Mobile Banking Adalah Layanan Digital: Keputusan Wajib Bank

Mobile banking adalah layanan bank untuk bertransaksi lewat aplikasi yang diunduh ke smartphone, begitu definisi OJK di laman edukasi Sikapi Uangmu. Tapi aturan yang mengikat bank tidak memakai istilah itu: POJK 21 Tahun 2023 tentang Layanan Digital oleh Bank Umum, berlaku sejak 22 Desember 2023, tidak menyebut "mobile banking" sekali pun di 40 pasalnya. Bagi OJK, aplikasi Anda adalah Layanan Digital, dan nama itu membawa keputusan yang harus diambil dan didokumentasikan bank sendiri: unit pengelola, izin produk bila berlaku, kepemilikan kode sumber, dan layanan pengaduan 24 jam.

Artikel ini untuk Head of Digital atau CIO yang menentukan apa saja yang harus dicakup channel mobile dan internet milik bank, dengan tim kepatuhan sebagai pembaca kedua. Halaman yang muncul di Google untuk kueri ini menjelaskan fitur aplikasi kepada nasabah. Kami membaca regulasinya dari sisi institusi.

Pengertian mobile banking menurut OJK

Definisi konsumennya ada di artikel Sikapi Uangmu OJK: mobile banking adalah layanan yang disediakan bank untuk berbagai transaksi melalui fitur atau menu di aplikasi yang diunduh dan dipasang di smartphone. Laman itu materi edukasi, bukan regulasi, dan tidak bertanggal.

Definisi hukumnya ada di Pasal 1 angka 4 POJK 21/2023:

Layanan Digital adalah produk Bank dalam bentuk layanan yang diberikan oleh Bank dengan pemanfaatan TI melalui media elektronik untuk memberikan akses bagi nasabah dan/atau calon nasabah terkait produk Bank maupun produk dan/atau layanan dari mitra Bank, serta dapat dilakukan secara mandiri oleh nasabah dan/atau calon nasabah.

Kami menghitung kemunculan istilahnya di teks resmi POJK 21/2023. "Mobile banking" muncul 5 kali, semuanya di bagian Penjelasan, dan 0 kali di batang tubuh maupun Lampiran. "Internet banking" muncul 2 kali, juga hanya di Penjelasan. "Layanan Digital" muncul lebih dari 140 kali. Penjelasan Umum menempatkan internet banking dan mobile banking sebagai delivery channel milik bank. Jadi ketika pemeriksa OJK datang, yang diperiksa bukan "aplikasi mobile banking". Yang diperiksa adalah penyelenggaraan Layanan Digital.

Pasal 4 menarik satu batas yang perlu diingat. Layanan yang hanya memberi informasi publik dan berkomunikasi dengan nasabah, tanpa transaksi dan tanpa akses ke rekening, bukan produk bank. Penjelasannya memberi contoh contact center dan chatbot. Begitu situs atau aplikasi menampilkan saldo, ia masuk rezim Layanan Digital.

Soal cakupan: POJK 21/2023 hanya mengikat Bank Umum, yaitu bank konvensional, bank syariah, kantor cabang bank asing dan UUS. Asuransi dan multifinance tidak terikat olehnya.

Perbedaan mobile banking dan internet banking di mata regulator

Bagi OJK, keduanya satu kategori. Format laporan di Lampiran III PADK 1 Tahun 2026 tentang Penyelenggaraan TI oleh Bank Umum (ditetapkan 23 Januari 2026, berlaku 1 Maret 2026) mendaftar jenis Terminal Perbankan Elektronik sebagai "Phone Banking; SMS Banking; Internet/Mobile Banking". Satu baris untuk keduanya, dilaporkan per tahun dengan frekuensi, nominal dan jumlah pengguna.

Format 3.2.17 di PADK yang sama lebih tajam. Daftar identifikasi infrastruktur informasi vital hanya memuat dua jenis sistem: Core Banking System dan Internet banking dan/atau mobile banking. Channel digital Anda duduk di samping core banking sebagai kandidat sistem vital.

Jadi bedanya ada di perangkat dan antarmuka, bukan di aturannya. Itu bacaan kami, bukan kalimat OJK. Satu detail tetap layak dicatat: Penjelasan Pasal 13 ayat (4) huruf a POJK 21/2023 memakai internet banking transaksional sebagai contoh Layanan Digital yang baru pertama kali diterbitkan bank, yang wajib dikaji pihak independen di luar bank, misalnya konsultan keamanan TI. Contoh itu mencakup transaksi finansial (transfer, bayar, beli) maupun nonfinansial (cek saldo, mutasi).

Soal mana yang lebih aman, hanya satu halaman yang ranking yang mengambil sikap. pasartrainer (17 Februari 2025) menyebut mobile banking lebih aman daripada internet banking. Dealls (18 Februari 2025) mendaftar fitur keamanan dan risiko phishing untuk keduanya, tanpa menyatakan salah satunya lebih aman. Isi halaman BTN (5 Desember 2024) tidak bisa kami baca, jadi posisinya belum terverifikasi. Menurut kami pertanyaannya sendiri keliru. Keamanan ditentukan desain autentikasi yang dipilih bank, bukan jenis channel. Pasal 9 ayat (1) mewajibkan minimal dua faktor autentikasi untuk verifikasi transaksi keuangan, di channel mana pun.

