BPK Temukan Kelemahan Pengesanan Penipuan BI-FAST dan Bangkitkan Isu Caruman Tambahan Dana Pencen Rp4.83 Trilion

Audit Mengesan Penipuan Tidak Dikesan dan Masalah Kawalan yang Lebih Luas

Badan Pemeriksa Keuangan (BPK) Indonesia mendapati sistem pengesanan penipuan Bank Indonesia bagi BI-FAST tidak berkesan untuk mengesan dan mencegah transaksi luar biasa. Dapatan itu merupakan sebahagian daripada pemeriksaan lebih luas yang turut membangkitkan caruman tambahan dana pencen sebanyak Rp4.83 trilion, kelemahan data kadar pertukaran dan masalah dalam pengagihan rizab bank pusat.

Pemeriksaan terhadap penyata kewangan tahunan Bank Indonesia bagi 2025 menghasilkan 16 dapatan yang mengandungi 20 masalah, menurut dapatan yang dihuraikan dalam Ikhtisar Hasil Pemeriksaan BPK bagi Semester Pertama 2026, atau IHPS I 2026. Tujuh belas masalah berkaitan kelemahan kawalan dalaman, manakala tiga melibatkan ketidakpatuhan.

Ini bermakna kelemahan kawalan dalaman merangkumi 85% daripada masalah yang dikenal pasti, berbanding 15% yang melibatkan ketidakpatuhan. Perbezaan ini penting: kawalan dalaman ialah prosedur dan sistem yang bertujuan mencegah kesilapan, mengesan aktiviti mencurigakan dan memastikan operasi kewangan mematuhi peraturan yang ditetapkan. Kelemahan dalam kawalan tersebut tidak semestinya membuktikan berlaku kerugian kewangan atau pelanggaran undang-undang.

BPK berkata masalah itu tidak menjejaskan secara material pembentangan saksama penyata kewangan Bank Indonesia bagi 2025. Namun, kesimpulan itu berkaitan akaun kewangan dan tidak menafikan dapatan berasingan mengenai keselamatan pembayaran, kualiti data dan pengurusan kewangan.

Dapatan itu dipetik secara terbuka pada 13 Oktober 2026. Laporan tersebut tidak menetapkan tarikh itu sebagai tarikh penerbitan ikhtisar BPK. Ia juga tidak menyatakan jumlah kerugian berkaitan insiden penipuan BI-FAST, bilangan pelanggan yang terjejas atau tarikh akhir untuk menyelesaikan langkah pembetulan.

Apakah Kegagalan dalam Pengesanan Penipuan BI-FAST?

Dapatan utama BPK berkaitan reka bentuk dan pelaksanaan Sistem Pengesanan Penipuan (FDS) BI-FAST. Sistem sedemikian meneliti aktiviti akaun atau transaksi untuk mencari corak yang mungkin menandakan penipuan. Anomali ialah aktiviti yang menyimpang daripada corak yang dijangka, walaupun transaksi luar biasa tidak semestinya penipuan.

BPK, badan awam yang bertanggungjawab menjalankan audit itu, menghuraikan kelemahan tersebut seperti berikut:

Reka bentuk dan pelaksanaan Sistem Pengesanan Penipuan (FDS) Bank Indonesia-Fast Payment (BI-FAST) tidak berkesan dalam mengesan dan mencegah anomali transaksi.

Dalam bahasa Inggeris, dapatan itu menyatakan bahawa reka bentuk dan pelaksanaan sistem pengesanan penipuan BI-FAST tidak berkesan untuk mengesan dan mencegah anomali transaksi. BPK turut menyatakan bahawa insiden penipuan yang melibatkan anomali tidak dikesan dan insiden serupa boleh berulang.

Dapatan ini lebih khusus berbanding amaran umum mengenai kemungkinan penipuan pembayaran. Audit itu mengenal pasti kegagalan mengesan insiden dan mengaitkan kegagalan tersebut dengan risiko kejadian berulang. Namun, ia tidak menjelaskan transaksi yang terlibat, peraturan pengesanan yang digunakan, masa kejadian atau sama ada kelemahan itu berpunca daripada tetapan perisian, kekurangan maklumat atau prosedur operasi.

BPK meminta gabenor Bank Indonesia menjalankan penilaian menyeluruh terhadap kebolehpercayaan dan keselamatan BI-FAST. Syor itu melangkaui pemeriksaan terhadap satu amaran tertentu: ia menyeru penilaian keupayaan perkhidmatan itu untuk beroperasi dengan andal dan melindungi transaksi. Tiada penilaian yang telah selesai atau maklum balas Bank Indonesia dihuraikan dalam dapatan yang dilaporkan.

