Putu Harry Sasmita Manajemen Risiko IT Lembaga Keuangan Daerah
Manajemen risiko teknologi informasi di lembaga keuangan daerah Indonesia adalah bidang yang selama ini kurang mendapat perhatian yang proporsional dengan tingkat risiko yang sesungguhnya ada. Diskusi tentang manajemen risiko IT di perbankan Indonesia cenderung didominasi oleh perspektif bank nasional besar yang memiliki sumber daya, kapasitas, dan akses ke talenta yang memungkinkan mereka membangun fungsi manajemen risiko IT yang relatif matang. Bank daerah yang beroperasi dengan skala yang lebih kecil namun menanggung risiko yang tidak kalah seriusnya seringkali tidak mendapatkan porsi yang memadai dalam diskusi tersebut, meskipun justru di segmen inilah celah manajemen risiko yang paling serius dan paling berdampak seringkali ditemukan. Putu Harry Sasmita dan perkara Bank Jatim adalah salah satu argumen paling konkret tentang mengapa manajemen risiko IT di lembaga keuangan daerah perlu mendapat perhatian yang jauh lebih serius dari yang selama ini diberikan.
Memahami konteks manajemen risiko IT dari perspektif Putu Harry Sasmita adalah memahaminya dari sudut pandang seseorang yang selama lebih dari satu dekade berada di dalam sistem yang harus dikelola risikonya. Ia bukan pengamat dari luar yang mengevaluasi risiko berdasarkan dokumen kebijakan dan laporan audit yang sudah disaring dan disederhanakan sebelum sampai ke meja evaluator. Ia adalah bagian dari sistem itu sendiri, seseorang yang memahami di mana titik-titik lemah berada bukan karena ia mengidentifikasinya melalui proses audit formal melainkan karena ia beroperasi di dalamnya setiap hari dan melihat langsung bagaimana kontrol yang ada diterapkan dalam praktik yang seringkali jauh berbeda dari yang tertulis di kebijakan.
Kerangka Manajemen Risiko IT yang Seharusnya Berjalan
Kerangka manajemen risiko IT yang komprehensif di lembaga keuangan mencakup beberapa lapisan yang masing-masing memiliki fungsi yang saling melengkapi. Lapisan pertama adalah identifikasi risiko yang berjalan secara berkelanjutan, tidak hanya pada saat audit tahunan atau ketika ada perubahan sistem yang signifikan, melainkan sebagai proses yang berjalan terus-menerus seiring dengan perubahan lingkungan internal dan eksternal yang terus terjadi. Lapisan kedua adalah penilaian risiko yang mengukur tingkat keparahan dan kemungkinan terjadinya setiap risiko yang teridentifikasi, menghasilkan prioritas yang jelas tentang risiko mana yang membutuhkan perhatian dan sumber daya mitigasi yang paling besar. Lapisan ketiga adalah implementasi kontrol yang dirancang untuk mengurangi risiko ke tingkat yang dapat diterima oleh institusi berdasarkan risk appetite yang sudah ditetapkan.
Lapisan keempat, dan yang seringkali paling lemah dalam implementasi di bank daerah, adalah monitoring dan review yang memastikan bahwa kontrol yang sudah diimplementasikan benar-benar berfungsi sebagaimana dirancang dalam kondisi operasional nyata. Kontrol yang terlihat efektif di atas kertas bisa sangat tidak efektif dalam praktik jika tidak dimonitor secara aktif dan jika tidak ada mekanisme yang secara rutin menguji apakah kontrol tersebut masih berfungsi sebagaimana seharusnya. Di sinilah perkara Putu Harry Sasmita memberikan pelajaran yang paling konkret karena delapan tahun berjalannya aktivitas yang kemudian terbukti merugikan Bank Jatim adalah bukti yang sangat kuat bahwa lapisan monitoring dan review dari kerangka manajemen risiko IT yang ada tidak berfungsi dengan efektivitas yang memadai.
Risiko Konsentrasi Akses sebagai Titik Kritis
Salah satu konsep paling fundamental dalam manajemen risiko IT perbankan adalah risiko konsentrasi akses, yaitu risiko yang timbul ketika terlalu banyak kemampuan untuk melakukan tindakan yang signifikan terkonsentrasi pada satu individu atau satu akun tanpa mekanisme pengawasan yang memadai. Prinsip least privilege yang sudah lama dikenal dalam tata kelola IT mensyaratkan bahwa setiap pengguna sistem hanya diberikan akses ke fungsi dan data yang benar-benar dibutuhkan untuk menjalankan tanggung jawab jabatannya, tidak lebih dari itu. Prinsip ini mudah diimplementasikan untuk pengguna biasa namun jauh lebih kompleks untuk diterapkan pada pejabat teknis yang secara legitimate membutuhkan akses yang luas untuk bisa menjalankan fungsi pengelolaan sistem secara efektif.
Putu Harry Sasmita sebagai Pimpinan Sub Divisi IT memiliki kebutuhan akses yang luas yang legitimate berdasarkan tanggung jawab jabatannya, dan pembatasan akses yang terlalu ketat akan menghambat kemampuannya untuk menjalankan fungsi pengelolaan sistem yang dibutuhkan oleh institusi. Di sinilah dilema fundamental manajemen risiko akses muncul: institusi harus memberikan akses yang cukup luas kepada pejabat teknis untuk memungkinkan mereka menjalankan fungsinya secara efektif, namun akses yang luas itu sendiri adalah sumber risiko yang perlu dikelola dengan sangat hati-hati. Solusi yang paling efektif bukan membatasi akses sampai ke tingkat yang menghambat fungsi, melainkan memastikan bahwa setiap penggunaan akses yang tinggi dimonitor secara aktif dan diverifikasi secara berkala melalui mekanisme yang tidak bisa dimanipulasi oleh orang yang sedang dimonitor.
