Kodifikasi-Manajemen Risiko Part Complete

Kodifikasi Peraturan Bank Indonesia
Manajemen
Manajemen Risiko
DISCLAIMER
Isi kodifikasi ini adalah himpunan peraturan Bank Indonesia yang disusun secara sistematis
berdasarkan kelompok dan topik tertentu untuk memudahkan pembaca memahami peraturan
dan menelusuri rekam jejak keberlakuan suatu peraturan Bank Indonesia. Penyusunan kodifikasi
ini telah melalui proses pemeriksaan dan editing terkait keakuratan dan kelengkapan peraturan
yang dikodifikasikan. Namun demikian mengingat bahwa peraturan Bank Indonesia dapat
berubah dari waktu ke waktu, maka setiap akses dan penggunaan atas kodifikasi ini agar
dilakukan secara bijaksana dengan memperhatikan tanggal unggah dan sumber orisinal dari
masing-masing peraturan Bank Indonesia yang dirujuk.1
1
Peraturan Bank Indonesia dapat diakses pada situs resmi Bank Indonesia http://www.bi.go.id/ atau melalui fasilitas
pencarian peraturan pada situs resmi Bank Indonesia (http://www.bi.go.id/web/id/Peraturan/Search/).
Kodifikasi Peraturan Bank Indonesia
Manajemen

Manajemen Risiko

Tim Penyusun
Ramlan Ginting
Chandra Murniadi
Dudy Iskandar
Gantiah Wuryandani
Siti Astiyah
Wahyu Yuwana Hidayat
Komala Dewi
Wirza Ayu Novriana
Anggayasti Hayu Anindita
Tresna Kholilah

Pusat Riset dan Edukasi Bank Sentral (PRES)
Bank Indonesia
Telp: 021‐ 29817321
Fax.: 021‐ 2311580
email: PRES@bi.go.id
Hak Cipta © 2013, Bank Indonesia

2013
Manajemen Manajemen Risiko
DAFTAR ISI

Paragraf Halaman

Daftar Isi Hal. i – x
Rekam Jejak Regulasi Manajemen Risiko Hal. xi
Dasar Hukum Hal. xii
Regulasi Terkait Hal. xii – xiii
Regulasi Bank Indonesia Hal. xiv

Penerapan Manajemen Risiko bagi Bank Umum
Ketentuan Umum Par. 1 Hal. 1 – 2
Ruang Lingkup Manajamen Risiko Par. 2 – 4 Hal. 2 – 5
Pengawasan Aktif Dewan Komisaris dan Direksi Par. 5 – 7 Hal. 6 – 7
Umum Par. 5 Hal. 6
Kewenangan dan Tanggungjawab Dewan Komisaris Par. 6 Hal. 6
Kewenangan dan Tanggungjawab Direksi Par. 7 Hal. 6 – 7
Kebijakan, Prosedur dan Penetapan Limit Par. 8 – 9 Hal. 7 – 9
Kebijakan Manajemen Risiko Par. 8 Hal. 7 – 8
Prosedur dan Penetapan Limit Risiko Par. 9 Hal. 8 – 9
Proses Identifikasi, Pengukuran, Pemantauan, Pengendalian dan Par. 10 – 12 Hal. 9 – 11
Sistem Informasi Manajemen Risiko
Umum Par. 10 Hal. 9
Proses Identifikasi, Pengukuran, Pemantauan dan Pengendalian Risiko Par. 11 Hal. 9 – 11
Sistem Informasi Manajemen Risiko Par. 12 Hal. 11
Sistem Pengendalian Intern Par. 13 – 15 Hal. 11 – 13
Umum Par. 13 – 14 Hal. 11 – 12
Sistem Pengendalian Intern dalam Penerapan Manajemen Risiko Par. 15 Hal. 13
Organisasi dan Fungsi Manajemen RIsiko Par. 16 – 19 Hal. 13 – 16
Umum Par. 16 Hal. 13
Komite Manajemen Risiko Par. 17 Hal. 14
Satuan Kerja Manajemen Risiko Par. 18 Hal. 14 – 16
Hubungan Satuan Kerja Operasional dengan Satuan Kerja Manajemen Par. 19 Hal. 16
Risiko
Pengelolaan Risiko Produk dan Aktivitas Baru Par. 20 – 22 Hal. 16 – 18
Pelaporan Par. 23 – 30 Hal. 18 – 24
Rencana Kegiatan (Action Plan) Penerapan Manajemen Risiko Par. 23 – 24 Hal. 18 – 19
Laporan Profil Risiko serta Laporan Produk dan Aktivitas Baru Par. 25 – 26 Hal. 19 – 21
Laporan Lain Par. 27 Hal. 21 – 23
Batas Waktu Penyampaian Laporan Par. 28 Hal. 23
Format Laporan dan Alamat Penyampaian Par. 29 – 30 Hal. 23 – 24
Lain‐Lain Par. 31 – 33 Hal. 24
Penilaian Penerapan Manajemen Risiko Par. 31 – 32 Hal. 24
Aspek Pengungkapan Kinerja dan Kebijakan Manajemen Risiko Par. 33 Hal. 24
Sanksi Par. 34 – 35 Hal. 24 – 25
i

Penerapan Manajemen Risiko Pada Aktivitas Pelayanan Jasa

Bank Melalui Internet (Internet Banking)
Pedoman Manajemen Risiko Par. 37 – 39 Hal. 26 – 27
Sanksi Par. 47 – 48 Hal. 28

Penerapan Manajemen Risiko untuk Risiko Likuiditas
Umum Par. 49 Hal. 28 – 29
Pedoman Manajemen Risiko Par. 50 – 93 Hal. 29 – 43
Kebijakan, Prosedur, dan Penetapan Limit Par. 54 – 67 Hal. 31 – 33
Proses Identifikasi, Pengukuran, Pemantauan, dan Pengendalian Par. 68 – 89 Hal. 33 – 42
Risiko serta Sistem Informasi Manajemen Risiko
Identifikasi Par. 68 Hal. 33
Pengukuran Par. 69 – 73 Hal. 33 – 38
Pemantauan Par. 74 – 78 Hal. 38
Pengendalian Par. 79 Hal. 38
Strategi Pendanaan Par. 80 Hal. 38 – 39
Pengelolaan Posisi Likuiditas dan Risiko Likuditas Harian Par. 81 Hal. 39 – 40
Pengelolaan Posisi Likuiditas dan Risiko Likuditas Intragroup Par. 82 Hal. 40
Pengelolaan Aset Likluiditas Berkualitas Tinggi Par.83 Hal. 40
Rencana Pendanaan Darurat/ Contigency Funding Plan (CFP) Par. 84 Hal. 41 – 42
Sistem Informasi Manajemen Risiko Par. 85 – 89 Hal. 42 – 43
Sistem Pengendalian Intern Par. 90 – 93 Hal. 43
Sanksi Par. 102 Hal. 45

Penerapan Manajemen Risiko Pada Bank yang Melakukan
Aktivitas Berkaitan dengan Reksa Dana
Umum Par. 103 Hal. 45 – 46
Penerapan Manajemen Risiko Par. 104 – 108 Hal. 46 – 50
Penerapan Manajemen Risiko secara Umum Par. 104 – 105 Hal. 46
Penerapan Manajemen Risiko untuk masing‐masing Aktivitas Par. 106 – 108 Hal. 46 – 50
Bank sebagai Investor Reksa Dana Par. 106 Hal. 46 – 47
Bank sebagai Agen Penjual Efek Reksa Dana Par. 107 Hal. 47 – 49
Bank sebagai Bank Kustodian Par. 108 Hal. 49 – 50
Rencana dan Pelaporan Par. 109 – 113 Hal. 50 – 55
Bank yang pertama kali akan melaksanakan aktivitas sebagai Agen Par. 109 Hal. 50 – 53
Penjual Efek Reksa Dana atau Bank Kustodian
Bank yang sudah pernah melaksanakan aktivitas dan terdaftar atau Par. 110 Hal. 53 – 54
memperoleh izin sebagai Agen Penjual Efek Reksa Dana atau Bank
Kustodian
Laporan Realisasi Pelaksanaan Aktivitas Bank sebagai Agen Penjual Par. 111 Hal. 54
Efek Reksa Dana atau Bank Kustodian
Laporan Berkala terkait Pelaksanaan Aktivitas sebagai Agen Penjual Par. 112 Hal. 54
ii

Efek Reksa Dana dan/atau Bank Kustodian
Alamat Penyampaian Laporan Par. 113 Hal. 55
Lain‐Lain Par. 114 Hal. 55

Manajemen Risiko pada Bank yang Melakukan Aktivitas
Kerjasama dengan Perusahaan Asuransi (Bancassurance)
Umum Par. 117 Hal. 56 – 58
Penerapan Manajemen Risiko dalam Rangka Bancassurance Par. 118 – 125 Hal. 59 – 65
Penerapan Manajemen Risiko dalam Beberapa Aspek Utama Par. 119 – 122 Hal. 59 – 62
pada Bancassurance
Penetapan Perusahaan Asuransi yang Menjadi Mitra Bank Par. 119 Hal. 59
Penyusunan Perjanjian Kerjasama Par. 120 Hal. 59 – 60
Penggunaan Data Nasabah Par. 121 Hal. 60
Penerapan Prinsip Perlindungan Nasabah Par. 122 Hal. 61 – 62
Penerapan Manajemen Risiko pada Setiap Model Bisnis Par. 122 – 125 Hal. 62 – 65
Bancassurance
Referensi Par. 123 Hal. 62
Kerjasama Distribusi Par. 124 Hal. 63 – 64
Integrasi Produk Par. 125 Hal. 64 – 65
Laporan Aktivitas Baru Bancassurance Par. 132 – 132 Hal. 65 – 67
Laporan Berkala Bancassurance Par. 133 – 135 Hal. 67
Penyampaian Laporan Par. 136 – 138 Hal. 67 – 68
Tata Cara Pengenaan Sanksi Par. 139 – 140 Hal. 68

Penerapan strategi Anti Fraud bagi bank Umum
Umum Par. 141 Hal. 68 – 69
Penerapan Manajemen Risiko Par. 142 Hal. 69 – 70
Strategi Anti Fraud Par. 143 Hal. 70
Pelaporan dan Sanksi Par. 144 – 145 Hal. 70 – 71

Penerapan Manajemen Risiko pada Bank Umum yang
Melakukan Layanan Nasabah Prima
Umum Par. 146 Hal. 71 – 72
Penerapan Manajemen Risiko Par. 147 Hal. 72 – 73
Lain‐Lain Par. 148 Hal. 74

Penerapan Manajemen Risiko Secara Konsolidasi Bagi Bank
yang Melakukan Pengendalian Terhadap Perusahaan Anak
Ketentuan Umum Par. 151 – 154 Hal. 75 – 78
Sistem dan Informasi Pelaporan Par. 155 Hal. 78 – 79
Perhitungan KPMM Par. 156 – 157 Hal. 79 – 84
Penilaian Kualitas Aktiva Par. 158 Hal. 84 – 85
Perhitungan BMPK Par. 159 – 160 Hal. 85 – 86
iii

Pengelolaan Perusahaan Anak Par. 161 Hal. 86 – 87

Penilaian Tingkat Kesehatan dan Profil Risiko Bank Par. 162 – 163 Hal. 87
Tindak Lanjut Pengawasan dan Penetepan Status Bank Par. 164 – 165 Hal. 88
Pelaporan Par. 166 Hal. 88 – 90
Sanksi Par. 167 Hal. 90 – 91
Ketentuan Lain‐Lain Par. 168 Hal. 91

Penerapan Manajemen Risiko dalam Penggunaan Teknologi
Informasi oleh Bank Umum
Ruang Lingkup Manajemen Risiko Teknologi Informasi Par. 170 – 171 Hal. 93 – 94
Penerapan Manajemen Risiko dalam Penggunaan Teknologi Par. 172 – 185 Hal. 94 – 100
Informasi
Kecukupan Kebijakan dan Prosedur Penggunaan Teknologi Informasi Par. 176 – 177 Hal. 95 – 97
di Bank
Proses Manajemen Risiko Terkait Teknologi Informasi Par. 178 – 182 Hal. 97 – 99
Sistem Pengendalian dan Audit Intern atas Penyelanggaraan Par. 183 – 185 Hal. 99 –100
Teknologi Informasi
Penyelenggaraan Teknologi Informasi oleh Pihak Penyedia Jasa Par. 186 – 189 Hal. 100 – 108
Teknologi Informasi
Umum Par. 186 Hal. 100 – 104
Penyelenggaraan Pusat Data (Data Center) dan/atau Disaster Par. 187 Hal. 104 – 105
Recovery Center
Penyelenggaraan Pemrosesan Transaksi oleh Pihak Penyedia Jasa Par. 188 – 189 Hal. 106 – 108
Electronic Banking Par. 190 – 191 Hal. 108 – 109
Laporan Penggunaan Teknologi Informasi Par. 192 Hal. 109 – 110
Laporan Perubahan Mendasar Par. 193 Hal. 110 – 111
Laporan Lain Par. 194 Hal. 111 – 112
Format dan Alamat Penyampaian Laporan Par. 195 – 196 Hal. 112
Lain‐lain Par. 197 Hal. 112
Sanksi Par. 198 – 200 Hal. 112 – 113

Prinsip Kehati‐hatian bagi Bank Umum yang Melakukan
Sebagian Pelaksanaan Pekerjaan kepada Pihak Lain
Ketentuan Umum Par. 201 – 202 Hal. 113 – 115
Alih Daya Par. 203 – 206 Hal. 115 – 120
Penerapan Prinsip Kehati‐Hatian dan Manajemen Risiko Par. 207 – 216 Hal. 121 – 129
Pemilihan Perusahaan Penyedia Jasa Par. 207 – 209 Hal. 121 – 122
Perjanjian Alih Daya Par. 210 Hal. 122 – 124
Penerapan Manajemen Risiko Par. 211 – 216 Hal. 124 – 129
Sanksi Par. 219 – 220 Hal. 133 – 134
Ketentuan Peralihan Par. 221 – 222 Hal. 134 – 135

iv

Penerapan Manajemen Risiko bagi Bank Umum Syariah dan

Unit Usaha Syariah
Ruang Lingkup Manajemen Risiko Par. 226 – 229 Hal. 137 – 139
Pengawasan Aktif Dewan Komisaris, Direksi dan Dewan Par. 230 – 233 Hal. 139 – 142
Pengawas Syariah
Wewenang dan Tanggung Jawab Dewan Komisaris Par. 231 Hal. 140
Wewenang dan Tanggung Jawab Direksi Par. 232 Hal. 140 – 141
Wewenang dan Tanggung Jawab Dewan Pengawas Syariah Par. 233 Hal. 141 – 142
Kebijakan, Prosedur dan Penetapan Limit Par. 234 – 235 Hal. 142 – 143
Kebijakan Manajemen Risiko Par. 234 Hal. 142
Prosedur dan Penetapan Limit Risiko Par. 235 Hal. 143
Proses Identifikasi, Pengukuran, Pemantauan, Pengendalian dan Par. 236 – 238 Hal. 143 – 145
Umum Par. 236 Hal. 143 – 144
Proses Identifikasi, Pengukuran, Pemantauan, dan Pengendalian Par. 237 Hal. 144 – 145
Risiko
Sistem Informasi Manajemen Risiko Par. 238 Hal. 145
Sistem Pengendalian Intern Par. 239 – 241 Hal. 145 – 147
Umum Par. 239 – 240 Hal. 145 – 146
Sistem Pengendalian Intern dalam Penerapan Manajemen Risiko Par. 241 Hal. 146 – 147
Organisasi dan Fungsi Manajemen Risiko Par. 242 – 245 Hal. 147 – 150
Komite Manajemen Risiko Par. 243 Hal. 147 – 148
Satuan Kerja Manajemen Risiko Par. 244 Hal. 149 – 150
Hubungan Satuan Kerja Operasional dengan Satuan Kerja Manajemen Par. 245 Hal. 150
Risiko
Laporan Profil Risiko Par. 246 – 247 Hal. 151 – 152
Laporan Lain Par. 248 Hal. 152
Alamat Penyampaian Par. 249 Hal. 152
Lain‐Lain Par. 250 – 252 Hal. 152 – 153
Penilaian Penerapan Manajemen Risiko Par. 250 – 251 Hal. 152 – 153
Aspek Pengungkapan Kinerja dan Kebijakan Manajemen Risiko Par. 252 Hal. 153
Sanksi Par. 253 – 254 Hal. 153 – 154

Penerapan Manajemen Risiko pada Bank yang Melakukan
Pemberian Kredit atau Pembiayaan Pemilikan Properti,
Kredit atau Pembiayaan Konsumsi Beragun Properti, dan
Kredit atau Pembiayaan Kendaraan Bermotor
Cakupan Pengaturan Par. 256 Hal. 155 – 156
Penerapan Manajemen Risiko dan Prinsip Kehati‐Hatian Dalam Par. 257 Hal. 156 – 157
Pemberian Kredit atau Pembiayaan Pemilikan Properti, Kredit
atau Pembiayaan Konsumsi Beragun Properti, dan Kredit atau
Pembiayaan Kendaraan Bermotor

v

Pengaturan LTV atau FTV Pada Kredit atau Pembiayaan Par. 258 Hal. 157 – 162
Pemilikan Properti dan Kredit atau Pembiayaan Konsumsi
Beragun Properti
Pengaturan Down Payment Pada Kredit atau Pembiayaan Par. 259 Hal. 162
Kendaraan Bermotor
Tata Cara Pengenaan Sanksi Par. 260 Hal. 162 – 164
Ketentuan Lain‐Lain Par. 261 Hal. 164
Ketentuan Peralihan Par. 262 Hal. 164

Lampiran Hal. 165 – 630
Lampiran 1 : Pedoman Standar Penerapan Manajemen Risiko Hal. 166 – 275
bagi Bank Umum
Pedoman Penerapan Manajemen Risiko Secara Umum Hal. 166 – 191
Pengawasan Aktif Dewan Komisaris dan Direksi Hal. 166 – 175
Kewenangan dan Tanggung Jawab Dewan Komisaris dan Direksi Hal. 167 – 169
Sumber Daya Manusia (SDM) Hal. 169 – 170
Organisasi Manajemen Risiko Hal. 170 – 175
Kebijakan, Prosedur, dan Penetapan Limit Hal. 175 – 181
Strategi Manajemen Risiko Hal. 175 – 176
Tingkat Risiko yang Akan Diambil (Risk Appetite) dan Toleransi Hal. 177
Risiko (Risk Appetite)
Kebijakan dan Prosedur Hal. 177 – 180
Limit Hal. 180 – 181
Proses Identifikasi, Pengukuran, Pemantauan, dan Pengendalian Hal. 181 – 188
Identifikasi Risiko Hal. 182
Pengukuran Risiko Hal. 182 – 185
Pemantauan Risiko Hal. 185 – 186
Pengendalian Risiko Hal. 186
Sistem Informasi Manajemen Risiko Hal. 186 – 188
Sistem Pengendalian Intern Hal. 188 – 191
Pedoman Penerapan Manajemen Risiko untuk Masing‐Masing Risiko Hal. 191 – 274
Risiko Kredit Hal. 191 – 206
Risiko Pasar Hal. 207 – 218
Risiko Likuiditas Hal. 218 – 236
Risiko Operasional Hal. 236 – 247
Risiko Hukum Hal. 247 – 252
Risiko Stratejik Hal. 253 – 261
Risiko Kepatuhan Hal. 261 – 268
Risiko Reputasi Hal. 268 – 274
Pedoman Penilaian Profil Risiko Hal. 275
Lampiran 2 : Struktur Organisasi Manajemen Risiko Hal. 276 – 280
Pedoman Umum Hal. 277
Struktur Organisasi Manajemen Risiko Hal. 277 – 280
Format 1 Hal. 277
Format 2 Hal. 278
Format 3 Hal. 279
vi

Format 4 Hal. 280
Lampiran 3 : Laporan Rencana Kegiatan (Action Plan) Hal. 277 – 285
Uraian Umum Rencana Kegiatan Hal. 282
Uraian Rinci Kegiatan Hal. 283
Petunjuk Penyusunan Laporan Rencana Kegiatan Hal. 284 – 285
Lampiran 4 : Laporan Realisasi Kegiatan (Progress Report) Hal. 286 – 291
Informasi Umum Hal. 287
Uraian Status dan TIndak Lanjut yang DIlakukan Hal. 288
Uraian RInci Mengenai Status dan Tindak Lanjut yang Dilakukan Hal. 289 – 291
Lampiran 5 : Laporan Profil Risiko Hal. 292 – 294
Lampiran 6 : Analisis Risiko Hal. 295 – 297
Lampiran 7 : Laporan Profil Maturitas Hal. 298 – 314
Rupiah Hal. 299 – 301
Valuta Asing Hal. 301 – 304
Pedoman Pengisian Laporan Profil Maturitas Hal. 305 – 314
Lampiran 8 : Pedoman Standar Sistem Pengendalian Intern bagi Hal. 315 – 336
Bank Umum
Latar Belakang Hal. 316 – 320
Ruang Lingkup Sistem Pengendalian Intern Bank Hal. 317 – 318
Pengertian dan Tujuan Sistem Pengendalian Intern Bank Hal. 317 – 318
Pihak‐Pihak yang Berkepentingan dengan Sistem Pengendalian Intern Hal. 318 – 319
Bank
Faktor Pertimbangan dalam Penyusunan Sistem Pengendalian Intern Hal. 319 – 320
Bank
Lingkungan Pengendalian Hal. 320
Elemen Utama Sistem Pengendalian Intern Bank Hal. 320 – 336
Pengawasan oleh Manajemen dan Budaya Pengendalian Hal. 321 – 324
Identifikasi dan Penilaian Risiko Hal. 324 – 325
Kegiatan Pengendalian dan Pemisahan Fungsi Hal. 325 – 329
Sistem Akuntansi, Informasi dan Komunikasi Hal. 329 – 333
Kegiatan Pemantauan dan Tindakan Koreksi Penyimpangan Hal. 333 – 335
Lain‐Lain Hal. 335 – 336
Lampiran 9 : Pedoman Penerapan Manajemen Risiko pada Hal. 337 – 353
Aktivitas Pelayanan Jasa Bank melalui Internet (Internet
Banking)
Pendahuluan Hal. 338 – 339
Pokok‐Pokok Penerapan Manajemen Risiko Internet Banking Hal. 312 – 326
Pengawasan Aktif Komisaris dan Direksi Bank Hal. 339 – 342
Pengendalian Pengamanan Hal. 342 – 346
Manajemen Risiko Hukum dan Risiko Reputasi Hal. 346 – 353
Lampiran 10 : Laporan Aktivitas Baru yang Berupa Agen Penjual Hal. 354 – 355
Efek Reksa Dana atau Bank Kustodian
Lampiran 11 : Laporan Rencana Menjadi Agen Penjual Efek Hal. 356 – 357
Reksa Dana
Lampiran 12 : Laporan Rencana Penjualan Efek Reksa Dana Hal. 358 – 359
Lampiran 13 : Laporan Reksadana (Bank sebagai Agen Penjual Hal. 360 – 361
Efek Reksadana)
vii

Lampiran 14 : Laporan Aktivitas Baru yang Berupa Hal. 362 – 363

Bancassurance
Lampiran 15 : Laporan Rencana Pelaksanaan Aktivitas Baru Hal. 364 – 365
berupa Bancassurance
Lampiran 16 : Laporan Berkala Bancassurance Hal. 366 – 371
Lampiran 17 : Pedoman Penerapan Strategi Anti Fraud bagi Bank Hal. 372 – 384
Umum
Latar Belakang Hal. 373 – 374
Pedoman Umum Penerapan Strategi Anti Fraud Hal. 374 – 375
Penerapan Manajemen Risiko Hal. 375 – 378
Strategi Anti Fraud Hal. 378 – 384
Lampiran 18 : Laporan Penerapan Strategi Anti Fraud Hal. 385 – 387
Lampiran 19 : Pedoman Penerapan Manajemen Risiko pada Hal. 388 – 407
Bank Umum yang Melakukan Layanan Nasabah Prima
Latar Belakang Hal. 389
Kebijakan Layanan Nasabah Prima Hal. 389 – 394
Manajemen Risiko pada Aspek‐Aspek Tertentu Hal. 394 – 407
Lampiran 20 : Laporan Keuangan Konsolidasi (Neraca) Hal. 408 – 410
Lampiran 21 : Laporan Keuangan Konsolidasi (Laporan Laba Hal. 411 – 412
Rugi)
Lampiran 22 : Laporan Keuangan Konsolidasi (Komitmen dan Hal. 413 – 414
Kontinjensi)
Lampiran 23 : Laporan Perhitungan KPMM Secara Konsolidasi Hal. 415 – 416
Lampiran 24 : Laporan Rincian ATMR Secara Konsolidasi Hal. 417 – 418
Lampiran 25 : Laporan Kualitas Aktiva dan Pembentukan PPA Hal. 419 – 420
Secara Konsolidasi
Lampiran 26 : Laporan Penyediaan Dana kepada Pihak Terkait Hal. 421 – 422
Bank Secara Konsolidasi
Lampiran 27.a : Laporan Pelampauan BMPK Secara Konsolidasi Hal. 423 – 424
untuk Pihak Tidak Terkait
Lampiran 27.b : Laporan Pelampauan BMPK Secara Konsolidasi Hal. 425 – 426
untuk Pihak Tidak Terkait
Lampiran 28 : Pedoman Penerapan Manajemen Risiko dalam Hal. 427 – 562
Penggunaan Tekonologi Informasi oleh Bank Umum
Kata Pengantar Hal. 429
Manajemen Hal. 430 – 446
Pengembangan dan Pengadaan Hal. 448 – 463
Aktivitas Operasional Teknologi Informasi Hal. 464 – 473
Jaringan Komunikasi Hal. 474 – 478
Pengamanan Informasi Hal. 479 – 489
Business Continuity Plan Hal. 490 – 498
End User Computing Hal 499 – 503
Electronic Banking Hal. 504 – 519
Audit Intern Teknologi Informasi Hal. 520 – 525
Penggunaan Pihak Penyediaan Jasa Teknologi Informasi Hal. 526 – 540
Glossary Hal. 541 – 554
Lampiran 28.1 : Contoh Penilaian Risiko Hal. 555 – 559
Lampiran 28.2 : Kategori User pada End User Computing Hal. 562
viii

Lampiran 29 : Formulir Pelaporan dan Permohonan Persetujuan Hal. 573 – 606

Penggunaan Teknologi Informasi
Penjelasan Cara Pengisian Laporan Hal. 566 – 567
Lampiran 29.1 : Laporan Penggunaan Tekonologi Informasi Hal. 568
Lampiran 29.1.1 : Manajemen Hal. 569
Lampiran 29.1.2 : Aplikasi dan Pengembangan Hal. 570
Lampiran 29.1.3 : Operasional Teknologi Informasi Hal. 571
Lampiran 29.1.4 : Jaringan Komunikasi Hal. 572
Lampiran 29.1.5 : Pengamanan Informasi Hal. 573 – 574
Lampiran 29.1.6 : Business Continuity Plan Hal. 575
Lampiran 29.1.7 : End User Computing Hal. 576
Lampiran 29.1.8 : Electronic Banking Hal. 577 – 578
Lampiran 29.1.9 : Audit Teknologi Informasi (Audit TI) Hal. 579
Lampiran 29.1.10 : Penyelenggaraan TI oleh Pihak Lain Hal. 580
Lampiran 29.2 : Rencana Perubahan Mendasar Dalam Penggunaan Hal. 581
Teknologi Informasi
Lampiran 29.2.1 : Rencana Penerbitan Electronic Banking Hal. 582
Transaksional
Lampiran 29.2.2 : Rencana Penyelenggaraan Data Center dan atau Hal. 583 – 584
Disaster Recovery Center oleh Pihak Lain di Dalam Negeri
Lampiran 29.2.3 : Rencana Penyelenggaraan Data Center dan atau Hal. 585 – 586
Disaster Recovery Center oleh Pihak Lain di Luar Negeri
Lampiran 29.2.4 : Rencana Penyelenggaraan Pemrosesan Transaksi Hal. 587 – 588
Berbasis Teknologi Informasi oleh Pihak Lain di Dalam Negeri
Lampiran 29.2.5 : Rencana Penyelenggaraan Pemrosesan Transaksi Hal 589 – 590
Berbasis Teknologi Informasi oleh Pihak Lain di Luar Negeri
Lampiran 29.3 : Laporan Realisasi Perubahan Mendasar Dalam Hal. 591
Penggunaan Teknologi Informasi
Lampiran 29.3.1 : Realisasi Penerbitan Electronic Banking Hal. 592
Transaksional
Lampiran 29.3.2 : Realisasi Penyelenggaraan Data Center dan atau Hal. 593
Disaster Recovery Center oleh Pihak Lain di Dalam Negeri
Lampiran 29.3.3 : Realisasi Penyelenggaraan Data Center dan Disaster Hal. 594
Recovery Center oleh Pihak Lain di Luar Negeri
Lampiran 29.3.4 : Realisasi Penyelenggaraan Pemrosesan Transaksi Hal. 595
Berbasis Teknologi Informasi oleh Pihak Lain di Dalam Negeri
Lampiran 29.3.5 : Realisasi Penyelenggaraan Pemrosesan Transaksi Hal. 596
Berbasis Teknologi Informasi oleh Pihak Lain di Luar Negeri
Lampiran 29.4 : Laporan Tahunan Penggunaan Teknologi Informasi Hal. 597 – 600
Lampiran 29. 5 : Laporan Kejadian Kritis, Penyalahgunaan dan/atau Hal. 601
Kejahatan dalam Penyelenggaraan Teknologi Informasi (TI)
Lampiran 29.6 : Permohonan Persetujuan Ulang Penyelenggaraan Data Hal. 602
Center Dan Atau Disaster Recovery Center oleh Pihak
Lain di Luar Negeri bagi Kantor Cabang Bank Asing
Lampiran 30 : Contoh Pekerjaan Pokok dan Penjelasannya Hal. 603 – 605
Lampiran 31 : Contoh Pekerjaan Penunjang dan Penjelasannya Hal. 606 – 610
Lampiran 32 : Laporan Rencana Alih Daya, Perubahan Dan/ Hal. 611
Atau Penambahan Rencana Alih Daya
Lampiran 33 : Laporan Alih Daya yang Bermasalah Hal. 612
Lampiran 34 : Penetapan LTV atau FTV untuk Kredit atau Hal. 613 – 615
Pembiayaan Pemilikan Properti
ix

Lampiran 35 : Penetapan LTV atau FTV untuk Kredit atau Hal. 616 – 618

Pembiayaan Konsumsi Properti
Lampiran 36 : Penetapan LTV atau FTV untuk Perjanjian Kredit Hal. 619 – 626
atau Pembiayaan yang Mengikat Lebih dari 1
(satu) Properti pada Saat Bersamaan dan/atau
Beberapa Perjanjian Kredit atau Pembiayaan
Terhadap Beberapa Properti di Tanggal yang
Sama
Lampiran 37 : Penetapan LTV atau FTV Berdasarkan Nilai Hal. 627 – 630
Properti yang Menjadi Agunan dengan Baki
Debet dari Fasilitas Kredit atau Pembiayaan
Sebelumnya dengan Menggunakan Agunan yang
Sama

x


Rekam Jejak Regulasi Penerapan Manajemen Risiko

SE 15/40/DKMP 2013
Penerapan Manajemen Risiko pada Bank
yang Melakukan Pemberian Kredit atau
Pembiayaan Pemilikan Properti, Kredit atau
Pembiayaan Konsumsi Beragun Properti
dan Kredit atau Pembiayaan Kendaraan
Bermotor
SE 15/6/DPNP 2013
Kegiatan Usaha Bank Umum Berdasarkan
Modal Inti
SE 14/10/DPNP 2012
Penerapan Manajemen Risiko pada Bank
yang Melakukan Pemberian KPR dan KKB
SE 13/29/DPNP 2011 SE 14/20/DPNP 2012
SE 14/33/DPBs 2012 Penerapan Manajemen Risiko pada Bank
Penerapan KPPPR dan yang Melakukan Layanan Nasabah Prima
pembiayaan KKB BUS 13/25/PBI/2011
dan UUS SE 13/28/DPNP 2011 Prinsip Kehati‐hatian bagi Bank Umum
Penerapan Strategi Anti Fraud bagi Bank yang Melaksanakan Penyerahan ‐ 13/19/PBI/2011 Perubahan 8/12/PBI/
Tidak berlaku Umum Sebagian Pelaksanaan Pekerjaan Kpd 2006 tentang Laporan Berkala Bank
13/23/PBI/2011 bagi BUS dan Pihak Lain Umum
Penerapan Manajemen Risiko bagi UUS SE 13/23/DPNP 2011 ‐ 10/3/PBI/2008 Laporan Kantor Pusat
Bank Umum Syariah dan Unit Usaha Angka 3, 4 Perubahan atas SE 5/21/DPNP 2003 perihal ‐ Undang‐Undang Nomor 13 tahun 2003 tentang Ketenagakerjaan Bank Umum
Syariah dan 9, Manajemen Risiko bagi Bank Umum ‐ 14/15/PBI/2012 Penilaian Kualitas Aset Bank Umum
Lampiran 1, ‐ 14/2/PBI/2012 Perubahan atas 11/11/PBI/2009 tentang Penyelenggaraan
5, 6, dan 7 SE 12/35/DPNP 2010 Kegiatan APMK
Penerapan Manajemen Risiko pada Bank ‐ 11/25/PBI/2009 Perubahan atas 5/8/PBI/2003 tentang Penerapan ‐ 11/28/PBI/2009 Penerapan Program
Tidak Manajemen Risiko Bagi Bank Umum Anti Pencucian Uang dan Pencegahan
yang Melakukan Aktivitas Kerjasama ‐ 9/15/PBI/2007 Penetapan Manajemen RIsiko Dalam Penggunaan Teknologi
berlaku Pendanaan Terorisme bagi Bank Umum
‐ 13/19/PBI/2011 Perubahan 8/12/ Pemasaran dengan Perusahaan Asuransi Informasi Oleh Bank Umum
bagi BUS ‐ 11/2/PBI/2009 Penilaian Kualitas Aktiva
PBI/2006 tentang Laporan Berkala (Banassuance) ‐ 8/14/PBI/2006 tentang Perubahan atas 8/4/PBI/2006 tentang Pelaksanaan
dan UUS ‐ 10/15/PBI/2008 Kewajiban Penyediaan
Bank Umum Good Corporate Governance bagi Bank Umum
‐ 11/28/PBI/2009 Program Anti Angka IV, VI,
SE 11/36/DPNP 2009 ‐ 7/6/PBI/2005 tentang Transparansi Informasi Produk Bank dan Penggunaan
Modal Minimum Bank Umum
Perubahan 7/19/DPNP 2005 tentang ‐ 10/3/PBI/2008 Laporan Kantor Pusat
Pencucian Uang dan Pencegahan dan VIA Data Pribadi Nasabah
Penerapan Manajemen Risiko pada Bank Bank Umum
Pendanaan Terorisme
‐ 8/13/PBI/2006 Perubahan atas 7/3/
‐ 10/3/PBI/2008 Laporan Kantor Pusat yang melakukan Aktivitas Berkaitan dengan Angka 10 PBI/2005 tentang Batas Maksimum
Bank Umum Reksadana Lampiran 1 Bab
IV, angka 4 dan 5 ‐ 11/28/PBI/2009 Program ‐ SE 13/6DPNP/2011 Pedoman Perhitungan Pemberian Kredit Bank Umum
‐ 7/50/PBI/2005 Perubahan 3/22/PBI/
SE 11/35/DPNP 2009 Lampiran 7 Anti Pencucian Uang dan Aset Tertimbang Menurut Risiko untuk Risiko ‐ 7/6/PBI/2005 Transaparansi Informasi
2001 tentang Transparansi Kondisi
Pelaporan Produk dan Aktivitas Baru Pencegahan Pendanaan Kredit dengan Menggunakan Pendekatan Standar Produk dan Penggunaan Data Pribadi
Keuangan Bank
Terorisme ‐ SE 12/38/DPNP/2010 Pedoman Penyusunan Nasabah
SE 11/16/DPNP 2009 ‐ 7/6/PBI/2005 Transaparansi Standard Operating Procedure Administrasi ‐ 5/10/PBI/2003 Prinsip Kehati‐hatian
Penerapan Manajemen Risiko untuk Risiko Informasi Produk Bank dan Kredit Pemilikan Rumah dalam Rangka dalam Kegiatan Penyertaan Modal
Likuiditas Penggunaan Data Pribadi Sekuritisasi
‐ 11/28/PBI/2009 Program Anti Nasabah ‐ 27/162/KEP/DIR/1995 Kewajiban Penyusunan
Pencucian Uang dan Pencegahan Pasal 1, 2, 4, 8, 20, ‐ 10/17/PBI/2008 Produk Bank dan Pelaksanaan Kebijaksanaan Perkreditan Bank
Pendanaan Terorisme 20A, 21, 24, 25, 26, Syariah dan Unit Usaha Syariah Bagi Bank Umum
‐ 10/3/PBI/2008 Laporan Kantor Pusat 29, 33, 34, 35, 35A 11/25/PBI/2009
Bank Umum Perubahan PBI No.5/8/PBI/2003
‐ 8/13/PBI/2006 Perubahan atas 7/3/ Tentang Penerapan Manajemen SE 9/30/DPNP 2007
Risiko Bank Umum ‐ 14/2/PBI/2012 Perubahan
PBI/2005 tentang Batas Maksimum Penerapan Manajemen Risiko
atas 11/11/PBI/2009 tentang ‐ 14/8/DPNP/2012 Perubahan kedua atas
Pemberian Kredit Bank Umum dalam Penggunaan Teknologi
Penyelenggaraan Kegiatan SE 8/15/DPNP/2005 perihal Laporan
‐ 7/6/PBI/2005 Transaparansi Informasi oleh Bank Umum
APMK Berkala Bank Umum
Informasi Produk Bank dan
‐ 7/6/PBI/2005 Transparansi ‐ 13/3/PBI/2011 Penetapan Status dan
Penggunaan Data Pribadi Nasabah
Informasi Produk Bank dan Tindak Lanjut Pengawasan Bank
9/15/PBI/2007 Data Pribadi Nasabah ‐ 13/1/PBI/2011 Penilaian Tingkat
Penerapan Manajemen Risiko
Kesehatan Bank Umum
Lampiran III.3 Dalam Penggunaan Teknologi
Tidak ‐ 11/2/PBI/2009 Perubahan Ketiga 7/2/
berlaku PBI/2005 tentang Penilaian Kualitas
bagi Bank Aktiva
Umum ‐ 10/15/PBI/2008 Kewajiban Penyediaan
11/28/PBI/2009 Program Anti Modal Minimum Bank Umum
Pencucian Uang dan Pencegahan SE 8/27/DPNP 2006 ‐ 8/13/PBI/2006 Perubahan atas 7/3/
Pendanaan Terorisme Prinsip Kehati‐hatian dan Laporan dalam PBI/2005 tentang Batas Maksimum
SE 7/19/DPNP 2005 rangka Penerapan Manajemen Risiko Pemberian Kredit Bank Umum
Penerapan Manajemen Risiko pada secara Konsolidasi bagi Bank yang ‐ 7/50/PBI/2005 Perubahan atas
Bank yang melakukan Aktivitas Melakukan Pengendalian terhadap Peraturan Bank Indonesia Nomor 3/22/
Berkaitan dengan Reksadana Perusahaan Anak PBI/2001 tentang Transparansi Kondisi
SE 6/18/DPNP 2004 Keuangan Bank
‐ 13/19/PBI/2011 Perubahan 8/12/ Penerapan Manajemen Risiko pada ‐ 5/10/PBI/2003 Prinsip Kehati‐hatian
PBI/2006 tentang Laporan Berkala Aktivitas Pelayananan jasa Bank 8/6/PBI/2006
dalam Kegiatan Penyertaan Modal
Bank Umum Melalui Internet (Internet Banking) Penerapan Manajemen Risiko 8/4/PBI/2006 ‐ SE 14/5/DSM/2012 Perubahan kedua
‐ 13/1/PBI/2011 Penilaian Tingkat Secara Konsolidasi Bagi Bank yang Pelaksanaan Good Corporate
SE 6/43/DPNP 2004 atas SE 11/2DSM/2009 perihal Laporan
Kesehatan Bank Umum Penerapan Manajemen Risiko pada Melakukan Pengendalian Terhadap Governance Bagi Bank Umum
Bulanan Bank Umum
‐ 11/28/PBI/2009 Program Anti Bank yang Melakukan Aktivitas Perusahaan Anak
Pencucian Uang dan Pencegahan Kerjasama Pemasaran dengan
Perusahaan Asuransi (Banassuance)
Pendanaan Terorisme Keterangan :
‐ 10/3/PBI/2008 Laporan Kantor Pusat SE 5/22/DPNP 2003
Bank Umum Pedoman Standar Sistem Pengendalian Diubah
Intern bagi Bank Umum
‐ 7/50/PBI/2005 Perubahan 3/22/PBI/ Dicabut
2001 tentang Transparansi Kondisi SE 5/21/DPNP 2003
Keuangan Bank Penerapan Manajemen Risiko bagi Pasal 6 huruf c Terkait
‐ 7/6/PBI/2005 Transaparansi Bank Umum
Informasi Produk Bank dan PBI/ KEP DIR Masih
Penggunaan Data Pribadi Nasabah Berlaku
5/8/PBI/2003 SE 31/18/UPPB 1998
Penerapan Manajemen PBI/ KEP DIR Tidak
Risiko bagi Bank Umum Berlaku
31/179/KEP/DIR SE Masih Berlaku
Pemantauan Likuiditas
Bank Umum SE Tidak Berlaku
Regulasi Terkait
xi

Dasar Hukum :
‐ Undang‐Undang Nomor 6 Tahun 2009 tentang Penetapan Perubahan Kedua atas Peraturan
Pemerintah Pengganti Undang‐Undang Nomor 2 Tahun 2008 tentang Perubahan Undang‐Undang
Nomor 23 Tahun 1999 tentang Bank Indonesia
‐ Undang‐Undang Nomor 21 Tahun 2008 tentang Perbankan Syariah
‐ Peraturan Pemerintah Pengganti Undang‐Undang Nomor 2 Tahun 2008 tentang Perubahan atas
Undang‐Undang Nomor 23 Tahun 1999 tentang Bank Indonesia
‐ Undang‐Undang Nomor 23 Tahun 1999 tentang Bank Indonesia sebagaimana telah diubah terakhir
dengan Undang‐Undang Nomor 6 Tahun 2009
‐ Undang‐Undang Nomor 7 Tahun 1992 tentang Perbankan sebagaimana telah diubah dengan Undang‐
Undang Nomor 10 Tahun 1998

Regulasi Terkait :
‐ Undang‐Undang Nomor 40 Tahun 2007 tentang Perseroan Terbatas
‐ Undang‐Undang Nomor 5 Tahun 1962 tentang Perusahaan Daerah
‐ Undang‐Undang Nomor 25 Tahun 1992 tentang Perkoperasian
‐ Undang‐undang Nomor 8 Tahun 1999 tentang Perlindungan Konsumen
‐ Peraturan Bank Indonesia Nomor 14/2/PBI/2012 Perubahan atas Peraturan Bank Indonesia Nomor
11/11/PBI/2009 tentang Penyelenggaraan Kegiatan Alat Pembayaran dengan Menggunakan Kartu
8/12/PBI/2006 tentang Laporan Berkala Bank Umum
‐ Peraturan Bank Indonesia Nomor 13/3/PBI/2011 tentang Penetapan Status dan Tindak Lanjut
Pengawasan Bank
‐ Peraturan Bank Indonesia Nomor 13/1/PBI/2011 tentang Penilaian Tingkat Kesehatan Bank Umum
‐ Peraturan Bank Indonesia Nomor 12/2/PBI/2010 Perubahan Kedua atas Peraturan Bank Indonesia
Nomor 10/40/PBI/2008 tentang Laporan Bulanan Bank Umum
‐ Peraturan Bank Indonesia Nomor 11/28/PBI/2009 tentang Penerapan Program Anti Pencucian Uang
dan Pencegahan Pendanaan Terorisme bagi Bank Umum
‐ Peraturan Bank Indonesia Nomor 11/2/PBI/2009 Perubahan Ketiga atas Peraturan Bank Indonesia
Nomor 7/2/PBI/2005 tentang Penilaian Kualitas Aktiva Bank Umum
‐ Peraturan Bank Indonesia Nomor 10/17/PBI/2008 tentang Produk Bank Syariah dan Unit Usaha Syariah
‐ Peraturan Bank Indonesia Nomor 10/15/PBI/2008 tentang Kewajiban Penyediaan Modal Minimum
Bank Umum
‐ Peraturan Bank Indonesia Nomor 10/3/PBI/2008 tentang Laporan Kantor Pusat Bank Umum
7/3/PBI/2005 tentang Batas Maksimum Pemberian Kredit Bank Umum
‐ Peraturan Bank Indonesia Nomor 7/50/PBI/2005 tentang Perubahan atas Peraturan Bank Indonesia
Nomor 3/22/PBI/2001 tentang Transparansi Kondisi Keuangan Bank
‐ Peraturan Bank Indonesia Nomor 7/6/PBI/2005 tentang Transparansi Informasi Produk Bank dan
‐ Peraturan Bank Indonesia Nomor 5/10/PBI/2003 tentang Prinsip Kehati‐hatian dalam Kegiatan
Penyertaan Modal
‐ Surat Edaran Bank Indonesia Nomor 14/21/DPNP 2012 Perubahan atas Surat Edaran Bank Indonesia
Nomor 9/33/DPNP 2007 perihal Pedoman Penggunaan Metode Standar dalam Perhitungan Kewajiban
Penyediaan Modal Minimum Bank Umum dengan Memperhitungkan Risiko Pasar
‐ Surat Edaran Bank Indonesia Nomor 14/8/DPNP 2012 Perubahan Kedua atas Surat Edaran Bank
Indonesia Nomor 8/15/DPNP 2006 perihal Laporan Berkala Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 14/5/DSM 2012 Perubahan Kedua atas Surat Edaran Bank
Indonesia Nomor 11/2/DSM 2009 perihal Laporan Bulanan Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 13/31/DPNP 2011 perihal Lembaga Pemeringkat dan Peringkat
yang Diakui Bank Indonesia
xii

‐ Surat Edaran Bank Indonesia Nomor 13/30/DPNP 2011 Perubahan Ketiga atas Surat Edaran Bank
Indonesia Nomor 3/30/DPNP 2001 perihal Laporan Keuangan Publikasi Triwulanan dan Bulanan Bank
Umum serta Laporan Tertentu yang Disampaikan kepada Bank Indonesia
‐ Surat Edaran Bank Indonesia Nomor 13/24/DPNP 2011 perihal Penilaian Tingkat Kesehatan Bank
Umum
‐ Surat Edaran Bank Indonesia Nomor 13/6/DPNP 2011 perihal Pedoman Perhitungan Aset Tertimbang
Menurut Risiko untuk Risiko Kredit dengan Menggunakan Pendekatan Standar
‐ Surat Edaran Bank Indonesia Nomor 13/5/DPNP 2011 perihal Transparansi Informasi Suku Bunga Dasar
Kredit
‐ Surat Edaran Bank Indonesia Nomor 13/2/DPbS 2011 perihal Tindak lanjut Penanganan terhadap Bank
Pembiayaan Syariah dalam Status Pengawasan Khusus
‐ Surat Edaran Bank Indonesia Nomor 12/38/DPNP 2010 perihal Pedoman Penyusunan Standard
Operating Procedure Administrasi Kredit Pemilikan Rumah dalam Rangka Sekuritisasi
‐ Surat Edaran Bank Indonesia Nomor 12/11/DPNP 2010 Perubahan Kedua atas Surat Edaran Bank
Indonesia Nomor 3/30/DPNP 2001 perihal Laporan Keuangan Publikasi Triwulanan dan Bulanan Bank
Umum serta Laporan Tertentu yang Disampaikan kepada Bank Indonesia
‐ Surat Edaran Bank Indonesia Nomor 11/31/DPNP 2009 perihal Pedoman Standar Penerapan Program
Anti Pencucian Uang dan Pencegahan Pendanaan Terorisme bagi Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 11/10/DASP 2009 perihal Penyelenggaraan Kegiatan Alat
Pembayaran dengan Menggunakan Kartu
‐ Surat Edaran Bank Indonesia Nomor 11/3/DPNP 2009 perihal Perhitungan Aset Tertimbang Menurut
Risiko (ATMR) untuk Risiko Operasional dengan Menggunakan Pendekatan Indikator Dasar (PID)
‐ Surat Edaran Bank Indonesia Nomor 10/31/DPbS 2008 perihal Produk Bank Syariah dan Unit Usaha
Syariah
‐ Surat Edaran Bank Indonesia Nomor 10/3/UKMI 2008 perihal Laporan Kantor Pusat Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 9/33/DPNP 2007 perihal Pedoman Penggunaan Metode Standar
dalam perhitungan Kewajiban Penyediaan Modal Minimum Bank Umum dengan Memperhitungkan
Risiko Pasar
‐ Surat Edaran Bank Indonesia Nomor 9/31/DPNP 2007 perihal Pedoman Penggunaan Model internal
dalam perhitungan Kewajiban Penyediaan Modal Minimum Bank Umum dengan Memperhitungkan
Risiko Pasar
‐ Surat Edaran Bank Indonesia Nomor 8/16/DPbS 2006 perihal Laporan Berkala Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 8/15/DPNP 2006 perihal Laporan Berkala Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 7/57/DPbS 2005 perihal Hubungan Antara Bank yang
Melaksanakan Kegiatan Usaha Berdasarkan Prinsip Syariah, Kantor Akuntan Publik, Akuntan Publik,
Dewan Pengawas Syariah dan Bank Indonesia
‐ Surat Edaran Bank Indonesia Nomor 7/56/DPbS 2005 perihal Laporan Tahunan, Laporan Keuangan
Publikasi Triwulanan dan Bulanan Serta Laporan Tertentu dari Bank yang Disampaikan Kepada Bank
Indonesia
‐ Surat Edaran Bank Indonesia Nomor 7/48/DPNP 2005 perihal Jumlah Modal Inti Minimum Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 7/25/DPNP 2005 perihal Transparansi Informasi Produk Bank dan
‐ Surat Edaran Bank Indonesia Nomor 7/14/DPNP 2005 perihal Batas Maksimum Pemberian Kredit Bank
Umum
‐ Surat Edaran Bank Indonesia Nomor 7/3/DPNP 2005 perihal Penilaian Kualitas Aktiva Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 5/26/BPS 2003 perihal Pelaksanaan Pedoman Akutansi Perbankan
Syariah Indonesia
‐ Surat Edaran Bank Indonesia Nomor 3/30/DPNP 2001 perihal Laporan Keuangan Publikasi Triwulanan
dan Bulanan Bank Umum serta Laporan Tertentu yang Disampaikan kepada Bank Indonesia
‐ Surat Keputusan Direksi Bank Indonesia No.27/164/KEP/DIR/1995 tentang Penggunaan Teknologi
Sistem Informasi oleh Bank
xiii

‐ Surat Keputusan Direksi Bank Indonesia Nomor 27/162/KEP/DIR/1995 tentang Kewajiban Penyusunan
dan Pelaksanaan Kebijaksanaan Perkreditan Bank bagi Bank Umum

Regulasi Bank Indonesia :
‐ Peraturan Bank Indonesia Nomor 13/25/PBI/2011 tentang Prinsip Kehati‐hatian bagi Bank Umum yang
Melakukan Sebagian Pelaksanaan Pekerjaan Kepada Pihak Lain
‐ Peraturan Bank Indonesia Nomor 13/23/PBI/2011 tentang Penerapan Manajemen Risiko bagi bank
Umum Syariah dan Unit Usaha Syariah
5/8/PBI/2003 tentang Penerapan Manajemen Risiko Bagi Bank Umum
‐ Peraturan Bank Indonesia Nomor 9/15/PBI/2007 tentang Penerapan Manajemen RIsiko dalam
Penggunaan Teknologi Informasi oleh Bank Umum
‐ Peraturan Bank Indonesia Nomor 8/6/PBI/2006 tentang Penerapan Manajemen Risiko Secara
Konsolidasi bagi bank yang Melakukan Pengendalian terhadap Perusahaan Anak
‐ Peraturan Bank Indonesia Nomor 5/8/PBI/2003 tentang Penerapan Manajemen Risiko Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 15/40/DKMP 2013 perihal Penerapan Manajemen RIsiko pada
Bank yang Melakukan Pemberian Kredit atau Pembiayaan Pemilikan Properti, Kredit atau Pembiayaan
Konsumsi Beragun Properti, dan Kredit atau Pembiayaan Kendaraan Bermotor
‐ Surat Edaran Bank Indonesia Nomor 14/20/DPNP 2012 perihal Prinsip Kehati‐hatian bagi Bank Umum
yang Melakukan Sebagian Pelaksanaan Pekerjaan Kepada Pihak Lain
‐ Surat Edaran Bank Indonesia Nomor 13/29/DPNP 2011 perihal Penerapan Manajemen Risiko pada
Bank Umum yang Melakukan Layanan Nasabah Prima
‐ Surat Edaran Bank Indonesia Nomor 13/28/DPNP 2011 perihal Penerapan Strategi Anti Fraud bagi Bank
Umum
Nomor 5/21/DPNP 2003 perihal Penerapan Manajemen Risiko bagi Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 12/35/DPNP 2010 perihal Penerapan Manajemen Risiko pada
Bank yang Melakukan Aktivitas Kerjasama Penawaran dengan Perusahaan Asuransi (Bancassurance)
Nomor 7/19/DPNP 2005 perihal Penerapan Manajemen Risiko pada Bank yang Melakukan Aktivitas
Berkaitan dengan Reksa Dana
‐ Surat Edaran Bank Indonesia Nomor 11/16/DPNP 2009 perihal Penerapan Manajemen Risiko untuk
Risiko Likuiditas
‐ Surat Edaran Bank Indonesia Nomor 9/30/DPNP 2007 perihal Penerapan Manajemen RIsiko dalam
Penggunaan Teknologi Informasi oleh Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 8/27/DPNP 2006 perihal Prinsip Kehati‐hatian dan laporan dalam
rangka Penerapan Manajemen Risiko secara Konsolidasi bagi Bank yang Melakukan Pengendalian
terhadap Perusahaan Anak
‐ Surat Edaran Bank Indonesia Nomor 7/19/DPNP 2005 perihal Penerapan Manajemen Risiko pada Bank
yang Melakukan Aktivitas Berkaitan dengan Reksa Dana
‐ Surat Edaran Bank Indonesia Nomor 6/18/DPNP 2004 perihal Penerapan Manajemen RIsiko pada
Aktivitas Pelayanan Jasa Bank Melalui Internet (Internet Banking)
‐ Surat Edaran Bank Indonesia Nomor 5/22/DPNP 2003 perihal Pedoman Standar Sistem Pengendalian
Intern bagi Bank Umum
‐ Surat Edaran Bank Indonesia Nomor 5/21/DPNP 2003 perihal Penerapan Manajemen Risiko bagi bank
Umum

xiv

Paragraf Sumber Regulasi Ketentuan

Perbankan
Manajemen
Manajemen Risiko
Penerapan Manajemen Risiko bagi Bank Umum
BAB I Ketentuan Umum
1 Pasal 1 1. Bank adalah Bank Umum sebagaimana dimaksud dalam Undang‐
11/25/PBI/2009 Undang Nomor 7 Tahun 1992 tentang Perbankan sebagaimana telah
Angka 1 diubah dengan Undang‐Undang Nomor 10 Tahun 1998, termasuk
kantor cabang bank asing, dan Bank Umum Syariah sebagaimana
dimaksud dalam Undang‐Undang Nomor 21 Tahun 2008 tentang
Perbankan Syariah.
2. Bank Umum Konvensional adalah Bank Umum Konvensional
sebagaimana dimaksud dalam Undang‐Undang Nomor 21 Tahun 2008
tentang Perbankan Syariah.
3. Bank Umum Syariah adalah Bank Umum Syariah sebagaimana dimaksud
dalam Undang‐Undang Nomor 21 Tahun 2008 tentang Perbankan
Syariah.
4. Risiko adalah potensi kerugian akibat terjadinya suatu peristiwa
(events) tertentu.
5. Manajemen Risiko adalah serangkaian metodologi dan prosedur yang
digunakan untuk mengidentifikasi, mengukur, memantau, dan
mengendalikan Risiko yang timbul dari seluruh kegiatan usaha Bank.
6. Risiko Kredit adalah Risiko akibat kegagalan debitur dan/atau pihak lain
dalam memenuhi kewajiban kepada Bank.
7. Risiko Pasar adalah Risiko pada posisi neraca dan rekening administratif
termasuk transaksi derivatif, akibat perubahan secara keseluruhan dari
kondisi pasar, termasuk Risiko perubahan harga option.
8. Risiko Likuiditas adalah Risiko akibat ketidakmampuan Bank untuk
memenuhi kewajiban yang jatuh tempo dari sumber pendanaan arus
kas dan/atau dari aset likuid berkualitas tinggi yang dapat diagunkan,
tanpa mengganggu aktivitas dan kondisi keuangan Bank.
9. Risiko Operasional adalah Risiko akibat ketidakcukupan dan/atau tidak
berfungsinya proses internal, kesalahan manusia, kegagalan sistem,
dan/atau adanya kejadian‐kejadian eksternal yang mempengaruhi
operasional Bank.
10. Risiko Kepatuhan adalah Risiko akibat Bank tidak mematuhi dan/atau
tidak melaksanakan peraturan perundang‐undangan dan ketentuan
yang berlaku.
11. Risiko Hukum adalah Risiko akibat tuntutan hukum dan/atau
kelemahan aspek yuridis.
12. Risiko Reputasi adalah Risiko akibat menurunnya tingkat kepercayaan
stakeholder yang bersumber dari persepsi negatif terhadap Bank.
13. Risiko Stratejik adalah Risiko akibat ketidaktepatan dalam pengambilan
dan/atau pelaksanaan suatu keputusan stratejik serta kegagalan dalam
mengantisipasi perubahan lingkungan bisnis.
14. Direksi:
a) bagi Bank berbentuk badan hukum Perseroan Terbatas adalah
direksi sebagaimana dimaksud dalam Undang‐Undang tentang
Perseroan Terbatas;
1


b) bagi Bank berbentuk badan hukum Perusahaan Daerah adalah
Perusahaan Daerah;
c) bagi Bank berbentuk badan hukum Koperasi adalah pengurus
sebagaimana dimaksud dalam Undang‐Undang tentang
Perkoperasian;
d) bagi kantor cabang bank asing adalah pimpinan kantor cabang bank
asing
15. Dewan Komisaris:
a. bagi Bank berbentuk Perseroan Terbatas adalah dewan komisaris
sebagaimana dimaksud dalam Undang‐Undang tentang Perseroan
Terbatas;
b. bagi Bank berbentuk hukum Perusahaan Daerah adalah pengawas
sebagaimana dimaksud dalam Undang‐Undang tentang Perusahaan
Daerah;
c. bagi Bank berbentuk hukum Koperasi adalah pengawas
Perkoperasian.
16. Perusahaan Anak adalah badan hukum atau perusahaan yang dimiliki
dan/atau dikendalikan oleh Bank secara langsung maupun tidak
langsung, baik di dalam maupun di luar negeri yang melakukan kegiatan
usaha di bidang keuangan, yang terdiri dari:
a. Perusahaan Subsidiari (subsidiary company) yaitu Perusahaan Anak
dengan kepemilikan Bank lebih dari 50% (lima puluh perseratus);
b. Perusahaan Partisipasi (participation company) adalah Perusahaan
Anak dengan kepemilikan Bank 50% (lima puluh perseratus) atau
kurang, namun Bank memiliki Pengendalian terhadap perusahaan;
c. Perusahaan dengan kepemilikan Bank lebih dari 20% (dua puluh
perseratus) sampai dengan 50% (lima puluh perseratus) yang
memenuhi persyaratan yaitu:
i. kepemilikan Bank dan para pihak lainnya pada Perusahaan
Anak adalah masing‐masing sama besar; dan
ii. masing‐masing pemilik melakukan Pengendalian secara
bersama terhadap Perusahaan Anak;
d. Entitas lain yang berdasarkan Standar Akuntansi Keuangan yang
berlaku wajib dikonsolidasikan.

BAB II Ruang Lingkup Manajemen Risiko
2 Pasal 2 (1) Bank wajib menerapkan Manajemen Risiko secara efektif, baik untuk
11/25/PBI/2009 Bank secara individual maupun untuk Bank secara konsolidasi dengan
Perusahaan Anak.

Termasuk dalam cakupan penerapan Manajemen Risiko adalah
penerapan program Anti Pencucian Uang dan Pencegahan Pendanaan
Teroris yang sebelumnya dikenal dengan prinsip mengenal nasabah
(Know Your Customer/KYC).

(2) Penerapan Manajemen Risiko sebagaimana dimaksud pada ayat (1)
paling kurang mencakup:
a. pengawasan aktif Dewan Komisaris dan Direksi;
2


b. kecukupan kebijakan, prosedur, dan penetapan limit manajemen
risiko;
c. kecukupan proses identifikasi, pengukuran, pemantauan, dan
pengendalian Risiko, serta sistem informasi Manajemen Risiko; dan
d. sistem pengendalian intern yang menyeluruh.

SE 5/21/DPNP (3) Pedoman Standar Penerapan Manajemen Risiko bagi Bank Umum
2003 merupakan acuan standar penerapan manajemen risiko yang wajib
Butir 1 ‐ 2 dipenuhi oleh Bank sehingga Bank dapat memperluas dan
memperdalam sesuai dengan kebutuhan Bank.
(4) Bank yang telah memiliki kebijakan, prosedur, dan atau pedoman
penerapan manajemen risiko namun belum memenuhi standar
penerapan manajemen risiko, wajib menyesuaikan dan
menyempurnakan dengan berpedoman pada Lampiran 1 Surat Edaran
Bank Indonesia ini (Lampiran 1 dalam kodifikasi ini).
SE 13/23/DPNP (5) Penyempurnaan pedoman penerapan manajemen risiko sebagaimana
2011 dimaksud pada ayat 4 dilakukan paling lambat tanggal 30 November
Butir 1.3 2011 dan disampaikan kepada Bank Indonesia paling lama 30 (tiga
puluh) hari sejak diselesaikannya penyempurnaan pedoman tersebut.
SE 13/23/DPNP (6) Pedoman Standar Penerapan Manajemen Risiko bagi Bank Umum,
2011 paling kurang memuat:
Butir 2.4 a. Penerapan Manajemen Risiko Secara Umum, yang mencakup
mengenai pengawasan aktif Dewan Komisaris dan Direksi;
kecukupan kebijakan, prosedur, dan penetapan limit; kecukupan
proses identifikasi, pengukuran, pemantauan, dan pengendalian
Risiko, serta sistem informasi Manajemen Risiko; dan sistem
pengendalian intern yang menyeluruh.
b. Penerapan Manajemen Risiko untuk Masing‐Masing Risiko, yang
mencakup penerapan Manajemen Risiko untuk masing‐masing
Risiko yang meliputi 8 (delapan) Risiko yaitu Risiko Kredit, Risiko
Pasar, Risiko Likuiditas, Risiko Operasional, Risiko Hukum, Risiko
Stratejik, Risiko Kepatuhan, dan Risiko Reputasi.
c. Penilaian Profil Risiko, yang mencakup penilaian terhadap Risiko
inheren dan penilaian terhadap kualitas penerapan Manajemen
Risiko yang mencerminkan sistem pengendalian Risiko (risk control
system), baik untuk Bank secara individual maupun untuk Bank
secara konsolidasi. Penilaian tersebut dilakukan terhadap 8
(delapan) Risiko yaitu Risiko Kredit, Risiko Pasar, Risiko Likuiditas,
Risiko Operasional, Risiko Hukum, Risiko Stratejik, Risiko Kepatuhan,
dan Risiko Reputasi. Dalam melakukan penilaian profil Risiko, Bank
wajib mengacu pada ketentuan Bank Indonesia yang mengatur
mengenai penilaian tingkat kesehatan Bank Umum.
SE 5/21/DPNP (7) Bank wajib melakukan langkah‐langkah persiapan, pengembangan dan
2003 atau penyempurnaan yang diperlukan dalam rangka penerapan
Butir 8 manajemen risiko yang efektif, antara lain:
a. melaksanakan diagnosa dan analisis mengenai: organisasi,
kebijakan, prosedur, dan pedoman serta pengembangan sistem
yang terkait dengan penerapan manajemen risiko. Selanjutnya
Bank menilai dan menyusun rencana penyempurnaan sesuai
dengan acuan dalam Pedoman Standar Penerapan Manajemen
3


Risiko Bagi Bank Umum.
b. menugaskan pejabat atau staf atau project team yang
bertanggungjawab untuk proses penyusunan analisis dan
pemantauan kemajuan rencana kegiatan (action plan).
c. melakukan sosialisasi pedoman penerapan manajemen risiko
kepada pegawai agar memahami praktek manajemen risiko, dan
mengembangkan budaya risiko (risk culture) kepada seluruh
pegawai pada setiap tingkatan organisasi Bank.
d. menyusun laporan rencana kegiatan (action plan) dan laporan
realisasi kegiatan (progress report) sesuai dengan Lampiran 3 dan
Lampiran 4 sebagaimana tercantum dalam Surat Edaran Bank
Indonesia ini (Lampiran 3 dan Lampiran 4 dalam kodifikasi ini).
e. memastikan bahwa Satuan Kerja Audit Intern (SKAI) ikut serta
memantau dalam proses penyusunan rencana kegiatan (action
plan) dan realisasi rencana kegiatan dimaksud, serta penyusunan
laporan profil risiko triwulanan.

3 Pasal 3 (1) Penerapan Manajemen Risiko sebagaimana dimaksud dalam Pasal 2
5/8/PBI/2003 (Paragraf 2 dalam kodifikasi ini) wajib disesuaikan dengan tujuan,
kebijakan usaha, ukuran dan kompleksitas usaha serta kemampuan
Bank.

Kompleksitas usaha antara lain keragaman dalam jenis
transaksi/produk/jasa dan jaringan usaha.
Kemampuan Bank antara lain kemampuan keuangan, infrastruktur
pendukung dan kemampuan sumberdaya manusia.

SE 5/21/DPNP (2) Bank wajib menerapkan manajemen risiko sesuai dengan tujuan,
2003 kebijakan usaha, ukuran dan kompleksitas usaha serta kemampuan
Butir 11 Bank. Bank yang melakukan kegiatan usaha berdasarkan Prinsip Syariah
wajib menerapkan Proses manajemen risiko sesuai dengan karakteristik
usaha Bank dimaksud dan Prinsip Syariah.

4 Pasal 4 (1) Risiko sebagaimana dimaksud dalam Pasal 2 (Paragraf 2 dalam
11/25/PBI/2009 kodifikasi ini) mencakup:
a. Risiko Kredit;

Termasuk dalam kelompok Risiko Kredit adalah Risiko konsentrasi
kredit.
Risiko konsentrasi kredit merupakan Risiko yang timbul akibat
terkonsentrasinya penyediaan dana kepada 1 (satu) pihak atau
sekelompok pihak, industri, sektor, dan/atau area geografis
tertentu yang berpotensi menimbulkan kerugian cukup besar yang
dapat mengancam kelangsungan usaha Bank.

b. Risiko Pasar;

Risiko Pasar meliputi antara lain Risiko suku bunga, Risiko nilai
tukar, Risiko komoditas, dan Risiko ekuitas.
Risiko suku bunga adalah Risiko akibat perubahan harga instrumen
4


keuangan dari posisi Trading book atau akibat perubahan nilai
ekonomis dari posisi Banking Book, yang disebabkan oleh
perubahan suku bunga.
Dalam kategori Risiko suku bunga termasuk pula Risiko suku bunga
dari posisi Banking Book yang antara lain meliputi repricing risk,
yield curve risk, basis risk, dan optionality risk.
Risiko Nilai Tukar adalah risiko akibat perubahan nilai posisi
Trading Book dan Banking Book yang disebabkan oleh perubahan
nilai tukar valuta asing atau perubahan harga emas. Risiko
Komoditas adalah Risiko akibat perubahan harga instrumen
keuangan dari posisi Trading Book dan Banking Book yang
disebabkan oleh perubahan harga komoditas.
Risiko Ekuitas adalah Risiko akibat perubahan harga instrumen
keuangan dari posisi Trading Book yang disebabkan oleh perubahan
harga saham.

c. Risiko Likuiditas;
d. Risiko Operasional;
e. Risiko Hukum;

Risiko ini timbul antara lain karena ketiadaan peraturan perundang‐
undangan yang mendukung atau kelemahan perikatan, seperti
tidak dipenuhinya syarat sahnya kontrak atau pengikatan agunan
yang tidak sempurna.

f. Risiko Reputasi;

Risiko ini timbul antara lain karena adanya pemberitaan media
dan/atau rumor mengenai bank yang bersifat negatif, serta adanya
strategi komunikasi bank yang kurang efektif.

g. Risiko Stratejik; dan

Risiko ini timbul antara lain karena bank menetapkan strategi yang
kurang sejalan dengan visi dan misi bank, melakukan analisis
lingkungan stratejik yang tidak komprehensif, dan/atau terdapat
ketidaksesuaian rencana stratejik (strategic plan) antar level
stratejik. Selain itu Risiko Stratejik juga timbul karena kegagalan
dalam mengantisipasi perubahan lingkungan bisnis mencakup
kegagalan dalam mengantisipasi perubahan teknologi, perubahan
kondisi ekonomi makro, dinamika kompetisi di pasar, dan
perubahan kebijakan otoritas terkait.

h. Risiko Kepatuhan

(2) Bank Umum Konvensional wajib menerapkan Manajemen Risiko untuk
seluruh Risiko sebagaimana dimaksud pada ayat (1).

5


BAB III Pengawasan Aktif Dewan Komisaris dan Direksi
Bagian Pertama Umum
5 Pasal 5 Bank wajib menetapkan wewenang dan tanggung jawab yang jelas pada
5/8/PBI/2003 setiap jenjang jabatan yang terkait dengan penerapan Manajemen Risiko
sebagaimana dimaksud dalam Pasal 2 (Paragraf 2 dalam kodifikasi ini).

Bagian Kedua Kewenangan dan Tanggungjawab Dewan Komisaris
6 Pasal 6 Wewenang dan tanggung jawab sebagaimana dimaksud dalam Pasal 5
5/8/PBI/2003 (Paragraf 5 dalam kodifikasi ini) bagi dewan Komisaris sekurang‐kurangnya:
a. menyetujui dan mengevaluasi kebijakan Manajemen Risiko;

Evaluasi kebijakan Manajemen Risiko dilakukan oleh Dewan Komisaris
sekurang‐kurangnya satu kali dalam satu tahun atau frekuensi yang
lebih tinggi dalam hal terdapat perubahan faktor‐faktor yang
mempengaruhi kegiatan usaha Bank secara signifikan.

b. mengevaluasi pertanggungjawaban Direksi atas pelaksanaan kebijakan
Manajemen Risiko sebagaimana dimaksud dalam huruf a;

Evaluasi pertanggungjawaban Direksi atas pelaksanaan kebijakan
Manajemen Risiko dilakukan oleh dewan Komisaris sekurang‐kurangnya
secara triwulanan.

Bagian Ketiga Kewenangan dan Tanggungjawab Direksi
7 Pasal 7 (1) Wewenang dan tanggung jawab sebagaimana dimaksud dalam Pasal 5
5/8/PBI/2003 (Paragraf 5 dalam kodifikasi ini) bagi Direksi sekurang‐kurangnya:
a. menyusun kebijakan dan strategi Manajemen Risiko secara tertulis
dan komprehensif;

termasuk dalam kebijakan dan strategi Manajemen Risiko adalah
penetapan dan persetujuan limit Risiko baik RIsiko secara
keseluruhan (composite), per jenis Risiko, maupun per aktivitas
fungsional.
Kebijakan dan strategi Manajemen Risiko disusun sekurang‐
kurangnya satu kali dalam satu tahun atau frekuensi yang lebih
tinggi dalam hal terdapat perubahan faktor‐faktor yang
mempengaruhi kegiatan usaha Bank secara signifikan.

b. bertanggung jawab atas pelaksanaan kebijakan Manajemen Risiko
dan eksposur Risiko yang diambil oleh Bank secara keseluruhan;

Termasuk tanggung jawab atas pelaksanaan kebijakan
Manajemen Risiko adalah:
1. mengevaluasi dan memberikan arahan berdasarkan laporan
yang disampaikan oleh satuan kerja manajemen risiko;
2. penyampaian laporan pertanggungjawaban kepada dewan
Komisaris secara triwulanan.

6


c. mengevaluasi dan memutuskan transaksi yang memerlukan
persetujuan Direksi;

Transaksi yang memerlukan persetujuan Direksi antara lain
transaksi yang telah melampaui kewenangan pejabat Bank satu
tingkat di bawah Direksi, sesuai dengan kebijakan dan prosedur
intern yang berlaku.

d. mengembangkan budaya Manajemen Risiko pada seluruh jenjang
organisasi;

Pengembangan budaya Manajemen Risiko antara lain meliputi
komunikasi yang memadai kepada seluruh jenjang organisasi
tentang pentingnya pengendalian intern yang efektif.

e. memastikan peningkatan kompetensi sumberdaya manusia yang
terkait dengan Manajemen Risiko;

Peningkatan kompetensi sumberdaya manusia antara lain melalui
program pendidikan dan pelatihan secara berkesinambungan
mengenai penerapan Manajemen Risiko.

f. memastikan bahwa fungsi Manajemen Risiko telah beroperasi
secara independen;

Yang dimaksud dengan pengertian independen antara lain adanya
pemisahan fungsi antara satuan kerja Manajemen Risiko yang
melakukan identifikasi, pengukuran dan pemantauan Risiko dengan
satuan kerja yang melakukan dan menyelesaikan transaksi.

g. melaksanakan kaji ulang secara berkala untuk memastikan:

Kaji ulang secara berkala antara lain dimaksudkan untuk
mengantisipasi apabila terjadi perubahan faktor eksternal dan
faktor internal.

1. keakuratan metodologi penilaian Risiko;
2. kecukupan implementasi sistem informasi manajemen; dan
3. ketepatan kebijakan, prosedur dan penetapan limit Risiko.

(2) Dalam rangka melaksanakan wewenang dan tanggung jawab
sebagaimana dimaksud dalam ayat (1), Direksi harus memiliki
pemahaman yang memadai mengenai Risiko yang melekat pada
seluruh aktivitas fungsional Bank dan mampu mengambil tindakan
yang diperlukan sesuai dengan profil Risiko Bank.

BAB IV Kebijakan, Prosedur dan Penetapan Limit
Bagian Pertama Kebijakan Manajemen Risiko
8 Pasal 8 Kebijakan Manajemen Risiko sebagaimana dimaksud dalam Pasal 2 ayat (2)
11/25/PBI/2009 huruf b (Paragraf 2 ayat (2) huruf b dalam kodifikasi ini) sekurang‐
7


kurangnya memuat:

Kebijakan Manajemen Risiko ditetapkan antara lain dengan cara menyusun
strategi manajemen risiko untuk memastikan bahwa:
1. Bank tetap mempertahankan eksposur Risiko sesuai dengan kebijakan
dan prosedur intern Bank dan peraturan perundang‐undangan serta
ketentuan lain yang berlaku; dan
2. Bank dikelola oleh sumber daya manusia yang memiliki pengetahuan,
pengalaman dan keahlian di bidang Manajemen Risiko sesuai dengan
kompleksitas usaha Bank.
Penyusunan strategi Manajemen Risiko dilakukan dengan
mempertimbangkan kondisi keuangan Bank, organisasi Bank, dan
Risiko yang timbul sebagai akibat perubahan faktor eksternal dan
faktor internal.

a. penetapan Risiko yang terkait dengan produk dan transaksi perbankan;
b. penetapan penggunaan metode pengukuran dan sistem informasi
Manajemen Risiko;
c. penentuan limit dan penetapan toleransi Risiko;

Toleransi Risiko merupakan potensi kerugian yang dapat diserap oleh
permodalan Bank.

d. penetapan penilaian peringkat Risiko;

Penetapan penilaian peringkat Risiko merupakan dasar bagi Bank untuk
mengkategorikan peringkat Risiko Bank.
Peringkat Risiko bagi Bank Umum Konvensional dikategorikan menjadi
5 (lima) peringkat, yaitu 1 (Low), 2 (Low to Moderate), 3 (Moderate), 4
(Moderate to High), dan 5 (High).

e. penyusunan rencana darurat (contingency plan) dalam kondisi terburuk
(worst case scenario);
f. penetapan sistem pengendalian intern dalam penerapan Manajemen
Risiko.

Bagian Kedua Prosedur dan Penetapan Limit Risiko
9 Pasal 9 (1) Prosedur dan penetapan limit Risiko sebagaimana dimaksud dalam
5/8/PBI/2003 Pasal 2 ayat (2) huruf b (Paragraf 2 ayat (2) huruf b dalam kodifikasi ini)
wajib disesuaikan dengan tingkat Risiko yang akan diambil (risk

appetite) terhadap Risiko Bank.

Tingkat Risiko yang akan diambil (risk appetite) memperhatikan
pengalaman yang dimiliki Bank dalam mengelola Risiko.

(2) Prosedur dan penetapan limit Risiko sebagaimana dimaksud dalam ayat
(1) sekurang‐kurangnya memuat:
a. akuntabilitas dan jenjang delegasi wewenang yang jelas;
b. pelaksanaan kaji ulang terhadap prosedur dan penetapan limit
secara berkala;
8


Pengertian secara berkala sekurang‐kurangnya satu kali dalam satu
tahun atau frekuensi yang lebih tinggi, sesuai dengan jenis Risiko,
kebutuhan dan perkembangan Bank.

c. dokumentasi prosedur dan penetapan limit secara memadai.
Pengertian dokumentasi yang memadai adalah dokumentasi yang
tertulis, lengkap dan memudahkan untuk dilakukan jejak audit
(audit trail) untuk keperluan tujuan pengendalian intern Bank.

d. Penetapan limit Risiko sebagaimana dimaksud dalam ayat (2) wajib
mencakup:
a. limit secara keseluruhan;
b. limit per jenis Risiko; dan
c. limit per aktivitas fungsional tertentu yang memiliki eksposur
Risiko.

Proses Identifikasi, Pengukuran, Pemantauan, Pengendalian
BAB V
dan Sistem Informasi Manajemen Risiko
Bagian Pertama Umum
10 Pasal 10 (1) Bank wajib melakukan proses identifikasi, pengukuran, pemantauan
5/8/PBI/2003 dan pengendalian Risiko sebagaimana dimaksud dalam Pasal 2 ayat (2)
huruf c (Paragraf 2 ayat (2) huruf c dalam kodifikasi ini) terhadap
seluruh faktor‐faktor Risiko (risk factors) yang bersifat material.

Faktor‐faktor Risiko adalah berbagai parameter yang mempengaruhi
eksposur Risiko.
Faktor‐faktor Risiko yang bersifat material adalah faktor‐faktor Risiko
baik kuantitatif maupun kualitatif yang berpengaruh secara signifikan
terhadap kondisi keuangan Bank.

(2) Pelaksanaan proses identifikasi, pengukuran, pemantauan dan
pengendalian Risiko sebagaimana dimaksud dalam ayat (1) wajib
didukung oleh:
a. sistem informasi manajemen yang tepat waktu; dan
b. laporan yang akurat dan informatif mengenai kondisi keuangan
Bank, kinerja aktivitas fungsional dan eksposur Risiko Bank.

Proses Identifikasi, Pengukuran, Pemantauan dan Pengendalian
Bagian Kedua
Risiko
11 Pasal 11 (1) Pelaksanaan proses identifikasi Risiko sekurang‐kurangnya dilakukan
5/8/PBI/2003 dengan melakukan analisis terhadap:

Proses identifikasi Risiko antara lain dapat didasarkan pada
pengalaman kerugian Bank yang pernah terjadi.
a. karakteristik Risiko yang melekat pada Bank; dan
b. Risiko dari produk dan kegiatan usaha Bank,

9


(2) Dalam rangka melaksanakan pengukuran Risiko, Bank wajib sekurang‐
kurangnya melakukan:

Untuk memperkirakan Risiko, Bank dapat menggunakan berbagai
pendekatan, baik kualitatif maupun kuantitatif, disesuaikan dengan
tujuan usaha, kompleksitas usaha, dan kemampuan Bank.

a. evaluasi secara berkala terhadap kesesuaian asumsi, sumber data
dan prosedur yang digunakan untuk mengukur Risiko;

Pengertian secara berkala sekurang‐kurangnya secara triwulanan
atau frekuensi yang lebih tinggi, sesuai dengan perkembangan
usaha Bank dan kondisi eksternal yang langsung mempengaruhi
kondisi Bank.

b. penyempurnaan terhadap sistem pengukuran Risiko apabila
terdapat perubahan kegiatan usaha Bank, produk, transaksi dan
faktor Risiko, yang bersifat material.

Perubahan yang bersifat material adalah perubahan kegiatan
usaha Bank, produk, transaksi dan faktor Risiko, yang dapat
mempengaruhi kondisi keuangan Bank.

c. dalam rangka proses penerapan manajemen risiko, Bank dapat
menggunakan berbagai pendekatan pengukuran risiko, baik dengan
metode standar seperti yang direkomendasikan oleh Basle
Committee on Banking Supervision pada Bank for International
Settlements maupun dengan metode pengukuran yang advanced
(internal model). Pengukuran dengan menggunakan internal model
tersebut dimaksudkan untuk antisipasi perkembangan operasi
perbankan yang semakin kompleks maupun antisipasi kebijakan
perbankan di masa mendatang. Penerapan internal model
memerlukan berbagai persyaratan minimum baik kuantitatif
maupun kualitatif agar hasil penilaian risiko dapat lebih
mencerminkan kondisi Bank yang sebenarnya. Untuk kepentingan
perhitungan risiko pasar yang terkait dengan perhitungan Capital
Adequacy Ratio (CAR), Bank diwajibkan untuk mengacu pada
ketentuan yang berlaku.

(3) Dalam rangka melaksanakan pemantauan Risiko, Bank wajib sekurang‐
kurangnya melakukan:
a. evaluasi terhadap eksposur Risiko;

Evaluasi terhadap eksposur risiko dilakukan dengan cara
pemantauan dan pelaporan Risiko yang bersifat material atau yang
berdampak kepada kondisi permodalan Bank, yang antara lain
didasarkan atas penilaian potensi Risiko dengan menggunakan
historical trend.

b. penyempurnaan proses pelaporan apabila terdapat perubahan
kegiatan usaha Bank, produk, transaksi, faktor Risiko, teknologi
informasi dan sistem informasi Manajemen Risiko yang bersifat
material.
10


(4) Pelaksanaan proses pengendalian Risiko wajib digunakan Bank untuk
mengelola Risiko tertentu yang dapat membahayakan kelangsungan
usaha Bank.

Pengendalian Risiko dapat dilakukan antara lain dengan cara lindung
nilai, metode mitigasi risiko dan penambahan modal untuk menyerap
potensi kerugian.

(5) Dalam melaksanakan fungsi pengendalian Risiko suku bunga, Risiko nilai
tukar, dan Risiko likuiditas sebagaimana dimaksud dalam Pasal 4 ayat
(1) huruf b dan huruf c (Paragraf 4 ayat (1) huruf b dan huruf c dalam
kodifikasi ini), Bank sekurang‐kurangnya menerapkan assets and
liabilities management (ALMA).

Bagian Ketiga Sistem Informasi Manajemen Risiko
12 Pasal 12 (1) Sistem informasi Manajemen Risiko sebagaimana dimaksud dalam Pasal
5/8/PBI/2003 2 ayat (2) huruf c (Paragraf 2 ayat (2) huruf c dalam kodifikasi ini),
sekurang‐kurangnya mencakup laporan atau informasi mengenai:
a. eksposur Risiko;

Laporan atau informasi eksposur Risiko mencakup eksposur
kuantitatif dan kualitatif, secara keseluruhan (composite) maupun
rincian per jenis Risiko dan per jenis aktivitas fungsional.

b. kepatuhan terhadap kebijakan dan prosedur serta penetapan limit
sebagaimana dimaksud dalam Pasal 8 dan Pasal 9 (Paragraf 8 dan
Paragraf 9 dalam kodifikasi ini);
c. realisasi pelaksanaan Manajemen Risiko dibandingkan dengan
target yang ditetapkan

(2) Laporan atau informasi yang dihasilkan dari sistem informasi
Manajemen Risiko sebagaimana dimaksud dalam ayat (1) wajib
disampaikan secara rutin kepada Direksi.

Laporan atau informasi yang disampaikan kepada Direksi dapat
ditingkatkan frekuensinya sesuai dengan kebutuhan Bank.

BAB VI Sistem Pengendalian Intern
Bagian Pertama Umum
13 Pasal 13 (1) Bank wajib melaksanakan sistem pengendalian intern secara efektif
5/8/PBI/2003 terhadap pelaksanaan kegiatan usaha dan operasional pada seluruh
jenjang organisasi Bank.
SE 5/22/DPNP (2) Pedoman Standar Sistem Pengendalian Intern bagi Bank Umum
2003 merupakan acuan standar Sistem Pengendalian Intern yang wajib
Butir 1 – 5 dipenuhi oleh Bank sehingga Bank dapat memperluas dan
memperdalam sesuai dengan kebutuhan Bank.
(3) Bank yang telah memiliki Sistem Pengendalian Intern namun belum
memenuhi acuan Pedoman Standar Sistem Pengendalian Intern bagi
Bank Umum, wajib menyesuaikan dan menyempurnakannya dengan
11


berpedoman pada Lampiran Surat Edaran Bank Indonesa ini (Lampiran
8 dalam kodifikasi ini).
(4) Pedoman Standar Sistem Pengendalian Intern sebagaimana dimaksud
pada ayat 3, disampaikan kepada Bank Indonesia selambat‐lambatnya
30 (tiga puluh) hari sejak ditetapkannya pedoman yang disempurnakan.
Penyempurnaan pedoman tersebut dilakukan sesuai dengan jadwal
yang dimuat dalam action plan atau selambat‐lambatnya tanggal 31
Desember 2004.
(5) Dalam penyusunan Sistem Pengendalian Intern, Bank wajib
mempertimbangkan total aset, produk dan jasa yang ditawarkan,
termasuk produk dan jasa baru, kompleksitas operasional, jaringan
kantor, profil risiko dari setiap kegiatan usaha, metode yang digunakan
untuk pengolahan data dan pengukuran risiko, serta ketentuan terkait
yang berlaku.
(6) Pedoman Standar Sistem Pengendalian Intern bagi Bank Umum
sekurang‐kurangnya mencakup 5 (lima) elemen pokok, yaitu.
a. pengawasan oleh manajemen dan budaya pengendalian;
b. identifikasi dan penilaian risiko;
c. kegiatan pengendalian dan pemisahan fungsi;
d. sistem akuntansi, informasi dan komunikasi; dan
e. kegiatan pemantauan dan tindakan koreksi penyimpangan

14 Pasal 14 (1) Pelaksanaan sistem pengendalian intern sebagaimana dimaksud dalam
5/8/PBI/2003 Pasal 13 (Paragraf 13 dalam kodifikasi ini) sekurang‐kurangnya mampu
secara tepat waktu mendeteksi kelemahan dan penyimpangan yang
terjadi.
(2) Sistem pengendalian intern sebagaimana dimaksud dalam ayat (1)
wajib
memastikan:
a. kepatuhan terhadap peraturan dan perundang‐undangan yang
berlaku serta kebijakan atau ketentuan intern Bank;
b. tersedianya informasi keuangan dan manajemen yang lengkap,
akurat, tepat guna, dan tepat waktu;

Informasi keuangan dan manajemen yang lengkap, akurat, tepat
guna, dan tepat waktu diperlukan dalam rangka pengambilan
keputusan yang tepat dan dapat dipertanggungjawabkan, serta
dikomunikasikan kepada pihak yang berkepentingan.

c. efektivitas dan efisiensi dalam kegiatan operasional; dan

Efektivitas dan efisiensi dalam kegiatan operasional antara lain
diperlukan untuk melindungi aset dan sumberdaya Bank lainnya
dari Risiko terkait.

d. efektivitas budaya Risiko (risk culture) pada organisasi Bank secara
menyeluruh.

Efektivitas budaya Risiko dimaksudkan untuk mengidentifikasi
kelemahan dan penyimpangan secara lebih dini dan menilai
kembali kewajaran kebijakan dan prosedur yang ada pada Bank
secara berkesinambungan.
12


Sistem Pengendalian Intern dalam Penerapan Manajemen
Bagian Kedua
Risiko
15 Pasal 15 (1) Sistem pengendalian intern dalam penerapan Manajemen Risiko
5/8/PBI/2003 sebagaimana dimaksud dalam Pasal 2 ayat (2) huruf d (Paragraf 2 ayat
(2) huruf d dalam kodifikasi ini) sekurang‐kurangnya mencakup:
a. kesesuaian sistem pengendalian intern dengan jenis dan tingkat
Risiko yang melekat pada kegiatan usaha Bank;
b. penetapan wewenang dan tanggung jawab untuk pemantauan
kepatuhan kebijakan, prosedur dan limit sebagaimana dimaksud
dalam Pasal 8 dan Pasal 9 (Paragraf 8 dan Paragraf 9 dalam kodifikasi
ini);
c. penetapan jalur pelaporan dan pemisahan fungsi yang jelas dari
satuan kerja operasional kepada satuan kerja yang melaksanakan
fungsi pengendalian;
d. struktur organisasi yang menggambarkan secara jelas kegiatan usaha
Bank;
e. pelaporan keuangan dan kegiatan operasional yang akurat dan tepat
waktu;
f. kecukupan prosedur untuk memastikan kepatuhan Bank terhadap
ketentuan dan perundang‐undangan yang berlaku;
g. kaji ulang yang efektif, independen dan obyektif terhadap prosedur
penilaian kegiatan operasional Bank;
h. pengujian dan kaji ulang yang memadai terhadap sistem informasi
manajemen;
i. dokumentasi secara lengkap dan memadai terhadap prosedur
operasional, cakupan dan temuan audit, serta tanggapan pengurus
Bank berdasarkan hasil audit;
j. verifikasi dan kaji ulang secara berkala dan berkesinambungan
terhadap penanganan kelemahan‐kelemahan Bank yang bersifat
material dan tindakan pengurus Bank untuk memperbaiki
penyimpangan‐penyimpangan yang terjadi.
(2) Penilaian terhadap sistem pengendalian intern dalam penerapan
Manajemen Risiko sebagaimana dimaksud dalam ayat (1) wajib
dilakukan oleh satuan kerja audit intern (SKAI).

BAB VII Organisasi dan Fungsi Manajemen RIsiko
Bagian Pertama Umum
16 Pasal 16 (1) Dalam rangka pelaksanaan proses dan sistem Manajemen Risiko yang
5/8/PBI/2003 efektif sebagaimana dimaksud dalam Pasal 2 (Paragraf 2 dalam
kodifikasi ini), Bank wajib membentuk:
a. komite Manajemen Risiko; dan
Komite Manajemen Risiko harus bersifat non struktural.
b. satuan kerja Manajemen Risiko.
Satuan kerja Manajemen Risiko harus bersifat struktural.

SE 5/21/DPNP (2) Dalam rangka menerapkan manajemen risiko, Bank wajib membentuk
2003 Komite Manajemen Risiko dan Satuan Kerja Manajemen Risiko, sesuai
Butir 5 dengan ukuran dan kompleksitas usaha Bank. Struktur Organisasi
Manajemen Risiko pada Bank Umum dapat mengacu pada Lampiran 2
Surat Edaran Bank Indonesia ini (Lampiran 2 dalam kodifikasi ini).
13


Bagian Kedua Komite Manajemen Risiko
17 Pasal 17 (1) Komite Manajemen Risiko sebagaimana dimaksud dalam Pasal 16 huruf
5/8/PBI/2003 a (Paragraf 16 huruf a dalam kodifikasi ini) sekurang‐kurangnya terdiri
dari:
Keanggotaan Komite Manajemen Risiko dapat berupa keanggotaan
tetap dan tidak tetap, sesuai dengan kebutuhan Bank.
a. mayoritas Direksi; dan

Salah satu anggota dari mayoritas Direksi dalam komite
Manajemen Risiko adalah Direktur Kepatuhan.
b. pejabat eksekutif terkait.

Pejabat eksekutif adalah pejabat Bank satu tingkat di bawah Direksi
yang memimpin satuan kerja operasional dan satuan kerja
Manajemen Risiko. Keanggotaan pejabat eksekutif dalam Komite
Manajemen Risiko disesuaikan dengan permasalahan dan kebutuhan
Bank.

(2) Wewenang dan tanggung jawab komite Manajemen Risiko
sebagaimana dimaksud dalam ayat (1) adalah memberikan
rekomendasi kepada Direktur Utama, yang sekurang‐kurangnya
meliputi:
a. penyusunan kebijakan, strategi dan pedoman penerapan
Manajemen Risiko;
b. perbaikan atau penyempurnaan pelaksanaan Manajemen Risiko
berdasarkan hasil evaluasi pelaksanaan dimaksud;
c. penetapan (justification) hal‐hal yang terkait dengan keputusan
bisnis yang menyimpang dari prosedur normal (irregularities).

Termasuk dalam keputusan bisnis yang menyimpang dari prosedur
normal antara lain pelampauan ekspansi usaha yang signifikan
dibandingkan rencana bisnis Bank dan pengambilan posisi/eksposur
Risiko yang menyimpang dari limit yang telah ditetapkan.

Bagian Ketiga Satuan Kerja Manajemen Risiko
18 Pasal 18 (1) Struktur organisasi satuan kerja Manajemen Risiko Bank sebagaimana
5/8/PBI/2003 dimaksud dalam Pasal 16 huruf b (Paragraf 16 huruf b dalam kodifikasi
ini) disesuaikan dengan ukuran dan kompleksitas usaha Bank serta
Risiko yang melekat pada Bank.

Pengaturan ini dimaksudkan agar Bank dapat menentukan struktur
organisasi yang tepat dan sesuai dengan kondisi Bank, termasuk
kemampuan keuangan dan sumberdaya manusia.

(2) Satuan kerja Manajemen Risiko sebagaimana dimaksud dalam ayat (1)
harus independen terhadap satuan kerja operasional (risk‐taking unit)
dan terhadap satuan kerja yang melaksanakan fungsi pengendalian
intern.
14


Pengertian independen antara lain tercermin dari adanya:
1. pemisahan fungsi/tugas antara satuan kerja Manajemen Risiko
dengan satuan kerja operasional (risk‐taking unit) dan satuan kerja
yang melaksanakan fungsi pengendalian intern;
2. proses pengambilan keputusan yang tidak memihak atau
menguntungkan satuan kerja operasional tertentu atau
mengabaikan satuan kerja operasional lainnya.

(3) Satuan kerja Manajemen Risiko sebagaimana dimaksud dalam ayat (2)
bertanggung jawab langsung kepada Direktur Utama atau kepada
Direktur yang ditugaskan secara khusus.

Mengingat ukuran dan kompleksitas usaha Bank yang berbeda maka
satuan kerja Manajemen Risiko dapat bertanggung jawab langsung
kepada Direktur yang ditugaskan secara khusus oleh Bank seperti
Direktur Kepatuhan atau Direktur Manajemen Risiko.
Istilah Direktur Utama dapat dipersamakan dengan Presiden Direktur.

(4) Wewenang dan tanggung jawab satuan kerja Manajemen Risiko
meliputi:

Kewenangan dan tanggung jawab satuan kerja Manajemen Risiko
disesuaikan dengan tujuan usaha, kompleksitas usaha, dan
kemampuan Bank.

a. pemantauan pelaksanaan strategi Manajemen Risiko yang telah
disetujui oleh Direksi;
b. pemantauan posisi Risiko secara keseluruhan (composite), per jenis
Risiko dan per jenis aktivitas fungsional serta melakukan stress
testing;

Stress testing dilakukan guna mengetahui dampak dari
implementasi kebijakan dan strategi Manajemen Risiko terhadap
kinerja dan pendapatan masing‐masing satuan kerja operasional
atau aktivitas fungsional Bank.

c. kaji ulang secara berkala terhadap proses Manajemen Risiko;

Kaji ulang antara lain dilakukan berdasarkan temuan audit intern
dan atau perkembangan praktek‐praktek Manajemen Risiko yang
berlaku secara internasional.

d. pengkajian usulan aktivitas dan atau produk baru;

Termasuk dalam pengkajian adalah penilaian kemampuan Bank
untuk melakukan aktivitas dan atau produk baru dan kajian usulan
perubahan sistem dan prosedur.

e. evaluasi terhadap akurasi model dan validitas data yang digunakan
untuk mengukur Risiko, bagi Bank yang menggunakan model untuk
keperluan intern (internal model);
15


f. memberikan rekomendasi kepada satuan kerja operasional (risk
taking unit) dan atau kepada komite Manajemen Risiko, sesuai
kewenangan yang dimiliki;

Rekomendasi antara lain memuat rekomendasi yang terkait dengan
besaran atau maksimum eksposur Risiko yang wajib dipelihara oleh
Bank.

g. menyusun dan menyampaikan laporan profil/komposisi Risiko
kepada direktur utama atau direktur yang ditugaskan secara khusus
dan komite Manajemen Risiko secara berkala.

Profil Risiko merupakan gambaran secara menyeluruh atas
besarnya potensi Risiko yang melekat pada seluruh portofolio atau
eksposur Bank. Frekuensi penyampaian laporan wajib ditingkatkan
apabila kondisi pasar berubah dengan cepat. Untuk eksposur Risiko
yang berubah relatif lama, seperti Risiko Kredit maka penyampaian
laporan disampaikan selambat‐lambatnya satu kali dalam satu
bulan.

Hubungan Satuan Kerja Operasional dengan Satuan Kerja
Bagian Keempat
Manajemen Risiko
19 Pasal 19 Satuan kerja operasional (risk taking unit) sebagaimana dimaksud dalam
5/8/PBI/2003 Pasal 18 ayat (2) (Paragraf 18 ayat (2) dalam kodifikasi ini) wajib
menginformasikan eksposur Risiko yang melekat pada satuan kerja yang
bersangkutan kepada satuan kerja Manajemen Risiko secara berkala.

Frekuensi penyampaian informasi eksposur Risiko disesuaikan dengan
karakteristik jenis Risiko.
Termasuk dalam definisi satuan kerja operasional (risk taking unit) antara
lain satuan kerja perkreditan, treasuri, dan pendanaan.

BAB VIII Pengelolaan Risiko Produk dan Aktivitas Baru
20 Pasal 20 (1) Bank wajib memiliki kebijakan dan prosedur secara tertulis untuk
11/25/PBI/2009 mengelola risiko yang melekat pada produk atau aktivitas baru Bank.

Yang dimaksud dengan produk Bank adalah instrument keuangan yang
diterbitkan oleh Bank.
Yang dimaksud dengan aktivitas Bank adalah jasa yang disediakan oleh
Bank kepada nasabah, antara lain jasa keagenan dan/atau kustodian.

(2) Kebijakan dan prosedur sebagaimana dimaksud pada ayat (1) paling
kurang mencakup:
a. sistem dan prosedur (standard operating procedures) dan
kewenangan dalam pengelolaan produk atau aktivitas baru;
b. identifikasi seluruh Risiko yang melekat pada produk atau aktivitas
baru baik yang terkait dengan Bank maupun nasabah; ‐
c. masa uji coba metode pengukuran dan pemantauan Risiko
terhadap produk atau aktivitas baru;

16


Masa uji coba dimaksudkan untuk memastikan bahwa metode
pengukuran dan pemantauan Risiko telah teruji.

d. sistem informasi akuntansi untuk produk atau aktivitas baru;
Sistem informasi akuntansi paling kurang menggambarkan profil
Risiko, tingkat keuntungan maupun kerugian untuk produk atau
aktivitas baru secara akurat.

e. analisa aspek hukum untuk produk atau aktivitas baru; dan

Analisa aspek hukum mencakup kemungkinan adanya Risiko hukum
yang akan ditimbulkan oleh produk dan aktivitas baru serta
kesesuaian dengan ketentuan dan perundang‐undangan yang
berlaku.

f. transparansi informasi kepada nasabah.

Dalam menerapkan transparansi informasi kepada nasabah, aspek‐
aspek yang perlu diperhatikan oleh Bank paling kurang adalah:
1. informasi yang disampaikan lengkap, benar, dan tidak
menyesatkan nasabah;
2. informasi yang berimbang antara potensi manfaat yang
mungkin diperoleh dengan Risiko yang mungkin timbul bagi
nasabah; dan
3. informasi yang disampaikan tidak menyamarkan, mengurangi,
atau menutupi hal‐hal yang penting terkait dengan Risiko yang
mungkin timbul.

(3) Produk atau aktivitas Bank merupakan suatu produk baru atau aktivitas
baru apabila memenuhi kriteria sebagai berikut:
a. tidak pernah diterbitkan atau dilakukan sebelumnya oleh Bank;
atau

Termasuk dalam kriteria tidak pernah diterbitkan atau dilakukan
sebelumnya adalah produk atau aktivitas yang telah diterbitkan
atau dilakukan oleh Bank lain, namun belum pernah diterbitkan
atau dilakukan oleh Bank yang bersangkutan.

b. telah diterbitkan atau dilaksanakan sebelumnya oleh Bank namun
dilakukan pengembangan yang mengubah atau meningkatkan
eksposur Risiko tertentu pada Bank.

Perubahan eksposur Risiko dalam pengaturan ini tidak mencakup
perubahan eksposur Risiko yang terkait produk atau aktivitas
konvensional seperti giro, tabungan, deposito, kredit, produk
derivatif yang bersifat plain vanilla, dan aktivitas kustodian.
21 Pasal 20 A Bank dilarang menugaskan atau menyetujui pengurus dan/atau pegawai
11/25/PBI/2009 Bank untuk memasarkan produk atau melaksanakan aktivitas yang bukan
merupakan produk atau aktivitas Bank dengan menggunakan sarana atau
fasilitas Bank.

17


Termasuk dalam kategori tindakan menyetujui adalah mengetahui namun
tidak melarang atau membiarkan terjadinya pemasaran produk atau
aktivitas yang bukan merupakan produk atau aktivitas Bank dengan
menggunakan sarana atau fasilitas Bank oleh pengurus dan/atau pegawai.

22 Pasal 21 Bank wajib menerapkan transparansi informasi produk atau aktivitas Bank
11/25/PBI/2009 kepada nasabah sebagaimana dimaksud dalam Pasal 20 ayat (2) huruf f
(Paragraf 20 ayat (2) huruf f dalam kodifikasi ini), baik secara tertulis
maupun lisan.

Cakupan transparansi informasi yang perlu diungkapkan kepada nasabah
mengacu pada ketentuan Bank Indonesia mengenai transparansi informasi
produk bank, termasuk prosedur, skim, dan materi yang perlu diungkapkan,
seperti karakteristik produk atau aktivitas, Risiko, serta hak dan kewajiban
nasabah.

BAB IX Pelaporan
Bagian Pertama Rencana Kegiatan (Action Plan) Penerapan Manajemen Risiko
23 Pasal 22 (1) Penerapan Manajemen Risiko sebagaimana dimaksud dalam Pasal 2
5/8/PBI/2003 (Paragraf 2 dalam kodifikasi ini) dapat dilaksanakan dengan atau tanpa
tahapan.
(2) Dalam rangka penerapan Manajemen Risiko sebagaimana dimaksud
dalam ayat (1), Bank wajib menyampaikan laporan action plan kepada
Bank Indonesia.

Action plan disusun untuk memenuhi persyaratan minimum
penerapan Manajemen Risiko yang diatur dalam Peraturan Bank
Indonesia ini dan ketentuan pelaksanaan terkait lainnya.

(3) Bank Indonesia dapat meminta Bank untuk melakukan penyesuaian
terhadap laporan action plan sebagaimana dimaksud dalam ayat (1)
apabila action plan dinilai belum sepenuhnya memenuhi persyaratan
minimum yang diatur dalam Peraturan Bank Indonesia ini dan
ketentuan pelaksanaan terkait lainnya.

(4) Jangka waktu penyelesaian action plan sebagaimana dimaksud dalam
ayat (2) ditetapkan selambat‐lambatnya 9 (sembilan) bulan sejak
laporan action plan diterima oleh Bank Indonesia.

Perhitungan jangka waktu 9 (sembilan) bulan termasuk penyesuaian
terhadap action plan yang dinilai Bank Indonesia belum sepenuhnya
memenuhi persyaratan minimum yang diatur dalam Peraturan Bank
Indonesia ini dan ketentuan pelaksanaan terkait lainnya.

(5) Penerapan manajemen risiko secara efektif dan menyeluruh wajib
dilaksanakan sesuai dengan jadwal yang dimuat dalam laporan action
plan atau selambat‐lambatnya tanggal 31 Desember 2004.

24 Pasal 23 (1) Bank wajib menyampaikan laporan realisasi action plan penerapan
5/8/PBI/2003 Manajemen Risiko kepada Bank Indonesia.
18


Laporan realisasi action plan disusun dan digunakan untuk
memantau tingkat pencapaian penerapan Manajemen Risiko.

(2) Laporan realisasi action plan sebagaimana dimaksud dalam ayat (1)
disampaikan selambat‐lambatnya 7 (tujuh) hari kerja setelah tahapan
realisasi action plan.

Bagian Kedua Laporan Profil Risiko serta Laporan Produk dan Aktivitas Baru
25 Pasal 24 (1) Bank wajib menyampaikan laporan profil Risiko kepada Bank Indonesia.
11/25/PBI/2009
Laporan profil Risiko memuat antara lain informasi tentang tingkat dan
trend seluruh eksposur Risiko.

(2) Laporan profil Risiko sebagaimana dimaksud pada ayat (1) yang
disampaikan oleh satuan kerja Manajemen Risiko, wajib memuat
substansi yang sama dengan laporan profil Risiko yang disampaikan
oleh satuan kerja Manajemen Risiko kepada Direktur Utama dan
Komite Manajemen Risiko.
(3) Laporan profil Risiko sebagaimana dimaksud pada ayat (1) disampaikan
secara triwulanan untuk posisi bulan Maret, Juni, September, dan
Desember.

Laporan profil Risiko disajikan secara komparatif dengan posisi triwulan
sebelumnya.

paling lambat 15 (lima belas) hari kerja setelah akhir bulan laporan.
(5) Dalam hal diperlukan, Bank Indonesia dapat meminta Bank
menyampaikan laporan profil Risiko sebagaimana dimaksud pada ayat
(1) diluar jangka waktu yang ditetapkan.

SE 13/23/DPNP (6) Bank wajib menyampaikan laporan profil Risiko baik secara individual
2011 maupun secara konsolidasi kepada Bank Indonesia secara triwulanan
Butir 4.9.a untuk posisi bulan Maret, Juni, September, dan Desember, yang
disajikan secara komparatif dengan posisi triwulan sebelumnya paling
lama 15 (lima belas) hari kerja setelah akhir bulan laporan.
(7) Format dan isi laporan profil Risiko berpedoman pada Lampiran 5 dan
Lampiran 6 Surat Edaran Bank Indonesia ini (Lampiran 5 dan Lampiran 6
dalam kodifikasi ini).
(8) Laporan profil Risiko yang disampaikan oleh Bank kepada Bank
Indonesia wajib memuat substansi yang sama dengan laporan profil
Risiko yang disampaikan oleh satuan kerja Manajemen Risiko kepada
Direktur Utama dan Komite Manajemen Risiko
(9) Mekanisme penilaian profil Risiko, penetapan tingkat Risiko dan
penetapan peringkat profil Risiko mengacu pada ketentuan Bank
Indonesia yang mengatur mengenai penilaian tingkat kesehatan Bank
Umum.

26 Pasal 25 (1) Bank wajib menyampaikan laporan produk atau aktivitas baru kepada
11/25/PBI/2009 Bank Indonesia, yang terdiri dari:
a. Laporan rencana penerbitan produk atau pelaksanaan aktivitas
19


baru; dan
b. Laporan realisasi penerbitan produk atau pelaksanaan aktivitas
baru.
(2) Laporan rencana sebagaimana dimaksud pada ayat (1) huruf a wajib
disampaikan paling lambat 60 (enam puluh) hari sebelum penerbitan
atau pelaksanaan produk atau aktivitas baru.

Produk atau aktivitas baru yang wajib dilaporkan mencakup seluruh
produk atau aktivitas baru sebagaimana dimaksud dalam Pasal 20
ayat (3) (Paragraf 20 ayat (3) dalam kodifikasi ini).

(3) Laporan realisasi sebagaimana dimaksud pada ayat (1) huruf b wajib
disampaikan paling lambat 7 (tujuh) hari kerja setelah produk atau
aktivitas baru dilakukan.
(4) Selain memenuhi ketentuan pelaporan sebagaimana dimaksud pada
ayat (1), rencana penerbitan produk atau pelaksanaan aktivitas baru
yang memenuhi kriteria dalam Pasal 20 ayat (3) huruf a (Paragraf 20
ayat (3) huruf a dalam kodifikasi ini) wajib dicantumkan dalam Rencana
Bisnis Bank.

Rencana penerbitan produk atau pelaksanaan aktivitas baru
dicantumkan dalam Rencana Bisnis Bank untuk tahun yang sama
dengan rencana penerbitan produk atau pelaksanaan aktivitas baru.

(5) Berdasarkan hasil evaluasi terhadap laporan sebagaimana dimaksud
pada ayat (1) huruf a, Bank Indonesia dapat melarang Bank untuk
menerbitkan produk atau melaksanakan aktivitas baru yang
direncanakan.

Evaluasi Bank Indonesia mencakup antara lain aspek kesiapan Bank,
penerapan Manajemen Risiko, transparansi informasi produk, dan
perlindungan nasabah.

(6) Dalam hal di kemudian hari berdasarkan evaluasi Bank Indonesia,
produk yang diterbitkan atau aktivitas yang dilaksanakan memenuhi
kondisi sebagai berikut:
a. tidak sesuai dengan rencana penerbitan produk atau aktivitas baru
yang dilaporkan kepada Bank Indonesia;

Ketidaksesuaian tersebut meliputi antara lain prosedur, skim,
karakteristik produk atau aktivitas, Risiko, serta hak dan kewajiban
nasabah.

b. berpotensi menimbulkan kerugian yang signifikan terhadap kondisi
keuangan Bank; dan/atau

Kondisi yang berpotensi menimbulkan kerugian yang signifikan
terhadap kondisi keuangan Bank antara lain dapat disebabkan oleh
Risiko Reputasi dan Risiko Pasar dari penerbitan produk atau
pelaksanaan aktivitas Bank.
20


c. tidak sesuai dengan ketentuan yang berlaku,

Bank Indonesia dapat memerintahkan Bank untuk menghentikan
penerbitan produk atau pelaksanaan aktivitas dimaksud.

(7) Laporan rencana dan realisasi atas penerbitan produk atau
pelaksanaan aktivitas tertentu dapat diatur secara tersendiri dalam
ketentuan Bank Indonesia.

SE 13/23/DPNP Cakupan, format, dan cara penyampaian laporan produk dan aktivitas
2011 baru mengacu pada ketentuan Bank Indonesia yang mengatur
Butir 4.9.b mengenai pelaporan produk atau aktivitas baru.

Bagian Ketiga Laporan Lain
27 Pasal 26 (1) Bank wajib menyampaikan laporan lain kepada Bank Indonesia selain
11/25/PBI/2009 sebagaimana dimaksud dalam Pasal 24 (Paragraf 25 dalam kodifikasi
ini), dalam hal terdapat kondisi yang berpotensi menimbulkan
kerugian yang signifikan terhadap kondisi keuangan Bank.
(2) Bank wajib menyampaikan kepada Bank Indonesia laporan lain yang
terkait dengan penerapan Manajemen Risiko dan/atau terkait dengan
penerbitan produk atau pelaksanaan aktivitas tertentu secara berkala
atau sewaktu‐waktu apabila diperlukan.

Laporan terkait penerapan Manajemen Risiko meliputi antara lain
Laporan Proyeksi Arus Kas dan Laporan Profil Maturitas dalam rangka
Penerapan Manajemen Risiko untuk Risiko Likuiditas. Laporan terkait
aktivitas tertentu meliputi antara lain laporan pelaksanaan keagenan
reksadana dan/atau laporan pelaksanaan kegiatan bancassurance.

(3) Format dan tata cara pelaporan sebagaimana dimaksud pada ayat (2)
diatur tersendiri dalam ketentuan Bank Indonesia.

SE 13/23/DPNP (4) Laporan lain dalam hal terdapat kondisi yang berpotensi
2011 menimbulkan kerugian yang signifikan terhadap kondisi keuangan
Butir 4.9.c Bank. Dalam hal ini, kondisi Bank tersebut antara lain dapat berupa:
1) Bank telah ditetapkan oleh Bank Indonesia dalam status Bank
dalam pengawasan intensif atau Bank dalam pengawasan
khusus;
2) Bank memiliki eksposur Risiko Pasar dan Risiko Likuiditas yang
sangat signifikan; dan/atau
3) kondisi eksternal (pasar) mengalami fluktuasi yang sangat tajam
dan cenderung tidak mampu dikendalikan oleh Bank.
Laporan ini bersifat insidentil yang disampaikan kepada Bank
Indonesia berdasarkan kondisi terkini Bank yang memiliki
eksposur tertentu dan hasil penilaian Bank Indonesia terhadap
Bank tersebut.
SE 13/23/DPNP (5) Laporan lain terkait penerapan Manajemen Risiko, antara lain laporan
2011 Manajemen Risiko untuk Risiko Likuiditas
Butir 4.9.d 1) Dalam rangka pemantauan likuiditas, Bank wajib menyampaikan
laporan Manajemen Risiko untuk Risiko Likuiditas kepada Bank
21


Indonesia, yang terdiri dari:
a) Laporan Proyeksi Arus Kas dalam rangka pengelolaan posisi
likuiditas dan Risiko Likuiditas harian sebagaimana dimaksud
dalam butir II.C.3.c.4).c).(2) Pedoman Standar Penerapan
Manajemen Risiko yang merupakan Lampiran 1 Surat Edaran
Bank Indonesia ini (Lampiran 1 dalam kodifikasi ini); dan
b) Laporan Profil Maturitas dalam rangka mengukur Risiko
Likuiditas sebagaimana dimaksud dalam butir
II.C.3.c.2).d).(2) Pedoman Standar Penerapan Manajemen
Risiko yang merupakan Lampiran 1 Surat Edaran Bank
Indonesia ini (Lampiran 1 dalam kodifikasi ini), baik dalam
rupiah maupun valuta asing.
2) Laporan Proyeksi Arus Kas sebagaimana dimaksud dalam butir
1).a) mencakup data proyeksi arus kas selama 1 (satu) minggu
berikutnya yang dipetakan secara harian. Laporan tersebut
disampaikan secara mingguan yaitu setiap hari Jumat sesuai
dengan format internal Bank.
Contoh: Bank wajib menyampaikan Laporan Proyeksi Arus Kas
pada hari Jumat tanggal 7 Oktober 2011 yang mencakup proyeksi
arus kas hari Senin tanggal 10 Oktober 2011 sampai dengan hari
Jumat tanggal 14 Oktober 2011.
Dalam hal hari Jumat jatuh pada hari libur, maka laporan
disampaikan pada hari kerja sebelumnya.
3) Format Laporan Proyeksi Arus Kas sebagaimana dimaksud pada
angka 2) mencakup paling kurang pos‐pos neraca dan pos‐pos
rekening administratif yang memiliki transaksi yang signifikan
sesuai dengan karakteristik, kegiatan usaha, dan kompleksitas
Bank serta harus dilakukan secara konsisten. Bank Indonesia
dapat meminta Bank untuk menyesuaikan format Laporan
Proyeksi Arus Kas yang disampaikan kepada Bank Indonesia.
Dalam hal Bank mengubah format Laporan Proyeksi Arus Kas
yang disampaikan kepada Bank Indonesia, Bank wajib
menginformasikan alasan perubahan tersebut kepada Bank
Indonesia.
4) Laporan Profil Maturitas sebagaimana dimaksud dalam butir 1).b)
disampaikan kepada Bank Indonesia secara bulanan dengan
cakupan dan format sesuai Lampiran 7 Surat Edaran Bank
indonesia ini (Lampiran 7 dalam kodifikasi ini). Tata cara
penyampaian laporan Profil Maturitas kepada Bank Indonesia
dilakukan sesuai dengan ketentuan Bank Indonesia yang
mengatur mengenai laporan berkala Bank Umum.
5) Selama format Laporan Profil Maturitas dalam laporan Berkala
Bank Umum (LBBU) belum sesuai dengan format pada Lampiran
7 Surat Edaran Bank indonesia ini (Lampiran 7 dalam kodifikasi
ini), Bank tetap wajib menyampaikan Laporan Profil Maturitas
sesuai dengan format dalam ketentuan Bank Indonesia yang
mengatur mengenai laporan berkala Bank Umum yang berlaku.
6) Laporan Proyeksi Arus Kas dan Laporan Profil Maturitas
disampaikan kepada Bank Indonesia secara on‐line yaitu:
a) Laporan Proyeksi Arus Kas melalui Laporan Kantor Pusat Bank
22


Umum (LKPBU);
b) Laporan Profil Maturitas melalui LBBU.
7) Selama Laporan Proyeksi Arus Kas belum dapat disampaikan
secara on‐line melalui LKPBU, laporan tersebut wajib
disampaikan secara offline oleh Bank kepada Bank Indonesia
dengan alamat sebagai berikut:
a) Direktorat Pengawasan Bank, Jl. M.H. Thamrin No. 2, Jakarta
10350, bagi Bank yang berkantor pusat di wilayah kerja Kantor
Pusat Bank Indonesia; atau
b) Kantor Bank Indonesia, bagi Bank yang berkantor pusat di luar
wilayah kerja Kantor Pusat Bank Indonesia.
8) Selain penyampaian laporan yang diwajibkan sebagaimana
dimaksud pada angka 1), Bank Indonesia dalam kondisi tertentu
dapat mewajibkan Bank untuk menyampaikan laporan yang
terkait dengan penerapan Manajemen Risiko untuk Risiko
Likuiditas diluar waktu yang ditetapkan dan/atau laporan lain
selain yang wajib disampaikan secara berkala. Contoh laporan
lain selain yang wajib disampaikan secara berkala adalah laporan
proyeksi arus kas dalam rangka pengukuran Risiko sebagaimana
dimaksud dalam butir II.C.3.c.2).d).(3) Pedoman Standar
Penerapan Manajemen Risiko dan laporan stress testing
sebagaimana dimaksud dalam butir II. C. 3.c.2).d).(4) Pedoman
Standar Penerapan Manajemen Risiko yang merupakan Lampiran
1 Surat Edaran Bank Indonesia ini (Lampiran 1 dalam kodifikasi
ini).
(6) Laporan lain terkait dengan penerbitan produk atau pelaksanaan
aktivitas tertentu, antara lain laporan pelaksanaan aktivitas berkaitan
dengan reksadana, laporan pelaksanaan kerjasama pemasaran dengan
perusahaan asuransi (bancassurance). Cakupan, format, dan cara
penyampaian mengacu pada ketentuan Bank Indonesia yang berlaku.

Bagian Keempat Batas Waktu Penyampaian Laporan
28 Pasal 27 Bank dianggap terlambat menyampaikan laporan sebagaimana dimaksud
5/8/PBI/2003 dalam Pasal 22, Pasal 23, Pasal 24 dan Pasal 25 (Paragraf 23, Paragraf 24,
Paragraf 25, dan Paragraf 26 dalam kodifikasi ini) apabila laporan
disampaikan melampaui batas waktu penyampaian.

Bagian Kelima Format Laporan dan Alamat Penyampaian
29 Pasal 28 Format dan petunjuk penyusunan laporan sebagaimana dimaksud dalam
5/8/PBI/2003 Pasal 22, Pasal 23, Pasal 24 dan Pasal 25 (Paragraf 23, Paragraf 24, Paragraf
25, dan Paragraf 26 dalam kodifikasi ini) ditetapkan dalam ketentuan Bank
Indonesia.

30 Pasal 29 Laporan sebagaimana dimaksud dalam Pasal 22, Pasal 23, Pasal 24, Pasal 25
11/25/PBI/2009 dan Pasal 26 (Paragraf 23, Paragraf 24, Paragraf 25, Paragraf 26, dan
Paragraf 27) wajib disampaikan kepada Bank Indonesia dengan alamat:
a. Direktorat Pengawasan Bank terkait, Jl. M.H. Thamrin No.2 Jakarta
10350 bagi Bank yang berkantor pusat di wilayah kerja Kantor Pusat
Bank Indonesia.

23


b. Kantor Bank Indonesia setempat, bagi Bank yang berkantor pusat di
luar wilayah kerja Kantor Pusat Bank Indonesia.

BAB X Lain‐Lain
Bagian Pertama Penilaian Penerapan Manajemen Risiko
31 Pasal 30 Bank Indonesia dapat melakukan penilaian terhadap penerapan
5/8/PBI/2003 Manajemen Risiko pada Bank.

Penilaian terhadap Manajemen Risiko Bank termasuk penilaian Risiko yang
melekat (inherent risk) dan kecukupan sistim pengendalian Risiko (risk
control system).

32 Pasal 31 Bank wajib menyediakan data dan informasi yang berkaitan dengan
5/8/PBI/2003 penerapan Manajemen Risiko kepada Bank Indonesia.

Bagian Kedua Aspek Pengungkapan Kinerja dan Kebijakan Manajemen Risiko
33 Pasal 32 (1) Pengungkapan Manajemen Risiko dalam laporan tahunan Bank
5/8/PBI/2003 sebagaimana diatur dalam Peraturan Bank Indonesia mengenai
Transparansi Kondisi Keuangan Bank wajib disesuaikan dengan
Peraturan Bank Indonesia ini.
(2) Pengungkapan sebagaimana dimaksud dalam ayat (1) sekurang‐
kurangnya mencakup kinerja Manajemen Risiko dan arah kebijakan
Manajemen Risiko.

Kinerja Manajemen Risiko merupakan hasil penerapan Manajemen
Risiko untuk periode awal tahun (Januari) sampai dengan akhir tahun
(Desember) termasuk profil Risiko, sedangkan arah kebijakan
Manajemen Risiko merupakan arah dan strategi Manajemen Risiko
periode satu tahun kedepan.

(3) Penyesuaian pengungkapan Manajemen Risiko sebagaimana
dimaksud dalam ayat (1) untuk pertama kali dilakukan untuk laporan
tahunan posisi akhir Desember 2004.

BAB IX Sanksi
34 Pasal 33 (1) Bank yang terlambat menyampaikan laporan sebagaimana dimaksud
11/25/PBI/2009 dalam Pasal 22, Pasal 23, Pasal 24, Pasal 25 ayat (1) huruf b dan ayat
(7) dan Pasal 26 ayat (2) (Paragraf 23, Paragraf 24, Paragraf 25,
Paragraf 26 ayat (1) huruf b dan ayat (7), dan Paragraf 27 ayat (2)
dalam kodifikasi ini) dikenakan sanksi kewajiban membayar sebesar
Rp1.000.000,00 (satu juta rupiah) per hari keterlambatan per laporan.

Yang dimaksud dengan hari adalah hari kerja

(2) Bank yang belum menyampaikan laporan sebagaimana dimaksud
dalam Pasal 22, Pasal 23, Pasal 24, Pasal 25 ayat (1) huruf b dan ayat
(7), dan Pasal 26 ayat (2) (Paragraf 23, Paragraf 24, Paragraf 25,
dalam kodifikasi ini) setelah 1 (satu) bulan sejak batas akhir waktu
24


penyampaian laporan dikenakan sanksi kewajiban membayar sebesar
Rp50.000.000,00 (lima puluh juta rupiah) per laporan.

Bank yang telah dikenakan sanksi kewajiban membayar dalam ayat
ini tidak dikenakan sanksi keterlambatan sebagaimana dimaksud
dalam ayat (1).

(3) Bank yang belum menyampaikan laporan sebagaimana dimaksud
dalam Pasal 22, Pasal 23, Pasal 24, Pasal 25 ayat (1) huruf b dan ayat
(7), dan Pasal 26 ayat (2) (Paragraf 23, Paragraf 24, Paragraf 25,
dalam kodifikasi ini) dan telah dikenakan sanksi kewajiban membayar
sebagaimana dimaksud pada ayat (2), tetap wajib menyampaikan
laporan kepada Bank Indonesia.
(4) Bank yang tidak menyampaikan laporan rencana sebagaimana
dimaksud dalam Pasal 25 ayat (1) huruf a (Paragraf 26 ayat (1) huruf a
dalam kodifikasi ini) dikenakan sanksi kewajiban membayar sebesar
Rp100.000.000,00 (seratus juta rupiah).
(5) Bank yang menyampaikan laporan sebagaimana dimaksud dalam Pasal
22, Pasal 23, Pasal 24, Pasal 25 ayat (1) huruf b dan ayat (7), dan Pasal
26 ayat (2) (Paragraf 23, Paragraf 24, Paragraf 25, Paragraf 26 ayat (1)
huruf b dan ayat (7), dan Paragraf 27 ayat (2) dalam kodifikasi ini)
namun dinilai tidak lengkap secara signifikan atau tidak dilampiri
dengan dokumen dan informasi yang material sesuai dengan format
yang ditentukan, dikenakan sanksi kewajiban membayar sebesar
Rp50.000.000,00 (lima puluh juta rupiah) setelah Bank diberikan 2
(dua) kali surat teguran oleh Bank Indonesia dengan tenggang waktu 7
(tujuh) hari kerja untuk setiap teguran dan Bank tidak memperbaiki
laporan dalam jangka waktu 7 (tujuh) hari kerja setelah surat teguran
terakhir.

Bank yang telah dikenakan sanksi kewajiban membayar dalam ayat
ini tidak dikenakan sanksi keterlambatan sebagaimana dimaksud
dalam ayat (1).

35 Pasal 34 Bank yang tidak melaksanakan ketentuan sebagaimana ditetapkan dalam
11/25/PBI/2009 Peraturan Bank Indonesia ini dan ketentuan pelaksanaan terkait lainnya
dapat dikenakan sanksi administratif sebagaimana dimaksud dalam Pasal
52 Undang‐undang Nomor 7 Tahun 1992 tentang Perbankan sebagaimana
telah diubah dengan Undang‐undang Nomor 10 Tahun 1998 dan Pasal 58
Undang‐Undang Nomor 21 Tahun 2008 tentang Perbankan Syariah, antara
lain berupa:
a. teguran tertulis;
b. penurunan tingkat kesehatan Bank;
c. pembekuan kegiatan usaha tertentu;
d. pencantuman anggota pengurus, pegawai Bank, dan/atau pemegang
saham dalam daftar pihak‐pihak yang mendapat predikat tidak lulus
dalam penilaian kemampuan dan kepatutan atau dalam catatan
administrasi Bank Indonesia sebagaimana diatur dalam ketentuan
Bank Indonesia yang berlaku; dan/atau
e. pemberhentian pengurus Bank.
25


Penerapan Manajemen Risiko Pada Aktivitas Pelayanan Jasa
Bank Melalui Internet (Internet Banking)
Umum
36 SE 6/18/DPNP 1. Internet Banking adalah salah satu pelayanan jasa Bank yang
2004 memungkinkan nasabah untuk memperoleh informasi, melakukan
Romawi I komunikasi dan melakukan transaksi perbankan melalui jaringan
internet, dan bukan merupakan Bank yang hanya menyelenggarakan
layanan perbankan melalui internet, sehingga pendirian dan kegiatan
Internet Only Bank tidak diperkenankan.
2. Internet Banking dapat berupa Informational Internet Banking,
Communicative Internet Banking dan Transactional Internet Banking.
Informational Internet Banking adalah pelayanan jasa Bank kepada
nasabah dalam bentuk informasi melalui jaringan internet dan tidak
melakukan eksekusi transaksi (execution of transaction).
Communicative Internet Banking adalah pelayanan jasa Bank kepada
nasabah dalam bentuk komunikasi atau melakukan interaksi dengan
Bank penyedia layanan internet banking secara terbatas dan tidak
melakukan eksekusi transaksi (execution of transaction).
Transactional Internet Banking adalah pelayanan jasa Bank kepada
nasabah untuk melakukan interaksi dengan Bank penyedia layanan
internet banking dan melakukan eksekusi transaksi (execution of
transaction).
3. Mengingat aktivitas internet banking yang mengandung risiko tinggi
adalah transactional internet banking, maka kewajiban penerapan
manajemen risiko sebagaimana diatur dalam Surat Edaran ini hanya
diberlakukan bagi penyelenggaraan transactional internet banking.
4. Ketentuan dan peraturan perundang‐undangan lainnya, yaitu antara
lain Undang‐undang Nomor 8 Tahun 1999 tentang Perlindungan
Konsumen, dan ketentuan Bank Indonesia tentang Penerapan Prinsip
Mengenal Nasabah (Know Your Customer) juga berlaku dalam
hubungannya dengan penyelenggaraan internet banking.

Pedoman Manajemen Risiko
37 SE 6/18/DPNP Bank yang menyelenggarakan internet banking wajib menerapkan
2004 manajemen risiko pada aktivitas internet banking secara efektif, yang
Romawi II.1 meliputi:
b. sistem pengamanan (security control);
c. manajemen risiko, khususnya risiko hukum dan risiko reputasi.

38 SE 6/18/DPNP Penerapan manajemen risiko sebagaimana dimaksud dalam angka 1
2004 (Paragraf 37 dalam kodifikasi ini) wajib dituangkan dalam suatu kebijakan,
Romawi II.2 prosedur dan pedoman tertulis, dengan mengacu pada Pedoman
Penerapan Manajemen Risiko pada Aktivitas Pelayanan Jasa Bank Melalui
Internet (Internet Banking).

39 SE 6/18/DPNP Bank yang telah melaksanakan aktivitas internet banking dan telah memiliki
2004 kebijakan, prosedur dan atau pedoman tertulis penerapan manajemen
Romawi II.3 risiko pada aktivitas internet banking wajib menyesuaikan dan
26


menyempurnakan dengan berpedoman pada Lampiran Surat Edaran ini
(Lampiran 9 dalam kodifikasi ini).

Pelaporan
40 SE 6/18/DPNP Bank wajib menyampaikan laporan rencana perubahan Sistem Teknologi
2004 Informasi (TSI) yang menyangkut perubahan konfigurasi dan prosedur
Romawi III.1 pengoperasian komputer yang terkait dengan rencana penyelenggaraan
internet banking selambat‐lambatnya 60 (enam puluh) hari kalender
sebelum pelaksanaan. Format laporan mengacu kepada Format laporan
mengacu kepada Formulir Isian TSI yang merupakan lampiran dari Surat
Edaran Nomor 27/9/UPPB tanggal 31 Maret 1995.

41 SE 6/18/DPNP Bank yang menyelenggarakan aktivitas baru internet banking, wajib
2004 melaporkan secara tertulis kepada Bank Indonesia selambat‐lambatnya 7
Romawi III.2 (tujuh) hari kerja sejak aktivitas tersebut efektif dilaksanakan. Format
laporan mengacu kepada Surat Edaran Bank Indonesia Nomor 5/21/DPNP
tanggal 29 September 2003 (Lampiran 1 sampai dengan 7 dalam kodifikasi
ini) yang memuat :
a. Uraian singkat atau penjelasan dan bentuk flow chart dari Prosedur
Pelaksanaan (standar operating procedures/SOP) internet banking;
b. Bagan Organisasi dan kewenangan satuan kerja tertentu yang
melaksanakan internet banking;
c. Hasil analisis dan identifikasi satuan kerja manajemen risiko pada Bank
terhadap risiko yang melekat pada internet banking;
d. Hasil uji coba metode pengukuran dan pemantauan risiko yang melekat
pada internet banking yang dilaksanakan oleh satuan kerja manajemen
risiko pada Bank;
e. Uraian singkat mengenai Sistem Informasi Akuntansi untuk transaksi
yang dilakukan melalui internet banking, termasuk penjelasan singkat
mengenai keterkaitan sistem informasi akuntansi tersebut dengan
sistem informasi akuntansi Bank secara menyeluruh; dan
f. Hasil analisis aspek hukum untuk internet banking.

42 SE 6/18/DPNP Pelaksanaan kewajiban pelaporan sebagaimana dimaksud pada angka 2
2004 (Paragraf 41 dalam kodifikasi ini) dikecualikan dalam hal penyelenggaraan
Romawi III.3 aktivitas baru internet banking tersebut telah efektif dilaksanakan oleh
Bank sebelum Bank menyelesaikan action plan sebagaimana dimaksud
dalam ketentuan penerapan manajemen risiko.

43 SE 6/18/DPNP Bagi Bank yang dikecualikan untuk menyampaikan laporan sebagaimana
2004 dimaksud pada angka 3 (Paragraf 42 dalam kodifikasi ini), kewajiban untuk
Romawi III.4 menyampaikan laporan realisasi rencana perubahan TSI yang menyangkut
internet banking selambat‐lambatnya 30 (tiga puluh) hari kalender setelah
rencana dimaksud dilaksanakan.

44 SE 6/18/DPNP Bagi Bank yang dikecualikan untuk menyampaikan laporan sebagaimana
2004 angka 4 (Paragraf 43 dalam kodifikasi ini), kewajiban untuk menyampaikan
Romawi III.4 – 5 laporan realisasi rencana perubahan TSI yang menyangkut internet banking
selambat‐lambatnya 30 (tiga puluh) hari kalender setelah rencana dimaksud
dilaksanakan sebagaimana diatur dalam dalam Surat Keputusan Direksi
27


Bank Indonesia Nomor 27/164/KEP/DIR tanggal 31 Maret 1995 tentang
Penggunaa Teknologi Sistem Informasi oleh Bank tetap berlaku
Laporan sebagaimana tersebut di atas disampaikan kepada Bank Indonesia
dengan alamat:
a. Direktorat Pengawasan Bank terkait, Jl. M.H. Thamrin No.2, Jakarta
10110, bagi Bank yang berkantor pusat di wilayah Jabotabek; atau
b. Kantor Cabang Bank Indonesia setempat, bagi Bank yang berkantor
pusat di luar wilayah Jabotabek.

Lain‐Lain
45 SE 6/18/DPNP Guna meningkatkan efektivitas penerapan manajemen risiko, Bank wajib
2004 melakukan evaluasi dan audit secara berkala terhadap aktivitas internet
Romawi IV.1 banking dengan menggunakan auditor internal (Satuan Kerja Audit
Intern/SKAI) atau auditor eksternal.

46 SE 6/18/DPNP Apabila diperlukan, Bank Indonesia dapat melakukan pemeriksaan terhadap
2004 efektivitas dan kecukupan penerapan manajemen risiko khususnya yang
Romawi IV.2 berkaitan dengan aktivitas internet banking pada Bank.

Sanksi
47 SE 6/18/DPNP Pelanggaran atas kewajiban pelaporan sebagaimana dimaksud pada angka
2004 III.1 dan angka III.4 (Paragraf 40 dan Paragraf 43 dalam kodifikasi ini)
Romawi V.1 dikenakan sanksi administratif tentang Penggunaan Teknologi Sistem
Informasi oleh Bank.

48 SE 6/18/DPNP Pelanggaran atas kewajiban pelaporan sebagaimana dimaksud dalam angka
2004 angka III. 2 (Paragraf 41 dalam kodifikasi ini) dikenakan sanksi tentang
Romawi V.2 Penerapan Manajemen Risiko Bagi Bank Umum.

Penerapan Manajemen Risiko untuk Risiko Likuiditas
Umum
49 SE 11/16/DPNP 1. Salah satu Risiko yang dihadapi Bank dalam kegiatan usahanya adalah
2009 Risiko Likuiditas. Risiko Likuiditas merupakan Risiko akibat
Romawi I ketidakmampuan Bank untuk memenuhi kewajiban yang jatuh tempo
dari sumber pendanaan arus kas dan/atau dari aset likuid berkualitas
tinggi yang dapat diagunkan, tanpa mengganggu aktivitas dan kondisi
keuangan Bank.
2. Ketidakmampuan memperoleh sumber pendanaan arus kas sehingga
menimbulkan Risiko Likuiditas dapat disebabkan:
(1) ketidakmampuan menghasilkan arus kas yang berasal dari aset
produktif maupun yang berasal dari penjualan aset termasuk aset
likuid; dan/atau
(2) ketidakmampuan menghasilkan arus kas yang berasal dari
penghimpunan dana, transaksi antar Bank, dan pinjaman yang
diterima.
3. Ketidakmampuan Bank memperoleh pendanaan untuk memenuhi
kewajiban yang jatuh tempo akan menurunkan tingkat kepercayaan
masyarakat sehingga semakin meningkatkan Risiko Likuiditas, dan
selanjutnya dapat mempengaruhi aspek‐aspek keuangan lainnya yang
28


4. Mengingat permasalahan likuiditas sebagaimana dimaksud pada ayat 3
dapat memberikan dampak yang signifikan, maka Bank wajib
menerapkan Manajemen Risiko untuk Risiko Likuiditas secara efektif
baik secara individual maupun secara konsolidasi dengan Perusahaan
Anak.
5. Tujuan utama dari penerapan Manajemen Risiko untuk Risiko Likuiditas
adalah untuk memastikan kecukupan dana secara harian baik pada saat
kondisi normal maupun kondisi krisis dalam pemenuhan kewajiban
secara tepat waktu dari berbagai sumber dana yang tersedia, termasuk
memastikan ketersediaan aset likuid berkualitas tinggi.
6. Penerapan Manajemen Risiko untuk Risiko Likuiditas secara efektif
(1) pengawasan aktif Dewan Komisaris dan Direksi;
(2) kecukupan kebijakan, prosedur, dan penetapan limit Manajemen
Risiko;
(3) kecukupan proses identifikasi, pengukuran, pemantauan dan
pengendalian Risiko serta sistem informasi Manajemen Risiko;
(4) sistem pengendalian intern yang menyeluruh.
7. Penerapan Manajemen Risiko untuk Risiko Likuiditas harus terintegrasi
dengan penerapan Manajemen Risiko secara keseluruhan sesuai
ketentuan Bank Indonesia mengenai penerapan Manajemen Risiko bagi
Bank umum.
8. Dalam penerapan Manajemen Risiko untuk Risiko Likuiditas, Bank perlu
melakukan evaluasi profil Risiko Likuiditas yang dihadapi dikaitkan
dengan kecukupan modal.
9. Penerapan Manajemen Risiko untuk Risiko Likuiditas perlu diterapkan
pula dalam penetapan harga internal (internal pricing) dan pengukuran
kinerja masing‐masing unit bisnis sehingga insentif masing‐masing unit
bisnis dapat ditetapkan sejalan dengan eksposur Risiko Likuiditasnya.
10. Penerapan Manajemen Risiko untuk Risiko Likuiditas yang efektif dapat
meminimalkan Risiko Likuiditas yang terjadi pada satu Bank dan juga
meningkatkan stabilitas sistem perbankan secara keseluruhan.

Penerapan Manajemen Risiko Likuiditas
Pengawasan Aktif Dewan Komisaris dan Direksi
50 SE 11/16/DPNP Dalam rangka pelaksanaan pengawasan aktif, Dewan Komisaris dan Direksi
2009 harus memahami Risiko Likuiditas dan menyadari pentingnya penerapan
Romawi II.A.1 Manajemen Risiko untuk Risiko Likuiditas.

51 SE 11/16/DPNP Dewan Komisaris dan Direksi bertanggung jawab atas efektifitas penerapan
2009 Manajemen Risiko untuk Risiko Likuiditas.
Romawi II.A.2

52 SE 11/16/DPNP Dewan Komisaris paling kurang berwenang dan bertanggung jawab
2009 terhadap hal‐hal berikut:
Romawi II.A.3 a. melakukan persetujuan dan evaluasi berkala mengenai kebijakan dan
strategi yang terkait dengan Manajemen Risiko untuk Risiko Likuiditas
termasuk rencana pendanaan darurat (Contingency Funding Plan).
Evaluasi berkala dilakukan paling kurang 1 (satu) kali dalam 1 (satu)
29


tahun atau dalam frekuensi yang lebih tinggi dalam hal terdapat
perubahan faktor‐faktor yang mempengaruhi kegiatan usaha Bank
secara signifikan;
b. melakukan evaluasi untuk memastikan bahwa Direksi telah
menerapkan Manajemen Risiko untuk Risiko Likuiditas sesuai dengan
kebijakan dan strategi Bank.

53 SE 11/16/DPNP Direksi paling kurang berwenang dan bertanggung jawab terhadap hal‐hal
2009 berikut:
Romawi II.A.4 a. menyusun kebijakan, strategi, dan prosedur yang komprehensif terkait
penerapan Manajemen Risiko untuk Risiko Likuiditas dengan
mempertimbangkan toleransi Risiko dan memperhatikan dampaknya
terhadap permodalan;
b. menjabarkan dan mengkomunikasikan kebijakan, strategi, dan
prosedur Manajemen Risiko untuk Risiko Likuiditas kepada seluruh
satuan kerja terkait;
c. memastikan dan mengevaluasi penerapan Manajemen Risiko untuk
Risiko Likuiditas;
d. mengevaluasi kebijakan, strategi, dan prosedur terkait
penerapan Manajemen Risiko secara berkala;
e. melakukan evaluasi terhadap kondisi likuiditas Bank paling kurang 1
(satu) bulan sekali;
f. melakukan evaluasi segera terhadap kondisi likuiditas dan profil Risiko
Bank apabila terjadi perubahan yang signifikan antara lain atas kondisi‐
kondisi berikut:
1) peningkatan biaya penghimpunan dana;
2) peningkatan konsentrasi aset atau kewajiban;
3) peningkatan liquidity gap;
4) keterbatasan alternatif sumber pendanaan;
5) pelampauan yang material terhadap limit;
6) penurunan signifikan pada portofolio aset likuid berkualitas tinggi;
dan/atau
7) perubahan kondisi pasar yang dapat menyebabkan permasalahan
di masa datang;
g. melakukan penyesuaian kebijakan dan strategi Manajemen Risiko
untuk Risiko Likuiditas yang diperlukan berdasarkan hasil evaluasi
sebagaimana dimaksud pada huruf e dan f;
h. menyampaikan laporan kepada Dewan Komisaris yang paling kurang
mencakup:
1) hasil evaluasi secara berkala terhadap kondisi likuiditas
sebagaimana dimaksud pada huruf e;
2) hasil evaluasi terhadap kondisi likuiditas sebagaimana dimaksud
pada huruf f; dan
3) penyesuaian kebijakan dan strategi sebagaimana dimaksud pada
huruf g.

30


Kebijakan, Prosedur, dan Penetapan Limit
54 SE 11/16/DPNP Dalam menetapkan kebijakan mengenai Manajemen Risiko untuk Risiko
2009 Likuiditas, termasuk penetapan strategi dan limit Manajemen Risiko, Bank
Romawi II.B.1 wajib menyesuaikan kebijakan tersebut dengan visi, misi, strategi bisnis,
tingkat Risiko yang akan diambil (risk appetite), kecukupan permodalan,
kemampuan sumber daya manusia, dan kapasitas pendanaan Bank secara
keseluruhan.

55 SE 11/16/DPNP Kebijakan sebagaimana dimaksud pada angka 1 (Paragraf 54 dalam
2009 kodifikasi ini) dan prosedur Manajemen Risiko harus dikomunikasikan
Romawi II.B.2 kepada seluruh satuan kerja Bank yang aktivitasnya berdampak pada
likuiditas, agar dapat diterapkan dalam melakukan kegiatan operasional.

