ISO 27701 audit checklist membantu internal auditor dan practitioner menyiapkan pertanyaan audit yang terstruktur untuk menilai apakah Privacy Information Management System atau PIMS telah dirancang, diterapkan, dimonitor, dan diperbaiki secara memadai.
Checklist seharusnya tidak digunakan sebagai daftar centang mekanis. Internal audit perlu melihat hubungan antara business context, privacy governance, processing activity, privacy risk, internal control, evidence, incident, monitoring, management review, dan continual improvement.
ISO/IEC 27701:2025 adalah edisi terbaru dan menggantikan edisi 2019. Edisi 2025 merupakan independent management system standard untuk PIMS. Karena itu, audit program dan training yang disusun saat ini perlu menggunakan struktur dan requirements dari versi yang berlaku, bukan mengandalkan checklist lama yang dibuat hanya untuk edisi 2019.
ISO 27701 Audit Checklist
Photo by Leeloo The First on Pexels
Artikel ini tidak menyalin atau menggantikan isi standar. Checklist di bawah merupakan learning framework berbasis prinsip audit, governance, risk management, internal control, dan evidence untuk membantu practitioner menyiapkan audit yang lebih efektif.
Materi internal mengenai GRC maturity menunjukkan bahwa assessment yang kuat perlu melihat process, people, tools, risk management, communication, governance, information system, monitoring, dan continual improvement secara terintegrasi.
Materi internal mengenai pengendalian digital juga menempatkan process-risk-control, control owner, testing, evidence, remediation, workflow, dan audit trail sebagai bagian penting ketika efektivitas control ingin dibuktikan.
Apa Itu ISO 27701 Audit Checklist?
Photo by Leeloo The First on Pexels
ISO 27701 audit checklist adalah alat bantu untuk memastikan auditor membahas area yang relevan secara konsisten.
Checklist dapat membantu auditor:
- menyusun audit plan;
- menentukan interview questions;
- mengidentifikasi evidence;
- melakukan sampling;
- menilai design control;
- menilai implementation;
- mencatat gap;
- menyusun finding;
- menentukan follow-up.
Checklist bukan pengganti professional judgement.
Auditor tetap perlu mempertimbangkan scope, business process, risk profile, processing activity, third party, incident history, dan maturity organisasi.
Mengapa Checklist Audit Privacy Tidak Boleh Terlalu Generik?
Photo by Leeloo The First on Pexels
Privacy management memiliki karakteristik yang berbeda antarorganisasi.
Perusahaan dengan volume processing tinggi, banyak third party, digital channel, dan complex data flow membutuhkan audit yang berbeda dengan organisasi yang processing activity-nya lebih sederhana.
Checklist generik dapat gagal melihat:
- critical processing activity;
- high privacy risk;
- third-party dependency;
- control weakness;
- unresolved incident;
- data flow yang tidak terdokumentasi;
- accountability gap;
- evidence gap.
Audit perlu berbasis risk.
Tujuan Internal Audit PIMS
Photo by Kindel Media on Pexels
Internal audit PIMS dapat digunakan untuk menilai:
- apakah governance memadai;
- apakah role dan accountability jelas;
- apakah processing activity dipahami;
- apakah privacy risk dinilai;
- apakah control dirancang sesuai risk;
- apakah control dijalankan;
- apakah evidence tersedia;
- apakah incident ditangani;
- apakah monitoring dilakukan;
- apakah corrective action efektif;
- apakah continual improvement berjalan.
Tujuannya bukan mencari sebanyak mungkin temuan. Audit perlu memberikan assurance dan insight.
Persiapan Sebelum Menggunakan ISO 27701 Audit Checklist
Photo by Leeloo The First on Pexels
Auditor perlu memahami konteks sebelum mulai interview.
Dokumen awal yang dapat diminta:
- PIMS scope;
- privacy policy;
- organization structure;
- RACI;
- privacy information inventory;
- processing activity map;
- privacy risk register;
- control matrix;
- third-party register;
- incident register;
- training record;
- monitoring report;
- previous audit findings;
- management review record;
- corrective action register.
Document review membantu auditor menentukan area yang membutuhkan sampling lebih mendalam.
Checklist 1: Scope dan Context
Photo by RDNE Stock project on Pexels
Pertanyaan audit dapat mencakup:
- Apakah scope PIMS telah ditetapkan?
