Pernahkah membayangkan betapa ribetnya ketika satu kesalahan kecil di internal perusahaan finansial bisa berujung pada malapetaka skala nasional? Nah, kini para raksasa di sektor keuangan Inggris baru saja digemparkan oleh pengumuman dari Financial Conduct Authority (FCA) dan Prudential Regulation Authority (PRA) yang memperkenalkan serangkaian aturan pelaporan insiden operasional dan pihak ketiga yang lebih ketat. Dengar-dengar, ini bukan sekadar ganti sampul buku; ini adalah revolusi pelaporan yang siap mengubah cara kerja para konglomerat finansial, dimulai dari 18 Maret 2027. Siap-siap saja, karena deadline yang mepet dan detail yang harus diperhatikan akan membuat tim legal, kepatuhan, pengadaan, hingga operasional mereka lembur sampai sahur.
Regulasi Baru: Dosa Operasional, Dihitung Sampai Keringat Dingin
Para petinggi di FCA dan PRA baru saja merilis serangkaian dokumen kebijakan (Policy Statement PS26/2, PS7/26) dan panduan (FG26/3, FG26/4, SS1/26, SS2/21) yang menggarisbawahi tatanan pelaporan baru di Inggris Raya. Inti dari pembaruan ini adalah single UK framework yang didesain untuk memberikan gambaran yang lebih jernih kepada regulator mengenai gejolak operasional dan ketergantungan pada pihak ketiga. Tujuannya jelas: supervisi yang lebih cerdas, berbasis data, dan tentu saja, meminimalkan risiko kehancuran sistemik yang bisa disebabkan oleh kelalaian operasional. Bayangkan saja, insiden yang dulunya mungkin hanya jadi catatan kaki rapat mingguan, kini bisa jadi berita utama di media finansial kalau tidak dilaporkan dengan benar dan tepat waktu.
Aturan baru ini bukan hanya soal menekan tombol ‘kirim’ pada laporan. Ini tentang mengidentifikasi secara kilat ketika sebuah insiden benar-benar “terasa” seperti melanggar ambang batas yang ditetapkan FCA dan PRA. Konsistensi dalam menerapkan ambang batas tersebut dan mengonfigurasi proses eskalasi menjadi krusial. Keterlambatan sepersekian detik saja bisa berakibat fatal. Terlebih lagi, aturan pelaporan pihak ketiga akan memaksa adanya kolaborasi antar departemen yang biasanya berjalan sendiri-sendiri, mulai dari legal, kepatuhan, pengadaan, hingga tim yang mengurusi ketahanan operasional dan siber. Momen ini adalah ujian nyata bagi sinergi perusahaan.
Meskipun tanggal efektifnya masih terbilang jauh, yaitu 18 Maret 2027, para pelaku industri finansial disarankan untuk tidak menunda persiapan. Periode implementasi 12 bulan terasa singkat ketika melihat cakupan perubahan yang diminta. Langkah awal yang harus diambil adalah konfirmasi cakupan. Apakah perusahaan termasuk dalam kategori pelaporan standar yang mencakup sebagian besar firma yang terotorisasi FCA, atau masuk dalam kategori pelaporan insiden yang lebih ketat, seperti bank, firma Solvency II, dan firma yang masuk dalam Senior Managers & Certification Regime (SM&CR) yang diperluas? Kriteria SM&CR yang diperluas ini mencakup firma yang diregulasi solo oleh FCA dengan aset kelolaan minimal £50 miliar, dihitung rata-rata selama tiga tahun. Selain itu, perlu dipastikan juga apakah perusahaan masuk dalam cakupan persyaratan notifikasi dan registrasi pihak ketiga.
