Dalam Peraturan Otoritas Jasa Keuangan ini, yang dimaksud dengan:
1. Bank Umum yang selanjutnya disebut sebagai Bank adalah bank yang melaksanakan kegiatan usaha secara konvensional atau melaksanakan kegiatan usaha berdasarkan prinsip syariah, yang dalam kegiatannya memberikan jasa dalam lalu lintas pembayaran, termasuk kantor cabang dari bank yang berkedudukan di luar negeri dan unit usaha syariah.
2. Teknologi Informasi yang selanjutnya disingkat TI adalah suatu teknik untuk mengumpulkan, menyiapkan, menyimpan, memproses, mengumumkan, menganalisis, dan/atau menyebarkan informasi.
3. Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, dan/atau menyebarkan informasi elektronik.
4. Pusat Data adalah suatu fasilitas yang digunakan untuk menempatkan Sistem Elektronik dan komponen terkaitnya untuk keperluan penempatan, penyimpanan, dan pengolahan data.
5. Pusat Pemulihan Bencana adalah suatu fasilitas yang digunakan untuk memulihkan kembali data atau informasi serta fungsi penting Sistem Elektronik yang
terganggu atau rusak akibat terjadinya bencana yang disebabkan oleh alam atau manusia.
6. Rencana Pemulihan Bencana adalah dokumen yang berisikan rencana dan langkah untuk menggantikan dan/atau memulihkan kembali akses data, perangkat keras, dan perangkat lunak yang diperlukan, agar Bank dapat menjalankan kegiatan operasional bisnis yang kritikal setelah adanya gangguan dan/atau bencana.
7. Direksi adalah organ Bank yang berwenang dan bertanggung jawab penuh atas pengurusan Bank untuk kepentingan Bank, sesuai dengan maksud dan tujuan Bank serta mewakili Bank, baik di dalam maupun di luar pengadilan sesuai dengan anggaran dasar bagi Bank yang berbadan hukum perseroan terbatas, organ atau pihak yang setara bagi Bank dengan bentuk badan hukum selain perseroan terbatas, atau pemimpin kantor cabang dan pejabat satu tingkat di bawah pemimpin kantor cabang bagi kantor cabang dari bank yang berkedudukan di luar negeri.
8. Dewan Komisaris adalah organ Bank yang bertugas melakukan pengawasan secara umum dan/atau khusus sesuai dengan anggaran dasar serta memberi nasihat kepada Direksi bagi Bank yang berbadan hukum perseroan terbatas, organ atau pihak yang setara bagi Bank dengan bentuk badan hukum selain perseroan terbatas, atau pihak yang ditunjuk untuk melaksanakan fungsi pengawasan bagi kantor cabang dari bank yang berkedudukan di luar negeri.
(1) Bank dalam melakukan proses identifikasi kebutuhan penggunaan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf a paling sedikit:
a. meneliti potensi calon pihak penyedia jasa TI; dan
b. menyusun kriteria pihak penyedia jasa TI yang dibutuhkan.
(2) Bank dalam melakukan proses pemilihan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat
(3) huruf b paling sedikit memperhatikan:
a. kualifikasi dan kompetensi pihak penyedia jasa TI, termasuk sumber daya manusia yang dimiliki;
b. analisis biaya dan manfaat dengan mengikutsertakan satuan kerja penyelenggara TI Bank;
c. prinsip kehati-hatian dan manajemen risiko; dan
d. prinsip hubungan kerja sama secara wajar jika pihak penyedia jasa TI merupakan pihak terkait dengan Bank.
