IT Audit

Ada beberapa teknik audit untuk melakukan audit pada Teknologi Informasi. Auditor dapat menggunakan tiga kategori berikut dalam menguji pengendalian biasa juga disebut sebagai teknik audit berbantuan computer (Computer Assisted Audit Techniques/CAAT) yang terdiri atas Auditing Around the Computer, dimana dengan teknik ini auditor menguji reliability dari computer generated information dengan terlebih dahulu menghitung hasil yang diinginkan dari transaksi yang dimasukkan dalam system, dan kemudian membandingkan hasil perhitungan dengan hasil proses atau output. Jika terbukti akurat dan valid, maka diasumsikan bahwa system pengendalian berfungsi seperti yang seharusnya. Kondisi ini cocok jika system aplikasi otomasi sederhana dan ringkas. Pendekatan ini masih relevan dipakai di perusahaan yang menggunakan software akuntansi yang bervariasi dan melakukan proses secara periodic. Berikutnya ialah Auditing With the Computer adalah auditing dengan pendekatan computer, menggunakan teknik yang bervariasi yang biasa juga disebut Computer Assisted Audit Technique (CAAT). Penggunaan CAAT telah meningkatkan secara dramatis kapabilitas dan efektifitas auditor, dalam melakukan susbstantif test. Salah satu CAAT yang lazim dipakai adalah general audit software (GAS). GAS sering dipakai untuk melakukan substantive test dan digunakan test of control yang terbatas. Sebagai contoh GAS sering dipakai untuk mengetes fungsi algoritma yang komplek dalam program computer. Tetapi ini memerlukan pengalaman yang luas dalam penggunaan software ini. Dan yang ketiga adalah Audit Through the Computer yang merupakan teknik focus pada testing tahapan pemrosesan computerised, logic program, edit routines dan program controls. Pendekatan ini mengasumsikan bahwa jika program pemrosesan dikembangkan dengan baik, dan memenuhi edit routines dan programme check yang memadai, maka error dan kecurangan tidak akan mudah terjadi tanpa terdeteksi.

Standar yang digunakan dalam mengaudit teknologi informasi adalah standar yang diterbitkan oleh ISACA yaitu ISACA IS Auditing Standard. Selain itu ISACA juga menerbitkan IS Auditing Guidance dan IS Auditing Procedure. Sekarang keahlian dalam mengaudit IT juga memerlukan sertifikasi sendiri, yaitu CISA (Certified Information System Audit). Standar adalah sesuatu yang harus dipenuhi oleh IS Auditor. Guidelines memberikan penjelasan bagaimana auditor dapat memenuhi standar dalam berbagai penugasan audit, dan prosedur memberikan contoh langkah-langkah yang perlu dilalui auditor dalam penugasan audit tertentu sehingga sesuai dengan standar. Bagaimanapun IS auditor harus bisa menggunakan judgement profesional ketika menggunakan guidance dan procedure. Standar yang aplicable untuk audit IT adalah terdiri dari 11 standar yaitu, Audit charter, Audit Independent, Profesional Ethic and standard, S4.Profesional competence, Planning, Performance of Audit Work, Reporting, Follow-Up Activity, Irregularities and Irregular Act, IT Governance dan Use of Risk Assestment in Audit Planning.

IS Auditing Guideline terdiri dari 32 guidance dalam mengaudit TI yang mengcover petunjuk mengaudit area-area penting. IS Audit Procedure terdiri dari 9 prosedur yang menunjukan langkah-langkah yang dilakukan auditor dalam penugasan audit yang spesifik seperti prosedur melakukan bagaimana melakukan risk assestment, mengetes intruction detection system, menganalisis firewall dan sebagainya. Jika dibandingkan dengan audit keuangan, maka standar dari ISACA ini adalah setara dengan Standar Profesional Akuntan Publik (SPAP) yaitu menyangkut tata cara bagaimana audit dilakukan. Sedangkan bagaimana kondisi apa yang diaudit diberikan penilaian berdasarkan standar tersendiri yaitu COBIT.

COBIT (Control Objective for Information Related Tecnology) adalah kerangka tata kelola IT (IT Governance) yang ditujukan kepada manajemen, staf pelayanan IT, control departemen, fungsi audit dan lebih penting lagi bagi pemilik proses bisnis (business process owner’s), untuk memasITan confidenciality, integrity and availability data serta informasi sensitif dan kritikal. COBIT didesign terdiri dari 34 high level control objectives yang menggambarkan proses TI yang terdiri dari 4 domain yaitu Plan and Organise, Acquire and Implement, Deliver and Support dan Monitor and Evaluate.

The COBIT Framework juga memasukkan hal-hal sebagai berikut, Maturity Models – Untuk memetakan status maturity proses-proses IT (dalam skala 0 – 5) dibandingkan dengan “the best in the class in the Industry” dan juga International best practices. Critical Success Factors (CSFs) – Arahan implementasi bagi manajemen agar dapat melakukan kontrol atas proses IT. Key Goal Indicators (KGIs) – Kinerja proses-proses IT sehubungan dengan kebutuhan bisnis dan Key Performance Indicators (KPIs) – Kinerja proses-proses IT sehubungan dengan process goals

COBIT dikembangkan sebagai suatu generally applicable and accepted standard for good Information Technology (IT) security and control practices . Istilah ” generally applicable and accepted ” digunakan secara eksplisit dalam pengertian yang sama seperti Generally Accepted Accounting Principles (GAAP). Suatu perencanaan audit IT dapat dimulai dengan menentukan area-area yang relevan dan berisiko paling tinggi, melalui analisa atas ke-34 proses tersebut. Sementara untuk kebutuhan penugasan tertentu, misalnya audit atas proyek IT, dapat dimulai dengan memilih proses yang relevan dari proses-proses tersebut.

IT Auditors’ favourite phrases

“I'm from audit, and I'm here to help”

“Trust me, I'm an auditor”

“Your manager said I should speak to you about this”

“Show me”

“Tell me about ...”

“Just because you’ve always made this mistake doesn’t mean you should continue to do so”

“Call me a cynic, but ...”

“Go ahead – make my day”

“I'm not a proper auditor, I have a heart”

“Here, hold this wire a moment”

“This will only take a second”

“Is there anything else you’d like to tell me?”

“Is there anything else you feel
you want to get off your chest?”

“Can I have a read-only userID to take a little look at your system, please?”

“Who else should I speak to about this?”

“I don't suppose it's meant to do that”

“When would you say you’d
have this issue resolved?”

“I need your mobile phone number
for the audit file”

“Just one more thing ...”

“Get a life”

“Beam me up Mr. Scott.”

“Cheers”

“ping”

IT auditees’ favourite phrases

“It's in the post”

“It's never done that before”

“Look, I'll show you just how confident I am ... oh-oh ...”

“But that's just the way
we've always done it!””

“I just do what I'm told”

“It wasn’t me”

“It was my predecessor”

“Don't be ridiculous,
that'll never happen here”

“The last lot of auditors told me
I had to do it this way”

“My manager hasn’t a clue what I do”

“I’ll send it round straight away, honest”

“Exactly how many is 'many' control failures?”

“It was working perfectly
just a moment ago”

“Which planet do you come from?”

“There’s no need to document our strategies/procedures: everyone knows what they are”

“Source code comments are for wimps. Real programmers write self-documenting code.”

“I'll email it to you”

“That is out of scope”

“It’ll be fixed in the next release”

“NO! DON'T PRESS THAT BUTTO...”

“Mummy!”