L’audit relève des fraudes non détectées et des problèmes de contrôle plus larges
L’Agence suprême d’audit d’Indonésie, Badan Pemeriksa Keuangan (BPK), a constaté que le système de détection des fraudes de Bank Indonesia pour BI-FAST ne permettait pas efficacement de détecter ni de prévenir les transactions anormales. Ce constat s’inscrit dans le cadre d’un examen plus large qui a également relevé une contribution supplémentaire de 4,83 billions de roupies au régime de retraite, des faiblesses dans les données de taux de change et des problèmes d’affectation des réserves de la banque centrale.
Sommaire
- L’audit relève des fraudes non détectées et des problèmes de contrôle plus larges
- Qu’est-ce qui a échoué dans la détection des fraudes sur BI-FAST ?
- La réglementation des paiements prévoit déjà des mesures contre la fraude
- Les données sur les taux de change également examinées
- Une contribution de 4,83 billions de roupies au régime de retraite soulève des questions de financement
- L’affectation des réserves appelle une correction distincte
- Pourquoi la présentation fidèle des états financiers ne suffit pas à clore le dossier
- Calendrier et questions en suspens
- À retenir
L’examen des états financiers annuels de Bank Indonesia pour 2025 a fait ressortir 16 constats comportant 20 problèmes, selon les conclusions présentées dans le Résumé des résultats d’audit du premier semestre 2026 de la BPK, connu sous le nom d’IHPS I 2026. Dix-sept problèmes concernaient des faiblesses des contrôles internes, tandis que trois relevaient de manquements à la réglementation.
Les faiblesses des contrôles internes représentaient donc 85 % des problèmes recensés, contre 15 % pour les manquements à la réglementation. Cette distinction est importante : les contrôles internes désignent les procédures et systèmes destinés à prévenir les erreurs, à détecter les activités suspectes et à garantir que les opérations financières respectent les règles établies. Une faiblesse de ces contrôles ne suffit pas, à elle seule, à établir l’existence d’une perte financière ou d’une infraction à la loi.
La BPK a indiqué que les problèmes n’avaient pas d’incidence significative sur la présentation fidèle des états financiers 2025 de Bank Indonesia. Cette conclusion porte toutefois sur les comptes et n’efface pas les constats distincts concernant la sécurité des paiements, la qualité des données et la gestion financière.
Les conclusions ont été citées publiquement le 13 octobre 2026. Le compte rendu n’établit pas que cette date corresponde à la publication du résumé de la BPK. Il ne précise pas non plus le montant des pertes liées aux incidents de fraude sur BI-FAST, le nombre de clients concernés ni la date limite de mise en œuvre des mesures correctives.
Qu’est-ce qui a échoué dans la détection des fraudes sur BI-FAST ?
Le principal constat de la BPK porte à la fois sur la conception et la mise en œuvre du système de détection des fraudes (FDS) de BI-FAST. Un tel système examine l’activité des comptes ou les transactions afin d’y repérer des schémas susceptibles de signaler une fraude. Une anomalie est une activité qui s’écarte des schémas habituels, même si une transaction inhabituelle n’est pas nécessairement frauduleuse.
La BPK, l’organisme public chargé de l’audit, a décrit la faiblesse en ces termes :
Desain dan implementasi Fraud Detection System (FDS) Bank Indonesia-Fast Payment (BI-FAST) tidak efektif dalam mendeteksi dan mencegah anomali transaksi.
En français, ce constat indique que la conception et la mise en œuvre du système de détection des fraudes de BI-FAST n’étaient pas efficaces pour détecter et prévenir les anomalies de transaction. La BPK a également déclaré que des incidents de fraude comportant des anomalies n’avaient pas été détectés et que des incidents similaires pouvaient se reproduire.
Il s’agit d’un constat plus précis qu’un avertissement général sur de possibles fraudes aux paiements. L’audit relève un défaut de détection des incidents et relie ce défaut au risque de répétition. Il n’explique toutefois ni les transactions concernées, ni les règles de détection utilisées, ni le calendrier des incidents, ni si la faiblesse provenait des paramètres logiciels, de lacunes dans les informations ou des procédures opérationnelles.