Peraturan Pembayaran Sedia Ada Menangani Penipuan

Peraturan Sistem Pembayaran 2020 Bank Indonesia, yang secara rasmi dikenali sebagai Peraturan No. 22/23/PBI/2020, menyediakan rangka kerja konkrit untuk memahami kebimbangan audit itu. Perkara 2 menetapkan matlamat sistem pembayaran yang pantas, mudah, berpatutan, selamat dan andal, sambil mengambil kira akses yang lebih luas serta perlindungan pengguna.

Di bawah Perkara 31, penyedia perkhidmatan pembayaran berlesen mesti memenuhi kewajipan meliputi tadbir urus, pengurusan risiko, keselamatan sistem maklumat, kesalinghubungan dan saling kendali, serta pematuhan terhadap perundangan. Perkara 34 merangkumi pengurusan penipuan dan audit sistem maklumat berkala sebagai sebahagian daripada keperluan keselamatan.

Penjelasan yang mengiringi Perkara 34 menggariskan empat peringkat pengurusan penipuan: pencegahan, pengesanan, tindak balas dan pemantauan. Ia turut menyatakan bahawa FDS boleh beroperasi pada peringkat akaun dan transaksi. Perbezaan ini berguna kerana tingkah laku mencurigakan mungkin muncul melalui aktiviti keseluruhan akaun walaupun sesuatu pembayaran kelihatan biasa.

Peraturan itu juga menangani pengendali infrastruktur pembayaran. Perkara 38 dan 41 menetapkan kewajipan berkaitan tadbir urus, pengurusan risiko dan keselamatan maklumat, termasuk pengurusan penipuan dan audit berkala. Peruntukan ini menunjukkan bahawa kawalan penipuan merupakan sebahagian daripada tanggungjawab operasi yang lebih luas.

Kategori tersebut tidak harus dianggap saling boleh ditukar ganti. Perkara 88 membezakan penyeliaan penyedia perkhidmatan pembayaran dan pengendali infrastruktur daripada pemantauan infrastruktur pembayaran yang dikendalikan sendiri oleh Bank Indonesia. Oleh itu, peraturan tersebut secara jelas merangkumi infrastruktur pembayaran bank pusat dalam rangka kerja pemantauannya, tanpa mengandaikan bahawa setiap peraturan untuk penyedia berlesen terpakai kepada Bank Indonesia dengan cara yang sama.

Penjelasan peraturan mengenai keselamatan siber merangkumi pengenalpastian, perlindungan dan pengesanan dalam langkah pencegahan. Penjelasan Perkara 90 juga mengenal pasti risiko sistem maklumat dan siber sebagai risiko operasi. Secara keseluruhannya, peruntukan ini menjadikan pengesanan sebahagian daripada keselamatan pembayaran yang ditetapkan, bukannya tambahan pilihan kepada pemprosesan transaksi.

Data Kadar Pertukaran Turut Diteliti

Dapatan BPK turut meliputi Kadar Spot Dolar Antara Bank Jakarta (JISDOR), iaitu kadar pertukaran rujukan Bank Indonesia bagi dolar AS berbanding rupiah. Persoalannya ialah sama ada maklumat yang digunakan untuk mengira kadar itu tepat dan lengkap.

Audit mengenal pasti kelemahan dalam data yang diperoleh melalui modul JISDOR dalam Sistem Pemantauan Transaksi Valuta Asing terhadap Rupiah (Sismontavar), iaitu sistem yang digunakan untuk memantau transaksi pertukaran asing berbanding rupiah. BPK mendapati kadar rujukan itu tidak sepenuhnya berasaskan data yang tepat dan lengkap.

Transaksi pertukaran asing spot ialah pertukaran mata wang yang penyelesaiannya dibuat dalam tempoh singkat, bukannya kontrak untuk penyerahan pada masa yang jauh kemudian. Kadar rujukan yang berasaskan transaksi tersebut bergantung pada mutu rekod dan transaksi yang layak dimasukkan dalam pengiraan.

BPK memberi amaran bahawa kadar JISDOR yang diterbitkan mungkin tidak mencerminkan semua transaksi spot sebenar yang sepatutnya menjadi asas pengiraannya. BPK meminta pelarasan terhadap masa transaksi, pengesahan transaksi dan penerbitan kadar itu.

