Aceng Abdul Hamid  |  Praktisi tata kelola dan kepatuhan, serta dosen Magister Manajemen STIE Cirebon

Sebuah perusahaan tengah menyiapkan peluncuran layanan digital. Tim bisnis telah menyepakati fitur, tim teknologi menyelesaikan pengujian, dan jadwal pemasaran sudah disusun. Beberapa hari menjelang peluncuran, muncul pertanyaan yang seharusnya dijawab sejak rancangan awal: apakah alur persetujuan pelanggan, penggunaan datanya, serta mekanisme pengaduan sudah sesuai dengan seluruh ketentuan yang relevan? Jika jawabannya belum pasti, masalahnya bukan sekadar keterlambatan telaah hukum. Perusahaan telah menempatkan keputusan bisnis di depan penilaian kepatuhan.

Ilustrasi tersebut dapat terjadi di berbagai industri. Perubahan peraturan kerap bergerak mengikuti risiko yang berkembang, sementara perubahan produk, proses, dan sistem membutuhkan waktu. Ketika fungsi kepatuhan baru diminta memberi persetujuan di akhir proyek, perusahaan menghadapi dua pilihan yang sama-sama mahal: menunda peluncuran atau menerima risiko yang belum dipahami dengan baik. Keduanya sebenarnya dapat dikurangi sejak tahap perencanaan.

Karena itu, persoalan penting bagi profesi kepatuhan bukan lagi seberapa cepat daftar peraturan diperbarui. Pertanyaannya adalah seberapa andal organisasi mengubah kewajiban regulasi menjadi keputusan, desain proses, kontrol sistem, dan bukti pelaksanaan sebelum risiko muncul di hadapan pelanggan, mitra, atau regulator.

Tekanan Regulasi Semakin Terhubung

Dalam satu kelompok usaha, kewajiban dari beberapa regulator dapat bertemu pada produk atau perjalanan pelanggan yang sama. Lembaga jasa keuangan berhadapan dengan pengaturan Otoritas Jasa Keuangan, penyedia jasa sistem pembayaran mengikuti ketentuan Bank Indonesia, dan berbagai perusahaan juga harus memperhatikan pelindungan data pribadi, ketenagakerjaan, perpajakan, serta ketentuan lain yang sesuai dengan aktivitasnya. Satu perubahan desain produk berpotensi memengaruhi lebih dari satu rezim kewajiban.

Contohnya, POJK Nomor 48 Tahun 2024 memuat aspek tata kelola yang baik bagi lembaga pembiayaan dan sejumlah lembaga jasa keuangan lainnya, termasuk penerapan manajemen risiko, pengendalian internal, fungsi kepatuhan, serta audit. POJK Nomor 22 Tahun 2023 memperkuat pengaturan pelindungan konsumen dan masyarakat di sektor jasa keuangan. Keduanya memperlihatkan bahwa kepatuhan tidak berhenti pada penyusunan kebijakan. Perusahaan perlu memastikan perilaku operasionalnya benar-benar mencerminkan kewajiban tersebut.

Standar ISO 37301:2021 juga menempatkan sistem manajemen kepatuhan sebagai proses yang dibangun, dijalankan, dievaluasi, dan diperbaiki secara berkelanjutan. Kerangka ini berguna sebagai rujukan pengelolaan, tetapi tidak menggantikan analisis atas hukum yang berlaku maupun tanggung jawab masing-masing organ perusahaan.

Dari Daftar Aturan ke Peta Dampak

Banyak organisasi sudah memiliki inventaris regulasi. Dokumennya bisa panjang, lengkap dengan nomor peraturan, tanggal pengundangan, dan unit kerja yang terdampak. Namun, daftar seperti itu belum tentu menjawab pertanyaan seorang direktur: bagian mana dari proses yang harus diubah sebelum ketentuan baru mulai berlaku?

Inventaris regulasi perlu berkembang menjadi peta keterkaitan. Setiap ketentuan material ditautkan dengan entitas hukum yang relevan, produk, pemilik proses, kebijakan internal, prosedur operasional, kontrol aplikasi, laporan kepada regulator, dan bukti pemenuhannya. Dengan demikian, ketika sebuah ketentuan berubah, organisasi dapat menelusuri dampaknya tanpa memulai analisis dari nol.

