Domain EDM berhubungan dengan tata kelola tujuan stakeholder (pengantaran nilai, optimasi risiko dan optimasi sumberdaya), serta termasuk di dalamnya praktik dan aktivitas yang bertujuan untuk mengevaluasi pilihan strategis, pengarahan menuju TI dan monitoring outcome (pengawasan terhadap hasil).

EDM01 - Ensure governance framework setting and maintenance

EDM01 bermaksud menganalisis dan mengartikulasikan persyaratan untuk tata kelola TI perusahaan, dan menerapkan serta memelihara struktur, prinsip, proses dan praktik, dengan kejelasan tanggung jawab dan wewenang untuk mencapai misi, tujuan, dan sasaran perusahaan. Memberikan pendekatan konsisten yang terintegrasi dan selaras dengan pendekatan tata kelola perusahaan. Untuk memastikan bahwa keputusan terkait TI dibuat sesuai dengan strategi dan tujuan perusahaan, memastikan bahwa proses terkait TI diawasi secara efektif dan transparan, sesuai dengan hukum dan persyaratan peraturan dikonfirmasi, dan persyaratan tata kelola untuk anggota dewan terpenuhi.

IT-Related Goals

• Penyelarasan TI dan strategi bisnis

• Komitmen manajemen eksekutif untuk membuat keputusan terkait TI

• Penyampaian layanan TI sesuai dengan kebutuhan bisnis

Process Goals

• Model pengambilan keputusan strategis untuk TI efektif dan selaras dengan lingkungan internal dan eksternal perusahaan dan persyaratan stakeholders

• Sistem tata kelola untuk TI tertanam di perusahaan

• Kepastian berupa sistem tata kelola untuk TI beroperasi secara efektif

EDM01.01 Evaluate the governance system

Terus mengidentifikasi dan terlibat dengan stakeholders perusahaan, mendokumentasikan pemahaman tentang persyaratan, dan membuat penilaian desain saat ini dan masa mendatang dari tata kelola TI perusahaan.

INPUT :

• Komunikasi mengenai persyaratan perubahan kepatuhan

• Tren lingkungan bisnis

• Peraturan

• Panduan model tata kelola/pengambilan keputusan

• Anggaran Dasar/ Anggaran Rumah Tangga/ Undang-undang organisasi

OUTPUT :

• Tata kelola prinsip panduan perusahaan

• Model pengambilan keputusan

• Tingkat otoritas

Aktivitas :

Menganalisis dan mengidentifikasi faktor lingkungan internal dan eksternal (kewajiban hukum, peraturan, dan kontrak) dan tren dalam lingkungan bisnis yang dapat mempengaruhi desain tata kelola.

1. Tentukan pentingnya TI dan perannya yang berhubungan dengan bisnis.

2. Pertimbangkan peraturan eksternal, undang-undang, dan kewajiban kontrak dan tentukan bagaimana penerapannya dalam tata kelola TI perusahaan.

3. Menyelaraskan penggunaan dan pemrosesan informasi secara etis dan dampaknya terhadap masyarakat, alam, dan kepentingan internal serta eksternal stakeholder dengan arah, tujuan, dan sasaran perusahaan.

4. Tentukan implikasi dari lingkungan pengendalian perusahaan secara keseluruhan yang berkaitan dengan TI.

5. Menetapkan prinsip-prinsip yang akan memandu desain tata kelola dan pengambilan keputusan TI.

6. Memahami budaya pengambilan keputusan perusahaan dan menentukan model pengambilan keputusan yang optimal untuk TI.

7. Tentukan tingkat pendelegasian wewenang yang sesuai, termasuk batasan aturan, untuk keputusan TI.

EDM01.02 Direct the governance system

Memberitahu para pemimpin dan mendapatkan dukungan, pembelian, dan komitmen mereka. Memandu struktur, proses, dan praktik tata kelola TI yang sesuai dengan kesepakatan sesuai prinsip desain tata kelola, model pengambilan keputusan dan tingkat otoritas. Menentukan informasi yang diperlukan untuk pengambilan keputusan yang diinformasikan.

