## TATA KELOLA TI PENGUKURAN TINGKAT KAPABILITAS MANAJEMEN RISIKO DAN MASALAH BERDASARKAN FRAMEWORK COBIT 5 (STUDI KASUS RSI SAKINAH)
Dini Setiya Ratih, Doddy Ridwandono, Anita Wulansari Sistem Informasi, UPN “Veteran” Jawa Timur Jalan Rungkut Madya No1, Surabaya, Indonesia setiyaratih.dini@gmail.com

## ABSTRAK
Rumah  Sakit  Islam  (RSI)  Sakinah  merupakan  salah  satu  penyedia  jasa  layanan  kesehatan  di  Kota Mojokerto.RSI Sakinah telah memanfaatkan teknologi informasi dalam meningkatkan efisiensi pelayanan. Setiap implementasi teknologi informasi pasti memiliki risiko, sebab sesuatu yang memberikan manfaat pada saat yang sama pasti akan dibayangi oleh risiko secara natural. Misalnya, IT yang memberikan manfaat kepada organisasi tiba-tiba  berhenti  beroperasi  karena  suatu  insiden.  Penelitian  ini  menggunakan  Assessment  Process  Activities COBIT 5 sebagai dasar dalam  melakukan penilaian dengan proses EDM03 Ensure Risk Optimisation , APO12 Manage Risk , dan DSS03 Manage Problems . Hasil analisis menunjukkan proses EDM03, APO12, dan DSS03 berada pada level 1 (performed process) dengan tingkat kapabilitas yang diharapkan berada pada level 2. Proses EDM03 memperoleh  nilai skor sebesar 73,61%, proses APO12 memperoleh  nilai skor sebesar 53,73%, proses DSS03 memperoleh nilai skor sebesar 53,99% yang masuk dalam skor penilaian ketiganya ada dikategori kriteria rating L ( Largely Achieved ).  Rekomendasi  yang diusulkan disusun  berdasarkan  hasil penilaian, daftar temuan, dan validasi produk kerja untuk mendukung  RSI Sakinah  mencapai  tingkat  kapabilitas  tata kelola teknologi informasi yang diharapkan.
Kata kunci :  Tata Kelola IT, COBIT 5, EDM03, APO12, DSS03

## 1. PENDAHULUAN
Sebelum  Teknologi  Informasi  berkembang dengan  pesat  seperti  sekarang,  di  masa  lampau terpendam sejumlah masalah di bidang kesehatan yang sering  muncul  tanpa  adanya  teknologi.  Misalnya, pencatatan  secara  manual  seringkali  menyebabkan kesalahan  membaca  yang  diakibatkan  tulisan  tangan kurang  jelas.  Dengan  berkembangnya  zaman  dan pengetahuan, tuntutan terhadap tata kelola rumah sakit semakin  besar.  Tidak  hanya  dalam  sisi management tetapi  juga clinical  governance [1].  Dikenalkannya sistem  informasi  manajemen  rumah  sakit  (SIM  RS) membuka prospek akan peningkatan kualitas pelayanan  kesehatan  bagi  seluruh  sumber  daya manusia  di rumah sakit, baik pasien, dokter, perawat, pihak  manajemen,  hingga  mitra  rumah  sakit  sampai dengan  pemangku  kepentingan.  Pada  tahun  2013 keluar landasan hukum Sistem Informasi Manajemen Rumah  Sakit  (SIM  RS)  yaitu  Peraturan  Menteri Kesehatan Nomor 82 Tahun 2013.
Menurut perspektif divisi IT, RSI Sakinah telah mempraktikan IT Governance dalam mengaplikasikan Teknologi Informasi. Namun, penerapan IT Governance di RSI Sakinah belum pernah dievaluasi dan  diukur  beradasarkan  kerangka  kerja  tertentu, dengan kata lain belum pernah dilakukan audit sistem informasi terhadap proses IT yang berlangsung.  Tata Kelola  IT  (IT  Governance)  didefiniskan  sebagai struktur hubungan dan proses untuk mengarahkan dan mengontrol  perusahaan  agar  Tujuan  Bisnis  dapat tercapai  melalui  penambahan  nilai  ( adding  value ) sekaligus  melalui  penyeimbangan  risiko  terkait dengan pengelolaan  Proses IT [2].
Berdasarkan observasi awal, RSI Sakinah pernah kehilangan  data  rekam  medis  pasien  pada  Sistem Informasi  Manajemen  Rumah  Sakit  (SIM  RS).  Dari insiden  kehilangan  data  tersebut,  perlu  dilakukan evaluasi terhadap tata kelola teknologi informasi untuk mengindentifikasi dan  menilai  manajemen risiko dan manajemen  masalah dari proses IT  yang terjadi pada RSI Sakinah.
Dibutuhkan  suatu kontrol untuk identifikasi dan penilaian  manajemen  risiko  dan  manajemen  masalah dari  proses  IT  yang  terjadi  pada  Sistem  Informasi Manajemen  Rumah  Sakit  RSI  Sakinah.  Kerangka kerja  yang  relevan  yang  terkait  dengan  penelitian  ini adalah  COBIT  5.  COBIT  5  dipilih  sebab  kerangka kerja  tersebut  menyediakan  indikator  proses  dan kumpulan praktik terbaik untuk membantu organisasi memaksimalkan pengelolaan teknologi informasi dan mengembangkan  pengendalian  terhadap  manajemen teknologi  informasi.  Secara  sederhana,  COBIT  5 membantu perusahaan menciptakan nilai optimal dari IT  dengan  menjaga  keseimbangan  antara  menyadari manfaat  dan  mengoptimalkan  tingkat  risiko  dan wpenggunaan  sumber  daya  [3].  COBIT  5  dibangun sebagai  open  methodology  yang  dapat  memenuhi kebutuhan  perusahaan  yang  berbeda-beda  akan  tata kelola  IT.  Pertimbangan  lainnya,  ada  banyak  sekali standar atau best practices  yang dapat  ditemui dalam industri  terutama terkait IT governance seperti ITIL, ISO  27001,  TOGAF,  dan  lain  sebagainya.  Dalam COBIT 5 seluruh kerangka best practice, paling tidak ada 9 yang dikenal luas, dilebur jadi satu atau menjadi bagian  tak  terpisahkan  dari  kerangka  komprehensif COBIT 5.

