BPK、BI-FASTの不正検知の不備を指摘　年金基金に4兆8,300億ルピア追加拠出

監査で不正の未検知と広範な内部統制上の問題が判明

インドネシア最高会計検査院（Badan Pemeriksa Keuangan、BPK）は、インドネシア銀行の決済システム「BI-FAST」の不正検知システムについて、異常な取引の検知と防止に効果を発揮していなかったと指摘した。この指摘はより広範な監査の一部で、年金基金への4兆8,300億ルピアの追加拠出、為替データの不備、中央銀行準備金の配分をめぐる問題も明らかになった。

インドネシア銀行の2025年年次財務諸表の監査では、16件の指摘事項に20の問題が含まれていた。BPKが「2026年上半期監査結果概要」（IHPS I 2026）で示した指摘内容によると、17の問題は内部統制の不備、3つは法令等の不遵守に関するものだった。

つまり、特定された問題の85％は内部統制の不備で、法令等の不遵守は15％だった。この区別は重要だ。内部統制とは、誤りを防ぎ、不審な活動を検知し、金融業務が定められた規則に沿って行われるようにする手続きやシステムを指す。統制に不備があるからといって、必ずしも金銭的損失や法令違反が立証されたことにはならない。

BPKは、これらの問題がインドネシア銀行の2025年財務諸表の適正な表示に重大な影響を与えていないと述べた。ただし、この結論は会計上の表示に関するものであり、決済の安全性、データの品質、財務管理に関する個別の指摘が解消されたことを意味しない。

指摘内容は2026年10月13日に公に引用された。ただし、同日がBPKの概要資料の公表日だとは確認できない。また、BI-FASTの不正事案に関連する損失額や影響を受けた顧客数、是正措置の完了期限も示されていない。

BI-FASTの不正検知で何が機能しなかったのか

BPKの中心的な指摘は、BI-FASTの不正検知システム（FDS）の設計と運用の両方に関わるものだ。こうしたシステムは、口座の動きや取引に不正を示唆するパターンがないか調べる。異常とは通常想定されるパターンから外れた動きを指すが、通常と異なる取引が必ずしも不正とは限らない。

監査を担う公的機関BPKは、この不備について次のように述べた。

インドネシア銀行の即時決済システム（BI-FAST）の不正検知システム（FDS）は、取引の異常を検知・防止するうえで、設計と運用が効果的ではなかった。

この指摘は、BI-FASTの不正検知システムの設計と運用が、取引の異常の検知と防止に効果を発揮していなかったという意味だ。BPKはまた、異常を伴う不正事案が検知されず、同様の事案が再発する可能性があるとした。

これは、決済不正の可能性について一般的な警告を発したものより踏み込んだ指摘だ。監査は、事案を検知できなかったことを特定し、その失敗が再発リスクにつながるとした。一方で、対象となった取引や使用された検知ルール、事案の発生時期、不備の原因がソフトウェアの設定、情報不足、業務手順のいずれにあったのかは説明していない。

BPKはインドネシア銀行総裁に対し、BI-FASTの信頼性と安全性を包括的に評価するよう求めた。この勧告は個別のアラートを確認するだけでなく、サービスが安定して稼働し、取引を保護できるかを検証するものだ。報告された指摘には、評価が完了したとの記述も、インドネシア銀行の対応もない。

決済規則はすでに不正対策を定めている

インドネシア銀行の2020年決済システム規則（正式名称は規則第22/23/PBI/2020号）は、今回の監査上の懸念を理解するための具体的な枠組みを示している。第2条は、アクセスの拡大と消費者保護に配慮しつつ、迅速、簡便、低廉、安全で信頼できる決済システムを目指すとしている。

第31条に基づき、認可を受けた決済サービス提供者は、ガバナンス、リスク管理、情報システムの安全性、相互接続性・相互運用性、法令遵守に関する義務を果たさなければならない。第34条は、安全性の要件に不正管理と定期的な情報システム監査を含めている。

第34条の解説は、不正管理を予防、検知、対応、監視の4段階に分けている。また、FDSは口座単位と取引単位の双方で稼働できるとしている。この区別が有用なのは、個々の支払いが通常に見えても、口座の取引全体を通じて不審な動きが表れる場合があるためだ。

