Tugas Individu Audit Teknologi Sistem Informasi

UNIVERSITAS GUNADARMA

Tugas Individu Audit Teknologi Sistem Informasi

Nama : Audi Muhamad

NPM : 11115128

Kelas : 4KA11

Audit sistem informasi

Audit merupakan sebuah kegiatan yang melakukan pemerikasaan untuk menilai dan mengevaluasi sebuah aktivitas atau objek seperti implementasi pengendalian internal pada sistem informasi akuntansi yang pekerjaannya ditentukan oleh manajemen atau proses fungsi akuntansi yang membutuhkan improvement. Proses auditing telah menjadi sangat rapi di Amerika Serikat, khususnya pada bidang profesional accounting association. Akan tetapi, baik profesi audit internal maupun eksternal harus secara terus menerus bekerja keras untuk meningkatkan dan memperluas teknik, karena profesi tersebut akan menjadi tidak mampu untuk mengatasi perkembangan dalam teknologi informasi dan adanya tuntutan yang semakin meningkat oleh para pemakai informasi akuntansi.

Meskipun berbagai macam tipe audit dilaksanakan, sebagian besar audit menekankan pada sistem informasi akuntansi dalam suatu organisasi dan pencatatan keuangan dan pelaksanaan operasi organisasi yang efektif dan efisien.

Secara garis besar perlunya pelaksanaan audit dalam sebuah perusahaan yang telah mempunyai keahlian dalam bidang teknologi informasi yaitu antara lain:

A. Kerugian akibat kehilangan data.

Data yang diolah menjadi sebuah informasi, merupakan aset penting dalam organisasi bisnis saat ini. Banyak aktivitas operasi mengandalkan beberapa informasi yang penting. Informasi sebuah organisasi bisnis akan menjadi sebuah potret atau gambaran dari kondisi organisasi tersebut di masa lalu, kini dan masa mendatang. Jika informasi ini hilang akan berakibat cukup fatal bagi organisasi dalam menjalankan aktivitasnya.

Sebagai contoh adalah jika data nasabah sebuah bank hilang akibat rusak, maka informasi yang terkait akan hilang, misalkan siapa saja nasabah yang mempunyai tagihan pembayaran kredit yang telah jatuh tempo. Atau juga misalkan kapan bank harus mempersiapkan pembayaran simpanan deposito nasabah yang akan jatuh tempo beserta jumlahnya. Sehingga organisasi bisnis seperti bank akan benar-benar memperhatikan bagaimana menjaga keamanan datanya. Kehilangan data juga dapat terjadi karena tiadanya pengendalian yang memadai, seperti tidak adanya prosedur back-up file. Kehilangan data dapat disebabkan karena gangguan sistem operasi pemrosesan data, sabotase, atau gangguan karena alam seperti gempa bumi, kebakaran atau banjir.

B. Kerugian akibat kesalahan pemrosesan komputer.

Pemrosesan komputer menjadi pusat perhatian utama dalam sebuah sistem informasi berbasis komputer. Banyak organisasi telah menggunakan komputer sebagai sarana untuk meningkatkan kualitas pekerjaan mereka. Mulai dari pekerjaan yang sederhana, seperti perhitungan bunga berbunga sampai penggunaan komputer sebagai bantuan dalam navigasi pesawat terbang atau peluru kendali. Dan banyak pula di antara organisasi tersebut sudah saling terhubung dan terintegrasi. Akan sangat mengkhawatirkan bila terjadi kesalahan dalam pemrosesan di dalam komputer. Kerugian mulai dari tidak dipercayainya perhitungan matematis sampai kepada ketergantungan kehidupan manusia

C. Pengambilan keputusan yang salah akibat informasi yang salah.

Kualitas sebuah keputusan sangat tergantung kepada kualitas informasi yang disajikan untuk pengambilan keputusan tersebut. Tingkat akurasi dan pentingnya sebuah data atau informasi tergantung kepada jenis keputusan yang akan diambil. Jika top manajer akan mengambil keputusan yang bersifat strategik, mungkin akan dapat ditoleransi berkaitan dengan sifat keputusan yang berjangka panjang. Tetapi kadangkala informasi yang menyesatkan akan berdampak kepada pengambilan keputusan yang menyesatkan pula.

D. Kerugian karena penyalahgunaan komputer (Computer Abused)

Tema utama yang mendorong perkembangan dalam audit sistem informasi dalam sebuah organisasi bisnis adalah karena sering terjadinya kejahatan penyalahgunaan komputer. Beberapa jenis tindak kejahatan dan penyalah-gunaan komputer antara lain adalah virus, hacking, akses langsung yang tak legal (misalnya masuk ke ruang komputer tanpa ijin atau menggunakan sebuah terminal komputer dan dapat berakibat kerusakan fisik atau mengambil data atau program komputer tanpa ijin) dan atau penyalahgunaan akses untuk kepentingan pribadi (seseorang yang mempunyai kewenangan menggunakan komputer tetapi untuk tujuan-tujuan yang tidak semestinya).

• Hacking - seseorang yang dengan tanpa ijin mengakses sistem komputer sehingga dapat melihat, memodifikasi, atau menghapus program komputer atau data atau mengacaukan sistem.

• Virus - virus adalah sebuah program komputer yang menempelkan diri dan menjalankan sendiri sebuah program komputer atau sistem komputer di sebuah disket, data atau program yang bertujuan mengganggu atau merusak jalannya sebuah program atau data komputer yang ada di dalamnya. Virus dirancang dengan dua tujuan, yaitu pertama mereplikasi dirinya sendiri secara aktif dan kedua mengganggu atau merusak sistem operasi, program atau data.

Dampak dari kejahatan dan penyalahgunaan komputer tersebut antara lain:

• Hardware, software, data, fasilitas, dokumentasi dan pendukung lainnya rusak atau hilang dicuri atau dimodifikasi dan disalahgunakan.

• Kerahasiaan data atau informasi penting dari orang atau organisasi rusak atau hilang dicuri atau dimodifikasi.

• Aktivitas operasional rutin akan terganggu.

• Kejahatan dan penyalahgunaan komputer dari waktu ke waktu semakin meningkat, dan hampir 80% pelaku kejahatan komputer adalah orang dalam.

E. Nilai hardware, software dan personil sistem informasi.

Dalam sebuah sistem informasi, hardware, software, data dan personil adalah merupakan sumberdaya organisasi. Beberapa organisasi bisnis mengeluarkan dana yang cukup besar untuk investasi dalam penyusunan sebuah sistem informasi, termasuk dalam pengembangan sumberdaya manusianya. Sehingga diperlukan sebuah pengendalian untuk menjaga investasi di bidang ini.

F. Pemeliharaan kerahasiaan informasi

Informasi di dalam sebuah organisasi bisnis sangat beragam, mulai data karyawan, pelanggan, transaksi dan lainya adalah amat riskan bila tidak dijaga dengan benar. Seseorang dapat saja memanfaatkan informasi untuk disalahgunakan. Sebagai contoh bila data pelanggan yang rahasia, dapat digunakan oleh pesaing untuk memperoleh manfaat dalam persaingan.

Pada saat komputer pertama kali digunakan, banyak auditor mempunyai pemikiran bahwa proses audit akan harus banyak mengalami perubahan untuk menyesuaikan dengan penggunaan teknologi komputer. Ada dua utama yang harus diperhatikan dalam audit atas pemrosesan data elektronik, yaitu pengumpulan bukti (evidence collection) dan evaluasi bukti (evidence evaluation)

TUJUAN dan LINGKUP AUDIT SISTEM INFORMASI

Tujuan Audit Sistem Informasi dapat dikelompokkan ke dalam dua aspek utama, yaitu:

• Conformance (Kesesuaian) – Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kesesuaian, yaitu : Confidentiality (Kerahasiaan), Integrity (Integritas), Availability (Ketersediaan) dan Compliance (Kepatuhan).

• Performance (Kinerja) - Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kinerja, yaitu : Effectiveness (Efektifitas), Efficiency (Efisiensi), Reliability (Kehandalan).

PERAN AUDITOR dan AKUNTAN

Sebagian besar jurusan akuntansi mengisi posisi internal maupun eksternal auditor dan akan sangat dilibatkan dalam program dan proses audit. Para akuntan pemerintah atau industri akan membantu auditor untuk mengevaluasi informasi yang dihasilkan dan mengendalikan kelemahan pada system. Mereka yang dilibatkan dalam sistem analisis dan desain diharapkan dapat mengembangkan sebuah sistem yang menyediakan informasi yang handal.

Pemakaian auditor terus meningkat sebagai penasehat selama merancang pengembangan sistem. Auditor mungkin membantu dalam pemilihan ukuran keamanan dan kendali, menaksir cost, dan pengendalian keuntungan dan penentuan prosedur audit yang paling efektif.

