Bisnis Digital · FEB UNDIP

Perencanaan Sumber Daya Perusahaan

Pertemuan 13: ERP Security dan Implementation Assurance

Internal Control, IT Controls, dan Sertifikasi ISACA — menjaga sistem ERP tetap aman, andal, dan dapat diaudit.

RPS minggu 14 · 2x50 menit

Selamat datang kembali, Anda hampir menyelesaikan mata kuliah ini. Setelah dua pertemuan sebelumnya membahas balanced scorecard dan modul-modul fungsional ERP, hari ini kita masuk ke topik yang sering diabaikan mahasiswa bisnis digital tetapi sangat krusial di dunia kerja nyata, yaitu keamanan sistem ERP. Bayangkan sebuah perusahaan seperti Tokopedia atau BBCA yang seluruh transaksi keuangannya berjalan lewat satu sistem ERP terintegrasi — kalau kontrol keamanannya lemah, satu karyawan nakal saja bisa mengubah data penjualan atau mencuri data pelanggan tanpa terdeteksi. Kita akan belajar konsep internal control, jenis-jenis IT control dalam ERP, dan mengenal sertifikasi profesi ISACA seperti CISA yang menjadi standar auditor sistem informasi di Indonesia maupun global. Pertemuan ini juga menjadi bekal penting sebelum UAS karena menyatukan pemahaman Anda tentang seluruh siklus hidup ERP dari perspektif risiko dan pengendalian.

Tujuan Pembelajaran Hari Ini

Setelah pertemuan ini, Anda diharapkan mampu:

Konsep

IC + ITGC

Internal Control & IT General Controls

Menjelaskan kerangka internal control (pengendalian internal) dan bagaimana ia diterapkan pada sistem ERP melalui IT General Controls dan Application Controls.

Sertifikasi

ISACA

CISA, CISM, CRISC, CGEIT

Mengenal peran ISACA sebagai asosiasi profesi audit sistem informasi global dan sertifikasinya yang relevan bagi karier bisnis digital.

Praktik

SoD

Segregation of Duties

Menganalisis pemisahan tugas (segregation of duties) dalam modul ERP untuk mencegah fraud dan kesalahan.

Evaluasi

Risk Scoring

Menilai risiko implementasi

Menghitung skor risiko sederhana untuk memutuskan prioritas mitigasi kontrol pada proyek implementasi ERP.

Mari kita lihat empat tujuan besar hari ini. Pertama, Anda akan memahami apa itu internal control dan bagaimana konsep akuntansi klasik ini diterjemahkan ke dalam pengendalian teknologi informasi di sistem ERP. Kedua, Anda akan berkenalan dengan ISACA, organisasi profesi yang lahir tahun 1969 dan menjadi rujukan dunia untuk audit sistem informasi, termasuk di perusahaan-perusahaan besar Indonesia seperti BCA, Telkom, dan Pertamina yang mempekerjakan banyak pemegang sertifikasi CISA. Ketiga, kita akan bedah konsep segregation of duties atau pemisahan tugas, misalnya kenapa staf yang membuat purchase order di modul SCM ERP sebaiknya tidak boleh juga menyetujui pembayarannya. Terakhir, Anda akan berlatih menghitung skor risiko sederhana agar bisa memprioritaskan kontrol mana yang paling mendesak diperbaiki saat sebuah perusahaan mengimplementasikan ERP baru.

Mengapa Keamanan ERP Penting?

ERP menyimpan seluruh data kritikal perusahaan dalam satu sistem terintegrasi — satu titik kelemahan bisa berdampak ke semua lini bisnis.

Kasus nyata: skandal Garuda Indonesia 2018 menunjukkan bagaimana lemahnya pengendalian pelaporan keuangan bisa memicu krisis kepercayaan investor dan sanksi regulator (OJK, Kementerian Keuangan) — walau bukan murni kasus IT control, prinsipnya sama: kontrol pelaporan yang lemah berujung fatal.

