Audit Sistem Informasi - I dan II

Tanggung Jawab Auditor Internal

 

Auditor internal perlu memahami dan mengevaluasi berbagai risiko serta peluang yang terkait dengan teknologi informasi karena beberapa alasan:

Ø  Cepatnya pertumbuhan teknologi

Ø  Penggunaan siste informasi yang lebih luas di se±ap fungsi organisasi yang semakin erat hubungannya satu sama lain

Ø  Penggunaan mainframe, pemrosesan terdistribusi, dan komputer pribadi yang disertai meningkatnya persentase penggunaan di antara para karyawan dan manajer organisasi

Ø  Peningkatan yang luas atas informasi yang tersedia bagi para manajer

Ø  Penurunan skeptisme mengenai akurasi dara yang diproses melalui sistem informasi

Ø  Pergeseran manajemen sistem dari bidang keilmuan para ahli pemrogram ke para pengguna akhir

Ø  Peningkatan pengetahuan akan sistem informasi dalam masyarakat umum mengarah pada semakin tersebar luasnya kemampuan untuk menangani data

Ø  Peningkatan penggunaan Local Area Network (LAN), dan lingkungan komputasi yang terdistribusi

Ø  Peningkatan penggunaan basis data personal

Ø  Peningkatan penggunaan sistem perusahaan secara keseluruhan

 

Berbagai fungsi pemrosesan data yang umum, kontrolnya, serta tanggung jawab audit internal dibagi menjadi dua bagian:

Ø  Kontrol umum, yang mencakup kontrol lingkungan yang umum untuk semua sistem informasi dalam organisasi.

Ø  Kontrol aplikasi, yang diterapkan untuk aplikasi bisnis tertentu.

 

Kemajuan peranti lunak dan peranti keras membutuhkan beberapa topik khusus:

Ø  Peranti lunak yang dipasok oleh vendor

Ø  Komputer pribadi (PC) dan komputasi pengguna akhir

Ø  Pemprosesan data terdistribusi

Ø  Efektivitas dan efisiensi sistem

Ø  Dokumentasi

Ø  Persyaratan hukum

 

Komponen sistem informasi

 

Biasanya sistem informasi dapat dibagi ke dalam peranti keras dan peranti lunak

1. Peranti keras

Sistem peranti keras yang digunakan dalam bisnis dapat dikategorikan ke dalam empat kelompok:

Ø  Server adalah sistem yang menerima permintaan dari sistem lainnya, menghubungi klien, dan memproses permintaan tersebut.

Ø  PC adalah sistem yang lebih kecil dan yang memiliki sejumlah kecil peralatan input/output.

Ø  Minikomputer sangatlah bervariasi dalam ukuran dan kemampuan pemprosesanya. Biasanya, minikomputer memiliki memori besar, bersama dengan beberapa terminal, printer, dan kapasitas disk drive yang besar.

Ø  Mainframe yang seringkali berbiaya jutaan dolar, umumnya memiliki banyak sekali terminal/pengguna, peralatan penyimpanan seperti hard disk dan tape drive, printer bervolume tinggi, memori prosesor yang sangat besar, serta aplikasi yang rumit.

Komponen dasar SI

Ø  Central prossecing unit. Fungsinya adalah sebagai otak dari komputer.

Ø  Tape dive magnetis. Tape drive membaca dan menulis data, secar berurutan, ke dalam pita magnetis.

Ø  Densitas adalah ukuran tentang seberapa banyak data dapat dikemas dalam satu inci pita komputer.

Ø  Disk drive. Walaupun penyimpanan dengan pita dapat diandalkan dan tidak mahal, kelemahan utamnya adalah bahawa data hrus dibaca secara berurutan dari awal ke akhir pita.

Ø  Printer impack. Printer ini adlah perlatan periferal yang sangat bervariasi dalam hal kecepatan, penampilan output, dan kapasitasnya.

Ø  Printer non-impack. Jenis yang umum dari printer ini adalah printer laser, yang dapat mencetak banyak sekali teks atau grafik dengan sempurna.

Ø  Konsol. Adalah terminal yang berfungsi sebagai pusat perintah untuk interaksi manusia agar dapat mengontrol sistem tersebut.

Ø  Terminal. Peralatan terminal, yang biasa disebut sebagai terminal cathode-ray tube (CRT) atau terminal tampilan vidio, adalah salah satu bentuk peranti keras input/output yang paling banyak digunakan.

 

2. Peranti lunak

Ø  Peranti lunak memberikan perintah pada prosesor sistem. Investasi pada peranti lunak, termasuk pembelian paket peranti lunak, gaji karyawan untuk mengembangkan dan memlihara program, serta biaya perawatan yang harus dibayar ke vendor, sering kali secara substansial melebihi biaya peranti keras.

Ø  Peranti lunak aplikasi. Peranti lunak aplikasi melakukan pemrosesan kegiatan bisnis organisasi dan terdiri atas serangkaian program.

Ø  Peranti lunak sistem. Peranti lunak sistem operasi mengelola operasi internal komputer itu sendiri.

 

Organisasi data dan metode pemrosesan data

Berikut ini adalah pemrosesan dasar yang saat ini umum digunkan:

1. Pemrosesan secara batch

            Teknik yang paling tua untuk memproses data adalah pemrosesan secara batch. Berbagai kelas transaksi dikelompokan menjadi satu, serta diproses sekaligus oleh sistem. Metode ini adalah metode lama untuk memproses data dalam jumlah yang sangat besar dan menawarkan kontrol pada tingkat yang paling tinggi.

2. Entri online/Pemrosesan batch (memo post)

            Aplikasi memo post menyiapkan entri, permintaan dan edit data secara online, tetapi memperbaharui arsip utama dengan pemrosesan secara batch.

3. Online real time

            Aplikasi yang dijalankan secara online real time memperbaharui arsip sistem segera setelah data dimasukan ke dalam terminal. Hasilnya, data tersebut selalu merupakan data terbaru.

 

Kontrol sistem informasi

Kontrol dalam sistem informasi adalah alat yang digunakan untuk mengelola hal-hal tersebut dan untuk membantu mencapai tujuan dari pihak manajemen. Alat ini berbeda dari alat yang digunakan dalam lingkungan manual karena:

Ø  Sumber data kadang independen dari pengguna data

Ø  Jejak transaksi dari input ke output jarang tampak oleh mata manusia

Ø  Adanya kebutuhan atas kejelasan jika tidak terdapat pertimbangan manusia

Ø  Dokumentasi harus akurat dan dapat digunakan

Ø  Tanggungjawab informasi pengguna dibagi dengan fasilitas pemrosesan SI

 

Faktor yang menghalangi pengembangan sistem kontrol yang memadai, yaitu:

Ø  Pengumpulan fakta dan evaluasi dapat saja tidak lengkap

Ø  Peran pengguna semakin meyakini apapun yang mereka temukan dalam laporan sistem tersebut hanya karena laporan tersebut berasal dari sistem informasi, mereka tidak mempelajari secara skeptis laporan tersebut untuk melihat “apakah data yang diberikan masuk akal”.

