RPS minggu 4 · 2x50 menit

Cloud Computing & Ekonomi API

Dasar Teknologi Finansial & Mata Uang Kripto — Magister Manajemen FEB UNDIP

Peta Pembelajaran Hari Ini

Sub-CPMK 4: menjelaskan pemanfaatan cloud computing dan API dalam layanan keuangan, termasuk open banking dan BaaS.

Jam ke-1 (50 menit)

Taksonomi cloud: IaaS, PaaS, SaaS, FaaS (serverless)
Hyperscaler vs Local cloud: regulasi OJK PBI 4/2021
Migrasi bank: lift-and-shift vs cloud-native

Jam ke-2 (50 menit)

Open banking & open API: POJK 10/2022 (sekarang POJK 11/2024)
Banking-as-a-Service (BaaS): Starling, Solaris, Bank Jago-as-platform
Ekonomi platform: API marketplace, monetisasi

Posisi: pekan lalu AI/ML. Hari ini infrastruktur cloud+API. Pekan depan (P5) mulai blok blockchain — fondasi teknologi mata uang kripto.

Mengapa Cloud Menjadi Default Infrastructure Bank Digital

Cloud bukan opsi tetapi default untuk bank digital native. Bank Jago, Bank Neo, Aladin semua cloud-first sejak hari pertama.

Time-to-Market

~6 bln

Bank digital cloud-native (vs 2-3 tahun on-premise) — provisi infra dalam jam, bukan bulan

TCO

~30-40%

Lower Total Cost of Ownership di skala >100K MAU — pay-per-use vs capex amortization

Elasticity

~10x

Scale up 10x dalam menit saat promo/campaign — tidak mungkin on-premise

Pertanyaan pemantik: bank tradisional masih ragu cloud karena "data sensitif". Apakah argumen ini masih valid di 2024?

Bagian 1 · 1/4

Taksonomi Cloud Services

Diskusi kelas: GoPay pakai AWS S3 untuk storage, Gojek pakai GCP BigQuery untuk analytics, Bank Jago pakai GCP App Engine — apa yang membedakan pilihan?

Empat Lapisan Cloud: IaaS · PaaS · SaaS · FaaS

Cloud services dibagi menjadi empat lapisan abstraksi — semakin tinggi, semakin sedikit kontrol tetapi semakin cepat delivery.

Lapisan	Apa yang dikelola user	Contoh	Use Case Bank
IaaS (Infrastructure)	OS, runtime, app, data	AWS EC2, GCP Compute	Custom app bank; lift-and-shift legacy
PaaS (Platform)	App & data saja	Heroku, App Engine, Beanstalk	API service bank digital
SaaS (Software)	Tidak ada (langsung pakai)	Salesforce, Workday, Slack	CRM HR bank
FaaS (Function)	Function code saja	AWS Lambda, Cloud Functions	Event-driven: webhook, scheduled job

Trade-off: kontrol (IaaS tinggi) vs produktivitas (SaaS tinggi). Bank hybrid: IaaS untuk core, SaaS untuk back-office, FaaS untuk event-driven.

Empat lapisan cloud ini sering dicampuraduk tetapi merepresentasikan trade-off fundamental antara kontrol dan produktivitas. IaaS (Infrastructure-as-a-Service): bank kelola OS, runtime, app, data — paling kontrol tetapi paling banyak pekerjaan. AWS EC2 dan GCP Compute Engine adalah contoh. PaaS (Platform-as-a-Service): bank fokus app dan data saja, platform handle OS dan runtime — App Engine, Heroku. SaaS (Software-as-a-Service): langsung pakai, tidak ada yang dikelola — Salesforce CRM, Workday HR. FaaS (Function-as-a-Service) atau serverless: hanya kode function, scale otomatis — AWS Lambda untuk webhook atau scheduled job. Strategi bank modern hybrid: IaaS untuk core banking (butuh kontrol), SaaS untuk back-office (CRM, HR), FaaS untuk event-driven (webhook handler, scheduled reports). Sebagai manajer, pilih lapisan sesuai kebutuhan kontrol vs produktivitas.

Regulasi Cloud OJK PBI 4/2021

OJK mengatur penggunaan cloud oleh lembaga jasa keuangan via POJK 4/2021 — bukan larangan, tetapi kerangka ketat dengan approval dan lokal presence.