Risiko

Fraud internal

Karyawan memanipulasi data penjualan/persediaan demi keuntungan pribadi.

Risiko

Kebocoran data

Data pelanggan/keuangan diakses pihak tak berwenang (mis. peretas eksternal).

Risiko

Kegagalan operasional

Sistem down atau data korup mengganggu produksi, penjualan, dan penggajian sekaligus.

Coba bayangkan Anda bekerja di sebuah perusahaan retail seperti Indomaret yang menggunakan ERP untuk mengelola ribuan gerai. Jika sistem ERP itu tidak memiliki kontrol keamanan yang baik, satu akun karyawan gudang yang disusupi bisa dipakai untuk memanipulasi data stok di ratusan toko sekaligus, jauh lebih berbahaya dibanding sistem manual yang terpisah-pisah per toko. Ini yang disebut risiko konsentrasi dalam sistem terintegrasi. Kasus Garuda Indonesia tahun 2018 saya sebutkan bukan karena murni soal IT, tetapi karena ia menggambarkan prinsip yang sama: begitu pengendalian pelaporan lemah, dampaknya merambat ke reputasi, harga saham, bahkan sanksi dari OJK dan Kementerian BUMN. Tiga risiko besar yang perlu Anda ingat adalah fraud internal, kebocoran data, dan kegagalan operasional — dan ketiganya bisa dicegah dengan kerangka internal control yang akan kita pelajari sekarang.

Bagian 1 dari 3

Internal Control Framework

Dari konsep akuntansi klasik (COSO) ke pengendalian sistem informasi modern.

Apa itu Internal Control?

Internal control (pengendalian internal) adalah proses yang dirancang manajemen untuk memberi keyakinan memadai bahwa tujuan organisasi tercapai — operasi efektif, laporan keuangan andal, dan kepatuhan pada regulasi.

Kerangka rujukan global: COSO Internal Control – Integrated Framework (Committee of Sponsoring Organizations)

5 Komponen COSO

Control Environment — budaya & integritas organisasi (tone at the top)
Risk Assessment — identifikasi risiko yang mengancam tujuan
Control Activities — kebijakan & prosedur konkret (approval, otorisasi)
Information & Communication — data mengalir tepat waktu & akurat
Monitoring Activities — evaluasi berkala efektivitas kontrol

Internal control secara sederhana adalah sistem pengaman yang dibangun manajemen agar perusahaan berjalan sesuai rencana, laporannya bisa dipercaya, dan tidak melanggar hukum. Kerangka yang paling banyak dipakai di dunia, termasuk oleh perusahaan Tbk di Bursa Efek Indonesia yang wajib lapor ke OJK, adalah COSO Framework dengan lima komponennya. Coba kaitkan dengan pengalaman Anda magang atau kerja part time: control environment itu seperti budaya perusahaan, apakah atasan Anda benar-benar menegakkan aturan atau membiarkan pelanggaran kecil. Risk assessment adalah proses perusahaan mengenali apa saja yang bisa salah, misalnya risiko stok fiktif di gudang. Control activities adalah aturan konkretnya, seperti setiap pengeluaran di atas Rp 5 juta harus disetujui manajer. Information and communication memastikan data mengalir cepat dan akurat ke pengambil keputusan, dan monitoring adalah audit rutin untuk memastikan semua kontrol tadi benar-benar berjalan, bukan sekadar tertulis di dokumen.

IT General Controls (ITGC)

Pada sistem manual, kontrol dijalankan manusia satu per satu; pada ERP, kontrol tertanam dalam sistem dan otomatis berlaku ke seluruh transaksi. ITGC adalah kontrol tingkat infrastruktur yang menjadi fondasi keandalan seluruh sistem — jika ITGC lemah, kontrol aplikasi di atasnya ikut tidak bisa dipercaya.

