WALIKOTA MOJOKERTO PERATURAN WALIKOTA MOJOKERTO NOMOR …….. TAHUN 2022 TENTANG PEDOMAN PENYELENGGARAAN AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI WALIKOTA MOJOKERTO
WALIKOTA MOJOKERTO
PERATURAN WALIKOTA MOJOKERTO
NOMOR …….. TAHUN 2022
TENTANG
PEDOMAN PENYELENGGARAAN AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI
DI LINGKUNGAN PEMERINTAH KOTA MOJOKERTO
WALIKOTA MOJOKERTO
Menimbang : a. bahwa pasal 55, pasal 56, pasal 57 dan pasal 58 Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik, mengamanatkan pelaksanaan audit teknologi informasi dan komunikasi oleh Instansi Pemerintah Daerah, paling sedikit satu kali dalam dua tahun;
b. bahwa untuk melaksanakan ketentuan sebagaimana tersebut dalam huruf a, perlu disusun pedoman penyelenggaraan audit teknologi informasi dan komunikasi di lingkungan Pemerintah Kota Mojokerto;
c. bahwa berdasarkan pertimbangan sebagaimana dimaksud pada huruf a dan huruf b, perlu menetapkan Keputusan Walikota Mojokerto tentang Pedoman Penyelenggaraan Audit Teknologi Informasi Dan Komunikasi Di Lingkungan Pemerintah Kota Mojokerto;
Mengingat : 1. Undang-Undang Nomor 17 Tahun 1950 tentang Pembentukan Daerah-Daerah Kota Kecil Dalam Lingkungan Propinsi Jawa Timur / Jawa Tengah / Jawa Barat sebagaimana telah diubah dengan Undang-Undang Nomor 13 Tahun 1954 tentang Pengubahan Undang-Undang Nomor 16 dan 17 Tahun 1950 tentang Pembentukan Kota-Kota Besar dan Kota-Kota Kecil di Jawa (Lembaran Negara Republik Indonesia Tahun 1954 Nomor 40, Tambahan Lembaran Negara Republik Indonesia Nomor 551);
Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 58, Tambahan Lembaran Negara Republik Indonesia Nomor 4843) sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2016 Nomor 251, Tambahan Lembaran Negara Republik Indonesia Nomor 5952);
Undang-Undang Nomor 14 Tahun 2008 tentang Keterbukaan Informasi Publik (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 61, Tambahan Lembaran Negara Republik Indonesia Nomor 4846);
Undang-Undang Nomor 23 Tahun 2014 tentang Pemerintahan Daerah (Lembaran Negara Republik Indonesia Tahun 2014 Nomor 244, Tambahan Lembaran Negara Republik Indonesia Nomor 5587) sebagaimana telah diubah dengan Undang-Undang Nomor 9 Tahun 2015 tentang Perubahan Kedua atas Undang-Undang Nomor 23 Tahun 2014 tentang Pemerintahan Daerah (Lembaran Negara Republik Indonesia Tahun 2015 Nomor 58, Tambahan Lembaran Negara Republik Indonesia Nomor 5679);
Peraturan Pemerintah Nomor 47 Tahun 1982 tentang Perubahan Batas Wilayah Kotamadya Daerah Tingkat II Mojokerto (Lembaran Negara Republik Indonesia Tahun 1982 Nomor 74, Tambahan Lembaran Negara Republik Indonesia Nomor 3242);
Peraturan Pemerintah Nomor 60 Tahun 2008 tentang Sistem Pengendalian Intern Pemerintah (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 127, Tambahan Lembaran Negara Republik Indonesia, Nomor 4890);
Peraturan Pemerintah Nomor 61 Tahun 2010 tentang Pelaksanaan Undang-Undang Nomor 14 Tahun 2008 tentang Keterbukaan Informasi Publik (Lembaran Negara Republik Indonesia Tahun 2010 Nomor 99, Tambahan Lembaran Negara Republik Indonesia Nomor 5149);
Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2019 Nomor 185, Tambahan Lembaran Negara Republik Indonesia Nomor 6400);
Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik (Lembaran Negara Republik Indonesia Tahun 2018 Nomor 182);
Peraturan Menteri Pendayagunaan Aparatur Negara dan Reformasi Birokrasi Nomor 59 Tahun 2020 tentang Pemantauan Dan Evaluasi Sistem Pemerintahan Berbasis Elektronik;
Peraturan Badan Pengawasan Keuangan Dan Pembangunan Republik Indonesia Nomor 5 Tahun 2021 Tentang Penilaian Maturitas Penyelenggaraan Sistem Pengendalian Intern Pemerintah Terintegrasi Pada Kementerian/ Lembaga/ Pemerintah Daerah;
Peraturan Daerah Kota Mojokerto Nomor 8 Tahun 2016 Tentang Pembentukan Perangkat Daerah;
Peraturan Daerah Kota Mojokerto Nomor 5 Tahun 2020 Tentang Perubahan Kedua Atas Peraturan Daerah Kota Mojokerto Nomor 8 Tahun 2016 Tentang Pembentukan Perangkat Daerah;
Peraturan Walikota Mojokerto Nomor 38 Tahun 2021 tentang Sistem Pemerintahan Berbasis Elektronik Dalam Penyelenggaraan Pemerintahan Daerah;
MEMUTUSKAN :
Menetapkan : PERATURAN WALIKOTA TENTANG PEDOMAN PENYELENGGARAAN AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI DI LINGKUNGAN PEMERINTAH KOTA MOJOKERTO
Pasal 1
Dalam peraturan Walikota ini yang dimaksud dengan:
Pemerintah Daerah adalah Pemerintah Kota Mojokerto.
Walikota adalah Walikota Mojokerto.
Sekretaris Daerah adalah Sekretaris Daerah Kota Mojokerto.
Perangkat Daerah adalah Perangkat Daerah di lingkungan Pemerintah Kota Mojokerto
Sistem Pemerintahan Berbasis Elektronik yang selanjutnya disingkat SPBE adalah penyelenggaraan pemerintahan yang memanfaatkan teknologi informasi dan komunikasi untuk memberikan layanan kepada Pengguna SPBE.
