Auditoría detecta fraudes no identificados y problemas más amplios de control
La Agencia Superior de Auditoría de Indonesia, Badan Pemeriksa Keuangan (BPK), determinó que el sistema de detección de fraude de Bank Indonesia para BI-FAST no era eficaz para detectar y prevenir transacciones anómalas. Este hallazgo forma parte de un examen más amplio que también señaló una contribución adicional de 4,83 billones de rupias (Rp) al fondo de pensiones, deficiencias en los datos sobre tipos de cambio y problemas en la asignación de las reservas del banco central.
Contenido
- Auditoría detecta fraudes no identificados y problemas más amplios de control
- ¿Qué falló en la detección de fraude de BI-FAST?
- Las normas de pago ya contemplan el fraude
- Los datos sobre tipos de cambio también fueron objeto de escrutinio
- Una contribución de 4,83 billones de rupias al fondo de pensiones plantea dudas sobre su financiación
- La asignación de reservas requiere una corrección independiente
- Por qué la presentación razonable de los estados financieros no zanja los hallazgos
- Cronología y preguntas sin respuesta
- Puntos clave
El examen de los estados financieros anuales de Bank Indonesia correspondientes a 2025 produjo 16 hallazgos con 20 problemas, según los resultados descritos en el Resumen de Resultados de Auditoría del Primer Semestre de 2026 de la BPK, conocido como IHPS I 2026. Diecisiete problemas se referían a deficiencias en los controles internos y tres, a incumplimientos.
Esto significa que las deficiencias de control interno representaron el 85 % de los problemas identificados, frente al 15 % relacionado con incumplimientos. La distinción es importante: los controles internos son los procedimientos y sistemas destinados a prevenir errores, detectar actividades sospechosas y mantener las operaciones financieras dentro de las normas establecidas. Una deficiencia en esos controles no demuestra automáticamente que haya habido una pérdida financiera o una infracción legal.
La BPK afirmó que los problemas no afectaban de manera sustancial la presentación razonable de los estados financieros de Bank Indonesia de 2025. Sin embargo, esa conclusión se refiere a las cuentas y no elimina los hallazgos independientes sobre la seguridad de los pagos, la calidad de los datos y la gestión financiera.
Los hallazgos se citaron públicamente el 13 de octubre de 2026. La información no establece que esa fecha corresponda a la publicación del resumen de la BPK. Tampoco indica el monto de las pérdidas asociadas con los incidentes de fraude de BI-FAST, el número de clientes afectados ni un plazo para completar las medidas correctivas.
¿Qué falló en la detección de fraude de BI-FAST?
El principal hallazgo de la BPK se refiere tanto al diseño como a la aplicación del Sistema de Detección de Fraude (FDS, por sus siglas en inglés) de BI-FAST. Estos sistemas examinan la actividad de las cuentas o las transacciones en busca de patrones que puedan indicar fraude. Una anomalía es una actividad que se aparta de los patrones esperados, aunque una transacción inusual no necesariamente sea fraudulenta.
La BPK, organismo público responsable de la auditoría, describió la deficiencia en estos términos:
Desain dan implementasi Fraud Detection System (FDS) Bank Indonesia-Fast Payment (BI-FAST) tidak efektif dalam mendeteksi dan mencegah anomali transaksi.
En español, el hallazgo señala que el diseño y la aplicación del sistema de detección de fraude de BI-FAST no eran eficaces para detectar y prevenir anomalías en las transacciones. La BPK también indicó que hubo incidentes de fraude relacionados con anomalías que no se detectaron y que podrían repetirse incidentes similares.
Esto es más concreto que una advertencia general sobre posibles fraudes en los pagos. La auditoría identifica una falla en la detección de incidentes y relaciona esa falla con el riesgo de que se repitan. Sin embargo, no explica qué transacciones estuvieron involucradas, qué reglas de detección se utilizaron, cuándo ocurrieron los incidentes ni si la deficiencia se debió a la configuración del software, a falta de información o a procedimientos operativos.
