Audit Sistem Informasi

1. Perbandingan Kelebihan dan Kekurangan Standar Audit Sistem Informasi

2. Jelaskan : 

a) Konsep Dasar Kontrol dan Audit Sistem Informasi (SI)

Audit Sistem Informasi adalah proses pengumpulan dan penilaian bukti – bukti untuk menentukan apakah sistem komputer dapat mengamankan aset (Asset Saveguard), memelihara integritas data (Data Integrity), dapat mendorong pencapaian tujuan organisasi secara efektif (Effectivity), dan menggunakan sumber daya secara efisien (Efficiency).

Sedangkan pegertian kontrol disebut juga pengendalian yang berarti sebuah sistem dengan kata lain merupakan sekumpulan komponen yang saling berelasi yang berfungsi secara bersama-sama untuk menyelesaikan suatu maksud atau tujuan, keabsahan / kebenaran dari suatu kegiatan, dan pemeriksaan.

Dalam proses pelaksanaan audit sistem informasi berbasis kendali sesuai standar audit yaitu:

1. Mengumpulkan bukti-bukti yang memadai melalui berbagai teknik seperti survei, interview, observasi, review.
2. Jika bukti –bukti berupa bukti elektronis (data bentuk file suftcopy) maka auditor menerapkan sistem teknik audit berbantuan komputer yang disebut CAAT (Computer Aided Auditing Technique) yang bertujuan untuk menganalisa data seperti penjualan, pembelian, transaksi, dan lain-lain)
3. Sesuai standar auditing ISACA (Information System Audit And Control Association). Auditor juga harus menyusun laporan yang mencakup tujuan pemeriksaansifat dan kedalaman pemeriksaan.
4. Laporan juga harus menyebutkan organisasi yang diperiksa, pihak pengguna laporan yang dituju, dan batasan-batasan distrubusi laporan.
5.  Laporan juga harus memasukkan temuan,kesimpulan, rekomendasi, sebagaimana layaknya laporan audit.

Audit sistem informasi berbasis kendali merupakan  suatu sistem yang mencegah, mendeteksi atau memperbaiki kejadian yang tidak dibenarkan (unlawfulevents) seperti: unautorized (tidak nyambung), innacurrete(kurang baik), incomplete(tidak komplet/tidak sesuai), redundant(mubazir), ineffective, ineffeicient event.tujuanya yaitu untuk mengurangi kesalahan yang mungkin terjadi dari kejadian yang dibenarkan.

Berdasarkan standar manajemen Internasional Standar Organization (ISO) yaitu ISO 9001-2000, penilaian kondisi sistem mutu mempunyai 4 skala yaitu:

• P (Poor) yaitu sistem mutu praktis belum terbentuk. Disarankan untuk meninjau ulang keseluruhan proses.
• W (Weak) yaitu masih banyak elemen sistem manajemen mutu yang tidak sesuai standar.
• F (Fair) yaitu beberapa elemen sistem telah sesuai standar tetapi masih ada yang belum sesuai bahkan tidak ada sama sekali.
• S (Strong) yaitu Sebagian besar persyaratan ISO 9001-2000 telah dapat dipenuhi oleh sistem.

b) Prinsip-Prinsip Dasar Proses Audit Sistem Informasi

• Ethical Conduct : Berdasarkan pada profesionalisme, kejujuran, integritas kerahasiaan, dan kebijaksanaan.
• Fair Presentation : Kewajiban melaporkan secara jujur dan akurat.
• Due Professional Care : Implementasi dari kesungguhan dan pertimbangan yang diberikan.
• Independence
• Evidence-Base Approach

Adapun proses-proses meng-audit, seperti 

• Perencanaan Audit (Planning The Audite)
• Pengujian Pengendalian (Test of Controls)
• Pengujian Transaksi (Test of Transaction)
• Pengujian Keseimbangan atau Keseluruhan Hasil (Tests of Balances or Overal Result)
• Penyelesaian/ Pengakhiran Audit (Completion of The Audit)

c) Standar dan Panduan Audit Sistem Informasi

Standar Audit SI tidak lepas dari standar professional seorang auditor SI, yaitu ukuran mutu pelaksanaan kegiatan profesi yang menjadi pedoman bagi para anggota profesi dalam menjalankan tanggung jawab profesinya.

