Si haguéssiu d'endevinar quin mètode de pagament ataquen més els delinqüents el 2026, triaríeu un tros de paper que existeix des del segle XVII, o una transferència electrònica digital en temps real? La resposta, segons l'última Enquesta de Frau i Control de Pagaments de l'Association for Financial Professionals (AFP), és el xec en paper. El cinquanta-vuit per cent de les organitzacions van denunciar frau amb xecs el 2025, més que els dèbits ACH (30%) i les transferències electròniques (25%) combinats, que ni tan sols s'hi acosten.
En general, el 76% de les organitzacions dels EUA van patir intents o fraus de pagaments efectius l'any passat. No es tracta d'un problema marginal que afecti un grapat d'empreses desafortunades; és l'entorn operatiu per defecte per a qualsevol persona que mogui diners. I les empreses menys preparades per absorbir el cop són precisament les que tenen més probabilitats de sortir perjudicades: les petites i mitjanes empreses sense departament de tresoreria, analista de frau o gestor de relacions bancàries a mà.
Si dirigiu una petita empresa i encara emeteu o accepteu xecs (i la majoria ho fan), val la pena dedicar-hi 10 minuts d'atenció.
Per què els xecs, precisament, continuen sent l'objectiu principal de frau
Sembla gairebé al revés. Les transferències electròniques mouen diners de manera instantània i irreversible, cosa que hauria de convertir-les en l'objectiu més atractiu. Però els xecs tenen una debilitat estructural que les vies de pagament més modernes no tenen: porten impresa tota la informació que necessita un estafador (el vostre número de ruta bancari, número de compte, signatura i nom de l'empresa) en text pla sobre un tòfol de paper que viatja per correu, es deixa en un calaix obert o es fotografia amb un telèfon mòbil.
El "rentat de xecs" (eliminar químicament la tinta d'un xec robat i reescriure el beneficiari i l'import) s'ha tornat tan habitual que el Servei d'Inspecció Postal dels EUA fa campanyes de conscienciació pública dedicades. Afegiu-hi la falsificació directa (imprimir xecs falsos amb el vostre número de compte i ruta d'un document interceptat) i els xecs alterats (augmentar un xec de 500 dòlars a 5.000), i teniu un vector de frau que és barat d'executar i difícil de rastrejar fins a un únic punt de fallada.
Aquí teniu la part que hauria de fer reflexionar a tot propietari d'una petita empresa: tot i saber tot això, el 72% de les organitzacions que utilitzen xecs van dir a l'AFP que tenen previst continuar utilitzant-los de totes maneres, i el 68% va citar els requisits dels proveïdors com a motiu. En altres paraules, les empreses no trien els xecs perquè creguin que són segurs; estan obligades a utilitzar xecs perquè un proveïdor, propietari o contractista insisteix a cobrar d'aquesta manera.
La bretxa de vulnerabilitat de la petita empresa
L'enquesta de l'AFP destaca una divisió que importa molt si no dirigiu un departament financer d'una empresa del Fortune 500. Les taxes de pèrdua difereixen significativament segons la mida de l'empresa: el 48% de les empreses amb ingressos anuals inferiors a 1.000 milions de dòlars van declarar pèrdues financeres reals per frau, en comparació amb el 66% de les organitzacions més grans.
A primera vista, això sembla una bona notícia per a les petites empreses (menys pèrdues de diners). Però llegiu-ho d'una altra manera: les organitzacions més grans tenen capes de controls (autorització dual, equips de frau dedicats, pòlisses d'assegurança dissenyades exactament per a aquest escenari) que capturen els intents de frau abans que els diners surtin de l'edifici, o que recuperen els fons posteriorment mitjançant relacions bancàries i recursos legals que una empresa de cinc persones simplement no té. Quan el frau arriba a una petita empresa, normalment no hi ha xarxa de seguretat. La pèrdua no l'absorbeix un programa d'assegurança corporatiu, sinó que surt directament del flux de caixa del propietari.
Aquest és el titular real enterrat en aquesta enquesta: les petites empreses no són atacades menys perquè siguin menys vulnerables. Sovint són atacades menys perquè són objectius més petits amb xecs més petits per robar. Però quan un atac té èxit, una petita empresa té molt menys marge per absorbir-lo.
El compromís de correu electrònic empresarial també augmenta ràpidament
Els xecs no són l'única història. El compromís de correu electrònic empresarial (BEC), on un estafador es fa passar per un proveïdor, executiu o client per correu electrònic i sol·licita una transferència electrònica o un canvi de dades bancàries de pagament, va afectar el 74% de les organitzacions enquestades el 2025, un salt abrupte respecte a anys anteriors.
La versió clàssica: algú que envia un correu electrònic des del que sembla la vostra adreça de director financer ("un favor ràpid, necessito que transfereixis 8.000 dòlars a aquest nou compte de proveïdor avui, estic en reunions"). La versió més sofisticada que apareix ara: un estafador que ha compromès o suplantat realment el fil de correu electrònic d'un proveïdor real i envia una factura amb dades bancàries "actualitzades" que dirigeixen el vostre pagament legítim directament al seu compte. Si el vostre procés de comptabilitat tracta cada factura rebuda per correu electrònic com a fiable sense cap pas de verificació, esteu exposats a això independentment de la mida de l'empresa.
L'enquesta de l'AFP també va assenyalar una cosa més nova per primera vegada aquest any: àudio i vídeo deepfake generats per IA utilitzats per suplantar executius en trucades telefòniques o de vídeo, sol·licitant transferències electròniques urgents. Encara és una amenaça emergent més que no pas generalitzada, però és la direcció cap a la qual es dirigeix el frau, i això significa que "he sentit la veu del director general, per tant, ha de ser real" ja no és una suposició segura.
