## Institut Riset dan Publikasi Indonesia (IRPI)
MALCOM: Indonesian Journal of Machine Learning and Computer Science
Journal Homepage: https://journal.irpi.or.id/index.php/malcom Vol. 4 Iss. 2 April 2024, pp: 433-442 ISSN(P): 2797-2313 | ISSN(E): 2775-8575

## Analysis of Information Technology Risk Management at KPU Using Cobit 5 Domain APO12

## Analisis Manajemen Risiko Teknologi Informasi pada KPU Menggunakan Cobit 5 Domain APO12
Muhammad Aldi Wirayudha 1 , Novriyanto 2* , Teddie Darmizal 3 , Lola Oktavia 4
1,2,3,4 Program Studi Teknik Informatika, Fakultas Sains dan Teknologi, Universitas Islam Negeri Sultan Syarif Kasim Riau, Indonesia
E-Mail: 1 11950115123@students.uin-suska.ac.id, 2 novriyanto@uin-suska.ac.id,
3 teddie.darmizal@uin-suska.ac.id, 4 lola.oktavia@uin-suska.ac.id
Received Nov 13th 2023; Revised Jan 05th 2024; Accepted Feb 05th 2024 Corresponding Author: Novriyanto

## Abstract
The  General  Election  Commission  is  a  state  institution  that  organizes  general  elections  in  Indonesia.  As  an  election organizer, the use of information technology is very important to support business operations and improve organizational quality. Therefore, it is important for state institutions to implement information technology risk management, especially at  the  XYZ  Regency  General  Election  Commission  to  prevent  risk  losses  and  increase  the  efficacy  and  efficiency  of information technology risk management. Information technology risk management at the XYZ Regency KPU has not been maximized so that it is vulnerable to risk events that can have a negative impact on the implementation of its responsibilities. The analysis of information technology risk management at the XYZ Regency General Election Commission, especially in the aspects of data security, information systems, and IT infrastructure, aims to assess the capability level using the COBIT 5 framework domain APO12 which specifically regulates risk management. The organizational capability value determined based on the APO12 domain analysis is 1.35, which indicates that the organization has reached capability level 1 (process performed).  It  means  that  the  information  technology  risk  management  process  has  been  implemented,  but  it  is  still unstructured and inconsistent. In order for the APO12 process to reach level 2 (controlled process), a gap of 1 was found in each of its subdomains. Based on the gap analysis, improvement suggestions are given. These recommendations will be the basis for assessing information technology risk management at the XYZ Regency KPU in the future.
Keyword: APO12, Capability Level, COBIT 5, IT Governance, Risk Management

## Abstrak
Komisi  Pemilihan  Umum  adalah  lembaga  negara  yang  menyelenggarakan  pemilihan  umum  di  Indonesia.  Sebagai penyelenggara  pemilu,  pemanfaatan  teknologi  informasi  sangat  penting  untuk  mendukung  operasional  bisnis  dan meningkatkan  kualitas  organisasi.  Oleh  karena  itu,  penting  bagi  lembaga  negara  untuk  menerapkan  pengelolaan  risiko teknologi informasi khususnya pada Komisi Pemilihan Umum Kabupaten XYZ guna mencegah terjadinya kerugian risiko serta meningkatkan efikasi dan efisiensi manajemen risiko teknologi informasi. Pengelolaan risiko teknologi informasi di KPU Kabupaten XYZ belum maksimal sehingga rentan terhadap kejadian risiko yang dapat berdampak negatif terhadap pelaksanaan tanggung jawabnya. Analisis manajemen risiko teknologi informasi di Komisi Pemilihan Umum Kabupaten XYZ khususnya pada aspek keamanan data, sistem informasi, dan infrastruktur TI bertujuan untuk menilai capability level dengan  menggunakan  framework  COBIT  5  domain  APO12  yang  secara  khusus  mengatur  manajemen  risiko.  Nilai kapabilitas  organisasi  yang  ditentukan  berdasarkan  analisis  domain  APO12  adalah  1,35  yang  menunjukkan  bahwa organisasi  telah  mencapai  level  kapabilitas  1  (proses  yang  dilakukan).  Artinya,  proses  manajemen  risiko  teknologi informasi  telah  diterapkan,  namun  masih  belum  terstruktur  dan  tidak  konsisten.  Agar  proses  APO12  mencapai  level  2 (proses  terkontrol),  ditemukan  celah  1  di  setiap  subdomainnya.  Berdasarkan  analisis  kesenjangan,  diberikan  saran perbaikan. Rekomendasi ini akan menjadi landasan penilaian manajemen risiko teknologi informasi di KPU Kabupaten XYZ ke depan.
Kata Kunci: APO12, Capability Level, COBIT 5, Manajemen Risiko, Tata Kelola TI

