JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika) Volume 06, Nomor 02, Desember 2021 : 336 – 347

## RENCANA AUDIT TEKNOLOGI INFORMASI MENGGUNAKAN COBIT 2019 PADA UNIT RIYANTI UNIVERSITAS TELKOM
Ayta Boangmanalu 1) , Iqbal Santosa 2) , Lukman Abdurrahman 3)
1, 2,3) Program Studi Sistem Informasi, Fakultas Rekayasa Industri, Universitas Telkom Jl. Telekomunikasi No. 1, Terusan Buahbatu Kec. Dayeuhkolot, Bandung, Jawa Barat 40257 e-mail: aytaboangmanalu@student.telkomuniversity.ac.id 1 ) , iqbals@telkomuniversity.ac.id 2 ) , abdural@telkomuniversity.ac.id 3 )

## ABSTRAK
Teknologi  Informasi  telah  menjadi  unsur  penting  pada  lembaga  pendidikan  khususnya  pada  Perguruan  Tinggi,  untuk mendukung kegiatan operasional akademik dan layanan informasi lainnya untuk meningkatkan efektivitas dari proses bisnis agar  dapat  berjalan  sesuai  dengan  tujuan  dari  Perguruan  Tinggi  tersebut.  Direktorat  Pusat  Teknologi  Informasi  (PuTI) merupakan  penyedia  layanan  di  Universitas  Telkom  yang  menyediakan  layanan  teknologi  informasi  untuk  mendukung keberlangsungan proses bisnis yang ada di Universitas Telkom. Teknologi informasi yang digunakan pada Direktorat Puti perlu  dilakukan  audit  untuk  mengevaluasi  apakah  efektivitas  dari  Teknologi  informasi  tersebut  sudah  sesuai  dan  sejalan dengan proses bisnis dari Universitas Telkom. Oleh karena itu, dilakukan penelitian ini untuk dapat melakukan pengembangan rencana audit yang menggunakan kerangka kerja COBIT 2019 dengan metode proses pengembangan rencana audit teknologi informasi.  Data  yang  digunakan  pada  penelitian  ini  adalah  data  yang  bersumber  dari  hasil  wawancara,  kuesioner  dan dokumen  yang  diperoleh  dari  Direktorat  PuTI  dan  melibatkan  kepala  bagian  serta  staff  unit  riset  dan  layanan  teknologi informasi Direktorat PuTI, sehingga penelitian ini akan menghasilkan rekomendasi rencana audit yang berfokus pada area management  practice  APO04-Managed  Innovation,  APO07-Managed  Human  Resource,  APO11-Managed  Quality,  dan BAI05-Managed Knowledge pada COBIT 2019 yang berguna untuk mempermudah pelaksanaan audit pada Direktorat PuTI nantinya.

## Kata Kunci: COBIT 2019, Rencana Audit, Teknologi Informasi

## ABSTRACT
Information Technology has become an important element in educational institutions, especially in universities, to support academic operational activities and other information services to increase the effectiveness of business processes so that they can run in accordance with the goals of the university. The Central Directorate of Information Technology (PuTI) is a service provider at Telkom University that provides information technology services to support the sustainability of existing business processes at Telkom University. The information technology used in the IT Directorate needs to be audited to evaluate whether the effectiveness of the information technology is appropriate and in line with the business processes of Telkom University. Therefore,  this  research  was  conducted  to  be  able  to  develop  an  audit  plan  using  the  COBIT  2019  framework  with  the information technology audit plan development process method. The data used in this study is data sourced from interviews, questionnaires and documents obtained from the PuTI Directorate and involves the head of the section and staff of the research unit and information technology services of the PUTI Directorate. practices APO04-Managed Innovation, APO07-Managed Human Resource, APO11-Managed Quality, and BAI05-Managed Knowledge at COBIT 2019 which are useful to facilitate the implementation of audits at the PuTI Directorate.

## Keywords: Audit Plan, COBIT 2019, Information Technology

## I. P ENDAHULUAN
eknologi informasi merupakan media yang sangat penting dan dapat digunakan pada proses pengumpulan, penyimpanan, pengolahan dan penyebaran informasi [1]. Pada saat ini, penggunaan dari Teknologi Informasi sudah  menjadi  kebutuhan  penting  pada  lembaga  pendidikan  khususnya  pada  Perguruan  Tinggi  untuk mendukung kegiatan operasional akademik dan layanan informasi lainnya sehingga proses bisnis dapat berjalan sesuai dengan tujuan dari Perguruan Tinggi tersebut [2]. Direktorat Pusat Teknologi Informasi (PuTI) adalah salah satu penyedia layanan di Universitas Telkom yang menyediakan layanan infrastruktur teknologi informasi, layanan intranet  dan  internet  (interkoneksi),  layanan  data  dan  sistem  informasi  (aplikasi  sistem  informasi  akademik, nonakademik, dan pendukung) yang menerapkan teknologi informasi untuk keberlangsungan proses bisnis yang ada  di  Universitas  Telkom.  Ditinjau  dari  fungsi  pelayanannya,  Direktorat  PuTI  sangat  berpengaruh  terhadap keberlangsungan  proses  bisnis  yang  berjalan  di  Universitas  Telkom,  khususnya  pada  unit  Riset  dan  Layanan
T