La BPK pidió al gobernador de Bank Indonesia que realizara una evaluación exhaustiva de la fiabilidad y la seguridad de BI-FAST. La recomendación va más allá de revisar una alerta concreta: plantea examinar la capacidad del servicio para operar de manera fiable y proteger las transacciones. Los hallazgos publicados no describen una evaluación ya realizada ni una respuesta de Bank Indonesia.
Las normas de pago ya contemplan el fraude
El Reglamento de Sistemas de Pago de 2020 de Bank Indonesia, formalmente Reglamento n.º 22/23/PBI/2020, ofrece un marco concreto para entender las preocupaciones planteadas en la auditoría. El artículo 2 establece el objetivo de contar con un sistema de pagos rápido, fácil, asequible, seguro y fiable, que también tenga en cuenta un acceso más amplio y la protección del consumidor.
Conforme al artículo 31, los proveedores autorizados de servicios de pago deben cumplir obligaciones en materia de gobernanza, gestión de riesgos, seguridad de los sistemas de información, interconexión e interoperabilidad, así como de cumplimiento de la legislación. El artículo 34 incluye la gestión del fraude y las auditorías periódicas de los sistemas de información entre los requisitos de seguridad.
La explicación que acompaña al artículo 34 establece cuatro etapas para la gestión del fraude: prevención, detección, respuesta y supervisión. También señala que un FDS puede operar tanto a nivel de cuenta como de transacción. Esta distinción es útil porque pueden aparecer comportamientos sospechosos en la actividad de una cuenta, aunque un pago individual parezca normal.
El reglamento también aborda a los operadores de infraestructuras de pago. Los artículos 38 y 41 establecen obligaciones en materia de gobernanza, gestión de riesgos y seguridad de la información, incluida la gestión del fraude y las auditorías periódicas. Estas disposiciones muestran que los controles contra el fraude forman parte de un conjunto más amplio de responsabilidades operativas.
Estas categorías no deben considerarse equivalentes. El artículo 88 distingue entre la supervisión de los proveedores de servicios de pago y los operadores de infraestructuras, y el seguimiento de las infraestructuras de pago gestionadas por el propio Bank Indonesia. Por lo tanto, el reglamento incluye expresamente las infraestructuras de pago del banco central en su marco de seguimiento, sin que el lector tenga que asumir que todas las normas aplicables a un proveedor autorizado se aplican exactamente del mismo modo a Bank Indonesia.
La explicación sobre ciberseguridad del reglamento incluye la identificación, la protección y la detección entre las medidas de prevención. La explicación del artículo 90 también identifica los riesgos de los sistemas de información y los riesgos cibernéticos como riesgos operativos. En conjunto, estas disposiciones definen la detección como parte de la seguridad de los pagos, no como un complemento opcional del procesamiento de transacciones.
Los datos sobre tipos de cambio también fueron objeto de escrutinio
Los hallazgos de la BPK también abarcaron el tipo de cambio de referencia del dólar en el mercado interbancario de Yakarta (JISDOR), el tipo de referencia de Bank Indonesia para el dólar estadounidense frente a la rupia. La preocupación era determinar si la información utilizada para calcular ese tipo era correcta y completa.
La auditoría identificó deficiencias en los datos obtenidos mediante el módulo JISDOR del Sistem Monitoring Transaksi Valuta Asing terhadap Rupiah (Sismontavar), el sistema utilizado para supervisar las transacciones de divisas frente a la rupia. La BPK determinó que el tipo de referencia no se calculaba íntegramente a partir de datos correctos y completos.
Una transacción de divisas al contado consiste en intercambiar monedas con liquidación en un plazo breve, en lugar de acordar una entrega mucho más adelante. Un tipo de referencia basado en esas transacciones depende tanto de la calidad de los registros como de las transacciones elegibles que se incluyan en el cálculo.
La BPK advirtió que el tipo JISDOR publicado quizá no reflejara todas las transacciones al contado reales que debían formar la base de su cálculo. Solicitó ajustes en los horarios de las transacciones, las confirmaciones de las operaciones y la publicación del tipo.
