Belajar Technical Product Manager - Compliance & Enterprise Tech

#Pendahuluan

Setelah di episode 19 kita mendesain consent ledger, DSAR self-service, dan matriks retention untuk fitur kartu tersimpan, episode ini membahas pasar yang nilainya besar tapi pintu masuknya berat: enterprise. Tim sales NusaPay baru saja menutup letter of intent dengan jaringan ritel nasional — dengan satu syarat: platform harus lolos review IT mereka.

Kenapa episode ini krusial bagi TPM? Karena requirement enterprise bukan daftar fitur biasa — ia gerbang masuk pasar dengan aturan main tersendiri: buyer bukan end-user (yang pakai bukan tim IT korporasi), siklus jualnya panjang, dan kegagalan di satu item questionnaire bisa menggugurkan deal senilai tahunan.

#Anatomi Pembeli Enterprise

Yang perlu berganti mental model: di enterprise, "user" dan "buyer" adalah orang berbeda. Yang menentukan keputusan:

Aktor	Pertanyaan mereka	Artinya bagi produk
Tim IT/Security	Bagaimana SSO? Di mana data disimpan?	Requirement teknis formal
Procurement/Legal	SLA? Liability cap? Exit clause?	Kontrak & komitmen
Finance admin	Reconciliation, invoice, approval flow	Fitur governance
End-user sebenarnya	Tetap: cepat dan tidak ribet	Jangan dikorbankan demi buyer

Jebakan klasik: produk yang berubah canggung karena semua keputusan mengikuti buyer semata. TPM menjaga keseimbangan — requirement enterprise adalah lapisan tambahan, bukan pengganti UX.

#Enam Requirement Teknis Wajib

Hampir semua review IT enterprise menanyakan enam hal ini:

#1. SSO via SAML/OIDC

Enterprise melarang password terpisah; identitas dikelola IdP mereka (Okta, Azure AD). Implementasi SAML 2.0 atau OIDC plus just-in-time provisioning. Detail yang sering luput: mapping role saat login pertama dan perilaku saat akses dicabut di IdP — sesi lama harus mati.

#2. SCIM Provisioning

Pasangan SSO untuk manajemen siklus user: buat/nonaktifkan/sinkron grup otomatis dari IdP. Tanpa SCIM, offboarding manual = akun yatim = temuan audit di sisi customer.

#3. Audit Log Enterprise-Grade

Semua aksi sensitif tercatat immutable: siapa, apa, kapan UTC, dari IP mana, hasilnya. Plus export API/webhook supaya customer bisa menyalurkan log ke SIEM mereka. Ini requirement yang paling sering under-estimated kompleksitasnya jika sistem belum punya event bus internal — kabar baiknya, NusaPay sudah punya sejak migrasi settlement (episode 11).

#4. RBAC Granular + Custom Role

Role bawaan tidak cukup; enterprise ingin role custom ("finance yang hanya lihat settlement, tidak bisa payout"). Desain permission matrix lebih awal — retrofit RBAC ke produk yang tumbuh liar adalah proyek menyakitkan.

#5. Data Residency & Isolasi

"Di mana data kami disimpan?" jawabannya harus spesifik (region, provider) plus opsi isolasi: dedicated cluster atau setidaknya logical isolation yang bisa dibuktikan.

#6. SLA dengan Konsekuensi

Uptime tertulis (99.95% umum), support response time berjenjang, dan service credit bila gagal. Ingat gerbang internal dari episode 13: SLA kontrak wajib disetujui TPM + eng lead karena mengunci arsitektur.

Important

Bangun sekali sebagai platform capability, jangan per-project. SSO yang diimplementasikan ad-hoc per customer besar akan menjadi zoo integrasi — tiap enterprise baru menambah utang arsitektur, bukan revenue bersih.

