Budiono, N.J., Cahyono, A.D. and Tanaem, P.F. (2021) “Evaluasi Manajemen Risiko Teknologi Informasi pada Perusahaan
Daerah Air Minum Kota Salatiga Menggunakan Framework Cobit 5.0” Sebatik, 25(1).
Submitted:  2020/12/04 Accepted:  2021/01/31 Published:  2021/06/01
DOI:10.46984/sebatik.v25i1.1174

## EVALUASI MANAJEMEN RISIKO TEKNOLOGI INFORMASI PADA PERUSAHAAN DAERAH AIR MINUM KOTA SALATIGA MENGGUNAKAN FRAMEWORK COBIT 5.0
Nathanael Julian Budiono 1) , Ariya Dwika Cahyono 2) , dan Penidas Fiodinggo Tanaem 3)
1,2,3 Sistem Informasi Fakultas Teknologi Informasi Universitas Kristen Satya Wacana
1,2,3 Jl. Dr. O. Notohamidjojo No. 1 – 10, Blotongan, Kec. Sidorejo, Kota Salatiga, Jawa Tengah 50715 E-mail : 682016027@student.uksw.edu 1) , ariyadc@uksw.edu 2) , penidas.fiodinggo@uksw.edu 3) .

## ABSTRAK
Pada  Perusahaan  Daerah  Air  Minum  Kota  Salatiga  sudah  menerapkan  dan  menggunakan  teknologi  informasi  dalam menjalankan  sebuah  proses  bisnis  untuk  mencapai  tujuan  perusahaan,  dalam  penggunaan  teknologi  infomasi  dapat menambah  nilai  efektifitas  dan  efisiensi  untuk  mencapai  tujuan  organisasi,  namun  di  sisi  lain  teknologi  informasi  juga mempunyai  risiko  yang  dapat  menyebabkan  kerugian  pada  perusahaan  dan  tidak  tercapainya  sebuah  tujuan  perusahaan, Maka  dari  itu  diperlukan  sebuah  penilaian  terhadap  pengelolaan  sebuah  manajemen  risiko  teknologi  informasi.  Analisis manajemen  risiko  teknologi  informasi  pada  penelitian  ini  menggunakan framework  COBIT  5.0 yang  berfokus  pada subdomain  EDM03  dan  APO12  dan  menghasilkan  sebuah  nilai capability  level untuk  subdomain  EDM03  berada  pada level  4 (Predictable  Process) dan  untuk  subdomain  APO12  berada  pada  level  3 (Established  Process) untuk  nilai Capability level saat ini dengan nilai Capability Level yang ingin dicapai pada subdomain EDM03 dan  APO12  memiliki GAP yang berbeda beda. Selanjutnya juga diperlukan identifikasi risiko untuk mengetahui apakah untuk saat ini risiko yang dapat  terjadi  sudah  dikontrol  dan  dapat  menurunkan  dampak  dan  kemungkinan  kerugian  dari  risiko  tersebut  dengan melakukan  penilaian  risiko  ( Risk  Assessment). Setelah  menentukan  nilai capability  level dan risk  assessment maka  dari hasil  yang  diperoleh  disusun  rekomendasi  bagi  Perusahaan  Daerah  Air  Minum  Kota  Salatiga  agar  mencapai  level  yang diinginkan  oleh  Perusahaan  Daerah  Air  Minum  Kota  Salatiga  yaitu  level  5 (Optimizing  Process) sehingga  teknologi informasi dapat lebih mendukung organisasi dalam mencapai tujuan . Kata Kunci : COBIT 5, Manajemen Risiko, Teknologi Informasi, Analisis Gap, Level Kapabilitas.

