## BUSINESS IMPACT ANALYSIS TERKAIT PENANGANAN DAN PEMULIHAN TERHADAP BENCANA DI PT BANK XYZ

## Rubil
Computer Science Department, School of Computer Science, Binus University Jl. K.H. Syahdan No. 9, Palmerah, Jakarta Barat 11480 rubil@binus.ac.id

## ABSTRACT
For each company, disasters may have diverse impacts either financially or non-financially. Therefore, a company requires a business continuity plan. One important factor in developing such plan is Business Impact Analysis (BIA). With BIA, a company can identify and analyze Critical Business Functions (CBFs) and potential impacts on the business whether operationally or financially, and further, business recovery priority, strategy and solution can be determined following a disaster.Methodologies used in developing this BIA are quantitative and qualitative where for aspects related to financials, quantitive method is used. Meanwhile, for those aspects related to non-financial areas, qualitative method is used. The development of this BIA was done through the dissemination of questionnaires to 62 business units in PT Bank XYZ. To draw the BIA, eight parameters were used, where as for the final result, there were three criticality levels found in the business units of PT Bank XYZ, i.e. very critical level - 18 business units (29%), critical level - 23 business units (37%) and less critical level – 21 business units (34%). In addition, there were 71 applications used by CBFs. Based on the results of this study, PT Bank XYZ can determine the priority and key strategies for business units that require handling and recovery when a disaster occurs to maintain the bank's business operation's continuity and sustainability.With that, the company can minimize the potential loss resulted from a disaster.
Keywords: disaster, business impact analysis (BIA), critical business function (CBFs)

## ABSTRAK
Bagi setiap perusahaan bencana bisa berdampak luas baik secara finansial maupun non finasial, sehingga diperlukan suatu rencana untuk kelangsungan bisnis sebuah perusahaan. Salah satu faktor penting dalam pembuatan rencana tersebut adalah business impact analysis (BIA). Dengan BIA perusahaan dapat melakukan identifikasi dan analisis terhadap critical business function (CBFs) dan dampak kerusakan yang mungkin timbul terhadap bisnis baik secara operasional maupun finansial dan selanjutnya dapat menentukan prioritas, strategi dan solusi pemulihan bisnis setelah terjadi bencana. Metodologi yang dipakai dalam pembuatan BIA ini adalah kuantitatif untuk aspek-aspek yang berhubungan dengan sisi finansial, dan metode kualitatif untuk aspek non finansial. Pembuatan BIA ini dilakukan dengan menyebarkan kuesioner ke 62 unit bisnis di PT Bank XYZ. Untuk mendapatkan BIA digunakan delapan parameter yang hasil akhirnya didapat tiga tingkat kritikalitas dari bisnis unit yang ada di PT Bank XYZ, yaitu kategori sangat kritikal 18 bisnis unit (29%), kategori kritikal 23 bisnis unit (37%) dan kategori kurang kritikal 21 bisnis unit (34%). Selain itu, ada 70 aplikasi yang digunakan oleh CBFs. Dari hasil penelitian ini, PT Bank XYZ dapat menentukan prioritas, strategi utama terhadap bisnis unit mana yang harus dilakukan penanganan dan solusi pemulihan jika terjadi bencana sehingga kesinambungan/kelangsungan bisnis operasional Bank dapat terjaga dengan baik. Dengan demikian perusahaan dapat meminimalisasi kerugian yang mungkin timbul jika terjadi bencana.
Kata kunci: bencana, business impact analysis (BIA), critical business function (CBFs)

