12-CRS-0106 REVISED 8 FEB 2013 IT Governance and Risk Management CDG4I3 / Audit Sistem Informasi Angelina Prima K | Gede Ary W. KK SIDE - 2015.

Presentasi berjudul: "12-CRS-0106 REVISED 8 FEB 2013 IT Governance and Risk Management CDG4I3 / Audit Sistem Informasi Angelina Prima K | Gede Ary W. KK SIDE - 2015."— Transcript presentasi:

1 12-CRS-0106 REVISED 8 FEB 2013 IT Governance and Risk Management CDG4I3 / Audit Sistem Informasi Angelina Prima K | Gede Ary W. KK SIDE - 2015

2 12-CRS-0106 REVISED 8 FEB 2013 Overview 1. IT strategic planning 2. IT policies, standards, processes and procedures 3. Risk management 4. IT management practices 5. Organization structure and responsibilities 6. Auditing IT governance

3 12-CRS-0106 REVISED 8 FEB 2013 Definition Governance: proses pengendalian strategis fungsi-fungsi bisnis oleh senior management melalui policies, objectives, delegation of authority, dan measurement. Biasanya dilakukan oleh IT steering committee yang bertanggung jawab dalam menentukan long-term IT strategy, dan melakukan perubahan-perubahan untuk memastikan bahwa proses-proses TI dapat terus berjalan untuk mendukung strategi TI dan kebutuhan organisasi. Tujuan IT Governance: menyelaraskan organisasi TI dengan kebutuhan bisnis, melalui sekumpulan aktivitas top-down untuk mengendalikan organisasi TI dari perspektif strategis. IT governance biasanya fokus pada beberapa proses utama, mis. Manajemen SDM, manajemen perubahan, keuangan, manajemen kualitas, keamanan, dan optimisasi performansi.

4 12-CRS-0106 REVISED 8 FEB 2013 1. IT Strategic Planning Rencana strategis yang baik dapat menjawab pertanyaan what to do, bahkan dalam jangka panjang Perencanaan strategis harus menjadi bagian dari proses perencanaan formal. Peran dan tanggung jawab perencanaan harus dilakukan oleh pihak yang spesifik. Rencana strategis TI harus dapat memberikan kepastian pemenuhan layanan TI sesuai dengan kebutuhan bisnis yang diharapkan oleh organisasi.

5 12-CRS-0106 REVISED 8 FEB 2013 IT Steering Committee IT steering committee biasanya mendiskusikan kondisi organisasi di masa depan dan bagaimana organisasi TI dapat memenuhi kebutuhan tersebut. IT steering committee biasanya terdiri atas manajer- manajer senior dan pelanggan/ constituents utama.

6 12-CRS-0106 REVISED 8 FEB 2013 2. Policies, Processes, Procedures, and Standards Policies, procedures, and standards menjelaskan perilaku organisasional TI dan penggunaan teknologi di dalamnya. Biasanya dalam bentuk tertulis, menjelaskan tentang bagaimana organisasi TI memberikan layanan yang mendukung organisasi.

7 12-CRS-0106 REVISED 8 FEB 2013 IT Policies IT policies biasanya berisi: –Roles and responsibilities : menjelaskan peran dan tanggung jawab departemen TI dan pembagiannya. –Development practices : menjelaskan proses-proses untuk membangun PL dalam organisasi, termasuk metodologi, pengujian, dan penilaian kualitasnya. –Operational practices : menjelaskan proses umum operasional TI, mis. service desk, backups, system monitoring, metrics, dan aktivitas harian lainnya. –IT processes, documents, and records : menentukan pula proses-proses TI lainnya, termasuk manajemeninsiden, manajemen proyek, dan operasi pendukung; serta menjelaskan pengelolaan dan penyimpanan dokumen (prosedur dan rekaman)

