INNOVATIVE: Journal Of Social Science Research Volume 4 Nomor 4 Tahun 2024 Page 11186-11199 E-ISSN 2807-4238 and P-ISSN 2807-4246
Website: https://j-innovative.org/index.php/Innovative
Analisis Manajemen Risiko TI Menggunakan Kerangka Kerja COBIT 2019 Domain EDM03 dan APO12: Studi Kasus pada PT XYZ
Saskiya Farannisa Universitas Telkom
Email: saskiyafarannisa@student.telkomniversity.ac.id

## Abstrak
PT XYZ adalah perusahaan industri pertahanan dan keamanan milik negara Indonesia yang bergerak di  bidang  produksi  peralatan  militer  dan  komersial  yang  menerapkan  pengelolaan  risiko  pada perusahaannya.  PT  XYZ  memiliki  perencanaan  jangka  panjang  mengenai  pembuatan  aplikasi manajemen risiko. Akan tetapi, ada beberapa kekhawatiran mengenai keberadaan perusahaan dalam pengelolaan risiko saat ini. Dalam pembuatan aplikasi, diperlukan adanya pemahaman tentang risiko- risiko  yang  telah  diidentifikasi,  strategi  mitigasi  yang  ada,  dan  efektivitas  proses  pengelolaan  risiko yang  sedang  berlangsung.  Hal ini  perlu  dikaji  kembali dalam  menetapkan  prioritas  untuk perbaikan dan  mengembangkan  solusi  yang  sesuai  serta  menetapkan  fokus  area  yang  paling  membutuhkan perhatian dan mengalokasikan sumber daya yang efisien. Dalam mengetahui fokus area yang harus diperbaiki, EDM03 dan APO12 dari COBIT 2019 menyediakan kerangka kerja yang komprehensif untuk melakukan  analisis  kondisi  eksisting.  Adapun  tujuan  penelitian  ini  adalah  untuk  mengetahui  kondisi eksisting  tata  kelola  TI  PT  XYZ  dan  menentukan  tingkat  kapabilitas  domain  EDM03  dan  APO12 sehingga menghasilkan gap yang nantinya dapat diberikan rekomendasi. Hasil penilaian menunjukkan bahwa  pada  EDM03  tidak  memiliki  kesenjangan  dan  telah  memenuhi  nilai  target  sesuai  yang ditentukan  pada  design  factor.  Sedangkan  pada  APO12  ditemukan  1  proses  yang  memiliki kesenjangan dan tidak memenuhi nilai target. Proses tersebut adalah APO12.03.
Kata Kunci: COBIT 2019, Manajemen Risiko TI, Tata Kelola TI, EDM03 dan APO12
PT  XYZ  has  long-term  planning  regarding  the  creation  of  risk  management  applications.  However, there  are  several  concerns  regarding  the  company's  current  risk  management  position.  In  creating applications,  it  is  necessary  to  understand  the  risks  that  have  been  identified,  existing  mitigation strategies, and the effectiveness of the ongoing risk management process. This needs to be reviewed in  setting  priorities  for  improvement  and  developing  appropriate  solutions  as  well  as  determining focus areas that most require attention and allocating resources efficiently. In identifying focus areas that need improvement, EDM03 and APO12 from COBIT 2019 provide a comprehensive framework for analyzing  existing  conditions.  The  aim  of  this  research  is  to  determine  the  existing  conditions  of  IT governance at PT The assessment results show that EDM03 has no gaps and has met the target value specified in the design factor. Meanwhile, in APO12, 1 process was found that had gaps and did not meet the target value. The process is APO12.03.
Keyword: COBIT 2019, IT Risk Management, IT Governance, EDM03 and APO12