4 Kategori Utama ITGC

Access Control — siapa boleh masuk & melakukan apa
Change Management — perubahan sistem lewat prosedur uji & approval
Computer Operations — backup, monitoring, penjadwalan job
System Development — SDLC terdokumentasi untuk fitur baru

Analogi: ITGC seperti keamanan gedung (satpam, kartu akses, CCTV) — bukan mengontrol apa yang dikerjakan tiap karyawan di mejanya, tetapi memastikan hanya orang yang berhak yang bisa masuk gedung dan ruangan tertentu.

IT General Controls ini penting Anda pahami sebagai fondasi karena tanpa ITGC yang kuat, kontrol aplikasi secanggih apa pun bisa dilewati. Access control mengatur siapa yang boleh login ke modul finance ERP dan siapa yang hanya boleh melihat modul inventory, mirip kartu akses karyawan di gedung perkantoran BCA Tower yang membedakan lantai mana saja yang bisa dimasuki tiap staf. Change management memastikan setiap perubahan konfigurasi sistem, misalnya mengubah rumus perhitungan komisi sales, harus melalui proses testing dan persetujuan, bukan langsung diubah developer di sistem produksi begitu saja. Computer operations mencakup hal teknis seperti backup data rutin dan monitoring server supaya sistem tidak tiba-tiba down saat jam sibuk. Terakhir, system development memastikan setiap fitur baru dikembangkan lewat siklus pengembangan yang terdokumentasi, bukan asal tambah modul tanpa dokumentasi. Analogi gedung berlapis keamanan tadi membantu Anda mengingat bahwa ITGC adalah lapisan pertama sebelum kita bicara kontrol yang lebih spesifik per transaksi.

Application Controls

Application controls tertanam dalam modul ERP itu sendiri — mengatur transaksi dari input hingga output agar akurat, lengkap, dan sah.

Input Control

✓

Validasi saat data masuk

Field wajib, format, cek duplikasi (mis. nomor invoice tidak boleh sama).

Processing Control

⚙

Kalkulasi & workflow

Kalkulasi otomatis (PPN 11%), approval berjenjang sesuai nominal.

Output Control

📄

Verifikasi hasil

Rekonsiliasi laporan, distribusi hanya ke penerima berwenang.

Sekarang mari kita masuk lebih dalam ke application controls dengan contoh konkret di modul penjualan ERP sebuah perusahaan distribusi seperti Unilever Indonesia. Input control bekerja saat staf admin memasukkan pesanan pelanggan, sistem otomatis menolak jika nomor invoice sudah pernah dipakai sebelumnya, atau jika field kuantitas diisi angka negatif. Processing control bekerja saat sistem menghitung otomatis PPN sebesar 11 persen efektif sesuai PMK 131 tahun 2024, dan jika nilai transaksi di atas ambang tertentu, sistem otomatis meminta approval dari supervisor sebelum lanjut. Output control memastikan laporan yang dihasilkan, misalnya laporan piutang bulanan, sudah direkonsiliasi dengan data bank dan hanya bisa diakses oleh manajer keuangan yang berwenang, bukan sembarang staf. Ketiga jenis kontrol ini bekerja berurutan mengikuti alur data dari masuk, diproses, sampai keluar sebagai laporan.

Segregation of Duties (SoD)

Segregation of duties (pemisahan tugas) mencegah satu orang mengendalikan seluruh siklus transaksi dari awal hingga akhir — prinsip anti-fraud paling fundamental dalam ERP.

Contoh Konflik SoD di Modul Procurement ERP

Fungsi	Wewenang	Risiko jika digabung
Membuat Purchase Order	Staf Pembelian	Jika satu orang pegang ketiganya, ia bisa membuat PO fiktif, menerima "barang" fiktif, lalu menyetujui pembayaran ke rekening sendiri
Menerima Barang (GRN)	Staf Gudang
Menyetujui Pembayaran	Manajer Keuangan

