Joko H. Wibowo | Praktisi GRC, tata kelola teknologi, manajemen risiko, dan transformasi digital
GRC sebagai Garda Strategis Korporasi di Tengah UU P2SK, KUHP Nasional, dan Penyesuaian Pidana
Tiga regulasi ini membawa satu pesan yang sama, yaitu perusahaan tidak cukup hanya terlihat patuh. Ia harus mampu membuktikan bahwa pertumbuhan, produk digital, penggunaan data, dan kerja sama dengan mitra benar-benar dikelola dan dikendalikan. Di sinilah GRC menjadi garda strategis bukan penjaga dokumen, melainkan sebagai sistem kinerja berprinsip di korporasi.
P2SK mengubah lebih dari sekadar aturan main
UU No. 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan, yang kemudian diubah melalui UU No. 4 Tahun 2026, menata ulang fondasi sektor keuangan Indonesia. Cakupannya lebar dan luas yaitu perbankan, pasar modal, asuransi, dana pensiun, inovasi teknologi sektor keuangan, aset digital, pelindungan konsumen, hingga penguatan regulator dan jaring pengaman sistem keuangan. Jadi, P2SK bukan proyek milik bagian hukum atau compliance. Ia menyentuh langsung strategi, model bisnis, proses, manusia, dan teknologi.
Perubahannya paling terasa ketika pengawasan bergerak semakin berbasis strategis, aktivitas dan risiko. Sebuah aplikasi, layanan agregasi data, pemeringkatan kredit alternatif, atau koneksi API mungkin terlihat sebagai urusan teknis. Di belakangnya, ada persoalan izin, tata kelola, perilaku pasar, perlindungan data, keamanan siber, dan tanggung jawab kepada konsumen. Batas antara bank, fintech, penyedia teknologi, dan mitra non-keuangan boleh makin cair dan luwes serta batas tanggung jawabnya tidak boleh ikut kabur.
Perubahan ini akhirnya sampai ke ruang Direksi
Ada empat dampak yang tidak bisa didelegasikan begitu saja. Pertama, setiap inovasi harus memiliki dasar hukum dan pemilik risiko yang jelas diantaranya kecepatan peluncuran tidak dapat menggantikan uji kepatuhan dan penilaian risiko. Kedua, pelindungan konsumen tidak berhenti pada tanda persetujuan, tetapi harus terasa fairness sejak desain produk, pemasaran, keputusan kredit, penggunaan data, penanganan keluhan, sampai layanan dihentikan. Ketiga, open finance dan API mengubah risiko operasional perusahaan menjadi risiko ekosistem atau dapat menjadi knock-on effect bagi risiko Risiko yang lainnya. Satu mitra yang lemah dapat membuka jalan bagi kebocoran data, transaksi tidak sah, gangguan layanan, atau pencucian uang. Keempat, kompetisi lintas batas menuntut jawaban yang tegas: siapa menguasai data, algoritma, infrastruktur kritikal, pengetahuan inti, dan proses pemulihan ketika layanan gagal?
Kepatuhan tidak bisa lagi menunggu di ujung proses
Dalam banyak organisasi, fungsi kepatuhan masih dipanggil ketika produk hampir diluncurkan atau saat regulator mulai bertanya. Pola seperti ini makin mahal dan berbahaya. Kepatuhan harus hadir sejak gagasan pertama dibahas. Setiap kewajiban perlu diterjemahkan menjadi kontrol, setiap kontrol memiliki pemilik dan bukti, setiap pengecualian disetujui secara jelas, dan setiap keputusan dapat ditelusuri melalui jejak audit digital.
Ketika risiko pidana masuk ke ruang tata kelola
Sejak 2 Januari 2026, UU No. 1 Tahun 2026 tentang Penyesuaian Pidana menyelaraskan ketentuan pidana dalam berbagai undang-undang dengan sistem pemidanaan KUHP Nasional. Bagi sektor keuangan, maknanya jauh melampaui perubahan angka denda. Ketentuan pidana yang tersebar dalam berbagai regulasi sektoral sekarang harus dibaca sebagai satu sistem pertanggungjawaban yang lebih utuh.