3. Jelaskan:

a.) Kontrol Internal: Proses yang dipengaruhi oleh sumber daya manusia dan sistem teknologi informasi yang dirancang untuk membantu organisasi mencapai suatu tujuan tertentu atau suatu cara untuk mengarahkan, mengawasi, dan mengukur sumber daya suatu organisasi.

Ruang Lingkup Kontrol Internal: Menilai keefektifan sistem pengendalian intern, pengevaluasian terhadap kelengkapan dan keefektifan sistem pengendalian internal yang dimiliki organisasi, serta kualitas pelaksanaan tanggung jawab yang diberikan.

Sistem Kontrol Internal : Suatu sistem atau sosial yang dilakukan perusahaan yang terdiri dari struktur organisasi, metode, dan ukuran-ukuran untuk menjaga dan mengarahkan jalan perusahaan agar bergerak sesuai dengan tujuan dan prgram perusahaan dan mendorong efisiensi serta dipatuhinya kebijakan manajemen.

b) Control Objectives: Efektivitas proses departemen dalam mendukung desain dan persetujuan kerangka pengendalian program berbasis risiko dan mengatur dan mendukung pengumpulan dan penggunaan laporan penerima.

Control Risks: Risiko pengendalian (control risks) adalah salah satu material yang tidak dapat dicegah ataupun dideteksi secara tepat pada waktunya oleh berbagai kebijakan dan prosedur struktur pengendalian intern perusahaan. 

c) Management Control Framework: Mengumpulkan dan menggunakan informasi untuk mengevaluasi kinerja berbagai sumber daya organisasi secara keseluruhan.

Application Control Framework: Sistem pengendalian intern komputer yang berkaitan dengan pekerjaan dan kegiatan tertentu yang telah ditentukan. Berkaitan dengan ruang lingkup proses  bisnis individu atau sistem aplikasi.

d)  Corporate IT Governance : Kumpulan kebijakan, proses atau aktifitas dan prosedur untuk mendukung pengoperasian TI agar hasilnya sejalan dengan strategi bisnis.

4. Aspek Management Control Framework :

• Defining, creating, redefining, retiring data (dengan wawancara, observasi)
• Membuat database tersedia untuk semua user
• Menginformasikan dan melayani user
• Memelihara integritas data
• Monitoring operations

Sumber:

http://bang-ilmu.blogspot.co.id/2016/05/cobit-itil.html

https://ccaccounting.wordpress.com/2013/11/04/jenis-jenis-risiko-audit/

http://yuliakurnia.blogspot.co.id/2011/07/materi-kuliah.html

Jenis- Jenis Audit

A. Audit Internal

Audit internal adalah sebuah kegiatan yang dirancang untuk menambah nilai dan meningkatkan operasi badan secara independen. Kegunaanya untuk membantu badan mencapai objektif tujuan dengan sistematis, dengan pendekatan terperinci dalam menilai dan meningkatkan efektifitas dari resiko manajement, kontrol, dan proses badan organisasi.

Audit internal sebagai perantara untuk meningkatkan keefektifitasan dan keefesienan suatu organisasi dengan menyediakan wawasan dan rekomendasi berdasarkan analisis dan dugaan yang bersumber dari data dan proses usaha. para auditor internal dikenal sebagai karyawan yang dibentuk untuk melakukan audit internal.

Pengertian audit intern menurut IAI (Ikatan Akuntan Indonesia) dalam SPAP (Standar Pelaporan Akuntan Publik) adalah : “Suatu aktivitas penilaian yang independen dalam suatu organisasi untuk menguji dan mengevaluasi aktivitas-aktivitas organisasi sebagai pemberi bantuan bagi manajemen”. (1998 ; 322)

B. Audit Eksternal

Pada business dictionary audit external diartikan sebagai audit yang dilakukan oleh badan(independent) eksternal yang memenuhi syarat-syarat. Yang bertujuan untuk menentukan antara lain, apakah catatan akutansi itu akurat dan lengkap, apakah disusun sesuai dengan ketentuan PSAK, dan apakah laporan yang disiapkan dari data menyajikan posisi keuangan dan hasil usaha keuangan secara wajar.

Audit Eksternal adalah pemeriksaan berkala terhadap pembukuan dan catatan dari suatu entitas yang dilakukan oleh pihak ketiga secara independen (auditor), untuk memastikan bahwa catatan-catatan telah diperiksa dengan baik, akurat dan sesuai dengan konsep yang mapan, prinsip, standar akuntansi, persyaratan hukum dan memberikan pandangan yang benar dan wajar keadaan keuangan badan.