Operasional Incident Reporting: Ketika Server Mati, Laporan Harus Menyala
Inti dari pembaruan regulasi ini adalah terciptanya satu kerangka kerja pelaporan insiden operasional tunggal untuk FCA, PRA, dan Bank of England. Ini bukan sekadar penyederhanaan birokrasi; ini adalah upaya serius untuk menyatukan definisi insiden operasional, menciptakan satu templat pelaporan standar, dan menetapkan satu jalur pengiriman tunggal melalui FCA Connect. Bagi firma yang diatur oleh kedua otoritas (dual-regulated firms), ini berarti hanya perlu satu kali pengiriman laporan yang kemudian akan dibagikan ke semua regulator terkait. Harapannya, ini akan mengurangi duplikasi upaya dan meningkatkan konsistensi serta ketepatan waktu pelaporan. Kerangka kerja baru ini juga akan mengonsolidasikan persyaratan pelaporan yang sudah ada untuk penyedia layanan pembayaran (PSPs) dan lembaga pemeringkat kredit terdaftar. Sebuah langkah efisiensi yang patut diapresiasi, meski di balik layar akan ada banyak kerja keras.
Definisi insiden operasional kini diperluas, mencakup satu kejadian atau serangkaian kejadian terkait yang mengganggu operasi firma sedemikian rupa sehingga mengganggu pengiriman layanan kepada pengguna akhir eksternal, atau memengaruhi ketersediaan, integritas, otentisitas, atau kerahasiaan informasi atau data milik pengguna akhir tersebut. Frasa “pengguna akhir eksternal” ini sangat luas, bisa mencakup pelanggan ritel atau bisnis, entitas hukum lain, wali amanat, partisipan pasar, regulator pengawas, bahkan anggota grup perusahaan itu sendiri. Penting untuk dicatat, insiden ini tidak terbatas pada gangguan terhadap layanan bisnis yang penting saja. Sebuah insiden bisa saja hanya berdampak pada data pelanggan, namun jika kriteria pelaporan terpenuhi, maka kewajiban pelaporan tetap berlaku. Perlu digarisbawahi, insiden yang bersifat “near miss” atau gangguan yang direncanakan dan terkontrol dengan baik tidak termasuk dalam kategori ini. Namun, jika perubahan yang direncanakan atau intervensi teknis tidak berjalan sesuai rencana dan menimbulkan gangguan atau dampak data yang memenuhi ambang batas pelaporan, maka insiden tersebut menjadi wajib dilaporkan.
Ambang batas pelaporan dari PRA dan FCA memang cenderung selaras, namun tidak identik sepenuhnya. PRA mewajibkan pelaporan jika insiden berisiko terhadap stabilitas sistem keuangan Inggris (untuk O-SIIs dan firma Solvency II), keselamatan dan kesehatan firma, atau perlindungan pemegang polis (untuk perusahaan asuransi). Sementara itu, FCA mewajibkan pelaporan jika firma secara wajar meyakini bahwa insiden operasional berisiko menyebabkan kerugian yang tidak dapat ditoleransi kepada konsumen, keselamatan dan kesehatan firma atau partisipan pasar lain, atau stabilitas pasar, integritas pasar, atau kepercayaan pada sistem keuangan Inggris. Praktisnya, sebuah insiden bisa saja wajib dilaporkan ke satu regulator namun tidak ke yang lain. Ini memaksa firma yang diatur oleh kedua otoritas untuk melakukan penilaian independen terhadap ambang batas FCA dan PRA secara terpisah. Jika sebuah insiden memenuhi kedua set ambang batas tersebut, maka laporan ganda harus disiapkan. Panduan FG26/3 secara tegas menyatakan bahwa ini bukanlah sekadar “checklist”; reportabilitas tidak terbatas pada insiden yang memengaruhi layanan bisnis penting. Insiden kehilangan data atau perubahan terencana yang gagal tetap bisa menjadi objek pelaporan. Ini menunjukkan keseriusan regulator dalam memantau potensi ancaman dari berbagai sisi.