## PENDAHULUAN
Tata  Kelola  Manajemen  Teknologi  Informasi  (TKMTI)  adalah  konsep  yang  sangat penting  dalam  dunia  bisnis  saat  ini  (ISACA,  2019).  Dalam  era  digital  yang  semakin berkembang,  perusahaan  perlu  memastikan  bahwa  teknologi  informasi  (TI)  dikelola dengan  baik  untuk  mencapai  tujuan  bisnis  yang  optimal  (Dewi,  2023).  Hal  ini  termasuk pengelolaan  risiko  TI,  penilaian  kinerja  TI,  dan  evaluasi  layanan  TI.  Dengan  pengelolaan yang  baik,  perusahaan  dapat  memastikan  bahwa  investasi,  penggunaan,  dan  layanan  TI dapat dioptimalkan untuk mendukung keputusan bisnis yang tepat .
Dalam  konteks  ini,  pengelolaan  risiko  TI  menjadi  aspek  yang  krusial  (Fajri  et  al., 2023). COBIT 2019, sebagai kerangka kerja tata kelola TI, menekankan pentingnya integrasi antara tata kelola informasi dan teknologi dengan manajemen risiko TI. Kerangka kerja ini membantu  organisasi  dalam  mengidentifikasi  dan  mengelola  risiko  TI  secara  efektif, sehingga dapat mendukung pencapaian tujuan bisnis secara keseluruhan (Widyatama et al.,  2020).  Tata  kelola  informasi  dan  teknologi  (EGIT)  menjadi  landasan  penting  dalam manajemen  risiko  TI,  dengan  fokus  pada  proses,  struktur,  dan  mekanisme  yang mendukung eksekusi tanggung jawab bisnis dan TI. Dengan pendekatan ini, risiko TI dapat diidentifikasi,  dievaluasi,  dan  dikelola  secara  efektif  sesuai  dengan  kebijakan  yang ditetapkan (Bahtiar et al., 2020).
Manajemen  risiko  TI  yang  efektif  dapat  memberikan  berbagai  manfaat  bagi organisasi,  termasuk  perlindungan  terhadap  aset  penting,  kepatuhan  terhadap  regulasi, serta  peningkatan  efisiensi  operasional.  Dalam  kerangka  kerja  COBIT  2019,  fokus  pada manajemen  risiko  TI  tercermin  dalam  objektif  EDM03  ( Ensured  Risk  Optimization)  dan
APO12 ( Managed Risk) (Sari & Juwairiah, 2023). Objektif ini dirancang untuk memastikan bahwa risiko-risiko terkait penggunaan TI dioptimalkan sesuai dengan tujuan bisnis yang diinginkan.  Dengan  demikian,  manajemen  risiko  TI  tidak  hanya  menjadi  pilar  penting dalam strategi keseluruhan organisasi, tetapi juga berperan dalam menciptakan nilai bisnis yang berkelanjutan dari investasi TI (ISACA, 2019).
Sebagai contoh implementasi, PT XYZ adalah salah satu perusahaan yang berusaha menerapkan  pengelolaan  risiko  TI  yang  efektif.  Menurut  divisi  TI  PT  XYZ,  perusahaan berencana untuk mengembangkan aplikasi manajemen risiko yang akan membantu dalam mengidentifikasi  dan  mengelola  risiko-risiko  TI.  Namun,  PT  XYZ  menghadapi  tantangan dalam  mengevaluasi  dan  mengelola  risiko  TI  secara  efektif.  Dalam  hal  ini,  analisis  dan evaluasi  berdasarkan  kerangka  kerja  COBIT  2019,  khususnya  pada  objektif  EDM03  dan APO12, dapat membantu PT XYZ dalam mengidentifikasi kelemahan dalam  pengelolaan risiko saat ini dan memberikan rekomendasi perbaikan yang sesuai.
Berdasarkan  penjelasan  di  atas,  penelitian  ini  berfokus  pada  analisis  implementasi teknologi  informasi  di  PT  XYZ  dengan  menggunakan  kerangka  kerja  COBIT  2019. Penelitian ini bertujuan untuk mengevaluasi kondisi eksisting pengelolaan risiko TI, menilai tingkat kapabilitas, dan melakukan analisis kesenjangan berdasarkan objektif EDM03 dan APO12.  Melalui  pendekatan  ini,  diharapkan  dapat  disusun roadmap  yang  efektif  untuk meningkatkan  pengelolaan  manajemen  risiko  TI  di  PT  XYZ,  sehingga  dapat  mendukung pencapaian tujuan bisnis secara efektif dan efisien.