## 2. TINJAUAN PUSTAKA 2.1. Tata Kelola IT
Tata Kelola IT adalah sistem di mana portofolio IT organisasi diarahkan dan dikendalikan. Tata Kelola IT  menggambarkan  (a)  distribusi  hak  dan  tanggung jawab pengambilan keputusan IT di antara pemangku kepentingan  yang  berbeda  dalam  organisasi,  dan  (b) aturan  serta  prosedur  untuk  membuat  dan  memantau keputusan tentang masalah strategis IT [4].
Selain bertujuan untuk meningkatkan peranan IT terhadap kinerja organisasi dalam mencapai tujuan dan sasarannya,  penerapan  Tata  Kelola  IT  juga  bertujuan untuk [5]:
a. Menyelaraskan  investasi  IT  dan  prioritas- prioritas bisnis dengan lebih teliti.
b. Mengelola,  mengevaluasi,  membuat  prioritas, membiayai, mengukur dan mengamati permintaan-permintaan  pelayanan  IT  dan  hasil kerja dan memenuhinya, dengan lebih konsisten dan berulang sesuai dengan behavior yang dapat mengoptimalkan keuntungan bisnis.
c. Mengelola utilisasi pertanggung jawaban sumber daya dan aset.
d. Menjamin  penyediaan  dan  penyelesaian  IT sesuai  dengan  perencanaan,  pembiayaan  dan tanggung jawab.
e. Membuat, menetapkan dan menjelaskan keadaan yang diminta untuk dipertanggung jawabkan dan diputuskan  secara  benar  (mendefinisikan  dan mengotorisasi peraturan secara jelas).
f. Mengelola  resiko,  tantangan  dan  kemungkinan secara proaktif.
g. Memperbaiki  kinerja  organisasi  IT,  memenuhi permohonan, mengembangkan dan mendewasakan staf.
h. Memperbaiki pelayanan dan mau mendengarkan pelanggan secara keseluruhan.

## 2.2. COBIT 5
COBIT  5  adalah  sebuah  kerangka  kerja  yang digunakan  dalam  manajemen  dan  pengendalian teknologi  informasi.  COBIT  5  menggabungkan pemikiran terbaru dalam Teknik tata kelola perusahaan serta  manajemen,  dan  menyediakan  prinsip,  praktik, alat  analisis,  dan  model  yang  dapat  diterima  secara global  untuk  membantu  meningkatkan  kepercayaan dan nilai dari sistem informasi [6].
COBIT 5 didasarkan pada 5 prinsip kunci untuk tata  kelola  dan  manajemen  IT  organisasi  yang memungkinkan perusahaan untuk membangun sebuah kerangka tata kelola dan manajemen yang efektif, yang dapat  mengoptimalkan  investasi  dan  penggunaan  IT untuk mendapatkan keuntungan bagi para stakeholder [7].
COBIT 5 dibangun dan dikembangkan berdasarkan lima prinsip utama yaitu [8]:
a. Meeting Stakeholder Needs: Prinsip ini menekankan pentingnya memahami dan memenuhi kebutuhan para pemangku kepentingan  ( stakeholder )  dalam  organisasi terkait  penggunaan  teknologi  informasi.  Hal  ini
mencakup  memahami  harapan,  kebutuhan,  dan toleransi risiko dari para pemangku kepentingan terkait sistem informasi. COBIT 5 menyediakan metodologi  one  fit  for  all  dalam  arti  kata metodologi ini bisa dipergunakan untuk menyesuaikan  atau  memenuhi  kebutuhan  yang berbeda-beda tersebut.
b. Covering the Enterprise End-to-End: Prinsip ini menekankan pentingnya adanya keterkaitan yang erat  antara  tujuan  bisnis  dan  penggunaan teknologi  informasi.  COBIT  5  mendorong adanya  pemahaman  yang  jelas  mengenai bagaimana  IT  dapat  mendukung  pencapaian tujuan bisnis organisasi.
c. Applying  a  Single,  Integrated  Framework: COBIT 5 mendorong organisasi untuk menerapkan pendekatan terpadu dalam manajemen  TI.  Hal  ini  mencakup  pemahaman yang  menyeluruh  terhadap  proses,  struktur organisasi, kultur, dan teknologi yang diperlukan untuk mencapai tujuan yang diinginkan. Banyak sekali  standar  atau  good  practices  atau  bahkan best practices yang dapat ditemui dalam industri IT terutama terkait IT governance. Semua standar tersebut memiliki fokus yang masing-masing dan saling  melengkapi  satu  dan  lainnya.  Dalam COBIT  5  ini  seluruh  kerangka best  practices , paling  tidak  ada  9  yang  dikenal  luas,  dilebur menjadi  bagian  tak  terpisahkan  dari  kerangka komprehensif  COBIT  5.  Oleh  karena  itu,  bagi mereka yang sudah menerapkan berbagai a good practices atau  standar  lain  tadi  tidak  usah khawatir  karena  semua  itu  diintegrasikan  di dalam COBIT 5.
d. Enabling  a  Holistic  Approach :  COBIT  5 menekankan  pentingnya  memastikan  bahwa pengelolaan  IT  selaras  dengan  peraturan, kebijakan,  standar,  kontrak,  dan  hukum  yang berlaku.  Hal  ini  mencakup  memahami  dan mematuhi peraturan yang relevan terkait privasi, keamanan, dan kepemilikan data.
e. Separating  Governance  From  Management: Prinsip  ini  menekankan  pentingnya  pemisahan tanggung  jawab  antara  mereka  yang  memegang kepentingan  dalam  organisasi  dan  mereka  yang bertanggung jawab  atas manajemen  dan pengendalian teknologi informasi.