(3) Bank dalam melakukan hubungan kerja sama dengan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf c wajib memiliki perjanjian kerja sama dengan pihak penyedia jasa TI, dengan memperhatikan paling sedikit:
a. kualifikasi dan kompetensi sumber daya manusia yang dimiliki pihak penyedia jasa TI;
b. komitmen pihak penyedia jasa TI dalam menjaga kerahasiaan data dan/atau informasi Bank serta nasabah Bank;
c. komitmen pihak penyedia jasa TI untuk menyampaikan hasil audit TI secara berkala yang dilakukan auditor independen atas penyediaan jasa TI kepada Bank;
d. pengalihan sebagian kegiatan atau subkontrak oleh pihak penyedia jasa TI dilakukan atas persetujuan Bank yang dibuktikan dengan dokumen tertulis;
e. mekanisme pelaporan kejadian kritis oleh pihak penyedia jasa TI kepada Bank;
f. mekanisme penghentian perjanjian kerja sama jika terdapat penghentian perjanjian sebelum jangka waktu perjanjian berakhir;
g. pemenuhan ketentuan peraturan perundang- undangan atas penyediaan jasa TI oleh pihak penyedia jasa TI;
h. kesediaan pihak penyedia jasa TI untuk memenuhi kewajiban dan/atau persyaratan yang dimuat dalam perjanjian kerja sama; dan
i. kesediaan pihak penyedia jasa TI untuk memberikan akses kepada Otoritas Jasa Keuangan dan/atau pihak lain yang berwenang untuk melakukan pemeriksaan terhadap kegiatan penyediaan jasa TI yang diberikan sesuai dengan ketentuan peraturan perundang-undangan.
(4) Proses manajemen risiko penggunaan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf d meliputi:
a. tanggung jawab Bank atas penerapan manajemen risiko terkait penggunaan pihak penyedia jasa TI;
b. penyediaan Rencana Pemulihan Bencana yang teruji dan memadai; dan
c. penetapan dan pemantauan atas pemenuhan persyaratan keamanan data dan/atau informasi dalam kebijakan dan prosedur intern serta dalam perjanjian kerja sama.
(5) Bank dalam melakukan penilaian kinerja dan kepatuhan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat
(3) huruf e memperhatikan paling sedikit:
a. pemantauan dan evaluasi keandalan pihak penyedia jasa TI secara berkala terkait kinerja, reputasi pihak penyedia jasa TI, dan kelangsungan penyediaan layanan;
b. penerapan pengendalian TI secara memadai oleh pihak penyedia jasa TI, yang dibuktikan dengan hasil audit dan/atau penilaian yang dilakukan oleh pihak independen; dan
c. pemenuhan tingkat layanan sesuai dengan perjanjian tingkat layanan antara Bank dan pihak penyedia jasa TI.
(1) Dalam hal terdapat kondisi berupa:
a. hasil penilaian ulang materialitas sebagaimana dimaksud dalam Pasal 31 menunjukkan bahwa kinerja pihak penyedia jasa TI berpotensi tidak berjalan dengan efektif;
b. memburuknya kinerja penyelenggaraan TI oleh pihak penyedia jasa TI yang berpotensi menimbulkan dan/atau mengakibatkan dampak yang signifikan pada kegiatan usaha dan/atau operasional Bank;
c. pihak penyedia jasa TI menjadi insolven, dalam proses menuju likuidasi, atau dipailitkan oleh pengadilan;
d. terdapat pelanggaran oleh pihak penyedia jasa TI terhadap ketentuan peraturan perundang- undangan mengenai rahasia Bank dan/atau data pribadi nasabah;
e. terdapat kondisi yang menyebabkan Bank tidak dapat menyediakan data yang diperlukan untuk pengawasan oleh Otoritas Jasa Keuangan;
dan/atau
f. terdapat kondisi lain yang menyebabkan terganggunya atau terhentinya penyediaan jasa TI dari pihak penyedia jasa TI kepada Bank, Bank wajib melakukan tindakan tertentu.
