PERANCANGAN TATA KELOLA JAMINAN KETERSEDIAAN LAYANAN TEKNOLOGI INFORMASI PADA RUMAH SAKIT UMUM DAERAH (RSUD) KABUPATEN SIDOARJO Al Ansori 1, Joko Lianto Buliali Program Studi Magister Manajemen Teknologi Bidang Keahlian Manajemen Teknologi Informasi Program Pascasarjana Institut Teknologi Sepuluh Nopember 1 Email: prince_ansori@yahoo.com, 2 Email: joko@its-sby.edu 2 ABSTRAK Rumah Sakit Umum Daerah (RSUD) Kabupaten Sidoarjo sebagai salah satu Badan Layanan Umum (BLU), menerapkan Teknologi Informasi (TI) pada beberapa proses bisnis yang ada. Dari hasil pengamatan, TI tersebut belum dapat secara optimal mendukung tujuan bisnis RSUD. Penelitian ini mengevaluasi Tata Kelola TI (IT Governance) RSUD dengan menggunakan COBIT (Control Objectives For Information And Related Technology). Pada tahap awal, dilakukan identifikasi permasalahan untuk menentukan control objective yang akan dipilih sebagai fokus pembahasan. Diperoleh 4 proses TI, yaitu DS3 (manage performance and capacity), DS4 (ensure continuous service), DS8 (manage service desk and incidents), dan DS13 (Manage operations). Tahap selanjutnya dilakukan pengukuran tingkat kematangan setiap atribut. Untuk kondisi As Is, pada proses DS3, DS4, dan DS8, berada pada level 1 (awal/ad hoc), sedangkan untuk proses DS13, berada pada level 2 (berulang tapi intuitif). Untuk kondisi To Be, pada proses DS3 dan DS4, berada pada level 3 (proses terdefinisi), sedangkan untuk proses DS8 dan DS13, berada pada level 4 (terkelola dan terukur). Selanjutnya disusun rekomendasi perencanaan solusi dengan langkah-langkah yaitu mendefinisian tindakan perbaikan, mendefinisikan indikator dan target tingkat kinerja, dan perancangan model tata kelola jaminan ketersediaan layanan TI yang dapat menjadi panduan untuk diterapkan di RSUD Kabupaten Sidoarjo. Kata kunci: COBIT, RSUD, Tata kelola TI. PENDAHULUAN Rumah Sakit Umum Daerah (RSUD) Kabupaten Sidoarjo merupakan rumah sakit milik Pemerintah Kabupaten Sidoarjo yang menerapkan pola pengelolaan keuangan Badan Layanan Umum (BLU). Tujuan RSUD Kabupaten Sidoarjo dituangkan ke dalam Peta Strategi berupa Visi yaitu terwujudnya rumah sakit mandiri dengan pelayanan prima dan terjangkau. RSUD Kabupaten Sidoarjo sebagai salah satu BLU memiliki standar dan mutu layanan kesehatan yang belum menggembirakan. Pengelolaan data Rumah Sakit yang besar baik data medik pasien maupun data-data administrasi rumah sakit, saat ini 1
sebagian proses masih dilakukan secara manual atau belum terintegrasi. Berdasarkan data dari dokumen Rencana Bisnis dan Anggaran (RBA) Tahun anggaran 2010, diketahui bahwa kunjungan ulang pasien lama mengalami penurunan dibandingkan dengan tahun sebelumnya. Untuk jangka panjang, jika tidak segera diantisipasi hal ini bisa menyebabkan RSUD Kabupaten Sidoarjo tertinggal jauh dibandingkan dengan pesaing dan kehilangan pasien secara signifikan. RSUD Kabupaten Sidoarjo saat ini telah menerapkan Teknologi Informasi (TI) pada beberapa proses bisnis yang ada. Saat ini, terdapat 5 modul yang telah diaplikasikan, yaitu Modul Billing (tagihan), Modul Keuangan, Modul Akuntansi, Modul Inventory, Modul Apotik (Farmasi). Dari analisis kebutuhan dan kondisi internal rumah sakit yang dilakukan oleh RSUD melalui Focus Group Discussion (FGD), diketahui bahwa Sistem Informasi Manajemen Rumah Sakit (SIM RS) harus dibangun sesuai dengan kebutuhan pengguna-nya dan