Dari buku INFORMATION TECHNOLOGY CONTROL AND AUDIT
Second Edition
Frederick Gallegos, CGFM, CISA, CDE
Sandra Senft, CISA, CIA Daniel P. Manson, Ph.D. Carol
Gonzales, CISA
TI (Teknologi Informasi) telah menjadi bagian yang strategis
dari sebagian besar bisnis, hal ini memungkinkan pendefinisian ulang pasar dan
industri serta strategi dan desain perusahaan yang bersaing di dalamnya (Applegate).
Rencana strategis TI adalah visi formal untuk memandu dalam akuisisi, alokasi,
dan pengelolaan sumber daya teknologi informasi untuk memenuhi tujuan
organisasi. Ini harus menjadi bagian dari strategi perusahaan secara
keseluruhan untuk teknologi informasi dan harus sejalan dengan strategi bisnis
yang didukungnya. Strategi bisnis harus sejalan dengan strategi teknologi untuk
memastikan bahwa sumber daya tidak terbuang sia-sia pada proyek atau proses
yang tidak berkontribusi untuk mencapai tujuan keseluruhan organisasi. Penyelarasan
ini harus terjadi di semua tingkatan proses perencanaan untuk memberikan
jaminan berkelanjutan bahwa rencana operasional terus mendukung tujuan bisnis.
Manajemen TI melibatkan penggabungan teknologi, orang,
dan proses untuk memberikan solusi bagi masalah organisasi (Pearlson).
Strategi yang paling efektif akan ditentukan oleh kombinasi lingkungan, budaya,
dan teknologi yang digunakan oleh suatu organisasi. IT harus memimpin dan
mengumpulkan informasi untuk menggabungkan kebutuhan departemen pengguna dengan
kelayakan teknologi untuk membuat strategi secara keseluruhan.
Arsitektur
dan Standar
Strategi TI memberikan visi untuk organisasi TI, dan
arsitektur menerjemahkan visi menjadi infrastruktur (Pearlson). Grup arsitektur
menetapkan standar dan cetak biru untuk pengembang perangkat lunak (lihat
Tampilan 2). Aplikasi bisnis harus dijalankan dengan teknologi yang
mendasarinya. Apakah itu mainframe atau didistribusikan, infrastruktur yang
mendasarinya mendorong total biaya kepemilikan (Mack). Dengan penurunan ekonomi
dalam beberapa tahun terakhir, banyak organisasi telah berusaha untuk
menurunkan biaya TI (Dewan Kerja). Banyak langkah pemotongan biaya bisa efektif
dalam jangka pendek, tetapi penghematan biaya jangka panjang membutuhkan
standarisasi dan penyederhanaan aplikasi dan infrastruktur. Aplikasi dan
infrastruktur yang disederhanakan lebih mudah untuk dirawat dan diubah karena
ada lebih sedikit produk dan komponen teknologi. Aplikasi dan infrastruktur
yang disederhanakan juga lebih andal, menghasilkan peningkatan produktivitas
dan pengurangan biaya. Ada banyak keuntungan lain untuk standardisasi dan
penyederhanaan sistem: penggunaan kembali sistem, implementasi lebih cepat,
peningkatan fleksibilitas, dll.
Kebijakan dan Prosedur
Organisasi menetapkan dan mengomunikasikan kebijakan
dan prosedur untuk sistem informasi untuk memastikan bahwa tujuan organisasi
terpenuhi. Kebijakan dan prosedur ini harus mengkomunikasikan pendirian
organisasi tentang masalah seperti arsitektur sistem, pengujian dan validasi
persyaratan dan sistem, dan dokumentasi. Area-area ini sangat penting untuk
membangun proses kelembagaan untuk mengelola aplikasi.
Keterlibatan Audit
IT Governance Institute meringkas empat alasan
pentingnya informasi dan teknologi terkait (COBIT).
