COBIT 2019 untuk Audit Tata Kelola TI, Inilah Checklist dan Area Evaluasi

Artikel COBIT, Artikel IT

Banyak perusahaan sudah memakai teknologi untuk hampir semua proses bisnis. Mulai dari layanan pelanggan, transaksi keuangan, operasional internal, manajemen data, sampai pengambilan keputusan.

Masalahnya, tidak semua perusahaan benar-benar tahu apakah teknologi yang mereka gunakan sudah dikelola dengan baik.

Sistem mungkin berjalan. Aplikasi mungkin aktif. Infrastruktur mungkin terlihat aman. Tapi apakah teknologi tersebut sudah mendukung tujuan bisnis? Apakah risikonya terkendali? Apakah kontrolnya berjalan? Apakah investasi TI memberikan nilai yang jelas?

Di sinilah audit tata kelola TI menjadi penting.

Audit tata kelola TI membantu perusahaan melihat apakah pengelolaan teknologi sudah selaras dengan strategi bisnis, kebutuhan regulasi, manajemen risiko, dan pencapaian kinerja organisasi. Salah satu framework yang sering digunakan untuk mendukung audit ini adalah COBIT 2019.

COBIT 2019 tidak hanya membantu organisasi memahami “apa yang harus dikontrol”, tetapi juga membantu melihat area mana yang perlu dievaluasi, diperbaiki, dan diprioritaskan.

Mengapa Audit Tata Kelola TI Penting?

Teknologi yang tidak diaudit bisa menjadi biaya besar yang sulit dikendalikan.

Perusahaan mungkin mengeluarkan banyak anggaran untuk sistem, software, cloud, keamanan informasi, dan infrastruktur digital. Namun tanpa tata kelola yang baik, investasi tersebut bisa berjalan tanpa arah yang jelas.

Audit tata kelola TI membantu perusahaan menjawab pertanyaan penting seperti:

Apakah strategi TI sudah mendukung tujuan bisnis?
Apakah risiko TI sudah diidentifikasi dan dikelola?
Apakah kontrol keamanan informasi berjalan efektif?
Apakah penggunaan anggaran TI sudah memberikan nilai?
Apakah proses layanan TI sudah terukur?
Apakah kepatuhan terhadap regulasi sudah terpenuhi?
Apakah peran dan tanggung jawab pengelolaan TI sudah jelas?

Tanpa audit, perusahaan sering hanya sadar ada masalah setelah terjadi gangguan besar.

Misalnya, sistem utama sering downtime, proses approval akses tidak jelas, data sensitif bisa diakses terlalu banyak orang, atau proyek teknologi terus molor tanpa evaluasi yang kuat.

Kalau sudah begini, audit bukan lagi sekadar aktivitas administratif. Audit menjadi alat untuk membaca kesehatan tata kelola TI secara lebih objektif.

Apa Itu COBIT 2019 dalam Konteks Audit Tata Kelola TI?

COBIT 2019 adalah framework tata kelola dan manajemen teknologi informasi yang membantu organisasi memastikan TI memberikan nilai, risiko dikelola dengan baik, dan sumber daya digunakan secara optimal.

Dalam konteks audit tata kelola TI, COBIT 2019 dapat digunakan sebagai acuan untuk mengevaluasi apakah proses, kontrol, struktur organisasi, kebijakan, dan praktik TI sudah berjalan sesuai kebutuhan perusahaan.

COBIT 2019 membagi tata kelola dan manajemen TI ke dalam sejumlah objective. Objective ini membantu auditor dan organisasi melihat area yang perlu diperiksa, mulai dari governance, strategi, risiko, keamanan, layanan, proyek, data, hingga monitoring performa.

Sederhananya, COBIT 2019 membantu audit menjadi lebih terarah.

Bukan hanya bertanya, “Apakah sistem sudah berjalan?”

Tapi juga:

apakah sistem tersebut dikelola dengan prinsip governance yang jelas;
apakah risiko sudah dipantau;
apakah keputusan TI melibatkan pihak yang tepat;
apakah layanan TI memenuhi kebutuhan pengguna;
apakah kontrol dan monitoring berjalan konsisten.

Itu bedanya audit teknis biasa dengan audit tata kelola TI.

