Лимиты утверждения платежей для финансовой команды из двух человек: практическая матрица выплат

Ваш бухгалтер создает поставщика, вносит счет, утверждает платеж и сверяет банковский счет. Все сходится. И именно в этом проблема: когда один человек контролирует выплату от начала до конца, ваши книги будут сходиться ровно до того дня, когда вы обнаружите, что они не должны были сходиться.

Вот неудобная статистика. Организации теряют примерно 5% выручки из-за корпоративного мошенничества каждый год, медианный ущерб составляет около $145 000, и мошенничество длится около 12 месяцев, прежде чем его замечают. Малые организации страдают сильнее почти всех: компании с числом сотрудников менее 100 теряют в среднем около $141 000 из-за мошенничества — второй по величине показатель среди всех групп по размеру, — именно потому, что у них меньше контролей. Фиктивные поставщики и подделка чеков или манипуляции с платежами доминируют в малых компаниях, а следователи называют отсутствие внутренних контролей основной слабостью примерно в трети всех случаев.

Вы не можете решить эту проблему наймом людей при команде из двух человек. Но вам это и не нужно. Вам нужна письменная матрица утверждения платежей: таблица на одной странице, которая показывает, кто может создавать, утверждать, проводить и сверять каждый тип выплат, при каком лимите и что происходит, когда платеж превышает этот лимит. Это руководство дает вам эту матрицу, лимиты, которые нужно в нее внести, и компенсирующие контроли, покрывающие то, что два человека не могут разделить.

Почему команды из двух человек — это форма с самым высоким риском​

Классический внутренний контроль предполагает финансовый отдел: один человек заказывает, другой принимает, третий утверждает, четвертый платит, пятый сверяет. Команда из двух человек — например, владелец и бухгалтер, или бухгалтер и офис-менеджер — не может этого сделать. Один человек всегда будет выполнять несколько ролей, и некоторые комбинации ролей опасны:

• Создание поставщиков + утверждение счетов позволяет кому-то выдумать поставщика и платить ему.
• Утверждение платежей + проведение платежей позволяет кому-то авторизовать и исполнять собственные выплаты.
• Проведение платежей + сверка банковского счета позволяет кому-то платить, а затем скрывать платеж.

Это не гипотетический сценарий отказа. Классическое мошенничество в малом бизнесе — это доверенный ветеран — часто единственный человек, который «знает книги», — годами проводящий платежи похожему на настоящего поставщику или завышающий компенсации расходов. Схема живет, потому что никто другой никогда не видит весь цикл. Разделение обязанностей — это не концепция «все или ничего»: вы разделяете то, что можете, а затем закрываете пробелы надзорными контролями. Матрица ниже — это то, как вы решаете, что есть что.

Четыре роли: Создание, Утверждение, Проведение, Сверка​

Каждая выплата проходит через четыре роли. Назовите их явно, потому что фраза «бухгалтер ведет кредиторскую задолженность» скрывает тот факт, что один человек делает все четыре:

• Создание. Ввод счета или компенсации расходов, создание поставщика, внесение счета в учетную систему. Это ввод данных с последствиями: все, что здесь создано, становится обязательством, которое вы будете оплачивать.
• Утверждение. Сказать «да» — подтвердить, что товары или услуги получены, цена и количество совпадают, расход является законным и в рамках бюджета, а документация полная. Утверждение — это решение, а не формальность.
• Проведение. Фактическое перемещение денег: подписание чека, нажатие «оплатить» в системе платежей, отправка пакета ACH-переводов, отправка банковского перевода. Проведение — это хранение актива.
• Сверка. Независимая проверка постфактум: сопоставление банковской выписки с книгами, сверка реестра кредиторской задолженности с контрольным счетом, анализ того, кому были произведены платежи, и выявление любых отклонений.

Правило несовместимости простое: ни один человек не должен держать все четыре роли для одного и того же платежа, и две пары, которые никогда не должны сочетаться, — это «утверждение + проведение» и «проведение + сверка». Если ваш бухгалтер проводит платежи, кто-то другой сверяет банковский счет. Если ваш офис-менеджер утверждает счета, кто-то другой нажимает «оплатить». Все остальное в этом руководстве — это применение этого правила.

Матрица: Кто что делает, при каком лимите​

Создайте это как таблицу — в электронной таблице или на странице в вашем руководстве по процедурам — с одной строкой на каждый тип операций. Роли, а не имена: пишите «Бухгалтер» и «Владелец», чтобы политика пережила смену сотрудников. Вот стартовая модель для типичной команды из двух человек:

Вы заметите одно осознанное пересечение: бухгалтер и утверждает, и проводит небольшие регулярные счета. Это исключение, которое подтверждает правило, и оно существует только потому, что его окружают триггер отклонений и ежемесячная проверка владельцем — уберите любой из них, и исключение придется отменить. Относитесь к суммам как к примерам для калибровки, а не как к универсальным рекомендациям. Лимит в $1 000 для регулярных операций подходит бизнесу с ежемесячными расходами около $40 000; отмасштабируйте свои лимиты так, чтобы владелец проверял примерно верхние 10–20% платежей по стоимости. Структурные моменты — вот что нужно сохранить: незапланированные расходы и исключения из политики имеют лимит $0 (они всегда эскалируются), изменения в мастер-файле поставщиков всегда требуют участия владельца, и тот, кто сверяет, никогда не проводит платежи.

