## AUDIT TEKNOLOGI INFORMASI DENGAN COBIT PADA SISTEM INFORMASI UNIVERSITAS METHODIST INDONESIA

## Darwis Robinson Manalu
Universitas Methodist Indonesia
manaludarwis@gmail.com

## ABSTRACT
Improving services in all fields in higher education is the main choice because it is closely related to stakeholder satisfaction, especially in the academic field. Information technology used in managing activities will determine the desired process and output. So it is necessary to evaluate and audit information technology to determine the achievement  of  performance  or  productivity.  Universitas  Methodist  Indonesia  has  implemented  Information Technology in managing academic activities ranging from new student registration to student graduation, lecturer and  staff  activities,  research  activities,  and  community  service.  COBIT  is  one  of  the  tools  used  in  auditing information systems and information technology. The audit is carried out on human resources related to system and  technology  management  involving  the  Head  of  the  Data  Processing  Center,  Head  of  Administration  and Information Services, Head of System Development Affairs, and Implementing Staff. To obtain data by making a questionnaire given to the audited party. From the test results on the effectiveness of the control, there is already a  running  control,  namely  PO8.1.  Quality  Management  System,  PO8.4.  Customer  Focus,  PO8.5  Continuous Improvement, and PO8.6 Quality Measurement, Monitoring and Review, DS5.9. Malicious Software Prevention, Detection, and Correction need to be improved and continuously. Then the level of performance of the Detailed Control Objective (DCO) in the third party service management process still tends to be lacking and still needs to be improved, with the average performance value in the third party service management process being 1.5.

## Keywords: IT Audit, COBIT, Universitas Methodist Indonesia

## I. PENDAHULUAN
Pemanfaatan teknologi informasi dalam setiap aktifitas maupun  kegaitan  bisnis  menjadi  sangat  strategis khusunya  dalam  perguruan  tinggi  bukan  lagi  sebagai pendukung  tapi  sudah  menjadi  pemeran  utama[1]. Teknologi  informasi  sangat  beragam  mulai  untuk kepentingan pribadi, sampai untuk mendukung kegiatan perusahaan  yang  sangat  besar  dan  tersebar  keseluruh dunia guna meningkatkan keunggulan berkompetisi[2]. Teknologi  informasi  dapat  meningkatkan  kinerja perusahaan  dan  menembus  berbagai  faktor  yang menghambat  perusahaan  dalam  menghasilkan  kinerja secara  optimum.  Teknologi  informasi  mempunyai kemampuan untuk memberdayakan personel perusahaan  dapat  merespon  tuntutan customer secara tepat  waktu  dan  akurat[3].  Pemanfaatan  teknologi informasi  merupakan  bagian  pertimbangan  dari pengendalian internal selama proses audit[4]. Teknologi Informasi merupakan suatu kebutuhan yang mutlak bagi pelayanan  pendidikan  terutama  pada  perguruan  tinggi, sehingga  dapat memberikan  kemudahan  dalam administrasi bagi perguruan tinggi yang menerapkannya[5]. Dengan adanya Teknologi Informasi  di Universitas Methodist Indonesia (UMI)[6], bukan  hanya  pelayanan  terhadap  mahasiswa[7]  yang menjadi  lebih  baik tetapi juga pelayanan untuk seluruh pihak terkait dengan proses akademik  yang ada seperti staf  pengajar,  biro  administrasi  bahkan  orangtua  dan alumni.  UMI  memiliki  banyak  aplikasi  yang  sudah tergolong  pada  sistem  informasi  yang  meliputi  Sistem
Informasi  Akademik  (SIMAK)[8],  Sistem  Informasi Sumber  Daya,  Sistem  PMB[4],  Sistem  Pengelolaan Jurnal,  Pengelolaan  Penelitian,  Sistem  Pengelolaan Keuangan,  Perpustakaan,  Repository  dan  aplikasi lainnya[9] yang online maupun yang bersifat Local Area Network termasuk pengelolaan Data Center Mini UMI. Peranan  dari  setiap  sistem  tersebut  yang  signifikan inilah  yang  tentu  saja  harus  diimbangi  dengan pengaturan  dan  pengelolaan  yang  tepat  sehingga kerugian–kerugian yang mungkin terjadi dapat dihindari[10].  Kerugian  yang  dimaksud  bisa  dalam bentuk  informasi  yang  tidak  akurat  yang  disebabkan oleh  pemrosesan  data  yang  salah  sehingga  dapat mempengaruhi pengambilan keputusan yang salah pula. Keamanan  asetnya  salah  satunya  adalah  data  tidak terjaga,  integritas data yang tidak dapat dipertahankan, hal–hal inilah yang dapat mempengaruhi efektifitas dan efisiensi  dalam  pencapaian  tujuan  dan  strategi organisasi.  Universitas  Methodist  Indonesia  (UMI) memiliki  visi  untuk  menjadi  perguruan  berkelas internasional  yang  unggul  di  bidang  infokom.  Dalam organisasinya  Universitas  Methodist  Indonesia  (UMI) terbagi  menjadi 4 Bagian dan 5 Fakultas dengan  tugas dan  fungsi  yang  berbeda-beda.  Perbedaan  fungsi  dan tugas dari setiap bagian ini berpengaruh pada perbedaan kebutuhan  teknologi  informasi  yang  digunakan  sehari- hari.  Pada  Universitas  Methodist  Indonesia  (UMI), terdapat  sebuah  bagian  yang  bertanggungjawab  dan berfungsi mengelola kegiatan administrasi dan layanan informasi  serta  pengembangan  sistem,  yaitu  bagian Bagian  Pusat  Pengelola  Data  dengan  unsur  pelaksana terdiri  dari  Kepala  Pusat  Pengelola  Data,  Pengelola PDDIKTI,  Pengelola  Administrasi  dan  Layanan
Informasi,  pengelola  Urusan  Pengembangan  Sistem maupun  Staf  Pelaksana.  Integritas  dan  validitas  data sangat  diperlukan  untuk  melaksanakan  layanan  yang ditugaskan kepada Bagian Pusat Pengolahan Data, yaitu mencakup  data  logistik,  keuangan,  sumber  daya manusia,  registrasi,  kegiatan  belajar  mengajar,  alumni Universitas  Methodist  Indonesia  (UMI),  dan  masih banyak  lagi. Berdasarkan pada  banyak dan pentingnya kebutudan  terhadap  data-data  tersebut,  maka  adanya suatu  sistem  informasi  dalam  kegiatan  yang  dilakukan oleh  Bagian  Pusat  Pengolahan  Data  menjadi  suatu  hal yang sangat penting. Akan tetapi, hal ini tidak menutup kemungkinan bagi Bagian Pusat Pengolahan Data untuk bekerja  dengan  baik  dengan  menggunakan  sistem informasi  yang  ada  pada  saat  ini.  Oleh  karena  itu, penelitian  ini  akan  membahas  dan  melaporkan mengenai hasil audit yang telah dilakukan sesuai dengan metodologi  yang digunakan. Untuk itu perlu dilakukan cara  untuk  mengetahui  Jenis  evaluasi  manajemen Teknologi  Informasi  yang  sesuai  untuk  organisasi seperti  Universitas  Methodist  Indonesia  (UMI) kemudian melakukan pengontrolan secara objektif yang digunakan dalam melakukan evaluasi. Sehingga tujuan dari  penelitian  ini  adalah  melakukan  evaluasi  terhadap pengelolaan  teknologi  informasi  atau  manajemen
teknologi  informasi  yang  ada  di  Universitas  Methodis Indonesia  (UMI)  dan  mengetahui  hasil  yang  diperoleh dari  kajian  ini  diharapkan  dapat  dijadikan  landasan dalam  pembuatan  kerangka  kerja  audit  TI  yang  sesuai dengan standar.

