Aspek pada Management Control Framework

7 Aspek Management Control Framework :

·       Top management Controls

·       System Development Management Controls

·       Programming Management Controls

·       Data Resources Management Controls

·       Security Management Controls

·       Operations Management Controls

·       Quality Assurance Management Controls

 

1.      Top Management Controls

Para manajer senior yang bertanggung jawab atas fungsi Sistem Informasi (SI) menghadapi berbagai tantangan seperti perkembangan teknologi dan peran SI dalam organisasi.

Auditor perlu mengevaluasi:

a)     The Planning Function

Strategic plan

Rencana jangka panjang, misal: 3-5 tahun

Meliputi:

·       Penilaian aset informasi saat ini

·       Arahan strategis

·       Strategi pengembangan

 

Operational plan

Rencana jangka pendek, misal: 1-3 tahun

Meliputi:

·       Progress report

·       Initiatives to be undertaken

·       Rencana implementasi

 

b)    The organizing function

Fungsi pengorganisasian mengumpulkan, mengalokasi, dan mengelola struktur sumber daya (perangkat keras, perangkat lunak, staf, keuangan, dan fasilitas) untuk menjamin pencapaian tujuan dan sasaran.

 

c)     The leading function

Tujuannya menjaga agar sasaran individu atau kelompok sebaiknya tidak bertentangan dengan sasaran organisasi. Meliputi tugas manajer untuk memotivasi, mengarahkan dan berkomunikasi dengan staf.

Karakteristik manajer yang memiliki gaya kepemimpinan efektif:

·       Awareness: memahami pentingnya motivasi dan kepemimpinan

·       Empathy: dapat menempatkan diri dalam posisi staf

·       Objectivity: dapat mengevaluasi kejadian tanpa emosi

·       Self-knowledge: mengetahui akibat dari setiap tindakan

 

d)    The controlling function

Fungsi kontrol menentukan bahwa aktivitas aktual dari fungsi SI telah sesuai dengan yang direncanakan. Kontrol dapat dilakukan dengan menetapkan kebijakan dan standar untuk setiap aktivitas yang berkaitan dengan fungsi SI. Hal-hal yang dapat digunakan sebagai bahan evaluasi:

·       Berapa pengeluaran yang seharusnya untuk fungsi SI?

·       Apakah organisasi memperoleh nilai sesuai dengan biaya yang dikeluarkan dari fungsi SI?

 

2.     System Development Management Controls

Manajemen pengembangan sistem meliputi fungsi analisis, desain, pembangunan, implementasi dan pemeliharaan SI.

 

Auditor dapat menggunakan 3 pendekatan:

a.     Concurrent audit.

Auditor berpartisipasi sebagai anggota tim pengembang sistem.Biasanya oleh auditor internal

b.     Post implementation audit.

Untuk mengevaluasi sistem yang telah diimplementasikan.

c.     General audit.

Evaluasi proses pengembangan sistem secara umum.Biasanya oleh audit eksternal

 

3.     Programming Management Controls

Karakteristik program yang baik diantaranya:

a.     Fungsi-fungsi berjalan dengan tepat dan lengkap

b.     Memiliki antarmuka pengguna yang berkualitas

c.     Bekerja secara efisien

d.     Dirancang dan didokumentasikan dengan baik

e.     Pemeliharaannya mudah

f.       Kuat, sekalipun dalam kondisi yang tidak normal

 

4.    Data Resources Management Controls

Berbagai organisasi menyadari pentingnya data sebagai sumber daya kritis yang harus dikelola dengan baik.

 

Sasaran :

·       Shareability: Pengguna harus dapat berbagi data

·       Availability: Data harus tersedia pada waktu, tempat dan dalam bentuk yang tepat

·       Evolvability: Data harus mudah dimodifikasi sesuai perubahan kebutuhan pengguna

·       Integrity: Integritas data harus terjamin

 

Solusi:

Teknis: DBMS dan data repository system (DRS)

Administratif: data administration (DA) dan DBA

 

5.     Security Management Controls

Program keamanan adalah sekumpulan review berkelanjutan, reguler, dan periodik untuk pengamanan aset SI.