INPUT : -

OUTPUT :

• Komunikasi tata kelola perusahaan

• Pendekatan sistem penghargaan

Aktivitas :

1. Mengkomunikasikan tata kelola prinsip-prinsip TI dan setuju dengan manajemen eksekutif mengenai cara mereka dalam membangun kepemimpinan yang terinformasi dan berkomitmen.

2. Menetapkan atau mendelegasikan pembentukan struktur, proses, dan praktik tata kelola yang sesuai dengan prinsip desain yang telah disepakati.

3. Mengalokasikan tanggung jawab, wewenang, dan akuntabilitas sesuai dengan prinsip desain tata kelola yang telah disepakati dan model pengambilan keputusan dan pendelegasian.

4. Memastikan bahwa mekanisme komunikasi dan pelaporan memberikan informasi yang tepat kepada mereka yang bertanggung jawab atas pengawasan dan pengambilan keputusan.

5. Mengarahkan agar staf mengikuti pedoman yang relevan untuk perilaku etis dan profesional, dan memastikan bahwa konsekuensi dari ketidakpatuhan diketahui dan ditegakkan.

6. Mengarahkan pembentukan sistem penghargaan untuk memperkenalkan perubahan budaya yang diinginkan.

EDM01.03 Monitor the governance system

Memantau efektivitas dan kinerja dari tata kelola TI perusahaan. Menilai apakah sistem tata kelola dan mekanisme yang diterapkan (termasuk struktur, prinsip, dan proses) beroperasi secara efektif dan memberikan pengawasan TI yang tepat.

INPUT :

• Laporan kinerja

• Status dan hasil dari tindakan yang telah dilakukan

• Hasil benchmarking dan evaluasi lainnya

• Hasil pemantauan kontrol internal dan ulasannya

• Hasil ulasan penilaian pribadi

• Rencana jaminan

• Konfirmasi kepatuhan

• Laporan dari masalah ketidakpatuhan dan akar penyebabnya

• Laporan jaminan kepatuhan

• Obligasi/kewajiban

• Laporan audit

OUTPUT :

• Feedback tentang efektivitas dan kinerja tata kelola

Aktivitas :

1. Menilai efektivitas dan kinerja mereka yang diberikan tanggung jawab dan wewenang yang didelegasikan oleh para stakeholder untuk tata kelola TI perusahaan.

2. Menilai secara berkala apakah tata kelola mekanisme TI yang disepakati (struktur, prinsip, proses, dll.) ditetapkan dan beroperasi secara efektif.

3. Menilai efektivitas desain tata kelola dan mengidentifikasi tindakan untuk memperbaiki setiap penyimpangan yang ditemukan.

4. Menjaga pengawasan mengenai sejauh mana TI memenuhi kewajiban (peraturan, undang-undang, hukum umum, kontrak), kebijakan internal, standar dan pedoman profesional.

5. Memberikan pengawasan atas keefektifan, dan kepatuhan terhadap, sistem pengendalian perusahaan.

6. Memantau mekanisme reguler dan mekanisme rutin untuk memastikan bahwa penggunaan TI sesuai dengan kewajiban yang relevan (peraturan, undang-undang, hukum umum, kontrak), standar dan pedoman.

EDM02.01 Evaluate value optimization

Terus mengevaluasi portofolio yang mendukung TI investasi, jasa dan aset untuk menentukan kemungkinan mencapai tujuan perusahaan dan memberikan nilai dengan biaya yang wajar. Identifikasi dan buat penilaian pada setiap perubahan arah yang perlu diberikan kepada manajemen untuk mengoptimalkan penciptaan nilai.

