Audit Sistem Informasi

Pengertian

menurut Ron Weber (1999, p.10 ) adalah proses pengumpulan dan pengevaluasian bukti-bukti untuk menentukan apakah suatu sistem aplikasi komputerisasi telah menetapkan dan menerapkan sistem pengendalian intern yang memadai. Semua aktiva dilindungi dengan baik atau tidak disalahgunakan serta terjaminnya integritas data, keandalan serta efektifitas dan efisiensi penyelenggaraan sistem informasi berbasis komputer.

Tujuan

Mengamankan Asset
Aset (aktiva) yang berhubungan dengan instalasi sistem informasi mencakup: perangkat keras (hardware), perangkat lunak (software), manusia (people), file data, dokumentasi sistem, dan peralatan pendukung lainnya.

Menjaga Integritas Data
Integritas data berarti data memiliki atribut:
kelengkapan, baik dan dipercaya, kemurnian, dan ketelitian. Tanpa menjaga integritas data, organisasi tidak dapat memperlihatkan potret dirinya dengan benar atau kejadian yang ada tidak terungkap seperti apa adanya.
Keputusan maupun langkah-langkah penting di organisasi salah sasaran karena tidak didukung dengan data yang benar. Oleh karena itu, upaya untuk menjaga integritas data, dengan konsekuensi akan ada biaya prosedur pengendalian yang dikeluarkan harus sepadan dengan manfaat yang diharapkan.

Menjaga Efektifitas Sistem
Sistem informasi dikatakan efektif hanya jika sistem tersebut dapat mencapai tujuannya.
perlu upaya untuk mengetahui kebutuhan pengguna sistem tersebut (user), apakah sistem menghasilkan laporan atau informasi yang bermanfaat bagi user. Auditor perlu mengetahui karakteristik user berikut proses pengambilan keputusannya.
Biasanya audit efektivitas sistem dilakukan setelah suatu sistem berjalan beberapa waktu.
Manajemen dapat meminta auditor untuk melakukan post audit guna menentukan sejauh mana sistem telah mencapai tujuan.

Efisiensi
Dikatakan efisien jika ia menggunakan sumberdaya seminimal mungkin untuk menghasilkan output yang dibutuhkan. Pada kenyataannya, sistem informasi menggunakan berbagai sumberdaya, seperti mesin, dan segala perlengkapannya, perangkat lunak, sarana komunikasi dan tenaga kerja yang mengoperasikan sistem tersebut.

Pengendalian umum

Romney and Steinbart (2015) mendefinisikan pengendalian umum (General controls) sebagai :

“Controls designed to make sure an organization’s information system and evenronment is stable and well managed, such as security, IT infrastructure, and software acquisition, development, and maintenance controls.”

Pengendalian umum bertujuan untuk memastikan pengendalian lingkungan dalam keadaan stabil dan di kelola dengan baik. Contohnya mencakup keamanan, Infrastruktur TI, dan akuisisi perangkat lunak, pengembangan, dan pemeliharaan.

Ruang lingkup

Ruang lingkup Audit Sistem Informasi (SI) sebagai audit operasional terhadap fungsi sistem informasi (IT governance), audit objective-nya adalah melakukan assessment terhadap efektifitas, efisiensi, dan ekonomis tidaknya pengelolaan sistem informasi suatu organisasi.

Audit SI dimaksudkan untuk memberikan informasi kepada manajemen puncak agar manajemen mempunyai “a clear assessment” terhadap sistem informasi yang diimplementasikan pada organisasi tersebut. Misalnya, bahwa application software yang ada telah dianalisis dan didesain dengan baik, telah diimplementasikan dengan security features yang memadai.

Perlu dipahami bahwa audit SI tidak harus selalu merupakan penugasan lengkap mencakup seluruh aspek. Penugasan audit SI mungkin mencakup semua, tetapi bisa dengan beberapa variasi, atau beberapa aspek saja: suatu audit mungkin hanya menitikberatkan fokus pada satu aspek saja, atau beberapa aspek yang penting sesuai kebutuhan organisasi tersebut.

