Bunyi dan keterangan
Keadaan: berlaku. Tingkat: Status diverifikasi advokat SPP.
1. Sistem informasi manajemen ditujukan untuk mengidentifikasi, menganalisis, memantau, dan menyediakan laporan secara efektif mengenai karakteristik transaksi yang dilakukan Nasabah dengan menggunakan parameter yang disesuaikan secara berkala dan memerhatikan kompleksitas usaha, volume transaksi, dan risiko yang dimiliki Penyelenggara, termasuk antara lain:
a. transaksi keuangan yang menyimpang dari profil, karakteristik, atau kebiasaan pola transaksi dari Nasabah yang bersangkutan;
b. transaksi keuangan oleh Nasabah yang patut diduga dilakukan dengan tujuan untuk menghindari pelaporan transaksi yang bersangkutan yang wajib dilakukan oleh pihak pelapor sesuai dengan peraturan perundang-undangan;
c. transaksi keuangan yang dilakukan atau batal dilakukan dengan menggunakan harta kekayaan yang diduga berasal dari hasil tindak pidana;
d. transaksi keuangan yang diminta oleh PPATK untuk dilaporkan oleh pihak pelapor karena melibatkan harta kekayaan yang diduga berasal dari hasil tindak pidana;
e. transaksi Nasabah yang tidak memenuhi ketentuan CDD; dan
f. transaksi Nasabah yang kebenaran informasinya diragukan oleh Penyelenggara.
2. Penyelenggara harus memastikan Teknologi Informasi yang digunakan dalam sistem informasi manajemen terjamin keandalannya, dan telah didasarkan pada hasil penilaian risiko yang didalamnya memuat bagaimana Penyelenggara mengelola dan memitigasi risiko atas Teknologi Informasi yang digunakan.
3. Kebijakan dan prosedur tertulis yang dimiliki Penyelenggara wajib mempertimbangkan faktor Teknologi Informasi yang berpotensi disalahgunakan oleh pelaku Pencucian Uang dan Pendanaan Terorisme serta pendanaan Proliferasi Senjata Pemusnah Massal, misalnya pembukaan rekening melalui internet, atau perintah transfer dana melalui faksimili atau telepon, dan transaksi elektronik lainnya.
4. Penyelenggara harus memiliki sistem informasi manajemen yang memungkinkan untuk menelusuri setiap transaksi (individual transaction) dan menanggapi secara penuh, cepat dan tepat permintaan informasi, data dan dokumen baik untuk keperluan internal dan/atau Otoritas Jasa Keuangan, maupun dalam kaitannya dengan upaya penegakan hukum dan kepentingan peradilan.
5. Penyelenggara harus memelihara pangkalan data (database) PEP, daftar terduga teroris dan organisasi teroris, dan daftar Proliferasi Senjata Pemusnah Massal.
6. Untuk memudahkan pemantauan dalam rangka menganalisis transaksi keuangan yang mencurigakan, Penyelenggara wajib memiliki dan memelihara profil Nasabah secara terpadu (single CIF).
7. Informasi yang terdapat dalam single CIF mencakup seluruh produk atau jasa yang digunakan oleh Nasabah pada suatu Penyelenggara.
8. Untuk rekening bersama (jika ada) maka CIF dibuat atas masing-masing pihak pemilik rekening bersama (joint account). Contohnya rekening bersama (joint account) atas nama A dan B, maka CIF yang dibuat adalah 2 (dua) CIF yaitu CIF atas nama A dan B dengan menginformasikan bahwa baik A maupun B memiliki rekening bersama (joint account).
9. Untuk keperluan pemeliharaan single CIF, Penyelenggara harus menetapkan kebijakan bahwa untuk setiap penambahan rekening dan/atau produk atau jasa oleh Nasabah yang sudah ada, Penyelenggara harus mengkaitkan rekening, produk atau jasa tambahan tersebut dengan nomor informasi Nasabah dari Nasabah yang bersangkutan.
