## Institut Riset dan Publikasi Indonesia (IRPI)
MALCOM: Indonesian Journal of Machine Learning and Computer Science
Journal Homepage: https://journal.irpi.or.id/index.php/malcom Vol. 4 Iss. 1 January 2024, pp: 149-161 ISSN(P): 2797-2313 | ISSN(E): 2775-8575

## Assessment of IT Infrastructure Governance and Management Bank BPD XYZ Using the COBIT 2019

## Penilaian Tata Kelola dan Manajemen Infrastruktur TI Bank BPD XYZ Menggunakan COBIT 2019
I Wayan Budiana 1 , Kadek Yota Ernanda Aryanto 2 , I Made Gede Sunarya 3*
1,2,3 Pascasarjana Ilmu Komputer, Universitas Pendidikan Ganesha, Singaraja, Indonesia
E-Mail: 1 boediebali@gmail.com, 2 yota.ernanda@undiksha.ac.id,
3 sunarya@undiksha.ac.id
Received Oct 04th 2023; Revised Nov 15th 2023; Accepted Dec 20th 2023 Corresponding Author: I Made Gede Sunarya

## Abstract
Bank BPD XYZ has 144 applications which are managed independently at the Data Center and Disaster Recovery Center of Bank BPD XYZ. Based on monitoring and audit reports from regulators, several problems related to IT infrastructure management were identified. Therefore, an IT infrastructure governance and management assessment is needed using the COBIT 2019 framework. This assessment aimed to assess the current capability level and maturity level, as well as analyze the level of gaps with the expected level of capability to provide recommendations for improvment. Based on the results of filling out the design factor form, the selected objective domains that have an importance level of >70 are the objective domains  EDM03,  APO12,  APO13,  and  MEA03.  Furthermore,  after  carrying  out  the  analysis,  it  was  found  that  the capability level and maturity level values in the objective domain EDM03 were 3.44 percent 68.87% in the large category, APO12 3.45 percentage 68.93% in the large category, APO13 3.63 percentage 72.50% in the large category, and MEA03 3.63  percentage  72.50%  in the  large  category.  There  is  a  gap  in  each  selected  objective  domain;  the  gap  value  in  the EDM03 objective domain is 0.57, APO12 0.55, APO13 0.37, and MEA03 0.38. These results are a description of the current governance and management of Bank BPD XYZ in managing the IT infrastructure that has been implemented.
Keyword: Bank BPD XYZ, COBIT 2019, Governance, IT Infrastructure, Management

## Abstrak
Bank BPD XYZ telah memiliki 144 aplikasi yang dikelola secara mandiri di Data Center dan Disaster Recovery Center Bank BPD XYZ. Berdasarkan laporan monitoring dan audit dari regulator, terindentifikasi beberapa permasalahan yang terkait  dengan  pengelolaan  infrastruktur  TI.  Oleh  karena  itu,  diperlukan  sebuah  penilaian  tata  kelola  dan  manajemen infrastruktur TI menggunakan kerangka kerja COBIT 2019 yang bertujuan untuk menilai seberapa besar capability level dan maturity level saat ini, serta menganalisis tingkat kesenjangan ( gap ) dengan tingkat yang diharapkan yang selanjutnya akan digunakan sebagai dasar untuk memberikan rekomendasi perbaikan. Hasil pengisian formulir design factor oleh top level  management, domain obyektif yang memiliki tingkat kepentingan ≥ 70 yaitu EDM03 Ensured  Risk  Optimization , APO12 Managed  Risk ,  APO13 Managed  Security ,  dan  MEA03 Managed  Compliance  with  External  Requirement . Berdasarkan hasil pengisian kuesioner obyektif terpilih, setelah dilakukan analisis didapatkan nilai pada domain obyektif EDM03 3,44 persentase 68,87% largely, APO12 3,45 persentase 68,93% largely , APO13 3,63 persentase 72,50% largely , dan  MEA03  3,63  persentase  72,50% largely .  Terdapat  kesenjangan  (gap)  pada  setiap  domain  obyektif  terpilih,  nilai kesenjangan  pada  domain  obyektif  EDM03  0,57,  APO12  0,55,  APO13  0,37,  dan  MEA03  0,38.  Hasil  ini  merupakan deskripsi tata kelola dan manajemen Bank BPD XYZ saat ini dalam mengelola infrastruktur TI yang telah dilaksanakan.
Kata Kunci: Bank BPD XYZ, COBIT 2019, Infrastruktur TI, Manajemen, Tata Kelola

