Ketergantungan perusahaan terhadap teknologi membuat keamanan sistem tidak lagi menjadi urusan teknis departemen IT semata. Sistem akuntansi, cloud, aplikasi penjualan, penggajian, database pelanggan, hingga platform perpajakan kini saling terhubung. Ketika salah satu sistem mengalami gangguan, kebocoran, atau akses tidak sah, dampaknya dapat meluas ke operasional, keuangan, reputasi, dan kepatuhan. Karena itu, audit IT perusahaan menjadi langkah penting untuk mengetahui apakah teknologi yang digunakan benar-benar aman, andal, dan mendukung tujuan bisnis.
Menurut kajian ilmiah mengenai audit teknologi informasi pada perusahaan Indonesia, audit IT membantu mengevaluasi efektivitas pengendalian, mengidentifikasi risiko, serta memberikan rekomendasi perbaikan tata kelola teknologi. Penelitian pada PT Telkom Indonesia Tbk menggunakan COBIT 2019, misalnya, menemukan adanya kontrol yang secara operasional berjalan tetapi masih memiliki kelemahan pada rancangan dan beberapa aktivitas tata kelola.
Mengapa Audit IT Perusahaan Semakin Penting?
Audit IT perusahaan pada dasarnya menilai apakah sistem informasi telah dikelola dengan pengendalian yang memadai. Pemeriksaan dapat mencakup hak akses pengguna, keamanan jaringan, pencadangan data, pengelolaan perubahan sistem, logging, pemulihan bencana, pengelolaan vendor, serta prosedur ketika terjadi insiden.
Pendekatan tersebut penting karena ancaman tidak selalu berasal dari serangan eksternal. Kesalahan konfigurasi, penggunaan kata sandi yang lemah, hak akses berlebihan, perangkat yang tidak diperbarui, atau karyawan yang tidak memahami prosedur keamanan juga dapat membuka celah.
Menurut NIST Cybersecurity Framework 2.0, organisasi perlu mengelola risiko keamanan siber sebagai bagian dari manajemen risiko organisasi. Kerangka tersebut dapat digunakan oleh organisasi dengan berbagai ukuran dan sektor untuk memahami, menilai, memprioritaskan, serta mengomunikasikan risiko keamanan siber.
Apa Saja yang Diperiksa dalam Audit Sistem?
Pemeriksaan tidak berhenti pada pertanyaan apakah perusahaan menggunakan antivirus atau firewall. Auditor perlu melihat bagaimana sistem dirancang dan bagaimana manusia menggunakannya.
Area yang dapat diperiksa meliputi pengendalian akses, pemisahan tugas, keamanan aplikasi, konfigurasi jaringan, pengelolaan perangkat, pencadangan, pemulihan data, pengelolaan perubahan, serta keberlangsungan operasional. Auditor juga dapat menilai apakah perusahaan memiliki prosedur tertulis dan bukti bahwa prosedur tersebut benar-benar dijalankan.
Kajian akademik mengenai audit IT di Indonesia menunjukkan bahwa penggunaan kerangka seperti COBIT dapat membantu perusahaan mengukur tingkat kapabilitas dan menemukan kesenjangan antara kondisi aktual dengan kondisi yang ditargetkan.
Dengan demikian, hasil audit seharusnya tidak hanya berupa daftar kelemahan. Laporan yang baik perlu menjelaskan risiko, dampak terhadap bisnis, prioritas perbaikan, dan pihak yang bertanggung jawab.
Bagaimana Keamanan Data Berkaitan dengan UU PDP?
Perusahaan yang memproses data pelanggan, karyawan, pemasok, atau pihak lainnya perlu memperhatikan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Regulasi tersebut berstatus berlaku dan mengatur kewajiban pengendali serta prosesor data pribadi.
Berdasarkan ketentuan UU PDP, pengendali data pribadi wajib melindungi dan memastikan keamanan data yang diproses. Pengendali juga wajib mencegah akses yang tidak sah dengan menggunakan sistem keamanan dan memproses data melalui sistem elektronik yang andal, aman, serta bertanggung jawab.
Implikasinya cukup praktis. Perusahaan perlu mengetahui data apa yang dikumpulkan, siapa yang dapat mengaksesnya, untuk tujuan apa data digunakan, berapa lama data disimpan, serta bagaimana perusahaan menangani insiden. Audit keamanan sistem dapat membantu menguji apakah kebijakan tersebut benar-benar diterapkan.
Apa Hubungannya dengan Regulasi Sistem Elektronik?
Selain UU PDP, perusahaan juga perlu memperhatikan PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik yang masih berstatus berlaku. Regulasi ini menjadi salah satu dasar penting dalam penyelenggaraan sistem dan transaksi elektronik di Indonesia.
Untuk lingkungan pemerintahan, standar audit keamanan bahkan telah diatur secara lebih spesifik melalui Peraturan BSSN Nomor 8 Tahun 2024 tentang Standar dan Tata Cara Pelaksanaan Audit Keamanan Sistem Pemerintahan Berbasis Elektronik. Peraturan tersebut menetapkan antara lain objek audit, pelaksana, kriteria, bukti, dan kesimpulan audit keamanan SPBE.
Meskipun ketentuan tersebut secara khusus mengatur SPBE, kerangka berpikirnya memberikan gambaran penting bagi perusahaan swasta bahwa audit keamanan perlu memiliki objek, kriteria, bukti, dan kesimpulan yang jelas.