DEFINISI AUDIT SISTEM INFORMASI

Merupakan suatu proses pengumpulan dan pengevaluasian bukti-bukti yang dilakukan oleh pihak yang independen dan kompeten untuk mengetahui apakah suatu sistem informasi dan sumber daya terkait, secara memadai telah dapat digunakan untuk:

• melindungi aset,

• menjaga integritas dan ketersediaan sistem dan data,

• menyediakan informasi yang relevan dan handal,

• mencapai tujuan organisasi dengan efektif,

• menggunakan sumber daya dengan efisien,

TIPE AUDIT

Audit yang dilaksanakan sesuai tipe perusahaan yaitu operasional, compliance, pengembangan system, internal control, financial dan kecurangan audit. Empat jenis auditor yang dilibatkan dalam menyelenggarakan audit yang di list adalah:

1. Internal auditor adalah karyawan perusahaan, yang pada umumnya melaksanakan compliance, operasional, pengembangan sistem, pengawasan intern dan kecurangan audit.

2. Ekstenal auditor adalah akuntan publik independen yang ditugaskan oleh perusahaan, secara khusus melaksanakan audit keuangan. Dalam berbagai macam audit keuangan, eksternal auditor dibantu oleh internal auditor. akantetapi auditor eksternal yang bertanggung jawab untuk menegaskan kewajaran laporan keuangan.

3. Goverment auditor, melaksanakan pemenuhan audit atau menguji laporan perusahaan atas pengawasan yang menyangkut para pegawai pemerintahan. sebagai contoh, pemeriksa bank pemerintahan melaksanakan audit bank, auditor yang dtugaskan oleh auditor negara yang umumnya melaksanakan audit daerah dan para pegawai pemerintah

4. Fraud auditor, mengkhususkan dalam menyelidiki kecurangan dan bekerja secara tertutup dengan internal auditor dan pengacara. fraud examminer misalnya: kesatuan FBI penyelidikan kecurangan, perusahan besar akuntan publik , IRS, perusahaan asuransi.

Jenis-jenis audit:

1. Operational audit, terkonsen pada efisiensi dan efectifitas dengan semua sumberdaya yang digunakan untuk melaksanakan tugas, cakupanya meliputi kesesuaian praktik dan prosedur dengan peraturan yang ditetapkan

2. Compliance audit terkonsentrasi pada cakupan undang-undang, peraturan pemerintah, pengendalian dan kewajiban badan eksternal lain yang telah diikut.

3. Project manajement and change control audit,(dulu dikenal sebagai suatu pengembangan sistem audit) terkonsentrasi oleh efesiensi dan efektifitas pada berbagai tahap pengembangan sistem siklus kehidupan yang sedang diselenggarakan.

4. Internal control audit terkonsentrasi pada evaluasi struktur pengendalian internal

5. Financial audit terkonsentrasi pada kewajaran laporan keuangan yang menunjukan posisi keuangan, aliran kas dan hasil kinerja perusahaan.

6. Fraud audit adalah nonrecurring audit yang dilaksanakan untuk mengumpulkan bukti untuk menentukan apakah sedang terjadi, telah terjadi atau akan terjadi kecurangan. Dan penyelesaian hal sesuai dengan pemberian tanggungjawab.

BASIC AUDITING CONSIDERATIONS

• Etika dan standar audit

Kebutuhan akan etika. Setiap profesi mempunyai standar professional dalam bertingkah laku dan prakteknya. Statement ini ditulis dalam bentuk yang dapat dimengerti dan dapat dilaksanakan berdasarkan aturan yang ada. Kode etik auditor menunjukkan sikap dan prinsip yang harus ada pada auditor sehingga dapat memberikan kontribusi pada audit yang efektif, melindungi kepentingan pemilik perusahaan yang diaudit, dan menjaga hubungan yang baik dengan klien.

Dalam lingkup auditing, kode etik disebut codes of professional conduct. Internal auditor mengikuti standar-standar praktik professional internal auditing. Sedangkan auditor eksternal mengikuti pernyataan standar auditing. kedua standar ini mempunyai banyak persamaan.

Consultant independent yang berkecimpung dibidang manajemen dan system informasi juga mempunyai kode etik. Kode etik ini dikembangkan oleh AICPA yang serupa dengan standar auditor.

• Isi dari standar

Standar audit menentukan kualitas dan tingkah laku yang professional. Standar ini dibagi menjadi dua kelompok. Kelompok yang pertama membicarakan mengenai standar umum audit yaitu berhubungan dengan profesionalitas, dan independensi. Sedangkan standar yang kedua membicarakan mengenai lingkup audit seperti halnya :

1. eveluasi struktur pengendalian internal untuk menilai risiko pengendalian.

2. review terhadap semua dokumen dan catatan yang bersangkutan.

• Efek dari otomatisasi standar

Ketika perusahaan menggunakan system informasi akuntansi berbasis computer, pasti akan berakibat pada prosedur audit yang ditetapkan. Di lain pihak, dengan penggunaan system teknologi tidak memberikan pengaruh yang signifikan. Dengan kata lain, otomatisasi sangat tidak berpengaruh pada standar auditing professional yang berterima umum. Auditor dituntut untuk dapat menunjukkan profesionalismenya, termasuk pelatihan dan kecakapan yang memadai. Auditor diminta untuk mengikuti proses audit yang sama. Proses ini terdiri dari evaluasi terhadap internal control yang ada, termasuk saat menggunakan computer-oriented.

·         Impact of computerization on audit procedures

Seperti yang telah diterangkan, audit yang melibatkan SIA akan dipengaruhi oleh metode processing yang diterapkan.

Luas/cakupan dari computer processing yang digunakan dalam aplikasi akuntansi, seperti halnya tingkat kompleksitas processing, mungkin juga berpengaruh terhadap sifat, timing, dan luas dari prosedur audit.

Sebagai contoh, computer based system tidak menyediakan audit trail (jejak audit) yang nampak. Audit dalam sistem ini memerlukan hasil printout dari jurnal dan buku besar dan file record yang lain. Dengan penggunaan real-time processing system akan menambah tingkat kesulitan, dikarenakan sistem ini beroperasi tanpa membutuhkan dokumen sumber. Selain itu, sistem ini juga melakukan record secara update. Microcomputer hardware dapat dicuri dengan mudah dan dapat pila diakses oleh pihak-pihak yang tidak berwewenang. Sedangkan paket microcomputer software sering diproses tanpa pengecekan yang cukup. Network komputer memancarkan data ke berbagai wilayah terutama ke wilayah yang peka terhadap akses tanpa otorisasi dan gangguan. Jika keadaan ini mempengaruhi struktur internal control mak juga akan mempengaruhi proses audit.

Dikarenakan tingginya tingkat kompleksitas dari computer based processing, maka dibutuhkan tipe auditor khusus yaitu auditor sistem informasi komputer atau the computer information system auditor (CISA). CISA menguasai skill khusus, misalnya pengetahuan mengenai hardware dan software komputer, database technology, data communications technology, and computer oriented control and audit technique. Idealnya, auditor seharusnya mengusai berbagai skill yang dimiliki CISA. Bagaimanapun, keberadaan CISA yang berpengetahuan yang lebih mengenai teknologi informasi akan selalu dibutuhkan untuk membantu proses audit dalam sistem komputer yang kompleks.

·         Transaction cycle approach to auditing

Beberapa survei mengenai proses transaksi telah berorientasi pada cycle approach (pendekatan siklus). Pendekatan ini, sangat berguna bagi proses audit karena auditor dapat memperoleh pemahaman yang mendalam tentang struktur internal control. Pendekatan ini juga dapat menyederhanakan audit review. Contohnya, penerapan control yang identik antara siklus revenue dengan siklus expenditure yang dikarenakan kedua siklus ini berhubungan, maka model proses yang diberikan juga sama.

AUDITING PROCESS

Terdapat lima tahap dalam audit keuangan, yaitu:

1. Perencanaa audit pendahuluan

2. Review pendahuluan dan assesment terhadap struktur pengendalian internal

3. Pengujian pengendalian dalam audit

4. Pengujian substantif

5. Pelaporan audit

1. Perencanaa audit pendahuluan

Tahap pertama ini untuk menentukan kebutuhan audit serta menetapkan cakupan dan tujuan audit. Langkah selanjutnya mencari informasi mengenai industri perusahaan, meneliti kertas kerja tahun sebelumnya, mempersiapkan program audit, memperoleh pemahaman mengenai bisnis perusahaan dan mempersiapkan prosedur analitis. Prosedur analitis adalah tes untuk menguji hubungan antara data keuangan dan non keuangan dan untuk menyelidiki ketidakkonsistenan yang material.

2. Review pendahuluan dan assesment terhadap struktur pengendalian internal

Kegiatan yang dilakukan adalah:

• Pemeriksaan, Dokumentasi, dan Penilaian Sistem Pengendalian Internal. Auditor harus memahami terlebih dahulu mengenai sistem pengendalian internal perusahaan. Dengan pemahaman tersebut, auditor dapat menilai kekuatan dan kelemahan sistem pengendalian internal. Auditor sebaiknya menggunakan berbagai teknik untuk mengumpulkan fakta, seperti memeriksa kembali catatan dan dokumen, mengamati kegiatan, interview dengan personel inti dan memberikan kuisioner.

• Menilai dan Mengelompokkan Tingkat Resiko Pengendalian. Terdapat beberapa langkah :

1. Auditor melakukan penilaian pendahuluan berkaitan dengan keefektifan operasi dalam struktur pengendalian internal dan pengendalian khusus yang diterapkan dalam SAI harus diidentifikasi.