Input :

• APO02.05 : Strategic road map

• APO05.02 : Investment return expectations

• APO05.03 : Selected programmes with return on investment (ROI) milestones

• APO05.06 : Benefit results and related communication

• BAI01.06 : Stage-gate review resuts

Output :

• Evaluation of strategic alignment : APO02.04 & APO05.03

• Evaluation of investment and services portfolios : APO05.03 & APO05.04 & APO06.02

Activities:

• Memahami persyaratan pemangku kepentingan; isu-isu strategis TI, seperti ketergantungan pada TI; dan wawasan teknologi dan kemampuan mengenai aktual dan potensi signifikansi TI untuk strategi perusahaan

• Memahami elemen kunci tata kelola yang diperlukan untuk penyampaian nilai optimal yang andal, aman, dan hemat biaya dari penggunaan dan layanan, aset, dan sumber daya TI baru

• Memahami dan secara teratur mendiskusikan peluang yang dapat muncul dari perubahan perusahaan yang dimungkinkan oleh teknologi saat ini, baru atau yang sedang berkembang, dan mengoptimalkan nilai yang diciptakan dari peluang tersebut

• Memahami apa yang membentuk nilai bagi perusahaan, dan mempertimbangkan seberapa baik nilai itu dikomunikasikan, dipahami, dan diterapkan di seluruh proses perusahaan

• Mengevaluasi seberapa efektif strategi perusahaan dan TI telah diintegrasikan dan diselaraskan di dalam perusahaan dan dengan tujuan perusahaan untuk memberikan nilai

• Memahami dan mempertimbangkan seberapa efektif peran, tanggung jawab, akuntabilitas, dan badan pembuat keputusan saat ini dalam memastikan penciptaan nilai dari Investasi, layanan, dan aset yang mendukung TI.

• Pertimbangkan seberapa baik pengelolaan investasi, layanan, dan aset yang mendukung TI sejalan dengan manajemen nilai perusahaan dan keuangan praktek manajemen

• Mengevaluasi portofolio investasi, layanan, dan aset agar selaras dengan tujuan strategis perusahaan; nilai perusahaan, baik finansial maupun non-keuangan; risiko, baik risiko pengiriman maupun risiko manfaat; keselarasan proses bisnis; efektivitas dalam hal kegunaan, ketersediaan dan daya tanggap; dan efisiensi dalam hal biaya, redundansi dan kesehatan teknis.

EDM02.02 Direct value optimisation

Prinsip dan praktik manajemen nilai langsung untuk memungkinkan realisasi nilai yang optimal dari IT-enabled investasi sepanjang siklus hidup ekonomi penuh mereka

Outputs :

• investment types and criteria : APO05.01 & APO05.03

• Requirements for stage-gate reviews : BAI01.01

Activities :

• Tetapkan dan komunikasikan portofolio dan jenis investasi, kategori, kriteria, dan bobot relatif terhadap kriteria untuk memungkinkan relatif keseluruhan nilai skor

• Tetapkan persyaratan untuk gerbang tahap dan tinjauan lain untuk signifikansi investasi bagi perusahaan dan risiko terkait, jadwal program, rencana pendanaan, dan penyampaian kemampuan dan manfaat utama serta kontribusi berkelanjutan terhadap nilai.

• Manajemen langsung untuk mempertimbangkan potensi penggunaan TI yang inovatif yang memungkinkan perusahaan untuk menanggapi peluang atau tantangan baru, melakukan bisnis baru, meningkatkan daya saing, atau memperbaiki proses.

• Mengarahkan setiap perubahan yang diperlukan dalam penugasan akuntabilitas dan tanggung jawab untuk melaksanakan portofolio investasi dan memberikan nilai dari proses bisnis dan layanan.

• Tetapkan dan komunikasikan tujuan penyampaian nilai tingkat perusahaan dan ukuran hasil untuk memungkinkan pemantauan yang efektif.

• Mengarahkan setiap perubahan yang diperlukan pada portofolio investasi dan layanan untuk menyelaraskan kembali dengan tujuan dan/atau kendala perusahaan saat ini dan yang diharapkan.

• Merekomendasikan pertimbangan inovasi potensial, perubahan organisasi atau perbaikan operasional yang dapat mendorong peningkatan nilai bagi perusahaan dari inisiatif yang mendukung TI.

