18
BAB II PENGEMBANGAN DAN PENGADAAN SISTEM
2.1. PENDAHULUAN
Pengembangan dan pengadaan sistem mencakup pengelolaan sistem Teknologi Informasi yang tepat melalui proses identifikasi, pengembanganpengadaan, implementasi dan
pemeliharaan sistem Teknologi Informasi yang digunakan dalam proses bisnis Bank. Pengembangan dan pengadaan sistem dimaksud dapat berupa pengembangan perangkat
lunak secara internal atau pembelian perangkat lunak, perangkat keras dan jasa pengembangan sistem dari pihak ketiga. Apabila pengelolaan dan pengendalian proses
pengembangan dan pengadaan sistem lemah maka Bank dapat menghadapi berbagai risiko akibat adanya kesalahan error, kejahatan fraud maupun produk atau layanan
yang tidak tepat.
2.2. TUGAS DAN TANGGUNG JAWAB MANAJEMEN
Dalam melakukan pengembangan dan pengadaan Teknologi Informasi manajemen wajib melakukan langkah-langkah pengendalian untuk menghasilkan sistem dan data
yang terjaga kerahasiaan dan integritasnya serta mendukung pencapaian tujuan Bank, antara lain mencakup:
a. menetapkan dan menerapkan prosedur dan metodologi pengembangan dan pengadaan
Teknologi Informasi secara konsisten; b.
menerapkan manajemen proyek dalam pengembangan sistem aplikasi yang utama; c.
memastikan testing yang dilakukan pada saat pengembangan dan pengadaan suatu sistem telah memadai;
d. memastikan sistem yang dikembangkan sesuai kebutuhan pengguna;
e. memastikan kesesuaian satu sistem dengan sistem yang lain;
f. melakukan dokumentasi sistem yang dikembangkan dan pemeliharaannya;
g. memiliki manajemen perubahan sistem aplikasi;
h. mengidentifikasi, mengukur dan mengendalikan secara memadai risiko-risiko yang
dapat timbul terkait dengan pengembangan dan pengadaan sistem; i.
memastikan bahwa Bank memiliki prosedur pengembangan sistemaplikasi dalam keadaan darurat atau emergency changes.
2.2.1 Manajemen Proyek
Untuk pengembanganpengadaan sistem aplikasi yang utama, Bank harus memiliki manajemen proyek untuk memastikan sistem aplikasi telah dikembangkan dengan
struktur yang baik dan telah mengakomodir kebutuhan pengguna serta sesuai dengan
19
sistem Teknologi Informasi yang dimiliki Bank. Manajemen proyek dapat berbentuk tim kerja yang anggotanya paling kurang berasal dari satuan kerja TI dan satuan kerja
pengguna. Sementara audit internal merupakan pihak independen yang memberikan masukan bagi kedua satuan kerja tersebut dalam memastikan kecukupan pengendalian
di sistem aplikasi advisory capacity.
2.2.2. Manajemen Perubahan Program
Yang dimaksud manajemen perubahan program adalah proses pengelolaan perubahan selama dalam pengembangan program, misalnya terjadi perubahan user requirement,
perubahan teknologi pendukung yang digunakan. Prosedur manajemen perubahan program harus dirumuskan, dijalankan dan
didokumentasikan dengan baik. Permintaan perubahan harus diteliti sebelum disetujui untuk menentukan metode lain dalam melakukan perubahan, biaya perubahan, serta
waktu yang dibutuhkan untuk aktivitas pemrograman. Penyebab sebenarnya yang menyebabkan perubahan harus diketahui dan didokumentasi dengan benar. Jejak audit
audit trail dari semua perubahan yang diminta harus dipelihara. Aktivitas programmer harus diatur dan diawasi, dan semua pekerjaan yang ditugaskan harus
diawasi dengan seksama terhadap tanggal pencapaian target.
2.3. KEBIJAKAN DAN PROSEDUR
Hal-hal yang perlu diperhatikan dalam kebijakan dan prosedur pengembangan dan pengadaan antara lain:
a. Kebijakan dan prosedur pengembangan dan pengadaan sistem Teknologi Informasi
sekurang-kurangnya meliputi hal-hal berikut: 1
identifikasi dan analisis kebutuhan pengguna; 2
pendefinisian kebutuhan user requirement; 3
rancangan system; 4
pemrograman; 5
pengujian; 6
implementasi; 7
post implementation review; 8
pemeliharaan. b.
Setiap pengembangan dan pengadaan sistem Teknologi Informasi harus selalu di bawah kendali satuan kerja Teknologi Informasi.
c. Terhadap aplikasi yang dikembangkan oleh vendor atau dipengadaan dari pihak
ketiga, Bank harus melakukan proses pemilihan vendorpihak ketiga yang mengacu pada pedoman BI tentang outsourcing serta kebijakan dan prosedur intern. Bank
juga harus memastikan kecukupan pelatihan dan manual yang disusun sebagai bagian dari kontrak antara Bank dan vendor.
