Contoh audit sistem informasi

Pengertian Audit Sistem Informasi

Audit Sistem Informasi (Informatin System Audit) atau EDP Audit (Electronic Data Processing Audit) atau computer audit  adalah proses pengumpulan data dan pengevaluasian bukti-bukti untuk menentukan apakah suatu sistem aplikasi komputerisasi telah menetapkan dan menerapkan sistem pengendalian internal yang memadai, semua aktiva dilindungi dengan baik atau disalahgunakan serta terjaminnya integritas data, keandalan serta efektifitas dan efesiensi penyelenggaraan sistem informasi berbasis komputer (Ron Weber 1999:10).

Jenis-jenis Audit Sistem Informasi

A.    Audit Laporan Keuangan (Financial Statement Audit)

Adalah audit yang dilakukan untuk mengetahui tingkat kewajaran laporan keuangan yang disajikan oleh perusahaan (apakah sesuai dengan standar akuntansi keuangan serta tidak menyalahi uji materialitas). Apabila sistem akuntansi organisasi yang diaudit merupakan sistem akuntansi berbasis komputer, maka dilakukan audit terhadap sistem informasi akuntansi apakah proses/mekanisme sistem dan program komputer telah sesuai, pengendalian umum sistem memadai dan data telah substantif.

B.     Audit Operasional (Operational Audit)

Audit terhadap aplikasi komputer terbagi menjadi tiga jenis, antara lain:

-          Post implementation Audit (Audit setelah implementasi)

Auditor memeriksa apakah sistem-sistem aplikasi komputer yang telah diimplementasikan pada suatu organisasi/perusahaan telah sesuai dengan kebutuhan penggunanya (efektif) dan telah dijalankan dengan sumber daya optimal (efisien). Auditor mengevaluasi apakah sistem aplikasi tertentu dapat terus dilanjutkan karena sudah berjalan baik dan sesuai dengan kebutuhan usernya atau perlu dimodifikasi dan bahkan perlu dihentikan.

-          Concurrent audit (audit secara bersama)

Auditor menjadi anggota dalam tim pengembangan sistem (system development team). Mereka membantu tim untuk meningkatkan kualitas pengembangan sistem yang dibangun oleh para sistem analis, designer dan programmer dan akan diimplementasikan. Dalam hal ini auditor mewakili pimpinan proyek dan manajemen sebagai quality assurance.

-          Concurrent Audits (audit secara bersama-sama)

Auditor mengevaluasi kinerja unit fngsional atau fungsi sistem informasi (pusat/instalasi komputer) apakah telah dikelola dengan baik, apakah kontrol dalam pengembangan sistem secara keseluruhan sudah dilakukan dengan baik, apakah sistem komputer telah dikelola dan dioperasikan dengan baik.

Dalam mengaudit sistem komputerisasi yang ada, audit ini dilakukan dengan mengevaluasi pengendalian umum dari sistem-sistem komputerisasi yang sudah diimplementasikan pada perusahaan tersebut secara keseluruhan. Saat melakuan pengujian-pengujian digunakan bukti untuk menarik kesimpulan dan memberikan rekomendasi kepada manajemen tentang hal-hal yang berhubungan dengan efektifitas, efisiensi, dan ekonomisnya sistem.

Tujuan Audit Sistem Informasi

Tujuan audit sistem informasi menurut Ron Weber (1999:11-13) secara garis besar terbagi menjadi lima tahap, yaitu:

A.    Pengamanan Aset

Aset informasi suatu perusahaan seperti perangkat keras (hardware), perangkat lunak (software), sumber daya manusia, file data harus dijaga oleh suatu sistem pengendalian intern yang baik agar tidak terjadi penyalahgunaan aset perusahaan. Dengan demikian sistem pengamanan aset merupakan suatu hal yang sangat penting yang harus dipenuhi oleh perusahaan.

B.     Menjaga integritas data

Integritas data (data integrity) adalah salah satu konsep dasar sistem inforamasi. Data memeiliki atribut-atribut tertentu seperti: kelengkapan, keberanaran, dan keakuratan. Jika integritas data tidak terpalihara, maka suatu perusahaan tidak akan lagi memilki hasil atau laporan yang beanr bahkan perusahaan dapat menderita kerugian

C.     Efektifitas Sistem

Efektifitas sistem informasi perusahaan melikiki peranan pentigndalam proses pemgambilan keputusan. Suatu sistem informasi dapat dikatakan efektif bila sistem informasi tersebut telah sesuai dengan kebutuhan user

D.    Efisiensi Sistem

Efisiensi menjadi hal yang sangat penting ketika suatu komputer tidak lagi memilki kapasitas yang memadai atau harus mengevaluasi apakah efisiensi sistem masih memadai atau harus menambah sumber daya, karena suatu sistem dapat dikatakan efisien jika sistem informasi dapat memenuhi kebutuhan user dengan sumber daya informasi yang minimal.

