Penugasan Audit Sistem Informasidapat dituangkan dalam bentuk Piagam atau Surat Tugas Audit Sistem Informasi untuk auditor internal, dan Surat Tugas atau Surat Perintah Kerja untuk auditor eksternal.
Piagam atau Surat Tugas Audit Sistem Informasi harus menjelaskan tentang tujuan, lingkup, tanggung jawab, wewenang, akuntabilitas, periode atau jangka waktu, dan pelaporan dari Audit Sistem Informasi.
Piagam atau Surat Tugas Audit Sistem Informasi harus disetujui secara bersama oleh Auditor Sistem Informasi dan pemberi tugas.
P-2Independensi dan Obyektifitas Auditor Sistem Informasi
Auditor Sistem Informasi harus membuat suatu surat pernyataan independensi, untuk memberikan suatu jaminan independensi dan obyektifitasnya dari organisasi atau hal yang diaudit, khususnya dalam berbagai hal yang berkaitan dengan Audit Sistem Informasi.
Auditor Sistem Informasi harus memperhatikan dan menghindari serta hal-hal yang dapat mengganggu independensi dan obyektifitasnya, yaitu antara lain :
Hubungan struktural, profesional, pribadi, maupun finansial yang dapat mengakibatkan auditor membatasi pelaksanaan pengujian, membatasi informasi yang disampaikan, atau mengurangi temuan audit Sistem Informasi, dalam bentuk apapun;
Anggapan atau pandangan terhadap sekumpulan individu, kelompok, organisasi atau tujuan dari suatu kegiatan tertentu yang dapat mengakibatkan tujuan maupun hasil audit Sistem Informasi menjadi bias;
Tanggung jawab sebelumnya yang terkait dengan pengambilan keputusan atau pengelolaan dari sebuah entitas (organisasi, unit kerja, kelompok kerja, kepanitiaan, atau yang sejenis), dalam jangka waktu 2 (dua) tahun sebelumnya, yang dapat mempengaruhi operasional dari entitas atau kegiatan yang sedang diaudit;
Berbagai hal yang dapat mengakibatkan bias, seperti adanya suatu keharusan politis atau sosial yang diakibatkan oleh keterlibatan dalam atau kewajiban kepada suatu kelompok, organisasi, atau jabatan pemerintahan tertentu.
Kepentingan finansial, baik secara langsung maupun secara tidak langsung, terhadap entitas atau kegiatan yang sedang diaudit.
Pelaksanaan audit Sistem Informasi berkelanjutan oleh individu yang sama yang sebelumnya terlibat dan menyetujui perancangan dan implementasi sistem informasi dari entitas atau kegiatan yang sedang diaudit.
Adanya suatu penawaran atau pengajuan lamaran atas suatu posisi di entitas atau kegiatan yang diperiksa, dalam jangka waktu 1 (satu) tahun sebelumnya, termasuk jika penawaran atau pengajuan lamaran tersebut terjadi pada saat audit sedang berlangsung.
Auditor Sistem Informasi wajib mengungkapkan kondisi-kondisi yang dapat mengganggu independensi dan obyektifitasnya dalam pelaporan hasil pemeriksaan dan pengawasan.
Auditor Sistem Informasi wajib merahasiakan seluruh informasi yang terkait dengan Audit Sistem Informasi, kecuali ditentukan lain oleh peraturan perundang-undangan atau atas permintaan pengadilan.
P-3Profesionalisme dan Kompetensi Auditor Sistem Informasi
Auditor Sistem Informasi harus memastikan bahwa dalam merencanakan, melaksanakan, mengawasi, dan melaporkan penugasannya, Auditor Sistem Informasi telah dan hanya menggunakan pendekatan dan metode yang sesuai dengan peraturan perundang-undangan, serta sesuai dengan kode etik dan standar profesi yang berlaku bagi Auditor Sistem Informasi.
