A. Definisi COBIT
COBIT (Control
Objectives for Information and Related Technology) merupakan audit sistem
informasi dan dasar pengendalian yang dibuat oleh Information Systems
Audit and Control Association (ISACA) dan IT Governance Institute (ITGI)
pada tahun 1992.
COBIT Framework adalah
standar kontrol yang umum terhadap teknologi informasi, dengan memberikan
kerangka kerja dan kontrol terhadap teknologi informasi yang dapat diterima dan
diterapkan secara internasional.
COBIT bermanfaat bagi
manajemen untuk membantu menyeimbangkan antara resiko dan investasi
pengendalian dalam sebuah lingkungan IT yang sering tidak dapat diprediksi.
Bagi user, ini menjadi sangat berguna untuk memperoleh keyakinan atas layanan
keamanan dan pengendalian IT yang disediakan oleh pihak internal atau pihak
ketiga. Sedangkan bagi Auditor untuk mendukung atau memperkuat opini yang
dihasilkan dan memberikan saran kepada manajemen atas pengendalian internal
yang ada
B. Pengguna COBIT
Target
pengguna dari framework COBIT adalah organisasi/perusahaan dari berbagai latar
belakang dan para profesional external assurance. Secara manajerial target
pengguna COBIT adalah manajer, pengguna dan profesional TI serta
pengawas/pengendali profesional. Secara resmi tidak ada sertifikasi profesional
resmi yang diterbitkan oleh ITGI atau organisasi manapun sebagai penyusun
standar COBIT. Di Amerika Serikat standar COBIT sering digunakan dalam standar
sertifikasi Certified Public Accountants (CPAs) dan Chartered
Accountants (CAs) berdasarkan Statement on Auditing Standards (SAS)
No. 70 Service Organisations review, Systrust certification or Sarbanes-Oxley
compliance.
C. Skala maturity
dari COBIT
Maturity
model adalah suatu metode untuk mengukur level pengembangan manajemen
proses, yang berarti adalah mengukur sejauh mana kapabilitas manajemen
tersebut. Seberapa bagusnya pengembangan atau kapabilitas manajemen tergantung
pada tercapainya tujuan-tujuan COBIT yang . Sebagai contoh adalah ada beberapa
proses dan sistem kritikal yang membutuhkan manajemen keamanan yang lebih ketat
dibanding proses dan sistem lain yang tidak begitu kritikal. Di sisi lain,
derajat dan kepuasan pengendalian yang dibutuhkan untuk diaplikasikan pada
suatu proses adalah didorong pada selera resiko Enterprise dan kebutuhan
kepatuhan yang diterapkan.
Penerapan
yang tepat pada tata kelola TI di suatu lingkungan Enterprise, tergantung pada
pencapaian tiga aspek maturity (kemampuan, jangkauan dan kontrol).
Peningkatan maturity akan mengurangi resiko dan meningkatkan
efisiensi, mendorong berkurangnya kesalahan dan meningkatkan kuantitas proses
yang dapat diperkirakan kualitasnya dan mendorong efisiensi biaya terkait
dengan penggunaan sumber daya TI.
Maturity
model dapat digunakan untuk memetakan :
1. Status pengelolaan TI perusahaan pada saat itu.
2. Status standart industri dalam bidang TI saat ini
(sebagai pembanding)
3. Status standart internasional dalam bidang TI saat
ini (sebagai pembanding)
4. Strategi pengelolaan TI perusahaan (ekspetasi
perusahaan terhadap posisi pengelolaan TI perusahaan)
Tingkat
kemampuan pengelolaan TI pada skala maturity dibagi menjadi 6 level:
·
Level 0 (Non-existent):
perusahaan tidak mengetahui sama sekali proses teknologi informasi di
perusahaannya
·
Level 1 (Initial
Level): pada level ini, organisasi pada umumnya tidak menyediakan lingkungan
yang stabil untuk mengembangkan suatu produk baru. Ketika suatu organisasi
kelihatannya mengalami kekurangan pengalaman manajemen, keuntungan dari
mengintegrasikan pengembangan produk tidak dapat ditentukan dengan perencanaan
yang tidak efektif, respon sistem. Proses pengembangan tidak dapat diprediksi
dan tidak stabil, karena proses secara teratur berubah atau dimodifikasi selama
pengerjaan berjalan beberapa form dari satu proyek ke proyek lain. Kinerja
tergantung pada kemampuan individual atau term dan varies dengan
keahlian yang dimilikinya.
·
Level 2 (Repeatable
Level): pada level ini, kebijakan untuk mengatur pengembangan suatu proyek dan
prosedur dalam mengimplementasikan kebijakan tersebut ditetapkan. Tingkat
efektif suatu proses manajemen dalam mengembangankan proyek adalah institutionalized,
dengan memungkinkan organisasi untuk mengulangi pengalaman yang berhasil dalam
mengembangkan proyek sebelumnya, walaupun terdapat proses tertentu yang tidak
sama. Tingkat efektif suatu proses mempunyai karakteristik seperti; practiced,
dokumentasi, enforced, trained, measured, dan dapat
ditingkatkan. Product requirement dan dokumentasi perancangan selalu
dijaga agar dapat mencegah perubahan yang tidak diinginkan.
·
Level 3 (Defined
Level): pada level ini, proses standar dalam pengembangan suatu produk baru
didokumentasikan, proses ini didasari pada proses pengembangan produk yang
telah diintegrasikan. Proses-proses ini digunakan untuk membantu manejer, ketua
tim dan anggota tim pengembangan sehingga bekerja dengan lebih efektif. Suatu
proses yang telah didefenisikan dengan baik mempunyai karakteristik; readiness
criteria, inputs, standar dan prosedur dalam mengerjakan suatu proyek,
mekanisme verifikasi, output dan kriteria selesainya suatu proyek. Aturan dan
tanggung jawab yang didefinisikan jelas dan dimengerti. Karena proses perangkat
lunak didefinisikan dengan jelas, maka manajemen mempunyai pengatahuan yang
baik mengenai kemajuan proyek tersebut. Biaya, jadwal dan kebutuhan proyek
dalam pengawasan dan kualitas produk yang diawasi.
·
Level 4 (Managed
Level): Pada level ini, organisasi membuat suatu matrik untuk suatu produk,
proses dan pengukuran hasil. Proyek mempunyai kontrol terhadap produk dan
proses untuk mengurangi variasi kinerja proses sehingga terdapat batasan yang
dapat diterima. Resiko perpindahan teknologi produk, prores manufaktur,
dan pasar harus diketahui dan diatur secara hati-hati. Proses pengembangan
dapat ditentukan karena proses diukur dan dijalankan dengan limit yang dapat
diukur.
·
Level 5 (Optimized
Level): Pada level ini, seluruh organisasi difokuskan pada proses peningkatan
secara terus-menerus. Teknologi informasi sudah digunakan terintegrasi untuk
otomatisasi proses kerja dalam perusahaan, meningkatkan kualitas, efektifitas,
serta kemampuan beradaptasi perusahaan. Tim pengembangan produk menganalisis
kesalahan dan defects untuk menentukan penyebab kesalahannya. Proses
pengembangan melakukan evaluasi untuk mencegah kesalahan yang telah diketahui
dan defects agar tidak terjadi lagi.
Sumber: