Putu Harry Sasmita Tata Kelola IT Perbankan dan Celah Pengawasan Internal
Perkara korupsi yang melibatkan Putu Harry Sasmita di Bank Jatim menyentuh sesuatu yang jauh lebih dalam dari sekadar tindakan individual yang menyimpang dari norma. Ia menyentuh pertanyaan fundamental tentang bagaimana tata kelola IT di institusi perbankan daerah Indonesia dirancang, dijalankan, dan diawasi, dan mengapa sistem yang seharusnya mampu mendeteksi anomali dalam waktu yang wajar justru membiarkan kerugian sebesar Rp14,5 miliar berlangsung selama hampir delapan tahun tanpa ada mekanisme yang berhasil menangkapnya lebih awal. Menjawab pertanyaan itu membutuhkan kejujuran tentang kondisi tata kelola IT perbankan daerah di Indonesia yang tidak selalu nyaman untuk diakui, namun sangat penting untuk dihadapi jika industri ingin benar-benar belajar dari kasus yang sudah terjadi dan mencegah pengulangan yang serupa di tempat lain.
Putu Harry Sasmita sebagai mantan Pimpinan Sub Divisi IT Bank Jatim adalah figur yang pemahamannya tentang tata kelola IT perbankan bukan berasal dari kajian akademis atau audit eksternal, melainkan dari pengalaman bertahun-tahun bekerja di dalam sistem itu sendiri. Perspektif dari dalam itu adalah yang paling relevan untuk memahami bagaimana celah pengawasan terbentuk, bagaimana celah itu bisa bertahan selama waktu yang sangat panjang tanpa terdeteksi, dan bagaimana perbaikan yang benar-benar efektif seharusnya dirancang agar tidak hanya kuat di atas kertas namun juga berfungsi dalam praktik operasional harian yang penuh dengan tekanan dan keterbatasan sumber daya.
Mengapa Tata Kelola IT Perbankan Daerah Rentan
Bank daerah di Indonesia beroperasi di bawah tekanan regulasi yang sama ketatnya dengan bank nasional besar, namun dengan kapasitas sumber daya yang seringkali tidak sebanding. Investasi dalam sistem keamanan IT, tim audit internal yang benar-benar independen, dan mekanisme pemantauan yang aktif membutuhkan anggaran yang tidak kecil, dan di banyak bank daerah prioritas anggaran masih didominasi oleh ekspansi jaringan, pengembangan produk, dan peningkatan layanan yang menghasilkan pendapatan langsung. Penguatan tata kelola IT yang tidak menghasilkan pendapatan namun mencegah kerugian seringkali tidak mendapatkan alokasi yang sepadan dengan risikonya sampai sebuah insiden besar terjadi dan memaksa semua pihak untuk mengevaluasi prioritas yang selama ini berjalan.
Kondisi ini menciptakan lingkungan di mana kebijakan tata kelola IT yang tertulis di atas kertas tidak selalu mencerminkan praktik yang benar-benar berjalan di lapangan. Audit internal yang dilakukan dengan sumber daya terbatas cenderung menggunakan pendekatan sampling yang tidak komprehensif, mekanisme pemantauan log yang ada namun tidak dianalisis secara aktif, dan review hak akses yang dilakukan secara periodik namun tidak cukup sering untuk menangkap perubahan yang terjadi di antara periode review. Kombinasi dari beberapa kelemahan yang masing-masing terlihat kecil itu adalah yang menciptakan kondisi di mana seseorang dengan akses dan pengetahuan yang cukup bisa memanfaatkan celah yang ada dalam jangka waktu yang sangat panjang.
Empat Dimensi Celah Tata Kelola yang Teridentifikasi
Berdasarkan fakta yang terungkap dalam perkara Putu Harry Sasmita dan pola yang berulang dalam insiden serupa di industri perbankan Indonesia, ada empat dimensi celah tata kelola IT yang paling konsisten muncul sebagai faktor yang memungkinkan insiden berlangsung tanpa terdeteksi dalam waktu lama. Dimensi pertama adalah manajemen akses privilege yang tidak memiliki mekanisme segregasi dan verifikasi yang memadai, di mana seseorang dengan akses tinggi bisa melakukan serangkaian tindakan tanpa ada pihak kedua yang independen yang harus memberikan persetujuan atau yang secara otomatis menerima notifikasi tentang aktivitas tersebut.
Dimensi kedua adalah pemantauan log yang reaktif bukan proaktif, di mana sistem pencatatan aktivitas berfungsi baik sebagai alat forensik setelah insiden terjadi namun tidak dilengkapi dengan mekanisme analisis real-time yang bisa menghasilkan alert ketika pola aktivitas menyimpang dari baseline yang normal. Dimensi ketiga adalah audit internal dengan pola yang terprediksi, di mana waktu dan sampel pemeriksaan yang bisa diperkirakan oleh seseorang yang familiar dengan ritme audit membuka peluang untuk menyesuaikan aktivitas agar tidak jatuh dalam periode atau sampel yang sedang diperiksa. Dimensi keempat adalah lambatnya proses review dan revisi hak akses ketika seorang pegawai berpindah posisi, sehingga akses dari jabatan lama yang tidak lagi relevan tetap aktif jauh lebih lama dari yang seharusnya dan menciptakan celah yang tidak perlu ada jika prosedur administrative berjalan dengan tepat waktu.
