Как согласовывать платежи, если голос директора можно подделать?

Финансовое мошенничество всё чаще строится не вокруг взлома банковской системы, а вокруг человека, который имеет право отправить деньги.

Если бухгалтер уверен, что разговаривает с директором, преступнику уже не обязательно получать пароль от интернет-банка.

Поэтому внутренний контроль платежей нужно строить с допущением: голос, изображение и аккаунт отправителя могут оказаться поддельными.

Ответ за тридцать секунд:

Поручение руководителя через звонок, голосовое сообщение или мессенджер не должно самостоятельно подтверждать значимый или необычный платёж.

Для таких операций полезны разделение полномочий, второй согласующий, независимая проверка новых реквизитов и заранее установленный канал связи с руководителем.

Чем выше сумма или необычнее операция, тем сильнее контроль.

При выборе банковского обслуживания для компании можно также сравнить варианты РКО на FINLEO.

Почему привычная проверка «я узнал голос» больше не работает?

Технологии позволяют имитировать внешность и голос человека достаточно убедительно, чтобы использовать их в социальной инженерии.

При этом мошеннический сценарий обычно усиливается психологически.

Сотруднику говорят, что операция конфиденциальная, очень срочная или связана с важным контрактом.

В итоге человек начинает проверять не реквизиты и процесс, а то, действительно ли голос похож на голос руководителя.

Это слабая точка.

Внутренний регламент должен работать независимо от того, насколько убедительно выглядит сообщение.

Как разделить полномочия?

Базовый принцип — сотрудник, создающий значимый платёж, не подтверждает его единолично.

Например:

бухгалтер формирует операцию → уполномоченный руководитель проверяет и подтверждает.

Для более крупных сумм компания может предусмотреть дополнительный уровень согласования.

Главное здесь не количество подписей.

Задача — сделать так, чтобы компрометации одного человека было недостаточно для отправки денег.

Какие операции считать повышенно рискованными?

Полезно заранее определить признаки, после которых включается усиленная проверка.

Например:

• новый получатель;
• изменение банковских реквизитов;
• необычно крупная сумма;
• срочный внеплановый платёж;
• операция вне обычного рабочего времени;
• просьба сохранить перевод в тайне;
• нетипичное назначение платежа.

Сотруднику тогда не приходится самостоятельно решать, «достаточно ли подозрительно» выглядит ситуация.

Критерии уже установлены.

Как подтверждать новые реквизиты?

Через независимый канал связи.

Если новые данные пришли по электронной почте, проверить их можно звонком по ранее известному номеру контрагента.

Если распоряжение поступило через мессенджер — связаться с руководителем другим способом.

Ключевой принцип: не использовать для проверки те же контактные данные, которые появились вместе с подозрительным поручением.

Иначе мошенник фактически проверит сам себя.

Зачем устанавливать лимиты?

Не каждый платёж требует одинаковой процедуры.

Регулярные небольшие операции можно проводить по обычному маршруту.

При превышении установленной суммы добавляется второй согласующий.

Для необычной крупной операции можно предусмотреть отдельное подтверждение.

Так контроль остаётся пропорциональным риску и не тормозит ежедневную работу бухгалтерии.

Что должно быть в коротком регламенте?

Даже небольшой компании полезно письменно определить:

• кто создаёт платежи;
• кто их подтверждает;
• какие действуют лимиты;
• как проверяются изменённые реквизиты;
• когда требуется повторный звонок;
• кто согласует платежи при отсутствии директора;
• что делать с неожиданным срочным распоряжением.

Особенно полезно закрепить одно правило:

срочность не отменяет процедуру согласования.

Именно давление временем часто заставляет людей пропускать обычные проверки.

Почему нельзя рассчитывать только на банк?

Банки анализируют операции на признаки мошенничества, а перечень таких критериев регулярно обновляется.

Но кредитная организация не знает внутренних отношений компании.

Она не всегда может определить, является ли новый получатель нормальным поставщиком или появился после поддельного сообщения директора.

Поэтому банковский антифрод и корпоративный контроль дополняют друг друга.

При выборе РКО на FINLEO имеет смысл учитывать не только тариф, но и то, насколько банковские инструменты подходят под внутренний порядок работы с платежами.

Что проверить компании?

Короткий чек-лист:

• платежи не подтверждаются только голосом или сообщением;
• значимые операции проходят через двух сотрудников;
• новые реквизиты проверяются отдельно;
• есть лимиты по суммам;
• сотрудники знают резервный канал связи с руководителем;
• существует порядок работы во время отпуска директора;
• срочный платёж не позволяет обойти контроль.

Эти правила должны быть известны не только директору и бухгалтеру.

Иначе новый сотрудник узнает о них в самый неподходящий момент.

Что в итоге?

Современный порядок согласования должен исходить из того, что голос директора можно подделать.

Поэтому надёжность создаёт не секретная фраза и не способность бухгалтера распознать интонацию, а процесс: разделение полномочий, лимиты, второй канал связи и отдельная проверка новых реквизитов.

Подобрать банковское обслуживание под расчёты компании можно через РКО на FINLEO.