(2) Tindakan tertentu sebagaimana dimaksud pada ayat (1), paling sedikit:
a. melaporkan kepada Otoritas Jasa Keuangan paling lama 3 (tiga) hari kerja setelah kondisi sebagaimana dimaksud pada ayat (1) diketahui oleh Bank;
b. MEMUTUSKAN tindak lanjut yang akan diambil untuk mengatasi permasalahan termasuk penghentian penggunaan pihak penyedia jasa TI dalam hal diperlukan; dan
c. melaporkan kepada Otoritas Jasa Keuangan paling lama 3 (tiga) hari kerja setelah Bank menghentikan penggunaan pihak penyedia jasa TI sebelum berakhirnya jangka waktu perjanjian, dalam hal Bank MEMUTUSKAN untuk menghentikan penggunaan pihak penyedia jasa TI.
(3) Dalam hal penggunaan pihak penyedia jasa TI atau rencana penggunaan pihak penyedia jasa TI menyebabkan atau diindikasikan akan menyebabkan kesulitan pengawasan yang dilakukan oleh Otoritas Jasa Keuangan, Otoritas Jasa Keuangan dapat:
a. memerintahkan Bank untuk menghentikan penggunaan pihak penyedia jasa TI sebelum berakhirnya jangka waktu perjanjian; atau
b. melarang rencana penggunaan pihak penyedia jasa TI oleh Bank.
(4) Dalam hal Bank akan menghentikan penggunaan pihak penyedia jasa TI, Bank wajib:
a. menyusun rencana penghentian penggunaan pihak penyedia jasa TI;
b. melakukan penilaian atas kelangsungan layanan dan data terkait dengan kegiatan yang diserahkan kepada pihak penyedia jasa TI serta pengujian atau simulasi terhadap kelangsungan kegiatan usaha dan/atau operasional Bank; dan
c. memastikan penghentian penggunaan pihak penyedia jasa TI tidak menimbulkan gangguan pada kegiatan usaha dan/atau operasional Bank.
(1) Bank dapat mengajukan permohonan izin sebagaimana dimaksud dalam Pasal 35 ayat (2) sepanjang Bank:
a. memenuhi ketentuan sebagaimana dimaksud dalam Pasal 29 dan Pasal 30;
b. menyampaikan hasil analisis risiko negara;
c. memastikan penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA tidak mengurangi efektivitas pengawasan Otoritas Jasa Keuangan yang dibuktikan dengan surat pernyataan;
d. memastikan bahwa informasi mengenai rahasia Bank hanya diungkapkan sepanjang memenuhi ketentuan peraturan perundang-undangan di INDONESIA yang dibuktikan dengan perjanjian
kerja sama antara Bank dan pihak penyedia jasa TI;
e. memastikan bahwa perjanjian tertulis dengan pihak penyedia jasa TI memuat klausula pilihan hukum;
f. menyampaikan surat pernyataan tidak keberatan dari otoritas pengawas pihak penyedia jasa TI di luar wilayah INDONESIA bahwa Otoritas Jasa Keuangan dapat melakukan pemeriksaan terhadap pihak penyedia jasa TI;
g. menyampaikan surat pernyataan bahwa Bank menyampaikan secara berkala hasil penilaian yang dilakukan kantor bank di luar wilayah INDONESIA atas penerapan manajemen risiko pada pihak penyedia jasa TI;
h. memastikan manfaat dari rencana penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA bagi Bank lebih besar daripada beban yang ditanggung oleh Bank;
i. menyampaikan rencana Bank untuk meningkatkan kemampuan sumber daya manusia Bank baik yang berkaitan dengan penyelenggaraan TI maupun transaksi bisnis atau produk yang ditawarkan; dan
j. menyampaikan rencana tindak penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di wilayah INDONESIA bagi Bank yang akan menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA sebagaimana dimaksud dalam Pasal 35 ayat (4).
(2) Otoritas Jasa Keuangan memberikan izin atau menolak permohonan izin penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA sebagaimana dimaksud dalam
Pasal 35 ayat (2) paling lama 3 (tiga) bulan setelah seluruh persyaratan dipenuhi oleh Bank dan dokumen permohonan diterima secara lengkap oleh Otoritas Jasa Keuangan.
