POJK 11/POJK.03/2022 tentang TI Bank Umum

Apakah TI itu?

Bank Umum atau Bank adalah bank yang melaksanakan kegiatan usaha secara konvensional atau melaksanakan kegiatan usaha berdasarkan prinsip syariah, yang dalam kegiatannya memberikan jasa dalam lalu lintas pembayaran, termasuk kantor cabang dari bank yang berkedudukan di luar negeri dan unit usaha syariah. Teknologi Informasi atau TI adalah suatu teknik untuk mengumpulkan, menyiapkan, menyimpan, memproses, mengumumkan, menganalisis, dan/atau menyebarkan informasi.

Bagaimana Penerapan Tata Kelola TI Bank?

Bank wajib menetapkan wewenang dan tanggung jawab yang jelas dari Direksi, Dewan Komisaris, dan pejabat pada setiap jenjang jabatan yang terkait dengan penerapan tata kelola TI.

Untuk menerapkan tata kelola TI, Bank wajib melakukan pemetaan, perencanaan, dan/atau penetapan atas aspek paling sedikit proses bisnis; struktur organisasi; kebijakan, standar, dan prosedur; kebutuhan dan alur informasi pendukung proses bisnis; sumber daya manusia pendukung; budaya TI; dan infrastruktur dan aplikasi.

Bank memastikan terciptanya sinergi pada seluruh aspek. Bank wajib menerapkan kebijakan, standar, dan prosedur secara konsisten dan berkesinambungan. Bank wajib melakukan kaji ulang dan penginian kebijakan, standar, dan prosedur secara berkala.

Apa itu Komite pengarah TI itu?

Bank wajib memiliki komite pengarah TI. Komite pengarah TI bertanggung jawab memberikan rekomendasi kepada Direksi paling sedikit terkait dengan:

Latar Belakang

Pertimbangan terbitnya POJK 11/POJK.03/2022 tentang TI Bank Umum adalah:

1. bahwa untuk mendukung kelangsungan operasional serta pelayanan bank kepada masyarakat, dibutuhkan pemanfaatan teknologi informasi oleh bank;
2. bahwa pemanfaatan teknologi informasi berpotensi meningkatkan eksposur risiko bagi bank sehingga bank perlu memperkuat tata kelola dalam penyelenggaraan teknologi informasi agar penyelenggaraan teknologi informasi bank dapat memberikan nilai tambah bagi bank melalui optimalisasi sumber daya untuk memitigasi risiko yang dihadapi oleh bank;
3. bahwa sejalan dengan dinamika pengaturan terkait penggunaan teknologi informasi serta perkembangan standar nasional dan internasional, perlu mengganti Peraturan Otoritas Jasa Keuangan Nomor 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum sebagaimana telah diubah dengan Peraturan Otoritas Jasa Keuangan Nomor 13/POJK.03/2020 tentang Perubahan atas Peraturan Otoritas Jasa Keuangan Nomor 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum;
4. bahwa berdasarkan pertimbangan sebagaimana dimaksud dalam huruf a, huruf b, dan huruf c, perlu menetapkan Peraturan Otoritas Jasa Keuangan tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum;

Dasar Hukum

Dasar hukum terbitnya POJK 11/POJK.03/2022 tentang TI Bank Umum adalah:

1. Undang-Undang Nomor 7 Tahun 1992 tentang Perbankan (Lembaran Negara Republik Indonesia Tahun 1992 Nomor 31, Tambahan Lembaran Negara Republik Indonesia Nomor 3472) sebagaimana telah diubah dengan Undang-Undang Nomor 10 Tahun 1998 tentang Perubahan atas Undang-Undang Nomor 7 Tahun 1992 tentang Perbankan (Lembaran Negara Republik Indonesia Tahun 1998 Nomor 182, Tambahan Lembaran Negara Republik Indonesia Nomor 3790);
2. Undang-Undang Nomor 21 Tahun 2008 tentang Perbankan Syariah (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 94, Tambahan Lembaran Negara Republik Indonesia Nomor 4867); dan
3. Undang-Undang Nomor 21 Tahun 2011 tentang Otoritas Jasa Keuangan (Lembaran Negara Republik Indonesia Tahun 2011 Nomor 111, Tambahan Lembaran Negara Republik Indonesia Nomor 5253);

Penjelasan Umum

Pemanfaatan TI bagi Bank merupakan suatu keniscayaan untuk mendukung kelangsungan operasional serta pelayanan Bank secara efektif dan efisien. Salah satu bentuk dukungan TI dalam operasional Bank yaitu otomasi proses kerja dengan pemanfaatan perangkat keras dan perangkat lunak tertentu. Dari sisi pelayanan kepada masyarakat, pemanfaatan TI diwujudkan melalui kemunculan inovasi layanan perbankan, antara lain mobile banking dan internet banking yang telah mempermudah masyarakat dalam melakukan transaksi.

Di sisi lain, seiring dengan perkembangan TI, industri perbankan Indonesia menghadapi tantangan yang baru dengan kemunculan industri jasa keuangan yang mengedepankan penyediaan kemudahan layanan keuangan dengan memanfaatkan TI. Hal ini menyebabkan persaingan di industri jasa keuangan semakin ketat. Dengan demikian, Bank semakin dituntut untuk melakukan peningkatan layanan kepada masyarakat melalui transformasi digital.

Dengan adanya tuntutan untuk melakukan transformasi digital, pemanfaatan TI untuk menunjang kegiatan operasional Bank serta penyediaan layanan kepada masyarakat juga semakin meningkat. Peningkatan pemanfaatan TI tersebut tentunya dapat menyebabkan peningkatan kompleksitas penyelenggaraan TI dalam berbagai aspek. Hal tersebut berpotensi menimbulkan eksposur risiko baru bagi industri perbankan.

Beberapa contoh peningkatan eksposur risiko yang dihadapi oleh industri perbankan dengan peningkatan pemanfaatan TI yaitu:

1. peningkatan kerja sama layanan dengan pihak ketiga menyebabkan tingginya jumlah konektivitas sistem Bank dengan sistem pihak ketiga berpotensi meningkatkan celah keamanan yang berasal dari pihak ketiga sehingga dapat meningkatkan risiko terjadinya insiden siber Bank; dan
2. peningkatan penyediaan layanan yang mengedepankan personalisasi menyebabkan tingginya kebutuhan atas data olah Bank termasuk data pribadi nasabah sehingga berpotensi meningkatkan risiko kebocoran data pribadi nasabah.