• Meningkatkan ketergantungan pada informasi dan
sistem yang memberikan informasi ini
• Meningkatnya kerentanan dan spektrum ancaman yang
luas seperti ancaman dunia maya dan perang informasi
• Skala dan biaya investasi saat ini dan masa depan
dalam sistem informasi dan informasi
• Potensi teknologi untuk secara dramatis mengubah
organisasi dan praktik bisnis, menciptakan peluang baru, dan mengurangi biaya
Menurut Komite Basel, berikut ini adalah prinsip dasar
dari program manajemen risiko operasional:
• Dewan direksi harus dilibatkan dengan persetujuan
rencana manajemen risiko operasional, yang mencakup risiko teknologi.
• Manajemen senior memiliki tanggung jawab untuk
mengimplementasikan rencana dan menyebarkan informasi tentang rencana tersebut
ke seluruh organisasi.
• Proses harus ada untuk mengidentifikasi risiko,
mengukurnya, memantau kejadiannya, dan mengendalikan atau mengurangi
kejadiannya.
Manajemen Risiko Teknologi
Risiko teknologi dapat terjadi pada dua tingkatan. Hal
ini dapat dilakukan di seluruh dunia, misalnya, sebagai pilihan sistem operasi
standar baru. Jenis risiko teknologi ini biasanya dikelola oleh kepala
teknologi perusahaan atau chief technology officer (CTO). Risiko teknologi juga
dapat terjadi di tingkat unit bisnis. Ini adalah jenis risiko teknologi yang
lebih umum di lembaga keuangan karena jenis TI yang digunakan dan struktur
departemen TI bank. Dalam kebanyakan kasus, departemen TI, bukan pemilik
bisnis, adalah vendor sistem. Dikelola oleh lini bisnis dengan dukungan dan
bimbingan TI.
Ada dua struktur umum yang mungkin untuk program TRM
di lembaga keuangan. Kedua struktur memiliki pro dan kontra yang terkait.
Pendekatan pertama adalah memiliki departemen manajemen risiko pusat, yang TRM
akan menjadi subset. Ini cocok karena pernyataan FFIEC bahwa semua kegiatan
manajemen risiko harus independen dari kegiatan pengambilan risiko (4). Dalam
skenario ini, seorang kepala risiko (CRO) akan memiliki staf manajemen risiko
dan profesional TRM. Departemen ini akan melakukan semua fungsi manajemen
risiko untuk seluruh perusahaan.
Strategi: Program Manajemen Risiko Teknologi yang Efektif
Program TRM yang efektif akan menjadi bagian dari
program manajemen risiko secara keseluruhan. Dalam bidang teknologi informasi
perusahaan, harus ada manajer atau koordinator TRM yang ditunjuk, mungkin
beberapa. Fungsi ini akan cocok dengan perencanaan pemulihan bencana dan
pembuatan kebijakan TI, karena ini adalah fungsi manajemen TI lainnya.
Koordinator TRM harus menjadi titik kontak untuk manajemen bisnis dengan
pertanyaan, dan akan bekerja dengan CRO untuk meluncurkan TRM sebagai bagian
dari program manajemen risiko perusahaan.
Kesimpulan
Karena TI dan keamanan informasi merupakan bagian
integral dari kontrol internal sistem informasi, kami telah membahas di atas
dan pada bab-bab sebelumnya publikasi Kerangka Kerja Integrated Control
Internal oleh COSO pada tahun 1997 yang secara khusus mencakup kontrol TI. Dan
juga dibahas mengenai Auditability and Control (SAC) Sistem Auditor Internal
dan COBIT Asosiasi Sistem Informasi Audit dan Kontrol (ISACA) yang keduanya
terkait langsung dengan kerangka kerja yang diidentifikasi oleh COSO dalam
laporan mereka. Ini adalah standar praktik yang kami sebutkan sebelumnya untuk
membantu mengarahkan bisnis dalam proses perencanaan strategis TI-nya. Bab ini
telah memberikan panduan dan contoh betapa pentingnya komponen-komponen ini
dalam menetapkan arah untuk apa yang akan menyusul.
0 komentar:
Posting Komentar