BAB 3 ORGANIZATION & MANAGMENT
Welcome message from author
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
BAB 3
ORGANIZATION
&
MANAGMENT
Session
Objectives
1. To consider the importance of IT
organisational and high level management
controls to an IT environment.
2. To review the types of management control
likely to be encountered by an IT auditor
3. To enable the IT auditor to identify
weaknesses in a client's organisation and
put forward constructive recommendations
Components Of IT
Organisation and management
Flow of Controls
POOR ORGANISATIONALAND MANAGEME~~CONTROLS
rn ADEQUATE CONTROL OVER THE IT DEPARTMENT
=POOR GENERAL IT CONTROLS
rn ADEQUATEAPPLICATlON CONTROLS =rn CREASED TRANSACTION RISK
What are the risks?
r:G" Why does the client need IT
organisation and management controls?
sr: What risks could arise from a poor
controls in this area?
c:r What impact could a lack of adequate
controls have on the external auditor?
STRUKTUR ORGANISASI UNIT AUDIT
DALAMAN UNIVERSITI TUN HUSSEIN
ONN MALAYSIA
KETUA UNIT AUDIT DALAMAN (W48)
JURUAUDIT(W41) PEGAWAI
TEKNOLOGI MALUMAT (F41)
Bahagian Audit
Kewangan
Bahagian Audit Pengurusan
P.JURUAUDIT (W27)
P.JURUAUDIT (W27)
P.Akauntan
(W17)
P.Akauntan Kanan (W22)
Bahagian Audit Khas & ICT
P.Juruaudit Kanan (W32)
P.Akauntan (W17)
Bahagian Pentadbiran
Pembantu Tadbir (N17)
1. IT Organization Chart
PEKELlLlNG AM BILANGAN 2 TAHUN 2006
13 November 2006
STRUKTUR TADBIR URUS JAWATANKUASA IT DAN INTERNET KERJAAN (JmK)
JAWATANKUASA
(JMK)
Jawatankuasa
(JKJ)
Jawatankuasa Pengauditan
Jawatankuasa
Latihan ICT
(JKLICT)
Jawatankuas
a Teknologi
ICT
(JKICT)
(a)Jawatankuasa IT dan Internet Kerajaan (JITIK)
Menentukan arah tuju, dasar dan strategi
pembangunan ICT di sektor awam.
(b) Jawatankuasa Kerja JITIK (JKJ) Think-tank
JITIK menggantikan JTPIT.
-Memberi fokus kepada pembangunan strategi dan
perancangan ICT sektor awam.
(c) Jawatankuasa Penyelarasan Kerajaan Elektronik
(EGCOM)
Menggantikan EGSC dan peranan adalah lebih luas.
Projek-projek Kerajaan Elektronik yang di selaras dan
dipantau oleh EGCOM merangkumi projek-projek
Kerajaan Elektronik di bawah aplikasi perdana Koridor
Raya Multimedia (MSC) dan juga projek-projek ICT
kerajaan yang merentasi pelbagai agensi seperti
aplikasi komuniti1, enterprise-wide2 dan pelaksanaan
perkongsian pintar3. EGCOM juga akan memberi
perhatian kepada isu-isu pengoperasian pelaksanaa
projek- projek
(d) Jawatankuasa Teknikal JCT (JTJCT)
Diberi nama baru iaitu Jawatankuasa Teknikal ICT
(JTICT). Masih mengekalkan peranan menyelaras dan
memantau urusan pengoperasian pelaksanaan projek
ICT agensi-agensi sektor awam. Fungsi utama JTICT
adalah menimbang dan memberi kelulusan teknikal
permohonan perolehan ICT agensi-agensi sektor awam
berdasarkan Pelan Strategik ICT (ISP) agensi masing-
masing.
e) Jawatankuasa Latihan ICT (JLlCT)
Menggantikan JLPIT. JLlCT berperanan membangunkan
dasar dan latihan bagi program pembangunan
kompetensi, pembudayaan dan pelaksanaan ICT sektor
awam
IT Organization Chart - 22 MAC 2000 PENAMA :Ali KE'I'UA PEGAWAl MAKLUMAT SEKTOR AWAlJIJ.
1. Sukacita saya menarik perhatian Y. Bhg. Tan
S=ijDaruk/Dato'/Tuan!Puan kepada perkara cii atas.
