AI, IFRS 7, dan Cyber Safeguards: Cara Menyusun Pengungkapan Risiko yang Lebih Kuat (Tanpa Drama Audit)

Keyword “ai ifrs 7 cyber safeguards” semakin sering muncul karena dua tren bertemu: adopsi AI (termasuk machine learning dan generative AI) di proses keuangan, dan meningkatnya risiko siber yang dapat berdampak pada pelaporan serta pengungkapan instrumen keuangan. Di banyak organisasi, AI dipakai untuk deteksi fraud, credit scoring, analitik risiko pasar, otomatisasi rekonsiliasi, hingga penyusunan narasi laporan. Sementara itu, IFRS 7 menuntut transparansi mengenai risiko yang timbul dari instrumen keuangan dan bagaimana entitas mengelola risiko tersebut.

Walau IFRS 7 tidak “khusus” membahas AI atau keamanan siber, praktik yang baik adalah memastikan cyber safeguards dan tata kelola AI terhubung dengan pengelolaan risiko keuangan (misalnya credit risk, liquidity risk, market risk) dan risiko operasional yang memengaruhi kualitas data, model, serta kontrol pelaporan. Artikel ini membahas cara berpikir defensif: bagaimana menilai relevansi risiko siber terkait AI, lalu menyusun pengungkapan dan kontrol yang kredibel—tanpa memberikan instruksi penyalahgunaan.

Memahami Titik Temu AI, Risiko Siber, dan IFRS 7

IFRS 7 berfokus pada pengungkapan yang memungkinkan pengguna laporan keuangan menilai:

Signifikansi instrumen keuangan terhadap posisi dan kinerja keuangan entitas.
Sifat dan besaran risiko yang timbul dari instrumen keuangan (misalnya credit risk, liquidity risk, market risk), serta bagaimana entitas mengelola risiko tersebut.

Di era AI, hubungan dengan IFRS 7 biasanya terjadi melalui tiga jalur:

Ketergantungan pada data dan model: AI mengandalkan data keuangan dan non-keuangan yang sensitif. Insiden siber yang mengubah, merusak, atau mengeksfiltrasi data dapat memengaruhi perhitungan ECL (expected credit losses), penilaian fair value, atau klasifikasi risiko.
Otomatisasi proses risiko: jika AI digunakan untuk pemantauan limit, early warning, atau stress testing, maka kelemahan keamanan dan governance dapat mengganggu kemampuan manajemen risiko yang Anda ungkapkan.
Third-party & cloud: banyak AI berjalan di platform cloud/penyedia pihak ketiga. Ini menambah risiko konsentrasi vendor, akses tidak sah, serta ketidakpastian kontrol.

Intinya: cyber safeguards bukan sekadar isu IT. Dalam konteks IFRS 7, ia menjadi penopang kredibilitas data, model, dan proses yang dipakai untuk mengukur serta mengelola risiko instrumen keuangan.

Jenis Risiko yang Relevan untuk Disclosure IFRS 7 Saat AI Digunakan

1) Risiko Integritas Data dan Dampaknya pada Pengukuran

IFRS 7 menuntut informasi yang membantu pengguna memahami eksposur risiko. Jika AI memproses data untuk perhitungan risiko kredit atau valuasi, maka kualitas dan integritas data menjadi prasyarat. Risiko siber yang relevan antara lain:

Perubahan tidak sah pada data (integrity compromise) yang menyebabkan input model bias atau salah.
Gangguan ketersediaan sistem data (availability) yang menunda pelaporan dan pemantauan risiko.
Kebocoran data yang memicu risiko litigasi, denda, dan hilangnya kepercayaan—yang dapat berdampak pada profil likuiditas atau biaya pendanaan.

Dalam disclosure, Anda tidak perlu memaparkan detail teknis sensitif. Namun, Anda perlu menunjukkan bagaimana entitas memastikan data yang digunakan untuk pengukuran risiko tetap akurat, lengkap, dan terlindungi.

2) Model Risk: Ketergantungan pada AI untuk Keputusan Risiko

AI membawa risiko model (model risk) seperti kesalahan desain, drift, bias, atau penggunaan di luar tujuan. Dalam konteks IFRS 7, risikonya muncul ketika output AI memengaruhi:

Penentuan staging ECL dan parameter risiko (PD/LGD/EAD).
Penilaian fair value (misalnya input level 2/3 yang diperkaya model).
Penetapan limit, kebijakan kredit, atau strategi lindung nilai.

Cyber safeguards berperan karena banyak insiden siber berujung pada korupsi model pipeline (misalnya perubahan konfigurasi, kredensial bocor, atau akses tak sah ke repositori model). Lagi-lagi, pengungkapan sebaiknya menyorot kontrol dan governance, bukan “resep” teknis.