Auditor Sistem Informasi dalam menerapkan prinsip kehati-hatian profesional dalam merencanakan, melaksanakan, mengawasi dan melaporkan penugasan auditnya, dengan memperhatikan hal-hal sebagai berikut :
Lingkup pengujian audit yang diperlukan untuk menjamin pencapaian tujuan audit;
Tingkat kompleksitas, materialitas dan signifikansi dari hal-hal yang diuji dalam audit;
Kelayakan dan efektifitas manajemen resiko, pengendalian intern, dan tata kelola TI;
Kemungkinan terdapatnya kesalahan, ketidakwajaran dan ketidakpatuhan yang signifikan;
Keseimbangan sumber daya yang dibutuhkan untuk melakukan audit dengan manfaat keyakinan yang memadai yang akan diperoleh.
Auditor Sistem Informasiharus memiliki kompetensi yang didasarkan kepada dengan pengetahuan dan ketrampilan yang dibutuhkan oleh Auditor Sistem Informasi dalam merencanakan, melaksanakan, mengawasi dan melaporkan seluruh penugasannya, serta disesuaikan kepada situasi dan kondisi Sistem Informasi yang akan diaudit.
Auditor Sistem Informasi harus meningkatkan pengetahuan dan keahlian yang diperlukan untuk melaksanakan Audit Sistem Informasi, dengan menjadi anggota dari asosiasi profesi Auditor Sistem Informasi dan melakukan pendidikan profesi berkelanjutanyang memadai sesuai ketentuan dari asosiasi profesi.
P-4Perencanaan Audit Sistem Informasi
Auditor Sistem Informasiharus merencanakan Audit Sistem Informasi dengan baik dengan terlebih dahulu mengidentifikasi hal-hal berikut :
Sumber daya sistem informasi yang akan di audit;
Tata kelola dan manajemen sistem informasi yang akan di audit;
Peraturan perundang-undangan yang terkait dengan sistem informasiyang akan diaudit.
Auditor Sistem Informasi harus menyusun Rencana Audit Sistem Informasi secara rinci dan jelas, yang mencakup :
Tujuan, lingkup, dan jenis Audit Sistem Informasi;
Tahapan dan prosedur pengujian Audit Sistem Informasi yang harus dilakukan;
Metodologi dan alat bantu Audit Sistem Informasi yang dapat digunakan oleh Auditor Sistem Informasi;
Jangka waktu pelaksanaan setiap tahapan dan prosedur pengujian dalam Audit Sistem Informasi;
Alokasi kepada Auditor Sistem Informasiyang harus melakukan prosedur pengujian tersebut.
Auditor Sistem Informasi dalam merencanakan Audit Sistem Informasi harus memperhatikan beberapa faktor berikut ini :
Aspek materialitas dan signifikansi dari risiko dan kendali yang akan diuji;
Hak dan kewajiban serta batasan Auditor Sistem Informasi sesuai peraturan perundang-undangan;
Kesediaan sumber daya audit, seperti jumlah hari audit, alat bantu audit, dan kompetensi tim auditor yang terlibat;
Berbagai keterbatasan dari aspek teknis dari lingkungan TI yang ada.
P-5Pelaksanaan Audit Sistem Informasi
Auditor Sistem Informasi harus mendokumentasikan seluruh informasi yang terkait dengan pelaksanaan prosedur audit dan berbagai bukti yang diperolehnya di dalam seperangkat Kertas Kerja Audit Sistem Informasi, yang harus memenuhi ketentuan sebagai berikut :
Disusun menggunakan Bahasa Indonesia, dengan lengkap, jelas, terstruktur, dan memiliki indeks, agar mudah untuk dipahami dan digunakan oleh Audit Sistem Informasi atau pihak lain yang akan melakukan review atas Kertas Kerja Audit tersebut.
Memungkin dilakukannya pelaksanaan ulang seluruh kegiatan yang telah dilaksanakan selama penugasan Audit Sistem Informasi tersebut oleh pihak independen dan memperoleh hasil dan kesimpulan yang sama.
Mencantumkan identitas pihak yang melaksanakan setiap tahapan dan pengujian Audit Sistem Informasi serta peranannnya, serta telah diperiksa oleh pihak lain di dalam Tim Audit Sistem Informasi.
