Fitch Ratings: Serangan Siber Bisa Berdampak pada Peringkat Kredit Perusahaan

Media Asuransi, GLOBAL – Fitch Ratings menilai serangan dunia maya alias siber yang memengaruhi pihak-pihak yang terlibat dalam transaksi keuangan terstruktur (structured finance/SF) dapat berdampak pada kredit terhadap surat utang SF meskipun serangan tersebut tidak menyebabkan, atau tampaknya menyebabkan, gagal bayar pembayaran.

“Dampak kredit dapat disebabkan oleh gangguan terhadap aktivitas operasional, penilaian ulang kualitas manajemen risiko, atau dampak dari perilaku obligor. Pada akhirnya, serangan siber dapat menyebabkan hilangnya pembayaran obligasi yang terutang tepat waktu,” tulis Fitch dalam keterangan resmi yang dikutip, Sabtu, 27 Januari 2024.

Fitch melanjutkan dampaknya terhadap pihak-pihak yang bertransaksi akan bergantung pada sifat, tingkat keparahan, dan durasi serangan siber serta sistem cadangan dan mitigasinya. Fitch menguraikan bagaimana Fitch akan menangani force majeure pembayaran, termasuk sebagai konsekuensi dari serangan siber, dalam Kriteria Pemeringkatan Keuangan Terstruktur Global yang diperbarui yang diterbitkan pada 19 Januari 2024.

Pembayaran yang terlewat akibat serangan siber yang dianggap sebagai force majeure pembayaran mungkin tidak langsung mewakili sebuah bawaan. Namun Fitch biasanya akan menganggap perpanjangan–perpanjangan jumlah yang tidak dapat ditangguhkan karena gagal bayar pada peringkat obligasi, paling lambat, setelah 30 hari kalender berlalu dari tanggal pembayaran yang terlewat.

“Apakah kami menggunakan waktu 30 hari penuh atau mengambil tindakan pemeringkatan lebih cepat akan bergantung pada tingkat informasi terkini yang diberikan kepada kami mengenai sifat dan dampak serangan, tindakan mitigasi di pihak yang terkena dampak dan tingkat transaksi serta seberapa cepat kemungkinan ketidakmampuan membayar pemegang obligasi terselesaikan.”

Analisis SF Fitch mempertimbangkan keberadaan dan efektivitas fitur struktural transaksi untuk memitigasi risiko gangguan pembayaran akibat gagal bayar bank penyedia layanan atau rekening penagihan. Beberapa di antaranya, seperti fasilitas likuiditas dan pembayaran obligasi yang dapat ditangguhkan, kemungkinan besar akan memitigasi risiko serangan siber yang memengaruhi proses penagihan. “Kami juga mempertimbangkan faktor-faktor yang dapat mengurangi dampak peristiwa tersebut, misalnya seberapa sering penyedia layanan mentransfer dana ke rekening transaksi.”

Fitch melanjutkan, serangan siber dapat menyebabkan gangguan pada layanan kumpulan aset karena sistem TI dimatikan jika akses pihak ketiga yang tidak sah terdeteksi, atau jika bagian dari bisnis terkait tidak dapat diakses oleh sistem TI tertentu. Misalnya, penyedia layanan mungkin tidak dapat mengidentifikasi pembayaran yang dikumpulkan yang merupakan bagian dari portofolio yang dilayani sebelum serangan terjadi, dan untuk melayani portofolio yang mendasarinya setelah serangan.

Jika serangan siber terhadap penyedia layanan tidak diselesaikan dengan cepat dan tidak ada pengaturan alternatif, hal ini dapat menunda pelaporan penyedia layanan. Hal ini dapat mempengaruhi pihak eksternal penyedia jasa yang menghitung dan mendistribusikan jumlah bunga dan pokok kepada pemegang surat utang. Selain itu, mematikan atau mengunci sistem TI dapat berarti penyedia layanan tidak dapat menyelesaikan posisi gagal bayar, sehingga menunda pemulihan portofolio.

Dalam beberapa kasus, terang Fitch, terutama yang melibatkan pencurian data, serangan siber dapat menimbulkan risiko reputasi, dengan potensi kerugian bisnis, denda, atau tuntutan hukum, yang dapat melemahkan kelangsungan hidup penyedia layanan di masa depan. Gangguan pelayanan pada akhirnya dapat mempengaruhi kinerja transaksi SF.

Kinerja portofolio dapat memburuk jika kesediaan obligor untuk membayar utang menurun akibat pencurian data nasabah. “Faktor-faktor ini mungkin relevan dengan penilaian kami terhadap transaksi SF selain yang terkena dampak langsung oleh serangan siber tertentu, jika praktik pasar tertentu terbukti meningkatkan risiko dampak pemeringkatan dari serangan siber.”

Fitch telah mempertimbangkan protokol keamanan siber dan pemulihan bencana serta rencana kelangsungan bisnis, ketika menetapkan dan meninjau peringkat risiko operasional pemberi pinjaman.

Kriteria Fitch untuk Pemeringkatan Penyedia Layanan Pinjaman menyoroti infrastruktur keamanan titik akhir yang kuat dan alat pencegahan dan deteksi intrusi, strategi manajemen patch yang jelas, pemisahan jaringan dan pengujian kerentanan dan penetrasi yang sering dilakukan, pelatihan staf yang sering, dan alat mitigasi intrusi (seperti perlindungan asuransi keamanan siber), serta perlindungan utama terhadap akses tidak sah ke sistem dan data. “Hal ini konsisten dengan pemahaman kami tentang bagaimana mitigasi mencegah dampak serangan siber yang sebenarnya terhadap transaksi SF.”

Editor: Achmad Aris