## 1. PENDAHULUAN
Teknologi  informasi  telah  menjadi  salah  satu  kebutuhan  utama  dan  mutlak  bagi  Bank.  Teknologi informasi  tidak  hanya  dipergunakan  untuk  mendukung  kegiatan  operasional  sehari-hari,  tetapi  juga  untuk mendukung proses pengambilan keputusan oleh manajemen dan memberikan layanan yang optimal kepada semua pemangku kepentingan Bank [1].
Untuk memastikan penyelenggaraan teknologi informasi yang baik, perlu dilaksanakan tata kelola dan manajemen teknologi informasi komprehensif, mulai dari tahap perencanaan, pelaksanaan, pengendalian dan evaluasi. Tujuan dari langkah-langkah ini adalah untuk meminimalisasi risiko penggunaan teknologi informasi dan untuk melindungi kepentingan Bank dan nasabahnya. Hal ini sejalan dengan peraturan yang dikeluarkan oleh  Otoritas  Jasa  Keuangan  (OJK)  melalui  Peraturan  OJK  (POJK)  Nomor  38/POJK.03/2016  tanggal  1 Desember  2016,  yang  telah  mengalami  perubahan  sebagaimana  diatur  Peraturan  Otoritas  Jasa  Keuangan Nomor  13/POJK.03/2020  tanggal  24  Maret  2020.  Serta  Surat  Edaran  OJK  (SEOJK)  Surat  Edaran  OJK (SEOJK)  Nomor  21/SEOJK.03/2017  tanggal  6  Juli  2017  tentang  Penerapan  Manajemen  Risiko  Dalam Penggunaan  Teknologi  Informasi  Oleh  Bank  Umum,  mewajibkan  semua  bank  umum  untuk  menerapkan manajemen risiko dalam penggunaan teknologi informasi secara konsisten dan berkelanjutan [2].
Bank  BPD  XYZ  merupakan  Badan  Usaha  Milik  Daerah  (BUMD)  Pemerintah  Provinsi  Bali  yang memiliki aktivitas nasional dan international. Saat ini, Bank BPD XYZ memiliki 144 aplikasi  yang beragam dan terintegrasi seperti core banking system, operation support system, external application, customer support system, IT value solution, analitical support system. Semua aplikasi ini dijalankan di dalam infrastruktur TI yang  dikelola  secara  mandiri di  gedung Data  Center dan Disaster  Recovery  Center Bank  BPD  XYZ  [3]. Infrastruktur  TI  Bank  BPD  XYZ  mencakup  berbagai  aspek,  termasuk hardware  server,  hardware  security, network,  software , operating  system,  licensing ,  internet, server  vistualization , storage ,  serta  infrastrutkur pendukung di Data Center & Disaster Recovery Center . Selain itu, infrastruktur TI juga diimplementasikan di seluruh kantor operasional Bank BPD XYZ, yang mencakup perangkat komunikasi data, endpoint computer , mesin ATM dan lainnya [3].
Namun,  dengan  meningkatnya  kompleksitas  pengembangan  aplikasi  sejalan  dengan  pengembangan infrastruktur TI, timbul permasalahan-permasalahan tertentu terutama terkait infrastruktur TI. Permasalahan- permasalahan ini mencakup masalah seperti server attention, network down , database error, operating system dan  lainnya.  Selain  itu,  audit  tata  kelola  TI  yang  dilakukan  oleh  OJK  pada  triwulan  I  tahun  2023  juga mengidentifikasi  permasalahan  pada  infrastruktur  TI  yang  meliputi hardening pada  sistem  operasi  tidak konsisten,  akses  berbagi file lewat  internet  masih  terbuka,  penggunaan antivirus pada endpoint dan server belum merata, penggunaan power user belum dilakukan pengelolaan, akses media penyimpanan masih terbuka, patch  management belum  ada, backup  &  replication  server  database belum  dilakukan  pada  semua server , kelemahan pengelolaan inventaris aset infrastruktur, kelemahan pada single point of failure [3]. Untuk mengidentifkasi permasalahan-permasalahan tersebut, diperlukan penilaian terhadap tata kelola dan manajemen TI. Hal ini bertujuan untuk merespon permasahalan tersebut dan mencapai keselarasan yang maksimal antara manfaat TI untuk mendukung proses bisnis dan operasional. Tata kelola adalah serangkaian aktivitas  pengelolaan  TI  di  tingkat  perusahaan  yang  bertujuan  menyelaraskan  teknologi  informasi  terhadap bisnis, mengendalikan TI agar memberikan manfaat yang optimal bagi bisnis, mengelola risiko TI hingga ke tingkat yang dapat diterima manajemen, mengelola sumber daya teknologi informasi organisasi, dan mengukur kinerja  teknologi  informasi  [4].  Sedangkan  Manajemen  TI  adalah  aktivitas  pengelolaan,  pengaturan  dan pengontrolan sumber daya teknologi informasi berdasarkan kebutuhan dan prioritasnya [4].
Tata  kelola  dan  manajemen  infrastruktur  TI  dapat  dinilai  dengan  menggunakan  berbagai  jenis framework .  Salah  satu  yang  sudah  digunakan  secara  luas  oleh  perusahaan,  instansi  pemerintahan,  lembaga keuangan  &  non  keuangan  yang  sudah  terstandarisasi  secara  international  adalah Control  Objectives  for Information  and  Related  Technology (COBIT).  COBIT  adalah  kerangka  kerja  yang  disusun  secara komprehensif untuk tata kelola dan manajemen teknologi informasi perusahaan. COBIT diterbitkan sebagai pedoman bagi setiap organisasi untuk dapat bergerak cepat, dinamis, dan berinovasi [5]. COBIT 2019 adalah kerangka  kerja  untuk enterprise dalam  rangka  merancang  strategis  dan  tujuan  tata  kelola  perusahaan  agar memberikan nilai yang efektif kepada manajemen I&T. Dalam COBIT 2019, terdapat konsep dan terminologi terbaru, serta model inti COBIT 2019 yang memiliki total 40 domain Governance and Management Objective , yang terdiri dari 5 domain pada Governance Objective dan 35 domain Management Objective [6].
Penelitian sebelumnya yang telah dilakukan oleh Ida Ayu A. P. Dwi Putra G, Anak A. N. (2022) dengan judul “Audit Tata Kelola Teknologi Informasi Rumah Sakit Umum X Menggunakan Framework Cobit 2019”. Penelitian ini membahas mengenai audit pada sistem informasi Rumah Sakit umum X dengan titik kritis pada domain  proses  APO07,  DSS04,  BAI09  dan  APO07.  Tujuan  dari  penelitian  ini  menitikberatkan  pada pengelolaan TI serta implementasi untuk menghasilkan evaluasi dan rekomendasi perbaikan. Tata cara riset penelitian audit ini terdiri dari identifikasi tujuan bisnis, identifikasi tujuan penyelarasan, identifikasi proses TI, penyebaran kuesioner capability , analisis kuesioner capability dan penentuan nilai capability [7].
Penelitian lainnya yang dilakukan oleh Subhan Deni H, Irman Hermadi Yani N. (2022) dengan judul “Evaluasi Capability Level Infrastruktur Jaringan TI Bank ZYX Menggunakan COBIT 2019”. Penelitian ini menggunakan  pendekatan  analisis  deskriptif  kualitatif  dengan  penentuan  domain  obyektif  COBIT  2019 menggunakan  faktor  desain  yang  diisi  oleh  pimpinan  Divisi  Infrastruktur  dan  penilaian capability  level menggunakan  kuesioner  yang  disebar  kepada  responden,  pemilihan  responden  dilakukan  dengan  metode purposive sampling , pengisian kuesioner dengan menggunakan pendekatan skala Guttman [8].
Penelitian lainnya yang dilakukan oleh Riya Widayanti, Gilda Nadia V. (2021) dengan judul “Evaluasi Tingkat Capability Tata  Kelola  TI  Pada  SIAKAD  Menggunakan Framework Cobit  2019”.  Penelitian  ini berfokus pada domain proses EDM02. BAI03 dan BAI11 dengan tujuan mengetahui sejauh mana capability level siakad saat ini dapat ditingkatkan kembali untuk menunjang penggunaannya dalam perkuliahan. Saran dari penelitian untuk menghindari kesalahan pengisian kuesioner, maka dapat dilakukan dengan memberikan penjelasan lengkap mengenai kerangka kerja COBIT 2019 kepada responden sebelum memberikan kuesioner dan pemanduan dalam pengisian kuesioner [9].
Penelitian lainnya yang dilakukan oleh Satriya Dwi P, Herman, Anton Y. (2022) dengan judul “Evaluasi Tata  Kelola  Layanan Jaringan Menggunakan COBIT 2019 Pada  Sekolah Tinggi Ilmu Kesehatan”. Metode pengumpulan data penelitian ini dengan wawancara dan dokumen bukti yang ada. Penelitian ini berfokus pada domain DSS02 dan DSS05 untuk melakukan  pengukuran dan evakuasi  tingkat kematangan ( maturity level ) layanan jaringan di Sekolah Tinggi Ilmu Kesehatan [10].
Hasil yang diharapkan dari penelitian ini adalah menilai seberapa besar capability level ) dan maturity level saat  ini,  serta  menganalisis  tingkat  kesenjangan  ( gap )  dengan  tingkat  kemampuan  yang  diharapkan ( expected  capability ).  Hasil  penelitian  ini  akan  digunakan  sebagai  dasar  untuk  memberikan  rekomendasi perbaikan sesuai dengan kerangka kerja COBIT 2019 yang dapat dijadikan acuan oleh Bank BPD XYZ untuk dapat meningkatkan tata kelola dan manajemen infrastruktur TI, sehingga dapat mencapai kondisi keselarasan tata kelola dan manajemen yang diharapkan.
Beberapa  permasalahana  yang  diteliti  sehubungan  dengan  penilaian  tata  kelola  dan  manajemen infrastruktur TI Bank BPD adalah sebagai berikut.
1. Bagaimana tingkat kemampuan ( capability level) dan tingkat kematangan ( maturity level ) tata kelola dan manajemen infrastruktur TI Bank BPD XYZ saat ini ( current capability ) pada domain objektif yang telah dipilih menggunakan kerangka kerja COBIT 2019?
2. Apakah  terdapat  perbedaan  antara  tingkat  kemampuan  ( capability  level )  dan  tingkat  kematangan ( maturity  level )  saat  ini  ( current  capability )  dengan  tingkat  yang  diharapkan  ( expected  capability ), sehingga menyebabkan terjadinya kesenjangan dalam tata kelola dan manajemen infrastrurktur TI Bank BPD XYZ?
3. Bagaimana rekomendasi perbaikan yang dapat diajukan untuk menyelaraskan perbedaan gap dalam tata kelola dan manajemen infrastrutkur TI Bank BPD XYZ dengan menggunakan kerangka kerja COBIT 2019?

## 2. METODELOGI PENELITIAN
Tujuan  dari  penerapan  metodologi  penelitian  ini  adalah  untuk  menjadikan  proses  penelitian  lebih terstruktur,  sistematis,  terkendali,  dan  terarah.  Selain  itu,  metode  penelitian  juga  bertujuan  untuk memungkinkan pemantauan perkembangan dan tingkat keberhasilan penelitian, serta untuk menentukan output yang diharapkan dari setiap input secara berurutan. Adapun tahapan penelitian ini ditunjukkan pada gambar 1.