## 1. PENDAHULUAN
Risiko  TI  merupakan  risiko  pada  organisasi  yang disebabkan  oleh  penggunaan  TI  dalam  suatu  organisasi, terdiri  dari  semua  kejadian  yang  terkait  dengan penggunaan  TI  dan  memiliki  potensi  yang  berdampak pada  organisasi.(ISACA,  2012)  Adapun  pengertian manajemen  risiko  TI  menurut  (Blockdijk,  dkk,  2008) adalah  suatu  upaya  dari  perencanaan,  pengorganisasian memimpin  dan  kegiatan  untuk  meminimalkan  dampak dari  kerugian  akibat  kecelakaan  pada  biaya  yang  paling dapat  diterima.  Untuk  memenuhi  kebutuhan  spesifik organisasi keberhasilan manajemen risiko harus menyeimbangkan  pengendalian  risiko  dan  teknik  risiko pembiayaan  dengan  mempertimbangkan  visi,  misi,  nilai – nilai dan tujuan organisasi.  (Blokdijk, 2008) selain itu adapun  beberapa  faktor  yang  dapat  mendukung  sebuah proses  manajemen  risiko  TI  yaitu  dari  manajer  TI perusahaan  itu  sendiri.  Manajemen  risiko  merupakan proses yang memungkinkan manajer TI untuk menyeimbangkan  biaya  operasional  dan  biaya  ekonomi untuk  tindakan  pengamanan  dalam  upaya  melindungi sistem  IT  dan  data  yang  mendukung  misi  organisasi. (Stoneburner  dkk,  2012  Risiko  dapat  dihadapi  dengan membuat  sebuah  manajemen  risiko  yang  baik  sehingga dapat  memberikan  pertimbangan  kepada  perusahaan
secara  terstruktur  dengan  memperhatikan  segala  bentuk ketidak  pastikan  dalam  pengambilan  keputusan  dan tindakan  yang  harus  diambil  untuk  menangani  risiko tersebut.  (Robert  &  Moeller,  2011)  maka  dari  itu pentingnya  sebuah  perusahaan  untuk  melakukan  sebuah evaluasi manajemen risiko agar pengelolaan risiko dalam perusahaan dapat terlaksana  dengan baik  sehingga dapat mengurangi dampak negatif dari risiko perusahaan.
Perusahaan Daerah Air Minum Kota Salatiga sebagai Badan Usaha Milik Daerah (BUMD) sudah dirintis oleh Pemerintah  Belanda  sejak  tahun  1921.  Pada  tahun  1968 Surat  Keputusan  Walikota  madya  Kepala  Daerah Tingkat  II  Salatiga  Nomor  :  44/Kepda/Um-Pan  tanggal 30  Desember  1967  dan  Surat  Keputusan  Dewan Perwakilan  Rakyat  Daerah  Gotong  Royong  (DPRD  – GR)  Nomor  :  8/DPRD-GR/Um-Pan  tanggal  18  Mei 1968(“PDAM  Kota  Salatiga”  2015),  penyediaan  air minum  dikelola  oleh  Dinas  Air  Minum.  Perusahaan Daerah  Air  Minum  Kota  Salatiga  adalah  sebuah perusahaan  milik  daerah  yang  bergerak  di  bidang penyediaan air minum untuk Kota Salatiga untuk saat ini PDAM  kota  Salatiga  sudah  menggunakan  sistem informasi  dan  teknologi  informasi  yang  berarti  sudah tidak  menggunakan  sistem  manual  PDAM  kota  Salatiga memiliki  sistem  antara  lain  RO  (Rekening Online ),  GIS
( Geographic Information System ), SIA (Sistem Informasi  Akuntansi),  BM  (Baca  Meter)  meskipun begitu  SI/TI  yang  ada  di  PDAM  Salatiga  belum terlaksana secara maksimal, SI/TI yang belum terlaksana secara  maksimal  tentunya  akan  menimbulkan  sebuah risiko  yang  akan  mengganggu  untuk  tercapainya  sebuah tujuan proses bisnis di PDAM Kota Salatiga.
Adapun  penelitian-penelitian  terdahulu  yang  relevan dengan penelitian Evaluasi Manajemen Risiko Teknologi Informasi Menggunakan COBIT 5 IT Risk (Studi Kasus :  PT.  Petrokimia  Gresik)  oleh  Nurfitri  dan  Suprapto. Pada  penelitian  ini  Proses  evaluasi  penerapan  teknologi informasi  pada  PT.  Petrokimia  Gresik,  maka  dapat didapatkan  nilai  Capability  level  pada  subdomain  EDM 03  berada  pada  level  2  sedangkan  APO  12  berada  pada level 3.(Firdaus, 2018).
Penelitian  yang  berhubungan  selanjutnya  adalah Evaluasi  Manajemen  Risiko  Teknologi  Informasi Menggunakan  Framework  COBIT  5  (Studi  Kasus  :  PT. Kimia  Farma  (Persero)  Tbk  –  Plant  Watudakon)  oleh Novia  Dwi  Setyaningrum  dkk.  Pada  penelitian  ini menghasilkan  hasil  dari  capability  level  pada  COBIT  5 untuk  manajemen  risiko  yaitu  EDM03  ( Ensure  Risk Optimation )  dan  APO12( Managed  Risk ).  Domain EDM03  berada  pada  level  2  dan  untuk  APO12  berada pada  level  1.(Setyaningrum,  Suprapto,  and  Kusyanti 2018).
Penelitian  tentang  Evaluasi  Manajemen  Risiko Teknologi  Informasi  Menggunakan  Kerangka  Kerja COBIT 5 (Studi Kasus Pada Perum Jasa Tirta I Malang) oleh  M.  Habibullah  Arief  dan  Suprapto  penelitian  ini menghasilkan  Kemampuan  Perum  Jasa  Tirta  I  Malang dalam  menjalankan  proses Ensure  Risk  Optimation (EDM03)  dan Managed  Risk (APO12)  sama-sama berada pada level 2 yaitu Managed Process yang berarti aktivitas yang berkaitan dengan perencanaan, pemantauan  ( monitoring )  dan  penyesuaian  pada  proses Ensure Risk Optimation dan Managed Risk telah dikelola dengan  baik  oleh  Perum  Jasa  Tirta  I  Malang  serta  hasil kerjanya  telah  ditetapkan,  dipantau  dan  dikelola  dengan tepat.(Arief & Suprapto, 2018).
Penelitian  tentang  evaluasi  manajemen  risiko teknologi  informasi  menggunakan  kerangka  kerja COBIT  5.0  oleh  (Megawati  &  Syntia,  2018)  dari Program  Studi  Sistem  Informasi,  Fakultas  Sains  dan Teknologi,  UIN  SUSKA  Riau  menghasilkan  penerapan tingkat  kapabilitas  proses  evaluasi,  direct  and  monitor terkait  penerapan  sistem  under  web  pada  PT  Pegadaian Kota Pekanbaru dengan hasil pencapaian yang diperoleh berada pada level 1 ( Performed Process ) dan persentase yang diraih yaitu 87.50%.(Megawati & Syntia, 2018).
Dalam  uraian  yang  di  jelaskan  di  atas,  penulis melakukan  sebuah  penelitian  terkait  dengan  manajemen risiko  pada  Perusahaan  Daerah  Air  Minum  Kota Salatiga.  Sehingga  dapat  menghasilkan  suatu  saran  dan rekomendasi  yang  dapat  meminimalisir  risiko.  Untuk proses  penilaian  dan  analisis  menggunakan  kerangka
kerja  COBIT  5  pada  domain  EDM03  (Ensure  Risk optimization) dan APO12 (Manage Risk).

## 2. RUANG LINGKUP
Dalam  penelitian  permasalahan  ini  mencangkup sebagai berikut :
1. Cakupan permasalahannya adalah dalam penggunaan teknologi  informasi  pasti  akan  risiko  yang  dapat terjadi  pada  PDAM  Kota  Salatiga  dan  perlunya sebuah evaluasi manajemen risiko teknologi infomasi dalam pengelolaan risiko yang dapat terjadi.
2. Batasan penelitian ini adalah hanya fokus menganalisis  manajemen  risiko  teknologi  informasi menggunakan framework COBIT 5.0.
3. Hasil  yang  didapat  dari  penelitian  ini  dapat digunakan  untuk  pengukuran  nilai  kapabilitas  dan rekomendasi pengelolaan manajemen risiko teknologi informasi sesuai dengan framework COBIT 5.0.

## 3. BAHAN DAN METODE
Berikut  disajikan  tentang  dasar  teori  yang  berkaitan tentang topik penelitian dan metode yang digunakan.

## 3.1 Manajemen Risiko TI
Risiko  TI  merupakan  risiko  yang  di  hasilkan  dari penggunaan  teknologi  informasi,  yang  berpotensi menghasilkan  umpan  balik  negatif.  Adanya  pengelolaan risiko TI tersebut dapat disebut manajemen risiko TI.
Manajemen  risiko  secara  umum  merupakan  proses dengan  tujuan  untuk  mendapatkan  keseimbangan  antara efisiensi dan merealisasikan peluang untuk mendapatkan keuntungan dan meminimalkan kerentanan dan kerugian. Manajemen  risiko  harus  menjadi  proses  tanpa  henti  dan berulang  yang  terdiri  dari  beberapa  fase,  ketika diterapkan  dengan  benar,  memungkinkan  terjadinya perbaikan  terus-menerus  dalam  pengambilan  keputusan dan peningkatan kinerja. (Joint Task Force Transformation Initiative 2011)
Sebagaimana  risiko  TI  merupakan  risiko  pada organisasi  yang  disebabkan  oleh  penggunaan  TI  dalam suatu organisasi, terdiri dari semua kejadian yang terkait dengan  penggunaan  TI  dan  memiliki  potensi  yang berdampak pada organisasi.(ISACA, 2014)

