Seorang teller menemukan kejanggalan saat menutup kas. Selisihnya kecil, tetapi polanya berulang: selalu pada hari tertentu, selalu pada jenis transaksi yang sama, dan selalu melibatkan petugas yang sama. Ia curiga, tetapi tidak yakin. Ia juga takut. Jika laporannya salah, ia bisa dianggap menuduh rekan kerja. Jika ia diam, kerugian bisa membesar.
Di banyak BPR dan BPRS, laporan seperti ini tidak pernah sampai ke meja yang tepat. Bukan karena tidak ada masalah, tetapi karena tidak ada saluran yang dipercaya.
Ilustrasi di atas adalah gambaran umum, bukan kasus nyata. Artikel ini membahas whistleblowing system, yaitu mekanisme yang membuat laporan semacam itu bisa diterima, dilindungi, dan ditindaklanjuti.
1. Mengapa Whistleblowing Bukan Sekadar Kotak Saran
Whistleblowing system sering disalahpahami sebagai kotak saran yang dipasang di dekat pintu, atau nomor telepon yang tidak pernah dijawab. Padahal, mekanisme ini adalah bagian dari sistem pengendalian fraud. Ia dirancang untuk menemukan kejadian yang tidak terlihat oleh pemeriksaan rutin.
Ada tiga alasan mengapa mekanisme ini penting bagi BPR dan BPRS.
Pertama, banyak fraud diketahui dari orang dalam. Pelaku biasanya memahami celah kontrol, jam kerja, dan kelemahan sistem. Rekan kerja yang jujur sering menjadi pihak pertama yang melihat kejanggalan.
Kedua, ukuran bank yang kecil membuat jarak sosial tipis. Di kantor dengan sedikit pegawai, semua orang saling mengenal. Tekanan untuk tidak melapor lebih besar, dan risiko pembalasan lebih nyata.
Ketiga, laporan yang tidak ditangani lebih merusak daripada tidak ada laporan. Jika pegawai melapor dan tidak ada tindak lanjut, kepercayaan hilang. Setelah itu, tidak ada yang mau melapor lagi.
2. Apa yang Dimaksud dan Apa yang Bukan
Whistleblowing system adalah kebijakan dan mekanisme untuk menerima, menangani, dan menindaklanjuti laporan pelanggaran atau dugaan fraud yang disampaikan oleh pegawai atau pihak eksternal.
Yang termasuk dalam cakupan biasanya meliputi penyalahgunaan wewenang, benturan kepentingan, penyuapan dan penerimaan tidak sah, manipulasi laporan, pencurian aset, pembocoran informasi rahasia, serta pelanggaran kebijakan lain yang berdampak pada bank.
Yang perlu dibedakan:
- Bukan pengganti pengaduan konsumen. Keluhan nasabah tentang biaya, layanan, atau penagihan ditangani melalui mekanisme perlindungan konsumen, bukan WBS.
- Bukan pengganti pelaporan transaksi keuangan mencurigakan. Laporan ke PPATK tetap disampaikan melalui jalur APU-PPT, dengan kerahasiaan yang diatur tersendiri.
- Bukan penyelidikan pidana. WBS adalah mekanisme internal bank. Jika ditemukan dugaan tindak pidana, bank tetap berkoordinasi dengan aparat penegak hukum sesuai ketentuan.
- Bukan alat membalas dendam. Laporan yang terbukti sengaja dibuat untuk merugikan orang lain harus ditangani sebagai pelanggaran tersendiri.
3. Dasar Hukum yang Perlu Diketahui
Bagi BPR dan BPRS, dasar utama whistleblowing system adalah POJK Nomor 12 Tahun 2024 tentang Penerapan Strategi Anti Fraud bagi Lembaga Jasa Keuangan. Peraturan ini ditetapkan pada 23 Juli 2024, diundangkan pada 31 Juli 2024, dan mulai berlaku tiga bulan setelah diundangkan, yaitu 31 Oktober 2024.
