Bab 10: Implementasi Praktis - Phase 1 (0-6 Bulan)

🎯 Track: Keduanya (K) untuk Direksi/Manajer maupun Praktisi TI.

Hook Naratif: “Mulai dari Mana? Serasa Mau Lari Marathon”

“Kita sudah sepakat untuk implementasi IT Governance,” kata Kepala Divisi TI setelah membaca hasil maturity assessment. “Tapi jujur saja, saya tidak tahu harus mulai dari mana. Ada begitu banyak hal yang harus dilakukan, sumber daya terbatas, dan resistensi dari berbagai pihak. Rasanya seperti mau lari marathon tanpa latihan.”

Kepala Divisi TI tidak sendirian merasa demikian. Hasil assessment menunjukkan berbagai area yang perlu diperbaiki: mulai dari steering committee yang belum efektif, risk register yang tidak ada, policy yang tidak lengkap, hingga performance measurement yang belum terstruktur. Mana yang harus dikerjakan duluan? Bagaimana menyusun prioritas?

Lebih parah lagi, seringkali ada tekanan untuk “segera menunjukkan hasil”. Manajemen ingin melihat perbaikan segera, sementara realitas di lapangan menuntut waktu untuk perubahan yang berkelanjutan.

Pendekatan big bang mencoba melakukan semuanya sekaligus dalam waktu singkat. Hampir selalu gagal. Mengapa? Karena perubahan membutuhkan: (a) waktu untuk sosialisasi, (b) sumber daya untuk pelaksanaan, (c) kesabaran untuk menghadapi resistensi, (d) fleksibilitas untuk belajar dan menyesuaikan.

Bab ini akan mempresentasikan pendekatan phased yang realistis untuk implementasi IT Governance. Fase pertama (0-6 bulan) bertujuan membangun pondasi dan mencetak quick wins yang dapat membangun momentum untuk fase selanjutnya.

Tujuan Pembelajaran:

• Memahami pentingnya pendekatan bertahap dalam implementasi IT Governance
• Mengetahui aktivitas quick wins untuk bulan 1-2
• Mengetahui aktivitas foundation untuk bulan 3-4
• Mengetahui aktivitas early wins untuk bulan 5-6
• Mampu menyusun action plan implementasi untuk 6 bulan pertama

10.1 Prinsip Implementasi yang Efektif

Sebelum masuk ke detail aktivitas per bulan, penting untuk memahami prinsip-prinsip yang akan menentukan keberhasilan implementasi.

10.1.1 Prinsip Pertama: Phased Approach, Bukan Big Bang

Perubahan besar harus dilakukan secara bertahap. Ada beberapa alasan praktis:

Pertama, sumber daya terbatas. Organisasi tidak dapat mengerjakan semuanya sekaligus. People yang akan melakukan implementasi juga harus tetap menjalankan operasi sehari-hari.

Kedua, resistensi berkurang dengan perubahan bertahap. Perubahan drastis sekaligus menimbulkan kecemasan dan resistensi yang lebih besar. Perubahan bertahap memberikan waktu untuk adaptasi.

Ketiga, pelajaran dari fase awal dapat diterapkan di fase selanjutnya. Implementasi IT Governance adalah proses belajar. Tidak ada resep yang sama persis untuk setiap organisasi. Pendekatan bertahap memungkinkan organisasi belajar dan menyesuaikan.

10.1.2 Prinsip Kedua: Quick Wins untuk Membangun Momentum

Quick wins adalah hasil yang nyata yang dapat dicapai dalam waktu singkat. Mengapa penting?

Pertama, membangun kredibilitas. Ketika orang melihat hasil nyata, mereka lebih percaya bahwa perubahan itu mungkin.

Kedua, membangun dukungan. Hasil nyata meyakinkan stakeholder bahwa investasi waktu dan sumber daya sepadan.

Ketiga, membangun kebiasaan. Kecil tetapi konsisten lebih baik daripada besar tetapi sporadis.

10.1.3 Prinsip Ketiga: Top-Down dan Bottom-Up

Implementasi IT Governance memerlukan dukungan dari atas (top-down) dan partisipasi dari bawah (bottom-up).

