Рана на 141 000 долларов: как малый бизнес выявляет корпоративное мошенничество, прежде чем оно его погубит

Доверенный бухгалтер с девятилетним стажем присваивает 487 000 долларов в течение трех лет, прежде чем это кто-то замечает. Приходящий офис-менеджер проводит через счета к оплате фиктивные инвойсы от поставщиков на сумму 62 000 долларов. Кассир забирает из кассы по 40 долларов в день — почти 15 000 долларов в год — пока жалоба клиента не заставляет вскрыть это дело.

Это не заголовки из подкаста о настоящих преступлениях. Это репрезентативная выборка должностного мошенничества, задокументированная Ассоциацией сертифицированных специалистов по расследованию мошенничества (ACFE), чей выходящий раз в два года «Отчет нациям» (Report to the Nations) остается самым полным глобальным исследованием внутреннего мошенничества. Типичная жертва среди малого бизнеса — компания с числом сотрудников менее 100 человек — теряет около 141 000 долларов на каждой схеме мошенничества. В среднем схема работает около 12 месяцев до момента обнаружения. И во многих случаях преступником оказывается человек, которому владелец доверял больше всего.

Если вы управляете бизнесом, где работают пять, пятнадцать или пятьдесят человек, математика предельно проста: вы не можете позволить себе ни одну из таких схем, и у вас почти наверняка нет корпоративного аудиторского комитета, чтобы её поймать. Что вы можете сделать, так это внедрить недорогие и простые методы контроля, которые затруднят совершение мошенничества, облегчат его обнаружение и сделают невозможным его оправдание. В этом руководстве рассматривается структура, которую на самом деле используют судебные бухгалтеры (форензик-эксперты): треугольник мошенничества, меры контроля, дающие результат, и конкретные процедуры, которые владелец-небухгалтер может внедрить уже в этом квартале.

Что на самом деле означает «должностное мошенничество»

Должностное мошенничество — это использование своего служебного положения для личного обогащения путем неправомерного использования ресурсов или активов работодателя. ACFE классифицирует его на три группы, которые полезно запомнить, так как они напрямую соотносятся с различными мерами контроля:

Присвоение активов — кража или нецелевое использование активов. Сюда относятся хищение выручки, схемы с выставлением счетов, «мертвые души» в зарплатных ведомостях, завышение расходов и кража товарно-материальных ценностей. Это, безусловно, самая распространенная категория, встречающаяся примерно в 89% всех зарегистрированных случаев.
Коррупция — использование влияния в личных целях, например, откаты, конфликт интересов и манипуляции при проведении тендеров. Примерно половина всех случаев включает элементы коррупции.
Мошенничество с финансовой отчетностью — преднамеренное искажение дохдов, расходов или активов, чтобы компания выглядела лучше (или, иногда, хуже). Самая редкая категория, но и самая дорогая в случае реализации — средние убытки исчисляются миллионами.

Малый бизнес сильно склонен к присвоению активов, особенно к схемам с выставлением счетов, подделке чеков, махинациям с возмещением расходов и хищению неучтенной выручки. Это те схемы, которые остаются незамеченными, потому что в Главной книге они выглядят как обычные транзакции.

Треугольник мошенничества: почему честные люди становятся ворами

В начале 1950-х годов социолог Дональд Кресси опросил почти 200 заключенных за растрату. Он обнаружил, что типичный должностной мошенник не был закоренелым преступником — это был обычный сотрудник, который со временем скатился к воровству. На основе его работы возникла стандартная ныне модель риска мошенничества: треугольник мошенничества, состоящий из давления, возможности и рационализации.

Давление (или стимул)

Что-то подталкивает сотрудника перейти от «мыслей об этом» к «действию». Общие факторы давления включают:

Личные финансовые трудности: медицинские счета, развод, непосильная ипотека, долги от азартных игр.
Давление образа жизни: жизнь не по средствам, зависимость, тайная вторая семья.
Рабочее давление: нереалистичные планы продаж, страх увольнения, бонус, привязанный к показателям, которых сотрудник не может достичь честным путем.

Обычно вы не можете устранить давление, но вы можете обращать внимание на поведенческие «тревожные звонки». Данные ACFE показывают, что сотрудники, живущие явно не по средствам, отказывающиеся от отпуска или проявляющие необычный контроль над отношениями с конкретным поставщиком, коррелируют с существенно более высокими потерями от мошенничества. Сотрудник, который отказывается идти в отпуск, иногда просто прилежен; но не менее часто он боится позволить коллеге подменить его на рабочем месте в течение недели.