56 SE 11/16/DPNP Kebijakan dan prosedur tersebut paling kurang meliputi hal‐hal sebagai
2009 berikut:
Romawi II.B.3 a. kewenangan dan tanggung jawab manajemen likuiditas, antara lain
alur yang jelas mengenai kewenangan, tanggung jawab, dan pelaporan
terkait dengan Manajemen Risiko untuk Risiko Likuiditas termasuk
menugaskan dan memberikan kewenangan kepada satuan kerja
tertentu untuk menentukan pasar, instrumen, serta transaksi dengan
pihak lawan yang memenuhi kriteria (eligible counterparty);
b. komposisi aset dan kewajiban;
c. diversifikasi dan kestabilan sumber pendanaan;
d. penetapan jenis dan alokasi aset yang diklasifikasikan sebagai aset
likuid berkualitas tinggi;
e. manajemen likuiditas pada berbagai jenis valuta, berbagai wilayah, dan
lini bisnis;
f. manajemen likuiditas harian termasuk intrahari;
g. manajemen likuiditas intragroup (kelompok usaha);
h. penetapan indikator yang merupakan indikator peringatan dini (early
warning indicator) untuk Risiko Likuiditas;
i. penetapan limit;
j. penerapan stress testing;
k. sistem informasi Manajemen Risiko dan sistem lain yang secara
memadai diperlukan untuk identifikasi, pengukuran, pemantauan, dan
pengendalian Risiko Likuiditas termasuk pelaporan likuiditas;
l. rencana pendanaan darurat (contingency funding plan), antara lain
yang menjelaskan mengenai pendekatan dan strategi dalam
menghadapi kondisi krisis yang berdampak pada likuiditas.

57 SE 11/16/DPNP Kebijakan manajemen likuiditas intragroup antara lain meliputi pengaturan
2009 atas likuiditas intragroup, termasuk penentuan pendekatan yang digunakan
Romawi II.B.4 (sentralisasi atau desentralisasi), ketergantungan likuiditas intragroup,
mekanisme, jenis, dan limit penyediaan dana intragroup (misalnya
pemberian committed dan uncommitted line).
Termasuk sebagai intragroup adalah perusahaan‐perusahaan lain yang
berada dalam satu kelompok usaha dengan Bank baik Bank sebagai
perusahaan induk, perusahaan anak, maupun Bank sebagai perusahaan
dalam kelompok usaha.

31


58 SE 11/16/DPNP Penetapan indikator peringatan dini sebagaimana dimaksud pada angka 3
2009 huruf h (Paragraf 56 huruf h dalam kodifikasi ini) antara lain bertujuan
Romawi II.B.5 untuk mengidentifikasi dan sebagai dasar menentukan tindak lanjut untuk
memitigasi eksposur Risiko Likuiditas.

59 SE 11/16/DPNP Indikator peringatan dini meliputi indikator internal dan indikator
2009 eksternal.
Romawi II.B.6

60 SE 11/16/DPNP Indikator internal antara lain meliputi kualitas aset yang memburuk,
2009 peningkatan konsentrasi pada beberapa aset dan sumber pendanaan
Romawi II.B.7 tertentu, peningkatan currency mismatches, pengulangan terjadinya
pelampauan limit, peningkatan biaya dana secara keseluruhan, dan/atau
posisi arus kas yang semakin buruk sebagai akibat maturity mismatch yang
besar terutama pada skala waktu jangka pendek.
Indikator eksternal antara lain meliputi informasi publik yang negatif
terhadap Bank, penurunan hasil peringkat oleh lembaga pemeringkat,
penurunan harga saham Bank secara terus menerus, penurunan fasilitas
credit line yang diberikan oleh bank koresponden, peningkatan penarikan
deposito sebelum jatuh tempo, dan/atau keterbatasan akses untuk
memperoleh pendanaan jangka panjang.

61 SE 11/16/DPNP Penetapan limit sebagaimana dimaksud pada angka 3 huruf I (Paragraf 56
2009 huruf i dalam kodifikasi ini) harus diimplementasikan secara konsisten
Romawi II.B.8 guna mengendalikan eksposur dan konsentrasi Risiko Likuiditas.

62 SE 11/16/DPNP Limit yang ditetapkan harus konsisten dan relevan dengan bisnis Bank,
2009 kompleksitas aktivitas, toleransi Risiko, karakteristik produk, valuta, pasar
Romawi II.B.9 di mana Bank tersebut aktif melakukan transaksi, data historis, tingkat
profitabilitas, dan modal yang tersedia.

63 SE 11/16/DPNP Limit dimaksud juga harus sesuai dengan rencana pendanaan darurat
2009 (contingency funding plan) untuk memastikan bahwa rencana pendanaan
Romawi II.B.10 darurat tersebut diterapkan secara efektif.

64 SE 11/16/DPNP Penetapan limit dapat meliputi antara lain limit mismatch arus kas baik
2009 dalam jangka pendek maupun jangka panjang termasuk arus kas yang
Romawi II.B.11 berasal dari posisi rekening administratif, limit konsentrasi pada aset dan
kewajiban, pinjaman overnight, dan rasio‐rasio likuiditas lainnya.

65 SE 11/16/DPNP Penetapan limit tidak hanya digunakan untuk mengelola likuiditas harian
2009 pada kondisi normal namun juga harus meliputi limit agar Bank dapat terus
Romawi II.B.12 beroperasi pada periode krisis baik krisis pasar secara umum maupun krisis
yang spesifik bagi Bank atau kombinasi keduanya.

66 SE 11/16/DPNP Kebijakan, prosedur, dan proses penetapan limit harus didokumentasikan
2009 secara tertulis dan lengkap sehingga memudahkan untuk dilakukan jejak
Romawi II.B.13 audit (audit trail).

32


67 SE 11/16/DPNP Kebijakan dan prosedur serta limit harus dievaluasi dan dikinikan secara
2000 berkala atau sewaktu‐waktu dalam hal terjadi perubahan kondisi yang
Romawi II.B.14 signifikan.

Proses Identifikasi, Pengukuran, Pemantauan, dan Pengendalian
Identifikasi
68 SE 11/16/DPNP Bank wajib melakukan identifikasi Risiko Likuiditas, baik eksposur Risiko
2009 saat ini maupun yang akan timbul di masa datang. Identifikasi Risiko
Romawi II.C.1 Likuiditas merupakan proses yang berkelanjutan dan harus dilakukan
secara berkala.
1. Dalam rangka melakukan identifikasi Risiko Likuiditas, Bank harus
melakukan analisis terhadap seluruh sumber Risiko Likuiditas.
Sumber Risiko Likuiditas meliputi:
1) Produk dan aktivitas perbankan yang dapat mempengaruhi sumber
dan penggunaan dana baik pada posisi aset dan kewajiban maupun
rekening administratif; dan
2) Risiko‐Risiko lain yang dapat meningkatkan Risiko Likuiditas,
misalnya Risiko Kredit, Risiko Pasar dan Risiko Operasional.
2. Analisis terhadap seluruh sumber Risiko Likuiditas dilakukan untuk
mengetahui jumlah dan tren kebutuhan likuiditas, serta sumber
pendanaan yang tersedia untuk memenuhi kebutuhan tersebut.

Pengukuran
69 SE 11/16/DPNP 1. Bank wajib memiliki alat pengukuran yang dapat mengkuantifikasi
2009 Risiko Likuiditas secara tepat waktu dan komprehensif.
Romawi II.C.2.a – 2. Alat pengukuran tersebut paling kurang meliputi:
d 1) Proyeksi arus kas, yaitu proyeksi seluruh arus kas masuk dan arus kas
keluar termasuk kebutuhan pendanaan untuk memenuhi komitmen
dan kontinjensi pada transaksi rekening administratif;
2) Rasio likuiditas, yaitu rasio keuangan yang menggambarkan indikator
likuiditas dan/atau mengukur kemampuan Bank untuk memenuhi
kewajiban jangka pendek;
3) Profil maturitas, yaitu pemetaan posisi aset, kewajiban, dan rekening
administratif ke dalam skala waktu tertentu (maturity buckets)
berdasarkan sisa jangka waktu sampai dengan jatuh tempo
(remaining maturity); dan
4) Stress testing, yaitu pengujian yang dilakukan dengan menggunakan
skenario tertentu terhadap posisi likuiditas Bank dalam kondisi krisis.
3. Pendekatan pada setiap alat pengukuran Risiko Likuiditas yang
digunakan Bank, harus disesuaikan dengan kompleksitas aktivitas bisnis
dan profil Risiko Bank.
Dalam hal Bank melakukan kegiatan usaha yang lebih kompleks, maka
Bank harus menggunakan pendekatan pengukuran yang bersifat
simulasi dan lebih dinamis yang didasarkan pada berbagai asumsi. Bank
dapat dikatakan melakukan kegiatan usaha yang kompleks jika Bank
antara lain melakukan transaksi treasuri secara aktif termasuk transaksi
derivatif, memiliki atau menawarkan produk terstruktur (structured
product).
33


4. Pengukuran Risiko Likuiditas Bank harus didokumentasikan dan
dievaluasi secara berkala atau sewaktu‐waktu apabila diperlukan, untuk
memastikan kewajaran, akurasi, dan integritas data.

70 SE 11/16/DPNP Pengukuran dengan menggunakan proyeksi arus kas sebagaimana
2009 dimaksud pada huruf b angka 1) (Paragraf 69 ayat 2 angka 1) dalam
Romawi II.C.2.e kodifikasi ini) dilakukan dengan ketentuan sebagai berikut:
1) Proyeksi arus kas menyajikan arus kas yang berasal dari aset,
kewajiban, dan rekening adminisitratif serta kegiatan usaha lainnya
dan dipetakan ke dalam skala waktu berdasarkan asumsi yang
digunakan. Asumsi juga digunakan untuk menghitung arus kas dari
posisi likuiditas yang memiliki jatuh tempo secara kontraktual.
2) Proyeksi arus kas harus disusun paling kurang setiap bulan dengan
periode proyeksi sesuai kebutuhan Bank dengan memperhatikan
struktur aset, kewajiban, dan rekening administratif, yang paling
kurang meliputi periode 1 (satu) bulan. Pembagian periode proyeksi
arus kas ke dalam skala waktu disesuaikan dengan Laporan Profil
Maturitas.
3) Cakupan pos aset, kewajiban, dan rekening administratif dalam
proyeksi arus kas disesuaikan dengan struktur aset, kewajiban, dan
rekening administratif masing‐masing Bank. Dalam hal Bank memiliki
posisi likuiditas dalam valuta asing, maka Bank harus menyusun
proyeksi arus kas dalam valuta asing.
4) Faktor‐faktor yang dipertimbangkan dalam menentukan asumsi
antara lain karakteristik produk, perilaku pihak lawan (counterparty)
dan/atau nasabah, dan kondisi pasar serta pengalaman historis.
5) Penetapan asumsi harus dilakukan secara realistis, yang antara lain
terkait dengan hal‐hal berikut:
a) perpanjangan jangka waktu aset dan kewajiban;
b) persetujuan kredit baru dan perolehan dana nasabah;
c) perilaku aset dan kewajiban (asset and liability behaviour) yang
tidak memiliki jatuh tempo, misalnya pola transaksi giro atau
tabungan yang tidak memiliki jatuh tempo;
d) perilaku aset (asset behaviour) yang memiliki fitur tertentu
seperti opsi pelunasan dini (prepayment option);
e) pembelian dan/atau penjualan aset termasuk aset likuid;
f) perkiraan penarikan dan penerimaan dari rekening administratif,
antara lain komitmen kredit, L/C, dan bank garansi;
g) akses pada sumber‐sumber pendanaan, antara lain pinjaman
antar Bank, pendanaan antar perusahaan dalam kelompok usaha
Bank (intragroup), dan fasilitas pinjaman siaga (standby facility);
h) asumsi lainnya yang relevan, antara lain diskon (haircut) pada
penjualan aset.
6) Asumsi yang digunakan dalam penyusunan proyeksi arus kas harus
disetujui oleh pihak yang memiliki kewenangan sesuai kebijakan
internal Bank, didokumentasikan, dan dievaluasi secara berkala atau
sewaktu‐waktu apabila diperlukan. Evaluasi dilakukan dengan
mempertimbangkan antara lain perubahan kondisi pasar, faktor
persaingan antar Bank, dan perubahan perilaku pihak lawan dan/atau
nasabah Bank.

34


71 SE 11/16/DPNP Pengukuran dengan menggunakan rasio likuiditas sebagaimana dimaksud
2009 pada huruf b angka 2) (Paragraf 69 ayat 2 angka 2) dalam kodifikasi ini)
Romawi II.C.2.f dilakukan dengan ketentuan sebagai berikut:
1) Penetapan rasio likuiditas yang digunakan untuk mengukur RIsiko
Likuiditas harus disesuaikan dengan strategi bisnis, toleransi Risiko,
dan kinerja masa lalu.
2) Untuk memperoleh gambaran mengenai kondisi actual likuiditas Bank,
hasil pengukuran dengan menggunakan rasio perlu dianalisis dengan
memperhatikan informasi kualitatif yang relevan.
Informasi kualitatif antara lain informasi mengenai kemungkinan
terjadi peningkatan penarikan deposito sebelum jatuh tempo,
penurunan fasilitas kredit, dan perubahan volume transaksi.

72 SE 11/16/DPNP Pengukuran dengan menggunakan profil maturitas sebagaimana dimkasud
2009 pada huruf b angka 3) (Paragraf 69 ayat 2 angka 3) dalam kodifikasi ini)
Romawi II.C.2.g dilakukan dengan ketentuan sebagai berikut:
1) Profil maturitas menyajikan pos‐pos asset, kewajiban, dan rekening
administratif yang dipetakan ke dalam skala waktu berdasarkan sisa
waktu sampai dengan jatuh tempo sesuai kontrak dan/atau
berdasarkan asumsi khususnya untuk pos neraca dan rekening
administratif yang tidak memiliki jatuh tempo kontraktual (non
maturity items). Penyusunan profil maturitas bertujuan untuk
mengidentifikasi terjadinya gap likuiditas dalam skala waktu tertentu.
2) Profil maturitas harus disusun paling kurang setiap bulan baik dalam
rupiah maupun valuta asing. Apabila Bank memiliki posisi likuiditas
dalam berbagai valuta asing dengan jumlah yang signifikan, dalam hal
diperlukan untuk keperluan internal, Bank dapat menyusun profil
maturitas dalam masing‐masing valuta asing dimaksud.
3) Faktor‐faktor yang dipertimbangkan dalam menentukan asumsi untuk
mengestimasi pos neraca dan rekening administratif yang tidak
memiliki jatuh tempo kontraktual antara lain karakteristik produk,
perilaku pihak lawan dan/atau nasabah, dan kondisi pasar serta
pengalaman historis.
4) Asumsi yang digunakan dalam penyusunan profil maturitas harus
disetujui oleh pihak yang memiliki kewenangan sesuai kebijakan
internal Bank, didokumentasikan, dan dievaluasi secara berkala atau
sewaktu‐waktu apabila diperlukan. Evaluasi dilakukan dengan
mempertimbangkan antara lain perubahan kondisi pasar, faktor
persaingan antar Bank, dan perubahan perilaku pihak lawan dan/atau
nasabah Bank.

73 SE 11/16/DPNP Pengukuran dengan menggunakan stress test sebagaimana dimaksud pada
2009 Pragraf 69 ayat 2 angka 4) dilakukan dengan ketentuan sebagai berikut:
Romawi II.C.2h 1) Stress test harus dapat menggambarkan kemampuan Bank untuk
memenuhi kebutuhan likuiditas dalam kondisi krisis, yang didasarkan
pada berbagai skenario.
2) Penetapan cakupan dan frekuensi stress test harus sesuai dengan skala
dan kompleksitas usaha, serta eksposur Risiko Likuiditas Bank, dengan
ketentuan sebagai berikut:
a) Stress test harus dilakukan dengan menggunakan skenario stress
secara spesifik pada Bank (bank‐specific stress scenario) maupun
35


stress pada pasar (general market stress scenario) dengan
mempertimbangkan berbagai faktor yang antara lain meliputi
berbagai jenis peristiwa yang telah atau berpotensi menyebabkan
kondisi krisis likuiditas, durasi peristiwa tersebut, dan kedalaman
(severity) permasalahan yang ditimbulkan peristiwa tersebut.
b) Dalam menetapkan skenario untuk stress test, Bank menggunakan
skenario yang bersifat historis (historical scenario) dan/atau
hipotesis (hyphotetical scenario) dengan mempertimbangkan
aktivitas bisnis dan kerentanan Bank.
c) Stress test juga dapat dilakukan dengan menggunakan skenario:
(1) krisis yang melanda suatu negara tertentu (country‐specific
crisis) yang dapat berdampak pada Bank, antara lain karena
Bank memiliki jaringan operasi yang signifikan di negara
tersebut; atau
(2) krisis yang terjadi atas suatu instrumen keuangan atau produk
tertentu yang dapat berdampak pada Bank yang memiliki
eksposur pada suatu instrumen keuangan atau produk
tertentu, misalnya produk terstruktur (structured product).
d) Stress test harus memperhitungkan implikasi skenario pada
berbagai jangka waktu yang berbeda, termasuk secara harian.
e) Stress test dengan menggunakan skenario stress secara spesifik
pada Bank (bank‐specific stress scenario) paling kurang dilakukan 1
(satu) kali dalam 3 (tiga) bulan, atau dalam rentang waktu yang
lebih pendek jika Bank mengalami potensi peningkatan Risiko
Likuiditas yang signifikan dan/atau atas permintaan Bank Indonesia.
f) Stress test dengan menggunakan skenario stress pada pasar
(general market stress scenario) paling kurang dilakukan 1 (satu)
kali dalam 1 (satu) tahun, atau dalam rentang waktu yang lebih
pendek jika Bank menganggap bahwa kondisi krisis yang terjadi
dapat menyebabkan Bank terekspos pada Risiko Likuiditas yang
tidak dapat ditolerir dan/atau atas permintaan Bank Indonesia.
3) Skenario stress secara spesifik pada Bank (bank‐specific stress scenario),
yang dapat digunakan antara lain:
a) penurunan peringkat Bank oleh lembaga pemeringkat;
b) penarikan dana besar‐besaran;
c) peningkatan kredit bermasalah;
d) hambatan dalam memperoleh pendanaan dengan atau tanpa
jaminan (secured atau unsecured);
e) keterbatasan dalam melakukan transaksi pertukaran (konversi)
valuta tertentu;
f) gangguan/kegagalan sistem yang mendukung operasional Bank.
4) Skenario stress pada pasar (general market stress scenario) yang dapat
digunakan antara lain:
a) perubahan indikator ekonomi, misalnya tingkat inflasi, perubahan
suku bunga, dan/atau depresiasi/apresiasi valuta;
b) perubahan kondisi pasar, baik lokal maupun global, misalnya
mengeringnya likuiditas pasar, penurunan harga saham, dan/atau
pelebaran rentang antara kuotasi beli dan jual (bid and ask spread).
5) Dalam melakukan stress test, Bank harus mempertimbangkan faktor‐
faktor berikut:
36


a) kemungkinan perubahan perilaku pihak lawan dan/atau nasabah
yang dapat mempengaruhi arus kas;
b) kemungkinan perubahan perilaku dari pelaku pasar lainnya sebagai
respon dari kondisi krisis di pasar.
6) Berdasarkan jenis skenario sebagaimana dimaksud pada angka 2) huruf
a) dan kedalaman permasalahan dalam skenario serta faktor‐faktor
sebagaimana dimaksud pada angka 5), Bank harus mengembangkan
asumsi‐asumsi stress test secara konservatif dan mempertimbangkan
kesesuaian dari asumsi‐asumsi tersebut, yang antara lain meliputi:
a) likuiditas pasar dari aset Bank dan tingkat diskon (haircut) yang
mempengaruhi penurunan nilai aset likuid;
b) penurunan sumber pendanaan baik dari sisi jumlah maupun jenis;
c) jumlah pendanaan dari pasar dengan atau tanpa agunan (secured
atau unsecured);
d) penambahan margin call dan/atau agunan;
e) jumlah klaim kontijensi dan penarikan fasilitas komitmen oleh
pihak lawan dan/atau nasabah;
f) kebutuhan likuiditas yang terkait dengan produk/transaksi yang
kompleks;
g) besarnya tingkat penurunan peringkat Bank;
h) jumlah pendanaan intragroup;
i) ketersediaan jaminan untuk memperoleh fasilitas likuiditas dari
pihak lain;
j) pertumbuhan neraca di masa yang akan datang.
7) Dalam mengidentifikasi dan menganalisis faktor‐faktor yang dapat
berdampak secara signifikan terhadap posisi likuiditas, Bank dapat
melakukan analisis senstivitas atas hasil stress test untuk asumsi‐asumsi
tertentu sehingga dapat diperoleh informasi tambahan mengenai
tingkat kerentanan Bank terhadap faktor‐faktor tertentu.
8) Bank harus mendokumentasikan seluruh skenario, asumsi, dan hasil
stress test, serta melakukan evaluasi untuk memastikan kesesuaian
dengan kondisi Bank, dengan memperhatikan antara lain hal‐hal
berikut:
a) Perubahan jenis, skala, dan kompleksitas usaha Bank;
b) Perubahan kondisi pasar;
c) Pengalaman Bank dalam kondisi krisis.
9) Dalam melakukan stress test untuk Risiko Likuiditas, Bank harus
mempertimbangkan hasil penilaian yang dilakukan terhadap jenis Risiko
lainnya (antara lain Risiko Pasar, Risiko Kredit, Risiko Reputasi) dan
menganalisis kemungkinan interaksi dengan berbagai jenis Risiko
tersebut.
10) Terhadap hasil stress test, Bank harus mempertimbangkan hal‐hal
berikut:
a) menyesuaikan kebijakan dan strategi Manajemen Risiko untuk
Risiko Likuiditas, serta posisi likuiditas sejalan dengan hasil stress
test;
b) mengembangkan atau menyempurnakan rencana pendanaan
darurat (contingency funding plan) yang efektif dengan
berdasarkan hasil stress test;

37


c) menggunakan hasil stress test secara eksplisit dalam penetapan
limit.
11) Hasil stress test dan tindak lanjut atas stress test tersebut harus
dilaporkan kepada dan dievaluasi oleh Direksi.

Pemantauan
74 SE 11/16/DPNP Bank harus memantau posisi likuiditas dan Risiko Likuiditas antara lain
2009 melalui hasil pengukuran Risiko Likuiditas termasuk kepatuhan terhadap
Romawi II.C.3.a limit yang ditetapkan.

75 SE 11/16/DPNP Pemantauan sebagaimana dimaksud pada huruf a (Paragraf 74 dalam
2009 kodifikasi ini) harus memperhatikan indikator peringatan dini untuk
Romawi II.C.3.b mengetahui potensi peningkatan Risiko Likuiditas.

76 SE 11/16/DPNP Pemantauan harus dilakukan oleh pegawai atau unit yang tidak terkait
2009 dengan pegawai atau unit yang menangani pendanaan.
Romawi II.C.3.c

77 SE 11/16/DPNP Hasil pemantauan digunakan sebagai dasar penentuan tindak lanjut bagi
2009 Bank untuk memitigasi eksposur Risiko Likuiditas dan melakukan
Romawi II.C.3.d penyesuaian yang diperlukan secara tepat waktu terhadap strategi
manajemen likuiditas Bank.

78 SE 11/16/DPNP Hasil pemantauan disajikan dalam laporan berkala yang disampaikan
2009 kepada pihak yang berkepentingan sebagaimana diatur dalam kebijakan
Romawi II.C.3.e internal Bank.

Pengendalian
79 SE 11/16/DPNP Pengendalian Risiko Likuiditas dilakukan melalui strategi pendanaan,
2009 pengelolaan posisi likuiditas dan Risiko Likuiditas harian, pengelolaan posisi
Romawi II.C.4 likuiditas dan Risiko Likuiditas intragroup, pengelolaan aset likuid
berkualitas tinggi, dan rencana pendanaan darurat.

Strategi Pendanaan
80 SE 11/16/DPNP 1) Strategi pendanaan mencakup strategi diversifikasi sumber dan jangka
2009 waktu pendanaan yang dikaitkan dengan karakteristik dan rencana
Romawi II.C.4.a bisnis Bank.
2) Diversifikasi dilakukan berdasarkan counterparty, dana dengan atau
tanpa jaminan (secured dan unsecured), jenis instrumen, jenis valuta,
dan lokasi geografis pasar sumber pendanaan.
3) Bank harus mengidentifikasi dan memantau faktor‐faktor utama yang
mempengaruhi kemampuannya untuk memperoleh dana, termasuk
mengidentifikasi dan memantau alternatif sumber pendanaan yang
dapat memperkuat kapasitasnya untuk bertahan pada kondisi krisis.
Alternatif sumber pendanaan tersebut, antara lain:
a) penerbitan instrumen hutang jangka pendek dan jangka panjang;
b) transfer intragroup;
c) penambahan modal baru;

38


d) penjualan perusahaan anak/bisnis tertentu;
e) sekuritisasi aset;
f) repo aset likuid atau penjualan aset;
g) penarikan fasilitas siaga (standby facility);
h) fasilitas likuiditas lainnya.
4) Bank harus melakukan evaluasi terhadap strategi pendanaan secara
berkala dengan memperhatikan perubahan internal maupun eksternal.
5) Untuk memastikan Manajemen Risiko untuk Risiko Likuiditas yang
efektif, Bank harus memelihara akses pasar, termasuk sumber likuiditas
pada masing‐masing valuta asing bagi Bank yang aktif melakukan
transaksi pada berbagai valuta asing.
6) Pemeliharaan akses pasar sebagaimana dimaksud pada angka 5) dapat
meliputi:
a) memperluas pasar untuk penjualan aset atau meningkatkan jumlah
fasilitas siaga dengan atau tanpa agunan (secured atau unsecured);
b) berpartisipasi aktif pada pasar yang relevan dengan strategi
pendanaan Bank;
c) memelihara hubungan yang baik dengan penyedia dana sehingga
dapat melakukan diversifikasi sumber dana dengan baik.
7) Bank harus memiliki analisis mengenai dampak gangguan pasar pada
kondisi krisis, dan mempertimbangkannya dalam strategi pendanaan.

Pengelolaan Posisi Likuiditas dan Risiko Likuiditas Harian
81 SE 11/16/DPNP 1) Pengelolaan secara aktif atas posisi likuiditas dan Risiko Likuiditas
2009 harian bertujuan untuk memenuhi kewajiban setiap saat sepanjang hari
Romawi II.C.4.b (intrahari) secara tepat waktu baik pada kondisi normal maupun kondisi
krisis dengan memprioritaskan kewajiban yang kritikal.
2) Dalam memenuhi tujuan tersebut, Bank harus menganalisis perubahan
posisi likuiditas yang terjadi akibat pembayaran dan/atau penerimaan
dana sepanjang hari.
3) Dalam mengelola posisi likuiditas dan Risiko Likuiditas harian, Bank
paling kurang harus memiliki kemampuan untuk melakukan hal‐hal
berikut:
a) mengestimasi arus kas masuk dan keluar pada setiap waktu
sepanjang hari dan memprediksi kebutuhan pendanaan yang
mungkin terjadi pada setiap waktu sepanjang hari. Dalam melakukan
estimasi tersebut, Bank harus:
(1) memahami mekanisme sistem pembayaran dan sistem setelmen;
(2) mengidentifikasi pihak lawan utama termasuk bank koresponden
dan kustodian yang terkait dengan sumber arus kas masuk atau
keluar;
(3) mengidentifikasi waktu dan kondisi dimana arus kas dan/atau
kebutuhan pendanaan meningkat; dan
(4) memahami bisnis yang mendasari arus kas dan/atau kebutuhan
pendanaaan dari setiap unit bisnis maupun nasabah utama
Bank.
b) memantau posisi likuiditas intrahari sehingga dapat membantu Bank
mengalokasikan likuiditas secara efisien di antara kebutuhan Bank
dan kebutuhan nasabah Bank.

39


c) mengupayakan pendanaan intrahari yang memadai untuk
memenuhi kebutuhan intrahari.
d) melakukan pengelolaan aset berkualitas tinggi yang dapat dijadikan
agunan untuk memperoleh dana intrahari.
4) Dalam mengelola posisi likuiditas dan Risiko Likuiditas harian, Bank
harus menyusun proyeksi arus kas setiap hari baik dalam rupiah
maupun valuta asing yang paling kurang mencakup proyeksi untuk
jangka waktu satu minggu yang akan datang dan disajikan secara
harian. Penyusunan proyeksi arus kas tersebut disusun oleh unit yang
melakukan kegiatan treasuri.

Pengelolaan Posisi Likuiditas dan Risiko Likuiditas Intragroup
82 SE 11/16/DPNP 1) Dalam pengelolaan posisi likuiditas dan Risiko Likuiditas intragroup,
2009 Bank harus memperhitungkan dan menganalisis:
Romawi II.C.4.c a) kebutuhan pendanaan perusahaan dalam kelompok usaha Bank
yang dapat mempengaruhi kondisi likuiditas Bank; dan
b) kendala/hambatan untuk mengakses likuiditas intragroup.
2) Dalam hal Bank menyediakan dukungan likuiditas kepada perusahaan
dalam kelompok usaha Bank, misalnya dalam bentuk garansi atau
fasilitas pinjaman yang dapat ditarik sewaktu‐waktu jika diperlukan,
Bank harus memastikan bahwa dukungan likuiditas tersebut
diperhitungkan dalam pengukuran Risiko Likuiditas.

Pengelolaan Aset Likuid Berkualitas Tinggi
83 SE 11/16/DPNP 1) Bank harus memiliki aset likuid berkualitas tinggi dengan jumlah yang
2009 cukup dan komposisi yang disesuaikan dengan karakterisitik bisnis dan
Romawi II.C.4.d profil Risiko Likuiditas.
2) Bank harus mengelola aset sebagaimana dimaksud pada angka 1) untuk
memenuhi kebutuhan likuiditas intrahari, jangka pendek, dan jangka
panjang.
3) Bank harus melakukan evaluasi terhadap seluruh posisi aset
sebagaimana dimaksud pada angka 1), termasuk aset yang telah diikat
sebagai agunan dan aset yang tersedia untuk dijadikan agunan.
4) Bank harus memantau aset dan komposisi aset sebagaimana dimaksud
pada angka 1), termasuk ketersediaan pasar aktif dan kemudahan
penjualan/pengagunan serta waktu yang dibutuhkan untuk proses
pengagunan.
5) Bank harus memiliki prosedur operasional untuk mengagunkan atau
menyerahkan agunan kepada pihak lawan, bank koresponden, bank
kustodian, dan/atau Bank Indonesia.
6) Dalam hal Bank telah mengagunkan aset likuid berkualitas tinggi yang
dimiliki, Bank harus memantau level agunan yang telah diagunkan dan
memahami prosedur dan waktu yang dibutuhkan untuk memperoleh
kembali agunan tersebut.
7) Bank harus mempertimbangkan potensi gangguan pada operasional
dan likuiditas yang dapat meningkatkan kebutuhan tambahan agunan.
8) Bank yang melakukan transaksi derivatif harus mempertimbangkan
potensi kebutuhan deposit/collateral tambahan sebagai dampak
perubahan posisi pasar atau perubahan pada credit rating atau posisi
keuangan Bank.
40


Rencana Pendanaan Darurat /Contingency Funding Plan (CFP)
84 SE 11/16/DPNP 1) Bank harus memiliki rencana pendanaan darurat / contingency funding
2009 plan (CFP) untuk menangani permasalahan likuiditas dalam berbagai
Romawi II.C.4.e kondisi krisis.
2) Rencana pendanaan darurat harus disesuaikan dengan tingkat profil
Risiko, hasil stress test, kompleksitas usaha, cakupan bisnis dan struktur
organisasi, serta peran Bank dalam sistem keuangan.
3) Rencana pendanaan darurat meliputi kebijakan, strategi, prosedur, dan
4) rencana tindak (action plan) untuk memastikan kemampuan Bank
memperoleh sumber pendanaan yang diperlukan secara tepat waktu
dan dengan biaya yang wajar.
5) Rencana pendanaan darurat sebagaimana dimaksud pada angka 3)
a) penetapan indikator dan/atau peristiwa yang digunakan untuk
mengidentifikasi terjadinya kondisi krisis;
b) mekanisme pemantauan dan pelaporan internal Bank mengenai
indikator sebagaimana dimaksud pada huruf a) secara berkala;
c) strategi dalam menghadapi berbagai kondisi krisis dan prosedur
pengambilan keputusan untuk melakukan tindakan atas perubahan
perilaku dan pola arus kas yang menyebabkan defisit arus kas;
d) strategi untuk memperoleh dukungan pendanaan (back‐up
liquidity) dalam kondisi krisis dengan mempertimbangkan biaya
serta dampaknya terhadap modal serta berbagai aspek penting
lainnya yang antara lain mencakup:
(1) sumber pendanaan utama, jumlah yang tersedia atau dapat
diperoleh, dan waktu yang diperlukan untuk memperoleh dana
tersebut;
(2) kemungkinan ketersediaan back‐up liquidity dan prakondisi
penggunaan dana tersebut;
(3) alternatif pendanaan lainnya pada saat back‐up liquidity yang
dimiliki tidak dapat digunakan.
(4) dampak kondisi krisis di pasar pada kemampuan Bank untuk
menjual, mengagunkan, dan/atau melakukan sekuritisasi aset;
(5) kemampuan Bank untuk memperoleh fasilitas likuiditas lainnya;
e) koordinasi manajerial (line of command) yang paling kurang
mencakup:
(1) penetapan pihak yang berwenang dan bertanggung jawab
untuk melakukan identifikasi terjadinya kondisi krisis;
(2) pembentukan tim khusus (contingency crisis team) dan/atau
penunjukan pihak yang bertanggung jawab sebagai koordinator
dan pelaksana dalam pelaksanaan rencana pendanaan darurat;
(3) penetapan dan pembagian wewenang dan tanggung jawab
yang jelas dalam pelaksanaan rencana pendanaan darurat
sehingga setiap anggota memahami perannya dalam kondisi
krisis; dan
(4) penetapan strategi dan prosedur komunikasi baik kepada pihak
internal yang meliputi komunikasi antar satuan kerja, maupun
eksternal Bank termasuk pihak media dan nasabah dalam hal
terdapat pemberitaan atau publikasi negatif;

41


f) prosedur pelaporan internal untuk memastikan ketersediaan
berbagai informasi yang diperlukan secara tepat waktu dalam
rangka pengambilan keputusan oleh manajemen; dan
g) prosedur untuk menetapkan prioritas hubungan dengan nasabah
termasuk debitur, kreditur, dan pihak‐pihak lawan dalam transaksi
rekening administratif untuk mengatasi permasalahan likuiditas
dalam kondisi krisis;
6) Rencana pendanaan darurat harus didokumentasikan, dievaluasi,
dikinikan, dan diuji secara berkala untuk memastikan tingkat keandalan;
7) Pengujian rencana pendanaan darurat dilakukan untuk mengetahui
tingkat kemampuan Bank memperoleh dana dari pihak lawan yang ada
atau dari pasar, dengan berbagai skenario.
Pengujian rencana pendanaan darurat dapat dilakukan dengan
berbagai pendekatan antara lain:
a) menguji kemampuan Bank untuk memperoleh likuiditas dalam
jumlah yang memadai, tepat waktu dan dengan biaya yang wajar
antara lain melalui penggunaan credit line secara berkala, menjual
aset keuangan dan/atau melakukan transaksi repo atas aset
keuangan tertentu, memperoleh pinjaman tanpa agunan dan/atau
jaminan, dan memperoleh pinjaman yang bukan overnight.
b) melakukan simulasi terhadap efektivitas jalur komunikasi, baik
dilingkup internal maupun eksternal;
c) menguji kemampuan untuk memperoleh informasi yang diperlukan
manajemen secara tepat waktu.

85 SE 11/16/DPNP Bank harus memiliki sistem informasi Manajemen Risiko yang memadai
2009 dan andal untuk mendukung pelaksanaan proses identifikasi, pengukuran,
Romawi II.C.5.a pemantauan, dan pengendalian, serta pelaporan Risiko Likuiditas dalam
kondisi normal dan kondisi krisis secara lengkap, akurat, kini, dan utuh.

86 SE 11/16/DPNP Sistem informasi Manajemen Risiko harus dapat menyediakan informasi
2009 terkini dan tepat waktu mengenai Risiko Likuiditas kepada Dewan
Romawi II.C.5.b Komisaris, Direksi, dan satuan kerja yang terkait dalam penerapan
Manajemen Risiko untuk Risiko Likuiditas.
Sistem informasi Manajemen Risiko harus dapat menyediakan informasi
paling kurang mengenai:
1) arus kas dan profil maturitas dari aset, kewajiban, dan rekening
administratif;
2) kepatuhan terhadap kebijakan, strategi, dan prosedur Manajemen
Risiko untuk Risiko Likuiditas termasuk limit dan rasio likuditas;
3) laporan profil Risiko dan trend likuiditas untuk kepentingan
manajemen secara tepat waktu; dan
4) informasi yang dapat digunakan untuk keperluan stress testing.

87 SE 11/16/DPNP Sistem informasi Manajemen Risiko dan informasi yang dihasilkan dapat
2009 disesuaikan dengan karakteristik, kegiatan usaha, dan kompleksitas bisnis
Romawi II.C.5.c Bank.

42


88 SE 11/16/DPNP Informasi yang dihasilkan oleh sistem informasi Manajemen Risiko meliputi
2009 antara lain:
Romawi II.C.5d 1) posisi dan valuasi portofolio aset likuid berkualitas tinggi;
2) konsentrasi sumber pendanaan;
3) aset dan kewajiban serta tagihan dan kewajiban off balance sheet, yang
bersifat tidak stabil (volatile);
4) proyeksi arus kas dan profil maturitas;
5) analisa arus kas dan ketersediaan akses pendanaan;
6) kepatuhan terhadap strategi dan limit yang telah ditetapkan;
7) kemampuan untuk meminjam atau melakukan penjualan aset pada
berbagai pasar;
8) kapasitas penyedia standby facilities untuk memenuhi komitmen;
9) dampak dari penurunan kualitas aset, gangguan operasional, atau
gangguan di pasar terhadap arus kas di masa datang dan kepercayaan
pasar.

89 SE 11/16/DPNP Sistem informasi Manajemen Risiko harus mendukung pelaksanaan
2009 pelaporan kepada Bank Indonesia.
Romawi II.C.5.e

Sistem Pengendalian Intern
90 SE 11/16/DPNP Bank harus memiliki sistem pengendalian intern yang memadai untuk
2009 memastikan integritas, efektifitas, dan kewajaran dari proses Manajemen
Romawi II.D.1 Risiko untuk Risiko Likuiditas.

91 SE 11/16/DPNP Bank harus melakukan evaluasi atas penerapan Manajemen Risiko untuk
2009 Risiko Likuiditas. Evaluasi dimaksud meliputi:
Romawi II.D.2 a. kepatuhan pada kebijakan dan prosedur pengelolaan likuiditas;
b. kecukupan sistem dan prosedur untuk melakukan identifikasi,
pengukuran, pemantauan, dan pengendalian Risiko Likuiditas;
c. efektivitas proses pelaksanaan identifikasi, pengukuran, pemantauan,
dan pengendalian Risiko Likuiditas secara berkala;
d. integritas laporan sistem informasi Manajemen Risiko.

92 SE 11/16/DPNP Kelemahan dan permasalahan yang teridentifikasi dalam evaluasi
2009 sebagaimana dimaksud pada angka 2 (Paragraf 91 dalam kodifikasi ini)
Romawi II.D.3 harus dilaporkan kepada pihak yang bertanggung jawab dan
ditindaklanjuti.

93 SE 11/16/DPNP Bank harus memastikan bahwa pihak yang melakukan evaluasi
2009 sebagaimana dimaksud pada angka 2 (Paragraf 91 dalam kodifikasi ini)
Romawi II.D.4 adalah pihak intern yang independen dan memiliki kompetensi yang
memadai.

Pelaporan
94 SE 11/16/DPNP Dalam rangka pemantauan likuiditas, Bank wajib menyampaikan kepada
2009 Bank Indonesia:
Romawi IV.A 1. Laporan Proyeksi Arus Kas dalam rangka pengelolaan posisi likuiditas
dan Risiko Likuiditas harian sebagaimana dimaksud pada butir
II.C.4.b.4 (Paragraf 81 ayat 4 dalam kodifikasi ini); dan
2. Laporan Profil Maturitas, baik dalam rupiah maupun valuta asing.

43


95 SE 11/16/DPNP Laporan Proyeksi Arus Kas sebagaimana dimaksud pada huruf A angka 1
2009 (Paragraf 94 angka 1 dalam kodifikasi ini) mencakup data proyeksi arus kas
Romawi IV.B selama 1 (satu) minggu berikutnya yang dipetakan secara harian. Laporan
tersebut disampaikan secara mingguan yaitu setiap hari Jumat sesuai
dengan format internal Bank.
Contoh: Bank wajib menyampaikan Laporan Proyeksi Arus Kas pada hari
Jumat tanggal 3 Juli 2009 yang mencakup proyeksi arus kas hari Senin
tanggal 6 Juli 2009 sampai dengan hari Jumat tanggal 10 Juli 2009.
Dalam hal hari Jumat jatuh pada hari libur, maka laporan disampaikan pada
hari kerja sebelumnya.

96 SE 11/16/DPNP Format Laporan Proyeksi Arus Kas sebagaimana dimaksud pada huruf B
2009 (Paragraf 95 dalam kodifikasi ini) mencakup paling kurang pos‐pos neraca
Romawi IV.C dan pos‐pos rekening administratif yang memiliki transaksi yang signifikan
sesuai dengan karakteristik, kegiatan usaha, dan kompleksitas Bank serta
harus dilakukan secara konsisten. Bank Indonesia dapat meminta Bank
untuk menyesuaikan format Laporan Proyeksi Arus Kas yang disampaikan
kepada Bank Indonesia.
Dalam hal Bank mengubah format Laporan Proyeksi Arus Kas yang
disampaikan kepada Bank Indonesia, Bank wajib menginformasikan alasan
perubahan tersebut kepada Bank Indonesia.

97 SE 11/16/DPNP Laporan Profil Maturitas sebagaimana dimaksud pada huruf A angka 2
2009 (Paragraf 94 angka 2 dalam kodifikasi ini) disampaikan kepada Bank
Huruf D Angka Indonesia secara bulanan dengan cakupan dan format sesuai Lampiran 1
Romawi IV.D Surat Edaran Bank Indonesia ini (Lampiran 7 dalam kodifikasi ini). Laporan
tersebut disampaikan sesuai dengan ketentuan Bank Indonesia yang
mengatur mengenai Laporan Berkala Bank Umum.

98 SE 11/16/DPNP Laporan Proyeksi Arus Kas dan Laporan Profil Maturitas disampaikan
2009 kepada Bank Indonesia secara on‐line yaitu:
Romawi IV.E 1. Laporan Proyeksi Arus Kas melalui Laporan Kantor Pusat Bank Umum
(LKPBU);
2. Laporan Profil Maturitas melalui Laporan Berkala Bank Umum (LBBU).

99 SE 11/16/DPNP Selama Laporan Proyeksi Arus Kas belum dapat disampaikan secara on‐line
2009 melalui LKPBU, laporan tersebut wajib disampaikan secara off‐line oleh
Romawi IV.F Bank kepada Bank Indonesia dengan alamat sebagai berikut:
1. Direktorat Pengawasan Bank, Jl. M.H. Thamrin No. 2, Jakarta 10350,
bagi Bank yang berkantor pusat di wilayah kerja Kantor Pusat Bank
Indonesia; atau
2. Kantor Bank Indonesia, bagi Bank yang berkantor pusat di luar wilayah
kerja Kantor Pusat Bank Indonesia.

100 SE 11/16/DPNP Selama format Laporan Profil Maturitas dalam LBBU belum sesuai dengan
2009 format pada Lampiran 1 Surat Edaran Bank Indonesia ini (Lampiran 7 dalam
Romawi IV.G kodiifkasi ini), Bank tetap wajib menyampaikan Laporan Profil Maturitas
sesuai dengan ketentuan Bank Indonesia yang mengatur mengenai Laporan
Berkala Bank Umum yang berlaku.

44


101 SE 11/16/DPNP Selain penyampaian laporan yang diwajibkan sebagaimana dimaksud pada
2009 huruf A (Paragraf 94 dalam kodifikasi ini), Bank Indonesia dalam kondisi
Romawi IV.H tertentu dapat mewajibkan Bank untuk menyampaikan laporan yang
terkait dengan penerapan Manajemen Risiko untuk Risiko Likuiditas diluar
waktu yang ditetapkan dan/atau laporan lain selain yang wajib disampaikan
secara berkala. Contoh laporan lain selain yang wajib disampaikan secara
berkala adalah laporan proyeksi arus kas dalam rangka pengukuran Risiko
sebagaimana dimaksud pada butir II.C.2.b.1 (Paragraf 69 ayat 2 angka 1
dalam kodifikasi ini) dan laporan stress testing sebagaimana dimaksud pada
butir II.C.2.b.4 (Paragraf 69 ayat 2 angka 4 dalam kodifikasi ini).

Sanksi
102 SE 11/16/DPNP 1. Pelanggaran terhadap dalam Surat Keputusan Direksi Bank Indonesia
2009 Nomor 27/164/KEP/DIR tanggal 31 Maret 1995 tentang Penggunaan
Romawi V Teknologi Sistem Informasi oleh Bank tetap berlaku.dikenakan sanksi
sesuai Peraturan tentang Penerapan Manajemen Risiko bagi Bank
Umum.
2. Pelanggaran terhadap pemenuhan kewajiban penyampaian laporan,
selain dikenakan sanksi sesuai ayat 1, juga dikenakan sanksi sesuai
ketentuan Bank Indonesia yang mengatur mengenai Laporan Kantor
Pusat Bank Umum dan Laporan Berkala Bank Umum yang berlaku.

Aktivitas Berkaitan dengan Reksa Dana
Umum
103 SE 7/19/DPNP 1. Dengan semakin meningkatnya keterlibatan Bank dalam aktivitas yang
2005 berkaitan dengan Reksa Dana maka disadari bahwa aktivitas tersebut
Romawi I selain memberikan manfaat juga berpotensi menimbulkan berbagai
risiko bagi Bank diantaranya risiko pasar, risiko kredit, risiko likuiditas,
risiko hukum dan risiko reputasi. Sehubungan dengan itu, Bank perlu
meningkatkan penerapan manajemen risiko secara efektif dengan
melakukan prinsip kehati‐hatian dan melindungi kepentingan nasabah.
2. Aktivitas Bank yang berkaitan dengan Reksa Dana meliputi Bank sebagai
investor, Bank sebagai Agen Penjual Efek Reksa Dana dan Bank sebagai
Bank Kustodian.
Aktivitas Bank sebagai investor merupakan aktivitas investasi Bank
dalam Reksa Dana termasuk dalam hal Bank sebagai sponsor. Yang
dimaksud dengan sponsor adalah aktivitas investasi Bank dalam Reksa
Dana sebagai penempatan dana awal dengan jumlah dan jangka waktu
sesuai ketentuan otoritas pasar modal.

Aktivitas Bank sebagai Agen Penjual Efek Reksa Dana adalah aktivitas
Bank dalam rangka mewakili perusahaan efek sebagai Manajer Investasi
untuk menjual efek Reksa Dana yang dilaksanakan oleh pegawai Bank
yang memiliki izin Wakil Agen Penjual Reksa Dana untuk menjual efek
Reksa Dana.

Aktivitas Bank sebagai Bank Kustodian Reksa Dana merupakan aktivitas
Bank dalam melaksanakan penitipan kolektif, menyimpan dan
45


mengadministrasikan kekayaan Reksa Dana, mengadministrasikan/
mencatat mutasi unit penyertaan serta jasa lain termasuk menghitung
Nilai Aktiva Bersih, menyelesaikan transaksi, menerima dividen, bunga
dan hak‐hak lain.

3. Bank yang melakukan aktivitas yang berkaitan dengan Reksa Dana wajib
mematuhi ketentuan yang berlaku di bidang perbankan dan pasar
modal.
4. Dalam rangka melindungi kepentingan nasabah, Bank yang bertindak
sebagai Agen Penjual Efek Reksa Dana wajib menerapkan transparansi
informasi produk dengan menyediakan informasi baik secara tertulis
maupun lisan.

Penerapan Manajemen Risiko secara Umum
104 SE 7/19/DPNP Dalam rangka mendukung penerapan manajemen risiko yang efektif, hal‐
2005 hal utama yang wajib dilakukan Bank adalah:
Romawi II.A.1 1. memastikan bahwa Manajer Investasi yang menjadi mitra dalam
aktivitas yang berkaitan dengan Reksa Dana telah terdaftar dan
memperoleh izin dari otoritas pasar modal sesuai ketentuan yang
berlaku;
2. memastikan bahwa Reksa Dana yang bersangkutan telah memperoleh
pernyataan efektif dari otoritas pasar modal sesuai ketentuan yang
berlaku;
3. mengidentifikasi, mengukur, memantau dan mengendalikan risiko
yang timbul atas aktivitas yang berkaitan dengan Reksa Dana.

105 SE 7/19/DPNP Dalam rangka melaksanakan prinsip kehati‐hatian, Bank dilarang
2005 melakukan tindakan baik secara langsung maupun tidak langsung yang
Romawi II.A.2 mengakibatkan Reksa Dana memiliki karakteristik seperti produk Bank
misalnya tabungan atau deposito. Tindakan–tindakan yang dilarang
tersebut antara lain meliputi:
1. memberikan jaminan atas:
1) pelunasan (redemption) Reksa Dana;
2) kepastian besarnya imbal hasil Reksa Dana termasuk nilai aktiva
bersih,
baik secara langsung maupun tidak langsung;
2. membuat komitmen untuk membeli sewaktu‐waktu (stand by buyer)
aset yang mendasari Reksa Dana baik secara langsung maupun tidak
langsung;
3. melakukan intervensi pengelolaan portofolio efek Reksa Dana yang
dilakukan oleh Manajer Investasi.

Penerapan Manajemen Risiko untuk masing‐masing Aktivitas
Bank sebagai Investor Reksa Dana
106 SE 7/19/DPNP 1. Sesuai Peraturan tentang Penilaian Kualitas Aktiva Bank Umum, Bank
2005 dilarang memiliki Aktiva Produktif dalam bentuk saham dan atau Surat
Romawi II.B.1 Berharga yang dihubungkan atau dijamin dengan aset tertentu yang
mendasari (underlying reference asset) yang berbentuk saham. Dengan
46


demikian maka Bank dilarang melakukan investasi pada Reksa Dana
dengan aset yang mendasari berbentuk saham.

2. Dalam melakukan investasi dalam Reksa Dana, Bank wajib memastikan
bahwa investasi tersebut memenuhi ketentuan kehati‐hatian yang
berlaku antara lain:
1) memperhatikan kemampuan dan kondisi keuangan Bank serta
kebijakan, strategi, dan pedoman investasi internal Bank;
2) pada saat pembelian, Reksa Dana yang bersangkutan memenuhi
kriteria lancar sesuai ketentuan yang berlaku tentang Penilaian
Kualitas Aktiva Bank Umum;
3) tidak melanggar Batas Maksimum Pemberian Kredit sesuai dengan
ketentuan yang berlaku;
4) diperhitungkan dalam kewajiban penyediaan modal minimum
dengan memperhitungkan risiko pasar.

3. Dalam rangka memastikan kualitas Reksa Dana digolongkan lancar
sebagaimana dimaksud dalam ayat 2 angka 2),sebelum melakukan
aktivitas sebagai investor, Bank wajib melakukan analisis yang memadai
terhadap Reksa Dana dan Manajer Investasi yang meliputi:
1) kualitas (peringkat) Reksa Dana atau kualitas (peringkat) aset yang
mendasari Reksa Dana;
2) kualitas Manajer Investasi dengan penekanan antara lain terhadap:
a) kinerja, likuiditas dan reputasi Manajer Investasi; dan
b) diversifikasi portofolio yang dimiliki Manajer Investasi.

4. Bank wajib memantau eksposur risiko dari aktivitas Bank yang berkaitan
dengan Reksa Dana secara berkala yakni dengan memantau
perkembangan dan pengelolaan Reksa Dana maupun melakukan
penilaian terhadap Manajer Investasi sebagai berikut:
1) pemantauan terhadap perkembangan dan pengelolaan Reksa Dana
yang dilakukan oleh Manajer Investasi antara lain meliputi:
a) konsistensi kebijakan portofolio Reksa Dana dengan prospektus;
b) kualitas (peringkat) Reksa Dana atau kualitas (peringkat) aset
yang mendasari Reksa Dana;
c) pengelolaan likuiditas;
d) prinsip keterbukaan kepada publik;
e) penerapan prinsip kehati‐hatian sesuai ketentuan otoritas pasar
modal.
2) penilaian terhadap Manajer Investasi dilakukan dengan penekanan
antara lain hal‐hal sebagai berikut:

Bank sebagai Agen Penjual Efek Reksa Dana
107 SE 7/19/DPNP 1. Bank hanya dapat melakukan aktivitas sebagai Agen Penjual Efek Reksa
2005 Dana melalui pegawai Bank yang telah memperoleh izin sebagai Wakil
Romawi II.B.2 Agen Penjual Efek Reksa Dana sesuai ketentuan yang berlaku. Pegawai
Bank yang menjadi Wakil Agen Penjual Efek Reksa Dana tersebut harus
47


mendapat penugasan secara khusus dari Bank yang bertindak untuk
dan atas nama Bank.
2. Bank maupun pegawai Bank yang telah memperoleh izin sebagai Wakil
Agen Penjual Efek Reksa Dana dilarang bertindak sebagai Sub Agen
Penjual Efek Reksa Dana atau mengalihkan fungsi Agen Penjual Efek
Reksa Dana kepada pihak lain.
3. Reksa Dana yang dapat dijual oleh Bank sebagai Agen Penjual Efek
Reksa Dana adalah Reksa Dana yang sesuai dengan definisi dan kriteria
yang diatur dalam ketentuan yang berlaku tentang Pasar Modal di
Indonesia.
4. Aktivitas sebagai Agen Penjual Efek Reksa Dana wajib didasarkan pada
suatu perjanjian tertulis yang menyatakan secara jelas fungsi,
wewenang dan tanggung jawab Bank sebagai Agen Penjual Efek Reksa
Dana.
Dalam menyusun perjanjian kerjasama tertulis, Bank wajib
memperhatikan antara lain hal‐hal sebagai berikut:
1) kejelasan hak dan kewajiban masing – masing pihak;
2) penetapan secara jelas jangka waktu perjanjian kerjasama;
3) penetapan klausula yang memuat kondisi batalnya perjanjian
kerjasama termasuk klausula yang memungkinkan Bank
menghentikan kerjasama sebelum berakhirnya jangka waktu
perjanjian;
4) kejelasan penyelesaian hak dan kewajiban masing‐masing pihak
apabila perjanjian kerjasama berakhir;
5) dalam rangka memenuhi kewajiban Bank Kustodian memberikan
konfirmasi atas investasi nasabah, perlu ditetapkan klausula
mengenai kewajiban Agen Penjual Efek Reksa Dana untuk
memberikan informasi data nasabah kepada Manajer Investasi
maupun Bank Kustodian serta klausula bahwa seluruh data nasabah
hanya dapat digunakan untuk kepentingan aktivitas yang berkaitan
dengan Reksa Dana yang bersangkutan.
5. Bank wajib melakukan pemantauan terhadap perkembangan dan
pengelolaan Reksa Dana maupun melakukan penilaian terhadap
Manajer Investasi sebagai berikut:
1) pemantauan terhadap perkembangan dan pengelolaan Reksa Dana
yang dilakukan oleh Manajer Investasi antara lain meliputi:
a) konsistensi kebijakan portofolio Reksa Dana dengan prospektus;
b) pengelolaan likuiditas.
2) penilaian terhadap Manajer Investasi dilakukan dengan penekanan
antara lain hal‐hal sebagai berikut:
6. Dalam rangka melindungi kepentingan nasabah, Bank wajib:
1) melakukan analisis dalam memilih Reksa Dana yang akan
ditawarkan antara lain dengan mempertimbangkan kinerja, reputasi
dan keahlian Manajer Investasi serta karakteristik Reksa Dana
seperti reputasi pihak yang bertindak sebagai sponsor Reksa Dana,
kebijakan investasi, komposisi, diversifikasi dan kualitas (peringkat)
Reksa Dana atau kualitas (peringkat) aset yang mendasari Reksa
Dana;
48


2) memberikan informasi yang transparan kepada nasabah sesuai
ketentuan yang berlaku mengenai Transparansi Informasi Produk
Bank dan Penggunaan Data Pribadi Nasabah.
7. Dalam memberikan informasi yang transparan kepada nasabah
sebagaimana dimaksud dalam ayat 6 angka 2), Bank wajib menyediakan
informasi tertulis dalam bahasa Indonesia secara lengkap dan jelas
serta menyampaikannya kepada nasabah secara tertulis dan atau lisan,
antara lain:
1) Reksa Dana merupakan produk pasar modal dan bukan produk
Bank serta Bank tidak bertanggung jawab atas segala tuntutan dan
risiko atas pengelolaan portofolio Reksa Dana;
2) investasi pada Reksa Dana bukan merupakan bagian dari simpanan
pihak ketiga pada Bank dan tidak termasuk dalam cakupan obyek
program penjaminan Pemerintah atau penjaminan simpanan;
3) informasi mengenai Manajer Investasi yang mengelola Reksa Dana;
4) informasi mengenai Bank Kustodian serta penjelasan bahwa
konfirmasi atas investasi nasabah akan diterbitkan oleh Bank
Kustodian tersebut;
5) jenis Reksa Dana dan risiko yang melekat pada produk Reksa Dana
termasuk kemungkinan kerugian nilai investasi yang akan diderita
oleh nasabah akibat berfluktuasinya Nilai Aktiva Bersih sesuai
kondisi pasar dan kualitas aset yang mendasari;
6) kebijakan investasi serta komposisi portofolio;
7) biaya‐biaya yang timbul berkaitan dengan investasi pada Reksa
Dana.
8. Pada setiap dokumen terkait dengan Reksa Dana yang dibuat oleh Bank,
wajib dicantumkan secara jelas dan mudah dibaca kalimat:
1) “Bank sebagai Agen Penjual Efek Reksa Dana”;
2) “Reksa Dana adalah produk pasar modal dan bukan merupakan
produk Bank sehingga tidak dijamin oleh Bank serta tidak termasuk
dalam cakupan obyek program penjaminan Pemerintah atau
penjaminan simpanan”.
9. Bank sebagai Agen Penjual Efek Reksa Dana dilarang menerbitkan
konfirmasi atas investasi yang dilakukan oleh nasabah.
10. Dalam aktivitas sebagai Agen Penjual Efek Reksa Dana, Bank wajib
menerapkan prinsip mengenal nasabah (know your customer principles)
sebagaimana diatur dalam ketentuan yang berlaku.
Dalam hal ini Bank wajib menetapkan kebijakan dan prosedur
penerapan prinsip mengenal nasabah bagi nasabah pembeli Reksa Dana
yang mencakup:
1) penerimaan nasabah termasuk verifikasi yang lebih ketat
(enhanced due diligence) untuk high risk customer;
2) identifikasi nasabah;
3) pemantauan transaksi nasabah;
4) identifikasi dan pelaporan transaksi keuangan yang mencurigakan.

Bank sebagai Bank Kustodian
108 SE 7/19/DPNP 1. Aktivitas sebagai Bank Kustodian wajib didasarkan pada suatu
2005 perjanjian tertulis. Dalam menyusun perjanjian kerjasama tertulis, Bank
Romawi II.B.3 wajib memperhatikan antara lain hal‐hal sebagai berikut:
49


1) kejelasan hak dan kewajiban masing–masing pihak;
2) kejelasan penyelesaian hak dan kewajiban masing‐masing pihak
apabila perjanjian kerjasama berakhir;
3) dalam rangka memenuhi kewajiban Bank Kustodian memberikan
konfirmasi atas investasi nasabah, perlu ditetapkan klausula
mengenai hak Bank Kustodian untuk memperoleh data nasabah
dari Manajer Investasi maupun Agen Penjual Efek Reksa Dana serta
klausula bahwa seluruh data nasabah hanya dapat digunakan
untuk kepentingan aktivitas yang berkaitan dengan Reksa Dana
yang bersangkutan.
2. Sesuai ketentuan otoritas pasar modal, Bank Kustodian dilarang
terafiliasi dengan Manajer Investasi.
3. Bank wajib mengadministrasikan dan mencatat efek yang dititipkan
secara tersendiri dan terpisah dari aset dan kewajiban Bank.
4. Dalam menerbitkan konfirmasi atas investasi nasabah, Bank sebagai
Bank Kustodian dilarang mendelegasikan kewajibannya kepada pihak
lain termasuk kepada Agen Penjual Efek Reksa Dana.
5. Dalam melakukan aktivitas sebagai Bank Kustodian, Bank wajib
menerapkan prinsip mengenal nasabah sebagaimana diatur dalam
ketentuan yang berlaku.
6. Dalam hal Bank yang melakukan aktivitas sebagai Bank Kustodian juga
melakukan aktivitas sebagai Agen Penjual Efek Reksa Dana, maka Bank
wajib memastikan antara lain hal‐hal sebagai berikut:
1) mempunyai dan menerapkan sistem pengendalian intern secara
efektif, termasuk adanya prinsip pemisahan fungsi (segregation of
duties) antara lain pejabat dan pegawai Bank yang berfungsi
sebagai Bank Kustodian berada pada unit kerja yang terpisah dari
unit kerja yang berfungsi sebagai Agen Penjual Efek Reksa Dana;
2) memastikan adanya verifikasi dan kaji ulang secara berkala dan
berkesinambungan terhadap penanganan kelemahan‐kelemahan
yang bersifat material pada aktivitas sebagai Bank Kustodian dan
Agen Penjual Efek Reksa Dana serta terdapat tindakan untuk
memperbaiki penyimpangan‐penyimpangan yang terjadi;
3) menghindari pemberian wewenang dan tanggung jawab yang
dapat menimbulkan berbagai benturan kepentingan (conflict of
interest);
4) pihak yang menandatangani atau mengesahkan konfirmasi atas
investasi nasabah adalah hanya dari unit kerja Bank Kustodian.
Dalam hal ini Bank wajib menunjuk dan menetapkan pejabat dan
atau pegawai yang berwenang melakukan hal tersebut.

Rencana dan Pelaporan
Bank yang pertama kali akan melaksanakan aktivitas sebagai
Agen Penjual Efek Reksa Dana atau Bank Kustodian
109 SE 11/36/DPNP 1. Bank wajib mencantumkan rencana pelaksanaan aktivitas baru sebagai
2009 Agen Penjual Efek Reksa Dana atau Bank Kustodian dalam Rencana
Romawi IV.A Bisnis Bank untuk tahun yang sama dengan rencana pelaksanaan
aktivitas tersebut. Kewajiban menyusun Rencana Bisnis Bank mengacu
pada ketentuan Bank Indonesia yang berlaku mengenai rencana bisnis
Bank Umum. Format pencantuman rencana pelaksanaan aktivitas baru
50


sebagai Agen Penjual Efek Reksa Dana atau Bank Kustodian dalam
Rencana Bisnis Bank mengacu pada Lampiran 1 Surat Edaran Bank
Indonesia ini (Lampiran 10 dalam kodifikasi ini).
2. Bank yang telah memenuhi ketentuan pada ayat 1, wajib
menyampaikan laporan pelaksanaan aktivitas baru kepada Bank
Indonesia yang terdiri dari:
a. Laporan rencana pelaksanaan aktivitas baru sebagai Agen Penjual
Efek Reksa Dana atau Bank Kustodian; dan
b. Laporan realisasi pelaksanaan aktivitas baru sebagai Agen Penjual
Efek Reksa Dana atau Bank Kustodian.
3. Penyampaian laporan rencana pelaksanaan aktivitas baru sebagai Agen
Penjual Efek Reksa Dana atau Bank Kustodian, sebagaimana dimaksud
pada ayat 2 huruf a dilakukan sebagai berikut:
a. Untuk aktivitas sebagai Agen Penjual Efek Reksa Dana terdiri dari 2
(dua) laporan, yaitu:
1) Laporan Rencana Menjadi Agen Penjual Efek Reksa Dana
a) Laporan wajib disampaikan paling lambat 60 (enam puluh)
hari sebelum pelaksanaan aktivitas sebagai Agen Penjual
Efek Reksa Dana.
b) Laporan sebagaimana dimaksud pada huruf a), paling
kurang memuat hal‐hal terkait dengan aktivitas sebagai
Agen Penjual Efek Reksa Dana sebagai berikut:
(1) informasi umum yang antara lain memuat
tujuan, gambaran potensial nasabah, analisa kekuatan,
kelemahan, peluang, dan ancaman (Strengths,
Weaknesses, Opportunities, Threats/SWOT);
(2) analisa manfaat dan biaya (cost and benefits analysis);
(3) prosedur pelaksanaan (standard operating
procedure/SOP), organisasi dan kewenangan
pelaksanaan dengan memperhatikan pengaturan
penerapan Manajemen Risiko pada butir II.B.2
(Paragraf 107 dalam kodifikasi ini).
(4) kesiapan sumber daya manusia paling kurang mengacu
pada persyaratan pada butir II.B.2.a (Paragraf 107 ayat
1 dalam kodifikasi ini);
(5) kesiapan Bank terkait sistem informasi;
(6) rencana kebijakan dan prosedur terkait dengan
penerapan program Anti Pencucian Uang dan
Pencegahan Pendanaan Teroris (APU dan PPT) dengan
mengacu pada pengaturan butir II.B.2.j (Paragraf 107
ayat 10 dalam kodifikasi ini);
(7) hasil analisa aspek hukum dan aspek kepatuhan;
(8) penilaian Bank atas kesiapan sebagai Agen Penjual
Efek Reksa Dana; dan
(9) Surat Tanda Terdaftar sebagai Agen Penjual Efek Reksa
Dana yang dikeluarkan oleh Badan Pengawas Pasar
Modal dan Lembaga Keuangan (BAPEPAM‐LK).
Dalam hal Surat Tanda Terdaftar belum diterbitkan,
maka Bank dapat menyampaikan kepada Bank
51


Indonesia fotokopi bukti permohonan pendaftaran
sebagai Agen Penjual Efek Reksa Dana kepada
BAPEPAM‐LK.
Selanjutnya, setelah BAPEPAM‐LK menerbitkan Surat
Tanda Terdaftar sebagai Agen Penjual Efek Reksa
Dana, maka Bank wajib menyampaikannya kepada
Bank Indonesia sebagai kelengkapan dokumen.
c) Format Laporan Rencana Menjadi Agen Penjual Efek Reksa
Dana mengacu pada Lampiran 2 Surat Edaran Bank
Indonesia ini (Lampiran 11 dalam kodifikasi ini).
d) Bank Indonesia menyampaikan surat penegasan terhadap
rencana menjadi Agen Penjual Efek Reksa Dana setelah
seluruh persyaratan dipenuhi dan dokumen pelaporan
diterima secara lengkap oleh Bank Indonesia.
2) Laporan Rencana Penjualan Efek Reksa Dana
a) Laporan wajib disampaikan paling lambat 45 (empat
puluh lima) hari sebelum pelaksanaan penjualan efek Reksa
Dana.
b) Laporan sebagaimana dimaksud pada huruf a), paling
kurang memuat hal‐hal terkait dengan rencana penjualan
efek Reksa Dana sebagai berikut:
(1) informasi umum terkait efek Reksa Dana paling kurang
meliputi: jenis, bentuk Reksa Dana, dan komposisi
underlying asset, serta prospektus;
(2) penilaian terhadap manajer investasi mengacu pada
butir II.A.1.a dan butir II.B.2.e.2) (Paragraf 104 ayat 1
dan Paragraf 107 ayat 5 angka 2 dalam kodifikasi ini);
(3) dokumen dalam rangka transparansi kepada nasabah
yang meliputi antara lain: brosur, leaflet, dan/atau
formulir aplikasi dengan mengacu pada butir II.B.2.f.2),
butir II.B.2.g, dan butir II.B.2.h (Paragraf 107 ayat 6
angka 2), ayat 7, dan ayat 8 dalam kodifikasi ini);
(4) Manajemen Risiko yang meliputi identifikasi,
pengukuran, pemantauan, dan pengendalian
terhadap Risiko yang melekat atas aktivitas sebagai
Agen Penjual Efek Reksa Dana;
(5) dokumen yang terkait dengan aktivitas sebagai Agen
Penjual Efek Reksa Dana antara lain draft final
perjanjian antara Bank dengan pihak‐pihak yang
terkait dengan penjualan efek Reksa Dana dengan
mengacu pada butir II.B.2.d (Paragraf 107 ayat 4
dalam kodifikasi ini);
(6) Surat Efektif Pernyataan Pendaftaran Reksa Dana yang
dikeluarkan oleh BAPEPAM‐LK.
Dalam hal Surat Efektif Pernyataan Pendaftaran Reksa
Dana belum diterbitkan, maka Bank dapat
menyampaikan kepada Bank Indonesia fotokopi bukti
permohonan Pernyataan Pendaftaran Reksa Dana
kepada BAPEPAM‐LK. Selanjutnya, setelah BAPEPAM‐
LK menerbitkan Surat Efektif Pernyataan Pendaftaran
52


Reksa Dana, maka Bank wajib menyampaikannya
kepada Bank Indonesia sebagai kelengkapan dokumen.
c) Format Laporan Rencana Penjualan Efek Reksa Dana
mengacu pada Lampiran 3 Surat Edaran Bank Indonesia ini
d) Bank Indonesia menyampaikan surat penegasan terhadap
rencana penjualan efek Reksa Dana setelah seluruh
persyaratan dipenuhi dan dokumen pelaporan diterima
secara lengkap oleh Bank Indonesia.
Surat penegasan Bank Indonesia tersebut merupakan
penegasan bahwa dari aspek Manajemen Risiko, Bank
dinilai mampu untuk menerapkan Manajemen Risiko yang
memadai atas aktivitas penjualan efek Reksa Dana.
e) Setelah mendapat surat penegasan dari Bank Indonesia
terhadap rencana menjadi Agen Penjual Efek Reksa Dana
sebagaimana dimaksud dalam butir IV.A.3.a.1).d) Paragraf
109 ayat 3 huruf a.1).d) dalam kodifikasi ini) dan mendapat
surat penegasan dari Bank Indonesia terhadap rencana
penjualan efek Reksa Dana sebagaimana dimaksud dalam
butir IV.A.3.a.2).d) (Paragraf 109 ayat 3 huruf a.2).d) dalam
kodifikasi ini), Bank dapat melakukan aktivitas sebagai Agen
Penjual Efek Reksa Dana.
b. Untuk aktivitas sebagai Bank Kustodian, penyampaian laporan
rencana pelaksanaan aktivitas baru sebagai Bank Kustodian
dilakukan sebagai berikut:
(1) Laporan wajib disampaikan paling lambat 60 (enam puluh) hari
sebelum pelaksanaan aktivitas.
(2) Laporan sebagaimana dimaksud pada angka 1), paling kurang
memuat informasi dan penjelasan dalam rangka pelaporan
produk atau aktivitas baru sesuai peraturan mengenai
pelaporan produk atau aktivitas baru.

Bank yang sudah pernah melaksanakan aktivitas dan terdaftar
atau memperoleh izin sebagai Agen Penjual Efek Reksa Dana
atau Bank Kustodian
110 SE 11/36/DPNP Untuk aktivitas sebagai Agen Penjual Efek Reksa Dana
2009 a. Bank wajib memenuhi ketentuan yang terkait dengan Laporan Rencana
Romawi IV.B Penjualan Efek Reksa Dana apabila penerbitan Reksa Dana memerlukan
Pernyataan Pendaftaran Reksa Dana dari Badan Pengawas Pasar Modal
dan Lembaga Keuangan.
b. Penyampaian laporan sebagaimana dimaksud pada huruf a berupa
Laporan Rencana Penjualan Efek Reksa Dana dilakukan sebagai berikut:
1) Laporan wajib disampaikan paling lambat 45 (empat puluh
lima) hari sebelum pelaksanaan penjualan efek Reksa Dana
2) Laporan sebagaimana dimaksud pada angka 1), paling kurang
memuat hal‐hal terkait dengan rencana penjualan efek Reksa Dana
sebagaimana dimaksud dalam butir IV.A.3.a.a.2).b) (Paragraf 109
ayat 3 huruf a.2).b) dalam kodifikasi ini).

53


3) Format Laporan Rencana Penjualan Efek Reksa Dana mengacu pada
Lampiran 3 Surat Edaran Bank Indonesia ini (Lampiran 12 dalam
kodifikasi ini).
c. Persyaratan pelaksanaan aktivitas sebagai Agen Penjual Efek Reksa Dana
mengacu pada pengaturan sebagaimana dimaksud pada butir
IV.A.3.a.2).d) dan butir IV.A.3.a.2).e) Paragraf 109 ayat 3 huruf a.2).d)
dan huruf a.2).e) dalam kodifikasi ini).

Untuk aktivitas sebagai Bank Kustodian
Perubahan atau pengembangan terhadap aktivitas Bank sebagai kustodian
tidak termasuk dalam kriteria aktivitas baru, sehingga pengembangan
aktivitas sebagai Bank Kustodian oleh Bank yang sudah pernah melakukan
aktivitas tersebut tidak terkena kewajiban pelaporan rencana pelaksanaan
aktivitas baru.

Laporan Realisasi Pelaksanaan Aktivitas Bank sebagai Agen
Penjual Efek Reksa Dana atau Bank Kustodian
111 SE 11/36/DPNP 1. Laporan wajib disampaikan paling lambat 7 (tujuh) hari kerja setelah
2009 aktivitas baru tersebut direalisasikan pelaksanaannya.
Romawi IV.C 2. Yang dimaksud dengan tanggal realisasi adalah tanggal sejak aktivitas
tersebut mulai ditawarkan oleh Bank dan sudah dapat dibeli atau
dimanfaatkan oleh nasabah.
3. Laporan realisasi pelaksanaan aktivitas baru paling kurang memuat
informasi dan penjelasan sebagai berikut:
a) jenis dan tanggal realisasi aktivitas baru oleh Bank; dan
b) kesesuaian realisasi aktivitas baru dengan laporan rencana
pelaksanaan aktivitas baru yang telah disampaikan.

Laporan Berkala terkait Pelaksanaan Aktivitas sebagai Agen
Penjual Efek Reksa Dana dan/atau Bank Kustodian
112 SE 11/36/DPNP 1. Bank yang telah melaksanakan aktivitas sebagai Agen Penjual Efek Reksa
2009 Dana dan/atau Bank Kustodian wajib menyusun laporan berkala terkait
Romawi IV.D pelaksanaan aktivitas sebagai Agen Penjual Efek Reksa Dana secara
bulanan.
2. Laporan berkala terkait pelaksanaan aktivitas sebagai Agen Penjual Efek
Reksa Dana sebagaimana dimaksud pada angka 1 disampaikan kepada
Bank Indonesia secara berkala setiap triwulan yang meliputi posisi setiap
akhir bulan untuk periode 3 (tiga) bulan berturut‐turut dengan
menggunakan format Lampiran 4 (Lampiran 13 dalam kodifikasi ini)
paling lambat tanggal 15 (lima belas) setelah akhir bulan ke 3 (tiga) dari
triwulan yang bersangkutan. Untuk pertama kali laporan tersebut
disampaikan untuk posisi akhir bulan Maret 2010. Dalam hal tanggal 15
(lima belas) adalah hari libur maka laporan disampaikan paling lambat
pada 1 (satu) hari kerja berikutnya setelah hari libur dimaksud.
3. Laporan berkala terkait pelaksanaan aktivitas sebagai Bank Kustodian
mengacu pada ketentuan yang berlaku mengenai Laporan Kantor Pusat
Bank Umum.

54


Alamat Penyampaian Laporan
113 SE 11/36/DPNP 1. Laporan rencana pelaksanaan aktivitas baru sebagaimana dimaksud
2009 dalam butir IV.A dan butir IV.B (Paragraf 109, Paragraf 110 dalam
Romawi IV.E kodifikasi ini), serta laporan realisasi pelaksanaan aktivitas baru
sebagaimana dimaksud dalam butir IV.C (Paragraf 111 dalam kodifikasi
ini) disampaikan kepada Bank Indonesia dengan alamat:
Pusat Bank Indonesia; atau
2. Laporan Berkala terkait Pelaksanaan Aktivitas sebagai Agen Penjual Efek
Reksa Dana
a. Laporan berkala terkait pelaksanaan aktivitas sebagai Agen Penjual
Efek Reksa Dana sebagaimana dimaksud pada butir IV.D (Paragraf
112 dalam kodifikasi ini) disampaikan secara on‐line melalui
Laporan Kantor Pusat Bank Umum (LKPBU).
b. Selama format Laporan sebagaimana dimaksud pada huruf a belum
dapat disampaikan secara on‐line melalui LKPBU, laporan tersebut
wajib disampaikan secara off‐line oleh Bank kepada Bank Indonesia
dengan alamat sebagai berikut:
1) Direktorat Pengawasan Bank, Jl. M.H. Thamrin No. 2, Jakarta
10350, bagi Bank yang berkantor pusat di wilayah kerja
Kantor Pusat Bank Indonesia; atau
2) Kantor Bank Indonesia setempat, bagi Bank yang berkantor
pusat di luar wilayah kerja Kantor Pusat Bank Indonesia,
dengan tembusan kepada Direktorat Penelitian dan Pengaturan
Perbankan c.q. Biro Stabilitas Sistem Keuangan, Jl. M.H. Thamrin
No. 2, Jakarta 10350.

Lain‐Lain
114 SE 7/19/DPNP 1. Dalam rangka meningkatkan efektivitas penerapan manajemen risiko,
2005 maka Bank yang telah melakukan aktivitas yang berkaitan dengan
Romawi V Reksa Dana wajib melakukan evaluasi dan audit terhadap aktivitas
tersebut atas pemenuhan penerapan manajemen risiko sebagaimana
dimaksud pada angka II (Paragraf 104, Paragraf 105, Paragraf 106,
Paragraf 107 dan Paragraf 108 dalam kodifikasi ini).
2. Apabila diperlukan, Bank Indonesia dapat melakukan pemeriksaan
terhadap efektifitas dan kesesuaian penerapan manajemen risiko
khususnya untuk aktivitas yang berkaitan dengan Reksa Dana yang
dilakukan Bank.
3. Dalam hal Bank memasarkan Reksa Dana yang diterbitkan oleh
Manajer Investasi yang merupakan anak perusahaan, Bank wajib pula
menerapkan manajemen risiko secara efektif dengan mengacu kepada
ketentuan tentang Prinsip Kehati‐hatian dalam Kegiatan Penyertaan
Modal.

55


Sanksi
115 SE 11/36/DPNP Pelanggaran atas penerapan Manajemen Risiko sebagaimana dimaksud
2009 dalam angka II (Paragraf 104, Paragraf 105, Paragraf 106, Paragraf 107 dan
Romawi VI.1 Paragraf 108 dalam kodifikasi ini) dapat dikenakan sanksi administratif
antara lain berupa:
administrasi Bank Indonesia sebagaimana diatur dalam ketentuan
Bank Indonesia yang berlaku; dan/atau

116 SE 11/36/DPNP Pelanggaran atas kewajiban pelaporan sebagaimana dimaksud dalam
2009 butir IV.A.3, butir IV.B.1.b, butir IV.C.1 dan butir IV.E.2.b (Paragraf 109 ayat
Romawi VI.2 3, Paragraf 110 huruf b, Paragraf 111 ayat 1 dan Paragraf 113 ayat 2 huruf
b dalam kodifikasi ini) dikenakan sanksi sebagaimana dalam Peraturan
tentang Penerapan Manajemen Risiko bagi Bank Umum.

Manajemen Risiko pada Bank yang Melakukan Aktivitas
Kerjasama dengan Perusahaan Asuransi (Bancassurance)
Umum
117 SE 12/35/DPNP 1. Yang dimaksud dengan aktivitas kerjasama pemasaran antara Bank
2010 dengan perusahaan asuransi yang selanjutnya disebut bancassurance
Romawi I dalam Surat Edaran Bank Indonesia ini adalah aktivitas kerjasama
antara Bank dengan perusahaan asuransi dalam rangka memasarkan
produk asuransi melalui Bank. Aktivitas kerjasama ini diklasifikasikan
dalam 3 (tiga) model bisnis sebagai berikut:
a. Referensi
Referensi merupakan suatu aktivitas kerjasama pemasaran produk
asuransi, dengan Bank berperan hanya mereferensikan atau
merekomendasikan suatu produk asuransi kepada nasabah.
Peran Bank dalam melakukan pemasaran terbatas sebagai
perantara dalam meneruskan informasi produk asuransi dari
perusahaan asuransi mitra Bank kepada nasabah atau menyediakan
akses kepada perusahaan asuransi untuk menawarkan produk
asuransi kepada nasabah.
Aktivitas ini dapat dibedakan sebagai berikut:
1) Referensi dalam Rangka Produk Bank
Bank mereferensikan atau merekomendasikan produk asuransi
yang menjadi persyaratan untuk memperoleh suatu produk
perbankan kepada nasabah. Persyaratan keberadaan produk
asuransi tersebut dimaksudkan untuk kepentingan dan
perlindungan kepada Bank atas Risiko terkait dengan produk
yang diterbitkan atau jasa yang dilaksanakan oleh Bank kepada
nasabah. Dalam hal ini, pada hakikatnya produk asuransi juga
untuk melindungi debitur sebagai pihak tertanggung meskipun
dalam polis dicantumkan banker’s clause karena Bank sebagai
56


penerima manfaat.
Contoh produk Bank yang mempersyaratkan keberadaan
asuransi adalah:
a) Kredit pemilikan rumah yang disertai kewajiban asuransi
kebakaran terhadap rumah atau bangunan yang dibiayai
oleh Bank serta asuransi jiwa terhadap nasabah peminjam
(debitur).
b) Kredit kendaraan bermotor yang disertai kewajiban
asuransi kerugian terhadap kendaraan bermotor yang
dibiayai oleh Bank.
c) Kredit kepada pegawai/pensiunan yang disertai kewajiban
asuransi jiwa terhadap nasabah peminjam (debitur).
2) Referensi Tidak dalam Rangka Produk Bank
Bank mereferensikan produk asuransi yang tidak menjadi
persyaratan untuk memperoleh suatu produk perbankan
kepada nasabah. Aktivitas kerjasama pemasaran ini dapat
dilakukan melalui:
a) Bank meneruskan brosur, leaflet, dan/atau hal‐hal sejenis
yang memuat penawaran, informasi, dan/atau penjelasan
dari perusahaan asuransi mitra Bank atas suatu produk
asuransi kepada nasabah Bank, baik secara tatap muka
maupun melalui surat dan media elektronik, termasuk
menggunakan website Bank.
Dalam hal nasabah memerlukan informasi lebih lanjut atau
bermaksud membeli produk asuransi yang direferensikan
melalui pemasaran tersebut, maka Bank harus
mengarahkan nasabah ke perusahaan asuransi mitra Bank
yang bersangkutan.
b) Bank menyediakan ruangan di dalam lingkungan kantor
Bank yang dapat digunakan oleh perusahaan asuransi mitra
Bank dalam rangka pemasaran produk asuransi (in‐branch
sales) kepada nasabah.
c) Bank menyediakan data nasabah yang dapat digunakan
oleh perusahaan asuransi mitra Bank dalam rangka
pemasaran produk asuransi dengan mematuhi prinsip‐
prinsip sebagaimana dimaksud dalam butir II.B.3 (Paragraf
121 dalam kodifikasi ini).
b. Kerjasama Distribusi
Kerjasama distribusi merupakan suatu aktivitas kerjasama
pemasaran produk asuransi, dengan Bank berperan memasarkan
produk asuransi dengan cara memberikan penjelasan mengenai
produk asuransi tersebut secara langsung kepada nasabah.
Penjelasan dari Bank dapat dilakukan melalui tatap muka dengan
nasabah dan/atau dengan menggunakan sarana komunikasi
(telemarketing), termasuk melalui surat, media elektronik, dan
website Bank.
Peran Bank tidak hanya sebagai perantara dalam meneruskan
informasi produk asuransi dari perusahaan asuransi mitra Bank
kepada nasabah, tetapi Bank juga memberikan penjelasan secara
langsung yang terkait dengan produk asuransi seperti karakteristik,
57


manfaat, dan Risiko dari produk yang dipasarkan dan meneruskan
minat atau permintaan pembelian produk asuransi dari nasabah
kepada perusahaan asuransi mitra Bank.
c. Integrasi Produk
Integrasi produk merupakan suatu aktivitas kerjasama pemasaran
produk asuransi, dengan Bank berperan memasarkan produk
asuransi kepada nasabah dengan cara melakukan modifikasi
dan/atau menggabungkan produk asuransi dengan produk Bank.
Aktivitas kerjasama pemasaran ini dilakukan oleh Bank dengan cara
menawarkan atau menjual bundled product kepada nasabah
melalui tatap muka dan/atau dengan menggunakan sarana
komunikasi (telemarketing), termasuk melalui surat, media
elektronik, dan website Bank.
Dengan demikian, peran Bank tidak hanya meneruskan dan
memberikan penjelasan yang terkait dengan produk asuransi
kepada nasabah, tetapi juga menindaklanjuti aplikasi nasabah atas
bundled product, termasuk yang terkait dengan produk asuransi
kepada perusahaan asuransi mitra Bank.
2. Bank yang melakukan bancassurance harus mematuhi ketentuan
terkait yang berlaku di bidang perbankan dan perasuransian, antara lain
ketentuan Bank Indonesia yang terkait dengan manajemen risiko,
rahasia bank, transparansi informasi produk, dan ketentuan otoritas
pengawas perasuransian terutama yang terkait dengan bancassurance.
3. Dalam melakukan bancassurance, Bank dilarang menanggung atau
turut menanggung Risiko yang timbul dari produk asuransi yang
ditawarkan. Segala Risiko dari produk asuransi tersebut menjadi
tanggungan perusahaan asuransi mitra Bank.
4. Bank yang melakukan bancassurance hanya dibolehkan memasarkan
produk asuransi yang dinyatakan dalam perjanjian kerjasama antara
Bank dengan perusahaan asuransi mitra Bank.
5. Produk asuransi yang dinyatakan dalam perjanjian kerjasama adalah
produk yang telah tercatat di Bapepam dan LK, serta telah memperoleh
persetujuan dari Menteri Keuangan untuk dipasarkan melalui
bancassurance.

Penerapan Manajemen Risiko dalam Rangka Bancassurance
Umum
118 SE 12/35/DPNP 1. Bank yang melakukan bancassurance wajib menerapkan Manajemen
2010 Risiko sesuai dengan ketentuan yang berlaku, mengingat Bank
Romawi II.A menghadapi berbagai Risiko yang melekat pada aktivitas tersebut,
terutama Risiko Hukum dan Risiko Reputasi.
2. Bank wajib menyusun kebijakan dan prosedur secara tertulis mengenai
bancassurance dengan berpedoman pada ketentuan Penerapan
Manajemen Risiko Bagi Bank Umum.

58


Penerapan Manajemen Risiko dalam Beberapa Aspek Utama
pada Bancassurance
Penetapan Perusahaan Asuransi yang Menjadi Mitra Bank
119 SE 12/35/DPNP Bank wajib melakukan penilaian terhadap perusahaan asuransi yang
2010 menjadi mitra Bank dalam bancassurance dengan memenuhi paling kurang
Romawi II.B.1 hal‐hal sebagai berikut:
1. Perusahaan asuransi yang dapat dijadikan mitra Bank adalah
perusahaan asuransi yang memiliki tingkat solvabilitas paling kurang
sesuai dengan ketentuan yang berlaku berdasarkan data terkini dari
Bapepam dan LK.
2. Bank wajib memastikan bahwa perusahaan asuransi mitra Bank telah
memperoleh surat persetujuan dari Menteri Keuangan untuk
melakukan bancassurance.
3. Bank wajib memantau, menganalisa, dan mengevaluasi kinerja
dan/atau reputasi perusahaan asuransi mitra Bank secara berkala paling
kurang sekali dalam 1 (satu) tahun atau sewaktu‐waktu apabila terjadi
perubahan kondisi kinerja dan/atau reputasi perusahaan asuransi mitra
Bank yang diketahui melalui berbagai sumber informasi.
4. Bank wajib mengakhiri kerjasama sebelum berakhirnya perjanjian atau
tidak memperpanjang kerjasama apabila:
1) perusahaan asuransi mitra Bank tidak lagi memenuhi persyaratan
sebagaimana dimaksud pada ayat 1; dan/atau
2) menurunnya reputasi perusahaan asuransi mitra Bank yang secara
signifikan akan mempengaruhi profil Risiko Bank.
5. Dalam hal Bank mengakhiri kerjasama sebagaimana dimaksud pada
ayat 4, Bank wajib:
1) menghentikan pemasaran produk asuransi yang dimuat dalam
perjanjian kerjasama dimaksud; dan
2) menginformasikan kelanjutan penyelesaian hak dan kewajiban
nasabah sehubungan dengan produk asuransi yang telah
dipasarkan.
6. Dalam hal produk asuransi yang dipasarkan terkait dengan unit link,
Bank wajib memastikan bahwa perusahaan asuransi mitra Bank
memenuhi persyaratan sebagai berikut:
1) telah memenuhi persyaratan terkait unit link sebagaimana diatur
dalam Peraturan Menteri Keuangan yang mengatur mengenai
penyelenggaraan usaha perusahaan asuransi dan perusahaan
reasuransi;
2) mencatat dan mengelola secara khusus kekayaan dan kewajiban
perusahaan asuransi mitra Bank yang bersumber dari investasi
produk unit link; dan
3) melaksanakan hal‐hal lain yang diperlukan agar dana investasi yang
dipercayakan oleh nasabah dikelola secara optimal, profesional,
dan independen.

Penyusunan Perjanjian Kerjasama
120 SE 12/35/DPNP Perjanjian kerjasama dalam rangka bancassurance antara Bank dengan
2010 perusahaan asuransi mitra Bank, wajib disusun dengan menggunakan
Romawi II.B.2 Bahasa Indonesia dan paling kurang memuat hal‐hal sebagai berikut:
1. Kejelasan hak dan kewajiban masing‐masing pihak (Bank dan
59


perusahaan asuransi mitra Bank), terutama adanya klausula yang
menyatakan tanggung jawab masing‐masing pihak dalam melakukan
bancassurance, antara lain sebagai berikut:
1) Untuk model bisnis Referensi dan/atau Kerjasama Distribusi, Bank
tidak menanggung Risiko atas produk asuransi yang dijual.
2) Untuk model bisnis Integrasi Produk, Bank hanya bertanggung
jawab sebatas Risiko dari produk Bank.
2. Klausula khusus terkait dengan model bisnis dan/atau fitur khusus
produk asuransi untuk model bisnis Kerjasama Distribusi terkait produk
unit link, yaitu antara lain perusahaan asuransi mitra Bank harus
mencatat dan mengelola secara khusus kekayaan dan kewajiban
perusahaan asuransi yang bersumber dari investasi produk unit link.
3. Setiap perjanjian bancassurance hanya dapat memuat secara spesifik 1
(satu) model bisnis untuk 1 (satu) produk asuransi atau 1 (satu)
bundled product yang dipasarkan.
4. Jangka waktu perjanjian.
5. Kejelasan tanggung jawab masing‐masing pihak yaitu Bank atau
perusahaan asuransi mitra Bank dalam melaksanakan kewajiban
customer due diligence (CDD) atau know your customer (KYC).
6. Penetapan klausula yang memuat kondisi yang menyebabkan
berakhirnya perjanjian kerjasama, termasuk klausula yang
memungkinkan Bank menghentikan kerjasama sebelum berakhirnya
jangka waktu perjanjian sebagaimana dimaksud dalam butir II.B.1.d
(Paragraf 119 ayat 4 dalam kodifikasi ini) atau atas perintah Bank
Indonesia sebagaimana dimaksud dalam butir II.B.4.g (Paragraf 122
ayat 7 dalam kodifikasi ini).
7. Kejelasan penyelesaian hak dan kewajiban masing‐masing pihak (Bank
atau perusahaan asuransi mitra Bank), termasuk kewajiban kepada
pihak tertanggung dan/atau pihak penerima manfaat, apabila
perjanjian kerjasama berakhir, baik karena berakhirnya jangka waktu
perjanjian kerjasama maupun karena dihentikan sebagaimana
dimaksud pada ayat 6.
8. Kejelasan batas tanggung jawab Bank dan perusahaan asuransi mitra
Bank pada setiap produk yang dipasarkan apabila terjadi perselisihan
dengan nasabah.
9. Kewajiban para pihak untuk menjaga kerahasiaan data nasabah.

Penggunaan Data Nasabah
121 SE 12/35/DPNP 1. Dalam menggunakan data nasabah, Bank harus memenuhi ketentuan:
2010 1) mengenai persyaratan dan tata cara pemberian perintah atau izin
Romawi II.B.3 tertulis membuka rahasia bank.
2) Peraturan Bank Indonesia yang mengatur mengenai transparansi
produk bank dan penggunaan data pribadi nasabah.
Berdasarkan ketentuan di atas, dalam bancassurance, Bank hanya
dapat memberikan data pribadi nasabah kepada perusahaan
asuransi mitra Bank sepanjang telah terdapat persetujuan tertulis
dari nasabah.
2. Dalam melakukan bancasssurance, Bank dan perusahaan asuransi mitra
Bank wajib menerapkan customer due dilligence atau know your
customer principle sesuai ketentuan yang berlaku.

60


Penerapan Prinsip Perlindungan Nasabah
122 SE 12/35/DPNP 1. Dalam melakukan bancassurance, Bank wajib menerapkan prinsip‐
2010 prinsip transparansi dengan menjelaskan secara lisan dan tertulis
Romawi II.B.4 kepada nasabah antara lain sebagai berikut:
1) Asuransi yang dipasarkan bukan merupakan produk dan tanggung
jawab Bank serta tidak termasuk dalam cakupan program
penjaminan sebagaimana dimaksud dalam ketentuan perundang‐
undangan mengenai lembaga penjamin simpanan, meskipun
terdapat logo dan/atau atribut Bank dalam brosur atau dokumen
pemasaran (marketing) lainnya yang digunakan dalam model
bisnis Kerjasama Distribusi dan Integrasi Produk.
2) Penggunaan logo dan/atau atribut Bank lainnya dalam brosur atau

dokumen pemasaran (marketing) lainnya yang digunakan dalam

model bisnis Kerjasama Distribusi dan Integrasi Produk

sebagaimana dimaksud pada angka 1) hanya bertujuan untuk
menunjukkan adanya kerjasama antara Bank dengan perusahaan
asuransi mitra Bank.
3) Karakteristik asuransi mencakup antara lain fitur, Risiko, manfaat,
biaya‐biaya asuransi, persyaratan kepesertaan, dan prosedur klaim
oleh nasabah.
2. Bank harus memastikan bahwa logo dan atribut Bank tidak
dicantumkan dalam polis asuransi.
3. Untuk asuransi yang bersifat kolektif, setiap nasabah harus memperoleh
tanda kepesertaan. Dalam hal Bank yang menerbitkan tanda
kepesertaan, maka tanda kepesertaan tersebut harus menyatakan
secara jelas bahwa Risiko asuransi menjadi tanggung jawab perusahaan
asuransi.
4. Bank harus transparan kepada nasabah mengenai biaya‐biaya yang
harus dibayar, termasuk apabila dalam premi asuransi yang harus
dibayar terdapat perhitungan komponen biaya lain seperti biaya provisi,
biaya administrasi, dan/atau komisi yang diberikan perusahaan asuransi
mitra Bank kepada Bank dalam rangka bancassurance.
5. Khusus untuk bancassurance melalui model bisnis Kerjasama Distribusi
dan Integrasi Produk:
1) Bank harus memastikan bahwa nasabah telah memahami
penjelasan mengenai manfaat dan Risiko produk baik yang
dilakukan secara lisan maupun tertulis sebagaimana tercantum
dalam dokumen pemasaran/ penawaran.
2) Pernyataan nasabah bahwa nasabah telah memahami manfaat dan
Risiko produk sebagaimana dimaksud pada angka 1) harus
dituangkan dalam dokumen tertulis yang terpisah, dibuat dalam
bahasa Indonesia, dan ditandatangani oleh nasabah dengan
menggunakan tanda tangan basah.
3) Bank harus memastikan bahwa pihak nasabah yang
menandatangani dokumen tertulis merupakan pihak yang
berwenang menandatangani.
6. Bank harus memastikan bahwa produk asuransi yang dipasarkan telah
memenuhi peraturan perundang‐undangan yang berlaku di bidang
perasuransian antara lain:
1) kriteria produk dan/atau persyaratan produk; dan
61


2) kewajiban pelaporan produk.
7. Bank Indonesia dapat memerintahkan Bank untuk menghentikan
bancassurance dalam hal berdasarkan evaluasi Bank Indonesia,
bancassurance yang dilaksanakan:
1) tidak sesuai dengan rencana pelaksanaan aktivitas baru berupa
bancassurance yang dilaporkan kepada Bank Indonesia dan/atau
persetujuan bancassurance dari Menteri Keuangan dan/atau
pencatatan produk asuransi dari Bapepam dan LK;
2) berpotensi berdampak negatif terhadap kinerja Bank; dan/atau
3) tidak sesuai dengan ketentuan yang berlaku.
8. Sejak Bank diperintahkan menghentikan bancassurance sebagaimana
dimaksud pada ayat 7, maka Bank:
1) dilarang melanjutkan pemasaran atas produk bancassurance
dimaksud; dan
2) bertanggung jawab kepada nasabah sebatas kewajiban Bank sesuai
perjanjian antara Bank dengan perusahaan asuransi mitra Bank.

Penerapan Manajemen Risiko pada Setiap Model Bisnis
Bancassurance
Referensi
123 SE 12/35/DPNP Selain penerapan Manajemen Risiko dalam beberapa aspek utama
2010 bancassurance sebagaimana dimaksud dalam butir II.B (Paragraf 119
Romawi II.C.1 sampai dengan 122 dalam kodifikasi ini), Bank harus memenuhi beberapa
persyaratan tertentu pada model bisnis Referensi sebagai berikut:
1. Dalam melakukan model bisnis berupa Referensi dalam Rangka Produk
Bank sebagaimana dimaksud dalam butir I.1.a.1) (Paragraf 117 ayat 1
huruf a angka 1) dalam kodifikasi ini):
1) Untuk mengakomodasi kebebasan nasabah Bank dalam memilih
produk asuransi yang diwajibkan, Bank harus menawarkan pilihan
produk asuransi dimaksud paling kurang dari 3 (tiga) perusahaan
asuransi mitra Bank yang 1 (satu) diantaranya dapat merupakan Pihak
Terkait Bank. Definisi Pihak Terkait mengacu pada ketentuan Bank
Indonesia mengenai Batas Maksimum Pemberian Kredit.
2) Produk asuransi yang direferensikan terbatas hanya merupakan
produk asuransi yang bersifat proteksi/perlindungan dan produk
asuransi tersebut merupakan persyaratan untuk memperoleh suatu
produk perbankan bagi nasabah.
2. Dalam melakukan model bisnis berupa Referensi Tidak dalam Rangka
Produk Bank sebagaimana dimaksud dalam butir I.1.a.2) (Paragraf 117
ayat 1 huruf a angka 2) dalam kodifikasi ini) yang dilakukan antara lain
melalui in‐branch sales sebagaimana dimaksud dalam butir I.1.a.2)b)
(Paragraf 117 ayat 1 huruf a angka 2)b) dalam kodifikasi ini), perusahaan
asuransi mitra Bank yang menggunakan ruangan/counter/meja yang
disediakan Bank harus tetap menunjukkan nama perusahaan asuransi
mitra Bank secara jelas pada ruangan/counter/meja yang digunakan.
Selain itu, pegawai asuransi yang melakukan pemasaran pada
ruangan/counter/meja tersebut harus tetap menggunakan identitas
pegawai perusahaan asuransi mitra Bank dan tidak diperkenankan
memakai seragam yang sama dengan pegawai Bank.

62


Kerjasama Distribusi
persyaratan tertentu pada model bisnis Kerjasama Distribusi sebagai
berikut:
1. Bank harus memiliki unit kerja khusus bancassurance atau pejabat yang
ditunjuk khusus untuk bertanggungjawab atas bancassurance di Bank,
dengan cakupan tugas melakukan pengembangan, pemasaran, dan
pengelolaan bancassurance.
2. Pegawai Bank yang menangani bancassurance wajib memenuhi
kualifikasi sesuai ketentuan yang berlaku antara lain:
1) memiliki sertifikasi keagenan yang dikeluarkan oleh asosiasi terkait;
dan
2) telah memperoleh pelatihan mengenai produk asuransi yang akan
dipasarkan.
3. Pegawai marketing atau customer service Bank dapat melakukan
penawaran awal produk asuransi dalam bancassurance namun
penjelasan lengkap atas produk asuransi tersebut dan tindak lanjut
penawaran harus dilakukan oleh Pegawai Bank yang memenuhi
persyaratan sebagaimana dimaksud pada ayat 2.
4. Bank bertanggung jawab hanya sampai dengan penawaran produk
asuransi, sedangkan proses underwriting, penerbitan polis, perubahan
polis, klaim, dan perbuatan lain yang terkait dengan produk asuransi
tetap harus dilaksanakan dan merupakan tanggung jawab dari
perusahaan asuransi mitra Bank.
5. Bank hanya diperkenankan melakukan Kerjasama Distribusi terkait
dengan:
1) produk asuransi yang bersifat proteksi/perlindungan; dan/atau
2) produk unit link.
6. Bank yang melakukan Kerjasama Distribusi produk unit link
sebagaimana dimaksud dalam ayat 5 angka 2) wajib memenuhi
persyaratan sebagai berikut:
1) memiliki unit kerja khusus bancassurance;
2) mencantumkan klausula dalam perjanjian kerjasama yang
menyatakan bahwa perusahaan asuransi mitra Bank bertanggung
jawab secara penuh atas pengelolaan dana investasi produk unit
link tersebut;
3) menyatakan secara jelas bahwa pengelolaan dana investasi produk
unit link dilakukan dan merupakan tanggung jawab perusahaan
asuransi dalam dokumen yang memberikan penjelasan manfaat
dan Risiko produk unit link sebagaimana dimaksud dalam butir
II.B.4.e.1) (Paragraf 123 ayat 5 angka 1) dalam kodifikasi ini);
4) Produk yang dipasarkan terbatas pada produk unit link yang
memiliki strategi investasi pasar uang dan/atau strategi investasi
pendapatan tetap sesuai ketentuan mengenai produk unit link
yang diatur oleh otoritas pengawas perasuransian.
5) Selain memiliki kualifikasi sebagaimana dimaksud dalam ayat 2,
pegawai Bank yang menangani produk unit link wajib memiliki
keahlian dan sertifikasi keagenan khusus produk unit link.
63


6) Kegiatan pemasaran produk unit link harus dilakukan oleh pegawai
Bank.
7. Bank wajib menjaga kecukupan jumlah pegawai yang memiliki
sertifikasi keagenan di setiap kantor yang melakukan bancassurance.

Integrasi Produk
persyaratan tertentu pada model bisnis Integrasi Produk sebagai berikut:
1. Budled Product yang dipasarkan tetap harus dapat dipisahkan atas
bagian produk yang menjadi Risiko Bank dan bagian produk yang
menjadi Risiko perusahaan asuransi mitra Bank sehingga Risiko masing‐
masing dapat diidentifikasi, diukur, dipantau dan dikendalikan.
2. Bank hanya diperkenankan melakukan Integrasi Produk terkait dengan
produk asuransi yang bersifat proteksi/perlindngan.
3. Dalam hal pemasaran dilakukan menggunakan sarana komunikasi
seperti melalui surat, media elektronik, dan website Bank, maka sara
tersebut hanya sebagai media pengenalan awal mengenai bundled
product dan proses selanjutnya tetap harus melalui tatap muka dengan
nasabah untuk penjelasan lebih lanjut sebagaimana dimaksud pada ayat
4.
4. Bank wajib menjelaskan kepada nasabah secara lisan dan tertulis atas
bagian produk yang menjadi Risiko Bank dan bagian yang menjadi Risiko
perusahaan asuransi mitra Bank, serta hak dan kewajiban Bank,
perusahaan asuransi mitra Bank, dan nasabah.
5. Nasabah secara individual harus mendapatkan polis asuransi atau tanda
bukti kepesertaan dalam hal nasabah diikutsertakan dalam produk
asuransi kolektif sebagaimana dimaksud dalam butir II.B.4.c (Paragraf
122 ayat 3 dalam kodifikasi ini).
6. Bank wajib membentuk unit kerja khusus bancassurance dengan tugas
melakukan pengembangan, pemasaran, dan pengelolaan bundled
product. Dalam hal Bank melakukan bancassurance dengan model
bisnis lainnya, maka unit kerja ini juga sekaligus menangani
bancassurance dalam bentuk model bisnis lainnya tersebut.
7. Pejabat dan/atau pegawai yang tergabung dalam unit kerja khusus
bancassurance wajib memenuhi kualifikasi sesuai ketentuan yang
berlaku antara lain:
1) memiliki sertifikasi keagenan yang dikeluarkan oleh asosiasi terkait;
dan
2) telah memperoleh pelatihan mengenai asuransi yang akan
dipasarkan.
8. Bank hanya diperkenankan mulai melakukan pemasaran, apabila
perusahaan asuransi mitra Bank telah memperoleh persetujuan
bancassurance dengan model bisnis Integrasi Produk dari Menteri
Keuangan dan/atau pencatatan bundled product dari Bapepam dan LK.
9. Masa pertanggungan asuransi paling kurang harus sama dengan jangka
waktu produk yang dibeli oleh nasabah.
10. Bank wajib menjaga kecukupan jumlah pegawai yang memiliki
sertifikasi keagenan di setiap kantor yang melakukan bancassurance.
64


11. Nama produk yang merupakan bundled product harus mencerminkan
bahwa produk tersebut merupakan gabungan produk Bank dan produk
asuransi.

Pelaporan
Laporan Aktivitas Baru Bancassurance
126 SE 12/35/DPNP Bank yang pertama kali melakukan bancassurance wajib mencantumkan
2010 rencana bancassurance sebagai aktivitas baru dalam Rencana Bisnis Bank
Romawi III.A.1 tahun yang sama dengan tahun rencana pelaksanaan aktivitas.
Kewajiban menyusun Rencana Bisnis Bank mengacu pada ketentuan Bank
Indonesia yang berlaku mengenai rencana bisnis bank umum. Format
pencantuman laporan aktivitas baru berupa bancassurance dalam Rencana
Bisnis Bank mengacu pada Lampiran 1 Surat Edaran Bank Indonesia ini

127 SE 12/35/DPNP Bank yang telah memenuhi persyaratan sebagaimana dimaksud pada angka
2010 1 (Paragraf 126 dalam kodifikasi ini) atau sebelumnya telah melakukan
Romawi III.A.2 bancassurance, wajib menyampaikan laporan untuk setiap pelaksanaan
bancassurance yang telah memenuhi kriteria aktivitas baru kepada Bank
Indonesia yang terdiri dari:
1. Laporan Rencana Pelaksanaan Aktivitas Baru berupa Bancassurance;
dan
2. Laporan Realisasi Pelaksanaan Aktivitas Baru berupa Bancassurance.

128 SE 12/35/DPNP Aktivitas berupa bancassurance ditetapkan sebagai aktivitas baru apabila
2010 memenuhi kriteria sebagai berikut:
Romawi III.A.3 1. Bank sebelumnya tidak pernah melakukan bancassurance; atau
2. Bank sebelumnya telah melakukan bancassurance namun dilakukan
pengembangan yang mengubah atau meningkatkan Risiko tertentu
bagi Bank terkait dengan bancassurance yang dilakukan, antara lain:
perubahan model bisnis, perubahan perusahaan asuransi mitra,
perubahan premi, perubahan manfaat, perubahan jangka waktu,
perubahan nama produk, perubahan syarat, dan perubahan lainnya,
yang memerlukan persetujuan dari Menteri Keuangan dan/atau
pelaporan kepada Bapepam dan LK terkait dengan produk asuransi
yang ditawarkan.

129 SE 12/35/DPNP Penyampaian Laporan Rencana Pelaksanaan Aktivitas Baru berupa
2010 bancassurance sebagaimana dimaksud pada angka 2 huruf a (Paragraf 127
Romawi III.A.4 angka 1 dalam kodifikasi ini) dilakukan sebagai berikut:
1. Laporan wajib disampaikan paling lambat 60 (enam puluh) hari
sebelum pelaksanaan aktivitas baru berupa bancassurance.
2. Laporan sebagaimana dimaksud pada angka 1 dengan format pada
Lampiran 2 Surat Edaran Bank Indonesia ini (Lampiran 15 dalam
kodifikasi ini), paling kurang memuat informasi dan penjelasan sebagai
berikut:
1) informasi umum yang antara lain memuat tujuan, gambaran
potensial nasabah, analisa kekuatan, kelemahan, peluang, dan
ancaman (Strengths, Weaknesses, Opportunities, Threats/ SWOT)
bancassurance, produk asuransi yang dipasarkan serta model
bisnis yang akan dilaksanakan;
65


2) penilaian dan analisa solvabilitas serta perizinan perusahaan
asuransi mitra Bank;
3) analisa manfaat dan biaya (cost and benefit analysis);
4) Manajemen Risiko yang meliputi identifikasi, pengukuran,
pemantauan, dan pengendalian terhadap Risiko yang melekat
atas aktivitas berupa bancassurance;
5) prosedur pelaksanaan (standard operating procedure/SOP),
organisasi dan kewenangan pelaksanaan bancassurance dengan
memperhatikan pengaturan mengenai penerapan manajemen
risiko;
6) kesiapan unit kerja khusus bancassurance dan/atau pejabat yang
bertanggung jawab atas bancassurance serta kesiapan sumber
daya manusia pemasaran bancassurance;
7) hasil analisa aspek hukum dan aspek kepatuhan mengenai
bancassurance;
8) kesiapan sistem informasi Bank terkait bancassurance;
9) kebijakan dan prosedur terkait dengan penerapan program Anti
Pencucian Uang dan Pencegahan Pendanaan Teroris (APU dan
PPT);
10) dokumen yang terkait dengan aktivitas berupa bancassurance
antara lain konsep perjanjian kerjasama dengan perusahaan
asuransi mitra Bank;
11) dokumen dalam rangka transparansi kepada nasabah yang
meliputi antara lain brosur, leaflet, dan/atau formulir aplikasi; dan
12) surat persetujuan kerjasama bancassurance dari Menteri
Keuangan dan surat pernyataan pencatatan produk asuransi dari
Bapepam dan LK.
Dalam hal surat persetujuan dari Menteri Keuangan dan/atau
surat pernyataan pencatatan dari Bapepam dan LK belum
diterbitkan, Bank dapat menyampaikan kepada Bank Indonesia
bukti permohonan persetujuan dan pencatatan tersebut. Setelah
surat persetujuan kerjasama bancassurance dan surat pernyataan
pencatatan produk asuransi telah diterbitkan, Bank wajib
menyampaikannya kepada Bank Indonesia.
3. Bank dapat melaksanakan bancassurance 1 (satu) hari setelah
menerima penegasan dari Bank Indonesia.
Penegasan dari bank Indonesia diberikan paling lambat 60 (enam
puluh) hari setelah seluruh persyaratan dipenuhi dan dokumen
pelaporan diterima secara lengkap oleh Bank Indonesia termasuk surat
persetujuan dan surat pencatatan yang sudah diterbitkan sebagaimana
dimaksud pada ayat 2 angka 12).

130 SE 12/35/DPNP Dalam hal Bank belum melakukan aktivitas baru berupa bancassurance
2010 setelah melampaui jangka waktu 6 (enam) bulan sejak tanggal surat
Romawi III.A.5 penegasan dari Bank Indonesia maka surat penegasan dimaksud dinyatakan
tidak berlaku dan Bank harus menyampaikan kembali Laporan Rencana
Pelaksanaan Aktivitas Baru berupa Bancassurance sesuai ketentuan
berlaku.

66


131 SE 12/35/DPNP Laporan Realisasi Pelaksanaan Aktivitas Baru berupa Bancassurance
2010 sebagaimana dimaksud pada angka 2 huruf b (Paragraf 127 angka 2 dalam
Romawi III.A.6 kodifikasi ini) wajib disampaikan paling lambat 7 (tujuh) hari kerja setelah
pelaksanaan aktivitas baru berupa bancassurance.
Laporan Realisasi Pelaksanaan Aktivitas Baru berupa Bancassurance paling
kurang memuat informasi dan penjelasan sebagai berikut:
a. Nama dan jenis produk serta model bisnis yang dilakukan;
b. tanggal pelaksanaan aktivitas baru yaitu tanggal produk asuransi
pertama kali mulai dipasarkan dan dapat dimanfaatkan oleh nasabah;
c. kesesuaian aktivitas baru berupa bancassurance yang dilaksanakan
dengan Laporan Rencana Pelaksanaan Aktivitas Baru berupa
Bancassurance yang telah disampaikan.

132 SE12/35/DPNP Bank dinyatakan telah merealisasikan aktivitas baru berupa bancassurance
2010 pada saat Bank sudah memasarkan produk asuransi dan fungsi Bank dalam
Romawi III.A.7 bancassurance sudah dapat dimanfaatkan oleh nasabah.

Laporan Berkala Bancassurance
133 SE 12/35/DPNP Bank yang melakukan bancassurance wajib menyusun Laporan Berkala
2010 Bancassurance secara bulanan.
Romawi III.B.1

134 SE 12/35/DPNP Laporan Berkala Bancassurance sebagaimana dimaksud pada angka 1
2010 (Paragraf 133 dalam kodifikasi ini) disampaikan kepada Bank Indonesia
Romawi III.B.2 setiap 3 (tiga) bulan atau triwulanan yang meliputi posisi setiap akhir bulan
untuk periode 3 (tiga) bulan berturut‐turut dengan menggunakan format
sesuai Lampiran 3 Surat Edaran Bank Indonesia ini (Lampiran 16 dalam
kodifikasi ini).

135 SE 12/35/DPNP Penyampaian Laporan Berkala Bancassurance sebagaimana dimaksud pada
2010 angka 2 (Paragraf 134 dalam kodifikasi ini) dilakukan paling lambat 15 (lima
Romawi III.B.3 belas) hari setelah akhir bulan ke‐3 (tiga) dari triwulan yang bersangkutan.
Yang dimaksud akhir triwulan adalah akhir bulan Maret, Juni, September,
dan Desember.
Dalam hal tanggal 15 (lima belas) adalah hari libur maka laporan
disampaikan paling lambat pada 1 (satu) hari kerja berikutnya setelah hari
libur dimaksud.

Penyampaian Laporan
136 SE 12/35/DPNP Laporan Rencana Pelaksanaan Aktivitas Baru berupa Bancassurance
2010 sebagaimana dimaksud dalam butir III.A.2.a (Paragraf 127 angka 1 dalam
Romawi III.C.1 kodifikasi ini) dan Laporan Realisasi Pelaksanaan Aktivitas Baru berupa
Bancassurance sebagaimana dimaksud dalam butir III.A.2.b (Paragraf 127
angka 2 dalam kodifikasi ini) disampaikan kepada Bank Indonesia dengan
alamat:
a. Direktorat Pengawasan Bank terkait, Jl. M.H. Thamrin No. 2, Jakarta
10350, bagi Bank yang berkantor pusat di wilayah kerja Kantor Pusat
Bank Indonesia; atau
67


137 SE 12/35/DPNP Laporan Berkala Bancassurance sebagaimana dimaksud dalam butir III.B.1
2010 (Paragraf 133 dalam kodifikasi ini) disampaikan secara on‐line melalui
Romawi III.C.2 Laporan Kantor Pusat Bank Umum (LKPBU) kepada Bank Indonesia dengan
mengacu pada ketentuan Bank Indonesia mengenai Laporan Kantor Pusat
Bank Umum.

138 SE 12/35/DPNP Selama Laporan Berkala Bancassurance belum dapat disampaikan secara
2010 on‐line melalui LKPBU, laporan tersebut wajib disampaikan secara off‐line
Romawi III.C.3 kepada Bank Indonesia dengan alamat sebagai berikut:
Bank Indoesia; atau
luar wilayah kerja Kantor Pusat Bank Indonesia,
dengan tembusan kepada Direktorat Penelitian dan Pengaturan Perbankan
c.q. Biro Stabilitas Sistem Keuangan, JL. M.H. Thamrin No.2, Jakarta 10350.

Tata Cara Pengenaan Sanksi
139 SE 12/35/DPNP Pelanggaran atas penerapan Manajemen Risiko sebagai dimaksud dalam
2010 angka II (Paragraf 118 sampai dengan 125 dalam kodifikasi ini) dikenakan
Romawi IV.1 sanksi administratif sebagaimana ketentuan Penerapan Manajemen Risiko
bagi Bank Umum, antara lain berupa:
administrasi Bank Indonesia sebagaimana diatur dalam ketentuan Bank
Indonesia yang berlaku; dan/atau
140 SE 12/35/DPNP Pelanggaran atas kewajiban pelaporan sebagaimana dimaksud dalam butir

2010 III.A.4 dan butir III.A.6 (Paragraf 129 dan Paragraf 131 dalam kodifikasi ini)
Romawi IV.2 dikenakan sanksi sebagaimana dimaksud dalam Pasal 33 (Paragraf 34 dalam
kodifikasi ini) tentang Penerapan Manajemen Risiko Bagi Bank Umum.

Penerapan Strategi Anti Fraud bagi bank Umum
Umum
141 SE 13/28/DPNP 1. Yang dimaksud dengan Bank Umum, yang selanjutnya disebut Bank,
2011 adalah Bank Umum yang melaksanakan kegiatan usaha secara
Romawi I konvensional dan/atau Bank Umum yang melaksanakan kegiatan
berdasarkan prinsip syariah.
2. Yang dimaksud dengan Fraud dalam ketentuan ini adalah tindakan
penyimpangan atau pembiaran yang sengaja dilakukan untuk
mengelabui, menipu, atau memanipulasi Bank, nasabah, atau pihak lain,
yang terjadi di lingkungan Bank dan/atau menggunakan sarana Bank
sehingga mengakibatkan Bank, nasabah, atau pihak lain menderita
kerugian dan/atau pelaku Fraud memperoleh keuntungan keuangan
baik secara langsung maupun tidak langsung.
68


3. Dalam rangka memperkuat sistem pengendalian intern, khususnya
untuk mengendalikan Fraud, Bank wajib memiliki dan menerapkan
strategi anti Fraud yang efektif, yang paling kurang memenuhi acuan
minimum dalam pedoman sebagaimana dimaksud dalam Lampiran 1
4. Strategi anti Fraud merupakan bagian dari kebijakan strategis yang
penerapannya diwujudkan dalam sistem pengendalian Fraud (Fraud
control system).
5. Dalam menyusun dan menerapkan strategi anti Fraud yang efektif, Bank
wajib memperhatikan paling kurang hal‐hal sebagai berikut:
a. kondisi lingkungan internal dan eksternal;
b. kompleksitas kegiatan usaha;
c. potensi, jenis, dan risiko Fraud; dan
d. kecukupan sumber daya yang dibutuhkan.
6. Bank yang telah memiliki strategi anti Fraud, namun belum memenuhi
acuan minimum dalam pedoman sebagaimana dimaksud dalam
Lampiran 1 (Lampiran 17 dalam kodifikasi ini), wajib menyesuaikan dan
menyempurnakan strategi anti Fraud yang telah dimiliki.

142 SE 13/28/DPNP Dalam rangka mengendalikan risiko terjadinya Fraud, Bank wajib
2011 menerapkan Manajemen Risiko sebagaimana diatur dalam ketentuan
Romawi II mengenai penerapan Manajemen Risiko bagi Bank Umum dengan
penguatan pada beberapa aspek, antara lain sebagai berikut:
1. Pengawasan Aktif Manajemen
Dalam melakukan penerapan Manajemen Risiko secara umum,
kewenangan, tugas, dan tanggung jawab Dewan Komisaris dan Direksi
mencakup pula hal‐hal yang terkait dengan pengendalian Fraud.
Keberhasilan penerapan strategi anti Fraud secara menyeluruh sangat
tergantung pada arah dan semangat dari Dewan Komisaris dan Direksi
Bank. Dalam hal ini Dewan Komisaris dan Direksi Bank wajib
menumbuhkan budaya dan kepedulian anti Fraud pada seluruh jajaran
organisasi Bank.
2. Struktur Organisasi dan Pertanggungjawaban
Dalam meningkatkan efektifitas penerapan strategi anti Fraud, Bank
wajib membentuk unit atau fungsi yang bertugas menangani penerapan
strategi anti Fraud dalam organisasi Bank. Pembentukan unit atau
fungsi ini harus disertai dengan wewenang dan tanggung jawab yang
jelas. Unit atau fungsi tersebut bertanggung jawab langsung kepada
Direktur Utama serta memiliki hubungan komunikasi dan pelaporan
secara langsung kepada Dewan Komisaris.
3. Pengendalian dan Pemantauan
Pengendalian dan pemantauan Fraud merupakan salah satu aspek
penting sistem pengendalian intern Bank dalam mendukung efektivitas
penerapan strategi anti Fraud.
Pemantauan Fraud perlu dilengkapi dengan sistem informasi yang
memadai sesuai dengan kompleksitas dan tingkat risiko terjadinya
Fraud pada Bank.
Penjelasan lebih lanjut mengenai penerapan Manajemen Risiko terkait
Fraud adalah sebagaimana dimaksud dalam Lampiran 1 (Lampiran 17
69



Strategi Anti Fraud
143 SE 13/28/DPNP Strategi anti Fraud yang dalam penerapannya berupa sistem pengendalian
2011 Fraud, memiliki 4 (empat) pilar sebagai berikut:
Romawi III 1. Pencegahan
Pilar pencegahan merupakan bagian dari sistem pengendalian Fraud
yang memuat langkah‐langkah dalam rangka mengurangi potensi risiko
terjadinya Fraud, yang paling kurang mencakup anti Fraud awareness,
identifikasi kerawanan, dan know your employee.
2. Deteksi
Pilar deteksi merupakan bagian dari sistem pengendalian Fraud yang
memuat langkah‐langkah dalam rangka mengidentifikasi dan
menemukan Fraud dalam kegiatan usaha Bank, yang mencakup paling
kurang kebijakan dan mekanisme whistleblowing, surprise audit, dan
surveillance system.
3. Investigasi, Pelaporan, dan Sanksi
Pilar investigasi, pelaporan, dan sanksi merupakan bagian dari sistem
pengendalian Fraud yang paling kurang memuat langkah‐langkah dalam
rangka menggali informasi (investigasi), sistem pelaporan, dan
pengenaan sanksi atas Fraud dalam kegiatan usaha Bank.
4. Pemantauan, Evaluasi, dan Tindak Lanjut
Pilar pemantauan, evaluasi, dan tindak Lanjut merupakan bagian
dari sistem pengendalian Fraud yang paling kurang memuat langkah‐
langkah dalam rangka memantau dan mengevaluasi Fraud, serta
mekanisme tindak lanjut.
Penjelasan lebih lanjut mengenai 4 (empat) pilar penerapan strategi anti
Fraud adalah sebagaimana dimaksud dalam Lampiran 1 (Lampiran 17

Pelaporan dan Sanksi
144 SE 13/28/DPNP 1. Dalam rangka memantau penerapan strategi anti Fraud, Bank wajib
2011 menyampaikan kepada Bank Indonesia, hal‐hal sebagai berikut:
Romawi IV.1 dan a. Strategi anti Fraud sebagaimana dimaksud pada angka III (Paragraf
2 143 dalam kodifikasi ini), paling lambat tanggal 9 Juni 2012.
b. Laporan penerapan strategi anti Fraud, setiap semester untuk
posisi akhir bulan Juni dan Desember, paling lambat 10 (sepuluh)
hari kerja setelah akhir bulan laporan, dengan format dan cakupan
sebagaimana dimaksud dalam Lampiran 2 (Lampiran 18 dalam
kodifikasi ini). Laporan ini harus disampaikan terhitung sejak
laporan posisi akhir bulan Juni 2012.
c. Setiap Fraud yang diperkirakan berdampak negatif secara
signifikan perhatian publik, paling lambat 3 (tiga) hari kerja setelah
Bank mengetahui terjadinya Fraud. Laporan dimaksud paling
kurang memuat nama pelaku, bentuk penyimpangan/jenis Fraud,
tempat kejadian, informasi singkat mengenai modus, dan indikasi
kerugian. Pelaporan tersebut tidak mengurangi kewajiban Bank
untuk melakukan langkah‐langkah sesuai dengan strategi anti
Fraud yang dimiliki.

70


2. Strategi anti Fraud dan Laporan sebagaimana dimaksud pada ayat 1,
disampaikan kepada Bank Indonesia dengan alamat:
a. Direktorat Pengawasan Bank terkait, Jl. MH Thamrin No. 2, Jakarta
Pusat Bank Indonesia, atau

145 SE 13/28/DPNP Pelanggaran terhadap ketentuan ini dikenakan sanksi administratif sesuai
2011 Peraturan tentang Penerapan Manajemen Risiko bagi Bank Umum, yaitu:
Romawi IV.3 a. sanksi administratif sesuai Pasal 34 (Paragraf 35 dalam kodifikasi ini),
dan
b. untuk pelanggaran penyampaian strategi dan laporan sebagaimana
dimaksud pada angka 1 (Paragraf 145 dalam kodifikasi ini), dikenakan
pula sanksi kewajiban membayar sesuai Pasal 33 (Paragraf 34 dalam
kodifikasi ini).

Penerapan Manajemen Risiko pada Bank Umum yang
Melakukan Layanan Nasabah Prima (LNP)
Umum
146 SE 13/29/DPNP 1. Yang dimaksud dengan Bank Umum, yang selanjutnya disebut Bank,
2011 adalah Bank Umum yang melaksanakan kegiatan usaha secara
Romawi I konvensional dan/atau Bank Umum yang melaksanakan kegiatan
usaha berdasarkan prinsip syariah.
2. Yang dimaksud dengan Layanan Nasabah Prima, yang selanjutnya
disebut LNP, adalah bagian dari kegiatan usaha Bank dalam
menyediakan layanan terkait produk dan/atau aktivitas dengan
keistimewaan tertentu bagi Nasabah Prima.
3. Yang dimaksud dengan Nasabah Prima adalah perseorangan yang
memenuhi kriteria atau persyaratan tertentu yang ditetapkan Bank
untuk dapat memperoleh layanan atau menggunakan fasilitas Bank
dengan keistimewaan tertentu dibandingkan dengan nasabah lain
pada umumnya.
4. Dalam melakukan aktivitas LNP, Bank mengacu pada peraturan‐
peraturan antara lain sebagai berikut:
a. Peraturan Bank Indonesia Nomor 5/8/PBI/2003 tentang
Penerapan Manajemen Risiko Bagi Bank Umum sebagaimana
telah diubah dengan Peraturan Bank Indonesia Nomor
11/25/PBI/2009;
b. Peraturan Bank Indonesia Nomor 7/6/PBI/2005 tentang
Transparansi Informasi Produk Bank dan Penggunaan Data Pribadi
Nasabah;
c. Peraturan Bank Indonesia Nomor 10/17/PBI/2008 tentang Produk
Bank Syariah dan Unit Usaha Syariah;
d. Peraturan Bank Indonesia Nomor 11/28/PBI/2009 tentang
Penerapan Program Anti Pencucian Uang dan Pencegahan
Pendanaan Terorisme bagi Bank Umum;
e. Peraturan Bank Indonesia Nomor 13/23/PBI/2011 tentang
Penerapan Manajemen Risiko Bagi Bank Umum Syariah dan Unit
Usaha Syariah; dan
71


f. Peraturan perundang‐undangan lain yang mengatur mengenai
produk dan/atau aktivitas yang ditawarkan oleh Bank.
5. Bank yang melakukan LNP wajib memiliki kebijakan tertulis sebagai
acuan dalam melakukan LNP yang paling kurang mencakup hal‐hal
sebagai berikut:
a. Persyaratan Nasabah Prima Bank menetapkan kriteria atau
persyaratan tertentu yang harus dipenuhi oleh nasabah untuk
dapat diperlakukan sebagai Nasabah Prima.
b. Ruang lingkup produk dan/atau aktivitas Bank Bank menetapkan
ruang lingkup produk dan/atau aktivitas yang dapat ditawarkan
dalam LNP dengan memperhatikan ketentuan Bank Indonesia dan
peraturan perundang undangan lain yang mengatur mengenai
produk dan/atau aktivitas Bank.
c. Cakupan keistimewaan LNP Bank menetapkan cakupan
keistimewaan layanan yang dapat diberikan kepada Nasabah Prima
baik berupa layanan keuangan maupun non keuangan dengan tetap
memperhatikan kepatuhan terhadap ketentuan Bank Indonesia dan
peraturan perundang‐undangan lain yang terkait.
d. Nama layanan dan pengelompokan Nasabah Prima Dalam
melakukan LNP, Bank harus menetapkan nama layanan (brand
name) tertentu. Dalam hal Bank melakukan pengelompokan
Nasabah Prima, maka Bank harus menetapkan secara jelas
perbedaan keistimewaan layanan untuk setiap kelompok Nasabah
Prima.

147 SE 13/29/DPNP Dalam melakukan LNP, selain menerapkan manajemen risiko secara umum
2011 sebagaimana diatur dalam ketentuan Bank Indonesia yang mengatur
Romawi II mengenai manajemen risiko, Bank harus menerapkan manajemen risiko
pada aspek‐aspek tertentu sebagai berikut:
1. Aspek pendukung keistimewaan layanan
Dalam melakukan LNP, Bank harus menerapkan manajemen risiko
pada aspek pendukung keistimewaan layanan yang paling kurang
mencakup :
a. Sumber daya manusia
Bank harus memastikan tersedianya sumber daya manusia yang
memadai dari sisi kualitas dan kuantitas sesuai dengan
karakteristik dan kompleksitas LNP. Hal tersebut perlu didukung
dengan antara lain adanya penetapan persyaratan dan kualifikasi
untuk jabatan tertentu dalam melakukan LNP, penetapan
wewenang dan tanggung jawab yang jelas, penerapan prinsip
know your employee, sistem remunerasi yang jelas dan transparan,
dan kebijakan pengendalian risiko yang terkait dengan manajemen
sumber daya manusia antara lain rekrutmen, promosi, rotasi,
mutasi, dan cuti.

b. Operasional LNP
Dalam rangka melaksanakan kebijakan yang telah ditetapkan
sebagaimana dimaksud dalam butir I.5 (Paragraf 146 ayat 5 dalam
kodifikasi ini), Bank wajib memiliki prosedur tertulis untuk kegiatan
72


operasional LNP yang mencakup setiap produk dan/atau aktivitas
yang ditawarkan kepada Nasabah Prima.
Penetapan prosedur khusus pada LNP harus memenuhi ketentuan
yang mengatur mengenai penerapan manajemen risiko terutama
pada aspek pengendalian intern dan ketentuan yang mengatur
mengenai anti pencucian uang dan pencegahan pendanaan
terorisme (APU dan PPT).

c. Penawaran produk dan/atau aktivitas
Dalam menetapkan jenis produk dan/atau aktivitas yang akan
ditawarkan dalam LNP kepada masing‐masing Nasabah Prima,
Bank wajib mempertimbangkan kesesuaian spesifikasi,
karakteristik, dan risiko dari produk dan/atau aktivitas yang
ditawarkan dengan karakteristik dan profil Nasabah Prima.

d. Teknologi informasi
Dalam pengoperasian LNP, selain memiliki sumber daya manusia
yang memadai, Bank perlu memiliki infrastruktur lain yang
memadai antara lain berupa teknologi informasi. Dari sisi
penerapan manajemen risiko dalam penggunaan teknologi
informasi, Bank paling kurang harus dapat menghasilkan laporan
yang akurat dan komprehensif dalam melakukan LNP baik untuk
kepentingan Bank maupun Nasabah Prima serta memastikan
keamanan data dan informasi yang ada.

2. Aspek transparansi, edukasi, dan perlindungan nasabah
Dalam melaksanakan LNP, selain mengacu pada ketentuan Bank
Indonesia yang mengatur mengenai transparansi informasi produk
bank, edukasi, dan perlindungan nasabah, Bank juga wajib
melaksanakan paling kurang hal‐hal sebagai berikut:
a. Menjelaskan mengenai spesifikasi LNP
Bank wajib menjelaskan nama LNP, masing‐masing kelompok
Nasabah Prima dalam LNP dan kriterianya beserta cakupan
layanan keistimewaan yang diberikan, serta karakteristik termasuk
risiko dari produk dan/atau aktivitas yang ditawarkan kepada
Nasabah Prima.
b. Memastikan kejelasan hubungan antara Bank dan Nasabah Prima
Hubungan antara bank dan Nasabah Prima dalam LNP harus
didasarkan pada kesepakatan tertulis yang paling kurang memuat
hak dan kewajiban masing‐masing pihak, serta tata cara
penyelesaian apabila terjadi perselisihan.
c. Memastikan kejelasan kewenangan pelaku transaksi
Bank wajib memiliki suatu mekanisme yang bertujuan untuk
memastikan bahwa transaksi dilakukan oleh Nasabah Prima yang
bersangkutan atau kuasa yang mewakili Nasabah Prima tersebut
sesuai kesepakatan tertulis dengan Nasabah Prima.
d. Menyampaikan informasi secara berkala
Bank wajib menginformasikan secara berkala posisi atau eksposur
masing masing Nasabah Prima berdasarkan kesepakatan tertulis
dengan Nasabah Prima.

73


Lain‐Lain
148 SE 13/29/DPNP 1. Dalam rangka pengelolaan dan pemantauan risiko terkait kegiatan
2011 LNP, Bank wajib menatausahakan data, dokumen atau warkat terkait
Romawi III transaksi keuangan dan aktivitas Nasabah Prima dalam LNP antara lain
berdasarkan peraturan perundang‐undangan yang mengatur
mengenai dokumen perusahaan, ketentuan Bank Indonesia yang
mengatur mengenai APU dan PPT, dan kebijakan dan prosedur intern
Bank. Mengenai data yang wajib ditatausahakan antara lain meliputi
jumlah nasabah, volume produk yang dijual, kantor yang memberikan
layanan, dan informasi terkait lainnya yang selalu dikinikan secara
berkala.
2. Penyusunan kebijakan LNP sebagaimana dimaksud dalam butir I.5
(Paragraf 146 ayat 5 dalam kodifikasi ini) dan penerapan manajemen
risiko dalam kegiatan LNP sebagaimana dimaksud dalam angka II
(Paragraf 147 dalam kodifikasi ini) paling kurang mengacu pada
Pedoman Penerapan Manajemen Risiko pada Bank yang Melakukan
LNP, yang merupakan lampiran dan bagian yang tidak terpisahkan dari
Surat Edaran Bank Indonesia ini (lampiran 19 dalam kodifikasi ini).
3. Bank yang akan melakukan LNP yang memenuhi kriteria sebagai
aktivitas baru, harus menyampaikan laporan rencana pelaksanaan
aktivitas baru yang diatur sebagai berikut:
a. bagi bank umum konvensional, mengacu pada ketentuan tentang
Pelaporan Produk atau Aktivitas Baru;
b. bagi bank umum syariah, mengacu pada ketentuan Bank
Indonesia yang mengatur mengenai pelaporan produk atau
aktivitas baru.
4. Bank yang telah melakukan LNP sebelum Surat Edaran Bank Indonesia
ini berlaku wajib:
a. melakukan gap analysis untuk pemenuhan ketentuan terhadap:
1) kebijakan LNP; dan
2) penerapan manajemen risiko pada aspek tertentu;
b. menyusun action plan untuk menyempurnakan kebijakan LNP dan
penerapan manajemen risiko yang memiliki gap;
c. menyampaikan laporan kepada Bank Indonesia yang meliputi:
1) hasil pelaksanaan gap analysis dan action plan sebagaimana
dimaksud pada huruf a dan huruf b paling lama 3 (tiga) bulan
setelah Surat Edaran Bank Indonesia ini berlaku; dan
2) realisasi action plan paling lambat akhir Juni 2012.
5. Dalam hal terdapat gap atas prosedur LNP tertentu, maka Bank wajib
segera melakukan mitigasi risiko atas gap tersebut dalam melakukan
LNP, tanpa menunggu realisasi action plan sebagaimana dimaksud pada
ayat 4 huruf c.2).
6. Laporan sebagaimana ayat 4 huruf c disampaikan kepada:
a. Direktorat yang melakukan pengawasan Bank, Bank Indonesia,
Menara Radius Prawiro, Jl. M.H. Thamrin Nomor 2, Jakarta, 10350,
Indonesia; atau
luar wilayah sebagaimana dimaksud pada huruf a.

74


Sanksi
149 SE 13/29/DPNP Bank yang melanggar ketentuan yang terkait dengan manajemen risiko,
2011 APU dan PPT, atau transparansi produk sebagaimana diatur dalam Surat
Romawi IV.1 Edaran ini masing‐masing dikenakan sanksi administratif sebagaimana
diatur dalam:
1. Pasal 34 Peraturan Bank Indonesia Nomor 5/8/PBI/2003 tentang
Penerapan Manajemen Risiko Bagi Bank Umum sebagaimana telah
diubah dengan Peraturan Bank Indonesia Nomor 11/25/PBI/2009, bagi
Bank Umum Konvensional (Paragraf 35 dalam kodifikasi ini);
Penerapan Manajemen Risiko Bagi Bank Umum Syariah dan Unit Usaha
Syariah, bagi Bank Umum Syariah (Paragraf 241 dalam kodifikasi ini);
3. Pasal 50 ayat (4) Peraturan Bank Indonesia Nomor 11/28/PBI/2009
tentang Penerapan Program Anti Pencucian Uang dan Pencegahan
Pendanaan Terorisme bagi Bank Umum; atau
Transparansi Informasi Produk Bank dan Penggunaan Data Pribadi
Nasabah.

150 SE 13/29/DPNP Selain dikenakan sanksi administratif sebagaimana dimaksud pada angka 1
2011 (Paragraf 149 dalam kodifikasi ini), Bank yang melanggar kewajiban
Romawi IV.2 pelaporan dalam Surat Edaran Bank Indonesia ini diatur sebagai berikut:
1. bagi Bank Umum Konvensional yang melanggar kewajiban pelaporan
sebagaimana dimaksud pada butir III.3 (Paragraf 148 ayat 3 dalam
kodifikasi ini) dan butir III.4.c (Paragraf 148 ayat 4 huruf c dalam
kodifikasi ini) dikenakan sanksi sebagaimana dimaksud pada Paragraf
34; atau
2. bagi Bank Umum Syariah yang melanggar kewajiban pelaporan
sebagaimana dimaksud pada butir III.3 (Paragraf 148 ayat 3 dalam
kodifikasi ini) dikenakan sanksi sebagaimana dimaksud pada Pasal 10
ayat (1) Peraturan Bank Indonesia Nomor 10/17/PBI/2008 tentang
Produk Bank Syariah dan Unit Usaha Syariah.

Penerapan Manajemen Risiko Secara Konsolidasi Bagi Bank
yang Melakukan Pengendalian Terhadap Perusahaan Anak
diubah dengan Undang‐Undang Nomor 10 Tahun 1998, termasuk
kantor cabang bank asing.
dan atau dikendalikan oleh Bank secara langsung maupun tidak
langsung, baik di dalam maupun di luar negeri, yang memenuhi kriteria
sebagaimana diatur dalam Peraturan Bank Indonesia ini.
3. Pengendalian adalah Pengendalian sebagaimana diatur dalam
ketentuan Bank Indonesia yang berlaku tentang Transparansi Kondisi
Keuangan Bank.
4. Kewajiban Penyediaan Modal Minimum yang untuk selanjutnya
disebut KPMM adalah KPMM sebagaimana diatur dalam ketentuan
75


Bank Indonesia yang berlaku tentang Kewajiban Penyediaan Modal
Minimum Bank Umum dan Kewajiban Penyediaan Modal Minimum
Bank Umum Berdasarkan Prinsip Syariah.
5. Batas Maksimum Pemberian Kredit yang untuk selanjutnya disebut
BMPK adalah BMPK sebagaimana diatur dalam ketentuan Bank
Indonesia yang berlaku tentang Batas Maksimum Pemberian Kredit
Bank Umum.

152 Pasal 2 (1) Bank yang memiliki dan atau melakukan Pengendalian terhadap
8/6/PBI/2006 Perusahaan Anak wajib melakukan penerapan manajemen risiko
secara konsolidasi.

Penerapan manajemen risiko secara konsolidasi dilakukan dengan
mengacu pada ketentuan Bank Indonesia yang berlaku tentang
Penerapan Manajemen Risiko bagi Bank Umum, yang mencakup:
b. kecukupan kebijakan, prosedur dan penetapan limit;
c. kecukupan proses identifikasi, pengukuran, pemantauan dan
pengendalian risiko serta sistem informasi manajemen risiko;
dan

(2) Penerapan manajemen risiko secara konsolidasi sebagaimana
dimaksud pada ayat (1) tidak berlaku bagi Perusahaan Anak yang
dimiliki dan atau dikendalikan oleh Bank karena adanya penyertaan
modal sementara dalam rangka restrukturisasi kredit.

153 Pasal 3 Perusahaan Anak sebagaimana dimaksud dalam Pasal 2 ayat (1) (Paragraf
8/6/PBI/2006 152 ayat (1) dalam kodifikasi ini) adalah perusahaan yang melakukan
kegiatan usaha di bidang keuangan, yang terdiri dari:

Termasuk dalam kegiatan usaha di bidang keuangan antara lain jasa
perbankan, sewa guna usaha, modal ventura, perusahaan efek, asuransi,
perusahaan pembiayaan serta lembaga kliring penyelesaian dan
penyimpanan.

dengan kepemilikan Bank lebih dari 50% (lima puluh perseratus);
Anak dengan kepemilikan Bank 50% (lima puluh perseratus) atau
kurang, namun Bank memiliki Pengendalian terhadap perusahaan;
c. Perusahaan dengan kepemilikan Bank lebih dari 20% (dua puluh
perseratus) sampai dengan 50% (lima puluh perseratus) yang
memenuhi persyaratan yaitu:
i. kepemilikan Bank dan para pihak lainnya pada Perusahaan Anak
adalah masing‐masing sama besar; dan
ii. masing‐masing pemilik melakukan Pengendalian secara bersama
terhadap Perusahaan Anak;

76


Yang dimaksud dengan Pengendalian secara bersama adalah
pengendalian bersama oleh para pemilik atas Perusahaan Anak
yang didasarkan pada perjanjian kontraktual.
Pengendalian bersama harus dibuktikan dengan adanya
kesepakatan atau komitmen secara tertulis dari para pemilik untuk
memberikan dukungan baik finansial maupun non finansial sesuai
kepemilikannya masing‐masing.


154 Pasal 4 (1) Dalam hal Bank memiliki dan atau mengendalikan Perusahaan Anak
8/6/PBI/2006 yang melakukan kegiatan usaha asuransi, maka:

Asuransi memiliki karakteristik risiko yang sangat berbeda dengan Bank
sehingga tidak diterapkan penilaian manajemen risiko secara
konsolidasi terutama untuk hal‐hal yang bersifat kuantitatif.

a. penerapan manajemen risiko secara konsolidasi sebagaimana
dimaksud dalam Pasal 2 ayat (1) (Paragraf 153 ayat (1) dalam
kodifikasi ini) dilakukan melalui penilaian dan penyampaian laporan
penerapan manajemen risiko pada perusahaan asuransi secara
tersendiri;

Penilaian dilakukan dengan mengacu pada ketentuan dari otoritas
yang berwenang.

b. ketentuan sebagaimana diatur dalam Pasal 6, Pasal 7, Pasal 8, Pasal
9, Pasal 10, Pasal 12, Pasal 13, Pasal 16 dan Pasal 18 (Paragraf 156,
Paragraf 157, Paragraf 158, Paragraf 159, Paragraf 160, Paragraf
162, Paragraf 163, Paragraf 166 dan Paragraf 168 dalam kodifikasi
ini) tidak diterapkan.

