## ISSN 2085-4579

## Audit Sistem Informasi Menggunakan Cobit 5.0 Domain DSS pada PT Erajaya Swasembada, Tbk
Wella
Program Studi Sistem Informasi, Universitas Multimedia Nusantara, Tangerang, Indonesia wella@umn.ac.id
Diterima 12 Mei 2016
Disetujui 18 Juni 2016 Abstract – The object of research is PT Erajaya Swasembada, Tbk. The company was founded in 1990, running a business as a distributor of mobile phones, which has outlets in various cities in Indonesia. Studied business processes includes sales,  purchasing,  finance,  and  warehouse,  ERP (Enterprise Resource Planning).
The research was conducting an audit of information technology governance at PT Erajaya Swasembada, Tbk, which is more focused on users who are involved in the cycle of the company’s Enterprise  Resource  Planning  use.  Auditing information technology governance using the COBIT 5.0 framework, focusing on the domain Deliver, Service, and Support (DSS). The results obtained from this study is any process that exist in the domain Deliver, Service, and Support (DSS) is in level 3 (established process) and  4  (predictable  process)  capability  models.  For DSS01, DSS02 and DSS06 is at level 4, while for the DSS03, DSS04 and DSS05 is at level 3. The company has already implemented the service and support of information technology governance is well proven from their operational procedures in the provision of services to internal and external, incident handling procedures, and maintenance control of appropriate business processes. Service and support of information technology remains to be improved in a sustainable manner.
Key Words: Audit; IT Governance Audit; COBIT 5.0; Deliver, Service, and Support (DSS); Capability Model.

## I. Pendahuluan
Seiring dengan perkembangan ilmu pengetahuan dan teknologi, terjadi perpaduan antar dua bidang ilmu, khususnya pada bidang teknologi sistem informasi dan bidang akuntansi dengan  spesifikasi  audit  sehingga  menghasilkan
bidang ilmu baru yaitu audit sistem informasi. Perusahaan-perusahaan besar saat ini tidak hanya menyadari pentingnya audit keuangan, namun juga sudah menyorot pentingnya pemeriksaan efektifitas  dan  efisiensi  dari  investasi  TI  yang mereka lakukan.
Setiap perusahaan saat ini sudah mengimplementasikan teknologi informasi dalam menjalankan bisnisnya, baik dengan investasi TI yang minim maupun investasi yang besar. Perusahaan sudah sadar bahwa penggunaan TI pada operasional bisnis mereka akan menambahkan value bagi mereka. Untuk setiap investasi yang dilakukan perlu diketahui / diukur tingkat  efektifitas  dan  efisiensi  yang  dihasilkan, agar perusahaan benar-benar merasakan value dari implementasi TI tersebut.
Tujuan lain dari kegiatan audit ini juga untuk menciptakan IT Governance yang baik di perusahaan. IT Governance merupakan konsep yang berkembang dari berkembangnya penggunaan teknologi oleh organisasi / perusahaan. Peranan IT Governance tidaklah diragukan lagi dalam pencapaian tujuan suatu perusahaan yang melakukan investasi TI salah satunya adalah PT Erajaya Swasembada, Tbk. IT Governance pada intinya adalah kegiatan memanajemen penggunaan TI agar menghasilkan keluaran yang maksimal dalam organisasi, membantu proses pengambilan keputusan dan membantu proses pemecahan masalah [1].
Audit tata kelola teknologi informasi di PT Erajaya Swasembada, Tbk ini dilakukan agar implementasi teknologi informasi yang sudah
ada dijalankan dengan benar dan di- deliver secara tepat berdasarkan rencana strategis ( IT strategic ) yang telah dibuat.
COBIT merupakan kerangka kerja yang menyediakan standar dalam kerangka kerja domain yang terdiri dari sekumpulan proses TI yang merepresentasikan aktivitas yang dapat dikendalikan dan terstruktur [2]. COBIT dikeluarkan oleh organisasi bernama ISACA di tahun 1992 dan merupakan standar yang berorientasi pada proses, berfokus pada sasaran bisnis dan merupakan alat manajerial dan teknikal untuk unit TI [3].
Domain yang dipakai dari COBIT 5.0 untuk melakukan audit tata kelola teknologi informasi di PT Erajaya Swasembada, Tbk adalah domain Deliver,  Service,  and  Support  (DSS ). Hal ini dikarenakan PT Erajaya Swasembada, Tbk sudah menerapkan implementasi TI secara sebagian besar operasionalnya, sehingga audit ini perlu dilakukan untuk mengukur efektifitas dan efisiensi operasional yang perusahaan lakukan.
Berdasarkan uraian tersebut, maka yang menjadi pembahasan penelitian ini adalah “Seberapa tinggi tingkat kapabilitas evaluasi pelayanan dan pengelolaan implementasi Teknologi Informasi di PT Erajaya Swasembada, Tbk jika diukur dengan menggunakan kerangka kerja COBIT 5.0?”.
II. Metode A. Metode Penelitian Penelitian ini menggunakan kerangka kerja COBIT 5 yang telah mengalami perkembangan dari COBIT 4.1 [3]. Terdapat 5 domain utama yang dianalisis dalam kerangka kerja ini, antara lain: Evaluate,  Direct,  and  Monitor (EDM); Align,  Plan,  and  Organize (APO); Build, Acquire, and Implement (BAI); Deliver, Service, and Support (DSS); dan Monitor,  Evaluate, and Assess (MEA). Namun pada penelitian ini berfokus kepada domain Deliver, Service, and Support (DSS) karena PT Erajaya Swasembada, Tbk sudah menerapkan implementasi TI secara sebagian besar operasionalnya, sehingga audit ini perlu  dilakukan  untuk  mengukur  efektifitas  dan efisiensi operasional yang perusahaan lakukan.