## II. KAJIAN PUSTAKA

## Hubungan  Antara  Control  Objectives  dan  Audit GuideLines
Pedoman  Audit  membantu  auditor  atau  penilai  untuk memberikan  jaminan  bahwa  proses  sebenarnya  di bawah  kontrol  sehingga  kebutuhan  informasi  yang diperlukan  untuk  mencapaitujuan  bisnis.  Hubungan antara  keduanya  adalah  proses,  maka  Pedoman  Audit telah  dikembangkan  untuk  setiap  proses  berlawanan untuk setiap tujuan kontrol[5].
Dengan mengacu pada kerangka pengendalian diwakili oleh model air terjun[11]. Pedoman Audit dapat dilihat dengan  menyediakan  umpan  balik  dari  kontrol  proses kembali  ke  tujuan  bisnis. Tujuan  pengendalian  adalah panduan turun air terjun untuk mendapatkan  proses TI di bawah kendali.
Gambar 1. Hubungan Antara Control Objectives dan Audit GuideLines[5]

## COBIT
Kerangka  kerja  Cobit  merupakan  suatu  konsep manajemen  tata  kelola  IT,  yang  dipergunakan  sebagai standar  internasional  yang  dikembangkan  oleh  ISACA ( Information
System Audit and Control
Association )[12][13]  untuk  perusahaan  besar  di  dunia. COBIT  mengintegrasikan  sejumlah best  practices TI dan  menyediakan  kerangka  kerja  untuk  tata  kelola  TI yang  dapat  membantu  pemahaman  dan  pengelolaan
risiko  serta  dapat  memperoleh  keuntungan  terkait dengan  TI. Cobit  Framework membagi  aktivitas pengelolaan  IT  menjadi  4  domain  utama  Perencanaan dan Pengorganisasian (PO), Pengadaan dan Implementasi (AI), Penyampaian Layanan dan Dukungan  (DS),  Monitor  and  Evaluasi  (ME)  COBIT menetapkan  informasi  yang  baik  dan  dibutuhkan  oleh bisnis  dalam  perusahaan  haruslah  informasi  yang mengandung kriteria-kriteria seperti efektivitas,
efisiensi, kerahasiaan, integritas, ketersediaan, pemenuhan dan dapat dipercaya. Secara  keseluruhan  konsep  framework  COBIT[14] dapat dilihat dari 3 sudut pandan yaitu Proses TI, Sumber  Daya  TI  dan  Kriteria  Informasi.  Ketiga  sudut pandang  tersebut  direpresentasikan  dengan  kubus COBIT[15], yang dapat dilihat pada Gambar 2
Gambar 2. Kubus COBIT
Kerangka  kerja  COBIT  merupakan  suatu  konsep manajemen  tata  kelola  TI  yang  mengintegrasikan sejumlah best  practices TI  dan  menyediakan  kerangka kerja  untuk  tata  kelola  TI  yang  dapat  membantu
pemahaman  dan  pengelolaan  risiko  serta  memperoleh keuntungan  terkait  dengan  TI.  Kerangka  kerja  COBIT dapat dilihat pada Gambar 3.

## Populasi dan Sampel dalam kuesioner
Populasi  adalah  keseluruhan  subjek  penelitian[9], sedangkan  sampel  merupakan  sebagian  atau  wakil populasi  yang  diteliti.  Dalam  penelitian  yang  jumlah populasinya lebih dari 100 dapat diambil jumlah sampel dengan menggunakan rumus presisi sebagai berikut:
Dengan n = Total Sampel
N = Total Populasi
d = Tingkat Presisi
Tingkat  presisi  antara  10-15%,  atau  20-25%,  atau lebih tergantung pada:
a.  Kemampuan peneliti dilihat dari segi tenaga, waktu dan dana.
b.  Sempit  luasnya  wilayah  pengamatan  dari  setiap subyek  karena  hal  ini  menyangkut  banyaknya  data yang dipergunakan.
c.   Besar kecilnya resiko yang ditanggung peneliti.

