BCMS dan ISO 22301: Cara Bisnis Tak Pernah Berhenti

Apa Itu Business Continuity Management System (BCMS)?

Dalam dunia bisnis modern, ancaman terhadap kelangsungan operasional bukan lagi pertanyaan “apakah akan terjadi”, melainkan “kapan akan terjadi” — dan seberapa siap organisasi menghadapinya.

Berdasarkan ISO 22301:2019 (versi terkini yang menggantikan ISO 22301:2012), Business Continuity Management System (BCMS) didefinisikan sebagai:

Proses manajemen holistik yang mengidentifikasi potensi ancaman terhadap organisasi beserta dampaknya terhadap operasional bisnis, dan menyediakan kerangka kerja untuk membangun ketahanan organisasi dengan kemampuan respons efektif yang menjaga kepentingan pemangku kepentingan, reputasi, merek, dan aktivitas penciptaan nilai.

Secara praktis, BCMS adalah sistem yang memastikan organisasi dapat tetap beroperasi — atau pulih dengan cepat — ketika terjadi gangguan, baik itu bencana alam, kegagalan sistem IT, pandemi, kebakaran, gangguan rantai pasok, atau bahkan serangan siber.

Apa yang Dimaksud dengan Pendekatan Holistik dalam BCMS?

BCMS disebut holistik karena tidak hanya mencakup pemulihan teknis (seperti backup server), tetapi menyentuh seluruh dimensi organisasi:

• Sumber daya manusia — siapa yang mengambil alih jika pejabat kunci tidak bisa bertugas?
• Teknologi informasi — bagaimana sistem dipulihkan dan seberapa cepat?
• Operasional — proses bisnis mana yang harus berjalan pertama?
• Komunikasi — bagaimana organisasi berkomunikasi dengan pelanggan, regulator, dan media?
• Keuangan — bagaimana cash flow dijaga selama krisis?

 

Perbedaan ISO 22301:2012 vs 2019: Apa yang Berubah?

Standar yang digunakan dalam artikel lama (ISO 22301:2012) telah direvisi. Berikut perubahan utamanya:

Aspek	ISO 22301:2012	ISO 22301:2019
Struktur	Standar awal	Adopsi High-Level Structure (HLS/Annex SL) — selaras dengan ISO 9001, ISO 14001, ISO 27001
Integrasi	Berdiri sendiri	Lebih mudah diintegrasikan dengan standar ISO lainnya
Pendekatan Risiko	Berbasis prosedur	Berbasis risiko (risk-based thinking) yang lebih kuat
Terminologi	MTPD (Maximum Tolerable Period of Disruption)	Disederhanakan menjadi disruption
Fleksibilitas	Cukup preskriptif	Lebih fleksibel — organisasi dapat menyesuaikan pendekatan dengan konteks
Klausul 8	Tersebar	Diperkuat dan dipusatkan pada Klausul 8 (Operasi)
Status	Tidak berlaku lagi (dicabut)	Standar aktif yang berlaku

Bagi organisasi yang masih mengacu pada ISO 22301:2012, migrasi ke versi 2019 sudah seharusnya dilakukan. Indonesia sendiri telah mengadopsi standar ini sebagai SNI ISO 22301:2019.

 

6 Komponen Utama dalam BCMS yang Wajib Diketahui

BCMS adalah sistem yang terdiri dari beberapa elemen saling terkait:

1. Business Impact Analysis (BIA)

Fondasi seluruh BCMS. BIA mengidentifikasi proses bisnis mana yang paling kritikal dan apa dampaknya jika proses tersebut terganggu (lihat bagian BIA secara detail di bawah).

2. Risk Assessment (Penilaian Risiko)

Mengidentifikasi ancaman yang dapat menyebabkan gangguan (bencana alam, kegagalan IT, pandemi, dll.), menilai kemungkinan dan dampaknya, lalu memprioritaskan mitigasi.

3. Business Continuity Plan (BCP)

Dokumen yang menjabarkan langkah-langkah spesifik yang harus diambil untuk mempertahankan atau memulihkan proses bisnis kritikal saat gangguan terjadi. BCP adalah output utama dari proses BCMS.

