Author: sertifikat-iso

Konsultan ISO Lama menggeluti bidang Sistem Manajemen Mutu ISO 9001, 14001, OHSAS 18001, MLC, 5R, dll Pernah menjabat Sebagai Senior Konsultan untuk perusahaan konsultan Nasional, QA Manager, QMR Manager, di perusahaan Baja, Taksi , Minimarket, menangani banyak sekali perusahaan nasional ataupun multi nasional seperti General Electric Operations Indonesia, Jotun Powder Coatings, Dufan, Perumnas, Dirlantas Polri, Aetra Air, dll sekarang sebagai Konsultan ISO untuk membantu banyak perusahaan dalam membenahi siste manajemen baik, mutu, lingkungan maupun K3... salam hangat

Checklist Kesiapan Perusahaan Sebelum Audit ISO 27001:2022

September 18, 2026 sertifikat-iso ISO 27001:2013

Menjelang audit eksternal ISO/IEC 27001:2022, banyak organisasi ingin memastikan kesiapan mereka sebelum hari-H. Checklist berikut disusun berdasarkan klausul inti dan struktur Annex A ISO 27001:2022, sebagai penilaian awal mandiri (bukan pengganti audit internal formal).

Komitmen dan Dokumentasi Dasar

☐ Kebijakan keamanan informasi sudah ditetapkan dan disahkan manajemen puncak
☐ Ruang lingkup (scope) SMKI sudah didefinisikan dengan jelas
☐ Peran dan tanggung jawab keamanan informasi sudah ditetapkan di seluruh unit terkait

Risk Assessment dan SoA

☐ Risk assessment sudah dilakukan dan didokumentasikan secara menyeluruh
☐ Statement of Applicability (SoA) sudah disusun berdasarkan struktur 93 kontrol Annex A terbaru
☐ Justifikasi untuk kontrol yang dikecualikan sudah didokumentasikan dengan jelas

Implementasi Kontrol Annex A

☐ Kontrol akses dan autentikasi sudah diterapkan sesuai kebutuhan
☐ Kontrol baru yang relevan (cloud security, data masking, secure coding, dll.) sudah dipertimbangkan sesuai konteks organisasi
☐ Prosedur tanggap insiden keamanan informasi tersedia dan pernah diuji
☐ Kebijakan kerja jarak jauh (remote working) sudah mencakup aspek keamanan informasi

Kesadaran dan Kompetensi

☐ Program pelatihan kesadaran keamanan informasi sudah dijalankan untuk seluruh karyawan
☐ Personel dengan tanggung jawab khusus (misal admin sistem) memiliki kompetensi yang memadai

Pemantauan dan Evaluasi

☐ Audit internal SMKI sudah dilakukan sebelum audit eksternal dijadwalkan (mengacu pada ISO 19011)
☐ Tinjauan manajemen sudah dilaksanakan dan terdokumentasi
☐ Rekaman insiden keamanan informasi (jika ada) sudah dianalisis dan ditindaklanjuti

Kepatuhan Legal dan Status Sertifikasi

☐ Perusahaan sudah memastikan tidak lagi bergantung pada sertifikat ISO 27001:2013 yang sudah kedaluwarsa
☐ Persyaratan hukum dan kontraktual terkait keamanan informasi sudah dipetakan
☐ Asesmen relevansi perubahan iklim sesuai Amd 1:2024 sudah didokumentasikan

Cara Membaca Hasil Checklist

Semakin banyak kotak yang belum tercentang, semakin besar kebutuhan gap analysis formal sebelum audit eksternal dijadwalkan. Idealnya, seluruh item di atas sudah tercentang beberapa bulan sebelum audit, mengingat penerapan kontrol keamanan informasi yang efektif membutuhkan waktu untuk benar-benar melekat dalam operasional sehari-hari.

Dapatkan Gap Analysis Menyeluruh

Checklist ini adalah titik awal, bukan pengganti gap analysis formal. Untuk penilaian menyeluruh dan pendampingan sesuai kondisi perusahaan Anda, diskusikan dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022.

Leave a comment ISO 27001:2022, Sertifikasi ISO 27001

Tahapan Sertifikasi ISO 27001:2022: dari Gap Analysis hingga Audit Eksternal

September 18, 2026 sertifikat-iso ISO 27001:2013

Bagi organisasi yang baru pertama kali akan mengurus sertifikasi ISO/IEC 27001:2022, memahami alur prosesnya sejak awal akan sangat membantu perencanaan waktu dan sumber daya. Berikut tahapan umum dari awal hingga sertifikat diterbitkan.

Tahap 1: Komitmen Manajemen dan Penetapan Ruang Lingkup

Manajemen puncak menetapkan komitmen terhadap keamanan informasi dan menentukan ruang lingkup (scope) SMKI — unit bisnis, lokasi, atau sistem mana saja yang akan tercakup dalam sertifikasi.

