Romawi VI
SEOJK 16/SEOJK.07/2025 — Penerapan Program Anti Pencucian Uang, Pencegahan Pendanaan Terorisme, dan Pencegahan Pendanaan Proliferasi Senjata Pemusnah Massal bagi Pedagang Aset Keuangan Digital
Status regulasi: Berlaku
Bunyi dan keterangan
Keadaan: berlaku. Tingkat: Status diverifikasi advokat SPP.
1. Pedagang wajib memiliki sistem informasi manajemen yang dapat mengidentifikasi, menganalisa, memantau, dan menyediakan laporan secara efektif mengenai karakteristik atau kebiasaan pola transaksi yang dilakukan oleh Nasabah.
2. Sistem informasi manajemen sebagaimana dimaksud pada angka 1 ditujukan untuk mengidentifikasi, menganalisis, memantau, dan menyediakan laporan secara efektif mengenai karakteristik transaksi yang dilakukan Nasabah dengan menggunakan parameter yang disesuaikan secara berkala dan memperhatikan kompleksitas usaha, volume transaksi, dan risiko yang dimiliki Pedagang, mencakup paling sedikit:
a. transaksi keuangan yang menyimpang dari profil, karakteristik, atau kebiasaan pola transaksi dari Nasabah yang bersangkutan;
b. transaksi keuangan oleh Nasabah yang patut diduga dilakukan dengan tujuan untuk menghindari pelaporan transaksi yang bersangkutan yang diwajibkan untuk dilakukan oleh pihak pelapor sesuai dengan peraturan perundang-undangan;
c. transaksi keuangan yang dilakukan atau batal dilakukan dengan menggunakan harta kekayaan yang diduga berasal dari hasil tindak pidana;
d. transaksi keuangan yang diminta oleh PPATK untuk dilaporkan oleh pihak pelapor karena melibatkan harta kekayaan yang diduga berasal dari hasil tindak pidana;
e. transaksi Nasabah yang tidak memenuhi ketentuan CDD; dan
f. transaksi Nasabah yang kebenaran informasinya diragukan oleh Pedagang.
3. Pedagang harus memastikan sistem elektronik yang digunakan dalam sistem informasi manajemen terjamin keandalannya dan telah didasarkan pada hasil penilaian risiko yang di dalamnya memuat bagaimana Pedagang mengelola dan memitigasi risiko atas sistem elektronik yang digunakan.
4. Kebijakan dan prosedur tertulis yang dimiliki Pedagang diwajibkan untuk mempertimbangkan faktor sistem elektronik yang berpotensi disalahgunakan oleh pelaku TPPU, TPPT, dan/atau PPSPM, misalnya membuka akun melalui internet, atau perintah transfer dana melalui faksimili atau telepon, dan transaksi elektronik lainnya.
5. Pedagang harus memiliki sistem informasi manajemen yang memungkinkan untuk menelusuri setiap transaksi (individual transaction) dan menanggapi secara penuh, cepat dan tepat permintaan informasi, data dan dokumen baik untuk keperluan internal dan/atau Otoritas Jasa Keuangan, maupun dalam kaitannya dengan upaya penegakan hukum dan kepentingan peradilan.
6. Pedagang harus memelihara pangkalan data (database) PEP, DTTOT, dan DPPSPM.
7. Untuk memudahkan pemantauan dalam rangka menganalisis transaksi keuangan yang mencurigakan, Pedagang harus memiliki dan memelihara profil Nasabah secara terpadu (single customer identification file).
8. Informasi yang terdapat dalam profil Nasabah secara terpadu (single customer identification file) mencakup seluruh Aset Keuangan Digital, Aset Kripto, produk dan/atau layanan lainnya yang disediakan oleh Pedagang yang dimiliki oleh Nasabah.
9. Untuk memastikan sistem informasi manajemen tetap berjalan dengan baik dan efektif, Pedagang harus melakukan mitigasi risiko antara lain terhadap:
a. keamanan data dari serangan siber (cyberattacks) dan penggunaan identitas digital, yang dapat dilakukan dengan:
1) melakukan identifikasi dan penilaian risiko terkait Sistem Elektronik;
2) menggunakan Sistem Elektronik yang sudah tersertifikasi sesuai dengan peraturan perundang-undangan;
3) memiliki Sistem Elektronik yang saling terhubung dan saling mendukung;
4) menggunakan perangkat lunak (software) yang legal;
5) memiliki kebijakan dan prosedur internal terkait Sistem Elektronik termasuk penggunaan security tools seperti teknologi enkripsi, anti-virus dan firewall termasuk pembaruannya dengan merujuk ketentuan yang dikeluarkan oleh kementerian atau lembaga yang menyelenggarakan urusan pemerintahan di bidang siber dan sandi negara;
6) meningkatkan kesadaran sumber daya manusia di lingkungannya untuk memberikan pelindungan data pribadi dan pencegahan serangan siber (cyberattack) dalam Sistem Elektronik yang dikelolanya;
7) mengadakan pelatihan pencegahan kegagalan pelindungan data pribadi dalam Sistem Elektronik yang dikelolanya;
8) melakukan audit atas Sistem Elektronik (IT audit) secara berkala dan/atau dalam hal diperlukan sesuai dengan kebutuhan Pedagang yang dimaksudkan untuk memastikan keandalan Sistem Elektronik yang digunakan dan untuk memastikan agar Sistem Elektronik tidak digunakan/dimanfaatkan oleh pelaku TPPU, TPPT, dan PPSPM; dan/atau
9) melakukan edukasi kepada Nasabah terkait keamanan data pribadi dan pencegahan serangan siber (cyberattack).
b. pelindungan data pribadi, yang dapat dilakukan sebagai berikut:
1) data pribadi yang disimpan telah diverifikasi kebenarannya;
2) data pribadi disimpan dalam bentuk data terenkripsi;
3) penyimpanan data pribadi dilakukan sesuai dengan peraturan perundang-undangan yang mengatur mengenai jangka waktu penyimpanan data pribadi; dan
4) penggunaan akses data pribadi oleh Pedagang melalui perangkat keras milik Nasabah (contohnya smartphone) dibatasi sesuai ketentuan peraturan perundang-undangan.
c. Apabila pemilik data pribadi tidak lagi menjadi Nasabah, Pedagang harus menyimpan data pribadi tersebut sesuai batas waktu sebagaimana dimaksud pada huruf b angka 3) terhitung sejak tanggal terakhir pemilik data pribadi menjadi Nasabah.
d. pusat data (data center) dan pusat pemulihan bencana (disaster recovery center) yang digunakan oleh Pedagang dijalankan sesuai dengan peraturan perundang-undangan.
teks hasil ekstraksi; rujuk naskah resmi
Sitasi: Romawi VI SEOJK 16/SEOJK.07/2025
Status regulasi
Berlaku Status diverifikasi advokat SPP
Dasar: Romawi XI SEOJK 16/SEOJK.07/2025 (mulai berlaku 3 Juli 2025); JDIH OJK: Berlaku Sejak Tanggal 03-07-2025
Sumber: ketentuan penutup dan JDIH. Tanggal cek: 14 Oktober 2026.