## PENDAHULUAN
Sebanyak 43% perusahaan yang kehilangan sebagian besar datanya langsung tutup, 51% hanya mampu bertahan dalam 2 tahun berikutnya, dan hanya 6% yang sanggup bertahan (Gartner Grup). Pada 11 Maret 2011, gempa bumi yang dahsyat dan tsunami melanda pulau Honshu Jepang, menyebabkan kerusakan luas, termasuk pemadaman, kebakaran dan kerusakan infrastruktur besar termasuk pada instalasi PLTN mereka. Sebelumnya, serangan terhadap WTC pada 11 September 2001, tsunami di Aceh dan gempa di berbagai daerah di Indonesia yang seringkali terjadi telah menyadarkan kita bahwa bencana selalu menanti di depan dan sekitar kita. Bencana yang terjadi menimbulkan berbagai dampak mulai dari skala lokal bahkan regional. Kerugian yang timbul pada beberapa perusahaan saat terjadinya banjir besar di Jakarta pada tanggal 6-7 Februari 2007 sebagai berikut (Tabel 1):

## Tabel 1.
Kerugian saat banjir di Jakarta 6-7 Februari 2007
LEMBAGA TOTAL KERUGIAN (Rp) Asosiasi Pengusaha Indonesia 1 Triliun PT Bank Negara Indonesia Tbk (BNI) 2.6 miliar selama tiga hari PT PLN (Persero) 51 miliar PT Telekomunikasi Indonesia Tbk (Telkom) 1.5 – 3 miliar Angkutan umum 7.1 miliar per hari Mandala Air 1 miliar per hari PT Kereta Api 7.2 miliar PT Asuransi Bintang Tbk 45 miliar PT Bank Mandiri Tbk 10 miliar
(Sumber: Tempo dan Republika)
Bagi setiap perusahaan tentunya bencana bisa berdampak luas baik secara finasial maupun non finansial, sehingga penting untuk diantisipasi dengan membuat sebuah rencana. Business continuity management (BCM) merupakan sebuah rencana yang merupakan bagian penting dari rencana kelangsungan bisnis sebuah perusahaan. Dengan adanya BCM yang dibuat secara akurat dan tepat serta teruji dan terpelihara, sebuah organisasi/perusahaan diharapkan dapat melakukan langkah- langkah yang terencana sehingga dampak dari bencana yang telah terjadi dapat diminimalisasi dan perusahaan tetap dapat mempertahankan bisnisnya (PBI No9/15/PBI/2007 tanggal 30 Nov 2007 Pasal 13 ayat 1). Salah satu aspek penting dari pembuatan BCM adalah business impact analysis (BIA) . Berdasarkan PBI No9/15/PBI/2007 tanggal 30 Nov 2007 Pasal 13 ayat 2: ”Bank wajib melakukan ujicoba atas Business Continuity Plan dan Disaster Recovery Plan terhadap seluruh system/aplikasi dan infrastruktur yang kritikal sesuai hasil BIA, paling kurang sekali dalam satu tahun dengan melibatkan end user (end to end) ”. Menurut Goh Moh Heng (2008), BIA adalah suatu proses identifikasi dan analisis terhadap Critical Business Function (CBFs) dan dampak kerusakan yang mungkin timbul terhadap suatu organisasi/perusahaan. Hasil dari BIA dapat digunakan oleh suatu organisasi/perusahaan untuk: (1) melakukan penilaian terhadap dampak kerusakan pada suatu area fungsional atau bisnis unit di suatu organisasi/perusahaan; (2) menentukan ketergantungan utama terhadap fungsional dan operasional yang ada ada dalam suatu organisasi/perusahaan; (3) menetapkan prioritas dan urutan terhadap aplikasi-aplikasi kritikal dan fungsi bisnis utama yang harus dipulihkan jika terjadi bencana.
Critical Business Functions (CBFs) mengacu kepada area-area vital dari bisnis yang sangat penting demi kelangsungan hidup dari suatu organisasi, tanpa unit bisnis ini, organisasi tidak
