7 BAB 2 LANDASAN TEORI 2.1 Audit Sistem Informasi 2.1.1

BAB 2
LANDAS AN TEORI
2.1
Audit Sistem Informasi
2.1.1 Pengertian Sistem
Definisi sistem menurut M ulyadi (2001,p1) merupakan sekelompok
unsur yang erat berhubungan satu dengan yang lainnya, yang berfungsi
bersama-sama untuk mencapai tujuan tertentu.
2.1.2 Pengertian Informasi
Secara umum informasi adalah data yang sudah diolah menjadi suatu
bentuk lain yang lebih berguna yaitu pengetahuan atau keterangan yang
ditujukan bagi penerima dalam pengambilan keputusan, baik masa sekarang
atau yang akan datang.
2.1.3 Pengertian Sistem Informasi
Definisi sistem informasi menurut James O’Brien yang diterjemahkan
oleh Dewi Fitriasari dan Deny Arnos Kwary (2005,p5), Sistem informasi dapat
merupakan kombinasi teratur apa pun dari orang-orang, harware, software,
jaringan, komunikasi, dan sumber daya data yang mengumpulkan, mengubah,
dan menyebarkan informasi dalam sebuah organisasi.
7
8
2.1.4 Jenis jenis audit
Jenis-jenis audit menurut Arens, Elder, dan Beasly (2006,p15) :
1.
Operational audit evaluates the efficiency and efectiveness of any
part of an organization’s operating procedures and methods. At
the completion of any operation of an operational audit,
management normally expects reccomendations for improving
operations. In operational audit the reviews are not limited to
accounting. They can include the evaluation of organizational
structure, computer operations, production methods, marketting,
and any other area in which the auditor is qualified.
2.
Compliance audit is conducted to determine whether the auditee
is following specific procedures, rules, or regulations set by some
higher authority. A compliance audit for a private business could
include :
a.
Determining wheteher accounting personnel are following
the procedures prescribed by the company controller.
b.
Reviewing wage rates for compliance with minimum wage,
laws or,
c.
Examining contractual aggrements with bankers and other
lenders to be sure the company is complying with legal
requirements.
3.
Financial statement audit is conducted to determine whether the
overall financial statements are stated in accordance with
specified criteria. Normally the criteria are GAAP,, athough it is
9
common to conduct audits of financial statements prepared using
the cash basis or some other basis of accounting appropiate for
the organization.
Pernyataan di atas diterjemahkan sebagai berikut :
1. Audit operasional mengevaluasi efektivitas dan effisiensi dari setiap
bagian prosedur dan metode operasional perusahaan. Dalam setiap
pelaksanaan audit operasional, management biasanya mengharapkan
rekomendasi untuk meningkatkan kinerja perusahaan. Dalam audit
operasional reviews tidak dibatasi dalam lingkup accounting. Dapat
termasuk didalamnya evaluasi dari struktur organisasi, operasi
komputer, metode produksi, marketting, dan wilayah lain dimana
auditor memenuhi syarat untuk melakukan audit.
2. Audit Ketaatan dibuat untuk mememukan apakah pihak yang akan
diaudit mengikuti beberapa prosedur, aturan, atau relgulasi yang telah
ditetapkan oleh otoritas yang lebih tinggi kedudukannya. Compliance
audit untuk bisnis privat mencakup:
a.
menemukan apakah personel accounting mengikuti aturan
yang telah ditetapkan oleh perusahaan.
b.
mereview
tingkat
penghasilan
sesuai dengan
upah
minimum yang ditetapkan undang.undang.
c.
memeriksa kontrak perusahaan dengan bank atau kreditur
lainnya untuk memastikan perusahaan tersebut memenuhi
persyaratan hukum yang berlaku.
10
3. Financial statement audit dilakukan untuk menemukan apakah
seluruh laporan keuangan dilaporkan sesuai dengan kriteria-kriteria
yang telah ditetapkan sebelumnya. Biasanya kriteria yang dipakai
adalah GAAP. M eskipun dalam mengaudit laporan keuangan
biasanya menggunakan basis kas atau basis lain yang merupakan
aplikasi accounting dalam suatu organisasi.
2.1.5 Pengertian Audit Sistem Informasi
M enurut Weber (1999,p10), Information Sys tem Auditing is the process
of collecting and evaluating evidence to determine whether a computer systems
safeguards assets, maintains data integrity , allows organizational goals to be
achieves effectively and uses resources efficiently.
Dengan kata lain, Audit Sistem Informasi adalah proses pengumpulan
dan pengevaluasian bukti-bukti untuk menentukan apakah sistem komputer
telah memenuhi tujuan untuk mengamankan asset perusahaan, menjaga
integritas data dan meningkatkan efektivitas serta mendorong efisiensi dalam
penggunaan sumber daya.
2.1.6 Tujuan Audit Sistem Informasi
M enurut Weber (1999, p11) tujuan dari audit sistem informasi lebih
ditekankan pada beberapa aspek penting, yaitu pemeriksaan dilakukan untuk
dapat menilai keempat tujuan dibawah ini, yaitu:
11
1. Assets safeguarding objectives
The information system asstes of an organization include hardware,
software,
facilities,
people
(knowledge),
data
files,
system
documentation, and supplies. Like all asstes, they must be protected
by a system of internal control.
2. Data integrity objectives
Data integrity is a fundamental concept in information systsem
auditting. It is
a state implying data has certain attributes ;
completeness, soundness, purity, and veracity. If data integrity is not
maintained, an organization no longer has a true representation of
itsefl or of events.
3. System effectiveness objectives
An effective information system accomplishes its objectives.
Evaluating effectivenesss implies knowledge of user needs/ to
evaluate whether a system reports information in a way that
facilitates decision making by its users, auditors ports information in
a way that facilitates decision making by its users, auditors must
know the characteristic of users and the decision making
environment.
4. System efficiency objectives
An efficient information system uses minimum resources to achieve its
required objectives. Information system consume various resources:
machine time, peripherals, system software, and labor. These
12
resources are sarce, and different application systems usuually
complete for their use.
Pernyataan di atas diterjemahkan sebagai berikut :
1. Pengamanan Aset
Asset sistem informasi suatu organisasi termasuk hardware, software,
fasilitas, sumber daya manusia (skill), informasi, dokumentasi dan
persediaan. Semua asset tersebut harus dilindungi dengan sistem
pengendalia internal.
2. M enjaga integritas Data
Integritas data dalah konsep fundamental di dalam audit sistem
informasi. Ini mengemukakan bahwa data mempunyai atribut-atribut
tertentu : kelengkapan, keaslian, kejujuran. Jika integritas data tidak di
pertahankan maka sebuah organisasi tidak mempunyai gambarang atas
keadaan perusahaan yang sebenarnya.
3. Efektifitas Sistem
Sistem informasi yang effektif mebantu mencapai tujuan perusahaan.
M engevaluasi efektivitas atas kebutuhan user/ untuk mengevaluasi
apakah laporan yang diberikan dapat mempermudah dalam proses
pengambilan keputusan oleh orang yang menggunakannya. Auditor
sisstem informasi harus menemukan cara untuk memudahkan user
sistem
tersebut
dalam
mengambil
keputusan.
Auditor
harus
mengetahui karakteristik user dan lingkungan pengambilan keputusan
tersebut.
13
4. Efisiensi Sistem
Sistem informasi yang effisien menggunakan sumber daya yang
terbatas untuk mencapai tujuannya. Sistem informasi mempergunakan
beberapa sumber daya yaitu : mesin, waktu, perlengkapan, software,
dan user. Sumber daya tersebut penting, dan aplikasi berbeda biasanya
melengkapi untuk kebutuhan user.
2.1.7 Tahapan Audit Sistem Informasi
M enurut Weber (1999, p47) ada 5 (lima) tahap dalam Audit Sistem
Informasi yaitu:
1. Planning the audit
Planning is the first phase of an audit. For an external auditor, this
means investigating new and continuing clients to determine whether
the audit engagement should be accepted, assigning appropiate staff
to the audit, obtaining an engagement letter, obtaining background
information on the client, understanding the client’s legal obligation
and undertaking analytical review procedures to understand the
client’s business better and identify areas of risk in the audit.
2. Test of controls
Auditors test controls when they asess the control risk for an
assertion at less the maximum level. They rely on controls as a basis
for reducing more costly testing. At this stage in the audit, however,
auditors do not know whether the control identified operate
14
effectively. Test of control, therefore, evaluate whether specific,
material controls are, in fact, reliable.
3. Test of transaction
From an attest perspective, recall auditors use tests of transaction to
evaluate whether errorneous or irregular processing of a transaction
has led to a material misstatement of financial information. Typical
attest test of transaction include tracing journal entries to their
source documents, examining price files for propriety, and testing
computational accuracy.