Sehubungan dengan peningkatan risiko yang mungkin dihadapi, Bank perlu meningkatkan kematangan dalam penyelenggaraan TI melalui penerapan tata kelola TI yang baik. Hal ini bertujuan agar penyelenggaraan TI dapat memberikan nilai tambah dari investasi yang telah dikeluarkan Bank untuk mendukung tujuan bisnis Bank. Untuk dapat memberikan nilai tambah yang optimal, Bank harus mampu menangani risiko yang mungkin timbul dari pemanfaatan TI serta mengelola sumber daya yang dimiliki secara tepat guna.

Di samping itu, perkembangan TI yang cepat dan dinamis juga memengaruhi perubahan atas ketentuan maupun standar terkait penyelenggaraan TI, baik secara nasional maupun internasional. Dengan demikian, Bank perlu menyesuaikan diri dengan perkembangan ketentuan dan standar tersebut sesuai dengan kebutuhan dan kompleksitas dari penyelenggaraan TI Bank.

Sehubungan dengan hal tersebut dan untuk memperkuat seluruh aspek dalam penyelenggaraan TI serta memitigasi risiko yang mungkin timbul, perlu dilakukan penyusunan pengaturan tentang penyelenggaraan teknologi informasi oleh bank umum.

Isi POJK 11/POJK.03/2022

Berikut adalah salinan isi Peraturan OJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum. Bukan format asli:

PERATURAN OTORITAS JASA KEUANGAN TENTANG PENYELENGGARAAN TEKNOLOGI INFORMASI OLEH BANK UMUM

BAB I
KETENTUAN UMUM

Pasal 1

Dalam Peraturan Otoritas Jasa Keuangan ini, yang dimaksud dengan:

1. Bank Umum yang selanjutnya disebut sebagai Bank adalah bank yang melaksanakan kegiatan usaha secara konvensional atau melaksanakan kegiatan usaha berdasarkan prinsip syariah, yang dalam kegiatannya memberikan jasa dalam lalu lintas pembayaran, termasuk kantor cabang dari bank yang berkedudukan di luar negeri dan unit usaha syariah.
2. Teknologi Informasi yang selanjutnya disingkat TI adalah suatu teknik untuk mengumpulkan, menyiapkan, menyimpan, memproses, mengumumkan, menganalisis, dan/atau menyebarkan informasi.
3. Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, dan/atau menyebarkan informasi elektronik.
4. Pusat Data adalah suatu fasilitas yang digunakan untuk menempatkan Sistem Elektronik dan komponen terkaitnya untuk keperluan penempatan, penyimpanan, dan pengolahan data.
5. Pusat Pemulihan Bencana adalah suatu fasilitas yang digunakan untuk memulihkan kembali data atau informasi serta fungsi penting Sistem Elektronik yang terganggu atau rusak akibat terjadinya bencana yang disebabkan oleh alam atau manusia.
6. Rencana Pemulihan Bencana adalah dokumen yang berisikan rencana dan langkah untuk menggantikan dan/atau memulihkan kembali akses data, perangkat keras, dan perangkat lunak yang diperlukan, agar Bank dapat menjalankan kegiatan operasional bisnis yang kritikal setelah adanya gangguan dan/atau bencana.
7. Direksi adalah organ Bank yang berwenang dan bertanggung jawab penuh atas pengurusan Bank untuk kepentingan Bank, sesuai dengan maksud dan tujuan Bank serta mewakili Bank, baik di dalam maupun di luar pengadilan sesuai dengan anggaran dasar bagi Bank yang berbadan hukum perseroan terbatas, organ atau pihak yang setara bagi Bank dengan bentuk badan hukum selain perseroan terbatas, atau pemimpin kantor cabang dan pejabat satu tingkat di bawah pemimpin kantor cabang bagi kantor cabang dari bank yang berkedudukan di luar negeri.
8. Dewan Komisaris adalah organ Bank yang bertugas melakukan pengawasan secara umum dan/atau khusus sesuai dengan anggaran dasar serta memberi nasihat kepada Direksi bagi Bank yang berbadan hukum perseroan terbatas, organ atau pihak yang setara bagi Bank dengan bentuk badan hukum selain perseroan terbatas, atau pihak yang ditunjuk untuk melaksanakan fungsi pengawasan bagi kantor cabang dari bank yang berkedudukan di luar negeri.

BAB II
TATA KELOLA TI BANK

Bagian Kesatu
Umum

Pasal 2

1. Bank wajib menerapkan tata kelola TI yang baik dalam penyelenggaraan TI.
2. Dalam menerapkan tata kelola TI yang baik sebagaimana dimaksud pada ayat (1), Bank mempertimbangkan faktor paling sedikit:
   1. strategi dan tujuan bisnis Bank;
   2. ukuran dan kompleksitas bisnis Bank;
   3. peran TI bagi Bank;
   4. metode pengadaan sumber daya TI;
   5. risiko dan permasalahan terkait TI;
   6. praktik atau standar yang berlaku secara nasional maupun internasional; dan
   7. ketentuan peraturan perundang-undangan.
3. Dalam menerapkan tata kelola TI yang baik sebagaimana dimaksud pada ayat (1), Bank melakukan kegiatan paling sedikit:
   1. evaluasi atas pilihan strategi, pengarahan atas strategi penyelenggaraan TI, dan pemantauan pencapaian strategi;
   2. penyelarasan, perencanaan, dan pengorganisasian seluruh unit, strategi, dan kegiatan yang mendukung penyelenggaraan TI;
   3. pendefinisian, akuisisi, dan implementasi atas solusi TI serta integrasinya dalam proses bisnis Bank;
   4. penyediaan dukungan operasional layanan TI kepada pemangku kepentingan; dan
   5. pemantauan kinerja dan kesesuaian penyelenggaraan TI dengan target kinerja intern, pengendalian intern, dan ketentuan peraturan perundang-undangan.
4. Penerapan tata kelola TI yang baik sebagaimana dimaksud pada ayat (1) berlaku bagi seluruh unit dan/atau fungsi:
   1. pengelola TI; dan
   2. pengguna TI,
   pada Bank.

Pasal 3

1. Dalam menerapkan tata kelola TI, Bank wajib melakukan pemetaan, perencanaan, dan/atau penetapan atas aspek paling sedikit:
   1. proses bisnis;
   2. struktur organisasi;
   3. kebijakan, standar, dan prosedur;
   4. kebutuhan dan alur informasi pendukung proses bisnis;
   5. sumber daya manusia pendukung;
   6. budaya TI; dan
   7. infrastruktur dan aplikasi.
2. Bank memastikan terciptanya sinergi pada seluruh aspek sebagaimana dimaksud pada ayat (1).
3. Bank wajib menerapkan kebijakan, standar, dan prosedur sebagaimana dimaksud pada ayat (1) huruf c secara konsisten dan berkesinambungan.
4. Bank wajib melakukan kaji ulang dan penginian kebijakan, standar, dan prosedur sebagaimana dimaksud pada ayat (1) huruf c secara berkala.