## 2.3. Domain dan Proses dalam COBIT 5
COBIT  5  mengidentifikasi  seperangkat enabler tata kelola dan manajemen yang mencakup 37 proses. COBIT  5  model  proses  referensi  (process  reference model) terbagi dalam dua jenis area yaitu:
1. Tata Kelola ( Governance ) Tata kelola memastikan bahwa tujuan perusahaan dicapai dengan mengevaluasi kebutuhan,  kondisi  dan  pilihan stakeholder. Terdapat satu domain yaitu Evaluate, Direct and Monitor (EDM) domain ini mempunyai 5 proses sebagai berikut:

## Gambar 1. Proses EDM
2. Plans,  Builds,  Runs  and  Monitors  (PBRM) aktivitas  yang  selaras  dengan  arahan  yang ditetapkan oleh badan tata kelola untuk mencapai tujuan  perusahaan.  Terdapat  empat  domain, sebagai berikut:
a. Align,  Plan  and  Organise (APO)  domain  ini mencakup strategi dan taktik yang mengidentifikasi cara terbaik TI dapat berkontribusi. APO memiliki 13 proses:
Gambar 2. Proses APO
b. Build, Acquire and Implement (BAI) domain ini memberikan  solusi  dan  meneruskannya  untuk diubah  menjadi  layanan.  Ada  10  proses  pada BAI, yaitu:
Gambar 3. Proses BAI
c. Delivery, Service and Support (DSS) domain ini berkaitan  dengan  pengiriman  aktual  dan dukungan  layanan  yang  diperlukan.  DSS memiliki 6 proses yaitu:

## Gambar 4. Proses DSS
d. Monitor, Evaluate and Assess (MEA) domain ini membahas  manajemen  kinerja,  pemantauan pengendalian  internal,  dan  kepatuhan  terhadap peraturan. MEA memiliki  3:
Gambar 5, Proses MEA