Meskipun hakekatnya keseluruhan aspek IT Governance tersebut sesungguhnya penting untuk diaudit dalam rangka peningkatan mutu sistem, namun itu tidak bersifat harus (it is not mandatory). Bisa saja dilakukan penugasan-penugasan audit yang berbeda untuk satu atau beberapa aspek, tidak harus sekali “gebrak” (to do all of them in one assignment). Salah satu alasannya adalah memang kompetensi/keterampilan yang diperlukan bagi auditor untuk setiap aspek tersebut bisa berbeda. Oleh karena itu aspek sebetulnya ada keterkaitan, dan semuanya adalah penting, maka bila dilakukan audit secara terpisah-pisah, manajemen harus mendapat gambaran umum (overview) yang jelas dan terpadu (the overview is critical).

Jadi, terdapat berbagai jenis penugasan audit sistem informasi yang dapat dilaksanakan pada suatu organisasi, misalnya sebagai berikut:

Untuk mengidentifikasi sistem yang ada (inventory existing systems), baik yang ada pada tiap divisi/unit/departemen ataupun yang digunakan menyeluruh.

Untuk dapat lebih memahami seberapa besar sistem informasi mendukung kebutuhan strategis perusahaan, operasi perusahaan, mendukung kegaitan operasional departemen/unit/divisi, kelompok kerja, maupun para petugas dalam melaksanakan kegiatannya.

Untuk mengetahui pada bidang atau area mana, fungsi, kegiatan atau business processes yang didukung dengan sistem serta teknologi informasi yang ada.

Untuk menganalisis tingkat pentingnya data/informasi yang dihasilkan oleh sistem dalam rangka mendukung kebutuhan para pemakainya.

Untuk mengetahui keterkaitan antara data, sistem pengolahan dan transfer informasi.

Untuk mengidentifikasi apakah ada kesenjangan (gap) antara sistem dengan kebutuhan.

Untuk membuat peta (map) dari information flows yang ada.

Pengendalian aplikasi

Pengendalian aplikasi adalah prosedur-prosedur pengendalian yang didisain oleh manajemen organisasi untuk meminimalkan resiko terhadap aplikasi yang diterapkan perusahaan agar proses bisnisnya dapat berjalan dengan baik.

Macam Aplikasi

Aplikasi berwujud perangkat lunak, yang dapat dibagi menjadi dua tipe dalam perusahaan untuk kepentingan audit PDE:

- Perangkat lunak berdiri sendiri

Terdapat pada organisasi yang belum menerapkan SIA dan sistem ERP, sehingga masih banyak aplikasi yang berdiri sendiri pada masing-masing unitnya. Contoh: aplikasi (software) MYOB pada fungsi akuntansi dan keuangan.

- Perangkat lunak di server

Tedapat pada organisasi yang telah menerapkan SIA dan sistem ERP. Aplikasi terinstall pada server sehingga tipe struktur sistemnya memakai sistem client-server . Client hanya dipakai sebagai antar-muka (interface) untuk mengakses aplikasi pada server.

Macam Pengendalian Aplikasi

a. Pengendalian Organisasi dan Akses Aplikasi
Pada pengendalian organisasi, hampir sama dengan pengendalian umum organisasi, namun lebih terfokus pada aplikasi yang diterapkan perusahaan. Siapa pemilik aplikasi, tugas administrator, pengguna, hingga pengembangan aplikasi tersebut.

Untuk pengendalian akses, terpusat hanya pada pengendalian logika saja untuk menghindari akses tidak terotorisasi. Selain itu juga terdapat pengendalian role based menu dibalik pengendalian akses logika, dimana hanya pengguna tertentu saja yang mampu mengakses menu yang telah ditunjuk oleh administrator. Hal ini berkaitan erat dengan kebijakan TI dan prosedur perusahaan berkaitan dengan nama pengguna dan sandi nya.