Definisi Audit Eksternal lain adalah:

Audit eksternal adalah review dari laporan keuangan atau laporan dari suatu entitas, biasanya pemerintah atau bisnis, oleh seseorang tidak berafiliasi dengan perusahaan atau lembaga. Audit eksternal memainkan peran utama dalam pengawasan keuangan perusahaan dan pemerintah karena mereka dilakukan oleh individu di luar dan karena itu memberikan pendapat tidak memihak. Audit eksternal biasanya dilakukan secara berkala oleh bisnis, dan biasanya diperlukan tahunan oleh hukum bagi pemerintah.

C. Audit Sistem Informasi

Audit Sistem Informasi (Informatin System Audit) atau EDP Audit (Electronic Data Processing Audit) atau computer audit  adalah proses pengumpulan data dan pengevaluasian bukti-bukti untuk menentukan apakah suatu sistem aplikasi komputerisasi telah menetapkan dan menerapkan sistem pengendalian internal yang memadai, semua aktiva dilindungi dengan baik atau disalahgunakan serta terjaminnya integritas data, keandalan serta efektifitas dan efesiensi penyelenggaraan sistem informasi berbasis komputer (Ron Weber 1999:10).

Tujuan audit sistem informasi menurut Ron Weber (1999:11-13) secara garis besar terbagi menjadi empat tahap, yaitu:

1. Pengamanan Aset

Aset informasi suatu perusahaan seperti perangkat keras (hardware), perangkat lunak (software), sumber daya manusia, file data harus dijaga oleh suatu sistem pengendalian intern yang baik agar tidak terjadi penyalahgunaan aset perusahaan. Dengan demikian sistem pengamanan aset merupakan suatu hal yang sangat penting yang harus dipenuhi oleh perusahaan.

2. Menjaga integritas data

Integritas data (data integrity) adalah salah satu konsep dasar sistem inforamasi. Data memeiliki atribut-atribut tertentu seperti: kelengkapan, keberanaran, dan keakuratan. Jika integritas data tidak terpalihara, maka suatu perusahaan tidak akan lagi memilki hasil atau laporan yang beanr bahkan perusahaan dapat menderita kerugian

3. Efektifitas Sistem

Efektifitas sistem informasi perusahaan melikiki peranan pentigndalam proses pemgambilan keputusan. Suatu sistem informasi dapat dikatakan efektif bila sistem informasi tersebut telah sesuai dengan kebutuhan user

4. Efisiensi Sistem

Efisiensi menjadi hal yang sangat penting ketika suatu komputer tidak lagi memilki kapasitas yang memadai atau harus mengevaluasi apakah efisiensi sistem masih memadai atau harus menambah sumber daya, karena suatu sistem dapat dikatakan efisien jika sistem informasi dapat memenuhi kebutuhan user dengan sumber daya informasi yang minimal.

5. Ekonomis

Ekonomis mencerminkan kalkulasi untuk rugi ekonomi (cost/benefit) yang lebih bersifat kuantifikasi nilai moneter (uang). Efisiensi berarti sumber daya minimum untuk mencapai hasil maksimal. Sedangkan ekonomis lebih bersifat pertimbangan ekonomi.

D. Audit Laporan Keuangan (Financial Statement Audit)

Audit Keuangan atau lebih tepat disebut sebagai Audit laporan keuangan merupakan penilaian atas suatu perusahaan atau badan hukumlainnya (termasuk pemerintah) sehingga dapat dihasilkan pendapat yang independen tentang laporan keuangan yang relevan, akurat, lengkap, dan disajikan secara wajar. Audit keuangan biasanya dilakukan oleh firma-firmaakuntan karena pengetahuannya akan laporan keuangan.

            Apabila sistem akuntansi organisasi yang diaudit merupakan sistem akuntansi berbasis komputer, maka dilakukan audit terhadap sistem informasi akuntansi apakah proses/mekanisme sistem dan program komputer telah sesuai, pengendalian umum sistem memadai dan data telah substantif.

