Tengku Mariani Pasyah: COBIT (Control Objective for Information and Related Technology)

Definisi COBIT

COBIT adalah suatu panduan standar praktik manajemen teknologi informasi dan sekumpulan dokumentasi best practices untuk tata kelola TI yang dapat membantu auditor, manajemen, dan pengguna untuk menjembatani pemisah antara risiko bisnis, kebutuhan pengendalian, dan permasalahan-permasalahan teknis. COBIT menciptakan sebuah jembatan antara manajemen TI dan para eksekutif bisnis. COBIT mampu menyediakan bahasa yang umum sehingga dapat dipahami oleh semua pihak. Adopsi yang cepat dari COBIT di seluruh dunia dapat dikaitkan dengan semakin besarnya perhatian yang diberikan terhadap corporate governance dan kebutuhan perusahaan agar mampu berbuat lebih dengan sumber daya yang sedikit meskipun ketika terjadi kondisi ekonomi yang sulit. Fokus utama dari COBIT ini adalah harapan bahwa melaui adopsi COBIT ini, perusahaan akan mampu meningkatkan nilai tambah melalui penggunaan TI dan mengurangi resiko-resiko inheren yang teridentifikasi didalamnya COBIT yang dikembangkan oleh IT Governance Institute (ITGI), merupakan bagian dari Information Systems Audit and Control Association (ISACA). Saat ini pengembangan terbaru dari standar ini adalah COBIT Edisi 5.0.

Manfaat yang diberikan oleh informasi dan teknologi pada perusahaan :

Menjaga kualitas informasi untuk mendukung pengambilan keputusan bisnis.
Menghasilkan nilai bisnis dari investasi pemanfaatan IT , untuk mencapai tujuan strategis dan merealisasikan dalam memanfaatkan bisnis melalui penggunaan IT yang efektif dan inovatif.
Mencapai keunggulan operasional melalui penerapan teknologi yang handal dan efisien.
Menjaga resiko yang behubungan dengan penerapan pada tingkat yang masih bisa ditoleransi mengoptimalkan biaya penggunaan it service dan teknologi

COBIT di rancang untuk digunakan oleh tiga pengguna yang berbeda yaitu :

Manajemen : untuk membantu mereka menyeimbangkan antara resiko dan investasi pengendalian dalam sebuah lingkungan IT yang sering tidak dapat diprediksi.
User : untuk memperoleh keyakinan atas layanan keamanan dan pengendalian IT yang disediakan oleh pihak internal atau pihak ketiga.
Auditor : untuk medukung/memperkuat opini yang dihasilkan dan/atau untuk memberikan saran kepada manajemen atas pengendalian internal yang ada.

Komponen-Komponen COBIT

COBIT memiliki komponen-komponen sebagai berikut :

Executive Summary
Framework
Control Objective
Audit Guidelines
Management Guidelines
Control Practices

Tujuan Pengendalian Internal bagi Organisasi

Operasi yang efektif dan efisien : Informasi yang didapat harus relevan dan berkaitan dengan proses bisnis yang ada dan juga dapat diperoleh tepat waktu, benar, konsisten, dan bermanfaat.
Kerahasiaan : Menyangkut perhatian atas perlindungan informasi yang sensitif dari pihak-pihak yang tidak berwenang.
Integritas : Berkaitan dengan akurasi dan kelengkapan dari informasi dan juga validitasnya sesuai nilai-nilai dan harapan bisnis.
Ketersedian Informasi : Berkaitan dengan informasi harus dapat tersedia ketika dibutuhkan oleh suatu proses bisnis baik sekarang maupun di masa yang akan datang. Ini juga terkait dengan pengamanan atas sumber daya yang perlu dan kemampuan yang terkait.
Pelaporan keuangan yang handal : Berkaitan dengan pemberian informasi yang tepat bagi manajemen untuk mengoperasikan perusahaan dan juga pemenuhan kewajiban mereka untuk membuat pelaporan keuangan.
Ketaatan terhadap ketentuan hukum dan peraturan : Terkait dengan pemenuhan sesuai dengan ketentuan hukum, peraturan, perjanjian kontrak, dimana dalam hal ini proses bisnis dipandang sebagai suatu subjek.
Domain. Terdapat 4 domain, yaitu :

A. Planning and organization

B. Acquisition dan implementation

C. Delivery and Support

D. Monitoring

Kerangka kerja COBIT ini terdiri atas beberapa arahan ( guidelines ), yaitu:

Control Objectives : Didalam pengendalian tingkat-tinggi (high-level control objectives) terdapat 4 domain, yaitu: planning & organization , acquisition & implementation, delivery & support , dan monitoring .
Audit Guidelines : Didalam pengendalian yang bersifat rinci (detailed control objectives) terdapat 318 tujuan-tujuan untuk membantu para auditor dalam memberikan management assurance dan atau saran perbaikan.
Management Guidelines : Pada management guidelines terdapat arahan, baik secara umum maupun spesifik, mengenai apa saja yang mesti dilakukan, terutama agar dapat menjawab pertanyaan-pertanyaan berikut :

A. Sejauh mana Anda (TI) harus bergerak, dan apakah biaya TI yang dikeluarkan sesuai dengan manfaat yang dihasilkannya.

B. Apa saja indikator untuk suatu kinerja yang bagus?

C. Apa saja faktor atau kondisi yang harus diciptakan agar dapat mencapai sukses (critical success factors )?

D. Apa saja risiko-risiko yang timbul, apabila kita tidak mencapai sasaran yang ditentukan?

E. Bagaimana dengan perusahaan lainnya – apa yang mereka lakukan?

F. Bagaimana Anda mengukur keberhasilan dan bagaimana pula membandingkannya.

The COBIT Framework memasukkan juga hal-hal berikut ini:

Maturity Models
Critical Success Factors (CSFs)
Key Goal Indicators (KGIs)
Key Performance Indicators (KPIs)

Siapa saja yang menggunakan COBIT?