Ø  Kurang terdapat arah yang jelas dan sesuai

Ø  Pihak manajemen senior mungkin tidak melakukan tanggungjawabnya atas sistem kontrol pada tingkat dasar karena masalah tersebut terlalu teknis

Ø  Berbagai kesalahan dapat muncul dalam desain sistem

Ø  Komunikasi seringkali tidak baik diantara para karyawan bagian sistem, pengguna, dan pihak manajemen, hingga para pengguna gagal untuk mengidentifkasi kontrol mana yang dibutuhkan untuk berbagai transaksi, pemrosesan data, serta menerima output informasi.

Ø  Pemrogran yang tidak bertanggungjawab dapat memasukan perintah ke dalam sistem agar dapat menyimpangkan aktiva demi kepentingan sendiri.

 

Kontrol umum

Kontrol organisasi

a. Deskripsi

Kontrol organisasional meliputi tanggungjawab dan otoritas yang memadai untuk aktivitas EDP. Tanggung jawab semacam ini haruslah mencukupi untuk memungkinkan aktivitas SI memenuhi tujuan organisasi secara efisien dan efektif.

Di dalam aktivitas SI, efisiensi ditingkatkan melalui pengelompokan fungsi yang tepat. Pengelompokan yang utama adalah:

Ø  Operasi dan produksi. Mengubah dokumen sumber tertulis ke bentuk yang dapat dikenali oleh mesin.

Ø  Pengembangan proyek. Mengembangkan sistem dan mendesain berbagai metode serta persyaratan baru.

Ø  Layanan teknis. Memilik peranti lunak dan menyediakan perawatan.

 

b. Audit internal

Para auditor internal bisa mengetahui dengan benar sistem tersebut dengan cara menelaah kebijakan manajemen, struktur organisasi, deskripsi kerja, laporan tenaga kerja dan lembur, prosedur operator sistem, operasi fasilitas dokumentasi dan penyimpanan, kontrol input/output, serta konversi data.

Para auditor internal harus mengamati operasi untuk menetapkan apakah pemisahan tugas yang dimaksudkan berhasil.

Siklus hidup pengembangan sistem

a. Deskripsi

Pada awal-awal tahun penerapannya, penggabungan SI memiliki kecenderungan gagal begitu akan digunakan. Ketidakberadaan suatu hal adalah alasanya yaitu keterlibatan para eksekutif dan para manajer pengguna SI.

Ø  Pada tahun-tahun berikutnya, sistem telah dijelaskan oleh beberapa faktor:

Ø  Fakta bahwa teknologi informasi masuk ke dalam setiap aspek bisnis dan pemerintahan, telah memaksa para manajer, karyawan dan para auditor untuk belajar tentang bagaimana cara berinteraksi dengan sistem informasi.

Ø  Makin “tidak jelasnya” populasi penolak komputer telah menyingkirkan banyak orang yang tidak dapat mengadaptasi lingkungan sistem informasi.

Ø  Meningkatnya pengajaran komputer dalam semua tingkat proses pendidikan telah menciptakan generasi pekerja baru yang merasa nyaman dengan komputer, senyaman mereka memprogram VCR mereka.

Ø  Meningkatkan dorongan untuk mengotomatiskan fungsi dan keamanan pekerjaan telah memberikan intensif bagi banyak manajer dan pekerja untuk menguasai penggunaan sistem.

 

Fungsi-fungsi komite pelaksana

Ø  Menyetujui berbagai kebijakan SI

Ø  Menyetujui rencana jangka panjang dan jangka pendek untuk sistem, pengawasan kemajuan desain sistem, dan pengembangan sistem.

Ø  Pengawasan umum atas implementasi, pelatihan, dan operasi sistem yang baru tersebut.

Ø  Pengawasan terus-menerus atas kecukupan serta akurasi peranti lunak dan peranti keras yang digunakan.

Ø  Penilaian atas pengaruh teknologi baru tersebut pada operasi SI organisasi.

 

Berikut ini adalah tahapan penting dan kontrol siklus hidup pengembangan sistem:

Ø  Permintaan atas desain sistem. Permintaan tertulis harus diserahkan oleh para pengguna yang memiliki otorisasi yang menyebutkan kebutuhan bisnis.

Ø  Studi kelayakan. Sebuah studi atas sistem yang ada saat ini dan kebutuhan analisis, biaya, waktu implementasi, dan potensi resiko harus dimaksukan kedalam studi kelayakan.

Ø  Desain sistem tingkat tinggi. Proyek yang diterima dan didanai diluar tahap kelayakan diteruskan kedalam tahap dsain sistem (umum) tingkat tinggi. Tahap –tahap utamanya meliputi:

Ø  Analisis input, pemrosesan, dan output (laporan, tampilan layar) dari sistem yang telah ada

Ø  Analisis persyaratan pengguna secara terinci

Ø  Spesifikasi fungsional mencantumkan hal-hal yang seharusnya dicapai oleh sistem tersebut dari perspektif bisnis.

Ø  Alternatif

 

Ø  Desain sistem terinci. Bersama dengan spesifikasi umum, analis sistem, dengan bantuan dari para pengguna, membuat cetak biru teknis dari sistem tersebut. Berbagai jenis metodologi dsain digunakan. Hal –hal berikut ini sering kali dimasukkan ke dalam dsain sistem yang terperinci:

Ø  Spesifikasi program terperinci

Ø  Tata letak arsip

Ø  Tata letak laporan dan tampilan online

Ø  Bagan alir sistem

Ø  Narasi sistem secara keseluruhan

Ø  Prosedur konversi data

Ø  Rencana-rencana pengujian

Ø  Penetapan elemen data (yaitu setiap field dalam setiap arsip didaftar dan ditentukan)

Ø  Pemberian kode dan pengujian program. Di dalam tahap ini, program akan diberi kode sesuai dengan spesifikasi program tertentu yang dikembangkan dalam tahap dsain sistem terinci.

Ø  Konversi. Apabila sebuah sistem yang lebih tua digantikan. Arsip-arsip datanya harus dikonversikan ke format yang baru.

Ø  Implementasi. Sebelum implementasi, telaah terakhir atas haris konversi dan tanda tangan manajemen sebagai pengguna akhir harus didapatkan.