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
Operasional  (RiYanTI)  yang  memiliki  5  layanan  dimana  rata-rata  target  persentase  yang  harus  dipenuhi  atau minimum  ketersediaan  yang  harus  dijamin  adalah  sebesar  97%  dari  banyaknya  layanan  yang  disediakan  oleh Direktorat PuTI Universitas Telkom. Data tersebut diperoleh berdasarkan dokumen katalog layanan unit Riset dan Layanan Teknologi Informasi tahun 2021.
Unit Riset dan Layanan Teknologi Informasi (RiYanTI) pada Direktorat PuTI belum memiliki perencanaan audit teknologi informasi untuk pelaksanaan audit  memastikan apakah layanan yang ada sudah memenuhi target atau tidak.  Oleh  karena  itu,  sangat  penting  dilakukannya  audit  teknologi  informasi  pada  unit  Riset  dan  Layanan Teknologi  Informasi  (RiYanTI)  untuk  mengukur  atau  mengevaluasi  apakah  layanan  tersebut  sudah  mencapai minimum  ketersediaan  yang  telah  dijaminkan[3].  Berdasarkan  permasalahan  tersebut,  penulis  melakukan penelitian  ini  untuk  menghasilkan  rekomendasi  rencana  audit  menggunakan  COBIT  2019  yang  nantinya  dapat digunakan  untuk  mempermudah  pelaksanaan  audit  pada  unit  unit  Riset  dan  Layanan  Teknologi  Informasi (RiYanTI) Direktorat Pusat Teknologi Informasi Universitas Telkom [4].
Perencanan audit merupakan sebuah tahapan yang terperinci yang berkaitan dengan prosedur dan rencana yang akan digunakan dalam pelaksanaan audit agar pelaksanaan audit dapat berjalan dengan efektif dan efisien [5]. Agar proses perencanaan audit Teknologi Informasi tersebut dapat terlaksana dengan baik maka diperlukan satu landasan framework yang bersifat internasional, oleh karena itu penulis memilih menggunakan framework COBIT ( Control Objective of Information System ) 2019 yang dikembangkan oleh ISACA ( Information System Audit and Control Foundation ) karena merupakan kerangka kerja yang berfungsi sebagai kontrol manajemen yang dapat digunakan oleh instansi atau perusahaan untuk mengelola teknologi informasi dan COBIT 2019 merupakan framework yang sudah membahas tujuh komponen secara lengkap sehingga peneliti dapat memberikan rekomendasi perencanaan audit Teknologi Informasi secara lengkap[6].

## II. M ETODE P ENELITIAN

## A. Pengembangan Model Konseptual
Model  konseptual  model  adalah  sebuah  model  yang  dideskripsikan  ke  dalam  bentuk  diagram,  yang menggambarkan hubungan antar konsep dimana hubungan tersebut merupakan faktor utama yang mempengaruhi kondisi  penyampaiannya[7].  Model  konseptual  ini  dapat  membantu  memetakan  masalah  secara  relevan  dan menghubungkannya dengan teori untuk membantu memecahkan masalah.

## Gambar 1. Metode Penelitian
Pada Gambar 1 menjelaskan tiga bagian yang saling berhubungan satu sama lain. Tiga bagian tersebut adalah Lingkungan, Penelitian SI, dan Dasar Ilmu. Lingkungan menjelaskan lingkungan perusahaan yang dijadikan obyek penelitian  yang  terdiri  dari people,  organization,  technology dan  data .  People dan Organization menjelaskan mengenai tujuan yang akan dituju pada penelitian ini, people sebagai subjet yaitu, Kepala Unit Riset dan Layanan Teknologi  Informasi  Universitas  Telkom  dan Organization sebagai  objek  yaitu,  Pusat  Teknologi  Informasi Universitas Telkom, technology menjelaskan mengenai teknologi yang digunakan di perusahaan, yaitu aplikasi dan infrastruktur serta data menjelaskan mengenai data yang dibuthkan dalam penelitian ini yaitu data primer dan data sekunder.Penelitian  SI  menjelaskan  apa  saja  yang  akan  dibangun  atau  dikembangkan  dalam  penelitian,  dan bagaiamana cara evaluasi yang dilakukan dalam penelitian. Develop/Build menjelaskan mengenai pengembangan yang akan dilakukan di perusahaan, yaitu pengembangan rencana audit pada unit Unit Riset dan Layanan Teknologi

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
Informasi  Pusat  Teknologi  Informasi  (PuTI)  Universitas  Telkom. Justify/Evaluate menjelaskan  mengenai bagaimana cara mendapatkan informasi serta melakukan konfirmasi pada penelitian ini yaitu dengan melakukan diskusi dengan grup dan masukkan dari stakeholder terkait. Dasar ilmu menjelaskan teori dan kerangka kerja dan metodologi  yang digunakan  dalam  penelitian  ini.  Dasar  yang  dilakukan  pada  penelitian  ini  adalah  perencanaan audit  TI  menggunakan kerangka kerja  COBIT  2019.  Metodologi  menjelaskan  mengenai metode  apa  yang  akan digunakan pada penelitian ini yaitu menggunakan Global Technologi Audit Guide (GTAG) Developing the IT Audit Plan sebagai panduan dalam analisis dan perancangan dan pada teknik pengumpulan data menggunakan metode wawancara, analisis dokumen, observasi, studi pustaka dan kuesioner.

## B. Sistematika Penyelesaian Masalah
Sistematikan penelitian merupakan langkah-langkah atau tahapan yang dilakukan untuk melakukan penelitian dan  menyusun  evaluasi  untuk  memecahkan masalah  serta  memberikan  solusi  atas  masalah  tersebut.  Berikut  ini merupakan tahapan yang dilakukan dalam penelitian ini.

## Gambar 2. Sistematika Penelitian
Gambar 2 tersebut menjelaskan tahapan sistematikan penelitian yang dilakukan pada penelitian ini. Penelitian ini akan melakukan empat tahap yaitu :
1) Memahami Strategi Perusahaan
Pada tahap ini menjelaskan bahwa sebelum mengembangkan rencana audit, hal pertama yang harus dilakukan adalah memahami strategi dan konteks perusahaan yang sedang diteliti. Hal ini dapat dilihat dari kesinambungan dan ketersediaan layanan bisnis pada perusahaan untuk mengetahui strategi dan tujuan perusahaan dan memahami profil  risiko  untuk  mengindentifikasi  jenis  risiko  terkait  Teknologi  Informasi  yang  dihadapi  oleh  perusahaan. Output  yang  dihasilkan  pada  akhir  dari  tahap  ini  adalah  memiliki  pandangan  yang  jelas  dan  konsisten  tentang strategi perusahaan, tujuan perusahaan, risiko terkait TI, dan masalah TI saat ini.

