INFORMATION SYSTEMS AUDITING AND CONTROL

COBIT 5 sebagai
IT Governance Framework

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

The COBIT 5 Framework

• COBIT 5 membantu perusahaan menciptakan nilai optimal dari TI
dengan menjaga keseimbangan antara menyadari manfaat dan
mengoptimalkan tingkat risiko serta penggunaan sumber daya.
• COBIT 5 membuat informasi dan teknologi yang saling
berhubungan dapat dikelola secara holistik bagi keseluruhan
perusahaan, mengambil seluruh tanggungjawab bisnis dan
fungsional, memperhatikan kepentingan TI terkait stakeholder
internal dan eksternal.
• Prinsip dan kemampuan COBIT 5 dapat diterapkan pada
perusahaan berskala
kecil – besar, baik yang swasta, non-profit, juga pada sektor
pelayanan publik.
Dani Indra J,SE.,MM.
INFORMATION SYSTEMS AUDITING AND CONTROL
COBIT 5 Product Family
Perbedaan COBIT 5 dengan COBIT 4.1
• COBIT 4.1 dengan COBIT 5
mempunyai beberapa perbedaan,
terutama
dalam pembagian domain dan aktivitas
proses kerjanya.
• Pada kerangka kerja COBIT 5,
terdapat pemisahaan yang tegas antara
tata-kelola dengan manajemen. Dengan
adanya pemisahan ini, maka akan
memudahkan bagi institusi yang ingin
secara jelas memisahkan antara tata
kelola dengan proses operasional
rutin.
Dani Indra J,SE.,MM.
INFORMATION SYSTEMS AUDITING AND CONTROL
Five COBIT Principles
Lima Prinsip COBIT 5 :
1. (Meeting Stakeholder Needs) Memenuhi kebutuhan
stakeholder
2. (Covering the Enterprise End-to-End) Meliputi seluruh
kegiatan perusahaan
3. (Applying A Single Intgrated Fmarework) Menerapkan
satu framework terpadu
4. (Enabling a Holistic Approach) Memungkinkan pendekatan
holistik
5. (Separating Governance from Management)
Memisahkan tata kelola dan manajemen

Dani Indra J,SE.,MM.

 INFORMATION SYSTEMS AUDITING AND CONTROL
1. Memenuhi Kebutuhan Stakeholder
 Perusahaan ada untuk memberi nilai/keuntungan bagi stakeholder
 Perusahaan memiliki banyak stakeholder dan memberikan
nilai/keuntungan mempunyai arti yang berbeda dan kadang
menimbulkan konflik antara satu sama lain.
 Tata kelola adalah mengenai negosiasi dan memutuskan antar kepentingan
stakeholder yang berbeda.
 Sistem tata kelola seharusnya mempertimbangkan semua stakeholder,
ketika membuat keputusan
mengenai laba, sumber daya, dan penilaian resiko.
 Untuk setiap keputusan, hal-hal berikut dapat dan seharusnya ditanyakan :
- Siapa yang menerima keuntungan ?
- Siapa yang menanggung resiko ?
- Apa sumber daya yang dibutuhkan ?

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
 Kebutuhan stakeholder harus bertransformasi menjadi strategi praktis
perusahaan.
 Tujuan COBIT 5 menerjemahkan kebutuhan stakeholder dalam tujuan yang
spesifik dan praktis dalam konteks perusahaan, tujuan TI dan tujuan enabler.

Keuntungan dari tujuan COBIT 5

 Memungkinkan mendefinisikan prioritas pelaksanaan, perbaikan dan jaminan tata kelola
perusahaan TI didasarkan pada tujuan strategis dan risiko yang terkait dari perusahaan.
 Dalam praktik, tujuannya :
• Mendefinisikan tujuan dan sasaran yang relevan dan nyata di berbagai tingkat
tanggung jawab.
• Filter basis pengetahuan dari COBIT 5, berdasarkan pada tujuan perusahaan untuk
menjabarkan panduan yang relevan untuk dimasukkan dalam pelaksanaan,
perbaikan, atau jaminan proyek-proyek tertentu.
• Dengan jelas mengidentifikasi dan berkomunikasi bagaimana pentingnya enabler
untuk mencapai tujuan perusahaan.
Dani Indra J,SE.,MM.
INFORMATION SYSTEMS AUDITING AND CONTROL
2. Meliputi Seluruh Kegiatan Perusahaan

Key components
of a governance
system

Source: COBIT® 5, figure 8. © 2012 ISACA® All rights reserved.

