Сотрудник, который с наибольшей вероятностью обокрадёт ваш бизнес, — это тот, за кого вы поручитесь не задумываясь: преданный офис-менеджер, который никогда не берёт отпуск, бухгалтер, который десятилетие распоряжается вашими деньгами, начальник склада, знающий каждый угол кладовой. Это не цинизм. Это центральный вывод семидесяти лет исследований мошенничества и причина, по которой малый бизнес теряет медианные $141 000 на каждом случае служебного мошенничества, по данным Ассоциации сертифицированных экспертов по расследованию мошенничества (ACFE). Типичная схема действует двенадцать месяцев, прежде чем кто-либо её замечает.
Если вы владеете малым бизнесом или управляете им, эта статья для вас. Вы узнаете о треугольнике мошенничества — трёхкомпонентной модели, объясняющей, почему обычные, доверенные люди совершают мошенничество, — почему малый бизнес переносит такие потери тяжелее крупного, как обход внутреннего контроля руководством сводит на нет даже хорошие меры контроля, и какие именно привычки разделения обязанностей закрывают "возможность" в небольшой команде.
Три стороны: давление, возможность, самооправдание
В начале 1950-х годов криминолог Дональд Кресси опросил около 200 заключённых растратчиков — людей, которых он называл "нарушителями доверия", — и опубликовал свои выводы в книге Other People's Money (1953). Его заключение стало одной из самых влиятельных идей в предотвращении мошенничества: доверенные люди склонны совершать мошенничество, когда три условия совпадают одновременно. Уберите любое одно — и мошенничество не произойдёт.
Сторона 1: Давление — проблема, о которой человек, как ему кажется, не может рассказать
Кресси называл это неразделяемым финансовым давлением: денежная проблема, о которой человек, по его мнению, не может никому сказать. Классические примеры — личные долги, игровая зависимость, медицинский счёт, образ жизни, переросший зарплату, или семейные ожидания, о которых никто не знает. Деловое давление тоже считается — невыполнимый план продаж, ускользающий бонус или ковенант по кредиту, готовый нарушиться, могут подтолкнуть менеджера к фальсификации результатов.
Для владельца малого бизнеса важны две вещи в отношении давления. Во-первых, оно обычно невидимо до того, как всё случилось. Вы не видите выписки по кредитным картам вашего бухгалтера, и исследования ACFE последовательно показывают, что большинство служебных мошенников — правонарушители впервые, с безупречной трудовой биографией: люди под нагрузкой, а не профессиональные преступники. Во-вторых, давление растёт при спадах. Когда у ваших сотрудников туго с деньгами, первая сторона треугольника незаметно складывается по всему штату — и именно тогда риск мошенничества достигает пика.
Сторона 2: Возможность — уверенность, что это можно сделать незаметно
Возможность — это пробел в ваших мерах контроля, который позволяет кому-то украсть и верить, что его не поймают. В малом бизнесе она обычно выглядит как концентрация, а не изощрённость: один человек, который вскрывает почту, фиксирует поступления и сверяет банковский счёт, может присваивать наличные и корректировать книги, чтобы это скрыть, потому что больше никто никогда не смотрит. Один человек, который утверждает поставщиков, выставляет счета и подписывает чеки, может платить подставной компании, потому что каждый шаг транзакции проходит через одни и те же руки.
Возможность возникает и из обхода контроля, которому посвящён отдельный раздел ниже, и из простого пренебрежения: нет проверки сверки банковских счетов, общие учётные данные для входа, нет порога утверждения платежей, никто не пересчитывает запасы. Обратите внимание, чем эта сторона особенная: из трёх только ею управляете вы. Вы не можете исправить личные финансы сотрудников или контролировать их внутренние монологи, но вы владеете каждой мерой контроля в своём бизнесе. Предотвращение мошенничества по своей сути есть устранение возможностей.
Сторона 3: Самооправдание — история, которая делает это приемлемым
Самооправдание — это психологическая записка-разрешение, то, что Кресси называл "словарём оправдания". Вор не видит вора в зеркале. Он видит кого-то, кто одалживает деньги и полностью намерен их вернуть. Кого-то, кто берёт лишь то, что ему задолжали после лет неоплаченных переработок. Кого-то, кто сравнивает счёт с владельцем, который может себе это позволить. Кого-то, кто делает не хуже того, что все делают с представительским счётом.
Самооправдание процветает в определённых культурах, и здесь у владельцев больше влияния, чем они думают. Хронически задержанные зарплаты, демонстративно роскошные траты владельца рядом с замороженными зарплатами и культура раздутых расходов, на которую закрывают глаза, — всё это поставляет готовые оправдания. Бизнес, который платит честно и вовремя и относится к правилам расходов как ко всеобщим — включая самого владельца, — морит третью сторону голодом. Вы не можете устранить самооправдание, но можете отказаться писать для него сценарий.