Aparat Pengawasan Intern Pemerintah yang selanjutnya disingkat APIP adalah unit kerja yang melaksanakan fungsi pengawasan intern di Pemerintah Kota MojokertoSistem Pemerintahan Berbasis Elektronik yang selanjutnya disingkat SPBE adalah penyelenggaraan pemerintahan yang memanfaatkan teknologi informasi dan komunikasi untuk memberikan layanan kepada Pengguna SPBE.
Infrastruktur SPBE adalah semua perangkat keras, perangkat lunak, dan fasilitas yang menjadi penunjang utama untuk menjalankan sistem, aplikasi, komunikasi data, pengolahan dan penyimpanan data, perangkat integrasi/penghubung, dan perangkat elektronik lainnya
Aplikasi SPBE adalah satu atau sekumpulan program komputer dan prosedur yang dirancang untuk melakukan tugas atau fungsi layanan SPBE.
Keamanan Informasi adalah terjaganya kerahasiaan, keaslian, keutuhan, ketersediaan, dan kenirsangkalan Informasi
Audit adalah proses identifikasi masalah, analisis, dan evaluasi bukti yang dilakukan secara independen, objektif dan profesional berdasarkan standar audit untuk menilai kebenaran, kecermatan, kredibilitas, efektivitas, efisiensi dan keandalan informasi pelaksanaan tugas dan fungsi instansi pemerintah.
Audit Teknologi Informasi dan Komunikasi atau disingkat Audit TIK adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektif terhadap aset teknologi informasi dan komunikasi dengan tujuan untuk menetapkan tingkat kesesuaian antara teknologi informasi dan komunikasi dengan kriteria dan/atau standar yang telah ditetapkan.
Audit Infrastruktur SPBE adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektif terhadap aset Infrastruktur SPBE dengan tujuan untuk menetapkan tingkat kesesuaian antara Infrastruktur SPBE dengan kriteria dan/atau standar yang telah ditetapkan.
Audit Aplikasi SPBE adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektif terhadap aset Aplikasi SPBE dengan tujuan untuk menetapkan tingkat kesesuaian antara Aplikasi SPBE dengan kriteria dan/atau standar yang telah ditetapkan.
Audit Keamanan SPBE adalah Audit Teknologi Informasi dan Komunikasi lingkup Keamanan SPBE.
Auditor adalah orang yang memiliki kompetensi pengetahuan dan/ keterampilan khusus dengan tugas utama melakukan evaluasi atas pengendalian sistem elektronik yang dapat dipertanggungjawabkan secara akademis maupun praktis.
Pusat Data adalah fasilitas yang digunakan untuk penempatan sistem elektronik dan komponen terkait lainnya untuk keperluan penempatan, penyimpanan dan pengolahan data, serta pemulihan data.
Jaringan Intra adalah jaringan tertutup yang menghubungkan antar simpul jaringan dalam suatu organisasi.
Sistem Penghubung Layanan adalah /perangkat integrasi/penghubung untuk melakukan pertukaran layanan SPBE.
Jaringan Intra Pemerintah adalah jaringan interkoneksi tertutup yang menghubungkan antar jaringan intra instansi pusat dan pemerintah daerah.
Sistem Penghubung Layanan Pemerintah adalah perangkat terintegrasi yang terhubung dengan sistem penghubung layanan instansi pusat dan pemerintah daerah untuk pertukaran layanan SPBE antar instansi pusat dan/atau pemerintah daerah.
Auditee adalah unit kerja yang menjadi objek /dari pelaksanaan Audit Infrastruktur SPBE dan Audit Aplikasi SPBE.
Jejak audit (audit trail) adalah urutan kronologis catatan audit yang berkaitan dengan pelaksanaan suatu kegiatan.
Pasal 2
Tujuan ditetapkannya Peraturan Walikota ini adalah untuk :
memberikan pemahaman memberikan pemahaman yang sarna standar kerangka kerja Audit TIK;
memberikan pedoman penyelenggaraan Audit TIK
Pasal 3
Pedoman Penyelenggaraan Audit TIK sebagaimana dimaksud dalam Pasal 2 tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Walikota Mojokerto ini.
Pasal 4
Audit TIK adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektif terhadap aset teknologi informasi dan komunikasi di lingkungan Pemerintah Kota Mojokerto dengan tujuan untuk:
Menetapkan tingkat kesesuaian antara teknologi informasi dan komunikasi dengan kriteria dan/atau standar yang telah ditetapkan;
Memastikan kehandalan dan keamanan sistem pemerintahan berbasis elektronik seluruh perangkat daerah di lingkup Pemerintah Kota Mojokerto.
Objek Audit TIK sebagaimana ayat (1) terdiri dari :
Infrastrutur SPBE yang terdiri dari Pusat Data, Jaringan Intra Pemerintah Daerah dan Sistem Penghubung Layanan Pemerintah Daerah;
Aplikasi SPBE Pemerintah Daerah, yang merupakan aplikasi khusus yang dikembangkan, dikelola dan/atau digunakan oleh Perangkat Daerah guna mendukung uraian tugas pokok dan fungsi serta memenuhi kebutuhan khusus Perangkat Daerah; dan
Keamanan infrastruktur dan keamanan aplikasi SPBE Pemerintah Daerah yang terkait pada poin a dan b diatas.
Audit Teknologi Informasi dan Komunikasi meliputi pemeriksaan hal pokok teknis pada:
penerapan tata kelola dan manajemen teknologi informasi dan komunikasi;
fungsionalitas teknologi informasi dan komunikasi;
kinerja teknologi informasi dan komunikasi yang dihasilkan; dan
aspek teknologi informasi dan komunikasi lainnya.
