Pemerintah Indonesia memperkuat tata kelola keamanan informasi nasional melalui Peraturan Menteri Komunikasi dan Digital (Permenkomdigi) No. 8 Tahun 2025. Peraturan ini mewajibkan seluruh penyelenggara layanan pos komersial dan logistik untuk menerapkan Sistem Manajemen Keamanan Informasi (SMKI) sesuai standar internasional ISO/IEC 27001:2022.

Langkah ini merupakan bagian dari komitmen pemerintah dalam memastikan keamanan data, menjaga kepercayaan publik, serta meningkatkan daya saing industri logistik nasional di era digital.

Mengapa Keamanan Informasi Kini Menjadi Kewajiban Hukum

Sektor logistik dan pos menjadi salah satu industri dengan risiko keamanan informasi tertinggi. Setiap hari, jutaan data pelanggan diproses dan disimpan secara digital mulai dari alamat pengiriman hingga detail transaksi. Tanpa sistem pengelolaan keamanan informasi yang kuat, ancaman seperti kebocoran data, serangan siber, dan penyalahgunaan informasi dapat menimbulkan kerugian besar.

Melalui Permenkomdigi No. 8 Tahun 2025, pemerintah menegaskan bahwa:

• Keamanan informasi bukan lagi pilihan, melainkan kewajiban hukum;
• Penyelenggara pos dan logistik wajib menerapkan serta membuktikan kepatuhan terhadap ISO/IEC 27001:2022;
• Sertifikasi ISO/IEC 27001:2022 menjadi bukti komitmen dan pemenuhan regulasi terhadap tata kelola keamanan informasi.

Dampak Bagi Penyelenggara Pos dan Logistik

Kepatuhan terhadap regulasi ini membawa konsekuensi langsung bagi seluruh penyelenggara pos, ekspedisi, dan logistik. Beberapa poin penting yang wajib diperhatikan antara lain:

1. Membangun sistem keamanan informasi terstruktur yang sesuai dengan risiko bisnis dan operasional.
2. Menetapkan kebijakan dan prosedur keamanan data yang terdokumentasi dan terintegrasi.
3. Melakukan audit internal dan eksternal untuk memastikan efektivitas penerapan.
4. Memperoleh sertifikasi ISO/IEC 27001:2022 melalui lembaga sertifikasi terakreditasi.
5. Meningkatkan budaya keamanan informasi di seluruh lapisan organisasi.

Penerapan ini tidak hanya membantu organisasi mematuhi regulasi pemerintah, tetapi juga memperkuat kepercayaan pelanggan dan membangun fondasi ketahanan digital (cyber resilience) jangka panjang.

ISO/IEC 27001:2022 adalah Fondasi Keamanan Informasi Global

ISO/IEC 27001:2022 adalah standar internasional untuk penerapan Sistem Manajemen Keamanan Informasi (Information Security Management System / ISMS). Standar ini memberikan panduan bagi organisasi dalam:

• Mengidentifikasi risiko keamanan informasi;
• Menetapkan kontrol dan kebijakan perlindungan data;
• Menjaga kerahasiaan, integritas, dan ketersediaan informasi;
• Menjamin kepatuhan hukum terhadap peraturan nasional maupun internasional.

Untuk industri logistik dan pos, ISO/IEC 27001:2022 membantu memastikan rantai pasok digital yang aman, efisien, dan terpercaya di tengah meningkatnya ancaman siber.

Dukungan Robere & Associates untuk Kepatuhan dan Ketahanan Siber

Sebagai konsultan sistem manajemen bersertifikasi internasional, Robere & Associates telah mendampingi berbagai organisasi di sektor logistik, transportasi, dan pos dalam mengimplementasikan ISO/IEC 27001 secara efektif. Pendekatan Robere berfokus pada strategi berbasis risiko dan keberlanjutan, meliputi:

• Perancangan dan implementasi SMKI sesuai konteks bisnis;
• Pendampingan audit dan sertifikasi ISO/IEC 27001:2022 hingga penerbitan sertifikat resmi;
• Pelatihan dan awareness program untuk meningkatkan budaya keamanan informasi internal;
• Integrasi multi-standar seperti ISO 9001, ISO 22301, dan ISO 27701 untuk efisiensi dan keselarasan sistem manajemen.

Dengan pengalaman lebih dari 35 tahun, Robere memastikan setiap klien tidak hanya compliant, tetapi juga truly secure and resilient terhadap ancaman digital masa depan.

---

FAQ: ISO/IEC 27001 untuk Sektor Logistik dan Pos

1. Apa itu Permenkomdigi No. 8 Tahun 2025?
   Permenkomdigi No. 8 Tahun 2025 adalah peraturan resmi dari Kementerian Komunikasi dan Digital yang mewajibkan penerapan Sistem Manajemen Keamanan Informasi (SMKI) bagi penyelenggara pos dan logistik sesuai standar ISO/IEC 27001.
2. Mengapa ISO/IEC 27001 diwajibkan untuk industri logistik dan pos?
   Karena sektor ini mengelola data pelanggan dan transaksi dalam jumlah besar. ISO 27001 membantu memastikan perlindungan data, mencegah kebocoran informasi, dan menjaga keandalan operasional.
3. Apa manfaat utama penerapan ISO 27001 bagi organisasi logistik?
   Manfaatnya antara lain peningkatan kepercayaan pelanggan, pengurangan risiko keamanan siber, kepatuhan hukum terhadap regulasi pemerintah, dan peningkatan daya saing digital.
4. Bagaimana proses sertifikasi ISO/IEC 27001 dilakukan?
   Proses dimulai dari analisis kesenjangan (gap analysis), implementasi kontrol keamanan, audit internal, hingga audit eksternal oleh lembaga sertifikasi terakreditasi yang menerbitkan sertifikat resmi.
5. Bagaimana Robere & Associates dapat membantu organisasi dalam memenuhi regulasi ini?
   Robere & Associates menyediakan layanan lengkap mulai dari konsultasi, implementasi, pelatihan, hingga pendampingan audit dan sertifikasi ISO/IEC 27001, memastikan organisasi Anda memenuhi seluruh persyaratan regulasi dan menjaga kepercayaan pelanggan.

Kepercayaan adalah mata uang baru. Konsumen tidak lagi menilai sebuah organisasi hanya dari kualitas produk atau layanan, tetapi juga dari cara organisasi tersebut menjaga privasi data pribadi mereka. Kasus kebocoran data yang marak dalam beberapa tahun terakhir menunjukkan betapa rapuhnya reputasi jika privasi diabaikan.

Sekali data bocor, bukan hanya kerugian finansial yang ditanggung, melainkan juga hilangnya kepercayaan publik. Bahkan, penelitian global menunjukkan bahwa pelanggan cenderung meninggalkan merek yang pernah gagal melindungi privasi, meski produk mereka unggul.

Untuk itu, organisasi perlu membangun kepercayaan publik secara lebih proaktif. Salah satu cara paling efektif adalah dengan menerapkan ISO/IEC 27701, standar internasional yang mengatur Privacy Information Management System (PIMS). Dengan standar ini, organisasi tidak hanya mematuhi regulasi, tetapi juga menunjukkan komitmen nyata dalam menjaga privasi.

Privasi sebagai Faktor Kepercayaan Publik

Di tengah kesadaran digital yang semakin tinggi, publik menempatkan privasi sebagai salah satu faktor utama dalam memilih layanan atau produk. Bagi pelanggan, keamanan data pribadi sama pentingnya dengan kualitas barang yang mereka beli.

Sekarang, konsumen lebih kritis dan tidak segan bertanya:

“Apakah data saya aman?”, “Bagaimana perusahaan melindungi informasi saya?”, atau “Apakah organisasi ini transparan?”.

Jawaban yang diberikan bukan lagi sekadar kata-kata, melainkan harus berbentuk bukti.

Di sinilah privasi bertransformasi menjadi bagian dari pengalaman pelanggan atau customer experience. Organisasi yang transparan, amanah, dan bertanggung jawab terhadap data pribadi akan lebih dipercaya, sementara yang lalai akan cepat ditinggalkan.

ISO/IEC 27701 sebagai Bukti Komitmen

ISO/IEC 27701 hadir sebagai standar global untuk menunjukkan bahwa organisasi Anda serius menjaga privasi. Dengan menerapkannya, Anda memiliki kerangka kerja yang jelas, terdokumentasi, dan dapat diaudit mengenai bagaimana data pribadi dikelola.

Sertifikasi ini bukan hanya “kertas formalitas”. Di mata publik dan mitra bisnis, ISO/IEC 27701 adalah semacam tanda pengenal bahwa organisasi Anda memiliki sistem tata kelola privasi yang sesuai standar internasional.

Dengan sertifikasi tersebut, Anda menunjukkan bahwa organisasi tidak hanya memenuhi hukum, tetapi juga berkomitmen pada nilai integritas, transparansi, dan tanggung jawab. Hal ini membuat publik lebih yakin bahwa data mereka berada di tangan yang tepat.

Manfaat Implementasi ISO/IEC 27701untuk Reputasi

Mengadopsi ISO/IEC 27701 memberikan dampak jangka panjang yang signifikan terhadap reputasi organisasi:

1. Loyalitas pelanggan meningkat. Konsumen lebih cenderung tetap bersama perusahaan yang mereka percaya, bahkan di tengah kompetisi ketat.
2. Investor dan mitra bisnis lebih percaya. Bagi mereka, organisasi dengan standar privasi internasional dianggap memiliki risiko yang lebih rendah dan tata kelola yang lebih baik.
3. Peluang kolaborasi global terbuka lebih luas. Banyak perusahaan multinasional mensyaratkan mitra bisnisnya memiliki sertifikasi privasi dan keamanan. Dengan ISO/IEC 27701, organisasi Anda siap masuk ke rantai bisnis global.

Singkatnya, ISO/IEC 27701 tidak hanya melindungi organisasi dari risiko, tetapi juga memperkuat posisinya di pasar.

Langkah Strategis Menjadikan ISO/IEC 27701 sebagai Alat Membangun Kepercayaan

Penerapan ISO/IEC 27701 sering kali dipandang hanya sebagai upaya compliance dalam memenuhi kewajiban hukum. Padahal, jika dikelola dengan tepat, standar ini bisa menjadi alat komunikasi strategis untuk membangun kepercayaan publik.

1. Integrasikan ke Budaya Organisasi

Jangan berhenti di level dokumen. Pastikan setiap karyawan memahami dan menjalankan prinsip privasi dalam pekerjaan sehari-hari. Ketika privasi menjadi budaya kerja, publik akan merasakan konsistensi komitmen organisasi, bukan sekadar formalitas.

2. Komunikasikan ke Publik

Banyak organisasi sudah bersertifikat, tetapi diam-diam menyimpannya. Padahal, ini adalah nilai tambah. Gunakan kanal komunikasi resmi seperti website, laporan tahunan, dan media sosial untuk menyampaikan bahwa organisasi Anda bersertifikasi ISO/IEC 27701. Ceritakan proses dan maknanya bagi pelanggan, bukan sekadar menyebut sertifikasi.

3. Tunjukkan Transparansi Proaktif

Jangan menunggu insiden terjadi baru bicara privasi. Beritahu publik secara terbuka bagaimana data mereka dilindungi. Misalnya dengan membuat halaman “Kebijakan Privasi” yang mudah dipahami, atau menyampaikan laporan transparansi tahunan.

4. Edukasi Pelanggan

Pelanggan sering kali tidak memahami arti sertifikasi ISO/IEC 27701. Edukasi mereka dengan bahasa sederhana: sertifikasi ini berarti data mereka lebih aman, hak privasi lebih dihormati, dan organisasi Anda memiliki sistem yang teruji. Dengan cara ini, pelanggan merasa dilibatkan, bukan hanya diperlakukan sebagai objek.

Dengan langkah-langkah strategis ini, ISO/IEC 27701 tidak berhenti sebagai simbol compliance, melainkan menjadi alat komunikasi yang efektif untuk membangun kepercayaan publik.

Di era digital, kepercayaan publik adalah aset terbesar organisasi. Anda bisa punya produk terbaik, layanan tercepat, atau teknologi tercanggih, tetapi jika gagal menjaga privasi, semuanya bisa runtuh dalam sekejap.

Implementasi ISO/IEC 27701:2025 bukan hanya soal mematuhi regulasi, tetapi juga tentang menunjukkan komitmen etis dan strategis terhadap perlindungan data pribadi. Dengan mengintegrasikannya ke budaya organisasi dan mengomunikasikannya secara terbuka ke publik, ISO/IEC 27701 bisa menjadi fondasi kuat untuk membangun loyalitas pelanggan, menarik investor, dan memperluas peluang bisnis global.

---

FAQ

1. Apakah sertifikasi ISO/IEC 27701 hanya bermanfaat untuk kepatuhan hukum?

Tidak. Sertifikasi ini juga meningkatkan kepercayaan pelanggan dan reputasi organisasi.

2. Bagaimana cara mengomunikasikan sertifikasi ISO/IEC 27701 kepada publik?

Melalui laporan tahunan, website, media sosial, atau bahkan edukasi langsung kepada pelanggan dengan bahasa sederhana.

3. Apakah ISO/IEC 27701 hanya untuk organisasi besar?

Tidak. Organisasi kecil maupun menengah juga bisa memperoleh manfaat besar, terutama dalam membangun kepercayaan pelanggan.

4. Apa kaitan ISO/IEC 27701 dengan reputasi bisnis?

Organisasi yang dipercaya menjaga privasi lebih disukai pelanggan, lebih menarik bagi investor, dan lebih mudah mendapat mitra global.

5. Bagaimana cara menjadikan ISO/IEC 27701bagian dari budaya, bukan hanya dokumen?

Dengan pelatihan karyawan, komunikasi internal yang efektif, serta penerapan kebiasaan privasi dalam pekerjaan sehari-hari.

Data pribadi adalah aset sekaligus tanggung jawab besar bagi organisasi. Setiap transaksi, formulir online, hingga percakapan internal bisa memuat personally identifiable information (PII). Tantangannya, risiko penyalahgunaan dan kebocoran data semakin besar.

ISO/IEC 27701:2025 menghadirkan kerangka kerja Privacy Information Management System (PIMS) yang membantu organisasi mengelola data pribadi dengan aman, transparan, dan sesuai regulasi. Namun, ada satu hal penting yang sering dilupakan, suksesnya PIMS tidak hanya ditentukan oleh dokumen dan teknologi, tetapi oleh manusia yang menjalankannya.

Karyawan, dari manajemen puncak hingga staf operasional, adalah aktor utama yang membuat PIMS benar-benar hidup dalam organisasi.

Apa Itu ISO/IEC 27701:2025 PIMS?

Sebelum masuk ke peran manusia, mari kita pahami dulu PIMS.

• Privacy Information Management System (PIMS) adalah sistem manajemen berbasis ISO/IEC 27701:2025 untuk mengelola data pribadi.
• Standar ini membantu organisasi melindungi PII melalui kebijakan, prosedur, dan kontrol yang terdokumentasi.
• Berbeda dari versi sebelumnya, ISO/IEC 27701:2025 bersifat stand-alone, sehingga organisasi bisa langsung menerapkannya tanpa harus memiliki ISO/IEC 27001:2022 lebih dulu.
• PIMS mencakup aspek teknis, regulasi, dan tata kelola, tetapi keberhasilan implementasinya bergantung pada orang-orang yang ada di dalam organisasi.

Mengapa Karyawan Adalah Kunci ISO/IEC 27701:2025 PIMS?

1. Manusia adalah titik rawan utama.

Mayoritas insiden kebocoran data disebabkan kelalaian manusia, seperti salah mengirim email atau menggunakan password lemah.

2. Setiap karyawan memegang akses.

Dari resepsionis hingga direktur, semua berpotensi mengakses data pribadi. Setiap tindakan mereka berpengaruh pada keamanan.

3. Budaya privasi lebih kuat dari aturan tertulis.

Dokumen prosedur bisa dibuat, tapi hanya budaya yang bisa membuat orang benar-benar disiplin menjaga privasi.

Peran Karyawan dalam Penerapan PIMS

Agar ISO/IEC 27701:2025 benar-benar efektif, setiap level karyawan memiliki peran:

1. Manajemen Puncak.

Peran Manajemen Puncak adalah menetapkan arah dan komitmen strategis, menyediakan sumber daya dan dukungan penuh, serta yang tak kalah penting adalah menjadi role model dalam kepatuhan privasi.

2. Manajer & Supervisor

Kemudian masuk ke level berikutnya yang memiliki peran sebagai penerjemah kebijakan menjadi prosedur sehari-hari, mengawasi pelaksanaan di tim mereka, hingga menyelesaikan hambatan ketika ada ketidakjelasan aturan.

3. Seluruh Karyawan

Peran wajib seluruh karyawan adalah dengan mengikuti prosedur dasar, seperti menjaga kerahasiaan password dan berhati-hati saat berbagi data. Kemudian melaporkan insiden atau potensi pelanggaran privasi. Serta mengikuti pelatihan privasi secara rutin.

Strategi Membangun Budaya Privasi di Organisasi

Agar karyawan benar-benar terlibat dalam PIMS, organisasi perlu menanamkan budaya privasi yang kuat. Berikut langkah-langkahnya:

1. Pendidikan dan Pelatihan

Kegiatan Pendidikan dan Pelatihan harus rutin dilakukan agar karyawan terus sadar pentingnya menjaga data pribadi. Materi sebaiknya relevan dengan pekerjaan masing-masing divisi, misalnya HR fokus pada data karyawan dan marketing pada data pelanggan.

2. Komunikasi yang Efektif

Hal ini bisa dilakukan dengan bahasa sederhana seperti poster atau pesan singkat yang mudah dipahami. Organisasi juga perlu menyediakan kanal pelaporan insiden yang jelas agar karyawan berani melapor.

3. Integrasi ke dalam Proses Kerja

Integrasi membuat privasi bukan sekadar aturan tambahan, melainkan bagian alami dari aktivitas sehari-hari. Dengan begitu, karyawan melihatnya sebagai standar kerja, bukan beban.

4. Pemberdayaan Karyawan

Penting dilakukan agar mereka merasa memiliki peran nyata, misalnya melalui audit internal, pemberian masukan, atau menunjuk peran “privacy champion” di tiap divisi.

5. Pengakuan dan Apresiasi

Ucapan terima kasih, penghargaan kecil, atau pengakuan dari manajemen dapat membuat kepatuhan terasa membanggakan, bukan sekadar kewajiban.

Contoh Praktik Sederhana

Menjaga privasi bukan tentang langkah besar, tetapi tentang kebiasaan kecil yang dilakukan setiap hari oleh karyawan Anda. Misalnya:

• Mengunci laptop saat meninggalkan meja kerja.
• Tidak membagikan password dengan rekan kerja.
• Mengecek alamat email sebelum mengirim dokumen penting.
• Menyimpan dokumen fisik di laci yang terkunci.
• Melaporkan segera jika menemukan email phishing.

Jika kebiasaan kecil ini dilakukan konsisten, risiko besar bisa dicegah.

Tantangan dan Cara Mengatasinya

Membangun budaya privasi berbasis PIMS tidak mudah. Beberapa tantangan yang sering muncul:

• Resistensi karyawan.

Beberapa karyawan menganggap prosedur privasi hanya menambah beban. Solusinya dengan edukasi manfaat bagi mereka, bukan hanya untuk organisasi.

• Kurangnya pemahaman.

Tidak semua orang paham apa itu PII dan mengapa penting. Solusinya kita dapat menggunakan komunikasi yang sederhana dan praktis.

