Audit Teknologi Sistem Informasi
A.
Pengertian Audit Sistem Informasi Menurut Para Ahli –
Kata audit sudah umum dikenal di dunia perekonomian. Pada awalnya kata audit
ini identik dengan pemeriksaan keuangan dilingkungan perbankan. Terdapat
definisi para ahli tentang audit diantaranya adalah:
1. Alvin A. Arens dan James
K.Loebbecke
“Auditing
is the accumolatuin and evaluation of evidence about information to dtermine
and report on the degree of correspondence between the information and
establishe criteria. Examining ought to be finished by a skillful autonomous
individual”.
Mengacu
pada definisi diatas maka audit ialah pengumpulan dan evaluasi terhadap bukti
untuk menentukan derajat kesesuaian anatar informasi dan criteria yang telah
ditetapkan. Hal ini berarti dalam pelaksanannya evaluasi dilakukan mengacu pada
sejumlah criteria tertentu untuk menentukan derajat kinerja yang telah dicapai.
2. Ron Weber (1999)
“SI
Auditing is the process of collecing and evaluating evidence to determine
whether a computer system safeguards assets, maintains data integrity, allows
organizational goals to the achieved effectively and uses resources
efficiently”.
Seperti
halnya didefiniskan diatas bahwa audit SI ialah proses mengumpulkan dan
mengevaluasi fakta untuk memutuskan apakah sistem komputer yang merupakan aset
bagi perusahaan terlindungi, integritas data terpelihara, sesuai dengan tujuan
organisasi untuk mencapai efektifitas dan efisiensi dalam penggunaan sumber
daya.
B. Tujuan
Audit Sistem Informasi
Tujuan
audit sistem informasi menurut Ron Weber (1999:11-13) secara garis besar
terbagi menjadi empat tahap, yaitu:
a. Pengamanan
Aset
Aset
informasi suatu perusahaan seperti perangkat keras (hardware),
perangkat lunak (software), sumber daya manusia,
file data harus dijaga oleh suatu sistem pengendalian intern yang baik agar
tidak terjadi penyalahgunaan aset perusahaan. Dengan demikian sistem pengamanan
aset merupakan suatu hal yang sangat penting yang harus dipenuhi oleh perusahaan.
b. Menjaga
integritas data
Integritas
data (data integrity) adalah salah satu konsep dasar sistem
inforamasi. Data memeiliki atribut-atribut tertentu seperti: kelengkapan,
keberanaran, dan keakuratan. Jika integritas data tidak terpalihara, maka suatu
perusahaan tidak akan lagi memilki hasil atau laporan yang beanr bahkan
perusahaan dapat menderita kerugian
c. Efektifitas
Sistem
Efektifitas
sistem informasi perusahaan melikiki peranan pentigndalam proses pemgambilan
keputusan. Suatu sistem informasi dapat dikatakan efektif bila sistem informasi
tersebut telah sesuai dengan kebutuhan user
d. Efisiensi
Sistem
Efisiensi
menjadi hal yang sangat penting ketika suatu komputer tidak lagi memilki
kapasitas yang memadai atau harus mengevaluasi apakah efisiensi sistem masih
memadai atau harus menambah sumber daya, karena suatu sistem dapat dikatakan
efisien jika sistem informasi dapat memenuhi kebutuhan user dengan sumber daya
informasi yang minimal.
e. Ekonomis
Ekonomis mencerminkan kalkulasi untuk rugi ekonomi (cost/benefit) yang lebih bersifat kuantifikasi nilai
moneter (uang). Efisiensi berarti sumber daya minimum untuk mencapai hasil
maksimal. Sedangkan ekonomis lebih bersifat pertimbangan ekonomi.
C. Standard Audit Sistem
Informasi
Standar Audit Sistem Informasi (SASI) IASII diresmikan
oleh Rapat Anggota IASII Tahun 2006 pada tanggal 25 Februari 2006 pukul 11.00 WIB
bertempat di Jakarta. SASI IASII berlaku bagi seluruh Anggota IASII (sesuai
AD/ART IASII) yang melaksanakan kegiatan Audit Sistem Informasi. Standar ini
mulai berlaku efektif sejak tanggal 01 Januari 2007 dan dapat diterapkan
sebelum tanggal tersebut.
S-1
Penugasan Audit
S-1.1
Tanggung Jawab, Wewenang dan Akuntabilitas
Tanggung
jawab, wewenang, dan akuntabilitas dari auditor sistem informasi harus
dinyatakan dengan jelas secara formal dan tertulis dalam piagam atau surat
tugas audit sistem informasi serta disetujui secara bersama oleh auditor sistem
informasi dan pemberi tugas.
S-2
Independensi & Obyektifitas
S-2.1
Independensi
Dalam
berbagai hal yang berkaitan dengan audit sistem informasi, auditor sistem
informasi harus menjaga independensinya, baik secara faktual maupun penampilan,
dari organisasi atau hal yang diaudit.