(3) Bank wajib memastikan bahwa data yang digunakan dalam Sistem Elektronik yang ditempatkan pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA tidak digunakan untuk tujuan selain sebagaimana dimaksud dalam Pasal 35 ayat (3) atau Pasal 35 ayat (4).
(4) Dalam hal berdasarkan penilaian Otoritas Jasa Keuangan penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA:
a. tidak sesuai dengan permohonan izin penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA yang disampaikan kepada Otoritas Jasa Keuangan;
b. berpotensi mengurangi efektivitas pengawasan Otoritas Jasa Keuangan;
c. berpotensi berdampak negatif terhadap kinerja Bank; dan/atau
d. tidak sesuai dengan ketentuan peraturan perundang-undangan, Otoritas Jasa Keuangan dapat meminta Bank untuk menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di wilayah INDONESIA.
(1) Bank dapat mengajukan permohonan izin sebagaimana dimaksud dalam Pasal 35 ayat (2) sepanjang Bank:
a. memenuhi ketentuan sebagaimana dimaksud dalam Pasal 29 dan Pasal 30;
b. menyampaikan hasil analisis risiko negara;
c. memastikan penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA tidak mengurangi efektivitas pengawasan Otoritas Jasa Keuangan yang dibuktikan dengan surat pernyataan;
d. memastikan bahwa informasi mengenai rahasia Bank hanya diungkapkan sepanjang memenuhi ketentuan peraturan perundang-undangan di INDONESIA yang dibuktikan dengan perjanjian
kerja sama antara Bank dan pihak penyedia jasa TI;
e. memastikan bahwa perjanjian tertulis dengan pihak penyedia jasa TI memuat klausula pilihan hukum;
f. menyampaikan surat pernyataan tidak keberatan dari otoritas pengawas pihak penyedia jasa TI di luar wilayah INDONESIA bahwa Otoritas Jasa Keuangan dapat melakukan pemeriksaan terhadap pihak penyedia jasa TI;
g. menyampaikan surat pernyataan bahwa Bank menyampaikan secara berkala hasil penilaian yang dilakukan kantor bank di luar wilayah INDONESIA atas penerapan manajemen risiko pada pihak penyedia jasa TI;
h. memastikan manfaat dari rencana penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA bagi Bank lebih besar daripada beban yang ditanggung oleh Bank;
i. menyampaikan rencana Bank untuk meningkatkan kemampuan sumber daya manusia Bank baik yang berkaitan dengan penyelenggaraan TI maupun transaksi bisnis atau produk yang ditawarkan; dan
j. menyampaikan rencana tindak penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di wilayah INDONESIA bagi Bank yang akan menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA sebagaimana dimaksud dalam Pasal 35 ayat (4).
(2) Otoritas Jasa Keuangan memberikan izin atau menolak permohonan izin penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA sebagaimana dimaksud dalam
Pasal 35 ayat (2) paling lama 3 (tiga) bulan setelah seluruh persyaratan dipenuhi oleh Bank dan dokumen permohonan diterima secara lengkap oleh Otoritas Jasa Keuangan.
(3) Bank wajib memastikan bahwa data yang digunakan dalam Sistem Elektronik yang ditempatkan pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA tidak digunakan untuk tujuan selain sebagaimana dimaksud dalam Pasal 35 ayat (3) atau Pasal 35 ayat (4).
(4) Dalam hal berdasarkan penilaian Otoritas Jasa Keuangan penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA:
a. tidak sesuai dengan permohonan izin penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah INDONESIA yang disampaikan kepada Otoritas Jasa Keuangan;
b. berpotensi mengurangi efektivitas pengawasan Otoritas Jasa Keuangan;
c. berpotensi berdampak negatif terhadap kinerja Bank; dan/atau
d. tidak sesuai dengan ketentuan peraturan perundang-undangan, Otoritas Jasa Keuangan dapat meminta Bank untuk menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di wilayah INDONESIA.