Penyesuaian tersebut mencakup ancaman minimum khusus, konversi dan kategorisasi denda, serta berbagai ketentuan di luar KUHP. Bagi korporasi, struktur dendanya juga menjadi lebih tegas dan dalam keadaan tertentu dapat dikaitkan dengan keuntungan tahunan. Artinya, potensi kerugian tidak tepat lagi dihitung hanya dari angka lama yang tertulis dalam satu undang-undang.
Yang dinilai bukan hanya orangnya, tetapi juga sistemnya
KUHP Nasional menegaskan korporasi sebagai subjek tindak pidana. Tanggung jawab dapat dikenakan kepada korporasi dan, sesuai keterlibatannya, menjangkau pengurus, pemberi perintah, pemegang kendali, dan/atau pemilik manfaat. Pertanyaannya bukan lagi sekadar siapa pegawai yang melanggar. Yang juga akan dilihat adalah apakah kebijakan, target, insentif, pembiaran, atau kontrol yang lemah ikut menciptakan ruang bagi pelanggaran.
Di titik inilah governance dan kepatuhan benar-benar diuji. Perusahaan perlu menunjukkan bahwa langkah pencegahan memang bekerja: risiko dikenali, kewajiban dipetakan, wewenang dipisahkan, transaksi dipantau, tanda bahaya ditindaklanjuti, pelapor dilindungi, penyimpangan diinvestigasi, dan perbaikan diselesaikan. Kebijakan yang rapi atau sertifikat di dinding tidak cukup jika kontrolnya tidak efektif.
Governance harus terasa dalam keputusan, bukan hanya piagam
Dewan Komisaris tidak perlu menjadi operator teknologi, tetapi harus memastikan Direksi memiliki arah, sumber daya, dan kontrol. Direksi pun tidak boleh menyerahkan risiko digital kepada CIO atau compliance. Akuntabilitas dibangun melalui reserved matters, risk appetite, pelaporan insiden, escalation protocol, challenge terdokumentasi, dan keputusan yang melindungi konsumen.
Model tiga lini harus bekerja sebagai system dan mekanisme akuntabilitas. Lini pertama memiliki risiko dan kontrol; lini kedua menetapkan guardrail, expertise dan menguji Keputusan, serta internal audit memberi assurance independen. Bertukar laporan tanpa berbagi data risiko hanya menghasilkan dokumentasi, belum tentu mekanisme akuntabilitas.
Teknologi memperbesar Risiko dan sekaligus menguatkan bukti
P2SK mendorong digitalisasi, tetapi teknologi juga memperbesar skala pelanggaran. Salah konfigurasi API, model bias, akses berlebih, data tanpa dasar sah, atau algoritma yang tidak dapat dijelaskan dapat mengubah kelemahan kontrol menjadi kerugian massal. Tata kelolanya harus mencakup keputusan, data lineage, akses istimewa, perubahan model, pemantauan anomali, dan ketahanan pihak ketiga—bukan hanya uptime dan penetration test.
Sebaliknya, RegTech, continuous control monitoring, dan AI dapat menjadi alat pembuktian: memetakan regulasi, menguji transaksi, mendeteksi anomali, menyimpan evidence, dan memberi peringatan dini. Namun model, threshold, sumber data, false positive, serta tindak lanjut alert tetap harus memiliki pemilik dan dapat diuji.
Dari kewajiban ke bukti dengan enam prioritas aktifitas.
Jawabannya bukan menambah ketebalan manual. Yang dibutuhkan adalah sinkronisasi dengan integrasi dan koneksi yang menghubungkan hukum, tata kelola, risiko, kontrol, data, dan assurance sehingga pimpinan dapat melihat apa yang dilakukan, siapa yang bertanggung jawab, dan bukti apa yang tersedia:
Peta kewajiban: petakan dengan rencana korporasi yaitu UU P2SK beserta perubahannya, UU Penyesuaian Pidana, KUHP Nasional, ketentuan OJK dan BI, PDP, APU-PPT, keamanan siber, serta kontrak ke proses dan produk.