## 2.4. Capability Level
Dalam  COBIT  5,  capability  level  (tingkat kemampuan) merujuk  pada  evaluasi  terhadap kemampuan    suatu  proses  dalam  sebuah  organisasi. Tingkat kemampuan ini menggambarkan sejauh mana suatu proses telah dikembangkan, diimplementasikan, dan  dijalankan  secara  efektif  dalam  konteks pengelolaan  TI.  Ada  lima  tingkat  kemampuan  dalam COBIT 5, yaitu [9]:
a. Level  0  -  Incomplete  (Tidak  Lengkap):  Proses tidak  memiliki  struktur  yang  konsisten  dan  tidak ada kontrol yang diimplementasikan.
b. Level  1  - Performed (Dilakukan):  Proses  secara kasar  dipahami,  tetapi  tindakan  belum  konsisten dan terstruktur. Performa (PA) pada level 1:
 PA  1.1:  atribut  ini  mengukur  sejauh  mana proses  dapat  mencapai  tujuan  dan  hasil  yang diinginkan.
c. Level  2  - Managed (Dikelola):  Proses  telah dikelola  dan  diukur  secara  konsisten,  dengan pengukuran kinerja yang dilakukan dan pengelolaan risiko yang dilakukan. Performa (PA) pada level 2:
 PA  2.1  :  atribut  ini  mengukur  sejauh  mana kinerja  dari  proses  yang  didefinisikan  dapat dikelola
 PA 2.2 : atribut ini engukur sejauh mana work product
ditetapkan, dikendalikan dan dipelihara.
d. Level  3  - Established (Telah  Ditetapkan):  Proses telah dijalankan berdasarkan standar dan prosedur yang telah ditetapkan, dengan tindakan perbaikan yang diidentifikasi dan dilakukan.
 PA  3.1  :  atribut  ini  mengukur  sejauh  mana proses teridentifikasi dan didefinisikan dengan baik.
 PA  3.2  :  atribut  ini  mengukur  sejauh  mana proses  yang  telah  didefinisikan  digunakan secara efektif oleh organisasi.
e. Level  4  -  Predictable  (Dapat  Diprediksi):  Proses telah  diprediksi  secara  konsisten,  dengan  tingkat keandalan  yang  tinggi  dan  hasil  yang  diharapkan tercapai secara konsisten.
 PA  4.1  :  mengukur  sejauh  mana  proses dikendalikan menggunakan teknik yang sesuai.
 PA  4.2  :  memastikan  bahwa  proses  yang diimplementasi  sesuai  dengan  tujuan  yang ditetapkan
f. Level  5  Optimized  (Terotimasi):  Proses  telah dioptimalkan  untuk  mencapai  efisiensi  dan efektivitas maksimum, dengan peningkatan berkelanjutan  yang  diintegrasikan  ke  dalam kegiatan sehari-hari.
 PA  5.1  :  mengukur  sejauh  mana  proses  terus ditingkatkan  untuk  memenuhi  tujuan  bisnis yang relevan saat ini dan masa depan.
 PA 5.2 : mengukur sejauh mana perubahan dan perbaikan proses telah mengoptimalkan kinerja dan kontribusinya terhadap tujuan bisnis.
Skala  yang  digunakan  untuk  menilai  atribut proses yaitu:
a. N: Not Achived (0 sampai dengan 15%). Terdapat dedikit  atau  tidak  terdapat  sama  sekali  bukti pencapaian atribut terhadap proses yang dinilai.
b. P: Pratially Achieved (>15% sampai dengan 50%). Terdapat beberapa bukti pendekatan dan beberapa pencapaian atribut proses yang dinilai..
c. L: Largely Achieved (>50% sampai dengan 85%). Terdapat bukti pendekatan sistematik dan pencapaian yang signifikan terhadap atribut proses yang dinilai.
d. F: Fully Achieved (>80% samapai dengan 100%). Terdapat bukti lengkap dan pendekatan sistematik serta  pencapaian  penuh  terhadap  atribut  proses yang  dinilai.  Tidak  terdapat  kelemahan  terkait atribut yang terdapat di dalam proses yang dinilai

## 2.5. RACI Chart
COBIT 5 menerangkan RACI Chart  merupakan matrik  yang  menghubungkan aktivitas proses dengan struktur  organisasi  dan  atau  peran  individu  dalam perusahaan.  RACI  Chart  menggambarkan  tingkat keterlibatan masing-masing peran untuk setiap praktik proses [10]:
a. Responsible menjelasakan  tentang  siapa  yang mendapatkan  tugas  penanggung  jawab  pada kegiatan operasional.
b. Accountable menjelaskan  tentang  siapa  yang bertanggung jawab atas keberhasilan tugas.
c. Consulted menjelaskan  tentang  siapa  yang memberikan masukan.
d. Informed menjelaskan tentang siapa yang menerima informasi.

## 3. METODE PENELITIAN
3.1 Initation
Tujuan  dari  tahap Initiation adalah  untuk memahami  kondisi  organisasi  yang  akan  dievaluasi, serta  memastikan  bahwa  ada  pemahaman  yang  sama dengan stakeholder tentang tujuan dan ruang lingkup penilaian. Initiation diawali  dengan  identifikasi masalah, mengenai fenomena apa yang dapat diangkat sebagai  penelitian  untuk  mempermudah  tujuan penelitian.
Pada  tahap inisiasi, dilakukan pemetaan stakeholder  needs berdasarkan  temuan  wawancara awal.  Pemetaan  ini  bertujuan  untuk  mendapatkan proses  mana  saja  yang  akan  digunakan  dalam pengukuran.  Berdasarkan  hasil  diskusi  diputuskan untuk fokus pada  pertanyaan stakeholder needs yaitu “ Did I address all IT-related risk ?”.
Gambar 7. Pemetaan Management Question ke dalam Enterprise Goals
Hasil  dari mapping terhadap Enterprise Goals yang berfokus terhadap risiko terkait IT adalah:
a. EG 3: Risiko bisnis  yang dikelola (pengamanan aset)
b. EG  7:  Kontinuitas  dan  ketersediaan  layanan bisnis
c. EG 9: Pengambilan keputusan strategis berbasis informasi
d. EG 10: Kepatuhan dengan kebijakan internal
Dari empat kandidat enterprise goals, didasarkan atas  analisa  sasaran  strategis  dan  validasi  pada  pihak RSI  Sakinah  Mojokerto,  akhirnya  diputuskan  bahwa enterprise goals nomer 7 Kontinuitas dan ketersediaan layanan  bisnis  ditetapkan  sebagai  prioritas  penelitian sesuai dengan tujuan strategis RSI Sakinah Mojokerto “Terselenggaranya pelayanan kesehatan yang optimal dan profesional.”
Dari hasil pemetaan didapatkan enam IT -Related Goal yang mendukung Enterprise Goal 7: Kontinuitas dan  ketersediaan  layanan  bisnis.  Enam  IT -Related Goal tersebut terdiri dari 3 Primary dan 3 Secondary . Tanda Primary menunjukkan bahwa IT- Related Goal sangat mendukung ketercapaian Enterprise Goal yang terkait. Tiga IT- Related Goal tersebut adalah: a. 04: Mengelola risiko bisnis terkait IT
b. 10: Keamanan informasi, infrastruktur pemrosesan dan aplikasi
c. 14:  Ketersediaan  informasi  yang  andal  dan berguna untuk pengambilan keputusan
Proses  yang  dipilih  untuk  diaudit  kemudian diputuskan berdasarkan diskusi dan konfirmasi dengan Manajer bagian Maintenance dan Engineering serta 1 orang  senior  IT.  Berdasarkan  kelemahan  backup  dan
restore data sehubungan  hilangnya data rekam  medis yang seharusnya menjadi langkah mitigasi risiko atas aset data (rekam medis) SIM RS, dipilih 3 proses yang sesuai dengan insiden tersebut yaitu evaluasi terhadap tata kelola dan manajemen risiko pada proses EDM03 Ensure  risk  optimization dan  APO12 Manage  Risk , serta  evaluasi  terhadap  pengelolaan  masalah  DSS03 Manage Problems

