Pasal 17

(1) Dalam penyelenggaraan Teknologi Informasi BPR atau BPRS bekerjasama dengan penyedia jasa Teknologi Informasi sebagaimana dimaksud dalam Pasal 2 ayat (2) BPR dan BPRS wajib: a. bertanggung jawab terhadap penyelenggaraan Teknologi Informasi; b. melakukan pengawasan terhadap penyelenggaraan Teknologi Informasi BPR atau BPRS yang diselenggarakan oleh pihak penyedia jasa Teknologi Informasi; c. memantau reputasi pihak penyedia jasa Teknologi Informasi dan kelangsungan penyediaan layanan kepada BPR atau BPRS;

d. memilih pihak penyedia jasa Teknologi Informasi berdasarkan analisis manfaat dan biaya dengan melibatkan satuan kerja atau pegawai yang bertanggung jawab terhadap penyelenggaraan Teknologi Informasi; e. memberikan akses kepada Otoritas Jasa Keuangan terhadap Pangkalan Data secara tepat waktu baik untuk data terkini maupun untuk data yang telah lalu; dan f. memastikan penyedia jasa Teknologi Informasi:

1. memiliki tenaga ahli yang didukung dengan sertifikat keahlian sesuai dengan keperluan penyelenggaraan Teknologi Informasi;

2. menerapkan prinsip pengendalian Teknologi Informasi secara memadai yang dibuktikan dengan hasil audit yang dilakukan pihak independen;

3. menyediakan akses bagi auditor intern BPR dan BPRS, auditor ekstern yang ditunjuk oleh BPR dan BPRS, dan Otoritas Jasa Keuangan untuk memperoleh data dan informasi yang diperlukan secara tepat waktu setiap kali dibutuhkan;

4. menyatakan tidak berkeberatan dalam hal Otoritas Jasa Keuangan dan/atau pihak lain yang berwenang sesuai dengan ketentuan peraturan perundang-undangan melakukan pemeriksaan terhadap kegiatan penyediaan jasa yang diberikan;

5. sebagai pihak terafiliasi, menjaga keamanan seluruh informasi termasuk rahasia bank dan data pribadi nasabah;

6. melaporkan kepada BPR atau BPRS setiap kejadian kritis yang dapat mengakibatkan kerugian keuangan dan/atau mengganggu kelangsungan operasional BPR atau BPRS;

7. menyediakan Rencana Pemulihan Bencana yang teruji dan memadai;

8. bersedia untuk menyepakati kemungkinan penghentian perjanjian kerja sama sebelum berakhirnya jangka waktu perjanjian (early termination) dalam hal perjanjian kerja sama tersebut menyebabkan atau diindikasikan akan menyebabkan kesulitan pelaksanaan tugas pengawasan Otoritas Jasa Keuangan; dan

9. memenuhi tingkat layanan sesuai dengan perjanjian tingkat layanan (service level agreement) antara BPR atau BPRS dan pihak penyedia jasa Teknologi Informasi. (2) Penyelenggaraan Teknologi Informasi bekerja sama dengan penyedia jasa Teknologi Informasi sebagaimana dimaksud dalam Pasal 2 ayat (2) wajib didasarkan pada perjanjian kerja sama yang paling sedikit memuat pokok- pokok perjanjian kerja sama, termasuk ketentuan sebagaimana dimaksud pada ayat (1) huruf f. (3) BPR dan BPRS wajib memastikan penyedia jasa Teknologi Informasi sebagaimana dimaksud dalam Pasal 2 ayat (2) dilarang melakukan pengalihan (subkontrak) sebagian atau seluruh kegiatan penyelenggaraan Teknologi Informasi BPR atau BPRS kepada pihak lain. (4) BPR dan BPRS tetap wajib melakukan proses seleksi dan melakukan transaksi dengan penyedia jasa Teknologi Informasi dengan memperhatikan prinsip kehati-hatian, manajemen risiko, dan didasarkan pada hubungan kerja sama secara wajar (arm’s length principle), termasuk dalam hal penyedia jasa Teknologi Informasi merupakan pihak terkait dengan BPR atau BPRS. (5) Ketentuan lebih lanjut mengenai cakupan perjanjian kerja sama penyelenggaraan Teknologi Informasi sebagaimana dimaksud pada ayat (2) diatur dalam Surat Edaran Otoritas Jasa Keuangan.