merupakan tools untuk membantu pencapaian kinerja yang diharapkan. Dari hasil pengamatan, pengembangan TI tersebut belum optimal dimanfaatkan untuk menunjang tujuan bisnis RSUD. Hal ini dapat dilihat dari keluhan oleh user kepada Departemen/unit IT RSUD. Keluhan tersebut sebagian besar diakibatkan oleh kesalahan aplikasi atau modul sistem informasi, misalnya duplikasi data, penyimpanan data yang tidak terpusat dan master data yang belum final menyebabkan data tidak sinkron, sehingga informasi pada masing-masing bagian mempunyai asumsi yang berbeda-beda, proses edit data harus dari database pusat, dan lain sebagainya. Selain itu, masih sering terjadi kesalahan yang disebabkan oleh user, misalnya salah menginput nomor dan nama loket, ataupun data pasien tidak dikoneksikan ke unit selanjutnya oleh unit pengirim, padahal pasien sudah diberi tindakan, dan lain sebagainya. Dari data keluhan di atas, diketahui bahwa sistem informasi atau modul yang ada saat ini masih memiliki kelemahan yang harus diperbaiki. Sistem informasi di RSUD Kabupaten Sidoarjo belum mampu mendukung tujuan bisnis RSUD yaitu meningkatkan layanan dan orientasi terhadap pelanggan serta ketersediaan dan kelancaran layanan. Masalah yang sama relatif terjadi berulang-ulang. Penyelesaian masalah masih bersifat sporadik, tidak ter-record dan terkomunikasikan dengan baik, serta penyelesaiannya tergantung skill orang per orang. Dihubungkan dengan kerangka kerja COBIT, perbaikan tersebut difokuskan pada domain Delivery and Support (DS). Domain ini menitikberatkan pada proses pelayanan TI dan dukungan teknisnya yang meliputi hal keamanan sistem, kesinambungan layanan, pelatihan dan pendidikan untuk pengguna, dan pengelolaan data yang sedang berjalan. Atas dasar hal tersebut, perlu dilakukan perencanaan tata kelola TI di RSUD Kab Sidoarjo. Alat yang komprehensif untuk membuat Tata Kelola TI (IT Governance) di Rumah Sakit Milik Pemerintah adalah penggunaan COBIT (Control Objectives For Information And Related Technology). Kerangka kerja COBIT memberikan pemetaan keterkaitan antara Tujuan Bisnis dan Tujuan TI sehingga dapat dijadikan acuan bagi rumah sakit dalam menerjemahkan kebutuhan bisnis akan ketersediaan TI. Model kematangan (maturity model) pada COBIT digunakan sebagai alat untuk melakukan benchmarking dan self assessment oleh manajemen TI. Model kematangan untuk pengelolaan dan kontrol pada proses TI didasarkan pada metoda evaluasi perusahaan atau organisasi, sehingga dapat mengevaluasi sendiri, mulai dari level 0 (non-existent) hingga level 5 (optimised). 2
METODOLOGI PENELITIAN Dalam penelitian untuk membuat Rancangan Tata Kelola Jaminan Ketersediaan Layanan TI ini, penyusun menggunakan tahapan-tahapan sebagai berikut. Mulai 1 PERUMUSAN MASALAH PENGUMPULAN DATA Identifikasi Solusi Yang Diharapkan (Kuesioner Kinerja Aktual/As Is dan Target/To Be) PENENTUAN TUJUAN PENELITIAN PENGOLAHAN DAN ANALISIS DATA Pengolahan Data Kuesioner, Uji Validitas dan Reliabilitas, Analisis Kesenjangan dan Identifikasi Perbaikan Studi Pustaka (teori dari buku dan sumber lain yang relevan) STUDI LITERATUR Studi Organisasi (mengetahui proses bisnis organisasi dari dokumen resmi) REKOMENDASI PERENCANAAN SOLUSI (Pendefinisian Tindakan Perbaikan, Pendefinisian Indikator dan Target Tingkat Kinerja, dan Perancangan Model Tata Kelola Jaminan Ketersediaan Layanan TI ) IDENTIFIKASI