規則は決済インフラの運営者についても定めている。第38条と第41条は、ガバナンス、リスク管理、情報セキュリティに関する義務を規定し、不正管理と定期監査も含めている。これらの規定は、不正対策がより広範な業務上の責任の一部であることを示している。

これらの区分を同一視すべきではない。第88条は、決済サービス提供者や決済インフラ運営者への監督と、インドネシア銀行自身が運営する決済インフラのモニタリングを区別している。したがって、この規則は中央銀行の決済インフラもモニタリングの枠組みに明示的に含めているが、認可事業者に適用されるすべての規則が、インドネシア銀行にもまったく同じ形で適用されると想定する必要はない。

規則のサイバーセキュリティに関する解説では、予防措置に脅威の特定、保護、検知が含まれている。また、第90条の解説は、情報システムリスクとサイバーリスクをオペレーショナルリスクとして挙げている。これらの規定から、検知は決済処理への任意の追加機能ではなく、決済の安全性を構成する要素と位置づけられている。

為替データも監査の対象に

BPKの指摘は、インドネシア銀行が米ドルに対するルピアの基準為替レートとして公表するジャカルタ銀行間スポット・ドル・レート（JISDOR）にも及んだ。問題となったのは、レート算出に使う情報が正確かつ完全かどうかだった。

監査では、ルピアに対する外国為替取引を監視するシステム「Sistem Monitoring Transaksi Valuta Asing terhadap Rupiah（Sismontavar）」のJISDORモジュールから取得したデータに不備があると指摘した。BPKによると、基準レートは正確かつ完全なデータに全面的には基づいていなかった。

スポット外国為替取引とは、かなり先の日に受け渡す契約ではなく、短期間で決済する通貨交換を指す。こうした取引に基づく基準レートは、記録の質に加え、算出対象となる適格な取引がどれかにも左右される。

BPKは、公表されるJISDORが、算出の基礎に含めるべき実際のスポット取引をすべて反映していない可能性があると警告した。また、取引のタイミング、取引確認、レート公表の時期を調整するよう求めた。

タイミングに関する勧告は、指摘の中でも独立した論点だ。取引が行われた後、確認情報が得られるまで時間がかかることがあるため、取引の対象時間帯、確認手続き、公表時刻の関係が、どの記録が算出に含まれるかに影響し得る。BPKの勧告はこの関係に言及しているが、改定後のスケジュールは示していない。

公表されたJISDORと再計算したレートの差は、指摘内容からは分からない。また、レートが誤っていた特定の日付も示されていない。裏付けられる結論は、データの品質と完全性への対応が必要だったということであり、公表されたすべてのレートが誤っていたということではない。

年金基金への4兆8,300億ルピアの拠出で財源に懸念

指摘の中で明示された最も大きな金額は、中央銀行の年金基金「Dana Pensiun Bank Indonesia（Dapenbi）」への4兆8,300億ルピアの追加拠出だ。BPKは、基金の設立者として、インドネシア銀行がこの支払いを行うための措置や、投資損失限度額を設定する方法が十分かどうかを問題視した。

年金への追加拠出とは、通常の拠出額を超えて提供される資金を指す。今回、BPKは、積立不足を補うためにインドネシア銀行が再び追加拠出を迫られる可能性への懸念を示した。積立不足とは、該当する評価基準に照らして、年金基金が債務を履行するために十分な資産を確保できていない状態だ。

BPKはまた、Dapenbiが投資損失限度額の仕組みを使って投資を売却する際に、損失が生じる可能性を指摘した。損失限度額は、投資損失や関連する判断の上限を定めるものだ。その有効性は設定方法と運用方法に左右されるが、報告された指摘には、Dapenbiの基準値や個別の投資ポジションは開示されていない。

4兆8,300億ルピアを、不正による損失が立証された金額と表現すべきではない。これは監査で取り上げられた年金基金への追加拠出額だ。同様に、投資売却に伴う損失への警告もBPKが特定したリスクに関するもので、実現損失の総額を示したものではない。

BPKはDapenbiの投資運用、ガバナンス、投資実績を調査し、設定済みの損失限度額を評価するよう勧告した。これらの勧告は、追加資金の拠出が再び必要となる理由と、基金を投資損失にさらす可能性のある判断の両方に対応するものだ。

