RISK IT

 Manajemen risiko adalah tentang membantu perusahaan mengambil risiko dalam mengejar pengembalian.  Sebuah karakteristik budaya resiko menawarkan pengaturan di mana komponen risiko dibahas terbuka, dan tingkat risiko yang dapat diterima dan dipahami serta dipertahankan. Sebuah budaya risiko dimulai dari bagian atas, dengan direksi dan eksekutif bisnis yang bertindak untuk mengatur arah berkomunikasi. Risk awareness atau kesadaran tentang resiko juga menyiratkan bahwa semua tingkatan dalam perusahaan menyadari bagaimana untuk menanggapi peristiwa IT merugikan bagi perusahaan

    Budaya risiko adalah sebuah konsep yang tidak mudah untuk menggambarkan. Budaya resiko 

terdiri dari serangkaian perilaku, seperti yang ditunjukkan pada gambar berikut

Menurut ISACA , hubungan antara IT Risk Framework dan ISO 31000 (manajemen resiko menurut iso.org)  terlihat pada tabel berikut

ITAF

ITAF adalah model yang komprehensif dan memberikan panduan praktek tentang penerapan nya, meliputi :

• Memberikan bimbingan pada desain, pelaksanaan dan pelaporan IS audit dan jaminan tugas
• Mendefinisikan istilah dan konsep spesifik untuk jaminan IS
• Menetapkan standar bahwa alamat IS audit dan jaminan peran dan tanggung jawab profesional; pengetahuan dan keterampilan dan ketekunan, perilaku dan persyaratan pelaporan

ITAF menyediakan satu sumber di mana IS audit dan jaminan profesional dapat mencari bimbingan, kebijakan dan prosedur penelitian, mendapatkan program audit dan jaminan, dan mengembangkan laporan yang efektif.

Sementara ITAF menggabungkan standar ISACA yang ada dan bimbingan, telah dirancang untuk menjadi dokumen hidup. Sebagai pedoman baru dikembangkan dan diterbitkan, itu akan diindeks dalam kerangka dan membuat tersedia untuk anggota ISACA.

Beberapa keuntungan menggunakan model ITAF

• ITAF lebih menitikberatkan pada proses audit, tidak seperti metode lain (COBIT, ITIL, dsb) yang lebih memfokuskan pada tata kelola TI.
• ITAF didesain untuk profesional yang bergerak di bidang jasa audit atau assurance sehingga cocok diterapkan oleh lembaga 
• Prosedur, metode dan istilah-istilah dalam ITAF lebih familiar, mudahdimengerti dan diterapkan oleh auditor 

Gambar 1. Taxonomi ITAF (Veronica, 2013)

Standar umum adalah prinsip-prinsip di mana IS audit dan jaminan profesional beroperasi. Prinsip dan jaminan tersebut berlaku untuk pelaksanaan semua tugas dan penanganan audit IS dan jaminan profesional etika, kemandirian, objektivitas dan perawatan karena, serta pengetahuan, kompetensi dan keterampilan. Standar umum ini mencakup audit charter, independensi organisasi, independensi tenaga profesional, ekspektasi yang logis, perlindungan tenaga profesional, profil, pernyataan tegas dan kriteria. Audit charter memastikan adanya fungsi audit yang jelas mencakup tujuan, tanggung jawab dan akuntabilitas audit. Independensi organisasi memastikan fungsi audit berlaku objektif pada seluruh bagian organisasi dan selurh proses di dalamnya. Independensi tenaga profesional memastikan auditor berperilaku sama kepada seluruh auditee termasuk sikap perilaku dalam proses audit. Ekspektasi yang logis memastikan ekspektasi audit yang rasional dengan standar peraturan yang berlaku dan opini tenaga audit profesional. Perlindungan tenaga profesional dalam arti ketaatan terhadap standar audit yang berlaku dalam perencanaan, proses hingga pelaporan. Profil terkait hasil audit atau penilaian lain yang sebelumnya telah dilakukan dan kompetensi auditor yang melakukan tugas audit di perusahaan. Pernyataan tegas yang menegaskan bahwa proses audit telah dilakukan pada bagian tertentu dengan memberikan hasil audit yang dikategorikan sebagai mencukupi, valid dan relevan. Kriteria yang digunakan harus menjawab kebutuhan informasi audit seperti asasaran audit, keutuhan, relevan, terukur, dapat dimengerti, dikenal umum (penggunaan standar) dan sesuai dengan pengguna hasil audit.

