Sertifikasi ISO sering menjadi salah satu langkah strategis bagi perusahaan yang ingin membangun sistem kerja lebih teratur, konsisten, dan mudah dievaluasi. Namun, prosesnya tidak hanya berupa pengumpulan dokumen lalu mengikuti audit. Organisasi harus terlebih dahulu membangun sistem manajemen, menerapkannya dalam kegiatan sehari-hari, serta menunjukkan bukti bahwa sistem tersebut berjalan secara efektif.

Perlu dipahami bahwa ISO bertugas menyusun dan menerbitkan standar internasional, tetapi tidak mengaudit perusahaan maupun menerbitkan sertifikat. Sertifikasi dilakukan oleh lembaga sertifikasi independen yang menilai kesesuaian sistem manajemen organisasi terhadap standar yang dipilih.

Berikut tahapan sertifikasi ISO dari persiapan awal hingga sertifikat resmi diterbitkan.

Apa Itu Sertifikasi ISO?

Sertifikasi ISO adalah proses penilaian oleh lembaga sertifikasi independen untuk memastikan bahwa sistem manajemen suatu organisasi telah memenuhi persyaratan standar tertentu.

Standar yang dipilih biasanya disesuaikan dengan kebutuhan organisasi, misalnya sistem manajemen mutu, lingkungan, keselamatan dan kesehatan kerja, keamanan informasi, atau bidang lainnya. Sertifikasi tidak selalu diwajibkan untuk menerapkan standar ISO. Organisasi tetap dapat menggunakan standar sebagai pedoman perbaikan tanpa mengajukan sertifikasi.

Dalam proses sertifikasi, lembaga eksternal bertindak sebagai pihak ketiga yang menilai kesesuaian sistem secara independen. Persyaratan mengenai kompetensi, konsistensi, dan ketidakberpihakan lembaga sertifikasi sistem manajemen diatur dalam ISO/IEC 17021-1.

1. Menentukan Standar ISO yang Dibutuhkan

Tahap pertama adalah menentukan standar ISO yang paling sesuai dengan tujuan, risiko, dan kegiatan organisasi.

Pemilihan standar tidak sebaiknya hanya didasarkan pada permintaan pasar atau tren. Perusahaan perlu memahami masalah yang ingin diperbaiki melalui penerapan sistem tersebut.

Beberapa pertanyaan yang dapat digunakan antara lain:

  • Apa kebutuhan utama perusahaan?
  • Apakah sertifikasi diminta oleh pelanggan atau mitra?
  • Risiko apa yang perlu dikendalikan?
  • Proses mana yang perlu dibuat lebih konsisten?
  • Apakah standar tersebut sesuai dengan bidang usaha perusahaan?
  • Apakah perusahaan memiliki sumber daya untuk menerapkannya?

Organisasi juga perlu menetapkan ruang lingkup sertifikasi. Ruang lingkup menjelaskan kegiatan, produk, layanan, lokasi, dan unit kerja yang akan dimasukkan ke dalam sistem manajemen.

Ruang lingkup yang terlalu luas dapat membuat proses penerapan menjadi sulit. Sebaliknya, ruang lingkup yang terlalu sempit dapat membuat sertifikasi kurang menggambarkan kegiatan utama organisasi.

2. Memastikan Komitmen Manajemen

Penerapan ISO tidak dapat berjalan hanya melalui satu divisi atau seorang staf dokumentasi. Dukungan pimpinan dibutuhkan karena prosesnya dapat memengaruhi tanggung jawab, penggunaan sumber daya, metode evaluasi, dan cara kerja antarbagian.

Manajemen perlu menetapkan tujuan penerapan, menyediakan sumber daya, menunjuk penanggung jawab, serta memastikan bahwa sistem manajemen terhubung dengan arah perusahaan. Dalam panduan penerapan ISO 9001, ISO juga menekankan pentingnya dukungan manajemen puncak dan penetapan tujuan yang jelas sebelum sistem dikembangkan.

Pada tahap ini, perusahaan dapat membentuk tim implementasi yang terdiri dari perwakilan beberapa fungsi, seperti:

  • manajemen;
  • operasional;
  • sumber daya manusia;
  • pengadaan;
  • penjualan;
  • produksi;
  • teknologi informasi;
  • keselamatan kerja;
  • quality assurance.

Keterlibatan lintas fungsi membantu memastikan bahwa sistem yang dibuat sesuai dengan kondisi operasional, bukan hanya terlihat baik di atas kertas.

3. Melakukan Gap Analysis

Gap analysis merupakan proses membandingkan kondisi perusahaan saat ini dengan persyaratan standar ISO yang dipilih.

Melalui analisis ini, organisasi dapat mengetahui bagian yang telah sesuai, bagian yang perlu diperbaiki, serta dokumen atau bukti apa yang belum tersedia.