8 12-CRS-0106 REVISED 8 FEB 2013 Procedures Dokumen prosedur, sering disebut juga SOP (standard operating procedures), menjelaskan langkah-langkah detail dari proses dan tugas TI. Dokumen prosedur formal memastikan bahwa tugas-tugas telah dilakukan dengan konsisten dan benar, bahkan jika dilakukan oleh staf TI yang berbeda-beda. Data tambahan yang harus ada: –Document revision information: nama penulis dokumen dan revisinya, nama/ lokasi resmi dokumen. –Review and approval: nama manajer yang terakhir me-review dan menyetujui dokumen prosedur. –Dependencies: prosedur lain yang terkait, baik yang dipengaruhi maupun yang mempengaruhi prosedur tersebut. Mis. Dokumen yang menjelaskan proses backup, dipengaruhi oleh dokumen manajemen dan pemeliharaan basis data, serta mempengaruhi dokumen penanganan media.

9 12-CRS-0106 REVISED 8 FEB 2013 Standards Merupakan pernyataan resmi yang disetujui manajemen, yang menyatakan teknologi, protokol, supplier, dan metode yang digunakan oleh organisasi TI. Standar membantu mengarahkan konsistensi dalam organisasi TI, sehingga organisasi dapat berjalan efektif dan efisien dari sisi biaya. Beberapa standar yang dimiliki organisasi TI: –Technology standards menyatakan teknologi PL dan PK apa yang digunakan dalam organisasi TI. Mis. OS, DBMS, server, sistem penyimpanan, media backup, dll. –Protocol standards menentukan protokol yang digunakan dalam organisasi. Mis. TCP/IP v6 untuk jaringan internal, GRP routing protocols, FTP, dll. –Supplier standards menyatakan supplier dan vendor mana yang digunakan, untuk menjamin ketersediaan barang dan layanan yang dibutuhkan dalam organisasi TI. –Methodology standards menyatakan praktek-praktek yang diterapkan pada berbagai proses, termasuk pengembangan PL, administrasi sistem, rekayasa jaringan, dll. –Configuration standards menentukan konfigurasi detail yang diterapkan pada server, DBMS, end-user workstations, perangkat jaringan, dll –Architecture standards berupa arsitektur teknologi pada level basis data, sistem, atau jaringan. Organisasi dapat membangun arsitektur di beberapa setting standar.

10 12-CRS-0106 REVISED 8 FEB 2013 3. Risk Management Yaitu aktivitas yang mencari, mengidentifikasi, dan mengelola resiko dalam operasional organisasi untuk mendukung seluruh sasaran bisnis. Aksi yang dapat dilakukan: –Accept: menerima resiko apa adanya –Mitigate: melakukan aksi untuk mengurangi dampak resiko –Transfer: membagi resiko dengan entitas lain, mis. perusahaan asuransi –Avoid: tidak melanjutkan aktivitas yang beresiko Siklus hidup manajemen resiko:

11 12-CRS-0106 REVISED 8 FEB 2013 The Risk Management Process 1. Asset identification –Mis. Bangunan, perangkat, rekaman, informasi, tenaga kerja, dll –  termasuk pengelompokan dan identifikasi sumber data aset. 2. Risk Analysis –Risk = probability x impact –Memerlukan kemampuan untuk estimasi impact dan probability. 3. Risk treatment Seringkali tidak semua resiko dapat dimitigasi maupun dihapuskan, sehingga perlu strategi untuk memilih kombinasi solusi agar dampak dari resiko dapat dikurangi

12 12-CRS-0106 REVISED 8 FEB 2013 4. IT Management Practices Terdiri atas: Personnel management: rekruitasi, deskripsi kerja, pelatihan, jalur karir, ukuran performansi, promosi, mutasi, hingga pemberhentian Sourcing: insourcing, outsourcing, hybrid Change management: request, review, approve, perform, verify change Financial management: terutama pilihan untuk make- buy-or-rent Quality management Security management Performance and capacity management