E. Audit Kecurangan (Fraud)

Fraud auditing atau audit kecurangan adalah upaya untuk mendeteksi dan mencegah kecurangan dalam transaksi-transaksi komersial. Untuk dapat melakukan audit kecurangan terhadap pembukuan dan transaksi komersial memerlukan gabungan dua keterampilan, yaitu sebagai auditor yang terlatih dan kriminal investigator.

Sumber : 

https://id.wikipedia.org/wiki/Audit_keuangan

http://www.kajianpustaka.com/2014/02/audit-sistem-informasi.html

https://dwiermayanti.wordpress.com/2010/03/22/audit-kecurangan/

https://fadlyknight.wordpress.com/2012/06/06/jenis-jenis-audit/

Analisis Resiko

Secara sederhana, analisis resiko atau risk analysis dapat diartikan sebagai sebuah prosedur untuk mengenali satu ancaman dan kerentanan, kemudian menganalisanya untuk memastikan hasil pembongkaran, dan menyoroti bagaimana dampak-dampak yang ditimbulkan dapat dihilangkan atau dikurangi. Analisis resiko juga dipahami sebagai sebuah proses untuk menentukan pengamanan macam apa yang cocok atau layak untuk sebuah sistem atau lingkungan (ISO 1799, “An Introduction To Risk Analysis”, 2012).

Berikut ini akan dijabarkan beberapa tipe dari analisis resiko:

A. Analisis Resiko Kuantitatif dan Kualitatif

James W. Meritt, dalam A Method for Quantitative Risk Analysis, menjelaskan bahwa Analisis Resiko Kuantitatif merupakan satu metode analisis resiko yang mengenali pengendalian pengamanan apa dan bagaimana yang seharusnya diterapkan serta besaran biaya untuk menerapkannya.  Sedangkan Analisis Resiko Kualitatif digunakan untuk meningkatkan kesadaran atas masalah keamanan sistem informasi dan sikap dari sistem yang sedang dianalisis tersebut.

Lebih lanjut, Meritt menerangkan bahwa dua metode tersebut dapat berkombinasi menjadi satu, yang kemudian dikenal sebagai metode hibrida atau Hybrid method. Metode Hibrida merupakan sebuah kombinasi dari dua metode analisis resiko kuantitatif dan kualitatif, dan dapat digunakan untuk menerapkan komponen-komponen yang memanfaatkan informasi yang tersedia sekaligus memperkecil matriks yang terkumpul dan dihitung. Metode ini, sayangnya, kurang intinsif secara numeric (tetapi lebih murah biayanya) dibandingkan dengan sebuah metode analisis yang dilakukan secara lengkap dan mendalam.

Menurut J. W. Meritt, terdapat beberapa hal atau langkah yang perlu diperhatikan dalam menerapkan metode analisis resiko secara umum, yaitu sebagai berikut:

1.      Pertama, menentukan ruang lingkup (scope statement). Hal ini harus dipercayai oleh semua kalangan pihak yang menaruh perhatian pada masalah. Dalam menentukan ruang lingkup ini, ada tiga hal yang harus diperhatikan, yaitu menentukan secara tepat apa yang harus dievaluasi, mengemukakan apa jenis analisis resiko yang akan digunakan, dan mengajukan hasil yang diharapkan.

2.      Menetapkan aset (asset pricing). Pada langkah kedua ini, semua sistem informasi ditentukan secara spesifik ke dalam ruang lingkup yang telah dirancang, kemudian ditaksir ‘harga’ (price)-nya.

3.      Risks and Threats.  Resiko (risk) adalah sesuatu yang dapat menyebabkan kerugian atau mengurangi nilai kegunaan operasional sistem. Sedangkan ancaman (threats) adalah segala sesuatu yang harus dipertimbangkan karena kemungkinannya yang dapat terjadi secara bebas di luar sistem sehingga memunculkan satu resiko.

4.      Menentukan koefisien dampak. Semua aset memiliki kerentanan yang tidak sama terhadap suatu resiko. Oleh sebab itu perlu dicermati dan diteliti sejauh mana sebuah aset dikenali sebagai hal yang rentan terhadap sesuatu, serta perbandingannya dengan aset yang justru kebal sama sekali.

5.      Single loss expectancy atau ekspetasi kerugian tunggal. Pada poin ini, Meritt menjelaskan bahwa aset-aset yang berbeda akan menanggapi secara berbedap pula ancaman-ancaman yang diketahui.

