Model kematangan (maturity model) digunakan untuk mengukur kematangan proses yang terkait IT perusahaan saat ini, untuk menentukan status kematangan selanjutnya yang diperlukan, untuk menentukan kesenjangan diantaranya, dan bagaimana meningkatkan proses untuk mencapai tingkat kematangan yang diinginkan.
Pada framework COBIT 5 tidak lagi menggunakan Maturity Level seperti pada COBIT 4.1 sebelumnya. Namun diganti menjadi Capability Model yang mengadopsi dari ISO/IEC 15504-2 yang diakui secara internasional. Dimana proses penilaian akan berdasarkan tingkat kemampuan sebuah organisasi dalam melakukan proses-proses yang telah didefinisikan dalam model assessment.
Perbedaan antara Maturity Model COBIT 4.1 dan Capability Model pada COBIT 5
Elemen-elemen dari pendekatan maturity model pada COBIT 4.1 ditunjukkan pada gambar berikut
Sesuai pada gambar diatas, COBIT 4.1 menggunakan berbagai level untuk menilai kematangan, level tersebut adalah:
Level 0: Non-existent = Pengendalian internal tidak diperlukan untuk perusahaan berdasarkan budaya atau misi internal. Risiko dan kekurangan terkait dianggap sangat tinggi.
Level 1: Initial/ad hoc = Pengendalian internal dianggap perlu. Namun pengendalian internal ini bersifat ad hoc dan tidak terorganisir. Karyawan tidak menyadari tanggung jawab mereka. Kekurangan tidak diidentifikasi.
Level 2: Repeatable but intuitive = Kontrol diimplementasikan tetapi tidak didokumentasikan, karena bergantung pada pengetahuan dan motivasi individu. Karyawan mungkin tidak menyadari tanggung jawab mereka.
Level 3: Defined = Seperti pada level sebelumnya, kontrol diimplementasikan, tetapi pada level ini terdapat dokumentasi yang memadai. Tidak seperti level 2, karyawan menyadari tanggung jawab mereka untuk kontrol.
Level 4: Managed and measurable = Manajemen risiko dan penerapan pengendalian internal berjalan efektif. Evaluasi pengendalian internal didokumentasikan secara formal berdasarkan tinjauan berkala. Namun juga dengan upaya tersebut, tidak semua masalah teridentifikasi.
Level 5: Optimised = Risiko dan pengendalian dikelola oleh program yang baik yang memberikan pengendalian dan penyelesaian masalah risiko yang berkelanjutan dan efektif. Praktik perusahaan mencakup pengendalian internal dan manajemen risiko. Tidak seperti di tingkat lain, karyawan secara proaktif terlibat dalam mengendalikan perbaikan yang dihasilkan.
Dalam maturity model COBIT 4.1 terdapat enam Maturity Attributes (MAs) yang harus diterapkan pada setiap proses, yang terdiri dari:
Kesadaran dan komunikasi
Kebijakan, rencana, prosedur
Alat dan otomatisasi
Kemampuan dan keahlian
Tanggung jawab dan akuntabilitas
Penetapan tujuan dan pengukuran
Menggunakan maturity model COBIT 4.1 untuk tujuan peningkatan proses memerlukan penggunaan komponen COBIT 4.1 yang terdiri dari:
Pertama, penilaian perlu dilakukan apakah tujuan pengendalian untuk proses terpenuhi.
Selanjutnya, model maturitas yang termasuk dalam pedoman manajemen untuk setiap proses dapat digunakan untuk mendapatkan profil maturitas proses.
Selain itu, model maturitas generik di COBIT 4.1 menyediakan enam atribut berbeda yang dapat diterapkan untuk setiap proses dan yang membantu memperoleh pandangan yang lebih rinci tentang tingkat maturitas proses.
Kontrol proses adalah tujuan kontrol generik, mereka juga perlu ditinjau ketika penilaian proses dibuat. Kontrol proses sebagian tumpang tindih dengan atribut model kematangan generik.
Sedangkan pendekatan capability model COBIT 5 adalah sebagai berikut:
Terdapat enam tingkat kemampuan (capability levels) yang dapat dicapai suatu proses, yang terdiri dari:
Level 0: Incomplete process = Proses tidak ditempatkan atau tidak dapat mencapai tujuannya. Pada tingkat ini proses tidak memiliki tujuan untuk dicapai. Untuk alasan ini level ini tidak memiliki atribut.
Level 1: Performed process (satu atribut) = Prosesnya ada dan mencapai tujuannya sendiri. Level ini hanya memiliki “Process Performance” sebagai atribut proses.