Hal yang biasanya diperiksa meliputi:

  • konteks dan tujuan organisasi;
  • kebutuhan pihak berkepentingan;
  • struktur tanggung jawab;
  • kebijakan dan sasaran;
  • identifikasi risiko;
  • proses operasional;
  • kompetensi personel;
  • pengendalian dokumen;
  • evaluasi kinerja;
  • audit internal;
  • tindakan perbaikan.

Hasil gap analysis sebaiknya diubah menjadi rencana kerja yang memiliki penanggung jawab dan target penyelesaian. Dengan demikian, perusahaan dapat memprioritaskan kekurangan yang paling berpengaruh terhadap kesiapan sertifikasi.

4. Menyusun Rencana Implementasi

Setelah kesenjangan diketahui, perusahaan perlu menyusun rencana implementasi.

Rencana tersebut dapat memuat:

Kegiatan Penanggung jawab Target waktu Bukti penyelesaian
Menetapkan ruang lingkup Manajemen Minggu pertama Dokumen ruang lingkup
Menyusun kebijakan Pimpinan dan tim ISO Minggu kedua Kebijakan yang disahkan
Memetakan proses Kepala departemen Minggu ketiga Peta dan uraian proses
Menilai risiko Pemilik proses Minggu keempat Daftar risiko
Menyusun prosedur Tim ISO Sesuai jadwal Prosedur terkendali
Melaksanakan audit internal Auditor internal Setelah implementasi Laporan audit

Jadwal harus disesuaikan dengan ukuran organisasi, jumlah lokasi, kompleksitas kegiatan, kesiapan sumber daya, dan kondisi sistem yang sudah ada.

5. Menyusun Dokumentasi Sistem Manajemen

Dokumentasi dibuat untuk membantu organisasi menjalankan proses secara konsisten dan menunjukkan bahwa pengendalian telah dilakukan.

Namun, penerapan ISO bukan berarti perusahaan harus membuat prosedur panjang untuk setiap aktivitas. Dokumen sebaiknya disusun sesuai kebutuhan, tingkat risiko, serta kompleksitas proses.

Dokumentasi dapat berupa:

  • kebijakan;
  • sasaran dan indikator;
  • peta proses;
  • prosedur;
  • instruksi kerja;
  • formulir;
  • daftar risiko;
  • catatan pelatihan;
  • hasil inspeksi;
  • laporan evaluasi;
  • rekaman tindakan perbaikan.

Dokumen harus mudah dipahami oleh pengguna. Hindari menyalin prosedur milik organisasi lain tanpa menyesuaikannya dengan kondisi perusahaan karena dokumen tersebut kemungkinan sulit diterapkan.

6. Menerapkan Sistem dalam Kegiatan Sehari-hari

Setelah dokumentasi disusun, perusahaan harus menjalankan sistem tersebut dalam kegiatan nyata.

Auditor tidak hanya memeriksa keberadaan prosedur. Auditor juga melihat apakah ketentuan tersebut dipahami, diterapkan, dipantau, dan menghasilkan rekaman yang dapat diverifikasi.

Pada tahap implementasi, perusahaan perlu memastikan bahwa:

  • personel memahami tugasnya;
  • prosedur digunakan secara konsisten;
  • risiko dikendalikan;
  • target dipantau;
  • perubahan dicatat;
  • dokumen menggunakan versi yang berlaku;
  • masalah ditindaklanjuti;
  • bukti pelaksanaan disimpan.

Periode implementasi juga memberikan kesempatan untuk mengetahui apakah prosedur yang dibuat benar-benar praktis. Ketika prosedur tidak sesuai dengan kondisi lapangan, organisasi perlu mengevaluasi dan memperbaikinya, bukan sekadar meminta karyawan mengikuti dokumen yang tidak realistis.

7. Melaksanakan Pelatihan dan Sosialisasi

Personel yang terlibat harus memahami alasan sistem diterapkan serta peran mereka dalam memenuhi persyaratan.

Pelatihan tidak harus selalu dilakukan dalam bentuk kelas formal. Perusahaan dapat menggunakan pengarahan kerja, simulasi, materi digital, pendampingan, atau evaluasi kompetensi sesuai kebutuhan.

Materi pelatihan dapat mencakup:

  • pengenalan standar;
  • kebijakan organisasi;
  • sasaran departemen;
  • penggunaan prosedur;
  • pengendalian dokumen;
  • identifikasi risiko;
  • penanganan ketidaksesuaian;
  • tugas saat audit;
  • pelaporan masalah.

Selain bukti kehadiran, perusahaan perlu menilai apakah peserta benar-benar memahami dan mampu menerapkan materi yang diberikan.

