BPK deteta falhas na deteção de fraude do BI-FAST e destaca contribuição de 4,83 biliões de rupias para o fundo de pensões

Auditoria deteta fraudes não identificadas e problemas de controlo mais amplos

A Agência Suprema de Auditoria da Indonésia, Badan Pemeriksa Keuangan (BPK), concluiu que o sistema de deteção de fraude do Bank Indonesia para o BI-FAST era ineficaz na deteção e prevenção de transações anómalas. Esta conclusão faz parte de uma análise mais ampla, que também assinalou uma contribuição adicional de 4,83 biliões de rupias para o fundo de pensões, fragilidades nos dados cambiais e problemas na afetação das reservas do banco central.

A análise das demonstrações financeiras anuais do Bank Indonesia relativas a 2025 identificou 16 conclusões que incluíam 20 problemas, de acordo com os resultados descritos no Resumo dos Resultados da Auditoria do Primeiro Semestre de 2026 da BPK, conhecido como IHPS I 2026. Dezassete problemas diziam respeito a fragilidades nos controlos internos, enquanto três envolviam incumprimentos.

Assim, as fragilidades dos controlos internos representaram 85% dos problemas identificados, contra 15% relacionados com incumprimentos. A distinção é importante: os controlos internos são os procedimentos e sistemas destinados a prevenir erros, detetar atividades suspeitas e assegurar que as operações financeiras respeitam as regras estabelecidas. Uma fragilidade nesses controlos não comprova automaticamente uma perda financeira ou uma violação da lei.

A BPK afirmou que os problemas não afetaram de forma material a apresentação apropriada das demonstrações financeiras do Bank Indonesia relativas a 2025. Essa conclusão diz respeito às contas, mas não elimina as conclusões distintas sobre a segurança dos pagamentos, a qualidade dos dados e a gestão financeira.

As conclusões foram citadas publicamente a 13 de outubro de 2026. O relato não estabelece que essa seja a data de publicação do resumo da BPK. Também não indica o montante das perdas associadas aos incidentes de fraude no BI-FAST, o número de clientes afetados ou um prazo para concluir as medidas corretivas.

O que falhou na deteção de fraude do BI-FAST?

A principal conclusão da BPK diz respeito tanto à conceção como à implementação do Sistema de Deteção de Fraude (FDS, na sigla inglesa) do BI-FAST. Este tipo de sistema analisa a atividade das contas ou as transações em busca de padrões que possam indicar fraude. Uma anomalia é uma atividade que se desvia dos padrões esperados, embora uma transação invulgar não seja necessariamente fraudulenta.

A BPK, entidade pública responsável pela auditoria, descreveu a fragilidade nos seguintes termos:

Desain dan implementasi Fraud Detection System (FDS) Bank Indonesia-Fast Payment (BI-FAST) tidak efektif dalam mendeteksi dan mencegah anomali transaksi.

Em português, a conclusão afirma que a conceção e a implementação do sistema de deteção de fraude do BI-FAST eram ineficazes na deteção e prevenção de anomalias nas transações. A BPK declarou também que houve incidentes de fraude com anomalias que não foram detetados e que incidentes semelhantes poderiam voltar a ocorrer.

Esta conclusão é mais específica do que um alerta genérico sobre possíveis fraudes nos pagamentos. A auditoria identifica uma falha na deteção de incidentes e relaciona-a com o risco de repetição. No entanto, não explica que transações estiveram envolvidas, que regras de deteção foram utilizadas, quando ocorreram os incidentes ou se a fragilidade resultou das configurações do software, de lacunas de informação ou de procedimentos operacionais.

A BPK pediu ao governador do Bank Indonesia que realizasse uma avaliação abrangente da fiabilidade e da segurança do BI-FAST. A recomendação vai além da verificação de um alerta individual: exige uma análise da capacidade do serviço para funcionar de forma fiável e proteger as transações. As conclusões divulgadas não descrevem qualquer avaliação concluída nem uma resposta do Bank Indonesia.