Две детали определяют, будут ли лимиты работать. Во-первых, определяйте лимит относительно общей суммы обязательства, а не первого платежа: контракт на $400 в месяц на 24 месяца — это решение на $9 600, и оно должно эскалироваться как одно целое. Во-вторых, записывайте эскалацию как пару — кому она адресована плюс точный триггер («владельцу, при сумме свыше $1 000 или вне бюджета»), — чтобы никому не приходилось решать, требуется ли принятие решения.

Контроль, который все пропускают: мастер-файл поставщиков​

Большинство малых предприятий защищают подписание чеков, но оставляют список поставщиков открытым. Это неправильно. Фиктивный поставщик — это несущая стена мошенничества с фальшивыми счетами: как только в системе появляется фальшивый поставщик с управляемыми злоумышленником платежными реквизитами, каждый последующий счет выглядит легитимным.

Защитите мастер-файл поставщиков четырьмя правилами:

1. Только владелец (или человек, не занимающийся кредиторской задолженностью) утверждает новых поставщиков и изменения. Тот, кто вносит счета, не должен иметь возможности добавлять получателей платежей или редактировать банковские данные без контроля.
2. Проверяйте независимо перед первым платежом. Позвоните поставщику по номеру, указанному в открытых источниках, — не по номеру из счета или письма с запросом изменений, — чтобы подтвердить адреса для отправки платежей и номера счетов. Этот один звонок защищает и от фиктивных поставщиков, и от перенаправления платежей при взломе корпоративной почты.
3. Требуйте форму W-9 перед созданием поставщика услуг в США. Это вносит в файл реальное имя, адрес и налоговый идентификационный номер, что является и шагом к соблюдению требований, и фильтром мошенничества: фальшивые поставщики не проходят проверку документов.
4. Проводите ежеквартальную проверку и очистку. Деактивируйте поставщиков без активности за 12 месяцев, объединяйте дубликаты и проверяйте на наличие похожих названий («Acme Corp» против «Acme Corp.» против «Acme Consulting»). Неактивные и дублирующиеся записи — это места, где прячутся счета-призраки.

Встречная проверка по трем документам, версия для малой команды​

Корпоративный отдел расчетов с поставщиками сверяет каждый счет по трем документам — заказ на закупку, документ о получении, счет — перед оплатой. Вы можете использовать облегченную версию без отдела закупок:

• Для товаров: счет должен совпадать с упаковочным листом, фото доставки или электронным письмом о получении, подтверждающим, что прибыло, а также с утверждением, что цена и количество верны.
• Для услуг: счет должен совпадать с результатом работ, этапным подтверждением или сводкой по времени, а также с утверждением от того, кто принял работу.
• Для регулярных счетов: пропустите сверку, но соблюдайте правило отклонений — все, что изменилось более чем на ~10% по сравнению с прошлым месяцем, эскалируется для проверки перед оплатой.

Ставьте штамп или флажок «оплачено» в системе в момент проведения платежа, и никогда не платите по копии или пересланной переписке, если оригинал счета отсутствует. Дублирующиеся платежи — самая распространенная ненамеренная ошибка в малых отделах кредиторской задолженности, и правило «платить только по оригиналу с пометкой об оплате» предотвращает большинство из них.

Сверка: ваш детективный запасной контроль​

Превентивные контроли (утверждения, лимиты) останавливают плохие платежи. Детективные контроли выявляют те, что проскочили, — и в команде из двух человек детекция несет дополнительную нагрузку, потому что превенция никогда не может быть абсолютной. Назначьте сверку тому, кто не проводит платежи, и сделайте ее по-настоящему независимой:

• Банковская сверка тем, кто не проводит платежи, с проверкой владельцем. Если бухгалтер оплачивает счета, владелец (или внешний бухгалтер) сверяет банковский счет и действительно читает выписку — получателей, суммы, индоссаменты, — а не просто сходится по остатку.
• Доступ только для чтения к банку для проверяющего. Большинство банков предлагают логины только для просмотра и доступ к выпискам только для чтения. Проверяющий должен видеть все и не иметь возможности что-либо менять.
• Positive pay, если ваш банк это предлагает. Вы передаете список выпущенных чеков или ACH-платежей; банк отклоняет все, чего нет в списке. Это самый эффективный контроль подделки чеков для малого бизнеса, и многие банки включают базовый positive pay бесплатно при открытии бизнес-счета.
• Ежемесячная проверка владельцем с реальными полномочиями. Пятнадцать минут каждый месяц: старение кредиторской задолженности, журнал новых поставщиков, выданные возвраты и любые платежи сверх стандартного лимита. Ставьте подпись и дату. Проверка, которую никто не документирует, — это проверка, которая перестает проводиться.

