KLIK: Kajian Ilmiah Informatika dan Komputer ISSN 2723-3898 (Media Online) Vol 4, No 3, Desember 2023, Hal 1523-1530 DOI 10.30865/klik.v4i3.1396 https://djournals.com/klik

## Analisis Manajemen Risiko TI Menggunakan Framework COBIT 5 Domain APO12 dan EDM03
Al Fajri, Novriyanto * , Nazruddin Safaat H, Muhammad Affandes
Fakultas Sains dan Teknologi, Teknik Informatika, Universitas Islam Negeri Sultan Syarif Kasim Riau, Pekanbaru, Indonesia Email: 1 11950115001@students.uin-suska.ac.id, 2,* novriyanto@uin-suska.ac.id, 3 nazruddin.safaat@uin-suska.ac.id,
4 affandes@uin-suska.ac.id Email Penulis Korespondensi: novriyanto@uin-suska.ac.id
Abstrak− PT Perkebunan Nusantara V Pekanbaru merupakan badan usaha milik negara atau BUMN, bergerak di bidang perkebunan kelapa  sawit  dan  karet  yang  berlokasi  di  kota  Pekanbaru,  Provinsi  Riau,  PTPN  V  telah  memanfaatkan  teknologi  informasi  dalam menjalankan  roda  organisasi  dan  proses  bisnis  didalamnya,  terdapat  risiko-risiko  yang  akan  mengganggu  penerapan  teknologi informasi  bahkan  merugikan  perusahaan  seperti  risiko  kesalahan  spesifikasi  teknis,  risiko  kesalahan  perhitungan  Harga  Perkiraan Sendiri  (HPS),  risiko  kesalahan  dokumen  Rencana  Kerja  dan  Syarat  (RKS)  dan  risiko  kegagalan  server  atau  kegagalan  jaringan, Manajemen risiko menjadi upaya bagi PTPN V sebagai dasar infrastruktur dalam tata kelola manajemen risiko yang baik, Penelitian dilakukan  bertujuan  untuk  dapat  melakukan  analisis  manajemen  risiko  teknologi  informasi  dan  memberikan  rekomendasi  guna menyelaraskan  pengelolaan  risiko  dalam  proses  teknologi  informasi,  dengan  menggunakan  framework  COBIT 5 dan domain yang sesuai yaitu domain APO12 dan EDM03, data yang diperlukan dalam penelitian ini berupa data sekunder dan data primer, pada domain EDM03 diketahui nilai kapabilitas adalah 4,56, yang artinya perusahaan telah mencapai capability level 5 (optimizing process), pada domain APO12 diketahui nilai kapabilitas adalah 4,43, yang artinya perusahaan telah mencapai capability level 4 (predictable process), Rekomendasi diberikan untuk proses pada domain APO12 sebagai domain yang digunakan untuk manajemen risiko, sedangkan untuk proses domain EDM03 sebagai domain untuk optimasi risiko di bagian pengadaan dan TI PTPN V Pekanbaru.
Kata Kunci: COBIT 5; Manajemen Risiko; APO12; EDM03; Capability level
Abstract− PT Perkebunan Nusantara V Pekanbaru is a state-owned enterprise or BUMN, operating in the field of oil palm and rubber plantations located in the city of Pekanbaru, Riau Province, PTPN V has utilized information technology in running the organization and business processes therein, there are risks- risks that will disrupt the application of information technology and even be detrimental to the company, such as the risk of technical specification errors, the risk of errors in self-estimated price calculations (HPS), the risk of errors in the Work Plan and Requirements (RKS) documents and the risk of server failure or network failure. Risk management is an effort for PTPN V as the basis for infrastructure in good risk management governance, the research was carried out with the aim of being able to carry out information technology risk management analysis and provide recommendations to harmonize risk management in  information  technology  processes,  using  the  COBIT  5  framework  and  appropriate  domains,  namely  the  APO12  and  EDM03 domains, The data needed in this research is in the form of secondary data and primary data, in the EDM03 domain it is known that the capability value is 4.56, which means the company has reached capability level 5 (optimizing process), in the APO12 domain it is known  that  the  capability  value  is  4.43,  which  means  The  company  has  achieved  capability  level  4  (predictable  process). Recommendations are given for processes in the APO12 domain as the domain used for risk management, while for the EDM03 domain process as the domain for risk optimization in the procurement and IT sections of PTPN V Pekanbaru.
Keywords : COBIT 5; Risk Management; APO12; EDM03; Capability level