As regras de pagamento já contemplam a fraude

O Regulamento do Sistema de Pagamentos de 2020 do Bank Indonesia, formalmente o Regulamento n.º 22/23/PBI/2020, proporciona um enquadramento concreto para compreender as preocupações da auditoria. O artigo 2.º estabelece como objetivo um sistema de pagamentos rápido, fácil, acessível, seguro e fiável, tendo também em conta o acesso alargado e a proteção dos consumidores.

Nos termos do artigo 31.º, os prestadores de serviços de pagamento autorizados têm de cumprir obrigações relativas à governação, à gestão de riscos, à segurança dos sistemas de informação, à interligação e interoperabilidade e ao cumprimento da legislação. O artigo 34.º inclui a gestão da fraude e auditorias periódicas aos sistemas de informação entre os requisitos de segurança.

A explicação que acompanha o artigo 34.º estabelece quatro fases para a gestão da fraude: prevenção, deteção, resposta e monitorização. Refere ainda que um FDS pode funcionar tanto ao nível da conta como ao nível da transação. Esta distinção é útil porque um comportamento suspeito pode revelar-se na atividade global de uma conta, mesmo quando um pagamento individual parece normal.

O regulamento também abrange os operadores de infraestruturas de pagamento. Os artigos 38.º e 41.º estabelecem obrigações relativas à governação, à gestão de riscos e à segurança da informação, incluindo a gestão da fraude e auditorias periódicas. Estas disposições mostram que os controlos contra a fraude fazem parte de um conjunto mais amplo de responsabilidades operacionais.

Estas categorias não devem ser tratadas como equivalentes. O artigo 88.º distingue a supervisão dos prestadores de serviços de pagamento e dos operadores de infraestruturas da monitorização das infraestruturas de pagamento operadas pelo próprio Bank Indonesia. Assim, o regulamento inclui expressamente as infraestruturas de pagamento do banco central no seu quadro de monitorização, sem exigir que se presuma que todas as regras aplicáveis a um prestador autorizado se aplicam ao Bank Indonesia exatamente da mesma forma.

A explicação do regulamento sobre cibersegurança inclui a identificação, a proteção e a deteção entre as medidas de prevenção. A explicação do artigo 90.º identifica também os riscos dos sistemas de informação e cibernéticos como riscos operacionais. Em conjunto, estas disposições definem a deteção como parte integrante da segurança dos pagamentos, e não como um complemento opcional ao processamento das transações.

Os dados cambiais também foram analisados

As conclusões da BPK abrangeram também a Jakarta Interbank Spot Dollar Rate (JISDOR), a taxa de câmbio de referência do Bank Indonesia para o dólar dos EUA face à rupia. A questão era saber se a informação utilizada para calcular essa taxa estava correta e completa.

A auditoria identificou fragilidades nos dados obtidos através do módulo JISDOR do Sistem Monitoring Transaksi Valuta Asing terhadap Rupiah (Sismontavar), o sistema utilizado para monitorizar as transações cambiais face à rupia. A BPK concluiu que a taxa de referência não se baseava inteiramente em dados corretos e completos.

Uma transação cambial à vista é uma troca de moedas cuja liquidação ocorre num curto prazo, em vez de corresponder a um contrato para entrega muito mais tarde. Uma taxa de referência baseada nessas transações depende tanto da qualidade dos registos como das transações elegíveis incluídas no cálculo.

A BPK alertou que a taxa JISDOR publicada poderia não refletir todas as transações à vista efetivamente realizadas que deveriam servir de base ao seu cálculo. Pediu ajustes aos horários das transações, às confirmações das transações e à publicação da taxa.

Essa recomendação relativa aos horários constitui uma parte distinta da conclusão. Uma transação pode ocorrer antes de a respetiva confirmação estar disponível, pelo que a relação entre o período das transações, o processo de confirmação e a hora de publicação pode afetar os registos incluídos. A recomendação da BPK aponta para essa relação, mas não especifica um calendário revisto.

