Bab 15: Roadmap ke Depan

🎯 Track: Keduanya (K) untuk Direksi/Manajer maupun Praktisi TI.

Hook Naratif: Perjalanan Baru Saja Dimulai

“Tahun depan, apa selanjutnya untuk IT Governance di organisasi kita?” tanya Kepala Divisi TI dalam pertemuan review akhir tahun. Ini adalah pertanyaan yang tepat. Setelah 18 bulan kerja keras, Organisasi X telah berhasil membangun fondasi IT Governance yang kuat. Maturity score meningkat dari 1,5 menjadi 3,3. Sistem lebih reliable, proyek lebih terkontrol, dan risiko lebih terkelola.

Tapi perjalanan tidak berakhir di sana. Dunia TI terus berubah dengan cepat. Teknologi baru muncul, regulasi baru diterbitkan, dan ekspektasi stakeholder terus meningkat. Apa yang relevan hari ini mungkin tidak relevan lima tahun dari sekarang.

Direktur Utama menjawab: “Saya tidak berharap kita berhenti di sini. Saya ingin organisasi kita terus belajar, terus beradaptasi, dan terus meningkat. IT Governance bukan proyek yang selesai, tetapi cara kita bekerja setiap hari.”

Bab penutup ini akan melihat ke masa depan IT Governance dan memberikan panduan praktis untuk memulai atau melanjutkan perjalanan transformasi.

Tujuan Pembelajaran:

• Memahami tren masa depan IT Governance (2025-2030)
• Mengetahui cara mempersiapkan organisasi untuk perubahan
• Mendapatkan checklist praktis untuk memulai perjalanan
• Mengetahui sumber daya untuk pembelajaran lanjutan
• Memahami bahwa governance adalah perjalanan berkelanjutan

15.1 Tren IT Governance 2025-2030

Lanskap IT Governance terus berubah. Berikut adalah tren yang akan membentuk masa depan.

15.1.1 AI-Driven Governance

Kecerdasan buatan (Artificial Intelligence) akan mengubah cara kita melakukan governance: bukan menggantikan pengambilan keputusan manusia, melainkan memperkuatnya dengan data dan deteksi pola yang lebih tajam.

Aplikasi AI dalam Governance:

Pertama, Automated Risk Assessment

AI dapat menganalisis pola data untuk mengidentifikasi risiko yang mungkin terlewat oleh manusia. Contoh: menganalisis pola log untuk mendeteksi aktivitas mencurigakan, atau menganalisis pola proyek untuk memprediksi kegagalan. Untuk perusahaan utilitas air, ini berarti sistem dapat secara otomatis mendeteksi anomali pola konsumsi pelanggan yang mengindikasikan kebocoran data, atau lonjakan traffic jaringan yang mencurigakan di jam non-operasional.

Kedua, Intelligent Compliance Monitoring

AI dapat memonitor kepatuhan secara real-time dengan menganalisis transaksi, komunikasi, dan aktivitas sistem. Ini mengurangi kebutuhan audit manual yang mahal. Bagi BUMD utilitas air, pemantauan kepatuhan terhadap PP 95/2018 (SPBE) dan standar BSSN dapat diotomatisasi sebagian: sistem secara berkala memeriksa apakah konfigurasi firewall masih sesuai standar, apakah patch keamanan terbaru sudah terpasang, dan apakah access control list masih relevan dengan struktur organisasi terkini.

Ketiga, Predictive Analytics

AI dapat memprediksi kejadian masa depan berdasarkan data historis: system failure, security breach, atau budget overrun. Ini memungkinkan tindakan pencegahan. Dalam konteks utilitas air, prediksi dapat mencakup: kapan server billing kemungkinan akan mencapai kapasitas maksimum berdasarkan tren pertumbuhan pelanggan, atau kapan end-of-life perangkat keras SCADA gateway akan tiba sehingga pengadaan dapat direncanakan sebelum terjadi kegagalan.

Keempat, Natural Language Processing

NLP dapat menganalisis dokumen (policy, contract, email) untuk mengekstrak insight dan mendeteksi ketidaksesuaian. NLP juga dapat membantu menyelaraskan puluhan standard operating procedure (SOP) yang tersebar di berbagai unit operasional, mendeteksi kontradiksi antar dokumen, dan memastikan konsistensi terminologi.