## METODE PENELITIAN

## A. Model Konseptual
Gambar 1 Model Konseptual
Gambar  di  atas  menjelaskan  bahwa  lingkungan  mencakup  unsur-unsur  seperti
people,  organization,  dan  technology  yang  membentuk  kerangka  kerja  yang  relevan (Hevner  &  Chatterjee,  2020).  Lingkungan  yang  digambarkan  pada  Gambar  1 merepresentasikan  PT  XYZ.  Oleh  karena  itu,  diperlukan  data  yang  relevan  untuk mendukung  pelaksanaan  penelitian  ini.  Pemberi  data  yang  relevan  tersebut  adalah pemangku  kepentingan  PT  XYZ  yang  memiliki  data  dan  informasi  yang  kredibel  terkait dengan proses penelitian. Selanjutnya, IS Research merujuk pada tahapan-tahapan yang dilakukan  dalam  penelitian  ini.  Penelitian  ini  menggunakan  metode  studi  kasus  yang berfokus  pada  penilaian  kapabilitas  ( Capability  Level)  tata  kelola  PT  XYZ  pada  objektif EDM03  dan  APO12  dengan  memanfaatkan  panduan  kerangka  kerja  COBIT  2019.  Selain penilaian  kapabilitas,  penelitian  ini  juga  melakukan Gap  Analysis  atau  identifikasi kesenjangan  TI  yang  ada  dalam  perusahaan. Knowledge  Base  merujuk  pada  dasar pengetahuan  dan  metodologi  yang  digunakan  dalam  penelitian  ini,  menggunakan kerangka kerja COBIT 2019 dan berfokus pada objektif EDM03 dan APO12.

## B. Sistematika Penyelesaian Masalah
Dalam  penelitian  ini,  COBIT  2019  digunakan  sebagai  kerangka  kerja  untuk penyelesaian  masalah  dan  dijadikan  acuan  dalam  penulisan.  Adapun  penelitian  ini menggunakan  implementasi  Road  Map  COBIT  2019  dalam  sistematika  penyelesaian masalah. Implementasi Road Map COBIT 2019 memiliki 7 fase (ISACA, 2019c). Akan tetapi, dalam penelitian ini hanya dilaksanakan hingga fase 4 atau planning program. Keempat fase tersebut yaitu:
1. Phase 1—What Are the Drivers?
Fase  ini  ( Initiate  program)  merupakan  awal  dari  implementasi  COBIT  2019  dan bertujuan  untuk  mengidentifikasi  faktor-faktor  yang  mendorong  perubahan  dalam  tata kelola  TI  di  suatu  organisasi.  Langkah-langkahnya  meliputi  proses design  factors  dan pemilihan proses domain.

## 2. Phase 2—Where Are We Now?
Fase ini ( Define problems and opportunities) dilakukan untuk mengidentifikasi area yang  memerlukan  perbaikan  dan  membuat  perencanaan  yang  efektif  untuk mengimprovisi  kondisi  TI  di  organisasi.  Dengan  hasil  pengevaluasi  ini,  organisasi  dapat memahami  keterkaitan  antara  kondisi  TI  saat  ini  dan  tujuan  yang  ingin  dicapai,  serta mengidentifikasi langkah-langkah yang perlu diambil untuk mencapai tujuan tersebut.
3. Phase 3—Where Do We Want to Be?
Fase  ini  ( Define  road  map)  dilakukan  untuk  menetapkan  visi  tata  kelola  yang diinginkan  dan  mengembangkan  rencana  yang  efektif  untuk  mencapai  tujuan  tersebut.
Dilakukan analisis kesenjangan ( gap) pada hasil assessment yang telah dilakukan. Dengan hasil ini, organisasi dapat memahami bagaimana IT dapat mendukung  tujuan bisnis dan memastikan kerangka kerja yang efektif untuk mencapai visi tata kelola tersebut.