13 12-CRS-0106 REVISED 8 FEB 2013 Outsourcing Alasan: –Durasi proyek  membutuhkan orang dlm jangka waktu terbatas –Kemampuan tinggi dan spesifik  terlalu mahal jika harus insourcing –Variasi akan kebutuhan tenaga kerja cukup tinggi –High turnover –Fokus pada aktivitas-aktivitas utama –Alasan finansial Contoh fungsi-fungsi yang sering dipenuhi dengan outsource: IT helpdesk and support, Software development, Software maintenance, Customer support Resiko outsourcing: –Kualitas kerja dan performansi harus diawasi dengan ketat –Integritas pekerja rendah –Tidak mendukung keunggulan kompetitif

14 12-CRS-0106 REVISED 8 FEB 2013 5. Organization Structure and Responsibilities Contoh:

15 12-CRS-0106 REVISED 8 FEB 2013 Roles and Responsibilities Beberapa peran dalam organisasi: –Executive management: CIO, CTO, CSO, CISO, CPO –Owner –Manager –User Job titles harus ditetapkan secara konsisten sebagai dasar untuk: –Rekruitasi –Penetapan kompensasi –Peningkatan karir Konsep segregation/ separation of duties perlu diterapkan, untuk memastikan bahwa setiap individu tidak memiliki wewenang berlebih yang dapat menimbulkan aktivitas ilegal/ fraud.

16 12-CRS-0106 REVISED 8 FEB 2013 Segregation of Duties Contoh matriks

17 12-CRS-0106 REVISED 8 FEB 2013 Auditing IT Governance IT Governance berfokus pada proses bisnis, bukan teknologi. Audit lebih melibatkan wawancara dan review dokumen daripada observasi SI. Akibat dari IT governance yang kurang baik: –Ketidaksesuaian bagi pekerja: kerja lembur berlebihan, moral TI rendah –Performansi sistem rendah –Perangkat keras maupun perangkat lunak tidak standar –Disfungsi proyek Dokumen yang perlu di-review: IT charter, strategy, and planning; IT organization chart and job descriptions, HR/ IT employee performance, HR promotion policy, HR manuals, life-cycle processes and procedures, IT operations procedures, IT procurement process, quality management documents

18 12-CRS-0106 REVISED 8 FEB 2013 IT Governance on COBIT 5

19 12-CRS-0106 REVISED 8 FEB 2013 IT Governance VS Management Governance ensures that stakeholder needs, conditions and options are evaluated to determine balanced, agreed-on enterprise objectives to be achieved; setting direction through prioritization and decision making; and monitoring performance and compliance against agreed-on direction and objectives. In most enterprises, governance is the responsibility of the board of directors under the leadership of the chairperson. Management plans, builds, runs and monitors activities in alignment with the direction set by the governance body to achieve the enterprise objectives. In most enterprises, management is the responsibility of the executive management under the leadership of the CEO.

20 12-CRS-0106 REVISED 8 FEB 2013 Governance Key Areas Evaluate, Direct, and Monitor (EDM): EDM01. Ensure governance framework setting and maintenance EDM02. Ensure benefits delivery EDM03. Ensure risk optimisation EDM04. Ensure resource optimisation EDM05. Ensure stakeholder transparency

21 12-CRS-0106 REVISED 8 FEB 2013

22

23

24 Tes Akhir IT Governance Tuliskan di selembar kertas, max 2 kalimat per nomor soal. Kumpulkan pukul 14.00 1. Apa yang dimaksud dengan tatakelola TI (IT governance)? 2. Sebutkan 4 aksi yang dapat dilakukan setelah resiko teridentifikasi! 3. Apa alasan organisasi melakukan outsourcing? 4. Apa yang dimaksud dengan segregation of duties? 5. Sebutkan 2 metode audit tatakelola TI!

25 12-CRS-0106 REVISED 8 FEB 2013 THANK YOU