Peran COBIT 2019 dalam Audit Tata Kelola TI

COBIT 2019 dapat membantu auditor, IT governance officer, risk officer, dan manajemen TI dalam beberapa hal.

1. Memberikan Struktur Evaluasi yang Jelas

Audit sering melebar jika tidak memiliki kerangka yang jelas. COBIT 2019 membantu menyediakan struktur agar evaluasi tidak hanya berdasarkan opini atau pengalaman auditor, tetapi mengacu pada area governance dan management objective yang relevan.

Dengan struktur ini, audit bisa lebih fokus dan mudah dikomunikasikan ke manajemen.

2. Menghubungkan TI dengan Tujuan Bisnis

Salah satu masalah klasik dalam pengelolaan TI adalah jarak antara tim teknologi dan kebutuhan bisnis.

COBIT 2019 membantu audit melihat apakah inisiatif TI benar-benar mendukung tujuan organisasi. Jadi, audit tidak hanya memeriksa dokumen atau sistem, tetapi juga menilai apakah teknologi memberi kontribusi terhadap value creation.

3. Membantu Menilai Risiko TI

Risiko TI bisa datang dari banyak sisi: keamanan informasi, downtime, vendor, cloud, data, akses pengguna, proyek gagal, hingga ketidakpatuhan regulasi.

Dengan COBIT 2019, perusahaan dapat mengevaluasi apakah risiko-risiko tersebut sudah diidentifikasi, dimonitor, dan ditangani secara tepat.

4. Memperjelas Akuntabilitas

Banyak masalah tata kelola TI terjadi karena peran tidak jelas.

Siapa yang menyetujui akses? Siapa pemilik data? Siapa yang bertanggung jawab atas risiko? Siapa yang mengambil keputusan prioritas proyek TI?

COBIT 2019 membantu perusahaan mengevaluasi apakah struktur tanggung jawab sudah jelas dan berjalan.

5. Mendukung Perbaikan Berkelanjutan

Audit yang baik bukan hanya mencari kesalahan. Audit harus membantu organisasi memperbaiki diri.

Melalui COBIT 2019, hasil audit dapat diarahkan menjadi rekomendasi perbaikan yang lebih sistematis, mulai dari peningkatan proses, kontrol, dokumentasi, monitoring, hingga penguatan kompetensi tim.

8 Area Evaluasi Audit Tata Kelola TI Berbasis COBIT 2019

Audit tata kelola TI tidak bisa hanya melihat satu sisi. Perusahaan perlu mengevaluasi beberapa area utama agar hasil audit lebih utuh.

Berikut area evaluasi yang dapat menjadi fokus.

1. Keselarasan Strategi TI dan Bisnis

Area pertama yang perlu diperiksa adalah apakah strategi TI sudah selaras dengan strategi bisnis.

Teknologi seharusnya tidak berjalan sendiri. Setiap inisiatif TI idealnya mendukung tujuan organisasi, baik dalam bentuk efisiensi operasional, peningkatan layanan pelanggan, keamanan data, inovasi digital, maupun kepatuhan regulasi.

Checklist evaluasi:

Apakah perusahaan memiliki strategi TI yang terdokumentasi?
Apakah strategi TI terhubung dengan tujuan bisnis?
Apakah prioritas proyek TI ditentukan berdasarkan kebutuhan bisnis?
Apakah manajemen terlibat dalam pengambilan keputusan TI?
Apakah ada indikator untuk mengukur kontribusi TI terhadap bisnis?

Jika jawabannya banyak yang “belum”, berarti tata kelola TI masih perlu diperkuat.

2. Pengelolaan Risiko TI

Risiko TI tidak bisa hanya ditangani saat insiden terjadi. Perusahaan perlu memiliki proses yang jelas untuk mengidentifikasi, menilai, memantau, dan memitigasi risiko.

Dalam audit berbasis COBIT 2019, area risiko menjadi bagian penting karena teknologi memiliki dampak langsung terhadap operasional dan reputasi perusahaan.

Checklist evaluasi:

Apakah risiko TI sudah terdokumentasi dalam risk register?
Apakah risiko keamanan informasi dievaluasi secara berkala?
Apakah ada proses mitigasi risiko TI?
Apakah risiko vendor dan pihak ketiga ikut dinilai?
Apakah risiko proyek teknologi dipantau sejak awal?
Apakah manajemen mendapatkan laporan risiko TI secara rutin?