## 4. Phase 4—What Needs to Be Done?
Fase  ini  (Planning  program)  dilakukan  untuk  mengembangkan  rencana  tindakan yang terperinci dan solusi yang spesifik untuk mencapai keadaan yang diinginkan.  Pada proses  ini  dilakukan  analisis potential  improvement  dan  detailing  improvement berdasarkan proses sebelumnya. Dengan hasil dari fase ini, perusahaan dapat memastikan bahwa solusi yang dirancang sesuai dengan kebutuhan dan sumber daya yang tersedia, serta memastikan bahwa solusi dapat diterapkan dengan sukses

## HASIL DAN PEMBAHASAN

## 1. Fase 1 Recognize Need to Act
Pada  fase  ini,  dilakukan  identifikasi  awal  faktor-faktor  yang  mendorong  perubahan dalam  tata  kelola  TI  di  PT  XYZ.  Identifikasi  faktor  perubahan  dilakukan  menggunakan kueisioner COBIT 2019 Design Toolkit (design factor) kepada IT Unit dan Business Unit. IT Unit terdiri dari beberapa fungsi, yaitu fungsi  perencanaan TI, fungsi pengembangan TI, dan  fungsi Enterprise  Architecture.  Sementara  itu,  Business  Unit  terdiri  atas  fungsi manajemen risiko, sekretaris perusahaan, fungsi CGC & SMAP, serta administrasi. Setelah design  factors,  ditentukan  domain  proses  untuk  dilakukan  assessment  capability  level (ISACA, 2019b). Proses pemilihan domain didapat berdasarkan hasil analisis design factor ke-1  sampai  design  factor  ke-10.  Berdasarkan  design  factor,  didapatkan  hasil  sebagai berikut:
Gambar 2 Design Factors Summary
Berdasarkan  gambar  di  atas,  didapatkan  semua  objektif  yang  menjadi  nilai  yang
45 25 85 10 40  45 10 40 20 20 -15 40 35 0 50 0 100 60 30 20 45 65 0 30 50 50 15 5 40 30 25
10   20
65 100
5 35 10 90 55 -100 -80 -60 -40
-20 0 20 40 60 80 100 EDM01 EDM05 APO04 APO08 APO12
BAI02 BAI06
BAI10 DSS03 MEA01
Governance and Management Objectives Importance (All Design Factors)
penting berdasarkan analisis yang telah dilaksanakan. Adapun penelitian ini berfokus pada manajemen  risiko.  Oleh  karena  itu,  objektif  dalam  penelitian  ini  yang  berfokus  pada manajemen  risiko  dan  memiliki  nilai  relevansi  yang  tinggi  adalah  EDM03  dan  APO12. EDM03  berfokus  pada  bagaimana  perusahaan  menentukan risk  appetite  dalam  batas yang  dapat  ditoleransi  perusahaan,  sedangkan  APO12  membahas  pengelolaan  risiko  TI perusahaan.

## 2. Fase 2 Assess Current State
Fase ini bertujuan untuk memahami dan mengevaluasi kondisi terkini dari tata kelola dan manajemen TI dalam PT XYZ. Hal yang dilakukan dalam tahap ini adalah pengisian tabel assessment  capability  level  pada  GMO  (Governance  and  Management  Objectives) EDM03 ensured  risk  optimization  dan  APO12  managed  risk  (Elue  et  al.,  2020).  Hasil assessment capability level yang telah dilakukan adalah sebagai berikut:
Tabel 1 Hasil Assessment Capability Level EDM03 (Ensured Risk Optimization) No Aktivitas Level Pemenuhan 1 EDM03.01 Evaluate  risk management 2 100% ( fully) 3 100% ( fully) 2 EDM03.02 Direct  risk management 2 100% ( fully) 3 100% ( fully) 3 EDM03.03 Monitor  risk management 2 100% ( fully) 3 100% ( fully) 4 100% ( fully) Tabel 2 Hasil Assessment Capability APO12 (Managed Risk) No Aktivitas Level Pemenuhan 1 APO12.1 Collect Data 2 100% ( fully)
3 100% ( fully) 4 75% ( largely) 2 APO12.2 Analyze Risk  3 92% ( fully) 4 100% ( fully) 5 100% ( fully) 3 APO12.3 Maintain  a Risk Profile 2 83% ( largely) 4 APO12.4 Articulate Risk 3 88% ( fully) 4 100% ( fully)
5
APO12.5 Define a Risk Management  Action Portfolio 2 100% ( fully) 3 100% ( fully) 6 APO12.6 Respond  to Risk 3 100% ( fully) 4 100% ( fully) 5 100% ( fully)