## 1. PENDAHULUAN
Karena teknologi informasi (TI) dapat membantu meningkatkan efektivitas dan efisiensi operasional, teknologi  informasi  (TI)  telah  menjadi  kebutuhan  penting  bagi  hampir  semua  bisnis  dan  organisasi.  Oleh karena itu, agar TI dapat mendukung keberhasilan organisasi dalam mencapai tujuannya seefektif mungkin, diperlukan administrasi TI yang tepat dan efisien [1]. Karena teknologi informasi kini merupakan aset paling berharga bagi setiap organisasi, ancaman harus selalu diperhitungkan [2]. Dengan demikian, organisasi dapat memanfaatkan TI secara optimal untuk mencapai tujuan strategisnya.
Teknologi informasi adalah sektor utama dalam bisnis dan selalu berkembang. Organisasi harus hati- hati mempertimbangkan tata kelola saat menggunakan teknologi informasi (TI), yang mencakup proses bisnis, struktur organisasi, dan kepemimpinan. Sesuai dengan strategi dan tujuan organisasi, hal ini berupaya untuk menjamin  pertumbuhan  adopsi  TI  di  dalam  perusahaan.  Untuk  mencegah  atau  membatasi  potensi  kerugian semaksimal mungkin, penerapan teknologi informasi (TI) yang penting ini perlu didukung oleh regulasi dan tindakan  administratif  yang  efisien[3].  Sebagai  salah  satu organisasi  yang  mengadopsi  TI,  KPU  Kabupaten XYZ perlu menerapkan tata kelola TI yang efektif untuk meminimalkan risiko.
Salah  satu  instansi  pemerintah  yang  terlibat  dalam  penyelenggaraan  pemilu  adalah  KPU  Kabupaten XYZ.  Pembentukan  ini  bersifat  demokratis,  dan  tugasnya  adalah  mempersiapkan  segala  sesuatunya  untuk berlangsungnya pemilihan umum [4]. Teknologi informasi telah dimanfaatkan KPU Kabupaten XYZ sebagai strategi untuk mendukung proses bisnis dan meningkatkan kualitas organisasi di industri teknologi informasi. Meskipun  penggunaan  teknologi  informasi  mempunyai  keuntungan,  ada  juga  bahaya  yang  harus dipertimbangkan  yang  dapat  mengakibatkan  kerugian  [5].  Oleh  karena  itu,  KPU  Kabupaten  XYZ  perlu melakukan analisis manajemen risiko.
Untuk  mengidentifikasi,  mengevaluasi,  dan  memitigasi  risiko  yang  mungkin  terjadi  saat  ini,  perlu dilakukan analisis risiko karena KPU Kabupaten XYZ belum pernah melakukan proses pengkajian manajemen risiko  TI.  Oleh  karena  itu,  tujuan  penelitian  ini  adalah  menerapkan kerangka  COBIT  5  sebagai  pendekatan holistik guna mengurangi dampak kerugian dan meningkatkan efektivitas organisasi dalam mengelola risiko. Risiko adalah serangkaian hasil yang dapat terjadi sepanjang waktu [6], Risiko merupakan kejadian yang tidak dapat dihindari dan memiliki konsekuensi negatif terhadap pencapaian tujuan yang ingin direalisasikan  [7], Pengetahuan yang mendalam mengenai risiko Teknologi Informasi memiliki peran penting dalam mendorong penelitian ini untuk melakukan studi yang melibatkan analisis mendalam terhadap risiko TI  [8], Manajemen risiko  adalah  suatu  proses  yang  melibatkan  kegiatan  pengelolaan  untuk  mengatasi  risiko  yang  timbul,  baik dalam konteks organisasi maupun masyarakat secara umum  [9], Manajemen risiko melibatkan pemahaman, identifikasi, dan evaluasi terhadap potensi risiko yang mungkin terjadi [10]. Manajemen risiko dapat dilakukan dengan berbagai framework dan tools, salah satunya adalah COBIT 5.
Auditor menggunakan kerangka COBIT 5 untuk mengevaluasi dan meningkatkan tata kelola TI  [11]. Dengan  berfokus  pada  setiap  aspek  tata  kelola  teknologi  informasi,  COBIT  5  mengambil  pendekatan komprehensif terhadap manajemen teknologi informasi, menjamin pencapaian nilai maksimal dari teknologi. Kerangka kerja ini membahas sejumlah topik tata kelola teknologi informasi yang penting, termasuk manusia, layanan,  infrastruktur,  aplikasi,  keterampilan,  dan  kompetensi  yang  mendukung  tata  kelola  TI  yang  efisien [12]. Organisasi dapat mencapai tujuannya dalam tata kelola dan manajemen teknologi informasi organisasi dengan bantuan kerangka komprehensif yang disediakan oleh COBIT 5 [13]. Tujuan utama COBIT 5 adalah untuk memberikan pedoman dan arahan dalam mengelola dan mengatur teknologi informasi disuatu organisasi atau perusahaan [14]. Dalam penelitian ini, penelitian ini akan menggunakan domain APO12 yang berkaitan dengan manajemen risiko. Domain APO berperan penting dalam memanfaatkan TI untuk mendukung tujuan organisasi, khususnya dalam konteks manajemen risiko TI di KPU Kabupaten XYZ [15].
Novitasari  Butarbutar  sebelumnya  menggunakan framework COBIT  5  untuk  melakukan  analisis manajemen risiko di Yayasan Bina Darma. Permasalahan Yayasan Bina Darma dalam penelitian ini adalah kurangnya  analisis  manajemen  risiko  dan  perlunya  mengurangi  potensi  kerugian  ketika  menggunakan teknologi informasi. Yayasan Bina Darma dapat menggunakan informasi ini untuk meningkatkan efektivitas inisiatif  manajemen  risiko.  Berdasarkan  temuan  penelitian,  Yayasan  Bina  Darma  menggunakan  domain APO12  untuk  mengelola  risiko  pada  level  1.  Saran  tersebut  juga  menekankan  pentingnya  prosedur  operasi standar  (SOP)  dalam  pemeliharaan  komputer  dan  sistem  serta  persyaratan  dokumentasi  yang  jelas  dalam identifikasi dan penilaian. manajemen risiko [16].