## Proses TI pada domain COBIT

## Adapun proses TI pada lingkungan domain COBIT
dapat dilihat pada tabel berikut ini:

## Tabel 1. Proses TI pada Domain COBIT
Plan and Organize (PO) Deliver and Support (DS) PO1 Mendefinisikan suatu rencana strategis TI DS1 Mendefinisikan dan mengelola tingkat-tingkat layanan PO2 Mendefinisikan arsitektur Informasi DS2 Mengelola layanan-layanan pihak ketiga PO3 Menetapkan arah teknologi DS3 Mengelola kinerja dan kapasitas PO4 Mendefinisikan proses- proses TI, organisasi dan hubungan-hubungan DS4 Memastikan layanan berkelanjutan
PO5 Mengelola investasi TI DS5 Memastikan keamanan sistem- sistem PO6 Mengkomunikasikan tujuan-tujuan dan arah manajemen DS6 Mengidentifikasi dan mengalokasi biaya-biaya PO7 Mengelola sumber daya manusia TI DS7 Mendidik dan melatih para pengguna
PO8 Mengelola kualitas DS8 Mengelola meja layanan dan insiden-insiden PO9 Menilai dan mengelola risiko-risiko TI DS9 Mengelola konfigurasi PO10 Mengelola proyek- proyek DS10 Mengelola permasalahan DS11 Mengelola data DS12 Mengelola lingkungan fisik DS13 Mengelola operasi- operasi Acquire and Implementation (AI)
Monitor and Evaluate AI1 Mengidentifikasi solusi- solusi otomatis
ME1 Memantau dan mengevaluasi kinerja TI
AI2 Memperoleh dan memelihara perangkat lunak aplikasi ME2 Memantau dan mengevaluasi kontrol internal
AI3 Memperoleh dan memelihara infrastruktur teknologi ME3 Memastikan kepatuhan hukum AI4 Memungkinkan operasi dan penggunaan ME4 Menyediakan tata kelola TI
AI5 Mengadakan sumber daya-sumber daya TI AI6 Mengelola perubahan- perubahan AI7 Memasang dan menguasakan solusi-
solusi serta perubahan
Dalam  pencapaian  kebutuhan  bisnis,  yang  tercermin pada  kebutuhan  informasi,  membutuhkan  dukungan sumber  daya  TI.  Komponen  sumber  daya  TI  dalam COBIT, diidentifikasi dan didefinisikan sebagai berikut. 1. Aplikasi,  merupakan  sistem  yang  digunakan  sudah diotomasikan dan prosedur manual yang digunakan dalam memproses informasi.
2. Informasi,  data  dalam  semua  bentuk,  dimasukkan, diproses  dan  dikeluarkan  oleh  sistem  informasi dalam berbagai bentuk yang digunakan dalam bisnis.
3. Infrastruktur,  teknologi  dan  fasilitas  (perangkat keras,  sistem  operasi,  sistem  manajemen  database, jaringan,  multimedia  dan  pendukung  lainnya)  yang memungkinkan pemrosesan aplikasi.
4. Manusia, personil yang diperlukan untuk merencanakan, mengorganisir, mendapatkan, menerapkan,  menyampaikan,  mendukung  dan mengevaluasi  informasi.  Mereka  bisa  saja  internal, direkrut  dari  luar  ( outsource ),  atau  dikontrak  jika diperlukan.[17]

## III. METODOLOGI

## Kerangka Penelitian
Dalam  audit  TI  dibutuhkan  alur  kerja  penelitian.  Alur kerja dalam penelitian ini adalah sebagai berikut : (1) Studi Literatur.
(2) Pengumpulan Data (3) Pengolahan dan Analisis Data
(4) Perancangan Solusi

## Pembuatan Survey
Metode survei dikembangkan dalam 2 (dua) tahapan kuesioner meliputi:
1. Kuesioner I Manajemen Awareness
2. Kuesiner II Maturity Level

## A. Kuesioner I Manajemen Awareness
Objek Pertanyaan dalam kuesioner ini, pada prinsipnya dirancang sedemikian rupa sehingga dapat mengakomodasikan beberapa hal, yaitu:
1. Tingkat  pemenuhan  terhadap  keseluruhan  Detail Control Objective (DCO)
2. Pencapaian terhadap beberapa indikator kinerja Key Performance Indicators (KPI) maupun pencapaian tujuan Key Goal Indicators (KGI).

## B. Kuesioner II Maturity Level
Kuesiner  ini  dikembangkan  untuk  dapat  menilai  dan mengukur tingkat kematangan proses proses pengelolaan  layanan  pihak  ketiga  pada Deliver  and Support (DS3), baik untuk kondisi yang saat ini (as is) , maupun untuk kondisi yang diharapkan (to be ).
Mengacu pada COBIT,maka penilaian dan pengukuran tingkat  kematangan  proses  pengelolaan  layanan  pihak ketiga  dilakukan  dengan  mempertimbangkan  nilai kematangan 6 (enam) atribut kematangan [18]:
1. Kepedulian dan komunikasi
2. Kebijakan, standard an prosedur
3. Perangkat bantu dan otomasi
4. Ketrampilan dan Keahlian
5. Pertanggungjawaban internal dan eksternal
6. Penetapan tujuan dan Pengukuran
Pelaksanaan  Survei  dilakukan  dengan  pendistribusian kuesioner,  baik  kuesiner  I  Management  Awarenness maupun  kuesioner  II  Maturity  Model,  yang  telah dikembang diatas pada responde. Dengan pertimbangan untuk dapat melengkapi hasil survey kusioner sehingga kegiatan  analisis  dapat  dilakukan  secara  lebih komprehensif,  maka  beberapa  metode  lain  secara implisit  dilakukan.  Antara  lain  mencakup  kegiatan observasi/pengamatan,  wawancara  ( interview )  dan review  atas  dokumen  penting  terkait  dengan  proses DS2.  Identifakasi  responden  dilakukan  dengan  dengan secara  konsisten  mengace  pada  diagram  Responsible, Accountable, Consulted and/or Informed (RACI) seperti yang didefiniskan pada COBIT khususnya pada proses DS 2.