4. Disaster Recovery Plan (DRP)

Sub-komponen BCP yang fokus pada pemulihan infrastruktur teknologi informasi — server, jaringan, aplikasi, database. DRP biasanya menjadi tanggung jawab tim IT.

5. Crisis Management Plan

Rencana respons awal saat insiden terjadi — termasuk aktivasi crisis team, pengambilan keputusan darurat, dan koordinasi antar departemen.

6. Crisis Communication Plan

Strategi komunikasi selama krisis — pesan apa yang disampaikan kepada siapa (karyawan, pelanggan, regulator, media), melalui saluran apa, dan dalam waktu berapa lama.

7. Program Pelatihan, Latihan, dan Uji Coba

BCMS yang tidak pernah dilatih dan diuji adalah BCMS yang tidak akan berfungsi saat dibutuhkan. Latihan rutin (tabletop exercise, simulation exercise, full-scale drill) adalah kewajiban.

 

Business Impact Analysis (BIA): Jantung dan Fondasi BCMS

BIA adalah langkah pertama dan paling fundamental dalam implementasi BCMS. Tanpa BIA yang solid, seluruh BCP yang dibangun di atasnya akan rapuh.

Tujuan BIA

1. Mengidentifikasi proses bisnis kritikal — mana yang harus dipulihkan terlebih dahulu
2. Mengukur dampak gangguan — baik finansial maupun non-finansial
3. Menentukan parameter waktu pemulihan — seberapa cepat sebuah proses harus pulih

Tiga Parameter Kunci BIA

MAO / MTPD (Maximum Acceptable Outage / Maximum Tolerable Period of Disruption)

Batas waktu maksimum di mana proses bisnis boleh tidak beroperasi sebelum dampaknya menjadi tidak tertolerir (ancaman eksistensi bisnis, pelanggaran regulasi fatal, dll.).

Contoh: Sistem pembayaran sebuah bank syariah memiliki MAO 4 jam. Jika lebih dari 4 jam tidak beroperasi, nasabah panik, reputasi hancur, dan bank bisa kena sanksi OJK.

RTO (Recovery Time Objective)

Target waktu pemulihan — seberapa cepat sebuah proses harus kembali beroperasi (setidaknya pada kapasitas minimum) setelah gangguan. RTO harus selalu lebih kecil dari MAO.

Contoh: RTO untuk sistem core banking ditetapkan 2 jam. Artinya, tim IT harus mampu memulihkan sistem dalam 2 jam — jauh sebelum batas MAO 4 jam terlampaui.

RPO (Recovery Point Objective)

Batas waktu data yang boleh hilang — seberapa jauh ke belakang data boleh hilang saat pemulihan dilakukan. RPO menentukan frekuensi backup yang diperlukan.

Contoh: RPO 1 jam berarti perusahaan membutuhkan backup data setiap 1 jam. Jika sistem crash pukul 14.00, data yang dipulihkan adalah data pukul 13.00 — maksimal 1 jam data yang hilang.

Ilustrasi Hubungan MAO, RTO, dan RPO

Contoh BIA untuk Bank Umum

Proses Bisnis	MAO	RTO	RPO	Prioritas
Core Banking System	4 jam	2 jam	15 menit	Kritis
Internet Banking / Mobile	6 jam	3 jam	30 menit	Kritis
ATM Network	4 jam	2 jam	1 jam	Kritis
Sistem Pelaporan OJK	24 jam	12 jam	1 jam	Tinggi
Treasury / Dealing Room	2 jam	1 jam	Real-time	Kritis
HR & Penggajian	72 jam	24 jam	24 jam	Menengah
Email Internal	24 jam	12 jam	4 jam	Menengah

Glosarium Penting: Perbedaan BCMS, BCP, DRP, dan Istilah Lainnya

Banyak praktisi kebingungan antara beberapa istilah yang saling berkaitan. Berikut perbedaan yang perlu dipahami:

Istilah	Definisi	Cakupan
BCMS	Business Continuity Management System — sistem manajemen menyeluruh	Seluruh organisasi
BCM	Business Continuity Management — proses manajemennya	Seluruh organisasi
BCP	Business Continuity Plan — dokumen rencana spesifik	Per proses/unit bisnis
DRP	Disaster Recovery Plan — pemulihan infrastruktur IT	Divisi IT
ERP	Emergency Response Plan — respons darurat saat insiden awal	Tim respons darurat
Crisis Mgt Plan	Rencana manajemen krisis strategis	Tim eksekutif/manajemen

Analogi sederhananya: BCMS adalah rumah sakit (sistem keseluruhan), BCP adalah prosedur operasi standar (dokumen spesifik), dan DRP adalah unit ICU (pemulihan kritis).

