Software HR yang Aman Hukum Harus Bisa Membuktikan 5 Hal Ini

Software HR yang Aman Hukum Harus Bisa Membuktikan 5 Hal Ini

Dalam proses pembelian HRIS, HR dan tim pengadaan sering berhadapan dengan daftar fitur yang panjang serta klaim yang terdengar meyakinkan: data terenkripsi, payroll sesuai regulasi, sistem berbasis cloud, atau keamanan berstandar tinggi. Namun, klaim tersebut belum menjawab pertanyaan utama: bukti apa yang bisa diperiksa?

Software HR yang aman hukum sebaiknya tidak dinilai dari label pemasaran. Gunakan alur yang lebih terukur: klaim vendor → bukti yang diminta → uji demo → status verifikasi. Dengan pendekatan ini, perusahaan dapat membedakan keamanan teknis, kepatuhan proses HR, dan tanggung jawab perusahaan sebagai pengguna sistem.

Aman hukum itu harus dibuktikan di area apa saja?

Istilah “aman hukum” sering dipakai terlalu luas. Login yang aman tidak otomatis membuat perhitungan payroll perusahaan benar. Sebaliknya, payroll yang bisa dikonfigurasi juga belum berarti seluruh data karyawan dikelola dengan kontrol yang memadai.

Setidaknya, penilaian perlu dipisahkan ke dalam empat area berikut:

• Perlindungan data karyawan: bagaimana data dikumpulkan, disimpan, diakses, dicadangkan, dipertahankan, dan dihapus.

• Kontrol keamanan: bagaimana pengguna masuk ke sistem, hak akses dibatasi, aktivitas dicatat, dan insiden ditangani.

• Proses ketenagakerjaan: apakah absensi, cuti, lembur, dokumen kerja, dan alur persetujuan dapat mengikuti kebutuhan perusahaan.

• Payroll dan kewajiban terkait: apakah komponen gaji, potongan, PPh 21, serta BPJS Kesehatan dan BPJS Ketenagakerjaan, bila digunakan, dapat dikonfigurasi dan diperbarui.

UU PDP dapat menjadi salah satu rujukan dalam menilai pengelolaan data pribadi. Namun, menyebut nama regulasi saja tidak membuktikan bahwa vendor atau konfigurasi perusahaan telah memenuhi seluruh kewajiban yang relevan. Proses, kontrak, pengaturan sistem, dan cara penggunaannya tetap perlu diperiksa.

Uji kontrol data dan akses, bukan hanya klaim keamanan

Di lapangan, tim pengadaan sering meminta vendor menjelaskan “standar keamanan”, tetapi tidak meminta bukti yang bisa dilihat. Pertanyaan sebaiknya langsung diarahkan pada kontrol yang tersedia dan artefak yang dapat diuji.

Area yang dinilai	Pertanyaan kepada vendor	Bukti atau uji yang diminta
Autentikasi	Bagaimana pengguna masuk dan apakah tersedia lapisan autentikasi tambahan?	Demo login, pengaturan autentikasi, dan prosedur ketika akses pengguna bermasalah.
Kontrol akses berbasis peran	Apakah hak HR, atasan, payroll, dan karyawan dapat dibedakan?	Demo pembuatan peran, pembatasan data, dan percobaan akses oleh pengguna dengan kewenangan berbeda.
Audit log	Aktivitas apa yang dicatat dan siapa yang dapat melihatnya?	Contoh atau demo jejak perubahan data, waktu aktivitas, dan identitas pengguna.
Backup dan pemulihan	Bagaimana data dicadangkan dan dipulihkan ketika terjadi gangguan?	Kebijakan backup, prosedur pemulihan, serta penjelasan tanggung jawab vendor dan perusahaan.
Retensi dan penghapusan	Berapa lama data disimpan dan bagaimana data dihapus ketika diperlukan?	Kebijakan retensi, prosedur penghapusan, serta demo atau penjelasan mengenai data yang ikut terhapus.
Respons insiden	Apa yang dilakukan vendor ketika terjadi insiden keamanan?	Prosedur respons insiden, jalur pelaporan, dan pembagian tanggung jawab.

Enkripsi, cloud, atau lokasi infrastruktur dapat menjadi bagian dari penilaian, tetapi tidak bisa menjadi bukti tunggal. Vendor perlu menjelaskan kontrol yang diterapkan dan menunjukkan dokumentasi yang relevan. Penggunaan layanan cloud tertentu atau istilah teknis juga tidak otomatis berarti sistem telah memenuhi kewajiban yang relevan.

Pastikan payroll dapat mengikuti proses dan aturan yang berubah

Fitur payroll baru bermanfaat jika dapat mengikuti konfigurasi perusahaan dan perubahan aturan. Label “payroll compliance” tidak cukup jika vendor tidak dapat menerangkan dasar perhitungan, proses pembaruan, dan cara hasilnya diuji.

Dalam demo, minta vendor memperlihatkan hubungan antara data absensi, lembur, cuti, komponen gaji, potongan, payroll, dan PPh 21. Jika perusahaan menggunakan proses terkait BPJS Kesehatan atau BPJS Ketenagakerjaan, minta penjelasan tentang konfigurasi dan alur yang tersedia. Detail aturan, tarif, atau tanggal berlaku perlu diverifikasi berdasarkan ketentuan terbaru sebelum dijadikan dasar keputusan.

Bukti yang dapat diminta antara lain:

• Dasar aturan yang digunakan untuk perhitungan payroll dan PPh 21.

• Tanggal pembaruan mesin perhitungan atau konfigurasi terkait.

• Catatan perubahan ketika aturan atau logika perhitungan diperbarui.

• Simulasi dengan komponen gaji, absensi, lembur, potongan, dan pajak yang memang digunakan perusahaan.