6.      Group evaluation atau evaluasi kelompok, yaitu langkah lanjutan yang melibatkan sebuah kelompok pertemuan yang terdiri dari para pemangku kepentingan terhadap sistem yang dianalisis (diteliti). Pertemuan ini harus terdiri dari individu yang memiliki pengetahuan tentang komponen-komponen yang beragam tersebut, tentang ancaman dan kerentanan dari sistem serta pengelolaan dan tanggung jawab operasi untuk memberikan bantuan dalam penentuan secara keseluruhan. Pada langkah ini lah biasanya metode hibrida dalam analisis resiko dilakukan.

7.      Melakukan kalkulasi (penghitungan) dan analisis. Terdapat dua macam analisis. Pertama, across asset, yaitu analisis yang bertujuan untuk menunjukkan aset-aset tertentu yang perlu mendapat perlindungan paling utama. Kedua, across risk, yaitu analisis yang bertujuan untuk menunjukkan ancaman apa dan bagaimana yang paling harus dijaga.

8.      Controls atau pengendalian, yaitu segala hal yang kemudian diterapkan untuk mencegah, mendeteksi, dan meredakan ancaman serta memperbaiki sistem.

9.      Melakukan analisis terhadai control atau pengendalian. Ada dua metode yang dapat dilakukan dalam menganalisis aksi kontrol ini, yaitu cost and benefit ratio dan risk or control.

B. Metodologi Analisis Resiko Eugene Tucker

Eugene Tucker, dalam Other Risk Analysis Methodologies, menjelaskan bahwa terdapat banyak metode analisis resiko dan kerentanan. Bagi satuan pengamanan professional, merupakan satu keharusan baginya untuk mengetahui dan menyadari perbedaan dasar dari metodologi-metodologi yang ada tersebut. Secara lebih lanjut, Tucker menjabarkan beberapa metodologi analisis resiko dan kerentanan, antara lain adalah Operational Risk Management (ORM), CARVER+Shock, dan Vulnerability Self Assessment Tool (VSAT).

Operational Risk Management (ORM) merupakan sebuah sistem manajemen resiko berbasis teknis yang umumnya digunakan oleh lembaga Administrasi Penerbangan Federal (Federal Aviation Administration) dan militer untuk menguji kemanan dan resiko atas sistem yang ada. Perangkat analisis ini dirancang untuk mengenali manfaat dan resiko cara kerja untuk menentukan arah terbaik dari satu tindakan yang diambil dalam situasi tertentu. Resiko yang diteliti itu dapat merupakan akibat dari proses yang tidak memadai atau gagal, dari orang, dari sistemnya sendiri, maupun dari kejadian-kejadian di luar sistem (bersifat eksternal).

Lembaga Administrasi Obat-obatan dan Makanan atau Food and Drugs Administration (FDA), merupakan salah satu contoh lembaga di Amerika Serikat yang menggunakan metode ORM dalam mempertanggungjawabkan kemanan satu produksi pengimporan, pergudangan (warehousing), transportasi dan pesebaran makanan (barang konsumsi) di negara tersebut. Secara umum, seperti yang dilakukan oleh FDA, terdapat enam langkah dari ORM, yaitu (1) mengenali bahaya (identify the hazards; (2) menakar atau menilai resiko yang ada (assess the risk); (3) menganalisa ukuran pengendealian resiko (analyze risk control measures); (4) membuat putusan pengendalian (make control decision); (5) menerapkan pengendalian resiko (implement risk controls); dan (6) pengawasan dan peninjauan (supervise and review).

Sedangkan metodologi analisis resiko CARVER+Shock—satu metode yang digunakan oleh Departemen Pertahanan Amerika Serikat, yang kemudian diadaptasi oleh beberapa lembaga lainnya, seperti Departemen Pertanian Amerika Serikat (USDA), Food Safety and Inspeection (FSIS), dan Badan Keamanan Dalam Negeri Ketahanan Pangan dan Kesiapsiagaan Darurat (OFSED)—merupakan sebuah perangkat yang lebih bersifat memprioritaskan target ofensif untuk mengidentifikasi simpul-simpul kritis yang cenderung rentan menjadi target dari serangan teroris, dan juga untuk merancangkan ukuran pencegahan dalam mengurangi resiko. Cara ini, sesungguhnya, memiliki hubungan dengan metodologi dalam ORM.