## 2) Menentukan Komponen Audit TI Secara Keseluruhan
Pada tahap ini menjelaskan hal yang akan dilakukan setelah memahami strategi dan latar belakang perusahaan adalah menentukan semua komponen audit TI dengan mempertimbangkan sistem tata kelola untuk menentukan portofolio produk audit TI dan mendorong operasi TI yang baik. Tentukan portofolio proyek yang mencakup semua aktivitas  audit  TI  untuk  merekomendasikan  audit  berikutnya.  Setelah  menentukan  portofolio  audit  TI,  dapat dikembangkan untuk mendefinisikan seluruh portofolio audit TI.

## 3) Menilai Risiko Audit TI Secara Keseluruhan
Tahap selanjutnya adalah melakukan analisis risiko yang dapat dinilai dari dua kategori yaitu dari frekuensi yang dapat  dilihat  dari  berapa  kali  dalam  periode  tertentu  (biasanya  dalam  satu  tahun)  suatu  peristiwa  kemungkinan besar akan terjadi dan dapat dilihat juga dari dampak yang merupakan konsekuensi bisnis dari skenario faktor risiko adalah kondisi yang memengaruhi frekuensi dan dampak[8]. Dampak dapat memiliki sifat yang berbeda dan dapat diklasifikasikan menjadi dua kategori utama, yaitu faktor kontekstual yang dapat dibagi menjadi faktor internal dan eksternal,  dan  perbedaannya  terletak  pada  tingkat  kendali  yang  dimiliki  perusahaan  atas  faktor  tersebut.  Faktor yang kedua adalah kapabilitas yang dilihat dari seberapa efektif dan efisien perusahaan dalam aktivitas yang terkait TI.  Faktor  risiko  harus  dipertimbangkan  selama  setiap  analisis  risiko.  Setelah  faktor  risiko  diputuskan,  barulah dapat digunakan untuk melakukan analisis risiko.
4) Menyimpulkan dan Memvalidasi Rencana Audit TI
Tahap ini merupakan tahap akhir yaitu menyimpulkan dan memvalidasi rencana audit, dalam melakukan validasi harus  memiliki  daftar  item  dunia  audit  yang  diperingkat  berdasarkan  portofolio.  Karena  manajemen  akan mengetahui  faktor-faktor  seperti  pemutakhiran  terjadwal,  penggantian  aplikasi,  dan  audit  eksternal,  yang  dapat memengaruhi kemampuan audit untuk menyampaikan rencana tepat waktu. Kemudian setelah menyimpulkan dan memvalidasi selanjutnya adalah menyelesaikan konflik utama yang ada di perusahaan, kemudian perusahaan dapat menerbitkan rencana audit TI yang diverifikasi [9].

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347

## C. Design Factor
Gambar 3. COBIT Design Factors
Gambar  3  menjelaskan  mengenai design  factor pada  COBIT  2019. Design  Factor merupakan  tahap  yang dilakukan dalam proses pemilihan management practice pada COBIT 2019 yang nantinya akan dilakukan audit pada management practice tersebut. Cara penentuan management practice melalui design factor ini adalah dengan cara mengidentifikasi design factor satu sampai dengan design factor sepuluh  berdasarkan kondisi riil dan aktual dari Direktorat PuTI Universitas Telkom khususnya unit RiYanTI. Setelah mengidentifikasi design factor , maka akan terlihat hasil skor secara otomatis pada step dua dan step tiga summary design factor yang dapat dilihat pada tabel VII. Penentuan management practice yang akan dilakukan audit ditentukan berdarkan hasil skor yang paling tinggi pada step Step 3 refine the scope of the governance system dan management practice yang sesuai dengan unit RiYanTI. Data yang digunakan dalam assesment pada design factor adalah data terkait rencana strategis, data terkait risiko, serta data terkait pengelolaan TI pada objek penelitian. Data yang diperoleh berupa dokumen, hasil wawancara dan juga hasil kuesioner yang dapat dilihat pada tabel I.
T ABEL I H ASIL K UESIONER
Pertanyaan Kuesioner Jawaban Alternatif Responden
Masalah TI yang dihadapi oleh PuTI Universitas Telkom (unit RiYanTI) tidak ada masalah diorganisasi ada masalah
ada masalah serius
Ancaman TI yang dihadapi oleh PuTI Universitas Telkom (unit RiYanTI)
Tinggi Normal
Seberapa besar model sumberdaya pengelolaan Teknologi Informasi yang digunakan oleh PuTI Universitas Telkom (unit RiYanTI) Insourced (0-100%) Cloud (0-100%) Outsourced (0-100%)
Seberapa besar Penggunaan Implementasi Metode TI yang digunakan pada PuTI Universitas Telkom (unit RiYanTI)
Agile (0-100%)
DevOps (0-100%) Traditional (0-100%)

## D. Risk Assessment
Setelah  mengetahui fokus  area mana  saja  yang  akan  dilakukan  audit    melalui design  factor ,  maka  tahap selanjutnya  yang  akan  dilakukan  adalah  dengan  menilai  kriteria  level  risiko  pada  masing-masing management practice tersebut. Pada tahap risk assesment ini risiko yang ada pada unit RiYanTI akan diklasifikasikan sesuai dengan  masing-masing management  practice yang  telah  ditentukan.  Selanjutnya  untuk  mengetahui  level  risiko tersebut, akan dilakukan penilaian pada setiap risiko berdasarkan dampak dan probabilitas seperti pada tabel III dan  IV.  Setelah  mengetahui  hasil  dari  level  risiko  pada  masing-  masing managemet  practice maka  dapat direkomendasikan siklus tahunan untuk melakukan audit serta alokasi hari yang dibutuhkan untuk melakukan audit.

