Pasal 84

Alih daya fungsi PPE kepada Pihak lain wajib memenuhi ketentuan: a. PPE dapat menunjuk Pihak lain untuk melakukan fungsi pemasaran dan perdagangan, fungsi pembukuan, fungsi Kustodian, dan/atau fungsi teknologi informasi, dengan ketentuan:

1. alih daya fungsi pemasaran dan perdagangan mengacu pada peraturan Otoritas Jasa Keuangan mengenai mitra pemasaran PPE;
2. alih daya fungsi Kustodian dilakukan kepada penyedia jasa yang merupakan PPE atau bank Kustodian;
3. alih daya fungsi teknologi informasi terjadi jika: a) operasional teknologi informasi dari PPE dilakukan oleh penyedia jasa; dan/atau b) PPE menggunakan penyedia jasa untuk membangun dan mengembangkan aplikasi dan/atau infrastruktur teknologi informasi

serta operasional teknologi informasi dilakukan oleh penyedia jasa tersebut; 4. Dalam hal penyelenggaraan teknologi informasi dilakukan oleh Pihak penyedia jasa, PPE wajib: a) bertanggung jawab atas penerapan manajemen risiko; b) menunjuk penanggung jawab penyelenggara; c) melakukan pengawasan atas pelaksanaan kegiatan PPE, yang diselenggarakan oleh Pihak penyedia jasa; d) mengevaluasi keandalan Pihak penyedia jasa secara berkala yang menyangkut kinerja, reputasi penyedia jasa, dan kelangsungan penyediaan layanan; e) memberikan akses kepada auditor internal, auditor eksternal, auditor internal grup dari PPE, dan/atau Otoritas Jasa Keuangan untuk memperoleh data dan informasi setiap kali dibutuhkan; f) memberikan akses kepada Otoritas Jasa Keuangan terhadap pangkalan data secara tepat waktu, baik untuk data terkini maupun untuk data yang telah lalu; g) menjaga keamanan seluruh informasi, termasuk rahasia PPE dan data pribadi nasabah; h) hanya dapat melakukan pengalihan sebagian kegiatan berdasarkan persetujuan PPE, yang dibuktikan dengan dokumen tertulis; i) memiliki standar prosedur operasional yang jelas dan terukur dalam penyelenggaraan bisnisnya; j) melakukan proses seleksi dalam memilih penyedia jasa dengan memperhatikan prinsip kehati-hatian dan manajemen risiko; dan k) melakukan tindakan tertentu dalam hal terdapat kondisi berupa:

1. memburuknya kinerja penyelenggaraan teknologi informasi oleh penyedia jasa yang berdampak signifikan pada kegiatan usaha PPE;
2. penyedia jasa menjadi insolven, dalam proses menuju likuidasi, atau dipailitkan oleh pengadilan;
3. terdapat pelanggaran oleh Pihak penyedia jasa terhadap ketentuan rahasia PPE dan kewajiban merahasiakan data pribadi konsumen; dan/atau 4) terdapat kondisi yang menyebabkan PPE tidak dapat menyediakan data yang diperlukan untuk pengawasan oleh Otoritas Jasa Keuangan;

5. alih daya fungsi pembukuan, fungsi Kustodian, dan fungsi teknologi informasi dilakukan kepada penyedia jasa dengan ketentuan:

a) PPE melaporkan informasi tentang rencana alih daya fungsi pembukuan, fungsi Kustodian, dan/atau fungsi teknologi informasi kepada Otoritas Jasa Keuangan dengan menggunakan Formulir Laporan Rencana Alih Daya Fungsi tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Otoritas Jasa Keuangan ini; b) sebelum menunjuk penyedia jasa untuk melaksanakan fungsi pembukuan, fungsi Kustodian, dan/atau fungsi teknologi informasi, PPE melakukan uji tuntas terhadap penyedia jasa yang mencakup, paling sedikit:

1. kemampuan penyedia jasa dalam standar yang tinggi untuk melaksanakan fungsinya;

2. kemampuan penyedia jasa memenuhi kewajibannya sesuai dengan perjanjian;

3. faktor operasional dan kemampuan keuangan secara kualitatif dan kuantitatif;

4. faktor reputasi;

5. cakupan asuransi oleh penyedia jasa jika terdapat asuransi oleh penyedia jasa;

