Selama hampir dua dekade terakhir, kewajiban regulasi dalam pekerjaan digital dapat dipenuhi dengan dokumentasi. Sebuah perusahaan mengumpulkan persetujuan, menerbitkan pemberitahuan privasi, menyusun kebijakan dan, ketika diminta, menyediakan dokumennya. Substansi tentang bagaimana sistem memproses data jarang diperiksa, dan jarak antara apa yang diklaim kebijakan dengan apa yang dilakukan sistem dapat tetap lebar tanpa masalah. Pengaturan itu sedang berakhir. Generasi instrumen Eropa terbaru tidak bertanya apakah Anda memiliki kebijakan; ia bertanya apakah sistem Anda berperilaku sebagaimana yang dinyatakan kebijakan, dan ia mengharapkan Anda membuktikannya secara berkelanjutan alih-alih hanya saat audit.

Beberapa kekuatan telah menyatu untuk membuat pergeseran ini nyata dan bukan sekadar retorika. Otoritas pengawas telah bergerak dari prinsip ke penegakan, dan sanksinya kini cukup besar untuk memengaruhi alokasi modal. Materi regulasi telah meluas dari sekadar data pribadi menjadi ketahanan operasional, perilaku algoritmik dan keamanan rantai pasok. Dan instrumen tersebut semakin membawa akuntabilitas pribadi bagi eksekutif yang disebut namanya, yang mengubah cara dewan direksi berperilaku. Rezim yang mendenda perusahaan adalah biaya menjalankan usaha; rezim yang meminta pertanggungjawaban seorang direktur atas pengawasan yang dapat dibuktikan adalah perubahan insentif.

Perhatikan perbedaan perilaku dewan yang mengikutinya. Di bawah rezim yang hanya berupa denda, sanksi dimodelkan sebagai probabilitas dikalikan biaya, dicadangkan, dan ditoleransi jika nilai harapannya menguntungkan pengambilan risiko. Di bawah NIS2 dan DORA, badan pengelola dapat dimintai pertanggungjawaban secara pribadi atas kecukupan pengawasan, dan dalam beberapa penafsiran sanksi menjangkau individu alih-alih hanya neraca keuangan. Seorang direktur yang namanya dapat disebut tidak dapat mendelegasikan risiko ke suatu pos anggaran. Inilah sebabnya instrumen terbaru telah mengubah nada percakapan dewan lebih daripada denda tunggal mana pun: instrumen tersebut mengubah paparan korporat yang abstrak menjadi paparan pribadi, dan paparan pribadi memusatkan perhatian dengan cara yang jarang dilakukan paparan korporat.

Konsekuensi praktisnya adalah paparan hukum telah bergeser ke hulu, ke momen desain. Keputusan tentang di mana data disimpan, model mana yang diterapkan, atau pemasok mana yang diizinkan masuk ke proses kritis kini merupakan keputusan yang berbobot regulasi, yang diambil oleh insinyur dan arsitek yang mungkin tidak memandangnya demikian. Perusahaan yang mengelola hal ini dengan baik bukanlah yang memiliki departemen kepatuhan terbesar. Mereka adalah yang telah memindahkan penalaran relevan ke ruang tempat pilihan teknis dibuat, sehingga batasan itu hadir saat paling murah untuk dipenuhi.

Risiko adalah portofolio, bukan daftar centang. Prinsip pertama adalah bahwa risiko digital tidak dapat dikelola kewajiban demi kewajiban, karena kewajiban-kewajiban itu tumpang tindih, saling berinteraksi dan kadang bertentangan. GDPR mengatur data pribadi, DORA mengatur ketahanan operasional di sektor jasa keuangan, NIS2 mengatur keamanan entitas esensial dan penting, dan AI Act mengatur penerapan model berdasarkan kelas risiko. Perusahaan yang tunduk pada beberapa di antaranya tidak memiliki empat program; ia memiliki satu lanskap sistem yang terhadapnya empat rangkaian persyaratan ditegakkan. Mengelolanya secara terpisah menghasilkan bukti yang berganda, kontrol yang bertentangan dan celah di titik-titik sambungan. Unit analisisnya adalah lanskap sistem dan aliran datanya, bukan regulasinya.