Auditor Sistem Informasi harus mengelola dokumentasi atau Kertas Kerja Audit Sistem Informasi atas suatu penugasan, yang antara lain mencakup catatan atau data mengenai :
Perencanaan dan persiapan tujuan dan lingkup penugasan tersebut dan hasil telaahan atas dokumentasi audit sebelumnya atau yang terkait dengan penugasan tersebut;
Hasil atau risalah rapat telaahan pimpinan, rapat manajemen, dan rapat-rapat lain yang terkait dengan penugasan tersebut;
Pemahaman Auditor Sistem Informasi tentang entitas atau kegiatan yang diaudit, dan lingkungan pengendalian intern serta sistem pemrosesan informasi yang terkait;
Daftar program audit dan prosedur audit lainnya untuk memenuhi tujuan penugasan tersebut;
Prosedur audit yang telah dilaksanakan dan bukti audit yang diperoleh dalam rangka mengevaluasi kelayakan dan kelemahan pengendalian Sistem Informasi yang terkait dengan penugasan tersebut;
Metode yang digunakan untuk menilai kelayakan pengendalian, adanya kelemahan atau kekurangan pengendalian, dan mengindentifikasi pengendalian pengganti;
Pembuat dan sumber dari dokumentasi audit beserta tanggal penyelesaiannya;
Hak akses yang dimiliki dan/atau digunakan oleh Auditor Sistem Informasi dalam pelaksanaan berbagai pengujian atas sumber daya Sistem Informasiyang terkait.
Hasil Pengujian Pengendalian, seperti pengujian atas kebijakan, prosedur dan pemisahan fungsi;
Hasil Pengujian Terinci, seperti prosedur analitis, pengujian atas perhitungan, dan pengujian terinci lainnya;
Berbagai hasil pemeriksaan atau telahaan hasil pelaksanaan supervisi audit;
Berbagai temuan, kesimpulan dan rekomendasi audit yang terkait dengan penugasan tersebut;
Tanggapan atau komentar pihak yang diaudit atas rekomendasi dari Auditor Sistem Informasi.
Berbagai laporan yang diterbitkan sebagai hasil dari pelaksanaan penugasan tersebut;
Tanda terima dari pihak yang berhak untuk menerima laporan dan temuan audit;
Audit Sistem Informasi harus disupervisi untuk memberikan jaminan yang memadai bahwa :
Seluruh prosedur audit yang telah dialokasikan telah dilaksanakan dan didokumentasikan;
Tidak terdapat prosedur audit yang terkait dengan risiko dan kendali sistem informasi yang material dan signifikan yang tidak dilaksanakan oleh Tim Audit Sistem Informasi;
Telah dilaksanakan pemeriksaan yang memadai atas seluruh dokumentasi pelaksanaan prosedur audit, kertas kerja audit serta bukti-bukti audit yang diperoleh.
P-6Pelaporan Audit Sistem Informasi
Auditor Sistem Informasi, harus menyampaikan Temuan dan Rekomendasi Audit Sistem Informasi jika ditemukan adanya kelemahan atau kekurangan atas rancangan dan/atau pelaksanaan pengendalian intern, manajemen risiko, dan kelola TI, dimana Temuan dan Rekomendasi Audit Sistem Informasi paling sedikit mencakup informasi sebagai berikut :
Temuan, yaitu berbagai fakta mengenai kelemahan atau kekurangan rancangan dan pelaksanaan atas rancangan dan/atau pelaksanaan pengendalian intern TI, manajemen risiko TI, dan tata kelola TI yang ditemukan oleh Auditor Sistem Informasi yang didasarkan kepada bukti-bukti audit yang diperoleh dari hasil pelaksanaan prosedur pengujian Audit Sistem Informasi;
Risiko, yaitu dampak yang disebabkan oleh adanya kondisi tersebut diatas, yang secara aktual telah terjadi atau memiliki potensi untuk terjadi, yang telah atau akan dapat mempengaruhi pencapaian sebagian atau keseluruhan tujuan dari pengendalian intern TI, manajemen risiko TI dan tata kelola TI;
Kriteria, yaitu berbagai peraturan perundang-perundangan dan/atau kebijakan, prosedur, dan instruksi kerja, serta standar dan praktik-praktik terbaik, yang digunakan oleh Auditor Sistem Informasi untuk melakukan evaluasi dan pengujian atas pengendalian intern TI, manajemen risiko TI dan tata kelola TI;
Rekomendasi, yaitu berbagai tindakan perbaikan yang menurut Auditor Sistem Informasi dapat atau harus dilakukan oleh-oleh pihak yang terkait, untuk menghilangkan dan/atau mengendalikan berbagai hal yang menjadi penyebab, serta menghilangkan dan/atau mengendalikan berbagai dampak, dari adanya berbagai kelemahan atau kekurangan atas rancangan dan/atau pelaksanaan pengendalian intern TI, dan manajemen risiko TI serta tata kelola TI yang terkait;
Tanggapan, yaitu klarifikasi atau penjelasan dan argumentasi atau tanggapan resmi dari pihak-pihak yang terkait dan/atau bertanggunga jawab atas hal-hal yang terkait dengan temuan dan rekomendasi yang disampaikan oleh Auditor Sistem Informasi.