Pembedaan status juga harus disiplin. Regulasi yang telah berlaku menuntut pemenuhan sesuai ketentuan transisinya. Perubahan atau pencabutan memerlukan penilaian ulang atas kewajiban sebelumnya. Rancangan peraturan perlu dipantau untuk kesiapan organisasi, tetapi tidak boleh diperlakukan sebagai kewajiban hukum yang sudah efektif. Kekeliruan pada tahap klasifikasi dapat menghasilkan investasi sistem yang prematur atau, sebaliknya, keterlambatan penyesuaian yang sesungguhnya diwajibkan.

Peta semacam ini akan lebih bermanfaat jika setiap perubahan menghasilkan catatan keputusan: apa yang berubah, siapa terdampak, apa risikonya, kontrol mana yang perlu diubah, kapan target penyelesaian, serta siapa yang menyetujui pengecualian sementara bila benar-benar diperlukan. Jejak keputusan tersebut membantu manajemen, fungsi kepatuhan, dan auditor memahami alasan di balik implementasi.

Kepatuhan Masuk Saat Desain Dibuat

Memindahkan pemeriksaan kepatuhan ke awal siklus bisnis tidak berarti setiap ide harus menunggu persetujuan berlapis. Proses yang baik justru membedakan perubahan sederhana dari inisiatif yang berisiko tinggi. Perubahan tampilan yang tidak memengaruhi informasi material mungkin cukup melalui penapisan singkat. Produk baru yang mengubah pemrosesan data pribadi, skema biaya, perizinan, atau hubungan dengan pihak ketiga memerlukan telaah yang lebih mendalam sebelum desain dikunci.

Misalnya, tim produk hendak menambah mitra penyalur layanan. Pertanyaan kepatuhan yang relevan sejak awal mencakup dasar kerja sama, pembagian tanggung jawab kepada konsumen, ketentuan penggunaan data, cara menyampaikan informasi produk, tata kelola pengaduan, dan kebutuhan pelaporan. Tim proses menerjemahkan hasilnya ke prosedur kerja; tim teknologi membangun batas akses dan jejak transaksi; tim operasional menyiapkan pengawasan; sementara pemilik bisnis memastikan keseluruhan layanan dapat berjalan sesuai ketentuan.

Di sini fungsi kepatuhan berperan sebagai penasihat yang menafsirkan kewajiban, menantang asumsi, dan menilai kecukupan pengendalian. Namun, tanggung jawab menjalankan proses serta mengendalikan risiko sehari-hari tetap berada pada pemilik bisnis dan operasional. Pembagian tersebut penting agar fungsi kepatuhan tidak berubah menjadi pelaksana sekaligus pemeriksa pekerjaannya sendiri.

Membangun Rantai Bukti

Persoalan berikutnya sering muncul setelah proyek dinyatakan selesai. Kebijakan sudah diterbitkan dan fitur sudah tersedia, tetapi organisasi kesulitan menunjukkan bukti bahwa kontrol bekerja konsisten. Dokumen persetujuan proyek belum menjawab apakah informasi benar-benar diberikan kepada pelanggan, apakah hak akses ditinjau, atau apakah keluhan ditindaklanjuti dalam batas waktu yang ditetapkan.

Setiap kewajiban material sebaiknya memiliki rantai bukti yang dapat ditelusuri: sumber aturan, interpretasi yang disetujui, pemilik kewajiban, kontrol pencegahan atau deteksi, pengujian, temuan, dan tindak lanjut. Bukti itu dapat berupa konfigurasi sistem, catatan persetujuan, hasil pengujian, sampel transaksi, maupun laporan pemantauan. Bentuknya mengikuti sifat risiko; tidak semua persoalan perlu dipecahkan dengan aplikasi baru.

Dengan rantai tersebut, perubahan regulasi tidak semata-mata menghasilkan revisi dokumen. Perubahan dapat diuji sampai titik operasional yang paling dekat dengan dampaknya. Manajemen pun mempunyai dasar untuk membedakan kepatuhan yang hanya dinyatakan dari kepatuhan yang terbukti dijalankan.