POJK 12/2024 mewajibkan lembaga jasa keuangan, termasuk BPR dan BPRS, menyusun dan menerapkan strategi anti-fraud. Pasal 5 membagi strategi itu ke dalam empat pilar: pencegahan; deteksi; investigasi, pelaporan, dan sanksi; serta pemantauan, evaluasi, dan tindak lanjut.
Whistleblowing berada di pilar deteksi. Penjelasan Pasal 5 huruf b menyebut pilar deteksi mencakup kebijakan dan mekanisme whistleblowing, pemeriksaan mendadak, dan sistem pengawasan.
Pasal 2 POJK 12/2024 juga penting karena mendefinisikan jenis perbuatan yang tergolong fraud, termasuk korupsi yang meliputi benturan kepentingan yang merugikan lembaga jasa keuangan atau konsumen, penyuapan, penerimaan tidak sah, dan pemerasan. Dengan definisi ini, laporan tentang hadiah dari debitur atau persetujuan kredit untuk kerabat masuk dalam cakupan WBS.
Selain POJK 12/2024, ada dua rujukan lain. POJK Nomor 9 Tahun 2024 tentang Penerapan Tata Kelola bagi BPR dan BPRS menekankan integritas pelaporan dan sistem informasi manajemen yang mendukung keputusan Direksi serta pengawasan Dewan Komisaris. Sementara itu, UU Nomor 3 Tahun 2026 tentang Pelindungan Saksi dan Korban, yang berlaku sejak 20 Mei 2026, mengatur pelindungan bagi saksi, korban, saksi pelaku, pelapor, informan, dan ahli. Undang-undang ini menggantikan UU 13/2006 dan UU 31/2014.
4. Kanal yang Benar-Benar Bisa Dipakai
Lampiran POJK 12/2024 memberi arahan yang praktis. Kebijakan penanganan pengaduan harus dirumuskan jelas, mudah dimengerti, dan dapat diimplementasikan secara efektif. Tujuannya mendorong pegawai dan pihak eksternal melaporkan fraud.
Untuk menerima laporan, lampiran itu menyebut beberapa cara: situs web, aplikasi pesan elektronik, telepon, surat, surat elektronik, faksimile, dan sarana lain. Pilihan kanal disesuaikan dengan ukuran dan kompleksitas kegiatan usaha.
Prinsip yang lebih penting daripada jumlah kanal adalah aksesibilitas. Beberapa pertanyaan yang bisa dipakai untuk menguji kanal:
- Apakah pegawai di kantor cabang terpencil tahu ke mana harus melapor?
- Apakah laporan bisa disampaikan tanpa melalui atasan langsung, terutama jika atasan itu pihak yang dilaporkan?
- Apakah pihak eksternal, misalnya vendor atau nasabah, bisa melapor?
- Apakah laporan anonim diterima?
- Apakah ada bukti penerimaan laporan, tanpa membuka identitas pelapor?
Kanal yang rumit biasanya tidak dipakai. Satu alamat surel khusus, satu nomor telepon, dan satu formulir daring yang diawasi unit independen lebih baik daripada lima kanal yang tidak ada yang menjawab.
4.1 Satu kanal, satu pemilik
Jumlah kanal tidak menentukan kualitas. Yang menentukan adalah ada satu unit yang jelas bertanggung jawab menerima, mencatat, dan meneruskan laporan.
Tanpa pemilik, kanal menjadi milik semua orang dan tidak ada yang menjawab. Tiga hal yang perlu ditetapkan:
- siapa yang memeriksa kanal setiap hari kerja, termasuk saat pejabat utamanya cuti;
- berapa lama laporan harus dicatat sejak diterima;
- bagaimana laporan yang masuk di luar jam kerja diamankan sampai hari kerja berikutnya.
Uji kanal secara berkala. Kirim laporan percobaan dari kantor cabang terpencil, dari akun surel eksternal, dan tanpa identitas. Jika laporan percobaan tidak tercatat, kanal itu belum siap dipakai.