Penelitian      dilakukan  oleh  Hesti  Ani  Novita  Sari  yang  menggunakan  COBIT  5  untuk  menganalisis manajemen  risiko  TI  di  Diskominfo  Salatiga.  Penelitian  ini  berfokus  pada  domain  APO12  dan  mencakup wilayah yang sama dengan peneliti. Permasalahan dalam penelitian ini adalah pengelolaan teknologi informasi (TI) melibatkan sejumlah bahaya bagi Dinas Informasi dan Komunikasi Salatiga (DISKOMINFO), antara lain kehilangan data, gangguan server, dan infeksi virus komputer. Studi ini berhasil mengidentifikasi risiko yang berpotensi membahayakan dan memberikan saran untuk memitigasi potensi kerugian [15].
Dengan menggunakan framework COBIT 5, Rievaldy Ardhyka dan rekan-rekannya melakukan studi lanjutan pada Domain APO12 dengan konsentrasi pada PT. XYZ, untuk menyelidiki analisis manajemen risiko TI. Permasalahan yang ditemukan dalam penelitian kami adalah manajemen risiko TI PT belum berada pada
kondisi terbaiknya. XYZ, yang dapat mengakibatkan kerugian moneter dan dampak merugikan lainnya pada bisnis. Tujuan dari penelitian ini adalah untuk mengatasi permasalahan tersebut dengan mengkaji manajemen risiko  TI  PT.  XYZ  menerapkan  metodologi  COBIT  5,  khususnya  di  area  APO12.  Temuan  analisis  ini menyoroti potensi bahaya yang membahayakan dan menawarkan strategi mitigasi terhadap potensi kerugian. Lebih jauh lagi, penilaian kompetensi manajemen TI Domain APO12 mengungkapkan bahwa, meskipun level 5 (proses optimalisasi) mewakili tingkat kompetensi yang diharapkan ( To Be ) untuk mengelola risiko TI, level 4 (proses yang dapat diprediksi) mewakili keadaan saat ini ( As Is ) [17].
Penyelidikan lebih lanjut oleh Destya Khairuna dan rekan. Tentang evaluasi manajemen risiko TI di kantor pusat Bank Perkreditan Rakyat (BPR). Permasalahan di kantor pusat BPR adalah masih terjadi human error dan kesalahan teknis. Misalnya saja salah ejaan, server mati secara tidak terduga, koneksi internet tiba- tiba terputus, stabilitas menurun, dan lain sebagainya. Selain itu, tidak ada tim khusus di kantor pusat BPR untuk  menangani  risiko  terkait  TI.  Dengan  demikian,  kerangka  COBIT  5  domain  APO12  digunakan  untuk melakukan evaluasi manajemen risiko TI. Teknik ini diterapkan secara metodis dan mendalam, sesuai dengan hasil  evaluasi  tingkat  kapasitas,  namun  masih  perlu  ditingkatkan.  Level  1  (Proses  yang  Dilakukan)  adalah tingkat kapasitas saat ini, dengan peringkat Tercapai Sebagian Besar sebesar 50,8%. Level 2 (Proses Terkelola) adalah level yang diinginkan yang harus dicapai [18].
Dalam  penelitian  selanjutnya,  Firza  Zukhriadna  Afriliandra  dan  rekannya  meneliti  tata  kelola manajemen risiko teknologi informasi PT dan potensi bahaya TI yang timbul dari sistem yang dikembangkan klien. Sayangnya, organisasi tidak dapat menentukan skenario risiko TI dan menghentikan terulangnya risiko karena mereka belum mencatat secara memadai risiko TI yang diketahui. Meskipun demikian, karena tingginya volume aktivitas perusahaan, manajemen risiko TI harus dioptimalkan untuk mencegah kemacetan operasional. Temuan  studi  ini  menunjukkan  bahwa  tingkat  kapabilitas  PT  Oleh  karena  itu,  disarankan  agar  perusahaan meningkatkan cara mereka menerapkan manajemen risiko TI [19].
Penelitian  ini  memiliki  kesamaan  dengan  penelitan  sebelumnya  dalam  penerapan  COBIT  5  domain APO12 untuk analisis manajemen risiko TI. Perbedaan penelitian ini dan penelitian sebelumnya terletak pada lokasi  penelitian  yang  berbeda.  Setiap  lokasi  penelitian  pasti  memiliki  perbedaan  dalam  manajemen  risiko teknologi informasi. Oleh karena itu, penelitian ini berfokus di KPU Kabupaten XYZ.
Salah satu hal terpenting di organisasi pemerintah adalah menerapkan manajemen risiko TI. khususnya di KPU Kabupaten XYZ. Sayangnya, KPU belum melakukan analisis manajemen risiko TI, khususnya terkait sistem informasi, keamanan data, dan infrastruktur TI. Karena keadaan ini, KPU lebih rentan terhadap kejadian risiko  TI,  yang  dapat  berdampak  negatif  terhadap  pelaksanaan  tanggung  jawab  dan  operasional  organisasi. Oleh  karena  itu,  dengan  menggunakan  kerangka  COBIT  5  sebagai  acuan,  maka  perlu  dilakukan  analisis manajemen risiko TI guna meningkatkan efikasi dan efisiensi manajemen risiko TI di KPU Kabupaten XYZ.
Sehubungan dengan hal tersebut, KPU Kabupaten XYZ harus melakukan kajian manajemen risiko TI dengan penekanan pada keamanan data, sistem informasi, dan infrastruktur TI. Tujuan analisis ini adalah untuk menilai tingkat kapasitas dengan menerapkan kerangka COBIT 5 domain APO12 yang berfokus pada regulasi manajemen  risiko.  Domain  APO12  dipilih  karena  penekanannya  pada  manajemen  risiko  TI.  Tujuan  dari penelitian  ini  adalah untuk  menentukan  nilai  tingkat kapabilitas  proses  APO12  dalam  manajemen  risiko  TI baik pada kondisi saat ini ( As Is ) maupun yang diantisipasi ( To Be ). Rekomendasi yang dihasilkan dari proses ini selanjutnya akan menjadi landasan penilaian manajemen risiko TI di KPU Kabupaten XYZ ke depan.

