Hampir setiap perjalanan ISO/IEC 27001 dimulai dari spreadsheet. Satu sheet berisi daftar risiko, satu kolom untuk skor, satu kolom untuk rencana pengendalian. Untuk tahap awal, cara ini masuk akal: cepat, murah, dan semua orang bisa membukanya.

Masalahnya baru terasa beberapa bulan kemudian, biasanya menjelang audit. File sudah berganti nama lima kali, kolom persetujuan kosong, dan tidak ada yang yakin versi mana yang terakhir dibahas di rapat manajemen.

Yang sebenarnya dicari auditor

Klausul 6.1.2 ISO/IEC 27001 meminta proses penilaian risiko yang menghasilkan hasil konsisten, valid, dan dapat dibandingkan. Klausul 6.1.3 meminta pemilik risiko menyetujui rencana perlakuan dan menerima risiko residual. Lalu klausul 8.2 dan 8.3 meminta hasil penilaian dan perlakuan disimpan sebagai informasi terdokumentasi.

Artinya, auditor tidak hanya ingin melihat daftar risiko. Mereka ingin melihat proses: kriteria apa yang dipakai, siapa yang menilai, kapan dinilai, siapa yang menyetujui, dan apa buktinya.

Tiga masalah klasik risk register di spreadsheet

Versi ganda. Risk register dikirim lewat email, diedit di laptop masing-masing, lalu digabung manual. Satu baris yang terlewat saat penggabungan bisa berarti satu risiko yang hilang dari radar.

Persetujuan di luar sistem. Pemilik risiko menyetujui lewat chat atau rapat, tapi buktinya tidak menempel ke risiko. Saat auditor bertanya "siapa yang menerima risiko residual ini dan kapan?", tim harus menggali kotak masuk.

Tidak ada pemicu ulang. Skor dinaikkan atau kontrol diganti setelah disetujui, tapi status persetujuannya tetap "disetujui". Secara formal, keputusan lama sudah tidak berlaku untuk kondisi yang baru.

Seperti apa risk register yang terkelola

Risk register yang sehat punya beberapa ciri yang sulit dicapai dengan spreadsheet:

• Setiap risiko punya kode unik yang tidak berubah, misalnya R-001, R-002, dan seterusnya.
• Skor dihitung dari matriks kemungkinan dan konsekuensi yang sama untuk semua risiko, sehingga hasilnya bisa dibandingkan.
• Status risiko bergerak lewat alur yang jelas: draf, dievaluasi, menunggu persetujuan, disetujui, berjalan, ditutup.
• Keputusan pemilik risiko dan Direktur tercatat lengkap dengan waktu dan alasannya.
• Rencana pengendalian punya PIC, tenggat, dan hanya bisa ditutup dengan bukti.
• Perubahan pada data penting otomatis mengembalikan risiko ke tahap evaluasi.

Ciri terakhir ini sering terlupakan, padahal paling berpengaruh pada integritas data. Tanpa itu, persetujuan bisa "menempel" pada kondisi risiko yang sudah tidak sama.

Tidak harus mulai dari nol

Kabar baiknya, spreadsheet yang sudah Anda susun tetap berguna. Isinya adalah hasil kerja analisis yang berharga. Yang perlu dipindahkan hanyalah wadahnya, dari file yang berdiri sendiri ke sistem yang punya alur kerja dan jejak audit.

Di Odoo ISO Compliance, workbook Risk Register dan SoA yang sudah ada bisa diimpor langsung. Kategori, kontrol, risiko, dan rencana perlakuan dibuat berdasarkan kodenya, sehingga impor ulang memperbarui data yang sama, bukan menggandakannya. Setelah itu, tim tinggal meninjau hasilnya dan menjalankan alur persetujuan di Odoo.

Langkah praktis sebelum pindah

Agar perpindahan berjalan mulus, ada beberapa hal yang sebaiknya dibereskan dulu di spreadsheet Anda:

• Rapikan kode risiko. Pastikan setiap risiko punya kode unik dan tidak ada dua baris dengan kode sama. Kode inilah yang nantinya dipakai untuk mencocokkan data.
• Seragamkan skala. Bila ada risiko yang dinilai dengan skala 1 sampai 5 dan ada yang 1 sampai 4, putuskan satu skala dan nilai ulang yang berbeda.
• Pastikan setiap risiko punya PIC dan rencana pengendalian. Baris tanpa PIC biasanya adalah risiko yang tidak pernah benar-benar ditangani.
• Petakan ke kontrol Annex A. Setiap risiko sebaiknya terhubung ke minimal satu kontrol, atau ditandai secara eksplisit berada di luar cakupan Annex A.

Pekerjaan ini juga berguna walaupun Anda belum berencana pindah sistem. Hasilnya adalah risk register yang lebih bersih dan lebih mudah dipertahankan saat audit.

Kesimpulan

Spreadsheet adalah alat yang baik untuk berpikir, tapi kurang baik untuk membuktikan. Begitu sistem manajemen keamanan informasi mulai berjalan, yang dibutuhkan adalah risk register yang mencatat keputusan, bukan sekadar daftar.

Ingin melihat bagaimana risk register Anda tampil di Odoo? Lihat fitur Odoo ISO Compliance dan jadwalkan demo.