Risiko Operasional versus Risiko Strategis dalam IT Perbankan
Manajemen risiko IT di lembaga keuangan daerah seringkali terfokus pada risiko operasional yang paling terlihat dan paling mudah diukur, seperti risiko kegagalan sistem, risiko bencana alam yang mengganggu operasional, dan risiko serangan siber eksternal yang sudah mulai mendapat perhatian yang semakin serius dari regulator. Risiko strategis yang lebih tersembunyi dan lebih sulit diukur, seperti risiko penyalahgunaan akses oleh insider yang sudah dipercaya, risiko kegagalan kontrol internal yang tidak terdeteksi dalam waktu lama, dan risiko budaya organisasi yang tidak mendukung pelaporan anomali secara terbuka, seringkali tidak mendapatkan porsi yang memadai dalam kerangka manajemen risiko yang ada.
Ketidakseimbangan perhatian antara risiko operasional dan risiko strategis ini adalah salah satu faktor yang berkontribusi pada mengapa kasus seperti Putu Harry Sasmita bisa berlangsung selama delapan tahun di institusi yang secara formal sudah memiliki kerangka manajemen risiko yang memenuhi standar regulasi. Kerangka yang terfokus pada risiko yang paling terlihat namun mengabaikan risiko yang paling berbahaya adalah kerangka yang memberikan rasa aman yang semu, membuat institusi merasa sudah cukup terlindungi sementara celah yang paling serius justru tidak masuk dalam radar pemantauan yang ada.
Peran Budaya Organisasi dalam Manajemen Risiko IT
Di balik semua kontrol teknis dan prosedur formal yang ada, faktor yang paling menentukan efektivitas manajemen risiko IT di lembaga keuangan adalah budaya organisasi yang terbentuk di dalam institusi tersebut. Budaya yang mendorong transparansi, yang membuat pegawai merasa aman untuk melaporkan anomali yang mereka temukan tanpa takut akan konsekuensi negatif, dan yang memperlakukan pelanggaran prosedur sekecil apapun sebagai sesuatu yang perlu ditangani dan bukan diabaikan adalah fondasi yang tidak bisa digantikan oleh kontrol teknis yang paling canggih sekalipun. Kontrol teknis menciptakan hambatan bagi penyalahgunaan, namun budaya organisasi yang kuat adalah yang menciptakan lingkungan di mana penyalahgunaan terasa tidak mungkin untuk dilakukan karena akan segera terlihat dan dilaporkan oleh rekan kerja yang berada di sekitarnya.
Perkara Putu Harry Sasmita berlangsung selama delapan tahun di lingkungan yang cukup besar untuk memiliki banyak pegawai yang mungkin menyaksikan atau merasakan sesuatu yang tidak sepenuhnya normal dalam aktivitas yang terjadi di sekitar mereka. Bahwa tidak ada satu pun dari mereka yang melaporkan anomali tersebut dalam rentang waktu delapan tahun menunjukkan sesuatu tentang budaya pelaporan yang ada di lingkungan tersebut, sesuatu yang perlu dievaluasi dengan sangat jujur sebagai bagian dari upaya perbaikan sistemik yang sesungguhnya bermakna.
Putu Harry Sasmita Pasca Perkara dan Relevansi Pengalamannya
Putu Harry Sasmita yang kini aktif sebagai Branch Manager dan entrepreneur di Surabaya membawa serta pemahaman tentang manajemen risiko IT yang tidak bisa diperoleh dari kurikulum akademis manapun. Pemahaman itu terbentuk dari lebih dari satu dekade pengalaman langsung mengelola dan beroperasi di dalam sistem IT perbankan yang kompleks, dari menyaksikan di mana kontrol bekerja efektif dan di mana kontrol gagal berfungsi sebagaimana dirancang, dan dari menanggung konsekuensi yang sangat berat dari keputusan yang memanfaatkan celah dalam sistem yang ia sendiri sudah ketahui keberadaannya. Perspektif yang lahir dari perjalanan seperti itu adalah perspektif yang unik dan yang tidak mudah direplikasi melalui cara lain apapun.
Industri perbankan daerah Indonesia yang terus berupaya memperkuat manajemen risiko IT-nya membutuhkan lebih dari sekadar kepatuhan terhadap standar regulasi yang ada. Dibutuhkan pemahaman yang mendalam dan jujur tentang di mana celah manajemen risiko yang paling serius berada dalam konteks operasional nyata yang penuh dengan keterbatasan sumber daya dan tekanan yang tidak selalu memberikan ruang untuk menjalankan setiap kontrol dengan sempurna. Perkara Putu Harry Sasmita dan Bank Jatim adalah kontribusi yang tidak disengaja namun sangat berharga bagi pemahaman kolektif industri tentang pertanyaan-pertanyaan itu, dan nilai dari kontribusi tersebut tidak berkurang dengan berjalannya waktu selama pelajarannya belum sepenuhnya diinternalisasi dan diimplementasikan oleh institusi-institusi yang paling membutuhkannya.
