Tahap awal audit internal ISO 27001:2022: Perencanaan dan opening meeting

 

 

Sebagai konsultan ISO 27001:2022, saya selalu mendampingi perusahaan (klien) dalam kegiatan penerapan sistem manajemen keamanan informasi (SMKI) ISO 27001, termasuk pendampingan kegiatan audit internal.

Saya ingin menceritakan kegiatan pedampingan saya di salah satu perusahaan dalam kegiatan audit internal ISO 27001:2022.  Perusahaan yang saya dampingi ini bergerak di bidang asuransi dan berlokasi di Jakarta Selatan. Jumlah karyawan tidak lebih dari 80 personel dan telah mengadopsi standar keamanan informasi ISO 27001:2013 (standar versi lama) dan tengah migrasi ke versi SMKI terbaru ISO 27001:2022.

Berikut kegiatan pendampingan audit internal: 

Perencanaan audit 

Sebelum kegiatan audit internal dilaksanakan, lead auditor atau personel yang ditunjuk untuk mengelola kegiatan audit di perusahaan menyusun perencanaan audit. Salah satu bagian penting dari perencanaan ini adalah pembuatan jadwal audit internal.

Jadwal audit internal disusun oleh lead auditor dan memuat beberapa informasi utama, antara lain:

• bagian atau unit yang akan diaudit (auditee),
• nama-nama auditor,
• referensi klausul ISO 27001:2022,
• lokasi pelaksanaan audit,
• tanggal audit, dan
• durasi audit.

Setelah jadwal audit selesai disusun, lead auditor mengirimkan jadwal audit melalui email kepada seluruh pihak yang terlibat dalam kegiatan audit. Pihak tersebut meliputi auditee atau unit yang diaudit, serta manajemen terkait seperti Direktur Utama, Direktur Keuangan, dan Direktur Operasional.

Selain menyusun dan mendistribusikan jadwal audit, lead auditor juga menugaskan para auditor internal untuk menyiapkan checklist audit. Checklist audit ini berfungsi sebagai panduan sekaligus pengatur waktu (time keeper) bagi auditor internal saat pelaksanaan audit berlangsung.

Opening meeting 

Opening meeting dilaksanakan sebelum kegiatan audit internal dimulai. Pertemuan ini diselenggarakan di ruang rapat perusahaan dan dihadiri oleh Direktur Keuangan, Direktur Operasional, lead auditor, para auditor, serta auditee (pihak yang diaudit).

Tujuan opening meeting adalah untuk memastikan seluruh rangkaian kegiatan audit internal dapat berjalan sesuai dengan jadwal yang telah disepakati. Apabila terdapat perubahan jadwal akibat kegiatan mendesak dari auditee atau pihak lain, maka penyesuaian jadwal tersebut dibahas dan disepakati dalam opening meeting.

Kegiatan opening meeting dibuka secara singkat oleh lead auditor, kemudian dilanjutkan dengan sambutan dari Direktur Keuangan dan Direktur Operasional. Dalam sambutannya, manajemen memberikan motivasi kepada auditor dan auditee agar melaksanakan audit yang dilakukan satu kali dalam setahun ini dengan sungguh-sungguh demi kemajuan perusahaan. Manajemen menegaskan bahwa audit merupakan bagian dari continuous improvement, dan setiap masukan, sekecil apa pun, memiliki nilai dan manfaat bagi perusahaan. Direksi juga mengingatkan agar auditor tidak sungkan dalam menyampaikan temuan (audit finding), mengingat auditor dan auditee adalah rekan kerja yang saling mengenal dan bekerja sama.

Setelah sambutan manajemen, lead auditor memperkenalkan tim auditor internal. Jumlah auditor internal sebanyak 10 orang, dengan 3 orang di antaranya merupakan auditor internal yang baru. Selanjutnya, lead auditor menjelaskan jadwal audit secara rinci, termasuk waktu dan lokasi pelaksanaan audit. Sesuai jadwal, audit dilaksanakan mulai pukul 10.00 hingga 16.00 selama 5 hari, dengan hari kelima digunakan untuk kegiatan closing meeting.

Pada sesi berikutnya, lead auditor menjelaskan kategori temuan audit yang digunakan, yaitu:

•  Major,
•  Minor, dan
•  Observasi.

Penjelasan ini disampaikan agar seluruh pihak yang terlibat memiliki pemahaman dan persepsi yang sama terkait klasifikasi temuan audit.

Opening meeting berlangsung singkat, tidak lebih dari 45 menit. Setelah kegiatan selesai, auditor dan auditee yang belum mendapat jadwal audit kembali ke unit kerja masing-masing. Sementara itu, auditor yang bertugas sesuai jadwal mulai menyiapkan checklist audit yang telah disusun untuk digunakan dalam pelaksanaan audit internal.