bab iii analisa kebutuhan pengendalian · pdf filebab iii analisa kebutuhan pengendalian...

38

BAB III Analisa Kebutuhan Pengendalian Internal

III.1 Pengendalian Internal Terhadap Laporan Keuangan Berbasiskan

Teknologi Informasi

III.1.1 Pengendalian Internal Terhadap Laporan Keuangan menurut SOX

Untuk menjawab kebutuhan pengendalian internal berdasarkan SOX, standar

PCAOB no 2 memberikan pendekatan yang lebih spesifik melalui pengendalian

internal terhadap laporan keuangan (internal control over financial reporting

,ICFR) (PCAOB, 2004). PCAOB no 2 mendefinisikan bahwa pengendalian

internal terhadap laporan keuangan adalah Proses yang didesain oleh, atau

dilakukan di bawah pengawasan petinggi organisasi, petinggi bagian keuangan,

atau karyawan yang melakukan pekerjaan yang berhubungan atau serupa untuk

menciptakan keyakinan yang memadai (reasonable assurance) mengenai

keabsahan dari laporan keuangan dan persiapan laporan keuangan publik untuk

keperluan di luar organisasi berdasarkan prinsip - prinsip akuntansi yang diakui

secara umum yang mencakup kebijaksanaan dan prosedur:

a. Menjaga tingkat kedetilan yang dapat diterima, akurat dan secara wajar

mencerminkan transaksi – transaksi yang terjadi dan penempatan dari aset

yang dimiliki perusahaan.

b. Menyediakan keyakinan yang memadai (reasonable assurance) terhadap

laporan keuangan, hal ini dapat tercapai dengan melakukan pencatatan

yang layak terhadap transaksi – transaksi keuangan sesuai dengan standar

akuntansi yang berlaku. Setiap pemasukan dan pengeluaran yang

penting\berarti dilakukan dengan mekanisme otorisasi oleh manajemen

yang berwenang.

c. Menyediakan keyakinan yang memadai (reasonable assurance) terhadap

pencegahan atau deteksi dari unauthorized acquisition, penggunaan atau

disposition dari aset yang dimiliki oleh perusahaan yang dapat

berpengaruh terhadap financial statement.

39

III.1.2 COSO Sebagai Framework Pengendalian Internal

Manajemen perlu untuk mencari panduan dalam menilai efektivitas pengendalian

internal terhadap laporan keuangan yang sesuai dan diakui sebagai sebuah

framework pengendalian internal (internal control framework), panduan tersebut

haruslah dikeluarkan oleh lembaga yang memiliki keahlian mengenai

pengendalian internal serta telah dinilai oleh ahli - ahli pengendalian internal

secara luas. Dengan kata lain framework tersebut dapat dipergunakan dalam

menilai dan memperbaiki pengendalian internal apabila telah memenuhi kriteria -

kriteria seperti di bawah ini (PCAOB, 2004):

a. Tidak berat sebelah/bebas dari prasangka – prasangka.

b. Dapat digunakan untuk menilai pengendalian internal yang berhubungan

dengan laporan keuangan.

c. Dapat memberikan penilaian yang bersifat qualitative dan quantitative

terhadap pengendalian internal yang berhubungan dengan laporan

keuangan.

Di dalam standar PCAOB no 2 disebutkan bahwa perusahaan dapat menggunakan

framework Integrated Internal Control yang dikeluarkan oleh COSO (lebih lanjut

mengenai COSO dapat dibaca pada bab 2). Secara garis besar COSO menjelaskan

pengendalian internal dan komponen – komponen yang membangunnya.

Framework COSO mendefinisikan lima komponen yang dapat digunakan sebagai

panduan dalam penerapan pengendalian internal.

III.1.3 Pengendalian Internal berbasiskan TI berdasarkan COSO

Seperti yang tertulis di bab 2, tidak ada satu kata di dalam SOX yang mewajibkan

organisasi untuk menerapkan atau menilai pengendalian internal pada sistem yang

berbasiskan teknologi informasi. Saat ini sebagian besar perusahaan sangat

bergantung pada TI untuk mengelola data - data perusahaan, termasuk salah

satunya data - data transaksi keuangan. Tujuan penggunaan TI dalam menunjang

kegiatan operasional perusahaan adalah untuk meningkatkan efektivitas dan

efisien dari proses bisnis perusahaan agar dapat bersaing lebih baik dibandingkan

dengan pesaingnya.

40

Setiap kegiatan pastilah memiliki risiko, begitu juga dengan penggunaan TI dalam

mengelola data - data transaksi keuangan. SEC sebagai lembaga yang berwenang

mengawasi implementasi dari SOX, dalam panduan PCAOB standar no 5 yang

dikeluarkan pada 24 Mei 2007 pada paragraf ke 36 menekankan bahwa "The

auditor also should understand how IT affects the company's flow of

transactions". untuk memperjelas pernyataan yang tertulis pada paragraf tersebut

SEC memberikan catatan kaki yang berbunyi "The identification of risks and

controls within IT is not a separate evaluation. Instead, it is an integral part of the

top-down approach used to identify significant accounts and disclosures and their

relevant assertions, and the controls to test, as well as to assess risk and allocate

audit effort as described by this standard." .

Apabila dihubungkan dengan pengendalian internal terhadap laporan keuangan

berbasiskan TI, COSO sebagai framework yang disarankan oleh SEC

menyebutkan bahwa pengendalian internal berbasiskan TI terbagi menjadi dua

bagian (COSO, 1992):

a. IT General Control, IT General control (Pengendalian umum TI) adalah

struktur, kebijaksanaan dan prosedur yang berpengaruh terhadap

komponen – komponen utama sumber daya informasi yang bertujuan

untuk memastikan integritas dan ketersediaan layanan teknologi informasi.

b. Application Control, Application control (Pengendalian Aplikasi) adalah

struktur, kebijaksanaan dan prosedur yang dilakukan secara otomatis atau

manual di dalam aplikasi. Pengendalian aplikasi secara umum didesain

untuk mencegah, mendeteksi dan memperbaiki kesalahan dan

ketidakberesan pada tingkatan aplikasi.

COSO mendefinisikan lima komponen pengendalian internal. Kelima komponen

tersebut bersifat general. Untuk mempermudah memahami kebutuhan

pengendalian internal berdasarkan framework COSO, berikut ini akan dijabarkan

kelima komponen pengendalian internal dilihat dari sudut pandang TI:

a. Control Environment (Lingkungan Pengendalian), Lingkungan yang

mendukung pegawai/karyawan menunjang keberhasilan penerapan

41

pengendalian internal. Lingkungan Pengendalian menjelaskan

kebijaksanaan dan prosedur yang dapat mendukung upaya – upaya

mengurangi risiko penggunaan TI terhadap integritas dari laporan

keuangan.

b. Risk Assessment (Penilaian Risiko), dalam pembuatan tata kelola TI.

Manajemen terlebih dahulu melakukan penilaian dan memahami wilayah

– wilayah yang berisiko di mana dapat mengganggu integritas dari

laporan keuangan. Penilaian tersebut harus dilakukan terhadap sistem

sesuai dengan standar keamanan informasi yang diakui secara luas.

Penilaian tersebut bertujuan untuk menunjang perbaikan terhadap sistem

yang telah ada ataupun terhadap sistem baru yang akan

diimplementasikan.

c. Control Activities (Aktivitas Pengendalian), Desain, implementasi dan

jaminan kualitas (quality assurance) dari aktivitas pengendalian yang

terdapat pada tata kelola TI harus dibuat seindependen mungkin. Tata

kelola TI harus berisikan aktivitas – aktivitas pengendalian yang

berorientasi untuk mengurangi risiko dari penggunaan TI yang dapat

mengganggu integritas dari laporan keuangan.

d. Monitoring (Pengawasan), Tata kelola TI harus berisikan rencana dan

jadwal audit TI terhadap sumber daya teknologi informasi yang digunakan

untuk mendukung layanan sistem informasi akuntansi, manajemen harus

paham dan mengerti tindak lanjut yang perlu diambil sesuai dengan hasil

audit yang telah dilakukan.

e. Information and Communication (Informasi dan Komunikasi), Tanpa

adanya informasi yang akurat, manajemen akan sulit menjalankan

aktivitas pengendalian internal. Tata kelola TI harus berisikan mekanisme

pengambilan, pemrosesan dan pendistribusian informasi yang menunjang

keberhasilan penerapan pengendalian internal. Tata kelola TI harus dapat

menunjukkan peran dari departemen TI terhadap keberhasilan penyebaran

informasi yang berkaitan dengan pengendalian internal.

42

III.2 Analisa Risiko Pemrosesan Keuangan Berbasiskan TI

III.2.1 Penilaian Risiko Dari Atas ke Bawah (Top Down Risk Assessment)

Menurut standar PCAOB no 2 (PCAOB, 2004), TI merupakan salah satu sumber

risiko yang dapat mengganggu integritas dari laporan keuangan, pernyataan

tersebut dipertegas oleh standar PCAOB no 5 yang dikeluarkan pada tahun 2007

bahwa proses penilaian risiko TI merupakan salah satu proses dari penilaian risiko

perusahaan secara menyeluruh (PCAOB, 2007).

Penilaian risiko dari atas ke bawah (SOX Top Down Risk Assessment) atau

disingkat TDRA merupakan panduan resmi yang dikeluarkan oleh PCAOB untuk

menilai penerapan pengendalian internal yang sesuai dengan ketentuan SOX

bagian 404. TDRA digunakan untuk menentukan ruang lingkup dan bukti - bukti

yang diperlukan dalam melakukan tes/audit terhadap penerapan pengendalian

internal berdasarkan SOX bagian 404. TDRA merupakan metodologi yang

bersifat hierarchical berdasarkan objek yang dilindungi dan risiko dalam

menentukan ruang lingkup dan bukti yang diperlukan untuk mendukung penilaian

penerapan pengendalian internal, langkah - langkah yang terdapat pada TDRA

adalah:

a. Identifikasi elemen - elemen laporan keuangan yang penting (rekening dan

transaksi keuangan).

b. Identifikasi sumber - sumber risiko pada pernyataan keuangan berdasarkan

rekening dan transaksi keuangan yang teridentifikasi pada langkah

pertama.

c. Tentukan entity level control yang akan menanggulangi risiko yang

teridentifikasi pada tahap kedua.

d. Tentukan transaction level control yang akan menanggulangi risiko yang

teridentifikasi pada tahap dua sebagai penjabaran dari entity level control

(tahap ketiga).

e. Tentukan sifat, dampak dan kemungkinan waktu terjadinya dari bukti –

bukti risiko yang didapat dalam penilaian ini.

43

Meskipun TDRA merupakan sebuah metodologi penilaian penerapan

implementasi pengendalian internal yang telah berjalan, pendekatan yang terdapat

pada TDRA dapat dipergunakan sebagai landasan dalam melakukan penilaian

kebutuhan pengendalian internal. Pada TDRA, untuk menentukan pengendalian

internal yang akan dinilai\audit. Auditor pertama - tama melakukan penilaian

terhadap rekening dan transaksi keuangan yang berhubungan dengan pernyataan

keuangan. penilaian tersebut bertujuan untuk menentukan rekening - rekening

yang memiliki risiko tinggi.

Setelah diketahui rekening - rekening yang memiliki risiko tinggi, langkah

berikutnya adalah menganalisa transaksi - transaksi yang berpengaruh terhadap

rekening - rekening tersebut. pada tahap ini auditor harus jeli dalam melihat segala

kelemahan atau ancaman yang mungkin dapat mengganggu integritas dari

transaksi - transaksi tersebut. tahap ini penting karena pada tahap ini dikumpulkan

informasi mengenai ancaman dan risiko yang nantinya akan digunakan sebagai

dasar dalam menentukan bentuk dan jenis pengendalian internal yang cocok untuk

menanggulangi risiko - risiko yang dapat mengganggu integritas dari laporan

keuangan.

III.2.2 Risiko Penggunaan TI Terhadap Integritas Laporan Keuangan

Pada sistem informasi akuntansi yang berbasiskan teknologi informasi, terdapat

berbagai macam risiko yang mungkin dapat mengganggu kualitas dari informasi

seperti pada saat inisiasi, otorisasi, proses-proses, simpan dan pembuatan laporan

transaksi keuangan. Risiko tersebut dapat bersumber dari pengguna, teknologi

atau lingkungan. Untuk memberikan gambaran yang lebih jelas, berikut adalah

contoh dari risiko penggunaan TI yang dapat mengganggu kualitas dari informasi

yang dipergunakan dalam membuat laporan keuangan :

Tabel III.1 Risiko penggunaan sistem yang berinteraksi dengan laporan keuangan

Proses Sumber Daya Yang

Terlibat

Risiko

Initiated (1 memulai,

memprakarsai. 2

meresmikan,

Manusia (pengguna

sistem)

1. Pemalsuan transaksi

2. Salah Memasukan

Data

44

menginisiasikan (club,

fraternity). 3

mengajukan.)

3. Penyalahgunaan

wewenang

Aplikasi 4. Membuat transaksi yang tidak perlu

5. Kesalahan dalam

melakukan

perhitungan

Authorized (Pengesahan) Manusia (pengguna

sistem)

1. Mengesahkan

transaksi yang tidak

semestinya disahkan.

2. Konflik kepentingan

3. Penyalahgunaan

wewenang

Aplikasi 4. Kesalahan pengesahan

5. Salah melakukan

perhitungan

Recorded (penyimpanan) Manusia (pengguna

sistem)

1. Merusak media

penyimpanan

2. Pencurian

data/informasi

3. Merubah data yang

telah disimpan

Aplikasi 4. Kegagalan aplikasi

5. Kesalahan menyimpan

data

Processes (pemrosesan) Manusia (pengguna

sistem)

1. Merubah data – data

transaksi

2. Memasukan transaksi

palsu

3. Memasukan informasi

palsu mengenai hasil

transaksi

Aplikasi 4. Salah melakukan

perhitungan

5. Kesalahan Pembulatan

6. Kesalahan logika

program

Reported (Pelaporan) Manusia (pengguna

sistem)

1. Kekeliruan dalam

menggunakan asumsi.

2. Salah menyajikan

laporan

3. Manipulasi laporan

Aplikasi 4. Menggunakan data

yang salah

5. Menyampaikan

informasi yang tidak

tepat

45

Tabel III.2 Risiko penggunaan infrastruktur TI terhadap integritas dari laporan

keuangan

Infrastruktur Risiko

Jaringan 1. Data dirubah di tengah jalan.

2. Data tidak dapat terbaca (corrupt).

Pusat Data (Data

Center)

1. Salah memberikan data.

2. Hilangnya data - data yang telah tersimpan.

3. Pencurian media penyimpanan data.

4. Kegagalan sistem.

Sistem Operasi

(Operating System)

1. Sabotase terhadap sistem operasi.

2. Merubuh logika program.

3. Gangguan terhadap proses perhitungan.

4. Kegagalan sistem.

III.3 Kebutuhan pengendalian internal pada Sistem Informasi Akuntansi

III.3.1 Penilaian kebutuhan pengendalian internal berdasarkan risiko

penggunaan sumber daya Teknologi Informasi

Berdasarkan analisa risiko penggunaan teknologi informasi terhadap integritas

dari laporan keuangan. Risiko penggunaan teknologi informasi dilihat dari sifat

prosesnya dapat bersumber dari dua tipe proses:

a. Otomatis, proses yang terjadi tanpa campur tangan operator/manusia.

Proses jenis ini terjadi ketika telah tercapainya suatu kondisi tertentu

(trigger) yang mengakibatkan aplikasi/komputer untuk melakukan suatu

pekerjaan sesuai dengan apa yang telah ditentukan.

b. Manual, Proses manual adalah proses yang memerlukan penilaian dari staf

ahli atau yang memiliki wewenang dalam menentukan hal – hal penting

(essential) yang sangat berpengaruh terhadap keberhasilan suatu proses.

