BAB II TINJAUAN PUSTAKA A. Tinjauan Pustaka Evaluasi terhadap tata kelola teknologi informasi menggunakan COBIT framework telah banyak diteliti dan hasil rekomendasinya sudah banyak membantu perusahaan memperbaiki tata kelola teknologi informasi menjadi lebih baik. Seperti penelitian dalam bidang perbankan oleh
(Etzler, 2007). Dalam
tesisnya membahas tentang bagaimana seharusnya teknologi informasi dikelola dan bagaimana COBIT dapat digunakan sebagai pedoman meningkatkan efektivitas dan efesiensi organisasi teknologi informasi untuk mendukung bisnis. Penelitian oleh (Marrone et al. 2010) tentang menyelaraskan teknologi informasi dengan bisnis, oleh (Simonsson M., 2008) bagaimana teknologi informasi dapat membantu mengambil keputusan, oleh (Weill & Ross, 2004), (Benaroch & Chernobai, 2012), (Tai, 2010), (Goldschmidt et al. 2007) bependapat bahwa teknologi informasi yang dikelola dengan baik akan menghasilkan keselarasan antara bisnis dan teknologi informasi. Penelitian dalam bidang yang sama juga telah dilakukan oleh (Sasongko, 2009). Pada penelitiannya mengemukakan bahwa kinerja pelayanan satu bank dapat dilihat dari kepuasan pelanggan, salah satu didukung dengan kecepatan transfer data dan layanan ATM yang selalu online. Kedua topik di atas dievaluasi dengan menggunakan COBIT 4.1 dan mendapati bahwa bank X. telah mencapai level 3,7 artinya teknologi informasi telah dikelola dengan baik, keamanan sistem
11
jaringan, telah dilakukan dengan baik. Penelitian oleh (Heidari et al. 2012) pada bank Refah Iran mendapati bahwa tata kelola teknologi informasi yang baik mampu memberikan pelayan yang baik pula sehingga meningkatkan profit perusahan. Evaluasi menggunakan COBIT juga dilakukan di Perusahaan Milik Negara (BUMN) contohnya pada PT.PLN oleh (Rhamadhanty, 2010) Membahas bagaimana
COBIT
dapat
mengetahui
kelemahan
dari
satu
perusahan.
Penelitiannya mendapati PLN masih pada level Defined process karena kurangnya Monitoring, Evaluasi dan Help Desk System. Penelitian di PT.KAI dilakukan oleh (Marina & Krisdanto, 2012) membahas bagaimana COBIT dapat digunakan sebagai model untuk dapat menilai penerapan teknologi informasi lebih tepat dan akurat dan dapat memberikan rekomendasi yang tepat sesuai dengan 4 domain utama COBIT, dan ditemui bahwa PT.KAI telah mencapai level 4 pada tata kelola teknologi informasi (level kematangan dimulai dari level 0 tidak menggunakan teknologi informasi, sampai level 5 optimal). Penelitian yang hampir sama juga dilakukan oleh (Kesumawardhani, 2012) pada PT.Timah Persero.tbk. Mendapati hasil tata kelola pada level 3,4. Penelitian lain oleh (Purnomo & Tjahyanto, 2007) pada BPK RI juga membahas 4-domain COBIT didapati bahwa pengelolan teknologi informasi masih lemah karena tidak ada proses transfer pengetahuan dari ahli kepada staf teknologi informasi.
Dalam publikasi internasional oleh
(Maria & Haryani, 2011)
menggunakan COBIT Framework 4.1. penelitian ini menilai sejauh mana tingkat kematangan UKSW sudah menerapkan teknologi informasi untuk mendukung
12
proses bisnis. hasil penelitian tersebut menghasilkan rekomendasi bagaimana tata kelola teknologi informasi harus ditingkatkan berdasarkan pada kerangka COBIT, dan menyimpulkan bahwa teknologi informasi di UKSW telah dikelola dengan baik, di mana proses teknologi informasi untuk mendukung tujuan bisnis telah distandarkan, didokumentasikan dan dikomunikasikan dengan baik. Maria merekomendasikan untuk meningkatkan kinerja UKSW di masa depan maka evaluasi teknologi informasi harus terus dilakukan dan kualitas layanan teknologi informasi lebih ditingkatkan hari demi hari. Penelitian dalam bidang yang hampir sama juga dilakukan oleh
(Fernández & Liorens, 2009) pada Universtias di
Spanyol, penelitian oleh (Purwanto & Shaufiah, 2010) di Perguruan tinggi swasta membahas hal yang mirip dengan penelitian Maria. Jurnal Internasional De La Salle University volume 13 oleh (Flores et al. 2011) membahas mengenai kekuatan, kelemahan perusahaan dan bagaimana teknologi informasi dapat mendukung proses bisnis. Serta bagaimana perusahaan dapat melacak posisi teknologi informasi-nya dan meningkat ke level berikutnya. Model untuk melakukan evaluasi terhadap tata kelola adalah COBIT 4.1. Penelitian yang serupa juga dilakukan oleh (Pederiva , 2003), (Lin et al. 2010), (Lapão, 2011), (Marrone et al. 2010). Penelitian yang dilakukan oleh (Musa, 2009) membahas tentang siapa yang melakukan proses COBIT di organisasi Saudi, siapa yang bertanggung jawab, apakah proses COBIT diformalkan dan apakah ada perbedaan antara organisasi yang menggunakan evaluasi COBIT dan yang tidak. Penelitian ini menghasilkan kesimpulan bahwa mayoritas responden melaporkan bahwa departemen teknologi
13