Segregation of duties adalah salah satu prinsip pengendalian yang paling sering diuji dalam ujian sertifikasi CISA maupun diperiksa auditor eksternal. Contoh kasus di tabel ini menggambarkan siklus procurement khas perusahaan manufaktur seperti Astra International. Bayangkan jika satu karyawan bernama Budi punya akses untuk membuat purchase order, sekaligus mengonfirmasi barang sudah diterima di sistem, sekaligus menyetujui pembayaran ke vendor. Budi bisa saja membuat PO ke perusahaan fiktif milik saudaranya, mengklik konfirmasi barang diterima padahal barang tidak pernah datang, lalu menyetujui pembayarannya sendiri. Inilah mengapa ERP modern seperti SAP memiliki fitur SoD matrix yang otomatis memberi peringatan jika satu user role diberi kombinasi akses yang berbahaya. Auditor sistem informasi, termasuk pemegang sertifikasi CISA, secara rutin mengecek matriks ini untuk memastikan tidak ada kombinasi akses yang membuka celah fraud semacam ini.

Hitung dari Nol — Skor Risiko SoD Sederhana

Auditor sering memakai skor risiko = Dampak × Kemungkinan untuk memprioritaskan mitigasi. Mari hitung untuk konflik SoD "PO + Approval Pembayaran" di atas.

Langkah	Perhitungan	Nilai
1. Tentukan skala Dampak (1–5)	Fraud pembayaran vendor fiktif = dampak finansial besar	Dampak = 5
2. Tentukan skala Kemungkinan (1–5)	Tanpa kontrol SoD, akses tak dibatasi = sangat mungkin terjadi	Kemungkinan = 4
3. Hitung Skor Risiko	5 × 4	Skor = 20
4. Bandingkan ke ambang batas	Ambang "Tinggi" perusahaan = skor > 15	20 > 15 → Tinggi

Kesimpulan

RISIKO TINGGI

Wajib mitigasi segera: pisahkan wewenang PO, GRN, dan approval pembayaran ke tiga user berbeda.

Sekarang mari kita hitung bersama-sama, langkah demi langkah, seperti yang biasa dilakukan auditor sistem informasi saat menilai risiko. Langkah pertama, kita beri skor dampak dari skala 1 sampai 5 — karena konflik SoD ini bisa menyebabkan fraud pembayaran ke vendor fiktif dengan kerugian finansial besar, kita beri dampak nilai 5, yaitu level tertinggi. Langkah kedua, kita nilai kemungkinan terjadinya dari skala 1 sampai 5 — karena tanpa kontrol SoD, siapa saja dengan akses gabungan tadi sangat mudah melakukannya, kita beri kemungkinan nilai 4. Langkah ketiga, kita kalikan kedua angka tadi, 5 dikali 4 sama dengan 20, itulah skor risiko gabungan. Langkah keempat, kita bandingkan dengan ambang batas yang biasanya ditetapkan perusahaan, misalnya di atas 15 dikategorikan risiko tinggi — karena 20 lebih besar dari 15, maka konflik SoD ini masuk kategori risiko tinggi dan wajib segera dimitigasi. Metode skor risiko seperti ini konsisten dipakai auditor CISA di lapangan untuk memprioritaskan mana yang harus diperbaiki duluan dari puluhan temuan audit.

Coba Sendiri: Uji Skor Risiko Segregation of Duties

Ubah skala Dampak dan Kemungkinan untuk konflik SoD lain, lalu amati bagaimana skor risiko dan kategorinya berubah terhadap ambang batas.

Bagian 2 dari 3

Profesi & Sertifikasi ISACA

Mengenal jalur karier audit sistem informasi yang diakui global.

Apa itu ISACA?

ISACA (Information Systems Audit and Control Association) adalah asosiasi profesi global nirlaba, didirikan 1969, dengan lebih dari 165.000 anggota di 188 negara — termasuk chapter aktif di Indonesia.

Fokus Utama

Domain keahlian

Audit sistem informasi, keamanan informasi, manajemen risiko IT, dan tata kelola IT (IT governance).

Kerangka Terkenal

COBIT

Control Objectives for Information and Related Technologies

Kerangka tata kelola IT yang diterbitkan ISACA, banyak dipakai bersama COSO untuk audit ERP.

