proses, kultur, struktur

Control terdiri dari semua elemen dalam suatu organisasi termasuk di dalamnya sumber
input(resources), proses, kultur, struktur, yang semuanya tergabung untuk menunjang karyawan dalam
mencapai tujuan organisasi.
Risiko adalah kemungkinan satu atau lebih individu atau organisasi yang mengalami timbal balik atas
pilihannya, dengan kata lain risiko adalah kebalikan dari kesempatan
Semua entitas pasti akan menghadapi risiko berdasarkan dari ukuran, struktur, kebiasaan, atau
industrinya sendiri. Semua keputusan bisnis melibatkan elemen elemen dari risiko seperti financing, lini
produk, dan metodologi suppy.
Semua bisnis, produk, dan proses melibatkan beberapa tahapan risiko. Manajemen risiko melibatkan
penilaian atas produk, proses atau bisnis dengan:






Mengidentifikasi proses
Mengidentifikasi tipe risiko yang berhubungan dengan setiap proses
Mengidentifikasi control yang berhubungan dengan setiap proses
Mengevaluasi kecukupan dari system control dalam mengurangi risiko
Menentukan key control yang berhubungan dengan setiap proses
Menentukan keefektifan dari key control
Ada tiga tipe risiko yang biasanya diperhitungkan dalam melakukan pendekatan audit berdasarkan
risiko, ketiga tipe risiko itu adalah:



Inherent Risk
Risiko Inheren adalah kemungkinan kerugian yang signifikan sebelum memperhitungkan factor
pengurangan risiko. Dalam mengevaluasi risiko inheren, auditor harus mempertimbangkan apa
saja tipe dan sifat risiko dengan apa saja factor yang mengindikasikan risiko itu ada. Untuk
mencapainya auditor harus familiar dengan lingkungan dari operasi entitas itu sendiri.
Control Risk
Risiko pengendalian mengukur kemungkinan control proses dilaksanakan sampai batas
maksimalnya atau mengelola inherent risk secara tidak efektif. Untuk mengetahui bahwa
internal audit mengevaluasi pengendalian dengan baik, auditor harus memahami bagaimana
caranya mengukur pengendalian mana yang efektif. Efektifitas pengendalian akan membuat
dampak yang besar terhadap kualitas kerja dan supervise control.
Audit Risk
Risiko Audit adalah risiko yang ruang lingkup auditnya tidak berdampak signifikan terhadap
eksposur bisnis. Program audit mungkin dikembangkan untuk mengurangi risiko audit. Program
audit ini harus digunakan dengan baik dan dimodifikasi untuk merefleksikan profil risiko bisnis
terkini.
Effect of Risk
Secara Umum, risiko bisnis akan mempengaruhi kemampuan perusahaan untuk bersaing, menjaga
kekuatan keuangan dan image positif perusahaan, dan kemampuan untuk bertahan. Risiko akan
memberikan dampak pada kualitas produk, orang, dan jasa dari keseluruhan organisasi. Risiko tidak
dapat dihilangkan tapi hanya bisa dikendalikan.
Internal Control telah dianggap sebagai respon atas risiko bisnis. Untuk mengevaluasi keefektifan
pengukuran pengendalian risiko, auditor harus memiliki pemahaman yang komprehensif dalam
mendasari risiko bisnis.
Salah satu landasan utama dari tata kelola IT adalah manajemen risiko. Karena semakin meningkatnya
kekompleksan lingkungan bisnis ditambah dengan pertumbuhan penggunaan solusi teknologi,
manajemen informasi risiko menjadi area yang paling menantang yang harus manajemen operasikan.
Hasil dari kebutuhan akan tata kelola yang baik, organisasi menempatkan penekanan Enterprise risk
management (ERM).
COSO telah mendefinisikan kerangka kerja ERM meliputi:




Strategic.
Operations
Reporting
Compliance
Seperti yang bisa dilihat, IT memainkan peranan penting dalam seluruh area tersebut. Oleh karena itu,
risiko IT dapat diartikan sebagai:




Strategic.
Risiko dimana IT yang dikembangkan sendiri atau yang dibeli tidak berhubungan dengan tujuan
organisasi dan tidak mendukung dalam pencapain misi perusahaan.
Operations.
Risiko dimana system informasi digunakan oleh organisasi yang memaksakan overhead tidak
dapat diterima dalam organisasi atau mempengaruhi tingkat layanan sub-optimal.
Reporting.
Risiko dimana IT tidak dapat diandalkan dalam memproduksi informasi yang tepat, lengkap, dan
tepat waktu.
Compliance.
Risiko dimana IT menyebabkan pelanggaran hukum dan peraturan dengan hasil kerugian
organisasi, dalam segi financial maupun reputasi.
Audit and Risk
Merupakan tanggung jawab dari Manajemen operasional untuk mengidentifikasi, menilai, dan
mengelola risiko. Merupakan suatu tanggung jawab dari IT audit untuk membantu manajemen dalam
proses ini dengan memfasilitasi pengidentifikasian dan penilaian dari risiko dan dengan membantu
manajemen untuk mengawasi seberapa baik risiko dikelola dalam bisnis.
Banyak organisasi tidak memiliki sumber daya untuk mengidentifikasi, menganalisis, dan mengelola
semua bisnis risiko dari perspektif IT. Mengimplementasikan proses penilaian risiko memvantu dengan
cara menyediakan metode yang konsisten untuk memilih risiko yang memiliki dampak yang besar.
Dalam penilaian risiko, auditor IT mengembangkan pemahaman atas operasi bisnis dengan tujuan untuk
memfasilitasi pengidentifikasian dan penilaian atas risiko signifikan dari system informasi. Penilaian ini
kemudian digunakan untuk mengalokasikan sumber daya audit ke area dalam organisasi yang
membutuhkan manajemen eksekutif dan komite audit dengan paling efisien dan efektif dari tingkatan
lingkup audit.
Berdasarkan posisi risiko individu diadopsi, perusahaan akan mempunyai banyak perbedaaan intervensi
mitigasi risiko, seperti lingkup asuransi, instrument keuangan, dan fungsi audit internal.
Risiko Itu sendiri biasanya dikategorikan berdasarkan respon organisasi seperti berikut:
1. Controllable risks
2. Uncontrollable risks
3. Influanceable Risks
Audit Evidence
Auditor IT biasanya diekspektasikan untuk menyatakan opini pada kecukupan dan keefektifan dari
internal control dalam memitigasi risiko. Untuk ini auditor harus mengumpulkan bukti audit. Bukti dapat
diartikan sebagai informasi yang dibutuhkan untuk membuktikan sesuatu. Bukti bukti mungkin saja
cacat karena bias pribadi atau kemungkinan error dalam pengeukuran dan sebagian mungkin kurang
kompeten dengan yang diinginkan auditor dalam melihat keseluruhan bukti.