La recomendación sobre los horarios es un aspecto específico del hallazgo. Una transacción puede realizarse antes de que su confirmación esté disponible, por lo que la relación entre el período de las transacciones, el proceso de confirmación y la hora de publicación puede afectar los registros incluidos. La recomendación de la BPK apunta a esa relación, pero no especifica un nuevo calendario.
Los hallazgos no cuantifican ninguna diferencia entre los valores JISDOR publicados y un tipo recalculado. Tampoco señalan fechas concretas en las que el tipo fuera incorrecto. La conclusión respaldada es que la calidad y la integridad de los datos requerían atención, no que todos los tipos publicados fueran erróneos.
Una contribución de 4,83 billones de rupias al fondo de pensiones plantea dudas sobre su financiación
La cifra monetaria explícita más alta de los hallazgos es la contribución adicional de 4,83 billones de rupias a Dana Pensiun Bank Indonesia (Dapenbi), el fondo de pensiones del banco central. La BPK cuestionó si las medidas de Bank Indonesia eran adecuadas para realizar ese pago y establecer límites a las pérdidas de inversión en su calidad de entidad fundadora del fondo.
Una contribución adicional al fondo de pensiones es dinero aportado además de la financiación habitual. En este caso, la BPK relacionó sus preocupaciones con la posibilidad de que Bank Indonesia tuviera que volver a realizar pagos adicionales para cubrir un déficit de financiación. Un déficit de financiación significa que, según la evaluación pertinente, un fondo de pensiones no dispone de recursos suficientes para cumplir sus obligaciones.
La BPK también señaló posibles pérdidas cuando Dapenbi vende inversiones mediante su mecanismo de límites a las pérdidas de inversión. Un límite de pérdidas establece un umbral para las pérdidas de inversión o las decisiones relacionadas. Su eficacia depende de cómo se establezca y aplique, pero los hallazgos publicados no indican los umbrales de Dapenbi ni las posiciones de inversión individuales.
La cifra de 4,83 billones de rupias no debe describirse como una pérdida demostrada por fraude. Es el monto de una contribución adicional al fondo de pensiones que destacó la auditoría. Del mismo modo, la advertencia sobre pérdidas derivadas de la venta de inversiones se refiere a un riesgo identificado por la BPK, no a un total cuantificado de pérdidas realizadas.
La BPK recomendó examinar la gestión de las inversiones, la gobernanza y el rendimiento de las inversiones de Dapenbi, además de evaluar los límites de pérdidas establecidos. Estas recomendaciones abordan tanto las razones por las que podría repetirse la necesidad de financiación adicional como las decisiones que podrían exponer al fondo a pérdidas de inversión.
La asignación de reservas requiere una corrección independiente
Otro hallazgo se refería a la transferencia de montos realizados de Cadangan Tujuan, o reservas para fines específicos, a Cadangan Umum, o reservas generales. La BPK determinó que la adición no se ajustaba a las normas que rigen la distribución de los excedentes de las actividades de Bank Indonesia.
En términos sencillos, este asunto se refiere a cómo se distribuye el excedente entre las categorías de reservas. Es independiente de la falla de detección de BI-FAST y de la contribución al fondo de pensiones, aunque los tres asuntos se identificaron en el mismo examen de los estados financieros.
La BPK afirmó que la acumulación resultante de reservas generales no era coherente con las disposiciones aplicables a la distribución de excedentes. Pidió al gobernador de Bank Indonesia que estableciera un mecanismo de asignación de reservas generales que cumpliera esas normas.
El hallazgo publicado no indica el monto de la asignación de reservas en cuestión ni calcula su efecto. Por lo tanto, no hay fundamento para sumarlo a la contribución de 4,83 billones de rupias al fondo de pensiones y obtener una exposición financiera total.