Batasan dan Risiko:

Perlu diingat bahwa AI dalam governance bukan solusi ajaib. Model AI dapat menghasilkan kesalahan (hallucination), bias data dapat mengarahkan keputusan ke arah yang keliru, dan ketergantungan berlebihan pada AI dapat mengikis judgment manusia. Governance untuk AI sendiri (memastikan sistem AI yang digunakan adil, transparan, dan akuntabel) harus menjadi bagian dari kerangka tata kelola sebelum AI diadopsi secara luas.

Implikasi untuk Organisasi:

• Investasi dalam kapabilitas data dan analytics
• Pertimbangan etika penggunaan AI untuk governance
• Kebutuhan skills baru dalam tim TI (data engineering, ML ops, AI auditing)
• Governance untuk AI sendiri (bagaimana memastikan AI adil dan transparan)
• Vendor assessment khusus untuk solusi AI (termasuk audit bias dan keamanan model)

15.1.2 Real-Time Compliance Monitoring

Masa depan compliance adalah real-time, bukan periodik.

Dari Periodic ke Real-Time:

Teknologi yang Memungkinkan:

• Continuous Controls Monitoring: automated testing kontrol secara terus menerus
• Blockchain: immutable audit trail untuk transaksi
• API Integration: integrasi sistem untuk monitoring end-to-end
• Edge Computing: pemrosesan data dekat sumber untuk respons cepat

Implikasi untuk Organisasi:

• Kebutuhan data infrastructure yang kuat
• Integrasi sistem menjadi kritis
• Skills baru dalam data engineering dan analytics
• Perubahan peran auditor (dari pengumpulan data ke analisis)

15.1.3 Integrated Risk Management

Masa depan risk management adalah terintegrasi: operasional, TI, finansial, dan strategi.

Dari Silos ke Integration:

graph LR
    subgraph "Traditional Risk Management"
    OR[Operational Risk]
    FR[Financial Risk]
    IR[IT Risk]
    SR[Strategic Risk]
    end

    subgraph "Integrated Risk Management"
    IRM[Integrated Risk Management]
    OR --> IRM
    FR --> IRM
    IR --> IRM
    SR --> IRM
    end

Manfaat Integrated Risk Management:

• Holistic View: melihat risiko secara menyeluruh, bukan terfragmentasi
• Correlation Detection: mendeteksi korelasi antar risiko
• Efficiency: menghindari duplikasi aktivitas risk management
• Better Decision Making: keputusan berdasarkan risiko total organisasi

Implikasi untuk Organisasi:

• Kolaborasi antar fungsi (TI, Risk, Finance, Operasi)
• Common risk language dan taxonomy
• Integrated risk platform atau data warehouse
• Perubahan struktur dan peran

15.1.4 ESG Governance

Environmental, Social, and Governance (ESG) menjadi semakin penting untuk perusahaan publik dan state-owned enterprise.

ESG dan IT:

• Environmental: green IT, efisiensi energi data center, e-waste management
• Social: digital inclusion, accessibility, employee wellbeing di era digital
• Governance: IT governance adalah bagian dari corporate governance

Tren Regulasi:

• Regulasi ESG semakin ketat secara global
• Investor dan stakeholder menuntut transparansi ESG
• Reporting ESG menjadi mandatory di banyak yurisdiksi

Implikasi untuk Organisasi:

• Kebutuhan ESG reporting yang mencakup aspek TI
• Green IT initiatives
• Sustainability dalam procurement TI
• ESG metrics dalam IT governance dashboard

15.1.5 Preparing for the Future

Bagaimana organisasi dapat mempersiapkan diri untuk tren ini? Jawabannya bukan dengan mengadopsi setiap teknologi baru yang muncul, melainkan dengan membangun kapabilitas adaptif yang membuat organisasi siap menghadapi perubahan apa pun.

