Proses Audit
2.1 Tekhnologi Informasi
2.1.1
Dalam Oxford
English
Dictionary (OED2)
edisi
ke-2
di
dalamnya jaringan
dan
telekomunikasi yang
biasanya
dalam
konteks bisnis atau usaha. Menurut Haag dan Keen (1996), Teknologi informasi
adalah seperangkat alat yang membantu anda bekerja dengan informasi dan
melakukan tugas-tugas yang berhubungan dengan pemrosesan informasi. Menurut
Martin (1999), Teknologi informasi tidak hanya terbatas pada teknologi
komputer (perangkat keras dan perangkat lunak) yang akan digunakan untuk
memproses dan menyimpan informasi, melainkan juga mencakup teknologi
komunikasiuntuk mengirim/menyebarkan informasi. Sementara Williams dan
Sawyer (2003), mengungkapkan bahwa teknologi informasi adalah teknologi yang
menggabungkan komputasi (komputer) dengan jalur komunikasi kecepatan tinggi
yang membawa data, suara, dan video.
Dari defenisi di atas, nampak bahwa teknologi informasi tidak hanya
terbatas
pada
teknologi
komputer,
tetapi
juga
termasuk teknologi
Teknologi Komunikasi merupakan segala hal yang berkaitan dengan penggunaan alat bantu
untuk memproses dan mentransfer data dari perangkat yang satu ke lainnya.
Oleh karena itu, Teknologi Informasi dan Teknologi Komunikasi adalah suatu
padanan yang tidak terpisahkan yang mengandung pengertian luas tentang segala kegiatan
yang terkait dengan pemrosesan, manipulasi, pengelolaan, dan transfer/pemindahan informasi
antar media.
Secara khusus, tujuan mempelajari Teknologi Informasi dan Komunikasi adalah:
1. Menyadarkan kita akan potensi perkembangan teknologi informasi dan komunikasi yang
terus berubah sehingga termotivasi untuk mengevaluasi dan mempelajari teknologi ini
sebagai dasar untuk belajar sepanjang hayat.
2. Memotivasi kemampuan kita agar bisa beradaptasi dan mengantisipasi perkembangan TIK,
sehingga bisa melaksanakan dan menjalani aktifitas kehidupan sehari hari secara mandiri dan
lebih percaya diri.
3. Mengembangkan kompetensi kita dalam menggunakan Teknologi Informasi dan Komunikasi
untuk mendukung kegiatan belajar, bekerja, dan berbagai aktifitas dalam kehidupan seharihari.
4. Mengembangkan kemampuan belajar berbasis TIK, sehingga proses pembelajaran dapat
lebih optimal, menarik, dan mendorong kita lebih terampil dalam berkomunikasi, terampil
mengorganisasi informasi, dan terbiasa bekerjasama.
5. Mengembangkan kemampuan belajar mandiri, berinisiatif, inovatif, kreatif, dan bertanggung
jawab dalam penggunaan Teknologi Informasi dan Komunikasi untuk pembelajaran, bekerja,
dan pemecahan masalah sehari-hari.
Pengertian teknologi secara umum
Produk yang digunakan dan dihasilkan untuk memudahkan dan meningkatkan kinerja.
Struktur atau sistem di mana proses dan produk itu dikembamngkan dan digunakan.
Kemajuan teknologi adalah sesuatu yang tidak bisa kita hindari dalam kehidupan ini,
karena kemajuan teknologi akan berjalan sesuai dengan kemajuanm ilmu pengetahuan. Setiap
inovasi diciptakan untuk memberikan manfaat positif bagi kehidupan manusia. Memberikan
banyak kemudahan, serta sebagai cara baru dalam melakukan aktifitas manusia. Khusus
dalam bidang teknologi masyarakat sudah menikmati banyak manfaat yang dibawa oleh
inovasi-inovasi yang telah dihasilkan dalam dekade terakhir ini. Namun demikian, walaupun
pada awalnya diciptakan untuk menghasilkan manfaat positif, di sisi lain juga memungkinkan
digunakan untuk hal negatif.
Teknologi merupakan keseluruhan cara yang secara rasional mengarah pada ciri
efisiensi dalam setiap kegiatan manusia. Perkembangan teknologi terjadi bila seseorang
menggunakan alat dan akalnya untuk menyelesaikan setiap masalah yang dihadapinya.
2.1.2
Perkembangan Tekhnologi
Teknologi Informasi merupakan teknologi yang dibangun dengan basis utama
Semakin canggih dukungan teknologi tersebut, semakin besar pula arus informasi dapat
dialirkan dengan jangkauan dan dampak global.
Di sisi yang lain ternyata perkembangan IT dapat berbahaya karena dikhawatirkan
dengan begitu kencangnya aliran informasi tersebut dapat menyebabkan jati diri dan budaya
bangsa ikut luluh lantak terbawa arus. Semakin menipisnya nilai-nilai budaya lokal akibat
pengaruh globalisasi. Contohnya, berapa banyak koleksi lagu-lagu lokal/daerah yang kita
punya?
Perkembangan iptek, terutama teknologi informasi (information technology) seperti
internet sangat menunjang setiap orang mencapai tujuan hidupnya dalam waktu singkat,
baik legal maupun illegal dengan menghalalkan segala cara karena ingin memperoleh
keuntungan secara singkat. Dampak buruk dari perkembangan dunia maya ini tidak dapat
dihindarkan dalam kehidupan masyarakat modern saat ini dan masa depan. Berkembangnya
teknologi informasi menimbulkan pula sisi rawan yang gelap sampai tahap mencemaskan
dengan kekhawatiran pada perkembangan tindak pidana di bidang teknologi informasi yang
berhubungan dengan cybercrime atau kejahatan mayantara.
Jika kita melihat tayangan di TV mengenai informasi atau film tentang kriminalitas
dengan modus yang canggih maka ini sebenarnya merupakan inspirasi bagi pelaku kejahatan
lainnya. Proses meniru tayangan kriminalitas ini yang dikenali sebagai modeling perilaku
kejahatan. Apalagi kalau kita mencermati modus operasi kejahatan di dunia maya (internet)
yang sedang marak maka seolah-olah mudah sekali melakukan kejahatan yang dibantu
dengan media komunikasi berteknologi tinggi. Masih ingat kasus penipuan melalui e-mail,
HP dan chatting?
Audit
Pengertian Audit menurut Arens, et al. (2003) yang diterjemahkan oleh Kanto
2.2.2
Sistem Informasi
Komputerisasi
Definisi komputerisasi yang berasal dari kata komputer (Computer) diambil dari
bahasa latin Computare yang berarti menghitung (to compute atau reckon). Komputer
adalah sistem elektronik untuk memanipulasi data yang cepat dan tepat serta dirancang dan
diorganisasikan supaya secara otomatis menerima dan menyimpan data input, memprosesnya,
dan menghasilkan output di bawah pengawasan suatu langkah-langkah instruksi-instruksi
program yang tersimpan dimemori (stored program). Komputerisasi merupakan aktivitas
yang berbasis pada komputer (Computer Based System).
2.2.4
Akuntansi
Definisi akuntansi (Accounting) menurut (Jerry J. Weygandt, Donald E. Kieso, Paul
D. Kimmel, 1999) : akuntansi adalah suatu proses untuk tiga kegiatan yaitu :
mengidentifikasi, mencatat, dan komunikasi kejadian ekonomi pada sebuah organisasi baik
binsis ataupun non bisnis.
2.2.5
1. Akuntansi yang berbasis pada sistem informasi komputerisasi akuntansi dapat menghasilkan
buku besar yang berfungsi sebagai gudang data (data warehouse). Di mana seluruh data yang
tercantum dalam dokumen sumber dicatat dengan transaction processing software ke dalam
general ledger yang diselenggarakan dalam bentuk shared data base sehingga dapat diakses
oleh personel atau pihak luar yang diberi wewenang.
2. Pemakai informasi akuntansi dapat memanfaatkan informasi akuntansi dengan akses secara
langsung ke shared data base.
3. Sistem informasi komputerisasi akuntansi dapat menghasilkan informasi dan laporan
keuangan multi dimensi.
risiko IT. Hal ini penting dalam perusahaan karena manajemen menggunakan IT untuk
memproses data mengenai transaksi yang sedang berlangsung atau terjadi. Entitas bisnis dan
organisasi lainnya terlibat dan dipengaruhi oleh banyak kegiatan. Seperti jika suatu peristiwa
terjadi, sistem informasi mengumpulkan data mengenai peristiwa tersebut. Misalnya, ketika
pelanggan membeli suatu produk, sistem informasi mengumpulkan data mengenai produk,
pelanggan, tenaga penjual, kuantitas, dan sebagainya. Akhirnya data-data berubah menjadi
informasi, mungkin dalam bentuk laporan keuangan. Sistem Informasi dalam sebuah
organisasi terlibat dalam suatu proses terus-menerus, mengumpulkan data tentang transaksi
risiko dan melaksanakan atau memantau kontrol atas risiko tersebut. Peran auditor IT
bervariasi sesuai dengan posisi mereka di dalam atau di luar organisasi dan dengan proyek
individu tertentu. Tingkat keahlian yang diperlukan untuk juga bervariasi dari yang sangat
teknis hingga yang memerlukan keterampilan komunikasi yang baik.
Auditor TI bekerja baik sebagai auditor internal atau eksternal. Auditor tersebut
kemungkinan akan menilai risiko dan kontrol TI. Kadang-kadang hal ini dilakukan sebagai
pendukung untuk pekerjaan audit keuangan, dan pada waktu lain tujuan evaluasi risiko dan
kontrol TI dilakukan untuk kepentingan diri sendiri. Pada dasarnya auditor TI dapat
memberikan jaminan atau memberikan kenyamanan atas apa saja yang berhubungan dengan
sistem informasi. Disamping itu, terdapat beberapa jenis pekerjaan yang dapat dilakukan oleh
auditor IT termasuk:
-
Memberikan jaminan atas proses tertentu. Hal ini mungkin berupa prosedur audit yang
disepakati di mana klien dan auditor IT menentukan cakupan jaminannya.
Memberikan jaminan kepada pihak ketiga. Auditor IT seringkali harus mengevaluasi risiko
dan kontrol atas sistem informasi pihak ketiga dan memberikan jaminan kepada orang lain.
Pengujian akan adanya resiko pembobolan data. Hal ini melibatkan proses untuk mencoba
mendapatkan akses ke sumber daya informasi untuk menemukan kelemahan dari sistem
keamanan.
Pendukung audit keuangan. Hal ini mencakup evaluasi mengenai resiko dan control IT yang
dapat mempengaruhi keandalan sistem pelaporan keuangan.
Menyelidiki penipuan berbasis IT. IT auditor bisa dipanggil untuk membantu investigasi
dalam penyelidikan penipuan
2.2.8
Proses Audit
Audit adalah Suatu pemeriksaan yang dilakukan secara kritis dan sistematis oleh
pihak yang independen, terhadap laporan keuangan yang telah disusun oleh manajemen
beserta catatan-catatan pembukuan dan bukti-bukti pendukungnya, dengan tujuan untuk dapat
memberikan pendapat mengenai kewajaran laporan keuangan tersebut.