Untuk proses – proses yang bersifat Otomatis risiko dari penggunaan teknologi

informasi dapat dikurangi dengan cara menerapkan pengendalian internal pada

tata kelola sumber daya teknologi informasi. Menurut COBIT versi 4 sumber daya

teknologi informasi dikelompokkan menjadi (ITGC, 2006):

a. Aplikasi (application)

b. Informasi (information)

c. Infrastruktur (Infrastructure)

d. Manusia (people)

46

III.3.2 Pengendalian Internal Terhadap Risiko Penggunaan Aplikasi

Salah satu kelebihan dari penggunaan sistem informasi akuntansi dibandingkan

dengan proses manual adalah sistem informasi akuntansi dapat mengerjakan suatu

pekerjaan secara otomatis dengan kecepatan,ketepatan dan hasil yang relatif

konstan. Keunggulan ini dapat dipandang sebagai suatu kelebihan yang tidak

dimiliki oleh sistem manual, akan tetapi keunggulan ini dapat menjadi bumerang

ketika terjadi kesalahan logika pada proses pembuatan program dan terus terbawa

sampai dengan proses operasional. Kesalahan logika tersebut merupakan risiko

yang dapat mempengaruhi integritas dari laporan keuangan karena dapat

dipastikan setiap perhitungan yang dilakukan akan mengeluarkan nilai yang salah

di mana kesalahan tersebut akan diulang terus menerus sampai kesalahan tersebut

diperbaiki. Oleh karena itu untuk menjaga integritas dari sebuah sistem informasi

akuntansi maka diperlukan penerapan pengendalian internal dalam tahap

pembuatan (application development) dan pemeliharaan sistem (maintenance).

III.3.3 Pengendalian Internal Terhadap Risiko Penggunaan Infrastruktur

dan Manusia.

Infrastruktur TI dan sumber daya manusia merupakan sumber daya teknologi

informasi yang bersifat umum (general). Kedua sumber daya tersebut tidak terikat

terhadap sistem informasi manapun. Karena perannya yang menjadi tulang

punggung suatu layanan TI (IT Service) maka tata kelola infrastruktur dan sumber

daya manusia merupakan salah satu kunci keberhasilan layanan TI. Integritas dari

informasi yang dikelola dan disimpan pada Sistem informasi akuntansi sangat

bergantung dari integritas (integrity), kerahasiaan (confidentiality) dan

ketersediaan (Availability) dari infrastruktur dan sumber daya manusia yang

mengelola layanan TI. Infrastruktur TI dan sumber daya manusia yang

mengelolanya dapat dipandang sebagai sebuah risiko yang dapat mengganggu

integritas dari informasi yang digunakan dalam membuat laporan keuangan. Oleh

karena itu untuk menjaga integritas laporan keuangan maka diperlukan penerapan

pengendalian internal dalam mengelola infrastruktur TI seperti pusat data (data

center), jaringan (network), sistem informasi (operating system) serta sumber daya

manusia yang mengelolanya.

47

III.3.4 Pengendalian internal terhadap risiko penggunaan Informasi

Kualitas dari informasi yang dihasilkan oleh sistem informasi akuntansi

mempengaruhi integritas dari laporan keuangan. Sangatlah penting untuk

diperhatikan bagaimana informasi yang dihasilkan dari sistem informasi akuntansi

memiliki kandungan informasi yang dapat dipertanggungjawabkan untuk

membuat sebuah laporan keuangan. Kualitas dari informasi untuk membuat

sebuah laporan keuangan dapat dinilai dari (COSO, 1992):

a. Kesesuaian kandungan informasi (apakah mengandung informasi yang

dibutuhkan).

b. Informasi diberikan tepat waktu (dapatkah diberikan sewaktu - waktu

ketika diperlukan).

c. Informasi merupakan informasi terbaru (Apakah ini informasi yang

terbaru).

d. Informasinya akurat (Apakah informasi ini benar).

e. Informasi tersedia bagi yang membutuhkan (Dapatkah informasi ini

tersedia dengan mudah bagi yang membutuhkan).

Untuk dapat mencapai keempat kriteria dari informasi yang berkualitas menurut

panduan framework COSO, sangatlah penting untuk memastikan kualitas dari

pengendalian internal pada TI yang bersifat umum (general control). Apabila

pengendalian internal yang bersifat umum telah dapat diterapkan dengan baik,

langkah berikutnya adalah memastikan bagaimana informasi tersebut

dikelola\dijaga di dalam sebuah sistem informasi. Untuk mencapai hal tersebut

langkah yang perlu diambil adalah dengan menerapkan pengendalian internal

yang sesuai dengan karakteristik dari sistem. Tujuan dari penerapan pengendalian

aplikasi (application control) adalah untuk menjamin : akurasi (accuracy),

Keterselesaian (Completeness), validitas (Validity) dan otorisasi (authorization)

dari sebuah transaksi yang diproses oleh sistem informasi akuntansi.

III.4 Analisa Kebutuhan Framework Pengendalian Internal pada Sistem

Informasi Akuntansi

III.4.1 Analisa Tatacara Penilaian & Perbaikan Pengendalian Internal

48

Pada bagian sebelumnya telah dilakukan analisa terhadap keterhubungan antara

konsep - konsep yang akan melandasi perancangan framework pengendalian

internal pada sistem informasi akuntansi. Alasan utama yang mendasari

diperlukannya framework pengendalian internal adalah risiko yang bersumber dari

penggunaan teknologi informasi yang dapat mengganggu integritas dari informasi

yang digunakan dalam membuat laporan keuangan. Menurut COBIT sumber daya

TI terdiri dari (ITGC, 2006): aplikasi, informasi, infrastruktur dan manusia. Setiap

sumber daya TI memiliki risiko – risiko yang unik sesuai dengan karakteristik

yang dimilikinya. Keunikan tersebut menyebabkan tidak adanya suatu pendekatan

yang bersifat umum dalam menanggulangi risiko – risiko yang berasal dari

penggunaan TI.

Menurut COSO, pengendalian internal terhadap laporan keuangan pada sistem

informasi terbagi menjadi : IT General Control dan Application Control.

Sedangkan menurut SEC pengendalian internal pada laporan keuangan terbagi

menjadi: entity level control, transaction level control dan action level control.

Berdasarkan hasil analisa risiko penggunaan teknologi informasi terhadap

integritas dari informasi yang digunakan dalam membuat laporan keuangan,

pengendalian internal terhadap sistem informasi akuntansi pada penelitian ini akan

terbagi menjadi:

a. Pengendalian tingkat entiti (Entity Level Control)

b. Pengendalian umum TI (IT General Control)

c. Pengendalian aplikasi (Application Control)

Penelitian ini akan memfokuskan pada pengendalian internal yang bertujuan

untuk mencegah (preventive) dan mendeteksi (detection) risiko – risiko yang

mungkin mengganggu integritas dari informasi yang digunakan dalam membuat

laporan keuangan. Untuk mencapai kedua hal tersebut penelitian ini akan

menurunkan kelima komponen pengendalian internal yang terdapat pada COSO

integrated internal control framework menjadi pengendalian internal yang akan

diterapkan pada sistem informasi akuntansi berbasiskan teknologi informasi.

49

Tabel di bawah ini menjelaskan Tatacara dari framework pengendalian internal

pada sistem informasi akuntansi yang diajukan pada penelitian ini. Seperti telah

disebutkan sebelumnya, dasar dari framework pada penelitian ini adalah risiko

dari penggunaan sumber daya teknologi informasi. Hubungan risiko dan laporan

keuangan dihubungkan dengan penilaian risiko – risiko yang berhubungan

langsung dengan rekening dan transaksi keuangan. Pendekatan ini diambil agar

pengguna dari framework ini fokus terhadap risiko - risiko yang berhubungan

langsung dengan integritas dari laporan keuangan.

Tabel III.3 Tahapan penilaian dan perbaikan Pengendalian Internal pada Sistem

Informasi Akuntansi

No Langkah Deskripsi

1 Identifikasi rekening & transaksi

keuangan yang penting.

1. Identifikasi rekening – rekening

penting.

2. Identifikasi transaksi – transaksi

penting.

2 Identifikasi Sumber Daya TI dan

Pengendalian Internal yang ada.

1. Inventaris sumber daya TI dan

pengendalian internal yang

digunakan dalam mendukung SIA.

2. Review dokumen proses keuangan

untuk mengidentifikasi

pengendalian - pengendalian yang

tergantung dari TI.

3 Menilai risiko penggunaan TI

1. Menilai risiko dari penggunaan

sumber daya TI (impact &

likelihood).

2. Identifikasi Ancaman (Thread).

3. Identifikasi Kelemahan

(Vulnerability)

4 Penilaian dan Perbaikan

Pengendalian Internal.

1. Perbaikan Kekosongan

Pengendalian Internal.

2. Perbaikan Secara Sistematis

Berdasarkan Maturity Level.

III.4.2 Analisa Model Aktivitas Pengendalian Internal

III.4.2.1 Model dari Aktivitas Pengendalian Internal

Berdasarkan pemaparan yang terdapat pada bab ini dibandingkan dengan

pengendalian internal pada sistem informasi yang terdapat pada framework COSO

maka aktivitas pengendalian internal berbasiskan teknologi informasi dibagi

menjadi tiga kelompok :Pengendalian tingkat entiti (Entity Level Control),

50

Pengendalian umum TI (IT General Control) dan Pengendalian aplikasi

(Application Control).

Tabel III.4 Pengelompokan Pengendalian Internal.

Tipe Pengendalian Internal Aktivitas Pengendalian Internal

Pengendalian tingkat entiti (Entity

Level Control) :

1. Pengendalian akses.

2. Keamanan jaringan.

3. Rencana Kelangsungan Layanan

Sistem Informasi Akuntansi.

4. Audit Sistem Informasi Akuntansi.

Pengendalian umum TI (IT General

Control) :

5. Pusat Data

6. Operasional Komputer.

7. Tatacara Pengembangan Sistem.

Pengendalian aplikasi (Application

Control) :

8. Pengendalian Aplikasi

Tabel III.5 Pengendalian internal pada Sistem Informasi Akuntansi.

Sumber Risiko (IT

Infrastructure)

Aktivitas Pengendalian Internal

Aplikasi (application) 1. Tatacara Pengembangan Sistem.

2. Pengendalian Aplikasi.

Infrastruktur & Manusia 1. Pusat Data

2. Operasional Komputer

3. Keamanan Jaringan

Informasi (information) 1. Audit Sistem Informasi Akuntansi

2. Pengendalian Akses dan Wewenang

3. Pengendalian Aplikasi

51

Gambar III.1 Framework Aktivitas Pengendalian Internal.

Aktivitas pengendalian internal pada sistem informasi akuntansi pada tesis ini

terbagi menjadi :

a. Pengendalian tingkat entity (Entity Level Control) – Pengendalian tingkat

entity adalah pengendalian yang menyatu dan berpengaruh langsung di

dalam organisasi. Pengendalian tingkat entity memberikan dasar dalam

menjaga integritas dari sistem informasi akuntansi. Pengendalian tingkat

entity diterapkan dalam mengatur/mengarahkan pengendalian internal

Terhadap sumber daya TI yang digunakan dalam mendukung sistem

informasi akuntansi.

b. Pengendalian umum TI (IT General Control) – Pengendalian umum TI

adalah struktur, kebijaksanaan dan prosedur yang berpengaruh langsung

terhadap komponen – komponen utama sumber daya teknologi informasi.

Tujuan dari pengendalian umum TI adalah memastikan integritas dan

ketersediaan layanan teknologi informasi.

52

c. Pengendalian aplikasi (Application Control) – Pengendalian aplikasi

adalah struktur, kebijaksanaan dan prosedur yang diterapkan di dalam

sistem informasi akuntansi. Pengendalian ini secara khusus didesain untuk

mencegah, mendeteksi dan memperbaiki kesalahan dan ketidakbenaran

informasi yang diproses oleh sistem informasi akuntansi.

Gambar III.2Model dari Aktivitas Pengendalian internal pada Sistem Informasi

Akuntansi

Aktivitas Pengendalian internal tersebut akan bertujuan untuk mencapai :

d. Kerahasiaan (Confidentiality) - aspek yang menjamin kerahasiaan data

atau informasi, memastikan bahwa informasi hanya dapat diakses oleh

orang yang berwenang dan menjamin kerahasiaan data yang dikirim,

diterima dan disimpan.

e. Integritas (Integrity) - aspek yang menjamin bahwa data tidak dirubah

tanpa adanya izin pihak yang berwenang (authorized), menjaga keakuratan

dan keutuhan informasi serta metode prosesnya untuk menjamin aspek

integritas ini.

f. Ketersediaan (Availability) - aspek yang menjamin bahwa data akan

tersedia saat dibutuhkan, memastikan pengguna yang berhak dapat

53

menggunakan informasi dan perangkat terkait (aset yang berhubungan

bilamana diperlukan).

III.4.2.2 Aktivitas Pengendalian Internal

Tabel III.6 Aktivitas Pengendalian Internal

Jenis

Pengendalian

Internal

Aktivitas

Pengendalian

Internal

Tujuan

Kerahasiaan

(Confidentiality)

Integritas

(Integrity)

Ketersediaan

(Availability)

Entity Level

Control

1. Pengendalian

Akses dan

Wewenang

2. Keamanan

Jaringan

☻

3. Kelangsungan

Layanan

Sistem

Informasi

Akuntansi

4. Audit Sistem

Informasi

Akuntansi

☻

IT General

Control

5. Pusat Data ☻

6. Operasional

Komputer

☻ ☻

7. Tatacara

Pengembanga

n Sistem

Application

Control

8. Pengendalian

Aplikasi

= Primary Objective

☻ = Secondary Objective

54

5 Komponen Pengendalian Internal

Tujuan Pengendalian (Control

Objective)

Pengendalian :

Maturity

Level.

Table

Perbaikan.

Aktor :

Peran

Tanggung

Jawab.

Gambar III.3 Penjabaran dari Setiap Aktivitas Pengendalian Internal

Framework pengendalian internal pada sistem informasi akuntansi berisikan 8

aktivitas pengendalian yang terbagi ke dalam 3 tipe pengendalian internal (Entity

level control, IT General Control, Application Control). Isi dari setiap aktivitas

pengendalian internal adalah :

a. Tujuan pengendalian (Control Objective) – Tujuan pengendalian

merupakan dasar dari pengendalian internal karena di dalam tujuan

pengendalian terdapat tujuan (objective) dan petunjuk (guideline)

penerapan pengendalian internal. Tujuan pengendalian dapat digunakan

sebagai petunjuk dalam melakukan penilaian dan perbaikan pengendalian

internal. Tujuan pengendalian merupakan dasar dari Maturity Level dan

tabel rekomendasi.

b. Maturity Level – Maturity level digunakan sebagai alat ukur dalam menilai

pengendalian internal dan juga sebagai dasar dalam melakukan perbaikan.