SE 8/27/DPNP (2) Penerapan manajemen risiko secara konsolidasi bagi Bank dan
2006 Perusahaan Anak, juga diterapkan pada Perusahaan Anak yang
Romawi IV melakukan kegiatan usaha asuransi. Penerapan manajemen risiko
secara konsolidasi bagi Bank yang memiliki dan/atau mengendalikan
Perusahaan Anak yang melakukan kegiatan usaha asuransi dilakukan
antara lain dengan cara:
a. memantau pemenuhan tingkat rasio solvabilitas minimum (RBC
minimum) dan pemenuhan prinsip kehati‐hatian lainnya yang diatur
oleh otoritas pengawas yang berwenang; dan
b. memperhitungkan penyertaan pada perusahaan anak yang
melakukan kegiatan usaha asuransi sebagai faktor pengurang dalam
perhitungan modal Bank secara konsolidasi.
(3) Dalam perhitungan KPMM secara konsolidasi bagi Bank yang memiliki
Perusahaan Anak yang melakukan kegiatan usaha asuransi, maka
perhitungan modal Bank secara konsolidasi dilakukan sebagai berikut:
a. Penyertaan Bank pada Perusahaan Anak yang melakukan kegiatan
usaha asuransi tidak diperhitungkan dalam ATMR Bank secara
konsolidasi.

77


b. Dalam hal Perusahaan Anak yang melakukan kegiatan usaha
asuransi tidak memenuhi ketentuan RBC minimum yang
ditetapkan oleh otoritas pengawas yang berwenang, maka:
1) Penyertaan Bank kepada Perusahaan Anak yang melakukan
kegiatan usaha asuransi diperhitungkan sebagai faktor
pengurang modal yaitu sebesar jumlah penyertaan Bank
kepada Perusahaan Anak yang melakukan kegiatan usaha
asuransi setelah dikurangi cadangan khusus penyisihan
penghapusan aktiva; dan
2) Kekurangan modal (shortfall) Perusahaan Anak yang
melakukan kegiatan usaha asuransi dari RBC minimum
diperhitungkan sebagai faktor pengurang modal inti sebesar
100% (seratus perseratus), apabila Perusahaan Anak yang
melakukan kegiatan usaha asuransi tidak dapat memenuhi
RBC minimum sampai dengan jangka waktu yang ditetapkan
oleh otoritas pengawas yang berwenang.
c. Dalam hal Perusahaan Anak yang melakukan kegiatan usaha
asuransi memenuhi ketentuan RBC minimum yang ditetapkan oleh
otoritas pengawas yang berwenang, maka penyertaan Bank
kepada Perusahaan Anak yang melakukan kegiatan usaha asuransi
diperhitungkan sebagai faktor pengurang modal konsolidasi yaitu
sebesar jumlah penyertaan Bank kepada Perusahaan Anak yang
melakukan kegiatan usaha asuransi setelah dikurangi cadangan
khusus penyisihan penghapusan aktiva.

BAB II Sistem dan Informasi Pelaporan
155 Pasal 5 (1) Bank wajib memiliki sistem yang dapat mengidentifikasi, mengukur,
8/6/PBI/2006 memantau dan mengendalikan risiko usaha dari Bank dan Perusahaan
Anak agar dapat menerapkan manajemen risiko secara konsolidasi
dengan efektif.
(2) Sistem yang wajib dimiliki Bank sebagaimana dimaksud pada ayat (1),
a. Sistem informasi akuntansi; dan

Sistem informasi akuntansi antara lain meliputi sistem yang dapat
menghasilkan laporan keuangan, perhitungan KPMM, penilaian
kualitas aktiva dan pembentukan penyisihan penghapusan aktiva,
perhitungan BMPK yang menghitung seluruh eksposur bank dan
eksposur Perusahaan Anak secara konsolidasi serta penilaian
tingkat kesehatan secara konsolidasi. Penyusunan laporan
keuangan konsolidasi mengacu pada Standar Akuntansi Keuangan
yang berlaku.

SE 8/27/DPNP Sistem informasi akuntansi yang wajib dimiliki Bank paling kurang
2006 harus mampu menghasilkan laporan keuangan secara konsolidasi
Romawi II dan laporan lain dalam rangka pelaksanaan prinsip kehati‐hatian.
Dalam menyusun laporan keuangan secara konsolidasi serta
menetapkan metode dan teknik konsolidasi yang digunakan, Bank
wajib mengacu pada standar akuntansi keuangan yang berlaku.
Sementara itu, prinsip kehati‐hatian yang wajib dilaksanakan oleh
78


Bank antara lain mencakup perhitungan Kewajiban Penyediaan
Modal Minimum (KPMM) secara konsolidasi, penilaian kualitas
aktiva dan pembentukan penyisihan penghapusan aktiva (PPA)
untuk Bank dan Perusahaan Anak, perhitungan Batas Maksimum
Pemberian Kredit (BMPK) yang menghitung seluruh eksposur Bank
dan eksposur Perusahaan Anak secara konsolidasi serta penilaian
tingkat kesehatan secara konsolidasi.

b. Sistem informasi manajemen risiko.

Sistem informasi manajemen risiko mengacu pada ketentuan Bank
Indonesia yang berlaku tentang Penerapan Manajemen Risiko bagi
Bank Umum.

SE 8/27/DPNP Dalam rangka penerapan manajemen risiko secara konsolidasi,
2006 sistem informasi manajemen risiko merupakan bagian dari sistem
Romawi II informasi manajemen yang harus dimiliki dan dikembangkan sesuai
dengan kebutuhan Bank, yang mengacu pada ketentuan Bank
Indonesia yang berlaku mengenai Penerapan Manajemen Risiko
bagi Bank Umum.
Sebagai bagian dari penerapan manajemen risiko secara
konsolidasi, Bank wajib memiliki sistem informasi manajemen risiko
yang dapat memastikan:
a) terukurnya eksposur risiko secara akurat, informatif, dan tepat
waktu, baik eksposur risiko secara keseluruhan/komposit
maupun eksposur per jenis risiko yang melekat pada kegiatan
usaha Bank dan Perusahaan Anak, maupun eksposur risiko per
jenis aktivitas fungsional Bank dan Perusahaan Anak;
b) dipatuhinya penerapan manajemen risiko terhadap kebijakan,
prosedur, dan penetapan limit risiko;
c) tersedianya hasil (realisasi) penerapan manajemen risiko
dibandingkan dengan target yang ditetapkan secara konsolidasi
oleh Bank sesuai dengan kebijakan dan strategi penerapan
manajemen risiko.

BAB III Perhitungan KPMM
156 Pasal 6 (1) Bank wajib memenuhi ketentuan KPMM baik untuk Bank secara
8/6/PBI/2006 individual maupun untuk Bank dan Perusahaan Anak secara
konsolidasi.

Perhitungan KPMM secara konsolidasi dilakukan dengan menghitung
modal dan aktiva tertimbang menurut risiko dari laporan keuangan
konsolidasi.
Berdasarkan ketentuan dalam ayat ini, maka persentase KPMM untuk
Bank sebagaimana diatur dalam ketentuan Bank Indonesia yang
berlaku tentang KPMM Bank Umum dan KPMM Bank Umum
Berdasarkan Prinsip Syariah, juga diberlakukan secara konsolidasi.
Penyertaan pada perusahaan yang tidak diwajibkan untuk memenuhi
ketentuan KPMM secara konsolidasi, tetap diperhitungkan sebagai
faktor pengurang modal dalam perhitungan KPMM secara konsolidasi.
79


Untuk perhitungan KPMM Bank secara individual, penyertaan pada
Perusahaan Anak yang dikonsolidasikan tetap diperhitungkan sebagai
faktor pengurang modal sebagaimana diatur dalam ketentuan Bank
Indonesia yang berlaku tentang KPMM Bank Umum dan KPMM Bank
Umum Berdasarkan Prinsip Syariah.

SE 8/27/DPNP (2) Dalam rangka penerapan manajemen risiko secara konsolidasi,
2006 perhitungan KPMM secara konsolidasi antara Bank dan Perusahaan
Romawi III.A Anak selain Perusahaan Anak yang melakukan kegiatan usaha di
bidang asuransi sebagaimana dimaksud pada Pasal 4 ayat (2) dan ayat
(3) (Paragraf 154 ayat (2) dan ayat (3) dalam kodifikasi ini), dilakukan
dengan memperhatikan hal‐hal berikut:
1. Perhitungan KPMM secara konsolidasi dilakukan dengan cara
membandingkan modal secara konsolidasi dengan aktiva
tertimbang menurut risiko (ATMR) secara konsolidasi.
2. Kewajiban perhitungan dan pemenuhan persentase KPMM secara
konsolidasi tidak menghilangkan kewajiban Bank untuk
melakukan perhitungan dan pemenuhan persentase KPMM
secara individual sesuai ketentuan yang berlaku mengenai KPMM.
3. Perhitungan dan pemenuhan persentase KPMM secara
konsolidasi sebagaimana dimaksud pada angka 1 dilakukan
dengan memperhitungkan risiko kredit dan risiko pasar.
4. Perhitungan KPMM secara konsolidasi dengan memperhitungkan
risiko pasar diberlakukan bagi:
a. Bank yang secara individual sesuai dengan ketentuan yang
berlaku telah diwajibkan untuk memperhitungkan risiko pasar
dalam perhitungan KPMM; atau
b. Bank yang secara konsolidasi memiliki posisi surat berharga
termasuk posisi saham dan/atau posisi transaksi derivatif
dalam trading book sama atau lebih besar dengan kriteria
posisi surat berharga dan/atau posisi transaksi derivatif dalam
trading book bagi Bank yang wajib memperhitungkan risiko
pasar dalam perhitungan KPMM sesuai ketentuan Bank
Indonesia yang berlaku.
(3) Cara menghitung KPMM secara konsolidasi sebagaimana dimaksud
pada angka 1 dilakukan sebagai berikut:
Aspek Permodalan
1) Modal secara konsolidasi meliputi modal inti secara
konsolidasi ditambah dengan modal pelengkap secara
konsolidasi.
2) Komponen‐komponen yang dapat diperhitungkan sebagai
modal inti dan modal pelengkap dalam perhitungan modal
Bank secara konsolidasi, termasuk Perusahaan Anak, mengacu
kepada ketentuan Bank Indonesia yang berlaku mengenai
KPMM.
3) Modal inti secara konsolidasi wajib telah memperhitungkan
kekurangan modal (shortfall) dari pemenuhan tingkat rasio
solvabilitas minimum (Risk Based Capital/RBC minimum)
sebagaimana dimaksud dalam Pasal 4 ayat (3) huruf b.2)
(Paragraf 154 ayat (3) huruf b.2) dalam kodifikasi ini).
80


4) Modal pelengkap konsolidasi hanya dapat diperhitungkan
paling tinggi 100% (seratus perseratus) dari modal inti secara
konsolidasi.
5) Kepentingan minoritas (minority interest) diperhitungkan
sebagai modal inti, kecuali terdapat bagian dari kepentingan
minoritas yang tidak sesuai dengan komponen modal inti
sebagaimana dimaksud dalam ketentuan mengenai KPMM
Bank Umum yang berlaku.
6) Jumlah kepentingan minoritas yang diperhitungkan sebagai
modal inti sebagaimana dimaksud dalam angka 5) dapat tidak
diperhitungkan dalam modal secara konsolidasi oleh Bank
Indonesia berdasarkan beberapa pertimbangan antara lain:
a) kepemilikan Bank pada Perusahaan Anak 50% (lima puluh
perseratus) atau kurang; dan
b) tidak terdapat keterkaitan/afiliasi antara pemegang saham
lain (minority interest) dengan Bank; atau
c) tidak terdapat kesediaan dari pemegang saham lain
(minority interest) untuk mendukung modal kelompok
usaha Bank yang dibuktikan dengan surat pernyataan atau
keputusan rapat umum pemegang saham (RUPS)
Perusahaan Anak.
7) Pinjaman subordinasi Perusahaan Anak dapat dijadikan modal
pelengkap untuk perhitungan KPMM Bank secara konsolidasi
sepanjang memenuhi persyaratan (terms and condition) untuk
diperhitungkan sebagai modal sesuai ketentuan Bank
Indonesia yang berlaku mengenai KPMM. Untuk dapat
diperhitungkan sebagai modal pelengkap, Bank wajib
menyampaikan data pendukung yang menunjukkan bahwa
seluruh persyaratan (terms and condition) pinjaman
subordinasi tersebut telah terpenuhi sesuai dengan ketentuan
Bank Indonesia yang berlaku.
8) Dalam hal Bank wajib memperhitungkan risiko pasar secara
konsolidasi sebagaimana dimaksud dalam ayat (2) angka 4,
maka modal secara konsolidasi dapat ditambahkan dengan
modal pelengkap tambahan. Perhitungan modal pelengkap
tambahan secara konsolidasi wajib memenuhi kriteria dan
persyaratan modal pelengkap tambahan sebagaimana diatur
dalam ketentuan Bank Indonesia yang berlaku mengenai
KPMM dengan memperhitungkan risiko pasar bagi Bank secara
individual.
9) Perhitungan modal secara konsolidasi juga wajib
memperhitungkan faktor pengurang berupa penyertaan Bank
pada perusahaan yang tidak wajib dilakukan penerapan
manajemen risiko secara konsolidasi setelah dikurangi
cadangan khusus penyisihan penghapusan aktiva, kecuali
penyertaan modal sementara dalam rangka restrukturisasi
kredit.

81


157 Pasal 7 Bank wajib melakukan perhitungan aktiva tertimbang menurut risiko
8/6/PBI/2006 untuk eksposur risiko Perusahaan Anak sesuai dengan ketentuan Bank

Sebagai contoh, bagi Bank yang telah diwajibkan untuk menghitung risiko
pasar dan memiliki Perusahaan Anak berupa perusahaan efek, maka
perhitungan aktiva tertimbang menurut risiko secara konsolidasi untuk
risiko pasar juga mencakup perhitungan risiko ekuitas (equity risk) dari
perusahaan efek tersebut.

SE 8/27/DPNP Aktiva Tertimbang Menurut Risiko (ATMR)
2006 ATMR secara konsolidasi terdiri dari ATMR untuk risiko kredit secara
Romawi III.B konsolidasi dan ATMR untuk risiko pasar secara konsolidasi.
1) ATMR untuk risiko kredit secara konsolidasi
a) Perhitungan ATMR untuk risiko kredit secara konsolidasi mengacu
kepada ketentuan yang berlaku mengenai KPMM bagi Bank secara
individual.
b) Dalam menghitung ATMR untuk risiko kredit secara konsolidasi,
masing‐masing pos aktiva secara konsolidasi termasuk pos
kewajiban komitmen dan kontinjensi, dihitung berdasarkan bobot
risiko sesuai kadar risiko yang melekat pada aktiva tersebut.
c) Pedoman perhitungan ATMR untuk risiko kredit secara konsolidasi
mengacu pada rincian Lampiran 5 Formulir 1 Surat Edaran Bank
Indonesia ini (Lampiran 24 Formulir I dalam kodifikasi ini).
2) ATMR untuk risiko pasar secara konsolidasi
a) Perhitungan ATMR untuk risiko pasar secara konsolidasi meliputi
risiko suku bunga, risiko nilai tukar, dan risiko ekuitas yang
dilakukan dengan cara melakukan pembebanan modal. Dalam hal
Bank atau Perusahaan Anak melakukan kegiatan usaha berdasarkan
prinsip Syariah, maka perhitungan ATMR untuk risiko pasar hanya
meliputi risiko nilai tukar.
b) Risiko ekuitas merupakan risiko kerugian akibat perubahan harga
dari posisi ekuitas yang dimiliki. Posisi ekuitas mencakup posisi yang
timbul dari transaksi saham seperti transaksi saham biasa (common
stocks) baik dengan atau tanpa hak suara (voting rights), surat
berharga yang dapat dikonversi (convertible securities) yang
memiliki karakteristik seperti saham, dan komitmen termasuk opsi
untuk membeli dan menjual saham, namun tidak termasuk saham
preferen yang tidak dapat dikonversi (non‐convertible preference
shares).
c) Perhitungan ATMR untuk risiko pasar secara konsolidasi diperoleh
dengan cara melakukan perkalian antara jumlah beban modal
secara konsolidasi untuk seluruh jenis risiko pasar dengan angka
12,5 (dua belas koma lima).
d) Perhitungan risiko suku bunga dan risiko nilai tukar pada ATMR
untuk risiko pasar secara konsolidasi serta persyaratannya mengacu
pada ketentuan yang berlaku mengenai KPMM dengan
memperhitungkan risiko pasar.
e) Perhitungan risiko ekuitas pada ATMR untuk risiko pasar secara
konsolidasi wajib dilakukan oleh Bank yang melakukan
82


pengendalian terhadap Perusahaan Anak yang memiliki eksposur
risiko ekuitas. Perhitungan risiko ekuitas meliputi risiko spesifik
(specific risk) dan risiko umum (general market risk) pada trading
book.
f) Beban modal untuk risiko ekuitas dihitung dengan melakukan
penjumlahan beban modal untuk risiko spesifik dan risiko umum.
g) Posisi ekuitas yang diperhitungkan dalam risiko ekuitas adalah
posisi long dan posisi short yang termasuk trading book. Posisi long
dan posisi short harus dihitung secara terpisah untuk setiap pasar
keuangan dimana Bank melakukan transaksi saham.
h) Posisi long dan posisi short ekuitas dapat saling hapus apabila
kedua posisi tersebut identik. Yang dimaksud dengan posisi identik
adalah posisi ekuitas yang berasal dari emiten yang sama dan
diperdagangkan di pasar keuangan yang sama.
Sebagai contoh:
Perusahaan Anak membeli saham PT. X di Bursa Efek Jakarta dan
Perusahaan Anak menjual kontrak berjangka (Forward) saham PT. X
di Bursa Efek Jakarta dapat saling hapus karena memenuhi syarat
identik
i) Perhitungan beban modal untuk risiko ekuitas dilakukan secara
terpisah yaitu:
i. perhitungan risiko spesifik sebesar 8% (delapan perseratus) dari
gross equity position; dan
ii. perhitungan risiko umum sebesar 8% (delapan perseratus) dari
overall net position.

Contoh:
(a) Proses offsetting posisi long dan posisi short pada perusahaan A =
(10.000 x Rp.100) ‐ (2.000 x Rp.100) =Rp. 800.000 (Long)
(b) Jumlah posisi long = Rp. 800.000 + Rp. 4.000.000 = Rp. 4.800.000
(c) Jumlah posisi short = Rp. 3.000.000 + Rp. 2.000.000 +Rp. 1.000.000 =
Rp.6.000.000
(d) Risiko spesifik = (Rp. 4.800.000 + Rp. 6.000.000) x 8% = Rp. 864.000
(e) Risiko umum = (Rp. 4.800.000 – Rp. 6.000.000) x 8% = Rp. 96.000
(f) Risiko ekuitas = Rp. 864.000 + Rp. 96.000 = Rp.960.000
Dari perhitungan tersebut, maka beban modal atas risiko ekuitas secara
konsolidasi adalah sebesar Rp960.000,00 (sembilan ratus enam puluh ribu
83


rupiah). Beban modal tersebut digabung dengan beban modal atas risiko
pasar lainnya seperti beban modal atas risiko suku bunga dan risiko nilai
tukar. Jumlah dari beban modal atas risiko pasar tersebut dikalikan dengan
angka 12,5 (dua belas koma lima) untuk mendapatkan ATMR risiko pasar
secara konsolidasi.

BAB IV Penilaian Kualitas Aktiva
158 Pasal 8 (1) Untuk kepentingan penyusunan laporan keuangan konsolidasi dan
8/6/PBI/2006 perhitungan KPMM, Bank wajib melakukan penilaian kualitas aktiva dan
membentuk penyisihan penghapusan aktiva untuk seluruh aktiva
Perusahaan Anak paling kurang sesuai dengan ketentuan Bank Indonesia
yang berlaku.

Ketentuan dalam ayat ini dimaksudkan agar laporan keuangan
konsolidasi dan perhitungan KPMM dapat dilakukan secara lebih tepat,
sesuai dengan risiko yang telah dapat diperkirakan (expected risk).

SE 8/27/DPNP (2) Bank wajib melakukan penilaian kualitas aktiva terhadap aktiva Bank
2006 dan Perusahaan Anak dalam rangka membentuk penyisihan
Romawi V penghapusan aktiva. Pembentukan penyisihan penghapusan aktiva
dimaksudkan agar laporan keuangan Bank dan Perusahaan Anak dapat
dikonsolidasikan secara wajar, dan perhitungan KPMM secara
konsolidasi dapat dilakukan dengan lebih akurat. Penilaian kualitas
aktiva secara konsolidasi dilakukan terhadap aktiva produktif dan aktiva
non produktif Bank serta aktiva produktif Perusahaan Anak sesuai
dengan ketentuan Bank Indonesia yang berlaku mengenai Penilaian
Kualitas Aktiva Bank Umum dan Penilaian Kualitas Aktiva Bagi Bank
Syariah.
A. Penilaian Kualitas Aktiva Produktif
1. Dalam hal Perusahaan Anak memiliki aktiva yang dapat
disetarakan dengan kredit/pembiayaan pada Bank, penilaian
kualitas aktiva oleh Bank atas aktiva produktif Perusahaan Anak
paling kurang dilakukan berdasarkan ketepatan pembayaran
pokok dan/atau bunga/margin/fee/bagi hasil.
2. Berdasarkan penilaian pada angka 1, kualitas kredit/pembiayaan
ditetapkan menjadi Lancar, Dalam Perhatian Khusus, Kurang
lancar, Diragukan, dan Macet sesuai ketentuan Bank Indonesia
yang berlaku mengenai Penilaian Kualitas Aktiva Bank Umum dan
Kualitas Aktiva Bagi Bank Syariah.
3. Dalam hal Perusahaan Anak memiliki aktiva yang dapat
disetarakan dengan surat berharga pada Bank, maka penilaian
kualitas surat berharga oleh Bank mengikuti ketentuan Bank
Indonesia yang berlaku mengenai Penilaian Kualitas Aktiva Bank
Umum dan Kualitas Aktiva Bagi Bank Syariah.
4. Dalam hal Perusahaan Anak memiliki surat berharga berupa
saham maka penetapan kualitas saham oleh Bank dilakukan
sebagai berikut:
a. lancar, sepanjang saham dimaksud aktif diperdagangkan di
bursa efek di Indonesia dan terdapat informasi nilai pasar
secara transparan.
84


b. apabila saham tidak memenuhi kriteria sebagaimana
dimaksud pada huruf a, maka penilaian kualitas mengacu
pada ketentuan penilaian kualitas untuk penyertaan dengan
metode biaya (cost method).
5. Untuk aktiva produktif di Perusahaan Anak yang merupakan
perusahaan pembiayaan, penilaian kualitas aktiva produktif oleh
Bank dilakukan berdasarkan ketentuan yang berlaku mengenai
penilaian dan penggolongan kualitas aktiva produktif yang
ditetapkan oleh otoritas yang berwenang terhadap Perusahaan
Anak.
B. Penilaian Kualitas Aktiva Produktif Lainnya
Penilaian kualitas untuk aktiva produktif Perusahaan Anak selain
yang disetarakan dengan kredit dan surat berharga, dilakukan oleh
Bank sesuai ketentuan Bank Indonesia yang berlaku.
C. Penyisihan Penghapusan Aktiva
1. Atas dasar penilaian kualitas aktiva produktif sebagaimana
dimaksud pada huruf A dan B, Bank wajib membentuk penyisihan
penghapusan aktiva untuk aktiva Bank maupun aktiva produktif
Perusahaan Anak sesuai ketentuan Bank Indonesia yang berlaku.
2. Dalam hal besarnya penyisihan penghapusan aktiva yang wajib
dibentuk secara konsolidasi masih belum memenuhi ketentuan,
maka kekurangan penyisihan penghapusan aktiva tersebut akan
menjadi faktor pengurang modal inti secara konsolidasi.

BAB V Perhitungan BMPK
159 Pasal 9 (1) Bank wajib memenuhi ketentuan BMPK baik untuk penyediaan dana
8/6/PBI/2006 Bank secara individual maupun untuk penyediaan dana Bank dan
Perusahaan Anak secara konsolidasi.

Berdasarkan ketentuan dalam ayat ini, maka persentase BMPK untuk
Bank secara individual sebagaimana diatur dalam ketentuan yang
berlaku tentang Batas Maksimum Pemberian Kredit Bank Umum juga
diberlakukan secara konsolidasi.

(2) Dalam perhitungan BMPK untuk penyediaan dana Bank dan Perusahaan
Anak secara konsolidasi, maka:
a. penyediaan dana dari Perusahaan Anak kepada debitur Bank wajib
diperhitungkan sebagai satu kesatuan dengan penyediaan dana
Bank;
b. komponen modal menggunakan modal secara konsolidasi.

SE 8/27/DPNP (3) Bank wajib melakukan pemantauan terhadap konsentrasi penyediaan
2006 dana dengan memperhatikan pemenuhan BMPK, baik untuk
Romawi VI penyediaan dana dari Bank secara individual maupun penyediaan dana
dari Bank dan Perusahaan Anak secara konsolidasi. BMPK secara
konsolidasi adalah persentase maksimum total penyediaan dana Bank
dan Perusahaan Anak yang diperkenankan terhadap modal Bank
secara konsolidasi.
A. Batasan (Limit) Penyediaan Dana
Sebagaimana diatur dalam ketentuan yang berlaku tentang Batas
85


Maksimum Pemberian Kredit Bank Umum, seluruh portofolio
Penyediaan Dana kepada Pihak Terkait dengan Bank ditetapkan
paling tinggi 10% (sepuluh perseratus) dari Modal Bank. Dalam hal
perhitungan BMPK secara konsolidasi, penetapan batasan
penyediaan dana kepada pihak terkait tersebut juga mencakup
seluruh penyediaan dana Bank dan penyediaan dana Perusahaan
Anak dibandingkan dengan modal konsolidasi. Hal yang sama
berlaku pula untuk penyediaan dana kepada peminjam yang bukan
merupakan pihak terkait.
BMPK secara konsolidasi untuk penyediaan dana kepada peminjam
yang bukan merupakan pihak terkait Bank ditetapkan sesuai
dengan ketentuan Bank Indonesia yang berlaku mengenai BMPK
Bank Umum, antara lain sebagai berikut:
1. 1 (satu) Peminjam secara individu ditetapkan paling tinggi 20%
(dua puluh perseratus) dari Modal Bank secara konsolidasi; dan
2. 1 (satu) kelompok Peminjam ditetapkan paling tinggi 25% (dua
puluh lima perseratus) dari Modal Bank secara konsolidasi.
Dalam hal terdapat pelanggaran atau pelampauan BMPK secara
konsolidasi, maka Bank akan dikenakan sanksi administratif
dengan mengacu pada ketentuan Bank Indonesia yang berlaku
mengenai BMPK.
B. Modal
Dalam menghitung BMPK secara konsolidasi, modal yang
digunakan adalah modal bank secara konsolidasi. Modal Bank
secara konsolidasi merupakan penjumlahan antara modal inti
konsolidasi dengan modal pelengkap konsolidasi. Perhitungan
modal inti konsolidasi dan modal pelengkap konsolidasi mengacu
pada perhitungan KPMM Bank secara konsolidasi. Modal Bank
secara konsolidasi untuk perhitungan BMPK tersebut tidak
termasuk modal pelengkap tambahan dan tidak dikurangi
penyertaan.

160 Pasal 10 Penyertaan Bank pada Perusahaan Anak dimana Bank melakukan
8/6/PBI/2006 penerapan manajemen risiko secara konsolidasi, tidak diperhitungkan
sebagai penyediaan dana dalam perhitungan BMPK.

BAB VI Pengelolaan Perusahaan Anak
161 Pasal 11 (1) Bank wajib memastikan pengurus yang mengelola Perusahaan Anak
8/6/PBI/2006 memiliki integritas yang baik.
Ayat (1) – (3)
Integritas yang baik antara lain dibuktikan dengan pengurus
Perusahaan Anak tidak berasal dari pihak‐pihak yang terdapat dalam
Daftar Tidak Lulus Bank Indonesia atau Daftar Kredit Macet.
Yang dimaksud dengan pengurus yang mengelola Perusahaan Anak
adalah komisaris dan direksi bagi badan hukum Perseroan Terbatas
atau jabatan lain yang setara pada badan hukum lainnya.

(2) Kewajiban sebagaimana dimaksud pada ayat (1) tidak berlaku untuk
pengurus yang mengelola Perusahaan Anak sebagaimana dimaksud
dalam Pasal 3 huruf c (Paragraf 153 huruf c dalam kodifikasi ini).
86


(3) Dalam rangka memenuhi ketentuan sebagaimana dimaksud pada ayat
(1), Bank wajib menyampaikan daftar calon pengurus yang mengelola
Perusahaan Anak yang diusulkan dalam Rapat Umum Pemegang Saham
(RUPS) kepada Bank Indonesia.

SE 8/27/DPNP Laporan daftar calon pengurus yang mengelola Perusahaan Anak wajib
2006 disampaikan paling lambat 10 (sepuluh) hari kerja sebelum pelaksanaan
Romawi VII.2 RUPS. Laporan daftar calon pengurus dimaksud wajib disampaikan Bank
kepada Bank Indonesia dengan alamat :
10350, bagi Bank yang berkantor pusat di wilayah kerja kantor
pusat Bank Indonesia; atau
b. Kantor Bank Indonesia, bagi Bank yang berkantor pusat diluar

Pasal 11 (4) Laporan sebagaimana dimaksud pada ayat (3) wajib disampaikan paling
8/6/PBI/2006 lambat 10 (sepuluh) hari kerja sebelum pelaksanaan RUPS.
Ayat (4)

BAB VII Penilaian Tingkat Kesehatan dan Profil Risiko Bank
162 Pasal 12 (1) Bank wajib melakukan penilaian tingkat kesehatan baik secara
8/6/PBI/2006 individual maupun secara konsolidasi.

Penilaian tingkat kesehatan secara konsolidasi mengacu pada
ketentuan Bank Indonesia yang berlaku tentang Penilaian Tingkat
Kesehatan Bank Umum.
Penilaian tingkat kesehatan meliputi penilaian kuantitatif dan
kualitatif.
Penilaian kuantitatif adalah penilaian terhadap posisi, perkembangan
dan proyeksi rasio‐rasio keuangan.
Penilaian kualitatif adalah penilaian terhadap faktor‐faktor yang
mendukung hasil penilaian kuantitatif, penerapan manajemen risiko,
dan kepatuhan.

(2) Dalam hal terdapat perbedaan karakteristik usaha Perusahaan Anak
dengan Bank, maka komponen‐komponen tertentu dalam penilaian
tingkat kesehatan Bank dapat disesuaikan untuk penilaian tingkat
kesehatan secara konsolidasi.

163 Pasal 13 (1) Bank wajib menyusun dan menyampaikan laporan profil risiko baik
8/6/PBI/2006 secara individual maupun secara konsolidasi.

Penyusunan laporan profil risiko secara konsolidasi mengacu pada
ketentuan Bank Indonesia yang berlaku tentang Penerapan Manajemen
Risiko bagi Bank Umum.

(2) Dalam hal terdapat perbedaan karakteristik usaha Perusahaan Anak
dengan Bank maka parameter‐parameter pengukuran risiko tertentu
dalam penyusunan profil risiko Bank dapat disesuaikan untuk
penyusunan profil risiko secara konsolidasi.

87


BAB VIII Tindak Lanjut Pengawasan dan Penetepan Status Bank
164 Pasal 14 Ketentuan Bank Indonesia yang berlaku tentang Tindak Lanjut Pengawasan
8/6/PBI/2006 dan Penetapan Status Bank yang diterapkan bagi Bank secara individual
diterapkan juga bagi Bank secara konsolidasi

Parameter yang digunakan dalam ketentuan Bank Indonesia yang berlaku
tentang Tindak Lanjut Pengawasan dan Penetapan Status Bank antara lain
rasio KPMM dan rasio kredit bermasalah adalah yang dihitung secara
konsolidasi.

165 Pasal 15 Dalam penerapan ketentuan sebagaimana dimaksud dalam Pasal 14
8/6/PBI/2006 (Paragraf 164 dalam kodifikasi ini), bagi Bank yang secara konsolidasi telah
memenuhi kriteria untuk dapat dicabut izin usahanya maka dalam
pelaksanaannya Bank Indonesia akan berkoordinasi dengan otoritas
pengawas terkait.

BAB IX Pelaporan
166 Pasal 16 (1) Bank wajib menyampaikan laporan keuangan Perusahaan Anak secara
8/6/PBI/2006 online sesuai format dan ketentuan yang ditetapkan oleh Bank
Ayat (1) s.d (3) Indonesia.
(2) Pelaporan sebagaimana dimaksud pada ayat (1) mengacu pada
ketentuan Bank Indonesia yang berlaku tentang Laporan Bulanan Bank
Umum atau Laporan Berkala Bank Umum.
(3) Selama belum dimungkinkan pelaporan secara online sebagaimana
dimaksud pada ayat (1) dan ayat (2) maka Bank wajib menyampaikan
laporan secara offline setiap triwulan untuk periode bulan Maret, Juni,
September dan Desember yang mencakup:
a. Laporan keuangan setiap Perusahaan Anak.

Laporan keuangan Perusahaan Anak yang disampaikan telah

memenuhi ketentuan sebagaimana dimaksud dalam Pasal 8

SE 8/27/DPNP Dalam hal laporan keuangan Perusahaan Anak belum dapat
2006 disampaikan secara online oleh Bank melalui LBU dan LBBU, maka
Romawi VIII.A Laporan keuangan Perusahaan Anak yang disampaikan oleh Bank
mengacu pada format sesuai ketentuan yang ditetapkan oleh
masing‐masing otoritas pengawas yang berwenang.
Dalam hal Perusahaan Anak merupakan perusahaan yang
melakukan kegiatan usaha Asuransi, maka penyampaian laporan
keuangan dimaksud termasuk pula Laporan Perhitungan Tingkat
Solvabilitas (RBC).

b. Laporan keuangan konsolidasi

SE 8/27/DPNP Penyajian dan format laporan keuangan konsolidasi mengacu
2006 pada:
Romawi VIII.B 1. Lampiran 1 (Lampiran 20 dalam kodifikasi ini) : Laporan Neraca
Konsolidasi
2. Lampiran 2 (Lampiran 21 dalam kodifikasi ini) : Laporan Laba
Rugi Konsolidasi
88


3. Lampiran 3 (Lampiran 22 dalam kodiifkasi ini) : Laporan
Komitmen dan Kontinjensi Konsolidasi
SE 8/27/DPNP c. Laporan perhitungan KPMM dan rincian aktiva tertimbang
2006 menurut risiko secara konsolidasi.
Romawi VIII.C
Penyajian dan format laporan perhitungan KPMM dan Rincian

ATMR secara konsolidasi mengacu pada :
1. Lampiran 4 (Lampiran 23 dalam kodifikasi ini) : Laporan
Perhitungan KPMM secara Konsolidasi
2. Lampiran 5 (Lampiran 24 dalam kodifikasi ini) : Laporan Rincian
ATMR secara Konslidasi
Perhitungan ATMR untuk risiko kredit dilakukan sesuai format
perhitungan pada Formulir I, sedangkan perhitungan ATMR
untuk risiko pasar mengacu pada Formulir II.a dan II.b,
Formulir III, Formulir IV, Formulir V serta Formulir VI pada
rincian Lampiran 5 (Lampiran 24 dalam kodifikasi ini).
Perhitungan Bank sesuai formulir‐formulir dimaksud
didokumentasikan Bank dan apabila diperlukan Bank Indonesia
dapat meminta hasil perhitungan ATMR yang dilakukan Bank.
3. Lampiran 6 (Lampiran 25 dalam kodifikasi ini) Laporan
Penilaian Kualitas Aktiva secara Konsolidasi.

d. Laporan perhitungan BMPK secara konsolidasi.

SE 8/27/DPNP Penyajian dan format laporan perhitungan BMPK secara konsolidasi
2006 mengacu pada :
Romawi VIII.D
1. Lampiran 7 (Lampiran 26 dalam kodifikasi ini) : Laporan penyediaan
dana kepada Pihak Terkait Bank secara konsolidasi.
2. Lampiran 8 (Lampiran 27 dalam kodifikasi ini) : Laporan
Pelampauan/ Pelanggaran BMPK secara Konsolidasi untuk Pihak
Tidak Terkait.
Laporan‐laporan sebagaimana dimaksud di atas wajib disampaikan
paling lambat pada tanggal 15 (lima belas) bulan kedua setelah
berakhirnya bulan laporan yang bersangkutan.
Bagi bank yang melakukan kegiatan usaha berdasarkan prinsip syariah,
laporan‐laporan sebagaimana dimaksud di atas dilakukan sesuai
dengan karakteristik usaha Bank dimaksud dan prinsip syariah.

Pasal 16 (4) Pelaporan sebagaimana dimaksud pada ayat (3) disampaikan paling
8/6/PBI/2006 lambat pada tanggal 15 (lima belas) bulan kedua setelah berakhirnya
Ayat (4) – (8) bulan laporan yang bersangkutan.

(5) Dalam hal tanggal 15 (lima belas) jatuh pada hari Sabtu/Minggu/Libur,
maka laporan disampaikan pada hari kerja sebelumnya.
(6) Laporan profil risiko secara konsolidasi sebagaimana dimaksud dalam
Pasal 13 (Paragraf 163 dalam kodifikasi ini) dan laporan penilaian
terhadap penerapan manajemen risiko pada perusahaan asuransi
sebagaimana dimaksud dalam Pasal 4 (Paragraf 154 dalam kodifikasi ini)
wajib disampaikan secara triwulanan untuk posisi bulan Maret, Juni,
September dan Desember.
89


Penyampaian laporan profil risiko Bank secara individual tetap mengacu
pada ketentuan Bank Indonesia yang berlaku tentang Penerapan
Manajemen Risiko bagi Bank Umum.

(7) Laporan sebagaimana dimaksud pada ayat (6) wajib disampaikan paling
lambat 30 (tiga puluh) hari setelah akhir bulan laporan.
(8) Laporan sebagaimana dimaksud pada ayat (3) dan ayat (6) wajib
disampaikan oleh Bank kepada Bank Indonesia dengan alamat:
10110, bagi Bank yang berkantor pusat di wilayah kerja kantor
pusat Bank Indonesia; atau
b. Kantor Bank Indonesia, bagi Bank yang berkantor pusat di luar
wilayah kerja kantor pusat Bank Indonesia.

BAB X Sanksi
167 Pasal 17 (1) Bank yang tidak memenuhi kewajiban sebagaimana dimaksud dalam
8/6/PBI/2006 Pasal 2, Pasal 5, Pasal 6, Pasal 7, Pasal 8, Pasal 9, Pasal 11, Pasal 12, dan
Pasal 13 (Paragraf 152, Paragraf 155, Paragraf 156, Paragraf 157,
Paragraf 158, Paragraf 159, Paragraf 161, Paragraf 162, dan Paragraf
163 dalam kodifikasi ini) dikenakan sanksi sesuai ketentuan terkait yang
berlaku dan dapat dikenakan sanksi administratif, antara lain berupa:
b. pembekuan kegiatan usaha tertentu;
c. pencantuman pengurus dan atau pemegang saham Bank dalam
daftar orang yang terlarang menjadi pemegang saham dan pengurus
Bank,
sebagaimana dimaksud dalam Pasal 52 Undang‐Undang Nomor 7 Tahun
1992 tentang Perbankan sebagaimana telah diubah dengan Undang‐
Undang Nomor 10 Tahun 1998.
(2) Bank yang menyampaikan laporan setelah batas akhir waktu
penyampaian sebagaimana dimaksud dalam Pasal 16 ayat (4) dan ayat
(7) (Paragraf 166 ayat (4) dan ayat (7) dalam kodifikasi ini), sampai
dengan 14 (empat belas) hari kerja setelah batas akhir waktu tersebut,
dikenakan sanksi kewajiban membayar sebesar Rp1.000.000,00 (satu
juta rupiah) per hari kerja keterlambatan.
(3) Bank yang belum menyampaikan atau menyampaikan laporan setelah
batas akhir waktu penyampaian sebagaimana dimaksud pada ayat (2),
dikenakan sanksi kewajiban membayar sebesar Rp50.000.000,00 (lima
puluh juta rupiah).

Bank yang telah dikenakan sanksi kewajiban membayar dalam ayat ini
tidak dikenakan sanksi sebagaimana dimaksud pada ayat (2).

(4) Bank yang belum menyampaikan laporan setelah batas akhir waktu
penyampaian sebagaimana dimaksud pada ayat (2), tetap diwajibkan
menyampaikan laporan sebagaimana dimaksud dalam Pasal 16

90


SE 8/27/DPNP Contoh perhitungan sanksi dalam hal Bank belum dapat menyampaikan
2006 laporan:
Romawi IX Bank wajib menyampaikan laporan keuangan Perusahaan Anak, laporan
keuangan konsolidasi (lampiran 1 sampai dengan lampiran 3) (lampiran
20 sampai dengan lampiran 22 dalam kodifikasi ini), laporan
perhitungan KPMM dan rincian ATMR secara konsolidasi (lampiran 4
sampai dengan lampiran 6) (lampiran 23 sampai dengan lampiran 25
dalam kodifikasi ini), serta laporan perhitungan BMPK secara
konsolidasi (lampiran 7 sampai dengan lampiran 8) (lampiran 26 sampai
dengan lampiran 27 dalam kodifikasi ini) untuk posisi akhir Maret 2007.
a) Bank X menyampaikan laporan tersebut diatas secara lengkap pada
tanggal 14 Mei 2007, maka Bank X tidak terlambat menyampaikan
laporan karena batas akhir waktu penyampaian laporan adalah
paling lambat tanggal 15 Mei 2007.
b) Bank Y menyampaikan laporan keuangan Perusahaan Anak, laporan
keuangan konsolidasi, laporan perhitungan KPMM dan rincian
ATMR secara konsolidasi, dan laporan perhitungan BMPK secara
konsolidasi pada tanggal 16 Mei 2007, maka Bank Y dinyatakan
terlambat menyampaikan laporan selama 1 hari kerja sehingga
dikenakan sanksi kewajiban membayar sebesar Rp1.000.000,00
(satu juta rupiah).
c) Bank Z menyampaikan laporan keuangan Perusahaan Anak dan
laporan keuangan konsolidasi pada tanggal 14 Mei 2007. Namun
Bank Z menyampaikan laporan perhitungan KPMM dan rincian
ATMR secara konsolidasi serta laporan perhitungan BMPK secara
konsolidasi pada tanggal 18 Mei 2007. Dengan demikian, Bank Z
dinyatakan terlambat menyampaikan laporan karena laporan yang
disampaikan tidak lengkap secara signifikan, selama 3 hari kerja
sehingga dikenakan sanksi kewajiban membayar sebesar
Rp3.000.000,00 (tiga juta rupiah).
d) Bank A menyampaikan laporan keuangan perusahaan anak, laporan
keuangan konsolidasi, laporan perhitungan KPMM dan rincian
ATMR secara konsolidasi, dan laporan perhitungan BMPK secara
konsolidasi pada tanggal 8 Juni 2007, maka Bank A dikenakan sanksi
kewajiban membayar sebesar Rp50.000.000,00 (lima puluh juta
rupiah) karena Bank A dianggap belum menyampaikan laporan atau
menyampaikan laporan setelah batas akhir tanggal 15 Mei 2007
dan melewati 14 (empat belas) hari kerja setelah batas akhir
tanggal 15 Mei 2007, yaitu tanggal 4 Juni 2007.

BAB XI Ketentuan Lain‐Lain
168 Pasal 18 Peningkatan penyertaan Bank karena akumulasi laba Perusahaan Anak
8/6/PBI/2006 dimana Bank melakukan penerapan manajemen risiko secara konsolidasi,
tidak diperhitungkan dalam batasan portofolio penyertaan Bank.

Batasan portofolio penyertaan Bank mengacu pada ketentuan Bank
Indonesia yang berlaku tentang Prinsip Kehati‐hatian dalam Kegiatan
Penyertaan Modal.
Akumulasi laba Perusahaan Anak yang tidak diperhitungkan dalam batasan
portofolio penyertaan Bank tidak dibatasi jangka waktunya.
91


169 Pasal 1 1. Bank adalah Bank Umum sebagaimana dimaksud dalam Undang‐Undang
9/15/PBI/2007 Nomor 7 Tahun 1992 tentang Perbankan sebagaimana telah diubah
dengan Undang‐Undang Nomor 10 Tahun 1998, termasuk kantor cabang
bank asing.
2. Teknologi Informasi adalah teknologi terkait sarana komputer,
telekomunikasi dan sarana elektronis lainnya yang digunakan dalam
pengolahan data keuangan dan atau pelayanan jasa perbankan.
3. Layanan Perbankan Melalui Media Elektronik atau selanjutnya disebut
Electronic Banking adalah layanan yang memungkinkan nasabah Bank
untuk memperoleh informasi, melakukan komunikasi, dan melakukan
transaksi perbankan melalui media elektronik antara lain ATM, phone
banking, electronic fund transfer, internet banking, mobile phone.
4. Rencana Strategis Teknologi Informasi (Information Technology Strategic
Plan) adalah dokumen yang menggambarkan visi dan misi Teknologi
Informasi Bank, strategi yang mendukung visi dan misi tersebut dan
prinsip‐prinsip utama yang menjadi acuan dalam penggunaan Teknologi
Informasi untuk memenuhi kebutuhan bisnis dan mendukung rencana
strategis jangka panjang.
5. Pusat Data (Data Center) adalah fasilitas utama pemrosesan data Bank
yang terdiri dari perangkat keras dan perangkat lunak untuk mendukung
kegiatan operasional Bank secara berkesinambungan.
6. Database adalah sekumpulan data komprehensif dan disusun secara
sistematis, dapat diakses oleh pengguna sesuai wewenang masing‐
masing, dan dikelola oleh database administrator.
7. Disaster Recovery Center (DRC) adalah fasilitas pengganti pada saat Pusat
Data (Data Center) mengalami gangguan atau tidak dapat berfungsi
antara lain karena tidak adanya aliran listrik ke ruang komputer,
kebakaran, ledakan atau kerusakan pada komputer, yang digunakan
sementara waktu selama dilakukannya pemulihan Pusat Data Bank untuk
menjaga kelangsungan kegiatan usaha (business continuity).
8. Business Continuity Plan (BCP) adalah kebijakan dan prosedur yang
memuat rangkaian kegiatan yang terencana dan terkoordinir mengenai
langkah‐langkah pengurangan risiko, penanganan dampak
gangguan/bencana dan proses pemulihan agar kegiatan operasional
Bank dan pelayanan kepada nasabah tetap dapat berjalan.
9. Pemrosesan Transaksi Berbasis Teknologi adalah kegiatan berupa
penambahan, perubahan, penghapusan, dan/atau otorisasi data yang
dilakukan pada sistem aplikasi yang digunakan untuk memproses
transaksi.
10. Komisaris :
a. bagi Bank berbentuk hukum perseroan terbatas adalah dewan
komisaris sebagaimana dimaksud dalam Pasal 1 angka 6 Undang‐
Undang Nomor 40 Tahun 2007 tentang Perseroan Terbatas;
b. bagi Bank berbentuk hukum perusahaan daerah adalah pengawas
sebagaimana dimaksud dalam Pasal 19 Undang‐Undang Nomor 5
Tahun 1962 tentang Perusahaan Daerah;
c. bagi Bank berbentuk hukum koperasi adalah pengawas
92


Tahun 1992 tentang Perkoperasian;
d. bagi kantor cabang bank asing adalah pejabat yang ditunjuk kantor
pusat bank asing untuk melakukan fungsi pengawasan.
11. Direksi:
a. bagi Bank berbentuk hukum perseroan terbatas adalah direksi
sebagaimana dimaksud dalam Pasal 1 angka 5 Undang‐Undang
Nomor 40 Tahun 2007 tentang Perseroan Terbatas;
b. bagi Bank berbentuk hukum perusahaan daerah adalah direksi
sebagaimana dimaksud dalam Pasal 11 Undang Nomor 5 Tahun
1962 tentang Perusahaan Daerah;
c. bagi Bank berbentuk hukum koperasi adalah pengurus
Tahun 1992 tentang Perkoperasian;
d. bagi kantor cabang bank asing adalah pimpinan kantor cabang bank
asing.

BAB II Ruang Lingkup Manajemen Risiko Teknologi Informasi
170 Pasal 2 (1) Bank wajib menerapkan manajemen risiko secara efektif dalam
8/6/PBI/2006 penggunaan Teknologi Informasi.
(2) Penerapan manajemen risiko sebagaimana dimaksud pada ayat (1)
a. pengawasan aktif dewan Komisaris dan Direksi;
b. kecukupan kebijakan dan prosedur penggunaan Teknologi
Informasi;
c. kecukupan proses identifikasi, pengukuran, pemantauan dan
pengendalian risiko penggunaan Teknologi Informasi; dan
d. sistem pengendalian intern atas penggunaan Teknologi Informasi.
(3) Penerapan manajemen risiko harus dilakukan secara terintegrasi dalam
setiap tahapan penggunaan Teknologi Informasi sejak proses
perencanaan, pengadaan, pengembangan, operasional, pemeliharaan
hingga penghentian dan penghapusan sumber daya Teknologi
Informasi.

Sumber daya Teknologi Informasi mencakup antara lain perangkat
keras, perangkat lunak, jaringan, sumber daya manusia dan
data/informasi.

SE 9/30/DPNP (4) Dalam hal Bank tidak dapat menyelenggarakan sendiri Teknologi
2007 Informasi tersebut, Bank dimungkinkan untuk menggunakan pihak
Romawi I. 2, 3 penyedia jasa Teknologi Informasi.
(5) Mengingat penggunaan Teknologi Informasi dapat meningkatkan risiko
yang dihadapi Bank, maka Bank wajib menerapkan manajemen risiko
secara efektif.

171 Pasal 3 Penerapan manajemen risiko dalam penggunaan Teknologi Informasi oleh
9/15/PBI/2007 Bank sebagaimana dimaksud dalam Pasal 2 (Paragraf 170 dalam kodifikasi
ini) wajib disesuaikan dengan tujuan, kebijakan usaha, ukuran dan

93


Kompleksitas usaha meliputi antara lain keragaman dalam jenis
transaksi/produk/jasa dan jaringan kantor serta teknologi pendukung yang
digunakan.

BAB III
Informasi
Bagian Pertama Pengawasan Aktif Dewan Komisaris dan Direksi
9/15/PBI/2007 setiap jenjang jabatan yang terkait dengan penggunaan Teknologi
Informasi.
Dalam menetapkan wewenang dan tanggung jawab tersebut perlu
memperhatikan antara lain prinsip pemisahan tugas dan tanggung jawab
(segregation of duties), misalnya pihak yang melakukan input data berbeda
dari pihak yang melakukan validasi data.

9/15/PBI/2007 (Paragraf 172 dalam kodifikasi ini) bagi dewan Komisaris paling kurang
mencakup:
a. mengarahkan, memantau dan mengevaluasi Rencana Strategis
Teknologi Informasi dan kebijakan Bank terkait penggunaan Teknologi
Informasi;
b. mengevaluasi pertanggungjawaban Direksi atas penerapan manajemen
risiko dalam penggunaan Teknologi Informasi.

174 Pasal 6 Wewenang dan tanggung jawab sebagaimana dimaksud dalam PAsal 4
9/15/PBI/2007 (Paragraf 172 dalm kodifikasi ini) bagi Direksi paling kurang mencakup:
a. menetapkan Rencana Strategis Teknologi Informasi dan kebijakan Bank
terkait penggunaan Teknologi Informasi;
b. memastikan bahwa :
1. Teknologi Informasi yang digunakan Bank dapat mendukung
perkembangan usaha, pencapaian tujuan bisnis Bank dan
kelangsungan pelayanan kepada nasabah;
2. terdapat upaya peningkatan kompetensi sumber daya manusia
yang terkait dengan penggunaan Teknologi Informasi;

Upaya peningkatan kompetensi sumber daya manusia dilakukan
antara lain melalui penyelenggaraan pendidikan atau pelatihan.

3. penerapan proses manajemen risiko dalam penggunaan Teknologi
Informasi dilaksanakan secara memadai dan efektif;
4. tersedianya kebijakan dan prosedur Teknologi Informasi yang
memadai dan dikomunikasikan serta diterapkan secara efektif baik
pada satuan kerja penyelenggara maupun pengguna Teknologi
Informasi;
5. terdapat sistem pengukuran kinerja proses penyelenggaraan
Teknologi Informasi yang paling kurang dapat:
a) mendukung proses pemantauan terhadap implementasi
strategi;
b) mendukung penyelesaian proyek;
94


c) mengoptimalkan pendayagunaan sumber daya manusia dan
investasi pada infrastruktur;
d) meningkatkan kinerja proses penyelenggaraan Teknologi
Informasi dan kualitas layanan penyampaian hasil proses
kepada pengguna.

175 Pasal 7 (1) Bank wajib memiliki Komite Pengarah Teknologi Informasi (Information
9/15/PBI/2007 Technology Steering Committe).
(2) Komite Pengarah Teknologi Informasi sebagaimana dimaksud pada ayat
(1) bertanggung jawab memberikan rekomendasi kepada Direksi yang
paling kurang terkait dengan:
a. Rencana Strategis Teknologi Informasi (Information Technology
Strategic Plan) yang searah dengan rencana strategis kegiatan
usaha Bank;
b. kesesuaian proyek‐proyek Teknologi Informasi yang disetujui
dengan Rencana Strategis Teknologi Informasi;
c. kesesuaian antara pelaksanaan proyek‐proyek Teknologi Informasi
dengan rencana proyek yang disepakati (project charter);
d. kesesuaian Teknologi Informasi dengan kebutuhan sistem informasi
manajemen dan kebutuhan kegiatan usaha Bank;
e. efektivitas langkah‐langkah meminimalkan risiko atas investasi Bank
pada sektor Teknologi Informasi agar investasi tersebut
memberikan kontribusi terhadap tercapainya tujuan bisnis Bank;
f. pemantauan atas kinerja Teknologi Informasi dan upaya
peningkatannya;
g. upaya penyelesaian berbagai masalah terkait Teknologi Informasi,
yang tidak dapat diselesaikan oleh satuan kerja pengguna dan
penyelenggara, secara efektif, efisien dan tepat waktu.
(3) Komite Pengarah Teknologi Informasi sebagaimana dimaksud pada ayat
(1) paling kurang beranggotakan:

Struktur komite dapat disesuaikan dengan ukuran dan kompleksitas
kegiatan Bank serta struktur kepemilikan/legal entity Bank.

a. direktur yang membawahi satuan kerja Teknologi Informasi;
b. direktur yang membawahi satuan kerja Manajemen Risiko;
c. pejabat tertinggi yang membawahi satuan kerja penyelenggara
Teknologi Informasi;
d. pejabat tertinggi yang membawahi satuan kerja pengguna utama
Teknologi Informasi.
Kecukupan Kebijakan dan Prosedur Penggunaan Teknologi

Bagian Kedua
Informasi di Bank
176 Pasal 8 (1) Bank wajib memiliki kebijakan dan prosedur penggunaan Teknologi
9/15/PBI/2007 Informasi sebagaimana dimaksud dalam Pasal 2 ayat (2) huruf b
Ayat (1) dan (2) (Paragraf 170 ayat (2) huruf b dalam kodifikasi ini).
(2) Kebijakan dan prosedur penggunaan Teknologi Informasi paling kurang
meliputi aspek‐aspek sebagai berikut :

Kedalaman kebijakan dan prosedur selain disesuaikan dengan tujuan,

kebijakan usaha, ukuran dan kompleksitas usaha Bank, juga

memperhatikan profil risiko Bank.
95


a. Manajemen;
b. Pengembangan dan pengadaan;
c. Operasional Teknologi Informasi;
d. Jaringan komunikasi;
e. Pengamanan informasi;
f. Business Continuity Plan;
SE 9/30/DPNP g. End user computing;
2007 h. Audit
Romawi II.4.g i. Electronic Banking; dan
j. Penggunaan pihak penyedia jasa Teknologi Informasi.
Pasal 8 (3) Bank wajib menetapkan limit risiko yang dapat ditoleransi untuk dapat
9/15/PBI/2007 memastikan aspek‐aspek terkait Teknologi Informasi sebagaimana
Ayat (3) dimaksud pada ayat (2) dapat berjalan dengan optimal.

Limit risiko merupakan tingkat kesalahan yang masih bisa ditoleransi
oleh sistem (risk tolerance) atau standar pengamanan yang ditetapkan
atau disetujui untuk tidak dilampaui. Standar pengamanan ini
disesuaikan dengan risk appetite yang dimiliki Bank.

SE 9/30/DPNP (4) Dalam penggunaan Teknologi Informasi baik yang diselenggarakan
2007 sendiri maupun yang diselenggarakan oleh pihak penyedia jasa, Bank
Romawi II. 1 – 3 , wajib menerapkan manajemen risiko secara efektif.
5, 6 (5) Dalam rangka menerapkan manajemen risiko penggunaan Teknologi
Informasi tersebut, Bank wajib memiliki kebijakan dan prosedur yang
digunakan Bank dalam mengelola sumber daya Teknologi Informasi
dalam rangka mendukung kelangsungan bisnis Bank terutama
pelayanan kepada nasabah. Sumber daya ini mencakup antara lain
perangkat keras, perangkat lunak, jaringan, sumber daya manusia serta
data/ ifnormasi.
(6) Kebijakan dan prosedur penggunaan Teknologi Informasi serta
pedoman manajemen risiko penggunaan Teknologi Informasi mengacu
pada Pedoman Penerapan Manajemen Risiko dalam Penggunaan
Teknologi Informasi oleh Bank Umum yang merupakan Lampiran 1
Surat Edaran Bank Indonesia ini (Lampiran 28 dalam kodifikasi ini) dan
Pedoman Standar Penerapan Manajemen Risiko Bank.
(7) Pedoman dalam Lampiran 1 Surat Edaran Bank Indonesia (Lampiran 28
dalam kodifikasi ini) merupakan pokok‐pokok penerapan manajemen
risiko dalam penggunaan Teknologi Informasi yang harus diterapkan
oleh Bank untuk memitigasi risiko yang berhubungan dengan
penyelenggaraan Teknologi Informasi.
(8) Bank dengan ukuran dan kompleksitas usaha besar menggunakan
parameter yang lebih ketat sebagai tambahan dari hal‐hal yang
dikemukakan dalam pedoman sebagaimana dimaksud dalam Lampiran
1 Surat Edaran Bank Indonesia ini (Lampiran 28 dalam kodifikasi ini).
Sementara itu Bank dengan ukuran dan kompleksitas usaha yang relatif
kecil dapat menggunakan parameter yang lebih ringan dari hal‐hal yang
dikemukakan dalam pedoman sebagaimana dimaksud dalam Lampiran
1 Surat Edaran Bank Indonesia (Lampiran 28 dalam kodifikasi ini),
sepanjang Bank telah mempertimbangkan hasil penilaian terhadap
risiko dalam aktivitas bisnis Bank, profil keamanan Teknologi Informasi
serta cost and benefit.
96


177 Pasal 9 (1) Bank wajib memiliki Rencana Strategis Teknologi Informasi (Information
9/15/PBI/2007 Technology Strategic Plan) yang mendukung rencana strategis kegiatan
usaha Bank.
(2) Rencana Strategis Teknologi Informasi sebagaimana dimaksud pada
ayat (1) dijabarkan dalam Rencana Bisnis bank

Bagian Ketiga Proses Manajemen Risiko Terkait Teknologi Informasi
178 Pasal 10 (1) Bank wajib melakukan proses manajemen risiko yang mencakup
9/15/PBI/2007 identifikasi, pengukuran, pemantauan dan pengendalian atas risiko
terkait penggunaan Teknologi Informasi.
(2) Proses manajemen risiko dilakukan terhadap aspek‐aspek terkait
Teknologi Informasi yang paling kurang mencakup pengembangan dan
pengadaan Teknologi Informasi, operasional Teknologi Informasi,
jaringan komunkasi, pengamanan informasi, Business Continuity Plan,
end user computing, Electronic Banking, dan penggunaan pihak
penyedia jasa Teknologi Informasi.
(3) Dalam hal Bank menggunakan jasa pihak lain untuk menyelenggarakan
Teknologi Informasi, Bank wajib memastikan bahwa pihak penyedia jasa
Teknologi Informasi menerapkan juga manajemen risiko yang paling
kurang sesuai dengan Peraturan Bank Indonesia ini.

179 Pasal 11 Dalam melakukan pengembangan dan pengadaan Teknologi Informasi Bank
9/15/PBI/2007 wajib melakukan langkah‐langkah pengendalian untuk menghasilkan sistem
dan data yang terjaga kerahasiaan dan integritasnya serta mendukung
pencapaian tujuan Bank, antara lain mencakup:
a. menetapkan dan menerapkan prosedur dan metodologi pengembangan
dan pengadaan Teknologi Informasi secara konsisten;
b. menerapkan manajemen proyek dalam pengembangan sistem;
c. melakukan testing yang memadai pada saat pengembangan dan
pengadaan suatu sistem, termasuk uji coba bersama satuan kerja
pengguna, untuk memastikan keakuratan dan berfungsinya sistem
sesuai kebutuhan pengguna serta kesesuaian satu sistem dengan sistem
yang lain;
d. melakukan dokumentasi sistem yang dikembangkan dan
pemeliharaannya;
e. memiliki manajemen perubahan sistem aplikasi.

180 Pasal 12 (1) Bank wajib mengidentifikasi dan memantau serta mengendalikan risiko
9/15/PBI/2007 yang terdapat pada aktivitas operasional Teknologi Informasi, pada
jaringan komunikasi serta pada end user computing untuk memastikan
efektifitas, efisiensi dan keamanan aktivitas tersebut antara lain
dengan:

Aktivitas operasional Teknologi Informasi mencakup aktivitas pada
Pusat Data (Data Center), Disaster Recovery Center maupun pada
pengguna Teknologi Informasi.

a. menerapkan pengendalian fisik dan lingkungan terhadap fasilitas
Pusat Data (Data Center) dan Disaster Recovery Center;
b. menerapkan pengendalian hak akses secara memadai sesuai
kewenangan yang ditetapkan;
97


c. menerapkan pengendalian pada saat input, proses, dan output dari
informasi;
d. memperhatikan risiko yang mungkin timbul dari ketergantungan
Bank terhadap penggunaan jaringan komunikasi;
e. memastikan aspek desain dan pengoperasian dalam implementasi
jaringan komunikasi sesuai dengan kebutuhan;
f. melakukan pemantauan kegiatan operasional Teknologi Informasi
termasuk adanya audit trail;
g. melakukan pemantauan penggunaan aplikasi yang dikembangkan
atau diadakan oleh satuan kerja di luar satuan kerja Teknologi
Informasi.
(2) Bagi Bank yang memiliki unit usaha yang melaksanakan kegiatan usaha
berdasarkan prinsip syariah, wajib memiliki sistem yang dapat
menghasilkan laporan yang terpisah bagi kegiatan usaha Bank
berdasarkan prinsip syariah.

Yang dimaksud memiliki sistem yang dapat menghasilkan laporan yang
terpisah adalah yang dapat mengidentifikasikan input dan proses serta
output dari transaksi berdasarkan prinsip syariah.

181 Pasal 13 (1) Bank wajib memastikan Business Continuity Plan dan Disaster Recovery
9/15/PBI/2007 Plan dapat dilaksanakan secara efektif agar kegiatan usaha Bank tetap
berjalan saat terjadi gangguan yang signifikan pada sarana Teknologi
Informasi yang digunakan Bank.

Business Continuity Plan dan Disaster Recovery Plan disusun selain
mencakup rencana pemulihan pada situasi total disaster juga pada
berbagai tingkat gangguan dan bencana misalnya minor (berdampak
kecil dan tidak memerlukan biaya besar serta dapat diselesaikan dalam
jangka waktu pendek), major ( berdampak besar dan dapat menjadi
lebih parah apabila tidak diatasi segera) dan catastrophic (berdampak
terjadi kerusakan yang bersifat permanen sehingga memerlukan
relokasi/penggantian dengan biaya yang besar). Yang dimaksud
dengan dapat dilaksanakan secara efektif adalah operasional Teknologi
Informasi dapat berjalan kembali segera setelah gangguan terjadi
sehingga tidak mengganggu pelayanan kepada nasabah.

(2) Bank wajib melakukan uji coba atas Business Continuity Plan dan
Disaster Recovery Plan terhadap seluruh sistem/aplikasi dan
infrastruktur yang kritikal sesuai hasil Business Impact Analysis, paling
kurang sekali dalam 1 (satu) tahun dengan melibatkan end user (end to
end).
(3) Bank wajib melakukan pengkinian Business Continuity Plan dan Disaster
Recovery Plan.

182 Pasal 14 Bank wajib memastikan pengamanan informasi dilaksanakan secara efektif
9/15/PBI/2007 dengan memperhatikan paling kurang hal‐hal sebagai berikut:
a. pengamanan informasi ditujukan agar informasi yang dikelola terjaga
kerahasiaan (confidentiality), integritas (integrity) dan ketersediaannya
(availability) secara efektif dan efisien dengan memperhatikan
kepatuhan terhadap ketentuan yang berlaku;
98


b. pengamanan informasi dilakukan terhadap aspek teknologi, sumber
daya manusia dan proses dalam penggunaan Teknologi Informasi;
c. pengamanan informasi mencakup pengelolaan aset bank yang terkait
dengan informasi, kebijakan sumber daya manusia, pengamanan fisik,
pengamanan akses, pengamanan operasional, dan aspek penggunaan
Teknologi Informasi lainnya;
d. adanya manajemen penanganan insiden dalam pengamanan informasi;
dan
e. pengamanan informasi diterapkan berdasarkan hasil penilaian terhadap
risiko (risk assessment) pada informasi yang dimiliki Bank.

Sistem Pengendalian dan Audit Intern atas Penyelanggaraan
Bagian Keempat
Teknologi Informasi
9/15/PBI/2007 terhadap semua aspek penggunaan Teknologi Informasi.

Dalam melaksanakan sistem pengendalian intern Teknologi Informasi
Bank mengacu pada prinsip‐prinsip umum sebagaimana diatur dalam
ketentuan mengenai pedoman standar sistem pengendalian intern.

(2) Sistem pengendalian intern sebagaimana dimaksud pada ayat (1) paling
kurang mencakup:
a. pengawasan oleh manajemen dan adanya budaya pengendalian;
b. identifikasi dan penilaian risiko;
c. kegiatan pengendalian dan pemisahan fungsi;
d. sistem informasi, sistem akuntansi dan sistem komunikasi;
e. kegiatan pemantauan dan koreksi penyimpangan, yang dilakukan
oleh satuan kerja operasional, satuan kerja audit intern maupun
pihak lainnya.

(3) Sistem informasi, sistem akuntansi dan sistem komunikasi sebagaimana
dimaksud pada ayat (2) huruf d harus didukung oleh teknologi, sumber
daya manusia dan struktur organisasi Bank yang memadai.

Yang dimaksud dengan memadai antara lain teknologi yang sesuai
dengan kegiatan operasional Bank, sumber daya manusia yang
kompeten dan struktur organisasi yang tidak memberikan peluang
kepada siapapun untuk melakukan dan menyembunyikan kesalahan
atau penyimpangan dalam pelaksanaan tugasnya.

(4) Kegiatan pemantauan dan tindakan koreksi penyimpangan
sebagaimana dimaksud pada ayat (2) huruf e paling kurang meliputi:
a. kegiatan pemantauan secara terus menerus;
b. pelaksanaan fungsi audit intern yang efektif dan menyeluruh;
c. perbaikan terhadap penyimpangan baik yang diidentifikasi oleh
satuan kerja operasional, satuan kerja audit intern maupun pihak
lainnya.

99


184 Pasal 16 (1) Pelaksanaan fungsi audit intern Teknologi Informasi sebagaimana
9/15/PBI/2007 dimaksud dalam Pasal 15 ayat (4) huruf b (Paragraf 183 ayat (4) huruf b
dalam kodifikasi ini) memperhatikan kepatuhan terhadap ketentuan
yang berlaku.

Ketentuan yang berlaku antara lain ketentuan mengenai standar
pelaksanaan fungsi audit intern.

(2) Dalam hal terdapat keterbatasan kemampuan satuan kerja audit intern
Teknologi Informasi maka pelaksanaan fungsi audit intern sebagaimana
dimaksud pada ayat (1) dapat dilakukan oleh auditor ekstern.

Penggunaan auditor ekstern untuk melaksanakan fungsi audit intern
atas Teknologi Informasi tidak mengurangi tanggung jawab pimpinan
Satuan Kerja Audit Intern Bank. Selain itu penggunaan auditor ekstern
harus telah mempertimbangkan ukuran dan kompleksitas usaha Bank.

(3) Pelaksanaan audit intern wajib dilakukan secara berkala.

185 Pasal 17 (1) Pedoman audit intern yang dimiliki Bank wajib mencakup audit intern
9/15/PBI/2007 terhadap penggunaan Teknologi Informasi baik yang diselenggarakan
sendiri atau oleh pihak penyedia jasa Teknologi Informasi.
(2) Bank wajib menyampaikan hasil audit intern terhadap Teknologi
Informasi sebagai bagian dari laporan pelaksanaan dan pokok‐pokok
hasil audit intern sebagaimana diatur dalam ketentuan mengenai
penerapan standar pelaksanaan fungsi audit intern.
(3) Bank wajib melakukan kaji ulang atas fungsi audit intern atas
penggunaan Teknologi Informasi paling kurang setiap 3 (tiga) tahun
sekali.
(4) Kaji ulang sebagaimana dimaksud pada ayat (3) wajib menggunakan
jasa pihak ekstern yang independen.
(5) Hasil kaji ulang disertai saran perbaikan dilaporkan kepada Bank
Indonesia sebagai bagian dari laporan kaji ulang sebagaimana diatur
dalam ketentuan mengenai penerapan standar pelaksanaan fungsi
audit intern.

Penyelenggaraan Teknologi Informasi oleh Pihak Penyedia
BAB IV
Jasa Teknologi Informasi
Bagian Pertama Umum
186 Pasal 18 (1) Bank dapat menyelenggarakan Teknologi Informasi sendiri dan/atau
9/15/PBI/2007 menggunakan pihak penyedia jasa Teknologi Informasi.

Yang dimaksud dengan menggunakan pihak penyedia jasa Teknologi
Informasi adalah penggunaan jasa pihak lain dalam penyelenggaraan
Teknologi Informasi Bank secara berkesinambungan dan/atau dalam
periode tertentu. Yang dimaksud dengan pihak lain bagi kantor cabang
bank asing termasuk kantor pusat dan kantor bank lainnya di luar
negeri maupun kelompok usaha Bank. Yang dimaksud pihak lain bagi
bank yang dimiliki pihak asing termasuk kantor induk dan kelompok
usaha Bank.

100


(2) Penggunaan pihak penyedia jasa Teknologi Informasi sebagaimana
dimaksud pada ayat (1) hanya dapat dilakukan sepanjang Bank dan
pihak penyedia jasa Teknologi Informasi memenuhi persyaratan sebagai
berikut:
a. bagi Bank:
1) Bank tetap bertanggung jawab atas penerapan manajemen
risiko;

Yang dimaksud tanggung jawab Bank dalam menerapkan
manajemen risiko antara lain dengan memastikan bahwa
penyedia jasa menerapkan manajemen risiko secara memadai
pada kegiatan Bank yang diselenggarakan oleh pihak penyedia
jasa Teknologi Informasi sesuai yang dipersyaratkan dalam

2) Bank mampu untuk melakukan pengawasan atas pelaksanaan
kegiatan Bank yang diselenggarakan oleh pihak penyedia jasa
Teknologi Informasi;
3) pemilihan pihak penyedia jasa Teknologi Informasi dilakukan
oleh Bank berdasarkan cost and benefit analysis dan
melibatkan satuan kerja penyelenggara Teknologi Informasi
Bank;
4) Bank wajib memantau dan mengevaluasi kehandalan pihak
penyedia jasa secara berkala baik yang menyangkut kinerja,
reputasi penyedia jasa dan kelangsungan penyediaan layanan;
5) Bank tetap memberikan akses kepada auditor intern, ekstern
dan Bank Indonesia untuk memperoleh data dan informasi
setiap kali dibutuhkan;

Akses untuk memperoleh data dan informasi dimaksudkan
agar pemeriksaan dapat dilaksanakan secara efektif.

6) Bank memberikan akses kepada Bank Indonesia terhadap
database secara tepat waktu baik untuk data terkini maupun
untuk data yang telah lalu.

Akses terhadap database tersebut meliputi namun tidak
terbatas pada penyediaan terminal, user id untuk melakukan
query, dan download data.

b. bagi pihak penyedia jasa Teknologi Informasi:
1) pihak penyedia jasa harus menerapkan prinsip pengendalian
Teknologi Informasi (IT control) secara memadai yang
dibuktikan dengan hasil audit yang dilakukan pihak
independen;

Syarat ini dimaksudkan untuk meyakini bahwa Pusat Data
(Data Center), Disaster Recovery Center dan/atau Pemrosesan
Transaksi Berbasis Teknologi yang digunakan oleh Bank
memiliki pengendalian Teknologi Informasi yang memadai
paling kurang mencakup physical security dan logical security.

101


2) pihak penyedia jasa harus menyediakan akses bagi auditor
intern Bank, auditor ekstern yang ditunjuk oleh Bank, dan
auditor Bank Indonesia untuk memperoleh data dan
informasi yang diperlukan secara tepat waktu setiap kali
dibutuhkan;

Akses tersebut diperlukan untuk memperoleh data dan
informasi yang diperlukan dalam rangka audit baik audit
Teknologi Informasi maupun audit lainnya.

3) pihak penyedia jasa harus menyatakan tidak berkeberatan bila
Bank Indonesia hendak melakukan pemeriksaan terhadap
kegiatan penyediaan jasa tersebut;

Pernyataan tersebut dibuktikan dengan dokumen berupa
“Surat Pernyataan” yang harus dibuat oleh pihak penyedia jasa
yang menyelenggarakan Pusat Data (Data Center), Disaster
Recovery Center, dan/atau Pemrosesan Transaksi Berbasis
Teknologi.

4) sebagai pihak terafiliasi, pihak penyedia jasa harus menjamin
keamanan seluruh informasi termasuk rahasia Bank dan data
pribadi nasabah;

Yang dimaksud keamanan seluruh informasi adalah
terpenuhinya prinsip kerahasiaan (confidentiality), integritas
(integrity), dan keaslian (authentication).

5) pihak penyedia jasa hanya dapat melakukan subkontrak
sebagian kegiatannya berdasarkan persetujuan Bank yang
dibuktikan dengan dokumen tertulis;
6) pihak penyedia jasa harus melaporkan kepada Bank setiap
kejadian kritis yang dapat mengakibatkan kerugian keuangan
yang signifikan dan/atau mengganggu kelancaran operasional
Bank;
7) pihak penyedia jasa harus menyampaikan secara berkala hasil
audit Teknologi Informasi yang dilakukan auditor independen
terhadap penyelenggaraan Pusat Data (Data Center), Disaster
Recovery Center dan/atau Pemrosesan Transaksi Berbasis
Teknologi, kepada Bank Indonesia melalui Bank yang
bersangkutan;

Cakupan audit yang dilakukan oleh auditor independen
termasuk sistem aplikasi yang digunakan untuk memproses
data Bank.

8) pihak penyedia jasa harus menyediakan Disaster Recovery Plan
yang teruji dan memadai; dan
9) pihak penyedia jasa harus bersedia untuk kemungkinan
penghentian perjanjian sebelum berakhirnya jangka waktu
perjanjian (early termination).

102


(3) Penggunaan pihak penyedia jasa Teknologi Informasi oleh Bank
sebagaimana dimaksud pada ayat (1) harus didasarkan pada perjanjian
tertulis yang paling kurang memuat kesediaan pihak penyedia jasa
Teknologi Informasi untuk menyelenggarakan dan atau melakukan hal‐
hal sebagaimana dimaksud dalam ayat (2) huruf b.
(4) Dalam hal pihak penyedia jasa Teknologi Informasi merupakan pihak
terkait dengan Bank, Bank tetap wajib melakukan proses seleksi dan
transaksi dengan pihak penyedia jasa dengan memperhatikan prinsip
kehati‐hatian, manajemen risiko dan didasarkan pada hubungan kerja
sama secara wajar (arm’s length principle).

Yang dimaksud dengan pihak terkait dengan Bank adalah pihak terkait
sebagaimana diatur dalam ketentuan Bank Indonesia mengenai Batas
Maksimum Pemberian Kredit Bank Umum. Yang dimaksud dengan
hubungan kerja sama secara wajar (arm's length principle) adalah
kondisi dimana transaksi antar pihak bersifat independen sebagaimana
pihak yang tidak terkait, antara lain memiliki kesetaraan dan
didasarkan pada harga pasar yang wajar sehingga meminimalisasi
terjadinya konflik kepentingan (conflict of interest).

(5) Dalam hal terdapat kondisi sebagai berikut:
a. memburuknya kinerja penyelenggaraan Teknologi Informasi oleh
pihak penyedia jasa Teknologi Informasi yang dapat berdampak
signifikan pada kegiatan usaha Bank;
b. pihak penyedia jasa Teknologi Informasi menjadi tidak solvabel,
atau dalam proses menuju likuidasi, atau dipailitkan oleh
pengadilan;
c. terdapat pelanggaran oleh pihak penyedia jasa terhadap ketentuan
rahasia Bank dan kewajiban merahasiakan data pribadi nasabah;
dan/atau
d. terdapat kondisi yang menyebabkan Bank tidak dapat menyediakan
data yang diperlukan dalam rangka pengawasan oleh Bank
Indonesia;
maka Bank wajib melakukan hal‐hal sebagai berikut:
a. melaporkan kepada Bank Indonesia paling lambat 3 (tiga) hari kerja
setelah kondisi tersebut diatas diketahui oleh Bank;
b. memutuskan tindak lanjut yang akan diambil untuk mengatasi
permasalahan termasuk penghentian penggunaan jasa apabila
diperlukan;
c. melaporka kepada Bank Indonesia segera setelah Bank
menghentikan penggunaan jasa sebelum berakhirnya jangka
waktu perjanjian.
(6) Dalam hal penggunaan penyedia jasa atau rencana penggunaan
penyedia jasa menyebabkan atau diindikasikan akan menyebabkan
kesulitan pengawasan yang dilakukan Bank Indonesia maka Bank
Indonesia dapat:
a. memerintahkan Bank untuk menghentikan penggunaan jasa
Teknologi Informasi sebelum berakhirnya jangka waktu perjanjian;
atau.

103


b. menolak rencana penggunaan pihak penyedia jasa yang diajukan
oleh Bank.

Indikasi kesulitan pengawasan antara lain:
a. kesulitan otoritas pengawas dalam akses terhadap data dan
informasi;
b. kesulitan dalam pelaksanaan pemeriksaan terhadap pihak penyedia
jasa;
c. pihak penyedia jasa digunakan sebagai media untuk melakukan
rekayasa data Bank dan atau rekayasa keuangan Bank.

Bagian Kedua Penyelenggaraan Pusat Data (Data Center) dan/atau Disaster
Recovery Center
187 Pasal 19 (1) Pusat Data (Data Center) dan/atau Disaster Recovery Center
9/15/PBI/2007 diselenggarakan di dalam negeri.
Ayat (1) dan (2) (2) Dalam hal Bank akan menyelenggarakan Pusat Data (Data Center)
dan/atau Disaster Recovery Center di luar negeri, Bank harus mendapat
persetujuan terlebih dahulu dari Bank Indonesia dengan memenuhi
persyaratan tertentu.

Penyelenggaraan Pusat Data (Data Center) dan/atau Disaster Recovery
Center di luar negeri yang harus mendapat persetujuan dari Bank
Indonesia terlebih dahulu, termasuk penyelenggaraan pada kantor
Bank, kantor induk maupun kelompok usaha Bank di luar negeri.
Penyelenggaraan Pusat Data (Data Center) dan/atau Disaster Recovery
Center oleh kantor cabang dari Bank yang kantor pusatnya
berkedudukan di Indonesia yang beroperasi di luar negeri pada kantor
cabang tersebut tidak termasuk dalam ketentuan pada ayat (2).

SE 9/30/DPNP Bank hanya dapat menyelenggarakan Pusat Data (Data Center), Disaster
2007 Recovery Center dan atau Pemrosesan Transaksi Berbasis Teknologi di
Romawi IV luar negeri setelah memperoleh persetujuan atas rencana tersebut dari
Bank Indonesia. Untuk memperoleh persetujuan dimaksud Bank wajib
mengajukan permohonan yang didukung dengan dokumen‐dokumen
sebagaimana tercantum dalam Lampiran 2.2.3 dan Lampiran 2.2.5
(Lampiran 29.2.3 dan Lampiran 29.2.5 dalam kodifikasi ini).

Pasal 19 (3) Persetujuan sebagaimana dimaksud pada ayat (2) dapat diberikan
9/15/PBI/2007 apabila Bank memenuhi persyaratan sebagaimana tercantum pada
Ayat (3) Pasal 18 ayat (2) sampai dengan ayat (4) (Paragraf 186 ayat (2) sampai
dengan ayat (4) dalam kodifikasi ini) serta persyaratan tambahan
sebagai berikut:
a. Bank menyampaikan hasil analisis country risk;
b. Bank memastikan penyelenggaraan Pusat Data (Data Center)
dan/atau Disaster Recovery Center di luar negeri tidak mengurangi
efektifitas pengawasan Bank Indonesia;

Yang dimaksud dengan “tidak mengurangi efektifitas pengawasan
Bank Indonesia” adalah tidak menimbulkan kesulitan pengawas
dalam memperoleh data dan informasi yang diperlukan seperti
104


adanya akses terhadap database dan memiliki struktur database
dari setiap aplikasi yang digunakan.

c. Bank memastikan bahwa informasi mengenai rahasia Bank hanya
dapat diungkapkan sepanjang memenuhi ketentuan perundang‐
undangan yang berlaku di Indonesia;

Ketentuan perundang‐undangan yang berlaku di Indonesia antara
lain ketentuan Bank Indonesia tentang tata cara pemberian
perintah atau izin tertulis membuka rahasia Bank.

d. Bank memastikan bahwa perjanjian tertulis dengan penyedia jasa
juga memuat klausula choice of law;
e. Apabila Bank merupakan kantor cabang bank asing atau Bank yang
dimiliki lembaga keuangan asing maka Bank wajib menyampaikan:
1) Surat Pernyataan dari otoritas pengawas lembaga keuangan di
luar negeri bahwa pihak penyedia jasa merupakan cakupan
pengawasannya;
2) Surat Pernyataan tidak keberatan dari otoritas pengawas
lembaga keuangan di luar negeri bahwa Bank Indonesia dapat
melakukan pemeriksaan terhadap pihak penyedia jasa;
3) Surat Pernyataan bahwa Bank akan menyampaikan secara
berkala hasil penilaian yang dilakukan kantor bank di luar
negeri atas penerapan manajemen risiko pada pihak penyedia
jasa.

Yang dimaksud dengan kantor bank di luar negeri bagi kantor
cabang bank asing adalah kantor pusat atau kantor lainnya.
Sedangkan bagi Bank yang dimiliki lembaga keuangan asing
yang dimaksud dengan kantor bank di luar negeri adalah
kantor induk Bank tersebut.

f. Permohonan persetujuan yang diajukan Bank harus memuat pula
hal‐hal sebagai berikut:
1) Manfaat bagi Bank lebih besar daripada beban yang
ditanggung oleh Bank;

Manfaat yang diharapkan antara lain peningkatan kualitas
layanan kepada nasabah.

2) Rencana Bank untuk meningkatkan kemampuan sumber daya
manusia Bank baik yang berkaitan dengan penyelenggaraan
Teknologi Informasi maupun transaksi bisnis atau produk yang
ditawarkan.

105


Penyelenggaraan Pemrosesan Transaksi oleh Pihak Penyedia
Bagian Ketiga
Jasa
188 Pasal 20 (1) Penyelenggaraan pemrosesan transaksi oleh pihak penyedia jasa
9/15/PBI/2007 hanya dapat dilakukan sepanjang memenuhi prinsip kehati‐hatian.

Yang dimaksud dengan prinsip kehati‐hatian dalam ayat ini antara lain
mengenai pengelolaan risiko atas produk dan aktivitas baru
sebagaimana diatur dalam ketentuan mengenai manajemen risiko.
Yang dimaksud dengan produk dan aktivitas baru antara lain produk
dan aktivitas yang menambah atau meningkatkan risiko pada Bank
termasuk pengembangan pelayanan seperti pemasaran kredit.

(2) Penyelenggaraan Pemrosesan Transaksi Berbasis Teknologi Informasi
oleh pihak penyedia jasa di dalam negeri hanya dapat dilakukan
sepanjang memenuhi persyaratan pada Pasal 18 ayat (2) sampai
dengan ayat (4) (Paragraf 186 ayat (2) sampai dengan ayat (4) dalam
kodifikasi ini);
(3) Penyelenggaraan Pemrosesan Transaksi Berbasis Teknologi Informasi
oleh pihak penyedia jasa di luar negeri hanya dapat dilakukan
sepanjang memperoleh persetujuan dari Bank Indonesia.

Penyelenggaraan Pemrosesan Transaksi Berbasis Teknologi Informasi
di luar negeri dalam ayat ini termasuk yang dilakukan pada kantor
pusat atau kantor lainnya bagi kantor cabang bank asing atau kantor
induk bagi bank yang dimiliki lembaga keuangan asing.

(4) Persetujuan sebagaimana dimaksud pada ayat (3) dapat diberikan
apabila bank memenuhi persyaratan sebagaimana dimaksud pada
Pasal 18 ayat (2) sampai dengan ayat (4) dan pada Pasal 19 ayat (3)
(Paragraf 186 ayat (2) sampai dengan ayat (4) dan pada Paragraf 187
ayat (3) dalam kodifikasi ini) serta persyaratan tambahan sebagai
berikut:
a. Memperhatikan aspek perlindungan kepada nasabah;

Hubungan Bank dengan nasabah didasarkan atas perjanjian yang
jelas dan memperhatikan ketentuan mengenai transparansi
informasi produk dan penggunaan data pribadi nasabah serta
ketentuan mengenai penyelesaian pengaduan nasabah. Bank tetap
bertanggungjawab atas setiap transaksi yang pemrosesannya
diserahkan kepada pihak penyedia jasa.

b. Aktivitas yang pemrosesannya diserahkan kepada pihak penyedia
jasa di luar negeri tidak merupakan aktivitas inherent banking
functions;

Yang dimaksud dengan “aktivitas inherent banking functions”
adalah aktivitas yang terkait dengan tabungan, giro, deposito
berjangka, dan kredit kecuali kartu kredit. Yang termasuk aktifitas
terkait antara lain aktifitas pemeliharaan master file data pribadi
nasabah.

106


c. Dokumen pendukung administrasi keuangan atas transaksi yang
dilakukan di kantor Bank di Indonesia wajib dipelihara di kantor
Bank di Indonesia.

Yang dimaksud dengan dokumen pendukung administrasi keuangan
adalah data yang merupakan bukti adanya hak dan kewajiban serta
kegiatan usaha suatu perusahaan dan digunakan sebagai
pendukung penyusunan laporan keuangan. Contoh: akad kredit dan
dokumen pencairan kredit, deal slip dan deal confirmation transaksi
treasury serta dokumen perintah transfer dana melalui SWIFT.

d. Rencana Bisnis Bank menunjukkan adanya upaya untuk

meningkatkan peran Bank bagi perkembangan perekonomian
Indonesia.

Upaya untuk meningkatkan peran Bank bagi perkembangan
perekonomian Indonesia antara lain tercermin pada rencana
peningkatan pemberian kredit, peningkatan pembiayaan ekspor
impor.

189 Pasal 21 (1) Rencana penggunaan pihak penyedia jasa dalam penyelenggaraan
9/15/PBI/2007 Pusat Data (Data Center), Disaster Recovery Center dan/atau
Pemrosesan Transaksi Berbasis Teknologi wajib telah dimuat dalam
Rencana Strategis Teknologi Informasi dan Rencana Bisnis Bank.
(2) Bank wajib melaporkan rencana penggunaan pihak penyedia jasa
dalam penyelenggaraan Pusat Data (Data Center), Disaster Recovery
Center dan/atau Pemrosesan Transaksi Berbasis Teknologi di dalam
negeri kepada Bank Indonesia paling lambat 2 (dua ) bulan sebelum
penyelenggaraan kegiatan oleh pihak penyedia jasa tersebut efektif
dioperasikan.
(3) Dalam hal terdapat rencana menyerahkan penyelenggaraan Pusat
Data (Data Center), Disaster Recovery Center dan/atau Pemrosesan
Transaksi Berbasis Teknologi kepada pihak penyedia jasa di luar negeri,
Bank wajib menyampaikan permohonan persetujuan paling lambat 4
(empat) bulan sebelum penyelenggaraan kegiatan oleh pihak penyedia
jasa tersebut efektif dioperasikan.
(4) Realisasi rencana penyelenggaraan Pusat Data (Data Center), Disaster
Recovery Center dan/atau Pemrosesan Transaksi Berbasis Teknologi
oleh pihak penyedia jasa wajib dilaporkan paling lambat 1 (satu) bulan
sejak kegiatan tersebut efektif dioperasikan.

Laporan tesebut mencakup kajian paska implementasi (post
implemention review).

(5) Penyampaian rencana dan realisasi rencana sebagaimana dimaksud
pada ayat (2), ayat (3) dan ayat (4) dilaksanakan dengan menggunakan
format Laporan Perubahan Mendasar.
(6) Persetujuan atau penolakan atas permohonan sebagaimana dimaksud
pada ayat (3) diberikan selambat‐lambatnya 3 (tiga) bulan setelah
dokumen permohonan diterima secara lengkap.

107


Yang dimaksud dokumen permohonan diterima secara lengkap adalah
diterimanya dokumen yang dipersyaratkan dalam ketentuan ini serta
diterimanya data tambahan apabila diperlukan.

BAB V Electronic Banking
190 Pasal 22 (1) Bank yang menyelenggarakan kegiatan Electronic Banking wajib
9/15/PBI/2007 memenuhi ketentuan Bank Indonesia yang berlaku.

Ketentuan Bank Indonesia yang berlaku meliputi ketentuan yang
mengatur mengenai produk, seperti ketentuan tentang
Penyelenggaraan Kegiatan Alat Pembayaran dengan Menggunakan
Kartu dan ketentuan lainnya seperti ketentuan tentang Penerapan
Prinsip Mengenal Nasabah (Know Your Customer) dan ketentuan
tentang Penerapan Manajemen Risiko serta ketentuan‐ketentuan lain
yang mengatur prinsip kehati‐hatian dalam kegiatan usaha Bank.

(2) Bank harus memberikan edukasi kepada nasabah mengenai produk
Electronic Banking dan pengamanannya secara berkesinambungan.

Edukasi yang diberikan oleh Bank kepada nasabah dimaksudkan
sebagai upaya meningkatkan pemahaman nasabah atas karakteristik
produk Electronic Banking, baik dari aspek manfaat, risiko,
pengamanan dan kemungkinan penyalahgunaan oleh pihak lain yang
mengakibatkan kerugian nasabah.

191 Pasal 23 (1) Setiap rencana penerbitan produk Electronic Banking baru harus
9/15/PBI/2007 dimuat dalam Rencana Bisnis Bank.
(2) Setiap rencana penerbitan produk Electronic Banking yang
bersifat transaksional wajib dilaporkan kepada Bank Indonesia paling
lambat 2 (dua) bulan sebelum produk tersebut diterbitkan.

Yang dimaksud dengan “produk Electronic Banking” adalah produk
baru yang karakteristiknya berbeda dengan produk yang telah ada di
Bank dan/atau menambah atau meningkatkan eksposur risiko tertentu
pada Bank.

(3) Pelaporan rencana produk Electronic Banking sebagaimana dimaksud
pada ayat (2) tidak berlaku bagi produk Electronic Banking sepanjang
terdapat ketentuan Bank Indonesia yang secara khusus mengatur
persyaratan persetujuan produk tersebut.
(4) Laporan rencana penerbitan produk sebagaimana dimaksud pada ayat
(2) wajib dilengkapi dengan hal‐hal sebagai berikut:
a. bukti‐bukti kesiapan untuk menyelenggarakan Electronic Banking
yang paling kurang memuat:
1) struktur organisasi yang mendukung termasuk pengawasan
dari pihak manajemen;
2) kebijakan, sistem, prosedur dan kewenangan dalam
penerbitan produk Electronic Banking;
3) kesiapan infrastruktur Teknologi Informasi untuk mendukung
produk Electronic Banking;
108


4) hasil analisis dan identifikasi risiko terhadap risiko yang
melekat pada produk Electronic Banking;
5) kesiapan penerapan manajemen risiko khususnya
pengendalian pengamanan (security control) untuk
memastikan terpenuhinya prinsip kerahasiaan
(confidentiality), integritas (integrity), keaslian
(authentication), non repudiation dan ketersediaan
(availability);
6) hasil analisis aspek hukum;
7) uraian sistem informasi akuntansi;
8) program perlindungan dan edukasi nasabah.
b. hasil analisis bisnis mengenai proyeksi produk baru 1 (satu) tahun
kedepan.

(5) Penyampaian pelaporan sebagaimana dimaksud dalam ayat (2) harus
dilengkapi dengan hasil pemeriksaan dari pihak independen untuk
memberikan pendapat atas karakteristik produk dan kecukupan
pengamanan sistem Teknologi Informasi terkait produk serta
kepatuhan terhadap ketentuan dan atau praktek‐praktek yang berlaku
di dunia internasional.

Hasil pemeriksaan dari pihak independen di luar Bank diperlukan untuk
produk Electronic Banking yang baru pertama kali diterbitkan oleh
Bank seperti internet banking yang bersifat transaksional dan sms
banking. Sedangkan untuk penambahan fitur layanan produk
Electronic Banking yang telah ada yang dapat menambah atau
meningkatkan eksposur risiko, Bank dapat menyampaikan hasil
pemeriksaan yang dilakukan oleh pihak internal Bank yang tidak
terlibat dalam perancangan dan pengembangan sistem aplikasi serta
pengambilan keputusan dalam implementasi aktivitas Electronic
Banking.

(6) Dalam hal Teknologi Informasi yang digunakan dalam
menyelenggarakan kegiatan Electronic Banking dilakukan oleh pihak
penyedia jasa maka berlaku pula ketentuan sebagaimana diatur dalam
bagian penyelenggaraan Teknologi Informasi oleh pihak penyedia jasa
(7) Realisasi rencana penerbitan produk Electronic Banking wajib
dilaporkan paling lambat 1 (satu) bulan sejak rencana dilaksanakan
dengan menggunakan format Laporan Perubahan Mendasar Teknologi
Informasi.

Laporan realisasi rencana penerbitan produk Electronic Banking
mencakup kajian paska implementasi (post implementation review).

BAB VI Pelaporan
Bagian Pertama Laporan Penggunaan Teknologi Informasi
192 Pasal 24 (1) Bank wajib menyampaikan Laporan Tahunan Penggunaan Teknologi
9/15/PBI/2007 Informasi paling lambat 1 (satu) bulan sejak akhir tahun pelaporan
Ayat (1)
109


SE 9/30/DPNP Laporan Penggunaan Teknologi Informasi dengan ketentuan sebagai
2007 berikut:
Romawi III.1. a.1 Laporan menggunakan format sebagaimana dimaksud pada
Lampiran 2.1 (Lampiran 29.1 dalam kodifikasi ini).

Pasal 24 (2) Bank wajib menyampaikan Laporan Tahunan Penggunaan Teknologi
9/15/PBI/2007 Informasi paling lambat 1 (satu) bulan sejak akhir tahun pelaporan;
Ayat (2)
Laporan ini berisi perubahan yang telah dilakukan selama satu tahun
pelaporan atas data yang telah disampaikan dalam Laporan
Penggunaan Teknologi Informasi, diluar perubahan yang telah
dilaporkan dalam Laporan Perubahan Mendasar. Hal‐hal yang perlu
dilaporkan antara lain perubahan pejabat penentu dalam struktur
organisasi Teknologi Informasi serta perubahan rencana jangka
panjang (IT Strategic Plan).

SE 9/30/DPNP Laporan menggunakan format sebagaimana dimaksud pada Lampiran
2007 2.4 (Lampiran 29.4 dalam kodifikasi ini).
Romawi III.1. b.1

Bagian Kedua Laporan Perubahan Mendasar
193 Pasal 25 (1) Bank wajib menyampaikan Laporan Rencana Perubahan Mendasar
9/15/PBI/2007 Teknologi Informasi paling lambat 2 (dua) bulan sebelum perubahan
Ayat (1) tersebut efektif dioperasikan;

Perubahan mendasar yang dilaporkan antara lain perubahan
terhadap konfigurasi, aplikasi core banking, produk Electronic
Banking, penggunaan pihak penyedia jasa di dalam negeri, dan
perubahan mendasar lainnya yang dapat menambah atau
meningkatkan risiko Bank.

SE 9/30/DPNP 1) Laporan menggunakan format sebagaimana dimaksud pada
2007 Lampiran 2.2 (Lampiran 29.2 dalam kodifikasi ini).
Romawi III.1.c 2) Laporan wajib disampaikan paling lambat 2 (dua) bulan sebelum
perubahan tersebut efektif dioperasikan. Khusus untuk rencana
perubahan hal‐hal tersebut dibawah ini wajib disampaikan 4
(empat) bulan sebelum efektif dioperasikan:
a) Penyelenggaraan Data Center oleh pihak lain di luar negeri.
b) Penyelenggaraan Disaster Recovery Center oleh pihak lain di
luar negeri.
c) Penyelenggaraan pemrosesan transaksi berbasis Teknologi
Informasi oleh pihak lain di luar negeri.
Pasal 25 (2) Bank wajib menyampaikan Laporan Realisasi Rencana Perubahan
9/15/PBI/2007 Mendasar Teknologi Informasi paling lambat 1 (satu) bulan sejak
Ayat (2) perubahan tersebut efektif dioperasikan.

SE 9/30/DPNP Laporan Realisasi Rencana Perubahan Mendasar Teknologi Informasi
2007 dengan ketentuan sebagai berikut:
Romawi III.1.d 1) Laporan menggunakan format sebagaimana dimaksud pada
Lampiran 2.3 (Lampiran 29.3 dalam kodifikasi ini).

110


2) Bank yang menyampaikan laporan realisasi rencana perubahan
mengenai produk dan atau aktivitas baru dengan menggunakan
format sebagaimana dimaksud dalam Lampiran 2.3 (Lampiran
29.3 dalam kodifikasi ini), tidak perlu menyampaikan Laporan
Produk dan Aktivitas Baru sebagaimana diatur dalam ketentuan

Bank Indonesia mengenai manajemen risiko bank umum.

Pasal 25 (3) Produk dan/atau aktivitas baru yang telah dilaporkan dalam Laporan
9/15/PBI/2007 Realisasi Rencana Perubahan Mendasar Teknologi Informasi tidak
Ayat (3) perlu dilaporkan dalam Laporan Produk dan Aktivitas Baru
sebagaimana diatur dalam ketentuan Bank Indonesia mengenai
manajemen risiko bank umum.

Dengan berlakunya ketentuan dalam ayat ini maka kewajiban
menyampaikan laporan produk dan aktivitas baru sebagaimana
diatur dalam ketentuan manajemen risiko menjadi tidak berlaku
untuk produk yang dilaporkan dengan format laporan realisasi ini.

SE 9/30/DPNP (4) Seluruh laporan di atas wajib disampaikan oleh Bank walaupun
2007 penyelenggaraan Teknologi Informasi yang digunakan oleh Bank telah
Romawi III.2 diserahkan kepada pihak penyedia jasa.

Bagian Ketiga Laporan Lain
194 Pasal 26 (1) Bank wajib menyampaikan hasil audit Teknologi Informasi yang
9/15/PBI/2007 dilakukan pihak independen terhadap Pusat Data (Data Center)
dan/atau Disaster Recovery Center dan/atau Pemrosesan Transaksi
Berbasis Teknologi yang penyelenggaraannya dilakukan oleh pihak
penyedia jasa sebagaimana dimaksud dalam Pasal 18 ayat (2) huruf b
angka 7 (Paragraf 186 ayat (2) huruf b angka 7 dalam kodifikasi ini),
paling lambat 2 (dua) bulan setelah audit selesai dilakukan.
(2) Bank wajib menyampaikan hasil penilaian penerapan manajemen risiko
pada pihak penyedia jasa di luar negeri sebagaimana dimaksud dalam
Pasal 187 ayat (3) huruf e angka 3 (Paragraf 187 ayat (3) huruf e angka 3
dalam kodifikasi ini) paling lambat 1 (satu) bulan setelah akhir periode
penilaian risiko.
(3) Bank wajib melaporkan kejadian kritis, penyalahgunaan, dan/atau
kejahatan dalam penyelenggaraaan Teknologi Informasi yang dapat
dan/atau telah mengakibatkan kerugian keuangan yang signifikan
dan/atau mengganggu kelancaran operasional bank.

Yang termasuk dalam kejadian kritis adalah kegagalan sistem yang
serius, system down time dan degradasi kinerja sistem yang
mempengaruhi kinerja Bank dalam memberikan pelayanan kepada
nasabah.

(4) Laporan sebagaimana dimaksud pada ayat (3) wajib disampaikan
sesegera mungkin melalui e‐mail atau telepon yang diikuti dengan
laporan tertulis paling lambat 7 (tujuh) hari kerja setelah kejadian kritis
dan/atau penyalahgunaan/kejahatan diketahui.

111


Laporan melalui e‐mail atau telepon kepada pengawas Bank
berdasarkan informasi awal yang tersedia.

(5) Laporan tertulis sebagaimana dimaksud pada ayat (4) merupakan
bagian dari Laporan kondisi yang berpotensi menimbulkan kerugian
yang signifikan terhadap kondisi keuangan bank sebagaimana dimaksud
dalam ketentuan tentang penerapan manajemen risiko bagi Bank
Umum.

Bagian Keempat Format dan Alamat Penyampaian Laporan
195 Pasal 27 Format dan petunjuk penyusunan laporan sebagaimana dimaksud dalam
9/15/PBI/2007 Pasal 24, Pasal 25 dan Pasal 26 (Paragraf 192, Paragraf 193 dan Paragraf
194 dalam kodifikasi ini) diatur dalam Surat Edaran Bank Indonesia.

196 Pasal 28 Permohonan persetujuan penggunaan penyedia jasa di luar negeri
9/15/PBI/2007 sebagaimana dimaksud pada Pasal 19 dan Pasal 20 (Paragraf 187 dan
Paragraf 188 dalam kodifikasi ini) serta penyampaian laporan sebagaimana
dimaksud dalam Pasal 24, Pasal 25 dan Pasal 26 (Paragraf 192, Paragraf 193
dan Paragraf 194 dalam kodifikasi ini) dialamatkan kepada:
a. Direktorat Pengawasan Bank, Jl. MH Thamrin No.2, Jakarta 10350, bagi
Bank yang berkantor pusat di wilayah kerja Kantor Pusat Bank
Indonesia;

BAB VII Lain‐lain
197 Pasal 29 (1) Bank Indonesia dapat melakukan pemeriksaan atau meminta Bank
9/15/PBI/2007 untuk melakukan pemeriksaan terhadap aspek‐aspek terkait
penggunaan Teknologi Informasi.
(2) Bank wajib menyediakan akses kepada Bank Indonesia untuk dapat
melakukan pemeriksaan pada seluruh aspek terkait penyelenggaraan
Teknologi Informasi baik yang diselenggarakan sendiri maupun yang
diselenggarakan oleh pihak lain.

Penyediaan akses kepada Bank Indonesia dimaksudkan agar
pengawasan oleh Bank Indonesia dapat dilaksanakan secara efektif
antara lain memastikan integritas, validitas, ketersediaan dan keaslian
data setiap transaksi yang dilakukan oleh Bank. Akses tersebut
termasuk :
a. akses terhadap database baik untuk data terkini maupun untuk data
yang telah lalu;
b. akses terhadap infrastruktur pendukung seperti jaringan komunikasi.

BAB VIII Sanksi
198 Pasal 30 Bank yang tidak melaksanakan ketentuan sebagaimana ditetapkan dalam
9/15/PBI/2007 Peraturan Bank Indonesia ini dan ketentuan pelaksanaan terkait lainnya,
dapat dikenakan sanksi administratif sebagaimana dimaksud dalam Pasal 52
Undang Undang Nomor 7 Tahun 1992 tentang Perbankan sebagaimana
112


telah diubah dengan Undang Undang Nomor 10 Tahun 1998, antara lain
berupa:
b. penurunan tingkat kesehatan berupa penurunan peringkat faktor
manajemen dalam penilaian tingkat kesehatan;
d. pencantuman anggota pengurus dalam daftar tidak lulus melalui
mekanisme uji kepatutan dan kelayakan (fit and proper test).

199 Pasal 31 Bank yang tidak memenuhi ketentuan pelaporan sebagaimana dimaksud
9/15/PBI/2007 dalam Pasal 21 ayat (2), ayat (3) dan ayat (4), Pasal 23 ayat (2) dan ayat (7),
Pasal 24 dan Pasal 25 (Paragraf 189 ayat (2), ayat (3) dan ayat (4), Paragraf
191 ayat (2) dan ayat (7), Paragraf 192 dan Paragraf 193 dalam kodifikasi
ini) dikenakan sanksi sesuai Pasal 52 Undang Undang Nomor 7 Tahun 1992
tentang Perbankan sebagaimana diubah dengan Undang Undang Nomor 10
Tahun 1998, berupa:
a. kewajiban membayar sebesar Rp1.000.000,00 (satu juta rupiah) per hari
keterlambatan per laporan;
b. kewajiban membayar sebesar Rp50.000.000,00 (lima puluh juta rupiah)
per laporan, bagi Bank yang belum menyampaikan laporan setelah 1
(satu) bulan sejak batas akhir waktu penyampaian laporan.

200 Pasal 32 Bank yang menyampaikan laporan yang tidak sesuai dengan kondisi Bank
9/15/PBI/2007 yang sebenarnya dikenakan sanksi kewajiban membayar sebesar
Rp50.000.000,00 (lima puluh juta rupiah) setelah Bank diberikan 2 (dua) kali
surat teguran oleh Bank Indonesia dengan tenggang waktu 7 (tujuh) hari
kerja untuk setiap teguran dan Bank tidak memperbaiki laporan dalam
jangka waktu 7 (tujuh) hari kerja setelah surat teguran terakhir.

Prinsip Kehati‐hatian bagi Bank Umum yang Melakukan
Sebagian Pelaksanaan Pekerjaan Kepada Pihak Lain
diubah dengan Undang‐Undang Nomor 10 Tahun 1998, termasuk
kantor cabang bank asing, dan Bank Umum Syariah sebagaimana
dimaksud dalam Undang‐Undang Nomor 21 Tahun 2008 tentang
Perbankan Syariah;
2. Penyerahan Sebagian Pelaksanaan Pekerjaan kepada Pihak Lain yang
selanjutnya disebut Alih Daya adalah penyerahan sebagian pelaksanaan
pekerjaan kepada Perusahaan Penyedia Jasa melalui perjanjian
pemborongan pekerjaan dan/atau melalui perjanjian penyediaan jasa
tenaga kerja;
3. Perusahaan Penyedia Jasa adalah perusahaan yang melaksanakan
sebagian pekerjaan yang diserahkan Bank melalui perjanjian
pemborongan pekerjaan dan/atau melalui perjanjian penyediaan jasa
tenaga kerja;
4. Dewan Komisaris:
a. bagi Bank berbentuk badan hukum Perseroan Terbatas adalah
dewan komisaris sebagaimana dimaksud dalam Undang‐Undang
tentang Perseroan Terbatas;
113


b. bagi Bank berbentuk badan hukum Perusahaan Daerah adalah
pengawas sebagaimana dimaksud dalam Undang‐Undang tentang
Perusahaan Daerah;
c. bagi Bank berbentuk badan hukum Koperasi adalah pengawas
Perkoperasian;
5. Direksi:
a. bagi Bank berbentuk badan hukum Perseroan Terbatas adalah
Perseroan Terbatas;
b. bagi Bank berbentuk badan hukum Perusahaan Daerah adalah
Perusahaan Daerah;
c. bagi Bank berbentuk badan hukum Koperasi adalah pengurus
Perkoperasian;
d. bagi kantor cabang bank asing adalah pimpinan kantor cabang bank
asing yakni pemimpin kantor cabang dan pejabat satu tingkat di
bawah pemimpin kantor cabang.

202 Pasal 2 (1) Bank dapat melakukan Alih Daya kepada Perusahaan Penyedia Jasa.
13/25/PBI/2011
Ayat (1) Termasuk dalam Alih Daya oleh Bank adalah Alih Daya yang dilakukan
oleh Unit Usaha Syariah pada Bank konvensional.

SE 14/20/DPNP Penyerahan pekerjaan yang tidak menjadi cakupan Alih Daya

2012 sebagaimana dimaksud dalam Surat Edaran Bank Indonesia adalah:
Romawi III Huruf a. penyerahan pekerjaan kepada kantor pusat atau kantor wilayah
A – D Bank yang berkedudukan di luar negeri, perusahaan induk, dan
entitas lain dalam satu kelompok usaha Bank di dalam maupun di
luar negeri;
Penyerahan pekerjaan jenis ini tetap tunduk kepada ketentuan dan
peraturan perundang‐undangan yang berlaku, antara lain ketentuan
mengenai manajemen risiko dalam penggunaan teknologi
informasi, pelaksanaan fungsi audit intern Bank, Good Corporate
Governance (GCG), dan alat pembayaran dengan menggunakan
kartu serta dengan memperhatikan kesesuaian dan kewajaran
penyerahan pekerjaan dimaksud.
Contoh penyerahan pekerjaan kepada kantor pusat atau kantor
wilayah Bank yang berkedudukan di luar negeri, kantor induk,
dan/atau entitas lain dalam satu kelompok usaha yang bukan
merupakan cakupan ketentuan Alih Daya antara lain adalah:
1. pekerjaan yang dilakukan sebagai bentuk pengawasan kantor
pusat atau kantor wilayah Bank yang berkedudukan di luar
negeri, atau perusahaan induk, misalnya pengawasan limit
risiko pasar dan risiko kredit;
2. pekerjaan yang tidak dapat dilakukan oleh kantor cabang bank
asing atau perusahaan anak Bank karena kurangnya keahlian
pada bidang tertentu dan bersifat konsultasi, misalnya review
atas model pengukuran risiko dan tenaga auditor yang memiliki
keahlian pada bidang tertentu (TI); dan/atau
114


Contoh penyerahan pekerjaan ini antara lain jasa konsultan
hukum, jasa notaris, jasa penilai independen (appraisal) dan
akuntan publik.
3. pekerjaan yang merupakan bagian dari proses bisnis Bank yang
dilakukan di kantor pusat atau kantor wilayah Bank yang
berkedudukan di luar negeri, perusahaan induk, atau entitas
lain dalam satu kelompok usaha Bank, misalnya rekonsiliasi
laporan keuangan dan pemrosesan gaji.

b. penyerahan pekerjaan jasa konsultansi atau keahlian khusus; dan

Contoh penyerahan pekerjaan ini antara lain jasa konsultan hokum,
jasa notaris, jasa penilai independen (appraisal) dan akuntan publik.

c. penyerahan pekerjaan jasa pemeliharaan barang dan gedung.

Contoh penyerahan pekerjaan ini antara lain pemeliharaan mesin
pendingin ruangan (Air Conditioner/AC), fotocopy, komputer dan
printer serta jasa pemeliharaan gedung kantor Bank.

Pasal 2 (2) Dalam melakukan Alih Daya, Bank wajib menerapkan prinsip kehati‐
13/25/PBI/2011 hatian dan manajemen risiko.
Ayat (2)
SE 14/20/DPNP (3) Dalam melakukan Alih Daya, Bank perlu memperhatikan risiko yang
2012 dapat timbul dari pelaksanaan Alih Daya, antara lain risiko operasional,
Romawi I.B risiko kepatuhan, risiko hukum dan risiko reputasi.

SE 14/20/DPNP (4) Penerapan prinsip kehati‐hatian dan manajemen risiko atas
2012 pelaksanaan Alih Daya oleh Bank mencakup:
Romawi I.C a. melakukan analisis dan penilaian Perusahaan Penyedia Jasa (PPJ)
dengan baik untuk memastikan bahwa PPJ yang dipilih memiliki
kinerja keuangan dan reputasi yang baik, sumber daya manusia,
sarana dan prasarana serta pengalaman yang memadai agar
pekerjaan yang dialihdayakan dapat dilaksanakan dengan baik;
b. menyusun perjanjian Alih Daya dengan PPJ sesuai dengan cakupan
minimum perjanjian yang dipersyaratkan dalam Ketentuan
mengenai prinsip kehati‐hatian bagi Bank Umum yang melakukan
penyerahan sebagian pelaksanaan pekerjaan kepada pihak lain;
c. menerapkan manajemen risiko secara efektif atas pelaksanaan Alih
Daya, termasuk melaksanakan pengawasan berkala atas
pelaksanaan pekerjaan oleh PPJ dan melakukan tindakan perbaikan
secara dini dan efektif atas permasalahan yang timbul;
d. memenuhi peraturan perundang‐undangan yang berlaku; dan
e. melakukan upaya‐upaya dalam rangka memberikan perlindungan
hak dan kepentingan nasabah.

BAB II Alih Daya
203 Pasal 3 (1) Alih Daya sebagaimana dimaksud dalam Pasal 1 ayat (1) (Paragraf 202
13/25/PBI/2011 ayat (1) dalam kodifikasi ini) dilakukan Bank melalui perjanjian:
Ayat (1) a a. pemborongan pekerjaan; dan/atau
115


Ketentuan ini tidak mengatur mengenai pemborongan pekerjaan
yang hasil akhirnya berupa barang atau yang pada umumnya
dikenal sebagai pengadaan barang, misalnya pengadaan slip
setoran, buku tabungan, inventaris kantor, pembangunan gedung
kantor, dan mesin Anjungan Tunai Mandiri (ATM).

SE 14/20/DPNP Perjanjian pemborongan pekerjaan adalah perjanjian kerja antara
2012 Bank dengan PPJ untuk melakukan pemborongan pekerjaan
Romawi II Huruf tertentu dengan lebih menekankan standar hasil dari pekerjaan
D.1 yang diborongkan. Sebagai contoh dalam perjanjian pemborongan
pekerjaan pemasaran produk Bank, Bank memberikan target
kepada PPJ mengenai jumlah calon nasabah yang harus diperoleh
dalam jangka waktu tertentu.

Pasal 3 b. penyediaan jasa tenaga kerja.
13/25/PBI/2011
Ayat (1) b

SE 14/20/DPNP Perjanjian penyediaan jasa tenaga kerja adalah perjanjian kerja
2012 antara Bank dengan PPJ untuk menyediakan tenaga kerja dengan
Romawi II Huruf kualifikasi tertentu dalam rangka pelaksanaan pekerjaan tertentu.
D.2 Sebagai contoh dalam perjanjian penyediaan tenaga kerja
pemasaran produk Bank, Bank menetapkan jumlah tenaga kerja
yang dibutuhkan untuk melaksanakan pemasaran dan tingkat
pendidikan minimal tenaga pemasaran tersebut.

Pasal 3 (2) Bank wajib memastikan bahwa pelaksanaan pekerjaan yang
13/25/PBI/2011 dialihdayakan sesuai dengan perjanjian yang dibuat dan peraturan
Ayat (2) perundang‐undangan yang berlaku.

SE 14/20/DPNP Selain memperhatikan ketentuan ini, pelaksanaan penyerahan
2012 pekerjaan kepada pihak lain juga mengacu pada ketentuan lainnya yang
Romawi I.E mengatur pelaksanaan Alih Daya pada pekerjaan tertentu secara lebih
spesifik, seperti ketentuan mengenai manajemen risiko dalam
penggunaan teknologi informasi, pelaksanaan fungsi audit intern Bank,
Good Corporate Governance (GCG), dan penyelenggaraan kegiatan alat
pembayaran dengan menggunakan kartu (APMK).

Pasal 3 (3) Bank tetap bertanggung jawab atas pekerjaan yang dialihdayakan
13/25/PBI/2011 kepada Perusahaan Penyedia Jasa.
Ayat (3)
Pelaksanaan Alih Daya tidak menghilangkan tanggung jawab Bank atas
akibat dari tindakan yang dilakukan oleh Perusahaan Penyedia Jasa
dalam melaksanakan pekerjaan yang dialihkan, termasuk apabila
terdapat tindakan yang merugikan nasabah Bank.

SE 14/20/DPNP Pelaksanaan Alih Daya tidak menghilangkan tanggung jawab Bank
2012 dalam memberikan perlindungan terhadap hak dan kepentingan
Romawi I Huruf nasabah atas pelaksanaan pekerjaan yang dialihdayakan kepada PPJ.
D.3 Oleh karena itu, Bank wajib memastikan bahwa kualitas dan tata cara
116


pelaksanaan pekerjaan yang dialihdayakan sesuai dengan ukuran dan
standar yang ditetapkan dalam perjanjian, antara lain dengan
melakukan pengawasan terhadap pelaksanaan pekerjaan oleh PPJ
secara berkala dan melakukan langkah‐langkah perbaikan dengan
segera dan efektif atas permasalahan yang teridentifikasi, sehingga
pelaksanaan pekerjaan tetap berjalan dengan baik dan kepentingan
nasabah terlindungi.

204 Pasal 4 (1) Dalam rangka Alih Daya, kegiatan Bank dikategorikan sebagai berikut :
13/25/PBI/2011 a. kegiatan usaha; dan
Ayat (1) – (2)
Yang dimaksud dengan “kegiatan usaha” adalah sebagaimana
dimaksud dalam Pasal 6 dan Pasal 7 Undang‐Undang Nomor 7
Tahun 1992 tentang Perbankan sebagaimana telah diubah dengan
Undang‐Undang Nomor 10 Tahun 1998 serta Pasal 19 dan Pasal 20
Undang‐Undang Nomor 21 Tahun 2008 tentang Perbankan Syariah.
Termasuk kegiatan usaha antara lain adalah penghimpunan dana
dari masyarakat (funding), pemberian kredit/pembiayaan
(lending/financing), serta membeli, menjual, atau menjamin atas
risiko sendiri maupun untuk kepentingan dan atas perintah
nasabahnya.

b. kegiatan pendukung usaha.

Yang dimaksud dengan “kegiatan pendukung usaha” adalah
kegiatan lain yang dilakukan Bank di luar kegiatan usaha Bank.
Termasuk kegiatan pendukung usaha antara lain adalah kegiatan
yang terkait dengan sumber daya manusia, manajemen risiko,
kepatuhan, internal audit, akunting dan keuangan, teknologi
informasi, logistik dan pengamanan.

(2) Dalam setiap kegiatan usaha dan kegiatan pendukung usaha
sebagaimana dimaksud pada ayat (1) terdiri atas serangkaian pekerjaan
pokok dan pekerjaan penunjang.

Yang dimaksud dengan “pekerjaan pokok” adalah pekerjaan yang harus
ada dalam alur kegiatan usaha atau alur kegiatan pendukung usaha
Bank, sehingga apabila pekerjaan tersebut tidak ada, maka kegiatan
dimaksud akan sangat terganggu atau tidak terlaksana sebagaimana
mestinya.
Yang dimaksud dengan “alur” adalah serangkaian pekerjaan dari awal
sampai akhir dari suatu kegiatan usaha atau kegiatan pendukung
usaha, misalnya alur pemberian kredit mencakup pekerjaan pemasaran,
analisis kelayakan, persetujuan, pencairan, pemantauan, dan
penagihan kredit.
Contoh pekerjaan pokok dalam alur kegiatan usaha Bank misalnya alur
kegiatan pemberian kredit antara lain pekerjaan account officer dan
analis kredit; pada alur kegiatan penghimpunan dana antara lain
pekerjaan customer service, customer relation dan teller.

117


Contoh pekerjaan pokok dalam alur kegiatan pendukung usaha Bank
misalnya alur kegiatan manajemen risiko antara lain pekerjaan analisis
risiko; pada alur pengembangan organisasi dan pengelolaan sumber
daya manusia antara lain pekerjaaan perencanaan dan pengembangan
organisasi serta perencanaan sumber daya manusia; pada alur kegiatan
pengelolaan teknologi informasi antara lain pekerjaan perencanaan dan
pengembangan teknologi informasi; dan pada alur kegiatan
pengendalian internal antara lain pekerjaan audit internal.
Yang dimaksud dengan “pekerjaan penunjang” adalah pekerjaan yang
tidak harus ada dalam alur kegiatan usaha atau alur kegiatan
pendukung usaha Bank, sehingga apabila pekerjaan tersebut tidak ada
kegiatan dimaksud masih dapat terlaksana tanpa gangguan yang
berarti.
Contoh pekerjaan penunjang pada alur kegiatan usaha Bank misalnya
alur kegiatan pemberian kredit antara lain pekerjaan call center,
pemasaran (telemarketing, direct sales/ sales representative) dan
penagihan; dan pada alur kegiatan perkasan misalnya pekerjaan jasa
pengelolaan kas Bank.
Contoh pekerjaan penunjang pada alur kegiatan pendukung usaha
antara lain pekerjaan yang dilakukan oleh sekretaris, agendaris,
resepsionis, petugas kebersihan, petugas keamanan, pramubakti, kurir,
data entry dan pengemudi.

SE 14/20/DPNP Contoh pekerjaan pokok dan penjelasannya adalah sebagaimana
2012 dimaksud pada Lampiran I.A yang merupakan bagian tidak terpisahkan
Romawi II A.4 – dari Surat Edaran Bank Indonesia ini (Lampiran 30 dalam kodifikasi ini).
5
Pekerjaan pokok adalah pekerjaan yang harus ada dalam alur kegiatan
usaha atau alur kegiatan pendukung usaha Bank, sehingga apabila
pekerjaan tersebut tidak ada maka kegiatan dimaksud akan sangat
terganggu atau tidak terlaksana sebagaimana mestinya. Contoh
pekerjaan pokok:
a. Pada alur kegiatan usaha Bank dalam kegiatan pemberian kredit
antara lain analisis kelayakan dan persetujuan kredit, sedangkan
pada alur kegiatan penghimpunan dana antara lain pekerjaan
customer service, customer relation dan teller.
b. Pada alur kegiatan pendukung usaha Bank dalam kegiatan
manajemen risiko antara lain pekerjaan analisis risiko, sedangkan
pada alur pengembangan organisasi dan pengelolaan sumber daya
manusia antara lain pekerjaan perencanaan dan pengembangan
organisasi serta perencanaan sumber daya manusia, dan pada alur
kegiatan pengendalian internal antara lain pekerjaan audit internal.
Contoh pekerjaan pokok dan penjelasannya adalah sebagaimana
dimaksud pada Lampiran I.A yang merupakan bagian tidak terpisahkan
dari Surat Edaran Bank Indonesia ini (Lampiran 30 dalam kodifikasi ini).

Pekerjaan penunjang adalah pekerjaan dalam alur kegiatan usaha atau
alur kegiatan pendukung usaha Bank, yang apabila pekerjaan tersebut
tidak ada maka kegiatan dimaksud masih dapat terlaksana tanpa
gangguan yang berarti. Contoh pekerjaan penunjang:
118


a. Pada alur kegiatan usaha Bank dalam kegiatan pemberian kredit
antara lain pekerjaan call center, pemasaran (telemarketing, direct
sales atau sales representative) dan penagihan kredit.
b. Pada alur kegiatan pendukung usaha antara lain pekerjaan yang
dilakukan oleh sekretaris, agendaris, resepsionis, petugas
kebersihan, petugas keamanan, pramubakti, kurir, data entry dan
pengemudi.

Pasal 4 (3) Bank hanya dapat melakukan Alih Daya atas pekerjaan penunjang pada
13/25/PBI/2011 alur kegiatan usaha Bank dan pada alur kegiatan pendukung usaha
Ayat (3) Bank.

Contoh pekerjaan penunjang pada alur kegiatan usaha Bank dan pada
alur kegiatan pendukung usaha Bank sebagaimana dimaksud dalam
Penjelasan ayat (2).

205 Pasal 5 (1) Pekerjaan penunjang sebagaimana dimaksud dalam Pasal 4 ayat
13/25/PBI/2011 (3) (Paragraf 204 ayat (3) dalam kodifikasi ini) paling kurang memenuhi
Ayat (1) a – b kriteria sebagai berikut:
a. berisiko rendah;
Yang dimaksud dengan “pekerjaan berisiko rendah” adalah
pekerjaan yang apabila terjadi kegagalan tidak akan mengganggu
aktivitas operasional bank secara signifikan.

b. tidak membutuhkan kualifikasi kompetensi yang tinggi di bidang
perbankan; dan

Yang dimaksud dengan “kualifikasi kompetensi di bidang
perbankan” antara lain mencakup pendidikan formal dan
pengetahuan atau pengalaman di bidang perbankan.

SE 14/20/DPNP Namun demikian, Bank harus tetap mewajibkan PPJ untuk menyediakan
2012 jasa tenaga kerja dengan kualifikasi kompetensi yang memenuhi
Romawi II.B.2 persyaratan pekerjaan yang dilakukan Alih Daya. Bank dapat
mensyaratkan kualifikasi kompetensi tertentu untuk bidang pekerjaan
yang spesifik dan membutuhkan keahlian khusus yang tidak selalu
dapat dipenuhi oleh pegawai tetap, misalnya untuk pekerjaan
penunjang terkait IT, pengamanan, penagihan, dan pengelolaan kas.

Pasal 5 c. tidak terkait langsung dengan proses pengambilan keputusan yang
13/25/PBI/2011 mempengaruhi operasional bank.
Ayat (1) Huruf c
Proses pengambilan keputusan mencakup proses analisis dan
proses judgement dalam rangka pengambilan keputusan.
Keputusan yang mempengaruhi operasional bank adalah keputusan
yang dapat meningkatkan risiko secara signifikan dan/atau
mengganggu berjalannya operasional bank apabila tidak dilakukan
dengan benar.

119


SE 14/20/DPNP Pekerjaan penunjang yang sesuai dengan kriteria pada huruf a, huruf b,
2012 dan huruf c antara lain pekerjaan call center, telemarketing, atau data
Romawi II.B entry karena potensi kerugian yang ditimbulkan akibat tidak berjalannya
pekerjaan tersebut relatif rendah dan tidak mengganggu operasional
Bank secara signifikan, tidak membutuhkan kompetensi yang tinggi di
bidang perbankan dan tidak terkait langsung dengan proses
pengambilan keputusan yang mempengaruhi operasional Bank.
Contoh pekerjaan penunjang dan penjelasannya adalah sebagaimana
dimaksud pada Lampiran I.B yang merupakan bagian tidak terpisahkan
dari Surat Edaran Bank Indonesia ini (Lampiran 31 dalam kodifikasi ini).

Pasal 5 (2) Kriteria sebagaimana dimaksud pada ayat (1) harus dijabarkan dalam
13/25/PBI/2011 kebijakan Bank sebagaimana dimaksud dalam Pasal 14 ayat (2) huruf b
Ayat (2) – (3) (Paragraf 214 ayat (2) huruf b dalam kodifikasi ini).
(3) Bank dilarang melakukan Alih Daya yang mengakibatkan beralihnya
tanggung jawab atau risiko dari obyek pekerjaan yang dialihdayakan
kepada Perusahaan Penyedia Jasa.

Sebagai contoh dalam Alih Daya penagihan kredit melalui perjanjian
pemborongan, Bank dilarang mengalihkan risiko kredit yang
ditimbulkan oleh tidak tertagihnya krdit dengan menggunakan cara
seperti mekanisme penjualan tagihan kredit melalui skim anjak piutang.

206 Pasal 6 (1) Bank hanya dapat melakukan perjanjian Alih Daya dengan Perusahaan
13/25/PBI/2011 Penyedia Jasa yang paling kurang memenuhi persyaratan sebagai
Ayat (1) a berikut:
a. berbadan hukum Indonesia;

SE 14/20/DPNP Bank hanya dapat melakukan perjanjian Alih Daya dengan PPJ
2012 berbadan hukum Indonesia yang berbentuk Perseroan Terbatas (PT)
Romawi II.E atau Koperasi.

Pasal 6 b. memiliki ijin usaha yang masih berlaku dari instansi berwenang
13/25/PBI/2011 sesuai bidang usahanya;
Ayat (1) b – e c. memiliki kinerja keuangan dan reputasi yang baik serta pengalaman
yang cukup;
d. memiliki sumber daya manusia yang mendukung pelaksanaan
pekerjaan yang dialihdayakan; dan
e. memiliki sarana dan prasarana yang dibutuhkan dalam Alih Daya.

SE 14/20/DPNP (2) Apabila terdapat persyaratan bagi pekerjaan yang dilakukan Alih Daya
2012 untuk memiliki sertifikasi yang telah memperoleh izin dari Badan
Romawi II.H Nasional Sertifikasi Profesi atau pelatihan khusus terkait dengan
pekerjaan tertentu seperti pekerjaan pengamanan, Bank wajib
mensyaratkan pemenuhan sertifikasi atau pelatihan khusus tersebut
oleh PPJ dalam perjanjian Alih Daya.

120


BAB III Penerapan Prinsip Kehati‐hatian dan Manajemen Risiko
Bagian Pertama Pemilihan Perusahaan Penyedia Jasa
207 Pasal 7 Untuk memastikan pemenuhan persyaratan dalam rangka pemilihan
13/25/PBI/2011 Perusahaan Penyedia Jasa, Bank wajib melakukan hal‐hal sebagai berikut:
a. meneliti dokumen sebagaimana dimaksud dalam Pasal 6 huruf a dan
huruf b (Paragraf 206 huruf a dan huruf b dalam kodifikasi ini); dan

Penelitian dokumen dilakukan terhadap informasi dan kondisi terkini
Perusahaan Penyedia Jasa. Dalam hal diperlukan dapat dilakukan
konfirmasi atau klarifikasi kepada instansi yang berwenang.

b. melakukan analisis dan penilaian terhadap aspek sebagaimana
dimaksud dalam Pasal 6 huruf c, huruf d, dan huruf e (Paragraf 206
huruf c, huruf d, dan huruf e dalam kodifikasi ini), sebagai berikut:
Analisis dan penilaian dilakukan untuk meyakini bahwa Perusahaan
Penyedia Jasa telah memenuhi seluruh kriteria yang ditetapkan dan
mampu melakukan Alih Daya.
Analisis dan penilaian menggunakan informasi dan kondisi terkini
Perusahaan Penyedia Jasa.
Kedalaman dan intensitas analisis dan penilaian disesuaikan dengan
skala dan kompleksitas pekerjaan yang dialihdayakan.

1. kinerja keuangan dan reputasi yang baik serta pengalaman yang
cukup;

Penilaian terhadap kinerja keuangan bertujuan untuk memastikan
bahwa Perusahaan Penyedia Jasa memiliki kemampuan keuangan
yang dapat mendukung kelancaran pelaksanaan pekerjaan sesuai
perjanjian yang telah disepakati, yang antara lain mencakup
penilaian terhadap modal, likuiditas dan profitabilitas Perusahaan
Penyedia Jasa.
Penilaian terhadap reputasi termasuk penilaian terhadap track
record Perusahaan Penyedia Jasa bertujuan untuk menilai
kepatuhan Perusahaan Penyedia Jasa terhadap ketentuan dan/atau
peraturan perundang‐undangan yang berlaku, yang antara lain
mencakup:
1. permasalahan hukum yang pernah atau sedang dihadapi yang
dapat berdampak negatif;
2. kepatuhan terhadap ketentuan dan/atau peraturan perundang‐
undangan yang berlaku; atau
3. kepatuhan terhadap perjanjian Alih Daya dengan Bank lain atau
pemberi kerja sebelumnya.
Penilaian terhadap pengalaman Perusahaan Penyedia Jasa
bertujuan untuk memastikan bahwa Perusahaan Penyedia Jasa
memiliki pengalaman yang memadai untuk melaksanakan
pekerjaaan yang dialihkan, antara lain mencakup:
1. pengalaman perusahaan dalam menangani pekerjaan yang
dialihdayakan; dan/atau
2. pengalaman manajemen perusahaan dalam menangani
pekerjaan yang dialihdayakan.
121


2. sumber daya manusia yang mendukung pelaksanaan pekerjaan
yang dialihdayakan; dan

Penilaian terhadap sumber daya manusia bertujuan untuk
memastikan pemenuhan kecukupan kuantitas dan kualitas
(keahlian) sumber daya manusia.

3. sarana dan prasarana yang dibutuhkan dalam Alih Daya.

Penilaian terhadap sarana dan prasarana bertujuan untuk
memastikan kecukupan sarana dan prasarana yang dibutuhkan
dalam Alih Daya, termasuk pemenuhan kecukupan kuantitas dan
kualitas serta spesifikasi khusus yang dibutuhkan dalam Alih Daya

SE 14/20/DPNP Kedalaman dan intensitas analisis dan penilaian dapat disesuaikan
2012 dengan skala dan kompleksitas pekerjaan yang dilakukan Alih Daya.
Romawi II.F Sebagai contoh, analisis dan penilaian PPJ pekerjaan pemasaran dan
penagihan harus lebih dalam dibandingkan dengan analisis dan
penilaian PPJ pekerjaan pramubakti atau cleaning service.

208 Pasal 8 Hasil penelitian, analisis dan penilaian sebagaimana dimaksud dalam Pasal 7
13/25/PBI/2011 (Paragraf 207 dalam kodifikasi ini) wajib disusun secara tertulis dan
didokumentasikan dengan baik.

209 Pasal 9 (1) Bank wajib memantau dan mengevaluasi pemenuhan persyaratan
13/25/PBI/2011 Perusahaan Penyedia Jasa secara berkala, paling kurang sekali dalam 1
(satu) tahun atau sewaktu‐waktu apabila terjadi perubahan kinerja
dan/atau reputasi Perusahaan Penyedia Jasa.

(2) Hasil pemantauan dan evaluasi sebagaimana dimaksud pada ayat (1)
wajib disusun secara tertulis dan didokumentasikan dengan baik.

Bagian Kedua Perjanjian Alih Daya
210 Pasal 10 (1) Dalam melakukan Alih Daya, Bank wajib membuat perjanjian dengan
13/25/PBI/2011 Perusahaan Penyedia Jasa secara tertulis.
(2) Perjanjian Alih Daya sebagaimana dimaksud pada ayat (1) paling kurang
mencakup:

a. ruang lingkup pekerjaan;
b. jangka waktu perjanjian;
c. nilai kontrak;
d. struktur biaya dan mekanisme pembayaran;

Termasuk dalam struktur biaya adalah biaya‐biaya selain nilai
kontrak yang terkait dengan pelaksanaan pekerjaan.
Dalam mekanisme pembayaran diatur mengenai pihak yang harus
membayar biaya tersebut dan tata cara pembayarannya.

e. hak, kewajiban, dan tanggung jawab Bank maupun Perusahaan
Penyedia Jasa, antara lain:
122


1. kewenangan Bank untuk melakukan evaluasi dan pemeriksaan
terhadap Perusahaan Penyedia Jasa terkait dengan pelaksanaan
perjanjian Alih Daya;
2. kewajiban Perusahaan Penyedia Jasa termasuk tenaga kerja
yang digunakan dalam Alih Daya untuk menjaga kerahasiaan
dan pengamanan informasi Bank dan/atau nasabah Bank;

Kewajiban menjaga kerahasiaan dan pengamanan informasi
nasabah mengacu pada ketentuan dan peraturan perundang‐
undangan yang berlaku antara lain mengenai rahasia Bank dan
ketentuan mengenai transparansi informasi produk Bank dan
penggunaan data pribadi nasabah.

3. kewajiban Perusahaan Penyedia Jasa untuk menyampaikan
laporan dan informasi kepada Bank secara tertulis dan berkala;

Cakupan dan frekuensi laporan sesuai dengan kesepakatan
para pihak.

4. kewajiban masing‐masing pihak untuk mematuhi ketentuan dan
peraturan perundang‐undangan yang berlaku;

Ketentuan dan peraturan perundang‐undangan yang berlaku
antara lain di bidang ketenagakerjaan dan perbankan.
5. kewajiban para pihak untuk melindungi hak dan kepentingan
nasabah Bank terkait dengan pekerjaan yang dialihdayakan;

Perlindungan hak dan kepentingan nasabah mengacu pada
ketentuan dan peraturan perundang‐undangan yang berlaku
antara lain mengenai perlindungan konsumen dan ketentuan
mengenai transparansi informasi produk Bank dan penggunaan
data pribadi nasabah.

6. kewajiban Perusahaan Penyedia Jasa memiliki contingency plan;
dan

Yang dimaksud dengan “contingency plan” adalah upaya‐upaya
yang harus dilakukan oleh Perusahaan Penyedia Jasa untuk
mengatasi keadaan memaksa atau gangguan yang signifikan
dalam pelaksanaan pekerjaan, antara lain yang disebabkan
oleh bencana alam, demonstrasi, pemogokan tenaga kerja,
gangguan sistem dan/atau perselisihan.

7. kesediaan Perusahaan Penyedia Jasa untuk memberikan akses
pemeriksaan kepada Bank Indonesia bersama‐sama dengan
Bank dalam hal diperlukan;

f. ukuran dan standar pelaksanaan pekerjaan;

Ukuran pelaksanaan pekerjaan meliputi ukuran atas kuantitas
dan/atau kualitas pekerjaan.
123


Standar pelaksanaan pekerjaan merupakan prosedur yang paling
kurang harus dipenuhi dalam proses pelaksanaan pekerjaan yang
dialihdayakan. Standar dimaksud dapat pula mengacu pada
Standard Operating Procedure (SOP) yang dimiliki oleh Bank.

g. kriteria atau kondisi pengakhiran perjanjian sebelum berakhirnya
jangka waktu perjanjian (early termination);
h. sanksi dan penalti; dan
i. penyelesaian perselisihan.

SE 14/20/DPNP (3) Dalam menyusun perjanjian Alih Daya, Bank dapat mempertimbangkan
2012 kesesuaian pencantuman klausula minimum dalam perjanjian Alih Daya.
Romawi II.G Contoh klausula minimum tersebut antara lain klausula kesediaan PPJ
untuk memberikan akses pemeriksaan oleh Bank Indonesia dan klausula
kewajiban para pihak untuk melindungi hak dan kepentingan nasabah
Bank, lebih sesuai untuk pekerjaan penunjang pada alur kegiatan usaha
Bank, seperti pemasaran, penagihan kredit dan pengelolaan kas Bank.

Bagian Ketiga Penerapan Manajemen Risiko
211 Pasal 11 (1) Bank wajib menerapkan manajemen risiko secara efektif dalam
13/25/PBI/2011 melakukan Alih Daya sesuai dengan skala, karakteristik, dan
kompleksitas pekerjaan yang dialihdaya.

Prinsip‐prinsip penerapan manajemen risiko berpedoman pada
ketentuan yang mengatur mengenai penerapan manajemen risiko bagi
Bank Umum.

(2) Penerapan manajemen risiko sebagaimana dimaksud pada ayat (1)
b. kecukupan kebijakan dan prosedur;
pengendalian risiko serta sistem informasi manajemen risiko; dan
d. sistem pengendalian intern.

212 Pasal 12 Pengawasan aktif Dewan Komisaris paling kurang mencakup:
13/25/PBI/2011 a. menyetujui dan mengevaluasi kebijakan Alih Daya termasuk
penyempurnaan atas kebijakan Alih Daya tersebut; dan
b. mengevaluasi pertanggungjawaban Direksi atas penerapan manajemen
risiko atas Alih Daya.

213 Pasal 13 Pengawasan aktif Direksi paling kurang mencakup:
13/25/PBI/2011 a. menyusun dan menyempurnakan kebijakan Alih Daya;
b. menetapkan prosedur Alih Daya;
c. menyetujui rencana Bank untuk melaksanakan Alih Daya;
d. memantau, mengevaluasi, dan bertanggung jawab atas penerapan
manajemen risiko atas Alih Daya; dan
e. memantau dan mengevaluasi pelaksanaan Alih Daya secara
keseluruhan.

124


214 Pasal 14 (1) Bank wajib memiliki dan menerapkan kebijakan dan prosedur tertulis
13/25/PBI/2011 mengenai Alih Daya.
(2) Kebijakan dan prosedur sebagaimana dimaksud pada ayat (1) paling
kurang mencakup:
a. tujuan Alih Daya;

Tujuan mencakup penjabaran atas hasil yang ingin dicapai melalui
pelaksanaan Alih Daya, sesuai dengan strategi dan tujuan bisnis
Bank secara keseluruhan.

b. kriteria pekerjaan yang dialihdaya;

Kriteria pekerjaan yang dapat dialihdaya paling kurang mengacu
pada kriteria sebagaimana dimaksud dalam Peraturan Bank
Indonesia ini.

c. cakupan analisis;

Cakupan analisis mencakup aspek‐aspek antara lain risiko, biaya
dan manfaat yang ditimbulkan oleh Alih Daya.
Dalam analisis manfaat dan biaya perlu memperhatikan pula
pelaksanaan prinsip kehati‐hatian dan pengawasan oleh Bank atas
Alih Daya tersebut.

d. kebijakan mitigasi risiko dalam pelaksanaan Alih Daya;

Dalam kebijakan mitigasi risiko mencakup jenis pekerjaan yang
harus dilakukan upaya mitigasi risiko serta upaya‐upaya mitigasi
yang dapat dilakukan atas pekerjaan tersebut.

e. kriteria Perusahaan Penyedia Jasa;

Kriteria Perusahaan Penyedia Jasa paling kurang mengacu pada
kriteria sebagaimana dimaksud dalam Peraturan Bank Indonesia ini.

f. cakupan minimum perjanjian Alih Daya;

Cakupan minimum perjanjian Alih Daya paling kurang mengacu
pada cakupan sebagaimana dimaksud dalam Peraturan Bank
Indonesia ini.

g. prosedur standar dalam melakukan Alih Daya; dan

Prosedur standar dalam melakukan Alih Daya antara lain mencakup
prosedur pemilihan dan penetapan Perusahaan Penyedia Jasa,
pengikatan perjanjian, dan pengawasan pelaksanaan Alih Daya.

h. penetapan unit atau fungsi khusus yang melaksanakan proses Alih
Daya dan kejelasan tugas dan tanggung jawabnya.

125


Unit atau fungsi khusus tersebut dapat berdiri sendiri atau
merupakan bagian dari unit yang mengalihdayakan pekerjaannya.

(3) Kebijakan dan prosedur sebagaimana dimaksud pada ayat (1) harus
dikaji ulang secara berkala atau sewaktu‐waktu apabila diperlukan.

Frekuensi pengkajian ulang dilakukan sesuai kebutuhan Bank dan
perkembangan aktivitas Bank, terutama untuk memastikan kesesuaian
dengan strategi dan tujuan bisnis Bank secara keseluruhan.