 

Regulasi dan Kewajiban BCMS untuk Perusahaan di Indonesia

Di Indonesia, BCMS bukan sekadar best practice — ia memiliki landasan regulasi yang mengikat, khususnya di sektor keuangan:

Sektor Perbankan

• POJK No. 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum — mewajibkan bank memiliki Business Continuity Plan (BCP) untuk memastikan kelangsungan operasional dalam situasi darurat atau bencana.
• SEOJK No. 21/SEOJK.03/2017 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum — memberikan panduan implementasi, termasuk kewajiban disaster recovery dan pengujian BCP secara berkala.
• Peraturan BI No. 11/23/PBI/2009 tentang Pengelolaan Risiko Teknologi Informasi — mewajibkan lembaga keuangan mengembangkan rencana pemulihan bencana dan kebijakan BCM.

Standar Nasional

• SNI ISO 22301:2019 — Indonesia telah mengadopsi standar internasional ini sebagai Standar Nasional Indonesia (SNI), memberikan landasan bagi organisasi yang ingin mendapatkan sertifikasi formal.

Implikasi Ketidakpatuhan

Bank atau lembaga keuangan yang tidak memiliki BCP yang memadai dapat dikenakan sanksi oleh OJK, termasuk teguran tertulis, pembatasan kegiatan usaha, hingga denda administratif.

 

Studi Kasus Nyata: Mengapa BCMS Sangat Penting bagi Kelangsungan Bisnis

Studi Kasus 1: Pandemi COVID-19 (2020) — Ujian BCMS Terbesar Abad Ini

Konteks: Pandemi COVID-19 yang meledak pada awal 2020 adalah “stress test” BCMS terbesar yang pernah terjadi secara global dan nasional. Dalam hitungan minggu, perusahaan-perusahaan dipaksa untuk menutup kantor, menghentikan aktivitas fisik, dan mengalihkan seluruh operasional ke mode jarak jauh.

Perusahaan DENGAN BCMS yang Matang: Riset yang dipublikasikan dalam PREPOTIF: Jurnal Kesehatan Masyarakat (2022) menemukan bahwa perusahaan yang sebelumnya telah mengimplementasikan BCMS memiliki kemampuan untuk:

• Mempertahankan kelangsungan bisnis — operasional tetap berjalan meskipun dalam kondisi disruptif
• Mempercepat pemulihan — dapat kembali ke kondisi normal dalam waktu lebih singkat
• Memitigasi gangguan — dampak terhadap produktivitas dan pendapatan lebih terkendali

Perusahaan TANPA BCMS: Sebaliknya, perusahaan yang tidak memiliki BCMS mengalami masalah berat: masalah tenaga kerja yang tidak terstruktur, kerugian ekonomi yang lebih dalam, dan kehilangan pelanggan akibat ketidakmampuan melayani.

Kasus Konkret — Perbankan Indonesia: Bank-bank besar Indonesia (BCA, Mandiri, BRI, BNI) yang telah memiliki BCP dan infrastruktur work-from-home yang teruji, berhasil mengaktifkan mode darurat dalam waktu 72 jam sejak pemerintah mengumumkan kebijakan PSBB. Sistem core banking, mobile banking, dan layanan ATM tetap berjalan tanpa gangguan signifikan — karena skenario “gangguan akibat force majeure” sudah ada dalam BCP mereka.

Pelajaran Kunci: Pandemi membuktikan bahwa BCMS bukan dokumen birokrasi. Ia adalah lifeline organisasi dalam krisis.