Dukungan Top-Down berarti: (a) komitmen dari direksi, (b) alokasi sumber daya, (c) otoritas untuk membuat perubahan, (d) contoh dari pemimpin.

Partisipasi Bottom-Up berarti: (a) pelibatan tim operasional dalam perancangan proses, (b) masukan dari pengguna proses, (c) ownership dari pelaksana, (d) umpan balik untuk perbaikan.

Tanpa dukungan top-down, perubahan tidak akan memiliki otoritas. Tanpa partisipasi bottom-up, perubahan tidak akan berkelanjutan.

10.1.4 Prinsip Keempat: Focus, Focus, Focus

Organisasi yang mencoba melakukan terlalu banyak hal biasanya berakhir tidak melakukan apa-apa dengan baik. Lebih baik fokus pada beberapa area penting dan melakukannya dengan baik, daripada mencoba menyelesaikan semuanya setengah hati.

Fase pertama harus fokus pada: (a) pondasi governance (steering, policy, risk), (b) area yang memberikan quick wins nyata, (c) proses yang paling critical untuk operasi.

10.2 Quick Wins: Bulan 1-2

Bulan pertama dan kedua adalah krusial. Tujuannya bukan untuk mencapai kematangan penuh, tetapi untuk memulai perjalanan dan mencetak quick wins.

10.2.1 IT Steering Committee Formation

IT Steering Committee (ISC) adalah forum pengambilan keputusan TI paling utama. Pembentukan ISC yang efektif adalah quick win penting.

Langkah-langkah:

Langkah 1: Definisikan Terms of Reference

Tierms of Reference (ToR) harus mendefinisikan: (a) tujuan ISC, (b) anggota dan perannya, (c) frekuensi pertemuan, (d) otoritas keputusan, (e) mekanisme pelaporan.

Contoh tujuan ISC: “Memastikan investasi TI selaras dengan strategi bisnis, mengambil keputusan strategis terkait TI, dan mengawasi implementasi governance.”

Langkah 2: Tentukan Komposisi Anggota

ISC harus dipimpin oleh eksekutif senior (biasanya CEO atau Direktur Operasional) dan mencakup: (a) Kepala Divisi TI, (b) perwakilan dari unit bisnis utama, (c) perwakilan dari fungsi keuangan, (d) perwakilan dari fungsi risk/compliance.

Langkah 3: Jadwalkan Pertemuan Rutin*

ISC sebaiknya bertemu setiap bulan dengan agenda yang jelas. Pertemuan harus didokumentasikan dengan minutes dan action items.

Langkah 4: Eskalasi ke Direksi

ISC harus melapor ke direksi secara kuartalan untuk memberikan update tentang strategi TI, portofolio proyek, dan isu strategis.

Quick Win Ini:

• Waktu: 2-4 minggu untuk pembentukan
• Hasil: Forum keputusan TI yang terstruktur
• Dampak: Keputusan TI menjadi lebih transparan dan terarah

10.2.2 IT Risk Register Establishment

IT Risk Register adalah daftar risiko TI yang teridentifikasi beserta penilaian dan rencana mitigasinya. Ini adalah pondasi dari Risk Management.

Langkah-langkah:

Langkah 1: Workshop Identifikasi Risiko

Selenggarakan workshop dengan tim TI untuk mengidentifikasi risiko. Gunakan teknik brainstorming dengan kategori: (a) operasional, (b) keamanan, (c) finansial, (d) kepatuhan, (e) reputasi.

Contoh risiko yang biasa muncul: downtime sistem critical, kebocoran data, vendor dependency, kekurangan skill internal, kegagalan proyek.

Langkah 2: Penilaian Risiko

Untuk setiap risiko, nilai: (a) likelihood (1-5), (b) impact (1-5), (c) risk level (likelihood × impact).

Langkah 3: Rencana Mitigasi

Untuk risiko dengan risk level tinggi, tentukan: (a) tindakan mitigasi, (b) owner (penanggung jawab), (c) target penyelesaian.

Langkah 4: Review Berkala

Risk register harus ditinjau secara berkala (minimal kuartalan) untuk memperbarui penilaian dan status mitigasi.