準備金の配分には別途是正が必要

別の指摘は、「Cadangan Tujuan（目的準備金）」から「Cadangan Umum（一般準備金）」への実現額の振り替えに関するものだった。BPKは、この追加がインドネシア銀行の業務から生じた剰余金の配分ルールに適合していなかったとした。

簡単にいえば、これは剰余金を準備金の各区分にどう配分するかという問題だ。同じ財務諸表の監査で見つかったものの、BI-FASTの検知不備や年金基金への拠出とは別個の論点である。

BPKは、一般準備金の積み増しが適用される剰余金の配分規定に沿っていなかったと述べた。インドネシア銀行総裁に対し、規則に準拠した一般準備金の配分方法を定めるよう求めた。

報告された指摘には、問題となった準備金の配分額や、その影響額の計算は示されていない。したがって、これを4兆8,300億ルピアの年金拠出と合算し、金融上のリスク総額を算出する根拠はない。

財務諸表が適正でも指摘が解消されるわけではない

BPKは、内部統制の不備と法令等の不遵守が、インドネシア銀行の2025年年次財務諸表の適正な表示に重大な影響を与えていないと述べた。重要性とは、誤りや記載漏れが、財務諸表に対する読者の理解や判断に影響するほど重大かどうかを指す。

この結論と業務上の指摘は、別々の問いに答えるものだ。監査で不正対策、データ処理、法令遵守の仕組みに不備が見つかっても、組織の財務状況が財務諸表に適正に表示されている場合はある。

数字も慎重に読む必要がある。16件の指摘事項に20の問題が含まれているということは、1件の指摘事項に複数の問題が含まれる場合があるという意味だ。BPKが20件の個別の不正事案を特定したという意味ではなく、17の内部統制上の問題がすべてBI-FASTに関するものということでもない。

公表された4つの分野で必要な是正対応はそれぞれ異なる。BI-FASTは決済の安全性評価、JISDORはデータとタイミングの調整、Dapenbiは投資とガバナンスの調査、一般準備金は規則に準拠した配分方法の整備が必要だ。すべてを単一の技術上の問題として扱えば、監査の範囲の多くを見落とすことになる。

時系列と未解決の疑問

以下の日付は、規制の枠組み、監査対象の会計期間、指摘の公表時期を区別するものだ。

• 2020年：インドネシア銀行が決済システムに関する規則第22/23/PBI/2020号を制定。
• 2025年：BPKが監査した年次財務諸表の対象年度。
• 2026年上半期：指摘内容がBPKの概要資料IHPS I 2026に掲載。
• 2026年10月13日：監査の指摘内容が公に引用された。

その後の公聴会、是正措置の実施期限、進捗報告の予定は示されていない。BI-FASTの評価、JISDORのタイミング調整、年金基金の投資調査、準備金配分の見直しについて、対応状況も明らかになっていない。

決済サービスの利用者にとって、未解明の点には、検知されなかった不正の規模、関連する損失の有無、導入された是正措置が含まれる。年金基金については、積立状況、投資損失の基準値、追加拠出が再び必要となるかどうかが分かっていない。

決済規則第105条は、消費者からの苦情、不正、サイバー事案、障害を関連情報として挙げている。また、インドネシア銀行の決済インフラに参加する事業者のモニタリングにおいて、ガバナンス、業務、不正に関する情報も対象としている。これらの項目は是正措置を評価する具体的な基準となるが、報告された指摘には、そのような事後評価の結果は含まれていない。

要点

• BPKはインドネシア銀行の2025年財務諸表の監査で、16件の指摘事項に含まれる20の問題を特定した。
• 17の問題は内部統制の不備、3つは法令等の不遵守に関するものだった。
• 監査では、BI-FASTの不正検知システムが取引の異常の検知と防止に効果を発揮していなかったと指摘した。
• BPKはBI-FASTの信頼性と安全性を包括的に評価するよう求めた。
• JISDORのデータ品質に加え、取引、確認、レート公表のタイミングにも対応が必要とされた。
• 4兆8,300億ルピアの年金基金への追加拠出と投資損失限度額を受け、さらなる調査が勧告された。
• BPKは一般準備金への積み増しが剰余金の配分ルールに適合していなかったと指摘した。
• 指摘は2025年財務諸表の適正な表示に重大な影響を与えておらず、是正措置の期限も示されていない。