BPK identifica falhas na detecção de fraudes do BI-FAST e aponta contribuição previdenciária de Rp 4,83 trilhões

Auditoria aponta fraudes não detectadas e problemas mais amplos de controle

A Agência Suprema de Auditoria da Indonésia, Badan Pemeriksa Keuangan (BPK), constatou que o sistema de detecção de fraudes do Bank Indonesia no BI-FAST foi ineficaz para detectar e prevenir transações anormais. A constatação faz parte de uma análise mais ampla, que também apontou uma contribuição previdenciária adicional de Rp 4,83 trilhões, falhas nos dados cambiais e problemas na alocação das reservas do banco central.

A análise das demonstrações financeiras anuais do Bank Indonesia de 2025 identificou 16 constatações contendo 20 problemas, segundo informações descritas no Resumo dos Resultados de Auditoria do Primeiro Semestre de 2026 do BPK, conhecido como IHPS I 2026. Dezessete problemas diziam respeito a falhas nos controles internos, enquanto três envolviam descumprimento de normas.

Isso significa que as falhas nos controles internos corresponderam a 85% dos problemas identificados, ante 15% relacionados ao descumprimento de normas. Essa distinção é importante: controles internos são os procedimentos e sistemas destinados a prevenir erros, detectar atividades suspeitas e manter as operações financeiras dentro das regras estabelecidas. Uma falha nesses controles não comprova automaticamente uma perda financeira ou uma violação legal.

O BPK afirmou que os problemas não afetaram de forma relevante a apresentação adequada das demonstrações financeiras do Bank Indonesia de 2025. Essa conclusão diz respeito às contas, porém, e não anula as constatações separadas sobre a segurança dos pagamentos, a qualidade dos dados e a gestão financeira.

As constatações foram citadas publicamente em 13 de outubro de 2026. O relato não estabelece essa data como a data de publicação do resumo do BPK. Também não informa o valor das perdas relacionadas aos episódios de fraude no BI-FAST, o número de clientes afetados nem um prazo para a conclusão das medidas corretivas.

O que falhou na detecção de fraudes do BI-FAST?

A principal constatação do BPK diz respeito tanto à concepção quanto à implementação do Sistema de Detecção de Fraudes (FDS, na sigla em inglês) do BI-FAST. Esse tipo de sistema analisa a atividade de contas ou transações em busca de padrões que possam indicar fraude. Uma anomalia é uma atividade que foge dos padrões esperados, embora uma transação incomum não seja necessariamente fraudulenta.

O BPK, órgão público responsável pela auditoria, descreveu a falha nos seguintes termos:

Desain dan implementasi Fraud Detection System (FDS) Bank Indonesia-Fast Payment (BI-FAST) tidak efektif dalam mendeteksi dan mencegah anomali transaksi.

Em português, a constatação diz que a concepção e a implementação do sistema de detecção de fraudes do BI-FAST foram ineficazes para detectar e prevenir anomalias nas transações. O BPK também afirmou que episódios de fraude envolvendo anomalias não foram detectados e que casos semelhantes podem se repetir.

Isso é mais específico do que um alerta geral sobre possíveis fraudes em pagamentos. A auditoria identifica uma falha na detecção de episódios e relaciona essa falha ao risco de repetição. No entanto, não explica quais transações estavam envolvidas, quais regras de detecção foram usadas, quando ocorreram os episódios ou se a falha decorreu de configurações de software, lacunas de informação ou procedimentos operacionais.

O BPK pediu ao governador do Bank Indonesia que realizasse uma avaliação abrangente da confiabilidade e da segurança do BI-FAST. A recomendação vai além da verificação de um alerta específico: pede uma análise da capacidade do serviço de operar de forma confiável e proteger as transações. As constatações divulgadas não descrevem uma avaliação concluída nem uma resposta do Bank Indonesia.

As regras de pagamento já tratam de fraudes

O Regulamento do Sistema de Pagamentos de 2020 do Bank Indonesia, formalmente Regulamento nº 22/23/PBI/2020, oferece um marco concreto para entender as preocupações da auditoria. O artigo 2 estabelece como objetivo um sistema de pagamentos rápido, fácil, acessível, seguro e confiável, considerando também a ampliação do acesso e a proteção do consumidor.

Nos termos do artigo 31, os prestadores de serviços de pagamento licenciados devem cumprir obrigações relacionadas a governança, gestão de riscos, segurança dos sistemas de informação, conexão e interoperabilidade, além de respeitar a legislação. O artigo 34 inclui a gestão de fraudes e auditorias periódicas dos sistemas de informação entre os requisitos de segurança.

A explicação que acompanha o artigo 34 estabelece quatro etapas para a gestão de fraudes: prevenção, detecção, resposta e monitoramento. Também afirma que um FDS pode operar tanto no nível da conta quanto no da transação. Essa distinção é útil porque um comportamento suspeito pode surgir ao longo da atividade de uma conta, mesmo quando um pagamento individual parece normal.