## 2.1. Tahapan Penelitian
Tahapan penelitian yang dilakukan adalah sebagai berikut.
1. Identifikasi Masalah
Permasalahan  terkait  tata  kelola  dan  manajemen  infrastruktur  TI  pada  Bank  BPD  XYZ  telah diidentifikasi.
2. Studi Kepustakaan
Studi  literatur  adalah  serangkaian  kegiatan  yang  melibatkan  proses  pengumpulan  data  dengan melakukan  penelaahan  terhadap  sumber-sumber  informasi  seperti  buku-buku,  literatur-literatur, catatan-catatan,  dan  laporan-laporan  yang  ada  hubungannya  dengan  masalah  yang  dipecahkan  [12]. Dalam  konteks  penelitian  ini,  studi  literatur  dilakukan  untuk  memperoleh  informasi,  referensi,  serta panduan yang sesuai dengan masalah yang sedang diinvestigasi.
3. Menentukan Domain Objektif COBIT 2019
Proses wawancara kepada jajaran top level management untuk menentukan objektif terpilih berdasarkan design factor . Terdapat 10 proses tahapan-tahapaan (input) dalam melakukan pemetaan design factor, yang juga mencerminkan proses-proses dengan tingkat resiko yang tinggi [10]. Selanjutnya, pemetaan design  factor dilakukan  untuk  mengetahui  domain  objektif  terpilih  yang  akan  digunakan  dalam melakukan  penilaiain  berdasarkan  kondisi  dan  permasalahan  di  Bank  BPD  XYZ  yang  telah diidentifikasi.
4. Kuesioner Capability Level dan Maturity Level COBIT 2019 Teknik pengumpulan data pada penelitian yang dilakukan di Bank BPD XYZ menggunakan metode kuantitatif. Metode kuantitatif berupa kuesioner ditujukan kepada responden terpilih untuk tingkat kemampuan (capability level for process), dan tingkat kematangan (maturity level focus area) dalam pengelolaan tata kelola dan manajemen infrastruktur TI Bank BPD XYZ dengan rentang nilai 0 – 5.
Gambar 1. Tahapan Penelitian
5. Penilaian Capability Level Proses COBIT 2019. Capability Level Process (CLP) merupakan tingkat kemampuan suatu proses dalam sebuah organisasi. CLP digunakan untuk mengukur sejauh mana suatu proses mampu mencapai tujuannya dan sejauh mana proses tersebut dijalankan dengan efektif. CLP diukur pada skala dari 0 hingga 5, dengan setiap tingkat memiliki deskripsi yang menggambarkan karakterstik. Berikut rumus yang digunakan untuk penilaian capability level.
𝑪𝑳𝑷 = ∑ 𝑇𝑜𝑡𝑎𝑙 𝑎𝑐𝑡𝑖𝑣𝑖𝑡𝑦 𝑠𝑐𝑜𝑟𝑒 (𝑇𝑜𝑡𝑎𝑙 𝑟𝑒𝑠𝑝𝑜𝑛𝑑𝑒𝑛𝑡𝑠 𝑥 𝑡𝑜𝑡𝑎𝑙 𝑎𝑐𝑡𝑖𝑣𝑖𝑡𝑦) (1)
Persentase pada hasil pencapaian dengan rumus sebagai berikut.
𝑷𝒆𝒓𝒄𝒆𝒏𝒕𝒂𝒈𝒆 = 𝐴𝑐ℎ𝑖𝑒𝑣𝑒𝑚𝑒𝑛𝑡 𝑆𝑐𝑜𝑟𝑒 𝑀𝑎𝑥𝑖𝑚𝑢𝑚 𝑠𝑐𝑜𝑟𝑒 𝑥 100 (2)
Rating pada setiap hasil pencapaian yang didapat dengan ketentuan.
Tabel 1. Skala Penilaian [13]
6. Penilaian Maturity Level Proses COBIT 2019 Maturity  level digunakan  mengontrol  proses-proses  teknologi  informasi  menggunakan framework COBIT  dengan  informasi  metode  penilaian  / scoring tujuannya  supaya  organisasi  dapat  mengetahui posisi  kematangan  teknologi  informasi  saat  ini  dan  organisasi  dapat  terus  menerus  berusaha meningkatkan level- nya sampai tingkat tertinggi agar aspek governance terhadap teknologi informasi dapat  berjalan  dengan  lancar.  MLFA  ( Maturity  Level  of  Focus  Area )  adalah  salah  satu  metrik  yang digunakan untuk mengukur tingkat kematangan organisasi dalam fokus area tententu.  Berikut rumus yang digunakan dalam penilaian maturity level [14].
𝑴𝑳𝑭𝑨 = ∑ 𝑇𝑜𝑡𝑎𝑙 𝑐𝑎𝑝𝑎𝑏𝑖𝑙𝑖𝑡𝑦 𝑠𝑐𝑜𝑟𝑒 (𝑇𝑜𝑡𝑎𝑙 𝑑𝑜𝑚𝑎𝑖𝑛 𝑝𝑟𝑜𝑠𝑒𝑠)
(3)
Persentase pada hasil pencapaian dengan rumus sebagai berikut.
𝑷𝒆𝒓𝒄𝒆𝒏𝒕𝒂𝒈𝒆 = 𝐴𝑐ℎ𝑖𝑒𝑣𝑒𝑚𝑒𝑛𝑡 𝑆𝑐𝑜𝑟𝑒 𝑀𝑎𝑥𝑖𝑚𝑢𝑚 𝑠𝑐𝑜𝑟𝑒 𝑥 100 (4)

## 7. Analisis Capability Level
Setelah mendapatkan nilai capability level tata kelola teknologi informasi menggunakan domain proses terpilih, maka langkah selanjutnya adalah menyimpulkan analisis dari hasil penilaian capability level.

## 8. Analisis Maturity Level
Setelah mendapatkan nilai maturity level tata kelola teknologi informasi menggunakan domain objektif terpilih, maka langkah selanjutnya adalah menyimpulkan analisis dari hasil penialian maturity level.
9. Analisis Tingkat Kesenjangan ( gap level )
Analisis  tingkat  kesenjangan  dilakukan  dengan  melihat  kondisi  proses  TI  yang  ada    diperusahaan perusahaan saat ini ( current capability ) dengan cara menyebarkan kuesioner lalu dibandingkan dengan kondisi  proses  TI  yang  diinginkan  oleh  perusahaan  ( expected  capability ).  Rumusnya  adalah  sebagai berikut.
Gap (Kesenjangan) = Target Maturity Level - Current Maturity Level
(5)
10. Perumusan Rekomendasi dan Perbaikan
Rekomendasi  diberikan  berdasarkan  nilai  kesenjangan  ( gap )  pada  setiap  domain  proses  berdasarkan rekomendasi COBIT 2019. Hasil rekomendasi diberikan sebagai bahan evaluasi dalam pengelolaan tata kelola dan manajemen infrastruktur TI di Bank BPD XYZ.

## 2.2. Komposisi Responden
Penelitian ini dilakukan di Bank BPD ZYX yang melibatkan jajaran top level management yang secara langsung terlibat dalam pengelolaan dan penetapan kebijakan tata kelola dan manajemen infrastruktur TI serta yang  menentukan  menentukan  objektif  dari factor  design .  Responden  pada  penentuan capability  level dan maturity level operasional pada Bank BPD XYZ tidak berbeda jauh dengan responden pada penentuan objektif proses  perusahaan,  namun  pada  penentuan capability melibatkan staf Divisi  Teknologi  Informasi  untuk pengisian kuesionernya berdasarkan pada RACI chart yang dibuat.