## Proses Audit TI
Dalam  melaksanakan  audit  TI  diterapkan  metodologi audit TI yang sesuai dengan metodologi yang diajukan oleh  IT  Assurance  Guide:  Using  COBIT.  Tetapi sebelum  menentukan  pilihan  Dalam  pelaksanaannya, proses audit ini dibagi menjadi 4 tahapan seperti terlihat pada gambar 4.

## IV. HASIL DAN PEMBAHASAN
Berdasarkan hasil diskusi dan pengisian kuesioner maka didapatkan  hasil  bahwa  pihak  manajemen  Pusat Pengolahan  Data  menitikberatkan  pada  bagaimana seharusnya  Bagian  Pusat  Pengolahan  Data  dapat memberikan  layanan  IT  kepada  civitas  akademika Universitas  Methodist  Indonesia  secara  kontinu  dan reliable dengan memperhatikan aspek-aspek keamanan dan  juga  bagaimana  pemeliharaan  terhadap  data  yang ada. Hal ini disebabkan karena proses tersebutlah yang paling  penting  dukungannya  untuk  keberlangsungan dukungan  IT  di  lingkungan  Universitas  Methodist Indonesia.  Melalui  wawancara  dan  observasi,  bisa diketahui  kondisi  institusi  saat  ini  dan  mengetahui sejauh mana pelaksanaan kontrol diefektifkan, penilaian resiko juga perlu dilakukan untuk mengidentifikasi dan mengevaluasi  resiko  serta  dampak  yang  terjadi  jika resiko tersebut muncul.

## Analisis Identifikasi Resiko
Hal  ini  dilakukan  terhadap  pengumpulan  data  sebagai hasil  kuesioner  I Management  Awareness .  Dari pelaksanaan  survey  kuesioner  ini,  diperoleh  jawaban sebanyak jumlah kuesioner yang didistribusikan kepada responden yang diidentifikasikan dalam tabel.

## Tabel 2 Rekapitulasi jawaban responden kuesioner I
Managemen Awareness.
No Objek Pertanyaan Distribusi Jawaban L (%) M (%) H(%) 1. Identifikasi Semua Hubungan Pemasok 55 45 0 2. Managemen hubungan Pemasok 62 47 1 3. Manajemen Risiko Pemasok 65 35 0 4. Pemantauan Kinerja Pemasok 60 40 0 TOTAL 59 39 2
Secara Umum rekapitulasi hasil kuesioner I manajement awareness seperti terlihat pada tabel diatas, dapat ditarik suatu kecnderungan yang merefleksikan fakta dilapangan yaitu, bahwa:
1. Sebagian  besar  responden,  59  %  responden menyatakan  pendapat,  opini  atau  kesadarannya bahwa  tingkat  kinerja  dalam  proses  pengelolaan layanan  pihak  ketiga  masih  rendah  atau  kurang sehingga masih sangat perlu untuk ditingkatkan.
2. Sebanyak  39  %  responden  mengemukakan pendapatnya  bahwa  kinerja  proses  layanan  pihak ketiga adalah cukup atau sedang.
3. Hanya  2  %  responden  yang  menyatakan  praktek pengelolaan data yang sekarang berlangsung sudah baik dan relative telah memenuhi harapan.
Untuk dapat mendeskripsikan secara jelas kajian tentang kinerja  Proses  DS  2,  khususnya  pada  pemenuhan kriteria-kriteria dalam proses DS 2 yang tertuang dalam DCO,  maka  dilakukan  pemetaan  terhadap  kuesioner  I dengan  nilai  kinerja  yang  merefleksikan  secara kuantitatif tingkat kinerjanya seperti pada tabel dibawah ini:
Tabel 3. Pemetaan jawaban kuesioner dan nilai/tingkat kinerja detailed control objective (DCO) pada proses
pengelolaan layanan pihak ketiga NO Jawaban Nilai Kinerja Tingkat Kinerja 1. L (Low) 1,00 Kurang 2. M (Medium) 2,00 Sedang 3. H ( High) 3,00 Baik
Dengan merujuk tabel diatas maka dapat diperoleh nilai kinerja  terhadap  pemenuhan  DCO  tersebut  secara kuantitatif, yang dapat dilihat pada tabel 4.3
Tabel 4. Tingkat kinerja detailed control objective (DCO)
pada proses DS 2 N o Detailed Control Objective (DCO) Nilai Kinerja 1 DS 2.1 Identifikasi SemuaHubunganPemasok 1,6 2 DS 2.2 Managemen hubungan Pemasok 1,7 3 DS 2.3 Manajemen Risiko Pemasok 1,3 4 DS 2.4 Pemantauan Kinerja Pemasok 1,4 Rata –rata 1,5
Secara keseluruhan berdasarkan tabel di atas dapat diberikan beberapa kesimpulan, bahwa:
1. Tingkat pemenuhan DCO pada proses pengelolaan layanan pihak ketiga  masih  cenderung kurang dan masih  perlu  ditingkatkan,  dengan  rata-rata  nilai kinerja  dalam  proses  pengelolaan  layanan  pihak ketiga adalah sebesar 1,5
2. Hasil  tersebut  dapat  direpresentasikan  dalam diagram radar sepeti pada gambar berikut ini.
Gambar 5. Representasi tingkat penenuhan DCO pada proses pengelolaan layanan pihak ketiga di UMI

