Manajemen Risiko Teknologi Informasi OJK: Apa yang Harus Dibuktikan Bank

OJK memperlakukan risiko teknologi informasi sebagai kategori risiko operasional yang wajib dikelola bank umum melalui struktur tata kelola yang jelas, bukan sebagai urusan teknis yang sepenuhnya diserahkan ke fungsi TI. POJK 11/2022 tentang penyelenggaraan teknologi informasi oleh bank umum menetapkan kerangkanya, dan ekspektasi pengawasan mengalir lewat akuntabilitas direksi, identifikasi risiko, desain kontrol, serta pelaporan.

Implikasi praktisnya, artefak sama pentingnya dengan kontrolnya. Sebuah bank bisa menjalankan pengamanan teknis yang kuat namun tetap dinilai buruk dalam pengawasan bila tidak mampu menunjukkan penilaian risiko yang terdokumentasi, pemilik yang jelas untuk tiap risiko, serta bukti bahwa direksi menerima dan menindaklanjuti informasi tersebut.

Panduan ini membahas wujud operasionalnya, dengan perhatian khusus pada komponen faktor manusia, yang secara konsisten paling sulit dibuktikan dengan baik.

Arah regulasi keuangan Indonesia jelas: risiko teknologi adalah tanggung jawab tingkat direksi. Direksi diharapkan memahami profil risiko teknologi bank, menyetujui selera risikonya, serta menerima pelaporan yang cukup sering dan cukup spesifik untuk ditindaklanjuti.

Standar itu tidak terpenuhi oleh satu slide tahunan berisi persentase penyelesaian pelatihan. Direksi perlu melihat di mana risiko terkonsentrasi, apakah membaik, dan apa yang sedang dilakukan pada area yang tidak membaik. Pelaporan yang hanya menampilkan aktivitas, bukan hasil, cenderung mengundang pertanyaan pengawas alih-alih menyelesaikannya.

Pelaporan risiko manusia yang paling berguna menjawab tiga pertanyaan: bagian organisasi mana yang paling rentan, apakah kerentanan itu menurun, dan apa yang terjadi pada orang yang berulang kali gagal.

Siklus yang diharapkan bersifat konvensional: identifikasi risiko, ukur atau nilai, pantau dan kendalikan, lalu laporkan. Diterapkan pada teknologi, ini berarti memelihara inventaris sistem beserta tingkat kritikalitasnya, menilai ancaman terhadapnya, menerapkan kontrol yang sepadan, dan memantau apakah kontrol itu tetap efektif.

Dua area lazim menarik perhatian pengawas. Risiko pihak ketiga dan alih daya, karena bank makin bergantung pada penyedia eksternal yang kontrolnya tidak mereka operasikan langsung. Serta manajemen perubahan, karena porsi signifikan insiden ketersediaan berawal dari perubahan yang dilakukan bank pada sistemnya sendiri.

Manajemen insiden mengikat siklus itu. Bank yang tidak mampu merekonstruksi apa yang terjadi saat insiden, serta seberapa cepat terdeteksi dan dieskalasi, akan kesulitan membuktikan kontrol pemantauannya bekerja.

Phishing dan rekayasa sosial berada di dalam risiko TI, bukan di sampingnya. Jalur masuk dominan ke sistem bank adalah manusia: karyawan yang memasukkan kredensial ke halaman yang meyakinkan, menyetujui instruksi pembayaran palsu, atau mengizinkan permintaan MFA yang bukan ia mulai.

Artinya kerentanan karyawan adalah risiko teknologi yang terukur, dengan pemilik, nilai saat ini, dan target, bukan statistik administrasi pelatihan. Memperlakukannya demikian mengubah apa yang dilaporkan dan apa yang didanai.

Hal ini juga terhubung dengan nasabah bank itu sendiri. Bank Indonesia menghadapi peniruan merek yang terus-menerus lewat akun layanan pelanggan palsu, pesan WhatsApp menipu, dan berkas APK berbahaya. Kesadaran karyawan dan respons fraud yang menghadap nasabah adalah dua sisi dari risiko yang sama.

Kesadaran adalah titik dokumentasi yang biasanya paling lemah, karena sebagian besar organisasi hanya mampu menghasilkan catatan penyelesaian. Penyelesaian membuktikan kehadiran, bukan kemampuan. Pengawas dan audit internal makin sering mengajukan pertanyaan yang lebih sulit: apakah perilakunya berubah.

Bukti perilaku menjawabnya. Hasil simulasi phishing yang ditrenkan lintas beberapa kampanye, dirinci per departemen dan peran, disertai identifikasi pengklik berulang dan jalur remediasi yang jelas, menunjukkan kontrolnya berjalan dan membaik. Posisi itu jauh lebih kuat daripada sekadar daftar hadir pelatihan.

Claro dibangun untuk kebutuhan ini: simulasi phishing dwibahasa lintas email, WhatsApp, SMS, dan suara; skor risiko per pengguna; analitik tingkat departemen dan peran; pelatihan remediasi otomatis bagi yang gagal; serta pelaporan yang dapat diekspor dan dipetakan ke ekspektasi OJK bersama ISO 27001 dan UU PDP. Penerapan on-premise tersedia bila residensi data mengharuskannya.