La BPK a demandé au gouverneur de Bank Indonesia de procéder à une évaluation complète de la fiabilité et de la sécurité de BI-FAST. Cette recommandation va au-delà de la vérification d’une alerte individuelle : elle appelle à examiner la capacité du service à fonctionner de manière fiable et à protéger les transactions. Les conclusions rapportées ne font état ni d’une évaluation achevée ni d’une réponse de Bank Indonesia.
La réglementation des paiements prévoit déjà des mesures contre la fraude
Le règlement de 2020 sur le système de paiement de Bank Indonesia, officiellement le règlement n° 22/23/PBI/2020, fournit un cadre concret pour comprendre les préoccupations soulevées par l’audit. Son article 2 fixe pour objectif un système de paiement rapide, simple, abordable, sûr et fiable, qui tienne compte d’un accès élargi et de la protection des consommateurs.
En vertu de l’article 31, les prestataires de services de paiement agréés doivent respecter des obligations en matière de gouvernance, de gestion des risques, de sécurité des systèmes d’information, d’interconnexion et d’interopérabilité, ainsi que de conformité à la législation. L’article 34 inclut la gestion de la fraude et les audits périodiques des systèmes d’information parmi les exigences de sécurité.
Le texte explicatif de l’article 34 détaille quatre étapes de la gestion de la fraude : prévention, détection, réponse et surveillance. Il précise également qu’un FDS peut fonctionner au niveau du compte comme à celui de la transaction. Cette distinction est utile, car un comportement suspect peut se manifester dans l’ensemble de l’activité d’un compte, même si un paiement pris isolément semble ordinaire.
Le règlement concerne également les opérateurs d’infrastructures de paiement. Ses articles 38 et 41 prévoient des obligations en matière de gouvernance, de gestion des risques et de sécurité de l’information, notamment la gestion de la fraude et les audits périodiques. Ces dispositions montrent que les contrôles antifraude s’inscrivent dans un ensemble plus large de responsabilités opérationnelles.
Ces catégories ne doivent pas être confondues. L’article 88 distingue la supervision des prestataires de services de paiement et des opérateurs d’infrastructures de leur surveillance des infrastructures de paiement exploitées par Bank Indonesia elle-même. Le règlement inclut donc expressément les infrastructures de paiement de la banque centrale dans son cadre de surveillance, sans qu’il soit nécessaire de supposer que chaque règle applicable à un prestataire agréé s’applique exactement de la même manière à Bank Indonesia.
Les explications du règlement sur la cybersécurité incluent l’identification, la protection et la détection parmi les mesures de prévention. Le texte explicatif de l’article 90 qualifie également les risques liés aux systèmes d’information et les cyberrisques de risques opérationnels. Ensemble, ces dispositions font de la détection une composante définie de la sécurité des paiements, et non un ajout facultatif au traitement des transactions.
Les données sur les taux de change également examinées
Les constats de la BPK portaient aussi sur le Jakarta Interbank Spot Dollar Rate (JISDOR), le taux de change de référence de Bank Indonesia pour le dollar américain face à la roupie. La question était de savoir si les informations utilisées pour calculer ce taux étaient exactes et complètes.
L’audit a relevé des faiblesses dans les données obtenues via le module JISDOR du Sistem Monitoring Transaksi Valuta Asing terhadap Rupiah (Sismontavar), le système utilisé pour surveiller les transactions de change contre la roupie. La BPK a constaté que le taux de référence n’était pas entièrement calculé à partir de données exactes et complètes.
Une opération de change au comptant consiste à échanger des devises avec un règlement à court terme, plutôt que dans le cadre d’un contrat prévoyant une livraison beaucoup plus tard. Un taux de référence fondé sur ces transactions dépend à la fois de la qualité des enregistrements et des transactions éligibles prises en compte dans le calcul.
La BPK a averti que le taux JISDOR publié pourrait ne pas refléter l’ensemble des transactions au comptant réellement effectuées qui devraient servir de base à son calcul. Elle a demandé des ajustements concernant le calendrier des transactions, leur confirmation et la publication du taux.