## B. Populasi dan Sampel
Populasi pada penelitian ini adalah seluruh karyawan PT Erajaya Swasembada, Tbk yang menggunakan sistem ERP, antara lain Bag. Penjualan, Bag. Pembelian, Bag. Finance , dan Bag. Gudang yang berjumlah 30 orang. Untuk memperoleh sampel dari populasi yang ada dan untuk mengetahui tingkat kapabilitas, maka responden dari penelitian berjumlah 2 (dua) orang dari masing-masing bagian.
C. Tahapan Kegiatan Audit
Menurut Hunton [4], tahapan kegiatan audit teknologi informasi meliputi:
1.  Planning , mendapatkan pemahaman yang lengkap mengenai bisnis perusahaan yang sedang dilakukan audit. Pada proses ini auditor menentukan ruang lingkup dan tujuan pengendalian, tingkat materialitas, dan outsourcing . Pada tahap ini auditor menetapkan mengapa, bagaimana, kapan dan oleh siapa audit akan dilaksanakan.
2.  Prepare Audit Program , audit program disesuaikan dengan hardware dan software yang dimiliki perusahaan, topologi dan arsitektur jaringan, dan lingkungan serta pertimbangan khusus mengenai industri tersebut. Komponen- komponen dari audit program tersebut adalah: ruang lingkup audit, sasaran audit, prosedur audit, dan rincian administratif (perencanaan dan pelaporan).
3. Gather  Evidence , bertujuan untuk mendapatkan bukti-bukti memadai, handal, relevan, dan berguna untuk mencapai sasaran audit secara efektif. Jenis bukti yang sering ditemukan auditor pada kerja lapangan yaitu: observasi proses-proses dan keberadaan dari item fisik seperi pengoperasian komputer atau prosedur backup data, bukti dalam bentuk dokumen (seperti program change logs , sistem access logs , dan tabel otoritas), gambaran dari perusahaan seperi flowcharts , narratives, dan kebijakan dan prosedur yang tertulis), serta analisa seperti prosedur CAATs yang dijalankan pada data perusahaan.