E.     Ekonomis

Ekonomis mencerminkan kalkulasi untuk rugi ekonomi (cost/benefit) yang lebih bersifat kuantifikasi nilai moneter (uang). Efisiensi berarti sumber daya minimum untuk mencapai hasil maksimal. Sedangkan ekonomis lebih bersifat pertimbangan ekonomi.

CONTOH KASUS AUDIT SISTEM INFORMASI

Studi Kasus: Pencurian Dana dengan Kartu ATM Palsu
Jakarta (ANTARA News) – Sekitar 400 juta yen (Rp.44 miliar) deposito di enam bank di Jepang telah ditarik oleh kartu-kartu ATM palsu setelah informasi pribadi nasabah dibocorkan oleh sebuah perusahaan sejak Desember 2006, demikian harian Yomiuri Shimbun dalam edisi onlinenya, Rabu.

Bank-bank yang kini sedang disidik polisi adalah Bank Chugoku yang berbasis di Okayama, North Pasific Bank, Bank Chiba Kogyo, Bank Yachiyo, Bank Oita, dan Bank Kiyo. Polisi menduga para tersangka kriminal itu menggunakan teknik pemalsuan baru untuk membuat kartu ATM tiruan yang dipakai dalam tindak kriminal itu. Pihak Kepolisian Metropolitan Tokyo meyakini kasus pemalsuan ATM ini sebagai ulah komplotan pemalsu ATM yang besar sehingga pihaknya berencana membentuk gugus tugas penyelidikan bersama dengan satuan polisi lainnya.

Berdasarkan sumber kepolisian dan bank-bank yang dibobol, sekitar 141 juta yen tabungan para nasabah telah ditarik dari 186 nomor rekening di North Pasific Bank antara 17–23 Oktober 2007. Para nasabah bank-bank itu sempat mengeluhkan adanya penarikan-penarikan dana dari rekening mereka tanpa sepengetahuan mereka. Kejadian serupa ditemukan di bank Chugoku dan Bank Chiba. Dalam semua perkara itu, dana tunai telah ditarik dari gerai-gerai ATM di Tokyo dan Daerah Administratif Khusus Osaka, yang letaknya jauh dari tempat para pemilik rekening yang dibobol. Polisi yakin peristiwa serupa menimpa bank-bank lainnya.

Uniknya, tidak satu pun dari para pemilik rekening itu kehilangan kartu ATM-nya. Dalam kasus Bank Oita misalnya, salah satu kartu ATM telah digunakan untuk menarik dana meskipun pemilik rekening tidak memiliki kartu ATM. Para pemilik rekening juga diketahui tinggal di tempat yang berbeda-beda dan tidak menggunakan kartu-kartu ATM yang sama. Hal ini menunjukkan bahwa teknik “skimming” atau “pembacaan sepintas” tidak digunakan untuk mengakses informasi dalam ATM.

Sampai berita ini diturunkan, polisi masih menyelidiki teknik dan metode yang pelaku gunakan dalam melakukan serangkaian pembobolan ATM tersebut. Namun, polisi telah berhasil menemukan satu benang merah, yaitu dimana sebagian besar pemilik rekening yang dibobol itu adalah anggota satu program yang dijalankan olah sebuah perusahaan penjual produk makanan kesehatan yang berbasis di Tokyo.

Analisa Kasus:

Dari rangkuman berita diatas, dapat ditarik beberapa kesimpulan, antara lain :

·   Pembobolan dana rekening tersebut kemungkinan besar dilakukan oleh orang dalam perusahaan atau orang dalam perbankan dan dilakukan lebih dari satu orang.

·  Karena tidak semua pemilik rekening memiliki hubungan dengan perusahaan tersebut, ada kemungkinan pembocoran informasi itu tidak dilakukan oleh satu perusahaan saja, mengingat jumlah dana yang dibobol sangat besar.