Audit TIK di lingkungan Pemerintah Kota Mojokerto terdiri atas audit Internal dan Eksternal
Pasal 5
Pelaksanaan Audit Internal sebagaimana dimaksud pasal 4 ayat (4) untuk Audit Infrastruktur SPBE, Audit Aplikasi SPBE dan Audit Keamanan SPBE
Penyelenggaraan Audit Internal sebagaimana dimaksud pada ayat (1) dikoordinasikan oleh APIP lingkungan Pemerintah Kota Mojokerto dengan melibatkan Perangkat Kerja yang menyelenggarakan fungsi pengelolaan teknologi informasi dan komunikasi di Pemerintah Kota Mojokerto.
Audit TIK dilaksanakan secara periodik
Periode pelaksanaan Audit TIK sebagaimana ayat (3) ditentukan sesuai dengan ketentuan perundang-undangan.
Pasal 6
Audit eksternal TIK dilaksanakan setelah pelaksanaan audit internal TIK Pemerintah Daerah.
Pelaksanaan Audit Eksternal Infrastruktur SPBE dan Audit Eksternal Aplikasi SPBE dilaksanakan oleh lembaga terakreditasi yang memiliki tugas dan fungsi di bidang teknologi informasi dan komunikasi atau LATIK SPBE, sedangkan Pelaksanaan Audit Eksternal Keamanan SPBE dilaksanakan oleh BSSN atau sesuai dengan ketentuan perundang-undangan.
Pasal 7
Laporan hasil audit dibuat dalam bentuk Dokumen Laporan Audit dengan isi yang dapat dimengerti oleh auditee dan pihak lain yang terkait.
Laporan audit harus dibuat tepat waktu, lengkap, akurat, objektif, meyakinkan, jelas dan ringkas.
Auditor dapat meminta tanggapan atau pendapat terhadap temuan, kesimpulan dan rekomendasi yang diberikannya termasuk tindakan perbaikan yang direncanakan oleh auditee secara tertulis dari pejabat auditee yang bertanggung jawab.
Laporan audit disampaikan oleh Ketua Tim Audit kepada pimpinan APIP, untuk kemudian oleh pimpinan APIP disampaikan salinannya kepada Koordinator SPBE tembusan Dinas Teknis terkait TIK dan auditee.
Pasal 8
Peraturan Walikota ini mulai berlaku pada tanggal ditetapkan
|
|
|
Ditetapkan di Mojokerto Pada tanggal … Januari 2022 |
|
|
WALIKOTA MOJOKERTO
Ttd
IKA PUSPITASARI, SE |
|
Diundangkan di MOJOKERTO
Pada tanggal…. Januari 2022
SEKRETARIS DAERAH KOTA MOJOKERTO Ttd
XXXXX XXX XXXXXXXX, ATD, MM Pembina Utama Muda NIP. 19680206 199301 1 002 |
BERITA DAERAH KOTA MOJOKERTO TAHUN…..NOMOR…..
LAMPIRAN
KEPUTUSAN WALIKOTA WOJOKERTO
NOMOR ………………………………………2022
TENTANG
PEDOMAN PENYELENGGARAAN AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI DI LINGKUNGAN PEMERINTAH KOTA MOJOKERTO
PEDOMAN PENYELENGGARAAN AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI DI LINGKUNGAN PEMERINTAH KOTA MOJOKERTO
BAB I
STANDAR PELAKSANAAN AUDIT SPBE
Standar pelaksanaan audit TIK adalah Batasan minimal bagi regulator dan auditor untuk membantu pelaksanaan audit sesuai prosedur dalam rangka pencapaian tujuan audit.
Standar Pelaksanaan Audit TIK memiliki tujuan sebagai berikut:
Menetapkan prinsip-prinsip dasar bagi pelaksanaan Audit TIK;
Menyusun Kerangka Kerja dalam pemberian layanan jasa Audit TIK, guna menambah nilai kepada yang diaudit (Auditee) melalui perbaikan proses dan operasionalnya; dan
Menyusun dasar dalam melakukan evaluasi terhadap regulasi dan pelaksanaan Audit TIK guna mendorong rencana perbaikan.
Standar Pelaksanaan Audit TIK mencakup hal-hal sebagai berikut:
Standar Umum;
Standar Umum memberikan prinsip dasar untuk mengatur Auditor TIK dalam melaksanakan tugasnya dan sehingga pelaksanaan pekerjaan Audit TIK hingga pelaporannya dapat terlaksana dengan baik dan efektif.
Dalam rangka memastikan kehandalan dan keamanan sistem teknologi informasi dan komunikasi di lingkungan Pemerintah Kota Mojokerto perlu dilakukan audit TIK secara berkala dan berkelanjutan
Objek Audit TIK tersebut terdiri dari :
Infrastrutur SPBE yang terdiri dari Pusat Data, Jaringan Intra Pemerintah Daerah dan Sistem Penghubung Layanan Pemerintah Daerah;
Aplikasi SPBE Pemerintah Daerah, yang merupakan aplikasi khusus yang dikembangkan, dikelola dan/atau digunakan oleh Perangkat Daerah guna mendukung uraian tugas pokok dan fungsi serta memenuhi kebutuhan khusus Perangkat Daerah; dan
Keamanan infrastruktur dan keamanan aplikasi SPBE Pemerintah Daerah yang terkait pada poin a dan b diatas.
Lingkup/ cakupan Audit TIK yang dilaksanakan meliputi pemeriksaan hal pokok teknis pada setiap objek audit yaitu :
penerapan tata kelola dan manajemen teknologi informasi dan komunikasi;
fungsionalitas teknologi informasi dan komunikasi;
kinerja teknologi informasi dan komunikasi yang dihasilkan; dan
aspek teknologi informasi dan komunikasi lainnya.
Permintaan Audit TIK diajukan untuk satu atau lebih dari tujuan berikut ini:
Peningkatan kinerja birokrasi dan pelayanan publik;
Penilaian kesesuaian dengan standar/prosedur/pedoman dan kesesuaian dengan rencana/kebutuhan/kondisi;
Identifikasi status teknologi yang dimiliki, identifikasi kemampuan teknologi, termasuk dalam hal ini adalah inventarisasi dan pemetaan aset teknologi;
Perencanaan pengembangan sistem/teknologi dan perencanaan perbaikan kelemahan; dan/atau
Pengungkapan suatu sebab atau fakta terkait dengan suatu kejadian atau peristiwa yang biasanya berimplikasi pada kondisi yang membahayakan keselamatan atau keamanan.