Возможность

Это та сторона треугольника, которую владельцы действительно могут контролировать. Возможность существует, когда сотрудник:

Имеет доступ к активам (наличные, чеки, право подписи, логины в банк).
Может также записывать или скрывать транзакции, связанные с этими активами.
Верит, что вероятность обнаружения низка.

Уберите любую из этих трех составляющих, и возможность исчезнет. В этом и заключается вся цель внутреннего контроля.

Рационализация (оправдание)

Последняя грань — это история, которую мошенник рассказывает самому себе. «Компания мне должна — мне не повышали зарплату три года». «Я просто одолжу; я верну всё в следующем месяце». «Все приписывают расходы». Сильный этический тон «сверху» — видимое участие владельца, четкие правила, быстрые последствия даже за мелкие нарушения — затрудняет рационализацию.

Новые модели («алмаз мошенничества» добавляет способности; «пятиугольник мошенничества» добавляет высокомерие и компетентность) уточняют идею Кресси, но не меняют операционный вывод: вы не можете предотвратить мошенничество, просто нанимая хороших людей. Вы предотвращаете его, структурируя работу так, чтобы у хороших людей никогда не возникало искушения, а те, кто не столь хорош, быстро попадались.

Почему малый бизнес страдает больше всего

Три структурных недостатка ставят небольшие организации под удар:

Концентрация обязанностей. В компании из пяти человек один сотрудник часто отвечает за выставление счетов, внесение депозитов, платежи и ведение учета. Это все три стороны «треугольника мошенничества», сошедшиеся на одном стуле.
Культура, основанная на доверии. Владельцы нанимают тех, кого знают. Бухгалтер — друг семьи, офис-менеджер — старый верный сотрудник. Доверие плохо масштабируется: оно работает для двух человек, но не для ежемесячных выплат в двести тысяч долларов.
Ограниченные расходы на борьбу с мошенничеством. Согласно данным ACFE, малые организации внедряют меньше механизмов контроля, чем крупные. У них реже есть письменный кодекс поведения, «горячая линия» для сообщений о махинациях, программа внезапных проверок или проактивный мониторинг данных.

Результат: малые организации несут убытки от мошенничества, почти равные среднемировым показателям в денежном выражении, но эти потери составляют гораздо большую долю выручки и часто становятся фатальными. Ущерб в 141 000 долларов для компании из 50 человек с маржой в 6% эквивалентен испарению более чем 2 миллионов долларов валовой выручки.

Контрольные меры, которые действительно работают

На основе анализа тысяч случаев выделяются три меры контроля, которые сокращают как убытки от мошенничества, так и время, необходимое для обнаружения схемы — часто на 50% и более. Это самые эффективные инвестиции, которые может сделать малый бизнес.

1. Внезапные проверки кассы и внеплановые аудиты

Внезапный аудит — это классическая «проверка без предупреждения». Для малого бизнеса не требуется привлечение дипломированного аудитора (CPA) — достаточно, чтобы владелец (или доверенное второе лицо) случайным образом и без предупреждения проверял соответствие бухгалтерских записей реальности.

Что проверять внезапно:

Наличные средства в кассах, сейфах и кассе для мелких расходов.
Инвентарные запасы в случайном проходе, на складе или по конкретным позициям (SKU).
Выборку недавних журнальных записей: возьмите пять платежей наугад и проследите путь каждого от счета-фактуры до банковской выписки.
Все чеки, проведенные за недавнюю неделю — сопоставьте получателей с реестром поставщиков, проверьте отсутствие пропусков в нумерации.

Цель не в том, чтобы ловить каждую копейку при каждом визите. Цель — заставить потенциального злоумышленника чувствовать, что проверка может произойти в любой момент. Мошенники процветают в условиях предсказуемости; внезапные аудиты разрушают её. Данные ACFE показывают, что организации с программами внезапных проверок несут примерно вдвое меньше медианных убытков и обнаруживают схемы почти в два раза быстрее.

2. Обзор ключевых отчетов руководством

Большая часть мошенничеств в малом бизнесе происходит там, куда владелец никогда не заглядывает: основной реестр поставщиков, журнал списания дебиторской задолженности, отчет об изменениях в расчете заработной платы. Ежемесячный 30-минутный обзор нескольких отчетов в строго отведенное время создает мощный сдерживающий эффект.

