Fraud Adalah: Definisi POJK 12/2024, Sandi Laporan dan Denda

Fraud adalah, menurut Pasal 1 angka 4 POJK 12 Tahun 2024, "tindakan penyimpangan dan/atau pembiaran yang sengaja dilakukan untuk mengelabui, menipu, atau memanipulasi LJK, Konsumen atau pihak lain, yang terjadi di lingkungan LJK dan/atau menggunakan sarana LJK". POJK ini diundangkan 31 Juli 2024 dan berlaku tiga bulan kemudian, 31 Oktober 2024. Bagi bank, asuransi dan multifinance, definisi itu memicu kewajiban yang terukur: tiap kejadian dicatat dengan sandi, kerugiannya diisi di sembilan sel, dan fraud berdampak signifikan dilaporkan ke OJK paling lama 3 atau 6 hari kerja.

Semua kutipan di bawah diambil dari salinan resmi OJK yang kami unduh pada 28 Oktober 2026.

Definisi kecurangan menurut POJK 12/2024, bukan menurut buku teks

Hampir semua halaman yang menjelaskan "fraud adalah" mengajarkan versi auditor: fraud tree dari ACFE dan segitiga Cressey (tekanan, kesempatan, rasionalisasi). OJK sendiri mengakui sumber yang sama. FAQ OJK atas POJK 12/2024 butir 2(a) menyebut definisinya "merujuk pada Fraud Tree ACFE".

Pohonnya sama, cakupannya lebih lebar. Pasal 2 memuat tiga cabang ACFE (korupsi, penyalahgunaan aset, kecurangan laporan keuangan) lalu menambah tiga lagi: penipuan, pembocoran informasi rahasia, dan "tindakan lain yang dapat dipersamakan dengan Fraud". Bagi kepatuhan, yang lebih penting adalah dua frasa di definisinya:

"…mengelabui, menipu, atau memanipulasi LJK, Konsumen atau pihak lain, yang terjadi di lingkungan LJK dan/atau menggunakan sarana LJK…" (Pasal 1 angka 4)

• Korbannya tidak harus lembaga. Konsumen dan pihak lain disebut sejajar dengan LJK, dan yang memperoleh keuntungan bisa "pelaku Fraud dan/atau pihak lain".
• Tempatnya tidak harus di dalam kantor. "Dan/atau menggunakan sarana LJK" membuka kejadian di luar lingkungan LJK selama sarananya milik LJK.

Ini bacaan kami, bukan bunyi pasal: penipuan social engineering yang menguras rekening lewat aplikasi mobile bank kemungkinan besar masuk lewat frasa "menggunakan sarana LJK". Dua penjelasan mendukungnya. Penjelasan Pasal 4 ayat (2) menyebut "penipuan online termasuk kegiatan investasi online fiktif" dan perjudian online sebagai pemanfaatan rekening untuk kejahatan. Penjelasan Pasal 13 huruf b menyatakan pelaku fraud "termasuk pelaku internal dan/atau eksternal". Satu jebakan: "pihak lain" di Pasal 4 ayat (3) huruf c bukan penipu. Penjelasannya menyebut konsultan, vendor, akuntan publik, penilai, notaris, otoritas dan pemerintah.

POJK 12/2024 mencabut POJK 39/POJK.03/2019 tentang strategi anti-fraud bank umum (Pasal 24), beserta ketentuan fraud di POJK 10/POJK.05/2019, 35/POJK.05/2018, 55/POJK.05/2017 dan 69/POJK.05/2016. Dibanding definisi 2019, "Bank, nasabah" menjadi "LJK, Konsumen", "penyimpangan atau pembiaran" menjadi "penyimpangan dan/atau pembiaran", dan "keuntungan keuangan" menjadi "keuntungan" saja. Ringkasan AI atau materi vendor yang masih menyebut POJK 39/2019 merujuk aturan yang sudah dicabut.

Apakah fraud dan korupsi sama? Tidak. Dalam fraud tree ACFE dan Pasal 2 huruf a POJK 12/2024, korupsi adalah salah satu cabang fraud.