Risiko yang tidak terlihat bukan berarti tidak ada. Bisa jadi hanya belum pernah diukur.

Dan itu jauh lebih berbahaya.

3. Manajemen Keamanan Informasi

Keamanan informasi menjadi salah satu area paling krusial dalam audit tata kelola TI.

Perusahaan perlu memastikan data, sistem, dan akses digital dikelola dengan aman. Apalagi jika organisasi menyimpan data pelanggan, data transaksi, dokumen internal, informasi keuangan, atau data pribadi karyawan.

Checklist evaluasi:

Apakah perusahaan memiliki kebijakan keamanan informasi?
Apakah akses pengguna diberikan berdasarkan kebutuhan kerja?
Apakah ada proses review akses secara berkala?
Apakah password dan autentikasi dikelola dengan baik?
Apakah insiden keamanan memiliki prosedur pelaporan?
Apakah backup dan recovery diuji secara berkala?
Apakah karyawan mendapatkan security awareness training?

Keamanan informasi bukan hanya urusan tools. Perlu kebijakan, proses, kontrol, awareness, dan monitoring.

Baca juga: Cyber Security Awareness untuk Karyawan: Strategi Mengurangi Human Error

4. Pengelolaan Layanan TI

Layanan TI yang baik harus bisa diukur.

Jika user sering mengeluh, tiket menumpuk, gangguan lambat ditangani, atau permintaan layanan tidak punya prioritas yang jelas, itu tanda bahwa manajemen layanan TI perlu dievaluasi.

Checklist evaluasi:

Apakah perusahaan memiliki katalog layanan TI?
Apakah proses incident management sudah berjalan?
Apakah permintaan layanan dicatat dan dipantau?
Apakah ada SLA untuk layanan utama?
Apakah performa service desk dievaluasi?
Apakah gangguan berulang dianalisis penyebabnya?
Apakah user mendapatkan update saat ada gangguan layanan?

Di area ini, COBIT 2019 bisa dikaitkan dengan praktik IT service management seperti ITIL. COBIT membantu melihat governance dan kontrolnya, sementara ITIL membantu memperkuat praktik layanan hariannya.

5. Manajemen Proyek dan Investasi TI

Banyak proyek TI gagal bukan karena teknologinya buruk, tetapi karena governance proyeknya lemah.

Scope berubah terus. Timeline tidak realistis. Vendor tidak dikontrol. Manfaat bisnis tidak jelas. User tidak dilibatkan. Setelah sistem selesai, ternyata tidak dipakai optimal.

Audit tata kelola TI perlu mengevaluasi bagaimana proyek dan investasi TI dikelola.

Checklist evaluasi:

Apakah setiap proyek TI memiliki business case?
Apakah manfaat proyek didefinisikan sejak awal?
Apakah risiko proyek dipantau?
Apakah perubahan scope dikendalikan?
Apakah ada evaluasi setelah proyek selesai?
Apakah vendor proyek dikelola dengan indikator yang jelas?
Apakah proyek TI memiliki sponsor bisnis?

Investasi TI yang tidak dikontrol bisa menjadi lubang anggaran. Kelihatannya modern, tapi hasilnya tidak jelas.

6. Pengelolaan Data dan Informasi

Data adalah aset penting. Tapi tanpa tata kelola yang baik, data bisa menjadi sumber masalah.

Data yang tidak akurat dapat menghasilkan keputusan yang salah. Data yang tidak terlindungi bisa bocor. Data yang tidak jelas pemiliknya bisa sulit dipertanggungjawabkan.

Checklist evaluasi:

Apakah perusahaan memiliki kebijakan pengelolaan data?
Apakah ada data owner untuk data penting?
Apakah klasifikasi data sudah diterapkan?
Apakah akses data sensitif dibatasi?
Apakah kualitas data dipantau?
Apakah penyimpanan dan penghapusan data memiliki aturan?
Apakah data pribadi dikelola sesuai ketentuan yang berlaku?

Tata kelola TI yang baik harus ikut memastikan data dikelola secara aman, akurat, dan bertanggung jawab.