Source: COBIT® 5, figure 9. © 2012 ISACA® All rights reserved.

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
2. Meliputi Seluruh Kegiatan Perusahaan
 COBIT 5 ditujukan untuk tata kelola dan manajemen informasi dan teknologi terkait dari
sebuah perusahaan dengan perspektif end-to-end.
 Ini berarti COBIT 5:
 Mengintegrasikan tata kelola TI perusahaan dalam tata kelola perusahaan, yaitu sistem
tata kelola untuk TI perusahaan yang diusulkan oleh COBIT 5 diintegrasikan dalam
setiap sistem tata kelola, karena COBIT 5 menyelaraskan dengan pandangan terbaru
dalam tata kelola.
 Meliputi semua fungsi dan proses dalam perusahaan; COBIT 5 tidak fokus hanya pada
'fungsi IT', tapi memperlakukan informasi dan teknologi yang terkait sebagai aset yang
harus ditangani sama seperti aset lainnya oleh semua orang dalam perusahaan.

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
3. Menerapkan Satu Framework Terpadu
 COBIT 5 selaras dengan standar dan framework terbaru yang relevan dan digunakan oleh
perusahaan :
 Enterprise: COSO, COSO ERM, ISO/IEC 9000, ISO/IEC 31000
 IT-related: ISO/IEC 38500, ITIL, ISO/IEC 27000 series, TOGAF,
PMBOK/PRINCE2, CMMI
 Hal ini memungkinkan perusahaan untuk menggunakan COBIT 5 sebagai tata kelola
menyeluruh dan framework manajemen integrasi.
 ISACA (Information Systems Audit and Control Association) berencana akan memfasilitasi pengguna
COBIT dalam memetakan praktik dan aktivitas untuk referensi pihak ke tiga.

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
4. Memungkinkan Pendekatan Holistik
7 kategori framework COBIT 5
Yang dapat membuat COBIT 5 berjalan dengan baik :
• Faktor-faktor yang secara individu dan kolektif
mempengaruhi apakah sesuatu akan bekerja. Dalam kasus
COBIT, tata kelola dan manajemen atas TI perusahaan.
• Didorong oleh rincian tujuan, yaitu tingkat tujuan TI
yang lebih tinggi dengan mendefinisikan apa saja
enabler yang harus dicapai.
• Digambarkan oleh framework COBIT 5 dalam 7 kategori

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
1. Prinsip, kebijakan dan framework (1), adalah sarana untuk menerjemahkan perilaku yang
diinginkan dalam panduan praktis untuk manajemen sehari-hari.
2. Proses (2), menggambarkan sebuah set terorganisir dari praktik dan aktivitas organisasi untuk mencapai tujuan tertentu, dan
membuat keluaran/output untuk mendukung pencapaian tujuan TI secara keseluruhan.
3. Struktur Organisasi (3), adalah kunci pembuatan keputusan untuk menciptakan kesatuan dalam sebuah organisasi.
4. Budaya, etika, dan perilaku (4), dari individu dan organisasi sering kali diabaikan sebagai
faktor sukses dalam aktivitas tata kelola dan manajemen organisasi.
5.Informasi (5), berhubungan dengan semua informasi yang dibuat dan digunakan perusahaan. Informasi dibutuhkan untuk menjaga
agar organisasi berjalan dan dikelola dengan baik, tapi pada level operasional, informasi sangat sering menjadi produk utama dari
organisasi itu sendiri.
6.Layanan, infrastruktur dan aplikasi (6),termasuk dalam infrastruktur, teknologi dan aplikasi yang menyediakan bagi perusahaan
informasi mengenai proses teknologi dan layanan.
7.SDM, keahlian, dan kompetensi (7), berhubungan dengan SDM dan membutuhkan penyelesaian semua aktivitas dengan sukses
untuk membuat keputusan yang tepat dan mengambil tindakan pembenahan.

Dani Indra J,SE.,MM.