6. adanya potensi benturan kepentingan khususnya jika penyedia jasa bergerak di bidang usaha yang sama; dan 7) kemampuan dan kecukupan sumber daya yang dimiliki penyedia jasa jika memiliki perjanjian alih daya fungsi PPE kepada Pihak lain dengan beberapa Pihak; c) PPE melakukan reviu secara berkala terhadap fungsi yang dijalankan oleh penyedia jasa untuk memastikan bahwa fungsi terlaksana dengan baik dan benar sesuai dengan standar prosedur operasional pelaksanaan fungsi dimaksud; d) PPE memiliki perjanjian tertulis dengan penyedia jasa, paling sedikit memuat:

7. nama pihak;

8. ruang lingkup, syarat, dan kondisi fungsi PPE yang pelaksanaannya diserahkan kepada penyedia jasa;

9. tanggung jawab PPE dan penyedia jasa, serta pengawasan atas pelaksanaan tanggung jawab;

10. standar layanan jasa dan mekanisme untuk memastikan bahwa standar layanan jasa dapat dipenuhi setiap saat;

11. kerahasiaan dan keamanan informasi;

12. tanggung jawab terkait dengan keamanan sistem teknologi informasi;

13. pelaporan penyedia jasa kepada PPE;

14. pertanggungjawaban dari penyedia jasa kepada PPE atas pelayanan yang tidak memuaskan atau pelanggaran lainnya atas perjanjian;

15. jaminan atas kualitas layanan jasa dan ganti rugi;

16. kewajiban penyedia jasa untuk menyediakan setiap catatan, informasi, dan/atau bantuan berkaitan dengan fungsi-fungsi PPE yang dilaksanakan oleh penyedia jasa kepada: (a) PPE yang menunjuk penyedia jasa; (b) auditor dari PPE dimaksud; (c) Otoritas Jasa Keuangan; (d) Pihak lain yang ditunjuk oleh Otoritas Jasa Keuangan; dan/atau (e) Bursa Efek, setiap saat jika diminta;

17. larangan bagi penyedia jasa untuk menunjuk pihak ketiga dalam menjalankan kewajibannya;

18. ketentuan tentang keberlangsungan fungsi PPE dalam hal penyedia jasa mengalami kondisi darurat sehingga tidak dapat menjalankan fungsinya;

19. pengakhiran perjanjian, yang paling sedikit meliputi transfer informasi dan langkah pemutusan perjanjian, dan prosedur transisi;

20. mekanisme untuk menyelesaikan perselisihan yang timbul antara PPE dengan penyedia jasa; dan e) Selain memenuhi ketentuan sebagaimana dimaksud dalam huruf d angka 1) sampai dengan angka 14), perjanjian tertulis untuk alih daya fungsi teknologi informasi juga harus mencakup:

21. penyedia jasa memiliki tenaga ahli yang handal dengan didukung oleh sertifikat keahlian;

22. penyedia jasa menerapkan prinsip pengendalian teknologi informasi secara memadai dibuktikan hasil audit oleh Pihak independen; dan 3) penyedia jasa menyediakan akses bagi auditor internal, auditor eksternal, auditor internal grup dari PPE, Otoritas Jasa Keuangan, dan/atau Pihak lain sesuai dengan ketentuan peraturan perundang-undangan dalam rangka memperoleh data dan informasi yang diperlukan setiap kali dibutuhkan; f) PPE memastikan bahwa penyedia jasa menjaga kerahasiaan informasi yang diterima dari PPE;

g) PPE pada hari bursa berikutnya melaporkan kepada Bursa Efek dengan tembusan kepada Otoritas Jasa Keuangan jika penyedia jasa tidak dapat melakukan kewajibannya; h) PPE memastikan bahwa setiap saat Otoritas Jasa Keuangan dan/atau Pihak lain yang ditunjuk oleh Otoritas Jasa Keuangan, serta Bursa Efek dapat mengakses pembukuan, catatan, dan dokumen penyedia jasa berkaitan dengan alih daya fungsi PPE; dan i) PPE menunjuk penyedia jasa yang kegiatan operasionalnya berlokasi di INDONESIA; dan b. PPE bertanggung jawab terhadap fungsi yang telah dialihdayakan pelaksanaannya kepada Pihak lain.