• Keterbatasan sumber daya.

Tidak semua organisasi punya tim privasi khusus. Solusinya adalah dengan memulai dari hal kecil, seperti pelatihan dasar, lalu bertahap ke arah sertifikasi.

 

ISO/IEC 27701:2025 PIMS memberikan kerangka kerja yang jelas bagi organisasi dalam melindungi data pribadi. Namun, dokumen dan teknologi hanyalah fondasi. Yang benar-benar membuat PIMS hidup adalah karyawan Anda.

Dengan membangun budaya privasi, melibatkan setiap orang, dan menjadikan kepatuhan sebagai kebiasaan, Anda tidak hanya melindungi data, Anda juga menjaga reputasi, kepercayaan publik, dan masa depan organisasi.

 

---

FAQ

1. Apakah teknologi saja cukup untuk melindungi privasi?
   Tidak. Teknologi hanyalah alat. Tanpa kesadaran manusia, celah kebocoran tetap terbuka.
2. Bagaimana cara membuat karyawan peduli pada privasi?
   Dengan pelatihan rutin, komunikasi sederhana, dan penghargaan atas kepatuhan.
3. Apakah semua karyawan harus dilibatkan dalam PIMS?
   Ya. Privasi adalah tanggung jawab bersama, dari staf hingga manajemen puncak.
4. Bagaimana jika karyawan menolak aturan baru?
   Edukasi mereka dengan dampak nyata pelanggaran data, baik pada organisasi maupun diri pribadi.
5. Apa manfaat jangka panjang budaya privasi?
   Meningkatkan kepercayaan pelanggan, mencegah insiden, dan memperkuat daya saing organisasi.

Tidak ada yang ingin memulai hari dengan kabar jalanan ditutup karena demo besar. Namun realitasnya, akses ke kantor bisa terhenti, tim terpencar, dan jadwal layanan ke klien tetap menunggu. Di saat seperti ini, improvisasi sering berujung kepanikan. Business Continuity Plan (BCP) hadir agar bisnis tidak ikut berhenti dengan memberi arah yang jelas, terukur, dan dapat diimplementasikan.

Apa Itu BCP?

Business Continuity Plan (BCP) adalah rencana yang disusun oleh organisasi untuk memastikan kelangsungan usaha, khususnya agar proses-proses operasional yang kritis/ penting tetap berjalan meskipun terjadi disrupsi atau gangguan. Fokus utamanya bukan hanya pada pemulihan, tetapi juga pada kemampuan untuk terus memberikan Layanan operasional. Dalam praktik terbaik, BCP diselaraskan dengan best practice salah satunya ISO 22301, dimana rencana yang disusun tidak bergantung pada individu, melainkan pada sistem manajemen yang terdokumentasi, diuji, dan diperbarui secara berkala.

Mengapa BCP Penting Saat Demo & Kejadian Tak Terduga?

Gangguan sosial, seperti demonstrasi, kerap muncul secara mendadak, sebagaimana terjadi pada akhir Agustus 2025. Situasi ini menyebabkan akses fisik menjadi terbatas, keputusan harus diambil dengan cepat, serta komunikasi dan arahan operasional perlu dikoordinasikan secara jelas agar tidak menimbulkan kebingungan. Tanpa Business Continuity Plan (BCP), respons organisasi cenderung bersifat reaktif. Sebaliknya, dengan BCP, organisasi memiliki skenario terukur yang memastikan layanan tetap berjalan, data dan sistem tetap terlindungi, serta pemulihan dapat dilakukan sesuai dengan Recovery Time Objective (RTO) yang realistis, tanpa melampaui batas toleransi yang dapat diterima oleh pihak berkepentingan, yaitu Maximum Allowable Outage (MAO).

Fondasi & Komponen Utama BCP berdasarkan ISO 22301

• Business Impact Analysis (BIA): pemetaan terhadap proses-proses kritikal, mengidentifikasi ketergantungan (aplikasi, vendor, lokasi), serta menilai potensi dampak apabila proses tersebut terhenti. (Download Panduan Penyusunan BIA)
• Maximum Allowable Outage (MAO): batas toleransi waktu yang dapat diterima oleh pihak berkepentingan ketika organisasi tidak dapat beroperasi.
• Recovery Time Objective (RTO) & Recovery Point Objective (RPO): target waktu pemulihan dan tingkat toleransi kehilangan data untuk setiap layanan, yang disepakati lintas fungsi.
• Strategi Operasi Alternatif: opsi keberlangsungan operasional, seperti work-from-anywhere, penggunaan site/cloud cadangan, work area recovery, serta pengalihan kapasitas.
• Disaster Recovery (DR) Teknologi Informasi: meliputi backup terenkripsi, uji restore secara berkala, panduan pemulihan (BCP), kontrol akses (VPN, MFA), serta kepatuhan terhadap Undang-Undang Perlindungan Data Pribadi (UU PDP).
• Rencana Komunikasi Krisis: jalur eskalasi, penunjukan juru bicara, frekuensi pembaruan informasi, serta penyediaan template pesan yang siap digunakan.
• Manajemen Vendor Kritis: Ketentuan SLA saat krisis, daftar kontak darurat, serta memastikan kompatibilitas BCP/DRP mitra dengan organisasi.
• Tata Kelola & Peran: struktur dan otoritas Keputusan dalam kondisi krisis, misalnya Incident Commander, IT Recovery Lead, Crisis Management Team.

Apa Saja yang Perlu Dipastikan saat Menjalankan BCP?

Organisasi perlu memastikan penyimpanan dan pengujian berkala terhadap seluruh elemen pendukung kelangsungan usaha, yang mencakup: daftar kontak darurat lintas fungsi dan vendor kritikal; akses serta kredensial darurat (VPN, MFA, akun admin) dalam repositori yang aman; BCP pemulihan layanan prioritas yang simpel dan operasional; acuan standar komunikasi untuk karyawan, klien prioritas, dan publik; kapasitas alternatif (misalnya site/cloud cadangan, telephony atau ticketing backup); serta daftar keputusan cepat mengenai aktivitas yang dapat ditunda tanpa menimbulkan pelanggaran kontrak atau SLA. Seluruh elemen ini harus disusun secara terpusat dan mudah diakses saat krisis, sehingga tidak tersebar di berbagai saluran yang sulit dilacak.

KPI dan Metrik BCP

Tingkat kesiapan Business Continuity Plan (BCP) dapat dipantau melalui sejumlah indikator, antara lain: waktu deklarasi (interval dari terjadinya insiden hingga aktivasi BCP), tingkat kepatuhan terhadap RTO/RPO pada setiap layanan, durasi pemulihan dibandingkan target yang telah ditetapkan, jumlah temuan dari uji coba (drill) yang berhasil ditutup setiap kuartal, serta skor kepuasan klien setelah insiden. Analisis tren dari metrik-metrik tersebut memberikan dasar bagi manajemen dalam menentukan kebutuhan investasi tambahan, baik untuk peningkatan kapasitas, otomatisasi pemulihan, maupun penguatan koordinasi lintas fungsi.

Perbedaan BCP vs DRP

Business Continuity Plan (BCP) berfokus pada kelangsungan proses bisnis—mencakup layanan, pelanggan, sumber daya manusia, komunikasi, dan operasi—dengan tujuan memastikan roda bisnis tetap berputar meskipun terjadi gangguan. Sementara itu, Disaster Recovery Plan (DRP) berfokus pada pemulihan kapabilitas teknologi informasi, seperti server, database, aplikasi, jaringan, dan data, agar fondasi teknologi dapat kembali berfungsi normal.

Secara garis besar, perbedaannya terletak pada peran masing-masing: BCP menentukan prioritas layanan dan urutan pemulihan, sedangkan DRP mengeksekusi langkah teknis pemulihan sesuai dengan prioritas tersebut. Oleh karena itu, keduanya harus dirancang, diuji, dan dijalankan secara terpadu agar saling melengkapi dalam menjaga keberlangsungan organisasi.

Kesalahan yang Sering Terjadi

Banyak rencana kelangsungan usaha gagal dijalankan pada saat krisis karena disusun tanpa Business Impact Analysis (BIA), sehingga bersifat generik dan sulit diterapkan. Kesalahan lain yang sering terjadi adalah penetapan RTO/RPO yang terlalu ambisius tanpa dukungan teknis yang memadai; tidak pernah melakukan uji coba sehingga BCP baru dibuka ketika situasi panik; mengabaikan kesiapan vendor yang justru menjadi titik lemah dalam rantai layanan; serta membiarkan dokumen tidak diperbarui meskipun sistem maupun struktur organisasi telah berubah.

Kesimpulan

Disrupsi/ gangguan/ kondisi krisis tidak pernah memilih waktu yang tepat dan menunggu kesiapan organisasi. Dengan Business Continuity Plan (BCP), ketidakpastian dapat diterjemahkan menjadi langkah nyata: layanan tetap berjalan, tim memahami perannya, dan klien merasa mendapatkan pendampingan. Pertanyaan yang paling jujur untuk setiap organisasi adalah: “jika besok pagi kantor tidak dapat diakses karena demonstrasi, apakah layanan Anda tetap bisa berjalan?”

Butuh implementasi Business Continuity Management (BCM) yang praktis, teruji, dan sesuai dengan konteks bisnis Anda? Robere & Associates (Indonesia) siap membantu Anda melakukan Identifikasi awal, menyusun Business Impact Analysis (BIA) (Download Panduan Penyusunan BIA), Risk Assessment, penetapan RTO/RPO, penyusunan Business Continuity Plan (BCP), melakukan pelatihan tim, hingga pelaksanaan drill sesuai standar ISO 22301.

Hubungi Robere & Associates hari ini, agar ketika gangguan terjadi, bisnis Anda tetap berjalan tanpa terganggu.

Kecerdasan buatan (Artificial Intelligence/ AI) kini menjadi bagian integral dari banyak organisasi dalam mendukung pengambilan keputusan, otomatisasi proses, personalisasi layanan, hingga deteksi ancaman. Namun, di balik manfaat luar biasa tersebut, AI juga membawa risiko yang kompleks, terutama ketika digunakan tanpa pemahaman yang memadai. Inilah alasan mengapa AI awareness (kesadaran terhadap penggunaan AI) menjadi elemen yang sangat krusial bagi setiap organisasi. 

AI yang digunakan tanpa pemahaman dan pengawasan yang tepat dapat mengarah pada keputusan yang bias, ketidaksesuaian etika, pelanggaran hukum, bahkan krisis reputasi. Di sinilah peran standar ISO/IEC 42001:2023 menjadi sangat relevan, karena menyediakan kerangka kerja sistem manajemen yang menekankan pentingnya kesadaran, akuntabilitas, dan tata kelola AI secara menyeluruh. 

Apa Itu AI Awareness dan Mengapa Penting? 

AI awareness berarti kesadaran kolektif dalam organisasi terhadap: 

• Cara kerja dan batasan sistem AI, 

• Risiko dan peluang dari penerapan AI 

• Aspek etika, transparansi, keamanan, dan privasi, 

• Tanggung jawab manusia dalam pengambilan keputusan berbasis AI. 

Tanpa awareness, karyawan dapat menyalahgunakan, salah mengartikan, atau bahkan mengabaikan dampak dari output AI. Hal ini dapat menyebabkan: 

• Ketergantungan penuh pada system otomasi/ AI, 

• Interpretasi hasil AI yang bisa salah, 

• Pengambilan keputusan yang tidak bertanggung jawab, 

• Pelanggaran privasi atau diskriminasi algoritma. 

ISO/IEC 42001:2023, Standar Internasional untuk Sistem Manajemen AI (AIMS) 

ISO/IEC 42001:2023 adalah standar sistem manajemen pertama di dunia yang secara khusus dirancang untuk organisasi yang mengembangkan, menyediakan, atau menggunakan AI. Standar ini menawarkan pendekatan yang sistematis untuk memastikan bahwa penerapan AI dilakukan dengan kontrol, transparansi, dan akuntabilitas yang memadai. 

Cakupan ISO/IEC 42001 

Standar ini mencakup: 

• Seluruh siklus hidup sistem AI, dari desain, pengembangan, penggunaan, pemantauan, hingga evaluasi. 

• Berbagai jenis organisasi dan sektor, baik swasta, publik, maupun Lembaga swadaya/ non-profit. 

• Sistem AI yang sepenuhnya otomatis maupun semi-otomatis. 

• Integrasi dengan sistem manajemen lain seperti ISO 9001, ISO 27001, dan ISO 31000. 

Struktur dan Isi ISO/IEC 42001 

ISO/IEC 42001 terdiri dari 10 klausul utama yang membentuk kerangka kerja sistem manajemen AI. Berikut ini penjelasan masing-masing bagian dan bagaimana kaitannya dengan peningkatan AI awareness: 

1. Pasal 1 (Scope) 

Menjelaskan bahwa standar ini berlaku untuk organisasi yang terlibat dalam pengembangan, penyediaan, atau penggunaan sistem AI. Awareness perlu ditanamkan pada semua entitas dalam lingkup ini, agar memahami peran dan tanggung jawab mereka terhadap AI. 

2. Pasal 2 (Normative References) 

Menunjukkan bahwa standar ini saling terkait dengan dokumen lain, seperti ISO 27001 (keamanan informasi) dan ISO 31000 (manajemen risiko). Kesadaran atas keterkaitan ini penting untuk menghindari tumpang tindih atau celah dalam pengelolaan risiko AI. 

3. Pasal 3 (Terms and Definitions) 

Memberikan definisi istilah penting seperti explainability, bias, human oversight, dsb. Memastikan semua pihak memahami istilah teknis adalah fondasi dari AI awareness yang efektif. 

4. Pasal 4 (Context of the Organization) 

Mendorong organisasi untuk mengenali faktor internal dan eksternal serta harapan pihak berkepentingan. Awareness dalam konteks ini artinya menyadari kondisi lingkungan di mana AI akan beroperasi dan berdampak. 

5. Pasal 5 (Leadership) 

Mengatur bagaimana manajemen puncak menunjukkan komitmennya terhadap sistem manajemen AI. Kepemimpinan harus menjadi motor utama dalam membangun budaya sadar AI di seluruh organisasi. 

6. Pasal 6 (Planning) 

Fokus pada penilaian risiko dan peluang terkait AI serta perencanaan tujuan. Program awareness dan pelatihan dapat ditetapkan sebagai bagian dari rencana peningkatan berkelanjutan. 

7. Pasal 7 (Support) 

Inilah inti dari pengelolaan AI awareness. Di dalamnya mencakup kompetensi, pelatihan, komunikasi, dan dokumentasi. Organisasi wajib memastikan bahwa semua personel memahami peran mereka dalam konteks penggunaan AI yang aman dan bertanggung jawab. 

8. Pasal 8 (Operation) 

Menjelaskan proses pelaksanaan dan pengendalian terhadap sistem AI. Awareness dibutuhkan agar proses operasional berjalan dengan pemahaman terhadap risiko AI dan adanya pengawasan manusia yang tepat. 

9. Pasal 9 (Performance Evaluation) 

Mengatur evaluasi kinerja AIMS melalui monitoring, audit internal, dan tinjauan manajemen. Salah satu aspek yang dapat dievaluasi adalah efektivitas program awareness di seluruh level organisasi. 

10. Pasal 10 (Improvement) 

Menyediakan panduan bagaimana organisasi terus meningkatkan AIMS. Ketidaktahuan atau kesalahan karena rendahnya awareness dapat menjadi akar masalah yang diperbaiki melalui peningkatan edukasi dan pelatihan. 

Studi Kasus Nyata: Akibat Kurangnya AI Awareness 

1. Apple Card (2019) 

Sistem pemeringkatan kredit berbasis AI diduga memiliki bias gender, yang memicu investigasi oleh otoritas keuangan. Tim tidak memahami secara jelas bagaimana algoritma tersebut beroperasi, sehingga memperlihatkan minimnya transparansi dan pengawasan. 

2. IBM Watson for Oncology (2017–2018) 

Rekomendasi pengobatan yang tidak akurat menimbulkan keraguan terhadap sistem AI IBM. Tenaga medis tidak menerima pelatihan yang memadai mengenai keterbatasan sistem AI tersebut. 

3. Polisi di Kota Detroit (2020) 

Terjadi penangkapan warga kulit hitam akibat kesalahan identifikasi oleh sistem facial recognition. Petugas tidak memahami bahwa sistem tersebut memiliki akurasi rendah terhadap wajah dari kelompok minoritas. 

Pelatihan & Implementasi ISO/IEC 42001 

Membangun AI awareness secara terstruktur hanya dapat dicapai apabila organisasi mengintegrasikan pelatihan dan edukasi ke dalam sistem manajemennya. ISO/IEC 42001 menyediakan kerangka serta kewajiban tersebut melalui berbagai klausul, khususnya pada Pasal 7 (Support) dan Pasal 6 (Planning). 

Melalui pelatihan ISO/IEC 42001, organisasi dapat: 

• Meningkatkan pemahaman menyeluruh terhadap prinsip tata kelola AI, 

• Menentukan peran dan tanggung jawab seluruh lini terhadap risiko AI, 

• Menyusun kebijakan dan prosedur edukatif tentang penggunaan AI yang etis, 

• Mempersiapkan diri untuk audit internal maupun sertifikasi eksternal. 

Robere & Associates (Indonesia), Mitra Anda dalam Tata Kelola AI 

Sebagai penyedia jasa pelatihan dan konsultansi sistem manajemen, kami membantu organisasi membangun sistem manajemen AI berbasis ISO/IEC 42001 melalui: 

• Pelatihan AI Awareness & ISO 42001 Implementation 

• Gap Analysis dan Readiness Assessment 

• Penyusunan kebijakan, SOP, dan form AIMS 

AI tanpa awareness adalah ancaman yang tak terlihat. AI dengan awareness adalah keunggulan kompetitif yang berkelanjutan. Dengan ISO/IEC 42001, organisasi Anda tidak hanya dapat mengadopsi AI, tetapi juga mengelolanya secara etis, transparan, dan aman. Dan Robere & Associates siap mendampingi Anda dalam setiap langkahnya. 

Privacy by Design dan Privacy by Default menjadi dua konsep penting dalam pelindungan data pribadi di era digital. Keduanya merupakan pendekatan proaktif yang memastikan bahwa privasi pengguna telah dipertimbangkan sejak awal perancangan sistem dan proses organisasi.

Regulasi UU PDP dan Standar ISO sebagai Landasan Kepatuhan

Di Indonesia, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menjadi payung hukum utama yang mengatur tata kelola data pribadi secara menyeluruh. Sebagai pelengkap, standar internasional seperti ISO/IEC 27001 dan ISO/IEC 27701 menyediakan kerangka kerja yang dapat membantu organisasi memastikan bahwa sistem pengelolaan data pribadi yang diterapkan telah memenuhi prinsip keamanan informasi dan kepatuhan terhadap regulasi.

Seiring meningkatnya volume data pribadi yang diproses dan disimpan oleh berbagai organisasi, ancaman terhadap privasi pun semakin besar. Maka, pendekatan yang sistematis seperti Privacy by Design dan Privacy by Default menjadi semakin relevan dan krusial.

Apa Itu Privacy by Design dan Privacy by Default?

Privacy by Design adalah pendekatan yang mewajibkan pelindungan data pribadi menjadi bagian integral dari desain sistem dan proses organisasi sejak awal perencanaan. Privasi tidak dianggap sebagai fitur tambahan, melainkan prinsip utama yang harus diintegrasikan dalam pengembangan produk, layanan, dan infrastruktur teknologi.

