Risiko Vendor Fasyankes: Mengelola Kontrak dan Pihak Ketiga

Ringkasan Eksekutif

Fasilitas pelayanan kesehatan (fasyankes) hari ini hampir tidak mungkin berjalan tanpa pihak ketiga: penyedia alat kesehatan dan layanan pemeliharaannya, pengembang software SIMRS atau rekam medis elektronik (RME), pengelola limbah medis, penyedia laundry, gizi, keamanan, hingga laboratorium rujukan. Ketika vendor gagal, pasien tetap berada di bawah tanggung jawab fasyankes. Kegagalan itu tidak berhenti sebagai urusan kontrak, tetapi berubah menjadi risiko keselamatan, kepatuhan, dan reputasi.

Tulisan ini menawarkan kerangka sederhana yang dapat diadaptasi rumah sakit, puskesmas, maupun klinik pratama: petakan semua vendor, kelompokkan menurut tingkat risiko (tiering), tuangkan pengendalian risiko ke dalam kontrak, lalu pantau kinerjanya secara berkala dengan indikator yang jelas. Direksi memegang keputusan tentang selera risiko dan penugasan penanggung jawab; manajer unit memegang pelaksanaan harian.

Latar Belakang dan Konteks

Pemikiran lama menganggap pengadaan selesai ketika kontrak ditandatangani dan barang atau jasa diterima. Pada praktiknya, risiko justru baru dimulai: mesin ventilator yang tidak terkalibrasi tepat waktu, pembaruan sistem informasi yang membuat antrean pendaftaran berhenti, atau pengangkut limbah yang tidak mengantar limbah ke pengolah berizin. Dalam setiap contoh itu, pasien dan petugas fasyankes yang menanggung akibat pertamanya.

Literatur praktik terbaru menekankan bahwa pengawasan harus melampaui vendor langsung. American Hospital Association (AHA) dalam publikasi 2025 tentang risiko siber pihak ketiga menganjurkan inventaris vendor yang lengkap, penilaian hingga sub-vendor, pemuatan risiko ke dalam kontrak sejak awal, serta rencana kontinuitas yang memperlakukan gangguan siber seperti bencana alam.¹ Meski sumber itu berfokus pada risiko siber di Amerika Serikat, logika tata kelolanya berlaku juga untuk vendor non-TI di Indonesia.

Kerangka Regulasi dan Praktik Terbaik

Ada tiga pijakan yang bisa dijadikan rujukan, dengan catatan bahwa penerapannya perlu dikonfirmasi pada teks resmi dan konteks masing-masing fasilitas.

Pertama, pelindungan data pribadi. UU Nomor 27 Tahun 2022 membedakan pengendali dan prosesor data pribadi (Pasal 1 angka 4 dan 5). Vendor SIMRS atau RME yang mengolah data pasien atas nama fasyankes pada dasarnya berperan sebagai prosesor. Menurut ulasan hukum yang kami rujuk, prosesor wajib memproses berdasarkan perintah pengendali, pelibatan sub-prosesor memerlukan persetujuan tertulis pengendali, dan pemrosesan oleh prosesor tetap menjadi tanggung jawab pengendali (Pasal 51); pemberitahuan kegagalan pelindungan data dilakukan paling lambat 3 x 24 jam (Pasal 46 ayat 1).^2,3 Artinya, kontrak vendor perlu mengatur alur pemberitahuan insiden yang cukup cepat agar fasyankes tidak terlambat memenuhi kewajibannya. Pasal-pasal ini kami baca dari ulasan sekunder, bukan dari naskah undang-undang, sehingga tim hukum internal perlu memeriksa ulang.

Kedua, pengadaan. Bagi fasyankes milik pemerintah, pengadaan barang dan jasa mengacu pada Perpres Nomor 16 Tahun 2018 sebagaimana diubah terakhir dengan Perpres Nomor 46 Tahun 2025.⁴ Apakah dan bagaimana ketentuan ini berlaku pada badan layanan umum daerah (BLUD) tertentu, serta pasal mana yang relevan untuk jaminan dan sanksi, perlu dipastikan oleh unit pengadaan dengan membaca naskah resminya. Fasyankes swasta menggunakan hukum perdata dan kebijakan pengadaan internalnya sendiri.

Ketiga, kerangka manajemen risiko. ISO 31000:2018 menyediakan proses generik yang dapat dipakai: menetapkan konteks, mengidentifikasi, menganalisis, mengevaluasi, dan menangani risiko, disertai komunikasi, pemantauan, dan tinjauan berkelanjutan.⁵ Kerangka inilah yang kita terapkan pada portofolio vendor.