informasi memiliki tanggung jawab dalam melaksanakan proses COBIT dan domain dalam organisasi Saudi. Namun, sebagian besar responden melaporkan bahwa Proses Domain COBIT tidak secara resmi dilakukan dalam organisasi di Saudi. Penelitian ini telah memberikan hasil empiris yang berharga mengenai pemanfaatan framework COBIT untuk ITG di organisasi Saudi. Hasil penelitian memungkinkan para manajer dan praktisi di lingkungan Saudi untuk lebih memahami, mengevaluasi, melaksanakan dan mengelola ITG untuk kesuksesan bisnis. Masih banyak penelitian lain menerapkan COBIT sebagai Model untuk mengevaluasi tata kelola teknologi informasi dalam satu organisasi atau perusahaan seperti penelitian pada perpustakan RI oleh (Kania, 2011). Penelitian mengenai evaluasi tata kelola teknologi informasi pada 50 Perguruan tinggi di Yogyakarta oleh (Setiawan, 2008, 2010) Penelitian ini membahas sejauh mana tingkat pelayanan dengan pemanfaatan teknologi informasi dengan tata kelola yang matang pada perguruan tinggi swasta di Yogyakarta. Setiawan menyimpulkan bahwa kematangan teknologi informasi berpengaruh secara signifikan terhadap variable perkembangan teknologi informasi. Secara umum evaluasi tingkat kematangan implementasi teknologi informasi perguruan tinggi swasta di Yogyakarta dipengaruhi oleh dimensi kualitas pelayanan dengan distribusi nilai kriteria secara proprosional. Penelitian pada rumah sakit dilakukan oleh
(Sultani, 2012) membahas
teknologi e-hospital yang terkelola dengan baik dan menghasilkan kinerja optimal. Penelitian oleh
(Lapão, 2011) dalam penelitian ini Lapão
14
menggabungkan COBIT dan ITIL sebagai model untuk mengevaluasi pengimplementasian teknologi informasi pada rumah sakit Sao Sebastiao. Menurut Lapao kombinasi COBIT dan ITIL tidak memberikan hasil yang berbeda dengan penggunaan COBIT secara keseluruhan. Evaluasi terhadap web 2.0 juga dapat dilakukan dengan menggunakan COBIT seperti pada penelitian (Rudman, 2011). Penggabungan metode seperti dilakukan Rudman juga pernah dilakukan (Betz, 2011) menggunakan ITIL dan COBIT dalam menilai kematangan teknologi informasi tetapi hasilnya sama dengan hanya menggunakan COBIT secara Utuh. Penelitian oleh (Ahuja, 2009) menggabung COBIT, Balance Scorecard dan SSESMM untuk menilai strategi manajemen informasi. Penelitian oleh (Best & Buckby, 2005), (Bowen et al. 2007) membahas bagaimana perusahaan besar mengelola teknologi informasi-nya untuk tujuan menyelaraskan bisnis dan teknologi informasi. Penelitian oleh (Grembergen & Haes, 2003, 2004, 2005) menggunakan COBIT meneliti pentingnya teknologi informasi dalam mendukung bisnis. Penelitian oleh (Ridley et al. 2006) menggunakan COBIT sebagai modul menilai tata kelola teknologi informasi yang diterbikan dalam Journal Elsevier. Penelitian oleh (Al Omari et al. 2012), (Lawton, 2007), (Alhan, 2011), (Hojaji & Shirazi, 2008), (Steenkamp, 2009), (Simonsson et al. 2006), (Nastase et al. 2009), (Haes & Grembergen, 2004), (Haes et al. 2009) menyimpulkan bahwa teknologi informasi dapat memberikan keuntungan kepada perusahan jika dikelola dengan baik. (Nastase et el. 2009) meneliti pentingnya implementasi teknologi informasi best practice dalam perusahaan dan untuk mengidentifikasi tantangan utama yang dihadapi manajer saat membuat standar kontrol kerja teknologi
15
informasi untuk mencapai keselarasan best practice pada kebutuhan bisnis. Nastase manggabungkan COBIT 4.1, ITIL V3 dan ISO/IEC 27002. Alasan penggabungan framework ini adalah cocok untuk perusahaan yang marger dimana awalnya perusahan memiliki metode yang berbeda. Penelitian pentingnya menglola manajemen risko dilakukan oleh (Parent & Reich, 2009), (Enslin, 2012) membahas risiko-risiko yang akan ditimbulkan oleh teknologi informasi jika tidak dapat dikelola dengan benar. Salah satu masalah yang akan ditimbulkan adalah penggunaan data atau penyalahgunaan data bisa mengakibatkan kesalahan dalam mengambil keputusan. Evaluasi pada bidang keamanan teknologi informasi pada perusahan asuransi menggunakan COBIT dan ISO 27001 oleh (Mataracioglu & Ozkan, 2005). Membahas tentang pentingnya evaluasi keamanan data pada perusahan asuransi karena data paranasabah adalah sesuatu yang bersifat rahasia dan penting. Penelitian lain mengenai perusahaan asuransi oleh (Deighton et al. 2009) membahas tentang tata kelola manajemen risiko dan menggunakan COBIT sebagai model evaluasi. Karena sistem lainnya sudah berjalan dengan baik Penelitian ini menitik beratkan kepada kelola risiko kemanan. Berdasarkan tinjauan pustaka diatas maka penulis menyimpulkan bahwa COBIT Framework merupakan model yang paling tepat dan telah banyak digunakan untuk melakuan evaluasi terhadap tata kelola teknologi informasi pada berbagai bidang organisasi yang mengimplementasikan teknologi informasi dalam proses bisnisnya. Penulis belum menemui adanya penelitian yang membahas tentang evaluasi tata kelola teknologi informasi pada perusahaan PT.Prudential.