Quick Win Ini:

• Waktu: 2-3 minggu untuk inisialisasi
• Hasil: Daftar risiko yang teridentifikasi dengan rencana mitigasi
• Dampak: Risiko menjadi lebih terkelola dan termonitor

10.2.3 Document Inventory dan Gap Analysis

Organisasi biasanya sudah memiliki beberapa dokumen TI, tetapi tersebar dan tidak terstruktur. Document inventory adalah langkah pertama untuk pengelolaan dokumen yang lebih baik.

Langkah-langkah:

Langkah 1: Kumpulkan Semua Dokumen

Kumpulkan semua dokumen TI yang ada: policy, procedure, work instruction, form, contract, project document, dan lainnya.

Langkah 2: Klasifikasikan Dokumen

Klasifikasikan dokumen ke dalam kategori: (a) Level 1 - Kebijakan, (b) Level 2 - Prosedur, (c) Level 3 - Instruksi Kerja, (d) Level 4 - Form, (e) Level 5 - Record.

Langkah 3: Identifikasi Gap

Bandingkan dokumen yang ada dengan kebutuhan. Identifikasi: (a) dokumen yang belum ada, (b) dokumen yang sudah kadaluarsa, (c) dokumen yang tumpang tindih.

Langkah 4: Prioritaskan Pengembangan

Berdasarkan gap analysis, prioritaskan dokumen yang paling kritis untuk dikembangkan lebih dulu.

Quick Win Ini:

• Waktu: 2-4 minggu
• Hasil: Pemahaman jelas tentang status dokumentasi
• Dampak: Pengembangan dokumen menjadi lebih terarah

10.2.4 Critical System Identification

Tidak semua sistem memiliki tingkat kepentingan yang sama. Mengidentifikasi sistem critical membantu organisasi fokus sumber daya pada area yang paling penting.

Langkah-langkah:

Langkah 1: Daftar Semua Sistem

Buat daftar lengkap semua sistem TI: aplikasi, server, network, storage, dan lainnya.

Langkah 2: Klasifikasi Berdasarkan Kritikalitas

Klasifikasikan sistem ke dalam kategori:

• Mission Critical: Sistem yang jika down akan menghentikan operasi bisnis secara signifikan
• Business Critical: Sistem yang jika down akan mengurangi produktivitas tetapi tidak menghentikan operasi
• Operational: Sistem pendukung operasi
• Administrative: Sistem administratif

Langkah 3: Tentukan Standar Ketersediaan

Untuk setiap kategori, tentukan standar ketersediaan yang diharapkan:

• Mission Critical: 99,9% uptime atau lebih
• Business Critical: 99% uptime
• Operational: 95% uptime
• Administrative: Best effort

Langkah 4: Prioritaskan Investasi dan Monitoring

Sistem critical harus mendapat prioritas untuk: (a) investasi redundancy, (b) pemantauan intensif, (c) disaster recovery planning, (d) maintenance preventive.

Quick Win Ini:

• Waktu: 1-2 minggu
• Hasil: Pemahaman tentang sistem yang paling penting
• Dampak: Fokus sumber daya pada area yang tepat

10.2.5 Timeline Bulan 1-2

gantt
    title Phase 1: Quick Wins (Bulan 1-2)
    dateFormat  YYYY-MM-DD
    section Bulan 1
    Pembentukan IT Steering Comm    :a1, 2025-01-01, 2w
    Workshop Risiko                 :a2, 2025-01-01, 1w
    Risk Register Setup             :a3, after a2, 1w
    Document Inventory              :a4, 2025-01-08, 2w
    Critical System Identification  :a5, 2025-01-15, 1w
    section Bulan 2
    ISC Pertemuan 1                 :b1, 2025-01-22, 1d
    Gap Analysis Dokumen            :b2, 2025-01-22, 1w
    Finalisasi Risk Register        :b3, 2025-01-22, 1w

10.3 Foundation: Bulan 3-4

Setelah quick wins, bulan ketiga dan keempat fokus pada pembangunan pondasi yang lebih kuat.

10.3.1 Policy Development: 5 Kebijakan Minimum

Organisasi tidak perlu mengembangkan puluhan policy sekaligus. Mulai dengan 5 policy minimum yang paling kritis.

1. IT Governance Policy

Policy ini menetapkan kerangka governance TI organisasi. Isi utama: (a) struktur governance, (b) peran dan tanggung jawab, (c) mekanisme pengambilan keputusan, (d) prinsip-prinsip utama.