Audit adalah Suatu proses pengumpulan dan pengevaluasian bahan bukti tentang
informasi yang dapat diukur mengenai suatu entitas ekonomi yang dilakukan seorang yang
kompeten dan independen untuk dapat menentukan dan melaporkan kesesuaian informasi
dengan kriteria- kriteria yang telah ditetapkan. Auditing seharusnya dilakukan oleh seorang
yang independen dan kompeten.
Proses Audit dapat di artikan sebagai aktifitas mengolah masukan (input) menjadi
keluaran (output) yang berguna/memiliki nilai tambah (value added). Demikian jugan dengan
proses audit, dapat dipandang sebagai aktifitas pengumpulan dan evaluasi bukti-bukti yang
mendukung informasi/laporan yang disajikan auditee, untuk meningkatkan keyakinan
(assurance) bagi pemakainya, bahwa laporan tersebut dapat dipakai sebagai dasar untuk
pengambilan keputusan.
Input
Proses
Output
kesesuaian
dan Laporan
hasil
audit
dan
dan
bukti-bukti
yang informasi
mendukung
pendukung
criteria pendukungnya
Proses audit diatas cenderung mengacu pada pengertian audit keuangan, yang
bertujuan untuk menilai layak dipercaya atau tidaknya laporan keuangan yang disajikan
auditee. Namun secara konseptual, pengertian proses audit tersebut berlaku pula untuk audit
kepatuhan dan audit operasional, karena walaupun memiliki tujuan berbeda, sebelum
melakukan analisis lebih lanjut, pada awalnya auditor perlu memastikan lebih dahulu
kebenaran nilai populasi yang terkait dengan kegiatan yang diaudit, seperti banyaknya daya
digunakan dan hasil yang diperoleh. Setelah itu barulah dilakukanevaluasi lebih lanjut sesuai
tujuan audit, misalnya:
-
Pada pemeriksaan ketaatan atas ketentuan pengadaan barang dan jasa,kegiatan audit dimulai
dengan pengumpulan data mengenai frekuensi,volume dan nilai pengadaan yang akan diuji.
Setelah itu barulah dilakukan pengujian mengenai ketaatan procedure pengadaan tersebut
terhadap peraturan perundang-undangan yang berlaku. Pada pemeriksaan opersaional
pemberian salah satu jenis perizinan , auditor terlebih dahulu mengumpulkan informasi
mengenai volume dan nilai retribusi dari pemberian izin tersebut.setelah itu baru melakukan
pengujian mengenai keekonomisan, efisiensi dan efektifitas pelaksanaan kegiatan operasional
pemberian izin tersebut.
Disamping itu, sebagai aktivitas mengolah masukan keluaran, proses audit juga dapat
diartikan sebagai urut-urutan kegiatan dari awal sampai akhir. Secara umuum proses audit
internal dapat dikelompokkan dalam:
b. Audit Pendahuluan
Pada tahap ini auditor berupaya memperoleh kerjasama dengan auditee memperoleh
gambaran yang lebih detail tentang auditee, serta mengumpulkan bukti awal dan melakukan
berbagai penelaahan dengan memperhatikan sasaran audit tentative dan mengikuti langkahlangkah pemeriksaaan dalam program audit pendahuluan.
Hasil pengumpulan bukti awal dan penelaahan tersebut digunakan untuk menentukan
permasalahan yang perlu didalami dalam rangka merencanakan prosedur audit selanjutnya.
Secara keseluruhan aktifitas yang dilakukkan oleh auditor pada audit pendahuluan ini
meliputi: pertemuan awal, observasi lapangan, penelaahan dokumen, evaluasi pengendalian
internal, prosedur analitis, dan penyusunan program audit lanjutan.
c.
Pelaksanaan Pengujian
Pada tahap ini dilakukan pendalaman pemeriksaan, dengan mengumpulkan bukti-bukti
yang lebih banyak dan analisa yang lebih mendalam dalam rangka memperkuat/melengkapi
atribut terkait denngan permasalahan yang perlu mendapat perhatian sebagaimana di
identifikasi pada audit pendahuluan. Kegiatan pelaksanaan pengujian pelaksanaan ini disebut
juga dengan pemeriksaan lanjutan/ perluasan pengujian/pengembangan temuan.
1) Pelaporan
Penyusunan laporan hasil audit, yaitu aktifitas menuangkan rangkuman hasil audit
kedalam laporan, biasanya dilakukan oleh ketua tim audit, direview oleh supervisor dan
disetujui/ditanda tangani oleh penanggung jawab audit llaporan yang telah disetujui
kemudian digandakan sesuai kebutuhan dan didistribusikan kepada pihak-pihak yang berhak
menerima.
2) Tindak Lanjut
Dalam laporan hasil audit diungkapkan pula berbagai permalasahan yang ditemukan
dan rekomendasi yang perlu ditindaklanjuti oleh manajemen atau pihak laiit yang terkait
terhadap rekomendasi yang diberikan itu, auditor melakukan pemantauan dan evaluasi.
Maksudnya adalah untuk mencapai tujuan akhir kegiatan audit internal yaitu adanya
perbaikan, penertiban, penyempurnaan dan peningkatan kinerja audit, sekaligus bermanfaat
dalam upaya peningkatan pelayanan masyarakat dan kesejahteraan masyarakat.
Audit dalam konteks teknologi informasi adalah memeriksa apakah sistem komputer
berjalan semestinya. Tujuh langkah proses audit:
1. Implementasikan sebuah strategi audit berbasis manajemen risiko serta control practice yang
dapat disepakati semua pihak.
2. Tetapkan langkah-langkah audit yang rinci.
3. Gunakan fakta/bahan bukti yang cukup, handal, relevan, serta bermanfaat.
4. Buatlah laporan beserta kesimpulannya berdasarkan fakta yang dikumpulkan.
5. Telaah apakah tujuan audit tercapai.
6. Sampaikan laporan kepada pihak yang berkepentingan.
7. Pastikan bahwa organisasi mengimplementasikan managemen risiko serta control practice.
systemTI untuk meng-inisiasi, mencatat, memproses dan melaporkan transaksi dalam laporan
keuangan. Sebenarnya tidak ada perbedaan konsep audit yang berlaku untuk system yang
kompleks dan system manual, yang berbeda hanyalah metode-metode spesifik yang cocok
dengan situasi system informasi akuntansi yang ada. Pemahaman ini diperlukan dalam rangka
mendapatkan pemahaman internal control yang baik agar dapat merencanakan audit dan
menentukan sifat, timing dan perluasan pengujian yang akan dilakukan.
Audit pada dasarnya adalah proses sistematis dan objektif dalam
memperoleh dan mengevaluasi bukti-bukti tindakan ekonomi, guna memberikan
asersi dan menilai seberapa jauh tindakan ekonomi sudah sesuai dengan kriteria
berlaku, dan mengkomunikasikan hasilnya kepada pihak terkait.
Secara umum dikenal tiga jenis audit; Audit keuangan, audit operasional
dan audit sistem informasi (teknologi informasi). Audit IS merupakan proses
pengumpulan dan evaluasi bukti-bukti untuk menentukan apakah sistem komputer
yang digunakan telah dapat melindungi aset milik organisasi, mampu menjaga
integritas data, dapatmembantu pencapaian tujuan organisasi secara efektif,
serta menggunakan sumber daya yang dimiliki secara efisien. Audit IS relatif
baru
ditemukan
dibanding
audit
keuangan, seiring
dengan
meningkatnya
2.4 Audit IT
Yaitu pendekatan audit dengan memperlakukan komputer sebagai kotak
hitam, teknik ini tidak menguji langkah-langkah proses secara langsung, hanya
berfokus pada input dan output dari sistem komputer.
Ada beberapa aspek yang diperiksa pada audit sistem teknologi informasi:
Audit secara keseluruhan menyangkut efektifitas, efisiensi, availability system,
reliability, confidentiality, dan integrity, serta aspek security. Selanjutnya
adalah audit atas proses, modifikasi program, audit atas sumber data, dan data
file. Audit IT sendiri merupakan gabungan dari berbagai macam ilmu, antara lain:
Conformance (Kesesuaian) Pada kelompok tujuan ini audit sistem informasi difokuskan
untuk memperoleh kesimpulan atas aspek kesesuaian, yaitu : Confidentiality (Kerahasiaan),
Integrity (Integritas), Availability (Ketersediaan) dan Compliance (Kepatuhan).
Performance (Kinerja) Pada kelompok tujuan ini audit sistem informasi difokuskan untuk
memperoleh kesimpulan atas aspek kinerja, yaitu : Effectiveness (Efektifitas), Efficiency
(Efisiensi), Reliability (Kehandalan).
Lingkup Audit Sistem Informasi pada umumnya difokuskan kepada seluruh sumber
daya IT yang ada, yaitu Aplikasi, Informasi, Infrastruktur dan Personil. Untuk lebih
praktisnya, berikut ini adalah beberapa tujuan audit sistem informasi yang pernah dilakukan,
antara lain :
Evaluasi atas kesesuaian (strategic alignment) antara rencana strategis dan rencana tahunan
organisasi dengan rencana strategis IT, rencana tahunan IT dan rencana proyek/program IT.
Evaluasi atas kelayakan struktur organisasi IT, termasuk pemisahan fungsi (segregation of
duties) dan kelayakan pelimpahan wewenang dan otoritas (delegation of authority).
Evaluasi atas pengelolaan personil IT, termasuk perencanaan kebutuhan, rekrutmen dan
seleksi, pelatihan dan pendidikan, promosi/demosi/mutasi, serta terminasi personil IT.
Evaluasi atas kegiatan operasional IT, termasuk pengelolaan keamanan dan kinerja
pengelolaan pusat data (data center), pengelolaan keamanan dan kinerja jaringan data, dan
pengelolaan masalah dan insiden IT serta dukungan pengguna (helpdesk).
Evaluasi atas kontinuitas layanan IT, termasuk pengelolaan backup & recovery, pengelolaan
prosedur darurat IT (IT emergency plan), pengelolaan rencana pemulihan layanan IT (IT
recovery
plan),
serta
pengujian
rencana
kontijensi
operasional
(business
contigency/continuity plan).
Evaluasi atas kualitas data/informasi, termasuk pengujian atas kelengkapan dan akurasi data
yang dimasukkan, diproses, dan dihasilkan oleh sistem informasi.
Pengujian pengendalian dilakukan dengan mengidentifikasi aktivitas control(policy
dan procedure) yang ada untuk mencegah dan mendeteksi kesalahan saji material dalam
laporan keuangan. Dua aktivitas utama yang diuji adalah pengendalian terkait dengan
pemrosesan informasi yaitu general control dan application control.
General control terkait dengan semua aktivitas computer dan termasuk control atas system
development, access security, program change, data center dan network dan maintenance.
Aplication control berhubungan dengan task spesifik yang dilakukan individual aplikasi.
Termasuk didalam prosedur cek dengan IT misalnya edit check saat input data dan check
yang dilakukan oleh individu termasuk manual follow-up rekonsiliasi atau exception report
Pengujian pengendalian bertujuan, mengumpulkan bukti tentang seberapa efektif dan
konsisten prosedur pengendalian berjalan. Pengujian ini dilakukan dengan wawancara
(inquiry), inspeksi dokumen terkait atau inspeksi file elektronik terkait, observasi penerapan
pengendalian dan pemrosessan ulang transaksi.