## 3.2 Planning the Assessessment
Pada  tahap Planning  the  Assessment dilakukan perencanaan  assessment  dengan  pembuatan  draft wawancara dimana narasumber yang akan diwawancarai ditentukan berdasarkan pemetaan RACI Chart yang  memiliki  kedudukan Responsible (R). Tahap ini juga menentukan bagaimana data penilaian akan dikumpulkan, dicatat, dan disimpan.

## 3.3 Briefing
Pada  tahap briefing ,  peneliti  akan  memberikan pemaparan  kepada  narasumber  sehingga  dapat memahami tujuan penilaian, ruang lingkup, dalam unit organisasi yang akan dinilai, dokumen-dokumen  yang dibutuhkan,  jadwal  wawancara,  pelaporan  hasil penelitian, dan peran staf tahap ini.
Tabel 1. Tahap Briefing Daftar Kegiatan Aktor Metode Menjelaskan tujuan penilaian, model penilaian serta ruang lingkup penilaian Peneliti Diskusi Melakukan assessment Peneliti Narasumber Wawancara dan Telaah dokumen Pelaporan hasil assessment Peneliti Diskusi 3.4 Process Attributes Rating
Pada  tahap process  attributes  rating ,  penilaian proses  menggunakan  capability  level  yang  dapat menjadi  pendorong  yang  kuat  untuk  pebaikan  dalam tata kelola organisasi. Penentuan nilai capability level RSI  Sakinah  Mojokerto  didapatkan  dari  hasi wawancara, observasi work product serta infrastruktur.  Dari  hasil  yang  ditemukan  akan diperoleh capability  level RSI  Sakinah  Mojokerto dalam  layanan  teknologi  informasi.  Analisis  gap dilakukan  sebagai  evaluasi  kesenjangan  kinerja organisasi  saat  ini  dengan  kinerja  yang  ditargetkan. Rekomendasi  diperoleh  dari  hasil  temuan  gap  pada organisasi.  Rekomendasi  bertujuan  agar  organisasi dapat meningkatkan mutu kinerja yang lebih baik.

## 4. HASIL DAN PEMBAHASAN
4.1 Pengukuran Capability Level
Pengukuran tingkat kapabilitas dilakukan dengan cara  wawancara  dan  telaah dokumen.  Hasil perhitungan  masing-masing  proses  menjadi  dasar penentuan  tingkat kapablitas.
Tabel 2. Hasil Pencapaian Level Proses EDM03 Ensure Risk Optimisation Process Name Level 0 Level 1 Level 2  Level 3  Level 4  Level 5 EDM03 PA 1.1 PA 2.1 PA 2.2 PA 3.1 PA 3.2 PA 4.1 PA 4.2 PA 5.1 PA
5.2 Rating by Criteria Fully Achieved Largely Achieved 73,61% Capability Level Achieved 1 Harapan 2
Berdasarkan  tabel  2  Hasil  Penilaian  Proses EDM03,  Optimalisasi  risiko  yang  dilakukan  RSI Sakinah  belum  optimal.  Kultur  budaya  sadar  risiko telah  dibangun  dengan  melakukan  sosialisasi  risiko organisasi.  Namun,  Rumah  Sakit  masih  belum menentukan arahan tindakan perbaikan dan antisipasi untuk  mengatasi  penyimpangan  manajemen  risiko,
sehingga  proses  EDM03  Mesmastikan  Optimalisasi Risiko  yang  diterapkan  di  RSI  Sakinah  Mojokerto masih berada pada tingkat L (Largely Achieved) pada PA  1.1  yang  artinya  proses  EDM03  memang  sudah diimplementasikan  namun  belum  mencapai  tujuan prosesnya.
Tabel 3. Hasil Pencapaian Level Proses APO12 Manage Risk Process Name Level 0 Level 1 Level 2 Level 3 Level 4 Level 5 EDM03 PA 1.1 PA 2.1
PA 2.2 PA 3.1
PA 3.2 PA 4.1
PA 4.2 PA 5.1 PA 5.2 Rating by Criteria Fully Achieved Largely Achieved 53,73% Capability Level Achieved 1 Harapan 2
Berdasarkan  hasil  penilaian  proses  APO12, pengelolaan risiko RSI Sakinah sudah berjalan cukup baik. Namun, kurangnya rekaman catatan dokumentasi  setiap  insiden  risiko  yang  terjadi  serta
belum ditetapkannya langkah dalam menangani akibat seandainya rumah sakit gagal mengelola risiko terkait IT  sehingga  membuat  proses  APO12  berada  pada tingkat L ( Largely Achieved ).
Tabel 4. Hasil Pencapaian Level Proses DSS03 Manage Problems Process Name Level 0 Level 1 Level 2 Level 3 Level 4 Level 5 EDM03 PA 1.1 PA 2.1 PA 2.2
PA 3.1
PA
3.2 PA 4.1
PA 4.2 PA 5.1 PA 5.2 Rating by Criteria Fully Achieved Largely Achieved 53,99% Capability Level Achieved 1 Harapan 2
Berdasarkan hasil penilaian, pengelolaan masalah  yang dilakukan RSI Sakinah belum optimal. Belum dimilikinya direktori yang menyimpan catatan
insiden,  dokumen  yang  mencatat  symptoms  akar masalah  dari  insiden  yang  terjadi,  dan  klasifikasi
masalah  membuat proses DSS03 berada pada tingkat L (Largely Achieved).