EDM02.03 Monitor value optimisation

Pantau sasaran dan metrik utama untuk menentukan sejauh mana bisnis menghasilkan yang diharapkan nilai dan manfaat bagi perusahaan dari IT-enabled investasi dan jasa. Mengidentifikasi isu-isu penting dan pertimbangkan tindakan korektif

Inputs :

• APO05.04 : nvestment portfolio performance reports

Outputs :

• Feedback on portfolio and programme performance : APO05.04 & APO06.05 & BAI01.06

• Actions to improve value delivery : EDM05.01 & APO05.04 & APO05.04 & APO05.04

Activites :

• Tetapkan serangkaian tujuan, metrik, target, dan tolok ukur kinerja yang seimbang. Metrik harus mencakup ukuran aktivitas dan hasil, termasuk: indikator memimpin dan tertinggal untuk hasil, serta keseimbangan yang tepat dari ukuran keuangan dan non-keuangan. Tinjau dan setujui mereka dengan TI dan fungsi bisnis lainnya, dan pemangku kepentingan terkait lainnya

• Mengumpulkan data yang relevan, tepat waktu, lengkap, kredibel dan akurat untuk melaporkan kemajuan dalam memberikan nilai terhadap target. Dapatkan ringkasan, tingkat tinggi, pandangan menyeluruh atas kinerja portofolio, program dan TI (kemampuan teknis dan operasional) yang mendukung pengambilan keputusan, dan memastikan bahwa hasil yang diharapkan tercapai

• Dapatkan laporan kinerja portofolio, program dan TI (teknologi dan fungsional) secara teratur dan relevan. Tinjau kemajuan perusahaan menuju tujuan yang diidentifikasi dan sejauh mana tujuan yang direncanakan telah tercapai, hasil yang diperoleh, target kinerja terpenuhi dan risiko dikurangi

• Setelah meninjau laporan, ambil tindakan manajemen yang sesuai sebagaimana diperlukan untuk memastikan bahwa nilai dioptimalkan

• Setelah meninjau laporan, pastikan bahwa tindakan korektif manajemen yang tepat dimulai dan dikendalikan.

Related Guidance

• COSO

• ISO/IEC 38500

• King III : 5.2. IT should be aligned with the performance and sustainability objectives of the company & 5.4. The board should monitor and evaluate significant IT investments and expenditure.

EDM03 - Ensure risk optimasion

Pastikan bahwa selera dan toleransi risiko perusahaan dipahami, diartikulasikan dan dikomunikasikan, dan risiko terhadap nilai perusahaan yang terkait dengan penggunaan TI diidentifikasi dan dikelola.

Pastikan bahwa risiko perusahaan terkait TI tidak melebihi selera risiko dan toleransi risiko, dampak risiko TI terhadap nilai perusahaan diidentifikasi dan dikelola, dan potensi kegagalan kepatuhan diminimalkan.

IT-related goal

Dikelolanya risiko bisnis terkait TI

• Persentase proses bisnis penting, layanan TI, dan program bisnis yang mendukung TI yang dicakup oleh penilaian risiko

• Jumlah insiden signifikan terkait TI yang tidak diidentifikasi dalam penilaian risiko

• Persentase penilaian risiko perusahaan termasuk risiko terkait TI

• Frekuensi update atau profil risiko

Transparansi biaya, manfaat, dan risiko TI

• Persentase kasus bisnis investasi dengan perkiraan biaya dan manfaat terkait TI yang jelas dan disetujui

• Persentase layanan TI dengan biaya operasional yang jelas dan disetujui serta manfaat yang diharapkan

• Survei kepuasan stakeholder utama mengenai tingkat transparansi, pemahaman, dan keakuratan informasi keuangan TI

Keamanan informasi, infrastruktur pemrosesan, dan aplikasi

• Jumlah insiden keamanan yang menyebabkan kerugian finansial, gangguan bisnis, atau rasa malu publik

• Jumlah layanan TI dengan persyaratan keamanan yang luar biasa

• Waktu untuk memberikan, mengubah, dan menghapus hak akses, dibandingkan dengan tingkat layanan yang disepakati