Dalam mendesign pengujian automated control (computerised control / application
control), auditor harus mempertimbangkan kebutuhan untuk mendapatkan bukti pendukung
atas efektifitas pengendalian operasi secara langsung maupun tak langsung terkait dengan
asersi atas laporan keuangan Teknik yang digunakan untuk pengujian tentu saja berbeda
dengan teknik pengujian manual.
Beberapa perubahan pengendalian internal
yang
diakibatkan oleh
Keahlian Audit IT
Untuk melakukan pekerjaannya, auditor IT membutuhkan pelatihan dan pendidikan.
Auditor
TI
setidaknya harus
memiliki gelar
sarjana.
lulusan
ini
pada
umumnya mempunyai pendidikan tentang sistem informasi, ilmu komputer, dan / atau
akuntansi. Selain sarjana pendidikan dasar, banyak auditor TI memiliki gelar sarjana dan
sertifikasi khusus atau lisensi. Sertifikasi dapat cukup umum. sepertiCertified Public
Accountant (CPA), Certified Fraud Examiner (CFE), Certified Internal Auditor (CIA),
atau Certified Information Systems Auditor (CISA)
Sertifikasi
potensial
Information
System
Security
Setelah itu, informasi teknologi berubah terus-menerus dan IT auditor harus menyadari
bahwa karir ini mencakup belajar sesuatu yang baru setiap hari.
2.4.2.2 Keterampilan Bisnis dan Personal
Keterampilan komputer teknis adalah penting untuk auditor IT, komunikasi umum
dan keterampilan bisnis mungkin lebih penting. IT auditor, seperti semua auditor, menulis
karya mereka Mereka juga sering membuat presentasi kepada klien internal atau eksternal.
Akibatnya, tertulis dan keterampilan komunikasi lisan merupakan kunci keberhasilan dalam
profesional.
Keterampilan penting lain bagi auditor adalah keterampilan interpersonal dan
kerjasama. Jarang auditor IT bekerja dalam isolasi. Mereka umumnya membutuhkan
dukungan dari auditor lain dan coperation dari orang-orang yang mereka audit. "Auditor
akan datang pada hari Senin," adalah ungkapan yang ditakuti. Seorang auditor membutuhkan
keterampilan interpersonal yang sangat baik untuk mengatasi bias negatif terhadap auditor
dari orang-orang yang bekerja di bawah pengawasan mereka.
Bisnis pendidikan juga penting untuk auditor IT. IT yang akan dievaluasi
auditor digunakan oleh organisasi bisnis untuk mendukung proses mereka. Oleh karena itu
auditor perlu memahami proses bisnis ini, termasuk keuangan, distribusi, sumber daya
manusia, dan proses manufaktur.
Karena akuntan sangat terlatih dalam proses bisnis, terutama dalam proses keuangan,
akuntansi pengetahuan merupakan pengetahuan yang sangat diinginkan untuk auditor IT.
Plus, accountan dididik dalam audit pada umumnya, yang membuat mereka calon ideal untuk
pekerjaan audit TI. Namun, pelatihan usaha lainnya berguna juga. Misalnya, auditor TI dapat
menggunakan keahlian pemasaran dalam menjual jasa kepada klien. Namun keterampilan
penting lainnyaadalah ilmu dalam hal pengambilan keputusan.
2.4.3
Tugas Auditor IT
Auditor IT memastikan tata kelola IT. Disamping itu Auditor IT juga dapat menilai
risiko dan melaksanakan atau memantau kontrol atas risiko tersebut. Peran auditor IT
bervariasi sesuai dengan posisi mereka di dalam atau di luar organisasi dan dengan proyek
individu tertentu. Tingkat keahlian yang diperlukan untuk juga bervariasi dari yang sangat
teknis hingga yang memerlukan keterampilan komunikasi yang baik.
Auditor TI bekerja baik sebagai auditor internal atau eksternal. Auditor tersebut
kemungkinan akan menilai risiko dan kontrol TI. Kadang-kadang hal ini dilakukan sebagai
pendukung untuk pekerjaan audit keuangan, dan pada waktu lain tujuan evaluasi risiko dan
kontrol TI dilakukan untuk kepentingan diri sendiri. Pada dasarnya auditor TI dapat
memberikan jaminan atau memberikan kenyamanan atas apa saja yang berhubungan dengan
sistem informasi. Disamping itu, terdapat beberapa jenis pekerjaan yang dapat dilakukan oleh
auditor IT termasuk:
a.
b. Memberikan jaminan atas proses tertentu. Hal ini mungkin berupa prosedur audit yang
disepakati di mana klien dan auditor IT menentukan cakupan jaminannya.
c.
Memberikan jaminan kepada pihak ketiga. Auditor IT seringkali harus mengevaluasi risiko
dan kontrol atas sistem informasi pihak ketiga dan memberikan jaminan kepada orang lain.
d. Pengujian akan adanya resiko pembobolan data. Hal ini melibatkan proses untuk mencoba
mendapatkan akses ke sumber daya informasi untuk menemukan kelemahan dari sistem
keamanan.
e.
Pendukung audit keuangan. Hal ini mencakup evaluasi mengenai resiko dan control IT yang
dapat mempengaruhi keandalan sistem pelaporan keuangan.
f.
Menyelidiki penipuan berbasis IT. IT auditor bisa dipanggil untuk membantu investigasi
dalam penyelidikan penipuan
2.4.4
kepada anggota yang memiliki kemampuan yang beraneka ragam. Persyaratan pengetahuan.
Kelompok-kelompok meliputi Information Systems Audit and Control Association (ISACA),
Institute of Internal Auditor (I1A), Association of certified Public Accountant (AICPA).
1. Information Systems Audit and Control Association (ISACA)
Information Systems Audit and Control Association (ISACA), didirikan tahun 1969,
adalah organisasi profesional auditor TI terbesar. Kelompok ini memiliki lebih dari dua puluh
lima ribu anggota di lebih dari seratus negara dan memiliki sertifikasi lebih dari 29.000 IT
auditor. ISACA memiliki bagianpenelitian, Sistem Informasi Audit dan Control Foundation,
yang melakukan penelitian dan publikasi isu-isu yang membimbing IT audit profesional.
ISACA mulai menawarkan sertifikasi CISA tahun 1978. Sebuah CISA harus berhasil
menyelesaikan ujian yang diselenggarakan setiap tahun, memenuhi persyaratan pengalaman
profesional, mematuhi kelompok Profesional Kode Etik, dan memenuhi persyaratan
pendidikan berkelanjutan.
Sertifikasi secara umum membutuhkan pengalaman minimal lima tahun dalam IT
audit, kontrol, atau keamanan, meskipun ada beberapa pilihan tersedia yang akan
mengesampingkan bagian dari persyaratan ini. Sebagai contoh, profesional dapat mengganti
satu tahun pengalaman audit keuangan untuk satu tahun praktik audit TI. Pengalaman ini
harus berada dalam sepuluh tahun sebelum tanggal permohonan sertifikasi atau dalam lima
tahun kelulusan. CISA professional juga harus setuju dengan kode etik profesional yang
dirancang untuk membimbing mereka dalam perilaku mereka dan untuk menaati Sistem
Informasi Standar ISACA. Karena karir IT audit membutuhkan pembelajaran lebih lanjut,
sebuah CISA harus menyelesaikan dua puluh jam kontak melanjutkan pendidikan setiap
tahun dan 120 jam kontak dalam jangka waktu tiga tahun untuk mempertahankan sertifikasi.
2.Institute of Internal Auditor (IIA)
Institute of Internal Auditor (IIA), yang didirikan tahun-tahun 1941, adalah organisasi
internasional
profesional
audit
internal.
Organisasi
ini
menghasilkan
kemampuan
IT
yang
lebih
khusus
dari
auditor
internal biasa
lebih dapat dipertahankan karena mereka memiliki kesempatan untuk bekerja dengan
banyak bisnis, pemerintah, dan organisasi nirlaba dengan beberapa teknologi .
3.The Association of Certified Fraud Examiners (ACFE)
Association of Certified Fraud Examiners (ACFE) atau asosiasi penguji kecurangan
bersetifikat seperti namanya, menerbitkan Certified Fraud Examiner(CFE) atau sertifikat
penguji kecuranga untuk profesional yang berspesialisasi dalam audit untuk kecurangan.
Banyak penipuan disebabkan oleh teknologi atau penggunaan TI. Sehingga, auditor TI dapat
meminta mandat untuk menunjukkan keahliannya di bidang ini.
Kelayakan calon CFE didasarkan pada sistem poin. Poin diberikan kepada pendidikan
dan pengalaman professional yang lebih tinggi. Pengalaman Profesional harus berhubungan
baik secara langsung dalam pemeriksaan kecurangan, atau di daerah terkait yang mencakup
akuntansi dan audit, kriminologi atau sosiologi, investigasi, pencegahan kerugian, dan bidang
hukum tertentu. Pelamar harus lulus ujian yang diselenggarakan oleh ACFE dan setuju untuk
mematuhi Kode Etik dan Anggaran Rumah Tangga Organisasi.
Ujian CFE terdiri dari lima ratus pertanyaan objektif dan diberikan melalui komputer,
yang mencakup: transaksi keuangan palsu, investigasi, unsur-unsur hukum penipuan,
kriminology dan etika. Menariknya, ujian tidak mencakup TI secara eksplisit, dan tidak fokus
hanya pada TI saja.
4. The American Institute of Certified Public Accountants (AlCPA)
Penataan Audit IT
Prosedur menyelesaikan perjanjian audit bervariasi, tergantung pada berbagai jenis
audit TI. Hal ini termasuk: (1) atestasi atau disepakati oleh prosedur audit, (2) Pernyataan
Standar Auditing # 70 audit, (3) IT audit dalam mendukung audit keuangan eksternal, dan (4)
temuan dan rekomendasi tinjauan.
a. Standar Audit dan Pedoman AICPA
The Auditing Standards Board (ASB) dari AICPA secara tradisional mengeluarkan
standar auditing, opini, dan petunjuk lainnya untuk diikuti oleh akuntan publik dalam
melakukan audit laporan keuangan dan perjanjian jenis lainnya. AICPA menerbitkan sepuluh
standar audit pertama yang berlaku umum (GAAS ) pada tahun 1947. Standar-standar ini,
digolongkan ke dalam kategori umum, lapangan kerja, dan standar pelaporan, penyediaan
kerangka kerja untuk panduan yang lebih spesifik. Pernyataan Standar Audit (SAS) adalah
interpretasi dari GAAS dimana CPA harus mematuhinya dalam audit laporan keuangan
perusahaan publik. Beberapa dari SAS ini menyangkut risiko TI, pengendalian, dan audit.
Standar audit AICPA lainnya adalah Statement For Attestion Enggagament
(SSAE). Selain auditor TI sering melakukan pekerjaan untuk mendukung audit laporan
keuangan, mereka juga dapat digunakan oleh klien untuk melakukan sebuah atestasi
(pengesahan). Ini adalah sebuah tugas dimana isu laporan auditor yang menyatakan suatu
kesimpulan mengenai keandalan suatu persoalan yang menjadi tanggung jawab dari orang
lain. Sebagai contoh, auditor mungkin diminta untuk membuat pernyataan tentang kepatuhan
organisasi terhadap aturan-aturan tertentu.