Level 2: Managed process (dua atribut) = Proses tersebut dilaksanakan mengikuti serangkaian kegiatan seperti perencanaan, pemantauan dan penyesuaian kegiatan. Hasil ditetapkan, dikendalikan dan dipelihara. Level ini memiliki "Manajemen Kinerja" dan "Manajemen Produk Kerja" sebagai atribut proses.
Level 3: Established process (dua atribut) = Level sebelumnya sekarang diimplementasikan mengikuti proses yang ditentukan yang memungkinkan pencapaian hasil proses. Level ini memiliki “Process Definition” dan “Process Deployment” sebagai atribut proses.
Level 4: Predictable process (dua atribut) = Tingkat ini mengimplementasikan proses dalam batas yang ditentukan yang memungkinkan pencapaian hasil proses. Tingkat ini memiliki "Manajemen Proses" dan "Kontrol Proses" sebagai atribut proses.
Level 5: Optimising process (dua atribut) = Tingkat ini mengimplementasikan proses dengan cara yang memungkinkan untuk mencapai tujuan bisnis yang relevan, saat ini dan yang diproyeksikan. Tingkat ini memiliki "Inovasi Proses" dan "Optimasi Proses" sebagai atribut proses.
Setiap tingkat kemampuan hanya dapat dicapai jika tingkat di bawahnya telah tercapai sepenuhnya. Setiap perusahaan harus memilih (berdasarkan biaya-manfaat dan alasan kelayakan) target atau tingkat yang diinginkan.
Perbedaan paling penting antara penilaian capability berbasis ISO/IEC 15504 dan maturity model COBIT 4.1 adalah sebagai berikut:
Penamaan dan arti dari tingkat kemampuan yang ditentukan ISO/IEC 15504 sangat berbeda dari model maturity COBIT 4.1.
Dalam ISO/IEC 15504, tingkat kemampuan (capability) ditentukan oleh satu set (sembilan) atribut proses. Atribut ini mencakup beberapa dasar yang dicakup oleh atribut kematangan COBIT 4.1, tetapi hanya sampai batas tertentu dan dengan cara yang berbeda.
Persyaratan untuk model referensi proses yang sesuai dengan ISO/IEC 15504:2, yaitu, setiap proses tata kelola dan/atau manajemen COBIT 5:
Proses ini dijelaskan dalam hal tujuan dan hasil.
Deskripsi proses tidak boleh berisi aspek kerangka pengukuran di luar level 1, yang berarti bahwa karakteristik atribut proses apa pun di luar level 1 tidak dapat muncul di dalam deskripsi proses.
Atribut umum yang berlaku untuk semua proses perusahaan, yang menghasilkan tujuan kontrol duplikat dalam publikasi COBIT ® 3rd Edition dan dikelompokkan ke dalam tujuan kontrol proses (PC) di COBIT 4.1, sekarang didefinisikan di level 2 hingga 5 dari model penilaian.
Perbedaan dalam Praktek
Perubahan utama yang harus dipertimbangkan meliputi:
COBIT 4.1 dan COBIT 5 memiliki kesamaan yang terlihat dengan skala angka dan kata-kata yang digunakan untuk menggambarkannya, perbandingan seperti itu sulit karena perbedaan dalam ruang lingkup, fokus dan maksud.
Dalam model kematangan COBIT 4.1, suatu proses dapat mencapai level 1 atau 2 tanpa sepenuhnya mencapai semua tujuan proses; pada tingkat kapabilitas proses COBIT 5, ini akan menghasilkan skor yang lebih rendah dari 0 atau 1.
Level maturity model COBIT 4.1 dan level capability proses COBIT 5 dipetakan seperti pada gambar berikut:
Tidak ada lagi model maturitas khusus pada proses di COBIT 5 karena pendekatan penilaian kapabilitas ISO/IEC 15504 tidak memerlukan ini dan bahkan melarang pendekatan ini. Pendekatan mendefinisikan informasi yang diperlukan dalam 'model referensi proses' (model proses yang akan digunakan untuk penilaian):
Deskripsi proses, dengan pernyataan tujuan
Praktik dasar, yang setara dengan tata kelola proses atau praktik manajemen dalam istilah COBIT 5
Model maturitas COBIT 4.1 menghasilkan profil maturitas suatu perusahaan. Tujuan utama dari profil ini adalah untuk mengidentifikasi dimensi mana atau atribut mana yang memiliki kelemahan spesifik yang perlu diperbaiki. Pendekatan ini digunakan oleh perusahaan ketika ada fokus perbaikan daripada kebutuhan. Dalam COBIT 5 model penilaian memberikan skala pengukuran untuk setiap atribut kemampuan dan panduan tentang cara menerapkannya, sehingga untuk setiap proses penilaian dapat dilakukan untuk masing-masing dari sembilan atribut kemampuan.
