Ada perusahaan yang terlihat sangat “rapi” saat audit berlangsung.

Dokumen governance lengkap.
Struktur komite jelas.
Assessment rutin dilakukan.
Maturity level naik setiap tahun.

Namun anehnya, operasional mereka tetap penuh masalah.

Sistem masih sering downtime.
Perubahan aplikasi berulang kali memicu gangguan.
Incident berjalan tanpa ownership yang jelas.
Dan hubungan antara tim bisnis dengan tim IT terasa seperti dua pihak yang sedang terjebak dalam pernikahan tanpa komunikasi.

Ini bukan kasus langka.

Justru cukup banyak perusahaan mengalami kondisi seperti itu setelah mulai menerapkan COBIT 2019.

Di atas kertas, governance terlihat hidup.

Tetapi di operasional sehari-hari, chaos-nya masih sama.

Dan biasanya masalah utamanya bukan karena framework COBIT buruk.

Masalahnya lebih mendasar:
perusahaan salah menentukan prioritas governance objective sejak awal.

Mereka mencoba memperbaiki semuanya sekaligus.

Padahal governance yang efektif hampir tidak pernah lahir dari implementasi besar-besaran yang dipaksakan cepat selesai. Governance yang benar biasanya dibangun bertahap, fokus, dan sangat kontekstual terhadap masalah bisnis perusahaan.

Sayangnya, bagian ini sering diremehkan.

Banyak organisasi terlalu fokus mengejar:

• kelengkapan framework,
• maturity score,
• checklist compliance,
• atau kesiapan audit,

sampai lupa bertanya:

“Objective mana yang sebenarnya paling penting untuk kondisi perusahaan kami saat ini?”

Dan ketika pertanyaan itu tidak pernah dijawab dengan jujur, governance perlahan berubah menjadi aktivitas administratif.

Dokumennya bertambah.
Meeting-nya makin banyak.
Tetapi arah bisnis tetap kabur.

Governance yang Terlihat Matang Belum Tentu Efektif

Ada satu kesalahpahaman yang cukup umum dalam implementasi tata kelola TI.

Semakin kompleks governance sebuah perusahaan, semakin dianggap mature.

Karena itu banyak organisasi berlomba:

• membuat prosedur sebanyak mungkin,
• memperbanyak approval layer,
• membangun dashboard governance,
• serta mengaktifkan banyak control process sekaligus.

Padahal di lapangan, governance yang terlalu kompleks justru sering menjadi beban operasional baru.

Tim mulai kewalahan mengikuti proses.
Approval menjadi lambat.
Perubahan kecil membutuhkan birokrasi panjang.
Dan akhirnya banyak divisi mulai mencari jalan pintas di luar prosedur resmi.

Ini yang sering melahirkan:

• shadow process,
• shadow spreadsheet,
• bahkan shadow IT.

Ironisnya, semua itu muncul justru karena governance dianggap terlalu berat untuk dijalankan.

Di titik ini governance kehilangan fungsi utamanya.

Karena tujuan governance sebenarnya bukan membuat organisasi terlihat rumit.

Tujuannya jauh lebih praktis:

• membantu pengambilan keputusan,
• memperjelas kontrol,
• mengurangi risiko,
• dan memastikan teknologi benar-benar mendukung bisnis.

Kalau governance justru memperlambat bisnis tanpa memberi value yang terasa, berarti ada yang salah dengan prioritas implementasinya.

Baca juga : COBIT 2019 untuk Audit Tata Kelola TI, Inilah Checklist dan Area Evaluasi

Banyak Perusahaan Memulai COBIT 2019 dari Tempat yang Salah

Kalau dibedah lebih dalam, kegagalan governance sering dimulai bahkan sebelum implementasi berjalan.

Banyak organisasi memulai COBIT 2019 dengan pertanyaan seperti:

• “Framework apa saja yang harus dilengkapi?”
• “Bagaimana menaikkan maturity level?”
• “Apa yang biasanya diminta auditor?”
• “Domain mana yang populer dipakai perusahaan besar?”