Terdapat enam tingkatan dalam maturity level (0 s/d 5), ke enam

tingkatan tersebut mencerminkan pencapaian penerapan pengendalian

internal. Level terendah adalah 0 yang berarti pengendalian internal belum

diimplementasikan, sedangkan level tertinggi 5 menjelaskan bahwa

pengendalian internal telah diterapkan dan senantiasa dilakukan perbaikan

untuk meningkatkan kualitas dari penerapan pengendalian internal.

c. Role & Responsibility – Peran dan tanggung jawab dalam menjalankan

pengendalian internal, prinsip – prinsip akuntabilitas, pemisahan

55

kekuasaan check and balance adalah prinsip – prinsip yang harus

dijunjung dalam menjalankan pengendalian internal.

d. Tabel Rekomendasi – Tabel rekomendasi berisikan rekomendasi perbaikan

berdasarkan enam tingkatan penerapan pengendalian internal sesuai

dengan yang terdapat pada maturity level (poin b). Perbaikan yang

direkomendasikan akan dikelompokkan sesuai dengan komponen

pengendalian internal yang terdapat pada framework COSO.

e. Kuesioner – Kuesioner diturunkan dari enam tingkatan pengendalian

internal, kuesioner tersebut terbagi menjadi lima kelompok pertanyaan

berdasarkan lima komponen pengendalian internal yang dikemukakan oleh

COSO. Dari setiap kelompok pertanyaan akan ditanyakan dua pertanyaan

di mana pertanyaan pertama menanyakan pencapaian penerapan

pengendalian internal saat ini, sedangkan pertanyaan kedua akan

menanyakan tentang harapan/keinginan pencapaian penerapan

pengendalian internal. Jawaban untuk setiap kelompok pertanyaan

berisikan enam pilihan sesuai dengan tingkatan maturity level.

Dasar dari ketiga aktivitas pengendalian internal tersebut adalah 5 komponen

pengendalian internal yang terdapat pada framework COSO :

a. Lingkungan pengendalian (Control Environment), Lingkungan yang

mendukung pegawai/karyawan menunjang keberhasilan penerapan

pengendalian internal. Lingkungan pengendalian menjelaskan

kebijaksanaan dan prosedur yang dapat mendukung upaya – upaya

mengurangi risiko penggunaan TI terhadap integritas dari laporan

keuangan.

b. Penilaian risiko (Risk Assessment), dalam pembuatan tata kelola TI.

Manajemen terlebih dahulu melakukan penilaian dan memahami wilayah

– wilayah berisiko yang dapat mengganggu integritas dari laporan

keuangan. Penilaian tersebut harus dilakukan terhadap sistem sesuai

dengan standar keamanan informasi yang diakui secara luas. Penilaian

tersebut bertujuan untuk menunjang perbaikan terhadap sistem yang telah

ada ataupun terhadap sistem baru yang akan diimplementasikan.

56

c. Aktivitas Pengendalian (Control Activities). Desain, implementasi dan

jaminan kualitas (quality assurance) dari aktivitas pengendalian yang

terdapat pada tata kelola TI harus dibuat semandiri mungkin. Tata kelola

TI harus berisikan aktivitas – aktivitas pengendalian yang berorientasi

untuk mengurangi risiko dari penggunaan TI yang dapat mengganggu

integritas dari laporan keuangan.

d. Informasi dan Komunikasi (Information and Communication). Tanpa

adanya informasi yang akurat, manajemen akan sulit menjalankan

aktivitas pengendalian internal. Tata kelola TI harus berisikan mekanisme

pengambilan, pemrosesan dan pendistribusian informasi yang menunjang

keberhasilan penerapan pengendalian internal. Tata kelola TI harus dapat

menunjukkan peran dari departemen TI terhadap keberhasilan penyebaran

informasi yang berkaitan dengan pengendalian internal.

e. Pengawasan (Monitoring), Tata kelola TI harus berisikan rencana dan

jadwal audit TI terhadap sumber daya teknologi informasi yang digunakan

untuk mendukung layanan sistem informasi akuntansi, manajemen harus

paham dan mengerti tindak lanjut yang perlu diambil sesuai dengan hasil

audit yang telah dilakukan.

III.5 Analisa Kebutuhan Aktivitas Pengendalian Internal

III.5.1 Analisa Kebutuhan Pengendalian Akses dan Wewenang

Pada lingkungan multi pengguna (multi user) harus terdapat pengendalian atau

kontrol yang membatasi akses dan wewenang setiap pengguna atau pengelolanya.

Risiko bawaan dari lingkungan multi pengguna dapat terjadi ketika seorang

pengguna mengotorisasi atau merubah suatu transaksi yang bukan merupakan

wewenangannya, apabila hal ini terjadi (penyalahgunaan akses dan wewenang)

maka mekanisme pengawasan dan pengecekan dalam suatu transaksi atau proses

bisnis dapat dengan mudah dilewati.

Tabel III.7 Risiko dari lingkungan multi pengguna (Multi User)

Risiko dari Jenis Risiko Contoh Risiko

Akses dan Wewenang Inherent Risk 1. Akses yang tidak sah pada

sistem.

57

2. Akses Langsung pada perangkat

keras (hardware).

3. Penyalahgunaan hak akses pada

suatu informasi tertentu.

4. Pemalsuan transaksi (transaksi

fiktif).

Control Risk 1. Pemberian hak akses dari

pemilik yang sah ke pihak

ketiga.

2. Pemalsuan transaksi dengan

cara permainan antara yang

melakukan dan yang

mengotorisasi.

3. Terdapat permainan antara

petugas penjaga dan pengawas.

4. Penyalahgunaan informasi

(menjual, memberikan) yang

dilakukan oleh yang memiliki

hak akses sah.

Pengendalian akses dan wewenang harus dapat memberikan keyakinan yang

memadai bahwa setiap pengguna atau pengelola sistem informasi akuntansi tidak

memiliki akses dan wewenang penuh terhadap suatu transaksi atau proses bisnis.

Pengendalian dapat dilakukan dengan menerapkan pengawasan terhadap fungsi –

fungsi seperti di bawah ini pada suatu transaksi atau proses bisnis.

Gambar III.4 Pemisahan Kekuasaan (segregations of duties) (Perelsona dkk,

2001).

Dalam menurunkan kebutuhan pengendalian akses dan wewenang, perbaikan

yang akan dipergunakan dalam tesis ini akan mengacu pada 5 komponen

58

pengendalian internal yang didefinisikan oleh COSO, kebutuhan pengendalian

akses dan wewenang dilihat dari 5 komponen COSO :

a. Lingkungan Pengendalian – Terdapat kebijakan dan standar yang mengatur

mekanisme pemberian dan pencabutan akses dan wewenang pada sistem


b. Penilaian Risiko – Pemberian akses dan wewenang dilakukan berdasarkan

analisa risiko untuk mencegah terjadinya penyalahgunaan wewenang atau

untuk menghindari terjadinya konflik kepentingan.

c. Aktivitas Pengendalian – Kebijakan atau standar pengendalian akses dan

wewenang haruslah mengatur bagaimana prosedur yang harus dilalui, bagian

yang melakukan dan pejabat yang mengotorisasi setiap pemberian dan

pencabutan akses dan wewenang.

d. Informasi dan Komunikasi – terdapat jalur komunikasi antara bagian TI,

keuangan dan SDM dalam mengatur pemberian akses dan wewenang pada

sistem informasi akuntansi.

e. Pengawasan – Penggunaan akses dan wewenang oleh pengguna sistem

informasi akuntansi senantiasa tercatat dan diawasi untuk menghindari

terjadinya penyalahgunaan akses dan wewenang.

59

Tabel III.8 Maturity Level dari Pengendalian Akses

Control Environment

Risk Assessment Control Activities Information &

Communication

Monitoring

Level

1

Organisasi sudah mulai

menyadari pentingnya

pengendalian akses untuk

menghindari

penyalahgunaan akses dan

wewenang pada sistem


Penilaian risiko terkait

dengan risiko dari



informasi akuntansi belum

dilakukan secara formal.

Karena tidak didasarkan atas

analisa risiko maka penerapan

pengendalian akses pada sistem

informasi akuntansi masih

terbatas berdasarkan inisiatif

analis\pengembang sistem


Informasi yang

berhubungan dengan

pengendalian akses dan

wewenang belum dapat

dikomunikasikan dengan

baik karena pelaksanaan


wewenang masih bersifat

intuitif.

Pengawasan terhadap

penggunaan password, akses dan

wewenang serta pengendalian

fisik sistem informasi akuntansi

mulai dilakukan meskipun

pelaksanaannya belum

sepenuhnya mendapatkan

dukungan dari organisasi.

Level

2

Organisasi mulai

memahami pentingnya

pengendalian akses. standar

dan prosedur pengendalian

akses telah dibuat meskipun

belum mencakup seluruh

tujuan pengendalian

(control objective)

pengendalian akses.

Penilaian risiko secara

formal terhadap penyalah

gunakan akses dan

wewenang mulai

dilakukan. Meskipun

demikian organisasi masih

menganggap bahwa



informasi akuntansi

semata – mata merupakan

masalah pada domain TI

semata.

Pada tahap pengembangan

sistem informasi akuntansi,

pengendalian akses telah

menjadi salah satu kebutuhan

(requirements) selain kebutuhan

fungsionalitas dari sistem


Informasi yang

berhubungan dengan

pengendalian akses telah

didokumentasikan

meskipun belum

mencakup seluruh tujuan

pengendalian (control

objective) pengendalian

akses.

Pengawasan sudah mulai

dilakukan secara terstruktur

sesuai dengan standar/prosedur

yang ada.

Level

3

Telah ada bagian\individu

yang bertanggung jawab

mengatur pengendalian

akses dan wewenang pada

sistem informasi akuntansi

beserta sumber daya TI

yang mendukungnya.

Organisasi telah sadar

akan besarnya dampak

risiko yang ditimbulkan

dari kesalahan akses pada

sistem informasi

akuntansi, penilaian risiko

telah dilakukan untuk

Pemberian akses dan wewenang

pada sistem informasi akuntansi

dilakukan berdasarkan prinsip –

prinsip akuntansi dengan tujuan

untuk menghindari

penyalahgunaan wewenang.

Standar dan prosedur


wewenang telah

terdefinisi dengan baik

akan tetapi ketersediaan

Informasi untuk

melakukan pengawasan

Telah dilakukan mekanisme

pengawasan pengendalian akses

pada sistem informasi akuntansi,

Pada saat ini mekanisme

pengawasan masih dilakukan

dengan semi-otomatis.

60

melihat dampak dari

kesalahan akses pada

integritas transaksi yang

ada pada sistem informasi

akuntansi

masih belum tersedia

dengan cepat dan

terstruktur.

Level

4

Koordinasi antara bagian

IT, keuangan dan SDM

dalam mengatur

pengendalian akses pada


dan sumber daya TI yang

mendukungnya telah mulai

dibangun meskipun

pelaksanaannya masih

tumpang tindih.

Organisasi telah memiliki

ukuran – ukuran tertentu

dalam melakukan

penilaian risiko, ukuran –

ukuran tersebut berisikan

pengukuran risiko

kesalahan akses dilihat

dari sudut pandang TI dan

Akuntansi.

Setiap permohonan pengguna

baru atau

penambahan/pengurangan


informasi akuntansi dilakukan

secara tertulis dan diotorisasi

pelaksanaannya oleh yang

berwenang.

Telah dilakukan

pencatatan perilaku akses

(profile) yang dilakukan

untuk mendukung proses

pengawasan dan

penyidikan..

Hasil dari pencatatan tersebut

kemudian dianalisa secara

otomatis atau manual untuk

mengetahui\mencegah apabila

terjadi penyalahgunaan akses

atau wewenang.

Level

5

Koordinasi departemen TI ,

keuangan dan SDM dalam

pemberian dan pengawasan

akses dan wewenang yang

ada pada sistem informasi

akuntansi beserta sumber

daya TI yang

mendukungnya telah

terjalin dengan baik di

mana peran dan tanggung

jawab tiap – tiap

departemen telah terdefinisi

dengan baik.

Risiko dari penyalah

gunakan akses dan


informasi akuntansi telah

dikategorikan sebagai

risiko yang dapat

mengganggu integritas

dari sistem informasi

akuntansi.

Proses pengendalian akses dan

wewenang senantiasa dilakukan

perbaikan menyesuaikan dengan

perubahan kondisi internal dan

eksternal (regulasi, standar

akuntansi).

Informasi yang

dibutuhkan untuk

melakukan pengawasan

telah terdefinisi dengan

baik dan didistribusikan

dengan cepat kepada

yang membutuhkannya.

Pengawasan akses dan

wewenang dilakukan bersama –

sama antara departemen TI ,

departemen keuangan dan SDM.

Proses pengawasan yang bersifat

otomatis diimbangi dengan

pengawasan manual (audit) yang

telah dilakukan terkoordinasi

dengan proses audit organisasi

secara menyeluruh.

61

Pada sistem informasi akuntansi terdapat dua lingkungan pengendalian akses dan

wewenang yang harus dikendalikan, kedua pengendalian akses dan wewenang

tersebut adalah pengendalian akses dan wewenang yang bersifat logika dan

pengendalian akses dan wewenang yang bersifat fisik. Pengendalian logika pada

sistem informasi akuntansi bertujuan untuk membatasi akses dan wewenang

pengguna sistem informasi akuntansi dalam menjalankan pekerjaan\tugas sehari –

harinya. Sedangkan pengendalian fisik lebih ditujukan kepada pengelola layanan

sistem informasi akuntansi agar dalam pengelolaan layanan sistem informasi

akuntansi tidak merusak integritas data dan layanan yang terdapat pada sistem


Tabel III.9 Tujuan Pengendalian Tatakelola Peran dan Tanggung Jawab

Komponen Tatakelola Peran dan Tanggung Jawab

Penilaian Risiko a. Risiko yang terkait langsung dengan peran dan

wewenang pada transaksi – transaksi penting.

b. Penilaian risiko terhadap wewenang dan peran yang

telah diberikan.

Lingkungan

Pengendalian

a. Terdapat prosedur Pemberian & Pencabutan akses

dan wewenang.

b. Ada bagian\individu yang mengawasi dan

mengotorisasi setiap peran & tanggung jawab yang

ada pada sistem informasi akuntansi dan sumber

daya TI yang mendukungnya.

Aktivitas

Pengendalian internal

a. Setiap ada permohonan terhadap akses dan

wewenang dilakukan secara tertulis dan diotorisasi.

b. Dilakukan pencatatan untuk setiap kegiatan dari

pengguna sistem informasi.

Informasi &

Komunikasi

a. Koordinasi dengan bagian SDM apabila ada

pegawai yang baru masuk, keluar, pindah divisi atau

mendapatkan promosi.

Pengawasan a. Dilakukan pengawasan terhadap setiap transaksi

pada sistem informasi akuntansi terutama yang

berhubungan dengan transaksi dan rekening penting.

Tabel III.10 Tujuan Pengendalian Tatakeloa Password

Komponen Pengendalian Tatakelola Password

Penilaian Risiko a. Risiko yang terkait langsung dengan akses terhadap

transaksi yang berhubungan langsung dengan

rekening penting.

Lingkungan

Pengendalian

a. Memiliki standar dari penggunaan password.

62

Aktivitas


a. Mengatur penggunaan password seperti panjang

minimal, kombinasi, dan sebagainya.

b. Secara otomatis sistem menolak penggunaan

password yang tidak sesuai dengan standar.

Informasi &

Komunikasi

a. Senantiasa diberikan penyuluhan terkait dengan

akibat yang mungkin terjadi apabila menggunakan

password yang tidak aman.

b. Pengguna diinformasikan apabila password yang

digunakan tidak diganti untuk jangka waktu tertentu.

Pengawasan a. Pengawasan penggunaan password dilakukan secara

otomatis untuk menghindari penyalahgunaan.

Tabel III.11 Tujuan Pengendalian Keamanan Fisik

Komponen Keamanan Fisik

Penilaian Risiko a. Identifikasi terhadap sumber daya TI yang rawan dan

memiliki hubungan dengan rekening dan transaksi

penting.

b. Menilai kondisi lingkungan sekitar dari sumber daya

teknologi informasi yang digunakan oleh sistem


Lingkungan

Pengendalian

a. Terdapat prosedur yang menjelaskan siapa saja yang

dapat mengakses fisik dari sistem informasi

akuntansi.

b. Standar keamanan fisik yang digunakan dalam

menjaga fisik dari sistem informasi akuntansi.