Fitur yang "dimiliki" aplikasi vs keputusan yang wajib diambil bank

Tabel berikut menyandingkan klaim yang lazim di artikel konsumen dengan apa yang POJK 21/2023 dan PADK 1/2026 minta bank putuskan dan dokumentasikan. Kolom terakhir adalah dasar hukumnya.

Kami membaca 11 halaman yang ranking atau dikutip AI Overview untuk kueri "mobile banking adalah" pada 9 November 2026. Tidak satu pun menyebut OJK, POJK atau PADK.

Ruang lingkup transaksi dan izin produk

Pasal 11 POJK 21/2023 menjadikan layanan sistem pembayaran berizin Bank Indonesia sebagai "produk Bank dasar". Penjelasannya menyebut QRIS dan dompet elektronik, dengan contoh menambahkan pembayaran QRIS ke aplikasi mobile banking yang sudah ada. Layanan yang memenuhi kriteria produk baru lain ceritanya. Ia butuh izin OJK (Pasal 12), dengan surat pernyataan yang ditandatangani direktur kepatuhan dan direktur yang membawahkan (Pasal 13 ayat 2), plus kajian independen atas karakteristik produk, kecukupan pengamanan sistem TI dan kepatuhan. Untuk penambahan fitur, kajian boleh internal, tapi pengkajinya tidak boleh ikut merancang atau membangun aplikasi. Tim vendor tidak bisa mengkaji pekerjaannya sendiri.

Setelah go-live, laporan realisasi jatuh tempo paling lama 5 hari kerja setelah implementasi, dan laporan evaluasi paling lama 3 bulan (Pasal 32). Telat menyampaikan laporan evaluasi didenda Rp1.000.000 per hari kerja, paling banyak Rp50.000.000 per laporan (Pasal 36). Menurut Lampiran IV, evaluasi itu mencakup kinerja sistem, komplain nasabah, kesesuaian dengan user requirement dan efektivitas pengamanan. Di sinilah usability testing sebelum go-live menghasilkan bukti yang bisa dilampirkan.

Limit transaksi adalah keputusan risiko, bukan konstanta

POJK 21/2023 tidak menetapkan batas nominal transaksi. Satu-satunya angka rupiah di dalamnya, Rp500.000, adalah contoh di Penjelasan Pasal 9 ayat (2): transaksi di bawah angka itu tidak perlu memasukkan password lagi, asalkan didasarkan analisis risiko bank dan persetujuan nasabah. Itu ilustrasi, bukan plafon.

Limit yang dipublikasikan bank memperlihatkan konsekuensinya. Tabel limit m-BCA di laman BCA mobile dibedakan per jenis rekening: transfer antar-BCA Rp50–150 juta dan antarbank Rp20–50 juta, dan limit itu digabung dengan limit transfer ATM. Tabel tersebut bertanda "Update: 8 Oktober 2021", sementara tarif SMS di halaman yang sama diperbarui 13 Oktober 2025. Limit adalah parameter produk yang butuh pemilik, jadwal tinjau dan jejak persetujuan. Bukan angka yang dibiarkan di situs selama lima tahun.

Onboarding di dalam aplikasi

Pasal 5 ayat (3) memberi tiga jalur verifikasi: tatap muka langsung, tatap muka elektronik, dan tidak tatap muka secara elektronik. Untuk dua jalur elektronik, ayat (7) mewajibkan faktor "something you are", yaitu biometrik, sebagai salah satu dari dua faktor. Keputusan bank adalah jalur mana yang dibuka di aplikasi dan mana yang tetap terikat ke cabang. Detail tiap langkahnya kami bahas di dasar hukum KYC dan onboarding digital.

Ketersediaan sebagai kewajiban

"Bisa diakses 24 jam" di artikel konsumen adalah fitur. Di POJK 21/2023 ia kewajiban: Pasal 21 memasukkan ketersediaan ke dalam sembilan prinsip pengendalian pengamanan, dan Pasal 26 mewajibkan fungsi penanganan pertanyaan dan pengaduan yang beroperasi 24 jam sehari, setiap hari, termasuk hari libur. PADK 1/2026 menambah tenggat notifikasi awal insiden TI ke OJK: paling lama 24 jam setelah insiden diketahui. Angka uptime dan RTO tidak ada di kedua teks. Itu keputusan bank yang perlu ditulis di kontrak, seperti kami uraikan di SLA, menit downtime dan klausul OJK dan di biaya ketersediaan channel bank.

