KLAUSA 10 · ISO/IEC 27001:2022

Perbaikan

Klausa penutup yang menghidupkan seluruh siklus. Dua sub-klausa: kewajiban terus memperbaiki, dan cara menangani ketika ada yang tidak sesuai. Di sinilah hasil audit dan tinjauan manajemen berubah menjadi tindakan nyata.

Pemilik klausa
PIC SMKI bersama pemilik proses tempat ketidaksesuaian terjadi
Sub-klausa
10.1 · 10.2
Dokumen wajib
2 bukti

Hanya 10.2 yang mewajibkan informasi terdokumentasi — dan ia meminta dua hal berbeda: bukti tentang sifat ketidaksesuaian beserta tindakan yang diambil, serta bukti hasil dari tindakan korektif itu. Perhatikan juga urutannya: pada versi 2013, 10.1 adalah ketidaksesuaian dan 10.2 adalah peningkatan berkelanjutan. Pada versi 2022 keduanya bertukar tempat.

10.1 Peningkatan berkelanjutan

Satu kalimat, tanpa dokumen wajib. Justru karena itu banyak yang melewatkannya — padahal auditor tetap meminta bukti bahwa perbaikan benar-benar terjadi.

Apa yang diminta standar

  • NORMATIFSecara berkelanjutan meningkatkan kecocokan, kecukupan, dan efektivitas SMKI.
  • PRAKTIK BAIKMencatat peluang peningkatan yang teridentifikasi beserta status tindak lanjutnya, sehingga "berkelanjutan" dapat ditunjukkan sebagai pola, bukan klaim.
  • PRAKTIK BAIKMenarik peluang peningkatan dari sumber yang beragam: hasil audit, hasil pengukuran, insiden, umpan balik pihak berkepentingan, dan tinjauan manajemen.
  • PRAKTIK BAIKMembedakan peningkatan dari tindakan korektif — peningkatan dilakukan meski tidak ada yang salah, tindakan korektif dipicu oleh ketidaksesuaian.

Keluaran & bukti

Bentuk buktiContoh nyataWajib terdokumentasi
Daftar peluang peningkatanUsulan perbaikan + sumber + status + penanggung jawabTidak eksplisit — tetapi cara termudah membuktikan
Bukti peningkatan terlaksanaPerubahan nyata pada proses, kontrol, atau dokumen beserta alasannyaWajib bisa ditunjukkan
Keputusan dari tinjauan manajemenKeputusan peningkatan yang lahir di 9.3 beserta tindak lanjutnyaVia 9.3

Yang ditanyakan auditor

10.1 diuji dengan membandingkan SMKI Anda hari ini dengan setahun lalu. Kalau tidak ada yang berubah, sulit membuktikan peningkatan berkelanjutan.

  • Apa yang berubah pada SMKI Anda dalam setahun terakhir, dan mengapa?

    Mengapa ditanya: Menguji apakah peningkatan terjadi. SMKI yang identik dengan tahun lalu dipertanyakan.

  • Dari mana peluang peningkatan ini berasal?

    Mengapa ditanya: Peningkatan yang tidak pernah bersumber dari audit, pengukuran, atau insiden menandakan siklus tidak berjalan.

  • Peluang peningkatan yang dicatat enam bulan lalu — apa statusnya?

    Mengapa ditanya: Daftar yang tidak pernah ditindaklanjuti sama saja dengan tidak ada.

Kesalahan yang sering terjadi

Menunggu ada masalah

Peningkatan hanya dilakukan ketika ada temuan, padahal 10.1 tidak mensyaratkan adanya ketidaksesuaian.

Tidak ada jejak

Perbaikan terjadi tetapi tidak pernah dicatat, sehingga tidak bisa ditunjukkan sebagai pola.

Peningkatan hanya di dokumen

Prosedur diperbarui, tetapi tidak ada perubahan nyata pada cara kerja.

10.2 Ketidaksesuaian dan tindakan korektif

Urutan yang tidak boleh dilompati. Kesalahan paling umum adalah berhenti di langkah pertama — memperbaiki gejalanya, lalu menganggap selesai tanpa pernah mencari penyebabnya.

Apa yang diminta standar

11

persyaratan normatif

Bereaksi segera

  1. Kendalikan dan koreksiNORMATIF

    Ketika terjadi ketidaksesuaian, bereaksi terhadapnya dan, bila dapat diterapkan, mengambil tindakan untuk mengendalikan serta mengoreksinya.

  2. Tangani konsekuensinyaNORMATIF

    Menangani konsekuensi yang ditimbulkan ketidaksesuaian tersebut.

Mencari akar penyebab

  1. Tinjau ketidaksesuaianNORMATIF

    Mengevaluasi kebutuhan tindakan untuk menghilangkan penyebab ketidaksesuaian, dimulai dengan meninjau ketidaksesuaian itu sendiri.

  2. Tentukan penyebabnyaNORMATIF

    Menentukan penyebab ketidaksesuaian.

  3. Cek tempat lainNORMATIF

    Menentukan apakah ada ketidaksesuaian serupa yang sudah terjadi, atau berpotensi terjadi di tempat lain.

  4. Metode akar penyebabPRAKTIK BAIK

    Memakai metode analisis akar penyebab yang terstruktur, sehingga penyebab yang ditemukan dapat dipertanggungjawabkan.

