BPK phát hiện những yếu kém trong hệ thống phát hiện gian lận BI-FAST, lưu ý khoản đóng góp bổ sung 4,83 nghìn tỷ rupiah cho quỹ hưu trí

Kiểm toán phát hiện gian lận không được phát hiện và những vấn đề kiểm soát rộng hơn

Cơ quan Kiểm toán Tối cao Indonesia, Badan Pemeriksa Keuangan (BPK), phát hiện hệ thống phát hiện gian lận của Bank Indonesia đối với BI-FAST không hiệu quả trong việc phát hiện và ngăn chặn các giao dịch bất thường. Phát hiện này nằm trong cuộc kiểm tra trên diện rộng, đồng thời nêu bật khoản đóng góp bổ sung 4,83 nghìn tỷ rupiah cho quỹ hưu trí, những yếu kém trong dữ liệu tỷ giá và vấn đề phân bổ dự trữ của ngân hàng trung ương.

Cuộc kiểm tra báo cáo tài chính thường niên năm 2025 của Bank Indonesia đưa ra 16 phát hiện với 20 vấn đề, theo các kết quả được mô tả trong Báo cáo tổng hợp kết quả kiểm toán học kỳ I năm 2026 của BPK, gọi tắt là IHPS I 2026. Có 17 vấn đề liên quan đến những yếu kém trong kiểm soát nội bộ, còn ba vấn đề liên quan đến việc không tuân thủ.

Như vậy, các yếu kém trong kiểm soát nội bộ chiếm 85% số vấn đề được xác định, so với 15% liên quan đến việc không tuân thủ. Sự khác biệt này có ý nghĩa: kiểm soát nội bộ là các quy trình và hệ thống nhằm ngăn ngừa sai sót, phát hiện hoạt động đáng ngờ và bảo đảm các hoạt động tài chính tuân thủ quy định hiện hành. Yếu kém trong các biện pháp kiểm soát này không đồng nghĩa với việc đã xác lập có thiệt hại tài chính hoặc vi phạm pháp luật.

BPK cho biết các vấn đề không ảnh hưởng trọng yếu đến việc trình bày trung thực báo cáo tài chính năm 2025 của Bank Indonesia. Tuy nhiên, kết luận này chỉ liên quan đến các tài khoản, không xóa bỏ những phát hiện riêng về an ninh thanh toán, chất lượng dữ liệu và quản lý tài chính.

Các phát hiện được trích dẫn công khai ngày 13 tháng 10 năm 2026. Bản tường thuật không xác định đây là ngày công bố báo cáo tổng hợp của BPK. Bản này cũng không nêu số tiền thiệt hại liên quan đến các vụ gian lận BI-FAST, số khách hàng bị ảnh hưởng hay thời hạn hoàn tất biện pháp khắc phục.

Hệ thống phát hiện gian lận BI-FAST gặp trục trặc gì?

Phát hiện chính của BPK liên quan đến cả thiết kế lẫn quá trình triển khai Hệ thống Phát hiện Gian lận (FDS) của BI-FAST. Hệ thống này rà soát hoạt động tài khoản hoặc giao dịch để tìm các kiểu mẫu có thể báo hiệu gian lận. Bất thường là hoạt động khác với kiểu mẫu dự kiến, dù một giao dịch khác thường không nhất thiết là giao dịch gian lận.

BPK, cơ quan nhà nước chịu trách nhiệm kiểm toán, mô tả điểm yếu như sau:

Desain dan implementasi Fraud Detection System (FDS) Bank Indonesia-Fast Payment (BI-FAST) tidak efektif dalam mendeteksi dan mencegah anomali transaksi.

Nội dung phát hiện cho biết thiết kế và quá trình triển khai hệ thống phát hiện gian lận của BI-FAST không hiệu quả trong việc phát hiện và ngăn chặn các giao dịch bất thường. BPK cũng cho biết các vụ gian lận liên quan đến giao dịch bất thường đã không bị phát hiện và những vụ việc tương tự có thể tái diễn.