- Apakah scope mencakup processing activity yang relevan?
- Apakah unit, system, location, dan third party yang relevan telah dipertimbangkan?
- Apakah perubahan business process memicu review scope?
- Apakah stakeholder dan kebutuhan privacy dipahami?
- Apakah context direview secara periodik?
Evidence dapat berupa scope statement, process map, system inventory, organizational chart, dan review record.
Checklist 2: Privacy Governance
Photo by Jan van der Wolf on Pexels
Auditor perlu memahami governance structure.
Pertanyaan:
- Siapa accountable terhadap PIMS?
- Apakah role privacy function jelas?
- Apakah business owner memahami tanggung jawabnya?
- Apakah data owner dan technology owner telah ditetapkan?
- Apakah escalation authority jelas?
- Apakah management menerima privacy reporting?
- Apakah keputusan penting memiliki evidence?
Finding dapat muncul apabila governance ada di atas kertas tetapi tidak digunakan.
Checklist 3: Roles dan RACI
Photo by Pavel Danilyuk on Pexels
Auditor dapat menguji:
- apakah Responsible dan Accountable dibedakan;
- apakah ownership processing activity jelas;
- apakah privacy risk memiliki owner;
- apakah control memiliki owner;
- apakah incident memiliki escalation owner;
- apakah third-party privacy review memiliki responsible function.
Interview beberapa fungsi dapat menunjukkan apakah RACI benar-benar dipahami.
Checklist 4: Privacy Information Inventory
Audit perlu menilai visibility terhadap PII processing.
Pertanyaan:
- Apakah organisasi memiliki inventory?
- Apakah business process terhubung dengan information?
- Apakah system dan storage location teridentifikasi?
- Apakah access diketahui?
- Apakah third party tercatat?
- Apakah retention dipahami?
- Apakah inventory diperbarui saat process berubah?
Sampling dapat membandingkan inventory dengan process aktual.
Checklist 5: Processing Activity
Auditor dapat menanyakan:
- Apakah tujuan processing dijelaskan?
- Apakah process owner mengetahui data apa yang diproses?
- Apakah penggunaan aktual sesuai dengan yang didokumentasikan?
- Apakah perubahan purpose direview?
- Apakah access sesuai kebutuhan kerja?
- Apakah downstream processing diketahui?
Walkthrough process berguna untuk menguji konsistensi dokumentasi.
Checklist 6: Privacy Risk Assessment
Risk assessment adalah area penting.
Pertanyaan:
- Apakah privacy risk methodology tersedia?
- Apakah risk criteria konsisten?
- Apakah risk event ditulis dengan jelas?
- Apakah cause dan impact dibedakan?
- Apakah existing control dipertimbangkan?
- Apakah residual risk dihitung atau dinilai?
- Apakah treatment memiliki owner?
- Apakah high risk dieskalasikan?
- Apakah risk direview saat process berubah?
Materi internal ERM menempatkan identification, assessment, prioritization, treatment, control, KRI, monitoring, dan reporting sebagai satu siklus.
Checklist 7: Risk-Control Mapping
Auditor perlu memastikan control memang menjawab risk.
Pertanyaan:
- Apakah setiap material risk memiliki control atau treatment?
- Apakah control objective jelas?
- Apakah control owner ditetapkan?
- Apakah frekuensi control ditentukan?
- Apakah evidence didefinisikan?
- Apakah control effectiveness pernah diuji?
- Apakah ineffective control memiliki remediation?
Materi internal digital control menekankan keterkaitan risk, control, testing, evidence, review, remediation, dan audit trail.
Checklist 8: Access dan Information Handling
Audit dapat menguji:
- apakah access diberikan berdasarkan kebutuhan;
- apakah approval tersedia;
- apakah access direview;
- apakah terminated user dicabut tepat waktu;
- apakah information handling guideline tersedia;
- apakah restricted information memiliki control tambahan;
- apakah exception dicatat.
Sample access review dapat digunakan sebagai audit evidence.
Checklist 9: Retention dan Disposal
Auditor dapat menilai:
- apakah retention requirement ditentukan;
- apakah owner memahami retention;
- apakah retention diterapkan pada system;
- apakah disposal memiliki procedure;
- apakah disposal memiliki evidence;
- apakah exception direview;
- apakah third party mengikuti requirement yang relevan.