Pada tahun 2001, ASB mengeluarkan SSAE Nomor 10, Standar-standar Atestasinya,
yaitu: Revisi dan Rekodefikasi yang menggantikan semua laporan perjanjian atestasi
sebelumnya. Standar baru menyadari bahwa auditor semakin terlibat dalam pemberian
jaminan atas informasi non-keuangan dan perluasan wilayah di mana standar akan
diberlakukan. Sebagian besar jaminan baru yang auditor minta adalah untuk memberikan
perhatian terhadap IT.
Standar atestasi saat ini yang melibatkan beberapa perjanjian dimana CPA adalah
masalah mengenai ujian, review, atau laporan persetujuan atas suatu prosedur. Salah satu
tujuan standar baru adalah untuk memperjelas perbedaan antara jasa konsultasi dan jasa
atestasi SSAE No. 10 menjelaskan bahwa jasa konsultasi menghasilkan sebuah nasehat,
sedangkan sebuah pengesahan engagement menghasilkan sebuah laporan yang didalamnya
memberikan jaminan atas suatu area tertentu.
b. Pedoman International Federation of Accountants (IFAC)
Federasi Akuntan Internasional (IFAC) adalah paying organisasi internasional dari
sebuah kelompok professional akuntansi di tingkat nasional. Kelompok-kelompok ini
mewakili akuntan dalam berbagai peran, termasuk manajemen, audit, pendidikan, dan pajak.
Anggotanya diklasifikasikan sebagai anggota penuh, anggota asosiasi dan anggota afiliasi.
Anggota penuh di Amerika Serikat adalah AICPA, Institute of Management Accountants
(IMA), dan Asosiasi Nasional Dewan Akuntansi Negara (NASBA). ISACA dan IIA adalah
anggota afiliasi, dan, seperti anggota penuh, mereka mendukung tujuan dan ORK dari IFAC
dan Dewan Standar Akuntansi Internasional (IASB).
Misi dari IFAC adalah untuk mengembangkan harmonisasi atau biasa disebut sebagai
standar akuntansi internasional dan pedoman untuk membantu para profesional dalam
pekerjaan mereka. Mereka melakukan hal ini, sebagian dengan mendukung pekerjaan IASB.
IFAC telah menerbitkan beberapa jenis pedoman yang digunakan oleh IT auditor.
Buku Pedoman TI Internasional IFAC memberikan arahan tentang bidang TI seperti
keamanan, manajemen TI, akuisisi TI, operasi TI, pemantauan, dan implementasi. Di
samping itu, International Auditing and Assurance Standards Boards (IAASB), sebuah komite
dari IFAC, menerbitkan dua jenis pernyataan audit, Standar Internasional tentang audit (ISA)
harus yang digunakan dalam audit laporan keuangan dan International Auditing Practice
Statements (IAPSs) yang menyediakan bantuan untuk auditor dalam melaksanakan standard
tersebut. ISA No 401, Auditing dalam Lingkungan Sistem Informasi Komputer, membekali
baik auditor keuangan maupun IT dengan bimbingan mengenai hal konduksi audit laporan
keuangan yang melibatkan IT. Banyak dari laporan praktek memberikan bantuan untuk audit
di lingkungan yang spesifik atau teknologi seperti e-commerce, sistem database, dan sistem
komputer yang berdiri sendiri.
c.
Kecepatan pengolahan di-perlukan sangat tinggi agar data yang banyak bisa diperoses dalam
waktu singkat.
Sumber data umumnya internal dan keluarannya umumnya untuk keperluan internal.
Orientasi data yang dikumpulkan umumnya mengacu pada data masa lalu.
Batch processing : data yang diperoleh dari sumber data biasanya dikumpulkan atau
ditumpuk, lalu diproses pada waktu-waktu tertentu, misalnya data dikumpulkan antara jam
8:00 sampai dengan jam 12:00, kemudian diproses mulai jam 14:00 sampai dengan jam
17:00.
Online processing : data yang diperoleh dari sumber data langsung diproses pada saat
diterima, yang mungkin terjadi adalah antrian data untuk menunggu giliran, misalnya
pemrosesan yang dilakukan pada saat melakukan transaksi online di depan teller bank.
Real-time processing : pemrosesan data tidak boleh ditunda karena waktu sangat kritis,
penundaan pengolahan dapat mengakibatkan sesuatu yang fatal. Misalnya pengolahan data
hasil pemantauan aktivitas gunung berapi.
Inline processing : biasa juga disebut sebagai hybrid-processing, yaitu kombinasi antara
batch-processing dan online-processing. Misalnya pengolahan transaksi di supermarket,
dimana transaksi penjualan melalui POS (point of sale) langsung dilakukan (online), tetapi
pengolahan lebih lanjut tentang persediaan barang dilakukan setiap jam 10:00 malam.
Selain itu seiring dengan perkembangan teknologi komunikasi dan teknologi internet
maka dilahirkan sistem client-server yang populer dengan namaOn Line Transaction
Processing (OLTP). Prosedur pengolahan mirip dengan online-processing, perbedaan-nya
adalah pada teknologi jaringan. Online processing menggunakan arsitektur jaringan terpusat
(host-based) sementara OLTP menggunakan arsitektur client/server. Perkembangan dari
OLTP
melahirkanCustomer
Integrated
System
(CIS) yaitu
sistem
OLTP
dimana
user/pengguna melakukan sendiri transaksinya secara online, misalnya sistem mesin ATM
(automatic teller machine), atau e-commerce (perdagangan lewat fasilitas elektronik).
2.4.6
Jenis Audit IT
Audit yang berfungsi untuk memeriksa apakah sistem dan aplikasi sesuai dengan
kebutuhan organisasi, berdayaguna, dan memiliki kontrol yang cukup baik untuk
menjamin keabsahan, kehandalan, tepat waktu, dan keamanan pada input, proses,
output pada semua tingkat kegiatan sistem.
c. Pengembangan system
Audit yang berfungsi untuk memeriksa apakah sistem yang dikembangkan
mencakup kebutuhan obyektif organisasi.
yang
berfungsi
untuk
memeriksa
apakah
manajemen
TI
dapat
2.4.7
Metodologi Audit IT
Dalam praktiknya, tahapan-tahapan dalam audit IT tidak berbeda dengan
a. Tahapan Perencanaan
Sebagai suatu pendahuluan mutlak perlu dilakukan agar auditor mengenal benar
obyek yang akan diperiksa sehingga menghasilkan suatu program audit yang
didesain sedemikian rupa agar pelaksanaannya akan berjalan efektif dan efisien.
Untuk memastikan bahwa qualified resource sudah dimiliki, dalam hal ini aspek
SDM yang berpengalaman dan juga referensi praktik-praktik terbaik.
d. Mendokumentasikan
Mengumpulkan temuan-temuan dan mengidentifikasikan dengan audite.
e. Menyusun laporan
Memberikan reasonable assurance bahwa sistem informasi telah sesuai dengan kebijakan
atau prosedur yang telah ditetapkan.
Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat
digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan
pemeriksaan.
Membantu dalam penilaian apakah initial proposed values telah terealisasi dan saran tindak
lanjutnya.
2.4.8
IT Audit Tools
Berikut beberapa software yang dapat dijadikan alat bantu dalam
rights
(specialauthority)
sebuah
server
AS/400. http://www.powertech.com/
d. Nipper
Nipper merupakan audit automation software yang dapat dipergunakan untuk mengaudit dan
mem-benchmark konfigurasi sebuah router. http://sourceforge.net/projects/nipper/
e.
Nessus
Nessus
merupakan
sebuah
vulnerability
Metasploit
Metasploit
Framework
merupakan
sebuah
penetration
testing
tool.http://www.metasploit.com/
g. NMAP
NMAP merupakan open source utility untuk melakukan security auditing.
http://www.insecure.org/nmap/
h. Wireshark
Wireshark merupakan network utility yang dapat dipergunakan untuk mengcapture
paket
data
yang
ada
di
dalam
jaringan
komputer.http://www.wireshark.org/
2.4.9
barang tentu tidak terlepas dari dampak tersebut. Dalam sistem akuntansi manual, data sebagai
masukan (input) diproses menjadi informasi sebagai keluaran (output) dengan menggunakan
tangan. Pada sistem akuntansi yang berkomputer atau yang lebih sering disebut Pemrosesan
Data Elektronik (EDP), data sebagai input juga diproses menjadi informasi sebagai output.
Keuntungan yang dapat dilihat secara jelas dari penggunaan komputer ini adalah kecepatan,
ketepatan, dan kemudahan dalam memproses data menjadi informasi akuntansi. Disamping
keuntungan tersebut, ada beberapa hal yang perlu diperhatikan dalam menggunakan komputer
sebagai alat pengolah data yaitu resiko-resiko yang khas dalam suatu lingkungan akuntansi
berbasis komputer.
Auditor harus menyadari resiko-resiko ini karena hal ini merupakan ancaman yang
tidak ada dalam proses akuntansi manual.Resiko-resiko dalam lingkungan pemrosesan data
elektronik antara lain:
1. Penyalahgunaan teknologi adalah penggunaan teknologi baru sebelum adanya kepastian yang
jelas mengenai kebutuhannya. Banyak organisasi memperkenalkan teknologi database tanpa
menetapkan dengan jelas kebutuhan akan teknologi tersebut. Pengalaman menunjukkan
bahwa para pemakai awal (new user) suatu teknologi baru seringkali mengkonsumsi jumlah
sumberdaya yang cukup besar selama mempelajari cara penggunaan teknologi baru
tersebut.Penggunaan teknologi yang tidak layak antara lain:
1) Analis sistem atau pemrogram tidak mempunyai keahlian yang cukup untuk menggunakan
teknologi tersebut.
2) Pemakai yang awam terhadap teknologi hardware yang baru.
3) Pemakai yang awam terhadap teknologi software yang baru.
4) Perencanaan yang minim untuk instalasi teknologi hardware dan software yang baru.
2. Dalam pemrosesan manual, kesalahan-kesalahan dibuat secara individual. Jadi seseorang
dapat memproses satu pos dengan benar, membuat kesalahan pada pos berikutnya,
memproses 20 pos berikutnya dengan benar dan kemudian membuat kesalahan lainnya
lagi.Dalam sistem yang terintregasi (automatically), aturan-aturan diterapkan secara
konsisten. Jadi, jika aturan-aturannya benar, pemrosesannya akan selalu benar. Tetapi jika
aturan-aturannya
salah,
pemrosesannya
akan
selalu
salah.
Kondisi-kondisi
yang
d. Hilangnya data
2. Jejak audit yang berkurang
Keterlibatan Manusia yang berkurang. Dalam banyak sistem IT, karyawan yang
terlibat dengan pemrosesan awal transaksi tidak pernah melihat hasil akhirnya.
Karena itu, mereka kurang mampu mengidentifikasi salah saji pemrosessan,
Walapun mereka melihat outout akhir, sering kali sulit untuk mengenali salah saji
karena hasilnya sering sangat ringkas.
serta
Kategori pengendallian
Contoh Pengendalian
Pengendalian
Umum
Administtrasi fungsi IT
Pemisahan tugas-tugas TI
Pengembangan siste
Pengendalian
Pengendalian input
Aplikasi
2.5.2
Pengendalian output
Memeriksa dokumentasi sistem seperti bagan arus, manual pemakai, permintaan perubahan
program, dan hasil pengujian
2.5.3
Memproses/melakukan pengujian dari computer klien itu sendiri sebagai bagian dari
Menggunakan computer untuk melaksanakan audit yang terpisah dari catatan klien,
mengambil data/ file yang dimilki klien untuk dites dengan kantor lain ( computer audit)
c.