Studi Kasus 2: PT Brantas Abipraya — BCM di Perusahaan Konstruksi BUMN

Latar Belakang: PT Brantas Abipraya adalah BUMN di bidang konstruksi yang memiliki portofolio proyek infrastruktur besar di seluruh Indonesia. Perusahaan ini menerapkan Business Continuity Management (BCM) sebagai bagian dari sistem manajemen risikonya.

Tantangan Selama Pandemi: Sektor konstruksi menghadapi tantangan unik selama pandemi: proyek tidak bisa dihentikan begitu saja karena konsekuensi kontraktual dan finansialnya sangat besar, namun aktivitas di lapangan menempatkan ribuan pekerja pada risiko penularan.

Respons BCM:

• Brantas Abipraya mengaktifkan protokol BCM yang mencakup: split team operasional, protokol kesehatan ketat di area proyek, supply chain material yang dijaga melalui vendor alternatif, dan mekanisme komunikasi krisis dengan klien dan pemerintah.
• Fungsi back-office dan manajerial dialihkan ke mode work-from-home sepenuhnya, dengan akses VPN dan sistem kolaborasi yang sudah disiapkan dalam BCP.

Temuan: Penelitian dari Distribusi – Journal of Management and Business (2021) menunjukkan bahwa Brantas Abipraya berhasil menjaga proses bisnis intinya tetap berjalan. Tantangan yang teridentifikasi adalah pelanggaran SOP COVID-19 di lapangan yang masih terjadi — menunjukkan bahwa implementasi di tingkat frontline masih perlu diperkuat.

Pelajaran Kunci: BCM di perusahaan konstruksi harus menjangkau level lapangan, tidak cukup hanya di level manajerial.

Studi Kasus 3: Bencana Gempa Palu-Donggala (2018) — Ketika BCP Jadi Penentu Kelangsungan Usaha

Konteks: Gempa bumi dan tsunami Palu-Donggala pada September 2018 dengan kekuatan 7,4 SR menghancurkan infrastruktur kota secara masif. Perusahaan-perusahaan yang beroperasi di wilayah tersebut menghadapi kerusakan fisik, gangguan rantai pasok, dan kehilangan personel.

Perusahaan dengan BCP: Beberapa perusahaan perbankan dan telekomunikasi yang memiliki BCP dengan skenario bencana alam mampu mengaktifkan backup site atau mobile banking unit dalam beberapa hari setelah bencana — memastikan layanan keuangan dan komunikasi tidak berhenti total di tengah upaya pemulihan.

Perusahaan tanpa BCP: Banyak usaha kecil-menengah di Palu yang tidak memiliki rencana kelangsungan usaha terpaksa berhenti beroperasi permanen, bahkan yang tidak mengalami kerusakan fisik langsung — karena tidak punya rencana bagaimana menjalankan operasional saat kantor, supplier, atau karyawan tidak bisa diakses.

Pelajaran Kunci: BCP yang baik harus mencakup skenario bencana fisik dengan mempertimbangkan kondisi geografis dan kerentanan lokasi. Untuk Indonesia sebagai negara rawan bencana, ini bukan opsional.

Studi Kasus 4: Serangan Siber — Ancaman BCMS Era Digital

Konteks Global: Pada Mei 2021, serangan ransomware Colonial Pipeline di Amerika Serikat memaksa perusahaan pipa bahan bakar terbesar AS menghentikan operasionalnya selama 6 hari — menyebabkan kelangkaan bahan bakar di seluruh pantai timur AS dan kerugian ratusan juta dolar. Mereka terpaksa membayar tebusan USD 4,4 juta kepada para peretas.

Relevansi untuk Indonesia: Indonesia adalah salah satu negara dengan tingkat serangan siber tertinggi di Asia Tenggara. Beberapa insiden besar yang pernah terjadi: kebocoran data BPJS Kesehatan (2021), serangan terhadap infrastruktur digital pemerintah, dan berbagai insiden di sektor perbankan.