4. Test of balances or overall results
Auditor conduct test of balances or overall results to obtain sufficient
evidence for making a final judgement on the extent of looses or
account misstatement that occur when the information system
function fails to safeguard assets, maintain data integrity, and
archieve system effectiveness and efficiency.
5. Completion of the audit
In the final pashe of the audit, etxernal auditors undertake severals
additional tests to bring the collection of evidence to a close.they
must than formulate an opinion about whether material looses or
account misstatement have occured and issue a report. The
proffesionals standards in many countries require one of four types of
opinion be issued;
a. Disclaimer of oppinion: on the basis of the audit work
conducted, the auditor is unable to reach an opinion.
15
b. Adverse opinion: the auditor concludes the material losses
have occured or that the financial statements are materiality
mistated.
c. Qualified opinion : the auditor concludess that material losses
have occured or that the financial statements are misstated
but that the amoubnts are not material.
d. Unqualified opinion. : the auditor belives that no material
losses or account mistatement have occured.
Pernyataan di atas diterjemahkan sebagai berikut :
1. Perencanaan Audit (Planning the audit)
Perencanaan merupakan fase pertama dari kegiatan audit, bagi auditor
eksternal hal ini berarti melakukan investigasi terhadap klien untuk
mengetahui apakah penugasan audit (audit engagement) dapat
diterima, menempatkan staf audit, mendapatkan surat penugasan,
mendapatkan informasi mengenai latar belakang klien, memahami
informasi mengenai kewajiban hukum klien dan melakukan analisa
terhadap prosedur yang ada untuk memahami bisnis klien dan
mengidentifikasi area-area yang berisiko. Pada tahap ini auditor juga
harus memahami pengendalian intern organisasi lalu menentukan
tingkat risiko pengendalian yang berhubungan dengan setiap segmen
audit.
16
2. Pengujian Pengendalian (Tests of controls)
Auditor melakukan test of controls ketika mereka menilai bahwa
tingkat risiko pengendalian berada pada level kurang dari maksimum
(pengendalian masih dapat dipercaya). Test of controls diarahkan
kepada efektifitas pengendalian perusahaan, baik dalam rancangan
maupun operasinya (pelaksanaannya). Tahap ini diawali dengan fokus
pada
pengendalian
manajemen
(management
controls),
jika
pengendalian manajemen dinilai beroperasi secara tidak handal, maka
auditor hanya akan melakukan sedikit pengujian pada pengendalian
aplikasi (application controls). Namun jika auditor menemukan
kelemahan yang serius pada pengendalian manajemen maka auditor
akan memberikan opini tidak wajar (adverse opinion) terhadap
pengendalian yang ada di dalam perusahaan atau melakukan pengujian
substantif (substantive test) atas transaksi dan pengujian keseimbangan
dan hasil keseluruhan (balances or overall result). Jika auditor
menyatakan
pengendalian
manajemen
telah
beroperasi secara
memadai, maka auditor akan melakukan evaluasi terhadap kehandalan
pengendalian aplikasi dengan menelusuri jenis-jenis materialitas dari
transaksi melalui masing-masing pengendalian yang dijalankan pada
subsistem pengendalian aplikasi.
3. Pengujian Transaksi (Tests of transaction)
Auditor menggunakan pengujian ini untuk mengevaluasi apakah
kesalahan atau pemrosesan yang keliru terhadap transaksi telah
mengarah pada kesalahan yang material pada pernyataan laporan
17
keuangan. Pengujian pembuktian ini mencakup penelusuran terhadap
jurnal hingga ke dokumen sumbernya, menguji kebenaran data, dan
menguji
akurasi
perhitungan.
Jika
hasil
pengujian
transaksi
mengindikasikan terjadi kehilangan atau kesalahan pencatatan yang
material maka auditor dapat mengembangkan tingkat pengujiannya
dengan melakukan test of balances or overall result untuk
mendapatkan estimasi yang lebih baik terhadap kehilangan / kesalahan
pencatatan.
4. Tests of balances or overall results
Auditor melakukan pengujian ini untuk memperoleh bukti yang cukup
dalam membuat penilaian akhir (final judgement) mengenai tingkat
kehilangan atau kesalahan pencatatan yang terjadi ketika fungsi sistem
informasi gagal melindungi aset, memelihara integritas data, mencapai
efektifitas dan efisiensi sistem informasi.
5. Completion of the audit
Tahap ini merupakan tahap akhir dari tahapan audit sistem informasi.
Pada tahap ini auditor merumuskan opininya terhadap kehilangan
material dan kesalahan pencatatan yang terjadi sekaligus membuat
rekomendasi untuk manajemen yang nantinya disajikan pada laporan
audit.
18
2.1.8 S tandar Audit
M enurut Information System Audit and Control Association (ISACA),
Standar Audit adalah sebagai berikut :
S1 Audit Charter
The purpose, responsibility, authority and accountability of the
information systems audit function or information systems audit
assignments should be appropriately documented in an audit charter
or engagement letter.
S2 Independence
03 Profesional Independence
In all matters related to the audit, the IS auditor should be
independent of the auditee in both attitude and appearance.
04 Organiational Independence
The IS audit function should be independent of the area or activity
being reviewed to permit objective completion of the audit
assignment.
S3 Proffesional Ethics and Standards
03 Code of professional Ethics
The IS auditor should adhere to the ISACA Code of Professional
Ethics.
04 Due Profesional Care
The IS auditor should exercise due professional care, including
observance of applicable professional auditing standards.
19
S4 Competence
03 The IS auditor should be professionally competent, having the skills
and knowledge to conduct the audit assignment.
04 The IS auditor should maintain professional competence through
appropriate continuing professional education and training.
S5 Planning
03 The IS auditor should plan the information systems audit coverage
to address the audit objectives and comply with applicable laws and
professional auditing standards.
04 The IS auditor should develop and document a risk-based audit
approach.
05 The IS auditor should develop and document an audit plan
detailing the nature and objectives, timing and extent, and
resources required.
06 The IS auditor should develop an audit program and procedures.
S6 Performance of Audit Work
03 Supervision-IS audit staff should be supervised to provide
reasonable assurance that audit objectives are accomplished and
applicable professional auditing standards are met.
04 Evidence-During the course of the audit, the IS auditor should
obtain sufficient, reliable and relevant evidence to achieve the audit
objectives. The audit findings and conclusions are to be supported
by appropriate analysis and interpretation of this evidence.
05 Documentation-The audit process should be documented,
20
describing the audit work and the audit evidence that supports the
IS auditor's findings and conclusions.
S7 Reporting
03 The IS auditor should provide a report, in an appropriate form,
upon completion of the audit. The report should identify the
organisation, the intended recipients and any restrictions on
circulation.
04 The audit report should state the scope, objectives, period of
coverage and the nature, timing and extent of the audit work
performed.
05 The report should state the findings, conclusions and
recommendations
and
any
reservations,
qualifications
or
limitations in scope that the IS auditor has with respect to the audit.
06 The IS auditor should have sufficient and appropriate audit
evidence to support the results reported.
07 When issued, the IS auditor's report should be signed, dated and
distributed according to the terms of the audit charter or
engagement letter.
S8 Follow Up Activities
03 After the reporting of findings and recommendations, the IS auditor
should request and evaluate relevant information to conclude
whether appropriate action has been taken by management in a
timely manner.
21
S9 Irregularities and Illegal Acts
03 In planning and performing the audit to reduce audit risk to a low
level, the IS auditor should consider the risk of irregularities and
illegal acts.
04 The IS auditor should maintain an attitude of professional
skepticism during the audit, recognising the possibility that material
misstatements due to irregularities and illegal acts could exist,
irrespective of his/her evaluation of the risk of irregularities and
illegal acts.
05 The IS auditor should obtain an understanding of the organisation
and its environment, including internal controls.
06 The IS auditor should obtain sufficient and appropriate audit
evidence to determine whether management or others within the
organisation have knowledge of any actual, suspected or alleged
irregularities and illegal acts.
07 When performing audit procedures to obtain an understanding of
the organisation and its environment, the IS auditor should
consider unusual or unexpected relationships that may indicate a
risk of material misstatements due to irregularities and illegal acts.
08 The IS auditor should design and perform procedures to test the
appropriateness of internal control and the risk of management
override of controls.
22
09 When the IS auditor identifies a misstatement, the IS auditor should
assess whether such a misstatement may be indicative of an
irregularity or illegal act. If there is such an indication, the IS
auditor should consider the implications in relation to other aspects
of the audit and in particular the representations of management.
