# Menyiapkan tinjauan manajemen ISO 27001

Sumber diperiksa. Metode: https://kompli.id/metodologi/.

Tinjauan manajemen membantu pimpinan mengambil keputusan atas penerapan SMKI. Bawa hasil dan masalah yang perlu diputuskan, lalu catat tindakan, penanggung jawab, sumber daya dan cara memeriksa tindak lanjutnya.

URL kanonis: https://kompli.id/panduan/iso-27001/tinjauan-manajemen/
Sumber diakses: 2026-10-01
Diperbarui: 2026-10-02
Penulis: Kompli
Sumber diperiksa: 2026-10-02


## Apa yang perlu diputuskan pimpinan?

**Tinjauan manajemen membantu pimpinan mengambil keputusan atas sistem manajemen keamanan informasi (SMKI).** Pimpinan perlu memahami hasil, perubahan, risiko, dan pekerjaan yang membutuhkan kewenangan atau sumber daya.

ISO menjelaskan evaluasi dan perbaikan sebagai bagian dari sistem manajemen. Agenda di sini adalah contoh kerja Kompli; masukan dan keluaran yang disyaratkan perlu dicocokkan dengan naskah standar yang digunakan organisasi.

Tinjauan berbeda dari rapat tiket harian. Detail teknis dapat dibahas sebelumnya; bawa ringkasan yang cukup agar keputusan pimpinan tetap berdasarkan bukti.

## Siapkan bahan yang menjawab keadaan layanan

Tetapkan periode, lingkup, penyusun bahan, peserta pengambil keputusan dan cara menyimpan catatan. Bahan tidak harus berupa presentasi panjang; gunakan referensi bukti yang dapat dibuka oleh peserta berwenang.

Contoh agenda:

- Tindakan dari tinjauan sebelumnya: apa yang selesai, terlambat, atau belum dapat dibuktikan.
- Perubahan layanan, pemasok, kebutuhan pelanggan dan kondisi yang memengaruhi pengamanan.
- Hasil pemeriksaan, tujuan pengamanan, temuan audit serta pelajaran insiden yang relevan.
- Risiko dan keputusan penanganan yang masih terbuka.
- Kebutuhan orang, waktu kerja, anggaran dan perubahan proses.

Periksa kelengkapan agenda terhadap kriteria tim. Jangan menyatakan semua kewajiban tinjauan sudah dipenuhi hanya karena lima butir contoh ini dibahas.

## Bedakan data hasil dengan pendapat

“Pencabutan akses berjalan baik” belum menjelaskan periode atau hasilnya. Tunjukkan catatan yang diperiksa, pengecualian, serta hal yang belum diketahui. Jika sampel audit terbatas, sebutkan batas tersebut dalam ringkasan.

Jelaskan perubahan dibanding tinjauan sebelumnya. Bila ukuran atau lingkup berubah, jangan langsung menyebut persentase baru sebagai perbaikan. Hindari menyembunyikan bagian belum diuji di balik jumlah tiket yang selesai.

## Contoh: pekerjaan tertahan karena kapasitas tim

Skenario fiktif: [audit internal](/panduan/iso-27001/audit-internal/) menemukan satu akun integrasi penggajian belum ikut proses pegawai keluar. Pemeriksaan manual sudah berjalan, tetapi otomatisasi tertunda karena pemilik aplikasi tidak memiliki waktu pengembangan.

| Bahan rapat | Keputusan contoh |
| --- | --- |
| Risiko | Akses integrasi tetap dapat dipakai jika pemiliknya berubah; risiko dan bukti dicatat sebagai R-01/K-01. |
| Tindakan sementara | Pertahankan pemeriksaan manual dengan pemilik yang jelas; catat hasil dan pengecualian. |
| Sumber daya | Pimpinan menyediakan waktu pengembangan yang disepakati, setelah meninjau dampak pada pekerjaan lain. |
| Tindakan lanjutan | Pemilik aplikasi menyiapkan perubahan alur serta uji penolakan pada akun buatan. |
| Pemeriksaan | Penanggung jawab SMKI memeriksa bukti hasil; risiko tersisa dibawa kembali bila kriteria belum tercapai. |

Keputusan ini tidak menggantikan tindakan segera ketika akses sudah tidak berwenang. Penerimaan risiko juga tidak menghapus kewajiban hukum atau kontrak yang berlaku.