Kepatuhan adalah properti sistem, bukan properti dokumen. Prinsip kedua mengikuti dari yang pertama. Jika regulator dapat memeriksa perilaku, maka kontrol yang hanya ada di atas kertas bukanlah kontrol; ia adalah liabilitas yang menunggu untuk ditemukan. Proteksi berdasarkan desain, ungkapan yang diperkenalkan GDPR dan diasumsikan oleh instrumen berikutnya, berarti bahwa properti yang diinginkan ditegakkan oleh arsitektur: akses dibatasi karena sistem membatasinya, retensi berakhir karena sistem menghapus, model berisiko tinggi dipantau karena pemantauan terpasang. Dokumentasi kemudian menggambarkan realitas alih-alih menggantikannya.

Akuntabilitas harus diletakkan, bukan disebarkan. Prinsip ketiga adalah bahwa tanggung jawab yang tersebar di sebuah komite adalah tanggung jawab yang tidak dipegang siapa pun. Tata kelola yang efektif menugaskan setiap risiko signifikan kepada pemilik yang disebut namanya dengan wewenang untuk bertindak, dan ia membedakan orang yang memutuskan dari orang yang menasihati. Instrumen tersebut semakin mengodekan hal ini, mengharuskan dewan untuk menunjukkan pengawasan alih-alih mendelegasikannya. Model tata kelola yang tidak dapat menjawab, untuk kontrol tertentu mana pun, siapa yang memilikinya dan bukti apa yang mereka andalkan, belum benar-benar dimulai.

Regulasi adalah sasaran yang bergerak, jadi rancanglah untuk perubahan. Prinsip keempat adalah bahwa tidak ada kontrol yang dirancang untuk satu versi aturan yang akan bertahan atas revisi aturan itu. Instrumen tersebut diubah, ditafsirkan ulang oleh pengawas dan dilengkapi dengan standar teknis yang datang setelah teks utama. Arsitektur kepatuhan yang dipaku pada bunyi harfiah regulasi sebagaimana adanya hari ini akan usang pada saat ia selesai dibangun. Oleh karena itu desain harus memisahkan maksud yang stabil (membatasi akses, membuktikan penghapusan, mengawasi model) dari parameter spesifik yang ditetapkan regulator (periode retensi, ambang risiko, jendela pelaporan), sehingga perubahan parameter menjadi perubahan konfigurasi alih-alih pembangunan ulang. Perusahaan yang menanamkan aturan saat ini secara kaku membayar revisi berikutnya dua kali.

AI Act sebagai rezim desain. Perkembangan terbaru yang paling berkonsekuensi adalah bahwa EU AI Act memperlakukan kecerdasan buatan bukan sebagai produk yang disertifikasi sekali, melainkan sebagai siklus hidup yang harus dikelola. Sistem diklasifikasikan berdasarkan risiko, dan penerapan berisiko tinggi membawa kewajiban mengenai kualitas data, pengawasan manusia, pencatatan log dan transparansi yang berlaku selama sistem beroperasi. Pola yang penting di sini adalah bahwa Act menjangkau cara sebuah model dilatih, dievaluasi dan dipantau, yang berarti pertanyaan kepatuhan muncul selama pengembangan dan tidak pernah benar-benar tuntas.

DORA dan pergeseran menuju ketahanan. Di sektor jasa keuangan, Digital Operational Resilience Act telah mengalihkan percakapan dari mencegah insiden menjadi bertahan menghadapinya. Ia mengharuskan perusahaan menguji kemampuan mereka menahan gangguan, memetakan ketergantungan mereka pada pihak ketiga kritis, dan melaporkan insiden signifikan dalam tenggat waktu yang ditentukan. Pola yang lebih luas, yang juga terlihat dalam NIS2, adalah bahwa regulator tidak lagi menerima keamanan sebagai aspirasi; mereka menginginkan bukti bahwa perusahaan telah mengasumsikan adanya kompromi dan bersiap menghadapinya.

Rantai pasok sebagai perimeter yang meluas. Di seluruh instrumen ini, risiko pihak ketiga dan rantai pasok telah menjadi kekhawatiran dominan, karena lanskap modern dirakit dari layanan yang tidak dikendalikan perusahaan. NIS2 mendorong kewajiban ke bawah rantai pasok; DORA menuntut pengawasan atas penyedia ICT kritis; AI Act membuat penerap model bertanggung jawab atas model yang tidak mereka bangun. Polanya adalah perluasan perimeter yang menjadi tanggung jawab Anda, jauh melampaui batas yang Anda miliki.