Rezim baru ini memperkenalkan model dua tingkat: Pelaporan Standar dan Pelaporan yang Ditingkatkan. Pelaporan standar berlaku untuk firma yang bukan merupakan firma pelaporan yang ditingkatkan. Firma ini hanya perlu menyerahkan satu laporan tunggal yang berisi informasi dasar mengenai insiden operasional. Mereka tidak diwajibkan untuk memberikan pembaruan, meskipun FCA dapat melakukan intervensi lebih lanjut tergantung kualitas informasi atau tingkat keparahan insiden. Sebaliknya, Pelaporan yang Ditingkatkan berlaku untuk “firma pelaporan yang ditingkatkan” – kategori yang mencakup firma SM&CR yang diperluas, bank, firma Solvency II, firma besar CASS, dan penyedia layanan pembayaran. Firma dalam kategori ini harus menyerahkan laporan yang lebih rinci dalam beberapa fase selama siklus hidup insiden operasional: fase awal, fase perantara, dan fase final. Ada tenggat waktu yang ketat: laporan awal harus diserahkan sesegera mungkin, biasanya dalam waktu 24 jam setelah ambang batas pelaporan dipenuhi. Firma yang ditingkatkan juga wajib memberikan pembaruan setelah setiap perubahan signifikan dan laporan final dalam waktu 30 hari kerja setelah insiden terselesaikan, atau selambat-lambatnya 60 hari kerja jika ada penundaan yang beralasan.
Khusus untuk penyedia layanan pembayaran (PSPs), ada persyaratan waktu yang lebih ketat. Mereka wajib memberi tahu FCA tanpa penundaan yang tidak semestinya mengenai insiden operasional atau keamanan utama. Kewajiban ini sebelumnya didukung oleh Pedoman Otoritas Perbankan Eropa (EBA Guidelines) yang mensyaratkan PSPs untuk menyerahkan laporan awal dalam waktu empat jam setelah deteksi insiden pertama. Dengan kerangka kerja baru Inggris, Pedoman EBA akan dikesampingkan. PSPs akan mematuhi kewajiban Peraturan 99 mereka melalui rezim pelaporan insiden operasional baru ini, namun dengan mempertahankan tenggat waktu empat jam yang dipercepat untuk laporan awal. Ini mencerminkan sifat insiden yang sensitif terhadap waktu di sektor pembayaran dan potensi dampaknya yang cepat terhadap konsumen dan pasar. PSPs juga diklasifikasikan sebagai firma pelaporan yang ditingkatkan, sehingga harus mematuhi persyaratan pembaruan dan laporan final sesuai jadwal yang ditentukan.
Material Third-Party Reporting: Siapa ‘Ayam Sayur’ di Rantai Pasok Finansial?
Selain urusan insiden internal, regulator kini juga menyoroti hubungan firma finansial dengan pihak ketiga. Rezim baru ini memperkenalkan persyaratan pelaporan untuk perjanjian pihak ketiga yang material. Definisi “material” di sini sangat luas, mencakup semua pengaturan, baik outsourcing maupun non-outsourcing, di mana pihak ketiga menyediakan produk atau layanan kepada firma. Ini termasuk pengaturan intra-grup dan rantai subkontrak. Penilaian materialitas akan didasarkan pada risiko yang serupa dengan yang diangkat dalam pelaporan insiden operasional. Fokus regulator meningkat pada risiko konsentrasi pihak ketiga, ketergantungan rantai pasokan, dan kerentanan sistemik yang timbul dari penyedia umum. Panduan FG26/4 memberikan contoh praktis, seperti layanan cloud dan pusat data, layanan siber, dan layanan yang menopang layanan bisnis penting, sebagai perjanjian yang biasanya dianggap material. Sebaliknya, layanan konsultasi, hukum, utilitas, dan perlengkapan kantor umumnya tidak dianggap material.
Firma wajib memberi tahu regulator ketika mereka memasuki atau secara material mengubah perjanjian pihak ketiga yang material. Pemberitahuan ini harus dilakukan di awal proses pengambilan keputusan, sebelum komitmen internal atau eksternal finalisasi, melalui templat dan portal tunggal (FCA Connect), dan tanpa menunggu persetujuan regulator. Proses ini bersifat pengawasan, bukan persetujuan. Firma dapat melanjutkan setelah pengiriman pemberitahuan, namun FCA mengharapkan pemberitahuan yang cukup awal untuk memungkinkan intervensi yang dianggap sesuai. Untuk sebagian besar firma, perjanjian intra-grup tidak perlu dilaporkan jika layanan disediakan sepenuhnya di dalam grup dan tidak ada ketergantungan eksternal dalam rantai tersebut. Ini menunjukkan penekanan pada visibilitas dan pengelolaan risiko yang melekat pada ketergantungan eksternal, sekecil apapun itu.