Tahap 2: Gap Analysis

Menilai kondisi keamanan informasi saat ini dibandingkan persyaratan ISO 27001:2022 — baik klausul inti maupun 93 kontrol Annex A — untuk mengetahui area yang perlu diperkuat.

Tahap 3: Risk Assessment dan Risk Treatment

Melakukan penilaian risiko keamanan informasi secara menyeluruh, kemudian menyusun rencana perlakuan risiko yang menjadi dasar pemilihan kontrol Annex A yang relevan.

Tahap 4: Penyusunan Dokumentasi SMKI

Menyusun dokumen wajib — kebijakan keamanan informasi, Statement of Applicability (SoA), prosedur pendukung, serta rekaman yang dibutuhkan sesuai klausul 4-10.

Tahap 5: Implementasi Kontrol

Menerapkan kontrol Annex A yang sudah dipilih secara nyata di seluruh unit kerja terkait, termasuk pelatihan kesadaran keamanan informasi bagi karyawan. Panduan penerapan tiap kontrol tersedia dalam ISO/IEC 27002:2022.

Tahap 6: Audit Internal

Melakukan audit internal untuk memverifikasi efektivitas penerapan SMKI sebelum menghadapi audit eksternal, sekaligus menjadi bahan tinjauan manajemen.

Tahap 7: Tinjauan Manajemen

Manajemen puncak meninjau hasil audit internal, kinerja SMKI, dan risiko terkini untuk memastikan sistem berjalan efektif dan mendapat dukungan yang memadai.

Tahap 8: Audit Eksternal Tahap 1 (Document Review)

Lembaga sertifikasi meninjau kelengkapan dokumentasi SMKI dan kesiapan organisasi untuk memastikan sistem cukup matang sebelum lanjut ke audit tahap 2. Pilih lembaga sertifikasi yang terakreditasi, misalnya oleh KAN.

Tahap 9: Audit Eksternal Tahap 2 (Implementasi)

Auditor memverifikasi penerapan SMKI secara langsung di lapangan — wawancara, observasi, dan pengecekan bukti implementasi kontrol Annex A.

Tahap 10: Penerbitan Sertifikat dan Pemeliharaan

Setelah temuan audit ditindaklanjuti dan diverifikasi, sertifikat ISO 27001:2022 diterbitkan — umumnya berlaku 3 tahun dengan audit surveillance tahunan untuk memastikan sistem terus terpelihara.

Berapa Lama Proses Ini Berlangsung?

Durasi bervariasi tergantung skala organisasi dan kematangan sistem keamanan informasi yang sudah ada — mulai dari beberapa bulan bagi organisasi yang sudah memiliki fondasi IT governance yang baik, hingga lebih lama bagi organisasi yang membangun SMKI dari nol.

Ingin Pendampingan di Setiap Tahapan?

Dari gap analysis hingga persiapan audit eksternal, diskusikan kebutuhan pendampingan sertifikasi ISO 27001:2022 perusahaan Anda dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022 dan lembaga sertifikasi terkait.

Leave a comment ISO 27001:2022, Sertifikasi ISO 27001

Risk Assessment ISO 27001:2022: Metodologi Penilaian Risiko Keamanan Informasi

September 18, 2026 sertifikat-iso ISO 27001:2013

Berbeda dari standar berbasis kontrol tetap, ISO/IEC 27001:2022 mendasarkan seluruh sistem manajemen keamanan informasi pada satu proses inti: penilaian risiko (risk assessment). Kontrol Annex A yang diterapkan sebuah organisasi bukan ditentukan secara seragam, melainkan berdasarkan hasil penilaian risiko masing-masing organisasi.

Kenapa Risk Assessment Jadi Pusat SMKI?

Setiap organisasi punya profil risiko keamanan informasi yang berbeda — tergantung jenis data yang dikelola, infrastruktur IT, model bisnis, dan eksposur terhadap ancaman siber. Pendekatan berbasis risiko memastikan sumber daya keamanan informasi dialokasikan pada area yang benar-benar membutuhkan, bukan diterapkan secara seragam tanpa mempertimbangkan konteks.

Tahapan Umum Risk Assessment ISO 27001:2022

1. Identifikasi Aset Informasi

Mendata seluruh aset informasi yang perlu dilindungi — data pelanggan, kekayaan intelektual, sistem IT, infrastruktur, hingga dokumen fisik.

2. Identifikasi Ancaman dan Kerentanan

Mengidentifikasi potensi ancaman (serangan siber, kesalahan manusia, bencana alam, kegagalan sistem) serta kerentanan yang bisa dieksploitasi terhadap masing-masing aset.

3. Analisis Risiko

Menilai kemungkinan (likelihood) dan dampak (impact) dari setiap skenario risiko, umumnya menggunakan matriks risiko kualitatif atau kuantitatif untuk menghasilkan skor risiko.

