Audit internal sering diperlakukan sebagai gladi resik sebelum audit sertifikasi. Tim sibuk mengumpulkan bukti selama dua minggu, laporan diserahkan, lalu temuan pelan-pelan terlupakan sampai audit berikutnya.
Padahal standar ISO melihat audit internal sebagai alat untuk menemukan masalah lebih awal, dan tindakan korektif sebagai cara memastikan masalah yang sama tidak terulang.
Apa yang diminta klausul 9.2
Baik ISO 9001 maupun ISO/IEC 27001 meminta organisasi merencanakan program audit, menetapkan kriteria dan lingkup setiap audit, memilih auditor yang objektif dan tidak berpihak, melaporkan hasilnya ke manajemen terkait, dan menyimpan bukti pelaksanaannya.
Dua hal yang sering terlewat:
- Program, bukan sekadar jadwal. Program audit tahunan sebaiknya memuat tujuan, kriteria, dan metode, lalu dipantau sampai semua audit di dalamnya selesai.
- Objektivitas auditor. Auditor tidak mengaudit pekerjaannya sendiri, dan verifikasi temuan sebaiknya dilakukan oleh orang selain auditor yang menemukannya.
Checklist yang berangkat dari persyaratan
Checklist audit yang disusun dari nol setiap tahun cenderung tidak konsisten. Lebih baik checklist dimuat langsung dari daftar persyaratan atau kontrol yang berlaku, misalnya kontrol Annex A yang diterapkan atau persyaratan klausul ISO 9001. Setiap baris lalu diberi hasil: sesuai, observasi, minor, mayor, atau tidak diaudit, lengkap dengan buktinya.
Dengan cara ini, cakupan audit bisa dilacak dari tahun ke tahun, dan area yang belum pernah diaudit langsung terlihat.
Tindakan korektif yang benar-benar korektif
Klausul 10.2 ISO 9001 tentang ketidaksesuaian dan tindakan korektif berisi beberapa langkah yang sering dipotong:
- Bereaksi terhadap ketidaksesuaian dan melakukan koreksi.
- Mencari akar penyebabnya, bukan hanya gejalanya.
- Memeriksa apakah ada ketidaksesuaian serupa, atau berpotensi terjadi, di tempat lain.
- Menjalankan tindakan yang diperlukan.
- Meninjau efektivitas tindakan tersebut.
- Memperbarui risiko dan peluang bila perlu.
Langkah pemeriksaan kasus serupa dan tinjauan efektivitas adalah yang paling sering dilewati. Akibatnya, temuan yang sama muncul lagi di audit berikutnya, hanya di departemen yang berbeda.
Contoh: temuan yang terus kembali
Bayangkan audit internal menemukan bahwa hak akses mantan karyawan di sistem CRM belum dicabut. Tindakan yang paling cepat adalah mencabut akses tersebut, lalu menutup temuan. Itu koreksi, bukan tindakan korektif.
Tindakan korektif bertanya lebih jauh. Kenapa aksesnya belum dicabut? Ternyata proses offboarding hanya memberi tahu tim TI tentang email dan laptop, tidak tentang aplikasi lain. Apakah ada kasus serupa? Setelah diperiksa, akses mantan karyawan juga masih aktif di dua aplikasi lain.
Tindakannya lalu menyasar akar penyebab: daftar periksa offboarding diperbarui agar mencakup semua aplikasi, dan pemilik setiap aplikasi ditunjuk. Tiga bulan kemudian, efektivitasnya ditinjau dengan mengambil sampel karyawan yang keluar. Bila masih ada akses yang tertinggal, tindakan dinyatakan tidak efektif dan ketidaksesuaian lanjutan dibuka.
Perbedaan antara kedua pendekatan ini terlihat jelas di audit berikutnya.
Menutup lingkaran
Agar audit internal memberi nilai, alurnya perlu tersambung: program audit menghasilkan audit, audit menghasilkan temuan, temuan menghasilkan ketidaksesuaian, dan ketidaksesuaian baru ditutup setelah efektivitasnya ditinjau. Bila tindakan ternyata tidak efektif, harus ada ketidaksesuaian lanjutan, bukan sekadar menutup yang lama.
Di Odoo ISO Compliance, alur ini berjalan dalam satu sistem. Program audit tahunan memantau progres setiap audit, checklist dimuat dari kontrol dan persyaratan standar, dan audit hanya bisa diselesaikan bila laporan terlampir dan semua baris checklist terisi. Ketidaksesuaian mewajibkan akar penyebab, tindakan, PIC, tenggat, dan hasil pemeriksaan kasus serupa sebelum diverifikasi. Tinjauan efektivitas dapat memicu pembaruan risiko atau ketidaksesuaian lanjutan.
Kesimpulan
Audit internal yang efektif diukur dari berapa banyak masalah yang tidak terulang, bukan dari berapa tebal laporannya. Pelajari fitur audit internal dan CAPA di Odoo ISO Compliance.