## 3.2 COBIT 5.0
COBIT 5 merupakan seperangkat pedoman dan hasil dokumentasi  versi  terbaru  yang  dihasilkan  dan diterbitkan  oleh  ITGI (IT  Governance  Institute) ,  yang berfungsi untuk membantu auditor, pemangku kepentingan atau pengguna (user) dalam
menghubungkan  antara  model  kendali  bisnis  dan  model kendali TI.
COBIT  5  terbentuk  dengan  mengintegrasikan beberapa  framework  lain  seperti Risk  IT  framework , VAL  IT  2.0  dan  COBIT  4.1.  Selain  itu  COBIT  5  juga menyesuaikan  antara best  practices yang  ada  seperti ITIL V3, TOGAF dan standar relevan dari ISO.(ISACA & Lainhart 2012)
© 2021, The Author(s). This is an open access article, free of all copyright, that anyone can freely read, download, copy, distribute, print, search, or link to the full texts  or  use  them  for  any  other  lawful  purpose.  This  article  is  made  available  under  a  Creative  Commons  Attribution  4.0  International  License,  which  permits unrestricted  use,  distribution,  and  reproduction  in  any  medium,  provided  the  original  work  is  properly  cited.  SEBATIK  is  a  journal  of  the  STMIK  Widya  Cipta Dharma
Menurut  (ISACA,  2012)  terdapat  tujuh  tahapan dalam siklus implementasi COBIT 5, yaitu: 1. Initiate Programme , merupakan tahap untuk mengidentifikasi penggerak perusahaan.
2. Define  Problems  and  Opportunities ,  merupakan tahap  untuk  melakukan  penilaian  capability  level untuk  mengetahui  kondisi  organisasi  saat  ini  dan menemukan kekurangan yang dimiliki.
3. Define Road Map , merupakan tahap untuk melakukan  penetapan  target  dan  analisis  gap  untuk meningkatkan  upaya  perbaikan  dan  mengidentifikasi adanya solusi potensial.
4. Plan Programme , merupakan tahap untuk merencanakan  solusi  yang  dianggap  tepat  untuk diterapkan.
5. Execute Plan , merupakan tahap untuk mengimplementasikan solusi yang telah direncanakan serta  melakukan  pemantauan  terhadap  keselarasan bisnis.
6. Realized  Benefits ,  merupakan  tahap  transisi  secara berkelanjutan dengan  menerapkan praktik tata  kelola atau  manajemen  yang  telah  ditingkatkan  kedalam proses  bisnis  dan  memantau  perkembangannya dengan memetakan pada matriks berdasarkan kinerja dan manfaat yang ingin diperoleh.
7. Review  Effectiveness ,  merupakan  tahap  untuk melakukan  evaluasi  keberhasilan  yang  telah  dicapai, kemudian  melakukan  identifikasi  seluruh  kebutuhan perbaikan secara berkala.(ISACA & Lainhart, 2012) Menurut (ISACA, 2012), COBIT 5 telah menyediakan  dua  subdomain  proses  yang  berkaitan dengan penerapan manajemen risiko, antara lain: 1. EDM03 (Ensure Risk optimization) Dalam  proses  ini  berisi  tentang  pemahaman, artikulasi, dan komunikasi perusahaan dalam memastikan  tingkatan  risiko  dan  besarnya  toleransi yang  dapat  di  terima  perusahaan,  serta  memastikan apakah risiko – risiko yang terkait dengan Teknologi Informasi  telah  diidentifikasi  dan  di  kelola  dengan baik.  Dalam  domain  EDM03  memiliki  3  bagian domain atau subdomain proses yaitu :
1) EDM03.01 Evaluate Risk Management 2) EDM03.02 Direct Risk Management
3) EMD03.03 Monitor Risk Management
2. APO12 (Managed Risk) Dalam proses ini berisi tentang bagaimana identifikasi yang di lakukan, penilaian dan pengurangan  risiko  yang  terkait  dengan  teknologi informasi  sesuai  dengan  tingkat  toleransi  yang  telah di  tentukan  oleh  manajemen  eksekutif  perusahaan. APO12  juga  bertujuan  untuk  mengintegrasikan manajemen  risiko  teknologi  informasi  dengan manajemen  risiko  perusahaan  (ERM).  Domain APO12 memiliki 6 subdomain yaitu :
1) APO12.01 Collect Data 2) APO12.02 Analyze Risk 3) APO12.03 Maintain A Risk Profile
4) APO12.04 Articulate Risk
5) APO12.05 Define  A  Risk  Management  Action Portfolio
6) APO12.06 Respons To Risk
Dari  domain  tersebut  akan  dilakukan  penilaian Capability  Level  untuk  setiap  proses  tersebut digolongkan menjadi enam tingkatan, yaitu Level 0 (Incomplete  Process) ,  Level  1 (Performed Process) ,  Level  2 (Managed  process) ,  Level  3
(Established  Process) ,  Level  4 (Predictable process) dan Level 5 (Optimized process). (ISACA & Lainhart, 2012)

## 3.3 Risk Assessment
Risk  Assessment merupakan  proses  keseluruhan  dari Risk  analysis dan risk  evaluation.  Risk  Analysis adalah proses  sistematis  dalam  menggunakan  informasi  yang ada  untuk  menentukan  seberapa  sering  risiko  dapat terjadi  dan  seberapa  besar  dampak  yang  dihasilkan  bila risiko  tersebut  terjadi.  (Cooper,  dkk,  2004)  Proses penilaian  risiko  pada risk  analysis dapat  dilakukan dengan  metode  seperti;  bow-tie  analysis,  qualitative analysis, dan  semi quantitative analysis . Sedangkan risk evaluation adalah  proses  dalam  membandingkan  risiko yang telah diperkirakan dengan kriteria risiko yang telah ditentukan . (Cooper,dkk, 2004)

## 3.4 Metode Penelitian
Ada  beberapa  langkah  yang  akan  dilakukan  dalam penelitian  ini,  langkah  tersebut  digambarkan  pada Gambar 1.
1. Menentukan  objek  penelitian  dan  kerangka  kerja yang tepat serta menggali informasi yang terkait.
2. Melakukan  pengumpulan  data,  baik  data  primer maupun  data  sekunder  dengan  cara  melakukan pengisian lembar kerja evaluasi, melakukan observasi langsung,  melakukan  wawancara  dengan  pihak  – pihak yang berwewenang dan studi kepustakaan.
3. Mendeskripsikan  kondisi  umum  organisasi  yang meliputi  tujuan  organisasi,  penerapan  teknologi informasi dan pihak – pihak yang bertanggung jawab berdasarkan RACI Chart.
4. Melakukan  analisis  penilaian Capability  Level berdasarkan  kerangka  kerja  COBIT  5  khususnya domain  proses  EDM  03 (Ensure  Risk  optimization) dan APO 12 (Manage Risk.)
5. Melakukan gap analysis risk assessment untuk setiap risiko yang melebihi batas toleransi organisasi.
6. Membuat  rekomendasi  yang  berisi  solusi  potensial dengan  tujuan  untuk  meningkatkan  nilai  kapabilitas organisasi.
7. Menyusun  kesimpulan  yang  berisi  ringkasan  tentang semua  langkah  yang  telah  dilalui  dalam  proses penelitian  guna  menjawab  rumusan  masalah  dan tujuan dari penelitian.

## 4. PEMBAHASAN
Pembahasan  dalam  penelitian  ini  adalah  proses analisis manajemen risiko teknologi informasi menggunakan framework COBIT 5.0.