## 3. Fase 3 Define target state
Fase Define target state merupakan tahap mengidentifikasi gap antara kondisi saat ini dan kondisi yang diinginkan, sehingga dapat merancang rencana tindakan yang tepat untuk mencapai tujuan tersebut.  Pada  fase ini,  dibandingkan hasil assessment capability level dengan target yang ditetapkan pada design factor. Dari hasil perbandingan tersebut dapat diketahui kesenjangan ( gap) pada proses EDM03 (Ensured Risk Optimization) dan APO12 ( Managed Risk). Adapun hasil analisis sebagai berikut:
Tabel 3 Gap Analysis proses EDM03 z Management Practice Existing Target Achieved? Gap 1 EDM03.01 Evaluate risk management. 3 3 Yes Tidak memiliki gap 2 EDM03.02  Direct risk management. 3 3 Yes Tidak memiliki gap 3 EDM03.03 Monitor risk management. 4 4 Yes Tidak memiliki gap Tabel 4 Gap Analysis proses APO12 No Management Practice Existing Target Achieved? Gap 1 APO12.01  Collect data. 4 4 Yes Tidak  memiliki gap tetapi  PT  XYZ  hanya melakukan survey pada data-data internal saja 2 APO12.02  Analyze risk. 5 4 Yes Tidak  memiliki gap tetapi  pada  skenario
bisnis, hanya membahas  kerugian saja 3 APO12.03 Maintain  a  risk profile. 2 4 No Mengidentifikasi  dan mendata semua proses bisnis  yang  beririsan dengan divisi IT 4 APO12.04 Articulate risk. 4 4 Yes Tidak  memiliki gap tetapi  PT  XYZ  sudah mengenali peluang risiko  IT,  tapi  hanya membahas  mengenai kerugiannya 5 APO12.05 Define a risk  management action portfolio. 3 3 Yes Tidak memiliki gap

## 4. Fase 4 Build Improvement
Fase  ini  bertujuan  untuk  mengembangkan  dan  menerapkan  perbaikan  yang diperlukan untuk mencapai tujuan tata kelola dan manajemen TI yang efektif. Pada fase ini,  identifikasi,  rancangan,  dan  penerapan  perbaikan  yang  diperlukan  berdasarkan  hasil assessment Gap analysis yang telah dilakukan sebelumnya. Rekomendasi perbaikan dibagi menjadi 3 aspek yaitu: people aspect, process aspect, dan technology aspect.
a. People Aspect
Rancangan  rekomendasi  ini  didasarkan  pada  acuan  rekomendasi  yang  sudah dilakukan  sebelumnya  yang  menghasilkan  rekomendasi responsibility,  roles,  skill  & awareness, dan communication. Rancangan ini diharapkan dapat membantu PT.XYZ untuk menunjang proses bisnis sesuai dengan tujuan yang hendak perusahaan capai
- Rekomendasi kategori responsibility
Rekomdendasi  responsibility  berfokus  pada  pemastian  bahwa  peran,  tanggung jawab, dan akuntabilitas yang jelas ditetapkan untuk semua individu yang terlibat dalam tata kelola  dan manajemen TI. Hal ini mencakup penentuan dan komunikasi yang tepat mengenai  tugas  dan  harapan  kerja,  serta  memastikan  bahwa  setiap  individu  memiliki keterampilan, kompetensi, dan sumber daya yang diperlukan untuk melaksanakan tugas perusahaan secara efektif.
Tabel 5 Rancangan rekomendasi kategori responsibility No Struktur organisasi  dalam COBIT 2019 Struktur organisasi dalam PT XYZ Skill Level Penambahan jobdesc divisi 1 Risk Management Manajemen Risiko & Perencanaan Perusahaan Business Process Improvem ent (BPRE) 5 Pengembangan model grafis proses bisnis untuk memfasilitasi pemahaman  dan pengambilan keputusan.
- Rekomendasi kategori skill & awareness
Rekomendasi Skills  &  Awareness  berfokus  pada  pengembangan  dan  pemeliharaan keterampilan  serta  kesadaran  yang  diperlukan  untuk  mendukung  tata  kelola  dan manajemen  TI  yang  efektif.  Hal  ini  mencakup  identifikasi  kebutuhan  keterampilan  yang spesifik, penyediaan pelatihan yang relevan, serta peningkatan kesadaran akan isu-isu TI di seluruh  organisasi.  Rencana  rekomendasi  kategori  responsibility  didasarkan  pada framework SFIA8 (Skills Framework for the Information Age).
Tabel 6 Rancangan rekomendasi kategori Skill & Awareness Rekomendasi Judul  pelatihan  dan sosialisasi Tujuan Penyelenggaraan Sertifikasi  yang  mencakup skenario risiko dan manajemen risiko Certified  in  Risk  and Information Systems Control (CRISC) Berfokus pada identifikasi, evaluasi,  dan  manajemen  risiko, serta implementasi dan pemantauan kontrol informasi. Project Management Institute - Risk Management Professional (PMI-RMP) Keahlian  dalam  identifikasi  dan penilaian risiko proyek, pengembangan strategi respons risiko,  serta  pengawasan  dan pengendalian risiko. Certified  Risk  Manager (CRM) Berfokus  pada  analisis  risiko, pengendalian risiko, pembiayaan risiko, dan manajemen risiko.
Workshop mengenai identifikasi dan analisis skenario  risiko  positif  dan negatif Pengembangan Keterampilan  Identifikasi dan Analisis Risiko Workshop  ini  dilakukan  untuk memberikan  pemahaman  yang lebih mendalam dalam menganalisis  dan  merancang skenario  risiko,  baik  merupakan skenario  yang  positif  maupun skenario negatif
Workshop  yang  fokus  pada identifikasi  dan  evaluasi peluang terkait risiko IT, serta bagaimana  memanfaatkan peluang tersebut untuk pertumbuhan Workshop  Mendalam: Mengidentifikasi Peluang  dan  Mengelola Risiko IT Workshop  ini  diadakan  untuk mengembangkan  keterampilan dalam  mengenali  peluang  yang terkait dengan risiko IT,
mengevaluasi potensi positifnya, dan  mengembangkan  strategi untuk  mengelola  risiko  secara efektif  guna  mendukung  tujuan bisnis organisasi.