1. Dalam pengujian data/file/yang dipergunakan dan dimiliki oleh perusahaan ( dibantu dengan
software perusahaan)
2. Menggunakan computer untuk dukungan audit, misalnya untuk administrasi dan suratmenyurat, pembuatan table jadwal, sampling, dan berbagai kegiatan office automatations.
Pada pendekatan ini audit dilakukan dengan menggunakan computer dan software untuk
mengotomatisasi prosedur pelaksanaan audit. pendekatan ini dapat menggunakan beberapa
computer assisted audit technique misalnya sistem control audit review file (SCARF), atau
Snapshoot (pemotretan cepat) dan sebagainya.
Pendekatan audit berbantuan computer merupakan cara audit yang bermanfaat khususnya
dalam substantive atas file dan record perusahaan. Software audit yang digunakan merupakan
program computer yang digunakan oleh auditor untuk melakukan pengujian atas keandalan
record atau file/data perushaan. Software audit yang digunakan dapat digolongkan menjadi:
1. Perangkat lunak audit khusus (SAS, Specialized Audit Software), 2. Perangkat lunak audit
yang berlaku umu (GAS, Generalized Audit Software)
Specialized Audit Software merupakan salah satu program audit yang dirancang khusus oleh
auditor agar sesuai dengan situasi audit tertentu. Software audit ini jarang digunakan karena
memerlukan waktu, mahal, dan memerlukan keahlian auditor dalam bidang computer. Cara
penanggulangannya dapat dengan program yang relevan dengan tujuan audit yang saat itu
digunakan perusahaan.
Sedangkan GAS (Generalizaed Audit Software) terdiri dari program computer yang secara
bersama melaaksanakan bermacam fungsi pemrosessan data dan manipulasi data sebagai alat
bantu audit. GAS lazimnya dibuat software house sebagai suatu package software yang dijual
atau digunakan untuk berbagai kantor akuntan untuk melaksanakan tugas audit dan dapat
digunakan di berbagai perusahaan. Program-program yang digeneralisasi mempunyai dua
manfaat:
3. Program ini dikembangkan sedemikian rupa sehingga memudahkan pelatihan staff auditor
dalam menggunakan program. Dalam hal ini auditor hanya perlu memeliki sedikit
pengetahuan tentang computer dan sistem informasi berbasis computer tidak perlu memiliki
pengetahuan tentang pemrograman.
4. Dapat diterapkan pada berbagai perusahaan dalam lingkup tugas-tugas yang lebih besar atau
lebih kecil tanpa harus mengeluarkan biaya dan mengalami kesulitan dalam mengembangkan
programnya.
Kelemahan utama sistem audit berbasis computer yang digeneralisasi adalah upaya
dan biaya pengembangan tertentu relative besar dan mungkin memerlukan keahlian teknis
yang memadai, karena antara lain software yang dirancang tersebut harus dirancang untuk
dapat digunakan secara luwesuntuk berbagai perusahaan dan berbagai type testing. Oleh
karena itu pembuat software itu lazimnya membuat software house. Selain itu karena
software ini bersifat generalized maka tentu tidak akan dapat memenuhi kebutuhan spesifik
tiap auditor secara individu, karena bagaimanapun produk tersebut adalah bersifat paket.
Audit berbantuan dengan computer untuk kegiatan dukungan paling sering digunakan
meskipun sistem klien tidak berbasis computer. selain untuk kegiatan administrative,
sampling, penjadwalan, penyusunan program audit dan kuesionare serta pencatatanpencatatan dan pelaporan hasil audit, computer biasanya juga digunakan oleh auditor atau
pegawai perusahan klien untuk melakukan analisis atau pengikhtisaranm, pembuatan grafik,
dan table-tabel tenatang audit misalnya Microsoft excel.
Salah satu kegiatan yang dpaat dilakukan misalnya data neraca saldo klien di input
kedalam sistem computer, lalu auditor menggunakan data tersebut untuk menghitung atau
menggunakan prosedur analisis. Computer juga dapat dipergunakan untuk:
a.
Penyususnan neraca saldo dan skedul utama, yaitu misalnya pada saat audit dilakukan,
perkiraan-perkiraan neraca saldo dapat secara otomatis dijumlah atau digabungkan untuk
menyusun naskah laporan keuangan.
b. Penyusunan kertas kerja, misalnya untuk merekam pembuktian saldo kas bank, konfirmasi,
pengikhtisaran piutang, ikhtisar aktiva tetap, dan penyusutan.
c.
Prosedur analitis
Penyusunan program audit. misalnya mengetik program audit dengan fasilitas pengolah kata
f.
Memahami struktur penngendalian intern. Dapat dialkukan dengan pengolah kata (secara
naratif), dengan membuat pertanyaan atau membuat bagan arus.
g. Sampling audit. menggunakan perangkat lunak khusus untuk merancang, memilih dan
mengevaluasi sampel audit dan berbagai teknik statistic dan non statistic atau dengan table
kerja elektronik.
h. Pengaturann, penugasan dan perencanaan waktu, kegiatan ini dapat dilakukan dengan
fasilitas pengolah kata atau table kerja elektronik.
i.
Penyusunan
perangkat
lunak
audit.
computer
digunakan
untuk
mempermudah
Standar yang aplicable untuk audit IT adalah terdiri dari 11 standar yaitu;
Audit charter,
Audit Independent,
Planning,
Reporting.
Follow-Up Activity,
IT Governance dan
a.
Sistem operasi computer mengakses input yang cukup besar dan memperoleh input yang
cukup besar pula. Sehingga memperluas audit untuk menelliti keabsahan
Sistem logika computer sangat kompleks dan memiliki banyak fasilitas pendukung.
d. Adanya jurang yang besar dalam melaksanakan audit secara visual, sehingga perlu
mempertimbangkan antara biaya dan manfaatnya.
Keunggulan dalam melakukan audit melalui computer adalah:
a.
Auditor memperoleh kemampuan yang besar dan efektif dalam melakukan pengujian
terhadap sistem computer
Auditor dapat menilai kemampuan sistem computer tersebut untuk mengahadapi perubahan
lingkungan yang akan datang
Kelemahan dari kegiatan ini adalah memerlukan biaya yang besar dan harus di
tangani oleh auditor atau pekerja-pekerja yang terampil.
Banyak organisasi yang memiliki lingkungan IT yang tidak rumit sering kali sangat
bergantung pada mikrokomputer untuk melakukan fungsi-fungsi sistem akuntansi.
Penggunaan mikrokomputer dapat menimbulkan pertimbangan audit yang unik berikut:
1. Program perangkat lunak dalam komputer mikro dapat diisikan pada hard-drive komputer
dalam format yang tidak mengijin kan perubahan oleh personil klien
Data pengujian harus mencakup semua kondisi yang relevan yag ingin diuji auditor. Auditor
merancang data pengujian untuk menguji semua pengendalian kunci berbasis computer dan
memasukkan data yang realistic yang mungkin akan menjadi bagian dari pemrosesan normal
klien, termasuk transaksi sah dan tidak sah.
b. Program aplikasi yang diuji oleh data pengujian auditor harus sama dengan yang digunakan
klien selama tahun berjalan. Salah satu pendekatan adalah menjalankan data pengujian atas
dasar kejutan, mungkin secara acak selama tahun berjalan, walapun agak mahal dan
mengahabiskan waktu. Metode lainnya adalah mengandalkan pengendalian umum klien pada
fungsi pengembangan sistem dan pustakawan guna memastikan bahwa program yang diuji
sama dengan yang digunkaan dalam pemrosesan normal.
c.
Data pebgujian harus dieleminasi dari catatan klien. Jika auditor memproses data pengujian
sedangkan klien memproses transaksinya sendiri, auditor harus menghilangkan data
pengujian file induk klien setelah pengujian itu selesai. Auditor dapat melakukan hal ini
dengan mengembangkan dan memrosesan data yang membalik pengaruh data lpengujian itu.
2) Simulasi Paralel
Auditor sering kali menggunakan perangkat lunak yang dikendaliakan auditor untuk
melaksanakan operasi yang sama dengan yang dilaksanakan oleh perangkat lunak klien,
dengan menggunakan file data yang sama. Tujuannya adalah untuk menentukan keefektifan
pengendalian yang terotomatisasi dan untuk mendapatkan bukti tentang saldo akun
elektronik, pendekatan pengujian ini disebut pendekatan simulasi parallel.
Biasanya auditor melakukan pengujian simulasi parallel dengan menggunakan
perangkat lunak audit generalisasi (generalized audit software GAS),
3) Pendekatan Audit Modul Tertanam
Auditor menyisipkan modul audit dalam sistem aplikasi klien untuk mengidentifikasi
jenis transaksi tertentu. Dalam beberapa kasus, auditor akan menyalin transaksi yang
diidentifikasi pada file data terpisah, dan kemudian memproses transaksi itu dengan
menggunakan simulasi parallel untuk menduplikasi fungsi yang dijalankan oleh sistem klien.
Lalu auditor membandingkan output klien dengan output auditor.
Pendekatan modul tertanam memungkinkan auditor untuk terus mengaudit transaksi
dengan mengidentifikasi transaksi actual yang diproses oleh klien yang dibandingkan dengan
data dan pendekatan simulasi parallel, yang haya memperkenankan pengujian sela.
terintegrasi dengan yang di sistem lain, maka memungkinkan bagi auditor untuk mengaudit
"sekitar" komputer. Proses ini mensyaratkan pemeriksaan input dan output dan dengan
asumsi bahwa kewajaran laporan berdasarkan data input berada dalam pemrosesan komputer
yang tepat. Lingkungan IT yang begitu kompleks saat ini membutuhkan evaluasi sistem
informasi sebagai bagian dari audit keuangan.
Proses
audit
laporan
keuangan
dan
pengidentifikasian
kegiatan
yang
direkomendasikan oleh auditor IT pada setiap tahap. Perhatikan bahwa auditor TI dapat
bekerja berbarengan dengan auditor keuangan. Total dari pekerjaan auditor TI tidak
tergantung pada dukungan permintaan auditor keuangan. Sebagai contoh, auditor keuangan
dapat melakukan semua pengujian substantif sendiri. Atau, mereka mungkin akan meminta
auditor IT untuk membantu mereka dengan menggunakan teknik audit berbantuan komputer
(CAATs). Secara khusus, auditor TI dapat melakukan analisis data rutin atas file piutang
usaha untuk di data kembali atau dilakukan analisis data terkomputerisasi untuk menghitung
ulang depresiasi aset.
