Audit teknologi informasi BPR: kewajiban POJK 34/2025 dan isi laporannya

Sebagian besar pengurus BPR sudah memahami bahwa POJK 34/2025 membawa kewajiban baru di bidang teknologi informasi. Yang sering luput dari perhatian adalah kewajiban auditnya secara spesifik: bukan penilaian satu kali menjelang tenggat, melainkan program yang berjalan secara berkala, yang menurut Pasal 40 harus berjalan paling sedikit sekali setiap tahun. Kewajiban ini tidak bisa ditunda hingga bulan-bulan terakhir sebelum Desember 2026. Audit yang dilakukan terburu-buru jarang menghasilkan temuan yang dapat benar-benar ditindaklanjuti, dan meninggalkan bank dalam posisi yang lebih rentan daripada jika pekerjaan dipacing dengan baik dari awal.

Halaman ini membahas layanan audit TI Alpha Code untuk BPR dan BPRS: apa yang dinilai, bagaimana prosesnya berjalan, dan mengapa kemandirian auditor menjadi faktor yang tidak bisa dikompromikan. Untuk gambaran menyeluruh tentang seluruh kewajiban POJK 34/2025 bagi BPR, termasuk tata kelola, manajemen risiko, dan ketahanan siber, lihat halaman kepatuhan TI dan keamanan siber BPR.

Kewajiban audit TI yang ditegaskan POJK 34/2025

Pasal 40 mewajibkan BPR dan BPRS melaksanakan audit intern atas penyelenggaraan TI, paling sedikit 1 kali dalam jangka waktu 1 tahun. Peraturan ini tidak menetapkan peninjauan eksternal terpisah dengan siklus yang lebih panjang. Yang diatur pada ayat (5) adalah bahwa audit intern tersebut dapat dilakukan oleh auditor ekstern, dan itu berupa kebolehan, bukan kewajiban. Dua kewajiban lain menyertainya: bank wajib memiliki pedoman audit intern atas penyelenggaraan TI (ayat 3) dan wajib memastikan tersedianya jejak audit atas seluruh kegiatan penyelenggaraan TI untuk pengawasan, penegakan hukum, penyelesaian sengketa, verifikasi, dan pemeriksaan lainnya (ayat 4).

Kewajiban ini berlaku mulai tanggal efektif ketentuan, yaitu 18 Desember 2026. Bank yang belum memiliki program audit TI yang berjalan perlu merancang mekanismenya sebelum tanggal tersebut: menetapkan ruang lingkup, memilih pelaksana, dan menyiapkan infrastruktur dokumentasi yang mendukung siklus audit yang berulang.

Siapa yang melaksanakan audit, dan seberapa sering

Pertanyaan yang sering muncul dari pengurus BPR adalah apakah pihak luar wajib dilibatkan. Tidak. Audit ini bersifat intern dan harus berjalan paling sedikit sekali setahun, sementara Pasal 40 ayat (5) membuka pilihan siapa yang melaksanakannya, termasuk auditor ekstern. BPR yang belum memiliki fungsi audit TI sendiri umumnya memakai kebolehan itu, karena pilihan lainnya adalah membangun kapabilitasnya dari nol.

Audit tahunan itu biasanya dilaksanakan oleh satuan audit intern bank, atau oleh auditor ekstern yang ditunjuk bank berdasarkan Pasal 40 ayat (5). Tujuannya sama pada kedua jalur: memastikan pengendalian TI tetap berjalan sesuai yang seharusnya dan tidak ada penyimpangan yang berkembang tanpa diketahui. Penjelasan POJK menambahkan bahwa pemilihan auditor ekstern harus mempertimbangkan ukuran dan kompleksitas usaha bank, dan penggunaan auditor ekstern tidak mengurangi tanggung jawab pejabat yang membawahi fungsi audit intern.

Melibatkan auditor ekstern mengubah apa yang harus sudah siap di sisi bank. Dokumentasi kebijakan, catatan sistem, rekam jejak perubahan, dan hasil uji coba pemulihan bencana perlu tersedia dan terorganisir, karena auditor dari luar datang untuk menilai materi tersebut, bukan untuk membantu menyusunnya. Jejak audit yang diwajibkan Pasal 40 ayat (4) adalah yang membuat hal ini memungkinkan, dan lebih mudah dipelihara terus-menerus daripada disusun ulang beberapa minggu sebelum audit.

Ruang lingkup audit TI

Ruang lingkup audit TI mengikuti area yang diatur dalam POJK 34/2025. Tata kelola TI menjadi titik awal: apakah ada kebijakan yang jelas, apakah peran dan tanggung jawab ditetapkan di tingkat yang tepat, dan apakah keputusan terkait TI dibuat dengan struktur yang dapat diawasi oleh dewan komisaris.