## 2. METODOLOGI PENELITIAN
Tujuan penerapan metodologi penelitian adalah untuk memastikan bahwa penelitian dilakukan secara terencana dan teratur, dengan langkah-langkah yang terukur dan jelas. Hal ini bermaksud untuk meningkatkan keandalan dan kualitas hasil penelitian. Hal ini juga dapat mempermudah penelitian ini dalam menilai tingkat keberhasilan dan memantau kemajuan penelitian. Selain itu, metodologi penelitian juga dapat digunakan untuk menentukan hasil yang diharapkan dari setiap langkah penelitian.

## 2.1. Tahapan Penelitian
Tahapan yang dilakukan dalam penelitian dapat dilihat pada Gambar 1. Berdasarkan tahapan-tahapan yang tergambar dalam Gambar 1, langkah-langkah penelitian dapat dijabarkan sebagai berikut:
1. Perumusan Masalah
Rumusan  masalah  penelitian  berfungsi  sebagai  langkah  awal  dalam  proses  penelitian.  Tahap  awal penelitian  ini  dikhususkan  untuk  mengkaji  permasalahan  yang  mengemuka  pada  manajemen  risiko teknologi informasi KPU Kabupaten XYZ.
2. Studi Literatur
Selama fase tinjauan literatur, penelitian ini menelusuri buku, jurnal, dan laporan untuk mendapatkan informasi dan data mengenai manajemen risiko, APO12, dan COBIT 5.
3. Metode Pengumpulan Data
Pada tahapan ini dilakukan beberapa proses:
a. Observasi
Penelitian  ini  melakukan  observasi  guna  mengumpulkan  rangkuman  kajian  manajemen  risiko  TI yang dilakukan KPU Kabupaten XYZ.
b. Kuesioner
Pernyataan dalam kuesioner berasal dari prosedur APO12. Selanjutnya dipilih narasumber sesuai dengan Diagram RACI guna memudahkan pendistribusian kuesioner dan mengetahui peran masing- masing  pihak,  khususnya  pelaksana  tugas (Responsible), memikul  tanggung  jawab  penuh (Accountable), memberikan masukan (Consulted) , dan menerima informasi (Informed) [20].
c. Wawancara
Dalam upaya mendapatkan informasi lebih mendalam mengenai manajemen risiko TI di lingkungan KPU Kabupaten XYZ, digunakan metode wawancara. Pelaksanaan wawancara dilakukan bersama staf di divisi perencanaan, data, dan informasi. Pelaksanaan wawancara dilakukan pasca penyebaran kuesioner yang bertujuan sebagai parameter penilaian konsistensi antara hasil wawancara dan hasil kuesioner.
Gambar 1. Tahapan Penelitian
4. Analisis Data
Dalam proses ini, analisis data kuesioner dilakukan dengan memanfaatkan Skala Likert. Skala Likert berfungsi sebagai instrumen untuk menilai pandangan seseorang terhadap kondisi tertentu [21].   adalah tabel yang memperlihatkan nilai Skala Likert:
Tabel 1. Skala likert
Kemudian untuk merangkum jawaban kuesioner, penelitian ini menggunakan rumus 1.
𝐷  = ( 𝐹 𝑅×𝑝 )   × 100% (1)
Keterangan:
D = Distribusi jawaban (persentase)
F = Frekuensi skor pilihan R = Total responden P = Total pernyataan Jawaban Nilai Proses tidak ada 0 Proses ada, tetapi belum berjalan dengan baik. 1 Proses berjalan dengan baik, tetapi belum didukung oleh kebijakan dan prosedur yang jelas. 2 Proses berjalan dengan baik, didukung oleh kebijakan dan prosedur yang jelas, serta mampu mencapai tujuan yang diinginkan. 3 Proses berjalan dengan baik, didukung oleh kebijakan dan prosedur yang jelas, serta mampu mencapai tujuan yang diinginkan secara konsisten. 4 Proses berjalan dengan baik, didukung oleh kebijakan dan prosedur yang jelas, serta mampu mencapai tujuan yang diinginkan secara konsisten, dan terus diperbaiki. 5
Selanjutnya menerapkan rumus   untuk menentukan nilai dan derajat kemampuan, dengan menggunakan rumus pada persamaan 2.
𝑁𝑘 = (∑ 𝐷0×𝑇𝑙0)+(∑ 𝐷1×𝑇𝑙1)+(∑ 𝐷2×𝑇𝑙2)+(∑ 𝐷3×𝑇𝑙3)+(∑ 𝐷4×𝑇𝑙4)+(∑ 𝐷5×𝑇𝑙5) 100
(2)
Keterangan:
Nk = Nilai kapabilitas ∑ 𝐷 = Total distribusi jawaban
Tl = Tingkat level
Mengikuti prosedur ini, skala pembulatan akan digunakan untuk membulatkan nilai yang dihitung dari kuesioner menjadi nilai keseluruhan. Skala pembulatan adalah skala yang menunjukkan rentang nilai dan level kapabilitas yang digunakan dalam penelitian ini. Alasan menggunakan skala ini adalah untuk mengubah  nilai  kapabilitas  yang  diperoleh  dari  rumus  menjadi  nilai  bulat  yang  sesuai  dengan level kapabilitas COBIT 5. Skala pembulatan ditunjukkan pada tabel 2.
Tabel 2. Skala pembulatan Jangkauan Nilai Nilai Kapabilitas Proses Kapabilitas 0 – 0,50 0 Non-existent 0,51 – 1,50 1 Performed 1,51 – 2,50 2 Managed 2,51 – 3,50 3 Estabilished 3,51 – 4,50 4 Predictable 4,51 – 5,00 5 Optimized
Tabel 2 menjelaskan enam tingkat proses kapabilitas, yaitu:
1.  Level 0: Proses tidak ada.
2.  Level 1: Proses ada, tetapi penerapannya tidak terstruktur atau konsisten.
3.  Level 2: Proses telah dikendalikan dan dikelola secara konsisten.
4.  Level 3: Proses telah ditetapkan dan digunakan untuk mencapai hasil yang diinginkan.
5.  Level 4: Hasil proses dapat diprediksi secara konsisten.
6.  Level 5: Proses telah dioptimalkan melalui pembelajaran dan inovasi berkelanjutan [22], [23].
Analisis  kesenjangan  kemudian  dilakukan  setelah  penentuan  tingkat  kapabilitas.  Untuk  mengetahui adanya  kesenjangan  antara  tingkat  kompetensi  aktual  dan  yang  diharapkan,  dilakukan gap  analysis . Rumus ini dapat digunakan untuk melakukan analisis kesenjangan:
𝐺𝐴𝑃 =  𝐸𝑥𝑝𝑒𝑐𝑡𝑒𝑑 𝑙𝑒𝑣𝑒𝑙 𝑐𝑎𝑝𝑎𝑏𝑖𝑙𝑖𝑡𝑦 –  𝑙𝑒𝑣𝑒𝑙 𝑐𝑎𝑝𝑎𝑏𝑖𝑙𝑖𝑡𝑦 (3)
5. Rekomendasi
Berdasarkan  hasil  analisis  data  yang  telah  selesai,  dapat  diberikan  saran  perbaikan.  Jika  terdapat perbedaan antara tingkat kompetensi yang diharapkan dan saat ini, maka akan diberikan rekomendasi. Adanya gap tersebut dapat menjadi landasan untuk perbaikan dalam perusahaan atau organisasi pada masa  mendatang,  sekaligus  sebagai  langkah  preventif  untuk  mengurangi  risiko  terjadinya permasalahan.
6. Kesimpulan
Tahap ini merangkum hasil analisis data yang telah dilakukan.