Tiga Jenis Cloud

Public cloud: shared infra (AWS, GCP, Azure)
Private cloud: dedicated untuk satu organisasi
Hybrid cloud: kombinasi public + private

Kewajiban LJK (Lembaga Jasa Keuangan)

Notifikasi ke OJK sebelum pakai public cloud
Penyelenggara cloud harus terdaftar di OJK
Master data utama di Indonesia (data sovereignty)
Rencana exit & kontingensi jika cloud down

Hyperscaler yang sudah terdaftar OJK termasuk AWS, GCP, Azure, dan beberapa local seperti BiznetGio, Cloud Kilat. Tanpa registrasi = tidak boleh dipakai LJK.

HDN-1: TCO On-Prem vs Cloud untuk Bank Digital

Skenario: Bank digital memilih arsitektur. Opsi A on-premise: capex Rp 5 miliar (server, network, cooling), opex Rp 1 miliar/tahun (staff, listrik, maintenance), umur ekonomis 5 tahun. Opsi B cloud: Rp 0 capex, opex Rp 2 miliar/tahun.

Langkah	Perhitungan	On-Prem (5 thn)	Cloud (5 thn)
1. Capex	1x di awal	Rp 5 M	Rp 0
2. Opex 5 tahun	opex × 5	Rp 1 M × 5 = Rp 5 M	Rp 2 M × 5 = Rp 10 M
3. Total nominal	capex + opex	Rp 10 M	Rp 10 M
4. NPV @ 10%	diskonto arus kas	~Rp 8,8 M	~Rp 7,6 M

Analisis NPV

Cloud ~Rp 1,2 M lebih murah

NPV cloud lebih rendah karena opex-nya fleksibel dan tidak ada capex upfront. Tapi long-term on-prem bisa lebih murah di skala sangat besar.

Bagian 2 · 2/4

Open Banking & Open API

Diskusi kelas: jika Anda pakai aplikasi budgeting yang akses rekening BCA via screen-scraping — apa risikonya vs via open API resmi?

Open Banking: Kerangka POJK 11/2024

POJK OJK tentang Layanan Keuangan Digital (LKD) dan Open Banking mewajibkan bank Indonesia membuka API ke TPP (Third Party Provider) terdaftar.

Komponen Open Banking

Bank (ASPSP): provide API
TPP (PJP/Komunikasi): consume API
Konsumen: consent & control
OJK: regulate & supervise

Standar API

RESTful JSON
OAuth 2.0 authorization
Standar nasional: SNBI / BI-FAST API
Standar internasional: UK Open Banking, Berlin Group NextGenPSD2

3 lapis data: (1) Account information (saldo, mutasi); (2) Payment initiation (transfer); (3) Confirmation of funds (cek ketersediaan).

POJK 11/2024 (dan sebelumnya POJK 22/2023 tentang Layanan Keuangan Digital) adalah kerangka open banking Indonesia yang mewajibkan bank membuka API ke TPP (Third Party Provider) terdaftar. Empat aktor: Bank sebagai ASPSP (Account Servicing Payment Service Provider) menyediakan API, TPP sebagai PJP (Penyelenggara Jasa Pembayaran) atau platform yang consume API, konsumen yang memberikan consent, dan OJK sebagai regulator. Standar teknis RESTful JSON dengan OAuth 2.0 authorization — token-based, tidak ada sharing password. Tiga lapis data utama: account information (saldo, mutasi untuk budgeting apps), payment initiation (transfer dari TPP), dan confirmation of funds (cek ketersediaan sebelum checkout). Sebagai manajer, open banking mengubah bank dari monolitik menjadi platform — siapkan strategi API.

Studi Kasus: Xendit & Brankas — API Platform Indonesia

Dua unicorn/soonicorn Indonesia membangun bisnis di atas open API bank — model "Plaid of Southeast Asia".

Xendit

Payment infrastructure API: unified gateway untuk virtual account, e-wallet, kartu, QRIS. Customer: Gojek, Grab, Traveloka. Model: gateway + switching.

Brankas

Open banking API: account information, payment initiation lintas-bank. Customer: BCA, BNI, BPI BDO (Filipina). Model: TPP aggregator.