## Tulis catatan keputusan yang bisa ditindaklanjuti

Gunakan [catatan tinjauan manajemen](/template/catatan-tinjauan-manajemen-smki/). Untuk setiap keputusan, catat alasan, tindakan, pemilik, sumber daya, target dan hasil yang perlu diperiksa.

Jika usulan ditolak atau ditunda, simpan alasan serta pengaruhnya pada risiko. Jangan mencatat “setuju” tanpa menjelaskan usulan mana dan siapa yang punya kewenangan. Jika peserta belum dapat memutuskan, beri status terbuka dan tentukan jalur eskalasinya.

## Periksa tindak lanjut setelah rapat

Simpan versi bahan, referensi bukti dan catatan keputusan dengan akses yang sesuai. Hasil rapat harus masuk ke daftar pekerjaan; jadwalkan pemeriksaan sesuai target serta pemicu perubahan, bukan menunggu rapat berikutnya untuk semua masalah.

Pekerjaan itu merupakan bagian dari [pemeliharaan SMKI setelah sertifikasi](/panduan/iso-27001/pemeliharaan-sertifikasi/). Sertifikat tidak menggantikan keputusan pengamanan yang perlu dibuat sepanjang layanan berjalan.

## Contoh tambahan: keputusan yang dapat diperiksa pada tinjauan berikutnya

Skenario fiktif: ada tiga tindakan audit terbuka. Dua selesai secara administratif, tetapi hasil pengujian izin hanya tersedia untuk panel, belum API ekspor. Ringkasan pimpinan menyebut satu bagian belum diverifikasi, bukan menyatakan semua kontrol berhasil.

Pimpinan menetapkan pemilik uji API, menyediakan waktu pemeriksa dan menentukan kapan hasil harus dilaporkan. Jika uji gagal, pemilik layanan membawa pilihan pembatasan fitur serta risiko tersisa untuk keputusan yang berwenang. Target ini adalah keputusan internal contoh, bukan tenggat standar.

Pada tinjauan berikutnya, periksa bukti versi aplikasi, hasil akses sah/terlarang dan tindakan yang masih tertahan. Jumlah tiket selesai tetap boleh dilaporkan, tetapi dipisahkan dari efektivitas pengamanan yang telah diperiksa.
## Sumber rujukan

- [Management system standards — sistem manajemen, audit, dan perbaikan](https://www.iso.org/management-system-standards.html) — Evaluasi, audit dan perbaikan sistem manajemen; pengantar publik.
- [Building trust — The conformity assessment toolbox](https://www.iso.org/iso/casco_building-trust.pdf) — Halaman tercetak 119–124: proses sistem manajemen, audit, keputusan serta pemeliharaan sertifikasi; panduan umum.
- [NIST Cybersecurity Framework 2.0](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf) — GV.OV dan ID.IM: meninjau hasil, menyesuaikan arah/praktik risiko serta melakukan perbaikan; bukan agenda normatif ISO.

## Jalur belajar: Penerapan SMKI dengan ISO 27001

Materi berikutnya: [Jaga penerapan setelah sertifikat terbit](https://kompli.id/panduan/iso-27001/pemeliharaan-sertifikasi/)

[Lihat urutan belajar](https://kompli.id/belajar/#menerapkan-smki)


## Perlu membahas kebutuhan tim Anda?

Ceritakan standar atau bukti yang diminta pelanggan dan kesiapan tim Anda saat ini.

[Konsultasikan kebutuhan Anda](https://kompli.id/konsultasi/?topik=standar)

## Bacaan terkait

- [Catatan tinjauan manajemen SMKI dan tindak lanjut](https://kompli.id/template/catatan-tinjauan-manajemen-smki/)
- [Menyiapkan audit internal ISO 27001](https://kompli.id/panduan/iso-27001/audit-internal/)
- [Menjaga penerapan ISO 27001 setelah sertifikasi](https://kompli.id/panduan/iso-27001/pemeliharaan-sertifikasi/)