16
Tabel 2.1 Perbandingan Penelitian Terdahulu No
Nama Peneliti
Judul
Subjek Penelitian
Domain yang digunakan
Kendala atau kelemahan penelitian.
Cara Menyusun Rekomendasi
Hasil Penelitian
1
Dwi Rizki Kesumaw ardhani (2012)
Evaluasi It Governance Berdasarkan Cobit 4.1 (Studi Kasus Di Pt Timah (Persero) Tbk)
Divisi Sistem Informasi Manajemen (Kepala SIM, Bidang Pengembangan SIM, Bidang Operasi, Staf TI bidang jaringan dan Keamanan, Kepala Akuntansi, Bidang SDM
COBIT 4.1 Penelitian dilakukan terhadap 137 Detial kontrol objek meliputi PO (1-10), AI (1-7), DS (18,10-13), dan ME (1 dan 4).
Subjek penelitian hanya dilakukan pada divisi menengah dimana pusat keputusan tidak hanya dilakukan oleh kepala SIM saja tetapi oleh kepala divisi dan pengembangan teknologi. Kendala pada penelitian ini adalah sulitnya mengatur janji dengan kepala divisi atau melakukan wawancara pada level Top manajemen
Rekomendasi diturnkan dari objektif dari setiap domain, setiap objektif pada setiap domain yang lemah dijadikan patokan perbaikan dan rekomendasi.
Pada penilitian ini didapati bahwa sebagian besar penerapan proses dari COBIT framework 4.1 di PT. Timah (Persero) Tbk berada pada level rata-rata 3.7.
2
Widiyati Kania (2011)
Pengukuran Tingkat Kemapanan Penerapan Teknologi
Tidak disebutkan secara jelas dalam tabel RACI hanya disebutkan diisi oleh petugas
Menggunakan 30 subdomain COBIT 4.1 meliputi PO (18,10), AI (1-13),
Dengan tidak mengelompokan level pengisian kusioner maka hasil kuisioner masih diragukan
Cara menurunkan rekomendasi dilakukan dengan cara
Diperoleh hasil bahwa penerapan teknologi RFID di Perpustakaan
17
No
3
Nama Peneliti
Dwiani Ramadha nty (2010)
Judul
Subjek Penelitian
Domain yang digunakan
Kendala atau kelemahan penelitian.
Cara Menyusun Rekomendasi
Hasil Penelitian
Rfid Di Perpustakaan Nasional Ri Berdasarkan Framework Cobit 4.1
perpustakaan.
DS (1-7), ME (1-4)
sehingga akan berdampak pada rekomendasi yang diberikan tidak menjadi terarah dan tepat.
meninjau dari hasil wawancara dan mengambil nilai objektif terendah
Nasional RI baru mencapai tingkat kemapanan level 2 (Repeatable but Intuitive).
Penerapan Tata Kelola Teknologi Informasi Dengan Menggunaka n Cobit Framework 4.1 (Studi Kasus Pada Pt. Indonesia Power)
Vice President Sistem Informasi, Bagian Infrasturktur, TI Manager, Staf TI
COBIT 4.1 Menggunakan 182 detail kontrol objektif meliputi domain PO (1-10), AI (1-7), DS (1-13), ME (1 dan 4).
Peneliti mengirim 10 kuisioner dan hanya kembali 5; dari total yang kembali tidak sebutkan jabatan atau posisi pengisi kuisioner. Peneliti juga tidak menjelaskan bahwa dilakukan wawancara terhadap responden yang tidak mengisi kuisioner tersebut. Pada kuisinoer pertanyaan tidak dijabarkan secara
Penyusunan rekomendasi diambil dari hasil kuisioner dimana nilai terendah objektif digunakan sebagai patokan.
