PADK OJK 1/2026: Aturan TI Bank soal Vendor dan Pusat Data

Apa yang diwajibkan PADK OJK 1/2026 terhadap teknologi sebuah bank? Peraturan yang diterbitkan Otoritas Jasa Keuangan (OJK) ini berlaku bagi seluruh bank umum di Indonesia sejak 1 Maret 2026. Peraturan ini merupakan ketentuan pelaksanaan yang rinci dari peraturan tahun 2022 tentang penyelenggaraan teknologi informasi oleh bank umum, dan menggantikan surat edaran yang berlaku sejak 2017. Bagi bank, peraturan ini mengubah cara pemasok teknologi dipilih dan ditinjau, cara sistem yang ditempatkan di luar negeri memperoleh izin, serta apa yang dilaporkan kepada regulator. Bagi perusahaan yang menjual teknologi kepada bank, peraturan ini mengubah apa yang harus mereka buktikan.

Apa isi peraturan ini dan kapan mulai berlaku

Menurut laman regulasi OJK, PADK OJK 1/2026 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum ditetapkan pada 23 Januari 2026 dan berlaku pada 1 Maret 2026. Peraturan ini melaksanakan POJK 11/POJK.03/2022, dan sejak berlaku, SEOJK 21/SEOJK.03/2017 tentang penerapan manajemen risiko dalam penggunaan TI dicabut. Abstrak OJK menyatakan peraturan ini berlaku bagi seluruh bank umum. Substansinya terdapat dalam empat lampiran: pedoman penyelenggaraan TI (75 halaman), tata cara penyampaian laporan dan permohonan izin (9 halaman), format laporan dan notifikasi (33 halaman), serta format permohonan izin (13 halaman).

OJK menyebut sembilan pokok pengaturan: tata kelola TI, termasuk peran direksi, dewan komisaris, komite pengarah TI, dan satuan kerja TI; arsitektur TI dan rencana strategis TI; manajemen risiko TI, termasuk pengamanan informasi dan jaringan komunikasi; penggunaan pihak penyedia jasa TI; perizinan penempatan sistem elektronik dan pemrosesan transaksi di luar wilayah Indonesia; pengelolaan data dan pelindungan data pribadi; penyediaan jasa TI oleh bank; pengendalian dan audit intern; serta pelaporan. Dalam abstraknya, OJK menjelaskan tujuannya dengan lugas: pemanfaatan teknologi yang meningkat membawa risiko yang harus diidentifikasi dan dikendalikan, sehingga bank perlu memperkuat tata kelola agar teknologi memberi nilai tambah.

Apa yang berubah dari surat edaran 2017

Daftar tanya jawab yang diterbitkan OJK bersama peraturan ini menyebut pokok-pokok perubahannya. Yang pertama menyangkut pihak penyedia jasa TI (PPJTI): kebijakan dan prosedur penggunaannya, penggunaan penyedia di luar wilayah Indonesia, dan penilaian ulang materialitas penyedia bagi bank. Perubahan lainnya adalah standar dan prosedur bagi bank yang menyediakan jasa TI, pengendalian intern dalam penyelenggaraan TI, serta penyesuaian format laporan dan permohonan izin.

Dokumen yang sama menyatakan bahwa peraturan ini menambah pengaturan yang tidak ada dalam surat edaran lama: mengenai tata kelola TI, penyusunan arsitektur TI, pengelolaan data dan pelindungan data pribadi, serta tata cara penyampaian laporan dan permohonan. OJK juga mengingatkan bahwa ada dua surat edaran lain yang harus diperhatikan bank, yaitu mengenai ketahanan dan keamanan siber serta mengenai penilaian tingkat maturitas digital bank.

Penyedia jasa TI: uji tuntas tidak berhenti saat kontrak ditandatangani

Ulasan hukum yang diterbitkan firma hukum SSEK di Jakarta pada 9 Juli 2026 menguraikan ketentuan penyedia jasa dengan lebih rinci. Bank dapat menggunakan pihak ketiga untuk perangkat lunak, perangkat keras, dukungan teknis, dan konsultasi, tetapi peraturan tahun 2022 yang menjadi dasarnya mewajibkan uji tuntas sebelum penyedia dipilih, dan hubungan tersebut harus dituangkan dalam perjanjian tertulis. Penyedia yang berada di luar Indonesia dapat digunakan dengan kebijakan dan prosedur yang sama seperti penyedia dalam negeri, sepanjang tidak menghambat pengawasan dan pemeriksaan OJK.

Tambahan yang penting adalah penilaian ulang materialitas. Sebagaimana diuraikan SSEK, bank harus menilai kembali penyedia ketika terjadi perubahan signifikan yang dapat memengaruhi kemampuannya melayani bank, seperti perubahan kepemilikan atau kondisi keuangan, lalu menentukan apakah sifat, skala, atau kompleksitas risikonya berubah. Kebijakan bank paling sedikit harus mencakup keandalan penyedia, waktu penilaian ulang, dan tindak lanjutnya.