O regulamento também trata dos operadores de infraestrutura de pagamentos. Os artigos 38 e 41 estabelecem obrigações relacionadas a governança, gestão de riscos e segurança da informação, incluindo gestão de fraudes e auditorias periódicas. Essas disposições mostram que os controles contra fraudes fazem parte de um conjunto mais amplo de responsabilidades operacionais.

As categorias não devem ser tratadas como equivalentes. O artigo 88 distingue a supervisão dos prestadores de serviços de pagamento e dos operadores de infraestrutura do monitoramento da infraestrutura de pagamentos operada pelo próprio Bank Indonesia. Portanto, o regulamento inclui expressamente a infraestrutura de pagamentos do banco central em seu marco de monitoramento, sem exigir que se presuma que todas as regras aplicáveis a um prestador licenciado se aplicam ao Bank Indonesia exatamente da mesma forma.

A explicação do regulamento sobre segurança cibernética inclui identificação, proteção e detecção entre as medidas de prevenção. A explicação do artigo 90 também classifica os riscos relacionados a sistemas de informação e à cibersegurança como riscos operacionais. Em conjunto, essas disposições fazem da detecção uma parte definida da segurança dos pagamentos, e não um complemento opcional ao processamento de transações.

Dados cambiais também foram analisados

As constatações do BPK também abrangeram a Jakarta Interbank Spot Dollar Rate (JISDOR), taxa de câmbio de referência do Bank Indonesia para o dólar americano em relação à rupia. A questão era se as informações usadas para calcular essa taxa estavam corretas e completas.

A auditoria identificou falhas nos dados obtidos pelo módulo JISDOR do Sistem Monitoring Transaksi Valuta Asing terhadap Rupiah (Sismontavar), sistema usado para monitorar as transações de câmbio em relação à rupia. O BPK constatou que a taxa de referência não foi calculada integralmente com base em dados corretos e completos.

Uma operação cambial à vista é uma troca de moedas com liquidação em um curto período, e não um contrato para entrega muito mais adiante. Uma taxa de referência baseada nessas operações depende tanto da qualidade dos registros quanto de quais transações elegíveis entram no cálculo.

O BPK alertou que a taxa JISDOR divulgada talvez não refletisse todas as operações à vista efetivamente realizadas que deveriam compor sua base de cálculo. O órgão pediu ajustes nos horários das transações, nas confirmações das operações e na publicação da taxa.

Essa recomendação sobre os horários é uma parte específica da constatação. Uma transação pode ocorrer antes que sua confirmação esteja disponível, de modo que a relação entre o período das operações, o processo de confirmação e o horário de publicação pode afetar os registros incluídos. A recomendação do BPK aponta essa relação, mas não especifica um novo cronograma.

As constatações não quantificam qualquer diferença entre os valores publicados da JISDOR e uma taxa recalculada. Também não identificam datas específicas em que a taxa estivesse incorreta. A conclusão respaldada é que a qualidade e a integridade dos dados precisavam de atenção, não que todas as taxas divulgadas estivessem erradas.

Contribuição previdenciária de Rp 4,83 trilhões levanta preocupações sobre financiamento

O maior valor monetário explícito nas constatações é a contribuição adicional de Rp 4,83 trilhões para o Dana Pensiun Bank Indonesia (Dapenbi), fundo de pensão do banco central. O BPK questionou se os mecanismos do Bank Indonesia eram adequados para esse pagamento e para a definição de limites de perdas em investimentos, na condição de instituidor do fundo.

Uma contribuição previdenciária adicional é um valor fornecido além do financiamento regular. Neste caso, o BPK relacionou suas preocupações à possibilidade de o Bank Indonesia precisar fazer novamente pagamentos adicionais para cobrir um déficit de financiamento. Um déficit de financiamento significa que, segundo a avaliação pertinente, o fundo de pensão não dispõe de recursos suficientes para cumprir suas obrigações.

O BPK também identificou possíveis perdas quando o Dapenbi se desfaz de investimentos usando seu mecanismo de limite de perdas. Um limite de perdas estabelece uma referência para perdas de investimento ou decisões relacionadas. Sua eficácia depende de como é definido e aplicado, mas as constatações divulgadas não informam os limites do Dapenbi nem as posições de investimentos individuais.

O valor de Rp 4,83 trilhões não deve ser descrito como uma perda comprovada por fraude. Trata-se do valor de uma contribuição previdenciária adicional destacada pela auditoria. Da mesma forma, o alerta sobre perdas decorrentes da venda de investimentos diz respeito a um risco identificado pelo BPK, e não a um total quantificado de perdas realizadas.

O BPK recomendou uma análise da gestão de investimentos, da governança e do desempenho dos investimentos do Dapenbi, além de uma avaliação dos limites de perdas estabelecidos. As recomendações abordam tanto os motivos que poderiam levar à necessidade de novos aportes quanto as decisões que poderiam expor o fundo a perdas de investimento.