## 2.2.1  Responden Kuesioner Objektif Proses
Tabel 2. Responden Pengisian Formulir Design Factor
No Divisi Teknologi Informasi Jumlah 1 Direktur Operasional dan TI 1 2 Kepala Divisi Teknologi Informasi 1 Skala Keterangan Pencapaian Penilaian Capability Model N Not Achieved 0% sd.15% Tidak ada bukti pencapaian dari proses yang dinilai. P Partially Achieved >15% sd. 50% Ada beberapa bukti pencapaian dari proses yang dinilai. L Largely Achieved >50% sd. 85% Ada  bukti  secara  sistematis  dan  hasil  yang  nyata  dari proses  yang  dinilai,  namun  masih  terdapat  kelemahan dalam proses penilaian. F Fully Achieved >85% sd. 100% Ada bukti yang lengkap dan sistematis dan prestasi yang baik dari proses yang dinilai.
No Divisi Teknologi Informasi Jumlah 3 Kepala Bagian Technical Support 1 4 Kepala Bagian Help Desk & Data Center 1 5 Kepala Bagian Security & Governance, Risk, Compliance 1 6 Kepala Bagian Pengembangan Aplikasi 1
2.2.2  Responden Kuesioner Capability Level dan Maturity Level
Tabel 3. Responden Kuesioner Capability Level dan Maturity Level

## 3. HASIL DAN PEMBAHASAN
3.1. IT Governance Design Factor
IT Governance Design Factor terdapat 11 tahapan, dimana dalam menentukan titik kritis dengan design factor . Menentukan nilai design factor , yang pertama kali dilakukan adalah memahami konteks dan strategi perusahaan,  setelah  itu  menentukan  lingkup  awal  sistem  tata  kelola  ( design  factor 1-4)  dan  memperbaiki lingkup sistem tata kelola ( design factor 5-11) hingga yang terakhir adalah menyimpulkan design sistem tata kelola.  Berdasarkan  hasil  pemetaan  semua design  factor dapat  disimpulkan  domain  objektif  yang  memiliki nilai ≥ 70 % adalah.
1. EDM03 : Endured Risk Optimization 2. APO12 : Managed Risk 3. APO13 : Managed Security 4. MEA03 : Managed Compliance With Externet Requirements
Kepentingan yang memiliki ≥ 70 % yaitu EDM03, APO12, APO13 dan MEA03 menjadi objektif yang memiliki  nilai  lebih  tinggi  dan  objektif  yang  membutuhkan  tingkat  kemampuan  4  dibandingkan  objektif lainnya yang menjadi situasi tolak ukur dalam menyimpulkan objektif yang akan dievaluasi kedalam titik kritis, sehingga  EDM03,  APO12,  APO13  dan  MEA03  adalah  objektif  proses  yang  akan  dilanjutkan  ke  tahapan penilaian titik kritis.

## 3.2. Penilaian Capability Level
Hasil  penilaian capability  level pada  domain  objektif  EDM03,  APO12,  APO13  dan  MEA03  adalah sebagai berikut.
Tabel 4. Hasil Penilaian Capability Level Domain Proses Domain Proses Hasil Penilaian Persentase Katagori EDM03.01 3,44 68,90 % Largely EDM03.02 3,36 67,00 % Largely EDM03.03 3,53 71,00 % Largely APO12.01 3,39 67,80 % Largely APO12.02 3,35 67,01 % Largely APO12.03 3,34 67,02 % Largely APO12.04 3,64 72,01 % Largely APO12.05 3,34 68,52 % Largely APO12.06 3,51 70,11 % Largely APO13.01 3,67 73,50 % Largely APO13.02 3,54 70,71 % Largely APO13.03 3,67 73,33 % Largely MEA03.01 3,57 71,42 % Largely MEA03.02 3,64 72,78 % Largely MEA03.03 3,66 73,11 % Largely MEA03.04 3,63 72,50 % Largely No Divisi Teknologi Informasi Jumlah 1 Kepala Divisi Teknologi Informasi 1 2 Kepala Bagian Technical Support 1 3 Kepala Bagian Help Desk & Data Center 1 4 Kepala Bagian Security & Governance, Risk, Compliance 1 5 Kepala Bagian Pengembangan Aplikasi 1 6 Officer Infrastrutkur Server 3 7 Officer Infrastrutkur Network 2 8 Officer Secutiry & Governance, Risk, Compliance 2 9 Officer Help Desk & Data Center 9 10 Officer Pengembangan Aplikasi 15 Total 36

## 3.3. Penilaian Maturity Level
Hasil  pencapaian maturity  level pada  domain  objektif  EDM03,  APO12,  APO13,  &  MEA03  adalah sebagai berikut.
Tabel 5. Hasil Penilaian Maturity Level Domain Objektif Domain Proses Hasil Penilaian Persentase Katagori EDM03 3,44 68,87 % Largely APO12 3,45 68,93 % Largely APO13 3,63 72,53 % Largely MEA03 3,63 72,50 % Largely

