Sejarah COBIT
COBIT merupakan singkatan dari Control Objectives for Information and Related Technology,
dipublikasikan oleh Information Systems
Audit and Control Foundation di tahun 1996 dan diupdate pada tahun 1998 dan
2000. COBIT berisi kerangka kerja pengendalian internal yang secara spesifik
berkaitan dengan teknologi informasi. Misi dari COBIT adalah melakukan
penelitian, mengembangkan, mempublikasikan, dan mempromosikan sebuah kumpulan
pengendalian terhadap teknologi informasi yang otoritatif, terbaru, dan
diterima secara internasional untuk kebutuhan manajer bisnis dan auditor.
COBIT berisi perangkat evaluasi IT
yang menyeluruh tentang hampir semua standar utama yang pada umumnya diterima
di seluruh dunia tentang kendali dan IT. Dalam perkembangannya COBIT mengambil
standar dari International Organization
for Standarization (ISO); Electronic
Data Interchange for Administration, Commerce, and Trade (EDIFACT); Council of Europe; Organization for Economic
Cooperation and Development (OECD); ISACA; Information Technology Security Evaluation Criteria (ITSEC); Trusted Computer Security Evaluation
Criteria (TCSEC); COSO; United States
General Accounting Office (GAO); International
Federation of Accountants (IFAC); IIA; American
Institute of Certified Public Accountants (AICPA); CICA; European Security Forum (ESF); Infosec Business Advisory Group (IBAG); National Institute of Standars and
Technology (NIST); dan the Department
of Trade and Industry (DTI) of the
United Kingdom.
Pengertian COBIT
COBIT dapat diartikan sebagai tujuan pengendalian untuk
informasi dan teknologi terkait dan merupakan standar terbuka untuk
pengendalian terhadap teknologi informasi yang dikembangkan dan dipromosikan
oleh IT Governance Institute. COBIT
pertama sekali diperkenalkan pada tahun 1996 adalah merupakan alat (tool) yang disiapkan untuk mengatur
teknologi informasi (IT Governance tool).
COBIT di terbitkan oleh IT Governance
Institute. COBIT dengan komponen pedoman manajemen yang berisi respon
kerangka kerja untuk pengukuran dan pengendalian teknologi informasi dengan
menyediakan alat-alat untuk menilai dan mengukur kemampuan teknologi informasi
perusahaan dengan menggunakan 34 proses TI COBIT. Alat-alat tersebut yaitu [6]:
1. Elemen
pengukuran kinerja (pengukuran hasil dan kinerja yang mengarahkan bagi seluruh
proses TI)
2. Daftar
faktor kritis kesuksesan (CSF) yang disediakan secara ringkas praktek terbaik
non teknis dari tiap proses TI
3. Model
Maturity untuk membantu dalam benchmarking dan pengambilan keputusan
bagi peningkatan kemampuan.
COBIT terdiri atas enam volume: Executive Summary, Framework, Control Objectives, Audit Guidelines,
Management Guidelines, dan Implementation
Tool Set. Paket COBIT juga muncul dalam bentuk diskete dan CDROM yang
berisi slide powerpoint di dalam Implementation
Tool Set .
Kerangka Kerja COBIT
Di dalam kerangka kerja COBIT (seperti pada gambar II.5.),
terdapat tujuh persyaratan informasi bisnis, atau kriteria: effectiveness, efficiency, confidentiality,
integrity, availability, compliance,
dan reliability. COBIT kemudian
menspesifikasikan sumber daya IT yang harus disediakan untuk memberikan
kebutuhan bisnis oleh proses bisnis, yaitu: people,
application systems, technology,facilities, dan data.
COBIT mengelompokan aktivitas individual di dalam
lingkungan IT kedalam 34 proses dan kemudian mengelompokan proses tersebut
menjadi 4 domain. Keempat domain tersebut adalah: Planning and Organization (11
proses), Acquisition and Implementation
(6 proses), Delivery and Support (13 proses), dan Monitoring (4 proses).
Pada edisi ketiga, COBIT melakukan cross
reference dari setiap 34 proses ke dalam 318 kendali objektif (perhatikan
gambar 1)
Gambar 1. COBIT Framework
COBIT kemudian mengidentifikasikan aplikasi dan beserta
tingkatannya (primary atau secondary) dari tujuh kriteria informasi
untuk setiap 34 proses IT. COBIT memetakan lima sumber daya IT yang dapat
diaplikasikan untuk tiap proses IT.
COBIT memberikan sebuah template audit guideline untuk
membantu proses evaluasi dan pengujian dari kendali objektif. Pendekatan umum
tersebut adalah: mendapatkan (obtain)
pemahaman tentang proses, evaluasi (evaluate)
kendali, menilai (assess) kepatuhan,
dan memperkirakan (substantiate)
risiko dari kendali objektif yang tidak terpenuhi. Template diaplikasikan untuk
tiap 34 proses, dengan detail audit
guideline yang spesifik untuk setiap proses.
Berikut ini dijelaskan 4 domain dari
COBIT adalah sebagai berikut :
1)
Planning
& Organisasion (PO), mencakup masalah strategi, taktik, dan
identifikasi cara terbaik TI untuk memberikan kontribusi maksimal terhadap
pencapaian tujuan bisnis organisasi. Realisasi strategi perlu direncanakan,
dikomunikasikan dan dikelola dengan berbagai sudut pandang yang berbeda.
Implementasi strategi harus disertai infrastruktur yang memadai dan dapat
mendukung kegiatan bisnis organisasi.