10 The IS auditor should obtain written representations from
management at least annually or more often depending on the audit
engagement
11 If the IS auditor has identified a material irregularity or illegal act,
or obtains information that a material irregularity or illegal act
may exist, the IS auditor should communicate these matters to the
appropriate level of management in a timely manner.
12 If the IS auditor has identified a material irregularity or illegal act
involving management or employees who have significant roles in
internal control, the IS auditor should communicate these matters
in a timely manner to those charged with governance.
13 The IS auditor should advise the appropriate level of management
and those charged with governance of material weaknesses in the
design and implementation of internal control to prevent and detect
irregularities and illegal acts that may have come to the IS
auditor’s attention during the audit.
14 If the IS auditor encounters exceptional circumstances that affect
the IS auditor’s ability to continue performing the audit because of
a material misstatement or illegal act, the IS auditor should
23
consider the legal and professional responsibilities applicable in
the circumstances, including whether there is a requirement for the
IS auditor to report to those who entered into the engagement or in
some cases those charged with governance or regulatory
authoritiesor consider withdrawing from the engagement.
15 The IS auditor should document all communications, planning,
results, evaluations and conclusions relating to material
irregularities and illegal acts that have been reported to
management, those charged with governance, regulators and
others.
S10 IT Governance
03 The IS auditor should review and assess whether the IS function
aligns with the organisation’s mission, vision, values, objectives
and strategies.
04 The IS auditor should review whether the IS function has a clear
statement about the performance expected by the business
(effectiveness and efficiency) and assess its achievement.
05 The IS auditor should review and assess the effectiveness of IS
resource and performance management processes.
06 The IS auditor should review and assess compliance with legal,
environmental and information quality, and fiduciary and security
requirements.
07 A risk-based approach should be used by the IS auditor to evaluate
the IS function.
24
08 The IS auditor should review and assess the control environment of
the organisation.
09 The IS auditor should review and assess the risks that may
adversely effect the IS environment.
S11 Use of Risk Assessment in Audit Planning
03 The IS auditor should use an appropriate risk assessment technique
or approach in developing the overall IS audit plan and in
determining priorities for the effective allocation of IS audit
resources.
04 When planning individual reviews, the IS auditor should identify
and assess risks relevant to the area under review.
S12 Audit Materiality
03 The IS auditor should consider audit materiality and its
relationship to audit risk while determining the nature, timing and
extent of audit procedures.
04 While planning for audit, the IS auditor should consider potential
weakness or absence of controls and whether such weakness or
absence of control could result into significant deficiency or a
material weakness in the information system.
05 The IS auditor should consider the cumulative effect of minor
control deficiencies or weaknesses and absence of controls to
translate into significant deficiency or material weakness in the
information system.
25
06 The report of the IS auditor should disclose ineffective controls or
absence of controls and the significance of the control deficiencies
and possibility of these weaknesses resulting in a significant
deficiency or material weakness.
S13 Using the Work of Other Experts
03 The IS auditor should, where appropriate, consider using the work
of other experts for the audit.
04 The IS auditor should assess and be satisfied with the professional
qualifications, competencies, relevant experience, resources,
independence and quality control processes of other experts, prior
to engagement.
05 The IS auditor should assess, review and evaluate the work of other
experts as part of the audit and conclude the extent of use and
reliance on expert’s work.
06 The IS auditor should determine and conclude whether the work of
other experts is adequate and complete to enable the IS auditor to
conclude on the current audit objectives. Such conclusion should be
clearly documented.
07 The IS auditor should apply additional test procedures to gain
sufficient and appropriate audit evidence in circumstances where
the work of other experts does not provide sufficient and
appropriate audit evidence.
26
08 The IS auditor should provide appropriate audit opinion and
include scope limitation where required evidence is not obtained
through additional test procedures.
S14 Audit Evidence
03 The IS auditor should obtain sufficient and appropriate audit
evidence to draw reasonable conclusions on which to base the audit
results.
04 The IS auditor should evaluate the sufficiency of audit evidence
obtained during the audit.
S15 IT Controls
03 The IS auditor should evaluate and monitor IT controls that are an
integral part of the internal control environment of the
organisation.
04 The IS auditor should assist management by providing advice
regarding the design, implementation, operation and improvement
of IT controls.
S16 E-commerce
03 The IS auditor should evaluate applicable controls and assess risk
when reviewing e-commerce environments to ensure that ecommerce transactions are properly controlled.
27
Standar-standar di atas diterjemahkan sebagai berikut :
S1 Audit Charter
Tujuan, tanggung jawab, kewenangan dan akuntabilitas dari fungsi
audit system informasi atau penilaian audit system harus
didokumentasikan dalam audit charter atau engagement letter.
S2 Independence
03 Professional independen :
Dalam setiap hal yang berkaitan dengan audit, auditor SI harus
independent terhadap pihak yang akan diaudit.
04 Organizational independen:
Fungsi audit SI harus independent dalam wilayah atau aktivitas
yang sedang direview untuk menyelesaikan audit.
S3 Proffesional Ethics and Standards
03 Auditor SI harus menjaga kempetensi professional melalui
pelatihan dan pembelajaran professional secara berkelanjutan.
04 Auditor si harus secara professional mampu, mempunyai keahlian
dan kemampuan untuk melakukan tugas audit.
S4 Competence
03 Auditor Si harus menjaga profesionalitas, mencakup ketaatan yang
berlaku dalam standar audit professional.
04 Auditor Si harus mematuhi ISACA Code of Professional Ethics.
S5 Planning
03 Auditor SI harus merencanakan perencanaan audit sistem informasi
28
untuk menempatkan tujuan audit dan untuk melengkapi hukum dan
standar auditing profesional yang berlaku.
04 Auditor SI harus mengembangkan dan mendokumentasikan sebuah
pendekatan audit berbasis risiko.
05 Auditor SI harus mengembangkan dan mendokumentasikan
rencana audit dengan rincian sifat dan tujuan, waktu dan luas, dan
sumber daya yang diperlukan.
06 Auditor SI harus mengembangkan program audit dan prosedur.
S6 Performance of Audit Work
03 Pengawasan - Staff audit SI harus diawasi untuk dapat menjaminan
bahwa tujuan audit yang dijalankan dan standar profesional auditing
dapat terpenuhi.
04 Bukti - Selama audit, auditor SI harus mendapatkan bukti yang
tepat, dapat dipercaya, relevan dan berguna untuk mencapai tujuan
dari suatu audit. Temuan audit dan kesimpulan harus didukung oleh
analisis dan interpretasi yang tepat melalui bukti ini.
05 Dokumentasi - proses audit harus didokumentasikan,
menggambarkan pekerjaan dan bukti audit yang mendukung
temuan dan kesimpulan auditor sistem informasi.
S7 Reporting
03 Auditor SI harus memberikan laporan dalam bentuk yang tepat,
setelah selesainya audit. Laporan harus mengidentifikasikan sebuah
organisasi, yang dimaksudkan penerima dan semua larangan pada
sirkulasi.
29
04 Laporan Audit harus berupa lingkup, tujuan, periode audit, jangka
waktu dan luasnya pekerjaan audit yang dilakukan.
05 Laporan harus menyatakan temuan, kesimpulan dan rekomendasi
dan setiap layanan atau kualifikasi yang diberikan auditor terhadap
tugas audit yang dijalankan.
06 Auditor SI harus mempunyai bukti-bukti audit yang cukup dan
tepat untuk mendukung hasil yang dilaporkan.
07 Ketika diterbitkan, laporan auditor SI harus ditandatangani,
tertanggal dan didistribusikan sesuai dengan ketentuan audit charter
atau surat engagement.
S8 Follow Up Activities
03 Setelah melaporkan temuan dan rekomendasi, auditor SI harus
meminta dan mengevaluasi informasi yang relevan untuk
menyimpulkan apakah tindakan yang telah diambil oleh manajemen
telah sesuai rencana dan pada jangka waktu yang tepat.
S9 Irregularities and Illegal Acts
03 Dalam merencanakan dan melakukan audit untuk memperkecil
resiko audit ke tingkat yang rendah, Auditor IS harus
mempertimbangkan resiko penyimpangan dan tindakan illegal.
04 Auditor SI harus menjaga sikap skeptis professional dalam
melakukan audit, mempertimangkan kemungkinan kesalahan akibat
penyimpangan dan tindakan illegal yang muncul,
05 Auditor si harus memiliki pemahaman mengenai organisasi dan
lingkungannya, meliputi control internal.
30
06 Auditor Si harus memiliki bukti audit yang cukup dan sesuai untuk
menentukan apakah management atau pihak lain dalam organisasi
mempunyai pengetahuan mengenai adanya dugaan penyimpangan
dan tindakan illegal
07 Ketika melakukan prosedur audit untuk memperoleh pengertian
mengenai organisasi dan lingkungannya. Auditor Si harus
mempertimbangkan hubungan yang tidak wajar, yang
mengindikasikan resiko terjadinya penyimpangan dan tindakan
illegal.
