Peraturan Otoritas Jasa Keuangan Nomor 11/POJK.03/2022 Tahun 2022

Peraturan ini mengubah: 2. Peraturan Otoritas Jasa Keuangan Nomor 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum sebagaimana telah diubah dengan Peraturan Otoritas Jasa Keuangan Nomor 13/POJK.03/2020 tentang Perubahan atas Peraturan Otoritas Jasa Keuangan Nomor 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum. Peraturan ini mencabut: 1. Peraturan Otoritas Jasa Keuangan Nomor 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum sebagaimana telah diubah dengan Peraturan Otoritas Jasa Keuangan Nomor 13/POJK.03/2020 tentang Perubahan atas Peraturan Otoritas Jasa Keuangan Nomor 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum.

Peraturan ini bertujuan untuk mendukung kelangsungan operasional dan pelayanan bank melalui pemanfaatan teknologi informasi (TI) yang aman dan efektif, serta memperkuat tata kelola TI untuk memitigasi risiko. Bank wajib menerapkan tata kelola TI yang baik dengan mempertimbangkan strategi bisnis, ukuran, kompleksitas, peran TI, metode pengadaan sumber daya, risiko, standar, dan peraturan perundang-undangan. Hal ini mencakup evaluasi strategi, penyelarasan, pengadaan solusi TI, dukungan operasional, dan pemantauan kinerja. Bank wajib memiliki arsitektur TI yang komprehensif dan rencana strategis TI yang mendukung rencana korporasi. Penerapan manajemen risiko TI harus terintegrasi dalam setiap tahapan penyelenggaraan TI, meliputi identifikasi, pengukuran, pemantauan, dan pengendalian risiko. Pengamanan informasi, jaringan komunikasi, serta rencana pemulihan bencana harus dilaksanakan secara efektif. Ketahanan dan keamanan siber menjadi prioritas, dengan kewajiban melakukan identifikasi aset, pelindungan, deteksi insiden, penanggulangan, serta penilaian dan pengujian keamanan siber secara berkala. Bank dapat menggunakan pihak penyedia jasa TI dengan tetap memiliki kemampuan pengawasan dan mematuhi kebijakan serta prosedur yang ditetapkan. Penempatan sistem elektronik dan pemrosesan transaksi berbasis TI umumnya harus dilakukan di wilayah Indonesia, namun dimungkinkan di luar negeri dengan izin Otoritas Jasa Keuangan (OJK) dengan kriteria tertentu. Bank juga wajib mengelola data secara efektif dan melaksanakan prinsip perlindungan data pribadi. Penyediaan jasa TI oleh bank kepada lembaga jasa keuangan lain memerlukan izin OJK. Sistem pengendalian intern yang efektif dan fungsi audit intern TI yang menyeluruh wajib diterapkan. Bank juga diwajibkan untuk melaporkan rencana pengembangan TI, kondisi terkini, insiden TI, dan realisasi kegiatan terkait TI kepada OJK. Terakhir, bank wajib melakukan penilaian mandiri atas tingkat maturitas digitalnya.

1. Bank yang telah memiliki kebijakan, standar, dan prosedur dalam penyelenggaraan TI serta pedoman manajemen risiko penyelenggaraan TI harus menyesuaikan dengan ketentuan dalam Peraturan Otoritas Jasa Keuangan ini paling lama 6 (enam) bulan sejak berlakunya Peraturan Otoritas Jasa Keuangan ini. 2. Bank yang telah menggunakan pihak penyedia jasa TI sebelum berlakunya Peraturan Otoritas Jasa Keuangan ini, harus menyesuaikan perjanjian yang telah dibuat sesuai dengan ketentuan dalam Peraturan Otoritas Jasa Keuangan ini. 3. Bank harus menyesuaikan rencana strategis TI sesuai dengan ketentuan dalam Peraturan Otoritas Jasa Keuangan ini paling lambat akhir bulan November 2022.

1. Pelanggaran terhadap ketentuan Pasal 2 ayat (1), Pasal 3 ayat (1), ayat (3), ayat (4), Pasal 4, Pasal 7 ayat (1), dan/atau Pasal 8 ayat (1) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 2. Pelanggaran terhadap ketentuan Pasal 11 ayat (1), ayat (4), Pasal 12 ayat (1), dan/atau Pasal 13 ayat (1) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 3. Pelanggaran terhadap ketentuan Pasal 15 ayat (1), ayat (4), Pasal 16 ayat (1), Pasal 17 ayat (1), Pasal 18 ayat (1), ayat (2), ayat (3), ayat (4), dan/atau Pasal 19 dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 4. Pelanggaran terhadap ketentuan Pasal 21 ayat (1), Pasal 22 ayat (1), ayat (4), Pasal 23, Pasal 24, Pasal 25 ayat (1), dan/atau Pasal 26 ayat (1) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 5. Pelanggaran terhadap ketentuan Pasal 29 ayat (2), ayat (3), Pasal 30 ayat (3), Pasal 31, Pasal 32 ayat (1), dan/atau ayat (4) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 6. Pelanggaran terhadap ketentuan Pasal 35 ayat (1), Pasal 36 ayat (3), Pasal 37, dan/atau Pasal 39 ayat (1) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 7. Pelanggaran terhadap ketentuan Pasal 43 ayat (1), Pasal 44, dan/atau Pasal 45 ayat (1) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 8. Pelanggaran terhadap ketentuan Pasal 48 ayat (2) dan/atau ayat (3) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 9. Pelanggaran terhadap ketentuan Pasal 53 ayat (1), Pasal 54 ayat (2), ayat (4), dan/atau Pasal 55 dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 10. Terlambat menyampaikan notifikasi awal insiden TI sebagaimana dimaksud dalam Pasal 60 ayat (1) huruf a atau ayat (4) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola. 11. Menyampaikan laporan secara tidak lengkap dikenai sanksi administratif atas kesalahan informasi. 12. Pelanggaran terhadap ketentuan Pasal 66 ayat (1) dan/atau ayat (3) dikenai sanksi administratif berupa teguran tertulis. Jika belum dipenuhi, dikenai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu, dan/atau penurunan penilaian faktor tata kelola.