BPK, BI-FAST 사기 탐지 취약성 지적…연금 추가 부담금 4조8,300억 루피아 문제 제기

감사 결과 미탐지 사기와 광범위한 통제 문제 드러나

인도네시아 최고감사기관인 감사원(Badan Pemeriksa Keuangan·BPK)은 인도네시아 중앙은행(Bank Indonesia)의 BI-FAST 사기 탐지 시스템이 비정상 거래를 탐지하고 예방하는 데 효과적이지 않았다고 밝혔다. 이 지적은 4조8,300억 루피아 규모의 추가 연금 부담금, 환율 데이터의 취약성, 중앙은행 준비금 배분 문제도 함께 제기한 광범위한 감사의 일부다.

BPK의 2026년 1학기 감사 결과 요약(IHPS I 2026)에 기술된 감사 결과에 따르면, 인도네시아 중앙은행의 2025년 연간 재무제표를 조사한 결과 16건의 지적 사항에서 20개 문제가 확인됐다. 이 가운데 17개는 내부통제 취약점이었고, 3개는 규정 미준수와 관련됐다.

이는 확인된 문제의 85%가 내부통제 취약점이며, 규정 미준수 관련 문제는 15%였다는 의미다. 이 구분은 중요하다. 내부통제는 오류를 예방하고 의심스러운 활동을 탐지하며 금융 업무가 정해진 규칙에 따라 이뤄지도록 하는 절차와 시스템이다. 내부통제가 취약하다고 해서 곧바로 재정 손실이나 법 위반이 입증되는 것은 아니다.

BPK는 해당 문제들이 인도네시아 중앙은행의 2025년 재무제표의 적정한 표시에는 중대한 영향을 미치지 않았다고 밝혔다. 그러나 이 결론은 회계 장부에 관한 것이며, 지급결제 보안과 데이터 품질, 재정 관리에 관한 별도의 감사 지적까지 없애는 것은 아니다.

감사 지적은 2026년 10월 13일 공개적으로 인용됐다. 다만 보도된 내용은 이날을 BPK 요약본의 발행일로 확인해 주지는 않는다. BI-FAST 사기 사건과 관련된 손실액이나 피해 고객 수, 시정 조치 완료 기한도 제시하지 않았다.

BI-FAST 사기 탐지에서 무엇이 제대로 작동하지 않았나?

BPK의 핵심 지적은 BI-FAST 사기탐지시스템(FDS)의 설계와 이행 모두에 관한 것이다. 이런 시스템은 사기를 시사할 수 있는 패턴을 찾아 계좌 활동이나 거래를 살핀다. 이상 거래란 예상되는 패턴에서 벗어난 활동을 뜻하지만, 이례적인 거래가 반드시 사기인 것은 아니다.

감사를 담당하는 공공기관 BPK는 취약점을 다음과 같이 설명했다.

인도네시아 중앙은행의 패스트 페이먼트(BI-FAST) 사기탐지시스템(FDS)의 설계와 이행은 거래 이상 징후를 탐지하고 예방하는 데 효과적이지 않았다.

즉 BI-FAST 사기 탐지 시스템의 설계와 이행이 거래 이상 징후를 탐지하고 예방하는 데 효과적이지 않았다는 지적이다. BPK는 이상 거래가 포함된 사기 사건이 탐지되지 않았으며, 유사한 사건이 재발할 수 있다고도 밝혔다.

이는 지급결제 사기 가능성에 대한 일반적인 경고보다 구체적인 지적이다. 감사 결과는 사건을 탐지하지 못한 문제를 확인하고, 그 실패가 재발 위험으로 이어질 수 있다고 짚었다. 다만 어떤 거래가 관련됐는지, 어떤 탐지 규칙이 사용됐는지, 사건이 언제 발생했는지, 소프트웨어 설정과 정보 부족, 운영 절차 중 무엇이 취약점의 원인이었는지는 설명하지 않았다.