2. Information Security Policy

Policy ini menetapkan prinsip-prinsip keamanan informasi. Isi utama: (a) klasifikasi informasi, (b) access control, (c) penggunaan email dan internet, (d) password management, (e) incident reporting.

3. IT Risk Management Policy

Policy ini menetapkan kerangka manajemen risiko TI. Isi utama: (a) proses identifikasi risiko, (b) metodologi penilaian, (c) pendekatan mitigasi, (d) risk appetite organisasi.

4. IT Project Governance Policy

Policy ini menetapkan kerangka governance untuk proyek TI. Isi utama: (a) proses seleksi proyek, (b) gate review, (c) business case requirement, (d) post-implementation review.

5. IT Service Management Policy

Policy ini menetapkan standar pelayanan TI. Isi utama: (a) service level agreement, (b) incident management, (c) change management, (d) availability management.

Pengembangan Policy:

• Gunakan template standar untuk konsistensi
• Dapatkan review dari fungsi terkait (Legal, Risk, dll)
• Dapatkan persetujuan formal dari manajemen
• Komunikasikan ke seluruh organisasi

10.3.2 SOP untuk Critical Processes

Selain policy, organisasi membutuhkan Standard Operating Procedure (SOP) untuk proses yang paling kritis. Prioritas SOP:

1. Incident Management SOP

Prosedur untuk menangani insiden operasional: (a) deteksi dan pelaporan, (b) kategorisasi dan prioritas, (c) eskalasi, (d) resolusi, (e) dokumentasi.

2. Change Management SOP

Prosedur untuk mengelola perubahan: (a) change request, (b) evaluasi risiko, (c) persetujuan, (d) implementasi, (e) rollback jika diperlukan.

3. Backup dan Recovery SOP

Prosedur untuk backup dan pemulihan: (a) jadwal backup, (b) prosedur backup, (c) penyimpanan backup, (d) pengujian pemulihan.

4. Vendor Management SOP

Prosedur untuk mengelola vendor: (a) seleksi vendor, (b) evaluasi performa, (c) contract management, (d) terminasi hubungan.

10.3.3 Organization Structure Review

Struktur organisasi TI mungkin perlu disesuaikan untuk mendukung governance yang lebih baik.

Pertanyaan Kunci:

• Apakah ada peran yang bertanggung jawab untuk IT Governance?
• Apakah ada pemisahan tugas yang baik antara fungsi operasi, pengembangan, dan support?
• Apakah ada segregation of duties yang memadai untuk mencegah konflik kepentingan?
• Apakah struktur mendukung strategic alignment?

Peran yang Mungkin Ditambahkan:

• IT Governance Manager: Koordinator implementasi governance
• IT Risk Manager: Pengelola risiko TI
• IT Security Manager: Pengelola keamanan informasi
• Service Desk Manager: Pengelola pelayanan TI

Peran ini tidak selalu harus full-time atau new hire. Terkadang peran tambahan dapat diberikan kepada existing staff yang kompeten.

10.3.4 Training dan Awareness

Tanpa pemahaman yang memadai, policy dan prosedur tidak akan efektif. Training dan awareness adalah kunci.

Jenis Training:

1. Training untuk Manajemen: Fokus pada konsep governance, peran mereka, dan keputusan strategis
2. Training untuk TI Staff: Fokus pada prosedur teknis dan tanggung jawab mereka
3. Training untuk Seluruh Karyawan: Fokus pada keamanan informasi dasar (password, phishing, dll)

Metode Training:

• Workshop interaktif
• Online learning (untuk topik dasar)
• Newsletter atau email blast untuk tips
• Poster atau * signage* di area kerja

10.3.5 Timeline Bulan 3-4

gantt
    title Phase 2: Foundation (Bulan 3-4)
    dateFormat  YYYY-MM-DD
    section Bulan 3
    Draft 5 Kebijakan Utama         :c1, 2025-03-01, 2w
    Review dan Revisi Kebijakan     :c2, after c1, 1w
    Approval Kebijakan              :c3, after c2, 1w
    SOP Critical Processes          :c4, 2025-03-08, 3w
    Org Structure Review            :c5, 2025-03-01, 2w
    section Bulan 4
    Sosialisasi Kebijakan           :d1, 2025-03-22, 2w
    Training TI Staff               :d2, 2025-04-01, 2w
    Training Umum                   :d3, 2025-04-08, 1w

10.4 Early Wins: Bulan 5-6

Bulan kelima dan keenam fokus pada implementasi yang mulai menghasilkan hasil nyata (“early wins”).