## 3.4. Analisis Capability Level
Berdasarkan hasil penilaian capability level proses pada domain obyektif EDM03, APO12, APO13, & MEA03 adalah sebagai berikut.
Tabel 6. Analisis Maturity Level Domain Proses EDM03, APO12, APO13 & MEA03
Domain Proses Nilai Capability Level Deskripsi EDM03.01 3,44 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini  dapat mencakup  peningkatan  dalam  proses  evaluasi  risiko,  pengelolaan  risiko,  atau penerapan tindakan perbaikan  untuk meminimalkan risiko secara  lebih efektif serta libatkan pemangku kepentingan yang lebih banyak.
EDM03.02 3,36 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini  dapat mencakup peningkatan dalam memberikan arahan strategis terkait manajemen risiko  penggunaan  infrastruktur  TI  kepada  semua  karyawan/ti  Bank, meningkatkan pelatihan & pendidikan kepada karyawan/ti TI, mengintegrasikan manajemen  risiko  dalam  keputusan  strategis,  atau  memperkuat  keterlibatan tingkat manajemen dalam proses manajemen risiko. EDM03.03 3,53 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini  dapat mencakup peningkatan dalam proses pemantauan manajemen risiko, konsistensi dalam  proses  monitoring  dan  pelaporan  infrastruktur  TI,  melakukan  audit minimal  1  tahun  sekali  khusus  pada  infarstrutkur  TI,  pengembangan  metrik risiko yang lebih efektif, atau peningkatan dalam pelaporan hasil pemantauan. APO12.01 3,39 Bank  BPD  XYZ  belum  sepenuhnya  proaktif  dan  konsisten  meningkatkan kualitas  pengindentifikasian  risiko  dan  peningkatan  metodelogi  pengmpulan data risiko terkait penggunaan infrastruktur TI. APO12.02 3,35 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini  dapat mencakup  peningkatan  kualitas  dalam  proses  analisis  risiko,  perbarui dokumentasi  risiko,  pengelolaan risiko,  atau  implementasi  tindakan  perbaikan untuk meminimalkan risiko organisasi secara lebih efektif. APO12.03 3,40 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut  untuk  mencapai  capability  level  yang  lebih  tinggi.  Perbaikan  dapat mencakup  peningkatan  dalam  proses  pengelolaan  profil  risiko,  meningkatkan pemantauan  &  pelaporan,  peningkatan  pemantauan  profil  risiko,  atau implementasi tindakan perbaikan berkelanjutan untuk meningkatkan efektivitas manajemen risiko. APO12.04 3,60 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut untuk  mencapai  tingkat kemampuan  yang  lebih  tinggi. Perbaikan dapat mencakup  peningkatan  dalam  proses  mengartikulasikan  risiko,  melakukan analisis dampak risiko infrastruktur TI pada proses bisnis & operasional, fokus pada  keamanan  informasi,  peningkatan  kualitas  profil  risiko,  fokuskan  pada dampak risiko terhadap tujuan bisnis. APO12.05 3,43 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut untuk  mencapai  tingkat kemampuan  yang  lebih  tinggi. Perbaikan dapat mencakup peningkatan dalam proses  control untuk mengelola risiko sehingga risiko  dapat  diambil  dengan  risk  appetite  dan  toleransi,  tingkatkan  tindakan manajemen risiko sesuai strategi bisnis, menggunakan model keputusan berbasis risiko,  secara  berkala  melakukan  evaluasi  efektivitas  setiap  tindakan,  dan gunakan model keputusan berbasis risiko.
Domain Proses Nilai Capability Level Deskripsi APO12.06 3,51 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan optimalisasi lebih lanjut untuk mencapai tingkat kemampuan yang lebih tinggi. Perbaikan ini dapat mencakup  membuat  tim  tanggap  risiko,  prioritaskan  tindakan  dengan  analisis risiko, secara berkala melakukan evaluasi setiap insiden. APO13.01 3,67 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan mengoptimalisasi lebih  lanjut  untuk  mencapai  capability  level  yang  lebih  tinggi.  Perbaikan  ini dapat  mencakup  pembaharuan  kebijakan  keamanan  informasi,  evaluasi arsitektur keamanan, implementasikan standar keamanan yang jelas, pelatihan keamana  informasi  Kepada  karyawan/ti  bagian  TI,  lakukan  penilaian  risiko keamanan  secara  periodik,  pengujian  secara  berkelanjutan  keamanan infrastrutkur TI, perkuat manajemen akses, perbarui perangkat lunak & sistem secara berkalan, dan lakukan audit internal & eksternal secara berkala. APO13.02 3,54 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan mengoptimalisasi lebih  lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini dapat  mencakup  peningkatan  pembaharuan  rencana  perawatan  risiko, prioritaskan  tindakan  perawatan,  secara  rutin  melakukan  review  risiko, tingkatkan kesadaran keamanan, perbaharui tindakan pemulihan, dan terapkan prindif keamanan pada siklus Pengembangan. APO13.03 3,67 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan mengoptimalisasi lebih  lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini dapat  mencakup  peningkatan  dalam  keefektifan  proses  pemantauan  dengan menerapkan  teknologi  analitik,  pemantauan  dilakukan  secara  real  time, pemantauan  penggnaan  akses,  audit  secara  berkala,  serta  memastikan  bahwa keamanan informasi diorganisasi terus dikelola dengan baik dan sesuai dengan perubahan lingkungan dan risiko. MEA 03.01 3,57 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan mengoptimalisasi lebih  lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini dapat  mencakup  peningkatan  dalam  identifikasi  dan  pemahaman  persyaratan kepatuhan  eksternal,  lakukan  audit  secara  berkala,  secara  rutin  meninjau kebijakan dan prosedur, melakukan pendidikan & pelatihan Kepada karyawan/ti Bank BPD XYZ secara berkesinambungan, serta memastikan bahwa organisasi terus mematuhi regulasi dan persyaratan yang berlaku. MEA 03.02 3,64 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan mengoptimalisasi lebih  lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini dapat  mencakup  peningkatan  dalam  manajemen  dan  pemantauan  kepatuhan terhadap  persyaratan  eksternal,  lakukan  audit  secara  berkala,  secara  rutin meninjau kebijakan  dan  prosedur,  melakukan pendidikan  &  pelatihan  Kepada karyawan/ti Bank BPD XYZ secara berkesinambungan, peninjauan kepatuhan secara berkala. MEA 03.03 3,66 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan mengoptimalisasi lebih  lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini dapat  mencakup  peningkatan  dalam  proses  konfirmasi  kepatuhan  eksternal, penetapan  rencana  konfirmasi,  pemanataun  secara  kontinu,  melakukan  audit secara  berkala,  tingkatkan  transparansi,  dan  efisiensi  dalam  pemantauan  dan pelaporan kepatuhan. MEA 03.04 3,63 Bank BPD XYZ belum sepenuhnya melakukan perbaikan dan mengoptimalisasi lebih  lanjut  untuk  mencapai capability  level yang  lebih  tinggi.  Perbaikan  ini dapat  mencakup  peningkatan  dalam  proses  mendapatkan  jaminan  kepatuhan eksternal, melakukan audit secara berkala, melakukan pendidikan & pelatihan Kepada  karyawan/ti  Bank  BPD  XYZ  secara  berkesinambungan,  melakukan pemanataun  &  pelaporan  secara  kentinu,  manajemen  risiko  kepatuhan,  dan efisiensi dalam melibatkan pihak eksternal terkait kepatuhan.

## 3.5. Analisis Maturity Level
Berdasarkan hasil penilaian maturity level domain obyektif pada domain EDM03, APO12, APO13, & MEA03 adalah sebagai berikut.
Tabel 7. Analisis Maturity Level Domain Obyektif EDM03, APO12, APO13 & MEA03
Domain Objektif Nilai Maturity Level Deskripsi EDM03 3,44 Dengan maturity level 3.44, Bank BPD XYZ berada pada tingkat kematangan "Dikendalikan,"  yang  berarti  proses Ensured  Risk  Optimization telah diidentifikasi,  ditentukan,  dan  dijelaskan  secara  formal.  Organisasi  telah mencapai  tingkat  kematangan  di  mana  pengendalian  risiko  telah  menjadi
Domain Objektif Nilai Maturity Level Deskripsi
bagian dari proses yang terstandar, dan mungkin ada upaya untuk mengukur dan memantau efektivitasnya. Meskipun belum mencapai tingkat kematangan tertinggi, organisasi ini telah membuat kemajuan dalam pengelolaan risiko dan memiliki fondasi yang lebih kokoh dalam proses Ensured Risk Optimization. APO12 3,45 Dengan tingkat kematangan 3.45, organisasi berada pada tingkat kematangan "Dikendalikan"  pada  proses  APO12  " Managed  Risk ."  Ini  mengindikasikan bahwa  organisasi  telah  mencapai  tingkat  kematangan di  mana  pengendalian risiko telah ditentukan dan dijelaskan secara formal, dan mungkin juga telah diukur  dan  dimonitor  untuk  memastikan  efektivitasnya.  Meskipun  belum mencapai  tingkat  kematangan  tertinggi,  organisasi  ini  telah  membuat kemajuan  dalam  pengelolaan  risiko  dan  memiliki  fondasi  yang  lebih  kokoh dalam proses APO12 Managed Risk. APO13 3,63 Dengan tingkat kematangan 3.63, organisasi berada pada tingkat kematangan "Dikendalikan dan Dukungan" pada proses APO13 " Managed Security." Ini mengindikasikan  bahwa  organisasi  telah  mencapai  tingkat  kematangan  di mana pengendalian keamanan telah ditentukan dan dijelaskan secara formal, serta telah diukur dan dimonitor untuk memastikan efektivitasnya. Organisasi ini  telah  membuat  kemajuan  yang  signifikan  dalam  mengelola  aspek keamanan informasi sesuai dengan standar dan kebutuhan internal. Meskipun belum  mencapai  tingkat  kematangan  tertinggi,  tetapi  telah  menunjukkan komitmen  untuk  mengelola  keamanan  informasi  dengan  pendekatan  yang terukur dan terkontrol. MEA03 3,63 Dengan tingkat kematangan 3.63, organisasi berada pada tingkat kematangan "Dikendalikan  dan  Dukungan"  pada  proses  MEA03  " Managed  Compliance
With  External  Requirement ."  Ini  mengindikasikan  bahwa  organisasi  telah mencapai  tingkat  kematangan  di  mana  pengendalian  untuk  memenuhi persyaratan eksternal telah ditentukan dan dijelaskan secara formal. Selain itu, pengendalian  ini  diukur  dan  dimonitor  untuk  memastikan  bahwa  organisasi dapat mematuhi persyaratan eksternal secara efektif.
Organisasi dengan tingkat kematangan ini telah menunjukkan komitmen dan kemampuan  untuk  mengelola  kepatuhan  terhadap  persyaratan  eksternal, seperti  peraturan  industri,  standar  keamanan,  atau  regulasi  pemerintah.
Meskipun  belum  mencapai  tingkat  kematangan  tertinggi,  namun  telah mencapai  tingkat  kontrol  dan  dukungan  yang  dapat  diandalkan  dalam menghadapi persyaratan eksternal yang berlaku.