KEBUTUHAN TATA KELOLA TI Selesai WAWANCARA OBSERVASI 1 Identifikasi Kebutuhan Tata Kelola TI Gambar 1 Metodologi Penelitian Identifikasi dilakukan dengan metode wawancara dan observasi. Wawancara dan observasi dilakukan untuk mengidentifikasi tata kelola TI yang terkait dengan layanan TI yang tersedia, serta tingkat keperluan atas control objective yang akan dipilih nantinya sebagai fokus pembahasan. Di dalam penelitian ini, identifikasi kebutuhan Tata Kelola TI dilakukan secara umum, dengan langkah-langkah, yaitu meningkatkan kepedulian, kesadaran dan komitmen manajemen, mendefinisikan lingkup kegiatan, mendefinisikan resiko, mendefinisikan sumber daya dan hasilnya, dan merencanakan program. Pengumpulan data Pengumpulan data dilakukan dengan metode kuesioner. Kuesioner diawali dengan mengenali pihak-pihak yang bertanggung jawab terhadap setiap proses yang berlangsung di RSUD. Untuk mendapatkan gambaran yang lebih detail mengenai pengelolaan TI terkait dengan high level control objective yang telah dipilih, penyusun 3
melakukan survei kuesioner terhadap manajemen dan pengguna TI di RSUD Kab Sidoarjo (sesuai dengan digaram RACI di dalam framework COBIT). Tujuan yang diperoleh di dalam tahap pengumpulan data adalah mengidentifikasi solusi yang diharapkan, dengan langkah-langkah, yaitu menilai unjuk kerja aktual (as is position), mendefinisikan target perbaikian (to be position), dan menganalisis gap dan mengidentifikasi perbaikan potensial. Data hasil survei kuesioner yang dilakukan oleh penyusun, dilakukan uji reliabilitas data menggunakan metode Cronbach s Alpha dan validitas data menggunakan metode Korelasi Pearson atau metode Product Moment. Selanjutnya diolah dan dianalisis lebih lanjut, sehingga akan diperoleh hasil analisis data mengenai kondisi Tata Kelola TI di RSUD Kab Sidoarjo. HASIL PENELITIAN DAN PEMBAHASAN Dari hasil pengolahan data penelitian, diperoleh hasil sebagai berikut. Tabel Pemetaan jawaban dan nilai/tingkat kematangan No Jawaban Nilai Kematangan Tingkat Kematangan 1 A 0,00 0 Non-existent 2 B 1,00 1 Initial/Ad Hoc 3 C 2,00 2 Repeatable but intuitive 4 D 3,00 3 Defined process 5 E 4,00 4 Managed and Measurable 6 F 5,00 5 Optimised Gambar 2 Representasi Tingkat Kematangan DS3 Gambar 3 Representasi Tingkat Kematangan DS4 Gambar 4 Representasi Tingkat Kematangan DS8 Gambar 5 Representasi Tingkat Kematangan DS13 Untuk kondisi As Is, pada proses DS3, DS4, dan DS8, tingkat kematangan setiap atribut berada pada level 1 (awal/ad hoc), sedangkan untuk proses DS13, tingkat 4
kematangan atribut berada pada level 2 (berulang tapi intuitif). Secara umum kondisi ini dapat diartikan sebagai berikut. 1. Pemahaman manajemen saat ini mengenai kinerja dan kapasitas sumber daya TI, pemahaman mengenai pengelolaan service desk dan insiden, dan pemahaman mengenai kebutuhan mengelola operasi masih sangat terbatas. Manajemen baru mulai menyadari kebutuhan dan resiko-resiko yang terkait dengan layanan TI yang berkelanjutan. 2. Tidak ada proses perencanaan penerapan kebijakan, standar dan prosedur yang dilakukan untuk mengelola kinerja dan kapasitas sumber daya TI, mengelola service desk, dan mengelola informasi bersifat informal. Tidak ada prosedur pengelolaan kesinambungan layanan yang standar. 