## Identifikasi dan Dokumentasi
Proses  Identifikasi  dan  Dokumentasi  pada  Universitas Methodist Indonesia Memastikan Pengelolaan Layanan Pihak  Ketiga  berjalan  dengan  efektif  untuk  itu  maka secara umum diperoleh:
- Kebijakan besar pada organisasi dan prosedur yang berhubungan  dengan  jasa  yang  dibeli  dan,  secara khusus, hubungan vendor pihak ketiga.
- Kebijakan TI dan prosedur yang berkaitan dengan: hubungan pihak ketiga, prosedur seleksi vendor, isi kontrak seperti hubungan, keamanan fisik dan logis,
0 0,5 1 1,5 2 (DS 2.1) Identifikasi Semua Hubungan Pemasok (DS 2.2 )Managemen hubungan Pemasok (DS 2.3) Manajemen Risiko Pemasok (DS 2.4)Pemantauan Kinerja Pemasok
Series 1
pemeliharaan kualitas vendor, perencanaan berkelanjutan dan outsourcing.
- Daftar  keseluruhan  hubungan pihak ketiga  saat  ini dan  kontrak  aktual  yang  terkait  dengan  masing- masing.
- Pelaporan  tingkat  layanan  tingkat  pelaporan  yang berkaitan  dengan  hubungan  pihak  ketiga  dan layanan.
- Notulen  rapat  membahas  review  kontrak,  evaluasi kinerja dan hubungan manajemen.
- Kerahasiaan  perjanjian  untuk  semua  hubungan pihak ketiga.
- Akses  Keamanan  dengan  profil  dan  sumber  daya yang tersedia untuk vendor
Dari  proses  wawancara  dengan  manajemen  dan  staf untuk  mendapatkan  pemahaman  tentang:  kebutuhan bisnis  dan  resikonya,  struktur  organisasi,  peran  dan tanggung  jawab,  kebijakan  dan  prosedur,  hukum  dan peraturan, control  measure yang  berlaku,  laporan manajemen  (status,  kinerja,  tindakan),  diperoleh bahwasanya persyaratan dokumen secara umum, masih kurang lengkap dan perlu untuk proses perbaikan.
Dari Key Performance Indikator diperoleh:
- Jumlah dan frekuensi pertemuan review.
- Jumlah perubahan kontrak.
- Frekuensi laporan tingkat layanan.
- Jumlah masalah-masalah yang mengemuka.
- Waktu jeda untuk menjernihkan masalah
- Berapa  persen  kontrak  yangmengemuka  untuk tinjauan legal.
- Waktu  jeda  semenjak  tinjauan  kontrak  terakhir terhadap kondisipasar.
- Jumlah  kontrak  layanan  yang  tidak  menggunakan istilah  standar  dankondisi-kondisi  atau  pengecualian yang diajukan
Beberapa  hal  yang  menjadi  hasil  evaluasi  pada  proses evaluasi layanan pihak ketiga antara lain:
1. Menilai keefektifan control  measure yang  berlaku atau tingkat pencapaian control objective . 2. Mengevaluasi  kesesuaian control  measure dari proses  yang  direview  dengan  mempertimbangkan kriteria  yang  diidentifikasikan  dan  praktik  standar industri, Critical  Success  Factor dan control measure dan mengaplikasikan keputusan profesional audit.
3. Melakukan  proses  dokumentasi, deliverable yang sesuai dihasilkan, tanggung jawab dan akuntabilitas yang  jelas  dan  efektif,  adanyapengendalian kompensasi  ( compensating  control )  sebagaimana mestinya.
4. Simpulkan kesesuaian tingkat control objective.