## 1. PENDAHULUAN
Pengaruh  Teknologi  Informasi  (TI)  cukup  signifikan  diberbagai  bidang  bagi  sebuah  organisasi.  Penerapan  teknologi informasi,  dibutuhkan  untuk  mendukung  organisasi  dalam  pengambilan  keputusan  pada  jalannya  roda  organisasi  [1]. Dengan penerapan teknologi informasi didalamnya akan membawa lebih banyak manfaat dan keuntungan, maka dari itu, pada  era  ini,  teknologi  informasi  menjadi  aset  kunci  bagi  sebuah  organisasi  [2].  Namun  seiring  teknologi  informasi digunakan dan diterapkan akan diikuti pula oleh hal yang dapat mengganggu kegiatan organisai dalam proses bisnisnya, hal tersebut berupa risiko yang dapat sewaktu-waktu terjadi.
PT Perkebunan Nusantara V (PTPN V) Pekanbaru adalah badan usaha milik negara (BUMN) yang berfokus pada sektor  perkebunan  kelapa  sawit  dan  karet,  berlokasi  di  kota  Pekanbaru,  provinsi  Riau.  PTPN  V  telah  memanfaatkan teknologi informasi dalam menjalankan roda organisasi dan proses bisnis didalamnya. Salah satu dari tujuan PTPN V dalam mengadopsi teknologi informasi adalah untuk meningkatkan kompetensi inti perusahaan, dalam mewujudkan misi tersebut PTPN V memiliki unit atau bagian yang bernama bagian Pengadaan dan Teknologi Informasi (PTI), bagian ini berfungsi  dan  memiliki  tujuan  untuk  terlaksananya  kegiatan  operasional  dan  administrasi  pengadaan  barang  dan  jasa secara  efektif  dan  efisien,  seperti  pengadaan  barang  untuk  perusahaan  berupa  perangkat  komputer,  jaringan,  hingga pengadaan server dan terciptanya solusi teknologi informasi untuk perusahaan dalam mendukung proses bisnis efisien dan  proses  bisnis  berbasis  IT.  Dalam  mencapai  tujuan  tersebut  terdapat  risiko-risiko  yang  akan  mengganggu  bahkan merugikan perusahaan, seperti risiko kesalahan spesifikasi teknis, risiko kesalahan perhitungan Harga Perkiraan Sendiri (HPS), risiko kesalahan dokumen Rencana Kerja dan Syarat (RKS) dan risiko ketersediaan barang ketika akan melakukan sebuah pengadaan, risiko lain yang dapat mengancam keberlangsungan penerapan teknologi informasi di PTPN V adalah risiko  kegagalan  server  dan  risiko  kegagalan  jaringan.  Dari  berbagai  risiko  yang  dihadapi  perlu  penanganan  yang mengintegrasikan pengelolaan risiko perusahaan secara efektif sehingga risiko dapat dihindari. Berdasarkan masalah yang telah diuraikan di atas, diperlukan suatu best practice dalam pelaksanaan tata kelola manajemen risiko sebagai panduan untuk mengukur kapabilitas, dalam penelitian ini menggunakan framework COBIT 5 dengan domain APO12 dan EDM03
Tujuan utamanya adalah memberikan analisis optimalisasi terkait manajemen risiko teknologi informasi dan mengurangi potensi  risiko  sebanyak  mungkin.  Bagian  Pengadaan  dan  TI  ini  diharapakan  dapat  mewujudkan  salah  satu  misi  dari perusahaan  dalam  mencapai  kompetensi  inti  perusahaan,  ketergantungan  terhadap  TI  mengharuskan  perusahaan memberikan perhatian, terlebih pada tata kelola dan memastikan bahwa penerapan teknologi informasi oleh perusahaan berkembang dan sesuai dengan strategi serta tujuan perusahaan [3]. Dengan demikian, potensi kerugian dapat dihindari atau dikurangi sebanyak mungkin [4]. Karena setiap sesuatu yang membawa manfaat akan dibayangi oleh kejadian yang dapat menyebabkan kerugian dan ancaman, artinya, risiko yang timbul selama menggunakan teknologi informasi juga dapat menyebabkan kerugian tersebut [5].
Manajemen risiko menjadi upaya bagi PTPN V sebagai dasar infrastruktur dalam tata kelola manajemen risiko yang  baik.  dengan  penerapan  manajemen  risiko  diharapkan  agar  mampu  mencapai  perusahaan  agribisnis  dengan pengelolaan  secara  sehat  berdasarkan Good  Corporate  Governance (GCG),  sebab,  risiko  adalah  suatu  peristiwa  yang pasti terjadi dan mempengaruhi pencapaian tujuan atau keinginan [6]. Target perusahaan dengan penerapan manajemen risiko adalah agar terciptanya budaya perusahaan tentang pengelolaan risiko. Manajemen risiko di PTPN V pada tahun 2020  menjadi  unit  setingkat  urusan  dibawah  bagian  satuan  pengawasan  internal  (SPI)  unit  inilah  yang  melakukan pengawasan, evaluasi dan audit secara internal di PTPN V Pekanbaru. karena pentingnya mengetahui ancaman TI, banyak peneliti  melakukan  penelitian  untuk  mengevaluasi  ancaman  TI  [7].  Manajemen  risiko  dapat  diterapkan  melalui pemahaman, identifikasi dan evaluasi terhadap kemungkinan risiko.
Framework control objective for information and related technology (COBIT) 5 menjadi best practice untuk tata kelola  manajemen  risiko  teknologi  informasi  dalam  penelitian  ini.  Didalam  COBIT  5  terdapat  5  domain  dengan  37 subdomain  untuk  manajemen  dan  5  subdomain  untuk  tata  kelola.  Untuk  penelitian  ini  menggunakan  domain  APO12 ( Align, Plan and Organise ) dan EDM03 ( Evaluate, Direct and Monitor ) karena 2 domain tersebut yang fokus menangani manajemen risiko teknologi informasi. Domain APO12 bertujuan untuk mengintegrasikan pengelolaan risiko perusahaan terkait  TI  dengan  keseluruhan Enterprise  Risk  Management (ERM)  dan  tujuan  dari  domain  EDM03  adalah  untuk memastikan bahwa risiko TI perusahaan tidak melebihi batas atau toleransi risiko [8] [9].
Beberapa penelitian sebelumnya, menggunakan framework COBIT 5 sebagai best practice untuk menilai sejauh mana  organisasi  telah  menjalankan  manajemen  risiko  tata  kelola  teknologi  informasi,  dalam  mengatasi  risiko  yang muncul  dalam  organisasi.  Dengan  menggunakan  framework  COBIT  5,  analisis  manajemen  risiko  untuk  layanan pengunduran  diri  siswa  telah  dilakukan  dengan  fokus  pada  domain  APO12,  memperoleh  hasil  data  identifikasi  pada aktivitas  domain  APO12  yaitu  berada  pada  nilai  N  ( Not  archive )  dan  diperoleh  7  temuan  risiko  [10].  Penelitian menggunakan  COBIT  5  analisis  manajemen  risiko pada  layanan  sistem  manajemen dealer,  menunjukkan  hasil  proses mitigasi  dengan  domain  DSS  adalah  perlunya  melaksanakan  kebijakan  operasional  dan  proses  mitigasi  domain  APO adalah  perlunya  penyelarasan  analisis  risiko  terhadap  standar  kualitas  TI  [11].  Pada  penelitian  di  UPT-TIK  perlu menyempurnakan  dokumen kebijakan  dan  standar,  serta  melaksanakan  aktivitas  manajemen  risiko  dengan  lebih baik. Tingkat capaian manajemen risiko organisasi berada pada level 0 dalam domain EDM03 dan APO12, dan hasil tersebut sebagian disebabkan oleh keterbatasan akses penelitian. Terdapat perbedaan satu tingkat pada gap capaian organisasi ini, yaitu  pada  level  1  dalam  domain  EDM03  dan  APO12  [12].  Dari  hasil  analisis  ditemukan  bahwa  tingkat  kemampuan ( capability level ) untuk proses domain EDM03  mencapai level 2, sementara proses domain APO12 mencapai level 3. Selain  itu,  dihasilkan  16  strategi  mitigasi  dan  9  rekomendasi  yang  dapat  digunakan  untuk  mendukung  perbaikan implementasi manajemen risiko teknologi informasi di PT. Petrokimia Gresik [13].
Berdasarkan hasil penelitian terdahulu yang telah diuraikan diatas, terdapat penelitian mengenai manajemen risiko dengan  penggunaan  domain  yang  sama  masih  memiliki  kendala  terbatasnya  akses  dalam  penelitian,  terutama  untuk analisis  terhadap  dokumen  pengelolaan  manajemen  risiko  dari  perusahaan,  dalam  penelitian  ini  dokumen  perusahaan diizinkan  untuk  dianalisa  demi  kepentingan  penelitian,  sehingga  dapat  memetakan  daftar  identifikasi  risiko  secara keseluruhan.  Penelitian  ini  bertujuan  untuk,  menganalisis  manajemen  risiko  teknologi  informasi  dan  memberikan rekomendasi  untuk  pengelolaan  risiko  dalam  proses  teknologi  informasi,  dengan  menggunakan framework COBIT  5 domain APO12 dan EDM03. Penggunaan domain APO12 dan EDM03 dipilih karena domain ini yang bertujuan dalam manajemen risiko dan optimasi risiko [14]. Rekomendasi berupa saran yang dapat digunakan dalam proses bisnis untuk meminimalkan risiko [13]. Dengan harapan menjadikan manajemen risiko sebagai sebuah kebutuhan bagi PTPN V dalam memudahkan pengelolaan risiko yang baik sehingga mampu mencapai target jangka pendek maupun jangka panjang.