08 Auditor SI harus mendesign dan melakukan prosedur untuk
menguji kelayakan internal control dan resiko management
mengesampingkan control.
09 Ketika auditor SI menemukan kesalahan, auditor SI harus
menilai apakah kesalahan tersebut merupaka indikasi dari
penyimpangan dan tindakan illegal. Jika ada indikasi terjadinya
penyimpangan, auditor si harus mempertimbangkan implikasi
dalam kaitannya dengan aspek audit lainnya dan terutama
representasi management.
10 Auditor SI harus memperoleh representasi tertulis dari management
setidaknya secara berkala atau lebih sering tergantung perjanjian
audit.
31
11 Jika auditor SI telah menemukan penyimpangan atau tindakan
ilegal atau menemukan informasi yang membuktkan terjadinya
penyimpangan
dan
tindakan
illegal.
Auditor
SI
harus
menyampaikan masalah ini kepada level management yang sesuai
secepatnya.
12 Jika auditor SI telah menemukan penyimpangan atau tindakan
ilegal yang mencakup management atau karyawan yang mempunyai
peran yang besar dalam internal control, auditor SI harus
menyampaikan masalah ini secepatnya kepada pihak yang
berwenang dengan pemerintahan.
13 Auditor SI harus menyarankan management dan pihak berwenang
mengenai kelemahan dalam design dan implementasi control
internal untuk mencegah dan mendeteksi penyimpangan dan
tindakan illegal yang akan menyita perhatian auditor.
14 Jika auditor si menemukan keadaan luar biasa yang memperngaruhi
kemampuan auditor dalam melanjutkan audit karena kesalahan atau
tindakan illegal, auditor harus mempertimbangkan tanggung jawab
legal dan professional dalam keadaan tersebut. M encakup apakah
ada keharusan bagi auditor si untuk melaporkan seseorang yang
muncul dalam perjanjian tersebut atau dalam beberapa kasus
mereka yang berwenang dengan pemerintahan atau menarik diri
dari keterlibatannya.
32
15 Auditor SI harus mendokumentasikan setiap komunikasi,
perencanaan, hasil, evaluasi, dan kesimplan terkait penyimpangan
dan tindakan illegal yang telah dilaporkan kepada pihak
management, mereka yang berwenang, regulator, dan yang lainnya.
S10 IT Governance
03 Auditor SI harus mereview dan menilai apakah fungsi si sejalan
dengan visi, misi, nilai, tujuan, dan strategi organisasi.
04 Auditor SI harus mereview apakah fungsi SI mempunyai
pernyataan yang jelas mengenai kinerja yang diharapkan
(efektivitas dan efisiensi) dan menilai pencapaiannya.
05 Auditor SI harus mereview dan menilai evektivitas sumber daya SI
dan proses kinerja management.
06 Auditor SI harus mereview dan menilai kepatuhan terhadap hukum,
lingkungan dan kualitas informasi , dan persyarata keamanan.
07 Pendekatan berbasis resiko harus digunakan oleh auditor SI untuk
mengevaluasi fungsi SI.
08 Auditor SI harus mereview dan menilai kontrol lingkungan dari
organisasi.
09 Auditor si harus mereview dan menilai resiko yang mungkin
mempengaruhi lingkungan SI.
S11 Use of Risk Assessment in Audit Planning
03 Auditor Si harus menggunakan teknik penilaian resiko yang sesuai
33
atau pendekatan dalam mengembangkan perencanaan audit secara
keseluruhan dan dalam menentukan prioritas dari efektivitas
pengalokasian sumber daya audit SI.
04 Ketika merencanakan review individual, auditor Si harus
mengidentifikasi dan menilai resiko yang relevant yang mencakup
area yang sedang direview.
S12 Audit Materiality
03 Auditor SI harus mempertimbangkan materiality audit dan
hubungannya dengan resiko audit ketika menentukan sifat, waktu,
dan cakupan prosedur audit.
04 Ketika merencanakan audit, auditor SI harus mempertimbangkan
kelemahan potensial atau tidakadanya control dan apakah
kelemahan atau tidak adanya control dapat membuat kerugian
signifikan atau kelemahan material dalam system informasi.
05 Auditor SI harus mempertimbangkan efek kumulatif dari
kelemahan atau tidak adanya control untuk memperkirakan
kerugian signifikan atau kelemahan materian dalam system
informasi.
06 Laporan audit Si harus mengungkapkan ketidakefektifan control
atau tidak adanya control dan kekurangan control signifikan dan
kemungkinan dari kelemahan ini menghasilkan kerugian signifikan
dan kelemahan material.
S13 Using the Work of Other Experts
03 Auditor SI harus, dimana tepat, mempertimbangkan untuk
34
menggunakan karya para ahli lainnya untuk audit.
04 Auditor SI harus menilai dan merasa puas dengan kualifikasi
profesional, kompetensi, pengalaman yang relevan, sumber daya,
kemandirian dan pengendalian mutu proses ahli lain, sebelum
pertunangan.
05 Auditor SI harus menilai, meninjau dan mengevaluasi kerja ahli
lain sebagai bagian dari audit dan menyimpulkan tingkat
penggunaan dan ketergantungan pada pekerjaan para ahli.
06 Auditor SI harus menentukan dan menyimpulkan apakah karya para
ahli lain telah memadai dan lengkap untuk memberikan hak kepada
auditor SI untuk menyimpulkan tujuan audit saat ini. Kesimpulan
seperti itu harus secara jelas didokumentasikan.
07 Auditor SI harus menerapkan prosedur pengujian tambahan yang
memadai untuk memperoleh bukti audit yang tepat di mana
pekerjaan ahli lain tidak cukup untuk memberi bukti-bukti audit
yang tepat.
08 Auditor SI harus memberikan opini audit yang sesuai dan
mencakup ruang lingkup di mana bukti yang diperlukan tidak
diperoleh melalui prosedur tes tambahan.
S14 Audit Evidence
03 Auditor SI harus mendapatkan bukti-bukti audit yang cukup dan
tepat untuk menarik kesimpulan yang masuk akal yang berdasarkan
pada hasil audit.
35
04 Auditor SI harus mengevaluasi kecukupan bukti audit yang
diperoleh selama proses audit.
S15 IT Controls
03 Auditor SI harus mengevaluasi dan memonitor pengendalian IT
yang merupakan bagian integral dari lingkungan pengendalian
internal organisasi.
04 Auditor SI harus membantu manajemen dengan memberikan saran \
mengenai rancangan, pelaksanaan, operasi dan peningkatan
pengendalian IT.
S16 E-commerce
03 Auditor SI harus mengevaluasi pengedalian yang berlaku dan
menilai risiko ketika meninjau lingkungan e-commerce untuk
memastikan bahwa transaksi e-commerce berjalan dengan baik.
2.1.9 Prosedur Audit S istem Informasi
M enurut Weber (1999, p45) ada 5 (lima) prosedur dalam Audit Sistem
Informasi yaitu:
1. Procedures to obtain an understanding of control, inquiries :
inquiries, inspection, and observation can be used to gain an
understanding of what controls supposedly exixt, how well they have
been designed, and whether they have been placed in operation.
2. Tests
of
control
:
inquiries,
inspection,
observation,
and
reperformance of control procedures can be ussed to evaluate
wheteher control are operating effectively.
36
3. Substantive test of detail of transaction : these test are designed to
detect dollar errors or irregularities in transaction that would affect
the financeial statements.
4. Substantive test of detail of account balance : these test focus on the
ending general ledger balances in the balance sheet and income
statement.
5. Analytical review procedures these test focus on relationship among
data items with the objective of identifying areas that require further
audit work.
Pernyataan di atas diterjemahkan sebagai berikut :
1. Prosedur untuk mendapatkan pemahaman tentang kontrol, pertanyaan
: pertanyaan, inspeksi, dan observasi dapat digunakan untuk
mendapatkan pemahaman mengenai bagaimana kontrol seharusnya
bekerja, seberapa baik kontrol tersebut didesain, dan dimana kontrol
tersebut digunakan dalam perusahaan.
2. Pengujian terhadap kontrol : pertanyaan, inspeksi, observasi, dan
prosedur kontrol dapat digunakan untuk mengevaluasi apakah kontrol
berjalan secara efektif.
3. Pengujian substantif terhadap detail transaksi : pengujian ini didesain
untuk mendeteksi kesalahan atau hal-hal yang tidak wajar dalam
transaksi yang dapat mempengaruhi laporan keuangan.
4. Pengujian substantif dari detail neraca : pengujian ini difokuskan
keseimbangan jurnal umum di dalam neraca dan laporan keuangan.