 

b. Audit internal

Peran audit internal dalam studi kelayakan dan sistem bukanlah hal yang patut membuat iri. Para auditor internal harus berhubungan dengan para ahli dalam penugasan khusus. Mereka harus berpengetahuan, hati-hati, dan memebatu- tetapi mereka juga harus memeprtahankan independensi dan mengamati tujuan organisasi yang lebih luas. Mereka tidak selalu dapat melaksanakan fungsi mereka sendri seperti yang mereka inginkan, tetapi mereka akan melakukannya dengan jauh lebih baik jika mereka memiliki rencana tertentu dari tindakan yang ada dalam pemikirannya.

 

Keamanan data

a. Deskripsi

Data mungkin merupakan aktiva yang paling penting. Arsip dilindungi melalui sistem keamanan logis. Hal ini juga disebut sebagai “control akses logis” akses logis berbeda dari control akses fisik.

Sistem keamanan data yang efektif harus memebrikan kepastian bahwa:

Ø  Hanya para pengguna yang diotorisasimemiliki akses ke data.

Ø  Tingkat akses sesuai dengan kebutuhan.

Ø  Modifikasi data lengkap dengan jejak audit yang lengkap.

Ø  Akses yang tidak sah ditolak dan percobaan untuk masuk secara tidak sah dilaporkan.

 

Peranti lunak keamanan data dapat meliputi hal- hal seperti:

•     Enkripsi password agar tidak dilacak, bahkan oleh pemrogram.

•     Perubahan wajib password setelah beberapa hari lamanya sesuai denganyang ditetapkan.

•     Struktur yang membutuhkan password

Di samping control password, peranti lunak keamanan data juga memonitor dan mengkontrol akses ke berbagai sumber daya. Berikut ini adalah beberapa fitur umum dari mainframe beruang lingkup penuh paket peranti lunak keamanan data.

•     Akses ke arsip dan transaksi online dapat dibentuk sesuai dengan tiap orang dan departemen.

•     ID pengguna dapat dicabut jika terlalu banyak upaya untuk masuk kedalam dengan password yang tidak valid.

•     Transaksi dapat dibatasi ke terminal dan/atau karyawan tertentu.

•     Operasi terminal dapat dibatasi berdasarkan jam per hari atau berdasarkan jumlah hari dalam seminggu.

•     Batas “waktu habis” dapat dibuat.

•     Sistem keamanan menampilkan waktu terakhir dan tanggal ID digunakan.

•     Sistem tersebut dapat diatur untuk membutuhkan entri password di setiap transaksi.

 

 

b. Audit internal

Tiap organisasi berbeda dalam hal tingkat implementasi keamanan data mereka. Akan tetapi, terdapat sejumlah aturan dasar untuk lingkungan keamanan yang baik.

Pertama, dan paling utama, tanggung jawab atas keamanan sistem informasi terletak pada pihak manajemen senior organisasi.

Pihak manajemen senior  harus mengawasi bahwa:

Ø  Masalah akan ditentukan

Ø  Kebijakan organisasi dibuat

Ø  Struktur kepatuhan diimplementasikan.

Peran utama auditor internal adalah untuk mengevaluasi efektivitas sistem keamanan saat ini dan, jika kelemahan ditemukan, untuk merekomendasikan sistem terbaik yang sesuai dengan pratik bisnis organisasi serta faktor resikonya.

 

Keamanan Fisik

a. Deskripsi

Keamanan fisik mungkin merupakan kontrol yang paling mendasar dalam organisasi. Walaupun beban atas keamanan data kini telah bergeser ke kontrol peranti lunak akses logis yang canggih, keamanan fisik masih merupakan penjagaan utama dari berbaga iresiko, seperti kebakaran, listrik mati, penghancuran yang disengaja, serta pencurian informasi.

Area – area sensitivitas dapat dikategorikan ke dalam tiga area umum, yaitu:

Ø  Aksesfisik.

Ø  Pencemaran lingkungan

Ø  Perlindungan kebakaran dan banjir

 

Tercantum dibawah ini adalah beberapa area masalah utama dan kontrol fisiknya :

Akses tidak sah. Pusat data dan/atau bangunan operasional yang aman dengan aktivitas pemrosesan yang signifikan, harus membatas iakses hanya ke orang-orang yang memiliki otoritas.

Beberapa teknik khusus untuk menerapkan kontrol ini meliputi:

Ø  Akses kartu: kartu yang secara magnetis diberi kode, dikeluarkan untuk orang – orang yang memiliki otoritas, digunakan dengan memasukannya ke dalam sebuah slot yang membaca informasi di kartu tersebut dan mentransmisikannya ke komputer keamanan (biasanya sebuah PC) .akses diberikan atau ditolak berdasarkan pada catatan keamanan dalam computer.

 

Ø  Sistemakses biometric: teknologi ini tepat jika keamanan fisik yang menyeluruh dibutuhkan. Sistem ini bergantung pada karakteristik fisik untuk mengotentikasi akses permintaan individual.

 

Desain pusat komputer. Tingkat keamanan yang signifikan dari keamanan fisik dapat dicapai hanya melalui perencanaan yang baik. Berikut ini adalah beberapa faktor yang harus dipertimbangkan dalam pusat computer:

Ø  Pusat data harus dalam lokasi yang tersembunyi

Ø  Pusat data yang berada dalam wilayah rawan bencana alamharus memiliki prosedur yang tepat untuk memungkinkan sistem tersebut beroperasi selama dan/atau setelah bencana alam.

Ø  Ruang computer itu sendri harus tertutup oleh dinding

Ø  Tempat penyimpanan tape atau media penyimpanan lainnya harus tahap api.

Ø  Jumlah pintu untuk memasuki ruang computer harus diminimalkan (sesuai aturan kode kebakaran).

Ø  Pintu darurat harus dikunci dari luar dan diberi peringatan.

Ø  Control pengunjung dengan menggunakan monitor TV sirkuit terbatas dapat dibenarkan dalam beberapa organisasi.

Ø  dll

 

Pencegahan kebakaran. Walaupun merupakan hal yang penting bagi organisasi untuk mengembangkan kemampuan pemulihan dari bencana kebakaran. Penjagaan atas pencegahan kebakaran untuk pusat data adalah sebagai berikut:

Ø  Sistem alarm kebakaran harus dihubungkan ke pusat keamanan yang dijaga, atau ke departemen kebakaran jika pusat data tidak dijaga 24 jam per hari. Sistem alarm kebakaran harus secara priodik  diuji dan simulasi kebakaran harus dilakukan untuk memastikan evakuasi yang teratur dari gedung pada saat terjadinya kebakaran yang sesungguhnya.