## 2. METODOLOGI PENELITIAN
COBIT 5 adalah suatu framework yang dikembangkan oleh ISACA ( Information Systems Audit and Control Association ) untuk manajemen dan tata kelola teknologi informasi di dalam sebuah organisasi. Domain APO12 merujuk pada Manage Risk atau Mengelola Risiko, berfokus pada pengelolaan risiko yang terkait dengan teknologi informasi dalam konteks pencapaian tujuan bisnis organisasi. Domain EDM03 merujuk pada Ensure Risk Optimization atau Memastikan Optimasi Risiko,  berfokus    memastikan  bahwa  risiko-risiko  terkait  dengan  teknologi  informasi  diidentifikasi,  diukur,  dan dioptimalkan sesuai dengan tujuan organisasi.

## 2.1 Tahapan Penelitian
Berikut ini adalah tahapan penelitian yang akan menjadi garis besar dari setiap langkah yang akan dilakukan, tahapan ini sangat penting karena akan berfungsi sebagai pedoman untuk menjalankan penelitian.
Gambar 1. Alur Tahapan Penelitian
Pada gambar 1 menggambarkan tahapan-tahapan yang akan dilakukan dalam penelitian dan dijelaskan seperti berikut:

## 2.2 Studi Literatur
Setelah menetapkan studi kasus penelitian, langkah berikutnya adalah melakukan studi literatur. Pada fase studi literatur, dilakukan  pemahaman  terhadap  objek  penelitian,  mencari  informasi  dari  penelitian  sebelumnya  yang  terkait  seperti, jurnal,  buku  dan  fenomena  terkait  [12],  yang  berhubungan  dengan  analisis  manajemen  risiko  teknologi  informasi menggunakan  kerangka  kerja  COBIT  5.  Serta  informasi  mengenai  rencana  strategis  perusahaan  untuk  menganalisis pengelolaan teknologi informasi. COBIT 5 adalah kerangka kerja yang dirancang untuk mengatur tata kelola teknologi informasi yang mengikuti tren, kerangka kerja ini menggabungkan ide-ide terbaru tentang manajemen dan tata kelola organisasi atau perusahaan [15].

## 2.3 Identifikasi Masalah
Langkah  ini  dilaksanakan guna  mengenali  masalah  yang  ada  di  bagian pengadaan dan TI  PTPN  V  Pekanbaru,  dalam mengetahui fenomena yang dapat diangkat untuk dilakukan penelitian sehingga mempermudah dalam menentukan tujuan penelitian [16], dalam identifikasi permasalahan didapatkan fenomena mengenai pengelolaan risiko yang ada di bagian Pengadaan dan TI untuk selanjutnya menjadi permasalahan mengenai manajemen risiko yang akan dianalisa di dalam penelitian ini, setelah diidentifikasi, domain APO12 dan EDM03 dari COBIT 5 untuk manajemen risiko telah ditetapkan.

