Magnific
Gangguan layanan m-banking selama beberapa jam dapat menghambat transaksi nasabah sekaligus meningkatkan risiko operasional dan reputasi bagi bank. Ketergantungan pada teknologi membuat keamanan dan keandalan layanan digital perlu menjadi bagian penting dari pengawasan bank.
Artikel ini memberikan gambaran mengenai urgensi audit layanan digital banking, area yang perlu diperiksa pada aplikasi m-banking, regulasi yang berlaku, hingga cara mengelola risiko inovasi tanpa mengabaikan keamanan sistem.
Mengapa Audit Layanan Digital Banking Sangat Krusial?
Layanan digital banking menjadi salah satu kanal utama nasabah untuk mengakses produk dan melakukan transaksi perbankan. Aktivitas tersebut bergantung pada aplikasi, jaringan, infrastruktur, serta sistem pendukung yang harus bekerja secara terintegrasi.
Berbeda dengan pemeriksaan operasional di kantor cabang, audit digital banking perlu memperhatikan perubahan teknologi yang berlangsung lebih cepat. Pembaruan aplikasi, penambahan fitur, perubahan konfigurasi, dan integrasi dengan pihak ketiga dapat mengubah profil risiko layanan.
Satu kelemahan pada komponen yang digunakan bersama dapat memengaruhi lebih banyak pengguna. Oleh sebab itu, pemeriksaan perlu melihat bukan hanya fungsi aplikasi, tetapi juga pengendalian yang menopang layanan dari sisi keamanan, data, infrastruktur, dan proses operasional.
Fokus Utama dalam Audit Aplikasi M-Banking
Audit digital banking terhadap aplikasi m-banking perlu mencakup beberapa aspek yang saling berkaitan. Pemeriksaan dapat disesuaikan dengan arsitektur sistem, jenis layanan, profil risiko, serta kebijakan internal bank.
Keamanan Akses dan Autentikasi Pengguna
Auditor dapat memeriksa mekanisme autentikasi, pengelolaan perangkat, pengaturan hak akses sistem, serta prosedur pemulihan akun ketika nasabah kehilangan akses.
Pemeriksaan juga perlu melihat bagaimana sistem merespons aktivitas yang tidak biasa. Contohnya, percobaan login berulang, perubahan perangkat, perubahan kredensial, atau transaksi yang membutuhkan verifikasi tambahan.
Kontrol autentikasi perlu diuji secara berkala, terutama ketika bank melakukan perubahan pada aplikasi atau menambahkan metode autentikasi baru. Pengujian tersebut membantu memastikan kontrol tetap berjalan sesuai rancangan.
Perlindungan Data Pribadi dan Transaksi
Aplikasi m-banking memproses informasi nasabah dan transaksi yang bersifat sensitif. Pengendalian perlu mencakup akses terhadap data, perlindungan selama pemrosesan, penyimpanan, serta pencatatan aktivitas pengguna.
POJK Nomor 21 Tahun 2023 mewajibkan bank menerapkan prinsip pelindungan data pribadi dalam penyelenggaraan layanan digital, termasuk memperoleh persetujuan dalam pemrosesan data pribadi sesuai ketentuan yang berlaku.
Auditor juga dapat memeriksa audit trail transaksi untuk memastikan aktivitas tercatat dan dapat ditelusuri. Catatan tersebut penting ketika bank perlu menelusuri transaksi bermasalah, sengketa, atau indikasi penyalahgunaan.
Ketersediaan Layanan dan Ketahanan Infrastruktur (Uptime)
Nasabah membutuhkan layanan yang dapat diakses ketika melakukan transaksi. Gangguan berkepanjangan dapat menghambat aktivitas pengguna dan meningkatkan beban penanganan pada bank.
Audit dapat mengevaluasi arsitektur pendukung layanan, kapasitas sistem, mekanisme failover, pencadangan, serta rencana pemulihan gangguan sebagai parameter Key Risk Indicator (KRI).
OJK juga menerbitkan penilaian tingkat maturitas digital bank umum yang mempertimbangkan berbagai aspek transformasi digital. Ketahanan dan keamanan menjadi bagian penting dalam memastikan layanan digital dapat berjalan secara berkelanjutan.