20
d. Kebijakan dan prosedur yang perlu dimiliki Bank dalam manajemen proyek antara
lain: 1
Studi kelayakan harus dilakukan untuk mengetahui biaya dan manfaat dari pengembangan sistem, serta untuk menentukan apakah akan menggunakan
sumber daya internal atau outsource; 2
Persyaratan keamanan yang relevan harus dispesifikasikan secara jelas sebelum sistem baru dikembangkan atau diperoleh. Persyaratan keamanan tersebut harus
sesuai dengan arsitektur keamanan informasi Bank secara keseluruhan; 3
Perencanaan yang baik harus dilakukan untuk memastikan bahwa proyek akan memenuhi tujuannya;
4 Bank harus melakukan pemisahan lingkungan environment untuk
pengembangan, uji coba dan produksi, termasuk pembatasan akses ke masing- masing lingkungan;
5 Jika sistem didukung atau dipelihara oleh vendorpihak lain, analisis yang baik
untuk pemilihan perangkat lunak harus dilakukan untuk memastikan kebutuhan pengguna dan bisnis dapat dipenuhi;
6 Perjanjian kontrak antara Bank dan vendor harus diikat secara hukum;
7 Bank harus menerapkan manajemen pemeliharaan untuk semua proses
pengembangan dan pengadaan sistem yang telah diimplementasikan; 8
Seluruh hasil deliverables pada setiap tahapan manajemen proyek harus didokumentasikan dengan baik.
9 Bank harus memiliki rencana proyek yang formal meliputi hal-hal sebagai
berikut: a
identifikasi proyek, sponsor, dan manajer proyek; b
tujuan proyek, informasi latar belakang dan strategi pengembangan; c
deskripsi tanggung jawab utama dari tiap personil dalam manajemen proyek;
d prosedur untuk mengumpulkan dan menyebarkan informasi;
e kriteria hasil yang ditargetkan untuk masing-masing tahap pengembangan
acceptance criteria; f
masalah keamanan dan pengendalian yang harus dipertimbangkan; g
prosedur untuk memastikan manajer menilai, mengawasi, dan mengatur risiko internal dan eksternal dengan benar sepanjang siklus pengembangan;
h cut off date untuk mengalihkan penggunaan sistem aplikasi dari yang lama
ke versi terbaru hasil; i
standar pengembangan yang akan digunakan untuk pengawasan proyek, pengendalian sistem dan kendali mutu quality assurance;
j jenis dan tingkatan dokumentasi yang harus dihasilkan oleh personil di
setiap tahap proyek; k
jadwal tahapan proyek dan aktivitas yang akan diselesaikan dalam tiap tahap;
21
l estimasi anggaran awal dari keseluruhan biaya proyek;
m rencana uji coba testing plan yang mengidentifikasikan kebutuhan uji coba
testing requirement dan jadwal prosedur uji coba; n
rencana pelatihan yang mengidentifikasikan kebutuhan pelatihan dan jadwal agar pegawaikaryawan dapat menggunakan dan memelihara aplikasi pasca
implementasi. e. Kebijakan dan prosedur manajemen perubahan program yang harus dibuat Bank
adalah prosedur modifikasi yang sekurang-kurangnya mencakup: 1
peninjauan ulang sebelum modifikasi dan otorisasi; 2
pengujian sebelum modifikasi dalam lingkungan pengujian yang terpisah; 3
prosedur backup data dan source code sebelum modifikasi; 4
dokumentasi yang terdiri atas: a
Penjelasan dari modifikasi; b
Alasan dari penerapan atau penolakan dari modifikasi yang diusulkan; c
Nama individu yang membuat modifikasi; d
Salinan dari source code yang diubah; e
Tanggal dan waktu modifikasi dilakukan; dan 5
evaluasi setelah modifikasi. f. Dokumentasi yang harus dibuat selama proses modifikasi berlangsung terdiri dari:
1 informasi yang menjadi prioritas;
2 identifikasi sistem, database dan satuan kerja yang terpengaruh;
3 nama dari individu yang bertanggung jawab dalam membuat perubahan;
4 kebutuhan sumber daya;
5 prediksi biaya;
6 prediksi tanggal penyelesaian;
7 prediksi tanggal implementasi;
8 pertimbangan potensi keamanan dan kehandalan;
9 kebutuhan uji coba;
10 prosedur implementasi;
11 perkiraan downtime pada saat implementasi;
12 prosedur backup;
13 pengkinian dokumentasi rancangan program dan scripts, topologi jaringan,
manual pengguna, rencana kontinjensi, dll; 14
dokumentasi penerimaan modifikasi dari semua satuan kerja terkait pengguna, teknologi, quality assurance, keamanan, audit, dll; dan
15 dokumentasi audit pasca implementasi perbandingan antara harapan dan hasil.
22
2.4. MANAJEMEN RISIKO PENGEMBANGAN DAN PENGADAAN
Kategori