## 2.4 Pengumpulan Data
Selanjutnya dilakukan tahapan pengumpulan data, data sekunder dan primer diperlukan untuk penelitian ini [17], untuk mendapatkan data maka dilakukan observasi secara langsung di PTPN V Pekanbaru dengan mengamati proses yang ada di  bagian  pengadaan  dan  TI  terkait  manajemen  risiko,  kemudian  melakukan  penyebaran  kuesioner  yang  berisi  daftar pertanyaan mengenai tingkat kapabilitas proses dan wawancara yang telah disusun dan dibuat sesuai dengan identifikasi masalah kepada responden yaitu pihak berwenang di bagian pengadaan dan TI di PTPN V Pekanbaru.

## 2.5 Pengolahan dan Analisis Data
Setelah  data  dikumpulkan,  olah  data  dan  analisis  akan  dilakukan,  dalam  proses  ini  dilakukan  analisis  terhadap  daftar risiko dari perusahaan  [18], yaitu daftar identifikasi risiko bagian Pengadaan dan TI di PTPN V Pekanbaru, dari hasil analisis daftar identifikasi risiko ditemukan pengelolaan risiko mengenai indikasi risiko, peristiwa risiko, penyebab risiko, dampak dan pengendalian risiko yang ada.

## 2.6 Analisis Capability Level (APO12 dan EDM03)
Data yang telah berhasil dikumpulkan dan dilakukan analisis selanjutnya akan dilakukan analisis kembali dalam ruang lingkup  analisis  tingkat  kapabilitas  hingga  mendapatkan  nilai  kapabilitas,  analisis  ini  dilakukan  dengan  cara mengumpulkan data kuesioner dari responden [19]. Kuesioner dibuat berdasarkan panduan dari framework COBIT 5 dan sesuai dengan domain yang menangani manajemen risiko yaitu domain APO12 dan EDM03, kedua domain tersebut dapat
dilihat dimensi tata kelola dan manajemen risiko. Tabel 1 menggambarkan masing-masing dimensi dari domain APO12 dan EDM03:
Tabel 1. Dimensi Domain APO12 dan EDM03 Manajemen APO12 Manajemen risiko APO12. 01 Mengumpulkan data APO12. 02 Analisis risiko APO12. 03 Pertahankan profil risiko APO12. 04 Mengartikulasikan risiko APO12. 05 Definisikan portofolio tindakan manajemen risiko APO12. 06 Menanggapi risiko Tata kelola EDM03 Memastikan optimalisasi risiko EDM03. 01 Evaluasi manajemen risiko EDM03. 02 Manajemen risiko secara langsung EDM03. 03 Memantau manajemen risiko

## 2.7 Rekomendasi dan Kesimpulan
Tahap terakhir penelitian ini adalah memberikan saran manajemen risiko kepada perusahaan berdasarkan temuan analisis dan pengolahan data [20]. Rekomendasi diberikan sesuai dengan temuan kesenjangan risiko dari penerapan manajemen risiko saat ini dengan target yang ingin dicapai [21], serta menyimpulkan bahwa rekomendasi yang diberikan diharapkan mampu  membawa  perusahaan  menuju  perusahaan  agribisnis  yang  berkelanjutan  dan  berwawasan  lingkungan  dengan menerapkan manajemen risiko bagi seluruh insan di PTPN V Pekanbaru.

## 3. HASIL DAN PEMBAHASAN

## 3.1 Proses Pengumpulan Data
Dari  tahapan  pengumpulan  data  didapatkan  hasil  melalui  proses  studi  literatur  kemudian  pengamatan  langsung  pada proses  bisnis  perusahaan  dan  proses  terkait  dengan  manajemen  risiko  pada  bagian  Pengadaan  dan  TI  di  PTPN  V Pekanbaru.  Diperoleh  data  daftar  identifikasi  risiko  bagian  Pengadaan  dan  TI,  data  tersebut  membahas  keterangan mengenai peristiwa risiko, penyebab dan dampak dari risiko. Tabel 2 menggambarkan identifikasi risiko dari dokumen yang didapatkan pada bagian PTI PTPN V Pekanbaru:
Tabel 2. Identifikasi Risiko bagian PTI PTPN V Pekanbaru
No. Peristiwa Risiko Keterangan Penyebab Dampak 1 Risiko Kesalahan Spesifikasi Teknis Terdapat  perbedaan  spesifikasi teknis  yang  diminta  pengguna anggaran  dengan  HPS  maupun dokumen RKS Terjadi perubahan spesifikasi teknis  yang  tidak  terkoreksi oleh panitia HPS Kesalahan evaluasi dokumen penawaran 2 Risiko ketersediaan barang Tidak  tersedianya  barang  yang diminta pengguna anggaran akibat tidak diproduksi lagi Tidak  updatenya  list  barang yang diminta pengguna anggaran dengan barang yang tersedia pada distributor Tidak ada vendor yang bersedia  memasukkan barang yang dimaksud 3 Risiko kerusakan sistem Sistem  e-procurement  tidak  bisa diakses Kerusakan sistem akibat maintenance yang  dilakukan admin sistem Perubahan jadwal paket  pekerjaan  atau pembatalan paket pekerjaan 4 Risiko  koneksi jaringan Dokumen  yang  telah  diupload vendor tidak dapat didownload Kerusakan jaringan atau koneksi internet Kesalahan dalam penetapan pemenang tender 5 Risiko kesalahan verifikasi data Terdapat perbedaan antara dokumen  yang  diupload  dalam sistem  denga  dokumen  yang diminta saat verifikasi Tidak  updatenya  dokumen yang diiput vendor ke dalam sistem Kesalahan dalam penetapan kualifikasi 6 Risiko kehilangan dokumen Dokumen  pendukung  verifikasi hilang dari media penyimpanan Kelalaiana dari petugas administrasi Keterlambatan penerbitan STDRT 7 Risiko  integrasi sistem Keterlambatan  paket  pekerjaan akibat integrasi sistem Kurangnya pemahaman SDM terkait integrasi sistem Pelaksanaan paket pekerjaan tidak berjalan tepat waktu
8 Risiko kegagalan server Terjadinya  kegagalan  layanan pada server aplikasi dan database Kerusakan  sistem  operasi, kerusakan software aplikasi, malware , virus. Layanan  aplikasi  pada server  menjadi  tidak berfungsi dengan baik 9 Risiko kegagalan jaringan Terjadi kegagalan layanan infarstruktur jaringan disisi LAN/WAN/Internet Rusaknya perangkat pendukung jaringan PTPN V dan provider Koneksi user ke sistem aplikasi PTPN V terputus 10 Risiko pengkajian Merupakan  risiko  yang  ditemui dalam melakukan kegiatan perencanaan dan pengkajian bidang TI Kurangnya pemahaman SDM,  data  yang  digunakan kurang  valid,  perkembangan TI yang sangat cepat. Kajian yang dihasilkan kurang realistis dengan kondisi yang ada.