Pelajaran: nilai FinTech tidak di infrastruktur (bank punya) tetapi di orkestrasi API lintas-pihak — agregasi + UX + compliance layer.

Dua kasus Indonesia ini menggambarkan model bisnis "Plaid of Southeast Asia" — Plaid di AS sebagai unicorn open banking yang akhirnya dihentikan akuisisi oleh Visa karena antitrust. Xendit (founded 2015, unicorn 2021) membangun payment infrastructure API yang mengagregasi virtual account bank, e-wallet, kartu, dan QRIS menjadi satu gateway. Customer Gojek, Grab, Traveloka pakai Xendit untuk tidak perlu integrasi satu-satu dengan bank. Brankas adalah open banking TPP yang menyediakan account information dan payment initiation lintas-bank di Indonesia dan Filipina. Pelajaran strategis: nilai FinTech tidak di infrastruktur (bank punya core banking) tetapi di orkestrasi API lintas-pihak — agregasi + UX + compliance layer. Sebagai manajer, pertimbangkan posisi platform Anda: bank, TPP, atau agregator.

HDN-2: Monetisasi API Bank — Unit Economics

Skenario: Bank X monetize open API: charge Rp 1.000 per call untuk payment initiation. Cost per call: Rp 200 (infrastructure amortization + ops). Bulan pertama: 50 jt API calls.

Langkah	Perhitungan	Nilai
1. Revenue/bln	50 jt × Rp 1.000	Rp 50.000.000.000
2. Cost/bln	50 jt × Rp 200	Rp 10.000.000.000
3. Margin/bln	Rp 50 M − Rp 10 M	Rp 40.000.000.000
4. Margin %	Rp 40 M ÷ Rp 50 M	80%
5. Margin per call	Rp 1.000 − Rp 200	Rp 800

Kesimpulan

~Rp 40 M/bln · 80% margin

API monetisasi sangat profitable karena marginal cost rendah. Bandingkan dengan margin spread kredit bank tradisional ~3-5%.

Hitungan ini menjelaskan mengapa bank dan FinTech berlomba monetisasi API. Untuk 50 juta API calls per bulan dengan charge Rp 1.000/call, revenue Rp 50 miliar, cost Rp 10 miliar (infrastructure + ops), margin Rp 40 miliar atau 80%. Bandingkan dengan margin spread kredit bank tradisional yang hanya 3-5% — margin API jauh lebih tinggi karena marginal cost per call rendah (hanya compute + network). Penting: skenario ini ilustratif; bank Indonesia belum sepenuhnya mengkomersialisasi API secara langsung — banyak yang masih pakai model indirect via TPP yang membayar subscription atau transaction fee. Tetapi tren global (US, EU, UK) menunjukkan API monetization menjadi revenue stream material. Sebagai manajer, pertimbangkan API bukan hanya sebagai cost center compliance tetapi sebagai profit center.

Bagian 3 · 3/4

Banking-as-a-Service (BaaS)

Diskusi kelas: Grab-Singtel di Singapura membangun digital bank tanpa memiliki lisensi bank — bagaimana caranya? Apa model BaaS?

Banking-as-a-Service (BaaS): Model & Arsitektur

BaaS memungkinkan non-bank menawarkan layanan keuangan dengan menyewa lisensi + core banking dari bank partner — model embedded finance.

Pemberi BaaS (Bank)

Lisensi bank & kepatuhan
Core banking system
Risk & compliance infra
Contoh: Starling (UK), Solaris (Jerman), Mambu-powered banks

Penerima BaaS (Brand)

UX, customer acquisition
Brand & distribution
Konteks bisnis (e-commerce, ride-hailing)
Contoh: GrabFin, Apple Card (dengan Goldman), Shopify Capital

BaaS Platform

API layer antara bank & brand
KYC, onboarding, account mgmt
Reconciliation & settlement
Contoh: Synapse, Treasury Prime, Tink

Risiko utama: regulator liability — jika BaaS brand gagal, bank partner yang tanggung jawab regulator.