Aktivitas


a. Dilakukan pencatatan setiap individu yang

mengakses perangkat keras sistem informasi

akuntansi,

b. Terdapat perlindungan dari gangguan yang

disebabkan oleh lingkungan seperti kebakaran, banjir

dan sebagainya.

Informasi &

Komunikasi

a. Setiap kejadian yang mangganggu keamanan fisik

dicatat dan dilaporkan.

b. Dilakukan koordinasi dengan bagian keamanan

gedung untuk bersama – sama menjalankan

keamanan fisik.

Pengawasan a. Dilakukan audit untuk menilai pelaksanaan

keamanan fisik.

b. Informasi tentang status keamanan fisik tersedia

secara realtime.

63

III.5.2 Analisa Kebutuhan Pengendalian Keamanan Jaringan

Sistem informasi akuntansi merupakan sistem multi pengguna (multi user) yang

menggunakan media komunikasi elektronik. Penggunaan internet dan protokol

TCP/IP memungkinkan pengguna saling berinteraksi sesuai dengan peran dan

tanggung jawab yang dimilikinya. Terlepas dari segala kemudahan yang

ditawarkannya, penggunaan jaringan harus mendapatkan perhatian lebih karena

jaringan merupakan pintu utama dan juga pertahanan pertama sistem informasi

akuntansi. Risiko bawaan dari penggunaan jaringan seperti pencurian\manipulasi

data, usaha - usaha sabotase terhadap sistem dan ancaman - ancaman lainnya

harus mendapatkan perhatian karena dapat mempengaruhi integritas dari

informasi yang terdapat pada sistem informasi akuntansi.

Tabel III.12 Risiko dari Penggunaan Jaringan

Risiko dari Jenis Risiko Contoh Risiko

Keamanan Jaringan Inherent Risk 1. Sabotase Terhadap Jaringan.

2. Akses yang tidak sah melalui

akses jarak jauh.

3. Pencurian atau manipulasi data

melalui jaringan

Control Risk 1. Sabotase terhadap jaringan

masih dapat dilakukan karena

administrator lalai melakukan

perbaikan (patch).

2. Pemberian hak akses yang sah

kepada pihak ketiga.

3. Pencurian atau manipulasi yang

dilakukan oleh administrator

jaringan.

Pengendalian keamanan jaringan harus dapat memberikan keyakinan yang

memadai bahwa penggunaan jaringan tidak mengganggu integritas dan

ketersediaan layanan sistem informasi akuntansi. Terdapat berbagai macam cara

untuk menerapkan pengendalian keamanan jaringan, beberapa cara yang idalam

adalah dengan menerapkan : mekanisme otentifikasi, firewall, enkripsi dan

sebagainya.

64




keamanan jaringan dilihat dari 5 komponen COSO :

a. Lingkungan Pengendalian – Terdapat dukungan dari pihak manajemen untuk

melindungi integritas dan kelangsungan layanan sistem informasi akuntansi

dari gangguan – gangguan yang berasal dari luar organisasi,

b. Penilaian Risiko – Penilaian risiko tidak dilakukan hanya terfokus pada

infrastruktur jaringan sistem informasi akuntansi, penilaian risiko dilakukan

juga terhadap aspek non teknis seperti kesiapan\pemahaman penggunan sistem

informasi akuntansi terkait dengan keamanan informasi.

c. Aktivitas Pengendalian – Terdapat mekanisme otentifikasi yang handal dalam

penggunaan akses jarak jauh sistem informasi akuntansi. Komunikasi

elektronik dari antara sistem dan pengguna dilakukan secara terkunci

(encryption) sesuai dengan standar keamanan elektronik yang dimiliki

organisasi.

d. Informasi dan Komunikasi – Pengembang, departemen TI dan departemen

keuangan saling berkomunikasi menentukan mekanisme pengendalian

komunikasi dan akses jarak jauh. Pengguna sistem informasi akuntansi

senantiasa diberikan pelatihan\informasi terkait dengan praktek – praktek

keamanan akses jarak jauh.

e. Pengawasan – Dilakukan pengawasan dan pencatatan terhadap usaha – usaha

sabotase sistem informasi akuntansi yang berasal dari jaringan. Pengawasan

sebaiknya dilakukan secara otomatis seperti dengan menggunakan intrusion

detection system (IDS).

65

Tabel III.13 Maturity Level Keamanan Jaringan

Lv Control Objective Risk Assessment Control Activities Information and

Communication

Monitoring

1 Mulai terbentuknya pemahaman akan pentingnya penerapan

pengendalian keamanan jaringan pada organisasi.

Penilaian risiko dari keamanan jaringan telah mulai dilakukan meskipun

pelaksanaannya tidak menyeluruh dan berkesinambungan.

Pelaksanaan pengendalian keamanan jaringan telah

diterapkan tetapi masih bersifat khusus.

Komunikasi terkait dengan keamanan jaringan mulai terbentuk

tetapi tidak ada tindak lanjut dari komunikasi tersebut karena tidak

jelasnya mekanisme pengendalian keamanan jaringan.

Respons terhadap gangguan keamanan jaringan masih

bersifat reaktif.

2 Telah ada yang bertanggung jawab dan mengatur pelaksanaan pengendalian keamanan jaringan.

Telah dilakukan penilaian risiko terhadap keamanan jaringan pada sistem informasi akuntansi meskipun

pelaksanaannya masih terfokus hanya terhadap kondisi infrastruktur jaringan .

Pelaporan masih bersifat asal – asalan, tidak lengkap dan masih terfokus kepada masalah teknis

semata.

Dokumentasi dari pengendalian keamanan jaringan masih sulit untuk

ditemukan.

Pengawasan hanya berdasarkan laporan yang ada tidak dilakukan

secara real time.

3 Organisasi telah memiliki standar dan prosedur yang mengatur keamanan komunikasi dan

mekanisme akses jarak jauh.

Manajemen telah sadar akan risiko yang ditimbulkan dari penggunaan media

komunikasi elektronik, penilaian risiko telah dilakukan dengan menggabungkan

antara aspek teknis (infrastruktur jaringan) dan non teknis (nilai data).

Standar dan prosedur pengendalian keamanan

jaringan telah mulai diimplementasikan tetapi belum

dilakukan pengukuran.

Standar dan prosedur keamanan jaringan telah didokumentasikan

berdasarkan kebutuhan pengendalian internal pada sistem


Pengawasan terhadap kejadian (incident) keamanan jaringan

telah mulai dilakukan secara real time.

4 Telah dibentuknya tim keamanan jaringan yang berisikan gabungan

antara departemen TI dan departemen Keuangan. Tugas dari

tim tersebut adalah mengawasi dan merancang kebijaksanaan

keamanan jaringan.

Penilaian risiko telah dilakukan dengan terencana mencakup hampir sebagian besar infrastruktur jaringan yang ada , penilaian risiko secara rutin dilakukan

dan dilakukan berdasarkan standar/framework tertentu.

Telah dibuat Target dan matris keamanan jaringan akan tetapi

proses pelaksanaan dan pengukuran belum dilakukan

dengan konsisten.

Manajemen senantiasa mengomunikasikan program –

program keamanan jaringan baik dengan cara pembuatan

pamflet/buletin atau dengan melakukan pelatihan.

Pengawasan terhadap keamanan jaringan telah

dilakukan menggunakan ukuran – ukuran tertentu yang dapat

menggambarkan kondisi keadaan keamanan jaringan

saat ini.

5 Manajemen telah dapat memastikan bahwa kegagalan keamanan jaringan tidak akan mengganggu operasional dari


Tes dan penilaian risiko yang bersifat global telah dilakukan dimana hasil dari tes tersebut dijadikan masukan untuk melakukan perbaikan pengendalian

keamanan jaringan.

Point – point dari kebijaksanaan keamanan jaringan telah

dilakukan sepenuhnya dan secara berkala dilakukan

pembandingan (benchmark) dengan pihak luar.

Pelatihan formal tentang pengendalian keamanan jaringan

telah senantiasa dilakukan, informasi yang berhubungan

dengan kondisi keamanan jaringan telah tersedia secara real time.

Target dan metrik telah dilakukan penilaian dan

pengukuran dengan konsisten.

66

Sistem informasi akuntansi harus dilindungi dari ancaman – ancaman yang

dilakukan melalui media jaringan (network). Salah satu cara yang dapat dilakukan

adalah dengan membatasi akses langsung terhadap sistem. Untuk menghindari

pencurian dan manipulasi data yang ditransmisikan melalui jaringan, data yang

ditransmisikan wajib dilakukan encryption. Sebisa mungkin sistem informasi

akuntansi tidak dapat diakses oleh jaringan publik, apabila hal ini tidak dapat

dihindarkan maka penggunaan virtual private network harus dilakukan sesuai

dengan kebijakan keamanan komunikasi dan kebijakan akses jarak jauh.

Tabel III.14 Tujuan Pengendalian Keamanan Komunikasi

Komponen Pengendalian Keamanan Komunikasi

Penilaian Risiko a. Terdapat standar yang mengatur pelaksanaan

keamanan komunikasi melalui jaringan elektronik.

b. Terdapat bagian\individu yang bertugas mengawasi

dan menjalankan pengendalian keamanan

komunikasi.

Lingkungan

Pengendalian

a. Penerapan keamanan komunikasi didasari atas hasil

analisa risiko penggunaan media komunikasi

elektronik.

b. Aktivitas pengendalian keamanan komunikasi

dilakukan berdasarkan analisa risiko terhadap

informasi – informasi yang melalui media elektronik.

Aktivitas


a. Setiap data yang melalui media komunikasi

elektronik telah dienkripsi.

b. Keamanan komunikasi pada sistem informasi

akuntansi telah dimasukkan ke dalam salah satu

kebutuhan (requerment) dari pembangunan arsitektur

keamanan jaringan.

Informasi &

Komunikasi

a. Setiap kejadian yang berhubungan dengan keamanan

komunikasi elektronik tercatat dan dikomunikasikan

kepada manajemen.

Pengawasan a. Pengawasan terhadap pelaksanaan keamanan

komunikasi dilakukan secara manual melalui audit

dan juga dilakukan secara otomatis melalui

penggunaan perkakas elektronik.

Tabel III.15 Tujuan Pengendalian Akses Jarak Jauh

Komponen Pengendalian Akses jarak jauh

Penilaian Risiko a. Telah tersedia prosedur dan standar yang mengatur

akses jarak jauh pada sistem informasi akuntansi.

b. Telah tersedia standar\tatacara penggunaan sistem

67

informasi akuntansi yang dilakukan melalui akses

jarak jauh.

Lingkungan

Pengendalian

a. Pelaksanaan dari layanan akses jarak jauh pada

sistem informasi akuntansi dilakukan berdasarkan

penilaian risiko yang dapat mengganggu integritas

dari sistem informasi akuntansi.

Aktivitas


a. Terdapat mekanisme otentifikasi dan otorisasi

khusus untuk menangani penggunaan akses jarak

jauh pada sistem informasi akuntansi.

Informasi &

Komunikasi

a. Setiap usaha sabotase\akases tidak sah pada sistem

informasi akuntansi yang dilakukan melalui akses

jarak jauh dilakukan dokumentasi dan

dikomunikasikan agar dapat dicari solusinya.

Pengawasan a. Setiap akses jarak jauh dicatat dan dianalisa

kewajarannya.

III.5.3 Analisa Kebutuhan Pengendalian Kelangsungan layanan Sistem

Informasi Akuntansi

Tidak ada tempat di dunia ini yang bebas dari risiko\bencana, pengelolaan sistem

informasi akuntansi harus memperhitungkan kemungkinan terjadinya bencana,

baik yang disebabkan oleh alam ataupun manusia. Pasca terjadinya bencana

pengelola sistem informasi akuntansi harus dapat mengembalikan kondisi dari

informasi atau data yang terdapat pada sistem informasi akuntansi sedekat

mungkin dengan informasi atau data sebelum terjadinya bencana. Pada saat

perbaikan harus diperhatikan integritas dari informasi atau data seperti kebenaran,

kelengkapan, waktu dan yang melaksanakannya. Proses perbaikan pasca

terjadinya bencana membawa beberapa risiko bawaan seperti ketidak siapan

sarana dan prasarana cadangan, rusaknya media penyimpanan cadangan (backup),

risiko – risiko bawaan ini harus dikelola dengan baik untuk mencegah hilangnya

integritas dari data atau informasi pasca terjadinya bencana.

Pengendalian kelangsungan layanan sistem informasi akuntansi harus dapat

memberikan keyakinan yang memadai bahwa pasca terjadinya bencana data atau

informasi yang terdapat pada sistem informasi dapat diperbaiki mendekati kondisi

pasca terjadinya bencana, serta kehilangan data dapat teridentifikasi dan

diperbaiki dengan sebaik – baiknya. Dalam menurunkan kebutuhan pengendalian

akses dan wewenang, perbaikan yang akan dipergunakan dalam tesis ini akan

68

mengacu pada 5 komponen pengendalian internal yang didefinisikan oleh COSO,

kebutuhan pengendalian akses dan wewenang dilihat dari 5 komponen COSO :

a. Lingkungan Pengendalian – Kelangsungan layanan sistem informasi akuntansi

telah dianggap sebagai salah satu risiko yang dapat mengganggu integritas

dari informasi keuangan.

b. Penilaian Risiko – Dilakukan penilaian risiko dari kelangsungan layanan

sistem informasi akuntansi melalui penilaian akibatnya terhadap bisnis

(business impact assessment) dan penilaian kelemahan (vulnerability

assessment).

c. Aktivitas Pengendalian – Organisasi memiliki rencana kelangsungan layanan

sistem informasi akuntansi beserta rencana perbaikan pasca bencana (disaster

recovery plan).

d. Informasi dan Komunikasi – Telah terdefinisi jalur komunikasi pasca

terjadinya bencana

e. Pengawasan – Dilakukan penilaian atau audit terhadap kesiapan perangkat dan

petugas dalam menghadapi kejadian – kejadian yang dapat mengganggu

layanan sistem informasi akuntansi.

Patuh terhadap SOX bagian 404 mengharuskan organisasi untuk dapat menjamin

data atau informasi yang terdapat pada sistem informasi akuntansi tetap benar

meskipun terjadi bencana atau musibah. Dalam prosesnya organisasi perlu untuk

mengidentifikasi dan mendokumentasikan seluruh transaksi dan proses bisnis

yang ada pada sistem informasi akuntansi. Dalam prakteknya rencana

kelangsungan layanan sistem informasi akuntansi dibangun berdasarkan :

a. Penilaian risiko (risk assessments) – identifikasi dan evaluasi ancaman dan

kelemahan yang dapat mengakibatkan terhambat\terganggu layanan sistem


b. Analisa dampak bisnis (Business Impact Analysis) – mengevaluasi dan

memperkirakan dampak risiko terhadap kelangsungan bisnis.

c. Strategy and Plan Development: Synthesize Risk Assessment dan Business

Impact Analysis.

69

Tabel III.16 Maturity Level Kelangsungan Layanan Sistem Informasi

Lv Control Environment

Risk Assessment Control Activities Information & Communication Monitoring

1 Manajemen mulai membicarakan dan

membahas bentuk dari kelangsungan layanan sistem


Penilaian risiko terhadap kelangsungan layanan sistem

informasi akuntansi telah dilakukan tetapi masih berasal dari inisiatif

perorangan.

Tanggung jawab kelangsungan layanan masih diterapkan secara

informal dan wewenang yang dimiliki masih terbatas.

Komunikasi yang terkait dengan kelangsungan layanan sistem informasi akuntansi mulai terbentuk tetapi tidak

jelas tindak lanjut dari komunikasi tersebut.

