Setiap tahun, ada satu siklus yang paling ditakuti oleh tim internal di perusahaan bersertifikat ISO — bukan surveillance audit dari lembaga sertifikasi, melainkan audit internal yang seharusnya mereka kendalikan sendiri. Aneh memang. Tapi fenomena ini nyata: audit internal yang dirancang sebagai "persiapan" justru dijalankan sebagai ritual check-the-box yang tidak menemukan apa-apa, lalu surveillance auditor datang dan menemukan tiga Major NC dalam dua hari.
Masalahnya bukan di auditornya. Masalahnya ada di cara program audit dirancang dari awal.
Panduan ini bukan tentang teori ISO 9001 klausul 9.2 yang bisa kamu baca di mana saja. Ini tentang bagaimana audit internal benar-benar dijalankan di lapangan — apa yang sering salah, bagaimana memperbaikinya, dan format-format praktis yang langsung bisa digunakan.
Apa yang Sebenarnya Diminta ISO 9001 dari Audit Internal
Klausul 9.2 ISO 9001:2015 hanya dua halaman. Tapi dua halaman itu sering disalahartikan.
Yang diminta standar adalah program audit yang merencanakan, menetapkan, menerapkan, dan memelihara audit internal. Bukan sekadar checklist yang diisi sekali setahun. Program audit harus mempertimbangkan kepentingan proses yang bersangkutan, perubahan yang berdampak pada organisasi, dan hasil audit sebelumnya.
Poin yang sering diabaikan: "Hasil audit sebelumnya" bukan hanya soal berapa NC yang ditemukan. Ini berarti: proses yang selalu bersih dalam dua audit terakhir justru perlu dicurigai — apakah memang bersih, atau auditor tidak cukup menggali?
Ada tiga hal wajib yang harus ada dalam program audit internal ISO 9001:
- Frekuensi dan jadwal — kapan tiap proses diaudit, dengan justifikasi berdasarkan risiko
- Metode dan kriteria audit — pertanyaan apa yang diajukan, dokumen apa yang diperiksa, rekaman apa yang diverifikasi
- Pemilihan auditor yang objektif — auditor tidak boleh mengaudit area kerjanya sendiri (klausul 9.2.2.b)
Poin ketiga adalah yang paling sering dilanggar di perusahaan kecil dan menengah — terutama ketika jumlah auditor internal terbatas.
Menyusun Program Audit Internal yang Benar
Langkah 1: Pemetaan Proses dan Tingkat Risiko
Sebelum membuat jadwal audit, petakan dulu semua proses dalam scope QMS dan beri bobot risiko. Proses dengan frekuensi masalah tinggi, kontak langsung dengan pelanggan, atau keterlibatan pihak eksternal mendapat prioritas audit lebih sering.
| Proses | Tingkat Risiko | Frekuensi Audit |
|---|---|---|
| Penerimaan dan evaluasi order | Tinggi | 2× per tahun |
| Pembelian dan evaluasi pemasok | Tinggi | 2× per tahun |
| Produksi / pelaksanaan layanan | Tinggi | 2× per tahun |
| Penanganan produk tidak sesuai | Sedang | 1× per tahun |
| Kompetensi dan pelatihan SDM | Sedang | 1× per tahun |
| Kalibrasi alat ukur | Sedang | 1× per tahun |
| Komunikasi internal | Rendah | 1× per tahun |
| Pengendalian dokumen | Rendah | 1× per tahun |
Langkah 2: Tentukan Kompetensi Auditor Internal
Ini yang jarang diperhatikan. ISO 9001 mensyaratkan auditor berkompeten — bukan sekadar pernah ikut pelatihan. Kompetensi minimal yang harus bisa dibuktikan:
- Pemahaman persyaratan ISO 9001:2015 (bisa dibuktikan dengan sertifikat pelatihan)
- Kemampuan teknik wawancara dan verifikasi lapangan
- Pemahaman tentang proses yang diaudit (tidak harus spesialis, tapi tidak boleh awam total)
- Kemampuan menulis temuan yang jelas dan dapat diverifikasi
Di perusahaan dengan SDM terbatas, solusi paling praktis adalah melatih minimal 2–3 orang dari departemen berbeda sebagai auditor internal bersertifikat, lalu sistem silang: tim produksi mengaudit administrasi, tim QC mengaudit purchasing, dan seterusnya.
Langkah 3: Buat Checklist Audit yang Tajam, Bukan Panjang
Checklist yang baik bukan yang paling banyak item-nya. Checklist yang baik adalah yang bisa membedakan antara "ada dokumennya" dan "sistem benar-benar berjalan".
Kesalahan paling umum: Checklist hanya menanyakan keberadaan dokumen. "Apakah prosedur pembelian ada? ✓" — tapi tidak pernah memeriksa apakah prosedur itu diikuti dalam pembelian aktual bulan lalu. Auditor eksternal selalu memeriksa rekaman, bukan hanya dokumen.
