1. METODOLOGI AUDIT TI
Metodologi umum dalam proses pemeriksaan insiden sampai proses hukum:
- Pengumpulan data/fakta dari sistem komputer (harddisk, usb-stick, log, memory-dump, internet, dll) – termasuk di dalamnya data yang sdh terhapus
- Mendokumentasikan fakta-fakta yang ditemukan dan menjaga integritas data selama proses forensik dan hukum dengan proteksi fisik, penanganan khusus, pembuatan image, dan menggunakan algoritma HASH untuk pembuktian / verifikasi
- Merunut kejadian (chain of events) berdasarkan waktu kejadian
- Memvalidasi kejadian2 tersebut dengan metode “sebab-akibat”
- Dokumentasi hasil yang diperoleh dan menyusun laporan
- Proses hukum (pengajuan delik, proses persidangan, saksi ahli, dll)
1. Tahapan Perencanaan.
Sebagai suatu pendahuluan mutlak perlu dilakukan agar auditor mengenal benar obyek yang akan diperiksa sehingga menghasilkan suatu program audit yang didesain sedemikian rupa agar pelaksanaannya akan berjalan efektif dan efisien.
2. Mengidentifikasikan reiko dan kendali.
Untuk memastikan bahwa qualified resource sudah dimiliki, dalam hal ini aspek SDM yang berpengalaman dan juga referensi praktik-praktik terbaik.
3. Mengevaluasi kendali dan mengumpulkan bukti-bukti.
Melalui berbagai teknik termasuk survei, interview, observasi, dan review dokumentasi.
4. Mendokumentasikan.
Mengumpulkan temuan-temuan dan mengidentifikasikan dengan auditee.
5. Menyusun laporan.
Mencakup tujuan pemeriksaan, sifat, dan kedalaman pemeriksaan yang dilakukan.
JENIS-JENIS AUDIT TI
1. Audit Around The Computer
Hanya memeriksa dari sisi user saja. Pada masukan dan keluarannya tidak memeriksa lebih lanjut terhadap sistemnya atau programnya. Dokuman sumber tersedia dalam bentuk kertas (bahasa non-mesin), artinya bentu tersebut masih bisa dilihat secara kasat mata. Dokumen-dokumen tersebut disimpan daam file dengan cara yang mudah ditemukan. Keluaran dari program tersebut dapat diperoleh dari daftar yang terinci dan auditor dapat dengan mudah menelusuri setiap transaksi dari dokumen.
Kelebihan:
1. Proses audit tidak memakan waktu lama karena hanya melakukan audit tidak secara mendalam.
2. Tidak harus mengetahui seuruh proses penanganan sistem.
3. Umumnya database mencangkup jumlah data yang banyak dan sulit untuk ditelusuri secara manual.
4. Tidak membuat auditor memahami sistem komputer dengan lebih baik.
5. Mengabaikan pengendalian sistem, sehingga rawan terhadap kesalahan dan kelemahan potensial dalam sistem.
6. Lebih berkenaan dengan hal yang lalu dari pada dengan audit yang preventif.
7. Kemampuan komputer sebagai fasilitas penunjang audit tidak terpakai.
8. Tidak mencakup keseluruhan maksud dan tujuan auditor.
2. Audit Through The Computer
Dimana selain auditor memeriksa data masukan dan keluaran, auditor juga melakukan uji coba proses program dan sistemnya, atau yang biasa disebut dengan white box, sehingga auditor dapat merasakan sendiri langkah demi langkah pelaksanaan sistem serta mengetahui bagaimana sistem dapat dijalankan pada proses tertentu.