37
5. Prosedur review analisis : pengujian ini difokuskan pada hubungan
antara data dengan tujuan mengidentifikasi area yang membutuhkan
proses audit lebih lanjut.
2.1.10 Teknik dan Praktek Audit S istem Informasi
M enurut Gondodiyoto dan Hendarti (2006, p447) terdapat berbagai
teknik pemeriksaan yang bisa diterapkan dalam melaksanakan audit. Teknikteknik pemeriksaan tersebut sering disebut dengan istilah instrumen audit.
Berikut ini adalah contoh-contoh instrumen audit yang dapat digunakan pada
saat pelaksanaan audit :
1. Observasi (Observation)
Observasi adalah cara memeriksa dengan menggunakan panca indera
terutama mata, yang dilakukan secara berkelanjutan selama kurun
waktu tertentu untuk membuktikan suatu keadaan atau masalah.
2. Wawancara (Interview)
Wawancara merupakan teknik pemeriksaan berupa tanya-jawab
secara lisan antara auditor dengan auditee untuk memperoleh bahan
bukti audit. Tanya-jawab dapat dilakukan secara lisan (wawancara)
atau tertulis.
3. Kuesioner (Questionaire)
Teknik ini merupakan teknik pemeriksaan yang mudah dan praktis
karena tertulis. Dengan metode ini, responden ditentukan, kemudian
dikirim surat pengantar beserta daftar pertanyaan (Questionaire)
38
tentang hal-hal yang ditanyakan dengan pedoman pengisian dan
tanggal jawab yang ditentukan.
4. Inspeksi fisik (physical inspection)
Inspeksi merupakan cara memeriksa dengan memakai panca indera
terutama mata, untuk memperoleh bukti atas suatu keadaan atau
suatu masalah pada saat tertentu. Inspeksi merupakan usaha
pemeriksa untuk memperoleh bukti-bukti secara langsung di tempat
dimana keadaan atau masalah ingin dibuktikan.
5. Prosedur analisis
Analisis artinya memecah atau menguraikan suatu keadaan atau
masalah ke dalam beberapa bagian atau elemen dan memisahkan
bagian tersebut untuk digabungkan dengan keseluruhan atau
dibandingkan dengan yang lain. Dengan analisis pemeriksa dapat
melihat hubungan penting antara satu unsur dengan unsur lainnya.
6. Penelaahan dokumen
Pada teknik ini dilakukan penelaahan pada dokumen yang tersedia
pada suatu organisasi, seperti bagan arus, bagan organisasi, manual
program, manual operasi, manual referensi, notulen rapat, surat
perjanjian, dan catatan-catatan historis lainnya. Jika mungkin,
dokumen-dokumen penting harus ditelaah sebelum wawancara.
Dokumentasi yang bermanfaat adalah diagram (flowchart / Bagan
Alir) dan DFD (data flow diagram / diagram arus data). DFD
menekankan pada hubungan arus data dan pemrosesan. DFD sangat
sederhana dan mudah digunakan.
39
2.2. Sistem Pengendalian Intern
2.2.1 Pengertian Sistem Pengendalian Intern
M enurut Weber (1999,p35), “A control is a system that prevents, detects,
or correct unlawful events”. Pengendalian adalah suatu sistem untuk mencegah,
mendeteksi, dan mengkoreksi kejadian yang timbul saat transaksi dari
serangkaian pemrosesan yang tidak terotorisasi secara sah.
M enurut M ulyadi (2001,p165), Sistem Pengendalian Intern meliputi
struktur organisasi, prosedur pencatatan, tugas dan fungsi organisasi dan
ukuran-ukuran yang dikoordinasikan untuk menjaga kekayaan organisasi,
mengecek ketelitian dan kehandalan data akuntansi, mendorong efisiensi dan
dipatuhinya kebijakan manajemen.
2.2.2 Alasan Perlunya Sistem Pengendalian Intern
M enurut Gondiyoto, Sanyoto (2009,p136), pada sistem informasi
berbasis TI, system controls menjadi semakin penting alasannya ialah antara
lain :
1. Besarnya biaya dan kerugian kalau sampai data komputer hilang.
2. “Biaya yang harus dibayar” bila sampai mutu keputusan buruk akibat
pengolahan data yang salah (informasi untuk bahan pengambilan
keputusan salah).
3. Potensi kerugian kalau terjadi kesalahan/ penyalahgunaan komputer.
4. Nilai (investasi ) yang tinggi dalam pengadaan maupun perawatan
mesin (hardware & software).
40
5. Nilai atau biaya yang tinggi yang dikeluarkan untuk pendidikan
personil.
6. Biaya yang tinggi bila terjadi computer errors.
7. Perlunya dijaga privacy, mengingat di komputer tersimpan data
rahasia.
8. Agar perkembangan dan pertumbukan komputerisasi dapat terkendali
(controlled evaluation of computer used).
2.2.3 Tujuan dan Keuntungan Sistem Pengendalian Intern
M enurut Gondiyoto (2009,p146), strong internal control tidak hanya
berkaitan dengan akuntansi (financial audits dan reliabel financial reports).
Sound internal control system juga terkait dengan corporate strategis, dan
memberi peluang auditor intern untuk memberi sumbangan dalam pencapaian
tujuan perusahaan. Tersedianya informasi yang relevan, reliable, dan tepat
waktu memberikan knowledge dalam rangka effective decision-making. Selain
untuk corporate objectives, pengendalian intern juga untuk melindungi assets
dan untuk komunikasi. Oleh karena itu dilihat dari manajemen tujuan
dedesainnya sistem pengendalian intern khusus (atau tambahan) bagi sistem
berbasis komputer adalah untuk membantu manajemen dalam mencapai tujuan
kontrol internal menyeluruh, termasuk kegiatan manual, mekanis, maupun yang
terkait dengan Teknologi Informasi.
Tujuan dirancangnya sistem pengendalian intern yang sudah mencakup
ruang lingkup yang lebih luas pada hakekatnya adalah :
41
1. Pencatatan, pengolahan data dan penyajian informasi yang dapat
dipercaya.
2. M engamankan aktiva perusahaan.
3. M eningkatkan efektivitas dan efisiensi operasional.
4. M endorong pelaksanaan ken=bijaksanaan dan peraturan (hukum)
yang ada.
Secara lebih khusus lagi terkait dengan teknologi informasi, tujuan
disusunnya sistem kontrol atau pengendalian intern komputerisasi adalah untuk:
1. M eningkatkan pengamanan (improve safeguards) assets sistem
informasi (data / catatan akuntansi (accountung records) yang bersifat
logical
assets,
maupun
physical
assets
seperti
hardware,
infrastructure, dan sebagainya).
2. M eningkatkan integritas data (improve data integrity) sehingga
dengan data yang benar dan konsisten akan dapat dibuat laporan yang
benar.
3. M eningkatkan efektifitas sitem (improve system effectiveness).
4. M eningkatkan effisiensi sistem (improve efisiensi sistem).
Ada 5 (lima) keuntungan dari sebuah pengendalian intern, yaitu :
1. Dapat memperkecil kesalahan-kesalahan dalam penyajian data
akuntansi, sehingga akan menghasilkan laporan yang benar.
2. M elindungi atau membantasi kemungkinan terjadinya kecurangan
dan penggelapan-penggelapan.
3. Kegiatan organisasi akan dapat dilaksanakan dengan effisien.
42
4. M endorong dipatuhinya kebijakan pimpinan.
5. Tidak memerlukan detail audit dalam bentuk pengujian substantif atas
bahan bukti / data perusahaan yang cukup besar oleh akuntan publik.
2.2.4 Control Objectives for Information and related Technology (COBIT)
COBIT menurut Gondiyoto (2009,p181) merupakan a set of best practice
(framework) bagi pengelolaan teknologi informasi (IT management). COBIT
disusun oleh the IT Governance Institute (ITGI) dan Information System Audit
and Control Asosiation (ISACA), tepatnya Information System Audit an
Control Foundation’s (ISACF).
COBIT adalah sekumpulan dokumentasi best practice untuk IT
governance yang dapat membantu auditor, pengguna (user), dan manajemen,
untuk menjembatani gap antara resiko bisnis, kebutuhan kontrol dan masalahmasalah teknis IT. COBIT bermanfaat bagi auditor karena merupakan tekhnik
yang dapat membantu dalam identifikasi IT controls Issues. COBIT berguna
bagi para IT user karenan memperoleh keyakinan atas kehandalan sistem
aplikasi yang dipergunakan.