BaaS adalah model tiga pihak: Bank sebagai pemberi BaaS (menyewakan lisensi + core banking), Brand sebagai penerima BaaS (UX, customer, distribution), dan BaaS Platform sebagai middleware API. Contoh global: Starling Bank UK menyewakan ke Tanden, Solarisbank Jerman ke banyak brand Eropa. Apple Card dengan Goldman Sachs adalah contoh BaaS — Apple punya brand dan UX, Goldman punya lisensi bank. Di Indonesia: Bank Jago bekerja sama dengan GoTo, Bank Neo dengan Akulaku — model mirip BaaS. Risiko utama: regulator liability — jika brand partner melakukan kesalahan (fraud, AML violation), bank partner yang diawasi OJK tetap bertanggung jawab. Inilah mengapa bank sangat selektif memilih BaaS partner. Sebagai manajer FinTech, pertimbangkan BaaS sebagai jalan pintas ke lisensi bank tanpa apply dari nol.

Embedded Finance: BaaS dalam Konteks Bisnis

BaaS memungkinkan embedded finance — layanan keuangan tersembunyi di non-finansial app (e-commerce, SaaS, ride-hailing).

Konteks Bisnis	Layanan Embedded	Contoh
E-commerce	BNPL, paylater, micro-insurance	ShopeePayLater, Tokopedia Paylater
Ride-hailing	Wallet, lending, insurance	GoPay, GoPay Later, GoSure
SaaS B2B	Invoice financing, payroll	Mekari, Xendit-invoice
Real estate	KPR embedded, escrow	Lamudi, Rumah123 (pilot)

Pelajaran: embedded finance menggeser profit center dari bank ke non-bank platform. Bank yang tidak adaptif menjadi utility backend dengan margin tipis.

Bagian 4 · 4/4

Keamanan & Tata Kelola API

Diskusi kelas: Open API = bukaan data nasabah. Bagaimana OJK memastikan TPP tidak menyalahgunakan data?

Keamanan API: 3 Lapis Pertahanan

Open API tidak berarti data bebas diakses — tiga lapis pertahanan melindungi konsumen.

1. Consent Layer

OAuth 2.0 authorization code flow
Scope terbatas (read-only, no writes)
Revocable kapan saja oleh konsumen
Expiry token 60 menit

2. Regulatory Layer

TPP registrasi & audit OJK
SLA uptime & incident reporting
Liability assignment: TPP vs Bank
Periodic risk assessment

3. Technical Layer

mTLS untuk transport security
Rate limiting per TPP per konsumen
Anomaly detection (jumlah call, pattern)
API gateway dengan WAF

Pelajaran Plaid-FTC (2022): data sharing lebih luas dari consent = $58 juta settlement. Consent harus eksplisit, granular, dan revocable.

Tiga lapis pertahanan ini adalah praktik standar keamanan open API global. Consent layer via OAuth 2.0: konsumen authorize TPP lewat bank, dapat access token dengan scope terbatas (mis. read-only transactions 90 hari), token expire 60 menit, refresh token dengan rotasi. Regulatory layer: TPP harus registrasi OJK, audit periodic, SLA uptime 99,5%, incident reporting 24 jam. Technical layer: mTLS untuk transport security (mutual TLS, bukan HTTPS biasa), rate limiting per TPP per konsumen (mis. max 100 calls/jam), anomaly detection di API gateway. Pelajaran Plaid-FTC 2022: Plaid dijatuhi $58 juta settlement karena data sharing lebih luas dari consent nasabah — mereka mengambil lebih banyak data dari yang diauthorize. Sebagai manajer, governance API bukan biaya tetapi asuransi reputasi dan legal.

Ringkasan Kunci Pertemuan 4

4 Lapisan Cloud

IaaS · PaaS · SaaS · FaaS — trade-off kontrol vs produktivitas

Open Banking

POJK 11/2024 · 3 aktor: Bank · TPP · Konsumen · OAuth 2.0

BaaS & Embedded Finance

Bank jadi platform backend; profit bergeser ke brand platform

Cloud + Open API + BaaS = trio infrastruktur FinTech modern — bukan opsi, tetapi default.

Persiapan P5 (mulai blok blockchain): baca abstrak paper Nakamoto 2008 "Bitcoin: A Peer-to-Peer Electronic Cash System". Diskusi: apa masalah yang dipecahkan?