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
Rekomendasi siklus tahunan audit dapat ditentukan berdasarkan tabel V. Untuk sampel risiko pada masing-masing management  practice dapat  dilihat  pada  tabel  II  dibawah  ini.  Contoh  risiko  berikut  akan  digunakan  untuk melakukan risk assesment pada tabel IX.
T ABEL II D AFTAR R ISIKO No Management Practice Risiko pada Unit RiYanTI 1 APO04 – Managed Innovation Kegagalan dalam mengadopsi dan memanfaatkan software baru (fungsi, optimasi, dll) pada waktu yang tepat 2 APO07 – Managed Human Resource Kurangnya penyelidikan calon pegawai dalam proses rekrutmen 3 APO11 – Managed Quality Beberapa data tidak ada di aplikasi Fungsionalitas tidak diselesaikan secara sempurna Fitur tidak maksimal Aplikasi berjalan lama Data perubahan permintaan RFC tidak tersimpan di database 4 BAI08- Managed Knowledge Kurangnya pemahaman bisnis oleh staff TI yang mempengaruhi kualitas pelayanan / proyek. T ABEL III
L EVEL I MPACT Level Dampak (C) Kriteria Dampak/Konsekuensi/Keparahan (Generik) Deskripsi 1 Tidak Signifikan Terjadi dampak kecil berupa kerugian non finansial pada area dampak risiko dimana kejadian masih dapat di tangani melalui prosedur dan proses kerja yang berlaku. 2 Minor Terjadi dampak kecil pada area dampak risiko dimana kejadian masih dapat di tangani melalui prosedur dan proses kerja yang berlaku. 3 Moderate Terjadi dampak yang signifikan pada area dampak risiko tetapi dapat ditangani melalui prosedur dan proses kerja yang berlaku. 4 Signifikan Terjadi dampak signifikan dan berpotensi sistemik pada area dampak risiko yang perlu ditangani secara cepat dan tepat. 5 Ekstrim/Sangat Signifikan Terjadi dampak membahayakan dan sistemik pada area dampak risiko yang perlu ditangani secara cepat dan tepat.
Tabel III menjelaskan mengenai tingkatan skala dampak yang digunakan untuk menilai sebuah risiko pada unit RiYanTI Direktorat PuTI. Kriteria penilaian dampak risiko dapat dilihat dari penjelasan pada table 4 yaitu risiko yang  memiliki  level  dampak  paling  rendah  adalah  level  satu  yaitu  tidak  signifikan  apabila  dampak  dari  risiko tersebut berupa kerugian non finansial pada area dampak risiko dimana kejadian masih dapat di tangani melalui prosedur  dan  proses  kerja  yang berlaku  pada  unit  RiYanTI.  Begitu  juga  seterusnya  sampai  level  dampak  risiko yang paling tinggi yaitu level lima atau dampak yang paling signifikan apabila membahayakan dan sistemik pada area dampak risiko yang perlu ditangani secara cepat dan tepat.
T ABEL IV
L EVEL P ROBABILITAS
Probabilitas Level Kemungkinan ( Likelihood) Kriteria 1 (Hampir Tidak Terjadi) 1 kejadian dalam 1 semester 2 (Jarang Terjadi) >1 sampai 3 kejadian dalam 1 semester 3 (Kadang Terjadi) >3 sampai 5 kejadian dalam 1 semester
4 (Sering Terjadi)
>5 sampai 10 kejadian dalam 1 semester 5 (Selalu Terjadi) >10 kejadian dalam 1 semester
Tabel  IV  menjelaskan  tingkatan  level  probabilitas  yang  digunakan  untuk  menilai  sebuah  risiko  pada  unit RiYanTI Direktorat PuTI. Kriteria penilaian probabilitas risiko dapat dilihat dari penjelasan pada table yaitu  risiko yang kemungkinan terjadinya hampir tidak pernah terjadi  berada di level 1 yang kemungkinan terjadinya satu kali dalam satu semester. Begitu juga seterusnya  sampai penilaian probabilitas risiko dengan level yang paling tinggi yaitu probabilitas risiko yang berada di level 5, apabila kemungkinan terjadinya selalu terjadi dan kriteria risiko tersebut terjadi lebih dari 10 kejadian dalam 1 semester.
T ABEL V L EVEL R ISIKO
Level Rentang Skor Risiko
Siklus Tahunan yang Direkomendasikan H 117-175 Setiap 1 sampai 2 tahun M 59-116 Setiap 2 sampai 3 tahun L 1-58 Setiap 3 sampai 5 tahun

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
Tabel  V  menjelaskan  mengenai  rentang  penilaian  dan  frekuensi  audit  atau  tinjauan  yang  sesuai  berdasarkan ketersediaan sumber daya organisasi.Sebagai bagian dari langkah penilaian risiko, auditor perlu menentukan siklus tahunan yang direkomendasikan untuk subjek audit di unit RiYanTI berdasarkan rentang skor risiko gabungan, di mana subjek audit berisiko tinggi (H) ditinjau setiap satu hingga dua tahun, subjek berisiko sedang (M) setiap dua hingga tiga tahun, dan subjek berisiko rendah (L) setiap tiga sampai lima tahun. Ini akan memastikan bahwa area berisiko tinggi sering ditinjau dan area berisiko rendah dikonversi secara memadai selama rentang lima tahun.
T ABEL VI A LOKASI H ARI Unit Alokasi Hari Pelaksanaan Audit RiYanTI 1 Hari All Unit ( DevTI, IsTI, RiYanTI ) 3 Hari
Tabel  VI  menjelaskan  penentuan  alokasi  hari  pelaksanaan  audit  pada  Direktorat  PuTI.  Pada  Direktorat  PuTI terdapat tiga unit, yaitu DevTI, IsTI dan RiYanTI. Alokasi hari pelaksanaan audit ditentukan berdasarkan jumlah unit yang akan di audit pada management practice yang akan ditentukan. Apabila pada management practice hanya ada satu unit yang akan di audit maka hari pelaksanaan audit yang dibutuhkan adalah satu hari dan apabila pada management practice akan dilakukan audit ke seluruh unit pada Direktorat PuTI yaitu tiga unit maka alokasi hari pelaksanaan yang dibutuhkan untuk melakukan audit adalah tiga hari.

