Rencana aksi POJK 34/2025 untuk BPRS biasanya memetakan lima area: tata kelola TI, arsitektur TI, manajemen risiko TI, keamanan informasi dan ketahanan siber, serta penggunaan pihak penyedia jasa TI (PPJTI). Untuk tiap area disusun kesenjangan, urutan pekerjaan, dan jadwal yang realistis bagi tim kecil. Tulisan ini menggambarkan isi tiap area berdasarkan pengalaman kami menyusun rencana aksi serupa untuk sebuah BPRS.
PPJTI adalah singkatan dari pihak penyedia jasa teknologi informasi: pihak di luar BPRS yang menyediakan sistem atau layanan TI, misalnya vendor sistem inti (core banking), penyedia pusat data atau hosting, penyedia jaringan, dan pengembang aplikasi. Prinsipnya, pekerjaan boleh diserahkan ke pihak lain, tetapi tanggung jawab atas data nasabah dan kelangsungan layanan tetap berada pada bank. Itu sebabnya PPJTI menjadi area tersendiri dalam rencana aksi, bukan sekadar catatan kaki di bagian pengadaan.
POJK 34/2025 mendorong bank dan lembaga keuangan, termasuk BPR dan BPRS, menyusun rencana aksi terkait penyelenggaraan teknologi informasi secara lebih terstruktur. Bagi BPRS dan koperasi syariah yang selama ini mengelola TI secara ad hoc, tanpa dokumen tata kelola formal, ketentuan ini berarti ada pekerjaan nyata yang perlu disiapkan, bukan sekadar formalitas administratif.
Dari pengalaman kami menyusun rencana aksi serupa untuk sebuah BPRS, ini lima area yang biasa dipetakan.
Tata kelola TI
Kejelasan struktur tanggung jawab pengelolaan TI: siapa mengambil keputusan terkait sistem dan data, dan bagaimana keputusan itu didokumentasikan. Banyak BPRS kecil belum punya struktur ini secara formal karena fungsi TI masih menyatu dengan tugas lain.
Arsitektur TI
Pemetaan sistem yang dipakai, bagaimana sistem-sistem itu saling terhubung, dan titik mana yang paling kritis kalau terjadi gangguan. Tanpa pemetaan ini, menilai risiko atau merencanakan pengembangan jadi tebak-tebakan.
Manajemen risiko TI
Identifikasi risiko terkait sistem dan data, mulai dari kegagalan sistem, kesalahan input, sampai akses yang tidak semestinya, beserta rencana mitigasinya.
Keamanan informasi dan ketahanan siber
Kesiapan menghadapi ancaman siber: kontrol akses, pencadangan data, prosedur kalau terjadi insiden. Untuk banyak BPRS, ini area yang paling jauh dari kondisi ideal, karena selama ini dianggap risiko yang jauh dari skala usahanya.
PPJTI
Hubungan dengan pihak ketiga penyedia sistem atau layanan TI: bagaimana kontrak, tanggung jawab, dan pengawasannya diatur, termasuk kalau sistem inti dikelola vendor luar. Dalam rencana aksi, area ini biasanya berisi daftar vendor beserta kontraknya, klausul keamanan data dan tingkat layanan (SLA), pembatasan dan pencatatan akses vendor ke sistem bank, penilaian kinerja vendor secara berkala, serta rencana bila vendor berhenti beroperasi atau kontrak diakhiri.
Menyusun rencana aksi untuk lima area ini butuh peninjauan kondisi TI yang berjalan lebih dulu, baru dokumen rencana beserta jadwal pemantauannya disusun. Menyalin templat dari lembaga lain jarang cocok, karena kondisi tiap BPRS berbeda.
Pertanyaan yang sering diajukan
Apa itu PPJTI?
PPJTI adalah pihak penyedia jasa teknologi informasi: pihak di luar BPRS yang menyediakan sistem atau layanan TI, seperti vendor sistem inti, penyedia pusat data atau hosting, penyedia jaringan, dan pengembang aplikasi. Pengelolaannya boleh diserahkan, tetapi tanggung jawab atas data nasabah dan kelangsungan layanan tetap pada BPRS.
Apakah BPRS yang memakai sistem inti dari vendor berarti menggunakan PPJTI?
Ya. Sistem inti yang dikembangkan, dikelola, atau di-hosting vendor adalah bentuk penggunaan PPJTI yang paling umum di BPRS. Karena itu kontrak, hak akses vendor, cadangan data, dan rencana penggantian vendor perlu masuk ke rencana aksi.
Apa yang perlu ada dalam rencana aksi untuk area PPJTI?
Daftar vendor dan kontraknya, klausul keamanan data dan SLA, pembatasan serta pencatatan akses vendor, penilaian kinerja berkala, dan rencana bila vendor berhenti atau kontrak diakhiri. Untuk tiap butir dicatat kondisi saat ini, kesenjangannya, dan kapan akan dipenuhi.
Karena ini menyangkut ketentuan regulasi, tetap rujuk teks resmi POJK 34/2025 dan koordinasikan dengan bagian kepatuhan atau konsultan hukum untuk interpretasinya. Kami membantu dari sisi penyusunan dokumen rencana aksi dan pemetaan teknisnya. Hubungi kami kalau lembaga Anda sedang menyiapkan ini.
Program khusus BPRS: kami membantu menyusun rencana aksi POJK 34/2025 untuk lima area penyelenggaraan TI, lengkap dengan lembar pemantauan bulanan untuk direksi. Lihat program rencana aksi POJK 34/2025 dan unduh daftar periksanya.