SE 14/20/DPNP (4) Penerapan prinsip kehati‐hatian dan penerapan manajemen risiko
2012 dalam alih daya pekerjaan penagihan kredit
Romawi IV A, B a. Cakupan penagihan kredit dalam ketentuan ini adalah penagihan
kredit secara umum, termasuk penagihan kredit kepemilikan
rumah, kredit kendaraan bermotor, kredit tanpa agunan dan kartu
kredit.
b. Pekerjaan penagihan kredit yang dapat dilakukan Alih Daya adalah
pekerjaan penagihan kredit dengan kualitas “Macet” sesuai
ketentuan yang mengatur mengenai penilaian kualitas aset Bank
umum.
c. Perjanjian kerjasama Alih Daya penagihan kredit antara Bank dan
PPJ harus dilakukan secara tertulis dalam bentuk perjanjian
penyediaan jasa tenaga kerja.
d. Dalam Alih Daya penagihan kredit, Bank wajib memiliki dan
menerapkan kebijakan dan prosedur tertulis mengenai penagihan
kredit antara lain berupa kewajiban Bank untuk:
1) menginformasikan kepada debitur apabila penagihan atas
kewajiban debitur telah diserahkan kepada PPJ;
2) memastikan bahwa penagihan kredit oleh PPJ dilakukan dengan
cara‐cara yang tidak melanggar hukum;
3) menyusun etika penagihan kredit yang harus dituangkan dalam
perjanjian Alih Daya; d. memastikan bahwa tenaga penagihan
telah memperoleh pelatihan yang memadai terkait dengan
tugas penagihan dan etika penagihan sesuai ketentuan yang
berlaku;
4) menatausahakan identitas setiap tenaga penagih; dan
5) memastikan bahwa dalam melakukan penagihan PPJ mematuhi
pokok‐pokok etika penagihan kredit yang dimuat dalam
perjanjian Alih Daya, antara lain:
a) penagihan dilarang dilakukan dengan menggunakan cara
ancaman, kekerasan dan/atau tindakan yang bersifat
mempermalukan debitur;
b) penagihan dilarang dilakukan dengan menggunakan
tekanan secara fisik maupun verbal;
c) penagihan dilarang dilakukan kepada pihak selain debitur;
d) penagihan menggunakan sarana komunikasi dilarang
dilakukan secara terus menerus yang bersifat mengganggu;
e) penagihan hanya dapat dilakukan pada pukul 08.00 sampai
dengan pukul 20.00 wilayah waktu debitur;

126


f) penagihan di luar waktu sebagaimana dimaksud pada huruf
e) hanya dapat dilakukan atas dasar persetujuan dan/atau
perjanjian dengan debitur;
g) petugas penagih wajib menggunakan kartu identitas resmi
yang dikeluarkan oleh Bank, yang dilengkapi dengan foto
diri yang bersangkutan; dan
h) penagihan hanya dapat dilakukan di tempat alamat
penagihan atau domisili debitur.
6) Bank wajib memastikan bahwa PPJ juga mematuhi etika
penagihan yang ditetapkan oleh asosiasi.
e. Dalam hal diperlukan pemanggilan debitur untuk menghadiri
pertemuan dengan petugas penagih, Bank paling kurang wajib
memperhatikan hal‐hal sebagai berikut:
1) pertemuan dilakukan di kantor Bank;
2) ruang pertemuan dilengkapi dengan CCTV;
3) pihak Bank hadir dalam pertemuan tersebut; dan
4) seluruh pembicaraan dalam pertemuan tersebut direkam dan
dibuat berita acara yang diketahui oleh pihak Bank.

(5) Penerapan prinsip kehati‐hatian dan penerapan manajemen risiko
dalam alih daya pekerjaan pengelolaan kas
a. Pengelolaan kas adalah serangkaian pekerjaan yang dilakukan oleh
PPJ untuk mengelola fisik uang tunai milik Bank (baik dalam mata
uang Rupiah maupun mata uang asing) berupa antara lain:
1) distribusi (pengantaran dan/atau pengambilan) uang tunai
berikut pengawalan (cash distribution);
2) penghitungan, penyortiran dan pengemasan uang tunai (cash
processing);
3) penyimpanan uang tunai di khazanah (cash in save); dan/atau
4) pengisian ATM (anjungan tunai mandiri) dengan uang tunai
dan/atau pengambilan uang tunai dari CDM (cash deposit
machine) berikut pemantauan ATM dan/atau CDM.
b. Dalam melakukan Alih Daya pengelolaan kas, Bank hanya dapat
melakukan perjanjian Alih Daya dengan PPJ yang memenuhi
persyaratan paling kurang sebagai berikut:
1) berbadan hukum Indonesia yang berbentuk Perseroan Terbatas
(PT);
2) memiliki izin operasional sebagai perusahaan jasa kawal angkut
uang tunai dan barang berharga yang masih berlaku dari
instansi yang berwenang;
3) memiliki Standard Operational Procedure (SOP) keamanan
dalam pengelolaan kas;
4) memiliki kinerja keuangan yang baik yang penilaiannya
didasarkan pada modal, likuiditas dan profitabilitas PPJ;
5) memiliki reputasi yang baik yang penilaiannya didasarkan pada
rekam jejak (track record) dan kepatuhan PPJ terhadap
ketentuan dan/atau peraturan perundang‐undangan yang
berlaku serta perjanjian Alih Daya yang dilakukan sebelumnya;
6) memiliki pengalaman yang cukup yang penilaiannya didasarkan
pada pengalaman perusahaan dan/atau manajemen
127


perusahaan dalam menangani pekerjaan yang dilakukan Alih
Daya; memiliki sumber daya manusia dengan kuantitas dan
kualitas yang dapat mendukung pelaksanaan pengelolaan kas
Bank. Khusus bagi PPJ yang pekerjaannya terkait langsung
dengan penghitungan, penyortiran dan pengemasan uang tunai
(cash processing), harus memiliki sumber daya manusia yang
mempunyai keahlian mengenai ciri‐ciri keaslian uang Rupiah,
keahlian memilah antara uang Rupiah layak edar dengan yang
tidak layak edar, keahlian mengoperasikan mesin hitung dan
mesin sortir uang Rupiah; dan
7) memiliki mesin hitung dan mesin sortir yang dapat mendeteksi
keaslian fisik uang, memiliki khazanah untuk menyimpan uang
tunai Rupiah, dan memiliki infrastruktur dan sarana angkutan
yang memenuhi persyaratan standar keamanan.
c. Kewajiban PPJ memiliki contingency plan yang dituangkan dalam
perjanjian Alih Daya pengelolaan kas Bank antara lain menjamin
dan mengasuransikan seluruh uang tunai milik Bank yang berada
dalam pengelolaan PPJ tersebut.
d. Kesediaan PPJ untuk memberikan akses pemeriksaan kepada Bank
Indonesia yang dituangkan dalam perjanjian Alih Daya pengelolaan
kas Bank antara lain kewajiban PPJ pengelolaan kas Bank untuk:
1) memberikan data dan informasi kepada Bank Indonesia baik
secara langsung maupun melalui Bank terkait sumber daya
manusia, sarana dan prasarana yang digunakan dalam
melaksanakan pekerjaan; dan
2) memberikan akses untuk melakukan pemeriksaan terhadap
kegiatan operasional PPJ pengelolaan kas Bank, antara lain
pemeriksaan standarisasi kualitas sortasi, kecukupan sarana
dan prasarana, sistem pengamanan dan kualitas sumber daya
manusia yang melakukan pengolahan fisik uang Rupiah.
e. Dalam rangka melaksanakan pengendalian intern yang efektif atas
Alih Daya pengelolaan kas Bank, Bank melakukan pengawasan
terhadap pelaksanaan pekerjaan oleh PPJ, yang paling kurang
mencakup:
1) pengawasan terhadap akurasi perhitungan dan kualitas sortasi
hasil pekerjaan PPJ; dan
2) memastikan bahwa PPJ menindaklanjuti rekomendasi yang
diberikan oleh Bank Indonesia dari hasil pengawasan terhadap
kegiatan operasional.

215 Pasal 15 (1) Bank wajib melakukan identifikasi, pengukuran, pemantauan, dan
13/25/PBI/2011 pengendalian terhadap seluruh risiko yang mungkin timbul dari
pelaksanaan Alih Daya.
(2) Pelaksanaan identifikasi, pengukuran, pemantauan, dan pengendalian
risiko sebagaimana dimaksud pada ayat (1) wajib didukung oleh sistem
informasi manajemen yang tepat waktu dan dapat memberikan laporan
yang akurat dan informatif mengenai risiko pada pelaksanaan Alih Daya.

216 Pasal 16 (1) Bank wajib melaksanakan sistem pengendalian intern yang efektif atas
13/25/PBI/2011 Alih Daya.
128


(2) Sistem pengendalian intern yang efektif sebagaimana dimaksud pada
ayat (1) antara lain meliputi:
a. pengawasan terhadap proses Alih Daya; dan

Proses Alih Daya merupakan serangkaian proses yang harus
dilakukan dalam rangka penunjukan dan penggunaan Perusahaan
Penyedia Jasa dalam Alih Daya.

b. pengawasan terhadap pelaksanaan pekerjaan oleh Perusahaan
Penyedia Jasa.

Pengawasan terhadap pelaksanaan pekerjaan merupakan
pengawasan atas pemenuhan perjanjian Alih Daya termasuk
pemenuhan ukuran dan standar yang ditetapkan.

(3) Pengawasan sebagaimana dimaksud pada ayat (2) huruf a wajib
dilakukan oleh pihak yang independen terhadap pihak yang melakukan
proses Alih Daya.

Yang dimaksud dengan pihak independen adalah :
a. unit kerja atau fungsi khusus dalam Bank yang tidak terkait dengan
proses Alih Daya. Unit kerja atau fungsi khusus tersebut dapat
berdiri sendiri atau dapat merupakan bagian dari unit atau fungsi
khusus yang berdiri sendiri sebagaimana dimaksud dalam
Penjelasan Pasal 4 ayat (2) huruf h (Paragraf 214 ayat (2) huruf h
dalam kodifikasi ini); atau
b. bagian dari unit kerja atau fungsi khusus dalam Bank yang
melakukan pengawasan secara independen, antara lain internal
audit, manajemen risiko, atau kepatuhan.

BAB IV Pelaporan
217 Pasal 17 (1) Bank wajib menyampaikan laporan mengenai Alih Daya kepada Bank
13/25/PBI/2011 Indonesia secara lengkap, benar dan tepat waktu.
Ayat (1) – (2) a
Laporan mencakup laporan Bank secara gabungan untuk seluruh kantor
Bank. Laporan disampaikan oleh Bank yang telah melakukan maupun
yang merencanakan melakukan Alih Daya.

(2) Laporan sebagaimana dimaksud pada ayat (1) mencakup:
a. rencana Alih Daya; dan

Laporan rencana Alih Daya memuat rencana Alih Daya atas
pekerjaan yang belum pernah dialihdayakan.
Tidak termasuk dalam pekerjaan yang belum pernah dialihdayakan
adalah perpanjangan perjanjian Alih Daya.

SE 14/20/DPNP Laporan Rencana Alih Daya, Perubahan dan/atau Penambahan
2012 Rencana Alih Daya. Laporan Rencana Alih Daya, Perubahan
Romawi V.A .2.a dan/atau Penambahan Rencana Alih Daya disusun sebagai berikut:
– d
129


1. Laporan Rencana Alih Daya memuat rencana Alih Daya atas
pekerjaan yang belum pernah dilakukan Alih Daya. Sedangkan
Laporan Perubahan dan/atau; Penambahan Rencana Alih Daya
memuat perubahan cakupan pekerjaan yang sudah dilakukan
Alih Daya dan/atau penambahan pekerjaan yang akan
dialihdaya.
Contoh perubahan cakupan pekerjaan yang sudah dilakukan
Alih Daya adalah Bank pada tahun berjalan merencanakan
untuk menambah cakupan pekerjaan Alih Daya pemasaran dari
pemasaran kartu kredit menjadi pemasaran kartu kredit dan
kredit tanpa agunan.
Contoh penambahan rencana Alih Daya yang akan dilakukan
adalah Bank pada tahun berjalan merencanakan melakukan Alih
Daya pemasaran kartu kredit yang sebelumnya tidak dimuat
dalam Laporan Rencana Alih Daya.
Tidak termasuk dalam laporan Rencana Alih Daya, Perubahan
dan/atau Penambahan Rencana Alih Daya adalah perpanjangan
PPJ dan penggantian PPJ atas pekerjaan yang telah
dialihdayakan.
2. Laporan Rencana Alih Daya untuk 1 (satu) tahun ke depan
disampaikan paling lambat setiap tanggal 31 Desember.
Sedangkan Laporan Perubahan dan/atau Penambahan Rencana
Alih Daya disampaikan paling lambat setiap tanggal 30 Juni
tahun berjalan, dengan menggunakan formulir pelaporan
sebagaimana dimaksud pada Lampiran II.A yang merupakan
bagian tidak terpisahkan dari Surat Edaran Bank Indonesia ini
3. Laporan Rencana Alih Daya, Perubahan dan/atau Penambahan
Rencana Alih Daya paling kurang memuat informasi mengenai:
1) jenis pekerjaan yang dilakukan Alih Daya;
2) gambaran umum dan cakupan pekerjaan;
3) jenis perjanjian Alih Daya;
4) perkiraan jumlah tenaga kerja Alih Daya yang dibutuhkan;
5) jangka waktu perjanjian;
6) tujuan Alih Daya; dan
7) analisis perkiraan biaya dan manfaat, risiko dan mitigasinya.
4. Bank yang tidak memiliki rencana untuk melakukan Alih Daya
sebagaimana dijelaskan pada huruf a tetap wajib
menyampaikan Laporan Rencana Alih Daya dengan penjelasan
Nihil paling lambat setiap tanggal 31 Desember.

Pasal 17 b. Alih Daya yang bermasalah.
13/25/PBI/2011
Ayat (2) b Alih Daya dianggap bermasalah apabila terjadi permasalahan baik
pada pelaksanaan Alih Daya maupun pada Perusahaan Penyedia
Jasa yang berpotensi meningkatkan risiko Bank secara signifikan
dan/atau akan mengganggu kelangsungan pelaksanaan pekerjaan
yang dialihdayakan, terlepas dari mengakibatkan atau tidak
mengakibatkan penghentian perjanjian dan/atau penggantian
Perusahaan Penyedia Jasa.
130


Contoh permasalahan: pelanggaran ketentuan dan peraturan
perundang‐undangan yang berlaku, pelanggaran perjanjian,
gugatan, pengaduan nasabah, perselisihan intern pada Perusahaan
Penyedia Jasa baik antar manajemen maupun antara manajemen
dengan karyawan.

SE 14/20/DPNP Laporan Alih Daya yang Bermasalah disusun sebagai berikut:
2012
Romawi II.A.3, 4 a. Laporan Alih Daya yang Bermasalah memuat gambaran
permasalahan Alih Daya antara lain permasalahan yang
dihadapi oleh Bank dan PPJ yang berpotensi meningkatkan
risiko Bank secara signifikan dan/atau akan mengganggu
kelangsungan pelaksanaan pekerjaan yang dilakukan Alih Daya.

Contoh permasalahan Alih Daya antara lain pelanggaran
ketentuan dan peraturan perundang‐undangan yang berlaku,
pelanggaran perjanjian, gugatan, pengaduan nasabah,
pemogokan karyawan, dan perselisihan intern pada PPJ baik
antar manajemen maupun antara manajemen dengan
karyawan.

b. Laporan Alih Daya yang Bermasalah dimaksud. disampaikan
paling lama 7 (tujuh) hari kerja setelah diketahuinya
permasalahan, dengan menggunakan formulir pelaporan
sebagaimana dimaksud pada Lampiran II.B yang merupakan
bagian tidak terpisahkan dari Surat Edaran Bank Indonesia ini
Laporan Alih Daya yang Bermasalah paling kurang memuat
informasi mengenai:
a. jenis pekerjaan yang dilakukan Alih Daya;
b. nama Perusahan Penyedia Jasa;
c. gambaran permasalahan yang terjadi; dan
d. langkah‐langkah yang dilakukan oleh Bank untuk mengatasi
permasalahan tersebut.

Pasal 17 (3) Laporan sebagaimana dimaksud pada ayat (2) huruf a paling kurang
13/25/PBI/2011 memuat informasi mengenai:
Ayat (3) – (5) a. jenis pekerjaan yang dialihdayakan;
b. gambaran umum dan cakupan pekerjaan;

Gambaran umum dan cakupan pekerjaan menguraikan secara
singkat pekerjaan yang dialihdayakan dan lokasi kantor tempat

c. jenis perjanjian Alih Daya;

Perjanjian Alih Daya yang dibuat berupa perjanjian pemborongan
dan/atau penyediaan jasa tenaga kerja.

131


d. perkiraan jumlah tenaga kerja Alih Daya yang dibutuhkan;
e. jangka waktu perjanjian;
f. tujuan Alih Daya; dan
g. analisis perkiraan biaya dan manfaat, risiko dan mitigasinya.

(4) Laporan sebagaimana dimaksud pada ayat (2) huruf b paling kurang
memuat informasi mengenai:
a. jenis pekerjaan yang dialihdayakan;
b. nama Perusahan Penyedia Jasa;
c. gambaran permasalahan yang terjadi; dan

Gambaran permasalahan menguraikan secara singkat
permasalahan yang terjadi, potensi risiko yang ditimbulkan, lokasi,
waktu terjadinya permasalahan dan waktu diketahuinya
permasalahan.

d. langkah‐langkah yang dilakukan oleh Bank untuk mengatasi
permasalahan tersebut.
(5) Laporan sebagaimana dimaksud pada ayat (2) huruf a wajib
disampaikan setiap tahun paling lambat setiap tanggal 31 Desember.

Laporan yang disampaikan mencakup rencana Alih Daya yang akan
dilakukan selama 1 (satu) tahun yang akan datang.

SE 14/20/DPNP Bank yang tidak memiliki rencana untuk melakukan Alih Daya
2012 Romawi V sebagaimana dijelaskan pada huruf ayat (2) huruf a tetap wajib
Huruf A 2.d menyampaikan Laporan Rencana Alih Daya dengan penjelasan Nihil
paling lambat setiap tanggal 31 Desember.

Pasal 17 (6) Bank hanya dapat melakukan penambahan dan/atau perubahan
13/25/PBI/2011 rencana pekerjaan yang dialihdayakan yang sudah dilaporkan kepada
Ayat (6) Bank Indonesia sebagaimana dimaksud pada ayat (5) paling banyak 1
(satu) kali, dan wajib menyampaikan Laporan Perubahan Rencana Alih
Daya dimaksud paling lambat pada tanggal 30 Juni tahun berjalan.

Laporan Perubahan Rencana Alih Daya memuat paling kurang informasi
sebagaimana dimaksud dalam Pasal 17 ayat (3) (Paragraf 206 ayat (3)
dalam kodifikasi ini) serta uraian singkat latar belakang dan tujuan
penambahan dan/atau perubahan rencana Alih Daya.

SE 14/20/DPNP Format pelaporan Perubahan dan/atau Penambahan Rencana Alih Daya
2012 mengacu pada formulir pelaporan pada Lampiran II.A (Lampiran 32
Romawi V.A.2.b dalam kodifikasi ini).

Pasal 17 (7) Dalam hal batas waktu penyampaian laporan sebagaimana dimaksud
13/25/PBI/2011 pada ayat (5) dan ayat (6) jatuh pada hari libur, maka laporan
Ayat (7) – (8) disampaikan pada hari kerja berikutnya.
(8) Laporan sebagaimana dimaksud pada ayat (2) huruf b wajib
disampaikan paling lambat 7 (tujuh) hari kerja setelah diketahuinya
permasalahan oleh Bank.
132


SE 14/20/DPNP Format pelaporan Alih Daya yang Bermasalah mengacu pada formulir
2012 pelaporan pada Lampiran II.B (Lampiran 33 dalam kodifikasi ini).
Romawi V.A.3.b

SE 14/20/DPNP (9) Dalam menetapkan langkah‐langkah untuk mengatasi permasalahan
2012 Alih Daya. Bank harus memastikan bahwa pekerjaan yang dialihkan
Romawi V.A.5 tetap terlaksana dengan baik walaupun terjadi permasalahan pada Alih
Daya.

218 Pasal 18 Laporan sebagaimana dimaksud dalam Pasal 17 ayat (2), Pasal 17 ayat (6),
13/25/PBI/2011 Pasal 21 ayat (1) huruf d, dan Pasal 21 ayat (2) (Paragraf 217 ayat (2),
Paragraf 217 ayat (6), Paragraf 220 ayat (1) huruf d, dan Paragraf 220 ayat
(2) dalam kodifikasi ini) disampaikan kepada Bank Indonesia dengan alamat
sebagai berikut:
a. bagi Bank yang berkantor pusat di wilayah kerja kantor pusat Bank
Indonesia ditujukan kepada Direktorat Pengawasan Bank terkait, Jl. MH.
Thamrin No.2 Jakarta 10350; atau
b. bagi Bank yang berkantor pusat di luar wilayah kerja kantor pusat Bank
Indonesia ditujukan kepada Kantor Bank Indonesia setempat.

BAB V Sanksi
219 Pasal 19 (1) Bank yang menyampaikan laporan Alih Daya sebagaimana dimaksud
13/25/PBI/2011 dalam Pasal 17 ayat (2), Pasal 17 ayat (6), Pasal 21 ayat (1) huruf d dan
Pasal 21 ayat (2) (Paragraf 217 ayat (2), Paragraf 217 ayat (6), Paragraf
220 ayat (1) huruf d dan Paragraf 220 ayat (2) dalam kodifikasi ini)
melampaui batas waktu penyampaian laporan sebagaimana dimaksud
dalam Pasal 17 ayat (5), ayat (6) dan ayat (8), serta dalam Pasal 21 ayat
(4) (Paragraf 217 ayat (5), ayat (6) dan ayat (8), serta dalam Paragraf
220 ayat (4) dalam kodifikasi ini) dikenakan sanksi kewajiban membayar
sebagai berikut:
a. terlambat 1 (satu) hari kerja sampai dengan 10 (sepuluh) hari kerja
dikenakan sanksi sebesar Rp1.000.000,00 (satu juta rupiah) per hari
kerja keterlambatan;
b. terlambat 11 (sebelas) hari kerja sampai dengan 20 (dua puluh) hari
kerja, dikenakan sanksi sebagaimana pada huruf a ditambah
dengan sanksi sebesar Rp1.500.000,00 (satu juta lima ratus ribu
rupiah) per hari kerja keterlambatan berikutnya;
c. terlambat 21 (dua puluh satu) hari kerja atau lebih dikenakan sanksi
sebagaimana pada huruf a dan huruf b ditambah dengan sanksi
sebesar Rp2.000.000,00 (dua juta rupiah) per hari kerja
keterlambatan berikutnya, dengan maksimum total sanksi
keterlambatan sebesar Rp100.000.000,00 (seratus juta rupiah).

(2) Bank yang diketahui oleh Bank Indonesia telah melakukan Alih Daya
tetapi belum menyampaikan laporan rencana Alih Daya dan/atau
penambahan atau perubahannya sebagaimana dimaksud dalam Pasal
17 ayat (2) huruf a dan/atau Pasal 17 ayat (6) (Paragraf 217 ayat (2)
huruf a dan/atau Paragraf 217 ayat (6) dalam kodifikasi ini) dikenakan
sanksi kewajiban membayar sebesar Rp125.000.000,00 (seratus dua
puluh lima juta rupiah).

133


220 Pasal 20 Bank yang tidak melaksanakan Peraturan Bank Indonesia sebagaimana
13/25/PBI/2011 ditetapkan dalam Peraturan Bank Indonesia ini dan ketentuan pelaksanaan
terkait lainnya dikenakan sanksi administratif sebagaimana dimaksud dalam
Pasal 52 Undang‐Undang Nomor 7 Tahun 1992 tentang Perbankan
sebagaimana telah diubah dengan Undang‐Undang Nomor 10 Tahun 1998
dan Pasal 58 Undang‐Undang Nomor 21 Tahun 2008 tentang Perbankan
Syariah, antara lain berupa:
b. penurunan tingkat kesehatan Bank; dan/atau
c. pembekuan kegiatan usaha tertentu.

BAB VI Ketentuan Peralihan
221 Pasal 21 (1) Bank yang telah melakukan Alih Daya atas pekerjaan selain pekerjaan
13/25/PBI/2011 yang diperbolehkan sebagaimana dimaksud dalam Pasal 4 ayat (3)
(Paragraf 204 ayat (3) dalam kodifikasi ini) wajib melakukan langkah‐
langkah berikut:
a. dalam hal sisa jangka waktu perjanjian lebih dari 1 (satu) tahun
tetapi tidak lebih dari 2 (dua) tahun, Bank wajib menghentikan Alih
Daya pada saat berakhirnya perjanjian atau dapat memperpanjang
perjanjian paling lama 2 (dua) tahun sejak diberlakukannya
Peraturan Bank Indonesia ini (Desember 2011).

Contoh:
Pada saat Peraturan Bank Indonesia ini berlaku perjanjian Alih Daya
akan berakhir dalam waktu 18 (delapan belas) bulan ke depan.
Pada saat perjanjian berakhir, Bank dapat menghentikan Alih Daya
atau memperpanjang perjanjian paling lama 6 (enam) bulan.

b. dalam hal sisa jangka waktu perjanjian lebih dari 2 (dua) tahun,
Bank wajib menghentikan perjanjian Alih Daya paling lama 2 (dua)
tahun sejak diberlakukannya Peraturan Bank Indonesia ini
(Desember 2011).

Contoh:
Pada saat Peraturan Bank Indonesia ini berlaku perjanjian Alih Daya
akan berakhir dalam waktu 30 (tiga puluh) bulan ke depan. Dengan
demikian, bank wajib menghentikan perjanjian tersebut paling
lambat 24 (dua puluh empat) bulan atau 2 (dua) tahun sejak
diberlakukannya Peraturan Bank Indonesia ini.

c. menyusun dan menyampaikan laporan rencana tindak (action plan)
dalam rangka penyesuaian Alih Daya sebagaimana dimaksud pada
huruf a, huruf b, dan huruf c.
d. laporan rencana tindak sebagaimana dimaksud pada huruf d paling
kurang memuat informasi mengenai:
1. strategi dan langkah untuk melanjutkan pelaksanaan
pekerjaan termasuk pemenuhan kebutuhan tenaga kerja;
dan
2. jangka waktu rencana mengakhiri Alih Daya pekerjaan.

134


(2) Laporan sebagaimana dimaksud pada ayat (1) paling kurang memuat
informasi mengenai:
a. jenis pekerjaan yang dialihdayakan;
b. gambaran umum dan cakupan pekerjaan;

Gambaran umum dan cakupan pekerjaan menguraikan secara
singkat pekerjaan yang dialihdayakan; lokasi kantor tempat
pekerjaan yang dialihdayakan; kesesuaian dengan Ketentuan dan
informasi lain yang relevan.

c. jenis perjanjian Alih Daya;

Jenis perjanjian Alih Daya meliputi perjanjian pemborongan dan
atau penyediaan jasa tenaga kerja.

d. jumlah tenaga kerja Alih Daya yang digunakan; dan
e. jangka waktu Alih Daya dan berakhirnya perjanjian

222 Pasal 22 Bank yang telah melakukan Alih Daya sebelum berlakunya Peraturan Bank
13/25/PBI/2011 Indonesia ini, wajib melakukan penyesuaian sebagai berikut :
Bank yang telah melakukan Alih Daya atas pekerjaan yang diperbolehkan
berdasarkan Peraturan Bank Indonesia ini, namun PPJ dan/ atau cakupan
perjanjian Alih Daya belum memenuhi ketentuan Pasal 6 atau 10 ayat (2)
(Paragraf 206 atau 210 ayat (2) dalam kodifikasi ini) :
1. Dapat melanjutkan pelaksanaan Alih Daya sampai dengan berakhirnya
perjanjian dan
2. Dalam hal akan melakukan perpanjangan perjanjian Alih Daya, wajib :
a. Melakukan penelitian analisis dan penilaian atas pemenuhan
persyaratan PPJ sebagaimana dimaksud dalam paragraph 206, dan/
atau
b. Menyesuaikan perjanjian sesuai paragraph 210 ayat (2).

BAB VII Lain‐Lain
223 Pasal 23 Alih Daya yang dilakukan oleh Bank selain tunduk pada Peraturan Bank
13/25/PBI/2011 Indonesia ini juga tunduk pada Ketentuan lainnya yang terkait dengan Alih
Daya. Khusus persyaratan badan hukum Indonesia bagi Perusahaan
Penyedia Jasa yang menyelenggarakan pemrosesan transaksi tetap
mengacu pada ketentuan mengenai penerapan manajemen risiko dalam
penggunaan teknologi informasi oleh Bank Umum.

224 Pasal 24 Bank Indonesia berwenang menghentikan Alih Daya yang dilakukan Bank
13/25/PBI/2011 apabila menurut penilaian Bank Indonesia Alih Daya tersebut berpotensi
membahayakan kelangsungan usaha Bank.

Penerapan Manajemen Risiko bagi Bank Umum Syariah dan
Unit Usaha Syariah
225 Pasal 1 1. Bank adalah Bank Umum Syariah dan Unit Usaha Syariah.
13/23/PBI/2011 2. Bank Umum Syariah yang selanjutnya disebut dengan BUS adalah Bank
Umum Syariah sebagaimana dimaksud dalam Undang‐Undang Nomor
21 Tahun 2008 tentang Perbankan Syariah.
135


3. Unit Usaha Syariah yang selanjutnya disebut dengan UUS adalah Unit
Usaha Syariah sebagaimana dimaksud dalam Undang‐Undang Nomor 21
Tahun 2008 tentang Perbankan Syariah.
4. Bank Umum Konvensional yang selanjutnya disebut dengan BUK adalah
Bank Umum Konvensional sebagaimana dimaksud dalam Undang‐
Undang Nomor 21 Tahun 2008 tentang Perbankan Syariah, yang
memiliki Unit Usaha Syariah.
5. Risiko adalah potensi kerugian akibat terjadinya suatu peristiwa (events)
tertentu.
6. Manajemen Risiko adalah serangkaian metodologi dan prosedur yang
digunakan untuk mengidentifikasi, mengukur, memantau, dan
mengendalikan Risiko yang timbul dari seluruh kegiatan usaha Bank.
7. Risiko Kredit adalah Risiko akibat kegagalan nasabah atau pihak lain
dalam memenuhi kewajiban kepada Bank sesuai dengan perjanjian
yang disepakati.
8. Risiko Pasar adalah Risiko pada posisi neraca dan rekening administratif
akibat perubahan harga pasar, antara lain Risiko berupa perubahan nilai
dari aset yang dapat diperdagangkan atau disewakan.
9. Risiko Likuiditas adalah Risiko akibat ketidakmampuan Bank untuk
memenuhi kewajiban yang jatuh tempo dari sumber pendanaan arus
kas dan/atau aset likuid berkualitas tinggi yang dapat diagunkan, tanpa
mengganggu aktivitas dan kondisi keuangan Bank.
10. Risiko Operasional adalah Risiko kerugian yang diakibatkan oleh proses
internal yang kurang memadai, kegagalan proses internal, kesalahan
manusia, kegagalan system, dan/atau adanya kejadian‐kejadian
eksternal yang mempengaruhi operasional Bank.
11. Risiko Hukum adalah Risiko akibat tuntutan hukum dan/atau kelemahan
aspek yuridis.
12. Risiko Reputasi adalah Risiko akibat menurunnya tingkat kepercayaan
stakeholder yang bersumber dari persepsi negatif terhadap Bank.
13. Risiko Stratejik adalah Risiko akibat ketidaktepatan dalam pengambilan
dan/atau pelaksanaan suatu keputusan stratejik serta kegagalan dalam
mengantisipasi perubahan lingkungan bisnis.
14. Risiko Kepatuhan adalah Risiko akibat Bank tidak mematuhi dan/atau
tidak melaksanakan peraturan perundang‐undangan dan ketentuan
yang berlaku, serta Prinsip Syariah.
15. Risiko Imbal Hasil (Rate of Return Risk) adalah Risiko akibat perubahan
tingkat imbal hasil yang dibayarkan Bank kepada nasabah, karena
terjadi perubahan tingkat imbal hasil yang diterima Bank dari
penyaluran dana, yang dapat mempengaruhi perilaku nasabah dana
pihak ketiga Bank.
16. Risiko Investasi (Equity Investment Risk) adalah Risiko akibat Bank ikut
menanggung kerugian usaha nasabah yang dibiayai dalam pembiayaan
bagi hasil berbasis profit and loss sharing.
17. Direksi adalah Direksi sebagaimana dimaksud dalam Undang‐Undang
tentang Perseroan Terbatas.
18. Dewan Komisaris adalah Dewan Komisaris sebagaimana dimaksud
dalam Undang‐Undang tentang Perseroan Terbatas.
dan/atau dikendalikan oleh BUS secara langsung maupun tidak
136


langsung, baik di dalam maupun di luar negeri yang melakukan kegiatan
usaha di bidang keuangan, yang terdiri dari:
dengan kepemilikan BUS lebih dari 50% (lima puluh persen);
Anak dengan kepemilikan BUS 50% (lima puluh persen) atau
kurang, namun BUS memiliki Pengendalian terhadap perusahaan;
c. Perusahaan dengan kepemilikan BUS lebih dari 20% (dua puluh
persen) sampai dengan 50% (lima puluh persen) yang memenuhi
persyaratan yaitu:
i. kepemilikan BUS dan para pihak lainnya pada Perusahaan Anak
adalah masing‐masing sama besar; dan
ii. masing‐masing pemilik melakukan Pengendalian secara
bersama terhadap Perusahaan Anak;

BAB II Ruang Lingkup Manajemen Risiko
226 Pasal 2 (1) Bank wajib menerapkan Manajemen Risiko secara efektif.
13/23/PBI/2011
Termasuk dalam cakupan penerapan Manajemen Risiko adalah
penerapan program Anti Pencucian Uang dan Pencegahan Pendanaan
Terorisme yang sebelumnya dikenal dengan prinsip mengenal nasabah
(Know Your Customer/KYC).

untuk BUS dilakukan secara individual maupun konsolidasi dengan
Perusahaan Anak.
untuk UUS dilakukan terhadap seluruh kegiatan usaha UUS, yang
merupakan satu kesatuan dengan penerapan Manajemen Risiko pada
BUK.

227 Pasal 3 Penerapan Manajemen Risiko sebagaimana dimaksud dalam Pasal 2 ayat
13/23/PBI/2011 (1) (Paragraf 226 ayat (1) dalam kodifikasi ini) paling kurang mencakup:
a. pengawasan aktif Dewan Komisaris, Direksi, dan Dewan Pengawas
Syariah;

Peran Komisaris bagi kantor cabang bank asing dilakukan oleh pihak‐
pihak yang berwenang sesuai dengan struktur organisasi Bank.

b. kecukupan kebijakan, prosedur, dan penetapan limit Manajemen Risiko;
pengendalian Risiko serta sistem informasi Manajemen Risiko; dan

228 Pasal 4 Penerapan Manajemen Risiko sebagaimana dimaksud dalam Pasal 3
13/23/PBI/2011 (Paragraf 227 dalam kodifikasi ini) wajib disesuaikan dengan tujuan,
kebijakan usaha, ukuran, dan kompleksitas usaha serta kemampuan Bank.

137


Kompleksitas usaha antara lain keragaman dalam jenis
transaksi/produk/jasa dan jaringan usaha.
Kemampuan Bank antara lain kemampuan keuangan, infrastruktur
pendukung, dan kemampuan sumber daya manusia.

229 Pasal 5 (1) Risiko sebagaimana dimaksud dalam Pasal 3 (Paragraf 227 dalam
13/23/PBI/2011 kodifikasi ini) mencakup:
a. Risiko Kredit;

Termasuk dalam kelompok Risiko Kredit adalah Risiko konsentrasi
pembiayaan.
Risiko konsentrasi pembiayaan merupakan Risiko yang timbul
akibat terkonsentrasinya penyediaan dana kepada 1 (satu) pihak
atau sekelompok pihak, industri, sektor, dan/atau area geografis
tertentu yang berpotensi menimbulkan kerugian cukup besar yang

b. Risiko Pasar;

Risiko Pasar meliputi antara lain, Risiko nilai tukar, Risiko
komoditas, dan Risiko ekuitas.
Risiko nilai tukar adalah risiko akibat perubahan nilai posisi trading
book dan banking book yang disebabkan oleh perubahan nilai tukar
valuta asing atau perubahan harga emas.
Risiko komoditas adalah Risiko akibat perubahan harga instrumen
keuangan dari posisi trading book dan banking book yang
disebabkan oleh perubahan harga komoditas.
Risiko ekuitas adalah Risiko akibat perubahan harga instrumen
keuangan dari posisi trading book yang disebabkan oleh perubahan
harga saham.

c. Risiko Likuiditas;
d. Risiko Operasional;
e. Risiko Hukum;

Risiko ini timbul antara lain karena ketiadaan peraturan perundang‐
undangan yang mendukung atau kelemahan perikatan, seperti
tidak dipenuhinya syarat sahnya kontrak atau pengikatan agunan
yang tidak sempurna.

f. Risiko Reputasi;

Risiko ini timbul antara lain karena adanya pemberitaan media
dan/atau rumor mengenai bank yang bersifat negatif, serta adanya
strategi komunikasi bank yang kurang efektif.

g. Risiko Stratejik;

Risiko ini timbul antara lain karena bank menetapkan strategi yang
kurang sejalan dengan visi dan misi bank, melakukan analisis
138


lingkungan stratejik yang tidak komprehensif, dan/atau terdapat
ketidaksesuaian rencana stratejik (strategic plan) antar level
stratejik. Selain itu Risiko Stratejik juga timbul karena kegagalan
dalam mengantisipasi perubahan lingkungan bisnis mencakup
kegagalan dalam mengantisipasi perubahan teknologi, perubahan
kondisi ekonomi makro, dinamika kompetisi di pasar, dan
perubahan kebijakan otoritas terkait.

h. Risiko Kepatuhan;
i. Risiko Imbal Hasil (Rate of Return Risk);

Risiko ini timbul antara lain karena adanya perubahan perilaku
nasabah dana pihak ketiga Bank yang disebabkan oleh perubahan
ekspektasi tingkat imbal hasil yang diterima dari Bank. Perubahan
ekspektasi bisa disebabkan oleh faktor internal seperti menurunnya
nilai asset Bank dan/atau faktor eksternal seperti naiknya
return/imbal hasil yang ditawarkan bank lain. Perubahan ekspektasi
tingkat imbal hasil tersebut dapat memicu perpindahan dana dari
Bank kepada bank lain.

j. Risiko Investasi (Equity Investment Risk).

Risiko ini timbul apabila Bank memberikan pembiayaan berbasis
bagi hasil kepada nasabah di mana Bank ikut menanggung Risiko
atas kerugian usaha nasabah yang dibiayai (profit and loss sharing).
Dalam hal ini, perhitungan bagi hasil tidak hanya didasarkan atas
jumlah pendapatan atau penjualan yang diperoleh nasabah namun
dihitung dari keuntungan usaha yang dihasilkan nasabah. Apabila
usaha nasabah mengalami kebangkrutan, maka jumlah pokok
pembiayaan yang diberikan Bank kepada nasabah tidak akan
diperoleh kembali.

(2) Bank wajib menerapkan Manajemen Risiko untuk jenis Risiko
sebagaimana dimaksud pada ayat (1) huruf a, huruf b, huruf c, huruf d,
huruf e, huruf f, huruf g, dan huruf h.
(3) Selain kewajiban sebagaimana dimaksud pada ayat (2), Bank harus
menerapkan Manajemen Risiko untuk jenis Risiko sebagaimana
dimaksud pada ayat (1) huruf i dan huruf j.
belum diperhitungkan dalam penilaian Risiko Bank.

Pengawasan Aktif Dewan Komisaris, Direksi dan Dewan
BAB III
Pengawas Syariah
Bagian Kesatu Umum
13/23/PBI/2011 setiap jenjang jabatan yang terkait dengan penerapan Manajemen Risiko
sebagaimana dimaksud dalam Pasal 2 (Paragraf 226 dalam kodifikasi ini).

139


Bagian Kedua Wewenang dan Tanggung Jawab Dewan Komisaris
13/23/PBI/2011 (Paragraf 230 dalam kodifikasi ini) bagi Dewan Komisaris paling kurang
mencakup:
a. menyetujui dan mengevaluasi kebijakan Manajemen Risiko;

Evaluasi kebijakan Manajemen Risiko dilakukan oleh Dewan Komisaris
paling kurang 1 (satu) kali dalam setahun atau frekuensi yang lebih
tinggi dalam hal terdapat perubahan faktor‐faktor yang mempengaruhi
kegiatan usaha Bank secara signifikan.

Manajemen Risiko sebagaimana dimaksud dalam huruf a.

Manajemen Risiko dilakukan oleh Dewan Komisaris paling kurang
secara triwulanan.

Bagian Ketiga Wewenang dan Tanggung Jawab Direksi
232 Pasal 8 (1) Wewenang dan tanggung jawab sebagaimana dimaksud dalam Pasal 6
13/23/PBI/2011 (Paragraf 230 dalam kodifikasi ini) bagi Direksi paling kurang mencakup:
a. menyusun kebijakan dan strategi Manajemen Risiko secara tertulis
dan komprehensif;

Termasuk dalam kebijakan dan strategi Manajemen Risiko adalah
penetapan dan persetujuan limit Risiko baik Risiko secara
keseluruhan (composite), per jenis Risiko, maupun per aktivitas
fungsional.
Kebijakan dan strategi Manajemen Risiko disusun paling kurang 1
(satu) kali dalam setahun atau lebih dalam hal terdapat perubahan
faktor‐faktor yang mempengaruhi kegiatan usaha BUS secara
signifikan.

b. bertanggung jawab atas pelaksanaan kebijakan Manajemen Risiko
dan eksposur Risiko yang diambil oleh Bank secara keseluruhan;

Termasuk tanggung jawab atas pelaksanaan kebijakan Manajemen
Risiko adalah:
1. mengevaluasi dan memberikan arahan berdasarkan laporan
yang disampaikan oleh satuan kerja Manajemen Risiko;
2. penyampaian laporan pertanggungjawaban kepada Dewan
Komisaris secara triwulanan.

c. mengevaluasi dan memutuskan transaksi yang memerlukan
persetujuan Direksi;
d. mengembangkan budaya Manajemen Risiko pada seluruh jenjang
organisasi;

Pengembangan budaya Manajemen Risiko antara lain meliputi
komunikasi yang memadai kepada seluruh jenjang organisasi
tentang pentingnya Manajemen Risiko yang efektif.
140


e. memastikan peningkatan kompetensi sumber daya manusia yang
terkait dengan Manajemen Risiko;

Peningkatan kompetensi sumber daya manusia antara lain melalui
program pendidikan dan pelatihan secara berkesinambungan
mengenai penerapan Manajemen Risiko.

f. memastikan bahwa fungsi Manajemen Risiko telah beroperasi
secara independen;

Yang dimaksud dengan “independen” antara lain adanya
pemisahan fungsi antara satuan kerja Manajemen Risiko yang
melakukan identifikasi, pengukuran dan pemantauan Risiko dengan
satuan kerja yang melakukan dan menyelesaikan transaksi.

g. melaksanakan kaji ulang secara berkala untuk memastikan:

Kaji ulang secara berkala antara lain dimaksudkan untuk
mengantisipasi apabila terjadi perubahan faktor eksternal dan
faktor internal.

1. keakuratan metodologi penilaian Risiko;
2. kecukupan implementasi sistem informasi Manajemen Risiko;
dan
3. ketepatan kebijakan, prosedur dan penetapan limit Risiko.

(2) Dalam rangka melaksanakan wewenang dan tanggung jawab
sebagaimana dimaksud pada ayat (1), Direksi harus memiliki
pemahaman yang memadai mengenai Risiko yang melekat pada seluruh
aktivitas fungsional Bank dan mampu mengambil tindakan yang
diperlukan sesuai dengan profil Risiko Bank.

Yang dimaksud dengan “memiliki pemahaman yang memadai” adalah
termasuk pemahaman terhadap Prinsip Syariah yang terkait dengan
produk, jasa, dan kegiatan operasional Bank lainnya.

(3) Wewenang dan tanggung jawab Direksi sebagaimana dimaksud pada
ayat (1) untuk UUS dilakukan oleh Direktur UUS.

Dalam melaksanakan wewenang dan tanggung jawabnya, Direktur UUS
dapat berkoordinasi dengan Direktur lain pada BUK.

Bagian Keempat Wewenang dan Tanggung Jawab Dewan Pengawas Syariah
13/23/PBI/2011 (Paragraf 230 dalam kodifikasi ini) bagi Dewan Pengawas Syariah paling
kurang mencakup:
a. melakukan evaluasi (review) atas kebijakan Manajemen Risiko yang
terkait dengan pemenuhan Prinsip Syariah; dan

141


Evaluasi atas kebijakan Manajemen Risiko yang terkait dengan
pemenuhan Prinsip Syariah dilakukan oleh Dewan Pengawas Syariah
paling kurang 1 (satu) kali dalam setahun.

Manajemen Risiko yang terkait dengan pemenuhan Prinsip Syariah
sebagaimana dimaksud dalam huruf a.

Manajemen Risiko yang terkait dengan pemenuhan Prinsip Syariah
dilakukan oleh Dewan Pengawas Syariah paling kurang secara
triwulanan.

BAB IV Kebijakan, Prosedur dan Penetapan Limit
Bagian Kesatu Kebijakan Manajemen Risiko
234 Pasal 10 Kebijakan Manajemen Risiko sebagaimana dimaksud dalam Pasal 3 ayat (1)
13/23/PBI/2011 huruf b (Paragraf 227 ayat (1) huruf b dalam kodifikasi ini) paling kurang
memuat:

Kebijakan Manajemen Risiko ditetapkan antara lain dengan cara menyusun
strategi Manajemen Risiko untuk memastikan bahwa:
1. Bank tetap mempertahankan eksposur Risiko sesuai dengan kebijakan
dan prosedur intern Bank dan peraturan perundang‐undangan serta
ketentuan lain yang berlaku; dan
2. Bank dikelola oleh sumber daya manusia yang memiliki pengetahuan,
pengalaman, dan keahlian di bidang Manajemen Risiko sesuai dengan
Penyusunan strategi Manajemen Risiko dilakukan dengan
mempertimbangkan kondisi keuangan Bank, organisasi Bank, dan Risiko
yang timbul sebagai akibat perubahan faktor eksternal dan faktor internal.

a. penetapan Risiko yang terkait dengan produk dan transaksi perbankan;
b. penetapan penggunaan metode pengukuran dan sistem informasi
Manajemen Risiko;
c. penentuan limit dan penetapan toleransi Risiko;

Toleransi Risiko merupakan potensi kerugian yang dapat diserap oleh
permodalan Bank.

d. penetapan penilaian peringkat Risiko;

Penetapan penilaian peringkat Risiko merupakan dasar bagi Bank untuk
mengkategorikan peringkat Risiko Bank.
Peringkat Risiko bagi Bank dikategorikan menjadi 5 (lima) peringkat,
yaitu 1 (Low), 2 (Low to Moderate), 3 (Moderate), 4 (Moderate to High),
dan 5 (High).

e. penyusunan rencana darurat (contingency plan) dalam kondisi terburuk;
f. penetapan sistem pengendalian intern dalam penerapan Manajemen
Risiko.

142


Bagian Kedua Prosedur dan Penetapan Limit Risiko
235 Pasal 11 (1) Prosedur dan penetapan limit Risiko sebagaimana dimaksud dalam
13/23/PBI/2011 Pasal 3 227 ayat (1) huruf b (Paragraf 227 ayat (1) huruf b dalam
kodifikasi ini) wajib disesuaikan dengan tingkat Risiko yang akan diambil
(risk appetite) terhadap Risiko Bank.

Tingkat Risiko yang akan diambil (risk appetite) memperhatikan
pengalaman yang dimiliki Bank dalam mengelola Risiko.

(2) Prosedur dan penetapan limit Risiko sebagaimana dimaksud pada ayat
(1) paling kurang memuat:
a. akuntabilitas dan jenjang delegasi wewenang yang jelas;
b. pelaksanaan kaji ulang terhadap prosedur dan penetapan limit
secara berkala;

Yang dimaksud dengan “secara berkala” adalah paling kurang 1
(satu) kali dalam setahun atau lebih, sesuai dengan jenis Risiko,
kebutuhan, dan perkembangan Bank.

c. dokumentasi prosedur dan penetapan limit secara memadai.

Yang dimaksud dengan “dokumentasi yang memadai” adalah
dokumentasi yang tertulis, lengkap, dan memudahkan untuk
dilakukan jejak audit (audit trail) untuk keperluan pengendalian
intern Bank.

(3) Penetapan limit Risiko sebagaimana dimaksud pada ayat (2) wajib
mencakup:
a. limit secara keseluruhan;
b. limit per jenis Risiko; dan
c. limit per aktivitas fungsional tertentu yang memiliki eksposur
Risiko.

Proses Identifikasi, Pengukuran, Pemantauan, Pengendalian
BAB V
dan Sistem Informasi Manajemen Risiko
Bagian Kesatu Umum
236 Pasal 12 (1) Bank wajib melakukan proses identifikasi, pengukuran, pemantauan,
13/23/PBI/2011 dan pengendalian Risiko sebagaimana dimaksud dalam Pasal 3 ayat (1)
huruf c (Paragraf 227 ayat (1) huruf c dalam kodifikasi ini) terhadap
seluruh faktor‐faktor Risiko (risk factors) yang bersifat material.

Yang dimaksud dengan “faktor‐faktor Risiko” adalah berbagai
parameter yang mempengaruhi eksposur Risiko.
Yang dimaksud dengan “faktor‐faktor Risiko yang bersifat material”
adalah faktor‐faktor Risiko baik kuantitatif maupun kualitatif yang
berpengaruh secara signifikan terhadap kondisi keuangan Bank.

(2) Pelaksanaan proses identifikasi, pengukuran, pemantauan, dan
pengendalian Risiko sebagaimana dimaksud pada ayat (1) wajib
didukung oleh:
143


a. sistem informasi Manajemen Risiko yang tepat waktu; dan
b. laporan yang akurat dan informatif mengenai kondisi keuangan
Bank, kinerja aktivitas fungsional dan eksposur Risiko Bank.

Proses Identifikasi, Pengukuran, Pemantauan, dan Pengendalian
Bagian Kedua
Risiko
237 Pasal 13 (1) Pelaksanaan proses identifikasi Risiko dilakukan dengan melakukan
13/23/PBI/2011 analisis paling kurang terhadap:
a. karakteristik Risiko yang melekat pada Bank; dan
b. Risiko dari produk dan kegiatan usaha Bank.

Proses identifikasi Risiko antara lain didasarkan pada pengalaman
kerugian Bank yang pernah terjadi.

(2) Dalam rangka melaksanakan pengukuran Risiko, Bank wajib melakukan
paling kurang:

Untuk mengukur Risiko, Bank dapat menggunakan pendekatan kualitatif
maupun kuantitatif yang disesuaikan dengan tujuan usaha,
kompleksitas usaha, dan kemampuan Bank.

a. evaluasi secara berkala terhadap kesesuaian asumsi, sumber data
dan prosedur yang digunakan untuk mengukur Risiko;

Yang dimaksud dengan “secara berkala” adalah paling kurang
secara triwulanan atau lebih sesuai dengan perkembangan usaha
Bank dan kondisi eksternal yang mempengaruhi kondisi Bank.

b. penyempurnaan terhadap sistem pengukuran Risiko apabila
terdapat perubahan kegiatan usaha Bank, produk, transaksi dan
faktor Risiko, yang bersifat material yang dapat mempengaruhi
kondisi keuangan Bank.

(3) Dalam rangka melaksanakan pemantauan Risiko, Bank wajib melakukan
paling kurang:
a. evaluasi terhadap eksposur Risiko;

Evaluasi terhadap eksposur Risiko dilakukan dengan cara
pemantauan dan pelaporan Risiko yang bersifat material atau yang
berdampak kepada kondisi permodalan Bank, yang antara lain
didasarkan atas penilaian potensi Risiko dengan menggunakan
historical trend.

b. penyempurnaan proses pelaporan apabila terdapat perubahan
kegiatan usaha Bank, produk, transaksi, faktor Risiko, teknologi
informasi dan sistem informasi Manajemen Risiko yang bersifat
material.

(4) Bank wajib melakukan langkah‐langkah pengendalian atas Risiko yang
dapat membahayakan kelangsungan usaha Bank.
144


Langkah‐langkah pengendalian dapat dilakukan dengan metode
mitigasi Risiko antara lain lindung nilai dan penambahan modal untuk
menyerap potensi kerugian.
Selain itu dalam melaksanakan fungsi pengendalian Risiko nilai tukar
dan Risiko Likuiditas, Bank paling kurang menerapkan Assets and
Liabilities Management (ALMA).

(5) Penetapan langkah‐langkah pengendalian Risiko sebagaimana dimaksud
pada ayat (4) harus sesuai dengan Prinsip Syariah.

238 Pasal 14 (1) Sistem informasi Manajemen Risiko sebagaimana dimaksud dalam Pasal
13/23/PBI/2011 3 ayat (1) huruf c (Paragraf 227 ayat (1) huruf c dalam kodifikasi ini),
paling kurang mencakup laporan atau informasi mengenai:
a. eksposur Risiko;

Laporan atau informasi eksposur Risiko mencakup eksposur
kuantitatif dan kualitatif, secara keseluruhan(composite) maupun
rincian per jenis Risiko dan per jenis aktivitas fungsional.

b. kepatuhan terhadap kebijakan dan prosedur serta penetapan limit
sebagaimana dimaksud dalam Pasal 10 dan Pasal 11 (Paragraf 234
dan Paragraf 235 dalam kodifikasi ini);
c. realisasi pelaksanaan Manajemen Risiko dibandingkan dengan target
yang ditetapkan.

(2) Laporan atau informasi yang dihasilkan dari sistem informasi
Manajemen Risiko sebagaimana dimaksud pada ayat (1) wajib
disampaikan secara rutin kepada Direksi.

Laporan atau informasi yang disampaikan kepada Direksi dapat
ditingkatkan frekuensinya sesuai dengan kebutuhan BUS.

(3) Sistem informasi Manajemen Risiko sebagaimana dimaksud pada ayat
(1) untuk UUS dapat menggunakan teknologi sistem informasi yang
digunakan dalam sistem informasi Manajemen Risiko BUK.

BAB VI Sistem Pengendalian Intern
Bagian Kesatu Umum
13/23/PBI/2011 terhadap pelaksanaan kegiatan usaha dan operasional pada seluruh
jenjang organisasi Bank.
(2) Pelaksanaan sistem pengendalian intern untuk UUS dapat digabung
dengan sistem pengendalian intern dari BUK.

240 Pasal 16 (1) Pelaksanaan sistem pengendalian intern sebagaimana dimaksud dalam
13/23/PBI/2011 Pasal 14 (Paragraf 238 dalam kodifikasi ini) paling kurang mampu
mendeteksi kelemahan dan penyimpangan yang terjadi secara tepat
waktu.
145


(2) Sistem pengendalian intern sebagaimana dimaksud pada ayat (1) wajib
memastikan:
a. kepatuhan terhadap peraturan perundang‐undangan yang berlaku
serta kebijakan atau ketentuan intern Bank;
b. tersedianya informasi keuangan dan manajemen yang lengkap,
akurat, tepat guna, dan tepat waktu;

Informasi keuangan dan manajemen yang lengkap, akurat, tepat
guna, dan tepat waktu diperlukan dalam rangka pengambilan
keputusan yang tepat dan dapat dipertanggungjawabkan, serta
dikomunikasikan kepada pihak yang berkepentingan.

c. efektivitas dan efisiensi dalam kegiatan operasional; dan

Efektivitas dan efisiensi dalam kegiatan operasional antara lain
diperlukan untuk melindungi aset dan sumber daya Bank lainnya
dari Risiko terkait.

d. efektivitas budaya Risiko (risk culture) pada organisasi Bank secara
menyeluruh.

Efektivitas budaya Risiko dimaksudkan untuk mengidentifikasi
kelemahan dan penyimpangan secara lebih dini dan menilai
kembali kewajaran kebijakan dan prosedur yang ada pada Bank
secara berkesinambungan.

Sistem Pengendalian Intern dalam Penerapan Manajemen
Bagian Kedua
Risiko
241 Pasal 17 (1) Sistem pengendalian intern dalam penerapan Manajemen Risiko
13/23/PBI/2011 sebagaimana dimaksud dalam Pasal 3 ayat (1) huruf d (Paragraf 227
ayat (1) huruf d dalam kodifikasi ini) paling kurang mencakup:
a. kesesuaian sistem pengendalian intern dengan jenis dan tingkat
Risiko yang melekat pada kegiatan usaha Bank;
b. penetapan wewenang dan tanggung jawab untuk pemantauan
kepatuhan terhadap kebijakan, prosedur dan limit sebagaimana
dimaksud dalam Pasal 10 dan Pasal 11 (Paragraf 234 dan Paragraf
235 dalam kodifikasi ini);
c. penetapan jalur pelaporan dan pemisahan fungsi yang jelas dari
satuan kerja operasional terhadap satuan kerja yang melaksanakan
fungsi pengendalian;
d. struktur organisasi yang menggambarkan secara jelas kegiatan
usaha Bank;
e. pelaporan keuangan dan kegiatan operasional yang akurat dan
tepat waktu;
f. kecukupan prosedur untuk memastikan kepatuhan Bank terhadap
peraturan perundang‐undangan yang berlaku;
g. kaji ulang yang efektif, independen, dan obyektif terhadap
prosedur penilaian kegiatan operasional Bank;
h. pengujian dan kaji ulang yang memadai terhadap sistem informasi
Manajemen Risiko;
146


i. dokumentasi secara lengkap dan memadai terhadap prosedur
operasional, cakupan dan temuan audit, serta tanggapan pengurus
Bank berdasarkan hasil audit;
j. verifikasi dan kaji ulang secara berkala dan berkesinambungan
terhadap penanganan kelemahan‐kelemahan Bank yang bersifat
material dan tindakan pengurus Bank untuk memperbaiki
penyimpangan‐penyimpangan yang terjadi.
(2) Penilaian terhadap sistem pengendalian intern dalam penerapan
Manajemen Risiko sebagaimana dimaksud pada ayat (1) wajib dilakukan
oleh satuan kerja audit intern (SKAI).

BAB VII Organisasi dan Fungsi Manajemen Risiko
Bagian Kesatu Umum
242 Pasal 18 (1) Dalam rangka pelaksanaan proses dan sistem Manajemen Risiko yang
13/23/PBI/2011 efektif sebagaimana dimaksud dalam Pasal 2 (Paragraf 226 dalam
kodifikasi ini), Bank wajib membentuk:
a. komite Manajemen Risiko; dan

Komite Manajemen Risiko harus bersifat non struktural.

b. satuan kerja Manajemen Risiko.

Satuan kerja Manajemen Risiko tersebut merupakan bagian dari
struktur organisasi Bank (bersifat struktural).

(2) Komite Manajemen Risiko dan satuan kerja Manajemen Risiko
sebagaimana dimaksud pada ayat (1) untuk UUS dapat dibentuk secara
tersendiri atau digabungkan dengan BUK sesuai dengan ukuran dan
kompleksitas usaha UUS serta Risiko yang melekat pada UUS.

Pengaturan ini dimaksudkan agar UUS dapat menentukan struktur
organisasi yang tepat dan sesuai dengan kondisi BUK, termasuk
kemampuan keuangan dan sumber daya manusia.

Bagian Kedua Komite Manajemen Risiko
243 Pasal 19 (1) Komite Manajemen Risiko sebagaimana dimaksud dalam Pasal 18 ayat
13/23/PBI/2011 (1) huruf a (Paragraf 242 ayat (1) huruf a dalam kodifikasi ini) untuk
BUS, paling kurang terdiri dari:

tetap dan tidak tetap, sesuai dengan kebutuhan Bank.

a. mayoritas anggota Direksi; dan

Salah satu anggota Direksi yang harus menjadi anggota komite
Manajemen Risiko adalah Direktur yang membawahkan fungsi
kepatuhan.

147


b. pejabat eksekutif terkait.

Yang dimaksud dengan “pejabat eksekutif terkait” adalah pejabat
Bank satu tingkat di bawah Direksi yang memimpin satuan kerja
operasional dan satuan kerja Manajemen Risiko.
Keanggotaan pejabat eksekutif dalam komite Manajemen Risiko
disesuaikan dengan permasalahan dan kebutuhan Bank.

(2) Dalam hal komite Manajemen Risiko untuk UUS sebagaimana dimaksud
dalam Pasal 18 ayat (2) (Paragraf 242 ayat (2) dalam kodifikasi ini)
dibentuk secara tersendiri, maka keanggotaan komite Manajemen
Risiko UUS paling kurang terdiri dari:

tetap dan tidak tetap, sesuai dengan kebutuhan UUS.

a. Direktur UUS;
b. Direktur yang membawahkan fungsi kepatuhan BUK; dan
c. pejabat eksekutif terkait.

Yang dimaksud dengan “pejabat eksekutif terkait” adalah pejabat
UUS dan BUK satu tingkat di bawah Direksi yang memimpin satuan
kerja operasional dan satuan kerja Manajemen Risiko.
Keanggotaan pejabat eksekutif dalam komite Manajemen Risiko
disesuaikan dengan permasalahan dan kebutuhan UUS.

(3) Dalam hal komite Manajemen Risiko untuk UUS sebagaimana dimaksud
digabung dengan komite Manajemen Risiko BUK maka dalam
pembahasan yang terkait dengan Manajemen Risiko UUS, Direktur UUS
wajib diikutsertakan sebagai salah satu anggota komite Manajemen
Risiko BUK.
(4) Komite Manajemen Risiko sebagaimana dimaksud pada ayat (1)
berwenang dan bertanggung jawab untuk memberikan rekomendasi
kepada Direktur Utama, yang paling kurang meliputi:
a. penyusunan kebijakan, strategi, dan pedoman penerapan
Manajemen Risiko;
b. perbaikan atau penyempurnaan pelaksanaan Manajemen Risiko
berdasarkan hasil evaluasi pelaksanaan dimaksud;
c. penetapan (justification) hal‐hal yang terkait dengan keputusan
bisnis yang tidak sesuai dengan prosedur normal (irregularities).

Termasuk dalam keputusan bisnis yang tidak sesuai dengan
prosedur normal antara lain pelampauan ekspansi usaha yang
signifikan dibandingkan rencana bisnis Bank dan pengambilan
posisi/eksposur Risiko yang tidak sesuai dengan limit yang telah
ditetapkan.

148


Bagian Ketiga Satuan Kerja Manajemen Risiko
244 Pasal 20 (1) Struktur organisasi satuan kerja Manajemen Risiko Bank sebagaimana
13/23/PBI/2011 dimaksud dalam Pasal 18 ayat (1) huruf b (Paragraf 242 ayat (1) huruf b
dalam kodifikasi ini) disesuaikan dengan ukuran dan kompleksitas usaha
Bank serta Risiko yang melekat pada Bank.

Pengaturan ini dimaksudkan agar Bank dapat menentukan struktur
organisasi yang tepat dan sesuai dengan kondisi Bank, termasuk
kemampuan keuangan dan sumber daya manusia.

(2) Satuan kerja Manajemen Risiko sebagaimana dimaksud pada ayat (1)
harus independen terhadap satuan kerja operasional (risk‐taking unit)
dan terhadap satuan kerja yang melaksanakan fungsi pengendalian
intern.

Yang dimaksud dengan “independen” antara lain tercermin dari
adanya:
1. pemisahan fungsi/tugas antara satuan kerja Manajemen Risiko
dengan satuan kerja operasional (risk‐taking unit) dan satuan kerja
yang melaksanakan fungsi pengendalian intern;
2. proses pengambilan keputusan yang tidak memihak atau
menguntungkan satuan kerja operasional tertentu atau
mengabaikan satuan kerja operasional lainnya.
Yang dimaksud dengan “satuan kerja operasional (risk‐taking unit)”
antara lain satuan kerja pembiayaan, treasuri, dan pendanaan.

(3) Satuan kerja Manajemen Risiko sebagaimana dimaksud pada ayat (2)
bertanggung jawab langsung kepada Direktur Utama atau kepada
Direktur yang ditugaskan secara khusus.

Yang dimaksud dengan “Direktur yang ditugaskan secara khusus”
adalah Direktur yang membawahkan fungsi kepatuhan atau Direktur
Manajemen Risiko.
Istilah Direktur Utama dapat dipersamakan dengan Presiden Direktur.

(4) Wewenang dan tanggung jawab satuan kerja Manajemen Risiko
meliputi:

Wewenang dan tanggung jawab satuan kerja Manajemen Risiko
disesuaikan dengan tujuan usaha, kompleksitas usaha, dan kemampuan
Bank.

a. pemantauan pelaksanaan strategi Manajemen Risiko yang telah
disetujui oleh Direksi;
b. pemantauan posisi Risiko secara keseluruhan (composite), per jenis
Risiko dan/atau per jenis aktivitas fungsional serta melakukan stress
testing;

Stress testing dilakukan guna mengetahui dampak dari
implementasi kebijakan dan strategi Manajemen Risiko terhadap
149


kinerja dan pendapatan masing‐masing satuan kerja operasional
atau aktivitas fungsional Bank.

c. kaji ulang secara berkala terhadap proses Manajemen Risiko;

Kaji ulang antara lain dilakukan berdasarkan temuan audit intern
dan/atau perkembangan praktek‐praktek Manajemen Risiko yang
berlaku secara internasional.

d. pengkajian usulan aktivitas dan/atau produk baru;

Termasuk dalam pengkajian adalah penilaian kemampuan Bank
untuk melakukan aktivitas dan/atau produk baru dan kajian usulan
perubahan sistem dan prosedur serta pemenuhan terhadap Prinsip
Syariah.

e. evaluasi terhadap akurasi model dan validitas data yang digunakan
untuk mengukur Risiko, bagi Bank yang menggunakan model untuk
keperluan intern (internal model);
f. memberikan rekomendasi kepada satuan kerja operasional (risk‐
taking unit) dan/atau kepada komite Manajemen Risiko; dan

Rekomendasi antara lain memuat rekomendasi yang terkait dengan
besaran atau maksimum eksposur Risiko yang wajib dipelihara oleh
Bank.

g. menyusun dan menyampaikan laporan profil/komposisi Risiko
secara berkala kepada:

Profil Risiko merupakan gambaran secara menyeluruh atas
besarnya potensi Risiko yang melekat pada seluruh portofolio atau
eksposur Bank.
Frekuensi penyampaian laporan harus ditingkatkan apabila kondisi
pasar berubah dengan cepat. Untuk eksposur Risiko yang berubah
relatif lama, seperti Risiko Kredit maka penyampaian laporan
disampaikan paling kurang 1 (satu) kali dalam sebulan.

1. direktur utama atau direktur yang ditugaskan secara khusus; dan
2. komite Manajemen Risiko.

Hubungan Satuan Kerja Operasional dengan Satuan Kerja
Bagian Keempat
Manajemen Risiko
245 Pasal 21 Satuan kerja operasional (risk‐taking unit) sebagaimana dimaksud dalam
13/23/PBI/2011 Pasal 20 ayat (2) (Paragraf 244 ayat (2) dalam kodifikasi ini) wajib
menginformasikan eksposur Risiko yang melekat pada satuan kerja yang
bersangkutan kepada satuan kerja Manajemen Risiko secara berkala.

Frekuensi penyampaian informasi eksposur Risiko disesuaikan dengan
karakteristik jenis Risiko.

150


BAB VIII Pelaporan
Bagian Kesatu Laporan Profil Risiko
246 Pasal 22 (1) Bank wajib menyampaikan laporan profil Risiko kepada Bank Indonesia.
13/23/PBI/2011
Laporan profil Risiko memuat antara lain informasi tentang tingkat dan
trend seluruh eksposur Risiko.

(2) Laporan profil Risiko sebagaimana dimaksud pada ayat (1) wajib
memuat substansi yang sama dengan laporan profil Risiko yang
disampaikan oleh satuan kerja Manajemen Risiko kepada Direktur
Utama atau kepada Direktur yang ditugaskan secara khusus, dan komite
Manajemen Risiko.
secara triwulanan untuk posisi bulan Maret, Juni, September, dan
Desember.

Laporan profil Risiko disajikan secara komparatif dengan posisi triwulan
sebelumnya.

(4) Dalam hal diperlukan, Bank Indonesia dapat meminta Bank
menyampaikan laporan profil Risiko sebagaimana dimaksud pada ayat
(1) di luar jangka waktu yang ditetapkan.
(5) Ketentuan lebih lanjut mengenai format dan petunjuk penyusunan
laporan sebagaimana dimaksud pada ayat (1) diatur dengan ketentuan
Bank Indonesia.

247 Pasal 23 (1) Laporan profil Risiko sebagaimana dimaksud dalam Pasal 22 ayat (1)
13/23/PBI/2011 (Paragraf 246 ayat (1) dalam kodifikasi ini) disampaikan paling lama 15
(lima belas) hari kerja setelah akhir bulan laporan sebagaimana
dimaksud dalam Pasal 22 ayat (3) (Paragraf 246 ayat (3) dalam kodifikasi
ini).

Contoh:
Untuk laporan profil Risiko posisi bulan September 2011, Bank wajib
menyampaikan laporan dimaksud kepada Bank Indonesia paling lambat
pada tanggal 21 Oktober 2011.

(2) Bank dianggap terlambat menyampaikan laporan apabila laporan
disampaikan melampaui batas waktu penyampaian sebagaimana
dimaksud pada ayat (1) namun tidak melebihi 1 (satu) bulan sejak batas
akhir waktu penyampaian laporan.

Contoh:
Apabila Bank menyampaikan laporan profil Risiko posisi bulan
September 2011 pada tanggal 22 Oktober 2011 sampai dengan tanggal
21 November 2011, maka Bank dianggap terlambat menyampaikan
laporan.

(3) Bank dianggap tidak menyampaikan laporan sebagaimana dimaksud
apabila Bank belum atau tidak menyampaikan laporan melebihi 1 (satu)
151


bulan sejak batas akhir waktu penyampaian laporan sebagaimana
dimaksud pada ayat (1).

Contoh:
Apabila Bank menyampaikan laporan profil Risiko posisi bulan
September 2011 setelah tanggal 21 November 2011, maka Bank
dianggap tidak menyampaikan laporan dimaksud.

Bagian Kedua Laporan Lain
248 Pasal 24 (1) Bank wajib menyampaikan kepada Bank Indonesia laporan lain selain
13/23/PBI/2011 sebagaimana dimaksud dalam Pasal 22 (Paragraf 246 dalam kodifikasi
ini), dalam hal terdapat kondisi yang berpotensi menimbulkan kerugian
yang signifikan terhadap kondisi keuangan Bank.
(2) Bank wajib menyampaikan kepada Bank Indonesia laporan lain yang
terkait dengan penerapan Manajemen Risiko secara berkala atau
sewaktu‐waktu apabila diperlukan.

Laporan terkait penerapan Manajemen Risiko meliputi antara lain
Laporan Proyeksi Arus Kas dan Laporan Profil Maturitas dalam rangka
Penerapan Manajemen Risiko untuk Risiko Likuiditas.

(3) Format, tata cara pelaporan, dan pengenaan sanksi atas laporan
sebagaimana dimaksud pada ayat (2) tunduk pada ketentuan Bank
Indonesia yang mengatur mengenai pelaporan bank kepada Bank
Indonesia.

Yang dimaksud dengan ketentuan Bank Indonesia yang mengatur
mengenai pelaporan bank antara lain ketentuan Bank Indonesia
mengenai Laporan Berkala Bank Umum dan Laporan Kantor Pusat Bank
Umum.

Bagian Ketiga Alamat Penyampaian
249 Pasal 25 Laporan sebagaimana dimaksud dalam Pasal 22 dan Pasal 24 (Paragraf 246
13/23/PBI/2011 dan Paragraf 248 dalam kodifikasi ini) disampaikan kepada Bank Indonesia
dengan alamat:
a. Direktorat Perbankan Syariah, Jl. MH Thamrin Nomor 2, Jakarta 10350,
Indonesia.
b. Kantor Bank Indonesia setempat, bagi Bank yang berkantor pusat di luar

BAB IX Lain‐Lain
Bagian Kesatu Penilaian Penerapan Manajemen Risiko
250 Pasal 26 Bank Indonesia dapat melakukan penilaian terhadap penerapan
13/23/PBI/2011 Manajemen Risiko pada Bank.

Penilaian terhadap Manajemen Risiko Bank termasuk penilaian Risiko yang
melekat (inherent risk) dan kecukupan sistem pengendalian Risiko (risk
control system).
152


251 Pasal 27 Bank wajib menyediakan data dan informasi yang berkaitan dengan
13/23/PBI/2011 penerapan Manajemen Risiko kepada Bank Indonesia.

Bagian Kedua Aspek Pengungkapan Kinerja dan Kebijakan Manajemen Risiko
252 Pasal 28 (1) Pengungkapan Manajemen Risiko dalam laporan tahunan Bank
13/23/PBI/2011 sebagaimana diatur dalam Peraturan Bank Indonesia tentang
Transparansi Kondisi Keuangan Bank wajib disesuaikan dengan
(2) Pengungkapan sebagaimana dimaksud pada ayat (1) paling kurang
mencakup kinerja Manajemen Risiko dan arah kebijakan Manajemen
Risiko.

Kinerja Manajemen Risiko merupakan hasil penerapan Manajemen
Risiko untuk periode awal tahun (Januari) sampai dengan akhir tahun
(Desember) termasuk profil Risiko, sedangkan arah kebijakan
Manajemen Risiko merupakan arah dan strategi Manajemen Risiko
periode satu tahun ke depan.

(3) Pengungkapan Manajemen Risiko dalam laporan tahunan sebagaimana
dimaksud pada ayat (1) untuk UUS digabungkan dalam laporan tahunan
BUK.

BAB X Sanksi
253 Pasal 29 (1) Bank yang terlambat menyampaikan laporan sebagaimana dimaksud
13/23/PBI/2011 dalam Pasal 22 (Paragraf 246 dalam kodifikasi ini) dikenakan sanksi
kewajiban membayar sebesar Rp1.000.000,00 (satu juta rupiah) per hari
keterlambatan per laporan.

Yang dimaksud dengan “hari” adalah hari kerja.

(2) Bank yang tidak menyampaikan laporan sebagaimana dimaksud dalam
Pasal 22 (Paragraf 246 dalam kodifikasi ini) dikenakan sanksi kewajiban
membayar sebesar Rp50.000.000 (lima puluh juta rupiah) per laporan.

tidak dikenakan sanksi keterlambatan sebagaimana dimaksud pada
ayat (1).

(3) Bank yang tidak menyampaikan laporan sebagaimana dimaksud dalam
Pasal 22 (Paragraf 246 dalam kodifikasi ini) dan telah dikenakan sanksi
kewajiban membayar sebagaimana dimaksud pada ayat (2), tetap wajib
menyampaikan laporan kepada Bank Indonesia.
(4) Bank yang menyampaikan laporan sebagaimana dimaksud dalam Pasal
22 (Paragraf 246 dalam kodifikasi ini) namun dinilai tidak lengkap
secara signifikan atau tidak dilampiri dengan dokumen dan informasi
yang material sesuai dengan format yang ditentukan, dikenakan sanksi
kewajiban membayar sebesar Rp50.000.000,00 (lima puluh juta rupiah)
setelah Bank diberikan 2 (dua) kali surat teguran oleh Bank Indonesia
dengan tenggang waktu 7 (tujuh) hari kerja untuk setiap teguran dan
Bank tidak memperbaiki laporan dalam jangka waktu 7 (tujuh) hari kerja
153


setelah surat teguran terakhir.

tidak dikenakan sanksi sebagaimana dimaksud pada ayat (1)

254 Pasal 30 Bank yang tidak memenuhi ketentuan dalam Pasal 2 ayat (1), Pasal 4, Pasal
13/23/PBI/2011 5 ayat (2), Pasal 6, Pasal 11 ayat (1), Pasal 11 ayat (3), Pasal 12, Pasal 13
ayat (2), Pasal 13 ayat (3), Pasal 13 ayat (4), Pasal 14 ayat (2), Pasal 15, Pasal
16 ayat (2), Pasal 17 ayat (2), Pasal 18 ayat (1), Pasal 21 dan Pasal 32 ayat
(2) (Paragraf 226 ayat (1), Paragraf 228, Paragraf 229 ayat (2), Paragraf 230,
Paragraf 235 ayat (1), Paragraf 235 ayat (3), Paragraf 236, Paragraf 237
ayat (2), Paragraf 237 ayat (3), Paragraf 237 ayat (4), Paragraf 238 ayat (2),
Paragraf 239, Paragraf 240 ayat (2), Paragraf 241 ayat (2), Paragraf 242 ayat
(1) dan Paragraf 245 dalam kodifikasi ini) dikenakan sanksi administratif
antara lain berupa:
b. pembekuan kegiatan usaha tertentu; dan/atau
c. pencantuman anggota pengurus, pegawai Bank, dan/atau pemegang
administrasi Bank Indonesia sebagaimana diatur dalam ketentuan Bank

Pemberian Kredit atau Pembiayaan Pemilikan Properti, Kredit
atau Pembiayaan Konsumsi Beragun Properti, dan Kredit atau
Pembiayaan Kendaraan Bermotor
Ketentuan Umum
255 SE 15/40/DKMP A. Sejalan dengan tingginya pertumbuhan kredit atau pembiayaan
2013 pemilikan properti, kredit atau pembiayaan konsumsi beragun properti,
Romawi I dan kredit atau pembiayaan kendaraan bermotor yang berpotensi
menimbulkan berbagai Risiko maka Bank perlu meningkatkan kehati‐
hatian dalam penyaluran kredit atau pembiayaan pemilikan properti,
kredit atau pembiayaan konsumsi beragun properti, dan kredit atau
pembiayaan kendaraan bermotor.
B. Pertumbuhan kredit atau pembiayaan pemilikan properti dan kredit
atau pembiayaan konsumsi beragun properti yang terlalu tinggi dapat
mendorong peningkatan harga aset properti yang tidak mencerminkan
harga yang sebenarnya sehingga meningkatkan Risiko Kredit bagi Bank
dengan eksposur kredit atau pembiayaan properti yang besar.
C. Dalam rangka menjaga perekonomian yang produktif dan mampu
menghadapi tantangan di sektor keuangan, perlu adanya kebijakan
yang dapat memperkuat sektor keuangan untuk meminimalisir sumber‐
sumber kerawanan yang mungkin timbul, termasuk pertumbuhan kredit
atau pembiayaan pemilikan properti, kredit atau pembiayaan konsumsi
beragun properti, dan kredit atau pembiayaan kendaraan bermotor
yang berlebihan.
D. Kebijakan dalam rangka meningkatkan kehati‐hatian Bank dalam
pemberian kredit atau pembiayaan pemilikan properti, kredit konsumsi
154


beragun properti, dan kredit atau pembiayaan kendaraan bermotor,
serta kebijakan untuk memperkuat ketahanan sektor keuangan
dilakukan melalui penetapan besaran loan to value atau financing to
value untuk kredit atau pembiayaan pemilikan properti dan kredit atau
pembiayaan konsumsi beragun properti, serta down payment untuk
kredit atau pembiayaan kendaraan bermotor.

Cakupan Pengaturan
256 SE 15/40/DKMP 1. Bank Umum, yang selanjutnya disebut Bank, adalah Bank Umum
2013 Konvensional termasuk Unit Usaha Syariah, dan Bank Umum Syariah.
Romawi II 2. Properti terdiri dari rumah tapak, rumah susun, rumah toko, dan rumah
kantor.
3. Rumah Tapak adalah bangunan yang berfungsi sebagai tempat tinggal
yang merupakan kesatuan antara tanah dan bangunan dengan bukti
kepemilikan berupa surat keterangan, sertifikat, atau akta yang
dikeluarkan oleh lembaga atau pejabat yang berwenang.
4. Rumah Susun adalah bangunan gedung bertingkat yang dibangun
dalam suatu lingkungan yang terbagi dalam bagian‐bagian yang
distrukturkan secara fungsional baik dalam arah horizontal maupun
vertikal dan merupakan satuan‐satuan yang masing‐masing dapat
dimiliki dan digunakan secara terpisah, antara lain griya tawang,
kondominium, apartemen, dan flat.
5. Rumah Kantor atau Rumah Toko adalah tanah berikut bangunan yang
izin pendiriannya sebagai rumah tinggal sekaligus untuk tujuan
komersial antara lain perkantoran, pertokoan, atau gudang.
6. Kredit atau Pembiayaan Pemilikan Properti yang selanjutnya disebut
KPP atau KPP iB adalah kredit atau pembiayaan yang diberikan bank
untuk pembelian Rumah Tapak, Rumah Susun, Rumah Toko dan/atau
Rumah Kantor.
7. Kredit atau Pembiayaan Pemilikan Rumah, yang selanjutnya disebut
KPR atau KPR iB, adalah kredit atau pembiayaan yang ditujukan untuk
pembelian Rumah Tapak.
8. Kredit atau Pembiayaan Pemilikan Rumah Susun, yang selanjutnya
disebut KPRS atau KPRS iB, adalah kredit atau pembiayaan yang
ditujukan untuk pembelian Rumah Susun.
9. Kredit atau Pembiayaan Pemilikan Rumah Kantor, yang selanjutnya
disebut KPRukan atau KPRukan iB adalah kredit atau pembiayaan yang
ditujukan untuk pembelian Rumah Kantor.
10. Kredit atau Pembiayaan Pemilikan Rumah Toko, yang selanjutnya
disebut KPRuko atau KPRuko iB adalah kredit atau pembiayaan yang
ditujukan untuk pembelian Rumah Toko.
11. Kredit atau Pembiayaan Konsumsi Beragun Properti, yang selanjutnya
disebut KKBP atau KKBP iB adalah kredit atau pembiayaan konsumsi di
luar KPP atau KPP iB dengan agunan berupa Properti.
12. Rasio Loan to Value atau Financing to Value, yang selanjutnya disebut
LTV atau FTV, adalah angka rasio antara nilai kredit atau pembiayaan
yang dapat diberikan oleh Bank terhadap nilai agunan berupa Properti
pada saat pemberian kredit atau pembiayaan berdasarkan harga
penilaian terakhir.

155


13. Musyarakah Mutanaqisah, yang selanjutnya disebut MMQ, adalah
musyarakah atau syirkah dalam rangka kepemilikan Properti antara
Bank dengan nasabah, dimana penyertaan kepemilikan Properti oleh
Bank akan berkurang yang disebabkan pembelian secara bertahap oleh
nasabah.
14. Uang Jaminan, yang selanjutnya disebut Deposit, adalah uang yang
harus diserahkan oleh nasabah kepada Bank dalam rangka kepemilikan
Properti yang dilakukan dengan akad Ijarah Muntahiya Bittamlik
(IMBT).
15. Kredit atau Pembiayaan Kendaraan Bermotor, yang selanjutnya disebut
KKB atau KKB iB, adalah kredit atau pembiayaan yang diberikan Bank
untuk pembelian kendaraan bermotor.
16. Uang Muka Kredit atau Pembiayaan atau Down Payment, yang
selanjutnya disingkat DP, adalah pembayaran di muka secara tunai yang
sumber dananya berasal dari debitur atau nasabah (self financing)
dalam rangka pembelian kendaraan bermotor melalui fasilitas kredit
atau pembiayaan.

Penerapan Manajemen Risiko dan Prinsip Kehati‐Hatian
Dalam Pemberian Kredit atau Pembiayaan Pemilikan Properti,
Kredit atau Pembiayaan Konsumsi Beragun Properti, dan
Kredit atau Pembiayaan Kendaraan Bermotor
257 SE 15/40/DKMP Bank yang menyalurkan KPP atau KPP iB, KKBP atau KKBP iB, dan KKB atau
2013 KKB iB wajib:
Romawi III A. menerapkan Manajemen Risiko sesuai dengan Peraturan Bank
Indonesia Nomor 5/8/PBI/2003 tanggal 19 Mei 2003 tentang
Penerapan Manajemen Risiko bagi Bank Umum sebagaimana telah
diubah dengan Peraturan Bank Indonesia Nomor 11/25/PBI/2009 dan
Peraturan Bank Indonesia Nomor 13/23/PBI/2011 tentang Penerapan
Manajemen Risiko bagi Bank Umum Syariah dan Unit Usaha Syariah,
mengingat adanya berbagai Risiko yang melekat pada aktivitas
tersebut, terutama Risiko Kredit dan Risiko Likuiditas;
B. menyusun kebijakan dan prosedur secara tertulis yang akan menjadi
acuan dalam pemberian KPP atau KPP iB, KKBP atau KKBP iB, dan KKB
atau KKB iB dengan berpedoman pada:
1. Peraturan Bank Indonesia Nomor 5/8/PBI/2003 tanggal 19 Mei
2003 tentang Penerapan Manajemen Risiko bagi Bank Umum
sebagaimana telah diubah dengan Peraturan Bank Indonesia
Nomor 11/25/PBI/2009;
2. Peraturan Bank Indonesia Nomor 13/23/PBI/2011 tanggal 2
November 2011 tentang Penerapan Manajemen Risiko bagi Bank
Umum Syariah dan Unit Usaha Syariah;
September 2008 tentang Produk Bank Syariah dan Unit Usaha
Syariah;
Desember 2009 tentang Pelaksanaan Good Corporate Governance
Bagi Bank Umum Syariah dan Unit Usaha Syariah;

156


5. Surat Keputusan Direksi Bank Indonesia Nomor 27/162/KEP/DIR
tanggal 31 Maret 1995 tentang Kewajiban Penyusunan dan
Pelaksanaan Kebijaksanaan Perkreditan Bank bagi Bank Umum;
6. Surat Edaran Bank Indonesia Nomor 10/31/DPbS tanggal 7 Oktober
2008 perihal Produk Bank Syariah dan Unit Usaha Syariah;
7. Surat Edaran Bank Indonesia Nomor 12/38/DPNP tanggal 31
Desember 2010 perihal Pedoman Penyusunan Standard Operating
Procedure Administrasi Kredit Pemilikan Rumah dalam Rangka
Sekuritisasi;
Februari 2011 perihal Pedoman Perhitungan Aset Tertimbang
Menurut Risiko untuk Risiko Kredit dengan Menggunakan
Pendekatan Standar; dan
9. Surat Edaran Bank Indonesia ini.

Pengaturan LTV atau FTV Pada Kredit atau Pembiayaan
Pemilikan Properti dan Kredit atau Pembiayaan Konsumsi
Beragun Properti
258 SE 15/40/DKMP A. Ruang lingkup pengaturan yang diatur dalam Surat Edaran Bank
2013 Indonesia ini mencakup KPP atau KPP iB dan KKBP atau KKBP iB.
Romawi IV B. Perhitungan nilai kredit atau pembiayaan dan nilai agunan dalam
perhitungan LTV atau FTV untuk :
1. Bank Umum Konvensional
a. Nilai kredit ditetapkan berdasarkan plafon kredit yang diterima
oleh debitur sebagaimana tercantum dalam perjanjian kredit.
b. Nilai agunan ditetapkan berdasarkan nilai taksiran Bank
terhadap Properti yang menjadi agunan. Bank dalam
melakukan taksiran dapat menggunakan penilai intern Bank
atau penilai independen dengan berpedoman pada ketentuan
Bank Indonesia mengenai penilaian kualitas aset Bank umum.
2. Bank Umum Syariah dan Unit Usaha Syariah
a. Nilai pembiayaan berdasarkan akad murabahah atau akad
istishna’ ditetapkan berdasarkan harga pokok pembiayaan yang
diberikan kepada nasabah sebagaimana tercantum dalam akad
pembiayaan.
b. Nilai pembiayaan berdasarkan akad MMQ ditetapkan
berdasarkan penyertaan Bank dalam rangka kepemilikan
Properti sebagaimana tercantum dalam akad pembiayaan.
c. Nilai pembiayaan berdasarkan akad IMBT ditetapkan
berdasarkan hasil pengurangan harga Properti dengan Deposit
sebagaimana tercantum dalam akad pembiayaan.
d. Nilai agunan ditetapkan berdasarkan nilai taksiran Bank
terhadap Properti yang menjadi agunan. Bank dalam
melakukan taksiran dapat menggunakan penilai intern Bank
atau penilai independen dengan berpedoman pada ketentuan
Bank Indonesia mengenai penilaian kualitas aktiva bagi Bank
Umum Syariah dan Unit Usaha Syariah.
C. LTV atau FTV untuk Bank yang memberikan kredit atau pembiayaan
sebagaimana dalam huruf A ditetapkan paling tinggi sebagai berikut:
1. Fasilitas kredit atau pembiayaan pertama sebesar:
157


a. 70% (tujuh puluh persen) untuk KPR dan KPRS, serta KPR iB dan
KPRS iB berdasarkan akad murabahah atau akad istishna’,
dengan luas bangunan di atas 70m2 (tujuh puluh meter
persegi).
b. 80% (delapan puluh persen) untuk:
1) KPRS dan KPRS iB berdasarkan akad murabahah atau akad
istishna’ dengan luas bangunan dari 22m2 (dua puluh dua
meter persegi) sampai dengan 70m2 (tujuh puluh meter
persegi); dan
2) KPR iB dan KPRS iB berdasarkan akad MMQ atau akad IMBT
persegi).
c. 90% (sembilan puluh persen) untuk KPRS iB berdasarkan akad
MMQ atau akad IMBT dengan luas bangunan dari 22m2 (dua
puluh dua meter persegi) sampai dengan 70m2 (tujuh puluh
meter persegi).
2. Fasilitas kredit atau pembiayaan kedua sebesar:
a. 60% (enam puluh persen) untuk KPR dan KPRS, serta KPR iB dan
persegi).
b. 70% (tujuh puluh persen) untuk :
1) KPR dan KPR iB berdasarkan akad murabahah atau akad
istishna’, dengan luas bangunan dari 22m2 (dua puluh dua
persegi);
istishna’, dengan luas bangunan sampai dengan 70m2
(tujuh puluh meter persegi);
persegi); dan
4) KPRuko dan KPRukan, serta KPRuko iB dan KPRukan iB
berdasarkan akad murabahah atau akad istishna’.
c. 80% (delapan puluh persen) untuk :
1) KPR iB berdasarkan akad MMQ atau akad IMBT dengan luas
bangunan dari 22m2 (dua puluh dua meter persegi) sampai
dengan 70m2 (tujuh puluh meter persegi);
2) KPRS iB berdasarkan akad MMQ atau akad IMBT dengan
luas bangunan sampai dengan 70m2 (tujuh puluh meter
persegi); dan
3) KPRuko iB dan KPRukan iB berdasarkan akad MMQ atau
akad IMBT.
3. Fasilitas kredit atau pembiayaan ketiga dan seterusnya sebesar:
a. 50% (lima puluh persen) untuk KPR dan KPRS, serta KPR iB dan
persegi).
b. 60% (enam puluh persen) untuk :
1) KPR dan KPR iB berdasarkan akad murabahah atau akad
158


istishna’, dengan luas bangunan dari 22m2 (dua puluh dua
persegi);
istishna’, dengan luas bangunan sampai dengan 70m2
(tujuh puluh meter persegi);
persegi); dan
4) KPRuko dan KPRukan, serta KPRuko iB dan KPRukan iB
berdasarkan akad murabahah atau akad istishna’.
c. 70% (tujuh puluh persen) untuk :
1) KPR iB berdasarkan akad MMQ atau akad IMBT dengan luas
bangunan dari 22m2 (dua puluh dua meter persegi) sampai
dengan 70m2 (tujuh puluh meter persegi);
2) KPRS iB berdasarkan akad MMQ atau akad IMBT dengan
luas bangunan sampai dengan 70m2 (tujuh puluh meter
persegi); dan
3) KPRuko iB dan KPRukan iB berdasarkan akad MMQ atau
akad IMBT.
4. Penentuan urutan fasilitas kredit atau pembiayaan sebagaimana
dimaksud dalam angka 1, angka 2, dan angka 3 harus
memperhitungkan seluruh fasilitas KPP atau KPP iB dan KKBP atau
KKBP iB yang telah diterima debitur atau nasabah di Bank yang
sama maupun Bank lainnya.
5. Contoh perhitungan dan penetapan LTV atau FTV untuk :
a. KPP atau KPP iB sebagaimana tercantum pada Lampiran I
(Lampiran 34 dalam kodifikasi ini); dan
b. KKBP atau KKBP iB sebagaimana tercantum pada Lampiran II
yang merupakan bagian tidak terpisahkan dari Surat Edaran Bank
Indonesia ini.
D. Dalam hal perjanjian KPP atau KPP iB antara Bank dan debitur atau
nasabah mengikat lebih dari 1 (satu) unit Properti pada saat bersamaan
dan/atau beberapa perjanjian KPP atau KPP iB terhadap beberapa
Properti yang dilakukan pada tanggal yang sama, maka perhitungan LTV
atau FTV berlaku ketentuan sebagai berikut.
1. Bank wajib menetapkan urutan fasilitas kredit atau pembiayaan
berdasarkan urutan nilai agunan dimulai dari nilai agunan yang
paling rendah.
2. Penentuan urutan fasilitas kredit atau pembiayaan sebagaimana
dimaksud dalam butir C.1, butir C.2, dan butir C.3 harus
memperhitungkan seluruh fasilitas KPP atau KPP iB dan KKBP atau
KKBP iB yang telah diterima debitur atau nasabah di Bank yang
sama maupun Bank lainnya.
3. Perhitungan LTV atau FTV dilakukan dengan mengacu pada butir
C.1, butir C. 2, dan butir C.3.
4. Bank memberitahukan penentuan urutan fasilitas kredit atau
pembiayaan sebagaimana dimaksud dalam angka 2 kepada calon
debitur atau nasabah atau debitur atau nasabah secara tertulis.
159


5. Contoh penentuan urutan fasilitas kredit atau pembiayaan
sebagaimana tercantum pada Lampiran III yang merupakan bagian
yang tidak terpisahkan dari Surat Edaran Bank Indonesia ini
E. Dalam rangka memenuhi ketentuan LTV atau FTV dalam Surat Edaran
ini, berlaku ketentuan sebagai berikut :
1. Bank meminta kepada calon debitur atau nasabah tambahan
dokumen berupa surat pernyataan yang paling kurang memuat
keterangan mengenai fasilitas KPP atau KPP iB dan/atau KKBP atau
KKBP iB yang sudah diterima maupun yang sedang dalam proses
pengajuan permohonan baik di Bank yang sama maupun di Bank
lain.
2. Apabila calon debitur atau nasabah tidak bersedia menyerahkan
surat pernyataan sebagaimana dimaksud dalam angka 1 maka Bank
wajib menolak permohonan fasilitas kredit atau pembiayaan yang
diajukan.
3. Bank mencantumkan klausula dalam perjanjian kredit atau
pembiayaan sebagai berikut :
“Dalam hal debitur atau nasabah menyampaikan pernyataan yang
tidak benar maka debitur atau nasabah bersedia melaksanakan
langkah‐langkah yang ditetapkan oleh Bank dalam rangka
pemenuhan ketentuan Bank Indonesia mengenai LTV atau FTV”
4. Bank memperlakukan debitur atau nasabah suami dan istri sebagai
1 (satu) debitur atau nasabah kecuali terdapat perjanjian
pemisahan harta yang disahkan oleh notaris.
5. Dalam hal Bank memberikan :
a. fasilitas kredit tambahan dari fasilitas kredit yang masih
berjalan (top up); atau
b. fasilitas pembiayaan baru berdasarkan Properti yang masih
menjadi agunan dari fasilitas KPP iB sebelumnya;
berlaku ketentuan sebagai berikut :
a. pemberian fasilitas kredit atau pembiayaan tersebut
diperlakukan sebagai pemberian kredit atau pembiayaan baru;
b. perhitungan LTV atau FTV diperlakukan sebagai urutan fasilitas
kredit atau pembiayaan berikutnya; dan
c. jumlah fasilitas kredit tambahan atau pembiayaan baru yang
diberikan oleh Bank paling banyak sebesar selisih antara hasil
perhitungan LTV atau FTV berdasarkan nilai properti yang
menjadi agunan dengan baki debet dari fasilitas kredit atau
pembiayaan sebelumnya yang menggunakan agunan yang
sama.
6. Contoh perhitungan dalam angka 4 dan angka 5 sebagaimana
tercantum pada Lampiran IV yang merupakan bagian yang tidak
terpisahkan dari Surat Edaran Bank Indonesia ini (Lampiran 37
F. Dalam rangka menerapkan prinsip kehati‐hatian dalam pemberian KPP
atau KPP iB dan KKBP atau KKBP iB, Bank melakukan hal‐hal sebagai
berikut :
1. Bank dilarang memberikan fasilitas kredit atau pembiayaan untuk
pemenuhan uang muka pembelian Properti yang dibiayai dengan
160


KPP atau KPP iB dan/atau KKBP atau KKBP iB.
2. Bank hanya dapat memberikan fasilitas KPP atau KPP iB jika
Properti yang dijadikan agunan telah tersedia secara utuh, yaitu
telah terlihat wujud fisiknya sesuai yang diperjanjikan dan siap
diserahterimakan.
3. Ketentuan sebagaimana dimaksud dalam angka 2 dikecualikan
untuk pemberian fasilitas KPP atau KPP iB yang memenuhi
persyaratan sebagai berikut:
a. fasilitas KPP atau KPP iB merupakan fasilitas KPP atau KPP iB
pertama bagi debitur atau nasabah dari seluruh fasilitas yang
diterima baik di Bank yang sama maupun Bank lainnya;
b. adanya perjanjian kerjasama antara Bank dengan pengembang
yang paling kurang memuat kesanggupan pengembang untuk
menyelesaikan Properti sesuai dengan yang diperjanjikan
dengan debitur atau nasabah;
c. adanya jaminan (corporate guarantee) dari pengembang
kepada Bank bahwa pengembang akan menyelesaikan
kewajiban kepada debitur atau nasabah penerima fasilitas KPP
atau KPP iB apabila Properti tidak dapat diselesaikan dan/atau
tidak diserahterimakan sesuai perjanjian;
d. pencairan fasilitas KPP atau KPP iB hanya dapat dilakukan
secara bertahap sesuai perkembangan pembangunan Properti
yang menjadi agunan. Laporan perkembangan pembangunan
Properti tersebut berdasarkan laporan dari:
1) pengembang, apabila nilai kredit atau pembiayaan untuk 1
(satu) atau beberapa debitur atau nasabah secara
keseluruhan pada proyek yang sama sampai dengan
Rp5.000.000.000,00 (lima miliar rupiah); atau
2) penilai independen, apabila nilai kredit atau pembiayaan
untuk 1 (satu) atau beberapa debitur atau nasabah secara
keseluruhan pada proyek yang sama di atas
Rp5.000.000.000,00 (lima miliar rupiah),
yang telah diverifikasi kebenarannya oleh Bank; dan
e. apabila pengembang memperoleh fasilitas kredit atau
pembiayaan dari Bank, dan pengembang tidak dapat
menyelesaikan pembangunan Properti dalam waktu yang telah
diperjanjikan maka Bank menurunkan kualitas kredit atau
pembiayaan kepada pengembang tersebut.
4. Ketentuan dalam angka 2 dan angka 3 berlaku untuk semua jenis
dan tipe Properti.
7. Contoh penerapan ketentuan dalam angka 2 dan angka 3
sebagaimana tercantum dalam Lampiran IV yang merupakan bagian
tidak terpisahkan dari Surat Edaran Bank Indonesia ini (Lampiran 37
G. Pengaturan mengenai LTV atau FTV sebagaimana dimaksud dalam
huruf C, huruf D, huruf E, dan huruf F dikecualikan terhadap KPP atau
KPP iB dalam rangka pelaksanaan Program Perumahan Pemerintah
Pusat dan/atau Pemerintah Daerah sebagaimana dimaksud dalam
peraturan perundang‐undangan yang berlaku, sepanjang didukung
dengan dokumen yang menyatakan bahwa fasilitas kredit atau
161


pembiayaan tersebut merupakan Program Perumahan Pemerintah
Pusat dan/atau Pemerintah Daerah.

Pengaturan Down Payment Pada Kredit atau Pembiayaan
Kendaraan Bermotor
259 SE 15/40/DKMP A. Ruang lingkup KKB atau KKB iB dalam Surat Edaran Bank Indonesia ini
2013 mencakup kredit atau pembiayaan yang diberikan Bank kepada debitur
Romawi V atau nasabah untuk pembelian kendaraan bermotor.
B. DP ditetapkan sebesar persentase tertentu dari harga pembelian
kendaraan bermotor yang dibiayai oleh Bank.
DP untuk Bank yang memberikan KKB atau KKB iB sebagaimana diatur
dalam Surat Edaran Bank Indonesia ini ditetapkan sebagai berikut:
1. DP paling rendah 25% (dua puluh lima persen), untuk pembelian
kendaraan bermotor roda dua.
2. DP paling rendah 30% (tiga puluh persen), untuk pembelian
kendaraan bermotor roda tiga atau lebih untuk keperluan non
produktif.
3. DP paling rendah 20% (dua puluh persen), untuk pembelian
kendaraan bermotor roda tiga atau lebih untuk keperluan
produktif, yaitu apabila memenuhi salah satu syarat sebagai
berikut:
a. merupakan kendaraan yang memiliki izin untuk angkutan orang
atau barang yang dikeluarkan oleh pihak berwenang; atau
b. diajukan oleh perorangan atau badan hukum yang memiliki izin
usaha tertentu yang dikeluarkan oleh pihak berwenang dan
digunakan untuk mendukung kegiatan operasional dari usaha
yang dimilikinya.
C. Bank dilarang memberikan fasilitas kredit atau pembiayaan untuk
pemenuhan DP dari KKB atau KKB iB.

Tata Cara Pengenaan Sanksi
260 SE 15/40/DKMP A. Bank yang melanggar ketentuan sebagaimana dimaksud dalam butir
2013 IV.E.1, butir IV.E.2, dan butir IV.E.3 (Paragraf 258.E.1, Paragraf 258.E.2,
Romawi VI dan Paragraf 258.E.3 dalam kodifikasi ini) dikenakan sanksi administratif
sebagaimana dimaksud dalam Pasal 34 Peraturan Bank Indonesia
Nomor 5/8/PBI/2003 tentang Penerapan Manajemen Risiko bagi Bank
Umum sebagaimana telah diubah dengan Peraturan Bank Indonesia
Nomor 11/25/PBI/2009 atau Pasal 11 Peraturan Bank Indonesia Nomor
10/17/PBI/2008 tentang Produk Bank Syariah dan Unit Usaha Syariah,
berupa teguran tertulis.
B. Bank yang melanggar ketentuan sebagaimana dimaksud dalam butir
IV.C, butir IV.D, butir IV.E.4, butir IV.E.5, butir IV.F, butir V.B, dan butir
V.C (Paragraf 258.C, Paragraf 258.D, Paragraf 258.E.4, Paragraf 258.E.5,
(Paragraf 258.F, Paragraf 258.B, dan Paragraf 258.C dalam kodifikasi ini)
dikenakan sanksi administratif sebagaimana dimaksud dalam Pasal 34
Manajemen Risiko bagi Bank Umum sebagaimana telah diubah dengan
Peraturan Bank Indonesia Nomor 11/25/PBI/2009 atau Pasal 11
Peraturan Bank Indonesia Nomor 10/17/PBI/2008 tentang Produk Bank
162


Syariah dan Unit Usaha Syariah, berupa teguran tertulis dan kewajiban
menyampaikan :
1. komitmen tertulis untuk tidak melakukan pelanggaran kembali atas
ketentuan sebagaimana dimaksud dalam butir IV.C, butir IV.D, butir
IV.E.4, butir IV.E.5, butir IV.F, butir V.B dan butir V.C (Paragraf
258.C, Paragraf 258.D, Paragraf 258.E.4, Paragraf 258.E.5, Paragraf
258.F, Paragraf 258.B, dan Paragraf 258.C dalam kodifikasi ini);
2. action plan yang antara lain terdiri dari :
a. rencana perbaikan atau evaluasi terhadap Standar Operating
Procedure (SOP) termasuk batasan waktu pelaksanaan
perbaikan atau evaluasi dimaksud; dan/atau
b. upaya‐upaya untuk memastikan bahwa SOP telah efektif
dijalankan,
sesuai dengan batas waktu yang ditetapkan Bank Indonesia.
C. Dalam hal Bank :
1. tidak menyampaikan action plan atau tidak menyelesaikan action
plan sebagaimana dimaksud dalam huruf B; dan/atau
2. melakukan pelanggaran kembali atas ketentuan sebagaimana
dimaksud dalam butir IV.C, butir IV.D, butir IV.E.4, butir IV.E.5, butir
IV.F, V.B dan butir V.C (Paragraf 258.C, Paragraf 258.D, Paragraf
258.E.4, Paragraf 258.E.5, Paragraf 258.F, Paragraf 258.B, dan
Paragraf 258.C dalam kodifikasi ini) setelah action plan disampaikan
sebagaimana dimaksud dalam butir B,
dikenakan sanksi administratif sebagaimana dimaksud dalam Pasal 34
Manajemen Risiko bagi Bank Umum sebagaimana telah diubah dengan
Peraturan Bank Indonesia Nomor 11/25/PBI/2009 atau Pasal 11
Peraturan Bank Indonesia Nomor 10/17/PBI/2008 tentang Produk Bank
Syariah dan Unit Usaha Syariah.

D. Sanksi administratif sebagaimana dimaksud dalam huruf C dapat
berupa:
1. Penurunan tingkat kesehatan Bank
Penurunan tingkat kesehatan sebagaimana dimaksud dalam Surat
Edaran Bank Indonesia ini mencakup penurunan faktor penilaian
tingkat kesehatan Bank, antara lain faktor profil risiko dan/atau
faktor Good Corporate Governance (GCG);
2. Pembekuan kegiatan usaha tertentu
Pembekuan kegiatan usaha tertentu sebagaimana dimaksud dalam
Surat Edaran Bank Indonesia ini antara lain mencakup larangan
pemberian KPR atau KPR iB, KPRS atau KPRS iB, KPRuko atau
KPRuko iB, KPRukan atau KPRukan iB, KKBP atau KKBP iB dan/atau
KKB atau KKB iB untuk jangka waktu tertentu di Bank/cabang/unit
tertentu; dan/atau
3. Pencantuman Pejabat Eksekutif, anggota Direksi, anggota Dewan
Komisaris, dan/atau Pemegang Saham dalam daftar pihak‐pihak
yang mendapat predikat tidak lulus dalam penilaian kemampuan
dan kepatutan atau dalam catatan administrasi Bank Indonesia
sebagaimana diatur dalam ketentuan Bank Indonesia yang berlaku.

163


E. Pelanggaran atas kewajiban penyampaian penyesuaian kebijakan dan
prosedur sebagaimana dimaksud dalam angka VIII (Paragraf 262 dalam
kodifikasi ini) dikenakan sanksi sebagaimana dimaksud dalam Pasal 33
Peraturan Bank Indonesia Nomor 5/8/PBI/2003 tanggal 19 Mei 2003
tentang Penerapan Manajemen Risiko bagi Bank Umum sebagaimana
telah diubah dengan Peraturan Bank Indonesia Nomor 11/25/PBI/2009
tanggal 1 Juli 2009 dan Pasal 88 Peraturan Bank Indonesia Nomor
11/33/PBI/2009 tanggal 7 Desember 2009 tentang Pelaksanaan Good
Corporate Governance Bagi Bank Umum Syariah dan Unit Usaha
Syariah.

Ketentuan Lain‐Lain
261 SE 15/40/DKMP Pelaksanaan KPP iB, KKBP iB dan KKB iB oleh Bank Umum Syariah dan Unit
2013 Usaha Syariah selain memenuhi ketentuan dalam Surat Edaran Bank
Romawi VII Indonesia ini, juga wajib memenuhi Prinsip Syariah.
Ketentuan Peralihan
262 SE 15/40/DKMP Bank wajib menyesuaikan kebijakan dan prosedur tertulis pemberian KPP
2013 atau KPP iB, KKBP atau KKBP iB dan/atau KKB atau KKB iB serta
Romawi VIII menyampaikannya kepada Bank Indonesia paling lambat 1 (satu) bulan
setelah Surat Edaran Bank Indonesia ini berlaku yang dialamatkan kepada:
a. Departemen Pengawasan Bank terkait, Jl. MH Thamrin No.2, Jakarta,
Bank Indonesia; atau
b. Kantor Perwakilan Bank Indonesia Dalam Negeri setempat, bagi Bank
yang berkantor pusat di luar wilayah kerja Kantor Pusat Bank Indonesia.

164

Lampiran 1
PEDOMAN STANDAR PENERAPAN

MANAGEMEN RISIKO BAGI BANK UMUM
165
Surat Edaran Bank Indonesia Nomor 13/23/DPNP Tanggal 25 Oktober 2011
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
Lampiran 2
276
Surat Edaran Bank Indonesia Nomor 5/21/DPNP Tanggal 29 September 2003
Lampiran 2
277
278
279
280
Lampiran 3
281
Lampiran 3
282
283
284
285
Lampiran 4
286
Lampiran 4
287
288
289
290
291
Lampiran 5
292
Lampiran 5
293
294
Lampiran 6
295
Lampiran 6
296
297
Lampiran 7
298
Lampiran Surat Edaran Bank Indonesia No. 13 / / DPNP tanggal 2011 Surat Edaran Bank Indonesia Nomor 13/23/DPNP tanggal 25 Oktober 2011
Lampiran 7
LAPORAN PROFIL MATURITAS

(RUPIAH)
(dalam jutaan Rupiah)
Jatuh Tempo*)
Pos-Pos Saldo > 1 minggu s.d > 2 minggu s.d
s.d 1 minggu 2 minggu 1 bulan > 1 bln s.d 3 bln > 3 bln s.d 6 bln > 6 bln s.d 12 bln > 12 bulan
I. NERACA
A. Aset
1. Kas
2. Penempatan pada Bank Indonesia
a. SBI
b. Giro
c. Lainnya
3. Penempatan pada bank lain
4. Surat Berharga **)
a. SUN
1) diperdagangkan
2) tersedia untuk dijual
3) dimiliki hingga jatuh tempo
4) pinjaman yang diberikan dan piutang
b. Surat berharga korporasi
1) diperdagangkan
c. Lainnya
5. Kredit Yang Diberikan
a. belum jatuh tempo
b. sudah jatuh tempo ***)
6. Tagihan lainnya
a. Tagihan atas Surat Berharga yang dibeli dengan janji
dijual kembali (Reverse Repo)
b. Lainnya
7. Lain-lain
Total Aset
299 1
Lampiran Surat Edaran Bank Indonesia No. 13 / / DPNP tanggal 2011
B Kewajiban
1. Dana Pihak Ketiga
a. Giro
b. Tabungan
c. Simpanan Berjangka
1) Deposit on call
2) Deposito berjangka
3) Lainnya
2. Kewajiban kepada Bank Indonesia
3. Kewajiban kepada bank lain
4. Surat Berharga yang Diterbitkan
a. Obligasi
b. Subordinasi ****)
c. Lainnya
5. Pinjaman yang Diterima
a. Pinjaman Subordinasi ****)
b. Lainnya
6. Kewajiban lainnya
a. Kewajiban atas Surat Berharga yang dijual dengan janji
dibeli kembali (Repo)
b. Lainnya
7. Lain-lain
Total Kewajiban
Selisih Aset dengan Kewajiban dalam Neraca
300 2
II. REKENING ADMINISTRATIF
A. Tagihan Rekening Administratif
1. Komitmen
a. Fasilitas pinjaman yang belum ditarik
b. Posisi pembelian spot dan derivatif yang masih berjalan
1) Spot
2) Derivatif
c. Lainnya
2. Kontijensi *****)
Total Tagihan Rekening Administratif
B Kewajiban Rekening Administratif
1. Komitmen
a. Fasilitas kredit yang belum ditarik
b. Irrevocable L/C yang masih berjalan
c. Posisi penjualan spot dan derivatif yang masih berjalan
1) Spot
2) Derivatif
d. Lainnya
2. Kontijensi ******)
Total Kewajiban Rekening Administratif
Selisih Tagihan dan Kewajiban dalam Rekening Administratif
Selisih [(IA-IB)+(IIA-IIB)]
Selisih Kumulatif
*)
Angka-angka berdasarkan jatuh tempo sesuai dengan kontrak untuk yang memiliki jatuh tempo kontraktual dan/atau estimasi dengan menggunakan
berbagai asumsi untuk yang tidak memiliki jatuh tempo kontraktual
**)
Termasuk Surat Berharga yang dijual dengan janji dibeli kembali (Repo)
***)
Diisi berdasarkan perkiraan diperoleh pembayaran atas kredit yang berdasarkan kontrak sudah jatuh tempo
****)
Termasuk yang diperhitungkan dalam KPMM dan dilaporkan di LBU pada pos Modal Pinjaman
*****)
Yang diperkirakan akan mempengaruhi arus kas (menjadi tagihan)
******)
Yang diperkirakan akan mempengaruhi arus kas (menjadi kewajiban)
301 3
LAPORAN PROFIL MATURITAS

(VALUTA ASING)
Jatuh Tempo*)
Pos-Pos Saldo > 1 minggu s.d > 2 minggu s.d
s.d 1 minggu 2 minggu 1 bulan > 1 bln s.d 3 bln > 3 bln s.d 6 bln > 6 bln s.d 12 bln > 12 bulan
I. NERACA
A. Aset
1. Kas
4. Surat Berharga **)
a. Surat berharga korporasi
1) diperdagangkan
b. Lainnya
b. sudah jatuh tempo ***)
6. Tagihan lainnya
a. Tagiha
b. Lainnya
7. Lain-lain
Total Aset
B. Kewajiban
1. Dana Pihak Ketiga
a. Giro
b. Tabungan
1) Deposit on call
3) Lainnya
a. Obligasi
b. Subordinasi ****)
302 4
c. Lainnya
a. Pinjaman Subordinasi ****)
b. Lainnya
6. Kewajiban lainnya
a. Kewaji
b. Lainnya
7. Lain-lain
Total Kewajiban
Selisih Aset dengan Kewajiban dalam Neraca
II REKENING ADMINISTRATIF
1. Komitmen
1) Spot
2) Derivatif
c. Lainnya
2. Kontijensi *****)
Total Tagihan Rekening Administratif
B. Kewajiban Rekening Administratif

1. Komitmen
1) Spot
2) Derivatif
d. Lainnya
2. Kontijensi ******)
Total Kewajiban Rekening Administratif
Selisih Tagihan dan Kewajiban dalam Rekening Administratif
Selisih [(IA-IB)+(IIA-IIB)]
Selisih Kumulatif
303 5
Angka-angka berdasarkan jatuh tempo sesuai dengan kontrak untuk yang memiliki jatuh tempo kontraktual dan/atau estimasi dengan menggunakan berbagai
*)
asumsi untuk yang tidak memiliki jatuh tempo kontraktual
**)
Termasuk Surat Berharga yang dijual dengan janji dibeli kembali (Repo)
***)
Diisi berdasarkan perkiraan diperoleh pembayaran atas kredit yang berdasarkan kontrak sudah jatuh tempo
****)
Termasuk yang diperhitungkan dalam KPMM dan dilaporkan di LBU pada pos Modal Pinjaman
*****)
Yang diperkirakan akan mempengaruhi arus kas (menjadi tagihan)
******)
Yang diperkirakan akan mempengaruhi arus kas (menjadi kewajiban)
304 6
Lampiran 7
PEDOMAN PENGISIAN LAPORAN PROFIL MATURITAS
UMUM
A. Laporan Profil Maturitas menyajikan pos-pos aset, kewajiban, dan rekening
administratif yang dipetakan ke dalam skala waktu.
Pemetaaan dilakukan berdasarkan sisa waktu sampai dengan jatuh tempo sesuai
kontrak untuk pos neraca dan rekening administratif yang memiliki jatuh tempo
kontraktual dan/atau estimasi dengan menggunakan berbagai asumsi untuk pos
neraca dan rekening administratif yang tidak memiliki jatuh tempo kontraktual
(non maturity items).
B. Penyusunan Laporan Profil Maturitas bertujuan untuk mengidentifikasi terjadinya
gap likuiditas (selisih) dalam skala waktu tertentu. Gap likuiditas (selisih) dapat
merupakan gap (selisih) positif atau gap (selisih) negatif.
C. Laporan Profil Maturitas disusun setiap bulan untuk posisi akhir bulan yang
terdiri dari Laporan Profil Maturitas dalam rupiah dan Laporan Profil Maturitas
dalam valuta asing. Laporan Profil Maturitas dalam rupiah diisi dalam jutaan
Rupiah, sedangkan Laporan Profil Maturitas dalam valuta asing diisi dalam
ekuivalen ribuan USD. Untuk denominasi valuta asing selain USD konversi ke
dalam USD menggunakan kurs tanggal laporan.
D. Pemetaan skala waktu adalah sebagai berikut:
1. Untuk yang akan jatuh tempo sampai dengan 1 (satu) minggu yang akan
datang;
2. Untuk yang akan jatuh tempo lebih dari 1 (satu) minggu sampai dengan
2 (dua) minggu yang akan datang;
3. Untuk yang akan jatuh tempo lebih dari 2 (dua) minggu sampai dengan
1 (satu) bulan yang akan datang;
4. Untuk yang akan jatuh tempo lebih dari 1 (satu) bulan sampai dengan
3 (tiga) bulan yang akan datang;
5. Untuk yang akan jatuh tempo lebih dari 3 (tiga) bulan sampai dengan
6 (enam) bulan yang akan datang;
6. Untuk yang akan jatuh tempo lebih dari 6 (enam) bulan sampai dengan
12 (dua belas) bulan yang akan datang;
7. Untuk yang akan jatuh tempo lebih dari 12 (dua belas) bulan yang akan
datang.
305
E. Pos-pos neraca yang dimasukkan dalam Laporan Profil Maturitas adalah hanya
pos-pos dengan karakteristik memiliki arus kas masuk dan/atau arus kas keluar,
sehingga tidak seluruh pos di neraca dimasukkan dalam Laporan Profil Maturitas.
Contoh pos neraca yang tidak dimasukkan dalam Laporan Profil Maturitas antara
lain aset tetap, AYDA, properti terbengkalai, penyertaan, dan modal.
F. Dalam setiap pos neraca (aset dan kewajiban), kolom saldo harus sama dengan
jumlah dari seluruh kolom skala waktu dan sesuai dengan jumlah yang
dilaporkan di Laporan Bulanan Bank Umum.
G. Pos-pos rekening administratif yang dimasukkan dalam Laporan Profil Maturitas
adalah hanya bagian dari pos tersebut yang diperkirakan akan mempengaruhi
arus kas (menjadi tagihan atau kewajiban).
H. Dalam setiap pos rekening administratif, kolom saldo harus sama dengan jumlah
dari seluruh kolom skala waktu.
POS – POS LAPORAN DALAM RUPIAH

I. Rincian pos-pos neraca sesuai format laporan terlampir adalah sebagai berikut:
A. Aset
1. Kas
a. SBI
b. Giro
c. Lainnya
Yang dimasukkan ke dalam pos ini adalah Penempatan pada Bank
Indonesia yang tidak dapat dimasukkan atau digolongkan ke dalam
salah satu dari huruf a dan huruf b.
4. Surat Berharga
Surat Berharga yang dijual dengan janji dibeli kembali (Repo) juga
termasuk dalam pos Surat Berharga.
306
Rincian pos Surat Berharga meliputi:
a. SUN
1) diperdagangkan
b. Surat Berharga Korporasi
1) diperdagangkan
c. Lainnya
Yang dimasukkan ke dalam pos ini adalah Surat Berharga yang tidak
dapat dimasukkan atau digolongkan ke dalam salah satu dari huruf a
dan huruf b.
diisi sesuai jumlah kredit yang belum jatuh tempo berdasarkan
kontrak.
b. sudah jatuh tempo
diisi berdasarkan perkiraan diperolehnya pembayaran atas kredit
yang berdasarkan kontrak sudah jatuh tempo.
6. Tagihan Lainnya
a. Tagihan atas surat berharga yang dibeli dengan janji dijual kembali
(Reverse Repo)
b. Lainnya
Yang dimasukkan ke dalam pos ini adalah Tagihan Lainnya yang
tidak dapat dimasukkan atau digolongkan ke dalam huruf a.
307
7. Lain-lain
Yang dimasukkan ke dalam pos ini adalah aset yang tidak dapat
dimasukkan atau digolongkan ke dalam salah satu dari pos 1 sampai
dengan 6.
B. Kewajiban
1. Dana Pihak ketiga
a. Giro
b. Tabungan
1) Deposit on call
3) Lainnya
Yang dimasukkan ke dalam pos ini adalah Simpanan Berjangka
yang tidak dapat dimasukkan atau digolongkan ke dalam salah
satu dari angka 1) dan angka 2).
a. Obligasi
b. Subordinasi
Termasuk dalam pos ini adalah Surat Berharga subordinasi yang
diperhitungkan dalam KPMM dan dilaporkan di LBU pada pos
Modal Pinjaman.
c. Lainnya
Yang dimasukkan ke dalam pos ini adalah Surat Berharga yang
Diterbitkan yang tidak dapat dimasukkan atau digolongkan ke dalam
10
308
a. Pinjaman Subordinasi
Termasuk dalam pos ini adalah pinjaman subordinasi yang
Modal Pinjaman.
b. Lainnya
Yang dimasukkan ke dalam pos ini adalah Pinjaman yang Diterima
yang tidak dapat dimasukkan atau digolongkan ke dalam huruf a.
6. Kewajiban Lainnya
a. Kewajiban atas surat berharga yang dijual dengan janji dibeli
kembali (Repo)
b. Lainnya
Yang dimasukkan ke dalam pos ini adalah Kewajiban Lainnya yang
7. Lain-lain
Yang dimasukkan ke dalam pos ini adalah kewajiban yang tidak dapat
dengan 6.
Pos-pos yang tidak dijelaskan secara khusus dalam pedoman pengisian ini
mengacu pada Pedoman Laporan Bulanan Bank Umum.
II. Rincian pos-pos rekening administratif sesuai format laporan terlampir adalah
sebagai berikut:
1. Komitmen
1) Spot
2) Derivatif
Pos derivatif meliputi antara lain forward, future, swap, option.
11
309
c. Lainnya
Yang dimasukkan ke dalam pos ini adalah tagihan komitmen yang
tidak dapat dimasukkan atau digolongkan ke dalam salah satu dari
huruf a dan huruf b.
2. Kontijensi
Seluruh tagihan kontijensi yang diperkirakan akan mempengaruhi arus
kas (menjadi tagihan).

1. Komitmen
Fasilitas kredit yang belum ditarik meliputi fasilitas kepada nasabah
dan bank lain. Fasilitas tersebut juga meliputi fasilitas committed dan
uncommitted.
Irrevocable L/C yang masih berjalan meliputi LC luar negeri dan
L/C dalam negeri.
1) Spot
2) Derivatif
d. Lainnya
Yang dimasukkan ke dalam pos ini adalah kewajiban komitmen yang
huruf a sampai dengan huruf c.
2. Kontijensi
Seluruh kewajiban kontijensi yang diperkirakan akan mempengaruhi arus
kas (menjadi kewajiban).
12
310
POS-POS LAPORAN DALAM VALUTA ASING
I. Rincian pos-pos neraca sesuai format laporan terlampir adalah sebagai berikut:
A. Aset
1. Kas
4. Surat Berharga
Surat Berharga yang dijual dengan janji dibeli kembali (Repo) juga
termasuk dalam pos Surat Berharga.
Rincian pos Surat Berharga meliputi:
a. Surat Berharga Korporasi
1) diperdagangkan
b. Lainnya
Yang dimasukkan ke dalam pos ini adalah Surat Berharga yang tidak
dapat dimasukkan atau digolongkan ke dalam salah satu dari huruf a
dan huruf b
diisi untuk kredit yang belum jatuh tempo.
b. sudah jatuh tempo
diisi berdasarkan perkiraan diperolehnya pembayaran atas kredit
yang berdasarkan kontrak sudah jatuh tempo.
6. Tagihan Lainnya
a. Tagihan atas surat berharga yang dibeli dengan janji dijual kembali
(Reverse Repo).
13
311
b. Lainnya
Yang dimasukkan ke dalam pos ini adalah Tagihan Lainnya yang
7. Lain-lain
Yang dimasukkan ke dalam pos ini adalah aset yang tidak dapat
dengan 6.
B. Kewajiban
1. Dana Pihak ketiga
a. Giro
b. Tabungan
1) Deposit on call
3) Lainnya
Yang dimasukkan ke dalam pos ini adalah Simpanan Berjangka
yang tidak dapat dimasukkan atau digolongkan ke dalam salah
satu dari angka 1) dan angka 2).
a. Obligasi
b. Subordinasi
Termasuk dalam pos ini adalah Surat Berharga subordinasi yang
Modal Pinjaman.
c. Lainnya
Yang dimasukkan ke dalam pos ini adalah Surat Berharga yang
Diterbitkan yang tidak dapat dimasukkan atau digolongkan ke dalam
14
312
a. Pinjaman Subordinasi
Termasuk dalam pos ini adalah pinjaman subordinasi yang
Modal Pinjaman.
b. Lainnya
Yang dimasukkan ke dalam pos ini adalah Pinjaman yang Diterima
yang tidak dapat dimasukkan atau digolongkan ke dalam huruf a.
6. Kewajiban Lainnya
a. Kewajiban atas surat berharga yang dijual dengan janji dibeli
kembali (Repo)
b. Lainnya
Yang dimasukkan ke dalam pos ini adalah Kewajiban Lainnya yang
7. Lain-lain
Yang dimasukkan ke dalam pos ini adalah kewajiban yang tidak dapat
dengan 6.
II. Rincian pos-pos rekening administratif sesuai format laporan terlampir adalah
sebagai berikut:
A. Tagihan Rekening Admnistratif
1. Komitmen
1) Spot
2) Derivatif
15
313
c. Lainnya
Yang dimasukkan ke dalam pos ini adalah tagihan komitmen yang
huruf a dan huruf b.
2. Kontijensi
Seluruh tagihan kontijensi yang diperkirakan akan mempengaruhi arus
kas (menjadi tagihan).

