# Menyiapkan audit internal ISO 27001 Sumber diperiksa. Metode: https://kompli.id/metodologi/. Audit internal membantu tim memeriksa apakah pekerjaan SMKI sesuai kriteria dan benar-benar berjalan. Rencana audit perlu menjelaskan siapa memeriksa, apa yang dicakup, bukti yang dipilih dan bagaimana hasilnya ditindaklanjuti. URL kanonis: https://kompli.id/panduan/iso-27001/audit-internal/ Sumber diakses: 2026-10-01 Diperbarui: 2026-10-02 Penulis: Kompli Sumber diperiksa: 2026-10-02 ## Apa yang diperiksa dalam audit internal? **Audit internal membandingkan penerapan sistem manajemen keamanan informasi (SMKI) dengan kriteria yang ditetapkan.** Pertanyaannya bukan sekadar apakah dokumen tersedia, tetapi apakah pekerjaan sesuai dengan kriteria dan mempunyai bukti yang dapat diperiksa. Kriteria dapat mencakup standar yang digunakan dan ketentuan internal yang relevan. Pastikan auditor memiliki akses sah ke teks kriterianya. Panduan ini memberi contoh pengaturan pekerjaan, bukan daftar seluruh klausul ISO 27001 atau pengganti kemampuan auditor. Audit internal berbeda dari scan kerentanan, pentest, dan audit sertifikasi oleh pihak luar. Pilih metode sesuai tujuan; hasil scan tidak otomatis menjawab semua pertanyaan SMKI. ## Bedakan program dengan rencana satu audit Program mengatur rangkaian audit: bagian yang diperiksa, alasan prioritas, frekuensi yang ditetapkan, kebutuhan auditor dan tindak lanjut. Rencana satu audit menjelaskan kegiatan tertentu: tanggal, tujuan, kriteria, lingkup, orang yang ditemui dan bukti yang akan dipilih. Mulai dari [program audit internal SMKI](/template/program-audit-internal-smki/). Jadwal harus mempertimbangkan keadaan layanan dan risiko; contoh waktu pada template bukan frekuensi wajib untuk semua organisasi. ## Pilih auditor yang dapat memeriksa secara objektif Pastikan auditor memahami kriteria, proses yang dicakup, dan cara menilai bukti. Periksa apakah ia menilai hasil pekerjaannya sendiri atau mempunyai kepentingan yang dapat memengaruhi kesimpulan. Tim kecil dapat membagi pemeriksaan antarfungsi atau memperoleh bantuan yang sesuai. Catat pembagian dan cara menjaga objektivitas. Menunjuk orang yang berbeda saja belum membuktikan kompetensi maupun independensi yang memadai. ## Pilih sampel yang menjawab pertanyaan Metode penilaian NIST membedakan pemeriksaan dokumen, wawancara, dan pengujian. Ketiganya dapat membantu menyusun pekerjaan, tetapi tidak menggantikan kriteria audit ISO. Jelaskan cakupan dan batas sampel; jangan menyatakan seluruh periode teruji dari satu tangkapan layar. Contoh fiktif: audit proses pegawai keluar pada aplikasi penggajian. | Langkah | Contoh kegiatan | | --- | --- | | Kriteria | Prosedur internal menyebut pemberitahuan HR, pencabutan akses/sesi dan pemeriksaan pemilik aplikasi. Auditor mencatat versi dan memeriksa kriteria standar yang relevan secara terpisah. | | Sampel | Pilih catatan pegawai keluar pada periode yang disepakati, termasuk pengecualian dan akun integrasi; catat alasan pilihan. | | Dokumen | Bandingkan daftar perubahan HR, tiket pencabutan, serta daftar akun aplikasi. | | Wawancara | Tanyakan kepada HR dan IT siapa menerima pemberitahuan serta bagaimana keterlambatan diketahui. | | Uji | Dalam lingkungan yang diizinkan, gunakan akun buatan untuk memeriksa akses/sesi setelah dinonaktifkan. | | Batas | Aplikasi lama yang belum dapat diakses dicatat sebagai bagian yang belum diperiksa. | Untuk penataan dokumen, gunakan [panduan bukti audit](/panduan/standar/menyiapkan-bukti-audit/). Akses bukti mengikuti kebutuhan auditor; jangan menyalin data pegawai lengkap ke laporan yang dibagikan luas. ## Tulis temuan dengan hubungan yang jelas Pisahkan kriteria, bukti yang diamati, serta