Sedangkan para manager memperoleh manfaat dalam keputusan investasi
di bidang TI serta infrastrukturnya, menyusun strategic IT plan, menentukan
Information Architecture, dan keputusan atas procurement mesin. Disamping itu
dengan keterandalan sistem informasi yang ada pada perusahaannnya
diharapkan berbagai keputusan bisnis dapat didasarkan atas informasi yang ada.
43
2.2.5 Kriteria Kinerja COBIT
M enurut Gondiyoto (2009,p164), COBIT dapat dikategorikan menjadi 7
(tujuh) criteria, yakni :
Efektifitas
Untuk memperoleh informasi yang relevan dan berhubungan
dengan proses bisnis seperti penyampaian informasi dengan
benar, konsisten, dapat dipercaya dan tepat waktu.
Effisiensi
M emfokuskan pada ketentuan informasi melalui penggunaan
sumber daya yang optimal
Kerahasiaan
M emfokuskan proteksi terhadap informasi yang penting dari
orang yang mempunyai hak otorisasi.
Integritas
Berhubungan dengan keakuratan dan kelengkapan informasi
sebagai kebenaran yang sesuai dengan harapan dan nilai bisnis.
Ketersediaan
Berhubungan dengan informasi yang tersedia ketika diperlukan
dalam proses bisnis sekarang dan yang akan datang.
Kepatuhan
Sesuai menurut hukum, peraturan dan rencana perjanjian untuk
proses bisnis.
Keakuratan
Berhubungan dengan ketentuan kecocokan informasi untuk
Informasi
manajemen mengoperasikan entitasndan mengatur pelatihan
keuangan dan kelengkapan laporan pertanggung jawaban.
Tabel 2.1 Kriteria Kinerja COBIT
44
2.2.6 COBIT Framework
M enurut Gondiyoto (2009,p166), COBIT mendefinisikan control
objectives sebagai “statement of the desired result, or purpose to be archieved
by implementing control procedures in a particular control objectives”. COBIT
framework terdiri dari 34 high level control objectives, dan selanjutnya dirinci
ke dalam 215 detail control objectives yang dikelompokan dalam 4 domains :
plan and organize, aquire and implement, deliver and support, and monitor and
evaluate.
1. Perencanaan dan organisasi
Yaitu mencakup pembahasan tentang identifikasi dan strategi
investasi IT yang dapat memberikan yang terbaik untuk mendukung
pencapaian tujuan bisnis. Selanjutnya identifikasi dan visi strategis
perlu direncanakan, dikomunikasikan, dan diatur pelaksanaannya.
2. Perolehan dan implementasi
Yaitu untuk merealisasi strategi TI, pelu diatur kebutuhan TI,
diidentifikasikan, dikembangkan, atau diimplementasikan secara
terpadu dalam proses binsis perusahaan.
3. Penyerahan dan pendukung
Domain ini lebih dipusatkan pada ukuran tentang aspek dukungan TI
terhadap kegiatan operasional bisnis (Tingkat jasa layanan TI aktual
atau service level) dan aspek urutan (prioritas implementasi dan untuk
pelatihannya).
4. M onitoring
45
Yaitu semua Proses TI yang pelu dinilai secara berkala agar kualitas
dan tujuan dukungan TI tercapai, dan kelengkapannya berdasarkan
pada syarat kontrol internal yang baik. Empat domain pada COBIT framework tersebut selanjutnya dirinci
menjadi 34 high-level control objectives :
COBIT domain
1.
Plan
High Level Objectives
and
organize
PO1 Define a Strategic IT Plan and direction
PO2 Define the Information Architecture
PO3 Determine Technological Direction
PO4 Define the IT Processes, Organization and
Relationships
PO5 Manage the IT Investment
PO6 Communicate Management Aims and
Direction
PO7 Manage IT Human Resources
PO8 Manage Quality
PO9 Assess and Manage IT Risks
PO10 Manage Projects
2.
Aquire
implement
and
AI1 Identify Automated Solutions
AI2 Acquire and Maintain Application Software
AI3 Acquire
and
Maintain
Infrastructure
AI4 Enable Operation and Use
Technology
46
AI5 Procure IT Resources
AI6 Manage Changes
AI7 Install and Accredit Solutions and Changes
3.
Deliver
and
support
DS1 Define and Manage Service Levels
DS2 Manage Third-party Services
DS3 Manage Performance and Capacity
DS4 Ensure Continuous Service
DS5 Ensure Systems Security
DS6 Identify and Allocate Costs
DS7 Educate and Train Users
DS8 Manage Service Desk and Incidents
DS9 Manage the Configuration
DS10 Manage Problems
DS11 Manage Data
DS12 Manage the Physical Environment
DS13 Manage Operations
4.
Monitor
evaluate
and
M E1 Monitor and Evaluate IT Processes
M E2 Monitor and Evaluate Internal Control
M E3 Ensure Regulatory Compliance
M E4 Provide IT Governance
Tabel 2.2 Control Objectives pada COBIT
47
2.2.7 Pengendalian Manajemen
M enurut Weber (1999,p67), management controls are important
components of this overall internal control structure.
1. Top Management Controls
Discusses top management’s role in planning, organizing, leading,
and controlling the information system function.
2. System development management controls
Provide a contingency perspective on models of the information
system development process that auditors can use as a basis for
evidence collection and evaluation.
3. Programming management controls
Discuss the major phases in the program lifecycle and the important
controls that should be excersised in each phase.
4. Data resource management control
Discusses the roles of the data administrator and the database
administrator and the control that should be excersised over the
functions they perform.
5. Security management controls
Discuss the major function performed by security administrators to
identify major threats to the information systems function and to
design, implement, operate, and maintain controls that reduce
expected losses from these threats to an acceptable level.
6. Operations management controls
48
Discuss the major function performed by operations management to
ensure the day to day operations of the information systems function
are well controlled.
7. Quality assurance management control.
Discuss the major functions that quality assurance management
should perform to ensure that the development, implementation ,
operation, and maintenance of informations system confirm to quality
standards.”
Diterjemahkan sebagai berikut :
Pengendalian
manajemen
(management
controls)
ialah
sistem
pengendalian intern komputer yang berlaku umum meliputi seluruh kegiatan
komputerisasi sebuah organisasi secara menyeluruh.
1. Pengendalian Top M anajemen (Top Management Controls)
M engendalikan
peranan
manajemen
dalam
perencanaan
kepemimpinan dan pengawasan fungsi sistem.
2. Pengendalian
M anajemen
Pengembangan
Sistem
(System
Development Management Controls)
M engendalikan alternatif dari model proses pengembangan sistem
informasi sehingga dapat digunakan sebagai dasar pengumpulan dan
pengevaluasian bukti.
49
3. Pengendalian M anajemen Pemrograman (Programming Management
Controls)
M engendalikan tahapan utama dari daur hidup program dan
pelaksanaan dari tiap tahap.
4. Pengendalian
M anajemen
Sumber
Data
(Data
Resources
Management Controls)
M engendalikan peranan dan fungsi dari data administrator atau
database administrator.
5. Pengendalian
M anajemen
Keamanan
(Security
Administration
Management Controls)
M engendalikan fungsi utama dari security administrator dalam
mengidentifikasi ancaman utama terhadap fungsi sistem informasi
dan perancangan, pelaksanaan, pengoperasian dan pemeliharaan
terhadap
pengawasan
yang
dapat
mengurangi
kemungkinan
kehilangan dari ancaman ini sampai pada tingkat yang dapat diterima.
6. Pengendalian M anajemen Operasi (Operation Management Controls)
M engendalikan fungsi utama dari manajemen operasional untuk
meyakinkan bahwa pengoperasian sehari-hari dari fungsi sistem
informasi diawasi dengan baik.
7. Pengendalian M anajemen Jaminan Kualitas (Quality Assurance
Management Controls)
M engendalikan fungsi utama yang harus dilakukan oleh Quality
Assurance
M anagement
meyakinkan
bahwa
pengembangan,
50
pelaksanaan, pengoperasian dan pemeliharaan dari sistem informasi
sesuai standar kualitas.
2.2.8 Pengendalian Aplikasi
M enurut Gondodiyoto (2009,p260), kontrol aplikasi terbagi atas 3 (tiga),
yaitu :
1. Input Controls
Input controls harus fokus pada menjaga integrity data entry dan
kelengkapan (completeness and existence/occurrence, artinya tidak
ada data missing, sebaiknya jangan ada data fiktif). Kontrol ini
didesain untuk menjaga agar
data yang diinput ke sistem
komputerisasi valid, akurat, dan lengkap, dengan sistem batch
maupun direct. Proses yang melibatkan manusia mengandung potensi
error. Berikut ini hal-hal yang perlu mendapat perhatian:
a.
Source document controls
b.
Data coding controls
c.
Batch controls
d.
Validation controls
e.
