Konsep Dasar Sistem dan Komponen Tata Kelola COBIT

Gambaran COBIT

Rangkaian produk COBIT® 2019 bersifat terbuka dan dirancang untuk penyesuaian. Berikut adalah modul yang tersedia: 

• COBIT® 2019 Framework: Introduction and Methodology memperkenalkan konsep penting COBIT® 2019.

• COBIT® 2019 Framework: Governance and Management Objectives secara komprehensif menjelaskan 40 tujuan tata kelola dan manajemen inti, proses yang terkandung di dalamnya, dan komponen terkait lainnya. Panduan ini juga merujuk pada standar dan kerangka kerja lainnya.

• COBIT® 2019 Design Guide: Designing an Information and Technology Governance Solution mengeksplorasi faktor-faktor desain yang dapat mempengaruhi tata kelola dan mencakup alur kerja untuk merencanakan sistem tata kelola yang disesuaikan untuk perusahaan.

• COBIT® 2019 Implementation Guide: Implementing and Optimizing an Information and Technology Governance Solution merupakan evolusi dari panduan COBIT® 5 Implementation dan mengembangkan rencana untuk perbaikan tata kelola yang berkelanjutan. Ini dapat dikombinasikan dengan COBIT® 2019 Design Guide.

Gambar 4.1 menunjukkan gambaran tingkat tinggi COBIT® 2019 dan mengilustrasikan bagaimana set panduan yang berbeda mencakup aspek yang berbeda.

Konten yang diidentifikasi sebagai area fokus pada gambar 4.1 akan berisi panduan yang lebih rinci pada tema tertentu. 

COBIT® 2019 didasarkan pada COBIT® 5 dan sumber otoritatif lainnya. COBIT selaras dengan sejumlah standar dan kerangka kerja terkait. Daftar standar-standar ini tertera dalam Bab 10. Analisis yang berkaitan dengan standar dan keselarasan COBIT mendasari posisi COBIT yang mapan sebagai payung kerangka kerja tata kelola I&T.

Di masa depan, COBIT akan meminta komunitas penggunanya untuk mengusulkan pembaruan konten, untuk diterapkan sebagai kontribusi terkontrol secara berkelanjutan, untuk menjaga COBIT tetap up to date dengan wawasan dan evolusi terbaru.

Bagian berikut menjelaskan konsep dan istilah utama yang digunakan dalam COBIT® 2019.

Tujuan Tata Kelola dan Manajemen

Agar informasi dan teknologi dapat berkontribusi pada tujuan perusahaan, sejumlah tujuan tata kelola dan manajemen harus dicapai. Konsep dasar yang berkaitan dengan tata kelola dan tujuan manajemen adalah:

• Tujuan tata kelola atau manajemen selalu berkaitan dengan satu proses (dengan nama yang identik atau serupa) dan serangkaian komponen terkait dari model lain untuk membantu mencapai tujuan.

• Tujuan tata kelola berkaitan dengan proses tata kelola (digambarkan dalam latar belakang biru tua pada gambar 4.2), sedangkan tujuan manajemen berkaitan dengan proses manajemen (digambarkan pada latar belakang biru muda pada gambar 4.2). Direksi dan manajemen eksekutif biasanya bertanggung jawab atas proses tata kelola, sedangkan proses manajemen adalah domain manajemen senior dan menengah.

Tujuan tata kelola dan manajemen dalam COBIT dikelompokkan ke dalam lima domain. Nama domain tersebut terdiri dari kata kerja yang mengekspresikan tujuan utama dan bidang kegiatan yang terkandung di dalamnya:

• Tujuan tata kelola dikelompokkan dalam domain Evaluate, Direct and Monitor (EDM). Dalam domain ini, badan pengatur mengevaluasi opsi strategis, mengarahkan manajemen senior pada opsi strategis yang dipilih dan memantau pencapaian strategi.

• Tujuan manajemen dikelompokkan dalam empat domain:

- Align, Plan, and Organize (APO) membahas keseluruhan organisasi, strategi, dan kegiatan pendukung untuk I&T.

- Build, Acquire and Implement (BAI) memperlakukan definisi, akuisisi, dan implementasi solusi I&T serta integrasinya dalam proses bisnis.

- Deliver, Service and Support (DSS) membahas pengiriman operasional dan dukungan layanan I&T, termasuk keamanan.