3. Manajemen kinerja dan kapasitas sumber daya TI bersifat reaktif dan tidak teratur. Kebutuhan keahlian untuk pengelolaan kinerja dan kapasitas sumber daya TI belum terdidentifikasi dan belum ada rencana pelatihan untuk itu. Masih terdapat ketergantungan yang tinggi pada kemampuan dan keahlian individu untuk mendukung proses dalam memastikan layanan TI yang berkelanjutan. Pelatihan dilakukan hanya masih terbatas sebagai respon atas kebutuhan, bukan karena perencanaan. Respon terhadap gangguan layanan TI masih bersifat reaktif dan tanpa persiapan. Manajemen tidak memonitor permasalahan/insiden dengan baik, serta tidak ada proses eskalasi untuk memastikan bahwa permasalahan telah dipecahkan. 4. Tidak ada batasan tanggung jawab untuk pengelolaan kinerja dan kapasitas, mengelola layanan berkelanjutan, dan mengelola operasi. Pengelolaannya hanya berdasarkan inisiatif individu. 5. Belum ada penentuan dan pengukuran pencapaian yang jelas untuk memastikan layanan yang berkelanjutan dan mengelola operasi. Untuk kondisi To Be, pada proses DS3 dan DS4, tingkat kematangan setiap atribut berada pada level 3 (proses terdefinisi), sedangkan untuk proses DS8 dan DS13, tingkat kematangan atribut berada pada level 4 (terkelola dan terukur). Secara umum kondisi ini dapat diartikan bahwa untuk kondisi di masa datang, diharapkan bahwa:. 1. Ada pemahaman dan kepedulian pihak manajemen akan kebutuhan mengelola kinerja dan kapasitas sumber daya TI, dan pemahaman akan kebutuhan mengelola service desk dan insiden, dan pemahaman akan pengelolaan operasi. Manajemen secara konsisten mengkomunikasikan perlunya perencanaan untuk memastikan layanan yang berkelanjutan secara lebih terstruktur. 2. Telah ada perencanaan penggunaan perangkat standar untuk melakukan otomasi dalam sistem pengelolaan kinerja dan kapasitas, pengelolaan layanan yang berkelanjutan, mengelola service desk dan insiden, dan pengelolaan operasi. 3. Kebutuhan keahlian untuk mendukung proses pengelolaan kinerja dan kapasitas, proses layanan yang berkelanjutan, telah diidentifikasi dan didokumentasikan secara lengkap. Perencanaan pelatihan secara formal juga telah dikembangkan, meskipun bentuk pelatihan masih didasarkan atas inisiatif perorangan. Selain itu, telah ada pendefinisian kebutuhan tingkat layanan TI dan metriknya yang dapat digunakan untuk melakukan pengukuran kinerja operasional. 4. Secara umum kebijakan, perencanaan dan prosedur pengelolaan kinerja dan kapasitas, pengelolaan service desk dan insiden, dan pengelolaan operasi sudah dibuat berdasarkan best-practice internal. Beberapa aktivitas kunci sudah memiliki 5
dokumen mengenai kebijakan, rencana dan prosedur terkait kesinambungan layanan. 5. Tanggung jawab dan akuntabilitas pengelolaan kinerja dan kapasitas sumber daya TI, pengelolaan layanan yang berkelanjutan, pengelolaan service desk dan insiden dan pengelolaan operasi telah didefinisikan secara jelas, ditetapkan dan dikomunikasikan dalam organisasi. 6. Ada budaya untuk memberikan penghargaan sebagai upaya untuk memotivasi peran mengelola kinerja dan kapasitas. Kesenjangan antara kondisi As Is dan To Be ini dijadikan bahan masukan dalam menentukan prosedur dan indikator kinerja dalam usulan perancangan tata kelola Jaminan Ketersediaan Layanan TI. Untuk mencapai tujuan bisnis yaitu memperoleh ketersediaan, kelancaran, dan peningkatan layanan Teknologi Informasi di RSUD Kabupaten Sidoarjo, maka perlu diterjemahkan ke dalam IT Goals dan Metrics, Process Goals dan Metrics, serta Activity Goals dan Metrics, yang dirangkum di dalam rencana aksi, sebagai berikut. 