Bagian Kedua
Penerapan Tata Kelola TI Bank

Pasal 4

Bank wajib menetapkan wewenang dan tanggung jawab yang jelas dari Direksi, Dewan Komisaris, dan pejabat pada setiap jenjang jabatan yang terkait dengan penerapan tata kelola TI.

Pasal 5

Wewenang dan tanggung jawab Direksi sebagaimana dimaksud dalam Pasal 4 paling sedikit mencakup:

1. menetapkan rencana strategis TI;
2. menetapkan kebijakan, standar, dan prosedur terkait penyelenggaraan dan penggunaan TI yang memadai dan mengomunikasikan secara efektif, baik kepada satuan kerja penyelenggara maupun pengguna TI; dan
3. mengevaluasi tujuan strategis, mengarahkan pejabat eksekutif Bank, dan memantau seluruh kegiatan penyelenggaraan TI untuk memastikan:
   1. penerapan tata kelola TI sesuai dengan kebutuhan dan karakteristik Bank;
   2. efektivitas dan efisiensi penyelenggaraan TI secara keseluruhan untuk memberikan manfaat yang optimal bagi Bank;
   3. penerapan proses manajemen risiko dalam penyelenggaraan TI dilaksanakan secara efektif;
   4. tersedianya sumber daya yang memadai terkait penyelenggaraan TI untuk mendukung bisnis Bank secara efektif dan efisien; dan
   5. dukungan dan keterlibatan pemangku kepentingan dalam penerapan tata kelola TI.

Pasal 6

Wewenang dan tanggung jawab Dewan Komisaris sebagaimana dimaksud dalam Pasal 4 paling sedikit mencakup:

1. mengevaluasi, mengarahkan, dan memantau rencana strategis TI; dan
2. mengevaluasi, mengarahkan, dan memantau penerapan tata kelola TI.

Pasal 7

1. Bank wajib memiliki komite pengarah TI.
2. Komite pengarah TI sebagaimana dimaksud pada ayat (1) bertanggung jawab memberikan rekomendasi kepada Direksi paling sedikit terkait dengan:
   1. rencana strategis TI yang sejalan dengan rencana korporasi Bank;
   2. kebijakan, standar, dan prosedur TI;
   3. kesesuaian antara rencana pengembangan TI dan rencana strategis TI;
   4. kesesuaian antara pelaksanaan pengembangan TI dan rencana pengembangan TI;
   5. evaluasi atas efektivitas biaya TI terhadap pencapaian manfaat yang direncanakan;
   6. pemantauan atas kinerja TI dan upaya peningkatan kinerja TI;
   7. upaya penyelesaian berbagai masalah terkait TI yang tidak dapat diselesaikan oleh satuan kerja pengguna dan penyelenggara TI secara efektif, efisien, dan tepat waktu; dan
   8. kecukupan dan alokasi sumber daya terkait TI yang dimiliki Bank.
3. Komite pengarah TI sebagaimana dimaksud pada ayat (1) paling sedikit beranggotakan:
   1. direktur yang membawahkan satuan kerja penyelenggara TI;
   2. direktur yang membawahkan satuan kerja manajemen risiko;
   3. pejabat tertinggi yang memimpin satuan kerja penyelenggara TI; dan
   4. pejabat tertinggi yang memimpin satuan kerja pengguna TI.
4. Komite pengarah TI sebagaimana dimaksud pada ayat (3) diketuai oleh salah satu direktur Bank merangkap sebagai anggota.

Pasal 8

1. Bank wajib memiliki satuan kerja penyelenggara TI yang bertanggung jawab atas pengelolaan TI.
2. Pengelolaan TI sebagaimana dimaksud pada ayat (1) paling sedikit berupa aktivitas:
   1. perencanaan;
   2. penyusunan atau pengembangan;
   3. pengoperasian; dan
   4. pemantauan,
   atas kegiatan penyelenggaraan TI.
3. Aktivitas pengelolaan TI sebagaimana dimaksud pada ayat (2) dilaksanakan sesuai dengan arahan yang ditetapkan oleh Direksi untuk mencapai tujuan bisnis Bank.

Pasal 9

1. Bank yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 2 ayat (1), Pasal 3 ayat (1), ayat (3), ayat (4), Pasal 4, Pasal 7 ayat (1), dan/atau Pasal 8 ayat (1), dikenai sanksi administratif berupa teguran tertulis.
2. Dalam hal Bank telah dikenai sanksi administratif sebagaimana dimaksud pada ayat (1) dan belum memenuhi ketentuan sebagaimana dimaksud dalam Pasal 2 ayat (1), Pasal 3 ayat (1), ayat (3), ayat (4), Pasal 4, Pasal 7 ayat (1), dan/atau Pasal 8 ayat (1), Bank dikenai sanksi administratif berupa:
   1. larangan untuk menerbitkan produk Bank baru;
   2. pembekuan kegiatan usaha tertentu; dan/atau
   3. penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan Bank.

Pasal 10

Ketentuan lebih lanjut mengenai penerapan tata kelola TI ditetapkan oleh Otoritas Jasa Keuangan.

BAB III
ARSITEKTUR TI BANK

Bagian Kesatu
Penyusunan Arsitektur TI Bank

Pasal 11

1. Bank wajib memiliki arsitektur TI.
2. Dalam menyusun arsitektur TI sebagaimana dimaksud pada ayat (1), Bank mempertimbangkan faktor paling sedikit:
   1. visi dan misi Bank;
   2. rencana korporasi Bank;
   3. proses dan kapabilitas bisnis Bank;
   4. tata kelola TI;
   5. prinsip pengelolaan data, aplikasi, dan teknologi Bank;
   6. ukuran dan kompleksitas bisnis Bank;
   7. kemampuan permodalan Bank;
   8. standar yang berlaku secara nasional maupun internasional; dan
   9. ketentuan peraturan perundang-undangan.
3. Arsitektur TI sebagaimana dimaksud pada ayat (1) disusun secara komprehensif meliputi proses:
   1. perencanaan;
   2. desain;
   3. implementasi; dan
   4. kontrol.
4. Dalam hal terdapat perubahan pada faktor sebagaimana dimaksud pada ayat (2), Bank wajib melakukan penginian terhadap arsitektur TI.
5. Ketentuan lebih lanjut mengenai penyusunan arsitektur TI ditetapkan oleh Otoritas Jasa Keuangan.