Por qué la presentación razonable de los estados financieros no zanja los hallazgos
La BPK afirmó que las deficiencias de control y los incumplimientos no afectaban de manera sustancial la presentación razonable de los estados financieros anuales de Bank Indonesia de 2025. La importancia relativa se refiere a si un error o una omisión es lo suficientemente importante como para influir en la comprensión o las decisiones de un lector sobre las cuentas.
Esa conclusión y los hallazgos operativos responden a preguntas distintas. Los estados financieros pueden presentar razonablemente la situación financiera de una institución y, al mismo tiempo, una auditoría puede identificar deficiencias en sus controles contra el fraude, sus procesos de datos o sus mecanismos de cumplimiento.
También es necesario interpretar las cifras con cuidado. Dieciséis hallazgos con 20 problemas significa que un hallazgo puede contener más de un problema. No significa que la BPK identificara 20 incidentes de fraude distintos, ni que los 17 problemas de control interno correspondieran todos a BI-FAST.
Las cuatro áreas descritas públicamente requieren medidas correctivas diferentes: una evaluación de la seguridad de los pagos de BI-FAST, ajustes en los datos y los horarios de JISDOR, un examen de las inversiones y la gobernanza de Dapenbi, y mecanismos de asignación de reservas generales que cumplan las normas. Considerarlas un único problema tecnológico dejaría de lado gran parte del alcance de la auditoría.
Cronología y preguntas sin respuesta
Las fechas distinguen entre el marco regulatorio, el período financiero examinado y la publicación posterior de los hallazgos:
- 2020: Bank Indonesia emitió el Reglamento n.º 22/23/PBI/2020 sobre el sistema de pagos.
- 2025: Los estados financieros anuales examinados por la BPK correspondían a este ejercicio financiero.
- Primer semestre de 2026: Los hallazgos aparecieron en el resumen IHPS I 2026 de la BPK.
- 13 de octubre de 2026: Los hallazgos de la auditoría se citaron públicamente.
No se identifica ninguna audiencia posterior, plazo de aplicación ni informe de avances programado. Tampoco se establece en qué estado se encuentran la evaluación solicitada de BI-FAST, los ajustes de horarios de JISDOR, el examen de las inversiones del fondo de pensiones y los cambios en la asignación de reservas.
Para los usuarios de los servicios de pago, entre los detalles pendientes figuran la magnitud del fraude no detectado, las posibles pérdidas asociadas y los controles correctivos que se hayan introducido. En cuanto al fondo de pensiones, falta información sobre su situación financiera, los umbrales de pérdidas de inversión y la posibilidad de que se requieran nuevas contribuciones.
El reglamento de pagos incluye las reclamaciones de los consumidores, el fraude, los incidentes cibernéticos y las interrupciones entre la información pertinente conforme al artículo 105. También contempla información sobre gobernanza, operaciones y fraude para supervisar a los participantes en las infraestructuras de pago de Bank Indonesia. Estas categorías ofrecen una base concreta para evaluar las medidas correctivas, aunque los hallazgos publicados no incluyen resultados de un seguimiento de ese tipo.
Puntos clave
- La BPK identificó 16 hallazgos con 20 problemas en su examen de los estados financieros de Bank Indonesia de 2025.
- Diecisiete problemas se referían a deficiencias de control interno y tres, a incumplimientos.
- La auditoría determinó que el sistema de detección de fraude de BI-FAST no era eficaz para detectar y prevenir anomalías en las transacciones.
- La BPK solicitó una evaluación exhaustiva de la fiabilidad y la seguridad de BI-FAST.
- También requerían atención la calidad de los datos de JISDOR y los horarios de las transacciones, las confirmaciones y la publicación del tipo.
- Una contribución adicional de 4,83 billones de rupias al fondo de pensiones y los límites a las pérdidas de inversión dieron lugar a recomendaciones de nuevos exámenes.
- La BPK determinó que las adiciones a las reservas generales no se ajustaban a las normas de distribución de excedentes.
- Los hallazgos no afectaban de manera sustancial la presentación razonable de los estados financieros de 2025 y no se señaló ningún plazo para las medidas correctivas.