Regulasi dan Kepatuhan Produk Bank Digital
Magnific
Layanan digital bank umum perlu mengikuti ketentuan regulator sekaligus kebijakan internal dalam konteks audit digital banking. Kepatuhan tidak hanya terlihat dari dokumen, tetapi juga dari penerapan pengendalian dalam pengembangan dan pengoperasian layanan.
Perubahan teknologi, fitur baru, serta penggunaan penyedia jasa juga perlu masuk dalam kerangka manajemen risiko. Audit membantu bank mengevaluasi apakah kontrol yang diterapkan masih sesuai dengan risiko dan ketentuan yang berlaku.
Penerapan Standar Keamanan dari OJK dan Bank Indonesia
POJK Nomor 21 Tahun 2023 tentang Layanan Digital oleh Bank Umum mengatur penyelenggaraan layanan digital, termasuk pemanfaatan TI, infrastruktur, kerja sama dengan mitra, manajemen risiko, serta pelindungan data pribadi. Regulasi tersebut berlaku sejak 22 Desember 2023.
Bank Indonesia juga memiliki PBI Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber. Namun, ruang lingkupnya ditujukan kepada penyelenggara sistem pembayaran, pelaku pasar uang dan pasar valuta asing, serta pihak lain yang diatur dan diawasi Bank Indonesia.
Dengan demikian, dasar pemeriksaan perlu disesuaikan dengan jenis kegiatan dan regulator yang berwenang. Auditor perlu memastikan ketentuan yang digunakan memang relevan dengan layanan dan status institusi yang diperiksa.
Manajemen Risiko Sistem Informasi Perbankan
Sejak 1 Maret 2026, PADK OJK Nomor 1 Tahun 2026 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum menjadi pedoman penting bagi bank umum. Ketentuan ini mencakup tata kelola TI, manajemen risiko TI, keamanan informasi dan jaringan, penggunaan penyedia jasa TI, pengelolaan data, serta audit intern.
PADK tersebut berlaku bagi seluruh bank umum dan menggantikan ketentuan dalam SEOJK Nomor 21/SEOJK.03/2017 mengenai penerapan manajemen risiko dalam penggunaan TI oleh bank umum.
Dalam audit digital banking, auditor dapat menilai apakah tata kelola dan pengendalian TI telah diterapkan sesuai profil risiko bank. Pemeriksaan juga dapat mencakup keamanan informasi, pengelolaan data, penyedia jasa, serta kesiapan menghadapi gangguan.
Mengelola Risiko Inovasi Perbankan Tanpa Mengorbankan Keamanan
Pengembangan layanan digital sering melibatkan perubahan aplikasi, integrasi sistem, dan penggunaan teknologi baru. Setiap perubahan dapat membawa risiko tambahan jika tidak disertai pengujian dan pengendalian yang memadai dalam framework audit digital banking.
Audit tidak harus menjadi penghambat inovasi. Sebaliknya, hasil pemeriksaan dapat membantu bank memahami risiko sejak tahap pengembangan sehingga kontrol keamanan dapat diterapkan sebelum fitur digunakan secara luas.
Pengujian Penetrasi (Penetration Testing) dan Vulnerability Assessment
Penetration testing dilakukan dengan mensimulasikan serangan terhadap sistem dalam ruang lingkup yang telah ditentukan. Tujuannya adalah mengetahui apakah kerentanan tertentu dapat dimanfaatkan dan seberapa besar dampaknya.
Sementara itu, vulnerability assessment berfokus pada identifikasi dan penilaian kerentanan yang terdapat pada sistem, aplikasi, atau infrastruktur.
Keduanya dapat digunakan sebagai bagian dari pengujian keamanan, dengan menyesuaikan metode dan frekuensi yang dengan risiko serta perubahan sistem. Temuan yang muncul perlu memiliki penanggung jawab dan ditindaklanjuti sesuai tingkat prioritas.
Pengawasan Pihak Ketiga dan Integrasi API
Layanan digital dapat terhubung dengan pihak ketiga melalui integrasi sistem. Hubungan tersebut dapat melibatkan penyedia teknologi, layanan verifikasi identitas, payment gateway, maupun mitra lain.