COBIT digunakan secara umum oleh mereka yang memiliki tanggung jawab utama dalam alur proses organisasi, mereka yang organisasinya sangat bergantung pada kualitas, kehandalan dan penguasaan teknologi informasi.

Skala Maturity dari Framework COBIT

Maturity model adalah suatu metode untuk mengukur level perkembangan manajemen proses, yaitu mengukur sejauh mana kapasitas manajemen tersebut. Sebagai contoh adalah ada beberapa proses dan sistem kritikal yang membutuhkan manajemen keamanan yang lebih ketat dibanding proses dan sistem lain yang tidak begitu kritikal. Dan dibutuhkan derajat, kepuasan pengendalian yang dibutuhkan untuk mengaplikasikan pada suatu proses adalah didorong pada selera resiko Enterprise dan kebutuhan kepatuhan yang diterapkan. Penerapan tata kelola TI di suatu lingkungan Enterprise, tergantung pada pencapaian tiga aspek maturity (kemampuan, jangkauan dan kontrol). Peningkatan maturity akan mengurangi resiko dan meningkatkan efisiensi, mendorong berkurangnya kesalahan dan meningkatkan kuantitas proses yang dapat diperkirakan kualitasnya dan mendorong efisiensi biaya terkait dengan penggunaan sumber daya TI.

Maturity model dapat digunakan untuk memetakan :

Status pengelolaan TI perusahaan pada saat itu.
Status standart industri dalam bidang TI saat ini (sebagai pembanding)
Status standart internasional dalam bidang TI saat ini (sebagai pembanding)
Strategi pengelolaan TI perusahaan (ekspetasi perusahaan terhadap posisi pengelolaan TI perusahaan)

Tingkat kemampuan pengelolaan TI pada skala maturity dibagi menjadi 6 level :

Level 0 (Non-existent) : Perusahaan tidak mengetahui sama sekali proses teknologi informasi di perusahaannya
Level 1 (Initial Level) : Pada level ini, organisasi pada umumnya tidak menyediakan lingkungan yang stabil untuk mengembangkan suatu produk baru. Ketika suatu organisasi kelihatannya mengalami kekurangan pengalaman manajemen, keuntungan dari mengintegrasikan pengembangan produk tidak dapat ditentukan dengan perencanaan yang tidak efektif, respon sistem. Proses pengembangan tidak dapat diprediksi dan tidak stabil, karena proses secara teratur berubah atau dimodifikasi selama pengerjaan berjalan beberapa form dari satu proyek ke proyek lain. Kinerja tergantung pada kemampuan individual atau term dan varies dengan keahlian yang dimilikinya.
Level 2 (Repeatable Level) : Pada level ini, kebijakan untuk mengatur pengembangan suatu proyek dan prosedur dalam mengimplementasikan kebijakan tersebut ditetapkan. Tingkat efektif suatu proses manajemen dalam mengembangankan proyek adalah institutionalized, dengan memungkinkan organisasi untuk mengulangi pengalaman yang berhasil dalam mengembangkan proyek sebelumnya, walaupun terdapat proses tertentu yang tidak sama. Tingkat efektif suatu proses mempunyai karakteristik seperti : practiced, dokumentasi, enforced, trained, measured, dan dapat ditingkatkan.
Level 3 (Defined Level) : Pada level ini, proses standar dalam pengembangan suatu produk baru didokumentasikan, proses ini didasari pada proses pengembangan produk yang telah diintegrasikan. Proses-proses ini digunakan untuk membantu manejer, ketua tim dan anggota tim pengembangan sehingga bekerja dengan lebih efektif. Suatu proses yang telah didefenisikan dengan baik mempunyai karakteristik; readiness criteria, inputs, standar dan prosedur dalam mengerjakan suatu proyek, mekanisme verifikasi, output dan kriteria selesainya suatu proyek.
Level 4 (Managed Level) : Pada level ini, organisasi membuat suatu matrik untuk suatu produk, proses dan pengukuran hasil. Proyek mempunyai kontrol terhadap produk dan proses untuk mengurangi variasi kinerja proses sehingga terdapat batasan yang dapat diterima. Resiko perpindahan teknologi produk, prores manufaktur, dan pasar harus diketahui dan diatur secara hati-hati. Proses pengembangan dapat ditentukan karena proses diukur dan dijalankan dengan limit yang dapat diukur.
Level 5 (Optimized Level) : Pada level ini, seluruh organisasi difokuskan pada proses peningkatan secara terus-menerus. Teknologi informasi sudah digunakan terintegrasi untuk otomatisasi proses kerja dalam perusahaan, meningkatkan kualitas, efektifitas, serta kemampuan beradaptasi perusahaan. Tim pengembangan produk menganalisis kesalahan dan defects untuk menentukan penyebab kesalahannya. Proses pengembangan melakukan evaluasi untuk mencegah kesalahan yang telah diketahui dan defects agar tidak terjadi lagi.