Bagian Kedua
Penyusunan Rencana Strategis TI Bank

Pasal 12

1. Bank wajib memiliki rencana strategis TI yang mendukung rencana korporasi Bank.
2. Rencana strategis TI sebagaimana dimaksud pada ayat (1) disusun untuk penyelenggaraan TI dalam jangka panjang sesuai periode rencana korporasi Bank.
3. Ketentuan lebih lanjut mengenai penyusunan rencana strategis TI ditetapkan oleh Otoritas Jasa Keuangan.

Pasal 13

1. Bank wajib menyampaikan rencana strategis TI sebagaimana dimaksud dalam Pasal 12 ayat (1) kepada Otoritas Jasa Keuangan paling lambat pada akhir bulan November tahun sebelum periode awal rencana strategis TI dimulai.
2. Dalam hal terdapat kondisi yang secara signifikan memengaruhi sasaran dan strategi TI Bank sebagaimana dimuat dalam rencana strategis TI yang sedang berjalan, Bank dapat melakukan perubahan rencana strategis TI.
3. Bank menyampaikan perubahan rencana strategis TI sebagaimana dimaksud pada ayat (2) kepada Otoritas Jasa Keuangan sewaktu-waktu dalam periode rencana strategis TI sebagaimana dimaksud dalam Pasal 12 ayat (2).

Pasal 14

1. Bank yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 11 ayat (1), ayat (4), Pasal 12 ayat (1), dan/atau Pasal 13 ayat (1), dikenai sanksi administratif berupa teguran tertulis.
2. Dalam hal Bank telah dikenai sanksi administratif sebagaimana dimaksud pada ayat (1) dan belum memenuhi ketentuan sebagaimana dimaksud dalam Pasal 11 ayat (1), ayat (4), Pasal 12 ayat (1), dan/atau Pasal 13 ayat (1), Bank dikenai sanksi administratif berupa:
   1. larangan untuk menerbitkan produk Bank baru;
   2. pembekuan kegiatan usaha tertentu; dan/atau
   3. penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan Bank.

BAB IV
PENERAPAN MANAJEMEN RISIKO PENYELENGGARAAN TI BANK

Bagian Kesatu
Umum

Pasal 15

1. Bank wajib menerapkan manajemen risiko secara efektif dalam penyelenggaraan TI.
2. Penerapan manajemen risiko sebagaimana dimaksud pada ayat (1) harus dilakukan secara terintegrasi dalam setiap tahapan penyelenggaraan TI.
3. Dalam menerapkan manajemen risiko sebagaimana dimaksud pada ayat (1), Bank melakukan proses paling sedikit:
   1. identifikasi risiko;
   2. pengukuran risiko;
   3. pemantauan risiko; dan
   4. pengendalian risiko.
4. Bank wajib memastikan kecukupan sistem informasi manajemen risiko dalam penyelenggaraan TI.
5. Ketentuan lebih lanjut mengenai penerapan manajemen risiko dalam penyelenggaraan TI ditetapkan oleh Otoritas Jasa Keuangan.

Bagian Kedua
Pengamanan Informasi dalam Penyelenggaraan TI Bank

Pasal 16

1. Bank wajib memastikan pengamanan informasi dilaksanakan secara efektif dan efisien.
2. Pengamanan informasi sebagaimana dimaksud pada ayat (1) dilakukan terhadap aspek sumber daya manusia, proses, teknologi, dan fisik atau lingkungan, dalam penyelenggaraan TI secara menyeluruh.
3. Penerapan pengamanan informasi sebagaimana dimaksud pada ayat (1) dilakukan berdasarkan hasil penilaian terhadap risiko pada informasi yang dimiliki Bank.
4. Ketentuan lebih lanjut mengenai pengamanan informasi ditetapkan oleh Otoritas Jasa Keuangan.

Pasal 17

1. Bank wajib memastikan jaringan komunikasi yang disediakan oleh Bank telah memenuhi prinsip kerahasiaan, integritas, dan ketersediaan.
2. Ketentuan lebih lanjut mengenai jaringan komunikasi ditetapkan oleh Otoritas Jasa Keuangan.

Pasal 18

1. Bank wajib memiliki Rencana Pemulihan Bencana.
2. Bank wajib memastikan Rencana Pemulihan Bencana sebagaimana dimaksud pada ayat (1) dapat dilaksanakan, sehingga kelangsungan operasional Bank tetap berjalan saat terjadi bencana dan/atau gangguan pada sarana TI yang digunakan Bank.
3. Bank wajib melakukan uji coba atas Rencana Pemulihan Bencana terhadap seluruh aplikasi dan infrastruktur yang kritikal sesuai hasil analisis dampak bisnis, paling sedikit 1 (satu) kali dalam 1 (satu) tahun dengan melibatkan pengguna TI.
4. Bank wajib melakukan kaji ulang Rencana Pemulihan Bencana paling sedikit 1 (satu) kali dalam 1 (satu) tahun.
5. Ketentuan lebih lanjut mengenai Rencana Pemulihan Bencana ditetapkan oleh Otoritas Jasa Keuangan.

Pasal 19

Bank umum konvensional yang memiliki unit usaha syariah wajib memiliki sistem yang dapat menghasilkan laporan terpisah bagi kegiatan unit usaha syariah.

Pasal 20

1. Bank yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 15 ayat (1), ayat (4), Pasal 16 ayat (1), Pasal 17 ayat (1), Pasal 18 ayat (1), ayat (2), ayat (3), ayat (4), dan/atau Pasal 19, dikenai sanksi administratif berupa teguran tertulis.
2. Dalam hal Bank telah dikenai sanksi administratif sebagaimana dimaksud pada ayat (1) dan belum memenuhi ketentuan sebagaimana dimaksud dalam Pasal 15 ayat (1), ayat (4), Pasal 16 ayat (1), Pasal 17 ayat (1), Pasal 18 ayat (1), ayat (2), ayat (3), ayat (4), dan/atau Pasal 19, Bank dikenai sanksi administratif berupa:
   1. larangan untuk menerbitkan produk Bank baru;
   2. pembekuan kegiatan usaha tertentu; dan/atau
   3. penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan Bank.

BAB V
KETAHANAN DAN KEAMANAN SIBER BANK

Pasal 21

1. Bank wajib menjaga ketahanan siber.
2. Untuk menjaga ketahanan siber sebagaimana dimaksud pada ayat (1), Bank melakukan proses paling sedikit:
   1. identifikasi aset, ancaman, dan kerentanan;
   2. pelindungan aset;
   3. deteksi insiden siber; dan
   4. penanggulangan dan pemulihan insiden siber.
3. Bank memastikan proses untuk menjaga ketahanan siber sebagaimana dimaksud pada ayat (2) didukung dengan sistem informasi ketahanan siber yang memadai.