1. Memastikan bahwa layanan TI tersedia sesuai dengan yang dibutuhkan, ditempuh dengan cara: 1) Melakukan perencanaan dan penyediaan kapasitas sistem dan availability dengan melakukan peramalan kinerja dan kapasitas untuk setiap 1 tahun ke depan. Hal ini bertujuan agar response time yang dituangkan di dalam SLA (service level agreement) dapat terpenuhi; 2) Menerapkan high availability pada komponen kritis dengan menyediakan stok barang yang memadai serta memiliki kualitas yang baik. Hal ini bertujuan untuk meminimalisir terjadinya downtime; 3) Menyediakan UPS dan generator untuk mengantisipasi terjadinya downtime; 4) Mengembangkan dan mempertahankan (meningkatkan) IT Continuity Plan; 5) Melakukan pelatihan IT Continuity Plan setiap tahun kepada karyawan TI; 6) Melakukan pengujian IT Continuity Plan yang telah dibuat; 7) Menyelaraskan prioritas resolusi insiden dengan imperatif bisnis. 2. Mengoptimalkan infrastruktur TI, sumber daya dan kapabilitasnya dengan cara mengoptimalkan pemanfaatan sumber daya TI dengan menghitung dan memonitor sistem yang telah mencapai utilitas di atas 90%. Untuk sistem yang utilitasnya belum mencapai 90% atau mungkin ada yang belum terpakai, dilakukan evaluasi pemanfaatan atas sistem tersebut. 3. Memastikan dampak bisnis minimal ketika terjadi suatu gangguan layanan TI atau adanya perubahan layanan TI, ditempuh dengan cara: 1) Memasukkan layanan kritis ke dalam IT Contingency Plan yang bertujuan untuk mengantisipasi kemungkinan gangguan layanan TI; 2) Meminimalkan gangguan pada layanan TI yang kritis, dengan menghitung dan memonitor layanan TI kritis yang tidak dapat beroperasi pada saat terjadinya gangguan atau adanya perubahan layanan TI. 4. Memastikan bahwa layanan TI dan infrastruktur resisten dan dapat pulih dari kegagalan akibat error, serangan yang disengaja maupun bencana, dilakukan dengan cara: 1) Menyimpan salinan data-data kritis di lokasi di luar kantor; 2) Melakukan preventive maintenance dan monitoring infrastruktur TI, serta menyediakan media untuk memberikan keamanan fisik khususnya terhadap informasi yang sensitif. 6
5. Menjamin kepuasan end users dengan penawaran layanan dan tingkat layanan, dilakukan dengan cara: 1) Merancang dan menjalankan service desk, kemudian kinerjanya diukur dengan menghitung jumlah panggilan yang ditangani oleh setiap staf service desk per hari, serta menghitung jumlah pertanyaan/insiden yang terselesaikan. 2) Melakukan pemantauan dan pelaporan trends atas insiden dan pertanyaan secara reguler sehingga bisa dijadikan sebagai dasar untuk merancang prosedur operasional service desk dan menyelaraskannya dengan tingkat layanan yang disepakati. 3) Mengoperasikan lingkungan TI sejalan dengan tingkat layanan yang disepakati untuk menghindari downtime dan keterlambatan pelayanan akibat prosedur operasi yang menyimpang atau tidak memadai. KESIMPULAN Dari hasil penelitian yang telah dilakukan, dapat diambil kesimpulan sebagai berikut. 1. Tata kelola teknologi informasi terkait tujuan bisnis memperoleh ketersediaan, kelancaran, dan peningkatan layanan Teknologi Informasi di RSUD Kabupaten Sidoarjo, pada kondisi saat ini (As Is) relatif belum baik. Hal ini dapat dilihat pada pada proses DS3, DS4, dan DS8, bahwa tingkat kematangan setiap atribut masih berada pada level 1 (awal/ad hoc), sedangkan untuk proses DS13, tingkat kematangan atribut berada pada level 2 (berulang tapi intuitif). 