Standar performa audit membangun ekspektasi audit. Standar performa berfokus pada audit sistim informasi dan menjamin perhatian tenaga profesional dalam menjamin desain kerja, jaminan pelaksanaan, kecukupan bukti dan pembanguna audit sistim informasi. Standar performa mencakup perencanaan perjanjian, perencanaan penilaian risiko, performa dan supervisi, materi, bukti, penggunaan hasil kerja tenaga profesional (yang sudah ada) dan hukum. Perencanaan perjanjian mencakup sasaran, ruang lingkup, waktu dan penyampaian hasil audit, kepatuhan audit dengan standar audit, penggunaan pendekatan berbasis risiko serta dokumentasi dan pelaporan audit. Perencanaan penilaian risiko memastikan dan menjamin audit menggunakan metodologi yang tepat dalam menentukan prioritas alokasi sumber daya sistim informasi yang ada. Performa dan supervisi memastikan proses audit sesuai dengan rencana audit yang telah disetujui/ disahkan, memastikan auditor diawasi dalam melakukan audit yang sesuai dengan ketentuan standar audit. Materi audit harus dapat menunjukkan kelemahan atau ketidaklengkapan kontrol, keterkaitan antara materi audit dengan materi lain yang berhubungan, dan efek/ dampak yang terakumulasi yang mungkin timbul. Bukti wajib ditemukan oleh auditor untuk ditunjukkan dan dilapirkan pada laporan hasil audit. Penggunaan hasil kerja tenaga profesional bermaksud menunjukkan adanya hasil audit yang telah dilakukan, kompetensi tenaga audit profesional serta standar audit yang digunakan. Hukum menegaskan dan menjamin bahwa tenga profesional audit dapat berhadapan dengan hukum yang berlaku apabila proses audit dijalankan tidak sesuai dengan peraturan/ standar hukum yang berlaku.

Standar pelaporan menjamin hasil audit dapat memiliki keseragaman bentuk laporan, menyediakan informasi sesuai level penilaian yang dilakukan. Standar pelaporan mencakup pelaporan dan aktifitas tindak lanjut. Pelaporan audit harus dapat menginformasikan pemenuhan perjanjian yang mencakup identifikasi organisasi, pengguna yang relevan, materi audit, ruang lingkup, sasaran perjanjian, waktu audit dan proses audit. Pelaporan juga harus mencantumkan bukti temuan, rekomendasi dan kesimpulan pelaksanaan audit. Aktifitas tindak lanjut menjamin tenaga audit profesional memonitor arus informasi yang relevan dalam manajemen respon terhadap temuan dan rekomendasi dalam hasil audit.

Val IT Framework

 

    Val IT  diprakarsai oleh Information Technology Governance Institute (ITGI) melalui pengalaman sekumpulan tim yang terdiri dari para praktisi, akademisi, serta praktek-praktek, beberapa metodologi, dan penelitian untuk mengembangkan kerangka kerja Val  IT. Perkembangan  kerangka  kerja  Val  IT  ini  melalui  beberapa  aktivitas penelitian,  publikasi  dan  layanan  pendukung.  Inisiatif Val  IT  ini  diilustrasikan  pada gambar di samping ini.

Berdasarkan  gambar  disamping Val  IT  memberikan  pedoman,  proses-proses  dan dukungan  praktis  untuk  membantu  pimpinan  dan  manajemen  ekskutif  dalam memahami  dan  melaksanakan  peran  yang  sesuai  dengan investasi  teknologi informasi.   Val  IT  memfokuskan  pada  keputusan  investasi (are  we  doing  the  right things?) dan merealisasikan keuntungan (are we getting the benefits?). 

Sebagai respon terhadap kebutuhan mengenai hal inilah kemudian ISACA meluncurkan sebuah framework yang memberi arahan bagaimana manajemen nilai ini diterapkan. Dan framewokr tersebut diberi nama Val IT.

Framework Val IT  yang membahas GEIT ini memiliki fokus utama pada manajemen dan penciptaan value dari IT. Framework ini dimulai dari premis bahwa penciptaan nilai dari investasi IT merupakan tanggung-jawab dari manajemen bisnis. Nah, untuk membantu manajemen bisnis dalam mengorganisasikan dan menjalankan tanggung-jawabnya tersebut, Val IT mendefinisikan 22 proses bisnis terkait IT, praktik-praktik manajemen utama yang berkaitan, panduan manajemen berikut model kematangannya.

Bagaimana hubungannya dengan CobiT?

Val IT bersifat komplementer terhadap COBIT dan bahkan mengikuti struktur dan template yang sama. Val IT memiliki 22 proses yang dikelompokkan ke dalam tiga domain, yaitu:

(1) Value Governance (VG);

(2) Portfolio Management (PM); dan

(3) Investment Management (IM).