Phát hiện này cụ thể hơn một cảnh báo chung về nguy cơ gian lận thanh toán. Kiểm toán xác định việc không phát hiện được các vụ việc và liên hệ thiếu sót đó với nguy cơ tái diễn. Tuy nhiên, báo cáo không giải thích các giao dịch liên quan, quy tắc phát hiện được sử dụng, thời điểm xảy ra vụ việc hay liệu điểm yếu bắt nguồn từ cài đặt phần mềm, thiếu thông tin hay quy trình vận hành.

BPK đề nghị Thống đốc Bank Indonesia tiến hành đánh giá toàn diện độ tin cậy và an ninh của BI-FAST. Khuyến nghị này không chỉ dừng ở việc kiểm tra một cảnh báo riêng lẻ, mà yêu cầu xem xét khả năng vận hành ổn định và bảo vệ giao dịch của dịch vụ. Các phát hiện được đưa tin không mô tả việc đánh giá đã hoàn tất hay phản hồi của Bank Indonesia.

Quy định thanh toán đã đề cập đến vấn đề gian lận

Quy định về hệ thống thanh toán năm 2020 của Bank Indonesia, chính thức là Quy định số 22/23/PBI/2020, đưa ra khuôn khổ cụ thể để hiểu những quan ngại của cuộc kiểm toán. Điều 2 đặt mục tiêu xây dựng hệ thống thanh toán nhanh chóng, thuận tiện, chi phí hợp lý, an toàn và đáng tin cậy, đồng thời tính đến khả năng tiếp cận rộng rãi và bảo vệ người tiêu dùng.

Theo Điều 31, các nhà cung cấp dịch vụ thanh toán được cấp phép phải đáp ứng các nghĩa vụ về quản trị, quản lý rủi ro, an ninh hệ thống thông tin, kết nối và khả năng tương tác, cũng như tuân thủ pháp luật. Điều 34 đưa công tác quản lý gian lận và kiểm toán hệ thống thông tin định kỳ vào nhóm yêu cầu an ninh.

Phần giải thích kèm Điều 34 nêu bốn giai đoạn quản lý gian lận: phòng ngừa, phát hiện, ứng phó và giám sát. Phần này cũng cho biết FDS có thể hoạt động ở cấp tài khoản lẫn cấp giao dịch. Sự phân biệt này hữu ích vì hành vi đáng ngờ có thể bộc lộ qua hoạt động của cả tài khoản, ngay cả khi một khoản thanh toán riêng lẻ có vẻ bình thường.

Quy định cũng đề cập đến các đơn vị vận hành hạ tầng thanh toán. Điều 38 và 41 quy định các nghĩa vụ về quản trị, quản lý rủi ro và an ninh thông tin, trong đó có quản lý gian lận và kiểm toán định kỳ. Các điều khoản này cho thấy biện pháp kiểm soát gian lận nằm trong phạm vi trách nhiệm vận hành rộng hơn.

Không nên xem các nhóm đối tượng này là giống hệt nhau. Điều 88 phân biệt việc giám sát các nhà cung cấp dịch vụ thanh toán và đơn vị vận hành hạ tầng với việc theo dõi hạ tầng thanh toán do chính Bank Indonesia vận hành. Vì vậy, quy định nêu rõ hạ tầng thanh toán của ngân hàng trung ương thuộc phạm vi theo dõi, nhưng không buộc người đọc phải giả định mọi quy tắc áp dụng cho một nhà cung cấp được cấp phép đều áp dụng với Bank Indonesia theo cách hoàn toàn giống nhau.