2. Auditor harus membuat judgement (penilaian) agar pengendalian internal yang diimplementasikan adalah pengendalian yang kritis dan mereka dapat bekerja sesuai yang ditentukan oleh manajemen.

3. Auditor harus menilai setiap kekuatan pengendalian internal, sehingga risiko pengendalian dapat diperkirakan. Pada tingkat di mana risiko itu berada dalam suatu kisaran yang dapat diterima, auditor mempersiapkan program audit yang menunjukkan langkah pengujian kekuatan pengendalian yang terkait. Resiko pengendalian diartikan sebagai risiko yang menunjukkan pernyataan salah secara material dalam asersi-asersi yang mengarah pada kesalahan yang signifikan dalam laporan keuangan.

• Keefektifan Biaya dalam Pengujian Pengendalian. Pengujian terhadap risiko pengendalian pendahuluan harus mempertimbangkan faktor biaya. Oleh karena itu alternatif yang mungkin bisa dilakukan oleh seseorang dengan adanya audit lebih memperluas prosedur pengujian substanstif.

3. PENGUJIAN PENGENDALIAN DALAM AUDIT

Kegiatan yang dilakukan dalam tahap ini adalah :

• Melakukan Pengujian Pengendalian. Pengujian pengendalian adalah pengumpulan bukti-bukti yang berfungsi secara efektif dan konsisten.

• Mengevaluasi Pengujian Pengendalian yang diperoleh. Setelah memperoleh hasil-hasil pengujian, auditor dapat mengevaluasi efektifitas operasional dari sistem pengendalian internal. Bukti tersebut mendukung penemuan audit untuk tiap-tiap siklus transaksi yang dievaluasi. Evaluasi yang dihasilkan ini menunjukkan judgement auditor yang terbaik berkaitan dengan (a) memadainya pengendalian yang diamati dan (b) kemampuan menemukan ketidakcukupan hasil pengujian.

• Penilaian Akhir terhadap Risiko Pengendalian. Berdasarkan evaluasi di atas auditor menilai tingkat risiko pengendalian tertentu untuk tiap-tiap kelompok transaksi yang utama. Tingkat risiko pengendalian akhir memberikan dasar untuk memperkirakan tingkat risiko yang terdeteksi yang akan datang, sifat, waktu, serta luasnya prosedur pengujian substantif.

• Mengembangkan Program Audit Final. Program audit meliputi prosedur-prosedur khusus yang dibutuhkan untuk mencapai tujuan audit. Auditor menyatakan sifat dan prosedur pengujian yang menunjukkan luas dan waktu dibutuhkan

4. PENGUJIAN SUBSTANTIF

Langkah-langkahnya adalah:

1. Memilih dan Melaksanakan Pengujian Substanstif. Pengujian substantiv merupakan bagian terbesar dari program audit.Tujuan dari pengujian substantiv dalam audit keuangan adalah untuk memberikan asersi laporan keuangan yang valid yang dibuat oleh manajemen. Tiga pengujian substantiv tersebut adalah: (1) melakukan prosedur analitis final, (2) menguji rekening neraca, (3) menguji secara rinci kelompok-kelompok transaksi. Jumlah pengujian substantiv didasarkan pada risiko terdeteksi final untuk tiap-tiap golongan transaksi utama.

2. Mengevaluasi Pengujian Substantif. Dalam evaluasi ini, hasil pengujian yang dapat diterima, untuk meminimalisasi kemungkinan kesalahan-kesalahan yang material dan pernyataan yang salah dalam asersi laporan keuangan. Hasil pengujian yang tidak dapat diterima memerlukan penambahan sample dalam transaksi sebelum audit dapat diselesaikan.

5. PELAPORAN AUDIT

Tahap final audit ini adalah untuk memberikan laporan audit berkaitan dengan permasalahan yang ada di perusahaan.Langkah-langkahnya adalah:

• Mencatat Laporan Audit.

• Mencatat Kondisi-kondisi yang dapat dilaporkan. Auditor harus membuat catatan atas kondisi-kondisi yang dilaporkan kepada dewan audit, mencakup kecurangan-kecurangan yang signifikan dalam perancangan atau operasi dari sistem pengendalian internal perusahaan.

TEKNIK DAN PENDEKATAN PENGAUDITAN BERBASIS KOMPUTER

Teknik yang spesifik hanya diaplikasikan untuk sistem informasi pemrosesan transaksi secara otomatis. Teknik ini dapat digunakan untuk pengujian pengendalian atau pengujian substantif. Namun begitu, sistem ini tidak bisa menggunakan sistem flowchart, data flow diagram dan kuisioner dalam mereview struktur pengendalian intern. Tiga teknik pengujian yang berbasis komputer (Computer Assisted Audit Techniques/CAAT) yaitu pengauditan sekitar komputer, pengauditan melalui komputer, pengauditan dengan menggunakan komputer. Auditor intern dan ekstern dapat menggunakan tiga teknik pendekatan ini secara efektif.

Pengauditan Sekitar Komputer

Pendekatan pengauditan sekitar komputer (auditing around the computer) memperlakukan komputer sebagai “kotak hitam”. Pendekatan ini difokuskan pada input dan outputnya. Asumsi yang mendasari pendekatan ini yaitu jika auditor dapat menunjukkan output yang aktual adalah hasil yang benar yang diharapkan dari sekumpulan input untuk sistem pemrosesan, maka pemrosesan komputer harus difungsikan menggunakan cara yang andal. Teknik yang penting dalam pendekatan ini meliputi penelusuran dan pemilihan transaksi dari dokuman sumber untuk meringkas transaksi dan catatan serta sebaliknya. Pendekatan pengauditan sekitar komputer adalah non processing data method. Auditor tidak menyiapkan simulated data transaction atau menggunakan file-file auditee yang aktual untuk memprosesnya dengan program komputer auditee. Pendekatan sekitar komputer akan tepat, jika kondisi berikut ini terpenuhi :

1. Audit trail lengkap dan visible. Oleh karena itu dokumen sumber digunakan untuk semua transaksi, jurnal-jurnal terinci dicetak dan referensi transaksi dipindahkan dari jurnal ke buku besar dan laporan ringkas.

2. Pemrosesan operasi yang secara relatif tidak rumit dan volumenya rendah.

3. Dokumennya lengkap, seperti data flow diagram dan sistem flowchart, yang tersedia bagi auditor.

Pengauditan Melalui Komputer

Karena pendekatan sekitar komputer tidak mencukupi, pendekatan alternatif dibutuhkan untuk pengauditan berbasis komputer (auditing through the computer), yang secara langsung difokuskan pada tahap pemrosesan dan edit check, serta programmed check. Pendekatan ini disebut dengan pengauditan melalui komputer. Asumsi dari pendekatan ini adalah jika program dikembangkan dengan menambah programmed check, kesalahan (error) dan ketidakberesan akan dapat terdeteksi, sehingga dapat dikatakan dapat dipercaya.

Pendekatan pengauditan melalui komputer dapat diaplikasikan untuk semua sistem otomatisasi pemrosesan yang kompleks. Bahkan jika biayanya efektif dan memungkinkan, pendekatan sekitar komputer dan pengauditan melalui komputer dapat dikerjakan untuk pekerjaan audit yang sama. Dengan mengerjakan secara bersamaan, keuntungannya menjadi lebih besar dan tujuan audit dapat tercapai.

Pengauditan Dengan Menggunakan Komputer

Pendekatan ini menggunakan komputer (auditing with the computer) untuk tujuan pengerjaan tahap-tahap program audit yang terinci. Pendekatan ini juga digunakan untuk mengotomatisasi aspek tertentu dalam proses pengauditan. Komputer ditransformasikan pada audit scene selama mereka dapat mengerjakan jumlah fungsi audit, seperti pengujian pengendalian dan pengujian substantive. Auditor dapat menggunakan paket-paket spreadsheet excel, untuk menciptakan spreadsheet yang berisi laporan keuangan dari perusahaan yang diaudit. Pengembangan yang lain adalah template, efek program dan format on screen dengan menggunakan paket software spreadsheet. Template ini memungkinkan auditor untuk mengerjakan tugas yang sebelumnya dikerjakan secara manual. Template didesain untuk membantu menyiapkan neraca, memelihara pengulangan pemasukan jurnal, mengevaluasi hasil sampel, penjadwalan dan mengelola waktu auditor dalam audit lapangan, melaksanakan pengujian yang masuk akal terhadap pengeluaran serta mengestimasi pengeluaran.

Pendekatan pengauditan dengan komputer yang populer menggunakan software audit selama pengujian substantif terhadap catatan dan file perusahaan. Software audit secara umum terdiri dari kumpulan program rutin. Tipe software yang digunakan yaitu generalized audit software (GAS) yang terdiri dari satu atau lebih program rutin yang dapat diterapkan pada berbagai situasi dan berbagai tipe organisasi. GAS sering dipakai untuk melakukan substantive test dan digunakan test of control yang terbatas. Sebagai contoh GAS sering dipakai untuk mengetes fungsi algoritma yang komplek dalam program computer. Tetapi ini memerlukan pengalaman yang luas dalam penggunaan software ini.