## 3.6. Tingkat Kesenjangan
Tingkat  kesenkangan  pada  domain  obyektif  EDM03,  APO12,  APO13  dan  EDM03  adalah  sebagai berikut.
Tabel 8. Tingkat Kesenjangan Domain Objektif EDM03, APO12, APO13 & MEA03 Domain Proses Pencapaian Saat Ini Nilai Diharapkan Kesenjangan EDM03.01 3,44 4,00 0,56 EDM03.02 3,36 4,00 0,64 EDM03.03 3,53 4,00 0,47 APO12.01 3,39 4,00 0,61 APO12.02 3,35 4,00 0,65 APO12.03 3,34 4,00 0,60 APO12.04 3,64 4,00 0,40 APO12.05 3,34 4,00 0,57 APO12.06 3,51 4,00 0,49 APO13.01 3,67 4,00 0,33 APO13.02 3,54 4,00 0,46 APO13.03 3,67 4,00 0,33 MEA03.01 3,57 4,00 0,43 MEA03.02 3,64 4,00 0,36 MEA03.03 3,66 4,00 0,34 MEA03.04 3,63 4,00 0,37

## 3.7. Rekomendasi dan Perbaikan
Rekomendasi  perbaikan  pada  domain  obyektif  EDM03,  APO12,  APO13,  &  MEA03  adalah  sebagai berikut.
Tabel 9. Rekomendasi dan Perbaikan Domain Obyektif EDM03, APO12, APO13 & MEA03
Domain Proses Rekomendasi EDM03.01 a. Meningkatkan kualitas standarisasi dan pengelolaan BPP/SOP yang terintegrasi dengan aspek risiko TI.
b. Melakukan evaluasi manfaat risiko infrastruktur TI untuk layanan TI secara berkala.
c. Meningkatkan keterlibatan pemangku kepentingan, termasuk Pimpinan Satuan & Unit Kerja Bisnis dan Operasional dalam proses evaluasi risiko dalam penggunaan infrastruktur TI.
d. Meningkatkan  pemahaman  risiko  infrastruktur  TI  kepada  seluruh  karyawan/ti  di  Satuan  &  Unit Kerja melalui pelatihan dan training yang lebih intensif.
e. Melakukan audit internal berbasis risiko terhadap proses evaluasi risiko secara berkala.
EDM03.02
a. Melibatkan  Pimpinan  Satuan  &  Unit  Kerja  Bisnis  dan  Operasional  secara  aktif  dalam  proses memberikan arahan manajemen risiko TI.
b. Melakukan identifikasi risiko yang memerlukan respons cepat dan strategi jangka panjang.
c. Meningkatkan  pelatihan  kepada  petugas  yang  memberikan  arahan  risiko  untuk  memastikan pemahaman yang mendalam terkait risiko infrastruktur TI.
EDM03.03
a. Memastikan tanggung jawab pihak yang terlibat dalam melakukan monitoring risiko TI secara jelas, sehingga jelas peran dan tanggung jawab setiap pihak yang terlibat dalam proses monitoring.
b. Melaksanakan audit internal berbasis risiko terhadap proses monitoring risiko secara berkala dan melakukan evaluasi perbaikan.
c. Mengimplementasikan tool monitoring untuk optimize pengelolaan risiko TI.
APO12.01
a. Meningkatkan  kualitas  standarisasi  dan  pengelolaan  BPP/SOP  yang  terintegrasi  dengan  aspek risiko.
b. Meningkatkan  metodologi  pengumpulan  data  risiko  TI  untuk  memastikan  bahwa  data  yang dikumpulkan benar-benar mendukung identifikasi dan analisis risiko TI.
c. Meningkatkan  proses  pemantauan  risiko  untuk  mendeteksi  perubahan  yang  signifikan  dalam lingkungan bisnis atau TI lebih proaktif.
d. Meningkatkan proses validasi data risiko untuk memastikan bahwa data yang dikumpulkan valid, akurat, dan dapat diandalkan.
e. Mempertimbangkan untuk menerapkan kontrol tambahan ( checker & approval ) untuk melakukan validasi kualitas data risiko TI.
f. Menetapkan  siklus  pembaruan  dan  perbaikan  berkelanjutan  untuk  memastikan  bahwa  proses pengumpulan data risiko TI terus berkembang sesuai dengan perubahan lingkungan bisnis.
APO12.02
a. Meningkatkan kapabilitas analisis data untuk mendukung analisis risiko TI yang lebih kompleks.
b. Mengidentifikasi dan analisis risiko yang berkaitan dengan teknologi baru atau perubahan signifikan dalam infrastruktur TI.
c. Menyusun kebijakan maupun prosedur tentang pengelolaan pengetahuan, serta mengimplementasikan tools (misalnya KM System, e-Learning, etc ) pendukungnya.
APO12.03 a. Melakukan review secara berkala penetapan risk appetite dan risk tolerance masing-masing risiko TI disesuaikan dengan ketentuan Otoritas terikait penerapan manajemen risiko bagi Bank Umum dan MRTI serta karakteristik & kompleksitas Bank.
b. Melakukan klasifikasi profil risiko untuk memberikan pemahaman yang lebih mendalam tentang jenis risiko dan dampaknya.
c. Melibatkan  pemangku  kepentingan,  termasuk  Pimpinan  Satuan  &  Unit  Kerja  Bisnis  dan Operasional, secara lebih aktif dalam pengelolaan profil risiko.
APO12.04 a. Melibatkan  pemangku  kepentingan,  termasuk  Pimpinan  Satuan  &  Unit  Kerja  Bisnis  dan Operasional, dalam proses mengartikulasikan risiko TI.
b. Mengidentifikasi risiko TI terus menerus yang dapat mempengaruhi kehandalan dan ketersediaan layanan TI.
APO12.05 a. Meningkatkan  metodologi  yang  digunakan  untuk  menetapkan  portofolio  tindakan  manajemen risiko infrastruktur TI.
b. Melibatkan  pemangku  kepentingan,  termasuk  Pimpinan  Satuan  &  Unit  Kerja  Bisnis  dan Operasional, dalam menetapkan portofolio tindakan.
c. Menerapkan  model  keputusan  berbasis  risiko  untuk  membantu  dalam  menetapkan  prioritas  dan merumuskan portofolio tindakan.
APO12.06
a. Membentuk tim tanggap risiko khusus untuk menangani respons terhadap risiko infrastruktur TI.
b. Memfokuskan upaya pada risiko yang memiliki dampak signifikan atau kemungkinan tinggi.
c. Melakukan latihan dan simulasi tanggapan risiko secara berkala.
d. Meningkatkan evaluasi setiap insiden atau kejadian risiko dan pelajari dari pengalaman tersebut.
APO 13.01 a. Melakukan  audit  dan  sertifikasi  sistem  manajemen  keamanan  informasi  (ISMS)  standar internasional seperti ISO/IEC 27001:2017.
b. Meningkatkan  arsitektur  dan  evaluasi  menyeluruh  terhadap  arsitektur  keamanan  infrastruktur  TI untuk memastikan perlindungan yang memadai terhadap ancaman keamanan.
c. Menambah  personil  IT Security dan  sertakan  pelatihan  keamanan  informasi  secara  teratur  untuk personel TI dan pemangku kepentingan lainnya.
Domain Proses Rekomendasi d. Memastikan ada mekanisme tanggap cepat untuk insiden keamanan dengan membuat TRIPI (Tim Respon Insiden Pengamanan Informasi).
e. Melakukan uji keamanan rutin pada infrastruktur TI untuk mengidentifikasi kerentanan.
f. Memperkuat kontrol akses ke infrastruktur TI ( Server, Database, Virtualisasi Server , Hypervisor Virtualisasi,  Perangkat  Komunikasi,  Perangkat Security dan  sebagainya)  dan  melakukan  update credential secara berkala.
g. Meningkatkan kolaborasi dengan pihak eksternal, seperti lembaga keamanan dan vendor keamanan, untuk mendapatkan wawasan dan saran terkait risiko keamanan TI.
APO 13.02
a. Memberikan  prioritas  pada  tindakan  pemeliharaan  risiko  berdasarkan  dampak  dan  kemungkinan risiko.
b. Melakukan review risiko secara rutin untuk memastikan bahwa rencana pemeliharaan masih efektif.
c. Melakukan  latihan  dan  simulasi  secara  rutin  untuk  menguji  respons  dan  keefektivan  rencana pemeliharaan risiko.
d. Meningkatkan kesadaran keamanan di seluruh organisasi untuk mendukung pelaksanaan rencana pemeliharaan risiko.
e. Menerapkan prinsip keamanan informasi pada tahap pengembangan dan implementasi infrastruktur TI baru.
APO 13.03
a. Meningkatkan  pemantauan  pengguna  dan  akses  secara  cermat  untuk  mendeteksi  aktivitas  yang mencurigakan.
b. Melakukan audit secara berkala terhadap keefektivan sistem pemantauan keamanan.
c. Malakukan analisis mendalam terhadap kejadian dan insiden keamanan yang terdeteksi.
d. Menyertakan pemantauan kepatuhan terhadap kebijakan keamanan dan regulasi yang berlaku.
e. Melakukan evaluasi penanganan insiden dalam bentuk laporan mingguan, bulanan termasuk analisis trend insiden.
MEA 03.01 a. Menggunakan  audit  internal  untuk  memastikan  bahwa  proses  identifikasi  persyaratan  kepatuhan berjalan dengan baik.
b. Menentukan metrik yang dapat mengukur tingkat kepatuhan terhadap persyaratan eksternal.
c. Secara rutin melakukan review kebijakan dan prosedur yang terkait dengan persyaratan kepatuhan eksternal.
d. Menyertakan pembaruan berkala dari otoritas regulator atau sumber kepatuhan eksternal lainnya.
MEA 03.02 a. Melibatkan  pemeriksaan  independen  untuk  meninjau  dan  mengevaluasi  efektivitas  sistem pengelolaan kepatuhan.
b. Melakukan pelatihan secara berkala kepada personel yang terlibat dalam manajemen kepatuhan.
c. Mengintegraskan manajemen risiko ke dalam proses manajemen kepatuhan untuk mengidentifikasi dan mengelola risiko yang terkait dengan kepatuhan.
d. Menjalin kerjasama  yang  kuat dengan  pihak  eksternal,  seperti  regulator  atau  lembaga  kepatuhan, untuk memahami perubahan regulasi dan memastikan pemenuhan.
e. Melakukan  peninjauan  kepatuhan  secara  berkala  untuk  memastikan  bahwa  semua  persyaratan eksternal dipatuhi dengan benar.
f. Melakukan review kebijakan  dan  prosedur  secara  berkala  minimal  1  kali  dalam  1  tahun  agar senantiasa selaras dengan kebijakan regulator dan proses yang berjalan di Bank ZYZ.
MEA 03.03 a. Membuat inventarisasi ( compliance register checklist ) regulasi terkait TI dan melakukan evaluasi pemenuhan kepatuhannya serta permasalahan dan tindaklanjutnya secara periodic.
b. Melakukan automatisasi sebanyak mungkin dalam proses konfirmasi untuk meningkatkan efisiensi dan mengurangi risiko kesalahan manusia.
c. Menentukan rencana konfirmasi yang jelas, termasuk waktu pelaksanaan, pihak yang terlibat, dan metode yang digunakan.
d. Melakukan  pengujian  periodik  terhadap  proses  konfirmasi  untuk  memastikan  kehandalan  dan keefektifannya.
MEA 03.04
a. Melakukan review Sistem Tata Kelola TI yang mengacu pada ketentuan Regulator dan best practice. Review dilakukan ketika terjadi perubahan ketentuan Regulator, perubahan proses bisnis, perubahan struktur organisasi atau aspek lainnya yang berdampak terhadap pelaksanaan tata kelola TI.
b. Melakukan audit dan evaluasi periodik terhadap proses mendapatkan jaminan kepatuhan.
c. Memberikan pelatihan secara berkala kepada tim internal yang terlibat dalam proses mendapatkan jaminan kepatuhan.
4. KESIMPULAN