Akuntabilitas tata kelola: tetapkan eksekutif yang bertanggung jawab, pemilik risiko, batas kewenangan, pemisahan tugas, forum eskalasi, dan pengawasan Dewan Komisaris.
Rekayasa pengendalian: ubah kewajiban menjadi kontrol pencegahan, pendeteksian, dan perbaikan; tentukan frekuensi, bukti, ambang batas, serta tindakan atas penyimpangan.
Tata kelola teknologi: kelola API, identitas, data, cloud, AI, vendor, perubahan sistem, pencatatan aktivitas, ketahanan, dan insiden siber sebagai satu portofolio risiko digital.
Perilaku dan budaya: selaraskan target, insentif, kompetensi, keberanian berbicara, WBS, investigasi, dan konsekuensi pelanggaran agar organisasi tidak diam-diam mendorong perilaku berisiko.
Assurance dan bukti: uji desain serta efektivitas kontrol, lakukan pemantauan berkelanjutan, analisis akar masalah, remediasi, dan pelaporan kepada organ tata kelola.
Apa yang seharusnya terlihat di dashboard pimpinan?
Dashboard tidak cukup berisi jumlah regulasi baik mandatory maupun voluntary yang dipenuhi. Pimpinan perlu melihat risiko dengan eskposur yang bergerak, insiden dan near miss API, penggunaan akses istimewa; keluhan berulang; transaksi anomali yang belum ditutup, false positive dan false negative model, keterlambatan remediasi, konsentrasi vendor, kegagalan control, perubahan regulasi yang belum dipetakan dan diintegrasikan kedalam operasional serta isu yang melewati risk appetite. Ukuran tersebut membuat governance berpijak pada fakta, bukan rasa aman semu.
Penutup: bisnis terus bergerak, akuntabilitas jangan tertinggal
UU P2SK memberi Indonesia peluang membangun sektor keuangan yang lebih dalam, inklusif, inovatif, dan terkoneksi. UU No. 1 Tahun 2026 mengingatkan bahwa pertumbuhan itu berjalan di dalam sistem pertanggungjawaban pidana yang telah diperbarui. Keduanya bertemu pada satu titik yaitu organisasi harus mampu membuktikan bahwa keputusan dan teknologinya dikelola, dikendalikan, dipantau, serta diperbaiki secara bertanggung jawab.
Karena itu, kepatuhan bukan sekadar menjaga perusahaan agar tidak dihukum. Governance bukan sekadar memenuhi struktur. Teknologi bukan sekadar mempercepat transaksi. Ketiganya adalah satu arsitektur untuk menciptakan nilai, menjaga kepercayaan, melindungi konsumen, dan mempertahankan keberlanjutan korporasi. Di era baru ini, perusahaan yang paling siap bukan yang memiliki dokumen paling tebal, tetapi yang mampu menunjukkan—melalui perilaku, kontrol, data, dan bukti—bahwa sistemnya benar-benar bekerja.
Rujukan utama
JDIH Kementerian Keuangan — UU No. 4 Tahun 2026 tentang Perubahan atas UU P2SK
Database Peraturan — UU No. 4 Tahun 2023 tentang P2SK
Database Peraturan — UU No. 1 Tahun 2026 tentang Penyesuaian Pidana
BPK — UU No. 1 Tahun 2023 tentang KUHP
OJK — POJK 3/2024 tentang Penyelenggaraan ITSK
OJK — POJK 30/2025 tentang Tata Kelola dan Manajemen Risiko ITSK
Hukumonline — implikasi UU P2SK bagi fintech (referensi sekunder)
Catatan: Artikel ini merupakan analisis strategis dan bahan diskusi profesional, bukan pendapat hukum untuk perkara atau entitas tertentu. Status sumber diverifikasi per 14 Agustus 2026.
