RWI Consulting memposisikan ISO 42001 sebagai peluang bagi perusahaan untuk membangun sistem manajemen AI yang lebih terarah melalui governance, risk management, policy, internal control, data governance, monitoring, assurance, dan continual improvement.

Penggunaan artificial intelligence di perusahaan dapat berkembang jauh lebih cepat daripada kebijakan dan struktur pengendaliannya. AI dapat digunakan untuk membantu analisis, customer service, pengembangan software, dokumentasi, penilaian, otomasi, pengambilan keputusan, dan berbagai proses lain. Ketika penggunaan tersebut meluas, perusahaan membutuhkan sistem yang tidak hanya mengatur teknologi, tetapi juga tujuan bisnis, ownership, risiko, kontrol, data, monitoring, incident, dan management review.

ISO 42001

Photo by Chorn Travit on Pexels

Materi internal RWI mengenai GRC maturity menunjukkan bahwa governance yang lebih matang membutuhkan integrasi antara process, people, tools, risk management, struktur, competency, information system, monitoring, dan decision-making.

Materi internal RWI mengenai pengendalian digital juga menunjukkan pentingnya business requirement, role-based access, workflow, risk-control mapping, evidence, testing, monitoring, remediation, dashboard, approval, dan audit trail ketika organisasi ingin membangun sistem pengendalian yang dapat digunakan dan diaudit.

Artikel ini tidak membahas detail klausul per klausul. Fokusnya adalah bagaimana perusahaan dapat menyiapkan arsitektur implementasi ISO 42001 melalui pendekatan governance, risk, control, monitoring, dan improvement.

Baca juga: Internal Control Software: Sistem Digital untuk Mengelola Kontrol, Evidence, Audit Trail,…

Mengapa ISO 42001 Relevan bagi Perusahaan?

Photo by MART PRODUCTION on Pexels

AI menciptakan jenis ketergantungan baru di dalam organisasi. Perusahaan dapat bergantung pada AI untuk mempercepat analisis, menghasilkan rekomendasi, membantu komunikasi, mengklasifikasikan data, mengotomatisasi aktivitas, atau menjadi bagian dari aplikasi existing.

Ketergantungan tersebut perlu dikelola karena perusahaan tetap bertanggung jawab atas proses, output, data, keputusan, dan layanan yang dihasilkan.

Masalah yang dapat muncul apabila AI tidak dikelola secara sistematis antara lain use case tidak terinventarisasi, ownership tidak jelas, data digunakan tanpa batas yang memadai, output diterima tanpa review, third-party dependency tidak dipahami, risiko AI tidak masuk ERM, incident tidak memiliki workflow, control tidak memiliki evidence, management tidak memiliki visibility, dan penggunaan berubah tanpa reassessment.

ISO 42001 dapat digunakan sebagai anchor untuk membangun management system yang membantu perusahaan mengurangi fragmentasi tersebut.

Baca juga: Enterprise Risk Management System: Fitur, Arsitektur, Implementasi, dan Output untuk…

ISO 42001 Bukan Sekadar Dokumen Sertifikasi

Photo by olia danilevich on Pexels

Kesalahan yang perlu dihindari adalah menganggap implementasi ISO 42001 hanya sebagai proyek penyusunan dokumen.

Sebuah management system perlu bekerja pada tiga lapisan.

Governance

Governance menjelaskan siapa yang bertanggung jawab, siapa yang menyetujui, bagaimana isu dieskalasikan, dan bagaimana management melakukan oversight.

Operating Process

Operating process menjelaskan bagaimana AI use case diidentifikasi, dinilai, disetujui, digunakan, dimonitor, direview, dan dihentikan.

Evidence and Assurance

Evidence menunjukkan bahwa process benar-benar dijalankan. Assurance membantu menguji apakah governance, risk, dan control bekerja secara efektif.

Materi internal RWI mengenai risk maturity menempatkan process, people, tools, information system, monitoring, dan continuous improvement sebagai elemen yang perlu berkembang bersama.

Baca juga: Audit Internal ISO 22301 untuk BCMS yang Siap Sertifikasi

Hubungan ISO 42001 dengan AI Governance

Photo by Tara Winstead on Pexels

AI governance adalah struktur dan mekanisme pengelolaan AI. ISO 42001 dapat digunakan untuk membantu organisasi membuat governance tersebut lebih sistematis.

