Ada satu pertanyaan yang cukup andal untuk mengetahui apakah sebuah organisasi punya tata kelola IT atau tidak. Pertanyaannya sederhana: siapa yang berwenang memutuskan sebuah sistem boleh berhenti dipakai?
Di organisasi yang tata kelolanya jalan, jawabannya keluar dalam satu kalimat, lengkap dengan nama jabatannya. Di organisasi yang belum, jawabannya biasanya berupa keheningan sejenak lalu: “tergantung sistem yang mana, dan biasanya dibahas dulu di rapat.”
Tata kelola dan manajemen bukan dua nama untuk hal yang sama
Keduanya sering dipakai bergantian, padahal jelas berbeda pekerjaannya. Cara paling ringkas membedakannya: tata kelola memutuskan arah dan batas, manajemen menempuh jalannya.
| Tata kelola IT | Manajemen IT | |
|---|---|---|
| Pertanyaan utamanya | Apa yang harus dicapai, dan siapa yang berwenang memutuskan? | Bagaimana mencapainya? |
| Yang menjalankan | Direksi dan pemilik proses bisnis | Kepala IT dan timnya |
| Contoh keputusan | Berapa besar risiko yang boleh diambil; sistem mana yang kritis | Perangkat mana yang dibeli; kapan pemeliharaan dijadwalkan |
| Ukuran keberhasilan | IT menopang sasaran organisasi | Layanan berjalan sesuai target |
Konsekuensi dari pembagian ini sering mengejutkan: tata kelola IT bukan pekerjaan bagian IT. Bagian IT menjalankan dan melapor, tetapi yang memutuskan seberapa besar risiko yang boleh ditanggung organisasi adalah pihak yang menanggung akibatnya — yaitu direksi.
Gejala organisasi yang belum punya tata kelola IT
Jarang ada yang menyadarinya sebagai “masalah tata kelola”. Yang terasa adalah gejalanya, dan gejalanya cukup khas:
- Setiap keputusan diperdebatkan dari nol. Tidak ada acuan sebelumnya, sehingga pertanyaan yang sama dibahas ulang tiap kali muncul.
- Tidak jelas siapa pemilik tiap sistem. Saat terjadi gangguan, waktu terbanyak habis untuk mencari siapa yang berhak memutuskan, bukan untuk memperbaiki.
- Belanja IT muncul mendadak. Pengadaan diajukan sebagai reaksi atas masalah yang sedang terjadi, bukan sebagai bagian dari rencana.
- Tidak ada yang tahu kondisi sebenarnya. Pertanyaan sederhana seperti “berapa sistem yang kita punya dan mana yang paling kritis” tidak bisa dijawab tanpa rapat.
- Temuan audit berulang tiap tahun. Yang sama, dengan janji perbaikan yang juga sama.
Butir terakhir yang paling sering menjadi pemicu. Temuan yang berulang menandakan perbaikannya tidak pernah punya pemilik — ada yang mengerjakan sesaat, lalu perhatiannya berpindah ke hal lain, dan tahun berikutnya temuannya kembali.
Empat komponen minimum
Tata kelola IT sering terdengar berat karena dibayangkan sebagai proyek besar dengan dokumen setebal buku. Untuk organisasi berukuran menengah, empat hal berikut sudah membentuk dasarnya — dan tidak satu pun menuntut struktur organisasi baru.
- 01
Kejelasan wewenang keputusan
Tertulis, siapa berwenang atas apa: menyetujui belanja di atas nilai tertentu, mengizinkan perubahan pada sistem kritis, menerima risiko yang tidak bisa ditutup. Satu halaman biasanya cukup, dan halaman itu menghilangkan sebagian besar kebuntuan rapat.
- 02
Daftar aset dengan pemiliknya
Bukan sekadar daftar perangkat, melainkan daftar sistem beserta nama orang yang bertanggung jawab atas masing-masing. Kolom pemilik inilah yang paling sering kosong, dan paling sering dibutuhkan justru saat keadaan darurat.
- 03
Cara menangani risiko yang disepakati
Bagaimana risiko dicatat, siapa yang menilai, dan siapa yang boleh menyatakan sebuah risiko diterima apa adanya. Menerima risiko adalah keputusan yang sah — asalkan diambil sadar oleh orang yang berwenang, bukan terjadi karena tidak ada yang memutuskan.
- 04
Laporan berkala ke direksi
Ringkas, teratur, dan berisi hal yang bisa ditindaklanjuti: status sistem kritis, insiden yang terjadi, risiko yang masih terbuka. Laporan inilah yang mengubah IT dari kotak hitam menjadi sesuatu yang bisa diawasi.