4. Evaluasi Risiko

Membandingkan skor risiko dengan kriteria penerimaan risiko (risk acceptance criteria) yang sudah ditetapkan organisasi untuk menentukan risiko mana yang membutuhkan penanganan.

5. Perlakuan Risiko (Risk Treatment)

Menentukan strategi penanganan — mitigasi (menerapkan kontrol), transfer (misalnya asuransi siber), penghindaran, atau penerimaan risiko — lalu memilih kontrol Annex A yang relevan sebagai bagian dari Rencana Perlakuan Risiko (Risk Treatment Plan). Panduan rinci tiap kontrol dapat dirujuk pada ISO/IEC 27002:2022.

Kaitan Risk Assessment dengan Statement of Applicability

Hasil risk assessment dan risk treatment menjadi dasar penyusunan Statement of Applicability (SoA) — dokumen yang menyatakan kontrol Annex A mana yang diterapkan, dikecualikan, beserta justifikasinya. Tanpa risk assessment yang solid, SoA berisiko tidak mencerminkan kondisi risiko organisasi yang sebenarnya.

Kesalahan Umum dalam Risk Assessment

Menilai risiko secara terlalu umum tanpa mempertimbangkan konteks spesifik organisasi.
Tidak melibatkan pemilik proses/aset yang relevan dalam penilaian.
Risk assessment hanya dilakukan sekali saat sertifikasi awal, tidak ditinjau ulang secara berkala.
Kriteria penerimaan risiko tidak didefinisikan secara jelas sejak awal.

Butuh Pendampingan Menyusun Risk Assessment yang Solid?

Metodologi risk assessment yang tepat menjadi fondasi keberhasilan sertifikasi ISO 27001:2022. Diskusikan kebutuhan pendampingan penyusunan risk assessment perusahaan Anda dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022.

Leave a comment ISO 27001, ISO 27001:2022

Klausul 4-10 ISO 27001:2022: Ringkasan Persyaratan Utama SMKI

September 18, 2026 sertifikat-iso ISO 27001:2013

Selain perombakan besar di Annex A, ISO/IEC 27001:2022 juga memperbarui beberapa klausul inti (klausul 4 hingga 10) yang menjadi tulang punggung Sistem Manajemen Keamanan Informasi (SMKI). Perubahan di klausul ini mengikuti Harmonized Structure yang ditetapkan dalam ISO/IEC Directives dan juga digunakan standar sistem manajemen ISO lain, sehingga memudahkan integrasi dengan ISO 9001 atau ISO 14001.

Klausul 4: Konteks Organisasi

Klausul 4.2 diperkuat dengan persyaratan analisis kebutuhan dan ekspektasi pihak berkepentingan yang lebih rinci. Klausul 4.4 menambahkan kewajiban untuk mengidentifikasi proses-proses yang dibutuhkan SMKI beserta interaksinya — bukan sekadar menyatakan proses tersebut ada.

Klausul 5: Kepemimpinan

Mengatur komitmen manajemen puncak, kebijakan keamanan informasi, serta peran, tanggung jawab, dan wewenang dalam organisasi — struktur intinya relatif tidak berubah signifikan dari edisi 2013.

Klausul 6: Perencanaan

Klausul 6.2 memperluas persyaratan sasaran keamanan informasi, kini mewajibkan sasaran tersebut dapat dipantau dan dikomunikasikan secara lebih jelas. Klausul 6.3 adalah tambahan baru yang mengatur perencanaan perubahan secara terstruktur — memastikan setiap perubahan pada SMKI direncanakan dengan matang, bukan dilakukan secara ad hoc.

Klausul 7: Dukungan

Mencakup sumber daya, kompetensi, kesadaran, komunikasi, dan informasi terdokumentasi yang dibutuhkan untuk mendukung SMKI — relatif konsisten dengan edisi sebelumnya.

Klausul 8: Operasi

Klausul 8.1 mendapat penguatan panduan terkait perencanaan dan pengendalian operasional, termasuk penetapan kriteria untuk proses-proses yang berjalan sesuai rencana.

Klausul 9: Evaluasi Kinerja

Mengatur pemantauan, pengukuran, analisis, evaluasi, audit internal, dan tinjauan manajemen — memastikan SMKI dievaluasi secara berkala dan sistematis. Panduan pelaksanaan audit sistem manajemen tersedia dalam ISO 19011.

Klausul 10: Peningkatan

Mengatur penanganan ketidaksesuaian, tindakan koreksi, dan peningkatan berkelanjutan terhadap SMKI berdasarkan hasil evaluasi kinerja.

Kenapa Perubahan Klausul Ini Penting Diperhatikan?

Meski perubahan di klausul inti tidak sebesar perombakan Annex A, organisasi tetap perlu meninjau ulang dokumentasi SMKI mereka — terutama terkait identifikasi proses (klausul 4.4), sasaran keamanan informasi yang terukur (klausul 6.2), dan perencanaan perubahan (klausul 6.3) — agar selaras dengan persyaratan audit terbaru.