Implikasi BCMS: BCMS yang modern tidak lagi bisa mengabaikan skenario cyber attack sebagai ancaman utama. BCP harus mencakup:

• Prosedur isolasi sistem saat serangan terdeteksi (containment)
• Jalur komunikasi alternatif yang tidak bergantung pada sistem yang terkompromi
• Prosedur pemulihan data dari backup yang aman dan terpisah
• Koordinasi dengan BSSN (Badan Siber dan Sandi Negara) dan regulator

Pelajaran Kunci: Ancaman BCMS di era digital bukan hanya bencana fisik — serangan siber kini masuk dalam kategori risiko dengan probabilitas tertinggi dan dampak terbesar.

 

Roadmap Implementasi BCMS Berbasis ISO 22301:2019

Berikut roadmap implementasi BCMS berbasis ISO 22301:2019 yang dapat diadaptasi:

Fase 1: Inisiasi dan Komitmen Manajemen (Bulan 1-2)

• Dapatkan komitmen formal manajemen puncak (tanpa ini, BCMS akan gagal)
• Tetapkan kebijakan BCM
• Bentuk tim BCM dan tunjuk BCM Officer/Manager
• Tentukan ruang lingkup (scope) BCMS

Fase 2: Pemahaman Organisasi dan Penilaian Risiko (Bulan 2-3)

• Analisis konteks internal dan eksternal organisasi
• Identifikasi pemangku kepentingan dan persyaratan mereka
• Lakukan penilaian risiko (risk assessment) terhadap ancaman yang relevan

Fase 3: Business Impact Analysis (Bulan 3-4)

• Identifikasi seluruh proses bisnis
• Tentukan proses bisnis kritikal
• Tentukan MAO, RTO, dan RPO untuk setiap proses kritikal
• Identifikasi sumber daya yang dibutuhkan untuk pemulihan

Fase 4: Pengembangan Strategi (Bulan 4-5)

• Rumuskan strategi kelangsungan usaha (lokasi alternatif, vendor alternatif, dll.)
• Tentukan kebutuhan backup IT dan komunikasi
• Kembangkan strategi pengelolaan krisis

Fase 5: Penyusunan Dokumen (Bulan 5-7)

• Susun Business Continuity Plan (BCP) per unit/proses
• Susun Disaster Recovery Plan (DRP)
• Susun Crisis Communication Plan
• Dokumentasikan prosedur dan instruksi kerja

Fase 6: Pelatihan dan Latihan (Bulan 7-9)

• Latih seluruh personel kunci tentang peran mereka dalam BCP
• Jalankan tabletop exercise (simulasi meja)
• Jalankan simulation exercise yang lebih realistis
• Dokumentasikan hasil dan temuan

Fase 7: Uji Coba, Audit, dan Peningkatan (Bulan 9-12)

• Lakukan uji BCP (BCP testing)
• Lakukan audit internal BCMS
• Evaluasi hasil dan lakukan tindakan perbaikan
• Siapkan untuk audit eksternal/sertifikasi (jika diinginkan)

 

7 Kesalahan Fatal dalam Implementasi BCMS yang Harus Dihindari

Banyak organisasi gagal bukan karena tidak memiliki dokumen BCP, tetapi karena jatuh ke dalam jebakan berikut:

1. BCP yang “disimpan di laci” — Dokumen BCP dibuat, tapi tidak pernah disosialisasikan, dilatih, atau diuji. Saat krisis terjadi, tidak ada yang tahu dokumen itu ada.
2. Tidak ada keterlibatan manajemen puncak — BCMS diperlakukan sebagai proyek divisi IT atau risk management, bukan sebagai prioritas seluruh organisasi.
3. BIA yang tidak akurat — RTO dan RPO ditetapkan berdasarkan asumsi, bukan berdasarkan analisis dampak bisnis yang sesungguhnya. Akibatnya, target pemulihan tidak realistis.
4. Mengabaikan ketergantungan pihak ketiga — Banyak perusahaan lupa bahwa vendor, supplier, atau mitra bisnis mereka juga bisa terdampak gangguan. BCP yang baik mencakup skenario di mana supplier utama tidak bisa beroperasi.
5. BCP yang tidak diperbarui — BCMS bersifat dinamis. Setiap perubahan signifikan organisasi (ekspansi, perubahan sistem IT, merger, produk baru) harus diikuti pembaruan BCP. BCP yang berumur 3 tahun tanpa update sudah tidak relevan.
6. Latihan yang tidak realistis — Latihan yang terlalu “mudah” atau “dikondisikan untuk berhasil” tidak akan mengungkap kelemahan nyata dalam BCP.
7. Scope yang terlalu sempit — Hanya fokus pada pemulihan IT, sementara aspek SDM, komunikasi, dan operasional fisik diabaikan. 