## Pengujian Kepatutan
Pengujian bahwa:
- Daftar  kontrak,  dan  kontrak  yang  sebenarnya  pada tempat tempatnya dan akurat.
- Tidak  ada  pelayanan  yang  telah  disediakan  oleh vendor tidak termasuk dalam daftar kontrak.
- Penyedia  kontrak  yang  benar-benar  melakukan layanan didefinisikan.
- Penyedia manajemen / pemilik memahami tanggung jawab mereka dalam kontrak.
- Kebijakan  TI  dan  prosedur  yang  berkaitan  dengan hubungan  ketiga  pihak  ada  dan  konsisten  dengan kebijakanumum organisasi.
- Ada  kebijakan  khusus  menangani  kebutuhan kontrak, definisi isi kontrak, pemilik atau hubungan manajer  bertanggung  jawab  untuk  memastikan kontrak dibuat, dikelola, diawasi dan negosiasi ulang diperlukan.
- Kontrak  merupakan  catatan  penuh  dan  lengkap hubungan penyedia pihak ketiga.
- Kontrak  ditetapkan  untuk  kelangsungan  layanan khusus, dan bahwa kontrak ini meliputi kontingensiperencanaan oleh vendor untuk menjamin  layanan  secara  kontinu  untuk  pengguna layanan.
Secara  umum  langkah-langkah  yang  diambil  untuk mencapai hal tersebut antara lain:
1. Menjamin control  measure yang  ditetapkan, berjalan  sebagaimana  mestinya,  secara  konsisten dan berkelanjutan, serta menyimpulkan kesesuaian controlenvironment.
2. Mendapatkan  bukti  langsung  dan  tidak  langsung untuk  item /  periode  yang dipilih untuk menjamin bahwa prosedur telah dipatuhi untuk periode  yang direview  menggunakan  bukti  langsung  dan  tidak langsung.
3. Melakukan  review  terbatas  tentang  kecukupan proses deliverable.
4. Menentukan  tingkat  pengujian  substatif  dan  kerja tambahan  yang  dibutuhkanuntuk  menyediakan jaminan bahwa proses IT adalah cukup.
Berdasarkan  langkah-langkah  tersebut  diatas  dengan membandingkan terhadap kepatuhan proses atas aturan- aturan  yang  telah  ditetapkan  maka  masih  banyak terdapat kekurangan yang hasus diperbaiki.
Penilaian Resiko [19]
Performing:
- Pembandingan jasa pihak ketiga terhadap organisasi yang  sama  atau  standar  internasional  yang  sesuai  / diakui dari praktek-praktek industri terbaik.
- Sebuah  tinjauan  rinci  dari  setiap  kontrak  pihak ketiga  untuk  menentukan  ketentuan  kualitatif  dan kuantitatif mengkonfirmasikan kewajiban didefinisikan.
Identifying:
- Ketentuan menjelaskan, koordinasi dan komunikasi hubungan antara penyedia dan pengguna layanan informasi.
- Faktur pihak ketiga secara akurat mencerminkan biaya untuk layanan kontrak yang dipilih.
- Organisasi penghubung dengan vendor pihak ketiga memastikan  komunikasi  mengenai  isu  kontrak antara pihak dan pengguna pelayanan.
- Nasihat  hukum  dan  manajemen  menyetujui  semua kontrak.
- Penilaian  risiko  yang  sedang  berjalan  terjadi  untuk konfirmasi  kebutuhan  hubungan  atau  kebutuhan untuk memodifikasi hubungan.
- Pemeriksaan  sedang  berlangsung  dan  tindakan korektif oleh manajemen pelaporan kontrak terjadi.
- Kewajaran  biaya  dibandingkan  dengan  kinerja berbagai  industri  internal,  eksternal  dan  sebanding kinerja yang dilakukan.
- Rencana kontingensi berada di tempat untuk semua layanan  kontrak,  khususnya  layanan  pemulihan bencana  untuk  fungsi  TI  untuk  fungsi  outsourcing, kekurangan  jelas atau peluang untuk meningkatkan kinerja atau ada biaya pengurangan.
- Pelaksanaan rekomendasi yang tertuang dalam audit independen dari kontraktor.
Secara  umum  langkah-langkah  yang  diambil  untuk mencapai hal tersebut antara lain:
1. Memperkirakan resiko dari control  objective yang tidak  dipenuhi,  dengan  menggunakan  teknik analitik  dan  /  atau  mengkonsultasikan  sumber- sumber  alternative.  Tujuannya  adalah  untuk mendukung opini dan  membuat  manajemen untuk melakukan tindakan.
2. Mendokumentasikan  kelemahan  kendali,  serta ancaman dan kerawanan yangdihasilkannya.
3. Mengidentifikasikan dan mendokumentasikan dampak yang potensialmaupun aktual.
4. Menyediakan  informasi  komparatif,  misalnya melalui benchmark .
Dari  langkah-langkah  diatas  dan  dari  data  yang diperoleh maka adanya kelemahan control dalam proses pengelolaan  data  yang  penting  dan  perlu  diwaspadai, dan  merupakan  suatu  kerentanan  ( vulnerability )  bagi munculnya ancaman ( threat ) yang sangat memungkinkan  ( probality )  akan  berdampak  ( impact ) serius  dalam  pencapaian  kinerja  bisnis  Universitas Methodist Indonesia (UMI).

## Penyampaian Laporan
Untuk  memastikan  penyediaan  layanan  pihak  ketiga ( supplier,  vendor  dan  partners )  dalam  mencapai kebutuhan  bisnis  dibutuhkan  proses  pengelolaan layanan  pihak  ketiga  yang  efektif  maka  diperlukan diperlukan perancangan solusi atas berbagai permasalahan  dan  kendala.  Berdasarkan  hasil  analisis terhadap temuan-temuan audit maka diajukan rekomendasi  Universitas  Methodist  Indonesia  (UMI) sebagai berikut:
1. Pendefinisian Tindakan Perbaikan Pada tingkat DCO perlu adanya pengelolaan  yang efektif agar mencapai tingkat yang diharapkan.
2. Keterkaitan dengan Atribut Kematangan.
Atribut  kematangan  mempunyai  peranan  penting  yang menentukan tingkat kematangan suatu proses teknologi informasi,  termasuk  dalam  menentukan  kematangan proses  pengelolaan  layanan  pihak  ketiga.  Diharapkan dapat  mencapai  tingkat  kematangan  yang  diharapkan pada  setiap  Atribut  Kematangan  ( Awareness  and Communication,  Policies,  Standart  and  Procedure,
Tools and Automation, Skill and Expertise Responsibilities and Accountabilities, Goal Setting and Measuement )