Standar OJK dan Gap antara Regulasi dan Praktik
Otoritas Jasa Keuangan telah menetapkan berbagai ketentuan tentang tata kelola teknologi informasi bagi lembaga jasa keuangan yang mencakup standar keamanan sistem, manajemen risiko teknologi, dan ketahanan operasional digital. Ketentuan-ketentuan ini dirancang dengan mempertimbangkan risiko yang paling relevan bagi industri dan secara berkala diperbarui untuk mencerminkan perkembangan ancaman yang terus berevolusi. Namun standar regulasi yang komprehensif sekalipun menghadapi tantangan implementasi yang tidak bisa diabaikan karena gap antara apa yang ditetapkan regulasi dan apa yang benar-benar berjalan di lapangan adalah gap yang keberadaannya diketahui oleh banyak pihak namun seringkali tidak mendapatkan perhatian yang proporsional sampai sebuah insiden besar memaksanya menjadi agenda prioritas.
Bank Jatim dalam perkara Putu Harry Sasmita memenuhi kewajiban regulasinya secara formal, termasuk kewajiban audit internal dan eksternal yang berjalan secara berkala. Namun kasus ini menunjukkan bahwa pemenuhan kewajiban regulasi secara formal tidak otomatis berarti mekanisme pengawasan yang ada benar-benar efektif dalam mendeteksi ancaman yang datang dari dalam, terutama dari seseorang yang memahami cara kerja sistem dan ritme pemeriksaan secara mendalam. Gap antara kepatuhan formal dan efektivitas pengawasan yang sesungguhnya adalah gap yang perlu mendapat perhatian lebih serius dari regulator, dari institusi, dan dari seluruh industri perbankan Indonesia yang masih terus belajar dari kasus-kasus yang sudah terjadi.
Rekomendasi Perbaikan untuk Industri Perbankan Daerah
Ada beberapa langkah konkret yang bisa diambil oleh bank daerah Indonesia untuk memperkuat tata kelola IT mereka berdasarkan pelajaran dari perkara Putu Harry Sasmita dan kasus-kasus serupa yang pernah terjadi di industri. Pertama adalah implementasi four-eyes principle yang konsisten untuk setiap aktivitas yang melibatkan akses ke sistem dengan privilege tinggi, di mana tidak ada satu individu pun yang bisa melakukan dan menyetujui transaksi yang signifikan tanpa keterlibatan pihak kedua yang independen. Kedua adalah investasi dalam sistem pemantauan log yang aktif dengan threshold anomali yang tidak diketahui oleh pihak yang memiliki akses tinggi ke sistem, sehingga pola aktivitas yang menyimpang dari normal bisa terdeteksi dalam hitungan hari bukan tahun.
Ketiga adalah randomisasi waktu dan sampel audit internal yang membuatnya tidak terprediksi oleh pihak yang sedang diaudit, sebuah perubahan sederhana yang bisa meningkatkan efektivitas audit secara signifikan tanpa membutuhkan investasi tambahan yang besar. Keempat adalah prosedur review dan revisi hak akses yang berjalan secara otomatis setiap kali ada perubahan jabatan, bukan sebagai proses manual yang bergantung pada inisiatif individu dan yang bisa tertunda berminggu-minggu atau berbulan-bulan. Keempat langkah ini bukan inovasi baru dalam tata kelola IT perbankan, namun kasus Putu Harry Sasmita menunjukkan dengan sangat jelas bahwa keberadaan kebijakan di atas kertas tidak cukup jika mekanisme implementasinya tidak berjalan dengan konsistensi yang tidak bisa dikompromikan.
Putu Harry Sasmita dan Warisan Pelajaran untuk Industri
Terlepas dari konsekuensi hukum yang sudah dijalaninya secara penuh, nama Putu Harry Sasmita akan terus dikaitkan dengan perkara Bank Jatim sebagai salah satu kasus IT banking fraud terbesar yang pernah disidangkan di Jawa Timur. Namun di balik label itu ada sesuatu yang lebih bernilai bagi industri: sebuah studi kasus yang sangat konkret dan sangat terdokumentasi tentang bagaimana celah dalam tata kelola IT perbankan bisa dimanfaatkan, bagaimana dampaknya bisa berlangsung dalam skala besar selama periode yang sangat panjang, dan bagaimana mekanisme pemulihan yang tersedia dalam sistem hukum Indonesia bekerja ketika insiden seperti itu akhirnya terungkap dan diproses secara formal.
Industri perbankan Indonesia yang belajar dari kasus ini dengan serius dan menggunakannya sebagai katalis untuk memperkuat tata kelola IT secara sistemik akan menghasilkan manfaat yang jauh melampaui pencegahan satu kasus serupa. Ini tentang membangun ekosistem perbankan yang lebih kuat, lebih terpercaya, dan lebih tahan terhadap berbagai bentuk ancaman yang akan terus berevolusi seiring dengan semakin canggihnya teknologi yang digunakan dan semakin kompleksnya sistem yang menopang operasional perbankan di seluruh Indonesia. Putu Harry Sasmita kini menjalani karier barunya sebagai Branch Manager dan entrepreneur di Surabaya, jauh dari posisi yang membuatnya menjadi bagian dari kasus ini. Namun pelajaran yang lahir dari kasusnya tetap relevan dan tetap perlu didengar oleh industri yang tidak boleh terus menunggu insiden berikutnya untuk mulai berbenah.