Documented rule perlu dibandingkan dengan actual practice.
Checklist 10: Third-Party Privacy Management
Third party dapat menjadi area risiko yang material.
Pertanyaan audit:
- Apakah third party yang memproses PII terinventarisasi?
- Apakah criticality dinilai?
- Apakah due diligence dilakukan?
- Apakah privacy requirement masuk contract?
- Apakah incident notification diatur?
- Apakah subcontractor diketahui?
- Apakah performance dimonitor?
- Apakah termination dan data return/disposal diatur?
Materi internal BIA menempatkan third party sebagai dependency yang perlu dipahami bersama process, application, technology, dan critical resources.
Checklist 11: Privacy Incident Management
Audit dapat menguji incident lifecycle.
Pertanyaan:
- Apakah incident definition jelas?
- Apakah user mengetahui cara melaporkan?
- Apakah classification tersedia?
- Apakah containment dilakukan?
- Apakah impact assessment terdokumentasi?
- Apakah escalation tepat waktu?
- Apakah root cause dianalisis?
- Apakah corrective action ditetapkan?
- Apakah closure diverifikasi?
Auditor dapat memilih beberapa incident untuk walkthrough.
Checklist 12: Training dan Awareness
Pertanyaan audit:
- Apakah training needs ditentukan?
- Apakah role berisiko tinggi mendapat training yang sesuai?
- Apakah new joiner memperoleh awareness?
- Apakah refresher dilakukan?
- Apakah training completion dimonitor?
- Apakah efektivitas pembelajaran diukur?
- Apakah incident atau finding digunakan sebagai learning material?
Attendance saja tidak membuktikan competency.
Checklist 13: Monitoring dan KRI
Auditor dapat menilai:
- Apakah privacy indicator ditetapkan?
- Apakah KRI memiliki threshold?
- Apakah issue yang melewati threshold dieskalasikan?
- Apakah trend dianalisis?
- Apakah overdue action dimonitor?
- Apakah third-party issue masuk reporting?
- Apakah management menerima informasi yang relevan?
Monitoring harus menghasilkan action.
Checklist 14: Management Review
Pertanyaan dapat mencakup:
- Apakah management review dilakukan secara terjadwal?
- Apakah top privacy risk dibahas?
- Apakah incident dan audit findings dibahas?
- Apakah control weakness dibahas?
- Apakah corrective action status dibahas?
- Apakah resource need dibahas?
- Apakah keputusan memiliki owner dan due date?
Auditor perlu melihat keputusan, bukan hanya meeting attendance.
Checklist 15: Internal Audit Process
Internal audit function juga perlu mengevaluasi proses auditnya sendiri.
Pertanyaan:
- Apakah audit plan berbasis risk?
- Apakah auditor kompeten dan independen?
- Apakah scope jelas?
- Apakah sampling memiliki dasar?
- Apakah evidence cukup?
- Apakah finding dapat ditelusuri?
- Apakah corrective action difollow-up?
Checklist 16: Corrective Action
Corrective action perlu mengatasi root cause.
Auditor dapat memeriksa:
- finding;
- root cause;
- action;
- owner;
- target date;
- evidence;
- effectiveness review;
- closure approval.
Action yang hanya memperbaiki symptom berisiko menghasilkan repeat finding.
Checklist 17: Continual Improvement
Auditor dapat menanyakan:
- Apakah incident menghasilkan lesson learned?
- Apakah audit finding digunakan untuk memperbaiki process?
- Apakah risk register diperbarui?
- Apakah control diperbaiki setelah failure?
- Apakah policy direview?
- Apakah training diperbarui?
- Apakah management memonitor improvement?
PIMS yang matang menunjukkan learning loop.
Audit Evidence Matrix
Area: Governance
Contoh Evidence: RACI, meeting record, decision log
Audit Approach: Document review dan interview
Area: Processing
Contoh Evidence: Inventory, process map, system record
Audit Approach: Walkthrough dan sampling
Area: Risk
Contoh Evidence: Risk register, treatment, approval
Audit Approach: Trace risk to control
Area: Control
Contoh Evidence: Control record, access review, monitoring
Audit Approach: Design dan effectiveness testing
Area: Incident
Contoh Evidence: Incident log, investigation, action
Audit Approach: Case walkthrough
Area: Improvement
Contoh Evidence: Finding, root cause, closure evidence
Audit Approach: Follow-up testing
Design Effectiveness vs Operating Effectiveness
Auditor perlu membedakan dua pertanyaan.