## 3.2 Proses Pengolahan dan Analisis Data

## 3.2.1 Observasi dan Wawancara
Observasi  atau  pengamatan  dalam  penelitian  ini  dilaksanakan  untuk  menambah  data  yang  diperlukan  dalam  analisis manajemen risiko pada domain APO12 dan domain EDM03.  Berdasarkan hasil observasi yang dilakukan pada bagian Pengadaan dan TI di PTPN V Pekanbaru didapatkan dokumen dalam mengidentifikasi risiko bagian Pengadaan dan TI.
Selanjutnya wawancara yang dilakukan sebelum melakukan penyebaran kuesioner kepada responden dan setelah melakukan  penyebaran  kuesioner,  wawancara  dilakukan  kepada  pihak  terkait  di  bagian  Pengadaan  dan  TI,  hasil  dari wawancara akan menjadi parameter atas keselarasan antara hasil dari kuesioner dan hasil dari wawancara.

## 3.2.2 RACI Chart
Tabel RACI Chart berfungsi untuk mengetahui tingkat tanggung jawab terhadap praktik proses oleh pemangku kebijakan dalam suatu struktur. Dalam RACI Chart terdiri dari 4 bagian yaitu, R ( Responsible ) yang bertanggung jawab langsung dalam  menyelesaikan  tugas,  A  ( Accountable )  yang  bertanggung  jawab  dalam  berhasil  atau  tidaknya  suatu  tugas,  C ( Consulted ) yang dapat memberikan masukan, I ( Informed ) yang dapat menerima informasi yang tepat dan selanjutnya untuk diawasi.
Penggunaan  RACI Chart dilakukan  sebelum  menentukan  responden  dari  kuesioner,  tujuannya  agar  dapat mengetahui siapa yang akan menjadi responden dalam analisis manajemen risiko pada bagian Pengadaan dan TI di PTPN V Pekanbaru, dengan acuan RACI Chart dalam framewrok COBIT 5. Tabel 3 menggambarkan pemetaan RACI Chart berdasarkan tugas dan jabatan untuk menentukan calon responden:
Tabel 3. Hasil pemetaan RACI Chart Komponen EDM03 APO12 Tugas Jabatan Tugas Jabatan Responsible Business executive Operational and business support Chief information security officer IT Programmer Accountable board Operational and business support Chief information officer IT Programmer Consulted Chief operating officer Operational and business support Information Security Manager IT Programmer Informed Head development Operational and business support Chief executive Operational and business support

## 3.2.3 Hasil Kuesioner
Penyusunan  kuesioner  dalam  analisis  manajemen  risiko  teknologi  informasi  bagian  Pengadaan  dan  TI  di  PTPN  V Pekanbaru, dibuat dengan memanfaatkan tingkat kemampuan yang berkembang dari model tingkat kematangan dalam COBIT 5 khususnya pada domain proses APO12 dan EDM03. Kemudian pengisian kuesioner dilaksanakan oleh pihak terkait sesuai dengan RACI Chart yang telah ditetapkan sebelumnya, yaitu terdapat 3 responden yang akan menjadi target untuk mengisi kuesioner, pengisian kuesioner dilakukan dengan mendampingi responden secara langsung dengan datang ke  bagian  pengadaan  dan  TI  di  PTPN  V  Pekanbaru,  pendampingan  bertujuan  agar  memudahkan  responden  dalam pengisian kuesioner, kemudian dalam menentukan nilai kapabilitas dan tingkat kapabilitas maka akan dipetakan  dalam bentuk tabel. Tabel 4 menggambarkan pemetaan jawaban nilai dan tingkat kapabilitas sebagai acuan dalam menentukan nilai dan tingkat kapabilitas:
Tabel 4. Pemetaan jawaban nilai dan tingkat kapabilitas
Jangkauan Nilai  jawaban  Nilai kapabilitas Tingkat kapabilitas 0  – 0,50 0 0,00 0 ( Non-existent ) 0,51 – 1,50 1 1,00 1 ( Performed process ) 1,51 – 2,50 2 2,00 2 ( Manage process ) 2,51 – 3,50 3 3,00 3 ( Estabilished process )
3,51 – 4,50 4 4,00 4 ( Predictable process ) 4,51 – 5,00 5 5,00 5 ( Optimising process )

