Apa Itu COBIT? Pengertian, Komponen, dan Langkah Penerapannya

Seorang direktur operasional menyetujui anggaran untuk sistem baru, lalu enam bulan kemudian bertanya siapa yang bertanggung jawab atas hasilnya. Tim TI menjawab bahwa tugas mereka selesai begitu sistem menyala, sementara tim bisnis masih menunggu laporan yang dijanjikan.

Gambaran serupa muncul dalam survei global ISACA 2026 AI Pulse Poll terhadap lebih dari 3.400 profesional audit TI, tata kelola, keamanan siber, dan privasi, yang menemukan bahwa hanya 22 persen responden menilai pengembalian investasi AI di organisasi mereka sudah memenuhi atau melampaui harapan. Hasil itu menunjukkan bahwa memakai teknologi dan memperoleh nilai darinya adalah dua hal yang berbeda.

Kerangka kerja yang dibuat untuk menutup celah tersebut bernama COBIT. Artikel ini membahas apa itu COBIT beserta komponen dan cara menerapkannya di perusahaan.

Apa Itu COBIT?

COBIT adalah singkatan dari Control Objectives for Information and Related Technologies. Kerangka kerja ini dikembangkan oleh ISACA, asosiasi profesional global di bidang audit, tata kelola, dan keamanan sistem informasi.

Secara sederhana, COBIT membantu perusahaan menjawab satu pertanyaan: apakah investasi TI benar-benar mendukung tujuan bisnis? Jawabannya berbentuk tujuan, proses, dan ukuran yang bisa dijadikan acuan bersama oleh direksi, manajer, tim TI, dan auditor.

COBIT juga memisahkan dua hal yang sering tertukar, yaitu tata kelola dan manajemen. Tata kelola menentukan arah serta mengawasi hasil, dan tugas itu ada di tangan direksi, sedangkan manajemen menjalankan rencana harian di bawah arahan tersebut.

Contohnya, direksi sebuah jaringan toko ritel memutuskan bahwa data pelanggan harus aman dan menetapkan batas risiko yang bisa diterima (tata kelola). Kepala TI lalu memilih alat enkripsi, menjadwalkan pencadangan, dan melapor tiap bulan (manajemen).

Satu hal yang sering disalahpahami: COBIT bukan standar yang disertifikasi per perusahaan seperti ISO 27001. Sertifikasi COBIT diambil oleh individu, sedangkan perusahaan memakainya sebagai acuan untuk menata, menilai, dan memperbaiki praktik TI.

Pemakai COBIT yang paling umum adalah auditor TI, tim manajemen risiko, CIO, dan konsultan tata kelola. Alasannya praktis, sebab COBIT memberi bahasa yang sama antara pihak bisnis dan pihak teknis.

Sejarah dan Versi COBIT

COBIT sudah berusia hampir tiga dekade dan berganti versi beberapa kali. Memahami urutannya membantu Anda tahu versi mana yang dibicarakan ketika orang menyebut “COBIT”.

Tahun	Versi	Catatan
1996	COBIT pertama	Dirancang awalnya untuk komunitas audit TI
2012	COBIT 5	Menambah cakupan tata kelola informasi dan manajemen risiko
2018	COBIT 2019	Menambah design factors dan model kapabilitas berbasis CMMI
27 Oktober 2026	COBIT 7	Dijadwalkan meluncur

ISACA memperkenalkan COBIT pada 1996 untuk mengatur pengendalian TI, dan versi berikutnya memperluas pemakaiannya dari auditor ke manajemen. COBIT 2019 hadir sebagai pembaruan pertama dalam hampir tujuh tahun setelah COBIT 5.

Kabar terbarunya, ISACA mengumumkan bahwa COBIT 7 akan meluncur pada 27 Oktober 2026, bersama COBIT 7 Foundation Certificate. Program sertifikasi COBIT 2019 akan dihentikan seiring peluncuran itu.

Pemegang sertifikat COBIT 2019 tidak perlu melakukan apa pun karena sertifikatnya tetap berlaku. Bagi perusahaan, COBIT 2019 tetap relevan sampai versi baru dirilis, sehingga memahami komponennya hari ini masih berguna.

Misalnya, tim yang sudah menilai proses keamanannya memakai COBIT 2019 tidak perlu menghentikan pekerjaan itu. Hasil penilaiannya tetap menjadi catatan awal yang berguna saat perusahaan mulai mempelajari COBIT 7.

COBIT, ITIL, dan ISO 27001: Apa Bedanya?