La bretxa d'adopció de la IA: una oportunitat, no només un avís
Només el 17% de les organitzacions enquestades utilitzen actualment eines d'IA per a la mitigació del frau, tot i que les que ho fan n'informen de beneficis significatius: el 49% va veure una millora de l'eficiència en la denúncia de frau, el 45% va informar d'una millor detecció de deepfakes i el 43% va veure una identificació més ràpida del frau en temps real.
Per a una petita empresa, "utilitzar IA per a la detecció de frau" no ha de significar construir res a mida. La majoria de plataformes bancàries empresarials modernes i eines de tresoreria inclouen ara detecció d'anomalies bàsica (marcar un pagament inusualment gran, que va a un nou beneficiari o amb un moment estrany en comparació amb els vostres patrons normals) a la seva oferta estàndard. La bretxa que descriu l'enquesta de l'AFP no és realment una bretxa d'IA; és una bretxa d'adopció. Les eines existeixen i sovint ja estan incloses al vostre compte empresarial del banc. La majoria d'empreses simplement no les han activat.
Una llista de verificació pràctica per a la prevenció de frau per a petites empreses
No necessiteu un departament de tresoreria per reduir significativament el vostre risc de frau. Aquí teniu el que realment marca la diferència, aproximadament per ordre de cost-benefici:
1. Activeu Positive Pay
Positive Pay és un servei que la majoria de bancs empresarials ofereixen (de vegades per una petita quota mensual, de vegades gratuït amb un compte empresarial) que compara cada xec presentat per al cobrament amb una llista de xecs que heu emès realment. Si el número de xec, l'import o el beneficiari no coincideixen amb el que heu dit al banc que heu escrit, es marca abans de cobrar-se, no després. Tenint en compte que els xecs són el mètode de pagament més objectiu, aquest és el control de major palanquejament d'aquesta llista, i sovint està inactiu al vostre portal bancari en línia ara mateix.
2. Afegiu blocs o filtres de dèbit ACH
Si no autoritzeu dèbits ACH automàtics de proveïdors, els podeu bloquejar completament a nivell bancari, o establir filtres que només permetin dèbits d'una llista preaprovada d'empreses i imports. Això tanca el segon mètode de pagament amb més objectiu amb un sol canvi de configuració.
3. Exigiu una trucada de verificació per a qualsevol canvi de dades bancàries
Això és gratuït i es pot implementar en cinc minuts: si un proveïdor, contractista o "executiu" envia un correu electrònic demanant que envieu el pagament a un compte bancari nou, verifiqueu-ho per telèfon amb un número que ja tingueu registrat, no un que es proporcioni al correu electrònic, abans d'enviar res. Aquest únic hàbit derrota la majoria d'atacs BEC, perquè tot l'esquema de l'estafador depèn que us refieu del correu electrònic a primera vista.
4. Separeu qui aprova els pagaments de qui els envia
Fins i tot en una empresa de dues o tres persones, tenir una persona que introdueix un pagament i una altra diferent que l'aprovi abans que surti crea un control natural (mai millor dit) contra el frau extern i els errors interns. Si sou un autònom real, el substitut és un retard obligatori de 24 hores per a qualsevol pagament nou o inusualment gran, cosa que us dona una finestra de reflexió per tornar-lo a comprovar.
5. Feu la conciliació setmanalment, no mensualment
El frau detectat en qüestió de dies sovint es pot recuperar; el frau detectat després d'un mes, normalment no. Si la vostra comptabilitat funciona amb una cadència mensual, esteu donant a un xec fraudulent o a un dèbit ACH fins a quatre setmanes per cobrar-se, gastar-se i tornar-se irrecuperable abans que noteu que ha passat. Aquí és on els llibres nets i actualitzats deixen de ser un "bo de tenir" i es converteixen en el vostre sistema real de detecció de frau: no podeu detectar una transacció no autoritzada en una conciliació que encara no heu fet.
Per què els vostres hàbits de comptabilitat són la vostra primera línia de defensa
Tots els controls d'aquesta llista (positive pay, filtres ACH, verificació per trucada, aprovació dual) depenen d'un hàbit subjacent: saber exactament què hauria d'haver als vostres comptes en qualsevol moment, perquè qualsevol cosa inesperada destaqui immediatament. Una empresa que fa la conciliació diàriament o setmanalment amb un llibre major clar i detallat detectarà un xec fraudulent de 4.000 dòlars en pocs dies. Una empresa que fa la conciliació una vegada al mes amb un full de càlcul que ningú ha obert en tres setmanes potser no ho detectarà fins que els diners hagin desaparegut.
Aquest és un dels arguments més subtils per mantenir els vostres llibres en un format que pugueu auditar línia per línia, en lloc d'una aplicació de caixa negra que resumeixi la vostra posició de tresoreria sense mostrar el rastre de transaccions subjacent. Beancount.io us ofereix comptabilitat en text pla i amb control de versions: cada transacció és una entrada llegible amb data i hora que vosaltres (o el vostre comptable) podeu revisar, comparar i conciliar amb el vostre extracte bancari sense haver de buscar a través d'una interfície propietària. Quan alguna cosa no quadra, podeu veure exactament què va canviar i quan. Començau gratuïtament i vegeu com és de fàcil que el frau destaqui quan els vostres llibres estan construïts per ser llegits.