Padahal pertanyaan yang jauh lebih penting justru:

• masalah operasional terbesar perusahaan apa,
• risiko paling berbahaya ada di mana,
• area mana yang paling sering memicu konflik,
• dan proses mana yang paling menghambat bisnis.

Perbedaannya terlihat sederhana.

Tetapi dampaknya sangat besar.

Governance yang dibangun berdasarkan tekanan audit biasanya hanya menghasilkan kepatuhan administratif.

Sementara governance yang dibangun berdasarkan kebutuhan bisnis biasanya menghasilkan perubahan operasional yang nyata.

Misalnya:

• incident lebih cepat tertangani,
• ownership lebih jelas,
• downtime berkurang,
• perubahan sistem lebih terkendali,
• dan komunikasi antar divisi membaik.

Itulah tanda governance mulai bekerja dengan benar.

Baca juga : 5 Proses Penting COBIT 2019 Melawan Ancaman Hacking dan Pencurian Data

COBIT 2019 Sebenarnya Fleksibel, Tapi Sering Diperlakukan seperti Checklist

Framework ISACA COBIT 2019 sebenarnya cukup modern.

Salah satu kekuatan terbesarnya justru ada pada fleksibilitas.

COBIT 2019 tidak dirancang agar semua organisasi menerapkan governance dengan pola yang sama. Framework ini menyediakan design factors dan focus area supaya governance system bisa disesuaikan dengan kondisi nyata perusahaan.

Dan ini penting.

Karena kebutuhan governance rumah sakit tentu berbeda dengan:

• fintech,
• perusahaan logistik,
• retail,
• manufaktur,
• atau startup digital.

Risk profile mereka berbeda.

Kompleksitas operasionalnya juga berbeda.

Begitu juga tekanan regulasi dan ketergantungan teknologinya.

Masalahnya, banyak implementasi COBIT masih dilakukan seperti menjalankan checklist compliance:

• domain dibuka satu per satu,
• semua objective ingin dijalankan,
• seluruh kontrol ingin diaktifkan,
• maturity ingin cepat naik.

Akibatnya organisasi kehilangan fokus.

Dan governance akhirnya terasa seperti proyek dokumentasi besar-besaran.

Kenapa Menentukan Prioritas Governance Objective Sangat Penting

Bayangkan perusahaan seperti kapal besar di tengah laut.

Kalau ada sepuluh masalah muncul bersamaan, kapten kapal tidak akan memperbaiki semuanya sekaligus.

Mereka akan fokus dulu pada:

• kebocoran paling berbahaya,
• mesin paling kritikal,
• atau area yang paling mengancam keselamatan perjalanan.

Governance bekerja dengan logika yang mirip.

Tidak semua objective punya urgensi yang sama.

Ada objective yang sifatnya foundational. Ada juga yang baru relevan ketika proses dasar organisasi sudah stabil.

Masalahnya, banyak perusahaan mencoba langsung masuk ke governance level advanced, padahal fondasi operasionalnya sendiri masih berantakan.

Mereka ingin:

• dashboard enterprise,
• integrated governance,
• advanced monitoring,
• automated compliance,

sementara:

• incident management belum stabil,
• ownership data masih kabur,
• approval perubahan sistem masih manual,
• dan dokumentasi dasar belum sinkron.

Ini seperti membangun lantai tiga sebelum pondasi rumah selesai.

Kelihatannya ambisius.
Tetapi sangat rapuh.

Baca juga : Peran Krusial COBIT 2019 dan ITIL v4 dalam Akselerasi Transformasi Digital

Kesalahan yang Paling Sering Terjadi Saat Menentukan Prioritas COBIT 2019

Menganggap Semua Objective Sama Penting

Ini kesalahan paling klasik.

Karena melihat COBIT memiliki banyak governance objective dan management objective, perusahaan merasa semuanya harus dijalankan bersamaan.

Hasilnya hampir selalu sama:

• tim governance kewalahan,
• implementasi kehilangan fokus,
• proses menjadi terlalu administratif,
• dan organisasi cepat lelah.