Pasal 22

1. Bank wajib melakukan penilaian sendiri atas tingkat maturitas keamanan siber.
2. Penilaian sendiri atas tingkat maturitas keamanan siber sebagaimana dimaksud pada ayat (1) dilakukan secara tahunan untuk posisi akhir bulan Desember.
3. Bank dapat melakukan penginian penilaian sendiri atas tingkat maturitas keamanan siber sewaktu-waktu apabila diperlukan.
4. Bank wajib menyampaikan hasil penilaian sendiri atas tingkat maturitas keamanan siber sebagaimana dimaksud pada ayat (1) kepada Otoritas Jasa Keuangan sebagai bagian dari laporan kondisi terkini penyelenggaraan TI Bank.

Pasal 23

Bank wajib melakukan pengujian keamanan siber berdasarkan:

1. analisis kerentanan; dan
2. skenario.

Pasal 24

1. Pengujian keamanan siber berdasarkan analisis kerentanan sebagaimana dimaksud dalam Pasal 23 huruf a wajib dilaksanakan secara berkala.
2. Bank wajib menyampaikan hasil pengujian keamanan siber berdasarkan analisis kerentanan sebagaimana dimaksud pada ayat (1) kepada Otoritas Jasa Keuangan sebagai bagian dari laporan kondisi terkini penyelenggaraan TI Bank.

Pasal 25

1. Pengujian keamanan siber berdasarkan skenario sebagaimana dimaksud dalam Pasal 23 huruf b wajib dilaksanakan paling sedikit 1 (satu) kali dalam 1 (satu) tahun.
2. Pengujian keamanan siber berdasarkan skenario sebagaimana dimaksud pada ayat (1) paling sedikit mencakup:
   1. penetapan tujuan, cakupan, dan skenario pengujian;
   2. pelaksanaan pengujian;
   3. evaluasi hasil pengujian; dan
   4. penilaian terhadap efektivitas upaya mitigasi, respon, dan tindakan pemulihan Bank terhadap serangan siber.
3. Bank wajib menyampaikan laporan hasil pengujian keamanan siber berdasarkan skenario sebagaimana dimaksud pada ayat (1) kepada Otoritas Jasa Keuangan paling lama 10 (sepuluh) hari kerja setelah pengujian keamanan siber selesai dilaksanakan.
4. Laporan hasil pengujian keamanan siber sebagaimana dimaksud pada ayat (3) paling sedikit mencakup:
   1. ringkasan pelaksanaan pengujian;
   2. pelajaran terpetik atau hasil observasi dari hasil pengujian; dan
   3. rencana atau perbaikan yang telah dilakukan.

Pasal 26

1. Bank wajib membentuk unit atau fungsi yang bertugas menangani ketahanan dan keamanan siber Bank.
2. Unit atau fungsi sebagaimana dimaksud pada ayat (1) bersifat independen terhadap fungsi pengelolaan TI.

Pasal 27

1. Bank yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 21 ayat (1), Pasal 22 ayat (1), ayat (4), Pasal 23, Pasal 24, Pasal 25 ayat (1), dan/atau Pasal 26 ayat (1), dikenai sanksi administratif berupa teguran tertulis.
2. Dalam hal Bank telah dikenai sanksi administratif sebagaimana dimaksud pada ayat (1) dan belum memenuhi ketentuan sebagaimana dimaksud dalam Pasal 21 ayat (1), Pasal 22 ayat (1), ayat (4), Pasal 23, Pasal 24, Pasal 25 ayat (1), dan/atau Pasal 26 ayat (1), Bank dikenai sanksi administratif berupa:
   1. larangan untuk menerbitkan produk Bank baru;
   2. pembekuan kegiatan usaha tertentu; dan/atau
   3. penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan Bank.

Pasal 28

Ketentuan lebih lanjut mengenai ketahanan dan keamanan siber Bank ditetapkan oleh Otoritas Jasa Keuangan.

BAB VI
PENGGUNAAN PIHAK PENYEDIA JASA TI DALAM PENYELENGGARAAN TI BANK

Pasal 29

1. Bank dapat menggunakan pihak penyedia jasa TI dalam penyelenggaraan TI.
2. Bank yang menggunakan pihak penyedia jasa TI sebagaimana dimaksud pada ayat (1) wajib memiliki kemampuan dalam melakukan pengawasan atas pelaksanaan kegiatan Bank yang diselenggarakan oleh pihak penyedia jasa TI.
3. Bank wajib memiliki kebijakan dan prosedur dalam penggunaan pihak penyedia jasa TI sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
   1. proses identifikasi kebutuhan penggunaan pihak penyedia jasa TI;
   2. proses pemilihan pihak penyedia jasa TI;
   3. tata cara melakukan hubungan kerja sama dengan pihak penyedia jasa TI;
   4. proses manajemen risiko penggunaan pihak penyedia jasa TI; dan
   5. tata cara penilaian kinerja dan kepatuhan pihak penyedia jasa TI.