Beberapa standar profesional dan kerangka kerja mengakui pentingnya audit sistem
informasi dalam audit keuangan. Sebagai contoh, pada tahun 2001, Dewan Standar Audit
(ASB) dari American Institute Akuntan Publik (AICPA) menerbitkan Pernyataan Standar
Audit (SAS) No 94, Pengaruh Teknologi Informasi terhadap pertimbangan pengendalian
internal Auditor dalam Laporan Keuangan Audit. SAS No 94 mencatat bahwa auditor
memerlukan keterampilan khusus untuk dapat memahami control IT dan dampak IT pada
audit laporan keuangan. Auditor dapat memperoleh keterampilan-keterampilan tersebut
seorang diri atau berdasarkan bantuan dari auditor IT
Peraturan baru untuk audit, seperti Sarbanes-Oxley Act 2002, juga mempengaruhi
hubungan antara audit keuangan dan audit IT. Peraturan ini diciptakan untuk memulihkan
kepercayaan dalam laporan keuangan, mengamanatkan bahwa manajemen menilai dan
membuat pernyataan tentang pengendalian internal. Auditor perlu menguji pengendalian
mereka dan memberikan jaminan mengenai pernyataan manajemen.
a.
Security Policy
f.
Compliance
g. Personnel Security
h. Security Organization (Information Security)
i.
j.
bisnis
dapat
dipertahankan
dengan
mengamankan
dan
menjaga
Development
pemeliharaan), memastikan
and
bahwa
Maintenance (pengembangan
sistem
operasi
maupun
aplikasi
sistem
dan
yang
baru
implementasi
kebijakan-kebijakan
keamanan selaras dengan peraturan dan perundangan yang berlaku, termasuk persyaratan
kontraktual melalui audit sistem secara berkala. Kepatuhan yang mengarah kepada
pembentukan prosedur dan aturan aturan sesuai dengan hukum yang berlaku meliputi
berbagai aspek, yaitu :
a. Compliance with legal requirements
b. Reviews of security policy and technical comliance.
c. System audit and consideration
Personnel Security (keamanan perorangan), mengatur tentang pengurangan resiko
dari penyalahgunaan fungsi penggunaan atau wewenang akibat kesalahan manusia (human
error), sehingga mampu mengurangi human error dan manipulasi data dalam pengoperasian
sistem serta aplikasi oleh user, melalui pelatihan-pelatihan mengenai security awareness agar
setiap user mampu menjaga keamanan informasi dan data dalam lingkup kerja masingmasing. Personnel Security meliputi berbagai aspek, yaitu :
a. Security in Job Definition and Resourcing.
b. User Training.
c. Responding to Security Incidens and Malfunction.
Gambar 2.4 Struktur dari kesepuluh wilayah standar (10 control clouse)
Aset dan aspek yang dinilai dalam ISO 17799
Information assets (aset informasi),
Software assets (aset perangkat lunak yang dimiliki),
Physical assets (aset fisik) dan
Services (pelayanan).
2. ISO 17799 merupakan suatu struktur dan rekomendasi pedoman yang diakui secara
internasional untuk keamanan informasi.
3. Suatu proses keamanan informasi yang menyeluruh yang dapat diusahakan atau di
implementasikan bagi perusahaan agar memperoleh manfaat keamanan yang diinginkan.
4. Proses evaluasi, implementasi, pemeliharaan dan pengaturan keamanan informasi yang
singkat.
5. Upaya penggunaan oleh konsorsium perusahaan untuk memenuhi kebutuhan industri.
6. ISO 17799 merupakan proses yang seimbang antara fisik, keamanan secara teknikal dan
prosedur, serta keamanan pribadi.
yang disepakati untuk fungsi tertentu atau jaminan yang terdapat pada peralatan yang
diproduksi khusus.
10. Bagian General Accepted System Security Principles atau GASSP, yang merupakan
bagian dari kumpulan penerapan sistem keamanan yang terbaik.
11. Bagian dari 5 point yang terdapat di Guidelines for the Management of IT Security, atau
GMITS / ISO-13335, yang menyediakan sebuah konsep kerangka kerja (framework) untuk
manajemen keamanan IT.
12. Sistem yang menuntun pada sertifikasi keamanan (untuk saat ini, hanya BS 7799-2 dan
derivatif nasional yang menyediakan sebuah proses sertifikasi).
13. ISO 17799 tidak mengkhususkan obligasi manapun yang berhubungan dengan metode
penaksiran resiko. Cukup memilih apa saja sesuai dengan kebutuhan perusahaan.
Keuntungan menerapkan ISO-17799
Keuntungan utama dari BS7799/ISO17799 berhubungan dengan kepercayaan publik. Sama
seperti
ISO 9000 yang mencerminkan jaminan kualitas.
2.6.2
Teknologi
informasi
melakukan
otomasi
terhadap
suatu
tugas
atau
proses
Teknologi informasi berperan dalam restrukturisasi terhadap peran manusia yang melakukan
perubahan-perubahan terhadap sekumpulan tugas atau proses.
Teknologi informasi dapat digunakan membentuk strategi untuk menuju keunggulan yang
kompetitif (OBrien, 1996), antara lain:
2.8. Fraud
2.8.1. Fraud Masalah Akuntansi Berbasis Komputer
Fraud dalam akuntansi adalah sebentuk tindakan, yang menyebabkan kesalahan pelaporan
dalam laporan keuangan. Menurut Websters NewDictionary, fraud (fraud) diartikan sebagai
fraud yang dilakukan secara sengaja yang menyebabkan seseorang menyerahkan hak milik atau
haknya yang sah menurut hukum. Agen Federal Bureau of Invesigation (FBI) menjelaskan
fraudsebagai konversi fraud dan usaha untuk mendaptkan uang atau hak milik dengan
mengungkapkan pretensi yang keliru: termasuk di dalamnya pencurian menggunakan cek
palsu, kecuali pemalsuan. (Farrell dan Franco, 1999). Fraud menyebabkan kerugian dalam
jumlah yang besar bagi dunia bisnis danmenimbulkan masalah moral di tempat kerja. Saat kita
kehilangan uang karenaditipu, maka konsekuensinya dapat sangat merugikan.
Kerugian akibat fraud merupakan masalah yang serius bagi perusahaan yang masih
memerlukan pengelolaan, pengendalian, dan pengawasan. Teknologi, tindak kejahatan dan
penegakan hukum terus digalakkan untuk mencegah tindak fraud ini, misalnyadengan
pengadaan alat pendeteksi tindak fraud yang semakin canggih, sehingga dapat mengetahui pihak-pihak yang
biasa melakukan fraud. Pelaku fraud biasanya menjumpai peluang untuk memanfaatkan kelemahan dalam
prosedur pengendalian dan selanjutnya mempelajari apakah imbalanpotensial yang ia akan
peroleh akan setimpal dengan hukuman manakala iatertangkap basah telah melakukan fraud.
Pencegahan fraud
, sebuah perusahaan harus memastikan bahwa peluang-peluang terjadinya fraud harus
diminimalkan: pencegahan fraud;Kedua, perusahaan harus memastikan bahwa para pelaku tindak fraud
yang berpotensi akan benar-benar ditangkap: penanggulangan fraud.Pengawasan fraud meliputi
pencarian bukti dan pengambilan laporan,penulisan laporan, dan pengakuan terhadap temuan. Peneliti
menyebutkan bahwa untuk menjalankan sebuah pemeriksaan tindak fraud, orang memerlukan keahliandan
kecakapan khusus untuk dapat mendeteksi dan menyelidiki suatu tindak fraudsecara efektif serta
pengetahuan tentang unsur-unsur hukum dan peraturan yang berlaku. Auditor berperan penting di dalam
mencegah dan mendeteksi fraud bisnis.Hasil survei dari Global e-fraud pada tahun 2001
menyebutkan bahwa banyak pakar yang percaya bahwa kejahatan yang berupa tindak fraud
telah mendapatkan sumbangan yang besar dari munculnya teknologi Internet dan ecommerce, sehingga dikenal istilah e-fraud. Tidak ada negara atau persuahaan yang kebal
terhadap ancaman penipu. KPMG melakukan survei terhadapperusahaan-perusahaan terbesar di
dunia pada 12 negara berbeda yang menjadi korban fraud elektronik terganggu masalah keamanan.
Survei ini dilakukanmenggunakan kuesioner yang dikirimkan kepada lebih dari 14.000 CEO, CIO,dan
eksekutif senior lainnya, namun hanya menghasilkan tingkat respon 9 persensaja. Survei mencakup
kepedulian terhadap resiko dan ancaman keamanan e.frauddan e-commerce, berikut ruang
lingkupnya dan persepsi konsumen tentangkeamanan e-commerce. Keterbatasan dari penelitian ini
ialah ruang lingkup risethanya pada perusahaan-perusahaan terbesar di 12 negara, sedangkan
peluangterjadinya fraud lebih besar terjadi pada perusahaan-perusahaan yang ukurannya lebih
kecil.Apostolou membahas tentang prosedur-prosedur pelaksanaan invetigasi fraud lewat Internet
dalam makalah empat seri. Pada bagian satu, ia menyajikanterminologi yang penting untuk
mengembangkan keahlian teknik-teknik investigasi fraud dan kajian singkat tentang
ketentuan sipil dan hukum.Penyelewengan aset, yang terdapat pada bagian dua, merupakan sebentuk
masalah yang serius yang dapat menyebabkan penyelewangan materi di dalam laporankeuangan.
Idenitifikasi berbagai skema penyelewangan aset merupakan bagiandari investigasi fraud.
Bagian ketiga memuat metode-metode pelaksanaan pembayaran ilegal dalam proses disbursement.
Sedangkan bagian keempat membahas prosedur-prosedur investigasi fraud. Investigasi fraud
terdiri atas pencarian informasi untuk membuktikan dan menggagalkan bukti alegasi.Rusch (2001)
membahas tentang pesatnya gelombang fraud melalui Internetdalam perdagangan berbasis elektronik
(e-commerce). Fraud terus muncul terkait dengan meluasnya legitimasi penggunaan Internet.
Rusch (2001) mengutip laporan dari International Chamber of Commerces Commercial
Crime Services Division bahwa fraud lewat Internet pada tahun 2000 mengalami kenaikan
yangdramatis, lebih dari dua kali dibandingkan tahun 1999. Data ini menyimpulkan bahwa
masalah fraud lewat media Internet menjadi permasalahan global baik dalam ruang lingkup maupun
dampaknya, karena para pelaku fraud dapat merencanakan dan menjalankan skema fraudnya dari mana pun
di dunia ini dankorban dapat berada di belahan dunia manapun. Penelitian dari Rusch (2001) inimenjelaskan
bahwa ketentuan tindak kejahatan yang berlaku bagi jenis-jenis lainkejahatan kerah putih, misalnya
konspirasi, fraud lewat surat (e-mail), fraud kartu kredit, fraud sekuritas, pencucian uang, dan
pencurian identitas, sama-samaberlaku bagi berbagai bentuk fraud lewat media Internet.Programprogram pencegahan fraud harus dicanangkan dan hingga sejauh ini belum ada reaksi yang tegas
terhadap tindak fraud semacam ini. Gejala-gejalaadanya fraud seringkali begitu jelas bagi
setiap orang yang peduli akan kejadiantersebut. Indikator-indikator semacam ini dapat
muncul oleh adanya pengendalianyang dijalankan oleh pihak manajemen, uji-uji yang
dijalankan oleh auditor dansumber-sumber lain baik di dalam maupun dari luar perusahaan.Jika
penyelidikan tindak fraud menemukan hal-hal yang tidak wajar/di luarkebiasaan, yang dapat
memberi dampak buruk bagi posisi keuangan dan hasiloperasi, maka auditor internal harus
menginformasikan temuan ini kepada jajaranmanajemen dan komite audit. Pihak-pihak yang
dicurigai tidak boleh dilaporkanhingga bukti yang sah telah terkumpul. Konfrontasi harus
dilakukan oleh orang-orang yang memiliki keahlian khusus dalam menyelidiki kasus
kejahatan, bukanoleh auditor internal. Penyelidikan atas suatu kasus dapat mencakup
tindakanoperasi,
pengintaian,
informasi(Apostolou,
2000c).
penempatan
-
Operasi
informan,
mata-mata
mata-mata,
(undercover)
dan
dapat
sumber
dilakukan
untuk membuktikan
adanya
tindak
operasipengintaian/mata-mata,
sebagai
fraud.
metode
Pihak
yang
pengadilan
dapat
menganggap
diterima
untuk
memperolehinformasi, karena metode ini sangat efektif dalam mengungkap tindak kejahatan.