Компенсирующие контроли для того, что вы не можете разделить​

Некоторые пересечения неизбежны при работе вдвоем. Для каждого из них назначается конкретный компенсирующий контроль:

• Обязательное перекрестное обучение и покрытие отпусков. Каждая критическая функция должна выполняться другим человеком — и раз в год она должна действительно выполняться, пока основной сотрудник полностью недоступен как минимум неделю. Схемы, требующие ежедневного сокрытия, быстро всплывают, когда скрывающий — на пляже. Если фраза «только Пэт может вести расчет зарплаты» — реальность в вашей компании, то это и есть ваш реестр рисков.
• Внезапные выборочные проверки. Ежеквартально владелец вытаскивает пять случайных оплаченных счетов и прослеживает каждый от исходного счета через утверждение до списания с банка. Непредсказуемость и есть контроль: плановую проверку можно обойти; случайную — нельзя подготовить.
• Двойная авторизация для переводов и новых получателей. Настройте банк так, чтобы переводы выше порога — или любому новому получателю — требовали двух разных логинов для проведения. Это контроль на стороне банка, поэтому он действует, даже когда ваш внутренний процесс дает сбой.
• Роли, контролируемые системой, а не на честном слове. Если ваше бухгалтерское ПО поддерживает рабочие процессы утверждения и уровни прав доступа, включите их: бухгалтер вносит данные, а владелец утверждает в системе, с журналом аудита, который никто не может редактировать. Матрица на бумаге плюс права администратора у всех — это декорация.
• Внешний взгляд раз в год. CPA или привлеченный контролер, который ежегодно проверяет книги, чередует месяцы, которые изучает, и отчитывается перед владельцем, — а не перед бухгалтером, — это самое дешевое разделение обязанностей, которое можно купить за деньги.

Пять ошибок, которые разрушают всю матрицу​

1. Формальные утверждения. Владелец, который утверждает каждый счет в пятничной пачке, не читая их, имеет подпись, а не контроль. Если реальная проверка невозможна из-за объема, поднимите стандартный лимит и проверяйте меньше платежей, но тщательно, вместо того чтобы проверять много поверхностно.
2. Лимиты, которые существуют только на бумаге. Если бухгалтер может превысить лимит в учетной системе и в банке без препятствий, лимит — это рекомендация. Обеспечьте его соблюдение в правах доступа, ролях в системе оплаты счетов и лимитах банковских переводов.
3. Один человек владеет и банковским токеном, и книгами. Тот, кто может двигать деньги в банке, не должен быть единственным, кто регистрирует эти движения. Всегда разделяйте токен и учетный регистр.
4. Утверждение собственных расходов. Основатели — самые злостные нарушители: расходы владельца, компенсации владельцу и выплаты владельцу без второй проверки. Проверка совладельцем, партнером-супругом или CPA держит верхнюю часть матрицы честной.
5. Игнорирование небольших регулярных платежей. Мошенничество тестируется на малых суммах, а «ползучесть подписок» незаметно выедает реальные деньги. Ежеквартальная проверка поставщиков и правило отклонения в 10% существуют для платежей в $49, а не в $49 000.

Ваш чек-лист внедрения на 30 дней​

• Неделя 1: Составьте список всех типов платежей и черновик матрицы, отражающей текущую реальность в каждой ячейке. Пробелы, которые вы найдете, — это план проекта.
• Неделя 2: Установите многоуровневые лимиты, правило $0 для незапланированного и пары эскалации. Настройте права в программном обеспечении и двойной контроль в банке в соответствии с этим.
• Неделя 3: Очистите мастер-файл поставщиков (деактивируйте неактивных, объедините дубликаты), соберите недостающие формы W-9 и проверьте банковские реквизиты ваших десяти крупнейших получателей по телефону.
• Неделя 4: Проведите первую ежемесячную проверку владельцем, запланируйте ежеквартальные выборочные проверки на год и сохраните подписанную матрицу в месте, где оба сотрудника смогут ее найти.

Начните соблюдать правила с первого дня второго месяца. Контроль с датой «начнем скоро» — это контроль, который никогда не начинается.

Держите каждый доллар на учете​

Матрица утверждения платежей работает только в том случае, если записи под ней полные и заслуживающие доверия — каждое утверждение связано с реальным счетом, каждое проведение платежа — с банковским движением, каждая сверка прослеживается месяцы спустя. Это означает дисциплинированный бухгалтерский учет: своевременный ввод данных, чистое старение кредиторской задолженности и журнал аудита, которому можно следовать. Если вы хотите вести финансовые записи в формате, который прозрачен, контролируется версиями и легко проверяется построчно, Beancount.io предлагает текстовую бухгалтерию, которая помещает каждую операцию в читаемый файл, принадлежащий вам. Начните бесплатно и дайте вашей команде из двух человек чистую книгу, которую заслуживают ее новые контроли. Для визуальной ежемесячной проверки используйте панель Fava, чтобы просмотреть расходы по счетам перед подписанием.