- Pengendalian Input
Pengendalian input memastikan data-data yang dimasukkan ke dalam sistem telah tervalidasi, akurat, dan terverifikasi.

- Pengendalian Proses
Pengendalian proses biasanya terbagi menjadi dua tahapan, yaitu (1) tahapan transaksi, dimana proses terjadi pada berkas-berkas transaksi baik yang sementara maupun yang permanen dan (2) tahapan database, proses yang dilakukan pada berkas-berkas master.

- Pengendalian Output
Pada pengendalian ini dilakukan beberapa pengecekan baik secara otomatis maupun manual (kasat mata) jika output yang dihasilkan juga kasat mata.

- Pengendalian Berkas Master
Pada pengendalian ini harus terjadi integritas referensial pada data, sehingga tidak akan diketemukan anomali-anomali, seperti:

- Anomaly penambahan
- Anomaly penghapusan
- Anomaly pemuktahiran/pembaruan

Fungsi internal auditor

Pada mulanya internal auditor dalam suatu perusahaan mempunyai fungsi yang terbatas, yaitu mengadakan pengawasan atas pembukuan, namun sejalan dengan meningkatnya sistem informasi akuntansi, aktivitas internal auditor tidak lagi berputar pada pengawasan pembukuan semata-mata.

Akan tetapi mencakup pemeriksaan dan evaluasi terhadap kecukupan dan efektivitas sistem organisasi, sistem internal control dan kualitas kertas kerja manajemen dalam melaksanakan tanggung jawab yang dibebankan kepadanya.

Fungsi internal auditor yang dikemukakan oleh Holmes dan Overmayer yang menggolongkan secara terperinci:

1. Menentukan baik tidaknya internal control dengan memperhatikan pemeriksaan fungsi dan apakah prinsip akuntansi benar-benar telah dilaksanakan. 
2. Bertanggung jawab dalam menentukan apakah pelaksanaan sesuai dengan rencana policy dan prosedur yang telah ditetapkan sampai nilai apakah hal tersebut telah diperbaiki atau tidak, 
3. Menverifikasi adanya keuntungan kekayaan atau asset termasuk mencegah dan menentukan penyelesaian. 
4. Menverifikasikan dan menilai tingkat kepercayaan terhadap sistem akuntansi dan pelaporan. 
5. Melaporkan secara objektif apa yang diketahui kepada manajemen disertai rekomendasi perbaikan. 

Pendapat lain tentang fungsi pemeriksaan adalah menurut General Accounting Officer yang diterjemahkan oleh Sumardjo Tjitrosidojo adalah sebagai berikut:

1. Menemukan berbagai situasi untuk meniadakan pemborosan dan daya guna yang tidak baik. 
2. Menyarankan perbaikan dalam bidang kebijaksanaan prosedur dan struktur organisasi. 
3. Menciptakan alat penguji terhadap hasil pekerjaan para individu dan berbagai unit organisasi. 
4. Mengawasi ketaatan pada syarat-syarat yang telah ditentukan oleh anggaran dasar dan undang-undang. 
5. Mencek akan adanya tindakan-tindakan yang tidak atau belum disetujui, penyelewengan dan tidak wajar secara lain. 
6. Mengidentifikasikan tempat-tempat yang mengandung kemungkinan timbulnya kesulitan kegiatan masa depan. 
7. Menciptakan saluran komunikasi antara berbagai tingkatan dan pimpinan tertinggi. 