Pertama, Build Strong Foundation

Tren apa pun akan bergantung pada fondasi yang kuat: governance structure, risk management, policy, dan people capability. Tanpa fondasi ini, tren baru hanya akan menjadi gangguan. Organisasi yang masih bergulat dengan incident management dasar atau belum memiliki risk register yang aktif sebaiknya menuntaskan fondasi dahulu sebelum mengejar AI atau real-time compliance. Fondasi yang dimaksud mencakup: Komite Pengarah TI yang berfungsi, risk register yang diperbarui berkala, policy keamanan informasi minimum, dan change management yang ditaati.

Kedua, Develop Digital Capabilities

Investasi dalam kapabilitas digital: data analytics, cloud computing, cybersecurity, dan AI. Ini adalah fondasi untuk governance masa depan. Untuk organisasi utilitas air dengan keterbatasan anggaran, urutan prioritas yang realistis adalah: (1) cybersecurity dasar (firewall, access control, patch management), (2) data management (konsolidasi data pelanggan, data operasional, dan data keuangan ke dalam satu sumber kebenaran), (3) cloud migration bertahap untuk sistem non-critical, dan (4) analytics dan AI setelah tiga lapis sebelumnya stabil. Melompat ke AI tanpa cybersecurity yang memadai adalah resep untuk insiden.

Ketiga, Stay Informed

Tugaskan seseorang untuk memantau tren regulasi dan teknologi. Berpartisipasi dalam komunitas dan asosiasi profesional. Untuk sektor utilitas air di Indonesia, sumber informasi utama meliputi: surat edaran BSSN tentang standar keamanan siber, pembaruan PP 95/2018 (SPBE) dari Kementerian PAN-RB, peraturan sektor air dari Kementerian PUPR, dan panduan COBIT dari ISACA. Satu orang yang secara rutin membaca dan merangkum pembaruan ini dapat menyelamatkan organisasi dari kejutan regulasi.

Keempat, Be Agile

Kembangkan kemampuan untuk beradaptasi dengan cepat. Struktur dan proses yang terlalu kaku akan menghambat adaptasi. Agility dalam governance berarti: policy yang cukup ringkas untuk dibaca dan dipahami dalam satu duduk, proses approval yang tidak lebih dari dua tingkat, dan risk appetite yang cukup fleksibel untuk mengakomodasi eksperimen terkontrol. Governance yang baik tidak menghilangkan risiko; ia mengelola risiko pada level yang dapat ditoleransi sambil tetap memberi ruang untuk inovasi.

15.2 Call to Action: Memulai Perjalanan

Buku ini telah membahas banyak konsep, framework, dan praktik. Namun, konsep tanpa aksi tidak ada artinya. Bagian ini adalah call to action untuk memulai atau melanjutkan perjalanan IT Governance.

15.2.1 Starting Checklist

Berikut adalah checklist praktis untuk memulai perjalanan:

15.2.2 Resources untuk Pembelajaran Lanjutan

Buku:

1. “IT Governance: How Top Performers Manage IT Decision Rights for Superior Results” - Peter Weill & Jeanne Ross Klasik dalam bidang IT Governance.

2. “Enterprise Governance of IT: Achieving Strategic Alignment and Value” - Wim Van Grembergen Komprehensif dan praktis.

3. “COBIT 2019 Framework: Introduction and Methodology” - ISACA Standar global untuk IT Governance.

4. “The DevOps Handbook” - Gene Kim et al. Untuk memahami modern IT operations.

5. “NRW Playbook: Strategi dan Implementasi Penurunan Air Tak Berekening” - FD Iskandar Buku saudara di hub fdiskandar.com untuk konteks operasional spesifik kehilangan air. Tata kelola TI di buku ini melengkapi praktik pengelolaan NRW yang lebih teknis di NRW Playbook.

Sertifikasi:

1. COBIT: Certified in the Governance of Enterprise IT (CGEIT)
2. Risk: Certified Information Systems Auditor (CISA)
3. Security: Certified Information Security Manager (CISM)
4. Project: Project Management Professional (PMP)

Komunitas:

1. ISACA: Komunitas profesional untuk audit, risk, dan governance
2. IT Governance Institute: Sumber daya dan penelitian
3. LinkedIn Groups: Berbagai grup diskusi IT Governance
4. Local Meetups: Komunitas lokal untuk IT professionals

15.2.3 Key Takeaways dari Buku Ini

Sebagai penutup, berikut adalah key takeaways dari seluruh buku:

Takeaway 1: IT Governance is Business Imperative

IT Governance bukan proyek TI, tetapi imperatif bisnis. Tanpa governance yang baik, investasi TI berisiko menjadi pemborosan.