Audit TIK di lingkungan Pemerintah Kota Mojokerto terdiri atas audit Internal dan Eksternal
Audit eksternal TIK dilaksanakan oleh lembaga pelaksana Audit TIK pemerintah atau lembaga pelaksana Audit TIK yang terakreditasi dan auditor yang tersertifikasi sesuai dengan ketentuan peraturan perundang-undangan. Sebelum dilakukan audit eksternal TIK pada Pemerintah Daerah, harus terlebih dahulu melaksanakan audit internal TIK Pemerintah Daerah.
Audit internal TIK dilaksanakan oleh tim auditor internal TIK Pemerintah Daerah yang mempunyai kompetensi teknis sesuai objek audit dan lingkup audit dan ditetapkan oleh Sekretaris Daerah selaku Koordinator SPBE Pemerintah Daerah. Audit internal TIK dapat dilakukan dengan bantuan tenaga ahli audit TIK yang tersertifikasi atau lembaga audit TIK yang terakreditasi, dengan :
memastikan bahwa tenaga ahli yang digunakan mempunyai kompetensi, kualifikasi profesi, pengalaman yang relevan, dan independensi; dan
melakukan evaluasi terhadap hasil kerja tenaga ahli yang digunakan dan menyimpulkan tingkatan ketergunaannya.
Tujuan, wewenang dan tanggung jawab suatu aktivitas Audit TIK harus didefinisikan dengan jelas, tertuang dalam suatu dokumen formal berupa piagam audit (audit charter), surat tugas, atau dokumen-dokumen yang setara. Hal yang perlu diperhatikan sebagai berikut:
Surat tugas atau piagam audit (audit charter) menjelaskan tujuan audit, ruang lingkup, kewenangan tim audit dan etika yang harus dipatuhi oleh tim audit.
Penugasan Tim Auditor TIK dalam melaksanakan Audit TIK berupa Surat Tugas yang diberikan oleh Sekretaris Daerah selaku Koordinator SPBE Pemerintah Kota Mojokerto dan ditembuskan kepada Dinas teknis terkait TIK dan Auditee
Kegiatan Audit TIK dilakukan berdasarkan uraian yang disusun di dalam surat penugasan kerja Audit TIK. Surat penugasan kerja Audit TIK berisikan antara lain:
Tujuan Audit TIK;
Lingkup Audit TIK;
Wewenang auditor;
Tanggung jawab auditor;
Periode penugasan; dan
Tata pelaporan hasil Audit TIK.
Integritas Auditor TIK diwujudkan melalui sikap independen, objektif, dan menjaga kerahasiaan. Dalam melaksanakan tugasnya, Auditor TIK dituntut untuk menjalankan hal-hal sebagai berikut:
Menggunakan keahlian profesionalnya dengan cermat dan seksama (due professional care) serta berhati-hati (prudent) dalam setiap penugasan;
Senantiasa mengasah dan melatih kecermatan profesionalnya;
Meningkatkan pengetahuan, keahlian, dan kompetensi lain yang diperlukannya dengan mengikuti pendidikan dan pelatihan berkelanjutan;
Mematuhi prosedur yang ditetapkan dan mematuhi aturan perundangan; dan
Memiliki pengetahuan (knowledge), keterampilan (skill), sikap (attitude) dan pengalaman (experience) yang sesuai /guna memenuhi tanggung jawabnya dalam pelaksanaan audit.
Standar Pelaksanaan;
Xxx Xxxxx TIK terdiri dari posisi-posisi dengan uraian tugas dan tanggung jawab sebagai berikut:
Ketua Xxx Xxxxx (Lead Auditor), bertanggung jawab merencanakan Audit TIK, melaksanakan Audit TIK di lapangan, mengendalikan data dan melaporkan hasil Audit TIK serta secara efektif mengelola aktivitas audit untuk menjamin agar tujuan Audit TIK tercapai.
Ketua tim audit (Lead Auditor) harus melakukan hal-hal sebagai berikut:
Menyusun dan menetapkan rencana audit (audit plan) guna menentukan prioritas-prioritas dalam kegiatan Audit TIK yang konsisten dengan tujuan audit sesuai dengan piagam audit (audit charter);
Menyampaikan rencana audit (audit plan) kepada Auditee untuk dikaji dan diberi persetujuan, serta mengkomunikasikan dampak dari keterbatasan sumberdaya;
Mengelola sumber daya audit yang tepat, memadai, dan efektif untuk melaksanakan rencana audit yang telah disetujui;
Melakukan koordinasi dengan pimpinan LATIK SPBE untuk menjamin bahwa pelaksanaan Audit TIK dapat berjalan efektif dan efisien; dan
Memberi laporan yang memadai kepada pimpinan unit kerja yang diaudit mengenai tujuan, wewenang, tanggung jawab, dan kinerja audit.
Auditor, bertugas membantu Lead Auditor dalam aktivitas Audit TIK;
Asisten Auditor, bertugas membantu Auditor dalam aktivitas Audit TIK. Asisten Auditor harus sudah mengikuti sosialisasi Audit TIK;
Teknisi, bertugas membantu Auditor dalam pengumpulan data lapangan;
Pengawas Mutu, berperan melakukan monitoring dan evaluasi aktivitas Audit TIK untuk menjamin pelaksanaan Audit TIK sesuai dengan ketentuan peraturan perundang-undangan. Pengawas mutu dapat berasal dari pihak eksternal; dan
Narasumber, berperan memberi masukan yang berkaitan dengan isu, status industri dan teknologi, serta keilmuan yang relevan dengan lingkup yang diaudit.
Dalam pelaksanaan suatu Audit TIK, Xxx Xxxxx TIK minimal terdiri dari seorang Ketua Xxx Xxxxx (Lead Auditor) dan Auditor.
Pemeriksaan yang dilakukan terhadap Auditee mencakup:
Penerapan tata kelola dan manajemen SPBE;
Fungsionalitas dan kinerja SPBE; dan
Tingkat kepatuhan terhadap regulasi.