Alocação de reservas exige correção específica

Outra constatação dizia respeito à transferência de valores realizados da Cadangan Tujuan, ou reservas específicas, para a Cadangan Umum, ou reservas gerais. O BPK constatou que esse acréscimo não estava de acordo com as regras que regem a distribuição do superávit das atividades do Bank Indonesia.

Em termos simples, a questão é como o superávit é distribuído entre as categorias de reservas. É distinta da falha de detecção do BI-FAST e da contribuição ao fundo de pensão, embora as três tenham sido identificadas na mesma análise das demonstrações financeiras.

O BPK afirmou que o acúmulo resultante de reservas gerais não era compatível com as regras aplicáveis à distribuição do superávit. O órgão pediu ao governador do Bank Indonesia que estabelecesse mecanismos de alocação das reservas gerais em conformidade com essas regras.

A constatação divulgada não informa o valor da alocação de reservas em questão nem calcula seu impacto. Portanto, não há fundamento para somá-la à contribuição previdenciária de Rp 4,83 trilhões e chegar a uma exposição financeira total.

Por que a apresentação adequada das demonstrações financeiras não encerra a discussão

O BPK afirmou que as falhas nos controles e o descumprimento de normas não afetaram de forma relevante a apresentação adequada das demonstrações financeiras anuais do Bank Indonesia de 2025. A materialidade diz respeito a saber se um erro ou uma omissão é importante o suficiente para afetar a compreensão ou as decisões de quem consulta as contas.

Essa conclusão e as constatações operacionais respondem a perguntas diferentes. As demonstrações financeiras podem apresentar adequadamente a situação financeira de uma instituição enquanto uma auditoria ainda identifica falhas nos controles contra fraudes, nos processos de dados ou nos mecanismos de conformidade.

Os números também devem ser interpretados com cuidado. Dezesseis constatações contendo 20 problemas significa que uma constatação pode incluir mais de um problema. Isso não significa que o BPK tenha identificado 20 episódios distintos de fraude, e os 17 problemas de controle interno não devem ser todos atribuídos ao BI-FAST.

As quatro áreas divulgadas exigem medidas corretivas diferentes: avaliação da segurança de pagamentos do BI-FAST, ajustes nos dados e horários da JISDOR, análise dos investimentos e da governança do Dapenbi e mecanismos de alocação das reservas gerais em conformidade com as regras. Tratá-las como um único problema tecnológico deixaria de fora grande parte do escopo da auditoria.

Cronologia e questões sem resposta

As datas distinguem o marco regulatório, o período financeiro analisado e a divulgação posterior das constatações:

• 2020: O Bank Indonesia publicou o Regulamento nº 22/23/PBI/2020 sobre o sistema de pagamentos.
• 2025: As demonstrações financeiras anuais analisadas pelo BPK cobriam esse exercício financeiro.
• Primeiro semestre de 2026: As constatações apareceram no resumo IHPS I 2026 do BPK.
• 13 de outubro de 2026: As constatações da auditoria foram citadas publicamente.

Não foi identificada nenhuma audiência posterior, prazo para implementação ou relatório de acompanhamento previsto. Também não está estabelecida a situação da avaliação solicitada do BI-FAST, dos ajustes nos horários da JISDOR, da análise dos investimentos previdenciários nem das mudanças na alocação de reservas.

Para os usuários de serviços de pagamento, os detalhes ainda não esclarecidos incluem a dimensão da fraude não detectada, eventuais perdas relacionadas e quais controles corretivos foram implementados. Para o fundo de pensão, faltam informações sobre sua situação financeira, os limites de perdas em investimentos e a expectativa de novas contribuições.

O regulamento de pagamentos identifica reclamações de consumidores, fraudes, incidentes cibernéticos e interrupções como informações pertinentes nos termos do artigo 105. Também identifica informações sobre governança, operações e fraudes no monitoramento dos participantes da infraestrutura de pagamentos do Bank Indonesia. Essas categorias oferecem uma base concreta para avaliar as medidas corretivas, embora as constatações divulgadas não apresentem resultados de uma avaliação de acompanhamento desse tipo.

Principais pontos

• O BPK identificou 16 constatações contendo 20 problemas ao analisar as demonstrações financeiras do Bank Indonesia de 2025.
• Dezessete problemas envolviam falhas nos controles internos e três, descumprimento de normas.
• A auditoria constatou que o sistema de detecção de fraudes do BI-FAST era ineficaz para detectar e prevenir anomalias nas transações.
• O BPK pediu uma avaliação abrangente da confiabilidade e da segurança do BI-FAST.
• A qualidade dos dados da JISDOR e os horários das transações, das confirmações e da publicação da taxa também precisavam de atenção.
• Uma contribuição previdenciária adicional de Rp 4,83 trilhões e os limites de perdas em investimentos levaram a recomendações de novas análises.
• O BPK constatou que os acréscimos às reservas gerais não estavam de acordo com as regras de distribuição do superávit.
• As constatações não afetaram de forma relevante a apresentação adequada das demonstrações financeiras de 2025, e não foi identificado prazo para as medidas corretivas.