## III. H ASIL DAN P EMBAHASAN

## A. Memahami Konteks dan Strategi Perusahaan
A.1 Memahami Strategi Perusahaan
Gambar 4. Design Factor 1 Enterprise Strategy
Gambar 4 diatas menjelaskan mengenai hasil dari analisis strategi pada Direktorat Sistem Informasi Universitas Telkom berdasarkan assessment yang dilakukan pada Design Factor (DF) satu. Tujuan dari tahap ini adalah untuk mengetahui strategi utama dan strategi pendukung dari Direktorat SISFO Universitas Telkom. Berdasarkan hasil analisis  yang  menjadi  strategi  utama  dari  Direktorat  PuTI  adalah Innovation/Differentiation dan  strategi pendukungnya adalah growth/acquisiton , client service/stability dan cost leadership.

## A.2  Memahami Tujuan Perusahaan
Gambar 5 merupakan penjelasan detail dari rencana strategis pada Direktorat PuTI yaitu Enterprise Goals (EG). Untuk mencapai tujuan dari Direktorat Pusat Teknologi Informasi, dapat ditentukan melalui penyusunan  strategi guna mencapai suatu goal. Berdasarkan hasil analisis yang diperoleh dari Design Factor (DF) 2, dapat diketahui

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
bahwa Direktorat PuTI berfokus pada EG1 yaitu portfolio of competitive products and services, EG4 yaitu quality of financial information dan EG10 yaitu staff skills, motivation and productivity.
Gambar 5. Design Factor 2 Enterprise Goals

## A.3 Memahami Profil Risiko Perusahaan
Gambar  6  menjelaskan  mengenai  tahap  indentifikasi  terhadap  jenis  risiko  teknologi  informasi  yang  ada  pada Direktorat Teknologi Informasi Universitas Telkom. Berdasarkan tahap diatas akan diketahui jenis risiko apa yang probabilitas  dan  dampak  yang  paling  besar  sehingga  dapat  ditentukan  sebagai  fokus  utama  untuk  dilakuakn penanganan  lebih  lanjut.  Berdasarkan  hasil  analisis  yang  diperoleh  dari Design  Factor  (DF) tiga  yang  dapat diketahui bahwa Direktorat PuTI Universitas  Telkom memiliki tingkat risiko yang tinggi pada bagian IT cost & oversight dan data & information management.
A.4 Memahami Isu-isu TI pada  Perusahaan

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
Gambar 7. Design Factor 4 Information Technology – Related Issues
Gambar  7  menjelaskan  mengenai  masalah  apa  saja  yang  dihadapi  oleh Direktorat  Pusat  Teknologi  Informasi yang terkait dengan masalah teknologi informasi. Berdasarkan tahap diatas juga dapat diketahui masalah apa yang paling  penting  untuk  diselesaikan  oleh  Direktorat  PuTI  menggunakan  metode  penilaian  risiko  yang  paling mempengaruhi masalah tersebut. Berdasarkan hasil analisis yang diperoleh dari Design Factor (DF) 4 yang dapat diketahui  bahwa  masalah  TI yang  mendapatkan  skor  paling  tinggi  pada  Direktorat  PuTI  adalah technologies  or innovate using I&T yang artinya Direktorat PuTI harus berfokus untuk melakukan evaluasi terhadap masalah yang berkaitan dengan inovasi dalam menggunakan teknologi informasi .

## B. Menentukan Komponen Audit TI Secara keseluruhan
Tabel  VII  menunjukkan  nilai  dari  skor  masing-masing  manajemen  objektif,  dimana  skor  tersebut  diperoleh melalui hasil assessment pada Design Factor (DF) satu sampai dengan Design Factor (DF) sepuluh. Skor yang diperoleh pada Step 2 adalah melalui hasil assessment dari Design Factor (DF) satu sampai dengan empat yang bertujuan  untuk  menentukan  seberapa  ruang lingkup dan untuk  skor yang  diperoleh pada step  3  adalah  melalui hasil assessment dari Design  Factor (DF)  empat  sampai  dengan  sepuluh  yang  bertujuan  untuk  melihat  sektor manakah yang harus dan dilakukan perbaikan. Melalui hasil dari skor tersebut dapat dilihat manakah area yang akan menjadi fokus utama untuk dilakukan analisis atau audit.
T ABEL VII
S UMMARY DESIGN FACTOR
No Management Practice Step 2 : Determine the initial scope of the Governance System Step 3 : Refine the scope of the Governance System Relevansi dengan Unit pada Direktorat PuTI
1 EDM01- Ensure Governance Framework Setting & Maintenance -5 55 - 2 EDM02- Ensured Benefits Delivery 15 30 - 3 EDM03- Ensured Risk Optimization -30 60 4 EDM04- Ensured Resource Optimization 60 55 - 5 EDM05- Ensured Stakeholder Engagement 10 55 - 6 APO01- Managed I&T Management Framework
5
55 - 7 APO02- Managed Strategy 5 15 - 8 APO03- Managed Enterprise Architecture 30 65 -