mendapatkan keuntungan, dipercaya atau terus berjalan dalam pemberian produk dan/atau jasa terhadap pelanggan, klien atau warga negara jika berhubungan dengan pemerintahaan (Goh Moh Heng, 2008). Menurut British Standard 25999-1:2006, saat melakukan penilaian terhadap dampak, sebuah organisasi harus mempertimbangkan hal-hal yang berhubungan dengan tujuan dan sasaran bisnisnya, yaitu: (1) dampak terhadap karyawan atau kesejahteraan publik; (2) dampak terhadap kerusakan yang ditimbulkan, kehilangan, bangunan, teknologi atau informasi; (3) dampak terhadap pelanggaran undang-undang atau regulasi; (4) rusaknya reputasi; (5) kerugian terhadap finansial; (6) memburuknya kualitas produk atau servis; (6) kerusakan lingkungan.
Ruang lingkup dari proses BIA ini adalah: (1) dilakukan terhadap 62 business/support unit dengan fungsi bisnis yang berbeda. Menurut struktur organisasi PT Bank XYZ di akhir tahun 2011 (Total 224 Grup).; (2) grup yang dilakukan pre-assessment adalah 164 grup sedangkan 60 grup sisanya tidak dilakukan assessment dikarenakan kesamaan fungsi; (3) dilakukan tanpa risk assessment (RA) per grup, namun proses RA dilakukan berdasarkan lokasi kerja critical business function (CBF). Proses pengisian data BIA dilakukan dengan asumsi: (1) fungsi bisnis mengalami gangguan/bencana yang berdampak terhadap finansial dan non finansial dalam jangka waktu tertentu ( maximumtolerable downtime ); (2) resource (sumber daya manusia, sarana & prasarana kerja) yang dapat dialokasikan fungsi bisnis pada saat mengalami gangguan/bencana sampai pada level layanan tertentu.
Proses BIA dilakukan untuk mengidentifikasi, mengkuantifikasi dan mengkualifikasi terhadap hal-hal sebagai berikut: (1) tingkat kepentingan ( criticality ) masing-masing fungsi bisnis dan ketergantungan antar grup serta prioritas yang diperlukan; (2) tingkat maximum tolerable downtime (MTD), yaitu estimasi downtime maksimum yang dapat ditoleransi akibat terhentinya fungsi bisnis serta dampak downtime terhadap kerugian financial; (3) tingkat recovery point objective (RPO), yaitu estimasi waktu yang dibutuhkan atas kehilangan data antara backup data terakhir sampai dengan data saat terjadi bencana; (4) tingkat work recovery time (WRT) atau time to clear backlog, yaitu jumlah waktu yang dibutuhkan untuk menyelesaikan seluruh pekerjaan yang tertunda akibat terjadinya bencana; (5) tingkat minimum resources requirement (personil, data dan kelengkapan sistem serta fasilitas yang diperlukan secara minimal agar bisnis bisa pulih dan berjalan); (6) tingkat ketergantungan terhadap penyedia jasa baik TI maupun Non TI. Proses BIA ini dilakukan dengan tujuan: (1) melakukan validasi kesesuaian BIA dari masing-masing fungsi bisnis di tahun sebelumnya sehubungan dengan adanya perubahan struktur organisasi PT Bank XYZ yang dinamis; (2) mempertajam BIA assessment terhadap fungsi-fungsi bisnis dengan kategori “Very Critical”/Critical Business Function (CBF) maupun kategori “Critical” sesuai proses pre-assessment; (3) mengidentifikasi dampak bencana/gangguan terhadap fungsi bisnis untuk selanjutnya menentukan kebutuhan pemulihan bisnis berdasarkan tingkat kritikal terhadap bank, sehingga kesinambungan/kelangsungan bisnis operasional Bank dapat terjaga dengan baik; (4) hasil BIA ini menjadi referensi/rujukan/basis ke seluruh unit terkait terutama IT direktorat sebagai unit yang mensupport fungsi bisnis terkait dengan critical application.