Bukti berkelanjutan alih-alih pembuktian pada satu titik waktu. Arah perkembangannya menjauh dari audit tahunan menuju jaminan berkelanjutan. Pengawas semakin mengharapkan agar kontrol dipantau secara real-time dan agar bukti dihasilkan sebagai produk sampingan dari operasi, bukan dirangkai secara retrospektif. Ini menguntungkan perusahaan yang telah menginstrumentasi sistem mereka dan merugikan mereka yang memperlakukan kepatuhan sebagai latihan berkala mengumpulkan tangkapan layar.

Konvergensi dan gesekannya. Pola kelima adalah bahwa instrumen-instrumen tersebut mulai saling merujuk dan saling menguatkan, yang nyaman secara prinsip tetapi canggung dalam praktik. Sebuah insiden yang memicu laporan DORA mungkin juga merupakan pelanggaran data pribadi menurut GDPR dan insiden signifikan menurut NIS2, masing-masing dengan definisi, ambang dan tenggatnya sendiri. Perusahaan yang telah membangun satu proses insiden tunggal, yang mampu memenuhi beberapa rezim notifikasi dari satu rangkaian fakta, terhindar dari kepanikan menyelaraskan tiga versi peristiwa yang sama di bawah tenggat. Konvergensi ini menghargai program yang terpadu dan menghukum perusahaan yang menyiapkan respons terpisah untuk setiap regulasi.

Perlakukan aliran data sebagai artefak utama. Arsitektur yang mendukung kepatuhan dimulai dengan peta yang akurat dan terpelihara tentang bagaimana data bergerak: apa yang dikumpulkan, di mana ia berdiam, siapa yang dapat mencapainya, berapa lama ia bertahan dan di mana ia melintasi batas negara. Sebagian besar pertanyaan regulasi menyederhana menjadi pertanyaan tentang peta ini. Perusahaan yang memeliharanya sebagai model hidup, diperbarui seiring perubahan sistem, dapat menjawab pengawas dalam hitungan hari; perusahaan yang menyusunnya ulang saat diminta tidak dapat menjawab dengan jujur sama sekali, karena rekonstruksi itu adalah tebakan.

Jadikan kontrol sebagai jalur bawaan. Prinsip di balik proteksi berdasarkan desain adalah bahwa perilaku yang patuh harus menjadi perilaku yang paling mudah, dan idealnya satu-satunya. Akses dibatasi oleh mesin kebijakan alih-alih oleh kebiasaan, retensi ditegakkan oleh aturan siklus hidup otomatis alih-alih oleh pengingat, enkripsi diterapkan oleh platform alih-alih oleh masing-masing tim. Ketika kontrol berada di dalam platform, setiap aplikasi mewarisinya, dan biaya kepatuhan turun dengan setiap sistem baru alih-alih naik.

Rancang untuk bukti, bukan hanya untuk kebenaran. Sebuah sistem dapat berperilaku benar namun tetap gagal dalam audit jika ia tidak dapat menunjukkan bahwa ia melakukannya. Arsitektur harus memancarkan catatan yang membuktikan kontrol beroperasi: log akses yang tak dapat diubah, log keputusan model, log penghapusan data, log respons insiden. Inilah perbedaan antara mengklaim suatu properti dan membuktikannya, dan di bawah instrumen saat ini pembuktian itulah kewajibannya.

Kekang risiko pihak ketiga di batas. Karena perimeter kini meluas ke dalam pemasok, arsitektur harus mengasumsikan bahwa pihak ketiga tertentu mana pun dapat gagal atau dikompromikan. Ketergantungan kritis harus diidentifikasi, alternatif dijaga tetap layak, dan radius ledakan dari kegagalan pemasok dibatasi melalui desain. Jaminan kontraktual penting, tetapi jaminan itu dipulihkan setelah kejadian; pengekangan arsitektural adalah yang melindungi perusahaan selama peristiwa itu sendiri berlangsung.

Utamakan keputusan yang dapat dibalik ketika aturan belum pasti. Ketika suatu persyaratan masih ditafsirkan, arsitektur harus menghindari pilihan yang mahal untuk dibatalkan. Data yang dilokalisasi dengan cara yang dapat direlokasi, model yang dibungkus sehingga dapat ditukar, pemasok yang diintegrasikan di balik antarmuka alih-alih melalui basis kode: masing-masing menjaga biaya perubahan regulasi di kemudian hari tetap rendah. Disiplinnya adalah membedakan keputusan yang harus diambil sekarang dari keputusan yang dapat ditunda dengan murah, dan menahan yang terakhir tetap terbuka hingga aturannya pasti.