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
9 APO04- Managed Innovation 45 50 RiYanTI 10 APO05- Managed Portfolio 15 30 - 11 APO06- Managed Budget & Costs 15 15 - 12 APO07- Managed Human Resources 5 45 RiYanTI 13 APO08- Managed Relationships 70 75 - 14 APO09- Managed Service Agreements 55 40 - 15 APO10- Managed Vendors 10 50 - 16 APO11- Managed Quality 90 80 RiYanTI 17 APO12- Managed Risk -55 45 - 18 APO13- Managed Security -85 -10 19 APO14- Managed Data 0 45 - 20 BAI01- Managed Programs 30 45 - 21 BAI02- Managed Requirements Definition -10 20 - 22 BAI03- Managed Solutions Identification & Build -5 35 - 23 BAI04- Managed Availability & Capacity 30 30 - 24 BAI05- Managed Organizational Change 100 100 - 25 BAI06- Managed IT Changes 10 40 - 26 BAI07- Managed IT Change Acceptance and Transitioning -15 20 - 27 BAI08- Managed Knowledge 85 80 RiYanTI 28 BAI09- Managed Assets -95 -65 - 29 BAI10- Managed Configuration -40 10 - 30 BAI11- Managed Projects 15 25 - 31 DSS01- Managed Operations -60 -20 - 32 DSS02- Managed Service Requests & Incidents -25 5 - 33 DSS03- Managed Problems 10 35 - 34 DSS04- Managed Continuity -40 30 - 35 DSS05- Managed Security Services -45 50 - 36 DSS06- Managed Business Process Controls 0 20 - 37 MEA01- Managed
Performance and Conformance Monitoring 5 30 - 38 MEA02- Managed System of Internal Control -15 0 - 39 MEA03- Managed Compliance with External Requirements -25 50 - 40 MEA04- Managed Assurance -20 45 -

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
T ABEL VIII M ANAGEMENT O BJECTIVE No Management Objective Skor 1 APO04—Managed Innovation 50 2 APO07—Managed Human Resources 45 3 APO11—Managed Quality 80 4 BAI08—Managed Knowledge 80
Tabel VIII menjelaskan mengenai fokus utama dari unit RiYanTi yang diperoleh melalui hasil skor pada tabel VII. Fokus utamanya adalah yang pertama APO04 – Managed Innovation , dimana pada management objective ini merupakan  proses  yang  dilakukan  untuk  mengidentifikasi  peluang  inovasi  dan  merencanakan  bagaimana memanfaatkan  inovasi  dalam  kaitannya  dengan  kebutuhan  bisnis  dan  strategi  IT  yang  ditentukan  pada  unit RiYanTi.  Menganalisis  peluang  apa  saja  untuk  inovasi  atau  peningkatan  bisnis  yang  dapat  diciptakan  oleh teknologi, layanan, atau inovasi bisnis yang mendukung IT melalui teknologi mapan. Tujuan dari APO04 adalah untuk  meraih  keunggulan  kompetitif,  inovasi  bisnis,  peningkatan  pengalaman  pelanggan,  dan  peningkatan efektivitas dan efisiensi operasional dengan memanfaatkan perkembangan IT dan teknologi yang muncul. Fokus utama  yang  kedua  adalah  APO07  – Managed  Human  Resources ,  dimana management  objective ini  merupakan proses  yang dilakukan  untuk  memberikan  pendekatan  terstruktur,  memastikan  rekrutmen/akuisisi  yang  optimal, perencanaan,  evaluasi  dan  pengembangan  sumber  daya  manusia  (baik  internal  maupun  eksternal)  pada  unit  Ri YanTI. Fokus utama yang ketiga adalah APO11— Managed Quality , dimana managemet objective ini merupakan proses  yang  dilakukan  untuk  menetapkan  dan  mengkomunikasikan  persyaratan  kualitas  dalam  semua  proses, prosedur, dan hasil pada unit RiYanTI. Pada fokus ini akan dilakukan penggontrolan, pemantauan berkelanjutan, dan  penggunaan  praktik  dan  standar  yang  telah  terbukti  dalam  upaya  peningkatan  dan  efisiensi  berkelanjutan. Fokus utama yang keempat adalah BAI08— Managed Knowledge , dimana management objective ini merupakan proses yang dilakukan untuk menjaga ketersediaan pengetahuan dan informasi manajemen yang relevan, terkini, tervalidasi, dan andal untuk mendukung semua aktivitas proses dan untuk memfasilitasi pengambilan keputusan terkait tata kelola dan manajemen IT perusahaan .

## C. Menilai Audit Teknologi Informasi Secara Keseluruhan
Tahap selanjutnya adalah menilai audit teknologi informasi secara keseluruhan dengan melakukan analisis risiko yang dapat dinilai dari dua kategori yaitu dari frekuensi yang dapat dilihat dari berapa kali dalam periode tertentu (biasanya dalam satu tahun) suatu peristiwa kemungkinan besar akan terjadi yang dilihat dari seberapa efektif dan efisien unit RiYanTI dalam aktivitas yang berkaitan dengan TI. Untuk itu, hal yang perlu dilakukan adalah dengan menentukan audit subject pada unit RiYanTI terlebih dahulu, tujuan akhirnya adalah untuk mengetahui bagaimana cara memberikan audit yang paling efisien dan efektif sesuai dengan subject yang telah ditentukan.
T ABEL IX A UDIT SUBJECT Business Unit Audit Subject RiYanTI APO04—Managed Innovation APO07—Managed Human Resources APO11—Managed Quality BAI08—Managed Knowledge
Tabel IX menunjukkan audit subject yang telah ditentukan pada unit Riyanti yaitu APO04, APO07, APO11 dan BAI08.  Kemudian,  setelah  audit  subject  telah  ditentukan  maka  langkah  selanjutnya  adalah  menilai  risiko  TI  di setiap  area  subject  audit  tersebut.  Kategori  risiko  dinilai  berdasarkan  kemungkinan  terjadinya  dan  dampaknya terhadap unit RiYanTI jika risiko tersebut tidak dikelola secara memadai.
T ABEL X
R ISK A SSESSMENT
Area Likelihood Bussiness Risk IT Risk Score and Level Kepatuhan Reputasi SDM Keuangan Availa- bility Integrity Confidenti- ality Impact Impact Impact Impact Impact Impact Impact APO04— Managed In- novation 2 1 3 2 1 3 2 2 28 L