Hubungan yang perlu dibangun antara lain AI strategy dengan business objective, AI use case dengan owner, AI risk dengan enterprise risk management, AI policy dengan compliance framework, AI control dengan internal control, AI incident dengan issue management, AI monitoring dengan management reporting, dan AI assurance dengan internal audit.

Perusahaan yang sudah memiliki GRC, ERM, compliance, internal control, dan IT governance tidak perlu membangun semua mekanisme dari nol. Yang dibutuhkan adalah integrasi.

Hubungan ISO 42001 dengan Enterprise Risk Management

Photo by Maurice Engelen on Pexels

AI risk sebaiknya tidak dikelola sebagai daftar risiko yang terpisah dari ERM.

Integrasi dapat mencakup risk taxonomy, risk criteria, risk appetite, risk owner, risk register, risk treatment, internal control, KRI, dan risk reporting.

Materi internal RWI mengenai penguatan ERM menempatkan risk assessment, prioritization, treatment, governance, KRI, monitoring, reporting, dan roadmap sebagai bagian dari sistem risiko terintegrasi.

AI risk perlu masuk ke sistem tersebut apabila exposure-nya material.

Fondasi Implementasi ISO 42001

Photo by Hoang NC on Pexels

1. Business Context

Perusahaan perlu memahami strategi bisnis, digital strategy, AI use cases, critical processes, stakeholder, data, technology, third party, dan risk profile.

Implementasi yang tidak dimulai dari business context berisiko menghasilkan control yang tidak proporsional.

2. AI Use Case Inventory

Inventory merupakan fondasi visibility.

Field dapat mencakup use case ID, business unit, business owner, purpose, technology, provider, data category, business impact, risk level, approval status, dan review date.

AI inventory membantu perusahaan mengetahui apa yang sebenarnya sedang digunakan.

3. AI Governance Structure

Struktur dapat melibatkan Direksi atau executive sponsor, forum governance, business owner, technology owner, data owner, risk management, compliance atau legal, information security, dan internal audit.

Tidak semua perusahaan membutuhkan komite khusus. Forum existing dapat digunakan sepanjang mandate dan decision rights jelas.

4. AI Policy Architecture

Policy architecture dapat mencakup AI governance policy, acceptable use guideline, data handling requirement, risk assessment procedure, approval procedure, change procedure, incident management procedure, dan monitoring procedure.

Policy perlu diterjemahkan menjadi workflow.

5. Risk Classification

Tidak semua AI use case memiliki risiko yang sama.

Level: Low

Karakteristik: Dampak terbatas, human review penuh

Governance: Policy dan basic control

Level: Moderate

Karakteristik: Mempengaruhi proses atau data internal

Governance: Risk review dan approval

Level: High

Karakteristik: Mempengaruhi keputusan, pelanggan, keuangan, atau proses penting

Governance: Formal assessment dan monitoring

Level: Critical

Karakteristik: Exposure sangat material

Governance: Enhanced governance dan assurance

Risk classification sebaiknya mengikuti enterprise risk criteria.

AI Risk Assessment untuk Implementasi ISO 42001

Photo by Pixabay on Pexels

Assessment dapat mencakup business risk, data risk, technology risk, operational risk, third-party risk, compliance risk, dan reputation risk.

Business risk menilai apakah kesalahan AI dapat memengaruhi target, pelanggan, operasi, atau keputusan. Data risk menilai apakah data yang digunakan sesuai tujuan, klasifikasi, dan akses. Technology risk melihat availability, integration, access, logging, atau change. Operational risk melihat apakah penggunaan AI menciptakan failure point baru. Third-party risk menilai dependency kepada provider. Compliance risk melihat keterkaitan dengan policy atau contractual obligation. Reputation risk menilai dampak terhadap stakeholder.

Hasil assessment perlu memiliki owner, control, residual risk, treatment, dan monitoring.

AI Internal Control

Photo by Robert Schwarz on Pexels

Internal control membantu memastikan policy dan risk treatment benar-benar diterapkan.

Preventive control dapat berupa approved-use list, access restriction, data restriction, mandatory review, vendor due diligence, dan approval matrix.

Detective control dapat berupa usage monitoring, output sampling, exception review, control testing, dan incident monitoring.