Pasal 30

1. Bank dalam melakukan proses identifikasi kebutuhan penggunaan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf a paling sedikit:
   1. meneliti potensi calon pihak penyedia jasa TI; dan
   2. menyusun kriteria pihak penyedia jasa TI yang dibutuhkan.
2. Bank dalam melakukan proses pemilihan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf b paling sedikit memperhatikan:
   1. kualifikasi dan kompetensi pihak penyedia jasa TI, termasuk sumber daya manusia yang dimiliki;
   2. analisis biaya dan manfaat dengan mengikutsertakan satuan kerja penyelenggara TI Bank;
   3. prinsip kehati-hatian dan manajemen risiko; dan
   4. prinsip hubungan kerja sama secara wajar jika pihak penyedia jasa TI merupakan pihak terkait dengan Bank.
3. Bank dalam melakukan hubungan kerja sama dengan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf c wajib memiliki perjanjian kerja sama dengan pihak penyedia jasa TI, dengan memperhatikan paling sedikit:
   1. kualifikasi dan kompetensi sumber daya manusia yang dimiliki pihak penyedia jasa TI;
   2. komitmen pihak penyedia jasa TI dalam menjaga kerahasiaan data dan/atau informasi Bank serta nasabah Bank;
   3. komitmen pihak penyedia jasa TI untuk menyampaikan hasil audit TI secara berkala yang dilakukan auditor independen atas penyediaan jasa TI kepada Bank;
   4. pengalihan sebagian kegiatan atau subkontrak oleh pihak penyedia jasa TI dilakukan atas persetujuan Bank yang dibuktikan dengan dokumen tertulis;
   5. mekanisme pelaporan kejadian kritis oleh pihak penyedia jasa TI kepada Bank;
   6. mekanisme penghentian perjanjian kerja sama jika terdapat penghentian perjanjian sebelum jangka waktu perjanjian berakhir;
   7. pemenuhan ketentuan peraturan perundang-undangan atas penyediaan jasa TI oleh pihak penyedia jasa TI;
   8. kesediaan pihak penyedia jasa TI untuk memenuhi kewajiban dan/atau persyaratan yang dimuat dalam perjanjian kerja sama; dan
   9. kesediaan pihak penyedia jasa TI untuk memberikan akses kepada Otoritas Jasa Keuangan dan/atau pihak lain yang berwenang untuk melakukan pemeriksaan terhadap kegiatan penyediaan jasa TI yang diberikan sesuai dengan ketentuan peraturan perundang-undangan.
4. Proses manajemen risiko penggunaan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf d meliputi:
   1. tanggung jawab Bank atas penerapan manajemen risiko terkait penggunaan pihak penyedia jasa TI;
   2. penyediaan Rencana Pemulihan Bencana yang teruji dan memadai; dan
   3. penetapan dan pemantauan atas pemenuhan persyaratan keamanan data dan/atau informasi dalam kebijakan dan prosedur intern serta dalam perjanjian kerja sama.
5. Bank dalam melakukan penilaian kinerja dan kepatuhan pihak penyedia jasa TI sebagaimana dimaksud dalam Pasal 29 ayat (3) huruf e memperhatikan paling sedikit:
   1. pemantauan dan evaluasi keandalan pihak penyedia jasa TI secara berkala terkait kinerja, reputasi pihak penyedia jasa TI, dan kelangsungan penyediaan layanan;
   2. penerapan pengendalian TI secara memadai oleh pihak penyedia jasa TI, yang dibuktikan dengan hasil audit dan/atau penilaian yang dilakukan oleh pihak independen; dan
   3. pemenuhan tingkat layanan sesuai dengan perjanjian tingkat layanan antara Bank dan pihak penyedia jasa TI.

Pasal 31

Dalam hal terdapat perubahan yang signifikan terhadap organisasi dari pihak penyedia jasa TI, Bank wajib melakukan penilaian ulang materialitas terhadap pihak penyedia jasa TI.

Pasal 32

1. Dalam hal terdapat kondisi berupa:
   1. hasil penilaian ulang materialitas sebagaimana dimaksud dalam Pasal 31 menunjukkan bahwa kinerja pihak penyedia jasa TI berpotensi tidak berjalan dengan efektif;
   2. memburuknya kinerja penyelenggaraan TI oleh pihak penyedia jasa TI yang berpotensi menimbulkan dan/atau mengakibatkan dampak yang signifikan pada kegiatan usaha dan/atau operasional Bank;
   3. pihak penyedia jasa TI menjadi insolven, dalam proses menuju likuidasi, atau dipailitkan oleh pengadilan;
   4. terdapat pelanggaran oleh pihak penyedia jasa TI terhadap ketentuan peraturan perundang-undangan mengenai rahasia Bank dan/atau data pribadi nasabah;
   5. terdapat kondisi yang menyebabkan Bank tidak dapat menyediakan data yang diperlukan untuk pengawasan oleh Otoritas Jasa Keuangan; dan/atau
   6. terdapat kondisi lain yang menyebabkan terganggunya atau terhentinya penyediaan jasa TI dari pihak penyedia jasa TI kepada Bank,
   Bank wajib melakukan tindakan tertentu.
2. Tindakan tertentu sebagaimana dimaksud pada ayat (1), paling sedikit:
   1. melaporkan kepada Otoritas Jasa Keuangan paling lama 3 (tiga) hari kerja setelah kondisi sebagaimana dimaksud pada ayat (1) diketahui oleh Bank;
   2. memutuskan tindak lanjut yang akan diambil untuk mengatasi permasalahan termasuk penghentian penggunaan pihak penyedia jasa TI dalam hal diperlukan; dan
   3. melaporkan kepada Otoritas Jasa Keuangan paling lama 3 (tiga) hari kerja setelah Bank menghentikan penggunaan pihak penyedia jasa TI sebelum berakhirnya jangka waktu perjanjian, dalam hal Bank memutuskan untuk menghentikan penggunaan pihak penyedia jasa TI.
3. Dalam hal penggunaan pihak penyedia jasa TI atau rencana penggunaan pihak penyedia jasa TI menyebabkan atau diindikasikan akan menyebabkan kesulitan pengawasan yang dilakukan oleh Otoritas Jasa Keuangan, Otoritas Jasa Keuangan dapat:
   1. memerintahkan Bank untuk menghentikan penggunaan pihak penyedia jasa TI sebelum berakhirnya jangka waktu perjanjian; atau
   2. melarang rencana penggunaan pihak penyedia jasa TI oleh Bank.
4. Dalam hal Bank akan menghentikan penggunaan pihak penyedia jasa TI, Bank wajib:
   1. menyusun rencana penghentian penggunaan pihak penyedia jasa TI;
   2. melakukan penilaian atas kelangsungan layanan dan data terkait dengan kegiatan yang diserahkan kepada pihak penyedia jasa TI serta pengujian atau simulasi terhadap kelangsungan kegiatan usaha dan/atau operasional Bank; dan
   3. memastikan penghentian penggunaan pihak penyedia jasa TI tidak menimbulkan gangguan pada kegiatan usaha dan/atau operasional Bank.

Pasal 33

1. Bank yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 29 ayat (2), ayat (3), Pasal 30 ayat (3), Pasal 31, Pasal 32 ayat (1), dan/atau ayat (4), dikenai sanksi administratif berupa teguran tertulis.
2. Dalam hal Bank telah dikenai sanksi administratif sebagaimana dimaksud pada ayat (1) dan belum memenuhi ketentuan sebagaimana dimaksud dalam Pasal 29 ayat (2), ayat (3), Pasal 30 ayat (3), Pasal 31, Pasal 32 ayat (1), dan/atau ayat (4), Bank dikenai sanksi administratif berupa:
   1. larangan untuk menerbitkan produk Bank baru;
   2. pembekuan kegiatan usaha tertentu; dan/atau
   3. penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan Bank.

Pasal 34

Ketentuan lebih lanjut mengenai penggunaan pihak penyedia jasa TI dalam penyelenggaraan TI Bank ditetapkan oleh Otoritas Jasa Keuangan.