Privacy by Default menekankan bahwa sistem atau layanan harus dikonfigurasi secara default untuk hanya mengumpulkan dan memproses data pribadi yang benar-benar diperlukan, digunakan untuk tujuan yang sah, dan berdasarkan persetujuan eksplisit dari individu yang bersangkutan. Ini sejalan dengan prinsip minimasi data dan kontrol individu terhadap informasi pribadinya.

Hubungan Privacy by Design & by Default dengan UU PDP

Privacy by Design dalam UU PDP

Mendukung implementasi UU PDP dengan mendorong organisasi untuk mengintegrasikan pelindungan data pribadi sejak tahap awal perancangan sistem, proses, maupun kebijakan. Pendekatan ini memastikan bahwa data pribadi hanya dikumpulkan untuk tujuan yang sah, dan sejak awal telah dibangun dengan langkah-langkah keamanan yang memadai guna mencegah penyalahgunaan data.

Privacy by Default dalam UU PDP

Sangat selaras dengan UU PDP karena mewajibkan sistem atau layanan dikonfigurasi secara default untuk meminimalkan pengumpulan dan pemrosesan data pribadi. Artinya, organisasi hanya mengumpulkan data yang benar-benar diperlukan dan memprosesnya berdasarkan persetujuan yang sah dan eksplisit dari subjek data. Ini sejalan dengan prinsip minimasi data dan penguatan hak individu atas kendali terhadap data pribadinya.

Privacy by Design & Privacy by Default dalam ISO/IEC 27001

ISO/IEC 27001 adalah standar internasional yang menetapkan persyaratan untuk penerapan Sistem Manajemen Keamanan Informasi (Information Security Management System/ISMS). Standar ini tidak hanya berfokus pada perlindungan informasi secara umum, tetapi juga memberikan pedoman yang sistematis dan terstruktur dalam melindungi data pribadi, termasuk dalam hal pengelolaan risiko, pengendalian akses, serta keamanan fisik dan teknis. Dengan demikian, ISO/IEC 27001 menjadi kerangka kerja yang mendukung organisasi dalam menjaga kerahasiaan, integritas, dan ketersediaan informasi secara menyeluruh.

Privacy by Design

Dalam konteks ISO/IEC 27001, prinsip Privacy by Design diimplementasikan melalui perancangan kebijakan dan kontrol keamanan informasi yang secara proaktif mengintegrasikan pelindungan data pribadi sejak tahap awal pengembangan sistem dan proses. ISO/IEC 27001 memastikan bahwa seluruh sistem, prosedur, dan teknologi yang digunakan organisasi telah mempertimbangkan pelindungan data pribadi sebagai bagian penting dari kontrol keamanan yang diterapkan secara menyeluruh.

Privacy by Default

ISO/IEC 27001 juga mendorong penerapan prinsip Privacy by Default dengan memastikan bahwa sistem dan proses dikonfigurasi untuk meminimalkan pengumpulan dan penggunaan data pribadi. Artinya, organisasi harus menerapkan kontrol akses yang ketat, hanya memproses data yang benar-benar diperlukan, dan membatasi ruang lingkup pemrosesan sesuai dengan tujuan yang sah dan proporsional. Pendekatan ini mendukung kepatuhan terhadap prinsip minimasi data dan pelindungan hak subjek data.

Peran ISO/IEC 27701 dalam Meningkatkan Keamanan Data Pribadi

ISO/IEC 27701 adalah ekstensi dari ISO/IEC 27001 yang secara khusus berfokus pada manajemen informasi privasi (Privacy Information Management System/PIMS). Standar ini memberikan panduan tambahan kepada organisasi tentang cara mengelola dan melindungi data pribadi secara efektif, baik sebagai pengendali data (data controller) maupun pemroses data (data processor).

ISO/IEC 27701 memperluas kerangka kerja ISO/IEC 27001 dengan memasukkan elemen-elemen spesifik terkait privasi, menjadikannya bagian penting dalam membangun sistem manajemen keamanan informasi yang holistik dan patuh terhadap prinsip pelindungan data pribadi.

Privacy by Design

ISO/IEC 27701 mengharuskan organisasi untuk mengintegrasikan kebijakan privasi dalam desain dan operasi mereka, sehingga perlindungan data pribadi menjadi bagian dari setiap aspek sistem manajemen informasi. Hal ini sejalan dengan konsep Privacy by Design, yang memastikan bahwa privasi dipertimbangkan sejak awal dalam pengembangan produk dan sistem.

Privacy by Default

ISO/IEC 27701 juga menekankan pentingnya mengkonfigurasi sistem dengan pengaturan privasi yang memastikan hanya data pribadi yang diperlukan yang dikumpulkan dan diproses. Ini membantu organisasi dalam memenuhi standar perlindungan data pribadi yang ketat dan mengurangi risiko pelanggaran privasi.

Mengapa Anda Membutuhkan Konsultan ISO/IEC 27001?

Implementasi ISO/IEC 27001 dan ISO/IEC 27701 merupakan langkah strategis bagi organisasi dalam menjaga keamanan data pribadi serta melindungi informasi sensitif. Namun, penerapan kedua standar ini tidak selalu mudah—terutama bagi organisasi yang belum memiliki pengalaman, sumber daya, atau keahlian internal yang memadai.

Dalam situasi inilah, peran konsultan ISO/IEC 27001 menjadi sangat krusial. Dengan dukungan dari konsultan yang berpengalaman, organisasi dapat memastikan bahwa seluruh persyaratan standar terpenuhi, sistem manajemen keamanan informasi dirancang dan dijalankan secara efektif, serta kepatuhan terhadap regulasi seperti UU Pelindungan Data Pribadi (UU PDP) dapat dicapai.

• Menyusun kebijakan dan prosedur keamanan yang sesuai dengan standar internasional.
• Mengidentifikasi dan mengelola risiko yang berkaitan dengan data pribadi dan informasi sensitif.
• Membantu organisasi memenuhi persyaratan privasi, sehingga mereka dapat mematuhi UU PDP dengan lebih baik.
• Melakukan audit internal untuk memastikan bahwa sistem manajemen keamanan informasi berjalan dengan baik dan sesuai dengan standar.

Kesimpulan: Membangun Kepercayaan Melalui Privasi

Konsep Privacy by Design dan Privacy by Default merupakan prinsip fundamental yang harus diterapkan oleh setiap organisasi dalam upaya melindungi data pribadi dan menjaga privasi pengguna. Implementasi kedua prinsip ini sangat relevan dengan ketentuan dalam Undang-Undang Pelindungan Data Pribadi (UU PDP), serta standar internasional ISO/IEC 27001 dan ISO/IEC 27701, yang secara kolektif memberikan pedoman bagi organisasi untuk mengelola dan melindungi data pribadi secara aman, sistematis, dan sesuai regulasi yang berlaku.

Bagi organisasi yang ingin mengimplementasikan standar-standar tersebut, bekerja sama dengan konsultan ISO/IEC 27001 dapat menjadi langkah strategis. Konsultan tidak hanya membantu memastikan bahwa sistem manajemen keamanan informasi (SMKI) yang dibangun sesuai dengan persyaratan teknis, tetapi juga mampu mengintegrasikan prinsip-prinsip privasi secara menyeluruh dan berkelanjutan.

Melalui pendekatan Konsep Privacy by Design dan Privacy by Default, organisasi dapat:

• Meningkatkan kepercayaan pelanggan dan mitra bisnis,
• Mengurangi risiko pelanggaran data dan kerugian reputasi, serta
• Memastikan kepatuhan terhadap regulasi pelindungan data pribadi, baik nasional maupun internasional.

---

Jika Anda ingin mulai menyusun dan mengembangkan kerangka kerja Pelindungan Data Pribadi di organisasi agar siap menghadapi tantangan era digital, kami dapat membantu Anda.

Hubungi Robere & Associates (Indonesia) melalui 0811-9555-476 dan bangun tata kelola yang adaptif, berkelanjutan, dan patuh regulasi.

PP TUNAS (Peraturan Pemerintah Nomor 17 Tahun 2025) hadir sebagai langkah strategis Pemerintah Indonesia dalam menjawab tantangan pelindungan data anak di era digital. Di tengah pesatnya perkembangan teknologi dan digitalisasi di berbagai sektor seperti pendidikan dan hiburan, anak-anak semakin sering berinteraksi melalui platform digital yang menyimpan informasi serta data pribadi mereka. Baik dalam aplikasi pembelajaran maupun permainan daring, data anak-anak menjadi bagian dari ekosistem digital yang semakin kompleks.

Kondisi ini mendorong urgensi regulasi khusus yang dapat memastikan keamanan dan pelindungan data anak dari risiko penyalahgunaan. Oleh karena itu, melalui PP TUNAS, pemerintah menetapkan aturan teknis yang bertujuan untuk melindungi data pribadi anak secara menyeluruh, sekaligus memperkuat amanat dari Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Dengan regulasi ini, PP TUNAS menjadi fondasi penting dalam membangun ruang digital yang aman, ramah anak, dan bertanggung jawab.

Apa Itu PP TUNAS (Peraturan Pemerintah Nomor 17 Tahun 2025)?

PP TUNAS merupakan regulasi yang disahkan untuk mengatur penyelenggaraan sistem elektronik dalam rangka melindungi anak-anak dari potensi penyalahgunaan data pribadi mereka. Peraturan ini berfokus pada pelindungan data anak dalam konteks penggunaan teknologi digital yang kian meluas, mengingat berbagai risiko yang mungkin dihadapi oleh anak-anak, seperti eksploitasi data pribadi maupun dampak negatif lainnya dari interaksi di dunia digital.

PP TUNAS memberikan pedoman bagi penyelenggara sistem elektronik mengenai tata cara perlakuan terhadap data pribadi anak. Pedoman ini mencakup aspek teknis seperti penyimpanan, pengelolaan, dan penghapusan data anak secara aman dan sesuai dengan ketentuan peraturan perundang-undangan yang berlaku.

Mengapa PP TUNAS Penting untuk Pelindungan Data Pribadi Anak?

Sebagai generasi yang tumbuh di tengah kemajuan teknologi, anak-anak menjadi lebih rentan terhadap berbagai ancaman di dunia digital. Oleh karena itu, kehadiran PP TUNAS sangat penting untuk meminimalkan risiko yang mungkin timbul, seperti:

• Penyalahgunaan data pribadi,

• Perundungan digital (cyberbullying),

• Dampak negatif interaksi digital lainnya.

Alasan Mengapa Hal Ini Sangat Penting

1. Meningkatkan Keamanan Data Anak
   

   PP TUNAS memastikan bahwa setiap data yang dikumpulkan tentang anak-anak harus diproses dan disimpan dengan sangat hati-hati, dengan perhatian khusus pada keamanan informasi yang sangat sensitif ini.

2. Menjamin Persetujuan Orang Tua
   

   Salah satu aspek utama PP TUNAS adalah kewajiban bagi penyelenggara sistem elektronik untuk mendapatkan persetujuan orang tua atau wali sebelum mengumpulkan data pribadi anak. Ini memberikan kontrol yang lebih besar kepada orang tua dalam mengelola data anak mereka.

3. Pencegahan Eksploitasi Data
   

   PP TUNAS melarang pengumpulan data pribadi anak untuk kepentingan komersial tanpa persetujuan eksplisit dari orang tua. Hal ini untuk menghindari manipulasi atau eksploitasi anak-anak dalam dunia digital.

4. Penilaian Risiko untuk Setiap Platform Digital
   

   Setiap platform digital yang melibatkan anak-anak dalam aktivitas online harus menjalani penilaian risiko untuk memastikan bahwa platform tersebut aman dan tidak mengekspos anak-anak pada konten yang tidak pantas atau berbahaya.

PP TUNAS vs UU PDP: Apa Bedanya?

UU PDP merupakan regulasi induk (payung hukum nasional) yang mengatur secara umum mengenai hak-hak subjek data, kewajiban pengendali dan prosesor data, serta prinsip-prinsip pelindungan data pribadi yang berlaku di Indonesia. Sementara itu, PP TUNAS hadir sebagai regulasi turunan yang bersifat teknis dan lebih spesifik, dengan fokus pada pelindungan data pribadi anak-anak sebagai kelompok rentan dalam pemrosesan data digital. Regulasi ini dapat diakses melalui JDIH Sekretariat Negara sebagai sumber hukum resmi pemerintah Indonesia.

Kedua regulasi ini saling melengkapi dalam upaya memberikan perlindungan menyeluruh terhadap keamanan data pribadi yang dikelola, antara lain melalui:

• Persetujuan Orang Tua

  Dalam UU PDP, penyelenggara sistem elektronik diharuskan untuk mendapatkan persetujuan eksplisit dari orang tua untuk mengumpulkan data anak. PP TUNAS lebih lanjut memperjelas bahwa persetujuan ini harus jelas dan dapat dipertanggungjawabkan.

• Pelindungan Data Anak

  UU PDP mengatur bahwa data pribadi anak harus dilindungi secara lebih ketat. PP TUNAS memberikan ketentuan khusus yang mengatur bagaimana sistem elektronik yang melibatkan anak-anak harus mematuhi standar pelindungan data yang tinggi.

• Tanggung Jawab Penyedia Platform Digital

  Baik PP TUNAS maupun UU PDP menetapkan bahwa penyedia platform digital bertanggung jawab untuk melindungi data anak-anak. Mereka harus memastikan bahwa platform mereka bebas dari ancaman yang dapat merugikan anak, seperti eksploitasi data atau konten negatif.

Cara Mengimplementasikan PP TUNAS di Organisasi

Para ahli di bidang pelindungan data pribadi, seperti konsultan PDP, memainkan peran penting dalam membantu organisasi dan penyelenggara sistem elektronik untuk mematuhi ketentuan yang diatur dalam PP TUNAS dan UU PDP. Mereka berperan dalam mengidentifikasi potensi risiko terkait pengelolaan data pribadi anak, serta memastikan bahwa kebijakan, prosedur, dan sistem yang diterapkan oleh perusahaan atau organisasi sesuai dengan regulasi yang berlaku.

Adapun action plan yang perlu dilakukan dalam rangka implementasi ketentuan tersebut antara lain sebagai berikut:

1. Menyusun Kebijakan Pelindungan Data Anak
   Membantu organisasi untuk menyusun kebijakan yang memadai terkait pengelolaan dan pelindungan data anak, termasuk penilaian risiko dan mekanisme persetujuan orang tua.
2. Audit Kepatuhan
   Melakukan audit secara menyeluruh terhadap pengelolaan data anak di organisasi, memastikan bahwa semua kebijakan dan prosedur yang diterapkan sesuai dengan ketentuan dalam PP TUNAS dan UU PDP.
3. Pelatihan dan Edukasi
   Memberikan pelatihan kepada pegawai dan pihak terkait mengenai pentingnya pelindungan data anak serta bagaimana menjaga keamanan data anak-anak yang ada di dalam sistem organisasi.
4. Mengelola Risiko Kebocoran Data
   Merancang strategi manajemen risiko untuk mengurangi potensi kebocoran data pribadi anak, termasuk memilih teknologi yang tepat untuk menjaga data tetap aman.

Sektor Industri yang Wajib Patuh pada PP TUNAS

Penerapan PP TUNAS membawa dampak signifikan terhadap berbagai industri, khususnya yang berinteraksi langsung dengan anak-anak atau mengelola data pribadi anak dalam layanan digital. Regulasi ini mewajibkan setiap penyelenggara sistem elektronik yang melibatkan anak sebagai pengguna untuk menerapkan standar pelindungan data yang lebih ketat dan bertanggung jawab. Berikut adalah beberapa sektor industri yang terdampak langsung oleh PP TUNAS:

1. Industri Teknologi dan Platform Digital

   Platform media sosial, aplikasi mobile, game online, dan e-commerce yang melibatkan anak-anak harus memastikan bahwa data pribadi anak dilindungi dengan baik. Mereka harus mendapatkan persetujuan eksplisit dari orang tua untuk mengumpulkan dan memproses data pribadi anak-anak.

2. Industri Pendidikan dan Layanan Edukasi Online

   Platform pembelajaran daring yang digunakan oleh anak-anak harus mematuhi standar pelindungan data yang ketat. Ini termasuk aplikasi pembelajaran, sekolah, dan lembaga pendidikan yang mengumpulkan data pribadi siswa.

3. Industri Kesehatan

   Layanan kesehatan yang melibatkan anak-anak dan mengumpulkan data medis mereka juga wajib mematuhi PP TUNAS dan UU PDP. Aplikasi kesehatan untuk anak, rumah sakit, dan klinik yang mengelola data medis anak harus menjaga kerahasiaan dan keamanan data tersebut.

4. Industri Periklanan dan Pemasaran Digital

   Perusahaan yang menjalankan iklan digital untuk anak-anak atau mengumpulkan data perilaku anak-anak untuk tujuan pemasaran harus mematuhi regulasi ini untuk menghindari penyalahgunaan data anak.

5. Industri Keuangan dan Perbankan Digital

   Aplikasi pembayaran atau perbankan digital yang digunakan oleh anak-anak juga harus mematuhi PP TUNAS, untuk memastikan bahwa data keuangan dan pribadi anak dilindungi dengan baik.

6. Industri Hiburan dan Media

   Platform hiburan dan media yang menyajikan konten untuk anak-anak, seperti layanan streaming video dan penyedia konten hiburan anak, juga wajib menjaga data pribadi anak-anak yang mengakses layanan mereka.

7. Industri Transportasi dan Layanan Pengiriman
   

   Industri transportasi yang mengangkut anak-anak, seperti layanan transportasi online yang melayani anak-anak, kereta api, dan pesawat, harus memastikan pelindungan data pribadi anak-anak yang terlibat dalam layanan mereka.

Kesimpulan: PP TUNAS dan Masa Depan Data Anak Digital

PP TUNAS memberikan tingkat pelindungan yang lebih kuat bagi anak-anak di Indonesia dalam era digital, dengan menetapkan pengaturan yang ketat terhadap pengelolaan data pribadi anak. Dalam konteks ini, peran expert/ tenaga ahli seperti konsultan Pelindungan Data Pribadi (PDP) menjadi sangat penting untuk memastikan bahwa setiap organisasi mematuhi ketentuan regulasi dan melindungi data anak secara aman dan sesuai hukum. Dengan hadirnya regulasi ini, diharapkan dapat tercipta ekosistem digital yang lebih aman, bertanggung jawab, dan ramah anak di Indonesia.

Jika Anda ingin mulai menyusun dan mengembangkan kerangka kerja Pelindungan Data Pribadi di organisasi agar siap menghadapi tantangan era digital, kami dapat membantu Anda. Hubungi Robere & Associates (Indonesia) melalui 0811-9555-476 dan bangun tata kelola yang adaptif dan berkelanjutan.

Dalam beberapa tahun terakhir, pemanfaatan teknologi Artificial Intelligence (AI) telah berkembang pesat di berbagai sektor industri. Mulai dari layanan pelanggan hingga otomasi proses manufaktur, AI menjadi simbol efisiensi, kecepatan, dan kecerdasan berbasis data. Tak terkecuali dalam ranah Governance, Risk, and Compliance (GRC)—sebuah pendekatan terpadu yang menjadi fondasi organisasi dalam mencapai tujuan secara etis, patuh hukum, dan terukur risikonya.

Namun demikian, meskipun AI menawarkan potensi luar biasa dalam memperkuat sistem GRC, ada satu prinsip dasar yang tidak boleh diabaikan: AI hanyalah alat bantu. Tata kelola, manajemen risiko, dan kepatuhan tetap membutuhkan pedoman yang kokoh serta pengambilan keputusan manusia yang didasarkan pada nilai dan pengalaman.

