SURABAYA, 14 Agustus 2026 — Chief Executive Officer PT Osnova Cyber Innovation, Sofian Lusa, menyatakan bahwa transformasi digital perbankan adalah inisiatif manajemen strategik, bukan proyek teknologi. Pernyataan itu disampaikan pada Pelatihan Transformasi Digital dan Pelindungan Data Pribadi di Perbankan yang diampu Kementerian Komunikasi dan Digital bersama Otoritas Jasa Keuangan, dengan peserta Bank Pembangunan Daerah se-Jawa Timur. 

Dalam paparannya, Sofian menjelaskan bahwa teknologi hanya satu dari enam aspek yang harus bergerak serentak agar sebuah bank benar-benar berpindah dari kondisi sebelumnya menuju digital enterprise. Keenamnya mencakup business model and strategy, structure and process, digital technology, technology governance, human resource management, dan organization culture. Ia mencontohkan bank yang membuka banking as a service sehingga pembukaan rekening terjadi pada aplikasi mitra dan pendapatan bergeser dari margin bunga ke fee ekosistem, alur pembukaan rekening yang semula melewati tiga unit disederhanakan menjadi satu alur digital dengan satu pemilik proses dari ujung ke ujung, serta pemisahan sistem inti dari lapisan layanan melalui open API agar produk baru dapat diluncurkan tanpa mengubah core banking.

Menurut Sofian, tiga aspek yang paling sering tertinggal justru bukan aspek teknis.

• Pada technology governance, ia menekankan pentingnya kejelasan siapa memutuskan, siapa mengendalikan, dan bagaimana risiko dikelola, misalnya dengan mendaftarkan setiap model scoring lengkap dengan pemilik, hasil validasi, dan jalur peninjauan manusia sebelum dipakai memutus permohonan kredit.

• Pada human resource management, ia menyarankan jalur reskilling bersertifikat agar teller beralih menjadi digital advisor dan pengetahuan nasabah tetap terjaga.

• Pada organization culture, hasil uji phishing dan pelaporan insiden ia usulkan masuk ke dalam kontrak kinerja seluruh pemimpin unit, sehingga keamanan menjadi urusan semua orang.

Ia merujuk hasil riset yang menunjukkan bahwa kegagalan transformasi digital bersumber dari model bisnis yang tidak diubah, proses lama yang sekadar didigitalkan, tata kelola yang tertinggal, serta kompetensi dan perilaku yang tidak menyusul sistem barunya.

Sofian kemudian memaparkan peta jalan implementasi pelindungan data pribadi yang disusun berurutan dalam tiga fase:

Fase pertama, Mengetahui, berjalan pada bulan nol sampai enam dan mencakup penunjukan pejabat pelindungan data pribadi beserta mandatnya, gap assessment terhadap Undang-Undang Nomor 27 Tahun 2022, penyusunan Records of Processing Activities untuk seluruh proses inti, serta klasifikasi data dan penandaan pemrosesan berisiko tinggi. Indikator keberhasilannya adalah daftar aktivitas pemrosesan yang mencakup seluruh proses inti bank.

Fase kedua, Mengendalikan, berjalan pada bulan tujuh sampai delapan belas dan mencakup penetapan kebijakan, prosedur operasional, dan jadwal retensi data, pelaksanaan Data Protection Impact Assessment pada pemrosesan berisiko tinggi, pembenahan manajemen persetujuan dan perjanjian pemrosesan dengan vendor, serta penerapan kontrol teknis dan prosedur notifikasi insiden tiga kali dua puluh empat jam. Fase ini dinyatakan berhasil bila seluruh produk dan kanal baru melewati penilaian dampak sebelum diluncurkan.

Fase ketiga, Membuktikan, berjalan pada bulan sembilan belas sampai tiga puluh enam melalui audit internal dan pengujian independen secara berkala, pengukuran pemenuhan hak subjek data dan waktu penyelesaiannya, penanaman budaya lewat pelatihan, uji phishing, dan simulasi insiden, serta penerapan tata kelola artificial intelligence dan privacy enhancing technologies. Ukurannya, kepatuhan harus dapat dibuktikan dengan jejak pelaksanaan, bukan dengan dokumen kebijakan.

Sofian menutup paparannya dengan empat pesan implementasi. Bank sebaiknya memulai dari assessment dan pemetaan, bukan dari kebijakan, karena kebijakan yang disusun tanpa daftar aktivitas pemrosesan yang akurat akan salah sasaran dan mahal untuk diperbaiki. Kepatuhan harus mendahului peluncuran kanal, sebab menjadikan penilaian dampak sebagai syarat peluncuran merupakan kontrol termurah dibandingkan penanganan insiden. Akuntabilitas melekat pada bank sebagai pengendali data dan tidak berpindah kepada vendor atau kepada model. Terakhir, pengawas akan memeriksa jejak pelaksanaan seperti catatan akses, bukti notifikasi, dan penyelesaian permintaan nasabah, sehingga kepatuhan diukur dengan bukti, bukan dengan dokumen.

Paparan tersebut merujuk Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, POJK Nomor 11/POJK.03/2022, dan panduan tata kelola artificial intelligence pada sektor perbankan. PT Osnova Cyber Innovation merupakan penyedia layanan keamanan siber terkelola yang memadukan Security Operations Center dengan pendampingan tata kelola pelindungan data pribadi bagi institusi keuangan.