3) Third-Party, Cloud, dan Konsentrasi Risiko

AI sering memanfaatkan layanan pihak ketiga: model API, data provider, platform MLOps, atau cloud. Ini berdampak pada manajemen risiko yang Anda jelaskan di IFRS 7, karena:

Ketergantungan vendor dapat memengaruhi ketersediaan proses manajemen risiko (misalnya saat outage).
Kontrol akses dan pemrosesan data melibatkan pihak eksternal.
Risiko kepatuhan (lokasi data, retensi, auditability) dapat memengaruhi tata kelola dan pelaporan.

Pengungkapan yang matang biasanya menyatakan keberadaan kerangka manajemen risiko pihak ketiga, termasuk due diligence, SLA, dan pemantauan kontrol yang relevan.

Cyber Safeguards yang “Masuk Akal Audit” untuk Mendukung Pengungkapan IFRS 7

Berikut safeguards defensif yang umum dinilai kuat, terutama bila AI digunakan dalam alur risiko dan pelaporan. Tujuannya bukan sekadar aman, tetapi dapat dijelaskan, dibuktikan, dan dioperasionalkan.

1) Tata Kelola AI dan Akuntabilitas (Governance)

RACI yang jelas antara risk, finance, IT/security, dan data science untuk model yang memengaruhi pelaporan atau pengukuran risiko.
Kebijakan penggunaan AI termasuk batasan data sensitif, larangan memasukkan data tertentu ke layanan publik, dan persyaratan review.
Inventaris model (model registry) yang mencatat tujuan, pemilik, data sumber, versi, dan tanggal validasi.

Dari perspektif disclosure IFRS 7, ini membantu Anda menarasikan bahwa manajemen risiko dilakukan secara sistematis, termasuk ketika AI terlibat.

2) Kontrol Akses, Identitas, dan Privilege

Least privilege untuk akses data risiko, repositori model, dan pipeline.
Multi-factor authentication untuk akun berisiko tinggi.
Segregation of duties antara pengembang model, approver, dan operator produksi.
Logging dan review akses berkala yang dapat diaudit.

Kontrol akses yang matang mengurangi risiko perubahan tidak sah yang bisa memengaruhi metrik risiko yang diungkapkan di IFRS 7.

3) Proteksi Data: Klasifikasi, Enkripsi, dan DLP

Klasifikasi data untuk membedakan data nasabah, data pasar, data internal, dan data yang boleh dipakai untuk training.
Enkripsi saat transit dan saat tersimpan, termasuk pengelolaan kunci yang terpisah dan terkontrol.
Data loss prevention (DLP) untuk mengurangi risiko kebocoran, khususnya saat tim menggunakan alat AI untuk menyusun ringkasan atau analitik.
Retensi dan minimisasi data agar data yang tidak perlu tidak ikut terseret ke pipeline AI.

Dalam disclosure, Anda bisa menekankan bahwa data kritikal untuk pengukuran risiko instrumen keuangan dilindungi oleh kebijakan dan kontrol yang konsisten.

4) MLOps yang Aman: Change Management, Monitoring, dan Validasi

Change management untuk model dan parameter risiko: siapa menyetujui, kapan diterapkan, dan bagaimana rollback dilakukan.
Monitoring untuk drift, kualitas data, anomali output, dan ketersediaan pipeline.
Validasi independen (second line) untuk model yang berdampak material, termasuk uji kinerja dan uji sensitivitas.
Dokumentasi yang cukup untuk menelusuri bagaimana hasil model mendukung angka/analisis yang terkait risiko.

Kontrol ini penting agar narasi manajemen risiko di IFRS 7 tidak hanya “kebijakan di atas kertas”, tetapi benar-benar berjalan.

5) Ketahanan Operasional dan Respons Insiden

Business continuity untuk sistem risiko dan pelaporan: RTO/RPO yang realistis.
Backup dan pemulihan data kritikal dan artefak model (tanpa mengorbankan integritas).
Playbook respons insiden yang mencakup skenario kebocoran data, gangguan layanan cloud, dan kompromi kredensial.
Latihan tabletop bersama finance dan risk agar dampak pada pelaporan dan disclosure dipahami.

Jika terjadi insiden, organisasi yang siap biasanya lebih mampu menilai dampak pada eksposur risiko dan mengambil langkah mitigasi yang bisa dijelaskan kepada auditor dan pemangku kepentingan.

Menerjemahkan Cyber Safeguards ke Bahasa Pengungkapan IFRS 7

Kesalahan umum adalah menulis disclosure yang terlalu teknis atau terlalu generik. Pendekatan yang lebih efektif adalah menyusun narasi yang menghubungkan risiko → proses manajemen → kontrol kunci → bagaimana manajemen memantau.