Takeaway 2: Start with Why

Mulai dengan “mengapa” bukan “apa”. Mengapa governance penting untuk organisasi? Apa masalah bisnis yang ingin diselesaikan?

Takeaway 3: Pragmatism over Perfection

Lebih baik praktik yang “cukup baik” dan diimplementasikan, daripada praktik “sempurna” yang tidak mungkin dilaksanakan.

Takeaway 4: People First, Process Second, Technology Third

Investasi terbesar harus pada people. Proses mengikuti, dan teknologi adalah enabler.

Takeaway 5: Quick Wins Build Momentum

Mulai dengan quick wins yang dapat menunjukkan hasil nyata. Ini akan membangun kredibilitas dan dukungan.

Takeaway 6: Measure What Matters

Ukur apa yang penting untuk bisnis, bukan hanya vanity metrics. Pengukuran yang tepat memungkinkan perbaikan berkelanjutan.

Takeaway 7: Culture is Key

Perubahan budaya adalah hasil, bukan prasyarat. Tetapi budaya yang mendukung akan mempercepat keberhasilan.

Takeaway 8: It’s a Journey, Not a Destination

IT Governance bukan proyek dengan titik akhir, tetapi perjalanan berkelanjutan. Terus belajar, beradaptasi, dan meningkat.

15.2.4 Pesan Penutup

Dalam pengantar buku ini, kita membaca tentang Organisasi X yang menerima surat peringatan dari regulator. Sistem critical sering down, anggaran tidak terkontrol, dan kepatuhan meragukan. Delapan belas bulan kemudian, organisasi yang sama telah berubah. Sistem lebih reliable, proyek lebih terkontrol, dan risiko lebih terkelola.

Tapi cerita Organisasi X tidak berakhir di situ. Lima tahun kemudian, Organisasi X terus beradaptasi dengan teknologi baru, regulasi baru, dan ekspektasi baru. Maturity score terus meningkat, tetapi yang lebih penting adalah budaya continuous improvement yang tertanam.

Transformasi IT Governance mungkin, bahkan untuk organisasi dengan keterbatasan sumber daya. Kuncinya adalah: mulai dengan tujuan yang jelas, lakukan dengan konsistensi, pertahankan dengan mekanisme yang tepat.

Langkah konkret Anda minggu ini:

1. Unduh toolkit pendamping di itgbook.fdiskandar.com/toolkit; berisi risk register template, maturity self-assessment, policy checklist, dan gate review form siap pakai.
2. Jalankan self-assessment 15 menit menggunakan kuesioner di Bab 9; dapatkan baseline skor maturity organisasi Anda.
3. Identifikasi satu quick win dari daftar di Bab 10; pilih yang bisa selesai dalam 30 hari tanpa anggaran besar.
4. Bagikan buku ini ke satu rekan (Direktur Keuangan, Kepala SPI, atau anggota Komite Audit). Transformasi governance butuh coalition, bukan solo effort.

Perjalanan ribuan mil dimulai dengan satu langkah. Minggu ini, ambil langkah pertama Anda.

15.3 Appendix

Bagian ini menyediakan referensi cepat: glosarium istilah kunci dan template dasar yang dapat langsung digunakan pembaca.

A. Glossarium Istilah

Berikut adalah istilah-istilah penting dalam IT Governance:

B. Template Dasar

B.1 IT Risk Register Template

B.2 Policy Review Checklist

• Policy masih relevan dengan kebutuhan bisnis
• Policy selaras dengan regulasi terkini
• Implementasi policy dapat diukur
• Policy diketahui oleh stakeholder terkait
• Policy ditinjau secara periodik

B.3 Audit Finding Template

15.4 Rencana 90 Hari Pertama: Template Konkret

Untuk pembaca yang ingin segera memulai, berikut adalah rencana 90 hari yang realistis bagi perusahaan utilitas air dengan kondisi awal governance lemah hingga sedang.