-Pengintaian merupakan pengamatan yang dilakukan terus-menerus terhadaptindakantindakan pihak yang dicurigai untuk mengumpulkan bukti-buktiterpercaya. Hubungan
kepribadian pelaku fraud dengan kerugian perusahaan Apakah hubungan kepribadian pelaku tindak
fraud dengan ukuran kerugianyang diderita oleh perusahaan? Peneliti mengamati kepribadian
melalui umur,jenis kelamin, jabatan, latar belakang pendidikan, dan faktor kolusi. Pertama,
darisegi umur, pada survei tahun 2002 ACFE menemukan bahwa jika pelaku fraud semakin tua umurnya,
maka semakin mahal pula skema yang mereka buat.Kerugian yang diperoleh dari karyawan yang
lebih tua adalah 27 kali darikerugian yang dilakukan oleh penipu usia muda. Alasannya ialah,
bahwakaryawan yang lebih tua memiliki jabatan yang lebih seinor dengan aset yang lebih bebas. Biasanya
dalam sebuah perusahaan, mayoritas jabatan papan atas(manajerial dan di atasnya) dipegang oleh
laki-laki. Temuan dalam surveimelaporkan bahwa sebagian besar tindak fraud dilakukan oleh
laki-laki. Kerugianyang disebabkan oleh pelaku fraud berjenis kelamin laki-laki adalah tiga
kali lipatlebih besar dibandingkan pelaku perempuan, misalnya, laki-laki terlibat dalamtindak
fraud 75 persen dari perempuan. Semakin tinggi jabatan, semakin tinggi pula tingkat pendidikan.
ACFE melaporkan bahwa mereka yang memegang gelarsarjana ternyata menyebabkan 3,5 kali kerugian
dibandingkan mereka yang memiliki pendidikan di bawahnya, misalnya diploma atau SLTA. Jika
tingkatpendidikan pelaku fraud semakin tinggi, maka semakin besar pula angka kerugianyang diderita oleh
perusahaan/organisasi. Kolusi merupakan kegiatan kolaborasiilegal yang sangat sulit untuk
dicegah dan dideteksi, khususnya jika kolusi terjadiantara manajer dan karyawan. Hal ini karena
manajer biasanya diandalkan sebagaipersonil kunci bagi struktur pengendalian perusahaan.
Mereka dipercaya untuk mengidentifikasi dan mendeteksi fraud melalui fungsi mereka
Diposkan oleh Jihan Roza Mahar di 21.12
Aplikasi Internet
Ada dua jenis aplikasi internet yaitu:
- Intranet. Situs web intranet sama halnya dengan situs web lain, tapi dilindungi
firewall dari akses yang tidak sah dan didisain untuk dapat diakses hanya oleh
anggota organisasi.
- Ekstranet. Ekstranet adalah jaringan yang dikendalikan dengan password untuk
pengguna privat bukan publik. Ekstranet digunakan untuk memberikan akses di
antara basis data internal perusahaan rekanan.
Komponen
Teknologi yang mendasari internet termasuk komponen jaringan (terutama arsitektur
client-server dan server), browser web dan teknologi pengembangan web, teknologi
e-mail, file transfer protocol (FTP), dan transmission control protocol (TCP/IP). Berikut
ini adalah beberapa komponen penting internet:
- Protokol. Protokol adalah suatu kumpulan aturan-aturan yang mengendalikan
sistem-sistem yang berhubungan sehingga dapat beroperasi dan berkomunikasi
dengan kompatibel dan lancar. Protokol di internet diorganisasikan dalam bentuk
lapisan-lapisan. Lapisan tingkat paling bawah adalah TCP/IP. TCP/IP bertugas
memastikan bahwa paket-paket data elektronik dikirimkan dan diterima dengan
benar dari satu sistem komputer ke sistem komputer yang lain. Protokol yang
tingkatannya lebih tinggi adalah:
FTP, digunakan untuk memuat file (upload) dan mengambil file (download).
Simple Mail Transfer Protocol (SMTP), digunakan untuk mengirim e-mail.
TELNET, untuk emulasi terminal jaringan.
Hypertext Transmission Protocol (HTTP), adalah standar transmisi data melalui
World Wide Web, komponen grafis internet.
- Server. Server adalah hardware dan software yang selalu berjalan secara konstan
dan melayani pertukaran informasi dengan client. Beberapa jenis server yang
penting dalam internet:
Server Email, bertugas sebagai kotak dan kantor pos elektronik yang menyimpan
email yang masuk dan mengirimkan email ke server email lain sesuai alamat email
yang dituju.
Server File, bertugas untuk melayani penyimpanan dan pengambilan file pada
komputer remote untuk pengguna yang sah.
Server Web, tempat menyimpan halaman dan program web organisasi yang
menerima permintaan jaringan dan mengirim file berformat hypertext markup
language (HTML) sebagai responnya.
HTML dan XML
HTML adalah bahasa format yang menentukan penyajian informasi melalui Web dan
menjadi dasar untuk pengembangan aplikasi internet. Tetapi e-business
membutuhkan bahasa lain untuk memampukan transmisi dan manipulasi informasi
melalui internet. Bahasa ini adalah exstensible markup language (XML).
XML sama dengan HTML dalam hal markup language, tetapi berbeda dalam hal
HTML memiliki tag markup yang tetap, sedangkan tag XML bersifat dapat diciptakan
sendiri dan diperluas. Sehingga XML dapat digunakan untuk menciptakan tag-tag
khusus sesuai industri penggunanya.
Industri akuntansi dan keuangan saat ini sedang mengembangkan extensible
business reporting language (XBRL), yang digunakan untuk pelaporan bisnis melalui
internet. Tag XBRL memastikan pengambilan data dan memampukan manipulasi
informasi supaya dapat dilakukan komparasi antara data akuntansi dan keuangan
satu perusahaan dengan perusahaan lain.
Bahasa spesifik industri lain yang sedang dikembangkan adalah XML e-business
(ebXML). Bahasa standar ini akan memfasilitasi pertukaran data bisnis melalui rantai
persediaan internet dengan cara yang mirip dengan bahasa standar EDI (EDIFACT
dan X12).
B. E-Commerce
Jenis E-Commerce
E-commerce secara umum dibagi menjadi tiga kategori yang berbeda sebagai
berikut:
1. Business-to-consumer (B2C)
B2C adalah pertukaran jasa, informasi dan atau produk dari perusahaan kepada
konsumen menggunakan internet dan teknologi perdagangan elektronik.
2. Business-to-business (B2B)
B2B adalah pertukaran jasa, informasi dan atau produk dari perusahaan kepada
perusahaan menggunakan internet dan teknologi perdagangan elektronik. B2B pada
intinya adalah EDI melalui internet menggunakan web.
3. Consumer-to-consumer (C2C)
C2C adalah model bisnis e-commerce dimana konsumen menjual kepada konsumen
lain menggunakan perusahaan perantara (broker) atau lelang elektronik.
Komponen E-Commerce
Komponen-komponen e-commerce terdiri dari:
1. Sistem Pembayaran Elektronik
Sistem pembayaran elektronik diperlukan oleh sembarang bisnis yang menjual
barang dan jasa secara online. Bisnis membutuhkan beberapa metode untuk:
menerima pembayaran selama pelanggan sedang online, mengotentikasi pelanggan,
dan melindungi privasi detil transaksi.
2. Protokol
TCP/IP menyediakan protokol paling banyak yang diperlukan untuk melengkapi
transaksi bisnis secara online, tapi protokol khusus dibutuhkan untuk mengenkripsi
informasi transaksi dan memelihara privasi pelanggan. Protokol yang sering
digunakan adalah sebagai berikut:
SSL.
Salah satu protokol yang umum digunakan adalah Secure Socket Layer (SSL). SSL
menggunakan kunci, sertifikat/tanda tangan digital, dan enkripsi untuk melindungi
informasi dan mengotentikasi pelanggan dan penjual.
SET.
Protokol lain yang digunakan adalah Secure Electronic Transactions (SET), yang
disponsori oleh VISA, Master Card, dan American Express. Perbedaan antara SET dan
SSL adalah bahwa SET mengkonfirmasi ketersediaan dana selama dua phak sedang
online, dan melindungi infromasi di antara ketiga pihak. SET juga menggunakan
enkripsi yang kuat dan sertifikat/tanda tangan digital.
Risiko E-Commerce
Risiko e-commerce datang dari internal maupun eksternal sebagai berikut:
1. Internal
Mayoritas aktivitas menyimpang tidak datang dari penyusup luar, tetapi dari dalam,
dan tentu, kegagalan sistem umum. Ahli riset TI, The Gartner Group, mengestimasi
bahwa lebih dari 70% akses tidak sah ke sistem informasi dilakukan oleh pegawai,
yang lebih dari 95% penyusupan mengakibatkan kerugian keuangan yang signifikan.
Kecelakaan/Kegagalan Sistem.
Dari sekian banyak jenis risiko yang terkait dengan ketersediaan atau kerusakan
sistem, kegagalan sistem adalah alasan paling umum terjadinya masalah.
Akuntabilitas yang Tidak Efektif.
Meskipun kebijakan dikembangkan dengan tujuan baik, dan banyak prosedur efektif
disusun secara seksama, penyebab utama pengendalian yang tidak efektif adalah
sering kali karena kurangnya akuntabilitas dalam memastikan bahwa prosedur
senyatanya dilaksanakan.
Aktivitas yang Menyimpang.
Salah satu aspek serius risiko internal muncul dari pegawai entitas sendiri, terutama
ketika dia menjadi termotivasi untuk membalas dendam kepada perusahaannya.
Kecurangan (Fraud).
Kasus-kasus kecurangan keuangan telah membuat publik sadar akan skop dari
Pembocoran Privasi
Ada banyak cara privasi dikompromikan melalui e-mail. Contoh: pesan pribadi diforward, dibagi, atau diintip oleh hackers.
Jejak Kertas E-Mail
Pesan e-mail adalah permanen dan bisa dipergunakan sebagai bukti tuntutan
hukum. Penghapusan e-mails terkait masalah hukum bisa dianggap sebagai
pelanggaran.
Mata-Mata Perusahaan
Insider bisa membocorkan rahasia perdagangan perusahaan melalui e-mail. Data
kepemilikan bisa saja diperoleh melalui sistem e-mail.