## b. Process Aspect
Rancangan  rekomendasi  aspek  process  berfokus  pada  pengembangan, implementasi,  dan  pemantauan  proses-proses  yang  efektif  dan  efisien  untuk  tata  kelola dan  manajemen  TI.  Rekomendasi  ini  mencakup  definisi  dan  dokumentasi  prosedur, kebijakan  (policy),  dan  record.  Tujuan  diberikannya  rekomendasi  ini  adalah  untuk memastikan  bahwa  semua  aktivitas  TI  berjalan  secara  konsisten,  terkontrol,  dan  terarah untuk memberikan nilai maksimal kepada organisasi.
- Rekomendasi kategori procedure
Rekomendasi  ini  membantu  memastikan  bahwa  semua  aspek  tata  kelola  dan manajemen  TI  terdokumentasi  dengan  baik,  mematuhi  standar  dan  peraturan,  serta mendukung pengambilan keputusan yang lebih baik dan responsif terhadap perubahan serta tantangan dalam lingkungan TI di PT XYZ.

## Tabel 7 Rekomendasi kategori procedure
No Rekomendasi APO12.01 Maintain Risk 1 Menetapkan  prosedur  untuk  pembaruan  rutin  dokumentasi  proses  bisnis, memastikan informasi tetap akurat dan terkini berdasarkan best practice
APO12.02 Analyze Risk
2 Mengembangkan  dan  implementasikan  metodologi  analisis  risiko  yang
mencakup  identifikasi,  evaluasi,  dan  kuantifikasi  keuntungan  serta  kerugian. Misalnya, menggunakan analisis SWOT (Strengths, Weaknesses, Opportunities, Threats) yang mencakup semua aspek risiko.
APO12.03 Maintain a risk profile
3 Menetapkan  prosedur  untuk  pembaruan  rutin  dokumentasi  proses  bisnis, memastikan informasi tetap akurat dan terkini.
- Rekomendasi Kategori Record
Rekomendasi  ini  membantu  memastikan  bahwa  semua  aspek  tata  kelola  dan manajemen  TI  terdokumentasi  dengan  baik,  mematuhi  standar  dan  peraturan,  serta mendukung pengambilan keputusan yang lebih baik dan responsif terhadap perubahan serta  tantangan  dalam  lingkungan  TI  di  PT  XYZ.  Rekomendasi  record  dapat  dilihat  di lampiran.