1. Komitmen
Fasilitas kredit yang belum ditarik meliputi fasilitas kepada nasabah
dan bank lain. Fasilitas tersebut juga meliputi fasilitas committed dan
uncommitted.
Irrevocable L/C yang masih berjalan meliputi LC luar negeri dan
L/C dalam negeri.
1) Spot
2) Derivatif
d. Lainnya
Yang dimasukkan ke dalam pos ini adalah kewajiban komitmen yang
huruf a sampai dengan huruf c.
2. Kontijensi
Seluruh kewajiban kontijensi yang diperkirakan akan mempengaruhi arus
kas (menjadi kewajiban).
16
314
Lampiran 8
315
I. LATAR BELAKANG
1. Sistem Pengendalian Intern (SPI) yang efektif merupakan
komponen penting dalam manajemen Bank dan menjadi dasar bagi
kegiatan operasional Bank yang sehat dan aman. Sistem
Pengendalian Intern yang efektif dapat membantu pengurus Bank
menjaga aset Bank, menjamin tersedianya pelaporan keuangan dan
manajerial yang dapat dipercaya, meningkatkan kepatuhan Bank
terhadap ketentuan dan peraturan perundang-undangan yang
berlaku, serta mengurangi risiko terjadinya kerugian, penyimpangan
dan pelanggaran aspek kehati-hatian.
2. Terselenggaranya Sistem Pengendalian Intern Bank yang handal

dan efektif menjadi tanggung jawab dari pengurus dan para pejabat
Bank. Selain itu, pengurus Bank juga berkewajiban untuk
meningkatkan risk culture yang efektif pada organisasi Bank dan
memastikan hal tersebut melekat di setiap jenjang organisasi.
3. Sistem Pengendalian Intern perlu mendapat perhatian Bank,

mengingat bahwa salah satu faktor penyebab terjadinya kesulitan
usaha Bank adalah adanya berbagai kelemahan dalam
pelaksanaan Sistem Pengendalian Intern Bank, antara lain:
a. kurangnya mekanisme pengawasan, tidak jelasnya

akuntabilitas dari pengurus Bank dan kegagalan dalam
mengembangkan budaya pengendalian intern pada seluruh
jenjang organisasi;
b. kurang memadainya pelaksanaan identifikasi dan penilaian atas

risiko dari kegiatan operasional Bank;
c. tidak ada atau gagalnya suatu pengendalian pokok terhadap

kegiatan operasional Bank, seperti pemisahan fungsi, otorisasi,
verifikasi dan kaji ulang atas risk exposure dan kinerja Bank;
d. kurangnya komunikasi dan informasi antar jenjang dalam

organisasi Bank, khususnya informasi di tingkat pengambil
keputusan tentang penurunan kualitas risk exposure dan
penerapan tindakan perbaikan;
e. kurang memadai atau kurang efektifnya program audit intern

dan kegiatan pemantauan lainnya;
f. kurangnya komitmen manajemen Bank untuk melakukan proses

pengendalian intern dan menerapkan sanksi yang tegas
316
terhadap pelanggaran ketentuan yang berlaku, kebijakan dan
prosedur yang telah ditetapkan Bank.
II. RUANG LING KUP S IS TE M P ENG END ALIAN IN TER N BAN K

1. Pengertian dan Tujuan Sistem Pengendalian Intern Bank
a. Pengertian
Pengendalian intern merupakan suatu mekanisme

pengawasan yang ditetapkan oleh manajemen Bank secara
berkesinambungan (on going basis), guna:
1) menjaga dan mengamankan harta kekayaan Bank;
2) menjamin tersedianya laporan yang lebih akurat;
3) meningkatkan kepatuhan terhadap ketentuan yang berlaku;
4) mengurangi dampak keuangan/kerugian, penyimpangan

termasuk kecurangan/fraud, dan pelanggaran aspek
kehati-hatian;
5) meningkatkan efektivitas organisasi dan meningkatkan

efisiensi biaya.
b. Tujuan
1) Kepatuhan terhadap peraturan dan perundang-undangan

yang berlaku (Tujuan Kepatuhan)
Tujuan Kepatuhan adalah untuk menjamin bahwa semua

kegiatan usaha Bank telah dilaksanakan sesuai dengan
ketentuan dan peraturan perundang -undangan yang
berlaku, baik ketentuan yang dikeluarkan oleh pemerintah,
otoritas pengawasan Bank maupun kebijakan, ketentuan,
dan prosedur intern yang ditetapkan oleh Bank.
2) Tersedianya informasi keuangan dan manajemen yang

benar, lengkap dan tepat waktu (Tujuan Informasi)
Tujuan Informasi adalah untuk menyediakan laporan yang

benar, lengkap, tepat waktu dan relevan yang diperlukan
dalam rangka pengambilan keputusan yang tepat dan
dapat dipertanggungjawa bkan.
317
3) Efisiensi dan efektivitas dari kegiatan usaha Bank (Tujuan
Operasional)
Tujuan Operasional dimaksudkan untuk meningkatkan

efektivitas dan efisiensi dalam menggunakan aset dan
sumber daya lainnya dalam rangka melindungi Bank dari
risiko kerugian.
4) Meningkatkan efektivitas budaya risiko (risk culture) pada

organisasi secara menyeluruh (Tujuan Budaya Risiko)
Tujuan Budaya Risiko dimaksudkan untuk mengidentifikasi

kelemahan dan menilai penyimpangan secara dini dan
menilai kembali kewajaran kebijakan dan prosedur yang
ada di Bank secara berkesinambungan.
2. Pihak-pihak yang berkepentingan dengan Sistem

Pengendalian Intern Bank
Terselenggaranya Sistem Pengendalian Intern yang handal dan

efektif menjadi tanggung jawab semua pihak yang terlibat dalam
organisasi Bank, antara lain:
a. Dewan Komisaris
Dewan Komisaris Bank mempunyai tanggung jawab

melakukan pengawasan terhadap pelaksanaan pengendalian
intern secara umum, termasuk kebijakan Direksi yang
menetapkan pengendalian intern tersebut.
b. Direksi
Direksi Bank mempunyai tanggung jawab menciptakan dan

memelihara Sistem Pengendalian Intern yang efektif serta
memastikan bahwa sistem tersebut berjalan secara aman dan
sehat sesuai tujuan pengendalian intern yang ditetapkan Bank.
Sementara itu Direktur Kepatuhan wajib berperan aktif dalam

mencegah adanya penyimpangan yang dilakukan oleh
manajemen dalam menetapkan kebijakan berkaitan dengan
prinsip kehati -hatian.
318
c. Satuan Kerja Audit Intern (SKAI)
SKAI harus mampu mengevaluasi dan berperan aktif dalam

meningkatkan efektivitas Sistem Pengendalian Intern secara
berkesinambungan berkaitan dengan pelaksanaan operasional
Bank yang berpotensi menimbulkan kerugian dalam
pencapaian sasaran yang telah ditetapkan oleh manajemen
Bank. Disamping itu, Bank perlu memberikan perhatian kepada
pelaksanaan audit intern yang independen melalui jalur
pelaporan yang memadai, dan keahlian auditor intern
khususnya praktek dan penerapan penilaian risiko.
d. Pejabat dan pegawai Bank
Setiap pejabat dan pegawai Bank wajib memahami dan

melaksanakan Sistem Pengendalian Intern yang telah
ditetapkan oleh manajemen Bank. Pengendalian intern yang
efektif akan meningkatkan tanggung jawab pejabat dan
pegawai Bank, mendorong budaya risiko (risk culture) yang
memadai, dan mempercepat proses identifikasi terhadap
praktek perbankan yang tidak sehat dan terhadap organisasi
melalui sistem deteksi dini yang efisien.
e. Pihak-pihak ekstern
Pihak-pihak ekstern Bank antara lain otoritas pengawasan

Bank, auditor ekstern, dan nasabah Bank yang
berkepentingan terhadap terlaksananya Sistem Pengendalian
Intern Bank yang handal dan efektif.
3. Faktor Pertimbangan dalam Penyusunan Sistem Pengendalian

Intern Bank
Bank harus memiliki Sistem Pengendalian Intern yang dapat

diterapkan secara efektif, dengan memperhatikan faktor-faktor
sebagai berikut:
a. total aset;
b. jenis produk dan jasa yang ditawarkan, termasuk produk dan

jasa baru;
c. kompleksitas operasional, termasuk jaringan kantor;
d. profil risiko dari setiap kegiatan usaha;
319
e. metode yang digunakan untuk pengolahan data dan teknologi
informasi serta metodologi yang diterapkan untuk pengukuran,
pemantauan, dan pembatasan (limit) risiko; dan
f. ketentuan dan peraturan perundang -undangan yang berlaku.
4. Lingkungan Pengendalian (Control Environtment)
Lingkungan pengendalian mencerminkan keseluruhan komitmen,

perilaku, kepedulian dan langkah-langkah dewan Komisaris dan
Direksi Bank dalam melaksanakan kegiatan pengendalian
operasional Bank.
Unsur-unsur lingkungan pengendalian meliputi:
a. struktur organisasi yang memadai;
b. gaya kepemimpinan dan filosofi manajemen Bank;
c. integritas dan nilai-nilai etika serta kompetensi seluruh

pegawai;
d. kebijakan dan prosedur sumber daya manusia Bank;
e. atensi dan arahan manajemen Bank dan komite lainnya,

seperti Komite Manajemen Risiko; dan
f. faktor-faktor eksternal yang mempengaruhi operasional Bank

dan penerapan manajemen risiko.
III. ELEM EN UTAM A SISTE M PEN GEN DALIAN INTE RN BANK

Pengendalian Intern Bank terdiri dari lima elemen utama yang satu
sama lain saling berkaitan, yaitu Pengawasan oleh Manajemen dan
Kultur Pengendalian (Management Oversight and Control Culture),
Identifikasi dan Penilaian Risiko (Risk Recognition and
Assessment), Kegiatan Pengendalian dan Pemisahan Fungsi
(Control Activities and Segregation of Duties), Sistem Akuntansi,
Informasi dan Komunikasi (Accountancy, Information and
Communication), serta Kegiatan Pemantauan dan Tindakan Koreksi
Penyimpangan/Kelemahan (Monitoring Activities and Correcting
Deficiencies).
Pengendalian Intern sekurang-kurangnya mencakup lima elemen

utama, yaitu:
320
1. Pengawasan oleh Manajemen dan Kultur Pengendalian
a. Dewan Komisaris
Dewan Komisaris mempunyai tanggung jawab sebagai berikut:
1) mengesahkan dan mengkaji ulang secara berkala terhadap

kebijakan dan strategi usaha Bank secara keseluruhan;
2) memahami risiko utama yang dihadapi Bank, menetapkan

tingkat risiko yang dapat ditolerir (risk tolerance), dan
memastikan bahwa Direksi telah melakukan langkah-
langkah yang diperlukan untuk mengidentifikasi, mengukur,
memantau, dan mengendalikan risiko tersebut;
3) mengesahkan struktur organisasi;
4) memastikan bahwa Direksi telah memantau efektivitas

pelaksanaan Sistem Pengendalian Intern.
Dalam rangka memenuhi tanggung jawab tersebut, maka

dewan Komisaris:
1) harus dapat bersikap obyektif serta memiliki pengetahuan

dan kemampuan serta keingintahuan mengenai kegiatan
usaha dan risiko Bank;
2) harus berperan secara aktif untuk memastikan adanya

perbaikan terhadap permasalahan Bank yang dapat
mengurangi efektivitas Sistem Pengendalian Intern, seperti
adanya hambatan dalam arus informasi dari bawahan
kepada pimpinan dan kelemahan dalam pelaksanaan
fungsi keuangan, hukum dan audit intern;
3) secara berkala mengadakan pertemuan dengan Direksi

dan pejabat eksekutif Bank untuk membahas efektivitas
Sistem Pengendalian Intern;
4) melakukan kaji ulang terhadap hasil evaluasi pelaksanaan

pengendalian intern yang dibuat oleh Direksi, SKAI dan
auditor ekstern;
5) secara berkala melakukan upaya-upaya untuk memastikan

bahwa Direksi telah menindaklanjuti dengan tepat atas
321
temuan dan rekomendasi yang disampaikan oleh otoritas
pengawasan Bank , auditor intern dan auditor ekstern;
6) secara berkala melakukan kaji ulang terhadap validitas

strategi Bank yang telah ditetapkan.
b. Direksi
Direksi mempunyai tanggung jawab sebagai berikut:
1) melaksanakan kebijakan dan strategi yang telah disetujui

oleh dewa n Komisaris;
2) mengembangkan prosedur untuk mengidentifikasi,

mengukur, memantau, dan mengendalikan risiko yang
dihadapi Bank;
3) memelihara suatu struktur organisasi yang mencerminkan

kewenangan, tanggung jawab dan hubungan pelaporan
yang jelas;
4) memastikan bahwa pendelegasian wewenang berjalan

secara efektif yang didukung oleh penerapan akuntabilitas
yang konsisten;
5) menetapkan kebijakan dan strategi serta prosedur

pengendalian intern; dan
6) memantau kecukupan dan efektivitas dari sistem

pengendalian intern.
Dalam rangka melaksanakan tanggungjawab tersebut, Direksi

harus melakukan langkah-langkah, antara lain :
1) menugaskan para manajer/pejabat dan staf yang

bertanggungjawab dalam kegiatan atau fungsi tertentu
untuk menyusun kebijakan dan prosedur pengendalian
intern terhadap kegiatan operasional serta kecukupan
organisasi;
2) melakukan pengendalian yang efektif untuk memastikan

bahwa para manajer/pejabat dan pegawai telah
mengembangkan dan melaksanakan kebijakan dan
prosedur yang telah ditetapkan;
3) mendokumentasikan dan mensosialisasikan struktur

organisasi yang secara jelas menggambarkan jalur
322
kewenangan dan tanggung jawab pelaporan serta
menyelenggarakan suatu sistem komunikasi yang efektif
kepada seluruh jenjang organisasi Bank;
4) mengambil langkah-langkah yang tepat untuk memastikan

bahwa kegiatan fungsi pengendalian intern telah
dilaksanakan oleh manajer/pejabat dan pegawai yang
memiliki pengalaman dan kemampuan yang memadai;
5) melaksanakan secara efektif langkah perbaikan atau

rekomendasi dari auditor intern dan atau auditor ekstern,
antara lain dengan cara menugaskan pegawai yang
bertanggungjawab untuk melaksanakannya.
c. Budaya Pengendalian
Dewan Komisaris dan Direksi bertanggungjawab dalam

meningkatkan etika kerja dan integritas yang tinggi serta
menciptakan suatu kultur organisasi yang menekankan kepada
seluruh pegawai Bank mengenai pentingnya pengendalian
intern yang berlaku di Bank.
Dalam rangka menciptakan budaya pengendalian tersebut,

langkah-langkah yang harus diperhatikan dan dilakukan oleh
Bank, antara lain:
1) Dewan Komisaris dan Direksi harus menjadi role model

bagi seluruh pegawai atau memiliki komitmen pribadi yang
tinggi terhadap pengembangan Bank yang sehat;
2) Dewan Komisaris dan Direksi harus mampu mengelola

sumber daya manusia, termasuk dalam proses
penempatan pegawai yang sesuai dengan ketrampilan,
pengetahuan dan perilakunya;
3) meningkatkan kesadaran seluruh pegawai Bank mengenai

pentingnya efektivitas pelaksanaan tugas dan tanggung
jawab masing-masing dan selanjutnya pegawai
mengkomunikasikan pada pihak manajemen yang terkait
mengenai setiap permasalahan yang terjadi dalam
kegiatan operasional Bank.
Untuk mendukung budaya pengendalian tersebut maka seluruh

kebijakan, standar dan prosedur operasional harus
didokumentasikan secara tertulis dan tersedia bagi setiap
pegawai yang terkait.
323
Dalam rangka memperkuat nilai-nilai etika, Bank harus
menghindari kebijakan dan praktek yang dapat mengakibatkan
dorongan atau peluang untuk melakukan penyimpangan atau
pelanggaran, seperti penekanan pada pencapaian target
jangka pendek dengan mengabaikan dampak risiko yang
bersifat jangka panjang, sistem kompensasi yang terlalu
didasarkan kinerja jangka pendek, pemisahan fungsi yang tidak
efektif dan pengenaan sanksi yang terlalu ringan atau terlalu
berlebihan atas pelanggaran yang dilakukan.
2. Identifikasi dan Penilaian Risiko
a. Penilaian risiko merupakan suatu serangkaian tindakan yang

dilaksanakan oleh Direksi dalam rangka identifikasi, analisis
dan menilai risiko yang dihadapi Bank untuk mencapai sasaran
usaha yang ditetapkan.
b. Risiko dapat timbul atau berubah sesuai dengan kondisi Bank,

antara lain:
1) perubahan kegiatan operasional Bank;
2) perubahan susunan personalia;
3) perubahan sistem informasi;
4) pertumbuhan yang cepat pada kegiatan usaha tertentu;
5) perkembangan teknologi;
6) pengembangan jasa, produk atau kegiatan baru;
7) terjadinya penggabungan usaha (merger), konsolidasi,

akuisisi dan restrukturisasi Bank;
8) perubahan dalam sistem akuntansi;
9) ekspansi usaha;
10) perubahan hukum dan peraturan; dan
11) perubahan perilaku serta ekspektasi nasabah.
324
c. Suatu Sistem Pengendalian Intern yang efektif mengharuskan
Bank secara terus menerus mengidentifikasi dan menilai risiko
yang dapat mempengaruhi pencapaian sasaran. Penilaian
risiko harus pula dilakukan oleh auditor intern sehingga
cakupan audit yang dilakukan lebih luas dan menyeluruh.
d. Penilaian ini harus dapat mengidentifikasi jenis risiko yang

dihadapi Bank, penetapan limit risiko, dan teknik pengendalian
risiko tersebut. Metodologi penilaian risiko harus menjadi tolak
ukur untuk membuat profil risiko dalam bentuk dokumentasi
data, yang bisa dikinikan secara periodik. Penilaian risiko juga
meliputi penilaian terhadap risiko yang dapat diukur (kuantitatif)
dan tidak dapat diukur (kualitatif) maupun terhadap risiko yang
dapat dikendalikan dan tidak dapat dikendalikan, dengan
memperhatikan biaya dan manfaatnya. Selanjutnya Bank harus
memutuskan untuk mengambil risiko tersebut atau tidak
dengan cara mengurangi kegiatan usaha tertentu.
e. Penilaian tersebut harus mencakup semua risiko yang

dihadapi, baik oleh risiko individual maupun secara
keseluruhan (aggregate ), yang meliputi risiko kredit, risiko
pasar, risiko likuiditas, risiko operasional, risiko hukum, risiko
reputasi, risiko strategik, dan risiko kepatuhan.
f. Pengendalian intern perlu dikaji ulang secara tepat dalam hal

terdapat risiko yang belum dikendalikan, baik risiko yang
sebelumnya sudah ada maupun risiko yang baru muncul.
Pelaksanaan kaji ulang tersebut antara lain dengan melakukan
evaluasi secara terus menerus mengenai pengaruh dari setiap
perubahan lingkungan dan kondisi serta dampak dari
pencapaian target atau efektivitas pengendalian intern dalam
kegiatan operasi dan organisasi Bank.
3. Kegiatan Pengendalian dan Pemisahan Fungsi
Kegiatan pengendalian harus melibatkan seluruh pegawai Bank,

termasuk Direksi. Oleh karena itu kegiatan pengendalian akan
berjalan efektif apabila direncanakan dan diterapkan guna
mengendalikan risiko yang telah diidentifikasi. Kegiatan
pengendalian mencakup pula penetapan kebijakan dan prosedur
pengendalian serta proses verifikasi lebih dini untuk memastikan
bahwa kebijakan dan prosedur tersebut secara konsisten dipatuhi,
serta merupakan kegiatan yang tidak terpisahkan dari setiap fungsi
atau kegiatan Bank sehari-hari.
10
325
a. Kegiatan Pengendalian
Kegiatan pengendalian meliputi kebijakan, prosedur dan

praktek yang memberikan keyakinan pejabat dan pegawai
Bank bahwa arahan dewan Komisaris dan Direksi Bank telah
dilaksanakan secara efektif. Kegiatan pengendalian tersebut
akan dapat membantu Direksi termasuk Komisaris Bank dalam
mengelola dan mengendalikan risiko yang dapat
mempengaruhi kinerja atau mengakibatkan kerugian Bank.
Kegiatan pengendalian diterapkan pada semua tingkatan

fungsional sesuai struktur organisasi Bank, yang sekurang-
kurangnya meliputi:
1) Kaji Ulang Manajemen (Top Level Reviews )
Direksi Bank secara berkala meminta penjelasan

(informasi) dan laporan kinerja operasional dari pejabat dan
staf sehingga memungkinkan untuk mengkaji ulang hasil
kemajuan (realisasi) dibandingkan dengan target yang akan
dicapai, seperti laporan keuangan dibandingkan dengan
rencana anggaran yang ditetapkan. Berdasarkan kaji ulang
tersebut, Direksi segera mendeteksi permasalahan seperti
kelemahan pengendalian, kesalahan laporan keuangan
atau penyimpangan lainnya (fraud).
2) Kaji Ulang Kinerja Operasional (Functional Review)
Kaji ulang ini dilaksanakan oleh SKAI dengan frekuensi

yang lebih tinggi, baik kaji ulang secara harian, mingguan,
maupun bulanan.
a) melakukan kaji ulang terhadap penilaian risiko (laporan

profil risiko) yang dihasilkan oleh satuan kerja
manajemen risiko;
b) menganalisis data operasional, baik data yang terkait

dengan risiko maupun data keuangan, yaitu melakukan
verifikasi rincian dan kegiatan transaksi dibandingkan
11
326
dengan output (laporan) yang dihasilkan oleh satuan
kerja manajemen risiko; dan
c) melakukan kaji ulang terhadap realisasi pelaksanaan

rencana kerja dan anggaran, guna :
(1) mengidentifikasi penyebab penyimpangan yang

signifikan;
(2) menetapkan persyaratan untuk tindakan perbaikan

(correctiv e actions).
3) Pengendalian Sistem Informasi
a) Bank melaksanakan verifikasi terhadap akurasi dan

kelengkapan dari transaksi dan melaksanakan prosedur
otorisasi, sesuai dengan ketentuan intern.
b) Kegiatan pengendalian sistem informasi dapat

digolongkan dalam dua kriteria, yaitu pengendalian
umum dan pengendalian aplikasi.
(1) Pengendalian umum meliputi pengendalian

terhadap operasional pusat data, sistem pengadaan
dan pemeliharaan software, pengamanan akses,
serta pengembangan dan pemeliharaan sistem
aplikasi yang ada. Pengendalian umum ini
diterapkan terhadap mainframe, server, dan users
workstation, serta jaringan internal - eksternal.
(2) Pengendalian aplikasi diterapkan terhadap program

yang digunakan Bank dalam mengolah transaksi
dan untuk memastikan bahwa semua transaksi
adalah benar, akurat dan telah diotorisasi secara
benar. Selain itu, pengendalian aplikasi harus dapat
memastikan tersedianya proses audit yang efektif
dan untuk mengecek kebenaran proses audit
dimaksud.
4) Pengendalian Aset Fisik (Physical Controls)
a) Pengendalian aset fisik dilaksanakan untuk menjamin

terselenggaranya pengamanan fisik terhadap aset
Bank.
12
327
b) Kegiatan ini meliputi pengamanan aset, catatan dan
akses terbatas terhadap program komputer dan file
data, serta membandingkan nilai aktiva dan pasiva
Bank dengan nilai yang tercantum pada catatan
pengendali, khususnya pengecekan nilai aktiva secara
berkala.
5) Dokumentasi
a) Bank sekurang-kurangnya memformalkan dan

mendokumentasikan kebijakan, prosedur, sistem dan
standar akuntansi serta proses audit secara memadai.
b) Dokumen tersebut harus diperbarui secara berkala

guna menggambarkan kegiatan operasional Bank
secara aktual, dan harus diinformasikan kepada pejabat
dan pegawai.
c) Atas suatu permintaan, dokumen harus senantiasa

tersedia untuk kepenting an auditor intern, akuntan
publik dan otoritas pengawasan Bank Indonesia.
d) Akurasi dan ketersediaan dokumen harus dinilai oleh

auditor intern ketika melakukan audit rutin maupun non
rutin.
b. Pemisahan Fungsi
1) Pemisahan fungsi dimaksudkan agar setiap orang dalam

jabatannya tidak memiliki peluang untuk melakukan dan
menyembunyikan kesalahan atau penyimpangan dalam
pelaksanaan tugasnya pada seluruh jenjang organisasi dan
seluruh langkah kegiatan operasional. Bank harus
mematuhi prinsip pemisahan fungsi ini, yang dikenal
sebagai “Four-Eyes Principle”.
2) Apabila diperlukan, karena perubahan karakteristik

kegiatan usaha dan transaksi serta organisasi Bank,
Direksi Bank wajib menetapkan prosedur (kewenangan),
termasuk penetapan daftar petugas yang dapat mengakses
suatu transaksi atau kegiatan usaha yang berisiko tinggi.
3) Sistem Pengendalian Intern yang efektif mensyaratkan

adanya pemisahan fungsi dan menghindari pemberian
wewenang dan tanggung jawab yang dapat menimbulkan
berbagai benturan kepentingan (conflict of interest).
13
328
Seluruh aspek yang dapat menimbulkan pertentangan
kepentingan tersebut harus diidentifikasi, diminimalisir, dan
dipantau secara hati-hati oleh pihak lain yang independen,
seperti Akuntan Publik.
4) Dalam pelaksanaan pemisahan fungsi tersebut, Bank harus

melakukan langkah-langkah, antara lain:
a) menetapkan fungsi atau tugas tertentu pada Bank yang

harus dipisahkan atau dialokasikan kepada beberapa
orang dalam rangka mengurangi risiko terjadinya
manipulasi data keuangan atau penyalahgunaan aset
Bank;
b) pemisahan fungsi tersebut tidak terbatas pada kegiatan

front dan back office, tetapi juga dalam rangka
pengendalian terhadap:
(1) persetujuan atas pengeluaran dana dan realisasi

pengeluaran;
(2) rekening nasabah dan rekening pemilik Bank;
(3) transaksi dalam pembukuan Bank;
(4) pemberian informasi kepada nasabah Bank;
(5) penilaian terhadap kecukupan dokumentasi

perkreditan dan pemantauan debitur setelah
pencairan kredit;
(6) kegiatan usaha lainnya yang dapat menimbulkan

benturan kepentingan yang signifikan;
(7) independensi fungsi manajemen risiko pada Bank.
4. Sistem Akuntansi, Informasi dan Komunikasi
Sistem akuntansi, informasi dan komunikasi yang memadai

dimaksudkan agar dapat mengidentifikasi masalah yang mungkin
timbul dan digunakan sebagai sarana tukar menukar informasi
dalam rangka pelaksanaan tugas sesuai dengan tanggung
jawabnya masing-masing.
a. Sistem Akuntansi
14
329
1) Sistem Akuntansi meliputi metode dan catatan dalam
rangka mengidentifikasi, mengelompokkan, menganalisis,
mengklasifikasi, mencatat/membukukan dan melaporkan
transaksi Bank.
2) Untuk menjamin data akunting yang akurat dan konsisten

dengan data yang tersedia berdasarkan hasil olahan sistem
maka proses rekonsiliasi antara data akunting dan sistem
informasi manajemen wajib dilaksana kan secara berkala
atau sekurang-kurangnya setiap bulan. Setiap
penyimpangan yang terjadi wajib segera diinvestigasi dan
diatasi permasalahannya. Proses rekonsiliasi juga wajib
didokumentasikan sebagai bagian dari persyaratan proses
jejak audit secara keseluruhan.
b. Sistem Informasi
1) Sistem Informasi harus dapat menghasilkan laporan

mengenai kegiatan usaha, kondisi keuangan, penerapan
manajemen risiko dan pemenuhan ketentuan yang
mendukung pelaksanaan tugas dewan Komisaris dan
Direksi.
2) Sistem pengendalian intern yang efektif sekurang-

kurangnya menyediakan data/informasi internal yang cukup
dan menyeluruh mengenai keuangan, kepatuhan Bank
terhadap ketentuan dan peraturan yang berlaku, informasi
pasar (kondisi eksternal) dan setiap kejadian serta kondisi
yang diperlukan dalam rangka pengambilan keputusan
yang tepat dan dapat dipertanggungjawabkan.
3) Sistem Pengendalian Intern sekurang-kurangnya

menyediakan sistem informasi yang dapat dipercaya
mengenai seluruh aktivitas fungsional Bank, terutama
aktivitas fungsional yang signifikan dan memiliki potensi
risiko tinggi. Sistem informasi tersebut, termasuk sistem
penyimpanan dan penggunaan data elektronik, harus
dijamin keamanannya, dipantau oleh pihak yang
independen (auditor intern) dan didukung oleh program
kontinjensi yang memadai.
4) Bank sekurang-kurangnya mengorganisasikan suatu

rencana pemulihan darurat (contingency recovery plan) dan
sistem back-up untuk mencegah kegagalan usaha yang
berisiko tinggi. Prosedur, proses, dan sistem back-up harus
15
330
didokumentasikan dan dinilai kembali efektivitasnya secara
berkala. Untuk memastikan bahwa seluruh rencana dan
proses pemulihan darurat (contingency recovery plan) dan
sistem back-up telah bekerja secara efektif maka
pelaksanaan proses dan sistem tersebut harus
didokumentasikan dan diuji secara berkala. Bank harus
mendokumentasikan pelaksanaan pengujian berkala
tersebut dan Direksi Bank memberikan perhatian yang
penuh terhadap temuan kelemahan pada sistem yang
didasarkan atas pengujian tersebut serta selanjutnya
mengambil langkah perbaikan yang diperlukan.
5) Bank sekurang-kurangnya memiliki dan memelihara sistem

informasi manajemen yang diselenggarakan, baik dalam
bentuk elektronik maupun bukan elektronik. Mengingat
bahwa sistem informasi elektronik dan penggunaan
teknologi informasi tersebut mempunyai dampak risiko
maka Bank harus mengendalikannya secara efektif guna
menghindari adanya gangguan usaha dan kemungkinan
timbulnya kerugian Bank yang signifikan.
6) Khususnya yang berkaitan pengendalian intern terhadap

penyelenggaraan sistem dan teknologi informasi, Bank
harus memperhatikan hal-hal sebagai berikut:
a) ketersediaan bukti dan dokumen yang memadai dalam

rangka mendukung proses jejak audit (audit trail).
Proses jejak audit tersebut harus dilaksanakan secara
efektif dan didokumentasikan untuk memastikan bahwa
proses otomasi telah bekerja secara efektif dan akurat.
SKAI wajib melakukan penilaian terhadap efektivitas
dan akurasi proses jejak audit tersebut ketika
melakukan evaluasi pelaksanaan pengendalian intern
Bank;
b) pelaksanaan pengendalian terhadap sistem komputer

dan pengamanannya (general controls) maupun
pengendalian terhadap aplikasi software dan prosedur
manual lainnya (application controls);
c) antisipasi terjadinya risiko gangguan atau kerugian

yang disebabkan oleh faktor-faktor yang berada di luar
16
331
jangkauan pengendalian rutin Bank sehingga Bank
harus menyelenggarakan sistem pemulihan (recovery)
dan rencana kontinjensi serta pengecekan secara
berkala atas kemungkinan terjadinya hal-hal yang sulit
diprediksi sebelumnya (disaster and recovery plan).
d) Sistem informasi harus menyediakan data dan

informasi yang relevan, akurat, tepat waktu, dapat
diakses oleh pihak yang berkepentingan dan disajikan
dalam format yang konsisten.
e) sebagai bagian dari proses pencatatan atau

pembukuan, sistem informasi harus didukung oleh
sistem akuntansi yang baik termasuk penetapan
prosedur dan jadwal retensi pencatatan transaksi.
c. Sistem Komunikasi
1) Sistem komunikasi harus mampu memberikan informasi

kepada seluruh pihak, baik intern maupun ekste rn, seperti
otoritas pengawasan Bank, auditor ekstern, pemegang
saham dan nasabah Bank.
2) Sistem Pengendalian Intern Bank harus memastikan

adanya saluran komunikasi yang efektif agar seluruh
pejabat/pegawai Bank sepenuhnya memahami dan
mematuhi kebijakan dan prosedur yang berlaku dalam
melaksanakan tugas dan tanggungjawabnya.
3) Direksi Bank harus menyelenggarakan saluran/jalur

komunikasi yang efektif agar informasi yang diperlukan
terjangkau oleh pihak yang berkepentingan. Persyaratan ini
berlaku untuk setiap informasi, baik mengenai kebijakan
dan prosedur yang telah ditetapkan, eksposur risiko dan
transaksi aktual maupun mengenai kinerja operasional
Bank.
4) Struktur organisasi Bank harus memungkinkan adanya arus

informasi yang memadai, yaitu informasi ke atas, ke bawah
dan lintas satuan kerja/unit:
a) informasi ke atas untuk memastikan bahwa dewan

Komisaris, Direksi dan pejabat eksekutif Bank
mengetahui risiko dan kinerja operasional Bank.
17
332
Saluran informasi ini harus dapat merespon untuk
pelaksanaan langkah-langkah perbaikan dan dapat
diketahui oleh jajaran manajemen.
b) informasi ke bawah untuk memastikan bahwa tujuan,

strategi dan ekspektasi Bank serta kebijakan dan
prosedur yang berlaku telah dikomunikasikan kepada
para manajer di tingkat bawah dan para pelaksana.
c) informasi lintas satuan kerja/unit untuk memastikan

bahwa informasi yang diketahui oleh suatu satuan kerja
tertentu dapat disampaikan kepada satuan kerja lain
yang terkait, khususnya untuk mencegah benturan
kepentingan dalam pengambilan keputusan dan untuk
menciptakan koordinasi yang memadai.
5. Kegiatan Pemantauan dan Tindakan Koreksi Penyimpangan
a. Kegiatan Pemantauan
1) Bank harus melakukan pemantauan secara terus menerus

terhadap efektivitas keseluruhan pelaksanaan
pengendalian intern. Pemantauan terhadap risiko utama
Bank harus diprioritaskan dan berfungsi sebagai bagian
dari kegiatan Bank sehari-hari termasuk evaluasi secara
berkala, baik oleh satuan-satuan kerja operasional maupun
oleh Satuan Kerja Audit Intern (SKAI).
2) Bank harus memantau dan mengevaluasi kecukupan

Sistem Pengendalian Intern secara terus menerus
berkaitan dengan adanya perubahan kondisi intern dan
ekstern serta harus meningkatkan kapasitas sistem
pengendalian intern tersebut agar efektivitasnya dapat
ditingkatkan.
3) Langkah-langkah yang harus dilakukan oleh Bank dalam

rangka terselenggaranya kegiatan pemantauan yang efektif,
sekurang-kurangnya adalah:
a) memastikan bahwa fungsi pemantauan telah ditetapkan

secara jelas dan terstruktur dengan baik dalam
organisasi Bank;
18
333
b) menetapkan satuan kerja/pegawai yang ditugaskan
untuk memantau efektivitas pengendalian intern;
c) menetapkan frekuensi yang tepat untuk kegiatan

pemantauan yang didasarkan pada risiko yang melekat
pada Bank dan sifat/frekuensi perubahan yang terjadi
dalam kegiatan operasional;
d) mengintegrasikan Sistem Pengendalian Intern ke dalam

kegiatan operasional dan menyediakan laporan rutin
seperti jurnal pembukuan, management review dan
laporan mengenai persetujuan atas eksepsi/
penyimpangan dari kebijakan dan prosedur yang
ditetapkan (justifikasi atas irregularities) yang
selanjutnya dilakukan kaji ulang;
e) melakukan kaji ulang terhadap dokumentasi dan hasil

evaluasi dari satuan kerja/pegawai yang ditugaskan
untuk melakukan pemantauan;
f) menetapkan informasi/feed back dalam suatu format

dan frekuensi yang tepat.
b. Fungsi SKAI
1) Bank harus menyelenggarakan audit intern yang efektif dan

menyeluruh terhadap sistem pengendalian intern.
Pelaksanaan audit intern tersebut yang dilaksanakan oleh
SKAI harus didukung oleh tenaga auditor yang independen,
kompeten, dan memiliki jumlah yang memadai.
2) Sebagai bagian dari Sistem Pengendalian Intern, SKAI

harus melaporkan hasil temuannya secara langsung
kepada dewan Komisaris atau Komite Audit (apabila ada),
Direktur Utama, dan Direktur Kepatuhan.
3) SKAI harus melakukan penilaian yang independen

mengenai kecukupan dari dan kepatuhan Bank terhadap
kebijakan dan prosedur yang telah ditetapkan.
4) Dalam menetapkan kedudukan, wewenang, tanggung

jawab, profesionalisme, organisasi dan ruang lingkup tu gas
SKAI maka Bank wajib berpedoman pula kepada ketentuan
Bank Indonesia yang berlaku tentang Direktur Kepatuhan
(Compliance Director) dan Standar Pelaksanaan Fungsi
Audit Intern (SPFAIB).
19
334
c. Perbaikan Kelemahan dan Tindakan Koreksi Penyimpangan
1) Kelemahan dalam pengendalian intern, baik yang

diidentifikasi oleh satuan kerja operasional (risk taking unit),
SKAI maupun pihak lainnya, harus segera dilaporkan
kepada dan menjadi perhatian pejabat atau Direksi yang
berwenang. Kelemahan pengendalian intern yang material
harus juga dilaporkan kepada dewan Komisaris.
2) Langkah-langkah perbaikan yang harus dilakukan Bank

dalam rangka memperbaiki kelemahan pengendalian
intern, antara lain:
a) setiap laporan mengenai kelemahan dalam

pengendalian intern atau tidak efektifnya pengendalian
risiko Bank harus segera ditindaklanjuti oleh dewan
Komisaris, Direksi dan pejabat eksekutif terkait;
b) SKAI harus melakukan kaji ulang atau langkah

pemantauan lainnya yang memadai terhadap
kelemahan yang terjadi dan segera melaporkan kepada
dewan Komisaris, Komite Audit (apabila ada), dan
Direktur Utama dalam hal masih terdapat kelemahan
yang belum diperbaiki atau tindakan korektif belum
ditindaklanjuti;
c) untuk memastikan bahwa seluruh kelemahan segera

ditindaklanjuti maka Direksi harus menciptakan suatu
sistem yang dapat menelusuri kelemahan pada
pengendalian intern dan mengambil langkah perbaikan;
d) dewan Komisaris dan Direksi harus menerima laporan

secara berkala berupa ikhtisar mengenai hasil
identifikasi seluruh permasalahan dalam pengendalian
intern.
IV. LAIN -LAIN
Dalam penerapan pengendalian intern, Bank wajib pula

memperhatikan aspek-aspek pengendalian intern yang ditetapkan
dalam ketentuan Bank Indonesia lainnya, antara lain sebagaimana
diatur dalam:
20
335
dan Surat Edaran Bank Indonesia Nomor 27/7/UPPB masing-
masing tanggal 31 Maret 1995 tentang Kewajiban Penyusunan
dan Pelaksanaan Kebijaksanaan Perkreditan Bagi Bank Umum;

masing tanggal 31 Maret 1995 tentang Penggunaan Teknologi
Sistem Informasi oleh Bank;

dan Surat Edaran Bank Indonesia Nomor 28/13/UD masing-
masing tanggal 29 Desember 1995 tentang Transaksi Derivatif;

masing tanggal 12 November 1998 tentang Restrukturisasi Kredit
sebagaimana telah diubah dengan Peraturan Bank Indonesia
Nomor 2/15/PBI/2000 tanggal 12 Juni 2000;

September 1999 tentang Penugasan Direktur Kepatuhan
(Compliance Director) dan Standard Pelaksanaan Fungsi Audit
Intern Bank (SPFAIB);
6. Peraturan Bank Indonesia Nomor 3/10/PBI/2001 tanggal 18 Juni

2001 tentang Penerapan Prinsip Mengenal Nasabah (Know Your
Customer Principles) sebagaimana telah diubah dengan Peraturan
Bank Indonesia Nomor 3/23/PBI/2001 tanggal 1 3 Desember 2001;

Desember 2001 perihal Pedoman Standar Penerapan Prinsip
Mengenal Nasabah;

Desember 2001 tentang Transparansi Kondisi Keuangan Bank;
9. Peraturan Bank Indonesia Nomor 5/10/PBI/2003 tanggal 11 Juni

2003 tentang Prinsip Kehati-hatian dalam Kegiatan Penyertaan
Modal;
10. Surat Edaran Bank Indonesia Nomor 5/ 21 /DPNP tanggal 29

September 2003 perihal Penerapan Manajemen Risiko bagi Bank
Umum.
21
336
Lampiran 9
337
Surat Edaran Bank Indonesia Nomor 6/18/DPNP Tanggal 20 April 2004
I. PENDAHULUAN
Perkembangan teknologi informasi telah mempengaruhi kebijakan dan

strategi dunia usaha perbankan yang selanjutnya lebih mendorong inovasi
dan persaingan di bidang layanan terutama jasa layanan pembayaran
melalui Bank. Inovasi jasa layanan perbankan yang berbasis teknologi
tersebut terus berkembang mengikuti pola kebutuhan nasabah Bank.
Transaksi perbankan berbasis elektronis, termasuk internet merupakan salah
satu bentuk pengembangan penyediaan jasa layanan Bank yang
memberikan peluang usaha baru bagi Bank yang berakibat kepada
perubahan strategi usaha perbankan, dari berbasis manusia (tradisional)
menjadi berbasis teknologi informasi yang lebih efisien bagi Bank dan praktis
bagi nasabah.
Namun demikian, disamping Bank memperoleh manfaat signifikan dari

inovasi teknologi melalui transaksi perbankan berbasis internet tersebut,
Bank juga menghadapi risiko yang melekat pada kegiatan dimaksud, antara
lain risiko strategik, risiko reputasi, risiko operasional termasuk risiko
keamanan dan risiko hukum, risiko kredit, risiko pasar dan risiko likuiditas.
Internet banking pada dasarnya tidak menimbulkan risiko baru yang berbeda
dari produk layanan jasa perbankan melalui media lain, tetapi disadari bahwa
internet banking meningkatkan risiko tersebut. Secara khusus internet
banking meningkatkan risiko strategik, risiko operasional termasuk risiko
keamanan dan risiko hukum serta risiko reputasi. Oleh karena itu, disamping
memanfaatkan peluang baru tersebut, Bank harus mengidentifikasi,
mengukur, memantau dan mengendalikan risiko-risiko tersebut dengan
prinsip kehati-hatian.
Pada dasarnya prinsip-prinsip yang diterapkan dalam manajemen risiko

Bank secara umum berlaku pula untuk aktivitas internet banking, namun
prinsip-prinsip tersebut perlu disesuaikan dengan memperhatikan risiko-risiko
spesifik yang melekat pada aktivitas tersebut. Berdasarkan hal tersebut,
prinsip manajemen risiko internet banking dibagi dalam tiga bagian yang
tidak terpisahkan dan saling melengkapi yaitu pengawasan aktif komisaris
dan direksi Bank, pengendalian pengamanan, serta manajemen risiko hukum
dan risiko reputasi sebagai berikut:
1. Pengawasan Aktif Komisaris dan Direksi Bank
Mengingat Komisaris dan Direksi Bank bertanggung jawab dalam

mengembangkan strategi bisnis Bank serta menetapkan pengawasan
manajemen yang efektif atas risiko maka penyelenggaraan aktivitas
internet banking harus didasarkan atas kebijakan tertulis yang informatif
dan jelas yang ditetapkan oleh Komisaris dan Direksi Bank. Pengawasan
manajemen yang efektif meliputi antara lain persetujuan dan kaji ulang
terhadap aspek utama dari proses pengendalian pengamanan Bank.
1
338
2. Pengendalian Pengamanan
Proses pengendalian pengamanan memerlukan perhatian khusus dari

manajemen karena adanya risiko pengamanan yang meningkat yang
ditimbulkan oleh aktivitas internet banking. Sehubungan dengan itu,
Bank perlu melakukan pengujian identitas nasabah, pengujian keaslian
transaksi, penerapan prinsip pemisahan tugas, pengendalian terhadap
penggunaan hak akses terhadap sistem, dan perlindungan terhadap
integritas data maupun kerahasiaan informasi penting pada internet
banking.
3. Manajemen Risiko Hukum dan Risiko Reputasi
Untuk melindungi Bank dari risiko hukum dan risiko reputasi, pelayanan
jasa internet banking harus dilaksanakan secara konsisten dan tepat
waktu sesuai dengan harapan nasabah. Agar dapat memenuhi harapan
nasabah, Bank harus memiliki kapasitas, kontinuitas usaha dan
perencanaan darurat yang efektif. Mekanisme penanganan kejadian
(incident response mechanism) yang efektif juga sangat penting untuk
meminimalkan risiko operasional, risiko hukum dan risiko reputasi yang
timbul dari kejadian yang tidak diharapkan. Selain itu Bank perlu
memahami dan mengelola risiko yang timbul dari hubungan Bank
dengan pihak ketiga dalam menyelenggarakan internet banking.
II. POKOK-POKOK PENERAPAN MANAJEMEN RISIKO – INTERNET

BANKING
1. Pengawasan Aktif Komisaris dan Direksi Bank
a. Komisaris dan Direksi harus melakukan pengawasan yang efektif

terhadap risiko yang terkait dengan aktivitas internet banking,
termasuk penetapan akuntabilitas, kebijakan, dan proses
pengendalian untuk mengelola risiko tersebut.
1) Komisaris harus menyetujui kebijakan yang terkait dengan

aktivitas internet banking dan mengevaluasi pelaksanaan
kebijakan internet banking yang disampaikan oleh Direksi.
2) Direksi harus melakukan kaji ulang terhadap rencana pelaksanaan

internet banking yang berpotensi memiliki dampak yang signifikan
terhadap strategi dan profil risiko Bank termasuk analisa cost and
benefit dari rencana internet banking tersebut.
3) Direksi harus memastikan bahwa Bank pada saat memasuki

aktivitas internet banking telah memiliki manajemen risiko yang
memadai. Selain itu Direksi harus memastikan bahwa pejabat
atau pegawai yang terkait dengan aktivitas internet banking
memiliki kompetensi dalam aplikasi dan teknologi pendukung
2
339
internet banking Bank.
4) Direksi harus melakukan pemantauan secara berkala terhadap

risiko reputasi yang melekat pada internet banking, dan
melaporkan hasil pemantauan tersebut kepada Komisaris.
5) Direksi harus memastikan bahwa proses manajemen risiko

aktivitas internet banking Bank terintegrasi ke dalam manajemen
risiko Bank secara keseluruhan.
6) Dalam melakukan pengawasan manajemen risiko Direksi harus:
a) menetapkan limit risiko dalam kaitannya dengan internet

banking dengan memperhatikan risk appetite Bank;
b) menetapkan delegasi wewenang dan mekanisme pelaporan,

termasuk prosedur yang diperlukan untuk kejadian yang
berdampak pada kondisi keuangan dan reputasi Bank;
c) memperhatikan faktor-faktor risiko yang secara khusus

berhubungan dengan keamanan, integritas dan ketersediaan
jasa internet banking;
d) memastikan bahwa uji tuntas (due dilligence) dan analisis

risiko yang memadai telah dilaksanakan sebelum Bank
melakukan aktivitas internet banking secara cross-border.
b. Direksi harus menyetujui dan melakukan kaji ulang terhadap aspek

utama dari prosedur pengendalian pengamanan Bank.
1) Direksi harus mengawasi pengembangan dan pemeliharaan

secara kontinyu terhadap infrastruktur pengendalian pengamanan
yang melindungi sistem dan data internet banking dari gangguan
internal dan eksternal.
2) Direksi harus memastikan bahwa Bank memiliki kebijakan dan

prosedur pengamanan yang menyeluruh untuk menangani potensi
gangguan pengamanan internal dan eksternal, baik dalam bentuk
tindakan pencegahan maupun penanganan kejadian (gangguan)
tersebut. Prosedur pengamanan tersebut antara lain meliputi:
a) penugasan tanggung jawab kepada pejabat atau pegawai

Bank untuk mengawasi penyusunan kebijakan pengamanan
Bank;
b) pengendalian fisik yang memadai untuk mencegah

unauthorized physical access terhadap ruang computer;
3
340
c) prosedur pengendalian logik dan pemantauan yang memadai
untuk mencegah unauthorized access internal dan eksternal
terhadap aplikasi dan database internet banking;
d) kaji ulang dan pengujian secara berkala terhadap langkah-

langkah pengendalian pengamanan.
3) Untuk mendukung prosedur pengendalian pengamanan pada

penyelenggaraan internet banking, maka Bank harus
memperhatikan hal-hal sebagai berikut:
a) Bank harus menyusun dan memelihara profil pengamanan

serta menetapkan hak otorisasi yang specifik (specific
authorization privileges) bagi para pengguna sistem dan
aplikasi internet banking seperti nasabah, satuan
kerja/petugas Bank dan penyedia jasa (outsourcing);
b) Bank harus mengklasifikasikan data dan sistem internet

banking berdasarkan sensitivitas, kepentingan dan tingkat
perlindungannya, antara lain dengan menetapkan mekanisme
yang tepat seperti enkripsi, pengendalian terhadap akses, dan
rencana pemulihan data guna melindungi seluruh sistem,
server, database dan aplikasi internet banking yang sensitif
dan berisiko tinggi;
c) penyimpanan data yang sensitif atau berisiko tinggi pada

sistem komputer Bank (desktop dan laptop) harus
diminimalkan dan dilindungi oleh enkripsi, pengendalian
terhadap akses, dan rencana pemulihan data;
d) kunci-kunci (keys) yang digunakan untuk keperluan enkripsi

harus disimpan secara aman sehingga tidak ada satu orang
pun yang secara utuh mengetahui kombinasi kunci-kunci
tersebut;
e) Bank harus memiliki pengendalian fisik yang memadai guna

mencegah (unauthorized access) terhadap sistem, server,
database dan aplikasi internet banking;
f) Bank harus menerapkan berbagai metode dan teknik yang

tepat untuk mengurangi ancaman eksternal terhadap sistem
internet banking, seperti:
i. perangkat lunak virus scanning untuk seluruh entry point

dan masing-masing sistem komputer (desktop);
ii. perangkat lunak dan perangkat penilaian sistem

pengamanan lain secara berkala untuk mendeteksi
penyusupan;
4
341
iii. pengujian penetrasi (penetration testing) terhadap jaringan
internal dan eksternal harus dilakukan secara berkala
sekurang-kurangnya 1 (satu) tahun sekali.
2. Pengendalian Pengamanan (Security Control)
a. Bank harus melakukan langkah-langkah yang memadai untuk

menguji keaslian (otentikasi) identitas dan otorisasi terhadap
nasabah yang melakukan transaksi melalui internet banking.
1) Bank harus menggunakan metode yang dapat diandalkan

(reliable) untuk proses verifikasi identitas dan otorisasi nasabah
baru serta proses pengujian keaslian identitas dan otorisasi
nasabah lama.
2) Bank harus memiliki kebijakan dan prosedur tertulis untuk

memastikan bahwa Bank mampu menguji keaslian identitas dan
otorisasi dari nasabah. Bank dapat menggunakan berbagai
metode untuk pengujian keaslian seperti personal identification
number (PIN), password, dan sertifikat digital.
3) Bank harus menetapkan metode pengujian keaslian yang

didasarkan atas penilaian manajemen terhadap risiko yang
dihadapi oleh aktivitas internet banking. Penilaian risiko ini juga
harus mengevaluasi kemampuan transaksi pada sistem internet
banking seperti transfer dana, pembayaran tagihan, dan
penarikan kredit, serta menilai sensitivitas dan nilai data yang
disimpan, dan kemudahan nasabah untuk menggunakan metode
pengujian keaslian.
4) Bank harus memantau dan menerapkan praktek internet banking

yang sehat untuk memastikan bahwa:
a) database pengujian keaslian yang menyediakan akses

kepada rekening nasabah pada internet banking dilindungi
dari gangguan dan perusakan;
b) setiap penambahan, penghapusan atau perubahan database

pengujian keaslian telah dengan tepat diotorisasi oleh pihak
yang berwenang;
c) terdapat sarana pengendalian yang tepat terhadap sistem

internet banking sehingga pihak ketiga yang tak dikenal
tidak bisa menggantikan nasabah yang telah dikenal.
5
342
b. Bank harus menggunakan metode pengujian keaslian transaksi
untuk menjamin bahwa transaksi tidak dapat diingkari oleh nasabah
(non repudiation) dan menetapkan tanggung jawab dalam transaksi
internet banking.
Bank harus menyusun dan menetapkan prosedur yang tepat sesuai

dengan signifikansi dan jenis transaksi internet banking untuk
memastikan bahwa:
1) sistem internet banking telah dirancang untuk mengurangi

kemungkinan dilakukannya transaksi secara tidak sengaja
(unintended) oleh para pengguna yang berhak;
2) seluruh pihak yang melakukan transaksi telah diuji keasliannya;
3) data transaksi keuangan dilindungi dari kemungkinan

pengubahan dan setiap pengubahan dapat dideteksi.
c. Bank harus memastikan adanya pemisahan tugas dalam sistem

internet banking, database dan aplikasi lainnya.
Penetapan pemisahan tugas dalam sistem internet banking

hendaknya memperhatikan hal-hal sebagai berikut:
1) sistem dan proses transaksi harus dirancang untuk memastikan

bahwa tidak ada karyawan/pihak ketiga yang dapat memasuki,
melakukan otorisasi dan menyelesaikan suatu transaksi;
2) adanya pemisahan tugas antara pihak yang menginisiasi data

statik dan pihak yang bertanggung jawab untuk memverifikasi
kebenaran data statik;
3) perlu pengujian untuk memastikan bahwa penerapan pemisahan

tugas tidak dapat dilampaui (di-by pass);
4) adanya pemisahan tugas antara pihak yang mengembangkan

dengan pihak yang menatausahakan sistem internet banking.
d. Bank harus memastikan adanya pengendalian terhadap otorisasi dan

hak akses (privileges) yang tepat terhadap sistem internet banking,
database, dan aplikasi lainnya.
Dalam rangka memelihara pemisahan tugas, Bank harus

mengendalikan secara ketat otorisasi dan penggunaan hak akses.
Kegagalan untuk menyediakan dan menerapkan pengendalian
otorisasi tersebut dapat memberikan kesempatan kepada pihak lain
yang tidak memiliki hak akses untuk dapat melakukan hal-hal di luar
kewenangannya.
6
343
Hal-hal yang perlu diperhatikan antara lain:
1) perlu adanya otorisasi dan hak akses yang spesifik kepada

pihak-pihak yang berkaitan dengan aktivitas internet banking;
2) sistem internet banking dirancang dengan memperhatikan bahwa

setiap sub sistem saling berinteraksi dalam suatu database
otorisasi yang telah ditetapkan Bank;
3) pihak-pihak yang berkaitan dengan aktivitas internet banking

tidak memiliki wewenang untuk mengubah otoritas atau hak
akses terhadap database otorisasi internet banking;
4) penambahan atau perubahan dari pihak-pihak yang memiliki

akses terhadap suatu database otorisasi internet banking harus
diotorisasi oleh pihak yang memiliki kewenangan;
5) tersedianya langkah yang tepat untuk memastikan bahwa

database otorisasi internet banking tahan terhadap gangguan,
antara lain melalui pemantauan yang berkelanjutan, dan adanya
jejak audit untuk mendokumentasikan gangguan tersebut;
6) setiap database otorisasi internet banking yang telah terganggu

hendaknya tidak digunakan sampai dengan digantikan oleh
suatu database yang valid;
7) terdapat pengendalian untuk mencegah setiap perubahan tingkat

otorisasi selama terjadinya transaksi internet banking dan setiap
upaya untuk mengubah otorisasi tersebut harus dicatat (logged)
dan menjadi perhatian manajemen Bank.
e. Bank harus memastikan tersedianya prosedur yang memadai untuk

melindungi integritas data, catatan/arsip, dan informasi pada
transaksi internet banking.
Beberapa langkah yang dapat digunakan oleh Bank untuk

memelihara integritas data di dalam sistem internet banking antara
lain meliputi:
1) transaksi internet banking harus sangat resisten terhadap

gangguan pada setiap proses transaksi;
2) arsip internet banking harus disimpan, diakses dan dimodifikasi

sedemikian rupa sehingga resisten terhadap gangguan;
3) transaksi dan proses pencatatan internet banking harus

dirancang sedemikian rupa sehingga tidak memungkinkan
pengubahan yang tidak sah;
7
344
4) terdapat prosedur pemantauan dan pengujian yang memadai
sehingga setiap perubahan pada sistem internet banking tidak
mengurangi kehandalan data;
5) setiap gangguan pada transaksi atau pencatatan internet

banking harus dapat dideteksi melalui pemrosesan transaksi,
pemantauan dan pemeliharaan pencatatan.
f. Bank harus memastikan tersedianya mekanisme penelusuran (audit

trail) yang jelas untuk seluruh transaksi internet banking.
1) Untuk memastikan tersedianya jejak audit yang jelas maka jenis

transaksi internet banking yang harus diperhatilkan meliputi
antara lain:
a) pembukaan, modifikasi atau penutupan suatu rekening

nasabah;
b) setiap transaksi yang mengandung dampak keuangan;
c) setiap otorisasi yang memperbolehkan nasabah untuk

melampaui batasan tertentu yang telah ditetapkan;
d) setiap pemberian, modifikasi dan pencabutan hak dan

kewenangan untuk mengakses sistem.
2) Hal-hal yang harus diperhatikan untuk memastikan tersedianya

audit trail yang jelas antara lain:
a) catatan/log harus dipelihara untuk semua transaksi internet

banking guna tersedianya jejak audit yang jelas dan
membantu penyelesaian perselisihan;
b) jejak audit maupun log-log lainnya, misalnya log tools

pendeteksian penyusupan harus direview/evaluasi secara
berkala;
c) sistem internet banking harus dirancang guna memperoleh

bukti forensik dan mencegah timbulnya gangguan dan
pengumpulan bukti yang tidak tepat;
d) apabila sistem pemrosesan dan jejak audit merupakan

tanggung jawab dari pihak ketiga maka Bank harus
mempunyai akses kepada jejak audit yang dipelihara oleh
pihak ketiga tersebut dan jejak audit tersebut harus sesuai
dengan standar yang ditetapkan Bank.
8
345
g. Bank harus mengambil langkah-langkah untuk melindungi
kerahasiaan informasi penting pada internet banking. Langkah
tersebut harus sesuai dengan sensitivitas informasi yang dikeluarkan
dan/atau disimpan dalam database.
Untuk melindungi kerahasiaan dari informasi-informasi penting yang

ada pada internet banking, Bank harus memastikan bahwa:
1) seluruh arsip dan data Bank yang bersifat rahasia hanya dapat
diakses oleh pihak-pihak yang telah diotorisasi dan dibuktikan
keasliannya;
2) semua data Bank yang bersifat rahasia harus dipelihara secara

aman dan dilindungi dari kemungkinan diketahui atau
dimodifikasi secara transmisi melalui jaringan publik, pribadi atau
internal;
3) Bank harus memiliki standar dan pengendalian atas penggunaan

dan perlindungan data apabila pihak ketiga/outsourcing memiliki
akses terhadap data tersebut;
4) seluruh akses terhadap data yang sifatnya terbatas harus

disimpan (logged) dan langkah yang tepat perlu dilakukan untuk
memastikan bahwa data resisten terhadap gangguan.
3. Manajemen Risiko Hukum dan Risiko Reputasi
a. Bank harus memastikan bahwa website Bank menyediakan informasi

yang memungkinkan calon nasabah untuk memperoleh informasi
yang tepat mengenai identitas dan status hukum Bank sebelum
melakukan transaksi melalui internet banking.
Informasi yang disediakan dalam website Bank antara lain:
1) nama dan tempat kedudukan Bank;
2) identitas otoritas pengawasan Bank;
3) tata cara bagi nasabah untuk mengakses unit pelayanan

nasabah apabila terdapat masalah, pengaduan, penyalahgunaan
rekening dan sebagainya;
4) tata cara bagi nasabah untuk mengakses program keluhan

nasabah;
5) tata cara bagi nasabah untuk memperoleh informasi mengenai

penjaminan simpanan dan perlindungan nasabah lainnya;
9
346
6) informasi relevan lainnya.
b. Bank harus mengambil langkah-langkah untuk memastikan bahwa

ketentuan kerahasiaan nasabah diterapkan sesuai dengan yang
berlaku di negara tempat kedudukan Bank menyediakan produk dan
jasa internet banking.
1) Penyalahgunaan pengungkapan kerahasiaan data nasabah

dapat menyebabkan Bank terekspos risiko hukum dan risiko
reputasi. Oleh karena itu Bank harus melakukan tindakan yang
memastikan bahwa:
a) kebijakan dan standar kerahasiaan nasabah sesuai dengan

peraturan perundang-undangan yang berlaku tentang
kerahasiaan nasabah/rahasia Bank;
b) nasabah diberikan pemahaman tentang kebijakan

kerahasiaan nasabah Bank dan isu kerahasiaan terkait
lainnya yang berkaitan dengan penggunaan produk dan jasa
internet banking;
c) data nasabah tidak digunakan untuk tujuan di luar yang

secara umum diperkenankan atau di luar otorisasi yang
diberikan oleh nasabah;
d) standar penggunaan data nasabah wajib dipenuhi dalam hal

pihak ketiga (outsourcing) mempunyai akses terhadap data
nasabah;
2) Dalam rangka mendukung penerapan kerahasiaan informasi

nasabah yang melakukan transaksi melalui internet banking,
Bank harus memperhatikan hal-hal sebagai berikut:
a) penggunaan teknik enkripsi, prosedur khusus dan

pengendalian pengamanan lainnya untuk memastikan
kerahasiaan data nasabah internet banking;
b) pengembangan prosedur dan pengendalian yang memadai

untuk menilai infrastruktur dan prosedur pengamanan
nasabah internet banking secara berkala;
c) kepastian bahwa bahwa pihak ketiga (outsourcing) yang

digunakan oleh Bank mempunyai kebijakan kerahasiaan
yang konsisten dengan yang dimiliki Bank;
d) pengambilan langkah-langkah untuk menginformasikan

nasabah internet banking tentang kebijakan kerahasiaan
informasi nasabah tersebut, yang meliputi:
10
347
(1) pemberian informasi yang singkat dan jelas kepada
nasabah mengenai kebijakan kerahasiaan yang dimiliki
Bank, antara lain melalui website Bank;
(2) pemberian petunjuk kepada nasabah mengenai

pentingnya untuk menjaga password, nomor identifikasi
pribadi (PINs) dan data perbankan dan/atau data pribadi
lainnya;
(3) penyediaan informasi kepada nasabah mengenai teknik

pengamanan komputer pribadi nasabah, termasuk
keuntungan dalam menggunakan perangkat lunak
pengamanan virus, pengendalian terhadap akses fisik
dan firewall personal untuk koneksi terhadap internet.
c. Bank harus memiliki prosedur perencanaan darurat dan

kesinambungan usaha yang efektif untuk memastikan tersedianya
sistem dan jasa internet banking.
1) Bank harus mampu menyediakan jasa internet banking melalui

sistem dan aplikasi secara in-house maupun outsourcing kepada
nasabah secara konsisten dan tepat waktu.
2) Untuk menjamin kesinambungan usaha jasa internet banking,

Bank harus memastikan bahwa:
a) kapasitas sistem internet banking yang tersedia maupun

peningkatan volume transaksi di masa depan telah dianalisis
berdasarkan perkembangan eksternal dan proyeksi tingkat
penerimaan produk dan jasa internet banking oleh nasabah;
b) pengujian dan kaji ulang berkala terhadap kapasitas

pemrosesan transaksi internet banking;
c) pengujian secara berkala terhadap kesinambungan usaha

dan perencanaan darurat untuk pemrosesan dan sistem
penyampaian jasa internet banking.
3) Beberapa langkah yang perlu diperhatikan Bank dalam rangka

penerapan rencana darurat, kesinambungan usaha dan
peningkatan kualitas kapasitas internet banking, antara lain:
a) Bank harus mengidentifikasi dan mereview seluruh aplikasi

dan jasa internet banking, termasuk yang disediakan oleh
penyedia jasa/pihak ketiga;
11
348
b) Bank harus melakukan penilaian risiko pada setiap jasa dan
aplikasi internet, termasuk implikasi yang mungkin timbul
seperti risiko kredit, pasar, likuiditas, hukum, operasional dan
reputasi yang dapat mengganggu kegiatan usaha Bank;
c) Bank harus menetapkan kriteria kinerja untuk setiap jasa dan

aplikasi internet banking dan memantau pelaksanaannya
dibandingkan dengan kriteria kinerja tersebut;
d) Bank harus mengambil langkah-langkah yang tepat untuk

memastikan bahwa sistem internet banking mampu
mengatasi volume transaksi yang besar maupun kecil, dan
kinerja maupun kapasitas sistem tersebut konsisten dengan
rencana Bank untuk pengembangan internet banking di
masa datang;
e) Bank harus mengembangkan beberapa prosedur alternatif

apabila sistem internet banking akan mencapai limit
kapasitas tertentu;
f) Bank harus memiliki prosedur pemulihan sistem internet

banking untuk menjaga kelangsungan usaha guna
mengurangi ketergantungan kepada penyedia jasa/pihak
ketiga maupun pihak eksternal lainnya;
g) rencana darurat internet banking meliputi suatu prosedur

untuk memulihkan atau mengganti kemampuan pemrosesan
internet banking, merekonstruksi informasi transaksi
pendukung, dan untuk memulihkan keberadaan sistem dan
aplikasi internet banking dalam hal terjadi gangguan kegiatan
usaha.
d. Bank harus mengembangkan rencana penanganan yang memadai

untuk mengelola, mengatasi, dan meminimalkan permasalahan yang
timbul dari kejadian yang tidak diperkirakan (internal dan eksternal),
yang dapat menghambat penyediaan sistem dan jasa internet
banking.
1) Bank harus mengembangkan strategi komunikasi, yang dapat

memastikan kesinambungan usaha, mengendalikan risiko
reputasi, dan membatasi kewajiban Bank yang terkait dengan
terganggunya jasa internet banking, termasuk yang berasal dari
sistem dan operasional yang ditangani oleh pihak ketiga.
2) Untuk memastikan penanganan yang efektif terhadap kejadian

yang tak diperkirakan, Bank harus mengembangkan:
a) rencana penanganan kejadian untuk mengatasi pemulihan

sistem dan jasa internet banking dengan berbagai skenario;
12
349
b) mekanisme untuk mengidentifikasi suatu kejadian, menilai
materialitasnya, dan mengendalikan risiko reputasi yang
terkait dengan gangguan dalam pemberian jasa internet
banking;
c) strategi komunikasi dengan pihak eksternal dan media untuk

mengatasi permasalahan yang mungkin timbul sebagai
akibat kegagalan pengamanan, gangguan sistem on-line dan
sistem internet banking;
d) tim penanganan kejadian yang memiliki kewenangan untuk

bertindak dalam keadaan darurat dan yang memiliki
kompetensi dalam melakukan analisa sistem deteksi maupun
menilai hasil/output dari sistem deteksi tersebut;
e) mekanisme instruksi yang jelas untuk memastikan bahwa

tindakan yang diambil merupakan tindakan korektif yang
tepat;
f) prosedur penyampaian informasi secara cepat dan tepat

kepada nasabah Bank, counterparty, dan media mengenai
penyebab terjadinya gangguan internet banking dan
perkembangan penanganannya;
g) prosedur pengumpulan dan pemeliharaan bukti forensik

untuk memfasilitasi kajian terhadap kejadian yang terkait
dengan kegiatan internet banking maupun dalam membantu
proses penuntutan hukum terhadap pihak eksternal yang
mengganggu internet banking.
e. Dalam hal sistem penyelenggaraan internet banking dilakukan oleh

pihak ketiga (outsourcing), Bank harus menetapkan dan menerapkan
prosedur pengawasan dan due dilligence yang menyeluruh dan
berkelanjutan untuk mengelola hubungan Bank dengan pihak ketiga
tersebut.
Dalam pengelolaan hubungan tersebut, Bank harus memastikan

bahwa:
1) Bank sepenuhnya memahami risiko yang terkait dengan

perjanjian outsourcing atau kerjasama untuk penyediaan sistem
dan aplikasi internet banking:
a) Bank harus mengidentifikasi tujuan strategik serta

keuntungan dan kerugian yang berkaitan dengan
penggunaan outsourcing dalam internet banking;
b) keputusan untuk melakukan outsourcing dalam internet

banking harus konsisten dengan strategi usaha Bank dengan
mempertimbangkan karakteristik risiko yang melekat pada
13
350
penggunaan outsourcing;
c) sesuai dengan struktur operasional, unit kerja Bank harus

memahami tata kerja penyedia jasa (provider) yang
melaksanakan strategi internet banking.
2) pelaksanaan due dilligence yang memadai terhadap kompetensi

dan kondisi keuangan pihak ketiga yang menyediakan jasa
(service provider) sebelum melakukan kontrak jasa internet
banking:
a) Bank harus mempertimbangkan pengembangan proses dan

menetapkan kriteria/persyaratan untuk pemilihan beberapa
penyedia jasa;
b) Bank harus melakukan due dilligence, termasuk analisis

risiko, kondisi keuangan, reputasi, kebijakan dan
pengendalian manajemen risiko serta kemampuan penyedia
jasa/layanan untuk memenuhi kewajibannya;
c) Bank harus secara berkala memantau dan melakukan review

terhadap kemampuan penyedia jasa/layanan untuk
memenuhi jasanya dan kewajiban penerapan manajemen
risiko selama masa kontrak;
d) Bank harus memastikan tersedianya sumber daya manusia

yang memadai dan mempunyai komitmen untuk melakukan
pengawasan terhadap outsourcing yang menyelenggarakan
internet banking;
e) Bank harus menetapkan tanggung jawab yang jelas kepada

unit kerja atau petugas mengenai pengawasan terhadap
pengelolaan outsourcing;
f) Bank harus menetapkan exit strategy yang tepat untuk

mengelola risiko outsourcing apabila akan dilakukan langkah
pemutusan kontrak dengan pihak outsourcing.
3) kejelasan cakupan tanggung jawab masing-masing pihak dalam

perjanjian kontraktual dengan pihak ketiga, yang berkaitan
dengan:
a) kewajiban kontraktual dari pihak-pihak yang ditunjuk serta

tanggung jawab untuk membuat keputusan, termasuk jasa
sub-kontrak;
b) tanggung jawab untuk menyediakan informasi kepada dan
menerima informasi dari penyedia jasa/layanan, yaitu
informasi dari penyedia jasa/layanan harus tepat waktu dan
komprehensif sehingga memungkinkan Bank untuk menilai
14
351
tingkat dan risiko layanan internet banking;
c) peraturan yang secara khusus menetapkan cakupan
(coverage) asuransi, kepemilikan dari penyimpanan data dari
server atau database penyedia jasa/layanan, dan hak Bank
untuk pemulihan data yang telah melampaui waktu tertentu
serta pemutusan kontrak;
d) ekspektasi kinerja penyedia jasa, baik dalam kondisi normal

maupun situasi darurat;
e) tersedianya pengaturan jaminan yang cukup, misalnya

melalui klausul audit yang memastikan bahwa penyedia
jasa/layanan mematuhi kebijakan Bank;
f) terdapat klausul pengaturan mengenai hak Bank untuk

melakukan koreksi dan intervensi secara tepat waktu apabila
kinerja penyedia jasa/layanan tidak sesuai dengan kontrak
(di bawah standar yang disepakati);
g) penetapan hukum dan peraturan negara tertentu tentang

kerahasiaan dan perlindungan nasabah, khususnya untuk
pengaturan cross-border outsourcing;
h) tersedianya klausul hak Bank untuk melakukan independent

review dan/atau audit terhadap sistem pengamanan,
pengendalian intern dan kelangsungan usaha serta
perencanaan darurat.
4) pengoperasian dan penyediaan sistem internet banking oleh

pihak ketiga telah sesuai dengan kebijakan manajemen risiko,
pengamanan dan kerahasiaan yang berlaku di Bank.
5) audit oleh auditor eksternal atau internal yang independen

dilakukan secara berkala terhadap pengoperasian internet
banking oleh pihak ketiga dengan frekuensi dan cakupan audit
yang sama dengan apabila internet banking diselenggarakan
secara in-house.
6) ketersediaan rencana darurat yang memadai untuk aktivitas

internet banking yang dioperasikan oleh pihak ketiga, dengan
cara antara lain:
a) Bank harus mengembangkan dan menguji secara periodik

terhadap perencanaan darurat layanan dan sistem internet
banking yang dioperasikan oleh pihak ketiga;
b) perencanaan darurat harus dapat memuat langkah

penanganan oleh Bank dalam kondisi skenario terburuk
(worst case scenario) agar kontinuitas usaha internet
15
352
banking tetap berlangsung meskipun terjadi gangguan yang
dapat mempengaruhi operasional yang dilakukan pihak
ketiga;
c) Bank harus memiliki tim atau petugas khusus yang

bertanggungjawab untuk mengelola pemulihan dan menilai
dampak keuangan yang ditimbulkan oleh suatu gangguan
pada sistem internet banking yang dioperasikan oleh pihak
ketiga.
--------------- 00 ---------------
16
353
Lampiran 10
354
Lampiran 10 Surat Edaran Bank Indonesia Nomor 11/36/DPNP tanggal 31 Desember 2009
LAPORAN AKTIVITAS BARU

NAMA BANK : ……………………………
TAHUN : ……………………………
Jenis Tujuan Pelaksanaan Keterkaitan Deskripsi Umum Risiko yang mungkin

No. Aktivitas Rencana Waktu Aktivitas Baru Aktivitas Baru mengenai timbul atas
Baru *) Pelaksanaan Aktivitas Baru Bagi Bank Bagi Nasabah dengan Strategi Bank **) Aktivitas Baru **) Pelaksanaan Aktivitas Baru **)
*) Jenis Aktivitas Baru diisi dengan "Agen Penjual Efek Reksa Dana" atau "Bank Kustodian"
**) Penjelasan/Uraian yang lebih terperinci dapat dilampirkan dalam lembaran terpisah.
355
Lampiran 11
356
Surat Edaran Bank Indonesia Nomor 11/36/DPNP tanggal 31 Desember 2009
Lampiran 11
LAPORAN RENCANA MENJADI

AGEN PENJUAL EFEK REKSA DANA *)
NAMA BANK: ………………………..
a. Informas i umum
b. Analis a manfaat dan biaya ( cost and benefit analysis )
c. Pros edur pelak s anaan ( standard operating procedures/ SOP) organis as i, dan k ewenangan pelak s anaan
d. Kes iapan s umber daya manus ia
e. Kes iapan Bank terk ait s is tem informas i
d. Renc ana k ebijak an dan pros edur terk ait dengan penerapan program Anti Penc uc ian Uang dan
Penc egahan Pendanaan Teroris (APU dan PPT)
g. H as il analis a as pek huk um dan as pek k epatuhan
i. Penilaian Bank atas k es iapan s ebagai Agen Penjual Efek Rek s a Dana
j. Dok umen- dok umen penduk ung (terlampir)

1. Surat Tanda Terdaftar sebagai Agen Penjual Efek Reksa Dana yang dikeluarkan oleh BAPEPAM - LK
2.
3.
4.
ds t
*) Jumlah Halaman dalam contoh Laporan ini tidak mengikat sehingga Bank dapat menguraikan lebih rinci.
357
Lampiran 12
358
LAPORAN RENCANA PENJUALAN

EFEK REKSA DANA*)
NAMA BANK: ………………………
a. Informasi umum
b. Penilaian terhadap manajer investasi
c. Manajemen Risiko
d. Dokumen-dokumen pendukung (terlampir)

1. dokumen dalam rangka transparansi
a.
b.
c.
dst
2. dokumen yang terkait dengan aktivitas sebagai APERD
a. draft final perjanjian
b.
dst
3. Surat Efektif Pernyataan Pendaftaran Reksa Dana yang dikeluarkan oleh BAPEPAM - LK
4.
dst
*) Jumlah Halaman dalam contoh Laporan ini tidak mengikat sehingga Bank dapat menguraikan lebih rinci.
359
Lampiran 13
360
Lampiran 13
LAPORAN REKSADANA (BANK SEBAGAI AGEN PENJUAL EFEK REKSADANA)

NAMA BANK *) : …………………………….
POSISI BULAN **) : …………………………….
PERIODE ***) : …………………………….
Reksa Dana yang sudah dipasarkan Bank sebagai Agen Penjual Efek Reksa Dana Porsi Aset yang Mendasari Apakah Bank Menjadi Sponsor atau Nomor Surat Efektif Nomor Surat
Total Unit yang Merupakan Surat Berharga Manajer Investasi Bank Kustodian Melakukan Penempatan Dana Awal Pernyataan Pendaftaran Penegasan Bank Indonesia
Nama Subscription Redemption NAV Penyertaan yang Diterbitkan Bank sebagai Fee based Pihak Total Reksa Dana terhadap rencana penjualan
Nama Nama Ya/Tidak Nominal
Reksa Dana per unit pada Reksa Dana Agen Penjual Maupun Pihak Terkait Income Terkait NAV dari BAPEPAM - LK efek Reksa Dana
(1) (2) (3) (4) (5) (6) (7) (8) (9) (10) (11) (12) (13) (14) (15)
*) diisi nama Bank

**) diisi posisi bulan laporan, misalnya posisi bulan Maret 2010
***) diisi periode laporan, misalnya Triwulan I
1)
diisi nama produk Reksa Dana
2)
diisi nominal dalam satuan penuh
3)
4)
5)
diisi total unit penyertaan pada Reksa Dana
6)
diisi persentase
Pihak Terkait sesuai ketentuan yang berlaku tentang Batas Maksimum Pemberian Kredit
7)
8)
diisi nama manajer investasi
9)
diisi angka "1" untuk terkait dan angka "2" untuk tidak terkait sesuai ketentuan yang berlaku tentang Batas Maksimum Pemberian Kredit
10)
diisi nama Bank Kustodian
11)
diisi Total NAV menurut Bank Kustodian
12)
diisi angka "1" bila ya dan angka "2" bila tidak
13)
diisi apabila kolom (12) berisi sandi 1, selain itu dikosongkan
14)
diisi nomor Surat Efektif Pernyataan Pendaftaran Reksa Dana dari BAPEPAM - LK
15)
diisi nomor Surat Penegasan Bank Indonesia terhadap rencana penjualan efek Reksa Dana
361
Lampiran 14
362
Surat Edaran Bank Indonesia No. 12/35/DPNP tanggal 23 Desember 2010
Lampiran 14
LAPORAN AKTIVITAS BARU

NAMA BANK : ……………………………
TAHUN : ……………………………
Jenis Tujuan Pelaksanaan Keterkaitan Deskripsi Umum Risiko yang mungkin

No. Aktivitas Rencana Waktu Aktivitas Baru Aktivitas Baru mengenai timbul atas
Baru *) Pelaksanaan Aktivitas Baru Bagi Bank Bagi Nasabah dengan Strategi Bank **) Aktivitas Baru **) Pelaksanaan Aktivitas Baru **)
*) Jenis Aktivitas Baru diisi dengan "Bancassurance - Referensi" atau "Bancassurance - Kerjasama Distribusi" atau "Bancassurance - Integrasi Produk" .
**) Penjelasan/Uraian yang lebih terperinci dapat dilampirkan dalam lembaran terpisah.
363
Lampiran 15
364
Lampiran 15 Surat Edaran Bank Indonesia No. 12/35/DPNP tanggal 23 Desember 2010
LAPORAN RENCANA PELAKSANAAN

AKTIVITAS BARU BERUPA BANCASSURANCE *)
NAMA BANK: ______________
a. Informas i umum
b. Penilaian dan analis a s olvabilitas s erta perizinan perus ahaan as urans i mitra Bank
c. Analis a manfaat dan biaya ( cost and benefit analysis )
d. Manajemen Ris ik o
e. Pros edur pelak s anaan ( standard operating procedures /SOP) organis as i, dan k ewenangan pelak s anaan bancassurance
f. Kes iapan unit k erja k hus us bancassurance dan/atau pejabat yang bertanggung jawab atas bancassurance
s erta k es iapan s umber daya manus ia pemas aran bancassurance
g. H as il analis a as pek huk um dan as pek k epatuhan mengenai bancassurance
h. Kes iapan s is tem informas i Bank terk ait bancassurance
i. Kebijak an dan pros edur terk ait dengan penerapan program Anti Penc uc ian Uang dan
Penc egahan Pendanaan Teroris (APU dan PPT)
j. Dok umen- dok umen penduk ung (terlampir)

1. dokumen yang terkait dengan aktivitas berupa bancassuarnce
a. konsep perjanjian kerjasama dengan perusahaan asuransi mitra Bank
b.
dst
2. dokumen dalam rangka transparansi kepada nasabah
a.
b.
c.
dst
surat persetujuan kerjasama bancassurance dari Menteri Keuangan dan surat pernyataan pencatatan produk baru asuransi
3.
dari Bapepam dan LK
4.
ds t.
* ) Jumlah Halaman dalam contoh Laporan ini tidak mengikat sehingga Bank dapat menguraikan lebih rinci.
365
Lampiran 16
366
Lampiran 16 Surat Edaran Bank Indonesia No. 12/35/DPNP tanggal 23 Desember 2010
LAMPIRAN 20
LAPORAN BERKALA BANCASSURANCE

NAMA BANK : …………………………………………
POSISI BULAN a) : …………………………………………
b)
PERIODE : …………………………………………
Perusahaan Asuransi Premi Diterima

Pihak Model Jenis Nama Jumlah Jumlah Valuta Total Akumulasi Bulan Fee Based Nilai
c) d) e) f) g) h) i) j) k)
Nama Keterangan Jenis Terkait Bisnis Produk Produk Polis Nasabah Asal Pertanggungan sejak awal Laporan Income Fund l)
(1) (2) (3) (4) (5) (6) (7) (8) (9) (10) (11) (12) (13) (14) (15)
a)
diisi posisi bulan laporan, misalnya posisi bulan Juni 2011
b)
diisi periode laporan, misalnya Triwulan II, 2011
c)
diisi dengan "jiwa" atau "umum" atau "reasuransi"
d)
diisi dengan "ya" atau "tidak". Pihak Terkait sesuai ketentuan yang berlaku tentang Batas Maksimum Pemberian Kredit
e)
jenis produk meliputi umum, jiwa, unit link , lainnya
f)
diisi jumlah polis didasarkan pada polis yang masih outstanding /masih berlaku/belum dicairkan/in force policy
g)
diisi jumlah nasabah didasarkan pada polis yang masih outstanding/ masih berlaku/belum dicairkan/ in force policy
h)
diisi jumlah pertanggungan dalam satuan penuh valuta asal didasarkan pada polis yang masih outstanding /masih berlaku/belum dicairkan/ in force policy
i)
diisi premi/fee yang diterima sejak produk dijual oleh bank s/d akhir bulan pelaporan dalam satuan penuh valuta asal, yang berasal dari nasabah yang polisnya masih outstanding /masih berlaku/belum
dicairkan/ in force policy per posisi akhir bulan pelaporan
j)
seluruh premi/fee yang diterima dalam satuan penuh valuta asal selama bulan laporan
k)
fee based income dalam satuan penuh valuta asal untuk semua mata uang atau valuta asal dan disajikan dalam jumlah net (setelah dikurangi pajak yang dikenakan oleh perusahaan asuransi)
l)
Nilai fund dari asuransi milik nasabah yang polisnya masih outstanding/ masih berlaku/ belum dicairkan/ in force policy per posisi laporan dalam satuan penuh valuta asal,
dihitung sejak produk tersebut dijual oleh bank kepada masing-masing nasabah tersebut sampai dengan akhir bulan pelaporan. Apabila jenis produk diisi unit link maka kolom ini
harus diisi.
367
FORM 701: LAPORAN BANCASSURANCE
Record Header
No Nama Kolom Jenis Data Jumlah Posisi Keterangan
a Sandi Pelapor Character 6 1-6 Diisi Sandi bank Pelapor (sesuai lampiran)
b Periode Laporan Character 6 7-12 Diisi periode laporan (mmyyyy)
c Jenis Laporan Character 2 13-14 Diisi sesuai daftar sandi.Khusus untuk LKPBU diisi '01'
d No Form Character 4 15-18 Diisi no form yg Dilaporkan
e Jumlah Record Isi Numeric 6 19-24 Jumlah transaksi yg dilaporkan
Record Isi
No Nama Kolom Jenis Data Jumlah Posisi Keterangan
1 Nama Perusahaan Asuransi Numeric 5 1-5 Diisi dengan sandi nama perusahaan Asuransi (sesuai lampiran)
2 Keterangan Character 50 6-55 Diisi apabila kolom "Nama Perusahaan Asuransi" berisi sandi "lainnya"
3 Jenis Perusahaan Asuransi Numeric 1 56-56 Diisi sandi "Jenis Perusahaan Asuransi " : '1' jiwa, atau '2' umum dan '3' reassuransi
4 Pihak Terkait Numeric 1 57-57 Diisi sandi "Pihak Terkait" : '1' jika ya, '2' jika tidak
Diisi sandi "Jenis Model Bisnis" (sesuai lampiran). Khusus untuk model bisnis referal ,
asuransi terkait dengan fasilitas pembiayaan dari bank seperti misalnya KPR tidak perlu
5 Jenis Model Bisnis Numeric 1 58-58 dilaporkan dalam laporan bancassurance ini
6 Jenis Produk Numeric 3 59-61 Diisi sandi "Jenis Produk" (sesuai lampiran)
7 Nama Produk Character 50 62-111 Diisi nama produk asuransi
Diisi jumlah polis didasarkan pada polis yang masih outstanding/masih berlaku/belum
8 Jumlah Polis Numeric 8 112-119 dicairkan/in force policy
Diisi jumlah nasabah didasarkan pada polis yang masih outstanding/masih .
9 Jumlah Nasabah Numeric 8 120-127 berlaku/belum dicairkan/ in force policy . Harus <= kolom jumlah polis
10 Valuta Asal Character 3 128-130 Diisi jenis valuta asal sesuai Sandi Mata Uang (terlampir)
Diisi jumlah pertanggungan dalam satuan penuh valuta asal didasarkan pada polis yang
11 Total Pertanggungan Numeric 15 131-145 masih outstanding/masih berlaku/belum dicairkan/ in force policy
Premi diterima terdiri dari 12 & 13

premi/fee yang diterima sejak produk dijual oleh bank s/d akhir bulan pelaporan
dalam satuan penuh valuta asal, yang berasal dari nasabah yang polisnya masih
12 Akumulasi Sejak Awal Numeric 15 146-160 outstanding/berlaku (in force policy) per posisi akhir bulan pelaporan
seluruh premi/fee yang diterima dalam satuan penuh valuta asal selama bulan laporan
13 Bulan Laporan Numeric 15 161-175
fee based income dalam satuan penuh valuta asal untuk semua mata uang atau valuta
asal dan disajikan dalam jumlah net (setelah dikurangi pajak yang dikenakan oleh
14 Fee Based Income Numeric 15 176-190 persh. asuransi
Nilai fund dari asuransi milik nasabah yang masih outstanding/berlaku per posisi
laporan (in force policy) dalam satuan penuh valuta asal , dihitung sejak produk tersebut
dijual oleh bank kepada masing-masing nasabah tersebut sampai dengan akhir bulan
pelaporan. Apabila jenis produk diisi unit link maka kolom ini harus diisi. Untuk sandi
15 Nilai Fund Numeric 15 191-205 jenis produk lain kolom ini boleh tidak diisi
368
Nama Perusahaan Asuransi
No Nama Perusahaan Sandi
1 PT. ACE Life Assurance 101
2 Asuransi Jiwa Bersama Bumiputera 1912 102
3 PT. Asuransi Jiwa Adisarana Wanaartha 103
4 PT. AIA Financial 104
5 PT. Asuransi Allianz Life Indonesia 105
6 PT. Avrist Assurance 106
7 PT AXA Financial Indonesia 107
8 PT. AXA Life Indonesia 108
9 PT. AXA Mandiri Financial Services 109
10 PT. Asuransi Jiwa Bakrie 110
11 PT. BNI Life Insurance 111
12 PT. Asuransi Jiwa Bringin Jiwa Sejahtera 112
13 PT. Asuransi Jiwa Bumi Asih Jaya 113
14 PT. Asuransi Jiwa Bumi Masyarakat Mandiri 114
15 PT. Asuransi Jiwa Central Asia Raya 115
16 PT. Asuransi CIGNA 116
17 PT. CIMB Sun Life 117
18 PT. Commonwealth Life 118
19 PT. Equity Life Indonesia 119
20 PT. Asuransi Jiwa Generali Indonesia 120
21 PT. Great Eastern Life Indonesia 121
22 PT. Heksa Eka Life Insurance 122
23 PT. Indolife Pensiontama 123
24 PT. Asuransi Jiwa Inhealth Indonesia 124
25 PT. Asuransi Jiwasraya (Persero) 125
26 PT. Asuransi Jiwa Kresna Life 126
27 PT. MAA Life Assurance 127
28 PT. Asuransi Jiwa Manulife Indonesia 128
29 PT. Mayapada Life 129
30 PT. Asuransi Jiwa Mega Life 130
31 PT. Multicor Life Insurance 131
32 PT. Asuransi Jiwa Nusantara 132
33 PT. Panin Anugrah life 133
34 PT. Panin Life Tbk 134
35 PT. Pasaraya Life Insurance 135
36 PT. Prudential Life Insurance 136
37 PT. Asuransi Jiwa Recapital 137
38 PT. Asuransi Jiwa Sequis Financial 138
39 PT. Asuransi Jiwa Sequis Life 139
40 PT. Asuransi Jiwa Sinarmas 140
41 PT. Sun Life Financial Indonesia 141
42 PT. Asuransi Syariah Mubarakah 142
43 PT. Asuransi Takaful Keluarga 143
44 PT. Asuransi Jiwa Tugu Mandiri 144
45 PT. UOB Life - Sun Assurance 145
46 PT. Asuransi Winterthur Life Indonesia 146
47 PT. ACE INA Insurance 201
369
48 PT. Arthagraha General Insurance 202
49 PT. Asia Reliance General Insurance 203
50 PT. Asuransi Adira Dinamika 204
51 PT. Asuransi AIOI Indonesia 205
52 PT. Asuransi AIU Indonesia 206
53 PT. Asuransi Allianz Utama Indonesia 207
54 PT. Asuransi Andika Raharja Putera 208
55 PT. Asuransi Artarindo 209
56 PT. Asuransi Asoka Mas 210
57 PT. Asuransi Asrtra Buana 211
58 PT. Asuransi AXA Indonesia 212
59 PT. Asuransi Bangun Askrida 213
60 PT. Asuransi Bhakti Bhayangkara 214
61 PT. Asuransi Bina Dana Arta Tbk 215
62 PT. Asuransi Binagriya Upakara 216
63 PT. Asuransi Bintang Tbk 217
64 PT. Asuransi Bosowa Periskop 218
65 PT. Bringin Sejahtera Artamakmur 219
66 PT. Asuransi Buana Independent 220
67 PT. Asuransi Central Asia 221
68 PT. Asuransi Chubb Indonesia 222
69 PT. Asuransi Dayin Mitra Tbk 223
70 PT. Asuransi Dharma Bangsa 224
71 PT. Asuransi Eka Lloyd Jaya 225
72 PT. Asuransi Ekspor Indonesia 226
73 PT. Asuransi Umum Videi 227
74 PT. Asuransi Recapital 228
75 PT. Asuransi Hanjin Korindo 229
76 PT. Asuransi Harta Aman Pratama Tbk 230
77 PT. Asuransi Himalaya Pelindung 231
78 PT. Asuransi Indrapura 232
79 PT. Asuransi Intra Asia 233
80 PT. Jamindo General Insurance 234
81 PT. Asuransi Jasa Indonesia (Persero) 235
82 PT. Asuransi Jasaraharja Putera 236
83 PT. Asuransi Jasa Tania 237
84 PT. Pan Pacific Insurance 238
85 PT. Asuransi Jaya Proteksi 239
86 PT. Asuransi Karyamas Sentralindo 240
87 PT. Asuransi Kredit Indonesia (Persero) 241
88 PT. Asuransi Maipark Indonesia 242
89 PT. Asuransi Mega Pratama 243
90 PT. Asuransi Mitra Maparya 244
91 PT. Asuransi MSIG Indonesia 245
92 PT. Asuransi Multi Artha Guna Tbk 246
93 PT. Asuransi Parolamas 247
94 PT. Asuransi Permata Nipponkoa Indonesia 248
95 PT. Asuransi Puri Asih 249
370
96 PT. Asuransi Purna Artanugraha 250
97 PT. Asuransi Putra Mandiri 251
98 PT. Asuransi QBE Pool Indonesia 252
99 PT. Asuransi Raksa Pratikara 253
100 PT. Asuransi Rama Satria Wibawa 254
101 PT. Asuransi Ramayana Tbk 255
102 PT. Asuransi Raya 256
103 PT. Asuransi Reliance Indonesia 257
104 PT. Asuransi Samsung Tugu 258
105 PT. Asuransi Sarijaya 259
106 PT. Asuransi Sinar Mas 260
107 PT. Asuransi Starlite International 261
108 PT. Asuransi Takaful Umum 262
109 PT. Asuransi Tokio Marine Indonesia 263
110 PT. Asuransi Tri Pakarta 264
111 PT. Asuransi Tugu Kresna Pratama 265
112 PT. Asuransi Umum Bumiputeramuda 1967 266
113 PT. Asuransi Umum Centris 267
114 PT. Asuransi Umum Mega 268
115 PT. Asuransi Wahana Tata 269
116 PT. Asuransi Wuwungan 270
117 PT. Batavia Mitratama Insurance 271
118 PT. Berdikari Insurance 272
119 PT. China Insurance Indonesia 273
120 PT. Citra International Underwriters 274
121 PT. Kurnia Insurance Indonesia 275
122 PT. LIG Insurance Indonesia 276
123 PT. Lippo General Insurance Tbk 277
124 PT. Asuransi Lloyd Indonesia 278
125 PT. MAA General Assurance 279
126 PT. Maskapai Asuransi Sonwellis 280
127 PT. Pacific International Indonesia Insurance 281
128 PT. Panin Insurance Tbk 282
129 PT. Sarana Lindung Upaya 283
130 PT. Sompo Japan Insurance Indonesia 284
131 PT. Staco Jasapratama 285
132 PT. Transpacific General Insurance 286
133 PT. Tugu Pratama Indonesia 287
134 PT. Asuransi Wanamekar Handayani 288
135 PT. Zurich Insurance Indonesia 289
136 PT. ASKES (Persero) 290
137 PT. ASABRI (Persero) 291
138 PT. Jamsostek (Persero) 292
139 PT. Jasa Raharja (Persero) 293
140 PT. TASPEN (Persero) 294
141 PT. Maskapai Reasuransi IndonesiaTbk 301
142 PT. Reasuransi International Indonesia 302
143 PT. Reasuransi Nasional Indonesia 303
144 PT. Tugu Reasuransi Indonesia 304
145 Lainnya 999
371
Lampiran 17
372
LAMPIRAN 21
PEDOMAN PENERAPAN STRATEGI ANTI FRAUD

BAGI BANK UMUM
I. LATAR BELAKANG
1. Dalam rangka mencegah terjadinya kasus-kasus penyimpangan

operasional pada perbankan, khususnya Fraud yang dapat
merugikan nasabah atau Bank maka diperlukan peningkatan
efektifitas pengendalian intern, sebagai upaya meminimalkan
risiko Fraud dengan cara menerapkan strategi anti Fraud.
2. Selama ini, baik secara langsung maupun tidak langsung,
pelaksanaan pencegahan Fraud telah dilaksanakan Bank,
antara lain melalui penerapan Manajemen Risiko khususnya
sistem pengendalian intern, dan pelaksanaan tata kelola yang
baik. Namun demikian, agar penerapannya menjadi efektif
masih diperlukan upaya peningkatan agar pencegahan Fraud
tersebut benar-benar menjadi fokus perhatian dan budaya di
Bank pada seluruh aspek organisasi, baik oleh manajemen
maupun karyawan.
3. Efektifitas pengendalian Fraud dalam bisnis proses merupakan
tanggung jawab pihak manajemen, sehingga diperlukan
pemahaman yang tepat dan menyeluruh tentang Fraud oleh
manajemen agar dapat memberikan arahan dan menumbuhkan
awareness untuk pengendalian risiko Fraud pada Bank.
4. Strategi anti Fraud merupakan wujud komitmen manajemen
Bank dalam mengendalikan Fraud yang diterapkan dalam
bentuk sistem pengendalian Fraud. Strategi ini menuntut
373
manajemen untuk mengerahkan sumber daya agar sistem
pengendalian Fraud dapat diimplementasikan secara efektif dan
berkesinambungan.
5. Pedoman penerapan strategi anti Fraud dalam ketentuan ini
mengarahkan Bank dalam melakukan pengendalian Fraud
melalui upaya-upaya yang tidak hanya ditujukan untuk
pencegahan namun juga untuk mendeteksi dan melakukan
investigasi serta memperbaiki sistem sebagai bagian dari strategi
yang bersifat integral dalam mengendalikan Fraud.
II. PEDOMAN UMUM PENERAPAN STRATEGI ANTI FRAUD
1. Dalam pedoman ini yang dimaksud dengan Fraud adalah

tindakan penyimpangan atau pembiaran yang sengaja dilakukan
untuk mengelabui, menipu, atau memanipulasi Bank, nasabah,
atau pihak lain, yang terjadi di lingkungan Bank dan/atau
menggunakan sarana Bank sehingga mengakibatkan Bank,
nasabah, atau pihak lain menderita kerugian dan/atau pelaku
Fraud memperoleh keuntungan keuangan baik secara langsung
maupun tidak langsung.
Jenis-jenis perbuatan yang tergolong Fraud adalah kecurangan,
penipuan, penggelapan aset, pembocoran informasi, tindak
pidana perbankan (tipibank), dan tindakan-tindakan lainnya
yang dapat dipersamakan dengan itu.
2. Strategi anti Fraud adalah strategi Bank dalam mengendalikan
Fraud yang dirancang dengan mengacu pada proses terjadinya
Fraud dengan memperhatikan karakteristik dan jangkauan dari
potensi Fraud yang tersusun secara komprehensif-integralistik
dan diimplementasikan dalam bentuk sistem pengendalian
Fraud. Penerapan strategi anti Fraud merupakan bagian dari
374
penerapan Manajemen Risiko, khususnya yang terkait dengan
aspek sistem pengendalian intern.
3. Keberhasilan strategi anti Fraud dipengaruhi oleh lingkungan
yang mendukung terciptanya kondisi yang kondusif sehingga
semua pihak yang terkait dapat berperan dengan baik dalam
mengimplementasikan sistem pengendalian Fraud.
4. Struktur strategi anti Fraud secara utuh menggabungkan
prinsip dasar dari Manajemen Risiko khususnya pengendalian
intern dan tata kelola yang baik. Implementasi strategi anti
Fraud dalam bentuk sistem pengendalian Fraud dijabarkan
melalui 4 (empat) pilar strategi pengendalian Fraud yang saling
berkaitan yaitu: (i) pencegahan; (ii) deteksi; (iii) investigasi,
pelaporan, dan sanksi; (iv) serta pemantauan, evaluasi, dan
tindak lanjut.
III. PENERAPAN MANAJEMEN RISIKO
Penerapan strategi anti Fraud sebagai bagian dari pelaksanaan

penerapan Manajemen Risiko tidak dapat dipisahkan dari cakupan
penerapan Manajemen Risiko secara umum. Oleh karena itu
efektifitas penerapan strategi anti Fraud paling kurang perlu
didukung dengan penguatan pada aspek-aspek Manajemen Risiko
yang fokus pada pengendalian Fraud. Aspek-aspek tersebut paling
kurang meliputi pengawasan aktif manajemen, struktur organisasi
dan pertanggungjawaban, serta pengendalian dan pemantauan.
Cakupan minimum untuk setiap aspek pendukung tersebut adalah
sebagai berikut:
1. Pengawasan Aktif Manajemen
Pengawasan aktif manajemen terhadap Fraud mencakup hal-hal
yang menjadi kewenangan dan tanggung jawab pihak
manajemen baik Dewan Komisaris maupun Direksi.
375
Kewenangan dan tanggung jawab tersebut paling kurang sebagai
berikut:
a. pengembangan budaya dan kepedulian terhadap anti Fraud
pada seluruh jenjang organisasi, antara lain meliputi
deklarasi anti fraud statement dan komunikasi yang memadai
kepada seluruh jenjang organisasi tentang perilaku yang
termasuk tindakan Fraud;
b. penyusunan dan pengawasan penerapan kode etik terkait
dengan pencegahan Fraud bagi seluruh jenjang organisasi;
c. penyusunan dan pengawasan penerapan strategi anti Fraud
secara menyeluruh;
d. pengembangan kualitas sumber daya manusia (SDM),
khususnya yang terkait dengan peningkatan awareness dan
pengendalian Fraud;
e. pemantauan dan evaluasi atas kejadian-kejadian Fraud serta
penetapan tindak lanjut; dan
f. pengembangan saluran komunikasi yang efektif di internal
Bank agar seluruh pejabat/pegawai Bank memahami dan
mematuhi kebijakan dan prosedur yang berlaku, termasuk
kebijakan dalam rangka pengendalian Fraud.
2. Struktur Organisasi dan Pertanggungjawaban
Untuk mendukung efektifitas penerapan strategi anti Fraud,
Bank wajib memiliki unit atau fungsi yang menangani
implementasi strategi anti Fraud. Hal-hal yang perlu
diperhatikan dalam pembentukan unit atau fungsi tersebut
paling kurang sebagai berikut:
a. pembentukan unit atau fungsi dalam struktur organisasi
disesuaikan dengan karakteristik dan kompleksitas kegiatan
usaha Bank;
b. penetapan uraian tugas dan tanggung jawab yang jelas;
376
c. pertanggungjawaban unit atau fungsi tersebut langsung
kepada Direktur Utama serta hubungan komunikasi dan
pelaporan secara langsung kepada Dewan Komisaris; dan
d. pelaksanaan tugas pada unit atau fungsi tersebut harus
dilakukan oleh SDM yang memiliki kompetensi, integritas,
dan independensi, serta didukung dengan
pertanggungjawaban yang jelas.
3. Pengendalian dan Pemantauan
Dalam melakukan pengendalian dan pemantauan, Bank wajib
melakukan langkah-langkah yang fokus untuk meningkatkan
efektifitas penerapan strategi anti Fraud. Langkah-langkah
tersebut paling kurang sebagai berikut:
a. penetapan kebijakan dan prosedur pengendalian yang
khusus ditujukan untuk pengendalian Fraud;
b. pengendalian melalui kaji ulang baik oleh manajemen (top
level review) maupun kaji ulang operasional (functional
review) oleh SKAI atas pelaksanaan strategi anti Fraud;
c. pengendalian di bidang SDM yang ditujukan untuk
peningkatan efektivitas pelaksanaan tugas dan pengendalian
Fraud, misalnya kebijakan rotasi, kebijakan mutasi, cuti
wajib, dan aktivitas sosial atau gathering;
d. penetapan pemisahan fungsi dalam pelaksanaan aktivitas
Bank pada seluruh jenjang organisasi, misalnya penerapan
four eyes principle dalam aktivitas perkreditan dengan tujuan
agar setiap pihak yang terkait dalam aktivitas tersebut tidak
memiliki peluang untuk melakukan dan menyembunyikan
Fraud dalam pelaksanaan tugasnya;
e. pengendalian sistem informasi yang mendukung pengolahan,
penyimpanan, dan pengamanan data secara elektronik untuk
mencegah potensi terjadinya Fraud. Termasuk dalam rangka
377
pengamanan data, Bank wajib memiliki program kontinjensi
yang memadai. Pengendalian sistem informasi ini perlu
disertai dengan tersedianya sistem akuntansi untuk
menjamin penggunaan data yang akurat dan konsisten
dalam pencatatan dan pelaporan keuangan Bank, antara lain
melalui rekonsiliasi atau verifikasi data secara berkala; dan
f. pengendalian lain dalam rangka pengendalian Fraud seperti
pengendalian aset fisik dan dokumentasi.
IV. STRATEGI ANTI FRAUD
Strategi anti Fraud yang disusun secara komprehensif-integralistik

dan diimplementasikan dalam bentuk sistem pengendalian Fraud
diterapkan dengan menggunakan perangkat-perangkat yang
merupakan penjabaran dari 4 (empat) pilar yang saling berkaitan
sebagai berikut:
1. Pencegahan
Pilar pencegahan memuat perangkat-perangkat yang ditujukan
untuk mengurangi potensi terjadinya Fraud, yang paling kurang
mencakup:
a. Anti Fraud Awareness
Anti Fraud awareness adalah upaya untuk menumbuhkan
kesadaran mengenai pentingnya pencegahan Fraud oleh
seluruh pihak terkait.
Melalui kepemimpinan yang baik didukung dengan anti Fraud
awareness yang tinggi diharapkan tumbuh kepedulian semua
unsur di Bank terhadap pengendalian Fraud.
Moral dan awareness dari pimpinan terhadap anti Fraud
harus menjiwai setiap kebijakan atau ketentuan yang
ditetapkannya.
378
Upaya untuk menumbuhkan anti Fraud awareness dilakukan
antara lain melalui:
1) Penyusunan dan sosialisasi Anti Fraud Statement.
Contohnya kebijakan zero tolerance terhadap Fraud.
2) Program employee awareness.
Contohnya penyelenggaraan seminar atau diskusi terkait
anti Fraud, training, dan publikasi mengenai pemahaman
terhadap bentuk-bentuk Fraud, transparansi hasil
investigasi, dan tindak lanjut terhadap Fraud yang
dilakukan secara berkesinambungan.
3) Program customer awareness.
Contohnya pembuatan brosur anti Fraud, penjelasan
tertulis maupun melalui sarana lainnya untuk
meningkatkan kepedulian dan kewaspadaan
nasabah/deposan terhadap kemungkinan terjadinya
Fraud.
b. Identifikasi Kerawanan
Identifikasi kerawanan merupakan proses Manajemen Risiko
untuk mengidentifikasi, menganalisis, dan menilai potensi
risiko terjadinya Fraud.
Secara umum, identifikasi kerawanan ditujukan untuk
mengidentifikasi risiko terjadinya Fraud yang melekat pada
setiap aktivitas yang berpotensi merugikan Bank.
Bank wajib melakukan identifikasi kerawanan pada setiap
aktivitas. Hasil identifikasi didokumentasikan dan
diinformasikan kepada pihak berkepentingan dan selalu
dikinikan terutama terhadap aktivitas yang dinilai berisiko
tinggi untuk terjadinya Fraud.
379
c. Know Your Employee
Sebagai upaya pencegahan terjadinya Fraud, kebijakan know
your employee merupakan upaya pengendalian dari aspek
SDM. Kebijakan know your employee yang dimiliki Bank
1) sistem dan prosedur rekruitmen yang efektif. Melalui
sistem ini diharapkan dapat diperoleh gambaran mengenai
rekam jejak calon karyawan (pre employee screening)
secara lengkap dan akurat;
2) sistem seleksi yang dilengkapi kualifikasi yang tepat
dengan mempertimbangkan risiko, serta ditetapkan secara
obyektif dan transparan. Sistem tersebut harus
menjangkau pelaksanaan promosi maupun mutasi,
termasuk penempatan pada posisi yang memiliki risiko
tinggi terhadap Fraud; dan
3) kebijakan “mengenali karyawan” (know your employee)
antara lain mencakup pengenalan dan pemantauan
karakter, perilaku, dan gaya hidup karyawan.
2. Deteksi
Pilar deteksi memuat perangkat-perangkat yang ditujukan
untuk mengidentifikasikan dan menemukan kejadian Fraud,
yang paling kurang mencakup:
a. Kebijakan dan Mekanisme Whistleblowing
Kebijakan ini ditujukan untuk meningkatkan efektifitas
penerapan sistem pengendalian Fraud dengan
menitikberatkan pada pengungkapan dari pengaduan.
Kebijakan whistleblowing harus dirumuskan secara jelas,
mudah dimengerti, dan dapat diimplementasikan secara
efektif agar memberikan dorongan serta kesadaran kepada
pegawai dan pejabat Bank untuk melaporkan Fraud yang
380
terjadi. Untuk meningkatkan efektifitas penerapan kebijakan
whistleblowing maka kebijakan tersebut paling kurang
mencakup:
1) Perlindungan kepada Whistleblower
Bank harus memiliki komitmen untuk memberikan
dukungan dan perlindungan kepada setiap pelapor Fraud
serta menjamin kerahasiaan identitas pelapor Fraud dan
laporan Fraud yang disampaikan.
2) Regulasi yang terkait dengan Pengaduan Fraud
Bank perlu menyusun ketentuan internal terkait
pengaduan Fraud dengan mengacu pada ketentuan dan
perundang-undangan yang berlaku.
3) Sistem Pelaporan dan Mekanisme Tindak Lanjut Laporan
Fraud
Bank perlu menyusun sistem pelaporan Fraud yang efektif
yang memuat kejelasan proses pelaporan, antara lain
mengenai tata cara pelaporan, sarana, dan pihak yang
bertanggung jawab untuk menangani pelaporan. Sistem
pelaporan harus didukung dengan adanya kejelasan
mekanisme tindak lanjut terhadap kejadian Fraud yang
dilaporkan.
Kebijakan tersebut wajib ditransparankan dan diterapkan
secara konsisten agar dapat menimbulkan kepercayaan
seluruh karyawan Bank terhadap kehandalan dan
kerahasiaan mekanisme whisleblowing.
b. Surprise Audit
Kebijakan dan mekanisme surprise audit perlu dilakukan
terutama pada unit bisnis yang berisiko tinggi atau rawan
terhadap terjadinya Fraud. Pelaksanaan surprise audit dapat
381
meningkatkan kewaspadaan karyawan dalam melaksanakan
tugasnya.
c. Surveillance System
Surveillance system merupakan suatu tindakan pengujian
atau pemeriksaan yang dilakukan tanpa diketahui atau
disadari oleh pihak yang diuji atau diperiksa dalam rangka
memantau dan menguji efektifitas kebijakan anti Fraud.
Surveillance system dapat dilakukan oleh pihak independen
dan/atau pihak internal Bank.
3. Investigasi, Pelaporan, dan Sanksi
Pilar investigasi, pelaporan, dan sanksi memuat perangkat-
perangkat yang ditujukan untuk menggali informasi, sistem
pelaporan termasuk pengenaan sanksi atas kejadian Fraud,
yang paling kurang mencakup:
a. Investigasi
Investigasi dilakukan untuk mengumpulkan bukti-bukti yang
terkait dengan kejadian yang patut diduga merupakan
tindakan Fraud.
Investigasi merupakan bagian penting dalam sistem
pengendalian Fraud yang memberikan pesan kepada setiap
pihak terkait bahwa setiap indikasi tindakan Fraud yang
terdeteksi akan selalu diproses sesuai standar investigasi
yang berlaku dan pelakunya akan diproses sesuai ketentuan
yang berlaku.
Standar investigasi yang dimiliki Bank paling kurang
mencakup:
1) penentuan pihak yang berwenang melaksanakan
investigasi dengan memperhatikan independensi dan
kompetensi yang dibutuhkan; dan
10
382
2) mekanisme pelaksanaan investigasi dalam rangka
menindaklanjuti hasil deteksi dengan tetap menjaga
kerahasiaan informasi yang diperoleh.
b. Pelaporan
Bank wajib memiliki mekanisme pelaporan yang efektif atas
pelaksanaan investigasi dan kejadian Fraud yang ditemukan.
Mekanisme pelaporan tersebut mencakup pelaporan secara
internal kepada pihak manajemen Bank maupun kepada
Bank Indonesia.
c. Pengenaan Sanksi
Bank wajib memiliki kebijakan pengenaan sanksi secara
internal yang efektif dalam rangka menindaklanjuti hasil
investigasi agar menimbulkan efek jera bagi para pelaku
Fraud. Kebijakan ini paling kurang memuat hal-hal berikut:
1) mekanisme pengenaan sanksi; dan
2) pihak yang berwenang mengenakan sanksi.
Kebijakan pengenaan sanksi harus diterapkan secara
transparan dan konsisten.
4. Pemantauan, Evaluasi, dan Tindak Lanjut
Pilar pemantauan, evaluasi, dan tindak lanjut memuat
perangkat-perangkat yang ditujukan untuk memantau dan
mengevaluasi kejadian Fraud serta tindak lanjut yang
diperlukan berdasarkan hasil evaluasi, paling kurang
mencakup:
a. Pemantauan
Salah satu langkah penting dalam mengimplementasikan
sistem pengendalian Fraud adalah memantau tindak lanjut
yang dilakukan terhadap kejadian-kejadian Fraud, baik
sesuai ketentuan internal Bank maupun sesuai dengan
ketentuan dan peraturan perundang-undangan yang berlaku.
11
383
b. Evaluasi
Untuk mendukung pelaksanaan evaluasi, Bank perlu
memelihara data kejadian Fraud (Fraud profiling). Data
kejadian tersebut dapat digunakan sebagai alat bantu
evaluasi. Data kejadian Fraud tersebut, paling kurang
mencakup data dan informasi sebagaimana tercakup dalam
Lampiran 2.
Berdasarkan data kejadian Fraud dan hasil evaluasi tersebut
dapat diidentifikasi kelemahan dan penyebab terjadinya
Fraud serta ditentukan langkah-langkah perbaikan yang
diperlukan, termasuk memperkuat sistem pengendalian
intern. Evaluasi menyeluruh terhadap sistem pengendalian
Fraud perlu dilakukan secara berkala.
c. Tindak lanjut
Bank wajib memiliki mekanisme tindak lanjut berdasarkan
hasil evaluasi atas kejadian Fraud untuk memperbaiki
kelemahan-kelemahan dan memperkuat sistem pengendalian
intern agar dapat mencegah terulangnya kembali Fraud
karena kelemahan yang serupa.
DEPUTI GUBERNUR BANK INDONESIA
MULIAMAN D. HADAD
12
384
Lampiran 18
385
PT BANK ………
LAPORAN PENERAPAN STRATEGI ANTI FRAUD
SEMESTER I/II*) – TAHUN ……
I. Perkembangan Pelaksanaan Penerapan Strategi Anti Fraud a)

…………………………………………………………………………………………………………………………………………………………………………….…
…………………………………………………………………………………………………………………………………………………….……………………….…
II. Inventarisasi Kejadian Fraud dan Tindak Lanjut
Kejadian Fraud Tindak Lanjut

Jenis Tanggal Divisi/ Pihak Jabatan Kerugian d) Tindakan Kelemahan Tindak lanjut/
Fraudb) terjadi Bagian yang (jutaan Bank e) /penyebab perbaikan g)
nya terjadinya terlibatc) rupiah) terjadinya
Fraud Fraud Fraud f)
(1) (2) (3) (4) (5) (6) (7) (8) (9)
.............,.................................
(ttd)
(.................................)
*) dicoret salah satu
386
PENJELASAN UNTUK PENGISIAN LAPORAN
a) Menjelaskan secara singkat mengenai hasil evaluasi dan langkah-langkah tindak lanjut penerapan strategi anti
Fraud pada periode laporan.
b) Jenis Fraud antara lain, kecurangan, penipuan, penggelapan aset, pembocoran informasi, tindak pidana bank,
atau lainnya.
c) Pihak yang terlibat meliputi seluruh pihak yang diindikasikan terlibat/ikut serta dalam Fraud. Jika pihak yang
terlibat lebih dari 1 (satu) orang, dijelaskan peran masing-masing pihak.
d) Kerugian diisi dengan kerugian yang telah terjadi ataupun perkiraan kerugian.
e) Tindakan Bank merupakan respon Bank atas kejadian Fraud baik berupa tindakan kepada pelaku, pihak yang
dirugikan ataupun tindakan lainnya. Tindakan kepada pelaku Fraud antara lain berupa sanksi administratif
kepegawaian dan/atau kewajiban ganti rugi. Tindakan kepada pihak yang dirugikan antara lain berupa
penggantian kerugian dan/atau upaya pemulihan nama baik. Tindakan lain misalnya laporan kepada pihak yang
berwenang dan/atau upaya hukum yang dilakukan.
f) Kelemahan/penyebab terjadinya Fraud merupakan identifikasi kelemahan pada Bank yang menimbulkan Fraud,
dapat berupa kelemahan kebijakan, sistem dan prosedur, atau sumber daya manusia, maupun penyebab lainnya
yang tidak berasal dari Bank.
g) Tindak lanjut/perbaikan merupakan upaya yang telah atau akan dilakukan Bank terkait kelemahan yang
menimbulkan Fraud.
DEPUTI GUBERNUR BANK INDONESIA,
MULIAMAN D. HADAD
387
Lampiran 19
388
Surat Edaran bank Indonesia Nomor 13/29/DPNP Tahun 2011
PEDOMAN PENERAPAN MANAJEMEN RISIKO

PADA BANK UMUM YANG MELAKUKAN
LAYANAN NASABAH PRIMA
I. LATAR BELAKANG
1. Semakin berkembangnya inovasi layanan Bank dalam
menyediakan produk dan/atau aktivitas yang disesuaikan
dengan kebutuhan nasabahnya mendorong adanya suatu
segmen nasabah tertentu yang menginginkan Bank dapat
memberikan layanan perbankan secara lebih personal dan
mendapatkan tambahan layanan keistimewaan tertentu.
2. Selama ini upaya Bank untuk memenuhi kebutuhan Nasabah
Prima berpotensi meningkatkan profil risiko perbankan,
khususnya risiko operasional, risiko hukum, dan risiko
reputasi. Sehubungan dengan hal tersebut, telah diatur secara
bank-wide antara lain mengenai penerapan manajemen risiko,
anti pencucian uang dan pencegahan pendanaan teroris, serta
transparansi informasi produk Bank dan penggunaan data
pribadi nasabah sebagai acuan standar minimal bagi Bank
dalam memberikan layanan kepada nasabahnya.
3. Mengingat potensi risiko LNP sebagaimana dikemukakan di
atas, maka atas layanan tersebut dipandang perlu untuk
merumuskan suatu standar minimal sebagai pedoman
penyusunan kebijakan dan penerapan manajemen risiko pada
aspek tertentu. Standar minimal dimaksud antara lain
didasarkan pada ketentuan Bank Indonesia yang mengatur
mengenai penerapan manajemen risiko, serta memperhatikan
pengaturan mengenai anti pencucian uang dan pencegahan
pendanaan teroris, serta transparansi informasi produk bank
dan penggunaan data pribadi nasabah.
II. KEBIJAKAN LAYANAN NASABAH PRIMA

Bank wajib memiliki kebijakan LNP, yang paling kurang mencakup
hal-hal sebagai berikut:
1
389
1. Persyaratan Nasabah Prima

Dalam melaksanakan LNP, Bank menetapkan persyaratan
tertentu bagi nasabah yang harus dipenuhi untuk dapat
diperlakukan sebagai Nasabah Prima, paling kurang:
a. rata-rata jumlah minimum dana nasabah yang harus
mengendap di Bank dalam periode tertentu, termasuk dana
yang telah diinvestasikan pada produk yang dipasarkan
Bank;
b. telah melalui proses Enhanced Due Diligence (EDD); dan
c. atas dasar pengajuan/permohonan dari nasabah.
Sehubungan dengan EDD, pelaksanaannya mengacu kepada
ketentuan Bank Indonesia mengenai penerapan program APU
dan PPT. Implementasi EDD dalam LNP misalnya pengaturan
mengenai pejabat yang berwenang memberikan persetujuan
atas hubungan usaha dengan calon Nasabah Prima adalah
pejabat senior.
2. Ruang lingkup produk dan/atau aktivitas Bank
Ruang lingkup kebijakan LNP mencakup produk dan/atau
aktivitas yang ditawarkan Bank dalam LNP dengan
memperhatikan peraturan perundang-undangan yang mengatur
mengenai produk dan/atau aktivitas Bank.
a. Produk dan/atau aktivitas
Produk dan/atau aktivitas yang dapat ditawarkan dalam
LNP mencakup:
1) produk dan/atau aktivitas tradisional perbankan yang
memiliki fitur dasar sesuai karakteristik produk
dan/atau aktivitas tersebut, seperti giro, tabungan,
deposito, sertifikat deposito, kredit/pembiayaan,
produk derivatif yang bersifat plain vanilla, bank
garansi, dan trade finance;
2
390
2) produk dan/atau aktivitas non tradisional perbankan

seperti Structured Product dan produk keuangan non
Bank seperti Reksa Dana dan Bancassurance.
b. Pemenuhan terhadap ketentuan
Produk dan/atau aktivitas yang ditawarkan telah
memenuhi kriteria:
1) telah memenuhi dan/atau tidak bertentangan dengan
peraturan perundang-undangan yang diterbitkan oleh
Bank Indonesia dan otoritas lain yang terkait dengan
penawaran produk dan/atau aktivitas oleh Bank.
Contoh:
a) Surat Edaran Bank Indonesia mengenai
penerapan manajemen risiko pada bank yang
melakukan aktivitas berkaitan dengan Reksa
Dana.
b) Peraturan Bank Indonesia mengenai pembelian
dan transaksi valuta asing terhadap Rupiah.
c) Peraturan Bapepam mengenai Pedoman
Pengelolaan Portofolio Efek untuk Kepentingan
Nasabah secara Individual yang melarang
Manajer Investasi menggunakan agen untuk
menawarkan aktivitas tersebut.
2) telah mendapat surat penegasan atau persetujuan dari
Bank Indonesia dengan mengacu kepada ketentuan
Bank Indonesia mengenai pelaporan produk atau
aktivitas baru, dan ketentuan lainnya terkait produk
dan/atau aktivitas, seperti ketentuan mengenai
bancassurance dan structured product.
Contoh:
Surat penegasan Bank Indonesia atas laporan rencana
3
391
penjualan efek Reksa Dana yang disampaikan Bank

dengan menyertakan surat pernyataan efektif untuk
produk Reksa Dana dari Bapepam dan LK.
c. Telah memiliki mekanisme kerja sama dengan perusahaan
mitra
Dalam hal Bank bekerja sama dengan perusahaan mitra
dalam rangka pemasaran produk-produk non Bank, maka
Bank perlu memiliki mekanisme kerja sama untuk
memastikan bahwa perusahaan mitra memenuhi syarat
menjadi mitra kerja baik sebelum maupun selama kerja
sama dilakukan. Mekanisme tersebut paling kurang
memenuhi prinsip-prinsip sebagai berikut :
1) prinsip kehati-hatian dan penerapan manajemen
risiko sebagaimana diatur dalam peraturan terkait
produk keuangan non Bank yang ditawarkan melalui
Bank;
2) prinsip hubungan kerja sama yang wajar (arm’s length
principle) khususnya jika mitra merupakan pihak
terkait dengan Bank; dan
3) prinsip perlindungan nasabah antara lain diperlukan
dalam menentukan tindak lanjut atas kondisi kinerja
mitra yang memburuk.
d. Telah mempertimbangkan risiko dari produk dan/atau
aktivitas yang ditawarkan dengan menghindari potensi
risiko yang tidak terbatas, seperti tidak memberikan
fasilitas kartu kredit tanpa limit dan produk tanpa jangka
waktu.
3. Cakupan keistimewaan LNP
Pemberian keistimewaan dalam LNP harus melalui penetapan
Bank terlebih dahulu. Penetapan tersebut memuat antara lain:
4
392
a. keistimewaan yang dapat diberikan;

b. waktu pemberian (jangka waktu tertentu atau sewaktu-
waktu atau selamanya);
c. kriteria yang harus dipenuhi nasabah untuk mendapatkan
keistimewaan seperti syarat maupun kondisi dan situasi
yang dihadapi, profil Nasabah Prima, pengelompokan
Nasabah Prima dan lain-lain.
Contoh keistimewaan layanan yang terkait dengan transaksi
keuangan antara lain:
a. layanan personal dari petugas Bank yang menjadi
penghubung (relationship manager) antara Bank dan
Nasabah Prima tertentu;
b. pick up service;
c. tarif dan perlakuan spesial atas beberapa layanan seperti
produk tresuri, fund transfer, bill paying services, ATM,
internet banking, safe deposit box, emergency cash,
dan/atau kredit/pembiayaan (termasuk kartu kredit).
Contoh keistimewaan layanan non keuangan antara lain
membership golf, executive lounge dan/atau antar jemput
bandara.
4. Nama layanan dan pengelompokan Nasabah Prima
Dalam rangka membedakan layanan prima untuk Nasabah
Prima dengan nasabah lainnya secara umum, Bank harus
menetapkan nama tersendiri (brand name) untuk LNP. Selain
itu, dalam hal Bank melakukan pengelompokan Nasabah Prima
ke dalam beberapa kelompok, maka untuk masing-masing
kelompok Bank menetapkan antara lain nama kelompok,
persyaratan Nasabah Prima, dan cakupan layanan produk
dan/atau aktivitas.
5
393
Contoh:
Dalam hal Bank memiliki tiga kelompok Nasabah Prima, maka
Bank menetapkan:
a. penggunaan nama yang berbeda untuk masing-masing
kelompok, misalnya kelompok A, kelompok B, dan
kelompok C.
b. batas minimum dan maksimum total simpanan pada
dan/atau pinjaman dari Bank, dan/atau nilai produk
keuangan non Bank yang dibeli melalui Bank secara
bertingkat, misalnya untuk menjadi Nasabah Prima
kelompok A paling sedikit Rp500.000.000,00 (lima ratus
juta rupiah), kelompok B paling sedikit
Rp1.000.000.000,00 (satu milyar rupiah), dan kelompok C
paling sedikit Rp5.000.000.000,00 (lima milyar rupiah)
atau ekuivalennya dalam valuta asing.
III. MANAJEMEN RISIKO PADA ASPEK-ASPEK TERTENTU

Dalam melakukan LNP, selain menerapkan manajemen risiko secara
umum sebagaimana diatur dalam ketentuan Bank Indonesia
mengenai manajemen risiko, Bank harus menerapkan manajemen
risiko pada aspek-aspek tertentu sebagai berikut:
1. Aspek Pendukung Keistimewaan Layanan
Penerapan manajemen risiko dalam rangka pemberian
keistimewaan LNP, paling kurang mencakup:
a. Sumber Daya Manusia (SDM)
Dalam rangka meminimalisasi risiko operasional LNP yang
berasal dari faktor manusia, diperlukan pemenuhan
sumber daya manusia yang memadai, baik dari sisi
kualitas maupun kuantitas sesuai dengan karakteristik
dan kompleksitas produk dan/atau aktivitas yang
6
394
ditawarkan dalam LNP. Untuk itu Bank harus menetapkan

paling kurang:
1) Persyaratan dan kualifikasi jabatan tertentu
SDM dalam LNP wajib memenuhi persyaratan dan
kualifikasi, baik yang secara umum berlaku di Bank
maupun yang spesifik terkait produk dan/atau
aktivitas dalam LNP secara memadai. Contoh
kualifikasi dan persyaratan antara lain :
a) Memiliki izin sebagai Wakil Agen Penjual Efek
Reksa Dana (WAPERD) untuk dapat memasarkan
produk Reksa Dana;
b) Memahami dan mampu menjelaskan produk atau
jasa yang ditawarkan dalam LNP dengan baik.
2) Wewenang dan tanggung jawab yang jelas
Dalam rangka mendukung proses kerja, Bank
memiliki struktur organisasi yang mendukung
efektivitas pengendalian intern. Struktur organisasi
yang demikian memuat kejelasan tugas yang terkait
dengan wewenang dan tanggung jawab SDM dalam
LNP, tata cara pelaporan dan penugasan ke dan dari
atasan (line of command), dan evaluasi unit bisnis,
yang memungkinkan diterapkannya pengawasan
melekat secara berjenjang.
3) Penerapan prinsip Know Your Employee (KYE)
Dalam rangka pengendalian dan
pencegahan/pendeteksian fraud, prinsip KYE
diterapkan melalui mekanisme antara lain:
a) Prosedur penyaringan (screening) pegawai baru
pada LNP;
b) Pemantauan profil pegawai secara berkala.
7
395
4) Sistem remunerasi
Bank menetapkan sistem remunerasi yang jelas dan
transparan. Misalnya dalam rangka menetapkan
formulasi struktur insentif, selain mempertimbangkan
pencapaian target finansial, Bank juga memperhatikan
kualitas layanan.
5) Kebijakan pengendalian risiko yang terkait dengan
manajemen SDM
Pengendalian risiko yang terkait dengan sistem dan
proses di bidang manajemen SDM dilakukan antara
lain dengan menetapkan kode etik pegawai,
peningkatan kompetensi dan integritas SDM,
pengaturan dan pengawasan internal yang memadai
pada proses rekrutmen, rotasi, mutasi, promosi, dan
cuti.
6) Kebijakan evaluasi secara berkala
Dalam rangka menilai tingkat kecukupan dan
konsistensi penerapan kebijakan dan prosedur di
bidang SDM, Bank harus melakukan evaluasi secara
berkala.
b. Operasional LNP
Dalam rangka melaksanakan kebijakan LNP yang telah
ditetapkan, maka diperlukan adanya prosedur tertulis
operasional LNP yang telah mempertimbangkan hasil
proses identifikasi, pengukuran, pemantauan, dan
pengendalian risiko serta sistem informasi manajemen
risiko. Prosedur operasional LNP meliputi setiap produk
dan/atau aktivitas yang ditawarkan dalam LNP. Penetapan
prosedur khusus pada LNP harus memenuhi ketentuan
yang mengatur mengenai penerapan manajemen risiko
8
396
terutama aspek pengendalian internal dan ketentuan yang

mengatur mengenai APU dan PPT.
Penyusunan prosedur operasional LNP perlu
memperhatikan:
1) kebijakan, prosedur dan penetapan limit yang berlaku
untuk setiap produk dan/atau aktivitas Bank.
2) terciptanya pengendalian intern yang efektif, antara
lain dengan menerapkan prinsip pemisahan tugas
(segregation of duties). Dalam hal ini, perlu dihindari
pendelegasian wewenang dan tanggung jawab yang
menimbulkan benturan kepentingan (conflict of
interest).
Contoh pemisahan tugas antara lain :
a) suatu pekerjaan yang dilakukan oleh unit yang
berhubungan langsung dengan nasabah tidak
boleh dilakukan oleh unit yang memproses
transaksi dan konfirmasi; dan
b) suatu pekerjaan yang dilakukan oleh unit yang
menyampaikan laporan berkala kepada nasabah
dan menatausahakan bukti penyampaian tidak
boleh dilakukan oleh unit yang berhubungan
langsung dengan nasabah.
3) seluruh keistimewaan atau perlakuan khusus dari
penyediaan produk dan/atau aktivitas dalam LNP.
4) kriteria yang harus dipenuhi oleh Nasabah Prima yang
mendapat layanan khusus seperti syarat maupun
kondisi dan situasi yang dihadapi, profil Nasabah
Prima, pengelompokan Nasabah Prima, dan lain-lain.
Pelaksanaan prosedur operasional LNP perlu
memperhatikan:
1) program APU dan PPT mengingat LNP merupakan
9
397
salah satu area berisiko tinggi untuk digunakan

sebagai sarana pencucian uang.
Penerapan Bank atas ketentuan APU dan PPT antara
lain dengan melakukan Enhanced Due Diligence (EDD)
secara berkala atas Nasabah Prima dan transaksi
tertentu, penanganan red flags, dan melakukan
analisis atas transaksi yang berpotensi mencurigakan.
2) efektivitas kebijakan dan prosedur LNP.
Dalam rangka memastikan efektivitas prosedur
operasional LNP tersebut perlu didukung:
a) pengendalian internal yang memadai, antara lain
dengan metode seperti surprise audit dan mystery
shopping secara berkala; dan
b) evaluasi terhadap kepatuhan atas ketentuan yang
berlaku dan perkembangan kegiatan LNP.
3) hasil pemantauan dan koreksi penyimpangan.
Hasil pemantauan dan koreksi penyimpangan antara
lain diperoleh dengan melakukan:
a) pemantauan secara terus menerus termasuk
diantaranya pemeriksaan oleh internal control
mengenai kebenaran pemrosesan setiap transaksi
di akhir hari;
b) pelaksanaan fungsi audit intern yang efektif dan
menyeluruh; dan
c) perbaikan terhadap penyimpangan baik yang
diidentifikasi oleh satuan kerja operasional,
satuan kerja audit intern, maupun pihak lainnya.
c. Penawaran produk dan/atau aktivitas
Dalam menawarkan produk dan/atau aktivitas kepada
masing-masing Nasabah Prima, selain memastikan bahwa
10
398
surat izin/penegasan telah diperoleh untuk produk non

tradisional, Bank juga mempertimbangkan kesesuaian
spesifikasi, karakteristik, dan risiko dari produk dan/atau
aktivitas yang ditawarkan dengan karakteristik dan profil
risiko Nasabah Prima tersebut. Sebelum ditawarkan kepada
Nasabah Prima, produk dan/atau aktivitas dan
keistimewaan layanan tersebut harus melalui persetujuan
pejabat yang berwenang pada LNP yang ditetapkan Bank.
Penawaran produk dan/atau aktivitas dilakukan melalui
proses sebagai berikut:
1) Penyeleksian produk dan/atau aktivitas
Bank melakukan identifikasi kesesuaian spesifikasi
produk dan/atau aktivitas dengan jenis dan besar
potensi risiko sesuai profil risiko nasabah. Analisa
kesesuaian spesifikasi produk yang akan ditawarkan
dengan risiko yang dapat ditoleransi oleh nasabah
mencakup antara lain kesesuaian jangka waktu
(durasi) dan jenis serta besarnya risiko.
Contoh:
a) Terkait jangka waktu produk, nasabah yang ingin
dapat menarik/mencairkan dana investasinya
sewaktu-waktu sebaiknya tidak ditawarkan produk
yang memiliki jangka waktu panjang.
b) Terkait risiko produk dan risk appetite Nasabah
Prima, Bank sebaiknya tidak mereferensikan unit
link yang ditanamkan pada surat berharga yang
memiliki underlying berupa saham kepada Nasabah
Prima yang termasuk kategori risk averse atau risk
avoider, karena unit link seperti ini termasuk high
risk product.
11
399
2) Penetapan tarif dan perlakuan khusus untuk setiap

kelompok Nasabah Prima.
Pemberlakuan tarif istimewa dan perlakuan khusus
atas produk dan/atau aktivitas tertentu dapat berbeda
di antara masing-masing kelompok Nasabah Prima
berdasarkan penetapan oleh Bank. Penerapannya
harus disesuaikan dengan masing-masing profil
Nasabah Prima.
Contoh:
a) Dasar pemberlakuan special rate yang berbeda-
beda untuk layanan penukaran uang valuta asing
dengan tarif khusus, selain berdasarkan
kelompok Nasabah Prima, juga berdasarkan
volume dan frekuensi transaksi yang dilakukan
nasabah, dan bisnis nasabah yang mendasari
diperlukannya penukaran uang valas tersebut.
b) Keringanan biaya transaksi, provisi dan komisi.
3) Penetapan kondisi/syarat untuk layanan istimewa
Bank harus menetapkan syarat untuk setiap layanan
istimewa. Apabila persyaratan tersebut dapat dipenuhi
oleh Nasabah Prima yang meminta tambahan
kenyamanan dan/atau kelancaran transaksi, maka
Nasabah Prima tersebut dapat menikmati layanan
istimewa.
Contoh kondisi/syarat yang harus ditetapkan oleh
Bank:
a) pick up service memperhatikan jumlah setoran,
lokasi penjemputan, dan/atau klasifikasi
Nasabah Prima tertentu; dan
b) emergency cash memperhatikan kebutuhan
Nasabah Prima dalam kondisi darurat di luar
12
400
wilayah Indonesia atau kondisi khusus lainnya

yang ditetapkan oleh Bank.
4) Evaluasi kesesuaian cakupan LNP
Dalam rangka memaksimalkan penggunaan layanan
yang tersedia bagi setiap klasifikasi LNP dan
penerapan manajemen risiko, Bank melakukan
evaluasi secara berkala atas kesesuaian cakupan
layanan yang diberikan kepada setiap Nasabah Prima.
Tujuan evaluasi ini antara lain untuk meninjau status
nasabah sebagai Nasabah Prima dan kesesuaian profil
Nasabah Prima dengan produk dan/aktivitas yang
telah diperolehnya maupun yang akan ditawarkan
Bank kepada Nasabah Prima.
Evaluasi paling kurang mencakup hal-hal sebagai
berikut:
a) portofolio simpanan/investasi dan pinjaman
nasabah di/dari Bank atau yang dibeli melalui
Bank;
b) tujuan, pengalaman dan kemampuan menyerap
kerugian investasi; dan
c) preferensi, persepsi dan toleransi terhadap risiko.
d. Teknologi informasi
Dalam rangka memastikan terpenuhinya kebutuhan
informasi, perlindungan data nasabah, terjaminnya
kerahasiaan data Bank, dan untuk mendukung
pengelolaan risiko Bank diperlukan sistem teknologi
informasi dan pengamanan informasi yang memadai.
Dukungan teknologi informasi tersebut antara lain
tercermin dari kemampuan sistem teknologi informasi
menghasilkan laporan yang akurat dan komprehensif
13
401
dalam aktivitas LNP.

Contoh:
1) laporan sistem informasi manajemen risiko yang
dilaporkan secara berkala kepada Direksi, perlu
memenuhi paling kurang mengenai:
a) eksposur risiko LNP;
b) kepatuhan terhadap kebijakan dan prosedur
serta penetapan limit;
c) realisasi pelaksanaan Manajemen Risiko
dibandingkan dengan target yang ditetapkan;
d) pemantauan perkembangan informasi dan data
terkait LNP dilakukan secara bulanan, antara lain
meliputi jumlah nasabah, volume produk yang
dijual, kantor yang memberikan layanan, dan
informasi terkait lainnya.
2) teknologi informasi mampu mengolah informasi dan
data secara terintegrasi sehingga seluruh aktivitas
keuangan Nasabah Prima yang dilakukan pada
dan/atau melalui Bank dapat tersajikan secara tepat
waktu dan akurat.
Contoh terintegrasinya data/informasi:
1) tersedianya data keuangan Nasabah Prima terkait
simpanan, pinjaman, dan produk keuangan
lainnya yang dibeli Nasabah Prima baik yang
diterbitkan oleh Bank maupun non Bank;
2) pemberian tanda/indikator khusus bagi rekening
Nasabah Prima yang dapat memperlancar
penyediaan layanan keistimewaan bagi Nasabah
Prima; dan/atau
3) penggunaan sistem aplikasi yang dapat
14
402
menyimpan spesimen tanda-tangan Nasabah

Prima.
2. Aspek transparansi, edukasi dan perlindungan nasabah
Dalam melaksanakan LNP dan sebagai bagian dari upaya
pemenuhan aspek transparansi, edukasi dan perlindungan
nasabah baik yang diatur oleh Bank Indonesia maupun otoritas
lainnya, Bank melakukan hal-hal sebagai berikut:
a. Memberikan penjelasan mengenai spesifikasi LNP
1) Bank harus menjelaskan secara tertulis dan lisan
mengenai nama/brand name dari LNP, masing-masing
kelompok Nasabah Prima dalam LNP dan kriterianya
(apabila ada), cakupan layanan produk dan/atau
aktivitas yang tersedia untuk ditawarkan kepada
Nasabah Prima. Untuk itu, hal-hal yang perlu
dijelaskan antara lain:
a) spesifikasi dan karakteristik produk dan/atau
aktivitas;
b) keistimewaan yang dapat diperoleh sebagai
Nasabah Prima; dan
c) risiko, tanggung jawab, hak, dan kewajiban baik
untuk pihak Bank maupun Nasabah Prima.
2) dalam hal produk dan/atau aktivitas yang ditawarkan
bukan produk dan/atau aktivitas Bank yang
bersangkutan, maka Bank wajib:
a) menjelaskan bahwa tanggung jawab atas produk
dan aktivitas non Bank yang ditawarkan oleh
atau melalui Bank bukan berada pada Bank; dan
b) menjelaskan kepada Nasabah Prima bahwa
produk dan/atau aktivitas tersebut telah
memperoleh surat penegasan dan/atau
15
403
persetujuan dari Bank Indonesia dan otoritas

terkait.
3) pemberian informasi mengenai produk dan/atau
aktivitas tidak dapat melebihi kewenangan/izin yang
dimiliki Bank.
4) pemberian informasi mengenai produk dan/atau
aktivitas tidak dapat menggunakan pengaruh atau
tekanan untuk kepentingan Bank, grup Bank atau
pegawai Bank.
5) tidak memberikan informasi yang menyesatkan
(misleading) dan/atau yang tidak sesuai dengan norma
yang berlaku (misconduct) mengenai produk dan/atau
aktivitas yang ditawarkan.
b. Memastikan kejelasan hubungan antara Bank dan
Nasabah Prima
Hubungan antara Bank dan Nasabah Prima dalam LNP
harus didasarkan pada kesepakatan tertulis yang paling
kurang memuat:
1) hak dan kewajiban Bank dan Nasabah Prima
a) contoh hak Bank:
(1) mengevaluasi status Nasabah Prima secara
berkala;
(2) meminta data pendukung terkait profil
nasabah dan transaksi yang dilakukan oleh
nasabah.
b) contoh kewajiban Bank:
(1) memperoleh persetujuan tertulis dari
Nasabah Prima dalam hal Bank akan
memberikan dan/atau menyebarluaskan
Data Pribadi Nasabah kepada pihak lain
16
404
untuk tujuan komersial kecuali ditetapkan

lain oleh peraturan perundang-undangan;
(2) segera memberitahukan kepada Nasabah
Prima jika terdapat perubahan standar
prosedur operasi yang harus dan/atau dapat
diikuti Nasabah Prima dalam bertransaksi
melalui Bank. Informasi mengenai
perubahan standar prosedur operasi
dimaksud harus disampaikan sebelum
diberlakukan secara efektif dalam waktu
yang cukup kepada Nasabah Prima.
c) contoh hak Nasabah Prima:
(1) memperoleh informasi mengenai aktivitas
keuangannya setiap saat diperlukan;
(2) memperoleh konfirmasi dan notifikasi
transaksi dengan metode dan besaran sesuai
yang disepakati dengan bank.
d) contoh kewajiban Nasabah Prima:
(1) memenuhi persyaratan yang ditetapkan bank
untuk melakukan suatu transaksi keuangan
tertentu sesuai dengan ketentuan yang
berlaku.
(2) memberikan persetujuan kepada mitra bank
untuk memberikan data terkait produk
keuangan non bank yang ditransaksikan
Nasabah Prima dengan mitra Bank melalui
Bank dalam rangka penyampaian informasi
berkala yang komprehensif.
2) Penyelesaian perselisihan
Untuk mengantisipasi perselisihan antara Bank dan
17
405
Nasabah Prima, dalam hubungan hukum antara Bank

dan Nasabah Prima perlu dicantumkan tata cara
penyelesaian perselisihan.
3) Hal-hal lain yang memerlukan kesepakatan bersama
antara Bank dan Nasabah Prima, antara lain :
a) periodisasi maupun media penyampaian
informasi atas laporan berkala kepada Nasabah
Prima sesuai kesepakatan, seperti melalui surat,
e-mail, atau diambil sendiri secara langsung oleh
Nasabah Prima;
b) batasan penggunaan layanan keistimewaan yang
diberikan Bank untuk Nasabah Prima, apakah
hanya untuk digunakan oleh nasabah atau dapat
diberikan kepada atau dinikmati oleh anggota
keluarga atau perusahaan nasabah;
c) tata cara konfirmasi dan/atau notifikasi transaksi
termasuk batasan nilai transaksi yang harus
dikonfirmasi dan/atau notifikasi;
d) pihak yang harus dihubungi apabila terdapat
situasi darurat pada nasabah.
c. Memastikan kewenangan pelaku transaksi
Bank harus memiliki suatu mekanisme untuk memastikan
bahwa transaksi benar dilakukan oleh Nasabah Prima yang
bersangkutan atau kuasa yang mewakili Nasabah Prima
tersebut. Hal tersebut dapat dilakukan antara lain dengan:
1) menggunakan metode verifikasi transaksi, misalnya
melalui konfirmasi sebelum transaksi diproses (ex
ante) dan notifikasi setelah transaksi diproses (ex
post), sesuai dengan kesepakatan antara Bank dan
Nasabah Prima;
18
406
2) menggunakan batasan besarnya nilai transaksi yang

harus dikonfirmasi oleh Bank kepada Nasabah Prima.
Unsur yang dapat dipertimbangkan dalam
menentukan batasan tersebut antara lain:
a) kebijakan back office masing-masing Bank untuk
masing-masing jenis transaksi;
b) kelompok Nasabah Prima; dan/atau
c) risk appetite Nasabah Prima.
d. Menyampaikan informasi berkala
Bank menyampaikan informasi mengenai total dana dan
investasi beserta rinciannya kepada Nasabah Prima secara
terintegrasi dengan metode dan media penyampaian yang
disepakati Nasabah Prima. Informasi tersebut paling
kurang mencakup:
1) laporan mutasi rekening simpanan (statement of
account);
2) laporan rekening kredit/pembiayaan /pinjaman; dan
3) laporan transaksi produk keuangan non Bank.
19
407
Lampiran 20
408
Lampiran 20 Surat Edaran Bank Indonesia Nomor 8/27/DPNP tanggal 27 November 2006
Laporan Keuangan Konsolidasi

NERACA
Bank :
Tanggal :
(dalam jutaan rupiah)
No. POS - POS BANK KONSOLIDASI
AKTIVA
1. Kas
a. Giro Bank Indonesia
b. Sertifikat Bank Indonesia
c. Lainnya
3. Giro pada bank lain
a. Rupiah
b. Valuta asing
a. Rupiah
PPA - Penempatan pada bank lain -/-
b. Valuta asing
PPA - Penempatan pada bank lain -/-
5. Surat Berharga yang dimiliki
a. Rupiah
i. Diperdagangkan
ii. Tersedia untuk dijual
iii. Dimiliki hingga jatuh tempo
PPA - Surat berharga yang dimiliki -/-
b. Valuta asing
i. Diperdagangkan
ii. Tersedia untuk dijual
iii. Dimiliki hingga jatuh tempo
PPA - Surat berharga yang dimiliki -/-
6. Surat berharga yang dijual dengan janji dibeli kembali
7. Obligasi Pemerintah
a. Diperdagangkan
b. Tersedia untuk dijual
c. Dimiliki hingga jatuh tempo
8. Tagihan atas surat berharga yang dibeli dengan
janji dijual kembali (reverse repo )
a. Rupiah
PPA - Reverse Repo -/-
b. Valuta asing
PPA - Reverse Repo -/-
9. Tagihan derivatif
PPA - Tagihan derivatif -/-
10. Kredit yang diberikan
a. Rupiah
i. Pihak terkait dengan bank
ii. Pihak lain
PPA - Kredit yang diberikan -/-
b. Valuta asing
ii. Pihak lain
PPA - Kredit yang diberikan -/-
11. Tagihan akseptasi
PPA - Tagihan akseptasi -/-
12. Penyertaan
PPA - Penyertaan -/-
13. Pendapatan yang masih akan diterima
14. Biaya dibayar dimuka
15. Uang muka pajak
16. Aktiva pajak tangguhan
17. Aktiva tetap
Akumulasi penyusutan aktiva tetap -/-
18. Properti terbengkalai
PPA - Properti terbengkalai -/- *)
19. Aktiva sewa guna
Akumulasi penyusutan aktiva sewa guna -/-
20. Agunan yang diambil alih
PPA - Agunan yang diambil alih -/- *)
21. Aktiva lain-lain
Total Aktiva
409
PASIVA
1. Giro
a. Rupiah
b. Valuta asing
2. Kewajiban segera lainnya
3. Tabungan
4. Simpanan berjangka
a. Rupiah
ii. Pihak lain
b. Valuta asing
ii. Pihak lain
5. Sertifikat deposito
a. Rupiah
b. Valuta asing
6. Simpanan dari bank lain
7. Kewajiban pembelian kembali surat berharga
yang dijual dengan syarat repo
8. Kewajiban derivatif
9. Kewajiban akseptasi
10. Surat berharga yang diterbitkan
a. Rupiah
b. Valuta asing
11. Pinjaman yang diterima
a. Fas. pendanaan jangka pendek Bank Indonesia
b. Lainnya
i. Rupiah
- Pihak terkait dengan bank
- Pihak lain
ii. Valuta asing
- Pihak terkait dengan bank
- Pihak lain
12. Estimasi kerugian komitmen & kontinjensi
13. Kewajiban sewa guna usaha
14. Beban yang masih harus dibayar
15. Taksiran pajak penghasilan
16. Kewajiban pajak tangguhan
17. Kewajiban lain-lain
18. Pinjaman subordinasi
a. Pihak terkait dengan bank
b. Pihak lain
19. Modal Pinjaman
a. Pihak terkait dengan bank
b. Pihak lain
20. Hak minoritas
21. Ekuitas
a. Modal disetor
b. Agio (disagio)
c. Modal sumbangan
d. Dana setoran modal
e. Selisih penjabaran laporan keuangan
f. Selisih penilaian kembali aktiva tetap
g. Laba (rugi) yang belum direalisasi dari surat berharga
h. Pendapatan komprehensif lainnya
i. Saldo laba (rugi) tahun lalu
j. Saldo laba (rugi) tahun berjalan
Total Pasiva
410
Lampiran 21
411

Laporan Laba Rugi
Bank :
Tanggal :
PENDAPATAN DAN BEBAN OPERASIONAL

1. Pendapatan bunga
1.1. Hasil bunga
a. Rupiah
b. Valuta asing
1.2. Provisi dan komisi
a. Rupiah
b. Valuta asing
Jumlah Pendapatan Bunga
2. Beban bunga
2.1. Beban bunga
a. Rupiah
b. Valuta asing
2.2. Komisi dan provisi
Jumlah Beban Bunga
Pendapatan Bunga Bersih
3. Pendapatan operasional lainnya
3.1. Pendapatan provisi, komisi, fee
3.2. Pendapatan transaksi valuta asing
3.3. Pendapatan kenaikan nilai surat berharga
3.4 Pendapatan lainnya
Jumlah Pendapatan Operasional lainnya
4. Beban (Pendapatan) Penyisihan Penghapusan Aktiva
5. Beban (Pendapatan) estimasi kerugian komitmen dan kontinjensi
6. Beban operasional lainnya
6.1. Beban administrasi dan umum
6.2. Beban personalia
6.3. Beban penurunan nilai surat berharga
6.4. Beban transaksi valas
6.5 Beban promosi
6.6. Beban lainnya
Jumlah Beban Operasional Lainnya
LABA (RUGI) OPERASIONAL
PENDAPATAN DAN BEBAN NON OPERASIONAL
7. Pendapatan non operasional
8. Beban non operasional
Pendapatan (Beban) Non Operasional
9. Pendapatan/Beban Luar Biasa
10. LABA/ RUGI SEBELUM PAJAK PENGHASILAN
11. Taksiran pajak penghasilan -/-
12. LABA/ RUGI TAHUN BERJALAN
13. Hak minoritas -/-
14. Saldo laba (rugi) awal tahun
15. Dividen
Lainnya
16. Saldo laba (rugi) akhir Periode
17. Laba bersih per saham *)
412
Lampiran 22
413

Komitmen dan Kontinjensi
Bank :
Tanggal :
KOMITMEN
Tagihan Komitmen
1. Fasilitas pinjaman yg diterima dan belum digunakan
a. Rupiah
b. Valuta asing
2. Lainnya
Jumlah Tagihan Komitmen
Kewajiban Komitmen
1. Fasilitas kredit kepada nasabah yg belum ditarik
a. Rupiah
b. Valuta asing
2. Irrevocable L/C yang masih berjalan dalam rangka impor dan ekspor
3. Lainnya
Jumlah Kewajiban Komitmen
JUMLAH KOMITMEN BERSIH
KONTINJENSI
Tagihan Kontinjensi
1. Garansi yang diterima
a. Rupiah
b. Valuta asing
2. Pendapatan bunga dalam penyelesaian
a. Rupiah
b. Valuta asing
3. Lainnya
Jumlah Tagihan Kontinjensi
Kewajiban Kontinjensi
1. Garansi yang diberikan
a. Bank garansi
- Rupiah
- Valuta asing
b. Lainnya
2. Revocable L/C yang masih berjalan dalam rangka impor dan ekspor
3. Lainnya
Jumlah Kewajiban Kontinjensi
JUMLAH KONTINJENSI BERSIH
414
Lampiran 23
415
LAPORAN PERHITUNGAN KPMM SECARA KONSOLIDASI

Bank : ……………………….
Tanggal : ………………………….
KETERANGAN BANK KONSOLIDASI
I. KOMPONEN MODAL
A. MODAL INTI
1. Modal Disetor
2. Cadangan Tambahan Modal (Disclosed Reserves)
a. Agio Saham
b. Disagio (-/-)
c. Modal Sumbangan
d. Cadangan Umum dan Tujuan
e. Laba tahun-tahun lalu setelah diperhitungkan pajak
f. Rugi tahun-tahun lalu (-/-)
g. Laba tahun berjalan setelah diperhitungkan pajak (50%)
h. Rugi tahun berjalan (-/-)
j. Selisih penjabaran laporan keuangan Kantor Cabang Luar Negeri
1) Selisih Lebih
2) Selisih Kurang (-/-)
k. Dana Setoran Modal
l. Penurunan nilai Penyertaan pada portofolio tersedia untuk dijual (-/-)
m. Hak minoritas
3. Goodwill (-/-)
4. Selisih penilaian aktiva dan kewajiban akibat kuasi reorganisasi (-/-)
5. Kekurangan modal dari Risk Based Capital untuk Perusahaan Anak yang
melakukan kegiatan usaha Asuransi (-/-)
6. Kekurangan Penyisihan Penghapusan Aktiva/ PPA (-/-)
B. MODAL PELENGKAP
(Maks. 100% dari Modal Inti)
1. Cadangan Revaluasi Aktiva Tetap
2. Selisih penilaian aktiva dan kewajiban akibat kuasi reorganisasi
3. Cadangan Umum Penyisihan Penghapusan Aktiva Produktif/PPAP (maks.
1,25% dari ATMR)
4. Modal Pinjaman
5. Pinjaman Subordinasi (maks.50% dari Modal Inti)
6. Peningkatan harga saham pada portofolio tersedia untuk dijual (45%)
C. MODAL PELENGKAP TAMBAHAN YANG MEMENUHI PERSYARATAN
D. MODAL PELENGKAP TAMBAHAN YANG DIALOKASIKAN UNTUK
MENGANTISIPASI RISIKO PASAR
II. TOTAL MODAL INTI DAN MODAL PELENGKAP (A+B)

III. TOTAL MODAL INTI, MODAL PELENGKAP, DAN MODAL PELENGKAP
TAMBAHAN YANG DIALOKASIKAN UNTUK MENGANTISIPASI RISIKO PASAR
(A+B+D)
IV. PENYERTAAN (-/-)
V. TOTAL MODAL UNTUK RISIKO KREDIT (II – IV)
VI. TOTAL MODAL UNTUK RISIKO KREDIT DAN RISIKO PASAR (III – IV)
VII. AKTIVA TERTIMBANG MENURUT RISIKO (ATMR) KREDIT
VIII. ATMR RISIKO PASAR (SUKU BUNGA DAN NILAI TUKAR)
IX. ATMR RISIKO PASAR (RISIKO EKUITAS)
X. JUMLAH ATMR RISIKO KREDIT + RISIKO PASAR (VII+VIII+IX)
XI. RASIO KEWAJIBAN PENYEDIAAN MODAL MINIMUM YANG TERSEDIA UNTUK
RISIKO KREDIT (V : VII)
XII. RASIO KEWAJIBAN PENYEDIAAN MODAL MINIMUM YANG TERSEDIA UNTUK
RISIKO KREDIT DAN RISIKO PASAR (VI : X)
416
Lampiran 24
417
LAPORAN RINCIAN ATMR SECARA KONSOLIDASI
Bank :
Tanggal :
1. Total Aktiva Tertimbang Menurut Risiko (ATMR) untuk Risiko Kredit (sesuai ketentuan berlaku mengenai KPMM)*
2. Modal Inti (setelah diperhitungkan faktor pengurang, sesuai ketentuan berlaku mengenai KPMM)*
3. Modal Pelengkap (setelah diperhitungkan faktor pengurang, sesuai ketentuan berlaku mengenai KPMM)*
4. Penyertaan yang dilakukan Bank
5. Rasio Kewajiban Penyediaan Modal Minimum (CAR) untuk Risiko Kredit
6. TOTAL ATMR RISIKO PASAR
Risiko Suku Bunga Risiko Perubahan Harga Option 12,5 x Total (Ekuivalen
Risiko Nilai Tukar Risiko Ekuitas Total
Risiko Spesifik Risiko Umum Risiko Suku Bunga Risiko Nilai Tukar ATMR)
0 0 0 0 0 0 0 0
Modal Inti yang dialokasikan untuk mengantisipasi risiko pasar (minimum 28.5% x
7.
total beban modal)
8. Modal Pelengkap yang dialokasikan untuk mengantisipasi risiko pasar (yaitu yang dapat ditambahkan untuk Modal Pelengkap Tambahan)
9. Modal Pelengkap Tambahan yang memenuhi persyaratan 0

Kelebihan Pinjaman Subordinasi yang tidak dapat diperhitungkan dalam Modal Pelengkap
Pinjaman Subordinasi dengan maturitas awal minimum 2 tahun dan memenuhi kriteria Pinjaman Subordinasi yang dapat diperhitungkan sebagai komponen
modal
10. Modal Pelengkap Tambahan yang dialokasikan untuk mengantisipasi Risiko Pasar
11. TOTAL MODAL (Modal Inti + Modal Pelengkap + Modal Pelengkap Tambahan) 0
12. Dikurangi :
ATMR untuk risiko kredit atas seluruh surat berharga dalam trading book yang telah diperhitungkan Risiko Spesifik (Formulir I.a)
13. TOTAL ATMR (RISIKO KREDIT + RISIKO PASAR) 0

14. Rasio Kewajiban Penyediaan Modal Minimum setelah memperhitungkan Risiko Kredit dan Risiko Pasar
15. Rasio Kelebihan Modal Pelengkap Tambahan
16. Rasio Posisi Devisa Neto (PDN)
* Laporan Bank dilakukan berdasarkan perhitungan Bank sendiri, sedangkan Bank Indonesia akan menggunakan data pengawasan yang ada di Bank Indonesia
418
Lampiran 25
419
LAPORAN KUALITAS AKTIVA DAN PEMBENTUKAN PPA SECARA KONSOLIDASI

Bank :
Tanggal :
BANK KONSOLIDASI
POS-POS
L DPK KL D M Jumlah L DPK KL D M Jumlah
A. AKTIVA PRODUKTIF
PPA yang wajib dibentuk - Penempatan pada bank lain
PPA yang telah dibentuk - Penempatan pada bank lain
2. Surat-surat berharga
a. Diperdagangkan
b. Tersedia untuk dijual
c. Dimiliki sampai jatuh tempo
PPA yang wajib dibentuk - Surat berharga
PPA yang telah dibentuk - Surat berharga
3. Kredit
a. Konsumsi
b. Modal Kerja
c. Investasi
PPA yang wajib dibentuk - Kredit

PPA yang telah dibentuk - Kredit
4. Penyertaan
a. Pada perusahaan keuangan selain asuransi
b. Pada perusahaan asuransi
c. Dalam rangka restrukturisasi kredit (PMS)

PPA yang wajib dibentuk - Penyertaan
PPA yang telah dibentuk - Penyertaan
5. Tagihan lain
PPA yang wajib dibentuk - Tagihan Lain
PPA yang telah dibentuk - Tagihan Lain
6. Komitmen dan kontinjensi

PPA yang wajib dibentuk - Komitmen dan Kontinjensi
PPA yang telah dibentuk - Komitmen dan Kontinjensi
B. AKTIVA NON PRODUKTIF

1. Properti terbengkalai
PPA yang wajib dibentuk - Properti Terbengkalai
PPA yang telah dibentuk - Properti Terbengkalai
2. Agunan yang diambil alih

PPA yang wajib dibentuk - Agunan yang Diambil Alih
PPA yang telah dibentuk - Agunan yang Diambil Alih
3. Rekening antar kantor dan suspense account

PPA yang wajib dibentuk - RAK & Suspense Account
PPA yang telah dibentuk - RAK & Suspense Account
JUMLAH
1. a. PPA produktif yang wajib dibentuk

b. PPA non produktif yang wajib dibentuk *)
c. Total PPA yang wajib dibentuk
2. a. PPA produktif yang telah dibentuk

b. PPA non produktif yang telah dibentuk *)
c. Total PPA yang telah dibentuk
3. Kekurangan/kelebihan PPA yang wajib dibentuk
420
Lampiran 26
421
Surat Edaran Bank Indonesia Nomor 8/27/DPNP tanggal 27 November 2006
Lampiran 26
LAPORAN PENYEDIAAN DANA KEPADA PIHAK TERKAIT BANK SECARA KONSOLIDASI

NAMA BANK
LAPORAN TANGGAL
Nama Individu/ Nama Status Hubungan BANK PERUSAHAAN ANAK KONSOLIDASI Pelampauan/
No Peminjam kelompok/ Kelompok Keterkaitan Jenis Jangka Jumlah Jenis Jangka Jumlah Modal Jumlah Pelanggaran Kualitas Keterangan
Total Kelompok dengan Bank Penyediaan Waktu Penyediaan Dana Kurs Penyediaan Waktu Penyediaan Dana Kurs Konsolidasi **) Penyediaan Dana BMPK
Dana Awal Jatuh Tempo Rp Valas*) Dana Awal Jatuh Tempo Rp Valas*) Rp Valas*) Nominal (Rp) %
(1) (2) (3) (4) (5) (6) (7) (8) (9) (10) (11) (12) (13) (14) (15) (16) (17) (18) (19) (20) (21) (22) (23) (24)
TOTAL
*) nilai ekuivalen dalam rupiah dengan menggunakan kurs tanggal laporan

**) modal konsolidasi merupakan modal konsolidasi pada bulan laporan
422
27.a
Lampiran 29.a
Surat Edaran Bank Indonesia Nomor 8/27/DPNP Tahun 2006
LAPORAN PELAMPAUAN BMPK SECARA KONSOLIDASI UNTUK PIHAK TIDAK TERKAIT
NAMA BANK
LAPORAN TANGGAL
Nama Individu/ Nama Grup/ BANK PERUSAHAAN ANAK

No Peminjam Kelompok/ Kelompok Jenis Jangka Jumlah Jenis Jangka
Total Kelompok Peminjam Penyediaan Waktu Penyediaan Dana Kurs Penyediaan Waktu
Dana Awal Jatuh Tempo Rp Valas*) dana Awal Jatuh Tempo
(1) (2) (3) (4) (5) (6) (7) (8) (9) (10) (11) (12) (13)
TOTAL
*) nilai ekuivalen dalam rupiah dengan menggunakan kurs tanggal laporan

**) modal konsolidasi merupakan modal konsolidasi pada bulan laporan
423
PERUSAHAAN ANAK KONSOLIDASI
Jumlah Modal Jumlah Pelampauan BMPK Kualitas Keterangan
Penyediaan Dana Kurs Konsolidasi Penyediaan Dana
Rp Valas*) **) Rp Valas*) Nominal (Rp) %
(14) (15) (16) (17) (18) (19) (20) (21) (22) (23)
424
29.b
Lampiran 27.b
LAPORAN PELANGGARAN BMPK SECARA KONSOLIDASI UNTUK PIHAK TIDAK TERKAIT
NAMA BANK
LAPORAN TANGGAL
Nama Individu/ Nama Grup/ BANK PERUSAHAAN ANAK

No Peminjam Kelompok/ Kelompok Jenis Jangka Jumlah Jenis Jangka Jumlah
Total Kelompok Peminjam Penyediaan Waktu Penyediaan Dana Kurs Penyediaan Waktu Penyediaan Dana
Dana Awal Jatuh Tempo Rp Valas*) dana Awal Jatuh Tempo Rp
(1) (2) (3) (4) (5) (6) (7) (8) (9) (10) (11) (12) (13) (14)
TOTAL
*) nilai ekuivalen dalam rupiah dengan menggunakan kurs tanggal realisasi penyediaan dana
**) modal konsolidasi merupakan modal konsolidasi pada triwulan terakhir sebelum realisasi penyediaan dana
425
AAN ANAK KONSOLIDASI
Jumlah Modal Jumlah Pelanggaran BMPK Kualitas Keterangan
Penyediaan Dana Kurs Konsolidasi Penyediaan Dana
Valas*) **) Rp Valas*) Nominal (Rp) %
(15) (16) (17) (18) (19) (20) (21) (22) (23)
426
Lampiran 30
LAMPIRAN 28 Surat Edaran Bank Indonesia Nomor 9/30/DPNP Tanggal 12 Desember 2007
382
427
426
427
444
461
471
476
487
496
501
517
523
538
383
428
KATA PENGANTAR
Dalam rangka meningkatkan efisiensi kegiatan operasional dan mutu

pelayanan Bank kepada nasabahnya, Bank dituntut untuk mengembangkan
strategi bisnis Bank antara lain dengan memanfaatkan kemajuan Teknologi
Informasi (TI). Pengembangan strategi tersebut selanjutnya mendorong investasi
baru dalam TI yang digunakan dalam pemrosesan transaksi dan informasi.
Kehandalan Bank mengelola TI menentukan keberhasilan Bank dalam
menghasilkan suatu informasi yang lengkap, akurat, terkini, utuh, aman, konsisten,
tepat waktu dan relevan. Dengan demikian informasi yang dihasilkan dapat
mendukung proses pengambilan keputusan dan operasional bisnis Bank.
Penggunaan TI selain meningkatkan kecepatan dan keakuratan transaksi
serta pelayanan kepada nasabah, juga meningkatkan risiko misalnya risiko
operasional, reputasi, legal, kepatuhan dan strategis. Untuk itu diharapkan Bank
memiliki manajemen risiko yang terpadu untuk melakukan identifikasi, pengukuran,
pemantauan dan pengendalian risiko. Namun demikian mengingat terdapat perbedaan
kondisi pasar, struktur, ukuran dan kompleksitas usaha Bank, maka tidak terdapat satu
sistem manajemen risiko yang universal untuk seluruh Bank sehingga setiap Bank harus
membangun sistem manajemen risiko yang sesuai dengan fungsi dan organisasi
manajemen risiko pada Bank.
Pedoman ini merupakan pokok-pokok penerapan manajemen risiko dalam
penggunaan TI yang harus diterapkan oleh Bank untuk memitigasi risiko yang
berhubungan dengan penyelenggaraan TI. Bank dengan ukuran dan kompleksitas usaha
besar hendaknya menggunakan parameter yang lebih ketat sebagai tambahan dari hal-hal
yang dikemukakan dalam pedoman. Sementara itu Bank dengan ukuran dan
kompleksitas usaha yang relatif kecil dapat menggunakan parameter yang lebih ringan
dari hal-hal yang dikemukakan dalam pedoman sepanjang Bank telah
mempertimbangkan hasil penilaian terhadap risiko dalam aktivitas bisnis Bank, profil
keamanan TI maupun hasil analisis atas cost and benefit. Bank juga diharapkan
mengimplementasikan kerangka manajemen risiko ini dengan memperhatikan ketentuan
perundangan yang berlaku, standar nasional dan internasional serta best practices untuk
memastikan bahwa manajemen risiko yang memadai telah diterapkan.
Pedoman Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum ii
429
BAB I –MANAJEMEN
BAB I
MANAJEMEN
1.1. PENDAHULUAN
Operasional kegiatan usaha Bank termasuk pemrosesan transaksi dan

pembukuan sangat tergantung pada keandalan Teknologi Informasi (TI). Informasi
yang dihasilkan sangat dibutuhkan dalam pengambilan keputusan baik oleh pihak
intern Bank maupun pihak ekstern. Untuk itu TI harus dikelola secara efektif
guna memaksimalkan efektifitas penggunaannya dan agar risiko terkait dari
teknologi yang diimplementasikan dapat dimitigasi.
Mengingat bahwa TI merupakan aset penting dalam operasional yang dapat
meningkatkan nilai tambah dan daya saing Bank sementara dalam penyelenggaraannya
mengandung berbagai risiko, maka Bank perlu menerapkan IT Governance. Penerapan
IT Governance dilakukan melalui penyelarasan Rencana Strategis Teknologi Informasi
dengan strategi bisnis Bank, optimalisasi pengelolaan sumber daya, pemanfaatan
Teknologi Informasi (IT value delivery), pengukuran kinerja dan penerapan manajemen
risiko yang efektif. Keberhasilan penerapan IT Governance sangat tergantung pada
komitmen dewan komisaris dan direksi serta seluruh satuan kerja di Bank, baik
penyelenggara maupun pengguna TI.
Sehubungan dengan hal itu diperlukan kebijakan yang memuat peran dan
tanggung jawab dewan komisaris, direksi dan pejabat tertinggi TI dalam memastikan
diterapkannya manajemen risiko TI secara efektif.
1.2. MANAJEMEN TEKNOLOGI INFORMASI

1.2.1. Peran danTanggungjawab Manajemen
1.2.1.1. Dewan Komisaris
Sesuai Undang-Undang Perseroan Terbatas, fungsi dewan komisaris adalah

mengawasi kebijaksanaan direksi dalam operasional Bank serta memberi nasihat
pada direksi. Dengan demikian dewan komisaris hendaknya memiliki komitmen,
memahami dan berperan serta dalam kegiatan terkait TI. Tanggung jawab dewan
komisaris mencakup antara lain:
a. mengarahkan, memantau dan mengevaluasi Rencana Strategis TI dan kebijakan
Bank terkait penyelenggaraan TI;
b. melakukan pemantauan dan mengevaluasi kesesuaian antara kebijakan dengan
penerapan manajemen risiko dalam penggunaan TI;
Pedoman Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum 1
430
BAB I –MANAJEMEN
c. melakukan evaluasi terhadap perencanaan dan pelaksanaan audit, memastikan

audit dilaksanakan dengan frekuensi dan lingkup yang memadai serta melakukan
pemantauan atas tindak lanjut hasil audit;
d. melakukan evaluasi terhadap pengelolaan pengamanan yang andal dan efektif
atas TI guna menjamin ketersediaan, kerahasiaan, keakuratan informasi.
1.2.1.2. Direksi
Wewenang dan tanggung jawab bagi direksi mencakup :

a. menetapkan Rencana Strategis TI dan rencana pelaksanaan/pengembangan TI
jangka pendek yang sejalan dengan rencana strategis dan rencana tahunan Bank;
b. menetapkan kebijakan dan prosedur terkait penyelenggaraan TI yang memadai
dan mengkomunikasikannya secara efektif, baik pada satuan kerja penyelenggara
maupun pengguna TI. Selanjutnya direktur yang membawahi Satuan Kerja
Kepatuhan perlu meninjau ulang kebijakan dan prosedur tersebut untuk
memastikan pemenuhan terhadap ketentuan perundangan yang berlaku;
c. mereview, menyetujui dan memantau proyek-proyek teknologi yang berdampak
secara signifikan terhadap operasional dan kondisi keuangan Bank;
d. memastikan:
1) TI yang digunakan Bank dapat mendukung perkembangan usaha, pencapaian
tujuan bisnis Bank dan kelangsungan pelayanan kepada nasabah;
2) tersedianya satuan kerja yang berfungsi mengelola TI yang diselenggarakan
oleh Bank (atau digunakan oleh Bank bila diselenggarakan oleh pihak
penyedia jasa TI);
3) kebijakan dan prosedur serta standar yang ditetapkan telah diterapkan, dikaji
ulang dan direvisi secara berkala;
4) tersedianya Sistem Pengelolaan Pengamanan Informasi (Information Security
Management System) yang efektif dan dikomunikasikan kepada seluruh
pengguna dan penyelenggara Sistem Informasi;
5) terdapat penerapan proses manajemen risiko dalam penggunaan TI yang
dilaksanakan secara efektif dan memadai antara lain dengan:
a) menumbuhkan risk awareness dari manajemen;
b) memiliki dan mengkomunikasikan pemahaman yang jelas mengenai
kriteria dan tingkat risiko yang dapat diterima oleh Bank (risk appetite)
kepada satuan kerja pengguna dan penyelenggara TI;
c) memiliki pemahaman terhadap ketentuan yang berlaku;
d) mengkomunikasikan risiko signifikan secara transparan kepada satuan
kerja pengguna dan penyelenggara TI yang menghadapi risiko tersebut;
dan
431
BAB I –MANAJEMEN
e) mengembangkan struktur organisasi beserta uraian tugas dan tanggung

jawab yang dapat mengelola risiko yang dihadapi Bank secara
komprehensif, sistematis dan terintegrasi.
6) tersedianya sumber daya manusia yang cukup dan kompeten sesuai dengan
kebutuhan;
7) terdapat upaya peningkatan kompetensi sumber daya manusia terkait
penyelenggaraan TI diantaranya melalui pendidikan/pelatihan yang memadai
dan program edukasi untuk meningkatkan kesadaran atas pengamanan
informasi;
8) terdapat sistem pengukuran kinerja proses penyelenggaraan TI yang paling
kurang dapat:
a) mendukung proses pemantauan terhadap implementasi strategi;
b) mendukung penyelesaian proyek;
c) mengoptimalkan pendayagunaan investasi pada infrastruktur dan sumber
daya manusia;
d) meningkatkan kinerja proses penyelenggaraan TI dan kualitas layanan
penyampaian hasil proses kepada pengguna;
9) struktur organisasi manajemen proyek dari seluruh proyek terkait TI
digunakan dengan maksimal;
e. dalam hal Bank menggunakan jasa pihak lain, direksi harus memastikan bahwa
Bank memiliki kontrak tertulis yang mengatur peran, hubungan, kewajiban,
tanggung jawab dari semua pihak yang terikat kontrak tersebut, serta memiliki
keyakinan bahwa kontrak tersebut merupakan perjanjian yang berkekuatan
hukum dan melindungi kepentingan Bank.
1.2.1.3. Komite Pengarah Teknologi Informasi (IT Steering Committee)
Bank wajib memiliki Komite Pengarah TI yang bertujuan untuk membantu

dewan komisaris dan direksi mengawasi kegiatan terkait TI. Komite sekurang-
kurangnya terdiri dari:
a. Direktur yang membawahi satuan kerja Teknologi Informasi;
b. Direktur yang membawahi satuan kerja Manajemen Risiko;
c. Pejabat tertinggi yang membawahi satuan kerja penyelenggara TI;
d. Pejabat tertinggi yang membawahi satuan kerja pengguna utama TI;
Kewajiban untuk memiliki Komite Pengarah TI berlaku juga untuk Bank yang
dimiliki oleh Bank Asing. Sedangkan untuk kantor cabang Bank Asing (KCBA),
fungsi Komite Pengarah TI dapat dilaksanakan oleh fungsi sejenis yang berada di
kantor pusat atau kantor regional.
Untuk dapat melaksanakan tugasnya, Komite Pengarah TI wajib memiliki IT
Steering Committee Charter yang mencantumkan wewenang dan tanggung jawab
komite.
432
BAB I –MANAJEMEN
Untuk dapat melakukan tugasnya secara efektif dan efisien, komite harus
melakukan pertemuan secara berkala untuk membicarakan hal-hal yang terkait
dengan strategi TI yang didokumentasikan dalam bentuk risalah rapat.
Wewenang dan tanggung jawab Komite Pengarah TI adalah memberikan
rekomendasi kepada direksi yang paling kurang mencakup:
a. Rencana Strategis TI (Information Technology Strategic Plan) yang sesuai
dengan rencana strategis kegiatan usaha Bank. Dalam memberikan rekomendasi,
Komite hendaknya memperhatikan faktor efisiensi, efektifitas serta hal-hal
sebagai berikut:
1) rencana pelaksanaan (road-map) untuk mencapai kebutuhan TI yang
mendukung strategi bisnis Bank. Road map terdiri dari kondisi saat ini
(current state), kondisi yang ingin dicapai (future state) serta langkah-langkah
yang akan dilakukan untuk mencapai future state;
2) sumber daya yang dibutuhkan;
3) keuntungan / manfaat yang akan diperoleh saat rencana diterapkan.
b. perumusan kebijakan dan prosedur TI yang utama seperti kebijakan pengamanan
TI dan manajemen risiko terkait penggunaan TI di Bank;
c. kesesuaian proyek-proyek TI yang disetujui dengan Rencana Strategis TI. Komite
juga menetapkan status prioritas proyek TI yang bersifat kritikal (berdampak
signifikan terhadap kegiatan operasional Bank) misalnya pergantian core Banking
application, server production dan topologi jaringan;
d. kesesuaian pelaksanaan proyek-proyek TI dengan rencana proyek (project
charter) yang disepakati dalam service level agreement. Komite hendaknya
melengkapi rekomendasi dengan hasil analisis dari proyek-proyek TI yang utama
sehingga memungkinkan direksi mengambil keputusan secara efisien;
e. kesesuaian TI dengan kebutuhan sistem informasi manajemen yang mendukung
pengelolaan kegiatan usaha Bank;
f. efektivitas langkah-langkah minimalisasi risiko atas investasi Bank pada sektor TI
dan bahwa investasi tersebut memberikan kontribusi terhadap tercapainya tujuan
bisnis Bank;
g. pemantauan atas kinerja TI, dan upaya peningkatannya misalnya dengan
mendeteksi keusangan TI dan mengukur efektivitas dan efisiensi penerapan
kebijakan pengamanan TI;
h. upaya penyelesaian berbagai masalah terkait TI, yang tidak dapat diselesaikan
oleh satuan kerja pengguna dan satuan kerja penyelenggara. Komite dapat
memfasilitasi hubungan antara kedua satuan kerja tersebut;
i. kecukupan dan alokasi sumber daya yang dimiliki Bank. Apabila sumber daya
yang dimiliki tidak memadai dan Bank akan menggunakan jasa pihak lain dalam
penyelenggaraan TI maka Komite Pengarah TI harus memastikan Bank telah
memiliki kebijakan dan prosedur terkait.
433
BAB I –MANAJEMEN
1.2.1.4. Pejabat Tertinggi Yang Bertanggungjawab Membawahi Bidang TI
Dalam struktur organisasi, Bank harus menetapkan pejabat tertinggi yang hanya
membawahi bidang TI. Jabatan tersebut dapat dibawahi oleh direktur TI atau
pimpinan satuan kerja TI sesuai dengan kompleksitas usaha di Bank. Wewenang
dan tanggung jawab utama dari pejabat tertinggi TI tersebut minimal (namun tidak
terbatas pada), mencakup hal-hal berikut:
a. merumuskan kebijakan, rencana dan anggaran TI;
b. menerapkan semua kebijakan TI dan rencana yang telah ditetapkan oleh direksi;
c. memberikan dukungan pemberian jasa TI kepada satuan kerja pengguna
untuk mencapai target bisnisnya secara responsif dan tepat waktu;
d. memastikan setiap informasi yang dimiliki oleh satuan kerja pengguna
TI mendapatkan perlindungan yang baik terhadap semua gangguan yang
dapat menyebabkan kerugian akibat bocornya data/informasi penting;
e. memastikan kecukupan dan efektifitas kebijakan dan prosedur TI serta
penerapan manajemen risiko untuk mengidentifikasi, mengukur, menilai dan
mengawasi risiko TI;
f. memastikan terdapatnya pengawasan yang memadai dalam setiap
pengembangan atau modifikasi sistem TI;
g. memberikan kepada direksi laporan pelaksanaan TI secara periodik dan jika
diperlukan dapat mengusulkan tindakan untuk mengatasi kelemahan TI yang
telah ditemukan;
h. menilai kinerja dari layanan TI di Bank, contohnya persentase berapa lama
sistem mati (downtime error), pelanggaran keamanan, perkembangan proyek,
penerapan perjanjian tingkat layanan (Service Level Agreement - SLA) antara
satuan kerja TI dan satuan kerja pengguna atau pihak penyedia jasa TI;
i. memastikan tindakan yang tepat telah dilakukan untuk memperbaiki temuan
audit baik dari auditor intern maupun auditor ekstern atau berdasarkan laporan
pemeriksaan Bank Indonesia;
j. memastikan kecukupan sumber daya manusia baik dalam penyelenggaraan TI
maupun dalam penerapan manajemen risiko ;
k. apabila pejabat tertinggi yang secara langsung membawahi TI adalah seorang
direktur maka yang bersangkutan berkewajiban mengawasi implementasi
budget TI seperti pengadaan di bidang TI dan pelatihan. Apabila pejabat
tertinggi bukan seorang direktur maka pengawasan kedua bidang tersebut dapat
dilakukan oleh direktur yang membawahi;
l. direktur TI bertanggung jawab terhadap penyusunan dan implementasi
arsitektur TI dan rencana-rencana lain yang strategis yang mempengaruhi modal
Bank secara signifikan, memastikan struktur organisasi manajemen proyek dari
seluruh proyek terkait TI digunakan dengan maksimal;
434
BAB I –MANAJEMEN
m. memastikan bahwa kontrak tertulis antara Bank dengan pihak penyedia jasa TI
mencakup hal-hal yang telah diatur pada Bab X - Penggunaan Pihak Penyedia
Jasa TI.
1.2.2. Rencana Strategis Teknologi Informasi
Rencana Strategis TI (Information Technology Strategic Plan) merupakan

dokumen yang menggambarkan visi dan misi TI Bank, strategi yang mendukung visi
dan misi tersebut dan prinsip-prinsip utama yang menjadi acuan dalam penggunaan TI
untuk memenuhi kebutuhan bisnis dan mendukung rencana strategis jangka panjang
Bank.
Sebelum menyusun Rencana Strategis TI Bank hendaknya melakukan analisis
mengenai hal-hal yang terkait antara lain data terkait Corporate Plan, standar dan
regulasi TI dan industri perbankan yang berlaku, trend teknologi, dan hasil assessment
terhadap current IT environment.
Proses penyusunan dilakukan oleh satuan kerja penyelenggara TI, satuan-satuan
kerja pengguna TI dan Komite Pengarah TI. Dokumen Rencana strategis TI mencakup
antara lain hal-hal sebagai berikut:
a. target perkembangan usaha Bank;
b. standar-standar teknologi yang digunakan;
c. ketentuan perundangan yang mendasari (antara lain mengenai rahasia bank,
pengamanan, transparansi informasi produk dan penggunaan data pribadi nasabah);
d. rencana kebutuhan akan aplikasi untuk produk dan aktivitas baru dan
pengembangan produk dan aktivitas yang ada;
e. biaya terkait dengan implementasi rencana;
f. proses yang dibutuhkan dalam rangka efisiensi;
g. pelayanan nasabah dan kualitas kinerja teknologi;
h. analisis kemampuan sumber daya TI yang dimiliki Bank;
i. infrastruktur TI yang optimal untuk masa depan;
j. kemampuan untuk menyesuaikan dan mengintegrasikan dengan perkembangan
teknologi baru; dan
k. kemampuan untuk menyesuaikan dengan iklim perkembangan ekonomi Indonesia
(secara makro).
Dalam penyusunan Rencana Strategis TI Bank hendaknya memperhatikan hal-
hal sebagai berikut:
a. kesesuaian arah dengan rencana strategis Bank secara keseluruhan;
b. kesesuaian arah dengan strategi dan kegiatan masing-masing unit bisnis, kondisi
pasar dan struktur demografi serta segmentasi nasabah;
c. pemahaman manajemen mengenai peran dari TI dalam mendukung pelaksanaan
kegiatan usaha Bank yang ada sekarang dan yang direncanakan;
435
BAB I –MANAJEMEN
d. pemahaman manajemen mengenai hubungan antara sumber daya TI yang digunakan

sekarang dan yang direncanakan dengan strategi dan rencana kerja dari satuan kerja
pengguna TI;
e. mempertimbangkan manfaat langsung dan tak langsung yang akan diperoleh
dibandingkan biaya yang akan dikeluarkan untuk penggunaan teknologi;
f. kebutuhan akan investasi baru dibidang teknologi.
1.2.3. Organisasi Teknologi Informasi
1.2.3.1. Fungsi Manajemen Risiko TI
Bank perlu memiliki fungsi penerapan manajemen risiko penggunaan TI dalam

organisasi Bank yang melibatkan pihak-pihak yang memiliki risiko dan yang
memantau (oversee) risiko serta yang melakukan test dan verifikasi.
Bank perlu memiliki kebijakan bahwa identifikasi, pengukuran dan pemantauan
risiko setiap aktivitas/bisnis secara periodik dilakukan oleh Satuan Kerja Manajemen
Risiko bekerja sama dengan satuan kerja penyelenggara TI dan satuan kerja
pengguna TI. Selain itu untuk fungsi tertentu seperti fungsi pengamanan informasi
dan fungsi Business Continuity Plan (BCP), pelaksanaan pengelolaan risiko tetap
merupakan tanggung jawab dari tim kerja atau petugas yang melaksanakan fungsi-
fungsi tersebut. Oleh karena itu manajemen Bank wajib memastikan pemantauan
yang memadai dan pelaporan mengenai aktivitas terkait TI dan risikonya. Agar
proses pemantauan dan pelaporan berfungsi optimal, maka audit internal maupun
eksternal harus dapat melaksanakan fungsi test dan verifikasi dalam setiap
pemeriksaan TI.
Untuk dapat menerapkan manajemen risiko pengamanan informasi secara
optimal, Bank selain perlu memiliki fungsi yang melaksanakan prosedur pengamanan
informasi sehari-hari juga perlu memiliki fungsi pengelola program pengamanan
informasi dan pemantauan pengamanan secara bank-wide. Fungsi pertama hanya
dapat melaksanakan prosedur yang telah ditetapkan dan tidak dapat mengambil
keputusan untuk melakukan pengecualian atau mengubah prosedur dan standar
pengamanan yang telah ditetapkan tersebut. Idealnya Bank perlu memisahkan kedua
fungsi tersebut sehingga fungsi pengelola program pengamanan informasi
(Information Security Officer) tersebut tidak bertanggungjawab terhadap satuan kerja
TI melainkan kepada direksi. Dalam pelaksanaannya, Bank dapat menetapkan
kebijakan dalam pelaksanaan kedua fungsi tersebut di atas yang disesuaikan dengan
struktur organisasi dan kompleksitas usaha serta teknologi pendukung yang
digunakan Bank.
436
BAB I –MANAJEMEN
1.2.3.2. Struktur Organisasi Satuan Kerja TI
Bank perlu memiliki struktur organisasi yang sesuai dengan kebutuhan

penyelenggaraan dan penggunaan TI, dan sekurang-kurangnya memperhatikan hal-
hal sebagai berikut:
a. struktur organisasi secara spesifik menggambarkan garis kewenangan, pelaporan,
tanggung jawab (dan jika dibutuhkan, orang pengganti) untuk setiap fungsi TI
yang harus dimiliki;
b. terdapat prinsip pemisahan tugas dan tanggung jawab (segregation of duties)
untuk mencegah seseorang mendapat tanggung jawab atas fungsi-fungsi yang
berbeda dan kritikal sedemikian rupa yang dapat menyebabkan kesalahan tidak
mudah dideteksi. Misalnya adanya pemisahan pegawai yang bertanggung jawab
melakukan administrasi pengamanan informasi (security administrator) dengan
yang bertanggung jawab atas pengembangan dan yang melakukan kegiatan
operasional TI;
c. struktur organisasi yang tidak membuka peluang bagi siapapun secara independen
untuk melakukan dan atau menyembunyikan kesalahan atau penyimpangan dalam
pelaksanaan tugas serta dapat mematikan fasilitas sistem keamanan;
d. untuk Bank berskala usaha yang relatif kecil atau kantor cabang di daerah
terpencil, dimana tidak bisa menerapkan prinsip pemisahan tugas dan tanggung
jawab yang memadai (segregation of incompatible duties) baik secara
keseluruhan maupun sebagian, harus diganti dengan bentuk pengawasan lain atau
compensating controls untuk pencegahan kesalahan penyelenggaraan TI. Dalam
menentukan bentuk compensating controls yang akan diterapkan, Bank harus
memperhatikan kepemilikan data, tanggung jawab otorisasi transaksi, dan hak
akses ke data. Contoh compensating controls, antara lain audit trail, rekonsiliasi,
exception reporting, transaction log, supervisory review, independent review.
Sekalipun compensating control diterapkan, penyelenggaraan TI tetap harus
berdasarkan prinsip kehati-hatian;
e. penempatan personil mempertimbangkan kompetensi (pengetahuan dan keahlian)
sumber daya manusia yang sesuai dengan posisi (jabatan/tugas);
f. pembagian tanggung jawab dan penetapan target dirumuskan dengan baik di
antara fungsi pengelolaan risiko dan bidang-bidang fungsional penyelenggaraan
TI.
1.2.3.3. Manajemen Risiko TI pada Satuan Kerja Pengguna
Pimpinan dari satuan kerja pengguna TI juga mempunyai tanggung jawab atas
penyelenggaraan dan penggunaan TI antara lain:
437
BAB I –MANAJEMEN
a. memastikan adanya proses komunikasi berkelanjutan kepada satuan kerja TI

mengenai kebutuhan terkait strategi bisnis Bank misalnya rencana penerbitan
produk baru;
b. menetapkan kebutuhan SIM dan mengkomunikasikannya ke satuan kerja TI;
c. memastikan pegawai di satuan kerja pengguna berpartisipasi dalam proses
pengujian yang dilakukan atas aplikasi yang akan digunakan oleh satuan kerja
tersebut;
d. memastikan para pengguna TI di satuan kerja pengguna mematuhi prosedur
pengamanan yang telah ditetapkan untuk diterapkan.
Kepemilikan data/informasi berada pada satuan kerja pengguna. Sedangkan satuan
kerja penyelenggara TI bertanggung jawab atas custody of asset yang berupa
data/informasi. Untuk itu satuan kerja TI harus menetapkan standar dan prosedur
Custody of Corporate Assets untuk mengelola data/informasi tersebut secara
memadai.
1.2.4. Pengendalian Personil (Personnel Control)
Di samping membutuhkan pemilihan teknologi yang tepat, Bank juga membutuhkan

personil yang memiliki kemampuan dan keahlian yang sesuai dan dapat mendukung
pelaksanaan fungsi-fungsi TI secara maksimal. Karena itu Bank perlu melakukan
pengendalian personil antara lain dengan menerapkan:
a. penetapan prosedur untuk penerimaan pegawai baru, mutasi dan promosi, serta
pemberhentian petugas TI. Prosedur ini berlaku untuk pegawai Bank, konsultan,
pegawai honorer dan pegawai pihak penyedia jasa. Untuk fungsi yang sensitif
dalam pengelolaan TI diperlukan penelitian latar belakang calon pegawai dalam
proses penerimaan;
b. penetapan tugas, tanggung jawab, harapan/target secara transparan;
c. penetapan standar penilaian kinerja, upah/gaji dan tunjangan, serta pensiun;
d. program pendidikan dan pelatihan serta penilaian kinerja untuk mempertahankan
dan meningkatkan kualitas para pegawai baik penyelenggara maupun pengguna
TI.
Agar langkah-langkah pengendalian tersebut efektif, Bank perlu mempunyai rencana
manajemen sumber daya manusia yang terintegrasi dengan Rencana Strategis TI.
1.2.5. Manajemen Proyek
Dalam hal Bank melakukan pengembangan dan pengadaan TI yang penting dan
berskala besar, diperlukan suatu pengorganisasian dalam bentuk Manajemen Proyek.
Hal ini diperlukan untuk memastikan bahwa sistem aplikasi yang diserahkan oleh
satuan kerja TI untuk digunakan oleh satuan kerja pengguna, telah dikembangkan
438
BAB I –MANAJEMEN
dengan struktur yang baik dan telah mengakomodir kebutuhan pengguna serta sesuai
dengan sistem TI yang dimiliki Bank. Tim manajemen proyek mengadministrasikan
kemajuan masing-masing proyek dan membantu koordinasi antara pelaksana proyek
dan calon pengguna sistem/aplikasi TI di setiap proyek serta melaporkannya ke Komite
Pengarah TI. Bentuk manajemen proyek dalam organisasi Bank disesuaikan dengan
kompleksitas dan ukuran Bank yaitu dapat berupa suatu satuan kerja tetap atau bersifat
ad hoc.
1.2.6. Sistem Informasi Manajemen (SIM)
Bank perlu memastikan terdapat suatu SIM yang dapat menghasilkan informasi yang
diperlukan dalam rangka mendukung peran dan fungsi manajemen secara efektif. SIM
harus dapat menyajikan informasi yang dibutuhkan secara lengkap, akurat, terkini,
utuh, aman, benar, konsisten, tepat waktu, relevan dan dapat diaplikasikan untuk
memudahkan proses perencanaan dan pengambilan keputusan yang mendukung usaha-
usaha pencapaian strategis bisnis Bank.
Di samping itu, SIM yang dimiliki Bank harus dapat:
a. memfasilitasi pengelolaan operasional bisnis Bank termasuk pelayanan kepada
nasabah;
b. mencatat dan mengumpulkan informasi secara obyektif;
c. mendistribusikan data/informasi ke berbagai satuan kerja sesuai jenis informasi,
kualitas dan kuantitas maupun frekuensi dan waktu pengiriman laporan yang
dibutuhkan;
d. meningkatkan efektivitas dan efisiensi komunikasi di Bank;
e. membantu Bank meningkatkan kepatuhan terhadap ketentuan perundangan;
f. mendukung proses penilaian kinerja seluruh satuan kerja.
Kemajuan teknologi dapat meningkatkan ketersediaan informasi sehingga satuan kerja
TI memegang peranan penting dalam efektivitas SIM Bank. Satuan Kerja TI
menetapkan kebijakan, prosedur dan pengendalian manajemen database dan
pembuatan laporan untuk membantu memastikan keefektifan SIM.
1.2.7. Dokumentasi
Manajemen Bank harus memastikan pengendalian internal maupun audit dapat

melakukan test dan validasi atas kebijakan, proses, prosedur, standar dan requirements
dalam pengelolaan TI. Untuk itu Bank harus memiliki dokumentasi kebijakan
pengamanan dan manajemen risiko operasional yang jelas, lengkap dan dapat
diaplikasikan khususnya yang terkait dengan risiko terkait TI di masing-masing satuan
kerja pengguna TI.
439
BAB I –MANAJEMEN
1.3. MANAJEMEN RISIKO TERKAIT TEKNOLOGI INFORMASI
Kemampuan Bank memitigasi risiko TI tergantung dari hasil identifikasi, pengukuran,

pengendalian dan pemantauan risiko-risiko terkait TI yang berpotensi mengancam
keamanan dan operasional Bank.
Proses manajemen risiko terkait TI yang harus dilakukan setiap Bank mencakup
empat hal penting yaitu:
a. merencanakan penggunaan TI;
b. menilai risiko terkait TI;
c. menetapkan proses pengukuran dan pemantauan risiko terkait penyelenggaraan dan
penggunaan TI;
d. implementasi pengendalian TI.
1.3.1. Perencanaan Penggunaan TI
Sebagaimana dijelaskan di atas bahwa Bank wajib memiliki Rencana

Strategis Teknologi Informasi (Information Technology Strategic Plan) yang
mendukung rencana strategis kegiatan usaha Bank. Selanjutnya Rencana Strategis
Teknologi Informasi yang akan diimplementasikan dalam satu tahun kedepan
diungkapkan dalam Rencana Bisnis Bank yaitu dalam bagian Kebijakan dan Strategi
Manajemen. Disamping itu apabila terdapat bagian dari Rencana Strategis TI tersebut
yang terkait pengembangan produk dan aktivitas baru serta perubahan jaringan kantor
bank maka harus diungkapkan pula pada bagian Pengembangan Produk dan Aktivitas
Baru serta sub bab Perubahan Jaringan Kantor Bank. Setiap rencana pengeluaran
terkait Rencana Strategis TI yang akan diimplementasikan pada tahun yang
bersangkutan harus dimasukkan dalam proyeksi neraca di Rencana Bisnis.
Mengingat rencana strategis TI bersifat jangka panjang, maka untuk menjaga
kesesuaian dengan perkembangan usaha Bank dan perkembangan TI maka Bank
sebaiknya melakukan evaluasi secara berkala yang mencakup antara lain kinerja TI
Bank serta tercapainya sasaran dan anggaran yang telah ditetapkan. Dengan demikian
proyeksi neraca di Rencana Bisnis dapat lebih realistis dan berkesinambungan dari
tahun ke tahun.
1.3.2. Penilaian Risiko yang Berkesinambungan
Kebijakan pengelolaan TI pada umumnya bertujuan untuk memastikan bahwa

penyelenggaraan TI dapat mendukung pencapaian rencana bisnis Bank dan memastikan
risiko yang terkait baik secara langsung maupun tidak langsung dengan
penyelenggaraan TI tersebut dapat diatasi.
Dalam melakukan identifikasi dan penilaian risiko tersebut, manajemen terlebih
dahulu harus memastikan adanya risk awareness di seluruh lini Bank yaitu:
440
BAB I –MANAJEMEN
a. risk awareness dari pejabat eksekutif dan direksi;

b. pemahaman yang jelas mengenai risk appetite dari Bank;
c. pemahaman terhadap ketentuan yang berlaku;
d. transparansi dan integrasi tanggung jawab mengenai risiko-risiko yang signifikan
dari setiap aspek terkait penyelenggaraan TI.
Untuk dapat memastikan hal-hal di atas, Bank dapat menjalankan risk awareness
program bagi seluruh pegawai dan pengurus Bank atau menjalankan metode lain yang
dapat meningkatkan kesadaran para pengguna TI akan risiko yang ada.
1.3.2.1. Jenis Risiko Terkait Teknologi Informasi
Bank wajib memiliki pendekatan manajemen risiko yang terpadu

(terintegrasi) untuk dapat melakukan identifikasi, pengukuran, pemantauan
dan pengendalian risiko secara efektif. Risiko terkait teknologi wajib dikaji
ulang bersamaan dengan risiko-risiko lainnya yang dimiliki Bank untuk
menentukan risk profile bank secara keseluruhan. Adapun risiko terkait
penyelenggaraan TI yang utama adalah:
a. Risiko Operasional
Risiko operasional melekat di setiap produk dan layanan yang disediakan
Bank. Penggunaan TI dapat menimbulkan terjadinya risiko operasional
yang disebabkan oleh antara lain ketidakcukupan/ketidaksesuaian desain,
implementasi, pemeliharaan sistem atau komputer dan perlengkapannya,
metode pengamanan, testing dan standar internal audit serta penggunaan
jasa pihak lain dalam penyelenggaraan TI.
b. Risiko Kepatuhan
Risiko kepatuhan dapat timbul bila Bank tidak memiliki sistem yang
dapat memastikan kepatuhan Bank terhadap ketentuan yang berlaku bagi
Bank seperti kerahasiaan data nasabah. Risiko kepatuhan dapat berdampak
buruk terhadap reputasi serta citra Bank, juga berdampak pada
kesempatan berusaha dan kemungkinan ekspansi.
c. Risiko Hukum
Bank menghadapi risiko hukum yang disebabkan adanya tuntutan hukum,
ketiadaan peraturan perundangan yang mendukung atau kelemahan
perikatan seperti tidak dipenuhinya syarat sah suatu kontrak.
d. Risiko Reputasi
Opini publik yang negatif dapat timbul antara lain karena kegagalan
sistem yang mendukung produk, kasus yang ada pada produk Bank dan
ketidakmampuan Bank memberikan dukungan layanan nasabah pada saat
terjadi kegagalan sistem (downtime). Opini negatif ini dapat menurunkan
kemampuan Bank memelihara loyalitas nasabah dan keberhasilan produk
dan layanan Bank.
441
BAB I –MANAJEMEN
e. Risiko Strategis
Risiko ini timbul karena ketidakcocokan TI yang digunakan Bank dengan
tujuan strategis Bank dan rencana strategis yang dibuat untuk mencapai
tujuan tersebut. Hal ini karena kualitas implementasi maupun sumber daya
yang digunakan TI kurang memadai. Sumber daya tersebut mencakup
saluran komunikasi, operating systems, delivery network, serta kapasitas
dan kapabilitas pengelola TI.
1.3.2.2. Penilaian Risiko
Dalam menggunakan teknologi, manajemen Bank harus menggunakan

proses analisis yang ketat, menyeluruh, hati-hati & akurat, untuk
mengidentifikasi dan mengkuantifikasi risiko serta memastikan
pengendalian risiko diterapkan. Untuk itu penilaian risiko yang dilakukan Bank
perlu dilakukan secara berkesinambungan dengan suatu siklus yang minimal
mencakup empat langkah penting sebagai berikut:
a. Pengumpulan data/dokumen atas aktivitas terkait TI yang berpotensi
menimbulkan atau meningkatkan risiko baik dari kegiatan yang akan maupun
sedang berjalan termasuk namun tidak terbatas pada:
1) Aset TI yang kritikal, dalam rangka mengidentifikasi titik-titik akses dan
penyimpangan terhadap informasi nasabah yang bersifat rahasia;
2) Hasil review rencana strategis bisnis, khususnya review terhadap penilaian
risiko potensial;
3) Hasil due dilligence dan pemantauan terhadap kinerja pihak penyedia jasa;
4) Hasil review atas laporan atau keluhan yang disampaikan oleh nasabah dan
atau pengguna TI ke Call Center dan atau Help Desk;
5) Hasil Self Assessment yang dilakukan seluruh satuan kerja terhadap
pengendalian yang dilakukan terkait TI;
6) Temuan-temuan audit terkait penyelenggaraan dan penggunaan TI.
b. Analisis risiko berkaitan dengan dampak potensial dari tiap-tiap risiko,
misalnya dari fraud di pemrograman, virus komputer, kegagalan sistem,
bencana alam, kesalahan pemilihan teknologi yang digunakan, masalah
pengembangan dan implementasi sistem, kesalahan prediksi perkembangan
bisnis Bank.
c. Penetapan prioritas pengendalian dan langkah mitigasi yang didasarkan pada
hasil penilaian risiko Bank secara keseluruhan. Untuk itu Bank harus membuat
peringkat risiko berdasarkan kemungkinan kejadian dan besarnya dampak yang
dapat ditimbulkan serta mitigasi risiko yang dapat dilakukan untuk menurunkan
eksposure risiko tersebut.
d. Pemantauan kegiatan pengendalian dan mitigasi yang telah dilakukan atas
risiko yang diidentifikasi dalam periode penilaian risiko sebelumnya, yang
442
BAB I –MANAJEMEN
antara lain mencakup rencana tindak lanjut perbaikan, kejelasan akuntabilitas

dan tanggung jawab, sistem pelaporan, pengendalian kualitas termasuk
compensating control.
1.3.3. Proses Pengukuran Dan Pemantauan Risiko
Seperti telah diuraikan sebelumnya terdapat beberapa jenis risiko yang terkait
dengan penggunaan TI namun yang terbesar potensinya adalah risiko operasional. Hal
ini perlu mendapat perhatian mengingat risiko operasional sulit dikuantifikasi. Bank
perlu memperhatikan signifikansi dampak risiko yang telah diidentifikasi oleh Bank
terhadap kondisi bank serta frekuensi terjadinya risiko. Metode yang dapat digunakan
Bank dapat berupa kuantitatif maupun kualitatif tergantung kompleksitas usaha dan
teknologi yang digunakan. Dalam metode kualitatif, besarnya dampak dan sering
tidaknya kejadian (likelihood) dapat dijelaskan secara naratif atau dengan pemberian
ranking. Contoh metode pengukuran yang sederhana antara lain dengan menggunakan
check list atau menggunakan subjective risk rating seperti High, Medium atau Low.
Bank harus menetapkan kriteria High, Medium atau Low dalam risk rating tersebut dan
menerapkannya secara konsisten. Agar dapat memberikan hasil pengukuran risiko yang
lebih sensitif, Bank dapat meningkatkan metode pemeringkatan risikonya dari 3x3
menjadi 4x4 sampai dengan 10x10. Contoh dari pemeringkatan menggunakan matriks
risiko 5x5 adalah seperti dalam tabel berikut:
RATE OF IMPACT/ CONSEQUENCES / LOSS

OCCURENCE /
Insignificant Minor Moderate Major Catastrophic
LIKELIHOOD
Almost certain Low Medium High Very high Very high
Likely Low Medium High Very high Very high
Possible Very low Low Medium High High
Unlikely Very low Very low Low Medium Medium
Rare Very low Very low Low Low Medium
Terdapat banyak program aplikasi pengukuran risiko yang menggunakan

metode kuantitatif. Dalam metode ini digunakan data statistik mengenai kejadian dan
besarnya dampak. Risiko diukur berdasarkan rata-rata tingkat kejadian (rate of
occurance) dan besarnya dampak dari kejadian (the severity of the
consequences/impact). Beberapa bank menggunakan VAR untuk pengukuran risiko
dengan metode kuantifikasi yang menganalisa database likelihood dan dampak dari
kejadian-kejadian yang telah lalu.
Apabila Bank menggunakan paket sistem informasi manajemen risiko yang
mencakup aplikasi pengukuran risiko sebagai alat bantu penerapan manajemen risiko
dalam penggunaan TI, maka Bank harus memperhatikan asumsi yang digunakan dalam
443
BAB I –MANAJEMEN
sistem tersebut, serta pertimbangan bisnis (business commonsense) dan pertimbangan

profesi (profesional dilligence).
Agar risiko yang telah diidentifikasi dan dinilai atau diukur dapat dipantau oleh
manajemen maka Bank perlu memiliki dokumentasi risiko (Risk Documentation) atau
yang sering disebut sebagai Risk Register. Contoh pembuatan Risk Register tersebut
dapat dilihat pada Lampiran 1.1. Contoh Penilaian Risiko. Bank dapat menetapkan
komponen Risk Register yang berbeda dengan di Lampiran 1.1. namun paling kurang
mencakup hal-hal sebagai berikut:
a. penetapan aset, proses, produk, atau kejadian yang mengandung risiko;
b. pengukuran atau pemeringkatan kemungkinan kejadian dan dampak (Inherent Risk
Assessment);
c. langkah-langkah penanganan terhadap risiko potensial (potential risk treatment)
misalnya Accept, Control, Avoid atau Transfer (ACAT);
d. pengukuran atau pemeringkatan kemungkinan kejadian dan dampak setelah ACAT
(Residual Risk Assesment).
Dalam dokumentasi potential risk treatment tersebut Bank perlu memperhatikan antara
lain risk appetite dari manajemen, fasilitas yang dapat digunakan sebagai preventive
control atau corrective control, dan kesesuaian rencana mitigasi risiko dengan kondisi
keuangan Bank. Dokumentasi risiko ini perlu dikinikan secara periodik.
Langkah-langkah penanganan risiko potensial yang dapat diambil Bank sesuai

butir c di atas adalah sebagai berikut:
a. Manajemen memutuskan untuk menerima risiko jika besarnya dampak dan tingkat
kecenderungan masih dalam batas toleransi organisasi (Accept)
Contohnya adalah
1) dengan menetapkan Kriteria Penerimaan Risiko terkait dengan evaluasi dan
penanganan risiko misalnya Nilai Risiko Akhir “Low”.
5 Medium Medium High High High

Kecenderungan
4 Low Medium High High High

3 Low Medium Medium High High
2 Low Medium Medium Medium High
1
Low Low Medium Medium High
1 2 3 4 5
Dampak
2) Nilai Risiko Akhir “Medium” atau “High“, namun telah diputuskan untuk
diterima oleh Manajemen dan dibuat suatu sistem prosedur untuk memantau
risiko tersebut misalnya dengan menyediakan tambahan modal sesuai besarnya
potensi risiko.
444
BAB I –MANAJEMEN
b. Organisasi memutuskan untuk tidak melakukan suatu aktivitas atau memilih

alternatif aktivitas lain yang menghasilkan output yang sama untuk menghindari
terjadinya risiko (Avoid risk).
Contohnya hak privilege administrator pada user yang menggunakan PC yang
mengandung risiko akan adanya malicious code pada PC. Risiko ini dapat dihindari
dengan tidak memberikan hak privilege pada user sehingga user tidak bisa merubah
konfigurasi dan meng-install software pada PC.
c. Organisasi memutuskan mengurangi dampak maupun kemungkinan terjadinya
risiko (Control / Mitigate).
Contohnya penggunaan PC untuk mendukung proses bisnis organisasi mengandung
risiko terjadinya hacking pada PC. Pengendalian risiko dilakukan dengan
pemasangan fasilitas firewall untuk mencegah akses yang tidak terotorisasi.
d. Organisasi memutuskan untuk mengalihkan seluruh atau sebagian tanggung jawab
pelaksanaan suatu proses kepada pihak ketiga (Transfer).
Contohnya Penggunaan fasilitas ruangan atau gedung mengandung risiko terjadi
kebakaran. Risiko ini ditangani dengan memindahkan risiko ke perusahaan asuransi
yaitu dengan mengasuransikan fasilitas ruangan atau gedung.
1.3.4. Implementasi Pengendalian Teknologi Informasi
Manajemen harus menerapkan praktek-praktek pengendalian yang memadai

sebagai bagian dari strategi mitigasi risiko TI secara keseluruhan.
Praktek-praktek pengendalian antara lain:
a. penerapan kebijakan, prosedur, struktur organisasi termasuk alur kerjanya;
b. pengendalian intern yang efektif yang dapat memitigasi risiko dalam proses TI.
Cakupan dan kualitas pengendalian intern adalah kunci utama dalam proses
manajemen risiko sehingga manajemen harus mengidentifikasi persyaratan spesifik
pengendalian intern yang diperlukan dalam setiap kebijakan dan prosedur yang
diterapkan;
c. manajemen wajib menetapkan kebijakan dan prosedur serta standar (sistem
pengelolaan pengamanan informasi) yang diperlukan Bank untuk melakukan
pengamanan aset-aset terkait penyelenggaraan dan penggunaan TI termasuk
didalamnya data atau informasi. Aturan lebih lanjut mengenai Pengamanan dapat
dilihat pada Bab V - Pengamanan Informasi;
d. manajemen harus mengevaluasi hasil kaji ulang (review) dan pengujian atas BCP
untuk setiap bagian operasional yang kritis. Aturan lebih lanjut mengenai BCP
dapat dilihat pada Bab VI - Business Continuity Plan. Seperti halnya dalam
pengelolaan pengamanan informasi, BCP merupakan suatu strategi yang
menyeluruh dan dilaksanakan oleh segenap satuan kerja yang ada di Bank;
e. manajemen wajib memastikan terdapat kebijakan dan prosedur mengenai
penggunaan pihak penyedia jasa. direksi harus memiliki pemahaman secara
445
BAB I –MANAJEMEN
menyeluruh atas risiko yang berhubungan dengan penggunaan jasa pihak penyedia
jasa untuk sebagian atau semua operasional TI.
Untuk itu satuan kerja TI harus melakukan evaluasi kemampuan penyedia jasa
untuk menjaga tingkat keamanan paling tidak sama atau lebih ketat dari yang
diterapkan oleh pihak intern Bank baik dari sisi kerahasiaan, integritas data dan
ketersediaan informasi. Pengawasan dan pemantauan yang ketat harus dilakukan
karena tanggung jawab manajemen Bank tidak hilang atau menjadi berkurang
dengan melakukan outsourcing operasional TI kepada pihak penyedia jasa TI.
Aturan lebih lanjut dapat dilihat pada Bab X- Outsourcing;
f. selain menerapkan bentuk pengendalian tersebut di atas, asuransi dapat digunakan
sebagai pelengkap upaya memitigasi potensi kerugian dalam penyelenggaraan TI.
Risiko yang perlu diasuransikan adalah residual risk. Bank hendaknya melakukan
review secara periodik atas kebutuhan, cakupan dan nilai asuransi yang ditutup.
446
BAB II –PENGEMBANGAN & PENGADAAN
BAB II
PENGEMBANGAN DAN PENGADAAN SISTEM
2.1. PENDAHULUAN
Pengembangan dan pengadaan sistem mencakup pengelolaan sistem Teknologi Informasi

yang tepat melalui proses identifikasi, pengembangan/pengadaan, implementasi dan
pemeliharaan sistem Teknologi Informasi yang digunakan dalam proses bisnis Bank.
Pengembangan dan pengadaan sistem dimaksud dapat berupa pengembangan perangkat
lunak secara internal atau pembelian perangkat lunak, perangkat keras dan jasa
pengembangan sistem dari pihak ketiga. Apabila pengelolaan dan pengendalian proses
pengembangan dan pengadaan sistem lemah maka Bank dapat menghadapi berbagai
risiko akibat adanya kesalahan (error), kejahatan (fraud) maupun produk atau layanan
yang tidak tepat.
2.2. TUGAS DAN TANGGUNG JAWAB MANAJEMEN
Dalam melakukan pengembangan dan pengadaan Teknologi Informasi manajemen

wajib melakukan langkah-langkah pengendalian untuk menghasilkan sistem dan data
yang terjaga kerahasiaan dan integritasnya serta mendukung pencapaian tujuan Bank,
antara lain mencakup:
a. menetapkan dan menerapkan prosedur dan metodologi pengembangan dan pengadaan
Teknologi Informasi secara konsisten;
b. menerapkan manajemen proyek dalam pengembangan sistem aplikasi yang utama;
c. memastikan testing yang dilakukan pada saat pengembangan dan pengadaan suatu
sistem telah memadai;
d. memastikan sistem yang dikembangkan sesuai kebutuhan pengguna;
e. memastikan kesesuaian satu sistem dengan sistem yang lain;
f. melakukan dokumentasi sistem yang dikembangkan dan pemeliharaannya;
g. memiliki manajemen perubahan sistem aplikasi;
h. mengidentifikasi, mengukur dan mengendalikan secara memadai risiko-risiko yang
dapat timbul terkait dengan pengembangan dan pengadaan sistem;
i. memastikan bahwa Bank memiliki prosedur pengembangan sistem/aplikasi dalam
keadaan darurat atau emergency changes.
2.2.1 Manajemen Proyek
Untuk pengembangan/pengadaan sistem aplikasi yang utama, Bank harus memiliki

manajemen proyek untuk memastikan sistem aplikasi telah dikembangkan dengan
struktur yang baik dan telah mengakomodir kebutuhan pengguna serta sesuai dengan
447
sistem Teknologi Informasi yang dimiliki Bank. Manajemen proyek dapat berbentuk
tim kerja yang anggotanya paling kurang berasal dari satuan kerja TI dan satuan kerja
pengguna. Sementara audit internal merupakan pihak independen yang memberikan
masukan bagi kedua satuan kerja tersebut dalam memastikan kecukupan pengendalian
di sistem aplikasi (advisory capacity).
2.2.2. Manajemen Perubahan Program
Yang dimaksud manajemen perubahan program adalah proses pengelolaan perubahan

selama dalam pengembangan program, misalnya terjadi perubahan user requirement,
perubahan teknologi pendukung yang digunakan.
Prosedur manajemen perubahan program harus dirumuskan, dijalankan dan
didokumentasikan dengan baik. Permintaan perubahan harus diteliti sebelum disetujui
untuk menentukan metode lain dalam melakukan perubahan, biaya perubahan, serta
waktu yang dibutuhkan untuk aktivitas pemrograman. Penyebab sebenarnya yang
menyebabkan perubahan harus diketahui dan didokumentasi dengan benar. Jejak audit
(audit trail) dari semua perubahan yang diminta harus dipelihara. Aktivitas
programmer harus diatur dan diawasi, dan semua pekerjaan yang ditugaskan harus
diawasi dengan seksama terhadap tanggal pencapaian target.
2.3. KEBIJAKAN DAN PROSEDUR
Hal-hal yang perlu diperhatikan dalam kebijakan dan prosedur pengembangan dan
pengadaan antara lain:
a. Kebijakan dan prosedur pengembangan dan pengadaan sistem Teknologi Informasi
sekurang-kurangnya meliputi hal-hal berikut:
1) identifikasi dan analisis kebutuhan pengguna;
2) pendefinisian kebutuhan (user requirement);
3) rancangan system;
4) pemrograman;
5) pengujian;
6) implementasi;
7) post implementation review;
8) pemeliharaan.
b. Setiap pengembangan dan pengadaan sistem Teknologi Informasi harus selalu di
bawah kendali satuan kerja Teknologi Informasi.
c. Terhadap aplikasi yang dikembangkan oleh vendor atau dipengadaan dari pihak
ketiga, Bank harus melakukan proses pemilihan vendor/pihak ketiga yang mengacu
pada pedoman BI tentang outsourcing serta kebijakan dan prosedur intern. Bank
juga harus memastikan kecukupan pelatihan dan manual yang disusun sebagai
bagian dari kontrak antara Bank dan vendor.
448
d. Kebijakan dan prosedur yang perlu dimiliki Bank dalam manajemen proyek antara
lain:
1) Studi kelayakan harus dilakukan untuk mengetahui biaya dan manfaat dari
pengembangan sistem, serta untuk menentukan apakah akan menggunakan
sumber daya internal atau outsource;
2) Persyaratan keamanan yang relevan harus dispesifikasikan secara jelas sebelum
sistem baru dikembangkan atau diperoleh. Persyaratan keamanan tersebut harus
sesuai dengan arsitektur keamanan informasi Bank secara keseluruhan;
3) Perencanaan yang baik harus dilakukan untuk memastikan bahwa proyek akan
memenuhi tujuannya;
4) Bank harus melakukan pemisahan lingkungan (environment) untuk
pengembangan, uji coba dan produksi, termasuk pembatasan akses ke masing-
masing lingkungan;
5) Jika sistem didukung atau dipelihara oleh vendor/pihak lain, analisis yang baik
untuk pemilihan perangkat lunak harus dilakukan untuk memastikan kebutuhan
pengguna dan bisnis dapat dipenuhi;
6) Perjanjian kontrak antara Bank dan vendor harus diikat secara hukum;
7) Bank harus menerapkan manajemen pemeliharaan untuk semua proses
pengembangan dan pengadaan sistem yang telah diimplementasikan;
8) Seluruh hasil (deliverables) pada setiap tahapan manajemen proyek harus
didokumentasikan dengan baik.
9) Bank harus memiliki rencana proyek yang formal meliputi hal-hal sebagai
berikut:
a) identifikasi proyek, sponsor, dan manajer proyek;
b) tujuan proyek, informasi latar belakang dan strategi pengembangan;
c) deskripsi tanggung jawab utama dari tiap personil dalam manajemen
proyek;
d) prosedur untuk mengumpulkan dan menyebarkan informasi;
e) kriteria hasil yang ditargetkan untuk masing-masing tahap pengembangan
(acceptance criteria);
f) masalah keamanan dan pengendalian yang harus dipertimbangkan;
g) prosedur untuk memastikan manajer menilai, mengawasi, dan mengatur
risiko internal dan eksternal dengan benar sepanjang siklus pengembangan;
h) cut off date untuk mengalihkan penggunaan sistem aplikasi dari yang lama
ke versi terbaru hasil;
i) standar pengembangan yang akan digunakan untuk pengawasan proyek,
pengendalian sistem dan kendali mutu (quality assurance);
j) jenis dan tingkatan dokumentasi yang harus dihasilkan oleh personil di
setiap tahap proyek;
k) jadwal tahapan proyek dan aktivitas yang akan diselesaikan dalam tiap
tahap;
449
l) estimasi anggaran awal dari keseluruhan biaya proyek;

m) rencana uji coba (testing plan) yang mengidentifikasikan kebutuhan uji coba
(testing requirement) dan jadwal prosedur uji coba;
n) rencana pelatihan yang mengidentifikasikan kebutuhan pelatihan dan jadwal
agar pegawai/karyawan dapat menggunakan dan memelihara aplikasi pasca
implementasi.
e. Kebijakan dan prosedur manajemen perubahan program yang harus dibuat Bank
adalah prosedur modifikasi yang sekurang-kurangnya mencakup:
1) peninjauan ulang sebelum modifikasi dan otorisasi;
2) pengujian sebelum modifikasi (dalam lingkungan pengujian yang terpisah);
3) prosedur backup data dan source code sebelum modifikasi;
4) dokumentasi yang terdiri atas:
a) Penjelasan dari modifikasi;
b) Alasan dari penerapan atau penolakan dari modifikasi yang diusulkan;
c) Nama individu yang membuat modifikasi;
d) Salinan dari source code yang diubah;
e) Tanggal dan waktu modifikasi dilakukan; dan
5) evaluasi setelah modifikasi.
f. Dokumentasi yang harus dibuat selama proses modifikasi berlangsung terdiri dari:
1) informasi yang menjadi prioritas;
2) identifikasi sistem, database dan satuan kerja yang terpengaruh;
3) nama dari individu yang bertanggung jawab dalam membuat perubahan;
4) kebutuhan sumber daya;
5) prediksi biaya;
6) prediksi tanggal penyelesaian;
7) prediksi tanggal implementasi;
8) pertimbangan potensi keamanan dan kehandalan;
9) kebutuhan uji coba;
10) prosedur implementasi;
11) perkiraan downtime pada saat implementasi;
12) prosedur backup;
13) pengkinian dokumentasi (rancangan program dan scripts, topologi jaringan,
manual pengguna, rencana kontinjensi, dll);
14) dokumentasi penerimaan modifikasi dari semua satuan kerja terkait (pengguna,
teknologi, quality assurance, keamanan, audit, dll); dan
15) dokumentasi audit pasca implementasi (perbandingan antara harapan dan hasil).
450
2.4. MANAJEMEN RISIKO PENGEMBANGAN DAN PENGADAAN
Manajemen Bank bertanggung jawab terhadap manajemen risiko dari seluruh aktivitas
yang terkait dengan pengembangan dan pengadaan sistem Teknologi Informasi.
2.4.1. Identifikasi Jenis Risiko Terkait Pengembangan dan Pengadaan
Proses pengembangan dan pengadaan sistem Teknologi Informasi yang dilakukan oleh
Bank dapat memberikan kontribusi terhadap beberapa risiko, yaitu:
a. Risiko Operasional
Kesalahan, ketidakcukupan spesifikasi, kelemahan yang terdapat dalam sistem
yang dikembangkan atau dibeli oleh Bank dapat menimbulkan risiko operasional
antara lain terjadinya fraud, error dan ketidak sesesuaian dengan kebutuhan. Risiko
operasional tersebut juga dapat mempengaruhi risiko lainnya seperti risiko pasar,
likuiditas, strategik dan reputasi.
b. Risiko Reputasi
Kesalahan, keterlambatan atau kelalaian dalam pengembangan sistem Teknologi
Informasi yang digunakan Bank apabila mengganggu pelayanan kepada nasabah
dapat secara signifikan mempengaruhi reputasi Bank.
c. Risiko Strategik
Kegagalan sistem yang dikembangkan dapat menghasilkan data dan informasi yang
menyebabkan kesalahan pengambilan keputusan oleh manajemen.
d. Risiko Kepatuhan
Kegagalan dalam pengembangan atau akusisi sistem Teknologi Informasi untuk
mengikuti perubahan ketentuan dapat meningkatkan risiko kepatuhan bagi Bank.
Pada saat akan dilakukan pengembangan, Manajemen harus memperhatikan risiko
terkait faktor berikut ini:
a. ruang lingkup sistem yang akan dikembangkan meliputi sensitivitas data yang
diakses, dilindungi atau dikendalikan, volume transaksi, dan tingkat pentingnya
aktivitas dan fungsi tersebut terhadap bisnis Bank;
b. terkait dengan teknologi yang digunakan meliputi kehandalan (reliability),
keamanan (security), ketersediaan (availability), dan ketepatan waktu (timeliness)
serta kemampuan mengikuti perkembangan teknologi dan perubahan ketentuan.
2.4.2. Pengendalian Risiko Pada Pengembangan Sistem Aplikasi
Dalam melakukan pengembangan Bank harus menentukan metodologi yang akan

digunakan. Salah satu bentuk metodologi yang dapat digunakan oleh Bank adalah
System Development Life Cycle (SDLC). Dalam SDLC, tahap pengembangan suatu
451
sistem aplikasi bagi menjadi inisiasi, perencanaan, pendefinisian kebutuhan, desain,

pemrograman, uji coba, implementasi, kaji ulang pasca implementasi, dan
pemeliharaan. Contoh metodologi pengembangan lain yang dapat digunakan oleh bank
antara lain seperti agile software development, Rapid Application Development (RAD),
dan metode lain yang telah menjadi standarisasi pengembangan sistem. Namun
demikian, setidaknya dalam pelaksanaan dengan metode pengembangan lainnya, Bank
mengacu pada tahapan yang ada pada pedoman ini.
2.4.2.1. Tahap Inisiasi dan Perencanaan
Tahap inisiasi diawali dengan identifikasi kebutuhan untuk menambahkan,

menyempurnakan atau memperbaiki suatu sistem yang diminta oleh pengguna
melalui suatu proposal. Tahap inisiasi ini terdiri dari langkah-langkah antara lain
sebagai berikut:
a. penyusunan proposal yang berisi identifikasi kebutuhan pengguna untuk
menambahkan, menyempurnakan atau memperbaiki suatu sistem, tujuan dan
manfaat yang diharapkan serta bagaimana sistem yang akan dikembangkan dapat
mendukung strategi bisnis;
b. evaluasi proposal oleh manajemen;
c. persetujuan prinsip pengembangan/pengadaan sistem baru atau perubahan sistem;
d. studi kelayakan proyek yang antara lain pertimbangan bisnis, kebutuhan
fungsional, faktor-faktor yang mempengaruhi proyek dan analisis manfaat dan
biaya (cost and benefit analysis);
e. persetujuan manajemen atas dokumen studi kelayakan;
f. penandatanganan dokumen studi kelayakan oleh semua pihak terkait.
Setelah persetujuan pengembangan diperoleh pada tahap inisiasi, Bank melakukan
perencanaan untuk identifikasi lebih rinci atas aktivitas yang spesifik dan sumber
daya yang dibutuhkan untuk menyelesaikan proyek. Tahap perencanaan ini
menghasilkan suatu rencana proyek yang harus menjadi acuan dalam pelaksanaan
proyek dan harus dikinikan sesuai perkembangan proyek.
2.4.2.2. Tahap Pendefinisian Kebutuhan Pengguna (User Requirement Definition)
Berdasarkan dokumen studi kelayakan yang telah disetujui secara tertulis oleh
manajemen, manajer proyek dapat membentuk tim guna menyusun requirement
definition secara detail sebagai dasar dimulainya pengembangan sistem aplikasi. Pada
tahapan ini, seluruh kebutuhan pengguna dikumpulkan berdasarkan contoh-contoh
dokumen/form, spesifikasi proses dan sistem yang ada saat ini, interview dengan
pengguna akhir dan riset serta analisis terhadap ketentuan/regulasi yang berlaku.
Tahap pendefinisian kebutuhan pengguna ini terdiri atas:
452
a. Pengumpulan kebutuhan (Requirements Elicitation), merupakan proses

pengumpulan informasi mengenai tujuan pengembangan sistem, output/ hasil
yang diinginkan, bagaimana sistem dapat mengakomodir kebutuhan bisnis proses
dan bagaimana sistem akan digunakan.
b. Analisis Kebutuhan (Requirements Analysis) merupakan proses pemahaman
permasalahan dan kebutuhan untuk menentukan solusi yang dapat dikembangkan.
Pada tahap ini, ditentukan perkiraan umum dari waktu dan biaya pengembangan
dari tiap kebutuhan. Hasil analisa kebutuhan digunakan untuk menghasilkan alur
bisnis proses (seperti Business Process Flows, Use Cases Modeling dan Data
Flow Diagrams) yang dapat memperjelas pemahaman mengenai kebutuhan dan
solusinya, baik bagi pengguna maupun pengembang.
c. Spesifikasi Kebutuhan (Requirements Specification) merupakan proses yang
mendeskripsikan fungsional sistem yang akan dikembangkan, baik dari segi
perangkat lunak maupun perangkat keras pendukung serta desain database.
Spesifikasi kebutuhan harus lengkap, komprehensif, dapat diuji, konsisten, jelas
dan merinci kebutuhan input, proses dan output yang dibutuhkan.
d. Pengelolaan Kebutuhan (Requirements Management) merupakan proses yang
dilakukan oleh tim proyek untuk mengidentifikasi, mengendalikan, dan
menyimpan setiap perubahan terhadap kebutuhan pada saat pengembangan
berjalan.
2.4.2.3. Tahap Merancang (Desain) Sistem
Tahap ini mengkonversikan kebutuhan informasi, fungsi dan jaringan yang

teridentifikasi selama tahap inisiasi dan perencanaan menjadi spesifikasi desain yang
akan digunakan pengembang. Salah satu teknis desain adalah dengan menggunakan
prototipe yang mengembangkan desain maket dari bagian aplikasi seperti tampilan
layar, struktur data dan arsitektur sistem. Pengguna akhir, perancang, pengembang,
database administrator dan network administrator harus melakukan kaji ulang dan
memilih desain yang diprototipekan dalam suatu proses iteratif (berulang-ulang)
sampai disepakati desain yang akan digunakan. Personil auditor, security dan quality
assurance harus dilibatkan dalam proses review dan persetujuan di atas.
Pada tahap desain diperlukan suatu standar pengendalian aplikasi yang
mencakup kebijakan dan prosedur terkait dengan aktivitas pengguna dan
pengendalian terintegrasi dalam sistem yang akan dikembangkan. Pada tahap ini,
audit intern berpartisipasi memberikan masukan pengendalian yang harus diterapkan
dalam sistem aplikasi. Tahap ini diperlukan untuk meningkatkan keamanan, integritas
dan kehandalan sistem dengan memastikan informasi input, proses dan output yang
terotorisasi, akurat, lengkap dan aman.
453
Berdasarkan tujuannya, pengendalian terbagi atas pengendalian yang bersifat

pencegahan, deteksi/ temuan, atau koreksi. Pengendalian yang harus dilakukan paling
kurang meliputi:
a. Pengendalian Input
Minimal dapat mencakup pengecekan terhadap validitas/kebenaran data, range
data/ parameter, dan duplikasi data yang diinput;
b. Pengendalian Proses
Memastikan proses bekerja secara akurat dan dapat menyimpan informasi atau
menolaknya. Pengendalian proses yang dapat dilakukan secara otomatis oleh
sistem mencakup paling kurang Error Reporting, Transaction Log, pengecekan
urutan, backup file;
c. Pengendalian Output
Memastikan sistem mengelola informasi dengan aman dan mendistribusikan
informasi hasil proses dengan tepat serta menghapus informasi yang telah
melewati masa retensi.
2.4.2.4. Tahap Pemrograman
Dalam tahap ini dilakukan konversi spesifikasi desain menjadi program yang dapat
dijalankan. Selama tahap ini, Bank harus membuat rencana uji coba yang harus
dilakukan. Selain itu, Bank juga harus mengkinikan rencana migrasi, implementasi
dan pelatihan pengguna akhir, operator dan dokumentasi manual pemeliharaan.
a. Standar Pemrograman
Dalam standar pemrograman dijelaskan antara lain mengenai tanggung jawab
programmer aplikasi dan programmer sistem. Manajer proyek harus memahami
secara keseluruhan mengenai proses pemrograman untuk memastikan tanggung
jawab programmer telah sesuai, antara lain:
1) Membatasi akses programer terhadap data, program, utilitas, dan sistem di luar
tanggung jawabnya. Pengendalian librarian dapat digunakan untuk mengelola
akses tersebut.
2) Pengendalian versi merupakan metode yang secara sistematis menyimpan
kronologis dari salinan program yang disempurnakan serta menjadi salah satu
dokumentasi program.
b. Dokumentasi
1) Bank harus mengelola dan memelihara dokumentasi yang detail untuk setiap
sistem aplikasi baik yang dikembangkan sendiri maupun produk/perangkat
lunak yang dibeli atau dikembangkan pihak lain yaitu mencakup:
a) deskripsi detail aplikasi;
b) dokumentasi pemrograman;
454
c) format-format yang digunakan (format database, format tampilan dan

informasi);
d) standar penamaan;
e) pedoman bagi operator dan pedoman untuk pengguna akhir.
2) Dokumentasi harus dapat mengidentifikasikan standarisasi pengembangan,
seperti narasi sistem, alur sistem, pengkodean khusus sistem, pengendalian
intern dalam dokumen aplikasi itu sendiri.
3) Dalam hal produk/perangkat lunak dibeli atau dikembangkan oleh pihak lain,
manajemen harus memastikan review telah dilakukan baik secara intern maupun
oleh pihak independen bahwa dokumentasi produk/ perangkat lunak telah sesuai
dengan standar minimum dokumentasi Bank.
2.4.2.5. Tahap Uji Coba
Bank harus melaksanakan beberapa rangkaian uji coba untuk memastikan

keakuratan dan berfungsinya sistem aplikasi sesuai kebutuhan pengguna serta
hubungan sistem aplikasi tersebut dengan sistem aplikasi lain (interoperability) yang
telah digunakan oleh Bank. Segala koreksi dan modifikasi yang dilakukan selama uji
coba harus didokumentasikan untuk menjaga integritas keseluruhan dokumentasi
program. Bank harus melengkapi pedoman bagi pengguna dan pengelola serta
menyiapkan rencana implementasi serta pelatihan. Ujicoba yang dapat dilakukan oleh
Bank antara lain adalah:
a. Unit Testing,
b. System Integration Tesing,
c. Stress Testing,
d. User Acceptance Test.
User Acceptance Test (UAT) merupakan uji coba akhir yang dilakukan oleh
pengguna akhir terhadap sistem/ aplikasi yang telah selesai dikembangkan dalam
rangka menguji fungsionalitas keseluruhan sistem apakah telah sesuai dengan
kebutuhan pengguna pada user requirement definition sebelum memutuskan
implementasi dapat dilakukan. Pada tahap ini audit intern dapat ikut melakukan
pengujian dengan tetap menjaga tingkat independensi apabila audit intern perlu
meyakini ketersediaan, kecukupan dan keefektifan pengendalian yang ada di sistem.
Jika hasil ujicoba menunjukkan bahwa sistem/ aplikasi telah sesuai dengan kebutuhan
pengguna, maka harus dibuat suatu berita acara UAT yang disetujui pengguna.
2.4.2.6. Tahap Implementasi
Pada tahap ini hal-hal utama yang perlu dilakukan antara lain pemberitahuan jadwal
implementasi, pelatihan pada pengguna dan instalasi sistem aplikasi yang telah
455
disetujui ke dalam lingkungan produksi. Hal-hal penting lainnya yang harus

diperhatikan antara lain:
a. pengecekan integritas program berupa pengendalian yang memadai terhadap
konversi dari source code ke object code yang akan diimplementasikan;
b. migrasi data dari sistem lama ke sistem baru;
c. pengecekan akurasi dan keamanan data hasil migrasi pada sistem baru;
d. kemungkinan diberlakukannya parallel run antara sistem yang lama dengan yang
baru, sampai dipastikan bahwa data pada sistem yang baru telah akurat dan
handal;
e. integritas data, di mana Bank harus memastikan keakuratan dan kehandalan dari
database dan integritas data;
f. pada saat implementasi, patching data dapat sangat mempengaruhi integritas data
pada database di server produksi, untuk itu harus dihindarkan;
g. pengaturan penyimpanan source code dan database dari sistem lama.
2.4.2.7. Kaji Ulang Pasca Impelementasi (Post Implementation Review)
Manajemen harus melakukan review setelah implementasi pada akhir proyek untuk
mengetahui bahwa seluruh aktivitas dalam proyek telah dilaksanakan dan tujuan
proyek telah tercapai.
Manajemen harus menganalisa keefektifan aktivitas manajemen proyek dengan
membandingkan antara lain rencana dan realisasi biaya, manfaat yang diperoleh,
dan ketepatan jadual proyek. Hasil analisa harus didokumentasikan dan dilaporkan
kepada manajemen.
2.4.2.8. Tahap Pemeliharaan
Terhadap perangkat keras, perangkat lunak dan dokumentasi harus dilakukan

pemeliharaan dalam rangka memastikan efektivitas operasional sistem. Bank harus
menetapkan metodologi pemeliharaan yang sesuai dengan karakteristik dan risiko
tiap proyek dari sistem aplikasi yang ada.
2.4.2.9. Tahap Disposal
Setiap perangkat lunak hasil pengembangan/pengadaan yang sudah tidak digunakan

lagi dalam kegiatan operasional dan berdasarkan pertimbangan manajemen
diyakini tidak akan diperlukan dan tidak akan dipelihara lagi maka perangkat lunak
tersebut akan memasuki tahap terakhir dalam SDLC yaitu tahap
disposal/termination. Hal ini dilakukan untuk memastikan sistem yang paling
akurat dan terkini yang digunakan dalam kegiatan operasional serta menghindari
456
penyalahgunaan oleh pihak tidak berwenang. Pengaturan lebih lanjut mengenai

kebijakan disposal dijelaskan pada Bab III Operasional.
2.4.3. Pengendalian Risiko Pada Pengadaan
Dalam hal akan digunakan sistem aplikasi yang dibeli dari pihak lain
(pengadaan), maka perlu pula diperhatikan kesesuaian spesifikasi dengan kebutuhan,
pengaruh terhadap sistem yang telah ada, dukungan teknis purna jual, kondisi
keuangan perusahaan, kelengkapan dokumentasi, escrow agreement dan pelatihan.
Sama seperti halnya mengembangkan sistem aplikasi sendiri, studi kelayakan proyek
pengadaan harus mendapat persetujuan manajemen, harus terdapat pendefinisian
kebutuhan pengguna, harus memiliki pengendalian pengamanan yang memadai dan
terdapat pengujian dan implementasi produk. Proses yang sama juga diterapkan
dalam pengadaan perangkat keras dan perangkat lunak lainnya.
Bank harus membuat kriteria pemilihan vendor dan melakukan kaji ulang
kemampuan vendor antara lain terkait dengan kondisi keuangan, tingkat dukungan
(support level), dan pengendalian keamanan, sebelum menetapkan pilihan produk
atau layanan dari vendor. Bank harus memperhatikan ketentuan terkait dan pedoman
Bank Indonesia tentang outsourcing, serta ketentuan intern Bank. Selain itu Bank
harus melakukan kaji ulang kontrak dan perjanjian lisensi (licensing agreement)
untuk memastikan hak dan tanggung jawab masing-masing pihak jelas dan wajar.
Penasehat hukum Bank harus melakukan konfirmasi bahwa jaminan pelaksanaan
(performance guarantees), akses terhadap source code, masalah hak cipta, dan
keamanan perangkat lunak/data telah diatur secara jelas sebelum pihak manajemen
menandatangani kontrak.
2.4.3.1. Standar Pengadaan
Standar pengadaan harus diterapkan untuk memastikan bahwa produk yang dibeli telah
memenuhi kebutuhan fungsional, kriteria keamanan, dan kehandalan. Alat utama dalam
mengatur proyek pengadaan adalah request for proposal (RFP) yang sekurang-
kurangnya memuat kebutuhan fungsional, keamanan, dan kebutuhan operasional secara
tepat, jelas dan terperinci. Dalam pengadaan sistem, manajer proyek harus melakukan
antara lain:
a. meninjau ulang secara menyeluruh mengenai kesesuaian vendor, kontrak, lisensi
dan produk yang diperoleh terhadap sistem yang ada.
a. harus membandingkan penawaran dengan persyaratan yang ada dalam proyek dan
antar sesama penawaran.
b. mengkaji kondisi keuangan vendor dan komitmennya terhadap pelayanan.
c. meminta pendapat penasehat hukum sebelum kontrak ditandatangani oleh
manajemen.
457
2.4.3.2. Pedoman Proyek Pengadaan
Hal-hal yang harus diperhatikan dalam proyek pengadaan antara lain:

a. proyek pengadaan dimulai dengan pengajuan rencana proyek kepada manajemen.
b. prosedur harus ada untuk memfasilitasi proses permintaan dan memastikan
manajemen mereview secara sistematis terhadap seluruh permintaan.
c. permintaan harus didasarkan pada kebutuhan bisnis Bank untuk :
1) mendapatkan suatu produk;
2) mengidentifikasi fitur sistem yang diinginkan; dan
3) menggambarkan kebutuhan informasi, network interface, komponen
perangkat keras dan perangkat lunak.
d. Bank harus menyusun studi kelayakan untuk menentukan apakah Bank
membutuhkan pengadaan perangkat lunak baik yang dapat dimodifikasi sesuai
kebutuhan atau siap pakai (off-the shelf).
e. persetujuan dari seluruh pihak terkait atas studi kelayakan tersebut harus
didokumentasikan untuk selanjutnya dapat menjadi dasar dibuatnya suatu definisi
kebutuhan (Requirement Definition) seperti yang telah dijelaskan pada sub bagian
2.3.2.2 di atas.
f. setelah Bank menerima penawaran, Bank harus menganalisa dan membandingkan
penawaran antar peserta terhadap kebutuhan yang ditetapkan Bank. Proposal
vendor harus membahas dengan jelas semua kebutuhan Bank dan
mengidentifikasi isu-isu lain yang dapat diterapkan.
g. Bank harus memiliki prosedur untuk memastikan bahwa Bank telah melakukan
kaji ulang penawaran dengan benar. Proses seleksi akan menghasilkan daftar
vendor potensial.
h. manajemen harus mengkaji kembali kestabilan kondisi keuangan dan komitmen
pelayanan dari vendor yang terpilih.
i. Bank menentukan produk dan vendor serta menegosiasikan kontrak. Dalam hal
ini penasehat hukum hendaknya meninjau ulang kontrak tersebut sebelum
ditandatangani.
2.4.3.3. Escrow Agreement
Dalam hal aplikasi inti dibuat oleh pihak lain (vendor) dan source code tidak
diberikan, kepentingan Bank dalam rangka menjaga kelangsungan usaha perlu
dilindungi. Untuk memitigasi risiko atas terhentinya dukungan vendor maka Bank
wajib mempertimbangkan perlu tidaknya memiliki perjanjian tertulis berupa escrow
agreement atas perangkat lunak yang dianggap penting oleh Bank. Hal-hal yang
dipertimbangkan dalam penggunaan escrow agreement antara lain reputasi vendor,
perangkat lunak digunakan oleh banyak pihak baik di dalam maupun luar negeri.
Dalam escrow agreement terdapat pihak ketiga independen yang ditunjuk
untuk menyimpan source code. Bank secara periodik (minimal per tahun) harus
458
memastikan bahwa pihak ketiga menyimpan versi terkini dari source code. Agen
penyimpanan yang dipilih harus memastikan nomor dan tanggal versi source yang
disimpan dan memastikan kepada vendor mengenai integritas dari source code
tersebut.
2.4.3.4 . Kontrak Pengembangan dan Perjanjian Lisensi dari Perangkat Lunak
a. Lisensi Perangkat Lunak – Umum

Bank harus memastikan bahwa pada lisensi antara lain :
1) jelas tertulis apakah penggunaan perangkat lunak tersebut bersifat eksklusif atau
tidak;
2) siapa dan berapa banyak personil pada Bank yang dapat menggunakan
perangkat lunak termasuk penggunaan dalam jaringan;
3) apakah terdapat pembatasan lokasi penggunaan;
4) jika Bank menginginkan lisensi lokasi untuk pengguna yang tidak terbatas pada
suatu lokasi, harus dipastikan bahwa di dalam kontrak hal tersebut
dimungkinkan;
5) jika Bank menginginkan entitas terkait lainnya untuk menggunakan perangkat
lunak tersebut, seperti subsidiary atau vendor harus terdapat dalam daftar
lisensi.
Bank harus memastikan lisensi juga berlaku atas salinan back-up dari semua
perangkat lunak penting yang dibutuhkan di tempat yang terpisah (remote site)
dalam pelaksanaan disaster recovery atau memastikan kesinambungan kegiatan
usaha Bank (business continuity plan). Bank harus memahami dengan jelas
mengenai jangka waktu lisensi dan jika Bank menginginkan lisensi terus menerus
untuk menggunakan perangkat lunak, harus dipastikan bahwa pada kontrak tertulis
secara eksplisit mengenai hal tersebut.
b. Standar Spesifikasi Pengembangan dan Kinerja Perangkat Lunak
Dalam pengadaan suatu perangkat lunak, Bank harus membuat kontrak perjanjian
dengan pihak penyedia jasa pengembangan yang memuat standar spesifikasi
program yang diharapkan Bank sesuai dengan kebutuhan pengguna, antara lain:
1) kinerja yang diharapkan dan fungsional dari perangkat lunak;
2) persyaratan perangkat dan infrastruktur yang dibutuhkan untuk menjalankan
perangkat;
3) identifikasi dan spesifikasi fungsional di mana perangkat lunak operasional
akan bekerja dan identifikasi milestone dari fungsional yang harus dipenuhi
oleh vendor selama proses pengembangan;
4) pengaturan izin modifikasi dari spesifikasi dan standar kinerja selama proses
pengembangan;
5) identifikasi kebutuhan uji coba guna menentukan pemenuhan standar kinerja
perangkat lunak;
459
6) tindakan yang harus dilakukan pihak pengembang jika perangkat lunak gagal
pada saat uji coba.
c. Pemeliharaan
Bank perlu memperhatikan apakah perjanjian lisensi atau pengembangan telah
memuat kesepakatan mengenai hal-hal yang diperlukan untuk pemeliharaan
perangkat lunak seperti dokumentasi, modifikasi, pengkinian dan konversi.
Kesepatan tersebut antara lain seperti:
1) vendor memberikan dokumentasi perangkat lunak, termasuk dokumentasi
sistem aplikasi dan petunjuk teknis penggunaan;
2) pelaksanaan dan biaya dari pengkinian dan modifikasi perangkat lunak;
3) kemungkinan Bank melakukan akses ke source code bila pihak penyedia jasa
tidak dapat memberikan layanan lagi atau terdapat modifikasi yang tidak dapat
dilakukan oleh pihak penyedia jasa;
4) kemungkinan konversi perangkat lunak dan data ke perangkat lunak dan format
data yang berbeda di masa mendatang.
Apabila diperlukan, hal-hal diatas dapat dimuat dalam suatu perjanjian
pemeliharaan yang tersendiri.
d. Garansi
Penelitian perlu dilakukan Bank untuk meyakini bahwa lisensi perangkat lunak dari
pihak vendor menjamin bahwa perangkat lunak:
1) tidak melanggar hak kekayaan intelektual dari pihak lainnya di seluruh dunia
2) tidak mengandung kode rahasia/ terbatas yang tidak diungkapkan atau
pembatasan secara otomatis pada perjanjian
3) akan bekerja sesuai spesifikasi dan harus dinyatakan tanggung jawab vendor jika
terjadi permasalahan
4) dijamin pemeliharaannya oleh vendor selama yang diperjanjikan
5) perjanjian lisensi tetap berlaku apabila terjadi merger, pengadaan atau perubahan
pemilikan baik pada Bank atau vendor.
e. Penyelesaian Perselisihan
Bank harus memasukkan klausula penyelesaian perselisihan pada kontrak dan
perjanjian lisensi. Pemahaman mengenai klausula tersebut akan meningkatkan
kemampuan Bank untuk menyelesaikan permasalahan dengan cara terbaik dan
memungkinkan untuk meneruskan pengembangan perangkat lunak selama periode
penyelesaian perselisihan.
f. Perubahan Perjanjian
Bank harus memastikan bahwa pada lisensi perangkat lunak secara jelas menyatakan
bahwa vendor tidak dapat memodifikasi perjanjian tanpa adanya persetujuan dari
kedua belah pihak.
460
g. Keamanan
Bank harus menetapkan kriteria pengendalian keamanan (security control) atas
sistem Teknologi Informasi yang akan menjadi standar kinerja dari fitur keamanan
dalam perjanjian lisensi dan perjanjian pengembangan perangkat lunak. Standar
tersebut harus memastikan bahwa perangkat lunak yang dikembangkan konsisten
dengan keseluruhan program keamanan yang ada di Bank. Perjanjian lisensi dan
pengembangan tersebut antara lain harus membahas:
1) tanggung jawab terus menerus dari pihak vendor untuk melindungi keamanan dan
kerahasiaan sumber daya dan data Bank.
2) larangan bagi vendor untuk menggunakan atau mengungkapkan informasi yang
dimiliki Bank tanpa persetujuan Bank.
3) garansi dari vendor bahwa perangkat lunak tidak mengandung back door yang
memungkinkan akses oleh pihak yang tidak berwenang ke dalam sistem aplikasi
dan data Bank.
4) secara eksplisit menyatakan bahwa vendor tidak akan menggunakan fitur
perangkat lunak yang dapat mengakibatkan perangkat lunak tersebut tidak
berfungsi dengan baik.
h. Sub Kontrak Kepada Vendor Lain

Bank harus menetapkan klausula dalam perjanjian pengembangan yang melarang
penugasan kontrak oleh vendor kepada pihak ketiga tanpa persetujuan Bank. Apabila
memang terdapat kondisi dimana sebagian dari pengembangan perangkat harus di
subkontrakkan maka harus terdapat persetujuan tertulis dari Bank. Dalam
memberikan persetujuan sub kontrak tersebut, Bank harus mempertimbangkan
tingkat kesulitan dan ketersediaan ahli dalam pengembangan perangkat lunak tersebut
serta keamanan data Bank. Disamping itu Bank harus memastikan bahwa terdapat
klausula bahwa vendor bertanggung jawab terhadap perangkat lunak meskipun
dirancang atau dikembangkan oleh pihak lain.
2.4.4. Pengendalian Risiko Pada Pemeliharaan Sistem Aplikasi
Aktivitas pemeliharaan harus dilakukan oleh Bank mencakup layanan rutin dan
modifikasi terhadap perangkat keras, perangkat lunak dan informasi yang terkait untuk
memastikan efektifitas penggunaan Teknologi Informasi Bank. Untuk ini diperlukan
Standar Operasional Prosedur tentang Manajemen Perubahan (change management)
guna memastikan perubahan yang terjadi selama tahap pemeliharaan tidak akan
mengganggu kegiatan operasional Teknologi Informasi Bank atau menurunkan
kinerja/keamanan sistem. Manajemen perubahan mencakup modifikasi secara
keseluruhan, modifikasi minor (kecil), dan perubahan yang bersifat mendesak
(modifikasi darurat).
461
2.4.4.1. Manajemen Perubahan (Change Management)
Manajemen harus menetapkan SOP pengendalian perubahan secara detail

yang memuat prosedur otorisasi, uji coba, dokumentasi, implementasi dan sosialisasi
atas modifikasi teknologi tersebut.
Modifikasi mencakup perangkat keras dan lunak. Modifikasi perangkat keras
dibutuhkan untuk menggantikan peralatan yang lama atau tidak berfungsi atau
bahkan untuk meningkatkan kinerja atau kapasitas penyimpanan. Modifikasi
perangkat lunak dibutuhkan untuk memenuhi kebutuhan pengguna, memperbaiki
permasalahan perangkat lunak dan kelemahan keamanan atau mengimplementasikan
teknologi baru. Bank harus mengkoordinasikan modifikasi perangkat lunak dan patch
melalui proses manajemen perubahan yang terpusat karena adanya keterkaitan antar
sistem aplikasi dan sistem operasional.
Berdasarkan tingkat kepentingannya, modifikasi digolongkan menjadi:
1) modifikasi utama (major modification), merupakan perubahan fungsional secara
signifikan pada sistem aplikasi yang antara lain disebabkan karena adanya
konversi atau pengembangan sistem baru akibat adanya merger atau akuisisi
Bank. Modifikasi utama harus diterapkan mengikuti proses yang terstruktur
seperti yang dilakukan dalam siklus pengembangan sistem/aplikasi.
2) modifikasi minor, merupakan pelaksanaan perubahan pada sistem aplikasi atau
perangkat lunak sistem operasi untuk meningkatkan kinerja, memperbaiki
permasalahan atau meningkatkan keamanan. Standar modifikasi minor harus
mencakup permintaan perubahan, peninjauan kembali dan prosedur persetujuan
serta mensyaratkan manajemen untuk merencanakan, menguji coba dan
mendokumentasikan semua perubahan sebelum dilakukan implementasi. Bank
harus melakukan kaji ulang semua modifikasi yang diusulkan untuk memastikan
kesesuaian modifikasi dengan sistem yang ada dan memastikan bahwa hanya
modifikasi yang disetujui yang diimplementasikan. Bank harus menetapkan
standar persetujuan program yang mencakup prosedur untuk memverifikasi hasil
uji coba, memeriksa kode yang diubah dan memastikan kesesuaian source code. .
Setelah modifikasi program selesai, semua source code harus diamankan dalam
library baik versi terkini maupun versi sebelum diubah.
3) modifikasi darurat, dibutuhkan untuk memperbaiki permasalahan pada perangkat
lunak atau mengembalikan proses operasional dengan cepat. Meskipun
modifikasi tersebut harus diselesaikan dengan cepat, namun tetap harus
diimplementasikan dan dikendalikan dengan baik. Sebagaimana layaknya
modifikasi, modifikasi darurat harus diuji sebelum implementasi. Namun jika uji
coba tidak dapat dilakukan secara menyeluruh pada modifikasi darurat sebelum
implementasi, harus ada prosedur untuk melakukan backup file dengan benar. Hal
ini penting agar Bank dapat membatalkan modifikasi jika modifikasi tersebut
menyebabkan gangguan pada sistem.
462
2.4.4.2. Patch Management
Vendor secara rutin mengembangkan dan mengeluarkan patches untuk memperbaiki

permasalahan pada perangkat lunak, memperbaiki kinerja, dan meningkatkan
keamanan. Jika terdapat patch baru, Bank harus mengevaluasi dampak secara teknis
dari instalasi patch tersebut terhadap bisnis dan security. Bank harus memiliki
prosedur untuk mengidentifikasi ketersediaan patches dari sumber yang terpercaya.
Standar pengaturan patch harus mencakup prosedur identifikasi, evaluasi,
persetujuan, pengujian, instalasi, dan dokumentasi dari patches. Bank harus meninjau
ulang semua security setting dan configuration parameter setelah penggunaan patch
baru untuk memastikan bahwa setting telah memenuhi kebijakan dan prosedur yang
disetujui.
2.4.4.3. Library
Untuk memastikan ketersediaan program yang digunakan, Bank harus memiliki

Library untuk menyimpan program. Selain itu perlu disimpan juga informasi dan atau
dokumen berupa data dan program yang berhubungan dengan server/mesin produksi
yang berasal dari pengembangan dan atau pengujian. Pengaturan lebih lanjut
mengenai pengendalian terhadap library dijelaskan pada Bab III - Operasional.
2.4.4.4. Konversi
Apabila terjadi merger Bank atau akuisisi yang memerlukan pengintegrasian

sistem yang digunakan Bank yang terlibat dalam merger atau akuisisi, maka perlu
dilakukan proses konversi. Dalam proses ini dilakukan modifikasi besar pada sistem
aplikasi atau sistem operasi yang ada dan pengembangan sistem baru apabila
diperlukan. Dalam proses konversi ini, proses yang terstruktur seperti siklus
pengembangan sistem/aplikasi tetap harus diterapkan.
Mengingat kompleksitas sistem di masing-masing Bank yang terlibat merjer,
diperlukan analisis secara komprehensif terhadap dampak konversi pada kegiatan
operasional Bank khususnya pemrosesan transaksi. Agar proses konversi berlangsung
secara efektif, Bank perlu mengantisipasi peningkatan permintaan untuk balancing,
reconcilement, exception handling, dukungan pengguna dan nasabah (help desk),
penyelesaian masalah (troubleshooting), keterhubungan jaringan dan sistem
administrasi.
2.4.4.5. Pemeliharaan Dokumentasi
Standar dokumentasi harus mengidentifikasikan dokumen utama dan dokumen

detail yang telah disetujui dan sesuai format yang diinginkan. Dokumentasi tersebut
harus berisi semua perubahan yang terjadi pada sistem, aplikasi dan konfigurasi
sesuai dengan standar yang ditentukan.
463
BAB III–OPERASIONAL
BAB III
AKTIVITAS OPERASIONAL TEKNOLOGI INFORMASI
3.1. PENDAHULUAN
Perkembangan Teknologi Informasi (TI) memungkinkan bank menjalankan

kegiatan operasional yang semakin kompleks. Operasional TI tidak hanya terkonsentrasi
di pusat data (Data Center) tetapi juga pada aktivitas lainnya yang terkait dengan
pengggunaan aplikasi yang terintegrasi, beragam media komunikasi, koneksi internet,
dan berbagai platform komputer. Sementara itu akses input dan output dapat dilakukan
oleh banyak user dari berbagai lokasi. Demikian juga dengan pemrosesan, dapat
dilakukan di berbagai lokasi yang berjauhan namun saling terkait, baik secara online
realtime, on-line, maupun off-line. Oleh karena itu diperlukan pengendalian yang
memadai atas operasional TI agar bank dapat meminimalisasi risiko terganggunya
kerahasiaan, integritas, dan ketersediaan informasi.
Bab ini membahas aktivitas, risiko, dan pengendalian dari operasional TI yang
dapat dijadikan pedoman bagi Bank dalam rangka menerapkan manajemen risiko dalam
penggunaan TI di Bank. Pengaturan atas aktivitas operasional TI yang memadai sangat
penting untuk memastikan informasi pada sistem komputer adalah lengkap, akurat,
terkini, terjaga integritasnya, dan handal, serta terhindar dari kesalahan, kecurangan,
manipulasi, penyalahgunaan, dan perusakan data.
Manajemen Bank bertanggung jawab untuk memastikan mekanisme operasional TI yang

stabil, aman, dan efisien secara keseluruhan, baik yang diselenggarakan sendiri maupun
menggunakan jasa pihak lain. Manajemen harus menetapkan kebijakan, standar, dan
prosedur operasional TI yang menjamin kesinambungan operasional TI Bank dan
memastikan penerapannya baik pada satuan kerja penyelenggara TI atau pihak penyedia
jasa maupun pada satuan kerja pengguna TI. Kesalahan atau kegagalan yang terjadi pada
aktivitas operasional TI dapat mengganggu kegiatan operasional dan pelayanan bank
kepada nasabah yang pada akhirnya mempengaruhi reputasi bank. Oleh karena itu
manajemen harus memastikan penilaian risiko dilakukan secara berkala pada aktivitas
operasional TI dan memutuskan penanganan risiko potensial yang tepat sesuai dengan
risk appetite yang telah ditetapkan.
Bank wajib memiliki kebijakan yang mencakup setiap aspek operasional TI. Kedalaman
dan cakupan kebijakan tersebut disesuaikan dengan kompleksitas operasional TI Bank.
464
Kebijakan harus dijabarkan dalam prosedur tertulis yang digunakan dalam pelaksanaan
operasional TI. Prosedur memuat tanggung jawab, akuntabilitas, pemberian wewenang,
pedoman bagi para pelaksana. Selain itu manajemen harus menetapkan standar, yaitu
persyaratan yang harus dipenuhi oleh perangkat keras dan perangkat lunak yang
dipergunakan di lingkungan produksi, pengujian, dan pengembangan dalam
penyelenggaraan TI Bank.
3.3.1. Kebijakan Operasional Data Center
Kebijakan, sistem dan prosedur serta standar yang diterapkan dalam aktivitas
operasional Data Center mencakup aktivitas menjalankan tugas rutin maupun non-
rutin. Aktivitas yang terkait dengan operasional Data Center antara lain:
a. penjadwalan tugas:
Bank wajib memiliki dan melaksanakan jadwal semua tugas yang harus dijalankan
di Data Center operasional TI efektif dan aman dari perubahan yang tidak sah.
b. pengoperasian tugas:
pemberian akses command line kepada operator TI harus dibatasi sesuai
kewenangan pada fungsi pengoperasian tugas yang telah ditentukan.
c. pendistribusian laporan/output:
Hasil informasi yang diproduksi oleh sistem (output), dalam bentuk softcopy atau
hardcopy, dapat merupakan informasi yang sensitif atau rahasia. Prosedur yang
harus dimiliki Bank meliputi penentuan informasi yang akan diproduksi,
pendistribusian output baik secara fisik maupun logik dan pemusnahan output yang
sudah tidak diperlukan lagi. Prosedur tersebut diperlukan untuk menghindari
terbukanya informasi yang bersifat rahasia dan meningkatnya biaya akibat adanya
output yang tidak diperlukan, dan untuk dapat memastikan keamanan output.
d. proses backup baik on-site maupun off-site, restore, download dan upload untuk
data/database;
e. pengaktifan jejak audit (audit trail).
3.3.2. Kebijakan Perencanaan Kapasitas
Bank perlu memiliki kebijakan dan prosedur perencanaan kapasitas untuk dapat
memastikan bahwa perangkat keras dan perangkat lunak yang digunakan Bank telah
sesuai dengan kebutuhan operasional bisnis dan mengantisipasi perkembangan usaha
Bank. Tanpa perencanaan kapasitas yang baik, Bank dapat menghadapi risiko
kekurangan atau bahkan pemborosan sumber daya TI. Perencanaan kapasitas
hendaknya disusun untuk jangka waktu cukup panjang dan selalu dikinikan untuk
mengakomodir perubahan yang ada.
465
3.3.3. Kebijakan Pengelolaan Konfigurasi Perangkat Keras dan Perangkat Lunak
Bank harus menetapkan prosedur terkait:

a. proses instalasi perangkat keras dan perangkat lunak;
b. pengaturan parameter (hardening) perangkat keras dan perangkat lunak;
c. inventarisasi dan pengkinian informasi perangkat keras dan perangkat lunak,
perangkat jaringan, media penyimpan dan perangkat pendukung lainnya yang
terdapat di Data Center.
Inventarisasi yang dilakukan meliputi hal-hal sebagai berikut:
a. perangkat keras:
inventarisasi perangkat keras harus dilakukan secara menyeluruh termasuk
inventarisasi terhadap perangkat keras yang dimiliki oleh pihak lain tetapi berada di
Bank. Informasi yang penting antara lain nama vendor dan model, tanggal
pembelian dan instalasi, kapasitas processor, memori utama, kapasitas
penyimpanan, sistem operasi, fungsi, dan lokasi.
b. perangkat lunak:
Bank harus melakukan inventarisasi atas informasi mengenai nama dan jenis
perangkat lunak (sistem operasi, sistem aplikasi, atau sistem utilitas . Informasi lain
yang harus dicakup dalam inventarisasi perangkat lunak meliputi nama pembuat
atau vendor, tanggal instalasi, nomor versi dan keluaran (release), pemilik
perangkat lunak, setting parameter dan service yang aktif, jumlah lisensi yang
dimiliki, jumlah yang di-install dan jumlah user.
c. perangkat jaringan:
infrastruktur jaringan merupakan hal yang penting bagi operasional Bank, sehingga
manajemen harus mendokumentasikan secara lengkap konfigurasi jaringan.
Informasi yang harus dicakup antara lain:
1) diagram jaringan;
2) identifikasi seluruh koneksi intern dan ekstern Bank;
3) daftar dan kapasitas peralatan jaringan seperti switch, router, hub, gateway,
firewall, dll;
4) identifikasi vendor telekomunikasi antara intern Bank, Bank dengan pihak lain,
dan dengan internet;
5) rencana perluasan dan perubahan konfigurasi jaringan;
6) gambaran sistem pengamanan jaringan.
d. media penyimpan:
informasi yang diperlukan dalam inventarisasi media penyimpan antara lain jenis
dan kapasitas, lokasi penyimpanan baik on-site maupun off-site, tipe dan
klasifikasi data yang disimpan, source system serta frekuensi dan masa retensi
backup.
e. perangkat pendukung Data Center
466
Bank harus menginventarisasi perangkat pendukung Data Center antara lain UPS
dan power control, fire detection and extinguisher, air conditioning, pengukur
suhu dan kelembaban udara.
3.3.4. Kebijakan Pemeliharaan Perangkat Keras dan Perangkat Lunak
3.3.4.1. Perawatan Perangkat Keras dan Fasilitas Data Center

Perawatan preventif secara berkala terhadap peralatan TI perlu dilakukan untuk
meminimalkan kegagalan pengoperasian peralatan tersebut dan untuk mendeteksi
secara dini permasalahan yang potensial. Untuk itu bank perlu memiliki kontrak
perawatan dengan vendor guna memastikan ketersediaan dukungan perawatan dari
vendor. Semua perawatan yang dilakukan hendaknya didasarkan jadual yang telah
ditetapkan, di dokumentasikan pada suatu log dan dilakukan review secara berkala.
3.3.4.2. Pengamanan Fisik dan Pengendalian Lingkungan Data Center

a. Pengendalian Akses Fisik Pusat Data (Data Center):
Akses fisik ke Data Center harus dibatasi dan dikendalikan dengan baik. Pintu
Data Center harus selalu terkunci, dilengkapi dengan kartu akses dan atau
biometric device. Ruang Data Center tidak boleh diberi label atau papan petunjuk
(signing board) sehingga orang mudah mengenalinya. Bank harus memiliki log-
book untuk mencatat tamu yang memasuki Data Center.
b. Pengendalian Lingkungan Pusat Data:
Kondisi lingkungan pemrosesan TI yang tidak sesuai standar dapat menimbulkan
gangguan pada operasi TI. Oleh karenanya, manajemen harus melakukan antara
lain:
1) mengawasi dan memantau faktor lingkungan data center, antara lain
mencakup: sumber listrik, api, air, suhu, kelembaban udara. Pengendalian
lingkungan yang dapat diterapkan antara lain: penggunaan UPS
(Uninterruptible Power Supply), raised floor (lantai yang ditinggikan),
pengaturan suhu dan kelembaban udara (AC, termometer, dan hidrometer),
pendeteksi asap/api/panas, sistem pemadaman api, dan kamera CCTV.
2) memastikan tersedianya sumber listrik yang cukup, stabil, dan tersedianya
sumber alternatif untuk mengantisipasi tidak berfungsinya sumber listrik
utama. Untuk mengantisipasi putusnya arus listrik sewaktu-waktu, bank perlu
memastikan pengatur voltase listrik, UPS dan generator listrik dapat bekerja
dengan baik pada saat diperlukan. Bank juga harus menggunakan metode
pemindahan secara otomasi (automatic switching) jika terjadi gangguan pada
salah satu sumber listrik untuk menjaga pasokan listrik yang sesuai dengan
kebutuhan peralatan.
467
3) memastikan Data Center memiliki detektor api dan asap serta pipa
pembuangan air. Selanjutnya, Bank harus menyediakan sistem pemadam api
yang memadai, baik yang dapat beroperasi secara otomatis maupun
dioperasikan secara manual. Zat pemadam api dan sistem yang digunakan
harus memperhatikan keamanan terhadap peralatan dan petugas pelaksana di
dalam Data Center.
4) menggunakan lantai yang ditinggikan (raised floor) untuk mengamankan
sistem perkabelan dan menghindari efek grounding di Data Center.
c. Kinerja Perangkat Keras dan Perangkat Lunak:
Pemantauan terhadap perangkat keras dan perangkat lunak minimal dilakukan
setiap hari untuk memastikan seluruh perangkat tersebut beroperasi sebagaimana
mestinya, misalnya server tetap dalam keadaan menyala, kapasitas database dan
utilitas server tidak melampaui limit, dan fasilitas pendukung berfungsi dengan
baik.
3.3.5. Kebijakan Pengelolaan Perubahan (Change Management)

Change Management adalah prosedur yang mengatur penambahan,
penggantian, maupun penghapusan obyek di lingkungan produksi. Obyek dimaksud
dapat berupa data, program, menu, aplikasi, perangkat komputer, perangkat jaringan,
dan proses. Bank harus memiliki kebijakan dan prosedur Change Management yang
paling kurang mencakup permintaan, analisis, dan persetujuan perubahan dan instalasi
perubahan termasuk pemindahan perangkat keras dan perangkat lunak dari lingkungan
pengujian ke lingkungan produksi.
Change Management harus memperhatikan hal-hal sebagai berikut:
a. Pengendalian Perubahan:
Ketergantungan antar aplikasi yang digunakan pada berbagai satuan kerja
memerlukan penyelenggaraan TI yang terintegrasi. Oleh karena itu semua
perubahan harus melalui fungsi pengawasan dalam Change Management yang
terkoordinir dan melibatkan perwakilan dari satuan kerja bisnis, unit penyelenggara
TI, keamanan informasi, dan audit internal. Prosedur instalasi perubahan harus
memperhatikan kelangsungan operasional pada lingkungan produksi, pengawasan,
dan pengaturan pengamanan sistem informasi. Standar minimum yang diatur harus
mencakup risiko, pengujian, otorisasi dan persetujuan, waktu implementasi,
validasi setelah penginstalan dan back-out atau recovery.
b. Patch Management:
Dalam Change Management, Bank harus memiliki dokumentasi yang lengkap
tentang instalasi patch yang dilakukan. Selain itu Bank harus memastikan bahwa
Bank menggunakan versi perangkat lunak dengan release terbaru yang paling
sesuai. Bank juga harus memiliki informasi terkini mengenai perbaikan produk,
468
masalah keamanan, patch atau upgrade, atau permasalahan lain yang sesuai dengan
versi perangkat lunak yang digunakan.
c. Migrasi data:
Migrasi data terjadi jika terdapat perubahan besar pada sistem aplikasi bank, atau
terjadi penggabungan data dari beberapa sistem yang berbeda. Dalam hal terdapat
migrasi data, Bank perlu memiliki kebijakan, prosedur mengenai penanganan
migrasi data. Tahap-tahap yang perlu dilalui dalam melakukan migrasi data
dimulai dari rencana strategis, manajemen proyek, Change Management,
pengujian, rencana kontinjensi, back-up, manajemen vendor, dan post
implementation review.
3.3.6. Kebijakan Penanganan Kejadian/Permasalahan

Tanpa prosedur penanganan kejadian/permasalahan yang baik, Bank dapat
menghadapi risiko finansial, operasional, dan reputasi dari permasalahan yang timbul.
Prosedur penanganan kejadian/permasalahan harus mencakup perangkat keras, sistem
operasi, sistem aplikasi, perangkat jaringan, dan peralatan keamanan. Penjelasan lebih
lanjut dapat dilihat pada Bab V Pengamanan Informasi - Penanganan Insiden dalam
Pengamanan Informasi.
Bank wajib memelihara sarana yang diperlukan untuk menangani permasalahan
antara lain:
a. Help Desk
Fungsi help desk harus dimiliki oleh Bank agar Bank cepat tanggap terhadap
permasalahan yang dihadapi oleh seluruh pengguna (user) di Bank dan
menanganinya segera. Bank akan menghadapi risiko jika tidak memiliki prosedur
helpdesk yang memadai yaitu tidak dapat dipastikannya bahwa pengguna senantiasa
memiliki tempat bertanya dan memperoleh jawaban dan solusi atas permasalahan-
permasalahan yang dihadapi.
Hal-hal yang perlu diperhatikan dalam fungsi helpdesk adalah:
1) Tersedianya dokumentasi permasalahan yang lengkap.
Dokumentasi permasalahan harus mencakup data user, penjelasan masalah,
dampak pada sistem (platform, aplikasi atau lainnya), kode prioritas, status
resolusi saat ini, pihak yang bertanggung jawab terhadap resolusi, akar
permasalahan (jika teridentifikasi), target waktu resolusi, dan field komentar
untuk mencatat kontak pengguna dan informasi relevan lainnya.
2) Sistem helpdesk yang berbasis pengetahuan.
Bank perlu menggunakan sistem yang berbasis pengetahuan untuk memberikan
dukungan kepada staf helpdesk tentang alternatif solusi permasalahan yang
umum terjadi. Bank secara berkala melakukan pengkinian terhadap sistem
tersebut dengan informasi yang didapat dari vendor dan dari pengalaman staf
helpdesk.
469
b. Penanganan penggunaan Power User

Power user adalah user id yang memiliki kewenangan sangat luas. Dalam rangka
penanganan permasalahan, Bank wajib menetapkan prosedur penanganan power
user agar penggunaanya tidak disalahgunakan. Prosedur tersebut antara lain
mengatur tentang hal-hal berikut ini:
1) penetapan siapa saja yang memiliki hak akses power user termasuk penerapan
dual custody (pemecahan password kepada lebih dari 1 orang);
2) prosedur penyimpanan password power user;
3) prosedur break ID power user pada keadaan darurat;
4) prosedur penggantian password power user setelah digunakan;
5) pendokumentasian penggunaan power user dalam bentuk berita acara.
3.3.7. Kebijakan Pengelolaan Data Warehouse (DWH)

Bank harus memiliki kebijakan dan prosedur tentang pengendalian terhadap DWH.
Pengendalian terhadap sistem yang digunakan untuk DWH pada dasarnya diperlakukan
sama dengan pengendalian yang diterapkan terhadap sistem core banking dan sistem
lain yang merupakan sumber data bagi DWH. Jika pada sistem aplikasi sumber, data
tersebut diperlakukan sebagai data rahasia dan aksesnya terbatas, maka pada DWH
juga harus diperlakukan demikian juga. Pembatasan akses ini tidak terbatas pada akses
logical tetapi juga akses secara fisik terhadap sarana pendukung DWH dan laporan-
laporan yang dihasilkannya. Adapun yang dimaksud dengan sistem mencakup sistem
operasi, sistem aplikasi, dan sistem jaringan.
3.3.8. Kebijakan Pengelolaan Database

Kegagalan dalam mengelola dan mengamankan database secara tepat dapat
mengakibatkan perubahan, penghancuran, atau pengungkapan informasi yang sensitif
oleh user secara sengaja maupun tidak sengaja atau oleh pihak lain yang tidak berhak.
Pengungkapan tanpa ijin terhadap informasi yang rahasia dapat mengakibatkan risiko
reputasi, hukum, dan operasional dan dapat menyebabkan kerugian finansial. Bank
perlu memiliki klasifikasi sensitivitas atas informasi yang disimpan pada database
sebagai dasar untuk melakukan pengawasan. Database yang menyimpan informasi
rahasia membutuhkan pengendalian yang lebih ketat dibandingkan database yang
menyimpan informasi yang tidak sensitif. Untuk itu, Bank wajib memiliki fungsi
Database Administrator (DBA) yang bertanggung jawab terhadap pengelolaan
database bank.
Prosedur yang wajib dimiliki Bank terkait database adalah pengaksesan,
pemeliharaan, penanganan permasalahan dan administrasi database.
470
3.3.9. Kebijakan Pengendalian Pertukaran Informasi (Exchange of Information)

Pengiriman informasi secara online maupun melalui media penyimpan (seperti tape
dan disk) harus dikelola secara memadai oleh Bank untuk mencegah risiko terkait
pengamanan informasi. Bank harus memiliki prosedur pengelolaan transmisi informasi
secara fisik dan logik antara lain:
a. permintaan dan pemberian informasi oleh pihak internal dan eksternal;
b. pengiriman informasi melalui berbagai media, seperti: hardcopy, tape, disk, e-mail,
pos, dan internet.
Pada bank besar dengan kompleksitas TI yang tinggi, manajemen harus
mempertimbangkan pemisahan segmen WAN dan LAN dengan perangkat pengamanan
(seperti firewall) yang membatasi akses dan lalu lintas keluar masuknya data.
3.3.10 Kebijakan Fungsi Library

Fungsi librarian bertanggung jawab untuk menginventarisir dan menyimpan seluruh
perangkat lunak dan data yang tersimpan dalam berbagai media, antara lain tape dan
disk. Disamping itu librarian juga menyimpan copy dari seluruh kebijakan dan
prosedur seperti Data Center run book manual.
Adapun prosedur yang harus ditetapkan antara lain:
a. pengamanan akses ke data di library;
b. penanganan media penyimpan data (untuk data/database dan audit journal);
c. masa retensi media penyimpan data;
d. pengetesan media penyimpan data;
e. keluar dan masuk media penyimpan data dari dan ke library;
Dalam membuat kebijakan dan prosedur serta standar untuk library, Bank harus
memperhatikan kecukupan prosedur penyimpanan (storage)/back-up dan pembuangan
(disposal) media. Back-up data maupun program harus selalu dikinikan agar Bank
dapat memastikan kemampuannya untuk memulihkan sistem, aplikasi, dan data pada
saat terjadi bencana atau gangguan lainnya.
3.3.10 Kebijakan Fungsi Quality Assurance (QA)

Setiap pembuatan dan perubahan sistem harus melalui persetujuan fungsi QA sebelum
dipindahkan (migrasi) ke lingkungan produksi sesuai dengan pedoman pengembangan
sistem dan change management. Fungsi QA melakukan penilaian kualitas perangkat
keras dan perangkat lunak sesuai dengan standar yang ditetapkan.
3.3.11. Kebijakan Pengelolaan Hubungan dengan Pihak Penyedia Jasa

Apabila TI yang digunakan oleh Bank diselenggarakan oleh pihak lain maka Bank
wajib memantau dan mengevaluasi kehandalan pihak penyedia jasa secara berkala baik
yang menyangkut kinerja, reputasi penyedia jasa dan kelangsungan penyediaan
layanan. Untuk itu, Bank harus menunjuk personil yang bertugas memantau layanan
471
penyedia jasa TI dengan menggunakan prosedur yang paling kurang mencakup

pemantauan layanan, pelaporan permasalahan dan dokumentasi yang terkait dengan
layanan pihak penyedia jasa.
3.3.12. Kebijakan Penghapusan Perangkat Keras dan Perangkat Lunak (Disposal)

Disposal meliputi penghapusan perangkat lunak, perangkat keras, dan data yang sudah
tidak digunakan lagi atau yang masa retensinya telah habis. Source code versi lama
yang sudah tidak dipakai lagi harus disimpan dengan indikasi yang jelas mengenai
tanggal, waktu dan informasi lain ketika digantikan dengan source code versi terbaru.
Kegiatan yang dilakukan meliputi antara lain:
a. memindahkan data dari sistem produksi ke media backup dengan mekanisme sesuai
prosedur, termasuk prosedur uji coba dan backup;
b. menyimpan dokumentasi sistem sebagai persiapan jika diperlukan untuk meng-
install ulang suatu sistem ke server produksi;
c. mengelola arsip data sesuai masa retensi;
d. menghancurkan data yang habis masa retensinya.
3.4. MANAJEMEN RISIKO OPERASIONAL TI

Proses manajemen risiko adalah mengidentifikasi, mengukur, mengendalikan, dan
memantau risiko pada fungsi-fungsi yang terkait dengan operasional TI.
3.4.1. Identifikasi Risiko Operasional TI

Proses identifikasi dimulai dengan pemahaman yang komprehensif terhadap bagaimana
Bank mengoperasikan TI demi mendukung tujuan organisasi kemudian
mengidentifikasi risiko yang dihadapi Bank. Manajemen harus memperhatikan
kejadian atau aktivitas yang dapat mengganggu operasional antara lain hal-hal berikut
ini:
a. Kesalahan investasi teknologi termasuk penerapan yang tidak benar, kegagalan dari
pihak supplier, pendefinisian dari kebutuhan bisnis yang tidak tepat,
ketidaksesuaian dengan sistem-sistem yang ada, atau keusangan software (termasuk
hilangnya dukungan vendor terhadap perangkat keras dan perangkat lunak yang
digunakan oleh Bank);
b. Permasalahan pengembangan sistem dan implementasi termasuk ketidak cukupan
manajemen proyek, biaya dan waktu yang melebihi batas, error pada
pemrograman, kegagalan untuk mengintegrasikan atau migrasi dari sistem yang
ada, atau kesalahan dari sebuah sistem untuk memenuhi kebutuhan pengguna;
c. Permasalahan pada kapasitas sistem seperti kekurangan pada perencanaan
kapasitas, ketidakcukupan kapasitas untuk mengakomodasi fleksibilitas sistem,
ketidakcukupan software untuk mengakomodasi pengembangan bisnis;
472
d. Kegagalan sistem termasuk pada jaringan, interface, perangkat keras, perangkat

lunak, atau kegagalan komunikasi internal; dan
e. Pelanggaran pada keamanan sistem termasuk pelanggaran pada keamanan eksternal
dan internal, penipuan dalam pemrograman, atau virus pada komputer.
3.4.2. Pengukuran Risiko Operasional TI

Tinggi rendahnya risiko yang diukur tergantung pada faktor-faktor yang terkait antara
lain terdiri dari:
a. tingkat kepentingan bisnis;
b. perubahan pada cakupan sistem atau proses;
c. lokasi pengaksesan sistem (internal atau eksternal, termasuk internet, dial-up, atau
WAN);
d. sumber aplikasi: beli paket, dikembangkan secara internal, atau kombinasi dari
keduanya;
e. cakupan dan tingkat kekritisan sistem atau banyaknya unit bisnis yang terpengaruh;
f. kompleksitas tipe pemrosesan (batch, real-time, client/server, parallel distributed);
g. volume transaksi dan nilai transaksi;
h. klasifikasi dan sensitivitas data yang diproses atau digunakan;
i. dampak pada data (read, download, upload, update atau alter);
j. tingkat pengalaman dan kemampuan pengelola TI;
k. kecukupan jumlah dan kemampuan staf pelaksana;
l. keragaman platform, aplikasi dan delivery channel;
m. jumlah pengguna dan nasabah;
n. perubahan regulasi;
o. adanya risiko yang baru atau sedang berkembang dari teknologi yang sedang
dikembangkan atau risiko keusangan teknologi; dan
p. adanya kelemahan audit atau kelemahan yang ditemui dalam self-assessment.
3.4.3. Pengendalian Risiko Operasional TI

Atas setiap fungsi operasi TI yang ada, Bank harus memitigasi risiko yang telah
diidentifikasi dan diukur dengan cara-cara pengendalian yang telah ditetapkan dalam
kebijakan dan prosedur operasional TI Bank. Meskipun telah dimitigasi, Bank harus
tetap memantau risiko yang dikendalikan dan risiko sisa karena setiap gangguan yang
terdapat pada operasional TI pada akhirnya berdampak pada risiko operasional,
stategis, transaksi, dan reputasi Bank.
3.5. AUDIT INTERN

Audit atas operasional TI perlu dilakukan untuk memastikan proses manajemen risiko
operasional TI berjalan dengan baik. Pengaturan lebih rinci mengenai audit intern di
bahas pada Bab IX tentang Audit Intern TI.
473
BAB IV–JARINGAN KOMUNIKASI
BAB IV
JARINGAN KOMUNIKASI
4.1. PENDAHULUAN
Perkembangan teknologi jaringan komunikasi telah mengubah pendekatan usaha

Bank menjadi tanpa mengenal batasan waktu dan tempat. Bank dapat menyediakan
layanan berbagai produk perbankan secara on-line realtime dari seluruh kantor dan
delivery channel lainnya, seperti; Automated Teller Machine (ATM), internet Banking,
mobile Banking, dan Electronic Data Capture (EDC), baik milik Bank itu sendiri
maupun milik pihak penyedia jasa.
Jaringan komunikasi mencakup perangkat keras, perangkat lunak, dan media
transmisi yang digunakan untuk mentransmisikan informasi berupa data, suara (voice),
gambar (image) dan video. Penyelenggaraan jaringan komunikasi sangat terpengaruh
adanya perubahan dan rentan terhadap gangguan dan penyalahgunaan. Oleh karena itu
Bank perlu memastikan bahwa integritas jaringan dipelihara dengan cara menerapkan
kebijakan dan prosedur pengelolaan jaringan dengan baik, memaksimalkan kinerja
jaringan, mendesain jaringan yang tahan terhadap gangguan, dan mendefinisikan layanan
jaringan secara jelas serta melakukan pengamanan yang diperlukan.
4.2. PERAN DAN TANGGUNG JAWAB MANAJEMEN
Keamanan jaringan komunikasi merupakan tanggung jawab seluruh pihak dalam Bank.
Dalam pelaksanaannya Bank perlu memiliki petugas/fungsi yang menangani jaringan
komunikasi. Petugas/fungsi tersebut harus melakukan koordinasi dengan fungsi
pengelola pengamanan TI. Bank harus meyakini ketersediaan dan kecukupan kapasitas
layanan jaringan komunikasi baik yang dikelola oleh pihak internal Bank maupun pihak
penyedia jasa, diantaranya dengan tersedianya cadangan peralatan dan jasa yang
memadai. Manajemen harus memastikan terdapatnya pengawasan yang memadai dalam
pengoperasian jaringan komunikasi dan pada setiap pengembangan atau modifikasi
jaringan komunikasi. Manajemen perlu mempertimbangkan kebutuhan layanan yang
diinginkan sesuai dengan kondisi bisnis saat ini dan strategi yang akan dikembangkan.
Bank harus memiliki kebijakan dan prosedur sebagai pedoman dalam menerapkan
teknologi jaringan komunikasi untuk meyakinkan bahwa kelangsungan operasional dan
keamanan jaringan komunikasi tetap terjaga. Untuk itu Bank wajib menetapkan
baseline/standar yang digunakan secara internal untuk masing-masing.
474
platform (misal berdasarkan protokol atau sistem operasi) dan diterapkan di semua
jaringan komunikasi yang digunakan oleh Bank.
Kebijakan dan prosedur yang perlu ditetapkan sekurang-kurangnya mencakup hal-hal
sebagai berikut:
a. pengukuran kinerja dan perencanaan kapasitas jaringan (performance and capacity
planning);
b. pengamanan jaringan komunikasi (network access controls, termasuk remote access);
c. change management (setting, configuration and testing);
d. network management, logging dan monitoring;
e. penggunaan internet, intranet, e-mail dan wireless (termasuk mekanisme penggunaan
jaringan komunikasi);
f. tersedianya prosedur penanganan masalah (problem handling);
g. tersedianya fasilitas untuk backup & recovery;
h. kecukupan kontrak dan tersedianya SLA yang sesuai dengan kebutuhan Bank dan
dipantau secara berkala apabila jaringan komunikasi yang digunakan oleh Bank
diselenggarakan oleh pihak penyedia jasa.
4.4. MANAJEMEN RISIKO JARINGAN KOMUNIKASI
Bank harus melakukan identifikasi kemungkinan yang akan terjadi, mengukur dampak
yang mungkin ditimbulkan, dan melakukan upaya-upaya untuk mengelola risiko
penggunaan jaringan komunikasi. Berdasarkan hasil pengukuran yang telah dilakukan
atas risiko yang signifikan, maka Bank harus menerapkan pengendalian yang memadai.
Bank juga harus senantiasa memantau apakah seluruh risiko yang signifikan tersebut
telah ditangani dengan baik.
4.4.1. Identifikasi Risiko

Penggunaan teknologi jaringan komunikasi memberikan berbagai kemudahan dan
manfaat bagi Bank dan nasabah, namun demikian, perlu diperhatikan risiko-risiko yang
mungkin timbul, antara lain:
a. kehilangan data/informasi;
b. kehilangan integritas data/informasi;
c. tidak lengkapnya data/informasi yang ditransmisikan;
d. hilangnya kerahasiaan informasi;
e. tidak tersedianya jaringan komunikasi akibat gangguan atau bencana;
f. kehilangan/kerusakan perangkat jaringan komunikasi.
4.4.2. Pengendalian Risiko

Dalam mengendalikan risiko pada jaringan komunikasi, Bank harus memperhatikan
475
a. Desain Jaringan Komunikasi

Jaringan komunikasi harus didesain sedemikian rupa sehingga efisien tetapi juga
dinamis untuk mengantisipasi pengembangan di masa yang akan datang. Pada tahap
ini, terdapat beberapa hal yang perlu diperhatikan, yaitu:
1) penentuan topologi jaringan komunikasi;
2) perencanaan kapasitas (capacity planning) jaringan komunikasi;
3) pemilihan media jaringan komunikasi;
4) backup perangkat keras, alternative routing (jalur alternatif) atau provider
alternatif;
5) pengamanan fisik dan logic:
a) penempatan perangkat jaringan pada lokasi yang aman terhadap gangguan
alam dan akses oleh orang yang tidak berhak;
b) pengaturan parameter sistem perangkat jaringan.
6) tersedianya jejak audit, sekurang-kurangnya terhadap perubahan-perubahan
pada setting parameter dan hak akses perangkat jaringan komunikasi dan juga
penggunaan atas hak akses tersebut.
b. Pengendalian Akses
Pengendalian akses di jaringan komunikasi sangat penting dan harus diperhatikan
karena jaringan komunikasi merupakan pintu utama untuk masuk ke dalam sistem
informasi Bank. Jika tidak dikelola dengan baik, maka keamanan informasi menjadi
terancam. Dalam menerapkan pengendalian akses, terdapat beberapa hal yang harus
diperhatikan oleh Bank, yaitu:
1) akses ke jaringan komunikasi oleh user didasarkan pada kebutuhan bisnis
dengan memperhatikan aspek keamanan informasi.
2) melakukan pemisahan jaringan komunikasi berdasarkan segmen baik secara
logical maupun fisik, misalnya pemisahan antara lingkungan pengembangan
dan produksi.
3) jika pemisahan secara fisik tidak dapat dilakukan, maka Bank harus
memisahkan jaringan komunikasi secara logical dan memantau security access
di jaringan komunikasi.
4) keputusan untuk terhubung ke jaringan komunikasi di luar Bank harus sesuai
dengan persyaratan pengamanan dan secara formal disetujui oleh manajemen
sebelum pelaksanaan.
5) menerapkan pengendalian yang dapat membatasi network traffic yang tidak sah
atau tidak diharapkan.
6) konfigurasi perangkat jaringan komunikasi harus diset dengan baik. Fungsi-
fungsi atau services yang tidak dibutuhkan harus dinonaktifkan.
7) penggunaan perangkat pengamanan jaringan komunikasi, seperti firewall,
Intrusion Detection System (IDS), dan Intrusion Prevention System (IPS).
476
8) penggunaan penambahan perangkat monitor jaringan komunikasi (network

management system) dengan memperhatikan pengamanannya.
9) pengujian secara berkala terhadap keamanan jaringan komunikasi, misalnya
dengan penetration testing.
c. Operasi dan Pemeliharaan Jaringan Komunikasi

Pengoperasian dan pemeliharaan jaringan komunikasi harus dilakukan dengan
memperhatikan hal-hal berikut ini:
1) petugas yang mengoperasikan jaringan komunikasi harus secara jelas ditunjuk
oleh manajemen, memiliki kemampuan pengetahuan dan keterampilan yang
cukup, dan diberi tugas dan wewenang yang memadai untuk menjalankan
fungsinya;
2) Bank harus memiliki incident rensponse plan terhadap gangguan dan serangan
jaringan komunikasi;
3) Bank harus memiliki fasilitas backup perangkat keras/lunak jaringan
komunikasi, termasuk mekanisme restart/recovery yang telah teruji. Fasilitas
backup tersebut sebaiknya memiliki risiko yang berbeda dengan perangkat
utama seperti menggunakan pihak penyedia jasa yang berbeda;
4) patch dan release harus selalu dikinikan (setelah melalui pengujian intern)
untuk meyakini bahwa kelemahan-kelemahan telah diperbaiki.
4.4.3. Monitoring Risiko

Monitoring terhadap risiko yang mungkin timbul dalam jaringan komunikasi yang
digunakan oleh Bank antara lain mencakup hal-hal berikut ini:
a. jejak audit yang tersedia harus dipantau secara teratur untuk dapat mendeteksi
secara dini ada tidaknya penyimpangan;
b. kinerja jaringan komunikasi diukur secara berkala berdasarkan tingkat ketersediaan
(availability) dan response time;
c. Bank harus memantau kapasitas yang digunakan dan yang diperlukan untuk
rencana pengembangan bisnis dibandingkan dengan kapasitas terpasang;
d. Bank harus memantau dan menindaklanjuti penyusupan/serangan terhadap jaringan
komunikasi;
e. Bank harus melakukan kaji ulang pemberian akses ke pengguna secara berkala
untuk meyakinkan bahwa akses yang diberikan masih sesuai dengan tugas dan
wewenangnya. Selain itu perlu dilakukan kaji ulang atas pengguna jaringan
komunikasi di Bank yang memiliki akses ke jaringan komunikasi di luar Bank.
477
4.5. PENGENDALIAN INTERN

4.5.1. Audit Intern
Audit terhadap jaringan komunikasi harus dilakukan secara berkala oleh pihak
independen, baik Auditor Intern maupun Auditor Ekstern. Ruang lingkup audit atas
jaringan komunikasi antara lain mencakup kinerja jaringan komunikasi, logical access,
physical access, remote access, infrastruktur jaringan komunikasi, dokumentasi
jaringan komunikasi. Pengaturan lebih lengkap tentang audit mengacu pada Bab X
tentang Audit Intern TI.
4.5.2. Dokumentasi
Untuk dapat mengendalikan kegiatan pengelolaan jaringan komunikasi, Bank harus

memiliki dokumentasi jaringan komunikasi yang lengkap dan terkini, antara lain:
a. kebijakan, prosedur, standar, dan baseline tentang jaringan komunikasi;
b. diagram jaringan komunikasi secara rinci;
c. daftar dan spesifikasi perangkat lunak dan perangkat keras jaringan komunikasi;
d. daftar permasalahan dan penanganannya;
e. laporan monitoring jaringan komunikasi;
f. laporan perencanaan kapasitas jaringan komunikasi;
g. kontrak dan SLA dengan pihak ketiga penyedia jasa fasilitas jaringan komunikasi;
h. dokumen pengujian jaringan komunikasi;
i. dokumen pengimplementasian jaringan komunikasi;
j. dokumen perubahan jaringan komunikasi disertai alasannya;
k. daftar user dan wewenangnya.
478
BAB V–PENGAMANAN INFORMASI
BAB V
PENGAMANAN INFORMASI
5.1. PENDAHULUAN
Informasi adalah aset yang sangat penting bagi Bank, baik informasi yang
terkait dengan nasabah, keuangan, laporan maupun informasi lainnya. Kebocoran,
kerusakan, ketidakakuratan, ketidaktersediaan atau gangguan lain terhadap informasi
tersebut dapat menimbulkan dampak yang merugikan baik secara finansial maupun
non-finansial bagi Bank. Dampak dimaksud tidak hanya terbatas pada Bank tersebut,
namun juga nasabah, Bank lain dan bahkan terhadap sistem perbankan nasional.
Mengingat pentingnya informasi, maka informasi harus dilindungi atau diamankan oleh
seluruh personil di Bank. Pengamanan informasi sangat bergantung pada pengamanan
terhadap semua aspek dan komponen TI terkait, seperti perangkat lunak, perangkat
keras, jaringan, peralatan pendukung (misalnya sumber daya listrik, AC) dan sumber
daya manusia (termasuk kualifikasi dan ketrampilan).
5.2. TUGAS DAN TANGGUNG JAWAB
5.2.1. Dewan Komisaris
Dalam tugasnya mengarahkan dan melakukan evaluasi terhadap kebijakan Bank dalam
pengelolaan pengamanan Teknologi Informasi Dewan Komisaris hendaknya
melakukan koordinasi dengan direksi, antara lain meminta Direksi melaporkan
pembagian wilayah wewenang dan tanggung-jawab pada satuan kerja penyelenggara
TI dan satuan kerja pengguna TI, upaya peningkatan pengendalian pengamanan
informasi, serta penentuan risiko sisa (residual risk) yang akan ditanggung Bank.
Evaluasi tersebut mencakup juga evaluasi terhadap dampak masalah informasi terhadap
kelanjutan proses bisnis Bank.
5.2.2. Komite Pengarah Teknologi Informasi (IT Steering Commitee)
Komite Pengarah Teknologi Informasi bertanggung jawab untuk memberikan

rekomendasi kepada direksi paling kurang mengenai hal-hal sebagai berikut:
a. kebijakan pengamanan informasi sebagai bagian dari Rencana Strategis TI;
b. efektivitas implementasi kebijakan pengamanan informasi Bank;
c. efektivitas langkah-langkah mitigasi risiko yang dilakukan untuk meningkatkan
pengamanan informasi Bank.
479
5.2.3 Direksi
Tanggung jawab Direksi untuk pengamanan informasi paling kurang mencakup hal-hal
sebagai berikut:
a. menetapkan kebijakan, sistem dan prosedur pengamanan informasi;
b. mendukung semua aspek program pengamanan informasi;
c. menetapkan pembagian tugas dan tanggung jawab untuk pengambilan keputusan
terkait manajemen risiko pengamanan informasi;
d. menetapkan tingkat risiko pengamanan informasi yang dapat diterima oleh Bank;
e. melakukan evaluasi terhadap hasil penerapan mitigasi risiko pengamanan
informasi;
f. mengkomunikasikan kepada satuan kerja pengguna TI dan penyelenggara TI
tentang pentingnya melakukan pengamanan informasi agar Bank dapat mencapai
tujuan pengamanan informasi yang diharapkan sesuai ketentuan yang berlaku.
5.2.4. Pejabat Tertinggi Pengamanan Informasi
Sesuai dengan kebijakan dan arahan Direksi, Pejabat Tertinggi Pengamanan Informasi
bertanggung jawab atas antara lain:
a. pengelolaan fungsi pengamanan informasi agar sesuai dengan kebijakan dan
ketentuan serta best practice yang berlaku;
b. pemantauan pelaksanaan pengamanan informasi di setiap bagian atau satuan kerja;
c. mengkomunikasikan program pengamanan informasi termasuk melakukan upaya
peningkatan kesadaran akan pengamanan (security awareness program)
d. menetapkan kriteria dan definisi pengukuran risiko pengamanan informasi;
e. melaksanakan program penilaian risiko pengamanan informasi termasuk menilai
kepatuhan seluruh bagian di Bank terhadap kebijakan pengamanan informasi dan
merekomendasikan pengendalian yang perlu dilakukan;
f. memastikan pihak ketiga yang memiliki akses terhadap informasi rahasia milik
Bank telah menerapkan pengamanan informasi secara memadai dan konsisten;
g. membantu koordinasi pengujian BCP;
h. mengkoordinasikan upaya pengamanan informasi dengan audit intern TI.
5.3. PRINSIP, KEBIJAKAN DAN PROSEDUR PENGAMANAN INFORMASI

5.3.1 Prinsip Pengamanan Informasi
Pengamanan informasi sekurang-kurangnya memperhatikan prinsip-prinsip sebagai

berikut:
a. dilaksanakan untuk meyakini bahwa informasi yang dikelola terjaga kerahasiaan
(confidentiality), integritas (integrity) dan ketersediaannya (availability) secara
480
efektif dan efisien dengan memperhatikan kepatuhan (compliance) terhadap

ketentuan yang berlaku;
b. memperhatikan aspek sumber daya manusia , proses dan teknologi;
c. dilakukan berdasarkan hasil penilaian risiko (risk assessment) dengan
memperhatikan strategi bisnis Bank dan ketentuan yang berlaku;
d. menerapkan pengamanan informasi secara komprehensif dan berkesinambungan
yaitu dengan menetapkan tujuan dan kebijakan pengamanan informasi,
mengimplementasikan pengendalian pengamanan informasi, memantau dan
mengevaluasi kinerja serta keefektifan kebijakan pengamanan informasi serta
melakukan penyempurnaan.
Disamping hal-hal tersebut diatas, Bank perlu mempertimbangkan implementasi
standar internasional di bidang pengamanan informasi seperti ISO, IEC, COBIT, IT-IL
dan standar nasional seperti SNI, dengan memperhatikan kompleksitas usaha yang
meliputi antara lain keragaman dalam jenis transaksi/produk/jasa dan jaringan kantor
serta teknologi pendukung yang digunakan.
5.3.2. Kebijakan Pengamanan Informasi
Manajemen Bank harus menetapkan kebijakan dan memiliki komitmen yang tinggi
terhadap pengamanan informasi. Kebijakan tersebut harus dikomunikasikan secara
berkala kepada seluruh pegawai Bank dan pihak eksternal yang terkait. Disamping itu
dilakukan evaluasi secara berkala dan apabila terdapat perubahan penting. Kebijakan
tentang pengamanan informasi harus mencakup sekurang-kurangnya:
a. tujuan pengamanan informasi yang sekurang-kurangnya meliputi pengelolaan aset,
sumber daya manusia, pengamanan fisik, pengamanan logic (logical security),
pengamanan operasional TI, penanganan insiden pengamanan informasi, dan
pengamanan informasi dalam pengembangan sistem;
b. komitmen manajemen terhadap pengamanan informasi sejalan dengan strategi dan
tujuan bisnis;
c. kerangka acuan dalam menetapkan pengendalian melalui pelaksanaan manajemen
risiko Bank;
d. prinsip dan standar pengamanan informasi, termasuk kepatuhan terhadap ketentuan
yang berlaku, pelatihan dan peningkatan kesadaran atas pentingnya pengamanan
informasi (security awareness program), rencana kelangsungan bisnis dan sanksi
atas pelanggaran;
e. tugas dan tanggung jawab pihak-pihak dalam pengamanan informasi;
f. dokumen atau ketentuan lain yang mendukung kebijakan pengamanan informasi.
481
5.3.3. Prosedur Pengamanan Informasi

5.3.3.1. Prosedur Pengelolaan Aset
a. aset Bank yang terkait dengan informasi harus diidentifikasikan, ditentukan
pemilik/penanggungjawabnya dan dicatat agar dapat dilindungi secara tepat;
b. aset yang terkait dengan informasi tersebut dapat berupa data (baik hardcopy
maupun softcopy), perangkat lunak, perangkat keras, jaringan, peralatan pendukung
(misalnya sumber daya listrik, AC) dan sumber daya manusia (termasuk kualifikasi
dan ketrampilan);
c. informasi perlu diklasifikasikan agar dapat dilakukan pengamanan yang memadai
sesuai dengan klasifikasinya. Contoh dari klasifikasi tersebut adalah informasi
”rahasia” (misalnya data simpanan nasabah, data pribadi nasabah), ”internal”
(misalnya peraturan tentang gaji pegawai Bank) dan ”biasa” (misalnya informasi
tentang produk perbankan yang ditawarkan ke masyarakat). Klasifikasi dapat dibuat
berdasarkan nilai, sensitivitas, hukum/ketentuan dan tingkat kepentingan bagi Bank.
5.3.3.2.Prosedur Pengelolaan Sumber Daya Manusia

a. sumber daya manusia baik pegawai Bank, konsultan, pegawai honorer dan pegawai
pihak penyedia jasa yang memiliki akses terhadap informasi harus memahami
tanggung jawabnya terhadap pengamanan informasi;
b. peran dan tanggung jawab sumber daya manusia baik pegawai Bank, konsultan,
pegawai honorer dan pegawai pihak penyedia jasa yang memiliki akses terhadap
informasi harus didefinisikan dan didokumentasikan sesuai dengan kebijakan
pengamanan informasi;
c. dalam perjanjian atau kontrak dengan pegawai Bank, konsultan, pegawai honorer
dan pegawai pihak penyedia jasa harus tercantum ketentuan-ketentuan mengenai
pengamanan Teknologi Informasi yang sesuai dengan kebijakan pengamanan
informasi Bank. Sebagai contoh adalah perlu adanya klausula yang menyatakan
bahwa mereka harus menjaga kerahasiaan informasi yang diperolehnya sesuai
dengan klasifikasi informasi;
d. selain perjanjian antara Bank dengan perusahaan penyedia jasa, semua pegawai
perusahaan penyedia jasa tersebut yang ditugaskan di Bank harus menandatangani
suatu perjanjian menjaga kerahasiaan informasi (non-disclosure agreement);
e. pelatihan dan/atau sosialisasi tentang pengamanan informasi harus diberikan
kepada pegawai Bank, konsultan, pegawai honorer dan pegawai pihak penyedia
jasa. Pelatihan dan/atau sosialisasi ini diberikan sesuai dengan peran dan tanggung
jawab pegawai serta pihak penyedia jasa;
f. Bank harus menetapkan sanksi atas pelanggaran terhadap kebijakan pengamanan
informasi;
g. Bank harus menetapkan prosedur yang mengatur tentang keharusan untuk
mengembalikan aset dan pengubahan/penutupan hak akses pegawai Bank,
482
konsultan, pegawai honorer dan pegawai pihak penyedia jasa yang disebabkan
karena perubahan tugas atau selesainya masa kerja atau kontrak.
5.3.3.3.Prosedur Pengamanan Fisik dan Lingkungan

a. fasilitas pemrosesan informasi yang penting (misalnya mainframe, server, PC,
perangkat jaringan aktif) juga harus diberikan pengamanan secara fisik dan
lingkungan yang memadai untuk mencegah akses yang tidak terotorisasi, kerusakan
serta gangguan lain;
b. pengamanan fisik dan lingkungan terhadap fasilitas pemrosesan informasi yang
penting meliputi antara lain pembatas ruangan, pengendalian akses masuk
(misalnya penggunaan access control card, PIN, biometrics), kelengkapan alat
pengamanan di dalam ruangan (misalnya alarm, pendeteksi dan pemadam api,
pengukur suhu dan kelembaban udara, close-circuit TV) serta pemeliharaan
kebersihan ruangan dan peralatan (misalnya dari debu, rokok, makanan/minuman,
barang mudah terbakar);
c. fasilitas pendukung seperti AC, sumber daya listrik, fire alarm harus dipastikan
kapasitas dan ketersediaannya dalam mendukung operasional fasilitas pemrosesan
informasi;
d. aset milik pihak penyedia jasa (seperti server, switching tools) harus
diidentifikasikan secara jelas dan diberikan perlindungan yang memadai seperti
misalnya dengan menerapkan pengamanan yang cukup, dual control atau
menempatkan secara terpisah dari aset milik Bank;
e. harus dilakukan pemeliharaan dan pemeriksaan secara berkala terhadap fasilitas
pemrosesan informasi dan fasilitas pendukung sesuai dengan prosedur yang telah
ditetapkan.
5.3.3.4.Prosedur Pengamanan Logic (Logical Security)

a. Bank harus memiliki prosedur formal (tertulis dan telah disetujui oleh manajemen)
tentang pengadministrasian user yang meliputi pendaftaran, perubahan dan
penghapusan user, baik untuk user internal Bank maupun user eksternal Bank
(misalnya vendor atau pihak penyedia jasa);
b. Bank harus menetapkan prosedur pengendalian melalui pemberian password awal
(initial password) kepada user dengan memperhatikan antara lain hal-hal sebagai
berikut:
1) password awal harus diganti saat login pertama kali;
2) password awal diberikan secara aman, misalnya melalui amplop tertutup atau
kertas berlapis dua;
3) password awal bersifat khusus (unique) untuk setiap user dan tidak mudah
ditebak;
483
4) pemilik user-id terutama dari pegawai Bank, pegawai honorer dan pegawai
pihak penyedia jasa harus menandatangani pernyataan tanggung jawab atau
perjanjian penggunaan user-id dan password saat menerima user-id dan
password;
5) Password standar (default password) yang dimiliki oleh sistem operasi, sistem
aplikasi, database management system, dan perangkat jaringan harus diganti
oleh Bank sebelum diimplementasikan dan sedapat mungkin mengganti user ID
standar dari sistem (default user ID).
c. Bank harus mewajibkan user untuk:
1) menjaga kerahasiaan password;
2) menghindari penulisan password di kertas dan tempat lain tanpa pengamanan
yang memadai;
3) memilih password yang berkualitas yaitu:
a) panjang password yang memadai sehingga tidak mudah ditebak;
b) mudah diingat dan terdiri dari sekurang-kurangnya kombinasi 2 tipe
karakter (huruf, angka atau karakter khusus);
c) tidak didasarkan atas data pribadi user seperti nama, nomor telepon atau
tanggal lahir;
d) tidak menggunakan kata yang umum dan mudah ditebak oleh perangkat
lunak (untuk menghindari brute force attack), misalnya kata ’pass’,
’password’, ’adm’, atau kata umum di kamus;
4) mengubah password secara berkala;
5) menghindari penggunaan password yang sama secara berulang.
d. Bank harus menonaktifkan hak akses bila user id tidak digunakan pada waktu
tertentu, menetapkan jumlah maksimal kegagalan password (failed login attempt)
dan menonaktifkan password setelah mencapai jumlah maksimal kegagalan
password;
e. Bank harus melakukan pemeriksaan/review berkala terhadap hak akses user untuk
memastikan bahwa hak akses yang diberikan sesuai dengan wewenang yang
diberikan.
f. Sistem operasi, sistem aplikasi, database, utility dan perangkat lainnya yang
dimiliki oleh Bank sedapat mungkin membantu pelaksanaan pengamanan
password, sebagai contoh:
1) memaksa user untuk mengubah passwordnya setelah jangka waktu tertentu dan
menolak bila user memasukkan password yang sama dengan yang digunakan
sebelumnya saat mengganti password;
2) menyimpan password secara aman (ter-enkripsi);
3) memutuskan hubungan atau akses user jika tidak terdapat respon selama jangka
waktu tertentu (session time-out);
484
4) menonaktifkan atau menghapus hak akses user jika user tidak melakukan
log-on melebihi jangka waktu tertentu (expiration interval), misalnya karena
cuti, pindah bagian.
g. Bank harus memperhitungkan risiko dan menerapkan pengendalian pengamanan
yang memadai dalam penggunaan perangkat mobile computing dan media
penyimpan data seperti notebook, hand phone, personal digital assistance, flash
disk, external hard disk, termasuk bila menggunakan wireless access atau wireless
network;
h. Bank harus memperhitungkan risiko dan menerapkan pengendalian pengamanan
yang memadai terhadap titik akses (access point) ke dalam jaringan komputer
dan/atau sarana pemrosesan informasi yang dapat dimanfaatkan oleh pihak yang
tidak berwenang;
i. Bank yang menggunakan file sharing harus menetapkan pembatasan akses
sekurang-kurangnya melalui penggunaan password dan pengaturan pihak yang
berwenang melakukan akses;
j. Bank perlu memperhatikan proses security hardening terhadap perangkat keras dan
perangkat lunak, seperti : setting parameter, patch.
5.3.3.5.Prosedur Pengamanan Operasional Teknologi Informasi