## ISSN 2085-4579
4.  Form Conclusion , mengevaluasi bukti- bukti dan membuat suatu kesimpulan tentang hasil pemeriksaan yang pada akhirnya akan mengarah pada opini audit. Auditor juga akan melaporkan kelemahan dan kelebihan dari sistem.
5. Deliver Audit Opinion , informasi umum yang harus ada dalam sebuah laporan audit yaitu:
a.  Nama dari organisasi/perusahaan yang diaudit b.  Judul, tanda tangan, dan tanggal c.  Pernyataan sasaran audit dan apakah audit tersebut telah memenuhi sasaran
d.  Ruang lingkup audit, termasuk didalamnya area audit fungsional, periode audit yang tercakup, dan sistem informasi, aplikasi, atau lingkungan proses yang diaudit e.  Pernyataan bahwa telah terjadi pembatasan ruang lingkup dimana auditor tidak dapat melaksanakan pekerjaan audit dengan memadai untuk mencapai sasaran-sasaran audit tertentu f.  Pengguna laporan audit yang dikehendaki, termasuk beberapa pembatasan dalam pendistribusian laporan audit g.  Standar-standar dan kriteria yang menjadi dasar auditor untuk melaksanakan pekerjaan audit tersebut
h.  Penjelasan rinci mengenai temuan- temuan penting i.  Kesimpulan dari area audit yang dievaluasi, termasuk di dalamnya syarat dan kualifikasi penting
j.  Saran-saran yang tepat untuk tindakan perbaikan dan peningkatan
k.  Peristiwa-peristiwa penting yang
terjadi setelah masa fieldwork audit yang bersangkutan berakhir
6.  Follow Up, melakukan tindak lanjut dengan membuat suatu ketentuan untuk melakukan tindak lanjut bersama dengan
perusahaan pada kondisi-kondisi yang dilaporkan  atau  defisiensi  audit  yang tidak ter- cover selama kegiatan audit.
III. Hasil Dan Pembahasan
A. Hasil Penelitian Hasil dari pembahasan penerapan framework COBIT 5.0 pada audit tata kelola teknologi informasi di PT Erajaya Swasembada, Tbk pada domain Deliver, Service, and Support (DSS) terhadap implementasi tata kelola teknologi informasi di PT Erajaya Swasembada, Tbk. Dengan menggunakan model kapabilitas yang akan digambarkan ke dalam bentuk angka dan grafik,  sehingga  dapat  memudahkan  dalam menganalisa dan memperkirakan kebutuhan teknologi informasi di masa mendatang.
Dalam menginvestasikan teknologi informasi, PT Erajaya Swasembada, Tbk sudah memperhatikan pelayanan dan dukungan teknologi informasi untuk setiap bagian yang saling berhubungan di cakupan Enterprise Resource Planning (ERP). Setiap pelayanan dan dukungan teknologi informasi juga sudah dilengkapi dengan prosedur untuk menunjang pelayanan dan dukungan teknologi informasi tersebut.
Dalam penelitian ini menggunakan model kapabilitas sebagai alat ukur terhadap jawaban responden dari kuesioner yang dibuat berdasakan kerangka kerja COBIT 5.0. Kuesioner ini berisi mengenai pernyataan-pernyataan yang berasal dari domain Deliver, Service, and Support (DSS), yaitu:
1. Manage operations (DSS01). Koordinasi pelaksanaan kegiatan dan prosedur operasional yang dibutuhkan untuk menyediakan layanan bagi pihak internal maupun eksternal, termasuk juga pengawasan pelaksanaan prosedur operasional standard. Pada proses ini terdiri dari 5 sub-proses, dengan total pernyataan 34 pernyataan.
2. Manage  service  requests  and  incidents (DSS02). Memberikan respon yang tepat waktu dan efektif untuk permintaan pengguna dari semua jenis insiden. Pemulihan setelah insiden terjadi, dengan
melakukan merekam, menyelidiki, mendiagnosa, dan menyelesaikan insiden. Pada proses ini terdiri dari 7 sub-proses, dengan total pernyataan 24 pernyataan.
3. Manage  problems  (DSS03). Identifikasi dan  klasifikasi  permasalahan  dan  akar penyebab yang kemudian memberikan solusi yang tepat guna untuk mencegah insiden berulang. Juga memberikan rekomendasi untuk perbaikan. Pada proses ini terdiri dari 5 sub-proses, dengan total pernyataan 23 pernyataan. 4. Manage continuity (DSS04). Pembangunan dan pemeliharaan rencana bisnis dan TI dalam menanggapi insiden dan gangguan demi kelanjutan operasional proses bisnis juga menjaga ketersediaan informasi pada tingkat yang dapat diterima oleh perusahaan. Pada proses ini terdiri dari 8 sub-proses, dengan total pernyataan 42 pernyataan.
5. Manage  security  services  (DSS05).
Perlindungan informasi perusahaan untuk mempertahankan tingkat risiko keamanan informasi dititik minimum sesuai dengan kebijakan keamanan. Membangun dan mempertahankan peran keamanan informasi dan hak akses serta melakukan pemantauan keamanan. Pada proses ini terdiri dari 7 sub-proses, dengan total pernyataan 49 pernyataan.
6. Manage  business  process  controls (DSS06). Pendefinisian dan pemeliharaan kontrol bisnis proses yang tepat dalam memastikan informasi yang terkait, baik yang diproses oleh in-house maupun outsource. Juga mengidentifikasi persyaratan kontrol informasi yang relevan dan mengelola dan kontrol pengoperasian yang memadai untuk memastikan bahwa informasi dan pengolahan informasi telah memenuhi persyaratan. Pada proses ini terdiri dari 6 sub-proses, dengan total pernyataan 32 pernyataan.
Berdasarkan rekapitulasi jawaban dari para responden, maka didapatkan bahwa nilai tingkat
kapabilitas saat ini, antara lain: untuk DSS03, DSS04, dan DSS05 berhenti di tingkat 3; sedangkan DSS01, DSS02, dan DSS06 berhenti di tingkat 4. Nilai kapabilitas tertinggi diperoleh pada proses DSS02 yaitu berhenti di level 5 dengan skor 77,83, sedangkan nilai terendah terdapat pada DSS03 yaitu berhenti di level 4 dengan skor 79,53. Rekapitulasi ini dapat dilihat pada tabel berikut:
Tabel 1. Rekapitulasi Hasil Perhitungan
Kapabilitas Level 1 Domain Proses Rata-Rata Responden Rata-Rata SubProses
DSS01
DSS01.01 95,40 91,69
DSS01.02 89,00 DSS01.03 94,00 DSS01.04 89,88 DSS01.05 90,18
DSS02
DSS02.01 89,80 90,41
DSS02.02 89,00 DSS02.03 89,67 DSS02.04 93,67 DSS02.05 87,75 DSS02.06 87,50 DSS02.07 95,50
DSS03
DSS03.01 87,33 91,07
DSS03.02 92,67 DSS03.03 92,50 DSS03.04 93,00 DSS03.05 89,83
DSS04 DSS04.01 94,25 91,22
DSS04.02 87,63 DSS04.03 95,25 DSS04.04 88,00 DSS04.05 89,50 DSS04.06 95,67 DSS04.07 91,20 DSS04.08 88,25