Ketiganya sering disebut dalam satu napas, padahal tugasnya berbeda. Tabel berikut merangkum fokus masing-masing agar Anda tidak keliru memilih acuan.

Kerangka	Fokus utama	Pertanyaan yang dijawab
COBIT	Tata kelola dan manajemen TI di seluruh perusahaan	Apakah TI mendukung tujuan bisnis dan risikonya terkendali?
ITIL	Pengelolaan layanan TI sehari-hari	Bagaimana layanan TI disediakan, dipantau, dan diperbaiki?
ISO/IEC 27001	Sistem manajemen keamanan informasi	Apakah pengamanan informasi sudah memenuhi standar dan bisa disertifikasi?

Ketiganya tidak saling menggantikan. Sebuah perusahaan logistik bisa memakai COBIT untuk menentukan layanan TI yang diprioritaskan, lalu ITIL untuk menangani tiket gangguan pelacakan paket. Bila perusahaan menginginkan sertifikat keamanan, ISO 27001 melengkapinya.

Tujuan dan Fungsi COBIT

Setelah tahu perbedaannya, pertanyaan berikutnya adalah untuk apa COBIT dipakai. Jawabannya bisa dilihat dari tujuan yang ingin dicapai dan fungsi yang dijalankannya di dalam perusahaan.

Tujuan utama COBIT adalah menyelaraskan TI dengan kebutuhan bisnis dan memastikan nilai yang dihasilkan sebanding dengan risikonya. Setiap keputusan TI diuji dengan pertanyaan yang sama: manfaat apa yang diterima pemangku kepentingan?

Contohnya, usulan membeli server baru tidak langsung disetujui karena tim TI menginginkannya. Usulan itu dinilai dari kebutuhan bisnis yang dijawabnya, misalnya lonjakan transaksi saat musim promosi.

Fungsi pertama COBIT adalah menjadi bahasa bersama antara direksi dan tim teknis. Istilah teknis seperti “uptime” diterjemahkan ke ukuran bisnis seperti jumlah pesanan yang gagal diproses.

Fungsi kedua, COBIT menjadi dasar penilaian dan penentu prioritas. Perusahaan bisa memeriksa proses mana yang masih lemah, lalu memutuskan mana yang dibenahi lebih dulu, misalnya penanganan insiden sebelum pengelolaan arsitektur.

Komponen Utama COBIT 2019

COBIT 2019 disusun dari beberapa komponen yang saling terhubung. Pembahasan berikut mengacu pada COBIT 2019, versi yang masih berlaku sampai COBIT 7 resmi dirilis.

5 Domain dan 40 Objektif (EDM, APO, BAI, DSS, MEA)

Inti COBIT 2019 adalah 40 objektif tata kelola dan manajemen yang dikelompokkan ke dalam lima domain. Satu domain menangani tata kelola, dan empat lainnya menangani manajemen.

• EDM (Evaluate, Direct and Monitor): tingkat tata kelola oleh direksi. Contohnya, direksi menilai usulan pindah ke cloud dan meminta laporan hasilnya tiap kuartal.
• APO (Align, Plan and Organize): strategi, arsitektur, anggaran, risiko, dan sumber daya manusia TI. Contohnya, perusahaan yang akan membuka cabang baru menyusun peta jalan TI lebih dulu.
• BAI (Build, Acquire and Implement): membangun atau membeli solusi lalu menerapkannya. Contohnya, aplikasi HR baru diuji di satu departemen sebelum dipakai semua karyawan.
• DSS (Deliver, Service and Support): operasional harian dan penanganan gangguan. Contohnya, prosedur insiden menentukan siapa yang dihubungi saat server mati.
• MEA (Monitor, Evaluate and Assess): pemeriksaan kinerja dan kepatuhan. Contohnya, waktu pemulihan layanan dibandingkan dengan target setiap kuartal.

Kelima domain bekerja sebagai satu siklus. Arahan dari EDM diterjemahkan APO, dijalankan BAI dan DSS, lalu diperiksa MEA.

Design Factors

Design factors membantu perusahaan menentukan objektif mana yang paling relevan. Faktornya antara lain strategi perusahaan, profil risiko, ancaman yang dihadapi, persyaratan kepatuhan, dan ukuran perusahaan.

Contohnya, startup fintech yang diawasi regulator keuangan akan memprioritaskan keamanan dan kepatuhan. Pabrik kecil tanpa data sensitif mungkin lebih menekankan ketersediaan sistem produksi.