 INFORMATION SYSTEMS AUDITING AND CONTROL
 Tata kelola dan manajemen yang sistematis melalui enabler yang saling berhubungan. Untuk mencapai tujuan utama perusahaan, harus
selalu dipertimbangkan enabler yang saling berhubungan, dimana setiap enabler :
 Membutuhkan masukan dari enabler yang lain untuk membuatnya benar-benar efektif, misalnya: proses membutuhkan informasi,
struktur organisasi membutuhkan keahlian dan perilaku.
 Memberikan keluaran untuk keuntungan enabler yang lain, contoh: proses memberi informasi, keahlian dan perilaku
membuat proses menjadi efisien.
 Ini adalah prinsip utama yang muncul dari usaha pengembangan ISACA pada Business Model for Information Security (BMIS).

Dimensi enabler pada COBIT 5 :

Semua enabler mempunyai sebuah set dimensi yang umum :
• Menyediakan sebuah cara yang umum sederhana, dan terstruktur
untuk berurusan dengan enabler.
• Mengijinkan entitas untuk mengelola interaksi enabler yang
kompleks/rumit.
• Memfasilitasi keluaran yang sukses dari enabler

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
5. Memisahkan Tata Kelola dari Manajemen
 Framework COBIT 5 membuat perbedaan yang jelas antara tata kelola dan manajemen.
 Dua hal ini (tata kelola dan manajemen ):
 Mencakup berbagai kegiatan yang berbeda
 Membutuhkan struktur organisasi yang berbeda
 Melayani tujuan yang berbeda
 Tata Kelola— dalam sebagian besar perusahaan, tata kelola adalah tanggung jawab dari
dewan direksi dibawah kepemimpinan seorang konisaris.
 Manajemen—dalam sebagian besar perusahaan, manajemen adalah tanggung jawab
manajemen eksekutif dibawah kepemimpinan seorangCEO.

COBIT 5 tidak preskriptif (memberikan arahan atau aturan), tetapi

menganjurkan bahwa organisasi menerapkan proses tata kelola dan
manajemen sedemikian rupa sehingga area utama tata kelola dan
manajemen perusahaan tertangani.

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

 Framework COBIT 5 menggambarkan 7 kategori dari enabler. Dimana proses adalah salah satu di antara
kategori tersebut.
 Sebuah perusahaan dapat mengatur proses selama hal itu sesuai, asalkan semua tujuan tata kelola
dan manajemen yang diperlukan terpenuhi. Perusahaan kecil mungkin memiliki proses yang lebih
sedikit; sedangkan perusahaan besar yang lebih kompleks mungkin memiliki banyak proses,
semuanya untuk menangani tujuan yang sama.
 COBIT 5 termasuk sebuah model referensi proses, yang mendefinisikan dan menjelaskan secara rinci
sejumlah proses tata kelola dan manajemen.

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
COBIT 5: Enabling Processes

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

• Stakeholder : tiap proses memiliki stakeholder eksternal dan internal, dengan peran dan tanggungjawab
masing-masing
• Goals : tujuan proses didefinisikan sebagai “sebuah pernyataan yang mendeskripsikan keinginan untuk mendapatkan
hasil dari sebuah proses”. Tujuan proses mendukung tujuan IT- related, yang kemudian mendukung tujuan organisasi
• Intrinsic Quality : apa proses ini punya kualitas? Akurat dan selaraskah ia dengan praktik yang baik? Sesuai dengan peraturan
eksternal dan internal?
• Contextual Quality : apakah proses terkostumisasi dan beradaptasi dengan situasi spesifik organisasi? Apakah proses itu relevan,
dapat dimengerti, dan mudah digunakan?
• Accessibility and Security : proses menjadi rahasia, saat dibutuhkan, diketahui dan dapat diakses oleh pihak yang membutuhkan
• Lifecycle : setiap proses memiliki siklus. Didefinisi, diciptakan, dijalankan, diawasi, dan diperbaharui.
• Good Practices : COBIT 5 Enabling Process berisi model referensi proses, dimana praktik terbaik dari proses internal
dideskripsikan seara detail.

Dani Indra J,SE.,MM.

 INFORMATION SYSTEMS AUDITING AND CONTROL
Dimensi Proses Tata Kelola TI pada COBIT 5
• Model referensi proses COBIT 5 membagi praktik dan aktivitas yang berhubungan dengan TI ke dalam dua area utama :
tata kelola dan manajemen, lebih jauh lagi dibagi menjadi beberapa domain proses :
• Domain Tata Kelola terdiri dari Evaluasi (Evaluate), Arahan (Direct), dan Pengawasan (Monitor).
• Empat domain Manajemen berhubungan dengan tanggungjawab pada bidang Perencanaan (Plan), Pembangunan (Build),
Pelaksanaan (Run), dan Pengawasan (Monitor).
• Dari kelima domain proses tersebut didefinisi ke dalam 37 Defined Process.