Corrective control dapat berupa access suspension, use case suspension, control redesign, process correction, retraining, dan vendor escalation.

Materi internal RWI mengenai sistem pengendalian digital menghubungkan risk, process, control, control owner, testing, evidence, monitoring, remediation, dan audit trail dalam satu siklus.

Human Oversight

Photo by ERFIN EKARANA on Pexels

Human oversight perlu didesain secara eksplisit.

Perusahaan perlu menentukan kapan manusia wajib review, apa yang diperiksa, kriteria acceptance, kapan output ditolak, kapan issue dieskalasikan, dan apa evidence yang disimpan.

Human oversight tidak efektif apabila reviewer hanya menjadi formal approver.

Data Governance dalam ISO 42001

Photo by Lukas Blazek on Pexels

Data governance perlu menentukan data owner, data classification, permitted data, restricted data, data quality, access, retention, evidence, dan change.

Hubungan AI governance dan data governance penting karena banyak risiko penggunaan AI berawal dari data yang tidak sesuai, tidak lengkap, atau tidak seharusnya digunakan.

Third-Party Governance

Photo by Tara Winstead on Pexels

Perusahaan perlu mengetahui dependency yang berasal dari pihak eksternal.

Assessment dapat mencakup criticality layanan, data handling, availability, access control, incident notification, change notification, support, contractual responsibility, dan exit plan.

Jika use case menjadi critical enabler, dependency perlu masuk continuity analysis.

AI Change Management

Use case AI dapat berubah tanpa organisasi menyadarinya.

Reassessment dapat dipicu oleh perubahan business purpose, data, user group, provider, integration, automation level, atau business impact.

Change log membantu traceability.

AI Incident Management

Incident dapat berupa output yang salah digunakan, data yang tidak semestinya digunakan, unauthorized access, control bypass, unexpected behavior, third-party failure, business disruption, atau material complaint.

Workflow dapat mencakup recording, classification, containment, investigation, root cause analysis, corrective action, escalation, dan closure.

Monitoring dan Management Review

Management perlu menerima informasi yang membantu keputusan.

Indicator dapat mencakup jumlah AI use case, risk distribution, high-risk use case, open incidents, control exception, overdue assessment, third-party concentration, dan corrective action status.

Management review perlu digunakan untuk memutuskan improvement, resource, control enhancement, atau penghentian penggunaan tertentu.

Internal Audit dan Assurance

Internal audit dapat menilai governance design, policy compliance, inventory completeness, risk assessment, control design, control implementation, evidence, monitoring, dan issue closure.

Assurance perlu berbasis risk.

ISO 42001 Gap Assessment

Sebelum implementasi penuh, perusahaan dapat melakukan gap assessment untuk memahami current state.

Area assessment dapat mencakup governance, AI inventory, policy, roles, risk assessment, internal control, data governance, third-party governance, incident, monitoring, internal review, dan continual improvement.

Gap dapat diklasifikasikan menjadi design gap, implementation gap, effectiveness gap, ownership gap, data gap, technology gap, dan competency gap.

Materi internal RWI mengenai GRC assessment menempatkan current state assessment, gap analysis, rekomendasi, prioritas, roadmap, dan knowledge transfer sebagai satu rangkaian penguatan sistem.

Tahapan Implementasi ISO 42001

Fase 1. Initiation

Menetapkan objective, scope, governance proyek, stakeholder, dan data request.

Fase 2. Current State Assessment

Mengkaji use case, policy, role, risk, control, data, dan monitoring existing.

Fase 3. Gap Assessment

Mengidentifikasi area yang perlu diperbaiki.

Fase 4. Governance Design

Menetapkan structure, RACI, decision rights, dan forum.

Fase 5. Policy and Procedure

Menyusun policy dan workflow.

Fase 6. Risk and Control Design

Menyusun risk classification, risk assessment, control library, dan approval matrix.

Fase 7. Inventory and Evidence

Membangun AI register, evidence requirement, dan documentation.

Fase 8. Monitoring and Reporting

Menetapkan KPI, KRI, dashboard, incident, dan review cycle.

Fase 9. Training and Awareness

Membangun competency sesuai role.

Fase 10. Internal Review

Menguji penerapan dan menutup gap.