Pengawasan akan kelangsungan layanan telah

dilakukan tetapi masih terbatas pada cara – cara

manual.

2 Manajemen telah sadar akan pentingnya kelangsungan layanan sistem informasi

akuntansi. Telah mulai dibuat standar atau prosedur untuk menunjang kelangsungan layanan sistem informasi

akuntansi.

Secara berkala telah dilakukan pengujian dan pelaporan terhadap kesiapan keberlangsungan layanan


Telah dibuat Rencana kelangsungan layanan sistem

informasi akuntansi, akan tatapi pelaksanaannya masih

tergantung pada individu – individu tertentu.

Dokumen Kelangsungan layanan belum tersedia seluruhnya, meskipun telah

ada komitmen untuk memberikan layanan di saat darurat.

Pelaporan masih bersifat sporadis, tidak menyeluruh

dan belum ada analisa dampak terganggunya kelangsungan sistem

informasi terhadap bisnis.

3 Telah ada yang bertanggung jawab dan memelihara

kelangsungan layanan sistem informasi akuntansi.

Pemeliharaan rencana kelangsungan layanan sistem informasi akuntansi dilakukan

berdasarkan hasil tes dan penilaian risiko.

Telah tersedia peralatan – peralatan untuk menghadapi

keadaan darurat sesuai dengan apa yang terdapat pada rencana

kelangsungan bisnis

Telah ada rencana Kelangsungan layanan sistem informasi akuntansi yang

dibuat berdasarkan kegentingan dari layanan akuntansi dan akibat terhadap

bisnis secara menyeluruh.

Tujuan dan metrik untuk kelangsungan layanan telah

dibuat akan tetapi pengukurannya dilakukan

masih belum konsisten.

4 Telah terjadi koordinasi antara departemen TI dan

departemen Keuangan untuk menjalankan dan memelihara

rencana kelangsungan layanan sistem informasi

akuntansi.

Rencana kelangsungan layanan sistem informasi akuntansi telah dibuat dan dirawat berdasarkan analisa akibat terhadap bisnis

(business impact analysis).

Kejadian yang menyebabkan terhentinya layanan telah

diklasifikasikan dan penyebabnya telah dipelajari agar tidak terulang kembali,

organisasi telah memiliki lokasi alternatif untuk menjalankan sistem informasi akuntansi.

Pelatihan formal telah dilakukan untuk mendukung keberlangsungan layanan


Pengukuran Goal dan metrik untuk keberlangsungan

layanan sistem informasi akuntansi telah dilakukan

secara konsisten dan sistematik.

5 Kesadaran akan pentingnya kelangsungan layanan telah terbentuk, seluruh komponen

organisasi telah mengerti akan peran dan tanggung

jawabnya dalam melaksanakan rencana kelangsungan bisnis.

Setiap proses perubahan pada sistem informasi akuntansi

dilakukan dengan menyertakan analisa risiko dari perubahan

tersebut, analisa risiko tersebut merupakan dasar dari perubahan rencana layanan kelangsungan


Kelangsungan layanan sistem informasi akuntansi telah

tereintegrasi dengan rencana kelangsungan layanan bisnis

dan secara rutin dilakukan perawatan.

Rantai komunikasi pasca terjadinya bencana telah terbentuk, dokumen SOP

pasca terjadinya bencana telah terdistribusi kepada yang

berkepentingan. Tes dan pelatihan telah dilakukan secara rutin dimana masukan

dari kedua proses tersebut menjadi dasar untuk melakukan perbaikan.

Pengawasan terhadap pengendalian kelangsungan

layanan sistem informasi akuntansi telah dilakukan

menyatu dengan pengawasan kelangsungan layanan bisnis

organisasi.

70

Tabel III.17 Tujuan Pengendalian Kelangsungan Layanan dan Penilaian Risiko

Komponen Pengendalian Kelangsungan Layanan dan Penilaian

Risiko

Penilaian Risiko a. Penerapan pengendalian keberlangsungan layanan

sistem informasi akuntansi dilakukan berdasarkan

hasil dari analisa risiko terhadap komponen –

komponen sistem informasi akuntansi.

Lingkungan

Pengendalian

a. Telah ada kebijaksanaan atau prosedur yang

mengatur jalanya layanan sistem informasi

akuntansi.

Aktivitas


a. Telah ada rencana kelangsungan layanan sistem

informasi akuntansi di mana minimal berisikan

panduan, peran dan tanggung jawab, prosedur serta

mekanisme komunikasi.

b. Dilakukan latihan secara berkala untuk melatih

kesiapan apabila sewaktu – waktu terjadi bencana

terjadinya bencana.

c. Organisasi telah memiliki lokasi alternatif (manusia

& perangkat keras) untuk menjalankan layanan


Informasi &

Komunikasi

a. Secara terjadwal dilakukan pelaporan terhadap

kondisi dan kesiapan dari peralatan darurat

b. Setiap personel yang berperan dalam rencana

kelangsungan bisnis telah memiliki standar

operasional (Soft copy & hard copy) sesuai dengan

perannya.

Pengawasan a. Dilakukan pengecekan secara terjadwal untuk

memastikan kondisi dari fasilitas cadangan agar

sewaktu – waktu apabila terjadi keadaan darurat

peralatan tersebut dapat berfungsi dengan

semestinya.

Tabel III.18 Tujuan Pengendalian Pengujian, Pemeliharaan dan Penilaian ulang

Rencana Kelangsungan Layanan

Komponen Pengendalian Pengujian, pemeliharaan dan Penilaian

ulang Rencana Kelangsungan Layanan

Penilaian Risiko a. Rencana kelangsungan layanan sistem informasi

akuntansi telah dibuat dan dirawat berdasarkan

analisa akibat terhadap bisnis (business impact

analysis).

Lingkungan

Pengendalian

a. Organisasi menyadari bahwa rencana kelangsungan

bisnis bukanlah merupakan suatu rencana yang

bersifat statis sehingga harus senantiasa

diperbaharui.

Aktivitas a. Setiap perubahan pada sistem informasi akuntansi

71

Pengendalian internal dilakukan dengan berkoordinasi untuk menjamin


b. Rencana kelangsungan bisnis senantiasa

diperbaharui sejalan dengan hasil dari analisa risiko

serta ketersediaan teknologi yang ada.

Informasi &

Komunikasi

a. Setiap perubahan dari rencana kelangsungan layanan

sistem informasi akuntansi dikomunikasikan kepada

pengguna sistem informasi akuntansi, sosialisasi

dilakukan untuk memberitahukan perubahan yang

terjadi.

Pengawasan a. Dilakukan audit untuk menguji rencana


III.5.4 Analisa Kebutuhan Pengendalian Audit Sistem Informasi Akuntansi

SOX mewajibkan manajemen\direksi untuk memberikan keyakinan yang

memadai akan penempatan dan efektivitas dari pengendalian internal. Untuk

organisasi yang menggunakan sistem informasi akuntansi, sebagian besar

pengendalian internal yang diperlukan untuk menjamin penerapan dan efektivitas

dari pengendalian internal berada pada layanan teknologi informasi. Oleh karena

itu risiko kegagalan dari pengendalian internal pada sistem informasi akuntansi

dapat sangat berpengaruh terhadap kebenaran, integritas dan ketersediaan data

atau informasi transaksi keuangan.

Audit sistem informasi akuntansi adalah suatu proses pemeriksaan terhadap

keberadaan dan kinerja dari pengendalian internal. Proses dari audit sistem

informasi akuntansi dilakukan dengan cara mengumpulkan data dan mengevaluasi

bukti – bukti dari pelaksanaan tatakelola, praktek dan operasional dari

pengendalian internal. Kualitas hasil audit sangat tergantung pada bukti – bukti

urutan kejadian (chronological sequence) atau lebih dikenal juga dengan Audit

Log. Audit Log mencatat siapa saja yang mengakses sistem informasi akuntansi

dan apa saja yang dilakukannya dalam jangka waktu tertentu. Dalam menurunkan

kebutuhan pengendalian akses dan wewenang, perbaikan yang akan dipergunakan

dalam tesis ini akan mengacu pada 5 komponen pengendalian internal yang

didefinisikan oleh COSO, kebutuhan pengendalian akses dan wewenang dilihat

dari 5 komponen COSO :

72

a. Lingkungan Pengendalian – Audit carter telah berisikan peran, wewenang

dalam melakukan audit sistem informasi akuntansi, audit komite telah

dibentuk untuk mengawasi jalannya proses audit sistem informasi akuntansi.

b. Penilaian Risiko – Dengan dimasukkannya audit sistem informasi akuntansi

dalam audit carter berarti bahwa organisasi telah menempatkan risiko sistem

informasi akuntansi pada tingkat organisasi.

c. Aktivitas Pengendalian – Proses audit dilakukan untuk menilai keberadaan,

substansi dan kepatuhan dari pengendalian internal pada sistem informasi

akuntansi

d. Informasi dan Komunikasi – Terdapat forum yang menjembatani komunikasi

dan pertukaran informasi antara Pemilik proses dan auditor. Senantiasa

dilakukan penyuluhan\pelatihan untuk menanamkan budaya-budaya yang

mendukung penerapan pengendalian internal.

e. Pengawasan – Audit komite bertugas untuk menilai kewajaran dan

akuntabilitas dari proses dan hasil audit.

73

Tabel III.19 Maturity Level Audit Sistem Informasi Akuntansi



Communication

Monitoring

1 Organisasi mulai menyadari kebutuhan akan audit sistem

informasi akuntansi, mulai dikumpulkannya sumber daya yang

akan digunakan untuk melaksanakan audit.

Pelaksanaan Audit tidak didasari atas hasil analisa risiko, pelaksanaan audit masih

dilakukan secara informal.

Proses audit terhadap sistem informasi akuntansi

telah dilakukan tetapi masih merupakan inisiatif dari perorangan (bukan

tuntutan organisasi).

Komunikasi dalam melakukan audit belum berjalan dengan baik meskipun telah ada kesadaran akan pentingnya audit sistem


Belum adanya format standar pelaporan audit teknologi

informasi, hal ini dikarenakan belum jelasnya standar dan

prosedur audit sistem informasi akuntansi.

2 Organisasi telah memiliki bagian\individu yang bertugas untuk

merencanakan dan menjalankan audit sistem informasi akuntansi.

Meskipun telah ada kesadaran akan risiko dari kegagalan audit

teknologi informasi, rencana audit teknologi informasi belum

membahas tentang kegagalan dari proses audit.

Proses audit telah dilakukan dengan

terencana berdasarkan risiko – risiko yang mungkin

timbul dari penggunaan teknologi informasi.

Peran, wewenang dan tanggung jawab dalam melakukan audit

teknologi informasi pada sistem informasi akuntansi telah mulai dirumuskan dalam piagam audit (audit carter) meskipun belum lengkap dan terkadang tidak

konsisten dalam pelaksanaannya.

Telah dilakukan pengawasan terhadap rencana dan proses audit

sistem informasi akuntansi, pengawasan tersebut masih terbatas karena kurangnya

wewenang.

3 Telah terbentuk audit komite yang mengontrol pelaksanaan audit sistem


Prioritas dari Pelaksanaan audit dilakukan terhadap

bagian\komponen yang memiliki risiko tinggi, audit telah dianggap

sebagai salah satu cara untuk mengurangi risiko.

Proses Audit telah didukung melalui audit carter yang berisikan

peran, wewenang dan tanggung jawab dalam melakukan audit sistem


Pemilik proses telah diberikan penyuluhan/pelatihan tentang

kepatuhan (compliance) dalam menjalankan proses yang menjadi

tanggung jawabnya.

Telah ada dukungan langsung terhadap audit TI dengan

dibentuknya komite audit yang mengawasi langsung jalannya

proses audit teknologi informasi pada sistem informasi akuntansi.

4 Komitmen dari organisasi untuk melakukan audit TI dengan sebaik –

baiknya ditindak lanjuti dengan dukungan keuangan, sumber daya

manusia serta pemberian wewenang yang diperlukan

mendukung dalam pelaksanaan audit sistem informasi akuntansi.

Telah dilakukan upaya – upaya untuk memperkecil risiko kegagalan audit teknologi

informasi, Salah satunya adalah dengan mendatangkan konsultan

yang membantu merancang strategi perbaikan.

Tatacara dan tujuan (objective) audit teknologi

informasi telah terdokumentasi, tata cara tersebut telah berisikan

ukuran dan tatacara pengukurannya.

Telah terjalin komunikasi antara internal auditor dan eksternal

auditor dalam mengomunikasikan proses dan hasil audit sistem


Audit komite telah berperan aktif dalam merencanakan, membuat, dan melaksanakan audit sistem


5 Telah terjadi koordinasi antara departemen TI, keuangan dan

komite audit dalam merencanakan, membuat dan melaksanakan audit

sistem informasi akuntansi. Hasil dari audit merupakan dasar manajemen

untuk melakukan perbaikan penerapan pengendalian internal.

Telah adanya ukuran – ukuran yang menjelaskan tingkat

kesulitan dan risiko dari proses audit, semakin tinggi kesulitan

melakukan audit maka semakin besar sumber daya yang

dikerahkan untuk melakukan audit tersebut.

Proses audit teknologi informasi merupakan salah

satu komponen penting dalam menunjang

perbaikan organisasi secara menyeluruh.

Telah terjadi komunikasi dua arah antara pemilik proses dan auditor, perbaikan senantiasa dilakukan agar sesuai dengan kebutuhan bisnis dengan mengedepankan

prinsip – prinsip kepatuhan.

Hasil dari Audit sistem informasi akuntansi

Telah menjadi salah satu komponen dalam audit sistem

akuntansi, untuk industri – industri tertentu audit sistem informasi

akuntansi telah menjadi salah satu syarat yang harus dipenuhi.

74

Untuk menjamin keberlangsungan layanan sistem informasi akuntansi sebaiknya

dilakukan audit terhadap seluruh komponen yang berinteraksi seperti peran dan

tanggung jawab dalam penggunaan dan pengelolaan sistem informasi akuntansi,

integritas dari proses – proses yang ada pada sistem informasi akuntansi serta

yang tidak kalah pentingnya adalah kualitas dari pengendalian internal yang ada

didalamnya. Untuk memudahkan audit\pengawasan setiap kegiatan pada sistem

informasi akuntansi sebaiknya dilakukan pencatatan. Pencatatan tersebut penting

untuk mendeteksi kesalahan baik yang disengaja ataupun tidak disengaja.

Tabel III.20 Tujuan Pengendalian Audit Sistem Informasi Akuntansi

Komponen Pengendalian Audit Sistem Informasi Akuntansi

Penilaian Risiko a. Audit terhadap sistem informasi akuntansi telah

menjadi bagian dalam pelaksanaan audit organisasi

secara keseluruhan.

b. Telah ada bagian khusus yang melaksanakan audit

terhadap sistem informasi akuntansi dan layanan

sumber daya TI yang digunakannya.

Lingkungan

Pengendalian

a. Pelaksanaan audit diprioritaskan berdasarkan hasil

dari analisa risiko untuk komponen – komponen

yang memiliki risiko tinggi.

Aktivitas


a. Terdapat audit carter yang berisikan peran,

wewenang dan tanggung jawab dalam melakukan

audit sistem informasi akuntansi.

b. Proses audit terhadap sistem informasi akuntansi

dan sumber daya TI telah dilakukan secara terjadwal.

Informasi &

Komunikasi

a. Hasil audit dikomunikasikan kepada manajemen,

audit komite dan eksternal auditor

Pengawasan a. Telah dibentuk audit komite yang khusus mengawasi

pelaksanaan audit sistem informasi akuntansi.