Domain VG membahas mengenai struktur dan proses-proses yang dibutuhkan untuk memastikan praktik-praktik manajemen nilai telah berjalan di organisasi. Domain ini mencakup keterlibatan kepemimpinan (VG1), definisi dan implementasi praktik-praktik manajemen nilai (VG2), dan integrasi manajemen nilai dengan proses-proses manajemen finansial organisasi (VG4). Domain ini juga membahas mengenai tipe-tipe portofolio dan kriteria yang perlu ditentukan oleh bisnis (VG3), bahwa monitoring tata kelola yang efektif mesti diterapkan di atas praktik-praktik manajemen nilai (VG5), dan harus ada siklus perbaikan yang berkesinambungan berdasarkan lesson learned sebelumnya (VG6). Proses-proses pada domain ini berlaku sebagai payung yang menaungi proses-proses pada domain Val IT lannya.

Domain PM membahas mengenai proses-proses yang dibutuhkan untuk mengelola seluruh portofolio investasi-investasi TI. Domain ini mengatur bahwa arahan strategis dari organisasi mesti diklarifikasi dan bahwa target portofolio mesti ditetapkan (PM1). Juga, sumber daya yang tersedia terkait dengan pendanaan (PM2) dan SDM (PM3) perlu diinventarisasi. Berdasarkan justifikasi bisnis yang detail hasil proses pada domain IM (IM1-1M5), maka kemudian program-program investasi tersebut dipilih dan dipindahkan ke portofolio aktif (PM4). Kinerja dari portofolio aktif ini perlu dimonitor secara kontinu dan dilaporkan (PM5) serta terus dioptimalisasi (PM6) berdasarkan laporan-laporan kinerja yang keluar dari proses-proses IM.

Proses-proses pada domain IM ini sudah bekerja pada level individual suatu investasi IT tertentu. Lima proses pertama dalam domain ini fokus pada munculnya peluang-peluang investasi baru di organisasi (IM1) dan pembuatan justifikasi bisnis yang rinci (IM5) untuk peluang-peluang yang sudah disetujui, termasuk analisis terhadap aksi-aksi yang dapat dilakukan (IM2), pendefinisian rencana detail program (IM3) dan analisis cost-benefit secara keseluruhan (IM4). Setelah persetujuan terhadap justifikasi bisnis rinci (PM4), program-program investasi baru diluncurkan (IM6) dan dimonitor (IM8) dan, jika perlu, justifikasi bisnis dapat juga diupdate (IM9). Semua program investasi perlu ada masa akhir berlakunya (IM10), yaitu ketika disepakati bahwa nilai bisnis yang diharapkan dari investasi telah dapat tercapai atau sebaliknya jika jelas-jelas tidak akan dapat tercapai. Selain itu perubahan pada portofolio operasional IT, sebagai hasil dari program investasi, perlu dimasukkan ke dalam portofolio layanan-layanan IT, aset atau sumber dayanya (IM7).

Secara sederhana sebenarnya nilai (value) merupakan relasi antara ekspektasi dari para pihak yang berkepentingan dengan kemampuan sumber daya untuk mewujudkannya. Dan tujuan dari manajemen nilai –seperti halnya Val IT ini—ini intinya adalah untuk merekonsiliasi kesenjangan diantara kedua hal tersebut. Ya, bagaimana mengatur agar sumber daya yang dikeluarkan dapat memenuhi ekspektasi dan juga sebaliknya, bagaimana ekspektasi dapat disesuaikan dengan kemampuan sumber daya yang dimiliki. Definisi yang sederhana tapi tentu tidak sederhana dalam mewujudkannya. Justru disinilah framework semacam Val IT ini diharapkan dapat membantu.

IMPLEMENTASI COBIT

Pengertian COBIT 

     COBIT (Control Objectives for Information and Related Technology) adalah sebuah proses model yang dikembangkan untuk membantu perusahaan dalam pengelolaan sumber daya teknologi informasi (IT). Proses model ini difokuskan pada pengendalian terhadap masing-masing dari 34 proses IT, meningkatkan tingkatan kemapanan proses dalam IT dan memenuhi ekspektasi bisnis dari IT.

