Audit teknologi informasi (TI) bukan sekadar pemeriksaan dokumen kebijakan. Bagi bank dan lembaga jasa keuangan, auditor juga perlu melihat apakah kontrol benar-benar diterapkan dan didukung evidence yang dapat diverifikasi.
Karena itu, persiapan audit sebaiknya dilakukan sebelum auditor mulai meminta data. Langkah ini membantu organisasi menemukan gap lebih awal, memastikan dokumen masih relevan, serta mempercepat proses pengumpulan bukti.
Bagi bank umum, POJK Nomor 11/POJK.03/2022 mewajibkan pelaksanaan audit intern atas penyelenggaraan TI berdasarkan kebutuhan, prioritas, dan analisis risiko, paling sedikit satu kali dalam satu tahun. Regulasi tersebut juga menekankan ketersediaan jejak audit atas kegiatan penyelenggaraan TI.
Apa yang Perlu Diperiksa Sebelum Audit TI?
Persiapan audit TI yang efektif idealnya mencakup tiga hal:
- kontrol yang seharusnya tersedia;
- dokumen yang menjelaskan kontrol tersebut; dan
- evidence yang membuktikan bahwa kontrol telah dijalankan.
Sejak 1 Maret 2026, PADK OJK Nomor 1 Tahun 2026 juga menjadi pedoman penting bagi bank umum dalam penyelenggaraan TI. Ruang lingkupnya mencakup tata kelola TI, manajemen risiko TI, penyedia jasa TI, pengelolaan data dan pelindungan data pribadi, hingga pengendalian dan audit intern.
Berikut checklist yang dapat digunakan sebagai titik awal.
Checklist Persiapan Audit TI Bank
1. Tentukan Ruang Lingkup dan Acuan Audit
Pastikan organisasi mengetahui sistem, proses, unit kerja, lokasi, serta periode yang masuk ke dalam audit.
Identifikasi juga regulasi, kebijakan internal, standar, dan framework yang menjadi kriteria audit. Dengan ruang lingkup yang jelas, tim tidak perlu mengumpulkan evidence yang sebenarnya tidak relevan.
2. Periksa Kebijakan dan SOP TI
Pastikan kebijakan, prosedur, standar teknis, serta instruksi kerja:
- telah disetujui pihak berwenang;
- menggunakan versi terbaru;
- memiliki tanggal review;
- sesuai dengan proses yang benar-benar berjalan; dan
- dapat ditelusuri ke kontrol yang diuji.
Dokumen yang lengkap tetapi berbeda dengan praktik aktual tetap dapat menjadi sumber temuan.
3. Siapkan Bukti Tata Kelola TI
Auditor dapat meminta struktur organisasi TI, pembagian tanggung jawab, notulen rapat komite TI, keputusan manajemen, hingga bukti monitoring.
Pastikan kewenangan antara operasional, keamanan, manajemen risiko, dan fungsi audit tetap jelas.
4. Review Manajemen Risiko TI
Siapkan IT risk register, hasil risk assessment, rencana perlakuan risiko, risk acceptance, serta bukti monitoring tindak lanjut.
Untuk aspek keamanan siber, SEOJK 29/SEOJK.03/2022 mengatur antara lain penilaian risiko inheren keamanan siber serta penerapan manajemen risiko terkait keamanan siber bagi bank umum.
5. Periksa Pengelolaan Hak Akses
Area ini sering menjadi perhatian audit. Periksa:
- proses pembuatan dan perubahan akses;
- approval akses;
- penghapusan akun pegawai yang keluar;
- privileged account;
- segregasi tugas; serta
- periodic user access review.
Pastikan daftar pengguna pada sistem sesuai dengan data pegawai dan otorisasi yang berlaku.
6. Siapkan Evidence Change Management
Setiap perubahan aplikasi atau infrastruktur sebaiknya dapat ditelusuri melalui dokumen atau tiket perubahan.
Evidence dapat berupa request for change, approval, hasil testing, UAT, deployment record, hingga mekanisme emergency change.
7. Periksa Operasional dan Infrastruktur TI
Siapkan bukti terkait:
- inventaris aset TI;
- patch management;
- monitoring server dan jaringan;
- capacity management;
- antivirus atau endpoint protection; serta
- pengelolaan konfigurasi.
Auditor tidak hanya menilai apakah teknologi tersedia, tetapi juga bagaimana teknologi tersebut dikelola.
