Mengurangi Risiko Outsourcing: Panduan CIO untuk Kemitraan IT Aman
Bisnis secara meningkat menyerahkan semua atau sebagian fungsi teknologi informasi mereka kepada penyedia layanan eksternal. Sementara ini mungkin menciptakan efisiensi tertentu, organisasi tetap bertanggung jawab atas risiko yang terkait dengan ketersediaan dan fungsi layanan IT, serta akses dan penggunaan data perusahaan yang tepat.
Ini berarti chief information officer atau pemimpin IT setara harus memastikan penyedia layanan yang dipilih memiliki struktur, stabilitas keuangan, dan rencana kelangsungan yang tepat untuk terus-menerus menyediakan layanan yang diikrarkan.
Itu juga berarti pemimpin IT harus menilai efektivitas kebijakan dan prosedur penyedia layanan, untuk memastikan integritas dan keamanan data sensitif dan informasi milik perusahaan.
Industri diperkirakan senilai $1 triliun per tahun, outsourcing IT banyak bentuk. Organisasi dapat menyerahkan seluruh departemen IT mereka kepada vendor, atau dapat menyewa satu untuk melakukan operasi data center, manajemen jaringan, atau fungsi spesifik lainnya.
Fungsi IT yang sering di-outsource meliputi:
- Pengembangan aplikasi perangkat lunak,
- Dukungan aplikasi perangkat lunak,
- Operasi data center,
- Dukungan help desk,
- Manajemen jaringan,
- Keamanan siber,
- Platform atau infrastruktur sebagai layanan, dan
- Perangkat lunak sebagai layanan.
Di masa lalu, CIO fokus terutama pada rantai pasokan produk fisik. Saat ini, namun, mereka harus khawatir dengan rantai pasokan baik produk maupun layanan.
Menilai dan mengelola risiko di pemasok layanan teknologi pihak ketiga dapat menjadi tantangan, karena bagian signifikan dari lingkungan layanan berada di bawah kontrol penyedia, dan kemungkinan di luar lingkup organisasi yang memperolehnya. Due diligence harus dilakukan di awal untuk menilai risiko yang terkait dengan melibatkan pihak eksternal.
Sebelum melibatkan penyedia layanan IT, CIO harus memahami:
- Apa yang di-outsource,
- Proses bisnis apa yang akan didukung oleh layanan,
- Data apa yang akan disimpan, diproses, atau dapat diakses melalui layanan yang di-outsource, dan
- Siapa yang akan memiliki akses ke sistem, aplikasi, dan data yang terkait dengan layanan yang di-outsource.
Proses dapat dimulai dengan formulir penilaian risiko layanan IT dasar, dirancang untuk menangkap jawaban atas pertanyaan ini dari staf dalam organisasi. Selain itu, formulir pra-penilaian pemasok dapat digunakan untuk mengumpulkan informasi awal dari penyedia layanan potensial. Pertanyaan umum untuk ditanyakan dalam formulir pra-penilaian pemasok meliputi:
- Apakah perusahaan Anda pernah menyatakan pailit?
- Apakah polis asuransi perusahaan Anda mencakup klaim kesalahan dan kelewatan (atau tanggung jawab umum)? Jika ya, apa batas polis?
- Apakah perusahaan Anda terlibat dalam perselisihan hukum yang sedang berlangsung?
- Apakah perusahaan Anda pernah menjadi pihak dalam investigasi regulator?
- Apakah perusahaan Anda memiliki kebijakan privasi?
- Apakah perusahaan Anda memiliki program keamanan yang terdokumentasi?
- Apakah perusahaan Anda setuju untuk menyelesaikan kuesioner mengenai program keamanan informasi dan privasi Anda?
- Apakah perusahaan Anda memiliki laporan Service Organization Controls (SOC)?
- Apakah perusahaan Anda memiliki rencana kelangsungan bisnis yang komprehensif untuk melanjutkan operasi dalam hal insiden yang mengganggu operasi normal?
Formulir penilaian ini seharusnya menyediakan informasi yang cukup untuk menentukan apakah due diligence tambahan diperlukan. Berdasarkan tingkat risiko potensial, due dilnance tambahan ini dapat mencakup meminta penyedia layanan untuk merespons kuesioner yang lebih rinci; meninjau laporan SOC penyedia layanan secara detail, atau melibatkan fungsi audit internal organisasi atau firma audit eksternal yang berkualifikasi untuk melakukan penilaian vendor.
Melakukan penilaian ini adalah kritis saat membangun hubungan dengan penyedia baru. Juga penting untuk terus meninjau setiap pemasok secara berkelanjutan. Frekuensi dan luas tinjauan tersebut harus didasarkan pada risiko yang terkait dengan layanan yang disediakan.
Penilaian ini disesuaikan untuk penyedia layanan, tetapi konsep dapat disesuaikan untuk penyedia produk teknologi kunci juga. Hal utama adalah CIO memahami risiko potensial dari melibatkan pemasok, dan memiliki pemahaman tentang bagaimana setiap pemasok mengelola risiko bisnisnya. Dengan cara ini, CIO akan lebih mampu mengantisipasi dampak risiko outsourcing pada organisasi.
Penilaian penyedia layanan dapat ditugaskan ke berbagai fungsi dalam organisasi, termasuk IT, manajemen risiko, atau audit internal. Penilaian juga dapat dilakukan oleh pihak ketiga yang berkualifikasi.
Namun, tanggung jawab CIO atau pemimpin IT setara untuk meninjau informasi yang dikumpulkan dari penilaian, dan menentukan apakah melibatkan penyedia layanan teknologi yang diusulkan selaras dengan tujuan dan tingkat toleransi risiko organisasi. Penilaian yang menyeluruh hari ini akan membantu mencegah masalah yang lebih besar di jalan yang akan datang.
Robert Neill adalah direktur CIO Advisory Services untuk Weaver, sebuah firma CPA dan konsultasi nasional.
