Apa Itu TOR? Tujuh Komponen OJK untuk Beli Website dan Aplikasi

TOR adalah Term of Reference, bukan Tor Browser: dokumen yang ditulis pembeli untuk merinci pekerjaan yang diminta dari vendor, dan biasa disamakan dengan Kerangka Acuan Kerja (KAK). Bagi bank umum, PADK 1/2026 dari OJK, berlaku sejak 1 Maret 2026, menetapkan tujuh komponen dokumen ini, walau kata "term of reference" muncul 0 kali di dalamnya.

Artikel ini ditulis untuk Head of Digital atau CIO yang memegang dokumen lingkup kerja website atau aplikasi mobile, dengan kepatuhan dan keamanan sebagai pemegang veto di belakangnya. Definisi umum ada di mana-mana. Yang jarang ada: TOR yang bisa dipakai vendor untuk menghitung harga, dan bisa dipakai bank untuk menolak hasil kerja.

Term of reference adalah istilah pasar, bukan istilah regulasi

TOR adalah singkatan dari Term of Reference, dan padanan yang lazim dalam bahasa Indonesia adalah Kerangka Acuan Kerja. Pada 2 November 2026 kami mencari kata itu, bentuk tunggal maupun jamak, di teks lima aturan yang dihadapi bank dan pengadaan, ditambah satu aturan anggaran yang sudah dicabut:

Angka nol ini soal kata, bukan konsep. PADK tetap punya tahap "Permintaan Proposal dari PPJTI", hanya tidak memakai singkatan RFP. Frasa "kerangka acuan kerja" pun 0 kali di PADK, POJK 11/2022 dan SEOJK 22/2021. Kata "kerangka acuan" muncul sekali di PADK dan sekali di SEOJK itu, untuk kebijakan pengamanan informasi, bukan untuk dokumen pengadaan.

KAK dan TOR, apakah sama?

Sama di dunia anggaran. Di dunia pengadaan, tidak ada yang menetapkannya. Kamus SPAN DJPb Kemenkeu menyamakan keduanya sebagai dokumen perencanaan kegiatan, termasuk perkiraan biayanya. PMK 177/PMK.02/2014, aturan anggaran BA BUN tahun 2014 yang dicabut pada 2015, memakai "Term of Reference" dua kali di Lampiran-nya dan menyamakannya dengan Kerangka Acuan Kerja, untuk dokumen pendukung anggaran, bukan dokumen pengadaan. Hitungan itu hasil pencarian teks OCR atas Lampiran saja; batang tubuhnya tidak berhasil kami dapatkan.

Di aturan pengadaan, kami tidak menemukan pasal yang menyatakan TOR sama dengan KAK. Peraturan LKPP 3/2026 memakai frasa panjang "kerangka acuan kerja" 73 kali, tanpa singkatan KAK.

Formulir KAK 26 butir tidak ada di aturan yang berlaku

Formulir resmi terakhir adalah Bab IV Dokumen Seleksi pada model Seleksi Prakualifikasi untuk Jasa Konsultansi Badan Usaha, di Lampiran IV Peraturan LKPP 12/2021, dengan 26 butir. Model untuk konsultan perorangan memuat 26 butir yang sama di Bab VI. Kami tidak memeriksa apakah perubahan 2024 mengubah formulir ini.

Peraturan LKPP 3/2026 (salinan JDIH Jakarta), ditetapkan 21 September 2026, mencabut LKPP 12/2021 beserta perubahannya, LKPP 4/2024, lewat Pasal 11, dan tidak memuat formulir tersebut. Pengundangannya, 22 September 2026 di Berita Negara 2026 Nomor 663, kami ambil dari surat edaran LKPP di bawah. Pasal 10 menyisakan dua ketentuan peralihan. Huruf a: pemilihan penyedia yang sudah berjalan sebelum aturan berlaku diselesaikan dengan aturan lama. Huruf b: kontrak yang sudah diteken tetap berlaku sampai berakhir; yang dipertahankan kontraknya, dan LKPP 12/2021 tidak disebut di huruf ini. Jadi tulisan yang tepat adalah "tidak ada di aturan baru", bukan "dihapus".

Surat Edaran Kepala LKPP 3/2026 tertanggal 29 Oktober 2026 juga tidak mengisi kekosongan itu. Kata "kerangka acuan" tidak ada di dalamnya, dan butir 9.a hanya menyuruh penyusunan dokumen persiapan mengikuti peraturan baru.

