Outsourcing & Manajemen Risiko TI menurut OJK
Bagaimana regulator jasa keuangan Indonesia mengatur risiko TI dan outsourcing bank — dan apa artinya bagi penilaian vendor Anda.
Intisari
- OJK mewajibkan bank di Indonesia mengelola risiko dalam penggunaan teknologi informasi, termasuk risiko pihak ketiga (outsourcing) — terutama dalam POJK 38/POJK.03/2016.
- Kerja sama outsourcing membutuhkan asesmen risiko, perlindungan kontraktual, dan pengawasan berkelanjutan terhadap penyedia layanan.
- Security rating eksternal memberi bank bukti objektif tentang postur keamanan penyedia layanan.
Ringkasan
Otoritas Jasa Keuangan (OJK) mewajibkan bank mengelola risiko dalam penggunaan teknologi informasi, termasuk risiko yang dibawa oleh pihak ketiga (outsourcing) — antara lain melalui POJK 38/POJK.03/2016.
Apa itu kerangka regulasi ini?
Industri jasa keuangan sangat bergantung pada vendor teknologi: core banking, pembayaran, cloud, hingga layanan managed service. Karena itu OJK mengatur agar bank tetap bertanggung jawab penuh atas risiko TI yang di-outsourcing-kan, termasuk melakukan due diligence dan pengawasan berkelanjutan terhadap pihak ketiga.
POJK tentang penerapan manajemen risiko dalam penggunaan teknologi informasi oleh bank umum menjadi rujukan utama: bank harus memastikan penerapan manajemen risiko yang memadai pada setiap layanan TI, termasuk yang diserahkan kepada pihak ketiga. OJK juga menerbitkan surat edaran terkait kerja sama bank dengan pihak ketiga yang dapat dipastikan keberlakuannya melalui JDIH OJK.
Apa persyaratan utamanya?
Bank tidak dapat mengalihkan tanggung jawab risiko kepada vendor — pengawasan aktif tetap menjadi kewajiban bank sebagai pihak yang menggunakan jasa.
- Due diligence keamanan pihak ketiga sebelum kerja sama dan secara berkala
- Perjanjian kerja sama yang memuat kewajiban keamanan informasi dan hak audit
- Pengawasan berkelanjutan terhadap kinerja dan risiko vendor
- Kesiapan penanganan insiden yang melibatkan pihak ketiga
- Pelaporan risiko TI kepada manajemen dan regulator
Apa artinya bagi vendor risk assessment?
Bagi program vendor risk assessment, aturan OJK berarti penilaian vendor bukan sekadar formalitas kontrak: bukti pemantauan keamanan yang berkelanjutan, riwayat temuan, dan tindakan perbaikannya harus terdokumentasi. Security rating dan pemantauan eksternal menjadi cara efisien untuk memenuhi kebutuhan bukti tersebut.
Vendor yang gagal memenuhi standar keamanan seharusnya dapat terdeteksi lebih awal — misalnya lewat penurunan rating — sebelum audit atau regulator menemukannya.
Bagaimana CyberRank dapat membantu?
CyberRank membantu memenuhi ekspektasi pengawasan pihak ketiga dengan data yang konsisten dan dapat diverifikasi ulang.
- Security rating untuk membandingkan dan memantau vendor secara objektif
- Pemantauan berkelanjutan dengan bukti tren untuk audit dan regulator
- Penilaian vendor (TPRM) dengan cakupan keamanan dan privasi
- Laporan siap bagikan untuk komite risiko dan otoritas
Referensi
- Peraturan OJK No. 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum
- UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
- PP No. 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik
- JDIH OJK — portal regulasi resmi Otoritas Jasa Keuangan
Pertanyaan yang sering diajukan
Tautan terkait
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda