Saat perusahaan bersiap menjalani audit ISO 27001, istilah lead auditor sering muncul dalam pembahasan. Siapa sebenarnya orang ini? Apakah tugasnya sama dengan auditor internal, atau justru membantu perusahaan menerapkan standar?
Lead auditor adalah orang yang memimpin pelaksanaan audit. Ia mengarahkan tim auditor untuk memeriksa apakah Sistem Manajemen Keamanan Informasi (SMKI) perusahaan telah diterapkan sesuai kriteria audit.
Apa Itu ISO 27001 Lead Auditor?
ISO 27001 lead auditor adalah profesional yang memiliki kompetensi untuk memimpin audit SMKI berdasarkan standar ISO/IEC 27001. Untuk melakukan tugasnya, ia mengoordinasikan pekerjaan tim auditor, memastikan bukti diperiksa secara objektif, dan mengarahkan penyusunan kesimpulan audit.
Audit tersebut dapat dilakukan untuk berbagai tujuan. Perusahaan bisa mengaudit sistemnya sendiri melalui audit internal. Perusahaan juga dapat meminta audit terhadap pemasok. Sementara itu, audit untuk memperoleh sertifikat ISO 27001 dilakukan oleh lembaga sertifikasi.
Namun perlu dipahami bahwa ada dua jenis sertifikasi yang perlu dibedakan.
- Sertifikasi lead auditor yang menunjukkan kompetensi seseorang, sesuai skema penyelenggaranya
- Sertifikasi ISO 27001 yang menunjukkan bahwa SMKI suatu organisasi telah dinilai melalui proses sertifikasi.
Memiliki karyawan bersertifikat lead auditor tidak otomatis membuat perusahaan memperoleh sertifikat ISO 27001.
Apa Saja Tugas ISO 27001 Lead Auditor?
Tugas lead auditor dimulai sebelum auditor datang untuk memeriksa dokumen atau mewawancarai karyawan. Ia perlu memastikan audit memiliki tujuan, ruang lingkup, dan rencana kerja yang jelas.
1. Merencanakan audit
Lead auditor menyusun rencana audit berdasarkan tujuan dan ruang lingkup yang telah ditetapkan. Rencana tersebut mencakup area yang akan diperiksa, kriteria audit, jadwal, serta pihak yang perlu ditemui. Jika audit dikerjakan oleh beberapa orang, ia juga membagi tugas anggota tim.
Perencanaan membantu auditor menggunakan waktu secara efektif. Pihak perusahaan pun mengetahui proses apa yang akan diperiksa dan siapa yang perlu menyiapkan bukti.
2. Memimpin pemeriksaan bukti
Saat audit berlangsung, tim dapat meninjau dokumen, mewawancarai personel, dan mengamati proses kerja. Lead auditor mengoordinasikan pemeriksaan tersebut agar kesimpulan tim didukung bukti yang memadai.
Misalnya, perusahaan memiliki kebijakan yang mewajibkan pencabutan akses ketika karyawan keluar. Auditor tidak berhenti setelah membaca kebijakannya. Ia dapat memeriksa catatan permintaan akses, daftar pengguna aktif, dan bukti bahwa akses karyawan yang keluar telah dicabut.
Baca Juga : Pentingnya Penerapan ISO 27001 bagi Perusahaan
3. Menyampaikan temuan dan laporan
Jika bukti menunjukkan adanya ketidaksesuaian, auditor perlu mencatatnya secara jelas. Lead auditor memastikan temuan menjelaskan persyaratan yang diperiksa, bukti yang ditemukan, dan kesenjangan di antara keduanya.
Hasil audit kemudian dibahas dengan pihak perusahaan dan dituangkan dalam laporan. Setelah itu, perusahaan menyiapkan tindakan korektif. Cara pemeriksaan tindak lanjutnya bergantung pada jenis audit dan prosedur yang berlaku. Peran auditor adalah menyampaikan hasil penilaian secara objektif, bukan mengerjakan perbaikan atas nama pihak yang diaudit.
Apa Bedanya Lead Auditor, Auditor Internal, dan Lead Implementer?
Ketiga istilah ini sering muncul saat perusahaan menerapkan ISO 27001. Perbedaannya terletak pada fokus pekerjaan, meskipun dalam praktiknya satu orang dapat memiliki lebih dari satu kompetensi.
| Peran | Fokus | Hasil Kerja |
| Lead auditor | Memimpin pelaksanaan audit dan mengoordinasikan tim auditor | Rencana, temuan, dan laporan audit |
| Auditor internal | Menilai penerapan SMKI melalui audit internal perusahaan | Temuan audit sebagai dasar evaluasi dan perbaikan |
| Lead implementer | Mengarahkan pembangunan, penerapan, dan pemeliharaan SMKI | Proses, kontrol, dan dokumen pendukung penerapan |
Lead auditor dan auditor internal dapat menjalankan tugas dalam audit yang sama. Istilah lead auditor menunjukkan siapa yang memimpin audit, sedangkan auditor internal menjelaskan perannya dalam audit internal perusahaan.
Misalnya, perusahaan menunjuk beberapa karyawan untuk mengaudit SMKI. Salah satu auditor yang kompeten dapat memimpin tim tersebut sebagai lead auditor. Pembagian tugasnya perlu menjaga objektivitas agar auditor tidak memeriksa pekerjaan yang menjadi tanggung jawabnya sendiri.
Sementara itu, lead implementer membantu perusahaan menyiapkan dan menjalankan SMKI, mulai dari penyusunan proses hingga penerapan kontrol keamanan. Hasil penerapan inilah yang kemudian diperiksa oleh auditor. Dengan memahami perbedaannya, perusahaan dapat membagi tanggung jawab penerapan dan pemeriksaan SMKI secara lebih jelas.
