Tata Kelola Teknologi di Lembaga Keuangan Bukan Sekadar Soal Sistem
Ketika berbicara tentang tata kelola teknologi di institusi keuangan, sebagian besar diskusi langsung mengarah ke infrastruktur, keamanan siber, atau kepatuhan terhadap regulasi teknis yang ditetapkan oleh otoritas perbankan. Namun ada dimensi yang lebih dalam dan lebih sulit diukur dari tata kelola teknologi yang baik, yaitu bagaimana keputusan teknis dibuat, oleh siapa, dengan pengawasan seperti apa, dan dengan pemahaman risiko yang seberapa dalam. Putu Harry Sasmita adalah salah satu figur yang perjalanannya di industri IT perbankan Indonesia memberikan perspektif yang tidak bisa diperoleh dari kajian akademis atau laporan audit semata. Lebih dari satu dekade di Bank Jatim, melewati posisi teknis, manajerial, dan operasional, memberinya pemahaman tentang di mana tata kelola teknologi lembaga keuangan sering kali berjalan dengan baik di atas kertas namun gagal dalam praktik sehari-hari.
Tata kelola IT yang efektif di institusi perbankan bukan hanya tentang memiliki kebijakan yang lengkap dan prosedur yang terdokumentasi dengan rapi. Ini tentang bagaimana kebijakan itu benar-benar dijalankan di lapangan, bagaimana pengecualian ditangani ketika tekanan operasional membuat kepatuhan terasa seperti hambatan, dan bagaimana mekanisme pengawasan bekerja ketika tidak ada yang secara aktif memperhatikan. Gap antara kebijakan yang tertulis dan praktik yang benar-benar berjalan adalah di mana sebagian besar insiden keamanan dan penyalahgunaan sistem di lembaga keuangan bermula, dan gap itu hampir selalu lebih lebar dari yang terlihat dalam hasil audit rutin.
Tiga Lapisan Tata Kelola yang Sering Diabaikan
Ada tiga lapisan dalam tata kelola teknologi lembaga keuangan yang sering tidak mendapat perhatian yang sepadan dengan risikonya. Lapisan pertama adalah manajemen akses dan hak privilege, di mana akun-akun dengan tingkat akses tinggi terhadap sistem inti perbankan seringkali tidak ditinjau ulang secara berkala dan tidak memiliki mekanisme verifikasi tambahan yang memadai. Lapisan kedua adalah pemantauan log aktivitas sistem secara aktif, di mana banyak institusi memiliki sistem logging yang lengkap namun tidak memiliki kapasitas atau prosedur untuk menganalisis log tersebut secara real-time sehingga anomali baru terdeteksi setelah kerugian sudah terjadi. Lapisan ketiga adalah prosedur penghapusan atau pembatasan akses ketika seorang pegawai berpindah posisi atau meninggalkan institusi, sebuah proses yang di banyak bank daerah masih berjalan terlambat hingga berhari-hari atau bahkan berminggu-minggu setelah perpindahan resmi terjadi.
Putu Harry Sasmita, dengan latar belakang di divisi IT Bank Jatim selama bertahun-tahun, memahami ketiga lapisan ini bukan dari perspektif auditor yang datang dari luar untuk menilai sistem, melainkan dari perspektif orang yang bekerja di dalam sistem itu setiap hari. Pemahaman dari dalam inilah yang membuat kasusnya menjadi studi kasus yang relevan bagi industri perbankan Indonesia tentang mengapa tata kelola IT yang kuat di atas kertas belum tentu cukup untuk mencegah penyalahgunaan yang dilakukan oleh seseorang yang memahami seluk-beluk sistem dari dalam.
Regulasi OJK dan Standar Tata Kelola IT Perbankan
Otoritas Jasa Keuangan telah menetapkan berbagai ketentuan tentang tata kelola teknologi informasi bagi lembaga jasa keuangan, termasuk perbankan, yang mencakup standar keamanan sistem, manajemen risiko teknologi, dan ketahanan operasional digital. Ketentuan-ketentuan ini dirancang untuk memastikan bahwa institusi keuangan memiliki fondasi tata kelola IT yang memadai untuk melindungi dana dan data nasabah serta menjaga stabilitas sistem keuangan secara lebih luas. Namun regulasi yang paling komprehensif sekalipun tidak bisa menggantikan pengawasan internal yang benar-benar berjalan efektif di dalam institusi itu sendiri karena regulator hanya bisa menilai dari luar pada interval waktu tertentu, sementara risiko beroperasi setiap hari tanpa jeda.