Сделайте регулярным ежемесячный обзор следующих данных:

Добавление и изменение поставщиков. Любой новый поставщик, добавленный за последние 30 дней. Любое изменение банковского счета, адреса или названия существующего поставщика. И то, и другое — классические признаки схем с фиктивными счетами.
Выплаты сверх установленного лимита. Все платежи выше, скажем, 1 000 долларов — сопоставьте каждый со счетом-фактурой и договором.
Банковская сверка. Открывайте банковскую выписку самостоятельно; не принимайте заранее распечатанный отчет о сверке. Посмотрите на изображения погашенных чеков и исходящие переводы.
Изменения в начислении зарплаты. Новые сотрудники, увольнения, изменения ставок, изменения счетов для прямых выплат. «Мертвые души» — это те же фиктивные счета, только в зарплатной ведомости.
Кредит-ноты и списания задолженности клиентов. Сокрытие выручки (скимминг) часто прячется за «безнадежной» дебиторской задолженностью, которая тихо списывается.

3. Проактивный мониторинг данных

Современное бухгалтерское ПО делает это практически бесплатным. Настройте уведомления и отчеты об исключениях, такие как:

Дубликаты номеров счетов от одного и того же поставщика.
Адреса поставщиков, совпадающие с адресами сотрудников (явный признак схем с подставными фирмами).
Проводки с круглыми суммами (реальные транзакции редко составляют ровно 5 000,00 долларов).
Аннулированные транзакции, сгруппированные по выходным дням или в нерабочее время.
Платежи поставщикам без истории операций или внезапные скачки объема заказов.

Если вы относитесь к своей Главной книге как к набору данных, а не просто как к сырью для налоговой декларации, аномалии всплывают быстро.

Разделение обязанностей в офисе из трех человек

Правило из учебника: разделяйте авторизацию, учет и хранение активов. Один и тот же человек не должен одобрять платеж, выписывать чек или инициировать перевод и одновременно проводить сверку банковского счета.

В небольшом офисе это кажется невозможным, но цель не в идеальном разделении, а в исключении самых опасных комбинаций. Три сочетания уникально опасны и должны быть разделены даже в самой маленькой компании:

Прием наличных + регистрация поступлений. Человек, который открывает почту или работает с кассой, не должен быть единственным, кто сверяет депозит с бухгалтерскими книгами.
Создание поставщиков + утверждение их счетов. Бухгалтер, который может добавить «ООО Ромашка» и утвердить ежемесячный счет на 3 500 долларов, фактически создал себе личный банкомат.
Выписка чеков / инициирование платежей + сверка банковской выписки. Тот, кто переводит деньги вовне, не может быть единственным, кто проверяет, куда они в итоге попали.

Если у вас действительно только один финансовый сотрудник, компенсирующим контролем становится участие владельца. Владелец, а не бухгалтер, должен:

Открывать банковскую выписку раньше всех (используйте отдельный логин только для чтения или бумажную выписку, приходящую на домашний адрес владельца).
Подписывать каждый чек выше определенного порога вручную после проверки подтверждающего счета.
Получать прямые копии всех уведомлений от банка, по кредитным картам и от зарплатного сервиса.
Лично регистрировать новых поставщиков выше определенного порога.

Это занимает 15 минут в неделю и разрушает самые опасные мошеннические комбинации.

Конфиденциальный канал сообщений

Сообщения от осведомителей — это, безусловно, самый распространенный способ выявления внутрикорпоративного мошенничества, на который приходится около 43% всех обнаруженных схем. Внутренний аудит (около 14%) и проверки руководством (13%) занимают второе и третье места со значительным отрывом. Сообщения настолько важны, что наличие канала конфиденциальной отчетности — даже простого адреса электронной почты, который проверяет лично владелец — примерно вдвое увеличивает шансы на то, что схема будет обнаружена благодаря наводке, а не случайно.

Для малого бизнеса «горячая линия» не обязательно должна быть телефонной системой, управляемой сторонним поставщиком. Это может быть:

Выделенный адрес электронной почты (например, [email protected]), который читает только владелец.
Объявление в комнате отдыха с мобильным номером владельца для анонимных текстовых сообщений.
Ежегодная личная встреча, на которой владелец прямо предлагает сотрудникам сообщать о чем угодно, что «кажется подозрительным».