Dari modus ke sandi: cara OJK mengklasifikasikan fraud

Lampiran II POJK 12/2024 adalah format laporan berkala dengan 47 kolom. Tiga tabel sandinya menentukan bagaimana satu kejadian tercatat: Romawi III (Jenis Fraud), Romawi IV (28 sandi Aktivitas Terkait Fraud, 301 sampai 327 ditambah 399) dan Romawi XI (16 sandi Kelemahan Penyebab Fraud). Tabel di bawah adalah pemetaan kami atas modus yang paling sering ditanyakan. Sandinya dari teks; pasangannya bacaan kami.

Sandi 305 didefinisikan sebagai fraud "dengan menggunakan komputer, jaringan komputer, dan/atau media elektronik untuk mengelabui LJK, nasabah, orang, atau pihak lain agar memperoleh informasi dan data pribadi nasabah". Itu phishing, walau kata phishing tak pernah muncul. Sandi 303 mencakup transaksi memakai identitas dan data orang lain "tanpa sepengetahuan dan/atau persetujuan" pemiliknya.

Satu nomor, tiga arti

Sandi tidak unik antar-tabel. "501" berarti Penipuan di Romawi III dan Kelalaian Konsumen di Romawi XI. "303" berarti penyalahgunaan aset lainnya di Romawi III dan penggunaan identitas di Romawi IV. Sistem yang menyimpan sandi tanpa nama tabelnya akan menghasilkan isian salah, dan Pasal 21 mendenda per kesalahan isian.

Empat sandi kelemahan bersifat eksternal: 501 Kelalaian Konsumen, 502 Pemahaman Konsumen menjaga Kerahasiaan Data Pribadi, 503 Kecurangan Konsumen dan 504 Kecurangan Pihak Lain. Lampiran II mengizinkan lebih dari satu kelemahan per kejadian, diisi di baris berikutnya dengan ID yang sama. Jadi mengisi 501 tidak berarti menyalahkan nasabah sepenuhnya; 301 Teknologi Informasi bisa ikut tercatat di kejadian yang sama.

Setelah nasabah kehilangan uang: apa yang wajib dicatat

Pasal 13 menetapkan 12 isian minimum laporan, dari jenis fraud dan pelakunya sampai "j. pihak yang dirugikan; k. waktu kejadian Fraud; dan l. jumlah kerugian." Dalam format Lampiran II, kasus nasabah yang tertipu kira-kira tercatat dengan urutan ini:

1. Pihak yang dirugikan (Romawi VIII): 001 LJK, 002 Konsumen, 003 Pihak Lain.
2. Waktu (Romawi IX): tanggal fraud terjadi awal dan akhir, dan tanggal fraud diketahui, berformat YYYYMMDD. Tanggal "diketahui" adalah titik mulai jam laporan signifikan.
3. Kerugian (Romawi X): dalam rupiah penuh, di sembilan sel.
4. Tindakan penanganan (Romawi XII, 14 sandi): antara lain 06 pemblokiran kartu, 07 pemblokiran rekening, 08 penggantian kartu, 09 pelaporan kepolisian, 10 ganti rugi, 13 pelaporan ke asosiasi/regulator/instansi.
5. Pelaku eksternal (Romawi XVIII): 001 Konsumen, 002 pihak yang bekerja sama dengan LJK, 003 "Pihak yang tidak berhubungan langsung dengan LJK".

Sel kerugian adalah tiga ukuran untuk tiga korban (LJK, Konsumen, Pihak Lain), jadi sembilan sel, diisi "baik kerugian yang dialami oleh LJK, Konsumen, dan/atau pihak lain". Kolom contoh di tabel adalah bacaan kami. Kata "diganti" penting: kompensasi yang dibayar lembaga ikut mengurangi angka Setelah Pengembalian, bukan hanya dana yang berhasil ditarik kembali.