Hal yang perlu diperhatikan dalam Perencanaan Audit TIK sebagai berikut:
Auditor harus menyusun perencanaan dan program Audit TIK berdasarkan pendekatan risiko (risk approach). Hasil penilaian risiko digunakan untuk mengatur prioritas dan pengalokasian sumber daya audit.
Dalam melakukan penilaian risiko, Audit TIK paling sedikit melakukan beberapa hal sebagai berikut:
Mengidentifikasi aset SPBE yang berupa data, aplikasi SPBE, sistem operasi, infrastruktur SPBE, fasilitas, dan personil;
Mengidentifikasi kegiatan dan proses bisnis yang menggunakan SPBE; dan
Mengidentifikasi tingkat dampak risiko SPBE dalam operasional layanan SPBE dan mempertimbangkan skala prioritas berdasarkan tingkat risiko.
Program Audit TIK disusun sesuai dengan cakupan Audit TIK yang sudah ditetapkan dari hasil penilaian risiko TIK. Auditor dapat mengalokasikan sumber daya yang lebih fokus pada area yang berisiko tinggi dan mempunyai skala kepentingan yang tinggi pada Layanan TIK.
Rencana kerja Audit TIK harus disusun untuk setiap penugasan Audit TIK. Dalam hal merencanakan Audit TIK, Auditor harus mengembangkan dan mendokumentasikan rencana untuk setiap pelaksanaan Audit, yang paling sedikit mencakup:
Tujuan Audit TIK, jadwal, jumlah auditor, dan pelaporan;
Lingkup Audit TIK sesuai hasil penilaian risiko;
Pembagian tugas dan tanggung jawab dari auditor; dan
Alokasi sumber daya.
Rencana audit (audit plan) disusun dengan mempertimbangkan, antara lain:
Sistem pengendalian internal dan kepatuhan Auditee terhadap kebijakan atau standar;
Penetapan tujuan Audit TIK;
Penetapan kecukupan lingkup; dan
Penggunaan metodologi yang tepat.
Ketua tim audit dan Auditee harus menyepakati rencana audit sebelum tahap pelaksanaan audit.
Hal yang perlu diperhatikan dalam Pelaksanaan Audit TIK sebagai berikut:
Proses pelaksanaan Audit TIK mengacu pada program Audit TIK yang telah disusun pada tahap perencanaan
Auditor menyiapkan kertas kerja Audit TIK untuk mendokumentasikan pelaksanaan Audit TIK. Dokumen kertas kerja Audit TIK, yang sekurangnya terdiri dari:
Dokumen rencana dan program audit;
Surat Tugas Tim Audit;
Laporan Hasil Audit;
Laporan Tindak Lanjut Hasil Audit.
Dalam hal pelaksanaan audit TIK, Auditor TIK harus mengidentifikasi, menganalisis, mengevaluasi, dan mendokumentasikan informasi yang cukup untuk mencapai tujuan audit. Dalam melaksanakan audit tersebut, Auditor TIK harus:
Memperoleh bukti-bukti audit yang cukup, handal, dan relevan untuk mendukung penilaian audit dan kesimpulan audit;
Mendasarkan temuan dan kesimpulan audit pada analisis dan interpretasi yang memadai atas bukti-bukti audit;
Menyiapkan, mengelola dan menyimpan data dan informasi yang diperoleh selama pelaksanaan audit; dan
Disupervisi dengan baik untuk memastikan terjaminnya kualitas dan meningkatnya kemampuan Auditor.
Dalam hal komunikasi atas hasil Audit TIK, Auditor TIK harus mengkomunikasikan hasil pelaksanaan audit kepada pihak-pihak yang berkepentingan. Komunikasi tersebut harus mencakup tujuan dan ruang lingkup pelaksanaan audit, selain kesimpulan yang terkait, rekomendasi dan rencana tindak lanjut. Jika komunikasi final berisi kesalahan atau penghilangan yang signifikan, ketua tim audit (Lead Auditor) harus mengkomunikasikan informasi yang telah diperbaiki kepada semua pihak yang menerima komunikasi.
Monitoring dan evaluasi dilakukan oleh pengawas mutu dalam rangka memberikan informasi atas aktivitas audit yang sedang berjalan yang bertujuan untuk mengidentifikasi kemajuan dalam pelaksanaan audit, serta memastikan audit diimplementasikan secara efektif. Pengawas mutu menyampaikan hasil monitoring dan evaluasi aktivitas audit kepada Walikota dan koordinator SPBE.
Evaluasi secara menyeluruh dilakukan setelah aktivitas audit selesai yang bertujuan untuk mengetahui kelebihan dan kekurangan aktivitas audit yang telah dilakukan dalam rangka meningkatkan kualitas pelaksanaan audit berikutnya.
Aspek monitoring dalam aktivitas Audit TIK meliputi:
Kepatuhan terhadap Kode Etik dan Standar Audit;
Kesesuaian terhadap Piagam Audit;
Kesesuaian terhadap Rencana Audit; dan
Kesesuaian terhadap Protokol Audit
Standar Pelaporan
Laporan audit disampaikan oleh ketua Tim audit kepada Auditee dan pimpinan APIP untuk memutuskan apakah kesimpulan hasil pemeriksaan, termasuk temuan yang diperoleh selama Audit TIK berlangsung, serta rekomendasi yang diberikan dapat diterima oleh Xxxxxxx
Hal yang diperhatikan dalam pelaporan audit sebagai berikut:
Laporan hasil audit dibuat dalam bentuk dokumen laporan audit dengan tepat waktu, lengkap, akurat, objektif, meyakinkan, jelas, dan ringkas.
Auditor dapat meminta tanggapan atau pendapat terhadap temuan, kesimpulan dan rekomendasi yang diberikannya termasuk tindakan perbaikan yang direncanakan oleh auditee secara tertulis dari pejabat auditee yang bertanggung jawab.