PT. Indonesia Power memiliki 2 proses teknologi informasi yang berada pada level managed, 26 proses yang berada pada level defined dan 2 proses yang berada pada level repeatable but intuitive. Ratarata keseluruhan maturity berada
18
No
Nama Peneliti
Judul
Subjek Penelitian
Domain yang digunakan
Kendala atau kelemahan penelitian.
Cara Menyusun Rekomendasi
Hasil Penelitian pada posisi defined.
4
Satya Wisada Sembirin g (2013)
Evaluasi Tata kelota Teknologi Informasi (studi kasus PT.Prudential Indonesia)
Chairman, IT Manager, Head Executive Commite, Director Operational, IT Asset Manager, Head CENAS, Internal Auditor, Head CSO
COBIT 4.1 Menggunakan 80 detail control objektif. Meliputi PO (110) dan ME (14)
Pada pengisian kuisioner terdapat bias yang tidak diukur. Bias bisa terjadi karena nilai kuisioner dari top managemen sampai level operasional diangap sama. Kendala adalah melakukan observasi disetiap kantor cabang artinya membutuhkan biaya yang besar.
Rekomendasi disusun dengan mempertimbang kan kondisi perusahan dari sisi SDM, kemampuan keuangan dan target perusahan kedepan. hasil wawancara dan tinjauan langsung serta Objektif dari hasil penilaian kusioner tetap digunakan untuk memberikan rekomendasi yang tepat sesuai COBIT.
Hasil pengolahan kuisioner mendapati nilai rata-rata untuk domain PO dan ME adalah 2,5 dari rentang nilai 0 sampai 5. Hasil penelitian menemukan kelemahan terdapat pada subdomain PO2, PO8, PO9, ME2 dan ME3
19
B. Landasan Teori 2.1 Tata kelola Teknologi Informasi Definisi lain mengenai IT governance yang lebih terkenal adalah: “IT governance is the responsibility of executives and the board of directors, and consists of the leadership, organisational structures and processes that ensure that the enterprise’s IT sustains and extends the organisation’s strategies and objectives.” (ITGI, 2007) Dari pengertian di atas dapat dilihat bahwa tata kelola teknologi informasi adalah tanggung jawab dewan direksi dan manajemen eksekutif. Ini merupakan bagian tak terpisahkan dari tata kelola perusahaan dan terdiri dari struktur kepemimpinan dan organisasi dan proses yang memastikan bahwa organisasi teknologi informasi menopang dan memperluas strategi dan tujuan organisasi. Sedangkan menurut (Weill & Ross , 2004) IT governance adalah: “Specifying the decision rights and accountability framework to encourage desirable behavior in using IT.” Dari pengertian di atas dapat dilihat bahwa tata kelola teknologi informasi merupakan framework yang spesifik dalam pengambilan keputusan dan akuntabilitas untuk mendukung kebiasaan perusahaan dalam menggunakan teknologi informasi. Meskipun begitu banyak pengertian mengenai IT Governances dan para ahli memberikan berbagai argumen mengenai IT Governances tetapi dalam setiap pengertian selalu menyebutkan lima hal yang berhubungan dengan: (1) Akuntabilitas teknologi informasi, (2) Kepatuhan terhadap peraturan dan ketentuan teknologi
20 informasi, (3) Memuaskan kebutuhan dewan dan pemangku kepentingan, (4) Mengelola risiko, (5) Memberikan nilai bagi bisnis dan kontrol dari kerja yang dilakukan. 2.2 Pentingnya Tata Kelola Teknologi Informasi Ketika teknologi informasi menjadi faktor yang sangat penting bagi keberhasilan perusahaan, hal tersebut dapat memberikan kesempatan untuk mendapatkan
keunggulan
kompetitif
dan
menawarkan
perlengkapan
untuk
meningkatkan produktifitas, dan akan memberikan lebih lagi di masa mendatang. Teknologi informasi juga bisa membawa risiko. Seringkali dalam melakukan bisnis dalam skala global, downtime sistem dan network telah menjadi terlalu mahal bagi semua perusahaan untuk ditangani. Di beberapa industri, teknologi informasi merupakan sumber daya kompetitif untuk melakukan diferensiasi dan memberikan keunggulan kompetitif sedangkan diperusahaan lainnya teknologi informasi membantu dalam mempertahankan hidup perusahaan (Rahmadhanty, 2010). 2.3 Focus Area Tata Kelola Teknologi Informasi Focus area tata kelola teknologi informasi dibagai menjadi 5 bagian yaitu Strategic alignment, Value delivery, Resource management, Risk management, and Performance measurement. Digambarkan seperti gambar 2.1 dibawah ini:
Gambar 2.1 Focus area IT Governance (ITGI, 2007)
21 1. Strateggic Aligment: Memastikan keterkaitan antara bisnis dengan ketentuan rencana teknologi informasi, pemeliharaan serta validasi usulan nilai teknologi informasi, dan menyelaraskan tujuan bisnis dan tujuan teknologi informasi. 2. Value delivery: Menjalankan proposisi nilai seluruh siklus delivery, memastikan bahwa teknologi informasi memberikan manfaat sesuai dengan tujuan bisnis yang dituangkan dalam strategi, berkonsentrasi pada biaya mengoptimalkan dan membuktikan nilai intrinsik dari teknologi informasi. 3. Resource management: Tentang investasi yang optimal dalam pengelolaan sumber daya teknologi informasi: aplikasi, informasi, infrastruktur dan SDM dan pengoptimalisasian infrastruktur. 4. Risk management: Tentang kesadaran mengelola risiko oleh pejabat senior pada perusahan, bagaimana memahami persyaratan kepatuhan, keterbukaan tentang risiko yang signifikan terhadap perusahaan dan menanamkan tanggung jawab manajemen risiko ke dalam organisasi. 5. Performance measurement: Pengukuran kinerja dan track implementasi strategi, penyelesaian proyek, penggunaan sumber daya, kinerja proses dan pelayanan, misalnya, balanced scorecard yang menerjemahkan strategi ke dalam tindakan untuk mencapai tujuan yang terukur. 2.4 Tata kelola Teknologi Informasi dan Manajemen Teknologi Informasi Salah satu kunci fokus tata kelola teknologi informasi menurut (Grembergen et al. 2005) adalah untuk menyelaraskan teknologi informasi dengan tujuan bisnis. Sebagai penjelasan dapat dikatakan bahwa tata kelola teknologi informasi adalah perpaduan antara tata kelola perusahaan dan manajemen teknologi informasi.
