Daftar isi (5 bab, 31 pasal, 4 lampiran)
hlm. 1

SALINAN

PERATURAN MENTERI KOMUNIKASI DAN INFORMATIKA

NOMOR 16 TAHUN 2022

TENTANG

KEBIJAKAN UMUM PENYELENGGARAAN

AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI

DENGAN RAHMAT TUHAN YANG MAHA ESA

MENTERI KOMUNIKASI DAN INFORMATIKA REPUBLIK INDONESIA,

Menimbang : bahwa untuk melaksanakan ketentuan Pasal 55 ayat (5) Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik, perlu menetapkan Peraturan Menteri Komunikasi dan Informatika tentang Kebijakan Umum Penyelenggaraan Audit Teknologi Informasi dan Komunikasi;

Mengingat : 1. Pasal 17 ayat (3) Undang-Undang Dasar Republik Indonesia Tahun 1945;

2. Undang-Undang Nomor 39 Tahun 2008 tentang Kementerian Negara (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 166, Tambahan Lembaran Negara Republik Indonesia Nomor 4916);

3. Peraturan Presiden Nomor 54 Tahun 2015 tentang Kementerian Komunikasi dan Informatika (Lembaran Negara Republik Indonesia Tahun 2015 Nomor 96);

4. Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik (Lembaran Negara Republik Indonesia Tahun 2018 Nomor 182);

5. Peraturan Menteri Komunikasi dan Informatika Nomor 12 Tahun 2021 tentang Organisasi dan Tata Kerja Kementerian Komunikasi dan Informatika (Berita Negara Republik Indonesia Tahun 2021 Nomor 1120);

MEMUTUSKAN:

Menetapkan : PERATURAN MENTERI KOMUNIKASI DAN INFORMATIKA

TENTANG KEBIJAKAN UMUM PENYELENGGARAAN AUDIT

TEKNOLOGI INFORMASI DAN KOMUNIKASI.

BAB IKETENTUAN UMUM

Pasal 1 #Laporkan

Dalam Peraturan Menteri ini yang dimaksud dengan:

1. Teknologi Informasi dan Komunikasi yang selanjutnya disingkat TIK adalah segala kegiatan yang terkait hlm. 2 dengan pemrosesan, pengelolaan dan penyampaian atau pemindahan informasi antar sarana/media.

2. Audit Teknologi Informasi dan Komunikasi yang selanjutnya disebut Audit TIK adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektif terhadap aset TIK dengan tujuan untuk menetapkan tingkat kesesuaian antara TIK dengan kriteria dan/atau standar yang telah ditetapkan.

3. Instansi Pusat adalah kementerian, lembaga pemerintah nonkementerian, kesekretariatan lembaga negara, kesekretariatan lembaga nonstruktural, dan lembaga pemerintah lainnya.

4. Pemerintah Daerah adalah kepala daerah sebagai unsur penyelenggara pemerintahan daerah yang memimpin pelaksanaan urusan pemerintahan yang menjadi kewenangan daerah otonom.

5. Sistem Pemerintahan Berbasis Elektronik yang selanjutnya disingkat SPBE adalah penyelenggaraan pemerintahan yang memanfaatkan TIK untuk memberikan layanan kepada pengguna SPBE.

6. Infrastruktur SPBE adalah semua perangkat keras, perangkat lunak, dan fasilitas yang menjadi penunjang utama untuk menjalankan sistem, aplikasi, komunikasi data, pengolahan dan penyimpanan data, perangkat integrasi/penghubung, dan perangkat elektronik lainnya.

7. Infrastruktur SPBE Nasional adalah Infrastruktur SPBE yang terhubung dengan Infrastruktur SPBE Instansi Pusat dan Pemerintah Daerah dan digunakan secara bagi pakai oleh Instansi Pusat dan Pemerintah Daerah.

8. Aplikasi SPBE adalah satu atau sekumpulan program komputer dan prosedur yang dirancang untuk melakukan tugas atau fungsi layanan SPBE.

9. Aplikasi Umum adalah Aplikasi SPBE yang sama, standar, dan digunakan secara bagi pakai oleh Instansi Pusat dan/atau Pemerintah Daerah.

10. Aplikasi Khusus adalah Aplikasi SPBE yang dibangun, dikembangkan, digunakan, dan dikelola oleh Instansi Pusat atau Pemerintah Daerah tertentu untuk memenuhi kebutuhan khusus yang bukan kebutuhan Instansi Pusat dan Pemerintah Daerah lain.

11. Keamanan SPBE adalah pengendalian keamanan yang terpadu dalam SPBE.

12. Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, dan/atau menyebarkan informasi elektronik.

13. Lembaga Pelaksana Audit TIK Terakreditasi adalah badan hukum yang telah terakreditasi sebagai pelaksana Audit TIK.

14. Auditor TIK adalah orang yang memiliki kompetensi di bidang Audit TIK berdasarkan ketentuan peraturan hlm. 3 perundang-undangan dan diberi tugas untuk melakukan Audit TIK.

15. Lembaga Sertifikasi Profesi di bidang Audit TIK adalah lembaga sertifikasi profesi yang melaksanakan kegiatan sertifikasi kompetensi di bidang Audit TIK sesuai dengan ketentuan peraturan perundang-undangan.

16. Menteri adalah menteri yang menyelenggarakan urusan pemerintahan di bidang komunikasi dan informatika.

17. Kementerian Komunikasi dan Informatika yang selanjutnya disebut Kementerian adalah perangkat pemerintah yang menyelenggarakan urusan pemerintahan di bidang komunikasi dan informatika.

BAB IIPELAKSANAAN AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI

Bagian KesatuUmum

Pasal 2 #Laporkan

(1) Audit TIK dilaksanakan pada lingkup:

a. nasional;

b. Instansi Pusat; dan

c. Pemerintah Daerah.

(2) Audit TIK sebagaimana dimaksud pada ayat (1) dilaksanakan terhadap:

a. Infrastruktur SPBE;

b. Aplikasi SPBE; dan

c. Keamanan SPBE.

Pasal 3 #Laporkan

(1) Audit TIK pada lingkup nasional sebagaimana dimaksud dalam Pasal 2 ayat (1) huruf a mencakup:

a. audit Infrastruktur SPBE Nasional;

b. audit Aplikasi Umum;

c. audit keamanan Infrastruktur SPBE Nasional; dan

d. audit keamanan Aplikasi Umum.

(2) Audit TIK pada lingkup Instansi Pusat dan Pemerintah Daerah sebagaimana dimaksud dalam Pasal 2 ayat (1) huruf b dan huruf c mencakup:

a. audit Infrastruktur SPBE;

b. audit Aplikasi Khusus;

c. audit keamanan Infrastruktur SPBE; dan

d. audit keamanan Aplikasi Khusus.

Pasal 4 #Laporkan

(1) Audit TIK harus dilaksanakan secara periodik.

(2) Audit TIK pada lingkup nasional sebagaimana dimaksud dalam Pasal 3 ayat (1) dilaksanakan 1 (satu) kali dalam 1 (satu) tahun.

(3) Audit TIK pada lingkup Instansi Pusat dan Pemerintah Daerah sebagaimana dimaksud dalam Pasal 3 ayat (2) dilaksanakan paling sedikit 1 (satu) kali dalam 2 (dua) tahun.

hlm. 4

Pasal 5 #Laporkan

Audit TIK meliputi pemeriksaan hal pokok teknis pada:

a. penerapan tata kelola dan manajemen TIK;

b. fungsionalitas TIK;

c. kinerja TIK yang dihasilkan; dan

d. aspek TIK lainnya.