8. Pastikan Backup dan Disaster Recovery Dapat Dibuktikan
Jangan hanya menunjukkan jadwal backup. Siapkan pula:
- backup log;
- hasil monitoring kegagalan backup;
- bukti restoration test;
- Disaster Recovery Plan (DRP); dan
- hasil simulasi disaster recovery.
Backup yang berhasil dibuat belum tentu dapat digunakan ketika pemulihan benar-benar diperlukan.
9. Review Incident Management
Siapkan daftar insiden, tiket, klasifikasi insiden, escalation record, root cause analysis, serta corrective action.
Untuk insiden berulang, auditor dapat mempertanyakan apakah penyebab utamanya sudah benar-benar ditangani.
10. Evaluasi Keamanan Informasi
Periksa apakah organisasi memiliki evidence terkait vulnerability assessment, patching, hardening, security monitoring, logging, endpoint security, serta pengendalian jaringan.
Aspek ini juga dapat dievaluasi lebih mendalam melalui layanan Audit Keamanan Informasi Integra yang mencakup evaluasi kebijakan, prosedur, kontrol, infrastruktur, aplikasi, dan risiko keamanan informasi.
11. Review Vendor dan Pihak Ketiga TI
Untuk layanan TI yang melibatkan vendor, siapkan kontrak, SLA, NDA, hasil evaluasi vendor, security clause, dan bukti monitoring kinerja.
Pastikan tanggung jawab keamanan antara organisasi dan vendor tidak ambigu.
12. Periksa Temuan Audit Sebelumnya
Buat daftar seluruh temuan audit sebelumnya beserta:
- akar masalah;
- rencana perbaikan;
- PIC;
- target penyelesaian;
- status; dan
- evidence closure.
Temuan yang dinyatakan selesai harus memiliki bukti yang memadai.
Contoh Matriks Kesiapan Evidence Audit TI
| Area | Contoh Evidence | Status |
|---|---|---|
| Tata kelola TI | Struktur organisasi, notulen komite | Ready/Gap |
| Risiko TI | Risk register, treatment plan | Ready/Gap |
| User access | User list, approval, access review | Ready/Gap |
| Change management | RFC, UAT, deployment log | Ready/Gap |
| Backup dan DR | Backup log, restore test, DR test | Ready/Gap |
| Incident management | Ticket, RCA, corrective action | Ready/Gap |
| Keamanan informasi | VA report, log, hardening | Ready/Gap |
| Temuan audit | Finding tracker, closure evidence | Ready/Gap |
Organisasi dapat menambahkan kolom PIC, lokasi evidence, dan target penyelesaian agar checklist berfungsi sebagai audit readiness tracker.
Kesalahan yang Sering Terjadi Menjelang Audit
Beberapa masalah yang sebaiknya dihindari adalah:
- Kebijakan tersedia, tetapi tidak sesuai dengan praktik aktual.
- Evidence baru dikumpulkan ketika auditor memintanya.
- Approval atau jejak audit tidak lengkap.
- Review akses tidak dilakukan secara berkala.
- Temuan sebelumnya dinyatakan selesai tanpa bukti closure.
- Dokumen tersebar pada banyak unit tanpa repository terpusat.
Karena itu, idealnya dilakukan self-assessment atau pre-audit sebelum audit formal dimulai.
Kapan Perlu Menggunakan Jasa Audit IT POJK?
Bank dapat mempertimbangkan Jasa Audit IT POJK atau assessment independen ketika cakupan TI cukup kompleks, regulasi perlu dipetakan terhadap kontrol internal, terdapat banyak temuan lama, atau organisasi membutuhkan pandangan objektif terhadap kesiapan audit.
Konsultan audit TI dapat membantu melakukan regulatory mapping, pemeriksaan dokumen, pengujian kontrol, identifikasi gap, hingga penyusunan rekomendasi perbaikan.
Persiapkan Audit Sebelum Gap Menjadi Temuan
Kesiapan audit TI tidak ditentukan oleh banyaknya dokumen yang dimiliki, tetapi oleh kemampuan organisasi menunjukkan bahwa kontrol telah dirancang, diterapkan, dimonitor, dan dapat dibuktikan.
Jika bank atau lembaga Anda ingin mengevaluasi kesiapan kontrol TI dan keamanan informasi, PT Integra Teknologi Solusi melalui Audit Keamanan Informasi dapat membantu mengidentifikasi gap, mengevaluasi kontrol, serta menyusun rekomendasi perbaikan sebelum audit.
Konsultasikan kebutuhan audit TI dan keamanan informasi organisasi Anda bersama Integra.