S-2.2
Obyektifitas
Auditor
sistem informasi harus menjaga obyektifitasnya dalam merencanakan, melaksanakan
dan melaporkan audit sistem informasi.
S-3
Profesionalisme & Kompetensi
S-3.1
Profesionalisme
Auditor
sistem informasi harus memenuhi berbagai standar audit yang berlaku serta
menerapkan kecermatan dan ketrampilan profesionalnya dalam merencanakan,
melaksanakan, dan melaporkan audit sistem informasi.
S-3.2
Kompetensi
Auditor
sistem informasi, secara kolektif, harus memiliki atau memperoleh pengetahuan
dan keahlian yang diperlukan untuk melaksanakan audit sistem informasi.
S-3.3
Pendidikan Profesi Berkelanjutan
Auditor
sistem informasi harus meningkatkan pengetahuan dan keahlian yang diperlukan
untuk melaksanakan audit sistem informasi melalui pendidikan profesi
berkelanjutan.
S-4
Perencanaan
S-4.1
Perencanaan Audit
Auditor
sistem informasi harus merencanakan audit sistem informasi dengan baik agar
dapat mencapai tujuan audit serta memenuhi standar audit yang berlaku.
S-5
Pelaksanaan
S-5.1
Pengawasan
Staf
audit sistem informasi harus disupervisi dengan baik untuk memberikan keyakinan
yang memadai bahwa tujuan audit sistem informasi dapat tercapai dan standar
audit yang berlaku dapat dipenuhi.
S-5.2
Bukti-bukti Audit
Dalam
melaksanakan audit sistem informasi, auditor sistem informasi harus memperoleh
bukti-bukti audit yang cukup, dapat diandalkan dan bermanfaat untuk mencapai
tujuan audit sistem informasi secara efektif. Temuan dan kesimpulan audit
sistem informasi harus didukung oleh analisis dan interpretasi yang memadai
atas bukti-bukti audit tersebut.
S-5.3
Kertas Kerja Audit
Dalam
melaksanakan audit sistem informasi, auditor sistem informasi harus
mendokumentasikan secara sistematis seluruh bukti-bukti audit yang diperoleh
serta analisis yang dilakukannya.
S-6
Pelaporan
S-6.1
Laporan Audit
Setelah
menyelesaikan pelaksanaan audit sistem informasi, auditor sistem informasi
harus memberikan suatu laporan audit sistem informasi dalam bentuk yang memadai
kepada pihak-pihak yang berhak menerima. Laporan audit sistem informasi harus
menyatakan lingkup, tujuan, sifat penugasan, temuan, kesimpulan, rekomendasi,
indentitas organisasi, penerima dan batasan distribusi laporan, serta batasan
atau pengecualian yang berkaitan dengan pelaksanaan audit sistem informasi.
S-7
Tindak Lanjut
S-7.1
Pemantauan Tindak Lanjut
Auditor
sistem informasi harus meminta dan mengevaluasi informasi yang dipandang perlu
sehubungan dengan temuan, kesimpulan dan rekomendasi audit yang terkait dari
audit sebelumnya untuk menentukan apakah tindak lanjut yang layak telah
dilaksanakan dengan tepat waktu.
D. Contoh Studi Kasus
Audit Sistem Informasi
Jakarta (ANTARA News) – Sekitar 400 juta yen (Rp.44
miliar) deposito di enam bank di Jepang telah ditarik oleh kartu-kartu ATM
palsu setelah informasi pribadi nasabah dibocorkan oleh sebuah perusahaan sejak
Desember 2006, demikian harian Yomiuri Shimbun dalam edisi onlinenya, Rabu.
Bank-bank yang kini sedang disidik polisi adalah Bank
Chugoku yang berbasis di Okayama, North Pasific Bank, Bank Chiba Kogyo, Bank
Yachiyo, Bank Oita, dan Bank Kiyo. Polisi menduga para tersangka kriminal itu
menggunakan teknik pemalsuan baru untuk membuat kartu ATM tiruan yang dipakai
dalam tindak kriminal itu. Pihak Kepolisian Metropolitan Tokyo meyakini kasus
pemalsuan ATM ini sebagai ulah komplotan pemalsu ATM yang besar sehingga
pihaknya berencana membentuk gugus tugas penyelidikan bersama dengan satuan
polisi lainnya.
Berdasarkan sumber kepolisian dan bank-bank yang dibobol,
sekitar 141 juta yen tabungan para nasabah telah ditarik dari 186 nomor
rekening di North Pasific Bank antara 17–23 Oktober 2007. Para nasabah
bank-bank itu sempat mengeluhkan adanya penarikan-penarikan dana dari rekening
mereka tanpa sepengetahuan mereka. Kejadian serupa ditemukan di bank Chugoku
dan Bank Chiba. Dalam semua perkara itu, dana tunai telah ditarik dari
gerai-gerai ATM di Tokyo dan Daerah Administratif Khusus Osaka, yang letaknya
jauh dari tempat para pemilik rekening yang dibobol. Polisi yakin peristiwa
serupa menimpa bank-bank lainnya.
