Statement of Applicability (SoA) adalah salah satu dokumen yang paling sering dibuka auditor ISO/IEC 27001. Bentuknya sederhana, biasanya hanya tabel. Tapi justru karena sederhana, kesalahan kecil di dalamnya mudah terlewat dan baru ketahuan saat audit.

Apa isi SoA menurut standar

Klausul 6.1.3 huruf d meminta organisasi membuat SoA yang memuat kontrol yang diperlukan, alasan kontrol itu dipilih, apakah kontrol sudah diterapkan atau belum, dan alasan bila ada kontrol Annex A yang dikecualikan.

Pada versi 2022, Annex A berisi 93 kontrol yang dikelompokkan dalam empat tema:

• Organizational: 37 kontrol (5.1 sampai 5.37)
• People: 8 kontrol (6.1 sampai 6.8)
• Physical: 14 kontrol (7.1 sampai 7.14)
• Technological: 34 kontrol (8.1 sampai 8.34)

Setiap baris SoA idealnya menjawab tiga pertanyaan: apakah kontrol ini berlaku, sudah sejauh mana diterapkan, dan kenapa.

Empat kesalahan yang sering ditemukan

1. Justifikasi copy-paste. Kolom justifikasi diisi "tidak relevan" atau "sesuai kebutuhan" untuk puluhan kontrol. Auditor akan meminta penjelasan yang spesifik, misalnya kenapa pengembangan perangkat lunak secara outsourcing tidak berlaku bagi organisasi Anda.

2. Kontrol dikecualikan, tapi dipakai di risk register. Ini konflik yang paling sering muncul. SoA menyatakan kontrol tidak diterapkan, sementara risk register mencantumkannya sebagai kontrol pengendali risiko. Salah satunya pasti keliru.

3. Status "belum diputuskan" menumpuk. Saat menyusun SoA pertama kali, wajar ada kontrol yang belum diputuskan. Masalah muncul ketika status itu bertahan berbulan-bulan tanpa pemilik dan tenggat.

4. SoA tidak ikut diperbarui. Risiko baru ditambahkan, kontrol baru diterapkan, tapi SoA masih versi enam bulan lalu. Dokumen yang seharusnya menjadi peta kontrol justru tertinggal dari kondisi nyata.

Menjaga SoA tetap sinkron

Akar dari hampir semua kesalahan di atas sama: SoA dan risk register disimpan sebagai dua dokumen terpisah yang diperbarui secara manual. Selama keduanya terpisah, sinkronisasi bergantung pada ketelitian satu orang.

Pendekatan yang lebih andal adalah memperlakukan SoA sebagai tampilan dari data kontrol, bukan dokumen yang diketik ulang. Kontrol dan risiko saling terhubung, lalu sistem memeriksa konsistensinya.

Begitulah cara kerja SoA di Odoo ISO Compliance. Setiap kontrol Annex A punya status penerapan, justifikasi, dan tautan ke risiko serta dokumen. Kolom pemeriksaan langsung menandai kontrol yang belum diputuskan, justifikasinya kosong, atau berstatus tidak diterapkan tetapi masih dipetakan ke risiko. Sistem bahkan menolak pemetaan kontrol yang sudah dinyatakan tidak diterapkan.

Saat dibutuhkan, laporan PDF Statement of Applicability bisa dicetak langsung dari daftar kontrol.

Tips menulis justifikasi yang kuat

Justifikasi yang baik menjawab pertanyaan "kenapa" dengan merujuk ke kondisi nyata organisasi. Beberapa pola yang bisa dipakai:

• Rujuk hasil penilaian risiko. Contoh: "Diterapkan untuk mengendalikan R-012 dan R-027 terkait akses tidak sah ke data klien."
• Rujuk ruang lingkup. Contoh: "Tidak diterapkan karena organisasi tidak mengembangkan perangkat lunak secara internal maupun melalui pihak ketiga."
• Rujuk kewajiban eksternal. Contoh: "Diterapkan untuk memenuhi ketentuan perlindungan data pribadi dan klausul kerahasiaan dalam kontrak klien."
• Rujuk dokumen pendukung. Sebutkan kebijakan atau prosedur yang menjadi bukti penerapan, sehingga auditor tahu harus memeriksa apa.

Hindari justifikasi yang hanya mengulang nama kontrol. Bila Anda kesulitan menjelaskan kenapa sebuah kontrol diterapkan, mungkin itu tanda bahwa hubungannya dengan risiko belum dipikirkan dengan matang.

Satu catatan penting

Pemeriksaan otomatis memastikan data Anda konsisten, bukan memastikan keputusan Anda benar. Apakah sebuah kontrol layak dikecualikan tetap merupakan keputusan manajemen berdasarkan hasil penilaian risiko. Sistem membantu agar keputusan itu terdokumentasi dengan rapi dan tidak saling bertentangan.

Kesimpulan

SoA yang baik bukan yang paling tebal, tapi yang setiap barisnya bisa dipertanggungjawabkan dan selalu selaras dengan risk register. Pelajari cara Odoo ISO Compliance mengelola SoA dan Annex A.