## c. Tehnology Aspect
Rekomendasi  aspek  teknologi  berfokus  pada  berbagai  alat  dan  teknologi  yang direkomendasikan untuk mendukung implementasi dan pemeliharaan praktik tata kelola TI  yang  efektif.  Pada  studi  kasus  ini,  PT  XYZ  berencana  untuk  membangun  aplikasi mengenai manajemen risiko TI. Oleh karena itu, berikut merupakan keperluan tools dan fitur yang diperlukan berdasarkan gap analysis.
Tabel 8 Rekomendasi kategori record No Rekomendasi APO12.03 Maintain a risk profile
1 Mencatat informasi yang dihasilkan dari pelaksanaan suatu proses bisnis dan digunakan sebagai bukti bahwa prosedur telah diikuti
APO12.04 Articulate Risk
2 Implementasikan sistem pelaporan yang mencakup analisis peluang risiko dan bagaimana peluang tersebut dapat dimanfaatkan.
Tabel 9 Rencana rekomendasi aspek technology
Tools Features GRC tools manajemen risiko Pengumpulan dan integrasi data risiko TI Memasukkan,  me  kerugian  monitor,  dan  melaporkan  baik maupun keuntungan dari risiko TI. Implementasi proses bisnis yang mendukung dokumentasi dan pemetaan proses bisnis secara menyeluruh.
Implementasi analisis dua arah (risiko dan peluang).

## Tabel 10 Rekomendasi tools
Rekomendasi tools Deskripsi RSA Archer RSA Archer menyediakan platform  terintegrasi  yang memungkinkan organisasi untuk memiliki visibilitas yang lebih baik terhadap  risiko  dan  kepatuhan,  serta  meningkatkan  efisiensi operasional melalui otomatisasi proses-proses yang terkait. MetricStream MetricStream adalah platform yang dirancang untuk meningkatkan tata  kelola  perusahaan  dengan  memberikan  visibilitas  yang  lebih baik dan kontrol terhadap risiko dan kepatuhan. SAP GRC SAP  GRC  adalah  alat  untuk  meningkatkan  transparansi, mengurangi risiko, dan memastikan kepatuhan terhadap peraturan yang  berlaku,  sehingga  mendukung  tata  kelola  perusahaan  yang lebih baik.

## SIMPULAN
Berdasarkan  hasil  analisis  yang  telah  dilakukan,  penelitian  mengenai  Analisis Manajemen Risiko Teknologi Informasi Menggunakan Kerangka Kerja COBIT 2019 Domain EDM03 dan APO12: Studi Kasus pada PT XYZ, dapat disimpulkan bahwa tata kelola PT XYZ memerlukan prioritas perbaikan pada domain yang berfokus pada dua aspek utama, yaitu EDM03  ( Evaluate,  Direct,  Monitor)  dan  APO12  (Align,  Plan,  Organize)  terkait  dengan manajemen risiko TI. Berdasarkan analisis menggunakan Design Factor, kedua domain ini menjadi  prioritas  utama dalam upaya meningkatkan efektivitas dan  efisiensi manajemen risiko teknologi informasi di PT XYZ.
Hasil assessment  menunjukkan  bahwa  pada  domain  EDM03  (Ensured  Risk Optimization) tidak terdapat kesenjangan, dan nilai yang dicapai sudah memenuhi target sesuai yang ditetapkan dalam design factor. Namun, pada domain APO12 (Managed Risk), ditemukan satu proses yang memiliki kesenjangan dan tidak memenuhi nilai target, yaitu APO12.03 ( Maintain Risk Profile). Proses ini memerlukan perhatian khusus untuk mencapai standar yang diharapkan dan memastikan manajemen risiko yang lebih komprehensif.
Rekomendasi  perbaikan  dibagi  menjadi  tiga  aspek  utama: people  aspect,  process aspect, dan technology aspect. Pada people aspect, disarankan Risk Management harus mengawasi tim ini serta memimpin produksi dan penyuntingan laporan intelijen ancaman. Pada process  aspect,  direkomendasikan  untuk  menetapkan  prosedur  pembaruan  rutin
dokumentasi  proses  bisnis  agar  informasi  tetap  akurat  dan  terkini  berdasarkan  praktik terbaik  ( best  practices),  serta  menambah  pencatatan  pada  beberapa  proses.  Sedangkan pada technology  aspect,  disarankan  untuk  menggunakan  GRC  tools  dalam  manajemen risiko, yang mencakup fitur pengumpulan dan integrasi data risiko, analisis kerugian dan keuntungan  risiko,  implementasi  proses  bisnis  yang  mendukung  dokumentasi  dan pemetaan proses bisnis secara menyeluruh, serta analisis risiko dan peluang.