Bagian KeduaAudit Teknologi Informasi dan Komunikasi

Pada Penerapan Tata Kelola dan Manajemen Teknologi Informasi dan Komunikasi

Pasal 6 #Laporkan

(1) Audit TIK terhadap tata kelola TIK sebagaimana dimaksud dalam Pasal 5 huruf a meliputi pemeriksaan terhadap kerangka kerja pengaturan, pengarahan, dan pengendalian dalam penerapan SPBE secara terpadu atas unsur-unsur SPBE.

(2) Unsur-unsur SPBE sebagaimana dimaksud pada ayat (1) sebagai berikut:

a. Rencana Induk SPBE Nasional;

b. Arsitektur SPBE;

c. Peta Rencana SPBE;

d. rencana dan anggaran SPBE;

e. Proses Bisnis;

f. data dan informasi;

g. Infrastruktur SPBE;

h. Aplikasi SPBE;

i. Keamanan SPBE; dan

j. layanan SPBE.

(3) Pemeriksaan atas kerangka kerja sebagaimana dimaksud pada ayat (1) mencakup pemeriksaan atas aktivitas sebagai berikut:

a. evaluasi TIK;

b. pengarahan TIK; dan

c. pemantauan TIK.

Pasal 7 #Laporkan

(1) Evaluasi TIK sebagaimana dimaksud dalam Pasal 6 ayat (3) huruf a dilakukan dengan meninjau pemanfaatan TIK saat ini dan masa depan dengan memperhatikan kebutuhan Instansi Pusat dan Pemerintah Daerah.

(2) Pengarahan TIK sebagaimana dimaksud dalam Pasal 6 ayat (3) huruf b merupakan penetapan tanggung jawab serta pemberian arahan atas penyiapan dan pelaksanaan dari rencana dan kebijakan TIK serta mendorong suatu budaya tata kelola TIK yang baik.

(3) Pemantauan TIK sebagaimana dimaksud dalam Pasal 6 ayat (3) huruf c merupakan kegiatan memonitor kinerja TIK melalui sistem pengukuran yang tepat serta memastikan bahwa TIK sesuai dengan kebutuhan pemangku kepentingan.

hlm. 5

Pasal 8 #Laporkan

(1) Audit TIK terhadap manajemen TIK sebagaimana dimaksud dalam Pasal 5 huruf a meliputi pemeriksaan terhadap tahapan sebagai berikut:

a. perencanaan TIK;

b. pengembangan TIK;

c. pengoperasian TIK; dan

d. pemantauan TIK.

(2) Perencanaan TIK sebagaimana dimaksud pada ayat (1) huruf a meliputi seluruh ketentuan peraturan internal, standar, dan prosedur serta proses yang terkait perencanaan strategis dan perencanaan taktis atas kegiatan dan anggaran yang terkait.

(3) Pengembangan TIK sebagaimana dimaksud pada ayat (1) huruf b meliputi seluruh ketentuan peraturan internal, standar, dan prosedur serta proses yang terkait dengan perancangan, pengadaan, pengembangan, pengujian, instalasi, migrasi, dan pelatihan TIK.

(4) Pengoperasian TIK sebagaimana dimaksud pada ayat (1) huruf c meliputi seluruh ketentuan peraturan perundang-undangan, ketentuan peraturan internal, standar, dan prosedur serta proses yang terkait dengan pengoperasian TIK.

(5) Pemantauan TIK sebagaimana dimaksud pada ayat (1) huruf d meliputi seluruh ketentuan peraturan internal, standar, dan prosedur serta proses yang terkait dengan pemantauan dan evaluasi TIK.

Pasal 9 #Laporkan

(1) Audit TIK terhadap manajemen TIK sebagaimana dimaksud dalam Pasal 5 huruf a meliputi pemeriksaan terhadap aktivitas sebagai berikut:

a. manajemen keamanan TIK;

b. manajemen risiko TIK;

c. manajemen aset TIK;

d. manajemen pengetahuan TIK;

e. manajemen sumber daya manusia TIK;

f. manajemen layanan TIK;

g. manajemen perubahan TIK; dan/atau

h. manajemen data TIK.

(2) Manajemen keamanan TIK sebagaimana dimaksud pada ayat (1) huruf a harus memperhatikan prinsip-prinsip:

a. kerahasiaan;

b. integritas;

c. ketersediaan;

d. keautentikan;

e. otorisasi; dan

f. kenirsangkalan TIK, sesuai dengan ketentuan peraturan perundang-undangan.

hlm. 6

Bagian KetigaAudit Teknologi Informasi dan Komunikasi

Pada Fungsionalitas dan Kinerja Teknologi Informasi dan Komunikasi

Pasal 10 #Laporkan

(1) Audit TIK terhadap fungsionalitas TIK sebagaimana dimaksud dalam Pasal 5 huruf b merupakan pemeriksaan atas sejauh mana TIK dapat menyediakan fungsi yang memenuhi kebutuhan pada saat digunakan dalam kondisi yang sesuai spesifikasi, meliputi:

a. Kelengkapan fungsi;

b. Kebenaran fungsi; dan

c. Kelayakan fungsi

(2) Audit TIK terhadap fungsionalitas TIK sebagaimana dimaksud dalam Pasal 5 huruf b dan kinerja TIK yang dihasilkan sebagaimana dimaksud dalam Pasal 5 huruf c mencakup:

a. Aplikasi SPBE;

b. Infrastruktur SPBE; dan

c. Keamanan SPBE.

(3) Aplikasi SPBE sebagaimana dimaksud pada ayat (2) huruf a meliputi komponen perangkat lunak Sistem Elektronik yang digunakan untuk menjalankan fungsi, proses, dan mekanisme kerja SPBE.

(4) Infrastruktur SPBE sebagaimana dimaksud pada ayat (2) huruf b terdiri atas:

a. Infrastruktur SPBE Nasional; dan

b. Infrastruktur SPBE Instansi Pusat dan Pemerintah Daerah.

(5) Infrastruktur SPBE Nasional sebagaimana dimaksud pada ayat (4) huruf a terdiri atas:

a. pusat data nasional;

b. jaringan intra pemerintah; dan

c. sistem penghubung layanan pemerintah.

(6) Infrastruktur SPBE Instansi Pusat dan Pemerintah Daerah sebagaimana dimaksud pada ayat (4) huruf b terdiri atas:

a. jaringan intra Instansi Pusat dan Pemerintah Daerah; dan

b. sistem penghubung layanan Instansi Pusat dan Pemerintah Daerah.

(7) Keamanan SPBE sebagaimana dimaksud pada ayat (2) huruf c meliputi keamanan Aplikasi SPBE dan Infrastruktur SPBE.

Pasal 11 #Laporkan

Audit TIK terhadap kinerja TIK yang dihasilkan sebagaimana dimaksud dalam Pasal 5 huruf c merupakan pemeriksaan atas jumlah sumber daya TIK yang digunakan pada kondisi yang sesuai spesifikasi, meliputi:

a. waktu;

b. utilisasi; dan

c. kapasitas.

hlm. 7

Bagian KeempatAudit Teknologi Informasi dan Komunikasi

Pada Aspek Teknologi Informasi dan Komunikasi Lainnya

Pasal 12 #Laporkan

(1) Audit TIK terhadap aspek TIK lainnya sebagaimana dimaksud dalam Pasal 5 huruf d meliputi:

a. audit kepatuhan TIK;

b. audit sertifikasi TIK; dan/atau

c. audit investigasi TIK.

