IT Risk Management Framework by COBIT

COBIT (Control Objectives for Information and Related Technology) merupakan standard yang dikeluarkan oleh ITGI (The IT Governance Institute). COBIT merupakan suatu koleksi dokumen dan framework yang diklasifikasikan dan secara umum diterima sebagai best practice untuk tata kelola (IT Governance), kontrol dan jaminan TI.

Referensi perihal manajemen resiko secara khusus dibahas pada proses PO9 dalam COBIT. Prosesproses yang lain juga menjelaskan tentang manajemen resiko namun tidak terlalu detil.

Gambar  Framework Manajemen Resiko COBIT

Resiko adalah segala hal yang mungkin berdampak pada kemampuan organisasi dalam mencapai tujuantujuannya. Framework manajemen resiko TI dengan menggunakan COBIT (lihat gambar) terdiri dari :

1.  Penetapan Objektif

Kriteria informasi dari COBIT dapat digunakan sebagai dasar dalam mendefinisikan objektif TI. Terdapat tujuh kriteria informasi dari COBIT yaitu : effectiveness, efficiency, confidentiality, integrity, availability, compliance, dan reliability.

2.  Identifikasi Resiko

TABEL KEJADIAN (EVENTS) YANG MENGGANGU PENCAPAIAN OBJEKTIF PERUSAHAAN :

Identifikasi resiko merupakan proses untuk mengetahui resiko. Sumber resiko bisa berasal dari :

•  Manusia, proses dan teknologi

•  Internal (dari dalam perusahaan) dan eksternal(dari luar perusahaan)

•  Bencana (hazard), ketidakpastian (uncertainty) dan kesempatan (opportunity).

Dari ketiga sumber resiko tersebut dapat diketahui kejadian-kejadian yang dapat mengganggu perusahaan dalam mencapai objektifnya (lihat tabel event diatas).

3.  Penilaian Resiko

Proses untuk menilai seberapa sering resiko terjadi atau seberapa besar dampak dari resiko (tabel 2.2). Dampak resiko terhadap bisnis (business impact) bisa berupa : dampak terhadap financial, menurunnya reputasi disebabkan sistem yang tidak aman, terhentinya operasi bisnis, kegagalan aset yang dapat dinilai (sistem dan data), dan penundaan proses pengambilan keputusan.

Sedangkan kecenderungan (likelihood) terjadinya resiko dapat disebabkan oleh sifat alami dari bisnis, struktur dan budaya organisasi, sifat alami dari sistem (tertutup atau terbuka, teknologi baru dan lama), dan kendali-kendali yang ada. Proses penilaian resiko bisa berupa resiko yang tidak dapat dipisahkan (inherent risks) dan sisa resiko (residual risks).

TABEL TINGKATAN BESARNYA DAMPAK RESIKO DAN FREKUENSI TERJADINYA RESIKO

4.  Respon Resiko

Untuk melakukan respon terhadap resiko adalah dengan menerapkan kontrol objektif yang sesuai dalam melakukan manajemen resiko. Jika sisa resiko masih melebihi resiko yang dapat diterima (acceptable risks), maka diperlukan respon resiko tambahan. Proses-proses pada framework COBIT (dari 34 Control Objectives) yang sesuai untuk manajemen resiko adalah :

•             PO1 (Define a Stretegic IT Plan) dan PO9 (Assess and Manage Risks)

•             AI6 (Manages Change)

•             DS5 (Ensure System and Security) dan DS11 (Manage Data)

•             ME1 (Monitor and Evaluate IT Performance)

5. Monitor Resiko

Setiap langkah dimonitor untuk menjamin bahwa resiko dan respon berjalan sepanjang waktu.

sumber http://wwardhanu.blogspot.com/2010/12/model-framework-it-management-risk-by.html

34 Domain Proses COBIT

Berikut adalah 34 Domain Proses COBIT, Skor dan tingkat Maturity dari tiap proses :

	Plan and Organize
	NO	KODE	PROSES	SKOR	TINGKAT MATURITY
	1	PO1	Menetapkan rencana Strategis TI	3	Define
	2	PO2	Menetapkan arsitektur sistem informasi	0	Non-Existent
	3	PO3	Menetapkan arah teknologi	3	Define
	4	PO4	Menetapkan proses TI, organisasi dan hubungannya	3	Define
	5	PO5	Mengatur investasi TI	3	Define
	6	PO6	Mengkomunikasikan tujuan dan arahan manajemen	4	Manage
	7	PO7	Mengelola sumberdaya manusia	4	Manage
	8	PO8	Mengatur kualitas	3	Define
	9	PO9	Menilai dan mengatur resiko TI	0	Non-Existent
	10	PO10	Mengatur Proyek	0	Non-Existent
			Rata-rata Domain PO	2.3	Repeatable
	Acquire and Iimplement
	NO	KODE	PROSES	SKOR	TINGKAT MATURITY
	1	AI1	Identifikasi solusi-solusi otomatis	0	Non-Existent
	2	AI2	Mendapatkan dan memelihara perangkat lunak aplikasi	3	Define
	3	AI3	Mendapatkan dan memelihara infrastruktur teknologi	3	Define
	4	AI4	Menjalankan operasi dan menggunakannya	3	Define
	5	AI5	Pengadaan sumber daya TI	3	Define
	6	AI6	Mengelola perubahan	0	Non-Existent
	7	AI7	Instalasi dan akreditasi solusi serta perubahan	0	Non-Existent
			Rata-rata Domain AI	1.7	Repeatable
	Delivery and Support
	NO	KODE	PROSES	SKOR	TINGKAT MATURITY
	1	DS1	Menetapkan dan mengatur tingkat layanan	0	Non-Existent
	2	DS2	Pengaturan layanan dengan pihak ketiga	3	Define
	3	DS3	Mengatur kinerja dan kapasitas	0	Non-Existent
	4	DS4	Memastikan ketersediaan layanan	3	Define
	5	DS5	Memastikan keamanan sistem	3	Define
	6	DS6	Identifikasi dan biaya tambahan	0	Non-Existent
	7	DS7	Mendidik dan melatih user	3	Define
	8	DS8	Mengelola bantuan layanan dan insiden	0	Non-Existent
	9	DS9	Mengatur konfigurasi	0	Non-Existent
	10	DS10	Mengelola masalah	0	Non-Existent
	11	DS11	Mengelola data	3	Define
	12	DS12	Mengelola fasilitas	3	Define
	13	DS13	Mengelola operasi	3	Define
			Rata-rata Domain DS	1.6	Repeatable
	Monitor and Evaluate
	NO	KODE	PROSES	SKOR	TINGKAT MATURITY
	1	ME1	Monitor dan Evaluasi Kinerja TI	3	Define
	2	ME2	Monitor dan Evaluasi Pengendalian Internal	3	Define
	3	ME3	Mendapatkan jaminan independent	0	Non-Existent
	4	ME4	Penyediaan untuk tatakelola TI	3	Define
			Rata-rata Domain ME	2.3	Repeatable