BPK는 인도네시아 중앙은행 총재에게 BI-FAST의 신뢰성과 보안을 종합적으로 평가하라고 요청했다. 이는 개별 경보를 확인하는 데 그치지 않고 서비스가 안정적으로 운영되고 거래를 보호할 수 있는지 살펴보라는 권고다. 보도된 감사 결과에는 평가 완료 여부나 인도네시아 중앙은행의 답변이 담기지 않았다.

지급결제 규정은 이미 사기를 다루고 있다

인도네시아 중앙은행의 2020년 지급결제 시스템 규정(정식 명칭: 규정 제22/23/PBI/2020호)은 이번 감사 지적을 이해하는 데 구체적인 틀을 제공한다. 제2조는 접근성 확대와 소비자 보호를 고려하면서 빠르고 편리하며 저렴하고 안전하고 신뢰할 수 있는 지급결제 시스템을 구축하는 것을 목표로 한다.

제31조에 따라 인가받은 지급서비스 제공자는 거버넌스, 리스크 관리, 정보시스템 보안, 상호 연결 및 상호 운용성, 법규 준수 의무를 이행해야 한다. 제34조는 보안 요건에 사기 관리와 정기적인 정보시스템 감사를 포함한다.

제34조 해설은 사기 관리의 네 단계를 예방, 탐지, 대응, 모니터링으로 제시한다. 또한 FDS가 계좌 단위와 거래 단위 모두에서 작동할 수 있다고 설명한다. 개별 결제는 평범해 보여도 계좌 활동 전반에서 의심스러운 행동이 드러날 수 있다는 점에서 이 구분은 유용하다.

이 규정은 지급결제 인프라 운영자도 다룬다. 제38조와 제41조는 사기 관리와 정기 감사를 포함해 거버넌스, 리스크 관리, 정보 보안 관련 의무를 규정한다. 이는 사기 통제가 더 광범위한 운영 책임의 일부임을 보여준다.

각 범주를 서로 같은 것으로 취급해서는 안 된다. 제88조는 지급서비스 제공자와 인프라 운영자에 대한 감독과 인도네시아 중앙은행 자체가 운영하는 지급결제 인프라의 모니터링을 구분한다. 따라서 이 규정은 인가받은 사업자에게 적용되는 모든 규칙이 중앙은행에도 정확히 같은 방식으로 적용된다고 전제하지 않으면서, 중앙은행의 지급결제 인프라도 모니터링 체계에 명시적으로 포함한다.

규정의 사이버보안 해설은 예방 조치에 식별, 보호, 탐지를 포함한다. 제90조 해설도 정보시스템 및 사이버 위험을 운영 리스크로 규정한다. 이 조항들을 종합하면 탐지는 거래 처리에 선택적으로 더하는 기능이 아니라 지급결제 보안의 명시적인 요소다.

환율 데이터도 감사 대상에 올라

BPK의 지적은 인도네시아 중앙은행이 미국 달러 대비 루피아 환율의 기준으로 사용하는 자카르타 은행 간 현물 달러 환율(JISDOR)에도 미쳤다. 쟁점은 환율 산정에 사용된 정보가 정확하고 완전했는지 여부였다.

감사에서는 루피아화 대비 외환 거래를 모니터링하는 시스템인 외환거래 모니터링 시스템(Sismontavar)의 JISDOR 모듈을 통해 확보한 데이터의 취약점이 확인됐다. BPK는 기준 환율이 정확하고 완전한 데이터만을 바탕으로 산출되지 않았다고 밝혔다.

현물 외환 거래는 훨씬 나중에 결제하는 계약이 아니라 단기간 내 결제를 위해 통화를 교환하는 거래다. 이런 거래를 바탕으로 산출되는 기준 환율은 기록의 품질뿐 아니라 산정에 포함되는 적격 거래에도 좌우된다.

BPK는 공표된 JISDOR 환율이 산정 기준에 포함돼야 하는 실제 현물 거래를 모두 반영하지 못할 수 있다고 경고했다. 거래 시점과 거래 확인, 환율 공표 시점의 조정을 요청했다.