Mengukur Efektivitas secara Jujur

Jumlah sosialisasi, halaman kebijakan, atau ketentuan yang berhasil diinventarisasi tetap berguna sebagai ukuran aktivitas. Akan tetapi, indikator tersebut belum cukup untuk menilai efektivitas fungsi kepatuhan. Ukuran yang lebih dekat dengan hasil antara lain waktu sejak regulasi teridentifikasi hingga analisis dampaknya selesai, proporsi inisiatif berisiko tinggi yang ditelaah sebelum desain final, keterlambatan penyelesaian tindakan korektif, dan proporsi kontrol utama yang memiliki bukti pengujian memadai.

Indikator harus dibaca bersama kualitas temuan. Penurunan jumlah temuan, misalnya, belum tentu berarti pengendalian membaik jika cakupan pengujian juga berkurang. Demikian pula, klaim tingkat kepatuhan 100% tanpa definisi kewajiban, cakupan entitas, metodologi penilaian, dan dasar bukti dapat menimbulkan rasa aman yang keliru.

Direksi dan Dewan Komisaris membutuhkan gambaran yang ringkas tetapi dapat ditindaklanjuti. Perhatian mereka layak diarahkan pada kewajiban material yang belum terpenuhi, tenggat transisi, isu lintas unit, risiko yang diterima sementara, serta keputusan sumber daya yang diperlukan. Pengawasan menjadi bernilai ketika laporan membantu keputusan, bukan hanya menunjukkan warna hijau pada dasbor.

Agenda yang Dapat Dimulai Sekarang

Perubahan ini tidak mensyaratkan transformasi teknologi berskala besar sejak hari pertama. Organisasi dapat memulai dari satu layanan atau proses prioritas, memilih beberapa kewajiban yang paling material, lalu menelusuri keterhubungannya dengan kebijakan, prosedur, sistem, kontrol, dan bukti. Dari uji coba tersebut, kesenjangan peran dan data biasanya terlihat lebih jelas.

Langkah berikutnya adalah menetapkan tata cara penilaian dampak regulasi dan penapisan inisiatif bisnis yang konsisten. Pimpinan harus mengetahui siapa yang memutuskan, kapan eskalasi wajib dilakukan, dan bagaimana pengecualian ditangani. Setelah alur kerja stabil, otomasi pemantauan regulasi serta pemetaan kewajiban dapat mempercepat pekerjaan yang berulang. Otomasi tetap memerlukan verifikasi manusia atas status hukum, relevansi, dan tafsir ketentuan.

Keberhasilan profesi kepatuhan tidak semestinya diukur dari banyaknya proyek yang berhasil dihentikan. Kontribusi strategisnya terlihat ketika organisasi dapat mengambil keputusan bisnis tepat waktu dengan risiko yang dipahami, tanggung jawab yang jelas, dan kontrol yang dapat dibuktikan. Regulasi mungkin terus berubah. Kesiapan perusahaan, sebaliknya, adalah kemampuan yang bisa dibangun sebelum perubahan berikutnya datang.

Rujukan Regulasi dan Standar

Otoritas Jasa Keuangan. POJK Nomor 48 Tahun 2024 tentang Tata Kelola yang Baik bagi Lembaga Pembiayaan dan lembaga terkait. Sumber resmi

Otoritas Jasa Keuangan. POJK Nomor 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan. Sumber resmi

International Organization for Standardization. ISO 37301:2021, Compliance management systems, requirements with guidance for use. Sumber resmi

Bank Indonesia. Peraturan Bank Indonesia Nomor 10 Tahun 2025 tentang Pengaturan Industri Sistem Pembayaran. Sumber resmi

Tentang penulis

Aceng Abdul Hamid adalah praktisi tata kelola, compliance policy and standardization, serta pelindungan data pribadi di sektor jasa keuangan. Ia juga dosen Program Studi Magister Manajemen STIE Cirebon dan penulis buku Manajemen Kepatuhan. Kontak: [email protected] | 087838122042.

Tulisan ini merupakan pandangan pribadi penulis dan tidak mewakili pernyataan resmi institusi tempatnya bekerja.