22 Menurut (Peterson , 2004) Gambar 2.2 dapat digunakan untuk menggambarkan hubungan antara manajemen teknologi informasi dan tata kelola teknologi informasi.
Gambar 2.2 Hubungan antara tata kelola teknologi informasi dengan manajemen teknologi informasi (sumber: Grembergen, 2004) Berdasarkan gambar di atas dapat dilihat bahwa manajemen teknologi informasi mempunyai fokus pada upaya pencapaian efektivitas internal atas dukungan produk dan jasa teknologi informasi dan juga pengelolaan dari operasional teknologi informasi yang ada pada saat ini. Sedangkan tata kelola teknologi informasi mempunyai ruang lingkup yang lebih luas, dan berkonsentrasi pada kinerja dan transformasi teknologi informasi untuk memenuhi kebutuhan bisnis saat ini dan saat yang akan datang, baik dari sudut internal bisnis maupun eksternal 2.5 Tata Kelola Teknologi Informasi dan Tata Kelola Perusahaan Berdasarkan definisi tata kelola teknologi informasi dari IT Governance Institute (ITGI) dikemukakan bahwa tata kelola teknologi informasi adalah tanggung jawab dari dewan direksi dan manajemen eksekutif, oleh karenanya tata kelola teknologi informasi harus merupakan bagian yang tidak terpisahkan dari tata kelola perusahaan. Tata kelola perusahaan merupakan suatu sistem yang mengarahkan dan mengendalikan entitas-entitas pada suatu perusahaan. Ketergantungan bisnis akan suatu teknologi informasi telah membuatnya tidak dapat menyelesaikan isu tata kelola
23 perusahaan tanpa adanya pertimbangan terhadap teknologi informasi. Sebagai gantinya teknologi informasi dapat mempengaruhi peluang strategi dan menghasilkan kritik atas perencanaan strategis yang telah dibuat. Dalam hal tersebut tata kelola teknologi informasi memungkinkan perusahaan untuk mengambil keuntungan maksimal atas informasi, dan juga merupakan penggerak tata kelola perusahaan. Hubungan antara tata kelola teknologi informasi dengan tata kelola perusahaan dapat dilihat pada gambar 2.3 dibawah ini:
Gambar 2.3. Tata kelola teknologi informasi dan tata kelola Perusahaan (ITGI, 2007) 2.6 COBIT COBIT yaitu Control Objectives for Information and Related Technology yang merupakan audit sistem informasi dan dasar pengendalian yang dibuat oleh Information Systems Audit and Control Association (ISACA), dan Information Technology Governance Institute (ITGI) pada tahun 1992, untuk memberikan informasi yang diperlukan perusahaan dalam mencapai tujuannya, maka prinsip dasar COBIT menjelaskan (Simonsson & Johnson, 2006): 1. Business information requirements, terdiri dari: Effectiveness, Efficiency, Integrity, Availability, and Reliability of information. 2. High-Level IT Processes, terdiri dari: IT Domains (Planning and Organisation, Acquisition & Implementation, Delivery & Support, Monitoring and Evaluation); IT Process (IT strategy, Computer operations, Incident handling,
24 Acceptance testing, Change management, Contingency planning, Problem management); Activities (Record new problem, Analyse, Propose solution, Monitor solution, Record known problem.) 3. Information Technology Resource: Expert staff, Applications, Technology, Facilities, Database Management System, Hardware, Software, Multimedia. COBIT memiliki cakupan yang sangat luas dan belum tentu semua organisasi memiliki atau mencakup keseluruhan proses-proses tersebut. (Kania, 2011) menjelaskan setiap perusahaan memiliki ragam dan jangkauan pemanfaatan terhadap teknologi informasi dan tidak semua langkah dalam COBIT dapat diterapkan, hanya pada bagian tertentu yang dengan sesuai kebutuhan Perusahaan. Selaras dengan apa yang telah dijelaskan (ITGI, 2007) Standar ini tidak menuntut penerapan pada setiap komponen tapi dapat memilih pada bagian-bagian yang terkait saja. Perbandingan model COBIT dengan Model lain seperti ditunjukan pada tabel 2.2 dibawah ini (Mapping, 2011). Tabel 2.2 Tabel cakupan COBIT 4.1 dalam domain PO dan ME disbanding model lain
25
Tabel 2.3 Tabel cakupan Domain COBIT 4.1dibandingkan dengan Luftman Framework (sumber: Luftman, 2004 & Simonsson, 2008) Domain COBIT 4.1
LUFTMAN
PO1
Define a strategic IT plan.