2. Sebagaimana Y. Bhg. Tan Sri/Daruk/Dato'/Tuan/Puan
sedia maklum, penggunaan teknologi maklumat sektor
awam terus berkernbang dan program meningkatkan
penggunaan teknologi maklumat diberi keutamaan
Kerajaan. Usaha terkni Kerajaan melaksanakan beberapa
aplikasi perdana seperti Kerajaan Elektronik,Sekolah
Bestari, Kad Pintar Pc pelbagai guna dan kerajaan untuk
meningkatkan mutu perkhdmatan awam melalui
teknologi maklumat
.
3. Pengunaan teknologi maklumat telah membawa perubahan
besar dalam pengurusan dan pentadbiran Kerajaan. Dengan itu,
perancangan dan pelaksaan yang rapi selaras adalah amat
penting. Sehubungan dengan ini, Jawatankuasa IT selain Internet
Kerajaan (JITIK) telah memutuskan bahawa adalah perlu bagi
setiap agensi melantik Ketua Pegawai Maklumat (Chit.>J
lnformation Officer - CiO). Tanggungjawab pertama ClO ialah
menentukan strategi melaksanakan isentiff IT bagi mencapai visi
dan objektif pembangunan dan penggunaan IT di agensi masing-
masing. Peranan CIO termasuk, antara lain. memberi pimpinan,
penyelarasan dan haluan dalam penggunaan IT serta sebagai
penasihat IT kepada pinak pengurusan dalam agensi, 0leh yang
demikian, CIO perlulan terdiri dari kalangan pengurusan atasan
agensi berkernaan
1. IT Organization Chart
a)Menyediakan plan Strategi Teknologi maklumat agensi
yang mengandingi perancangan penggunaan IT dalam ID
menyokong pencapaian agensi
b)J M=pelaksanaan.Meletakkn proses-proses yang cross
functuma amara jawatan bagi menghasilkan perkhidmatan
yang lebih cekap dan berkesan;
[c] Membangunkan infrastruktur kepada 0" porou,iliry
mengendali kan serta menguruskan sistem dan IT yang
disuruh client serta berdasarkan maklumat, connecrilfime:r-
operability
(d)Menentukan hala tuju sistem aplikasi agensi bagi
mengurangkan masa dan kos pembangunan,
penyelenggaraan dan pengoperasi secara Memelihara
intergriti data elektronik, menggalakkn perkongsian
maklumat dan melaksanakan kaedah bagi penyebaran
maklumat secara elektronik kepada pengguna yang
asli sama ada dalam atau luar agensi Jawatankuasa
Perancangan dan Pembangunan atau jawatankuasa
utama yang mengutamakan dasar dan
bertanggungjawab terus kepada Ketua Setiausaha
atau ketua jabatan agensi
e)Memelihara intergriti data elektronik, menggalak
perkongsian maklumat dan melaksanakan kaedah bagi
penyebaran maklumat secara eiektronik kepada
pengguna-pengguna yang sama ada dalam atau luar
agensi
f)Mengandungi jawatankuasa Perancangan dan
Pembangunan atau jawatankuasa utama yang
menggunakan kasar dan bertanggungjawab terus kepada
Ketua Setiausaha atau ketua jabatan agensi
g)Mempromosikan kegunaan IT yang berkesan dan
seiringan untuk rnericapai matlamat strategik agensi
dan bertindak sebagai agen dan perintis perubanan
(champion of changer) dan
(h) Melibatkan agensi dalam usana-usaha kerajaan
untuk membangun dan melaksanakan projek IT
disektor awam yang membawa kepada perubahan
2. Senior Management Control
and Involvement
R:r Overall responsibility for IT
R:r The existence of an organisational
structure
R:r Senior management’s involvement in
controlling the direction and management of
IT services
3. IT Strategy
Follow business needs/ future
strategy :-
ClF Forward looking
ClF Review and update
ClF Awareness
ClF Systems covered
ClF Approval
Plan strategik IT
sektor awam
2011-2015
Causes of errors, loss, problems
•Accidental/ unintentional people
mistakes/
errors and omissions I . .