Phần giải thích về an ninh mạng của quy định đưa việc nhận diện, bảo vệ và phát hiện vào các biện pháp phòng ngừa. Phần giải thích Điều 90 cũng xác định rủi ro hệ thống thông tin và rủi ro mạng là rủi ro vận hành. Nhìn chung, các điều khoản này coi phát hiện là một phần được xác định rõ trong an ninh thanh toán, chứ không phải phần bổ sung tùy chọn cho quy trình xử lý giao dịch.

Dữ liệu tỷ giá cũng bị xem xét

Các phát hiện của BPK còn đề cập đến Tỷ giá giao ngay liên ngân hàng Jakarta (JISDOR), tỷ giá tham chiếu của Bank Indonesia giữa đồng USD và rupiah. Quan ngại tập trung vào tính chính xác và đầy đủ của thông tin được dùng để tính tỷ giá này.

Cuộc kiểm toán xác định những yếu kém trong dữ liệu thu thập qua mô-đun JISDOR của Hệ thống Giám sát giao dịch ngoại tệ với rupiah (Sismontavar), hệ thống dùng để theo dõi các giao dịch ngoại hối liên quan đến rupiah. BPK nhận thấy tỷ giá tham chiếu chưa được xác định đầy đủ dựa trên dữ liệu chính xác và hoàn chỉnh.

Giao dịch ngoại hối giao ngay là việc đổi tiền tệ để thanh toán trong thời gian ngắn, thay vì hợp đồng giao nhận vào một thời điểm xa hơn nhiều. Tỷ giá tham chiếu dựa trên những giao dịch này phụ thuộc vào cả chất lượng hồ sơ lẫn việc các giao dịch đủ điều kiện nào được đưa vào tính toán.

BPK cảnh báo tỷ giá JISDOR được công bố có thể chưa phản ánh toàn bộ giao dịch giao ngay thực tế cần được đưa vào cơ sở tính toán. Cơ quan này đề nghị điều chỉnh thời điểm giao dịch, xác nhận giao dịch và thời điểm công bố tỷ giá.

Khuyến nghị về thời điểm là một phần riêng biệt của phát hiện. Giao dịch có thể diễn ra trước khi xác nhận được cung cấp, vì vậy mối liên hệ giữa khung thời gian giao dịch, quy trình xác nhận và thời điểm công bố có thể ảnh hưởng đến hồ sơ được đưa vào. Khuyến nghị của BPK nêu bật mối liên hệ này nhưng không quy định lịch trình mới.

Các phát hiện không định lượng chênh lệch giữa giá trị JISDOR đã công bố và tỷ giá được tính toán lại. Báo cáo cũng không xác định ngày cụ thể nào tỷ giá bị sai. Kết luận có căn cứ là chất lượng và tính đầy đủ của dữ liệu cần được chú ý, chứ không phải mọi tỷ giá đã công bố đều sai.

Khoản đóng góp 4,83 nghìn tỷ rupiah cho quỹ hưu trí làm dấy lên lo ngại về nguồn vốn

Con số tiền tệ lớn nhất được nêu cụ thể trong các phát hiện là khoản đóng góp bổ sung 4,83 nghìn tỷ rupiah cho Dana Pensiun Bank Indonesia (Dapenbi), quỹ hưu trí của ngân hàng trung ương. BPK đặt câu hỏi về mức độ đầy đủ trong phương án của Bank Indonesia đối với khoản thanh toán này và việc xác lập giới hạn thua lỗ đầu tư trong vai trò đơn vị sáng lập quỹ.

Khoản đóng góp bổ sung cho quỹ hưu trí là khoản tiền được cấp ngoài nguồn tài trợ thường xuyên. Trong trường hợp này, BPK liên hệ quan ngại của mình với khả năng Bank Indonesia lại cần thực hiện các khoản đóng góp bổ sung để bù đắp thiếu hụt nguồn vốn. Thiếu hụt nguồn vốn có nghĩa là theo đánh giá liên quan, quỹ hưu trí không có đủ nguồn lực để đáp ứng các nghĩa vụ của mình.