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
APO07— Managed Human Resources 5 2 3 5 2 3 3 3 105 M APO11— Managed Quality 4 3 4 3 3 5 5 5 114 M BAI08— Managed Knowledge 4 2 2 2 1 2 2 2 56 L
Tabel  X  menjelaskan  mengenai risk  assessment yang  dilakukan  pada  setiap management  practice .  Penilaian risiko  dinilai  berdasarkan  dampak  dan  probabilitasnya  terhadap  dua  aspek,  yaitu bussiness  risk (kepatuhan, reputasi, SDM dan Keuangan) dan IT risk ( availability,integrity dan confidentiality ). Perhitungan skor dilakukan dengan menjumlahkan seluruh hasil perkalian dari likelihood ke setiap impact .
T ABEL XI H ASIL R ISK A SSESSMENT
Area Skor and Level APO04— Managed Innovation 28 L APO07— Managed Human Resources 105 M APO11— Managed Quality 114 M BAI08— Managed Knowledge 56 L
Tabel XI menjeleskan mengenai hasil dari assessment dari risiko yang terdapat pada unit RiyanTI. Berdasarkan hasil analisis pada risiko yang ada di unit RiYanTI, maka diperoleh hasil skor akir dari setiap area management practice yang telah ditentukan yaitu terdapat dua management practice yang berada pada level Medium (M) yaitu management practice APO11- Managed  Quality dengan  skor 114 dan management practice APO07- Managed Human Resources dengan skor 105 yang dapat dilakukan peninjauan setiap dua sampai tiga tahun. Kemudian untuk kedua management  practice lainnya  berada  pada  level Low (L)  yaitu management  practice BAI08 -  Managed Knowledge dengan skor 56 dan management practice APO04- Managed Innovation dengan skor 28 yang nantinya dapat dilakuakan peninjauan setiap 3 sampai 5 tahun. Setiap skor pada management practice ditentukan berdarkan risk assessment dan penentuan level ditentukan berdasarkan tabel 6.

## D. Merekomendasikan Rencana Audit Teknologi Informasi

## T ABEL XII
R EKOMENDASI R ENCANA A UDIT
Tabel XII merupakan hasil ringkasan dari rencana audit yang diperoleh setelah melakukan empat tahap pada bab sebelumnya.  Berdasarkan  dari framework COBIT  2019  dapat  diketahui  bahwa  pada  Pusat  Teknologi  Informasi Universitas  Telkom  tepatnya  pada  unit  Riset  dan  Layanan  teknologi  Informasi  (RiYanTI)  terdapat  empat  audit subjek  yang  perlu  dilakukan  audit  nantinya  yaitu  APO04- Managed  Innovation ,  APO07- Managed  Human Resources ,  APO11- Managed  Quality dan  BAI08- Managed  Knowledge .  Pada management  practice APO04  – Managed  Innovation membutuhkan  alokasi  hari  audit  sebanyak  satu  hari,  karena management  practice akan dilakukan audit pada unit RiYanTI saja . Karena management practice ini berada pada level Low (L) maka siklus pelaksanaan  audit  nantinya  dapat  dilakukan  dalam  kurun  waktu  setiap  3  sampai  5  tahun.  Untuk management practice APO07— Managed  Human  Resources ,  alokasi  hari  yang  dibutuhkan  adalah  tiga  hari  karena  pada management practice ini juga akan dilakukan audit untuk setiap unit yang ada pada PuTI yaitu unit RiYanTi, IsTI dan  DevTI.  Pada  unit  RiYanti, management  practice APO07— Managed  Human  Resources berada  pada  level Medium (M) sehingga nantinya dapat dilakukan audit dalam kurun waktu 2 sampai 3 tahun. Management practice APO11— Managed Quality membutuhkan  alokasi  hari  sebanyak  satu  hari  ketika  nantinya  akan  dilakukan  audit pada  area management practice ini. Management  practice ini  berada  pada  level Medium sehingga  siklus dalam pelaksanaan audit yang diperlukan adalah dalam kurun waktu 2 sampai 3 tahun. Untuk management practice yang terakhir  yang  perlu  dilakuakan  audit  adalah  BAI08— Managed  Knowledge ,  dimana management  practice ini membutuhkan  alokasi  hari  selama  tiga  hari  karena  akan  dilakukan  audit  di  setiap  unit  pada  PuTI.  Untuk  siklus
Audit Subject
Level Risiko
Alokasi Hari Waktu Siklus Waktu Audit APO04— Managed Innovation L 1 Hari Setiap 3 sampai 5 tahun APO07— Managed Human Resources M 3 Hari Setiap 2 sampai 3 tahun APO11— Managed Quality M 1 Hari Setiap 2 sampai 3 tahun BAI08— Managed Knowledge L 3 Hari Setiap 3 sampai 5 tahun

## E-ISSN : 2540 - 8984

## JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika)
Volume 06, Nomor 02, Desember 2021 : 336 – 347
pelaksanaan audit yang dibutuhkan adalah dalam kurun waktu 3 sampai 5 tahun, karena management practice ini berada pada level Low (L).

