Audit Sistem Informasi

KERANGKA RESIKO IT

 

Bentuk dokumen ini bagian dari inisiatif Risiko IT ISACA, yang didedikasikan untuk membantu perusahaan mengelola IT terkait risiko. Pengalaman kolektif dari tim global praktisi dan ahli, dan praktek-praktek yang ada dan muncul dan metodologi manajemen risiko TI yang efektif, telah berkonsultasi dalam pengembangan kerangka Risiko TI. Risiko TI adalah kerangka kerja didasarkan pada seperangkat prinsip panduan dan menampilkan proses bisnis dan pedoman manajemen yang sesuai dengan prinsip-prinsip ini.

Kerangka Risiko TI didasarkan pada prinsip-prinsip manajemen risiko perusahaan (ERM) standar / kerangka kerja seperti COSO ERM dan AS / NZS 43.603 (segera dilengkapi atau diganti dengan ISO 31000) dan memberikan wawasan tentang bagaimana menerapkan panduan ini untuk IT. Risiko TI berlaku konsep yang terbukti dan diterima secara umum dari standar-standar utama / kerangka kerja, serta konsep utama dari standar terkait manajemen risiko TI lainnya. Namun, terminologi yang digunakan dalam Risiko TI kadang-kadang berbeda dengan yang digunakan dalam standar lainnya, sehingga untuk orang-orang profesional yang lebih akrab dengan standar atau kerangka kerja manajemen risiko lain kami telah menyediakan perbandingan luas antara Risiko IT dan sejumlah standar manajemen risiko yang ada besar di Risiko TI Praktisi Guide. Risiko IT berbeda dari yang sudah ada IT risiko dokumen panduan yang berfokus pada keamanan TI dalam Risiko TI mencakup semua aspek risiko TI.

Kerangka Risiko TI merupakan bagian dari portofolio produk ISACA pada tata kelola TI. Meskipun dokumen ini memberikan kerangka lengkap dan mandiri, itu termasuk referensi untuk COBIT. Panduan praktisi dikeluarkan untuk mendukung kerangka kerja ini membuat referensi yang luas untuk COBIT dan Val IT, dan dianjurkan bahwa manajer dan praktisi memperkenalkan diri dengan prinsip-prinsip utama dan isi dari

dua kerangka.

Seperti COBIT dan Val IT, Risiko TI bukan standar tapi kerangka, termasuk model proses dan bimbingan praktek yang baik. Ini berarti bahwa perusahaan dapat dan harus menyesuaikan komponen yang disediakan dalam rangka untuk memenuhi organisasi tertentu dan konteks.

Risiko IT

Risiko TI adalah komponen dari alam semesta keseluruhan risiko perusahaan. Risiko lainnya merupakan wajah perusahaan termasuk risiko strategis, risiko lingkungan, risiko pasar, risiko kredit, risiko operasional dan risiko kepatuhan. Di banyak perusahaan, risiko terkait TI dianggap komponen risiko operasional, misalnya, dalam industri keuangan dalam rangka Basel II. Namun, bahkan risiko strategis dapat memiliki komponen TI untuk itu, terutama di mana IT adalah enabler kunci dari inisiatif bisnis baru. Hal yang sama berlaku untuk risiko kredit, di mana miskin IT (keamanan) dapat menyebabkan peringkat kredit lebih rendah. Untuk alasan bahwa lebih baik tidak untuk menggambarkan risiko TI dengan ketergantungan hirarkis di salah satu kategori risiko lain, tapi mungkin seperti yang ditunjukkan dalam (keuangan-industri berorientasi).

Risiko TI tidak murni masalah teknis. Meskipun IT ahli subjek yang diperlukan untuk memahami dan mengelola aspek risiko TI, manajemen bisnis adalah pemangku kepentingan yang paling penting. Manajer bisnis menentukan apa kebutuhan IT lakukan untuk mendukung bisnis mereka; mereka menetapkan target untuk IT dan akibatnya bertanggung jawab untuk mengelola risiko yang terkait. Dalam Risiko TI, manajemen bisnis meliputi / peran perusahaan perusahaan, pemimpin bisnis online dan fungsi pendukung (chief financial officer [CFO], kepala kantor informasi [CIO], sumber daya manusia [SDM], dll).

Prinsip IT risiko

Risiko TI mendefinisikan, dan didirikan pada, sejumlah prinsip panduan untuk manajemen yang efektif dari risiko TI. Prinsip-prinsip ini didasarkan pada prinsip-prinsip ERM umum diterima, yang telah diterapkan pada domain IT. Risiko model proses TI dirancang dan terstruktur untuk memungkinkan perusahaan untuk menerapkan prinsip-prinsip dalam praktek dan patokan kinerja mereka.

Kerangka Risiko IT

Kerangka Risiko TI dibangun di atas prinsip-prinsip yang tercantum dalam pasal 3 dan selanjutnya berkembang menjadi sebuah model proses yang komprehensif. Kelompok model proses manajemen risiko kegiatan kunci ke sejumlah proses. Proses ini dikelompokkan ke dalam tiga domain. Model proses akan muncul akrab bagi pengguna dari COBIT dan Val IT: bimbingan substansial disediakan pada kegiatan kunci dalam setiap proses, tanggung jawab untuk proses tersebut, arus informasi antara proses dan manajemen kinerja proses.