Laporan fraud berdampak signifikan (Lampiran III, 32 kolom) lebih ringkas: satu kolom "Jumlah Kerugian Potensial" yang tidak dipisah per korban, dan satu kolom bebas "Tindakan Lanjut LJK" sampai 4.000 karakter. Ada satu ketidakcocokan yang kami temukan. Lampiran II dan FAQ butir 6 meminta fraud signifikan dilaporkan ulang di laporan berkala "dengan menggunakan ID kejadian Fraud yang sama". Padahal ID laporan berkala 12 karakter (contoh A12024000001) dan ID laporan signifikan 13 karakter (AS12024000001). Teksnya tidak menjelaskan cara menyamakannya. Tanyakan ke pengawas Anda sebelum sistem pelaporan dibangun, bukan sesudahnya.

Tenggat dan denda per jenis lembaga

Ada dua laporan dengan jam berbeda. Laporan berkala (Pasal 14) hanya semesteran untuk bank umum dan BPR, posisi akhir Juni dan Desember, paling lambat tanggal 31 bulan berikutnya. Lembaga lain melapor tahunan, posisi akhir Desember, paling lambat 31 Januari. Laporan fraud signifikan (Pasal 15) dihitung dari hari fraud diketahui.

Denda Pasal 20 ayat (2) dihitung per hari kerja per laporan dan berlaku untuk pelanggaran Pasal 11, 12, 14, 15, 16 dan 18 ayat (1). Membayarnya tidak menghapus kewajiban melapor (ayat 4). Pasal 21 menambah denda terpisah untuk isian yang salah: Rp50 ribu per kesalahan, maksimal Rp5 juta per laporan, bagi BPR bermodal inti paling sedikit Rp50 miliar, dana pensiun beraset paling sedikit Rp500 miliar dan LJK lain di atas ukuran itu; Rp10 ribu, maksimal Rp1 juta, bagi yang lebih kecil. Bank umum kembali ke POJK pelaporan bank umum.

Detail yang sering terlewat:

• "Signifikan" tidak punya angka. Penjelasan Pasal 10 ayat (2) hanya memberi contoh kualitatif: pelanggaran signifikan atas peraturan, fraud yang dapat membahayakan kelangsungan usaha, atau yang berpotensi menjadi perhatian publik. Kata "signifikan" muncul 0 kali di Lampiran I. Bacaan kami: setiap LJK harus menetapkan ambangnya sendiri di pedoman strategi anti-fraudnya, dan ambang itulah yang akan diuji pemeriksa.
• Akhir pekan. Tenggat yang jatuh pada Sabtu, Minggu atau hari libur bergeser ke hari kerja berikutnya (Pasal 17 ayat 1). Penjelasan Pasal 17 ayat (2) menyebut "serangan siber" sebagai keadaan kahar yang bisa menjadi dasar penundaan.
• Nihil tetap dilapor. FAQ butir 8: tanpa kejadian, laporan berkala tetap disampaikan dengan keterangan nihil.
• Koreksi. Paling lama 15 hari kerja sejak kesalahan diketahui (Pasal 18 ayat 2).
• Dokumen strategi. Pasal 11: 3 bulan sejak berlaku bagi bank umum, asuransi, reasuransi dan perusahaan pembiayaan, 6 bulan bagi lainnya. Dari 31 Oktober 2024, hitungan kami jatuh pada 31 Januari 2025 dan 30 April 2025. Perubahan strategi dilaporkan paling lama 7 hari kerja (Pasal 12).

Yang tidak tertulis: "fraud detection system"

Frasa "fraud detection" muncul 0 kali di batang tubuh, penjelasan dan tiga lampiran POJK 12/2024. Pilar deteksi (Pasal 5 huruf b) minimal berisi "kebijakan dan mekanisme whistleblowing, pemeriksaan mendadak, dan sistem pengawasan", dan Lampiran I mendefinisikan sistem pengawasan sebagai pengujian "yang dilakukan secara rahasia tanpa diketahui atau disadari oleh pihak yang diuji". Pilar pencegahan memuat "kebijakan mengenal pegawai".