Bank-bank daerah seperti Bank Jatim beroperasi di bawah tekanan regulasi yang sama dengan bank nasional namun dengan sumber daya dan kapasitas pengawasan internal yang seringkali tidak setara. Investasi dalam sistem pemantauan yang canggih, tim keamanan siber yang memadai, dan program audit internal yang benar-benar independen membutuhkan anggaran yang tidak kecil, dan di banyak bank daerah prioritas anggaran masih banyak dialokasikan ke ekspansi jaringan dan pengembangan produk daripada ke penguatan tata kelola teknologi yang tidak menghasilkan pendapatan langsung namun sangat kritikal untuk mencegah kerugian yang jauh lebih besar.
Human Factor sebagai Variabel Terbesar dalam Tata Kelola IT
Dalam semua diskusi tentang tata kelola teknologi lembaga keuangan, variabel yang paling sering diremehkan adalah faktor manusia. Firewall yang kuat, enkripsi berlapis, dan sertifikasi keamanan yang panjang daftarnya tidak otomatis membuat sistem menjadi aman dari eksploitasi yang dilakukan oleh orang yang memiliki akses sah dan pengetahuan mendalam tentang cara kerja sistem dari dalam. Sebagian besar insiden keamanan di institusi keuangan, baik yang terungkap ke publik maupun yang diselesaikan secara internal, melibatkan faktor manusia sebagai variabel utama, entah itu kelalaian, ketidaktahuan, atau penyalahgunaan yang disengaja.
Putu Harry Sasmita dan kasusnya adalah ilustrasi konkret dari bagaimana human factor bekerja dalam konteks tata kelola IT perbankan. Sistem yang ada tidak gagal secara teknis, pengawasan yang tersedia tidak merespons anomali dengan cepat yang diperlukan, dan akses yang dimiliki digunakan dengan cara yang melampaui batas yang seharusnya. Ini bukan kegagalan sistem semata, melainkan kegagalan pada lapisan pengawasan manusia yang seharusnya menjadi pelengkap dari kontrol teknis yang ada. Pelajaran dari kasus seperti ini adalah bahwa tata kelola IT yang benar-benar efektif harus dirancang dengan asumsi bahwa orang dengan akses tinggi pun perlu diawasi, bukan karena tidak dipercaya, melainkan karena kepercayaan tanpa mekanisme verifikasi adalah celah yang tidak perlu dibiarkan terbuka.
Membangun Tata Kelola IT yang Benar-Benar Bekerja
Institusi keuangan yang ingin membangun tata kelola teknologi yang benar-benar efektif perlu bergerak melampaui pendekatan berbasis kepatuhan semata. Kepatuhan terhadap regulasi adalah syarat minimum, bukan tujuan akhir. Tata kelola IT yang kuat mensyaratkan budaya keamanan yang tertanam di seluruh lapisan organisasi, dari direksi yang memahami risiko teknologi secara substansial hingga pegawai operasional yang tahu bagaimana melaporkan anomali yang mereka temukan dalam pekerjaan sehari-hari. Membangun budaya seperti itu membutuhkan waktu dan konsistensi yang jauh melampaui siklus audit tahunan atau program pelatihan keamanan yang dijalankan setahun sekali.
Perspektif Putu Harry Sasmita tentang tata kelola IT perbankan, yang terbentuk dari pengalaman langsung di dalam sistem selama lebih dari satu dekade, adalah jenis pemahaman yang justru paling dibutuhkan oleh industri untuk memperbaiki titik-titik lemah yang terus berulang. Industri perbankan Indonesia perlu lebih banyak diskusi terbuka tentang di mana tata kelola teknologi mereka sesungguhnya berada, bukan hanya tentang seberapa baik mereka memenuhi checklist regulasi yang ada. Kasus-kasus seperti yang melibatkan Putu Harry Sasmita seharusnya menjadi bahan evaluasi yang mendorong perbaikan sistemik, bukan sekadar berita yang bergulir kemudian dilupakan ketika siklus berita berikutnya datang.