Pastikan Dokumentasi SMKI Anda Sudah Sesuai Klausul Terbaru

Diskusikan peninjauan dokumentasi SMKI perusahaan Anda agar selaras dengan seluruh klausul ISO 27001:2022 dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022.

Leave a comment ISO 27001, ISO 27001:2022

Annex A ISO 27001:2022: 93 Kontrol dalam 4 Tema

September 18, 2026 sertifikat-iso ISO 27001:2013

Salah satu perubahan paling mencolok dari ISO 27001:2013 ke ISO/IEC 27001:2022 ada di Annex A — daftar kontrol keamanan informasi yang menjadi acuan Statement of Applicability (SoA) setiap organisasi. Jumlah kontrol dirampingkan dari 114 menjadi 93, dan strukturnya dirombak total menjadi 4 tema.

Kenapa Annex A Dirombak?

Restrukturisasi ini bertujuan membuat kontrol lebih relevan dengan lanskap ancaman siber masa kini, menghilangkan tumpang tindih antar kontrol, dan menyederhanakan referensi silang. Dari 114 kontrol versi 2013, 24 kontrol digabung menjadi kontrol baru yang lebih ringkas, 58 kontrol direvisi redaksinya, dan 11 kontrol benar-benar baru ditambahkan (dibahas di artikel terpisah). Struktur ini mengikuti ISO/IEC 27002:2022, standar panduan yang menjabarkan setiap kontrol secara rinci.

4 Tema Kontrol Annex A ISO 27001:2022

1. Kontrol Organisasi (37 kontrol)

Mencakup kebijakan keamanan informasi, peran dan tanggung jawab, manajemen aset, kontrol akses, hubungan dengan pemasok, manajemen insiden, dan kepatuhan terhadap peraturan — tema dengan jumlah kontrol terbanyak.

2. Kontrol Manusia (8 kontrol)

Berfokus pada aspek people di sekitar keamanan informasi: screening karyawan, syarat kerja, kesadaran dan pelatihan keamanan informasi, proses disipliner, tanggung jawab setelah pemutusan hubungan kerja, perjanjian kerahasiaan, kerja jarak jauh (remote working), dan pelaporan kejadian keamanan informasi.

3. Kontrol Fisik (14 kontrol)

Mencakup keamanan area fisik, pemantauan keamanan fisik (kontrol baru), keamanan peralatan, media penyimpanan, kabel, dan pemeliharaan peralatan.

4. Kontrol Teknologi (34 kontrol)

Mencakup kontrol akses pengguna, autentikasi, manajemen konfigurasi, penghapusan informasi, penyamaran data, pencegahan kebocoran data, pemantauan aktivitas, pemfilteran web, dan pengodean aman — sebagian besar merupakan kontrol baru yang mencerminkan ancaman siber terkini.

Bagaimana Ini Mempengaruhi Statement of Applicability (SoA)?

Setiap organisasi wajib meninjau ulang SoA mereka berdasarkan struktur 93 kontrol yang baru ini — menentukan kontrol mana yang berlaku, mana yang dikecualikan beserta justifikasinya, dan memetakan kontrol lama ke struktur baru. Ini menjadi salah satu pekerjaan utama dalam proses transisi maupun sertifikasi baru.

Langkah Praktis Memetakan Kontrol Annex A

Lakukan gap analysis antara kontrol yang sudah diterapkan dengan struktur 93 kontrol baru.
Identifikasi kontrol baru yang relevan dengan konteks organisasi (misalnya cloud security bagi organisasi yang menggunakan layanan cloud).
Perbarui SoA dan dokumentasi pendukung agar selaras dengan penomoran dan pengelompokan kontrol yang baru.

Butuh Bantuan Memetakan Annex A ke Kondisi Perusahaan Anda?

Memetakan 93 kontrol ke konteks bisnis yang spesifik membutuhkan pemahaman mendalam terhadap risiko organisasi. Diskusikan kebutuhan gap analysis dan pendampingan ISO 27001:2022 dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022 dan lampirannya.

Leave a comment ISO 27001, ISO 27001:2022

Status Transisi ISO 27001:2013 ke ISO 27001:2022: Sertifikat Lama Sudah Kedaluwarsa

September 18, 2026 sertifikat-iso ISO 27001:2013

Jika perusahaan Anda masih mengklaim sertifikasi ISO 27001:2013, ada kabar penting yang perlu segera ditindaklanjuti: masa transisi menuju ISO/IEC 27001:2022 sudah resmi berakhir. Per 31 Oktober 2025, seluruh sertifikat ISO 27001:2013 dinyatakan tidak lagi berlaku, tanpa memandang tanggal kedaluwarsa yang tertera di sertifikat tersebut.

Bagaimana Proses Transisi Ini Berjalan?