15.4.1 Hari 1 sampai 30: Fondasi dan Komitmen

Pekan 1 sampai 2 - Membangun Mandat. Tugas paling penting di awal adalah memastikan transformasi punya executive sponsor. Tanpa ini, semua usaha berikutnya akan terhambat. Aktivitas konkret meliputi presentasi executive briefing ke Direksi yang merangkum kondisi saat ini, risiko jika tidak bergerak, dan estimasi investasi 18 bulan; mendapatkan SK Direksi tentang pembentukan Komite Pengarah TI lintas direktorat; menetapkan satu executive sponsor dengan otoritas memutus konflik prioritas.

Pekan 3 sampai 4 - Membangun Kapabilitas Awal. Setelah mandat ada, fokus pada tim yang akan menjalankan. Identifikasi change agent di tim TI (biasanya 2 sampai 3 orang dengan kombinasi credibility internal dan kemampuan dokumentasi). Daftarkan tim ke pelatihan dasar COBIT 2019 (online) dan ISO 31000 (manajemen risiko). Mulai baseline awal dengan menjalankan Kuesioner Self-Assessment dari toolkit/maturity-self-assessment untuk mendapatkan skor awal yang akan jadi pembanding di Tahun-1.

Output Hari 1-30: SK Komite Pengarah TI, baseline skor maturity awal, executive briefing yang disetujui Direksi, daftar 3 sampai 5 quick win yang dapat dieksekusi di periode berikutnya.

15.4.2 Hari 31 sampai 60: Quick Wins dan Risk Register

Pekan 5 sampai 6 - Quick Wins Pertama. Pilih 3 quick win yang punya tiga sifat: dapat selesai dalam 30 hari, memberikan dampak yang terlihat oleh manajemen, dan tidak butuh anggaran besar. Contoh quick win yang sering berhasil di BUMD utilitas air: konsolidasi risk register TI ke dalam satu dokumen yang sebelumnya tersebar; menetapkan Change Advisory Board mingguan untuk perubahan sistem core (billing, SCADA gateway); membuat dasbor sederhana di spreadsheet untuk memantau SLA sistem core. Hindari quick win yang butuh integrasi sistem rumit atau pengadaan vendor baru di fase ini.

Pekan 7 sampai 8 - Risk Register Aktif. Adopsi 15 sampai 20 risiko dari toolkit/risk-register sebagai starter, lalu lakukan validation workshop dengan pemilik proses bisnis untuk menyesuaikan skor likelihood dan dampak. Tetapkan risk owner dengan nama spesifik untuk setiap risiko di skor tinggi (≥ 10). Mulai siklus review bulanan oleh Komite Pengarah TI.

Output Hari 31-60: 3 quick win selesai dengan bukti hasil; risk register aktif dengan owner per risiko; dashboard SLA dasar untuk sistem core; minutes dua rapat Komite Pengarah TI.

15.4.3 Hari 61 sampai 90: Membangun Disiplin Berkelanjutan

Pekan 9 sampai 10 - Tata Kelola Proyek Baru. Setiap proyek TI baru di atas Rp 500 juta yang dimulai setelah hari ke-60 harus melalui Gate Review. Adopsi toolkit/gate-review-form sebagai template awal. Tunjuk satu PMO sederhana (bisa peran tambahan dari analis senior, tidak harus posisi penuh) untuk memfasilitasi gate review. Lakukan pilot dengan satu proyek yang sedang berjalan untuk memastikan prosesnya tidak menghambat.

Pekan 11 sampai 12 - Penyesuaian dan Komunikasi. Susun laporan progres 90 hari ke Direksi dan Dewan Pengawas dengan format yang mudah dipahami. Sertakan: skor baseline yang sudah dicapai versus target, ringkasan quick win, daftar risiko prioritas dengan status mitigasi, anggaran yang telah dipakai versus rencana, dan rekomendasi prioritas untuk 90 hari berikutnya. Tahap ini juga waktu yang tepat untuk meninjau apakah ada anggota Komite Pengarah TI yang perlu diganti atau diperkuat.

Output Hari 61-90: Proses Gate Review aktif untuk proyek baru; PMO sederhana berjalan; laporan progres 90 hari disampaikan ke Direksi dan Dewan Pengawas; rencana 90 hari berikutnya disetujui.