- Monitor, Evaluate and Assess (MEA) membahas pemantauan kinerja dan kesesuaian I&T dengan target kinerja internal, tujuan pengendalian internal, dan persyaratan eksternal.

Komponen Sistem Tata Kelola

Untuk memenuhi tujuan tata kelola dan manajemen, setiap perusahaan perlu membangun, menyesuaikan, dan mempertahankan sistem tata kelola yang dibangun dari sejumlah komponen.

• Komponen adalah faktor yang, secara individu dan kolektif, berkontribusi pada operasi yang baik dari sistem tata kelola perusahaan atas I&T.

• Komponen berinteraksi satu sama lain, menghasilkan sistem tata kelola holistik untuk I&T.

• Komponen dapat dari berbagai jenis. Yang paling familier adalah proses. Namun, komponen sistem tata kelola juga mencakup struktur organisasi; kebijakan dan prosedur; item informasi; budaya dan perilaku; keterampilan dan kompetensi; dan layanan, infrastruktur, dan aplikasi (gambar 4.3).

- Processes (proses) menggambarkan serangkaian praktik dan kegiatan yang terorganisir untuk mencapai tujuan tertentu dan menghasilkan serangkaian output yang mendukung pencapaian tujuan terkait TI secara keseluruhan.

- Organizational structures (struktur organisasi) adalah entitas pengambilan keputusan utama dalam suatu perusahaan.

- Principles, policies and frameworks (prinsip, kebijakan, dan kerangka kerja) menerjemahkan perilaku yang diinginkan menjadi panduan praktis untuk manajemen sehari-hari.

- Information (informasi) tersebar luas di seluruh organisasi mana pun dan mencakup semua informasi yang diproduksi dan digunakan oleh perusahaan. COBIT berfokus pada informasi yang diperlukan untuk berfungsinya sistem tata kelola perusahaan secara efektif.

- Culture, ethics and behavior (budaya, etika dan perilaku) individu dan perusahaan sering diremehkan sebagai faktor dalam keberhasilan kegiatan tata kelola dan manajemen.

- People, skills and competencies (orang, keterampilan, dan kompetensi) diperlukan untuk keputusan yang baik, pelaksanaan tindakan korektif dan keberhasilan penyelesaian semua kegiatan.

- Services, infrastructure and applications (layanan, infrastruktur, dan aplikasi) mencakup infrastruktur, teknologi, dan aplikasi yang menyediakan sistem tata kelola perusahaan untuk pemrosesan I&T.

Semua jenis komponen dapat bersifat generik atau dapat menjadi varian komponen generik:

• Generic (generik) komponen ini dijelaskan dalam model inti COBIT (lihat gambar 4.2) dan pada prinsipnya berlaku untuk situasi apa pun. Namun, mereka bersifat generik dan umumnya membutuhkan penyesuaian sebelum diterapkan secara praktis.

• Variants (varian) didasarkan pada komponen generik tetapi disesuaikan untuk tujuan atau konteks tertentu dalam area fokus (misalnya, untuk keamanan informasi, DevOps, peraturan tertentu).

Area Fokus

Area fokus menggambarkan topik, domain, atau masalah tata kelola tertentu yang dapat ditangani oleh kumpulan tujuan tata kelola dan manajemen serta komponennya. Contoh area fokus meliputi: usaha kecil dan menengah, keamanan siber, transformasi digital, komputasi awan, privasi, dan DevOps.  Area fokus dapat berisi kombinasi komponen dan varian tata kelola generik.

Jumlah area fokus hampir tidak terbatas. Itulah yang membuat COBIT terbuka. Area fokus baru dapat ditambahkan sesuai kebutuhan atau karena pakar dan praktisi pembelajaran berkontribusi pada model COBIT terbuka.

Faktor Desain

Faktor desain adalah faktor-faktor yang dapat mempengaruhi desain sistem tata kelola perusahaan dan posisinya untuk menyukseskan penggunaan I&T.

Dampak potensial faktor-faktor desain yang dapat ditimbulkan pada sistem tata kelola dicatat dalam bagian 7.1. Informasi lebih lanjut dan panduan terperinci tentang cara menggunakan faktor desain untuk merancang sistem tata kelola dapat ditemukan di COBIT® 2019 Design Guide.