Padahal tidak semua objective memiliki dampak bisnis yang sama.

Ada objective yang dampaknya langsung terasa pada operasional. Ada juga yang sifatnya jangka panjang.

Kalau semuanya diperlakukan setara, organisasi akan kesulitan menentukan energi dan sumber daya harus difokuskan ke mana.

Terlalu Terobsesi dengan Maturity Level

Ada perusahaan yang sangat fokus pada kenaikan maturity score.

Setiap assessment harus naik.
Dashboard harus terlihat bagus.
Target level harus tercapai.

Masalahnya, maturity tinggi tidak otomatis berarti governance efektif.

Ada organisasi yang maturity-nya terlihat bagus di laporan, tetapi operasionalnya tetap penuh chaos.

Incident berulang.
Perubahan sistem tidak terkendali.
Vendor sulit diawasi.
Dan bisnis masih menganggap tim IT lambat.

Karena governance bukan perlombaan angka.

Kalau maturity meningkat tetapi problem bisnis tetap sama, berarti governance berjalan terlalu jauh dari realita operasional.

Meniru Prioritas Organisasi Lain

Ini jebakan yang sangat sering terjadi.

Perusahaan melihat governance structure organisasi besar lalu mencoba mengadopsinya secara penuh.

Padahal konteksnya berbeda.

Perusahaan enterprise dengan ribuan karyawan tentu memiliki kebutuhan governance yang tidak sama dengan perusahaan menengah yang masih membangun fondasi digitalnya.

Begitu juga organisasi yang heavily regulated akan berbeda dengan startup yang bergerak cepat dan eksperimental.

Framework boleh sama.

Tetapi prioritasnya tidak bisa disalin mentah-mentah.

Baca juga : Memahami 34 Domain Proses COBIT: Panduan Lengkap untuk Profesional IT

Cara Menentukan Prioritas Governance Objective COBIT 2019

Mulai dari Pain Point Operasional

Cara paling realistis menentukan prioritas sebenarnya cukup sederhana:
lihat area yang paling sering membuat bisnis frustrasi.

Biasanya governance gap terbesar muncul dari aktivitas operasional sehari-hari.

Contohnya:

• perubahan sistem sering menyebabkan gangguan,
• incident terlalu lama diselesaikan,
• vendor sulit dikontrol,
• approval project lambat,
• atau data antar divisi tidak sinkron.

Masalah seperti ini jauh lebih penting dibanding sekadar mengejar implementasi domain yang terlihat “strategis” di presentasi.

Karena governance seharusnya menyelesaikan problem nyata.

Bukan hanya mempercantik struktur organisasi.

Yang Sering Tidak Disadari Banyak Perusahaan

Sebagian besar governance failure sebenarnya bukan berasal dari kurangnya tools atau framework.

Masalah utamanya justru:

• prioritas yang salah,
• ownership yang kabur,
• dan governance yang terlalu fokus pada dokumen dibanding keputusan operasional sehari-hari.

Ini yang membuat banyak implementasi terlihat matang saat audit, tetapi lemah saat menghadapi tekanan operasional nyata.

Gunakan Enterprise Goals sebagai Arah Utama

COBIT 2019 menempatkan alignment bisnis sebagai inti governance.

Artinya governance objective harus mengikuti arah bisnis perusahaan.

Kalau perusahaan sedang fokus pada:

• keamanan data,
• stabilitas layanan,
• efisiensi biaya,
• transformasi digital,
• atau kepatuhan regulasi,

maka objective yang diprioritaskan tentu berbeda.

Berikut gambaran sederhananya:

Fokus Bisnis	Objective yang Relevan
Keamanan Informasi	APO13, DSS05, EDM03
Stabilitas Operasional	DSS02, DSS04
Kontrol Perubahan Sistem	BAI06
Monitoring Governance	MEA01
Pengelolaan Vendor	APO10
Audit dan Compliance	MEA03

Pendekatan seperti ini jauh lebih sehat dibanding implementasi semua domain secara membabi buta.

