Belajar Engineering Manager - Compliance & Risk Mgmt

#Pendahuluan

Setelah di episode 18 kita menanamkan security culture di dalam tim, kita naik satu level: compliance dan manajemen risiko — ranah yang menentukan apakah perusahaan kalian bisa menandatangani kontrak enterprise, lolos due diligence investor, dan tidur nyenyak saat regulator datang.

Reaksi engineer umum terhadap kata "compliance" adalah menghela napas: audit, dokumen, checklist. Tapi pandangan EM berbeda: compliance adalah kodifikasi praktik engineering yang baik (akses terkontrol, perubahan terlacak, insiden dikelola), dan risiko yang tidak dikelola akan tiba sendiri dalam bentuk paling mahal — insiden data, sanksi regulator, atau kontrak besar yang batal karena gagal due diligence. Tugas kalian bukan menjadi auditor, melainkan membuat tim kalian lolos audit tanpa drama, karena praktiknya sudah jadi default harian.

#Peta Lanskap Compliance

Beberapa framework yang paling sering menyentuh tim engineering Indonesia:

Framework	Fokus	Yang Diminta dari Tim Engineering
ISO/IEC 27001	Sistem manajemen keamanan informasi (ISMS)	Kebijakan akses, asset inventory, risk assessment, internal audit
SOC 2 (Type I/II)	Kontrol keamanan berbasis Trust Services Criteria	Bukti operasional berkelanjutan: log akses, change management, incident response
UU PDP No. 27/2022	Perlindungan data pribadi Indonesia (berlaku penuh sejak Okt 2024)	Lawful basis, minimasi data, notifikasi bocor 3x24 jam, hak subjek data
PCI DSS	Keamanan data kartu pembayaran	Segmentasi jaringan, enkripsi, larangan penyimpanan CVV

Dua catatan orientasi. Pertama, framework-framework ini tumpang tindih besar: kontrol untuk SOC 2 hampir seluruhnya membantu ISO 27001 — bangun sekali, petakan berkali. Kedua, UU PDP punya implikasi langsung ke desain produk kalian: consent management, retensi data, dan kewajiban notifikasi kebocoran dalam 3x24 jam adalah detail teknis yang akan melintasi meja kalian, bukan hanya legal.

#Manajemen Risiko: Risk Register Organisasi

Bahasa bersama dunia risiko adalah register dengan dua dimensi penilaian: likelihood (seberapa mungkin) dan impact (seberapa parah). Contoh versi tim:

manager-os/delivery/risk-register.yaml

risk_register:
  - id: "RISK-101"
    risiko: "Kebocoran data user via log aplikasi"
    likelihood: "medium"        # low | medium | high
    impact: "high"              # low | medium | high | critical
    mitigasi:
      - "Redaksi PII otomatis di logger (ep. 18 secure defaults)"
      - "Audit sampling log produksi bulanan"
    owner: "EM"
    status: "mitigasi-berjalan"
    review: "per kuartal"
  - id: "RISK-102"
    risiko: "Bus factor: satu-satunya ahli billing resign"
    likelihood: "low"
    impact: "critical"
    mitigasi:
      - "Pairing + dokumentasi domain billing (skills matrix ep. 6)"
      - "Hire kedua specialist (proposal headcount ep. 15)"
    owner: "EM"
    status: "terbuka"
    review: "bulanan"
  - id: "RISK-103"
    risiko: "Vendor KYC berhenti layanan mendadak"
    likelihood: "low"
    impact: "medium"
    mitigasi:
      - "Abstraksi provider interface; fallback vendor cadangan"
    owner: "Tech Lead"
    status: "mitigated"
    review: "semester"

Skala penilaiannya sengaja kasar (low/medium/high) — presisi palsu ("likelihood 0.23") memberi ilusi ilmiah tanpa nilai. Nilai register ada pada tiga hal: memaksa pemikiran eksplisit sebelum masalah terjadi, menciptakan bahasa risiko yang sama dengan leadership, dan memberi jejak keputusan ("kami tahu risiko ini, ini mitigasinya") yang emas saat insiden benar-benar terjadi. Review register jadi agenda tetap — kuartalan minimal, bulanan untuk item terbuka.

#Evidence Collection Tanpa Menyiksa Tim

Bagian paling dibenci audit adalah pengumpulan bukti (evidence): screenshot konfigurasi, daftar akses, catatan review. Tim yang mengumpulkan manual setiap tahun akan menderita; tim yang otomatis tidak merasakan apa-apa. Prinsipnya: evidence harus menjadi by-product dari proses normal, bukan proyek musiman.