Apa Itu GRC dan Mengapa Perlu AI?

GRC merupakan kerangka kerja terintegrasi yang mencakup:

• Governance: Mengarahkan dan mengendalikan organisasi agar selaras dengan visi, misi, dan nilai-nilai inti.
• Risk Management: Mengidentifikasi, menilai, dan merespons berbagai jenis risiko yang dapat menghambat pencapaian tujuan organisasi.
• Compliance: Memastikan bahwa organisasi mematuhi hukum, peraturan, standar industri, dan kebijakan internal.

Seiring meningkatnya volume data dan kompleksitas regulasi, pendekatan tradisional dalam GRC—yang masih bergantung pada spreadsheet, email, dan proses manual—menjadi semakin tidak memadai. Di sinilah peran AI hadir: bukan untuk menggantikan manusia, tetapi untuk melengkapi dan meningkatkan efektivitas sistem GRC secara signifikan.

Manfaat Strategis AI dalam GRC

1. Automated Governance Insight

Dengan kemampuan Natural Language Processing (NLP), AI dapat menelusuri ribuan dokumen kebijakan dan memberikan rekomendasi penyelarasan terhadap standar seperti ISO 37000, OECD, maupun regulasi nasional yang berlaku sehingga dapat memperkaya tata kelola yang ada.

2. Risk Management Berbasis Data Real-Time

AI dapat memproses dan menganalisis data transaksi, perilaku pengguna, hingga tren pasar untuk mengidentifikasi potensi risiko secara proaktif. Misalnya:

• Prediksi gangguan proses bisnis
• Identifikasi pelanggaran keamanan siber
• Analisis probabilitas risiko proyek

AI juga memungkinkan pembobotan risiko secara otomatis, berdasarkan parameter dinamis, seperti jumlah kejadian, eskalasi, dan dampak bisnis.

3. Pemantauan Kepatuhan secara Otomatis

Melalui integrasi AI dan Robotic Process Automation (RPA), perusahaan dapat:

• Memantau aktivitas yang melanggar kebijakan internal secara otomatis
• Memastikan kesesuaian terhadap regulasi seperti UU PDP, ISO/IEC 27001, 27701, hingga GDPR
• Mengotomatiskan laporan compliance dan audit trail

AI adalah Alat bantu, Bukan Pengambil Keputusan

Meski AI mampu melakukan analisis secara cepat dan masif, AI tidak memiliki nilai moral, etika, atau intuisi manusia. Oleh karena itu, organisasi tidak boleh bergantung sepenuhnya pada AI tanpa fondasi tata kelola yang kuat.

Mengapa Tetap Butuh Pedoman?

AI hanya akan seakurat dan seaman data serta pedoman yang digunakan untuk melatihnya. Tanpa kebijakan yang terstruktur dan dikaji secara manusiawi:

• AI bisa mendeteksi false positive yang merugikan pengguna
• Sistem menjadi bias karena data historis yang tersedia tidak akurat, tidak netral atau bias
• Risiko pelanggaran privasi dan etika meningkat

Maka, Pedoman GRC berbasis manusia tetap menjadi rujukan utama dalam mengevaluasi hasil kerja AI—mulai dari kebijakan risk appetite, kerangka pengendalian internal, hingga standar etika organisasi.

Peran Vital Konsultan GRC dalam Era AI

Agar AI dapat diimplementasikan secara optimal dalam GRC, organisasi perlu menggandeng konsultan GRC yang memahami tiga aspek penting:

1. Kepatuhan terhadap regulasi lokal dan internasional: Misalnya, UU Pelindungan Data Pribadi (UU PDP), ISO 37301, atau peraturan OJK.
2. Tata kelola berbasis nilai organisasi: AI dapat menyediakan data, namun hanya manusia yang dapat menilai berdasarkan budaya, etika, dan arah strategis organisasi.
3. Struktur dan kerangka kerja implementasi AI dalam GRC: Konsultan berperan dalam menyusun kebijakan, mekanisme pengawasan, dan model audit berbasis AI yang efektif dan aman.

Tantangan Implementasi dan Mitigasinya

Transformasi GRC: Inovatif, Adaptif, dan Human-Centered

Implementasi GRC berbasis AI tidak berarti meninggalkan prinsip-prinsip tata kelola yang fundamental. Sebaliknya, AI memperkuat GRC—selama arah, pengawasan, dan evaluasi tetap berada di tangan manusia.

AI memungkinkan deteksi risiko dalam hitungan detik, namun manusia yang menentukan apakah risiko tersebut layak ditindaklanjuti. AI bisa mendeteksi pelanggaran, namun hanya manusia yang bisa menilai konteks dan implikasinya.

Kesimpulan

AI telah membuka babak baru dalam praktik Governance, Risk & Compliance. Namun, keberhasilan implementasinya sangat bergantung pada satu hal krusial: keberadaan pedoman, kebijakan, dan manusia yang tetap memegang kendali.

Oleh karena itu:

• Organisasi perlu menyusun framework GRC yang baik terlebih dahulu, sebelum mengintegrasikan AI sebagai alat bantu.
• Libatkan konsultan GRC untuk memastikan kebijakan dan sistem AI sejalan dengan konteks organisasi dan regulasi yang berlaku.
• Tetap menjaga keseimbangan antara efisiensi teknologi dan nilai-nilai tata kelola yang manusiawi.

AI bukan pengganti GRC, tetapi enabler dalam menuju GRC yang lebih efektif, resilience, dan berkelanjutan.

Jika Anda ingin mulai menyusun dan mengembangkan kerangka kerja GRC di organisasi agar siap menghadapi tantangan era digital, kami dapat membantu Anda. Hubungi Robere & Associates (Indonesia) melalui 0811-9555-476 dan bangun tata kelola yang adaptif dan berkelanjutan.

Mutu layanan merupakan kunci utama dalam memenangkan persaingan bisnis di era modern yang sangat kompetitif. Organisasi yang mampu menjaga kualitas layanan secara konsisten akan lebih mudah meraih kepercayaan pelanggan dan meningkatkan daya saing. Salah satu cara paling efektif untuk menjamin dan menjaga mutu layanan adalah dengan menerapkan standar internasional ISO 9001:2015. Standar ini tidak hanya mengatur perencanaan dan pengendalian proses, tetapi juga mengedepankan sistem yang dapat mengidentifikasi dan menangani ketidaksesuaian secara menyeluruh dan berkesinambungan.

ISO 9001 dan Pentingnya Mutu dalam Operasional

Menurut Deming (1986), mutu harus menjadi bagian dari setiap proses dalam organisasi. Tantangan operasional seperti keterlambatan layanan, produk cacat, komplain pelanggan, hingga ketidaksesuaian dari pihak ketiga bisa terjadi kapan saja. Untuk menanggulanginya secara sistematis, ISO 9001:2015 memberikan pendekatan berbasis proses (process-based approach) sebagai fondasi operasional utama. Standar ini tidak hanya bersifat reaktif terhadap masalah, tetapi juga proaktif dalam mencegah terjadinya kegagalan mutu.

Dengan mengacu pada ISO 9001, organisasi dapat menjalankan proses layanan yang terstruktur, terdokumentasi, dan dapat dimonitor secara konsisten. Fokusnya adalah pada peningkatan mutu berkelanjutan melalui pengendalian internal, pemenuhan kebutuhan pelanggan secara tepat, validasi desain, dan pengelolaan risiko pada seluruh siklus layanan. Proses ini juga mencakup pengawasan terhadap pihak eksternal seperti vendor dan mitra, memastikan keluaran layanan yang sesuai spesifikasi, dan pelaksanaan tindakan korektif ketika terjadi ketidaksesuaian.

Studi Kasus: Apple dan Penerapan ISO 9001 dalam Mutu Layanan

Apple Inc. dikenal sebagai pemimpin dalam inovasi teknologi, tetapi di balik itu, keberhasilan mereka tidak lepas dari sistem manajemen mutu yang solid dan komprehensif. Apple memperoleh sertifikasi ISO 9001:2015 pada 16 Juli 2020, dan ini menjadi bukti nyata bahwa mereka mengutamakan mutu tidak hanya sebagai hasil akhir, melainkan sebagai proses yang terencana, dikendalikan, dan terus disempurnakan.

Berikut ini adalah tahapan pengendalian mutu berdasarkan ISO 9001 yang diterapkan oleh Apple dalam menjamin kualitas produk dan layanannya:

Perencanaan dan Pengendalian Operasi

Apple merancang setiap produknya secara menyeluruh, mulai dari estetika hingga operasional. Sebelum meluncurkan produk seperti iPhone atau MacBook ke pasar global, mereka menyusun rencana manufaktur lintas negara, mengelola logistik, hingga distribusi secara akurat menggunakan sistem ERP dan SCM canggih. Hal ini memastikan setiap perangkat tiba di tangan pelanggan dalam kondisi sempurna, tepat waktu, dan sesuai ekspektasi kualitas.

Menetapkan Persyaratan Produk dan Jasa

Apple secara aktif mengumpulkan data pelanggan melalui survei, forum diskusi, dan pemantauan perilaku pengguna. Data ini diterjemahkan menjadi spesifikasi teknis yang terstruktur. Contohnya, fitur Face ID dan Dynamic Island bukan hanya hasil inovasi, tetapi merupakan tanggapan terhadap kebutuhan pengguna yang spesifik, menggabungkan aspek kenyamanan, keamanan, dan efisiensi dalam satu teknologi.

Desain dan Pengembangan Produk dan Jasa

Setiap pengembangan produk Apple diawali dengan tahapan riset mendalam dan penerapan teknik Design Failure Mode and Effects Analysis (DFMEA) untuk mengantisipasi potensi kegagalan sejak awal desain. Prototipe diuji melalui simulasi ekstrem, uji ketahanan, dan validasi teknis maupun pengalaman pengguna agar produk benar-benar sesuai standar desain awal.

Pengendalian Produk dan Jasa yang Disediakan Eksternal

Apple menggandeng pemasok kelas dunia seperti Foxconn, TSMC, dan LG dalam menyediakan komponen utama. Namun, mereka menerapkan audit rutin, evaluasi vendor, dan Service Level Agreement (SLA) yang ketat. Apabila ditemukan satu komponen tidak sesuai spesifikasi, Apple dapat menolak seluruh batch produksi untuk memastikan kualitas produk akhir tidak terganggu.

Memastikan Produksi dan Penyediaan Jasa

Apple menggabungkan otomatisasi industri dan kontrol manual dalam proses produksinya. Sistem traceability memungkinkan pelacakan setiap komponen dari pemasok, waktu pemasangan, hingga petugas yang bertanggung jawab. Perubahan proses produksi pun hanya dapat dilakukan jika telah lolos evaluasi mutu dan telah disetujui oleh tim QA/RA.

Quality Assurance (QA) di ISO 9001

Proses QA Apple mencakup inspeksi akhir (final inspection) secara menyeluruh sebelum produk dirilis ke pasar. Pengujian fungsional dan visual dilakukan untuk setiap unit. Hasil pengujian didokumentasikan, dan hanya produk yang lolos seluruh kriteria yang dikirim ke konsumen. Dengan langkah ini, Apple meminimalkan potensi cacat produk di pasar.

Pengendalian Output yang Tidak Sesuai

Jika ditemukan masalah di pasar, Apple merespons dengan cepat melalui program recall atau perbaikan gratis. Contohnya adalah program penggantian baterai iPhone secara global saat ditemukan masalah penurunan performa. Apple tidak hanya menyelesaikan masalah saat ini, tetapi juga mencari akar penyebab (root cause) dan menerapkan tindakan korektif berkelanjutan agar kesalahan serupa tidak terulang.

Kesimpulan

ISO 9001:2015 bukan hanya sekadar sertifikasi, tetapi merupakan kerangka kerja manajemen mutu yang mampu menjaga kualitas layanan dan meningkatkan efisiensi operasional secara berkelanjutan. Dari tahapan perencanaan hingga pengendalian ketidaksesuaian, setiap elemen dalam sistem manajemen mutu ini berkontribusi terhadap kepuasan pelanggan dan daya saing organisasi.

Penerapan ISO 9001 memberikan keunggulan kompetitif melalui sistem yang mendukung identifikasi risiko, evaluasi proses, dan perbaikan berkelanjutan. Mutu adalah strategi, bukan beban administratif. Oleh karena itu, organisasi yang ingin unggul harus mulai menanamkan budaya mutu berbasis ISO 9001 dalam setiap lini bisnis mereka. Perusahaan Anda pun bisa memetik manfaat yang sama dengan komitmen tinggi terhadap mutu dan kesempurnaan layanan.

Ditulis Oleh, Jessika Ginting – Team Leader GRC Robere & Associate (Indonesia)

---

Bagi anda yang ingin berdiskusi lebih lanjut dan menggali informasi terkini tentang manajemen mutu organisasi berdasarkan ISO 9001, Robere & Associates siap membantu. Hubungi kami sekarang!

Dalam dunia bisnis yang semakin kompleks, tata kelola perusahaan menjadi faktor kunci dalam keberlanjutan organisasi. Studi empiris Gompers, Ishii, dan Metrick (2003) menunjukkan bahwa perusahaan dengan tata kelola yang kuat memiliki kinerja keuangan lebih baik dan risiko lebih rendah. Temuan mereka menunjukan bahwa Perusahaan dengan tata Kelola yang baik lebih dihargai investor, Manajemen lebih bertanggung jawab dalam pengambilan Keputusan bisnis dan Risiko keuangan serta operasional dapat dikelola secara efektif.

ISO 37000, merupakan standar internasional untuk tata kelola organisasi, memberikan panduan bagi perusahaan dalam menerapkan tata kelola yang efektif. Standar ini dirancang untuk membantu organisasi dari berbagai jenis, ukuran, Lokasi, dan struktur dalam mencapai tujuan mereka secara berkelanjutan, etis, dan bertanggung jawab.

Struktur Tata Kelola Perusahaan berdasarkan ISO 37000

ISO 37000 menetapkan prinsip utama, prinsip dasar, dan prinsip tata kelola pemampu yang membentuk kerangka tata kelola organisasi untuk menghasilkan perilaku etis, komitmen dalam melakukan pengelolaan tugas dan tanggung jawab serta kinerja efektif, yang pada akhirnya memberikan manfaat bagi perusahaan.

Prinsip Utama (Tujuan)

Perusahaan harus memiliki visi, misi, dan tujuan yang jelas serta selaras dengan kepentingan pemangku kepentingan, yang tidak hanya berorientasi pada keuntungan, tetapi juga memperhitungkan dampak sosaial dan lingkungan. Pengembangan dalam konteks ini mencakup

• Penyusunan Visi, Misi dan nilai organisasi yang sejalan dengan prinsip keberlanjutan.
• Identifikasi dan pengelolaan risiko serta peluang yang terkait dengan pencapaian tujuan organisasi.
• Penyelarasan strategi organisasi dengan harapan pemangku kepentingan.

Prinsip Dasar

Sebagai landasan yang kokoh, prinsip ini mendukung pencapaian tujuan organisasi secara berkelanjutan.

1. Value Creation
   Menghasilkan nilai bagi pemegang saham dan pemangku kepentingan lainnya melalui inovasi, pertumbuhan, dan keberlanjutan.
2. Strategy
   Strategi perusahaan harus selaras dengan kepentingan pemangku kepentingan dan prinsip keberlanjutan.
3. Oversight
   Mekanisme pengawasan yang kuat untuk memastikan efektivitas implementasi tata kelola.
4. Accountability
   Menjamin bahwa pengambilan keputusan dilakukan secara transparan dan bertanggung jawab.

Prinsip Pemampu

Ini merupakan prinsip yang mendukung implementasi tata kelola yang efektif.

1. Responsible Leadership
   Top manajemen harus memastikan transparansi dan akuntabilitas dalam operasional perusahaan.
2. Ethic and Integrity
   Organisasi harus menerapkan nilai-nilai etika dalam setiap aspek operasionalnya untuk menjaga reputasi dan kepercayaan publik.
3. Opennes and Transparency
   Menyediakan informasi yang relevan bagi pemangku kepentingan untuk pengambilan keputusan yang lebih baik.
4. Risk Management and Compliance
   Mengelola risiko secara efektif dan memastikan kepatuhan terhadap regulasi yang berlaku.
5. Sustainability
   Mempertimbangkan dampak ekonomi, sosial, dan lingkungan dalam pengambilan keputusan.

Hasil Keluaran Tata Kelola Perusahaan

Penerapan prinsip dasar dan prinsip pemampu dalam tata kelola organisasi memastikan bahwa setiap keputusan dan tindakan selaras dengan nilai keberlanjutan, transparansi, dan akuntabilitas. Dengan fondasi yang kuat melalui Value Creation, Strategy, Oversight, dan Accountability, serta dukungan dari Responsible Leadership, Ethics and Integrity, Openness and Transparency, Risk Management and Compliance, dan Sustainability, organisasi dapat beroperasi secara berkelanjutan, bertanggung jawab, serta memiliki arah yang jelas dalam mencapai tujuan jangka panjang. Hal ini menghasilkan dampak positif yaitu:

1. Organisasi memiliki arah yang jelas dalam mencapai tujuan jangka panjang.
2. Organisasi beroperasi secara berkelanjutan dan bertanggung jawab.
3. Akuntabilitas yang lebih baik dalam pengelolaan organisasi.
4. Komitmen dalam melakukan tugas dan tanggung jawab dalam organisasi.
5. Perilaku etis dalam seluruh aspek operasional.
6. Akuntabilitas yang lebih tinggi dan pengambilan keputusan yang berbasis data.
7. Organisasi yang lebih siap menghadapi tantangan dan perubahan lingkungan bisnis.
8. Operasi yang bertanggung jawab terhadap lingkungan dan masyarakat.

Manfaat Tata Kelola Perusahaan

1. Meningkatkan kepercayaan pemangku kepentingan, daya saing, reputasi perusahaan, nilai pasar perusahaan, efisiensi operasional, hubungan dengan investor dan mitra bisnis, efisiensi dalam pengambilan keputusan, kepercayaan pelanggan & mitra bisnis dan citra positif perusahaan,
2. Memastikan keberlanjutan bisnis, pertumbuhan jangka panjang, perusahaan dikelola secara profesional, kepatuhan terhadap regulasi yang berlaku, dan keberlanjutan bisnis jangka panjang,
3. Mengurangi risiko bisnis & kepatuhan serta potensi kerugian akibat risiko yang tidak terkelola
4. Menghindari skandal atau pelanggaran etika, sanksi hukum & denda serta potensi risiko hukum
5. Mempermudah akses ke sumber pendanaan dan investasi.
6. Menarik lebih banyak investor yang peduli terhadap keberlanjutan (Sustainability).

Kesimpulan

ISO 37000 memberikan kerangka kerja komprehensif untuk tata kelola organisasi yang efektif. Dengan menerapkan prinsip utama, prinsip dasar, dan prinsip pemampu, perusahaan dapat mencapai perilaku etis, komitmen dalam melakukan tugas dan tanggung jawab, serta kinerja yang efektif. Hal ini akan memberikan berbagai manfaat, termasuk meningkatkan kepercayaan pemangku kepentingan, mengurangi risiko bisnis, meningkatkan efisiensi operasional, serta memastikan kepatuhan dan keberlanjutan jangka panjang.