BPK cũng xác định nguy cơ thua lỗ khi Dapenbi thoái vốn đầu tư theo cơ chế giới hạn thua lỗ đầu tư. Giới hạn thua lỗ đặt ra ranh giới cho khoản lỗ đầu tư hoặc các quyết định liên quan. Hiệu quả của giới hạn này phụ thuộc vào cách xác lập và áp dụng, nhưng các phát hiện được công bố không tiết lộ ngưỡng của Dapenbi hay danh mục đầu tư cụ thể.

Không nên mô tả con số 4,83 nghìn tỷ rupiah là khoản thiệt hại do gian lận đã được chứng minh. Đây là số tiền đóng góp bổ sung cho quỹ hưu trí được kiểm toán nêu bật. Tương tự, cảnh báo về tổn thất từ việc thoái vốn đầu tư đề cập đến rủi ro do BPK xác định, chứ không phải tổng thiệt hại đã hiện thực hóa được định lượng.

BPK khuyến nghị kiểm tra công tác quản lý đầu tư, quản trị và hiệu quả đầu tư của Dapenbi, đồng thời đánh giá các giới hạn thua lỗ đã thiết lập. Những khuyến nghị này xem xét cả nguyên nhân khiến nhu cầu cấp thêm vốn có thể tái diễn lẫn các quyết định có thể khiến quỹ chịu tổn thất đầu tư.

Cần điều chỉnh riêng việc phân bổ dự trữ

Một phát hiện khác liên quan đến việc chuyển các khoản đã thực hiện từ Cadangan Tujuan, tức dự trữ mục tiêu, sang Cadangan Umum, tức dự trữ chung. BPK nhận thấy việc bổ sung này không phù hợp với các quy định về phân phối thặng dư từ hoạt động của Bank Indonesia.

Nói đơn giản, vấn đề này liên quan đến cách phân bổ thặng dư giữa các nhóm dự trữ. Đây là vấn đề riêng, tách biệt với thiếu sót trong phát hiện gian lận của BI-FAST và khoản đóng góp cho quỹ hưu trí, dù cả ba đều được xác định trong cùng một cuộc kiểm tra báo cáo tài chính.

BPK cho biết việc tích lũy dự trữ chung phát sinh từ đó không phù hợp với cơ chế phân phối thặng dư hiện hành. Cơ quan này đề nghị Thống đốc Bank Indonesia thiết lập phương án phân bổ dự trữ chung tuân thủ các quy định đó.

Phát hiện được công bố không nêu số tiền dự trữ được phân bổ đang bị xem xét hoặc tính toán tác động của khoản này. Vì vậy, không có cơ sở để cộng khoản này với khoản đóng góp 4,83 nghìn tỷ rupiah cho quỹ hưu trí nhằm đưa ra tổng mức rủi ro tài chính.

Vì sao báo cáo tài chính trung thực không khép lại các phát hiện

BPK cho biết các yếu kém trong kiểm soát và việc không tuân thủ không ảnh hưởng trọng yếu đến việc trình bày trung thực báo cáo tài chính thường niên năm 2025 của Bank Indonesia. Trọng yếu là việc sai sót hoặc thiếu sót có đủ quan trọng để ảnh hưởng đến cách người đọc hiểu hoặc đưa ra quyết định dựa trên các tài khoản hay không.

Kết luận đó và những phát hiện về hoạt động trả lời các câu hỏi khác nhau. Báo cáo tài chính có thể trình bày trung thực tình hình tài chính của một tổ chức, trong khi cuộc kiểm toán vẫn xác định những yếu kém trong kiểm soát gian lận, quy trình dữ liệu hoặc cơ chế tuân thủ.

Các con số cũng cần được đọc cẩn trọng. 16 phát hiện với 20 vấn đề có nghĩa là một phát hiện có thể bao gồm nhiều vấn đề. Điều đó không có nghĩa BPK xác định 20 vụ gian lận riêng biệt, và không nên quy tất cả 17 vấn đề về kiểm soát nội bộ cho BI-FAST.