## Pengendalian Sistem TI Pada Universitas Methodist Indonesia
Tujuan pengendalian ditetapkan berdasarkan CSF, KGI, dan  KPI  terhadap  masing-masingproses  sistem  TI[20]. Pengendalian  sistem  TI  merupakan  suatu  struktur hubungan  dan  proses  untuk  mengarahkan  dan mengendalikan  perusahaan  dalam  rangka  mencapai tujuan dengan cara menyeimbangkan resiko atas sistem informasi dan prosesnya. Pengendalian TI dilingkungan organisasi  selama  ini  belum  dilakukan  begitu jugadengan  pedoman  audit  TI  belum  dilaksanakan. Pedoman  audit  digunakan  untukmenyediakan  struktur yang  sederhana  untuk  mengaudit  dan  menilai pengendalianberdasarkan  pada  praktek  audit.  Model yang  biasanya  digunakan  untuk  menilai  pengendalian adalah  menggunakanmodel  audit  selain  menggunakan model  analisa  resiko.  Model  audit  TI  organisasidapat diaudit  melalui  pendekatan  pedoman  manajemen COBIT, yang terdiri darimodel maturity, CSF, KGI dan KPI, dengan penjelasan sebagai berikut:
1. Langkah-langkah kritis yang menentukan keberhasilan pencapaiannya, berupa Critical Success Factor (CSF) atau tujuan aktivitas.
2. Untuk dapat melakukan pengawasan secara efektif dalam  rangka  pencapaian  tujuan  tersebut  maka diperlukan pengukuran terhadap beberapa indikator ( Key  Performance  Indikator (KPI)  dan Key  Goal Indikator (KGI).
Tabel 5. Hasil Analisa dengan menggunakan CSF, KGI dan KPI

## DS2 – Mengelola Layanan Pihak ke Tiga
Critical Success Factors (CSF)
 Kebutuhan layanan yang terdefinisi dengan jelas dan pengukuran kinerja telah tersedia.
 Organisasi  menjaga  akuntabilitas  dan  kendali,  dan secara proaktif mengelola layanan eksternal.
 Adanya pengawasan kepada manajemen dan administrasi  yang  memadai,  yang  ditujukan  pada masalah keuangan, operasinal, hukum, dan pengawasan.
 Tersedianya  proses  evaluasi  kriteria  yang  dibangun sebelumnya dan disetujui.
KGI KPI - Berapa persen dari penyedia jasa yang disetujui secara objektif formal. - Berapa persen dari perjanjian signifikan yang  mana  peninjauan kualifikasi penyedia jasa dilakukan. - Berapa persen dari penyedia jasa yang - Jumlah  dan  frekuensi pertemuan review. - Jumlah perubahan kontrak.
- Frekuensi laporan tingkat layanan.
- Jumlah  masalah-masalah yang mengemuka.
- Waktu jeda untuk menjernihkan masalah
secara formal dikualifikasi. - Jumlah kontraktor pihak ketiga  dengan  tujuan yang  terdefinisi  dengan baik  dan  hasil  yang diharapkan - Kepuasan yang dirasakan  oleh  kedua belah pihak. - Jumlah kontraktor pihak ketiga yang tidak memenuhi  tujuan  atau tingkat pelayanan. - Berapa  persen  kontrak yang  mengemuka  untuk tinjauan legal. - Waktu  jeda  semenjak tinjauan  kontrak  terakhir terhadap kondisipasar. - Jumlah  kontrak  layanan yang tidak menggunakan istilah standar dan kondisi-kondisi atau pengecualian yang diajukan

## V. KESIMPULAN
Dari pembahasan sebelumnya, dapat menarik kesimpulan sebagai berikut:
1. Dari  hasil  pengujian  terhadap  keefektifan  kontrol sudah  ada  kontrol  yang  berjalan  yaitu  PO8.1. Quality  Management  System ,  PO8.4. Customer Focus , PO8.5 Continuous Improvement dan PO8.6 Quality  Measurement,  Monitoring  and  Review , DS5.9. Malicious  Software  Prevention,  Detection and Correction perlu ditingkatkan dan berkelanjutan
2. Di  Universitas  Methodist  Indonesia  belum maksimalnya mekanisme pemantauan dan pengevaluasian  kinerja  yang  dilakukan  di  kedua unit  Pusat  Sistem  Informasi  hal  ini  terbukti  dari kontrol  yang  ada  pada  domain  Monitor  dan Evaluate yang masih belum maksimal.
3. Berdasarkan  temuan-temuan  yang  ada,  perlu dilakukan peningkatan dalam pengelolaan teknologi  informasi  dengan  menambah  sumber daya  manusia  yang  memiliki  kompetensi  sesuai kebutuhan.
Setelah diketahui bahwa Bagian Pusat Pengolahan Data berada  pada  level  4  ( managed ),  selanjutnya  bisa diajukan beberapa rekomendasi berdasarkan tiap proses COBIT domain untuk membawa  institusi menuju level yang lebih tinggi.

## a. Rekomendasi untuk DS 4
Dari  hasil  pengukuran maturity ,  pada  dasarnya  sudah baik  hanya  perlu  peningkatan  pada  Perbaikan ketersediaan  layanan  yang  proaktif,  Pengawasan ketersediaan  secara  otomatis  terhadap  sejumlah komponen infrastruktur kritis

## b. Rekomendasi untuk DS 5
Melakukan  perbaikan  terhadap  pelaporan yang berkaitan dengan masalah keamanan sistem, Pengadaan training  berkaitan  dengan  keamanan  sistem  bagi pengelola  dan  Melakukan  perencanaan  mengenai keamanan  sistem  dan  solusi  berdasarkan  suatu  proses analisa resiko
c. Rekomendasi untuk DS 11
Pembentukan backup data melalui mekanisme redudansi dan duplikasi, Pengurangan jumlah data yang mengalami inkonsistensi, Memastikan adanya prosedur pengelolaan  data  dengan  berdasarkan  standar  tertentu. Memastikan kesesuaian mekanisme penjagaan integritas  data  yang  diterapkan  dan  Pengawasan integritas secara otomatis terhadap sejumlah komponen infrastruktur kritis.