Mengapa Coretax Membuat Keamanan Sistem Makin Relevan?
Digitalisasi perpajakan membuat hubungan antara teknologi, data, dan kepatuhan bisnis semakin dekat. Coretax DJP mulai diimplementasikan sejak 1 Januari 2025 sebagai sistem inti administrasi perpajakan untuk pelaksanaan hak dan pemenuhan kewajiban perpajakan.
Berdasarkan PMK Nomor 81 Tahun 2024 tentang Ketentuan Perpajakan dalam Rangka Pelaksanaan Sistem Inti Administrasi Perpajakan, administrasi perpajakan mencakup proses seperti pendaftaran, pembayaran, pelaporan, serta penerbitan dan pengiriman dokumen elektronik. Regulasi tersebut masih berlaku dan telah mengalami beberapa perubahan, termasuk perubahan pada 2026.
Kondisi tersebut membuat perusahaan perlu menjaga kualitas dan keamanan data yang digunakan dalam proses perpajakan. Kesalahan hak akses, kehilangan dokumen, atau kelemahan integrasi sistem dapat mengganggu proses administrasi. Pada titik ini, audit IT perusahaan dapat menjadi bagian dari mitigasi risiko kepatuhan.
Kapan Perusahaan Perlu Melakukan Audit IT?
Audit sebaiknya dilakukan secara berkala, bukan hanya setelah perusahaan mengalami insiden. Penilaian juga layak dilakukan ketika perusahaan menerapkan sistem baru, memindahkan data ke cloud, melakukan integrasi aplikasi, menggunakan vendor teknologi baru, melakukan ekspansi, atau mengalami perubahan proses bisnis.
NIST menekankan bahwa pengelolaan risiko keamanan perlu terintegrasi dengan manajemen risiko organisasi dan dilakukan secara berkelanjutan.
Perusahaan dapat menggunakan kerangka COBIT, NIST, ISO 27001, atau kombinasi beberapa pendekatan sesuai kebutuhan. Tidak ada satu kerangka yang otomatis cocok untuk semua organisasi. Auditor perlu menyesuaikan pemeriksaan dengan ukuran perusahaan, jenis data, sektor usaha, sistem yang digunakan, dan tingkat risikonya.
Di Mana Konsultan Pajak Dapat Membantu?
Audit IT tidak menggantikan fungsi konsultan pajak, begitu pula sebaliknya. Namun, keduanya dapat saling melengkapi ketika sistem perusahaan menyimpan dan memproses data perpajakan.
Konsultan pajak dapat membantu menilai proses dari sisi kepatuhan, termasuk bagaimana data transaksi dikumpulkan, direkonsiliasi, dan digunakan dalam administrasi pajak. Sementara auditor TI berfokus pada keamanan, pengendalian, keandalan, dan tata kelola sistem.
Pendekatan lintas fungsi ini menjadi semakin relevan setelah implementasi Coretax. Perusahaan dapat melakukan reviewterhadap alur data dari sistem internal menuju proses administrasi perpajakan sehingga risiko kesalahan maupun kelemahan pengendalian dapat ditemukan lebih awal. PMK 81 Tahun 2024 sendiri menempatkan teknologi informasi dan basis data sebagai bagian dari pembaruan administrasi perpajakan.
Baca Juga Lainnya : Audit Laporan Keuangan Perusahaan
FAQ’S
Apakah audit IT hanya diperlukan perusahaan besar?
Tidak. Perusahaan kecil dan menengah juga memiliki risiko keamanan. Lingkup audit dapat disesuaikan dengan ukuran, sistem, data, dan tingkat risiko perusahaan.
Apakah audit IT sama dengan penetration test?
Tidak. Penetration test menguji kemampuan menemukan dan mengeksploitasi kelemahan tertentu. Audit IT memiliki cakupan lebih luas, termasuk tata kelola, prosedur, kontrol, akses, keamanan, dan kepatuhan.
Apakah audit IT dapat memastikan perusahaan tidak akan diretas?
Tidak. Audit tidak memberikan jaminan bahwa serangan tidak akan terjadi. Tujuannya adalah menemukan kelemahan dan membantu perusahaan menurunkan risiko.
Apakah keamanan data pribadi termasuk dalam audit?
Dapat termasuk, terutama ketika sistem memproses data pribadi. UU PDP mewajibkan pengendali data menjaga keamanan dan mencegah akses tidak sah terhadap data pribadi.
Kesimpulan
Audit IT perusahaan bukan sekadar pemeriksaan perangkat dan jaringan. Audit merupakan instrumen tata kelola untuk memastikan teknologi, manusia, prosedur, dan data bekerja dalam pengendalian yang dapat dipertanggungjawabkan. Kebutuhan tersebut semakin kuat ketika perusahaan menghadapi kewajiban pelindungan data berdasarkan UU PDP dan semakin bergantung pada sistem elektronik, termasuk dalam administrasi perpajakan melalui Coretax DJP.
Perusahaan yang melakukan audit secara berkala dapat mengetahui kelemahan sebelum berkembang menjadi gangguan operasional atau masalah kepatuhan. Dengan menggabungkan audit IT, penguatan keamanan data, serta peninjauan aspek perpajakan, manajemen memiliki dasar yang lebih kuat untuk mengendalikan risiko digital.
Rekomendasi
Baca artikel + minta review awal serta hubungi kami untuk menilai kesiapan sistem, keamanan data, dan aspek kepatuhan perusahaan secara lebih menyeluruh.