Goals Cascade

Goals cascade menunjukkan jalur dari kebutuhan pemangku kepentingan sampai ke objektif COBIT. Kebutuhan itu diterjemahkan menjadi tujuan perusahaan, lalu tujuan penyelarasan TI, dan akhirnya objektif yang dipilih.

Contohnya, pelanggan menuntut proses pesanan yang lebih cepat, sehingga tujuan perusahaannya adalah meningkatkan kepuasan pelanggan. Dari situ, tim memilih objektif yang berkaitan dengan pengelolaan layanan dan insiden.

Governance System Components

COBIT 2019 menyebut tujuh komponen yang membentuk sistem tata kelola. Objektif tidak akan berjalan baik tanpa komponen pendukung ini.

• Proses (contoh: alur persetujuan perubahan sistem)
• Struktur organisasi (contoh: komite pengarah TI)
• Prinsip, kebijakan, dan prosedur (contoh: kebijakan penggunaan perangkat pribadi)
• Informasi (contoh: laporan insiden bulanan)
• Budaya, etika, dan perilaku (contoh: kebiasaan melaporkan kesalahan tanpa takut disalahkan)
• Orang, keterampilan, dan kompetensi (contoh: pelatihan keamanan bagi karyawan baru)
• Layanan, infrastruktur, dan aplikasi (contoh: sistem manajemen tiket)

Perusahaan sering berhenti di dokumen kebijakan dan melupakan budaya atau kompetensi. Padahal kebijakan yang tidak dipahami karyawan hanya menjadi arsip.

Capability Level untuk Mengukur Kemajuan

COBIT menilai kemampuan setiap proses pada skala 0 sampai 5. Skala ini memperlihatkan jarak antara kondisi sekarang dan target yang diinginkan.

Contohnya, penanganan insiden berada di level 1 karena baru dikerjakan bila ada keluhan. Targetnya level 3, yaitu prosedur tertulis yang dijalankan konsisten oleh seluruh tim.

Manfaat COBIT bagi Organisasi

Komponen di atas baru bernilai jika menghasilkan perubahan nyata. Empat manfaat berikut paling sering dirasakan perusahaan yang menerapkannya.

Peran dan Tanggung Jawab TI Lebih Jelas

COBIT menyediakan struktur peran sehingga setiap proses punya penanggung jawab yang jelas. Keputusan TI tidak lagi berpindah dari satu meja ke meja lain tanpa pemilik.

Contohnya, saat aplikasi pembayaran gagal, satu nama langsung ditunjuk untuk menindaklanjuti. Tim TI dan tim keuangan tidak lagi saling menunggu.

Nilai Investasi Teknologi Dapat Diukur

COBIT mengaitkan setiap inisiatif dengan tujuan bisnis dan ukuran keberhasilannya sejak awal. Anggaran disetujui berdasarkan manfaat yang bisa dihitung.

Misalnya, sistem gudang baru ditargetkan memangkas waktu pengiriman pesanan. Enam bulan kemudian, angka waktu pengiriman itulah yang diperiksa, bukan sekadar apakah sistemnya sudah terpasang.

Risiko TI Terkelola Sejak Dini

COBIT mendorong pengelolaan risiko sebagai kegiatan berkala, bukan reaksi setelah insiden. Kelemahan ditemukan sebelum berubah menjadi kerugian.

Contohnya, peninjauan hak akses rutin menemukan akun karyawan yang sudah resign masih aktif di sistem CRM. Akun itu ditutup sebelum ada yang menyalahgunakannya.

Audit dan Kepatuhan Lebih Siap

COBIT menata proses dan buktinya secara konsisten sehingga dokumentasi tersedia setiap saat. Kesiapan audit lahir dari kerja harian, bukan lembur menjelang pemeriksaan.

Contohnya, catatan perubahan sistem sudah tersimpan lengkap sejak awal. Saat auditor meminta riwayat perubahan server, tim cukup membukanya dalam hitungan menit.

Contoh Penerapan COBIT di Berbagai Industri

Kebutuhan tata kelola TI berbeda di tiap sektor, dan COBIT dirancang untuk disesuaikan dengan perbedaan itu. Skenario berikut bersifat ilustrasi untuk menunjukkan objektif mana yang biasanya diprioritaskan.

Perbankan dan Keuangan

Bank menangani transaksi bernilai besar dan diawasi ketat, sehingga risiko dan keamanan menjadi prioritas. Objektif yang relevan antara lain APO12 (pengelolaan risiko) dan DSS05 (layanan keamanan).