ISO 27001:2022 pertama kali diterbitkan pada Oktober 2022, menggantikan edisi 2013. Organisasi yang sudah tersertifikasi diberikan masa transisi selama tiga tahun untuk memperbarui sistem manajemen keamanan informasi (SMKI) mereka dan menjalani audit transisi ke edisi baru. Masa transisi ini resmi berakhir pada 31 Oktober 2025. Ketentuan transisi untuk lembaga sertifikasi diterbitkan melalui dokumen wajib IAF, yang kini diarsipkan di daftar dokumen transisi Global ACI.

Apa Artinya Bagi Perusahaan yang Belum Bertransisi?

Perusahaan yang hingga saat ini (September 2026) masih hanya memegang sertifikat ISO 27001:2013 tidak lagi dapat mengklaim memiliki sertifikasi ISO 27001 yang valid. Sertifikat tersebut sudah ditarik oleh lembaga sertifikasi terlepas dari tanggal kedaluwarsanya. Ini berdampak langsung pada:

Persyaratan tender — klien atau mitra bisnis yang mensyaratkan ISO 27001 tidak akan menerima sertifikat 2013 sebagai bukti valid.
Audit vendor — banyak perusahaan kini secara aktif memverifikasi bahwa pemasok memegang sertifikat edisi 2022, bukan lagi 2013.
Kredibilitas keamanan informasi — terutama jika terjadi insiden keamanan data, ketidakmampuan menunjukkan sertifikasi yang valid dapat memperbesar risiko reputasi dan hukum.

Apakah Ada ISO 27001:2026?

Tidak. Hingga saat ini, standar yang berlaku tetap ISO 27001:2022, dengan satu amandemen tambahan (Amd 1:2024) terkait aksi iklim pada klausul 4.1 dan 4.2 — dibahas lebih lanjut di artikel terpisah. Belum ada edisi baru yang menggantikan ISO 27001:2022.

Langkah yang Perlu Segera Diambil

Cek status sertifikat Anda — pastikan sertifikat yang dipegang perusahaan sudah berbasis ISO 27001:2022, bukan 2013.
Jika belum bertransisi, segera hubungi lembaga sertifikasi terakreditasi (misalnya oleh KAN) untuk memulai proses audit transisi atau sertifikasi baru berbasis edisi 2022.
Perbarui Statement of Applicability (SoA) agar mencerminkan struktur 93 kontrol Annex A yang baru.
Audit vendor dan mitra — jika perusahaan Anda mensyaratkan ISO 27001 dari pihak ketiga, pastikan mereka juga sudah memegang sertifikat edisi 2022.

Segera Amankan Status Sertifikasi Perusahaan Anda

Menunda transisi bukan lagi pilihan yang tersedia — periode transisi sudah berakhir. Diskusikan langkah tercepat untuk memperbarui atau memperoleh sertifikasi ISO 27001:2022 dengan konsultan di sertifikat-iso.com.

Leave a comment ISO 27001, ISO 27001:2022, Sertifikasi ISO 27001

Checklist Kesiapan Perusahaan Sebelum Audit Eksternal SMK3

September 18, 2026 sertifikat-iso AUDIT SMK3, SMK3

Menjelang audit eksternal SMK3, banyak perusahaan bertanya: sudah cukup siapkah kami? Checklist berikut disusun berdasarkan elemen-elemen utama SMK3 sesuai PP No. 50 Tahun 2012, untuk membantu Anda melakukan penilaian awal secara mandiri (bukan pengganti audit internal formal).

Komitmen dan Kebijakan K3

☐ Kebijakan K3 sudah ditetapkan secara tertulis dan ditandatangani manajemen puncak
☐ P2K3 sudah dibentuk sesuai UU No. 1 Tahun 1970 dan disahkan oleh instansi ketenagakerjaan setempat
☐ P2K3 memiliki bukti rapat rutin, notulen, dan tindak lanjut rekomendasi
☐ Anggaran K3 sudah dialokasikan secara jelas dalam rencana kerja tahunan

Perencanaan dan Dokumentasi

☐ Identifikasi bahaya dan penilaian risiko sudah terdokumentasi untuk seluruh area kerja
☐ Rencana K3 sudah disusun dengan tujuan dan sasaran yang terukur
☐ Sistem pengendalian dokumen berjalan — dokumen usang sudah ditarik dari peredaran

Pelaksanaan di Lapangan

☐ Prosedur kerja aman tersedia dan dipahami oleh pekerja terkait
☐ APD tersedia sesuai kebutuhan dan digunakan secara konsisten
☐ Prosedur tanggap darurat tersedia dan sudah pernah disimulasikan
☐ Petugas/Ahli K3 yang dipersyaratkan sudah bersertifikat sesuai bidangnya