Независимо от канала, важны два правила: сообщение должно доходить до владельца, минуя руки подозреваемого в мошенничестве, и на отчеты должна быть видимая реакция — иначе каналом больше никто не воспользуется.

Поведенческие «звоночки», на которые стоит обратить внимание

Данные ACFE последовательно показывают, что злоумышленники проявляют поведенческие индикаторы задолго до того, как схема будет раскрыта. Вот четыре признака, наиболее сильно коррелирующих с крупными убытками:

Жизнь не по средствам. Новая машина, второй дом, дорогое хобби при зарплате в 4000 долларов.
Финансовые трудности. Удержания из заработной платы, жалобы на нехватку денег, просьбы об авансах.
Необычный контроль над поставщиком или клиентом. Один и тот же сотрудник всегда ведет определенный счет, отказывается от помощи, принимает звонки на личный телефон.
Отказ от отпуска. Мошеннические схемы требуют постоянного присмотра. Двухнедельное отсутствие — самый частый способ краха длительных махинаций: записи не корректируются, выписки открываются кем-то другим, а фиктивные поставщики вызывают вопросы.

Ни один из этих признаков не является прямым доказательством. Но каждый из них оправдывает негласное усиление ежемесячного контроля в области ответственности этого сотрудника.

90-дневный антифрод-план для бизнеса из 20 человек

Если вы дочитали до этого места, вам не нужен 200-страничный фреймворк COSO. Вам нужен короткий список действий, которые можно выполнить в этом квартале.

Дни 1–30: Прозрачность.

Получайте выписки по банковским счетам, кредитным картам и ведомостям начисления зарплаты лично — а не только через бухгалтера.
Выгрузите основной справочник поставщиков; проверьте каждого контрагента, добавленного за последние 12 месяцев. Отметьте тех, у кого нет веб-сайта, физического адреса или договора.
Выгрузите список адресов всех сотрудников; сверьте его со справочником поставщиков.
Напишите одностраничный кодекс поведения, подпишите его, раздайте каждому сотруднику и повесьте в комнате отдыха.

Дни 31–60: Меры контроля.

Установите обязательный двухнедельный непрерывный отпуск для всех, кто несет ответственность за бухгалтерию или работу с наличностью.
Создайте канал конфиденциальных сообщений и объявите о нем.
Определите три-четыре отчета для проверки руководством, которые вы будете просматривать каждый месяц, и выделите в календаре регулярный 30-минутный блок в первый понедельник каждого месяца.
Выявите самое опасное сочетание полномочий (отсутствие разделения обязанностей) в вашем офисе и разделите его — даже если это получится неидеально.

Дни 61–90: Внезапность.

Проведите одну внеплановую проверку. Выберите кассу или поставщика наугад; убедитесь, что реальность соответствует бухгалтерским записям.
Выполните одну превентивную проверку данных (повторяющиеся номера счетов-фактур, записи в журнале на круглые суммы, совпадение адресов в зарплатной ведомости и базе поставщиков).
Запланируйте следующую внезапную проверку на случайную дату в следующие 90 дней — и никому об этом не говорите.

Вы не поймаете всех мошенников с помощью этого плана. Но вы поймаете тех, кто действует примитивно, — и отпугнете большинство остальных.

Создайте бухгалтерию, которая говорит правду

Большинство внутрикорпоративных махинаций скрыты потому, что книги непрозрачны для владельца. Имена поставщиков выглядят правдоподобно, записи в журналах — обыденно, а сверенный банковский остаток сходится с той же цифрой, которую никто не подвергал сомнению в прошлом месяце. Текстовый бухгалтерский учет с контролем версий переворачивает эту асимметрию: каждая запись человекочитаема, каждое изменение фиксируется во времени в истории git, которую вы можете проверить, а отчеты об отклонениях становятся коротким запросом в одну строку, а не специальным расследованием.

Beancount.io дает вам такую прозрачность по умолчанию — учет в текстовом формате, полный контроль версий, готовность к ИИ и отсутствие привязки к конкретному поставщику. Сам по себе это не инструмент предотвращения мошенничества, но это честная основа, на которой внезапные аудиты, проверки руководством и мониторинг данных действительно работают. Начните бесплатно и выведите свою бухгалтерию на свет, где мошенничеству негде будет спрятаться.