Kompetensi yang Perlu Dimiliki Lead Auditor?
Untuk memimpin audit dengan baik, lead auditor perlu menguasai standar sekaligus mampu menilai penerapannya di perusahaan. Berikut kompetensi lead auditor yang dibutuhkan:
Baca Juga : Cara Membuat Risk Treatment Plan untuk Sertifikasi ISO 27001
1. Memahami ISO 27001 dan SMKI
Auditor perlu memahami persyaratan ISO 27001 dan cara kerja SMKI. Pemahaman ini membantunya menilai hubungan antara risiko keamanan informasi dan kontrol yang diterapkan perusahaan.
2. Merencanakan Pelaksanaan Audit
Lead auditor harus mampu menyusun jadwal, menentukan area pemeriksaan, dan membagi tugas anggota tim. Perencanaan yang jelas membantu audit berjalan terarah sesuai tujuan dan ruang lingkupnya.
3. Mengumpulkan dan Menilai Bukti
Auditor perlu mengajukan pertanyaan yang tepat, lalu memverifikasi jawaban melalui dokumen, catatan, atau pengamatan. Bukti tersebut menjadi dasar untuk menilai kesesuaian penerapan SMKI.
4. Memimpin Tim dan Berkomunikasi
Kemampuan komunikasi dibutuhkan oleh lead auditor untuk berkoordinasi dengan tim dan berdiskusi dengan berbagai unit. Ia juga perlu menyampaikan temuan secara objektif agar pihak yang diaudit memahami hasil pemeriksaan.
5. Menyusun Laporan yang Jelas
Temuan audit harus ditulis secara spesifik dan didukung bukti. Laporan yang jelas membantu perusahaan memahami ketidaksesuaian serta menentukan tindakan perbaikan yang diperlukan.
Pelatihan membantu auditor mempelajari teknik pemeriksaan. Pengalaman audit kemudian mengasah kemampuannya menilai bukti dan menghadapi berbagai kondisi perusahaan.
Apa yang Perlu Disiapkan Perusahaan Sebelum Audit ISO 27001?
Dengan kompetensi tersebut, lead auditor akan menilai penerapan SMKI melalui bukti yang tersedia. Perusahaan perlu memastikan proses keamanan informasi berjalan dan pihak yang bertanggung jawab dapat menjelaskannya saat audit.
Berikut beberapa persiapan audit ISO 27001 yang perlu dicek:
Baca Juga : 10 Penyebab Gagal Audit ISO 27001 dan Cara Menghindarinya
1. Ruang Lingkup SMKI dan Penanggung Jawab
Pastikan proses, lokasi, sistem, dan unit kerja yang masuk dalam ruang lingkup SMKI sudah ditetapkan dengan jelas. Setiap penanggung jawab perlu memahami perannya agar dapat menjelaskan pelaksanaan proses dan menunjukkan bukti yang relevan.
2. Hasil Penilaian dan Penanganan Risiko
Siapkan hasil penilaian risiko beserta rencana penanganannya. Auditor akan menelusuri hubungan antara risiko yang ditemukan, kontrol yang dipilih, dan penerapannya.
Misalnya, jika akses pengguna menjadi risiko penting, perusahaan perlu menunjukkan bagaimana akses diberikan, ditinjau, dan dicabut.
3. Bukti Penerapan Kontrol Keamanan
Kumpulkan bukti dari kegiatan yang memang dijalankan perusahaan. Bukti tersebut dapat berupa catatan pelatihan, hasil peninjauan akses, laporan penanganan insiden, atau hasil pemantauan kontrol.
Sesuaikan bukti dengan proses dan kontrol yang diperiksa. Pastikan catatannya mudah ditelusuri agar auditor dapat memverifikasi pelaksanaannya.
4. Statement of Applicability dan Hasil Tinjauan Manajemen
Siapkan Statement of Applicability (SoA) yang menjelaskan kontrol yang diperlukan, alasan pemilihannya, serta status penerapannya. Dokumen ini juga memuat alasan pengecualian kontrol Annex A yang tidak diperlukan.
Hasil tinjauan manajemen perlu tersedia untuk menunjukkan bagaimana manajemen mengevaluasi kinerja SMKI dan menentukan kebutuhan perbaikan.
5. Hasil Audit Internal dan Tindakan Korektif
Periksa kembali hasil audit internal dan tindak lanjut atas ketidaksesuaian yang ditemukan. Perusahaan perlu menunjukkan tindakan korektif serta hasil evaluasi efektivitasnya.
Tujuannya adalah memastikan perbaikan mengatasi penyebab masalah dan mengurangi kemungkinan ketidaksesuaian yang sama terulang.
Memahami Peran Lead Auditor untuk Persiapan Audit yang Lebih Baik
Dengan memahami tugas ISO 27001 lead auditor, perusahaan akan mengetahui apa saja yang akan dinilai saat audit. Auditor menelusuri kesesuaian antara persyaratan, proses yang dijalankan, dan bukti penerapannya. Maka, persiapan audit perlu melibatkan setiap pihak yang bertanggung jawab atas pelaksanaan SMKI.
Jika masih ada kesenjangan antara kebijakan dan praktik sehari-hari, segera perbaiki sebelum audit berlangsung. DSG siap mendampingi perusahaan Anda selama proses sertifikasi ISO 27001 untuk membantu perusahaan meninjau kesiapan SMKI, menerapkan kontrol, dan menyiapkan bukti yang relevan.
Hubungi tim kami dan jadwalkan konsultasi gratis untuk menentukan langkah berikutnya sesuai kondisi perusahaan.