Tata Kelola dan Manajemen dalam COBIT 5 >>

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

Dimensi Proses tata Kelola TI dalam COBIT 5

1. Evaluate, Direct, and Monitor (EDM)
Proses tata kelola berhubungan dengan tata kelola tujuan stakeholder (pengantaran nilai, optimasi risiko dan optimasi sumberdaya), serta termasuk di dalamnya
praktik dan aktivitas yang bertujuan untuk mengevaluasi pilihan strategis, pengarahan menuju TI dan monitoring outcome (pengawasan terhadap hasil)
• EDM Defined Process :
1. EDM01 Ensure governance framework setting and maintenance
2. EDM02 Ensure benefits delivery
3. EDM03 Ensure risk optimasion
4. EDM04 Ensure resource optimasion
5. EDM05 Ensure stakeholder transparancey
2. Align, Plan and Organise (APO)
• Menyediakan panduan untuk Solution Delivery dan Service Delivery (BAI) serta pendukung (DSS).
• Area ini melingkupi strategi dan taktik, serta mengidentifikasi cara terbaik dimana TI dapat berkontribusi dalam pencapaian tujuan bisnis.
• Realisasi dari visi strategis harus direncanakan, dikomunikasikan dan dikelola pada perspektif yang berbeda.
• Pengelolaan organisasi dan infrastruktur teknologi dengan layak

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
Dimensi Proses tata Kelola TI dalam COBIT 5 APO Defined Process
1. APO01 Manage The IT management 7. APO07 Manage human resources
Framework
2. APO02 Manage Strategy 8. APO08 Manage relationship

3. APO03 Manage Enterprise architecture 9. APO09 Manage service agreement

4. APO04 Manage innovation 10. APO10 Manage suppliers

5. APO05 Manage portfolio 11. APO11 Manage quality

6. APO06 Manage budget and costs 12. APO12 Manage risk

13.APO13 Manage security

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
3. Build, Acquire, and Implement (BAI)
• Menyediakan solusi dan mengantarkannya dalam sebuah layanan.
• Untuk merealisasikan strategi TI, solusi TI harus dapat diidentifikasi, dikembangkan dan diperoleh, serta diimplementasi dan
diintegrasikan ke dalam proses bisnis
• Domain ini juga melingkupi perubahan dalam proses maintenance sistem yang ada,
untuk menjamin bahwa solusi TI dapat terus memenuhi tujuan bisnis.
BAI Defined Process :
1. BAI01 Manage programmes and projects 6. BAI06 Manage changes
2. BAI02 Manage requirements and definitions 7. BAI07 Manage change acceptance and transitioning
3. BAI03 Manage solutions identification 8. BAI08 Manage knowledge
and build 9. BAI09 Manage assets
4. BAI04 Manage availability adn capacity 10. BAI10 Manageconfiguration
5. BAI05 Manage organisational change enablement

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

4. Deliver, Service and Support (DSS) DSS Defined Process

• Domain ini fokus pada bagaimana 1. DSS01 Manage opreations
penerimaan solusi dan kegunaannya
dalam membantu user 2. DSS02 Manage service requests and
incidents
• Bagaimana pengantaran dan dukungan
dari layanan yang dibutuhkan, termasuk 3. DSS03 Manage problems
di dalamnya pengantaran nilai, 4. DSS04 Manage continuity
manajemen keamanan, layanan 5. DSS05 Manage security services
pendukung untuk user serta manajemen
data dan fasilitas operasional. 6. DSS06 Manage business process control

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

5. Monitor, Evaluate, and Assess (MEA) MEA Defined Process

• Pengawasan terhadap semua proses 1. MEA01 Monitor, evaluate and assess
menjamin bahwa arahan/panduan benar- performance and conformance
benar dijalankan. 2. MEA02 Monitor, evaluate and assess the
• Semua proses TI harus sering diukur untuk system of internalcontrol
kualitas serta pemenuhannya dengan 3. MEA03 Monitor, evaluate and assess
sebuah kebutuhan pengendalian. compliance with external requirements
• Domain ini meliputi manajemen performa,
pengawasan terhadap pengendalian
internal, kepatuhan terhadap peraturan
dan tata kelola