거래 시점 관련 권고는 지적 사항 중에서도 별개의 중요한 부분이다. 거래가 발생한 뒤 확인 정보가 확보될 수 있으므로 거래 집계 기간과 확인 절차, 공표 시점의 관계가 산정에 포함되는 기록에 영향을 줄 수 있다. BPK의 권고는 이러한 관계를 짚었지만 수정된 일정을 구체적으로 제시하지는 않았다.

감사 결과는 공표된 JISDOR 값과 재산출 환율 간 차이를 수치로 제시하지 않았다. 환율이 잘못된 특정 날짜도 밝히지 않았다. 확인된 결론은 데이터 품질과 완전성을 개선할 필요가 있다는 것이지, 공표된 모든 환율이 틀렸다는 것은 아니다.

4조8,300억 루피아 연금 지급, 재원 우려 제기

감사 결과에서 명시된 금액 가운데 가장 큰 것은 인도네시아 중앙은행 연금기금(Dapenbi)에 대한 4조8,300억 루피아 규모의 추가 부담금이다. BPK는 연금기금 설립자로서 인도네시아 중앙은행이 이 지급금과 투자 손실 한도를 설정하는 방식을 적절히 마련했는지 문제를 제기했다.

추가 연금 부담금은 정기 재원 조달분을 넘어 공급되는 자금이다. 이번 경우 BPK는 재정 부족을 메우기 위해 인도네시아 중앙은행이 다시 추가 납입을 해야 할 가능성에 우려를 제기했다. 재정 부족이란 관련 평가 기준상 연금기금이 의무를 이행하기에 충분한 자원을 보유하지 못한 상태를 뜻한다.

BPK는 Dapenbi가 투자 손실 한도 제도를 적용해 투자 자산을 처분할 때 발생할 수 있는 손실도 지적했다. 손실 한도는 투자 손실이나 관련 의사결정의 경계를 정한다. 제도의 효과는 한도를 어떻게 설정하고 적용하는지에 달려 있지만, 보도된 감사 결과에는 Dapenbi의 기준치나 개별 투자 포지션이 공개되지 않았다.

4조8,300억 루피아를 입증된 사기 손실로 묘사해서는 안 된다. 감사에서 지적된 금액은 추가 연금 부담금이다. 마찬가지로 투자 자산 처분에 따른 손실 경고도 BPK가 확인한 위험에 관한 것이지, 확정된 손실 총액을 나타내는 것은 아니다.

BPK는 Dapenbi의 투자 관리, 거버넌스, 투자 성과를 조사하고 설정된 손실 한도를 평가하라고 권고했다. 이 권고는 추가 자금 투입이 반복될 수 있는 이유와 연금기금이 투자 손실에 노출될 수 있는 의사결정을 함께 다룬다.

준비금 배분에는 별도의 시정 필요

또 다른 지적은 목적준비금(Cadangan Tujuan)에서 일반준비금(Cadangan Umum)으로 실현된 금액을 이전하는 문제와 관련됐다. BPK는 이 금액의 추가 배분이 인도네시아 중앙은행 활동에서 발생한 잉여금 배분 규정에 부합하지 않았다고 밝혔다.

쉽게 말해 이 사안은 잉여금을 준비금 항목 간에 어떻게 배분하는지에 관한 것이다. BI-FAST 탐지 실패와 연금기금 부담금과는 별개의 문제지만, 세 가지 모두 같은 재무제표 감사에서 확인됐다.

BPK는 그 결과 일반준비금이 누적된 방식이 적용되는 잉여금 배분 체계와 일치하지 않았다고 밝혔다. 총재에게 해당 규정에 부합하는 일반준비금 배분 방안을 마련하라고 요청했다.

보도된 지적에는 문제가 된 준비금 배분액이나 그 영향에 대한 계산이 포함되지 않았다. 따라서 이 금액을 4조8,300억 루피아 연금 부담금과 합산해 총 재정 노출액을 산출할 근거는 없다.