Audit Software, penggunaan software dalam melaksanakan audit dengan koputer dapat membantu dalam pengujian substantive catatan dan file perusahaan.

Tipe software audit yang uama adalah GAS (Generalized Audi Software), yang terdiri dari satu atau lebih program yang applicable pada bernagai situasi audit pada suatu perusahaan. ACL (Audit Comand Language) merupakan interaktif, yang menghubungkan user dengan computer. ACL membantu auditor untuk untuk menganalisis data klien dengan beberapa fungsi, misalnya attribute sampling, histogram generation, record aging, file comparation, duplicate checking, dan file printing. Yang relative powerful, fleksibel dan mudah dipelajari.sehingga auditor dapat memodifikasi program untuk situasi khusus.

Fungsi audit yang khas yang tersedia pada paket GAS:

1. Extracting data from files, GAS harus mempunyai kemampuan untuk menyuling dan retrieve data dari berbagai struktur, media, dan bentuk catatan file pada saat digunakan untuk mengaudit perusahaan yang bervariasi. Setelah di suling, data diedit dan kemdian ditransfer pada audit work file, penyimpanan data tersedia untuk digunakan dengan program lain yang ada pada GAS

2. Calculating With data,beberapa step dalam audit terdiri dai addition, subtraction, multiplication dan division operation. Contohnya koreksi jurnal dilakuka dengan menjural ulang.

3. Performing comparisons with data, perbandingan mungkin dilakukan untuk menyeleksi data elemen untuk di tes untuk memastikan adanya konsistensi diantara data elemen dan untuk memverifikasi apakah kondisi tertentu telah didapat. GAS seharusnya menyediakan logical operator seperti equal, less than, dan greater than.

4. Sumarizing data, data elements harus sering di ringkas untuk memberikan dasar untuk perbandingan. Contoh: list detail gaji harus diringkas untuk dibandingkan dengan laporan penggajian.

5. Analyzing data, berbagai data harus dianalisis untuk memberikan dasar review atas trend perusahaan. Contohnya, piutang harus ditaksir umurnya utuk menentukan kemungkinan piutang tersebut dapat ditagih.

6. Reorganizing data, data elemen perlu untuk di sortir atau digabungkan. Contohnya: berbaga produk yang dijual perusahaan boleh mungkin di re-sorted secara ascending berdasar jumlah total penjualan untuk membantu analisis penjualan.

7. Select sample for testing. Dalam audit, tidak semua data dapat di uji. Sample harus diambil secara random. Contohnya sample customer dapat dipilih secara random dari catatan piutang dagang.

8. Gathering statistical data, seorang auditor sering membutuhkan data-data statistik. Contohnya: mean dan median dari penjualan produk.

9. Printing Confirmation Request, analyses, and other output

Manfaat GAS:

1. Memungkinkan auditor untuk mengakses catatan computer yang dapat dibaca untuk berbagai macam aplikasi dan organisasi.

2. Memungkinkan auditor untuk memeriksa lebih banyak data daripada jika auditor masih menggunakan proses manual.

3. Dapat melakukan berbagai macam fungsi audit secara cepat dan akurat, termasuk pemilihan sample secara statistic.

4. Mengurangi ketergantungan pada nonauditing personel untuk melakukan peringkasan data, dengan demikian auditor dapat mengelola pengendalian audit yang lebih baik.

5. Auditor hanya memerlukan pengetahuan yang cukup (tidak begitu dalam) tentang computer.

Keterbatasan GAS:

GAS tidak memeriksa application programe dan programmed check secara langsung sehingga tidak dapat menggantikan audit –through-the-computer-techniques.

AUDIT OPERASIONAL DALAM DEPARTEMEN PEMROSESAN INFORMASI

Sifat Audit Operasional Pemrosesan Data

Satu tipe utama audit operasional meliputi pengauditan fungsi pemrosesan informasi. Audit operasional pemrosesan data secara sistematis memperkirakan keefektifan unit-unit dalam mencapai tujuan dan mengidentifikasikan kondisi yang dibutuhkan untuk perbaikan. Pemrosesan data audit operasional mempunyai sifat yang luas meliputi semua kegiatan departemen pemrosesan atau mungkin dihubungkan dengan segmen khusus dalam kegiatan tersebut, tergantung pada tujuan manajemen.

Situasi Yang Muncul Dalam Audit Operasional Pemrosesan Data

Dalam hal pemrosesan data yang umumnya terjadi adalah:

1. Biayanya tinggi untuk penyediaan jasa komputer.

2. Bagian utama dari rencana perusahaan.

3. Usulan perolehan hardware yang utama atau meng-upgrade software.

4. Ketidakmampuan menerima pemrosesan data komputer secara eksekutif.

5. Kebutuhan pemrosesan data eksekutif yang baru untuk penilaian secara intensif.

6. Ketidakteraturan perputaran personil dalam departemen pemrosesan data.

7. Usulan untuk mengkonsolidasi atau mendistribusikan sumberdaya pemrosesan data.

8. Merupakan sistem utama yang tidak responsif terhadap kebutuhan atau sulit dalam pemeliharaan.

9. Meningkatnya jumlah komplain user.

Proses Audit Operasional Pemrosesan Data

• Audit planning phase

Audit operasional pada fungsi data processing tidak mempunyai starting place, tetapi berpedoman pada tujuan audit. Masing-masing audit mempunyai ciri khas dan memerlukan individual treatment karenanya lingkup audit berbeda sesuai dengan tujuannya.

Dengan mengabaikan lingkup audit, tugas pertama dalam audit operasional yaitu untuk memperkenalkan diri pada organisasi dan DP departemen untuk diaudit. Hal ini adalah sebuah tahap penting bagi auditor untuk memperoleh dan meninjau ulang latar belakang informasi pada unit, aktivitas, dan fungsi yang akan diaudit.Tahap ini penting dan sebaiknya diikuti dengan mengabaikan audit operasional yang dilakukan secara internal. auditor sebaiknya mengumpulkan informasi dari klien untuk memperoleh pemahaman tentang DP departemen dan tujuannya. Banyak latar belakang informasi yang sebaiknya digunakan auditor pada tahap ini mencakup lokasi departemen DP, nama manajer pada DP, no SDM pada DP berdasar level dan tipe,metode evaluasi SDM, tingkat pertukaran SDM, tugas dan tanggung jawab karyawan, identifikasi peralatan komputer yang digunakan dan identifikasi sistem operasi yang digunakan. phisical layout chart pusat komputer sebaiknya diperoleh dari DP manajer ( atau, jika tak tersedia, disiapkan oleh auditor). kerjasama DP manajemen menjadi hal yang penting selama tahap perencanaan.

• Preliminary survey phase

Setelah tujuan audit tealah ditetapkan, dan lingkup audit telah ditentukan serta manajemen cooperation diperoleh, maka auditor siap untuk preliminary survey. survei membantu auditor untuk mengidentifikasi lingkup masalah, sensitive area, dan operasi yang rumit tentang audit DP departement. Setelah preliminary survey, auditor harus bisa menentukan tingkat kompleksitas audit operasional.selama preliminnary survey, auditor akan mempelajari permasalahan operasional manajemen DP. Auditor perlu mendalami mengenai DP center sehingga familiar dengan pengoperasiannya. Auditor sebaiknya membuat rencana dalam mengusulkan petunjuk DP centernya dan bertindak sebagai penghubung bagi semua data collection dan dokumentasi syang diperoleh. Auditor akan membentuk rencana tahapan dalam operasi actual yang disesuaikan dengan diskripsi tertulis maupun lisan dan pemahaman yang telah diberikan oleh DP personil kepada auditor. Proses verifikasi ini memerlukan contoh transaksi atau lingkup kerja yang diuji secara detail.

Prelimanary phase pada operational audit merupakan basis pada tahap pengujian audit yang terperinci. DP manajemen sebaiknya diberitahu pengungkapan penyimpangan dan membantu dalam petunjuk pada lingkup permasalahan. Auditor mendisain program audit untuk maenemukan pertimbangan atau penyebab ketidakcocokan.

• Detailed audit phase

Aktivitas untuk menguji dan mengevaluasi tahap audit ini meliputi:

1. fungsi pengolahan informasi pada organisasi

2. praktek dan kebijakan sumber daya manusia

3. operasi komputer

4. pengembangan sistem dan implementasinya

5. aplication system operation

lima area terdaftar ini diharapkan dapat menyajikan beberapa faktor-faktor penting yang harus dipertimbangkan. ketika mereka memberi auditor suatu pandangan umum tentang komponen penting DP functioni dan dapat bertindak sebagai starting point yang baik.

• Reporting

Pada tahap penyelesaian opersional audit laporan diberikan kepada manajemen dan komite audit perusahaan.Isi dari laporan ini bervariasi sesuai pada harapan manajemen.contohnya : laporan mungkin terdiri dari pendapat yang mengacu pada fungsi pengelolaan informasi yang efektif dan efisien, dan saran-saran yang membangun.Internal auditor diwajibkan untuk melakukan follow up pada report audit findings dan memberikan rekomendasi untuk memastikan bahwa komite audit mengambil langkah yang tepat.