10.4.1 First Audit Cycle dan Remediation

Audit pertama mungkin menakutkan, tetapi penting untuk mendapatkan perspektif independen tentang keadaan governance saat ini.

Pendekatan:

Gunakan audit internal atau self-assessment untuk siklus pertama. Audit eksternal dapat dipertimbangkan untuk siklus berikutnya setelah pondasi terbentuk.

Fokus Audit:

Audit pertama sebaiknya fokus pada area yang sudah ditangani: (a) struktur governance, (b) risk management, (c) policy compliance, (d) critical system availability.

Proses Remediation:

Temuan audit harus ditindaklanjuti dengan proses remediation: (a) owner untuk setiap temuan, (b) rencana perbaikan, (c) target penyelesaian, (d) monitoring progres.

10.4.2 Performance Dashboard Establishment

Performance dashboard adalah alat untuk memvisualisasikan KPI TI. Ini membantu manajemen memahami performa TI secara cepat.

KPI Dasar untuk Dashboard:

• System Availability (per sistem critical)
• Incident Volume dan Resolution Time
• Project Status (on-track, at-risk, delayed)
• Budget Utilization
• Open Risk Items

Teknologi:

Mulai dengan tools sederhana seperti Excel atau Power BI. Tools yang lebih canggih (GRC suite) dapat dipertimbangkan untuk fase selanjutnya.

10.4.3 Project Governance untuk Top 5 Projects

Alih-alih mencoba menerapkan project governance untuk semua proyek sekaligus, fokus pada 5 proyek teratas terlebih dahulu.

Kriteria Seleksi:

Pilih proyek yang: (a) memiliki dampak signifikan terhadap bisnis, (b) berisiko tinggi, (c) sedang berjalan dan membutuhkan pengawasan.

Implementasi:

Untuk setiap proyek, terapkan: (a) business case (jika belum ada), (b) project board atau steering, (c) gate reviews sesuai fase, (d) progress reporting berkala.

Hasil yang Diharapkan:

Proyek yang lebih terkontrol, keputusan yang lebih transparan, dan pelajaran untuk implementasi ke seluruh portofolio proyek.

10.4.4 Timeline Bulan 5-6

gantt
    title Phase 3: Early Wins (Bulan 5-6)
    dateFormat  YYYY-MM-DD
    section Bulan 5
    Persiapan Audit Pertama         :e1, 2025-05-01, 2w
    Eksekusi Audit                   :e2, after e1, 2w
    Review Hasil Audit               :e3, after e2, 1w
    Design Performance Dashboard     :e4, 2025-05-01, 2w
    Implementasi Dashboard           :e5, after e4, 2w
    Project Governance Top 5         :e6, 2025-05-01, 4w
    section Bulan 6
    Remediation Planning             :f1, 2025-06-01, 2w
    Peluncuran Dashboard             :f2, 2025-06-01, 1w
    Review Phase 1                   :f3, 2025-06-15, 2w

10.5 Studi Kasus: Implementasi di Unit B

Unit B adalah salah satu unit operasional Organisasi X. Berikut adalah perjalanan implementasi IT Governance mereka dalam 6 bulan pertama.

10.5.1 Konteks Awal

Sebelum implementasi, kondisi Unit B:

• Tidak ada komite IT formal
• Tidak ada risk register
• Dokumentasi terbatas dan tersebar
• Sistem critical belum teridentifikasi dengan jelas
• Proyek berjalan tanpa governance yang jelas

10.5.2 Quick Wins (Bulan 1-2)

Pencapaian:

• IT Steering Committee terbentuk dengan 5 anggota
• Workshop risiko mengidentifikasi 23 risiko, 8 di antaranya dikategorikan high
• Document inventory menemukan 45 dokumen TI, 30 di antaranya perlu diperbarui
• 12 sistem diklasifikasikan sebagai mission critical