Design effectiveness bertanya apakah control yang dirancang cukup untuk menjawab risk.
Operating effectiveness bertanya apakah control tersebut benar-benar dijalankan secara konsisten.
Contoh:
Policy menyatakan access review dilakukan setiap periode tertentu.
Design audit melihat apakah frequency, owner, scope, dan evidence sudah jelas.
Operating effectiveness melihat apakah review benar-benar dilakukan, exception ditindaklanjuti, dan evidence tersedia.
Perbedaan ini penting agar audit tidak berhenti pada keberadaan dokumen.
Sampling dalam Audit ISO 27701
Auditor tidak selalu perlu memeriksa seluruh population.
Sampling dapat berbasis:
- high-risk process;
- high-volume processing;
- critical third party;
- recent change;
- previous finding;
- recent incident;
- exception history.
Risk-based sampling membantu audit lebih fokus.
Interview Techniques untuk Internal Auditor PIMS
Pertanyaan yang lebih baik biasanya bersifat terbuka.
Daripada bertanya “apakah ada policy?”, auditor dapat bertanya:
“Bagaimana process owner mengetahui informasi apa yang boleh diproses?”
“Bagaimana high privacy risk dieskalasikan?”
“Bagaimana control owner membuktikan control telah dijalankan?”
“Bagaimana perubahan system memicu privacy review?”
Pertanyaan process-oriented membantu auditor memahami actual practice.
Walkthrough Audit
Walkthrough mengikuti satu transaksi, process, atau processing activity dari awal sampai akhir.
Auditor dapat menelusuri:
- tujuan processing;
- information source;
- system;
- access;
- control;
- third party;
- retention;
- monitoring;
- evidence.
Walkthrough sering menemukan gap yang tidak terlihat dari policy review.
Menulis Audit Finding
Finding perlu memiliki struktur yang jelas.
Komponen dapat mencakup:
- condition;
- criteria;
- cause;
- risk or impact;
- recommendation.
Auditor perlu menghindari rekomendasi yang terlalu preskriptif apabila management memiliki beberapa pilihan treatment.
Root Cause Analysis
Root cause dapat berasal dari:
- role tidak jelas;
- competency gap;
- process tidak memadai;
- system limitation;
- monitoring tidak ada;
- resource tidak cukup;
- governance tidak efektif;
- change tidak dikendalikan.
Root cause yang tepat membantu corrective action lebih efektif.
Audit Readiness Workshop
RADS dapat menggunakan checklist sebagai bahan competency-building workshop.
Peserta dibagi menjadi auditor dan auditee.
Auditor menyiapkan questions, sample, dan evidence request.
Auditee menjelaskan process dan menunjukkan evidence.
Facilitator kemudian mengevaluasi:
- quality of question;
- evidence sufficiency;
- sampling;
- finding quality;
- root cause analysis;
- corrective action.
Workshop seperti ini lebih aplikatif daripada hanya membaca checklist.
Learning Path PIMS Internal Auditor
Stage 1: PIMS Foundation
Memahami PIMS, governance, risk, control, dan evidence.
Stage 2: Audit Principles
Memahami audit planning, scope, sampling, interview, dan documentation.
Stage 3: Privacy Risk Audit
Menguji risk assessment, treatment, dan ownership.
Stage 4: Control Testing
Menguji design dan operating effectiveness.
Stage 5: Incident and Third Party
Melakukan audit case pada incident dan vendor.
Stage 6: Finding and Corrective Action
Menyusun finding, root cause, dan follow-up.
Stage 7: Mock Audit
Melakukan simulation end-to-end.
Competency Matrix Internal Auditor PIMS
Kompetensi: PIMS knowledge
Kemampuan: Memahami privacy governance dan processing
Kompetensi: Risk
Kemampuan: Mengevaluasi privacy risk assessment
Kompetensi: Control
Kemampuan: Menilai design dan implementation
Kompetensi: Evidence
Kemampuan: Menilai sufficiency dan traceability
Kompetensi: Interview
Kemampuan: Menggali actual practice
Kompetensi: Finding
Kemampuan: Menyusun finding berbasis evidence
Kompetensi: Follow-up
Kemampuan: Memverifikasi corrective action
Kesalahan Umum Menggunakan ISO 27701 Audit Checklist
1. Menggunakan Checklist Lama Tanpa Memeriksa Versi
Audit saat ini perlu mengacu pada ISO/IEC 27701:2025.