     COBIT menciptakan sebuah jembatan antara manajemen TI dan para eksekutif bisnis. COBIT mampu menyediakan bahasa yang umum sehingga dapat dipahami oleh semua pihak. Adopsi yang cepat dari COBIT di seluruh dunia dapat dikaitkan dengan semakin besarnya perhatian yang diberikan terhadapcorporate governance dan kebutuhan perusahaan agar mampu berbuat lebih dengan sumber daya yang sedikit meskipun ketika terjadi kondisi ekonomi yang sulit.

     Fokus utama dari COBIT ini adalah harapan bahwa melaui adopsi COBIT ini, perusahaan akan mampu meningkatkan nilai tambah melalui penggunaan TI dan mengurangi resiko-resiko inheren yang teridentifikasi didalamnya.

     COBIT dikembangkan oleh IT Governance Institute (ITGI), yang merupakan bagian dari Information Systems Audit and Control Association (ISACA). Saat ini pengembangan terbaru dari standar ini adalah COBIT Edisi 5.0.

     COBIT mendukung tata kelola TI dengan menyediakan kerangka kerja untuk mengatur keselarasan TI dengan bisnis. Selain itu, kerangka kerja juga memastikan bahwa TI memungkinkan bisnis, memaksimalkan keuntungan, resiko TI dikelola secara tepat, dan sumber daya TI digunakan secara bertanggung jawab (Tanuwijaya dan Sarno, 2010).

    COBIT merupakan standar yang dinilai paling lengkap dan menyeluruh sebagai framework IT audit karena dikembangkan secara berkelanjutan oleh lembaga swadaya profesional auditor yang tersebar di hampir seluruh negara. Dimana di setiap negara dibangun chapter yang dapat mengelola para profesional tersebut.

Kerangka Kerja COBIT

Kerangka kerja COBIT terdiri atas beberapa arahan/pedoman, yakni:

·  Control Objectives

Terdiri atas 4 tujuan pengendalian tingkat-tinggi (high-level control objectives) yang terbagi dalam 4 domain, yaitu : Planning & Organization , Acquisition & Implementation, Delivery & Support , dan Monitoring & Evaluation.

·  Audit Guidelines

Berisi sebanyak 318 tujuan-tujuan pengendalian yang bersifat rinci (detailed control objectives) untuk membantu para auditor dalam memberikan management assurancedan/atau saran perbaikan.

·  Management Guidelines

Berisi arahan, baik secara umum maupun spesifik, mengenai apa saja yang mesti dilakukan, terutama agar dapat menjawab pertanyaan-pertanyaan berikut :

v  Sejauh mana TI harus bergerak atau digunakan, dan apakah biaya TI yang dikeluarkan sesuai dengan manfaat yang dihasilkannya.

v  Apa saja indikator untuk suatu kinerja yang bagus.

v  Apa saja faktor atau kondisi yang harus diciptakan agar dapat mencapai sukses (critical success factors ).

v  Apa saja risiko-risiko yang timbul, apabila kita tidak mencapai sasaran yang ditentukan.

v  Bagaimana dengan perusahaan lainnya, apa yang mereka lakukan. 

v  Bagaimana mengukur keberhasilan dan bagaimana pula membandingkannya.

Manfaat dan Pengguna COBIT

Secara manajerial target pengguna COBIT dan manfaatnya adalah :

·  Direktur dan Eksekutif

Untuk memastikan manajemen mengikuti dan mengimplementasikan strategi searah dan sejalan dengan TI.

·  Manajemen

v  Untuk mengambil keputusan investasi TI.

v  Untuk keseimbangan resiko dan kontrol investasi.

v  Untuk benchmark lingkungan TI sekarang dan masa depan.

·  Pengguna

Untuk memperoleh jaminan keamanan dan control produk dan jasa yang dibutuhkan secara internal maupun eksternal.

·  Auditors

v  Untuk memperkuat opini untuk manajemen dalam control internal.

v  Untuk memberikan saran pada control minimum yang diperlukan.

COBIT Maturity Model

COBIT menyediakan parameter untuk penilaian setinggi dan sebaik apa pengelolaan IT pada suatu organisasi dengan menggunakan maturity models yang bisa digunakan untuk penilaian kesadaran pengelolaan (management awareness) dan tingkat kematangan (maturity level). COBIT mempunyai model kematangan (maturity models) untuk mengontrol proses-proses IT dengan menggunakan metode penilaian (scoring) sehingga suatu organisasi dapat menilai proses-proses IT yang dimilikinya dari skala nonexistent sampai dengan optimised (dari 0 sampai 5), yaitu: 0: Non Existen, 1: Initial, 2: Repetable, 3: Defined, 4: Managed dan 5: Optimized  (Purwanto dan Saufiah, 2010; Setiawan, 2008; Nurlina dan Cory, 2008). 