Hal-hal yang harus diperhatikan dalam pengamanan operasional TI antara lain:
a. informasi dan perangkat lunak harus dibuatkan backup dan prosedur recovery yang
teruji sesuai dengan tingkat kepentinganny;
b. Bank perlu mengantisipasi dan menerapkan pengendalian pengamanan yang
memadai atas kelemahan sistem operasi, sistem aplikasi, database dan jaringan,
termasuk ancaman dari pihak yang tidak berwenang seperti virus, trojan horse,
worms, spyware, Denial-Of-Service (DOS), war driving, , spoofing dan logic bomb;
c. Bank harus memiliki kebijakan dan prosedur pengkinian anti-virus dan patch dan
memastikan pelaksanaannya;
d. Bank harus membuat prosedur yang mencakup identifikasi patch yang ada,
melakukan pengujian, dan menginstalasinya jika memang dibutuhkan;
e. Bank juga harus memelihara catatan dari versi perangkat lunak yang digunakan dan
memantau secara rutin informasi tentang pengkinian (enhancement) produk,
masalah keamanan, patch atau upgrade, atau permasalahan lain yang sesuai dengan
versi perangkat lunak yang digunakan;
f. Bank harus menetapkan penggunaan enkripsi dengan menggunakan teknik
kriptografi tertentu dalam mengamankan proses transmisi informasi yang sensitif,
khususnya yang melalui jaringan di luar jaringan komunikasi Bank, sesuai dengan
perkembangan teknologi terkini. Penggunaan teknik kriptografi tersebut antara lain
485
ditujukan untuk menjaga dan memastikan kerahasiaan (confidentiality), integritas

(integrity), keaslian (authenticity), dan non-repudiation. Teknik yang dapat
dipertimbangkan antara lain penggunaan enkripsi, hash function, dan digital
signatures (menggunakan Public Key Infrastructure);
g. Bank harus menerapkan metode identifikasi dan otentikasi (authentication) sesuai
tingkat pentingnya aplikasi misalnya penggunaan one-factor authentication untuk
aplikasi “biasa” serta penggunaan two-factor authentication untuk aplikasi bersifat
“kritikal”;
h. Contoh metode identifikasi dan otentikasi antara lain log on id dan password, token
device atau biometrics (misalnya fingerprint, retina scan, face/iris/hand/palm
analysis, signature recognition, voice recognition);
i. Bank harus menyediakan dan melakukan kaji ulang atas jejak audit/log baik di
tingkat jaringan, sistem maupun aplikasi serta menetapkan jenis log (misalnya
administrator log, user log, system log), informasi yang harus dimasukkan ke
dalam log, jangka waktu penyimpanan atau kapasitas log dengan memperhatikan
ketentuan yang berlaku untuk keperluan penelusuran masalah.
5.3.3.6. Prosedur Penanganan Insiden dalam Pengamanan Informasi

Hal-hal yang harus diperhatikan Bank dalam melakukan penanganan insiden dalam
pengamanan informasi antara lain:
a. insiden yang terjadi harus dapat diidentifikasi, dilaporkan, ditindaklanjuti,
didokumentasikan dan dievaluasi untuk memastikan dilakukannya penanganan
yang tepat dan untuk mencegah terulangnya insiden;
b. Bank harus menetapkan prosedur penanganan insiden yang mengatur antara lain:
1) Siapa yang harus melaporkan insiden;
2) Jenis insiden yang harus dilaporkan;
3) Alur pelaporan insiden (point of contact);
4) Siapa yang bertanggung jawab untuk menindaklanjuti insiden;
5) Analisis atas insiden untuk mencegah terulangnya insiden;
6) Pendokumentasian bukti terkait insiden dan tindak lanjutnya.
c. Bank perlu mempertimbangkan pembentukan tim khusus yang menangani insiden
pengamanan (CSIRT – Computer Security Incident Response Team atau CERT –
Computer Emergency Response Team) sesuai dengan skala usaha dan
kompleksitas TI Bank;
d. Pegawai Bank, pegawai honorer dan pegawai pihak penyedia jasa diminta untuk
melaporkan setiap kali menemukan indikasi atau potensi kelemahan pada sistem
dan aplikasi sesuai kebijakan dan prosedur pelaporan insiden pengamanan.
Kelemahan yang perlu dilaporkan misalnya adanya virus dari e-mail yang masuk.
486
5.3.3.7. Prosedur lainnya
Selain ruang lingkup diatas, pengamanan informasi perlu diterapkan dalam aspek
lain seperti pengembangan dan pengadaan sistem, jaringan komunikasi data, BCP
dan DRP dan kegiatan penggunaan pihak penyedia jasa dalam penyelenggaraan TI.
5.4 PROSES MANAJEMEN RISIKO

5.4.1. Penilaian Risiko
Mengingat pentingnya TI dalam mendukung tercapainya rencana strategis

bisnis Bank, maka Bank harus mengelola seluruh sumber daya TI sebagai ”aset” Bank.
Sumber daya TI meliputi antara lain aplikasi, informasi, infrastruktur dan sumber daya
manusia. Untuk itu Bank harus melakukan evaluasi atas segala hal yang mengancam
sumber daya TI melalui proses identifikasi, pengukuran dan pemantauan risiko
potensial baik kecenderungan atau probabilitas terjadinya maupun besarnya dampak.
Terdapat berbagai pendekatan yang dapat dilakukan Bank dalam proses
identifikasi seperti pendekatan proses, aset, produk, dan kejadian. Pada pendekatan
berdasarkan aset, identifikasi risiko pengamanan informasi dilakukan dengan
melakukan klasifikasi terhadap ”aset” terkait teknologi informasi berdasarkan risiko.
Selanjutnya Bank melakukan pengukuran kecenderungan atau probabilitas terjadinya
risiko atas setiap aset dan besarnya dampak kerugian yang akan dialami untuk dapat
mengetahui besarnya risiko potensial yang harus dihadapi atau Nilai Risiko Dasar
(NRD). Contoh penilaian risiko pengamanan informasi yang menggunakan pendekatan
aset dapat dilihat di Lampiran 1.1. Penilaian ini dilakukan oleh setiap satuan kerja yang
memiliki sumber daya TI dan atau dapat dikoordinasikan oleh satuan kerja yang
membidangi TI atau manajemen risiko. Dalam menentukan aset yang kritikal maupun
mengukur risiko, setiap satuan kerja harus dapat menentukan kemungkinan adanya
ancaman (threats), serangan (attacks) dan kerawanan (vulnerability) dari setiap sumber
daya TI yang digunakan masing-masing satuan kerja serta kemungkinan dampaknya
pada integritas (integrity), kerahasiaan (confidentiality) dan ketersediaan (availability)
dari data/informasi yang dimiliki. Proses ini harus dilakukan Bank karena identifikasi
dan pengukuran risiko dapat menunjukkan potensial kegagalan atau kelemahan proses
pengamanan informasi yang dapat berpengaruh pada kesuksesan bisnis Bank sehingga
Bank dapat melakukan penanganan yang tepat terhadap setiap risiko potensial.
5.4.2. Pengendalian Dan Mitigasi Risiko
Berdasarkan hasil identifikasi dan pengukuran risiko, Bank harus menetapkan

bentuk penanganan risiko yang akan diterapkan untuk menimalisasi risiko yang
dihadapi Bank. Dari bentuk-bentuk penanganan risiko (accept, control/mitigate, avoid,
487
transfer), pengendalian dan atau mitigasi risiko memegang peranan penting karena
tanpa sistem informasi yang handal dan aktivitas pengendalian TI yang efektif, Bank
tidak mampu menghasilkan laporan keuangan yang akurat, terkini, utuh dan lengkap.
Secara umum bentuk pengendalian antara lain:
a. kebijakan, ketentuan dan prosedur yang ada di Bank;
b. sistem pengendalian risiko yang dilakukan dengan menggunakan teknologi
sehingga secara otomatis dapat memitigasi risiko yang ada seperti audit log, on line
approval, parameter value di sistem yang digunakan;
c. training dan security awareness program.
Tinjauan atas pengendalian dilakukan dua kali yaitu pertama pada proses
penilaian risiko (risk assessment) dimana Bank mengidentifikasi pengendalian yang
telah ada sebelumnya, dan kedua setelah mendapatkan Nilai Risiko Akhir (residual
risk). Dengan membandingkan Nilai Risiko Dasar (NRD) dengan Nilai Risiko Akhir
(NRA), Bank dapat menganalisis kelemahan dari bentuk pengendalian yang telah
diterapkan dan bentuk pengendalian pengamanan yang dapat direkomendasikan untuk
diterapkan kemudian. Bentuk pengendalian dapat beragam dan tidak terbatas pada
pengendalian umum (general controls) seperti pengendalian yang harus ada di
operasional Data Center maupun yang berupa pengendalian aplikasi (application
controls) seperti rekonsiliasi dalam balancing control activities. Dengan demikian atas
seluruh aset Bank baik pada level Bank, satuan kerja maupun masing-masing
petugas/pengguna TI dapat terhindar dari setiap risiko potensial.
5.5. PENGENDALIAN INTERN DAN AUDIT INTERN
Auditor Intern TI harus melaksanakan program audit untuk memastikan bahwa

pengendalian pengamanan informasi telah diterapkan, memadai dan berjalan secara
efektif sesuai dengan kebijakan dan prosedur pengamanan informasi yang berlaku.
Pengendalian intern harus diterapkan dalam pengamanan informasi karena pengamanan
informasi adalah sebuah proses dinamis yang harus dilakukan secara
berkesinambungan. Evaluasi dan penyempurnaan terhadap kebijakan, prosedur dan
program pengamanan informasi harus selalu dilakukan antara lain dengan
melaksanakan pemantauan terhadap:
a. perkembangan teknik atau metode baru yang mengancam sistem pengamanan
informasi Bank;
b. laporan kinerja pengamanan informasi dalam rangka mengidentifikasi trend
ancaman atau kelemahan kontrol pengamanan. Secara lebih spesifik kegiatan ini
meliputi kaji ulang terhadap log aktivitas, investigasi anomali operasional dan
secara rutin mengevaluasi level akses terhadap sistem dan aplikasi TI;
c. tindak lanjut penanganan serangan atau insiden pengamanan informasi terhadap
Bank;
d. efektivitas penerapan kebijakan, prosedur dan pengendalian pengamanan informasi;
488
e. kegiatan pencegahan terjadinya risiko potensial atas kemungkinan ancaman

terhadap keamanan informasi/sistem informasi seperti misalnya:
1) pembuatan proses yang memantau ancaman terhadap hardware/software,
instalasi security patches;
2) pengecekan pengkinian/updating anti virus;
3) pengawasan terhadap jasa-jasa pihak ketiga/vendor.
Pemantauan pengamanan informasi meliputi aspek teknis dan non-teknis.
Aspek non-teknis meliputi perubahan organisasi, perubahan proses bisnis, lokasi baru,
perubahan tingkat sensitivitas informasi atau penerbitan produk/jasa baru. Aspek teknis
meliputi sistem baru, penyedia jasa yang baru, dan perluasan/penambahan akses
terhadap informasi. Pemantauan tersebut dapat dilakukan oleh information security
officer atau apabila Bank tidak memilikinya maka dilakukan oleh pegawai Bank yang
berfungsi mengelola program pengamanan informasi. Namun demikian setiap
karyawan dan manajemen harus tetap waspada terhadap ancaman terhadap keamanan
informasi/sistem informasi.
489
BAB VI–BUSINESS CONTINUITY PLAN
BAB VI
BUSINESS CONTINUITY PLAN
6.1. PENDAHULUAN
Kegiatan perbankan tidak dapat terhindar dari adanya gangguan/kerusakan yang

disebabkan oleh alam maupun manusia misalnya terjadinya gempa bumi, bom,
kebakaran, banjir, power failure, kesalahan teknis, kelalaian manusia, demo buruh,
huru-hara dan sebagainya. Kerusakan yang terjadi tidak hanya berdampak pada
kemampuan teknologi suatu Bank, tetapi juga berdampak pada kegiatan operasional
bisnis Bank terutama pelayanan kepada nasabah. Bila tidak ditangani secara khusus,
selain Bank akan menghadapi risiko operasional, juga akan mempengaruhi risiko
reputasi dan berdampak pada menurunnya tingkat kepercayaan nasabah kepada Bank.
Untuk meminimalisasi risiko tersebut, Bank diharapkan memiliki Business Continuity
Management (BCM) yaitu proses manajemen terpadu dan menyeluruh untuk menjamin
kegiatan operasional Bank tetap dapat berfungsi walaupun terdapat gangguan/bencana
guna melindungi kepentingan para stakeholder. BCM merupakan bagian yang
terintegrasi dengan kebijakan manajemen risiko Bank secara keseluruhan. BCM yang
efektif perlu didukung dengan hal-hal sebagai berikut:
a. adanya pengawasan aktif manajemen;
b. melalui Business Impact Analysis dan Risk Assessment;
c. penyusunan Business Continuity Plan yang memadai;
d. dilakukannya pengujian terhadap BCP; dan
e. dilakukan pemeriksaan oleh Auditor Intern.
Business Continuity Plan (BCP) merupakan suatu dokumen tertulis yang
memuat rangkaian kegiatan yang terencana dan terkoordinir mengenai langkah-langkah
pengurangan risiko, penanganan dampak gangguan/bencana dan proses pemulihan agar
kegiatan operasional Bank dan pelayanan kepada nasabah tetap dapat berjalan. Rencana
tindak tertulis tersebut melibatkan seluruh sumber daya Teknologi Informasi (TI)
termasuk sumber daya manusia yang mendukung fungsi bisnis dan kegiatan
operasional yang kritikal bagi Bank.
Komponen prosedur BCP yang harus dimiliki Bank paling kurang meliputi
Disaster Recovery Plan (DRP) dan Contingency Plan (CP). Disaster Recovery Plan
(DRP) lebih menekankan pada aspek teknologi dengan fokus pada data
recovery/restoration plan dan berfungsinya sistem aplikasi dan infrastruktur TI yang
kritikal. Sedangkan Contingency Plan (CP) menekankan pada rencana tindak untuk
menjaga kelangsungan bisnisnya apabila terjadi gangguan atau bencana termasuk
tindakan antisipatif menghadapi kondisi terburuk misalnya bila TI yang digunakan
490
sama sekali tidak dapat dipulihkan untuk waktu yang cukup lama. Contingency Plan
(CP) harus meliputi pula rencana untuk memastikan kelangsungan seluruh pelayanan
Bank termasuk yang dilaksanakan melalui electronic banking.
6.2. PENGAWASAN AKTIF MANAJEMEN

Efektifitas dari BCP akan sangat bergantung pada komitmen manajemen untuk
menyediakan sumber daya yang diperlukan dalam rangka mengidenfikasi, menyusun
dan melakukan pengujian terhadap BCP.
6.2.1. Peran dan Tanggung Jawab Direksi

a. menetapkan kebijakan, strategi dan prosedur BCP;
b. menetapkan BCP yang dikinikan secara berkala;
c. memastikan adanya suatu organisasi atau tim kerja yang bertanggungjawab atas
BCP, yang terdiri dari personil yang kompeten dan terlatih;
d. meyakini bahwa BCP disosialisasikan kepada seluruh fungsi bisnis dan personil;
e. menelaah hasil kaji ulang atas pengujian BCP yang dilakukan secara reguler;
f. mengevaluasi hasil pemeriksaan audit intern atas kecukupan BCP.
6.2.2. Peran dan Tanggung Jawab Tim Kerja BCP

Agar BCP dapat berjalan dengan baik pada saat diperlukan, maka bank perlu
membentuk suatu organisasi atau tim kerja untuk mengkoordinasi pelaksanaan BCP,
yang terdiri dari:
a. koordinator;
b. anggota tim yang memiliki tanggung jawab terhadap:
1) satuan kerja bisnis;
2) satuan kerja TI antara lain offsite storage, aplikasi, perangkat keras dan
perangkat lunak, network, security, communication, data preparation and
records;
3) unit pendukung lainnya seperti Satuan Kerja Logistik, Pengamanan dan Umum,
Hubungan Masyarakat dan Legal, Sumber Daya Manusia.
Adapun peran tim kerja penanggung jawab BCP di atas sekurang-kurangnya meliputi:
a. bertanggung jawab penuh terhadap efektivitas penyelenggaraan BCP, termasuk
memastikan bahwa program awareness atas BCP diterapkan;
b. memutuskan kondisi disaster dan pemulihannya;
c. menentukan skenario pemulihan yang akan digunakan bila terjadi gangguan atau
bencana berdasarkan prioritisasi atas aktivitas, fungsi dan jasa yang dianggap kritis;
d. me-review laporan mengenai setiap tahapan dalam pengujian dan pelaksanaan BCP;
e. melaksanakan komunikasi kepada pihak intern dan ekstern Bank bila terjadi suatu
gangguan operasional yang bersifat major.
491
6.3. PRINSIP-PRINSIP PENYUSUNAN BCP
Dalam penyusunan kebijakan, strategi dan prosedur yang akan diterapkan untuk
menangani keadaan disaster, Bank harus memastikan diterapkannya prinsip-prinsip
sebagai berikut:
a. penyusunan BCP hendaknya melibatkan seluruh satuan kerja dan fungsi bisnis, bukan
hanya satuan kerja TI;
b. BCP disusun berdasarkan Business Impact Analysis dan Risk Asessment yang
memadai;
c. BCP bersifat fleksibel untuk dapat merespon berbagai skenario ancaman dan
gangguan serta bencana yang sifatnya tidak terduga baik bersumber dari kondisi
internal maupun eksternal;
d. BCP bersifat spesifik, terdapat kondisi-kondisi tertentu dan tindakan yang dibutuhkan
segera dilakukan untuk kondisi tersebut;
e. dilakukan pengujian dan pengkinian secara berkala;
f. BCP dan hasil pengujian BCP harus dikaji ulang oleh audit intern secara berkala.
6.4. BUSINESS IMPACT ANALYSIS
Efektifitas dari suatu BCP akan sangat bergantung pada kemampuan manajemen
untuk secara tepat mengidentifikasi kritis tidaknya berbagai proses kerja atau aktivitas
yang ada di Bank sebelum BCP disusun atau dikaji ulang. Dengan demikian Business
Impact Analysis (BIA) merupakan dasar dari penyusunan keseluruhan BCP. Hal-hal yang
harus dianalisis dalam BIA meliputi:
a. tingkat kepentingan (criticality) masing-masing proses bisnis dan ketergantungan
antar proses bisnis serta prioritisasi yang diperlukan;
b. tingkat ketergantungan terhadap pihak penyedia jasa baik TI maupun non TI;
c. tingkat Maximum Tolerable Outage/Recovery Time Objective (berapa lama bank
dapat bekerja tanpa sistem atau fasilitas yang mengalami gangguan dan atau berapa
cepat sistem atau fasilitas tersebut harus berfungsi kembali);
d. tingkat Minimum Resources Requirement (personil, data dan kelengkapan sistem
serta fasilitas yang diperlukan secara minimal agar bisnis bisa pulih dan berjalan);
e. dampak potensial dari kejadian yang bersifat tidak spesifik dan tidak dapat dikontrol
terhadap proses bisnis dan pelayanan kepada nasabah;
f. dampak disaster terhadap seluruh departemen dan fungsi bisnis, bukan hanya
terhadap data processing;
g. estimasi downtime maksimum yang dapat ditoleransi dan tingkat toleransi atas
kehilangan data dan terhentinya proses bisnis serta dampak downtime terhadap
kerugian finansial;
h. jalur komunikasi yang dibutuhkan untuk berjalannya pemulihan;
492
i. kemampuan dan pengetahuan petugas mengenai Contingency Plan dan ketersediaan

petugas pengganti di tempat pemulihan;
j. dampak hukum dan pemenuhan ketentuan yang terkait, seperti ketentuan mengenai
kerahasiaan data nasabah.
Dalam melakukan BIA di atas, baik satuan kerja TI maupun masing-masing unit
bisnis perlu memperhatikan bahwa BCP yang akan disusun bukan hanya untuk total
disaster namun untuk berbagai situasi bencana dan gangguan mulai dari yang minor,
major sampai dengan catastrophic.
Dengan demikian dampak yang harus diperhatikan bukan hanya yang dapat
diukur dengan jelas (tangible impact) seperti penalti akibat keterlambatan pembayaran
bunga atau biaya lembur pegawai, namun juga yang tidak dapat diukur secara jelas
(intangible impact) seperti kesulitan nasabah memperoleh pelayanan.
6.5. PENILAIAN RISIKO
Penilaian risiko (risk assessment) yang terdiri dari identifikasi dan pengukuran risiko
merupakan tahap kedua yang harus dilalui dalam penyusunan suatu BCP. Proses ini
diperlukan untuk dapat mengetahui tingkat kemungkinan terjadi gangguan pada kegiatan
bank yang penting (critical) serta dampaknya bagi kelangsungan usaha bank. Risk
assessment sekurang-kurangnya mencakup hal-hal sebagai berikut:
a. melakukan analisis atas dampak gangguan atau bencana terhadap bank, nasabah dan
industri keuangan;
b. melakukan gap analysis dengan membandingkan kondisi saat ini dengan langkah
atau skenario yang seharusnya diterapkan;
c. membuat peringkat potensi gangguan bisnis berdasarkan tingkat kerusakan (severity)
dan kemungkinan terjadinya (likelihood).
6.6. PROSES PENYUSUNAN BUSINESS CONTINUITY PLAN
Penyusunan BCP dilakukan setelah proses BIA dan Risk Assessment. Adapun
tujuan dan sasaran dari penyusunan BCP antara lain:
a. mengamankan aset penting bank;
b. meminimalisasi risiko akibat disaster misalnya membatasi kerugian finansial, risiko
hukum dan reputasi;
c. meyakini ketersediaan layanan yang berkesinambungan kepada nasabah; dan
d. mempersiapkan alternatif lain agar fungsi bisnis yang kritikal tetap dapat berjalan
untuk menjaga kelangsungan operasi bank.
BCP terdiri dari kebijakan, strategi, skenario dan prosedur yang diperlukan untuk
dapat memastikan kelangsungan proses bisnis pada saat terjadinya gangguan atau
bencana. BCP harus memuat beberapa alternatif strategi yang dapat diambil Bank untuk
mengatasi masing-masing jenis dan ukuran gangguan atau bencana. Strategi pemulihan
493
tersebut disesuaikan dengan hasil BIA, analisis risiko, sumber daya yang dimiliki serta
kapasitas dan tingkat teknologi Bank. Contoh strategi yang dapat dipilih antara lain,
penggunaan jasa pihak lain (outsourcing), Disaster Recovery Center (hot site, warm site
atau cold site) dan atau Business Recovery Center. Setiap strategi yang dipilih
hendaknya disertai analisis/alasan yang melatarberlakangi dan harus didukung dengan
sistem dan prosedur yang sesuai.
6.6.1.Jenis Prosedur BCP

Adapun jenis-jenis prosedur dalam BCP antara lain mencakup:
a. prosedur tanggap darurat (emergency response - immediate steps) untuk
mengendalikan krisis pada saat terjadi gangguan/bencana, membatasi dampak
kerugian, serta menentukan perlu tidaknya mendeklarasikan keadaan disaster;
b. prosedur pemulihan sistem yang memungkinkan kegiatan operasional Bank dapat
kembali ke kondisi normal;
c. prosedur pemulihan bisnis (business recovery) yang menjabarkan tugas dan tanggung
jawab di masing-masing proses bisnis agar dapat segera memulihkan kegiatan
operasional Bank. Termasuk dalam hal ini contingency plan untuk pelayanan nasabah
secara manual apabila dibutuhkan;
d. prosedur sinkronisasi data digunakan untuk memastikan kesamaan antara data mesin
produksi dengan data yang ada di backup site, serta untuk memastikan semua data
hasil pemrosesan bisnis selama masa pemulihan telah masuk ke dalam sistem.
6.6.2. Komponen Prosedur BCP

Setiap prosedur BCP di atas hendaknya sekurang-kurangnya mencakup komponen
sebagai berikut:
a. Personil:
Apabila diperlukan, dalam organisasi tim kerja BCP dapat dibentuk sub-sub tim
untuk koordinasi, pelaksanaan prosedur tanggap darurat, pelaksanaan pemulihan
sistem, pelaksanaan pemulihan proses bisnis dan evaluasi atau umpan balik. BCP
harus secara jelas mengemukakan komposisi, wewenang dan tanggung jawab setiap
tim kerja tim kerja BCP dan memiliki alur komunikasi yang terintegrasi.
b. Teknologi:
Prosedur yang disusun harus memperhatikan komponen teknologi yang dimiliki
Bank seperti perangkat keras, perangkat lunak, fasilitas komunikasi, sampai dengan
peralatan pemrosesan kegiatan operasional di masing-masing fungsi bisnis.
Selain itu hal-hal yang berkaitan dengan data files dan vital records juga perlu
diperhatikan seperti keberadaan DRC dan dokumentasi sistem dan data backup.
c. Disaster Recovery Center ( DRC):
Bank harus memastikan ketersediaan DRC sebagai backup DC yang dapat
dioperasikan apabila DC tidak dapat beroperasi atau dalam kondisi disaster. Sesuai
494
dengan alternatif strategi yang dipilih Bank, DRC dapat dikelola sendiri maupun
oleh pihak penyedia jasa. Bank harus memperhatikan hal-hal sebagai berikut:
1) DRC hendaknya ditempatkan pada lokasi yang terpisah dari lokasi DC, dengan
memperhatikan faktor geografi:
a) jangkauan geografi atas suatu gangguan/bencana dan dampaknya terhadap
kota atau wilayah tempat lokasi DRC berada;
b) analisis risiko yang berkaitan dengan lokasi DRC (apakah wilayah gempa
atau petir) dan terhubung dengan infrastruktur komunikasi dan listrik yang
berbeda dengan DC, serta fasilitas lain yang diperlukan untuk tetap
berjalannya suatu sistem;
2) kondisi rentannya lokasi yang dipilih dengan kemungkinan huru-hara dan
kerusuhan;
3) DRC harus memiliki pasokan listrik dan sarana telekomunikasi yang dapat
menjamin beroperasinya DRC;
4) sistem di DRC harus kompatibel dengan sistem yang digunakan pada DC dan
harus disesuaikan jika terjadi perubahan pada DC;
5) merupakan restricted area; dan
6) memperhitungkan waktu tempuh untuk terjaminnya proses recovery.
d. Backup Dokumentasi, Sistem dan Data
Bank harus meyakini ketersediaan backup yang efektif dari informasi bisnis yang
penting, perangkat lunak dan dokumentasi terkait sistem dan user untuk setiap
proses fungsi bisnis yang penting (critical). Hal-hal yang harus diperhatikan dalam
dokumentasi, sistem dan data backup antara lain:
1) backup dimaksud harus disimpan di lokasi lain dari DC (off site). Setiap
perubahan dan modifikasi harus didokumentasikan dan salinannya juga harus
diperbaharui;
2) media backup harus disimpan di lingkungan yang aman di lokasi off site dengan
standar sistem pengamanan yang memadai;
3) full system backup harus dilakukan secara periodik. Jika terjadi perubahan
sistem yang mendasar maka full system backup harus dilakukan sesegera
mungkin;
4) seluruh media backup menggunakan standar labeling/penamaan untuk dapat
mengidentifikasi penggunaan, tanggal dan jadual retensi;
5) media backup harus diuji secara regular untuk meyakini bahwa dapat digunakan
pada saat diperlukan (keadaan emergency);
6) Bank harus memiliki prosedur untuk disposal media backup.
e. Business Recovery Center (BRC)/Crisis Center/Business Resumption Center
BCP harus memiliki skenario mengenai lokasi kegiatan dari masing-masing fungsi
bisnis untuk berbagai tingkat disaster. Untuk tingkat bencana total disaster atau
catasthropic, Bank sebaiknya menyiapkan lokasi alternatif agar tetap dapat
menjalankan kegiatan fungsi bisnis.
495
f. Fasilitas Komunikasi
Bank harus memastikan bahwa alternatif jalur komunikasi yang terdapat di wilayah
operasional Bank dapat digunakan pada saat gangguan/bencana, baik di lingkungan
intern maupun dengan pihak ekstern.
6.7. PENGUJIAN BCP
Pengujian BCP diperlukan untuk meyakini bahwa BCP dapat dioperasikan

dengan baik pada saat terjadi gangguan/bencana. Uji coba dilakukan atas BCP dan
DRP sekurang-kurangnya 1 (satu) tahun sekali untuk seluruh sistem/aplikasi kritikal
(sesuai hasil Business Impact Analysis) dan mewakili seluruh infrastruktur yang kritikal
serta melibatkan end user (end to end).
Apabila Bank menggunakan pihak penyedia jasa dalam kegiatan operasionalnya
maka pengujian yang dilakukan juga perlu melibatkan pihak eksternal tersebut. Dalam
hal Bank melakukan perubahan yang sangat mendasar terhadap sistem, aplikasi atau
infrastruktur teknologi informasinya (misalnya perubahan pada core banking system),
maka harus dilakukan pengujian DRP selambat-lambatnya 6 bulan setelah perubahan
sistem dimaksud diimplementasikan.
6.7.1. Ruang Lingkup Pengujian BCP

Manajemen harus secara jelas menentukan fungsi, sistem dan proses apa saja yang akan
diuji. Hal-hal yang perlu dilakukan pengujian antara lain meliputi efektifitas dari:
a. prosedur evakuasi personil dan jalur komunikasi yang ditetapkan (call tree);
b. prosedur penetapan kondisi disaster;
c. fasilitas DRC dan BRC yang disediakan oleh pihak lain baik yang hanya untuk
Bank sendiri maupun yang digunakan bersama dengan Bank-Bank lain;
d. prosedur pemulihan atas data penting;
e. pengembalian kegiatan operasional Bank dan Data Center ke lokasi unit bisnis dan
pusat data semula.
Pengujian yang dilakukan harus didokumentasikan secara tertib dan dievaluasi untuk
meyakini efektifitas dan keberhasilan pengujian. Jika dalam pengujian didapati
kelemahan atas BCP, maka BCP perlu disempurnakan.
6.7.2. Test Plan (Skenario Pengujian)

Bank harus memiliki skenario pengujian untuk setiap uji coba yang akan
dilakukan dan skenario tersebut harus dikaji kecukupannya. Pelaksanaan skenario
tersebut tidak boleh mengganggu kegiatan operasional Bank. Hasil uji coba diharapkan
dapat mendeteksi adanya kelemahan dari prosedur yang ada dalam rangka perbaikan
BCP.
496
Dalam hal ini Bank perlu memvalidasi asumsi yang digunakan dalam skenario
pengujian/test plan, antara lain mengenai:
a. tingkat kritikal proses fungsi bisnis atau sistem yang diuji;
b. volume transaksi;
c. ketergantungan antar proses bisnis;
d. strategi BCP yang dipilih Bank;
e. ketersediaan dan kecukupan sumber daya yang diperlukan agar sesuai dengan
service level yang ditetapkan, seperti waktu yang diperlukan untuk mempersiapkan
fasilitas yang ada, mempersiapkan file backup atau mempersiapkan dokumen.
6.6.3. Analisis dan Laporan Hasil Pengujian

Hasil pengujian dan analisis dari setiap permasalahan yang ditemukan pada saat
pengujian harus dilaporkan kepada direksi. Hal yang dilaporkan antara lain meliputi:
a. penilaian ketercapaian tujuan pengujian;
b. penilaian atas validitas pengujian pemrosesan data;
c. tindakan korektif untuk mengatasi permasalahan yang terjadi;
d. deskripsi mengenai kesenjangan antara BCP dan hasil pengujian serta usulan
perubahannya;
e. rekomendasi untuk pengujian selanjutnya.
Apabila hasil uji coba mengalami kegagalan maka Bank harus mengkaji
penyebab kegagalan atau permasalahan yang terjadi dan melakukan pengujian ulang.
6.7. PEMELIHARAAN BCP DAN AUDIT INTERN

6.7.1. Pemeliharaan BCP
Bank harus memastikan bahwa BCP dapat digunakan setiap saat antara lain
dengan menyimpan salinan dokumen BCP di lokasi alternatif (alternate site),
meningkatkan pemahaman semua pihak di Bank maupun di penyedia jasa atas
pentingnya BCP dan berpartisipasi aktif dalam pelaksanaan BCP. Setiap personil inti di
Tim Kerja BCP harus memiliki ringkasan prosedur tanggap darurat BCP serta daftar
contact person terkini yang harus dihubungi pada saat terjadi gangguan/bencana (call
tree).
Di samping itu setiap satuan kerja secara berkala harus melakukan self
assessment kesesuaian Business Impact Analysis dengan perubahan yang terjadi dalam
kegiatan operasional baik yang diselenggarakan sendiri maupun oleh pihak penyedia
jasa.
Bank harus melakukan pengkinian BCP untuk meyakinkan kesesuaiannya
dengan kondisi eksternal maupun internal. Dalam melakukan pengkinian, hal-hal yang
perlu diperhatikan antara lain perubahan yang ada dalam proses bisnis, struktur
organisasi, sistem, software, operating system, hardware, personil/key staff, fasilitas,
counterparties dan service providers. Perubahan tersebut harus dianalisa pengaruhnya
497
terhadap BCP yang ada saat ini dan menentukan perbaikan yang dibutuhkan untuk
mengakomodasi perubahan tersebut dalam BCP terbaru. Selanjutnya BCP hasil revisi
tersebut harus didokumentasikan dan didistribusikan ke seluruh organisasi.
6.7.2. Audit Intern

Auditor Intern harus melakukan pemeriksaan terhadap:
a. kesesuaian BCP dengan kebijakan manajemen risiko Bank;
b. BCP mencakup kegiatan kritikal berdasarkan Business Impact Analysis;
c. kecukupan BCP untuk mengendalikan dan memitigasi risiko yang telah ditetapkan
dalam risk assessment;
d. kecukupan prosedur pengujian BCP;
e. efektifitas pelaksanaan pengujian BCP;
f. program pelatihan dan sosialisasi BCP;
g. keterkinian BCP sesuai perkembangan kegiatan operasional Bank dan hasil
pengujian terakhir.
Auditor intern harus mengkomunikasikan hasil pemeriksaan dan memberikan
rekomendasi kepada direksi. Direksi hendaknya melakukan kaji ulang atas laporan
hasil audit tersebut.
498
BAB VII–END USER COMPUTING
BAB VII
END USER COMPUTING
7.1. PENDAHULUAN
End User Computing (EUC) adalah sistem aplikasi komputer yang menjalankan
operasi bisnis Bank dimana kendali terhadap pengembangan sistem aplikasi serta
pengelolaannya dilakukan oleh satuan kerja pengguna akhir (end user) atau unit bisnis
Bank dan bukan oleh satuan kerja TI.
Beberapa alasan yang melatarbelakangi penggunaan EUC pada suatu Bank antara lain:
a. adanya proyek pengembangan sistem aplikasi yang tertunda pelaksanaannya (backlog
project) oleh satuan kerja TI, sehingga EUC memungkinkan pengguna akhir untuk
mengembangkan, memelihara, dan mengoperasikan TI sendiri;
b. adanya kebutuhan spesifik dari pengguna, dengan jumlah pengguna yang sedikit dan
volume yang rendah, sehingga kurang efisien jika melalui prosedur pengembangan
sistem aplikasi secara umum oleh satuan kerja TI.
Dalam kaitannya dengan EUC, manajemen Bank wajib memastikan bahwa:

a. risiko-risiko yang dapat timbul terkait dengan EUC telah dikelola dengan memadai;
b. EUC dapat meningkatkan kinerja satuan kerja pengguna. Sistem aplikasi EUC dapat
digunakan untuk memenuhi kebutuhan dalam menganalisis data, membuat laporan,
dan melakukan query yang memungkinkan proses pengambilan keputusan
berlangsung lebih efektif dan efisien;
c. EUC hanya digunakan untuk memenuhi kebutuhan sistem aplikasi yang tidak
kompleks, dapat memenuhi kebutuhan yang selalu berubah, atau untuk memberi
respon yang cepat terhadap kebutuhan yang mendesak atau sementara/tidak rutin;
d. EUC dapat mengurangi penundaan pembuatan (backlog) sistem aplikasi;
e. keterlambatan pemenuhan permintaan modifikasi atau pengembangan sistem aplikasi
baru akan berkurang karena EUC mengurangi beban pada pengembangan sistem
teknologi informasi oleh Satuan Kerja TI.
7.3. KEBIJAKAN DAN PROSEDUR EUC
Hal-hal yang perlu diatur dalam kebijakan dan prosedur bank mengenai EUC mencakup
antara lain:
499
a. kebijakan dan prosedur harus tertulis, disetujui oleh Direksi/pejabat yang berwenang,
dikaji ulang dan dikinikan secara periodik, serta disosialisasikan kepada seluruh
pengguna akhir;
b. pencantuman secara jelas wewenang dan tanggung jawab manajemen, unit bisnis
yang terkait, satuan kerja TI, serta satuan kerja audit intern;
c. adanya analisis kebutuhan pengembangan sistem aplikasi EUC dan prosedur
persetujuannya;
d. pengembangan sistem aplikasi EUC harus memenuhi standar dan kriteria
pengamanan yang ditetapkan oleh satuan kerja TI;
e. sistem aplikasi yang dimungkinkan untuk dikembangkan secara EUC adalah sistem
aplikasi yang memiliki tingkat kompleksitas dan risiko “low” hingga “moderate” dan
harus melalui persetujuan pihak manajemen;
f. adanya tahap-tahap pengembangan sistem aplikasi EUC, mulai dari pengadaan
sampai dengan implementasi;
g. adanya prosedur perubahan terhadap sistem aplikasi EUC;
h. memenuhi aspek-aspek pengamanan (fisik dan logik), pengendalian sistem aplikasi
EUC (pengendalian atas input, proses, dan output), pengendalian operasional
termasuk pencegahan virus;
i. tersedianya daftar terkini sistem aplikasi EUC yang ada;
j. melakukan penyimpanan dan backup data/file;
k. tersedianya dokumentasi yang memadai, mencakup antara lain user manual dan
system manual. Setiap perubahan terhadap sistem aplikasi EUC harus disertai dengan
pengkinian dokumentasi tersebut;
l. jika sistem aplikasi dibuat oleh vendor, satuan kerja pengguna akhir harus melakukan
koordinasi dengan satuan kerja TI. Di samping itu manajemen harus memastikan
kecukupan pelatihan dan manual yang disusun sebagai bagian dari kontrak antara
Bank dan vendor;
m. apabila aplikasi yang dikembangkan oleh vendor tersebut menyebabkan Bank
memiliki ketergantungan yang berkesinambungan terhadap jasa pihak pengembang
tersebut maka pemilihan vendor melalui proses yang mengacu pada pedoman tentang
Penggunaan Pihak Penyedia Jasa Teknologi Informasi serta kebijakan dan prosedur
intern Bank;
n. kebijakan dan prosedur pengembangan EUC tidak boleh bertentangan dengan
kebijakan yang ada khususnya kebijakan pengembangan sistem (SDLC) serta
kebijakan pengamanan informasi.
500
7.4. MANAJEMEN RISIKO EUC
7.4.1. Identifikasi dan Pengukuran Risiko Sistem Aplikasi EUC

Bank harus mendefinisikan tingkat risiko untuk setiap sistem aplikasi EUC secara
periodik. Apabila sistem aplikasi memiliki risiko tinggi maka pengembangan harus
dilakukan oleh Satuan Kerja TI termasuk pemeliharaannya.
Beberapa risiko yang terkait dengan EUC antara lain:
a. jika EUC tidak memenuhi standar pengamanan yang memadai, maka terdapat risiko
akses oleh pihak yang tidak berwenang yang dapat menyebabkan kebocoran
data/informasi serta kejahatan atau kecurangan yang mengakibatkan kerugian
finansial maupun non-finansial;
b. dokumentasi sistem aplikasi yang tidak memadai dapat menyebabkan
ketergantungan pada personil yang mengembangkan dan mengetahui sistem (key
person);
c. sistem aplikasi yang dikembangkan kurang memadai, antara lain disebabkan
karena:
1) kurangnya pemahaman terhadap risiko-risiko yang mungkin ada;
2) kurangnya tingkat kompetensi dan pengalaman pengguna akhir dalam
pengembangan sistem aplikasi;
3) penggunaan teknologi tanpa memperhatikan kebutuhan bisnis dan kondisi
Bank.
d. pengembangan dan penggunaan sistem oleh masing-masing satuan kerja pengguna
akhir dapat menimbulkan ketidakjelasan mengenai tanggung jawab terhadap
kepemilikan sistem, data serta penanganan masalah yang timbul;
e. menurunnya integritas dan akurasi data/informasi Bank;
f. tidak tersedia jejak audit (audit trail) yang memadai sehingga mengakibatkan
keterbatasan kemampuan Bank untuk melakukan penelusuran, seperti apabila
terjadi dugaan fraud.
Dengan melihat risiko-risiko diatas, EUC harus dilakukan melalui koordinasi
antara satuan kerja pengguna dan satuan kerja TI. Pengguna dapat mengembangkan
sistem aplikasi sendiri namun satuan kerja TI harus menginventarisir sistem aplikasi
tersebut, dan mengevaluasi kesesuaiannya dengan kebijakan dan prosedur
pengembangan Bank. Apabila aplikasi serupa diperlukan oleh satuan kerja lain maka
dapat implementasikan ke satuan kerja yang memiliki kebutuhan yang sama tersebut.
Terdapat beberapa metode pengukuran risiko yang dapat dipergunakan oleh Bank.
Apabila Bank menggunakan Control Self Assessment (CSA) dalam menilai risiko,
maka Bank harus memasukkan EUC kedalam ruang lingkup CSA yang dilakukan
masing-masing satuan kerja. Setiap Bank dapat menetapkan sendiri kriteria risiko (risk-
appetite) disesuaikan dengan skala dan kondisi Bank yang bersangkutan. Contoh
pengkategorian tingkat risiko dapat dilihat pada lampiran 1.2.
501
7.4.2. Pengendalian dan Mitigasi Risiko

Mengingat risiko-risiko yang terdapat pada sistem aplikasi EUC sebaiknya
pengembangan dan penggunaan sistem aplikasi EUC hanya dilakukan apabila
kebutuhan pengguna begitu mendesak, detail, beragam, dan/atau penggunaan sistem
aplikasi tersebut bersifat sementara. Disamping itu Bank harus senantiasa melakukan
pengendalian yang memadai pada EUC. Bentuk-bentuk pengendalian yang harus
diterapkan Bank mencakup paling kurang sebagai berikut:
a. Pengendalian pada pengembangan, pengujian dan perubahan aplikasi EUC antara
lain:
1) setiap aplikasi EUC yang akan dikembangkan harus dilaporkan kepada Satuan
Kerja TI;
2) Satuan Kerja TI harus memberikan persetujuan/sertifikasi sebelum aplikasi
tersebut dapat digunakan oleh satuan kerja pengguna. Persetujuan diberikan
setelah terlebih dahulu dilakukan analisis kecukupan aplikasi dari sisi
fungsional, pengamanan (fisik dan logik), serta kesesuaian aplikasi dengan
kebutuhan pengguna;
3) Satuan Kerja TI harus menginventarisasi seluruh aplikasi EUC yang digunakan
unit pengguna, termasuk setiap penambahan atau modifikasi yang ada;
4) dalam hal terdapat penambahan atau modifikasi terhadap aplikasi maka
pengguna harus melaporkan ulang dan mendapat persetujuan dari satuan kerja
TI sebagaimana dimaksud dalam huruf a dan b;
5) untuk menghindari dan melindungi kerahasiaan program dan data dari pihak
yang tidak berwenang, Bank harus memiliki tindakan pengamanan terhadap
data, source code dan executable file.
Selain itu, Bank juga perlu mempertimbangkan kaidah-kaidah umum pengendalian
pengembangan aplikasi sebagaimana diatur dalam Bab II Development &
Acquisition.
b. Standar pengamanan pada setiap aplikasi EUC dengan mengacu kepada Kebijakan
Pengamanan Informasi sebagaimana dimaksud pada Bab V. Pengamanan Informasi
yang diperlukan untuk meminimalkan risiko operasional. Standar tersebut paling
kurang mencakup hal-hal sebagai berikut:
1) proses validasi diperlukan dalam melakukan input data ke aplikasi EUC
secara manual maupun transmisi antar-komputer (download, upload atau
transfer secara elektronis) melalui suatu jaringan untuk menjamin
integritas data;
2) pengendalian yang memadai pada tahap penyiapan data, pelaksanaan input,
pemrosesan, distribusi output, dan proses rekonsiliasi perlu ditetapkan oleh
Bank. Hal ini diterapkan terutama pada aplikasi EUC yang digunakan untuk
memproses informasi keuangan Bank atau nasabah karena harus
memperhatikan terjaminnya integritas data dan tersedianya audit trail;
502
3) manajemen Bank perlu melakukan backup data dan aplikasi EUC secara
periodik. Selain itu DRP dan BCP Bank harus memperhitungkan risiko yang
terkait dengan aplikasi EUC.
7.5. AUDIT INTERN
Hal-hal yang perlu diperhatikan oleh Bank berkaitan dengan audit terhadap aplikasi
EUC, antara lain:
a. aplikasi EUC tersebut termasuk obyek pemeriksaan satuan kerja audit intern TI;
b. audit dilakukan secara berkala untuk memastikan bahwa pengendalian yang
diterapkan memadai dan efektif;
c. Bank harus memastikan terdapat tindak lanjut atas temuan hasil pelaksanaan audit.
503
BAB VIII–ELECTRONIC BANKING
BAB VIII
ELECTRONIC BANKING
8.1. PENDAHULUAN
Perkembangan pesat Teknologi Informasi (TI) dan globalisasi mendukung Bank

untuk meningkatkan pelayanan kepada nasabah secara aman, nyaman dan efektif,
diantaranya melalui media elektronik atau dikenal dengan e-banking. Melalui e-
banking, nasabah Bank pada umumnya dapat mengakses produk dan jasa perbankan
dengan menggunakan berbagai peralatan elektronik (intelligent electronic device)
seperti personal computer (PC), personal digital assistant (PDA), anjungan tunai
mandiri (ATM), kios, atau telephone.
Dalam pedoman ini yang dimaksud dengan Electronic Banking (e-banking)
adalah layanan yang memungkinkan nasabah Bank untuk memperoleh informasi,
melakukan komunikasi, dan melakukan transaksi perbankan melalui media elektronik
seperti Automatic Teller Machine (ATM), phone banking, electronic fund transfer
(EFT), Electronic Data Capture (EDC)/Point Of Sales (POS), internet banking dan
mobile banking. Dalam memberikan pelayanan e-banking, Bank dapat menyediakan
layanan yang bersifat informational, communicative dan/atau transactional. Penyediaan
layanan e-banking hendaknya memperhatikan prinsip prudential banking, prinsip
pengamanan dan terintegrasinya sistem TI, cost effectiveness, perlindungan nasabah
yang memadai serta searah dengan strategi bisnis Bank.
Mengingat e-banking hanya merupakan alternative delivery channel maka selain
menghadapi risiko yang telah ada, terdapat juga penambahan dan peningkatan risiko
operasional, risiko hukum dan risiko reputasi yang berasal dari penggunaan Teknologi
Informasi.
Komisaris dan Direksi harus melakukan pengawasan yang efektif terhadap risiko yang
terkait dengan aktivitas e-banking, termasuk penetapan akuntabilitas, kebijakan, dan
proses pengendalian untuk mengelola risiko tersebut.
8.2.1. Dewan Komisaris

a. Komisaris harus mengarahkan kebijakan yang terkait dengan rencana aktivitas e-
banking dan mengevaluasi kesesuaian rencana tersebut dengan rencana strategis
Teknologi Informasi Bank dan rencana strategis bisnis;
b. Komisaris harus melakukan pengawasan terhadap pelaksanaan kebijakan yang
terkait dengan aktivitas e-banking.
504
8.2.2. Direksi
a. Direksi harus melakukan kaji ulang terhadap rencana pelaksanaan e-banking yang
berpotensi memiliki dampak yang signifikan terhadap strategi dan profil risiko
Bank termasuk analisa cost dan benefit dari rencana e-banking tersebut;
b. Direksi harus memastikan bahwa Bank pada saat memasuki aktivitas e-banking
telah memiliki manajemen risiko yang memadai. Selain itu Direksi harus
memastikan bahwa pejabat atau pegawai yang terkait dengan aktivitas e-banking
memiliki kompetensi dalam aplikasi dan teknologi pendukung e-banking;
c. Direksi harus melakukan pemantauan secara berkala terhadap risiko-risiko yang
melekat pada e-banking, dan melaporkan hasil pemantauan tersebut kepada
Komisaris;
d. Direksi harus memastikan bahwa proses Manajemen Risiko aktivitas e-banking
terintegrasi dalam Manajemen Risiko Bank secara keseluruhan. Kebijakan dan
prosedur manajemen risiko harus dievaluasi untuk mengantisipasi risiko tambahan
yang berasal dari aktivitas e-banking. Untuk itu Bank perlu melakukan langkah-
langkah sebagai berikut:
1) menetapkan limit risiko dalam kaitannya dengan e-banking dengan
memperhatikan risk appetite Bank;
2) menetapkan delegasi wewenang dan mekanisme pelaporan, termasuk prosedur
yang diperlukan untuk kejadian yang berdampak pada kondisi keuangan dan
reputasi Bank;
3) memperhatikan faktor-faktor risiko yang secara khusus berhubungan dengan
keamanan, integritas dan ketersediaan jasa e-banking;
4) memastikan bahwa uji tuntas (due dilligence) dan analisis risiko yang memadai
telah dilaksanakan sebelum Bank melakukan aktivitas e-banking transaksional
secara cross border.
e. Dalam hal sistem penyelenggaraan e-banking dilakukan oleh pihak lain
(outsourcing), Bank harus menetapkan dan menerapkan prosedur pengawasan dan
due dilligence yang menyeluruh dan berkelanjutan untuk mengelola hubungan
Bank dengan pihak lain tersebut;
f. Dalam melakukan kaji ulang terhadap aspek utama prosedur pengendalian
pengamanan Bank, direksi harus:
1) mengawasi pengembangan dan pemeliharaan yang berkesinambungan atas
infrastruktur pengendalian pengamanan yang melindungi sistem e-banking dan
data Bank dari gangguan internal dan eksternal;
2) memastikan bahwa Bank memiliki kebijakan dan prosedur pengendalian
pengamanan yang menyeluruh untuk menangani potensi ancaman pengamanan
yang berasal dari intern dan ekstern, baik dalam bentuk tindakan pencegahan
maupun penanganan insiden tersebut. Prosedur pengendalian pengamanan
tersebut diantaranya meliputi:
505
a) adanya penugasan terhadap pejabat Bank yang bertanggung jawab untuk

mengawasi penyusunan dan pemeliharaan kebijakan pengamanan Bank
(corporate level security policy);
b) pengendalian fisik yang memadai untuk mencegah unauthorized physical
access terhadap ruang komputer;
c) prosedur pengendalian logik dan pemantauan yang memadai untuk
pengujian keaslian identitas pengguna sehingga mencegah unauthorized
access internal dan eksternal terhadap aplikasi dan database transaksi e-
banking;
d) kaji ulang dan pengujian secara berkala terhadap langkah-langkah
pengamanan sistem yang digunakan untuk e-banking.
3) memastikan diterapkannya manajemen risiko oleh satuan kerja TI dan satuan
kerja operasional e-banking. Antara lain dilaksanakannya self assessment
berupa mengukur dan memantau risiko terkait kegiatan e-banking dan
digunakannya hasil self assessment tersebut dalam kebijakan dan prosedur yang
ditetapkan Bank untuk pengamanan risiko-risiko pada e-banking.
8.3. KEBIJAKAN DAN PROSEDUR (POLICY & PROCEDURES)
Dalam rangka pengelolaan risiko yang melekat pada produk dan aktivitas e-banking,
Bank harus memiliki kebijakan dan prosedur secara tertulis untuk setiap produk
e-banking yang diterbitkannya paling kurang:
a. prosedur pelaksanaan (standard operating procedures) produk dan aktivitas
e-banking;
b. tanggung jawab dan kewenangan dalam pengelolaan produk dan aktivitas
e-banking;
c. sistem informasi akuntasi produk e-banking termasuk keterkaitan dengan sistem
informasi akuntansi Bank secara menyeluruh;
d. prosedur pengidentifikasian, pengukuran dan pemantauan berbagai risiko yang
melekat pada produk e-banking.
Setiap prosedur pelaksanaan (standard operating procedures) produk harus memenuhi
prinsip pengendalian pengamanan data nasabah dan transaksi e-banking yaitu:
a. kerahasiaan (confidentiality);
b. integritas (integrity);
c. ketersediaan (availability);
d. keaslian (authentication);
e. non repudiation;
f. pemisahan tugas dan tanggung jawab (segregation of duties);
g. pengendalian otorisasi dalam sistem, database dan aplikasi
(authorization of control);
h. pemeliharaan jejak audit (maintenance of audit trails).
506
Dalam menetapkan pengendalian pengamanan pada aktivitas dan produk

e-banking, Bank hendaknya selain memperhatikan pengamanan layanan
terhadap nasabah juga memperhatikan pihak lain yang terkait dengan layanan e-
banking.
8.4. MANAJEMEN RISIKO AKTIVITAS DAN PRODUK E BANKING
8.4.1. Penilaian Risiko Terkait E-Banking

Bank harus melakukan identifikasi atas jenis-jenis risiko yang dapat ditimbulkan oleh
aktivitas e-banking baik dari produk itu sendiri maupun dari penggunaan Teknologi
Informasi sebagai akibat digunakannya electronic delivery channel.
Pengukuran dilakukan terhadap setiap kerugian yang terjadi (loss event) pada setiap
jenis produk. Untuk dapat memantau besar dan kecenderungan risiko dari setiap jenis
produk, maka Bank harus membuat database yang berisi data historis dari kerugian
(loss event database) setiap jenis produk.
8.4.1.1.Risiko Umum
Risiko umum meliputi:
a. Transaction/Operations Risk: risiko yang timbul atau berasal dari fraud, kesalahan
dalam proses, gangguan sistem atau kegiatan tidak terduga yang menyebabkan
ketidakmampuan Bank untuk menyediakan produk atau layanan serta menimbulkan
kerugian bagi Bank maupun nasabah. Termasuk dalam risiko transaksi ini adalah
risiko yang dapat timbul dari kurang memadainya pelaksanaan prinsip
pengendalian pengamanan tersebut di atas;
b. Credit Risk: risiko kredit dapat timbul apabila Bank memberikan kredit melalui
media elektronik misalnya produk kartu kredit;
c. Compliance/Legal Risk yang timbul dari:
1) ketidakpatuhan terhadap hukum dan atau peraturan dari otoritas pengawas;
2) perbedaan dengan hukum di negara lain dalam hal cross border transaction;
3) ketidakpatuhan terhadap ketentuan tentang kerahasiaan data nasabah dan
ketentuan tentang transparansi informasi produk;
4) keterbatasan ketentuan perundangan sebagai dasar hukum transaksi e-banking.
d. Strategic Risk dapat timbul dari;
1) ketidak sesuaian dengan tujuan/rencana bisnis Bank;
2) kurang baiknya perencanaan investasi pada e-banking dapat menyebabkan
tidak optimalnya return on investment yang diperoleh dibandingkan dengan
biaya yang dikeluarkan;
3) kurang optimalnya pengelolaan hubungan dengan pihak penyedia jasa TI
(relationship management);
e. Reputation Risk: risiko reputasi timbul dari kemungkinan menurunnya atau
hilangnya kepercayaan nasabah karena service level delivery kepada nasabah tidak
507
terjaga seperti kelambatan atau tidak tersedianya layanan e-banking, kelambatan

respon atas komplain nasabah, ketidakamanan sistem dan adanya gangguan pada
sistem.
f. Market Risk: risiko yang timbul dalam hal Bank membuat produk yang memiliki
fitur yang memungkinkan dieksekusinya transaksi yang terekspos perubahan
tingkat bunga, perubahan kurs seperti misalnya pada layanan transfer di internet
banking dari rekening rupiah milik nasabah ke rekening valas tertuju di luar negeri.
g. Liquidity Risk: risiko yang timbul dalam hal Bank tidak membatasi jumlah yang
dapat ditransfer oleh nasabah korporasi melalui internet banking.
8.4.1.2.Risiko Spesifik
Dalam melaksanakan aktivitas e-banking, Bank akan menghadapi risiko spesifik akibat
penyediaan dan penggunaan Teknologi Informasi. Risiko ini akan meningkatkan
eksposur risiko yang dihadapi Bank. Contoh risiko spesifik yang dihadapi antara lain:
a. Risiko operasional yang mungkin timbul dari transaksi e-banking diantaranya
adalah kecurangan, penyadapan/skimming, kesalahan, kerusakan atau tidak
berfungsinya sistem;
b. Risiko yang mungkin timbul dari transaksi cross border e-banking antara lain risiko
hukum mengingat transaksi melewati batas wilayah hukum yang berbeda. Risiko
ini timbul karena terdapat perbedaan ketentuan perundangan diantara kedua
wilayah hukum, seperti ketentuan perlindungan konsumen, kerahasiaan Bank dan
data pribadi nasabah, persyaratan pelaporan dan ketentuan tentang money
laundering. Selain itu Bank dapat juga menghadapi risiko lain seperti risiko
operasional, risiko kredit dan risiko pasar;
c. Risiko dalam penyelenggaraan internet banking meliputi:
1) nasabah memperoleh informasi yang salah atau tidak akurat melalui internet;
2) pencurian data finansial dari database Bank melalui informational dan
communicative internet banking yang tidak terisolasi;
3) terdapat ancaman/serangan misalnya defacing, cybersquating, denial of service,
penyadapan komunikasi internet (network interception), man-in-the middle-
attack, virus.
4) terjadi pencurian identitas (identity theft) misalnya phising, key logger,
spoofing, cybersquating;
5) terjadi transaksi yang dilakukan oleh pihak yang tidak berwenang
(unauthorized transaction) atau terjadi fraud.
d. Ancaman keamanan pada produk yang menggunakan teknologi wireless misalnya
mobile banking antara lain intrusi atau penyadapan komunikasi akibat belum semua
transaksi melalui mobile banking dienkripsi, denial of service attack, virus, worm,
Trojan, penggandaan sim card dan nomor handphone;
508
e. Ancaman keamanan pada produk phone banking yaitu sangat rentan terhadap
penyadapan.
8.4.2. Mitigasi Risiko

Bank harus melakukan mitigasi atas risiko umum dan risiko spesifik yang mungkin
terjadi dalam layanan e-banking dengan memperhatikan prinsip pengendalian
pengamanan data nasabah dan transaksi e-banking.
8.4.2.1.Prinsip-Prinsip Pengendalian Pengamanan Atas Aktivitas E-Banking

a. Bank harus melakukan langkah-langkah yang memadai untuk menguji keaslian
(authentication) identitas dan kewenangan (authorisation) nasabah yang melakukan
transaksi melalui e-banking dengan memperhatikan hal-hal sebagai berikut:
1) Bank harus memiliki kebijakan dan prosedur tertulis untuk memastikan bahwa
Bank mampu menguji keaslian identitas dan kewenangan nasabah.
2) Bank dapat menggunakan berbagai metode untuk menguji keaslian yang
didasarkan atas penilaian manajemen risiko aktivitas e-banking, sensitivitas dan
nilai data yang disimpan. Dalam menggunakan metode pengujian keaslian,
hendaknya memperhatikan hal-hal sebagai berikut:
a) menerapkan kombinasi sekurang-kurangnya 2 faktor otentikasi (two factor
authentication) yaitu “what you know” (PIN, password), “what you have”
(kartu magnetis dengan chip, token, digital signature), “something you are”
atau “biometric” (retina, sidik jari);
b) persyaratan jumlah karakter minimum PIN. Khusus untuk PIN yang
digunakan dalam alat pembayaran dengan menggunakan kartu, mobile
banking dan internet banking, panjang PIN harus sekurang-kurangnya
terdiri dari 6 digit karakter;
c) adanya batasan maksimum kesalahan memasukkan PIN untuk menghambat
upaya akses secara tidak sah/legal;
d) Bank harus memastikan penerapan prinsip kehati-hatian dalam penggunaan
metode pengujian keaslian yang meliputi:
(1) pembuatan, validasi dan enkripsi PIN dan metode pengujian keaslian
lainnya harus menggunakan metode yang diyakini aman;
(2) database pengujian keaslian yang menyediakan akses kepada rekening
nasabah pada e-banking dilindungi dari gangguan dan perusakan;
(3) setiap penambahan, penghapusan atau perubahan database pengujian
keaslian telah dengan tepat diotorisasi oleh pihak yang berwenang;
(4) khusus untuk layanan e-banking dengan menggunakan kartu, fungsi
pembuatan dan pengiriman PIN harus terpisah dari fungsi pembuatan
dan pengiriman kartu;
509
(5) terdapat sarana pengendalian yang tepat terhadap sistem e-banking

sehingga pihak ketiga yang tak dikenal tidak bisa menggantikan nasabah
yang telah dikenal;
(6) terdapat kebijakan yang menyatakan bahwa jika terdapat indikasi telah
terjadi pencurian data yang terkait dengan aspek otentikasi nasabah
maka Bank wajib melakukan penggantian data otentikasi nasabah
dimaksud secepatnya.
b. Bank harus menyusun dan menetapkan prosedur untuk menjamin bahwa transaksi
tidak dapat diingkari oleh nasabah (non repudiation) sehingga transaksi dapat
dipertanggungjawabkan (kredibel), yang meliputi antara lain:
1) sistem e-banking telah dirancang untuk mengurangi kemungkinan dilakukannya
transaksi secara tidak sengaja (unintended) oleh para pengguna yang berhak;
2) seluruh pihak yang melakukan transaksi telah diuji keasliannya;
3) data transaksi keuangan dilindungi dari kemungkinan pengubahan dan setiap
pengubahan dapat dideteksi. Proses pencatatan transaksi keuangan harus
dirancang sebaik mungkin agar dapat mencegah upaya pengubahan tidak sah.
Setiap upaya pengubahan yang tidak sah perlu dicatat (logged) dan menjadi
perhatian manajemen Bank;
4) penerapan metode untuk menjamin dipenuhinya prinsip non repudiation,
misalnya digital signature, Public Key Infrastructure (PKI). Kunci-kunci (keys)
yang digunakan untuk keperluan enkripsi harus dipelihara secara aman sehingga
tidak ada satu orang pun yang secara utuh mengetahui kombinasi kunci-kunci
tersebut.
c. Bank harus memastikan terdapat pemisahan tugas dan tanggung jawab terkait
penggunaan sistem, database dan aplikasi e-banking. Bank harus memastikan
terdapat dual control dan segregation of duties untuk memastikan terlaksananya
fungsi check & balance. Bank perlu memastikan terdapat pemisahan tugas antara
pihak yang menginisiasi/menginput data dan pihak yang bertanggung jawab untuk
memverifikasi kebenaran data tersebut. Misalnya, dalam suatu aplikasi perbankan,
setiap penambahan atau perubahan database yang dilakukan oleh data entry
operator, baru dapat menjadi efektif hanya jika telah disetujui oleh penyelianya.
d. Bank harus memastikan adanya pengendalian terhadap otorisasi dan hak akses
(privileges) yang tepat terhadap sistem, database dan aplikasi e-banking.
Seluruh arsip dan data Bank yang bersifat rahasia hanya dapat diakses oleh pihak
yang telah memiliki kewenangan dan otorisasi. Data Bank yang bersifat rahasia
harus dipelihara secara aman dan dilindungi dari kemungkinan diketahui atau
dimodifikasi oleh pihak yang tidak berwenang.
e. Bank harus memastikan metode dan prosedur diterapkan untuk melindungi
integritas data, catatan dan informasi terkait transaksi e-banking dengan
memperhatikan hal-hal sebagai berikut:
510
1) Bank harus menerapkan metode dan teknik yang tepat untuk mengurangi
ancaman eksternal seperti serangan virus, malicious transaction yang meliputi:
a) perangkat lunak – penyediaan virus scanning dan anti virus untuk seluruh
entry point dan masing-masing sistem komputer (desktop);
b) perangkat lunak untuk mendeteksi adanya penyusupan (intrusion detection
system);
c) pengujian penetrasi (penetration testing) terhadap jaringan internal dan
eksternal secara berkala sekurang-kurangnya 1 tahun sekali.
2) Bank harus melakukan pengujian integritas data transaksi e-banking.
3) Bank harus melakukan pengendalian/kontrol untuk memastikan seluruh
transaksi telah dilaksanakan dengan benar.
f. Bank harus memastikan tersedianya mekanisme penelusuran (audit trail) yang jelas
untuk seluruh transaksi e-banking, yang mencakup hal-hal sebagai berikut:
1) Bank harus memelihara log transaksi sesuai kebijakan retensi data Bank sesuai
ketentuan perundangan yang berlaku guna tersedianya jejak audit yang jelas
serta membantu penyelesaian perselisihan. Data transaksi yang diperlukan perlu
mencakup sekurang-kurangnya data nasabah, nomor rekening, jenis transaksi,
waktu, lokasi, jumlah transaksi;
2) Bank harus memberikan notifikasi kepada nasabah apabila suatu transaksi telah
berhasil dilakukan. Apabila terdapat transaksi yang ditolak maka perlu
didokumentasikan dan terdapat prosedur tindak lanjutnya;
3) Bank harus memastikan tersedianya fungsi jejak audit (audit trail) untuk dapat
mendeteksi usaha dan/atau terjadinya penyusupan yang harus di-review atau
dievaluasi secara berkala. Apabila sistem pemrosesan dan jejak audit
merupakan tanggung jawab pihak ketiga maka proses jejak audit tersebut harus
sesuai dengan standar yang ditetapkan oleh Bank. Bank harus memiliki
kewenangan yang cukup untuk dapat mengakses jejak audit yang dipelihara
oleh pihak ketiga tersebut;
4) Bank harus melakukan pendeteksian dan monitoring atas transaksi yang tidak
sah/tidak wajar misalnya melalui Intrusion Detection System (IDS) dan Fraud
Detection. Selanjutnya Bank harus memiliki prosedur penanganan masalah atau
kejahatan yang terdeteksi.
g. Bank harus menerapkan langkah-langkah untuk melindungi kerahasiaan informasi
e-banking. Prosedur pengamanan disesuaikan dengan tingkat sensitivitas informasi.
Bank juga harus memiliki standar dan pengendalian atas penggunaan dan
perlindungan data apabila pihak penyedia jasa/outsourcing memiliki akses terhadap
data tersebut;
h. Bank harus memiliki business continuity plan termasuk contingency plan yang
efektif untuk memastikan tersedianya sistem dan jasa e-banking secara
berkesinambungan. Pengaturan lebih lanjut dapat dilihat pada Bab VI tentang
Business Continuity Plan;
511
i. Bank harus mengembangkan rencana penanganan kejadian (incident response

plans) yang cepat dan tepat untuk mengelola, mengatasi, dan meminimalkan
dampak suatu insiden, fraud, kegagalan sistem (internal dan eksternal), yang dapat
menghambat penyediaan sistem dan jasa e- banking.
8.4.2.2. Prinsip Pengendalian Pengamanan Produk E-Banking Tertentu

a. Dalam menyediakan layanan jasa perbankan melalui e-banking misalnya pada
ATM dan internet banking, Bank juga harus memperhatikan kenyamanan dan
kemudahan nasabah menggunakan fasilitas termasuk efektivitas menu tampilan
layanan e-banking, khususnya dalam melakukan pilihan pesan yang diinginkan
nasabah agar tidak terjadi kesalahan dan kerugian dalam transaksi;
b. Jika diperlukan untuk meningkatkan pengamanan, Bank dapat menetapkan
persyaratan atau melakukan pembatasan transaksi melalui e-banking untuk
menjamin keamanan dan kehandalan transaksi misalnya meminta nasabah
melakukan registrasi rekening pihak ketiga tujuan transfer dalam mobile banking
atau membatasi nominal jumlah transaksi melalui ATM dan internet banking;
c. Dalam penyelenggaraan layanan e-banking yang menyediakan sarana fisik seperti
ATM, Bank harus melakukan pengendalian pengamanan fisik terhadap peralatan
dan ruangan yang digunakan terhadap bahaya pencurian, pengerusakan dan
tindakan kejahatan lainnya oleh pihak yang tidak berwenang. Bank harus
melakukan pemantauan secara rutin untuk menjamin keamanan dan kenyamanan
bagi nasabah pengguna jasa e-banking;
d. Bank harus memastikan terdapatnya pengamanan atas aspek transmisi data antara
Terminal Electronic Fund Transfer (EFT) dengan Host Computer, terhadap risiko
kesalahan transmisi, gangguan jaringan, akses oleh pihak yang tidak bertanggung
jawab, dan lain-lain. Pengamanan mencakup pengendalian terhadap peralatan yang
digunakan, pemantauan kualitas serta akurasi kinerja perangkat jaringan dan
saluran transmisi, pemantauan terhadap akses perangkat lunak Controller (Host-
Front End);
e. Point of Sales (POS)/Electronic Data Capture (EDC) memungkinkan transfer dana
secara elektronis dari rekening nasabah kepada rekening acquirer atau merchant
untuk pembayaran suatu transaksi. Transaksi dilakukan melalui POS Terminal yang
berlokasi di pusat perbelanjaan atau pasar swalayan umumnya menggunakan suatu
alat pembayaran dengan menggunakan kartu. Penyediaan POS dapat dilakukan
sendiri oleh Bank penerbit, maupun oleh financial acquirer, technical acquirer,
perusahaan switching. Pihak penyedia POS Terminal harus selalu melakukan
peningkatan pengamanan fisik di sekitar lokasi POS Terminal dan terhadap POS
Terminal, antara lain dengan menggunakan POS Terminal yang dapat
meminimalkan kemungkinan adanya penyadapan baik di POS Terminal sendiri
maupun dalam jaringan komunikasinya.
512
f. Bagi Bank yang menyediakan jasa mobile banking (m-banking), maka Bank harus
memastikan keamanan transaksi tersebut yang dapat dilakukan antara lain melalui
1) menggunakan suatu SIM Toolkit dengan fitur enkripsi end-to-end dari
handphone hingga server m-banking, untuk melindungi pengiriman data pada
m-banking;
2) melakukan mutual authentication yaitu pihak Bank dan nasabah dapat
melakukan proses otentifikasi dengan digital certificate, Personal
Authentication Message yaitu untuk membantu nasabah memastikan bahwa
pihak yang bertransaksi dengan nasabah adalah pihak yang benar (Bank,
penyedia jasa).
g. Dalam penyediaan jasa layanan phone banking, Bank harus memastikan keamanan
transaksi diantaranya melalui hal-hal sebagai berikut:
1) layanan ini tidak digunakan untuk transaksi dengan nilai maupun risiko yang
tinggi;
2) semua percakapan melalui IVR direkam termasuk nomor telepon nasabah, detil
transaksi, dll;
3) layanan ini menggunakan metode otentifikasi yang handal dan aman;
4) penggunaan metode otentifikasi nasabah seperti PIN dan password untuk
transaksi finansial.
8.4.2.3. Edukasi dan Perlindungan Nasabah

Bank wajib melakukan edukasi nasabah agar setiap pengguna jasa layanan Bank
melalui e-banking menyadari dan memahami risiko yang dihadapinya. Hal-hal yang
harus dilakukan Bank antara lain meliputi:
a. untuk transaksi internet banking, Bank harus memastikan bahwa website Bank telah
menyediakan informasi yang memungkinkan calon nasabah memperoleh informasi
yang tepat mengenai identitas dan status hukum Bank sebelum melakukan
transaksi. Informasi tersebut mencakup namun tidak terbatas pada: nama dan
tempat kedudukan Bank, identitas otoritas pengawasan Bank, tata cara nasabah
mengakses unit pelayanan nasabah (call center) dan tata cara bagi nasabah untuk
mengajukan pengaduan;
b. apabila Bank memperbolehkan nasabah untuk membuka rekening melalui internet,
maka harus terdapat informasi pada website Bank tentang ketentuan hukum terkait
Know Your Customer diantaranya nasabah harus datang dan mengikuti prosedur
wawancara;
c. Bank harus memastikan bahwa perlindungan terhadap kerahasiaan data nasabah
diterapkan sesuai dengan ketentuan yang berlaku dan hanya dapat diakses oleh
pihak yang memiliki kewenangan. Selain itu hendaknya nasabah diberikan
pemahaman mengenai peraturan intern Bank mengenai kerahasiaan data nasabah;
513
d. Bank harus memastikan bahwa data nasabah tidak digunakan untuk tujuan di luar
otorisasi yang diberikan oleh nasabah. Sesuai ketentuan yang berlaku mengenai
transparansi informasi produk dan penggunaan data pribadi nasabah, Bank harus
memperoleh izin nasabah apabila hendak memberikan data pribadi nasabah kepada
pihak penyedia jasa untuk keperluan marketing. Perlindungan terhadap kerahasiaan
data nasabah juga harus dipenuhi dalam hal Bank menggunakan jasa pihak lain
(outsourcing);
e. edukasi yang diberikan kepada nasabah mencakup tentang hak, kewajiban dan
tanggung jawab seluruh pihak terkait. Edukasi sekurang-kurangnya diberikan pada
saat nasabah mengajukan aplikasi pelayanan e-banking.
Hal-hal yang perlu diedukasikan antara lain:
1) pentingnya menjaga keamanan PIN/Password misalnya:
a) merahasiakan dan tidak memberitahukan PIN/Password kepada siapapun
termasuk kepada petugas Bank;
b) melakukan perubahan secara berkala;
c) menggunakan PIN/Password yang tidak mudah ditebak (penggunaan
identitas pribadi seperti tanggal lahir);
d) tidak mencatat PIN/Password;
e) PIN untuk satu produk hendaknya berbeda dari PIN produk lainnya.
2) penerapan prinsip kehati-hatian saat menggunakan ATM antara lain:
a) memperhatikan keamanan lingkungan tempat ATM sebelum memutuskan
untuk mengambil uang;
b) memastikan uang dan kartu telah diambil sebelum meninggalkan lokasi
ATM.
3) penyediaan informasi kepada nasabah mengenai teknik pengamanan komputer
pribadi nasabah yang digunakan dalam internet banking.
4) prosedur pengaduan jika terjadi masalah.
5) penerapan prinsip kehati-hatian dalam menggunakan mobile banking misalnya:
a) tidak menyimpan PIN dalam memori telepon untuk mencegah penggandaan
sim card secara ilegal maupun pencurian PIN melalui fungsi redial;
b) menggunakan metode untuk melakukan verifikasi keotentikan dari nasabah
dan atau Bank yang menghubungi misalnya dengan menggunakan personal
assurance message yaitu informasi personal yang disampaikan nasabah
kepada Bank saat registrasi sehingga nasabah dan Bank dapat melakukan
verifikasi saat terjadi transaksi.
6) dalam menggunakan internet banking diperlukan edukasi mengenai berbagai
modus kejahatan internet banking seperti:
a) phising dan kejahatan social engineering lainnya;
b) key logger dan Trojan Horse Virus pada berbagai peralatan komputer yang
umumnya terdapat di tempat-tempat umum seperti warung Internet
(warnet), Internet Cafe, dll.
514
8.4.2.4. Cross Border Electronic Banking
Mitigasi terhadap risiko cross border e-banking dilakukan dengan cara:

a. membangun program manajemen risiko yang efektif untuk aktivitas e-banking yang
melewati batas negara (cross border). Sebelum Bank mengenalkan produk dan jasa
cross border e-banking, manajemen Bank sebaiknya melakukan penilaian risiko
dan due diligence yang tepat guna menjamin bahwa Bank secara tepat mengelola
risiko-risiko yang ada. Selain memperhatikan setiap hukum dan peraturan yang
berlaku di Indonesia, Bank hendaknya memperhatikan hukum dan peraturan yang
berlaku di negara tempat Bank akan menawarkan jasa cross border e-banking.
b. adanya pengungkapan yang cukup pada website atau informasi lainnya guna
memungkinkan nasabah potensial sebelum melakukan hubungan bisnis dengan
Bank mengetahui identitas Bank, home country, otoritas pengawas Bank dan izin
yang diperoleh Bank.
8.4.2.5. Pengelolaan Risiko Terkait Sistem dan Layanan E-Banking yang

Diselenggarakan oleh Pihak Penyedia Jasa
Dalam hal sistem penyelenggaraan e-banking dilakukan oleh pihak lain
(outsourcing) misalnya switching company, ISP, Bank harus menetapkan dan
menerapkan prosedur pengawasan dan due dilligence yang menyeluruh dan
berkelanjutan untuk mengelola hubungan Bank dengan pihak penyedia jasa tersebut.
Untuk itu Bank harus membuat suatu perjanjian tertulis dengan pihak penyedia jasa
terkait layanan e-banking yang secara rinci mengatur hak dan kewajiban, aspek
pengamanan, dan melakukan pemantauan kinerja pihak penyedia jasa sesuai service
level agreement. Pengaturan lebih lanjut dapat dilihat pada Bab X – Panduan
Penggunaan Penyedia Jasa Teknologi Informasi.
8.5. AUDIT INTERN
Tujuan pelaksanaan audit terhadap aktivitas e-banking adalah untuk menguji efektivitas
pelaksanaan manajemen risiko atas kegiatan e-banking serta memastikan bahwa
pengendalian pengamanan produk tersebut telah memadai untuk memberikan
perlindungan bagi nasabah. Audit atas aktivitas e-banking paling kurang mencakup
evaluasi atas pengawasan manajemen (board and management oversight), penilaian
atas program pengamanan yang diterapkan serta kaji ulang atas kepatuhan terhadap
ketentuan perundangan.
Penerapan audit terhadap layanan e-banking sekurang-kurangnya mengacu pada Bab
IX Audit.
515
8.6. PELAPORAN RENCANA & REALISASI PRODUK E-BANKING BARU

Setiap rencana penerbitan produk Electronic Banking yang bersifat
transaksional wajib dilaporkan kepada Bank Indonesia paling lambat 2 (dua) bulan
sebelum produk tersebut diterbitkan dengan menggunakan Lampiran 2.21. Rencana
Penerbitan Electronic Banking Transaksional. Ketentuan pelaporan rencana produk
Electronic Banking berlaku untuk setiap produk baru yang karakteristiknya berbeda
dengan produk yang telah ada di Bank dan/atau menambah atau meningkatkan
eksposur risiko tertentu pada Bank. Ketentuan pelaporan ini tidak berlaku untuk produk
Electronic Banking yang diatur secara khusus dalam ketentuan Bank Indonesia
mengenai persyaratan persetujuan produk tersebut.
Dalam hal Teknologi Informasi yang digunakan dalam menyelenggarakan
kegiatan Electronic Banking dilakukan oleh pihak penyedia jasa maka berlaku pula
ketentuan penggunaan penyedia jasa sebagaimana diatur dalam Bab X mengenai
Penggunaan Pihak Penyedia Jasa Teknologi Informasi.
Yang dimaksud dengan “produk Elektronik Banking baru” adalah produk baru
yang karakteristiknya berbeda dengan produk yang telah ada di Bank dan/atau
menambah atau meningkatkan eksposur risiko tertentu pada Bank, seperti internet
banking dan phone banking untuk nasabah penyimpan.
Dengan demikian apabila Bank hanya menambah jenis layanan pada produk e-
banking yang telah ada dan penambahan risikonya tidak signifikan misalnya
penambahan fasilitas pembayaran melalui e-banking yang semula hanya melayani
pembayaran kartu kredit menjadi pembayaran listrik atau telepon, maka penambahan
layanan pembayaran tersebut tidak tergolong produk baru sehingga tidak perlu
dilaporkan.
Namun jika Bank menambah layanan misalnya yang semula hanya menangani
transaksi rupiah kemudian menambah layanan berupa transaksi valuta asing maka Bank
harus melaporkan produk baru tersebut karena berdasarkan analisis risiko, transaksi
tersebut dapat meningkatkan risiko pasar, risiko hukum, dan risiko lainnya.
Selanjutnya paling lambat 1 (satu) bulan sejak kegiatan tersebut efektif
dioperasikan, Bank wajib melaporkan realisasi kegiatan sesuai format Laporan
Perubahan Mendasar dalam Penggunaan Teknologi Informasi dengan menggunakan
Lampiran 2.3.1. Realisasi Penerbitan Electronic Banking Transaksional. Laporan
realisasi tersebut harus dilengkapi dengan tinjauan atas hasil implementasi (Post
Implementation Review) oleh pihak independen. Produk dan/atau aktivitas baru yang
telah dilaporkan dalam Laporan Realisasi Rencana Perubahan Mendasar Teknologi
Informasi tidak perlu dilaporkan dalam Laporan Produk dan Aktivitas Baru
sebagaimana diatur dalam ketentuan Bank Indonesia mengenai manajemen risiko Bank
umum.
516
8.6.1. Laporan Rencana & Realisasi Produk Baru E-Banking
Dalam laporan Rencana Penerbitan e-banking transaksional, Bank wajib melampirkan:

a. bukti-bukti kesiapan untuk menyelenggarakan e-banking yang paling kurang
mencakup:
1) kesiapan struktur organisasi termasuk pengawasan dari pihak manajemen;
2) kesiapan kebijakan, sistem, prosedur dan kewenangan dalam penerbitan produk
e-banking;
3) kesiapan infrastruktur TI untuk mendukung produk e-banking termasuk namun
tidak terbatas pada struktur jaringan, operating system, interface antara
e-banking system dan sistem secara keseluruhan;
4) hasil analisis dan identifikasi risiko yang melekat pada produk e-banking;
5) kesiapan penerapan manajemen risiko khususnya pengendalian pengamanan
(security control) atas produk e-banking yang memadai yang antara lain untuk
memastikan terpenuhinya prinsip kerahasiaan (confidentiality), integritas
(integrity), otentikasi (authentication), non repudiation, dan ketersediaan
(availability);
6) hasil analisis aspek hukum yang terkait dengan perjanjian antara Bank dengan
nasabah serta pihak lain yang mendukung, pemilihan hukum yang digunakan
saat terjadi perselisihan/sengketa;
7) uraian sistem informasi akuntansi termasuk penjelasan singkat mengenai
keterkaitan dengan sistem informasi akuntansi Bank secara menyeluruh;
8) perlindungan nasabah dan program edukasi nasabah atas sistem dan teknologi
pengamanan e-banking.
b. Hasil analisis bisnis mengenai proyeksi produk baru 1 (satu) tahun kedepan
sekurang-kurangnya memuat:
1) potensi pasar yang ada;
2) segmen pasar yang akan dituju;
3) analisis persaingan usaha;
4) target nasabah yang ingin dicapai;
5) rencana kerja sama dengan pihak lain;
6) target pendapatan yang akan dicapai.
c. Hasil pemeriksaan dari pihak independen untuk memberikan pendapat atas
karakteristik produk dan kecukupan pengamanan produk serta kepatuhan terhadap
ketentuan dan/atau praktek-praktek yang berlaku di dunia internasional.
8.6.1.1. Pemeriksaan oleh Pihak Independen
Hasil pemeriksaan oleh pihak independen sebagaimana dimaksud di atas,

ditujukan untuk memberikan pendapat atas karakteristik produk dan kecukupan
pengamanan sistem TI terkait produk tersebut serta kepatuhan terhadap ketentuan
517
dan/atau praktek-praktek yang berlaku (best practice) yang memenuhi standar

internasional seperti ISO, IEC, COBIT, IT-IL.
Yang dimaksud dengan pihak independen adalah pihak-pihak yang tidak
terlibat dalam perancangan dan pengembangan sistem aplikasi serta pengambilan
keputusan untuk implementasi (go or no go).
Hasil pemeriksaan dari pihak independen di luar Bank (Kantor Akuntan
Publik atau perusahaan konsultan dibidang IT Security atau sejenisnya) diperlukan
untuk produk e-banking bersifat transaksional yang baru pertama kali diterbitkan oleh
Bank seperti internet banking yang bersifat transaksional dan sms banking yang
bersifat transaksional.
Sedangkan untuk penambahan fitur layanan produk e-banking yang telah ada
di Bank yang dapat menambah atau meningkatkan eksposur risiko Bank dapat
menggunakan pihak internal untuk melakukan independent review.
Contoh:
a. transaksi melalui ATM yang sebelumnya nasabah tidak bisa melakukan
pemindahbukuan antar rekening menjadi dapat melakukan pemindahbukuan;
b. transaksi melalui ATM yang pada mulanya hanya dapat melakukan
pemindahbukuan antar rekening dalam Bank kemudian ditambah sehingga dapat
melakukan transfer antar Bank.
Bank perlu memastikan bahwa pihak eksternal yang digunakan memiliki
kompetensi dan pemahaman terhadap produk yang akan di-review terutama dalam
aspek pengamanan TI. Dalam hal Bank menggunakan pihak internal untuk
melakukan independent review maka Bank wajib menyampaikan uraian tugas dan
tanggung jawab dari pihak tersebut serta kedudukannya dalam struktur organisasi
pada proyek pengembangan aplikasi e-banking.
8.6.1.2. Ruang Lingkup Pemeriksaan Pihak Independen
Bank wajib memastikan bahwa laporan yang disampaikan oleh pihak independen
mengenai kesiapan TI Bank untuk kegiatan e-banking yang direncanakan memuat
periode pemeriksaan, ruang lingkup, metode pemeriksaan, temuan, rekomendasi,
tanggapan manajemen atas temuan serta target penyelesaian. Adapun ruang lingkup
pemeriksaan meliputi:
a. pengawasan aktif manajemen;
b. kecukupan kebijakan dan prosedur pengamanan sistem e-banking untuk
memastikan terpenuhinya prinsip kerahasiaan, integritas, ketersediaan dan non
repudiation dalam setiap transaksi e-banking;
c. kecukupan penerapan dan pemantauan terhadap pengamanan sistem aplikasi e-
banking yang disiapkan bank yang meliputi:
1) penerapan pengamanan aplikasi, infrastruktur (server, firewall dan router)
serta jaringan sistem e-banking;
518
2) pengamanan untuk mendeteksi transaksi yang tidak wajar;

3) terdapat pemeliharaan dan kaji ulang atas audit trail log transaksi;
4) pengamanan fisik yang memadai atas perangkat komputer dan perangkat
komunikasi terkait produk/jasa e-banking;
5) pengamanan atas jaringan internal bank sehingga terlindung dari serangan
yang berasal dari eksternal;
6) pengamanan atas data dan database transaksi e-banking.
d. Business Continuity Plan dan prosedur tanggap darurat (incident response
management);
e. penggunaan pihak penyedia jasa TI sebagai penyelenggara e-banking;
f. kaji ulang atas analisis risiko dalam produk baru e-banking yang meliputi
sekurang-kurangnya risiko strategis, risiko pengamanan, risiko hukum, risiko
reputasi;
g. program edukasi dan perlindungan nasabah termasuk kehati-hatian dalam
pembukaan rekening dan dalam melakukan transaksi melalui e-banking.
519
BAB IX–AUDIT
BAB IX
AUDIT INTERN TEKNOLOGI INFORMASI
9.1. PENDAHULUAN
Sistem Pengendalian Intern (SPI) yang efektif merupakan komponen penting

dalam manajemen Bank dan menjadi dasar bagi kegiatan operasional Bank yang sehat
dan aman. SPI yang efektif dapat membantu pengurus Bank menjaga aset Bank,
menjamin tersedianya pelaporan keuangan dan manajerial yang dapat dipercaya,
meningkatkan kepatuhan Bank terhadap ketentuan dan peraturan perundang-undangan
yang berlaku, serta mengurangi risiko terjadinya kerugian, penyimpangan dan
pelanggaran aspek kehati-hatian.
Penggunaan sarana Teknologi Informasi (TI) disamping meningkatkan
kemampuan Bank melaksanakan kegiatan operasional, juga mengandung risiko yang
dapat mengakibatkan kerugian, baik yang bersifat finansial maupun non-finansial. Oleh
karena itu SPI sangat perlu diterapkan sebagai salah satu upaya meminimalkan
kerugian dimaksud. Fungsi audit intern sebagai salah satu bagian dari SPI,
bertanggungjawab dalam melakukan evaluasi terhadap penyelenggaraan TI secara
independen dan objektif untuk meningkatkan efisiensi dan efektifitas manajemen
risiko, pengendalian intern dan tata kelola yang baik.
Pedoman ini dimaksudkan untuk menjadi pedoman minimal bagi Bank dalam
melaksanakan audit intern pada bidang TI.
Audit intern Teknologi Informasi merupakan bagian dari Satuan Kerja Audit
Intern (SKAI) yang independen dari tugas operasional baik secara organisasi maupun
fungsinya. Dalam rangka melaksanakan kegiatannya, audit Intern harus memperoleh
dukungan dari manajemen yang diformalkan dalam Audit Charter. Audit Charter
minimal berisikan informasi mengenai kedudukan, tujuan dan ruang lingkup kerja,
tugas, wewenang dan tanggung jawab audit Intern. Audit Charter tersebut juga memuat
pernyataan independensi terhadap kegiatan operasional dari auditee dan pernyataan
bahwa setiap aktivitas Bank harus masuk dalam ruang lingkup audit intern Bank.
Keberhasilan audit intern TI memerlukan dukungan Dewan Komisaris, Komite
Audit dan Direksi. Ketiga pihak tersebut perlu memastikan kerja sama antara
manajemen satuan kerja TI dan manajemen satuan pengguna Teknologi Informasi
dengan satuan kerja audit TI. Disamping itu ketiga pihak tersebut perlu pula
memastikan bahwa implementasi pengendalian dan pelaksanaan prosedur dan standar
dilakukan oleh satuan kerja TI dan satuan kerja pengguna TI. Demikian juga perlu
dipastikan bahwa proses audit mencakup upaya verifikasi dan pemantauan
520
BAB IX–AUDIT
implementasi pengendalian dan pelaksanaan prosedur dan standar secara memadai,

tepat waktu dan independen.
9.2.1 Tugas Satuan Kerja Audit Intern

Agar audit intern TI efektif dan dapat menjamin integritas data dan menunjang
kelangsungan operasional Bank, SKAI sekurang-kurangnya melakukan beberapa hal
berikut:
a. menyusun dan mengkinikan pedoman kerja yang sekurang-kurangnya mencakup
standar baku prosedur pemeriksaan, kertas kerja dan pelaporan hasil pemeriksaan;
b. mengidentifikasi area risiko TI yang akan menjadi fokus audit;
c. melakukan evaluasi terhadap fungsi dan kecukupan pengendalian intern dalam
sistem informasi Bank;
d. memastikan penerapan prinsip kerahasiaan (confidentiality), integritas (integrity)
dan ketersediaan (availability) TI;
e. mengevaluasi efektifitas perencanaan dan pengawasan penyelenggaraan TI yang
dilakukan oleh satuan kerja TI dan satuan kerja pengguna TI;
f. mengevaluasi kepatuhan TI Bank terhadap ketentuan intern, ketentuan Bank
Indonesia dan ketentuan perundang-undangan yang berlaku serta international best
practices (misalnya ISO, IEC, COBIT, IT-IL, Capability Maturity Model);
g. menyarankan alternatif perbaikan untuk mengatasi kekurangan aspek-aspek terkait
TI khususnya di bidang pengamanan;
h. melakukan pemantauan terhadap tindak lanjut atas hasil audit;
i. berperan sebagai nara sumber dalam aspek pengendalian dalam hal Bank
melakukan pengembangan penyelenggaraan TI seperti pengembangan aplikasi.
9.2.2 Peranan Dewan Komisaris

Tugas utama komisaris terkait penggunaan TI antara lain melakukan evaluasi terhadap
perencanaan dan pelaksanaan audit, memastikan audit dilaksanakan dengan frekuensi
dan lingkup yang memadai serta melakukan pemantauan atas tindak lanjut hasil audit.
9.2.3 Peranan Direksi

Adapun peran dan tanggung jawab Direktur Utama antara lain:
a. menetapkan pedoman, sistem dan prosedur audit intern;
b. memastikan terselenggaranya fungsi audit TI oleh sumber daya yang kompeten dan
independen;
c. memastikan sumber daya manusia pelaksana audit intern TI memadai dan
berkualitas serta memperoleh pendidikan dan pelatihan TI yang diperlukan secara
berkelanjutan sehingga dapat mengikuti perkembangan TI;
d. menyetujui rencana audit sebelum dilaksanakan.
521
BAB IX–AUDIT
9.2.4 Peranan Komite Audit

Peran dan tanggung jawab Komite Audit :
1. melakukan pemantauan dan evaluasi atas perencanaan dan pelaksanaan audit TI
yang cukup dengan frekuensi dan lingkup audit yang memadai;
2. pemantauan tindak lanjut hasil audit oleh direksi atas hasil temuan SKAI, akuntan
publik dan hasil pengawasan Bank Indonesia.
9.3. PEDOMAN AUDIT TI
Bank perlu memiliki pedoman audit TI tertulis dan disetujui oleh direksi. Kompleksitas
pedoman audit TI disesuaikan dengan tujuan, kebijakan usaha, ukuran dan
Pedoman audit TI antara lain berisi kebijakan dan prosedur yang diperlukan
oleh fungsi audit intern TI dan kebijakan dan prosedur pelaksanaan fungsi audit
intern oleh pihak lain apabila diperlukan oleh Bank. Pedoman tersebut disamping
digunakan sebagai sarana untuk mencapai hasil audit yang efektif dan efisien, juga
merupakan pedoman dalam menilai kinerja fungsi audit intern TI. Pedoman tersebut
harus memuat kebijakan, prosedur dan standar untuk setiap tahap dalam siklus
audit.
9.3.1. Kebijakan Umum Audit

Pedoman audit intern TI paling kurang mencakup kebijakan umum mengenai:
a. pernyataan visi dan misi fungsi audit intern TI;
b. struktur organisasi dan sistem pelaporan;
c. proses penilaian risiko yang menggambarkan risiko inheren di setiap
satuan kerja penyelenggara TI dan satuan kerja pengguna TI yang
dikinikan secara berkala dan dijadikan dasar untuk perencanaan audit
intern TI;
d. penentuan frekuensi dan jadwal audit yang minimal akan diterapkan Bank
untuk audit TI. Audit terhadap penyelenggaraan TI harus direncanakan dan
dilaksanakan sekurang-kurangnya 1 (satu) kali dalam setahun terhadap aspek-aspek
yang terkait TI sesuai kebutuhan, prioritas dan hasil analisis risiko TI Bank.
Sedangkan untuk aplikasi Core Banking, keseluruhan modul hendaknya diperiksa
oleh audit intern TI sekurang-kurangnya sekali dalam 3 (tiga) tahun;
e. prosedur audit intern TI untuk setiap aktivitas yang memerlukan audit TI.
9.3.2. Perencanaan Audit

SKAI Bank harus memiliki perencanaan audit tahunan dengan cakupan audit
berdasarkan profil risiko pada masing-masing aktivitas terkait TI baik di satuan kerja
522
BAB IX–AUDIT
TI maupun di satuan kerja pengguna TI. Dalam melakukan penilaian risiko, audit
intern TI sekurang-kurangnya melakukan beberapa hal sebagai berikut:
a. mengidentifikasi data, aplikasi dan sistem operasi, teknologi, fasilitas dan personil;
b. mengidentifikasi kegiatan dan proses bisnis yang menggunakan TI;
c. mempertimbangkan skala prioritas berdasarkan dampak dan kemungkinan
terjadinya risiko atas kegiatan bisnis terkait dengan TI.
Perencanaan Audit harus mendapat persetujuan dari Presiden Direktur atau Direktur
Utama.
9.3.3. Pelaksanaan Audit

Dalam rangka melaksanakan rencana tahunan audit, program audit (AWP/audit
working program) wajib disusun untuk setiap penugasan audit, yang sekurang-
kurangnya mencakup:
a. organisasi, kewenangan dan tanggung jawab dari auditor;
b. cakupan audit sesuai hasil penilaian risiko;
c. tujuan audit, jadwal, jumlah auditor, anggaran dan pelaporan;
d. outline langkah teknis audit yang diperlukan untuk mencapai tujuan audit.
Dalam pelaksanaan tugasnya, audit intern TI harus memperhatikan aspek-aspek
kerahasiaan terhadap data dan informasi yang diperolehnya. SKAI Bank harus
memperhatikan fleksibilitas AWP agar dapat disesuaikan dan dilengkapi sesuai dengan
risiko yang diidentifikasi.
Temuan audit harus disertai dengan bukti-bukti dan kertas kerja pemeriksaan yang
didokumentasikan dengan baik. Untuk itu pedoman audit wajib dilengkapi dengan
standar kertas kerja, isi dan format laporan hasil audit, dokumentasi dan
distribusi serta pemantauan tindak Ianjutnya.
Auditor intern TI perlu berperan dalam pengembangan aplikasi utama, pengadaan,
konversi dan testing namun tidak sebagai penentu dapat tidaknya aplikasi yang
dikembangkan atau diadakan diimplementasikan, melainkan berpartisipasi sebagai nara
sumber dalam aspek pengendalian khususnya mengenai standar pengamanan yang
diperlukan. Peran ini diperlukan agar auditor TI dapat menjaga independensi dan
obyektifitas dalam pemeriksaan yang akan dilakukan nanti apabila sistem aplikasi telah
diimplementasikan.
9.3.4. Pelaporan
Laporan Hasil Audit Intern TI disusun berdasarkan format laporan yang didukung oleh
kertas kerja audit yang ditetapkan dalam pedoman audit intern. Laporan tersebut
merupakan sarana bagi manajemen untuk membantu melakukan penilaian terhadap
kualitas dan kinerja satuan kerja TI, serta memberikan saran perbaikannya. Laporan
hasil audit intern TI harus disampaikan kepada satuan kerja yang diperiksa. Disamping
itu laporan tersebut disampaikan secara tepat waktu kepada Direktur Utama dan
523
BAB IX–AUDIT
Dewan Komisaris/Komite Audit dengan tembusan kepada Direktur Kepatuhan.

Laporan Hasil Audit Intern TI disampaikan juga kepada Bank Indonesia sebagai
bagian dari Laporan Pelaksanaan dan Pokok-Pokok Hasil Audit Intern sebagaimana
diatur dalam ketentuan mengenai penerapan standar pelaksanaan fungsi audit intern.
9.3.5. Tindak Lanjut Audit

Auditee harus memberikan tanggapan terhadap hasil pemeriksaan dan apabila temuan
perlu ditindaklanjuti maka Auditee harus memberikan komitmen dan target waktu
penyelesaiannya. Selanjutnya, SKAI harus memonitor pelaksanaan komitmen auditee
atas hasil pemeriksaan secara berkala dan melakukan verifikasi terhadap perbaikan
yang sudah dilakukan.
Audit intern harus memelihara dokumentasi atas hasil tindak lanjut tersebut. Laporan
tindak lanjut hasil pemeriksaan disampaikan kepada Direktur Utama dan Dewan
Komisaris/Komite Audit dengan tembusan kepada Direktur Kepatuhan.
9.4. AUDIT INTERN TI YANG DILAKSANAKAN OLEH PIHAK LAIN

Dalam hal terdapat keterbatasan kemampuan fungsi audit intern atas Teknologi
Informasi Bank maka pelaksanaan fungsi audit intern dapat dilakukan oleh auditor
ekstern seperti Kantor Akuntan Publik, Lembaga Audit TI Independen atau auditor
intern kantor induk bagi bank yang dimiliki bank asing. Penggunaan auditor ekstern
untuk melaksanakan fungsi audit intern atas Teknologi Informasi Bank tidak
mengurangi tanggung jawab pimpinan Satuan Kerja Audit Intern Bank atas temuan
audit dan tindak lanjutnya.
Penggunaan pihak lain sebagai auditor intern TI tersebut wajib
mempertimbangkan kompleksitas produk dan skala usaha Bank. Pelaksanaan audit
intern TI oleh auditor ekstern tetap memperhatikan aspek kompetensi (antara lain
pengetahuan dan pengalaman yang memadai) dan independensi serta didasari dengan
suatu kontrak kerja. Meskipun pelaksanaan audit intern diserahkan kepada auditor
ekstern namun prosedur audit TI yang dilaksanakan tetap harus mengacu kepada
kebijakan dan prosedur audit TI yang dimiliki oleh Bank.
9.5. AUDIT INTERN TERHADAP AKTIVITAS YANG DISELENGGARAKAN

OLEH PIHAK LAIN
Agar penggunaan penyedia jasa penyelenggara Teknologi Informasi dapat menunjang

kemampuan Bank untuk mengelola bisnisnya secara efektif maka aktivitas tersebut
juga merupakan ruang lingkup audit intern Bank. Fungsi audit intern Bank wajib
memastikan pengendalian yang dioperasikan oleh pihak penyedia jasa dan melakukan
pengujian atas efektivitas pengendalian tersebut. Bank harus memastikan bahwa
perjanjian dengan pihak penyedia jasa mencakup klausul penyediaan hak akses bagi
524
BAB IX–AUDIT
auditor intern Bank dan tidak keberatan untuk diaudit oleh auditor intern Bank. Akses
yang disediakan tersebut wajib diberikan baik secara logik maupun phisik.
9.6. KAJI ULANG FUNGSI AUDIT INTERN TI
Bank wajib melakukan kaji ulang atas fungsi audit intern atas penggunaan
Teknologi Informasi paling kurang setiap 3 (tiga) tahun sekali. Kaji ulang tersebut
wajib menggunakan jasa pihak ekstern yang independen dan bekerja secara
independen. Yang dimaksud dengan independen adalah pihak diluar Bank yang tidak
memiliki hubungan keuangan, kepengurusan, kepemilikan saham atau hubungan lain
yang dapat mempengaruhi kemampuannya untuk bertindak independen. Yang
dimaksud dengan bekerja secara independen adalah dapat mengungkapkan pandangan
serta pemikiran sesuai dengan profesi, dengan tidak memihak terhadap kepentingan
pihak lain.
Kaji ulang yang dilakukan sekurang-kurangnya menilai hasil kerja SKAI dan
kepatuhan terhadap ketentuan yang terkait dengan Standar Pelaksanaan Fungsi Audit
Intern Bank dan manajemen risiko termasuk manajemen risiko dalam penggunaan
teknologi informasi serta ketentuan lainnya. Hasil kaji ulang disertai saran perbaikan
dilaporkan kepada Bank Indonesia dan merupakan bagian dari laporan kaji ulang fungsi
audit intern (SKAI) sebagaimana diatur dalam ketentuan mengenai penerapan standar
pelaksanaan fungsi audit intern.
525
BAB X- Penggunaan Penyedia Jasa TI
BAB X
PENGGUNAAN PIHAK PENYEDIA JASA
TEKNOLOGI INFORMASI
10.1. PENDAHULUAN
Dalam rangka meningkatkan efektivitas dan efisiensi pencapaian tujuan

strategis, Bank dimungkinkan menggunakan pihak penyedia jasa TI. Yang dimaksud
dengan menggunakan pihak penyedia jasa teknologi informasi adalah penggunaan jasa
pihak lain dalam menyelenggarakan kegiatan Teknologi Informasi yang menyebabkan
Bank memiliki ketergantungan terhadap jasa yang diberikan secara berkesinambungan
dan atau dalam periode tertentu.
Penggunaan pihak penyedia jasa TI dapat mempengaruhi risiko Bank antara
lain risiko operasional, kepatuhan, hukum dan reputasi yang dapat timbul antara lain
karena adanya kegagalan penyedia jasa dalam menyediakan jasa, pelanggaran terhadap
pengamanan atau ketidakmampuan untuk mematuhi hukum dan peraturan yang
berlaku. Untuk memastikan Bank menjalankan usahanya secara sehat dan aman,
operasional TI yang dilakukan oleh penyedia jasa TI juga menjadi objek pengaturan
dan pengawasan dari otoritas pengawas Bank. Bank Indonesia sebagai otoritas
pengawas Bank memiliki kewenangan untuk mengawasi semua aktivitas dan catatan
keuangan Bank baik yang dilakukan oleh Bank sendiri atau oleh pihak lain. Untuk itu
pemeriksaan dan pengawasan Bank tidak boleh terhambat dengan adanya pengalihan
fungsi-fungsi operasional Bank ke pihak lain.
10.2. TANGGUNG JAWAB MANAJEMEN
Manajemen Bank bertanggungjawab penuh terhadap penerapan manajemen

risiko atas seluruh aktivitas yang terkait dengan penggunaan pihak penyedia jasa
dalam penyelenggaraan TI Bank. Apabila Bank menyerahkan penyelenggaraan TI
kepada pihak lain, tanggung jawab akhir (accountability) tetap berada pada Bank
meskipun day-to-day responsibility telah dipindahkan kepada pihak penyedia jasa.
Dengan demikian tanggung jawab manajemen tidak hilang atau menjadi berkurang
dengan adanya penggunaan penyedia jasa TI. Untuk itu, manajemen Bank wajib
mengelola risiko yang ditimbulkan dari kegiatan tersebut secara efektif antara lain
dengan:
a. memahami risiko-risiko secara menyeluruh yang dapat timbul sehubungan dengan
pengunaan jasa pihak lain untuk menyelenggarakan sebagian atau keseluruhan
operasional TI Bank;
526
b. penggunaan pihak penyedia jasa TI memberikan konsekuensi Bank membagi

informasi sensitif kepada penyedia jasa, oleh karena itu manajemen wajib
melakukan evaluasi kemampuan penyedia jasa untuk menjaga tingkat keamanan
paling tidak sama atau lebih ketat dari standar pengamanan Bank. Untuk itu
pengawasan dan pemantauan harus dilakukan secara memadai untuk memastikan
kecukupan perlindungan terhadap keamanan informasi tersebut;
c. mengevaluasi calon penyedia jasa berdasarkan cakupan dan faktor kritikal dari
jasa yang dikerjakan oleh pihak penyedia jasa;
d. mempertimbangkan beberapa alternatif pemilihan penyedia jasa yang lain apabila
aktivitas yang akan diserahkan penyelenggaraannya kepada pihak penyedia jasa
adalah penting;
e. melakukan kajian dalam rangka menilai kehandalan pihak penyedia jasa baik yang
menyangkut kinerja, reputasi penyedia jasa dan kelangsungan penyediaan layanan
dalam rangka melakukan pemilihan alternatif-alternatif pihak penyedia jasa Bank;
f. memastikan Bank memiliki cukup keahlian untuk mengawasi dan mengelola
hubungan kerjasama dengan penyedia jasa termasuk menerapkan pengendalian
yang efektif;
g. memastikan setiap hubungan kerja sama dengan penyedia jasa dapat ditangani
dengan baik oleh Bank dan dapat memenuhi kebutuhan kegiatan operasional Bank
serta sejalan dengan rencana strategis Bank;
h. memastikan Bank memiliki dokumentasi terkait dengan aktivitas penyediaan jasa
TI antara lain prosedur, tugas/tanggungjawab dan mekanisme pelaporan;
i. melakukan pengawasan secara berkesinambungan atas aktivitas Bank yang
dilakukan oleh pihak lain untuk mengatasi risiko yang telah diidentifikasi dan untuk
mengevaluasi perubahan-perubahan risiko yang terjadi pada saat pelaksanaan
operasional TI dibandingkan dengan pada saat penilaian awal;
j. melakukan review kontrak/perjanjian secara berkala untuk mengetahui kesesuaian
dengan kebutuhan dan kondisi Bank terkini;
k. khusus untuk penggunaan jasa TI yang memiliki eksposure risiko tinggi
(berdasarkan hasil Business Impact Analysis) seperti penyelenggaraan Data Center
dan Disaster Recovery Center, sebaiknya Bank menggunakan konsultan hukum
sejak awal proses rencana penggunaan jasa pihak lain untuk mengkaji proposal
yang disampaikan pihak penyedia jasa dan membantu menyiapkan perjanjian agar
Bank dapat memahami risiko hukum yang ada dan menerapkan mitigasi risiko yang
diperlukan.
Dalam menyerahkan penyelenggaraan TI kepada pihak lain, Direksi bertanggung jawab

untuk:
a. menetapkan kebijakan dan prosedur yang akan digunakan Bank dalam rangka
mengevaluasi risiko dan dampak dari penggunaan jasa pihak lain yang ada maupun
yang akan digunakan;
527
b. mengatur kewenangan persetujuan penggunaan pihak penyedia jasa TI sesuai

dengan jenis risiko dan dampaknya;
c. mengembangkan kebijakan dan prosedur manajemen risiko yang baik dan responsif
atas penggunaan jasa pihak ketiga sesuai dengan sifat, cakupan dan
kompleksitasnya;
d. memastikan adanya kaji ulang atas relevansi, keamanan, kehandalan strategi dan
kecukupan perjanjian secara berkala.
Dalam menyerahkan penyelenggaraan TI kepada pihak lain, Pejabat Tertinggi TI
bertanggung jawab untuk:
a. menerapkan kebijakan dan prosedur manajemen risiko yang baik dan responsif atas
penggunaan jasa pihak ketiga sesuai dengan sifat, cakupan dan kompleksitasnya;
b. mengkaji ulang keefektifan kebijakan dan prosedur secara berkala;
c. memastikan bahwa rencana kontinjensi telah disusun dan diuji berdasarkan
skenario dengan mempertimbangkan berbagai jenis gangguan;
d. memastikan adanya kaji ulang dan audit oleh pihak independen terhadap kepatuhan
pada kebijakan yang telah dibuat.

10.3.1. Kebijakan Umum
Bank wajib memiliki pedoman mengenai penyelenggaraan TI kepada pihak lain yang
sekurang-kurangnya mengatur hal-hal:
a. standar prosedur pemilihan penyediaan jasa;
b. standar isi perjanjian kontrak kerja dengan penyedia jasa;
c. standar sistem pengamanan, akurasi dan integritas terhadap sistem teknologi yang
harus dipenuhi oleh penyedia jasa;
d. pengamanan dan kerahasiaan informasi khususnya informasi nasabah;
e. evaluasi risiko dan dampak penggunaan jasa pihak lain;
f. hal-hal lain yang wajib dilakukan Bank dalam penyelenggaraan TI oleh pihak lain
sesuai ketentuan yang diatur dalam Peraturan Bank Indonesia tentang Penerapan
Manajemen Risiko dalam Penggunaan TI.
10.3.2. Proses Pemilihan Penyedia Jasa

10.3.2.1. Pendefinisian Kebutuhan
Perumusan kebutuhan bisnis akan penggunaan jasa pihak lain wajib dilakukan
sebelum Bank memutuskan akan menggunakan jasa pihak lain, diantaranya
melalui:
a. proses pengidentifikasian secara spesifik mengenai fungsi atau aktivitas yang
akan diserahkan penyelenggaraannya kepada pihak penyedia jasa;
b. proses penilaian risiko yang dapat timbul akibat penyerahan penyelenggaraan
fungsi atau aktivitas tersebut; dan
528
c. penetapan dasar yang akan digunakan untuk mengidentifikasi pengukuran

pengendalian yang memadai.
Tahap pendefinisian kebutuhan tersebut diatas harus menghasilkan suatu dokumen
yang berisi secara rinci gambaran mengenai harapan Bank terhadap jasa yang akan
dikerjakan oleh penyedia jasa. Isi dari dokumen tersebut mencakup beberapa
komponen berikut ini:
a. cakupan dan karakteristik dari layanan, teknologi yang digunakan dan
dukungan kepada nasabah;
b. standar dan tingkat layanan meliputi ketersediaan dan kinerja, change
management, kualitas layanan, keamanan, kelangsungan usaha;
c. karakteristik minimal yang harus dipenuhi oleh penyedia jasa yang akan
digunakan seperti pengalaman, arsitektur teknologi dan sistem, process control,
kondisi keuangan, referensi mengenai reputasi;
d. pemantauan dan pelaporan meliputi kriteria yang akan digunakan dalam
pemantauan dan pelaporan baik untuk Bank maupun untuk pihak ketiga;
e. persyaratan yang harus dipenuhi baik dari sisi sistem, data maupun training
personil saat transisi atau migrasi ke sistem yang disediakan pihak penyedia
jasa;
f. jangka waktu kontrak, penghentian dan isi minimal dari kontrak;
g. perlindungan kontrak terhadap kewajiban seperti pembatasan kewajiban dan
ganti rugi serta asuransi.
Apabila penyelenggaraan kegiatan atau fungsi yang didefinisikan tersebut

dipertimbangkan untuk dilakukan oleh pihak terkait Bank maka manajemen Bank
harus memastikan bahwa persiapan yang dilakukan tidak akan berbeda dari apabila
akan dilakukan oleh pihak tidak terkait dengan Bank.
10.3.2.2. Permintaan Proposal dari Penyedia Jasa

Proses pemilihan penyedia jasa dimulai dengan permintaan proposal dari
penyedia jasa. Proposal yang diajukan harus menjelaskan secara rinci kebutuhan
Bank seperti cakupan dan jenis pekerjaan yang akan dilakukan, ekspektasi level
jasa produksi, jangka waktu penyelesaian, pengukuran pekerjaan dan
pengendaliannya, pengamanan dan kelangsungan bisnis.
Pada saat Bank mengevaluasi proposal, terdapat kemungkinan
ditemukannya ketidaksesuaian dengan permintaan Bank. Oleh karena itu Bank
harus mengevaluasi perbedaan tersebut dan dampaknya terhadap sasaran dan jasa
yang diharapkan Bank. Diantaranya, Bank harus dapat mengkaji kebijakan pihak
penyedia jasa yang terkait dengan kepentingan audit penyelenggaraan TI Bank
karena akses auditor intern, ekstern maupun Bank Indonesia tidak boleh dikurangi.
Dengan demikian data dan informasi yang diperlukan dari penyelenggaraan TI
tetap dapat diperoleh secara tepat waktu setiap kali dibutuhkan meskipun TI yang
529
digunakan Bank tidak diselenggarakan sendiri oleh Bank. Untuk itu surat
pernyataan harus termasuk dalam proposal yang disampaikan oleh pihak penyedia
jasa. Selanjutnya apabila proposal tersebut telah memenuhi kebutuhan atau sesuai
definisi kebutuhan yang telah dibuat Bank maka Bank melakukan negosiasi
penyelesaian dengan penyedia jasa sebelum pembuatan kontrak.
10.3.2.3. Due Diligence Penyedia Jasa

Due diligence perlu dilakukan untuk menilai kondisi keuangan, reputasi, kemampuan
teknis, kemampuan operasional, strategi pengembangan di masa mendatang,
kemampuan untuk mengikuti inovasi di pasar dan mempunyai reputasi yang baik
dalam industri perbankan. Dengan demikian Bank mendapatkan keyakinan bahwa
penyedia jasa mampu memenuhi kebutuhan Bank. Pada saat due diligence, Bank
harus melakukan evaluasi dan menilai informasi-informasi yang terkait dengan
penyedia jasa yaitu antara lain meliputi:
a. eksistensi dan sejarah perusahaan;
b. kualifikasi, latar belakang dan reputasi pemilik perusahaan;
c. perusahaan lain yang menggunakan jasa yang sama dari penyedia jasa sebagai
referensi;
d. kondisi keuangan termasuk review atas laporan keuangan audited;
e. kemampuan dan efektivitas pemberian jasa, termasuk dukungan purna jual;
f. teknologi dan arsitektur sistem;
g. lingkungan pengendalian intern, sejarah pengamanan dan cakupan audit;
h. kepatuhan terhadap hukum dan ketentuan yang berlaku;
i. kepercayaan dan keberhasilan dalam berhubungan dengan sub kontraktor;
j. jaminan asuransi;
k. kemampuan untuk menyediakan disaster recovery dan business continuity;
l. penerapan manajemen risiko;
m. laporan hasil pemeriksaan pihak independen.
Due diligence yang dilakukan Bank selama proses pemilihan wajib

didokumentasikan dengan baik dan dilakukan kembali secara berkala sebagai
bagian dari proses pemantauan dan kontrol. Dalam melakukan due diligence secara
berkala ini sebaiknya Bank memperhatikan perubahan atau perkembangan yang ada
selama kurun waktu sejak due diligence terakhir dengan menggunakan informasi
terkini.
10.3.2.4. Penentuan Penyedia Jasa
Dalam menentukan penyedia jasa yang dipilih untuk digunakan oleh Bank dalam
menyelenggarakan TI Bank maka Bank harus memperhatikan hal-hal dibawah ini:
530
a. oleh karena penggunaan pihak penyedia jasa tidak mengurangi tanggung jawab
Bank dalam menerapkan manajemen risiko maka Bank harus melakukan
evaluasi atas penerapan manajemen risiko pihak penyedia jasa;
b. oleh karena Bank harus mampu untuk melakukan pengawasan atas pelaksanaan
kegiatan Bank yang diselenggarakan oleh pihak penyedia jasa Teknologi
Informasi maka Bank harus memastikan bahwa laporan-laporan yang
diperlukan untuk memantau kinerja pihak penyedia jasa telah memadai
termasuk bila program pengawasan ternyata diperlukan;
c. cost and benefit analysis yang dilakukan untuk setiap alternatif yang akan
dipilih harus mendalam dan memenuhi jangka waktu penggunaan jasa yang
direncanakan sesuai Rencana Strategis TI & Rencana Bisnis;
d. dalam mengkaji setiap alternatif, manajemen Bank harus memastikan satuan
kerja Teknologi Informasi di Bank memberikan pendapat dan hasil analisisnya;
e. pihak penyedia jasa menerapkan prinsip pengendalian TI secara memadai
termasuk physical security dan logical security. Khusus untuk penyelenggaraan
Data Center, DRC dan Pemrosesan Berbasis TI harus dipastikan bahwa pihak
penyedia jasa dapat menyampaikan hasil audit terkini atas Teknologi Informasi
yang dilakukan oleh pihak independen;
f. dalam rangka memantau dan mengevaluasi kehandalan pihak penyedia jasa
secara berkala, baik yang menyangkut kinerja, reputasi penyedia jasa dan
kelangsungan penyediaan layanan, Bank dapat memperoleh informasi dari
berbagai sumber termasuk laporan tahunan pihak penyedia jasa TI tersebut;
g. Bank harus mempelajari apakah akses terhadap database dapat dilakukan oleh
Bank Indonesia dapat dilakukan setiap saat baik diperlukan untuk data terkini
maupun untuk data yang telah lalu;
h. apabila pihak penyedia jasa TI merupakan pihak terkait dengan Bank, Bank
tetap wajib melakukan proses seleksi. Dokumen penyeleksian harus dapat
menunjukan bahwa pertimbangan-pertimbangan telah dilakukan dengan
menganut “hubungan kerja sama secara wajar (arm's length principle)”.
10.3.3. Perjanjian Penyediaan Jasa

Setelah memilih sebuah perusahaan penyedia jasa, manajemen membuat perjanjian
tertulis dengan penyedia jasa. Isi proposal sebagaimana dipersyaratkan pada proses
sebelumnya dapat dijadikan masukan dalam proses ini. Perjanjian merupakan dokumen
hukum yang mendefinisikan seluruh aspek dari hubungan dengan pihak penyedia jasa
dan menjadi alat kontrol utama.
10.3.3.1. Penyusunan Perjanjian Penyediaan Jasa

Hal-hal minimum yang wajib diatur dalam kontrak antara lain meliputi:
a. cakupan pekerjaan/jasa;
531
b. biaya dan jangka waktu perjanjian kerjasama;

c. hak dan kewajiban Bank maupun pihak penyelenggara jasa;
d. jaminan pengamanan dan kerahasiaan data, terutama data nasabah. Data hanya
bisa diakses oleh pemilik data (Bank);
e. Service Level Agreement (SLA), berisi mengenai standar kinerja seperti tingkat
pelayanan yang diperjanjikan (service levels) dan target kinerja;
f. harus ditetapkan bahwa SLA tetap berlaku apabila terjadi perubahan kepemilikan
baik pada Bank maupun penyedia jasa;
g. laporan hasil pemantauan kinerja penyedia jasa yang terkait dengan SLA;
h. batasan risiko yang ditanggung oleh Bank dan penyedia jasa, diantaranya:
1) risiko perubahan ruang lingkup kontrak;
2) perubahan ruang lingkup bisnis dan organisasi perusahaan penyedia jasa;
3) perubahan aspek hukum serta regulasi;
4) aspek hukum yang meliputi hak cipta, paten dan trade mark;
i. subkontraktor, apabila pihak penyedia jasa melakukan subkontrak sebagian
kegiatannya maka persetujuan Bank harus secara tertulis;
j. tersedianya sarana komunikasi on-line, pengamanan terhadap akses dan transmisi
data, dari dan ke Data center, Disaster Recovery Center, dan Pemrosesan
Transaksi Berbasis TI;
k. pengaturan yang jelas mengenai backup, contingency, record protection termasuk
hardware, equipment, software dan data files, untuk menjamin kelangsungan
penyelenggaraan TI;
l. pengaturan mengenai pengamanan dalam pengiriman source document yang
diperlukan dari dan ke Data center, Disaster Recovery Center, dan Pemrosesan
Transaksi Berbasis TI. Pihak yang bertanggungjawab sebaiknya menutup asuransi
yang cukup;
m. kesediaan diaudit baik oleh intern Bank, Bank Indonesia atau pihak ekstern yang
ditunjuk oleh Bank maupun oleh Bank Indonesia dan tersedianya informasi untuk
keperluan pemeriksaan, termasuk hak akses, baik secara logic maupun physical
terhadap data yang dikelola oleh penyedia jasa;
n. pihak penyedia jasa wajib memberikan dokumen teknis kepada Bank terkait
dengan jasa yang dikerjakan oleh penyedia jasa antara lain alur proses TI dan
struktur database;
o. pihak penyedia jasa harus melaporkan setiap kejadian yang kritis yang dapat
mengakibatkan kerugian keuangan dan atau mengganggu kelancaran operasional
Bank;
p. khusus untuk penyelenggaraan Data Center, DRC dan Pemrosesan Berbasis TI,
pihak penyedia jasa wajib menyampaikan kepada Bank laporan keuangan terkini
yang telah diaudit setiap tahun dan laporan hasil pemeriksaan pihak independen
terhadap fasilitas TI yang menjadi obyek perjanjian secara berkala;
532
q. tanggung jawab penyedia jasa TI dalam menyediakan sumber daya manusia yang
memiliki kualifikasi dan kompetensi sesuai jasa yang disediakan sehingga
terjaminnya operasional Bank;
r. rencana pelatihan sumber daya manusia, baik jumlah yang dilatih, bentuk
pelatihan maupun biaya yang diperlukan. Pihak penyedia jasa wajib melakukan
transfer knowledge kepada Bank, sehingga terdapat personil satuan kerja
Teknologi Informasi di Bank yang memahami TI yang digunakan Bank terutama
alur proses TI dan struktur database dari sistem aplikasi yang disediakan oleh
pihak penyedia jasa tersebut;
s. kepemilikan dan hak cipta (license);
t. garansi bahwa penyedia jasa masih akan mendukung jasa yang diberikan kepada
Bank selama periode tertentu setelah implementasi;
u. pengakhiran/pemutusan kontrak termasuk dalam hal atas permintaan Bank
Indonesia;
v. sanksi dan penalti terhadap alasan-alasan yang tidak jelas terhadap pembatalan
kontrak dan pelanggaran isi kontrak;
w. kepatuhan pada hukum dan ketentuan yang berlaku di Indonesia termasuk
penyelesaian jika terjadi perselisihan.
10.3.3.2. Klausula Khusus

Dalam kontrak yang dibuat antara Bank dengan penyedia jasa harus dicantumkan
klausula khusus mengenai kemungkinan mengubah, membuat perjanjian baru atau
mengambil alih kegiatan yang diselenggarakan oleh pihak penyedia jasa maupun
penghentian perjanjian sebelum jangka waktu berakhirnya perjanjian. Termasuk
dalam hal ini atas permintaan Bank Indonesia apabila diperlukan dalam rangka
pelaksanaan tugas Bank Indonesia selaku otoritas pengawas perbankan. Bank harus
mampu mengukur risiko dan efisiensi dari penyelenggaraan TI yang diserahkan
kepada pihak penyedia jasa sehingga Bank dapat mengetahui secara dini bila
terdapat kondisi-kondisi sebagai berikut:
a. memburuknya kinerja penyelenggaraan kegiatan Bank oleh pihak penyedia jasa
yang dapat berdampak signifikan pada kegiatan usaha Bank;
b. tingkat solvabilitas pihak penyedia jasa tidak memadai, dalam proses menuju
likuidasi atau dipailitkan oleh pengadilan;
c. terdapat pelanggaran terhadap ketentuan rahasia Bank dan data pribadi nasabah;
dan atau
d. terdapat kondisi yang menyebabkan Bank tidak dapat menyediakan data yang
diperlukan dalam rangka pengawasan yang efektif oleh Bank Indonesia.
Bila Bank menemukan hal-hal tersebut diatas maka Bank wajib melakukan hal
sebagai berikut:
533
a. melaporkan kepada Bank Indonesia paling lambat 3 hari kerja setelah kondisi
tersebut di atas diketahui oleh Bank;
b. memutuskan tindak lanjut yang akan diambil untuk mengatasi permasalahan
termasuk penghentian penggunaan jasa apabila diperlukan;
c. melaporkan kepada Bank Indonesia segera setelah Bank menghentikan
penggunaan jasa sebelum berakhirnya jangka waktu perjanjian.
Untuk menjaga kelangsungan usaha Bank dalam hal penghentian penggunaan jasa
dilakukan sebelum berakhirnya kontrak maka Bank harus memiliki contingency
plan yang teruji dan memadai.
10.3.4. Penyedia Jasa Berlokasi di Luar Indonesia

Pada prinsipnya Pusat Data (Data Center) dan/atau Disaster Recovery Center
hendaknya diselenggarakan di dalam negeri. Apabila proses dari pendefinisian
kebutuhan yang dilakukan oleh Bank sebelum Bank memutuskan akan menggunakan
jasa pihak lain ternyata menghasilkan kebutuhan bisnis akan penggunaan jasa pihak
lain di luar negeri untuk menyelenggarakan pusat data (Data Center) dan Disaster
Recovery Center maka Bank dapat mempertimbangkan penggunaan jasa pihak lain di
luar negeri. Satu hal yang harus dipahami oleh Bank-Bank yang merencanakan
penggunaan penyedia jasa di luar negara Indonesia bahwa rencana tersebut tidak boleh
merupakan upaya untuk menghindari/menghambat pengawasan atau pemeriksaan oleh
Bank Indonesia. Sama halnya dengan penggunaan penyedia jasa TI domestik,
penggunaan jasa TI pihak asing atau berlokasi di luar Indonesia harus melalui prosedur
yang sama yaitu mulai dari due diligence, pemilihan penyedia jasa, pembuatan kontrak
dan pengawasan, namun karena terkait dengan perbedaan yurisdiksi maka terdapat
persyaratan lain yang harus diperhatikan oleh Bank. Bank yang akan
menyelenggarakan Pusat Data (Data Center), Disaster Recovery Center dan/atau
Pemrosesan Transaksi Berbasis Teknologi di luar negeri harus mendapat persetujuan
dari Bank Indonesia terlebih dahulu. Persetujuan tersebut termasuk untuk
penyelenggaraan pada kantor Bank, kantor induk maupun kelompok usaha Bank di
luar negeri. Sedangkan penggunaan pihak penyedia jasa di luar negeri untuk kegiatan
TI lainnya seperti pengembangan program dan aplikasi yang digunakan Bank serta
pemeliharaan hardware & software dapat mempergunakan pihak penyedia jasa di luar
negeri tanpa harus terlebih dahulu mendapatkan persetujuan Bank Indonesia sepanjang
tunduk kepada atau memenuhi ketentuan pada Pasal 18 PBI Penerapan Manajemen
Risiko dalam Penggunaan TI dan ketentuan dalam pedoman ini.
Untuk memperoleh persetujuan Bank Indonesia selain persyaratan yang berlaku
pada umumnya juga harus memenuhi hal-hal sebagai berikut:
a. Bank harus melakukan analisis dan studi kelayakan terhadap kebijakan pemerintah,
kondisi politik, sosial, ekonomi, dan hukum di negara dimana TI diselenggarakan.
Selain itu perlu dilakukan pula analisis mengenai kemampuan Bank untuk
534
memantau pihak penyedia jasa secara efektif, kemampuan Bank untuk

melaksanakan Business Continuity Plan dan early termination;
b. country risk analysis menunjukkan bahwa tidak terdapat dampak yang signifikan
dari lokasi di luar negeri termasuk apabila terjadi sengketa dengan negara dimana
pihak penyedia jasa berada;
c. Bank harus melakukan pengecekan apakah terdapat ketentuan di negara pihak
penyedia jasa yang mengharuskan pihak penyedia jasa melakukan information
disclosure atas data nasabah dalam hal atau kasus tertentu walaupun terdapat
klausul kerahasiaan data nasabah di dalam kontrak perjanjian kerja;
d. pada prinsipnya Bank hanya dapat membuat perjanjian dengan pihak-pihak yang
beroperasi di yurisdiksi yang secara umum mendukung klausula dan perjanjian
kerahasiaan. Karena itu Bank harus memastikan bahwa perjanjian tertulis dengan
penyedia jasa juga mencakup choice of law dan Bank memahami dampak dari
hukum yang dipilih untuk menyelesaikan sengketa atau masalah hukum
dikemudian hari;
e. untuk dapat memberikan setiap data yang diperlukan dalam rangka pengawasan
oleh Bank Indonesia maka Bank harus memastikan bahwa struktur database dari
setiap aplikasi yang digunakan dimiliki oleh Bank dan disimpan juga di kantor
Bank di Indonesia dan terdapat petugas Bank di dalam negeri yang memahami
struktur database termasuk technical refference dari database tersebut. Dengan
demikian Bank harus meyakini bahwa penempatan Data Center di luar negeri tidak
menghambat usaha-usaha untuk mengawasi dan merekonstruksi aktivitas Bank di
dalam negeri (misalnya dari pembukuan, rekening, dan dokumen) secara tepat
waktu setiap kali dibutuhkan;
f. Bank tidak boleh menempatkan Data Center di yurisdiksi dimana akses terhadap
informasi oleh Bank Indonesia atau pihak-pihak yang ditunjuk oleh Bank Indonesia
untuk bertindak atas nama Bank Indonesia terhadap Data Center dan service
provider-nya dapat dihambat oleh batasan hukum atau administratif;
g. Bank harus melakukan kajian apakah penyelenggaraan Pusat Data (Data Center),
Disaster Recovery Center dan/atau Pemrosesan Transaksi Berbasis Teknologi di
luar negeri tersebut memungkinkan akses auditor intern Bank, ekstern maupun
Bank Indonesia untuk memperoleh data dan informasi yang diperlukan dari
penyelenggaraan TI secara tepat waktu setiap kali dibutuhkan;
h. Bank harus memberitahukan kepada Bank Indonesia bila ada otoritas di luar negeri
yang meminta akses atas informasi mengenai nasabah Bank atau bila timbul situasi
di mana hak akses yang dimiliki Bank atau Bank Indonesia untuk memperoleh
informasi dan dokumen dibatasi atau ditolak;
i. apabila di kemudian hari dijumpai hambatan dalam pelaksanaan pemeriksaan
penyelenggaraan Pusat Data (Data Center), Disaster Recovery Center dan/atau
Pemrosesan Transaksi Berbasis TI di luar negeri tersebut, Bank Indonesia dapat
meminta perjanjian penggunaan jasa tersebut agar dihentikan;
535
j. kajian yang dilakukan Bank mengenai cost & benefit harus menunjukkan bahwa
manfaat bagi Bank melampaui biaya yang dibebankan oleh provider/grup/parent
Bank termasuk peningkatan kualitas pelayanan kepada nasabah;
k. kajian yang dilakukan Bank wajib mencakup pengembangan produk dan
perencanaan sumber daya manusia. Diharapkan Bank mampu mengupayakan
peningkatan kemampuan sumber daya manusia Bank baik di sisi penyelenggaraan
TI yang digunakan maupun di sisi transaksi bisnis atau produk yang ditawarkan
meskipun penyelenggaraan TI berlokasi di luar negeri;
l. apabila Bank merupakan KCBA atau Bank yang dimiliki Lembaga Keuangan
Asing maka Bank wajib menyampaikan hal-hal sebagai berikut dalam surat
permohonan persetujan:
1) Surat Pernyataan dari otoritas pengawas lembaga keuangan di luar negeri
bahwa pihak penyedia jasa TI merupakan cakupan pengawasan;
2) Surat Pernyataan tidak keberatan dari otoritas pengawas setempat bila Bank
Indonesia hendak melakukan pemeriksaan penyelenggaraan pusat data (Data
Center) dan atau Disaster Recovery Center tersebut;
3) Surat Pernyataan bahwa Bank secara berkala akan menyampaikan hasil
penilaian yang dilakukan kantor Bank di luar negeri atas penerapan manajemen
risiko pada pihak penyedia jasa. Surat Pernyataan ini mencantumkan periodisasi
yang direncanakan;
4) Hasil penilaian oleh kantor Bank di luar negeri atas penerapan manajemen
risiko yang dilakukan oleh pihak penyedia jasa.
m. khusus untuk rencana menyerahkan Pemrosesan Transaksi Berbasis TI (aktivitas
atau kegiatan penambahan, penghapusan, perubahan dan otorisasi data yang
dilakukan pada sistem aplikasi yang digunakan untuk memproses transaksi) kepada
pihak lain di luar negeri, diperlukan kajian yang dapat membantu Bank memenuhi
persyaratan tambahan lainnya lagi yaitu:
1) memperhatikan aspek perlindungan kepada nasabah;
2) aktivitas tidak merupakan atau terkait dengan inherent banking functions yaitu
tabungan, giro, deposito maupun kredit (kecuali kartu kredit). Termasuk dalam
hal ini aktifitas pembukaan rekening dan pemeliharaan master file data pribadi
nasabah;
3) dokumen pendukung administrasi keuangan atas transaksi yang dilakukan di
kantor Bank di Indonesia dapat dipelihara di Indonesia;
4) rencana bisnis yang menunjukkan adanya upaya untuk meningkatkan peran
Bank bagi perekonomian di Indonesia.
Permohonan persetujuan wajib disampaikan paling lambat 4 (empat) bulan
sebelum perubahan efektif dioperasikan sedangkan persetujuan atau penolakan akan
diberikan Bank Indonesia paling lambat 3 (tiga) bulan setelah dokumen permohonan
diterima secara lengkap. Selain persyaratan tersebut di atas, Bank Indonesia dapat
536
meminta tambahan persyaratan dari Bank dan atau melakukan pemeriksaan lebih
lanjut. Permintaan kedua hal tersebut tergantung pada potensi dampak penggunaan
pihak penyedia jasa TI terhadap Bank dan tingkat keyakinan atas dokumen yang
disampaikan.
10.4. PROSES MANAJEMEN RISIKO
10.4.1. Penilaian Risiko

Penggunaan jasa pihak lain dalam menyelenggarakan TI Bank dapat memberikan
kontribusi terhadap beberapa jenis risiko, yaitu:
a. Risiko Operasional – ketidakmampuan penyedia jasa memenuhi kontrak;
b. Risiko Hukum – ketidakpastian hukum atas perselisihan dengan pihak penyedia
jasa dan/atau pihak ketiga dan atau tuntutan nasabah atas penyalahgunaan data
nasabah oleh pihak penyedia jasa;
c. Risiko Reputasi – ketidakpuasan nasabah karena ketidakmampuan penyedia jasa
memenuhi SLA;
d. Risiko Strategis – ketidakcocokan TI yang digunakan Bank dengan tujuan dan
rencana strategis Bank yang dibuat untuk mencapai tujuan tersebut;
e. Risiko Kepatuhan – ketidakmampuan Bank memenuhi ketentuan yang berlaku;
f. Country Risk – kondisi di negara asing yang dapat mempengaruhi kemampuan
penyedia jasa memenuhi standar pemberian jasa.
Dalam melakukan identifikasi, pengukuran dan pemantauan risiko Bank harus

senantiasa mempertimbangkan ketiga faktor berikut ini:
a. terkait dengan aktivitas dan fungsi yang diselenggarakan oleh pihak penyedia jasa
meliputi sensitivitas data yang diakses, dilindungi atau dikendalikan oleh penyedia
jasa, volume transaksi, dan tingkat pentingnya aktivitas dan fungsi tersebut
terhadap bisnis Bank;
b. terkait dengan penyedia jasa seperti misalnya kondisi keuangan, kompetensi tenaga
kerja, turn over manajemen dan tenaga kerja, pengalaman pihak penyedia jasa,
profesionalitas;
c. terkait dengan teknologi yang digunakan meliputi kehandalan (reliability),
keamanan (security), ketersediaan (availability), dan ketepatan waktu (timeliness)
serta kemampuan mengikuti perkembangan teknologi dan perubahan ketentuan.
10.4.2. Mitigasi Risiko

Berdasarkan PBI Penerapan Manajemen Risiko dalam Penggunaan Teknologi
Informasi Bank tetap bertanggungjawab untuk setiap penerapan manajemen risiko
Bank. Dengan demikian Bank wajib melakukan mitigasi risiko untuk setiap kelemahan
dan/atau pelanggaran kebijakan dan prosedur pengamanan serta potensi risiko yang
537
dapat mengganggu kelangsungan penyelenggaraan TI yang digunakan oleh Bank, baik

yang terjadi di Bank maupun di pihak penyedia jasa.
10.4.2.1.Business Continuity Plan (BCP)

Bank wajib memastikan bahwa risiko ketergantungan pada pihak penyedia jasa dapat
dimitigasi sehingga Bank tetap mampu menjalankan bisnisnya apabila penyedia jasa
wanprestasi, pemutusan hubungan atau dalam proses menuju likuidasi. Mitigasi risiko
yang dapat dilakukan oleh Bank mencakup:
a. memastikan bahwa pihak penyedia jasa memiliki BCP sesuai dengan jenis, cakupan
dan kompleksitas aktivitas/jasa yang diberikan;
b. secara aktif mendapatkan jaminan kesiapan BCP milik pihak penyedia jasa seperti
pengujian secara berkala atas BCP;
c. memiliki perjanjian penyimpanan source code program (escrow agreement) untuk
aplikasi yang memiliki eksposur risiko tinggi, jika Bank tidak memiliki source code
dari program aplikasi yang diselenggarakan oleh pihak penyedia jasa;
d. dalam hal source code tidak dimiliki oleh penyedia jasa maka penyedia jasa harus
memberikan jaminan kepada Bank, bahwa kelangsungan aplikasi didukung oleh
principal pengembang software.
Untuk menjamin fungsi dan efektifivitas BCP, Bank wajib menyusun dan
melakukan pengujian BCP secara berkala, lengkap dan mencakup hal-hal yang
signifikan yang didasarkan atas jenis, cakupan dan kompleksitas aktivitas atau kegiatan
yang dilakukan oleh penyedia jasa. Disamping itu pihak penyedia jasa harus
melakukan pengujian DRP di pihak penyedia jasa sendiri untuk sistem atau fasilitas TI
maupun pemrosesan transaksi yang diselenggarakan tanpa melibatkan pihak Bank.
Hasil pengujian DRP pihak penyedia jasa tersebut digunakan Bank untuk mengkinikan
DRP ataupun BCP yang dimiliki Bank.
10.4.2.2. Pengendalian Risiko Lainnya

Meskipun Bank maupun pihak penyedia jasa sudah menggunakan sistem yang
canggih namun masih memungkinkan adanya penyimpangan dari dalam seperti
misalnya kesalahan manusia, penerapan prosedur yang lemah serta pencurian
pegawai (employee theft). Bank harus memastikan adanya pengendalian pengamanan
dasar untuk memitigasi risiko yang mencakup hal-hal sebagai berikut:
a. pihak penyedia jasa harus melakukan penelitian latar belakang para pegawainya
karena serangan dari dalam lebih susah dicegah;
b. menutup kemungkinan orphan accounts digunakan untuk transaksi. Password &
e-mail dari pegawai yang telah keluar harus segera dihapus;
c. lingkungan fisik baik di pihak penyedia jasa maupun di Bank harus selalu
dipastikan aman, seperti pemantauan orang yang keluar masuk ruangan,
kemungkinan bencana banjir dan kebakaran;
538
d. lingkungan elektronik baik di pihak penyedia jasa maupun di Bank harus selalu
dipastikan aman;
e. prosedur pengamanan dikinikan secara berkala agar selalu mematuhi ketentuan
yang berlaku dan sesuai best practices;
f. buat kelompok yang melakukan intrusion-detection secara berkala baik didalam
Bank maupun menyewa para profesional. Lakukan pemantauan kemajuannya
dan pastikan standar diterapkan secara memadai;
g. pastikan kewajiban pihak penyedia jasa untuk melakukan pengendalian keamanan
terhadap seluruh fasilitas teknologi informasi yang digunakan dan data yang
diproses serta informasi yang dihasilkan telah dicantumkan dalam perjanjian;
h. pastikan agar sebelum perjanjian ditandatangani pihak penyedia jasa memahami
dan dapat memenuhi tingkat pengamanan yang dibutuhkan Bank untuk masing-
masing jenis data berdasarkan sensitifitas kerahasiaan data;
i. usahakan agar biaya yang dikeluarkan untuk pengamanan masing-masing
sebanding dengan tingkat pengamanan yang dibutuhkan dan sesuai dengan
tingkat toleransi risiko yang telah ditetapkan oleh Bank.
10.5. PENGENDALIAN INTERN DAN AUDIT INTERN