(2) Audit kepatuhan TIK sebagaimana dimaksud pada ayat (1) huruf a merupakan Audit TIK untuk menilai pemenuhan ketentuan peraturan perundang-undangan.

(3) Audit sertifikasi TIK sebagaimana dimaksud pada ayat (1) huruf b merupakan Audit TIK untuk menilai kesesuaian dalam rangka sertifikasi atau terdapat perubahan TIK yang telah disertifikasi.

(4) Audit investigasi TIK sebagaimana dimaksud pada ayat (1) huruf c merupakan Audit TIK sebagai tindak lanjut atas adanya informasi dan/atau laporan publik atas gangguan terhadap TIK yang dilaksanakan tidak dalam rangka penindakan tindak pidana.

Bagian KelimaPedoman Umum Audit

Teknologi Informasi dan Komunikasi

Pasal 13 #Laporkan

(1) Penyelenggaraan Audit TIK dilakukan paling sedikit dengan tahapan:

a. perencanaan audit;

b. pelaksanaan audit; dan

c. pelaporan audit.

(2) Tahapan sebagaimana dimaksud pada ayat (1) harus dilaksanakan sesuai dengan:

a. pedoman umum Audit TIK sebagaimana tercantum dalam Lampiran I yang merupakan bagian tidak terpisahkan dari Peraturan Menteri ini; dan

b. standar, tata cara, dan jangka waktu pelaksanaan Audit TIK.

(3) Standar, tata cara, dan jangka waktu pelaksanaan Audit TIK sebagaimana dimaksud pada ayat (2) huruf b terhadap Infrastruktur SPBE dan Aplikasi SPBE diatur dengan peraturan kepala lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.

(4) Standar, tata cara, dan jangka waktu pelaksanaan Audit TIK sebagaimana dimaksud pada ayat (2) huruf b terhadap Keamanan SPBE diatur dengan Peraturan Kepala lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

hlm. 8

Pasal 14 #Laporkan

(1) Lembaga Pelaksana Audit TIK harus menerbitkan surat keterangan untuk setiap Audit TIK yang dilaksanakannya.

(2) Surat keterangan sebagaimana dimaksud pada ayat (1) dengan format sebagaimana tercantum dalam Lampiran II yang merupakan bagian yang tidak terpisahkan dari Peraturan Menteri ini.

BAB IIIPELAKSANA AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI

Pasal 15 #Laporkan

(1) Dalam melaksanakan Audit TIK, pimpinan instansi pusat dan kepala daerah dilaksanakan dalam wadah Tim Koordinasi SPBE.

(2) Tim Koordinasi sebagaimana dimaksud pada ayat (1) bertugas:

a. mengarahkan, memantau, dan mengevaluasi pelaksanaan Audit TIK SPBE yang terpadu di dalam Instansi Pusat dan Pemerintah Daerah masing-masing; dan

b. melakukan koordinasi dengan Tim Koordinasi SPBE Nasional untuk pelaksanaan Audit TIK SPBE yang melibatkan lintas Instansi Pusat dan Pemerintah Daerah.

(3) Tim Koordinasi sebagaimana dimaksud ayat (1) diketuai oleh Koordinator SPBE Instansi Pusat dan Pemerintah Daerah dan dijabat oleh:

a. sekretaris di Instansi Pusat atau pejabat yang memimpin unit sekretariat untuk Instansi Pusat;

b. sekretaris daerah untuk Pemerintah Daerah.

Pasal 16 #Laporkan

(1) Audit TIK dilaksanakan oleh Lembaga Pelaksana Audit TIK pemerintah atau Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar sesuai dengan ketentuan peraturan perundang-undangan.

(2) Lembaga Pelaksana Audit TIK pemerintah sebagaimana dimaksud pada ayat (1) terdiri atas:

a. lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.; dan

b. lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

(3) Lembaga Pelaksana Audit TIK pemerintah melaksanakan Audit TIK untuk cakupan Aplikasi Umum, Infrastruktur SPBE Nasional, dan Keamanan SPBE nasional.

(4) Instansi Pusat dan Pemerintah Daerah melaksanakan Audit TIK untuk cakupan Aplikasi Khusus, Infrastruktur SPBE, dan/atau Keamanan SPBE pada Instansi Pusat dan Pemerintah Daerah.

hlm. 9

(5) Instansi Pusat dan Pemerintah Daerah melaksanakan Audit TIK dengan menunjuk Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar sebagai pelaksana Audit TIK.

(6) Pelaksanaan Audit TIK sebagaimana dimaksud pada ayat (5) dikoordinasikan oleh Tim Koordinasi SPBE Instansi Pusat dan Pemerintah Daerah.

(7) Koordinasi sebagaimana dimaksud pada ayat (6) dilakukan khususnya terkait:

a. jadwal pelaksanaan audit;

b. lingkup audit; dan

c. pemilihan Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar.

(8) Dalam hal Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar sebagaimana dimaksud pada ayat (5) belum ada, pelaksanaan Audit TIK dilakukan oleh Lembaga Pelaksana Audit TIK Pemerintah.

(9) Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar sebagaimana dimaksud pada ayat (1) harus melakukan pendaftaran pada:

a. lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional untuk pelaksanaan Audit TIK dengan cakupan audit Aplikasi SPBE dan audit Infrastruktur SPBE; dan/atau

b. lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber untuk pelaksanaan Audit TIK dengan cakupan audit Keamanan SPBE.

(10) Pendaftaran sebagaimana dimaksud pada ayat (7) dilakukan dengan menyerahkan dokumen persyaratan pendaftaran paling sedikit:

a. akta pendirian badan hukum;

b. struktur organisasi;

c. sistem kendali mutu audit;

d. memiliki paling sedikit 1 (satu) orang Auditor TIK dengan status pegawai tetap;

e. bukti akreditasi dari lembaga pemerintah nonstruktural yang bertugas dan bertanggung jawab di bidang akreditasi lembaga penilaian kesesuaian; dan

f. persyaratan lain yang ditetapkan oleh lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber dan lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.

(11) Pendaftaran Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar sebagaimana dimaksud pada ayat (7) dilaksanakan melalui pelayanan perizinan berusaha terintegrasi secara elektronik.

(12) Lembaga Pelaksana Audit TIK pemerintah dapat mengambil akreditasi dari lembaga pemerintah nonstruktural yang bertugas dan bertanggung jawab di hlm. 10 bidang akreditasi lembaga penilaian kesesuaian untuk menjamin mutu Audit TIK yang dilaksanakan.

(13) Lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional berkoordinasi dengan lembaga pemerintah nonstruktural yang bertugas dan bertanggung jawab di bidang akreditasi lembaga penilaian kesesuaian untuk penetapan skema akreditasi Lembaga Pelaksana Audit TIK cakupan audit Aplikasi SPBE dan audit Infrastruktur SPBE.

(14) Lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber berkoordinasi dengan lembaga pemerintah nonstruktural yang bertugas dan bertanggung jawab di bidang akreditasi lembaga penilaian kesesuaian untuk penetapan skema akreditasi Lembaga Pelaksana Audit TIK cakupan audit Keamanan SPBE.

Pasal 17 #Laporkan

(1) Selain Lembaga Pelaksana Audit TIK pemerintah atau Lembaga Pelaksana Audit TIK Terakreditasi, untuk kebutuhan internal Instansi Pusat dan Pemerintah Daerah, unit kerja Instansi Pusat dan Pemerintah Daerah yang memiliki fungsi pengawasan internal melaksanakan audit TIK internal secara periodik.