#Security Questionnaire dan Procurement

Alur tipikal dari demo sampai kontrak:

Timeline procurement enterprise (tipikal)

Minggu 0   : demo + security questionnaire dikirim (100-300 pertanyaan)
Minggu 2-4 : tim kalian mengisi questionnaire + lampiran dokumen
             (SOC 2 report, pen test summary, DPA, BCP)
Minggu 4-8 : review oleh tim IT/keamanan customer; klarifikasi
Minggu 8-12: negosiasi MSA/DPA + pilot terbatas
Minggu 12+ : kontrak -> onboarding teknis

Dua cara memangkas siklus ini secara drastis:

Paket jawaban pra-siap: trust center (episode 14) berisi SOC 2 Type II, ringkasan penetration test, DPA standar, arsitektur high-level, dan daftar sub-processor. Questionnaire 70% isinya berulang antar prospect — jawab sekali, rujuk berkali-kali.
Kalender compliance selaras pipeline sales: kalau sales bidik close Q4, periode observasi SOC 2 harus dimulai setahun sebelumnya. TPM adalah penyambung dua kalender ini — topik yang kita mulai bahas di episode 14.

Metrik yang layak dipantau: waktu rata-rata menjawab questionnaire, dan pass rate review tanpa klarifikasi tambahan.

#Enterprise Spec Checklist

Saat menulis spec inisiatif enterprise-readiness, pastikan cakupan ini lengkap:

Checklist enterprise spec NusaPay

[ ] Auth      : SSO SAML+OIDC, JIT provisioning, session revocation
[ ] Lifecycle : SCIM 2.0, deprovisioning < 15 menit
[ ] Audit     : event coverage list, immutability, export API/SIEM
[ ] Access    : RBAC matrix, custom roles, least privilege default
[ ] Data      : residency region, isolasi tenant, retention sesuai
                kontrak + DPA
[ ] SLA       : target uptime, maintenance window, credit formula,
                status page transparan
[ ] Support   : jalur eskalasi berjenjang + RTO/RPO disaster recovery
[ ] Pricing   : tier, add-on per modul, batas usage per tier

Baris terakhir membawa kita ke sisi ekonomi.

#Implikasi Pricing

Biaya memenuhi requirement enterprise nyata: infrastruktur dedicated, dukungan SSO multi-IdP, kapasitas support prioritas. Prinsip pricing yang sehat:

Tier Enterprise berlangganan tahunan menutup fixed cost capability (SSO, audit log, support).
Add-on modular untuk yang mahal marginal: residency region khusus, isolated cluster.
Volume tetap di usage-based (take rate transaksi, episode 6) supaya insentif pertumbuhan tetap selaras.

Kesalahan umum: memberi semua fitur enterprise gratis di tier rendah demi "membuat pelanggan senang" — hasilnya margin tergerus dan tidak ada alasan upgrade. Keputusan apa yang masuk tier mana adalah keputusan strategi produk murni, dan TPM-lah pemiliknya bersama sales.

#Praktik: Enterprise Spec Jaringan Ritel

Susun enterprise spec untuk deal jaringan ritel nasional: isi checklist 8 baris di atas dengan keputusan konkret (misal: SSO via OIDC Azure AD customer; residency Jakarta; SLA 99.95% dengan credit), tandai 3 item yang butuh kerja baru vs sudah ada dari series ini, dan usulkan struktur tier pricing. Simpan di 03-specs/enterprise-spec.md.

#Penutup

Inti yang harus dibawa pulang:

Di enterprise, buyer ≠ user: IT/security, procurement, finance, dan end-user punya pertanyaan berbeda — produk harus lolos semuanya tanpa jadi canggung.
Enam requirement teknis hampir universal: SSO, SCIM, audit log exportable, RBAC custom, residency/isolasi, SLA berkonsekuensi.
Bangun capability sebagai platform sekali, bukan proyek per-customer; pra-siap paket jawaban untuk memangkas siklus procurement.
Selaraskan kalender compliance dengan pipeline sales — itu pekerjaan TPM.
Pricing tier menutup biaya capability; volume tetap usage-based agar insentif tumbuh tetap selaras.

Di episode 21 selanjutnya kita kembali ke AI tapi kali ini mendalam: AI Products Deep — eval framework lengkap dengan golden dataset dan rubrik, guardrails input/output, engineering cost-latency lewat model routing dan caching, serta monitoring drift di produksi. Sampai jumpa!