ISACA adalah singkatan dari Information Systems Audit and Control Association, sebuah organisasi profesi nirlaba yang berdiri sejak tahun 1969 di Amerika Serikat dan kini punya jaringan lebih dari 165 ribu anggota di 188 negara, termasuk chapter aktif di Jakarta yang rutin mengadakan seminar dan pelatihan. ISACA berfokus pada empat domain keahlian besar: audit sistem informasi, keamanan informasi, manajemen risiko IT, dan tata kelola IT secara menyeluruh. Salah satu kontribusi terbesar ISACA untuk dunia adalah kerangka kerja bernama COBIT, singkatan dari Control Objectives for Information and Related Technologies, yang sering dipakai berdampingan dengan kerangka COSO yang sudah kita bahas tadi untuk mengaudit sistem ERP secara komprehensif. Banyak perusahaan konsultan Big Four seperti Deloitte, PwC, EY, dan KPMG di Indonesia mensyaratkan tim audit IT mereka memegang sertifikasi dari ISACA sebagai standar minimum kompetensi.

Sertifikasi Utama ISACA

Empat sertifikasi ISACA paling dikenal, masing-masing untuk jalur karier berbeda.

Sertifikasi	Fokus	Cocok untuk
CISA (Certified Information Systems Auditor)	Audit & kontrol sistem informasi	Auditor IT, internal/eksternal audit
CISM (Certified Information Security Manager)	Manajemen keamanan informasi	Manajer keamanan siber, CISO
CRISC (Certified in Risk and Information Systems Control)	Manajemen risiko IT	Risk officer, konsultan risiko
CGEIT (Certified in the Governance of Enterprise IT)	Tata kelola IT tingkat perusahaan	Eksekutif IT, konsultan governance

Untuk mahasiswa bisnis digital, CISA adalah pintu masuk paling relevan — menguji langsung pemahaman tentang audit ERP, ITGC, dan application controls seperti yang kita pelajari hari ini.

Mari kita bahas satu per satu. CISA, atau Certified Information Systems Auditor, adalah sertifikasi paling populer dan paling relevan bagi Anda karena langsung menguji kemampuan audit sistem informasi, termasuk konsep ITGC dan application controls yang baru saja kita pelajari. CISM lebih berfokus pada sisi manajerial keamanan informasi, cocok bagi yang ingin menjadi Chief Information Security Officer atau manajer keamanan siber di perusahaan seperti bank digital atau fintech. CRISC berfokus pada manajemen risiko sistem informasi, sangat relevan bagi Anda yang tertarik menjadi risk officer di perusahaan yang menerapkan ERP skala besar. CGEIT lebih menyasar level eksekutif yang bertanggung jawab atas tata kelola IT perusahaan secara strategis, biasanya dipegang oleh direktur IT atau konsultan senior. Untuk mahasiswa bisnis digital yang baru lulus, CISA adalah pintu masuk paling masuk akal karena materinya berkaitan langsung dengan apa yang sudah kita pelajari sepanjang mata kuliah ini, mulai dari arsitektur ERP sampai internal control hari ini.

Walkthrough — Siklus Audit Sistem Informasi (CISA)

Auditor CISA mengikuti tahapan sistematis saat mengaudit sistem ERP perusahaan. Mari telusuri langkah demi langkah.

Tahap	Aktivitas	Contoh Konkret
1. Planning	Tentukan ruang lingkup & risiko audit	Fokus audit: modul Finance ERP PT Astra tahun berjalan
2. Risk Assessment	Identifikasi area berisiko tinggi	SoD conflict di modul procurement (skor risiko 20)
3. Testing Controls	Uji efektivitas kontrol yang ada	Sampling 30 transaksi PO, cek approval berjenjang
4. Reporting	Laporkan temuan & rekomendasi	Rekomendasi: pisahkan role PO dan approval pembayaran