Dua batas berlaku. Aturan LKPP mengikat pengadaan pemerintah, sehingga bagi bank swasta formulir ini hanya pembanding. Formulir itu juga khusus Jasa Konsultansi. Pembangunan website bisa saja masuk Jasa Lainnya yang memakai spesifikasi teknis; itu pembacaan kami, bukan bunyi teks.

Tujuh komponen PADK dibandingkan 26 butir KAK

TOR versi bank ada di PADK 1/2026, ditetapkan 23 Januari 2026, Lampiran I BAB V B.1. Bunyinya, hasil pendefinisian kebutuhan "harus memuat dokumen yang berisi gambaran secara rinci mengenai keinginan Bank" terhadap layanan yang dikerjakan penyedia jasa TI (PPJTI). Pasangan butirnya kami susun sendiri:

Pencarian teks atas 26 butir itu memberi 0 hasil untuk keamanan, pengamanan, kode sumber, serah terima, penerimaan dan uji. Laporan akhirnya masih diserahkan dalam "cakram padat (compact disc) (jika diperlukan)". Menyalin formulir itu ke TOR website bank berarti meninggalkan persis hal yang akan ditanyakan CISO dan SKAI.

Satu catatan cakupan. BAB V berlaku untuk penggunaan PPJTI "secara berkesinambungan dan/atau dalam periode tertentu" yang membuat bank bergantung pada jasanya. Apakah pembangunan website sekali jalan masuk definisi ini adalah soal tafsir. Pendapat kami: kanal yang dikelola vendor setelah go-live masuk, dan tujuh komponen tetap kami sarankan sebagai kerangka untuk proyek sekali jalan.

Asuransi dan multifinance memakai rujukan lain. SEOJK 22/SEOJK.05/2021, 24 Agustus 2021, Bab V angka 15.c meminta penawaran vendor diuji kesesuaiannya dengan "spesifikasi kebutuhan". Tanpa dokumen kebutuhan, tidak ada yang bisa dibandingkan. Status terkini SEOJK ini belum kami konfirmasi ke OJK.

Yang harus tertulis di TOR website atau aplikasi

Lingkup, dengan angka dan pengecualian

PADK BAB II huruf j meminta spesifikasi kebutuhan yang "dapat diuji, konsisten, jelas". Tiga studi kasus publik kami menunjukkan rupa baris lingkup yang bisa dihitung vendor, sebagai ilustrasi jenis baris, bukan contoh TOR dan bukan bukti kepatuhan PADK:

• Jumlah, tenggat, pelatihan. Studi kasus Angkasa Pura I mencatat 16 situs web terintegrasi dalam satu bulan sebagai tantangan, bersama pelatihan staf bandara di berbagai lokasi.
• Nama tiap sistem luar. CGS International terhubung ke basis data bank, CGS-CIMB, KSEI dan DUKCAPIL. Empat sambungan itu punya harga. Kata "integrasi" tidak.
• Pengecualian yang disengaja. E-policy PFI Mega Life tidak mendukung perpanjangan otomatis, demi kontrol nasabah. Keputusan seperti ini layak ditulis di TOR agar tidak jadi perselisihan.

Lingkup yang jelas juga menentukan cara beli. Peraturan LKPP 3/2026, untuk pengadaan pemerintah, menyebut kontrak lumsum dipakai bila "ruang lingkup, waktu pelaksanaan, dan produk/keluaran dapat didefinisikan dengan jelas". Logika ini berlaku juga di luar pemerintah, sebagai analogi: harga pasti butuh lingkup pasti. Cara menghitungnya kami bahas di penyusunan HPS website dan aplikasi.

Keamanan dan tingkat layanan, dengan angka Anda sendiri

Kami tidak menemukan teks regulator Indonesia yang menetapkan angka ketersediaan, waktu respons atau beban. PADK hanya menyebut kategorinya, jadi angkanya harus datang dari bank. Tulis targetnya di TOR, lalu turunkan ke kontrak; SLA, menit downtime dan klausul OJK membahas bentuknya, dan checklist SoW pentest bank membahas lingkup uji keamanannya.

Dua baris lain juga masuk TOR. POJK 11/POJK.03/2022 Pasal 35(1) mewajibkan bank menempatkan Sistem Elektronik di Pusat Data dan Pusat Pemulihan Bencana di Indonesia, dan ayat (2) mensyaratkan izin OJK untuk penempatan di luar negeri. Jadi lokasi hosting adalah baris TOR. UU 27/2022 Pasal 51(1) mewajibkan prosesor bekerja atas perintah pengendali data, sehingga vendor yang menyentuh data nasabah harus disebut perannya.

