Struktur Organisasi Satuan Kerja TI

8

1.2.3.2. Struktur Organisasi Satuan Kerja TI

Bank perlu memiliki struktur organisasi yang sesuai dengan kebutuhan penyelenggaraan dan penggunaan TI, dan sekurang-kurangnya memperhatikan hal- hal sebagai berikut: a. struktur organisasi secara spesifik menggambarkan garis kewenangan, pelaporan, tanggung jawab dan jika dibutuhkan, orang pengganti untuk setiap fungsi TI yang harus dimiliki; b. terdapat prinsip pemisahan tugas dan tanggung jawab segregation of duties untuk mencegah seseorang mendapat tanggung jawab atas fungsi-fungsi yang berbeda dan kritikal sedemikian rupa yang dapat menyebabkan kesalahan tidak mudah dideteksi. Misalnya adanya pemisahan pegawai yang bertanggung jawab melakukan administrasi pengamanan informasi security administrator dengan yang bertanggung jawab atas pengembangan dan yang melakukan kegiatan operasional TI; c. struktur organisasi yang tidak membuka peluang bagi siapapun secara independen untuk melakukan dan atau menyembunyikan kesalahan atau penyimpangan dalam pelaksanaan tugas serta dapat mematikan fasilitas sistem keamanan; d. untuk Bank berskala usaha yang relatif kecil atau kantor cabang di daerah terpencil, dimana tidak bisa menerapkan prinsip pemisahan tugas dan tanggung jawab yang memadai segregation of incompatible duties baik secara keseluruhan maupun sebagian, harus diganti dengan bentuk pengawasan lain atau compensating controls untuk pencegahan kesalahan penyelenggaraan TI. Dalam menentukan bentuk compensating controls yang akan diterapkan, Bank harus memperhatikan kepemilikan data, tanggung jawab otorisasi transaksi, dan hak akses ke data. Contoh compensating controls, antara lain audit trail, rekonsiliasi, exception reporting, transaction log, supervisory review, independent review. Sekalipun compensating control diterapkan, penyelenggaraan TI tetap harus berdasarkan prinsip kehati-hatian; e. penempatan personil mempertimbangkan kompetensi pengetahuan dan keahlian sumber daya manusia yang sesuai dengan posisi jabatantugas; f. pembagian tanggung jawab dan penetapan target dirumuskan dengan baik di antara fungsi pengelolaan risiko dan bidang-bidang fungsional penyelenggaraan TI.

1.2.3.3. Manajemen Risiko TI pada Satuan Kerja Pengguna