(2) Pelaksanaan audit TIK internal sebagaimana dimaksud pada ayat (1) mengacu pada kebijakan Audit TIK.

(3) Pelaksanaan audit TIK internal sebagaimana dimaksud pada ayat (1), dapat melibatkan pegawai Aparatur Sipil Negara dari unit kerja lain yang memiliki kompetensi Audit TIK.

(4) Pelaksanaan audit TIK internal oleh unit kerja sebagaimana dimaksud pada ayat (1) tidak menghilangkan kewajiban Audit TIK oleh Lembaga Pelaksana Audit TIK pemerintah atau Lembaga Pelaksana Audit TIK Terakreditasi.

Pasal 18 #Laporkan

(1) Pelaksanaan Audit TIK sebagaimana dimaksud dalam Pasal 16 ayat (5) untuk cakupan Keamanan SPBE dikecualikan untuk Instansi Pusat tertentu.

(2) Pelaksanaan Audit TIK sebagaimana dimaksud pada ayat (1) dilaksanakan oleh lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

(3) Ketentuan lebih lanjut mengenai Instansi Pusat tertentu sebagaimana dimaksud pada ayat (1) diatur dengan peraturan kepala lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

Pasal 19 #Laporkan

(1) Proses penunjukan Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar oleh Instansi Pusat dan hlm. 11 Pemerintah Daerah sebagaimana dimaksud pada Pasal 16 ayat (5) dilakukan sesuai dengan ketentuan peraturan perundangan-undangan tentang pengadaan barang dan jasa.

(2) Besaran biaya Audit TIK mengacu pada standar biaya pemerintah pusat dan daerah serta mempertimbangkan jumlah hari pelaksanaan Audit TIK.

Pasal 20 #Laporkan

(1) Pelaksanaan Audit TIK oleh Lembaga Pelaksana Audit TIK sebagaimana dimaksud dalam Pasal 16 ayat (1) dilakukan oleh tim Auditor TIK.

(2) Tim Auditor TIK sebagaimana dimaksud pada ayat (1) beranggotakan paling sedikit 2 (dua) orang Auditor TIK.

(3) Dalam hal Pelaksanaan Audit TIK dilakukan oleh Lembaga Audit Terakreditasi, Tim Auditor TIK sebagaimana dimaksud pada ayat (2) beranggotakan paling sedikit 1 (satu) orang pegawai tetap dan bertindak sebagai ketua Tim Auditor TIK.

(4) Auditor TIK sebagaimana dimaksud pada ayat (2) harus memiliki sertifikat kompetensi di bidang Audit TIK sesuai peranannya dalam tim Auditor TIK.

(5) Auditor TIK sebagaimana dimaksud pada ayat (2) harus terdaftar pada lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional untuk cakupan audit Infrastruktur SPBE dan audit Aplikasi SPBE.

(6) Auditor TIK sebagaimana dimaksud pada ayat (2) harus terdaftar pada lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber untuk cakupan audit Keamanan SPBE.

(7) Auditor TIK sebagaimana dimaksud pada ayat (2) harus menjadi anggota asosiasi profesi terkait bidang Audit TIK.

Pasal 21 #Laporkan

(1) Sertifikat kompetensi di bidang Audit TIK sebagaimana dimaksud dalam pasal 20 ayat (4) diterbitkan oleh Lembaga Sertifikasi Profesi di Bidang Audit TIK.

(2) Lembaga Sertifikasi Profesi di bidang Audit TIK sebagaimana dimaksud pada ayat (1) diatur sesuai dengan ketentuan peraturan perundang-undangan.

(3) Sertifikat kompetensi di bidang Audit TIK untuk Audit TIK cakupan Infrastruktur SPBE dan Aplikasi SPBE yang diterbitkan oleh lembaga selain Lembaga Sertifikasi Profesi di Bidang Audit TIK sebagaimana dimaksud pada ayat (1) harus mendapat pengakuan dari lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.

(4) Sertifikat kompetensi di bidang Audit TIK untuk Audit TIK cakupan Keamanan SPBE yang diterbitkan oleh hlm. 12 lembaga selain Lembaga Sertifikasi Profesi di Bidang Audit TIK sebagaimana dimaksud ayat (1) harus mendapat pengakuan dari lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

(5) Persyaratan pengakuan sertifikat kompetensi di bidang Audit TIK sebagaimana dimaksud pada ayat (3) dan ayat (4) paling sedikit meliputi:

a. kerangka kompetensi;

b. metode pengujian kompetensi;

c. persyaratan pemberian sertifikat kompetensi; dan

d. persyaratan pemeliharaan sertifikat kompetensi.

BAB IVPEMANTAUAN, EVALUASI, DAN PELAPORAN AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI

Pasal 22 #Laporkan

Menteri melakukan pemantauan dan evaluasi terhadap:

a. penyelenggaraan Audit TIK sesuai dengan pedoman umum Audit TIK sebagaimana dimaksud dalam BAB II Peraturan Menteri ini; dan

b. tindak lanjut atas hasil Audit TIK.

Pasal 23 #Laporkan

(1) Dalam rangka pemantauan dan evaluasi sebagaimana dimaksud dalam Pasal 21, Instansi Pusat dan Pemerintah Daerah melalui Koordinator SPBE Instansi Pusat dan Pemerintah Daerah wajib menyampaikan secara elektronik laporan periodik penyelenggaraan Audit TIK kepada Menteri paling sedikit 1 (satu) kali dalam 2 (dua) tahun.

(2) Laporan periodik penyelenggaraan Audit TIK sebagaimana dimaksud pada ayat (1) dengan format sebagaimana tercantum dalam Lampiran III yang merupakan bagian yang tidak terpisahkan dari Peraturan Menteri ini.

(3) Penyampaian secara elektronik sebagaimana dimaksud pada ayat (1) disampaikan melalui portal pelayanan publik.

(4) Portal pelayanan publik sebagaimana dimaksud pada ayat (3) diselenggarakan oleh Kementerian.

(5) Perlakuan atas informasi dalam laporan penyelenggaraan Audit TIK sebagaimana dimaksud pada ayat (1) harus sesuai dengan klasifikasi informasi sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 24 #Laporkan

(1) Dalam hal Penyelenggaraan Audit TIK tidak sesuai dengan pedoman umum Audit TIK sebagaimana dimaksud dalam Pasal 22 huruf a maka Instansi Pusat atau Pemerintah Daerah yang diaudit dapat mengajukan keberatan sehubungan dengan ketidaksesuaian tersebut.

hlm. 13

(2) Keberatan sebagaimana dimaksud pada ayat (1) disampaikan oleh Instansi Pusat atau Pemerintah Daerah melalui surat keberatan kepada Lembaga Pelaksana Audit TIK dengan tembusan kepada Menteri.

(3) Tindak lanjut atas keberatan sebagaimana dimaksud pada ayat (2) didasarkan pada kesepakatan antara Instansi Pusat atau Pemerintah Daerah dan Lembaga Pelaksana Audit TIK.

(4) Dalam hal kesepakatan sebagaimana dimaksud pada ayat (3) tidak dapat dicapai maka Menteri memutuskan tindak lanjut atas keberatan yang dimaksud.

(5) Dalam mengambil keputusan sebagaimana dimaksud pada ayat (4), Menteri dapat berkoordinasi dengan lembaga terkait.

Pasal 25 #Laporkan

(1) Menteri mendelegasikan kewenangan melakukan pemantauan dan evaluasi sebagaimana dimaksud dalam Pasal 22 kepada direktur jenderal.