Tabel III.21 Tujuan Pengendalian Tatakelola Log File

Komponen Pengendalian Tatakelola Log File

Penilaian Risiko a. Manajemen menganggap penting pencatatan

aktivitas pengguna sistem informasi akuntansi,

pencatatan pada log file tidak lagi dianggap sebagai

kegiatan yang tidak berguna.

Lingkungan

Pengendalian

a. Prioritas pencatatan pada log file diprioritaskan

untuk komponen – komponen yang memiliki risiko

tinggi berdasarkan hasil analisa risiko pada sistem


Aktivitas a. Setiap aktivitas yang berisiko mengganggu integritas

75

Pengendalian internal dari sistem informasi akuntansi tercatat dan disimpan

untuk jangka waktu tertentu.

b. Log file disimpan untuk jangka waktu tertentu dan

baru dapat Dihancurkan/dihapus apabila telah

melewati jangka waktu tersebut.

Informasi &

Komunikasi

a. Hasil pencatatan aktivitas pengguna sistem informasi

akuntansi dilaporkan secara berkala kepada bagian

audit.

Pengawasan a. Dilakukan pengawasan terhadap pencatatan aktivitas

pengguna akses dan wewenang pada sistem

informasi akuntansi untuk memastikan kesesuaian

antara kegiatan yang tercatat dan aktivitas yang

sebenarnya.

III.5.5 Analisa Kebutuhan Pengendalian Pusat Data

Setiap data – data transaksi keuangan yang diproses oleh sistem informasi

akuntansi akan disimpan di pusat data (data center). Bagi organisasi – organisasi

tertentu, pusat data atau lazim juga disebut data center berfungsi menyimpan

perangkat keras (hardware) yang digunakan untuk memproses sistem informasi

akuntansi. Penggunaan pusat data membawa risiko bawaan yang harus dikelola

sebaik mungkin untuk menjamin ketersediaan dan integritas dari sistem informasi

akuntansi.

Sistem informasi akuntansi merupakan salah satu sistem informasi penting pada

organisasi, organisasi yang tergantung pada sistem informasi akuntansi dalam

memproses data – data transaksi keuangan harus memperhatikan fasilitas dari

pusat data untuk menjamin integritas dan kelangsungan layanan sistem informasi

akuntansi. Uptime Institute mendefinisikan empat tingkatan dari pusat data. Empat

tingkatan dari pusat data menurut Uptime Institute adalah :

1. Tier I – Hanya memiliki satu jalur dari listrik, ventilasi dan pendingin. Tidak

memiliki perangkat cadangan, memiliki tingkat ketersediaan 99.671%.

2. Tier II – Hanya memiliki satu jalur dari listrik, ventilasi dan pendingin. Telah

memiliki perangkat cadangan, memiliki tingkat ketersediaan 99.741%.

3. Tier III – Telah memiliki lebih dari satu jalur listrik, ventilasi dan pendingin

meskipun hanya satu yang aktif. Telah memiliki perangkat cadangan dan

secara bersamaan dipelihara. Memiliki tingkat ketersediaan 99.982%.

4. Tier IV – Telah memiliki lebih dari satu jalur listrik, ventilasi dan pendingin

di mana kesemua jalur tersebut aktif dapat dipergunakan sewaktu – waktu.

76

Telah memiliki perangkat cadangan dan dapat seketika menggantikan

perangkat utama. Memiliki tingkat ketersediaan 99.995%.

Gambar III.5 Keamanan Pusat Data (Davis, 2007)




akses dan wewenang dilihat dari 5 komponen COSO :

f. Lingkungan Pengendalian – Organisasi sebaiknya memiliki standar dan

prosedur yang berkaitan dengan tatakelola pengendalian pusat data. Pusat data

telah dianggap sebagai salah satu risiko yang dapat mengganggu integritas

dari informasi keuangan.

g. Penilaian Risiko – Penerapan pengendalian didasarkan atas risiko yang

mungkin dihadapi oleh komponen – komponen pusat data.

h. Aktivitas Pengendalian – Dilakukan pengawasan terhadap kondisi lingkungan

(suhu, kelembaban, curah hujan, dll) serta pasokan listrik dari pusat data.

Proses backup sebaiknya telah dilakukan secara otomatis dan didistribusikan

ke lebih dari satu tempat.

i. Informasi dan Komunikasi – Informasi tentang kondisi dari pusat data telah

tersedia secara real time. Telah terbentuk jalur komunikasi untuk menghadapi

gangguan yang mungkin terjadi.

j. Pengawasan – Dilakukan penilaian atau audit terhadap kesiapan perangkat dan

petugas dalam menghadapi kejadian – kejadian yang dapat mengganggu

layanan sistem informasi akuntansi.

77

Tabel III.22 Maturity Level Pengendalian Pusat Data



Communication

Monitoring

1 Organisasi telah mengerti pentingnya pengendalian pusat

data terhadap integritas dari sistem informasi akuntansi,

meskipun demikian pelaksanaannya masih bersifat

reaktif.

Penilaian risiko pusat data telah dilakukan tetapi pelaksanaannya

masih mengandalkan pengetahuan dan intuisi yang melakukannya.

Pengendalian terhadap pusat data telah mulai dilakukan meskipun

masih bersifat khusus.

Belum jelasnya prosedur pengendalian pusat data, Hal

ini menyebabkan tidak tersedianya panduan

tatacara pengendalian pusat data

Telah dilakukan pengawasan terhadap pengendalian pusat data meskipun pelaksanaannya belum

konsisten.

2 Telah ada yang bertanggung jawab untuk menjalankan

pengendalian terhadap pusat data.

Pengendalian pusat data dilakukan berdasarkan hasil analisa risiko meskipun hanya dilakukan untuk komponen – komponen utama

pusat data.

Pelaksanaan pengendalian pusat data telah dilakukan dengan terencana meskipun belum mencakup seluruh tujuan

pengendalian (control objective) pusat data. Backup terhadap pusat

data telah mulai dilakukan meskipun belum didistribusikan ke beberapa tempat yang berjauhan.

Informasi yang berhubungan dengan tatacara

pelaksanaan pengendalian pusat data telah mulai

didokumentasikan meskipun belum lengkap sepenuhnya.

Telah ada mekanisme pengawasan pusat data, akan tetapi objek yang diawasi dan

tatacara pengawasannya belum dilakukan dengan terstruktur

karena tidak adanya prosedur dan standar yang dapat dijadikan

dasar bertindak.

3 Telah tersedia Prosedur dan standar untuk menjalankan

pengendalian terhadap pusat data, Meskipun demikian

prosedur untuk menanggulangi kejadian – kejadian darurat belum

jelas terdefinisi.

Telah tersedia standar dan prosedur untuk melakukan penilaian

risiko pada pusat data.

Pusat data telah dilengkapi dengan mekanisme pengawasan terhadap

fasilitas-fasilitas yang ada idalaminya, Backup telah

dilakukan dengan terjadwal dan didistribusikan ke beberapa tempat.

Prosedur dan standar pengendalian pusat data

telah didokumentasikan dan disosialisasikan.

Pengawasan terhadap pusat data telah dilakukan dengan terencana

akan tetapi pelaksanaannya belum maksimal karena sebagian masih dilakukan secara manual.

4 Organisasi telah berkomitmen untuk mendukung penerapan pengendalian terhadap pusat

data, komitmen tersebut ditindak lanjuti dengan memberikan

anggaran dan sumber daya yang diperlukan.

Penilaian risiko telah dilakukan secara berkala dengan

menggunakan ukuran – ukuran yang konsisten, kinerja dari

pengendalian pusat data harus telah dapat memenuhi ambang

risiko yang dapat diterima organisasi

Telah tersedia prosedur untuk menanggulangi kejadian – kejadian

darurat, prosedur – prosedur tersebut senantiasa diperbaharui.

Pelatihan telah dilakukan untuk melatih kesiapan

pelaksanaan pengendalian pusat data serta kesiapan

pasca terjadinya kejadian\bencana yang menimpa pusat data.

Pengawasan terhadap pusat data telah dilakukan dengan

menggunakan perkakas – perkakas yang berjalan secara otomatis, audit secara manual

dilakukan untuk menilai pelaksanaan pengendalian

terhadap pusat data.

5 Telah terbentuknya Budaya dan lingkungan yang mengedepankan

pentingnya pengendalian pada pusat data di setiap tingkat

organisasi (operasional, manajemen dan dewan direksi)

Organisasi telah menganggap pusat data salah satu sumber risiko yang

dapat berpengaruh terhadap organisasi. Penilaian risiko telah menyatu dengan analisa risiko organisasi secara menyeluruh.

Organisasi telah dapat memastikan bahwa kegagalan operasional pusat

data tidak akan berpengaruh terhadap integritas dari sistem


Dokumen – dokumen pengendalian pusat data

senantiasa dilakukan pembaharuan berdasarkan

kondisi keadaan saat ini dan perkembangan teknologi.

Terdapat laporan berkala dari kinerja pengendalian pusat data,

laporan tersebut telah menggunakan ukuran – ukuran

baku yang dapat menggambarkan kinerja pengendalian pusat data..

78

Untuk menjamin integritas dari informasi tersebut, diperlukan pengendalian yang

bertujuan untuk melindungi pusat data dari berbagai macam gangguan/ancaman

yang dapat merusak integritas informasi. Pengendalian pusat data yang akan

diterapkan dapat berupa pengendalian terhadap fasilitas – fasilitas fisik yang ada

di dalam pusat data, mekanisme backup dan juga mekanisme cadangan yang dapat

menjamin kelangsungan layanan pusat data.

Gambar III.6 Contoh Pengendalian Pusat Data

Tabel III.23 Tujuan Pengendalian Fasilitas

Komponen Pengendalian Fasilitas

Penilaian Risiko a. Manajemen telah mengerti akan pentingnya

pengendalian infrastruktur sistem informasi

akuntansi dalam menunjang integritas dan

ketersediaan sistem informasi akuntansi.

b. Terdapat bagian\individu yang mengelola

pengendalian infrastruktur sistem informasi

akuntansi.

Lingkungan

Pengendalian

a. Penerapan pengendalian fasilitas dilakukan

berdasarkan analisa risiko sehingga penerapan

pengendalian fasilitas pusat data dilakukan tepat

guna dan tepat sasaran.

79

Aktivitas


a. Organisasi memiliki panduan untuk menghadapi

kondisi pasca terjadinya suatu bencana atau kejadian.

b. Terdapat mekanisme pembatasan akses terhadap

media penyimpanan dan peralatan perangkat keras

(hardware) yang ada pada pusat data.

Informasi &

Komunikasi

a. Dilakukan pencatatan terhadap setiap kejadian yang

mengganggu keamanan pusat data dan dilaporkan.

Pengawasan a. Dilakukan audit secara berkala untuk menilai

kualitas dari pengendalian fasilitas pada pusat data

serta untuk mengidentifikasi masalah – masalah yang

mungkin terjadi dikemudikan hari.

b. Terdapat mekanisme pengawasan terhadap

pengendalian pusat data dan keadaan lingkungan

sekitar.

Tabel III.24 Tujuan Pengendalian Backup

Komponen Backup

Penilaian Risiko a. Telah tersedia prosedur yang menjelaskan standar

dalam melakukan backup pada pusat data.

Lingkungan

Pengendalian

a. Proses backup dilakukan berdasarkan hasil dari

analisa risiko, analisa risiko dilakukan untuk

menentukan prioritas dan standar keamanan yang

harus diterapkan dalam menjaga data hasil backup.

Aktivitas


a. Data yang telah dibackup didistribusikan ke

beberapa tempat yang relatif berjauhan

b. Backup disimpan dalam jangka waktu tertentu dan

dihancurkan apabila telah melewati waktu tersebut,

mekanisme penghancuran dilakukan sesuai dengan

prosedur tatakelola backup yang dimiliki organisasi.

Informasi &

Komunikasi

a. Terdapat laporan yang menjelaskan aktivitas dari

proses backup, pendistribusiannya dan

penghancuran.

Pengawasan a. Dilakukan pengawasan terhadap jalannya proses

backup, pendistribusian dan penghancuran.

Pengawasan tersebut dilakukan untuk memastikan

proses – proses tersebut dilakukan sesuai dengan

prosedur yang ada.

III.5.6 Analisa Kebutuhan Pengendalian Operasional Komputer

Dewasa ini penggunaan komputer sulit dilepaskan dari masalah dan gangguan,

masalah dan gangguan dalam penggunaan komputer dapat berasal dari dalam

(internal komputer) atau gangguan yang berasal dari luar. Akibat dari masalah dan

80

gangguan tersebut dapat berbentuk terganggunya operasional sampai dengan

kehilangan atau kerusakan dari integritas informasi.

Tujuan dari pengendalian komputer adalah sebagai pencegahan dan

penanggulangan gangguan atau masalah agar tidak merusak integritas dari data

atau informasi yang terdapat pada sistem informasi akuntansi. Dalam

menurunkan kebutuhan pengendalian akses dan wewenang, perbaikan yang akan

dipergunakan dalam tesis ini akan mengacu pada 5 komponen pengendalian

internal yang didefinisikan oleh COSO, kebutuhan operasional komputer dilihat


a. Lingkungan Pengendalian – Organisasi sebaiknya memiliki rencana

penanggulangan dan pencegahan masalah atau kejadian, rencana tersebut

berisikan pelaksana dan penanggung jawab serta standar operasional prosedur

yang harus dilakukan untuk mencegah dan mengatasi masalah atau kejadian.

b. Penilaian Risiko – Point – point yang harus dilindungi dari rencana

penanggulangan dan pencegahan masalah kejadian ditentukan berdasarkan

tingkat risiko masalah dan kejadian tersebut terhadap integritas dari sistem

informasi akuntansi serta kelangsungan layanan sistem informasi akuntansi

secara menyeluruh.

c. Aktivitas Pengendalian – Mewajibkan setiap pengguna sistem informasi

akuntansi untuk memasang antivirus dan diupdate secara otomatis setiap

harinya, departemen TI memiliki jalur komunikasi khusus untuk menjawab

pertanyaan dan permohonan bantuan apabila terjadi gangguan atau masalah

pada penggunaan komputer,

d. Informasi dan Komunikasi – Senantiasa dikomunikasikan informasi –

informasi yang berkenaan dengan gangguan - gangguan (virus, spyware, bug

program, dll) serta pencegahan dan penanggulangan masalah tersebut.

e. Pengawasan – Dilakukan pengawasan terhadap kecenderungan\trent dari

masalah atau kejadian yang sering terjadi, pengawasan dilakukan juga

terhadap kesiapan departemen TI dalam mencegah dan menanggulangi

masalah tersebut.

81

Tabel III.25 Maturity Level Pengendalian Pusat Data



Communication

Monitoring

1 Aturan yang mengatur masalah operasional penggunaan sistem

informasi akuntansi telah ada tetapi masih bersifat kasus

berkasus.

Kesadaran akan penilaian risiko dari operasional

komputer masih bersumber dari inisiatif pribadi.

Pengendalian operasional komputer telah mulai diterapkan meskipun

dilakukan secara terbatas.

Tidak ada prosedur dan standar pengendalian operasional

komputer, hal ini menyebabkan kurang tersedianya panduan

tatacara penanganan masalah dan kejadian.

Pengawasan terhadap pengendalian operasional

komputer telah dilakukan tetapi masih terbatas pada usaha –

usaha manual.

2 Mulai dibuatnya standar dan prosedur yang mengatur

mekanisme penanganan dan penanggulangan

masalah/kejadian serta standar dan prosedur pengamanan dan

penanggulangan virus komputer.

Penilaian risiko operasional komputer telah mulai dilakukan akan tetapi

pelaksanaannya masih terbatas karena kurangnya

wewenang dalam melakukan penilaian.

Pengendalian operasional komputer telah mulai dilakukan secara

terorganisir, akan tetapi pelaksanaannya masih terbatas

karena kurangnya dukungan.