## 4.1. Rangkuman
Penilaian  dengan  judul  Penilaian  Tata  Kelola  dan  Manajemen  Infrastruktur  TI  Bank  BPD  XYZ Menggunakan  COBIT  2019  dilakukan  untuk  mengetahui  tingkat  kemampuan  ( capability  level) dan  tingkat kematangan ( maturity level ), tingkat kemampuan ( capability level ) dan tingkat kematangan ( maturity level ) saat ini ( current capability ) dengan tingkat yang diharapkan ( expected capability ) dalam rangka tata kelola dan manajemen infrastruktur TI.
Fokus penelitian difokuskan pada EDM03 Endured Risk Optimization, APO12 Managed Risk, APO13 Managed  Security, dan  MEA03 Managed  Compliance  With  Externet  Requirements. Dalam  penelitian  ini diberikan rekomendasi perbaikan yang bertujuan unutk menyelaraskan tata kelola dan manajemen infrastruktur TI  dengan  COBIT  2019.  Data  hasil  penelitian  ini  yang  diperoleh  adalah  data  kuantitatif  yang  diolah berdasarkan hasil pengisian formulir tingkat kepentingan yang relevan oleh top level management dan menjadi titik  kritis  Bank  BPD  XYZ  dengan  nilai  kepentingan  >  70%  yaitu  pada  domain  objektif  EDM03,  APO12, APO13, dan EDM03.
Penentuan  responden  dilakukan  dengan  menggunakan  diagram  RACI Chart dimana  peran  yang  ada pada diagram RACI Chart dipetakan sesuai dengan peran atau fungsi dan jabatannya yang terdapat pada Bank BPD XYZ. Peran yang dimaksud adalah data yang dipilih yang berperan sebagai Responsible (R), Accountable (A),  Consulted  (C)  dan Informed  (I) [15].  Berdasarkan  hasil  pemetaan  diperoleh  responden capability  level sebanyak 36 (tiga puluh enam) orang yang terdiri dari pemangku kepentingan yang memiliki fungsi, tugas dan tanggung jawab di Bank BPD XYZ.
Hasil  penilaian  tingkat  kemampuan  ( capability  level )  dan  tingkat  kematangan  ( maturity  level )  pada domain objektif EDM03 adalah 3,44 dengan persentase 68,87% katagori largely , nilai domain objektif APO12 adalah  3,45  dengan  persentase  68,93%  katagori largely, nilai  domain  objektif  APO13  adalah  3,63  dengan persentase 72,50% atagori largely, dan nilai domain objektif MEA03 adalah 3,63 dengan persentase 72,50% katagori largely .  Terdapat  kesenjangan  ( gap )  pada  setiap  domain  objektif  terpilih,  nilai  kesenjangan  pada domain objektif EDM03 adalah 0,57, APO12 0,55, APO13 0,37, dan MEA03 0,38.

