Wednesday, 25 February 2015

Critical Paper - Otomatisasi audit sebagai kontrol dalam perusahaan audit

Audit automation as control within audit firms

1.      Latar Belakang Jurnal
Jurnal ini dibuat oleh Stuart Manson, Sean McCartney, dan Michael Shere yang memaparkan riset mereka yang berjudul “Audit Automation as Control Within Audit Firms”. Riset tersebut bertujuan untuk mengatur work process dan staff audit; Deskilling dan Resistance; dan Kompetisi yang kemudian dianalisa melalui theoretical framework yang diprakasai oleh Coombs berserta rekan-rekanya dengan  mengaplikasikan teori “Giddens’ Structuration” dalam melakukan riset dari dampak information technology kepada perusahaan.
Hasil riset menunjukan bahwa audit automation tidak dapat dilihat dari sisi teknologi saja guna meningkatkan quality dan/atau productifitas dari audit process melainkan juga dari sisi nilai market competitveness serta membantu dalam mempromosikan perusahaan kepada clients’ dan stafnya.

2.      Konsep dasar
Penelitian mereka dilakukan dengan empirical study ke dua perusahaan yang termasuk dalam top 5 perusahaan audit di inggris. Mereka menganalisa perusahaan tersebut menggunakan teori “Giddens’ Structuration” dan Analytical Framework untuk pemahaman teknologi informasi yang dikembangkan oleh Coombs.
Penggunaan teknologi informasi dalam proses audit meningkat pada tahun-tahun belakangan ini. Perusahaan-perusahaan yang termasuk dalam top 5 perusahaan audit di Inggris sudah mulai menggunakan teknologi untuk meningkatkan kompetisi dalam hal efisiensi kepada client mereka. Pada peningkatan teknologi informasi, tidak hanya strategi yang diadopsi oleh top 5 perusahaan audit, tetapi juga area untuk mengatasi lingkungan yang lebih kompetitif.
Perusahaan audit telah berada di garis depan dari penggunaan mikrokomputer selama bertahun-tahun, terutama untuk account persiapan, dan baru-baru ini telah ada sejumlah aplikasi yang digunakan dalam proses audit. Aplikasi tersebut biasanya dikelompokkan di bawah otomatisasi audit  yang didefinisikan oleh satu publikasi akuntansi professional. Publikasi ini memberi masukan untuk penggunaan audit motivation agar dapat meningkatkan motivasi, kepuasan kerja, serta meningkatkan kinerja staff dalam mengurangi kegiatan yang tidak produktif dalam langkah audit.
Riset mereka akan mengeksplorasi persepsi dari junior dan senior audit staff terhadap peran yang mereka emban dalam perusahaan.

3.      Metodology
       Metode yang digunakan yaitu melakukan serangkaian wawancara dengan para mitra, manajer, senior, asisten, dan spesialis IT di dua dari top 5 perusahaan audit (Perusahaan A dan B). Tujuan dari wawancara ini adalah untuk mengetahui sejauh mana praktek kerja dan perilaku telah dipengaruhi oleh otomatisasi audit.
Pendekatan kepada Perusahaan A dan B dilakukan dengan bantuan dari sponsor penelitian, yaitu the Institute of Chartered Accountants of Scotland  (ICAS). Pada pertemuan awal, disetujui tingkat partisipasi, jumlah dan jenis staf yang akan diwawancarai. Kegiatan tersebut diselenggarakan diantara tim peneliti dan mitra senior di perusahaan yang bersangkutan. Individu yang terpilih untuk wawancara didapatkan dari negosiasi antara peneliti dan mitra kontak dalam perusahaan. Negosiasi yang terjadi adalah dipilih staf dengan berbagai pengalaman kerja, usia, penanggung jawab dan jenis kelamin.
Wawancara dilakukan di London dan tiga kantor di South-East England. Wawancara yang dilakukan semi-terstruktur yang didasarkan pada daftar pertanyaan yang disiapkan oleh peneliti. Pertanyaan disesuaikan dengan tingkat dan fungsi masing-masing wawancara, dan dilakukan secara langsung kepada peserta. Setiap peserta biasanya diwawancarai oleh dua peneliti dan tidak ada orang lain dari perusahaan auditnya ikut serta dalam mewawancarai. Peserta diberitahu bahwa jawaban mereka akan dirahasiakan dan tidak akan diungkapkan kepada perusahaan mereka. Wawancara biasanya dilakukan langsung dan berjalan selama setengah jam. Selain itu, wawancara tersebut direkam dengan seizin dari peserta. Kutipan dalam teks berasal dari transkrip rekaman tersebut. Pada bagian berikutnya kita akan membahas temuan dari penelitian tersebut.