Uniknya, tidak satu pun dari para pemilik rekening itu
kehilangan kartu ATM-nya. Dalam kasus Bank Oita misalnya, salah satu kartu ATM
telah digunakan untuk menarik dana meskipun pemilik rekening tidak memiliki
kartu ATM. Para pemilik rekening juga diketahui tinggal di tempat yang
berbeda-beda dan tidak menggunakan kartu-kartu ATM yang sama. Hal ini
menunjukkan bahwa teknik “skimming” atau “pembacaan sepintas” tidak
digunakan untuk mengakses informasi dalam ATM.
Sampai berita ini diturunkan, polisi masih menyelidiki
teknik dan metode yang pelaku gunakan dalam melakukan serangkaian pembobolan
ATM tersebut. Namun, polisi telah berhasil menemukan satu benang merah, yaitu
dimana sebagian besar pemilik rekening yang dibobol itu adalah anggota satu
program yang dijalankan olah sebuah perusahaan penjual produk makanan kesehatan
yang berbasis di Tokyo.
Analisa
Kasus:
Dari
rangkuman berita diatas, dapat ditarik beberapa kesimpulan, antara lain:
· Pembobolan dana rekening
tersebut kemungkinan besar dilakukan oleh orang dalam perusahaan atau orang
dalam perbankan dan dilakukan lebih dari satu orang.
· Karena tidak semua pemilik
rekening memiliki hubungan dengan perusahaan tersebut, ada kemungkinan
pembocoran informasi itu tidak dilakukan oleh satu perusahaan saja, mengingat
jumlah dana yang dibobol sangat besar.
· Modusnya mungkin penipuan
berkedok program yang menawarkan keanggotaan. Korban, yang tergoda mendaftar
menjadi anggota, secara tidak sadar mungkin telah mencantumkan
informasi-informasi yang seharusnya bersifat rahasia.
· Pelaku kemungkinan memanfaatkan
kelemahan sistem keamanan kartu ATM yang hanya dilindungi oleh PIN.
· Pelaku juga kemungkinan
besar menguasai pengetahuan tentang sistem jaringan perbankan. Hal ini
ditunjukkan dengan penggunaan teknik yang masih belum diketahui dan hampir bisa
dapat dipastikan belum pernah digunakan sebelumnya.
· Dari rangkuman berita
diatas, disebutkan bahwa para pemilik yang uangnya hilang telah melakukan
keluhan sebelumnya terhadap pihak bank. Hal ini dapat diartikan bahwa lamanya
bank dalam merespon keluhan-keluhan tersebut juga dapat menjadi salah satu
sebab mengapa kasus ini menjadi begitu besar.
Dari
segi sistem keamanan kartu ATM itu sendiri, terdapat 2 kelemahan, yaitu:
1. Kelemahan pada mekanisme
pengamanan fisik kartu ATM.
Kartu
ATM yang banyak digunakan selama ini adalah model kartu ATM berbasis pita
magnet. Kelemahan utama kartu jenis ini terdapat pada pita magnetnya. Kartu
jenis ini sangat mudah terbaca pada perangkat pembaca pita magnet (skimmer).
2. Kelemahan pada mekanisme
pengamanan data di dalam sistem.
Sistem
pengamanan pada kartu ATM yang banyak digunakan saat ini adalah dengan
penggunaan PIN (Personal Identification Number) dan telah dilengkapi
dengan prosedur yang membatasi kesalahan dalam memasukkan PIN sebanyak 3 kali
yang dimaksudkan untuk menghindari brute force. Meskipun dapat
dikatakan cukup aman dari brute force, mekanisme pengaman ini akan
tidak berfungsi jika pelaku telah mengetahui PIN korbannya.
Saran:
·
Melakukan
perbaikan atau perubahan sistem keamanan untuk kartu ATM. Dengan penggunaan
kartu ATM berbasis chip misalnya, yang dirasa lebih aman dari skimming. Atau
dengan penggunaan sistem keamanan lainnya yang tidak bersifat PIN, seperti
pengamanan dengan sidik jari, scan retina, atau dengan penerapan tanda tangan
digital misalnya.
· Karena
pembobolan ini sebagiannya juga disebabkan oleh kelengahan pemilik rekening,
ada baiknya jika setiap bank yang mengeluarkan kartu ATM memberikan edukasi
kepada para nasabahnya tentang tata cara penggunaan kartu ATM dan bagaimana
cara untuk menjaga keamanannya.
Sumber :
·
Ikatan
Akuntan Publik. 2001. Standar Profesional Akuntan
Publik. Salemba Empat: Jakarta.
·
Ron
Weber .1999. Information System Control and Audit.
Prentice-Hall, Inc: New Jersey.
·
Antonius Wahyu. Slide
MK Audit Sistem Informasi.STIMIK MDP
·
Enny.
Workhsop Audit SI. Tahapan Audit & Pengendalian Teknik
Audit Berbantuan Komputer