## 3.3 Hasil Analisis Capability Level Domain APO12 dan EDM03
Dalam  menentukan  nilai  kapabilitas  dan  tingkat  kapabilitas,  menggunakan  pengukuran  dengan  skala  likert  sebagai perhitungan untuk domain APO12 dan EDM03. Skala likert memberikan penilaian terhadap sesuatu, dalam penelitian ini menggunakan  pernyataan  yang  akan  diisi  oleh  responden  dengan  pilihan  nilai  tingkat  persetujuan.  Tabel  5 menggambarkan tingkatan jawaban dan nilai masing-masing jawaban:
Tabel 5. Penilaian Skala Likert Tingkat Persetujuan Nilai Sangat tidak setuju 1 Tidak Setuju 2 Ragu-Ragu 3 Setuju 4 Sangat Setuju 5
a.   Menyusun rangkuman dari jawaban kuesioner
𝐶 = 𝐻 𝐽𝑅 𝑥 100% (1)
Keterangan: C = Rekapitulasi jawaban kuesioner H = Jumlah jawaban kuesioner JR = Jumlah responden b.   Menghitung nilai capability level
𝑁𝑘 = (𝑁𝑟 𝑥 𝐿0)+(𝑁𝑟 𝑥 𝐿1)+(𝑁𝑟 𝑥 𝐿2) + (𝑁𝑟 𝑥 𝐿3)+ (𝑁𝑟 𝑥 𝐿4)+(𝑁𝑟 𝑥 𝐿5) 100 (2) Keterangan:
Nk = Nilai kapabilitas Nr = Nilai rekapitulasi L = Level 0 sampai 5
3.3.1 Analisis Capability Level APO12
Tabel 6. Capability level APO12
No  Sub-domain APO12 Nilai kapabilitas Capability level As is To be As is To be 1 APO12.01 4,18 5,00 4 5 2 AP012.02 4,28 5,00 4 5 3 APO12.03 4,52 5,00 5 5 4 APO12.04 4,73 5,00 5 5 5 APO12.05 4,22 5,00 4 5 6 APO12.06 4,66 5,00 5 5 Rata - rata 4,43 5,00 4 5
Menurut Tabel 6, proses APO12.01 menunjukkan bahwa tingkat kemampuan kondisi saat ini ( as is ) berada pada level 4 dengan nilai kapabilitas 4,18, proses APO12.02 menunjukkan bahwa tingkat kemampuan kondisi saat ini ( as is ) berada pada level 4 dengan nilai kapabilitas 4,28, proses APO12.03 menunjukkan bahwa tingkat kemampuan kondisi saat ini ( as is ) berada pada level 5 dengan nilai kapabilitas 4,52, proses APO12.04 menunjukkan bahwa tingkat kemampuan kondisi saat ini ( as is ) berada pada level 5 dengan nilai kapabilitas 4,73, Proses APO12.05 menunjukkan bahwa tingkat kemampuan  kondisi  saat  ini  ( as  is )  berada  pada  level  4  dengan  nilai  kapabilitas  4,22,  dan  pada  proses  APO12.06 menunjukkan bahwa tingkat kemampuan kondisi saat ini ( as is ) berada pada level 5 dengan nilai kapabilitas 4,66. Dengan demikian, hasil dari keenam sub-domain pada APO12 menunjukkan nilai kapabilitas sebesar 4,43, yang mengindikasikan bahwa perusahaan telah mencapai tingkat kemampuan 4 ( Predictable process ).

## 3.3.2 Analisis Capability Level EDM03
Tabel 7. Capability level EDM03
No  Sub-domain EDM03 Nilai kapabilitas Capability level As is To be As is To be 1 EDM03.01 4,49 5,00 4 5
2 EDM03.02 4,61 5,00 5 5 3 EDM03.03 4,58 5,00 5 5 Rata – rata 4,56 5 5 5
Berdasarkan Tabel 7, Proses EDM03.01 menunjukkan bahwa tingkat kemampuan kondisi saat ini ( as is ) berada pada level 4 dengan nilai kapabilitas 4,49. Proses EDM03.02  menunjukkan bahwa tingkat kemampuan saat ini ( as is ) berada pada level 5 dengan nilai kapabilitas 4,61, dan untuk proses EDM03.03 menunjukkan tingkat kemampuan saat ini ( as is ) berada pada level 5 dengan nilai kapabilitas 4,58. Maka, dari hasil ketiga sub-domain pada EDM03, diketahui bahwa  nilai  kapabilitasnya  adalah  4,56,  yang  menunjukkan  bahwa  perusahaan  telah  mencapai  tingkat  kemampuan  5 ( Optimizing process ).

## 3.3.3 Analisis GAP
GAP digunakan dalam penelitian ini sebagai pengukur kesenjangan antara kondisi yang ada pada saat ini ( as is ) dengan kondisi yang ingin dicapai ( to be ). Berdasarkan analisis capability sebelumnya pada domain EDM03 dan APO12, dapat ditemukan  bahwa  rata-rata  nilai  kapabilitas  kondisi  saat  ini  ( as  is )  pada  domain  EDM03  adalah  sebesar  4,56  dengan capability  level adalah  5,  sementara  kondisi  yang  ingin  dicapai  ( to  be )  adalah  pada  level  5,  berarti  proses  EDM03  di bagian pengadaan dan TI di PTPN V Pekanbaru dalam memastikan optimasi risiko telah tercapai level 5 yaitu Optimizing process . Sehingga nilai GAP untuk proses EDM03 adalah sebesar 0.
Nilai  kapabilitas  kondisi  saat  ini (as  is )  pada  domain  APO12  adalah  sebesar  4,43  dengan capability  level adalah  4, sementara kondisi yang ingin dicapai ( to be ) adalah pada level 5, berarti proses APO12 di bagian pengadaan dan TI di PTPN V Pekanbaru dalam manajemen risiko telah tercapai pada level 4 yaitu Predictable process , sehingga nilai GAP untuk proses APO12 adalah sebesar 1.

