultan.com/konsultan-iso-integrasi/teknik-audit-internal/

http://digilib.unila.ac.id/6524/121/BAB%20II.pdf

https://www.kompasiana.com/santosoaditia/kertas-kerja-audit_55547ae96523bd40164aef88

https://id.wikipedia.org/wiki/Manajemen_risiko

http://rocketmanajemen.com/manajemen-risiko/

http://scdc.binus.ac.id/isgbinus/2016/04/apa-itu-audit-sistem-informasi/

http://www.pendidikanmu.com/2015/03/tahapan-audit-sistem-informasi-terlengkap.html