## METODE

## Pengumpulan Data
Tahapan proses BIA dilakukan dengan menggunakan metode penyebaran kuesioner ke seluruh fungsi bisnis di PT Bank XYZ dan juga melakukan interview secara langsung bagi fungsi bisnis yang memerlukan penjelasan lebih detail. Tujuan dari penyebaran kuesioner ke grup-grup tersebut adalah untuk mendapatkan data dari masing-masing fungsi bisnis untuk selanjutnya dilakukan analisis dalam menentukan fungsi bisnis yang paling kritikal. Berikut gambar/bagan yang menunjukan keterkaitan antara data BIA bisnis unit ( input ) dengan hasil yang diharapkan ( output ) (Gambar 1):
Gambar 1. BIA input and output information.

## Kebutuhan Waktu Pemulihan
Kebutuhan waktu pemulihan untuk tujuan pengukuran/analisis strategi pemulihan proses bisnis yang kritikal, didapatkan dari masing-masing fungsi bisnis melalui kuesioner BIA yang disebarkan. Kebutuhan waktu pemulihan oleh IT atau disebut dengan Recovery Time Objective (RTO) akan disiapkan oleh divisi IT yang berhubungan dengan infrstruktur (untuk Critical Business Function). Berikut gambar yang menunjukan keterkaitan antara waktu yang dibutuhkan mulai dari saat terjadi gangguan/bencana sampai dengan proses recovery (Gambar 2).

## Tahapan Proses BIA
Secara keseluruhan proses BIA dilakukan melalui sembilan tahapan sebagai berikut (Gambar 3): (1) menentukan tujuan, ruang lingkup dan asumsi yang dibutuhkan untuk membuat/proses BIA; (2) menyiapkan kuesioner BIA berdasarkan tujuan, ruang lingkup dan asumsi yang telah disepakati; (3) menyiapkan BIA Scoring Tool untuk melakukan penilaian terhadap seluruh kuesioner BIA dari fungsi bisnis; (4) melakukan internal pre-assessment untuk mempertajam BIA assessment terhadap fungsi- fungsi bisnis dengan kategori “ Very Critical”/Critical Business Function (CBF) maupun kategori “ Critical ”; (5) melakukan workshop BIA, yaitu mensosialisasikan tata cara pengisian kuesioner BIA dan mendistribusikannya kepada seluruh business/support unit .; (6) mengumpulkan kuesioner BIA dari seluruh business/support unit, serta membantu business/support unit yang membutuhkan bantuan pengisian kuesioner; (7) review BIA kuesioner untuk melakukan kaji ulang data kuesioner BIA yang telah diserahkan oleh business/support unit terkait (identifikasi fungsi bisnis, dampak finansial dan non finansial, maximum tolerable downtime (MTD), minimimum resource , ketergantungan internal & eksternal, vital record , recovery point objective (RPO), dan readiness business/support unit dalam menghadapi gangguan/bencana); (8) mengientifikasi fungsi kritikal dari masing-masing business/support unit menggunakan BIA scoring tool ; (9) meembuat laporan BIA & approval , yaitu meembuat resume dari keseluruhan fungsi bisnis yang telah teridentifikasi berdasarkan tingkat kritikalitasnya, diteruskan dengan memintakan consent dan approval kepada pihak-pihak terkait.
Gambar 2. Disaster – recovery time frame.
Gambar 3 . Tahapan proses BIA .