Ø  Pendeteksi asap harus ada di sepanjang gedung. Kerusakan akibat asap atas computer dapat berasal dari api di kantor mana pun suatu gedung, bahkan jika kebakaran tersebut  jauh dari ruang computer. Sistem pemadam api yang tepat harus dipasang.

 

Perencanan Kontinjensi Dan Pemulihan Dari Bencana Deskripsi

 

Penyimpanan

 

Oleh karena berbagai risiko ini, merupakan hal yang penting bagi organisasi untuk selalu meyimpan data yang penting sekali paling tidak di dua media terpisah (contohnya, tape dan disk atau di dua tape). Arsip dan cadangannya jangan pernah diletakkan dalam paket disk yang sama. Prosedur yang umum adalah menyimpan arsip baru yang digunakan bekerja di dalam disk, menyimpannya ke dalam cadangan tape, serta secara periodic mengirim salinan tape yang kedua ke lokasi di luar kantor.

b. Audit Internal

Kehilangan data dapat menjadi masalah serius dan nyata bagi organisasi. Konsentrasi atas informasi pada media magnetis menambah masalahnya.

Auditor internal harus mengajukan pertanyaan berikut ini:

Ø  Bagaimana cara label internal digunakan?

Ø  Apakah label eksternal digunakan jika memungkinkan?

•     Apakah manajemen tape atau manajemen disk atau system manajemen arsip tersedia?

•     Apakah sudah terjadi “terminasi abnormal” disebabkan oleh ruang disk yang tidak mencukupi? Angka dalam jumlah besar menunjukan ruang disk yang tidak cukup atau manajemen yang kurang baik atas ruang tersebut.

•     Apakah rangkaian data generasi (konsep bertingkat) dipelihara? Apakah terdapat cukup banyak generasi yang dipelihara hingga jika terjadi kerusakan arsip, generalisasi yang sebelumnya dapat digunakan untuk mengembalikan data ke status terakhir?

•     Apakah tape dan media lainnya disimpan dengan benar? Apakah salinan disimpan di luar lokasi kantor serta di dalam kantor?

•     Apakah faktor-faktor lingkungan yang terkait (kelembapan dan suhu) dimonitor dan dikontrol? Apakah tape dibersihkan secara periodic?

•     Apakah arsip diberi nama sesuai dengan standardnya?

Auditor seharusnya tidak pernah lolos mengamati fakta bahwa tape komputer dapat berisi informasi organisasi bahkan setelah mereka telah habis masa kegunaanya.

 

Sistem Operasi

a. Deskripsi

System operasi adalah jantung komputer. Tnapa control yang memadai atas implementasi dan perawatannya, organisasi akan sering mengalami waktu kerusakan yang lama, pemrosesan yang salah, dan penipuan komputer yang sulit untuk dideteksi.

Sistem operasi dan peranti lunak system terkait lainnya adalah rangkaian dari system yang saling berhubungan dengan sejumlah besar pilihan yang dipilih oleh pemrogram system.

Dengan adanya pengetahuan teknis yang luas dari para pemrogram system, pemisahan tugas yang memadai membutuhkan peran penting dalam mengontrol akses yang dimiliki oleh para pemrogram ini ke aktiva organisasi. Para pemrogram system seharusnya tidak memiliki tanggung jawab aplikasi.

 

b. Audit Internal

Control system operasi, karena kerumitannya memungkinkan merupakan hal yang paling sulit untuk ditelaah bagi auditor internal. Analisis yang mendalam atas control system operasi membutuhkan bantuan ahli audit SI yang sangat terlatih. Akan tetapi, banyak control atas system operasi dan perawatannya mencerminkan praktik control tradisional.

Telekomunikasi

a.    Deskripsi

Auditor internal harus menilai integritas, keamanan, keandalan dan kinerja jaringan organisasi untuk menetapkan apakah data tersebut akurat dan tepat waktu.

Banyak organisasi yang sangat bergantung pada telekomunikasi. Kerusakan telekomunikasi apa pun akan berarti kerugian nyata atas pendapatan.

Di bawah ini adalah beberapa control telekomunikasi yang saat ini digunakan:

Ø  Penyusunan pesan: nomor pesan dimasukkan ke dalam setiap catatan yang ditransmisikan. Setiap nomor pesan ditambahkan satu angka ke depan begitu pesan yang sebelumnya dikirim. Komputer penerimanya akan mendeteksi apakah terjadi loncat nomor atau duplikasi nomor.

 

Ø  Enkripsi: data yang ditransmisikan “dipecah-pecah” dengan menggunakan alogaritma matematis rumit untuk melakukan encode data.

Ø  Alogaritma pemeriksa mandiri: berbagai teknik matematis yang canggih seperti “pemeriksaan berlebihan yang berulang” digunakan untuk menetapkan apakah ada informasi yang diubah selama transmisi.

Ø  Peranti lunak pemonitor jaringan: Peranti lunak pemonitoran memungkinkan para operator di lokasi pusat untuk mengidentifikasi dan mengantisipasi titik-titik lemah dalam jaringan telekomunikasi.

Ø  Panggilan kembali otomatis: banyak basis data komersial yang telah diakses dan dalam beberapa kasus, dirusak atau diubah untuk penipuan oleh para “hacker”.

Ø  Saluran khusus: bagi organisasi yang mentransfer jumlah tertentu data secara rutin, saluran khusus memberikan tingkat keamanan dan kualitas transmisi tingkat tinggi.

Ø  Prosedur penyetelan ulang/pemulihan: telekomunikasi dapat rusak tanpa peringatan.

Organisasi tanpa prosedur penyetelan ulang yang baik dapat memiliki masalah teknis membawa system tersebut online lagi.

 

 

b.    Audit internal

Keluasan auditor menelaah control telekomunikasi tentu saja akan bergantung pada tingkat kebergantungan organisasi pada telekomunikasi. Jika telekomunikasi digunakan sebagai alat utama untuk permintaan, control sederhana yang terkait dengan peranti keras mungkin sudah cukup. Jika dana yang sedang ditransfer atau saldo aktiva diubah melalui komunikasi jarak jauh, control tambahan (manual dan teknis) mungkin dibutuhkan.

Ketika organisasi mentransfer data secara elektronis ke organisasi lainnya, electronic data interchange (EDI) menjadi makin penting. EDI didesain dengan format terstandarisasi yang memungkinkan pemrosesan data secara konsisten dan akurat.

 

Perubahan Program

Auditor internal harus menentukan apakah perubahan diotorisasi, diuji, dan diimplementasikan dengan benar. Tanpa system control perubahan yang memadai, merupakan hal yang tidak mungkin untuk bersandar pada integritas pemrosesan dari aplikasi terpisah.