Cette recommandation sur le calendrier constitue un aspect distinct du constat. Une transaction peut avoir lieu avant que sa confirmation soit disponible ; le lien entre la période de transaction, le processus de confirmation et l’heure de publication peut donc influer sur les enregistrements pris en compte. La recommandation de la BPK porte sur ce lien, sans préciser de calendrier révisé.
Les constats ne chiffrent pas l’écart entre les valeurs JISDOR publiées et un taux recalculé. Ils ne précisent pas non plus les dates auxquelles le taux aurait été erroné. La conclusion étayée est que la qualité et l’exhaustivité des données nécessitaient une attention particulière, et non que tous les taux publiés étaient faux.
Une contribution de 4,83 billions de roupies au régime de retraite soulève des questions de financement
Le montant explicite le plus élevé figurant dans les constats est la contribution supplémentaire de 4,83 billions de roupies au Dana Pensiun Bank Indonesia (Dapenbi), le fonds de retraite de la banque centrale. La BPK a mis en question le caractère adéquat des dispositions prises par Bank Indonesia pour ce versement et pour fixer les limites de pertes sur investissements, en sa qualité de fondateur du fonds.
Une contribution supplémentaire au régime de retraite correspond à des fonds versés en plus du financement régulier. En l’espèce, la BPK a lié ses préoccupations au risque que Bank Indonesia doive à nouveau effectuer des versements supplémentaires pour combler un déficit de financement. Un déficit de financement signifie que, selon l’évaluation applicable, un fonds de retraite ne dispose pas de ressources suffisantes pour honorer ses engagements.
La BPK a également relevé des pertes potentielles lorsque Dapenbi cède des placements en appliquant son mécanisme de limite de pertes sur investissements. Une limite de pertes fixe un seuil pour les pertes liées aux investissements ou les décisions correspondantes. Son efficacité dépend de la manière dont elle est définie et appliquée, mais les conclusions rapportées ne précisent ni les seuils de Dapenbi ni les placements concernés.
Le montant de 4,83 billions de roupies ne doit pas être présenté comme une perte avérée liée à une fraude. Il s’agit du montant d’une contribution supplémentaire au régime de retraite mise en évidence par l’audit. De même, l’avertissement concernant les pertes liées à la cession de placements porte sur un risque relevé par la BPK, et non sur un total chiffré de pertes réalisées.
La BPK a recommandé d’examiner la gestion des investissements, la gouvernance et la performance des placements de Dapenbi, ainsi que d’évaluer les limites de pertes établies. Ces recommandations portent à la fois sur les raisons qui pourraient entraîner de nouveaux besoins de financement et sur les décisions susceptibles d’exposer le fonds à des pertes d’investissement.
L’affectation des réserves appelle une correction distincte
Un autre constat concernait le transfert des montants réalisés de Cadangan Tujuan, ou réserves affectées, vers Cadangan Umum, ou réserves générales. La BPK a estimé que cet ajout n’était pas conforme aux règles régissant la répartition de l’excédent des activités de Bank Indonesia.
En termes simples, cette question porte sur la répartition de l’excédent entre différentes catégories de réserves. Elle est distincte du défaut de détection de BI-FAST et de la contribution au fonds de retraite, même si les trois problèmes ont été relevés lors du même examen des états financiers.
Selon la BPK, l’accumulation de réserves générales qui en a résulté n’était pas conforme aux règles applicables de répartition de l’excédent. Elle a demandé au gouverneur de Bank Indonesia d’établir des modalités d’affectation des réserves générales conformes à ces règles.
Le constat rapporté ne précise ni le montant de l’affectation des réserves concernée ni le calcul de son effet. Rien ne permet donc de l’additionner à la contribution de 4,83 billions de roupies au régime de retraite pour établir une exposition financière totale.