Pelatihan telah dilakukan secara formal dan diadakan dengan rutin dan diikuti oleh setiap pengguna


Telah dilakukan penilaian kepuasan pengguna sistem informasi akuntansi untuk

menentukan langkah perbaikan yang perlu diambil.

3 Organisasi telah memiliki standar dan prosedur yang mengatur

pengendalian operasional komputer, telah terdapat individu atau bagian yang bertanggung jawab menjalankan standar dan

prosedur tersebut.

Penilaian risiko dilakukan berdasarkan tujuan dari

kebijaksanaan pengendalian operasional komputer, hasil

dari penilaian risiko kemudian dijadikan masukan dalam merancang pengendalian

operasional komputer.

Setiap masalah dan kejadian telah dikelola dengan baik seperti dengan

menggunakan sistem tiket, telah terdapat panduan untuk

menyelesaikan masalah – masalah yang sering timbul (frequency asked

question, FAQ)

Standar pengendalian operasional komputer telah terdefinisi sesuai

dengan kebijaksanaan pengendalian operasional komputer

yang ada. Sosialisasi telah mulai dilakukan terhadap setiap pengguna sistem informasi

akuntansi.

Pengawasan terhadap operasional komputer telah

dilakukan berdasarkan standar dan prosedur pengendalian

operasional komputer.

4 Organisasi telah mendukung penerapan pengendalian

operasional komputer melalui alokasi anggaran dan sumber

daya yang diperlukan.

Hasil analisa risiko menunjukkan bahwa risiko operasional komputer telah berada pada ambang batas

yang dapat diterima oleh organisasi.

Organisasi telah memiliki dan menerapkan standar dan prosedur

dalam pencegahan penyebaran masalah (escalation procedure).

Telah tersedia mekanisme pelaporan dan jalur komunikasi yang jelas apabila terjadi suatu permasalahan. Organisasi telah

memiliki repository dari permasalahan – permasalahan yang sering muncul dan cara

penanggulangan.

Organisasi telah memiliki catatan tentang tren dari

masalah atau kejadian yang terjadi. Kejadian yang

menyebabkan terganggunya operasional komputer telah

diklasifikasikan dan penyebab – penyebabnya telah dipelajari.

5 Standar dan prosedur dari pengendalian operasional

komputer secara rutin diperbaharui sesuai dengan

perkembangan teknologi keamanan informasi.

Operasional komputer telah dianggap sebagai salah satu

sumber risiko yang dapat mengganggu integritas dari

laporan keuangan.

Telah timbul kesadaran pada Pengguna komputer akan pentingnya

integritas dari informasi, pengguna komputer senantiasa memberi

masukan akan risiko – risiko yang mungkin dapat berpengaruh terhadap

integritas dari data yang dikelola/prosesnya.

Standar pengendalian operasional komputer senantiasa dilakukan

pembaharuan berdasarkan kondisi keadaan saat ini dan

perkembangan teknologi.

Pengukuran target dan metrik untuk pengendalian operasional

komputer telah dilakukan secara sistematis. Hasil dari

pengukuran tersebut kemudian dijadikan dasar dari proses

perbaikan.

82

Komputer desktop merupakan salah satu sumber risiko. Pengrusakan yang

dilakukan oleh virus, worm, trojan, spyware dan sebagainya merupakan beberapa

risiko yang dapat mempengaruhi integritas dari sistem informasi akuntansi.

Penggunaan komputer kemungkinan menghadapi gangguan atau masalah.

Gangguan tersebut mustahil untuk dihilangkan sepenuhnya, oleh karena itu usaha

yang dapat dilakukan adalah dengan mengelola masalah tersebut, bagaimana

penyelesaiannya serta pencegahan yang dapat diambil untuk mencegah hal

tersebut terulang kembali.

Tabel III.26 Tujuan Pengendalian Virus\worm\spyware (kode jahat)

Komponen Pengendalian virus\worm\spyware

Penilaian Risiko a. Virus\worm\spyware telah dianggap sebagai salah

satu sumber risiko yang dapat mempengaruhi

integritas sistem informasi akuntansi.

Lingkungan

Pengendalian

a. Terdapat bagian\individu yang bertugas memastikan

kondisi kesehatan komputer yang terhubung dengan


b. Organisasi memiliki prosedur pencegahan

(escalation procedure) ketika terjadi penyebaran

virus di organisasi.

Aktivitas


a. Setiap komputer yang terhubung dengan sistem

informasi akuntansi wajib terpasang antivirus dan

dijalankan secara berkala. Pembaharuan terhadap

antivirus telah dilakukan secara otomatis dan

dilakukan secara berkala.

b. Komputer yang terkena virus dipisahkan dengan

jaringan, komputer dapat terhubungkan kembali

apabila telah dilakukan pembersihan virus dan

mendapatkan persetujuan untuk dapat terhubung

kembali ke jaringan.

Informasi &

Komunikasi

a. Secara berkala kepada pengguna dari sistem

informasi akuntansi diberikan buletin\informasi

mengenai virus\worm\spyware yang sedang aktif,

cara penyebarannya serta metode pencegahan agar

tidak tertular.

b. Terdapat laporan yang menjelaskan penyebaran virus

yang lagi aktif di organisasi serta tren dari penyebaran virus dari waktu ke waktu.

Pengawasan a. Telah dilakukan pengawasan baik secara otomatis

atau manual untuk mengawasi penyebaran virus

diorganisasi serta memastikan komputer yang

terkena virus tidak menyebar ke komputer yang lain.

83

Tabel III.27 Tujuan Pengendalian Penanggulangan Masalah dan Kejadian

Komponen Pengendalian Masalah dan Kejadian

Penilaian Risiko a. Setiap masalah dan kejadian yang dapat mengganggu

integritas dari sistem informasi akuntansi ditindak

lanjuti dengan melakukan analisa risiko untuk

mengetahui dampak dan solusi yang dapat ditempuh.

Lingkungan

Pengendalian

a. Telah ada standar dan prosedur yang mengatur

pengelolaan masalah dan kejadian pada sistem


b. Organisasi memiliki prosedur pencegahan

(escalation procedure) untuk menghindari dampak

negatif yang lebih besar dari suatu masalah atau

kejadian.

Aktivitas


a. Setiap masalah dan kejadian telah dikelola dengan

baik seperti dengan menggunakan sistem tiket, telah

terdapat panduan untuk menyelesaikan masalah –

masalah yang sering timbul (frequency asked

question, FAQ).

Informasi &

Komunikasi

a. Setiap masalah dan kejadian tercatat dan dilaporkan.

Organisasi memiliki repository permasalahan yang

sering timbul dan cara penanggulangan dan

pencegahan.

b. Terdapat jalur khusus (help desk) untuk melaporkan

setiap masalah dan kejadian yang terjadi.

Pengawasan a. Dilakukan pengkajian terhadap masalah dan kejadian

yang terjadi untuk mengetahui tren dari masalah dan

kejadian pada penggunaan sistem informasi

akuntansi, tren tersebut dipergunakan untuk

menentukan solusi jangka panjang dari permasalahan

tersebut.

III.5.7 Analisa Kebutuhan Pengendalian Tatacara Pengembangan Sistem

Penggunaan sistem informasi memungkinkan otomatisasi pengendalian internal,

Pengendalian internal yang berjalan secara otomatis memiliki beberapa

keunggulan yakni kecepatan, konsistensi dan ketersediaannya. Meskipun

demikian penggunaan pengendalian internal yang berjalan secara otomatis harus

memiliki perhatian khusus terutama dalam masa perbaikan\penyempurnaan atau

pembuatan (upgrade atau development). Kesalahan yang terjadi pada masa

perbaikan atau pembuatan apabila tidak terdeteksi maka dapat terbawa sampai

kepada kegiatan operasional sehari – hari dan dilakukan berulang – ulang.

84

Tujuan dari pengendalian pengembangan sistem adalah untuk memastikan bahwa

setiap proses perubahan atau pengembangan dilakukan dengan sebaik – baiknya

sesuai dengan ketentuan – ketentuan pengembangan sistem informasi akuntansi.

Dengan diterapkannya pengendalian pengembangan sistem diharapkan dapat

mengurangi kesalahan atau bug yang terbawa sampai pada kegiatan operasional

sehingga dapat memberikan keyakinan yang memadai terhadap integritas dari

informasi yang dikelola oleh sistem informasi akuntansi. Dalam menurunkan

kebutuhan pengendalian akses dan wewenang, perbaikan yang akan dipergunakan

dalam tesis ini akan mengacu pada 5 komponen pengendalian internal yang

didefinisikan oleh COSO, kebutuhan pengendalian akses dan wewenang dilihat


a. Lingkungan Pengendalian – Organisasi telah memiliki strategi\rencana

perubahan untuk sistem informasi akuntansi. Organisasi juga sebaiknya

memiliki kebijakan pengendalian perubahan yang menyatu dengan tata kelola

risiko organisasi secara menyeluruh.

b. Penilaian Risiko – Terlebih dahulu dilakukan analisa risiko pada setiap

perubahan yang akan dilakukan sehingga didapat pemahaman yang

menyeluruh akan risiko yang mungkin ditimbulkan.

c. Aktivitas Pengendalian – Permohonan perubahan dilakukan secara tertulis

serta ada yang mengotorisasi. Dilakukan pemisahan peran dan wewenang

antara perencana, pelaksana dan pengawasan.

d. Informasi dan Komunikasi – Untuk setiap pengadaan dan perubahan terdapat

mekanisme komunikasi antara pemilik proses, unit kerja TI dan pelaksanaan

perubahan untuk memastikan penerapan dari pengendalian internal.

e. Pengawasan – Dilakukan audit terhadap setiap pengadaan atau perbaikan

untuk menilai kewajaran jalannya proses pengadaan\perbaikan serta menilai

integritas dari sistem informasi akuntansi pasca dilakukan pengadaan atau

perbaikan.

85

Tabel III.28 Maturity Level Pengendalian Pengembangan Sistem



Communication

Monitoring

1 Organisasi baru mulai mengenal kebutuhan akan pengendalian

perubahan, mulai dirumuskannya bentuk dari penerapan

pengendalian perubahan.

Belum dilakukannya penilaian risiko secara formal ketika

akan melakukan perubahan terhadap sistem informasi

akuntansi.

Pengendalian terhadap perubahan sistem masih dilakukan secara terbatas dan lebih

bersifat khusus.

Setiap perubahan pada sistem informasi akuntansi belum

dikomunikasikan dengan baik karena pelaksanaan

pengendalian perubahan sistem masih bersifat khusus

Pengawasan secara terbatas terhadap perubahan yang terjadi pada sistem informasi akuntansi

telah mulai dilakukan..

2 Tata kelola perubahan sistem informasi akuntansi telah mulai diterapkan akan tetapi belum sepenuhnya menjadi sebuah

kesadaran.

Penilaian risiko terhadap kegagalan pada perubahan sistem informasi akuntansi

mulai dilakukan, akan tetapi tindak lanjut dari penilaian tersebut belum maksimal.

Pengendalian perubahan dan perubahan itu sendiri belum berjalan secara

beriringan. Perubahan dilakukan tanpa ada yang mengotorisasi, kebenaran

perubahan hanya dilihat dari aspek teknis semata.

Mulai dilakukan pendokumentasian atas

informasi – informasi penting penunjang keberhasilan

perubahan sistem informasi akuntansi..

Pengawasan sudah mulai direncanakan, akan tetapi

pelaksanaannya belum konsisten karena belum adanya pemahaman yang merata akan tujuan pengendalian Terhadap

perubahan sistem informasi akuntansi.

3 Manajemen telah mengerti dan mendukung pengendalian pada

perubahan sistem, telah ada individu/bagian yang

berwewenang dan tanggung jawab untuk menjalankan

pengendalian perubahan.. Setiap perubahan pada sistem informasi

akuntansi dilakukan secara terencana.

Analisa risiko telah digunakan sebagai indikator dalam

menentukan kebutuhan dan prioritas dari perubahan.

Pelaksana perubahan dan yang mengotorisasi perubahan merupakan

individu yang terpisah, Setiap perubahan harus terlebih dahulu dilakukan pengujian (unit testing) sebelum perubahan tersebut

dapat diotorisasi pelaksanaannya.

Manajemen telah mengerti akan informasi – informasi yang harus tersedia, akan tetapi proses distribusi dan komunikasi belum berjalan

dengan baik.

Pelaksana perubahan dan yang mengotorisasi perubahan merupakan individu yang

terpisah, Setiap perubahan harus terlebih dahulu dilakukan pengujian (unit testing) sebelum

perubahan tersebut dapat diotorisasi pelaksanaannya.

4 Proses pengendalian perubahan sistem telah terdokumentasi

dengan baik. Telah digunakannya standar untuk membantu

penerapan dan pelaksanaan pengendalian terhadap

perubahan sistem.

Proses perubahan dilakukan berdasarkan analisa risiko

seperti terhadap tingkat kesukaran, besarnya biaya, ketersediaan sumber daya manusia serta akibatnya

terhadap bisnis.

Organisasi telah memiliki repository yang berisikan profil dan konfigurasi dari sistem informasi akuntansi dan perangkat keras

(hardware), repository tersebut diperbaharui secara berkala dan dilakukan audit untuk memastikan

integritas informasi yang ada didalamnya.

Requirement, Unit testing, konfigurasi sistem telah

dengan baik terdefinisi dan Disimpan dalam repository

untuk memudahkan pengaksesan.

Audit terhadap proses dan hasil perubahan secara berkala telah

dilakukan untuk menunjang fungsi pengawasan.

5 Organisasi telah memiliki kebijaksanaan dan prosedur e yang terintegrasi dengan tata

kelola risiko dalam mengatur tata cara pelaksanaan perubahan


Setiap perubahan pada sistem informasi akuntansi

telah dilakukan dengan terencana berdasarkan hasil

analisa kebutuhan dan analisa risiko.

Change management telah sepenuhnya diterapkan dengan mengimplementasikan

tata kelola perubahan terhadap seluruh komponen – komponen pembangun sistem informasi akuntansi seperti infrastruktur sumber daya manusia.

Manajemen senantiasa mendapatkan feedback

tentang perbaikan yang harus dilakukan untuk dapat

mengsukseskan proses perubahan.

Organisasi telah memiliki ukuran – ukuran tertentu untuk menilai

keberhasilan pelaksanaan perubahan sistem informasi

akuntansi beserta komponen – komponen pendukungnnya

86

Berkembangnya kebutuhan bisnis menyebabkan sistem informasi akuntansi harus

senantiasa diperbaharui. Perubahan tersebut terkadang tak bisa dihindari, yang

penting untuk diperhatikan dalam melakukan perubahan adalah bagaimana

menjaga integritas dari pemrosesan yang dilakukan oleh sistem informasi

akuntansi pasca dilakukan perbaikan. Untuk itu diperlukan pengendalian dalam

tata kelola perubahan, konfigurasi dan prosedur serah terima aplikasi.

Tabel III.29 Tujuan Pengendalian Pengadaan dan Perawatan

Komponen Pengendalian Pengadaan dan Perawatan

Penilaian Risiko a. Salah satu sarat dalam melakukan pengadaan atau

perbaikan adalah telah dilakukannya analisa risiko

terhadap dampak dari pengadaan atau perbaikan

tersebut.

Lingkungan

Pengendalian

a. Terdapat standar atau prosedur pengendalian proses

pengadaan dan perawatan sistem informasi

akuntansi.

Aktivitas


a. Dilakukan pemisahan antara penggagas pengadaan,

pemilihan pelaksana pengadaan dan pengawas

jalannya proses pengadaan.

b. Diterapkannya manajemen quality assurance dalam

melakukan pengadaan\perawatan perubahan sistem


Informasi &

Komunikasi

a. Pelaksana pengadaan secara berkala melalui media

komunikasi formal mengomunikasikan progres yang

telah dicapai kepada penanggung jawab dan pemilik

proses.