Namun FAQ OJK butir 2(d) meringkas POJK ini sebagai "Kewajiban penerapan Fraud Detection System". Posisi yang bisa dipertahankan di depan pemeriksa, menurut kami, begini: regulasinya tidak memakai istilah itu, OJK sendiri menafsirkannya ke arah sana, dan vendor yang menjual produk deteksi sebagai satu-satunya jawaban kepatuhan melompati whistleblowing dan pemeriksaan mendadak yang justru tertulis.

Titik lemahnya ada di edukasi nasabah. Pasal 7 ayat (2) huruf b menyatakan LJK "harus", bukan "wajib", melakukan edukasi atau sosialisasi kebijakan anti-fraud kepada pihak eksternal paling sedikit sekali setahun. Sanksi Pasal 9 ayat (1) hanya menyebut Pasal 7 ayat (1). Sanksi Pasal 9 sendiri bertingkat sampai larangan menerbitkan produk baru, pembekuan kegiatan usaha tertentu (ayat 3) dan larangan menjadi pihak utama LJK (ayat 4).

Kami tidak menemukan SEOJK pelaksana POJK 12/2024 dalam tiga kali pencarian, tetapi belum menyisir jdih.ojk.go.id secara langsung.

Phishing masuk ke sandi 305

Ringkasan AI Google untuk kueri "fraud adalah" (dicek 28 Oktober 2026) memasukkan phishing, skimming, pencurian kartu kredit dan social engineering ke kelompok fraud eksternal atau digital. Di laporan POJK 12, kejadian phishing tercatat sebagai Jenis 501 Penipuan dengan Aktivitas 305 Penggunaan siber. Bagian mana dari serangan itu yang benar-benar dikendalikan pemilik kanal, kami ukur di artikel phishing adalah peniruan kanal bank, dengan data DMARC 20 lembaga keuangan.

Batas POJK 12: siapa yang menanggung kerugian

POJK 12/2024 mengatur pencatatan dan pelaporan, bukan ganti rugi. Pasal 22 menyerahkan tanggung jawab atas kerugian Konsumen ke peraturan lain, dan penjelasannya menunjuk peraturan pelindungan konsumen. Itu POJK 22/2023 (diundangkan 22 Desember 2023). Pasal 10 ayat (1)-nya mewajibkan PUJK bertanggung jawab atas kerugian Konsumen yang disebabkan kesalahan, kelalaian atau pelanggaran oleh direksi, komisaris, pegawai atau pihak ketiga yang bekerja untuk kepentingannya. Ayat (2) adalah pembelaan: PUJK tidak bertanggung jawab jika dapat membuktikan keterlibatan, kesalahan atau kelalaian Konsumen. Jadi kewajiban mengganti tidak lahir otomatis dari setiap kejadian phishing. Ia lahir ketika kerugian disebabkan pihak PUJK. Rinciannya, termasuk Pasal 24 soal ketahanan siber dan denda sampai Rp15 miliar, ada di pembahasan POJK perlindungan konsumen 22/2023 per layar.

Yang perlu dicek Kepala Kepatuhan minggu ini

• Ambang "signifikan" tertulis di pedoman, dengan contoh rupiah, sehingga jam 3 atau 6 hari kerja tidak menunggu perdebatan internal.
• Kolom sandi di sistem pencatatan menyimpan nama tabel (Jenis, Aktivitas, Kelemahan), bukan hanya angka.
• Tanggal "fraud diketahui" tercatat otomatis saat pengaduan nasabah masuk, karena itu titik mulai tenggat.
• Sembilan sel kerugian bisa diisi dari data pengaduan dan ganti rugi tanpa rekap manual.
• Edukasi eksternal tahunan terdokumentasi, walau Pasal 9 tidak menyebut Pasal 7 ayat (2).

Untuk Head of Digital, butir kedua sampai keempat adalah kebutuhan sistem: formulir pengaduan di aplikasi dan situs yang menangkap tanggal, kanal dan rupiah sejak layar pertama. Itu bagian dari pekerjaan pengembangan website dan pengembangan aplikasi mobile untuk lembaga keuangan; 42 dari 214 klien di portofolio WEBARQ berasal dari sektor perbankan dan keuangan. Teks lengkap regulasi ada di halaman POJK 12/2024 di situs OJK.