Syor mengenai masa tersebut merupakan aspek khusus dalam dapatan itu. Transaksi mungkin berlaku sebelum pengesahannya tersedia, maka hubungan antara tempoh transaksi, proses pengesahan dan masa penerbitan boleh mempengaruhi rekod yang dimasukkan. Syor BPK menumpukan pada hubungan tersebut, tetapi tidak menetapkan jadual baharu.

Dapatan itu tidak mengukur perbezaan antara nilai JISDOR yang diterbitkan dengan kadar yang dikira semula. Ia juga tidak mengenal pasti tarikh tertentu apabila kadar itu tidak tepat. Kesimpulan yang disokong ialah kualiti dan kelengkapan data perlu diberi perhatian, bukannya setiap kadar yang diterbitkan adalah salah.

Bayaran Pencen Rp4.83 Trilion Bangkitkan Kebimbangan Pembiayaan

Angka kewangan terbesar yang dinyatakan secara jelas dalam dapatan itu ialah caruman tambahan sebanyak Rp4.83 trilion kepada Dana Pensiun Bank Indonesia (Dapenbi), dana pencen bank pusat itu. BPK mempersoalkan kecukupan pengaturan Bank Indonesia bagi bayaran tersebut dan penetapan had kerugian pelaburan dalam peranannya sebagai pengasas dana itu.

Caruman tambahan pencen ialah wang yang disalurkan melebihi pembiayaan biasa. Dalam kes ini, BPK mengaitkan kebimbangannya dengan kemungkinan Bank Indonesia perlu sekali lagi membuat bayaran tambahan untuk menampung defisit pembiayaan. Defisit pembiayaan bermaksud dana pencen tidak mempunyai sumber yang mencukupi, berdasarkan penilaian yang berkaitan, untuk memenuhi obligasinya.

BPK turut mengenal pasti potensi kerugian apabila Dapenbi melupuskan pelaburan menggunakan mekanisme had kerugian pelaburannya. Had kerugian menetapkan batas bagi kerugian pelaburan atau keputusan berkaitan. Keberkesanannya bergantung pada cara had itu ditetapkan dan digunakan, tetapi dapatan yang dilaporkan tidak mendedahkan ambang Dapenbi atau kedudukan pelaburan individu.

Angka Rp4.83 trilion itu tidak harus digambarkan sebagai kerugian akibat penipuan yang telah dibuktikan. Ia ialah jumlah caruman tambahan pencen yang diketengahkan oleh audit. Begitu juga, amaran mengenai kerugian daripada pelupusan pelaburan merujuk kepada risiko yang dikenal pasti BPK, bukannya jumlah keseluruhan kerugian sebenar yang telah direalisasikan.

BPK mengesyorkan pemeriksaan terhadap pengurusan pelaburan, tadbir urus dan prestasi pelaburan Dapenbi, serta penilaian terhadap had kerugian yang ditetapkan. Syor tersebut menangani kedua-dua punca yang mungkin menyebabkan keperluan pembiayaan tambahan berulang dan keputusan yang boleh mendedahkan dana itu kepada kerugian pelaburan.

Pengagihan Rizab Memerlukan Pembetulan Berasingan

Satu lagi dapatan berkaitan pemindahan amaun terealisasi daripada Cadangan Tujuan, atau rizab tujuan tertentu, kepada Cadangan Umum. BPK mendapati penambahan itu tidak mematuhi peraturan yang mengawal pengagihan lebihan daripada aktiviti Bank Indonesia.

Secara ringkas, isu ini berkaitan cara lebihan diagihkan antara kategori rizab. Ia berasingan daripada kegagalan pengesanan BI-FAST dan caruman dana pencen, meskipun ketiga-tiganya dikenal pasti dalam pemeriksaan penyata kewangan yang sama.

BPK berkata pengumpulan rizab umum yang terhasil tidak selaras dengan pengaturan pengagihan lebihan yang terpakai. BPK meminta gabenor Bank Indonesia menetapkan pengaturan pengagihan rizab umum yang mematuhi peraturan tersebut.

Dapatan yang dilaporkan tidak menyatakan jumlah pengagihan rizab yang dipertikaikan atau pengiraan kesannya. Oleh itu, tiada asas untuk menggabungkannya dengan caruman pencen Rp4.83 trilion bagi menghasilkan jumlah keseluruhan pendedahan kewangan.