Penipuan komputer hanya terjadi kadang-kadang, sementara kesalahan pemrosesan data dan hilangnya data terjadi setiap hari.

Program control perubahan yang baik meliputi elemen-elemen berikut ini;

Ø  Keamanan: pemrograman dapat saja membuat perubahan atas salinan uji program komputer, tetapi hanya pustakawan yang benar-benar memindahkan program ujianya ke dalam lingkungan produksi.

Ø  Jejak audit: sejarah terperinci atas semua perubahan program dan JCL (job Control Language), harus dipelihara

Ø  Jaminan kualitas: system control perubahan memberikan kerangka kerja untuk system telaah kualitas SI. Organisasi dapat memiliki berbagai standar yang membutuhkan penelaahan dan otorisasi tertulis bagi para pengguna, supervisor pemrogram SI, supervisor operasi komputer, dan bahkan auditor internal.

Ø  Ketentuan untuk perubahan darurat: Di luar upaya yang ditunjukan untuk pengujian dan penjaminan kualitas, program kadang kala akan tetap berhenti berjalan (sering kali disebut sebagai “blowing up” atau “bombing”) atau memberikan hasil yang salah.

Ø  Kode sumber dan penelusuran perubahan JCL: di luar jejak audit yang dapat menunjukan program mana yang diubah dan kapan, daftar terinci dari setiap baris kode sumber yang telah diubah juga seharusnya tersedia.

 

Jadi, di dalam organisasi pemrosesan data yang memiliki control perubahan lemah, merupakan hal yang umum untuk beberapa perubahan secara misterius menghilang ketika versi baru dari vendor di-install. Kekhawatiran lainnya adalah bahwa perubahan-perubahan ini dapat berdampak pada kemampuan peranti lunak terkait untuk berfungsi dengan benar ketika versi yang baru di-install.

Kontrol perubahan dapat dianggap oleh beberapa orang sebagai overhead yang tidak perlu, kenyataannya control perubahan mengurangi jam pemprograman yang dihabiskan untuk perawatan. Jika

 

Peranti Keras

a.    Deskripsi

Keandalan dari peranti keras secara signifikan telah meningkat bersama dengan setiap generasi baru dari peranti keras. Akan tetapi, peranti keras akan terus menjadi potensi sumber kesalahan system dalam masa mendatang.

Ini adalah control dasar peranti keras yang dapat mengurangi peluang terjadinya berbagai kesalahan.

Ø  Pemeriksaan karakter yang berlebihan: walaupun control ini memiliki banyak bentuk dalam konfigurasi peranti keras penjual tertentu, control ini selalu didasarkan pada prinsip redundancy

Ø  Pemeriksaan proses duplikasi: suatu fungsi khusus dilakukan dua kali dan hasil-hasilnya diperbandingkan. Perbedaan apapun akan ditandai sebagai kesalahan peranti keras.

Ø  Pemeriksaan peralatan: control elektronis dibentuk dalam sirkuit untuk mendeteksi kesalahan dan member peluang mencoba kembali secara otomatis.

 

b.    Audit Internal

Auditor internal harus mengetahui kebutuhan atas control dasar peranti keras, terutama dalam area telekomunikasi.

Khususnya dalam bidang SI, auditor internal harus menghindari pemikiran “baris pertahanan” (Maginot Line), yaitu bersandar pada control yang kuat untuk menghentikan 100persen kerusakan dari sumber tertentu.

 

Kontrol Aplikasi

Control aplikasi adalah control yang memberikan jaminan bahwa aplikasi tertentu akan diproses sesuai dengan spesifikasi pihak manajemen dan bahwa pemrosesan tersebut akurat, tepat waktu, diotorisasi, dan lengkap

Berikut ini adalah daftar eksposur yang timbul dari pemrosesan aplikasi beserta kontrolnya-input, pemrosesan, dan output-untuk mengurangi eksposur-eksposur tersebut:

Ø  Kehilangan Input: transaksi yang ditransmisikan dari suatu lokasi ke lokasi lainnya, sangat rawan untuk hilang.

Ø  Duplikasi input: hal ini dapat terjadi ketika ada input yang dianggap hilang (padahal tidak).

Ø  Pencatatan input yang tidak akurat: nomor-nomor yang salah atau kesalahan eja adalah contoh-contoh yang umum.

Ø  Informasi yang hilang: hal ini sudah pasti membuat input menjadi tidak lengkap.

Ø  Transaksi yang tidak tercatat: hal ini meliputi tidak hanya kecerobohan tanpa sengaja, tetapi juga merupakan akibat dari pencurian dan penggelapan.

Ø  Otorisasi: otorisasi meliputi gabungan banyak transaksi mungkin diperlukan karena jumlah transaksi yang sangat besar, tetapi ketiadaan focus pihak manajemen pada pos-pos individual dapat meloloskan transaksi yang tidak seharusnya terjadi.

Ø  Transaksi: transaksi yang dimuali oleh system meliputi pemesanan kembali persediaan secara otomatis dan pembayaran kepada para pemasik.

Ø  Output dikirim secara tidak benar: informasi output dikirim ke orang yang salah. Output terlambat dikirim ke tujuannya hingga tidak lagi bernilai. Output tidak benar.

Ø  Banyak kesalahan yang terdeteksi: analisis yang lengkap secara fisik tidak mungkin dilakukan dan/atau adanya pesanan yang belum terpenuhi(backlogs) yang menggangu.

Ø  Pemrosesan yang tidak lengkap: kesalahan pemrograman atau kesalahan administrative.

Ø  Pemrosesan yang dilakukan terlambat: pemrosesan tersebut mungkin benar tetapi pengenalan bagan terkait mungkin tidak tepat waktu.

Ø  Hilang: arsip hilang ketika berada dalam pemrosesan. Mundurnya orang-orang yang ahli, ditambah dengan tidak adanya dokumentasi yang memadai.

 

Kontrol Input

a.    Deskripsi

Control input membantu memperkuat hubungan yang lemah dalam rantai kegiatan system informasi (SI), semua cara pemeriksaan dan penyeimbangan dapat dibangun ke dalam program untuk memastikan pemrosesan, penyimpanan, dan penarikan data yang benar, tetapi semua ini tidaklah berguna jika komputer diberi data yang salah atau tidak lengkap dari semua.

Sistem control batch dapat memberikan jaminan bahwa tidak ada data yang hilang ketika data tersebut ditransmisikan dari satu tempat ke tempat lainnya sebelum data itu mencapai komputer.