(2) Direktur jenderal sebagaimana dimaksud pada ayat (1) merupakan direktur jenderal pada Kementerian yang mempunyai tugas menyelenggarakan perumusan dan pelaksanaan kebijakan di bidang penatakelolaan aplikasi informatika.

Pasal 26 #Laporkan

(1) Dalam rangka pemantauan dan evaluasi, Lembaga Audit TIK Terakreditasi dan Terdaftar wajib menyampaikan laporan periodik 1 (satu) kali dalam 1 (satu) tahun tentang Audit TIK cakupan Infrastruktur SPBE dan Aplikasi SPBE yang dilaksanakannya kepada lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.

(2) Ketentuan lebih lanjut mengenai pelaporan sebagaimana dimaksud pada ayat (1) diatur dengan Peraturan Kepala lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.

Pasal 27 #Laporkan

(1) Dalam rangka pemantauan dan evaluasi, Instansi Pusat dan Pemerintah Daerah yang menyelenggarakan Infrastruktur SPBE Nasional dan/atau Aplikasi Umum melalui Koordinator SPBE Instansi Pusat dan Pemerintah Daerah wajib menyampaikan laporan periodik penyelenggaraan Audit TIK atas Infrastruktur SPBE dan Aplikasi SPBE 1 (satu) kali dalam 1 (satu) tahun kepada lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.

(2) Ketentuan lebih lanjut mengenai pelaporan sebagaimana dimaksud pada ayat (1) diatur dengan Peraturan Kepala lembaga pemerintah hlm. 14 nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional.

Pasal 28 #Laporkan

(1) Dalam rangka pemantauan dan evaluasi, Instansi Pusat dan Pemerintah Daerah yang menyelenggarakan Infrastruktur SPBE Nasional dan/atau Aplikasi Umum melalui Koordinator SPBE Instansi Pusat dan Pemerintah Daerah wajib menyampaikan laporan periodik penyelenggaraan Audit TIK atas keamanan 1 (satu) kali dalam 1 (satu) tahun kepada lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

(2) Ketentuan lebih lanjut mengenai pelaporan sebagaimana dimaksud pada ayat (1) diatur dengan Peraturan Kepala lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

Pasal 29 #Laporkan

(1) Dalam rangka pemantauan dan evaluasi, Lembaga Audit TIK terakreditasi dan terdaftar wajib menyampaikan laporan periodik 2 (dua) kali dalam 1 (satu) tahun tentang audit Keamanan SPBE yang dilaksanakannya kepada lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

(2) Ketentuan lebih lanjut mengenai laporan sebagaimana dimaksud pada ayat (1) diatur dengan Peraturan Kepala lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

Pasal 30 #Laporkan

Dalam rangka pemantauan dan evaluasi, lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang keamanan siber dan lembaga pemerintah nonkementerian yang menyelenggarakan tugas pemerintahan di bidang riset dan inovasi nasional menyampaikan hasil Audit TIK yang dilaksanakannya kepada Tim Koordinasi SPBE Nasional paling sedikit 1 (satu) kali dalam 1 (satu) tahun.

Pasal 31 #Laporkan

(1) Dalam rangka pemantauan dan evaluasi atas pelaksanaan Audit TIK oleh lembaga Audit TIK pemerintah, Tim Koordinasi SPBE Nasional melakukan evaluasi 1 (satu) kali dalam 3 (tiga) tahun

(2) Tim Koordinasi SPBE Nasional dapat menunjuk pihak independen untuk melakukan evaluasi sebagaimana dimaksud pada ayat (1).

hlm. 15

BAB VKETENTUAN PENUTUP

Pasal 33 Ketentuan pelaksanaan Audit TIK oleh Lembaga Pelaksana Audit TIK Terakreditasi dan Terdaftar sebagaimana dimaksud dalam Pasal 16 ayat (5) mulai berlaku paling lama 2 (dua) tahun sejak Peraturan Menteri ini diundangkan.

hlm. 16

Agar setiap orang mengetahuinya, memerintahkan pengundangan Peraturan Menteri ini dengan penempatannya dalam Berita Negara Republik Indonesia.

Ditetapkan di Jakarta

pada tanggal 27 Desember 2022

MENTERI KOMUNIKASI DAN INFORMATIKA

REPUBLIK INDONESIA,

ttd

JOHNNY G. PLATE

Diundangkan di Jakarta

pada tanggal 30 Desember 2022

MENTERI HUKUM DAN HAK ASASI MANUSIA

REPUBLIK INDONESIA,

ttd

YASONNA H. LAOLY

BERITA NEGARA REPUBLIK INDONESIA TAHUN 2022 NOMOR 1374

Salinan sesuai dengan aslinya Kementerian Komunikasi dan Informatika Ditandatangani secara elektronik