Tugas Kelompok 1 Audit Teknologi Sistem Informasi

TUGAS 1

AUDIT TEKNOLOGI SISTEM INFORMASI

Kelompok 1

Alia Nur Afni (10115533)

Audi Muhamad (11115128)

Aldwin Eka Setyanda (10115480)

Nita Anggraeni (15115084)

4KA11

FAKULTAS ILMU KOMPUTER DAN TEKNOLOGI INFORMASI

UNIVERSITAS GUNADARMA

Konsep Audit

Auditing adalah sebuah proses sistemeatis untuk secara obyektif mendapatkan dan mengevaluasi bukti mengenai pernyataan perihal tindakan dan transaksi bernilai ekonomi, untuk memastikan tingkat kesesuaian antara pernyataan tersebut dengan kriteria yang telah ditetapkan, serta mengkomunikasikan hasil-hasilnya pada para pemakai yang berkepentingan

Terdapat tiga jenis audit yang biasanya dilakukan, yaitu :

a.    Audit keuangan

b.    Audit sistem informasi

c.     Audit operasional atau manajemen

Jenis-jenis Kegiatan Audit Internal:

a.    Audit keuangan memeriksa keandalan dan integritas catatan-catatan akuntansi (baik informasi keuangan dan operasional).

b.    Audit sistem informasi melakukan tinjauan atas pengendalian SIA untuk menilai kesesuaiannya dengan kebijakan dan prosedur pengendalian serta efektivitas dalam menjaga aset perusahaan.

c.     Audit operasional atau manajemen berkaitan dengan penggunaan secara ekonomis dan efisien sumber daya, serta pencapaian sasaran dan tujuan yang telah ditetapkan.

Proses audit

Sekarang setelah Anda memahami proses pemilihan apa yang harus diaudit, mari kita bahas berbagai tahapan untuk melakukan masing-masing audit dalam rencana audit. Kami akan membahas enam fase audit utama berikut :

1.    Perencanaan

Menentukan apa yang di rencanakan untuk ditinjau. Jika proses perencanaan dilaksanakan secara efektif, itu akan membentuk tim audit untuk sukses. Sebaliknya, jika dilakukan dengan buruk dan pekerjaan dimulai tanpa rencana dan tanpa arah yang jelas, upaya tim audit dapat mengakibatkan kegagalan. Tujuan dari proses perencanaan adalah untuk menentukan tujuan dan ruang lingkup audit. Audit perlu menentukan apa yang ingin dicapai dengan peninjauan. Sebagai bagian dari proses ini, harus mengembangkan serangkaian langkah yang akan dilaksanakan untuk mencapai tujuan audit. Proses perencanaan ini akan membutuhkan penelitian, pemikiran, dan pertimbangan yang cermat untuk setiap audit. Berikut adalah beberapa sumber dasar yang harus dirujuk sebagai bagian dari setiap proses perencanaan audit:

·         Hand off dari manajer audit

·         Survei pendahuluan

·         Permintaan pelanggan

·         Daftar periksa standar

·         Penelitian

2.    Kerja lapangan dan dokumentasi

Sebagian besar audit terjadi selama fase ini, ketika langkah-langkah audit yang dibuat selama tahap sebelumnya dilaksanakan oleh tim audit. Sekarang, tim memperoleh data dan melakukan wawancara yang akan membantu anggota tim untuk menganalisa potensi risiko dan menentukan risiko mana yang belum dimitigasi dengan tepat.

Jika memungkinkan, auditor harus mencari cara untuk memvalidasi secara independen informasi yang diberikan dan keefektifan dari lingkungan pengendalian. Meskipun ini tidak selalu mungkin, auditor harus selalu memikirkan cara-cara kreatif untuk menguji sesuatu. Misalnya, jika pelanggan audit menggambarkan proses untuk menyetujui permintaan akun pengguna baru, auditor harus berusaha menarik sampel pengguna yang baru saja ditambahkan untuk melihat apakah mereka memang menerima persetujuan yang tepat. Ini akan memberikan bukti yang jauh lebih meyakinkan bahwa proses sedang diikuti daripada wawancara.

Dokumentasi juga merupakan bagian penting dari kerja lapangan. Auditor harus melakukan pekerjaan yang cukup untuk mendokumentasikan pekerjaan mereka sehingga kesimpulan dapat dibuktikan. Tujuannya adalah mendokumentasikan pekerjaan itu secara cukup rinci sehingga orang yang berpengetahuan cukup dapat memahami apa yang telah dilakukan dan sampai pada kesimpulan yang sama seperti auditor. Auditor pada dasarnya harus menceritakan sebuah kisah: “Inilah yang saya lakukan. Inilah yang saya temukan. Inilah kesimpulan saya. Inilah alasan mengapa saya mencapai kesimpulan itu. ”Jika suatu proses ditinjau, prosesnya harus dijelaskan, dan poin kontrol utama dalam proses itu harus disorot. Jika suatu sistem atau teknologi ditinjau ulang, pengaturan khusus dan data yang ditinjau harus diuraikan (bersama dengan bagaimana informasi itu diperoleh) dan ditafsirkan.

Proses dokumentasi mungkin tampak membosankan, tetapi ini penting. Pertama, diperlukan untuk memenuhi standar profesi. Kedua, adalah mungkin bahwa di masa depan temuan audit dapat dipertanyakan atau ditantang, dan auditor yang melakukan pekerjaan tersebut mungkin tidak lagi dipekerjakan oleh perusahaan atau departemen pada saat itu (atau mungkin baru saja melupakan detail dari audit). Akan sangat penting bahwa dokumentasi ada untuk menjelaskan dan proses audit dan memperkuat kesimpulan. Ketiga, jika audit dilakukan lagi suatu hari nanti, mempertahankan dokumentasi rinci akan memungkinkan tim audit berikutnya untuk belajar dari pengalaman tim audit sebelumnya, sehingga memungkinkan untuk perbaikan dan efisiensi yang berkelanjutan.

Satu catatan akhir tentang kerja lapangan: Selama tahap perencanaan, maka akan mengembangkan daftar periksa mengenai apa yang di rencanakan untuk tinjau selama audit. Pastikan daftar periksa tersebut tidak menyebabkan anggota tim audit mematikan penilaian yang baik. Tim perlu tetap fleksibel selama audit dan bersiap untuk mengeksplorasi jalan yang tidak dipertimbangkan selama fase perencanaan. Anggota tim selalu perlu mengingat keseluruhan tujuan audit dan bukan hanya menjadi robot mengikuti skrip kaleng. Juga penting bahwa setiap anggota tim memahami tujuan di balik langkah-langkah audit yang ditetapkan. Langkah-langkah ini harus berfungsi sebagai pedoman untuk mencapai tujuan, dan setiap auditor harus tetap kreatif dalam bagaimana langkah tersebut dilakukan. Jika langkah ini dilakukan, tetapi tidak benar-benar mengatasi risiko yang sedang diselidiki, auditor telah gagal.

3.    Penemuan masalah dan validasi

Saat melaksanakan kerja lapangan, auditor akan mengembangkan daftar masalah potensial. Ini jelas merupakan salah satu fase penting dari audit, dan auditor harus berhati-hati untuk memperdalam daftar masalah potensial untuk memastikan bahwa semua masalah valid dan relevan. Dalam semangat kolaborasi, auditor harus mendiskusikan potensi masalah dengan pelanggan sesegera mungkin. Tidak ada yang menikmati menunggu auditor untuk menyelesaikan audit dan kemudian harus menanggung daftar masalah laundry. Tidak hanya ini tidak menyenangkan bagi pelanggan, tetapi juga bisa tidak menyenangkan bagi Anda, karena mungkin menemukan bahwa tidak semua informasi akurat dan tidak semua masalah valid. Daripada membuat kasus federal dari setiap masalah potensial, maka ditekankan mengambil pendekatan lebih informal dengan cara menemukan sesuatu yang menarik dan dapat di diskusikan sehingga dapat memastikan terdapat fakta yang benar dan memahami resiko dengan benar. Sehingga auditor dapat bekerjasama dengan pelanggan dalam memvalidasi masalah dan mendorong pelanggan untuk mengambil kepemilikan masalah.

Selain memvalidasi bahwa memiliki fakta-fakta sendiri secara langsung, Anda perlu memvalidasi bahwa risiko yang disajikan oleh masalah tersebut cukup signifikan untuk dilaporkan dan ditangani dengan layak. Jangan mengajukan masalah demi mengangkat masalah. Sebaliknya, isu yang diangkat harus memberikan risiko signifikan bagi perusahaan. Pertimbangkan untuk mengurangi kontrol, dan pahami seluruh gambar sebelum menentukan apakah Anda memiliki masalah yang layak dilaporkan.