## 4.2 Analisi Gap
Berdasarkan  penilaian  proses  EDM03  yang sudah dilakukan, nilai gap antara kondisi saat ini dan kondisi yang diharapkan adalah satu, sehingga proses analisis dilakukan untuk mencapai pada level 2 untuk
setiap  praktik  kerja  dan  kriteria  produk  kerja. Aktivitas-aktivitas  yang  tidak  terpenuhi  pada  proses EDM03  dapat  dilakukan  perbaikan  yang  mengacu pada assessment COBIT  5  melalui  beberapa  tahapan sebagai berikut:
Tabel 5. Rekomendasi Perbaikan Proses EDM03 No. Aktivitas Rekomendasi EDM03.01 4 Secara proaktif mengevaluasi faktor risiko IT sebelum keputusan strategis rumah sakit yang tertunda dan memastikan bahwa keputusan perusahaan yang sadar risiko telah dibuat. Membuat tim khusus yang memiliki spesialisasi keahlian manajemen risiko, kebijakan dan keamanan IT. Melibatkan para pemangku kepentingan dalam proses evaluasi risiko seperti pengurus KUMKES atau dewan penyantun, direktur RS, pengelola IT, dan departemen terkait.
Meninjau kebijakan keamanan IT yang telah ada dan menyesuaikannya dengan perubahan regulasi dan teknologi.
Mengaplikasikan skema monitoring risiko secara berkelanjutan dan menilai dampaknya dalam perubahan startegis.
Membangun prosedur tanggap risiko untuk menghadapi risiko yang tetap ada meskipun telah dilakukan mitigasi.
Memastikan kebijakan dan strategi IT selalu relevan dan dapat disesuaikan dengan perubahan regulasi dan teknologi. EDM03.03 3 Memungkinkan peninjauan pemangku kepentingan utama atas kemajuan rumah sakit dalam mencapai tujuan yang diidentifikasi. Mengadakan forum rutin yang memungkinkan para pemangku kepentingan untuk berbagi pandangan, masukan, dan umpan balik terkait kemajuan Rumah Sakit (dialog terbuka). Forum tersebut berguna untuk memastikan tujuan rumah sakit dirumuskan dengan jelas, spesifik, terukur, dapat dicapai, relevan, dan memiliki jangka waktu yang ditentukan.
Menetapkan jadwal rutin untuk meninjauan kemajuan, seperti triwulanan, semesteran, atau tahunan, tergantung pada kebutuhan dan kompleksitas tujuan. Manfaatkan teknologi sebagai sarana komunikasi dan pelaporan. Evaluasi secara berkala efektivitas dari pertemuan dengan pemangku kepentingan dan terus tingkatkan proses komunikasi.
Berdasarkan penilaian proses APO12 yang sudah dilakukan, nilai gap antara kondisi saat ini dan kondisi yang diharapkan adalah satu, sehingga proses analisis dilakukan pada level 2 untuk setiap praktik kerja dan kriteria  produk  kerja.  Pencapaian  level  1  yaitu  L (Largely  Achieved)  dengan  memperoleh  skor penilaian  pada  penilaian  berdasarkan  kinerja  praktik, sedangkan  pada  validasi  work  product,  APO12
memperoleh  skor  penilaian  level  P  ( Partially Achieved ).
Aktivitas-aktivitas  yang  tidak  terpenuhi  pada proses  APO12  dapat  dilakukan  perbaikan  yang mengacu pada assessment COBIT 5 melalui beberapa tahapan sebagai berikut:
Tabel 6. Rekomendasi Perbaikan Proses APO12
No. Aktivitas Rekomendasi APO12.01 3 Organisasi telah menyurvei dan menganalisis data risiko IT historis dan pengalaman kehilangan dari data dan tren yang tersedia secara eksternal, rekan industri melalui log peristiwa berbasis industri, database, dan perjanjian industri untuk pengungkapan peristiwa umum. Melakukan survei dan analisis terhadap data risiko IT yang telah terjadi di masa lalu, serta pengalaman (insiden) kehilangan data.
Periksa tren yang ada di luar rumah sakit, termasuk melalui log peristiwa industri, database, dan kerjasama dengan rekan industri. Dengan hal ini, rumah sakit dapat mengevaluasi kebutuhan perbaikan keamanan IT yang diperlukan. Perbaikan dapat meliputi peningkatan infrastruktur keamanan, implementasi kebijakan keamanan yang lebih ketat, atau pelatihan karyawan tentang praktik keamanan IT yang baik.
Gunakan hasil analisis ini untuk memperbaiki strategi mitigasi risiko dan memperkuat perlindungan data organisasi.
APO12.01 5 Untuk peristiwa yang serupa, atur data yang dikumpulkan dan soroti faktor-faktor yang berkontribusi. Tentukan faktor-faktor yang berkontribusi umum di berbagai peristiwa. Membuat prosedur standar untuk mengumpulkan data terkait peristiwa kehilangan data di rumah sakit. Melakukan analisis mendalam terhadap faktor-faktor yang berkontribusi pada peristiwa kehilangan data yang telah terjadi. Kenali faktor-faktor yang memiliki kontribusi umum dalam berbagai peristiwa kehilangan data di rumah sakit.
No. Aktivitas Rekomendasi
Temukan pola umum atau tren dalam faktor-faktor kontribusi yang muncul di berbagai peristiwa serupa. Buat rekomendasi perbaikan atau tindakan pencegahan berdasarkan temuan analisis root cause ini untuk mengurangi risiko terulangnya peristiwa serupa di masa depan. APO12.02 7 Validasi hasil analisis risiko sebelum menggunakannya dalam pengambilan keputusan, dengan memastikan bahwa analisis tersebut sesuai dengan persyaratan perusahaan dan memverifikasi bahwa estimasi telah dikalibrasi dengan benar dan diteliti untuk mencari bias. Melakukan audit internal secara berkala untuk memeriksa kesesuaian analisis risiko dengan kebijakan dan prosedur rumah sakit. Pastikan bahwa proses analisis risiko telah dijalankan sesuai dengan standar yang ditetapkan.
Selenggarakan sesi peer review di mana tim analisis risiko atau tim lintas fungsi dapat meninjau hasil analisis secara kritis. Sesi ini membantu dalam menemukan dan mengatasi bias yang mungkin muncul dalam proses analisis.
Libatkan ahli risiko eksternal atau konsultan independen untuk meninjau dan memvalidasi hasil analisis. Pandangan dari pihak luar dapat memberikan sudut pandang yang berbeda dan membantu mengidentifikasi bias yang tersembunyi.
Berikan pelatihan kepada staff yang terlibat dalam proses analisis risiko untuk meningkatkan pemahaman mereka tentang teknik validasi yang tepat dan pentingnya menghindari bias.
Berdasarkan penilaian proses DSS03 yang sudah dilakukan, nilai gap antara kondisi saat ini dan kondisi yang diharapkan adalah satu, sehingga proses analisis dilakukan pada level 2 untuk setiap praktik kerja dan kriteria  produk  kerja.  Pencapaian  level  1  yaitu  L (Largely  Achieved)  dengan  memperoleh  dua  skor penilaian  level  L  (Largely  Achieved)  pada  penilaian berdasarkan kriteria praktik, sedangkan pada validasi
work product DSS03 memperoleh skor penilaian level P (Partially Achieved).
Aktivitas-aktivitas  yang  tidak  terpenuhi  pada proses  DSS03  dapat  dilakukan  perbaikan  yang mengacu pada assessment COBIT 5 melalui beberapa tahapan sebagai berikut:
Tabel 7. Rekomendasi Perbaikan Proses DSS03
No. Aktivitas Rekomendasi DSS03.01 3 Tentukan kelompok pendukung yang tepat untuk membantu identifikasi masalah, analisis akar penyebab dan penentuan solusi untuk mendukung manajemen masalah. Tentukan grup dukungan berdasarkan kategori yang ditentukan sebelumnya, seperti perangkat keras, jaringan, perangkat lunak, aplikasi, dan perangkat lunak pendukung. Identifikasi anggota staff yang memiliki keahlian dan pengalaman yang sesuai dengan kategori masalah yang ditentukan sebelumnya, seperti hardware , software , dan jaringan.
Tentukan peran dan tanggung jawab masing-masing staff dalam proses identifikasi masalah, analisis akar penyebab, dan penentuan solusi. Memastikan staff kolaborasi dengan baik dalam menyelesaikan masalah. Menetapkan jadwal pertemuan rutin untuk membahas kemajuan dalam mengidentifikasi masalah, menganalisis akar penyebab, dan menentukan solusi.
Evaluasi secara berkala kinerja tim dan lakukan perbaikan jika diperlukan untuk meningkatkan efisiensi dan efektivitas dalam menangani masalah. DSS03.01 6 Menjaga katalog manajemen masalah tunggal untuk mendaftarkan dan melaporkan masalah yang diidentifikasi dan untuk menetapkan jejak audit dari proses manajemen masalah, termasuk status setiap masalah Membuat katalog manajemen masalah dengan menentukan terlebih dahulu alur kerja yang jelas untuk pelaporan, penetapan, eskalasi, dan penyelesaian masalah.
Menetapkan format standar untuk mencatat setiap masalah, termasuk informasi seperti deskripsi masalah, prioritas, status, tanggal identifikasi, orang yang bertanggung jawab, dan tindakan yang telah dilakukan atau akan dilakukan.
Lakukan update secara berkala terhadap katalog manajemen masalah untuk memastikan bahwa informasi yang terdapat di dalamnya selalu akurat dan terkini. Hal ini akan membantu dalam memantau status setiap masalah
Sediakan akses yang terbatas ke katalog manajemen masalah hanya kepada anggota tim atau pihak yang berwenang agar informasi yang sensitif tetap terjaga.
Selalu lakukan evaluasi secara berkala terhadap efektivitas katalog manajemen masalah dan proses manajemen masalah secara keseluruhan.
Lakukan perbaikan atau penyesuaian jika diperlukan untuk meningkatkan efisiensi kerja departemen maintenance dalam menangani masalah.