## 2.2. COBIT 5
COBIT, singkatan dari Control Objectives for Information and Related Technologies , merupakah suatu landasan  manajemen  dan  pengelolaan  TI  yang  diperkenalkan  oleh  ISACA.  COBIT  5  adalah  hasil pengembangan  dan  perluasan  dari  versi  sebelumnya,  yaitu COBIT  4.1.  Fokus  utamanya adalah  pada  aspek bisnis, mencakup serangkaian proses umum untuk mengelola TI di dalam suatu organisasi. Setiap proses yang terdapat dalam COBIT dijelaskan secara rinci, termasuk tujuan proses, aktivitas utama, proses input dan output, indikator kinerja, dan model kematangan dasar.
COBIT 5 dirancang untuk membantu organisasi menciptakan nilai dari inisiatif TI mereka, mengelola manajemen risiko, dan mengoptimalkan penggunaan sumber daya. COBIT 5 juga memberikan panduan bagi organisasi  untuk  menggabungkan  standar,  peraturan,  pedoman,  dan  praktik  terbaik  yang  sesuai  dengan
karakteristik unik masing-masing organisasi. Penggunaan COBIT 5 memberikan organisasi landasan penilaian yang  baik  untuk  pengembangan  kebijakan  dan  praktik  TI  yang  sesuai  dengan  kebutuhan  dan  tujuan mereka[24].  COBIT  5  telah  dikembangkan  dengan  memuat  lima  domain  yang  masing-masing  memiliki penjelasan dan panduan yang rinci dan luas serta memiliki tujuan yang berbeda. Salah satunya adalah domain APO (Align, Plan and Organise).

## 2.3. Domain APO12
APO, singkatan dari Align, Plan, and Organize , merupakan salah satu domain dalam kerangka kerja COBIT 5. Domain APO memberikan arahan terkait perencanaan, penyesuaian, dan organisasi sumber daya teknologi  informasi  agar  sesuai  dengan  strategi  dan  tujuan  bisnis.  Fokus  utama  APO  adalah  meningkatkan efisiensi dan efektivitas TI guna mendukung penciptaan nilai bagi pemangku kepentingan. Terdapat 13 proses dalam  domain  APO  pada  COBIT  5  yang  mencakup  arsitektur,  pengelolaan  strategi,  inovasi,  portofolio, kualitas, anggaran, risiko, dan keamanan TI[25]. Salah satu proses di dalamnya adalah APO12 yang terkait dengan pengelolaan risiko
APO12  adalah  domain  dalam  COBIT  5  yang  mengatur  tentang  pengelolaan  risiko  TI.  Domain  ini bertujuan untuk membantu organisasi mengelola risiko TI dengan efektif, sehingga aset TI terlindungi, tujuan bisnis tercapai, dan dampak negatif risiko TI dapat dikurangi. Dalam APO12 terdapat 6 sub domain proses, yaitu:
1. APO12.01 (Mengumpulkan data)
Tujuan dari subdomain proses ini adalah untuk menemukan dan mengumpulkan informasi yang relevan untuk identifikasi risiko, analisis, dan pelaporan yang berkaitan dengan TI.
2. APO12.02 (Menganalisa risiko)
Sub domain proses ini diperlukan untuk menentukan tingkat kemungkinan dan keparahan terjadinya risiko yang sudah diidentifikasi sebelumnya.
3. APO12.03 (Menjaga profil risiko) Bahaya yang diketahui serta karakteristik risiko termasuk frekuensi risiko, kemungkinan dampak, dan reaksi dicatat dalam subdomain proses ini. Selain itu, kemampuan saat ini dan tindakan kontrol dicatat.
4. APO12.04 (Mengutarakan risiko) Sub domain proses ini bertujuan untuk memberikan informasi tentang kondisi terkini dari risiko TI yang sudah diketahui, dianalisa, dan dicatat kepada pemangku kepentingan.
5. APO12.05 (Menetapkan suatu tindakan manajemen risiko) Sub domain proses ini digunakan dalam menentukan tindakan yang perlu diambil untuk mengurangi risiko.
6. APO12.06 (Menanggapi risiko)
Sub domain proses ini digunakan untuk mengkaji kembali kejadian risiko dimasa lalu guna mengetahui penyebabnya  dengan  tujuan  untuk  kebutuhan  respon  risiko  kedepannya  dan  mencegah  besarnya kerugian akibat kejadian yang berhubungan dengan TI.

## 3. HASIL DAN PEMBAHASAN
3.1. Pengumpulan Data

## 3.1.1. Identifikasi RACI Chart
Diagram RACI merupakan metode untuk mengilustrasikan hubungan antara peran dan aktivitas yang terlibat  dalam  setiap  proses.  Dalam  konteks  COBIT  5,  penggambaran  diagram  RACI  mempertimbangkan peran pihak yang bertanggung jawab ( Responsible ), yang memiliki tanggung jawab penuh ( Accountable ), yang memberikan masukan ( Consulted ), dan yang diberi informasi ( Informed ). Diagram RACI  berfungsi sebagai panduan  untuk  menentukan  pihak  internal  yang  sesuai  untuk  dilibatkan  dalam  proses  pengisian  kuesioner. Hasil dari pemetaan diagram RACI di divisi perencanaan, data, dan informasi pada Komisi Pemilihan Umum Kabupaten XYZ untuk domain APO12 tertera pada tabel 3.
Tabel 3. Diagram RACI No RACI JABATAN 1 Responsible Penyusun Program dan Anggaran Kepala Sub Bagian Kepala Sub Bagian Koordinator Bagian 2 Accountable 3 Consulted 4 Informed
Pada tabel 3, Pemetaan diagram RACI yang sudah dilakukan oleh penelitian ini diperoleh 4 responden yang terdiri dari 1 koordinator bagian, 1 kepala sub bagian, 1 penyusun program dan anggaran, dan 1 staf pada divisi perencanaan, data dan informasi di Komisi Pemilihan Umum Kabupaten XYZ.