Atribut kematangan pada COBIT 4.1 dan atribut kapabilitas COBIT 5 tidak identik. Mereka tumpang tindih/dipetakan sampai batas tertentu. Perusahaan yang telah menggunakan pendekatan atribut model maturitas di COBIT 4.1 dapat menggunakan kembali data penilaian yang ada dan mengklasifikasikannya kembali di bawah penilaian atribut COBIT 5 berdasarkan gambar berikut ini.
Manfaat Perubahan
Manfaat capability model proses COBIT 5, dibandingkan dengan maturity model COBIT 4.1, meliputi:
Peningkatan fokus pada proses yang sedang dilakukan, untuk memastikan bahwa proses tersebut benar-benar mencapai tujuannya dan memberikan hasil yang diperlukan seperti yang diharapkan.
Konten yang disederhanakan melalui penghapusan duplikasi, karena penilaian model maturitas COBIT 4.1 memerlukan penggunaan sejumlah komponen spesifik, termasuk model maturitas generik, model maturitas proses, tujuan kontrol, dan kontrol proses untuk mendukung penilaian proses.
Peningkatan keandalan dan pengulangan kegiatan penilaian capability proses dan evaluasi, mengurangi perdebatan dan ketidaksepakatan antara pemangku kepentingan pada hasil penilaian.
Peningkatan kegunaan hasil penilaian capability proses, karena model baru menetapkan dasar untuk penilaian yang lebih formal dan ketat untuk dilakukan, baik untuk tujuan internal maupun potensi eksternal.
Kepatuhan dengan standar penilaian proses yang diterima secara umum dan oleh karena itu dukungan yang kuat untuk pendekatan penilaian proses di pasar.
Melakukan Penilaian Capability Proses di COBIT 5
Standar ISO/IEC 15504 menetapkan bahwa penilaian capability proses dapat dilakukan untuk berbagai tujuan dan dengan berbagai tingkat ketelitian. Tujuan dapat bersifat internal, dengan fokus pada perbandingan antara area perusahaan dan/atau peningkatan proses untuk keuntungan internal, atau dapat bersifat eksternal, dengan fokus pada penilaian, pelaporan, dan sertifikasi formal.
Pendekatan penilaian berbasis COBIT 5 ISO/IEC 15504 terus memfasilitasi tujuan berikut:
Memungkinkan badan tata kelola dan manajemen untuk mengukur capability proses.
Adanya pemeriksaan kesehatan saat ini dan masa depan untuk mendukung pengambilan keputusan investasi tata kelola dan manajemen terkait dengan peningkatan proses.
Memberikan analisis kesenjangan dan informasi perencanaan perbaikan untuk mendukung definisi proyek perbaikan yang dapat dibenarkan.
Memberikan peringkat penilaian kepada badan tata kelola dan manajemen untuk mengukur dan memantau kemampuan saat ini.
Menilai apakah proses mencapai tujuannya atau mencapai tingkat kapabilitas 1 (apakah suatu proses mencapai tujuan yang dimaksudkan), dapat dilakukan dengan:
Meninjau hasil proses untuk setiap proses dan menggunakan skala peringkat ISO/IEC 15504 untuk menetapkan peringkat sejauh mana setiap tujuan tercapai. Skala ini terdiri dari peringkat berikut:
N (Tidak tercapai)—Ada sedikit atau tidak ada bukti pencapaian atribut yang ditentukan dalam proses yang dinilai. (0 sampai 15 persen pencapaian)
P (Sebagian tercapai)—Ada beberapa bukti pendekatan, dan beberapa pencapaian, atribut yang ditentukan dalam proses yang dinilai. Beberapa aspek pencapaian atribut mungkin tidak dapat diprediksi. (15 sampai 50 persen pencapaian)
L (Sangat tercapai)—Ada bukti pendekatan sistematis, dan pencapaian signifikan dari, atribut yang ditentukan dalam proses yang dinilai. Beberapa kelemahan yang terkait dengan atribut ini mungkin ada dalam proses yang dinilai. (pencapaian 50 hingga 85 persen)
F (Sepenuhnya tercapai)—Ada bukti pendekatan yang lengkap dan sistematis untuk, dan pencapaian penuh, atribut yang ditentukan dalam proses yang dinilai. Tidak ada kelemahan signifikan yang terkait dengan atribut ini dalam proses penilaian. (pencapaian 85 sampai 100 persen)
Praktik proses (tata kelola atau manajemen) dapat dinilai menggunakan skala penilaian yang sama, yang menyatakan sejauh mana praktik dasar diterapkan.
