Pemeriksa meminta satu berkas: pengajuan kredit yang disetujui empat belas bulan lalu, lengkap dengan dasar persetujuannya. Formulir aplikasinya ada di sistem inti. Hasil pengecekan SLIK tersimpan sebagai PDF di folder analis yang kini bertugas di cabang lain. Catatan penyimpangan dari batas rasio ada di rangkaian surel. Matriks skor yang dipakai sudah dua kali direvisi, dan tidak ada yang bisa memastikan versi mana yang berlaku saat itu. Seluruh jejaknya ada, tersebar di lima tempat, dan hanya sebagian kecil berada di dalam loan origination system perusahaan.
Pemeriksaan jarang mempersoalkan apakah keputusan kreditnya benar. Yang dipersoalkan adalah apakah keputusan itu masih dapat direkonstruksi: data apa yang dipakai dan kapan diambil, siapa yang menyetujui dan atas dasar kewenangan versi mana, serta apakah dokumennya masih utuh. Kecepatan persetujuan adalah manfaat bisnis. Kemampuan merekonstruksi adalah kewajiban regulatori, dan keduanya tidak otomatis datang bersamaan.
Rekam jejak audit dan keabsahan akad elektronik
Kewajiban menyediakan jejak audit bersumber dari peraturan, bukan dari praktik industri. PP Nomor 71 Tahun 2019 Pasal 22 ayat (1) mewajibkan Penyelenggara Sistem Elektronik menyediakan rekam jejak audit terhadap seluruh kegiatan penyelenggaraan sistem elektronik, dan ayat (2) menyebut peruntukannya untuk pengawasan, penegakan hukum, dan penyelesaian sengketa.
Frasa “seluruh kegiatan” patut dibaca apa adanya. Untuk alur kredit, cakupannya meliputi setiap perubahan data pemohon, setiap pemanggilan data eksternal, setiap perhitungan skor, setiap persetujuan dan penolakan, dan setiap perubahan pada konfigurasi alur persetujuan itu sendiri. Butir terakhir sering terlewat. Bila alur persetujuan dapat diubah tanpa meninggalkan catatan, pertanyaan “siapa yang berwenang menyetujui pada tanggal itu” tidak dapat dijawab.
Pada tahap akad, Pasal 59 ayat (3) peraturan yang sama menetapkan enam syarat keabsahan tanda tangan elektronik. Dua di antaranya menyentuh desain sistem secara langsung: perubahan pada tanda tangan maupun pada informasi elektronik terkait setelah penandatanganan harus dapat diketahui. Sistem yang menyimpan dokumen akad tanpa pengendalian versi tidak memenuhi keduanya. Pasal 60 ayat (2) sampai (4) membedakan tanda tangan tersertifikasi, yang memakai sertifikat elektronik dari Penyelenggara Sertifikasi Elektronik Indonesia, dari yang tidak tersertifikasi. Keduanya diakui, dengan bobot pembuktian yang berbeda.
Data pemohon yang pengajuannya ditolak
Sebagian besar pengajuan tidak berakhir dengan pencairan, dan data pemohonnya tetap tersimpan. UU Nomor 27 Tahun 2022 Pasal 43 mewajibkan penghapusan data pribadi ketika tidak lagi diperlukan untuk tujuan pemrosesan, dan Pasal 44 mewajibkan pemusnahan ketika masa retensinya berakhir berdasarkan jadwal retensi arsip. Kebiasaan menyimpan seluruh berkas pengajuan tanpa batas waktu berhadapan langsung dengan dua ketentuan itu.
Pasal 51 menempatkan penyedia platform sebagai prosesor, dengan kewajiban memperoleh persetujuan tertulis pengendali sebelum melibatkan prosesor lain, sehingga rantai subprosesor menjadi bagian dari uji tuntas pengadaan. Pasal 56 mengatur transfer ke luar wilayah hukum Indonesia secara berjenjang.
Bagi penyelenggara layanan pendanaan bersama, POJK Nomor 40 Tahun 2024 menambahkan kewajiban mitigasi risiko berupa analisis risiko pendanaan, verifikasi identitas pengguna dan keaslian dokumen, serta penagihan. Verifikasi identitas berjalan di sisi lapangan, dan di situlah modul pemeriksaan identitas waktu nyata beserta autentikasi biometrik, sebagaimana disebutkan laman produk, bersentuhan dengan kewajiban regulatori.
Di mana loan origination system Anda berjalan
Untuk bank umum, pertanyaan lokasi sudah dijawab peraturan. POJK Nomor 11/POJK.03/2022 Pasal 35 ayat (1) mewajibkan bank menempatkan sistem elektronik pada pusat data dan pusat pemulihan bencana di wilayah Indonesia, dengan pengecualian pada ayat (2) hanya sepanjang memperoleh izin OJK.
Peraturan yang sama mengakomodasi penggunaan pihak ketiga. Pasal 29 ayat (1) memperbolehkan bank menggunakan penyedia jasa TI, dan penjelasan atas ayat tersebut menyebut komputasi awan sebagai pusat data dan/atau pusat pemulihan bencana bank sebagai contohnya. Ayat (3) mewajibkan kebijakan dan prosedur yang mencakup pemilihan penyedia, manajemen risiko, dan penilaian kinerja, sementara Pasal 30 ayat (3) mewajibkan perjanjian tertulis.