5. Pelindungan Pelapor
Tanpa pelindungan, tidak ada laporan. Lampiran POJK 12/2024 menegaskan beberapa hal yang harus ada dalam kebijakan.
Kerahasiaan identitas. Bank menjamin kerahasiaan identitas pelapor, termasuk dalam pelaksanaan pemeriksaan dan pengungkapan atas laporan.
Larangan pembalasan. Bank harus melarang pembalasan terhadap pelapor, baik berupa mutasi, penurunan jabatan, penilaian kinerja yang tidak wajar, maupun tekanan sosial.
Laporan anonim. Pelaporan dimungkinkan dilakukan secara anonim. Namun, laporan anonim biasanya lebih sulit ditindaklanjuti, sehingga bank perlu menetapkan cara menilai kredibilitasnya tanpa memaksa pelapor membuka identitas.
Penghargaan. Bank memiliki mekanisme pemberian hadiah atau penghargaan kepada pelapor yang laporannya terbukti benar dan didukung bukti yang memadai. Ini bukan kewajiban memberi imbalan untuk setiap laporan, melainkan insentif untuk laporan yang berkualitas.
Pelindungan hukum. Jika laporan berkembang menjadi perkara pidana, pelapor atau informan dapat mengajukan pelindungan kepada LPSK berdasarkan UU 3/2026. Bank perlu mengetahui jalur ini agar tidak menjanjikan sesuatu yang berada di luar kewenangannya.
Satu hal yang sering terlewat: pelindungan juga harus berlaku bagi saksi dan pihak yang membantu pemeriksaan, bukan hanya pelapor utama.
5.1 Pelindungan dalam praktik
Kebijakan pelindungan baru berguna jika terlihat dalam tindakan sehari-hari. Beberapa praktik yang membantu:
- komunikasi dengan pelapor memakai kanal yang tidak dapat dibaca atasan langsung, misalnya surel khusus atau pertemuan di luar kantor;
- dokumen laporan disimpan dengan akses terbatas, dan setiap pembukaan dokumen tercatat;
- pelapor yang meminta mutasi atau perubahan penugasan tidak diperlakukan sebagai pihak yang bermasalah;
- keputusan kepegawaian atas pelapor ditinjau oleh unit yang tidak terlibat dalam laporan.
Pelindungan bukan janji lisan pada saat menerima laporan. Ia harus terlihat pada cara bank menyimpan informasi dan memperlakukan orang.
6. Menerima dan Menyortir Laporan
Laporan yang masuk perlu disortir sebelum diselidiki. Tanpa triase, tim investigasi bisa tenggelam dalam laporan yang bukan urusan WBS, atau melewatkan laporan serius karena antrean panjang.
Alur triase yang sederhana:
- Catat penerimaan. Nomor laporan, tanggal, kanal, identitas pelapor (jika bersedia), pihak yang dilaporkan, dan ringkasan dugaan.
- Periksa cakupan. Apakah laporan termasuk pelanggaran yang dicakup kebijakan? Jika bukan, arahkan ke mekanisme yang tepat dan beri tahu pelapor.
- Periksa benturan kepentingan. Siapa yang akan menangani laporan? Jika pihak yang dilaporkan adalah atasan langsung, anggota Direksi, atau kerabat penangan, laporan harus dialihkan.
- Nilai tingkat risiko. Apakah ada indikasi kerugian besar, keterlibatan pihak eksternal, atau bukti yang bisa hilang? Laporan berisiko tinggi ditangani lebih dahulu.
- Amankan bukti. Simpan dokumen, rekaman transaksi, surel, dan log sistem sebelum ada pihak yang menghapusnya.
- Tetapkan keputusan awal. Lanjut investigasi, minta informasi tambahan, atau tutup dengan alasan yang terdokumentasi.
Setiap langkah harus punya tenggat. Laporan yang menggantung berminggu-minggu tanpa keputusan awal adalah tanda WBS tidak berjalan.