KEPALA BIRO HUKUM Bertiana Sari

Lampiran I

hlm. 17
LAMPIRAN I
PERATURAN MENTERI
KOMUNIKASI DAN INFORMATIKA
NOMOR 16 TAHUN 2022
TENTANG
KEBIJAKAN UMUM PENYELENGGARAAN
AUDIT TEKNOLOGI INFORMASI DAN
KOMUNIKASI
PEDOMAN UMUM AUDIT TIK
Perencanaan Audit TIK
P-1 Penugasan Audit TIK
a. penugasan Audit TIK dapat dituangkan dalam bentuk piagam
atau surat tugas Audit TIK untuk auditor internal dan surat tugas
atau surat perintah kerja untuk auditor eksternal.
b. piagam atau surat tugas Audit TIK harus menjelaskan tentang
tujuan, lingkup, tanggung jawab, wewenang, akuntabilitas,
periode atau jangka waktu, dan pelaporan dari Audit TIK.
c. piagam atau surat tugas Audit TIK harus disetujui secara
bersama oleh Auditor TIK dan pemberi tugas.
P-2 Independensi dan objektivitas Auditor TIK
a. Auditor TIK harus membuat suatu surat pernyataan
independensi untuk memberikan suatu jaminan independensi
dan obyektifitasnya dari organisasi atau hal yang diaudit
khususnya dalam berbagai hal yang berkaitan dengan Audit TIK.
b. Auditor TIK harus memperhatikan dan menghindari serta hal-hal
yang dapat mengganggu independensi dan objektivitasnya, yaitu
antara lain:
1) hubungan struktural, profesional, pribadi, maupun finansial
yang dapat mengakibatkan auditor membatasi pelaksanaan
pengujian, membatasi informasi yang disampaikan, atau
mengurangi temuan Audit TIK, dalam bentuk apapun;
2) anggapan atau pandangan terhadap sekumpulan individu,
kelompok, organisasi atau tujuan dari suatu kegiatan
tertentu yang dapat mengakibatkan tujuan maupun hasil
Audit TIK menjadi bias;
3) tanggung jawab sebelumnya yang terkait dengan
pengambilan keputusan atau pengelolaan dari sebuah
entitas (organisasi, unit kerja, kelompok kerja, kepanitiaan,
atau yang sejenis), dalam jangka waktu 2 (dua) tahun
sebelumnya, yang dapat mempengaruhi operasional dari
entitas atau kegiatan yang sedang diaudit;
4) berbagai hal yang dapat mengakibatkan bias, seperti adanya
suatu keharusan politis atau sosial yang diakibatkan oleh
keterlibatan dalam atau kewajiban kepada suatu kelompok,
organisasi, atau jabatan pemerintahan tertentu.
5) kepentingan finansial, baik secara langsung maupun secara
tidak langsung, terhadap entitas atau kegiatan yang sedang
diaudit.
6) pelaksanaan audit TIK berkelanjutan oleh individu yang
sama yang sebelumnya terlibat dan menyetujui
hlm. 18
perancangan dan implementasi sistem informasi dari entitas
atau kegiatan yang sedang diaudit.
7) adanya suatu penawaran atau pengajuan lamaran atas
suatu posisi di entitas atau kegiatan yang diperiksa, dalam
jangka waktu 1 (satu) tahun sebelumnya, termasuk jika
penawaran atau pengajuan lamaran tersebut terjadi pada
saat audit sedang berlangsung.
c. Auditor TIK wajib mengungkapkan kondisi-kondisi yang dapat
mengganggu independensi dan objektivitasnya dalam pelaporan
hasil pemeriksaan dan pengawasan.
d. Auditor TIK wajib merahasiakan seluruh informasi yang terkait
dengan Audit TIK, kecuali ditentukan lain oleh peraturan
perundang-undangan atau atas permintaan pengadilan.
P-3 Profesionalisme dan kompetensi Auditor TIK
a. Auditor TIK harus memastikan bahwa dalam merencanakan,
melaksanakan, mengawasi, dan melaporkan penugasannya,
Auditor TIK telah dan hanya menggunakan pendekatan dan
metode yang sesuai dengan peraturan perundang-undangan,
serta sesuai dengan kode etik dan standar profesi yang berlaku
bagi Auditor TIK.
b. Auditor TIK dalam menerapkan prinsip kehati-hatian profesional
(due professional care) dalam merencanakan, melaksanakan,
mengawasi dan melaporkan penugasan auditnya, dengan
memperhatikan hal-hal sebagai berikut:
1) lingkup pengujian audit yang diperlukan untuk menjamin
pencapaian tujuan audit;
2) tingkat kompleksitas, materialitas dan signifikansi dari hal-
hal yang diuji dalam audit;
3) kelayakan dan efektivitas manajemen risiko, pengendalian
intern, dan tata kelola TIK;
4) kemungkinan terdapatnya kesalahan, ketidakwajaran dan
ketidakpatuhan yang signifikan.
5) keseimbangan sumber daya yang dibutuhkan untuk
melakukan audit dengan manfaat keyakinan yang memadai
yang akan diperoleh.
c. Auditor TIK harus memiliki kompetensi yang didasarkan kepada
pengetahuan dan keterampilan yang dibutuhkan oleh Auditor
TIK dalam merencanakan, melaksanakan, mengawasi dan
melaporkan seluruh penugasannya, serta disesuaikan kepada
situasi dan kondisi TIK yang akan diaudit.
d. Auditor TIK harus meningkatkan pengetahuan dan keahlian yang
diperlukan untuk melaksanakan Audit TIK, dengan melakukan
pendidikan profesi berkelanjutan yang memadai sesuai
ketentuan dari Asosiasi Profesi di bidang Audit TIK.
P-4 Perencanaan Audit TIK
a. Auditor TIK harus merencanakan Audit TIK dengan baik dengan
terlebih dahulu mengidentifikasi hal-hal berikut:
1) sumber daya TIK yang akan diaudit;
2) tata kelola dan manajemen TIK yang akan diaudit;
3) peraturan perundang-undangan yang terkait dengan TIK
yang akan diaudit.
b. Auditor TIK harus menyusun rencana Audit TIK secara rinci dan
jelas, yang mencakup:
hlm. 19
1) tujuan, lingkup, dan jenis Audit TIK;
2) tahapan dan prosedur pengujian Audit TIK yang harus
dilakukan;
3) metodologi dan alat bantu audit TIK yang dapat digunakan
oleh Auditor TIK;
4) jangka waktu pelaksanaan setiap tahapan dan prosedur
pengujian dalam Audit TIK;
5) alokasi kepada Auditor TIK yang harus melakukan prosedur
pengujian tersebut.
c. Auditor TIK dalam merencanakan Audit TIK harus
memperhatikan beberapa faktor berikut in:
1) aspek materialitas dan signifikansi dari risiko dan kendali
yang akan diuji;
2) hak dan kewajiban serta batasan Auditor TIK sesuai
peraturan perundang-undangan;
3) kesediaan sumber daya audit, seperti jumlah hari audit, alat
bantu audit, dan kompetensi tim auditor yang terlibat;
4) berbagai keterbatasan dari aspek teknis dari lingkungan TIK
yang ada.
Pelaksanaan Audit TIK
P-5 Pelaksanaan Audit TIK
a. Auditor TIK harus mendokumentasikan seluruh informasi yang
terkait dengan pelaksanaan prosedur audit dan berbagai bukti
yang diperolehnya di dalam seperangkat kertas kerja Audit TIK,
yang harus memenuhi ketentuan sebagai berikut:
1) disusun menggunakan bahasa Indonesia, dengan lengkap,
jelas, terstruktur, dan memiliki indeks, agar mudah untuk
dipahami dan digunakan oleh Audit TIK atau pihak lain yang
akan melakukan reviu atas kertas kerja Audit tersebut.
2) memungkinkan dilakukannya pelaksanaan ulang seluruh
kegiatan yang telah dilaksanakan selama penugasan Audit
TIK tersebut oleh pihak independen dan memperoleh hasil
dan kesimpulan yang sama.
3) mencantumkan identitas pihak yang melaksanakan setiap
tahapan dan pengujian Audit TIK serta peranannya, serta
telah ditinjau oleh pihak lain di dalam tim Auditor TIK.
b. Auditor TIK harus mengelola dokumentasi atau kertas kerja Audit
TIK atas suatu penugasan, yang antara lain mencakup catatan
atau data mengenai:
1) perencanaan dan persiapan tujuan dan lingkup penugasan
tersebut dan hasil telaahan atas dokumentasi audit
sebelumnya atau yang terkait dengan penugasan tersebut;
2) hasil atau risalah rapat reviu pimpinan, rapat manajemen,
dan rapat-rapat lain yang terkait dengan penugasan
tersebut;
3) pemahaman Auditor TIK tentang entitas atau kegiatan yang
diaudit, dan lingkungan pengendalian intern serta sistem
pemrosesan informasi yang terkait;
4) daftar program audit dan prosedur audit lainnya untuk
memenuhi tujuan penugasan tersebut;
5) prosedur audit yang telah dilaksanakan dan bukti audit
yang diperoleh dalam rangka mengevaluasi kelayakan dan
hlm. 20
kelemahan pengendalian TIK yang terkait dengan
penugasan tersebut;
6) metode yang digunakan untuk menilai kelayakan
pengendalian, adanya kelemahan atau kekurangan
pengendalian, dan mengidentifikasi pengendalian pengganti
(compensating controls);
7) pembuat dan sumber dari dokumentasi audit beserta
tanggal penyelesaiannya;
8) hak akses yang dimiliki dana/atau digunakan oleh Auditor
TIK dalam pelaksanaan berbagai pengujian atas sumber
daya TIK yang terkait.
9) hasil pengujian pengendalian, seperti pengujian atas
kebijakan, prosedur dan pemisahan fungsi;
10) hasil pengujian terinci, seperti prosedur analitis, pengujian
atas perhitungan, dan pengujian terinci lainnya;
11) berbagai hasil reviu atau telaahan hasil pelaksanaan
supervisi audit;
12) berbagai temuan, kesimpulan dan rekomendasi audit yang
terkait dengan penugasan tersebut;
13) tanggapan atau komentar pihak yang diaudit atas
rekomendasi dari Auditor TIK .
14) berbagai laporan yang diterbitkan sebagai hasil dari
pelaksanaan penugasan tersebut;
15) tanda terima dari pihak yang berhak untuk menerima
laporan dan temuan audit;
c. Audit TIK harus disupervisi untuk memberikan jaminan yang
memadai bahwa:
1) Seluruh prosedur audit yang telah dialokasikan telah
dilaksanakan dan didokumentasikan;
2) tidak terdapat prosedur audit yang terkait dengan risiko dan
kendali TIK yang material dan signifikan yang tidak
dilaksanakan oleh tim Auditor TIK ;
3) pemimpin tim Auditor TIK telah melaksanakan reviu yang
memadai atas seluruh dokumentasi pelaksanaan prosedur
audit, kertas kerja audit serta bukti-bukti audit yang
diperoleh.
Pelaporan Audit TIK
P-6 Pelaporan Audit TIK
a. Auditor TI, harus menyampaikan Temuan dan Rekomendasi
Audit TIK jika ditemukan adanya kelemahan atau kekurangan
atas rancangan dan/atau pelaksanaan pengendalian intern,
manajemen risiko, dan kelola TIK, di mana temuan dan
rekomendasi audit intern TIK paling sedikit mencakup informasi
sebagai berikut:
1) temuan yaitu berbagai fakta mengenai kelemahan atau
kekurangan rancangan dan pelaksanaan atas rancangan
dan/atau pelaksanaan pengendalian intern TIK, manajemen
risiko TIK, dan tata kelola TIK yang ditemukan oleh auditor
intern TIK yang didasarkan kepada bukti-bukti audit yang
diperoleh dari hasil pelaksanaan prosedur pengujian Audit
TIK;
2) risiko yaitu dampak yang disebabkan oleh adanya kondisi
tersebut di atas, yang secara aktual telah terjadi atau
hlm. 21
memiliki potensi untuk terjadi, yang telah atau akan dapat
mempengaruhi pencapaian sebagian atau keseluruhan
tujuan dari pengendalian intern TIK, manajemen risiko TIK
dan tata kelola TIK;
3) kriteria yaitu berbagai peraturan perundang-perundangan
dan/atau kebijakan, prosedur, dan instruksi kerja, serta
standar dan praktik-praktik terbaik, yang digunakan oleh
Auditor TIK untuk melakukan evaluasi dan pengujian atas
pengendalian intern TIK, manajemen risiko TIK dan tata
kelola TIK;
4) rekomendasi yaitu berbagai tindakan perbaikan yang
menurut Auditor TIK dapat atau harus dilakukan oleh-oleh
pihak yang terkait, untuk menghilangkan dan/atau
mengendalikan berbagai hal yang menjadi penyebab, serta
menghilangkan dan/atau mengendalikan berbagai dampak,
dari adanya berbagai kelemahan atau kekurangan atas
rancangan dan/atau pelaksanaan pengendalian intern TIK,
dan manajemen risiko TIK serta tata kelola TIK yang terkait;
5) tanggapan yaitu klarifikasi atau penjelasan dan argumentasi
atau tanggapan resmi dari pihak-pihak yang terkait
dan/atau bertanggung jawab atas hal-hal yang terkait
dengan temuan dan rekomendasi yang disampaikan oleh
Auditor TIK .
b. Auditor TIK menyampaikan suatu laporan hasil Audit TI, yang
disusun dalam bahasa Indonesia, kepada pihak-pihak yang
terkait dengan suatu penugasan segera setelah pelaksanaan
sebuah penugasan audit selesai dilaksanakan, di mana laporan
hasil Audit TIK tersebut minimal mencakup informasi sebagai
berikut:
1) identitas organisasi, pihak-pihak yang berhak menerima,
dan pembatasan distribusi atau sirkulasi laporan tersebut;
2) tujuan, aspek dan periode yang dicakup, serta sifat, waktu,
dan kedalaman audit;
3) hasil Audit TIK berupa temuan, kesimpulan, dan
rekomendasi Audit TIK, serta, jika ada, pengecualian dan
pembatasan terkait dengan lingkup audit;
4) tanggapan dan/atau komentar resmi atas Laporan Hasil
Audit TIK dari pihak-pihak yang bertanggung jawab atas
entitas atau kegiatan yang diaudit;
5) tanggal pelaporan, serta nama, jabatan dan tanda tangan
ketua tim Auditor TIK ;
6) ringkasan eksekutif, yang merupakan ringkasan dari
laporan hasil Audit TIK , khususnya mengenai hal-hal yang
menurut Auditor TIK cukup material dan signifikan dan
perlu mendapatkan perhatian dari pihak-pihak yang
bertanggung jawab atas entitas atau kegiatan yang diaudit.
P-7 Tindak Lanjut Audit TIK
a. Auditor TIK dalam memantau tindak lanjut Audit TIK, harus:
1) mencatat jangka waktu yang harus dipenuhi oleh satuan
kerja yang bertanggung jawab untuk menindaklanjuti
temuan dan rekomendasi Audit TIK;
2) jika dipandang perlu, dapat melakukan penugasan khusus
atau tambahan dalam rangka melakukan evaluasi dan
verifikasi atas tindak lanjut yang telah dilaporkan;
hlm. 22
3) apabila terdapat tindak lanjut yang belum dilaksanakan
atau yang dipandang kurang memadai pelaksanaannya,
Auditor TIK harus menyampaikan atau mengeskalasikan
hasil pemantauan tindak lanjut Audit TIK tersebut kepada
satuan kerja yang terkait atau kepada pejabat yang lebih
tinggi.
b. Auditor TIK dalam melakukan evaluasi dan verifikasi kelayakan
tindak lanjut atas temuan dan rekomendasi Audit TIK, harus
memperhatikan faktor sebagai berikut:
1) signifikansi dari temuan dan rekomendasi Audit TIK
tersebut;
2) adanya perubahan terhadap lingkungan TIK yang dapat
mempengaruhi signifikansi permasalahan atau risiko yang
terkait dengan temuan dan rekomendasi tersebut;
3) sumber daya dan kompleksitas serta jangka waktu yang
dibutuhkan untuk melaksanakan tindak lanjut dari temuan
dan rekomendasi Audit TIK tersebut; dan
4) dampak yang mungkin ditimbulkan jika tindak lanjut dari
temuan dan rekomendasi tersebut tidak atau gagal
dilakukan.
MENTERI KOMUNIKASI DAN INFORMATIKA
REPUBLIK INDONESIA,
ttd
JOHNNY G. PLATE