Evaluasi Risk Profile Secara Jujur

Ini bagian yang sering paling sulit dilakukan.

Karena banyak organisasi sebenarnya tahu area risikonya tinggi, tetapi tidak nyaman membahasnya secara terbuka.

Ada perusahaan yang:

• sangat bergantung pada vendor,
• punya kontrol akses lemah,
• belum memiliki disaster recovery memadai,
• atau masih bergantung pada proses manual kritikal.

Namun area tersebut sering “diperhalus” dalam diskusi internal agar tidak terlihat terlalu buruk.

Padahal governance yang efektif membutuhkan kejujuran operasional.

Kalau cyber risk meningkat, maka security governance harus menjadi prioritas.

Kalau problem terbesar ada pada perubahan sistem yang tidak terkendali, maka change management harus diperkuat lebih dulu.

Governance yang baik tidak dimulai dari pencitraan maturity.

Ia dimulai dari keberanian melihat kelemahan organisasi sendiri.

Objective COBIT 2019 yang Paling Sering Menjadi Prioritas

Walaupun kebutuhan tiap perusahaan berbeda, ada beberapa objective yang memang paling sering menjadi titik awal implementasi.

APO13 — Managed Security

Di banyak organisasi modern, cybersecurity hampir selalu menjadi prioritas utama.

Bukan hanya karena ancaman ransomware dan kebocoran data meningkat, tetapi karena hampir seluruh operasional bisnis sekarang bergantung pada sistem digital.

APO13 membantu organisasi memperkuat:

• governance keamanan,
• kontrol risiko,
• proteksi informasi,
• serta security awareness.

Dan menariknya, objective ini sering menjadi titik awal perubahan budaya keamanan di perusahaan.

DSS02 — Managed Service Requests and Incidents

Perusahaan dengan operasional digital tinggi biasanya sangat bergantung pada stabilitas layanan TI.

Ketika incident management buruk:

• eskalasi menjadi kacau,
• SLA tidak jelas,
• pengguna frustrasi,
• dan kepercayaan terhadap tim IT menurun.

Karena itu DSS02 sering menjadi objective dengan dampak paling cepat terasa.

BAI06 — Managed IT Changes

Ada satu realita yang cukup menarik.

Banyak gangguan sistem besar ternyata bukan berasal dari hacker.

Justru berasal dari perubahan internal yang tidak terkendali.

Ada update tanpa testing.
Ada deployment mendadak.
Ada konfigurasi berubah tanpa rollback plan.

Lalu ketika sistem down saat jam operasional kritikal, semua orang baru panik.

BAI06 membantu organisasi membangun kontrol perubahan yang jauh lebih sehat.

EDM03 — Ensured Risk Optimization

Banyak perusahaan punya data risiko, tetapi tidak benar-benar menggunakannya dalam pengambilan keputusan.

EDM03 membantu memastikan bahwa risk governance menjadi bagian dari strategi bisnis, bukan hanya laporan bulanan yang dibaca saat audit.

Governance yang Efektif Biasanya Tidak Terlihat “Wah”

Ini hal yang cukup menarik.

Governance yang benar-benar sehat justru sering terlihat sederhana.

Tidak terlalu birokratis.
Tidak terlalu banyak layer approval.
Dan tidak dipenuhi istilah yang rumit.

Tetapi operasionalnya stabil.

Incident lebih terkendali.
Perubahan sistem lebih aman.
Ownership lebih jelas.
Dan keputusan lebih cepat diambil.

Sebaliknya, governance yang terlalu kompleks sering menghasilkan organisasi yang lambat bergerak.

Karena itu maturity bukan soal seberapa rumit governance dibuat.

Melainkan seberapa efektif governance membantu bisnis berjalan dengan lebih sehat.

Baca juga : TOGAF 10 dan COBIT: Architecture-Runway Security & Compliance

Implementasi Governance Tidak Harus Langsung Besar

Banyak perusahaan gagal karena mencoba berubah terlalu cepat.