Contoh perbedaan pertanyaan lemah vs. kuat untuk proses pembelian (klausul 8.4):
| Pertanyaan Lemah | Pertanyaan Kuat |
|---|---|
| Apakah ada prosedur evaluasi pemasok? | Tunjukkan 3 rekaman evaluasi pemasok 6 bulan terakhir. Apa kriteria yang digunakan? Apakah ada pemasok yang dievaluasi buruk — apa tindakan lanjutnya? |
| Apakah ada daftar pemasok approved? | Apakah semua pembelian aktual bulan ini menggunakan pemasok dari daftar approved? Tunjukkan purchase order-nya. |
| Apakah persyaratan pembelian dikomunikasikan ke pemasok? | Ambil satu PO terbaru. Apakah spesifikasi produk/jasa tertulis jelas di dalamnya? Apakah ada klausul mutu yang dikomunikasikan? |
Pelaksanaan Audit: Teknik yang Sering Diabaikan
Opening Meeting yang Tidak Makan Waktu
Opening meeting bukan seremonial. Gunakan untuk menegaskan tiga hal: ruang lingkup audit hari ini, metode yang akan digunakan (wawancara + observasi + verifikasi rekaman), dan mekanisme pelaporan temuan. Cukup 10–15 menit.
Teknik Wawancara yang Efektif
Jangan hanya bicara dengan manajer atau supervisor. Bicara langsung dengan operator, staf administrasi, atau teknisi yang menjalankan prosedur sehari-hari. Mereka yang tahu apakah SOP benar-benar diikuti — atau hanya ada di laci.
Pertanyaan audit yang paling produktif selalu diawali dengan: "Tunjukkan kepada saya..." bukan "Apakah ada...?"
- "Tunjukkan kepada saya bagaimana kamu memproses order yang masuk hari ini."
- "Tunjukkan kepada saya rekaman inspeksi produk bulan lalu."
- "Tunjukkan kepada saya bagaimana kamu tahu apakah pemasok ini masih di daftar approved."
Observasi Lapangan: Jangan Hanya di Ruang Rapat
Audit yang seluruhnya dilakukan di ruang rapat dengan memeriksa dokumen adalah audit yang lemah. Luangkan minimal 30–40% waktu audit untuk observasi langsung di area kerja. Di manufaktur: lihat area produksi, gudang, dan area inspeksi. Di jasa: ikuti satu siklus layanan dari awal ke akhir. Di konstruksi: kunjungi site jika memungkinkan.
Klasifikasi dan Penulisan Temuan Audit
Ini yang paling sering jadi sumber konflik antara auditor internal dan auditee — dan juga yang paling sering mempermalukan perusahaan di depan auditor eksternal karena temuan ditulis dengan tidak jelas.
| Klasifikasi | Definisi | Contoh |
|---|---|---|
| Observasi (OBS) | Potensi masalah, belum menjadi ketidaksesuaian. Disarankan untuk diperbaiki. | Rekaman kalibrasi timbangan gudang lengkap, namun tidak ada jadwal kalibrasi berikutnya yang terdokumentasi. |
| Minor NC | Penyimpangan dari persyaratan standar atau prosedur internal, tidak berdampak sistemik. | Dari 12 rekaman training yang diperiksa, 2 rekaman tidak ditandatangani peserta sebagaimana dipersyaratkan prosedur SDM-03. |
| Major NC | Kegagalan sistemik, absennya persyaratan, atau berulangnya Minor NC yang sama. | Tidak ada rekaman evaluasi pemasok selama 12 bulan terakhir untuk 4 dari 7 pemasok aktif — meski prosedur QP-08 mensyaratkan evaluasi minimal 6 bulan sekali. |
Formula penulisan temuan yang baik: Apa yang ditemukan + di mana / buktinya apa + persyaratan mana yang dilanggar. Contoh: "Rekaman kalibrasi termometer line 3 terakhir tertanggal Maret 2025 — sudah 18 bulan tidak dikalibrasi, padahal prosedur QP-06 menetapkan interval kalibrasi 12 bulan (lihat: Klausul 7.1.5.b)."
Proses Tindakan Korektif (CAPA) Setelah Audit
Temuan tanpa CAPA yang efektif tidak ada gunanya. Dan CAPA yang efektif bukan sekadar "akan diperbaiki" — ini yang paling sering membuat perusahaan gagal di surveillance audit karena NCnya "closed" secara administratif tapi masalahnya masih ada.
Root Cause Analysis (RCA)
Jangan langsung ke solusi. Tanya "mengapa" minimal 3–5 kali. Kalau temuan adalah "prosedur tidak diikuti" — mengapa tidak diikuti? Karena tidak tahu? Karena prosedurnya tidak praktis? Karena tidak ada pengawasan? Jawabannya menentukan solusinya.