4.      Analisis
Control work process
Analisis mereka dikonsentrasikan kepada konsep budaya, kontrol dan persaingan yang diidentifikasi oleh Coombs et al. sebagai sarana untuk memahami otomatisasi audit. Kontrol merupakan bagian dari kerangka peraturan yang mengatur praktek kerja dan perilaku perusahaan audit serta staf mereka dalam arti yang mungkin dianggap sebagai endemik dalam praktek audit (Power, 1997). Salah satu cara konsep ini mengontrol manifestasi dirinya adalah melalui praktek yang dirancang untuk memberikan produk berkualitas tinggi, standar, pendapat audit, dengan biaya minimum. Mungkin dikatakan bahwa persaingan eksternal, tekanan biaya tertentu, yang mendorong terciptanya kontrol yang sistematis dalam perusahaan audit. Pilihan mekanisme kontrol dan efektivitas mereka pada gilirannya mempengaruhi kemampuan perusahaan audit untuk bersaing dengan sukses di pasar. Pada konteks ini kita mengeksplorasi wawancara konsep kembar kontrol dan persaingan adakah kaitannya dengan pengenalan dan penggunaan otomatisasi audit dalam perusahaan audit.

Control staff audit
Otomatisasi audit melibatkan kedua teknologi terbaru  dan IT, yang keduanya dapat meningkatkan kontrol proses audit. Otomatisasi Audit memungkinkan perusahaan untuk lebih efektif menegakkan pendekatan audit perusahaan dan prosedur standar pada staf auditnya. Contoh dalam survei perusahaan audit, (Manson et al., 1997) mereka menemukan penggunaan besar template dalam penyusunan surat manajemen dan surat representasi. Salah satu masalah mereka dalam makalah ini adalah bagaimana IT digunakan sebagai mekanisme kontrol dalam proses penjaminan mutu perusahaan audit. Secara khusus, otomatisasi audit dapat digunakan untuk memastikan bahwa audit staf mengikuti prosedur yang ditetapkan dalam program dan daftar periksa: "Banyak hal yang harus dilakukan pada komputer tetap daftar periksa semua terkomputerisasi sehingga Anda harus menggunakan mereka .... dalam hal bahwa ada pilihan yang kurang mungkin untuk bagaimana Anda harus melakukan hal-hal dari dulu ada (Audit senior, Perusahaan B). "
Manajer audit dan mitra yang memiliki tanggung jawab untuk memastikan kualitas audit mengakui pentingnya cara dimana IT dapat membatasi perilaku pekerja lapangan audit. Dengan cara ini, dominasi otomatisasi audit yang cenderung mempertahankan struktur tertentu di perusahaan audit. Selanjutnya, untuk manajer audit dan mitra kualitas audit merupakan salah satu unsur budaya mendefinisikan sebuah perusahaan audit. Oleh karena itu, penggunaan otomatisasi audit dari staf audit harus konsisten dengan nilai budaya kualitas audit. Salah satu manajer audit berpendapat bahwa otomatisasi audit yang meningkatkan kualitas kerja dengan memastikan kelengkapan dan keakuratan pekerjaan yang dilakukan. Dia mengatakan bahwa otomatisasi audit yang memiliki implikasi untuk: "... kualitas file, penyajian informasi, hal semacam itu Memastikan hal-hal yang dilakukan dengan benar, karena komputer dapat diprogram dengan sangat mudah untuk memeriksa bahwa semuanya dilakukan Sedangkan jika.. sesuatu yang sedang dilakukan secara manual itu sebenarnya cukup pekerjaan yang membosankan untuk memastikan setiap titik tunggal sedang ditangani, sedangkan komputer dapat memberitahu Anda (manajer Audit, Perusahaan A). “
Namun, mungkin akan ada pikiran bahwa penggunaan otomatisasi audit kontrol dalam proses penjaminan mutu akan menghambat penggunaan penilaian auditor yang sangat dihargai oleh perusahaan audit. Tapi ini tidak bisa dianggap sebagai kasus, seperti yang digambarkan oleh komentar ini: "[Audit otomatisasi] meningkatkan kualitas pemikiran bahwa staf mereka akan dipaksa, jika tidak ada yang lain itu adalah disiplin di tim (mitra Audit , Perusahaan A). "
Sangat menarik untuk dicatat bahwa otomatisasi audit yang dipandang sebagai kegiatan pendisiplinan dalam perusahaan merupakan bentuk yang sangat eksplisit kontrol atas perilaku staf audit. Meskipun manajer audit dan mitra percaya bahwa otomatisasi audit kompatibel dengan kreativitas dan keputusan, ada beberapa bukti bahwa staf audit itu sendiri begitu menguasai dalam menggunakan komputer di tempat mereka berkerja dengan memungkin menunjukkan ketergantungan lebih kepada teknologi dan kurang dalam pelaksanaan pekerjaan audit mereka. Hal tersebut ditandai dengan komentar berikut: "Saya tidak bisa membayangkan melakukan pekerjaan tanpa IT. Hal ini intristik untuk audit sekarang, itu adalah sifat kedua untuk meraih komputer Anda (Audit senior, Perusahaan B).."