Pemantauan dan Evaluasi

☐ Audit internal SMK3 sudah dilakukan sebelum menjadwalkan audit eksternal (prinsip audit dapat merujuk pada ISO 19011)
☐ Inspeksi K3 rutin terdokumentasi, termasuk tindak lanjut temuan
☐ Data kecelakaan kerja dan nearmiss tercatat serta dianalisis secara berkala
☐ Alat ukur/instrumen K3 sudah dikalibrasi sesuai jadwal

Kesiapan Menghadapi Temuan Audit

☐ Tim sudah memahami klasifikasi temuan (kritikal, mayor, minor) dan batas waktu tindak lanjutnya
☐ Sudah ada rencana perbaikan cepat untuk potensi bahaya fatal (sumber temuan kritikal)
☐ Perusahaan mengetahui tingkat audit yang akan dijalani (64, 122, atau 166 kriteria)

Cara Membaca Hasil Checklist

Semakin banyak kotak yang belum tercentang, semakin besar kebutuhan perbaikan sebelum audit eksternal dijadwalkan. Idealnya, seluruh item di atas sudah tercentang minimal beberapa bulan sebelum audit, mengingat pembentukan budaya keselamatan kerja yang konsisten membutuhkan waktu — bukan sekadar disiapkan menjelang hari-H.

Dapatkan Gap Analysis Menyeluruh

Checklist ini adalah titik awal, bukan pengganti gap analysis formal maupun audit internal. Untuk penilaian menyeluruh dan pendampingan sesuai kondisi perusahaan Anda, diskusikan dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan PP No. 50 Tahun 2012 dan publikasi terkait per September 2026. Untuk kepastian resmi, selalu rujuk dokumen PP No. 50 Tahun 2012 di JDIH BPK, informasi dari Kementerian Ketenagakerjaan, dan lembaga audit SMK3 yang berwenang.

Leave a comment Audit SMK3, Ceklist SMK3, SMK3

Tahapan Sertifikasi SMK3: dari Persiapan hingga Terbit Sertifikat

September 18, 2026 sertifikat-iso Sertifikasi SMK3, SMK3

Bagi perusahaan yang baru pertama kali akan mengurus sertifikasi SMK3, prosesnya bisa terasa membingungkan tanpa gambaran alur yang jelas. Artikel ini merangkum tahapan umum sertifikasi SMK3 berdasarkan PP No. 50 Tahun 2012, dari persiapan internal hingga sertifikat resmi diterbitkan.

Tahap 1: Komitmen dan Kebijakan K3

Segalanya dimulai dari komitmen manajemen puncak — menetapkan kebijakan K3 tertulis, menunjuk penanggung jawab K3, dan membentuk P2K3 (Panitia Pembina Keselamatan dan Kesehatan Kerja) sesuai amanat UU No. 1 Tahun 1970, yang disahkan oleh instansi ketenagakerjaan setempat.

Tahap 2: Tinjauan Awal dan Identifikasi Bahaya

Perusahaan melakukan tinjauan kondisi K3 saat ini, mengidentifikasi bahaya di seluruh area kerja, dan menilai tingkat risikonya. Hasil tinjauan ini menjadi dasar penyusunan rencana K3 pada tahap berikutnya.

Tahap 3: Perencanaan dan Penyusunan Dokumen SMK3

Berdasarkan hasil identifikasi bahaya, perusahaan menyusun rencana K3, prosedur kerja aman, prosedur tanggap darurat, serta dokumen pendukung lain yang selaras dengan 12 elemen SMK3.

Tahap 4: Implementasi di Lapangan

Rencana dan prosedur yang sudah disusun diterapkan secara nyata — termasuk pelatihan karyawan, penyediaan APD, pemasangan rambu K3, dan pelaksanaan program-program keselamatan kerja sehari-hari.

Tahap 5: Audit Internal SMK3

Sebelum menghadapi audit eksternal, perusahaan disarankan melakukan audit internal terlebih dahulu untuk menemukan dan memperbaiki kekurangan secara mandiri, sehingga peluang lolos audit eksternal dengan hasil baik jauh lebih tinggi. Prinsip pelaksanaan audit dapat merujuk pada ISO 19011.

Tahap 6: Pengajuan dan Penjadwalan Audit Eksternal

Perusahaan mengajukan permohonan audit ke lembaga audit SMK3 yang ditunjuk pemerintah. Tingkat audit (64, 122, atau 166 kriteria) ditentukan berdasarkan skala usaha dan tingkat risiko perusahaan.

Tahap 7: Pelaksanaan Audit Eksternal

Auditor independen memeriksa penerapan SMK3 di lapangan berdasarkan 12 elemen dan kriteria yang berlaku, mengumpulkan bukti dokumen, wawancara karyawan, serta observasi langsung di area kerja.

Tahap 8: Tindak Lanjut Temuan Audit

Bila ditemukan ketidaksesuaian (kritikal, mayor, atau minor), perusahaan wajib melakukan tindakan koreksi sesuai batas waktu yang ditetapkan — kritikal paling lambat 1×24 jam, mayor paling lambat satu bulan — sebelum hasil akhir audit diterbitkan.