Ditulis Oleh, Firmansyah Lubis – Consultant GRC Robere & Associate (Indonesia)

---

Bagi anda yang ingin berdiskusi lebih lanjut dan menggali informasi terkini tentang tata kelola perusahaan berdasarkan ISO 37000, Robere & Associates siap membantu. Hubungi kami sekarang!

ISO 37001:2025 adalah versi terbaru dari sistem manajemen anti-penyuapan yang berfokus pada pembentukan budaya integritas, transparansi, keterbukaan, dan kepatuhan. Dalam artikel ini, kami akan membahas pembaruan utama dalam ISO 37001:2025 serta dampaknya terhadap organisasi yang menerapkan standar ini. Pembaruan ini bertujuan untuk meningkatkan efektivitas sistem manajemen anti-penyuapan dan memastikan kepatuhan terhadap regulasi yang berlaku.

ISO 37001:2025: Sistem Manajemen Anti-Penyuapan yang Efektif

ISO 37001 adalah sistem manajemen anti-penyuapan yang bertujuan untuk melindungi organisasi dari praktik penyuapan dengan cara yang terstruktur dan terukur. ISO 37001:2025 berfokus pada pembentukan budaya integritas dan transparansi melalui beberapa elemen kunci berikut:

1. Proportional Procedure
   Kebijakan dan prosedur yang digunakan dalam implementasi sistem manajemen anti-penyuapan harus proporsional dengan risiko yang dihadapi oleh organisasi. Hal ini bertujuan untuk memastikan bahwa langkah-langkah yang diambil sesuai dengan tingkat risiko penyuapan yang ada.
2. Communication
   Komunikasi yang jelas dan efektif antara pihak internal dan eksternal sangat penting untuk memastikan pemahaman yang sama serta penerimaan terhadap kebijakan anti-penyuapan yang diterapkan. Hal ini akan memperkuat penerapan sistem di seluruh level organisasi.
3. Monitoring & Review
   Pemantauan dan review berkala terhadap sistem manajemen anti-penyuapan yang diterapkan sangat penting untuk mengetahui keefektifan kebijakan yang ada dan memastikan bahwa sistem tetap relevan dan efisien dalam mengatasi potensi penyuapan.
4. Risk Assessment
   Organisasi perlu memiliki kesadaran penuh terhadap risiko yang mungkin timbul terkait penyuapan. Penilaian risiko yang cermat akan membantu organisasi untuk melakukan mitigasi yang tepat dan meminimalkan dampak negatif yang dapat timbul.
5. Due Diligence
   Proses due diligence perlu dilakukan untuk mengkaji lebih dalam terhadap proses atau pihak yang memiliki tingkat risiko penyuapan yang tinggi, guna mengidentifikasi dan menangani potensi ancaman yang ada.
6. Top Level Commitment
   Komitmen dari pimpinan organisasi sangat penting sebagai role model dalam penerapan sistem manajemen anti-penyuapan. Pimpinan harus memastikan bahwa semua personel di dalam organisasi berperan aktif dalam mendukung kebijakan anti-penyuapan dan memastikan keberlanjutan program ini.

Perubahan Penting dalam ISO 37001:2025

Dengan diluncurkannya ISO 37001:2025, beberapa perubahan penting telah diperkenalkan untuk menyempurnakan sistem manajemen anti-penyuapan. Berikut adalah pembaruan yang perlu diperhatikan:

1. Governing Body Tidak Lagi Bersifat Opsional
   Governing Body atau dewan pengarah bersama-sama dengan pimpinan organisasi kini diwajibkan untuk terlibat dan mendukung komitmen anti-penyuapan di seluruh organisasi. Organisasi harus memastikan bahwa pimpinan memainkan peran utama dalam mempromosikan Kebijakan anti-penyuapan.
2. Pengembangan Budaya Anti-Penyuapan
   Organisasi diwajibkan untuk mengembangkan, memelihara, dan mempromosikan budaya anti-penyuapan di semua level organisasi, memastikan bahwa semua pihak memahami pentingnya integritas dan kepatuhan terhadap kebijakan anti-penyuapan.
3. Perubahan Sistem Manajemen Anti-Penyuapan Secara Terencana
   Ketika organisasi menentukan kebutuhan untuk melakukan perubahan dalam sistem manajemen anti-penyuapan, perubahan tersebut harus dilakukan dengan cara yang terencana untuk memastikan efektivitas berkelanjutan dari sistem tersebut.
4. Kesadaran Personel Terhadap Konflik Kepentingan
   Personel harus diberi pemahaman mengenai pentingnya melaporkan potensi dan konflik kepentingan yang ada, guna memastikan transparansi dan kepatuhan terhadap kebijakan anti-penyuapan.
5. Pelatihan bagi Personel dan Mitra Bisnis
   Organisasi harus memastikan bahwa personel dan mitra bisnis menyadari tanggung jawab mereka dalam sistem manajemen anti-penyuapan yang diterapkan, serta memastikan bahwa mereka mematuhi standar yang ditetapkan dengan menyediakan sarana pelatihan yang dapat meningkatkan pengetahuan mereka terkait dengan Sistem Manajemen Anti Penyuapan.

Dampak Pembaruan bagi Organisasi

Dengan pembaruan-pembaruan dalam ISO 37001:2025, organisasi akan merasakan berbagai manfaat:

• Kemudahan Implementasi: Dengan penyusunan yang lebih efisien dan penggabungan kontrol yang lebih sederhana, organisasi dapat lebih mudah mengimplementasikan sistem manajemen anti-penyuapan tanpa mengorbankan efektivitasnya.
• Kepatuhan yang Lebih Baik: Fokus pada kepatuhan terhadap regulasi dan keterlibatan pemangku kepentingan akan memastikan bahwa kebijakan anti-penyuapan tidak hanya dipatuhi oleh internal organisasi, tetapi juga oleh mitra dan pihak ketiga yang berinteraksi dengan organisasi.
• Peningkatan Transparansi: Pembaruan ini juga memperkuat mekanisme pelaporan, sehingga meningkatkan transparansi dan akuntabilitas organisasi dalam menangani isu-isu terkait penyuapan.

Keuntungan Penerapan Sistem Manajemen Anti-Penyuapan untuk Organisasi Anda

ISO 37001:2025 memberikan dasar yang lebih solid bagi organisasi untuk mengelola risiko penyuapan dan mencapai tata kelola yang lebih baik. Dengan pembaruan yang lebih sederhana dan terfokus, standar ini memastikan organisasi dapat lebih mudah diakses dan diterapkan, baik oleh yang baru pertama kali mengimplementasikan standar ini maupun yang sudah mengadopsi ISO 37001 sebelumnya.

Jika organisasi Anda ingin memperkuat sistem manajemen anti-penyuapan, ISO 37001:2025 adalah langkah yang tepat. Implementasi yang efektif akan membantu meningkatkan integritas, transparansi, dan kepatuhan di seluruh aspek operasi bisnis Anda.

---

Siap Beralih ke ISO 37001:2025? Kami Siap Membantu Anda!

Kami di Robere & Associates (Indonesia) siap membantu Anda dalam proses implementasi dan transisi yang cepat dan efisien ke ISO 37001:2025. Dapatkan dukungan penuh untuk memastikan sistem anti-penyuapan Anda sesuai dengan standar terbaru.

Hubungi Kami Sekarang melalui WhatsApp Robere untuk Program Transisi ISO 37001:2025!

Pernahkah Anda membeli gorengan dan terkejut ketika mendapati bungkusnya menggunakan dokumen penting seperti ijazah, kartu keluarga, atau bahkan dokumen penting lainnya? Situasi seperti ini mungkin dapat membuat Anda tersenyum, sekaligus mengingatkan kita tentang betapa pentingnya pengelolaan arsip yang baik. Tanpa pengelolaan yang baik, dokumen berharga yang Anda kelola dapat berakhir pada tempat yang tak terduga.

Pengelolaan arsip yang efektif merupakan komponen penting dalam mendukung keberlangsungan suatu organisasi dalam menjalankan proses bisnis. Arsip tidak hanya berfungsi sebagai bukti kegiatan bisnis, tetapi juga sebagai aset informasi strategis yang dapat mendukung efisiensi, akuntabilitas, dan keberlanjutan bisnis apabila dikelola dengan baik.

Untuk memastikan pengelolaan arsip yang optimal, organisasi dapat merujuk pada standar internasional seperti ISO 30301:2019 dan ISO 15489:2016, yang memberikan pedoman serta kerangka kerja untuk manajemen arsip yang sesuai dengan kebutuhan organisasi.

Apa itu ISO 30301:2019?

ISO 30301:2019 adalah standar internasional tentang Sistem Manajemen Arsip (Management System for Records). Standar ini berisi persyaratan yang dapat membantu organisasi dalam merancang, mengimplementasikan, mengelola sistem manajemen arsip secara efektif dan efisien.

Langkah-Langkah Implementasi ISO 30301:2019

Dalam implementasi ISO 30301, Organisasi perlu menyusun kebijakan dalam pengelolaan arsip, dimulai dari:

• Komitmen dari manajemen puncak yang dituangkan dalam kebijakan arsip;
• Penyediaan sumber daya yang diperlukan dalam penerapan sistem manajemen arsip, diantaranya namun tidak terbatas pada manusia, infrastruktur, keuangan, dan sumber daya lainnya tersedia;
• Penetapan kebijakan pengelolaan arsip;
• Penyediaan sistem arsip untuk mendukung pengelolaan arsip; serta
• Evaluasi atas kinerja sistem manajemen arsip untuk memastikan sistem manajemen arsip dapat di implementasi kan secara efektif dan efisien.

Apa Itu ISO 15489:2016?

Berbeda dengan ISO 30301 yang merupakan standar dari Sistem Manajemen Arsip, ISO 15489:2016 adalah panduan dalam pengelolaan arsip di Organisasi yang mencakup proses penciptaan, penyimpanan, peminjaman/ penggunaan, pemeliharaan, hingga penyusutan.

Aspek Penting dalam ISO 15489:2016

1. Penciptaan Arsip

Organisasi perlu memastikan bahwa arsip yang diciptakan memiliki karakteristik otentik, andal, memiliki integritas. Penciptaan arsip di setiap organisasi dapat mengacu pada ketentuan tata naskah dinas yang berlaku.

2. Pemberkasan Arsip

Organisasi perlu memastikan bahwa arsip yang telah diciptakan dikelompokkan sesuai dengan perihal arsip, diberi identifikasi arsip yang menggambarkan isi arsip, serta diberi klasifikasi arsip sesuai dengan isi arsip.

3.Penyimpanan Arsip

Organisasi perlu memastikan bahwa arsip disimpan pada sarana simpan dan ruang simpan arsip yang memadai, yang dapat memastikan arsip tetap dapat dibaca selama masa penyimpanan.

4. Disposisi Arsip

Disposisi Arsip harus dilaksanakan sesuai dengan ketentuan klasifikasi dan jadwal retensi arsip, serta dengan metode disposisi arsip yang sesuai.

Aspek Kunci dalam Implementasi Manajemen Arsip

Implementasi standar ISO 30301 dan ISO 15489 memerlukan perhatian khusus pada berbagai aspek untuk memastikan manajemen arsip yang efektif dan efisien. Kedua standar ini memberikan kerangka kerja yang komprehensif untuk pengelolaan arsip, baik dari segi sistem manajemen maupun praktik pada kegiatan operasional. Adapun beberapa aspek yang perlu diperhatikan dalam implementasi kedua standar ini adalah:

1. Kepemimpinan dan Komitmen

Manajemen puncak harus menunjukkan dukungan penuh dengan menetapkan kebijakan arsip, memastikan ketersediaan sumber daya yang dibutuhkan, dan mempromosikan pentingnya manajemen arsip.

2. Kebijakan dan Sasaran

Organisasi harus menentukan kebijakan arsip yang jelas dan sasaran yang terukur untuk memastikan semua kegiatan arsip selaras dengan tujuan bisnis dan kebutuhan operasional.

3. Penetapan Klasifikasi dan Jangka Retensi Arsip

Organisasi harus menetapkan klasifikasi dan jangka retensi arsip sebagai panduan organisasi dalam pengelolaan dan penyimpanan arsip.

4. Pengelolaan Arsip

Arsip harus dikelola dari penciptaan hingga disposisi, termasuk pemberkasan dan pengklasifikasian, penyimpanan, pemeliharaan, dan pemusnahan arsip.

5. Evaluasi Kinerja

Melakukan evaluasi secara berkala terhadap implementasi sistem manajemen arsip melalui audit internal dan tinjauan manajemen untuk memastikan efektivitas dan kesesuaian dengan standar.

Manfaat Penerapan ISO 30301 dan ISO 15489 bagi Organisasi

Penerapan standar ISO 30301 dan ISO 15489 dapat memberikan berbagai manfaat strategis bagi organisasi diantaranya mengurangi risiko kehilangan informasi penting yang dibutuhkan oleh organisasi dan memastikan arsip dikelola sesuai dengan peraturan dan persyaratan yang berlaku baik secara nasional maupun internasional.

Melalui penerapan standar internasional seperti ISO 30301:2019 dan ISO 15489:2016, organisasi dapat memastikan bahwa arsip dikelola secara sistematis dan terstruktur. Dengan mengadopsi praktik-praktik terbaik pada kedua standar ini, Organisasi tidak hanya melindungi aset informasinya, tetapi juga meningkatkan efisiensi, akuntabilitas, dan daya saing dalam jangka panjang. Oleh karena itu, manajemen kearsipan yang baik harus menjadi bagian dari strategi organisasi untuk mencapai tujuan bisnis yang berkelanjutan.

Ditulis Oleh, Satrio Adhi Pradana – Lead Consultant GRC Robere & Associates (Indonesia), 2025

---

Bagi anda yang ingin berdiskusi lebih lanjut dan menggali informasi terkini tentang sistem manajemen arsip berdasarkan ISO 30301 & ISO 15489, Robere & Associates siap membantu. Hubungi kami sekarang!

Aset merupakan salah satu pilar penting bagi Perusahaan untuk dapat menjalankan proses bisnis yang optimal dan bersaing dengan Perusahaan lainnya. Banyak Perusahaan yang tidak optimal dalam mengelola aset yang dimiliki, sehingga menghambat proses pertumbuhan yang telah direncanakan sebelumnya. Salah satu penyebab utamanya adalah proses inventarisasi aset yang tidak dilakukan secara transparan dan optimal.

Apa Itu Inventarisasi Aset?

Inventarisasi aset merupakan proses penting dalam siklus pengelolaan aset, dimana akan dilakukan proses identifikasi kesesuaian antara aset yang tercatat dan aset yang dikelola oleh Perusahaan. Aset yang dikelola dapat berupa:

• Aset fisik/ aset tetap: seperti bangunan, kendaraan, dan peralatan.
• Aset tidak berwujud: seperti hak cipta, lisensi, dan perangkat lunak serta barang inventaris Perusahaan.

Tujuan dari pelaksanaan inventarisasi aset ini adalah untuk memastikan bahwa semua aset tercatat dengan baik, terawat, dan dapat dimanfaatkan secara optimal guna mendukung pencapaian tujuan Perusahaan.

Manfaat Inventarisasi Aset bagi Perusahaan

Banyak tantangan yang dihadapi dalam melaksanakan inventarisasi aset, namun harus diketahui juga dampak positif yang didapatkan apabila melakukan proses inventarisasi aset yang baik dan benar, yaitu:

1. Transparansi dan Akurasi Data

Dengan melakukan inventarisasi aset, Perusahaan dapat memiliki data yang akurat dan transparan tentang jumlah, jenis, lokasi, dan kondisi aset yang dimiliki. Hal ini penting untuk pengambilan keputusan yang berbasis data, termasuk penyajian data aset yang tertuang pada laporan keuangan Perusahaan.

2. Pengelolaan Aset yang Efisien

Inventarisasi aset membantu Perusahaan untuk mengidentifikasi aset yang sudah tidak layak digunakan atau kurang produktif, sehingga dapat dioptimalkan sesuai kebutuhan atau dihapusbukukan.

3. Manajemen Risiko terkait Aset

Dengan pencatatan aset yang baik, maka risiko kehilangan, kerusakan, atau penyalahgunaan aset dapat diminimalkan.

4. Kepatuhan terhadap Regulasi

Banyak peraturan yang berkaitan dengan proses bisnis beberapa Perusahaan yang mengharuskan Perusahaan memiliki catatan aset yang lengkap dan terperinci. Proses inventarisasi aset dapat membantu untuk memastikan kepatuhan terhadap peraturan tersebut.

Meningkatkan Efektivitas Inventarisasi Aset dengan Teknologi

Guna mendukung Perusahaan untuk dapat melaksanakan proses inventarisasi aset yang cepat dan efektif. Beberapa Solusi yang dapat diterapkan meliputi:

• Sistem atau aplikasi manajemen aset berbasis perangkat lunak yang memungkinkan pencatatan dan penelusuran aset secara otomatis dan real-time,
• Teknologi seperti kode QR, RFID (Radio Frequency Identification),
• dan IoT (Internet of Things) dapat mempermudah proses identifikasi dan monitoring aset.

Apakah Teknologi Sudah Cukup untuk Optimasi Inventarisasi Aset?

Jika saat ini proses pengelolaan aset dilakukan secara manual, maka improvement yang dapat dilakukan adalah dapat menggunakan sistem atau aplikasi manajemen aset yang user friendly dan mengakomodir data aset yang dibutuhkan Perusahaan.

Namun, jika Perusahaan telah menggunakan sistem atau aplikasi manajemen aset yang mutakhir, maka berikut beberapa peningkatan yang dapat dilakukan dari hasil inventarisasi aset guna mendukung proses inventarisasi aset yang lebih optimal, yaitu:

1. Memberikan usulan optimalisasi aset yang mempertimbangkan faktor ESG (environment, social and governance);
2. Pembaharuan secara berkala untuk sistem keamanan aset yang digunakan, khususnya untuk sistem atau aplikasi yang digunakan oleh Perusahaan;
3. Menerapkan standar internasional seperti Sistem Manajemen Aset ISO 55001;
4. Penggunaan Artificial Intelligence (AI) untuk dapat memberikan data analisis prediktif terhadap aset, seperti proses pemeliharaan aset yang mempertimbangkan riwayat dari aset tersebut.

Dengan langkah-langkah di atas, Perusahaan tidak hanya mampu mengelola aset secara efektif, tetapi juga diharapkan dapat mengoptimalkan nilai aset untuk mendukung pertumbuhan dan keberlanjutan bisnis di masa depan. Inventarisasi aset yang baik adalah investasi jangka panjang yang akan memberikan dampak positif bagi kinerja perusahaan.

Ditulis Oleh, Hilman Badhi Adikara – Team Leader GRC Robere & Associates (Indonesia), 2025

---

Bagi anda yang ingin berdiskusi lebih lanjut dan menggali informasi terkini tentang Invetarisasi Aset berdasarkan ISO 55001, Robere & Associates siap membantu. Hubungi kami sekarang!

ISO 8000-1:2022 adalah standar internasional yang mengatur manajemen data kualitas (Data Quality Management) untuk memastikan data yang digunakan dalam sistem organisasi akurat, terpercaya, dan dapat diandalkan. Standar ini memberikan panduan terstruktur bagi organisasi dalam pengelolaan data, sehingga dapat meningkatkan efisiensi operasional, mengurangi risiko kesalahan, dan memastikan kepatuhan terhadap regulasi data.