Metode CARVER+Shock mempertimbangkan dan membahas tujuh faktor yang mempengaruhi daya tarik dari sebuah target (korban resiko), antara lain:

1.      Critically, yakni sejauh mana faktor kesehatan publik dampak eknomi mencapai intense penyerang atau pelaku (attacker). Faktor ini mengajukan pertanyaan seberapa pentingnya sebuah target sebagaimana ditentukan oleh dampak dari pengerjaan dan pengrusakan?

2.      Accessibility, yakni akses atau jalan masuk terhadap target. Faktor ini mempertanyakan semudah apa sebuah target dapat disentuh, baik melalui cara penyusupan (infilotrasi) maupun dengan menggunakan alat atau senjata (weapons)?

3.      Recuperability, yakni kemampuan sistem yang ada untuk memulihkan diri dari sebuah serangan. Faktor ini mengusung pertanyaan berapa lama waktu yang dibutuhkan untuk mengganti atau memperbaiki target setiap kali mendapat serangan (kerusakan)?

4.      Vulnerability, yakni kerentanan atau kemudahan terjadinya serangan.

5.      Effect, yakni jumlah kerugian langsung akibat terjadinya serangan.

6.      Recognizability, yakni kemudahan dalam mengenali sebuah target.

7.      Shock, yakni efek psikologis dari sebuah serangan.

Hasil dari analisis tentang ketujuh faktor tersebut menjadi rumusan dasar bagi pengelolaan dalam membangun dan mengembangkan strategi pengamanan.

Sementara itu, Vulnerability Self Assessment Tool (VSAT) merupakan metodologi sekaligus software yang digunakan untuk membangun atau merancang sistem keamanan yang mampu melindungi target spesifik dari aksi-aksi spesifik lawan (adversaries). Cara ini dianggap pula sebagai metodologi kualitatif berbasis nilai kegunaan (asset-based). Tujuannya ialah untuk menaksir kerentanan, mengembangkan prioritas berdasarkan biaya dan kelayakan satu proses remediasi, dan menentukan solusi yang paling potential untuk kerentanan yang paling diprioritaskan. Software VSAT sendiri juga memungkinkan bagi petugas pengamanannya untuk memodifikasi dan merancang perlakuan tambahan (ancaman buatan) dan tindakan balasan (countermeasure).

VSAT juga menggunakan sebuah garis penilaian dan analisis penyempurnaan untuk menghitung Risk Reduction Units dari ‘tindakan balasan yang ditentukan’ dalam proses analisis. Biaya dari modifikasi ini kemudian dikalkulasi, dan hasilnya menjadi patokan untuk menentukan biaya adau modal dalam melaksanakan rancangan pengamanan. Terdapat sebelas langkah penilaian dalam metode VSAT, yaitu (1) mengidentifikasi asset; (2) mengeidentifikasi ancaman; (3) menentukan simpul yang rentan; (4) mengenali keberadaan tindakan balasan (countermeasure); (5) menentukan tingkat resiko; (6) menentukan kemungkinan terjadinya kesalahan atau kegagalan; (7) menetapkan kerentanan; (8) menentukah kecocokan resiko; (9) mengembangkan tindakan balasan (countermeasure) baru; (10) memperagakan analisis biaya resiko; (11) mengembangkan sebuah perencanaan yang berkelanjutan.

Sumber : 
https://manshurzikri.wordpress.com/2012/06/04/analisis-resiko-dan-beberapa-metodologinya/
https://fadhilhayat.wordpress.com/2010/08/27/analisis-risiko-2

Standar dan Panduan untuk Audit Sistem Informasi

1.     ISACA ( Information Systems Audit & Control Association )

ISACA adalah suatu organisasi profesi internasional di bidang tata kelola teknologi informasi yang didirikan di Amerika Serikat pada tahun 1967. Awalnya dikenal dengan nama lengkap Information Systems Audit and Control Association, saat ini ISACA hanya menggunakan akronimnya untuk merefleksikan cakupan luasnya di bidang tata kelola teknologi informasi.ISACA telah memiliki kurang lebih 70.000 anggota yang tersebar di 140 negara. Anggota ISACA terdiri dari antara lain auditor sistem informasi, konsultan, pengajar, professional keamanan sistem informasi, pembuat perundangan, CIO, serta auditor internal. Jaringan ISACA terdiri dari sekitar 170 cabang yang berada di lebih dari 60 negara, termasuk di Indonesia.