## 3.4 Rekomendasi
Rekomendasi diberikan untuk proses pada domain APO12 sebagai domain yang digunakan untuk manajemen risiko pada bagian pengadaan dan TI di PTPN V Pekanbaru. Sedangkan untuk proses domain EDM03 sebagai domain untuk optimasi risiko. Rekomendasi terhadap domain APO12 diberikan karena temuan dari hasil analisis GAP dengan nilai 1, antara kondisi  saat  ini  ( as  is )  yaitu  pada  level  4  ( Predictable  process )  dengan  kondisi  yang  ingin  dicapai  yaitu  pada  level  5 ( Optimizing process ) dengan rincian kesenjangan pada sub-domain APO12.01, APO12.02 dan APO12.05, rekomendasi terhadap  domain  EDM03  diberikan  dengan  temuan  kesenjangan  pada  sub-domain  EDM03.01.  Tabel  8  menerangkan rekomendasi yang diberikan terhadap masing-masing domain:
Tabel 8. Rekomendasi No  Domain Rekomendasi 1 APO12.01 Perlunya menetapkan manajemen yang tepat dalam mengumpulkan data terkait dengan kegiatan yang  diadakan  secara  bersamaan  atau  serupa,  mengatur  data  yang  akan  dikumpulkan  dan menyoroti faktor-faktor kemungkinan risiko.
2 APO12.02 Perlunya memperkirakan frekuensi terhadap besarnya kerugian dan keuntungan risiko TI dengan pertimbangan faktor risiko yang berlaku.
3 APO12.05 Memastikan semua entitas dalam perusahaan memantau risiko dan mampu menjalankan kebijakan dalam tingkat toleransi individu.
4 EDM03.01 Sebaiknya Setiap individu yang terkait dengan proses TI, aktif menilai risiko-risiko TI, sebelum mengambil keputusan strategis dan Pastikan setiap keputusan, diambil dengan kesadaran penuh terhadap faktor-faktor risiko yang mungkin muncul.

## 4. KESIMPULAN
Berdasarkan hasil analisis manajemen risiko TI di bagian pengadaan dan TI PTPN V Pekanbaru menggunakan framework COBIT 5, dapat disimpulkan bahwa dalam domain APO12, perusahaan berada pada level 4 ( Predictable process ). Pada tingkat ini, perusahaan berhasil mencapai tahap di mana risiko dapat diprediksi dan dijalankan dalam batasan yang telah ditetapkan. Sementara itu, pada domain EDM03, tata kelola optimasi risiko berada pada level 5 ( Optimized process ). yang menunjukkan  bahwa  perusahaan  telah  mencapai  tingkat  optimasi  dalam  mengelola  risiko,  perusahaan  juga  telah mengimplementasikan  sehingga  dapat  terus  melakukan  peningkatan  yang  berkelanjutan.  Dari  kedua  domain  proses tersebut bagian pengadaan dan TI di PTPN V Pekanbaru telah menerapkan manajemen dan tata kelola terhadap risiko dengan  sangat  baik.  Hasil  temuan  terhadap  analisis  nilai  kapabilitas, capability  level dan  analisis  GAP  penerapan manajemen dan pengelolaan risiko pada bagian pengadaan dan TI menghasilkan hanya ada 1 nilai perbedaan yang ada antara keadaan saat ini dan keadaan yang diharapkan, yaitu pada domain APO12 dengan nilai pada level 4 untuk kondisi saat ini dan nilai level 5 untuk kondisi yang ingin dicapai. Maka hasil analisis memberikan rekomendasi terhadap proses manajemen risiko domain APO12 dan terdapat 3 buah rekomendasi berdasaran sub-domain APO12.01, APO12.02 dan APO12.05 yang diusulkan dengan harapan dapat terlaksananya manajemen risiko hingga pada proses optimasi, kemudian
rekomendasi  terhadap  domain  EDM03  berdasarkan  sub-domain  EDM03.01.  Saran  untuk  penelitian  berikutnya, disarankan untuk mempertimbangkan penggunaan framewrok terkini seperti COBIT 2019.