Bertindak dan menilai efektivitas

  1. Terapkan tindakanNORMATIF

    Menerapkan tindakan apa pun yang diperlukan.

  2. Tinjau efektivitasnyaNORMATIF

    Meninjau efektivitas tindakan korektif yang diambil.

  3. Ubah SMKI bila perluNORMATIF

    Membuat perubahan pada SMKI bila diperlukan.

  4. Sepadan dengan dampaknyaNORMATIF

    Tindakan korektif harus tepat dengan efek dari ketidaksesuaian yang ditemui.

Membuktikan

  1. Bukti sifat & tindakanNORMATIF

    Menyimpan informasi terdokumentasi sebagai bukti sifat ketidaksesuaian dan setiap tindakan yang diambil setelahnya.

  2. Bukti hasilNORMATIF

    Menyimpan informasi terdokumentasi sebagai bukti hasil dari setiap tindakan korektif.

11

Empat tahap ini berurutan dan tidak boleh dilompati. Koreksi menghentikan pendarahan; tindakan korektif menghilangkan penyebabnya. Organisasi yang berhenti di tahap pertama akan menemukan ketidaksesuaian yang sama muncul lagi di audit berikutnya — dan itu memberatkan.

Keluaran & bukti

Bentuk buktiContoh nyataWajib terdokumentasi
Register ketidaksesuaianUraian, sumber, tanggal, tingkat keparahan, penanggung jawabYa — normatif
Analisis akar penyebabPenyebab yang ditemukan beserta metode analisisnyaWajib
Tindakan korektifTindakan, tenggat, penanggung jawab, statusWajib
Verifikasi efektivitasBukti bahwa tindakan berhasil dan masalahnya tidak berulangYa — normatif
Cakupan ke tempat lainHasil penelusuran apakah masalah serupa ada di unit atau proses lainWajib

Yang ditanyakan auditor

10.2 adalah klausa yang diperiksa auditor terhadap temuannya sendiri. Cara menangani temuan audit sebelumnya menjadi bukti langsung apakah 10.2 Anda bekerja.

  • Temuan audit internal tahun lalu — apa akar penyebabnya, dan apa tindakan korektifnya?

    Mengapa ditanya: Menguji seluruh rantai sekaligus.

  • Bagaimana Anda tahu tindakan korektif ini berhasil?

    Mengapa ditanya: Butir tinjauan efektivitas, yang paling sering kosong. Status 'selesai' bukan bukti efektif.

  • Ketidaksesuaian ini terjadi di unit A. Apakah Anda memeriksa unit B dan C?

    Mengapa ditanya: Butir ketidaksesuaian serupa di tempat lain — hampir selalu terlewat.

  • Temuan ini muncul lagi tahun ini setelah ditutup tahun lalu. Apa yang terjadi?

    Mengapa ditanya: Ketidaksesuaian berulang menandakan akar penyebabnya tidak pernah benar-benar ditemukan.

Kesalahan yang sering terjadi

Koreksi dianggap tindakan korektif

Gejalanya diperbaiki, penyebabnya tidak pernah dicari — dan masalahnya kembali.

Akar penyebab dangkal

Ditulis "kelalaian petugas" tanpa menelusuri mengapa kelalaian itu bisa terjadi.

Efektivitas tidak ditinjau

Tindakan ditandai selesai, tetapi tidak pernah diperiksa apakah berhasil.

Tidak diperiksa di tempat lain

Diperbaiki hanya di lokasi temuan, padahal masalah yang sama ada di unit lain.

Tindakan tidak sepadan

Ketidaksesuaian kecil ditangani dengan perombakan besar, atau sebaliknya — temuan serius ditutup dengan tindakan seadanya.

Register hanya berisi temuan audit

Ketidaksesuaian dari insiden, keluhan, atau pemantauan tidak pernah masuk register.

Checklist kesiapan

Daftar periksa cepat sebelum audit — bersifat panduan, tidak tersimpan.

  • Ada daftar peluang peningkatan dengan status tindak lanjut yang mutakhir.
  • Peningkatan bersumber dari beragam masukan: audit, pengukuran, insiden, umpan balik, dan tinjauan manajemen.
  • Ada perubahan nyata pada SMKI dalam setahun terakhir yang dapat ditunjukkan.
  • Register ketidaksesuaian mencakup semua sumber, bukan hanya temuan audit.
  • Setiap ketidaksesuaian punya analisis akar penyebab, bukan sekadar koreksi.
  • Ditelusuri apakah ketidaksesuaian serupa ada atau berpotensi di tempat lain.
  • Efektivitas tiap tindakan korektif ditinjau, bukan sekadar ditandai selesai.
  • Tindakan korektif sepadan dengan dampak ketidaksesuaiannya.
  • Tidak ada ketidaksesuaian yang sudah ditutup lalu muncul kembali.
  • Bukti tersimpan untuk dua hal: sifat ketidaksesuaian beserta tindakannya, dan hasil tindakan korektif.

Disclaimer: smkionline.id adalah penyedia jasa konsultasi implementasi ISO/IEC 27001:2022 dan bukan badan sertifikasi. Materi ini merupakan penjelasan orisinal, bukan salinan teks standar.