Kepatuhan sebagai gerbang di akhir. Kegagalan yang paling umum dan paling mahal adalah memperlakukan kepatuhan sebagai peninjauan yang dilakukan menjelang rilis, setelah arsitektur final. Pada saat itu pilihan yang murah sudah lenyap, dan pilihannya adalah antara penyesuaian ulang yang mahal atau merilis paparan yang sudah diketahui. Batasan itu memang selalu akan berlaku; menundanya hanya menaikkan harganya.

Kontrol di atas kertas. Kebijakan yang menggambarkan kontrol yang tidak ditegakkan sistem lebih buruk daripada tidak ada kebijakan, karena ia menciptakan celah terdokumentasi antara klaim dan realitas yang akan dibaca regulator sebagai kelalaian atau penyesatan. Kegagalannya adalah mengacaukan telah menulis aturan dengan telah menerapkannya.

Sandiwara tata kelola. Komite yang meninjau daftar risiko tanpa memegang hak keputusan, sehingga daftarnya bertambah sementara paparannya bertahan. Akuntabilitas yang tidak dapat bertindak adalah akuntabilitas hanya pada namanya, dan ia cenderung runtuh justru ketika insiden nyata mengujinya.

Rantai pasok yang tidak terpetakan. Perusahaan kerap menemukan, selama sebuah insiden, bahwa mereka bergantung pada pemasok yang tidak mereka identifikasi sebagai kritis, atau pada pihak keempat yang keberadaannya tidak mereka ketahui. Kegagalannya adalah mengelola hanya kontrak yang Anda tandatangani alih-alih ketergantungan yang sebenarnya Anda jalankan.

Kontrol yang mencekik kecepatan. Kegagalan sebaliknya sama nyatanya: rezim kepatuhan yang begitu berat sehingga setiap perubahan memerlukan persetujuan komite, dan organisasi melambat hingga tidak lagi dapat merespons pasar. Kontrol dan kecepatan dipertukarkan secara buruk ketika kontrolnya manual dan diterapkan per perubahan; keduanya diselaraskan ketika kontrolnya otomatis dan diterapkan per platform.

Perkakas yang dikira sebagai program. Kesalahan yang berulang adalah membeli sepotong perangkat lunak tata kelola, risiko dan kepatuhan lalu memperlakukan pembelian itu sebagai penyelesaian pekerjaan. Perkakas mencatat kontrol; ia tidak menegakkannya, dan daftar kontrol yang tidak diterapkan sistem adalah kegagalan kontrol di atas kertas yang mengenakan biaya lisensi. Instrumen itu hanya berguna sebagai buku besar atas lanskap sistem yang sudah berperilaku benar; dibeli sebagai pengganti perilaku itu, ia menghasilkan ilusi jaminan yang lebih mahal.

Kami mulai dengan memetakan lanskap sistem terhadap kewajiban yang benar-benar berlaku baginya, alih-alih menerima daftar centang generik. Instrumen mana yang mengikat perusahaan ini, atas sistem dan data mana, dan di mana persyaratannya tumpang tindih atau bertentangan. Keluarannya bukan dokumen kebijakan melainkan sebuah model: gambaran aliran data, ketergantungan dan kontrol, yang diberi anotasi dengan bobot regulasi yang dibawa masing-masing. Model ini menjadi acuan bersama bagi tim hukum, keamanan, teknik dan dewan direksi, sehingga penalaran yang sama menginformasikan sebuah negosiasi kontrak sekaligus keputusan arsitektural.

Dari sana kami berupaya memindahkan batasan yang relevan ke dalam proses desain, sehingga batasan itu hadir saat pilihan dibuat alih-alih ditemukan setelahnya. Itu berarti menanamkan proteksi berdasarkan desain dan bukti berdasarkan desain ke dalam platform tempat tim membangun, sehingga setiap sistem baru mewarisi kontrol alih-alih menemukannya kembali. Itu juga berarti bersikap jujur tentang pertukaran antara kontrol dan kecepatan, dan menyelesaikannya melalui otomatisasi: kontrol yang berjalan pada setiap penerapan tanpa campur tangan manusia adalah kontrol yang melindungi perusahaan tanpa memperlambatnya.