LG1. Business strategic planning
PO2
Define the information architecture.
LSA1. Traditional, Enabler/Driver, External LSA2. Standards Articulation LSA3. Architectural Integration: Functional
Organization, Enterprise, nter-enterprise
PO3
Determine technological direction.
LSA2. Standards Articulation LSA5. Agility, Flexibility LC6. Liaison(s)
PO4
Define the IT processes, organisation and relationships.
LS2. Cultural locus of Power LS3. Management Style LS4. Change Readiness LP4. IT Program Management LG6. Steering Committee(s) LC5. Knowledge Sharing
PO5
Manage the IT investment.
LP1. Business Perception of IT Value LG6. Steering Committee(s) LG5. IT Investment Management
PO6
Communicate management aims and direction.
LC1. Understanding of Business by IT LC2. Understanding of IT by Business LC3. Inter/Intra- organizational
Learning/Education LC4. Protocol Rigidity LC5. Knowledge Sharing
PO7
Manage IT human resources.
LS2. Cultural locus of Power LS4. Change Readiness LS6. Education, Cross-Training
PO8 PO9
Manage quality. Assess and manage IT risks.
LM7. Continuous Improvement LG5. IT Investment Management LP3. Shared Goals, Risk,
26 Rewards/Penalties LP4. IT Program Management LS7. Social, Political, Trusting Interpersonal Environment LP3. Shared Goals, Risk, Rewards/Penalties LG7. Prioritization Process
PO10
Manage projects.
ME1
Monitor and evaluate IT performance
LS7. Social, Political, Trusting Interpersonal Environment LP3. Shared Goals, Risk, Rewards/Penalties LG7. Prioritization Process
ME2
Monitor and evaluate internal control
LM7. Continuous Improvement LP1. Business Perception of IT Value
ME3
Ensure compliance with external requirements
LM3. Service Level LG3. Reporting/Organization
Structure
ME4
Provide IT governance
LC1. Understanding of Business by IT LC2. Understanding of IT by Business
Tabel 2.4 Tabel cakupan Domain COBIT 4.1dibandingkan dengan pwC Framework (sumber: PricewaterhouseCoopers, 2003) Domain Descripts (Plan and Organise)
pwC Focused
PO1
pwC1. Define stakeholder expectations
Define a strategic IT plan.
pwC2. Articulate the Mission pwC3. Develop a Formal Strategic plan PO2
Define the information architecture.
pwC1. Define stakeholder expectations
PO3
Determine technological direction.
pwC1. Define stakeholder expectations
PO4
Define the IT processes, organisation and relationships.
pwC1. Define stakeholder expectations
PO5
Manage the IT investment.
pwC5. Establish current and multi
27
year Budgets PO6
Communicate management aims and direction.
pwC2. Articulate the Mission
PO7
Manage IT human resources.
pwC7. Assess Needed Skill Sets
PO8
Manage quality.
pwC8. Develop or acquire enabling infrastructure, methodology and technology
PO9
Assess and manage IT risks.
pwC4. Assess Risk and Develop the audit plan
PO10
Manage projects.