7. Investigasi yang Kredibel
Investigasi bukan percakapan informal di ruang rapat. Ia perlu metode, bukti, dan dokumentasi. Beberapa prinsip yang membuat investigasi kredibel:
Independensi. Penyelidik tidak boleh punya kepentingan atas hasil. Jika laporan menyangkut Direksi, pengawasan sebaiknya berada di bawah Dewan Komisaris atau unit audit intern yang melapor kepada Komisaris.
Lingkup yang jelas. Tentukan periode, transaksi, dan pihak yang diperiksa. Lingkup yang terlalu luas membuat investigasi tidak selesai; lingkup yang terlalu sempit melewatkan bukti penting.
Metode yang proporsional. Untuk dugaan selisih kas, cukup rekonsiliasi dan wawancara. Untuk dugaan manipulasi kredit, perlu uji dokumen, analisis alur dana, dan pemeriksaan sistem.
Hak pihak yang dilaporkan. Pihak yang dilaporkan berhak mengetahui tuduhan dan memberi penjelasan. Investigasi yang tidak memberi kesempatan membela diri mudah dipersoalkan di kemudian hari.
Dokumentasi. Setiap langkah dicatat: siapa diwawancarai, kapan, apa yang ditemukan, dan apa dasar kesimpulannya. Berita acara ditandatangani.
Batas waktu. Tetapkan target penyelesaian dan alasan jika diperpanjang. Investigasi tanpa batas waktu merugikan semua pihak.
Penting juga memisahkan peran. Unit anti-fraud menerima dan mengoordinasikan laporan; audit intern dapat melakukan pengujian independen; manajemen memutuskan sanksi sesuai kewenangannya. Satu orang tidak sebaiknya menjalankan seluruh peran.
7.1 Bukti digital dan rantai penyimpanan
Fraud modern jarang meninggalkan dokumen kertas. Bukti bisa berupa surel, log akses sistem, rekaman percakapan, tangkapan layar, dan data transaksi. Beberapa prinsip menjaga bukti tetap berguna:
- amankan lebih dahulu, analisis kemudian; jangan menunggu sampai pihak yang diperiksa mengetahui adanya laporan;
- catat siapa yang mengambil, kapan, dari sistem mana, dan siapa yang menyimpan;
- simpan salinan pada tempat yang aksesnya terbatas, bukan di folder bersama;
- jangan mengubah berkas asli; jika perlu dianalisis, gunakan salinan;
- untuk data elektronik, catat nilai hash atau cara ekspor agar keasliannya dapat diuji.
Investigasi yang bertumpu pada ingatan akan mudah dipersoalkan. Investigasi yang bertumpu pada bukti yang terjaga akan bertahan saat diperiksa.
8. Keputusan, Sanksi, dan Pemulihan
Hasil investigasi bisa berupa beberapa kemungkinan: laporan terbukti, tidak terbukti, atau tidak dapat dibuktikan karena bukti tidak cukup. Ketiganya harus disampaikan dengan jelas kepada pihak yang berwenang.
Jika laporan terbukti, tindak lanjutnya mencakup:
- sanksi kepada pelaku sesuai kebijakan kepegawaian, mulai dari teguran sampai pemutusan hubungan kerja;
- pemulihan kerugian, termasuk penagihan kepada pelaku atau klaim asuransi jika ada;
- perbaikan kontrol yang menjadi celah, misalnya pemisahan tugas, hak akses, atau persetujuan berlapis;
- pelaporan ke OJK jika kejadiannya memenuhi kriteria fraud berdampak signifikan.
Jika laporan tidak terbukti, bank tetap perlu mencatat prosesnya dan memastikan tidak ada pembalasan terhadap pelapor yang beritikad baik. Laporan yang keliru karena kekeliruan wajar berbeda dari laporan yang sengaja memfitnah.
8.1 Komunikasi hasil kepada pelapor
Setelah keputusan diambil, pelapor perlu mengetahui bahwa laporannya ditindaklanjuti, tanpa harus diberi seluruh isi investigasi. Komunikasi yang terlalu sedikit membuat pelapor merasa dilupakan; komunikasi yang terlalu banyak dapat membocorkan kerahasiaan pihak lain.