7. Kepatuhan Regulasi dan Kebijakan Internal

Perusahaan tidak hanya perlu aman. Perusahaan juga perlu patuh.

Dalam banyak industri, pengelolaan TI berkaitan dengan regulasi, standar, audit internal, kebijakan perusahaan, dan persyaratan pihak eksternal.

Checklist evaluasi:

Apakah kebijakan TI sudah terdokumentasi?
Apakah kebijakan tersebut dikomunikasikan ke karyawan?
Apakah kepatuhan terhadap kebijakan dipantau?
Apakah ada audit internal terkait TI?
Apakah temuan audit sebelumnya ditindaklanjuti?
Apakah regulasi yang relevan sudah dipetakan?
Apakah bukti kepatuhan tersedia saat dibutuhkan?

Kepatuhan yang hanya ada di dokumen tidak cukup. Yang perlu dilihat adalah apakah kebijakan benar-benar dijalankan.

8. Monitoring Kinerja TI

Tanpa indikator, perusahaan sulit mengetahui apakah TI berjalan baik atau hanya terlihat sibuk.

Monitoring kinerja TI membantu manajemen melihat kualitas layanan, efektivitas kontrol, pencapaian proyek, risiko, dan kontribusi teknologi terhadap bisnis.

Checklist evaluasi:

Apakah perusahaan memiliki KPI TI?
Apakah KPI TI dikaitkan dengan tujuan bisnis?
Apakah laporan kinerja TI disampaikan ke manajemen?
Apakah ada metrik untuk layanan, risiko, keamanan, dan proyek?
Apakah hasil monitoring digunakan untuk perbaikan?
Apakah dashboard atau laporan kinerja mudah dipahami?

Kinerja TI tidak cukup diukur dari “sistem menyala”. Yang lebih penting adalah apakah teknologi membantu bisnis berjalan lebih baik.

Checklist Audit Tata Kelola TI Berbasis COBIT 2019

Berikut checklist ringkas yang dapat digunakan sebagai panduan awal.

Checklist Strategi dan Governance

Strategi TI terdokumentasi dan selaras dengan bisnis.
Manajemen terlibat dalam keputusan TI strategis.
Peran dan tanggung jawab governance TI jelas.
Prioritas TI ditentukan berdasarkan kebutuhan organisasi.
Ada mekanisme evaluasi nilai dari investasi TI.

Checklist Risiko dan Keamanan

Risiko TI dicatat dan dinilai secara berkala.
Kontrol keamanan informasi diterapkan.
Akses pengguna direview secara rutin.
Insiden keamanan memiliki prosedur pelaporan.
Backup, recovery, dan business continuity diuji.

Checklist Layanan dan Operasional TI

Layanan TI memiliki standar atau SLA.
Incident dan request dikelola melalui proses yang jelas.
Gangguan layanan dianalisis dan ditindaklanjuti.
Service desk memiliki metrik performa.
Pengguna mendapatkan komunikasi saat terjadi gangguan.

Checklist Proyek dan Investasi TI

Proyek TI memiliki business case.
Risiko proyek dimonitor.
Perubahan scope dikendalikan.
Vendor dievaluasi berdasarkan kinerja.
Manfaat proyek dievaluasi setelah implementasi.

Checklist Data dan Kepatuhan

Data penting memiliki owner.
Klasifikasi data diterapkan.
Kebijakan TI dikomunikasikan.
Bukti kepatuhan terdokumentasi.
Temuan audit ditindaklanjuti.

Checklist ini bukan pengganti audit lengkap, tetapi bisa menjadi titik awal untuk melihat area mana yang perlu diperiksa lebih dalam.

6 Contoh Temuan Umum dalam Audit Tata Kelola TI

Dalam praktiknya, beberapa temuan sering muncul saat audit tata kelola TI dilakukan.

1. Strategi TI Tidak Terhubung dengan Strategi Bisnis

Tim TI punya rencana sendiri, sementara manajemen bisnis punya prioritas lain. Akibatnya, proyek teknologi berjalan tanpa dukungan penuh dari kebutuhan bisnis.

2. Dokumentasi Proses Tidak Lengkap

Banyak proses TI berjalan berdasarkan kebiasaan, bukan prosedur tertulis. Ini membuat kontrol sulit diuji dan pengetahuan terlalu bergantung pada individu tertentu.