재무제표가 적정하다는 결론만으로 지적이 해소되지는 않아

BPK는 내부통제 취약점과 규정 미준수가 인도네시아 중앙은행의 2025년 연간 재무제표를 적정하게 표시하는 데 중대한 영향을 미치지 않았다고 밝혔다. 중요성은 오류나 누락이 재무제표에 대한 독자의 이해나 판단에 영향을 줄 만큼 중요한지 여부를 뜻한다.

이 결론과 운영상의 감사 지적은 서로 다른 질문에 답한다. 재무제표가 기관의 재정 상태를 적정하게 표시하더라도 감사 과정에서 사기 통제, 데이터 처리, 규정 준수 체계의 취약점이 확인될 수 있다.

수치도 주의해서 읽어야 한다. 16건의 지적 사항에서 20개 문제가 나왔다는 것은 지적 사항 하나에 여러 문제가 포함될 수 있다는 뜻이다. BPK가 사기 사건 20건을 각각 확인했다는 의미가 아니며, 내부통제 문제 17개를 모두 BI-FAST 탓으로 돌려서도 안 된다.

공개적으로 설명된 네 분야에는 서로 다른 시정 작업이 필요하다. BI-FAST는 지급결제 보안 평가, JISDOR는 데이터와 시점 조정, Dapenbi는 투자 및 거버넌스 조사, 일반준비금은 규정에 맞는 배분 방안을 마련해야 한다. 이를 하나의 기술 문제로만 취급하면 감사 범위의 상당 부분을 놓치게 된다.

일정과 미해결 쟁점

아래 날짜는 규제 체계, 조사 대상 회계연도, 이후 감사 결과가 보고된 시점을 구분해 보여준다.

• 2020년: 인도네시아 중앙은행이 지급결제 시스템 규정 제22/23/PBI/2020호를 발령했다.
• 2025년: BPK가 조사한 연간 재무제표의 대상 회계연도다.
• 2026년 1학기: 감사 지적이 BPK의 IHPS I 2026 요약본에 실렸다.
• 2026년 10월 13일: 감사 지적이 공개적으로 인용됐다.

이후 청문회나 시정 조치 기한, 예정된 진행 상황 보고는 확인되지 않았다. BI-FAST 평가, JISDOR 시점 조정, 연금기금 투자 조사, 준비금 배분 변경의 진행 상황도 밝혀지지 않았다.

지급결제 이용자 입장에서 아직 확인되지 않은 세부 사항은 미탐지 사기의 규모와 관련 손실, 새로 도입된 시정 통제 조치다. 연금기금과 관련해서는 재정 상태와 투자 손실 기준치, 추가 부담금이 더 필요한지 여부가 공개되지 않았다.

지급결제 규정 제105조는 소비자 불만, 사기, 사이버 사고, 서비스 중단을 관련 정보로 규정한다. 또 인도네시아 중앙은행 지급결제 인프라 참여자를 모니터링할 때 거버넌스와 운영, 사기에 관한 정보도 포함한다. 이런 범주는 시정 조치를 평가할 구체적인 근거가 되지만, 보도된 감사 결과에는 후속 평가의 결과가 담기지 않았다.

핵심 내용

• BPK는 인도네시아 중앙은행의 2025년 재무제표를 조사해 16건의 지적 사항에서 20개 문제를 확인했다.
• 문제 17개는 내부통제 취약점, 3개는 규정 미준수와 관련됐다.
• 감사 결과 BI-FAST의 사기 탐지 시스템은 거래 이상 징후를 탐지하고 예방하는 데 효과적이지 않았다.
• BPK는 BI-FAST의 신뢰성과 보안을 종합적으로 평가하라고 요청했다.
• JISDOR의 데이터 품질과 거래, 확인, 환율 공표 시점도 점검이 필요했다.
• 4조8,300억 루피아의 추가 연금 부담금과 투자 손실 한도와 관련해 추가 조사가 권고됐다.
• BPK는 일반준비금 추가 배분이 잉여금 배분 규정에 부합하지 않았다고 밝혔다.
• 감사 지적은 2025년 재무제표의 적정한 표시에 중대한 영향을 미치지 않았으며, 시정 조치 기한은 제시되지 않았다.