Auditor Sistem Informasi menyampaikan suatu Laporan Hasil Audit Sistem Informasi, yang disusun dalam Bahasa Indonesia, kepada pihak-pihak yang terkait dengan suatu penugasan segera setelah pelaksanaan sebuah penugasan audit selesai dilaksanakan, dimana Laporan Hasil Audit Sistem Informasi tersebut minimal mencakup informasi sebagai berikut:
Identitas organisasi, pihak-pihak yang berhak menerima, dan pembatasan distribusi atau sirkulasi laporan tersebut;
Tujuan, aspek dan periode yang dicakup, serta sifat, waktu, dan kedalaman audit;
Hasil Audit Sistem Informasiberupa temuan, kesimpulan, dan rekomendasi Audit Sistem Informasi, serta, jika ada, pengecualian dan pembatasan terkait dengan lingkup audit;
Tanggapan dan/atau komentar resmi atas Laporan Hasil Audit Sistem Informasidari pihak-pihak yang bertanggungjawab atas entitas atau kegiatan yang diaudit;
Tanggal pelaporan, serta nama, jabatan dan tanda tangan Ketua Tim Audit Sistem Informasi;
Ringkasan Eksekutif, yang merupakan ringkasan dari Laporan Hasil Audit Sistem Informasi, khususnya mengenai hal-hal yang menurut Auditor Sistem Informasi cukup material dan signifikan dan perlu mendapatkan perhatian dari pihak-pihak yang bertanggung jawab atas entitas atau kegiatan yang diaudit.
P-7Pemantauan Tindak Lanjut Audit Sistem Informasi
Auditor Sistem Informasi dalam memantau tindak lanjut Audit Sistem Informasi, harus :
Mencatat jangka waktu yang harus dipenuhi oleh satuan kerja yang bertanggungjawab untuk menindaklanjuti temuan dan rekomendasi Audit Sistem Informasi;
Jika dipandang perlu, dapat melakukan penugasan khusus atau tambahan dalam rangka melakukan evaluasi dan verifikasi atas tindak lanjut yang telah dilaporkan;
Apabila terdapat tindak lanjut yang belum dilaksanakan atau yang dipandang kurang memadai pelaksanaannya, Auditor Sistem Informasi harus menyampaikan atau mengeskalasikan hasil pemantauan tindak lanjut Audit Sistem Informasi tersebut kepada satuan kerja yang terkait atau kepada pejabat yang lebih tinggi.
Auditor Sistem Informasidalam melakukan evaluasi dan verifikasi kelayakan tindak lanjut atas temuan dan rekomendasi Audit Sistem Informasi, harus memperhatikan faktor sebagai berikut :
Signifikansi dari temuan dan rekomendasi Audit Sistem Informasi tersebut;
Adanya perubahan terhadap lingkungan Sistem Informasi yang dapat mempengaruhi signifikasi permasalahan atau risiko yang terkait dengan temuan dan rekomendasi tersebut;
Sumber daya dan kompleksitas serta jangka waktu yang dibutuhkan untuk melaksanakan tindak lanjut dari temuan dan rekomendasi Audit Sistem Informasi tersebut;
Dampak yang mungkin ditimbulkan jika tindak lanjut dari temuan dan rekomendasi tersebut tidak atau gagal dilakukan;