·      Modusnya mungkin penipuan berkedok program yang menawarkan keanggotaan. Korban, yang tergoda mendaftar menjadi anggota, secara tidak sadar mungkin telah mencantumkan informasi-informasi yang seharusnya bersifat rahasia.

·      Pelaku kemungkinan memanfaatkan kelemahan sistem keamanan kartu ATM yang hanya dilindungi oleh PIN.

·    Pelaku juga kemungkinan besar menguasai pengetahuan tentang sistem jaringan perbankan. Hal ini ditunjukkan dengan penggunaan teknik yang masih belum diketahui dan hampir bisa dapat dipastikan belum pernah digunakan sebelumnya.

·   Dari rangkuman berita diatas, disebutkan bahwa para pemilik yang uangnya hilang telah melakukan keluhan sebelumnya terhadap pihak bank. Hal ini dapat diartikan bahwa lamanya bank dalam merespon keluhan-keluhan tersebut juga dapat menjadi salah satu sebab mengapa kasus ini menjadi begitu besar.

Dari segi sistem keamanan kartu ATM itu sendiri, terdapat 2 kelemahan, yaitu:

1.      Kelemahan pada mekanisme pengamanan fisik kartu ATM.
 Kartu ATM yang banyak digunakan selama ini adalah model kartu ATM berbasis pita magnet. Kelemahan utama kartu jenis ini terdapat pada pita magnetnya. Kartu jenis ini sangat mudah terbaca pada perangkat pembaca pita magnet (skimmer).

2.      Kelemahan pada mekanisme pengamanan data di dalam sistem.
 Sistem pengamanan pada kartu ATM yang banyak digunakan saat ini adalah dengan penggunaan PIN (Personal Identification Number) dan telah dilengkapi dengan prosedur yang membatasi kesalahan dalam memasukkan PIN sebanyak 3 kali yang dimaksudkan untuk menghindari brute force. Meskipun dapat dikatakan cukup aman dari brute force, mekanisme pengaman ini akan tidak berfungsi jika pelaku telah mengetahui PIN korbannya.

Saran:

·    Melakukan perbaikan atau perubahan sistem keamanan untuk kartu ATM. Dengan penggunaan kartu ATM berbasis chip misalnya, yang dirasa lebih aman dari skimming. Atau dengan penggunaan sistem keamanan lainnya yang tidak bersifat PIN, seperti pengamanan dengan sidik jari, scan retina, atau dengan penerapan tanda tangan digital misalnya.

·     Karena pembobolan ini sebagiannya juga disebabkan oleh kelengahan pemilik rekening, ada baiknya jika setiap bank yang mengeluarkan kartu ATM memberikan edukasi kepada para nasabahnya tentang tata cara penggunaan kartu ATM dan bagaimana cara untuk menjaga keamanannya.

Daftar Pustaka

http://www.kajianpustaka.com/2014/02/audit-sistem-informasi.html

http://iwanasmadi.blogspot.co.id/

COBIT (Control Objectives for Information and related Technology)

Definisi COBIT

COBIT (Control Objectives for Information and related Technology) adalah suatu panduan standar praktek manajemen teknologi informasi dan sekumpulan dokumentasi best practices untuk tata kelola TI yang dapat membantu auditor, manajemen, dan pengguna untuk menjembatani pemisah (gap) antara risiko bisnis, kebutuhan pengendalian, dan permasalahan-permasalahan teknis.

COBIT dikembangkan oleh IT Governance Institute (ITGI), yang merupakan bagian dari Information Systems Audit and Control Association (ISACA). COBIT memberikan arahan (guidelines) yang berorientasi pada bisnis, dan karena itu business process owners dan manajer, termasuk juga auditor dan pengguna, diharapkan dapat memanfaatkan arahan ini dengan sebaik-baiknya.

Menurut Campbell, COBIT merupakan suatu cara untuk menerapkan tata kelola TI. COBIT berupa kerangka kerja yang harus digunakan oleh suatu organisasi bersamaan dengan sumber daya lainnya untuk membentuk suatu standar yang umum berupa panduan pada lingkungan yang lebih spesifik. Secara terstruktur, COBIT terdiri dari seperangkat control objectives untuk bidang Teknologi Informasi, dirancang untuk memudahkan tahapan-tahapan audit bagi auditor.

