Audit teknologi informasi BPR: kewajiban POJK 34/2025 dan isi laporannya

Sebagian besar pengurus BPR sudah memahami bahwa POJK 34/2025 membawa kewajiban baru di bidang teknologi informasi. Yang sering luput dari perhatian adalah kewajiban auditnya secara spesifik: bukan penilaian satu kali menjelang tenggat, melainkan program yang berjalan secara berkala, dengan komponen peninjauan eksternal yang harus dilakukan oleh pihak independen setidaknya setiap tiga tahun. Kewajiban ini tidak bisa ditunda hingga bulan-bulan terakhir sebelum Desember 2026. Audit yang dilakukan terburu-buru jarang menghasilkan temuan yang dapat benar-benar ditindaklanjuti, dan meninggalkan bank dalam posisi yang lebih rentan daripada jika pekerjaan dipacing dengan baik dari awal.

Halaman ini membahas layanan audit TI Alpha Code untuk BPR dan BPRS: apa yang dinilai, bagaimana prosesnya berjalan, dan mengapa kemandirian auditor menjadi faktor yang tidak bisa dikompromikan. Untuk gambaran menyeluruh tentang seluruh kewajiban POJK 34/2025 bagi BPR, termasuk tata kelola, manajemen risiko, dan ketahanan siber, lihat halaman kepatuhan TI dan keamanan siber BPR.

Kewajiban audit TI yang ditegaskan POJK 34/2025

POJK 34/2025 mewajibkan BPR dan BPRS untuk menjalankan audit TI secara berkala. Kewajiban ini terdiri dari dua komponen: audit internal yang dilakukan setiap tahun, dan peninjauan oleh pihak eksternal yang independen setidaknya setiap tiga tahun. Keduanya wajib dilaksanakan, bukan pilihan.

Kewajiban ini berlaku mulai tanggal efektif ketentuan, yaitu 18 Desember 2026. Bank yang belum memiliki program audit TI yang berjalan perlu merancang mekanismenya sebelum tanggal tersebut: menetapkan ruang lingkup, memilih pelaksana, dan menyiapkan infrastruktur dokumentasi yang mendukung siklus audit yang berulang.

Siklus tiga tahunan: memahami irama audit

Pertanyaan yang sering muncul dari pengurus BPR adalah perbedaan antara audit tahunan dan peninjauan eksternal tiga tahunan. Keduanya bukan hal yang sama, dan keduanya wajib dilakukan.

Audit internal tahunan biasanya dilaksanakan oleh satuan audit internal bank, atau dibantu konsultan yang ditugaskan bank. Tujuannya adalah memastikan pengendalian TI tetap berjalan sesuai yang seharusnya dan tidak ada penyimpangan yang berkembang tanpa diketahui. Di tahun ketiga, audit internal itu dilengkapi dengan peninjauan dari pihak eksternal yang independen, yaitu pihak yang tidak terlibat dalam implementasi atau pengelolaan sistem yang dinilai.

Persiapan untuk peninjauan eksternal berbeda dari audit internal biasa. Dokumentasi kebijakan, catatan sistem, rekam jejak perubahan, dan hasil pengujian pemulihan bencana perlu tersedia dan terorganisir. Pihak eksternal datang untuk menilai materi tersebut, bukan untuk membantu menyusunnya. Bank yang menunggu hingga tahun ketiga baru mulai berbenah biasanya menemukan bahwa sebagian besar pekerjaan persiapan sebenarnya perlu dilakukan di tahun pertama dan kedua.

Ruang lingkup audit TI

Ruang lingkup audit TI mengikuti area yang diatur dalam POJK 34/2025. Tata kelola TI menjadi titik awal: apakah ada kebijakan yang jelas, apakah peran dan tanggung jawab ditetapkan di tingkat yang tepat, dan apakah keputusan terkait TI dibuat dengan struktur yang dapat diawasi oleh dewan komisaris.

Manajemen risiko TI dinilai dari sisi proses: apakah bank mengenali risiko yang berasal dari penggunaan teknologi, mengukurnya secara konsisten, dan memiliki langkah mitigasi yang proporsional. Keamanan informasi mencakup perlindungan data nasabah dan data operasional, pengendalian akses ke sistem, dan kemampuan mendeteksi upaya yang tidak sah.