BAB VII
PENEMPATAN SISTEM ELEKTRONIK DAN PEMROSESAN TRANSAKSI BERBASIS TI

Bagian Kesatu
Penempatan Sistem Elektronik

Pasal 35

1. Bank wajib menempatkan Sistem Elektronik pada Pusat Data dan Pusat Pemulihan Bencana di wilayah Indonesia.
2. Bank dapat menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia sepanjang memperoleh izin dari Otoritas Jasa Keuangan.
3. Kriteria Sistem Elektronik yang dapat ditempatkan pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia sebagaimana dimaksud pada ayat (2), meliputi:
   1. Sistem Elektronik yang digunakan untuk mendukung analisis terintegrasi dalam memenuhi ketentuan yang diterbitkan oleh otoritas negara asal Bank yang bersifat global, termasuk lintas negara;
   2. Sistem Elektronik yang digunakan untuk manajemen risiko secara terintegrasi dengan kantor pusat Bank atau kantor induk atau kantor entitas utama di luar wilayah Indonesia;
   3. Sistem Elektronik yang digunakan untuk penerapan anti pencucian uang dan pencegahan pendanaan terorisme secara terintegrasi dengan kantor pusat Bank atau kantor induk Bank di luar wilayah Indonesia;
   4. Sistem Elektronik yang digunakan untuk pelayanan kepada nasabah secara global, yang memerlukan integrasi dengan Sistem Elektronik milik grup Bank di luar wilayah Indonesia;
   5. Sistem Elektronik yang digunakan untuk manajemen komunikasi antara kantor pusat Bank dan kantor cabang, atau antara perusahaan anak dan perusahaan induk; dan/atau
   6. Sistem Elektronik yang digunakan untuk manajemen intern Bank.
4. Dalam hal terdapat kondisi yang mengganggu operasional Bank secara signifikan, Otoritas Jasa Keuangan dapat menentukan penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia selain kriteria sebagaimana dimaksud pada ayat (3) untuk sementara waktu.

Pasal 36

1. Bank dapat mengajukan permohonan izin sebagaimana dimaksud dalam Pasal 35 ayat (2) sepanjang Bank:
   1. memenuhi ketentuan sebagaimana dimaksud dalam Pasal 29 dan Pasal 30;
   2. menyampaikan hasil analisis risiko negara;
   3. memastikan penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia tidak mengurangi efektivitas pengawasan Otoritas Jasa Keuangan yang dibuktikan dengan surat pernyataan;
   4. memastikan bahwa informasi mengenai rahasia Bank hanya diungkapkan sepanjang memenuhi ketentuan peraturan perundang-undangan di Indonesia yang dibuktikan dengan perjanjian kerja sama antara Bank dan pihak penyedia jasa TI;
   5. memastikan bahwa perjanjian tertulis dengan pihak penyedia jasa TI memuat klausula pilihan hukum;
   6. menyampaikan surat pernyataan tidak keberatan dari otoritas pengawas pihak penyedia jasa TI di luar wilayah Indonesia bahwa Otoritas Jasa Keuangan dapat melakukan pemeriksaan terhadap pihak penyedia jasa TI;
   7. menyampaikan surat pernyataan bahwa Bank menyampaikan secara berkala hasil penilaian yang dilakukan kantor bank di luar wilayah Indonesia atas penerapan manajemen risiko pada pihak penyedia jasa TI;
   8. memastikan manfaat dari rencana penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia bagi Bank lebih besar daripada beban yang ditanggung oleh Bank;
   9. menyampaikan rencana Bank untuk meningkatkan kemampuan sumber daya manusia Bank baik yang berkaitan dengan penyelenggaraan TI maupun transaksi bisnis atau produk yang ditawarkan; dan
   10. menyampaikan rencana tindak penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di wilayah Indonesia bagi Bank yang akan menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia sebagaimana dimaksud dalam Pasal 35 ayat (4).
2. Otoritas Jasa Keuangan memberikan izin atau menolak permohonan izin penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia sebagaimana dimaksud dalam Pasal 35 ayat (2) paling lama 3 (tiga) bulan setelah seluruh persyaratan dipenuhi oleh Bank dan dokumen permohonan diterima secara lengkap oleh Otoritas Jasa Keuangan.
3. Bank wajib memastikan bahwa data yang digunakan dalam Sistem Elektronik yang ditempatkan pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia tidak digunakan untuk tujuan selain sebagaimana dimaksud dalam Pasal 35 ayat (3) atau Pasal 35 ayat (4).
4. Dalam hal berdasarkan penilaian Otoritas Jasa Keuangan penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia:
   1. tidak sesuai dengan permohonan izin penempatan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia yang disampaikan kepada Otoritas Jasa Keuangan;
   2. berpotensi mengurangi efektivitas pengawasan Otoritas Jasa Keuangan;
   3. berpotensi berdampak negatif terhadap kinerja Bank; dan/atau
   4. tidak sesuai dengan ketentuan peraturan perundang-undangan,
   Otoritas Jasa Keuangan dapat meminta Bank untuk menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di wilayah Indonesia.

Pasal 37

Bank wajib memastikan Pusat Data dan Pusat Pemulihan Bencana sebagaimana dimaksud dalam Pasal 35 menjamin kelangsungan usaha Bank.

Pasal 38

Ketentuan lebih lanjut mengenai penempatan Sistem Elektronik pada Pusat Data dan Pusat Pemulihan Bencana ditetapkan oleh Otoritas Jasa Keuangan.