 

Kontrol input lainnya meliputi :

Ø  Jumlah total (hash total) : nilai total ini tidak memiliki arti tertentu,tetapi berguna sekali karena mereka menambah jumlah numeric dari informasi nonkeuangan untuk mencegah kehilangan selama pemrosesan aplikasi.

Ø  Pemeriksaan format (format check) : pemeriksaan ini menunjukkan bahwa data dimaksukkan ke dalam bentuk yang sesuai dan dalam field yang telah ditetapkan.

Ø  Pemeriksaan batas (limit check) : pemeriksaan ini memastikan input tidak melebihi kisaran yang numerik yang ditetapkan,seperti jam kerja mingguan maksimum.

Ø  Pemeriksaan kewajaran (reasonableness check): pemeriksaan ini dilakukan melalui perbandingan input dengan informasi lainnya yang tersedia dalam catatan yang ada.

Ø  Pemeriksaan field (field check) : pemeriksaan ini menunjukkan kelengkapan informasi,seperti alamat untuk pelanggan baru.

Ø  Pemeriksaan numeric (numerical check) : pemeriksaan ini memastikkan bahwa data alfabetis tidak dimasukkan kedalam field yang dikhususkan untuk data numerik.

Ø  Pemeriksaan historis (historical comparison) : pemeriksaan ini menunjukkan apakah informasi yang ada saat ini dapat dibandingkan dengan informasi sebelumnya.

 •     Pemeriksaan urutan (sequence checking) : pemeriksaan ini memverifikasi urutan alfanumerik dari field kunci dalam bagian data yang akan diproses.

•     Pemeriksaan kelebihan beban (overflow checking) : pemeriksaan ini adalah pemeriksaan programatis untuk mencegah kelebihan kapasitas memori atau field dalam menerima data

•     Angka pemeriksaan (check digit) : control ini adalah fungsi dari angka lainnya dalam sebuah angka dan memungkinkan algoritma matematis menetapkan apakah angka tersebut telah diketik denganbenar.

•     Verifikasi ketikan (keystroke verification) : dengan memasukkan data ke dalam keyboard kedua kalinya (dan lebih baik dilakukan oleh orang yang berbeda),input yang salah dapat dideteksi melalui sinyal mekanis.

•     Otorisasi dan persetujuan (authorization and approval) : terdapat dua jenis otorisasi. Pertama adalah izin dimuka. Persetujuan terjadi setelah terdapat kenyataan dan menganggap bahwa sejenis edit atau telaah akan dilakukan.

•     Rekonsiliasi dan penyeimbangan (reconciliation and balancing) : terdapat  dua jenis rekonsiliasi. Pertama bertujuan untuk menganalisis perbedaan,yang kedua adalah untuk membuat uji persamaan.

•     Label arsip (file label) : label ini mengidentifikasi transaksi,arsip,dan output.

 

Kontrol input harus memiliki criteria desain berikut ini :

Ø  Transaksi pembaruan (pemutakhiran) : proses ini melibatkan data dalam jumlah besar dan biasanya berulang teknik-teknik seperti pemeriksaan kewajaran dan pemeriksaan logika program aplikasi dapat membantu mengontrol inputnya.

Ø  Permintaan : transaksi ini tidak mengubah arsip tetapi dapat mengakibatkan pembaruan atau pemeliharaan arsip sebagai hasil dari permintaan. Daftar permintaan biasanya mengontrol akses semacam ini ke computer.

Ø  Perbaikan kesalahan : transaksi ini menyebabkan kesulitan paling besar dan merupakan transaksi yang paling sulit dikontrol.

 

b.    Audit Internal

Sebagian besar dari semua kesalahan yang masuk ke dalam sistem adalah hasil dari kesalahan input. Auditor internal harus menganggarkan sebagian besar dari jam kerja total para karyawan untuk menelaah kembali control input.

Kontrol Pemrosesan

a.    Deskripsi

Akses ke komputer harus dibatasi ke orang-orang yang memiliki otorisasi untuk mengoperasikan peralatan tersebut. Program objek harus hanya dapat diakses ke operator peralatan tersebut.

Fungsi pengelola sistem siap jadi biasanya memiliki aplikasi jadwal yang harus dijalankan dan memiliki urutan pengoperasian yang tepat. Operator hanya memiliki sedikit kemampuan untuk melakukan intervensi dalam pemrosesan dan untuk mengakses data dalam arsip.

Parameter pemrosesan ini beserta jenis lainnya dikontrol oleh personel manajemen yang telah ditugaskan untuk melakukannya.

 

b.    Audit Internal

Tujuan dari auditor internal dalam menelaah control pemrosesan adalah untuk menilai apakah aplikasi tersebut memproses data input secra akurat dan tepat waktu,sesuai dengan keinginan pihak manajemen,dan tidak ada modifikasi secra tidak sah atas data.

 

Kontrol Output

a. Deskripsi

Control output menetukan akurasi dan kewajaran informasi yang diproses. Control output juga meliputi penyimpanan laporan output. Total catatan yang diproses harus sesuai dengan total input catatan. Control output juga meliputi penanganan yang tepat atas berbagai pengecualian.

Daftar ini dicetak jika dibutuhkan :

Ø  Laporan : laporan ini harus tepat waktu,akurat,dan berarti. Kerahasiaan harus dipastikan. Format harsulah berguna bagi pembaca. Data dalam jumlah besar harus diringkas. Para penerima harus ditanya pendapatnya secra periodic untuk mengetahui apakah mereka masih membutuhkan laporan tersebut atau tidak.

Ø  Dokumen kerja : dokumen ini berbentuk cek,saving bonds,pesanan pembelian,dll. Keamnan tentu saja adalah hal yang penting untuk dipertimbangkan bersama dengan kepastian bahwa input diseimbangkan dengan output.

Ø  Dokumen referensi : dokumn ini digunakan untuk memperlihatkan apa yang terdapat di computer jika fungsi computer terganggu. Output semacam ini biasanya dalam bentuk magnetis.

Ø  Laporan kesalahan : walaupun biasanya jumlahnya kecil,hal ini bisa sja rumit dan sulit untuk ditangani. Laporan ini dikirim ke orang yang tepat untuk langkah perbaikan,dan harus dikontrol untuk memastikan bahwa tindakan perbaikan telah diambil dan laporan yang telah diperbaiki.

 

b. Audit Internal

Beberapa langkah khusus yang dapat dilakukan adalah:

•     Tetapkan apakah kelompok control atau pengguna menyeimbangkan dan merekonsiliasi output.

•     Tetapkan apakah pengecualian ditandai dalam laporan.

•     Pelajari jumlah total dalam laporan untuk kewajarannya. Pengujian independen dari total field yang sangat penting,mungkin dibutuhkan.