3. Hak Akses Tidak Direview

Karyawan yang pindah divisi atau keluar dari perusahaan masih memiliki akses ke sistem tertentu. Ini bisa menjadi risiko serius.

4. Risk Register TI Tidak Diperbarui

Risiko TI pernah didata, tetapi tidak diperbarui. Padahal, ancaman, sistem, vendor, dan kebutuhan bisnis terus berubah.

5. SLA Tidak Diukur dengan Konsisten

Perusahaan memiliki SLA, tetapi tidak benar-benar dipantau. Akhirnya, kualitas layanan TI sulit dievaluasi secara objektif.

6. Temuan Audit Tidak Ditindaklanjuti

Audit sudah dilakukan, laporan sudah dibuat, tetapi perbaikannya tidak berjalan. Ini masalah klasik. Laporannya rapi, tindak lanjutnya sepi.

Kesalahan Perusahaan Saat Mengevaluasi Tata Kelola TI

Audit tata kelola TI bisa kehilangan nilai jika dilakukan hanya sebagai formalitas.

Beberapa kesalahan yang perlu dihindari antara lain:

1. Terlalu Fokus pada Teknologi, Lupa Governance

Audit tidak boleh hanya melihat server, aplikasi, atau perangkat. Tata kelola TI juga menyangkut keputusan, akuntabilitas, risiko, kebijakan, dan nilai bisnis.

2. Menganggap Semua Objective COBIT Harus Diterapkan Sekaligus

COBIT 2019 perlu disesuaikan dengan konteks organisasi. Tidak semua objective harus menjadi prioritas yang sama. Perusahaan perlu melihat strategi, risiko, ukuran organisasi, industri, dan kebutuhan regulasi.

3. Tidak Melibatkan Pihak Bisnis

Audit TI bukan hanya urusan tim IT. Banyak aspek tata kelola TI berkaitan dengan unit bisnis, manajemen risiko, compliance, finance, HR, procurement, dan manajemen puncak.

4. Hanya Mengejar Dokumen

Dokumen penting, tetapi bukan satu-satunya bukti. Auditor juga perlu melihat implementasi, wawancara, sistem, log, laporan, dan praktik aktual di lapangan.

5. Tidak Mengubah Hasil Audit Menjadi Rencana Perbaikan

Audit tanpa tindak lanjut hanya menjadi arsip. Agar bernilai, temuan audit harus diterjemahkan menjadi action plan yang jelas, memiliki PIC, deadline, dan prioritas.

Cara Memulai Audit Tata Kelola TI dengan COBIT 2019

Untuk memulai audit tata kelola TI berbasis COBIT 2019, perusahaan bisa menggunakan langkah sederhana berikut.

1. Tentukan Tujuan Audit

Apakah audit dilakukan untuk menilai maturity tata kelola TI, mendukung kepatuhan, memperbaiki layanan, mengevaluasi risiko, atau mempersiapkan transformasi digital?

Tujuan audit akan menentukan area yang perlu difokuskan.

2. Identifikasi Area Prioritas

Jangan langsung mengevaluasi semuanya. Mulailah dari area yang paling berdampak terhadap bisnis.

Misalnya:

keamanan informasi;
layanan TI;
proyek teknologi;
pengelolaan risiko;
data governance;
vendor management;
compliance.

3. Petakan Objective COBIT yang Relevan

Gunakan COBIT 2019 untuk memetakan governance dan management objective yang sesuai dengan kebutuhan audit.

Ini membantu audit lebih fokus dan tidak melebar ke area yang kurang relevan.

4. Kumpulkan Bukti

Bukti audit bisa berupa kebijakan, prosedur, laporan, log sistem, hasil wawancara, risk register, dokumen proyek, SLA, dashboard, atau catatan tindak lanjut audit sebelumnya.

5. Evaluasi Gap

Bandingkan kondisi saat ini dengan praktik yang diharapkan. Dari sini, auditor dapat melihat gap, risiko, dan area yang perlu diperbaiki.

6. Susun Rekomendasi Perbaikan

Rekomendasi sebaiknya dibuat jelas dan dapat dijalankan. Hindari rekomendasi yang terlalu umum seperti “meningkatkan governance TI”.