POJK Nomor 21 Tahun 2023 mengatur penyelenggaraan layanan digital oleh bank bersama mitra serta mewajibkan bank memiliki infrastruktur TI dan pengelolaan infrastruktur yang mampu mendukung layanan digital secara optimal.
Audit dapat memeriksa proses pemilihan mitra, pengaturan hak akses, klausul keamanan dalam kontrak, pemantauan kinerja, serta mekanisme penanganan insiden.
Pada integrasi API, pemeriksaan dapat mencakup autentikasi, otorisasi, pengamanan pertukaran data, pencatatan aktivitas, serta pembatasan akses. Kontrol tersebut penting untuk mengurangi risiko dari koneksi antarsistem.
Solusi Strategis Jamin Keamanan Sistem Layanan Digital Banking
Audit digital banking perlu dilakukan sebagai proses yang berkelanjutan. Perubahan aplikasi, infrastruktur, integrasi, dan ancaman keamanan membuat profil risiko layanan dapat berubah dari waktu ke waktu.
Pendekatan berbasis risiko membantu auditor menentukan area yang membutuhkan perhatian lebih besar. Pemeriksaan dapat diarahkan pada komponen yang memiliki dampak signifikan terhadap keamanan, ketersediaan, data, dan keberlangsungan layanan.
Hasil audit juga perlu diikuti dengan tindak lanjut yang jelas. Temuan, rekomendasi, penanggung jawab, serta status penyelesaian perlu terdokumentasi sehingga perbaikan dapat dipantau sampai selesai.
Penutup
Risiko pada layanan digital banking terus berkembang seiring bertambahnya fitur, integrasi, dan ketergantungan bank terhadap teknologi. Audit yang dilakukan secara terstruktur membantu bank menemukan kelemahan dan menentukan tindak lanjut berdasarkan tingkat risikonya.
Audithink membantu tim audit internal mengelola proses audit TI dan digital banking secara lebih terstruktur, mulai dari perencanaan, pemeriksaan, dokumentasi temuan, hingga tindak lanjut.
Jadwalkan demo Audithink untuk melihat bagaimana solusi digital dapat mendukung pengelolaan audit keamanan layanan digital bank Anda.
FAQ
Apa perbedaan audit digital banking dengan audit cabang konvensional?
Audit digital banking berfokus pada aplikasi, infrastruktur, data, keamanan, dan proses TI yang mendukung layanan digital. Sementara itu, audit cabang lebih banyak menilai proses operasional fisik seperti kas, dokumen, teller, dan fasilitas kantor.
Seberapa sering penetration testing sebaiknya dilakukan?
Frekuensinya perlu disesuaikan dengan profil risiko dan perubahan sistem. Pengujian dapat menjadi lebih relevan ketika terdapat perubahan signifikan pada aplikasi, infrastruktur, atau arsitektur layanan.
Apa saja regulasi utama yang mengatur layanan digital banking di Indonesia?
POJK Nomor 21 Tahun 2023 mengatur layanan digital oleh bank umum. Untuk penyelenggaraan TI bank umum, PADK OJK Nomor 1 Tahun 2026 berlaku sejak 1 Maret 2026 dan mencakup tata kelola, manajemen risiko, keamanan informasi, data, penyedia jasa TI, serta audit intern.
PBI Nomor 2 Tahun 2024 juga mengatur keamanan sistem informasi dan ketahanan siber, tetapi ruang lingkupnya berlaku bagi pihak yang berada dalam pengaturan dan pengawasan Bank Indonesia.
Apakah integrasi dengan pihak ketiga menambah risiko keamanan bank?
Integrasi dengan pihak ketiga dapat menambah titik yang perlu dikendalikan karena terdapat pertukaran data dan koneksi antarsistem. Bank perlu memastikan mitra memenuhi persyaratan keamanan dan pengelolaan risiko yang ditetapkan.
Apa dampak jika bank tidak memenuhi standar ketahanan siber?
Ketidaksesuaian terhadap ketentuan dapat menimbulkan konsekuensi kepatuhan sesuai regulasi yang berlaku. Di sisi operasional, kelemahan keamanan juga dapat meningkatkan risiko gangguan layanan, insiden siber, dan dampak terhadap kepercayaan nasabah.