2. Untuk kondisi yang diharapkan (To Be), pada proses DS3 dan DS4, tingkat kematangan setiap atribut berada pada level 3 (proses terdefinisi), sedangkan untuk proses DS8 dan DS13, tingkat kematangan atribut berada pada level 4 (terkelola dan terukur). 3. Rekomendasi perencanaan solusi menuju tingkat kematangan yang diharapkan dilakukan dengan langkah-langkah, yaitu: 1) Mendefinisian tindakan perbaikan, dengan mendefinisikan pola keterkaitan antara atribut AC, PSP, TA, SE, RA, dan GSM. 2) Mendefinisikan indikator dan target tingkat kinerja, dengan mengukur 3 aspek yaitu pencapaian dan kinerja TI (IT Goal and Metrics), pencapaian dan kinerja proses (Process Goal and Metrics), dan pencapaian dan kinerja aktifitas (Activity Goal and Metrics). 3) Perancangan model tata kelola jaminan ketersediaan layanan TI yang dapat menjadi panduan untuk diterapkan di RSUD Kabupaten Sidoarjo. DAFTAR PUSTAKA Aditya. (2010), Audit Perencanaan Tata Kelola Teknologi Informasi Menggunakan Kerangka Kerja COBIT, Studi Kasus; Rumah Sakit Umum/Daerah XYZ, Proposal Tesis, Magister Manajemen Teknologi, Institut Teknologi Sepuluh Nopember, Surabaya. Dwi Hartanto, Indra. (2010), Analisa Kesenjangan Tata Kelola Informasi dengan Kerangka Kerja COBIT (Studi Kasus pada Badan Pemeriksa Keuangan RI), 7
Tesis, Magister Manajemen Teknologi, Institut Teknologi Sepuluh Nopember, Surabaya. Hadi Dwi Purnomo, Lukman. (2010), Perancangan Model Tata Kelola Ketersediaan Layanan TI Menggunakan Framework COBIT pada BPK-RI, Tesis, Magister Manajemen Teknologi, Institut Teknologi Sepuluh Nopember, Surabaya. International Organization for Standardization (2008), Corporate Governance of Information Technology, ISO/IEC 38500:2008, International Organization for Standardization, Geneva. ISACA. (2005), IS Standards, Guidelines and Procedures for Auditing and Control Professionals, Information Systems Audit and Control Association, Illinois, USA. IT Governance Institute. (2008a), IT Governance and Process Maturity, IT Governance Institute. IT Governance Institute. (2008b), COBIT Mapping: Mapping of ITIL v3 With COBIT 4.1, IT Governance Institute. IT Governance Institute. (2007a), COBIT 4.1 Framework, Control Objectives, Management Guidelines, Maturity Models, IT Governance Institute. IT Governance Institute. (2007b), IT Governance Implemetation Guide, IT Governance Institute. IT Governance Institute. (2000), COBIT 3rd Implementation Tol Set, IT Governance Institute. Moeller, Robert R. (2010), IT Audit, Control, And Security, John Wiley & Sons, Inc, New Jersey. Novianto Suhardi, Sigit. (2010), Evaluasi Kinerja Pengelolaan Teknologi Informasi Pada PT. Multi Garmenjaya Surabaya Dengan Pendekatan CobIT, Proposal Tesis, Magister Manajemen Teknologi, Institut Teknologi Sepuluh Nopember, Surabaya. Sarno, Riyanarto. (2009), Audit Sistem dan Teknologi Informasi, Penerbit ITS Press, Surabaya. Senft, Sandra. dan Gallegos, Frederick. (2009), Information Technology Control and Audit, Taylor and Francis Group, New York. Surendro, Kridanto. (2009), Implementasi Tata Kelola Teknologi Informasi, Penerbit Informatika, Bandung. Weill, Peter dan Ross, Jeanne W (2004), IT Governance; How Top Performers Manage IT Decision Rights for Superior Results, Harvard Business School Press, Boston. 8