pwC1. Define stakeholder expectations
Domain Descripts (Monitor and Evaluate) ME1 Monitor and evaluate IT performance
pwC8. Develop or acquire enabling infrastructure, methodology and technology
ME2
Monitor and evaluate internal control
pwC8. Develop or acquire enabling infrastructure, methodology and technology
ME3
Ensure compliance with external requirements
pwC8. Develop or acquire enabling infrastructure, methodology and technology
ME4
Provide IT governance
pwC3. Develop a Formal Strategic plan
Selain itu menurut (Ridley et al. 2006) COBIT adalah kerangka kontrol yang paling tepat untuk membantu organisasi memastikan keselarasan antara penggunaan Teknologi Informasi dan tujuan bisnis. Dapat di simpulkan bahwa dari keseluruah teknologi informasi Framework yang paling sering digunakan dan mencakup keseluruhan tata kelola teknologi informasi adalah COBIT karena COBIT Framework bergerak sebagai integrator dari
28 praktik IT governance dan juga yang dipertimbangkan kepada petinggi manajemen atau manager; manajemen teknologi informasi dan bisnis; para ahli governance, asuransi dan keamanan; dan juga para ahli auditor teknologi informasi dan kontrol. COBIT Framework dibentuk agar dapat berjalan berdampingan dengan standar dan best practices yang lainnya (Setiawan, 2010) Fokus Proses COBIT digambarkan oleh model proses yang membagi teknologi informasi menjadi empat domain dan 34 proses sesuai dengan bidang yang bertanggung jawab terhadap perencanaan, membangun, menjalankan dan memonitor implementasi teknologi informasi, dan juga memberikan pandangan end-to-end teknologi informasi. Gambar dibawah ini menunjukan proses dari COBIT:
Gambar 2.4 Kerangka kerja COBIT (ITGI, 2007) 2.6.1 Orientasi Pada Proses Aktivitas teknologi informasi pada COBIT 4.1 didefinisikan ke dalam 4
29 (empat) domain yaitu (ITGI, 2007): (1) Perencanaan dan Pengorganisasian/Plan and Organise (PO), (2) Pengadaan dan Implementasi/Acquire and Implement (AI), (3) Penyampaian Layanan dan Dukungan/Deliver and Support (DS), (4) Monitor dan Evaluasi/Monitor and Evaluate (ME), Hubungan antara keempat domain tersebut bisa dilihat dalam gambar 2.5 dibawah ini:
Gambar 2.5 Hubungan antara keempat domain COBIT (ITGI, 2007) Plan and Organise (PO): Domain ini mencakup taktik dan mengidentifikasi strategi terbaik teknologi informasi untuk dapat berkontribusi terhadap pencapaian tujuan bisnis. Realisasi visi strategis perlu direncanakan, dikomunikasikan dan dikelola untuk perspektif yang berbeda serta infrastruktur teknologi harus diletakkan pada tempatnya. Domain ini biasanya membahas pertanyaan manajemen berikut: 1. Apakah teknologi informasi dan strategi bisnis selaras? 2. Apakah perusahaan optimal dalam mengelola SDM nya? 3. Apakah setiap orang dalam organisasi memahami tujuan IT? 4. Apakah risiko teknologi informasi dipahami dan dikelola? 5. Apakah kualitas sistem teknologi informasi sesuai dengan kebutuhan bisnis? Acquire and Implement (AI): Untuk mewujudkan strategi teknologi informasi, solusi teknologi informasi perlu diidentifikasi, dikembangkan atau diperoleh, serta diimplementasikan dan diintegrasikan ke dalam proses bisnis. Selain itu, perubahan dan pemeliharaan sistem yang ada dilindungi oleh domain ini untuk memastikan
30 solusi terus memenuhi tujuan bisnis. Domain ini biasanya membahas pertanyaan manajemen berikut: 1. Apakah proyek baru memungkinkan untuk memberikan solusi yang memenuhi kebutuhan bisnis? 2. Apakah proyek baru kemungkinan akan diselesaikan dan digunakan tepat waktu dan sesuai anggaran? 3. Apakah sistem baru bekerja dengan baik ketika diimplementasikan? 4. Apakah perubahan dilakukan tanpa mengganggu operasi bisnis saat ini? Deliver and Support (DS): Domain ini berkaitan dengan deliver aktual dari layanan yang dibutuhkan meliputi pelayanan, pengelolaan keamanan dan kontinuitas, dukungan layanan bagi pengguna, dan manajemen data dan fasilitas operasional. Bagian ini biasanya membahas pertanyaan manajemen sebagai berikut: 1. Apakah layanan teknologi informasi yang disampaikan sesuai dengan prioritas bisnis? 2. Apakah biaya teknologi informasi dioptimalkan? 3. Apakah tenaga kerja dapat menggunakan sistem teknologi informasi secara produktif dan aman? 4. Apakah keamanan dan kerahasiaan data dijaga secara memadai dan memiliki integritas. Monitor and Evaluate (ME): Semua proses teknologi informasi perlu dinilai secara berkala dari waktu ke waktu untuk kualitas dan pemenuhan persyaratan. Domain ini membahas manajemen kinerja, pemantauan pengendalian internal, kepatuhan terhadap peraturan dan tata kelola. Ini biasanya membahas pertanyaan manajemen berikut: 1. Apakah kinerja teknologi informasi diukur untuk mendeteksi masalah sebelum