Faktor desain mencakup kombinasi berikut (gambar 4.4):

1. Enterprise strategy (strategi perusahaan)—Perusahaan dapat memiliki strategi yang berbeda, yang dapat dinyatakan sebagai satu atau lebih arketipe yang ditunjukkan pada gambar 4.5. Organisasi biasanya memiliki strategi utama dan, paling banyak, satu strategi sekunder.

2. Enterprise goals (tujuan perusahaan) yang mendukung strategi perusahaan—Strategi perusahaan diwujudkan dengan pencapaian (seperangkat) tujuan perusahaan. Tujuan-tujuan ini didefinisikan dalam kerangka COBIT, terstruktur bersamaan dengan dimensi balanced scorecard (BSC), dan mencakup elemen-elemen yang ditunjukkan pada gambar 4.6.

3. Risk profile (profil risiko) perusahaan dan permasalahan yang berkaitan dengan I&T saat ini—Profil risiko mengidentifikasi jenis risiko terkait I&T yang saat ini dihadapi perusahaan dan menunjukkan area risiko mana yang melebihi kemungkinan risiko. Kategori risiko  yang perlu dipertimbangkan tercantum pada gambar 4.7.

4. I&T-related issues (masalah terkait IT)—Metode terkait untuk penilaian risiko I&T untuk perusahaan adalah dengan mempertimbangkan masalah terkait I&T mana yang saat ini dihadapinya, atau, dengan kata lain, apa yang telah terwujud dari risiko terkait I&T. Masalah yang paling umum  ada pada gambar 4.8.

6. Compliance requirements (persyaratan kepatuhan)—Persyaratan kepatuhan yang menjadi subjek perusahaan dapat diklasifikasikan menurut kategori yang tercantum pada gambar 4.10.

7. Role of IT (peran TI)—Peran TI untuk perusahaan dapat diklasifikasikan seperti yang ditunjukkan pada gambar 4.11.

8. Sourcing model for IT (sumber model TI)—Sumber model yang diadopsi perusahaan dapat diklasifikasikan seperti yang ditunjukkan pada gambar 4.12.

9. IT implementation methods (metode implementasi TI)—Metode yang diadopsi perusahaan dapat diklasifikasikan sebagaimana dicatat pada gambar 4.13.

10. Technology adoption strategy (strategi adopsi teknologi)—Strategi adopsi teknologi dapat diklasifikasikan sebagaimana tercantum pada gambar 4.14.

11. Enterprise size (ukuran perusahaan)—Dua kategori, seperti yang ditunjukkan pada gambar 4.15, diidentifikasi untuk desain sistem tata kelola perusahaan. 

Goals Cascade (Alur Tujuan)

Kebutuhan stakeholder harus diubah menjadi strategi perusahaan yang dapat ditindaklanjuti. Goals cascade (alur tujuan) (gambar 4.16) mendukung tujuan perusahaan, yang merupakan salah satu faktor desain utama untuk sistem tata kelola. Ini mendukung prioritas tujuan manajemen berdasarkan prioritas tujuan perusahaan.

Tujuan-tujuan tersebut selanjutnya mendukung penerjemahan tujuan perusahaan menjadi prioritas untuk tujuan penyelarasan. Goals cascade telah diperbarui secara menyeluruh di COBIT® 2019:

- Tujuan perusahaan telah dikonsolidasikan, dikurangi, diperbarui, dan diklarifikasi.

- Tujuan penyelarasan menekankan penyelarasan semua upaya TI dengan tujuan bisnis.  Istilah yang diperbarui ini juga berusaha untuk menghindari kesalahpahaman yang sering terjadi bahwa tujuan-tujuan ini menunjukkan tujuan internal murni dari departemen TI dalam suatu perusahaan. Seperti tujuan perusahaan, tujuan penyelarasan telah dikonsolidasikan, dikurangi, diperbarui, dan diklarifikasi jika perlu.

Tujuan Perusahaan

Kebutuhan stakeholder mengalir ke tujuan perusahaan. Gambar 4.17 menunjukkan kumpulan 13 tujuan perusahaan bersama dengan sejumlah contoh metrik yang menyertainya.

Tujuan Penyelarasan

Tujuan perusahaan mengalir ke tujuan penyelarasan. Gambar 4.18 berisi kumpulan tujuan penyelarasan dan contoh metrik.