Fase 11. Management Review

Memastikan management mengevaluasi kecukupan sistem.

Fase 12. Continual Improvement

Menindaklanjuti assessment, incident, audit, dan perubahan penggunaan.

Roadmap Implementasi

Tahap: Foundation

Fokus: Inventory, governance, policy

Output: AI register, RACI, policy

Tahap: Risk-Based Control

Fokus: Assessment dan control

Output: Risk method, control library, approval matrix

Tahap: Integration

Fokus: ERM, GRC, data, IT governance

Output: Integrated reporting dan ownership

Tahap: Monitoring

Fokus: Indicator, incident, review

Output: Dashboard, KRI, issue register

Tahap: Assurance

Fokus: Testing dan improvement

Output: Internal review dan corrective action

Deliverables Implementasi ISO 42001

Deliverable dapat mencakup current state assessment, ISO 42001 gap assessment, AI use case inventory, AI governance framework, AI policy, AI RACI, risk classification, AI risk assessment methodology, AI risk register, AI control library, approval matrix, data governance requirement, third-party assessment template, incident management workflow, monitoring framework, management dashboard design, training material, dan implementation roadmap.

Kesalahan Umum dalam Implementasi ISO 42001

1. Memulai dari Dokumen

Dokumen perlu mengikuti business context dan use case.

2. Tidak Membuat AI Inventory

Perusahaan tidak mengetahui scope aktual.

3. Seluruh Use Case Diproses dengan Governance yang Sama

Risk-based approach diperlukan agar proses proporsional.

4. Business Owner Tidak Accountable

AI governance menjadi urusan IT saja.

5. AI Risk Tidak Masuk ERM

Management kehilangan integrated risk view.

6. Data Governance Terpisah

Input dan access risk tidak terkelola.

7. Human Oversight Tidak Didefinisikan

Output dapat diterima tanpa challenge.

8. Third Party Tidak Dinilai

Dependency dan exit risk tidak terlihat.

9. Monitoring Hanya Saat Incident

Management system menjadi reaktif.

10. Tidak Menyiapkan Improvement Mechanism

Policy dan control cepat menjadi usang.

Fitur dan Manfaat Implementasi ISO 42001

Fitur: AI inventory

Manfaat: Memberikan visibility atas penggunaan AI.

Fitur: Governance dan RACI

Manfaat: Memperjelas accountability.

Fitur: Risk classification

Manfaat: Menerapkan governance secara proporsional.

Fitur: Risk assessment

Manfaat: Mengidentifikasi exposure.

Fitur: Internal control

Manfaat: Mengurangi risiko penggunaan tidak sesuai.

Fitur: Monitoring dan incident

Manfaat: Mempercepat deteksi dan response.

Fitur: Internal review

Manfaat: Meningkatkan assurance.

Fitur: Roadmap

Manfaat: Mengarahkan implementasi secara bertahap.

Pembeda RWI Consulting

RWI Consulting mendekati ISO 42001 dari perspektif integrated GRC, enterprise risk management, internal control, digital governance, business continuity, dan management system.

Fokusnya tidak hanya pada penyusunan dokumen, tetapi pada hubungan antara AI use case, business objective, owner, risk, control, evidence, workflow, monitoring, incident, management review, dan improvement.

Fondasi metodologi tersebut telah digunakan RWI dalam pekerjaan GRC maturity, risk management, digital internal control, dashboard, business continuity, dan governance advisory.

Internal Link Wheel ISO 42001

Konten Induk

• AI Governance
• GRC Consulting

Konten Setingkat

• Tata Kelola AI
• AI Risk Assessment
• Compliance Framework

Konten Turunan

• ISO 42001 Gap Assessment
• AI Policy
• AI Governance Framework
• AI Internal Control

FAQ ISO 42001

Apa fokus implementasi ISO 42001?

Fokus implementasi adalah membangun sistem pengelolaan AI yang memiliki governance, risk management, policy, control, monitoring, review, dan continual improvement.

Apakah ISO 42001 hanya untuk perusahaan teknologi?

Tidak. Organisasi yang menggunakan AI dalam proses bisnis dapat membutuhkan governance sesuai tingkat penggunaan dan exposure.

Apakah perusahaan harus memiliki AI committee?

Tidak selalu. Mandat dapat ditempatkan pada forum existing apabila decision rights dan accountability jelas.