•     Tetapkan apakah standar pelaporan telah dipenuhi

•     Tetapkan apkah laporan relevan (atau bahkan digunakan),tepat waktu,andal,dan teratur di pilih dengan benar.

•     Tetapkan apakah daftar output dan daftar distribusi dipelihara atau tidak. Tetapkan apkah laporan hilang atau salah jalur.

•     Tetapkan apkah kelompok control menggunakan daftar untuk memastikan bahwa semua laporan telah diterima.

•     Tetapkan apakah daftar laporan yang meringkas semua laporan yang dibuat selama proses batch tersedia bagi pengguna.

•     Tetapkan aplikasi kebijakan retensi yang tepat telah dibuat untuk output aplikasi seperti laporan salinan kertas dan microfiche.

•     Tetapkan apakah penyimpanan ganda dan control lainnya ditegakkan untuk melindungi output yang sensitive/mudah diubah. Seperti cek,sertifikat saham,atau daftar penggajian.

 

Jejak Audit

a.    Deskripsi

Jejak audit dan control ada hanya untuk kenyamanan auditor; bukan juga harus menjadi alat untuk manajemen. Fungsi jejak audit dan control adalah untuk menelusuri dan memperbaiki pengecualian jejak tersebut membantu para personel memperbaiki kesalahan dan mengontrol kualitas transaksi.

b.     Audit Internal

Para auditor internal harus memberikan kontribusi untuk memasukkan jejak transaksi.Mereka seharusnya tidak mendikte jejak tertentu,yang akan memengaruhi independensi mereka.Akan tetapi,mereka harus mampu memuaskan dirinya dan pihak manajemen,bahwa jejak transaksi dan control yang dibutuhkan telah ditegakkan. Mereka tidak dapat menjadi orang yang mengotorisasi sistem tersebut mereka harus mengevaluasi sistem yang di usulkan dan jika control yang dibutuhkan kurang melaporkan ketiadaan tsb ke pihak manajemen. Para uditor internal adalah pengguna utama dari setiap sistem.

Auditor internal juga harus terus mengingat kebutuhan pengguna lainnya.

 

Dampak E-Business

Perbedaan utama ntara bisnis tradisional dan e-business adalah bahwa pelanggan tidak secara fisik hadir atau sedangkan dalam proses komunikasi dengan seorang wakil perusahan ketika transaksi terjadi.

Entitas dapat menggunakan e-commerce untuk menjual kepada memberikan informasi kepada dan atau berkomunikasi dengan para pelanggan.

Agar dapat melakukan hal ini, perusahaan harus mempertimbangkan biaya yang di libatkan,control yang ada untuk memastikkan validitas transaksi,serta keamnan perlindungan data. Dalam menangani e-business perusahaan harus mempertimbangkan masalah yang sama dan juga jumlah data yang akan diizinkan untuk diakses oleh para “mitranya” dan portal yang akan digunakan.

 

Peranti Lunak yang Dipasok Vendor

a.    Deskripsi

Tren menuju peranti lunak komersial siap pakai yang lengkap dan fleksibel telah menghasilkan sejumlah manfaat dan penghasilan :

Ø  Dokumentasi dari paket peranti lunak seringkali (tetap tidak selalu)lebih baus dari sistem yang di bangun secra internal.

Ø  Pengujian,paling tidak untuk paket peranti lunak yang terkenal biasanya lebih menyeluruh daripada sistem yang dibangun secra internal.

Ø  Jika personel SI utama tidak ada (akibat bencana alam atau keluar),personel vendor-sebagai upaya terakhir dapat digunakan untuk mengatasi masalah pemrosesan yang butuh penanganan segera.

Ø  Fleksibilitas sistem yang dipasok oleh penjual dapat juga menjadi suatu perhatian.

Ø  Dll.

 

Peranti lunak untuk keseluruhan perusahaan

 

a.    Deskripsi

adalah salah satu jenis peranti lunak pasokan vendor yang telah menarik perhatian selama ini di berbagai perusahaan raksasa dan makin menarik perhatian banyak perusahaan besar hingga perusahaan menengah.

Auditor internal perlu dilibatkan secara dekat dalam aplikasi semacam itu karena keluasan dari perekayasa ulang yang dilibatkan dan biaya untuk implementasi.

Area penting lainnya yang harus dipertimbangkan oleh auditor meliputi rencana umum untuk melatih personel. Cara auditor akan mengaudit sistem tersebut dan rencana konversi. Rencana konversi sangat penting terutama karena sifat terintegrasi dari sistem.

 

b.    Audit Internal

Audit internal harus berfokus pada 2 faktor utama ketika menelaah paket peranti lunak yang di pasok oleh vendor : (1) Proses evaluasi dan pemilihan dan (2)Perawatan integritas paket peranti lunak tersebut sepanjang waktu

Ø  Beberapa faktor yang harus dipertimbangkan meliputi :

Ø  Stabilitas penjual

Ø  Pengenalan dasar bagi pengguna

Ø  Umur sistem

Ø  Kepuasan pengguna saat ini

Ø  Standar control kualitas vendor

Ø  Kecepatan pemrosesan pada sistem organisasi

Ø  Kecukupan dokumtasi

Ø  Ketersediaan saluran khusus/help desk vendor

Ø  Fleksibilitas sistem (misalnya; apakah sistem tersebut memiliki penulis laporan yang memungkinkan para pengguna mengembangkan laporan tanpa bantuan dari departemen pemrograman)

 

Computer Personal dan Pengguna Akhir

a.    Deskripsi

Perkembangan teknologi informasi yang cepat telah merangsang berbagai aktivitas pemrosesan informasi pada tingkat pengguna akhir.

Pemrosesan pengguna akhir dengan PC berpotensi menghadapkan perusahaan pada kerugian atau kerusakan data, kesalahan dalam logika pemrograman, kehilangan layanan pemrosesan sertta perubahan program dan data karena adanya penipuan.

b.    Audit internal

Penelaahan auditor internal atas komputasi pengguna akhir harus diarahkan pada aplikasi yang lebih tinggi resikonya. Jika PC digunakan hanya untuk pembuatan memo yang tidak rahasia sifatnya, tingkat penelaahan harus minimal jika memang ada. Dilain pihak, jika sistem PC digunakan untuk menagih pelanggan yang berjumlah jutaan dolar, auditor internal harus mengincar sistem tersebut untuk ditelaah secara terperinci.

 

Pemrosesan Terdistribusi

a.    Deskripsi

Teknologi informasi tela berubah secara mendasar dalam 30 tahun belakangan ini. Pada awal-awal masa pemrosesan data, kebanyakan perusahaan memproses semua transaksi dalam mainframe pusat dan melakukan pemrosesan yang tidak penting dalam komputer-komputer kecil (terdistribusi).