## 4.2. Kesimpulan
Kesimpulan Karakteristik dari penilaian tata kelola dan manajemen infrastruktur TI Bank BPD XYZ dengan  menggunakan  kerangka  kerja  COBIT  2019  berfokus  pada  domain  obyektif  EDM03 Endured  Risk Optimization dengan  domain  proses  (EDM03.01,  EDM03.02,  dan  EDM03.03),  domain  obyektif  APO12 Managed  Risk dengan  domain  proses  (APO12.01,  APO12,02,  APO12.03,  APO12.04,  APO12.05,  dan APO12.06) , domain obyektif APO13 Managed Security dengan domain obyektif (APO13.01, APO13.02, dan APO13.03) , dan domain obyektif MEA03 Managed Compliance With Externet Requirements dengan domain proses (MEA03.01, MEA03.02, MEA03.03, dan MEA03.04) . Representasi hasil pengolahan dan analisis hasil kuesioner tingkat kemampuan ( capability level ) didapatkan nilai untuk domain proses EDM03.01 dengan nilai 3,44, EDM03.02 3,36, EDM03.03 3,53, APO12.01 3,39, APO12.02 3,35, APO12.03 3,34, APO12.04 3,64, APO12.05  3,34,  APO12.06  3,51,  APO13.01  3,57,  APO13.02  3,54,  APO13.03  3,67,  MEA03.01  3,57, MEA03.02 3,64, MEA03.03 3,66, dan MEA03.04 3,63. Selanjutnya tingkat kematangan ( maturity level ) untuk domain obyektif EDM03 sebesar 3,44 persentase 68,87% largely achieved , APO12 sebesar 3,45 persentase 68,93% largely achieved , APO13 sebesar 3,63 persentase 72,50% largely achieved , dan MEA03 sebesar 3,63 persentase 72,50% largely achieved . Tingkat  kemampuan  ( capability  level )  dan  tingkat  kematangan  ( maturity  level )  yang  diharapkan ( expected capability ) pada Bank BPD XYZ berdasarkan hasil wawancara dan pengisian design factor pada domain obyektif yang terpilih yaitu pada EDM03, APO12, APO13, MEA03 dengan target 4. Berdasarkan hasil penilaian tingkat kemampuan ( capability level ) dan tingkat kematangan ( maturity level ) terdapat kesenjangan ( gap ) pada setiap domain obyektif terpilih, nilai kesenjangan pada domain obyektif EDM03 0,57, APO12 0,55, APO13 0,37, dan MEA03 0,38.
Rekomedasi  perbaikan  tata kelola  dan  manajemen  infrastruktur TI  Bank  BPD  XYZ  untuk  mencapai tingkat  kemampuan  ( capability  level )  dan  tingkat  kematangan  ( maturity level)  untuk  mencapai  standar maksimal fully (pencapaian capability level lebih dari 85%) tata kelola dan manajemen infrastruktur TI yang diharapkan diperolah dari hasil  analisis  kesenjangan  ( gap ). Rekomendasi  serta  saran  mengacu pada  standar COBIT 2019. Hasil tersebut digunakan sebagai acuan dalam penyusunan inisiatif rekomendasi dan selanjutnya kegiatan  rekomendasi  dan  perbaikan  untuk  mencapai  kondisi  keselarasan  tata  kelola  dan  manajemen  yang diharapkan pada Bank BPD XYZ.
Berdasarkan  hasil  penelitian  yang  telah  dilakukan,  peneliti  memiliki  beberapa  saran  yang  dapat dipertimbangkan  oleh  Bank BPD  XYZ  untuk  memperbaiki  tata  kelola  dan  manajemen  infrastruktur  TI  dan sara penelitian selanjutnya. Beberapa saran yang dapat dipertimbangkan yaitu.
1. Diharapkan  Bank  BPD  XYZ  dapat  mempertimbangkan  dan  menerapkan  rekomendasi-rekomendasi perbaikan yang telah diberikan untuk jangka pendek dan jangka panjang untuk meningkatkan performa kualitas dan keselasaran tata kelola dan manajemen infrastruktur TI.
2. Diharapkan  agar  penilaian  tata  kelola  dan  manajemen  infrastruktur  TI  dapat  dilakukan  secara berkelanjutan dan dapat dikombinasikan dengan menggunakan kerangka kerja berbeda selain COBIT.
3. Untuk  penelitian  selanjutkan  dapat  dilakukan  penilaian  tingkat  kemampuan  ( capability  level )  dan tingkat kematangan ( maturity level ) dengan tingkat yang diharapkan ( expected capability ) pada domain obyektif yang terpilih dengan target di bawah 4 ( gap riil setiap domain obyektif).

## REFERENSI
[1] Endah W., Lovinta H., M. Gilvy L.P. (2022). “Perencanaan Tata Kelola Teknologi Informasi dengan Menggunakan  Framework  Cobit  2019  pada  PT  XYZ  Balikpapan”.  J.  Computer  and  Information Technology Vol. 5 No. 2, 2 Februari 2022, e-ISSN: 2579-5317, p-ISSN: 2685-2152.
[2] Otoritas Jasa Keuangan.
(2020-2025). “Cetak Biru Transformasi Digital
Perbankan”.[Online].Available:https://www.ojk.go.id/id/berita-dan- kegiatan/infoterkini/Documents/Pages/Cetak-Biru-Transformasi-Digital-Perbankan.pdf 22 Mei 2023.
[3] PT. Bank Pembangunan Daerah Bali. (2020-2024). “Rencana Strategis Teknologi Informasi (RSTI)”.
[4] Hendrik K., Dwiyono A., Tri L. (2019). “Tata Kelola Teknologi Informasi”.
[5] Hejase, Hussin J., Hejase, Ale J., Mikdashi, Ghinwa, Al-halabi, Alaa, Alloud, Khaled, & Aridi, Rani. (2016).  Information  technology  governance  in  Lebanese  organizations.  10(21),  529–545. https://doi.org/10.5897/AJBM2016.8185. 22 Mei 2023.
[6] ISACA. (2019). “COBIT 2019 Introduction and Methodology. ISACA” .
[7] Ida  Ayu  Agung  P,  Dwi  Putra  G,  Anak  Agung  N.  (2022).  “Audit  Tata  Kelola  Teknologi  Informasi Rumah  Sakit  Umum  X  Menggunakan  Framework  COBIT  2019”.  J.  Ilmiah  Ilmu  Teknologi  dan Komputer Vol. 3, No.1, April 2022.
[8] Subhan Deni H, Irman Hermadi Yani N. (2022).  “Evaluasi Capability Level Infrastrutkur Jaringan TI Bank  XYZ  Menggunakan  COBIT  2019.”.  J.  Ilmiah  Indonesia  Vol.  7,  No.12,  Desember  2022,  e- ISSN:2548-1398, p-ISSN:2541-0849.
[9] Keszya Wabang, Yusiana Rahma, Aris Puji W. (2019). “Tata Kelola Teknologi Informasi Mengunakan COBIT 2019 Pada PSI Universitas Muria Kudus”. J. Teknologi dan Sistem Informasi Vol. VII, No.3, Agustus 2021 ISSN:2407-1811(Print), ISSN:2550-0201(Online).
[10] Muhammad Ikhsan, Dinar Mutiara Kusumo N. (2022). “Evaluasi Tata Kelola Teknologi Informasi Pada Proses  Pengelolaan  Inovasi  dan  Pengelolaan  Perubahan  Teknologi  Informasi  Menggunakan  COBIT 2019 di PT. XYZ.”  J. of Computer Science and Informatics Engineering Vol. 6, No.1, Juni 2022, e- ISSN:2541-0806, p-ISSN:2540-8895
[11] Suroto, John Friadi. (2022). “Pengukuran Tingkat Capability IT Governance Pada PT. Sarana Citranusa Kabil Menggunakan Framework COBIT 2019”. J. Ilmu Siber dan Teknologi Digital Vol. 1, No.1, 2022, [Online]. Available: https://doi.org/10.35912/jisted.v1i1.1915.
[12] Widoyoko,  Eko  Putro.  (2014).  “Teknik  Penyusunan  Instrumen  Penelitian.  Yogyakarta”.,  Pustaka Pelajar.
[13] Thio  Meiza  A.P.,  Melkior  N.N.,  Sitokdana.  (2021).  “Analisis  Tata  Kelola  Pusat  Data  dan  Informasi Kementerian XYZ Menggunakan COBIT 2019”. J. Computer Science and Technology Vol.  2 No.2 (2021) 95 – 107, ISSN 2723-1453 (Online).
[14] Satriya Dwi P, Herman, Anton Y. “Evaluasi Tata Kelola Layanan Jaringan Menggunakan COBIT 2019 Pada  Sekolah  Tinggi  Ilmu  Kesehatan”.  J.  Elektronika  Kendali  Telekomunikasi  Tenaga  Listrik Komputer Vol. 5, No.2, e-ISSN:2621-9700, e-ISSN:2654-2684.
[15] Riya  Widayanti,  Gilda  Nadia  V.  (2022).  “Tingkat  Capability  Tata  Kelola  TI  Pada  SIAKAD Menggunakan Framework COBIT 2019 ”. Open Access Article Licensed Under CC-BY Vol. 26, No.1, Juni 2022 ISSN:1410-3737 (Print), ISSN:2621-069X (Online).