2)
Acquisition
& Implementation (AI), realisasi strategi yang telah ditetapkan harus
disertai solusi-solusi TI yang sesuai, kemudian solusi TI tersebut diadakan
diimplementasikan dan diintegrasikan ke dalam proses bisnis organisasi. Domain
ini juga meliputi perubahan dan perawatan yang dibutuhkan sistem yang sedang
berjalan, untuk memastikan daur hidup sistem tersebut tetap terjaga.
3)
Delivery
& Support (DS), mencakup proses pemenuhan layanan TI, keamanan sistem,
kontinuitas layanan, pelatihan dan pendidikan untuk pengguna, dan pemrosesan
data yang sedang berjalan.
4)
Monitoring
(M), untuk menjaga kualitas dan ketaatan terhadap kendali yang diterapkan,
seluruh proses IT harus diawasi dan dinilai kelayakannya secara regular. Domain
ini berfokus pada masalah kendali-kendali yang diterapkan dalam organisasi,
pemeriksaan intern dan ekstern (internal
& external audit) dan jaminan independent
dari proses pemeriksaan yang dilakukan.
Tiga puluh empat proses COBIT
PLANNING AND ORGANISATION (PO)
1.
PO1-Menetapkan Rencana StrategisTeknologi Informasi (Define a Strategic IT Plan)
2.
PO2-Menetapkan Arsitektur Informasi (define the Informastion Architecture)
3.
PO3-Menetapkan Arah Teknologi (Determine
Technological Direction)
4.
PO4-Menetapkan Organisasi IT dan Hubungannya (Define the IT Organisation and Relationships)
5.
PO5-Mengatur InvestasiIT (Manage
the IT Investment)
6.
PO6-Mengkomunikasikan Tujuan dan Arahan Manajemen (Communicate Management Aims and Direction)
7.
PO7-Mengelola Sumberdaya Manusia (Manage
Human Resources)
8.
PO8-Memastikan Kesesuaian dengan kebutuhan-kebutuhan eksternal (Ensure Compliance with External
Requirements)
9.
PO9-Menilai Resiko (Assess Risks)
10.
PO10-Mengatur Peoyek (Manage
Projects)
11.
PO11-Mengatur Kualitas (Manage
Quality)
|
ACQUISITION AND IMPLEMENTATION (AI)
|
12. AI1-Identifikasi solusi-solusi
otomatisasi (Identify Automated
Solutions)
13. AI2-Memperoleh dan memlihara
perangkat lunak aplikasi (Acquire and
Maintain Application Software)
14. AI3-Memperoleh dan memelihara
infrastruktur Teknologi (Acquire and
Maintain Technology Infrastructure)
15. AI4-Mengembangkan dan memelihara
prosedur (Develop and Maintain
Procedures)
16. AI5-Instalasi dan pengakuan sistem
(Install and Accredit Systems)
17. AI6-Mengatur Perubahan (Manage Changes)
|
DELIVERY AND SUPPORT (DS)
|
18. DS1-Menetapkan dan mengatur tingkat
pelayanan (Define & Manage Service
Levels)
19. DS2-Mengelola layanan pihak ke tiga
(Manage Third-Party Services)
20. DS3-Mengelola kapasistas dan
kinerja (Manage performance &
Capacity)
21. DS4-Menjamin layanan berkelanjutan
(Ensure Continuous service)
22. DS5-Menjamin keamanan sistem (Ensure System Security)
23. DS6-Mengidentifikasikan dan
mengalokasikan biaya (Identify &
Allocate Cost)
24. DS7-Mendidik dan melatih user (Educate & Train Users)
25. DS8-Membantu dan memberikan masukan
kepada pelanggan (Assist and Advise
Customers)
26. DS9-Mengelola konfigurasi (Manage the Configuration)
27. DS10-Mengelola kegiatan dan
permasalahan (Manage problems and
Incidents)
28. DS11-Mengelola Data (Manage Data)
29. DS12-Mengelola Fasilitas (Manage Facility)
30. DS13-Mengelola Operasi (Manage Operations)
|
MONITORING
|
31. M1-Mengawasi proses (Monitor the Processes)
32. M2-Menilai kecukupan pengendalian
internal (Assess Internal Control
Adequacy)
33. M3-Memperoleh jaminan Independen (Obtain Independent Assurance)
34. M4-Menyediakan Audit Independen (Provide for Independent Audit)
|
COBIT menetapkan informasi yang baik dan dibutuhkan oleh
bisnis dalam perusahaan haruslah informasi yang mengandung kriteria-kriteria
berikut dan ada pada gambar II.6 [5] :
1. Efektivitas
Informasi yang relevan terhadap proses bisnis, misal :
informasi dikirimkan dengan cara tepat waktu, benar, dapat dipakai dan
konsisten.
2. Efisiensi
Berhubungan dengan informasi yang optimal
terhadap penggunaan sumber daya.
3. Kerahasiaan
Berhubungan dengan perlindungan terhadap informasi yang
sensitip dari penyalahgunaan.
4. Integritas
Berhubungan dengan kelengkapan dan ketelitian informasi
seperti halnya kebenaran terhadap satuan nilai-nilai bisnis.
5. Ketersediaan
Berhubungan dengan informasi yang tersedia ketika
diperlukan oleh proses bisnis, dan ada berhubungan dengan perlindungan sumber
daya.
6. Pemenuhan
Berhubungan dengan pengaturan yang sesuai
bagi proses bisnis adalah pokok.
7. Keandalan
Informasi
Berhubungan dengan sistem yang menyediakan informasi untuk
manajemen yang sesuai dengan pengoperasiannya, misalnya : pelaporan keuangan
kepada para pemakai informasi keuangan.
Tidak ada komentar:
Posting Komentar