Lampiran II

hlm. 23
LAMPIRAN II
PERATURAN MENTERI
KOMUNIKASI DAN INFORMATIKA
NOMOR 16 TAHUN 2022
TENTANG
KEBIJAKAN UMUM PENYELENGGARAAN
AUDIT TEKNOLOGI INFORMASI DAN
KOMUNIKASI
FORMAT SURAT
KETERANGAN PELAKSANAAN
AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI
[.....Nama Kota , Tanggal ]
Nomor :
Sifat :
Lampiran :
Perihal :
Kepada Yth.:
Pimpinan Instansi Penyelenggara
Negara
Dengan ini kami menerangkan bahwa (Nama Lembaga Pelaksana Audit TIK)
telah melaksanakan Audit TIK sebagai berikut :
Nama Instansi
Judul Audit TIK
Tanggal pelaksanaan Audit TIK
Jenis Audit TIK
Lingkup Audit TIK
Lembaga Pelaksana Audit TIK
tim Auditor TIK
Bahwa Audit TIK di atas kami lakukan berdasarkan :
a. Pedoman Umum Audit TIK dari Kementerian Komunikasi dan
Informatika;
b. Standar dan tata cara Audit TIK dari Lembaga Pelaksana Audit TIK
Pemerintah.
Demikian surat keterangan ini kami sampaikan, untuk digunakan
sebagaimana mestinya.
[Pimpinan Lembaga Audit TIK]
(………………………......)
MENTERI KOMUNIKASI DAN INFORMATIKA
REPUBLIK INDONESIA,
ttd
JOHNNY G. PLATE