8. Melakukan Audit Internal

Audit internal dilakukan untuk mengevaluasi apakah sistem telah diterapkan sesuai rencana dan memenuhi persyaratan yang relevan.

Audit sebaiknya dilakukan secara objektif, sistematis, dan berdasarkan bukti. ISO 19011:2026 memberikan panduan mengenai prinsip audit, pengelolaan program audit, pelaksanaan audit sistem manajemen, serta kompetensi auditor.

Auditor internal akan memeriksa dokumen, melakukan wawancara, mengamati aktivitas, dan mengambil sampel rekaman. Hasilnya dapat berupa:

  • kesesuaian;
  • temuan ketidaksesuaian;
  • peluang perbaikan;
  • catatan mengenai risiko;
  • praktik baik yang dapat dipertahankan.

Auditor internal sebaiknya tidak mengaudit pekerjaan yang menjadi tanggung jawabnya sendiri agar penilaian tetap objektif.

9. Menindaklanjuti Temuan Audit Internal

Ketidaksesuaian yang ditemukan dalam audit internal harus dianalisis dan diperbaiki.

Perusahaan tidak cukup hanya memperbaiki dokumen atau masalah yang terlihat. Organisasi perlu mencari penyebab utama agar masalah yang sama tidak kembali terjadi.

Proses tindakan korektif dapat mencakup:

  1. Menjelaskan ketidaksesuaian.
  2. Melakukan perbaikan langsung.
  3. Menganalisis akar penyebab.
  4. Menentukan tindakan korektif.
  5. Menetapkan penanggung jawab.
  6. Memeriksa efektivitas tindakan.
  7. Menutup temuan setelah bukti dinilai memadai.

Contohnya, apabila formulir pemeriksaan tidak diisi, penyebabnya belum tentu karena karyawan lalai. Formulir mungkin terlalu rumit, tanggung jawab tidak jelas, atau personel belum mendapat pelatihan.

10. Melaksanakan Tinjauan Manajemen

Tinjauan manajemen merupakan evaluasi oleh pimpinan terhadap kinerja dan kecukupan sistem manajemen.

Pembahasan biasanya mencakup:

  • pencapaian sasaran;
  • hasil audit;
  • keluhan dan umpan balik;
  • kinerja proses;
  • status tindakan perbaikan;
  • perubahan internal dan eksternal;
  • kebutuhan sumber daya;
  • risiko dan peluang;
  • rencana peningkatan.

Hasil tinjauan manajemen harus menghasilkan keputusan yang jelas, bukan hanya notulen rapat. Keputusan dapat berupa perubahan target, penambahan sumber daya, revisi proses, atau program peningkatan tertentu.

11. Memilih Lembaga Sertifikasi

Setelah sistem siap, organisasi dapat memilih lembaga sertifikasi yang kompeten untuk standar dan ruang lingkup yang diajukan.

ISO menyarankan organisasi mengevaluasi beberapa lembaga sertifikasi dan memeriksa apakah lembaga tersebut menggunakan standar penilaian kesesuaian yang relevan. Akreditasi tidak selalu diwajibkan, tetapi dapat menjadi konfirmasi independen atas kompetensi lembaga sertifikasi.

Beberapa hal yang perlu diperiksa meliputi:

  • cakupan kompetensi lembaga;
  • status akreditasi;
  • pengalaman pada sektor terkait;
  • kompetensi auditor;
  • jadwal audit;
  • biaya sertifikasi;
  • ketentuan penggunaan logo;
  • proses penanganan keluhan;
  • mekanisme audit lanjutan.

Waspadai pihak yang menjanjikan sertifikat tanpa proses audit yang memadai. ISO tidak menerbitkan sertifikat dan tidak mengizinkan penggunaan logo ISO sebagai logo sertifikasi perusahaan.

12. Mengikuti Audit Sertifikasi Tahap 1

Audit Tahap 1 bertujuan menilai kesiapan organisasi sebelum audit implementasi secara menyeluruh.

Pada tahap ini, auditor biasanya mempelajari ruang lingkup, proses, lokasi, dokumentasi, sasaran, risiko, persyaratan hukum yang relevan, serta pelaksanaan audit internal dan tinjauan manajemen. Audit Tahap 1 juga digunakan untuk merencanakan Audit Tahap 2 dan menilai apakah organisasi telah cukup siap untuk melanjutkan.

Apabila ditemukan kekurangan, perusahaan mendapat kesempatan untuk melakukan perbaikan sebelum Audit Tahap 2.

Kekurangan yang umum ditemukan antara lain:

  • ruang lingkup belum jelas;
  • audit internal belum selesai;
  • tinjauan manajemen belum dilakukan;
  • indikator kinerja belum dipantau;
  • persyaratan regulasi belum teridentifikasi;
  • dokumentasi belum diterapkan;
  • bukti implementasi masih terbatas.