AUDIT SISTEM INFORMASI

Pengendalian Jejak Audit

Pengertian Audit IT

Audit IT adalah suatu proses kontrol pengujian terhadap infrastruktur teknologi informasi dimana berhubungan dengan masalah audit finansial dan audit internal. Audit IT lebih dikenal dengan istilah EDP Auditing (Electronic Data Processing), biasanya digunakan untuk menguraikan dua jenis aktifitas yang berkaitan dengan komputer. Salah satu penggunaan istilah tersebut adalah untuk menjelaskan proses penelahan dan evaluasi pengendalian-pengendalian internal dalam EDP. Jenis aktivitas ini disebut sebagai auditing melalui komputer. Penggunaan istilah lainnya adalah untuk menjelaskan pemanfaatan komputer oleh auditor untuk melaksanakan beberapa pekerjaan audit yang tidak dapat dilakukan secara manual. Jenis aktivitas ini disebut audit dengan komputer.

Audit IT sendiri merupakan gabungan dari berbagai macam ilmu, antara lain Traditional Audit, Manajemen Sistem Informasi, Sistem Informasi Akuntansi, Ilmu Komputer, dan Behavioral Science. Audit IT bertujuan untuk meninjau dan mengevaluasi faktor-faktor ketersediaan (availability), kerahasiaan (confidentiality), dan keutuhan (integrity) dari sistem informasi organisasi.

Sejarah singkat Audit IT

Audit IT yang pada awalnya lebih dikenal sebagai EDP Audit (Electronic Data Processing) telah mengalami perkembangan yang pesat. Perkembangan Audit IT ini didorong oleh kemajuan teknologi dalam sistem keuangan, meningkatnya kebutuhan akan kontrol IT, dan pengaruh dari komputer itu sendiri untuk menyelesaikan tugas penting. Pemanfaatan teknologi komputer ke dalam sistem keuangan telah mengubah cara kerja sistem keuangan, yaitu dalam penyimpanan data, pengambilan kembali data, dan pengendalian. Sistem keuangan pertama yang menggunakan teknologi komputer muncul pertama kali tahun 1954. Selama periode 1954 sampai dengan 1960-an profesi audit masih menggunakan komputer. Pada pertengahan 1960-an terjadi perubahan pada mesin komputer, dari mainframe menjadi komputer yang lebih kecil dan murah. Pada tahun 1968, American Institute of Certified Public Accountants (AICPA) ikut mendukung pengembangan EDP auditing. Sekitar periode ini pula para auditor bersama-sama mendirikan Electronic Data Processing Auditors Association (EDPAA). Tujuan lembaga ini adalah untuk membuat suatu tuntunan, prosedur, dan standar bagi audit EDP. Pada tahun 1977, edisi pertama Control Objectives diluncurkan. Publikasi ini kemudian dikenal sebagai Control Objectives for Information and Related Technology (CobiT). Tahun 1994, EDPAA mengubah namanya menjadi Information System Audit (ISACA). Selama periode akhir 1960-an sampai saat ini teknologi TI telah berubah dengan cepat dari mikrokomputer dan jaringan ke internet. Pada akhirnya perubahan-perubahan tersebut ikut pula menentukan perubahan pada audit IT.

Jenis Audit IT
1. Sistem dan aplikasi.
Audit yang berfungsi untuk memeriksa apakah sistem dan aplikasi sesuai dengan kebutuhan organisasi, berdayaguna, dan memiliki kontrol yang cukup baik untuk menjamin keabsahan, kehandalan, tepat waktu, dan keamanan pada input, proses, output pada semua tingkat kegiatan sistem.
2. Fasilitas pemrosesan informasi.
Audit yang berfungsi untuk memeriksa apakah fasilitas pemrosesan terkendali untuk menjamin ketepatan waktu, ketelitian, dan pemrosesan aplikasi yang efisien dalam keadaan normal dan buruk.
3. Pengembangan sistem.

Audit yang berfungsi untuk memeriksa apakah sistem yang dikembangkan mencakup kebutuhan obyektif organisasi.
4. Arsitektur perusahaan dan manajemen TI.
Audit yang berfungsi untuk memeriksa apakah manajemen TI dapat mengembangkan struktur organisasi dan prosedur yang menjamin kontrol dan lingkungan yang berdaya guna untuk pemrosesan informasi.
5. Client/Server, telekomunikasi, intranet, dan ekstranet.

Suatu audit yang berfungsi untuk memeriksa apakah kontrol-kontrol berfungsi pada client, server, dan jaringan yang menghubungkan client dan server.