Checklist praktis untuk tim finance/risk

Identifikasi di mana AI digunakan dalam pengukuran dan pengelolaan risiko instrumen keuangan (contoh: ECL, stress testing, limit monitoring).
Nilai materialitas: apakah kegagalan sistem/insiden siber dapat memengaruhi angka, asumsi, atau kemampuan manajemen risiko secara signifikan?
Petakan kontrol yang melindungi data/model/proses yang relevan (akses, perubahan, validasi, monitoring, vendor).
Dokumentasikan bukti (tanpa membuka detail sensitif): kebijakan, catatan review akses, hasil validasi model, laporan monitoring, hasil uji BCP.
Selaraskan istilah: gunakan bahasa risiko dan pengendalian yang dipahami pembaca laporan (investor, regulator, auditor), bukan jargon internal.

Contoh narasi (gaya umum, non-teknis)

Alih-alih memaparkan konfigurasi keamanan, Anda dapat menekankan bahwa entitas menerapkan kontrol akses berbasis peran, pemantauan perubahan model, validasi independen, serta manajemen risiko pihak ketiga untuk layanan yang digunakan dalam proses pengukuran risiko. Narasi seperti ini membantu pembaca memahami bahwa proses pengelolaan risiko yang diungkapkan memiliki fondasi kontrol yang memadai.

Peran Kolaborasi: Finance, Risk, dan Security

Keyword “ai ifrs 7 cyber safeguards” juga menandakan tantangan organisasi: disclosure sering disusun oleh finance, sementara kontrol ada di security/IT, dan penggunaan AI dikelola data science. Agar konsisten:

Finance menetapkan kebutuhan disclosure, materialitas, dan konsistensi dengan angka pelaporan.
Risk memetakan eksposur (credit/liquidity/market) dan proses manajemen risiko.
Security menyediakan peta kontrol, evidensi, dan penilaian risiko siber yang relevan.
Data/AI team memastikan governance model, dokumentasi, dan monitoring berjalan.

Dengan kolaborasi ini, Anda menghindari gap: misalnya, laporan menyatakan pemantauan risiko real-time, tetapi pipeline AI tidak memiliki monitoring drift atau kontrol perubahan yang kuat.

FAQ: AI, IFRS 7, dan Cyber Safeguards

1) Apakah IFRS 7 mewajibkan pengungkapan khusus tentang AI?

Tidak secara eksplisit. Namun, jika AI memengaruhi pengukuran, pemantauan, atau manajemen risiko instrumen keuangan, maka risiko dan proses terkait AI (termasuk risiko siber yang berdampak) dapat menjadi relevan untuk pengungkapan yang informatif.

2) Apakah risiko siber termasuk dalam ruang lingkup IFRS 7?

IFRS 7 berfokus pada risiko dari instrumen keuangan. Risiko siber biasanya dikategorikan sebagai risiko operasional, tetapi dapat berdampak pada pengelolaan risiko instrumen keuangan (misalnya kualitas data untuk ECL, ketersediaan sistem risk monitoring, atau gangguan likuiditas karena insiden). Karena itu, organisasi sering mengaitkan safeguards siber sebagai bagian dari penjelasan “bagaimana risiko dikelola”.

3) Cyber safeguards apa yang paling penting jika AI dipakai untuk credit risk/ECL?

Biasanya yang paling krusial adalah: kontrol akses dan segregasi tugas, integritas data (termasuk rekonsiliasi dan monitoring kualitas), change management model/parameter, serta validasi independen. Tujuannya memastikan hasil perhitungan dapat ditelusuri dan andal.

4) Bagaimana mengungkapkan kontrol keamanan tanpa membocorkan informasi sensitif?

Gunakan bahasa tingkat prinsip dan proses: sebutkan adanya kebijakan akses berbasis peran, pemantauan, validasi, dan manajemen vendor, tanpa merinci arsitektur, nama alat, konfigurasi, atau titik kontrol yang bisa meningkatkan risiko keamanan.

5) Apa yang sering menjadi temuan audit terkait AI dan risiko siber dalam konteks pelaporan?

Temuan umum mencakup dokumentasi model yang tidak memadai, bukti review akses yang lemah, kontrol perubahan yang tidak konsisten, ketergantungan vendor tanpa due diligence memadai, serta monitoring drift/kualitas data yang belum matang. Menguatkan area ini biasanya membantu memperbaiki konsistensi antara praktik manajemen risiko dan pengungkapan.

Kesimpulan: Menghubungkan AI dengan IFRS 7 bukan soal menambah jargon, melainkan memastikan pengungkapan risiko didukung kontrol yang nyata. Dengan cyber safeguards yang tepat—governance, kontrol akses, proteksi data, MLOps aman, ketahanan operasional—organisasi dapat menyajikan disclosure IFRS 7 yang lebih kredibel, relevan, dan tahan uji.