Prinsip Utama ISO 8000-1

ISO 8000-1:2022 menetapkan beberapa prinsip utama dalam pengelolaan data berkualitas, di antaranya:

1. Identifikasi dan dokumentasi data: Organisasi harus mampu mengidentifikasi data yang digunakan dalam proses operasional organisasi dan mendokumentasikan karakteristik dan atributnya.
2. Ketepatan data: Data harus akurat dan relevan untuk tujuan yang dimaksud.
3. Interoperabilitas data: Data harus dapat digunakan dan dipertukarkan dengan mudah antara sistem dan organisasi yang berbeda.
4. Keamanan data: Organisasi harus memastikan bahwa data dilindungi dari ancaman keamanan dan privasi yang mungkin.
5. Ketersediaan data: Data harus tersedia secara tepat waktu ketika dibutuhkan.
6. Keterukuran data: Data harus dapat diukur dan dinilai untuk memastikan kualitasnya.

Framework ISO 8000-1:2022

1. Role data (peran data) dalam ISO 8000-1:2022

ISO 8000-1:2022 membagi data ke dalam beberapa kategori utama, yaitu:

• Master Data

Master data adalah data inti yang mendefinisikan elemen bisnis penting dalam suatu organisasi. Berfungsi sebagai sumber kebenaran (single source of truth) untuk mendukung proses bisnis utama dan menjadi dasar bagi konsistensi serta interoperabilitas dalam organisasi. Contohnya adalah Data pelanggan, produk, pemasok, lokasi, dan karyawan. ISO 8000-1:2022 menekankan bahwa organisasi harus memiliki Master Data Management (MDM) yang baik sebelum implementasi lebih lanjut. Master data harus memenuhi kriteria kualitas seperti keakuratan, kelengkapan, dan konsistensi.

• Reference Data

Reference data adalah data standar yang memberikan konteks atau klasifikasi bagi data lainnya. Hal ini dapat mendukung interoperabilitas dan pertukaran data lintas sistem atau organisasi dan Membantu menyelaraskan terminologi serta klasifikasi data agar seragam. Contohnya adalah Kode pos, kode area telepon, mata uang, unit pengukuran, standar internasional. ISO 8000-1:2022 menekankan bahwa Reference data harus didokumentasikan dengan metadata yang jelas untuk memastikan penggunaan yang konsisten, serta mendorong penggunaan reference data berbasis standar terbuka untuk meningkatkan keandalan dalam integrasi data.

• Transactional Data

Transactional data adalah data yang dihasilkan dari aktivitas bisnis sehari-hari. Memberikan catatan aktivitas yang mendukung proses operasional dan digunakan untuk analisis dan pengambilan keputusan berbasis data. Contohnya adalah Faktur penjualan, pesanan pembelian, laporan transaksi keuangan. ISO 8000-1:2022 menekankan bahwa Kualitas transaksi data sangat bergantung pada kualitas master data dan reference data, ISO 8000-1:2022 memastikan bahwa data transaksi terstruktur dengan baik dan memiliki keterlacakan yang jelas.

• Metadata

Metadata adalah data tentang data, yang menjelaskan atribut, struktur, dan konteks data. Meningkatkan pemahaman dan interoperabilitas data dan Memastikan transparansi dalam pengelolaan data. Contohnya adalah nama elemen data, tipe data, format, hubungan antar data. ISO 8000-1:2022 menekankan bahwa Metadata adalah elemen kunci dalam standar ini untuk mendukung dokumentasi dan validasi kualitas data, ISO 8000-1:2022 mewajibkan penggunaan metadata yang terstandar sebagai dasar manajemen kualitas data.

• Derived Data

Data yang dihasilkan dari manipulasi atau penggabungan data lain. Memberikan nilai tambah melalui pengolahan data dan Mendukung pengambilan keputusan strategis. Seperti laporan analitik, prediksi berbasis data, KPI (Key Performance Indicator). ISO 8000-1:2022 menekankan bahwa Derived data harus didasarkan pada data yang berkualitas untuk menghasilkan output yang akurat dan dapat dipercaya.

• Historical Data

Data yang merepresentasikan informasi masa lalu. Mendukung analisis tren dan pelaporan historis dan Berguna untuk kepatuhan regulasi dan audit. Seperti riwayat transaksi, data penjualan tahunan, rekam medis pasien. ISO 8000-1:2022 menekankan bahwa Historical data harus disimpan dan dikelola dengan baik untuk memastikan aksesibilitas dan keaslian.

Role data dalam ISO 8000-1 mencakup berbagai jenis data yang bekerja bersama untuk memastikan integritas, konsistensi, dan interoperabilitas data dalam organisasi. Master data dan reference data menjadi inti yang mendukung transactional data, metadata, derived data, dan historical data. Implementasi ISO 8000-1 memerlukan pendekatan menyeluruh untuk memastikan setiap jenis data dikelola sesuai dengan prinsip kualitas data.

2. Data Arsitektur dalam ISO 8000-1:2022

Kerangka kerja yang mencakup bagaimana data diatur, disimpan, diakses, dan dikelola dalam suatu organisasi. Arsitektur ini dirancang untuk memastikan bahwa data yang digunakan memenuhi standar kualitas, dapat diakses, dan mendukung operasional serta pengambilan keputusan bisnis. Komponen Utama Data Arsitektur:

1. Struktur Data
   • Mengidentifikasi bagaimana data diatur, termasuk format, tipe data, dan relasi antar elemen data.
   • Contoh: Database yang dirancang dengan entitas seperti “Pelanggan,” “Produk,” dan “Transaksi.”
2. Pengelolaan Metadata
   • Metadata mendukung transparansi dan pemahaman tentang data dengan menjelaskan atribut dan hubungan antar elemen data.
3. Proses dan Aliran Data
   • Mendefinisikan bagaimana data bergerak di seluruh sistem, dari input hingga pemrosesan dan output.
4. Keamanan dan Akses Data
   • Mengatur hak akses dan kontrol untuk memastikan keamanan data, termasuk perlindungan terhadap pelanggaran atau penyalahgunaan.

Selain itu Data Dictionary juga merupakan bagian penting dari data arsitektur yang berfungsi sebagai dokumentasi resmi mengenai data dalam sistem. Data dictionary adalah kumpulan informasi terstruktur yang mencatat:

• Definisi setiap elemen data.
• Struktur data (tipe data, panjang, format).
• Atribut data (hubungan dengan elemen lain, nilai default, dan sebagainya).

Data dictionary biasanya mencakup informasi berikut:

• Nama Elemen Data: Nama unik untuk setiap elemen.
• Deskripsi: Penjelasan tentang tujuan elemen data.
• Tipe Data: Seperti string, integer, atau date.
• Format: Spesifikasi tentang cara data disajikan (misalnya, “YYYY-MM-DD” untuk tanggal).
• Nilai yang Diperbolehkan: Jika ada, seperti daftar kode atau batasan numerik.
• Hubungan Antar Data: Menjelaskan relasi dengan elemen data lainnya.

Relevansi Data Arsitektur dan Data Dictionary dengan ISO 8000-1

• ISO 8000-1 menekankan pentingnya dokumentasi yang baik, termasuk data dictionary, sebagai bagian dari pengelolaan data berkualitas.
• Data dictionary membantu organisasi mencapai transparansi, konsistensi, dan keterlacakan dalam penggunaan data.
• Elemen-elemen dalam data dictionary mendukung proses validasi data, interoperabilitas, dan pengambilan keputusan berbasis data yang lebih baik.

Data arsitektur yang baik, dengan dukungan data dictionary, memungkinkan organisasi memastikan bahwa data dapat diandalkan, sesuai standar, dan mendukung tujuan bisnis.

3. Lingkup Implementasi ISO 8000-1

Lingkup implementasi dimulai dengan menentukan jenis data yang menjadi prioritas untuk dikelola. Hal ini mencakup identifikasi data yang kritis bagi keberhasilan operasional atau strategis organisasi. Contoh Lingkup Implementasi Berdasarkan Jenis Data:

Perusahaan Ritel:

Fokus pada data produk, termasuk katalog produk, harga, stok, dan pemasok, yang dimana tujuannya yaitu untuk Meningkatkan efisiensi manajemen inventaris dan pengalaman pelanggan.

Perusahaan Akuntansi:

Fokus pada catatan keuangan, seperti laporan transaksi, buku besar, dan data audit, yang dimana tujuannya yaitu untuk Memastikan kepatuhan terhadap regulasi keuangan dan meningkatkan keakuratan laporan.

Organisasi Pemerintah:

Fokus pada data penduduk (misalnya, data kependudukan dari Dukcapil) atau data pajak, yang dimana tujuannya yaitu untuk Meningkatkan pelayanan publik dan transparansi.

Dalam menentukan Lingkup implementasi ISO 8000-1 sangat fleksibel dan disesuaikan dengan kebutuhan spesifik organisasi. Penentuan data yang dikelola menjadi langkah pertama yang penting untuk memastikan bahwa upaya pengelolaan kualitas data fokus pada elemen yang memberikan dampak terbesar bagi bisnis. Dengan pendekatan ini, organisasi dapat memaksimalkan manfaat dari penerapan standar ISO 8000-1.

4. Industri Pemilik Data

ISO 8000-1 dirancang agar fleksibel dan dapat disesuaikan dengan kebutuhan spesifik berbagai industri. Untuk itu, standar ini memiliki ekstensi yang mendukung pengelolaan data sesuai dengan karakteristik dan persyaratan industri tertentu. Berikut adalah penjelasan mengenai penerapan standar berdasarkan jenis industri:

1. Industri Manufaktur

Industri manufaktur membutuhkan pengelolaan data yang sangat presisi untuk memastikan rantai pasokan yang efisien dan akurat.

Ekstensi yang Digunakan: ISO 8000-115 (Smart Prefix) yang dimana secara fungsi
Membantu dalam identifikasi unik komponen, produk, atau barang dalam rantai pasokan.

Contoh Implementasi: Mengidentifikasi komponen seperti baut, mur, atau modul elektronik dengan kode unik yang dapat dikenali oleh semua pihak dalam rantai pasokan.

2. Industri Perbankan

Perbankan berfokus pada pengelolaan data transaksi, pelanggan, dan dokumen berbasis format digital, khususnya XML (Extensible Markup Language).

Ekstensi yang Digunakan: ISO 22745 yang dimana secara fungsi Mendukung pertukaran data berbasis XML yang efisien dan konsisten.

Contoh Implementasi: Data transaksi antar bank yang menggunakan format XML terstandar untuk memastikan kelancaran pertukaran informasi.

3. Industri Legal

Dalam konteks hukum, data sering kali digunakan untuk dokumentasi, kepatuhan regulasi, dan penyimpanan dokumen hukum.

Ekstensi yang Digunakan: ISO 8000-116 yang dimana secara fungsi
Menyediakan standar untuk pengelolaan data yang relevan dengan konteks hukum atau regulasi.

Contoh Implementasi: Pengelolaan dokumen kontrak atau perjanjian yang dilengkapi dengan metadata terstandar seperti tanggal pembuatan, pihak yang terlibat, dan nomor referensi.

Industri pemilik data memiliki kebutuhan yang berbeda, dan ISO 8000-1 memberikan fleksibilitas melalui ekstensi khusus, seperti ISO 8000-115 untuk manufaktur, ISO 22745 untuk perbankan, dan ISO 8000-116 untuk legal. Dengan penerapan ekstensi ini, organisasi dapat memastikan bahwa pengelolaan data mereka sesuai dengan kebutuhan spesifik industri, mendukung interoperabilitas, dan meningkatkan kualitas data secara keseluruhan.

5. Quality Identifier (QI)

Merupakan elemen kunci dalam ISO 8000-1 yang bertujuan untuk memberikan identifikasi yang unik, akurat, dan dapat diandalkan terhadap data, serta memastikan keterlacakan sumber atau pemilik data. Sebagai contoh :

a. Data Perbankan:

Key identifier seperti BRI123456789 dapat digunakan untuk menunjukkan bahwa data tersebut milik Bank BRI.

b. Data Kependudukan:

Data NIK (Nomor Induk Kependudukan) dari Dukcapil dilengkapi dengan key identifier unik untuk setiap individu.

c. Data Kesehatan:

Data milik BPJS diberi identifier unik, misalnya BPJS-5678-2025, untuk membedakan dari penyedia layanan kesehatan lainnya.

Quality Identifier adalah elemen penting dalam pengelolaan data yang berkualitas. Dengan menyediakan identifikasi yang unik dan jelas untuk setiap elemen data, QI mendukung akuntabilitas, transparansi, dan efisiensi dalam pengelolaan dan pertukaran data. Penerapannya memungkinkan organisasi memastikan bahwa data yang mereka gunakan dapat dipercaya, bebas dari duplikasi, dan mudah diintegrasikan ke dalam sistem yang lebih luas.

Penerapan ISO 8000-1:2022 memberikan berbagai manfaat untuk organisasi, antara lain:

1. Meningkatkan Kualitas Data

• ISO 8000-1:2022 membantu organisasi dalam memastikan bahwa data yang digunakan dalam proses bisnis akurat, lengkap, konsisten, dan dapat diandalkan.
• Peningkatan kualitas data berkontribusi pada keputusan yang lebih tepat dan lebih cepat.

2. Efisiensi Operasional

• Data yang terkelola dengan baik, organisasi dapat mengurangi waktu yang dihabiskan untuk mencari, membersihkan, dan memperbaiki data yang tidak akurat.
• Selain itu juga membantu mengurangi duplikasi dan meningkatkan alur kerja yang lebih efisien.

3. Mengurangi Risiko Bisnis

• Data yang buruk dapat menyebabkan kesalahan operasional dan finansial. Dengan kualitas data yang lebih baik, organisasi dapat mengurangi potensi risiko terkait kesalahan data, misalnya dalam laporan keuangan atau peraturan.
• Penerapan ISO 8000-1:2022 membantu meminimalkan kesalahan dalam data yang dapat mempengaruhi keputusan bisnis.

4. Meningkatkan Kepercayaan Pelanggan

• Pelanggan cenderung lebih mempercayai organisasi yang dapat menunjukkan komitmennya terhadap pengelolaan data yang berkualitas dan transparansi.
• Penerapan ISO 8000-1:2022 dapat menjadi bukti bahwa organisasi peduli dengan kualitas dan integritas data yang di kelola.

5. Mendukung Transformasi Digital

• Pengelolaan data yang baik adalah fondasi dari banyak inisiatif transformasi digital.
• ISO 8000-1:2022 memfasilitasi penggunaan teknologi baru, seperti big data dan analitik, dengan memastikan kualitas data yang dikelola.

Dengan penerapan standar ISO 8000-1:2022, organisasi dapat meningkatkan pengelolaan data secara keseluruhan, yang dapat mendukung pengambilan keputusan yang lebih baik, mengurangi biaya operasional, dan meningkatkan kepuasan pelanggan.

Ditulis Oleh, Syifa Aulia Sari – Team Leader IT GRC Robere & Associates (Indonesia), 2025

---

Diskusikan dengan Kami!

Ditulis Oleh, Rian Munanjar, Lead Consultant GRC – Robere & Associates (Indonesia)

Implementasi ISO 37001:2016 tentang Sistem Manajemen Anti Penyuapan (SMAP) dapat memberikan manfaat signifikan bagi organisasi, termasuk peningkatan reputasi, pengurangan risiko hukum dan keuangan, serta peningkatan hubungan dengan stakeholder. Standar ini juga membantu menciptakan budaya organisasi yang menolak penyuapan, mendorong integritas dan transparansi dalam semua aspek bisnis.

Mengenal ISO 37001:2016  

ISO 37001:2016 tentang Sistem Manajemen Anti Penyuapan memperkenalkan kerangka kerja yang komprehensif untuk mengelola risiko penyuapan dalam operasi sehari-hari dan transaksi bisnis. Elemen kunci dari standar ini mencakup kebijakan anti penyuapan, prosedur uji kelayakan proses, pelatihan karyawan terkait dengan anti penyuapan, evaluasi risiko penyuapan, uji kelayakan rekan bisnis dan tindak lanjut serta pemantauan efektivitas sistem manajemen anti penyuapan. Pengelolaan risiko penyuapan merupakan salah satu langkah awal yang kritikal bagi organisasi yang akan mengimplementasikan SMAP.

Mengapa Organisasi Perlu Menyusun Risiko Penyuapan Berdasarkan ISO 37001:2016

Tujuan penilaian risiko penyuapan adalah agar suatu organisasi mampu membentuk fondasi yang kokoh dalam mengimplementasikan Sistem Manajemen Anti Penyuapan, dimana melalui identifikasi risiko penyuapan Organisasi dapat menetapkan fokus pada risiko prioritas. Dengan memahami risiko prioritas yang harus dihadapi, Organisasi dapat dengan tepat melaksanakan mitigasi risiko, penerapan pengendaliannya termasuk alokasi sumber daya yang diperlukan.

Bagaimana Cara Menilai Risiko Penyuapan Berdasarkan ISO 37001:2016?

Dalam melaksanakan penilaian risiko penyuapan, organisasi perlu memperhatikan beberapa ketentuan sebagai berikut:

1. Organisasi harus menetapkan level kriteria untuk risiko penyuapan dengan tetap mempertimbangkan kebijakan dan sasaran organisasi.

Penetapan level kriteria risiko penyuapan pada umumnya menggunakan Risk Heat Map. Risk Heat Map merupakan pengukuran tingkat risiko dengan mempertimbangkan Likelihood (kemungkinan terjadinya suatu risiko) serta impact (dampak atas terjadinya suatu risiko).

Likelihood merupakan kemungkinan terjadinya suatu risiko relatif sangat jarang dalam kurun waktu atau jumlah tertentu. Berikut contoh kriteria dalam penentuan nilai likelihood:

Nilai Likelihood	Pengertian	Contoh Penilaian
1 (Low)	Sangat Jarang / Tidak Mungkin Terjadi	0 sampai 1 kejadian
2 (Low to Moderate)	Jarang / Kemungkinan Kecil Terjadi	2 sampai 3 kali kejadian
3 (Moderate)	Agak Jarang / Mungkin Terjadi	3 sampai 5 kali kejadian
4 (Moderate to High)	Sering / Kemungkinan Besar Terjadi	6 sampai 8 kali kejadian
5 (High)	Sangat Sering / Pasti Terjadi	Lebih dari 8 kali kejadian

Sementara Impact merupakan dampak terjadinya suatu risiko. Berikut contoh kriteria dalam penentuan nilai impact:

Nilai Impact	Pengertian	Penilaian
1 (Low)	Sangat Rendah	Apabila risiko terjadi, tidak mengganggu operasional, maupun keuangan. (Biaya Kerugian < 0,01% dari total ekuitas)
2 (Low to Moderate/LTM)	Rendah	Apabila risiko terjadi, menimbulkan kendala operasional, munculnya kewajiban keuangan, penurunan reputasi, namun tidak signifikan. (Biaya Kerugian > 0,01% - < 0,25% dari total ekuitas)
3 (Moderate)	Agak Tinggi	Apabila risiko terjadi, menimbulkan kendala operasional, munculnya kewajiban keuangan, penurunan reputasi cukup signifikan. (Biaya Kerugian > 0,25% - < 0,50% dari total ekuitas)
4 (Moderate to High)	Tinggi	Apabila risiko terjadi, menimbulkan kendala operasional, munculnya kewajiban keuangan, penurunan reputasi relatif signifikan. (Biaya Kerugian > 0,50% - < 0,80% dari total ekuitas)
5 (High)	Sangat Tinggi	Apabila risiko terjadi, menimbulkan kendala operasional, munculnya kewajiban keuangan, penurunan reputasi secara signifikan. (Biaya Kerugian > 0,80% dari total ekuitas)

Dari penilaian likelihood dan impact pada Risk Heat Map inilah yang akan menghasilkan prioritas risiko penyuapan di dalam suatu organisasi. Contoh Tingkat prioritas risiko penyuapan adalah sebagai berikut:

Dalam pelaksanaan penilaian risiko penyuapan, organisasi harus menilai risiko inheren dan risiko residual. Risiko inheren merupakan risiko yang ada dimana belum terdapat upaya mitigasi yang dilakukan maupun kontrol atau tindakan lain yang ditetapkan untuk mengurangi risiko dari tingkat awal ke tingkat yang lebih dapat diterima oleh suatu organisasi. Sementara risiko residual merupakan risiko yang tersisa setelah upaya mitigasi maupun kontrol dilakukan untuk mengurangi risiko inheren. Risiko residual inilah yang harus dihadapi oleh organisasi berdasarkan mitigasi risiko yang sebelumnya telah ditentukan.