Langkah Implementasi

Langkah 1: Inventaris vendor (penanggung jawab: bagian pengadaan atau umum)

Susun daftar tunggal seluruh vendor aktif beserta nilai kontrak, masa berlaku, layanan yang disediakan, data atau akses yang mereka pegang, dan penanggung jawab internal. Daftar ini biasanya mengejutkan: banyak kontrak ditemukan tersebar di unit, tanpa pemilik jelas. Indikator awal yang dianjurkan AHA adalah persentase vendor yang sudah terdaftar dan ditinjau.¹

Langkah 2: Tiering berdasarkan dampak (penanggung jawab: komite mutu atau manajemen risiko)

Kelompokkan vendor menurut seberapa parah dampaknya bila gagal dan seberapa sulit mencari penggantinya. Praktik industri mengelompokkan vendor yang menangani data pasien, mendukung sistem klinis, mengelola alat medis, atau mengendalikan rantai pasok kritis sebagai kategori esensial yang memerlukan asesmen lebih ketat dan pemantauan berkelanjutan.⁶ Contoh pembagian tiga tingkat:

Tingkat	Ciri	Contoh di fasyankes	Intensitas pengawasan
1 (kritis)	Kegagalan langsung mengancam keselamatan pasien atau menghentikan layanan inti; atau memegang data pasien	Vendor SIMRS/RME, pemeliharaan alat penunjang hidup, gas medis, pengolah limbah B3	Kontrak lengkap, tinjauan kinerja bulanan, uji kontinuitas tahunan
2 (penting)	Gangguan mengurangi mutu atau efisiensi, ada alternatif dalam hitungan hari	Laundry, gizi, laboratorium rujukan, keamanan	Kontrak standar, tinjauan triwulanan, audit sampel
3 (umum)	Dampak kecil dan mudah diganti	Alat tulis, kebersihan taman, percetakan	Kontrak sederhana, evaluasi tahunan

Pembagian di atas adalah contoh ilustratif untuk diadaptasi, bukan standar baku.

Langkah 3: Tuangkan pengendalian ke dalam kontrak (penanggung jawab: pengadaan, hukum, dan pemilik layanan)

Untuk vendor tingkat 1 dan 2, pertimbangkan klausul berikut, lalu konsultasikan redaksinya dengan penasihat hukum: ruang lingkup dan standar layanan terukur (service level agreement, SLA) beserta konsekuensi bila tidak tercapai; kewajiban memberitahu insiden dalam jangka waktu yang selaras dengan kewajiban fasyankes; batas penggunaan data pasien dan larangan melibatkan sub-vendor tanpa persetujuan tertulis; hak fasyankes untuk memeriksa atau meminta bukti kepatuhan; kewajiban memiliki izin, sertifikasi, dan tenaga kompeten yang masih berlaku; ketentuan kontinuitas layanan; serta ketentuan pengakhiran kontrak yang mencakup pengembalian data dan alih pengetahuan. Satu catatan penting: sertifikasi vendor berguna, tetapi sifatnya hanya potret pada satu waktu, sehingga validasi independen tetap diperlukan.¹

Langkah 4: Pantau kinerja dan risiko (penanggung jawab: pemilik kontrak di unit)

Tunjuk satu pemilik kontrak per vendor. Ia memegang daftar periksa bulanan: capaian SLA, insiden, keluhan pengguna, dan masa berlaku dokumen vendor. Hasilnya dilaporkan ringkas ke komite mutu dan, untuk vendor tingkat 1, ke direksi.

Langkah 5: Uji kontinuitas dan siapkan rencana keluar (penanggung jawab: direksi dan manajer unit)

Tanyakan secara rutin: jika vendor ini berhenti besok pagi, apa yang kita lakukan? Untuk vendor tingkat 1, jawabannya tertulis dalam prosedur kontinuitas, misalnya prosedur manual saat SIMRS tidak tersedia, kontak teknisi cadangan, atau vendor alternatif yang sudah dijajaki.

Indikator Keberhasilan dan Pemantauan

Indikator	Frekuensi	Target awal (usulan)
Persentase vendor aktif yang masuk inventaris dan sudah di-tier	Triwulanan	100% pada akhir kuartal pertama
Persentase vendor tingkat 1 dengan kontrak memuat klausul inti	Semesteran	100%
Persentase tinjauan kinerja vendor yang terlaksana sesuai jadwal	Triwulanan	≥ 90%
Jumlah dan durasi gangguan layanan akibat vendor	Bulanan	Tren menurun
Persentase vendor tingkat 1 yang punya prosedur kontinuitas teruji	Tahunan	100%

Angka target di atas adalah usulan awal; sesuaikan dengan kapasitas dan data dasar fasilitas Anda.