## 3.1.2. Hasil Temuan Observasi
Data  yang  diperoleh melalui pengamatan  langsung di  KPU  divisi  perencanaan,  data  dan  informasi adalah penelitian ini mendapati bahwa di KPU belum pernah dilakukan analisis tentang risiko TI. Data temuan pada tabel 4, diperoleh melalui bukti checklist kuesioner yang ditunjukkan pada tabel 4.
Tabel 4. Data Temuan No Sub-Domain Proses Data Temuan 1 APO12.01 – Mengumpulkan data KPU  Kabupaten  XYZ  telah  mulai  mengumpulkan  data  terkait  risiko  TI, seperti perangkat komputer yang mengalami kerusakan, jaringan internet yang kadang  tidak  stabil, server pada  sistem  informasi  kadang  mengalami down , kesalahan input data  oleh  staf,  tetapi  belum  memiliki  format  atau  pedoman resmi  untuk  pengumpulan  data  tersebut.  KPU  hanya  mengumpulkan  data risiko TI pada saat terjadi insiden TI. 2 APO12.02 – Menganalisa risiko Saat  terjadinya  risiko  TI,  pihak  KPU  melakukan  analisis  terkait  biaya pengeluaran  dan  manfaat  terhadap  risiko  TI.  Proses  analisis  risiko  masih belum  mempunyai  SOP,  serta  tidak  memperkirakan  tingkat  kemungkinan, keparahan,  dan  seberapa  sering  ataupun  seberapa  besar  kerugian  maupun keuntungan yang mungki nterjadi akibat risiko TI. 3 APO12.03 – Menjaga profil risiko KPU  memiliki  daftar  semua  proses  bisnis  serta  KPU  memiliki  layanan  dan infrastruktur  TI  yang  penting  dalam  menjalankan  proses  bisnis.  Contohnya seperti sistem informasi data pemilih dan infrastruktur TI yang digunakan oleh KPU  meliputi  perangkat  keras  dan  jaringan.  Namun  KPU  belum  pernah melakukan  dokumentasi  secara  lengkap  terkait  risiko  yang  pernah  terjadi. Tidak adanya pendokumentasian atribut risiko seperti frekuensi risiko, potensi dampak, dan aktivitas pengendalian saat ini. 4 APO12.04 – Mengutarakan risiko Dalam mengutarakan risiko, KPU menyampaikan hasil analisis risiko kepada pemangku  kepentingan  yang  terlibat.  Namun  KPU  tidak pernah melakukan penilaian terhadap tata kelola TI oleh pihak ketiga seperti seorang auditor atau konsultan  TI.  KPU  juga  tidak  memiliki  proses  formal  untuk mengkomunikasikan risiko kepada pemangku kepentingan. 5 APO12.05 – Menetapkan suatu tindakan manajemen risiko KPU  memastikan  bahwa  setiap  bagian  dari  organisasinya  memantau  dan bertanggung  jawab  untuk  mengurangi  risiko.  KPU  tidak  memiliki  daftar lengkap  langkah-langkah  yang  diambil  untuk  mengurangi  risiko  dan  tidak memiliki rencana untuk mengurangi risiko. 6 APO12.06 – Menanggapi risiko Saat terjadi peristiwa risiko TI, pihak KPU langsung memberikan tanggapan yang  sesuai  terhadap  risiko  itu  untuk  meminimalkan  dampak  dari  insiden tersebut.

## 3.2. Analisis Data
3.2.1. Hasil Capability Level APO12
ini adalah hasil dari perhitungan capability level yang berasal dari bukti checklist kuesioner yang sudah diisi oleh para responden. Hasil dari pengisian kuesioner dihitung menggunakan rumus yang sudah dijabarkan diatas, sehingga menghasilkan nilai kapabilitas yang ditunjukkan pada tabel 5.
Tabel 5 . Nilai kapabilitas APO12
No Sub-domain APO12 Nilai Kapabilitas Capability Level As is To be As is To be 1 APO12.01 1,28 2,00 1 2 2 APO12.02 1,32 2,00 1 2 3 APO12.03 1,28 2,00 1 2 4 APO12.04 1,65 2,00 2 3 5 APO12.05 1,41 2,00 1 2 6 APO12.06 1,16 2,00 1 2 Rata-rata 1,35 2,00 1 2
Nilai kapabilitas proses APO12.01 sebesar 1,28 dengan tingkat kapabilitas kondisi saat ini berada pada level 1, sesuai temuan perhitungan dari kuisioner yang berjumlah total 36 pernyataan pada seluruh subdomain proses APO12, berdasarkan data pada Tabel 5. Proses APO12.02 memiliki nilai kapabilitas 1,32 dan tingkat kapabilitasnya saat ini adalah level 1. Tingkat kapabilitas kondisi saat ini untuk proses APO12.03 berada pada
level 1,  dengan  nilai  kapabilitas  sebesar  1,28.  Selain  itu,  nilai  kemampuan  1,65  didapatkan  pada  proses APO12.04, dan level 2 adalah tingkat kemampuan saat ini. Tingkat kapabilitas kondisi saat ini untuk proses APO12.05  berada  pada level 1,  dengan  nilai  kapabilitas  sebesar  1,41.  Pada  akhirnya,  proses  APO12.06 memiliki nilai kapabilitas 1,16, dan tingkat kapabilitas status saat ini berada pada level 1. Hasilnya, rata-rata kompetensi  APO12  di  enam  sub-domainnya  adalah  1,35,  yang  berarti  organisasi  telah  mencapai level kapabilitas 1 (performed process).

## 3.2.2. Analisis GAP
GAP digunakan dalam penelitian ini untuk menunjukkan perbedaan antara kondisi yang diinginkan ( to be ) dan kondisi sebenarnya ( as is ). Rata-rata kemampuan saat ini (as is) untuk domain APO12 adalah 1,35 dengan tingkat kemampuan 1, menurut studi kemampuan yang sebelumnya dilakukan pada domain APO12. Sedangkan level 2 adalah tujuan yang ingin dicapai ( to b e). Hal ini menunjukkan bahwa proses APO12 telah mencapai  level  1  yang  berarti  proses  tersebut  sudah  berjalan  ( performed  process ),  khususnya  pada  bagian perencanaan data dan informasi KPU Kabupaten XYZ terkait manajemen risiko. Akibatnya, nilai GAP proses APO12 adalah 1.