31 terlambat? 2. Apakah manajemen memastikan bahwa pengendalian internal yang efektif dan efisien? 3. Dapatkah kinerja teknologi informasi dihubungkan kembali ke tujuan bisnis? 4. Apakah kerahasiaan, integritas dan ketersediaan kontrol memadai keamanan informasi? 2.6.2 Fokus Pada Bisnis Untuk memenuhi tujuan bisnis, informasi perlu memenuhi kriteria pengendalian tertentu. Kriteria pengendalian untuk informasi menurut COBIT 4.1 adalah
(ITGI, 2007) Efektifitas, Efisiensi, Kerahasiaan, Integritas, Ketersediaan,
kepatuhan, Keandalan. 2.6.3 Berbasis Pengendalian Pengendalian dalam COBIT didefinisikan sebagai kebijakan prosedur, praktik dan struktur organisasi sebagai kebijakan, prosedur, praktik dan struktur organisasi yang dirancang untuk memberikan jaminan yang dapat diterima bahwa tujuan bisnis akan dicapai dan kejadian yang tidak diharapkan dapat dicegah atau diketahui dan diperbaiki. Sedangkan
tujuan pengendalian
teknologi
informasi
merupakan
pernyataan mengenai maksud atau hasil yang diharapkan dengan menerapkan prosedur pengendalian dalam aktivitas teknologi informasi tertentu. 2.6.4 Dikendalikan Oleh Pengukuran Salah satu alat pengukuran dari kinerja suatu sistem teknologi informasi adalah model kematangan (maturity level). Model kematangan untuk pengelolaan dan pengendalian pada proses teknologi informasi didasarkan pada metode evaluasi
32 organisasi sehingga dapat mengevaluasi sendiri dari level 0 (tidak ada) hingga level 5 (Optimis). Model kematangan dimaksudkan untuk mengetahui keberadaan persoalan yang ada dan bagaimana menentukan prioritas peningkatan. Model kematangan dirancang sebagai profil proses teknologi informasi, sehingga organisasi akan dapat mengenali sebagai deskripsi kemungkinan keadaan sekarang dan mendatang. Penggunaan model kematangan yang dikembangkan untuk setiap 34 proses teknologi informasi memungkinkan manajemen dapat mengidentifikasi
(ITGI, 2007): (1)
Kondisi perusahaan sekarang. (2) Kondisi sekarang dari industri untuk perbandingan. (3) Kondisi yang diinginkan perusahaan. (4) Pertumbuhan yang diinginkan antara asis dan to-be. Gambar 2.6 dibawah ini menggambarkan urutan tingkat kematangan tata kelola teknologi informasi dalam perusahaan.
Gambar 2.6 Urutan Tingkat Kematangan (sumber: ITGI, 2007) Jika di kelompokan berdasarkan nilai level kematangan maka dapat dirinci seperti tabel dibawah ini: Tabel 2.5. Level kematangan tata kelola teknologi informasi pada perusahaan (Sumber: ITGI, 2007) Indek Kematangan 0 - 0.49 0.50 – 1.49 1.50 – 2.49 2.50 – 3.49
Level Kematangan 0 – Non-Existent 1 – Initial/Ad Hoc 2 – Repeatable But Intutitive 3 – Defined Process
33 3.50 – 4.49 4.50 – 5.00
4 – Managed and Measureabel 5 - Optimized
Keterangan masing-masing level seperti penjelasan dibawah ini: Non-eksistent (0= Management processes are not applied at all), Kekurangan yang menyeluruh terhadap proses apapun yang dapat dikenali. Perusahaan bahkan tidak mengetahui bahwa terdapat permasalahan yang harus diatasi. Adhoc (1= Processes are ad hoc and disorganized), Terdapat bukti bahwa perusahaan mengetahui adanya permasalahan yang harus diatasi. Bagaimanapun juga tidak terdapat proses standar, namun menggunakan pendekatan ad hoc yang cenderung diperlakukan secara individu atau per kasus. Secara umum pendekatan kepada pengelolaan proses tidak terorganisasi. Repeatable (2= Processes/allow a regular pattern), Proses dikembangkan ke dalam tahapan dimana prosedur serupa diikuti oleh pihak-pihak yang berbeda untuk pekerjaan yang sama. Tidak terdapat pelatihan formal atau pengkomunikasian prosedur standar dan tanggung jawab diserahkan kepada individu masing-masing. Terdapat tingkat kepercayaan yang tinggi terhadap pengetahuan individu sehingga kemungkinan terjadi error sangat besar. Defined (3 = Processes are documented and communicated), Prosedur distandarisasi dan didokumentasikan kemudian dikomunikasikan melalui pelatihan. Kemudian diamanatkan bahwa proses-proses tersebut harus diikuti. Namun penyimpangan tidak mungkin
dapat
terdeteksi.
Prosedur
sendiri
tidak
lengkap
namun
sudah
memformalkan praktek yang berjalan Managed (4 = Processes are monitored and measured), Manajemen mengawasi dan
34 mengukur kepatutan terhadap prosedur dan mengambil tindakan jika proses tidak dapat dikerjakan secara efektif. Proses berada dibawah peningkatan yang konstan dan penyediaan praktek yang baik. Otomatisasi dan perangkat digunakan dalam batasan tertentu Optimized (5 = Best practices are followed and automated), Proses telah dipilih ke dalam tingkat praktek yang baik, berdasarkan hasil dari perbaikan berkelanjutan dan permodelan kedewasaan dengan perusahaan lain. Teknologi informasi digunakan sebagi cara terintegrasi untuk mengotomatisasi alur kerja, penyediaan alat untuk peningkatan kualitas dan efektifitas serta membuat perusahaan cepat beradaptasi.