## 5. KESIMPULAN DAN SARAN
Berdasarkan  analisis  hasil  pengukuran  tingkat kapabilitas proses manajemen risiko dan masalah pada RSI  Sakinah  Mojokerto  untuk  ketiga  proses  yang dilakukan assessment yaitu  EDM03  Ensure  Risk Optimisation,  APO012  Manage  Risk,  dan  DSS03 Manage  Problem  mendapatkan  level  1  ( Performed Process ) dengan level harapan organisasi adalah level 2  ( Managed  Process ).  Hal  ini  menandaskan  bahwa proses itu sudah dijalankan alias performs dan  masih pada  tahap  implementasi  IT governance .  Berada  di level  1,  proses  tersebut  dijalankan  bukan  berarti konsisten  tapi  memiliki  bukti,  ada  beberapa  fakta tertulis bahwa sudah menjalankannya.
Hasil  gap  yang  didapat  dari  selisih    capaian capability level dan level harapan dari tiga proses yang diukur pada RSI Sakinah Mojokerto adalah minus satu yang  artinya  perlu  melakukan  peningkatan  sebanyak satu  tingkat  untuk  mencapai  level  yang  diharapkan. Untuk  mencapai  level  2  paling  tidak work  product wajib  sebagian  besar  ada.  Sebab  pada  level  dua,  ada dua  hal  yang  dikelola  yaitu Performance dan Work Product .
Dalam penelitian ini penilaian kapabilitas hanya difokuskan  pada  proses  DSS03  Manage  Problems serta proses core risk COBIT 5 EDM03 Ensure Risk Optimisation  dan  APO12  Manage  Risk  berdasarkan peristiwa  hilangnya  data  rekam  medis  yang  tidak tertangani  dengan  baik.  Agar  tata  kelola  IT  RSI Sakinah  menjadi  lebih  baik  khususnya  untuk mendukung  enterprise  goals  no  7,  disarankan selanjutnya  menggunakan  proses  yang  terkait enterprise goals  no 7 yaitu:  APO10,  APO13, BAI01, BAI04,  BAI06,  BAI10  DSS01,  DSS02,  DSS04, DSS05, DSS06, MEA01-03.