Input error correction controls
2. Processing Controls
Processing controls
adalah tahap
yang sangat penting dan
menyangkut the computer processing steps inside the system, dan
karena itu auditornya harus seseorang yang paham (sebaiknya CIA /
CISA).
51
Hal-hal yang perlu diperhatikan antara lain:
a. Run-to-run controls (during posting)
b. Audit trail Controls
c. Logic testing (formula, dan sebagainya)
d. Authenticity tests, untuk memverivikasi bahwa akses ke sistem
authentic
e. Accuracy tests, untuk menjaga agar akurasi mekanis cermat
f.
Completeness tests, bahwa data yang diolah lengkap
g. Redudancy tests, bahwa tidak terdapat duplikasi data
h. Access tests, untuk menjaga agar akses hanya oleh authorized users
i.
Audit trail tests, sistem aplikasi menyediakan an adequate audit trail
j. Rounding error tests, untuk menjaga perhitungan/pembulatannya tidak
salah.
3. Output Controls
Output controls didesain untuk menjaga agar keluaran yang
dihasilkan oleh sistem komputerisasi tidak hilang/dibaca oleh orang
yang tidak berhak atau tidak tepat sasaran, tidak akurat, tidak tepat
waktu, tidak terjaga privasinya. Berikut ini hal-hal yang perlu
diperhatikan:
a.
Batch sistem output controls
b.
Output spooling controls
c.
Print program controls
d.
Bursting controls
e.
Waste controls
f.
Data control group controls
52
g.
Report distribution controls
h.
End user controls
i.
Real-time systems output controls
2.2.9 Penetapan Penilaian Resiko
M enurut M cLeod dan Schell (2004,p214), langkah langkah dalam
menentukan resiko dapat dibagi ke dalam 4 kategori:
1. Identify business assets to be protected from risks
2. Recognize the risks
3. Determine the level of impact on the firm should the risks materialize
4. Analyze the vulnerability of the firm.
At the completion of risk analysis, the findings should be documented in
risk analysiiis report. Content of this report should include information such as
the following for each risk:
1. A description of the risk
2. Source of the risk
3. Severity of the risk
4. Control that are being applied to the risk
5. The owners of the risk
6. Recomended action to adress the risk
7. Recomended time frame for adressing the risk.
Dengan kata lain, artinya :
1. mengidentifikasi aset perusahaan agar terlindungi dari resiko.
53
2. mengenali resiko.
3. menentukan dampak dari resiko tersebut terhadap perusahaan.
4. menganalisa kerentanan perusahaan.
Setelah
selesai dalam menganalisis resiko,
hasil temuan
harus
didokumentasikan dalam laporan analisis resiko. Isi dari laporan tersebut harus
mencakup informasi untuk setiap resiko yang dapat muncul:
1. gambaran resiko
2. sumber resiko
3. tingkat resiko
4. kontrol yang sedang diterapkan dalam pengendalian resiko
5. owner resiko
6. rekomendasi langkah untuk mengatasi resiko
7. rekomendasi jenjang waktu untuk mengatasi resiko.
2.3 Evaluasi Sistem Informasi Persediaan
2.3.1 Pengertian Persediaan
M enurut Standar Akuntansi Keuangan (P SAK No. 14, hal 14.1 – IAI,
2004) : “Persediaan adalah aktiva :
(a)
Tersedia untuk dijual dalam kegiatan usaha normal;
(b)
Dalam proses produksi dan atau dalm perjalanan; atau
(c)
Dalam bentuk bahan atau perlengkapan (supplies) untuk
digunakan dalam proses produksi atau pemberian jasa.”
Definisi persediaan menurut M ulyadi (2001,p1) adalah barang yang
dibeli untuk tujuan dijual kembali.
54
M enurut Stice, Stice, dan Skousen (2004,p653), kata persediaan
ditujukan untuk barang-barang yang tersedia untuk dijual dalam kegiatan bisnis
normal, dan dalam kasus perusahaan manufaktur, maka kata ini ditujukan untuk
barang dalam proses produksi atau yang ditempatkan dalam kegiatan produksi.
2.3.2 Jenis Persediaan
M enurut Stice, Stice, dan Skousen (2004,p654), jenis-jenis persediaan
terbagi atas : Bahan baku (raw materials), barang dalam proses (work in
process), dan barang jadi (finished goods) untuk dijual ditujukan untuk
persediaan di perusahaan manufaktur.
M enurut M ulyadi (2001,p553), persediaan dapat terdiri dari 5 bentuk :
1. Persediaan Produk Jadi
2. Persediaan Produk dalam Proses
3. Persediaan Bahan Baku
4. Persediaan Bahan Penolong
5. Persediaan Suku Cadang
2.3.3 Evaluasi Persediaan pada Sistem Berbasis Komputer
Volume data yang banyak dalam pengelolaan persediaan dan banyaknya
variasi penyajian informasi untuk keperluan manajemen menyebabkan sangat
baik untuk mengaplikasikan komputer dalam sistem persediaan. Penggunaan
komputer yaitu data entry terminal atau database system secara intensif akan
memberikan pengendalian tepat waktu terhadap persediaan.
Pengelolaan dan pengendalian persediaan merupakan bagian dari sistem
55
pengelolaan perusahaan. Kemajuan yang tercapai dalam pengelolaan data
melalui komputer memungkinkan penggunaan teknik yang lebih rumit. Banyak
program komputer yang tersedia yang dengan mudah dapat dipergunakan
untuk memenuhi kebutuhan khusus dari perusahaan tertentu juga telah
dikembangkan berbagai paket program untuk sistem persediaan perusahaan
tertentu.
Dalam pengembangan sebagian besar sistem persediaan yang
dipergunakan adalah sistem database. Database tersebut akan mencakup
banyak informasi sebagai berikut :
1. Data pelanggan
M eliputi alamat, posisi kredit, banyaknya order, produk-produk yang
lazim dan informasi lain.
2. Persediaan
M eliputi uraian kode barang, kuantitas yang tersedia, dan pada jadwal
yang mana, lama penyimpanan, lokasi penyimpanan dalam gudang,
dan lain-lain.
3. Perencanaan produksi
M eliputi daftar uraian barang untuk setiap jenis produk yang
dihasilkan, standar waktu dan jadwal serta urutan operasi.
4. Pengendalian kualitas
Yaitu pengujian yang diperlukan, hasil menurut pengalaman dan
dasar pengujiannya.
5. Catatan dan data historis
Yaitu memelihara sejarah tentang produksi penjualan, tingkat
56
persediaan dan data mengenai semua transaksi persediaan.
6. Laporan
Yaitu catatan mengenai semua laporan yang diterbitkan dan tindakan
yang telah diambil.
2.3.4 Prosedur Sistem Informasi Persediaan
M enurut M ulyadi (2001,p559), ada 9 prosedur yang bersangkutan dengan
sistem persediaan, yaitu :
1. Prosedur pencatatan produk jadi.
Dalam prosedur ini dicatat harga pokok produk, jadi yang didebitkan
ke dalam rekening Persediaan Produk Jadi dan dikreditkan ke dalam
rekening Barang Dalam Proses.
2. Prosedur pencatatan harga pokok produk jadi yang dijual.
Prosedur ini merupakan salah satu prosedur dalam sistem penjualan
disamping prosedur lainnya, seperti : prosedur order penjualan,
prosedur persetujuan kredit, prosedur pengiriman barang, prosedur
penagihan, prosedur pencatatan piutang.
3. Prosedur pencatatan harga pokok produk jadi yang diterima kembali
dari pembeli.
Jika produk jadi yang telah dijual dikembalikan oleh pembeli, maka
transaksi retur penjualan ini akan mempengaruhi persediaan produk
jadi, yaitu menambah kualitas produk jadi dalam kartu gudang yang
diselenggarakan oleh bagian gudang dan menambah kuantitas dan
57
harga pokok produk jadi yang dicatat oleh bagian kartu persediaan
dalam kartu persediaan produk jadi.
4. Prosedur pencatatan tambahan dan penyesuaian kembali harga pokok
persediaan produk dalam proses.
Pencatatan produk dalam proses umumnya dilakukan oleh perusahaan
pada akhir periode, pada saat dibuat laporan keuangan bulanan dan
laporan keuangan tahunan.
5. Prosedur pencatatan harga pokok persediaan yang dibeli.
Prosedur ini merupakan salah satu prosedur yang membentuk sistem
pembelian. Dalam prosedur ini dicatat harga pokok persediaan yang
dibeli.
6. Prosedur pencatatan harga pokok persediaan yang dikembalikan
kepada pemasok.