Praktik yang umum dipakai: beri tahu bahwa laporan telah diterima dan tercatat; sampaikan perkiraan waktu penanganan; beri tahu ketika proses selesai beserta tindakan utamanya, misalnya sanksi atau perbaikan kontrol, tanpa menyebut nama pihak lain. Untuk laporan anonim, komunikasi dilakukan melalui kanal anonim yang sama. Jika pelapor meminta perlindungan tambahan, arahkan ke jalur yang tersedia dan catat permintaan itu.
9. Pelaporan ke OJK
POJK 12/2024 mengatur beberapa kewajiban pelaporan yang perlu masuk ke kalender bank.
Laporan kejadian fraud berdampak signifikan. Pasal 15 ayat (1) mewajibkan bank, termasuk BPR, menyampaikan laporan paling lama tiga hari kerja setelah diketahui terjadinya fraud yang berdampak signifikan.
Laporan penerapan strategi anti-fraud. Pasal 14 ayat (1) mewajibkan BPR menyampaikan laporan setiap semester untuk posisi akhir Juni dan akhir Desember, paling lambat tanggal 31 bulan berikutnya.
Perubahan strategi. Pasal 12 mewajibkan penyampaian perubahan strategi anti-fraud paling lama tujuh hari kerja sejak perubahan dilakukan.
Penyampaian pertama. Pasal 16 ayat (2) memberi tenggat satu tahun sejak peraturan berlaku bagi BPR dengan modal inti di bawah Rp50 miliar untuk menyampaikan laporan penerapan strategi anti-fraud pertama kali. Karena peraturan berlaku 31 Oktober 2024, tenggat itu sudah lewat. Yang berlaku sekarang adalah kewajiban laporan semesteran di atas.
Jika tenggat jatuh pada hari Sabtu, Minggu, atau hari libur, laporan disampaikan pada hari kerja berikutnya. Jika terjadi keadaan kahar, bank wajib segera memberitahukan secara tertulis kepada OJK.
9.1 Menyatukan tenggat dalam satu kalender
Tenggat di atas mudah terlewat karena tersebar di beberapa pasal. Bank dapat menyatukannya dalam kalender kepatuhan yang memuat:
- tanggal laporan semesteran dan penanggung jawab penyusunnya;
- batas internal penyelesaian investigasi agar laporan kejadian tidak terlambat;
- tanggal reviu strategi anti-fraud dan rencana perubahannya;
- bukti pengiriman untuk setiap laporan.
Kalender ini sebaiknya dimiliki unit kepatuhan dan diperiksa setiap bulan, bukan hanya saat mendekati tenggat.
10. Mengukur WBS yang Hidup
Jumlah laporan bukan ukuran keberhasilan tunggal. WBS yang terlalu sepi bisa berarti tidak ada masalah, atau bisa berarti tidak ada yang percaya. Beberapa ukuran yang lebih berguna:
- jumlah laporan per 100 pegawai per tahun;
- proporsi laporan anonim dan proporsi yang bisa ditindaklanjuti;
- waktu rata-rata dari laporan diterima sampai keputusan awal;
- waktu rata-rata penyelesaian investigasi;
- proporsi laporan yang terbukti dan nilai kerugian yang dipulihkan;
- jumlah kasus pembalasan yang dilaporkan dan ditindaklanjuti;
- jumlah perbaikan kontrol yang lahir dari temuan WBS.
Ukuran-ukuran ini sebaiknya dilaporkan berkala kepada Direksi dan Dewan Komisaris, tanpa membuka identitas pelapor.
11. Kegagalan yang Sering Terjadi
Beberapa pola kegagalan muncul berulang di banyak organisasi.
Kanal hanya di atas kertas. Nomor telepon tercantum, tetapi tidak ada yang menjawab. Surel masuk ke kotak yang tidak diperiksa.