 

Kesimpulan

BCMS bukan proyek sekali jalan, bukan pula sekadar kewajiban regulatori yang dicentang lalu dilupakan. Ia adalah investasi ketahanan organisasi — asuransi operasional yang nilainya baru terasa saat krisis datang.

Pengalaman dari pandemi COVID-19, bencana alam Palu, hingga serangan siber global membuktikan satu hal yang sama: organisasi yang bertahan adalah organisasi yang bersiap. Sementara yang tidak bersiap berjuang untuk pulih — atau tidak pernah pulih sama sekali.

Dengan ISO 22301:2019 sebagai panduan internasional dan regulasi OJK sebagai kewajiban lokal, tidak ada alasan bagi organisasi di Indonesia — khususnya di sektor keuangan — untuk menunda pembangunan BCMS yang solid.

Ingin membangun atau memperkuat BCMS di organisasi Anda? FS Institute menyediakan pelatihan Business Continuity Management System yang komprehensif, mencakup Business Impact Analysis, penyusunan BCP, hingga simulasi krisis. Hubungi kami untuk informasi program.

FAQ: Tanya Jawab Seputar Implementasi BCMS

Q1: Apa perbedaan antara BCMS, BCP, dan DRP?

A: Ketiganya berkaitan tapi berbeda level. BCMS adalah sistem manajemen menyeluruh — kerangka kerja organisasi untuk mengelola kelangsungan usaha secara berkelanjutan. BCP (Business Continuity Plan) adalah dokumen spesifik yang berisi prosedur pemulihan proses bisnis kritikal — ini adalah output utama dari BCMS. DRP (Disaster Recovery Plan) adalah subset dari BCP yang fokus pada pemulihan infrastruktur IT. Analoginya: BCMS adalah sistem keselamatan gedung secara keseluruhan, BCP adalah prosedur evakuasi, DRP adalah prosedur pemadaman kebakaran di ruang server.

Q2: Apakah BCMS hanya relevan untuk perusahaan besar?

A: Tidak. Justru perusahaan kecil dan menengah lebih rentan terhadap dampak gangguan karena keterbatasan cadangan finansial dan sumber daya. Sebuah UMKM yang kehilangan akses ke sistemnya selama seminggu bisa lebih merusak dibanding kerugian serupa di korporasi besar yang punya cadangan lebih tebal. BCMS tidak harus rumit — bahkan dokumen BCP sederhana beberapa halaman yang dilatih dan diuji jauh lebih baik daripada tidak ada sama sekali.

Q3: Seberapa sering BCP harus diuji dan diperbarui?

A: Standar minimum yang direkomendasikan ISO 22301:2019 adalah setidaknya satu kali per tahun untuk pengujian formal. Namun untuk proses bisnis yang sangat kritikal (seperti core banking), uji coba semi-tahunan atau bahkan kuartalan lebih ideal. Pembaruan BCP harus dilakukan setiap kali ada perubahan signifikan: pergantian sistem IT, perubahan struktur organisasi, pembukaan kantor baru, perubahan vendor utama, atau setelah terjadi insiden nyata.

Q4: Apa itu “tabletop exercise” dan mengapa penting?

A: Tabletop exercise adalah simulasi berbasis diskusi di mana para pemimpin dan personel kunci berkumpul di ruang rapat untuk “memainkan” skenario krisis secara verbal — tanpa benar-benar mengaktifkan sistem atau memindahkan operasional. Tujuannya adalah menguji pemahaman tim tentang peran mereka, mengidentifikasi gap dalam BCP, dan meningkatkan koordinasi antar departemen. Ini adalah latihan BCMS yang paling cost-effective dan bisa dilakukan 2-4 kali per tahun. Hasilnya selalu mengungkap asumsi yang salah dalam dokumen BCP.

Q5: Berapa lama dan berapa biaya untuk mendapatkan sertifikasi ISO 22301?