Kerangka yang bisa dipakai
Tidak perlu menyusun semuanya dari nol. Ada kerangka yang sudah mapan, dan masing-masing menjawab persoalan yang berbeda:
| Kerangka | Menjawab | Cocok ketika |
|---|---|---|
| COBIT | Tata kelola dan manajemen teknologi informasi secara menyeluruh | Perlu kerangka lengkap yang bisa dipetakan ke pertanyaan auditor |
| ISO/IEC 27001 | Sistem manajemen keamanan informasi | Fokusnya keamanan informasi, dan ada kebutuhan sertifikasi |
| ITIL | Manajemen layanan sehari-hari | Persoalannya ada di kualitas layanan dan penanganan gangguan |
Ketiganya bukan pilihan yang saling meniadakan, dan pada praktiknya sering dipakai berdampingan — COBIT untuk kerangka besarnya, ISO 27001 untuk sisi keamanannya, ITIL untuk operasional hariannya. Yang perlu dihindari adalah mengadopsi ketiganya sekaligus sebagai proyek serentak; hampir selalu berakhir dengan dokumen yang lengkap dan praktik yang tidak berubah.
COBIT dibahas lebih rinci di mengenal framework COBIT, sedangkan penerapan ISO 27001 dibahas di sistem manajemen keamanan informasi.
Untuk sektor yang diatur ketat
Bagi bank daerah, BPR, dan rumah sakit, tata kelola IT bukan lagi praktik baik yang bisa ditunda. Ia ditanyakan dalam pemeriksaan, dan pertanyaannya spesifik: siapa yang bertanggung jawab, mana buktinya, dan sejak kapan berjalan.
Pola yang sering terjadi: dokumen kebijakan disiapkan menjelang pemeriksaan dan dinyatakan berlaku sejak setahun sebelumnya. Cara ini jarang berhasil, karena yang diperiksa bukan hanya keberadaan dokumennya melainkan jejak pelaksanaannya — notulen rapat, catatan persetujuan, riwayat tindak lanjut. Jejak semacam itu tidak bisa dibuat mundur.
Ukuran organisasi menentukan bentuknya
Tata kelola yang dirancang untuk perusahaan dengan ratusan staf IT tidak akan jalan di organisasi yang tim IT-nya berjumlah tiga orang. Yang perlu disesuaikan bukan prinsipnya, melainkan berat prosedurnya.
- Tim IT di bawah lima orang. Cukup satu dokumen wewenang, satu daftar aset, dan agenda tetap di rapat manajemen bulanan. Komite tersendiri hanya akan menambah rapat tanpa menambah keputusan.
- Tim IT lima sampai dua puluh orang. Mulai perlu pemisahan peran yang jelas — siapa yang mengubah sistem dan siapa yang menyetujui — serta catatan perubahan yang tertib.
- Lebih besar dari itu. Baru komite tata kelola tersendiri dan pengukuran kinerja formal mulai sepadan dengan usahanya.
Kekeliruan yang paling mahal adalah menyalin kerangka organisasi besar ke organisasi kecil. Hasilnya prosedur yang tidak dijalankan siapa pun — dan tata kelola yang hanya ada di atas kertas justru lebih berbahaya daripada tidak punya sama sekali, karena menimbulkan rasa aman yang keliru.
Penutup
Tata kelola IT pada dasarnya menjawab tiga pertanyaan: siapa yang memutuskan, atas dasar apa, dan bagaimana kita tahu hasilnya. Organisasi yang bisa menjawab ketiganya dengan cepat biasanya juga yang paling tenang saat menghadapi gangguan — bukan karena gangguannya lebih sedikit, melainkan karena tidak ada waktu yang terbuang untuk mencari siapa yang berhak memutuskan.
Titik awal yang paling ringan: buat daftar sistem yang dipakai organisasi Anda, lalu isi kolom pemiliknya. Kolom yang kosong pada daftar itu adalah pekerjaan pertama Anda.
Pertanyaan yang sering diajukan
Tata kelola menentukan apa yang harus dicapai dan siapa yang berwenang memutuskan; ini ranah direksi dan pemilik proses bisnis. Manajemen menjalankannya; ini ranah kepala IT dan timnya. Karena itu tata kelola IT bukan pekerjaan bagian IT, meski bagian IT yang paling banyak menjalankan hasilnya.
Perlu, tapi bentuknya berbeda. Untuk tim IT di bawah lima orang, satu dokumen wewenang, satu daftar aset dengan pemiliknya, dan agenda tetap di rapat manajemen bulanan sudah memadai. Menyalin struktur komite dari organisasi besar biasanya menghasilkan prosedur yang tidak dijalankan siapa pun.
Tergantung persoalannya. COBIT untuk kerangka tata kelola menyeluruh yang mudah dipetakan ke pertanyaan auditor, ISO/IEC 27001 bila fokusnya keamanan informasi dan ada kebutuhan sertifikasi, ITIL bila persoalannya di kualitas layanan harian. Ketiganya bisa berdampingan, tapi sebaiknya tidak diadopsi serentak.
Komponen yang paling cepat terasa adalah kejelasan wewenang dan daftar aset — keduanya bisa disusun dalam hitungan minggu dan langsung mengurangi waktu yang terbuang saat ada gangguan. Untuk kesiapan menghadapi pemeriksaan, yang dibutuhkan adalah jejak pelaksanaan, dan jejak itu hanya terbentuk seiring waktu berjalan.