Kecuali dalam bisnis yang sangat diatur, ambil pendekatan yang sama dengan kepatuhan pada kebijakan internal. Meskipun jelas penting bagi auditor TI untuk meninjau sistem agar sesuai dengan kebijakan keamanan TI internal perusahaan, pendekatannya tetap harus berbasis risiko. Ada kalanya suatu sistem secara teknis melanggar kebijakan, tetapi pelanggaran itu tidak merepresentasikan risiko nyata baik untuk mengurangi kontrol atau sifat dari sistem tertentu. Dalam kasus seperti itu, apa nilai dari mengangkat masalah? Demikian juga, dalam banyak kasus, auditor harus menyampaikan kekhawatiran yang tidak ada hubungannya dengan kebijakan tetapi malah melibatkan risiko terhadap lingkungan spesifik yang sedang ditinjau. Jangan biarkan tim audit Anda menjadi tim kepatuhan kebijakan. Sebagai gantinya, Anda harus mempertimbangkan kebijakan serta semua faktor relevan lainnya dalam mengevaluasi risiko nyata terhadap lingkungan yang sedang ditinjau.

4.    Pengembangan solusi

Setelah mengidentifikasi potensi masalah di area yang Anda audit dan telah memvalidasi fakta dan risiko, Anda dapat bekerja dengan pelanggan untuk mengembangkan rencana tindakan untuk mengatasi setiap masalah. Jelas, hanya mengangkat isu-isu yang dilakukan perusahaan tidak ada gunanya kecuali masalah-masalah itu benar-benar diatasi. Tiga pendekatan umum digunakan untuk mengembangkan dan menugaskan item tindakan untuk mengatasi masalah audit:

·         Pendekatan rekomendasi

Pada pendekatan ini auditor mengangkat masalah dan memberikan rekomendasi untuk mengatasinya. Mereka kemudian bertanya kepada pelanggan apakah mereka setuju dengan rekomendasi tersebut dan, jika ya, kapan mereka akan menyelesaikannya.

·         Pendekatan manajemen respons

Pada pendekatan ini auditor mengembangkan daftar masalah dan kemudian melemparkannya ke pelanggan untuk merespon dan rencana tindakan mereka. Kadang-kadang auditor mengirim rekomendasi mereka untuk resolusi bersama dengan masalah, dan kadang-kadang mereka hanya mengirim masalah tanpa rekomendasi. Dengan kata lain, pelanggan seharusnya mengirim kembali tanggapan mereka, yang termasuk dalam laporan audit.

·         Pendekatan solusi

Pada pendekatan ini auditor mengembangkan solusi yang mewakili rencana aksi yang dikembangkan bersama dan disepakati untuk mengatasi masalah yang diangkat. Ini adalah kombinasi dari dua pendekatan sebelumnya, seperti halnya pendekatan rekomendasi, auditor menyediakan ide untuk resolusi berdasarkan pengetahuan kontrol mereka. Seperti halnya pendekatan manajemen-respons, pelanggan menyediakan ide untuk resolusi berdasarkan pengetahuan operasional reallife mereka. Hasilnya adalah solusi bahwa pelanggan "kepemilikan" dan itu memuaskan bagi auditor.

5.    Pembuatan laporan

Setelah menemukan masalah di lingkungan yang diaudit, validasikan dengan pelanggan, dan mengembangkan solusi untuk mengatasinya, selanjutnya dapat menyusun laporan audit. Laporan audit merupakan bentuk dokumentasi dari hasil audit. Dalam hal ini ada dua fungsii utama yaitu :

a.    Berfungsi sebagai catatan audit, hasilnya dan rencana aksi yang dihasilkan.

b.    Untuk manajemen senior dan komite audit, berfungsi sebagai "kartu laporan" di area yang diaudit.

Ada tiga elemen penting dari laporan audit yaitu :

a.    Pernyataan ruang lingkup audit

b.    Ringkasan eksekutif

c.     Daftar masalah, bersama dengan rencana aksi untuk menyelesaikannya

6.    Pelacakan masalah

Audit tidak benar-benar lengkap sampai masalah yang diangkat dalam audit diselesaikan, baik dengan resolusi yang diinginkan atau dengan diterima oleh tingkat manajemen yang sesuai. Departemen audit harus mengembangkan suatu proses dimana para anggotanya dapat melacak dan menindaklanjuti isu-isu sampai mereka terselesaikan. Ini kemungkinan akan melibatkan pemeliharaan database yang berisi semua poin audit dan tanggal jatuh tempo mereka, bersama dengan mekanisme untuk menandai mereka sebagai tertutup, terlambat, dan seterusnya.

Audit berperan penting dalam melakukan dan memimpin audit untukbertanggung jawab dalam menindaklanjuti poin-poin dari audit tersebut dengan pelanggan yang bertanggung jawab sebagai tanggal jatuh tempo untuk setiap titik pendekatan. Auditor tidak boleh menunggu sampai poin jatuh tempo atau lewat jatuh tempo sebelum menghubungi pelanggan, tetapi harus berada dalam kontak regular terkait status masalah. Ini melayani sejumlah tujuan. Pertama, memungkinkan auditor untuk berkonsultasi dengan pelanggan saat keputusan sedang dibuat. Kedua, memungkinkan auditor untuk diberitahu lebih awal jika solusi yang diterapkan tidak sesuai dengan harapan. Dengan cara ini, auditor dapat mencoba untuk mengalihkan kegiatan sebelum hal-hal diselesaikan. Ketiga, jika masalah tidak diselesaikan, itu memungkinkan departemen audit untuk mencoba mengatasi masalah sebelum titik menjadi terlambat. Jika ternyata masalah tidak ditangani seperti yang disetujui, auditor bertanggung jawab untuk memulai prosedur eskalasi bila diperlukan.

Teknik Audit

1.    Auditing Entity-Level Controls

Auditing Entity-Level Kontrol membahas bagaimana mengaudit kontrol tingkat entitas, yang meresap di seluruh organisasi. Karena kontrol tingkat entitas sangat luas di seluruh organisasi, dan dapat mengauditnya berikut ini pembahasan audit teknologi informasi (TI) area seperti:

a.    Perencanaan strategis dan peta jalan teknologi

b.    Indikator kinerja dan metric

c.     Proses persetujuan dan pemantauan proyek

d.    Kebijakan, standar, dan prosedur

e.    Manajemen karyawan

f.      Pengelolaan aset dan kapasitas

g.    Manajemen perubahan konfigurasi system

2.    Pusat Data Audit dan Pemulihan bencana

Fasilitas pengolahan teknologi informasi (TI), biasanya disebut sebagai pusat data, merupakan inti dari sebagian besar operasi organisasi modern, yang mendukung hampir semua hal yang kritis aktivitas bisnis. Berikut ini merupakan langkah-langkah untuk mengaudit pusat data kontrol, termasuk bidang berikut:

a.    Keamanan fisik dan pengendalian lingkungan

b.    Operasi pusat data

c.     Sistem dan ketahanan situs

d.    Kesiapsiagaan bencana

3.    Mengaudit Router, Switch, dan Firewall

Jaringan adalah latar belakang mendasar dari infrastruktur operasi TI , yang memungkinkan data melintang antara pengguna, penyimpanan data, dan pengolahan data. Router, switch, dan firewall bekerja sama untuk memungkinkan transfer data sekaligus melindungi jaringan, data, dan pengguna akhir. Berikut ini membahas bagaimana meninjau potongan-potongan kritis ,infrastruktur sambil membantu untuk melakukannya sebagai berikut :

a.    Mengungkap kompleksitas peralatan jaringan.

b.    Memahami kontrol jaringan kritis.

c.     Tinjau kontrol khusus untuk router, switch, dan firewall.

4.    Mengaudit Windows

Sistem operasi Sistem operasi Windows telah berkembang dari awal yang sederhana dan berkembang menjadi salah satu sistem operasi paling umum di dunia untuk server dan klien, untuk mencakup komponen dasar dari audit server Windows dan mencakup audit cepat untuk Klien Windows,berikut pembahasan Audit server dan klien windows:

a.    Sejarah singkat pengembangan Windows

b.    Windows essentials: belajar tentang host target

c.     Bagaimana mengaudit server Windows

d.    Bagaimana mengaudit klien Windows

e.    Alat dan sumber daya untuk meningkatkan audit Windows Anda

5.    Mengaudit Unix dan Linux

Sistem operasi membahas langkah-langkah yang diperlukan untuk mengaudit operasi berbasis Unix dan Linux sistem (juga disebut sebagai sistem nix) dan mencakup hal-hal berikut:

a.    Sejarah Unix dan Linux

b.    Perintah dasar untuk berkeliling di lingkungan * nix

c.     Bagaimana mengaudit sistem Unix dan Linux, dengan fokus pada bidang utama berikut:

1.    Manajemen akun dan kontrol kata sandi

2.    File keamanan dan control

3.    Keamanan dan kontrol jaringan

4.    Audit log

5.    Monitoring keamanan dan kontrol umum

6.    Alat dan sumber daya untuk meningkatkan audit

6.    Mengaudit Web Server dan Aplikasi Web

Pertumbuhan eksplosif di Internet juga mendorong pertumbuhan eksplosif alat pengembangan, bahasa pemrograman, web browser, database, dan berbeda model client-server. Hasil yang tidak menguntungkan adalah model kompleks yang sering dibutuhkan kontrol tambahan untuk mengamankan model. Berikut ini mencakup minimum mutlak seperangkat kontrol yang harus ditinjau ulang. Bab ini mencakup hal-hal berikut:

a.    Bagaimana mengaudit server web

b.    Bagaimana mengaudit aplikasi web

7.    Mengaudit Database

Mengaudit Database membahas tentang audit lockbox informasi perusahaan.untuk melakukan audit pada komponen berikut yang mempengaruhi operasional keamanan penyimpanan data:

a.    Perizinan database

b.    Keamanan sistem operasi

c.     Fitur kekuatan dan manajemen kata sandi

d.    Aktivitas pemantauan

e.    Database enkripsi

f.      Database kerentanan, integritas, dan proses patching

8.    Penyimpanan Audit

Penyimpanan audit dan dimulai dengan ikhtisar penyimpanan umum teknologi. Audit penyimpanan menggabungkan kekhawatiran platform dan datanya. Platform memiliki persyaratan kontrol yang sama seperti yang ditemukan di server. Data memiliki keunikan persyaratan kontrol karena perlunya menjaga kontrol yang sesuai dengan kelas data yang berbeda, dibawah ini mencakup hal-hal berikut:

a.    Ikhtisar teknis singkat tentang penyimpanan

b.    Bagaimana mengaudit lingkungan penyimpanan

c.     Alat dan sumber daya untuk meningkatkan audit penyimpanan Anda

9.    Mengaudit Virtualized Lingkungan

Inovasi dalam virtualisasi sistem operasi dan perangkat keras server diubah secara permanen jejak, arsitektur, dan operasi pusat data. Mengaudit lingkungan virtualisasi, dan dimulai dengan ikhtisar tentang virtualisasi umum teknologi dan kontrol tombol. Audit virtualisasi menggabungkan kekhawatiran hypervisor dan sistem operasi tamu. Meski fokus adalah hypervisor dan virtualisasi server, bisa menerapkan banyak langkah dan konsep yang sama untuk virtualisasi desktop ,membuat asumsi bahwa komponen sistem ini adalah di bawah kendali , “Mengaudit Komputasi Awan dan Operasi Outsourcing“ untuk panduan bagaimana memastikan virtualisasi dari luar lingkungan dikelola dan diamankan dengan benar. Dibawah ini mencakup hal-hal berikut:

a.    Sekilas singkat teknis virtualisasi

b.    Bagaimana mengaudit lingkungan virtualisasi

c.     Alat dan sumber daya untuk meningkatkan audit virtualisasi Anda

10.  Mengaudit WLAN dan Telepon genggam

Mengaudit WLAN dan Telepon genggam yaitu dua audit terpisah, yang dimulai dengan jaringan area lokal nirkabel(WLAN) dan kemudian mencakup perangkat seluler yang mendukung data. Audit WLAN meliputi klien, komunikasi, jalur akses, dan faktor operasional yang memungkinkan WLAN aktif, jaringan Audit perangkat mobile data-enabled meliputi Blackberry, iPhone, Droid, dan perangkat data-enabled serupa dan infrastruktur yang mendukungnya. Pengikuttopik yang dibahas adalah:

a.    Latar belakang teknologi WLAN dan perangkat mobile

b.    Masalah audit penting untuk teknologi ini

c.     Langkah dan saran teknis utama mengenai bagaimana mendekati teknologi

d.    Langkah operasional yang diperlukan agar teknologi ini beroperasi secara efisien di jaringan anda

11.  Permohonan Audit

Setiap aplikasi unik, apakah mendukung fungsi keuangan atau operasional, dan oleh karena itu masing-masing memiliki seperangkat persyaratan kontrol tersendiri. Tidak mungkin dokumen persyaratan kontrol spesifik yang akan berlaku untuk setiap aplikasi. Namun, akan menjelaskan beberapa pedoman pengendalian umum yang seharusnya berkenaan dengan aplikasi apapun terlepas dari fungsinya, bahasa pemrogramannya, dan platform teknologi. Topik-topik berikut dibahas dalam bab ini:

a.    Komponen penting dari audit aplikasi

b.    Bagaimana menelusuri kemungkinan masalah dengan kerangka kerja dan konsep kunci

c.     Langkah terperinci untuk mengaudit aplikasi, termasuk yang berikut ini:

1.                Kontrol input

2.                Kontrol antarmuka

3.                Jejak audit

4.                Kontrol akses

5.                Kontrol perubahan perangkat lunak

6.                Backup dan pemulihan

7.                Retensi data dan klasifikasi dan keterlibatan pengguna

12.  Mengaudit Komputasi Awan dan Outsource Operasi

Mengaudit Komputasi Awan dan Outsource Operasi adalah kunci yang harus dicari saat mengaudit TI operasi yang telah dialihkan ke perusahaan eksternal, termasuk yang berikut ini:

a.    Definisi komputasi awan dan bentuk lain dari outsourcing TI

b.    SAS 70 melaporkan

c.     Kontrol seleksi vendor

d.    Item untuk disertakan dalam kontrak vendor

e.    Persyaratan keamanan data

f.      Masalah operasional

g.    Masalah hukum dan kepatuhan peraturan

13.  Proyek Perusahaan Audit

Proyek Perusahaan Audit adalah kontrol kunci yang harus dicari saat mengaudit proses yang digunakan untuk mengelola proyek perusahaan, termasuk memahami hal-hal berikut yang berkaitan dengan manajemen proyek audit teknologi informasi:

a.    Kunci keberhasilan manajemen proyek

b.    Kebutuhan pengumpulan dan desain awal

c.     Desain dan pengembangan system

d.    Pengujian

e.    Implementasi

f.      Pelatihan

g.    Membungkus proyek

Regulasi Audit

Dengan dominannya  penggunaan komputer dalam membantu kegiatan operasional diberbagai perusahaan, maka diperlukan standar-standar kontrol sebagai alat pengendali internal untuk menjamin bahwa data elektronik yang diproses adalah benar. Beberapa jenis standar kontrol yaitu:

1.    COSO (Comitte Of Sponsoring Organizationof the treadway commission’s)

Yaitu dibentuk pada tahun 1985 dengan tujuan untuk menyatukan pandangan dalam komunitas bisnis berkaitan dengan isu-isu seputar pelaporan keuangan yang mengandung fraud (penggelapan).Tahun 1992, COSO menyusun dan Menerbitkan Internal Control Integrated Framework yang berisi rumusan definisi pengendalian intern, pedoman penilaian, serta perbaikan terhadap sistem pengendalian intern.Tahun 2004, COSO mengembangkan Internal Control Integrated Framework dengan menambah cakupan tentang manajemen  dan strategi resiko yang disebut ERM (Enterprise Risk Manajement).

Pencapaian tujuan pengendalian intern yang didefenisikan COSO:

a.    Efektifitas dan efisiensi aktivitas operasi

b.    Kehandalan pelaporan keuangan

c.     Ketaatan terhadap hukum dan peraturan yang berlaku

d.    Pengamanan aset entitas.

2.    COBIT (Control Objectives for Information and Related Technology)

Yaitu alat pengendalian untuk informasi dan tekhnology terkait dan merupakan standar terbuka yang dikembangkan oleh ISACA melalui ITGI (Information and Technology Governance Institute)pada tahun 1992. Tujuan dari COBIT yaitu untuk mengembangkan , melakukan riset dan mempublikasikan suatu standar teknologi informasi yang diterima umum dan selalu up to date untuk digunakan dalam kegiatan bisnis sehari-hari.

3.    SARBOX (Sarbanes-Oxley Act)

Yaitu merupakan peraturan yang ditandatangani Presiden George W.Bush tanggal 30 juli 2012 untuk mereformasi dunia pasarmodal Amerika Serikat. Tujuan SARBOX yaitu:

a.    Meningkatkan akuntabilitas manajemen dengan memastikan bahwa manajemen akuntan dan  pengacara memiliki tanggung jawab atas informasi keuangan yang menjadi tanggung jawab mereka.

b.    Meningkatkan pengungkapan dengan berusaha untuk menyatakan bahwa beberapa kejadian kunci dan transaksi luar biasa tidak mendapatkan pengawasan hanya karena tidak disyaratkan untuk diungkap di publik.

c.     Meningkatkan pengawasan rutin yang lebih intensif oleh SEC.

d.    Meningkatkan akuntabilitas akuntan.

4.    ISO 17799

Yaitu standar untuk sistem manajemen keamanan informasi meliputi dokomen kebijakan keamanan informasi, alokasi keamanan informasi tanggung-jawab,menyediakan semua para pemakai dengan pendidikan dan pelatihan didalam keamanan informasi, mengembangkan suatu sistem untuk pelaporan peristiwa keamanan, memperkenalkan virus kendali, mengembangkan suatu rencana kesinambungan bisnis, mengendalikan pengkopian perangkat lunak kepemilikan, surat pengantar arsip organisatoris, mengikuti kebutuhan perlindungan data, dan menetapkan prosedure untuk mentaati kebijakan keamanan.

5.    BASEL II

BASEL II dibentuk yaitu sebagai penerapan kerangka pengukuran bagi risiko kredit, sistem ini mensyaratkan Bank-bank  untuk memisahkan eksposurnya ke dalam kelas yang lebih luas, yang menggambarkan kesamaan tipe debitur(hutang).