## DAFTAR PUSTAKA
Bahtiar,  Y.,  Fajrillah,  A. A.  N.,  &  Santosa,  I.  (2020).  Analisis  Dan  Perancangan  Tata  Kelola Teknologi  Informasi  Bumn  Pada  Proses  Pengelolaan  Layanan  Dan  Pengelolaan Sekuriti Teknologi Informasi Menggunakan Cobit 2019 ( Studi Kasus: Pt Nindya Karya (persero) ). eProceedings of Engineering, 7(2).
https://openlibrarypublications.telkomuniversity.ac.id/index.php/engineering/article/ view/12543
Dewi,  Y.  W.  D.  M.  (2023). Penggunaan  Cobit  2019  I&T  Risk  Management  Dalam Merancang Pengelolaan Risiko Ti Untuk Transformasi Bankco. Universitas Telkom, S1 Sistem Informasi. https://openlibrary.telkomuniversity.ac.id/home/catalog/id/204643/slug/penggunaa n-cobit-2019-i-t-risk-management-dalam-merancang-pengelolaan-risiko-ti-untuk- transformasi-bankco.html
Elue, E., CISA, & CPDSE. (2020, July 27). Effective Capability and Maturity Assessment Using COBIT  2019.  ISACA.  https://www.isaca.org/resources/news-and-trends/industry- news/2020/effective-capability-and-maturity-assessment-using-cobit-2019
Fajri,  A.,  Novriyanto,  H,  N.  S.,  &  Affandes,  M.  (2023).  Analisis  Manajemen  Risiko  TI Menggunakan Framework COBIT 5 Domain APO12 dan EDM03. KLIK: Kajian Ilmiah Informatika Dan Komputer, 4(3), Article 3. https://doi.org/10.30865/klik.v4i3.1396 Hevner,  A.,  &  Chatterjee,  S.  (2020). Design  Research  in  Information  Systems.  Springer. https://openlibrary.telkomuniversity.ac.id/home/catalog/id/158748/slug/design- research-in-information-systems.html
ISACA.  (2019a). COBIT  2019  Design  Guide:  Designing  an  Information  and  Technology Governance Solution. Isaca.
https://openlibrary.telkomuniversity.ac.id/home/catalog/id/199080/slug/cobit-2019- design-guide-designing-an-information-and-technology-governance-solution.html ISACA.  (2019b). COBIT  2019  Framework  Governance  and  Management  Objectives.
www.isaca.org ISACA.  (2019c). COBIT  2019  Framework  Introduction  and  Methodology.  ISACA. https://openlibrary.telkomuniversity.ac.id/home/catalog/id/205899/slug/cobit-2019- framework-introduction-and-methodology.html
Sari,  R.  A.,  &  Juwairiah.  (2023). Evaluation  of  IT  Risk  Management  in  DISKOMINFO  of Magelang Regency using COBIT Framework 2019 Objectve EDM03 & APO12 | Sari |
Telematika: Jurnal Informatika dan Teknologi Informasi.
http://103.236.192.98/index.php/telematika/article/view/11867
Widyatama, S. P., Amalia, A., & Santosa, I. (2020). Analisis Dan Perancangan Tata Kelola Ti Bumn  Pada  Proses  Pengelolaan  Layanan  Pihak  Ketiga  Serta  Monitor  Dan  Evaluasi Kinerja  Ti  Menggunakan  Cobit  2019  (studi  Kasus:  Pt  Nindya  Karya  (persero)).
eProceedings of Engineering,
7(2).
https://openlibrarypublications.telkomuniversity.ac.id/index.php/engineering/article/ view/12570