Tindakan Koreksi (Immediate Action)
Perbaiki bukti yang sudah salah — isi rekaman yang kosong, update dokumen yang kadaluarsa, lengkapi yang kurang. Ini mengatasi gejala, bukan penyebab.
Tindakan Korektif (Corrective Action)
Perbaiki sistem yang memungkinkan masalah terjadi: revisi prosedur, tambah kontrol, ubah alur kerja, adakan pelatihan ulang. Ini yang benar-benar menutup akar masalah.
Verifikasi Efektivitas
Jadwalkan verifikasi 30–60 hari setelah implementasi. Apakah masalahnya benar-benar tidak muncul lagi? Ini yang paling sering terlewat — dan yang pertama dicek auditor eksternal.
Penutupan NC
NC baru bisa ditutup setelah verifikasi efektivitas selesai dan terdokumentasi — bukan setelah tindakan dilaporkan selesai. Perbedaan ini penting.
Laporan Audit Internal: Apa yang Harus Ada
Laporan audit internal yang baik adalah dokumen yang bisa dibaca orang yang tidak ikut audit dan masih memahami situasinya secara lengkap. Minimal harus mencakup:
- Tanggal dan ruang lingkup audit
- Auditor dan auditee yang terlibat
- Dokumen/rekaman yang diperiksa (dengan nomor atau identifikasi spesifik)
- Ringkasan temuan per proses yang diaudit
- Daftar seluruh NC dan OBS dengan klasifikasi dan referensi klausul
- Kesimpulan kesesuaian sistem secara keseluruhan
- Rekomendasi tindak lanjut dengan penanggung jawab dan batas waktu
Laporan ini kemudian menjadi salah satu input wajib di Tinjauan Manajemen (klausul 9.3) — dan auditor eksternal selalu memintanya.
Kesalahan Fatal yang Membuat Audit Internal Tidak Berguna
Dua belas tahun mendampingi implementasi ISO di berbagai sektor mengajarkan satu hal: audit internal yang buruk lebih berbahaya dari tidak ada audit sama sekali. Karena ia memberi rasa aman palsu — manajemen merasa sistem sudah diperiksa, padahal tidak ada yang benar-benar dicek.
Kesalahan yang paling sering ditemukan di lapangan:
- Auditor terlalu "baik hati" — tidak ingin menyinggung kolega, jadi NC diturun-kelaskan jadi observasi atau tidak dilaporkan sama sekali. Hasilnya: surveillance auditor menemukan masalah yang sama sudah terjadi berbulan-bulan.
- Checklist copy-paste tanpa adaptasi — menggunakan template generik yang tidak mencerminkan proses spesifik perusahaan. Auditor hanya bertanya hal-hal yang ada di template, melewatkan area risiko nyata.
- Audit hanya dokumentasi, nol observasi lapangan — semua dilakukan di atas meja. Ini hampir selalu melewatkan ketidaksesuaian yang ada di lantai produksi atau di lapangan.
- CAPA ditutup tanpa verifikasi efektivitas — masalah terbesar yang membuat NC surveillance audit berulang dari tahun ke tahun adalah persis ini.
FAQ Audit Internal ISO 9001
Seberapa sering audit internal ISO 9001 harus dilakukan?
ISO 9001:2015 tidak menetapkan frekuensi minimum — klausul 9.2.2 hanya mensyaratkan program audit yang mempertimbangkan kepentingan proses dan hasil audit sebelumnya. Praktik umum adalah satu siklus per tahun, dengan proses berisiko tinggi diaudit dua kali per tahun.
Apakah auditor internal boleh mengaudit area kerja sendiri?
Tidak boleh. Klausul 9.2.2.b mewajibkan auditor bersifat objektif dan tidak memihak. Auditor tidak boleh mengaudit pekerjaan mereka sendiri — ini salah satu temuan paling sering di surveillance audit, terutama di perusahaan kecil yang auditor internalnya terbatas.
Apa perbedaan Observasi, Minor NC, dan Major NC dalam audit ISO?
Observasi adalah potensi masalah yang belum menjadi ketidaksesuaian. Minor NC adalah penyimpangan dari persyaratan yang tidak berdampak sistemik. Major NC adalah kegagalan sistemik atau absennya persyaratan kritis — biasanya menunda sertifikasi jika tidak ditutup sebelum audit eksternal.
Berapa lama batas waktu menutup temuan audit internal?
Tidak ada angka baku di standar, tapi praktik umum adalah 30 hari untuk Minor NC dan 14 hari untuk Major NC. Yang terpenting, semua temuan harus ditutup lengkap dengan verifikasi efektivitas sebelum audit sertifikasi atau surveillance berikutnya.
Butuh Bantuan Menyusun Program Audit Internal?
Tim Arafar Nusa siap membantu — mulai dari pelatihan auditor internal, penyusunan checklist, hingga pendampingan di hari-H surveillance audit.
💬 Konsultasi Gratis via WhatsApp