## 3.3. Rekomendasi
ini adalah beberapa rekomendasi yang diberikan untuk proses domain APO12 yang ditunjukkan pada tabel 6.
Tabel 6. Rekomendasi No Sub-Domain Proses Rekomendasi 1 APO12.01 Perlunya melakukan pengembangan kebijakan dan prosedur untuk mengumpulkan data risiko TI. Dalam hal ini, KPU perlu menganalisis data risiko yang bersumber dari masa lalu, mengelompokkan data yang telah dikumpulkan mengenai peristiwa risiko yang mirip, serta mengidentifikasi faktor-faktor yang menyebabkannya. 2 APO12.02 Perlunya  melakukan  penyusunan  SOP  yang  jelas  untuk  proses  analisis  risiko  TI. Proses analisis risiko TI mencakup tingkat kemungkinan, keparahan, dan seberapa sering ataupun seberapa besar kerugian maupun keuntungan yang mungkin terjadi akibat risiko TI. 3 APO12.03 KPU  perlu  melakukan  pendokumentasian  lengkap  terkait  setiap  risiko  yang diidentifikasi, termasuk atribut risiko seperti frekuensi risiko, potensi dampak, dan regulasi terhadap risiko yang telah diidentifikasi. Selain itu, penting juga mencatat informasi  lengkap  tentang  insiden  risiko  TI yang pernah  terjadi  serta  menentukan indikator risiko yang dapat digunakan untuk memantau risiko TI secara berkala. 4 APO12.04 Perlunya  menjalankan  langkah-langkah  strategis  untuk  meningkatkan  tata  kelola Teknologi Informasi (TI). Langkah ini mencakup melakukan penilaian oleh pihak ketiga guna memperoleh pandangan independen terhadap tata kelola TI, sekaligus membangun  proses  formal  untuk  mengkomunikasikan  risiko  kepada  pemangku kepentingan. Selain itu, diperlukan upaya edukasi kepada pihak terkait agar mampu mengelola risiko TI secara efektif. 5 APO12.05 Memiliki daftar lengkap langkah-langkah yang diambil untuk mengurangi risiko dan memastikan untuk memiliki rencana regulasi terhadap risiko. 6 APO12.06 KPU  perlu  membentuk  tim  khusus  yang  bertanggung  jawab  atas  respon  terhadap risiko dan menerapkan rencana tanggapan yang sesuai ketika insiden TI terjadi.

## 4. KESIMPULAN
KPU Kabupaten XYZ mendapatkan skor 1,35 yang berarti capability level berada pada level 1 (Proses terlaksana) berdasarkan hasil penilaian tingkat kemampuan manajemen risiko pada bagian perencanaan, data, dan informasi dengan menggunakan framework COBIT 5 domain APO12. Manajemen risiko pada tingkat ini telah dilakukan oleh bagian perencanaan, data, dan informasi di KPU Kabupaten XYZ. Namun pelaksanaannya masih belum konsisten dan terstruktur dengan baik. Untuk setiap sub-domain proses untuk maju ke tingkat nya, ditemukan GAP sebesar 1. Oleh karena itu, untuk mencapai tingkat kompetensi yang diharapkan yaitu level 2, KPU Kabupaten XYZ harus mengelola pelaksanaan manajemen risiko pada bagian perencanaan, data, dan  informasi  secara  lebih  terstruktur  dan  konsisten.  Temuan  analisis  menunjukkan  bahwa  prosedur manajemen  risiko  organisasi  masih  belum  berjalan  pada  potensi  maksimalnya.  Pengujian  sub-domain APO12.01 hingga APO12.06 menghasilkan enam rekomendasi yang dapat dipraktikkan untuk meningkatkan proses manajemen risiko. Diharapkan dengan menerapkan saran-saran ini, prosedur manajemen risiko akan menjadi lebih mudah dikelola.
Penelitian  ini  terbatas  pada  analisis  domain  APO12  dari framework COBIT  5,  berfokus  pada manajemen  risiko  TI.  Dilaksanakan  di divisi  perencanaan, data,  dan  informasi  di  Komisi  Pemilihan  Umum Kabupaten XYZ, dengan responden terkait di divisi yang sama.
Ide penelitian untuk masa depan disarankan untuk mempertimbangkan penggunaan framework terbaru, seperti COBIT 2019. Selain itu, Melakukan penilaian capability level di komisi pemilihan umum daerah lain untuk  membandingkan  hasil  dan  mendapatkan  gambaran  yang  lebih  luas.  Untuk  memperluas  perspektif, disarankan juga untuk mempertimbangkan penambahan responden dari berbagai divisi atau departemen terkait. Terakhir,  untuk  mendapatkan  pemahaman  yang  lebih  komprehensif,  direkomendasikan  melakukan  analisis yang lebih mendalam pada lokasi penelitian dengan mempertimbangkan penggunaan atau penambahan domain lain pada COBIT 5.