Dalam melakukan pengendalian atas sistem e-mail bisa dilakukan dengan software
tertentu yang berisikan fitur produk berupa enkripsi, kompresi data, otentikasi,
memindai isi, tracking, pemanfaatan otomatis, penghancuran digital, pemfilteran
dan pengeblokan, dan perlindungan anti-virus. Contoh software yang berisi fitur ini
adalah Genidocs Server, GLWebMail XT Professional, enRole, dan CAMEO Recon. Cara
terbaik menjamin keamanan privasi e-mail adalah dengan cara enkripsi. Contoh
enkripsi standar untuk e-mail yaitu Pretty Good Privasi (PRP) dan Secure
Multipurpose Internet Mail Extensions (S/MIME).
E. Pengendalian Internet/E-Commerce
Risiko e-commerce dapat dikurangi dengan penerapan beberapa pengendalian.
Adalah tanggungjawab auditor TI untuk memastikan pengendalian yang memadai
telah diterapkan dan bekerja secara efektif untuk melindungi aset dan bisnis
organisasi. Dua hal utama yang menjadi pertimbangan dalam pengendalian adalah
akses tidak sah dan kegagalan peralatan.
Pengendalian
Pengendalian dimulai dengan praktik-praktik terbaik penggunaan kebijakan dan
prosedur untuk menghadapi risiko yang diidentifikasi dalam penilaian risiko yang
dilakukan oleh perusahaan atau auditornya, dan termasuk beberapa perangkat
canggih TI untuk mengurangi risiko tersebut.
1. Kebijakan dan Prosedur
Sekali tim penilai risiko mengidentifikasi risiko spesifik, yang melampaui tingkat
risiko yang dapat ditoleransi dan pengendalian menjadi cost-effective, maka tim
harus mengembangkan kebijakan, untuk menyatakan maksud organisasi
sehubungan dengan kejadian yang berisiko. Kebijakan akan berlanjut dengan pilihan
prosedur-prosedur untuk mencegah dan sekaligus mendeteksi risiko.
2. Teknik SDLC
Salah satu area yang harus diawasi adalah praktik-praktik terbaik yang didirikan
dalam komunitas TI/SI selama bertahun-tahun dalam system development life cycle
(SDLC) atau analisis dan disain sistem.
3. Sistem Anti-Virus
Sistem anti-virus dapat mengurangi risiko serangan virus, tetapi sistem anti-virus
sendiri tidak cukup, meskipun di-update secara reguler. Dibutuhkan perangkat lain
untuk memberi peringatan dini akan aktivitas yang mencurigakan.
4. Nomor Urut Pesan
Penyusup dalam kanal komunikasi mungkin berusaha untuk menghapus pesan dari
dari aliran pesan, mengubah urutan pesan yang diterima, atau menggandakan
pesan. Melalui penomoran urut pesan, suatu nomor urut disisipkan dalam tiap pesan,
dan usaha penyusup akan menjadi terlihat pada pihak penerima.
5. Log
Semua aktivitas yang dilakukan dalam sistem harus dicatat dalam log transaksi
secara lengkap.
6. Sistem Monitoring
Router dan gateway pengawasan menjadi perangkat efektif untuk memonitor
aktivitas-aktivitas yang mencurigakan. Bila dikombinasikan dengan grafik yang
dapat dibaca secara terus menerus, sembarang aktivitas yang mencurigakan dapat
disorot melalui perubahan yang digambarkan oleh grafik.
jaringan dianalisa.
- Berbasis-host: IDS memeriksa aktivitas pada tiap komputer atau host.
Sistem Pasif Versus Sistem Reaktif
- Pasif: IDS mendeteksi pelanggaran keamanan potensial, mencatat informasi
dalam log dan mengirim sinyal peringatan.
- Reaktif: IDS merespon aktivitas mencurigakan dengan me-logoff pengguna
memeriksa aktivitas pada tiap komputer atau host.
Mengendalikan Serangan Denial-of-Service (DoS)
Ketika pengguna membuat koneksi internet melalui TCP/IP, terjadi handshake tigajalur. Server asal mengirimkan kode inisiasi yang disebut paket SYN ke server tujuan.
Server tujuan kemudian mengakui permintaan dengan mengirim paket SYN/ACK.
Akhirnya mesin pengirim merespon dengan kode paket ACK. DoS terjadi ketika
server pengirim mengirimkan paket SYN dalam jumlah besar dan terus menerus tapi
tidak pernah merespon dengan ACK untuk menyelesaikan koneksi. Meskipun DoS
tidak dapat dicegah, tapi dapat dikurangi risiko serangannya dengan software
keamanan yang dapat meindai koneksi yang setengah terbuka.
Enkripsi
Enkripsi adalah konversi data menjadi kode rahasia untuk disimpan dalam basis data
dan transmisi melalui jaringan. Pengirim menggunakan algoritma enkripsi untuk
mengkonversi pesan original (cleartext) menjadi pesan yang telah dikode
(ciphertext). Pada penerima chipertext di-dekode (dekripsi) kembali menjadi
cleartext.
Ada dua komponen dasar enkripsi: kunci dan algoritma. Kunci adalah nilai matematis
yang dipilih oleh pengirim pesan. Algoritma adalah prosedur sederhana penggeser
tiap huruf dalam pesan cleartext. Ada dua jenis metode umum enkripsi yang
digunakan:
Enkripsi Kunci Privat
Metodologi yang umum digunakan adalah Data Encryption Standard (DES) yang
menggunakan satu kunci yang digunakan untuk mengenkripsi pesan asli menjadi
pesan rahasia maupun mendekripsi pesan rahasia menjadi pesan asli.
Enkripsi Kunci Publik
Teknik ini menggunakan dua kunci berbeda: satu untuk meng-enkode pesan dan
yang lain untuk men-dekode pesan.
Sertifikat Digital/Tandatangan Digital
Sertifikat digital adalah lampiran pesan elektronik yang digunakan untuk tujuan
keamanan. Umumnya digunakan untuk memverifikasi pengirim pesan dan
menyediakan alat bagi penerima untuk meng-enkode pesan jawaban.
Tandatangan digital adalah kode yang dapat dilampirkan ke pesan yang dikirim
secara elektronik yang secara unik mengidentifikasi pengirim.
8. Business Recovery Plan (BRP)
Adalah pengendalian yang efektif untuk perusahaan e-commerce untuk tetap dapat
menjalankan bisnis setelah aktivitas bisnis mengalami kejadian yang merugikan.
9. Incident Response Plan
Mirip dengan BRP, tetapi yang diantisipasi adalah persiapan dan perencanaan respon
perusahaan kepada publik dan media setelah kejadian yang merugikan.
10. Mengendalikan Kemungkinan Kegagalan Peralatan
Berikut ini adalah teknik pengendalian yang didisain untuk membatasi ancaman dari
kegagalan peralatan yang dapat mengganggu, menghancurkan, atau merusak
transaksi elektris basis data dan program komputer.
Echo Check
Melibatkan penerima pesan untuk mengembalikan pesan kepada pengirim. Pengirim
membandingkan pesan yang dikembalikan dengan pesan orisinal.
Parity Check
Memasukkan bit ekstra ke dalam struktur string bit ketika dibuat atau dikirim. Parity
dapat berupa bit vertikal dan horisontal (longitudinal).
Tujuan Audit
Tujuan audit atas internet/e-commerce:
1. Memverifikasi keamanan dan integritas transaksi perdagangan elektronik
dengan menentukan bahwa pengendalian (1) dapat mendeteksi dan mengkoreksi
pesan yang hilang karena kegagalan peralatan, (2) dapat mencegah dan mendeteksi
akses ilegal baik internal dan dari internet, (3) memberikan data yang tak berguna
yang berhasil diambil oleh pelaku.
2. Memverifikasi bahwa prosedur backup memadai untuk menjaga integritas dan
keamanan fisik basis data dan file lainnya yang terhubung ke jaringan.
3. Menentukan bahwa (1) semua transaksi EDI telah diotorisasi, divalidasi dan
patuh terhadap perjanjian dengan partner perdagangan; (2) tidak ada organisasi
yang tidak diotorisasi yang mengakses record basis data; (3) partner perdagangan
yang diotorisasi memiliki akses hanya untuk data yang telah disetujui; dan (4)
pengendalian yang memadai diterapkan untuk memastikan jejak audit semua
transaksi EDI.
Prosedur Audit
Untuk mencapai tujuan audit tersebut, auditor dapat melakukan prosedur pengujian
pengendalian sebagai berikut:
1. Memilih sampel pesan dari log transaksi dan memeriksanya untuk isi yang
terdistorsi akibat noise jalur transmisi.
2. Mereview log transaksi pesan untuk memverifikasi bahwa semua pesan diterima
dalam urutan yang tepat.
3. Menguji operasi fitur call-back dengan mencoba panggilan yang tidak diotorisasi
dari luar.
4. Mereview prosedur pengamanan yang mengatur administrasi kunci enkripsi
data.
5. Memverifikasi proses enkripsi dengan mengirimkan pesan percoban dan
memeriksa isinya pada beberapa titik sepanjang kanal antara lokasi pengiriman dan
penerimaan.
6. Mereview kecukupan firewall dalam mencapai keseimbangan yang tepat antara
pengendalian dan kenyamanan berdasarkan tujuan bisnis organisasi dan risiko
potensial. Kriteria untuk penilaian efektivitas firewall meliputi: fleksibilitas, proxy
services, penyeringan, pemisahan sistem, alat-alat audit, penyelidikan atas
kelemahan dan review atas prosedur pengendalian password.
F. Jasa Asurans Pihak Ketiga
COBIT mengontrol jasa pihak ketiga sebagai bagian dari dimensi Delivery & Support
(DS2)-nya. Dengan adanya e-business meningkatkan keandalan pihak luar terhadap
bentuk ISP, ASP, otoritas sertifikat, dan penyedia pembayaran elektronik. Auditor TI
mengevaluasi jasa pihak ketiga perlu memahami lebih dulu hubungan antara entitas
yang direview dan pihak ketiga itu sendiri. Selanjutnya mereka menyusun langkahlangkah audit yang diperlukan dalam mengevaluasi jasa pihak ketiga itu. Audit jasa
pihak ketiga terkadang dikaitkan dengan SAS 70 Reports on the Processing of
Transactions by Service Organizations, yang bertujuan menyediakan pedoman bagi
auditor keuangan dalam mengaudit laporan keuangan yang bergantung pada jasa
organisasi pihak ketiga untuk memproses beberpa transaksinya. SAS 70 juga berisi
pedoman mereview laporan atas proses transaksi yang akan dimanfaatkan oleh
auditor lainnya.
Tujuan dari jasa penjaminan pihak ketiga adalah untuk mengarahkan privasi dan
keamanan dari pelanggan akhir dan perusahaan dalam melaksanakan bisnis di
internet. Pihak ketiga seperti auditor TI dapat mengevaluasi bisnis dalam artian
privasi, keamanan, integritas transaksi, keandalan sistem, dan kebijakan bisnis.
Contoh organisasi yang menawarkan jasa penjaminan: gabungan AICPA dan CICA
menghasilkan CPA WebTrust yang memberikan dua jasa penjaminan WebTrust dan
SysTrust. WebTrust diarahkan utamnya pada transaksi e-commerce dan bagian dari
SysTrust yang diperuntukkan bagi semua sistem informasi.
SysTrust dan WebTrust terdiri atas kumpulan prinsip dan kriteria. Prinsip-prinsip itu
Referensi