Tahap 9: Penerbitan Sertifikat

Setelah seluruh tindak lanjut terverifikasi dan tingkat pencapaian memenuhi syarat minimum, sertifikat SMK3 diterbitkan sesuai kategori pencapaian yang diraih perusahaan (baik atau memuaskan).

Tahap 10: Pemeliharaan dan Audit Berkala

Sertifikasi SMK3 bukan pencapaian sekali jadi. Perusahaan perlu memelihara sistem secara berkelanjutan dan menjalani audit ulang secara berkala untuk mempertahankan status sertifikasi.

Berapa Lama Keseluruhan Proses Ini Berlangsung?

Durasi bervariasi tergantung kesiapan awal perusahaan — mulai dari beberapa bulan bagi perusahaan yang sistem K3-nya sudah cukup matang, hingga lebih lama bagi perusahaan yang harus membangun sistem dari nol.

Ingin Pendampingan di Setiap Tahapan?

Dari penyusunan dokumen hingga persiapan menghadapi audit eksternal, diskusikan kebutuhan pendampingan sertifikasi SMK3 perusahaan Anda dengan konsultan di sertifikat-iso.com.

SMK3 vs ISO 45001: Perbedaan dan Mana yang Dibutuhkan Perusahaan Anda

September 18, 2026 sertifikat-iso ISO 45001, SMK3

Banyak perusahaan bertanya: sudah punya SMK3, apakah masih perlu ISO 45001? Atau sebaliknya? Keduanya memang sama-sama mengatur sistem manajemen keselamatan dan kesehatan kerja, tapi memiliki dasar hukum, cakupan, dan tujuan penerapan yang berbeda — sehingga jawabannya tergantung kebutuhan spesifik bisnis Anda.

SMK3: Regulasi Wajib di Indonesia

SMK3 diatur dalam PP No. 50 Tahun 2012, yang ditetapkan untuk melaksanakan Pasal 87 UU No. 13 Tahun 2003 tentang Ketenagakerjaan dengan UU No. 1 Tahun 1970 tentang Keselamatan Kerja sebagai salah satu dasar hukumnya. Sifatnya wajib bagi perusahaan dengan minimal 100 pekerja atau kegiatan usaha berisiko tinggi di Indonesia. Perusahaan yang tidak menerapkannya menghadapi sanksi administratif dari instansi ketenagakerjaan, sebagaimana dibahas pada artikel terpisah di blog ini.

ISO 45001: Standar Internasional yang Bersifat Sukarela

ISO 45001:2018 adalah standar internasional untuk sistem manajemen keselamatan dan kesehatan kerja yang diterbitkan oleh International Organization for Standardization (ISO), dan telah mendapat amandemen terkait aksi iklim pada 2024. Sifatnya sukarela — perusahaan memilih menerapkannya untuk memperkuat sistem manajemen risiko K3, memenuhi persyaratan klien/mitra internasional, atau meningkatkan daya saing di pasar global. Perlu dicatat, ISO saat ini sedang merevisi standar ini, dengan edisi baru direncanakan terbit sebagai ISO 45001:2027.

Perbandingan Utama

Aspek	SMK3	ISO 45001
Sifat	Wajib (bagi kriteria tertentu)	Sukarela
Dasar Hukum	PP No. 50 Tahun 2012	Standar internasional ISO
Cakupan Berlaku	Nasional (Indonesia)	Global
Struktur Penilaian	12 elemen, kriteria 64/122/166	10 klausul berbasis siklus PDCA
Pengakuan	Diakui pemerintah & tender nasional	Diakui secara internasional

Apakah Perusahaan Bisa Menerapkan Keduanya?

Bisa, dan justru cukup umum dilakukan. Karena keduanya berbagi banyak prinsip yang mirip (kebijakan, identifikasi bahaya, perencanaan, pemantauan, peninjauan), perusahaan yang sudah menerapkan SMK3 dengan baik biasanya sudah memiliki fondasi kuat untuk melangkah ke ISO 45001, atau sebaliknya. Beberapa perusahaan menerapkan keduanya secara terintegrasi untuk efisiensi dokumentasi dan proses.

Jadi, Mana yang Perusahaan Anda Butuhkan?

Jika perusahaan Anda memenuhi kriteria wajib (minimal 100 pekerja atau berisiko tinggi) dan beroperasi di Indonesia — SMK3 adalah keharusan, tidak bisa ditawar.
Jika perusahaan Anda banyak berhubungan dengan klien/mitra internasional, mengikuti tender global, atau ingin memperkuat sistem manajemen risiko K3 secara lebih terstruktur — ISO 45001 adalah nilai tambah yang relevan. Sertifikasi ISO 45001 sebaiknya diperoleh dari lembaga sertifikasi yang terakreditasi, misalnya oleh KAN.
Jika ingin yang paling lengkap — pertimbangkan menerapkan keduanya secara terintegrasi.