Dari fungsi internal auditor yang diuraikan di atas maka  dapat disimpulkan bahwa pada dasarnya fungsi internal auditor dalam perusahaan adalah untuk mengawasi pelaksanaan sistem pengawasan intern dan memberikan saran perbaikan kepada manajemen bila ditemukan kelemahan dan penyimpangan baik yang terdapat pada sistem tersebut maupun dalam pelaksanaannya dalam perusahaan.  Untuk keefektifan fungsi internal auditor ini maka ada sasaran-sasaran audit tertentu yang harus ditetapkan dan harus senantiasa dikaji ulang.  Sasaran audit intern ini menurut Arthur W. Holmes dan David C. Burns dapat dibagi atas dua bagian yaitu:

1. Saran pengawasan akuntansi dilaksanakan dengan cara: 

• Mengidentifikasikan jenis kekeliruan dan penyelewengan akuntansi yang mungkin terjadi. 
• Menetapkan prosedur yang harus mencegah atau menemukan dan penyelewengan semacam itu. 
• Menguji transaksi serta prosedur-prosedur untuk menentukan apakah prosedur-prosedur yang diperlukan sudah digariskan dan dipatuhi secara memuaskan. 
• Mengevaluasi semua jenis kekeliruan dan penyelewengan yang tidak cukup oleh prosedur pengendalian internal yang ada ini akan membantu dalam menentukan pengaruhnya terhadap sifat, waktu atau luasnya prosedur auditing lainnya yang mungkin diperlukan. 

2. Sasaran pengawasan administrasi dilaksanakan dengan cara:

• Evaluasi atas upaya-upaya organisasi seperti yang dicerminkan oleh hubungan laporan dalam perusahaan. 
• Tinjauan yang cermat atas bagan organisasi dan uraian posisi yang menjelaskan pembagian upaya itu. Tinjauan ulang ini harus diperlihatkan apakah penyediaan atau pengendalian atas setiap orang di dalam perusahaan memadai atau tidak boleh ada seorangpun menempati posisi yang bertentangan dengan kebijaksanaan pengendalian intern yang sehat. 
• Evaluasi atas saluran komunikasi di dalam perusahaan khususnya komunikasi dengan manajemen puncak dan dengan komite audit, saluran ini harus ditetapkan dengan jelas sehingga pelaporan akan tetap aktual dan objektif. 
• Pengujian dan evaluasi atas kebijaksanaan perusahaan.

Berdasarkan uraian pada kedua sasaran tersebut dapat disimpulkan bahwa:

1. Tekanan pengawasan akuntansi adalah menentukan keandalan dari sistem pengawasan intern yang dapat mencegah/menemukan  keandalan adanya kekeliruan dan penyelewengan yang material dalam pelaksanaan akuntansi.
2. Tekanan pengawasan administrasi adalah tujuan yang meliputi tanggung jawab, untuk menentukan apakah ada ketaatan terhadap kebijaksanaan perusahaan dan mencatat serta melaporkan adanya penyimpangan terhadap pelaksanaan suatu kebijaksanaan.
3. Baik fungsi akuntansi maupun fungsi administrasi yang mencakup dalam internal auditor harus dilaksanakan secara sinkron dalam meningkatkan efektivitas sistem internal control perusahaan, dan fungsi internal auditor sebagai staf manajemen harus mampu memeriksa, baik aspek keuangan maupun administrasi.
4. Ditinjau dari kemampuan internal auditor, maka manajemen mempunyai wewenang dalam menetapkan personil yang akan melaksanakan tugas internal auditor.  Penetapan tersebut hendaknya dilakukan secara selektif memenuhi syarat sebagaimana dikatakan Ruchyat Kosasih, bahwa syarat yang harus dipenuhi seorang internal auditor adalah sebagai berikut:

• Staf pemeriksa intern harus diangkat atas dasar kecakapan dan kemampuan serta ada kemungkinan untuk maju ke posisi yang lebih tinggi.
• Setiap pemeriksa intern harus kontinyu mendapat pendidikan dan latihan yang cukup dalam bidangnya serta memperbaiki (mengupgrade) dirinya sendiri (self improvement)

sumber

http://www.e-akuntansi.com/2015/11/pengendalian-umum-dan-aplikasi.html

http://fjuniawan.blogspot.co.id/2017/10/audit-sistem-informasi.html

http://felycitaaa.blogspot.co.id/