## 4.1 Hasil Observasi dan Wawancara
Observasi  dilakukan  untuk  melengkapi  kebutuhan informasi  yang  dibutuhkan  untuk  subdomain  EDM03 ( Ensure  Risk  optimization )  dan  APO12  ( Manage  Risk ) untuk evaluasi manajemen risiko sistem pada Perusahaan Daerah  Air  Minum  Kota  Salatiga.  Untuk  menghasilkan observasi  yang  baik  maka  di  lakukan  pengamatan terhadap  proses  bisnis  yang  ada  dan  masalah  -  masalah yang  ada  pada  perusahaan  tersebut.  Dari  hasil  observasi yang  dilakukan  menunjukkan  bahwa  pada  Perusahaan Daerah  Air  Minum  Kota  Salatiga  di  dapatkan  PDAM kota  Salatiga  belum  mempunyai  dokumen  tersendiri untuk  manajemen  risiko  TI.  Untuk  dokumen  risiko  TI masih  belum  tersedia  secara  lengkap  dan  detail  karena PDAM  kota  Salatiga  belum  memiliki  tim  untuk pengelolaan  risiko  teknologi  informasi  secara  spesifik sehingga  belum  bisa  untuk  melakukan  pengelolaan dokumen risiko TI secara baik.
Kemudian wawancara dilakukan sebelum memberikan kuesioner dan setelah mendapatkan kuesioner  kembali  dari  responden.  Wawancara  di lakukan  dengan  kepala  bagian  TI  dan  kepala  bagian umum  PDAM  kota  Salatiga.  Hasil  wawancara  di dapatkan  beberapa  informasi  yang  dapat  di  jadikan sebuah  parameter  pengukuran  untuk  keselarasan  antara hasil  kuesioner  dan  hasil  wawancara.  Hasil  wawancara yang  didapatkan  bahwa  PDAM  kota  Salatiga  memiliki
sistem  antara  lain  RO  (Rekening  Online),  GIS (Geographic Information System), SIA (Sistem Informasi  Akuntansi),  BM  (Baca  Meter).  Sistem  ini  di kendalikan  oleh  divisi  TI  dan  pemantau  jika  terjadi sebuah  kesalahan.  Akan  Tetapi  belum  ada  bagian  tim pengelolaan  risiko  TI  yang  terbentuk  secara  spesifik yang  dapat  mengendalikan  risiko  dan  dokumen  untuk mengendalikan  risiko  sebuah  perusahaan.  Dalam pengendalian  risiko  PDAM  kota  Salatiga  sudah menerapkan  manajemen  pengendalian  risiko  untuk memonitor  jika  terjadi  sebuah  masalah.  Hal  ini  akan  di tindak  lanjut  oleh  PIC  yang  sesuai  dengan  masing- masing kesalahan terjadi pada departemen tersebut.
Dalam  mengukur  tingkat  kematangan  penerapan teknologi di PDAM Kota Salatiga berdasarkan penyebar kuesioner  dan  wawancara  di  PDAM,  Tahap  pertama yang  dilakukan  adalah  menentukan  tujuan  bisnis  dari PDAM  berdasarkan  Visi  Misi  dan  selanjutnya  akan memetakan tujuan IT dari PDAM sesuai dengan COBIT 5  menggunakan  Dimensi Balance  Scorcard (BSC).  Visi yang  ada  di  PDAM  Salatiga  adalah:  “Menjadikan perusahaan yang Maju, Mandiri, dan Profesional" Untuk mewujudkan  visi  tersebut  maka  dibentuk  sebuah  misi sebagai berikut:
1. Menyediakan  air  minum  yang  memenuhi  standar kualitas, kuantitas dan kontinuitas.
2. Meningkatkan  kemampuan  sumber  daya  manusia menjadi  pegawai  yang  memiliki  etika,  kinerja,  dan profesional.
3. Meningkatkan  pelayanan  yang  terjangkau  dan memberikan kepuasan pelanggan.
4. Meningkatkan  cakupan  pelayanan  yang  terjangkau dan memberikan kepuasan pelanggan.
5. Mengelola sumber daya perusahaan yang profesional sehingga  mampu  memberikan  pelayanan  terbaik, meningkatkan kesejahteraan masyarakat dan meningkatkan kontribusi bagi PAD.
6. Menjaga  hubungan  harmonis  dan  peran  yang seimbang  dengan  stakeholder  dalam  peningkatan pelayanan kepada pelanggan.
Dari  point  visi  misi  diatas  maka  diambillah  misi  poin keempat  yaitu  “Meningkatkan  cakupan  pelayanan  yang terjangkau dan memberikan kepuasan pelanggan” karena sesuai  dengan  IT  goal  yang  ingin  dicapai  oleh  PDAM Salatiga. Proses pemetaan dilakukan dengan menggunakan  tabel Enterprise  Goals  dan  IT-Related Goals .  Langkah  pertama  mencocokkan  tujuan  dari PDAM  Salatiga  dengan Enterprise  goals seperti  pada tabel 1.
© 2021, The Author(s). This is an open access article, free of all copyright, that anyone can freely read, download, copy, distribute, print, search, or link to the full texts  or  use  them  for  any  other  lawful  purpose.  This  article  is  made  available  under  a  Creative  Commons  Attribution  4.0  International  License,  which  permits unrestricted  use,  distribution,  and  reproduction  in  any  medium,  provided  the  original  work  is  properly  cited.  SEBATIK  is  a  journal  of  the  STMIK  Widya  Cipta Dharma
Tabel 1. Pemetaan tujuan bisnis PDAM Kota Salatiga ke dalam Enterprise Goals Tujuan Bisnis No Tujuan Enterprise BSC Dimension Relation ship Meningkatk an cakupan pelayanan yang terjangkau dan memberikan kepuasan pelanggan 10 Optimizati on of service delivery coast. Customer Primary
Setelah  dilakukan  pemetaan  tujuan  bisnis  ke  dalam Enterprise  Goals  yang  dimana  terdapat  satu  tujuan enterprise  yaitu optimization  of  service  delivery  coast. maka  selanjutnya  dapat  ditentukan  tujuan  IT  yang  akan dicapai seperti pada Tabel 2.
Tabel 2. Pemetaan Enterprise Goals ke dalam IT-
Goals Enterprise Goals No IT Goals BSC Dimension Relationship Optimization of service delivery coast. 4 Managed IT- Related business risk Financial Primary
Setelah dilakukan pemetaan dari tujuan enterprise ke dalam tujuan IT maka diambil satu tujuan IT pada setiap tujuan  enterprise  yang  nantinya  akan  digunakan  untuk menentukan  domain  yang  akan  diambil  sebagai  dasar untuk  menilai  penerapan  IT  yang  sudah  dilakukan  di PDAM Salatiga, dan domain yang akan digunakan dalam menilai  akan  dipetakan  dari  tujuan  IT  tersebut  seperti pada tabel 3.
Tabel 3. Pemetaan IT-Goals ke dalam Domain dan
Sub Domain IT Goals Domain Sub Domain Aktivitas Managed IT-Related business risk EDM EDM03 - Memastikan  tingkat risiko.... lihat penjelasannya diatas APO APO12 - Penilaian dan pengurangan risiko

## 4.2 RACI Chart
Dalam mendapat informasi yang di butuhkan, penulis menyebarkan  kuesioner  kepada  bagian  yang  memiliki hubungan  antara  Kepala  bagian,  Staf,  PIC,  Koordinator, User IT dalam penelitian ini  di dasarkan pada pemetaan RACI Chart . Dalam pemetaan RACI Chart berbeda beda di  sesuaikan  dengan  subdomain  atau  aktivitas  yang berlaku  agar  didapatkan  evaluasi  setiap  aktivitas  yang ada. Pembagian RACI dibagi seperti berikut:
1. R  ( Responsible )  adalah  pihak  atau  bagian  yang menjalankan proses,
2. A  ( Accountable )  adalah  pihak  atau  bagian  yang bertanggung jawab pada proses,
3. C  ( Consulted )  adalah  pihak  yang  memberikan masukan terhadap proses yang ada,
4. I  ( Informed )  adalah  pihak  yang  mendapatkan informasi tersebut(ISACA, 2012).
Penelitian  ini  terhadap  pada  RACI Chart berdasarkan kepada  tanggungjawab  terhadap  proses  tersebut  dalam mengelola atau menggunakan Teknologi Informasi yang ada  di  Perusahaan  Daerah  Air  Minum  Kota  Salatiga. Pada tabel 4 adalah hasil tabel RACI Chart pada PDAM Kota Salatiga
Tabel 4. Tabel RACI