Pemrosesan yang saat ini terdistribusi terdapat dalam banyak bentuk.

Peranti lunak jaringan yang digunakan untuk PC berbasis LAN lebih rumit dari peranti lunak komunikasi sederhana. Dalam banyak kasus, peranti lunak tersebut adalah system operasi yang menggantikan system operasi pengguna tunggal tradisional dan berisi pilihan yang kompleks, termasuk ntuk keamanaan. Tingkat pegetahuan dari administrator LAN sangat penting bagi opersi LAN yang baik.

 

Berikut ini adalah daftar factor risiko yang dapat ditemukan dalam jaringan umum pemrosesan data terdistribusi :

Ø  Kurangnya pemisahan tugas

Ø  Kurangnya control perubhan program

Ø  Peranti lunak sering kali memiliki program utilitas yang lengkap sehingga dapat memodifikasi data pada hard disk atau tape tanpa adanya jejak audit.

Ø  Bahasa interpretative dapat digunakan untuk memodifikasi data.

Ø  Kontrol akses mungkin kurang dalam system minicomputer dan tampaknya tidak ada dalam system PC.

 

b.    Audit Internal 

Pemrosesan terdistribusi memberikan tantangan signifikan bagi auditor internal. System mungkin saja secara geografus terpisah, memiliki vendor yang berbeda, dan sulit untuk diaudit dari segi teknis. Beberapa area yang harus ditelaah oleh auditor internal meliputi :

Ø  Pemisahan tugas

Ø  Standar pemrograman

Ø  Kontrol perubahan program

Ø  Kontrol prosedural

Ø  Kontrol keamanan data dan akses

Ø  Integrasi basis data

Ø  Basis data terdistribusi “rangkaian jaringan”

Ø  Pembuatan cadangan dan pemulihan dari bencana

Ø  Keahlian pengguna

Ø  Telekomunikasi

 

Dokumentasi

a.     Deskripsi

Dokumentasi yang baik adalah tanda dari fasilitas pemrosesan datayang dijalankan dengan baik. Dokumentasi adalah hal yang mendasar, dokumentasi sering kali dibutuhkn oleh pihak manajemen untuk menetapkan kecukupan fungsi suatu program, oleh para pemogram yang memiliki alasan untuk membuat perubahan dalam program komputer, dan oleh para auditor, baik internal maupun eksternal, untuk menelaah kontrol dan mengembangkan peranti lunak audit.

Program dokumentasi yang komprehensif untuk sistem yang terkomputerisasi meliputi bentuk-bentuk dokumentasi sebagi berikut :

Ø  Dokumentasi sistem

Ø  Dokumentasi program

Ø  Dokumentasioperasi

Ø  Dokumentasiperpustakaan

Ø  Dokumentasipengguna

Ø  Dokumentasikontrol

 

b.    Audit Internal

Para auditor internal harus menelaah prosedur yang ada berkenaan dengan pembuatan dokumentasi. Auditor internal harus secara khusus memerhatikan dokumentasi atas prosedur kontrol perubahan yang memungkinkan adanya manipulasi.

Efisiensi dalam Sistem Informasi

a.    Deskripsi

Studi kelayakan untuk SI harus memperhitungkan konsep efisiensi dalam sistem informasi. Operasi akan menjadi efisien dan ekonomis jika sistem dan aplikasi tersebut membantu pihak manajemen mengarahkan perusahaan menuju tujuan dan sasaran yang telah ditetapkan, tanpa membuang waktu, energi dan uang.

Aktivitas SI membutuhkan sistem akuntansi biaya yang memadai. Aktivitas ini harus menetapkan proyek kegiatan tertentu yang dibutuhkan untuk memenuhi tujuan pihak manajemen. Aktivitas tersebut harus menetapkan metode dan pusat biaya terperinci untuk menelusuri dan mengontrol kemajuan dari proyek atau kegiatan.

 

b.    Audit Internal

Fungsi auditor internal yang penting adalah meyakinkan pihak manajemen bahwa sistem dan aplikasi akan beroperasi atau sedang beroperasi sesuai dngan tujuannya, dan memperingatkan pihak manajemen atas kegagalan dalam bentuk apapun.

Para auditor internal harus melakukan evaluasi untuk menetapkan apakah sumber daya personal, property dan ruang digunakan secara efisien dan ekonomis. Mereka harus mengetahui apakah operasi memberikan hasil yang diharapkan. Mereka menelaah kecukupan pernyataan kebutuhan misi dan tujuan sistem tersebut, study kelayakan serta evaluasi desain alternatif, analisis biaya manfaat dan apakah hal ini berhubungan dengan manfaat dan biaya alternatif sistem lainnya atau tidak.

 

Ketentuan Hukum

a.    Deskripsi

Di sektor publik, undang-undang privasi telah ditegakkan di tingkat nasional dan Negara bagian. Undang-undang ini mlarang pengumpulan dan penggunaan jenis informasi tertentu. Berdasarkan Privacy Act of 1974 [Undang-undang Privasi tahun 1974], lembaga-lembaga tingkat nasional ang berada dalam yurisdiksi undang-undang tersebut diminta untuk membuat penjagaan administratif, teknis, dan fisik agar dapat memastikan privasi informasi pribadi.

Agar sesuai dengan Privacy Act of 1974 dari pemerintah, setiap lembaga pemerintahan diminta untuk :

•     Membuat penjagaan yang memadai untuk memastikan keamanan dan kerahasiaan catatan, dan 

•     Melindungi diri dari berbagai ancaman atau kerusakan atas keamanan atau integritas mereka yang dapat mengakibatkan bahaya yang substantive, memalukan, ketidaknyamanan, atau ketidakadilan atas seseorang yang informasinya dikumpulkan.

 

b.    Audit Internal

Fungsi audit internal sehubungan dengan undang-undang dan peraturan pemerintah lainnya kurang lebih sama. Para auditor harus memastikan bahwa semua ketentuan tersebut diketahui dengan baik, para auditor harus berkonsultasi dengan konsultan hukum untuk memahami ketentuan yang ada dan langkah yang harus diambil berdasarkan ketentuan tersebut

Para auditor internal harus memerhatikan bukan hanya kepatuhan yang sesungguhnya, tetapi juga harus memerhatikan bagaimana kepatuhan semacam itu dapat dibuktikan jika da keraguan atas hal tersebut.Kembali lagi, undang-undang privasi, ketakutan atas pelanggan juga dapat menekan pihak manajemen kedalam kontrol yang luas.

 Sumber:

Sawyer, Lawrence B. 2005. Sawyer’s International Auditing. Jakarta: Salemba Empat.