• Penjelasan mengenai proses koreksi apabila hasil perhitungan perlu ditinjau ulang

Gunakan skenario dan komponen yang benar-benar dipakai perusahaan. Tidak perlu membuat contoh angka yang tidak mencerminkan kondisi nyata hanya untuk menguji demo. Hasil simulasi kemudian dapat dibandingkan dengan perhitungan internal atau acuan resmi yang digunakan perusahaan.

Jadikan demo sebagai pengujian, bukan sekadar presentasi

Demo sebaiknya tidak berhenti pada presentasi layar yang sudah disiapkan vendor. Gunakan sesi ini untuk menguji klaim yang paling berisiko.

Minta vendor membuat beberapa peran pengguna dan menunjukkan data yang terlihat oleh masing-masing peran. Minta pula demonstrasi perubahan data karyawan, lalu telusuri apakah aktivitas tersebut muncul di audit log. Untuk penghapusan data, tanyakan apa yang terjadi pada salinan backup, laporan lama, dan data yang terhubung dengan proses lain.

Untuk payroll, minta vendor memakai komponen yang sesuai dengan struktur perusahaan. Tanyakan siapa yang bertanggung jawab memperbarui perhitungan ketika aturan berubah, bagaimana pelanggan diberi tahu, dan apakah riwayat perubahan dapat ditelusuri.

Catat hasilnya dalam tabel evaluasi berikut:

Kriteria	Pertanyaan	Bukti yang diminta	Hasil demo	Status
Hak akses berbasis peran	Dapatkah akses HR, atasan, payroll, dan karyawan dibedakan?	Dokumentasi pengaturan peran	Peran diuji dengan akun berbeda	Terverifikasi / belum terverifikasi
Audit log	Apakah perubahan data dapat ditelusuri?	Contoh log atau dokumentasi	Perubahan dibuat dan ditelusuri	Terverifikasi / belum terverifikasi
Retensi dan penghapusan	Bagaimana data disimpan dan dihapus?	Kebijakan retensi dan penghapusan	Alur penghapusan dijelaskan atau diuji	Terverifikasi / belum terverifikasi
Payroll dan PPh 21	Apa dasar dan riwayat pembaruan perhitungannya?	Dasar aturan dan catatan pembaruan	Simulasi sesuai kebutuhan perusahaan	Terverifikasi / belum terverifikasi
Respons insiden	Apa yang terjadi ketika ada insiden?	Prosedur respons dan jalur pelaporan	Alur penanganan dijelaskan	Terverifikasi / belum terverifikasi

Gunakan status “terverifikasi” atau “belum terverifikasi” secara konsisten. Jawaban seperti “akan tersedia di roadmap” belum dapat dianggap sebagai bukti bahwa kontrol sudah berjalan.

Fitur sudah ada belum tentu buktinya lengkap

Ilustratif: sebuah tim HR menilai vendor yang mengklaim memiliki keamanan login dan perlindungan data. Tim meminta bukti autentikasi, pengaturan hak akses, audit log, kebijakan backup, retensi dan penghapusan data, serta prosedur respons insiden. Seluruh klaim kemudian diuji melalui demo.

Sebuah kriteria hanya diberi status “terverifikasi” jika klaim vendor, bukti dokumen, dan hasil uji demo tersedia. Jika salah satunya tidak ada, statusnya “belum terverifikasi”, bukan otomatis dianggap aman.

Dalam skenario lain, vendor dapat menunjukkan fitur payroll dan kontrol login, tetapi belum memberikan kebijakan retensi data atau prosedur respons insiden. Status yang wajar bukan “vendor tidak aman”, melainkan sebagian terverifikasi. Area retensi dan respons insiden masih perlu dibuktikan sebelum kontrak ditandatangani.

Jelasakan batas tanggung jawab vendor dan perusahaan

Vendor bertanggung jawab menjelaskan layanan, kontrol, dukungan, pembaruan sistem, dan proses penanganan insiden sesuai kesepakatan. Namun, perusahaan tetap bertanggung jawab atas keputusan konfigurasi dan cara sistem digunakan.

Hak akses yang terlalu luas, data yang dimasukkan tanpa dasar proses yang jelas, atau prosedur offboarding yang tidak dijalankan dapat menimbulkan risiko meskipun vendor memiliki kontrol keamanan yang baik. Karena itu, evaluasi kontrak, pengaturan pengguna, proses persetujuan, dan tata kelola internal perlu berjalan bersama evaluasi produk.

Tentukan status sebelum memilih vendor

Gunakan tiga status agar keputusan tidak bergantung pada kesan selama demo:

• Terverifikasi: klaim tersedia, bukti dokumen dapat diperiksa, dan kontrol berhasil ditunjukkan atau diuji.

• Sebagian terverifikasi: sebagian kontrol sudah terbukti, tetapi masih ada area yang belum didukung bukti.

• Belum terverifikasi: vendor hanya memberikan klaim, jawaban lisan, atau janji roadmap tanpa dokumentasi dan uji yang memadai.

Sebelum menandatangani kontrak, tandai semua area yang belum terverifikasi dan tentukan siapa yang harus memberikan bukti tambahan. Checklist ini membantu HR, payroll, legal, dan procurement mengambil keputusan dengan dasar yang sama, tetapi bukan pengganti pemeriksaan hukum atau keamanan yang sesuai dengan risiko perusahaan.

Mulailah dari data dan proses yang paling sensitif, lalu bawa pertanyaannya ke demo vendor. Software HR yang layak dipertimbangkan bukan yang paling banyak menggunakan istilah keamanan, melainkan yang mampu menjelaskan klaimnya, menunjukkan buktinya, dan menerima pengujian secara terbuka.