Bagian Kedua
Pemrosesan Transaksi Berbasis TI

Pasal 39

1. Bank wajib menyelenggarakan pemrosesan transaksi berbasis TI di wilayah Indonesia.
2. Pemrosesan transaksi berbasis TI dapat dilakukan oleh pihak penyedia jasa TI di wilayah Indonesia.
3. Penyelenggaraan pemrosesan transaksi berbasis TI oleh pihak penyedia jasa TI sebagaimana dimaksud pada ayat (2) dapat dilakukan sepanjang:
   1. memenuhi prinsip kehati-hatian;
   2. memenuhi ketentuan sebagaimana dimaksud dalam Pasal 29 dan Pasal 30; dan
   3. memperhatikan aspek perlindungan nasabah.
4. Pemrosesan transaksi berbasis TI oleh pihak penyedia jasa TI di luar wilayah Indonesia dapat dilakukan sepanjang Bank memperoleh izin dari Otoritas Jasa Keuangan.
5. Bank dapat mengajukan permohonan izin sebagaimana dimaksud pada ayat (4) sepanjang:
   1. Bank memenuhi persyaratan sebagaimana dimaksud pada ayat (3);
   2. dokumen pendukung administrasi keuangan atas transaksi yang dilakukan di kantor Bank di Indonesia ditatausahakan di kantor Bank di Indonesia; dan
   3. rencana bisnis Bank menunjukkan adanya upaya untuk meningkatkan peran Bank bagi perkembangan perekonomian Indonesia.
6. Otoritas Jasa Keuangan memberikan izin atau menolak permohonan izin pemrosesan transaksi berbasis TI oleh pihak penyedia jasa TI di luar wilayah Indonesia sebagaimana dimaksud pada ayat (4) paling lama 3 (tiga) bulan setelah seluruh persyaratan dipenuhi oleh Bank dan dokumen permohonan diterima secara lengkap oleh Otoritas Jasa Keuangan.
7. Ketentuan lebih lanjut mengenai pemrosesan transaksi berbasis TI ditetapkan oleh Otoritas Jasa Keuangan.

Bagian Ketiga
Tata Cara Permohonan Izin dan Batas Waktu Pelaksanaan Setelah Memperoleh Izin

Pasal 40

1. Permohonan izin sebagaimana dimaksud dalam Pasal 35 ayat (2) dan/atau Pasal 39 ayat (4) disampaikan kepada Otoritas Jasa Keuangan secara daring melalui sistem perizinan dan registrasi terintegrasi Otoritas Jasa Keuangan.
2. Dalam hal sarana penyampaian sebagaimana dimaksud pada ayat (1) belum tersedia, penyampaian dilakukan melalui sistem pelaporan Otoritas Jasa Keuangan untuk laporan tidak terstruktur kepada:
   1. Departemen Pengawasan Bank terkait atau Kantor Regional Otoritas Jasa Keuangan di Jakarta, bagi Bank yang berkantor pusat di wilayah Provinsi Daerah Khusus Ibukota Jakarta atau Provinsi Banten; atau
   2. Kantor Regional Otoritas Jasa Keuangan atau Kantor Otoritas Jasa Keuangan setempat, bagi Bank yang berkantor pusat di luar wilayah Provinsi Daerah Khusus Ibukota Jakarta atau Provinsi Banten.

Pasal 41

1. Bank harus:
   1. menempatkan Sistem Elektronik pada Pusat Data dan/atau Pusat Pemulihan Bencana di luar wilayah Indonesia sebagaimana dimaksud dalam Pasal 35 ayat (2); dan/atau
   2. mengimplementasikan pemrosesan transaksi berbasis TI oleh pihak penyedia jasa TI di luar wilayah Indonesia sebagaimana dimaksud dalam Pasal 39 ayat (4),
   paling lama 6 (enam) bulan sejak memperoleh izin dari Otoritas Jasa Keuangan.
2. Apabila Bank tidak melaksanakan ketentuan sebagaimana dimaksud pada ayat (1) dalam jangka waktu 6 (enam) bulan sejak izin diperoleh dari Otoritas Jasa Keuangan, izin Otoritas Jasa Keuangan menjadi tidak berlaku.

Pasal 42

1. Bank yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 35 ayat (1), Pasal 36 ayat (3), Pasal 37, dan/atau Pasal 39 ayat (1), dikenai sanksi administratif berupa teguran tertulis.
2. Dalam hal Bank telah dikenai sanksi administratif sebagaimana dimaksud pada ayat (1) dan belum memenuhi ketentuan sebagaimana dimaksud dalam Pasal 35 ayat (1), Pasal 36 ayat (3), Pasal 37, dan/atau Pasal 39 ayat (1), Bank dikenai sanksi administratif berupa:
   1. larangan untuk menerbitkan produk Bank baru;
   2. pembekuan kegiatan usaha tertentu; dan/atau
   3. penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan Bank.

BAB VIII
PENGELOLAAN DATA DAN PELINDUNGAN DATA PRIBADI DALAM PENYELENGGARAAN TI BANK

Bagian Kesatu
Pengelolaan Data oleh Bank

Pasal 43

1. Bank wajib mengelola data secara efektif dalam pemrosesan data Bank untuk mendukung pencapaian tujuan bisnis Bank.
2. Pengelolaan data secara efektif sebagaimana dimaksud pada ayat (1) memperhatikan paling sedikit:
   1. kepemilikan dan kepengurusan data;
   2. kualitas data;
   3. sistem pengelolaan data; dan
   4. sumber daya pendukung pengelolaan data.
3. Ketentuan lebih lanjut mengenai pengelolaan data oleh Bank ditetapkan oleh Otoritas Jasa Keuangan.

Bagian Kedua
Pelindungan Data Pribadi oleh Bank

Pasal 44

1. Bank wajib melaksanakan prinsip pelindungan data pribadi dalam melakukan pemrosesan data pribadi.
2. Dalam hal terdapat kondisi tertentu yang berpotensi meningkatkan risiko bagi pemilik data pribadi, Bank wajib melakukan penilaian dampak atas penerapan prinsip pelindungan data pribadi sebagaimana dimaksud pada ayat (1).

Pasal 45

1. Dalam menerapkan pelindungan data pribadi pada kegiatan pertukaran data, Bank wajib menetapkan paling sedikit:
   1. klasifikasi data yang merupakan data pribadi;
   2. hak dan kewajiban para pihak yang terlibat dalam pertukaran data pribadi;
   3. perjanjian pertukaran data pribadi;
   4. sarana pertukaran data pribadi; dan
   5. keamanan data pribadi.
2. Pertukaran data pribadi sebagaimana dimaksud pada ayat (1) dilakukan dengan memperhatikan persetujuan nasabah dan/atau calon nasabah yang dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 46

1. Bank yang melanggar ketentuan sebagaimana dimaksud dalam Pasal 43 ayat (1), Pasal 44, dan/atau Pasal 45 ayat (1), dikenai sanksi administratif berupa teguran tertulis.
2. Dalam hal Bank telah dikenai sanksi administratif sebagaimana dimaksud pada ayat (1) dan belum memenuhi ketentuan sebagaimana dimaksud dalam Pasal 43 ayat (1), Pasal 44, dan/atau Pasal 45 ayat (1), Bank dikenai sanksi administratif berupa:
   1. larangan untuk menerbitkan produk Bank baru;
   2. pembekuan kegiatan usaha tertentu; dan/atau
   3. penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan Bank.

Pasal 47

Ketentuan lebih lanjut mengenai pelindungan data pribadi oleh Bank ditetapkan oleh Otoritas Jasa Keuangan.