Menjelang audit sertifikasi, banyak tim membuka Annex A lalu menandai semua kontrol sebagai diterapkan. Cara ini terasa aman di awal, tetapi justru mengundang pertanyaan auditor yang sulit dijawab. Statement of Applicability ISO 27001 bukan daftar tugas yang dicentang begitu saja.
Dokumen ini adalah keputusan perusahaan. Setiap kontrol dinyatakan diterapkan atau tidak, lengkap dengan alasannya. Artikel ini membedah cara menyusunnya secara bertahap, dari penilaian risiko sampai review berkala.
Daftar Isi
Apa Itu Statement of Applicability?
Sebelum menyusun, pahami dulu apa yang sebenarnya diminta standar. Tiga poin berikut adalah fondasinya.
1. Dokumen Keputusan, Bukan Daftar Tugas
SoA, dokumen wajib menurut Klausul 6.1.3(d), menyatakan status setiap kontrol Annex A, yaitu diterapkan atau tidak, beserta alasannya. Dokumen ini juga mencantumkan rujukan bukti untuk setiap kontrol berstatus diterapkan.
2. Dokumen yang Paling Disorot Auditor
Auditor memakai SoA sebagai peta jalan pengujian. Klaim diterapkan tanpa bukti yang bisa ditunjukkan akan berubah menjadi temuan. Untuk memahami posisinya dalam rangkaian pemeriksaan, baca penjelasan tahap audit ISO yang pernah kami bahas.
3. SoA Berakar pada Penilaian Risiko
Keputusan tentang status setiap kontrol harus lahir dari penilaian risiko. Rencana penanganan dan kewajiban hukum atau kontrak yang mengikat perusahaan ikut menjadi dasarnya.
Annex A dalam 4 Tema, Ringkas Saja
Annex A edisi 2022 memuat 93 kontrol dalam 4 tema. Angka ini dipakai sebagai orientasi saja. Sebagai ganti daftar panjang, artikel ini memberi gambaran empat temanya lewat satu contoh perwakilan.
1. Tema Organisasi (37 kontrol)
Contohnya 5.1 Kebijakan keamanan informasi. Tema ini mengatur arah, peran, pemasok, dan penanganan insiden. Ini kelompok terbesar dan biasanya paling menyita waktu.
2. Tema SDM (8 kontrol)
Contohnya 6.2 Syarat dan ketentuan kerja. Tema ini mengatur seleksi, perjanjian dengan karyawan, kesadaran keamanan, dan bekerja jarak jauh.
3. Tema Fisik (14 kontrol)
Contohnya 7.1 Perimeter keamanan fisik. Tema ini mengatur area aman, akses masuk, peralatan, dan pemusnahan media penyimpanan.
4. Tema Teknologi (34 kontrol)
Contohnya 8.2 Hak akses istimewa. Tema ini mengatur akses, kriptografi, pencatatan, perlindungan malware, dan pengembangan aman.
Langkah Menyusun Statement of Applicability
SoA disusun setelah ruang lingkup ditetapkan dan penilaian risiko selesai. Lima langkah berikut menjaga dokumen ini tetap berbasis risiko dan siap diuji auditor. Penetapan ruang lingkup ISO 27001 menjadi fondasi sebelum langkah pertama dimulai.
1. Petakan Risiko dari Hasil Penilaian
Kumpulkan hasil penilaian risiko dan rencana penanganannya. Setiap risiko yang tidak bisa diterima harus punya opsi dan kontrol penanganannya.
2. Nilai Tiap Kontrol terhadap Risiko
Untuk setiap butir Annex A, tanyakan apakah ia menangani risiko yang sudah dipetakan atau memenuhi kewajiban hukum dan kontrak. Kontrol yang tidak menjawab risiko apa pun adalah kandidat tidak applicable.
3. Tetapkan Status dengan Tegas
Di dalam dokumen Statement of Applicability, tetapkan dua status untuk setiap kontrol: applicable (Ya/Tidak) dengan justifikasinya, lalu sudah diterapkan (Implemented) dengan rujukan buktinya. Applicability tidak mengenal pilihan tengah.
4. Tulis Justifikasi untuk Setiap Keputusan
Justifikasi inklusi merujuk pada risiko, aturan hukum, atau kewajiban kontrak. Justifikasi eksklusi wajib jujur dan bisa dijelaskan, bukan sekadar tulisan tidak relevan tanpa alasan.
5. Review Berkala
SoA adalah dokumen hidup. Review dilakukan saat ruang lingkup berubah, setelah insiden keamanan, dan menjelang audit surveilans. Dokumen yang tidak pernah diperbarui akan ditinggalkan oleh perubahan organisasi.
Kesalahan Umum dalam Menyusun SoA
Empat kesalahan berikut adalah yang paling sering memicu temuan. Hindari semuanya sejak draf pertama.
1. Menandai Semua Kontrol Applicable
Klaim semua diterapkan tanpa bukti dibaca auditor sebagai proses penanganan risiko yang tidak pernah terjadi.
2. Menyalin SoA Perusahaan Lain
Dokumen milik perusahaan lain berakar pada risiko mereka sendiri. Salinan akan runtuh saat auditor menguji kaitan kontrol dengan risiko perusahaan Anda.
3. Justifikasi Kosong
Tulisan tidak relevan tanpa alasan akan ditandai auditor. Justifikasi harus menyebut risiko, kewajiban, atau konteks yang mendasarinya.
4. SoA Tidak Pernah Diperbarui
Risiko bergeser, ruang lingkup meluas, teknologi berganti. Dokumen yang diam akan bertentangan dengan kondisi organisasi saat audit berikutnya.
Siapkan SoA Perusahaan Anda Bersama tim jasaiso.id
Penyusunan Statement of Applicability yang berbasis risiko membuat audit berjalan lebih tenang karena setiap keputusan bisa dijelaskan dan dibuktikan secara transparan.
Jangan biarkan SoA menjadi alasan audit perusahaan Anda tersendat. Konsultasikan penyusunan SoA perusahaan Anda kepada jasa sertifikasi ISO 27001 dan tim jasaiso.id sekarang dan pastikan setiap kontrol punya alasan yang bisa dipertahankan!
FAQ
Apakah semua 93 kontrol wajib diterapkan?
Tidak. SoA justru menjelaskan mana yang tidak applicable dan alasannya. Kontrol yang tidak diterapkan wajib punya justifikasi jujur dan bisa dijelaskan, bukan dibiarkan kosong.
Apa beda SoA dan daftar kontrol Annex A?
Annex A adalah daftar referensi kontrol yang mungkin. SoA adalah keputusan perusahaan atas daftar itu, lengkap dengan status dan alasan untuk setiap butir.
Kapan SoA harus diperbarui?
Saat ruang lingkup berubah, setelah insiden keamanan, atau sebelum audit surveilans berikutnya. Dokumen yang diperbarui berkala tetap selaras dengan kondisi organisasi.