Setelah konfirmasi dilakukan, Xxx Xxxxx wajib menyampaikan laporan hasil audit yang berisikan antara lain:
Tujuan Audit TIK;
Lingkup Audit TIK;
Periode pelaksanaan Audit TIK;
Kriteria dan acuan Audit TIK;
Metoda pengumpulan data dan metode analisa;
Hasil analisis, kesimpulan, dan rekomendasi;
Tanggapan Auditi terhadap hasil Audit TIK;
Batasan dan kendala yang ditemui selama proses Audit TIK; dan
Tata cara pendistribusian laporan sesuai dengan surat penugasan.
Draft laporan diriviu oleh ketua tim audit untuk memastikan konsistensi dengan tujuan dan ruang lingkup audit.
Laporan Audit diterbitkan dan dibuat rangkap dengan memberi identifikasi (nomor dokumen) untuk masing-masing salinan asli. Pada setiap halaman dokumen laporan hasil audit diberi identifikasi (nomor dokumen) yang menggambarkan sekurang kurangnya: tahun pelaksanaan audit, nomor urut atau nomor seri dokumen, domain Aplikasi atau Infrastruktur SPBE, Auditee dan kode pengendalian distribusi salinan dokumen.
Laporan Audit didistribusikan kepada Walikota
Laporan Periodik yang berisi ringkasan hasil audit disampaikan oleh Walikota kepada Instansi Pemerintah Pusat, satu kali dalam satu tahun
Standar Tindak Lanjut.
Dalam kondisi pemantauan terhadap tindak lanjut akan dilaksanakan, ketua tim audit (Lead Auditor) harus menetapkan sebuah sistem pemantauan terhadap tindak lanjut temuan, kesimpulan dan rekomendasi audit oleh Audistee, mencakup cara berkomunikasi dengan Auditee, prosedur pemantauan, dan laporan status temuan.
Untuk menjamin pelaksanaan tindak lanjut hasil audit TIK, APIP melakukan:
pemantauan tindak lanjut hasil audit TIK; dan
koordinasi dengan Koordinator SPBE, Dinas teknis terkait TIK, Auditee dan pihak terkait lainnya untuk mendorong penyelesaian Tindak Lanjut Hasil Audit.
Tindak lanjut perbaikan dari Auditee perlu dievaluasi oleh auditor, untuk menilai apakah saran tindak lanjut yang diberikan dapat diimplementasikan dan memberikan manfaat bagi Auditee
APIP dan Auditi harus memelihara dokumentasi atas hasil tindak lanjut tersebut.
BAB II
PANDUAN TEKNIS AUDIT TIK
Tata Cara Pelaksanaan Audit
Pelaksanaan Audit SPBE terbagi dalam tiga kelompok tahapan, yaitu:
tahap Perencanaan (Pre – Audit)
tahap Pelaksanaan Lapangan (onsite audit) dan
tahap Analisa data dan pelaporan (post audit)
Tata laksana dalam tiga tahapan diatas sebagai berikut:
Penyiapan tim pelaksana meliputi penetapan personil tim audit .
Quick Assessment dilakukan untuk mengenali obyek audit dengan mengidentifikasi isu terkini (current issue), lokasi organisasi yang diaudit, struktur organisasi dari organisasi yang diaudit, proses bisnis dari organisasi, atau bagian yang diaudit, teknologi produk (bila relevan), teknologi proses (bila relevan), pengguna produk (bisa relevan)
Penyiapan protocol audit
Penyiapan protocol audit dimulai dengan komunikasi dengan auditee untuk menjelaskan secara garis besar tentang audit TIK. Tim auditor menindaklanjuti dengan menyusun protokol audit yang berisi detail instrumen audit, meliputi tujuan, lingkup, kriteria, acuan, metode pengumpulan data, metoda Analisa, perkiraan jadwal pelaksanaan, Daftar data, pertanyaan dan pengujian, Formulir untuk mencatat data, jawaban, hasil observasi dan hasil pengujian;
Penyepakatan protocol audit.
Komunikasi lanjutan dengan auditee dilakukan untuk menyepakati protocol yang disusun. Auditee dapat memberi masukan untuk memperbaiki protocol dan menunjuk personil di pihak auditee yang akan mendampingi auditor dalam pelaksanaan lapangan. Dokumen protocol ditandatangani oleh penanggung jawab tim auditor dan penanggung jawab tim auditee.
Penyiapan kertas kerja dan penyiapan audit tools
Setelah protocol audit disepakati, tim auditor menyiapkan secara rinci form-form yang diperlukan. Form tersebut dianggap sebagai kerja kerja formal dalam pengumpulan data
Melakukan pertemuan pembukaan dengan auditee
Pelaksanaan lapangan diawasi dengan pertemuan pembukaan yang memaparkan rincian pelaksanaan lapangan audit aplikasi TIK dengan diawali dengan tata cara pelaksanaan audit melalui
Melaksanakan audit lapangan, melalui:
Penelaahan dokumen;
Wawancara;
Observasi lapangan;
Pengujian; dan
Verifikasi bukti. Auditor dapat meminta data atau informasi guna keperluan pelaksanaan tugas, baik dalam bentuk salinan cetak maupun salinan lunak termasuk basis data dari Aplikasi SPBE
Melakukan analisis bukti;
Memberikan rekomendasi perbaikan untuk mengatasi temuan audit TIK. Temuan Audit TIK merupakan keadaan dimana fakta status penyelenggaraan SPBE Auditee tidak sesuai dengan ketentuan peraturan perundang-undangan serta standar penyelenggaraan SPBE.
Melakukan pertemuan penutupan dengan auditee;
Penyusunan laporan;
Proof-read laporan (memeriksa kembali laporan hasil audit);
Penyerahan laporan;
Evaluasi aktivitas
Pedoman Teknis Audit Infrastruktur SPBE
Audit TIK Infrastruktur SPBE dengan obyek pusat data, jaringan infra dan sistem penghubung layanan, dilakukan pada aspek:
Tata kelola infrastruktur SPBE, yang meliputi evaluasi, pengarahan, dan pemantauan;
Manajemen Infrastruktur SPBE, yang meliputi
Manajemen keamanan,
Manajemen risiko,
Manajemen asset,
Manajemen pengetahuan,
Manajemen sumbesr daya manusia (SDM),
Manajemen layanan, Manajemen perubahan, dan
Manajemen data;
Fungsionalitas dan kinerja operasional dan pemeliharaan Infrastruktur SPBE, yang meliputi perencanaan, pengembangan, pengoperasian, dan pemeliharaan infrastruktur SPBE; dan
Tingkat kepatuhan terhadap regulasi.
