Jakarta — Transfer uang melalui ATM, mobile banking, internet banking, maupun kanal elektronik lain bukan hanya soal kemudahan transaksi. Di baliknya, ada rangkaian kewajiban hukum yang mengatur keamanan, autentikasi, pengawasan, audit trail, hingga pelaporan insiden. Dua regulasi Otoritas Jasa Keuangan yang paling relevan adalah POJK 12/POJK.03/2018 tentang Penyelenggaraan Layanan Perbankan Digital oleh Bank Umum dan POJK 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum.
Dalam POJK 12/2018, OJK secara eksplisit memasukkan ATM, CDM, SMS banking, EDC, POS, internet banking, dan mobile banking sebagai contoh saluran distribusi layanan perbankan elektronik. Regulasi ini juga menegaskan bahwa bank wajib menerapkan manajemen risiko, security control, pengamanan data dan transaksi, two factor authentication, serta pemeliharaan jejak audit. Artinya, layanan transfer digital tidak cukup hanya “berfungsi”; sistemnya juga harus aman, dapat diaudit, dan dapat dipertanggungjawabkan.
Salah satu poin penting dalam POJK 12/2018 adalah kewajiban bank memastikan otorisasi transaksi menggunakan data atau informasi yang kebenarannya dapat dipertanggungjawabkan. Ini penting karena dalam layanan digital, transfer tidak hanya bergantung pada saldo, tetapi juga pada mekanisme verifikasi identitas, autentikasi, dan persetujuan transaksi. Regulasi yang sama juga mengharuskan bank membangun pengawasan yang melekat dan melakukan identifikasi, pengukuran, pemantauan, serta mitigasi risiko.
Di sisi lain, POJK 11/2022 mengatur fondasi teknis yang lebih luas. Regulasi ini mewajibkan bank menerapkan tata kelola TI yang baik, memiliki arsitektur TI, menjalankan manajemen risiko TI, menjaga pengamanan informasi, memastikan jaringan komunikasi aman, dan menerapkan ketahanan siber. Untuk layanan transfer, ini berarti bank harus bisa memastikan bahwa sistem yang memproses transaksi benar-benar tahan gangguan, terlindungi dari akses tidak sah, dan tetap bisa dipantau secara efektif.
POJK 11/2022 juga menegaskan bahwa bank wajib melakukan pengujian keamanan siber secara berkala, termasuk pengujian berbasis skenario paling sedikit satu kali dalam satu tahun. Hasil pengujian itu harus memuat ringkasan pelaksanaan, pelajaran terpetik, dan rencana perbaikan. Dengan kata lain, pengujian keamanan bukan formalitas administratif, melainkan alat untuk memastikan sistem transfer benar-benar siap menghadapi serangan atau anomali transaksi.
Aspek lain yang sangat penting adalah pengawasan terhadap pihak penyedia jasa TI. POJK 11/2022 mengatur bahwa bank boleh menggunakan vendor TI, tetapi tetap wajib memiliki kemampuan mengawasi pekerjaan vendor, menyusun kebijakan dan prosedur penggunaan vendor, memastikan kerahasiaan data, serta menyiapkan mekanisme pelaporan kejadian kritis. Jika penggunaan vendor berpotensi mengganggu operasional bank atau menyulitkan pengawasan OJK, bank wajib melakukan tindakan tertentu, termasuk melapor ke OJK paling lambat 3 hari kerja setelah kondisi itu diketahui.
Regulasi ini juga menempatkan audit trail sebagai kewajiban penting. Pasal 54 POJK 11/2022 mengharuskan bank memastikan tersedia jejak audit atas seluruh kegiatan penyelenggaraan TI untuk kebutuhan pengawasan, penegakan hukum, penyelesaian sengketa, verifikasi, dan pemeriksaan lain. Ini berarti setiap transfer digital idealnya meninggalkan jejak yang cukup untuk ditelusuri bila terjadi masalah.
Untuk pelaporan, POJK 11/2022 menetapkan bahwa jika terjadi insiden TI yang berpotensi atau telah menyebabkan kerugian signifikan atau mengganggu operasional, bank wajib menyampaikan notifikasi awal paling lambat 24 jam setelah insiden diketahui dan laporan insiden TI paling lambat 5 hari kerja. Dalam praktiknya, aturan ini menjadi dasar penting mengapa bank tidak boleh lambat memberi informasi ketika ada gangguan pada layanan transfer, ATM, atau mobile banking.
Singkatnya, regulasi yang mengatur transfer via ATM dan mobile banking tidak hanya bicara soal transaksi berhasil atau gagal. OJK menuntut bank untuk:
- mengamankan data dan transaksi,
- menerapkan autentikasi berlapis,
- menjaga audit trail,
- memantau transaksi,
- menguji keamanan siber,
- mengawasi vendor,
- dan melaporkan insiden tepat waktu.
Transfer Digital Bukan Hanya Urusan Teknis, Tetapi Urusan Kepatuhan Hukum.