2. Menganggap Semua Jawaban Ya Berarti Efektif
Auditor perlu melihat evidence dan actual practice.
3. Hanya Memeriksa Policy
PIMS perlu diuji pada process dan control.
4. Tidak Menggunakan Risk-Based Sampling
Audit menjadi luas tetapi dangkal.
5. Tidak Membedakan Design dan Operating Effectiveness
Control dapat dirancang baik tetapi tidak dijalankan.
6. Tidak Melakukan Walkthrough
Gap actual process dapat terlewat.
7. Temuan Tidak Memiliki Root Cause
Corrective action menjadi kosmetik.
8. Tidak Melakukan Follow-Up
Finding dapat berulang.
Checklist Singkat Kesiapan Audit
Sebelum audit dimulai, pastikan:
- scope jelas;
- auditor memahami versi standar yang berlaku;
- risk register tersedia;
- processing inventory tersedia;
- control owner diketahui;
- evidence dapat diakses;
- third party masuk scope bila relevan;
- incident register tersedia;
- previous findings tersedia;
- management review dapat ditelusuri.
Pembeda RADS
RADS memposisikan ISO 27701 audit checklist sebagai alat pembelajaran untuk membangun kompetensi internal auditor dan practitioner PIMS.
Pendekatan training dapat menggabungkan document review, interview practice, risk-based sampling, control testing, privacy incident case, third-party audit case, finding writing, root cause analysis, corrective action, dan mock audit.
Tujuannya adalah membuat peserta mampu melakukan audit berbasis evidence dan risk, bukan hanya menyelesaikan checklist.
Internal Link Wheel ISO 27701 Audit Checklist
Konten Induk
Konten Setingkat
Konten Turunan
FAQ ISO 27701 Audit Checklist
Apa itu ISO 27701 audit checklist?
Checklist adalah alat bantu internal auditor untuk memastikan area audit PIMS dibahas secara terstruktur.
Apakah checklist menggantikan standar ISO 27701?
Tidak. Auditor tetap perlu menggunakan dokumen standar resmi yang berlaku.
Versi apa yang perlu digunakan?
ISO/IEC 27701:2025 adalah edisi terbaru dan menggantikan edisi 2019.
Apa yang perlu diperiksa dalam audit PIMS?
Governance, processing activity, privacy risk, internal control, third party, incident, monitoring, evidence, management review, dan improvement.
Apakah auditor hanya memeriksa dokumen?
Tidak. Auditor perlu melakukan interview, walkthrough, sampling, dan control testing.
Apa perbedaan design effectiveness dan operating effectiveness?
Design menilai kecukupan rancangan control. Operating effectiveness menilai apakah control benar-benar berjalan.
Bagaimana memilih sample?
Gunakan risk-based sampling berdasarkan criticality, volume, previous finding, incident, change, dan third-party exposure.
Apa evidence yang perlu disiapkan?
Risk register, control records, approval, incident records, access reviews, monitoring, training, third-party review, dan corrective action dapat menjadi evidence.
Apakah privacy incident perlu masuk audit?
Ya. Incident dapat menunjukkan efektivitas governance, control, escalation, dan corrective action.
Apa output audit?
Audit dapat menghasilkan findings, observations, root causes, recommendations, dan follow-up actions.
Apakah checklist cocok untuk mock audit?
Ya. Checklist dapat digunakan sebagai basis simulation untuk melatih auditor dan auditee.
Bagaimana meningkatkan kompetensi internal auditor PIMS?
Gunakan training yang menggabungkan PIMS foundation, audit principles, risk assessment, control testing, interview, finding writing, dan mock audit.
Program Internal Audit PIMS
RADS membantu organisasi membangun kemampuan internal audit PIMS melalui training, audit checklist workshop, evidence review, interview practice, control testing, finding writing, dan mock audit.
<strong>Gunakan ISO 27701 Audit Checklist sebagai bagian dari learning journey untuk membangun internal auditor yang mampu menilai PIMS secara berbasis risiko, evidence, dan continual improvement.</strong>