Sekarang mari kita telusuri bagaimana seorang auditor bersertifikat CISA sebenarnya bekerja di lapangan, langkah demi langkah, memakai contoh audit modul finance di perusahaan seperti Astra International. Tahap pertama adalah planning, di mana auditor menentukan ruang lingkup audit, misalnya khusus modul finance ERP untuk tahun berjalan, bukan seluruh sistem sekaligus karena keterbatasan waktu. Tahap kedua adalah risk assessment, mengidentifikasi area mana yang paling berisiko, seperti konflik SoD di modul procurement yang tadi kita hitung skornya sebesar 20, kategori tinggi. Tahap ketiga adalah testing controls, auditor tidak memeriksa semua transaksi satu per satu karena terlalu memakan waktu, melainkan mengambil sampel misalnya 30 transaksi purchase order lalu mengecek apakah approval berjenjangnya benar-benar dijalankan sesuai kebijakan. Tahap keempat adalah reporting, di mana auditor menuliskan temuan dan rekomendasi konkret, misalnya merekomendasikan agar wewenang membuat PO dan menyetujui pembayaran dipisahkan ke pegawai berbeda. Alur empat tahap ini adalah pola dasar yang diujikan dalam sertifikasi CISA dan dipraktikkan nyata oleh auditor IT di seluruh dunia.

Bagian 3 dari 3

Studi Kasus & Latihan

Menerapkan kerangka internal control pada skenario implementasi ERP nyata.

Studi Kasus: PT Mitra Retail Nusantara

PT Mitra Retail Nusantara baru mengimplementasikan ERP untuk 50 gerai. Tim IT internal memegang akses superuser penuh ke seluruh modul, termasuk finance, demi "mempercepat troubleshooting".

Temuan Awal Tim Audit

3 staf IT bisa mengubah data transaksi keuangan tanpa jejak approval
Tidak ada log perubahan (audit trail) yang diaktifkan
Password admin dibagi lewat grup chat WhatsApp tim
Belum ada kebijakan tertulis segregation of duties

Mari kita analisis kasus ini bersama-sama sebagai persiapan diskusi kelompok. PT Mitra Retail Nusantara ini adalah perusahaan fiktif, namun situasinya sangat umum terjadi di perusahaan menengah Indonesia yang baru pertama kali mengimplementasikan ERP, mirip pola yang sering ditemukan pada UMKM yang naik kelas menjadi perusahaan menengah. Perhatikan empat temuan tim audit ini: pertama, tiga staf IT memiliki akses superuser yang bisa mengubah data keuangan tanpa melalui proses approval sama sekali, ini jelas melanggar prinsip application control yang kita pelajari. Kedua, fitur audit trail atau jejak log perubahan belum diaktifkan, artinya jika terjadi manipulasi data, perusahaan tidak akan bisa melacak siapa pelakunya. Ketiga, password admin dibagikan lewat grup WhatsApp, ini pelanggaran fatal terhadap access control karena siapa pun yang mengakses HP salah satu anggota grup berpotensi mendapatkan akses penuh ke sistem finansial perusahaan. Keempat, belum ada kebijakan tertulis mengenai segregation of duties, artinya perusahaan ini rentan sekali terhadap fraud internal seperti yang kita bahas di kasus purchase order tadi.

Latihan Kelompok (15 menit)

Diskusikan dalam kelompok 3-4 orang, lalu satu perwakilan presentasikan singkat.

Tugas 1

Pemetaan Risiko

Untuk tiap temuan di kasus PT Mitra Retail Nusantara, tentukan skor risiko (Dampak x Kemungkinan, skala 1-5) seperti contoh "Hitung dari Nol" tadi.

Tugas 2

Rekomendasi Kontrol

Usulkan minimal 3 kontrol konkret (ITGC atau Application Control) untuk memitigasi temuan dengan skor risiko tertinggi.

Panduan diskusi: rujuk kembali 5 komponen COSO dan 4 kategori ITGC pada slide sebelumnya sebagai kerangka analisis kelompok Anda.

