Transformasi digital membuat operasional bank semakin bergantung pada aplikasi, jaringan, pusat data, layanan pihak ketiga, hingga sistem keamanan siber. Ketergantungan tersebut perlu diimbangi dengan tata kelola dan pengendalian teknologi informasi (TI) yang dapat diuji secara objektif melalui audit.
Bagi bank umum, audit TI bukan sekadar praktik tata kelola yang baik. POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum secara khusus mengatur pengendalian dan audit intern dalam penyelenggaraan TI.
Karena itu, ketika memilih Jasa Audit IT POJK, bank perlu memastikan ruang lingkup audit tidak hanya menggunakan checklist generik, tetapi benar-benar mempertimbangkan regulasi, profil risiko, serta kompleksitas penyelenggaraan TI.
Regulasi Audit Teknologi Informasi Bank
Pasal 54 POJK 11/2022 mewajibkan bank melaksanakan audit intern terhadap penyelenggaraan TI berdasarkan kebutuhan, prioritas, dan hasil analisis risiko, paling sedikit satu kali dalam satu tahun. Bank juga wajib memastikan ketersediaan audit trail untuk mendukung pengawasan, verifikasi, pengujian, dan pemeriksaan.
Hal yang perlu dibedakan adalah audit intern TI tahunan dengan kaji ulang independen. Pasal 55 mewajibkan bank melakukan kaji ulang terhadap fungsi audit intern atas penyelenggaraan TI paling sedikit satu kali dalam tiga tahun menggunakan pihak ekstern yang independen.
Pada 2026, bank juga perlu memperhatikan PADK OJK Nomor 1 Tahun 2026 yang berlaku sejak 1 Maret 2026. Pedoman ini mencakup tata kelola TI, manajemen risiko, keamanan informasi, penyedia jasa TI, pengelolaan data, pengendalian, hingga audit intern.
Lihat POJK 11/POJK.03/2022 di OJK
Artikel ini berfokus pada bank umum. BPR dan BPR Syariah memiliki ketentuan penyelenggaraan TI tersendiri sehingga acuan auditnya perlu disesuaikan.
Apa Saja Ruang Lingkup Audit TI Bank?
Ruang lingkup audit teknologi informasi bank sebaiknya ditentukan berdasarkan risiko dan kompleksitas sistem. Semakin kritikal suatu proses atau sistem terhadap layanan perbankan, semakin besar kebutuhan assurance terhadap pengendaliannya.
Area yang umumnya menjadi perhatian meliputi:
- Tata kelola dan strategi TI, termasuk struktur organisasi, kebijakan, tanggung jawab, dan perencanaan TI.
- Manajemen risiko TI, mulai dari identifikasi hingga pemantauan dan mitigasi risiko.
- Keamanan informasi dan siber, seperti manajemen akses, privileged account, vulnerability management, logging, dan incident response.
- Operasional serta infrastruktur TI, termasuk server, jaringan, database, patching, backup, dan monitoring.
- Business continuity dan disaster recovery, termasuk kesiapan DRC, RTO/RPO, serta hasil pengujiannya.
- Pengembangan dan perubahan sistem, mencakup SDLC, UAT, change management, approval, dan deployment.
- Pihak penyedia jasa TI, termasuk due diligence, SLA, keamanan, monitoring vendor, dan exit strategy.
- Pengelolaan data dan data pribadi, terutama pengendalian akses dan perlindungan data.
- Audit trail, untuk memastikan aktivitas pada sistem kritikal dapat ditelusuri dan diperiksa.
Untuk memahami audit keamanan secara lebih luas, bank juga dapat membaca pembahasan mengenai Audit Keamanan Siber: Pengertian, Proses, dan Standar yang Digunakan.
Apa yang Perlu Disiapkan Sebelum Audit IT POJK?
Persiapan audit sebaiknya dilakukan sebelum auditor mulai meminta evidence. Bank dapat memulai dengan memastikan kebijakan dan SOP masih berlaku, risk register TI diperbarui, serta pemilik setiap kontrol telah ditentukan.
Dokumen penting biasanya mencakup kebijakan keamanan informasi, struktur organisasi TI, risk register, daftar aset, user access matrix, incident register, backup log, hasil pengujian DRC, change request, UAT, kontrak dan SLA vendor, serta laporan audit sebelumnya beserta tindak lanjutnya.
Kondisi yang sering menjadi masalah bukan ketiadaan dokumen, melainkan perbedaan antara kebijakan tertulis dengan implementasi aktual. Karena itu, evidence harus mampu menunjukkan bahwa kontrol benar-benar dijalankan secara konsisten.
Bagaimana Proses Jasa Audit IT POJK Dilakukan?
Audit umumnya dimulai dengan penentuan tujuan dan ruang lingkup. Auditor kemudian melakukan pemetaan regulasi, telaah dokumen, wawancara, walkthrough proses, serta pengujian evidence.
Hasil pengujian selanjutnya dianalisis untuk menentukan gap, risiko, akar permasalahan, dan rekomendasi perbaikan. Laporan audit yang baik seharusnya tidak berhenti pada daftar temuan, tetapi membantu manajemen memahami prioritas perbaikan dan menyusun remediation plan.
Memilih Konsultan Audit IT POJK untuk Bank
Pemilihan Konsultan Audit IT POJK perlu mempertimbangkan kemampuan memahami regulasi perbankan sekaligus risiko teknis TI.
Konsultan idealnya memiliki metodologi audit yang jelas, mampu menjaga independensi dan kerahasiaan evidence, memahami lingkungan perbankan, serta memberikan rekomendasi yang dapat ditindaklanjuti.
Bank juga perlu memastikan sejak awal apakah kebutuhan yang akan dilaksanakan merupakan audit intern TI, dukungan terhadap audit, readiness assessment, atau kaji ulang independen. Perbedaan tujuan tersebut akan memengaruhi metodologi, kompetensi auditor, dan ruang lingkup pekerjaan.
Persiapkan Audit TI Bank Secara Lebih Terstruktur
Audit teknologi informasi membantu bank memperoleh gambaran objektif mengenai efektivitas tata kelola, manajemen risiko, dan pengendalian TI sekaligus mengidentifikasi area yang perlu diperbaiki sebelum berkembang menjadi risiko yang lebih besar.
PT Integra Teknologi Solusi menyediakan layanan Audit Keamanan Informasi untuk membantu organisasi mengevaluasi pengendalian, mengidentifikasi gap dan risiko, serta menyusun rekomendasi perbaikan yang dapat ditindaklanjuti.
Konsultasikan kebutuhan audit TI bank Anda bersama Integra untuk menentukan ruang lingkup assessment yang sesuai dengan kebutuhan, risiko, dan regulasi yang berlaku.