Sistem di luar negeri: dokumen lebih ringkas, izin tetap diperlukan

Penempatan sistem elektronik pada pusat data atau pusat pemulihan bencana di luar wilayah Indonesia tetap memerlukan izin OJK, tetapi daftar tanya jawab menegaskan bahwa permohonannya lebih sederhana. Ringkasan analisis bank atas hasil audit independen terhadap pengamanan fasilitas kini hanya disampaikan saat bank pertama kali menempatkan sistem di sana. Tiga dokumen tidak lagi diperlukan: analisis risiko dari penyedia, rencana pengawasan bank atas fasilitas, dan rencana peningkatan kemampuan sumber daya manusia.

Peraturan ini juga memberi contoh sistem yang digunakan untuk manajemen intern, dalam konteks kriteria penempatan di luar negeri: sistem kepegawaian dan remunerasi, sistem audit intern, pengolahan dokumen internal, aplikasi kolaborasi internal, dan aplikasi knowledge management, termasuk yang memanfaatkan kecerdasan artifisial.

Perpindahan lokasi diatur dengan hati-hati. Jika sistem yang sudah berizin dipindahkan ke pusat data yang telah disetujui OJK, cukup disampaikan notifikasi. Jika dipindahkan ke fasilitas yang belum pernah disetujui, izin baru tetap diperlukan meskipun lokasinya di negara yang sama, karena, menurut OJK, setiap lokasi memiliki karakteristik keamanan dan profil risiko yang berbeda. Daftar tanya jawab juga membedakan dua hal yang sering dicampuradukkan: penempatan adalah lokasi fisik pusat data, sedangkan pemrosesan transaksi adalah kegiatan penambahan, perubahan, penghapusan, atau otorisasi data.

Rencana, laporan, dan masa peralihan

Bank wajib menggunakan format dan batas waktu laporan yang baru sejak 1 Maret 2026. SSEK mencatat format dalam lampiran ketiga: laporan rencana pengembangan TI, laporan kondisi terkini penggunaan TI, laporan audit intern TI, serta notifikasi awal dan laporan insiden TI. Proses perizinan yang dimulai sebelum 1 Maret tetap mengacu pada surat edaran 2017.

Daftar tanya jawab menjawab dua pertanyaan praktis soal perencanaan. Bank dapat mengubah rencana strategis TI di tengah periode bila ada kondisi yang secara signifikan memengaruhi sasarannya, dengan menyampaikan perubahan secara daring disertai alasan, evaluasi kinerja periode sebelumnya, visi dan misi TI, analisis lingkungan internal dan eksternal, serta sasaran terkini. Laporan rencana pengembangan TI dapat diubah paling banyak tiga kali setahun untuk produk berbasis teknologi, paling lambat akhir Maret, Juni, dan September, tetapi tidak tiga kali dalam satu triwulan.

Apa yang perlu dilakukan bank dan pemasok teknologinya

Bagian ini adalah analisis kami, bukan rumusan regulator. Peraturan ini menguntungkan bank yang mampu menggambarkan lanskap teknologinya secara akurat: sistem apa yang ada, di mana dijalankan, siapa pemasoknya, dan seberapa besar ketergantungan bank pada tiap pemasok. Beberapa langkah praktis dapat diambil.

• Kelola satu inventaris terkini atas sistem, lokasi penempatan, dan penyedia. Arsitektur, penilaian materialitas, dan perizinan luar negeri semuanya bersumber dari sana.
• Tetapkan peristiwa yang memicu penilaian ulang penyedia, seperti pergantian pemilik, dan siapa yang memutuskan tindak lanjutnya.
• Periksa setiap rencana pemindahan beban kerja terhadap daftar pusat data yang telah disetujui OJK untuk bank, sebelum menetapkan jadwal.
• Jika Anda memasok teknologi kepada bank, bersiaplah menerima lebih banyak pertanyaan tentang kepemilikan, kondisi keuangan, kesinambungan layanan, dan lokasi sistem, dan siapkan buktinya sekali untuk semua.

Apa yang perlu dicermati selanjutnya

Ada dua hal yang layak diikuti. Pertama, cara OJK menerapkan surat edaran pendamping mengenai ketahanan siber dan maturitas digital, yang menurut daftar tanya jawab harus dibaca bersama peraturan ini. Kedua, praktik perizinan luar negeri: InvestorTrust melaporkan pada 1 September 2026 bahwa OJK, dalam keterangan tertulis, kembali menekankan penguatan tata kelola TI sebagai tujuan aturan ini, tetapi regulator belum menerbitkan angka permohonan yang diproses dengan persyaratan yang disederhanakan. Bank yang merencanakan pemindahan ke komputasi awan atau pusat data pada 2027 sebaiknya memastikan ekspektasi terkini kepada pengawasnya sejak awal.