kesimpulan pemeriksa. Jika catatan pencabutan satu akun tidak tersedia, jelaskan akun/periode yang dicakup dan pemeriksaan yang telah dilakukan. Ketiadaan bukti tidak boleh diubah menjadi kesimpulan bahwa data pasti dicuri. Bedakan ketidaksesuaian terhadap kriteria dengan saran perbaikan. Gunakan kategori yang ditetapkan untuk audit tersebut, bukan menyalin tingkat temuan audit sertifikasi tanpa dasar. ## Periksa perbaikan dan bawa hasil kepada pimpinan Tetapkan pemilik, tindakan, target dan cara verifikasi. Menutup akun contoh memperbaiki keadaan segera; memperbaiki alur pemberitahuan menangani penyebabnya. Hasil pemeriksaan ulang harus menunjukkan apa yang berubah dan apa yang belum selesai. Gunakan [panduan tindak lanjut temuan](/panduan/standar/menindaklanjuti-temuan-audit/) untuk rincian tersebut. Bawa hasil, batas pemeriksaan dan tindakan terbuka ke [tinjauan manajemen](/panduan/iso-27001/tinjauan-manajemen/). Laporan audit internal tidak dengan sendirinya menjadi sertifikat atau keputusan lulus audit eksternal. ## Contoh tambahan: perluas sampel ketika menemukan jalur yang tertinggal Skenario fiktif: auditor memilih rilis normal, rilis darurat dan perubahan izin dari periode yang ditetapkan. Daftar rilis dicocokkan dengan catatan deployment sebelum sampel diperiksa. Tim tidak hanya menyerahkan tiga tiket yang paling lengkap. Satu rilis darurat ternyata memakai API ekspor yang belum masuk pemeriksaan izin. Auditor mencatat kriteria internal, bukti dan batas temuannya, lalu menilai kebutuhan memperluas pemeriksaan ke rilis sejenis. Tiga tiket di sini bukan ukuran sampel wajib; alasan pilihan dan perubahan sampel disimpan. Tindakan segera menangani izin yang salah. Tindakan berikutnya memperbaiki daftar jalur uji dan alur rilis. Pemeriksaan ulang mencakup perilaku aplikasi serta bukti pelaksanaan proses baru. Gunakan [catatan penilaian kontrol](/template/penilaian-kontrol-keamanan/) untuk pengujian terpilih, tanpa mengganti laporan audit atau seluruh kriteria SMKI. ## Sumber rujukan - [Management system standards — sistem manajemen, audit, dan perbaikan](https://www.iso.org/management-system-standards.html) — Evaluasi, audit dan perbaikan sistem manajemen; pengantar publik. - [NIST SP 800-53A Rev. 5 — Assessing Security and Privacy Controls](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53Ar5.pdf) — Bagian 2.4 dan 3.1–3.4: metode, cakupan, objektivitas, rencana, hasil dan tindak lanjut penilaian; bukan persyaratan ISO. - [Building trust — The conformity assessment toolbox](https://www.iso.org/iso/casco_building-trust.pdf) — Halaman tercetak 119–124: proses sistem manajemen, audit, keputusan serta pemeliharaan sertifikasi; panduan umum. ## Jalur belajar: Penerapan SMKI dengan ISO 27001 Materi berikutnya: [Bawa hasil dan keputusan kepada pimpinan](https://kompli.id/panduan/iso-27001/tinjauan-manajemen/) [Lihat urutan belajar](https://kompli.id/belajar/#menerapkan-smki) ## Perlu membahas kebutuhan tim Anda? Ceritakan standar atau bukti yang diminta pelanggan dan kesiapan tim Anda saat ini. [Konsultasikan kebutuhan Anda](https://kompli.id/konsultasi/?topik=standar) ## Bacaan terkait - [Program audit internal SMKI dan rencana pemeriksaan](https://kompli.id/template/program-audit-internal-smki/) - [Menyiapkan bukti audit keamanan yang relevan dan dapat diperiksa](https://kompli.id/panduan/standar/menyiapkan-bukti-audit/) - [Menindaklanjuti temuan audit: perbaikan, penyebab dan uji ulang](https://kompli.id/panduan/standar/menindaklanjuti-temuan-audit/) - [Menyiapkan tinjauan manajemen ISO 27001](https://kompli.id/panduan/iso-27001/tinjauan-manajemen/) - [Catatan penilaian kontrol keamanan](https://kompli.id/template/penilaian-kontrol-keamanan/)