Auditor melakukan pemeriksaan terhadap Infrastruktur SPBE untuk memastikan bahwa:
Perubahan teknologi, ketentuan hukum, dan regulasi dipantau;
Strategi Infrastruktur SPBE dan rencana Infrastruktur SPBE sudah selaras dengan kebutuhan Perangkat Daerah;
Standar teknologi sudah ditetapkan dan diimplementasikan; dan
Rekomendasi arsitektur Infrastruktur SPBE sudah dilaksanakan.
Rencana pengadaan Infrastruktur SPBE sudah mempertimbangkan faktor risiko, biaya, manfaat, keamanan, dan kesesuaian teknis dengan Infrastruktur SPBE lainnya.
Pengadaan Infrastruktur SPBE sesuai dengan rencana.
Aset SPBE sudah diidentifikasikan, ditentukan pemilik atau penanggung jawabnya, dan dicatat agar dapat dilindungi secara tepat.
Penghapusan aset SPBE sudah dilakukan dengan tepat sehingga aset aman untuk dihapus dan/atau dimusnahkan.
Kapasitas Infrastruktur SPBE sudah direncanakan dengan baik, dipantau, dianalisis dan dievaluasi penggunaannya.
Insiden terkait Infrastruktur SPBE dicatat dan ditangani dengan baik sesuai dengan kesepakatan tingkat layanan.
Pemeliharaan Infrastruktur SPBE telah dilakukan secara reguler sesuai dengan petunjuk penggunaannya; dan
Setiap pegawai/petugas pengelola fasilitas, Infrastruktur SPBE harus memiliki kompetensi yang sesuai dengan bidang tugasnya.
Audit dapat difokuskan pada penilaian fungsionalitas dan kinerja infrastruktur SPBE.
Auditor harus melakukan pemeriksaan terhadap penyediaan layanan infrastruktur SPBE oleh pihak eksternal untuk memastikan bahwa :
Pengendalian pemberian hak akses kepada pihak eksternal telah dilakukan;
Pemantauan dan evaluasi layanan pihak eksternal telah ditinjau secara berkala;
Evaluasi dan peninjauan layanan yang diberikan oleh pihak eksternal telah sesuai dengan pengendalian keamanan informasi yang ditetapkan dalam perjanjian atau kontrak; dan
Perjanjian Kerahasiaan (Non Disclosure Agreement) telah ditandatangani oleh pihak eksternal.
Panduan teknis dan kriteria penilaian pada audit infrastruktur SPBE dapat ditetapkan lebih lanjut oleh APIP, sesuai ketentuan peraturan perundang-undangan.
Pedoman Teknis Audit Aplikasi SPBE
Audit Aplikasi SPBE dilakukan pada aspek:
Penerapan tata kelola Aplikasi SPBE yang meliputi evaluasi, pengarahan, dan pemantauan;
Penerapan manajemen Aplikasi SPBE, yang meliputi
Manajemen keamanan,
Manajemen risiko,
Manajemen asset,
Manajemen pengetahuan,
Manajemen sumber daya manusia,
Manajemen layanan,
Manajemen perubahan, dan
Manajemen data;
Fungsionalitas dan Kinerja Aplikasi SPBE yang meliputi perencanaan, pengembangan, pengoperasian, dan pemeliharaan aplikasi SPBE; dan
Tingkat kepatuhan terhadap regulasi.
Auditor harus melakukan pemeriksaan terhadap Arsitektur Aplikasi SPBE paling sedikit untuk memastikan bahwa:
Aplikasi direncanakan dalam suatu dokumen spesifikasi kemampuan aplikasi (Software Requirements Spesifications) dengan mengacu kepada arsitektur SPBE Nasional, arsitektur SPBE Pemerintah Daerah, dengan mempertimbangkan kebutuhan, peluang dan proses bisnis
Perubahan kebutuhan dan proses bisnis dipantau;
Standar pembangunan dan pengembangan Aplikasi SPBE sudah ditetapkan dan diimplementasikan;
Rekomendasi arsitektur Aplikasi SPBE sudah dilaksanakan.
Aplikasi SPBE sudah dibangun dan dikembangkan sesuai rencana dengan metodologi pembangunan dan pengembangan yang ada;
Rancangan Aplikasi SPBE sudah mempertimbangkan kebutuhan keamanan dan ketersediaan;
Aplikasi SPBE memiliki dokumentasi pembangunan dan pengembangan Aplikasi SPBE yang dibutuhkan;
Aplikasi SPBE sudah diujicobakan sebelum dioperasionalkan sesuai dengan kebutuhannya. Uji coba terhadap aplikasi harus terdokumentasi.
Pengendalian akses ke kode sumber (source code) Aplikasi SPBE sudah dilakukan;
Pelatihan kepada pengguna dan pegawai/petugas pengelola Aplikasi SPBE telah dilakukan;
Tinjauan pasca implementasi telah dilakukan ketika selesai implementasi Aplikasi SPBE.
Kapasitas Aplikasi SPBE sudah direncanakan dengan baik, dipantau, dianalisis dan dievaluasi penggunaannya;
Insiden terkait Aplikasi SPBE dicatat dan ditangani dengan baik sesuai dengan kesepakatan tingkat layanan;
Pengoperasian dan pemeliharaan Aplikasi SPBE telah dilakukan secara rutin sesuai dengan pedoman; dan
Setiap pegawai/petugas pengelola Aplikasi SPBE harus mempunyai kompetensi yang sesuai dengan bidang tugasnya.
