Belajar System Analyst - Compliance & Governance

#Pendahuluan

Setelah di episode 18 security specification TokoKita mengunci sepuluh requirement keamanan bernomor, pertanyaan lanjutannya wajar: aman menurut siapa, dan apakah itu sudah sesuai aturan yang mengikat? Episode ini membahas compliance & governance — memastikan sistem tidak hanya bekerja dan aman, tetapi juga patuh pada regulasi serta tata kelola yang bisa dipertahankan.

Mengapa SA tidak boleh melewatkan ini? Karena regulasi adalah requirement dari stakeholder yang tak bisa diwawancara: negara, lembaga standar, dan mitra komersial. Ia tidak bisa dinegosiasikan seperti permintaan Bu Rina, sanksinya finansial hingga pidato, dan batas waktunya tidak fleksibel. Analyst-lah pihak yang menerjemahkan teks undang-undang menjadi requirement sistem konkret — developer tidak membaca UU PDP, mereka membaca backlog Anda.

#Sumber Kewajiban TokoKita

Compliance dimulai dari inventarisasi jujur: aturan apa saja yang mengikat organisasi ini?

Dua catatan penting dari tabel ini. Pertama, regulasi berubah — UU PDP baru berlaku efektif penuh beberapa tahun terakhir dan aturan turunannya masih terbit; compliance map yang ditulis sekali akan usang. Kedua, kontrak juga hukum: SLA uptime 99,5% yang kita tulis di NFR-03 episode 7 ternyata punya kembaran di kontrak vendor — dua sumber yang harus konsisten atau salah satunya melanggar.

#Dari Pasal ke Requirement

Keterampilan inti analyst di sini adalah traceability hukum: tiap kewajiban regulasi harus bisa dilacak sampai kontrol sistemnya, dan tiap kontrol harus punya bukti kepatuhan:

Rantai ini identik semangatnya dengan traceability matrix episode 14 — hanya sumbernya pasal undang-undang, bukan user story. Contoh nyata TokoKita:

Perhatikan butir terakhir: banyak kewajiban diselesaikan lewat keputusan desain, bukan fitur tambahan. Itu alasan compliance harus masuk analisis awal — retrofit kepatuhan setelah skema database matang jauh lebih mahal.

#Praktik: Compliance Map Satu Dokumen

Semua hasil dirangkum ke 06-decision/compliance-map.md — satu dokumen hidup yang menjadi rujukan audit internal maupun eksternal:

# Compliance Map - TokoKita v1.1 (review kuartalan)
 
## Cara pakai
Setiap baris = satu kewajiban. Status: OK / GAP /
IN PROGRESS. Update oleh SA saat regulasi/desain berubah.
 
## Pemetaan
ID | Sumber        | Kewajiban          | Req      | Kontrol           | Bukti            | Status
C-01 UU PDP       | consent member     | FR-14b   | form consent v2   | rekam+arsip versi| OK
C-02 UU PDP       | hak akses/hapus    | FR-14c   | prosedur 7 hari   | log permintaan   | IN PROGRESS
C-03 UU PDP       | notifikasi bocor   | runbook  | runbook insiden   | template+kontakt | OK
C-04 Pajak        | retensi catatan    | SEC-10   | backup+arsip      | laporan restore  | GAP->upgrade retensi
C-05 UU ITE       | keabsahan elektronik| SEC-09  | audit log         | contoh rekonstruksi| OK
C-06 Kontrak QRIS | SLA 99.5%          | NFR-03   | monitoring uptime | dashboard bulanan| OK
 
## Register perubahan regulasi
2026-08: cek draft PP turunan PDP (pic: SA, review Q4)
 
## Keputusan interpretasi
DI-01 "kosong = tidak dicatat" (ep.16) dikonfirmasi
      konsultan pajak via email 2026-08-14 -> lampiran

Tiga elemen pelengkap yang membuat map ini dewasa: kolom Status yang memaksa kejujuran (GAP lebih baik daripada anggukan palsu), register perubahan sebagai radar regulasi, dan keputusan interpretasi yang menyimpan bukti nasihat profesional.

#Governance: Kepatuhan yang Bertahan

Compliance sekali-jalan adalah ilusi — regulasi berubah, sistem berubah, orang berganti. Tata kelola menjawabnya dengan empat mekanisme ringan:

1. Pemilik jelas — tiap baris compliance map punya penanggung jawab; untuk TokoKita mayoritas di SA + owner sebagai akuntabel akhir.
2. Ritme review — kuartalan untuk map penuh; insidental tiap rilis besar (cek apakah fitur baru menyentuh baris mana pun).
3. Gerbang perubahan — permintaan fitur baru melewati satu pertanyaan checklist: "apakah ini memproses data pribadi/mengubah pencatatan uang?" Kalau ya, jalur compliance ikut dievaluasi — murah karena cuma satu pertanyaan di gerbang backlog.
4. Bukti otomatis sebisa mungkin — laporan backup mingguan, dashboard uptime, ekspor audit log bulanan dijadwalkan; bukti manual pasti bolong tepat saat dibutuhkan auditor.

#Kesalahan Umum

1. "Kita kecil, tidak diaudit" — kewajiban hukum berlaku berdasarkan aktivitas, bukan ukuran; dan bukti kepatuhan justru aset jual saat TokoKita kelak mencari investor/franchise.
2. Copy-paste compliance enterprise — meniru seluruh framework korporasi besar membuat kepatuhan jadi birokrasi yang dilanggar diam-diam. Skalakan kontrol seperti kita skalakan keamanan episode 18.
3. Menganggap vendor menanggung semua — menggunakan gateway bersertifikasi tidak membebaskan tanggung jawab integrasi sendiri (cara simpan referensi, akses portal). Bagi tanggung jawab eksplisit di kontrak.
4. Bukti retroaktif — merekonstruksi log setelah auditor mengumumkan kunjungan mudah terdeteksi dan merusak kredibilitas seluruh map. Hasilkan bukti sebagai efek samping operasional normal.
5. Compliance tanpa peta ke security spec — dua dokumen hidup terpisah tanpa rujukan silang akan saling usang. Tiap baris compliance map menunjuk ID requirement; tiap requirement keamanan tahu baris regulasinya.

#Penutup

Inti yang harus dibawa pulang:

• Regulasi adalah requirement dari stakeholder tak-bisa-diwawancara; inventarisasi sumbernya termasuk kontrak komersial, bukan hanya undang-undang.
• Traceability hukum: pasal → kewajiban → requirement → kontrol → bukti; banyak kewajiban selesai lewat keputusan desain awal, bukan fitur tambahan.
• Compliance map satu dokumen hidup: status jujur, register perubahan regulasi, dan arsip keputusan interpretasi bersama nasihat profesional.
• Governance mempertahankan kepatuhan: pemilik per baris, review kuartalan, satu-pertanyaan gerbang perubahan, dan bukti yang dihasilkan otomatis.

Kewajiban hukum sudah terpetakan — sekarang kita masuk lapisan yang lebih halus namun sama menentukan: etika. Di episode 20 selanjutnya kita membahas data privacy & ethics: memetakan aliran data pribadi member TokoKita end-to-end, menerapkan privacy by design dalam keputusan produk, dan menimbang dilema etika yang tidak tertulis di undang-undang mana pun. Pastikan tetap semangat!