Alasan dilakukannya Audit IT
Ron Webber, Dekan Fakultas Teknologi Informasi, monash University, dalam salah satu bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan, antara lain:
1.Kerugian akibat kehilangan data.
2.Kesalahan dalam pengambilan keputusan.
3.Resiko kebocoran data.
4.Penyalahgunaan komputer.
5.Kerugian akibat kesalahan proses perhitungan.
6.Tingginya nilai investasi perangkat keras dan perangkat lunak komputer.

Manfaat Audit IT

A. Manfaat pada saat Implementasi (Pre-Implementation Review)
1. Institusi dapat mengetahui apakah sistem yang telah dibuat sesuai dengan kebutuhan ataupun memenuhi acceptance criteria.
2. Mengetahui apakah pemakai telah siap menggunakan sistem tersebut.
3. Mengetahui apakah outcome sesuai dengan harapan manajemen.

B. Manfaat setelah sistem live (Post-Implementation Review)
1. Institusi mendapat masukan atas risiko-risiko yang masih yang masih ada dan saran untuk penanganannya.
2. Masukan-masukan tersebut dimasukkan dalam agenda penyempurnaan sistem, perencanaan strategis, dan anggaran pada periode berikutnya.
3. Bahan untuk perencanaan strategis dan rencana anggaran di masa mendatang.
4. Memberikan reasonable assurance bahwa sistem informasi telah sesuai dengan kebijakan atau prosedur yang telah ditetapkan.
5. Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan pemeriksaan.
6. Membantu dalam penilaian apakah initial proposed values telah terealisasi dan saran tindak lanjutnya.

Metodologi Audit IT.
Dalam praktiknya, tahapan-tahapan dalam audit IT tidak berbeda dengan audit pada umumnya, sebagai berikut :
Tahapan Perencanaan.
Sebagai suatu pendahuluan mutlak perlu dilakukan agar auditor mengenal benar obyek yang akan diperiksa sehingga menghasilkan suatu program audit yang didesain sedemikian rupa agar pelaksanaannya akan berjalan efektif dan efisien.
Mengidentifikasikan reiko dan kendali.
Untuk memastikan bahwa qualified resource sudah dimiliki, dalam hal ini aspek SDM yang berpengalaman dan juga referensi praktik-praktik terbaik.
Mengevaluasi kendali dan mengumpulkan bukti-bukti.
Melalui berbagai teknik termasuk survei, interview, observasi, dan review dokumentasi.
Mendokumentasikan.
Mengumpulkan temuan-temuan dan mengidentifikasikan dengan auditee.
Menyusun laporan.
Mencakup tujuan pemeriksaan, sifat, dan kedalaman pemeriksaan yang dilakukan.

Alasan dilakukannya Audit IT.
Ron Webber, Dekan Fakultas Teknologi Informasi, monash University, dalam salah satu bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan, antara lain:
Kerugian akibat kehilangan data.
Kesalahan dalam pengambilan keputusan.
Resiko kebocoran data.
Penyalahgunaan komputer.
Kerugian akibat kesalahan proses perhitungan.
Tingginya nilai investasi perangkat keras dan perangkat lunak komputer.

Resiko kecurangan
auditing yang diterima umum mengharuskan auditor untuk menilai resiko kesalahan pernyataan material sampai kecurangan. Ketika auditor mempertimbangkan resiko bawaan dan resiko pengendalian, auditor juga harus mempertimbangkan resiko kecurangan. Auditor biasanya mempertimbangkan resiko kesalahan pernyataan material dengan membagi dua tipe kecurangan: kecurangan laporan keuangan dan penyalahgunaan asset. Segitiga kecurangan yang menggambarkan aspek umum dari seluruh kecurangan, yaitu:
1. Kesempatan untuk melakukan kecurangan.
2. Insentive atau tekanan
3. Kemampuan untuk merasionalisasi kecurangan menjadi konsisten dengan nilai kepantasan internal.
Pada tahap awal audit, tim audit menyewa dalam sesi brainstorming untuk memastikan setiap orang dalam tim audit menyadari faktor-faktor potensi resiko yang dapat meningkatkan resiko kecurangan.
Contoh umum kecurangan laporan keuangan mengakibatkan penadapatan yang lebih besar dari sebenarnya. Pertama, kecurangan laporan keuangan biasanya mengakibatkan beberapa level manajemen mengesampingkan pengendalian internal (pengendalian resiko) yang memperbolehkan kesempatan untuk manajer akuntansi salah menyatakan pendapatan. Kedua, hal itu biasanya mengakibatkan dorongan dalam bonus atau tekanan yang signifikan dari menajer senior untuk terget pendapatan (resiko bawaan).
Sama halnya, penyalahgunakan asset menyebabkan faktor kecurangan umum yang sama. Biasanya penyahgunaan asset berhubungan dengan kesempatan yang diciptakan oleh pemisahan kemiskinan dari kewajiban dan kemiskinan atau pengendalian internal yang tidak efektif (resiko pengendalian tinggi).