Pourquoi la présentation fidèle des états financiers ne suffit pas à clore le dossier
La BPK a déclaré que les faiblesses des contrôles et les manquements à la réglementation n’avaient pas d’incidence significative sur la présentation fidèle des états financiers annuels 2025 de Bank Indonesia. L’importance relative désigne le caractère suffisamment important d’une erreur ou d’une omission pour influer sur la compréhension des comptes ou les décisions d’un lecteur.
Cette conclusion et les constats opérationnels répondent à des questions différentes. Les états financiers peuvent présenter fidèlement la situation financière d’une institution alors même qu’un audit relève des faiblesses dans ses contrôles antifraude, ses processus de données ou ses dispositifs de conformité.
Les chiffres doivent également être lus avec prudence. Seize constats comportant 20 problèmes signifie qu’un même constat peut inclure plusieurs problèmes. Cela ne veut pas dire que la BPK a identifié 20 incidents de fraude distincts, et les 17 problèmes de contrôle interne ne doivent pas tous être attribués à BI-FAST.
Les quatre domaines rendus publics appellent des mesures correctives différentes : une évaluation de la sécurité des paiements pour BI-FAST, des ajustements des données et du calendrier pour JISDOR, un examen des investissements et de la gouvernance pour Dapenbi, et des modalités d’affectation des réserves générales conformes aux règles. Les traiter comme un seul problème technologique ferait perdre de vue une grande partie du périmètre de l’audit.
Calendrier et questions en suspens
Les dates distinguent le cadre réglementaire, la période financière examinée et la publication ultérieure des conclusions :
- 2020 : Bank Indonesia a publié le règlement n° 22/23/PBI/2020 sur le système de paiement.
- 2025 : Les états financiers annuels examinés par la BPK portaient sur cet exercice.
- Premier semestre 2026 : Les conclusions figuraient dans le résumé IHPS I 2026 de la BPK.
- 13 octobre 2026 : Les conclusions de l’audit ont été citées publiquement.
Aucune audition ultérieure, échéance de mise en œuvre ou date de compte rendu d’avancement n’est mentionnée. L’état d’avancement de l’évaluation demandée pour BI-FAST, des ajustements du calendrier JISDOR, de l’examen des investissements du fonds de retraite et des modifications de l’affectation des réserves n’est pas non plus établi.
Pour les utilisateurs des services de paiement, les éléments en suspens comprennent l’ampleur des fraudes non détectées, les pertes éventuelles qui y sont associées et les contrôles correctifs mis en place. Pour le fonds de retraite, les informations manquantes portent notamment sur sa situation financière, les seuils de pertes sur investissements et la possibilité de nouvelles contributions.
Le règlement sur les paiements mentionne les réclamations des consommateurs, les fraudes, les incidents cyber et les perturbations parmi les informations pertinentes au titre de l’article 105. Il prévoit également des informations sur la gouvernance, les opérations et la fraude pour la surveillance des participants aux infrastructures de paiement de Bank Indonesia. Ces catégories constituent une base concrète pour évaluer les mesures correctives, même si les conclusions rapportées ne comportent aucun résultat d’une telle évaluation de suivi.
À retenir
- La BPK a relevé 16 constats comportant 20 problèmes lors de son examen des états financiers 2025 de Bank Indonesia.
- Dix-sept problèmes concernaient des faiblesses des contrôles internes et trois des manquements à la réglementation.
- L’audit a conclu que le système de détection des fraudes de BI-FAST était inefficace pour détecter et prévenir les anomalies de transaction.
- La BPK a demandé une évaluation complète de la fiabilité et de la sécurité de BI-FAST.
- La qualité des données JISDOR ainsi que le calendrier des transactions, des confirmations et de la publication du taux nécessitaient également une attention particulière.
- Une contribution supplémentaire de 4,83 billions de roupies au régime de retraite et les limites de pertes sur investissements ont donné lieu à des recommandations d’examen complémentaire.
- La BPK a constaté que les ajouts aux réserves générales n’étaient pas conformes aux règles de répartition de l’excédent.
- Les constats n’ont pas eu d’incidence significative sur la présentation fidèle des états financiers 2025, et aucune échéance de mesure corrective n’a été indiquée.