Sekarang giliran Anda praktik langsung. Silakan bentuk kelompok kecil 3 sampai 4 orang, dan gunakan 15 menit ke depan untuk mengerjakan dua tugas ini. Tugas pertama meminta Anda memberi skor risiko pada setiap temuan yang baru kita bahas tadi, persis seperti metode yang kita pakai untuk kasus purchase order, dengan mengalikan skala dampak dan skala kemungkinan masing-masing dari 1 sampai 5. Tugas kedua meminta Anda mengusulkan minimal tiga kontrol konkret, bisa berupa IT General Control seperti pembatasan akses superuser, atau application control seperti mengaktifkan fitur audit trail otomatis. Slide ini saya tandai tidak beranimasi bertahap supaya seluruh instruksi tugas terlihat sekaligus dan kelompok Anda bisa langsung membaca semuanya tanpa perlu klik berkali-kali. Setelah 15 menit, saya akan meminta beberapa kelompok mempresentasikan hasil diskusi secara singkat di depan kelas.

Hitung dari Nol — Cost of Control vs Cost of Failure

Manajemen sering bertanya: apakah investasi kontrol tambahan (mis. sistem audit trail) sepadan dengan risikonya? Mari hitung sederhana untuk kasus PT Mitra Retail Nusantara.

Langkah	Perhitungan	Nilai
1. Estimasi potensi kerugian fraud/tahun	Berdasarkan riset internal, ~2% dari omzet finance modul rentan	2% x Rp 500 juta
2. Hitung expected loss tanpa kontrol	2% × Rp 500.000.000	Rp 10.000.000/tahun
3. Biaya implementasi kontrol (audit trail + pemisahan akses)	Lisensi modul + pelatihan staf	Rp 4.000.000/tahun
4. Bandingkan (Return on Control)	Rp 10.000.000 − Rp 4.000.000	Hemat Rp 6.000.000/tahun

Keputusan

LAYAK DIINVESTASI

Biaya kontrol jauh lebih kecil dari potensi kerugian yang dicegah.

Mari kita hitung satu contoh lagi secara bertahap, kali ini dari sudut pandang keputusan manajemen yang harus menimbang biaya versus manfaat sebuah kontrol. Langkah pertama, kita estimasi potensi kerugian fraud per tahun berdasarkan riset internal, misalkan sekitar 2 persen dari omzet yang melewati modul finance ERP yang rentan tadi, dengan asumsi omzet modul tersebut Rp 500 juta per tahun — ingat, angka ini adalah ilustrasi, bukan data riil perusahaan mana pun. Langkah kedua, kita kalikan 2 persen dengan Rp 500 juta, hasilnya Rp 10 juta sebagai expected loss atau perkiraan kerugian tanpa kontrol tambahan. Langkah ketiga, kita bandingkan dengan biaya implementasi kontrol baru, misalnya lisensi modul audit trail ditambah biaya pelatihan staf, senilai Rp 4 juta per tahun. Langkah keempat, kita kurangkan Rp 10 juta dikurangi Rp 4 juta, hasilnya penghematan bersih Rp 6 juta per tahun jika kontrol ini diterapkan. Dengan perhitungan sederhana seperti inilah seorang analis GRC meyakinkan direksi bahwa investasi kontrol bukan biaya sia-sia, melainkan keputusan finansial yang masuk akal.

Jebakan Umum & Kerangka Pendukung Lain

Selain COSO dan COBIT, auditor sering memetakan temuan lintas kerangka lain; berikut juga kesalahan umum yang ditemukan di lapangan.