10.5.1. Pemantauan/Pengawasan
Bank wajib memiliki program pemantauan untuk memastikan penyedia jasa telah
melaksanakan pekerjaan/memberikan jasa sesuai dengan kontrak. Sumber daya untuk
mendukung program ini dapat bervariasi tergantung pada kritikalitas dan kompleksitas
sistem, proses dan jasa yang dikerjakan pihak lain.
Bank wajib melakukan pre dan post-review penyedia jasa pihak lain untuk memastikan
bahwa kebijakan dan prosedur manajemen risiko Bank telah dilakukan secara efektif.
Selanjutnya, review performance dan pencapaian Service Level Agreement (SLA)
dilakukan secara berkala yang didokumentasikan dalam bentuk laporan. Pemantauan
wajib dilakukan terhadap laporan tahunan hasil pemeriksaan penyedia jasa.
10.5.2. Audit Intern

Bank wajib melaksanakan fungsi audit terhadap pihak penyedia jasa, baik dilakukan
oleh audit intern Bank maupun pihak audit ekstern yang ditunjuk oleh Bank. Apabila
pihak penyedia jasa memberikan layanan kepada lebih dari satu Bank maka pihak
penyedia jasa dapat menunjuk auditor TI independen untuk melakukan audit atas
layanan yang diberikan kepada masing-masing Bank. Hasil pemeriksaan yang
dilakukan oleh auditor TI yang independen ini untuk kepentingan masing-masing Bank
sehingga SKAI Bank tetap bertanggung jawab atas hasil audit tersebut dan wajib
memastikan kesesuaian pelaksanaan audit dengan kebijakan dan prosedur audit Bank.
539
Ruang lingkup audit sesuai dengan cakupan pekerjaan/jasa sebagaimana yang tertuang
dalam kontrak perjanjian. Area yang diaudit antara lain seperti IT Systems, data
security, internal control frameworks dan business contingency plan.
Bank wajib memastikan bahwa, Bank Indonesia atau pihak lain yang ditugaskan oleh
Bank Indonesia memiliki hak akses ke penyedia jasa dan Bank untuk mendapatkan
catatan-catatan dan dokumen transaksi, serta informasi Bank yang disimpan atau
diproses oleh penyedia jasa serta hak akses terhadap laporan dan temuan audit terhadap
penyedia jasa yang terkait dengan jasa yang diberikan kepada Bank.
540
GLOSSARY
GLOSSARY
1. Acquirer:
Bank atau lembaga selain Bank yang melakukan kegiatan alat pembayaran dengan
menggunakan kartu yang dapat berupa financial acquirer dan/atau technical acquirer.
2. Access - akses:
jalan masuk. Suatu usaha untuk membuka suatu saluran komunikasi dengan perangkat
hardware atau software tertentu, seperti modem yang digunakan untuk membuka akses
internet. Perangkat hardware atau software tersebut selain untuk memberikan data juga
digunakan untuk menerima data untuk disimpan.
3. Accountability – akuntabilitas:
mekanisme untuk menilai tanggung jawab atas pengambilan keputusan dan tindakan.
4. Administrator Log:
file di komputer yang menyimpan informasi mengenai kegiatan administrator
5. AES (Advanced Encryption Standard):

standar enkripsi berdasarkan algoritma block chiper dengan panjang blok tertentu (128 bit) dan
panjang kunci yang bervariasi (AES-128, AES-192, AES-256). AES dianggap sebagai
pengganti DES.
6. Agile Software Development:

merupakan kerangka teknis pengembangan system yang mengutamakan pengembangan secara
iterasi/ berulang-ulang dalam siklus (SDLC) suatu proyek. Tahapan yang harus dilalui dalam
setiap iterasi merupakan bagian dari SDLC, seperti perencanaan, analisis kebutuhan, desain,
pengembangan, uji coba dan dokumentasi.
7. Arm’s Length Principle:

suatu prinsip kerjasama yang wajar dan saling menguntungkan dimana masing-masing pihak
yang akan membuat perjanjian kerjasama memiliki daya tawar (bargaining power) yang sama
walaupun pihak penyedia jasa merupakan pihak terkait.
8. Automated Teller Machine (ATM):

suatu terminal/mesin komputer yang digunakan oleh Bank yang dihubungkan dengan
komputer lainnya melalui komunikasi data yang memungkinkan nasabah Bank menyimpan
dan mengambil uang di Bank atau melakukan transaksi perbankan lainnya.
541
GLOSSARY
9. Audit Trail:
file di komputer yang menyimpan informasi mengenai kegiatan user atau komputer yang
tersimpan secara kronologis, yang dapat digunakan untuk audit atau penelusuran.
10. Authentication:
kemampuan dari setiap pihak dalam transaksi untuk menguji kebenaran dari pihak lainnya.
11. Back Door:

metode untuk melewati otentikasi normal atau remote access yang aman dari suatu komputer
terhadap pengaksesan suatu sistem namun tidak teridentifikasi melalui pemeriksaan biasa.
12. Backup:
salinan dari dokumen asli atau cadangan dari mesin utama yang dapat digunakan apabila
terjadi gangguan pada mesin utama. Backup dapat berupa backup data maupun backup system.
Backup dapat ditempatkan secara on site di lokasi Data Center dan atau off site di lokasi
alternatif.
13. Backup Site:

lokasi penyimpanan backup komputer dan file yang terpisah dengan Data Center.
12. Backlog project:

adanya proyek pengembangan sistem aplikasi yang tertunda pelaksanaannya.
13. Business Continuity Management (BCM):

proses manajemen terpadu dan menyeluruh untuk menjamin kegiatan operasional Bank tetap
dapat berfungsi walaupun terdapat gangguan/bencana guna melindungi kepentingan para
stakeholder.
14. Business Continuity Plan (BCP):

suatu dokumen tertulis yang memuat rangkaian kegiatan yang terencana dan terkoordinir
mengenai langkah-langkah pengurangan risiko, penanganan dampak gangguan/bencana dan
proses pemulihan agar kegiatan operasional Bank dan pelayanan kepada nasabah tetap dapat
berjalan. Rencana tindak tertulis tersebut melibatkan seluruh sumber daya Teknologi Informasi
(TI) termasuk sumber daya manusia yang mendukung fungsi bisnis dan kegiatan operasional
yang kritikal bagi Bank.
15. Business Impact Analysis (BIA):

Proses untuk memastikan akibat yang ditimbulkan dari ketidaktersediaannya dukungan semua
resource. Pada fase ini mencakup identifikasi beragam kejadian yang dapat mengakibatkan
kelangsungan kegiatan operasional dan financial, sumber daya manusia dan dampak terhadap
reputasi perusahaan. BIA merupakan langkah kritikal dalam pengembangan BCP.
542
GLOSSARY
16. Business Recovery Center/Crisis Center/Business Resumption Center:

Lokasi yang digunakan sebagai pusat kegiatan bisnis pada saat proses recovery setelah
terjadinya disaster.
17. Client Server:

Arsitektur komputer dimana terdapat 2 jenis titik pertemuan berupa client dan server. Tiap
client dapat mengirim permintaan data ke satu atau lebih server yang saling terhubung. Server
selanjutnya menerima, memproses dan menjawab permintaan data tersebut.
18. Cold Sites:

lokasi alternatif (DRC) yang hanya memiliki fasilitas yang sifatnya sangat mendasar (seperti:
listrik, AC dan ruangan) dan belum memiliki konfigurasi komputer yang kompatibel serta
belum terdapat backed up data lengkap sebagaimana di hot sites DRC. Lokasi ini siap untuk
menerima penggantian perangkat komputer yang dibutuhkan pada saat user harus pindah dari
Data Center ke lokasi alternatif. Untuk itu apabila lokasi ini akan digunakan diperlukan
tambahan waktu sebelum siap digunakan untuk menggantikan Data Center saat terjadi
disaster.
17. Communicative E-Banking:

pelayanan jasa Bank kepada nasabah melalui media elektronik dalam bentuk komunikasi atau
melakukan interaksi dengan Bank penyedia layanan secara terbatas dan tidak terdapat eksekusi
transaksi.
18. Contigency Plan:

Prosedur yang berisikan mengenai rencana atau langkah-langkah secara manual yang harus
dilakukan oleh unit bisnis untuk menjalankan kegiatan operasional bisnis pada saat proses
recovery sedang dilakukan.
19. Controller (Host-Front End):

telecommunication control unit adalah sejenis komputer mini yang berfungsi untuk mengontrol
kinerja perangkat keras dan perangkat lunak yang ada pada suatu sistem seperti terminal
komputer / ATM, jaringan komunikasi atau sarana komputer lainnya.
20. Cost and Benefit Analysis:

suatu analisis perbandingan antara biaya investasi dan keuntungan yang diperoleh Bank dari
setiap alternatif pilihan penyedia jasa. Hasil analisis ini menjadi salah satu pertimbangan Bank
untuk mengambil keputusan outsourcing atau pemilihan penyedia jasa.
21. Cybersquating:
pendaftaran atau penggunaan alamat website atau nama domain dengan maksud buruk yaitu
543
GLOSSARY
untuk menyalahgunakan atau memperoleh keuntungan dari penggunaan suatu merek dagang
oleh pihak yang tidak berwenang.
22. Database:
basis data yaitu representasi kumpulan fakta yang saling berhubungan disimpan secara
bersama sedemikian rupa dan tanpa pengulangan (redudansi)yang tidak perlu, untuk memenuhi
berbagai kebutuhan. Data perlu disimpan dalam basis data untuk keperluan penyediaan
informasi lebih lanjut. Data di dalam basis data perlu diorganisasikan sedemikian rupa, supaya
informasi yang dihasilkan berkualitas. Organisasi basis data yang baik juga berguna untuk
efisiensi kapasitas penyimpanannya. Dalam maksud yang sama, bisa juga diartikan sebagai
sekumpulan informasi yang disusun sedemikian rupa untuk dapat diakses oleh sebuah software
tertentu. Database tersusun atas bagian yang disebut field dan record yang tersimpan dalam
sebuah file. Sebuah field merupakan kesatuan terkecil dari informasi dalam sebuah database.
Sekumpulan field yang saling berkaitan akan membentuk record.
23. Data Center:

fasilitas utama pemrosesan data Bank yang terdiri dari perangkat keras dan perangkat lunak
untuk mendukung kegiatan operasional Bank secara berkesinambungan.
24. Defacing:
upaya hacker untuk menyerang dan mengubah tampilan atau isi suatu website.
25. DES (Data Encryption Standar):

standar enkripsi berdasarkan algoritma block cipher. Standar ini telah lama digunakan dan
sering dianggap tidak dapat lagi memberikan pengamanan yang memadai.
26. Denial of Service Attack:

serangan terhadap sistem teknologi informasi sehingga menjadi lambat atau tidak dapat
berfungsi sama sekali misalnya dengan membuat kapasitas (bandwidth) jaringan atau kapasitas
(disk space) komputer seolah-olah telah terpakai penuh, ganggguan pada server serta gangguan
penyediaan jasa kepada sistem lain atau pengguna.
27. Digital Certificate:

identitas elektronik yang digunakan untuk mengidentifikasi dan memverifikasi bahwa pesan
tersebut dikirim oleh orang atau perusahaan yang berwenang dan hanya dibaca oleh pihak yang
berwenang pula. Digital certificate diterbitkan oleh pihak ketiga yang disebut "certification
authority" (CA) seperti VeriSign (www.verisign.com) and Thawte (www.thawte.com).
28. Digital signatures:

suatu informasi berupa tanda-tanda tertentu yang berbetuk digital yang dapat memastikan
otentikasi pengirim, integritas data, dan tak dapat disangkal.
544
GLOSSARY
29. Disaster Recovery Plan (DRP):

dokumen yang berisikan rencana dan langkah-langkah mendapatkan kembali akses data,
hardware dan software yang diperlukan agar Bank dapat menjalankan kegiatan operasional
bisnis yang kritikal setelah adanya disaster. DRP menekankan pada aspek teknologi.
30. Disaster Recovery Center (DRC):

suatu lokasi alternatif yang dapat digunakan pada saat Pusat Data (Data Center) mengalami
gangguan atau tidak dapat berfungsi akibat adanya disaster antara lain karena tidak adanya
aliran listrik ke ruang komputer, kebakaran, ledakan atau kerusakan pada komputer, yang
digunakan sementara waktu selama dilakukannya pemulihan Pusat Data (Data Center) Bank
untuk menjaga kelangsungan kegiatan usaha (business continuity).
31. Disposal Media Backup:

proses penghancuran terhadap media backup yang sudah melewati masa retensi dan tidak
digunakan
32. Down Time:

Lamanya sistem tidak dapat berfungsi dan digunakan oleh pengguna karena adanya gangguan
hardware, software dan komunikasi.
33. Due Diligence:

suatu proses untuk mendapatkan informasi selengkap-lengkapnya mengenai penyedia jasa
untuk menilai reputasi, kemampuan operasional, manajerial, kondisi keuangan, strategi
pengembangan di masa mendatang dan kemampuan mengikuti perkembangan teknologi
terkini.
34. E-money atau stored value atau prepaid card:

produk yang merupakan media yang dipakai dalam mekanisme sistem pembayaran melalui
pembayaran di point of sales (merchant), transfer antar dua media elektronik atau jaringan
komputer menggunakan nilai uang yang tersimpan pada kartu atau produk tersebut.
35. Electronic Data Capture/Point of Sales Terminal:

suatu perangkat keras atau terminal komputer dapat berupa cash register atau terminal
debit/credit verification yang membaca informasi pada pita magnetis kartu (card’s magnetic
stripe) kartu mengenai data transaksi di tempat penjualan (merchant), mentransmisikan data
kepada acquirer untuk diverifikasi dan diproses.
36. Electronic Fund Transfer:

transfer dana antar rekening melalui sistem pembayaran yang menggunakan media elektronik.
EFT dapat dilakukan pada transaksi keuangan melalui telepon, terminal komputer,dll.
545
GLOSSARY
37. Enkripsi:
alat untuk mencapai keamanan data dengan menerjemahkannya dengan menggunakan sebuat
key (password). Enkripsi mencegah password atau key supaya tidak mudah dibaca pada file
konfigurasi.
38. Escrow Agreement:

suatu perjanjian yang memungkinkan pemberian hak kepada pembeli perangkat lunak untuk
dapat memiliki source code versi terkini dalam hal perusahaan pembuat sistem aplikasi tidak
beroperasi lagi antara lain karena dipailitkan.
39. Exception Handling:

mekanisme untuk menangani munculnya kondisi yang tidak diharapkan yang dapat mengubah
alur normal suatu system aplikasi.
40. Firewall:
peralatan untuk menjaga keamanan jaringan yang melakukan pengawasan dan penye -
leksian atas lalu lintas data/informasi melalui jaringan serta memisahkan jaringan privat
dan publik. Peralatan ini dapat digunakan untuk melindungi komputer yang telah
dikoneksikan dengan jaringan dari serangan yang dapat mengkompromikan komputer internal
yang dapat menyebabkan data corruption dan atau denial of service bagi pengguna yang
diotorisasikan.
41.Full System Back up:

system backup yang mencakup keseluruhan sistem yang digunakan.
42. Gateway:
titik dalam suatu jaringan yang berfungsi sebagai pintu masuk ke jaringan lain atau
menghubungkan satu jaringan dengan jaringan lain. Gateway dapat berupa komputer yang
mengatur dan mengendalikan lalu lintas jaringan.
43. Hardcopy:
salinan data/informasi komputer dalam bentuk tercetak atau dikenal dengan printout.
44. Hardening:
merupakan proses/metode untuk mengamankan sistem dari berbagai ancaman atau gangguan.
Metode yang digunakan termasuk antara lain menonaktifkan layanan yang tidak diperlukan,
serta username atau login yang tidak diperlukan, mengembangkan intrusion detection system,
intrusion prevention system, firewall.
45. Hash Function:

suatu cara untuk mengubah data (biasanya berbentuk pesan atau file) menjadi suatu angka
tertentu yang dapat digunakan oleh komputer untuk menghasilkan data asalnya kembali
546
GLOSSARY
46. Hot Card File:

file yang menyimpan informasi mengenai kartu magnetis yang harus ditelan oleh mesin seperti
ATM, karena kartu tersebut tidak memenuhi syarat untuk dapat dioperasikan.
47. Hot Sites:

Lokasi alternatif (DRC) yang memiliki konfigurasi komputer yang secara penuh (hardware,
network, system software dan aplikasi) dan kompatibel dengan Data Center. Pada umumnya
dapat dioperasikan segera setelah terjadinya disaster, sehingga data secara kontinu di backup
menggunakan koneksi live antara Data Center dan DRC.
48. Hub:
peralatan yang menghubungkan beberapa kabel pada jaringan dan meneruskan data / informasi
ke seluruh address yang berupa titik jaringan atau peralatan yang dituju.
49. Informational E-Banking:

pelayanan jasa Bank kepada nasabah melalui media elektronik baik internet, mobile phone,
telepon, dll. dan tidak terdapat eksekusi transaksi.
50. Interoperabilit:
a. kemampuan perangkat lunak atau perangkat keras pada berbagai jenis mesin dari banyak
vendor untuk saling berkomunikasi.
b. kemampuan untuk saling bertukar dan menggunakan informasi (biasanya dalam suatu
jaringan besar yang terdiri beberapa jaringan lokal yang bervariasi).
51. Interface / Integration Testing:

uji coba oleh quality assurance dan pengguna akhir untuk menguji antar muka / interface
komponen perangkat lunak yang terintegrasi, termasuk keterhubungannya dengan sistem lain.
52. IT Control:
pengendalian Teknologi Informasi (TI) yang mencakup pengendalian umum dan pengendalian
aplikasi yang terintegrasi untuk mendukung proses bisnis. Pengendalian umum TI diperlukan
untuk memungkinkan diterapkannya fungsi pengendalian aplikasi. Pengendalian umum Bank
mencakup pengendalian di manajemen dan organisasi TI Bank, pengendalian akses baik logik
maupun fisik, pelaksanaan DRP/BCP, dll. Pengendalian aplikasi diperlukan untuk memastikan
kelengkapan dan keakuratan dalam setiap tahap pemrosesan informasi. Pengendalian aplikasi
diintegrasikan dengan sistem aplikasi yang digunakan untuk pemrosesan transaksi.
53. Keylogger:
ancaman berupa perangkat lunak atau perangkat hardware yang digunakan untuk memperoleh
informasi (PIN, password) yang diketikkan pengguna pada keyboard (biasanya di warung
internet).
547
GLOSSARY
54. Library:
kumpulan perangkat lunak atau data yang memiliki fungsi tertentu dan disimpan serta siap
untuk digunakan.
55. Logic Bomb:

suatu kode yang sengaja dimasukkan di dalam suatu sistem perangkat lunak yang pada suatu
kondisi tertentu akan melakukan serangkaian fungsi yang bersifat merusak.
56. Man-in-the-middle-attack:
jenis serangan terhadap sistem teknologi informasi dimana hacker/penyerang menyadap pesan
yang dikirimkan pengirim kepada penerima dan/atau selanjutnya mengubah isi pesan dan
mengirimkannya kembali kepada penerima. Hacker/penyerang akan menggunakan program
yang tampak seperti server bagi client dan tampak sebagai client bagi server.
57. Maximum Tolerable Outage / Recovery Time Objective:

Lamanya waktu yang dapat ditolerir pada saat sistem tidak dapat berfungsi akibat adanya
gangguan. RTO mengindikasikan waktu tercepat/terpendek (earliest point in time) yang
diperlukan agar kegiatan bisnis operasional dapat kembali berjalan setelah adanya gangguan
(disaster).
58. Mobile Banking:

Layanan yang memungkinkan nasabah Bank melakukan transaksi perbankan melalui
handphone. Mobile banking umumnya dilakukan melalui sms atau mobile internet namun
dapat juga menggunakan program khusus yang di-download melalui handphone.
59. Modem (Modulator Demodulator):

alat yang ditempatkan diantara mesin komunikasi dan saluran telepon untuk memungkinkan
transmisi pulsa digital. Saluran telepon hanya dapat menyalurkan sinyal dalam bentuk
suara/analog dan tidak dapat membawa sinyal digital seperti yang dihasilkan oleh peralatan
komputer. Modulator akan mengubah pulsa bit menjadi nada dan mengirimkannya melalui
jaringan komunikasi, sedangkan demodulator akan mengubahnya menjadi bit yang sesuai.
60. Network interface:

titik interkoneksi antara terminal pengguna, mesin, atau suatu jaringan dengan jaringan lain.
61. Non-repudiation:
suatu cara untuk memastikan kebenaran pengirim dan penerima sehingga tidak ada pihak yang
dapat menyangkal.
62. Off-line:
sistem atau komputer yang tidak terdapat hubungan jaringan atau tidak dapat berkomunikasi
dengan sistem atau komputer lain.
548
GLOSSARY
63. Off the shelf:

tersedia apa adanya, dibuat bukan berdasarkan pesanan khusus.
64. Orphan Account:

rekening yang dimiliki pengguna yang telah keluar dari suatu organisasi.
65. Outsourcing:
penggunaa pihak lain (eksternal) dalam penyelenggaraan teknologi informasi Bank yang
menyebabkan Bank memiliki ketergantungan terhadap jasa yang diberikan pihak lain tersebut
secara berkesinambungan dan atau dalam periode tertentu.
66. Parallel Distributed Computing:

sistem terdistribusi yang terdiri dari sekumpulan komputer yang terhubung oleh jaringan,
dengan software yang digunakan bersama sehingga seluruh komputer dapat berbagi sumber
daya hardware, software dan data.Sistem ini dapat menjembatani perbedaan geografis,
meningkatkan kinerja dan interaksi serta menekan biaya.
67. Password:
kode atau simbol khusus untuk mengamankan sistem komputer yaitu untuk mengidentifikasi
pihak yang mengakses data, program atau aplikasi komputer dan digunakan.
68. Patch:
sekumpulan kode yang ditambahkan pada perangkat lunak untuk memperbaiki suatu
kesalahan, biasanya merupakan koreksi yang bersifat sementara di antara dua keluaran versi
perangkat lunak.
69. Patch Management:

manajemen sistem yang meliputi proses memperoleh, pengujian dan instalasi berbagai patch
yang digunakan untuk memperbaiki suatu program.
70. Pengamanan Fisik:

suatu sistem pengamanan untuk mencegah akses oleh pihak-pihak yang tidak berwenang
terhadap area komputerisasi serta peralatan/fasilitas pendukung.
71. Pengamanan Logik:

suatu sistem pengamanan untuk mencegah akses oleh pihak-pihak yang tidak berwenang
terhadap sistem komputer dan informasi yang tersimpan di dalamnya yang meliputi
penggunaan user ID, password,dll.
72. Personal Identification Number (PIN):

rangkaian digit unik terdiri dari huruf, angka atau kode ASCII yang digunakan untuk
mengidentifikasi pengguna komputer, pengguna ATM, internet banking, mobile banking,dll.
549
GLOSSARY
73. Perusahaan Switching:

perusahaan yang memberikan pelayanan jasa perbankan elektronis kepada Bank dan lembaga
keuangan antara lain dalam pengelolaan perangkat keras komputer, jaringan telekomunikasi,
informasi serta catatan transaksi nasabah Bank dan lembaga keuangan tersebut.
74. Phising:
salah satu bentuk teknik social engineering untuk memperoleh informasi rahasia seseorang
secara ilegal. Phising dapat dalam bentuk e-mail palsu yang seolah-olah berasal dari Bank,
perusahaan kartu kredit,dll untuk memperoleh informasi seperti PIN, Password,dll.
75. Phone Banking:

layanan yang memungkinkan nasabah Bank melakukan transaksi perbankan melalui telepon.
76. Piggybacking:
(i) tindakan di mana seseorang memasuki ruangan dengan mengikuti orang lain yang memiliki
akses ke ruangan tersebut;
(ii) suatu cara untuk menyusup atau mengubah transmisi dengan melekat pada jaringan
telekomunikasi yang terotorisasi.
77. Pita magnetis:

suatu pita perekam yang digunakan untuk media penyimpan data. Setiap karakter ditulis
melintasi lebar pita dalam bentuk bintik-bintik yang diberi muatan magnet, Pembacaan dari
dan penulisan ke pita dilakukan dengan menggerakkan permukaan pita melintasi suatu
read/write head sebuah tape drive.
78. Platform:
perangkat keras atau lunak seperti arsitektur komputer, sistem operasi atau bahasa
pemrograman yang memungkinkan suatu aplikasi beroperasi.
79. Point of Sales:

perangkat keras atau terminal komputer berupa cash register atau terminal debit/credit
verification yang dapat menerima informasi penjualan eceran di tempat penjualan dan
memasukkan data sebagai input ke komputer.
80. Power User:

user id yang memiliki kewenangan sangat luas.
81. Process Control:

kontrol yang dimiliki oleh penyedia jasa terutama terkait dengan proses jasa yang diberikan
kepada Bank untuk menjamin kualitas jasa dari sisi kerahasiaan (confidentiality), integritas
(integrity) dan ketersediaan (availability).
550
GLOSSARY
82. Public Key Infrastructure:

suatu pengolahan/pengaturan dimana suatu pihak ketiga yang dapat dipercaya menyediakan
pemeriksaan secara seksama dan memastikan keabsahan suatu identitas.
83. Rapid Application Development (RAD):

metodologi pengembangan sistem yang terdiri atas pengembangan secara iterasi dan
pengembangan prototipe (prototyping) yang dipercepat sehingga manfaat, fitur dan kecepatan
eksekusi program tidak optimal.
84. Request for Proposal (RFP):

suatu proses permintaan proposal kepada para penyedia jasa sesuai dengan kebutuhan Bank
untuk keperluan seleksi. Proposal yang disampaikan harus dapat menjawab secara rinci
kebutuhan Bank yang sudah didefinisikan sebagaimana tertuang dalam dokumen business
requirement atau target operating model.
85. Restore:
mengembalikan pada fungsi atau kondisi semula sebelum terjadi disaster.
86. Restricted area:

Area yang hanya dapat dimasuki oleh orang yang telah mendapatkan hak akses.
87. Router:
peralatan jaringan yang meneruskan suatu paket data/informasi dan memilih rute terbaik untuk
ditempuh untuk menyampaikan data/informasi tersebut.
88. Service Level Agreement:

bagian dari kontrak perjanjian dimana tingkat penyediaan layanan yang diharapkan para pihak
ditetapkan biasanya mencakup pula standar kinerja seperti tingkat pelayanan yang
diperjanjikan (service levels) atau target waktu penyediaan layanan.
89. Social Engineering:

teknik pembohongan melalui perilaku sosial yang dilakukan oleh hacker untuk mengelabui
orang agar memberikan informasi rahasia seperti PIN, Password, dll.
90. Softcopy:
salinan data atau dokumen dalam bentuk file elektronis.
91. Software Patch:

program yang dibuat oleh vendor untuk meningkatkan kinerja dan meningkatkan keamanan
dari produk perangkat lunaknya, baik perangkat lunak yang berupa sistem operasi, database,
tools pengembangan aplikasi dll.
551
GLOSSARY
92. Source Code:

instruksi program perangkat lunak yang ditulis dalam suatu format (bahasa) dan dapat dibaca
oleh manusia.
93. Spoofing:
suatu keadaan dimana seseorang atau suatu program dapat menyerupai orang lain atau program
lain dengan cara memalsukan data dengan tujuan untuk mendapatkan keuntungan-keuntungan
tertentu.
94. Spyware:
perangkat lunak yang mengumpulkan informasi-informasi sensitif tentang pengguna tanpa
sepengetahuan atau ijin dari pengguna.
95. Stress Testing:

jenis testing dalam pengembangan yang menggunakan berbagai skenario misalnya dalam
kondisi buruk. Stress testing diperlukan menyangkut performance, load balancing khususnya
untuk aplikasi yang kompleks.
96. Subcontractor:
penyedia jasa lain yang digunakan oleh penyedia jasa yang dikontrak oleh Bank.
97. Switch:
peralatan dalam jaringan yang meneruskan paket informasi kepada address atau peralatan yang
dituju.
98. System:
suatu jaringan kerja dari prosedur-prosedur yang saling berhubungan, berkumpul bersama -
sama untuk melakukan suatu kegiatan atau untuk menyelesaikan suatu sasaran tertentu.
99. System Development Life Cycle:

siklus pengembangan sistem yang meliputi langkah-langkah sebagai berikut: (1) system
planning, (2) system analysis, (3) system design, (4) system selection, (5) system
implementation, (6) system maintenance.
100. System Source:

salah satu informasi yang diperlukan dalam inventarisasi media penyimpan yaitu keterangan
dari sistem mana suatu data diperoleh.
101. System Testing:

uji coba yang dilakukan quality assurance untuk menguji fungsionalitas keseluruhan system
aplikasi, termasuk tiap objek yang terdapat dalam system aplikasi tersebut.
552
GLOSSARY
102. System Log:

file di komputer yang menyimpan informasi mengenai kegiatan sistem atau komputer.
103. Technical Reference:

pedoman teknis dari aplikasi database yang antara lain berisi penjelasan mengenai struktur
database yang terdiri dari tables dan fields termasuk relasi antar tabel berupa entiry
relationship diagram (ERD).
104. Transactional E-Banking:

pelayanan jasa Bank kepada nasabah melalui media elektronik dimana terdapat eksekusi
transaksi.
105. Trojan Horse:

program yang bersifat merusak yang disusupkan oleh hacker di dalam program yang sudah
dikenal oleh pengguna replikasi atau distribusinya harus diaktivasi oleh program yang sudah
dikenal oleh penggunanya melalui metode “social engineering”.
106. UnitTtesting:
uji coba yang dilakukan oleh pengembang untuk menguji fungsionalitas dari modul-modul
kecil dalam program perangkat lunak.
107. Upload dan Dowload:

transfer data elektronik antara dua komputer atau sistem yang sejenis.
108. User Acceptance Test:

ujicoba akhir oleh pengguna untuk menguji keseluruhan fungsionalitas dan interoperability
dari suatu system aplikasi.
109. User Log:

file di komputer yang menyimpan informasi mengenai kegiatan user seperti waktu login dan
log-out
110. Virus:
program yang bersifat merusak dan akan aktif dengan bantuan orang (dieksekusi), dan tidak
dapat mereplikasi sendiri, penyebarannya karena dilakukan oleh orang, seperti copy, biasanya
melalui attachement e-mail, game, program bajakan dll.
111. War Driving:

suatu tindakan untuk mendapatkan jaringan wi-fi (wireless local area network) dengan
menggunakan perangkat yang dapat mendeteksi adanya jaringan wi-fi, seperti laptop atau
PDA.
553
GLOSSARY
112. Warm Sites:

Lokasi alternatif (DRC) yang memiliki sebagian konfigurasi dari Data Center dan pada
umumnya hanya terdiri dari koneksi jaringan dan beberapa perangkat pendukung tanpa adanya
main computer (komputer utama). Sistem tidak otomatis berpindah tetapi masih terdapat
proses manual meskipun dilakukan seminimal mungkin.
113. Web Site:

web page atau informasi yang disampaikan melalui suatu web browser atau sekumpulan web
page yang dirancang, dipresentasikan dan saling terhubung untuk membentuk suatu sumber
informasi dan atau melaksanakan fungsi transaksi.
114. Worm:
program komputer yang dirancang untuk memperbanyak diri secara otomatis dengan melekat
pada e-mail atau sebagai bagian dari pesan jaringan. Worm menyerang jaringan dan berakibat
kepada penuhnya bandwith yang terpakai sehingga menghambat laju pengiriman data pada
jaringan.
554
LAMPIRAN 30.1
Lampiran 28.1
Lampiran32.1
LAMPIRAN .1
CONTOH PENILAIAN RISIKO
Seperti telah dijelaskan dalam Bab I Manajemen Bank perlu memiliki dokumentasi risiko
agar risiko yang diidentifikasi dan dinilai atau diukur dapat dipantau oleh manajemen yang
biasa disebut dengan Risk Register. Untuk menghasilkan risk register ini perlu langkah-
langkah tertentu yang harus dilakukan. Saat ini terdapat berbagai macam pendekatan,
langkah dan metode dapat digunakan dalam penilaian risiko penggunaan Teknologi
Informasi (TI) misalnya dengan pedekatan aset atau pendekatan proses. Bank dapat
menentukan sendiri pendekatan, langkah dan metode yang akan dilakukan. Berikut ini
adalah contoh penilaian risiko pengamanan informasi yang menggunakan pendekatan
aset.
1. Dokumen hasil Identifikasi dan Pengukuran Risiko (Risk Register)
Inheren Residual
Pengendalian yg Ada
Analisa Kerawanan
Nilai Risiko Akhir

Deskripsi Risiko
Nilai Risiko Akhir

Nilai Risiko Dasar
Diharapkan
Kecenderungan
Kecenderungan
Dampak
Dampak
Aset
No
0 1 2 3 4 5 6 7 8 9 10 11
2. Identifikasi Risiko
2.1. Identifikasi (penentuan klasifikasi) Aset
Kolom No.1 yaitu aset, diisi dengan nama atau jenis aset yang dihasilkan dalam
menjalankan proses bisnis bank dan aset yang mendukung terlaksananya proses
bisnis tersebut. Aset yang dimaksud bukan aset secara akuntansi, namun segala
sesuatu yang mempunyai nilai bagi organisasi dan harus diamankan termasuk
data, perangkat lunak, perangkat keras, jaringan komunikasi dan data, sarana
pendukung dan sumber daya manusia. Tentukan pemilik aset tersebut dan
identifikasi tingkatan penting tidaknya (kritikal) aset tersebut bagi unit kerja
pengguna dan unit kerja penyelenggara TI. Untuk proses identifikasi ini Bank
menetapkan terlebih dahulu kriteria penilaian tertentu yang akan digunakan
misalnya seperti yang terdapat pada contoh di tabel berikut:
1555
Analisa Kriteria Penilaian
Aspek
Sensitivitas High Medium Low
Confidentiality Berapa besar Jika kerugian Jika kerugian Jika kerugian

kerugian yang yang ditimbulkan yang yang
ditimbulkan sangat signifikan ditimbulkan ditimbulkan
apabila terjadi karena informasi tidak signifikan sangat kecil
hilangnya yang bocor sangat karena karena
kerahasiaan atas sensitif atau informasi tidak informasi
suatu informasi? hanya bisa sensitif atau bersifat umum
diakses oleh akses informasi atau dapat
personil tertentu oleh berbagai diakses oleh
yang telah diberi pihak di siapa saja.
otorisasi. organisasi.
Integrity Berapa besar Jika dampak Jika dampak Jika dampak

dampak/kerugia yang yang yang
n terhadap ditimbulkan ditimbulkan ditimbulkan
jalannya proses sangat tidak signifikan sangat kecil
bisnis apabila signifikan seperti dan tidak
suatu aset tidak seperti mengakibatkan mengganggu
digunakan mengakibatkan tidak proses bisnis.
dengan benar, tidak berjalannya
tidak lengkap, berjalannya proses bisnis
tidak akurat dan proses bisnis yang tidak
tidak dikinikan? dan signifikan,
menimbulkan kesalahan
potensi dalam
dilakukannya pengambilan
penyimpangan keputusan.
yang mengarah
pada nilai uang
yang cukup
signifikan.
Availability Berapa besar Jika dampak Jika dampak Jika dampak

dampak/kerugia yang yang yang
n yang ditimbulkan ditimbulkan ditimbulkan
ditimbulkan sangat tidak signifikan sangat kecil
apabila terjadi signifikan karena aset karena proses
ketidak seperti dapat bisnis tetap
tersediaan suatu mengakibatkan digantikan berjalan tanpa
aset? tidak dengan biaya aset tersebut
berjalannya atau waktu atau aset bisa
proses bisnis. yang memadai diganti
sehingga hanya dengan cepat.
mengakibatkan
penurunan
efesiensi dan
efektivitas atas
jalannya proses
bisnis.
2556
Aset yang telah diklasifikasikan sesuai analisa sensitivitas dan penentuan
tingkat kritikal seperti dalam tabel diatas kemudian dicantumkan pada kolom 1
di form Risk Register.
Contoh : Informasi nasabah dalam bentuk hardcopy.
2.2. Identifikasi risiko dan evaluasi risiko yang terkait dengan aset
Kolom 2 di Risk Register diisi dengan hasil identifikasi dan evaluasi pengguna
dan penyelenggara TI terhadap potensial kegagalan atau kelemahan proses
pengamanan yang ada/diterapkan Bank atas aset yang telah didefinisikan,
sehingga berpengaruh secara signifikan terhadap kinerja Bank. Satu aset dapat
memiliki beberapa risiko. Contoh pencantuman di Kolom 2 (Deskripsi Risiko):
Informasi bocor kepada pihak yang tidak berwenang.
2.3. Analisa Kerawanan

Kolom 3 Risk Register diisi dengan faktor yang rawan dapat menyebabkan
terjadinya kegagalan atau kelemahan pengamanan TI (risiko) yang telah
diidentifikasi pada kolom 2. Tiap risiko dapat memiliki beberapa kerawanan.
Contoh pencantuman di kolom 3:
- Pengamanan terhadap lemari penyimpanan arsip kurang memadai;
- Informasi nasabah tidak disimpan dengan baik pada tempat yang
seharusnya.
3. Pengukuran Risiko
Besarnya pengaruh risiko dapat diketahui dengan menilai kecenderungan risiko dan
dampak yang dapat ditimbulkan oleh risiko tersebut terhadap proses bisnis. Kriteria
pengukuran yang digunakan mengacu kepada metode risk assessment yang berlaku
di Bank. Proses ini dilakukan oleh personil yang mengetahui proses bisnis dan
pengamanan atas informasi di proses tersebut. Kolom 4, 5, dan 6 diisi dengan hasil
pengukuran Bank atas kecenderungan dan dampak dari risiko sebelum pengendalian
dilakukan terhadap aset berisiko tersebut. Sedangkan kolom 8, 9 dan 10 diisi dengan
hasil pengukuran Bank atas kecenderungan dan dampak dari risiko setelah
pengendalian dilakukan terhadap aset berisiko tersebut.
3.1. Pengukuran Kecenderungan (Probability)

Kolom 4 Risk Register diisi dengan Kecenderungan Inheren yang merupakan
kemungkinan terjadinya risiko sebelum adanya pengendalian. Kolom 8 diisi
dengan Kecenderungan Residual yang merupakan kemungkinan terjadinya
risiko setelah adanya pengendalian. Kecenderungan dapat diukur dengan suatu
kriteria pengukuran, yaitu nilai kuantitatif dari kecenderungan terjadinya risiko
yang disebutkan pada deskripsi risiko. Kuantifikasi kecenderungan dapat
3557
berupa ukuran terjadinya risiko dalam satuan waktu seperti frekuensi kejadian
setiap hari, setiap minggu, setiap bulan, atau setiap tahun.
Contoh kriteria pengukuran kecenderungan:
Level Frekuensi Kejadian Potensi Terjadi
5 Sangat sering terjadi Potensi terjadi tinggi dalam jangka pendek
4 Lebih sering terjadi Potensi terjadi tinggi dalam jangka panjang

3 Cukup sering terjadi Potensi terjadi sedang
2 Jarang terjadi Potensi terjadi kecil
1 Hampir tidak pernah terjadi Kemungkinan terjadi sangat kecil
Contoh pencantuman hasil pengukuran Kecenderungan Inheren pada kolom 4

di form Risk Register : Level 4
Contoh pencantuman hasil pengukuran Kecenderungan Residual pada kolom 8
di form Risk Register : Level 3
3.2. Pengukuran Dampak (impact/severity)

Kolom 5 Risk Register diisi dengan Dampak Inheren yang menggambarkan
tingkatan kerusakan yang disebabkan oleh terjadinya risiko relatif terhadap aset
sebelum ada/diterapkannya pengendalian. Kolom 9 diisi dengan Dampak
Residual yang menggambarkan tingkatan kerusakan yang disebabkan oleh
terjadinya risiko relatif terhadap aset setelah ada/diterapkannya pengendalian.
Contoh klasifikasi dampak :

Potensi gangguan terhadap
Nilai Potensi penurunan Reputasi
Proses Bisnis
5 Aset Pemrosesan Informasi Kerusakan reputasi yang
mengalami kegagalan total sehingga mengakibatkan penurunan
keseluruhan bisnis bank tidak reputasi yang serius dan
tercapai. berkelanjutan dimata
nasabah/stakeholders utama, pasar
uang dan masyarakat secara
global dan regional.
4 Aset Pemrosesan Informasi Kerusakan reputasi yang tidak
mengalami gangguan yang menyeluruh – hanya nasabah atau
menyebabkan aktivitas bisnis bank partner bisnis (counterparties)
mengalami penundaan sampai Aset tertentu.
4558
Potensi gangguan terhadap
Nilai Potensi penurunan Reputasi
Proses Bisnis
Pemrosesan Informasi yang terkait
pulih
mengalami gangguan yang menyeluruh – hanya di
menyebabkan sebagian bisnis bank divisi/bagian/tim tertentu.
mengalami penundaan sampai Aset
Pemrosesan Informasi yang terkait
pulih
mengalami gangguan namun menyeluruh - hanya satuan kerja
aktivitas tugas pokok Tim dapat tertentu.
dikerjakan secara normal karena
aset pemrosesan informasi yang
terkait dapat digantikan oleh Aset
Pemrosesan Informasi lainnya.
1 Tidak menyebabkan gangguan Tidak berpengaruh pada reputasi.
terhadap operasional proses bisnis
Contoh pencantuman hasil pengukuran dampak pada kolom 5 di form

Risk Register : Level 5
Contoh pencantuman hasil pengukuran dampak pada kolom 8 di form
Risk Register : Level 2
3.3. Penentuan Nilai Risiko

Kolom 6 Risk Register diisi dengan Nilai Risiko Dasar (NRD) yaitu tingkatan
risiko aset sebelum ada/diterapkannya pengendalian. Kolom 10 Risk Register
diisi dengan Nilai Risiko Akhir (NRA) yaitu tingkatan risiko aset setelah
ada/diterapkannya pengendalian. Seperti telah dijelaskan dalam Bab I, Bank
dapat menentukan sendiri metode pemeringkatan dalam matriks pengukuran
risiko. Penilaian risiko pada contoh ini diukur menggunakan 3 tingkatan yang
meliputi : Low, Medium, dan High sebagai berikut:
5559
5 Medium Medium High High High
Kecenderungan
4 Low Medium High High High
3 Low Low Medium High High
2 Low Low Medium Medium High
1 Low Low Medium Medium High
1 2 3 4 5
Dampak
Contoh pencantuman hasil penentuan NRD di kolom 6: High
Contoh pencantuman hasil penentuan NRA di kolom 10: Medium
4. Identifikasi Pengendalian yang Diimplementasikan

Kolom 7 Risk Register diisi dengan langkah-langkah pengendalian yang telah
diimplementasikan oleh Bank untuk mengurangi risiko atas aset yang diidentifikasi
seperti:
- kebijakan dan prosedur Bank terkait aset;
- penggunaan teknologi tertentu untuk mengendalikan risiko secara otomatis atau
tersistem seperti audit log, on line approval, parameter value di sistem.
Contoh pencantuman kontrol di kolom 7 untuk asset yang berupa Informasi nasabah
dalam bentuk hardcopy:
- ketentuan mengenai pengelolaan arsip;
- akses ruang arsip harus menggunakan PIN;
- penggunaan CCTV.
5. Nilai Risiko Yang Diharapkan

Atas semua aset yang teridentifikasi sebaiknya Bank menentukan nilai risiko yang
diharapkan (limit risiko). Sebagai contoh apabila diharapkan risiko kebocoran
informasi rahasia nasabah harus pada level low maka pada kolom 11 diisi Low.
6. Analisis Nilai Risiko

Dengan demikian, setelah semua langkah-langkah di atas dilakukan, maka contoh
pengisian Form Risk Register adalah sbb :
Inheren Residual Nilai
Kecender Kecender
Aset Deskripsi Risiko Analisa Kerawanan ungan Dampak
Nilai
Kontrol yang Ada Dampak Nilai Risiko
(min = 1, Risiko
ungan (min = 1, Risiko Diharapka
(min = 1, maks = 5) (min = 1, maks = 5)
maks = 5)
Dasar maks = 5)
Akhir n
1 2 3 4 5 6 7 8 9 10 11
Informasi Informasi bocor Pengamanan terhadap - Ketentuan mengenai pengelolaan arsip
nasabah pada pihak yang lemari penyimpanan Level 4 Level 5 HIGH - Akses ruang arsip dengan PIN Level 3 Level 2 MEDIUM LOW
dalam tidak berwenang arsip kurang memadai - CCTV
bentuk Informasi nasabah
hardcopy diletakan terbuka
(tercecer)
6560
Setelah form Risk Register terisi Bank melakukan analisis nilai risiko atas
masing-masing aset yang teridentifikasi. Perbedaan antara NRD High dengan NRA
Medium menunjukkan berkurangnya kecenderungan terjadinya risiko dan dampak
yang ditimbulkan bila risiko terjadi tidak akan sebesar apabila pengendalian
(risk control system) tidak diterapkan. Bank harus menganalisa apakah terdapat risiko
yang belum dikendalikan namun dapat diterapkan bentuk pengendalian tertentu.
Perbandingan antara NRA dengan Nilai Risiko yang diharapkan dari berbagai aset
yang teridentifikasi merupakan parameter dasar untuk langkah-langkah yang
diperlukan memitigasi risiko. Sebagai contoh apabila diharapkan risiko kebocoran
informasi rahasia nasabah harus pada level Low, maka perlu dilakukan pengendalian
tambahan apabila Nilai Risiko Akhir-nya masih Medium Bank selanjutnya
menetapkan Rencana Penanganan Risiko atas aset tersebut. Misalnya Bank perlu
memperbaiki risk control system untuk pengamanan informasi, mengkinikan
kebijakan dan prosedur pengamanan.
7561
LAMPIRAN 30.2
Lampiran 28.2
Lampiran32.2
LAMPIRAN .2
KATEGORI RISIKO PADA EUC
Contoh kategori tingkat risiko suatu aplikasi atau suatu kegiatan untuk EUC:
Peringkat Kategori Tingkat Kekritisan Bisnis
Risiko Risiko dan Klasifikasi Data
• Dapat menimbulkan kerugian finansial yang sangat
besar
• Dapat memberikan dampak yang merugikan nilai Bank,
termasuk harga saham (untuk Bank yang sudah Go-
Publik)
5. Sangat Tinggi
• Dapat menimbulkan sanksi dari Bank Indonesia
• Memiliki dampak potensial atau aktual terhadap
reputasi Bank secara internasional
• Kegagalan memenuhi prinsip corporate governance
yang sangat serius
• Dapat menimbulkan kerugian finansial yang besar
• Dapat memberikan dampak yang serius bagi Bank
• Dapat menimbulkan sanksi dari Bank Indonesia
• Kemungkinan timbulnya sorotan publik (reputation risk
exposures) apabila tidak ditangani secara benar
4. Tinggi
• Isu pelayanan nasabah (customer service) yang
berdampak serius terhadap bisnis Bank
• Risiko reputasi amat potensial bagi Bank
yang cukup serius
• Kerugian finansial yang dapat ditimbulkan cukup besar
• Dampak yang cukup signifikan bagi bisnis Bank
3. Menengah • Kemungkinan risiko reputasi pada skala menengah
• Kerugian finansial yang dapat ditimbulkan relatif
rendah
2. Rendah • Dampak terhadap bisnis Bank relatif kecil
• Tidak ada sangsi dari Bank Indonesia
• Risiko reputasi bagi Bank relatif rendah
• Tidak ada /kecil dampak kerugian finansial bagi Bank
• Dampak kerugian hanya terbatas pada unit bisnis
1. Dapat Diabaikan pengguna aplikasi tersebut
• Tidak ada risiko reputasi bagi Bank
Tabel diatas hanya merupakan contoh. Bank hendaknya membuat kriteria risiko yang
disesuaikan dengan ukuran dan kompleksitas usaha Bank yang bersangkutan.
562
Surat Edaran Bank Indonesia Nomor 9/30/DPNP Tanggal 12 Desember 2007
Lampiran
LAMPIRAN
Lampiran
LAMPIRAN 33 31
29
FORMULIR
PELAPORAN DAN PERMOHONAN
PERSETUJUAN PENGGUNAAN
TEKNOLOGI INFORMASI
1563
DAFTAR ISI
Lampiran .1 Laporan Penggunaan Teknologi Informasi
Lampiran .1.1 Manajemen

Lampiran .1.2 Aplikasi dan Pengembangan
Lampiran .1.3 Operasional Teknologi Informasi
Lampiran .1.4 Jaringan Komunikasi
Lampiran .1.5 Pengamanan Informasi
Lampiran .1.6 Business Continuity Plan
Lampiran .1.7 End User Computing
Lampiran .1.8 Electronic Banking
Lampiran .1.9 Audit Teknologi Informasi (Audit TI)
Lampiran .1.10 Penyelenggaraan TI oleh Pihak Lain
Lampiran .2 Rencana Perubahan Mendasar Dalam Penggunaan Teknologi

Informasi
Lampiran .2.1 Rencana Penerbitan Electronic Banking

Transaksional
Lampiran .2.2 Rencana Penyelenggaraan Data Center dan atau
Disaster Recovery Center oleh Pihak Lain di Dalam
Negeri
Lampiran .2.3 Rencana Penyelenggaraan Data Center dan atau
Disaster Recovery Center oleh Pihak Lain di Luar
Negeri
Lampiran .2.4 Rencana Penyelenggaraan Pemrosesan Transaksi
Berbasis Teknologi Informasi oleh Pihak Lain di
Dalam Negeri
Lampiran .2.5 Rencana Penyelenggaraan Pemrosesan Transaksi
Luar Negeri
Lampiran .3 Laporan Realisasi Perubahan Mendasar Dalam Penggunaan

Teknologi Informasi
Lampiran .3.1 Realisasi Penerbitan Electronic Banking

Transaksional
Lampiran .3.2 Realisasi Penyelenggaraan Data Center dan atau
Disaster Recovery Center oleh Pihak Lain di Dalam
Negeri
Lampiran .3.3 Realisasi Penyelenggaraan Data Center dan Disaster
Recovery Center oleh Pihak Lain di Luar Negeri
Lampiran .3.4 Realisasi Penyelenggaraan Pemrosesan Transaksi
Dalam Negeri
2564
Lampiran .3.5 Realisasi Penyelenggaraan Pemrosesan Transaksi
Luar Negeri
Lampiran .4 Laporan Tahunan Penggunaan Teknologi Informasi
Lampiran .5 Laporan Kejadian Kritis, Penyalahgunaan dan/atau Kejahatan dalam

Penyelenggaraan Teknologi Informasi (TI)
Lampiran .6 Permohonan Persetujuan Ulang Penyelenggaraan Data Center Dan

Atau Disaster Recovery Center oleh Pihak Lain di Luar Negeri bagi
Kantor Cabang Bank Asing
3565
PENJELASAN CARA PENGISIAN LAPORAN
Petunjuk pengisian Laporan Penggunaan Teknologi Informasi, Laporan Tahunan

Penggunaan Teknologi Informasi dan Laporan Kejadian Kritis.
Berilah tanda ”V” jawaban yang sesuai :

Contoh:
V ada Tidak Ada
atau
Ya Tidak V
Apabila terdapat permintaan informasi dan dokumen pendukung, selain memberi tanda
”V” maka Bank hendaknya memberikan informasi tersebut. Jika diperlukan, dapat
menggunakan lembar tambahan untuk melengkapi penjelasan pada formulir yang diminta.
Apabila terdapat pertanyaan yang diikuti:
V Terlampir Tidak Terlampir
maka Bank memberi tanda ”V” pada kotak ”terlampir” apabila Bank menyertakan
lampiran yang diminta pada laporan tersebut.
Untuk Laporan Penggunaan Teknologi Informasi, Laporan Tahunan dan Laporan Kejadian
Kritis apabila Bank mencoret tanda ”V” pada kotak ”Tidak Terlampir” maka dianggap
Bank tidak memiliki hal yang diminta untuk dilampirkan.
Apabila Bank dalam menyampaikan Laporan Tahunan Penggunaan Teknologi Informasi

memberi tanda ”V” pada kotak ”Ada” untuk perubahan dan memberi tanda ”V” pada
kotak ”Belum” untuk pelaporannya,
Sudah Belum V
maka Bank harus memberikan data dan penjelasan mengenai perubahan tersebut. Bank
dapat menggunakan lampiran terkait pada Laporan Penggunaan Teknologi Informasi yang
disebutkan dimasing-masing nomor atau format bebas sesuai hal yang akan dilaporkan
oleh bank.
Apabila Bank menggunakan lampiran pada Laporan Penggunaan Teknologi Informasi
yang disebutkan maka tanda ”V” yang tertera pada kotak ”Tidak Terlampir” di lampiran
tersebut, akan dianggap sebagai ”tidak terdapat perubahan dari laporan sebelumnya.
Terlampir Tidak Terlampir V
Petunjuk Pengisian Laporan Perubahan Mendasar.
Setiap rencana perubahan yang mendasar dilaporkan dengan menggunakan Lampiran 2.2..
Apabila perubahan mendasar yang akan dilakukan merupakan penerbitan produk
electronic banking dan atau penggunaan pihak penyedia jasa Teknologi Informasi maka
dokumen yang harus disampaikan mengacu kepada lampiran terkait yang disebutkan pada
Surat Edaran Ekstern. Bank mengisi kotak ” Ya - Dokumen Terlampir” di kategori
4566
perubahan mendasar yang dilaporkan dengan nomor lampiran terkait perubahan yaitu
Lampiran 2.2.1. untuk rencana penerbitan produk electronic banking baru dan Lampiran
2.2.2., Lampiran 2.2.3, Lampiran 2.2.4 atau 2.2.5 untuk rencana penggunaan pihak
penyedia jasa. Bank memberikan tanda ”V” pada kotak ”Tidak” di kategori lainnya/di luar
yang dilaporkan.
Contoh apabila yang dilaporkan adalah rencana produk electronic banking baru:
Ya
Dokumen Tidak **) Keterangan
Pertanyaan
Terlampir**)
1. Konfigurasi / cara pengoperasian ***) V

2. Sistem aplikasi core banking****) V
3. Produk electronic banking Lampiran 2.2.1
transaksional baru
4. Penyelenggaraan TI oleh pihak lain V
5. Perubahan Mendasar Lain Menurut
Bank yaitu :
a. ..................................................... V
b. .....................................................
Format Laporan Perubahan Mendasar ini juga berlaku untuk lampiran permohonan
persetujuan Bank Indonesia atas rencana Bank menggunakan pihak penyedia jasa di luar
negeri untuk Data Center, Disaster Recovery Center atau Pemrosesan Transaksi Berbasis
5567
Lampiran -131.1
LAMPIRAN
Lampiran 29.1
LAPORAN PENGGUNAAN TEKNOLOGI

INFORMASI
Nama Bank
Alamat Kantor Pusat Bank .....
No. Telp. ...................................
Nama Penanggung Jawab

Kantor/Divisi/Bagian Penanggung
Jawab
Alamat Penanggung Jawab
No. Telp. ...................................
Tanggal Laporan _ _ _ _ _ _ _ _ _ _ _ _ _ _
................................
6568
LAMPIRAN
Lampiran
LAMPIRAN31.1.1
29.1.1
Lampiran 33.1.1
.1.1
MANAJEMEN
1. Struktur Organisasi Bank yang menunjukkan posisi Organisasi Teknologi

Informasi*).
Terlampir Tidak Terlampir
2. Struktur Organisasi khusus satuan kerja Teknologi Informasi*).

3. IT Steering Commtitee (ITSC).
a. Surat Keputusan Pembentukan.

b. Surat Keputusan/Rísalah Rapat ITSC terakhir.

4. Rencana jangka panjang (IT Strategic Plan)

5. Job description personil TI.

Ada Tidak Ada
6. Training di bidang TI yang pernah diikuti personil TI.

Ada Tidak Ada
7. Risk Management.
a. Terdapat petugas untuk memonitor risiko terkait TI.
Ada Tidak Ada
b. Terdapat tools, system & prosedur untuk memonitor risiko terkait TI baik
di satuan kerja TI maupun satuan kerja pengguna TI.
Ada Tidak Ada
c. Terdapat analisis terkini dari risk identification, risk measurement, risk

monitoring and mitigation dalam penyelenggaraan dan penggunaan
Teknologi Informasi
Ada Tidak Ada
Bila ada, lampirkan ringkasan analisis terkini tersebut
*) Struktur organisasi berdasarkan nama jabatan, baik di divisi TI maupun divisi pengguna utama TI, serta struktur
organisasi berdasarkan nama pejabat di divisi TI mulai dari direksi penanggung jawab TI sampai kepala seksi.
7569
Lampiran 29.1.2
Lampiran
LAMPIRAN .1.2
31.1.2
APLIKASI DAN PENGEMBANGAN
1. Kebijakan, sistem & prosedur pengembangan aplikasi yang dilakukan bank.

Ada Tidak Ada
2. Daftar aplikasi yang sudah operasional*).

a. Dikembangkan sendiri.
b. Dikembangkan pihak penyedia jasa.

3. Application Architecture.
4. Daftar aplikasi yang sedang dalam pengembangan*).
a. Dikembangkan sendiri.
b. Dikembangkan pihak penyedia jasa.

5. Apakah bank memiliki fungsi Project Management untuk aplikasi yang sedang
dalam pengembangan.
Ya Tidak
6. Apakah bank memisahkan environment untuk pengembangan, testing dan

production ?
Ya Tidak
7. Apakah bank menggunakan change control software?

Ya Tidak
*) Memuat informasi nama aplikasi, kegunaan, pihak pengembang (in house atau nama vendor), penyelenggara
(intern/outsourcing), platform, tahun implementasi, technical user documentation, jenis database system, lokasi
Server utama dan lokasi server back up yang meng-install aplikasi ini.
8570
Lampiran29.1.3
LAMPIRAN
Lampiran .1.3
31.1.3
OPERASIONAL TEKNOLOGI INFORMASI
1. Informasi mengenai Pusat Data (Data Center) Bank :

a. Alamat ………………………………………………………………....
b. Status kepemilikan
Milik Sendiri Milik penyedia jasa
c. Spesifikasi server utama dan perangkat keras lainnya.

d. Kelengkapan pengamanan fisik pada Data Center.

2. Apakah terdapat server yang ditempatkan di luar data center ?

Ada Tidak Ada
3. Aplikasi khusus untuk pengamanan informasi (access control software).

Ada Tidak Ada
4. Prosedur Penanganan Masalah (Problem Handling termasuk Helpdesk).

Ada Tidak Ada
5. Kebijakan, sistem & prosedur change management.

Ada Tidak Ada
6. Kebijakan, sistem dan prosedur pengelolaan hak akses pengguna sistem dan aplikasi
Ada Tidak Ada
7. Penetapan sistem & data sensitivity

Ada Tidak Ada
8. Ketersediaan audit trail pada sistem dan data.

Ada Tidak Ada
9. Kebijakan, sistem dan prosedur back up data

Ada Tidak Ada
*) Bila terdapat lebih dari 1 data center, misalnya ada data center khusus untuk treasury atau khusus untuk trade finance
agar dicantumkan pula kelengkapan informasi data center lainnya dari no. 1 sampai dengan No. 9 diatas.
9571
Lampiran .1.4
LAMPIRAN
Lampiran 31.1.4
29.1.4
JARINGAN KOMUNIKASI
1. Arsitektur Jaringan Komunikasi Data (utama dan back up).
2. Kebijakan, sistem dan prosedur pengamanan jaringan.
Ada Tidak Ada
3. Daftar perangkat keras dan lunak yang digunakan untuk jaringan.
4. Network Monitoring System.
Ada Tidak Ada
5. Kebijakan untuk konfigurasi pengamanan komunikasi data (misalnya firewall).
Ada Tidak Ada
10572
Lampiran .1.5
LAMPIRAN
Lampiran 31.1.5
29.1.5
PENGAMANAN INFORMASI *)
1. Kebijakan dan prosedur pengamanan informasi, mencakup antara lain:

a. Pemberian, perubahan & penghapusan akses user.
Ada Tidak Ada
b. Security Awareness Program.

Ada Tidak Ada
c. Incident handling/Incident respond team.

Ada Tidak Ada
d. Klasifikasi data.
Ada Tidak Ada
e. Penggunaan emergency user ID.

Ada Tidak Ada
f. Pencegahan penggunaan software illegal.

Ada Tidak Ada
2. Pengelolaan aset
a. Pengelolaan aset terkait informasi meliputi identifikasi, penentuan kepemilikan
& tanggung jawab serta inventarisasi daftar aset.
b. Klasifikasi informasi (misalnya sangat rahasia, rahasia, biasa) dan prosedur

pengamanannya.
c. Pengamanan fisik termasuk penggunaan alat pengamanan (access control card,

PIN dsb) terhadap fasilitas pemrosesan informasi.
Ada Tidak Ada
3. Pengamanan Akses
a. Penerapan pengamanan password pada aplikasi, misalnya aplikasi telah
memaksa user untuk mengubah password secara berkala.
Ada Tidak ada
*) Bila bank menggunakan jasa pihak lain dalam penyelenggaraan TI, pertanyaan-pertanyaan di atas berlaku juga untuk
penyelenggaraan TI tersebut.
11573
b. Security Matrix yang menjelaskan hak akses yang diberikan kepada masing-
masing user untuk setiap aplikasi yang dimiliki Bank.
Ada Tidak ada
c. Terdapat fungsi audit (audit log/audit trail) untuk setiap aktivitas yang
dilakukan oleh user dan dilakukan analisa terhadap audit log tersebut.
Ada Tidak ada
d. Review secara periodik terhadap kesesuaian antara user berikut hak akses yang
diberikan oleh pihak yang independen.
Ada Tidak ada
4. Sumber Daya Manusia

a. Pencantuman ketentuan mengenai pengamanan informasi di dalam perjanjian
dengan pegawai bank, pegawai kontrak dan pihak ketiga.
Ada Tidak ada
b. Adanya ketentuan mengenai sanksi atas pelanggaran terhadap kebijakan

pengamanan informasi.
Ada Tidak ada
c. Prosedur pengembalian atau perubahan hak akses terhadap aset terkait

informasi saat terjadi mutasi atau selesainya perjanjian kerja atau masa tugas.
Ada Tidak ada
5. Pengamanan fisik termasuk penggunaan alat pengamanan (access control card,

PIN dsb) terhadap fasilitas pemrosesan informasi.
Ada Tidak ada
6. Operasional Aplikasi
Ketentuan tentang pengamanan dalam identifikasi dan otentikasi akses misalnya
penggunaan, password, token, biometric dll.
Ada Tidak ada
7. Penanganan Insiden Pengamanan Informasi

a. Ketentuan mengenai keharusan untuk melaporkan terjadinya insiden
pengamanan informasi.
Ada Tidak ada
b. Prosedur mengenai pelaporan, penanganan, pendokumentasian dan tindak

lanjut terjadinya insiden pengamanan informasi.
Ada Tidak ada
12574
Lampiran 29.1.6
Lampiran .1.6
LAMPIRAN 31.1.6
BUSINESS CONTINUITY PLAN
1. Kebijakan, sistem dan prosedur Business Continuity Plan termasuk Disaster Recovery
Plan didalamnya.
Ada Tidak Ada
Bila tidak ada , apakah Bank memiliki Disaster Recovery Plan?.
Ada Tidak Ada
2. Struktur organisasi dan kewenangan Business Continuity Plan.*)
3. a. Business Impact Analysis terakhir.
Tgl .........................................................
b. Risk Assessment Review terakhir.
Tgl .........................................................
4. Disaster Recovery Center
a. Alamat ………………………………………………………………....
b. Spesifikasi back up server dan perangkat keras lainnya.
c. Kelengkapan pengamanan fisik pada DRC.
d. Konfigurasi DRC (topologi jaringan, hardware, software, dan pendukung
lainnya)
e. Back Up Data (hot, warm, cold back up) untuk masing-masing aplikasi yang
tersedia di DRC.
5. Testing BCP & DRP.
a. Kebijakan, sistem dan prosedur testing
Ada Tidak Ada
b. Pengujian menyeluruh (overall testing) atas seluruh sistem/aplikasi yang critical
terakhir
Tgl .........................................................
c. Pengujian parsial dalam 1 (satu) tahun terakhir

Aplikasi .......................... Tgl…………
Wilayah operasi............. Tgl ..………
*) Termasuk nama dan jabatan orang yang ada di dalam core team BCP
13575
Lampiran 29.1.7
Lampiran .1.7
END USER COMPUTING
1. Daftar aplikasi yang dikembangkan dan/atau diadakan oleh unit kerja diluar unit
kerja Teknologi Informasi.
2. Apakah terdapat kebijakan dan prosedur yang telah disetujui Direksi dan Dewan
Komisaris mengenai pengembangan dan pemeliharaan aplikasi oleh pengguna akhir.
Ada Tidak Ada
14576
Lampiran29.1.8
Lampiran .1.8
ELECTRONIC BANKING
1. Produk e-banking yang disediakan bank (jawaban dapat lebih dari satu):
a. Kartu ATM
Ya Tidak
Jenis rekening terkait:

Giro Tabungan Kredit Deposito Lainnya
b. Kartu Debit
Ya Tidak
Jenis rekening terkait:

Giro Tabungan Kredit Deposito Lainnya
c. Kartu Kredit
Ya Tidak
d. Kartu prabayar yang dapat diisi ulang (prepaid card).

Ya Tidak
e. SMS Banking
Ya Tidak
Informational Communicative Transactional
f. Internet Banking
Ya Tidak
g. Phone Banking
Ya Tidak
h. Produk lain yaitu ..........................................................................................
2. Bekerjasama dengan perusahaan/bank lain (principal, acquirer, switching company)

Ya Tidak
3. Apakah terdapat kebijakan dan prosedur terkait setiap produk e-banking yang telah
disetujui Direksi dan Dewan Komisaris.
Ada Tidak Ada
15577
4. a. Sistem arsitektur TI untuk masing-masing produk e-banking dan bentuk
koneksi dengan core banking system;
b. Sistem pengamanan (mencakup confidentiality, integrity, availability dan

authentication) yang digunakan pada masing-masing produk e-banking
Ada Tidak Ada
5. Apakah terdapat analisis terkini dalam 1 (satu) tahun terakhir dari risk identification,
risk measurement, risk monitoring and mitigation untuk setiap produk e-banking.
Ada Tidak Ada
Bila ada:
6. Apakah terdapat program edukasi dan mekanisme perlindungan nasabah untuk

setiap produk e-banking.
Ada Tidak Ada
7. Data Statistik Transaksi e-banking selama 1 (satu) tahun kalender terakhir
Nama Produk Jenis Data Jumlah

Phone Banking Jumlah Nasabah
Nilai Transaksi Rp.....................juta
Frekuensi Transaksi
SMS/Mobile Banking Jumlah Nasabah
Frekuensi Transaksi
Internet Banking Jumlah Nasabah
Frekuensi Transaksi
Prepaid Card Jumlah Nasabah
Frekuensi Transaksi
16578
Lampiran29.1.9
Lampiran .1.9
AUDIT TEKNOLOGI INFORMASI (AUDIT TI)*)
1. Bank memiliki unit kerja atau personil untuk audit intern khusus TI.
Ya Tidak
Jika ya, lampirkan struktur organisasi Audit TI dan lengkapi dengan curiculum vitae
auditor intern.
2. Jika jawaban pada no. 1 adalah tidak, apakah bank menggunakan auditor ekstern
untuk melakukan audit intern khusus TI?
Ya Tidak
Jika ya, lampirkan perjanjian kerja terkini.

3. Review terakhir oleh pihak independen terhadap fungsi audit intern TI.
Ada Tidak Ada
4. Bank memiliki pedoman Audit Intern TI.

Ada Tidak Ada
5. Audit khusus TI dilaksanakan minimal 1 kali setahun.

Ya Tidak
6. Apakah audit khusus pada nomor 5 juga dilakukan atas Data Center, Disaster
Recovery Center dan Pemrosesan Transaksi Berbasis TI yang diselenggarakan oleh
pihak lain?
Ya Tidak
Bila ya, sebutkan dua tanggal audit TI terakhir.

Tgl .........................................................
Tgl .........................................................
7. Apakah audit khusus TI tersebut di atas, dalam 3 tahun terakhir telah mencakup
seluruh modul dalam aplikasi Core Banking?.
Ya Tidak
8. Laporan Audit khusus TI termasuk yang dilaporkan kepada Komite Audit.

Ya Tidak
*) Informasi mencakup jenis layanan, data penyedia jasa (nama perusahaan, alamat data center, alamat perusahaan,
pemilik/grup pemilik mayoritas), tanggal dan jangka waktu perjanjian, contact person di bank yang menangani jasa
penyelenggaraan TI tersebut dan informasi penting lainnya .
17579
Lampiran29.1.10
Lampiran .1.10
PENYELENGGARAAN TI OLEH PIHAK LAIN
1. Daftar layanan TI yang diselenggarakan oleh pihak ketiga diluar pengembangan

sistem aplikasi*).
2. Copy perjanjian antara bank dengan penyelenggara Data Center, Disaster Recovery
Center dan Pemrosesan transaksi berbasis TI
3. Hasil review terkini mengenai analisis biaya & manfaat penyelenggaraan TI oleh
pihak lain yang antara lain mencakup:
a. manfaat bagi Bank melampaui biaya dibebankan oleh pihak penyedia jasa
kepada Bank;
b. Penilaian kecukupan dan kesesuaian sistem aplikasi yang digunakan dengan
kebutuhan bank;
c. Analisis sistem pengamanan yang digunakan oleh pihak penyedia jasa.
Ada Tidak ada
4. Analisis bank mengenai kecukupan Disaster Recovery Plan milik pihak penyedia
jasa penyelenggara TI.
Ada Tidak ada
5. Analisis kelangsungan penyediaan jasa berdasarkan kinerja terkini perusahaan

penyedia jasa termasuk laporan keuangan dan risiko yang terkait antara lain risiko
operasional, hukum dan reputasi dari perusahaan penyedia jasa.
Ada Tidak ada
6. a. Apakah penyelenggaraan Data Center, Disaster Recovery Center dan

Pemrosesan transaksi berbasis TI oleh pihak lain dilakukan audit TI oleh
auditor ekstern Bank?
Ya Tidak
b. Bila ya, sebutkan dua tanggal audit TI terakhir.

Tgl .........................................................
Tgl .........................................................
c. Apakah dilakukan audit TI oleh auditor ekstern pihak penyedia jasa?

Ya Tidak
d. Bila ya, sebutkan dua tanggal audit TI terakhir.

Tgl .........................................................
Tgl .........................................................
18580
Lampiran29.2
Lampiran -2
RENCANA PERUBAHAN MENDASAR DALAM

PENGGUNAAN TEKNOLOGI INFORMASI*)
Nama Bank
No. Telp. ...................................
Nama Pelapor
Kantor/Divisi/Bagian Pelapor
Alamat Pelapor.....
No. Telp. ...................................
Tanggal Laporan _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
................................
Apakah terdapat rencana perubahan mendasar dalam penyelenggaraan

Teknologi Informasi?
Pertanyaan Ya Tidak Keterangan

Dokumen **)
Terlampir**)
6. Konfigurasi / cara pengoperasian ***)

7. Sistem aplikasi core banking****)
8. Produk electronic banking transaksional
baru
9. Penyelenggaraan TI oleh pihak lain
Bank yaitu :
a. ..........................................................
*) Perubahan dalam penyelenggaraan TI dilaporkan 2 (dua) bulan sebelum rencana perubahan tersebut
efektif dioperasikan sebagaimana dipersyaratkan pada PBI dan SE. Penyelenggaraan TI oleh pihak lain di
luar negeri hanya dapat dilakukan setelah memperoleh persetujuan Bank Indonesia.
**) Cantumkan apakah dokumen pendukung yang harus disampaikan telah dilampirkan. Dokumen pendukung
tersebut mengacu pada Lampiran 2.2.1 untuk produk electronic banking baru dan lampiran 2.2.2, 2.2.3,
2.2.4 atau 2.2.5 untuk penyelenggaraan TI oleh pihak ketiga, sedangkan untuk perubahan mendasar yang
lainnya format bebas.
***) Yang dimaksud dengan perubahan terhadap konfigurasi antara lain topologi/arsitektur TI Bank,
platform/operating system, server utama terkait dengan aplikasi core banking, baik yang diselenggarakan
sendiri maupun menggunakan jasa pihak penyedia jasa Teknologi Informasi.
****) Yang dimaksud dengan Aplikasi core banking adalah sistem aplikasi untuk memproses dan mengolah data
terkait produk dan jasa utama Bank, yang jika tidak berfungsi akan mengganggu keberlangsungan usaha
dan menimbulkan kerugian yang signifikan bagi Bank.
19581
Lampiran
Lampiran29.2.1
.2.1
RENCANA PENERBITAN
ELECTRONIC BANKING TRANSAKSIONAL*)
1. Sistem, prosedur dan kewenangan dalam penerbitan produk Electronic Banking.
2. Uraian singkat atau penjelasan mengenai produk e-banking yang akan diterbitkan.
3. Kebijakan dan prosedur yang menjelaskan kesiapan infrastruktur Teknologi

Informasi masing-masing produk Electronic Banking.
4. Lampirkan penjelasan mengenai sistem arsitektur Teknologi Informasi dari produk

e-banking yang akan diterbitkan dan bentuk koneksi dengan core banking system.
5. Hasil analisis dan identifikasi risiko pada Bank terhadap risiko yang melekat pada
produk electronic banking dan bentuk pengendalian pengamanan untuk mitigasi
risiko tersebut antara lain untuk memastikan terpenuhinya prinsip kerahasiaan
(confidentiality), integritas (integrity), otentifikasi (authentication) dan ketersediaan
(availability).
6. Jelaskan secara tersendiri aturan yang diterapkan bank mengenai:

a. 2 faktor authentification yang akan digunakan;
b. Encryption yang akan digunakan;
c. Password (kriteria numeric alphanumeric, panjang password).
7. Uraian sistem informasi akuntansi yang akan diterapkan untuk produk yang akan
diterbitkan.
8. Lampirkan hasil analisis dan identifikasi risiko produk e-banking antara lain risiko
operasional, hukum dan reputasi.
9. Lampirkan hasil pemeriksaan pihak independen yang memberikan pendapat atas

karakteristik produk dan kecukupan pengamanan sistem TI terkait produk serta
kepatuhan terhadap ketentuan dan/atau praktek-praktek yang berlaku di dunia
internasional (best practices).
10. Uraian kesiapan struktur organisasi pendukung dan bentuk pengawasan yang melekat
(built in control) yang akan diterapkan atas produk e-banking yang akan diterbitkan.
11. Hasil analisis bisnis mengenai proyeksi penerbitan produk baru dalam 1 (satu) tahun
kedepan
*) Rencana penerbitan e-banking dilaporkan 2 (dua) bulan sebelum rencana perubahan tersebut efektif dioperasikan
sebagaimana dipersyaratkan pada PBI.
20582
Lampiran
Lampiran29.2.2
.2.2
RENCANA PENYELENGGARAAN DATA CENTER

DAN ATAU DISASTER RECOVERY CENTER OLEH
PIHAK LAIN DI DALAM NEGERI*)
1. Rencana lokasi penyelenggaraan:

a. Pusat data (Data Center)........................................................
b. Disaster Recovery Center.......................................................
Lampirkan data nama dan alamat serta kepemilikan penyelenggara Data center dan
atau Disaster Recovery Center yang direncanakan.
2. Lampirkan ringkasan hasil pendefinisian kebutuhan dan due diligence yang telah
dilakukan Bank dalam rencana menggunakan penyedia jasa untuk
menyelenggarakan Data Center dan atau Disaster Recovery Center di dalam negeri.
3. Berkaitan dengan ringkasan due diligence pada nomor 2, sertakan hal-hal dibawah
ini sebagai lampiran ringkasan tersebut:
a. analisis Bank atas hasil audit teknologi informasi yang dilakukan oleh pihak
independen terhadap pengembangan sistem aplikasi yang ditawarkan dan
sistem pengamanan pada fasilitas yang dimiliki oleh pihak penyedia jasa;
b. analisis risiko Bank mengenai rencana menyerahkan penyelenggaraan Data
Center dan atau Disaster Recovery Center kepada pihak penyedia jasa antara
lain risiko operasional, hukum dan reputasi;
c. analisis Bank mengenai kecukupan Disaster Recovery Plan milik pihak
penyedia jasa penyelenggara TI.
4. Bila sudah ada lampirkan konsep perjanjian antara bank dengan penyelenggara TI
yang memuat hal-hal sebagaimana dipersyaratkan dalam Peraturan Bank Indonesia.
Bila konsep perjanjian belum ada lampirkan ringkasan proposal dari calon
penyelenggara dan ringkasan analisis bank atas proposal tersebut.
5. Proposal pada nomor 4 mencakup ringkasan analisis risiko oleh pihak penyedia jasa
penyelenggara TI atas penyelenggaraan Data Center dan atau Disaster Recovery
Center yang akan ditawarkan kepada bank.
6. Lampirkan ringkasan analisis biaya & manfaat penyelenggaraan TI oleh pihak lain
yang antara lain mencakup:
a. penilaian kecukupan dan kesesuaian sistem aplikasi yang akan digunakan
dengan kebutuhan bank;
b. analisis atas pengendalian pengamanan yang digunakan pihak penyedia jasa
untuk memastikan terpenuhinya confidentiality, integrity, availability dan
authentication;
*) Rencana bank menggunakan pihak penyedia jasa dalam menyelenggarakan data center dan DRC di dalam negeri
dilaporkan 2 (dua) bulan sebelum penyelenggaraan TI tersebut efektif dioperasikan sebagaimana dipersyaratkan
pada PBI.
21583
c. analisis kinerja, reputasi dan kelangsungan penyediaan layanan kepada para
pengguna jasa.
7. Lampirkan gambar IT Architecture yang telah ada dan yang direncanakan setelah
penyelenggaraan DC /DRC diserahkan kepada pihak penyedia jasa.
8. Lampirkan rencana pengawasan yang akan dilakukan bank atas penyelenggaraaan

Data Center dan atau Disaster Recovery Center.
9. Lampirkan Surat Pernyataan dari Bank mengenai kesediaan Bank memberikan akses
kepada auditor intern, ekstern maupun Bank Indonesia untuk memperoleh data dan
informasi secara tepat waktu setiap kali dibutuhkan.
22584
Lampiran
Lampiran29.2.3
.2.3
RENCANA PENYELENGGARAAN DATA CENTER DAN

ATAU DISASTER RECOVERY CENTER OLEH
PIHAK LAIN DI LUAR NEGERI*)
1. Rencana lokasi penyelenggaraan:

Lampirkan data nama dan alamat serta kepemilikan penyelenggara Data center dan
atau Disaster Recovery Center yang direncanakan.
2. Lampirkan ringkasan hasil pendefinisian kebutuhan dan due diligence yang telah
menyelenggarakan Data Center dan atau Disaster Recovery Center di luar negeri.
a. analisis bank atas hasil audit teknologi informasi yang dilakukan oleh pihak
independen terhadap pengembangan sistem aplikasi yang ditawarkan dan
sistem pengamanan pada fasilitas yang dimiliki oleh pihak penyedia jasa;
b. analisis risiko Bank mengenai rencana menyerahkan penyelenggaraan Data
Center dan atau Disaster Recovery Center kepada pihak penyedia jasa antara
lain risiko operasional, hukum dan reputasi serta analisis country risk;
4. Lampirkan konsep perjanjian antar bank dengan penyelenggara Data Center dan
atau Disaster Recovery Center di luar negeri yang memuat hal-hal sebagaimana
dipersyaratkan dalam Peraturan Bank Indonesia.
5. Lampirkan ringkasan analisis risiko oleh pihak penyedia jasa penyelenggara TI atas
penyelenggaraan Data center dan atau Disaster Recovery Center yang akan
ditawarkan kepada bank.
kepada Bank;
b. penilaian kecukupan dan kesesuaian sistem aplikasi yang akan digunakan
dengan kebutuhan bank;
c. analisis atas pengendalian pengamanan yang digunakan pihak penyedia jasa
authentication;
*) Permohonan Bank untuk izin menggunakan pihak penyedia jasa dalam menyelenggarakan data center dan DRC di
luar negeri diajukan 4 (empat) bulan sebelum penyelenggaraan TI tersebut efektif dioperasikan untuk memperoleh
persetujuan dari Bank Indonesia sebagaimana dipersyaratkan pada PBI 23585
d. analisis kinerja, reputasi dan kelangsungan penyediaan layanan kepada para
pengguna jasa.
7. Lampirkan gambar IT Architecture sekarang dan yang direncanakan setelah

penyelenggaraan DC /DRC diserahkan kepada pihak penyedia jasa.

Data Center dan atau Disaster Recovery Center yang direncanakan.
10. Bila Bank merupakan Kantor Cabang Bank Asing atau Bank yang dimiliki lembaga
keuangan asing, lampirkan:
a. Surat Pernyataan dari otoritas pengawas lembaga keuangan di luar negeri
bahwa pihak penyedia jasa merupakan cakupan pengawasannya;
b. Surat Pernyataan tidak keberatan dari otoritas pengawas setempat bila Bank
Indonesia hendak melakukan pemeriksaan penyelenggaraan pusat data (Data
Center) dan atau Disaster Recovery Center tersebut;
c. Surat Pernyataan bahwa Bank secara berkala akan menyampaikan hasil
penilaian yang dilakukan kantor Bank di luar negeri atas penerapan
manajemen risiko pada pihak penyedia jasa. Surat Pernyataan ini
mencantumkan periodisasi yang direncanakan;
d. Hasil penilaian oleh kantor Bank di luar negeri atas penerapan manajemen
11. Lampirkan rencana Bank mengenai:

a. peningkatan kualitas pelayanan kepada nasabah;
b. peningkatan kemampuan sumber daya manusia yang berkaitan dengan
penyelenggaraan TI yang digunakan oleh Bank.
24586
Lampiran
Lampiran29.2.4
.2.4
RENCANA PENYELENGGARAAN PEMROSESAN

TRANSAKSI BERBASIS TEKNOLOGI INFORMASI OLEH
PIHAK LAIN DI DALAM NEGERI*)
1. Aktivitas dan produk yang penyelenggaraannya akan diserahkan kepada pihak

penyedia jasa termasuk uraian atau penjelasan dan flow chart dari prosedur
pelaksanaan (SOP).
2. Lokasi penyelenggaraan:
c. pemrosesan transaksi............................................................
Lampirkan data nama dan alamat serta kepemilikan penyelenggara Pemrosesan

Transaksi Berbasis Teknologi Informasi yang direncanakan.
3. Lampirkan ringkasan hasil pendefinisian kebutuhan dan due dilligence yang telah
menyelenggarakan Pemrosesan Transaksi Berbasis Teknologi Informasi di dalam
negeri.
a. analisis bank atas hasil audit teknologi informasi yang dilakukan oleh pihak
independen terhadap sumber daya TI (termasuk pengembangan sistem
aplikasi yang ditawarkan, sistim operasi dan prosedur, dan sistem
pengamanan pada fasilitas yang dimiliki) yang akan digunakan untuk
memproses transaksi oleh pihak penyedia jasa;
b. analisis risiko Bank atas rencana menyerahkan penyelenggaraan Pemrosesan
Transaksi Berbasis Teknologi Informasi kepada pihak penyedia jasa antara
lain risiko operasional, hukum dan reputasi;
penyedia jasa penyelenggara Pemrosesan Transaksi Berbasis Teknologi
Informasi.
5. Bila sudah ada lampirkan konsep perjanjian antara bank dengan penyelenggara
Pemrosesan Transaksi Berbasis Teknologi Informasi di dalam negeri , bila belum
ada lampirkan ringkasan proposal dari calon penyelenggara dan ringkasan analisis
bank atas proposal tersebut.
*) Rencana Bank untuk menggunakan pihak penyedia jasa dalam menyelenggarakan pemrosesan transaksi berbasis
teknologi informasi di dalam negeri dilaporkan 2 (dua) bulan sebelum penyelenggaraan pemrosesan transaksi berbasis
teknologi informasi tersebut efektif dioperasikan sebagaimana dipersyaratkan pada PBI
25587
6. Proposal pada nomor 5 mencakup ringkasan analisis risiko oleh pihak penyedia jasa
penyelenggara TI atas penyelenggaraan Pemrosesan Transaksi Berbasis Teknologi
Informasi yang akan ditawarkan kepada Bank.
a. penilaian kecukupan dan kesesuaian sistem aplikasi yang akan digunakan
dengan kebutuhan Bank.
b. analisis Bank atas pengendalian pengamanan yang digunakan pihak penyedia
jasa untuk memastikan terpenuhinya confidentiality, integrity, availability dan
authentication.
c. analisis kinerja, reputasi dan kelangsungan penyediaan layanan kepada para
pengguna jasa.
8. Lampirkan gambar garis pelaporan dan informasi sekarang dan yang direncanakan
setelah penyelenggaraan pemrosesan transaksi diserahkan kepada pihak penyedia
jasa.
9. Lampirkan rencana pengawasan yang akan dilakukan Bank atas penyelenggaraaan

Pemrosesan Transaksi Berbasis TI yang direncanakan.
26588
Lampiran
Lampiran29.2.5
.2.5
RENCANA PENYELENGGARAAN PEMROSESAN

TRANSAKSI BERBASIS TEKNOLOGI INFORMASI OLEH
1. Aktivitas dan produk yang penyelenggaraannya akan diserahkan kepada pihak

pelaksanaan (SOP).
c. pemrosesan transaksi ................................................
Lampirkan data nama dan alamat serta kepemilikan penyelenggara Pemrosesan

Transaksi Berbasis TI yang direncanakan.
3. Lampirkan ringkasan hasil pendefinisian kebutuhan dan due dilligence yang telah
dilakukan Bank dalam rencana menggunakan penyedia jasa untuk menyelenggarakan
Pemrosesan Transaksi Berbasis TI di Luar Negeri
a. analisis Bank atas hasil audit teknologi informasi yang dilakukan oleh pihak
independen terhadap sumber daya TI (termasuk pengembangan sistem aplikasi
yang ditawarkan, sistim operasi dan prosedur, dan sistem pengamanan pada
fasilitas yang dimiliki) yang akan digunakan untuk memproses transaksi oleh
pihak penyedia jasa;
b. analisis risiko Bank atas rencana menyerahkan penyelenggaraan Pemrosesan
Transaksi Berbasis TI kepada pihak penyedia jasa antara lain risiko
operasional, hukum dan reputasi serta analisis country risk;
5. Lampirkan konsep perjanjian antara bank dengan penyelenggara Pemrosesan

Transaksi Berbasis TI di luar negeri yang memuat hal-hal sebagaimana
dipersyaratkan dalam Peraturan Bank Indonesia.
6. Lampirkan ringkasan analisis risiko oleh pihak penyedia jasa penyelenggara TI atas
penyelenggaraan Pemrosesan Transaksi Berbasis TI yang akan ditawarkan kepada
Bank.
*) Permohonan Bank untuk izin menggunakan pihak penyedia jasa dalam menyelenggarakan pemrosesan transaksi
berbasis teknologi informasi di luar negeri 4 (empat) bulan sebelum penyelenggaraan pemrosesan transaksi berbasis
teknologi informasi tersebut efektif dioperasikan sebagaimana dipersyaratkan pada PBI
27589
7. Lampirkan ringkasan analisis biaya & manfaat penyelenggaraan Pemrosesan
Transaksi Berbasis TI oleh pihak lain yang antara lain mencakup:
kepada Bank;
b. penilaian kecukupan dan kesesuaian sistem aplikasi yang akan digunakan
dengan kebutuhan bank.
c. analisis Bank atas pengendalian pengamanan yang digunakan pihak penyedia
jasa untuk memastikan terpenuhinya confidentiality, integrity, availability dan
authentication.
d. analisis kinerja, reputasi dan kelangsungan penyediaan layanan kepada para
pengguna jasa.
8. Lampirkan gambar garis pelaporan dan informasi sekarang dan yang direncanakan
setelah pemrosesan transaksi diserahkan kepada pihak penyedia jasa.
9. Bila Bank merupakan Kantor Cabang Bank Asing atau Bank yang dimiliki lembaga
keuangan asing, lampirkan:
a. Surat Pernyataan dari otoritas pengawas lembaga keuangan di luar negeri
bahwa pihak penyedia jasa merupakan cakupan pengawasannya;
Indonesia hendak memeriksa penyelenggaraan Pemrosesan Transaksi Berbasis
TI tersebut;
c. Surat Pernyataan bahwa Bank secara berkala akan menyampaikan hasil
penilaian yang dilakukan kantor Bank di luar negeri atau kantor induk bank atas
penerapan manajemen risiko pada pihak penyedia jasa. Surat Pernyataan ini
mencantumkan periodisasi yang direncanakan.
Pemrosesan Transaksi Berbasis TI yang direncanakan.

a. peningkatan kemampuan sumber daya manusia yang berkaitan dengan
penyelenggaraan TI yang digunakan oleh Bank;
b. peningkatan kemampuan sumber daya manusia atas produk-produk yang
ditawarkan Bank kepada nasabah;
c. penerapan aspek perlindungan kepada nasabah atas produk yang pemrosesannya
diserahkan kepada pihak penyedia jasa;
d. peningkatan peran Bank bagi perkembangan perekonomian Indonesia melalui
rencana bisnis.
28590
Lampiran 29.3
Lampiran2-3
REALISASI PERUBAHAN MENDASAR DALAM

PENGGUNAAN TEKNOLOGI INFORMASI*)
Nama Bank
No. Telp. ...................................
Nama Pelapor
Alamat Pelapor.....
No. Telp. ...................................
Tanggal Laporan _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
................................
Apakah terdapat realisasi perubahan mendasar dalam penyelenggaraan Teknologi

Informasi?
Pertanyaan Ya Tidak Keterangan
Dokumen
Terlampir**)
1. Konfigurasi / cara pengoperasian***)

2. Sistem aplikasi core banking****)
3. Produk electronic banking
transaksional baru
4. Penyelenggaraan TI oleh pihak Lain
Bank yaitu :
a. .........................................
b. .........................................
*) Perubahan dalam penyelenggaraan TI dilaporkan 1 (satu) bulan setelah rencana perubahan tersebut efektif
dioperasikan sebagaimana dipersyaratkan pada PBI dan SE.
**) Cantumkan apakah dokumen pendukung yang harus disampaikan telah dilampirkan. Dokumen pendukung
tersebut mengacu pada Lampiran 2.3.1 untuk produk electronic banking baru dan lampiran 2.3.2, 2.2.3, 2.2.4
atau 2.2.5 untuk penyelenggaraan TI oleh pihak ketiga sedangkan untuk yang lainnya format bebas.
***) Yang dimaksud dengan perubahan terhadap konfigurasi antara lain topologi/arsitektur TI Bank,
platform/operating system, server utama terkait dengan aplikasi core banking, baik yang diselenggarakan sendiri
maupun menggunakan jasa pihak penyedia jasa TI.
****) Yang dimaksud dengan Aplikasi core banking adalah sistem aplikasi untuk memproses dan mengolah data
terkait produk dan jasa utama Bank, yang jika tidak berfungsi akan mengganggu keberlangsungan usaha dan
menimbulkan kerugian yang signifikan bagi Bank.
29591
Lampiran
Lampiran29.3.1
.3.1
REALISASI PENERBITAN
ELECTRONIC BANKING TRANSAKSIONAL*)
1. Uraian singkat atau penjelasan mengenai produk e-banking yang baru diterbitkan.
2. Lampirkan penjelasan mengenai sistem arsitektur TI dari produk e-banking yang

baru diterbitkan. dan bentuk koneksi dengan core banking system.
3. Lampirkan penjelasan mengenai bentuk pengendalian intern khususnya

pengendalian keamanan (memastikan terpenuhinya confidentiality, integrity,
availability dan authentication).
4. Uraian kesiapan struktur organisasi pendukung dan bentuk pengawasan yang

melekat (built in control) atas produk e-banking.
5. Lampirkan kebijakan dan prosedur yang menjelaskan kesiapan infrastruktur

Teknologi Informasi dari produk e-banking.
6. Uraian sistem informasi akuntansi.
7. Lampirkan hasil analisis dan identifikasi risiko produk e-banking identifikasi,

pengukuran, monitoring dan mitigasi risiko dari produk e-banking yang baru
diterbitkan antara lain risiko operasional, hukum dan reputasi.
8. Lampirkan hasil post implementation review (PIR) atas penggunaan TI terkait

produk e-banking yang baru diterbitkan, termasuk tapi tidak terbatas pada review
mengenai:
a. System berjalan dengan baik (system performance review).
b. Komplain nasabah dan tindak lanjutnya.
c. Kesesuaian dengan user requirement
d. Problem yang terjadi dan solusi/eskalasi/penyelesaian yang dibuat
e. Efektifitas pengamanan yang ditetapkan
*) Realisasi penebitan produk e-banking dilaporkan 1 (satu) bulan setelah rencana perubahan tersebut efektif
dioperasikan sebagaimana dipersyaratkan pada PBI
30592
Lampiran29.3.2
Lampiran .3.2
REALISASI PENYELENGGARAAN DATA CENTER

DAN ATAU DISASTER RECOVERY CENTER
OLEH PIHAK LAIN DI DALAM NEGERI *)
b. Disaster Recovery Center......................................................
2. Lampirkan copy perjanjian antar bank dengan penyelenggara TI.
3. Lampirkan hasil post implementation review (PIR) atas penggunaan Data Center
pihak penyedia jasa yang antara lain mencakup review mengenai:
a. System berjalan dengan baik (system performance review)
b. Kesesuaian dengan user requirement
c. Problem yang terjadi dan solusi/eskalasi/penyelesaian yang dibuat
d. Efektifitas pengamanan yang ditetapkan
4. Lampirkan hasil pengujian/testing atas penggunaan Disaster Recovery Center yang

diselenggarakan pihak penyedia jasa tersebut.
5. Lampirkan Berita Acara pengalihan Data Center dan/atau Disaster Recovery

Center.
6. Lampirkan gambar IT Architecture setelah penyelenggaraan DC /DRC diserahkan

kepada pihak penyedia jasa.
7. Uraian analisis risiko terkini penyelenggaraan Data Center dan atau Disaster
Recovery Center tersebut antara lain risiko operasional, hukum dan reputasi.
*) Laporan penggunaan pihak penyedia jasa dalam menyelenggarakan data center dan DRC disampaikan Bank 1 (satu)
bulan setelah penyelenggaraan TI tersebut efektif dioperasikan sebagaimana dipersyaratkan pada PBI.
31593
Lampiran
Lampiran29.3.3
.3.3
REALISASI PENYELENGGARAAN DATA CENTER

DAN DISASTER RECOVERY CENTER OLEH
2. Lampirkan copy perjanjian antara bank dan penyelenggara Data Center dan atau
Disaster Recovery Center.
3. Lampirkan hasil analisis terkini atas pengendalian pengamanan yang digunakan

authentication dalam penyelenggaraan yang diserahkan kepada pihak penyedia jasa.
4. Lampirkan hasil post implementation review (PIR) atas penggunaan Data Center
pihak penyedia jasa yang antara lain mencakup review mengenai:
a. system berjalan dengan baik (system performance review);
b. kesesuaian dengan user requirement;
c. problem yang terjadi dan solusi/eskalasi/penyelesaian yang dibuat;
d. efektifitas pengamanan yang ditetapkan.
5. Lampirkan hasil pengujian/testing atas penggunaan Disaster Recovery Center yang

diselenggarakan pihak penyedia jasa tersebut.
6. Lampirkan Berita Acara pengalihan Data Center dan/atau Disaster Recovery

Center.
7. Lampirkan gambar IT Architecture sekarang setelah penyelenggaraan DC /DRC

8. Uraian analisis risiko terkini Bank terhadap penyelenggaraan Data Center dan atau
Disaster Recovery Center oleh pihak penyedia jasa di luar negeri tersebut antara
lain risiko operasional, hukum dan reputasi serta analisis country risk.
*) Realisasi rencana Bank yang telah disetujui oleh Bank Indonesia untuk menggunakan pihak penyedia jasa dalam
menyelenggarakan data center dan DRC di luar negeri dilaporkan 1 bulan setelah penyelenggaraan TI tersebut efektif
dioperasikan sebagaimana dipersyaratkan pada PBI.
32594
Lampiran
Lampiran29.3.4
.3.4
REALISASI PENYELENGGARAAN
PEMROSESAN TRANSAKSI BERBASIS TEKNOLOGI INFORMASI
OLEH PIHAK LAIN DI DALAM NEGERI *)
1. Aktivitas dan produk yang penyelenggaraannya yang diserahkan kepada pihak

pelaksanaan (SOP).
a. Pusat data (Data Center).........................................................
b. Disaster Recovery Center........................................................
c. Pemrosesan transaksi.............................................................
3. Lampirkan copy perjanjian antara bank dan pihak penyedia jasa penyelenggaraan
Pemrosesan Transaksi Berbasis Teknologi Informasi di dalam negeri.
4. Lampirkan hasil pengujian/testing atas penggunaan penyelenggaraan Pemrosesan

Transaksi Berbasis Teknologi Informasi di dalam negeri tersebut.
5. Lampirkan Berita Acara pengalihan penyelenggaraan Pemrosesan Transaksi

Berbasis Teknologi Informasi di dalam negeri.
6. Lampirkan hasil post implementation review (PIR) atas penggunaan pihak penyedia
jasa dalam menyelenggarakan Pemrosesan Transaksi Berbasis Teknologi Informasi
di dalam negeri yang antara lain mencakup review mengenai:
7. Lampirkan gambar garis pelaporan dan informasi setelah pemrosesan transaksi

8. Lampirkan hasil analisis atas pengendalian pengamanan yang digunakan untuk

memastikan terpenuhinya confidentiality, integrity, availability dan authentication
dalam penyelenggaraan Pemrosesan Transaksi Berbasis Teknologi Informasi yang
diserahkan kepada pihak penyedia jasa di luar negeri.
9. Lampirkan analisis risiko terkini oleh Bank terhadap penyelenggaraan Pemrosesan

Transaksi Berbasis Teknologi Informasi oleh pihak penyedia jasa antara lain risiko
operasional, hukum dan reputasi.
*) Realisasi rencana Bank untuk menggunakan pihak penyedia jasa dalam menyelenggarakan pemrosesan transaksi
berbasis teknologi informasi di dalam negeri dilaporkan 1 (satu) bulan setelah penyelenggaraan pemrosesan
transaksi berbasis teknologi informasi tersebut efektif dioperasikan sebagaimana dipersyaratkan pada PBI.
33595
Lampiran29.3.5
Lampiran .3.5
REALISASI PENYELENGGARAAN
PEMROSESAN TRANSAKSI BERBASIS TEKNOLOGI INFORMASI
OLEH PIHAK LAIN DI LUAR NEGERI *)
1. Aktivitas dan produk yang penyelenggaraannya yang diserahkan kepada pihak

pelaksanaan (SOP).
a. Pusat data (data center).........................................................
b. Disaster Recovery Center........................................................
c. Pemrosesan transaksi ..................... .....................................
3. Lampirkan copy perjanjian antara bank dan pihak penyedia jasa penyelenggaraan
pemrosesan transaksi berbasis teknologi informasi di luar negeri.
4. Lampirkan hasil pengujian/testing atas penggunaan penyelenggaraan Pemrosesan

Transaksi Berbasis Teknologi Informasi di luar negeri tersebut.
5. Lampirkan Berita Acara pengalihan penyelenggaraan Pemrosesan Transaksi

Berbasis Teknologi Informasi di luar negeri.
6. Lampirkan hasil post implementation review (PIR) atas penggunaan pihak penyedia
jasa dalam menyelenggarakan pemrosesan transaksi berbasis teknologi informasi di
luar negeri yang antara lain mencakup review mengenai:
7. Lampirkan gambar garis pelaporan dan informasi sekarang setelah penyelenggaraan

8. Lampirkan hasil analisis atas pengendalian pengamanan yang digunakan untuk

memastikan terpenuhinya confidentiality, integrity, availability dan authentication
dalam penyelenggaraan pemrosesan transaksi berbasis teknologi informasi yang
diserahkan kepada pihak penyedia jasa di luar negeri.
9. Lampirkan Surat Pernyataan dari pihak penyedia jasa TI sebagai pihak terafiliasi
tidak keberatan bila Bank Indonesia hendak memeriksa penyelenggaraan
Pemrosesan Transaksi Berbasis Teknologi Informasi.
*) Realisasi rencana Bank untuk menggunakan pihak penyedia jasa dalam menyelenggarakan pemrosesan transaksi
berbasis teknologi informasi di luar negeri dilaporkan 1 (satu) bulan setelah penyelenggaraan pemrosesan transaksi
berbasis teknologi informasi tersebut efektif dioperasikan sebagaimana dipersyaratkan pada PBI.
34596
Lampiran29.4
Lampiran -4
LAPORAN TAHUNAN PENGGUNAAN

TEKNOLOGI INFORMASI*)
Nama Bank
No. Telp. ...................................
Nama Pelapor
Alamat Pelapor.....
No. Telp. ...................................
Tanggal Laporan _ _ _ __ _ _ _ _ _ _ _ _ _ _ _
................................
1. Apakah terdapat perubahan terhadap hal-hal yang telah dilaporkan dalam Laporan
Manajemen pada Lampiran 2.1.1?
Ada Tidak Ada
Bila ada, apakah perubahan tersebut sudah dilaporkan kepada Bank

IndonesiaI?
Sudah Belum
Bila sudah dilaporkan, sebutkan tanggal dan nomor surat......................
Bila belum dilaporkan, lampirkan data dan penjelasan mengenai perubahan

tersebut.**)
Aplikasi dan Pengembangan (Development & Acquisition) pada Lampiran 2.1.2?
Ada Tidak Ada
Bila ada, apakah perubahan tersebut sudah dilaporkan kepada Bank

Indonesia?
Sudah Belum
*) Laporan disampaikan secara berkala selambat-lambatnya 1 (satu) bulan setelah akhir tahun pelaporan.
**) Format Lampiran laporan ini mengacu pada lembar terkait pada Laporan Penggunaan Teknologi Informasi atau
format bebas sesuai bentuk materi atau hal yang akan dilaporkan oleh bank.
35597
tersebut.**)
Apakah terdapat perubahan yang signifikan pada aplikasi yang sudah
operasional?
Ada Tidak Ada
Jika ada perubahan yang signifikan tersebut, lampirkan data nama aplikasi,
keterangan perubahan yang dilakukan, tempat dan tanggal implementasi.
Operasional TI pada Lampiran 2.1.3?
Ada Tidak Ada
Bila ada, apakah perubahan tersebut sudah dilaporkan kepada Bank Indonesia?
Sudah Belum

tersebut.**)
Jaringan Komunikasi pada Lampiran 2.1.4?
Ada Tidak Ada
Sudah Belum

tersebut.**)
Pengamanan Informasi pada Lampiran 2.1.5?
Ada Tidak Ada
Sudah Belum

tersebut.**)
6. Terdapat perubahan terhadap hal-hal yang telah dilaporkan dalam Laporan

Business Continuity Plan pada Lampiran 2.1.6 ?
Ada Tidak Ada
**) Format Lampiran laporan ini mengacu pada lembar terkait pada Laporan Penggunaan Teknologi Informasi atau
format bebas sesuai bentuk materi atau hal yang akan dilaporkan oleh bank.
36598
Bila ada, apakah perubahan tersebut sudah dilaporkan ke BI?
Sudah Belum
Bila sudah dilaporkan, sebutkan tanggal dan nomor surat.................................

tersebut.**)
penggunaan komputer Mikro pada Pengguna pada Lampiran 2.1.7?
Ada Tidak Ada

Sudah Belum

tersebut.**)
Electronic Banking pada Lampiran 2.1.8 ?
Ada Tidak Ada
a. Jenis Electronic Banking:

1) Electronic Banking Transaksional
Apakah terdapat produk Electronic Banking baru yang bersifat

transaksional?
Ada Tidak Ada
Apakah rencana dan realisasi penerbitan produk di atas sudah dilaporkan ke

BI?
Sudah Belum
Apakah terdapat perubahan fitur produk Electronic Banking yang bersifat

transaksional namun tidak merupakan produk baru?
Ada Tidak Ada
2) Electronic Banking Non-Transaksional
Apakah terdapat produk baru atau perubahan pada Electronic Banking yang
bersifat non-transaksional?
Ada Tidak Ada
Apakah produk baru atau perubahan Electronic Banking yang bersifat non-
transaksional namun meningkatkan risiko bank sudah dilaporkan ke BI?
Sudah Belum
37599
b. Pelaporan untuk no.a.1 dan a.2.
Bila sudah dilaporkan, sebutkan tanggal dan nomor surat..................................

tersebut.**)
9. Terdapat perubahan terhadap hal-hal yang telah dilaporkan dalam Laporan fungsi
Audit intern TI pada Lampiran 2.1.9 ?
Ada Tidak Ada

Sudah Belum

tersebut.**)
Penyelenggaraan TI oleh Pihak Lain pada Lampiran 2.1.10?
Ada Tidak Ada

Sudah Belum
Bila sudah dilaporkan, sebutkan tanggal dan nomor surat.................................

tersebut.**)
38600
Lampiran 29.5
Lampiran 2-5
LAPORAN KEJADIAN KRITIS, PENYALAHGUNAAN

DAN/ATAU KEJAHATAN DALAM PENYELENGGARAAN
TEKNOLOGI INFORMASI (TI)*)
Nama Bank
No. Telp. ...................................
Nama Pelapor
Alamat Pelapor.....
No. Telp. ...................................
Tanggal Laporan _ _ _ __ _ _ _ _ _ _ _ _ _ _ _
................................
1. Tanggal kejadian .....................................................................................
2. Kronologis dan evaluasi penyebab kejadian

3. Terdapat unsur kesengajaan

Ya Tidak
4. Satuan kerja terkait termasuk orang yang dapat dihubungi lebih lanjut
................................................................................................................
5. Dampak/akibat yang ditimbulkan (berilah tanda ”X” pada kotak yang sesuai)
a. Kerugian keuangan
Ya Tidak
b. Gangguan operasional
Ya Tidak
Jika jawaban ”Ya”, lampirkan bentuk gangguan operasional yang terjadi dan
contingency plan yang telah diterapkan.
c. Tidak terjaminnya kerahasiaan dan integritas data
Ya Tidak
Jika jawaban ”Ya”, lampirkan bentuk ancaman terhadap kerahasiaan dan
integritas data.
6. Rencana tindak lanjut bank
*) Kejadian kritis yang dimaksud adalah kejadian yang menambah eksposure risiko secara signifikan.
Penyalahgunaan/kejahatan dalam penyelenggaraan Teknologi Informasi adalah tindakan yang mengakibatkan
timbulnya kerugian keuangan dan atau mengganggu kelancaran operasional bank.
39601
Lampiran
Lampiran29.6
.6
PERMOHONAN PERSETUJUAN ULANG PENYELENGGARAAN

DATA CENTER DAN ATAU DISASTER RECOVERY CENTER OLEH
PIHAK LAIN DI LUAR NEGERI BAGI
KANTOR CABANG BANK ASING*)
Lampirkan data nama dan alamat serta kepemilikan penyelenggara Data Center dan
atau Disaster Recovery Center.
2. Lampirkan perjanjian antar bank dengan penyelenggara Data Center dan atau
Disaster Recovery Center di luar negeri yang telah disesuaikan dengan persyaratan
dalam Peraturan Bank Indonesia.
3. Lampirkan gambar IT Architecture yang mencakup Data Center dan atau Disaster
Recovery Center yang diserahkan kepada pihak penyedia jasa.
5. Lampirkan :
a. Surat Pernyataan dari otoritas pengawas setempat dalam hal pihak penyedia
jasa TI merupakan cakupan pengawasan secara konsolidasi.
Indonesia hendak melakukan pemeriksaan penyelenggaraan pusat data
(Data Center) dan atau Disaster Recovery Center tersebut.
c. Surat Pernyataan bahwa bank secara berkala akan menyampaikan hasil
penilaian yang dilakukan kantor bank di luar negeri atas penerapan manajemen
risiko pada pihak penyedia jasa. Surat Pernyataan ini mencantumkan
periodisasi yang direncanakan.

a. peningkatan kualitas pelayanan kepada nasabah;
b. peningkatan kemampuan sumber daya manusia yang berkaitan dengan
penyelenggaraan TI yang digunakan oleh Bank.
*) Bank yang sebelum dikeluarkannya ketentuan ini telah melaporkan kepada dan menerima surat tidak keberatan dari
Bank Indonesia mengenai penyelenggaraan TI Bank yang diserahkan kepada pihak lain di luar negeri, wajib
mengajukan permohonan persetujuan ulang kepada Bank Indonesia.
40602
30
Lampiran 32
Perihal : Prinsip Kehati-Hatian bagi Bank Umum yang Melakukan Penyerahan

CONTOH PEKERJAAN POKOK DAN PENJELASANNYA
No. Nama/Sifat Pekerjaan Deskripsi singkat

1. Customer Service Pekerjaan customer service
dikategorikan sebagai pekerjaan
pokok karena melalui pekerjaan
tersebut terdapat interaksi awal
antara Bank dengan nasabah atau
konsumen perbankan untuk
melakukan pembukaan rekening
simpanan atau memperoleh informasi
mengenai produk dan aktivitas
tertentu Bank.
Pekerjaan customer service juga
berkaitan erat dengan penerapan
prinsip kehati-hatian dan manajemen
risiko Bank melalui penerapan Know
Your Customer (KYC) dan Anti Money
Laundering, pelaksanaan edukasi
kepada nasabah agar nasabah
memiliki pemahaman yang memadai
mengenai produk atau aktivitas Bank,
pemeliharaan nasabah untuk
menjamin kelangsungan usaha suatu
Bank, dan perlindungan terhadap hak
dan kepentingan nasabah dan
konsumen perbankan, khususnya
terkait dengan kerahasiaan data
600
603
Lampiran 30
32

nasabah. Dengan demikian, apabila
pekerjaan tersebut tidak ada, kegiatan
Bank akan sangat terganggu atau
tidak terlaksana sebagaimana
mestinya.
2. Teller Pekerjaan teller dikategorikan sebagai
pekerjaan pokok karena pekerjaan
tersebut merupakan ‘gerbang’ bagi
nasabah dan konsumen perbankan
untuk melakukan penerimaan
simpanan, pencairan cek dan bilyet,
pengiriman uang, dan jasa pelayanan
perbankan lainnya. Apabila pekerjaan
tersebut tidak ada, kegiatan Bank
khususnya yang terkait dengan
transaksi keuangan tunai maupun
non tunai akan sangat terganggu atau
tidak terlaksana sebagaimana
mestinya.
3. Pemasaran Pekerjaan pemasaran merupakan
pekerjaan pokok apabila tanggung
jawab yang melekat pada pekerjaan
tersebut juga mencakup analisis,
judgement, dan rekomendasi untuk
pengambilan keputusan terkait
kegiatan pemasaran yang dilakukan.
Pekerjaan pemasaran atas produk-
601
604
Lampiran 32
30
Perihal : Prinsip Kehati-Hatian bagi Bank Umum yang Melakukan Penyerahan Sebagian
Pelaksanaan Pekerjaan kepada Pihak Lain

produk tertentu Bank wajib tunduk
pada ketentuan yang mengatur secara
spesifik produk tersebut. Sebagai
contoh, pemasaran structured
products wajib tunjuk pada ketentuan
Bank Indonesia mengenai structured
products, di mana Bank Indonesia
mengatur bahwa pemasaran
structured products wajib dilakukan
oleh pegawai tetap Bank.
4. Perencanaan dan Pekerjaan yang terkait dengan
Pengembangan Tekonologi perencanaan dan pengembangan TI
Informasi (TI) dikategorikan sebagai pekerjaan
pokok sehingga tidak dapat
dialihdayakan. Pengertian
perencanaan dan pengembangan TI
adalah perencanaan dan
pengembangan TI yang bersifat
stratejik (strategic IT planning and
development atau IT blue print) yang
memberikan rumusan mengenai arah
pengembangan TI Bank ke depan.
602
605
Lampiran
Lampiran33
31

CONTOH PEKERJAAN PENUNJANG DAN PENJELASANNYA

Pekerjaan Pemasaran
1. Tele marketing Pekerjaan pemasaran produk/akti-
vitas perbankan melalui telepon
kepada nasabah/konsumen
perbankan, di mana tanggung jawab
yang melekat pada pekerjaan tersebut
hanya terbatas pada penawaran
produk atau penawaran untuk
menjadi nasabah Bank.
Tugas yang terkait dengan analisis,
judgment, dan rekomendasi
dengan kegiatan pemasaran tersebut
dilakukan oleh tenaga/fungsi/unit
pemasaran lain.
2. Direct sales, Sales Pekerjaan pemasaran produk/
Representative aktivitas perbankan secara langsung
kepada nasabah/konsumen
perbankan, di mana tanggung jawab
yang melekat pada pekerjaan tersebut
hanya terbatas pada penawaran
produk atau penawaran menjadi
nasabah Bank.
Tugas yang terkait dengan analisis,
judgment, dan rekomendasi
603
606
Lampiran 31
33


dengan kegiatan pemasaran tersebut
dilakukan oleh tenaga/fungsi/unit
pemasaran lain.
Pekerjaan Penagihan
3. Penagihan kredit (field Pekerjaan penagihan kredit dengan
dan desk collector) kualitas “Macet” sesuai dengan
ketentuan yang berlaku tentang
Penilaian Kualitas Aset Bank Umum.
Pengertian kredit dalam ketentuan ini
adalah kredit secara luas, termasuk
kredit kepemilikan rumah, kredit
kendaraan bermotor, kredit tanpa
agunan dan kartu kredit.
Pekerjaan terkait Pengelolaan Kas Bank

4. Distribusi uang tunai Pekerjaan pengantaran dan/atau
(cash distribution) pengambilan uang tunai berikut
pengawalan.
5. Pemrosesan uang tunai Pekerjaan penghitungan, penyortiran
(cash processing) dan pengemasan uang tunai.
6. Penyimpanan uang tunai Pekerjaan penyimpanan uang tunai di
(cash in save) khazanah.
7. Pengisian ATM Pekerjaan pengisian ATM (anjungan
tunai mandiri) dengan uang tunai
dan/atau pengambilan uang tunai
dari CDM (cash deposit machine)
604
607
33
Lampiran 31


berikut pemantauan ATM dan/atau
CDM.
Pekerjaan Lainnya
8. Kasir payment point Petugas penerima pembayaran
rekening listrik, telepon, telepon
genggam, dan sebagainya, pada
tempat-tempat pembayaran yang
ditentukan bank.
Bank wajib memperhatikan jenis
transaksi, volume transaksi dan
eksposur risiko atas pekerjaan kasir
payment point dalam melakukan
pengujian terhadap pemenuhan
kriteria pekerjaan penunjang.
9. Kasir penerima setoran Petugas penerima setoran kredit
kredit dari debitur usaha debitur usaha mikro yang dilakukan
mikro pada lokasi debitur usaha mikro,
misalnya di pasar-pasar.
Definisi debitur usaha mikro adalah
debitur usaha mikro sebagaimana
ketentuan yang berlaku mengenai
Usaha Mikro, Kecil dan Menengah.
10. Recepcionist Pekerjaan penerimaan tamu, nasabah
atau konsumen perbankan, termasuk
mengarahkan tamu, nasabah atau
konsumen perbankan kepada personil
atau satuan kerja yang dituju pada
605
608
Lampiran 33
31
Perihal : Prinsip Kehati-Hatian bagi Bank Umum yang Melakukan
Penyerahan Sebagian Pelaksanaan Pekerjaan kepada Pihak Lain

Bank.
Dapat mencakup pula penerimaan
telepon nasabah/konsumen
perbankan untuk mengarahkan pada
personil atau satuan kerja yang dituju
pada Bank.
11. Data entry Pekerjaan data entry pada seluruh
unit kerja di Bank, di mana tugas dan
tanggung jawab tidak mencakup
proses analisis, judgement, atau
pengambilan keputusan yang
mempengaruhi operasional Bank.
12. Call center/operator Pekerjaan penerimaan telepon dari
telepon nasabah atau konsumen perbankan
untuk memberikan informasi atau
menjawab pertanyaan yang bersifat
umum dan mengarahkan pada
personil atau satuan kerja yang dituju
pada Bank.
13. Help desk Pekerjaan pemberian informasi dan
asistensi kepada pegawai Bank untuk
membantu memecahkan masalah
terkait dengan produk IT yang
digunakan di Bank.
14. Sekretaris Pekerjaan administratif yang bersifat
mendukung pekerjaan atasan, dengan
cakupan tugas antara lain pekerjaan
606
609
Lampiran 33
31
Perihal : Prinsip Kehati-Hatian bagi Bank Umum yang Melakukan

Penyerahan Sebagian Pelaksanaan Pekerjaan kepada Pihak Lain

rutin seperti membuka dan menulis
surat, menyimpan arsip/surat,
membuat agenda kegiatan atasan, dan
melaksanakan tugas administrasi dan
tugas lainnya dari atasan.
15. Jasa pengamanan Pekerjaan penyediaan jasa
pengamanan (security) di Bank.
16. Kurir/messenger Pekerjaan penyediaan jasa pengiriman
surat/dokumen/kartu antara lain
kepada satuan kerja dan kantor Bank,
kepada instansi di luar bank, atau
kepada nasabah Bank.
17. Pengemudi Cukup jelas.
18. Petugas kebersihan Cukup jelas.
(cleaning service)
19. Pesuruh/Pramubakti Cukup jelas.
KEPALA DEPARTEMEN
PENELITIAN DAN PENGATURAN PERBANKAN,
MULYA E. SIREGAR
607
610
Lampiran 32
34
Perihal : Prinsip Kehati-Hatian bagi Bank Umum yang Melakukan Penyerahan Sebagian Pelaksanaan Pekerjaan kepada
Pihak Lain
1)
LAPORAN RENCANA ALIH DAYA, PERUBAHAN DAN/ATAU PENAMBAHAN RENCANA ALIH DAYA
Nama Bank :
Tanggal Laporan :
Perkiraan
Gambaran
Jenis Jenis jumlah Analisis
pekerjaan umum dan perjanjian tenaga Jangka Tujuan perkiraan Analisis Keterangan
No. cakupan waktu risiko dan
yang pekerjaan Alih Daya kerja Alih perjanjian Alih Daya biaya dan mitigasi 4)
dialihdaya 3) Daya yang manfaat
2)
dibutuhkan
Keterangan
1) Coret yang tidak perlu
2) Gambaran umum dan cakupan pekerjaan menguraikan secara singkat pekerjaan yang dialihdayakan dan lokasi kantor tempat
3) Perjanjian Alih Daya yang dibuat berupa perjanjian pemborongan dan/atau penyediaan jasa tenaga kerja.
4) Misalnya : untuk laporan tanggal 30 Juni diisi dengan keterangan bila rencana yang dilaporkan merupakan penambahan atau
perubahan dari yang dilaporkan pada laporan 31 Desember tahun sebelumnya.
608
611
Lampiran 33
35
Perihal : Prinsip Kehati-Hatian bagi Bank Umum yang Melakukan Penyerahan Sebagian Pelaksanaan Pekerjaan kepada Pihak
Lain
LAPORAN ALIH DAYA YANG BERMASALAH
Nama Bank :
Tanggal Laporan :
Jenis
pekerjaan Nama Perusahaan Gambaran Umum Langkah-langkah yang dilakukan oleh
No.
yang Penyedia Jasa permasalahan terjadi 1) Bank untuk mengatasi permasalahan
dialihdaya
Keterangan
1) Gambaran permasalahan menguraikan secara singkat permasalahan yang terjadi, potensi risiko yang ditimbulkan, lokasi, waktu
terjadinya permasalahan dan waktu diketahuinya permasalahan.
KEPALA DEPARTEMEN
PENELITIAN DAN PENGATURAN PERBANKAN,
MULYA E. SIREGAR
609
612
LAMPIRAN I34
SURAT EDARAN BANK INDONESIA
NO.15/40/DKMP TANGGAL 24 SEPTEMBER 2013
PERIHAL PENERAPAN MANAJEMEN RISIKO
PADA BANK YANG MELAKUKAN PEMBERIAN
KREDIT ATAU PEMBIAYAAN PEMILIKAN
PROPERTI, KREDIT ATAU PEMBIAYAAN
KONSUMSI BERAGUN PROPERTI, DAN KREDIT
ATAU PEMBIAYAAN KENDARAAN BERMOTOR
PENETAPAN LTV ATAU FTV UNTUK KREDIT ATAU PEMBIAYAAN

PEMILIKAN PROPERTI
Pengaturan LTV/FTV mengacu pada tabel sebagai berikut :

a. Untuk kredit, pembiayaan murabahah, dan pembiayaan istishna’
Kredit/Pembiayaan LTV/FTV Maksimum
& Tipe Agunan FK/FP 1 FK/FP 2 FK/FP 3 dst
KPR Tipe > 70 70% 60% 50%
KPRS Tipe > 70 70% 60% 50%
KPR Tipe 22- 70 - 70% 60%
KPRS Tipe 22 – 70 80% 70% 60%
KPRS Tipe sd 21 - 70% 60%
KP Ruko/Rukan - 70% 60%
b. Untuk pembiayaan MMQ dan pembiayaan IMBT

Pembiayaan LTV/FTV Maksimum
& Tipe Agunan FP 1 FP 2 FP 3 dst
KPR Tipe > 70 80% 70% 60%
KPRS Tipe > 70 80% 70% 60%
KPR Tipe 22- 70 - 80% 70%
KPRS Tipe 22 – 70 90% 80% 70%
KPRS Tipe sd 21 - 80% 70%
KP Ruko/Rukan - 80% 70%
Keterangan :
FK = Fasilitas Kredit, FP = Fasilitas Pembiayaan
Contoh ...
613
Contoh 1
Debitur A mendapatkan fasilitas KPR untuk pembelian rumah tapak X
dengan luas bangunan 100m2 pada bulan Januari 2012. Pada saat KPR
masih berjalan, debitur A mengajukan lagi fasilitas KPR untuk pembelian
rumah tapak Y dengan luas bangunan 150m2 pada Juni 2013. Dalam hal
ini perhitungan LTV adalah sebagai berikut :
Properti Fasilitas Kredit/Pembiayaan LTV
Rumah Tapak X Pertama 70%
Rumah Tapak Y Kedua 60%
Contoh 2
Debitur A mendapatkan fasilitas KPRS untuk pembelian apartemen X
dengan luas bangunan 60m2 pada bulan Januari 2012. Pada saat KPRS
masih berjalan, debitur A mengajukan lagi fasilitas KPRS untuk
pembelian apartemen Y dengan luas bangunan 90m2 pada Oktober 2013.
Dalam hal ini perhitungan LTV adalah sebagai berikut :
Apartemen X Pertama 80%
Apartemen Y Kedua 60%
Contoh 3
Debitur A mendapatkan fasilitas KPRuko untuk pembelian Rumah Toko X
pada bulan Januari 2012. Pada saat KPRuko masih berjalan, debitur A
mengajukan lagi fasilitas KPRukan untuk pembelian Rumah Kantor Y
pada Juni 2013. Selanjutnya pada bulan Desember 2013, debitur A
kembali mengajukan fasilitas KPR untuk Rumah Tapak Z dengan luas
bangunan 48m2. Dalam hal ini perhitungan LTV adalah sebagai berikut :
Rumah Toko X Pertama Tidak dikenakan
Rumah Kantor Y Kedua 70%
Rumah Tapak Z Ketiga 60%
Contoh ...
614
Contoh 4
Nasabah A mendapatkan fasilitas KPR iB dengan akad murabahah untuk
pembelian rumah tapak X dengan luas bangunan 100m2 pada bulan
Januari 2012. Pada saat KPR masih berjalan, nasabah A mengajukan lagi
KPR untuk pembelian apartemen Y dengan luas bangunan 60m2 pada
bulan Juni 2013. Selanjutnya pada bulan Desember 2013, nasabah A
kembali mengajukan KPR iB dengan akad MMQ untuk rumah toko Z.
Dalam hal ini perhitungan LTV atau FTV adalah sebagai berikut:
Properti Fasilitas Kredit/pembiayaan LTV/FTV
Rumah Tapak X Pertama 70%
Apartemen Y Kedua 70%
Rumah Toko Z Ketiga 70%
BANK INDONESIA,
HALIM ALAMSYAH
DEPUTI GUBERNUR
615
LAMPIRAN II35
PENETAPAN LTV ATAU FTV UNTUK KREDIT ATAU PEMBIAYAAN

KONSUMSI BERAGUN PROPERTI
Pengaturan LTV atau FTV untuk Kredit atau Pembiayaan Konsumsi

Beragun Properti pada dasarnya sama dengan pengaturan LTV atau FTV
untuk Kredit atau Pembiayaan Pemilikan Properti yang perhitungannya
disesuaikan dengan jenis agunannya.
Contoh 1
Debitur A bermaksud mengajukan kredit konsumsi dengan skema
multiguna dan agunannya berupa Rumah Tapak dengan luas tanah
150m2. Pada saat kredit tersebut masih berjalan, debitur A mengajukan
lagi pembiayaan konsumsi dengan akad murabahah dengan agunan
berupa Rumah Susun dengan luas bangunan 75m2. Dalam hal ini,
perhitungan LTV adalah sebagai berikut :
Kredit/pembiayaan Agunan Fasilitas Kredit/ LTV/FTV
Pembiayaan
Kredit Konsumsi – Rumah Tapak Pertama 70%
Multiguna 150m2
Pembiayaan Konsumsi – Rumah Susun Kedua 60%
Murabahah 75m2
Contoh ...
616
Contoh 2
Debitur A memiliki 2 unit Rumah Tapak sebagai berikut :
Agunan Luas Bangunan Status KPR/KPR iB
Rumah Tapak 1 150m2 Lunas
Rumah Tapak 2 200m2 Baki debet
Rp500.000.000,00
Debitur A memerlukan dana sehingga mengagunkan rumah tapak 1

untuk mendapatkan fasilitas kredit konsumsi dengan skema multiguna.
Untuk memberikan fasilitas kredit konsumsi dengan skema multiguna
tersebut, Bank melakukan penilaian ulang atas Rumah Tapak 1 sehingga
diperoleh informasi bahwa harga agunan berdasarkan taksiran Bank
adalah sebesar Rp1.000.000.000,00. Sesuai dengan Surat Edaran ini,
total fasilitas kredit yang dapat diberikan bank menjadi sebagai berikut:
a. Mengingat A masih memiliki fasilitas KPR untuk Rumah Tapak 2 yang
masih berjalan, maka fasilitas kredit konsumsi dengan skema
multiguna tersebut diperlakukan sebagai fasilitas kredit kedua.
b. Kredit maksimum yang dapat diberikan untuk fasilitas kredit kedua
adalah sebesar 60% x Rp1.000.000.000,00 = Rp600.000.000,00.
Contoh 3
Nasabah A memiliki 3 unit Properti yaitu rumah tapak, kondominium, dan
rumah kantor sebagai berikut :
Agunan Luas Bangunan Status KPR/KPR iB
Rumah Tapak 200m2 Lunas
Kondominium 100m2 Baki debet Rp3.000.000.000,00
Rumah Kantor 150m2 Baki debet Rp1.000.000.000,00
Nasabah A mengajukan fasilitas pembiayaan dengan akad IMBT untuk
pembelian mobil mewah dengan mengagunkan rumah tapak. Untuk
memberikan fasilitas pembiayaan konsumsi tersebut, Bank melakukan
penilaian ulang atas rumah tapak sehingga diperoleh informasi bahwa
harga agunan berdasarkan taksiran bank adalah sebesar
Rp2.000.000.000,00. Sesuai dengan Surat Edaran ini, total fasilitas
pembiayaan yang dapat diberikan Bank menjadi sebagai berikut:
a. Fasilitas ...
617
a. Fasilitas pembiayaan konsumsi diperlakukan sebagai fasilitas
pembiayaan ketiga.
b. Pembiayaan maksimum yang dapat diberikan untuk fasilitas
pembiayaan ketiga adalah sebesar 60% x Rp2.000.000.000,00 =
Rp1.200.000.000,00.
BANK INDONESIA,
HALIM ALAMSYAH
DEPUTI GUBERNUR
618
36
LAMPIRAN III
PENETAPAN LTV ATAU FTV UNTUK PERJANJIAN KREDIT ATAU

PEMBIAYAAN YANG MENGIKAT LEBIH DARI 1 (SATU) PROPERTI
PADA SAAT BERSAMAAN DAN/ATAU BEBERAPA PERJANJIAN
KREDIT ATAU PEMBIAYAAN TERHADAP BEBERAPA PROPERTI DI
TANGGAL YANG SAMA
Contoh 1
Seluruh properti yang dibeli berupa rumah tapak dengan luas bangunan
di atas 70m2.
1. Debitur A bermaksud membeli 5 (lima) unit Rumah Tapak sekaligus
melalui KPR atau KPR iB dengan akad murabahah atau akad istishna’
dengan 1 perjanjian kredit sebagai berikut:
Unit Luas Bangunan Nilai Agunan
(Rp)
I 90m2 180.000.000
II 100m2 200.000.000
III 75m2 150.000.000
IV 80m2 160.000.000
V 120m2 240.000.000
2. Berdasarkan hasil penilaian, maka urutan fasilitas kredit atau

pembiayaan yang harus ditetapkan Bank adalah III, IV, I, II dan V.
3. Atas ...
619
3. Atas dasar urutan tersebut di atas, apabila debitur A tidak memiliki
Kredit atau Pembiayaan Pemilikan Properti atau Kredit atau
Pembiayaan Konsumsi Beragun Properti lainnya yang sedang berjalan,
maka perhitungan LTV atau FTV ditetapkan sebagai berikut:
Unit Kategori Maksimum
LTV/FTV
III Fasilitas kredit/pembiayaan pertama dan luas 70%
bangunan di atas 70m2
IV Fasilitas kredit/pembiayaan kedua dan luas 60%
I Fasilitas kredit/pembiayaan ketiga dan luas 50%
II Fasilitas kredit/pembiayaan keempat dan luas 50%
V Fasilitas kredit/pembiayaan kelima dan luas 50%
4. Apabila debitur telah memiliki Kredit atau Pembiayaan Pemilikan

Properti atau Kredit atau Pembiayaan Konsumsi Beragun Properti
lainnya (baik di Bank yang sama maupun berbeda Bank), maka
penetapan urutan fasilitas kredit atau pembiayaannya dimulai setelah
urutan kredit atau pembiayaan sebelumnya.
Contoh : Debitur A pada saat pengajuan kredit atau pembiayaan
untuk membiayai pembelian rumah di angka 1, sebelumnya telah
memiliki 1 (satu) fasilitas KPR yang masih berjalan untuk sebuah
rumah. Oleh karena itu, maka perhitungan LTV atau FTV ditetapkan
sebagai berikut:
LTV/FTV
III Fasilitas kredit/pembiayaan kedua dan luas 60%
IV Fasilitas kredit/pembiayaan ketiga dan luas 50%
620
I Fasilitas kredit/pembiayaan keempat dan luas 50%
II Fasilitas kredit/pembiayaan kelima dan luas 50%
V Fasilitas kredit/pembiayaan keenam dan luas 50%
5. Perhitungan LTV atau FTV sebagaimana dijelaskan di atas juga
berlaku apabila pembelian Rumah Tapak diikat oleh perjanjian kredit
yang terpisah dan dilakukan di tanggal yang sama.
Contoh 2
Seluruh Properti yang dibeli berupa Rumah Tapak dengan luas bangunan
22m2 sampai dengan 70m2.
1. Debitur B bermaksud membeli 5 (lima) unit Rumah Tapak sekaligus
sebagai berikut:
(Rp)
I 60m2 120.000.000
II 45m2 90.000.000
III 22m2 45.000.000
IV 70m2 140.000.000
V 56m2 105.000.000

pembiayaan yang harus ditetapkan Bank adalah III, II, V, I dan IV.
3. Atas dasar urutan tersebut di atas, apabila debitur B tidak memiliki
maka perhitungan LTV atau FTV ditetapkan sebagai berikut:
LTV/FTV
III Fasilitas kredit/pembiayaan pertama dan luas -
bangunan 22m2 sampai dengan 70m2
621
II Fasilitas kredit/pembiayaan kedua dan luas 70%
V Fasilitas kredit/pembiayaan ketiga dan luas 60%
I Fasilitas kredit/pembiayaan keempat dan luas 60%
IV Fasilitas kredit/pembiayaan kelima dan luas 60%

Contoh : Debitur B pada saat pengajuan kredit atau pembiayaan
rumah. Sehubungan dengan hal tersebut, maka perhitungan LTV atau
FTV ditetapkan sebagai berikut:
LTV/FTV
III Fasilitas kredit/pembiayaan kedua dan 70%
luas bangunan sampai dengan 70m2
II Fasilitas kredit/pembiayaan ketiga dan 60%
V Fasilitas kredit/pembiayaan keempat dan 60%
I Fasilitas kredit/pembiayaan kelima dan 60%
IV Fasilitas kredit/pembiayaan keenam dan 60%
5. Perhitungan ...
622
Contoh 3
Seluruh properti yang dibeli berupa Rumah Tapak dengan luas bangunan
yang bervariasi.
1. Debitur C bermaksud membeli 5 (lima) unit rumah tapak sekaligus
sebagai berikut:
(Rp)
I 150m2 300.000.000
II 75m2 150.000.000
III 48m2 100.000.000
IV 110m2 220.000.000
V 70m2 140.000.000

pembiayaan yang harus ditetapkan Bank adalah III, V, II, IV dan I.
3. Atas dasar urutan tersebut di atas, apabila debitur C tidak memiliki
maka perhitungan LTV atau FTV ditetapkan sebagai berikut :
LTV/FTV
III Fasilitas kredit/pembiayaan pertama dan luas -
V Fasilitas kredit/pembiayaan kedua dan luas 70%
II Fasilitas kredit/pembiayaan ketiga dan luas 50%
IV Fasilitas kredit/pembiayaan keempat dan luas 50%
623
I Fasilitas kredit/pembiayaan kelima dan luas 50%

Contoh : Debitur C pada saat pengajuan kredit atau pembiayaan
rumah. Sehubungan dengan hal tersebut, maka perhitungan LTV atau
LTV/FTV
III Fasilitas kredit/pembiayaan kedua dan luas 70%
bangunan sampai dengan 70m2
V Fasilitas kredit/pembiayaan ketiga dan luas 60%
II Fasilitas kredit/pembiayaan keempat dan luas 50%
IV Fasilitas kredit/pembiayaan kelima dan luas 50%
I Fasilitas kredit/pembiayaan keenam dan luas 50%

Contoh ...
624
Contoh 4
Seluruh properti yang dibeli berupa apartemen dengan luas bangunan
yang bervariasi.
1. Nasabah D bermaksud membeli 5 (lima) unit apartemen sekaligus
melalui KPR iB dengan akad MMQ atau akad IMBT sebagai berikut:
(Rp)
I 21m2 200.000.000
II 70m2 700.000.000
III 70m2 700.000.000
IV 90m2 900.000.000
V 90m2 900.000.000
2. Berdasarkan hasil penilaian, maka urutan fasilitas pembiayaan yang

harus ditetapkan Bank adalah I, II, III, IV dan V.
3. Atas dasar urutan tersebut di atas, apabila nasabah D tidak memiliki
maka perhitungan FTV ditetapkan sebagai berikut:
LTV / FTV
I Fasilitas pembiayaan pertama dan luas -
II Fasilitas pembiayaan kedua dan luas bangunan 80%
22m2 sampai dengan 70m2
III Fasilitas pembiayaan ketiga dan luas bangunan 70%
IV Fasilitas pembiayaan keempat dan luas 60%
V Fasilitas pembiayaan kelima dan luas bangunan 60%
di atas 70m2

penetapan ...
625
penetapan urutan fasilitas pembiayaannya dimulai setelah urutan
kredit atau pembiayaan sebelumnya.
Contoh : Nasabah D pada saat pengajuan pembiayaan untuk
membiayai pembelian apartemen di angka 1, sebelumnya telah
rumah tapak. Sehubungan dengan hal tersebut, maka perhitungan
LTV/FTV
I Fasilitas pembiayaan kedua dan luas bangunan 80%
sampai dengan 21m2
II Fasilitas pembiayaan ketiga dan luas bangunan 70%
III Fasilitas pembiayaan keempat dan luas 70%
IV Fasilitas pembiayaan kelima dan luas bangunan 60%
di atas 70m2
V Fasilitas pembiayaan keenam dan luas 60%
5. Perhitungan FTV sebagaimana dijelaskan di atas juga berlaku apabila

pembelian apartemen diikat oleh perjanjian kredit yang terpisah dan
dilakukan di tanggal yang sama.
BANK INDONESIA,
HALIM ALAMSYAH
DEPUTI GUBERNUR
626
LAMPIRAN IV
37
Contoh 1
Pada bulan Juni 2013, Bapak A bermaksud mengajukan KPRS di Bank Z
untuk membeli Rumah Susun berupa apartemen dengan luas 80m2
senilai Rp1.000.000.000,00. Atas pengajuan KPRS tersebut, Bank Z
melakukan pengecekan pada Sistem Informasi Debitur untuk memperoleh
informasi terkait fasilitas kredit atau pembiayaan yang telah diperoleh
baik Bapak A maupun istrinya yaitu Ibu B sehingga diperoleh informasi
sebagai berikut:
Agunan Bank Debitur Tanggal Perjanjian Kredit
Rumah Tapak 1 X A 10 Juli 2011
Rumah Tapak 2 Y B 16 Februari 2012
Informasi tambahan dari Bapak A :
tidak terdapat perjanjian pemisahan harta antara Bapak A dan Ibu B.
Sesuai dengan Surat Edaran ini, Bank Z menetapkan hal-hal sebagai

berikut :
a. Bapak A dan Ibu B diperlakukan sebagai 1 debitur.
b. Terhadap KPR dari Bank X atas nama Bapak A diperlakukan sebagai
fasilitas kredit pertama.
c. Terhadap KPR dari Bank Y atas nama Ibu B diperlakukan sebagai
fasilitas kredit kedua.
d. KPRS ...
627
d. KPRS atas nama Bapak A diperlakukan sebagai fasilitas kredit ketiga
dengan LTV maksimal sebesar 50% x Rp1.000.000.000,00 =
Rp500.000.000,00.
Contoh 2
Debitur A mendapatkan fasilitas KPR untuk pembelian rumah tapak X
dengan luas bangunan 100m2 pada bulan Januari 2011 sebesar
Rp700.000.000,00 (70% dari nilai agunan sebesar Rp1.000.000.000,00).
Pada bulan Januari 2013, baki debet debitur A adalah sebesar
Rp600.000.000,00.
Untuk memberikan tambahan fasilitas kredit tersebut, bank melakukan
penilaian ulang sehingga diperoleh informasi bahwa nilai agunan adalah
sebesar Rp1.200.000.000,00 berdasarkan taksiran bank. Sesuai dengan
Surat Edaran ini, total fasilitas kredit atau pembiayaan yang dapat
diberikan bank menjadi sebagai berikut:
a. Nilai agunan ditetapkan sebesar Rp1.200.000.000,00.
b. Tambahan fasilitas kredit (top up) diperlakukan sebagai fasilitas kredit
kedua.
c. Perhitungan maksimum LTV untuk fasilitas kredit kedua adalah
sebesar 60% x Rp1.200.000.000,00 = Rp720.000.000,00.
Tambahan fasilitas kredit yang diterima oleh debitur A adalah
Rp720.000.000,00 – Rp600.000.000,00 = Rp120.000.000,00.
Contoh 3
Pada bulan Juni 2013, A bermaksud membeli rumah susun berupa
apartemen dengan luas 80m2 senilai Rp1.000.000.000. Sehubungan
dengan pembelian tersebut, A telah melakukan perikatan jual beli dengan
pihak pengembang dan telah menyerahkan uang muka. Berdasarkan
perikatan jual beli tersebut, A mengajukan fasilitas KPRS kepada Bank
sebesar Rp700.000.000 (70% x Rp1.000.000.000). Atas pengajuan KPRS
dari A, Bank melakukan pengecekan dan diperoleh informasi sebagai
berikut :
a. Berdasarkan ...
628
a. Berdasarkan pernyataan A yang diverifikasi dengan data Sistem
Informasi Debitur, A pada saat pengajuan KPRS sedang menikmati
fasilitas KPR dari bank lain dengan baki debet sebesar
Rp500.000.000,00. Oleh karena itu, apabila permohonan KPRS dari A
disetujui, maka KPRS merupakan fasilitas KPP yang kedua bagi A.
b. Pembangunan apartemen akan dimulai pada bulan Desember 2013.
c. Serah terima unit apartemen akan dilakukan pada bulan Juli 2016.
Berdasarkan informasi tersebut, mengingat nantinya KPRS yang diajukan
A akan menjadi fasilitas KPP kedua bagi A, maka Bank tidak
diperkenankan memberikan fasilitas KPRS dimaksud kepada A sampai
dengan fisik apartemen telah tersedia atau fasilitas kredit pertama lunas.
Contoh 4
Pada bulan Juni 2013, A bermaksud membeli rumah susun berupa
apartemen dengan luas 80m2 senilai Rp1.000.000.000,00. Sehubungan
dengan pembelian tersebut, A telah melakukan perikatan jual beli dengan
pihak pengembang dan telah menyerahkan uang muka. Berdasarkan
perikatan jual beli tersebut, A mengajukan fasilitas KPRS kepada Bank
sebesar Rp700.000.000,00 (70% x Rp1.000.000.000,00). Atas pengajuan
KPRS dari A, Bank melakukan pengecekan dan diperoleh informasi
sebagai berikut :
a. Pembangunan apartemen akan dimulai pada bulan Desember 2013.
b. Serah terima unit apartemen akan dilakukan pada bulan Juli 2016.
c. A pernah mendapatkan fasilitas KPR dari bank lain yang statusnya
sudah lunas. Selain fasilitas KPR tersebut, A belum pernah memiliki
fasilitas kredit/pembiayaan lainnya.
Mengingat unit apartemen yang dijadikan agunan belum tersedia secara
utuh (masih inden), maka Bank memastikan bahwa pengajuan KPRS oleh
A memenuhi persyaratan yang diperlukan yang salah satunya adalah
fasilitas KPRS tersebut merupakan fasilitas KPP yang pertama bagi A.
Berdasarkan informasi tersebut di atas, mengingat fasilitas KPR dari bank
lain sudah lunas, maka saat ini A tidak memiliki fasilitas KPP/KPP iB
yang sedang berjalan. Oleh karena itu, apabila fasilitas KPRS yang
diajukan ...
629
diajukan A disetujui oleh Bank, maka fasilitas dimaksud akan menjadi
fasilitas KPP yang pertama bagi A. Dalam hal ini, Bank diperkenankan
memberikan fasilitas KPRS dimaksud kepada A sepanjang persyaratan
lain dalam pemberian fasilitas KPP/KPP iB dengan Properti yang dijadikan
agunan belum tersedia secara utuh telah terpenuhi.
BANK INDONESIA,
HALIM ALAMSYAH
DEPUTI GUBERNUR
630

Kodifikasi-Manajemen Risiko Part Complete

Diunggah oleh

Informasi Dokumen

Hak Cipta

Format Tersedia

Bagikan dokumen Ini

Bagikan atau Tanam Dokumen

Opsi Berbagi

Apakah menurut Anda dokumen ini bermanfaat?

Apakah konten ini tidak pantas?

Hak Cipta:

Format Tersedia

Kodifikasi-Manajemen Risiko Part Complete

Diunggah oleh

Hak Cipta:

Format Tersedia

Kodifikasi Peraturan Bank Indonesia

Penerapan Manajemen Risiko Pada Aktivitas Pelayanan Jasa

Pengelolaan Perusahaan Anak Par. 161 Hal. 86 – 87

Penerapan Manajemen Risiko bagi Bank Umum Syariah dan

Lampiran 14 : Laporan Aktivitas Baru yang Berupa Hal. 362 – 363

Lampiran 29 : Formulir Pelaporan dan Permohonan Persetujuan Hal. 573 – 606

Lampiran 35 : Penetapan LTV atau FTV untuk Kredit atau Hal. 616 – 618

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan

Paragraf Sumber Regulasi Ketentuan