Pemetaan kontrol -> bukti otomatis

Kontrol: akses produksi terbatas & direview
Bukti   : export grup IAM + log approval review akses kuartalan
          (otomatis via API cloud, disimpan ke folder audit)
 
Kontrol: semua perubahan production melalui review
Bukti   : query repo: % merge ke main dengan >=1 approval
          (dashboard CI, episode 13)
 
Kontrol: insiden dikelola dengan proses formal
Bukti   : arsip postmortem + action items tertaut tiket
          (folder postmortem, template episode 20)
 
Kontrol: backup teruji
Bukti   : hasil restore drill berkala (kalender ops, output test)

Perhatikan polanya: setiap baris kanan lahir dari sistem yang sudah kalian bangun di episode-episode sebelumnya — working agreement, dashboard metrik, postmortem culture. Inilah kenapa series ini menyusun topik dengan urutan begini: compliance yang mudah adalah efek samping dari engineering discipline.

Tip

Saat auditor eksternal datang, tunjuk satu orang sebagai single point of contact (biasanya kalian atau champion), sediakan folder evidence yang terorganisir per kontrol, dan larikan permintaan ad-hoc auditor ke jalur itu. Tim tetap coding; komunikasi audit tidak memecah fokus seluruh sprint.

#Data Handling dan UU PDP untuk EM

Implikasi teknis UU PDP yang paling sering menyentuh keputusan tim:

Minimasi data: kumpulkan yang dibutuhkan saja; kolom NIK "biar nanti-tahu" adalah liabilitas, bukan fitur. Dorong pertanyaan "data ini dipakai apa?" di threat modeling ringan (episode 18).
Retensi: data tanpa kebijakan hapus menumpuk risiko tanpa batas waktu. Definisikan TTL per kategori data (log akses, dump debugging, arsip backup).
Notifikasi bocor 3x24 jam: ini mengubah desain incident response kalian — runbook insiden harus punya jalur eskalasi legal/DPO yang cepat, dan logging yang cukup untuk menentukan apa yang bocor.
Vendor pihak ketiga: mengirim data user ke SaaS luar = tanggung jawab kalian juga; masukkan ke review vendor (episode 11 stakeholder, episode 15 procurement).

Jika organisasi belum punya DPO (Data Protection Officer) atau kebijakan formal, tugas EM bukan mengarang hukum sendiri — melainkan mengangkat temuan data handling ke pemilik compliance/legal dengan register risiko sebagai media. Dokumentasi usulan itu sendiri sudah melindungi tim.

#Compliance sebagai Keunggulan

Ubah framing terakhir: sertifikasi dan kedisiplinan risiko bukan pajak, melainkan aset komersial. B2B enterprise buyer rutin mensyaratkan SOC 2/ISO; kemampuan menjawab security questionnaire dengan cepat mempersingkat siklus sales; dan reputasi "engineering yang rapi secara governance" menaikkan nilai perusahaan di mata investor. Saat tim mengeluh soal audit, ingatkan trade-off jujurnya: beberapa minggu persiapan vs kontrak tahunan yang batal. Dan ukuran sukses EM di ranah ini sederhana: audit berlalu tanpa tim merasakan ada audit — karena semua bukti mengalir otomatis dari cara kerja harian.

#Penutup

Inti yang harus dibawa pulang:

Kenali lanskap: ISO 27001, SOC 2, UU PDP, PCI DSS — tumpang tindih besar; bangun kontrol sekali, petakan berkali.
Risk register dengan likelihood-impact kasar memaksa eksplisit, menciptakan bahasa bersama leadership, dan jejak keputusan.
Evidence harus by-product dari proses normal: akses review, % PR reviewed, arsip postmortem, restore drill.
UU PDP punya wajah teknis: minimasi, retensi, notifikasi 3x24 jam, review vendor.
Compliance rapi adalah aset komersial; ukuran suksesnya audit yang tak terasa oleh tim.

Di episode 21 selanjutnya kita masuk momen paling intens dalam kehidupan tim: Crisis & Incident Leadership — struktur command saat production down, ritme komunikasi internal-eksternal, peran incident commander, blameless postmortem yang menghasilkan aksi, dan cara EM memimpin ketika semuanya terbakar. Sampai jumpa!