Sebagai konsultan ISO 27001:2022, saya selalu mendampingi perusahaan (klien) dalam kegiatan penerapan sistem manajemen keamanan informasi (SMKI) ISO 27001, termasuk pendampingan kegiatan audit internal.
Saya ingin menceritakan kegiatan pedampingan saya di salah satu perusahaan dalam kegiatan audit internal ISO 27001:2022. Perusahaan yang saya dampingi ini bergerak di bidang asuransi dan berlokasi di Jakarta Selatan. Jumlah karyawan tidak lebih dari 80 personel dan telah mengadopsi standar keamanan informasi ISO 27001:2013 (standar versi lama) dan tengah migrasi ke versi SMKI terbaru ISO 27001:2022.
Perencanaan audit
Sebelum kegiatan audit dimulai, lead auditor atau personel yang ditunjuk mengelola kegiatan audit di perusahaan tsb menyusun perencanaan audit. Dalam perencanaan audit, lead auditor membuat jadwal audit internal yang memuat item-item sebagai berikut:
- bagian yang di audit (auditee),
- nama-nama auditor
- referensi klausul ISO 27001:2022,
- Lokasi tempat dilaksanakannya audit
- tanggal audit
- durasi audit
Jadwal audit dikirim via email oleh lead auditor kepada semua pihak yang terlibat dalam audit atau disebut auditee, pihak yang diaudit, termasuk direktur utama, direktur keuangan dan direktur operasional.
Selain menyusun dan mengirimkan jadwal audit, sebelumnya lead auditor telah memberi tugas kepada semua auditor menyusun checklist audit. Checklist audit berfungsi sebagai time keeper bagi auditor internal pada saat melakukan audit nanti.
Opening meeting
Opening meeting dilaksanakan sebelum audit internal dimulai. Opening meeting diadakan di ruang meeting perusahaan, hadir dalam kegiatan ini direktur keuangan, direktur operasional, lead auditor, auditor dan auditee. Tujuan kegiatan opening meeting untuk menjamin bahwa serangkaian kegiatan audit internal bisa dijalankan sesuai jadwal yang telah disepakati. Jika terdapat perubahan yang disebabkan kegiatan mendesak dari auditee atau pihak lain, perubahan jadwal disepakati dalam opening meeting.
Lead auditor membuka opening meeting secara singkat. Kemudian dilanjutkan dengan kata sambutan dari direktur keuangan dan direktur operasional. Manajemen memberikan semangat kepada para auditor dan auditee untuk menjalankan kegiatan audit yang dilaksanakan satu tahun sekali dengan sungguh-sungguh demi kemajuan perusahaan. Menurut manajemen, kegiatan audit merupakan kegiatan continuous improvement dan setiap masukan sekecil apapun memberikan manfaat bagi perusahaan. Direksi mengingatkan agar auditor tidak perlu sungkan-sungkan untuk memberikan temuan atau finding audit mengingat auditor dan auditee adalah rekan kerja yang saling mengenal baik bahkan sudah menjadi sahabat.
Setelah sambutan dari para direktur, lead auditor memperkenalkan tim auditor internal. Tim auditor berjumlah 10 orang, dan terdapat 3 personel yang baru saja menjadi auditor internal. Setelah perkenalan auditor selesai, lead auditor menjelaskan jadwal audit secara rinci, baik dari segi waktu dan lokasi, dll . Sesuai jadwal , audit berlangsung mulai pukul 10.00 sd 16.00 selama 5 hari. Hari ke-5 merupakan kegiatan closing meeting.
Sesi opening meeting diakhiri dengan penjelasan lead auditor tentang finding audit yang terdiri dari tiga kategori yaitu:
Ketiga kategori diterangkan kepada auditee agar para pihak yang terlibat dalam audit memiliki pandangan dan pemahaman yang sama terkait kategori finding audit.
Opening meeting berlangsung singkat, tidak lebih dari 45 menit. Auditor dan auditee yang belum mendapat giliran audit kembali ke tempat kerjanya masing-masing, sedangkan auditor yang bertugas sesuai jadwal menyiapkan checklist audit yang telah dibuatnya untuk digunakan pada kegaiatan audit internal.