Jika persediaan yang telah dibeli dikembalikan kepada pemasok,
maka transaksi retur pembelian ini akan mempengaruhi persediaan
yang bersangkutan, yaitu mengurangi kuantitas persediaan dalam
kartu gudang yang diselenggarakan oleh bagian gudang dan
mempengaruhi kuantitas dan harga pokok persediaan yang dicatat
oleh bagian
kartu persediaan
dalam kartu persediaan yang
bersangkutan.
7. Prosedur permintaan dan pengeluaran barang gudang.
Prosedur ini merupakan salah satu prosedur yang membentuk sistem
akuntansi biaya produksi. Dalam prosedur ini dicatat harga pokok
persediaan bahan baku, bahan penolong, bahan habis pakai pabrik,
58
dan suku cadang yang dipakai dalam kegiatan produksi dan kegiatan
non-produksi.
8. Prosedur pencatatan tambahan harga pokok persediaan karena
pengembalian barang gudang.
Transaksi pengembalian barang gudang mempengaruhi biaya dan
menambah persediaan barang di gudang.
9. Sistem perhitungan fisik persediaan.
Dalam sistem akuntansi persediaan dengan metode mutasi persediaan,
dibagian kartu persediaan diselenggarakan catatan akuntansi berupa
kartu persediaan yang digunakan untuk mencatat mutasi tiap jenis
persediaan yang disimpan di bagian gudang.
2.3.5 Hal yang Perlu Diperiksa Dalam Melakukan Audit Pada S istem Informasi
Persediaan
M enurut Gondodiyoto (2009,p280), ada 7 (tujuh) hal yang perlu diperiksa
dalam melakukan audit sistem informasi persediaan, yakni :
1. Pemeriksaan fisik secara periodik.
2. Jumlah barang on hand, in transit, in storage, or on consignment
dicatat dengan benar.
3. Penerimaan,mutasi, dan sebagainya dicatat dengan benar dan tepat
waktu.
4. Aktivitas produksi dan harga pokok secara cermat dan cepat dicatat
dan dilaporkan.
5. Penilaian persediaan sesuai standar akuntansi keuangan.
59
6. Kelebihan fisik persediaan (di atas catatan), barang rusak. Produk
gagal dicatat sesuai aturan.
7. Nilai akhir persediaan dicatat dengan benar dan sesuai standar
akuntansi keuangan.
2.3.6 Fungsi yang terkait
a. Panitia penghitungan fisik persediaan.
Panitia ini terdiri dari:
• Pemegang kartu penghitungan fisik yang bertugas untuk menyimpan
dan
mendistribusikan
kartu
penghitungan
fisik
kepada
para
penghitung, melaksanakan perbandingan hasil penghitungan fisik
persediaan yang telah dilaksanakan oleh penghitung dan pengecek,
mencatat hasil penghitungan fisik persediaan dalam daftar hasil
penghitungan fisik.
• Penghitung yang bertugas melaksanakan penghitungan pertama
terhadap persediaan dan mencatat hasil penghitungan tersebut kedalam
bagian ketiga kartu penghitungan fisik dan menyobeknya untuk
diserahkan kepada pemegang kartu penghitungan fisik.
• Pengecek bertugas untuk melaksanakan penghitungan kedua
terhadap persediaan yang telah dihitung oleh penghitung dan
mencatatnya dalam bagian kedua kartu persediaan fisik serta
menyobeknya untuk diserahkan pada pemegang kartu penghitungan
fisik.
60
b. Fungsi akuntansi
Fungsi ini bertanggung jawab mencantumkan harga pokok satuan
persediaan yang dihitung kedalam daftar hasil penghitungan fisik,
mengkalikan kuantitas dan harga pokok per satuan yang tercantum
dalam daftar hasil penghitungan fisik, mencantumkan harga pokok
total dalam daftar hasil penghitungan fisik, melaksanakan penyesuaian
terhadap kartu persediaan berdasar data hasil penghitungan fisik
persediaan, membuat bukti memorial untuk mencatat penyesuaian data
persediaan dalam jurnal umum berdasar hasil penghitungan fisik
persediaan.
c. Fungsi gudang
Bertanggung jawab untuk melaksanakan penyesuaian data jumlah
persediaan
yang dicatat
dalam kartu
gudang berdasar
hasil
penghitungan fisik persediaan.
2.3.7 Dokumen yang digunakan
a. Bukti kas keluar
Bukti kas keluar yang dilampiri dengan laporan penerimaan barang,
surat order pembelian, dan faktur dari pemasok dipakai sebagai
dokumen sumber dalam pencatatan harga pokok persediaan yang
dibeli dalam register bukti kas keluar, bukti kas keluar juga dipakai
sebagai dasar pencatatan tambahan kuantitas dan harga pokok
persediaan kedalam kartu persedian.
61
b. M emo debit yang diterima dari bagian pembelian
Digunakan oleh bagian kartu persediaan untuk mencatat jumlah dan
harga pokok persediaan yang dikembalikan kepada pemasok kedalam
kartu gudang.
c. Bukti permintaan dan pengeluaran barang gudang
Bukti ini digunakan oleh bagian gudang untuk mencatat pengurangan
persediaan karena pemakaian intern, digunakan juga oleh bagian kartu
persediaan untuk mencatat berkurangnya jumlah dan harga pokok
persediaan, digunakan juga sebagai dokumen sumber dalam pencatatan
pemakaian persediaan kedalam jurnal pemakaian bahan baku atau
jurnal umum.
d. Bukti pengembalian barang gudang
Bukti ini digunakan oleh bagian gudang untuk mencatat tambahan
jumlah persediaan kedalam kartu gudang, digunakan juga oleh bagian
kartu persediaan untuk mencatat tambahan jumlah dan harga pokok
persediaan kedalam kartu persediaan, untuk mencatat berkurangnya
biaya kedalam kartu biaya dan untuk mencatat pengembalian barang
gudang tersebut kedalam jurnal umum.
2.3.8
Informasi yang Diperlukan
a. Laporan penerimaan barang
Laporan penerimaan barang digunakan oleh bagian gudang sebagai
dasar pencatatan tambahan kuantitas barang dari pembelian kedalam
kartu gudang.
62
b. Laporan pengiriman barang
Digunakan oleh bagian gudang untuk mencatat jumlah persediaan
yang dikirimkam kembali kepada pemasok kedalam kartu gudang.
c. Laporan Stock Opname
Laporan perhitungan barang pada awal dan akhir periode yang
dihitung, cara ini merupakan ketentuan yang harus dilakukan oleh
manajemen untuk menentukan jumlah persediaan akhir.
2.3.9 Metode Pencatatan Persediaan
M enurut M ulyadi (2001,p556), ada dua macam metode pencatatan
persediaan :
1. M etode M utasi Persediaan (Perpetual Inventory Method)
Dalam metode mutasi persediaan, setiap mutasi persediaan dicatata
dalam kartu persediaan. M etode ini cocok digunakan dalam
penentuan biaya bahan baku dalam perusahaan yang harga pokok
produknya dikumpulkan dengan metode harga pokok pesanan.
2. M etode Persediaan Fisik (Physical Inventory Method)
Dalam metode persediaan fisik, hanya tambahan persediaan dari
pembelian saja yang dicatat, sedangkan mutasi berkurangnya
persediaan karena pemakaian tidak dicatat dalam kartu persediaan.
M etode ini cocok digunakan dalam penentuan biaya bahan baku
dalam perusahaan yang harga pokok produknya dikumpulkan dengan
metode harga pokok proses.
63
2.3.10 Metode Penilaian Persediaan
M enurut Stice, Stice, dan Skousen (2004,p666), metode penilaian
persediaan terdiri dari tiga, yaitu :
1. M etode FIFO (First In First Out)
M etode First In First Out didasarkan pada asumsi bahwa unit yang
terjual adalah unit yang lebih dulu masuk. FIFO dapat dianggap
sebagai sebuah pendekatan yang logis dan realistis terhadap arus
biaya ketika penggunaan metode identifikasi khusus adalah tidak
memungkinkan atau tidak praktis. FIFO mengasumsikan bahwa arus
biaya yang mendekati pararel dengan arus fisik dari barang yang
terjual.
2. M etode LIFO (Last In First Out)
M etode Last In First Out didasarkan pada asumsi bahwa barang yang
paling barulah yang terjual.
LIFO sering kali dikritik dari sudut
pandang teoritis. M etode ini tidak cocok dengan arus barang yang
terjadi dalam sebuah perusahaan.
3. M etode Rata-rata (Average)
M etode biaya rata-rata membebankan biaya rata-rata membebankan
biaya rata-rata yang sama ke tiap unit. M etode ini didasarkan pada
asumsi bahwa barang yang terjual seharusnya dibebankan dengan
biaya rata-rata, yaitu rata- rata tertimbang dari jumlah unit yang dibeli
pada tiap harga.