Selain itu, firma yang masuk dalam cakupan wajib memelihara dan menyerahkan register tahunan perjanjian pihak ketiga yang material. Regulator berencana menggunakan data ini untuk mengidentifikasi ketergantungan pihak ketiga yang sistemik, memantau risiko konsentrasi, dan mempertimbangkan penunjukan pihak ketiga yang kritis. Ini adalah langkah proaktif untuk mencegah kejatuhan domino yang disebabkan oleh kegagalan satu penyedia layanan besar. Bayangkan, jika satu penyedia layanan cloud raksasa bangkrut, dampaknya bisa meruntuhkan ratusan, bahkan ribuan, firma finansial di Inggris secara bersamaan. Register ini menjadi peta jalan bagi regulator untuk memahami potensi titik kegagalan tersebut.
Integrasi dan Implikasi Praktis: Bukan Sekadar Laporan, Tapi Perubahan Budaya
Penting untuk dipahami bahwa rezim pelaporan baru ini bukanlah sebuah entitas terpisah. Ia duduk berdampingan dan melengkapi persyaratan ketahanan operasional yang sudah ada, termasuk identifikasi layanan bisnis penting (important business services – IBS) dan toleransi dampak. Laporan tidak terbatas pada IBS, insiden di luar kerangka IBS tetap bisa dilaporkan, dan pelaporan pihak ketiga melampaui outsourcing tradisional. Oleh karena itu, firma harus mempertimbangkan persyaratan baru ini sebagai bagian dari kerangka kerja ketahanan operasional yang terintegrasi, bukan sekadar latihan kepatuhan yang berdiri sendiri. Bagi firma yang memiliki afiliasi di Uni Eropa, perlu dipertimbangkan potensi tumpang tindih dengan persyaratan EU Digital and Operational Resilience Act (DORA) yang berlaku sejak Januari 2025. DORA mencakup persyaratan keamanan siber terkait sistem TIK firma, termasuk pelaporan insiden dan ketahanan operasional. Mempertimbangkan potensi tumpang tindih ini dapat menghemat sumber daya dalam analisis kesenjangan kepatuhan.
Implikasi praktis dari rezim ini jauh melampaui sekadar proses pelaporan itu sendiri. Perusahaan perlu memastikan tata kelola dan kepemilikan yang efektif atas pelaporan insiden dan risiko pihak ketiga. Kerangka kerja eskalasi yang kuat mutlak diperlukan untuk mengidentifikasi insiden yang dapat dilaporkan dengan cepat. Konsistensi dalam penerapan ambang batas di seluruh lini bisnis adalah kunci, begitu pula dengan peningkatan manajemen risiko pihak ketiga, termasuk visibilitas rantai pasokan. Koordinasi lintas fungsi antar departemen hukum, kepatuhan, IT, pengadaan, dan tim ketahanan menjadi sangat vital. Ini bukan sekadar perubahan prosedur, ini adalah pergeseran budaya menuju transparansi dan akuntabilitas yang lebih tinggi. Kegagalan dalam aspek ini sama berbahayanya dengan kegagalan sistem IT.
Rezim baru ini menandai langkah signifikan dalam agenda ketahanan operasional dan risiko pihak ketiga para regulator Inggris. Dengan tanggal implementasi 18 Maret 2027 dan periode transisi 12 bulan, firma harus memprioritaskan analisis kesenjangan, perencanaan implementasi, dan penanaman persyaratan ini ke dalam kerangka kerja ketahanan yang sudah ada. Lebih luas lagi, rezim ini menandakan fokus regulator yang berkelanjutan pada supervisi berbasis data, risiko sistemik, dan ketergantungan pihak ketiga – area yang kemungkinan besar akan tetap menjadi prioritas bagi regulator Inggris di tahun-tahun mendatang. Persyaratan ini duduk bersama dengan persyaratan ketahanan operasional yang sudah ada dan harus dipertimbangkan sebagai bagian dari kerangka kerja ketahanan yang lebih luas dan terintegrasi. Ini adalah era baru di mana ketidaksempurnaan operasional sekecil apapun bisa menjadi berita besar, dan kesiapan adalah kunci untuk bertahan hidup.