Penerimaan yang bisa diuji

TOR menentukan ujian yang akan dipakai saat serah terima. PADK meminta berita acara UAT yang disetujui pengguna jika sistem sesuai dengan "kebutuhan pengguna dan standar pengamanan Bank". Dua syarat, bukan satu. Kebutuhan yang tidak tertulis di TOR tidak bisa dijadikan dasar menolak, jadi tulis tiap keluaran bersama kondisi lulusnya.

Kode sumber, sebelum kontrak diteken

Tanpa klausul, hak cipta bisa tertinggal di vendor. UU 28/2014 Pasal 36 berbunyi:

Kecuali diperjanjikan lain, Pencipta dan Pemegang Hak Cipta atas Ciptaan yang dibuat dalam hubungan kerja atau berdasarkan pesanan yaitu pihak yang membuat Ciptaan.

Pasal 40(1)s memasukkan program komputer sebagai ciptaan yang dilindungi. Penerapannya pada software pesanan adalah pembacaan kami; kami belum memeriksa putusan pengadilan. Sisi OJK lebih tegas: PADK BAB II.C.2 huruf i menyebut bank memiliki kode sumber perangkat lunak yang dikembangkan khusus untuknya, agar dapat diakses "untuk kepentingan pemeriksaan dan penyidikan". Jadi tujuannya pengawasan, bukan sekadar kenyamanan pindah vendor.

Escrow bersifat bersyarat. PADK menyebutnya sebagai mitigasi yang dapat dilakukan jika bank tidak memiliki kode sumber. SEOJK 22/2021 Bab VI angka 9 lebih keras untuk nonbank: memastikan adanya escrow agreement atas aplikasi yang dianggap penting.

Transisi dan jalan keluar

Isi standar perjanjian di PADK BAB V B.3.a berjumlah 16 butir dan diterapkan sesuai skema, jenis layanan dan kompleksitas. Empat butir perlu sudah terlihat di TOR agar vendor memasukkannya ke harga:

• Butir 9: akses bagi OJK dan pihak berwenang untuk memeriksa.
• Butir 10: dokumen teknis diserahkan ke bank.
• Butir 13: alih pengetahuan ke SDM bank.
• Butir 14: pengakhiran, termasuk bila OJK memerintahkan bank menghentikan jasa sebelum kontrak berakhir.

Dari tujuh panduan TOR yang kami baca dan rinci di bagian bawah, 0 menyinggung pengakhiran kontrak.

Beda TOR, proposal dan kontrak

Beberapa panduan yang beredar menyebut TOR sebagai perjanjian. Pendapat kami, TOR baru mengikat bila kontrak memasukkannya sebagai lampiran atau rujukan. Jika tidak, TOR hanya bahan tender, yang tahapnya tidak kami bahas di sini.

Siapa pembuat TOR? Pembeli, dan di bank penulisnya sebaiknya bukan satu orang. PADK menempatkan pengembangan TI di bawah kendali satuan kerja TI, dengan tim proyek yang anggotanya paling sedikit dari satuan kerja TI dan pengguna. Menerapkan itu ke penulisan TOR adalah pembacaan kami.

Kenapa 5W+1H tidak cukup

Rumus itu cocok untuk seminar. Pada 2 November 2026 kami membaca teks tujuh halaman dari hasil pencarian "apa itu tor" (Weefer, Jurnal, Gramedia, Dealls, Moka, Kumparan, Souvia). Hasilnya: 0 mengutip peraturan bernomor, 0 membahas keamanan di isi artikel, 0 menyebut kode sumber, 0 menyebut UAT. Contoh yang dipakai halaman-halaman itu kebanyakan acara dan kegiatan, bukan pembelian sistem. Hasil pencarian berubah dari hari ke hari, jadi angka ini hanya berlaku untuk tanggal itu. AI Overview Google untuk kata kunci yang sama, hari itu juga, masih menyusun isi TOR dengan prinsip 5W+1H, mengutip Gramedia, Jurnal dan Accurate, antara lain.

Yang perlu dilakukan sebelum TOR dikirim

• Head of Digital: jadikan tujuh komponen PADK sebagai judul bab, dan buang template kegiatan.
• CISO: tulis standar pengamanan yang akan diuji saat UAT, karena itu syarat kedua kelulusan.
• Kepatuhan dan SKAI: periksa empat butir kontrak di atas, lalu catat dasar hukumnya: PADK untuk bank umum, SEOJK 22/2021 untuk asuransi dan multifinance.
• Legal: putuskan pemilikan kode sumber sebelum tender, bukan saat negosiasi.

Bila TOR Anda menyangkut pengembangan website atau aplikasi mobile, kami bisa membahas bab lingkupnya bersama tim TI Anda.