('0?t )
•Natural disasters
•Fraud
•Hardware / software failure
4. Personnel Policies
sr: Organisational structure / charts
w Job descriptions
w Staff planning
4. Personnel Policies continued
(it" Staff assessments
(jt" Special contracts
Qt" Job rotation
Qt" Vacation policies
4. Personnel Policies continued
<? Recruitment policies
'li Background checks
'li Confidentiality agreements
'l' Codes of conduct
4. Personnel Policies continued
Termination policies
'l? Voluntary
'l? Involuntary
'l? Immediate termination
'l? Security measures
'l? Notification
'l? Final pay
'l? Leaving interviews
'l? Return of property
5. Training Policies
w Staff resource planning
w Skill staff required - present & future
r:Jr Staff given training to meet
planned requirements
w Costly therefore controlled by
training plans and budgets
6. System documentation policies
Risks associated with inadequate
R?Unauthorised working practices
Sy: Increased errors,problems with
the system
Sr:System main
7. Third Party Supplier/ Outsourcinz Policies
qr Increasing trend
Clr Policy may influence future
external audit
involvement
Clr Ensure needs of external auditor
are
identified and known to client
~@3.~~
8. Internal Audit Involvement
w Management sets policies
w Internal audit checks compliance with
management's policies
w Questions to ask include:
~ Reporting freedom
'II Management I IA relationship
~ Scope of reviews I limitations
'II Resourcing
'II Quality
9. IT Security Policy
SURAT PEKELILING AM MAMPU
Bil. 3 tahun 2009 - Garis Panduan Penilaian Tahap Keselamatan
Rangkaian Dan Sistem ICT Sektor Awam
Bil. 4 Tahun 2006 - Pengurusan Pengendalian Insiden
Keselamatan Teknologi Maklumat (lCT) Sektor Awam
Bil. 6 Tahun 2005 - Garis Panduan Penilaian Risiko Keselamatan
Maklumat Sektor Awam PEKELILING AM MAMPU
Bil. 1 Tahun 2001 - Mekanisme Pelaporan Insiden Keselamatan
Teknologi Maklumat dan Komunikasi (ICT)
Bil. 3 Tahun 2000 - Rangka Dasar Keseiamatan Teknologi
Maklumat dan Komunikasi Kerajaan
GARIS PANDUAN DAN STANDARD rcr MAMPU Garis Panduan
Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT
SektorAwam Garis Panduan Pengurusan Keselamatan ICT
Sektor Awam Malaysia (MyMIS) - 2002
Garis Panduan IT Outsourcing - 2006
Arahan Teknologi Maklurnat dan Akta Aktiviti Kerajaan
Elektronik - 2007 Dasar Keselamatan ICT MAMPU Versi 5.3 pada
M ei 20 I 0
~ Normally a
concise narrative
<7' Senior
management
approved
0,- Availability
Contents of an IT Security policy
c:r Definition of information security
r;r Statement of management intention,
r:tr Specific security policies, principles,
standards and compliance requirements
c:r General and specific responsibilities
r:tr Security incident reporting
10. Legal and Regulatory Com liance
qr Varies from country to country
cs: May include rules/ laws regulations for:
'lr Data protection and privacy
'lr Computer use/ misuse
'lr Banking and finance regulations
'lr Co . aht laws / theft of software
UNDANG·UNDANG SIBER DAN
PERUNDANGAN
Akta Aktiviti Kerajaan Eleklronik 2007 (Akta
680) Computer Crime Act 1997 (01/06/2000)
Communication and MultImedia Act 1998
(01/04/1 999) Malaysian Cotnmumcstons and
MultImedia Comtmssiot : Act 1998
(01/04/1999) Digftal Signature Act 1997
(01/10/1998) e/emedictneAct 1997 Copyright
(Amendment) 1997
11. Segregation of duties
ow Prob: Fundamental control
concept
w Programmers and operators
w In a ideal environment all functions
would be segregated lems, limited
scope in small clients
w Segregation between IT and users
M
11. Segregation of duties
sr: Fundamental control concept
cr Programmers and operators
cr In a ideal environment all functions
would be segregated
w Problems, limited scope in small clients
cr Segregation between IT and users
t~
THANK YOU
EXERCISE
Prepare an Audit Programme based on Organization
and Management
Control
1. IT organisational structure
2. Senior management involvement
3. IT strategy
4. personnel
5. Training policies
6. ocumentation
7. Third party supplier / outsourcing policies
8. Internal audit involvement
9. IT security policies
10.Legal and regulatory compliance
11.Segregation of duties
Related Documents