• Frekuensi penilaian keamanan terhadap standar dan pedoman terbaru

Kepatuhan TI dengan kebijakan internal

• Jumlah insiden terkait ketidakpatuhan terhadap kebijakan

• Persentase stakeholder yang memahami kebijakan

• Persentase kebijakan yang didukung oleh standar dan praktik kerja yang efektif

• Frekuensi peninjauan dan pembaruan kebijakan

Process Goal

Ambang risiko ditentukan dan dikomunikasikan dan risiko utama terkait TI diketahui

• Tingkat keselarasan antara risiko TI dan risiko perusahaan

• Jumlah potensi risiko TI yang diidentifikasi dan dikelola

• Tingkat penyegaran evaluasi faktor risiko

Perusahaan mengelola risiko kritis perusahaan terkait TI secara efektif dan efisien

• Persentase proyek perusahaan yang mempertimbangkan risiko TI

• Persentase rencana tindakan risiko TI yang dilaksanakan tepat waktu

• Persentase risiko kritis yang telah dimitigasi secara efektif

Risiko perusahaan terkait TI tidak melebihi selera risiko dan dampak risiko TI terhadap nilai perusahaan diidentifikasi dan dikelola

• Tingkat dampak perusahaan yang tidak terduga

• Persentase risiko TI yang melebihi toleransi risiko perusahaan

EDM03.01 Evaluate risk management

Terus-menerus memeriksa dan membuat penilaian tentang pengaruh risiko pada penggunaan TI saat ini dan masa depan di perusahaan. Pertimbangkan apakah selera risiko perusahaan sesuai dan risiko terhadap nilai perusahaan yang terkait dengan penggunaan TI diidentifikasi dan dikelola.

Input:

• APO12.01: Masalah dan faktor risiko yang muncul

• Diluar COBIT: Prinsip manajemen risiko perusahaan

Output:

• APO12.03: Panduan selera risiko, tingkat toleransi risiko yang disetujui

• APO12.01: Evaluasi kegiatan manajemen risiko

Aktivitas

1. Menentukan tingkat risiko terkait TI yang bersedia diambil oleh perusahaan untuk memenuhi tujuannya (risk appetite).

2. Mengevaluasi dan menyetujui ambang batas toleransi risiko TI yang diusulkan terhadap tingkat risiko dan peluang yang dapat diterima perusahaan.

3. Menentukan sejauh mana keselarasan strategi risiko TI dengan strategi risiko perusahaan.

4. Secara proaktif mengevaluasi faktor risiko TI sebelum keputusan strategis perusahaan yang tertunda dan memastikan bahwa keputusan perusahaan yang sadar risiko telah dibuat.

5. Menentukan bahwa penggunaan TI tunduk pada penilaian dan evaluasi risiko yang sesuai, seperti yang dijelaskan dalam standar internasional dan nasional yang relevan.

6. Mengevaluasi aktivitas manajemen risiko untuk memastikan keselarasan dengan kapasitas perusahaan untuk kerugian terkait TI dan toleransi kepemimpinan terhadapnya.

EDM03.02 Direct risk management

Mengarahkan penetapan praktik manajemen risiko untuk memberikan jaminan bahwa praktik manajemen risiko TI sesuai untuk memastikan risiko TI yang sebenarnya tidak melebihi selera risiko dewan.

Input:

• APO12.03: Profil risiko gabungan, termasuk status tindakan manajemen risiko

• Diluar COBIT: Profil manajemen risiko perusahaan (ERM) dan rencana mitigasi

Output:

• APO12.01: Kebijakan manajemen risiko, tujuan utama yang harus dipantau untuk manajemen risiko, proses yang disetujui untuk mengukur manajemen risiko

Aktivitas

1. Mempromosikan budaya akan kesadaran risiko TI dan memberdayakan perusahaan untuk secara proaktif mengidentifikasi risiko TI, peluang, dan potensi dampak bisnis.