Lampiran III

hlm. 24
LAMPIRAN III
PERATURAN MENTERI
KOMUNIKASI DAN INFORMATIKA
NOMOR 16 TAHUN 2022
TENTANG
KEBIJAKAN UMUM PENYELENGGARAAN
AUDIT TEKNOLOGI INFORMASI DAN
KOMUNIKASI
FORMAT 1
SURAT LAPORAN PERIODIK PENYELENGGARAAN
AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI
[.....Nama Kota , Tanggal ]
Nomor :
Sifat :
Lampiran :
Perihal :
Kepada Yth.:
Menteri Komunikasi dan Informatika
c.q.
Direktur Jenderal Aplikasi Informatika
di
Jakarta
Dalam rangka memenuhi ketentuan sebagaimana dimaksud dalam pasal 56,
pasal 57, dan pasal 58 Peraturan Presiden Nomor 95 Tahun 2018 tentang
Sistem Pemerintahan Berbasis Elektronik dan Peraturan Menteri Komunikasi
dan Informatika Nomor...Tahun 2020 tentang Kebijakan Umum
Penyelenggaraan Audit Teknologi Informasi dan Komunikasi, kami yang
bertanda tangan di bawah ini bermaksud untuk menyampaikan Laporan
Periodik Penyelenggaraan Audit Teknologi Informasi dan Komunikasi yang
diselenggarakan oleh [Instansi Penyelenggara Negara] sebagaimana terlampir.
Demikian disampaikan, atas perhatian diucapkan terima kasih.
[Koordinator SPBE IPPD]
(………………………......)
hlm. 25
FORMAT 2
LAPORAN PERIODIK PENYELENGGARAAN
AUDIT TEKNOLOGI INFORMASI DAN KOMUNIKASI
A. Identitas Instansi Pusat dan Pemerintahan Daerah.
Nama Instansi (isi nama instansi)
Periode pelaporan (isi periode pelaporan)
B. Penanggung Jawab Penyelenggaraan Audit TIK
Nama (isi nama lengkap)
Jabatan (isi jabatan resmi)
NIP (isi Nomor induk pegawai)
Kontak (isi nomor telepon dan surel ybs)
C. Penyelenggaraan Audit TIK
Informasi Audit TIK #1
Lampiran Surat Keterangan (lampiran II)
Judul Audit TIK (isi judul)
Tanggal Laporan Audit TIK (isi tanggal)
Jenis Audit TIK (isi jenis audit)
Lingkup Audit TIK (isi lingkup audit)
Lembaga Pelaksana Audit TIK (isi nama lembaga pelaksana audit)
Ringkasan Hasil Audit TIK
Ringkasan Temuan (parameter) Ringkasan Rekomendasi (parameter)
(temuan 1) jenis dan narasi (rekomendasi 1)
narasi singkat dan tenggat waktu
(temuan 2) (rekomendasi 2)
Informasi Audit TIK #2
Judul Audit TIK (isi judul)
D. Tindak Lanjut Audit TIK
Informasi Tindak Lanjut Audit TIK
Rekomendasi #1 Tenggat waktu Tindak Lanjut #1
Rekomendasi #2 Tenggat waktu Tindak Lanjut #2
Rekomendasi #3 Tenggat waktu Tindak Lanjut #3
MENTERI KOMUNIKASI DAN INFORMATIKA
REPUBLIK INDONESIA,
ttd
JOHNNY G. PLATE

Lampiran IV

hlm. 26
LAMPIRAN IV
PERATURAN MENTERI
KOMUNIKASI DAN INFORMATIKA
NOMOR 16 TAHUN 2022
TENTANG
KEBIJAKAN UMUM PENYELENGGARAAN
AUDIT TEKNOLOGI INFORMASI DAN
KOMUNIKASI
A. Proses Bisnis Audit TIK SPBE di Tingkat Nasional
hlm. 27 OCR
PA Proses Audit
ba TIK
z
x
F3
On
On
ma
2 Tidak
s Apakah LATIK
s pakai sae
2 Dean LAN Proses Audi
gs tersedia?
z
x
ini
o z
ala
ala
tx
4
sis
z
F
5
w
n
x
F
- Apakah termasuk Apakah LATIK
3 , sektor yang Terakreditasi
& & dikecualikan ? Ya tersedia?
wa
z
5 Konsultasi dan Penunjukan Tidak Tidak Permintaan Penerimaan
a Koordinasi LATIK Audit TIK Perak
ke) Mulai
xc
" Ih
2 n
2
z
z
8
z O
z @ Konsultasi dan
t Koordinasi Proses Bisnis
w
Z Proses Bisnis Pemantauan dan
wu " Evaluasi
sz Pendaftaran
w LATIK
5
E
0
ini
s Proses Audit
& TIK
x
hlm. 28 OCR
C. Proses Bisnis Pendaftaran Lembaga Pelaksana Audit TIK
z
ke)
ja
wu
a
n
x
ing Proses Uji
w
Kp)
a
P3
in
3
x Proses
hn @ Sertifikasi.
e Kompetensi
fa
5
Hg
3
Kol
- 9 Proses Pengajuan Pengajuan
id — Kepegawaian Akreditasi Pendaftaran
Aa
5 Ja
z Is
sk
xx Ig
rr 0 —
L
&d
5
z
Pn
5 N
z
a)- Proses
— (Ng
Kej
x
a
8
s
5
2 Publikasi daftar
c Proses u
LATIK
Fi Pendaftaran Terakreditasi
a
z
a
Proses
penunjukan
LATIK
ke)
u
Z
2
P @
x
c
c
2 Proses Bisnis
2 Pelaksanaan
E Audit TIK
hlm. 29 OCR
D. Proses Bisnis Pemantauan dan Evaluasi Audit TIK
w
M
a
c
2» Koordinasi
8 SPBE
N4
E
Kej
LL
Z
le)
s Pemantauan
c dan Evaluasi
T Audit TIK
5 tingkat IPPD
w
sz
in
ng
x
- 15
s s
a19 Pelaporan
a12 Periodik
$ z @ Pelaksanaan
alam Audit TIK
Ti D Proses Bisnis tingkat IPPD
ad « Pelaksanaan
s Audit TIK tingkat
-lo IPPD
T 0
5 pa
« wW
lo
g - Pelaporan
Tg
ala Periodik
a @ Pelaksanaan
2lIS Audit TIK tingkat
na Proses Bisnis Nasional
a Pelaksanaan
Hi Audit TIK tingkat
Ki Nasional
x
a
C
te)
Lt
H
5
9 Pemantauan
r dan Evaluasi
& Audit TIK tingkat
Nasional
8
z
x
Tea
x
HJ
c
vc
E5 Pelaporan
ma Periodik
S s5 Pelaksanaan
ca Audit TIK
w
x
hlm. 30
E. Proses Bisnis Pemantauan dan Evaluasi Keberatan Pelaksanaan Audit TIK
MENTERI KOMUNIKASI DAN INFORMATIKA
REPUBLIK INDONESIA,
ttd
JOHNNY G. PLATE