Contohnya, sebuah bank menetapkan batas toleransi risiko untuk transaksi mobile banking dan memantau percobaan akses mencurigakan setiap hari. Hasilnya, tindakan pencegahan diambil sebelum nasabah dirugikan.

Kesehatan

Rumah sakit menyimpan data pasien yang sensitif dan membutuhkan sistem yang selalu tersedia. Objektif yang relevan antara lain APO13 (pengelolaan keamanan) dan DSS04 (pengelolaan kesinambungan).

Contohnya, sebuah rumah sakit menyusun prosedur pemulihan agar rekam medis elektronik tetap bisa dibuka saat server utama mati. Dokter jaga tetap dapat melihat riwayat alergi pasien tanpa jeda berarti.

Manufaktur

Pabrik bergantung pada mesin dan sistem produksi yang terhubung, sehingga pengelolaan aset dan perubahan menjadi penting. Objektif yang relevan antara lain BAI09 (pengelolaan aset) dan BAI06 (pengelolaan perubahan TI).

Contohnya, sebuah pabrik komponen mencatat seluruh perangkat lunak mesin dan meminta persetujuan sebelum setiap pembaruan. Pembaruan yang menyebabkan lini produksi berhenti pun bisa ditelusuri penyebabnya.

Ritel dan E-commerce

Toko daring menghadapi lonjakan trafik pada kampanye besar dan sangat sensitif terhadap gangguan. Objektif yang relevan antara lain DSS01 (pengelolaan operasi) dan DSS02 (pengelolaan insiden).

Contohnya, sebuah toko daring menyiapkan prosedur eskalasi sebelum promo akhir tahun dan menetapkan batas waktu penanganan gangguan. Saat halaman pembayaran melambat, tim tahu siapa yang bertindak dan dalam berapa menit.

Pemerintahan dan Layanan Publik

Instansi publik dituntut akuntabel atas anggaran dan layanan digital yang dipakai warga. Objektif yang relevan antara lain EDM01 (penetapan kerangka tata kelola) dan MEA01 (pemantauan kinerja).

Contohnya, sebuah dinas menetapkan indikator waktu layanan perizinan daring dan melaporkannya tiap bulan kepada pimpinan. Keterlambatan terlihat sejak dini dan bisa segera dibenahi.

5 Langkah Menerapkan COBIT di Perusahaan

COBIT tidak perlu diterapkan sekaligus pada seluruh 40 objektifnya. Pendekatan yang lebih realistis adalah memulai dari kebutuhan bisnis, lalu bergerak bertahap lewat lima langkah berikut.

1. Tentukan tujuan bisnis dan kebutuhan pemangku kepentingan. Catat apa yang diharapkan direksi, pelanggan, dan regulator dari TI perusahaan, misalnya sebuah perusahaan pembiayaan yang menargetkan persetujuan kredit lebih cepat dan data nasabah lebih aman.
2. Pilih objektif COBIT yang diprioritaskan. Gunakan design factors untuk menyaring 40 objektif, misalnya perusahaan pembiayaan tadi yang mendahulukan pengelolaan risiko dan keamanan serta menunda pengelolaan arsitektur.
3. Nilai capability level saat ini. Ukur setiap proses prioritas pada skala 0 sampai 5, misalnya penanganan insiden yang ternyata masih di level 1 dengan target level 3.
4. Susun rencana perbaikan bertahap. Ubah kesenjangan menjadi pekerjaan dengan pemilik, tenggat, dan anggaran, misalnya kuartal pertama untuk prosedur insiden dan kuartal kedua untuk peninjauan hak akses.
5. Pantau hasil dan sesuaikan berkala. Tetapkan indikator yang diperiksa rutin dan tinjau ulang prioritas saat bisnis berubah, misalnya saat perusahaan mulai menerima pembayaran digital sehingga kebutuhan keamanan transaksi naik.

Kesimpulan

COBIT adalah kerangka kerja dari ISACA untuk memastikan teknologi informasi bekerja sesuai tujuan bisnis, dengan pembagian yang jelas antara tata kelola dan manajemen. COBIT 2019 merangkumnya dalam 40 objektif, lima domain, dan beberapa komponen pendukung seperti design factors dan capability level.

Kerangka ini paling berguna bila diterapkan bertahap, dimulai dari dua atau tiga proses yang paling mendesak. Dengan COBIT 7 yang dijadwalkan meluncur pada 27 Oktober 2026, memahami dasar-dasar COBIT 2019 hari ini tetap menjadi bekal yang berguna untuk transisi berikutnya.

FAQ