Pragmaintegra.com – Ketergantungan pada teknologi menciptakan kategori risiko yang luas: gangguan sistem, serangan siber, kebocoran data, kegagalan penyedia layanan pihak ketiga, konsentrasi pada satu penyedia komputasi awan, risiko perubahan sistem, dan penggunaan teknologi tanpa izin di luar kendali fungsi teknologi informasi (shadow IT). Risiko-risiko ini tidak lagi dapat dikelola sebagai risiko teknis semata, karena dampaknya langsung terhadap pendapatan, kepatuhan, reputasi, dan biaya pendanaan. Bagian ini membahas kerangka penilaian risiko digital, selera risiko teknologi, risiko pihak ketiga dan komputasi awan, ketahanan operasional dan pemulihan bencana, serta risiko kepatuhan digital.

Kerangka Penilaian Risiko Digital dan Selera Risiko Teknologi

Kerangka penilaian risiko digital perlu diintegrasikan dalam manajemen risiko perusahaan, dengan identifikasi aset digital kritis, ancaman, kerentanan, dan dampak bisnisnya. Dewan menetapkan selera risiko teknologi, misalnya toleransi terhadap waktu henti sistem kritis atau tingkat kehilangan data yang dapat diterima, yang kemudian diterjemahkan menjadi batas operasional. Penerapannya menghadapi tantangan yang sama dengan manajemen risiko perusahaan pada umumnya, yaitu kurangnya informasi untuk keputusan berbasis risiko, kesulitan memastikan keputusan berada dalam toleransi risiko, dan kurangnya dukungan manajemen puncak.[1]

Risiko digital memiliki dampak finansial yang terukur. Studi atas penerapan bertahap undang-undang pemberitahuan pelanggaran data di negara bagian Amerika Serikat menunjukkan bahwa biaya utang perusahaan yang terdampak meningkat, terutama pada industri yang rentan pelanggaran data, perusahaan yang melaporkan kelemahan pengendalian internal, atau perusahaan yang mengungkapkan risiko keamanan siber.[2] Kewajiban pengungkapan pelanggaran data juga dapat menimbulkan efek samping, seperti meningkatnya manipulasi aktivitas riil oleh CEO, risiko kejatuhan harga saham, dan berkurangnya aktivitas paten.[3] Tinjauan literatur Amani, Magnan, dan Moldovan atas pengungkapan risiko dan insiden keamanan siber menunjukkan bahwa sebagian temuan mengenai karakteristik, determinan, dan dampak pengungkapan masih belum konklusif atau saling bertentangan.[4] Bagi Indonesia, Pasal 46 UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data pribadi menyampaikan pemberitahuan tertulis dalam waktu paling lambat 3 x 24 jam apabila terjadi kegagalan pelindungan data pribadi, sehingga kesiapan respons insiden merupakan kewajiban hukum.

Risiko Pihak Ketiga, Komputasi Awan, dan Konsentrasi

Alih daya teknologi dan penggunaan layanan komputasi awan memindahkan pelaksanaan fungsi, tetapi tidak memindahkan tanggung jawab hukum. Uni Eropa melalui Digital Operational Resilience Act dan otoritas di Inggris serta Hong Kong telah menetapkan persyaratan pengelolaan risiko pihak ketiga teknologi informasi, termasuk pemantauan penyedia, ketentuan kontraktual, pengujian ketahanan operasional, pelaporan insiden, dan kerangka pengawasan penyedia pihak ketiga yang kritis.[5] Bagi perusahaan di Indonesia, perjanjian dengan penyedia teknologi perlu memuat hak audit, standar keamanan, lokasi pemrosesan dan penyimpanan data, kewajiban pemberitahuan insiden, rencana keluar (exit plan), dan pembagian tanggung jawab atas pelanggaran data pribadi. Lembaga jasa keuangan juga tunduk pada ketentuan OJK mengenai penggunaan pihak penyedia jasa teknologi informasi dan penempatan sistem elektronik. Risiko konsentrasi muncul apabila banyak fungsi kritis bergantung pada satu penyedia, sehingga strategi multi-penyedia atau rencana pengalihan perlu dipertimbangkan.

Baca juga: Dampak Teknologi pada Struktur Tata Kelola Perusahaan: Dari Rapat Dewan Virtual hingga Blockchain

Ketahanan Operasional, Keberlangsungan Usaha, dan Pemulihan Bencana

Konsep ketahanan operasional menggeser fokus dari mencegah gangguan menjadi memastikan layanan penting tetap dapat diberikan dalam batas toleransi gangguan. Kajian atas penerapan pedoman ketahanan operasional di sektor keuangan Inggris menekankan isu budaya risiko, selera risiko, teknologi informasi, penetapan toleransi, pemodelan risiko, perencanaan skenario, dan ketahanan yang berorientasi pada pelanggan, serta mengusulkan dasbor kematangan ketahanan operasional.[6] Rencana keberlangsungan usaha digital dan rencana pemulihan bencana teknologi perlu diuji secara berkala melalui simulasi, dan hasilnya dilaporkan kepada dewan.