Pengawasan a. Pengawasan dilakukan mulai dari proses pemilihan

pelaksana pengadaan, proses pengadaan serta pasca

dilakukan pengadaan, tujuan dari pengawasan

tersebut adalah untuk menilai kewajaran dari proses

pengadaan serta pencapaiannya sesuai dengan

kontrak yang disepakati.

Tabel III.30 Tujuan Pengendalian Tatakelola Perubahan

Komponen Pengendalian Tatakelola Perubahan

Penilaian Risiko a. Setiap permohonan perubahan harus menyertakan

analisa risiko mengenai dampak dan solusi pencegahan yang akan diambil.

Lingkungan

Pengendalian

a. Organisasi telah memiliki standar pengembangan

perangkat lunak (system development life Cycle –

SDLC) yang mengedepankan keamanan,

ketersediaan & integritas dan keterpenuhan

87

kebutuhan (requirement).

Aktivitas


a. Setiap perubahan hanya dapat dilakukan apabila

telah diotorisasi oleh yang berwenang. Perubahan

dapat diterima apabila telah melalui serangkaian tes

terlebih dahulu.

b. Setiap proses perubahan atau pengadaan

menyertakan kebutuhan keamanan informasi

(security requirements).

Informasi &

Komunikasi

a. Setiap perubahan dilakukan dengan terdokumentasi

dan dilaporkan kepada pihak – pihak yang

berkepentingan.

Pengawasan a. Dalam pelaksanaan perubahan terdapat supervisor

yang memastikan jalannya perubahan sesuai dengan

apa yang direncanakan.

b. Dilakukan audit pasca dilakukannya perubahan

minimal untuk menilai kesesuaian antara kontrak

dengan implementasi, integritas\kebenaran dari

proses serta kualitas pengendalian internal.

Tabel III.31 Tujuan Pengendalian Tatakelola Konfigurasi

Komponen Pengendalian Tatakelola Konfigurasi

Penilaian Risiko a. Setiap melakukan perubahan konfigurasi, terlebih

dahulu dilakukan analisa risiko terhadap dampak dari

perubahan konfigurasi tersebut.

Lingkungan

Pengendalian

a. Terdapat repositori konfigurasi dari sistem informasi

akuntansi beserta komponen – komponen

pendukungnya, repositori tersebut senantiasa

diperbaharui dan diaudit keabsahannya.

Aktivitas


a. Setiap perubahan konfigurasi pada Sistem informasi

akuntansi/Database/Sistem operasi/Jaringan

dilakukan dengan terdokumentasi dan diotorisasi

pelaksanaannya.

b. Terdapat mekanisme otorisasi dalam melakukan

setiap perubahan konfigurasi pada sistem informasi

akuntansi dan sumber daya TI yang digunakan untuk

mendukung sistem informasi akuntansi.

Informasi &

Komunikasi

a. Setiap perubahan konfigurasi pada sistem informasi

akuntansi terlebih dahulu dikomunikasikan kepada

manajemen untuk mendapatkan persetujuan dan

menentukan waktu yang tepat dalam

pelaksanaannya

b. Setiap perubahan dilakukan dengan terdokumentasi

dan dilaporkan kepada pihak – pihak yang

berkepentingan.

Pengawasan a. Secara berkala dilakukan audit terhadap setiap

perubahan konfigurasi, hal yang perlu diperhatikan

adalah alasan\tujuan serta dampak yang ditimbulkan.

88

III.5.8 Analisa Kebutuhan Pengendalian Aplikasi

Sistem informasi dibangun atas dua komponen yang saling berinteraksi, manusia

sebagai operator yang menjalankan serta sistem informasi yang memproses

masukan yang diberikan oleh operator. Kedua komponen tersebut sangat mungkin

melakukan kesalahan sehingga diperlukan pengendalian untuk memberikan

keyakinan yang memadai terhadap integritas dari masukan, proses bisnis dan

keluaran dari sistem informasi akuntansi. Pengendalian pada layanan sistem

informasi akuntansi dilakukan pada pengendalian entity TI (it entity level) dan

pengendalian umum TI (it general control), sedangkan pengendalian terhadap

interaksi antara pengguna atau operator terhadap sistem informasi akuntansi

diterapkan pada pengendalian aplikasi (application control).

Tujuan dari pengendalian aplikasi adalah untuk menetapkan prosedur

pengendalian khusus atas sistem informasi akuntansi untuk memberikan

keyakinan memadai bahwa semua transaksi telah diotorisasi dan dicatat, serta

diolah seluruhnya, cermat, dan tepat waktu. Tujuan pengendalian aplikasi adalah

sebagai berikut:

a. Menjamin bahwa semua transaksi yang telah diotorisasi telah diproses

secara lengkap sekali saja

b. Menjamin bahwa data transaksi lengkap dan teliti

c. Menjamin bahwa pengolahan data transaksi benar dan sesuai dengan

keadaan

d. Menjamin bahwa hasil pengolahan data dimanfaatkan untuk tujuan yang

telah ditetapkan

e. Menjamin bahwa aplikasi dapat terus menerus berfungsi.




aplikasi dilihat dari 5 komponen COSO :

a. Lingkungan Pengendalian – Adanya ketentuan yang mewajibkan untuk

menyertakan pengendalian aplikasi pada tahap pengumpulan kebutuhan

(requirements).

89

b. Penilaian Risiko – Penilaian risiko dilakukan untuk menentukan prioritas dan

jenis pengendalian yang cocok untuk melindungi masukan, proses dan

keluaran dari sistem informasi akuntansi.

c. Aktivitas Pengendalian – Menerapkan pengendalian pada setiap masukan,

proses dan keluaran dari sistem informasi akuntansi seperti dengan

pengecekan integritas masukan, jalannya proses dan kegunaan dari keluaran.

d. Informasi dan Komunikasi – Memberikan pemahaman melalui pelatihan –

pelatihan tentang kegunaan dan tatacara pengendalian aplikasi.

e. Pengawasan – Pengawasan sebaiknya dilakukan secara otomatis dan manual,

terdapat pengawasan terhadap tren dari pelanggaran\kesalahan masukan,

proses dan keluaran.

90

Tabel III.32 Maturity Level Pengendalian Aplikasi



Communication

Monitoring

1 .Organisasi telah mengerti akan pentingnya pengendalian

aplikasi, akan tetapi belum ada kebijaksanaan dan prosedur yang berhubungan dengan

pengendalian aplikasi.

Penilaian risiko dilakukan hanya berdasarkan pengalaman developer

dan dilakukan secara informal.

Validasi masukan, pengendalian pemrosesan dan pengendalian

keluaran telah dilakukan akan tetapi inisiatif masih berasal dari developer.

Informasi yang digunakan dalam melakukan verifikasi belum

terdefinisi dengan baik, informasi yang digunakan masih berasal dari pemahaman developer bukan dari analisa kebutuhan pengendalian

aplikasi.

Pengawasan terhadap integritas pemrosesan pada sistem informasi

akuntansi telah dilakukan akan tetapi masih bersifat informal dan tidak

konsisten pelaksanaannya.

2 Telah ada yang bertanggung jawab dalam mengawasi penerapan pengendalian

aplikasi, akan tetapi wewenang yang dimilikinya masih

terbatas.

Penilaian risiko mulai dilakukan akan tetapi manajemen tidak dapat

menindak lanjuti hasil dari penilaian risiko karena belum adanya

wewenang yang jelasnya untuk menindak lanjuti hasil dari penilaian

risiko tersebut.

Organisasi telah mulai memasukkan pengendalian aplikasi sebagai salah satu kebutuhan (requirements) ketika

melakukan pembuatan/perubahan pada sistem informasi akuntansi.

Mulai dilakukan pendokumentasian terhadap informasi – informasi yang digunakan dalam melakukan proses

verifikasi.

Telah ada yang bertanggung jawab dalam mengawasi penerapan

pengendalian aplikasi, akan tetapi wewenang yang dimilikinya terbatas

hanya sebagai pengawas.

3 Organisasi telah mengerti dan mendukung penerapan pengendalian aplikasi,

wewenang dan tanggung jawab telah terdefinisi dengan baik

Penilaian risiko untuk pemasukan data, pemrosesan dan pelaporan pada

sistem informasi akuntansi telah memiliki dasar hukum yang jelas dan

dilengkapi dengan tata cara pelaksanaannya.

Pengendalian masukan, pengendalian pemrosesan dan pengendalian

keluaran telah diterapkan\dibuat sesuai dengan hasil dari analisa kebutuhan

pengendalian aplikasi dan analisa risiko penggunaan sistem informasi

akuntansi.

Informasi yang digunakan dalam mendukung proses verifikasi pada

pengendalian aplikasi telah terdokumentasi dan telah ada yang

berwenang dalam melakukan pengecekan untuk memastikan

integritas dari informasi tersebut.

Telah dilakukan audit terhadap penerapan pengendalian aplikasi pada sistem informasi akuntansi. Audit telah

dilakukan sesuai dengan kaidah penilaian penerapan pengendalian

aplikasi.

4 Penerapan pengendalian aplikasi telah dilakukan sesuai

dengan standar dan best practice.

Apabila diindikasi terdapat kelemahan\kekurangan pada

pengendalian aplikasi, Hasil dari analisa risiko telah dijadikan dasar

dalam melakukan perubahan pengendalian aplikasi.

Pengendalian aplikasi Telah dijalankan sepenuhnya baik secara manual

ataupun otomatis. Keduanya merupakan gabungan yang saling

mengisi antara satu dengan yang lain (tidak saling menghilangkan).

Telah dilakukan pelatihan yang secara formal mengajarkan tentang tata cara penggunaan pengendalian

aplikasi pada sistem informasi akuntansi.

Pengawasan akan risiko dan penerapan pengendalian internal telah dilakukan

dengan baik, audit secara berkala telah dilakukan untuk menunjang fungsi pengawasan pada pengendalian

aplikasi.

5 Senantiasa dilakukan perbaikan terhadap

kebijaksanaan, prosedur dan standar pengendalian aplikasi yang dilakukan berdasarkan

penilaian dan pengawasan atas hasil implementasi

pengendalian aplikasi yang telah ada.

Penilaian risiko terhadap kegagalan pengendalian aplikasi pada sistem

informasi akuntansi dilakukan menyatu dengan penilaian risiko organisasi

secara menyeluruh.

Pengendalian aplikasi telah menggunakan metode peramalan (forecasting) untuk memprediksi

terjadinya kesalahan, pengendalian aplikasi tidak hanya bersifat statis

(programmed) tatapi telah menerapkan prinsip pembelajaran (learning).

Pengguna sistem informasi akuntansi telah mengerti akan

pentingnya pengendalian aplikasi, pengguna berperan serta

memperbaiki pengendalian aplikasi dengan cara memberi masukan mengenai perbaikan yang harus

dilakukan.

Telah terjadi integrasi antara pengawasan dan perbaikan yang berkelanjutan dalam penerapan

pengendalian aplikasi. Telah ada aturan yang mengatur bahwa temuan

kegagalan pengendalian aplikasi selanjutnya diteruskan untuk menjadi

bahan perbaikan yang harus diperbaiki dalam jangka waktu tertentu.

91

Tujuan dari digunakannya teknologi informasi adalah untuk meningkatkan

efektivitas dalam pengelolaan data. Satu hal yang harus diperhatikan adalah

diperlukan juga kebenaran dan juga ketepatan dalam mengelola data – data

tersebut. Pengendalian aplikasi pada sistem informasi akuntansi memberikan

keyakinan yang memadai bahwa proses pengolahan data menggunakan data yang

benar, diproses dengan benar dan disajikan dengan benar pula.

Tabel III.33 Tujuan Pengendalian Validasi Masukan

Komponen Pengendalian Validasi Masukan

Penilaian Risiko a. Penilaian risiko dilakukan untuk menentukan

prioritas dan tatacara pengendalian pengecekan

masukan.

Lingkungan

Pengendalian

a. Terdapat standar yang mengatur tatacara

pengendalian pengecekan masukan, Pengecekan

masukan telah menjadi salah satu dari kebutuhan

(requirements) yang harus didefinisikan pada saat

pembuatan aplikasi.

Aktivitas


a. Telah terdapat mekanisme pengecekan kewajaran

masukan pada program sistem informasi akuntansi,

pengecekan tersebut dapat berupa pengecekan jenis

data yang dimasukkan, keberadaannya ataupun

kewajarannya.

b. Pengendali masukan dilakukan dengan cara

melakukan referensi silang antara data yang

dimasukkan dengan data referensi yang ada pada

master file (contoh: pembayaran barang dengan

barang yang telah diterima).

Informasi &

Komunikasi

a. Pencatatan terhadap masukan telah dilakukan secara

otomatis, sistem memberikan laporan berisikan siapa

yang melakukan masukan , nilai, dan yang

mengotorisasinya.

Pengawasan a. Dilakukan pengawasan terhadap kesalahan yang

sering terjadi untuk mengetahui tren dan motif dari

pelaku.

b. Pengujian dilakukan terhadap mekanisme

pengecekan yang digunakan untuk memvalidasi

masukan.

Tabel III.34 Tujuan Pengendalian Pemrosesan

Komponen Pengendalian Pemrosesan

Penilaian Risiko a. Penilaian risiko dilakukan untuk menentukan

prioritas dan ketelitian dari pengetesan yang

dilakukan pada saat pembuatan sistem informasi

akuntansi.

92

Lingkungan

Pengendalian

a. Terdapat standar dan prosedur yang mengatur

tatacara pengetesan aplikasi, aplikasi yang tidak

dapat lulus dari pengetesan tidak dapat digunakan

untuk operasional sehari – hari.

Aktivitas


a. Pada saat pembuatan aplikasi, dilakukan pengetesan

untuk memastikan integritas dari data yang diproses

secara otomatis.

Informasi &

Komunikasi

a. Pengetesan dilakukan secara terbuka, setiap orang

yang ikut serta dalam proses pengadaan dapat

melihat dan memberikan penilaian atas kewajaran

hasil dari pengetesan tersebut.

Pengawasan a. Audit dilakukan secara berkala untuk menilai

kesesuaian antara pemrosesan yang dilakukan oleh

sistem informasi akuntansi (otomatis) dengan standar

akuntansi yang digunakan organisasi.

Tabel III.35 Tujuan Pengendalian Validasi Keluaran

Komponen Pengendalian Validasi Keluaran

Penilaian Risiko a. Penilaian risiko dilakukan untuk menentukan tingkat

kerahasiaan suatu laporan/informasi yang terdapat

pada sistem informasi akuntansi.

Lingkungan

Pengendalian

a. Terdapat kebijaksanaan yang mengatur penggunaan

setiap laporan/informasi yang berasal dari sistem


Aktivitas


a. Telah diterapkannya pengendalian pada saat

pencetakan laporan\informasi, minimal pengendalian

yang diterapkan adalah dengan mencatat siapa yang

mencetak, tujuan, jumlah cetakan dan kepada siapa

saja laporan]informasi tersebut akan diberikan.

Informasi &

Komunikasi

a. Tersedia laporan yang menjelaskan proses

pencetakan dokument\informasi seperti siapa yang

mencetak, banyaknya dan tujuannya.

Pengawasan a. Audit dilakukan terhadap aktivitas pencetakan

laporan\informasi yang bersumber dari sistem

informasi akuntansi, audit tersebut bertujuan untuk

mengecek tujuan dan kewajaran atas setiap proses

pencetakan untuk menghindari terjadinya

penyalahgunaan.

bab iii analisa kebutuhan pengendalian · pdf filebab iii analisa kebutuhan pengendalian...

Documents