Kerangka Pendukung

ISO/IEC 27001 — manajemen keamanan informasi (server ERP)
ITIL — standarisasi change management & insiden
NIST Cybersecurity Framework — mitigasi ancaman siber eksternal

Jebakan Umum Implementasi

Over-reliance pada kontrol otomatis tanpa review manual berkala
Role default vendor ERP tak disesuaikan kebutuhan SoD internal
Pelatihan pengguna diabaikan (mis. berbagi password demi "efisiensi")

Selain COSO dan COBIT yang sudah kita bahas mendalam, ada beberapa kerangka kerja lain yang perlu Anda kenal karena sering muncul berdampingan dalam praktik audit sistem informasi. ISO/IEC 27001 adalah standar internasional untuk manajemen keamanan informasi, banyak dikejar bank digital atau e-commerce besar seperti Tokopedia untuk meyakinkan pelanggan bahwa data mereka aman. ITIL berfokus pada manajemen layanan IT secara operasional, sedangkan NIST Cybersecurity Framework banyak diadopsi global untuk mengidentifikasi dan merespons ancaman siber terhadap sistem seperti ERP. Di sisi lain, ada beberapa jebakan yang berulang kali ditemukan auditor di berbagai perusahaan: over-reliance pada kontrol otomatis tanpa review manual, role akses bawaan vendor yang tak disesuaikan kebutuhan segregation of duties seperti kasus PT Mitra Retail Nusantara tadi, dan yang paling sering diremehkan, pelatihan pengguna akhir yang diabaikan sehingga kontrol secanggih apa pun gagal karena kebiasaan seperti berbagi password lewat WhatsApp. Auditor profesional jarang memakai satu kerangka saja — mereka memetakan temuan lintas kerangka sesuai kebutuhan klien.

Cheat Sheet: Peta Konsep Hari Ini

Konsep	Definisi Singkat	Contoh
Internal Control (COSO)	Proses keyakinan memadai atas tujuan organisasi	5 komponen: environment, risk, activities, info, monitoring
ITGC	Kontrol infrastruktur/fondasi sistem	Access control, change management
Application Control	Kontrol tertanam dalam transaksi modul ERP	Input, processing, output control
Segregation of Duties	Pemisahan tugas anti-fraud	PO ≠ penerimaan barang ≠ approval bayar
ISACA	Asosiasi profesi audit sistem informasi global	CISA, CISM, CRISC, CGEIT; kerangka COBIT

Penutup & Persiapan Pertemuan Berikutnya

Materi hari ini menyatukan arsitektur ERP, modul fungsional, dan konfigurasi yang sudah kita pelajari — kini dari sudut pandang risiko & pengendalian. Minggu depan kita tutup semester dengan analitik bisnis ERP.

Minggu Depan: Analitik Bisnis ERP

Balanced Scorecard untuk evaluasi kinerja ERP
Data governance & kualitas data (perluasan access control)
Keputusan berbasis data dari sistem ERP terintegrasi

Tugas

Individu

Batas: sebelum pertemuan berikutnya

Susun 1 halaman analisis risiko SoD untuk skenario perusahaan pilihan Anda, gunakan format tabel skor risiko seperti contoh di kelas.

Sampai di sini pertemuan kita hari ini tentang keamanan ERP dan sertifikasi ISACA, yang sebenarnya menjadi titik temu dari hampir seluruh perjalanan mata kuliah kita sejak awal semester — ingat kembali arsitektur ERP dan RDBMS yang sekarang kita lindungi lewat ITGC, atau modul financial dan SCM yang menjadi tempat application control bekerja setiap hari. Minggu depan kita akan membahas topik penutup mata kuliah ini, yaitu analitik bisnis dalam ERP, mencakup balanced scorecard untuk mengevaluasi kinerja implementasi, data governance sebagai perluasan prinsip access control yang baru kita pelajari, dan bagaimana perusahaan mengambil keputusan berbasis data dari sistem ERP yang sudah terintegrasi penuh. Sebagai tugas individu, saya minta Anda menyusun analisis risiko segregation of duties sepanjang satu halaman untuk skenario perusahaan pilihan Anda sendiri, boleh perusahaan nyata yang Anda kenal atau skenario fiktif, dengan menggunakan format tabel skor risiko persis seperti yang kita latih bersama di kelas hari ini. Kumpulkan sebelum pertemuan berikutnya dimulai. Terima Kasih atas partisipasi aktif Anda hari ini, sampai jumpa minggu depan.