## 4.3 Hasil Temuan
Berdasarkan  hasil  observasi  lapangan,  lembar evaluasi  dan  wawancara  dengan  pihak  departemen bagian  TI  dan  departemen  bagian  umum  pada perusahaan  daerah  air  minum  Kota  Salatiga,  didapatkan beberapa hasil temuan sebagai berikut :
1. Sudah ada penggunaan teknologi informasi dan layanan tata kelola pada PDAM Kota Salatiga namun belum ada nya tim TI secara khusus dan spesifik.
2. Sistem yang di gunakan PDAM Kota Salatiga belum dibuat  oleh  tim  TI  PDAM  Kota  Salatiga  sendiri, melainkan  sistem  yang  digunakan  dibangun  oleh pihak ketiga/vendor development.
3. Karena  sumber  daya  manusia  yang  belum  memadai untuk  membangun  sebuah  sistem  sendiri  maka  dari itu  PDAM  Kota  Salatiga  melakukan  sebuah pengalihan risiko dalam pengembangan dan penggunaan  sistem  aplikasi  yang  dibuat  oleh  pihak ketiga/vendor development.
4. Pada  saat  ini  Tim  TI  di  PDAM  Kota  Salatiga berfungsi  sebagai reporting  maintenance  sistem , pemeliharaan  hardware,  pendampingan  penggunaan sistem kepada user.
5. Karena  belum  adanya  tim  TI  secara  khusus  pada PDAM  Kota  Salatiga  maka  PDAM  Kota  Salatiga
Ket.

## Project Team Members
Kepala Departemen Koordinator User IT APO12 APO12.01 C A R I APO12.02 I C R A APO12.03 A I C R APO12.04 A R C I APO12.05 A R I C APO12.06 A R C I EDM03 EDM03.01 A C R I EDM03.02 A C I R EDM03.03 A R I C
juga  belum  memiliki  tim  secara  khusus  untuk pengelolaan risiko TI
6. Pada  PDAM  Kota  Salatiga  untuk  pengelolaan  risiko yang dilakukan masih secara umum dan untuk bagian teknologi  informasi  belum  dilakukan  pengelolaan risiko secara menyeluruh.

## 4.4 Capability Model
Capability  Model  memiliki  proses  yang  dinyatakan dalam  bentuk  atribut  proses  yang  dikelompokkan  ke dalam tingkatan yang ditentukan berdasarkan pencapaian atribut  proses  tertentu(Gondodiyoto  and  Sanyoto  2007). Berikut penjelasan tiap level -nya:
1. Level 0 Incomplete Process merupakan proses dalam tujuan  prosesnya  tidak  terlaksana  atau  gagal mencapai tujuan prosesnya.
2. Level  1 Performed  Process merupakan  proses  yang mengimplementasikan untuk mencapai tujuan prosesnya.
3. Level  2 Managed  Process merupakan  proses  yang hasilnya ditetapkan, dikontrol dan juga diimplementasikan juga dikelola.
4. Level  3 Established  Process merupakan  proses adanya  dokumentasi  dan  memiliki  hasil  yang dikomunikasikan (untuk efisiensi organisasi).
5. Level  4 Predictable  Process merupakan  proses  yang dimonitor,  kemudian  diukur  dan  memprediksi  untuk mencapai hasil.
6. Level  5 Optimizing  Process merupakan  proses  yang nantinya akan relevan dengan tujuan bisnis yang akan datang  sehingga  dapat  diprediksikan  kemudian ditingkatkan  untuk  memenuhi  tujuan  bisnis.(IT governance Institute, 2007).

## 4.5 Analisis Tingkat Kematangan
Setelah melakukan wawancara dengan kepala bagian umum perusahaan daerah air minum kota Salatiga, untuk keadaan  saat  ini,  sudah  mencapai  level  3  ( Established Process). Sedangkan  perusahaan  menginginkan  keadaan manajemen  risiko  yang  relevan  dengan  tujuan  bisnis yang  akan  datang  sehingga  dapat  diprediksi  kemudian ditingkatkan untuk memenuhi tujuan bisnis. Menggunakan manajemen risiko dan proses yang umum apabila diperlukan, dengan pemantauan risiko keseluruhan organisasi, pengukuran dan pelaporan. Yang dimana sama dengan capability model COBIT 5, level 5 ( Optimizing Process) .
Tingkat  kematangan  dilakukan  untuk  mengetahui proses penerapan teknologi informasi pada PDAM Kota Salatiga. Dalam mengukur tingkat kematangan dilakukan penyebaran kuesioner kepada karyawan PDAM Salatiga, Kepala  Departemen  dan  PIC  team  IT  yang  bertanggung jawab pada sistem aplikasi yang di gunakan PDAM Kota Salatiga menggunakan rumus perhitungan(1).
Indeks kematangan atribut diperoleh dari perhitungan total pilihan  jawaban  kuesioner  dan  pembobotan  pilihan  jawaban kemudian dibagi dengan jumlah responden yang ada.
Indeks  kematangan  atau  dapat  disebut  penilaian  tingkat kematangan  diperoleh  dari  perhitungan  indeks  kematangan atribut lalu dibagi dengan aktivitas atau pada subdomain yang sudah dipilih (2).

