[비즈한국] Toss Bank menerima peringatan kelembagaan dan sanksi denda sebesar 200 juta won dalam pemeriksaan rutin pertamanya oleh Layanan Pengawasan Keuangan (FSS). Hal ini terjadi setelah ditemukannya sejumlah pelanggaran, termasuk kegagalan melaporkan kecelakaan keuangan elektronik, buruknya pengelolaan informasi transaksi keuangan, serta kurangnya kontrol dalam proses pekerjaan sistem komputer. Selain itu, terdapat 57 poin catatan manajemen dan rekomendasi perbaikan. Di tengah sorotan kembali terhadap sistem kontrol internal Toss Bank setelah insiden penggelapan besar-besaran tahun lalu, muncul kritik bahwa bank internet yang berkembang pesat ini perlu memperkuat pencegahan kecelakaan dan manajemen risiko.
FSS baru-baru ini mengumumkan hasil pemeriksaan rutin pertama Toss Bank. Menurut dokumen pengungkapan sanksi FSS, terdapat lebih dari 8 poin pelanggaran yang ditemukan di Toss Bank selama periode pemeriksaan dari Oktober 2021 hingga akhir 2024. FSS menjatuhkan tindakan peringatan kelembagaan dan denda sebesar 245,2 juta won kepada Toss Bank, serta memberikan sanksi berupa teguran atau pemotongan gaji kepada 11 karyawan yang terlibat dalam tindakan pelanggaran tersebut.
Regulasi yang dilanggar oleh Toss Bank meliputi Undang-Undang tentang Transaksi Keuangan Nama Asli dan Kerahasiaan, Undang-Undang Khusus tentang Pencegahan Penipuan Telekomunikasi dan Pengembalian Dana, Undang-Undang Perbankan, Undang-Undang Transaksi Keuangan Elektronik, serta Undang-Undang tentang Penggunaan dan Perlindungan Informasi Kredit.
Secara rinci, terdapat kasus pelanggaran Undang-Undang Transaksi Keuangan Elektronik di mana bank tidak melaporkan insiden keuangan seperti kesalahan perhitungan bunga dan kesalahan tampilan saldo akun yang terjadi selama pengembangan dan penerapan program terkait suku bunga pinjaman dan simpanan. Sebanyak 8 insiden keuangan elektronik terjadi dari Oktober 2021 hingga Desember 2024, namun Toss Bank tidak memberitahukan penyebab kesalahan dan hasil penanganan kepada pelanggan untuk 7 kasus, sementara 1 kasus lainnya diberitahukan dengan terlambat.
Terdapat juga insiden kesalahan transfer karena staf melanggar aturan pengawasan saat mengerjakan sistem pemrosesan informasi. Pada 27 Mei 2024, Toss Bank menyerahkan pekerjaan penambahan perangkat penyimpanan pada sistem inti (sistem utama yang memproses transaksi keuangan) kepada pihak luar, namun manajer penanggung jawab Toss Bank tidak memeriksa isi pekerjaan tersebut, sehingga menyebabkan insiden kesalahan transfer. Akibatnya, sebanyak 8.857 transfer (senilai sekitar 2,4 miliar won) tidak dapat diproses antara pukul 23.12 pada 27 Mei 2024 hingga 00.21 pada 28 Mei 2024.
Bank diwajibkan untuk mengunggah dan memberitahukan kepada pelanggan mengenai perubahan ketentuan transaksi keuangan elektronik sehari sebelum tanggal efektif, namun Toss Bank melanggar aturan ini. Antara April 2022 hingga Oktober 2023, Toss Bank mengubah ketentuan transaksi keuangan elektronik sebanyak empat kali tanpa pemberitahuan, dan dalam satu kesempatan, unggahan di situs web dilakukan dengan terlambat.
Terdapat pula pelanggaran terkait pemberitahuan penyediaan informasi. Berdasarkan Undang-Undang Transaksi Keuangan Nama Asli, bank harus memberitahukan secara tertulis kepada nasabah mengenai isi, tujuan penggunaan, penerima, dan tanggal penyediaan informasi transaksi keuangan nasabah jika informasi tersebut diberikan kepada pengadilan atau badan pajak. Namun, hingga akhir September 2024, Toss Bank tercatat menunda pemberitahuan untuk 1.289 kasus. Selain itu, catatan mengenai penyediaan informasi tidak dicatat atau diisi dengan salah dalam buku manajemen untuk lebih dari 50.000 riwayat informasi transaksi hingga Februari 2023.