Otomasi audit dan deskilling staf audit
Sebagai contoh, survei menemukan bahwa hanya ada sedikit peningkatan jumlah teknisi akuntansi dalam perusahaan audit. Survei mengungkapkan bahwa salah satu efek yang paling penting dari pengenalan otomatisasi audit adalah hal itu memungkinkan staf untuk memiliki lebih banyak waktu untuk berkonsentrasi pada daerah berisiko teknis dan tinggi. Namun, ini adalah pandangan staf senior yang menanggapi survei, mereka juga ingin mengetahui apakah staf audit junior memiliki pandangan yang sama. Ketika ditanya apakah IT memungkinkan mereka untuk menghabiskan lebih banyak waktu pada bidang utama saat proses audit, senior audit dan asisten audit mengatakan bahwa: "Anda punya sedikit waktu melakukan hal-hal duniawi dan lebih banyak waktu benar-benar melakukan hal-hal yang Anda penghakiman diperlukan (asisten Audit, Kantor B). "
Sebagian besar dari mereka yang diwawancarai dalam dua perusahaan audit tidak percaya bahwa meningkatnya penggunaan otomatisasi audit yang akan menyebabkan deskilling staf audit. Ada keyakinan bahwa IT meningkatkan "banyak peneliti lapangan audit", khususnya yang lebih junior, dengan mengotomatisasikan tugas-tugas yang membosankan dan berulang-ulang. Beberapa jawaban tentang pertanyaan tentang efek deskilling kemungkinan IT, komentar yang diterima adalah sebagai berikut: "IT tentu tampaknya mengurangi jumlah waktu yang Anda lakukan tugas-tugas biasa. Saya pikir itu mungkin tidak memungkinkan Anda untuk berpikir lebih tentang isu-isu (Audit senior, Perusahaan B). "
Untuk sebagian besar manajer dan mitra, mereka mewawancarai perbedaan yang jelas yang dibuat antara penggunaan otomatisasi audit bantuan yang berguna dalam menjalankan tugas-tugas yang relatif rutin dan audit nyata yang melibatkan pertimbangan profesional. "Sebuah komputer pernah bisa menggantikan penilaian saya. Apa bisa dilakukan berpotensi adalah memberikan beberapa indikator hal-hal yang keluar dari barisan, bahwa Anda telah mungkin terjawab, karena komputer cenderung lebih menyeluruh daripada pikiran manusia di benar-benar memproses batch informasi (Audit nanager, Perusahaan A). "
Jika kita menerima bahwa staf audit tidak deskilled sebagai hasil dari penerapan otomatisasi audit, hal itu masih mungkin terjadi bahwa kebutuhan untuk memperoleh apa yang sampai sekarang telah memikirkan keterampilan seorang sekretaris bisa dipandang sebagai pekerjaan yang tidak pantas bagi para profesional. Sifat pekerjaan yang dilakukan auditor dianggap penting dalam menentukan seorang auditor adalah profesional dan menunjukkan nilai pekerjaan mereka. Oleh karena itu, untuk beberapa auditor yang mereka gambarkan dalam pekerjaan mereka dengan klien yang sangat penting. Kekhawatiran bahwa staf audit memiliki pekerjaan yang mungkin diartikulasikan dalam hal persepsi negatif oleh klien akan perusahaan audit mereka: "Maksudku [klien] tidak akan terlihat ramah pada mereka jika mereka pikir Aku duduk di sana mengetik sepanjang hari. Mereka jelas berpikir bahwa saya harus ada menggunakan penilaian profesional saya pada isu-isu yang lebih penting (Audit senior, Perusahaan A). "