2. Mengarahkan integrasi strategi dan operasi risiko TI dengan keputusan dan operasi risiko strategis perusahaan.

3. Mengarahkan pengembangan rencana komunikasi risiko (mencakup semua tingkat perusahaan) serta rencana tindakan risiko.

4. Implementasi langsung dari mekanisme yang tepat untuk merespon dengan cepat terhadap perubahan risiko dan segera melaporkan ke tingkat manajemen yang sesuai, didukung oleh prinsip-prinsip eskalasi yang disepakati (apa yang harus dilaporkan, kapan, di mana, dan bagaimana).

5. Arahkan agar risiko, peluang, masalah, dan kekhawatiran dapat diidentifikasi dan dilaporkan oleh siapa saja kapan saja. Risiko harus dikelola sesuai dengan kebijakan dan prosedur yang diterbitkan dan dieskalasi ke pengambil keputusan yang relevan.

6. Identifikasi tujuan utama dan metrik dari tata kelola risiko dan proses manajemen yang akan dipantau, dan setujui pendekatan, metode, teknik, dan proses untuk menangkap dan melaporkan informasi pengukuran.

EDM03.03 Monitor risk management

Memantau tujuan utama dan metrik dari proses manajemen risiko dan menetapkan bagaimana penyimpangan atau masalah akan diidentifikasi, dilacak dan dilaporkan untuk perbaikan.

Input:

• APO12.02: Hasil analisis risiko

• APO12.04: Peluang untuk menerima risiko yang lebih besar, hasil penilaian risiko pihak ketiga, analisis dan laporan profil risiko untuk stakeholder

Output:

• APO12.06: Tindakan perbaikan untuk mengatasi penyimpangan manajemen risiko

• EDM05.01: Masalah manajemen risiko untuk dewan

Aktivitas

1. Pantau sejauh mana profil risiko dikelola dalam ambang batas selera risiko.

2. Memantau tujuan utama dan metrik dari tata kelola risiko dan proses manajemen terhadap target, menganalisis penyebab penyimpangan, dan memulai tindakan perbaikan untuk mengatasi penyebab yang mendasarinya.

3. Memungkinkan tinjauan stakeholder utama tentang kemajuan perusahaan menuju tujuan yang diidentifikasi.

4. Laporkan setiap masalah manajemen risiko kepada dewan atau komite eksekutif.

Referensi framework lain

• COSO/ERM

• ISO/IEC 31000

• ISO/IEC 38500

• King Report on Corporate Governance

EDM05 Ensure Stakeholder Transparency

Tujuan dari tinjauan ini yaitu untuk memberikan kepastian proses EDM05 yang memastikan :

1. Komunikasi kepada stakeholder dengan efektif dan tepat waktu

2. Dasar pelaporan yang dibentuk dapat meningkatkan kinerja dan mengidentifikasi area untuk perbaikan

3. Tujuan dan strategi yang terkait dengan TI akan sejalan dengan strategi perusahaan

EDM05.01 - Evaluasi Kebutuhan Pelaporan

Aktivitas :

1. Memeriksa dan membuat penilaian pada persyaratan pelaporan yang berkaitan dengan penggunaan TI sesuai peraturan perusahaan

2. Memeriksa dan membuat penilaian atas persyaratan pelaporan di masa sekarang maupun di masa mendatang

3. Menjaga prinsip komunikasi dengan para stakeholder baik eksternal maupun internal

EDM05.02 - Komunikasi dan Pelaporan Secara Langsung kepada Stakeholder

Aktivitas :

1. Mengkoordinasikan pembentukan strategi dalam berkomunikasi

2. Mengkoordinasikan mekanisme pelaksanaan pemastian informasi yang wajib dipenuhi oleh perusahaan sebagai syarat dalam pembuatan laporan TI

3. Menetaapkan mekanisme untuk validasi laporan dan persetujuan pelaporan yang wajib dipenuhi

4. Menetapkan mekanisme laporan kemajuan

EDM05.03 - Memonitor Komunikasi Stakeholder

Aktivitas :

1. Menilai secara periodik efektivitas mekanisme

2. Menilai hasil dari komunikasi dengan stakeholder eksternal maupun internal

3. Menentukan kebutuhan para stakeholder yang berbeda untuk dipenuhi