## DAFTAR PUSTAKA
[1]  H.  Djasri,  “Konsep,  Standar,  dan  Audit Penerapan  Tata  Kelola  Klinis,” J.  Manaj. Pelayanan Kesehat. , vol. 09, pp. 1–6, 2006.
[2]  R.  Sarno, Audit  Sistem  Informasi  &  Teknologi . Surabaya: ITS Press, 2009.
[3]  ISACA, COBIT 5: A Business Framework for the Governance  and  Management  of  Enterprise  IT . USA: ISACA, 2012.
[4]  R. R. Peterson, “Configurations and
Coordination for Global Information Technology Governance: Complex Designs in a Transnational European Context,” Proc. Hawaii Int. Conf. Syst. Sci. , vol. 00, no. c, p. 217, 2001, doi: 10.1109/HICSS.2001.927133.
[5]  Henderi and S. Abbas, “Peranan IT Governance dalam Meningkatkan Kinerja Organisasi:
Permasalahan,  encana  Pengembangan  dan Strategi Penerapan,” CCIT J. , 2008.
[6]  J.  F.  Andry  and  K.  Chistianto, Audit Menggunakan COBIT 4.1 dan COBIT 5 dengan Case Study . Yogyakarta: TEKNOSIAN, 2018.
[7]  ISACA, COBIT  5  Enabling  Processes .  Rolling Meadows: ISACA, 2012.
[8]  IT  Governance  Indonesia,  “Framework  COBIT Sebagai Pengendali Perusahaan - ITGID,” 2016. [Online]. Available: https://itgid.org/framework- cobit/.
[9]  ISACA,  “COBIT  Self-assessment Guide:  Using COBIT 5,” 2013.
[10]  ISACA, COBIT  5:  Process  Assessment  Model (PAM) Using COBIT 5 . USA: ISACA, 2013.