Berikut salah satu contoh penilaian risiko penyuapan terkait dengan proses pengadaan termasuk bagaimana suatu organisasi menangani risiko tersebut:

2. Organisasi harus melaksanakan penilaian risiko penyuapan secara berkala

Ketentuan dalam melaksanakan penilaian risiko penyuapan adalah sebagai berikut:

• Mengidentifiksi risiko penyuapan organisasi yang wajar untuk antisipasi dari isu internal maupun isu eksternal yang relevan degan tujuan suatu organisasi. Dalam melaksanakan identifikasi risiko penyuapan, organisasi perlu memahami proses bisnis yang dimiliki secara end-to-end serta melihat banyaknya jumlah interaksi yang dilaksanakan dari internal ke eksternal maupun interaksi yang dilaksanakan oleh internal ke internal di dalam suatu organisasi.
• Menganalisis, menilai dan memprioritaskan risiko penyuapan yang telah teridentifikasi; dan
• Mengevaluasi kesesuaian dan keefektifan dari kendali yang ada di organisasi untuk mengurangi risiko penyuapan yang dinilai.

3. Penilaian risiko penyuapan harus ditinjau secara berkala

Peninjauan penilaian risiko penyuapan dilaksanakan dengan ketentuan sebagai berikut:

• Peninjauan dilaksanakan secara berlaka sehingga setiap adanya perubahan informasi baru dapat dinilai secara tepat waktu oleh organisasi; dan
• Pada saat terjadinya perubahan penting terhadap struktur organisasi maupun aktivitas organisasi.

4. Terdokumentasi

Organisasi harus menyimpan informasi terdokumentasi untuk menunjukkan bahwa penilaian risiko penyuapan telah dilaksanakan dan digunakan untuk merancang maupun meningkatkan sistem manajemen anti penyuapan.

---

Diskusikan dengan Kami!

Ditulis Oleh, Satrio Adhi Pradana, Lead Consultant GRC – Robere & Associates (Indonesia)

Dunia bisnis saat ini mengalami perkembangan secara pesat, namun tidak dapat dipungkiri di tengah pesatnya perkembangan tersebut, pelanggaran seperti kecurangan dalam faktor keuangan, penyalahgunaan kebijakan perusahaan, serta tindakan ilegal lainnya juga mengalami perkembangan. Oleh karena itu, organisasi sangat direkomendasikan untuk memiliki sistem pengelolaan pelaporan dan penanganan yang sistematis sebagai paduan yang dapat membantu organisasi dalam mengelola pelanggaran yang disampaikan oleh pihak yang relevan di organisasi. Dalam hal ini, Standar internasional ISO 37002:2021 tentang Sistem Manajemen Pelaporan Pelanggaran dapat dimanfaatkan sebagai panduan dalam implementasi pengelolaan sistem penanganan pelaporan pelanggaran bagi organisasi.

Manfaat Implementasi ISO 37002:2021

ISO 37002:2021 merupakan panduan yang diterbitkan oleh International Organization for Standardization (ISO) yang bertujuan untuk memberikan panduan dalam mendesain, menerapkan, mengelola, dan meningkatkan secara berkesinambungan sistem manajemen pelaporan pelanggaran.

ISO 37002:2021 dapat dimanfaatkan sebagai panduan bagi organisasi dalam mencegah atau meminimalisir kerugian yang diakibatkan oleh perilaku yang menyimpang dengan mengidentifikasi, menangani, mengelola penyimpangan yang dilaporkan sedini mungkin.

Selain itu, implementasi ISO 37002:2021 dapat menunjukkan bahwa organisasi telah mendemonstrasikan praktik tata kelola yang baik dan berintegritas kepada pihak berkepentingan yang relevan.

Aspek Penting dari ISO 37002:2021

Salah satu aspek penting dari ISO 37002:2021 adalah memberikan panduan tentang bagaimana organisasi dapat menciptakan lingkungan yang mendukung pelaporan pelanggaran, termasuk memastikan bahwa para pelapor merasa aman dan dilindungi, serta mendorong budaya terbuka dan transparan di seluruh organisasi. Adapun langkah-langkah penting yang dicakup dalam ISO 37002:2021 meliputi beberapa hal sebagai berikut:

1. Proses Pelaporan

Organisasi disarankan untuk menciptakan mekanisme pengelolaan pelaporan pelanggaran dengan memperhatikan 2 aspek sebagai berikut:

• Ketelusuran (Traceability)

Setiap laporan harus dilacak secara rinci mulai dari penerimaan hingga penyelesaian untuk menciptakan transparansi dan memastikan akuntabilitas dalam penanganan laporan.

Sebagai contoh, pemberian nomor pelaporan yang diberikan kepada pelapor agar pelapor dapat memantau seluruh proses penanganan laporan yang telah disampaikan.

• Kerahasiaan

Organisasi perlu menerapkan langkah-langkah untuk melindungi identitas pelapor dan menjaga kerahasiaan informasi yang terkait dengan laporan. Aspek kerahasiaan ini akan membantu organisasi dalam menciptakan lingkungan dimana pekerja akan merasa aman untuk melaporkan pelanggaran.

Sebagai contoh, Organisasi dapat menyediakan opsi pelaporan pelanggaran secara anonim. Dalam hal anonimitas, terdapat 2 opsi sebagai berikut:

• Anonimitas Total, dimana identitas pelapor sepenuhnya disembunyikan dan tidak terdapat informasi yang dapat menghubungkan antara laporan dengan pelapor nya.
• Anonimitas Terbatas, dimana identitas pelapor hanya dapat diketahui oleh pihak yang berwenang dalam hal ini pengelola WBS dan/atau tim penyelidik yang ditugaskan untuk menindaklanjuti laporan.

2. Penilaian terhadap Pelaporan

Organisasi perlu memastikan bahwa proses penilaian, triase, dan manajemen laporan pengaduan perilaku yang menyimpang bebas dari keberpihakan dan/atau benturan kepentingan. Organisasi juga direkomendasikan dapat mengurutkan prioritas laporan penyimpangan berdasarkan pertimbangan risiko yang merugikan bagi organisasi dan/atau pihak relevan lainnya.

Sebagai contoh, untuk mempermudah penilaian, pengelola WBS dapat melakukan penilaian dengan dengan memastikan beberapa aspek sebagai berikut:

• Verifikasi keabsahan laporan;
• Melakukan evaluasi terhadap risiko sejauh mana pelanggaran terkait dampak merugikan perusahaan dari segi finansial, reputasi, hukum, dan operasional;
• Melakukan pengkategorian atas laporan yang masuk berdasarkan tingkat urgensinya;
• Apabila diperlukan, organisasi dapat melakukan konsultasi terkait hukum dan peraturan yang berlaku untuk memastikan tindakan yang akan diambil sudah sesuai ketentuan yang berlaku dengan pihak yang dianggap berkompeten baik secara internal maupun eksternal.

3. Penanganan Pelanggaran

Organisasi perlu memastikan adanya mekanisme penyelidikan yang adil dan obyektif. Mekanisme penyelidikan sebaiknya dilakukan tanpa bias dan terlapor sebaiknya diberikan hak untuk merespon terhadap laporan terkait.

4. Perlindungan Pelapor, Terlapor, dan Investigator

Standar ini menekankan pentingnya melindungi Pelapor, Terlapor, dan Investigator dari segala bentuk pembalasan atau diskriminasi sebagai akibat dari pelaporan. Hal ini bertujuan untuk menciptakan lingkungan yang mendukung integritas dan keberanian dalam melaporkan pelanggaran.

5. Penyelesaian Kasus Pengaduan

Kasus pelaporan dapat dinyatakan selesai apabila tidak ada lagi tindakan yang dianggap perlu dalam merespon laporan, ketika pencarian fakta menentukan tidak ada lagi investigasi yang diperlukan, ketika laporan terkait dirujuk ke proses lain yang harus ditangani, atau akhir dari proses investigasi yang dapat membuktikan perilaku yang menyimpang benar terjadi atau tidak.

ISO 37002:2021 dapat menjadi fondasi untuk menciptakan organisasi yang berintegritas, di mana pelaporan pelanggaran dapat terjadi tanpa takut pembalasan, dan di mana setiap laporan ditangani secara adil dan transparan. Dengan demikian, implementasi ISO 37002:2021 bukan hanya tentang memenuhi standar, tetapi juga tentang membangun kepercayaan, melindungi pelapor, dan mengukuhkan reputasi organisasi sebagai entitas yang berkomitmen pada nilai-nilai etika dan keberlanjutan.

 

Ditulis Oleh, Farrah Alizah Larasati, Lead Consultant GRC – Robere & Associates (Indonesia)

Kepatuhan merupakan salah satu aspek kritikal yang harus dipenuhi perusahaan dalam menjalankan proses bisnisnya. Setiap Perusahaan, dalam bidang apapun, akan memiliki ketentuan regulasi maupun persyaratan dari pihak berkepentingan yang wajib untuk dipenuhi. Apabila Perusahaan tidak menaati ketentuan ataupun persyaratan yang berlaku, maka berpotensi menimbulkan kerugian reputasi, keuangan hingga dikenakanya sanksi hukum atau pidana bagi Perusahaan.

Sebagai contoh kasus yang terjadi pada salah satu BPR atau Bank Perekonomian Rakyat pada tahun 2023 yang tidak mematuhi ketentuan terkait dengan pengelolaan kredit, dengan menyalurkan kredit fiktif, sehingga menyebabkan izin usaha atas BPR dicabut oleh OJK.

Pentingnya untuk mematuhi setiap ketentuan ataupun persyaratan, mendorong Perusahaan untuk memiliki suatu sistem manajemen yang secara sistematis untuk mengidentifikasi, mengevaluasi, dan memastikan kepatuhan. Dalam hal ini, Standar internasional ISO 37301:2021 tentang Sistem Manajemen Kepatuhan merupakan salah satu best practice yang dapat digunakan oleh Perusahaan dalam sebagai panduan untuk mengelola kepatuhan.

Apa itu ISO 37301:2021?

ISO 37301:2021 Sistem Manajemen Kepatuhan adalah standar internasional yang menetapkan bagaimana perusahaan dapat mengelola dan mematuhi peraturan dengan baik. Standar ini memberikan panduan yang jelas tentang bagaimana perusahaan dapat mengembangkan, menerapkan, memelihara, dan secara berkesinambungan meningkatkan sistem manajemen kepatuhan.

Aspek Kritikal Dalam Implementasi ISO 37301:2021

Aspek kritikal yang perlu dipenuhi oleh Perusahaan dalam mengimplementasikan ISO 37301:2021 Sistem Manajemen Kepatuhan adalah sebagai berikut:

1. Komitmen terhadap kepatuhan

Komitmen terhadap implementasi Sistem Manajemen Kepatuhan sangat penting dalam Perusahaan, khususnya komitmen dari Dewan Pengarah dan Manajemen Puncak. Komitmen dari Dewan Pengarah dan Manajemen Puncak diantaranya diwujudkan dengan menetapkan Kebijakan Kepatuhan, memastikan bahwa mengimplementasikan Sistem Manajemen Kepatuhan telah tercapai, serta memastikan tersedianya Sumber Daya yang dibutuhkan dalam mengimplementasikan Sistem Manajemen Kepatuhan pada Perusahaan.

2. Penetapan Fungsi Kepatuhan

Dalam implementasi ISO 37301, Perusahaan perlu menetapkan Fungsi Kepatuhan, yang memiliki tugas dan tanggung jawab untuk memfasilitasi untuk mengidentifikasi kewajiban kepatuhan, melakukan analisis dan evaluasi terkait kinerja Sistem Manajemen Kepatuhan untuk mengidentifikasi kebutuhan tindakan perbaikan, menetapkan mekanisme terkait pelaporan kepatuhan, melakukan pemantauan dan melaporkan hasil implementasi Sistem Manajemen Kepatuhan kepada Manajemen Puncak. Pada umumnya Fungsi Kepatuhan ditugaskan kepada Unit Kerja yang membawahi bidang Kepatuhan pada Perusahaan.

3. Kesadaran

Perusahaan wajib memastikan bahwa seluruh pegawai perlu diberikan pemahaman terkait implementasi Sistem Manajemen Kepatuhan, diantaranya dengan memberikan pelatihan yang berhubungan dengan Sistem Manajemen Kepatuhan serta sosialisasi terkait Kebijakan Kepatuhan.

4. Penetapan Kewajiban Kepatuhan

Kewajiban kepatuhan adalah regulasi dan ketentuan yang harus dipatuhi oleh Perusahaan sesuai dengan proses bisnis yang dijalankan, baik dari peraturan eksternal maupun internal. Dalam implementasi ISO 37301, Perusahaan perlu mengidentifikasi kewajiban kepatuhan, melakukan analisis dan dampak dari setiap peraturan, serta melakukan evaluasi untuk memastikan seluruh peraturan telah dijalankan. Kewajiban kepatuhan dapat dibedakan menjadi 2 yaitu mandatory obligation dan voluntary obligation. Mandatory obligation adalah ketentuan yang wajib dipatuhi seperti contoh ketentuan regulator, ketentuan pemerintah maupun ketentuan dari pelanggan, sedangkan voluntary obligation adalah ketentuan yang bersifat sukarela, dimana hal ini tidak diwajibkan, namun Perusahaan berkomitmen untuk memenuhi ketentuan tersebut, seperti contoh adalah standar ISO 37301.

5. Indikator Kepatuhan

Perusahaan dapat menetapkan indikator kepatuhan untuk menilai tingkat kepatuhan Perusahaan, dimana pada ISO 37301, indikator kepatuhan terbagi menjadi prediktif indikator dan reaktif indikator. Prediktif indikator diantaranya risiko ketidakpatuhan diukur sebagai potensi tercapai atau tidak tercapainya target, serta trend atas ketidakpatuhan. Contoh dari reaktif indikator adalah jumlah ketidakpatuhan yang terjadi, waktu yang dibutuhkan untuk menindaklanjuti ketidakpatuhan dan tindakan perbaikan.

Perusahaan yang mengimplementasikan Sistem Manajemen Kepatuhan berdasarkan ISO 37301 tidak hanya memastikan kepatuhan terhadap ketentuan yang berlaku, tetapi juga meminimalkan risiko, meningkatkan efisiensi operasional, serta membangun reputasi yang baik, sehingga Perusahaan dapat terus berkembang dan memastikan keberlanjutan Perusahaan.

---

Diskusikan dengan Kami!

Ditulis Oleh, Syifa Aulia Sari, Team Leader IT GRC – Robere & Associates (Indonesia)

Pada zaman modern ini, Layanan Teknologi Informasi sudah menjadi kebutuhan yang mendasar bagi sebagian besar masyarakat di Indonesia. Perkembangan Digitalisasi dan pengaruh Globalisasi membuat masyarakat tidak bisa lepas dari kebutuhan atas layanan Teknologi Informasi. Atas dasar kebutuhan inilah, maka banyak perusahaan yang berlomba-lomba untuk menyediakan layanan yang dapat memberikan kualitas terbaik, serta memberikan kepuasan bagi para pelanggannya.

Apa Itu Service Level Agreement (SLA)

Untuk menyediakan layanan, tentu saja diperlukan beberapa aspek yang harus di dikelola dengan baik, salah satu aspek tersebut adalah Perjanjian Tingkat Layanan atau lebih dikenal dengan sebutan SLA / Service Level Agreement. Secara sederhana, SLA itu sendiri adalah perjanjian yang berisi kesanggupan jaminan kinerja yang dipenuhi oleh penyedia layanan untuk memenuhi kebutuhan dan harapan pelanggan. SLA umumnya mencakup berbagai parameter kinerja seperti ketersediaan layanan, waktu respons, waktu pemulihan, keamanan informasi, dan parameter lainnya yang relevan dengan layanan yang disediakan.

Manfaat Service Level Agreement (SLA)

Dengan adanya SLA layanan, baik penyedia layanan maupun pelanggan memiliki pemahaman yang jelas tentang apa yang diharapkan dari layanan yang diberikan, serta tanggung jawab dan implikasi untuk masing-masing pihak jika terjadi pelanggaran terhadap kesepakatan tersebut. SLA  layanan juga dapat membantu menciptakan transparansi, meningkatkan kepercayaan antara penyedia layanan dan pelanggan, dan menyediakan kerangka kerja untuk penyedia layanan dalam melakukan evaluasi kinerja layanan secara berkala. oleh karena itu pengelolaan SLA dari sisi penyedia layanan menjadi sangat penting, dimana dengan pengelolaan SLA yang baik akan dapat membantu organisasi penyedia layanan untuk dapat memberikan layanan yang dapat memenuhi atau bahkan melampaui ekspektasi pelanggan.

Service Level Agreement (SLA) dalam ISO/IEC 20000-1:2018

Dalam ISO/IEC 20000-1:2018, yaitu standar Internasional untuk Sistem Manajemen layanan, SLA itu sendiri merupakan aspek yang diatur dalam salah satu klausul (klausul 8.3.3) untuk pemenuhan kesesuaian standar ISO/IEC 20000-1:2018 untuk implementasi maupun sertifikasi Sistem Manajemen Layanan. Oleh karena itu standar  ISO/IEC 20000-1 :2018 ini dapat digunakan sebagai panduan dalam implementasi maupun sertifikasi Sistem Manajemen layanan, termasuk pengelolaan SLA Layanan.

Pengelolaan Service Level Agreement Sebagai Bagian Dari ISO/IEC 20000-1:2018

Beberapa Aspek pengelolaan terkait SLA yang diatur dalam standar ISO/IEC 2000-1:2018 adalah :

1. Penyusunan SLA yang jelas dan terukur antara penyedia layanan dan pelanggan. SLA harus mencakup parameter kinerja layanan yang ditetapkan, seperti ketersediaan, waktu respons, dan waktu pemulihan, serta harus konsisten dengan kebutuhan bisnis dan persyaratan pelanggan.
2. Pemantauan dan Pengukuran Kinerja secara berkala sesuai dengan SLA yang disepakati. aspek Ini mencakup pengumpulan data kinerja layanan, analisis hasil, dan pelaporan kepada pelanggan.
3. Manajemen Insiden dalam memenuhi dan meningkatkan pemenuhan SLA. Ketika terjadi pelanggaran SLA atau masalah dalam penyediaan layanan, penyedia layanan harus dapat merespons dengan cepat dan mengambil tindakan yang diperlukan.
4. Komitmen Terhadap Peningkatan Berkelanjutan (continual improvement) dalam pengelolaan layanan. Penyedia layanan diharapkan untuk secara terus-menerus mengevaluasi dan meningkatkan proses, sistem, dan kinerja layanan mereka untuk memastikan pemenuhan SLA yang konsisten dan memenuhi atau bahkan melampaui ekspektasi pelanggan.