Dua kewajiban lain membentuk syarat kontraktual bagi penyedia. Pasal 18 ayat (3) mewajibkan uji coba Rencana Pemulihan Bencana terhadap seluruh aplikasi dan infrastruktur kritikal paling sedikit satu kali setahun dengan melibatkan pengguna TI. Pasal 60 ayat (1) mewajibkan notifikasi awal insiden TI signifikan paling lama 24 jam. Karena itu Cloud Disaster Recovery dan pengelolaan akses melalui Identity & Access Management umumnya dievaluasi bersama platform intinya.
SLIK: kewajiban yang melekat pada proses
Pengecekan Sistem Layanan Informasi Keuangan sering diperlakukan sebagai satu langkah dalam daftar periksa. Pengaturannya lebih luas dari itu.
POJK Nomor 11 Tahun 2024 Pasal 2 ayat (1) menetapkan cakupan Pelapor yang luas: bank umum, BPR dan BPRS, lembaga pembiayaan, perusahaan penjaminan, serta penyelenggara layanan pendanaan bersama berbasis teknologi informasi. Pasal 4 ayat (1) mewajibkan Laporan Debitur disampaikan “secara lengkap, akurat, terkini, utuh, dan tepat waktu”. Lima kata sifat itu adalah persyaratan kualitas data yang harus dibuktikan oleh sistem, bukan oleh niat baik tim pelaporan.
Bagian yang paling sering luput ada di Pasal 15. Ayat (4) membatasi tujuan penggunaan Informasi Debitur, dan ayat (5) mewajibkan Pelapor menatausahakan dokumen terkait penggunaannya untuk keperluan verifikasi. Kewajiban penatausahaan inilah yang menjelaskan mengapa hasil pengecekan SLIK tidak boleh berakhir sebagai berkas unduhan di perangkat analis. Pelanggaran atas sejumlah ketentuan, termasuk Pasal 4 ayat (1) dan Pasal 15 ayat (5), dikenai sanksi administratif menurut Pasal 32.
Konsekuensi arsitekturnya jelas. Pengambilan Informasi Debitur sebaiknya terjadi di dalam platform, terikat pada nomor pengajuan, dengan stempel waktu dan identitas pengguna. Laman produk Loan Origination System Indonesian Cloud menyebutkan integrasi langsung ke basis data SLIK-OJK, di samping koneksi ke platform pemeringkat pihak ketiga dan pemeriksaan penipuan otomatis.
Lima pertanyaan sebelum memilih platform
- Apakah pengambilan Informasi Debitur terjadi di dalam platform, terikat pada nomor pengajuan, dan dapat diambil kembali untuk verifikasi sesuai Pasal 15 ayat (5) POJK 11 Tahun 2024?
- Apakah perubahan pada konfigurasi alur persetujuan dan batas kewenangan ikut tercatat dalam rekam jejak audit?
- Dapatkah pengguna dengan peran administratif mengubah rekam jejak audit, dan berapa lama jejak itu disimpan?
- Apakah keluaran mesin keputusan menyimpan versi matriks skor yang dipakai saat keputusan diambil, bukan hanya hasil akhirnya?
- Bagaimana periode retensi diterapkan untuk berkas pengajuan yang ditolak, mengingat Pasal 43 dan Pasal 44 UU PDP?
Pertanyaan yang sering diajukan
Apa beda loan origination system dengan modul kredit pada core banking? Core banking mencatat fasilitas yang sudah berjalan. Loan origination system mencatat proses yang mendahuluinya, yaitu pengajuan, verifikasi, penilaian, dan persetujuan, beserta bukti bahwa setiap tahap dijalankan pihak yang berwenang.
Apakah hasil pengecekan SLIK boleh disimpan di dalam sistem pengajuan kredit? Penyimpanan justru diperlukan. Pasal 15 ayat (5) POJK 11 Tahun 2024 mewajibkan Pelapor menatausahakan dokumen terkait penggunaan Informasi Debitur untuk keperluan verifikasi. Yang dibatasi adalah tujuan penggunaannya.
Apakah bank boleh menjalankan sistem pengajuan kredit di komputasi awan? Boleh, sepanjang sistem elektronik beserta pusat pemulihan bencananya ditempatkan di wilayah Indonesia sesuai Pasal 35 ayat (1) POJK 11/POJK.03/2022. Penjelasan Pasal 29 ayat (1) menyebut komputasi awan sebagai salah satu bentuk penggunaan penyedia jasa TI.
Bicara dengan spesialis Indonesian Cloud
Ambil satu pengajuan kredit yang disetujui lebih dari setahun lalu, lalu coba susun kembali tiga hal: data eksternal apa yang dipakai dan kapan diambil, siapa yang menyetujui dan atas dasar kewenangan versi mana, serta di mana dokumen akadnya tersimpan beserta riwayat perubahannya. Waktu yang dibutuhkan untuk menjawabnya menggambarkan kesiapan Anda menghadapi pemeriksaan lebih akurat daripada dokumen kebijakan mana pun.
Tim kami merancang dan mengoperasikan platform kredit digital di atas infrastruktur yang berlokasi di Indonesia, dengan sertifikasi BSI ISO dan PCI DSS serta dukungan lokal sepanjang waktu.