IT AUDIT!

IT Audit adalah proses pengumpulan bukti-bukti dan evaluasi bukti-bukti yang ada untuk menentukan apakah sistem komputer yang dibuat atau telah dibuat dapat menjaga integritas data.IT Audit dapat berjalan bersama IT Finansial dan IT internal atau dengan kegiatan pengawasan dan evaluasi lain yang sejenis.

Audit TI sendiri merupakan gabungan dari berbagai macam ilmu, antara lain:

• Traditional Audit, 
• Manajemen Sistem Informasi, 
• Sistem Informasi Akuntansi, 
• Ilmu Komputer, dan 
• Behavioral Science. 

Pada awalnya IT Audit dibedakan menjadi 2 kategori,yakni:


1. Pengendalian Aplikasi. 

• Tujuan pengendalian aplikasi dimaksudkan untuk memastikan bahwa data di-input secara benar ke dalam aplikasi, diproses secara benar, dan terdapat pengendalian yang memadai atas output yang dihasilkan. 

2. Pengendalian Umum

• Tujuan pengendalian umum lebih menjamin integritas data yang terdapat di dalam sistem komputer dan sekaligus meyakinkan integritas program atau aplikasi yang digunakan untuk melakukan pemrosesan data.

Proses IT Audit:

• Mengumpulkan dan mengevaluasi bukti-bukti bagaimana sistem informasi dikembangkan, dioperasikan, diorganisasikan, serta bagaimana praktek dilaksanakan:
• Apakah IS melindungi aset institusi: asset protection, availabilityApakah integritas data dan sistem diproteksi secara cukup (security, confidentiality )?
• Apakah operasi sistem efektif dan efisien dalam mencapai tujuan organisasi, dan lain-lain (coba cari pertanyaan2 lain)

Dalam praktiknya, tahapan-tahapan dalam audit TI tidak berbeda dengan audit pada umumnya. Tahapan perencanaan, sebagai suatu pendahuluan, mutlak perlu dilakukan agar auditor mengenal benar objek yang akan diperiksa. Di samping, tentunya, auditor dapat memastikan bahwa qualified resources sudah dimiliki, dalam hal ini aspek SDM yang berpengalaman dan juga referensi praktik-praktik terbaik ( best practices ). Tahapan perencanaan ini akan menghasilkan suatu program audit yang didesain sedemikian rupa, sehingga pelaksanaannya akan berjalan efektif dan efisien, dan dilakukan oleh orang-orang yang kompeten, serta dapat diselesaikan dalam waktu sesuai yang disepakati. 

Berikut adalah 19 langkah umum dalam IT Audit:

Kontrol lingkungan:

1. Apakah kebijakan keamanan (security policy) memadai dan efektif ?
2. Jika data dipegang oleh vendor, periksa laporan ttg kebijakan dan prosedural yg terikini dr external auditor
3. Jika sistem dibeli dari vendor, periksa kestabilan finansial
4. Memeriksa persetujuan lisen (license agreement)

Kontrol keamanan fisik

     5.  Periksa apakah keamanan fisik perangkat keras dan penyimpanan data memadai
     6.  Periksa apakah backup administrator keamanan sudah memadai (trained,tested)
     7.  Periksa apakah rencana kelanjutan bisnis memadai dan efektif
     8.  Periksa apakah asuransi perangkat-keras, OS, aplikasi, dan data memadai

Kontrol keamanan logikal
     9.  Periksa apakah password memadai dan perubahannya dilakukan reguler
     10.Apakah administrator keamanan memprint akses kontrol setiap user

     11.Memeriksa dan mendokumentasikan parameter keamanan default
     12.Menguji fungsionalitas sistem keamanan (password, suspend userID, etc)
    13.Memeriksa apakah password file / database disimpan dalam bentuk tersandi dan tidak 

         dapat dibuka oleh pengguna umum
    14.Memeriksa apakah data sensitif tersandi dalam setiap phase dalam prosesnya
    15.Memeriksa apakah prosedur memeriksa dan menganalisa log memadai
    16.Memeriksa apakah akses kontrol remote (dari tempat yang lain) memadai: 

       (VPN, CryptoCard, SecureID, etc)

Menguji Kontrol Operasi
    17.Memeriksa apakah tugas dan job description memadai dalam semua tugas dalam operasi tsb
    18.Memeriksa apakah ada problem yang signifikan
    19.Memeriksa apakah kontrol yang menjamin fungsionalitas sistem informasi telah memadai

Dalam pelaksanaannya, auditor TI mengumpulkan bukti-bukti yang memadai melalui berbagai teknik termasuk survei, interview, observasi dan review dokumentasi (termasuk review source-code bila diperlukan).

Satu hal yang unik, bukti-bukti audit yang diambil oleh auditor biasanya mencakup pula bukti elektronis (data dalam bentuk file softcopy). Biasanya, auditor TI menerapkan teknik audit berbantuan komputer, disebut juga dengan CAAT (Computer Aided Auditing Technique). Teknik ini digunakan untuk menganalisa data, misalnya saja data transaksi penjualan, pembelian, transaksi aktivitas persediaan, aktivitas nasabah, dan lain-lain.

Sesuai dengan standar auditing ISACA (Information Systems Audit and Control Association), selain melakukan pekerjaan lapangan, auditor juga harus menyusun laporan yang mencakup tujuan pemeriksaan, sifat dan kedalaman pemeriksaan yang dilakukan. Laporan ini juga harus menyebutkan organisasi yang diperiksa, pihak pengguna laporan yang dituju dan batasan-batasan distribusi laporan. Laporan juga harus memasukkan temuan, kesimpulan, rekomendasi sebagaimana layaknya laporan audit pada umumnya.

Sumber: 1|2