Auditor harus melakukan pemeriksaan terhadap penyediaan layanan pengembangan dan/atau pemeliharaan aplikasi SPBE oleh pihak ketiga, paling sedikit untuk memastikan bahwa:
Pengendalian pemberian hak akses kepada pihak eksternal telah dilakukan;
Pemantauan dan evaluasi layanan pihak eksternal telah ditinjau secara berkala;
Evaluasi dan peninjauan layanan yang diberikan oleh pihak eksternal telah sesuai dengan pengendalian keamanan informasi yang ditetapkan dalam perjanjian atau kontrak; dan
Perjanjian Kerahasiaan (Non Disclosure Agreement) telah ditandatangani oleh pihak eksternal.
Panduan teknis dan kriteria penilaian pada audit aplikasi SPBE dapat ditetapkan lebih lanjut oleh APIP, sesuai ketentuan peraturan perundang-undangan.
Pedoman Teknis Audit Keamanan SPBE
Audit Keamanan SPBE dilakukan pada aspek:
Penerapan tata kelola keamanan pada lingkup aplikasi dan infrastruktur SPBE, yang meliputi evaluasi, pengarahan, dan pemantauan;
Penerapan manajemen keamanan SPBE, yang meliputi: kebijakan keamanan; organisasi keamanan; keamanan personil; keamanan aset; keamanan akses; keamanan kriptografi; keamanan fisik dan lingkungan; keamanan operasional; keamanan komunikasi; keamanan pengembangan dan pemeliharaan; keamanan rekanan; insiden keamanan; keamanan kontinuitas; dan/atau kepatuhan keamanan.;
Kinerja Keamanan Aplikasi SPBE dan Keamanan Infrastruktur SPBE; dan
Tingkat kepatuhan terhadap regulasi.
Auditor harus melakukan pemeriksaan terhadap Arsitektur Keamanan SPBE paling sedikit untuk memastikan bahwa:
Perubahan ancaman, kerentanan, risiko, dan kendali SPBE dipantau;
Strategi Keamanan SPBE dan rencana Keamanan SPBE sudah selaras dengan kebutuhan Pemerintah Daerah;
Standar keamanan informasi sudah ditetapkan dan diimplementasikan; dan
Rekomendasi arsitektur Keamanan SPBE sudah dilaksanakan.
Peta Rencana Keamanan SPBE telah disusun berdasarkan analisis risiko dan kesenjangan arsitektur Keamanan SPBE;
Peta Rencana Keamanan SPBE disusun berdasarkan prioritas pengembangannya;
Sejauh mana Peta Rencana Keamanan SPBE sudah diimplementasikan; dan
Peta Rencana Keamanan SPBE ditinjau secara berkala berdasarkan kajian risiko, rencana anggaran, atau hasil evaluasi SPBE.
Kebijakan dan pedoman keamanan informasi sudah disusun dan disosialisasikan secara berkala;
Dilakukan pelatihan peningkatan kepedulian (awareness training) keamanan informasi secara berkala;
Pengelola dan pelaksana keamanan informasi sudah ditetapkan; dan
Setiap sistem, Aplikasi SPBE, dan data telah ditentukan tingkat kritikalitasnya;
Setiap sistem dan proses bisnis telah ditetapkan pemiliknya;
Ada prosedur pengelolaan pengguna dan hak aksesnya untuk setiap pegawai dan pihak eksternal;
Setiap pengguna sistem diberi hak akses sesuai dengan kebutuhan minimumnya dan disetujui oleh pemilik proses bisnis;
Setiap pengguna sistem bisa diidentifikasi secara individual;
Dilakukan tinjauan secara berkala terhadap pengguna dan hak aksesnya di setiap sistem;
Dilakukan pemantauan keamanan sistem secara proaktif;
Dilakukan pengujian keamanan sistem secara berkala;
Insiden keamanan informasi ditangani secara efektif;
Dilakukan perlindungan terhadap data yang bersifat rahasia;
Terdapat kendali aplikasi paling sedikit pada:
Identifikasi, otentikasi, dan otorisasi;
Antarmuka sistem;
Keakuratan dan kelengkapan transaksi; dan
Logging dan audit trail.
Terdapat kendali infrastruktur paling sedikit pada:
Identifikasi, otentikasi, dan otorisasi penggunaan Infrastruktur SPBE sudah dikelola;
Di setiap sistem dilakukan instalasi perangkat lunak untuk mencegah dan mendeteksi perangkat lunak berbahaya (virus, malware, dan lain-lain);
Pengendalian keamanan pada jaringan telah dilakukan; dan
Dilakukan identifikasi infrastruktur yang kritikal untuk dipantau.
Auditor harus melakukan pemeriksaan terhadap penyediaan layanan keamanan SPBE oleh pihak eksternal paling sedikit untuk memastikan bahwa:
Pengendalian pemberian hak akses kepada pihak eksternal telah dilakukan;
Pemantauan dan evaluasi layanan pihak eksternal telah ditinjau secara berkala;
Evaluasi dan peninjauan layanan yang diberikan oleh pihak eksternal telah sesuai dengan pengendalian keamanan informasi yang ditetapkan dalam perjanjian atau kontrak; dan
Perjanjian Kerahasiaan (Non Disclosure Agreement) telah ditandatangani oleh pihak eksternal.
Panduan teknis dan kriteria penilaian pada audit keamanan SPBE dapat ditetapkan lebih lanjut oleh APIP, sesuai ketentuan peraturan perundang-undangan.
Pembiayaan Audit TIK
Pembiayaan untuk pelaksanaan Audit TIK dapat ditanggung oleh:
APIP;
Dinas Teknis terkait TIK; dan/atau
Auditee yang mengusulkan kegiatan audit TIK.
Besaran biaya pelaksanaan audit didasarkan pada cakupan area audit sesuai dengan kompleksitas proses bisnis.
Mekanisme penganggaran audit TIK dapat dilakukan melalui perjanjian kerja dengan pihak ketiga atau swakelola yang disesuaikan dengan ketentuan peraturan perundang-undangan.
WALIKOTA MOJOKERTO
IKA PUSPITASARI