Kami juga bersikeras mengurutkan pekerjaan berdasarkan paparan alih-alih kemudahan. Godaan dalam program mana pun adalah memulai dengan kontrol yang paling sederhana diterapkan, yang menghasilkan kemajuan yang terlihat namun membiarkan risiko terbesar tak tersentuh. Kami menyusun urutan upaya berdasarkan di mana sebuah insiden atau pengawas paling melukai, menerima bahwa pekerjaan awal karenanya adalah yang tersulit, dan mengukur kemajuan berdasarkan paparan yang dihilangkan alih-alih tugas yang diselesaikan.

Kami memperlakukan akuntabilitas sebagai persoalan desain tersendiri. Untuk setiap risiko signifikan kami menetapkan pemilik yang disebut namanya, keputusan yang mereka pegang, dan bukti yang mereka andalkan, dan kami membangun pelaporan yang memungkinkan dewan menunjukkan pengawasan alih-alih sekadar menyatakannya. Paparan pihak ketiga dan rantai pasok dipetakan hingga pihak keempat di titik yang penting, dengan ketergantungan kritis diidentifikasi dan pengekangan dirancang ke dalamnya. Sepanjang proses, kami mengutamakan kontrol yang menghasilkan buktinya sendiri, karena di bawah pengawasan berkelanjutan kemampuan membuktikan suatu properti tidak terpisahkan dari memilikinya.

Yang membedakan pekerjaan kami di bidang ini adalah bahwa kami berdiri di titik temu antara hal hukum, operasional dan teknis, dan kami menolak membiarkan kepatuhan menjadi dokumen yang terlepas dari sistem yang diaturnya. Sebagian besar pekerjaan penasihat di area ini berhenti di batas disiplinnya: pengacara menghasilkan penafsiran, konsultan menghasilkan kebijakan, dan insinyur ditinggalkan untuk menyelaraskan keduanya tanpa wewenang mengubah salah satunya. Kami membaca regulasi sebagai instruksi bagi arsitektur, menerjemahkannya menjadi kontrol yang ditegakkan platform secara bawaan, dan merancang bukti yang membuktikan kontrol itu beroperasi. Hasilnya adalah perusahaan yang dapat bergerak cepat karena batasannya dipenuhi secara otomatis, dan menjawab pengawas dengan percaya diri karena jaminannya menggambarkan realitas yang dapat ia buktikan alih-alih klaim yang ia harapkan bertahan.

Ada pula konsekuensi praktis yang mengubah apa yang boleh diasumsikan oleh pekerjaan ini. Ketika sebuah penugasan menuntut kapabilitas yang belum ada, ia tidak perlu menunggu siklus pengadaan atau peta jalan sebuah vendor. enterprise platform dibangun untuk mengakomodasi hampir semua fitur dengan cepat, melalui agentic engineering: apa yang dibutuhkan dijelaskan dalam bahasa sederhana dan dihasilkan dengan cepat, tetapi selalu dalam prinsip arsitektur yang kokoh dan di bawah penjaminan mutu yang ketat, sehingga kecepatan tidak pernah datang dengan mengorbankan koherensi, keamanan atau kontrol. Efeknya bersifat strategis alih-alih sekadar praktis. Ia menggeser garis buat-atau-beli, menjaga opsionalitas tetap murah, dan membiarkan arsitektur mengikuti strategi alih-alih strategi tunduk pada apa pun yang kebetulan tersedia di rak.

Regulasi akan terus menjangkau lebih dalam ke cara sistem digital dibangun, dan jarak antara perusahaan yang merancang untuknya dengan perusahaan yang menundanya akan melebar. Memperlakukan risiko digital, kepatuhan dan paparan hukum sebagai parameter desain bukanlah kehati-hatian; ia adalah syarat untuk membangun dengan cepat tanpa menumpuk paparan yang tidak dapat Anda lihat. Perusahaan yang memahami hal ini akan mengeluarkan lebih sedikit biaya kepatuhan seiring waktu, bukan lebih banyak, karena kontrol yang dibangun ke dalam platform dibayar sekali dan diwarisi oleh setiap sistem sesudahnya. Kami membantu perusahaan melakukan pergeseran itu secara sengaja, sebelum sebuah insiden atau seorang pengawas melakukannya bagi mereka.