## Parameter pada Proses BIA
Terdapat delapan parameter yang dipergunakan, sebagai berikut (Tabel 2):

## Tabel 2 Parameter yang Digunakan pada Proses BIA
No. Item Description 1. Role of Business Function Mengidentifikasi kritikalitas masing-masing fungsi bisnis dalam pemenuhan tujuan organisasi secara keseluruhan. 2. Revenue Rating Mengidentifikasi kontribusi pendapatan dari setiap fungsi bisnis. 3. Dependency Rating Mengidentifikasi kontribusi tingkat support masing-masing fungsi bisnis 4. System & Manual Processing Mengidentifikasi ketergantungan setiap fungsi bisnis terkait dengan system/aplikasi yang digunakan, dan menilai kemampuan memproses secara manual. 5. Customer Service
Mengidentifikasi hubungan nasabah eksternal (external customer relationship) untuk setiap fungsi bisnis.
6. Regulatory Reporting & Compliance
Mengidentifikasi frekuensi dan jenis pelaporan eksternal setiap fungsi bisnis untuk memenuhi kepatuhan regulasi (cth: BI,
Pajak, dll).
7. Transaction Value & Volume Mengidentifikasi jenis transaksi, volume dan periode puncak (peak period) transaksi setiap fungsi bisnis.
8. Potential Business Impact – MTD Mengidentifikasi dampak financial dan non financial dalam menentukan waktu maksimum terhentinya bisnis/Maximum Tolerable Downtime (MTD) Financial Impact Profit and/or Cash Flow Potensi penurunan laba dan atau kekurangan dalam Arus Kas (Cash Flow) saat ini Loss of Existing and/or new business Potensi kerugian dikarenakan terhentinya bisnis yang ada dan/atau kehilangan peluang bisnis baru (dinilai berdasarkan jumlah pokok bruto) Compensation Payment Potensi jumlah kompensasi yang harus dibayarkan kepada pelanggan karena gangguan tersebut Contractual Penalties Potensi jumlah denda yang harus dibayar pada saat terjadi gangguan berdasarkan ayat (clause) yang disebutkan dalam kontrak Lost productivity Potensi kerugian pada penghematan biaya pada kegiatan yang direncanakan karena penggunaan biaya yang tidak efisien Additional/Extraordinary Expenses Tambahan atau jumlah biaya/ pengeluaran yang luar biasa yang akan timbul akibat gangguan tersebut Non Financial Impact Customer Service Potensi kehilangan pelanggan yang sudah ada karena ketidakmampuan untuk menyediakan layanan kepada mereka Reputation Potensi dampak terhadap reputasi pada lingkungan eksternal PT Bank XYZ Customer Confidence Potensi hilangnya kepercayaan pada pelanggan yang potensial Legal & Contractual Violations Potensi tindakan hukum diambil terhadap bank karena pelanggaran kontrak Regulatory Requirement Potensi kegagalan untuk mematuhi undang-undang, kebijakan atau persyaratan yang ditetapkan oleh badan pengawas (Regulatory)yang relevan Stakeholders Reaction Potensi tindakan negatif yang dapat diambil oleh para stakeholders Staff Morale Berpotensi pada penurunan moral diantara staff

## Tingkat Kritikal
Tingkat kritikalitas business unit ditentukan oleh hasil BIA Score (Gambar 4), dengan mempergunakan BIA Scoring Tool .  Tingkat kritikal dibagi menjadi empat kriteria, yaitu: very critical, critical, less critical , dan non critical .
BIA SCORE (BS)
x ≤ 13,92 13,93 ≤ x ≤ 27,85 27,86 ≤ x ≤ 41,77 x ≥ 41,78 Non-Critical Less Critical Critical Very Critical
Gambar 4. BIA Score.

## HASIL DAN PEMBAHASAN
Berdasarkan hasil evaluasi dan analisis terhadap data BIA dari masing-masing grup, berikut hasil dari keseluruhan proses BIA: (1) total partisipan business/support unit adalah 62 Grup; (2) total dokumen kuesioner BIA yang masuk adalah 52 BIA (Dikarenakan adanya beberapa Business/Support Unit yang pengisiannya disatukan dalam satu dokumen kuesioner BIA); (3) tingkat kritikal business/supporting unit berdasarkan hasil scoring BIA:
Kategori Very Critical/Critical Business Function (CBF) =  18 Grup Kategori Critical =  23 Grup Kategori Less Critical =  21   Grup Kategori Non Critacal =  0    Grup
Prosentasenya dapat dilihat pada Gambar 5. Catatan: Critical business function (CBF) pada hasil BIA adalah jumlah dari kategori very critical (10 Grup) dan sebagian dari kategori critical (8 Grup) berdasarkan keterkaitannya dengan proses end-to-end grup very criti cal dan/atau peraturan regulasi.
Gambar 5 . Prosentasi proses bisnis berdasarkan kritikalitas.
Aplikasi yang dipergunakan oleh critical business function berdasarkan hasil BIA adalah (Tabel 3).