A: Untuk mendapatkan sertifikasi ISO 22301:2019, rata-rata organisasi membutuhkan 9 hingga 18 bulan — tergantung ukuran organisasi, kompleksitas operasional, dan kematangan sistem yang sudah ada. Biaya bervariasi signifikan: mulai dari konsultasi, pelatihan staf, pengembangan dokumen, hingga biaya audit oleh Lembaga Sertifikasi (seperti SGS, Bureau Veritas, TÜV, atau BSI). Secara kasar, untuk perusahaan menengah di Indonesia, anggaran total bisa berkisar antara Rp 150 juta hingga Rp 500 juta. Namun perlu diingat bahwa sertifikasi adalah opsional — memiliki BCMS yang berfungsi baik tanpa sertifikasi tetap jauh lebih baik daripada tidak punya BCMS sama sekali.

Q6: Bagaimana BCMS berkaitan dengan manajemen risiko (ISO 31000)?

A: Keduanya saling melengkapi dan berkaitan erat. ISO 31000 adalah kerangka manajemen risiko yang bersifat umum — ia membantu organisasi mengidentifikasi, menilai, dan merespons risiko secara sistematis. ISO 22301 adalah standar yang lebih spesifik — ia fokus pada skenario terburuk di mana risiko telah terwujud menjadi gangguan nyata, dan mengatur bagaimana organisasi merespons dan pulih. Dalam praktiknya, risk assessment dari ISO 31000 menjadi salah satu input utama dalam penyusunan BCP berbasis ISO 22301.

Q7: Apakah BCMS wajib bagi semua bank di Indonesia?

A: Secara eksplisit, POJK No. 38/POJK.03/2016 mewajibkan bank umum untuk memiliki strategi mitigasi risiko termasuk Business Continuity Plan (BCP). Pengujian BCP secara berkala juga merupakan kewajiban regulatori. OJK dapat melakukan pemeriksaan khusus terhadap kesiapan BCP sebuah bank, dan kekurangan dalam aspek ini dapat berujung pada sanksi. Jadi, meski kata “BCMS” atau “ISO 22301” mungkin tidak selalu disebut secara eksplisit dalam regulasi, substansi kewajibannya — memiliki rencana kelangsungan usaha yang teruji — jelas ada.

Q8: Bagaimana BCMS menghadapi ancaman yang belum pernah terjadi sebelumnya (unknown threats)?

A: Ini adalah pertanyaan paling krusial. ISO 22301:2019 mengatasi ini melalui pendekatan “All-Hazards” — alih-alih menyiapkan rencana spesifik untuk setiap jenis ancaman (yang tidak mungkin mengantisipasi semua skenario), BCMS yang baik berfokus pada kapabilitas respons yang generik dan adaptif: kemampuan komunikasi darurat, kemampuan operasi dari lokasi alternatif, kemampuan keputusan cepat di bawah tekanan, dan kemampuan memulihkan data. Kapabilitas inilah yang memungkinkan organisasi merespons ancaman baru yang belum pernah diantisipasi sebelumnya — seperti yang terbukti saat pandemi COVID-19 melanda di luar ekspektasi siapapun.

Referensi:

• ISO 22301:2019 — Security and Resilience: Business Continuity Management Systems — Requirements
• SNI ISO 22301:2019 (Badan Standardisasi Nasional Indonesia)
• POJK No. 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum
• SEOJK No. 21/SEOJK.03/2017
• Sukwika, T., & Sasongko, W. H. (2021). Penerapan Business Continuity Management pada Masa Pandemi COVID-19 di PT Brantas Abipraya. Distribusi – Journal of Management and Business, 9(2)
• PREPOTIF Jurnal Kesehatan Masyarakat. (2022). Penerapan BCMS di Perusahaan Industri Selama Pandemi COVID-19: Kajian Literatur.
• BCM Institute Blog. (2020). ISO 22301:2019 Update: Minor and Moderate Changes from 2012 to 2019.
• Jurnal Akademi Akuntansi UMM. (2023). Faktor dan Rencana Aksi Implementasi BCMS pada Sektor Publik: Studi Kasus BPKP.