 

Beberapa gangguan utama:

a.     Api

Merupakan ancaman serius untuk aset fisik SI. Administrator keamanan harus mengecek sistem perlindungan kebakaran secara rutin dan menjamin service berkala, memastikan staf mampu mengoperasikan sistem dan terlatih.

 

b.     Air

Bisa disebabkan oleh banjir, tornado, hujan deras, atau air pemadam api yang mengenai perangkat keras. Pastikan drainase baik, letakkan alarm di lokasi hardware penting, letakkan perangkat di atas level air, tutup perangkat dengan penutup tahan air saat tidak digunakan, dll.

 

c.     Kelistrikan

Bisa berupa tegangan listrik rendah, korsleting, atau mati listrikGunakan voltage regulator, circuit breakers, dan UPS

 

d.     Bencana Alam

Berupa gempa bumi, angin, lumpur, salju, tanah longsor, atau kecelakaan. Administrator keamanan harus mencegah dan memiliki prosedur penanganannya

 

e.     Polusi

Dapat berupa debu, cairan, atau elemen lain yang mengganggu perangkat beserta data yang terkandung di dalamnyaKebersihan harus dijaga secara rutin, termasuk pula prosedur untuk menjaga kebersihan di lingkungan perangkat, misal dilarang makan di ruang kerja.

 

f.       Virus dan Worms

Virus dan worms dapat menyerang SI dengan tingkat perusakan yang beragam. Dapat ditangani dengan mencegah munculnya virus dan worms, mendeteksi timbulnya virus dan worms, dan memperbaiki sistem yang rusak karena virus / worms

 

g.     Bentuk gangguan lain

Dapat berupa intrusi fisik maupun nonfisik (penyadap). Ditangani dengan membangun pembatas (fisik) dan prosedur pengaman, mis. Dilarang membawa kamera, gorden di tiap jendela.

 

Disaster Recovery Plan (DRP) adalah proses, kebijakan, dan prosedur untuk mengembalikan kinerja infrastruktur teknologi setelah terjadi bencana.

DRP terdiri atas 4 bagian:

·       Emergency plan: aksi yang harus dilakukansegera jika terjadi bencana

·       Backup plan: Tipe, frekuensi, prosedur,lokasi, dan pelaksana backup

·       Recovery plan: Prosedur untuk mengembalikankemampuan SI

·       Test plan: Untuk mengidentifikasi defisiensirencana emergency, backup dan recovery

 

6.    Operations Management Controls

Manajemen operasi bertanggung jawab pada operasional harian fasilitas hardware dan software agar staf pengembang dapat merancang, implementasi dan memelihara sistem aplikasi. Kontrol yang diperlukan, meliputi :

 

a.     Computer operations

Berupa aktivitas untuk mendukung eksekusi harian sistem pengujian atau produksi.

 

b.     Network Operations

Kontrol yang penting adalah dalam penggunaan network control terminal (pada WAN) dan file servers (pada LAN).

Audit dapat mengevaluasi reliabilitas kontrol operasi network control terminal dan file servers melalui wawancara, observasi, dan review dokumentasi.

 

c.     Data preparation and entry

Fasilitas persiapan dan entri data harus dirancang untuk meningkatkan kecepatan dan akurasi operator. Operator harus terlatih, dan ada mekanisme backup yang sesuai.

Auditor mengevaluasi standar yang diterapkan untuk persiapan dan entri data serta memeriksa dokumen yang menunjukkan kesesuaian pelaksanaan persiapan dan entri data dengan standar yang diacu.

 

d.     Production control

Dilakukan dengan:

- Mengelola input dan output

- Penjadwalan kerja

- Manajemen SLA (service-level agreements) dengan pengguna

- Transfer pricing/ chargeout

- Akuisisi hasil komputer

Auditor mengevaluasi file yang telah disiapkan dan terdokumentasi sesuai standar.

 

e.     File library

Bertanggung jawab untuk mengelola media penyimpan berbasis mesin yang digunakan dalam organisasi.

Fungsi utama:

- Media penyimpan harus tersimpan dengan aman

- Media hanya dapat digunakan untuk tujuan yang sah

- Media harus terpelihara secara teratur

- Lokasi penyimpanan harus sesuai, pemindahan media harus terkendali

Auditor dapat melakukan wawancara, observasi dan review dokumen untuk memastikan bahwa media telah disimpan, digunakan, dipelihara dan dimusnahkan dengan baik.