As conclusões não quantificam qualquer diferença entre os valores JISDOR publicados e uma taxa recalculada. Também não identificam datas específicas em que a taxa estivesse incorreta. O que se pode concluir é que a qualidade e a integralidade dos dados exigiam atenção, não que todas as taxas publicadas estivessem erradas.

Contribuição de 4,83 biliões de rupias para o fundo de pensões suscita preocupações de financiamento

O valor monetário explícito mais elevado nas conclusões é a contribuição adicional de 4,83 biliões de rupias para o Dana Pensiun Bank Indonesia (Dapenbi), o fundo de pensões do banco central. A BPK questionou se os mecanismos do Bank Indonesia eram adequados para esse pagamento e para definir limites às perdas de investimento, na qualidade de fundador do fundo.

Uma contribuição adicional para um fundo de pensões é um montante pago para além do financiamento regular. Neste caso, a BPK relacionou as suas preocupações com a possibilidade de o Bank Indonesia voltar a ter de fazer pagamentos adicionais para cobrir um défice de financiamento. Um défice de financiamento significa que, de acordo com a avaliação aplicável, um fundo de pensões não dispõe de recursos suficientes para cumprir as suas obrigações.

A BPK identificou também perdas potenciais quando o Dapenbi se desfaz de investimentos através do seu mecanismo de limite de perdas de investimento. Um limite de perdas define um limiar para as perdas de investimento ou para decisões relacionadas. A sua eficácia depende da forma como é estabelecido e aplicado, mas as conclusões divulgadas não revelam os limites definidos pelo Dapenbi nem as posições de investimento individuais.

O valor de 4,83 biliões de rupias não deve ser descrito como uma perda comprovada decorrente de fraude. Trata-se do montante de uma contribuição adicional para o fundo de pensões destacada pela auditoria. Do mesmo modo, o alerta sobre perdas decorrentes da alienação de investimentos diz respeito a um risco identificado pela BPK, e não a um total quantificado de perdas efetivamente realizadas.

A BPK recomendou uma análise da gestão dos investimentos, da governação e do desempenho do Dapenbi, bem como uma avaliação dos limites de perdas estabelecidos. Estas recomendações abordam tanto as razões pelas quais poderá ser necessário voltar a disponibilizar financiamento adicional como as decisões que podem expor o fundo a perdas de investimento.

A afetação das reservas exige uma correção distinta

Outra conclusão dizia respeito à transferência de montantes realizados da Cadangan Tujuan, ou reservas para fins específicos, para a Cadangan Umum, ou reservas gerais. A BPK concluiu que esse acréscimo não respeitava as regras aplicáveis à distribuição dos excedentes das atividades do Bank Indonesia.

Em termos simples, esta questão diz respeito à forma como o excedente é repartido entre categorias de reservas. É distinta da falha de deteção do BI-FAST e da contribuição para o fundo de pensões, embora as três questões tenham sido identificadas na mesma análise das demonstrações financeiras.

A BPK afirmou que a acumulação resultante de reservas gerais não era compatível com os mecanismos aplicáveis à distribuição do excedente. Pediu ao governador do Bank Indonesia que estabelecesse mecanismos para a afetação das reservas gerais em conformidade com essas regras.

A conclusão divulgada não indica o montante da afetação de reservas em causa nem calcula o seu impacto. Por conseguinte, não há fundamento para somá-la à contribuição de 4,83 biliões de rupias para o fundo de pensões, de modo a obter uma exposição financeira total.

Porque é que a apresentação apropriada das contas não resolve as conclusões da auditoria

A BPK afirmou que as fragilidades dos controlos e os incumprimentos não afetaram de forma material a apresentação apropriada das demonstrações financeiras anuais do Bank Indonesia relativas a 2025. A materialidade diz respeito à importância de um erro ou omissão para a compreensão ou as decisões de quem consulta as contas.