Laporan masuk ke pihak yang dilaporkan. Jika laporan tentang atasan langsung dikirim ke atasan itu, pelapor tidak akan melapor lagi.
Tidak ada catatan. Laporan diterima secara lisan, ditindaklanjuti secara lisan, lalu hilang. Saat pemeriksaan, tidak ada bukti apa pun.
Investigasi tanpa kesimpulan. Proses berjalan lama, lalu berhenti tanpa keputusan. Pelapor tidak pernah tahu hasilnya.
Sanksi tidak konsisten. Pelanggaran serupa ditangani berbeda tergantung kedekatan dengan pengurus. Ini menghancurkan kepercayaan lebih cepat daripada tidak adanya WBS.
Kebijakan tidak disosialisasikan. POJK 12/2024 mewajibkan edukasi dan sosialisasi kepada pihak internal dan eksternal paling sedikit satu kali dalam satu tahun. Tanpa sosialisasi, pegawai tidak tahu kanal, hak, dan prosedurnya.
12. Rencana 30/60/90 Hari
30 hari pertama. Tinjau kebijakan WBS yang ada. Tetapkan kanal yang benar-benar diawasi, unit penerima, dan jalur eskalasi jika laporan menyangkut pengurus. Susun formulir laporan dan register.
60 hari berikutnya. Sosialisasi ke seluruh pegawai, termasuk kantor cabang. Uji kanal dengan skenario: laporan anonim, laporan tentang atasan, laporan dari pihak eksternal. Perbaiki hambatan yang ditemukan.
90 hari berikutnya. Jalankan satu siklus penuh: terima, triase, investigasi, putuskan, dan tindak lanjuti. Hitung ukuran-ukuran di bagian 10, laporkan ke Direksi dan Dewan Komisaris, lalu perbaiki kebijakan berdasarkan hasilnya.
13. Kesimpulan
Whistleblowing system bukan proyek teknologi. Ia adalah janji: siapa pun yang melaporkan dengan itikad baik akan dilindungi, laporannya dicatat, dan ditindaklanjuti. Janji itu hanya bisa ditepati jika kanal hidup, triase berjalan, investigasi kredibel, dan hasilnya dilaporkan.
POJK 12/2024 menempatkan WBS di jantung pilar deteksi. Bagi BPR dan BPRS, memenuhinya bukan hanya soal menyusun kebijakan, tetapi soal membangun kepercayaan bahwa laporan tidak akan hilang.
Untuk memahami fraud dan kontrol pencegahannya secara lebih luas, baca Fraud di BPR dan BPRS. Kaitan WBS dengan program APU-PPT dibahas di Penerapan APU-PPT di BPR dan BPRS. Sisi tata kelola dan tanggung jawab Direksi serta Dewan Komisaris ada di POJK 9/2024: tata kelola BPR/BPRS. Bukti dan jejak audit yang dibutuhkan saat investigasi dibahas di Audit trail dan keamanan data.
Referensi
- BPK JDIH — “Peraturan Otoritas Jasa Keuangan Nomor 12 Tahun 2024 tentang Penerapan Strategi Anti Fraud bagi Lembaga Jasa Keuangan”. https://peraturan.bpk.go.id/Details/301737/peraturan-ojk-no-12-tahun-2024
- Otoritas Jasa Keuangan — “POJK 9/2024: Penerapan Tata Kelola bagi BPR dan BPRS”. https://ojk.go.id/id/regulasi/Pages/POJK-9-2024-Penerapan-Tata-Kelola-bagi-BPR-dan-BPRS.aspx
- BPK JDIH — “Undang-Undang Nomor 3 Tahun 2026 tentang Pelindungan Saksi dan Korban”. https://peraturan.bpk.go.id/Details/349942/uu-no-3-tahun-2026
- BPK JDIH — “Undang-Undang Nomor 8 Tahun 2010 tentang Pencegahan dan Pemberantasan Tindak Pidana Pencucian Uang”. https://peraturan.bpk.go.id/Details/38776/uu-no-8-tahun-2010