Control dan pelawanan
Mereka menemukan bahwa staf junior menerima otomatisasi audit yang lebih mudah daripada staf senior dan perusahaan bahkan menggunakan budaya IT sebagai "titik penjualan" ketika merekrut lulusan baru. Apa hambatan ada berasal dari atas, dari generasi yang lebih tua dari mitra. Perlawanan kadang-kadang mengambil bentuk ekstrim, seperti yang digambarkan oleh komentar berikut: "Ada beberapa, mitra yang lebih tua, yang tidak akan menggunakan PC sama sekali Mereka akan memiliki sekretaris mereka membaca e-mail mereka secara teratur, dan mencetaknya untuk. mereka untuk membaca (manager Audit, Perusahaan A). "
Bahkan mitra audit mengakui bahwa IT semakin banyak digunakan di kantor dan di tempat klien untuk banyak tugas yang dilakukan secara manual, mungkin ada upaya untuk mengecilkan pentingnya. Mereka melihat komputer hanya sebagai alat bukan sesuatu yang memberikan nilai tambah untuk audit. "Anda punya banyak auditor di luar sana yang sekarang digunakan untuk menggunakan komputer, dan Anda tidak bisa hanya mengambilnya, mereka akan menggunakan komputer untuk surat elektronik, menulis memo Mereka menggunakan komputer karena mereka kebetulan menjadi alat yang modern saat ini, seperti ball-pen 20 atau 30 tahun yang lalu (mitra Audit, Kantor B). "

Control dan kompetisi
Coombs et al. (1992) mengidentifikasi dua jenis kompetisi yang relevan dengan pelaksanaan IT di tempat kerja. Yang pertama adalah eksternal, pasar didorong persaingan, yang jelas relevan dengan keadaan saat ini industri audit. Survei mereka menemukan bahwa perusahaan audit yang lebih besar bersedia untuk menghabiskan uang dalam jumlah besar pada pengembangan dan implementasi otomatisasi audit. Dalam wawancara, mereka berusaha untuk mengidentifikasi sejauh mana investasi ini didorong oleh kebutuhan untuk tetap kompetitif. Mereka menemukan bahwa kedua perusahaan audit yang bersangkutan menunjukkan mereka berada di garis depan otomatisasi audit yang tujuan meningkatkan dan / atau mempertahankan posisi kompetitif mereka di pasar audit, seperti kutipan berikut menggambarkan: "Hal ini diperlukan untuk mengeluarkan sumber daya IT sehingga klien dapat melihat bahwa mereka memberikan layanan yang sama seperti pesaing mereka. Sehingga staf mereka dapat melihat perusahaan mereka adalah dengan semua orang (manager Audit, Perusahaan A). "
Perhatian auditor dalam beberapa tahun terakhir adalah kebutuhan untuk menunjukkan nilai pekerjaan audit (Davies, 1990). Beberapa responden mengakui bahwa menggunakan IT adalah sarana untuk menunjukkan klien bahwa audit memilki nilai tambah, seperti dapat dilihat dalam kutipan berikut: "[Para auditor] sedang diberdayakan dengan alat yang dapat menambah nilai yang sangat besar untuk hubungan mereka dengan mereka klien dan pekerjaan yang mereka lakukan dalam organisasi (manajer IT, Perusahaan A). "
Bentuk kedua kompetisi dibahas oleh Coombs et al. (1992) adalah kompetisi internal, dimana individu didorong untuk bersaing satu sama lain untuk hadiah dan kemajuan. Bagi banyak dari kemampuan responden pada IT menjadi semakin penting ketika mencari promosi, meskipun staf audit tidak diharapkan menjadi ahli komputer: "Saya pikir untuk IT melek huruf menjadi lebih dan lebih penting untuk kemajuan Anda tidak perlu menjadi. anak jagoan di PC, tetapi selama Anda menggunakannya sebanyak yang Anda butuhkan untuk, maka itu jelas string to your bow (Audit senior, Perusahaan A). "