Lebih baik tulis:

menetapkan data owner untuk data kritikal;
melakukan review akses pengguna setiap tiga bulan;
membuat dashboard risiko TI untuk manajemen;
menyusun SOP incident management;
memperbarui risk register TI secara berkala.

Rekomendasi yang jelas akan lebih mudah dieksekusi.

Kesimpulan

Audit tata kelola TI membantu perusahaan memastikan bahwa teknologi tidak hanya berjalan, tetapi juga dikelola dengan arah, kontrol, dan nilai bisnis yang jelas.

COBIT 2019 dapat menjadi framework yang berguna untuk mendukung audit tersebut. Dengan COBIT 2019, perusahaan dapat mengevaluasi area penting seperti strategi TI, risiko, keamanan informasi, layanan TI, proyek, data, kepatuhan, dan monitoring kinerja.

Namun, audit yang baik tidak berhenti pada checklist. Hasil audit harus diterjemahkan menjadi perbaikan nyata. Perusahaan perlu melihat mana area yang paling berisiko, mana yang paling berdampak ke bisnis, dan mana yang perlu segera diprioritaskan.

Dengan pendekatan yang tepat, audit tata kelola TI berbasis COBIT 2019 dapat membantu organisasi membangun pengelolaan teknologi yang lebih matang, terukur, dan selaras dengan kebutuhan bisnis.

Memahami COBIT 2019 tidak cukup hanya dari teori. Profesional IT, auditor, risk officer, dan governance officer perlu memahami bagaimana framework ini digunakan untuk mengevaluasi tata kelola TI secara praktis.

Melalui Training COBIT 2019 ITGID, peserta dapat mempelajari konsep, prinsip, objective, dan pendekatan COBIT 2019 yang relevan untuk mendukung audit, evaluasi tata kelola TI, serta peningkatan kontrol dan kinerja teknologi di organisasi.

Pelatihan ini dapat menjadi langkah awal bagi perusahaan yang ingin memperkuat kompetensi tim dalam menerapkan tata kelola TI yang lebih terstruktur dan selaras dengan kebutuhan bisnis.

FAQ

Apa itu audit tata kelola TI?
Audit tata kelola TI adalah proses evaluasi untuk menilai apakah teknologi informasi sudah dikelola sesuai tujuan bisnis, risiko, kontrol, kebijakan, dan kebutuhan organisasi.
Mengapa COBIT 2019 cocok digunakan untuk audit tata kelola TI?
COBIT 2019 menyediakan kerangka governance dan management objective yang dapat membantu auditor mengevaluasi proses, kontrol, risiko, layanan, dan kinerja TI secara lebih terstruktur.
Apa saja area yang perlu dievaluasi dalam audit tata kelola TI?
Area yang umum dievaluasi meliputi strategi TI, risiko, keamanan informasi, layanan TI, proyek teknologi, pengelolaan data, kepatuhan, dan monitoring kinerja.
Apakah audit tata kelola TI hanya dilakukan oleh tim IT?
Tidak. Audit tata kelola TI juga perlu melibatkan manajemen, unit bisnis, risk management, compliance, internal audit, finance, procurement, dan pihak lain yang terkait dengan penggunaan teknologi.
Apa perbedaan audit tata kelola TI dan audit keamanan informasi?
Audit keamanan informasi fokus pada perlindungan data dan sistem. Audit tata kelola TI lebih luas karena mencakup strategi, nilai bisnis, risiko, kontrol, layanan, proyek, data, dan kepatuhan TI.
Apakah semua perusahaan perlu menggunakan COBIT 2019?
Tidak semua perusahaan harus menerapkan COBIT 2019 secara penuh. Namun, framework ini dapat membantu organisasi yang ingin memperkuat tata kelola TI, terutama jika teknologi sudah menjadi bagian penting dari operasional bisnis.
Siapa yang cocok mengikuti Training COBIT 2019?
Training COBIT 2019 cocok untuk IT manager, IT auditor, governance officer, risk officer, compliance officer, internal auditor, konsultan TI, dan profesional yang terlibat dalam tata kelola teknologi informasi.

Rate this post

Artikel COBIT, Artikel IT