Keberlangsungan layanan dinilai melalui keberadaan dan kualitas rencana pemulihan bencana: apakah rencana tersebut terdokumentasi, sudah diuji, dan hasilnya dicatat serta ditindaklanjuti. Penyedia TI pihak ketiga juga masuk dalam ruang lingkup, karena POJK 34/2025 mewajibkan bank untuk mempertahankan akuntabilitas atas layanan yang dikelola vendor, bukan hanya atas sistem yang dioperasikan sendiri.

Proses audit Alpha Code untuk BPR

Setiap keterlibatan dimulai dengan sesi scoping untuk memetakan arsitektur sistem, batas-batas yang akan dinilai, dan area risiko yang paling relevan untuk bank tersebut. Scoping yang cermat mencegah audit menjadi terlalu luas dan tidak fokus, atau sebaliknya terlalu sempit sehingga melewatkan hal yang benar-benar penting.

Pengumpulan bukti berlangsung melalui tinjauan dokumen, wawancara dengan personel kunci, dan pemeriksaan teknis terbatas pada sistem yang masuk ruang lingkup. Kami tidak meminta bank menyiapkan dokumen yang seharusnya tidak ada. Dokumen yang tidak ada dicatat sebagai temuan, bukan disembunyikan atau dimaklumi.

Penilaian dan analisis menghasilkan daftar temuan yang disusun berdasarkan tingkat risiko. Masalah yang paling berdampak pada kepatuhan POJK 34/2025 dan pada keamanan operasional bank muncul paling atas, dengan penjelasan yang cukup bagi pengurus untuk memahami mengapa suatu temuan penting, tanpa harus melek teknis untuk membacanya.

Laporan akhir memuat temuan, konteks, dan rekomendasi yang dapat ditindaklanjuti. Setelah laporan diserahkan, kami menyediakan sesi klarifikasi agar pengurus dan tim TI bank dapat menanyakan hal yang belum dipahami, kemudian menyusun rencana tindak lanjut dengan landasan yang jelas.

Mengapa kemandirian auditor tidak bisa dikompromikan

Peninjauan oleh pihak eksternal memiliki nilai yang berbeda dari audit internal, bukan karena auditor eksternal lebih cakap, melainkan karena mereka tidak memiliki konflik kepentingan terhadap hasil penilaian. Seseorang yang membangun atau mengelola sistem yang dinilai secara alami cenderung melihat kelebihannya dan melewatkan kelemahannya. Ini bukan soal kejujuran; ini soal cara perspektif orang dalam bekerja.

POJK 34/2025 secara eksplisit mensyaratkan peninjauan oleh pihak yang independen. Artinya, siapa pun yang menjual, mengimplementasikan, atau secara rutin mengelola sistem yang dinilai tidak dapat sekaligus merangkap sebagai peninjau eksternal untuk aspek yang sama. Alpha Code masuk sebagai pihak eksternal yang tidak terikat pada vendor sistem inti atau produk tertentu yang digunakan BPR. Kami menilai berdasarkan praktik yang ada, bukan berdasarkan kepentingan mempertahankan kontrak lain dengan bank.

Jika sebelumnya Alpha Code telah membantu bank dalam aspek tertentu yang masuk ruang lingkup audit, hal ini dibahas di awal keterlibatan dan pemisahan yang jelas diatur secara kontraktual sebelum pekerjaan dimulai.

Langkah berikutnya

Membangun program audit TI yang berkelanjutan lebih mudah dilakukan secara bertahap daripada sekaligus menjelang tenggat. Bank yang mulai menyiapkan program sekarang memiliki waktu untuk menindaklanjuti temuan dari audit pertama sebelum peninjauan eksternal tiga tahunan tiba, dan akan memiliki dokumentasi yang terorganisir sehingga setiap siklus berikutnya tidak dimulai dari nol.

Jika Anda ingin mendiskusikan ruang lingkup yang tepat untuk BPR atau BPRS Anda, atau memahami apa yang perlu dipersiapkan sebelum audit pertama dijalankan, tim kami siap membantu menilai posisi awal dan menyusun langkah yang terukur.