## 4.6 Analisis Perhitungan GAP
Setelah  melakukan  identifikasi  proses  bisnis  dan melakukan  penyebaran  kuesioner  kepada  karyawan PDAM Kota Salatiga, didapatkan hasil seperti pada tabel 5.
Tabel 5. Tabel Perhitungan GAP Aktivitas Kondisi Saat Ini Yang Diharapkan Kesenjangan APO 12.01 3,75 5,00 1,25 APO 12.02 3,00 5,00 2,00 APO 12.03 3,00 5,00 2,00 APO 12.04 2,75 5,00 2,25 APO 12.05 2,25 5,00 2,75 APO 12.06 2,75 5,00 2,25 EDM 03.01 4,00 5,00 1,00 EDM 03.02 3,75 5,00 1,25 EDM 03.03 3,75 5,00 1,25
APO 12.01 ( Collect Data )  APO 12.01 adalah proses pengumpulan  data  atau  dapat  disebut  sebagai  proses dokumentasi  manajemen  risiko  TI  yang  ada  di  dalam organisasi  PDAM  Kota  Salatiga.  Proses  ini  memiliki tujuan untuk mencari tahu kondisi saat ini dalam analisis manajemen  risiko.  Berdasarkan  proses  bisnis  dalam PDAM  Kota  Salatiga  dengan  menggunakan  sistem aplikasi  RO  (Rekening  Online),  GIS  (Geographic Information System), SIA (Sistem Informasi Akuntansi), BM  (Baca  Meter).  Keseluruhan  setiap  risiko  TI  yang terjadi  belum  semua  dilakukan  proses  dokumentasi, hanya  risiko  tertentu  saja  yang  dilakukan  proses dokumentasi kepada tim TI. Hal ini di perkuat oleh hasil pengambilan  data  kuesioner  mendapatkan  nilai  3,75 bahwa  sudah  adanya  proses  dokumentasi  risiko  di PDAM  Kota  Salatiga  namun  belum  dilakukan  secara maksimal.  Sehingga  dapat  diambil  kesimpulan  dalam proses  collect  data  pada  organisasi  atau  perusahaan  ini memiliki  sebuah  proses  dokumentasi  risiko  yang  baik. Berdasar  hasil  wawancara  dengan  kepala  bagian  TI  dan kepala bagian umum proses pendokumentasian manajemen  risiko  TI  untuk  saat  ini  masih  dilakukan belum  berdasar  sistem  atau  masih  di  katakan  masih secara  manual  dengan  proses  jika  user  TI  ada  kendala atau  usulan  pada  sistem  user  TI  masih  melaporkan  via email atau pada saat briefing atau rapat kepada bagian TI dan  bagian  TI  akan  menganalisa  dan  menyampaikan kepada  kepala  bagian  TI  dan  kepada  bagian  vendor development  sistem  aplikasi,  setelah  ada  perbaikan  dari vendor developer bagian TI akan menyampaikan ke user TI.
© 2021, The Author(s). This is an open access article, free of all copyright, that anyone can freely read, download, copy, distribute, print, search, or link to the full texts  or  use  them  for  any  other  lawful  purpose.  This  article  is  made  available  under  a  Creative  Commons  Attribution  4.0  International  License,  which  permits unrestricted  use,  distribution,  and  reproduction  in  any  medium,  provided  the  original  work  is  properly  cited.  SEBATIK  is  a  journal  of  the  STMIK  Widya  Cipta Dharma
APO 12.02 ( Analyze risk )  APO 12.02 adalah sebuah proses  analisis  manajemen  risiko  TI  yang  ada  di  dalam organisasi  PDAM  Kota  Salatiga.  Proses  analisis  ini memiliki  tujuan  untuk  melihat  fungsi  control  yang dilakukan untuk mengurangi risiko TI. Dalam menjalankan  proses  bisnis  yang  ada  pada  PDAM  Kota Salatiga  menggunakan  sistem  aplikasi  yang  di  bangun oleh  pihak  ketiga  /  vendor  development  untuk mengurangi  risiko  TI  yang  dapat  terjadi  karena  PDAM Kota Salatiga untuk saat ini belum memiliki tim TI yang cukup  spesifik  dan  khusus  dalam  hal  membuat  sebuah program,  hal  ini  diperkuat  oleh  hasil  pengambilan  data kuesioner  yang  mendapatkan  nilai  3,00  dalam  analisis risiko  di  PDAM  Kota  Salatiga.  Sehingga  dapat disimpulkan  dalam  proses analyses risk ,  PDAM  Kota Salatiga  memiliki  proses analyses  risk atau  fungsi kontrol risiko yang sudah cukup baik.
APO  12.03  ( Maintain  a  risk  profile )  APO  12.03 adalah  proses  pemeliharaan  profil  risiko  TI  yang  ada pada  PDAM  Kota  Salatiga  dengan  adanya  proses  ini memiliki tujuan untuk mencari tahu kondisi PDAM Kota Salatiga  saat  ini  dalam  pemeliharaan  profil  risiko  TI. Dalam  menjalankan  proses  bisnis  pada  PDAM  Kota Salatiga  melakukan  pemeliharaan  profil  risiko  TI  yang terjadi, dilakukannya  perawatan  infrastruktur  dan  sarana yang dimiliki saat ini untuk menopang pencapaian tujuan bisnis.  Hal  ini  diperkuat  pada  pengambilan  data kuesioner  dengan  mendapatkan  nilai  3,00  dalam pemeliharaan  profil  risiko  TI  di  PDAM  Kota  Salatiga. Sehingga dapat diambil sebuah kesimpulan dalam proses maintain a risk profile PDAM Kota Salatiga sudah cukup baik. Berdasarkan hasil wawancara kepada kepala bagian TI  dan  kepala  bagian  umum  PDAM  Kota  Salatiga menjelaskan  bahwa  adanya  perangkat  dan  infrastruktur yang  baik  sangat  penting  bagi  kelangsungan  proses bisnis yang ada saat ini sehingga dapat mencapai sebuah tujuan  bisnis  yang  diharapkan,  kepala  bagian  umum PDAM  Kota  Salatiga  menjelaskan  selain  melakukan perawatan pada perangkat PC dilakukan juga maintenance  dan  update  pada  sistem  yang  ada  saat  ini beliau  berkata  “sistem  pada  PDAM  Kota  Salatiga memang  belum  dikatakan  sempurna,  namun  dengan adanya  sistem  sudah  sangat  membantu  proses  bisnis  di PDAM Kota Salatiga maka dari itu kita harus melakukan perawatan secara berkala.”
APO 12.04 ( Articulate risk ) APO 12.04 adalah proses mengartikulasikan risiko TI yang ada pada PDAM Kota Salatiga.  Pada  proses  ini  memiliki  tujuan  untuk  mencari tahu  kondisi  PDAM  Kota  Salatiga  saat  ini  dalam mengartikulasikan  risiko.  Dalam  menjalankan  proses bisnis pada PDAM Kota Salatiga dalam mengartikulasikan  risiko  dilakukan  proses  pelaporan kepada  bagian  TI  dan  bagian  lainnya  yang  terkena dampak  dalam  gangguan  teknis.  Hal  ini  di  perkuat dengan  pengambilan  data  kuesioner  yang  mendapatkan nilai  2,75.  Maka  dapat  disimpulkan  telah  terjadinya proses  artikulasi  risiko  pada  PDAM  Kota  Salatiga  dan
dalam  hal  ini  PDAM  Kota  Salatiga  memiliki  Articulate Risk yang cukup.
APO  12.05  ( Defined  a  risk  management  action portfolio )  APO  12.05  adalah  proses  menentukan portfolio  manajemen  risiko  yang  ada  pada  PDAM  Kota Salatiga.  Pada  proses  ini  memiliki  tujuan  untuk  mencari tahu  kondisi  saat  ini  dalam  menentukan  portfolio manajemen  risiko  di  PDAM  Kota  Salatiga.  Untuk menjalankan  proses  bisnis  yang  ada  PDAM  Kota Salatiga  dalam  meminimalisir  risiko  yang  mungkin terjadi  masih  kurang  dalam  melakukan  fungsi  kontrol karena dalam PDAM Kota Salatiga belum adanya bagian khusus untuk mengatur dan mengelola manajemen risiko TI  yang  mungkin  terjadi.  Hal  ini  diperkuat  oleh  hasil pengambilan  data  kuesioner  mendapatkan  nilai  sebesar 2,25. Maka dapat disimpulkan pada proses defined a risk management action  portfolio  pada PDAM Kota Salatiga sudah cukup.
APO  12.06  ( Respond  to  risk )  APO  12.06  adalah proses respon terhadap risiko yang ada pada PDAM Kota Salatiga.  Proses  ini  memiliki  tujuan  untuk  mencari  tahu kondisi  saat  ini  pada  PDAM  Kota  Salatiga  dalam merespons risiko yang dapat terjadi. Untuk menjalankan proses  bisnis  saat  ini  PDAM  Kota  Salatiga  sudah melakukan  upaya  dalam  respons  terhadap  risiko  yang dapat  terjadi  tetapi  masih  dilakukan  secara  umum  dan belum secara khusus merespons risiko yang dapat terjadi di  dalam  bagian  TI.  Dalam  melakukan  respons  terhadap risiko  setiap  divisi  akan  berdiskusi  via  email,  Whatsapp grup, briefing dan  pada  saat  ada  meeting.  Hal  ini diperkuat  oleh  hasil  pengambilan  data  kuesioner  yang mendapatkan nilai sebesar 2,75. Maka dapat disimpulkan PDAM  Kota  Salatiga  dalam  merespons  sebuah  risiko yang dapat terjadi sudah cukup.
EDM 03.01 ( Evaluate Risk Management ) EDM 03.01 adalah  proses  evaluasi  manajemen  risiko  yang  ada  pada PDAM  Kota  Salatiga.  Proses  ini  memiliki  tujuan  untuk mencari tahu kondisi saat ini pada PDAM Kota Salatiga dalam  mengevaluasi  manajemen  risiko  TI  pada perusahaan.  Untuk  saat  ini  PDAM  Kota  Salatiga  sudah mengetahui,  memeriksa  dan  membuat  penilaian  tentang risiko yang terjadi terhadap penggunaan TI untuk saat ini dan untuk masa mendatang, namun PDAM Kota Salatiga belum  melakukan  implementasi  menggunakan  sebuah framework.  Hal  ini  diperkuat  oleh  hasil  pengambilan data  kuesioner  mendapatkan  nilai  sebesar  4,00.  Maka dapat  di  ambil  kesimpulan  PDAM  Kota  Salatiga  dalam melakukan  sebuah  evaluasi  manajemen  risiko  TI  sudah baik.
EDM  03.02  ( Direct  Risk  Management )  EDM  03.02 adalah  proses  arahan  manajemen  risiko  yang  ada  pada PDAM  Kota  Salatiga.  Proses  ini  memiliki  tujuan  untuk mencari tahu pada kondisi saat ini PDAM Kota Salatiga dalam  mengarahkan  manajemen  risiko  TI  yang  terjadi pada  perusahaan  untuk  saat  ini  PDAM  Kota  Salatiga sudah  melakukan  sebuah  arahan  penerapan  manajemen risiko TI untuk kepentingan keamanan TI sehingga risiko yang  dapat  terjadi  tidak  mengganggu  proses  bisnis  dan
tujuan  bisnis  pada  PDAM  Kota  Salatiga.  Hal  ini diperkuat dengan hasil pengambilan data kuesioner yang mendapatkan nilai sebesar 3,75.  Sehingga dapat diambil kesimpulan  PDAM  Kota  Salatiga  dalam  melakukan Direct  Risk  Management  sudah  cukup  baik.  Berdasar hasil  wawancara  yang  di  dapat  dari  kepala  bagian  TI dalam  upaya  melakukan  pengarahan  manajemen  risiko TI,  PDAM  Kota  Salatiga  sudah  pernah  melakukan pengarahan  dan  seminar  kepada  karyawan  –  karyawan tentang  manajemen  risiko  TI  dan  risiko  TI  yang  dapat terjadi pada perusahaan.
EDM 03.03 ( Monitor Risk Management ) EDM 03.03 adalah  proses  monitor  manajemen  risiko  yang  ada  pada PDAM  Kota  Salatiga.  Proses  ini  memiliki  tujuan  untuk mencari tahu kondisi saat ini PDAM Kota Salatiga dalam memonitor  manajemen  risiko  yang  dapat  terjadi.  Untuk saat  ini  PDAM  Kota  Salatiga  melakukan  monitor  risiko
TI  yang  terjadi  dengan  menampung  setiap  kesalahan, usulan perbaikan pada setiap  sistem lalu bagian TI akan berdiskusi  dan  mengidentifikasi  masalah  yang  ada  dan akan  melakukan  perbaikan  dengan  melibatkan  sebuah vendor  organisasi  untuk  melakukan  sebuah  perbaikan sistem. Hal ini diperkuat dengan  hasil pengambilan data kuesioner  yang  mendapatkan  nilai  sebesar  3,75.  Maka dapat  disimpulkan  PDAM  Kota  Salatiga  dalam  Monitor Risk  Management  sudah  bisa  dikatakan  baik.  Adapun hasil  identifikasi  risiko  pada  PDAM  Kota  Salatiga beserta  dampak  yang  dilakukan  sebagai risk  assessment dapat dilihat pada tabel 6.
Tabel 6. Tabel Risk Assessment
Keterangan Frek Kej   Keterangan Dampak TP : Tidak Pernah K : Kecil K : Kadang
S : Sedang S : Sering B : Besar Sumber Risiko Risiko Frekuensi kejadian Dampak S K TP B S K Alam Gempa Bumi ✔ ✔ Radiasi Panas ✔ Debu/Kotoran ✔ ✔ Kelembaban ✔ ✔ Kebakaran ✔ Manusia Informasi diakses oleh pihak yang tidak berwenang ✔ Hilangnya Data ✔ Human error ✔ ✔ Data dan informasi tidak sesuai fakta ✔ Mantan karyawan user masih memiliki akses informasi ✔ Kebocoran informasi atau data ✔ Kerusakan akibat ulah manusia : cybercrime atau pembajakan ✔ Tidak mengganti user id ✔ Sistem dan infrastruktur Server down ✔ ✔ Koneksi jaringan terputus ✔ ✔ Gagal update ✔ ✔ Kerusakan hardware ✔ ✔ Backup failure ✔ Terinfeksi virus ✔ Data corrupt ✔ Kurang baiknya kualitas jaringan ✔ ✔
© 2021, The Author(s). This is an open access article, free of all copyright, that anyone can freely read, download, copy, distribute, print, search, or link to the full texts  or  use  them  for  any  other  lawful  purpose.  This  article  is  made  available  under  a  Creative  Commons  Attribution  4.0  International  License,  which  permits unrestricted  use,  distribution,  and  reproduction  in  any  medium,  provided  the  original  work  is  properly  cited.  SEBATIK  is  a  journal  of  the  STMIK  Widya  Cipta Dharma

