Menjelang audit TI, salah satu tantangan terbesar bagi bank bukan sekadar memastikan kebijakan tersedia, tetapi membuktikan bahwa kontrol benar-benar diterapkan.
SOP mungkin sudah terdokumentasi. Namun, apakah tersedia bukti review akses pengguna? Apakah hasil vulnerability assessment sudah ditindaklanjuti? Apakah pengujian restore backup dapat dibuktikan?
Karena itu, IT audit readiness perlu dilakukan sebelum pemeriksaan dimulai. Tujuannya agar dokumen, kontrol, dan audit evidence dapat ditemukan, diverifikasi, serta menunjukkan kondisi aktual organisasi.
Apa Itu IT Audit Readiness?
IT audit readiness adalah kondisi ketika organisasi telah siap menghadapi pemeriksaan TI dari sisi ruang lingkup, kontrol, dokumentasi, evidence, penanggung jawab, hingga tindak lanjut temuan.
Sederhananya:
Requirement → Control → Document → Evidence → Validation → Audit Ready
Memiliki banyak dokumen belum berarti organisasi siap diaudit. Auditor juga membutuhkan evidence yang membuktikan bahwa kebijakan dan prosedur telah dijalankan.
Sebagai contoh:
Dokumen: SOP User Access Management.
Evidence: formulir permintaan akses, approval, konfigurasi akses, dan hasil periodic user access review.
Inilah alasan kesiapan evidence menjadi bagian penting dalam persiapan IT audit.
Mengapa IT Audit Readiness Penting bagi Perbankan?
Teknologi telah menjadi bagian penting dalam operasional perbankan. Gangguan sistem, kelemahan kontrol akses, vulnerability yang terlambat ditangani, hingga kegagalan pemulihan dapat berdampak pada layanan dan risiko bank.
POJK Nomor 11/POJK.03/2022 mengatur bahwa bank harus memastikan tersedianya jejak audit atas seluruh kegiatan penyelenggaraan TI serta melaksanakan audit intern TI berdasarkan kebutuhan, prioritas, dan hasil analisis risiko paling sedikit satu kali dalam setahun.
Sejak 1 Maret 2026, OJK juga memberlakukan PADK Nomor 1 Tahun 2026 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum sebagai pedoman yang memperkuat aspek tata kelola dan pengelolaan risiko TI.
Bagi bank yang termasuk dalam ruang lingkup pengaturan dan pengawasan Bank Indonesia terkait sistem pembayaran atau aktivitas terkait, PBI Nomor 2 Tahun 2024 dan PADG Nomor 24 Tahun 2024 juga mengatur aspek Keamanan Sistem Informasi dan Ketahanan Siber (KKS), termasuk tata kelola, identifikasi risiko, proteksi, deteksi, respons, dan pemulihan.
Karena itu, readiness membantu bank menemukan gap sebelum gap tersebut ditemukan saat pemeriksaan formal.
Dokumen dan Evidence Apa yang Perlu Dipersiapkan?
Ruang lingkup setiap audit dapat berbeda. Namun, beberapa kategori berikut umumnya perlu mendapat perhatian.
1. Tata Kelola dan Kebijakan TI
Persiapkan dokumen seperti:
kebijakan TI dan keamanan informasi;
struktur organisasi dan pembagian tanggung jawab;
kebijakan manajemen risiko TI;
kebijakan pengelolaan aset;
kebijakan akses;
kebijakan pengelolaan pihak ketiga.
Pastikan dokumen masih berlaku, memiliki owner, versi, tanggal review, serta approval yang jelas.
2. IT Risk dan Cybersecurity Risk
Evidence dapat berupa:
IT risk register;
cyber risk register;
hasil risk assessment;
risk treatment plan;
Business Impact Analysis (BIA);
laporan monitoring risiko.
Pastikan risiko yang tercatat masih sesuai dengan sistem, aplikasi, dan kondisi teknologi terkini.
3. Identity and Access Management
Area akses sering membutuhkan evidence yang lebih detail, antara lain:
user access matrix;
privileged account list;
access request dan approval;
joiner-mover-leaver record;
periodic user access review;
evidence pencabutan akses.
Daftar pengguna saja belum cukup apabila organisasi tidak dapat menunjukkan bagaimana akses diberikan, diperiksa, dan dicabut.