## ISSN 2085-4579
Domain Proses Rata-Rata Responden Rata-Rata SubProses
DSS05
DSS05.01 90,83 89,71
DSS05.02 91,44 DSS05.03 92,11 DSS05.04 89,38 DSS05.05 88,43 DSS05.06 87,60 DSS05.07 88,20
DSS06 DSS06.01 90,00 92,61
DSS06.02 92,00 DSS06.03 96,67 DSS06.04 91,60 DSS06.05 94,00 DSS06.06 91,40 Jumlah 546,71 Nilai Rata-Rata Proses 91,12 Tabel 2. Rekapitulasi Hasil Perhitungan Kapabilitas Level 2 Domain Proses Rata-Rata Responden Rata-Rata SubProses DSS01 PA 2.1 88,00 88,25 PA 2.2 88,50 DSS02 PA 2.1 90,00 89,13 PA 2.2 88,25 DSS03 PA 2.1 89,50 90,63 PA 2.2 91,75 DSS04 PA 2.1 88,33 89,04 PA 2.2 89,75 DSS05 PA 2.1 89,33 88,04 PA 2.2 86,75 DSS06 PA 2.3 90,50 89,13 PA 2.4 87,75 Jumlah 534,21 Nilai Rata-rata Proses 89,03 Tabel 3. Rekapitulasi Hasil Perhitungan Kapabilitas Level 3 Domain Proses Rata-Rata Responden Rata-Rata SubProses DSS01 PA 3.1 86,60 86,97 PA 3.2 87,33 DSS02 PA 3.1 89,60 88,80 PA 3.2 88,00 DSS03 PA 3.1 88,40 89,12 PA 3.2 89,83
Domain Proses Rata-Rata Responden Rata-Rata SubProses DSS04 PA 3.1 88,00 88,58 PA 3.2 89,17 DSS05 PA 3.1 89,20 87,85 PA 3.2 86,50 DSS06 PA 3.3 89,60 88,55 PA 3.4 87,50 Jumlah 529,87 Nilai Rata-rata Proses 88,31