15.4.4 Tabel Ringkasan KPI 90 Hari

15.4.5 Tanda Bahaya yang Harus Diwaspadai

Tidak semua transformasi berjalan mulus. Berikut adalah tanda bahaya umum di 90 hari pertama yang harus segera ditangani jika muncul:

Pertama, Komite Pengarah TI hanya rapat satu kali lalu menghilang. Ini hampir selalu menandakan kurangnya komitmen executive sponsor. Solusi: undang sponsor untuk hadir dan menetapkan agenda berikutnya secara eksplisit; jika tidak hadir setelah dua undangan, eskalasi ke Direktur Utama.

Kedua, quick win berubah jadi proyek panjang. Tanda bahwa tim belum terbiasa membatasi scope. Solusi: terapkan time-box ketat 30 hari; apa pun yang tidak selesai di 30 hari, hentikan dan dokumentasikan apa yang sudah dipelajari.

Ketiga, risk register dipenuhi risiko teknis tanpa risiko bisnis. Tanda bahwa tim TI menganggap risk management sebagai latihan teknis murni. Solusi: undang pemilik proses bisnis (Direktur Operasi, Direktur Keuangan, Direktur Pelayanan) ke validation workshop; minta mereka menambahkan risiko dari perspektif bisnis mereka.

Keempat, gate review dianggap sebagai birokrasi tambahan. Tanda bahwa proses dirancang terlalu berat. Solusi: pastikan format gate review tidak lebih dari satu halaman per gate; tetapkan tenggat keputusan 5 hari kerja agar tidak menjadi bottleneck.

Kelima, Direksi tidak menerima laporan progres. Tanda bahwa transformasi belum dianggap prioritas Direksi. Solusi: ubah format laporan agar sesuai bahasa Direksi (bukan bahasa teknis); fokus pada hasil bisnis (kepatuhan, efisiensi, risiko) bukan aktivitas TI.

Referensi Lengkap

1. COBIT 2019 Framework

   • ISACA (2019). Governance and management objectives.
   • 🔗 Akses

2. IT Governance Institute Publications

   • Berbagai panduan dan framework untuk IT Governance.
   • 🔗 Akses

3. ISO/IEC Standards

   • ISO/IEC 38500 (Corporate governance of IT)
   • ISO/IEC 27001 (Information security management)
   • ISO/IEC 22301 (Business continuity)

4. NRW Playbook: Strategi dan Implementasi Penurunan Air Tak Berekening

   • FD Iskandar (2025). Buku saudara di hub fdiskandar.com untuk konteks operasional spesifik kehilangan air.
   • 🔗 Akses

5. AI Governance Framework

   • OECD (2024). Pedoman tata kelola kecerdasan buatan untuk pemerintah dan organisasi.
   • 🔗 Akses

6. Cybersecurity Outlook

   • World Economic Forum (tahunan). Laporan tren keamanan siber global.
   • 🔗 Akses

7. ESG Reporting Standards

   • GRI Global Reporting Initiative (berkala). Standar pelaporan ESG yang banyak diadopsi.
   • 🔗 Akses

8. Future of Work in Digital Era

   • ILO International Labour Organization (berkala). Studi dampak digitalisasi pada pekerjaan.
   • 🔗 Akses

Penutup:

Terima kasih telah membaca buku ini. Semoga panduan ini bermanfaat untuk perjalanan transformasi IT Governance di organisasi Anda.

Ingat: governance adalah perjalanan, bukan tujuan. Terus belajar, terus beradaptasi, dan terus meningkatkan.

Catatan akses: Tautan di atas mengarah ke portal resmi pemerintah, lembaga standar, atau penerbit. Sebagian dokumen tersedia bebas; dokumen ISO/IEC dan jurnal akademik tertentu bersifat berbayar di situs resmi. Apabila tautan berubah karena pembaruan portal, gunakan judul resmi dan nomor regulasi sebagai dasar pencarian.

Disclaimer: Tulisan ini adalah pandangan pribadi penulis berdasarkan pengalaman praktis dan studi independen. Bukan merupakan pandangan institusional atau komitmen formal dari organisasi mana pun.