## Tabel 3

## Daftar Aplikasi yang Digunakan oleh Critical Business Function
No.  System/Application No. System/Application 1. Affina Solution 36. MPN Pajak (web) 2. AKKI 37. MS Office 3. AS/400 apps 38. Murex 4. Asccend 39. Murex/LHBU 5. Bank Trade 40. OMPK 6. BI-SSSS 41. Payment Bank Monitoring System 7. Bizchannel 42. Payment Bank System 8. Bloomberg 43. Payment Bank Work Station (Cbest) 9. BMC Patrol (server monitoring) 44. Remedy 10. Call Center System 45. Reuters 11. Cashy Online 46. Reuters 3000 Xtra 12. C-Best 47.  Reuters Dealing 13. CISCO 48.  RTGS 14. Citynet 49.  S4 15. C-Tass System 50.  Sentrapay 16. CTP 51.  SIBS 17. EDMS 52.  SICS 18. Email 53.  SID BI 19. eTax 54.  SKN 20. FIN IQ 55.  SmartStream 21. Finn One 56. Solarwind (network monitoring) 22. FINN-ONE 57.  SPEKTA 23. Flexigen 58. Statement by PDF 24. FTP File 59.  Swift 25. GS (AS/400 apps.) 60.  Telex 26. GS (Pajak) 61.  TPK/STPK 27. HiPortfolio 62.  Unit Registry System 28. Internet 63.  Unix apps 29. Internet (VISA - MasterCard On line) 64. URS 30. Intranet 65.  Wintel apps 31. IPC 66.  Smart Inward 32. Member Reward 67.  SVS 33. MLC 68.  New Jive 34. Monitosis Delivery 69.  URS 35. Mosaic 70.  Wintel apps

## PENUTUP
Setelah dilakukan evaluasi terhadap 62 unit bisnis maka berdasarkan tingkat kritikalitas diperoleh tiga jenis kategori fungsi bisnis, yaitu very critical, critical dan less critical . Selain itu dapat diketahui ada 70 aplikasi yang dipergunakan oleh unit bisnis dengan kategori kritikal. Dari hasil BIA tersebut, Dengan BIA perusahaan dapat melakukan identifikasi dan analisis terhadap Critical Business Function (CBFs) dan dampak kerusakan yang mungkin timbul terhadap bisnis baik secara operasional maupun finansial dan selanjutnya dapat ditentukan prioritas, strategi dan solusi pemulihan bisnis setelah terjadi sehingga kesinambungan/kelangsungan bisnis operasional Bank dapat terjaga dengan baik. Dengan hasil BIA ini perusahaan juga dapat menentukan tingkat Maximum Tolerable Downtime (MTD), tingkat recovery point ojective (RPO), tingkat work recovery time (WRT), tingkat minimum
resources requirement dan tingkat ketergantungan terhadap penyedia jasa baik TI maupun non TI. Sehingga perusahaan dapat meminimalisir kerugian yang mungkin timbul jika terjadi bencana baik berupa kerugian finansial maupun non finansial. Hasil dari BIA ini adalah langkah awal dalam pembuatan business continuity management , maka diperlukan langkah lanjutan yaitu pembuatan risk assesment, business continuity strategy dan business continuity plan agar proses penanganan dan strategi pemulihan terhadap bencana dapat berjalan secara sempurna.

## DAFTAR PUSTAKA
British Standard 25999-1:2006. (2006). Business Continuity Management Part 1: Code of Practice . Diakses dari http://www.b-c-training.com/BS25999-1.
British Standard 25999-2:2007. Business Continuity Management Part 2: Specification (2007). Diakses dari http://www.b-c-training.com/BS25999-2
Goh Moh Heng. (2008). Conducting your Impact Analysis for Business Continuity Planning . Singapore: GMH.