ISACA berperan memberikan informasi untuk mendukung kebutuhan pengetahuan. Dalam framewok ISACA terdapat Standard, Guidelines, dan Procedure.

Standard yang ditetapkan oleh ISACA harus diikuti auditor.

Guidelines memberi bantuan kepada auditor agar dapat menerapkan standar dalam berbagai tugas audit.

Procedure memberi contoh langkah-langkah auditor dapat mengikuti tugas audit sehingga dapat menerapkan standar.

2.   IIA COSO ( The Institute of Internal Auditors Committee of Sponsoring Organizations of the Treadway Commission ) 

COSO adalah suatu inisiatif dari sektor swasta yang dibentuk pada tahun 1985. Tujuan utamanya adalah untuk mengidentifikasi faktor-faktor yang menyebabkan penggelapan laporan keuangan dan membuat rekomendasi untuk mengurangi kejadian tersebut. COSO telah menyusun suatu definisi umum untuk pengendalian, standar, dan kriteria internal yang dapat digunakan perusahaan untuk menilai sistem pengendalian mereka.

COSO disponsori dan didanai oleh 5 asosiasi dan lembaga akuntansi profesional; 

·         American Institute of Certified Public Accountants (AICPA)

·         American Accounting Association(AAA)

·         Financial Executives Institute (FEI)

·         The Institute of Internal Auditors (IIA)

·         The Institute of Management Accountants (IMA).

The Institute of Internal Auditors (IIA) mencakup pengendalian intern, yang penggunaannya mencakup penentuan tujuan pengendalian pelaporan keuangan dan proses operasional dalam konteks organisasional, sehingga perbaikan dan kontrol dapat dilakukan secara menyeluruh. 

3.     ISO 1799

Menghadirkan sebuah standar untuk sistem manajemen keamanan informasi yang meliputi dokumen kebijakan keamanan informasi, alokasi keamanan informasi tanggung jawab menyediakan semua pemakai dengan pendidikan dan pelatihan di dalam keamanan informasi, mengembangkan suatu sistem untuk laporan peristiwa keamanan, memperkenalkan virus kendali, mengembangkan suatu rencana kesinambungan bisnis, mengikuti kebutuhan untuk pelindungan data, dan menetapkan prosedur untuk mentaati kebijakan keamanan.

Sumber : 

https://id.wikipedia.org/wiki/ISACA

https://id.wikipedia.org/wiki/Institute_of_Internal_Auditors

Lembaga-Lembaga Audit Sistem Informasi

1. BPK RI

  BPK RI didirikan tahun 1946 yang bertugas untuk melakukan audit yang berkaitan dengan pengelolaan keuangan negara dan tanggung jawab yang dilakukan oleh pemerintah pusat, pemerintah daerah, lembaga negara lain seperti BI (Bank Indonesia), BUMN, BUMD, Dewan Pelayanan Publik, dan lembaga lain yang mengelola keuangan negara. BPK RI menyerahkan hasil audit kepada DPR, DPD, dan DPRD sebagai pihak yang memiliki wewenang memeriksa pengelolaan dan tanggung jawab keuangan negara. Sesuai dengan UUD 1945, BPK merupakan lembaga yang bebas dan mandiri.

2. BPKP (Badan Pengawasan Keuangan dan Pembangunan) 

   Badan Pengawasan Keuangan dan Pembangunan, atau yang disingkat BPKP didirikan tahun 2006. BPKP bertugas melakukan pengawasan keuangan dan pembangunan yang berupa Audit, Konsultasi, Asistensi, Evaluasi, Pemberantasan KKN serta Pendidikan dan Pelatihan Pengawasan sesuai dengan peraturan yang berlaku. BPKP juga bertugas mengendalikan keuangan dan pengawasan pembangunan nasional serta meningkatkan pendapatan negara dan meningkatkan efisiensi dan efektivitas pengeluaran anggaran pemerintah nasional dan regional. Tugas lain BPKP adalah mengevaluasi penerapan sistem pengendalian internal untuk mendeteksi dan menghalangi korupsi, serta menginvestigasi penyelewengan keuangan.

Sumber : 

https://id.wikipedia.org/wiki/Badan_Pemeriksa_Keuangan_Republik_Indonesia

https://id.wikipedia.org/wiki/Badan_Pengawasan_Keuangan_dan_Pembangunan