Siapa pemilik channel ketika vendor yang membangunnya

Pasal 18 POJK 21/2023 mewajibkan bank membentuk unit atau fungsi yang menangani penyelenggaraan Layanan Digital, dengan tujuh tugas, termasuk memantau data transaksi keuangan. Unit yang sudah ada boleh memegang fungsi ini, tapi harus ditunjuk. Penjelasan Pasal 2 ayat (1) menegaskan bahwa penyediaan jasa TI, misalnya switching dan API, tidak termasuk Layanan Digital. Vendor TI bukan mitra; layanannya tetap milik bank.

PADK 1/2026 menurunkannya ke hal yang bisa diperiksa:

• Bank harus memiliki kode sumber perangkat lunak yang dikembangkan khusus untuknya, agar bisa diakses untuk pemeriksaan dan penyidikan (Lampiran I BAB II.C.2 huruf i, halaman 14).
• Escrow agreement hanya mitigasi bila bank tidak memiliki kode sumber aplikasi yang diselenggarakan PPJTI (BAB V, halaman 60).
• Bank tetap bertanggung jawab atas pemrosesan transaksi yang dilakukan PPJTI (BAB VI, halaman 63), sejalan dengan Pasal 39 POJK 11/POJK.03/2022, yang mewajibkan pemrosesan transaksi berbasis TI di wilayah Indonesia.
• Format laporan Daftar Aplikasi meminta, untuk setiap aplikasi kategori "06: Layanan Digital", kolom pengembang ("inhouse" atau nama PPJTI) dan status "Sewa" atau "Beli Putus".

Butir terakhir paling sering terlewat saat pengadaan. Kalau kontrak vendor tidak menjawab dua kolom itu, laporan tahunan ke OJK yang akan memaksanya. Cara memasukkannya ke dokumen pengadaan ada di tujuh komponen TOR untuk website dan aplikasi bank, dan soal penempatan data di kewajiban bank saat memakai cloud.

Seberapa besar volume yang Anda kelola

Menurut Siaran Pers Bank Indonesia No. 28/233/DKom tanggal 21 Oktober 2026, volume transaksi pembayaran digital pada triwulan III 2026 mencapai 18,09 miliar transaksi, tumbuh 39,24% yoy. Volume lewat internet payments tumbuh 14,26% dan mobile payments 45,55%. BI mendefinisikan pembayaran digital sebagai transaksi melalui mobile banking, internet banking dan uang elektronik berbasis server, jadi angka mobile payments tidak murni mobile banking. Arahnya tetap terbaca: channel mobile tumbuh sekitar tiga kali lebih cepat daripada channel web.

Bagaimana dengan asuransi dan multifinance

POJK 21/2023 tidak berlaku bagi mereka. Untuk perusahaan asuransi yang menjual produk secara digital, Pasal 58 ayat (2) POJK 8 Tahun 2024 (diundangkan 29 April 2024, berlaku enam bulan kemudian) mewajibkan tanda daftar PSE dan kebijakan manajemen risiko TI, dan Pasal 60 membatasi produk yang dijual digital pada polis individual dengan seleksi risiko sederhana. Aturan itu mengatur penjualan. Kami belum menemukan teks OJK yang mengatur aplikasi layanan pemegang polis yang tidak menjual, jadi jangan berasumsi aplikasi semacam itu otomatis masuk POJK 8/2024. Untuk multifinance, kami belum memeriksa ulang aturan channel-nya dan tidak akan menebak.

Pengalaman WEBARQ di sektor ini berupa web channel untuk lembaga keuangan, bukan aplikasi mobile banking. Untuk MSIG, pembelian asuransi online terhubung langsung ke sistem keuangan inti untuk penjualan polis dan penagihan premi, dengan e-policy yang terbit otomatis. Untuk PFI Mega Life, pembelian online terhubung ke ERP internal, dan pengelolaan e-policy sengaja tidak mendukung perpanjangan otomatis supaya nasabah tetap memegang kendali. Pola integrasi ke sistem inti seperti itu juga yang menentukan arsitektur channel bank. Lampiran I POJK 21/2023 meminta permohonan izin menjelaskan arsitektur TI dan bentuk koneksinya dengan core banking system.

Yang perlu ada di meja Head of Digital sebelum rapat berikutnya

1. Nama unit atau fungsi yang memegang Layanan Digital sesuai Pasal 18, dan tujuh tugasnya dalam uraian jabatan.
2. Peta fitur: mana produk dasar, mana yang butuh izin OJK dan kajian independen.
3. Dokumen analisis risiko di balik setiap limit, dengan tanggal tinjau terakhir.
4. Untuk setiap aplikasi: pengembang, status Sewa atau Beli Putus, dan lokasi kode sumbernya.
5. Bukti fungsi pengaduan 24 jam di hari libur, dan prosedur notifikasi insiden 24 jam ke OJK.
6. Fitur bagi nasabah untuk mencabut akses mitra ke data mereka (Pasal 29 ayat 3).

Kalau Anda sedang merencanakan channel baru atau mengganti vendor, tim pengembangan aplikasi mobile WEBARQ bisa membantu menyusun ruang lingkup yang menjawab daftar di atas sejak dokumen pengadaan, bukan saat laporan tahunan jatuh tempo.