5.      Summary
Makalah ini telah menyelidiki dampak otomatisasi audit terhadap proses kerja dari dua perusahaan audit terbesar di Inggris. Sesuai dengan meningkatnya jumlah penulis yang telah menemukan karya Giddens membantu dalam memahami isu-isu akuntansi, kita telah memanfaatkan aspek teori strukturasi Giddens. Secara khusus, mereka telah menemukan kerangka untuk menghubungkan skema struktural lembaga menjadi sesuatu yang bermanfaat ketika Anda menjelajahi dampak otomatisasi audit dalam perusahaan audit. Kerangka konseptual umum ini disediakan oleh Giddens telah dioperasionalkan oleh mereka dalam penelitian mereka pada otomatisasi pemeriksaan dengan menggunakan tiga konsep spesifik, yaitu budaya, kontrol dan persaingan yang dikembangkan oleh Coombs et al. (1992) dalam sebuah makalah yang membahas pentingnya teknologi informasi untuk teori dan praktek organisasi. 
Teori strukturasi Giddens menyajikan kerangka kerja untuk memahami isu-isu otomatisasi audit yang diselidiki dalam makalah ini. Ketiga struktur, makna, legitimasi dan dominasi seperti yang dituturkan dalam budaya, kontrol dan kompetisi, berguna dalam memahami perubahan dalam perusahaan audit yang dibawa oleh pengenalan otomatisasi audit. Struktur makna dalam perusahaan audit berupa konsep, norma dan simbol-simbol yang mencerminkan prioritas mitra misalnya, kualitas pekerjaan audit dan pendapat, efisiensi dengan audit dilakukan, dan daya saing di pasar audit. Teknologi informasi pada umumnya dikaitkan dengan efektivitas, efisiensi dan pengurangan biaya, dan otomatisasi audit yang merupakan wujud nyata, dan simbol untuk perusahaan audit. Oleh karena itu, tidak mengherankan bahwa perusahaan audit memperkenalkan otomatisasi pemeriksaan karena memperkuat atribut-atribut ingin mereka sampaikan kepada klien mereka, klien potensial dan merekrut lulusan.
Dalam penelitian mereka, mereka menemukan bahwa sejumlah mitra percaya pengenalan otomatisasi auditlah yang telah meningkatkan kualitas pekerjaan yang dilakukan audit. Namun, penelitian mereka menunjukkan bahwa, karena teknologi otomatisasi audit, mitra telah menjadi lebih erat terlibat dengan hari-hari kerja tim audit, sehingga mengubah struktur perusahaan. Oleh karena itu, otomatisasi audit tersebut tidak dapat dimasukkan ke dalam sebuah perusahaan audit untuk membuatnya "lebih efisien" tanpa menimbulkan perubahan dalam struktur perusahaan. Dalam kerangka Giddens secara khusus mengakui bahwa agen, dalam gambaran aturan dan sumber daya yang terdiri dari struktur, kembali membuat struktur-struktur.
Dalam journal ini ditemukan bahwa beberapa staf audit, terutama pemeriksaan oleh senior di lapangan, tidak menyukai kontrol yang lebih besar dan pengawasan dibawa otomatisasi audit. Namun, mereka juga menemukan sebagian besar staf, termasuk para manula audit, dianggap bermanfaat bagi tim audit karena meningkatkan efisiensi informasi. Temuan lain adalah bahwa staf audit junior paling mudah memeluk otomatisasi audit dan sedikit perlawanan berasal dari sejumlah kecil mitra.
Aspek lain dari pandangan proses kerja dari penggunaan IT dalam organisasi adalah bahwa keterampilan yang ditransfer dari bawahan yang menggunakan IT untuk manajemen. Dalam konteks perusahaan audit ini dapat mengakibatkan deskilling dari pekerjaan staf audit, yang akibatnya mungkin membenci proses dan bahkan menolak untuk diperkenalkan. Mereka menemukan sedikit bukti deskilling antara staf audit profesional, atau apakah kita menemukan perusahaan audit menggantikan teknisi akuntansi bagi mereka. Ini mungkin bagian dari penjelasan untuk kurangnya ketahanan terhadap otomatisasi pemeriksaan oleh staf audit. Terkait dengan hal ini adalah temuan bahwa staf audit menghabiskan lebih sedikit waktu pada tugas-tugas rutin, mereka mampu memberikan lebih banyak penekanan pada daerah berisiko tinggi menghakimi dan audit. Dengan demikian, otomatisasi audit harus mengarah pada peningkatan kualitas pekerjaan audit.
Akhirnya, penelitian ini menggambarkan bagaimana otomatisasi audit yang telah mengurangi hambatan dalam perusahaan audit, terutama sebagai akibat dari komunikasi e-mail di berbagai tingkat staf. Ini adalah bagian dari tren terbaru di perusahaan audit terhadap informalitas yang lebih besar dalam hubungan antara staf yang bekerja. Hal ini juga konsisten dengan pindah dari bentuk-bentuk hirarki tradisional dan struktur perusahaan audit terhadap bentuk organisasi berbasis tugas yang lebih responsif terhadap kebutuhan bisnis klien mereka.