Mengembangkan strategi audit pendahuluan
Auditor kadang membuat keputusan pendahuluan tentang komponen model resiko audit dan mengembangkan strategi pendahhuluan untuk mengumpulkan bukti-bukti. Audit sekarang ini, auditor mengawali audit dengan pengalaman sebelumnya pada suatu entitas. Setelah memperbaharui pengetahuan perubahan dalam entitas dan lingkungan, dan menjalankan sedikit prosedur rencana audit awal, auditor mungkin harus memulai untuk mengembangkan harapan apakah pengendalian internal melanjutkan untuk berfungsi sesuai diharapkan, dan apakah faktor lain tetap yang mengkun mengindikasikan potensi kesalahan pelaporan. Auditor kadang mengembangkan strategi audit awal untuk mengaudit asersi.

Memahami pengendalian internal
Auditor diharuskan mendapatkan pemahaman sistem entitas dari pengendalian internal di setiap audit. Auditor menggunakan pemahaman ini untuk:
1. Mengidentifikasi jenis-jenis potensi kesalahan pelaporan.
2. Mempertimbangan faktor-faktor efek resiko meterialitas kesalahan pelaporan.
3. Mendesain bawaan, pemilihan waktu dan luasnya prosedur audit lanjutan.
Pertama, auditor menggunakan pemahaman pengendalian internal untuk mengidentifikasi tipe potensi kesalahan pelaporan yang mungkin terjadi. Contohnya, meninjau sistem pendapatan gereja yang memberikan kontribusi kas yang signifikan. Bawaan penerimaan entitas menciptakan urusan diatas kelengkapan penerimaan.
Kedua, auditor biasanya paham bagaimana sistem pengendalian internal akan mencegah, atau mendeteksi dan mengoreksi, potensi kesalahan pelaporan untuk asersi tiap laporan keuangan. Sistem yang kuat dari pengendalian internal mengurangi potensial kesalahan pelaporan laporan keuangan.
Terakhir, auditor menggunakan pemanaman sistem pengendalian internal untuk mendesain prosedur audit lanjutan untuk mengumpulkan bukti. Contohnya, dokumentasi atau jejak audit elektronik adalah bagian pengendalian internal. Ini penting untuk memahami sitem ini guna mengidentifikasi bukti yang tepat untuk menguji asersi laporan keuangan.

Hubungan faktor resiko dengan potensi kesalahan pelaporan laporan keuangan
Awalnya, auditor harus menghubungkan faktor resiko yang teridentifikasi selama menalankan prosedur penaksiran resiko yang berpotensi pada kesalahan pelaporan pada laporan keuangan. Contohnya, auditor harus memahami apakah kesalahan pelaporan seperti pada penualan dan penerimaan, atau inventori, atau pada akuntasi untuk harta tetap. Auditor juga harus memahami apakah faktor, seperti kelemahan sistem pengendalian internal, apakah masa sekarang akan memberikan efek pada laporan keuangan.

Menentukan Besarnya Potensi Kesalahan
Ketika menaksi resiko bawaan dan pengendalian pada suatu audit klien, auditor harus menentukan besarnya potensi kesalahan yang dihubungkan pada faktor-faktor resiko. Contohnya dalam bisnis untuk mengimplementasi sistem pengendalian internal digunakan pertimbangan biaya dan manfaat dan dalam dunia bisnis beranggapan biaya yang dikeluarkan untuk pengendalian kesalahan kecil lebih besar dari manfaatnya.
Auditor perlu membedakan antara faktor resiko yang dihubugkan dengan kesalahan yang berpotensi dapat di agregasi kepada jumlah yang material. Contohnya sama seperti persoalan pengakuan pendapatan akan mempunyai pengaruh potensi yang besar kepada laporan keuangan daripada biaya dibayar dimuka. Selanjutnya, penilaian inventori lebih signifikan perusahaan kertas daripada hotel/bank.