## REFERENSI
[1] H.  M.  Kurnia,  R.  N.  Shofa,  and  R.  Rianto,  “Audit  Tata  Kelola  Teknologi  Informasi  Menggunakan Framework COBIT 5 Berdasarkan Domain APO12,” Jurnal SITECH : Sistem Informasi dan Teknologi , vol. 1, no. 2, pp. 99–106, Jan. 2019, doi: 10.24176/sitech.v1i2.2723.
[2] M. P. Wibawa and A. D. Manuputty, “Analisis Manajemen Risiko Teknologi Informasi Policy Service PT. Asuransi Sinar Mas Menggunakan Framework COBIT 5,” JATISI (Jurnal Teknik Informatika dan Sistem Informasi) , vol. 7, no. 3, pp. 466–479, 2020.
[3] O.  Purwaningrum,  B.  Nadhiroh,  and  S.  Mukaromah,  “Literature  Review  Audit  Sistem  Informasi Menggunakan Kerangka Kerja Cobit 5,” Jurnal Informatika dan Sistem Informasi , vol. 2, no. 3, 2021.
[4] Yuliana,  A.  Setyanto,  and  H.  Al  Fatta,  “PENGARUH  KUALITAS  SISTEM  DAN  KUALITAS INFORMASI  TERHADAP  KEPUASAN  PENGGUNA  SISTEM  DATA  PEMILIH  PADA PEMILIHAN UMUM TAHUN 2019 (Studi Pada Komisi Pemilihan Umum Kota Bandar Lampung),” Universitas Lampung, Lampung, 2022.
[5] K.  Imtihan,  M.  Rodi,  M.  Ashari,  M.  T.  A.  Zaen,  and  K.  Marzuki,  “Audit  Tata  Kelola  Teknologi Informasi Menggunakan Framework Cobit 4.1,” MATRIK: Jurnal Manajemen, Teknik Informatika dan Rekayasa Komputer , vol. 21, no. 2, pp. 267–274, 2022.
[6] P.  P.  Thenu,  A.  F.  Wijaya,  and  C.  Rudianto,  “Analisis  Manajemen  Risiko  Teknologi  Informasi Menggunakan Cobit 5 (Studi Kasus: Pt Global Infotech),” Jurnal Bina Komputer , vol. 2, no. 1, pp. 1– 13, 2020.
[7] M.  A.  G.  Wattimena  and  A.  R.  Tanaamah,  “Analisis  Manajemen  Risiko  Teknologi  Informasi Menggunakan COBIT 5 (Studi Kasus: TSI/Teknologi dan Sistem Informasi Perpustakaan UKSW),” Journal of Information Systems and Informatics , vol. 3, no. 3, pp. 483–498, 2021.
[8] A. Pinem, E. S. Panjaitan, and A. Andri, “Analisis Risiko Teknologi Informasi Menggunakan Metode FMEA dan SAW dengan COBIT 5,” JURNAL MEDIA INFORMATIKA BUDIDARMA , vol. 5, no. 4, pp. 1688–1697, 2021.
[9] N.  Z.  Firdaus  and  S.  Suprapto,  “Evaluasi  Manajemen  Risiko  Teknologi  Informasi  Menggunakan COBIT 5 IT Risk (Studi Kasus: PT. Petrokimia Gresik),” vol , vol. 2, pp. 91–100, 2018.
[10] D.  A.  Prastiyawan,  A.  Ambarwati,  and  E.  Setiawan,  “Analisis  manajemen  risiko  layanan  sistem manajemen dealer menggunakan COBIT 5,” Matrix: Jurnal Manajemen Teknologi dan Informatika , vol. 10, no. 2, pp. 43–49, 2020.
[11] S. I. Maebari, “Evaluasi Layanan E-Learning Menggunakan Framework Cobit 5 Domain MEA dan EDM,” KLIK: Kajian Ilmiah Informatika dan Komputer , vol. 4, no. 2, pp. 877–889, 2023.
[12] F. Muttaqin, M. Idhom, F. A. Akbar, M. H. P. Swari, and E. D. Putri, “Measurement of the IT Helpdesk Capability  Level  Using  the  COBIT  5  Framework,”  in Journal  of  Physics:  Conference  Series ,  IOP Publishing, 2020, p. 022039.
[13] R.  M.  Ambarita  and  W.  Cholil,  “Pengukuran  Tingkat  Risiko  Terhadap  Kapabilitas  Tata  Kelola Teknologi Informasi Berdasarkan Framework COBIT 5,” Jurnal Tekno Kompak , vol. 16, no. 1, pp. 97– 108, 2022.
[14] R. R. Suryono, D. Darwis, and S. I. Gunawan, “Audit Tata Kelola Teknologi Informasi Menggunakan Framework Cobit 5 (Studi Kasus: Balai Besar Perikanan Budidaya Laut Lampung),” Jurnal Teknoinfo , vol. 12, no. 1, pp. 16–22, 2018.
[15] H. A. N. Sari, Y. Rahardja, and H. P. Chernovita, “Analisis Manajemen Risiko TI Pada Diskominfo Salatiga Menggunakan Cobit5 Dengan Domain Apo12,” JATISI (Jurnal Teknik Informatika dan Sistem Informasi) , vol. 8, no. 4, pp. 1772–1784, 2021.
[16] N.  Butarbutar  and  A.  R.  Tanaamah,  “Analisis  Manajemen  Risiko  Menggunakan  COBIT  5  Domain APO12 (Studi Kasus: Yayasan Bina Darma),” Journal of Information Systems and Informatics , vol. 3, no. 3, pp. 352–362, 2021.
[17] R. Ardhyka, A. Fidaiyah, and R. Meiyanti, “Analisis Manajemen Risiko IT Menggunakan COBIT5 Pada Domain APO12,” Jurnal Informasi dan Teknologi , pp. 30–38, 2023.
[18] D.  Khairuna,  S.  Wibowo,  and  I.  Gamayanto,  “Evaluasi  Pengelolaan  Risiko  Teknologi  Informasi Menggunakan Framework COBIT 5 Berdasarkan Domain APO12 (Manage Risk) Pada Kantor Pusat BPR Agung Sejahtera,” JOINS (Journal of Information System) , vol. 5, no. 1, pp. 18–26, 2020.
[19] F. Z. Afriliandra and A. R. P. Suprapto, “Evaluasi Tata Kelola Manajemen Risiko Teknologi Informasi pada  PT  XYZ  menggunakan  Kerangka  Kerja  COBIT  2019,” Jurnal  Pengembangan  Teknologi Informasi dan Ilmu Komputer e-ISSN , vol. 2548, p. 964X, 2022.
[20] A.  M.  Nurhuda,  E.  Philipus,  and  I.  Gunawan,  “Audit  Sistem  Pendataan  Keluarga  Menggunakan Pendekatan Framework COBIT 5 Pada Domain DSS (Studi Kasus: BKKBN Propinsi Jawa Barat),” Teknika , vol. 10, no. 1, pp. 78–87, 2021.
[21] R. Auliyah, J. N. U. Jaya, and S. Surmiati, “Efektivitas Penerapan Sistem Informasi Debitur (SID) BRI Dalam  Kebijaksanaan  Pemberian  Kredit  Menggunakan  COBIT  5  Domain  DSS  (Deliver,  Service, Support),” JURIKOM (Jurnal Riset Komputer) , vol. 9, no. 2, pp. 328–337, 2022.
[22] R. N. Wahidah, N. Lutfiyana, V. F. Ramadanti, P. Septiyo, and R. Drefiyanto, “Audit Sistem Informasi Absensi Mesin Fingerprint Pada PT. Metal Castindo Industritama Dengan Menggunakan Framework Cobit 5,” Jurnal Sistem Informasi , vol. 11, no. 2, pp. 51–57, 2022.
[23] ISACA, Process Assessment Model  (PAM): Using COBIT ® 5 . 2013.
[24] Z. K. Abass, T. K. Al-Abedi, and H. H. Flayyih, “Integration between cobit and coso for internal control and its reflection on auditing risk with corporate governance as the mediating variable,” International Journal of Economics and Finance Studies , vol. 15, no. 2, pp. 40–58, 2023.
[25] M. Muthmainnah, D. Yulisda, and V. Ilhadi, “Academic information system audit using cobit 5 domain APO framework,” International Journal of Engineering, Science and Information Technology , vol. 2, no. 1, pp. 123–130, 2022.