4. Vulnerability dan Security Testing
Siapkan:
vulnerability assessment report;
penetration testing report;
vulnerability register;
remediation tracking;
patching evidence;
hasil retest.
Temuan kategori critical atau high sebaiknya memiliki PIC, target penyelesaian, status, dan closure evidence.
Baca juga pembahasan tentang Audit Security Services untuk memahami cakupan evaluasi keamanan secara lebih luas.
5. Security Monitoring dan Incident Response
Evidence dapat mencakup:
security monitoring report;
SIEM alert;
audit trail;
incident register;
incident ticket;
root cause analysis;
corrective action;
hasil simulasi incident response.
Evidence sebaiknya dapat menunjukkan siapa yang melakukan aktivitas, kapan aktivitas terjadi, serta bagaimana tindak lanjut dilakukan.
6. Backup, Disaster Recovery, dan Business Continuity
Jangan hanya menyediakan Backup Policy atau Disaster Recovery Plan.
Auditor dapat membutuhkan bukti implementasi berupa:
backup log;
restore test;
DR drill report;
RTO dan RPO;
hasil evaluasi simulasi;
tindak lanjut kelemahan yang ditemukan.
7. Change Management dan Vendor Management
Untuk change management, evidence dapat berupa change request, approval, testing, UAT, deployment record, hingga rollback plan.
Untuk pihak ketiga, siapkan vendor risk assessment, SLA, security requirement, confidentiality agreement, hasil monitoring, dan periodic review.
8. Temuan Audit Sebelumnya
Pastikan tersedia:
daftar temuan;
root cause;
corrective action plan;
PIC dan target waktu;
closure evidence;
hasil verifikasi atau retest.
Status closed tanpa evidence yang dapat diverifikasi masih berpotensi menjadi perhatian auditor.
Seperti Apa Audit Evidence yang Baik?
Evidence yang baik setidaknya memiliki enam karakteristik:
Relevant — sesuai dengan kontrol yang sedang diuji.
Current — berasal dari periode audit yang relevan.
Traceable — sumber, waktu, sistem, dan PIC dapat diketahui.
Complete — memberikan konteks yang cukup.
Consistent — tidak bertentangan dengan kebijakan atau evidence lainnya.
Verifiable — dapat diuji atau dikonfirmasi auditor.
Screenshot tanpa informasi tanggal, sumber sistem, atau konteks belum tentu menjadi evidence yang kuat.
Checklist IT Audit Readiness
Sebelum audit dimulai, lakukan pengecekan berikut:
Scope dan periode audit telah dipahami.
Requirement dan kontrol telah dipetakan.
Control owner dan PIC evidence sudah ditentukan.
Kebijakan dan SOP terbaru tersedia.
Evidence telah dikelompokkan berdasarkan kontrol.
Asset inventory dan user access sudah diperbarui.
Temuan VA/Pentest memiliki remediation evidence.
Security log dan incident record dapat ditelusuri.
Backup dan restore test terdokumentasi.
Temuan audit sebelumnya memiliki closure evidence.
Evidence telah melalui internal review.
Jika masih banyak item yang belum terpenuhi, organisasi dapat mempertimbangkan readiness assessment sebelum masuk ke pemeriksaan formal.
Persiapkan Audit Sebelum Auditor Menemukan Gap
IT audit readiness bukan aktivitas mengumpulkan file beberapa hari sebelum pemeriksaan. Kesiapan yang baik membutuhkan pemetaan requirement, kontrol yang jelas, evidence yang dapat ditelusuri, serta review berkala.
Bank juga dapat melibatkan pihak independen untuk mendapatkan perspektif yang lebih objektif terhadap efektivitas kontrol dan gap keamanan.
PT Integra Teknologi Solusi melalui Cyber Security Services dapat membantu melakukan assessment terhadap kontrol keamanan, identifikasi gap dan risiko, evaluasi evidence, Audit KKS, hingga penyusunan rekomendasi dan rencana perbaikan.
Pelajari juga layanan Audit Keamanan Informasi Integra atau hubungi tim Integra untuk konsultasi mengenai kebutuhan IT Audit Readiness dan audit keamanan siber organisasi Anda.