Почему малый бизнес страдает сильнее всех
В докладе ACFE Occupational Fraud 2024: A Report to the Nations проанализирован 1 921 случай в 138 странах, представляющих $3,1 млрд общих потерь. Три вывода должны изменить то, как вы думаете о собственном риске.
Малые организации непропорционально часто страдают и недостаточно защищены. Организации с числом сотрудников менее 100 составили около 32% всех случаев при медианной потере $141 000 за случай — чуть ниже медианы $145 000 по организациям всех размеров и разрушительно в пересчёте на долю выручки небольшой компании. ACFE оценивает, что типичная организация ежегодно теряет около 5% выручки на мошенничестве. Для бизнеса с оборотом $2 млн это $100 000, ежегодно утекающие за дверь.
Самое распространённое мошенничество — самое простое. Присвоение активов — кража или нецелевое использование ресурсов компании, от снятия наличных и фиктивных требований о возмещении расходов до раздувания фонда оплаты труда и кражи запасов, — встречается примерно в 89% случаев. Коррупционные схемы, такие как откаты, встречаются примерно в 48%. Мошенничество с финансовой отчётностью редко (около 5% случаев), но катастрофично, с медианной потерей $766 000. Ваша модель угроз — не хитроумный бухгалтерский заговор, а повседневная кража, которую делают возможной ваши меры контроля.
Обнаружение приходит от людей, а не от аудита. На сигналы приходится 43% случаев служебного мошенничества — втрое больше, чем на следующий по эффективности метод, — и более половины этих сигналов исходят от сотрудников. Внутренний аудит выявляет около 14%. Внешний аудит выявляет ещё меньше; аудит финансовой отчётности предназначен для выявления существенных искажений, а не для охоты на бухгалтера, присваивающего $800 в месяц. Практический урок: безопасный способ для сотрудников сообщить о подозрениях — одна из мер контроля с наивысшей отдачей, которую может внедрить малый бизнес. Подробнее об этом ниже.
Проблема обхода: мера контроля, которая сводит на нет любой контроль
Вот неудобное продолжение треугольника. Разделение обязанностей работает против сотрудников — но кто-то должен разрабатывать, обеспечивать соблюдение и иногда отменять меры контроля, и этот кто-то может совершить мошенничество посредством обхода. Стандарты аудита относятся к этому настолько серьёзно, что исходят из этого: согласно AU-C 240, аудиторы обязаны рассматривать обход внутреннего контроля руководством как значительный риск мошенничества при каждом аудите и предполагают наличие риска мошенничества в признании выручки, пока не доказано обратное.
В малом бизнесе "обход контроля руководством" обычно имеет одно из трёх лиц. Владелец отменяет собственные правила — подписывает недокументированные платежи, поручает бухгалтеру странным образом провести операцию, — что учит всех, что меры контроля — это декорация. Доверенный старший сотрудник накапливает за годы доступ на уровне обхода (офис-менеджер, который может утверждать поставщиков, и выписывать чеки, и сверять счёт, "потому что она всегда это делала"). Или член семьи действует полностью вне системы: без учётной записи, без утверждения и без проверки.
Никакая мера контроля не выстоит против решительного обхода со стороны владельца бизнеса — это проблема корпоративного управления, а не бухгалтерии. Но второе и третье лица исправимы: доступ должен следовать за должностью, а не за выслугой, и никто, родственник или нет, не совершает операций вне системы. Если ваш самый давний сотрудник — единственный человек, чью работу никто не проверяет, вы построили систему контроля вокруг того самого человека, которого треугольник мошенничества предсказывает проверить.
Закрытие "возможности" в небольшой команде
Полное разделение обязанностей разносит каждую транзакцию по трём функциям — авторизация (кто её утверждает), регистрация (кто её проводит) и хранение (кто имеет доступ к деньгам или активу), — так что ни один человек не контролирует транзакцию от начала до конца. Компания из пяти человек не может обеспечить такое в чистом виде. Ответ — компенсирующие меры контроля: точечный надзор, заменяющий формальное разделение. В порядке отдачи на час времени владельца:
Проверяйте банковские и карточные выписки сами, каждый месяц. Это мера контроля с наивысшей ценностью в малом бизнесе. Владелец — а не бухгалтер — вскрывает выписки (или имеет доступ к банку только для чтения, который бухгалтер не может изменить) и просматривает каждого получателя платежа и каждую сумму. Большинство случаев присвоения активов в конечном счёте затрагивает банковский счёт, и вторая пара глаз владельца — именно то, на отсутствие чего рассчитывает вор.
Отделите настройку поставщиков от платежей. Схемы с фиктивными поставщиками требуют двух полномочий одновременно: добавить поставщика и заплатить ему. Держите утверждённый список поставщиков под контролем владельца, требуйте документацию (W-9, договор, счёт) до того, как кто-либо новый получит оплату, и периодически проверяйте реестр поставщиков на имена, которые вы не узнаёте, абонентские ящики и адреса, совпадающие с адресами сотрудников.