Apa peran AI inventory?

Inventory memberikan visibility atas use case, owner, data, risk level, approval, dan review.

Apakah AI risk perlu masuk ERM?

Ya, apabila exposure material. Integrasi membantu management memperoleh satu enterprise risk view.

Apa peran internal control?

Internal control memastikan policy, approval, data handling, human review, monitoring, dan corrective action dijalankan.

Apa yang dinilai dalam gap assessment?

Governance, inventory, policy, role, risk, control, data, third party, incident, monitoring, review, dan improvement.

Apakah seluruh use case memerlukan proses yang sama?

Tidak. Governance sebaiknya berbasis risk classification.

Apa output implementasi?

Output dapat berupa gap assessment, governance framework, policy, AI register, RACI, risk method, control library, dashboard, dan roadmap.

Bagaimana hubungan ISO 42001 dengan AI governance?

AI governance memberikan struktur tata kelola, sedangkan implementation program membangun management system yang membuat governance berjalan secara konsisten.

Apakah internal audit perlu terlibat?

Ya. Internal audit dapat memberikan assurance independen atas governance, risk, control, evidence, dan monitoring.

Kapan sistem perlu direview?

Saat penggunaan AI, data, provider, process, risk profile, atau business impact berubah.

ISO 42001 dan Capability Building

Implementasi sistem manajemen AI membutuhkan kompetensi yang berbeda pada setiap role. Business user perlu memahami permitted use, data handling, dan cara memverifikasi output. Business owner perlu memahami accountability, risk acceptance, control, dan monitoring. Risk function perlu mampu menilai AI risk menggunakan enterprise risk criteria. Technology dan data owner perlu memahami access, change, quality, integration, dan traceability. Internal audit perlu memahami governance, evidence, serta cara menguji design dan implementation control.

Program capability building dapat dibagi menjadi awareness, role-based training, workshop risk assessment, control design clinic, incident simulation, dan internal assessor development. Pendekatan ini lebih kuat dibanding satu kali sosialisasi karena peserta langsung menggunakan framework pada use case aktual.

Materi internal RWI menempatkan knowledge transfer, workshop, socialization, competency development, dan peningkatan capability sebagai bagian dari penguatan governance dan risk management.

ISO 42001 untuk Holding dan Grup Perusahaan

Holding menghadapi tantangan tambahan karena penggunaan AI dapat tersebar pada banyak entitas. Group governance perlu membedakan minimum standard yang berlaku untuk seluruh grup dan kebutuhan spesifik setiap anak perusahaan.

Arsitektur grup dapat mencakup:

• group AI policy;
• common use case taxonomy;
• minimum risk criteria;
• common control principles;
• group AI inventory;
• entity-level AI register;
• group escalation threshold;
• consolidated reporting;
• assurance coordination.

Model federated dapat digunakan. Holding menetapkan prinsip, metodologi, dan minimum requirement, sedangkan entitas tetap bertanggung jawab terhadap use case, data, proses, dan risiko yang spesifik terhadap bisnisnya.

Bagaimana Menentukan Prioritas Implementasi?

Perusahaan tidak perlu memperbaiki seluruh area secara bersamaan. Prioritas dapat ditentukan berdasarkan business impact, jumlah use case, tingkat risiko, exposure data, dependency pihak ketiga, control weakness, incident history, dan readiness organisasi.

Quick wins dapat berupa penyusunan AI inventory, penetapan owner, acceptable use guideline, screening awal, dan approval matrix. Tahap berikutnya dapat memperkuat risk assessment, control library, dashboard, incident management, internal review, dan integration dengan ERM.

Pendekatan bertahap membuat implementasi lebih realistis dan mengurangi risiko membuat management system yang terlalu kompleks pada fase awal.

Konsultasi ISO 42001

RWI Consulting membantu perusahaan mempersiapkan implementasi ISO 42001 melalui current state assessment, gap assessment, AI inventory, governance framework, risk management, internal control, policy, workflow, monitoring, capability building, dan implementation roadmap.

<strong>Jadwalkan konsultasi ISO 42001 bersama RWI Consulting untuk membangun sistem manajemen AI yang lebih terarah, berbasis risiko, akuntabel, dan terintegrasi dengan GRC perusahaan.</strong>