Mengenal COBIT 2019: Isi Kerangkanya, dan Cara Memakainya Tanpa Menelan Empat Puluh Objektif Sekaligus

Pertemuan pertama kebanyakan orang dengan COBIT biasanya berupa satu tabel besar berisi empat puluh kode yang tampak seperti nomor penerbangan: EDM01, APO12, BAI06, DSS05. Reaksi yang wajar setelah melihatnya adalah menutup dokumen itu dan kembali bekerja.

Padahal kerangka ini justru dirancang untuk tidak dipakai seluruhnya. Bagian yang paling sering terlewat dari COBIT 2019 bukan isi objektifnya, melainkan mekanisme untuk memilih objektif mana yang relevan bagi organisasi Anda.

Apa itu COBIT dan siapa yang menyusunnya

COBIT adalah kerangka tata kelola dan manajemen teknologi informasi yang diterbitkan ISACA. Versi yang berlaku sekarang, COBIT 2019, adalah pembaruan atas COBIT 5 dengan perubahan utama pada satu hal: kerangkanya dibuat modular, supaya bisa disesuaikan alih-alih diterapkan seragam.

Yang membedakannya dari kerangka lain adalah cakupannya. ISO/IEC 27001 fokus pada keamanan informasi, ITIL pada manajemen layanan; COBIT berdiri di lapisan yang lebih atas dan berurusan dengan pertanyaan menyeluruh: apakah teknologi informasi di organisasi ini dikelola sedemikian rupa sehingga menopang sasarannya, dan dari mana kita tahu.

Lima domain, empat puluh objektif

Inti COBIT 2019 adalah empat puluh objektif tata kelola dan manajemen, yang dikelompokkan dalam lima domain. Satu domain berisi tata kelola, empat sisanya berisi manajemen:

Pemisahan EDM dari empat domain lainnya bukan sekadar penataan. Ia menegaskan bahwa tata kelola dan manajemen adalah dua pekerjaan berbeda dengan pelaku berbeda — hal yang dibahas lebih jauh di tata kelola IT.

Design factor: bagian yang membuat COBIT bisa dipakai

Menerapkan empat puluh objektif sekaligus tidak realistis untuk organisasi mana pun, dan COBIT 2019 memang tidak memintanya. Kerangkanya menyediakan sebelas design factor — faktor yang dipakai untuk menentukan objektif mana yang perlu diprioritaskan.

Faktor-faktor itu mencakup hal seperti strategi organisasi, profil risikonya, ketentuan regulasi yang mengikatnya, model penyediaan layanan IT-nya, tingkat adopsi teknologinya, serta ukuran dan sektor tempatnya beroperasi.

Hasilnya berbeda-beda, dan memang seharusnya begitu:

Mengukur tanpa terjebak mengejar angka

COBIT 2019 memakai skema pengukuran kinerja berbasis tingkat kemampuan dan kematangan. Sederhananya: untuk tiap objektif, seberapa jauh praktiknya sudah berjalan — dari yang belum ada sama sekali, sampai yang berjalan konsisten, terukur, dan terus diperbaiki.

Manfaat terbesarnya bukan angkanya, melainkan kemampuan menunjukkan perubahan. Pernyataan “pengelolaan perubahan kami naik dari tingkat 1 ke tingkat 3 dalam setahun” jauh lebih bisa dipertanggungjawabkan di depan direksi daripada “kami sudah lebih rapi sekarang”.

Kesalahan penerapan yang paling sering terjadi

Dari pendampingan yang kami kerjakan, empat pola berikut paling sering membuat penerapan COBIT berhenti di tengah jalan:

1. Mengadopsi seluruh objektif sekaligus. Melewatkan tahap design factor membuat pekerjaannya berkali lipat lebih besar dari yang diperlukan, dan biasanya berhenti sebelum ada satu pun yang tuntas.
2. Menyerahkannya sepenuhnya ke bagian IT. Domain EDM berisi keputusan yang memang bukan wewenang bagian IT. Bila direksi tidak terlibat, domain itu akan terisi dokumen tanpa keputusan di belakangnya.
3. Menyusun dokumen tanpa mengubah praktik. Kebijakan yang lengkap tapi tidak dijalankan akan terlihat jelas pada pemeriksaan pertama, karena yang ditanyakan adalah bukti pelaksanaannya.
4. Berhenti setelah penilaian awal. Penilaian kondisi saat ini adalah bahan untuk menyusun rencana perbaikan. Bila berhenti di situ, yang dihasilkan hanya potret keadaan — berguna sekali, lalu usang.

Menempatkan COBIT bersama kerangka lain

Pertanyaan yang hampir selalu muncul: kalau sudah menerapkan ISO 27001, apakah COBIT masih perlu? Keduanya bekerja di lapisan berbeda dan lebih sering saling melengkapi daripada bersaing.

Urutan yang paling lazim berhasil: mulai dari yang paling mendesak. Bila yang menekan adalah kewajiban sertifikasi keamanan, dahulukan ISO 27001 — penerapannya dibahas di sistem manajemen keamanan informasi. Bila yang menekan adalah pertanyaan menyeluruh dari regulator soal tata kelola, COBIT lebih tepat jadi titik awal.

Memulai secara realistis

Untuk organisasi menengah yang baru pertama kali menyentuh COBIT, urutan berikut cukup masuk akal dijalankan dalam beberapa bulan:

1. 01

   Jalankan latihan design factor

   Libatkan direksi dan pemilik proses bisnis, bukan hanya bagian IT. Keluarannya berupa daftar objektif prioritas — biasanya sepuluh sampai lima belas, bukan empat puluh.

2. 02

   Nilai kondisi sekarang untuk objektif prioritas itu saja

   Jujur apa adanya. Penilaian yang dibagusi menghasilkan rencana perbaikan yang menyasar hal yang salah.

3. 03

   Tetapkan tingkat sasaran per objektif

   Berbeda-beda sesuai kepentingannya. Tidak semua perlu tinggi, dan menuliskan alasan di balik tiap sasaran akan sangat membantu saat ditanya pemeriksa.

4. 04

   Susun rencana perbaikan dengan pemilik dan tenggat

   Tanpa nama orang dan tanggal, rencana perbaikan berubah menjadi daftar harapan.

5. 05

   Tinjau berkala dan laporkan ke direksi

   Tinjauan setengah tahunan sudah memadai untuk sebagian besar organisasi. Yang penting jejaknya berlanjut, karena jejak itulah yang diperiksa nanti.

Penutup

COBIT paling berguna ketika diperlakukan sebagai daftar pertanyaan yang tertata, bukan sebagai standar yang harus dipenuhi seluruhnya. Empat puluh objektifnya adalah kemungkinan, bukan kewajiban — dan tahap yang menentukan justru tahap memilih, yang paling sering dilewati orang karena terburu-buru masuk ke daftar besarnya.

Bila ingin mencobanya dalam skala kecil: ambil satu objektif yang paling dekat dengan masalah Anda sekarang — misalnya pengelolaan perubahan, bila gangguan sering muncul setelah pembaruan sistem — lalu nilai kondisinya apa adanya dan susun langkah perbaikannya. Satu objektif yang benar-benar dikerjakan lebih bernilai daripada empat puluh yang hanya didokumentasikan.