13. Mengikuti Audit Sertifikasi Tahap 2

Audit Tahap 2 berfokus pada penerapan dan efektivitas sistem di lapangan.

Auditor akan mengambil sampel dari berbagai proses dan memeriksa kesesuaian antara dokumen, wawancara, aktivitas nyata, serta rekaman yang tersedia.

Kegiatan audit dapat meliputi:

  • pertemuan pembukaan;
  • wawancara dengan pimpinan dan personel;
  • observasi kegiatan;
  • pemeriksaan dokumen;
  • penelusuran rekaman;
  • pengujian sampel;
  • pencatatan temuan;
  • pertemuan penutupan.

Audit bukan sekadar mencari kesalahan. Tujuannya adalah memperoleh bukti yang cukup untuk menilai apakah sistem memenuhi persyaratan dan mampu mencapai hasil yang direncanakan.

14. Menyelesaikan Ketidaksesuaian

Apabila auditor menemukan ketidaksesuaian, perusahaan harus memberikan koreksi, analisis penyebab, tindakan korektif, dan bukti penyelesaian sesuai batas waktu yang ditentukan lembaga sertifikasi.

Sertifikat belum tentu langsung diterbitkan setelah auditor meninggalkan lokasi. Hasil audit biasanya lebih dahulu ditinjau melalui proses keputusan sertifikasi.

Karena itu, perusahaan perlu memastikan bahwa setiap temuan dijawab secara lengkap dan berdasarkan bukti, bukan hanya melalui pernyataan bahwa masalah telah diperbaiki.

15. Keputusan Sertifikasi dan Penerbitan Sertifikat

Setelah laporan audit serta tindakan perbaikan dinilai memadai, lembaga sertifikasi akan melakukan peninjauan dan mengambil keputusan.

Apabila organisasi dinyatakan memenuhi persyaratan, lembaga sertifikasi akan menerbitkan sertifikat yang biasanya mencantumkan:

  • nama organisasi;
  • alamat atau lokasi;
  • standar yang digunakan;
  • ruang lingkup sertifikasi;
  • nomor sertifikat;
  • tanggal penerbitan;
  • masa berlaku;
  • identitas lembaga sertifikasi.

Sertifikat merupakan hasil penilaian sistem manajemen, bukan jaminan bahwa setiap produk perusahaan selalu bebas dari kesalahan. Organisasi tetap bertanggung jawab menjaga efektivitas sistem dan melakukan perbaikan berkelanjutan.

Kesalahan yang Sering Menghambat Sertifikasi ISO

Beberapa kesalahan yang perlu dihindari adalah:

  • mengejar sertifikat tanpa memahami tujuan penerapan;
  • menyerahkan seluruh pekerjaan kepada satu orang;
  • menyalin dokumen perusahaan lain;
  • membuat terlalu banyak prosedur;
  • tidak menyimpan rekaman;
  • melaksanakan audit internal hanya sebagai formalitas;
  • menunda penyelesaian temuan;
  • tidak melibatkan pimpinan;
  • memilih lembaga hanya berdasarkan harga;
  • menganggap pekerjaan selesai setelah sertifikat terbit.

Sistem yang baik harus membantu pekerjaan menjadi lebih terkendali. Apabila penerapan hanya menambah formulir tanpa memperbaiki proses, organisasi perlu meninjau kembali desain sistemnya.

Berapa Lama Proses Sertifikasi ISO?

Durasi sertifikasi berbeda pada setiap organisasi. Waktu yang dibutuhkan dipengaruhi oleh kesiapan awal, jumlah lokasi, jumlah karyawan, ruang lingkup, kompleksitas proses, ketersediaan bukti, serta kecepatan penyelesaian temuan.

Perusahaan yang sudah memiliki proses terstruktur biasanya lebih cepat mempersiapkan audit dibandingkan organisasi yang masih harus membangun sistem dari awal.

Karena itu, target waktu sebaiknya dibuat berdasarkan hasil gap analysis, bukan sekadar mengikuti jadwal perusahaan lain.

Kesimpulan

Tahapan sertifikasi ISO dimulai dengan memilih standar dan menentukan ruang lingkup, kemudian dilanjutkan dengan gap analysis, penyusunan dokumentasi, implementasi, pelatihan, audit internal, serta tinjauan manajemen.

Setelah perusahaan dinilai siap, proses dilanjutkan melalui pemilihan lembaga sertifikasi, Audit Tahap 1, Audit Tahap 2, penyelesaian temuan, dan keputusan sertifikasi.

Sertifikat sebaiknya tidak dipandang sebagai tujuan akhir. Nilai utama penerapan ISO terletak pada kemampuan organisasi membangun sistem yang konsisten, mengendalikan risiko, mengevaluasi kinerja, dan melakukan perbaikan secara berkelanjutan.