Manajemen risiko TI dinilai dari sisi proses: apakah bank mengenali risiko yang berasal dari penggunaan teknologi, mengukurnya secara konsisten, dan memiliki langkah mitigasi yang proporsional. Keamanan informasi mencakup perlindungan data nasabah dan data operasional, pengendalian akses ke sistem, dan kemampuan mendeteksi upaya yang tidak sah.

Keberlangsungan layanan dinilai melalui keberadaan dan kualitas rencana pemulihan bencana: apakah rencana tersebut terdokumentasi, sudah diuji, dan hasilnya dicatat serta ditindaklanjuti. Penyedia TI pihak ketiga juga masuk dalam ruang lingkup, karena POJK 34/2025 mewajibkan bank untuk mempertahankan akuntabilitas atas layanan yang dikelola vendor, bukan hanya atas sistem yang dioperasikan sendiri.

Proses audit Alpha Code untuk BPR

Setiap keterlibatan dimulai dengan sesi scoping untuk memetakan arsitektur sistem, batas-batas yang akan dinilai, dan area risiko yang paling relevan untuk bank tersebut. Scoping yang cermat mencegah audit menjadi terlalu luas dan tidak fokus, atau sebaliknya terlalu sempit sehingga melewatkan hal yang benar-benar penting.

Pengumpulan bukti berlangsung melalui tinjauan dokumen, wawancara dengan personel kunci, dan pemeriksaan teknis terbatas pada sistem yang masuk ruang lingkup. Kami tidak meminta bank menyiapkan dokumen yang seharusnya tidak ada. Dokumen yang tidak ada dicatat sebagai temuan, bukan disembunyikan atau dimaklumi.

Penilaian dan analisis menghasilkan daftar temuan yang disusun berdasarkan tingkat risiko. Masalah yang paling berdampak pada kepatuhan POJK 34/2025 dan pada keamanan operasional bank muncul paling atas, dengan penjelasan yang cukup bagi pengurus untuk memahami mengapa suatu temuan penting, tanpa harus melek teknis untuk membacanya.

Laporan akhir memuat temuan, konteks, dan rekomendasi yang dapat ditindaklanjuti. Setelah laporan diserahkan, kami menyediakan sesi klarifikasi agar pengurus dan tim TI bank dapat menanyakan hal yang belum dipahami, kemudian menyusun rencana tindak lanjut dengan landasan yang jelas.

Mengapa kemandirian auditor tidak bisa dikompromikan

Peninjauan oleh pihak eksternal memiliki nilai yang berbeda dari audit internal, bukan karena auditor eksternal lebih cakap, melainkan karena mereka tidak memiliki konflik kepentingan terhadap hasil penilaian. Seseorang yang membangun atau mengelola sistem yang dinilai secara alami cenderung melihat kelebihannya dan melewatkan kelemahannya. Ini bukan soal kejujuran; ini soal cara perspektif orang dalam bekerja.

POJK 34/2025 membolehkan auditor ekstern melaksanakan audit tersebut, bukan mewajibkannya, dan penjelasannya menyebutkan bahwa penggunaan auditor ekstern tidak mengurangi tanggung jawab pejabat yang membawahi fungsi audit intern. Karena itu argumen independensi bertumpu pada praktik, bukan pada mandat: pihak yang menjual, mengimplementasikan, atau secara rutin mengelola sistem yang dinilai berada pada posisi yang lemah untuk mengaudit sistem yang sama. Alpha Code masuk sebagai pihak eksternal yang tidak terikat pada vendor sistem inti atau produk tertentu yang digunakan BPR. Kami menilai berdasarkan praktik yang ada, bukan berdasarkan kepentingan mempertahankan kontrak lain dengan bank.

Jika sebelumnya Alpha Code telah membantu bank dalam aspek tertentu yang masuk ruang lingkup audit, hal ini dibahas di awal keterlibatan dan pemisahan yang jelas diatur secara kontraktual sebelum pekerjaan dimulai.

Langkah berikutnya

Membangun program audit TI yang berkelanjutan lebih mudah dilakukan secara bertahap daripada sekaligus menjelang tenggat. Bank yang mulai menyiapkan program sekarang memiliki waktu untuk menindaklanjuti temuan dari audit pertama sebelum audit berikutnya jatuh tempo, dan akan memiliki dokumentasi yang terorganisir sehingga setiap siklus berikutnya tidak dimulai dari nol.

Jika Anda ingin mendiskusikan ruang lingkup yang tepat untuk BPR atau BPRS Anda, atau memahami apa yang perlu dipersiapkan sebelum audit pertama dijalankan, tim kami siap membantu menilai posisi awal dan menyusun langkah yang terukur.