IT Governance (Tata Kelola TI): Pengertian, Prinsip, Contoh Penerapan, dan ISO/IEC 38500:2024

IT governance atau tata kelola TI (sering juga ditulis tata kelola IT) adalah cara pimpinan organisasi mengevaluasi, mengarahkan, dan memantau penggunaan teknologi informasi, agar TI benar-benar mendukung tujuan bisnis dan risikonya tetap terkendali.

Ringkasan Cepat

• Tata kelola TI adalah tanggung jawab pimpinan, bukan hanya divisi TI.
• Acuan internasionalnya adalah ISO/IEC 38500:2024, yang kini memakai sebelas prinsip tata kelola.
• ISO/IEC 38500 adalah pedoman, bukan standar yang bisa disertifikasi.
• Di Indonesia, tata kelola TI juga dituntut regulasi seperti POJK 11/2022 dan UU PDP.

Apa Itu IT Governance?

ISO/IEC 38500 memandang tata kelola TI sebagai bagian dari tata kelola organisasi secara keseluruhan. Artinya, keputusan besar tentang TI, seperti investasi sistem baru, pemilihan vendor, atau penggunaan data, diperlakukan sama seperti keputusan strategis lain: ada yang mengarahkan, ada yang bertanggung jawab, dan ada yang mengawasi hasilnya.

Bedanya dengan Manajemen TI

Aspek	Tata kelola TI	Manajemen TI
Pertanyaan utama	Apakah TI mengarah ke tujuan yang benar?	Apakah TI berjalan dengan benar?
Pelaku	Direksi, dewan, komite pengarah	Kepala TI dan timnya
Hasil	Arah, kebijakan, akuntabilitas	Layanan, proyek, operasi harian

Keduanya saling membutuhkan. Tata kelola tanpa manajemen hanya menjadi rencana di atas kertas, sedangkan manajemen tanpa tata kelola bisa berjalan efisien tetapi ke arah yang salah.

Manfaat Menerapkan IT Governance

Manfaatnya paling terasa pada kualitas keputusan TI:

• Investasi lebih tepat sasaran. Setiap usulan dinilai manfaat dan risikonya sebelum disetujui, lalu hasilnya dipantau.
• Risiko TI punya pemilik yang jelas, sehingga tidak dibiarkan menjadi urusan divisi TI semata.
• Kepatuhan lebih mudah dibuktikan. Keputusan dan pengawasan yang terdokumentasi menjadi bukti saat diperiksa regulator atau auditor.
• Keputusan lebih cepat dan konsisten, karena jelas siapa yang berwenang memutuskan apa.
• Kepercayaan pemangku kepentingan meningkat, termasuk investor, regulator, dan pelanggan.

Prinsip IT Governance Menurut ISO/IEC 38500:2024

ISO/IEC 38500:2024 terbit pada Februari 2024 sebagai edisi ketiga dan menggantikan edisi 2015. Perubahan terbesarnya ada pada prinsip. Edisi 2015 memakai enam prinsip: tanggung jawab, strategi, akuisisi, kinerja, kepatuhan, dan perilaku manusia. Edisi 2024 menggantinya dengan sebelas prinsip dari ISO 37000 tentang tata kelola organisasi, yang dikelompokkan dalam tiga lapis:

• Prinsip utama: tujuan organisasi.
• Prinsip fondasi: penciptaan nilai, strategi, pengawasan, dan akuntabilitas.
• Prinsip pendukung: pelibatan pemangku kepentingan, kepemimpinan, data dan keputusan, tata kelola risiko, tanggung jawab sosial, serta keberlangsungan dan kinerja jangka panjang.

Pergeserannya penting: TI tidak lagi dinilai dengan kacamata khusus TI, tetapi dengan prinsip yang sama seperti tata kelola organisasi secara keseluruhan.

Model Tata Kelola TI

Model tata kelola TI menurut ISO/IEC 38500:2024

Model klasiknya berupa siklus evaluasi, arahkan, dan pantau. Edisi 2024 menambahkan satu unsur: melibatkan pemangku kepentingan.

Kerangka Kerja IT Governance: ISO/IEC 38500, COBIT, dan ITIL

Kerangka	Fokus	Dipakai oleh
ISO/IEC 38500	Prinsip dan model tata kelola TI	Direksi dan dewan
COBIT (ISACA)	Tujuan tata kelola dan manajemen TI, beserta cara mengukur kapabilitasnya	Manajemen, audit internal, dan fungsi risiko
ITIL 4	Praktik manajemen layanan TI	Tim operasional TI

Ketiganya saling melengkapi, bukan saling menggantikan. ISO/IEC 38500 menetapkan arah di tingkat pimpinan, COBIT menerjemahkannya menjadi tujuan dan kontrol yang terukur, dan ITIL membantu tim TI menjalankan layanannya sehari-hari.

Apakah ISO/IEC 38500 Bisa Disertifikasi?

Tidak, karena memang tidak dirancang untuk itu. ISO/IEC 38500 adalah pedoman, bukan standar sistem manajemen seperti ISO 9001 atau ISO/IEC 27001, sehingga tidak dimaksudkan sebagai dasar sertifikasi organisasi. Sertifikat pelatihan ISO/IEC 38500 untuk individu memang ada, tetapi itu berbeda dari sertifikasi organisasi.