## 4.7 Rekomendasi
Setelah  dilakukan  perhitungan  kematangan  dan kesenjangan  maka  penulis  memberikan  saran  pada domain yang belum mencapai harapan kepada Perusahaan  Daerah  Air  Minum  Kota  Salatiga  sebagai berikut:
1. EDM03
Saran  yang  diberikan  adalah  adanya  pelatihan  yang rutin  untuk  ke  depan  dapat  membentuk  sebuah  sumber daya manusia yang menunjang  sehingga  dapat membentuk  sebuah  tim  TI  sendiri  sehingga  ke  depan PDAM  Kota  Salatiga  dapat  membangun  sebuah  sistem aplikasi  sendiri  dan  akan  terbentuknya  sebuah  tim pengelolaan  risiko  TI  sehingga  pengelolaan  manajemen risiko TI akan terlaksana dan terkendali dengan baik. 2. APO12
Saran  yang  diberikan  adalah  perlunya  sebuah perekrutan  dan  pembentukan  tim  TI  secara  khusus  dan spesifik  dengan  sumber  daya  manusia  yang  menunjang sehingga  dalam  melakukan  pekerjaan  dan  pelayanan pada  PDAM  Kota  Salatiga  yang  menggunakan  sistem aplikasi  dapat  terkendali  dan  mengurangi  risiko  yang dapat  terjadi  dan  perlunya  sebuah  pembentukan  sebuah tim  pengelolaan  manajemen  risiko  teknologi  informasi sehingga  dokumentasi profile  risk dan  respons  terhadap risiko  TI  yang  dapat  terjadi  pada  PDAM  Kota  Salatiga dapat  terlaksana  dan  terkendali  dengan  baik,  dan perlunya  di  lakukan  peremajaan  pada hardware yang tersedia  untuk  menghindari  terjadinya  hal  yang menghasilkan risiko teknologi informasi pada perusahaan dan tetap dilakukan maintenance pada sistem secara  rutin  berkala  sehingga  sistem  yang  digunakan dapat berkerja secara maksimal sesuai proses bisnis pada PDAM Kota Salatiga.