Sejarah Perkembangan COBIT

            COBIT muncul pertama kali pada tahun 1996 yaitu COBIT versi 1 yang menekankan pada bidang audit, COBIT versi 2 pada tahun 1998 yang menekankan pada tahap pengendalian, COBIT versi 3 pada tahun 2000 yang berorientasi kepada manajemen, COBIT versi 4 pada bulan Desember 2005 dan versi 4.1 pada bulan Mei 2007 lebih mengarah pada tata kelola TI, dan terakhir COBIT versi 5 pada bulan Juni 2012 yang menekankan tata kelola TI pada perusahaan.

Tujuan dan Manfaat

Dalam kerangka tata kelola perusahaan (corporate governance), tata kelola TI menjadi semakin utama dan merupakan bagian tidak terpisahkan terhadap kesuksesan penerapan tata kelola perusahaan secara menyeluruh. Tata kelola TI memastikan adanya pengukuran yang efisien dan efektif terhadap peningkatan proses bisnis perusahaan melalui struktur yang menghubungkan proses-proses TI, sumberdaya TI dan informasi ke arah dan tujuan strategis perusahaan.

Lebih jauh lagi, tata kelola TI memadukan dan melembagakan best practices dari proses perencanaan, pengelolaan, penerapan, pelaksanaan dan pendukung, serta pengawasan kinerja TI, untuk memastikan informasi perusahaan dan teknologi yang terkait lainnya benar-benar menjadi pendukung bagi pencapaian sasaran perusahaan. Dengan keterpaduan tersebut, diharapkan perusahaan mampu mendayagunakan informasi yang dimilikinya sehingga dapat mengoptimumkan segala sumber daya dan proses bisnis mereka untuk menjadi lebih kompetitif.

Dengan adanya tata kelola TI, proses bisnis perusahaan akan menjadi jauh lebih transparan, dapat dipertanggungjawabkan, serta akuntabilitas tiap fungsi atau individu semakin jelas. Tata kelola TI bukan hanya penting bagi teknis TI saja, direksi dan bahkan komisaris, yang tanggung  jawabnya terhadap investasi dan pengelolaan risiko perusahaan, adalah pihak utama yang harus memastikan bahwa perusahaannya memiliki tata kelola TI. Dengan demikian keuntungan optimum investasi TI tercapai dan sekaligus memastikan semua potensi risiko investasi TI telah diantisipasi dan dapat terkendali dengan baik. Menurut COBIT, keputusan bisnis yang baik harus didasarkan pada pengetahuan yang berasal dari informasi yang relevan, komprehensif, dan tepat waktu. Informasi seperti itu dihasilkan oleh sistem informasi yang memenuhi 7 kriteria: efektivitas, efisiensi, kerahasiaan, keterpaduan, ketersediaan, kesesuaian terhadap rencana atau aturan, dan keakuratan informasi yang dihasilkan. Kunci utamanya adalah untuk mengelola bisnis yang menguntungkan pada kondisi lingkungan yang berubah pesat.

Adapun tujuan dari COBIT ini sendiri adalah :

• Diharapkan dapat membantu menemukan berbagai kebutuhan manajemen yang berkaitan dengan TI,
• Agar dapat mengoptimalkan investasi TI,
• Menyediakan ukuran atau kriteria ketika terjadi penyelewengan atau penyimpangan. Adapun manfaat jika tujuan tersebut tercapai adalah :
  •  Dapat membantu manajemen dalam pengambilan keputusan,
  •  Dapat mendukung pencapaian tujuan bisnis, dan
  •   Dapat meminimalisasikan adanya tindak kecurangan/ fraud yang merugikan perusahaan yang bersangkutan.

Kerangka Kerja COBIT

Kerangka kerja COBIT terdiri dari tujuan pengendalian tingkat tinggi dan struktur klasifikasi secara keseluruhan, yang pada dasarnya terdiri tiga tingkat usaha tata kelola TI yang menyangkut manajemen sumber daya TI. Yaitu dari bawah, kegiatan tugas (Activities and Tasks) merupakan kegiatan yang dilakukan secara terpisah yang diperlukan untuk mencapai hasil yang dapat diukur. Dan selanjutnya kumpulan Activity and Tasks dikelompokkan ke dalam proses TI. Proses-proses TI yang memiliki permasalahan tata kelola TI yang sama akan dikelompokkan ke dalam domain. Maka konsep kerangka kerja dapat dilihat dari tiga sudut pandang, meliputi : Information Criteria, IT Resources, IT Processes, seperti terlihat pada gambar dibawah ini :