Konsultasi Menentukan Kebutuhan Sertifikasi K3 Perusahaan Anda

Tim konsultan di sertifikat-iso.com dapat membantu menilai kebutuhan spesifik perusahaan Anda — baik untuk SMK3, ISO 45001, maupun penerapan terintegrasi keduanya.

Catatan: artikel ini disusun berdasarkan PP No. 50 Tahun 2012, standar ISO 45001:2018, dan publikasi terkait per September 2026. Untuk kepastian resmi, selalu rujuk dokumen resmi masing-masing standar dan informasi dari Kementerian Ketenagakerjaan.

Sanksi Hukum bagi Perusahaan yang Tidak Menerapkan SMK3

September 18, 2026 sertifikat-iso Sertifikasi SMK3, SMK3

Bagi perusahaan dengan minimal 100 pekerja atau kegiatan usaha berisiko tinggi, penerapan SMK3 bukan sekadar anjuran — ini adalah kewajiban yang diatur dalam PP No. 50 Tahun 2012. PP ini ditetapkan untuk melaksanakan Pasal 87 Undang-Undang No. 13 Tahun 2003 tentang Ketenagakerjaan, dengan Undang-Undang No. 1 Tahun 1970 tentang Keselamatan Kerja sebagai salah satu dasar hukumnya. Mengabaikan kewajiban ini membawa risiko hukum yang nyata bagi perusahaan.

Kenapa SMK3 Bersifat Wajib, Bukan Sekadar Anjuran?

Keselamatan dan kesehatan kerja menyangkut keselamatan nyawa manusia, sehingga negara mengaturnya melalui instrumen hukum yang mengikat, bukan sekadar praktik sukarela sebagaimana standar manajemen internasional seperti ISO 45001. Ketentuan ini juga menjadi dasar pengawasan yang dilakukan oleh instansi ketenagakerjaan di tingkat pusat maupun daerah.

Jenis-Jenis Sanksi bagi Perusahaan yang Tidak Patuh

PP No. 50 Tahun 2012 menyatakan bahwa pelanggaran terhadap kewajiban penerapan SMK3 dikenai sanksi administratif sesuai ketentuan peraturan perundang-undangan. Dalam praktiknya, sanksi administratif di bidang ketenagakerjaan dapat diterapkan secara bertahap, misalnya:

Teguran tertulis — peringatan resmi dari instansi pengawas ketenagakerjaan sebagai langkah awal.
Pembatasan kegiatan usaha — pembatasan terhadap sebagian aktivitas operasional perusahaan.
Pembekuan kegiatan usaha — penghentian sementara operasional hingga perusahaan memenuhi kewajiban penerapan SMK3.
Pencabutan izin usaha — sanksi paling berat, dijatuhkan pada kasus ketidakpatuhan yang berkelanjutan atau berdampak serius.

Jenis dan tahapan sanksi yang berlaku untuk kasus tertentu ditentukan oleh peraturan yang relevan dan keputusan instansi berwenang. Selain sanksi administratif, apabila ketidakpatuhan ini berujung pada kecelakaan kerja yang menimbulkan korban, perusahaan juga berpotensi menghadapi tuntutan hukum tersendiri — baik pidana maupun perdata.

Dampak Lain di Luar Sanksi Hukum Langsung

Kehilangan peluang tender — sertifikasi SMK3 sering menjadi salah satu syarat wajib dalam tender proyek nasional maupun internasional, terutama di sektor konstruksi dan migas.
Risiko reputasi — ketidakpatuhan K3 yang terekspos publik dapat merusak kepercayaan klien, mitra bisnis, dan calon karyawan.
Beban finansial tidak langsung — biaya kecelakaan kerja (kompensasi, downtime produksi, investigasi) umumnya jauh lebih besar dibanding biaya penerapan SMK3 itu sendiri.

Langkah Menghindari Risiko Ketidakpatuhan

Pastikan status kewajiban perusahaan Anda — cek apakah jumlah pekerja dan tingkat risiko usaha membuat SMK3 wajib diterapkan.
Mulai dari gap analysis untuk mengetahui sejauh mana kesiapan perusahaan sebelum menghadapi pengawasan atau audit.
Bentuk P2K3 dan tunjuk penanggung jawab K3 bersertifikat sebagai fondasi awal kepatuhan.

Pastikan Kepatuhan SMK3 Perusahaan Anda Sejak Sekarang

Daripada menunggu teguran atau pengawasan, lebih baik memastikan kepatuhan sejak dini. Diskusikan langkah penerapan dan sertifikasi SMK3 dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan PP No. 50 Tahun 2012, UU No. 1 Tahun 1970, dan publikasi terkait per September 2026. Artikel ini bukan nasihat hukum; untuk kepastian hukum, selalu konsultasikan dengan Kementerian Ketenagakerjaan, dinas ketenagakerjaan setempat, atau penasihat hukum terkait.