6.      Kritik dan Saran
Kritik yang dapat saya berikan terhadap tulisan ini:
·         Penelitian hanya terdiri dua perusahaan besar yang termasuk peringkat tertinggi 5 perusahaan audit di inggris. Mungkin hasilnya akan berbeda jika mereka meneliti di untuk seluruh perusahaan yang sudah menggunakan otomasi audit di inggris.
·         Penelitian ini hanya terfokus kepada metoda interview. Dimana metoda selain interview seperti questioner dapat dilakukan. Tapi saya mengapresiasikan hasilnya karena yang mereka tanyakan tepat sasaran.
Secara keseluruhan, saya mengapresiasi hasil penelitian yang mereka lakukan. Karena penelitian yang mereka lakukan menurut saya sudah tepat sasaran dan didukung juga informasi-informasi pada hasil analisis mereka.

7.      Kesimpulan
Sebagai kesimpulan, penelitian ini telah menunjukan bahwa dengan penggunaan otomasi audit dapat membantu untuk mengatur work process dan staff audit; Deskilling dan Resistance; dan Kompetisi secara effektif. Hal ini dapat dicapai bila sumberdaya manusia dari audit junior maupun audit senior di atur sesuai tingkat skill yang mereka punya dalam pengoperasian otomasi audit tersebut.

8.      References

Manson, S., McCartney, S., & Sherer, M. (2001). Accounting, Auditing & Accountability Journal. Audit Automation as Control within Audit Firms, 14(1), 109-130.