Standar dan Kerangka Kerja Audit

1.    Kerangka untuk Audit Keamanan Komputer

a.    Jenis-jenis Kesalahan dan Penipuan:

·   Pencurian atau kerusakan yang tidak disengaja atas hardware dan file

·   Kehilangan, pencurian, atau akses tidak sah ke program, file data, dan sumber daya sistem lainnya

·   Modifikasi atau penggunaan secara tidak sah program dan file data

b.    Jenis-jenis Prosedur Pengendalian :

·   Rencana keamanan/perlindungan informasi

·   Pembatasan atas akses secara fisik ke perlengkapan komputer

·   Pengendalian penyimpanan dan pengiriman data seperti enkripsi

·   Prosedur perlindungan dari virus

·   Menggunakan firewall

·   Rencana pemulihan dari bencana

·   Pemeliharaan pencegahan

·   Asuransi sistem informasi

c.     Prosedur Audit: Tinjauan atas Sistem

·   Menginspeksi lokasi komputer

·   Wawancara dengan personil sistem informasi mengenai prosedur keamanan

·   Meninjau kebijakan dan prosedur

·   Memeriksa kebijakan asuransi apabila terjadi bencana atas sistem informasi

·   Memeriksa daftar akses sistem

·   Memeriksa rencana pemulihan dari bencana

d.    Prosedur Audit: Uji Pengendalian

·   Mengamati prosedur akses ke lokasi komputer

·   Memverifikasi bahwa terdapat pengendalian dan pengendalian tersebut berfungsi seperti dengan yang diharapkan

·   Menginvestigasi berbagai kesalahan atau masalah untuk memastikan mereka ditangani dengan benar

·   Memeriksa berbagai uji yang sebelumnya telah dilaksanakan

e.    Pengendalian Pengimbang:

·   Kebijakan yang baik dalam hal personalia

·   Penggunaan pengendalian secara efektif

·   Pemisahan pekerjaan yang tidak boleh disatukan

2.    Kerangka untuk Audit Pengembangan Program

a.    Jenis-jenis Kesalahan dan Penipuan:

·   Kesalahan pemrograman yang tidak disengaja

·   Kode program yang tidak sah

b.    Jenis-jenis Prosedur Pengendalian :

·   Otorisasi manajemen atas pengembangan program dan persetujuannya untuk spesifikasi pemrograman

·   Persetujuan pemakai atas spesifikasi pemrograman

·   Pengujian keseluruhan atas program yang baru

·   Pengujian penerimaan oleh pemakai

·   Dokumentasi sistem yang lengkap

c.     Prosedur Audit : Tinjauan atas sistem :

·   Tinjauan independen dan bersaman atas proses pengembangan sistem

·   Tinjauan prosedur dan kebijakan pengembangan/perolehan sistem

·   Tinjauan otorisasi sistem dan prosedur persetujuannya

·   Tinjauan atas standar evaluasi pemrograman

·   Tinjauan atas standar dokumentasi program

·   Tinjauan atas pengujian program dan prosedur persetujuan pengujian

d.    Prosedur Audit : Uji Pengendalian

·   Wawancara dengan pemakai mengenai keterlibatan mereka dalam perolehan/pengembangan serta implementasi sistem

·   Tinjauan atas notulen rapat tim pengembangan untuk mendapat bukti keterlibatan

·   Memverifikasi poin-poin penting penolakan manajemen dan pemakai dalam proses pengembangan

·   Tinjauan atas spesifikasi pengujian, data uji, dan hasil pengujian sistem

e.    Pengendalian Pengimbang:

·   Pengendalian pemrosesan yang kokoh (kuat)

·   Pemrosesan secara independen data uji oleh auditor

Manajemen Resiko

Beberapa tahun yang lalu, firewall dan perangkat lunak antivirus adalah sebagian besar organisasi digunakan untuk mengurangi risiko TI. Namun, dalam beberapa tahun terakhir, lanskap ancaman telah berubah sangat. Saat ini, ancaman orang dalam lebih terasa, ribuan variannya malware didistribusikan, dan pemerintah telah memberlakukan undang-undang yang mewajibkan implementasi berbagai kontrol. Akibatnya, proses manajemen risiko formal sekarang harus menjadi bagian dari setiap program audit TI.

1.    Tipe-tipe resiko terdiri dari:

a.    Resiko pengembangan

b.    Resiko Kesalahan

c.     Resiko Terhentinya Bisnis

d.    Resiko Pengungkapan Informasi

e.    Resiko Penggelapan

2.    Proses penilaian resiko dapat dilakukan melalui tahap-tahap berikut ini:

a.    Identifikasi objek (asset) yang akan dilindungi

b.    Penentuan ancaman yang dihadapi

c.     Menetapkan peluang kejadian

d.    Menghitung besarnya dampak dan kelemahan sistem

e.    Menilai alat-alat pengamanan yang ada

f.      Rekomendasi dan implementasi

3.    Manfaat Manajemen Risiko

Potensi pengelolaan risiko TI masih dirahasiakan. Beberapa tahun, banyak organisasi telah meningkatkan efektivitas pengendalian TI mereka atau mengurangi biaya mereka dengan menggunakan analisis risiko dan praktik manajemen risiko yang baik. Ketika manajemen memiliki pandangan perwakilan tentang eksposur TI organisasi, ia dapat melakukannya mengarahkan sumber daya yang tepat untuk mengurangi area risiko tertinggi daripada pengeluaran sumber daya langka di daerah yang memberikan sedikit atau tidak ada pengembalian investasi (ROI). Jaring Hasilnya adalah tingkat pengurangan risiko yang lebih tinggi untuk setiap dolar yang dikeluarkan.

4.    Manajemen Risiko dari Perspektif Eksekutif

Bisnis adalah semua tentang risiko dan penghargaan. Eksekutif diharuskan menimbang manfaat investasi dengan risiko yang terkait dengannya. Akibatnya, sebagian besar telah menjadi cukup mahir mengukur risiko melalui analisis ROI, indikator kinerja utama, dan segudang alat analisis keuangan dan operasional lainnya. Sukses dalam mengelola. Risiko TI organisasi, Anda harus memahami bahwa eksekutif melihat risiko finansial istilah. Akibatnya, semacam analisis keuangan biasanya diperlukan untuk berbisnis kasus untuk investasi di kontrol tambahan.

5.    Mengatasi Resiko

Resiko dapat diatasi dengan tiga cara: menerimanya, mengurangi, atau mentransfernya. Yang sepantasnya metode sepenuhnya tergantung pada nilai finansial dari risiko versus investasi diperlukan untuk menguranginya ke tingkat yang dapat diterima atau mentransfernya ke pihak ketiga. Sebagai tambahannya Kontrol preskriptif, peraturan seperti HIPAA / HITECH dan PCI mengharuskan organisasi tersebut menilai risiko terhadap informasi yang dilindungi dan menerapkan pengendalian yang wajar mengurangi risiko ke tingkat yang dapat diterima.

6.    Penerimaan Risiko

Nilai finansial suatu risiko seringkali lebih kecil daripada biaya mitigasi atau transfer. Dalam hal ini, pilihan yang paling masuk akal adalah menerima risiko. Namun, jika organisasi memilih untuk menerima risiko, itu harus menunjukkan bahwa risiko memang dinilai dan mendokumentasikan alasan di balik keputusan tersebut.

7.    Transfer Resiko

Industri asuransi didasarkan pada transferensi risiko. Organisasi sering membeli asuransi untuk menutupi biaya pelanggaran keamanan atau bencana sistem outage. Ini penting untuk perhatikan bahwa perusahaan asuransi yang menawarkan jenis kebijakan ini sering mewajibkan kebijakan tersebut pemegang menerapkan kontrol tertentu. Gagal mematuhi persyaratan control dapat membatalkan kebijakan Bila pengelolaan sistem TI dialihkan ke pihak ketiga, tingkat tertentu risiko dapat ditransfer secara kontrak ke pihak ketiga juga. Dalam kasus ini, itu adalah tanggung jawab organisasi meng-outsource sistemnya untuk memverifikasi bahwa risiko TI berkurang ke tingkat yang dapat diterima dan bahwa perusahaan yang mengelola sistemnya memiliki keuangan Kekuatan untuk menutupi kerugian harus terjadi.

Sumber

IT Auditing : Using controls to protect information assets, Chris Davis, Mike Sciller, McGrowHill, 2011.

Audit dan Kontrol Teknologi Informasi, Mardhani Riasetiawan, Inside technology Publiher. 2016

http://lintang.staff.gunadarma.ac.id/Downloads/files/35193/KonsepDasar_AIS.pdf

http://oktatinoyudha.blogspot.com/2017/10/konsep-metode-dan-regulasi-audit.html

http://arumsasi21.blogspot.com/2017/10/audit-teknologi-sistem-informasi.html

http://nissaeko10.blogspot.com/2017/10/aspek-aspke-audit-sistem-informasi.html

http://anggiyolandaf.blogspot.com/2017/10/audit-teknologi-sistem-informasi.html