## REFERENCES
[1] H.  Maulida  Kurnia  and  R.  Nur  Shofa,  “AUDIT  TATA  KELOLA  TEKNOLOGI  INFORMASI  MENGGUNAKAN FRAMEWORK  COBIT  5  BERDASARKAN  DOMAIN  APO12  Penulis  Korespondensi,”  Tasikmalaya,  Indonesia.  doi: 10.24176/sitech.v1i2.2723.
[2] M. P. Wibawa and A. D. Manuputty, “Analisis Manajemen Risiko Teknologi Informasi Policy Service PT. Asuransi Sinar Mas Menggunakan Framework COBIT 5,” JATISI (Jurnal Tek. Inform. dan Sist. Informasi) , vol. 7, no. 3, pp. 466–479, 2020, doi: 10.35957/jatisi.v7i3.409.
[3] O. Purwaningrum, B. Nadhiroh, and S. Mukaromah, “Literature Review Audit Sistem Informasi Menggunakan Kerangka Kerja Cobit 5,” J. Inform. dan Sist. Inf. , vol. 2, no. 3, pp. 587–595, 2021, doi: 10.33005/jifosi.v2i3.409.
[4] K.  Imtihan,  M.  Rodi,  M.  Ashari,  M.  T.  A.  Zaen,  and  K.  Marzuki,  “Audit  Tata  Kelola  Teknologi  Informasi  Menggunakan Framework Cobit 4.1,” MATRIK  J. Manajemen, Tek. Inform. dan Rekayasa Komput. , vol. 21, no. 2, pp. 267–274, 2022, doi: 10.30812/matrik.v21i2.1569.
[5] P. P. Thenu, A. F. Wijaya, and C. Rudianto, “Analisis Manajemen Risiko Teknologi Informasi Menggunakan Cobit 5 (Studi Kasus: Pt Global Infotech),” J. Bina Komput. , vol. 2, no. 1, pp. 1–13, 2020, doi: 10.33557/binakomputer.v2i1.799.
[6] M. A. G. Wattimena and A. R. Tanaamah, “Analisis Manajemen Risiko Teknologi Informasi Menggunakan COBIT 5 (Studi Kasus: TSI/Teknologi dan Sistem Informasi Perpustakaan UKSW),” J. Inf. Syst. Informatics , vol. 3, no. 3, pp. 483–498, 2021, doi: 10.51519/journalisi.v3i3.183.
[7] A. Pinem, E. S. Panjaitan, and A. Andri, “Analisis Risiko Teknologi Informasi Menggunakan Metode FMEA dan SAW dengan COBIT 5,” J. Media Inform. Budidarma , vol. 5, no. 4, p. 1688, 2021, doi: 10.30865/mib.v5i4.3275.
[8] ISACA, Process  Assessment  Model  (PAM):  Using  COBIT  5  of  Enterprise  IT .  2013.  [Online].  Available: http://linkd.in/ISACAOfficial
[9] ISACA, Enabling Processes . 2012.
[10]  R. Nurhidayat and S. Handayaningsih, “Analisis Manajemen Risiko Pada Layanan Pengunduran Diri Mahasiswa Menggunakan Framework COBIT 5 Fokus Pada Mengelola Risiko (APO12),” JSTIE (Jurnal Sarj. Tek. Inform. , vol. 7, no. 1, p. 69, 2019, doi: 10.12928/jstie.v7i1.15806.
[11]  D.  A.  Prastiyawan,  A.  Ambarwati,  and  E.  Setiawan,  “Analisis  Manajemen  Risiko  Layanan  Sistem  Manajemen  Dealer Menggunakan  COBIT  5,” Matrix    J.  Manaj.  Teknol.  dan  Inform. ,  vol.  10,  no.  2,  pp.  43–49,  2020,  doi: 10.31940/matrix.v10i2.1913.
[12]  I. Zakkadiaksa, B. T. Hanggara, and B. S. Prakoso, “Evaluasi Manajemen Resiko Teknologi Informasi Menggunakan COBIT 5 dengan Domain EDM03 dan APO12 (Studi Kasus Pada UPT-TIK Universitas Brawijaya),” J. Pengemb. Teknol. Inf. dan Ilmu Komput. , vol. 4, no. 8, pp. 2329–2337, 2020, [Online]. Available: http://j-ptiik.ub.ac.id/index.php/j-ptiik/article/view/7621
[13]  N. Z. Firdaus and Suprapto, “Evaluasi Manajemen Risiko Teknologi Informasi Menggunakan COBIT 5 IT Risk (Studi Kasus : PT . Petrokimia Gresik),” J. Pengemb. Teknol. Inf. dan Ilmu Komput. , vol. 2, no. 1, pp. 1–10, 2018, [Online]. Available: https://j- ptiik.ub.ac.id/index.php/j-ptiik/article/view/702
[14]  F. Muttaqin, M. Idhom, F. A. Akbar, M. H. P. Swari, and E. D. Putri, “Measurement of the IT Helpdesk Capability Level Using the COBIT 5 Framework,” J. Phys. Conf. Ser. , vol. 1569, no. 2, pp. 39–46, 2020, doi: 10.1088/1742-6596/1569/2/022039.
[15]  N. S. FARERA MESSAKH, “Analisis Sistem Informasi Berbasis Cobit 5 (Studi Kasus : LTC UKSW),” JATISI (Jurnal Tek. Inform. dan Sist. Informasi) , vol. 8, no. 1, pp. 388–400, 2021, doi: 10.35957/jatisi.v8i1.654.
[16]  E.  Zuraidah,  “Audit  Tata  Kelola  Teknologi  Informasi  Management  Menggunakan  Framework  Cobit  5  Pada  Pt  Simona,” J. PROSISKO , vol. Vol. 10 No, no. 1, pp. 1–6, 2023.
[17]  M. H. Arief and Suprapto, “Evaluasi Manajemen Risiko Teknologi Informasi Menggunakan Kerangka Kerja COBIT 5 ( Studi Kasus Pada Perum Jasa Tirta I Malang ),” J. Pengemb. Teknol. Inf. dan Ilmu Komput. , vol. 2, no. 1, pp. 101–109, 2018, [Online]. Available:
https://garuda.ristekbrin.go.id/documents?q=Evaluasi+Manajemen+Risiko+Teknologi+Informasi+Menggunakan+Kerangka+K erja+COBIT+5+%28Studi+Kasus+Pada+Perum+Jasa+Tirta+I+Malang%29
[18]  R.  D.  A.  Putra,  A.  Ambarwati,  and  E.  Setiawan,  “Evaluasi  Manajemen  Risiko  Teknologi  Informasi  Berdasarkan  Framework COBIT 5 Pada PT.BTM,” JSI J. Sist. Inf. , vol. 11, no. 2, pp. 1754–1762, 2019, doi: 10.36706/jsi.v11i2.9103.
[19]  J.  Juminovario  and  E.  S.  Negara,  “Manajemen  Risiko  Divisi  Sistem  Informasi  Pada  Universitas  Bina  Insan  Menggunakan Framework Cobit 5,” CogITo Smart J. , vol. 8, no. 2, pp. 491–500, 2022, doi: 10.31154/cogito.v8i2.435.491-500.
[20]  V. P. P. Wijaya, “Manajemen Risiko Teknologi Informasi Pada BTSI UKSW Menggunakan ISO 31000:2018,” JATISI (Jurnal Tek. Inform. dan Sist. Informasi) , vol. 9, no. 2, pp. 1295–1307, 2022, doi: 10.35957/jatisi.v9i2.2087.
[21]  F.  T.  Riadi,  A.  D.  Manuputty,  and  A.  Saputra,  “Evaluasi  Manajemen  Risiko  Keamanan  Informasi  Dengan  Menggunakan Framework Cobit 5 Subdomain Edm03 (Ensure Risk Optimisation),” J. Terap. Teknol. Inf. , vol. 2, no. 1, pp. 12–21, 2018, doi: 10.21460/jutei.2018.21.53.