Wednesday, 4 February 2015

Perlindungan Terhadap Aset Informasi

Banyak perusahaan yang sudah menggunakan media informasi sebagai pelengkap kebutuhan dalam melakukan proses bisnis. Informasi ini kemudian menjadi salah satu aset milik perusahaan. Maka perlindungan akan aset informasi sudah mulai diperlukan. Pertama, mengidentifikasi ancaman yang memungkinkan suatu aset informasi menjadi rentan dan memberikan resiko terhadap perusahaan. Ancaman tersebut dapat dihasilkan dari bencana alam maupun faktor manusia.
Ancaman oleh manusia dapat disengaja ataupun tidak disengaja. Ancaman yang disengaja antaran lain, sabotase, data modifying, dan pencurian data. Sedangkan ancaman yang tidak disengaja diantarannya adalah ketidaksengajaan oleh user yang dapat mengaktifkan bug dalam aset informasi tersebut. Oleh karena itu, perlu membatasi orang-orang dalam mengakses aset informasi tersebut, instalasi software proteksi seperti antivirus, merekam setiap jejak orang yang mengkases aset informasi tersebut serta menyediakan tempat untuk back-up data.
Bencana alam yang dapat terjadi berupa banjir, power outrage, kebakaran, mati lampu, petir, gempa bumi, dan lain sebagainya. Pertama yang perlu dilihat adalah letak geografis lokasi aset informasi milik perusahaan. Kemudian mengidentifikasi dengan membuat daftar bencana alam yang berpeluang paling tinggi di daerah tersebut. Setelah itu, menentukan skala prioritas aset informasi  dengan dampak yang akan diberikan kepada perusahaan.  
Setelah mengidentifikasi ancaman selanjutnya membentuk set perlindungan terhadap aset informasi tersebut. Set tersebut harus memenuhi 3 kriteria penting yang menentukan proses keamanan terhadap aset informasi.  Kriteria tersebut adalah proses keamanan yang simpel, logika yang mudah dipahami dan proses keamanan yang mengikuti standar.
Proses keamanan harus mudah dijalankan agar user yang bertanggungjawab atas keamanan tidak mengalami kesulitan. Dengan adannya kesulitan dalam proses keamanan maka kinerja user akan menurun dan dapat berdampak kepada menurunya produktifitas perusahaan.
Logika proses keamanan harus disesuaikan dengan critical level pada dampak kerugian yang akan diterima oleh perusahaan. Semakin rumit logika proses keamanan untuk aset informasi maka aset tersebut memiliki dampak yang critical bagi perusahaan.
Proses keamanan harus mengikuti standar untuk memudahkan proses evaluasi. Standar ini diperlukan agar tim audit dapat memeriksa apakah keseluruhan aset informasi yang dimiliki perusahaan sudah mengikuti standar international dan nasional.
Setelah itu, memperhatikan dan mengidentifikasi ancaman untuk melindungi aset informasi perusahaan. Selanjutnya perlu diperhatikan teknik-tehnik dalam pemberian control terhadap perlindungan aset informasi dalam perusahaan. Control yang diberikan diantaranya berupa pembuatan restricted zone, back-up media, logical security control, dan controlling access.
Restricted zone ini ditujukan untuk pengamanan infomasi aset yang bersifat sensitif dan yang memerlukan pengamanan dengan kriteria terbaik bagi perusahaan. Untuk memasuki restricted zone diperlukan controlling access berupa Technical Security Standart for Information (TSSIT).
Back-up media adalah pra sarana untuk penyimpanan data yang memiliki tujuan untuk mencegah atau menghidari kemungkinan terburuk dari human error atau natural disaster dengan membuat cadangan data di tempat-tempat yang berbeda. Jika terjadi kejadian yang tidak diinginkan maka perusahaan atau organisasi memiliki data recovery.
Monitoring access yang melibatkan security guards, electronic intrusion detection system, dan electronic access control system yang memiliki kemampuan merekam gerak gerik kegiatan dalam restricted zone.
Controlling access memerlukan authorizing access untuk keamanan aset informasi. Authorizing access diberikan kepada orang-orang dipercaya dalam pengelolaan informasi yang sensitif. Authorizing access memudahkan pemantauan orang-orang tersebut pada setiap kegiatan yang terjadi dalam restricted zone. Karena tidak semua orang dapat masuk ke dalam restricted zone.
Logical security control adalah satu set logic control terhadap suatu aset informasion. Tujuan utamannya yaitu mengontrol computer hardware dan software dari ancaman kejadian yang tidak diinginkan. Tujuan lainnya yaitu:

  • Mengidentifikasi user atau komputer yang memilik authorize access kepada network, data ataupun resources.
  • Membatasi akses kepada specific data atau resources.
  • Menciptakan audit trails system dan user activity. 
  • Mengambil langkah defensif dari gangguan
Langkah defensif dapat berupa access control software, antivirus software, smart cards, passwords, encryptions, serta audit trails.
  • Access control software: Pemberian batas kepada user dalam mengaksess resources pada computer system.
  • Antivirus software: Pemberian antivirus kepada software sensitive tujuannya tidak lain untuk mencegah virus masuk ke dalam sensitif information.
  • Passwords:  pemberian password tidak lain untuk memastikan bahwa orang tersbut adalah orang yang memiliki wewenang dalam mengakses software tersebut.
  • Smart cards: kartu yang berisikan keoriginalitas user tersebut. Apakah user tersebut memiliki autoritas dalam kegunaanya atau tidak.
  •  Encryption: adalah teknik dimana plaintext diacak sedemikian rupa yang mengakibatkan plaintext tersebut susah dikenali. Tujuannnya untuk melindungi data.
  • Audit Trails: adalah visible trail dimana fakta-fakta dapat diungkap dan dapat dianalisis. Tujuannya yaitu untuk menjejak setiap kegiatan.
Jika suatu set keamanan sudah terbentuk maka proses selanjutnya adalah pembentukan perancangan mitigasi. Perancagan mitigasi ditujukan untuk user yang memiliki wewenang dan akses kepada aset informasi.


Sumber: Institute, SANS. "SANS Institute InfoSec Reading Room." Protection Information Asets 1.3 (2002): 15. Protection Information Asets. Sans Institute. Web. 4 Feb. 2015. <https://www.sans.org/reading-room/whitepapers/basics/protection-information-asets-594>.