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
COBIT 5 Implementation
• Perkembangan tata kelola TI pada 7 Fase Implementasi
perusahaan secara luas disadari oleh top
management sebagai bagian penting dari
tata kelola perusahaan.
• Informasi dan kualitas penyebaran TI secara
menyeluruh meningkat pada setiap aspek bisnis dan
kehidupan.
• Kebutuhan untuk mendorong nilai lebih dari investasi
TI dan mengelola berbagai peningkatan yang
berkaitan dengan resiko TI belum pernah lebih besar.
• Meningkatkan regulasi dan legislasi dari penggunaan
informasi oleh bisnis juga mendorong kesadaran akan
pentingnya tata kelola dan manajemen TI yang baik.

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
7 Fase Implementasi
• Fase Pertama – What are The Drivers • Fase Ketiga : Where Do We Want To Be
• Mengidentifikasi perubahan pendorong yang menyebabkan berubahnya
keinginan manajemen eksekutif, kemudian diekspresikan ke dalam sebiah kasus • Menetapkan target untuk peningkatan, berdasarkan pada
bisnis. analisa gap untuk mengidentifikasi solusi.
• Perubahan pendorong bisa berasal dari kejadian internal/eksternal, atau
sebuah kondisi yang menyebabkan terjadinya perubahan.
• Tentukan prioritas untuk proyek-proyek yang sekiranya
• Fase Kedua – Where Are We Now mudah untuk dicapai dan paling mungkin memberikan
• Menyelaraskan tujuan IT-related dengan strategi serta risiko
organisasi,serta memprioritaskan tujuan perusahaan, tujuan TI serta manfaat paling besar.
proses yangpenting.
• Tujuan organisasi dan TI terpilih kemudian diidentifikasi proses yang kritis • Fase Keempat : What Needs ToBe Done
yang perlu untuk didorng kemampuannya untuk menjamin keluaran yang
sukses. • Merencanakan solusi yang layak dan praktis dengan
• Manajemen perlu tahu kemampuan serta kelemahan saatini mendefinisikan dukung proyek dengan cara menganalisa
kasus bisnis dan merubah rencana untuk

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL
• Fase Kelima – How Do We Get There
• Implementasi dari solusi yang diusulkan ke dalam praktik keseharian dan melakukan pengukuran
serta pengawasan untuk menjamin bahwa keselarasan bisnis dapat tercapai dan performa dapat
diukur.
• Fase Keenam – Did We Get There
• Fokus pada mempertahankan transisi dari peningkatan praktik tata kelola dan manajemen ke dalam
operasioanal bisnis yang normal dan mengawasi pencapaian dari peningkatan tersebut menggunakan
metrics performance.
• Fase Ketujuh – How Do We Keep the Momentum Going
• Review kesuksesan dari inisiasi, identifikasi kebutuhan tata kelola atau manajemendan
memaksa adanya kebutuhan untuk peningkatan secara terus menerus. Ini juga
memprioritaskan kesempatan untuk meningkatkan Tata Kelola TI di Perusahaan.

Dani Indra J,SE.,MM.

INFORMATION SYSTEMS AUDITING AND CONTROL

Process Capability Model

• Menyediakan sebuah pengukuran terhadap kemampuan proses untuk memenuhi tujuan
bisnis.
• Rating/skala nya terdiri dari 6 level:
• Level 0 Incomplete Process : proses belum diimplementasikan atau gagal untuk mencapaitujuan
dari proses itu sendiri. Tidak ada bukti adanya pencapaian yang sistematis pada tujuanproses
• Level 1 Performed Process : proses yang diimplementasikan berhasil mencapai tujuannya
• Level 2 Managed Process : proses kini diimplementasikan ke dalam sebuah “managed fashion” ,
direncanakan, diawasi dan diperbaiki, produk yang dihasilkan/dikerjakan mapan, dikendalikan dan diawasi
• Level 3 Established Process : proses diimplementasikan menggunakan sebuah proses yang terdefinisi
yang mampu mencapai keluaran proses
• Level 4 Predictable Process : proses berjalan dengan definisi batas untuk mencapai keluaran proses
• Level 5 Optimizing Process : proses secara terus menerus meningkat untuk memenuhitujuan bisnis.
45

Dani Indra J,SE.,MM.