Menentukan Kemungkinan Kesalahan Material
Disamping memeriksa besarnya resiko potensial, auditor juga butuh menentukan kemungkinan resiko itu akan menghasilkan kesalahan material pada laporan keuangan. Adalah tugas auditor untuk mengidentifikasi faktor-faktor resiko yang dihubungkan dengan resiko bawaan yang tinggi dimana kemungkinan kesalahan material dapat dikurangi oleh system pengendalian internal klien. Dalam membuat penaksiran ini auditor terdiri dari resiko bawaan dan resiko pengendalian. Contohnya perusahaan konstruksi mungkin memiliki resiko bawaan yang tinggi sampai kompleksitas estimasi kontrak konstruksi jangka panjang. Beberapa perusahaan konsturksi ukuran sedang juga memiliki pengendalian internal yang lemah. Hasilnya auditor membutuhkan untuk mendesain kecukupan dan kemampuan prosedur audit untuk mrndeteksi kesalahan material.

Menentukan Tingkat Signifikansi Resiko Bawaan
Dalam GAAS auditor harus menentukan mana yang diidentifikasi sebagai resiko dalam pernyataan auditor, signifikan resiko bawaan yang membutuhkan pertimbangan pemeriksaan special. Dalam fase audit selanjutnya, tanggapan dalam penaksiran audit, auditor mengharuskan untuk memberikan perhatian kepada fakta yang beresiko diidentifikasi ebagai resiko bawaaan yang signifikan.
Dalam megidentifikasi resiko bawaan signifikan auditor mempertimbangkan masalah-masalah seperti:
• Apakah resiko itu adalah resiko kecurangan. Contohnya: resiko bawaan signifikan mugkin diindikasi jika auditor merasakan 3 elemen triangle fraud terjadi.
• Apakah resiko itu berhubungan dengan kejadian ekonomi di masa sekarang, akuntansi atau perkembangan lain yang membutuhkan perhatian spesial.
• Kompleksitas transaksi yang dapat memberikan kenaikan resiko.
• Apakah resiko meliputi transaksi signifikan dihubungkan dengan bagian-bagian.
• Tingkat subjektifitas dalam pengukuran informasi keuangan dihubungkan dengan resiko.
• Apakah resiko meliputi transaksi non rutin yang signifikan transaksi non rutin adalah transaksi yang tidak biasa, dapat dilihat dari ukuran/besarnya dan kebiasaan dan jarang terjadi.
• Apakah resiko meliputi masalah keputusan.
• Resiko bisnis signifikan seringkali adalah resiko bawaan signifikan.

Waktu Pengujian Audit
Auditor kadang memilih memodifikasi waktu pengujian audit dengan memilih tes performa pengendalian atau substantif tes saat tanggal sementara. Jika pengedalian internal ditemukan menjadi efektif untuk merespon masalah hanya jika tes relean dengan resiko yang tidak dapat diterima pada kesimpulan auditor dari sampel yang mungkin berbeda dari konklusi yang didapat jika seluruh populasi menjadi subjek pada prosedur audit yang sama.

Tanggapan Pada Resiko Bawaan Yang Signifikan
Resiko bawaan yang signifikan timbul dalam kebayakan audit dan berkisar dari beresiko hasil kesalahan material dari resiko bisnis klien sampai transaksi non rutin atau transaksi komplek sampai resiko penilaian tinggi dari audit. Pertama, auditor harus mengevaluasi efektifitas dari desain pengendalian internal dihubungkan kepada seluruh resiko bawaan signifikan. Kedua, jika banana audit pada pengumpulan bukti dari tes pengendalian sampai mengurangi resiko bawaan signifikan, auditor harus menguji efektifitas operasi dari pengendalian relevan di periode audit sekarang. Ketiga, auditor harus melakukan pengujian substantif yang dapat merespon resiko bawaan signifikan.

Tujuan audit SIA adalah untuk meninjau dan mengevaluasi pengendalian internal yang melindungi sistem tersebut.

    Perlengkapan keamanan melindungi perlengkapan komputer,  program, komunikasi, dan data dari akses yang   tidak sah, modifikasi, atau penghancuran.
    Pengembangan dan perolehan program dilaksanakan sesuai dengan otorisasi khusus dan umum dari pihak manajemen.
    Modifikasi program dilaksanakan dengan otorisasi dan persetujuan pihak manajemen.
    Pemrosesan transaksi, file, laporan, dan catatan komputer lainnya telah akurat dan lengkap
    Data sumber yang tidak akurat atau yang tidak memiliki otorisasi yang tepat diidentifikasi dan ditangani sesuai dengan kebijakan manajerial yang telah ditetapkan.
    File data komputer telah akurat, lengkap, dan dijaga kerahasiaannya.