Tampaknya masih ada pelanggaran lain di luar yang disebutkan dalam draf sanksi ini. FSS mencatat dalam dokumen sanksi bahwa 'beberapa masalah yang sedang diproses secara terpisah akan diumumkan di kemudian hari'. Seorang pejabat FSS menyatakan, "Kami telah menginformasikan kepada pihak bank mengenai kasus-kasus yang dapat diproses terlebih dahulu, dan masih ada beberapa masalah yang memerlukan waktu lebih lama untuk dituntaskan."
Sejumlah besar poin juga dicatat dalam kategori 'Catatan Manajemen dan Perbaikan', yang merupakan tindakan non-disipliner. Catatan manajemen dan perbaikan adalah langkah pembinaan administratif yang berbeda dari sanksi, yang diberikan untuk memberi peringatan atau mendorong perbaikan mandiri jika terdapat kerentanan manajemen, meskipun belum mencapai tingkat pelanggaran hukum. Dalam pemeriksaan rutin ini, FSS menyampaikan 22 catatan manajemen dan 35 poin perbaikan kepada Toss Bank. Mengingat periode tersebut mencakup masa awal operasional Toss Bank, artinya hampir ada 60 hal yang memerlukan perbaikan.
Toss Bank menanggapi hasil pemeriksaan rutin pertama dengan menyatakan bahwa sebagian besar masalah telah ditangani. Toss Bank menyatakan, "Kami menghormati keputusan Komisi Jasa Keuangan dan menerimanya dengan rendah hati. Sebagian besar poin yang disoroti adalah masalah prosedur dan sistem komputer dari masa awal operasional, dan sebagian besar telah diperbaiki selama proses pemeriksaan. Kami akan terus memperkuat sistem kontrol internal dan perlindungan konsumen di masa depan."
Sementara itu, dengan munculnya peringatan kelembagaan dan sejumlah catatan manajemen serta poin perbaikan dalam pemeriksaan Toss Bank, muncul kritik bahwa penguatan kontrol internal juga diperlukan di bank internet yang selama ini dianggap relatif aman. Secara khusus, Toss Bank memiliki rekam jejak insiden penggelapan besar-besaran pertama di industri ini pada Mei 2025. Saat itu, seorang pimpinan tim keuangan mentransfer sekitar 2,786 miliar won dari akun perusahaan Toss Bank ke akun pribadi. Meskipun tidak ada nasabah yang dirugikan, fakta bahwa seseorang dapat mentransfer dana perusahaan dalam jumlah besar memicu kritik bahwa sistem mereka memiliki masalah.
Hasil pemeriksaan bank internet lainnya juga dinantikan. Kakao Bank adalah yang pertama menjalani pemeriksaan rutin oleh otoritas keuangan di antara bank internet pada tahun 2021, di mana mereka menerima sanksi peringatan kelembagaan, denda, dan penalti karena melanggar larangan pemberian kredit kepada pemegang saham utama, seperti memberikan pinjaman ratusan juta won kepada karyawan afiliasi. Pemeriksaan rutin kedua Kakao Bank dilakukan tahun lalu dan hasilnya belum keluar. FSS dikabarkan berfokus pada perbaikan pelanggaran sebelumnya, sistem kontrol internal, dan risiko IT. K-Bank termasuk dalam target pemeriksaan rutin sektor keuangan tahun ini, namun pemeriksaan tertunda karena meningkatnya pemeriksaan mendadak terkait isu-isu terkini dari otoritas.
FSS juga mengadakan pertemuan dengan para Chief Information Officer (CIO) dari tiga bank internet, Kakao Pay, dan Toss Securities pada bulan April lalu untuk menekankan pentingnya kontrol internal terkait IT dan langkah perlindungan konsumen. Lee Jong-oh, Asisten Gubernur FSS untuk Sektor Digital dan IT, menekankan, "Kalian harus membangun tingkat stabilitas IT dan sistem pencegahan kecelakaan yang sepadan dengan skala pertumbuhan. Kecelakaan sistem komputer sering kali terjadi akibat lemahnya kontrol dasar, jadi mohon berupaya untuk mencegah insiden serupa melalui kegiatan kontrol mandiri seperti audit di sektor IT."