 

f.       Documentation and program library

Bertanggung jawab dalam pemeliharaan dokumentasi yang diperlukan untuk mendukung operasi komputer dan mengelola inventaris software yang terkait.

Meliputi dokumen rencana strategis dan operasional, dokumentasi sistem aplikasi, program aplikasi, system-software dan utility, basis data, manual operasi, manual pengguna, dan manual standar. Tantangan aktivitas ini cukup besar karena tanggung jawab dokumentasi biasanya tersebar di seluruh bagian organisasi dan bentuk serta lokasinya sangat beragam.

Auditor dapat melakukan wawancara, observasi dan review dokumentasi untuk mengevaluasi apakah dokumentasi telah dilakukan dan dikelola dengan aman, dan hanya dapat diakses oleh pihak yang berwenang.

 

g.     Helpdesk/ technical support

Tanggung jawab utama dari helpdesk/technical support adalah mendampingi pengguna akhir dalam menggunakan hardware dan software, serta memberikan dukungan teknis untuk sistem produksi berupa resolusi masalah.

Auditor dapat mengevaluasi kinerja helpdesk/ technical support melalui wawancara, observasi dan review dokumentasi. Mencari tahu kepuasan pengguna akhir. Serta melihat log/ laporan akurasi, kelengkapan dan waktu respon staf.

 

h.     Capacity planning and performance monitoring

Dalam memanfaatkan SI untuk mencapai tujuan dengan biaya seminimal mungkin, manajer operasi harus memutuskan:

- Apakah laporan performansi menunjukkan penyalahgunaan fasilitas

- Apakah performansi sistem dapat diterima dan sesuai dengan kebutuhan pengguna

- Apakah perlu penambahan hardware dan software

Auditor mengevaluasi kinerja manajer operasi dalam melakukan pengawasan ataupun pengambilan keputusan terkait perencanaan kapasitas.

 

i.       Outsourced operations

Organisasi biasanya melakukan outsource sebagian fungsi SI agar bisa lebih fokus pada bisnis utamanya dan fungsi SI dapat berjalan dengan baik karena dipegang oleh pihak yang kompeten.

Tipe-tipe kontrol yang penting:

- Evaluasi terus-menerus tentang kelayakan keuangan pihak penyedia outsource

- Memastikan kesesuaian dengan syarat dan ketentuan kontrak outsourcing

- Memastikan keandalan berkelanjutan dari kontrol dalam operasi penyedia outsource

- Mengelola prosedur disaster recovery dengan penyedia outsource

 

7.     Quality Assurance Management Controls

Manajemen Quality Assurance (QA) berperan memastikan bahwa SI yang dihasilkan oleh fungsi-fungsi SI mencapai tujuan kualitas, dan pengembangan, implementasi, operasi dan pemeliharaan SI sesuai dengan sekumpulan standar kualitas. Alasan pentingnya peran QA dalam organisasi dintaranya semakin banyak organisasi yang menggunakan SI sebagai aset utama, tuntutan pengguna akan SI yang berkualitas makin meningkat, ambisi organisasi akan kualitas software makin meningkat, organisasi makin bertanggung jawab untuk menghindari produk (software) cacat. Kontrol kualitas yang buruk beresiko dan berbiaya tinggi.

 

Peran QA berkaitan erat dengan kepentingan audit. Jika QA ada dan berfungsi baik, auditor dapat mengurangi substantive testing yang perlu dilakukan. Staf QA mestinya dapat melakukan pengecekan kontrol SI yang lebih komprehensif, sehingga hasilnya dapat diandalkan oleh auditor. Auditor dapat berfokus pada evaluasi fungsi dan peran QA tanpa perlu terlalu dalam menguji kontrol SI.

 

Sumber :

http://ferryrahman9.blogspot.com/2017/10/audit-sistem-informasi.html

https://faizulhamdi.wordpress.com/2013/10/28/management-control-framework/

http://afrizalseptember.blogspot.co.id/2014/12/konsep-audit-sistem-informasi.html