Yang bisa dilakukan organisasi adalah menyelaraskan tata kelola TI-nya dengan standar ini, lalu menilai tingkat penerapannya. Untuk penilaian tersebut, tersedia ISO/IEC 38503:2022 sebagai acuan.

IT Governance dalam Regulasi Indonesia

Di beberapa sektor, tata kelola TI bukan lagi pilihan:

• Perbankan. POJK 11/POJK.03/2022 mengatur penyelenggaraan TI oleh bank, termasuk pengawasan penyedia jasa TI. Perjanjian dengan vendor, misalnya, wajib memuat komitmen menyerahkan hasil audit TI independen, mekanisme pelaporan kejadian kritis, dan akses pemeriksaan bagi OJK. Rinciannya dibahas di artikel implementasi POJK 11/2022.
• Pelindungan data pribadi. Keputusan TI yang menyangkut data pribadi, seperti sistem baru atau penggunaan AI untuk mengolah data pelanggan, perlu diawasi pimpinan karena membawa kewajiban UU PDP. Lihat panduan pelaksanaan UU PDP berdasarkan PP 33/2026.
• Instansi pemerintah. Tata kelola TI di sektor publik berjalan dalam kerangka Sistem Pemerintahan Berbasis Elektronik (SPBE).

Siapa yang Bertanggung Jawab?

Peran	Tanggung jawab
Direksi atau dewan	Menetapkan arah, menyetujui keputusan TI yang strategis, dan memegang akuntabilitas akhir
Komite pengarah TI	Menyaring usulan investasi dan memantau proyek penting
Manajemen TI	Menjalankan kebijakan dan melaporkan kinerja
Audit internal	Memberi keyakinan independen bahwa tata kelola berjalan

Agar pengawasan efektif, laporan kepada pimpinan sebaiknya memuat empat hal: siapa pemilik setiap risiko TI, dasar keputusan investasi, kinerja layanan dibanding rencana, dan status kepatuhan terhadap regulasi.

Contoh Penerapan IT Governance di Perusahaan

Tiga ilustrasi berikut menunjukkan seperti apa tata kelola TI dalam keputusan sehari-hari.

1. Investasi ERP. Divisi operasional mengusulkan sistem ERP baru. Sebelum direksi memutuskan, komite pengarah TI menilai manfaat bisnisnya, risiko migrasi, total biaya, dan rencana jika proyek gagal. Setelah berjalan, manfaatnya dipantau terhadap target awal, bukan hanya dinyatakan selesai saat sistem aktif.
2. Pengawasan vendor TI di bank. Bank yang memakai penyedia layanan cloud menetapkan kewajiban dalam kontrak, menerima laporan audit independen secara berkala, dan memastikan insiden kritis dilaporkan. Direksi menerima ringkasan status pengawasannya, termasuk vendor yang berisiko tinggi.
3. Penggunaan AI untuk data pelanggan. Tim pemasaran ingin memakai AI untuk menganalisis data pelanggan. Pimpinan memastikan dulu dasar pemrosesan data, risikonya, siapa yang bertanggung jawab, dan cara memantau hasilnya, sebelum proyek disetujui.

Polanya sama di ketiga contoh: ada evaluasi sebelum keputusan, arahan yang jelas, dan pemantauan sesudahnya.

Langkah Menerapkan IT Governance

1. Tetapkan mandat. Pimpinan menegaskan bahwa tata kelola TI adalah tanggung jawabnya, lalu membentuk struktur seperti komite pengarah TI.

2. Nilai kondisi saat ini. Petakan bagaimana keputusan TI dibuat sekarang dan seberapa matang penerapannya.

3. Rancang kerangka dan kebijakan. Tentukan hak keputusan, kebijakan TI, dan kriteria persetujuan investasi.

4. Tetapkan indikator dan pelaporan. Sepakati apa yang dilaporkan kepada pimpinan dan seberapa sering.

5. Pantau dan tinjau berkala. Perbarui kerangka saat strategi bisnis, teknologi, atau regulasi berubah.

Kesalahan Umum

• Menyamakan tata kelola TI dengan membeli perangkat lunak atau menerapkan ITIL. Alat dan praktik operasional tidak menggantikan peran pimpinan.
• Berhenti di dokumen kebijakan. Kebijakan tanpa pelaporan dan pemantauan tidak mengubah cara keputusan dibuat.
• Menyerahkan semua keputusan TI kepada divisi TI, termasuk keputusan yang berdampak besar pada bisnis dan risiko organisasi.
• Mengira ISO/IEC 38500 bisa disertifikasi, lalu mengejar sertifikat alih-alih perbaikan nyata.

Kesimpulan

IT governance memastikan setiap keputusan TI yang penting punya arah, pemilik, dan pengawasan. ISO/IEC 38500:2024 memberi prinsip dan modelnya, COBIT dan ITIL membantu menjalankannya, dan regulasi seperti POJK 11/2022 serta UU PDP membuatnya semakin wajib di sektor tertentu. Kuncinya bukan sertifikat, melainkan keputusan TI yang lebih baik dan bisa dipertanggungjawabkan.

Mitra Berdaya Optima membantu organisasi menilai kondisi tata kelola TI, merancang kerangka dan kebijakannya, serta menyusun peta jalan perbaikan. Pelajari layanan konsultasi tata kelola TI atau hubungi tim kami.