## DAFTAR PUSTAKA
[1] R.  Sari,  “Audit  Sistem  Informasi  Akademik Perguruan Tinggi (PT) XYZ Menggunakan Kerangka Kerja COBIT 4.1,” pp. 4–9, 2018.
[2] P.  Putra, Audit  Kesesuaian  Tata  Kelola  Teknologi Informasi  Perguruan  Tinggi  Pada  Aspek  IT  Aset, Sumberdaya  Dan  Kapabilitas  Terhadap  Prinsip Good University … . 2018.
[3] C.  Tambunan,  D.  R.  Manalu,  and  J.  F.  Naibaho, “Penerapan  Customer  Relationship  Management Pada  Sistem  Informasi  Pemesanan  Dan  Penjualan Pada Toko Buku Gapura Berbasis Web,” J. Method. , vol. 4, no. 1, pp. 27–31, 2018.
[4] IT Governance Institute, T. Information, S. Audit, C. America,  S.  America,  and  N.  America,  “The  IT Governance  Institute  ®  is  pleased  to  offer  you  this complimentary  download  What :  What :,” Certif. Mag. , 1998.
[5] I.  D.  Sulistyaningtyas,  “Peran  Strategis  Public Relations  di  Perguruan  Tinggi,” J.  ILMU  Komun. , vol. 4, no. 2, pp. 131–144, 2013.
[6] Admin, “Universitas Methodist Indonesia,” Universitas  Methodist  Indonesia ,  2020.  [Online].
Available: https://methodist.ac.id/content.do?tid=sejarah&pid=
32. [Accessed: 10-Apr-2020].
[7] H.  G.  Manullang,  D.  R.  Manalu,  S.  Mahasiswa,  T. Informatika,  and  U.  S.  Utara,  “Perancangan Perangkat  Lunak  Sistem  Absensi  Dengan  Barcode
Card  Pada  Fakultas  Ilmu  Komputer  Universitas Methodist Indonesia,” vol. 1, no. 1, pp. 15–21, 2015.
[8] Admin, “Universitas Methodist Indonesia,”
Universitas  Methodist  Indonesia ,  2020.  [Online]. Available: https://simak.methodist.ac.id/login.do. [Accessed: 10-Apr-2020].
[9] A.  J.  Simanullang,  D.  R.  Manalu,  and  I.  K.  Jaya, “Analisa Persepsi Mahasiswa FIKOM Di Universitas Methodist  Indonesia  Terhadap  Pelayanan  Tenaga Pendidik Menggunakan User Centered Design,” vol. 1, no. 1, pp. 1–6, 2021.
[10] A.  S.  Pardiansyah,  “Audit  Tata  Kelola  Teknologi Informasi  Program  Studi  Sistem  Informasi  Sekolah Tinggi  Manajemen  Informatika  Dan  Komputer  ( STMIK ) Lombok Menggunakan Framework Cobit,” Indones. J. Softw. Eng. Audit , vol. 1, no. 1, pp. 17–25, 2015.
[11] D.  S.  Purnia,  A.  Rifai,  and  S.  Rahmatullah, “Penerapan  Metode  Waterfall  dalam  Perancangan Sistem  Informasi  Aplikasi  Bantuan  Sosial  Berbasis Android,” Semin. Nas. Sains dan Teknol. 2019 , pp. 1–
7, 2019.
[12] ISACA,  “COBIT  Framework,” ISACA ,  2020. [Online]. Available:
https://www.isaca.org/resources/cobit.
[13] itgid.org, “Pengertian COBIT 5 dan Fungsinya Untuk Information  Security,” itgid.org ,  2020.  [Online].
Available: https://itgid.org/pengertian-cobit-5/.
[Accessed: 10-Oct-2020].
[14] COBIT,  “COBIT  5  sebagai  IT  Governance Framework,” 2018.
[15] H. Setiawan, “Pembangunan ICT di Indonesia saat ini sudah menerapkan IT Governance. Namun sebenarnya IT Governance adalah konsep yang relatif baru, khususnya di kalangan praktisi ICT Indonesia.
Oleh  sebab  itu,  diperlukan  pemahaman  tentang konsep dan manfaat IT Governan,” J. Sist. Inf. , vol. 2, no. 2, pp. 219–237, 2010.
[16] D.  Setiawan,  “Managing  Control  Object  for  IT (COBIT)  Sebagai  Standar  Framework  Pada  Proses Pengelolaan  IT-Governance  Dan  Audit  Sistem Informasi,” J. Teknol. Inf. , vol. VII, no. August, pp. 1–14, 2012.
[17] M.  Maskur,  N.  Adolong,  and  R.  Mokodongan, “Implementasi  Tata  Kelola  Teknologi  Informasi Menggunakan Framework Cobit 5 Di Bpmptsp Bone Bolango,” Masy.  Telemat.  Dan  Inf.    J.  Penelit. Teknol. Inf. dan Komun. , vol. 8, no. 2, p. 109, 2018.
[18] A. Purwanto and R. Dirgahayu, “Pengukuran Tingkat Kematangan Tata Kelola Pengelolaan Permasalahan Sistem  Informasi  Menggunakan  Kerangka  Kerja COBIT  4.1  (Studi  Kasus:  Sistem  Informasi,” Juita , vol. V, no. November, pp. 103–113, 2017.
[19] L.  Kurniawati,  “Audit  Keamanan  Sistem  Informasi Perusahaan  Dengan  Kerangka  Kerja  Cobit  4.1,”
Paradig. Komput. dan Inform. , vol. 15, no. 1, pp. 81– 88, 2013.
[20] S.  S.  Kardono,  “Pengendalian  Internal  Pengelolaan Informasi  dengan  Framework  COBIT  4.1  Domain ME  2  (Studi  Kasus  Dinas  Komunikasi  dan Informatika  Kabupaten  Madiun),” J.  Komunikasi, Media dan Inform. , vol. 7, no. 3, pp. 145–154, 2018.