Tantangan:

• Beberapa stakeholder merasa pertemuan ISC menghabiskan waktu
• Risk register awal dianggap terlalu teknis untuk manajemen non-TI

Solusi:

• ISC pertemuan dipersingkat menjadi maksimal 90 menit dengan agenda yang jelas
• Risk register disederhanakan dan dikategorikan berdasarkan bahasa bisnis

10.5.3 Foundation (Bulan 3-4)

Pencapaian:

• 5 policy utama disusun dan disetujui manajemen
• 4 SOP untuk proses critical dikembangkan
• Struktur organisasi TI disesuaikan dengan penambahan peran IT Governance Manager (sharing dengan existing staff)
• Training diikuti oleh 85% karyawan

Tantangan:

• Resistensi terhadap SOP baru yang dianggap “menambah birokrasi”
• Keterbatasan waktu untuk training

Solusi:

• Sosialisasi manfaat SOP (bukan hanya kewajiban)
• Training dilakukan secara bertahap dan online untuk fleksibilitas

10.5.4 Early Wins (Bulan 5-6)

Pencapaian:

• Audit internal pertama menemukan 12 temuan (8 major, 4 minor)
• Performance dashboard diluncurkan dengan 7 KPI utama
• Project governance diterapkan untuk 3 proyek prioritas
• 6 temuan audit sudah remediated

Tantangan:

• Beberapa pihak merasa “di-audit” terlalu dini
• Dashboard memerlukan penyesuaian beberapa kali

Solusi:

• Komunikasi bahwa audit adalah untuk perbaikan, bukan penilaian
• Iterasi dashboard berdasarkan feedback pengguna

10.5.5 Hasil Akhir Phase 1

Setelah 6 bulan, Unit B mencapai:

• Maturity score meningkat dari 1,8 menjadi 2,6
• System availability untuk sistem critical meningkat dari 97% menjadi 98,5%
• 3 dari 5 proyek dengan governance selesai tepat waktu (sebelumnya hanya 30%)
• Risk items high berkurang dari 8 menjadi 4

Pencapaian ini memberikan momentum untuk Phase 2 (6-18 bulan).

10.6 Checklist Implementasi 6 Bulan

Berikut adalah checklist untuk memantau progres implementasi:

Lanjut ke Mana?

Setelah memahami isi bab ini, lanjutkan ke Bab 11 (Implementasi Phase 2) untuk pendalaman berikutnya. Untuk konteks tambahan, lihat juga Bab 14 untuk tools & otomasi.

Referensi & Bacaan Lanjutan

1. COBIT 2019 Implementation Guide

   • ISACA (2019). Panduan implementasi COBIT secara praktis.
   • Link

2. IT Governance Implementation Roadmap

   • Van Grembergen, W. (2005). “Strategies for Information Technology Governance.”
   • Studi tentang pendekatan bertahap implementasi IT Governance.

3. Making IT Governance Real

   • IT Governance Institute (2008). Panduan praktis implementasi.
   • Link

4. Kotter - Leading Change

   • Kotter, J.P. (1996, ed. revisi). Buku referensi 8-step process untuk transformasi organisasi.
   • 🔗 Akses

5. ITIL 4 Foundation Reference

   • AXELOS (2019). Service Value System dan service management practices.
   • 🔗 Akses

6. COBIT 2019 Implementation Guide

   • ISACA (2019). Step-by-step pelaksanaan tata kelola TI berbasis COBIT.
   • 🔗 Akses

7. Pedoman Manajemen SPBE

   • Kementerian PANRB (berkala). Pedoman implementasi manajemen SPBE untuk instansi.
   • 🔗 Akses

Catatan akses: Tautan di atas mengarah ke portal resmi pemerintah, lembaga standar, atau penerbit. Sebagian dokumen tersedia bebas; dokumen ISO/IEC dan jurnal akademik tertentu bersifat berbayar di situs resmi. Apabila tautan berubah karena pembaruan portal, gunakan judul resmi dan nomor regulasi sebagai dasar pencarian.

Disclaimer: Tulisan ini adalah pandangan pribadi penulis berdasarkan pengalaman praktis dan studi independen. Bukan merupakan pandangan institusional atau komitmen formal dari organisasi mana pun.