Untuk lebih menyempurnakan penilaian, produk kerja juga dapat dipertimbangkan untuk menentukan sejauh mana atribut penilaian tertentu telah dicapai.
Meskipun menentukan target level kemampuan (capability level) tergantung pada keputusan masing-masing perusahaan, namun banyak perusahaan yang memiliki standar untuk membuat seluruh prosesnya mencapai level 1. Jika level ini tidak tercapai, maka akan ditemukan sebab-sebabnya dan rencana perbaikan dapat ditentukan berdasarkan:
Jika hasil proses yang diperlukan tidak tercapai secara konsisten, proses tersebut tidak memenuhi tujuannya dan perlu ditingkatkan.
Penilaian akan mengungkapkan praktik mana yang kurang atau gagal, memungkinkan implementasi dan/atau peningkatan praktik tersebut berlangsung dan memungkinkan semua hasil proses tercapai.
LAMPIRAN-LAMPIRANLAMPIRAN B. PEMETAAN RINCI TUJUAN PERUSAHAAN DENGAN TUJUAN YANG TERKAIT DENGAN IT
Tujuan tabel pemetaan diatas adalah untuk menunjukkan bagaimana tujuan perusahaan didukung (atau diterjemahkan ke dalam) tujuan terkait TI. Oleh karena itu, tabel berisi informasi berikut:
Di kolom, semua 17 tujuan perusahaan generik yang ditentukan dalam COBIT 5, dikelompokkan berdasarkan dimensi BSC
Di baris, semua 17 tujuan terkait TI, juga dikelompokkan dalam dimensi BSC TI
Pemetaan tentang bagaimana setiap tujuan perusahaan didukung oleh tujuan terkait TI. Pemetaan ini dinyatakan dengan menggunakan skala berikut:
'P' singkatan primer, ketika ada hubungan penting, yaitu tujuan terkait TI adalah dukungan utama untuk tujuan perusahaan.
'S' singkatan dari sekunder, ketika masih ada hubungan yang kuat, tetapi kurang penting, yaitu tujuan terkait TI adalah dukungan sekunder untuk tujuan perusahaan.
LAMPIRAN C. PEMETAAN RINCI TUJUAN TERKAIT IT DENGAN PROSES YANG TERKAIT IT
Pada seluruh tabel tersebut berisi mengenai:
Di kolom, semua 17 tujuan umum terkait TI, dikelompokkan dalam dimensi BSC TI
Di baris, semua 37 proses COBIT 5, dikelompokkan berdasarkan domain
Pemetaan bagaimana setiap tujuan terkait TI didukung oleh proses terkait TI COBIT 5. Pemetaan ini dinyatakan dengan menggunakan skala berikut:
'P' singkatan primer, ketika ada hubungan penting, yaitu proses COBIT 5 adalah dukungan utama untuk pencapaian tujuan terkait TI.
'S' singkatan sekunder, ketika masih ada hubungan yang kuat, tetapi kurang penting, yaitu proses COBIT 5 adalah dukungan sekunder untuk tujuan terkait TI.
LAMPIRAN D. KEBUTUHAN PEMANGKU KEPENTINGAN DAN TUJUAN PERUSAHAAN
Dari sudut pandang pemangku kepentingan, menarik untuk mengetahui bagaimana pertanyaan-pertanyaan ini berhubungan dengan tujuan perusahaan. Oleh karena itu, terdapat tabel yang menunjukkan bagaimana daftar kebutuhan pemangku kepentingan internal dapat dikaitkan dengan tujuan perusahaan.
Tabel ini dapat digunakan untuk membantu menetapkan dan memprioritaskan tujuan perusahaan tertentu atau tujuan terkait TI, berdasarkan kebutuhan pemangku kepentingan tertentu. Situasi individu setiap perusahaan berbeda, dan tabel ini tidak boleh digunakan secara mekanis, tetapi hanya sebagai kumpulan hubungan umum yang disarankan. Pada gambar di bawah, persimpangan antara kebutuhan pemangku kepentingan dan tujuan perusahaan diisi jika kebutuhan itu harus dipertimbangkan untuk tujuan itu.
Comments