## 5. KESIMPULAN
Berdasarkan  hasil  analisis  dan  pembahasan  dapat dilihat  bahwa  manajemen  risiko  teknologi  informasi pada Perusahaan Air Minum Daerah Kota Salatiga dapat diperoleh  kesimpulan  sebagai  berikut  proses  analisis manajemen risiko teknologi informasi pada PDAM Kota Salatiga  menggunakan framework COBIT  5  khususnya subdomain  APO  12  dan  EDM  03  menghasilkan  nilai capability  level untuk  subdomain  APO12.01  ( collect data )  berada  pada  level  3  yaitu Established  Process, APO  12.02  ( analyses  risk )  berada  pada  level  3  yaitu Established Process, APO12.03 ( maintain a risk profile ) berada  pada  level  3  yaitu Established  Process , APO12.04  ( articulate  risk )  berada  pada  level  2  yaitu
Managed Process , APO12.05 ( defined a risk management  action  portfolio )  berada  pada  level  2  yaitu Managed  Process ,  APO12.06  ( respons  to  risk )  berada pada  level  2  yaitu Managed  Process. Sedangkan  untuk nilai capability  level subdomain  EDM03.01  ( evaluate risk  management )  berada  pada  level  4  yaitu Predictable Process ,  EDM03.02  ( direct  risk  management )  berada pada  level  3  yaitu Established  process ,  EDM  03.03
( monitor  risk  management )  berada  pada  level  3  yaitu
Established  Process. Nilai capability  level saat  ini dengan  nilai capability  level yang  ingin  dicapai  pada subdomain  APO12  dan  EDM03  memiliki GAP yang berbeda-beda.

## 6. SARAN
Saran  yang  diberikan  penulis  bagi  penelitian selanjutnya  diperlukan  penilaian  khusus  terhadap pembentukan  tim  TI  secara  khusus  pada  PDAM  Kota Salatiga  dan  penilaian  terhadap  pembentukan  tim manajemen risiko teknologi informasi dalam mengontrol dan  mengelola  risiko  yang  dapat  terjadi  di  PDAM  Kota Salatiga  dan  dengan  adanya  hasil  penelitian  ini  dapat dikembangkan  ke  depannya.  Sehingga  adanya  tim  TI secara  khusus  dan  tim  pengelolaan  risiko  TI  dapat mengelola  risiko  dalam  PDAM  Kota  salatiga  dengan baik dan kontrol risiko pada PDAM Kota Salatiga dapat dikendalikan  dengan  baik  sehingga  dapat  mencapai tujuan bisnis yang ditentukan.

## 7. DAFTAR PUSTAKA
Arief,  M.  Habibullah,  and  Suprapto.  2018.  “Evaluasi
Manajemen Risiko Teknologi Informasi Menggunakan  Kerangka  Kerja  COBIT  5  (Studi Kasus  Pada  Perum  Jasa  Tirta  I  Malang).” Jurnal
Pengembangan  Teknologi  Informasi  Dan  Ilmu Komputer 2 (1): 101–10. http://repository.ub.ac.id/1480/. Blokdijk,  G.  (2008).  IT  Risk  Management  Guide-Risk Management Implementation Guide: Presentations, Blueprints, Templates; Complete
Risk Management  Toolkit  Guide  for  Information Technology Processes and Systems: Presentations, Blueprints, Templates; Complete Risk
Management  Toolkit  Guide  for  Information Technology Processes and Systems. Lulu. com Dooper,  S.  G,  and  P.walker.  2004. Project  Risk Management  Guidelines:  Managing Risk  in  Large Projects  and  Complex  Procurements,  Chichester, West Sussex . John wiley & sons Ltd.
Firdaus, Nurfitri Zukhrufatul. 2018. “Evaluasi Manajemen Risiko Teknologi Informasi Menggunakan COBIT 5 IT Risk (Studi Kasus : PT . Petrokimia Gresik)” 2 (1): 91–100..
ISACA., and J W Lainhart. 2012. COBIT 5: A Business Framework  for  the  Governance  and  Management of  Enterprise  IT  COBIT  5 . United  States  of
America: ISACA . Vol. 34. http://tp.revistas.csic.es/index.php/tp/article/viewA rticle/432%0Ahttp://files/399/432.html.
ISACA.  2012. COBIT  5 :  Enabling  Processes . United States of America: ISACA . IT  governance  Institute.  2007. COBIT  4.1:Framework, Control Objective, Management Guidelines, Maturity  Models .  United  States  of  America: Rolling Meadow.
Megawati,  Megawati,  and  Ana  Syntia.  2018.  “Evaluasi
Manajemen Resiko Teknologi Informasi Menggunakan  Kerangka  Kerja  Cobit  5.0.” Jurnal Ilmiah Rekayasa Dan Manajemen Sistem Informasi 4 (2): 118. https://doi.org/10.24014/rmsi.v4i2.5682. “PDAM Kota Salatiga.” 2015. 2015.
http://www.pdamsalatiga.com/info-perusahaan.
Robert,  R.,  and  Moeller.  2011. COSO  Enterprise  Risk Management:  Establishing  Effective  Governance, Risk,  and  Compliance  Processes .  John  wiley  & sons Ltd.
Setyaningrum,  Novia  Dwi,  Suprapto,  and  Ari  Kusyanti.
2018.  “Evaluasi  Manajemen  Risiko  Teknologi Informasi  Menggunakan  Framework  COBIT  5 (Studi  Kasus:  PT  .  Kimia  Farma  (Persero)  Tbk  –
Plant Watudakon).” Jurnal Pengembangan Teknologi  Informasi  Dan  Ilmu  Komputer 2  (1): 143–52.
Stoneburner, G., Goguen, A., & Feringa, A. (2002). Risk management  guide  for  information  technology systems.  Nist  special  publication,  800(30),  800- 30.Gondodiyoto,  and  Sanyoto.  2007. Audit  Sistem Informasi . Jakarta: Mitra Wacana Media.