## IV. K ESIMPULAN
Kesimpulan  yang  dapat  diambil  berdasarkan  penelitian  yang  dilakukan  dalam  perencanaan  audit  teknologi informasi menggunakan framework COBIT 2019 pada PuTI Universitas Telkom, khususnya bagian unit Riset dan Layanan Teknologi Informasi (RiYanTI) adalah sebagai berikut.
Konteks  dan  strategi  pada  Direktorat  Pusat  Teknologi  Informasi  (PuTI)  Universitas  Telkom  ditentukan  melalui design toolkit COBIT 2019 yaitu, strategi utama dari Direktorat PuTI adalah Innovation/Differentiation. Tujuan utama Direktorat PuTI berfokus pada berfokus pada EG1 yaitu portfolio of competitive products and services, EG4 yaitu quality of financial information dan EG10 yaitu staff skills, motivation and productivity.
Komponen pada bidang audit teknologi informasi pada Direktorat Pusat Teknologi Informasi (PuTI) Universitas Telkom  ditentukan  berdasarkan  manajemen  objektif  yang  memiliki  skor  yang  paling  tinggi,  yaitu  APO04— Managed  Innovation ,  APO07— Managed  Human  Resources ,  APO11— Managed  Quality ,  BAI08— Managed Knowledge.
Penilaian risiko dari seluruh bidang audit teknologi informasi di Unit Riset dan Layanan Teknologi Informasi Direktorat  Pusat  Teknologi  Informasi  Universitas  Telkom  dinilai  berdasarkan  kategori  kepatuhan,  keuangan, sumber daya manusia, reputasi, availability, integrity dan confidentiality terhadap management objective yang telah ditentukan  sebelumnya. Hasil  penilaian  risiko  yang  diperoleh yaitu  risiko pada management  practice APO04— Managed Innovation berada pada level Low dengan skor risiko 28, APO07— Managed Human Resources berada pada  level medium dengan  skor  risiko  105,  APO11— Managed  Quality berada  pada  level medium dengan  skor risiko 114, dan BAI08— Managed Knowledge berada pada level low dengan skor 56.
Rencana  audit  teknologi  informasi  yang  direncanankan  sesuai  dengan  COBIT  2019  terkait  Unit  Riset  dan Layanan Teknologi Informasi Direktorat Pusat Teknologi Informasi Universitas Telkom adalah dengan melakukan audit  terhadap  empat  management  practice  yang  telah  ditentukan. Management  practice APO11— Managed Quality dan BAI08—Managed  Knowledge membutuhkan  alokasi  hari  selama  3  hari  pada  masing-  masing management  practice dalam  pelaksanaan  audit  nantinya  dan  untuk  management  practice  APO04— Managed Innovation dan APO07 — Management  Human  Resources membutuhkan  masing-masing  satu  hari  dalam pelaksanaan audit.

## D AFTAR P USTAKA
[1] Wilson, B. (2016). In B. Wilson, Information Technology : The Basics,pp.palgrave, London https://doi.org/10.1007/978-1-349-12525-8_1 .
[2] N.  Komalasari,  D.  F.  Murad,  D.  Agustine,  M.  Irsan,  J.  Budiman,  and  E.  Fernando,  “Effect  of  Education,  Performance,  Position  and  Information Teechnology Competency of Information Systems to Performance of Information System”, International Seminar on Research of Information Technology and Intelligent System (ISRITI) , pp. 2 - 3, 2018. https://doi.org/10.1109/ISRITI.2018.8864437
[3] Handy  Ghasalia,  K.  C.  (2018).  System  Information  Audit  with  COBIT  4.1  and  Balanced  Scorecard  Framework  (Case  Study:  PT.  Boga  Dimsum Indonesia). Jurnal RESTI, Vol. 2No. 2 , 560. doi:https://doi.org/10.29207/resti.v2i2.481
[4] Steuperaert, Dirk, "COBIT 2019: A significant update." EDPACS 59.1, Mar.2019. https://doi.org/10.1080/07366981.2019.1578474
[5] Aditya,  B.  R.,  Ferdiana,  R.,  &  Kusumawardani,  S.  S,  "Requirement  and  Potential  for  Modernizing  IT  Risk  Universe  in  IT  Audit  Plan",2018  2nd International Conference on Informatics and Computational Sciences (ICICoS), pp. 1-5, Oct 2018. https://doi.org/10.1109/ICICOS.2018.8621808 .
[6] ISACA, “COBIT 2019 Framework: Governance and Management Objectives”, ISACA , pp. 1 - 302, 2018.
[7] Azizah, N. (2017). Audit Sistem Informasi Menggunakan Framework COBIT 4.1 pada E-learning UNISNU Jepara. Jurnal SIMETRIS , Vol 8 No 1, 378.
[8] M.  Goman,    and  S.  Koch,  “Multiplicative  criteria  aggregation  technique  for  risk-based  audit  planning”, Conference  on  Information  Systems  and Technologies (CISTI) , pp. 1 - 6, 2019. https://doi.org/10.23919/CISTI.2019.8760806
[9] ISACA, “Developing the IT Audit Plan Using COBIT 2019”, ISACA Journal, pp. 11- 15, 2018
[10] R.  E.  Rodriguez-Rodriguez,  A.  F.  Quevedo  Vega,  A.  F.  Sanchez,  A.  López  and  J.  Fernando  Pérez,  "Design  of  an  Automation  Model  for  Taking Documentary Evidence of Compliance Tests of the IT Audit",  2018 Congreso Internacional de Innovación y Tendencias en Ingeniería (CONIITI), pp. 1-5, Oct. 2018.
[11] ISACA, “Designing an Information and Technology Governance Solution”, ISACA Journal , pp. 21-28, 2018.
[12] Islamova,  O.  V.,  &  Volkova,  R.  M.  (2017).  Effectiveness  of  internal  audit  of  processes  in  the  organization. IEEE ,  425.
doi:10.1109/ITMQIS.2017.8085852
[13] Budiraharjo,  R.  "Audit  Pemanfaatan  Teknologi  Informasi  Institusi  Pendidikan  Tinggi  Menggunakan  COBIT  5 Framework (Studi  Kasus:  ITENAS Bandung)", Okt. 2016.
[14] 2017 Audit Teknologi Informasi Pada PT ASTRA INTERNATIONAL TBK (DAIHATSU) Lampung dengan Menggunakan Pendekatan COBIT 4.1 Bandar LampungUniversitas Lampung
[15] L. Tingliao, "The IT audit research based on  the information system success model and COBIT", 2016 10th International Conference on Intelligent Systems and Control (ISCO), pp. 1-3, Jan. 2016. doi: https://doi.org/10.1109/ISCO.2016.7727117