10. Untuk memastikan sistem informasi manajemen tetap berjalan dengan baik dan efektif, Penyelenggara harus melakukan mitigasi risiko antara lain terhadap:
a. keamanan data dari serangan siber (cyberattacks) dan penggunaan identitas digital, yang dapat dilakukan dengan:
1) melakukan identifikasi dan penilaian risiko terkait penggunaan Teknologi Informasi;
2) menggunakan Teknologi Informasi yang sudah tersertifikasi sesuai dengan peraturan perundang-undangan;
3) memiliki Teknologi Informasi yang saling terhubung dan saling mendukung;
4) menggunakan perangkat lunak (software) yang legal;
5) memiliki kebijakan dan prosedur internal terkait Penyelenggaraan Teknologi Informasi termasuk penggunaan security tools seperti teknologi enkripsi, anti-virus dan firewall termasuk pembaruannya dengan merujuk ketentuan yang dikeluarkan oleh Kementerian atau Lembaga yang menyelenggarakan urusan pemerintahan dibidang siber dan sandi negara;
6) meningkatkan kesadaran sumber daya manusia di lingkungannya untuk memberikan perlindungan data pribadi dalam Teknologi Informasi yang dikelolanya;
7) mengadakan pelatihan pencegahan kegagalan perlindungan data pribadi dalam Teknologi Informasi yang dikelolanya;
8) melakukan informasi teknologi audit (IT audit) secara berkala dan/atau dalam hal diperlukan sesuai dengan kebutuhan Penyelenggara yang dimaksudkan untuk memastikan keandalan Teknologi Informasi yang digunakan dan untuk memastikan agar Teknologi Informasinya tidak digunakan/dimanfaatkan oleh pelaku Pencucian Uang dan/atau Pendanaan Terorisme serta pendanaan Proliferasi Senjata Pemusnah Massal; dan/atau
9) melakukan edukasi kepada Nasabah terkait keamanan data pribadi dan pencegahan serangan siber (cyberattack).
b. perlindungan data pribadi, yang dapat dilakukan sebagai berikut:
1) data pribadi yang disimpan telah diverifikasi kebenarannya;
2) data pribadi disimpan dalam bentuk data terenkripsi;
3) penyimpanan data pribadi dilakukan sesuai dengan peraturan perundang-undangan yang mengatur jangka waktu penyimpanan data pribadi; dan
4) penggunaan akses data pribadi oleh Penyelenggara melalui perangkat keras milik Nasabah (contohnya smartphone) dibatasi sesuai ketentuan peraturan perundang-undangan. Apabila pemilik data pribadi tidak lagi menjadi Nasabah, Penyelenggara harus menyimpan data pribadi tersebut sesuai batas waktu sebagaimana dimaksud dalam angka 3) terhitung sejak tanggal terakhir pemilik data pribadi menjadi Pengguna Jasa.
c. pusat data (data center) dan pusat pemulihan bencana (disaster recovery center) yang dapat dilakukan Penyelenggara dengan membuat dan menyimpan tempat penyimpanan internal sebagai pusat data (data center) dan pusat pemulihan bencana (disaster recovery center) sesuai dengan peraturan perundang-undangan.
teks hasil ekstraksi; rujuk naskah resmi
Sitasi: Romawi VI SEOJK 6/SEOJK.05/2021
PDF naskah resmi, halaman 80
Status regulasi
Berlaku Status diverifikasi advokat SPP
Dasar: Romawi IX (Penutup): berlaku sejak ditetapkan 29 Januari 2021; tidak mencabut regulasi lain. Induknya, POJK 12/POJK.01/2017 jo. 23/POJK.01/2019, dicabut oleh Pasal 89 POJK 8 Tahun 2023, tetapi Pasal 88 huruf a POJK 8/2023 menyatakan ketentuan pelaksanaannya tetap berlaku sepanjang tidak bertentangan. Risiko: rujukan dan istilah masih lama (POJK 12/2017, "pinjam meminjam uang"), dan belum mencakup PPPSPM, jadi baca bersama POJK 8/2023. JDIH OJK (jdih.ojk.go.id, dicek 12-10-2026 WIB): status "Berlaku", riwayat belum ada.
Sumber: ketentuan penutup dan JDIH. Tanggal cek: 12 Oktober 2026.
Status di JDIH