Risiko Perubahan, Teknologi Baru, Ketergantungan, dan Shadow IT

Perubahan sistem, seperti migrasi sistem inti atau penerapan teknologi baru, merupakan salah satu sumber gangguan terbesar. Pengelolaan risiko perubahan memerlukan prosedur persetujuan, pengujian, dan rencana pemulihan. Risiko teknologi baru, termasuk kecerdasan artifisial, memerlukan penilaian khusus sebelum diadopsi. Risiko ketergantungan dan rantai pasok digital muncul dari perangkat lunak dan komponen pihak ketiga yang tertanam dalam sistem perusahaan. Shadow IT, yaitu penggunaan aplikasi atau layanan awan oleh unit bisnis tanpa persetujuan fungsi teknologi informasi, menimbulkan risiko kebocoran data dan pelanggaran kepatuhan yang sering tidak terdeteksi.

Peran Dewan

Dewan tidak diharapkan mengelola risiko digital secara teknis, tetapi wajib memastikan sistem pengelolaannya ada, berfungsi, dan dilaporkan secara memadai. Bukti dari Amerika Serikat menunjukkan bahwa dewan yang segera meningkatkan fokus, keahlian, dan penugasan pengawasan risiko siber mengalami lebih sedikit serangan siber dan pelanggaran data di kemudian hari.[7] Dalam kerangka UU PT, pengawasan yang memadai atas risiko digital merupakan bagian dari pelaksanaan kewajiban kehati-hatian Direksi berdasarkan Pasal 97 dan kewajiban pengawasan Dewan Komisaris berdasarkan Pasal 108 dan Pasal 114.

Kesimpulan dan Implikasi bagi Praktisi Hukum

Risiko digital merupakan risiko usaha dengan konsekuensi hukum dan finansial yang nyata. Bagi praktisi hukum, rekomendasinya adalah: pertama, memastikan kerangka risiko digital terintegrasi dalam manajemen risiko perusahaan dan selera risiko teknologi ditetapkan dewan; kedua, menyusun dan meninjau perjanjian dengan penyedia teknologi dan komputasi awan agar memuat hak audit, standar keamanan, lokasi data, pemberitahuan insiden, dan rencana keluar; ketiga, menyiapkan prosedur respons insiden yang memenuhi kewajiban pemberitahuan dalam UU Pelindungan Data Pribadi; keempat, memastikan rencana keberlangsungan usaha dan pemulihan bencana diuji dan dilaporkan; dan kelima, mendokumentasikan pengawasan dewan atas risiko digital sebagai bukti pelaksanaan kewajiban fidusia.

*Artikel ini merupakan bagian dari ‘Learning Module for Lawyers: Corporate Law’ yang disusun oleh Tim Penulis Firma Pragma Integra.

Referensi

[1] Alawattegama, ‘Enterprise Risk Management: Challenges and the Strategies for Success’.

[2] Chandrani Chatterjee, Nishant Agarwal, and Swetha Agarwal, ‘Data Breach Notification Laws and Cost of Debt’, SSRN Electronic Journal, 2024, https://doi.org/10.2139/ssrn.4812852.

[3] Jinyu Liu and Xiaoran Ni, ‘Ordeal by Innocence in the Big-Data Era: Intended Data Breach Disclosure, Unintended Real Activities Manipulation’, European Financial Management, 30.1 (2024), pp. 129–63, https://doi.org/10.1111/eufm.12410.

[4] Farzaneh Amani, Michel Magnan, and Rucsandra Moldovan, ‘Cybersecurity Risks and Incidents Disclosure: A Literature Review’, Accounting Perspectives, 24.3 (2025), pp. 605–67, https://doi.org/10.1111/1911-3838.12411.

[5] Robert Daniel Chanon and others, ‘Operational Resilience in the UK Financial Sector: Practical Guidance’, British Actuarial Journal, 30 (2025), e25, https://doi.org/10.1017/s1357321725100202.

[6] Chanon and others, ‘Operational Resilience in the UK Financial Sector: Practical Guidance’.

[7] Klein, Manini, and Shi, ‘Across the Pond: How US Firms’ Boards of Directors Adapted to the Passage of the General Data Protection Regulation’.