Layanan Pengawasan Keuangan Korea Selatan (Financial Supervisory Service) mengumumkan pedoman baru pada tanggal 29 yang mewajibkan dewan direksi dan manajemen perusahaan keuangan memikul tanggung jawab akhir atas risiko outsourcing layanan TI, termasuk insiden peretasan pada vendor pihak ketiga. OJK mengembangkan kerangka kerja tersebut bekerja sama dengan asosiasi industri di berbagai sektor keuangan untuk mengatasi meningkatnya risiko TI pihak ketiga seiring digitalisasi yang mendorong lebih banyak perusahaan mengalihdayakan operasi pemrosesan informasi. Pedoman ini bertujuan memperkuat perlindungan konsumen di tengah meningkatnya ketergantungan pada TI eksternal, dengan penerapan dijadwalkan pada November atau setelahnya setelah adopsi kode khusus sektor.
OJK Menetapkan Akuntabilitas Dewan untuk Risiko TI Pihak Ketiga
OJK secara tegas menetapkan bahwa dewan direksi memikul tanggung jawab akhir untuk manajemen risiko TI pihak ketiga. Pedoman mewajibkan kebijakan manajemen risiko dan hal-hal pengawasan utama memerlukan pembahasan dan keputusan oleh dewan. Manajemen ditetapkan sebagai entitas yang bertanggung jawab untuk membangun, menerapkan, dan memelihara sistem manajemen risiko TI pihak ketiga, dengan persyaratan mengoperasikan departemen manajemen terpusat. Departemen ini harus menyusun dan mengeksekusi langkah-langkah keamanan yang efektif, mengawasi status pengalihdayaan pemrosesan informasi lintas unit bisnis, serta mengevaluasi status risiko TI pihak ketiga dan kecukupan kontrak.
Perusahaan Keuangan Diwajibkan Mengoperasikan Sistem Kontrol Tiga Tingkat
Institusi keuangan harus membentuk dan mengoperasikan sistem kontrol tiga tingkat yang terdiri dari departemen manajemen terpusat, departemen manajemen risiko, dan departemen audit internal untuk mengelola secara sistematis risiko TI pihak ketiga. Perusahaan harus mengidentifikasi kesehatan finansial pihak ketiga dan informasi operasional kunci, termasuk layanan yang diberikan, jenis dan volume informasi yang diproses, metode enkripsi dan komunikasi, sistem respons insiden, serta fasilitas komputasi. Inspeksi berkala (setidaknya sekali per semester) diperlukan untuk menjaga agar informasi tetap diperbarui. Perusahaan keuangan harus secara terpisah menetapkan “pihak ketiga utama” yang secara signifikan berdampak pada operasi atau konsumen, dengan menerapkan manajemen risiko yang ditingkatkan untuk entitas tersebut.
![Third-Party IT Risk Management Framework]()
Source: Financial Supervisory Service
Pedoman menyediakan butir evaluasi dan daftar periksa khusus untuk menilai risiko TI secara efektif untuk setiap pihak ketiga. Untuk risiko yang teridentifikasi, perusahaan harus melakukan langkah tambahan; dan jika pengendalian, mitigasi, atau pengalihan terbukti tidak mungkin, kontrak harus dihentikan atau dewan harus memutuskan kelanjutannya.
Prosedur Manajemen Risiko Siklus Hidup Kontrak Distandardisasi
OJK menyistematisasikan prosedur manajemen risiko di seluruh tahapan kontrak untuk memungkinkan identifikasi dan respons proaktif terhadap risiko TI pihak ketiga. Persyaratan pra-kontrak mencakup verifikasi kapabilitas layanan dan sistem manajemen perlindungan informasi melalui inspeksi di lokasi, serta memasukkan hal-hal penting dalam kontrak, termasuk pembagian peran antara pihak yang mengalihdayakan dan pihak yang dikontrakkan serta hubungan tanggung jawab jika terjadi insiden. Selama periode kontrak, perusahaan harus secara berkala menginspeksi status implementasi (setidaknya sekali per tahun) dan menyiapkan rencana kontinjensi untuk gangguan sistem, sistem manajemen cadangan untuk keberlanjutan bisnis, serta strategi keluar untuk penghentian kontrak.
![Contract Stage Risk Management Process]()
Source: Financial Supervisory Service
Prosedur pasca penghentian kontrak mencakup pengembalian aset informasi, pencabutan hak akses, serta memastikan penghancuran data secara menyeluruh.
Asosiasi Industri Mengimplementasikan Pedoman Mulai November
Asosiasi industri di seluruh sektor keuangan akan menetapkan kode praktik terbaik berdasarkan pedoman ini untuk implementasi pada November atau setelahnya. Pedoman ini menyajikan standar minimum dan prinsip untuk manajemen risiko TI pihak ketiga, sehingga perusahaan keuangan dapat menerapkannya secara fleksibel dengan memperkuat atau melonggarkan elemen tertentu sesuai dengan pentingnya dan tingkat risiko operasi pemrosesan informasi yang dialihdayakan. Pejabat OJK menyatakan bahwa lembaga tersebut akan memeriksa dan mengevaluasi status implementasi pedoman bersama asosiasi industri, serta terus memperbaiki dan melengkapi kekurangan untuk kemajuan berkelanjutan.
FAQ
Apa yang diumumkan Financial Supervisory Service pada tanggal 29 terkait outsourcing TI?
OJK mengumumkan pedoman baru yang mewajibkan dewan direksi dan manajemen perusahaan keuangan memikul tanggung jawab akhir atas risiko TI pihak ketiga, termasuk insiden peretasan pada vendor eksternal. Kerangka kerja tersebut dikembangkan bersama asosiasi industri untuk mengatasi risiko dari meningkatnya outsourcing TI seiring digitalisasi keuangan yang semakin dipercepat.
Kapan perusahaan keuangan akan mengimplementasikan pedoman baru risiko TI pihak ketiga?
Asosiasi industri akan menetapkan kode praktik terbaik berdasarkan pedoman OJK untuk implementasi pada November atau setelahnya. Perusahaan harus mengoperasikan sistem kontrol tiga tingkat dan melakukan inspeksi berkala minimal setiap semester untuk pemantauan umum serta minimal setahun sekali untuk status implementasi kontrak.
