Visibilitas Ekosistem TI dan Implikasi PADK OJK 1/2026

Read Time: 10 minutes

Otoritas Jasa Keuangan menetapkan Peraturan Dewan Komisioner OJK No. 1 Tahun 2026 (PADK OJK 1/2026) sebagai ketentuan pelaksana dari POJK No. 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum. Peraturan ini berlaku efektif 1 Maret 2026 bagi Bank Umum dan mencabut SEOJK No. 21/SEOJK.03/2017. PADK OJK 1/2026 memberikan pengaturan yang lebih rinci dan operasional atas kewajiban tata kelola TI bank, khususnya dalam tiga area utama: penggunaan penyedia jasa TI (PPJTI), arsitektur TI, serta pengelolaan data dan pelindungan data pribadi sesuai UU No. 27 Tahun 2022.

Ketentuan Utama

1. Penggunaan Pihak Penyedia Jasa Teknologi Informasi (PPJTI)

Bank tetap diperkenankan menggunakan jasa PPJTI, namun diwajibkan memiliki kebijakan dan prosedur yang terdokumentasi terkait:

• Identifikasi kebutuhan dan proses seleksi PPJTI
• Pelaksanaan due diligence
• Manajemen risiko penggunaan PPJTI
• Evaluasi kinerja dan kepatuhan
• Penilaian ulang materialitas apabila terjadi perubahan signifikan pada vendor

Penggunaan penyedia TI luar negeri juga harus memastikan tidak menghambat kewenangan pengawasan OJK. Artinya, akses pemeriksaan tetap harus dapat dilakukan.

Pendekatan ini menegaskan bahwa penggunaan pihak ketiga tidak mengalihkan tanggung jawab tata kelola dan risiko dari bank kepada vendor.

2. Arsitektur Teknologi Informasi Bank

Bank wajib membentuk arsitektur TI melalui empat tahapan sebagai berikut:

• Perencanaan prinsip arsitektur dan penetapan fungsi penanggung jawab
• Desain yang selaras dengan kebutuhan bisnis, arsitektur data, aplikasi, serta teknologi
• Implementasi sesuai peta jalan
• Evaluasi dan pengendalian berkala

Bank diwajibkan memiliki gambaran menyeluruh atas aktivitas bisnis sebelum merancang arsitektur TI. Hal ini mempertegas bahwa arsitektur TI bukan sekadar aspek teknis, melainkan bagian dari kerangka tata kelola strategis.

3. Pengelolaan Data dan Perlindungan Data Pribadi

Dalam aspek pengelolaan data, bank wajib menetapkan:

• Kepemilikan dan tanggung jawab pengelolaan data
• Standar kualitas data (akurasi, kelengkapan, integritas, konsistensi)
• Sistem pengelolaan data yang terintegrasi dan efektif
• Sumber daya pendukung yang memadai

Terkait pelindungan data pribadi, pengaturan ini selaras dengan Undang-Undang No. 27 Tahun 2022. Beberapa kewajiban yang ditegaskan antara lain:

• Persetujuan eksplisit dan terdokumentasi sebelum pemrosesan data
• Klasifikasi jenis data pribadi
• Kebijakan pertukaran data pribadi
• Kewajiban pelaksanaan Data Protection Impact Assessment (DPIA) untuk pemrosesan berisiko tinggi

Dengan demikian, tata kelola data pribadi tidak hanya bersifat administratif, tetapi menuntut pendekatan berbasis risiko yang terstruktur.

Pemetaan Digital Ecosystem dan Penguatan Tata Kelola Risiko TI

Crowe Indonesia Teknologi mendukung bank dalam melakukan pemetaan digital supply chain secara terstruktur, eksposur risiko vendor, mengevaluasi keselarasan arsitektur TI dengan proses bisnis, serta menilai kesiapan tata kelola data dan pengendalian pertukaran data pribadi. Pendekatan ini membantu memastikan bahwa penguatan kepatuhan terhadap PADK OJK 1/2026 didasarkan pada visibilitas risiko yang komprehensif dan terdokumentasi. Dengan pengalaman lebih dari 15 tahun di sektor jasa keuangan, kami menerapkan pendekatan tersebut selaras dengan ekspektasi regulator dan praktik tata kelola TI yang berlaku.