Penggunaan Vendor TI atau PPJTI oleh BPR
Semakin luasnya digitalisasi saat ini membuat BPR dan BPR Syariah semakin mengandalkan Teknologi Informasi untuk membantu operasional bisnis bank. Kemajuan TI yang ada membantu mempermudah pengelolaan data nasabah, penawaran layanan digital, dan keberlangsungan layanan bank. Oleh karena itu, penggunaan Vendor TI atau Pihak Penyedia Jasa Teknologi Informasi (PPJTI) menjadi strategi penting untuk BPR yang belum memiliki sumber daya memadai. Namun, BPR tidak boleh hanya melihat vendor TI dari sisi harga maupun fitur layanan saja. Sebaliknya, BPR perlu memastikan bahwa kerja sama dengan PPJTI tetap memenuhi prinsip kehati-hatian, manajemen risiko, keamanan informasi, serta kepatuhan terhadap regulasi OJK. POJK 34 Tahun 2025 menegaskan bahwa BPR dan BPR Syariah tetap bertanggung jawab penuh terhadap penyelenggaraan TI, meskipun pelaksanaannya menggunakan pihak penyedia jasa TI.
Apa itu PPJTI dalam penyelenggaraan TI BPR?
PPJTI adalah penyedia jasa TI yang membantu BPR melalui dukungan teknis seperti keamanan sistem, layanan digital, pusat pemulihan bencana, infrastruktur, sistem, aplikasi, dan pusat data.Dalam praktiknya, PPJTI dapat menyediakan layanan seperti sistem perbankan inti, perbankan mobile, jaringan komunikasi, layanan cloud, pusat data, pusat pemulihan bencana, switching, layanan bantuan, dan sistem keamanan. Oleh karena itu, BPR harus memperlakukan PPJTI sebagai komponen penting dalam lingkungan operasional bank. Selain itu, gangguan pada layanan PPJTI dapat berdampak langsung pada operasional BPR, keamanan data nasabah, reputasi, dan kepatuhan kepada regulator. Akibatnya, BPR harus melakukan pengawasan secara aktif.
Hal yang perlu di cek dalam kontrak
Sebelum BPR menandatangani kontrak dengan Vendor TI atau PPJTI, BPR perlu memeriksa beberapa aspek penting berikut:
- Ruang Lingkup Layanan TI
BPR harus memastikan bahwa kontrak secara jelas menjelaskan lingkup pekerjaan. - Hak dan Kewajiban Para Pihak
BPR perlu memastikan dalam kontrak telah menjelaskan hak dan kewajiban BPR maupun PPJTI secara detail. Klausul ini penting agar setiap pihak memahami tanggung jawab masing-masing. - Kerahasiaan dan Keamanan Data Nasabah
Kerahasiaan dan perlindungan data pribadi harus ada dalam kontrak. Hal ini penting karena PPJTI sering memiliki akses ke data, sistem, atau aplikasi sensitif. - Service Level Agreement atau SLA.
BPR harus memastikan bahwa SLA memuat standar layanan yang terukur, seperti waktu ketersediaan sistem, waktu respons, waktu penyelesaian gangguan, eskalasi insiden, jadwal pemeliharaan, dan kompensasi untuk hasil layanan yang tidak sesuai dengan kesepakatan di awal. - Kualifikasi dan Kompetensi PPJTI.
BPR harus menilai kompetensi PPJTI, yang mencakup rekam jejak layanan, sertifikasi, pengalaman, jumlah staf, kemampuan teknis, dan dukungan operasional. - Rencana Pemulihan Bencana Vendor
BPR harus memastikan bahwa PPJTI memiliki Disaster Recovery Plan(DRP) yang layak dan teruji. - Exit Clause atau Mekanisme Penghentian Kerja Sama
Klausul ini mengatur tindakan yang harus dilakukan BPR jika kerja sama berakhir, vendor mengalami gangguan layanan, vendor gagal memenuhi persyaratan SLA, atau regulator memerintahkan penghentian kerja sama. BPR juga harus memberikan klausul yang mengatur terkait jaminan keamanan pengembalian data BPR dan kelangsungan layanan. - Subkontrak oleh PPJTI
BPR harus meminta persetujuan tertulis jika PPJTI akan mengalihkan pekerjaannya kepada pihak lain. Langkah ini penting bagi BPR untuk mengetahui siapa saja yang terlibat dalam pengelolaan sistem dan data. - Akses OJK terhadap Data dan Pemeriksaan
Ketika regulator memeriksa kegiatan penyediaan jasa TI, PPJTI wajib menyiapkan data dan informasi yang relevan sesuai peraturan. - Pelaporan Insiden dan Kejadian Kritis
BPR harus memastikan kontrak yang mewajibkan PPJTI segera menginformasikan setiap kejadian kritis yang dapat menimbulkan kerugian atau mengganggu operasional. BPR dapat mengambil langkah eskalasi, mitigasi, dan pelaporan dalam batas waktu yang ditetapkan oleh regulator.
Apa saja isi SLA Vendor TI untuk BPR?
BPR harus meninjau SLA secara menyeluruh selain kontrak utama. Isinya dapat memuat standar kinerja dari PPJTI, antara lain mengenai tingkat pelayanan yang diperjanjikan (service levels) dan target kinerja. Apabila vendor tidak memenuhi komitmen layanan, BPR dapat menggunakan SLA sebagai dasar untuk evaluasi, perbaikan, atau pengambilan keputusan.
Risiko Jika BPR Tidak Mengelola PPJTI dengan Baik
Risiko operasional dapat meningkat jika BPR mengelola PPJTI dengan buruk. Contohnya, sistem inti bank mengalami gangguan, pengguna tidak dapat mengakses layanan digital, data pelanggan bocor, pencadangan data gagal, atau proses pemulihan bencana tidak berjalan sesuai rencana. Selain itu, BPR juga dapat menghadapi risiko kepatuhan.