Mereka ingin:

• semua domain aktif,
• dashboard lengkap,
• governance enterprise-wide,
• maturity tinggi,
• semuanya dalam waktu singkat.

Padahal governance lebih mirip membangun kebiasaan organisasi dibanding menjalankan proyek teknologi.

Ia membutuhkan:

• adaptasi,
• ownership,
• perubahan budaya,
• dan konsistensi jangka panjang.

Karena itu pendekatan bertahap biasanya jauh lebih realistis.

Mulailah dari:

1. objective paling kritikal,
2. quick wins yang terasa,
3. proses inti yang paling berisiko,
4. lalu tingkatkan maturity secara bertahap.

Perusahaan yang terlalu agresif di awal biasanya justru kehilangan momentum sebelum governance benar-benar stabil.

Banyak Governance Baru Terlihat Lemah Saat Incident Besar Terjadi

Ada perusahaan yang merasa governance mereka sudah cukup baik.

Sampai suatu hari:

• ERP down saat closing bulanan,
• ransomware menyerang,
• vendor gagal deliver,
• atau perubahan sistem menyebabkan operasional lumpuh berjam-jam.

Dan di situlah governance diuji secara nyata.

Bukan saat audit berlangsung.

Tetapi saat organisasi berada di bawah tekanan.

Karena governance yang efektif seharusnya membantu perusahaan tetap terkendali bahkan ketika situasi mulai chaos.

Penutup

Banyak perusahaan merasa mereka kekurangan teknologi, padahal yang sebenarnya kurang adalah arah.

Dan tanpa governance yang tepat, teknologi hanya akan mempercepat kekacauan yang sudah ada sebelumnya.

Itulah kenapa menentukan prioritas governance objective COBIT 2019 menjadi sangat penting.

Bukan untuk terlihat mature di atas kertas.
Bukan sekadar memenuhi audit.
Dan bukan untuk mengejar checklist compliance.

Tetapi untuk memastikan bahwa teknologi benar-benar membantu bisnis bergerak lebih stabil, lebih aman, dan lebih terukur.

Karena governance yang berhasil biasanya tidak terlihat paling rumit.

Justru terasa paling relevan dengan masalah nyata perusahaan sehari-hari.

Soft Insight

Banyak organisasi baru menyadari governance gap setelah incident besar atau audit kritis terjadi. Karena itu, governance assessment sering menjadi langkah awal yang realistis untuk membantu perusahaan melihat objective COBIT 2019 mana yang benar-benar perlu diprioritaskan sesuai kondisi bisnis dan risiko operasionalnya.

FAQ

Apakah semua governance objective COBIT 2019 harus diterapkan?

Tidak. COBIT 2019 bersifat fleksibel dan dapat disesuaikan dengan kebutuhan organisasi. Perusahaan sebaiknya memprioritaskan objective yang paling relevan dengan risiko dan tujuan bisnisnya.

Apa governance objective COBIT 2019 yang paling sering diprioritaskan?

Beberapa objective yang paling umum menjadi fokus awal antara lain:

• APO13 — Managed Security
• DSS02 — Managed Service Requests and Incidents
• BAI06 — Managed IT Changes
• EDM03 — Ensured Risk Optimization

Kenapa implementasi governance sering gagal?

Biasanya karena:

• terlalu fokus pada compliance,
• mencoba menjalankan semua domain sekaligus,
• tidak memahami prioritas bisnis,
• atau governance tidak benar-benar menyelesaikan masalah operasional nyata.

Apakah COBIT 2019 hanya cocok untuk perusahaan besar?

Tidak. COBIT 2019 dapat diterapkan di berbagai jenis organisasi selama implementasinya disesuaikan dengan kebutuhan, risiko, dan kapasitas internal perusahaan.

Apa hubungan COBIT 2019 dengan manajemen risiko TI?

COBIT 2019 membantu organisasi memastikan bahwa risiko teknologi informasi dapat dikelola secara terukur dan tetap selaras dengan tujuan bisnis perusahaan.