Tantangan Umum dan Cara Mengatasinya

Kontrak tersebar tanpa pemilik. Mulai dari inventaris sederhana di lembar kerja, lalu tetapkan satu pemilik per kontrak. Posisi tawar lemah, terutama bagi klinik kecil atau puskesmas di daerah dengan sedikit pilihan vendor. Fokuskan negosiasi pada tiga klausul paling penting (pemberitahuan insiden, pengembalian data, kontinuitas), dan bergabung dengan jejaring atau asosiasi untuk kontrak bersama bila memungkinkan. Ketergantungan pada satu vendor yang memegang data dan sistem. Minta ekspor data berkala dalam format terbuka dan simpan salinannya di bawah kendali fasyankes. Kontrak murni berdasarkan harga terendah. Tambahkan kriteria kemampuan layanan dan rekam jejak dalam evaluasi, bukan hanya harga. Pemantauan menjadi formalitas. Batasi jumlah indikator, dan kaitkan hasilnya dengan keputusan nyata seperti perpanjangan atau penghentian kontrak.

Contoh Lapangan (Ilustrasi)

Sebagai ilustrasi fiktif untuk memudahkan pemahaman: sebuah rumah sakit tipe C di Jawa Tengah menemukan bahwa kontrak pemeliharaan alat anestesi tidak mencantumkan waktu tanggap teknisi. Saat alat rusak menjelang jadwal operasi pagi, perbaikan baru datang dua hari kemudian dan jadwal bedah elektif bergeser. Setelah tinjauan, rumah sakit menempatkan vendor itu di tingkat 1, menambahkan SLA waktu tanggap, menyiapkan perjanjian dengan teknisi alternatif, dan memasukkan jumlah hari alat tidak tersedia ke laporan mutu bulanan. Kasus ini bukan laporan nyata; ia dimaksudkan menunjukkan pola yang lazim ditemukan.

Bagi pembaca yang menginginkan contoh dunia nyata, kumpulan studi kasus global yang dirangkum Censinet (vendor perangkat lunak manajemen risiko, sehingga perlu dibaca dengan kesadaran akan kepentingan komersialnya) memuat antara lain penarikan kembali perangkat ventilator dan CPAP akibat bahan busa yang dapat terurai.⁶

Alat dan Dokumen Pendukung

Dokumen yang dapat dikembangkan sendiri: register vendor (nama, layanan, nilai, masa berlaku, tier, pemilik kontrak); formulir penilaian tier dengan pertanyaan dampak dan kemudahan penggantian; daftar periksa klausul kontrak; format laporan kinerja vendor satu halaman; dan prosedur kontinuitas per vendor tingkat 1. Semua dokumen ini sebaiknya dikaitkan dengan register risiko fasyankes yang sudah ada.

Pertanyaan yang Sering Diajukan

Apakah klinik kecil perlu repot melakukan tiering? Perlu, tetapi versi sederhana cukup: daftar vendor, tandai dua atau tiga yang paling kritis, dan pastikan kontrak mereka memuat waktu tanggap dan perlindungan data.

Siapa yang bertanggung jawab bila vendor lalai? Pertanggungjawaban hukum bergantung pada isi kontrak dan peraturan yang berlaku; konsultasikan dengan penasihat hukum. Dari sisi pelayanan, fasyankes tetap bertanggung jawab kepada pasien. Dalam konteks data pribadi, pemrosesan oleh prosesor tetap menjadi tanggung jawab pengendali menurut ulasan yang kami rujuk.³

Sertifikasi vendor sudah cukup sebagai bukti? Sertifikasi membantu, tetapi hanya potret satu waktu. Padukan dengan bukti kinerja berjalan dan, untuk vendor kritis, validasi pihak independen.¹

Seberapa sering kontrak ditinjau? Vendor tingkat 1 minimal triwulanan untuk kinerja dan tahunan untuk kontinuitas; tingkat 2 semesteran; tingkat 3 cukup tahunan.

Referensi

1. American Hospital Association. Monitoring and mitigating third-party cyber risks [Internet]. AHA Knowledge Exchange; 2025. Tersedia dari: aha.org
2. Republik Indonesia. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Tersedia dari: JDIH Kemenkeu
3. Hukumonline. Perbedaan pengendali dan prosesor data pribadi menurut UU PDP [Internet]. Tersedia dari: hukumonline.com
4. Republik Indonesia. Peraturan Presiden Nomor 46 Tahun 2025 tentang Perubahan Kedua atas Peraturan Presiden Nomor 16 Tahun 2018 tentang Pengadaan Barang/Jasa Pemerintah. Tersedia dari: JDIH BPK
5. International Organization for Standardization. ISO 31000:2018 Risk management: Guidelines. Geneva: ISO; 2018.
6. Censinet. How vendor failures impact patient outcomes: real-world healthcare case studies [Internet]. 2025. Tersedia dari: censinet.com

Disclaimer: artikel ini merupakan rujukan manajerial, bukan nasihat hukum, keuangan, atau konsultasi manajemen formal. Pasal dan ketentuan yang disebut perlu diperiksa pada naskah resmi terkini, dan setiap fasilitas perlu menyesuaikan dengan konteks lokal. Keputusan klinis tetap menjadi ranah tenaga medis.