Kelebihan:
1. Dapat meningkatkan kekuatan pengujian sistem aplikasi secara efektif.
2. Dapat memeriksa secara langsung logika pemprosesan dan sistem aplikasi.
3. Kemampuan sistem yang dapat menangani perubahan dan kemungkinan kehilangan yang terjadi pada masa yang akan datang.
4. Auditor memperoleh kemampuan yang besar dan efektif dalam melakukan pengujian terhadap kebenaran hasil kerjanya.
2. ALASAN PERLU AUDIT TI
Menurut Weber (1999) terdapat beberapa alasan mendasar mengapa organisasi perlu melakukan audit sebagai evaluasi dan pengendalian terhadap sistem yang digunakan oleh organisasi :
1. Pencegahan terhadap biaya organisasi untuk data yang hilang
Kehilangan data dapat terjadi karena ketidakmampuan pengendalian terhadap pemakaian komputer. Kelalaian dengan tidak menyediakan backup yang memadai terhadap file data, sehingga kehilangan file dapat terjadi karena program komputer yang rusak, adanya sabotase, atau kerusakan normal yang membuat file tersebut tidak dapat diperbaiki sehingga akhirnya membuat kelanjutan operasional organisasi menjadi terganggu.
2. Pengambilan keputusan yang tidak sesuai
Membuat keputusan yang berkualitas tergantung pada kualitas data yang akurat dan kualitas dari proses pengambilan keputusan itu sendiri. Pentingnya data yang akurat bergantung kepada jenis keputusan yang akan dibuat oleh orang – orang yang berkepentingan di suatu organisasi.
3. Penyalahgunaan komputer
Penyalahgunaan komputer memberikan pengaruh kuat terhadap pengembangan EDP audit maka untuk dapat memahami EDP audit diperlukan pemahaman yang baik terhadap beberapa kasus penyalahgunaan komputer yang pernah terjadi.
4. Nilai dari perangkat keras komputer, perangkat lunak dan personel
Disamping data, hardware dan software serta personel komputer juga merupakan sumber daya yang kritikal bagi suatu organisasi, walaupun investasi hardware perusahaan sudah dilindungi oleh asuransi, tetapi kehilangan hardware baik terjadi karena kesengajaan maupun ketidaksengajaan dapat mengakibatkan gangguan. Jika software rusak akan mengganggu jalannya operasional dan bila software dicuri maka informasi yang rahasia dapat dijual kepada kompetitor. Personel adalah sumber daya yang paling berharga, mereka harus dididik dengan baik agar menjadi tenaga handal dibidang komputer yang profesional.
5. Biaya yang tinggi untuk kerusakan komputer
Saat ini pemakaian komputer sudah sangat meluas dan dilakukan juga terhadap fungsi kritis pada kehidupan kita. Kesalahan yang terjadi pada komputer memberikan implikasi yang luar biasa, sebagai contoh data error mengakibatkan jatuhnya pesawat di Antartika yang menyebabkan 257 orang meninggal atau seseorang divonis masuk penjara karena kesalahan data di komputer.
6. Kerahasiaan
Banyak data tentang diri pribadi yang saat ini dapat diperoleh dengan cepat, dengan adanya komputerisasi kependudukan maka data mengenai seseorang dapat segera diketahui termasuk hal – hal pribadi.
7. Pengontrolan penggunaan komputer
Teknologi adalah hal yang alami, tidak ada teknologi yang baik atau buruk. Pengguna teknologi tersebut yang dapat menentukan apakah teknologi itu akan menjadi baik atau malah menimbulkan gangguan. Banyak keputusan yang harus diambil untuk mengetahui apakah komputer digunakan untuk suatu hal yang baik atau buruk.
3. MANFAAT AUDIT TI
A. Manfaat pada saat Implementasi (Pre-Implementation Review)
1. Institusi dapat mengetahui apakah sistem yang telah dibuat sesuai dengan kebutuhan ataupun memenuhi acceptance criteria.
2. Mengetahui apakah pemakai telah siap menggunakan sistem tersebut.
3. Mengetahui apakah outcome sesuai dengan harapan manajemen.
B. Manfaat setelah sistem live (Post-Implementation Review)
1. Institusi mendapat masukan atas risiko-risiko yang masih yang masih ada dan saran untuk penanganannya.
2. Masukan-masukan tersebut dimasukkan dalam agenda penyempurnaan sistem, perencanaan strategis, dan anggaran pada periode berikutnya.
3. Bahan untuk perencanaan strategis dan rencana anggaran di masa mendatang.
4. Memberikan reasonable assurance bahwa sistem informasi telah sesuai dengan kebijakan atau prosedur yang telah ditetapkan.
5. Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan pemeriksaan.
6. Membantu dalam penilaian apakah initial proposed values telah terealisasi dan saran tindak lanjutnya.