Essa conclusão e as constatações operacionais respondem a perguntas diferentes. As demonstrações financeiras podem apresentar adequadamente a situação financeira de uma instituição e, ainda assim, uma auditoria identificar fragilidades nos controlos contra a fraude, nos processos de dados ou nos mecanismos de cumprimento.

Os números também devem ser interpretados com cautela. Dezasseis conclusões que incluem 20 problemas significa que uma conclusão pode abranger mais do que um problema. Não significa que a BPK tenha identificado 20 incidentes de fraude distintos, e os 17 problemas de controlo interno não devem ser todos atribuídos ao BI-FAST.

As quatro áreas divulgadas exigem trabalhos corretivos diferentes: uma avaliação da segurança dos pagamentos do BI-FAST, ajustes dos dados e dos horários do JISDOR, uma análise dos investimentos e da governação do Dapenbi e mecanismos de afetação das reservas gerais conformes às regras. Tratá-las como um único problema tecnológico ignoraria boa parte do âmbito da auditoria.

Cronologia e questões sem resposta

As datas distinguem o quadro regulamentar, o período financeiro analisado e a divulgação posterior das conclusões:

• 2020: O Bank Indonesia publicou o Regulamento n.º 22/23/PBI/2020 relativo ao sistema de pagamentos.
• 2025: O exercício financeiro abrangido pelas demonstrações anuais analisadas pela BPK.
• Primeiro semestre de 2026: As conclusões foram incluídas no resumo IHPS I 2026 da BPK.
• 13 de outubro de 2026: As conclusões da auditoria foram citadas publicamente.

Não é indicada qualquer audição posterior, prazo de implementação ou data prevista para um relatório de progresso. Também não está estabelecido o estado da avaliação solicitada ao BI-FAST, dos ajustes aos horários do JISDOR, da análise dos investimentos do fundo de pensões ou das alterações à afetação das reservas.

Para os utilizadores dos serviços de pagamento, continuam por esclarecer a dimensão da fraude não detetada, as eventuais perdas associadas e os controlos corretivos entretanto introduzidos. Quanto ao fundo de pensões, faltam informações sobre a sua situação de financiamento, os limites das perdas de investimento e a possibilidade de serem necessárias contribuições adicionais.

O regulamento dos pagamentos identifica as reclamações dos consumidores, a fraude, os incidentes cibernéticos e as perturbações como informações relevantes ao abrigo do artigo 105.º. Identifica também informações sobre governação, operações e fraude na monitorização dos participantes nas infraestruturas de pagamento do Bank Indonesia. Estas categorias proporcionam uma base concreta para avaliar as medidas corretivas, embora as conclusões divulgadas não incluam resultados de qualquer avaliação de acompanhamento.

Principais conclusões

• A BPK identificou 16 conclusões que incluíam 20 problemas na análise das demonstrações financeiras do Bank Indonesia relativas a 2025.
• Dezassete problemas diziam respeito a fragilidades dos controlos internos e três a incumprimentos.
• A auditoria concluiu que o sistema de deteção de fraude do BI-FAST era ineficaz na deteção e prevenção de anomalias nas transações.
• A BPK pediu uma avaliação abrangente da fiabilidade e da segurança do BI-FAST.
• A qualidade dos dados JISDOR e os horários das transações, das confirmações e da publicação da taxa também exigiam atenção.
• Uma contribuição adicional de 4,83 biliões de rupias para o fundo de pensões e os limites às perdas de investimento levaram a recomendações de análises adicionais.
• A BPK concluiu que os acréscimos às reservas gerais não respeitavam as regras de distribuição do excedente.
• As conclusões não afetaram de forma material a apresentação apropriada das demonstrações financeiras de 2025, e não foi identificado qualquer prazo para as medidas corretivas.