Mengapa Penyata Kewangan Saksama Tidak Menyelesaikan Isu Dapatan

BPK menyatakan bahawa kelemahan kawalan dan ketidakpatuhan itu tidak menjejaskan secara material pembentangan saksama penyata kewangan tahunan Bank Indonesia bagi 2025. Materialiti merujuk kepada sama ada kesilapan atau ketinggalan cukup penting untuk mempengaruhi pemahaman atau keputusan pembaca mengenai akaun.

Kesimpulan itu dan dapatan operasi menjawab soalan yang berbeza. Penyata kewangan boleh membentangkan kedudukan kewangan sesebuah institusi secara saksama, sementara audit masih mengenal pasti kelemahan dalam kawalan penipuan, proses data atau pengaturan pematuhannya.

Angka-angka itu juga perlu ditafsir dengan teliti. Enam belas dapatan yang mengandungi 20 masalah bermakna satu dapatan boleh mengandungi lebih daripada satu masalah. Ini tidak bermakna BPK mengenal pasti 20 insiden penipuan berasingan, dan kesemua 17 masalah kawalan dalaman tidak harus dikaitkan dengan BI-FAST.

Empat bidang yang dihuraikan kepada umum memerlukan langkah pembetulan yang berbeza: penilaian keselamatan pembayaran untuk BI-FAST, pelarasan data dan masa untuk JISDOR, pemeriksaan pelaburan dan tadbir urus untuk Dapenbi, serta pengaturan pengagihan rizab umum yang mematuhi peraturan. Menganggap semuanya sebagai satu masalah teknologi akan mengabaikan sebahagian besar skop audit.

Garis Masa dan Persoalan yang Belum Terjawab

Tarikh-tarikh ini membezakan rangka kerja kawal selia, tempoh kewangan yang diperiksa dan pelaporan dapatan pada masa kemudian:

• 2020: Bank Indonesia mengeluarkan Peraturan No. 22/23/PBI/2020 mengenai sistem pembayaran.
• 2025: Penyata kewangan tahunan yang diperiksa BPK meliputi tahun kewangan ini.
• Semester pertama 2026: Dapatan itu muncul dalam ikhtisar IHPS I 2026 BPK.
• 13 Oktober 2026: Dapatan audit dipetik secara terbuka.

Tiada pendengaran susulan, tarikh akhir pelaksanaan atau laporan kemajuan berjadual dikenal pasti. Status penilaian BI-FAST yang diminta, pelarasan masa JISDOR, pemeriksaan pelaburan pencen dan perubahan pengagihan rizab juga tidak dinyatakan.

Bagi pengguna pembayaran, butiran yang belum terjawab termasuk skala penipuan yang tidak dikesan, sebarang kerugian berkaitan dan kawalan pembetulan yang telah diperkenalkan. Bagi dana pencen, maklumat yang tiada termasuk kedudukan pembiayaannya, ambang kerugian pelaburan dan sama ada caruman tambahan dijangka diperlukan.

Peraturan pembayaran menyenaraikan aduan pengguna, penipuan, insiden siber dan gangguan sebagai maklumat berkaitan di bawah Perkara 105. Peraturan itu turut mengenal pasti maklumat mengenai tadbir urus, operasi dan penipuan dalam pemantauan peserta infrastruktur pembayaran Bank Indonesia. Kategori-kategori tersebut menyediakan asas konkrit untuk menilai langkah pembetulan, walaupun dapatan yang dilaporkan tidak mengandungi hasil penilaian susulan sedemikian.

Perkara Utama

• BPK mengenal pasti 16 dapatan yang mengandungi 20 masalah dalam pemeriksaannya terhadap penyata kewangan Bank Indonesia bagi 2025.
• Tujuh belas masalah melibatkan kelemahan kawalan dalaman dan tiga melibatkan ketidakpatuhan.
• Audit mendapati sistem pengesanan penipuan BI-FAST tidak berkesan untuk mengesan dan mencegah anomali transaksi.
• BPK meminta penilaian menyeluruh terhadap kebolehpercayaan dan keselamatan BI-FAST.
• Kualiti data JISDOR serta masa transaksi, pengesahan dan penerbitan kadar turut memerlukan perhatian.
• Caruman tambahan pencen sebanyak Rp4.83 trilion dan had kerugian pelaburan mendorong syor untuk pemeriksaan lanjut.
• BPK mendapati penambahan kepada rizab umum tidak mematuhi peraturan pengagihan lebihan.
• Dapatan itu tidak menjejaskan secara material pembentangan saksama penyata kewangan 2025, dan tiada tarikh akhir bagi langkah pembetulan dikenal pasti.