Dari beberapa penjelasan diatas, dapat dilihat bahwa ISO/IEC 20000-1:2018 memiliki peranan penting sebagai panduan bagi organisasi untuk membantu mengelola layanan yang disediakan termasuk pengelolaan SLA di dalamnya. Oleh karena itu, dengan implementasi dan sertifikasi ISO/IEC 2000-1:2018 ini, selain dapat meningkatkan pengelolaan SLA menjadi lebih baik, harapannya juga akan sekaligus meningkatkan pengelolaan layanan secara menyeluruh yang nantinya akan memberikan dampak peningkatan kualitas dan nilai jual layanan itu sendiri.

1. Jadwal Update ISO/IEC 27001:2022

Standar Sistem Manajemen Keamanan Informasi ISO/IEC 27001 sudah mengalami perubahan dimana versi terbaru ISO/IEC 27001:2022 telah resmi dipublikasikan pada tanggal 25 Oktober 2022 sebagai hasil dari proses voting oleh Join Technical Committee (JTC) yang telah selesai pada tanggal 22 September 2022. Seluruh organisasi yang telah atau akan mengimplementasikan Sistem Manajemen Keamanan Informasi berdasarkan ISO/IEC 27001 telah dapat mengadopsi standar ISO/IEC 27001:2022 tersebut, dimana ISO/IEC 27001:2013 masih dapat dilakukan audit sertifikasi (Initial sertifikasi maupun resertifikasi) selambat-lambatnya sampai dengan 25 Oktober 2023; setelah itu seluruh audit initial sertifikasi/ resertifikasi harus menggunakan ISO/IEC 27001:2022. Sedangkan untuk proses surveillance audit ISO/IEC 27001:2013 masih dapat dilakukan sampai selambat-lambatnya 24 Oktober 2025.

2. Apa Saja Perubahan ISO 27001 di Versi Terbaru

Perubahan Standar ISO/IEC 27001 di tahun 2022 ini sejalan dengan perkembangan praktik bisnis yang semakin digital, seperti penggunaan Remote Working, Bring Your Own Device, dan peningkatan ketergantungan pada Cloud Services.

Secara umum, rincian perubahan yang akan diterapkan pada ISO/IEC 27001:2022 ini  meliputi:

1. Perubahan jumlah total Kontrol Annex, dari 114 menjadi 93, dengan rincian:

• 24 Kontrol gabungan
• 23 Kontrol berubah penamaannya
• 35 Kontrol berubah penomorannya
• 11 Kontrol tambahan/ baru yang meliputi:
• Threat Intelligence
• Keamanan Informasi Cloud Services
• ICT (Information and Communications Technology) untuk Kesinambungan Bisnis
• Pemantauan Keamanan Fisik
• Kegiatan Pemantauan
• Web Filtering
• Data Masking
• Secure Coding
• Manajemen konfigurasi
• Penghapusan Informasi
• Pencegahan Kebocoran Data

2. Restrukturisasi Domain kontrol Annex menjadi 4 Domain utama:

• Manusia (8 Kontrol): Kontrol yang Menyangkut individu, seperti Kerja Jarak Jauh (Teleworking), Filtering, dan Perjanjian Kerahasiaan.
• Organisasi (37 Kontrol): Kontrol yang menyangkut Organisasi, seperti Kebijakan Keamanan Informasi, Pengembalian Aset, dan Keamanan Informasi untuk Penggunaan Layanan Cloud.
• Teknologi (34 Kontrol): Kontrol yang menyangkut teknologi, seperti Otentikasi, Penghapusan Informasi, Pencegahan Kebocoran Data, atau Pengembangan Sistem.
• Fisik (physical) (14 Kontrol): Kontrol yang menyangkut obyek fisik, seperti Media Penyimpanan, Pemeliharaan Peralatan, Pemantauan Keamanan Fisik, Pengamanan Ruangan Kantor.

3. Terdapat lima jenis atribut atas Kontrol untuk membuatnya lebih mudah untuk dikategorikan, Yang terdiri atas:

• Tipe Kontrol (Pencegahan, Detektif, Dorektif)
• Aspek Keamanan Informasi (Kerahasiaan, Integritas, Ketersediaan)
• Konsep Pengamanan Siber (Identify, Protect, Detect, Respond, Recover)
• Operasional (Tata Kelola, Manajemen Aset, Manajemen Risiko, dll.)
• Domain keamanan (Tata Kelola, perlindungan, keberlangsungan Bisnis)

Secara umum, tidak ada perbedaan yang signifikan antara standar ISO/IEC 27001:2022 dengan versi ISO/IEC 27001:2013, hanya saja akan terdapat perubahan pada Security Controls yang ada sehingga pembaharuan Statement of Applicability (SOA) yang telah diterapkan menjadi prioritas yang harus dilakukan.

3. Kunci Dari Transisi ke ISO/IEC 27001:2022

Transisi ke ISO/IEC 27001:2022 dapat anda lakukan sejak saat ini dengan batas waktu paling lambat di tanggal 25 Oktober 2025 atau 3 tahun sejak standar ISO/IEC 27001:2022 dikeluarkan, dengan penjelasan milestones sebagai berikut:

Meskipun akan ada proses transisi yang ditimbulkan ketika standar ISO/IEC 27001:2022 Diterbitkan, Anda tidak perlu khawatir tentang proses tersebut. Selama persiapan transisi ke ISO/IEC 27001:2022 tersebut, Robere & Associates siap membantu organisasi Anda untuk mendampingi dalam proses transisi tersebut.

Robere & Associates siap mendukung Anda sejak standar ISO/IEC 27001 :2022 diterbitkan. Kami akan terus memberikan informasi kepada Anda tentang kemajuannya dan memberikan detail lebih lanjut tentang proses transisi yang harus anda lakukan berikutnya.

---

Diskusikan dengan Kami!

Apa Itu System Security Hardening?

ISO/IEC 27001:2013 merupakan standar internasional yang mengatur persyaratan dalam sistem manajemen keamanan informasi. Annex 12.6.1 (Management of Technical Vulnerabilities) dan Annex 14.2.8 (System Security Testing) menekankan pentingnya pengamanan sistem dan aplikasi dari potensi serangan. Salah satu metode yang digunakan adalah system hardening, yaitu proses mengamankan sistem atau aplikasi untuk mengurangi risiko serangan peretas.

Dalam dunia IT, istilah “security hardening” sering digunakan saat sistem atau aplikasi akan di-deploy atau masuk ke lingkungan production. System hardening adalah sekumpulan tools, teknik, dan best practices untuk mengurangi kerentanan terhadap serangan siber, dengan tujuan mengeliminasi attack vectors dan memperkecil attack surface yang dapat dimanfaatkan oleh peretas atau malware.

Jenis-Jenis System Hardening

System hardening mencakup beberapa aspek utama dalam pengamanan ekosistem IT. Berikut adalah lima jenis utama dalam hardening:

1. Application Hardening – Mengamankan aplikasi dari eksploitasi dan serangan berbahaya.
2. Operating System Hardening – Menghilangkan layanan atau konfigurasi yang tidak diperlukan pada OS.
3. Server Hardening – Mengamankan server dari akses tidak sah atau eksploitasi.
4. Database Hardening – Mencegah kebocoran data melalui pengaturan akses dan enkripsi.
5. Network Hardening – Meningkatkan keamanan jaringan dengan firewall, segmentasi, dan kontrol akses.

Mengapa System Hardening Penting?

System hardening berperan penting dalam menurunkan kemungkinan sistem diretas dengan mengurangi potensi pintu masuk bagi serangan. Langkah ini sangat diperlukan dalam industri yang menerapkan standar keamanan tinggi seperti Payment Card Industry Data Security Standard (PCI DSS) di sektor finansial dan Health Insurance Portability and Accountability Act (HIPAA) di sektor kesehatan.

System hardening harus dilakukan secara berkala sepanjang lifecycle teknologi, mulai dari instalasi awal hingga sistem berjalan dalam lingkungan live production. Beberapa organisasi bahkan mengembangkan metode otomasi hardening untuk mempercepat dan meningkatkan efektivitas proses ini.

Apakah System Hardening Menjamin Keamanan 100%?

Jawabannya tidak. Tidak ada sistem yang 100% aman, tetapi system hardening dapat meningkatkan ketahanan sistem terhadap serangan dan mengurangi kemungkinan eksploitasi. Dengan menerapkan hardening, serangan yang awalnya dapat dilakukan oleh peretas dengan tingkat keahlian dasar akan menjadi lebih sulit, sehingga hanya peretas dengan tingkat keahlian lebih tinggi yang dapat mencoba menembus sistem.

Dengan pendekatan yang tepat, system hardening akan menjadi bagian dari strategi keamanan siber yang lebih luas dan membantu organisasi dalam melindungi data serta infrastruktur IT mereka.

_

IT GRC Team
Robere & Associates (Indonesia)

Implementasi Manajemen Risiko erat kaitannya dengan proses komunikasi dan konsultasi. Dimana, proses tersebut merupakan salah satu faktor yang mendukung kelancaran proses manajemen risiko dari tahap ke tahap. Serta tidak dapat dipungkiri proses komunikasi dan konsultasi dengan beberapa Stakeholder dapat mempengaruhi beberapa keputusan yang ditetapkan, baik dalam penerapan kerangka kerja atau proses manajemen risiko, sehingga apabila proses komunikasi dan konsultasi tidak dapat berjalan lancar maka dapat memunculkan risiko baru.

Membahas terkait kesalahan komunikasi dalam implementasi manajemen risiko, kita dapat mengacu kepada salah satu kasus besar yang terjadi pada tahun 2001 yaitu Kasus Kebangkrutan Enron, dimana perusahaan tersebut tidak dapat memberikan informasi yang sesuai dengan realitanya, sehingga tim manajemen risiko Enron tidak dapat mengidentifikasi risiko apa yang akan dihadapi. Penyampaian data yang akurat dan aktual dari suatu perusahaan sangat berguna untuk mengidentifikasi risiko apa yang akan dihadapi, tanpa adanya informasi tersebut sebuah perusahaan hanya dapat memprediksi risiko dari hystorical data yang belum tentu akurat hasilnya.

Berkaitan dengan penjabaran diatas, pada artikel kali ini akan membahas salah satu metode yang dapat digunakan untuk menyusun dan mengidentifikasi dengan jelas bagaimana alur yang baik dalam menjalankan proses komunikasi dan konsultasi yang baik dalam mengimplementasikan Sistem Manajemen Risiko yaitu RACI Matriks. Metode ini membantu perusahaan untuk mengidentifikasi pihak – pihak yang terkait dengan proses komunikasi dan konsultasi Sistem Manajemen Risiko yang pada umumnya terbagi menjadi 4, yaitu Responsibility (R), Accountable (A), Consulted (C), Informed (I). Sebagai panduan menyusun RACI Matriks, terdapat beberapa tahapan yang dapat dilakukan yaitu

1. Identifikasi pihak yang berkepentingan dengan Sistem Manajemen Risiko
   Sebelum menyusun RACI Matriks, perlu ditentukan siapa saja pihak yang berkepentingan terkait dengan Sistem Manajemen Risiko. Contohnya seperti :
   • Dewan Komisaris
   • Direksi
   • Manager Departemen / Kepala Divisi
   • Staff Departemen/ Risk Owner
   • Stakeholder Eksternal (Customer, Pemegang Saham, Pemerintah, Risk Consultant,dll)
2. Identifikasi tahapan yang akan dilaksanakan di Sistem Manajemen Risiko
   Setelah menentukan pihak yang berkepentingan, maka perlu diidentifikasi tahapan apa saja yang akan dilakukan saat mengimplementasikan Sistem Manajemen Risiko. Contohnya seperti :
   • Penetapan Lingkup, Konteks, dan Kriteria
   • Identifikasi Risiko
   • Analisa Risiko
   • Evakuasi Risiko
   • Pengendalian Risiko
   • Pemantauan dan Kaji Ulang Risiko
   • Pencatatan dan Pelaporan Risiko

   Sebagai saran untuk peningkatan, semakin detail keterangan pada setiap tahapan di Sistem Manajemen Risiko, maka akan semakin jelas peran dari pihak berkepentingan yang menjalankan tahapan tersebut.

3. Menyusun RACI Matriks
   RACI Matriks disusun berdasarkan peran dari pihak berkepentingan terhadap tahapan yang dilakukan dalam menjalankan Sistem Manajemen Risiko. Hal tersebut seperti yang telah disebutkan diatas yaitu terbagi menjadi :
   • Responsible (R), yaitu pihak yang bertugas melaksanakan tahapan tertentu dari serangkaian proses di Sistem Manajemen Risiko. Contohnya seperti Staff Departemen/Risk Owner.
   • Accountable (A), yaitu pihak yang bertanggung jawab terhadap hasil akhir dari suatu tahapan yang terkait dengan proses Sistem Manajemen Risiko serta pengambil keputusan terhadap suatu permasalahan yang terjadi. Contohnya seperti pimpinan di masing – masing Unit Kerja/ Departemen/Divisi (Manager Departemen/Kepala Divisi).
   • Consulted (C), yaitu pihak yang memiliki keahlian terkait Sistem Manajemen Risiko. Contohnya seperti Departemen Manajemen Risiko (ERM Departement), Risk Analyst, Risk Consultant.
   • Informed (I), yaitu pihak yang menerima informasi terkait hasil implementasi dari tahapan – tahapan Sistem Manajemen Risiko. Contohnya seperti Dewan Komisaris, Direksi Perusahaan, dan Stakeholder Eksternal.

   Salah satu contoh bentuk RACI Matriks dapat dilihat pada tabel di bawah berikut ini: Table 1.1: RACI Matriks

4. Keterangan tambahan pada RACI MatriksApabila RACI Matriks telah disusun, maka dapat ditambahkan beberapa keterangan seperti :
   • Jenis informasi yang disampaikan sebagai bentuk output dari masing – masing tahapan di Sistem Manajemen Risiko. Contohnya seperti Laporan Identifikasi Risiko, Laporan Evaluasi Sistem Manajemen Risiko, dll
   • Metode penyampaian hasil tahapan di Sistem Manajemen Risiko. Contohnya seperti Monthly Meeting, Yearly Meeting, Management Review Meeting, Email, Surat,dll.
   • Frekuensi penyampaian hasil tahapan Sistem Manajemen Risiko. Contohnya seperti perBulan, perSemester, perTahun, setiap 3 bulan, dll.

Pada dasarnya RACI Matriks adalah salah satu metode yang bertujuan untuk lebih meningkatkan keefektifan Sistem Manajemen Risiko yang diimplementasikan oleh organisasi. Dimana, harapannya apabila sebuah organisasi atau perusahaan telah menyusun RACI Matriks yang baik maka :

• Tidak terdapat tumpang tindih tugas dan tanggung jawab dalam mengimplementasikan Sistem Manajemen Risiko
• Pengambilan keputusan dan penyelesaian masalah menjadi lebih singkat
• Distribusi informasi internal dan eksternal menjadi lebih jelas
• Transparansi terhadap informasi dalam menjalankan Sistem Manajemen

—

^{Hilman Badhi Adikara
Non-IT GRC Consultant
Robere & Associates (Indonesia)}

Kepuasan pelanggan merupakan faktor krusial dalam keberlangsungan sebuah perusahaan. Sebagai pengguna produk atau jasa, pelanggan memiliki peran penting dalam menentukan arah perkembangan bisnis. Oleh karena itu, melakukan survey kepuasan pelanggan menjadi salah satu bentuk komitmen perusahaan dalam memastikan bahwa kebutuhan dan harapan pelanggan terpenuhi dengan baik.

Manfaat Survey Kepuasan Pelanggan bagi Perusahaan

Survey kepuasan pelanggan memberikan banyak manfaat bagi perusahaan, di antaranya:

1. Menilai Kualitas Produk dan Jasa

Melalui survey ini, perusahaan dapat mengetahui sejauh mana produk atau jasa yang disediakan telah memenuhi harapan pelanggan. Dengan memahami tingkat kepuasan pelanggan, perusahaan dapat mengidentifikasi aspek yang perlu diperbaiki atau ditingkatkan.

2. Mengidentifikasi Kebutuhan Perbaikan

Survey kepuasan pelanggan juga berfungsi sebagai alat evaluasi untuk meningkatkan kualitas produk dan layanan. Dengan mendapatkan feedback dari pelanggan, perusahaan dapat melakukan perbaikan yang lebih tepat sasaran dan sesuai dengan kebutuhan pasar.

3. Menganalisis Perilaku Pelanggan

Data dari survey kepuasan pelanggan memungkinkan perusahaan untuk memahami pola perilaku pelanggan, termasuk preferensi, kebiasaan, dan faktor yang mempengaruhi keputusan pembelian. Informasi ini dapat digunakan untuk menyusun strategi pemasaran yang lebih efektif.

4. Meningkatkan Daya Saing Perusahaan

Survey kepuasan pelanggan juga membantu perusahaan dalam membandingkan produk dan layanan mereka dengan kompetitor. Dengan memahami keunggulan dan kelemahan pesaing, perusahaan dapat merancang strategi yang lebih kompetitif dan memperluas pangsa pasar.

Metode Pelaksanaan Survey Kepuasan Pelanggan

Ada berbagai metode yang dapat digunakan perusahaan untuk melakukan survey kepuasan pelanggan, antara lain:

1. Pengajuan Form Survey kepada Pelanggan

Metode ini adalah cara paling sederhana untuk mengumpulkan feedback pelanggan. Form survey dapat disebarkan dalam bentuk kuesioner tertulis atau melalui platform digital seperti email, media sosial, atau website perusahaan.

2. Customer Business Meeting

Mengadakan pertemuan langsung dengan pelanggan memungkinkan perusahaan untuk mendapatkan masukan secara langsung. Selain itu, forum ini juga menjadi kesempatan untuk berdiskusi dan menawarkan solusi terbaik bagi pelanggan.

3. Lost Customer Analysis

Lost Customer Analysis bertujuan untuk menghubungi pelanggan yang berhenti menggunakan produk atau jasa perusahaan guna mengetahui alasan mereka beralih ke kompetitor. Data ini sangat berharga dalam upaya perbaikan layanan dan peningkatan loyalitas pelanggan.

Pentingnya Survey Kepuasan Pelanggan dalam Sistem Manajemen Mutu

Survey kepuasan pelanggan juga merupakan salah satu persyaratan dalam implementasi sistem manajemen mutu, seperti ISO 9001. Dengan melakukan survey ini secara berkala, perusahaan dapat:

• Menilai efektivitas layanan dan produk yang disediakan.
• Mengidentifikasi dan menangani keluhan pelanggan secara proaktif.
• Memastikan peningkatan kualitas secara berkelanjutan.
• Membangun hubungan jangka panjang dengan pelanggan.

Kesimpulan

Melakukan survey kepuasan pelanggan bukan hanya sekadar formalitas, tetapi merupakan strategi bisnis yang dapat meningkatkan kualitas layanan, mempertahankan pelanggan, dan memenangkan persaingan di pasar. Dengan memahami kebutuhan pelanggan dan bertindak berdasarkan hasil survey, perusahaan dapat terus berkembang dan meningkatkan loyalitas pelanggan.

Jika Anda ingin mengetahui lebih lanjut tentang bagaimana meningkatkan kepuasan pelanggan dan menerapkan strategi bisnis berbasis data, pastikan untuk melakukan survey kepuasan pelanggan secara berkala dan menganalisis hasilnya dengan cermat.