Kubus COBIT

Lingkup kriteria informasi (Information Criteria) yang menjadi perhatian dalam COBIT adalah:

• Effectiveness : Menitikberatkan pada sejauh mana efektivitas informasi dikelola dari data-data yang diproses oleh sistem informasi yang dibangun.
• Efficiency :Menitikberatkan pada sejauh mana efisiensi investasi terhadap informasi yang diproses oleh sistem.
• Confidentiality : Menitikberatkan pada pengelolaan kerahasiaan informasi secara hierarkis.
•  Integrity : Menitikberatkan pada integritas data/informasi dalam sistem informasi.
• Availability : Menitikberatkan pada ketersediaan data/informasi dalam sistem informasi.
• Compliance : Menitikberatkan pada kesesuaian data/informasi dalam sistem informasi.
•  Reliability : Menitikberatkan pada kemampuan/ketangguhan sistem informasi dalam pengelolaan data/informasi.

Fokus terhadap pengelolaan sumber daya teknologi informasi dalam COBIT adalah pada:

• Applications (Aplikasi)
• Information (Informasi)
• Infrastructure (Infrastruktur)
• People (Manusia/Pengguna)

Empat Domain COBIT

Dalam memberikan informasi kepada dunia usaha sesuai dengan bisnis dan kebutuhan tata kelola teknologi informasi, model proses COBIT terdapat 4 (empat) domain yang di dalamnya terdapat 34 proses dan 318 control objectives, serta 1547 control practitices. Sehingga domain tersebut dapat diidentifikasikan yang terdiri dari 34 proses, yaitu (ITGI, 2007) :

Domain 1: Plan and Organize (PO) -Perencanaan dan Organisasi

Yaitu mencakup masalah mengidentifikasikan cara terbaik TI untuk memberikan kontribusi yang maksimal terhadap pencapaian tujuan bisnis organisasi. Domain ini menitikberatkan pada proses perencanaan dan penyelarasan strategi TI dengan strategi organisasi. Domain PO terdiri dari 10 control objectives, meliputi :

• PO1 : Define a strategic IT plan (menentukan perencanaan strategi TI)
• PO2 : Define the information architecture (Menentukan Arsitektur Informasi)
• PO3 : Determine technological direction (Menentukan Arahan Teknologi)
• PO4 : Define the IT processes, organization and relationships (Menentukan proses-proses TI, Organisasi, dan Relasinya)
• PO5 : Manage the IT investment (Mengelola Investasi TI)
• PO6 : Communicate management aims and direction (Mengkomunikasikan Tujuan dan  Arah Manajemen)
• PO7 : Manage IT human resources (Mengelola SDM TI)
• PO8 : Manage quality human resource (Mengelola Mutu SDM)
• PO9 : Asses and manage IT risks (Menjamin dan Mengelola Risiko-risiko TI)
• PO10 : Manage projects (Mengelola Proyek)

Domain 2: Acquire and Implement (AI) – Akuisisi dan Implementasi

Domain ini menitikberatkan pada proses pemilihan, pengadaan dan penerapan TI yang digunakan. Pelaksanaan strategi yang telah ditetapkan, harus disertai solusi-solusi TI yang sesuai solusi TI tersebut diadakan, diimplementasikan dan diintegrasikan ke dalam proses bisnis organisasi. Dimana domain AI terdiri dari 7 control objectives, meliputi :

• AI1 : Identify automated solutions (Mengidentifikasi otomasi solusi)
• AI2 : Acquire and maintain application software (Memperoleh dan memelihara aplikasi perangkat lunak)
• AI3 : Acquire and maintain technology infrastructure (Memperoleh dan memelihara teknologi infrastruktur)
• AI4 : Enable operation and use (Mengaktifkan dan menggunakan operasi)
• AI5 : Procure IT resources (Mendapatkan Sumber Daya TI)
• AI6 : Manage changes (Mengatur Perubahan)
• AI7 : Install and accredit solutions and changes (Memasang dan mengakreditasi solusi dan perubahan)

Domain 3: Deliver and Support (DS) – Penyampaian dan Dukungan

Domain ini menitikberatkan pada proses pelayanan TI dan dukungan teknisnya yang meliputi hal keamanan sistem, kesinambungan layanan, pelatihan dan pendidikan untuk pengguna, dan pengelolaan data yang sedang berjalan. Dimana domain DS terdiri dari 13 control objectives, meliputi :