Bốn lĩnh vực được công bố cần các biện pháp khắc phục khác nhau: đánh giá an ninh thanh toán của BI-FAST, điều chỉnh dữ liệu và thời điểm của JISDOR, kiểm tra đầu tư và quản trị của Dapenbi, cùng phương án phân bổ dự trữ chung tuân thủ quy định. Gộp tất cả thành một vấn đề công nghệ sẽ bỏ qua phần lớn phạm vi kiểm toán.

Diễn biến theo thời gian và những câu hỏi chưa được giải đáp

Các mốc thời gian phân biệt khuôn khổ quy định, kỳ tài chính được kiểm tra và thời điểm công bố các phát hiện sau đó:

• Năm 2020: Bank Indonesia ban hành Quy định số 22/23/PBI/2020 về hệ thống thanh toán.
• Năm 2025: Các báo cáo tài chính thường niên được BPK kiểm tra thuộc năm tài chính này.
• Học kỳ I năm 2026: Các phát hiện xuất hiện trong báo cáo tổng hợp IHPS I 2026 của BPK.
• Ngày 13 tháng 10 năm 2026: Các phát hiện kiểm toán được trích dẫn công khai.

Không có thông tin về phiên điều trần tiếp theo, thời hạn triển khai hay báo cáo tiến độ dự kiến. Tình trạng của yêu cầu đánh giá BI-FAST, điều chỉnh thời điểm JISDOR, kiểm tra hoạt động đầu tư của quỹ hưu trí và thay đổi cách phân bổ dự trữ cũng chưa được xác định.

Đối với người sử dụng dịch vụ thanh toán, những chi tiết chưa được làm rõ gồm quy mô các vụ gian lận không bị phát hiện, thiệt hại liên quan và các biện pháp kiểm soát khắc phục đã được áp dụng. Đối với quỹ hưu trí, thông tin còn thiếu gồm tình hình nguồn vốn, các ngưỡng giới hạn thua lỗ đầu tư và khả năng cần đóng góp thêm.

Quy định về thanh toán xác định khiếu nại của người tiêu dùng, gian lận, sự cố mạng và gián đoạn là những thông tin liên quan theo Điều 105. Quy định cũng nêu các thông tin về quản trị, hoạt động và gian lận khi giám sát các đơn vị tham gia vào hạ tầng thanh toán của Bank Indonesia. Những nhóm thông tin này tạo cơ sở cụ thể để đánh giá biện pháp khắc phục, dù các phát hiện được công bố không có kết quả của một cuộc đánh giá tiếp theo như vậy.

Điểm chính

• BPK xác định 16 phát hiện với 20 vấn đề trong cuộc kiểm tra báo cáo tài chính năm 2025 của Bank Indonesia.
• 17 vấn đề liên quan đến những yếu kém trong kiểm soát nội bộ và ba vấn đề liên quan đến việc không tuân thủ.
• Kiểm toán phát hiện hệ thống phát hiện gian lận BI-FAST không hiệu quả trong việc phát hiện và ngăn chặn giao dịch bất thường.
• BPK đề nghị đánh giá toàn diện độ tin cậy và an ninh của BI-FAST.
• Chất lượng dữ liệu JISDOR và thời điểm giao dịch, xác nhận giao dịch và công bố tỷ giá cũng cần được chú ý.
• Khoản đóng góp bổ sung 4,83 nghìn tỷ rupiah cho quỹ hưu trí và các giới hạn thua lỗ đầu tư dẫn đến khuyến nghị kiểm tra thêm.
• BPK nhận thấy việc bổ sung vào dự trữ chung không phù hợp với các quy định phân phối thặng dư.
• Các phát hiện không ảnh hưởng trọng yếu đến việc trình bày trung thực báo cáo tài chính năm 2025 và không có thời hạn khắc phục được nêu.