## Tabel 4. Rekapitulasi Hasil Perhitungan
Kapabilitas Level 4 Domain Proses Rata-Rata Responden Rata-Rata SubProses DSS01 PA 4.1 85,00 85,10 PA 4.2 85,20 DSS02 PA 4.1 88,00 87,30 PA 4.2 86,60 DSS03 PA 4.1 79,67 79,53 PA 4.2 79,40 DSS04 PA 4.1 82,00 81,70 PA 4.2 81,40 DSS05 PA 4.1 83,50 81,55 PA 4.2 79,60 DSS06 PA 4.3 88,00 87,20 PA 4.4 86,40 Jumlah 502,38 Nilai Rata-rata Proses 83,73

## Tabel 5. Rekapitulasi Hasil Perhitungan
Kapabilitas Level 5 Domain Proses Rata-Rata Responden Rata-Rata SubProses DSS01 PA 5.1 75,60 77,80 PA 5.2 80,00 DSS02 PA 5.1 81,00 77,83 PA 5.2 74,67 DSS06 PA 5.3 78,40 73,87 PA 5.4 69,33 Jumlah 229,50 Nilai Rata-rata Proses 76,50

## B. Pembahasan
Model kapabilitas merupakan alat ukur untuk mengetahui kondisi proses TI pada PT Erajaya Swasembada, Tbk. Kegiatan pengukuran ini akan
menghasilkan penilaian tentang kondisi sekarang dari proses Deliver, Service, and Support (DSS), terdiri dari; Manage operations (DSS01); Manage service requests and incidents (DSS02); Manage problems (DSS03); Manage continuity (DSS04);
Manage security services (DSS05); dan Manage business process controls (DSS06). Pada pengukuran model kapabilitas ini digunakan pengambilan data melalui kuesioner. Responden yang dilibatkan untuk pengisian kuesioner terutama adalah pada unit kerja TI dan auditor internal yang kesehariannya bergelut secara langsung dan mengetahui masalah yang berkaitan dengan proses terpilih, responden juga berasal dari unit kerja lain yang terkait, antara lain: Bag. Penjualan, Bag. Pembelian, Bag. Finance , dan Bag. Gudang.
Untuk mendukung audit tata kelola teknologi informasi ini, pengolahan data yang diperoleh dari kuesioner dilakukan dengan cara sebagai berikut:
1.  Perhitungan rata-rata terhadap masing- masing proses dari semua responden.
2.  Penilaian tingkat model kapabilitas proses diperoleh dengan melakukan perhitungan rata-rata semua proses.
3.  Representasi kondisi teknologi informasi yang ada sesuai dengan skema model kapabilitas.
Tingkat Model Kapabilitas
5 – Optimising Process
4 – Predictable Process
3 – Established Process
2 – Managed Process
1 – Performed Process
0 – Incomplete Process

## Tabel 6. Hasil Pengukuran Tingkat Kapabilitas
Proses TI Proses TI Skor Pencapaian Akhir Tingkat Model Kapabilitas Manage operations (DSS01) Level 5: 77,80 Level 4 Predictable Process Manage service requests and incidents (DSS02) Level 5: 77,83 Level 4 Predictable Process Manage problems (DSS03) Level 4: 79,53 Level 3 Established Process Manage continuity (DSS04) Level 4: 81,70 Level 3 Established Process Manage security services (DSS05) Level 4: 81,55 Level 3 Established Process Manage business process controls (DSS06) Level 5: 73,87 Level 4 Predictable Process
Grafik  hasil  pengukuran  tingkat  kapabilitas proses audit tata kelola teknologi informasi PT Erajaya Swasembada, Tbk dengan menggunakan
kerangka kerja COBIT 5.0 dapat dilihat pada gambar berikut ini:

## Gambar 1. Grafik Tingkat Kapabilitas Proses TI
Hasil setiap proses yang diteliti dengan menggunakan model kapabilitas kerangka kerja COBIT 5.0 audit tata kelola teknologi informasi pada PT Erajaya Swasembada, Tbk adalah pada level 3 ( established process ) dan level 4 ( predictable process ) dengan rincian proses sebagai berikut: Manage  problems (DSS03), Manage  continuity (DSS04), dan Manage security services (DSS05) berada pada level 3; Manage  operations (DSS01), Manage  service requests and incidents (DSS02), dan Manage business process controls (DSS06) berada pada level 4. Hal ini diartikan bahwa PT Erajaya Swasembada, Tbk sudah mengimplementasikan pelayanan dan dukungan tata kelola teknologi informasi dengan baik terbukti dari adanya prosedur operasional dalam penyediaan layanan bagi internal dan eksternal, prosedur penanganan insiden, dan pemeliharaan kontrol bisnis proses yang tepat guna. Pelayanan dan dukungan teknologi informasi tetap harus ditingkatkan secara berkelanjutan demi memenuhi harapan di masa mendatang.
Untuk mencapai level kapabilitas yang

## ISSN 2085-4579
diinginkan maka PT Erajaya Swasembada, Tbk perlu melakukan kontrol secara berkesinambungan terhadap setiap proses TI yang berhubungan dengan pengelolaan masalah, keamanan, operational, pelayanan, dan kontrol terhadap bisnis proses yang dijalankan. Perlu melakukan self-assessment secara teratur, dan melibatkan karyawan secara proaktif dalam perbaikan kontrol tersebut.
IV. Simpulan
A. Simpulan
Berdasarkan proses audit tata kelola teknologi informasi yang telah dilakukan maka dapat disimpulkan bahwa, hasil dari rekapitulasi tingkat model kapabilitas penelitian audit tata kelola teknologi informasi di PT Erajaya Swasembada, Tbk yaitu berada pada level 3 ( established process ) dan level 4 ( predictable process ) dengan rincian proses sebagai berikut: Manage problems (DSS03), Manage  continuity (DSS04), dan Manage  security  services (DSS05) berada pada level 3; Manage  operations (DSS01), Manage service requests and incidents (DSS02), dan Manage business process controls (DSS06) berada pada level 4. Hal ini diartikan bahwa PT Erajaya Swasembada, Tbk sudah mengimplementasikan pelayanan dan dukungan tata kelola teknologi informasi dengan baik terbukti dari adanya prosedur operasional dalam penyediaan layanan bagi internal dan eksternal, prosedur penanganan insiden, dan pemeliharaan kontrol bisnis proses yang tepat guna. Pelayanan dan dukungan teknologi informasi tetap harus ditingkatkan secara berkelanjutan demi memenuhi harapan di masa mendatang.
Untuk mencapai level kapabilitas yang diinginkan maka PT Erajaya Swasembada, Tbk perlu melakukan kontrol secara berkesinambungan terhadap setiap proses TI yang berhubungan dengan pengelolaan masalah, keamanan, operational, pelayanan, dan kontrol terhadap bisnis proses yang dijalankan. Perlu melakukan self-assessment secara teratur, dan melibatkan karyawan secara proaktif dalam perbaikan kontrol tersebut.

## Daftar Pustaka
[1] Adikara. 2013. Implementasi Tata Kelola Teknologi Informasi Perguruan Tinggi Berdasarkan COBIT 5 Pada Laboratorium Rekayasa Perangkat Lunak Universitas Esa Unggul. Seminar Nasional Sistem Informasi Indonesia, 2-4 Desember 2013.
[2] Sarno. 2009. Audit Sistem & Teknologi Informasi, ITS Press. Surabaya.
[3] ISACA, CobiT 5.0. United States of America: IT Governance Institute , 2014.
[4] H. James, et al., Core Concepts of Information Technology Auditing. International Edition. New Jersey: John Wiley and Sons. Inc, 2004.