• DS1 : Define and manage service levels (Menentukan dan mengelola tingkatan layanan)
• DS2 : Manage third-party services (Mengelola layanan pihak ketiga)
• DS3 : Manage performance and capacity (Mengelola kinerja dan kemampuan)
• DS4 : Ensure continuous service (Memastikan keberlanjutan layanan)
• DS5 : Ensure systems security (memastikan keamanan sistem)
• DS6 : Identify and allocate costs (Mengidentifikasi dan mengalokasikan biaya)
• DS7 : Educate and train users (Memberikan Diklat kepada para pengguna)
• DS8 : Manage service desk and incidents (Mengelola layanan standar dan khusus)
• DS9 : Manage the configuration (Mengelola Konfigurasi)
• DS10 : Manage problems (Mengelola permasalahan)
• DS11 : Manage data (Mengelola Data)
• DS12 : Manage the physical environment (Mengelola lingkungan fisik)
• DS13 : Manage operations (Mengelola operasi-operasi)

Domain 4: Monitor and Evaluate (ME) – Pemantauan dan Evaluasi

Domain ini menitikberatkan pada proses pengawasan pengelolaan TI pada organisasi seluruh kendali-kendali yang diterapkan setiap proses TI harus diawasi dan dinilai kelayakannya secara berkala. Domain ini focus pada masalah kendali-kendali yang diterapkan dalam organisasi, pemeriksaan internal dan eksternal. Dimana domain ME terdiri dari 4 control objectives, meliputi :

• ME1 : Monitor and evaluate IT performance (Memantau dan mengevaluasi kinerja TI)
• ME2 : Monitor and evaluate internal control  (Memantau dan mengevaluasi kendali internal)
• ME3 : Ensure regulatory compliance (Memastikan kepatuhan/kesesuaian terhadap aturan)
• ME4 : Provide IT Governance (Menyediakan tata kelola TI)

Maka dengan melakukan kontrol terhadap 34 control objectives tersebut, organisasi dapat memperoleh keyakinan akan kelayakan tata kelola dan kendali yang diperlukan untuk lingkungan TI. Karena COBIT dirancang beriorientasi bisnis agar bisa digunakan banyak pihak, tetapi lebih penting lagi adalah sebagai panduan yang komprehensif bagi manajemen dan pemilik bisnis proses. Kebutuhan bisnis akan tercermin dari adanya kebutuhan informasi. Dan informasi itu sendiri perlu memenuhi kriteria pengendalian tertentu, untuk mencapai tujuan bisnis.

Kelebihan COBIT :

• Efektif dan Efisien Berhubungan dengan informasi yang relevan dan berkenaan dengan proses bisnis, dan sebaik mungkin informasi dikirim tepat waktu, benar, konsisten, dan berguna.
• Rahasia Proteksi terhadap informasi yang sensitif dari akses yang tidak bertanggung jawab.
• Integritas Berhubungan dengan ketepatan dan kelengkapan dari sebuah informasi.
• Ketersediaan Berhubungan dengan tersedianya informasi ketika dibutuhkan oleh proses bisnis sekarang dan masa depan.
• Kepatuhan Nyata Berhubungan dengan penyediaan informasi yang sesuai untuk manajemen.

Kekurangan COBIT :

• COBIT hanya memberikan panduan kendali dan tidak memberikan panduan implementasi operasional. Dalam memenuhi kebutuhan COBIT dalam lingkungan operasional, maka perlu diadopsi berbagai framework tata kelola operasional seperti ITIL (The Information Technology Infrastructure Library) yang merupakan sebuah kerangka pengelolaan layanan TI yang terbagi ke dalam proses dan fungsi.
• Kerumitan penerapan. Apakah semua control objective dan detailed control objective harus diadopsi, ataukah hanya sebagian saja? Bagaimana memilihnya?
• COBIT hanya berfokus pada kendali dan pengukuran.
•  COBIT kurang dalam memberikan panduan keamanan namun memberikan wawasan umum atas proses TI pada organisasi daripada ITIL misalnya.

Sumber: https://www.academia.edu/9709688/TUGAS_MATA_KULIAH_AUDIT_DAN_EVALUASI_TEKNOLOGI_INFORMASI_COBIT_Control_Objectives_for_Information_and_related_Technology_Chief_Information_Officer_Magister_Teknologi_Informasi