Требуйте двойной авторизации сверх порога. Ниже, скажем, $1 000, одного утверждения достаточно, чтобы бизнес двигался; выше — две подписи или два клика в платёжной системе. Пороги превращают "доверься мне" в "покажи мне" именно там, где суммы становятся серьёзными, а платёжные платформы делают двойное утверждение почти бесплатным в обслуживании.
Настаивайте на отпусках — и перекрёстном обучении. Сотрудник, который никогда не берёт выходной, — тревожный сигнал, признаваемый в любом руководстве по мошенничеству: многие схемы требуют ежедневного ухода (перекрытие поступлений, продвижение прикрытия), и они рушатся в ту неделю, когда на его место садится кто-то другой. Обязательный непрерывный отпуск плюс обученный дублёр — это и забота, и мера контроля.
Сверяйте банковские счета своевременно, и пусть кто-то другой проверяет сверку. Тот, кто имеет дело с наличными, не должен быть единственным, кто их сверяет. Даже десятиминутная проверка владельцем завершённой сверки — несоответствия, аннулированные чеки, проводки по кассе — закрывает самый злоупотребляемый пробел в книгах малого бизнеса.
Дайте сигналам канал. Поскольку сигналы выявляют 43% случаев, анонимный маршрут сообщения (сторонняя горячая линия или даже простая веб-форма, которая попадает напрямую к владельцу) — дешёвая страховка. Скажите сотрудникам, что он существует, повторяйте это ежегодно и действуйте заметно по тому, что поступает, — канал, которому никто не доверяет, не выявляет ничего.
Пересчитывайте вещи внезапно. Запасы, мелкую кассу и невнесённые поступления следует пересчитывать по непредсказуемому графику кем-то вне цепочки хранения. К предсказуемым пересчётам готовятся; внезапным верят.
Когда предотвращение не сработало: проведение убытка без искажений
Рано или поздно пересчёт покажет недостачу или проверка выявит платёж, которого не должно быть. Важно, как вы проведёте обнаруженное: убытки от мошенничества, погребённые в общем счёте прочих расходов, становятся невидимыми для анализа тенденций, страховых требований и любого будущего возмещения. Выделите убытку отдельный счёт, а любому последующему возмещению — отдельный счёт доходов, чтобы суммы оставались видимыми, а не зачитывались в шум.
Предположим, пересчёт на конец месяца показывает недостачу в кассе на $480 без документации, объясняющей её. Вы проводите недостачу на специально выделенный счёт убытков от мошенничества, а не молча её поглощаете:
2026-01-01 open Assets:Cash:Register USD
2026-01-01 open Assets:Cash:Operating USD
2026-01-01 open Expenses:FraudLoss:Cash-Shortage USD
2026-01-01 open Income:Restitution-Recovery USD
2026-03-15 * "Month-end count" "Register short 480.00, booked as fraud loss pending review"
Expenses:FraudLoss:Cash-Shortage 480.00 USD
Assets:Cash:Register -480.00 USD
2026-05-02 * "Restitution payment" "Court-ordered restitution, first 200.00 installment received"
Assets:Cash:Operating 200.00 USD
Income:Restitution-Recovery -200.00 USDДве детали намеренны. Во-первых, убыток и возмещение живут в отдельных, специально названных счетах, так что годовой обзор показывает и $480 риска, и $200 возмещённых — их зачёт в одну строку скрыл бы масштаб каждого. Во-вторых, описание излагает факты, не называя никого: журналы — это долговечные записи, которые передаются бухгалтерам, страховщикам и иногда судам, поэтому они должны содержать суммы и даты, но никогда — обвинения. Если недостача окажется ошибкой, а не кражей, переклассифицируйте проводку датированной корректировкой, а не удаляйте её — суть в аудиторском следе.
Тревожные сигналы, достойные внимания владельца
Поведенческие признаки предшествуют большинству случаев служебного мошенничества, и ACFE обнаруживает, что в подавляющем большинстве случаев по крайней мере один тревожный сигнал был виден заранее. Ни один отдельный сигнал ничего не доказывает — у каждого есть безобидное объяснение, — но скопление сигналов заслуживает тихого взгляда на книги, а не очной ставки:
- Жизнь не по средствам. Самый распространённый сигнал с большим отрывом: образ жизни заметно растёт, а зарплата — нет. Новые автомобили, дорогие отпуска и покупки за наличные на зарплату бухгалтера — классическая примета.
- Никогда не берёт отпуск, отказывается делиться обязанностями. Как сказано выше, схемы, требующие ежедневного ухода, не переживают замену. Территориальное поведение вокруг "моих" счетов или "моих" поставщиков — тот же сигнал в другом наряде.
- Необычно близкие отношения с поставщиком или клиентом. Сотрудник, который настаивает на личном ведении одного поставщика, сопротивляется ротации обязанностей или много общается с поставщиком, может защищать откат или конфликт интересов.
- Отсутствующая документация и уклончивые ответы. Счета, которые никак не материализуются, квитанции, которые всегда "скоро будут", сверки, которые вечно почти готовы, и раздражение на рутинные вопросы — всё это говорит о том, что записи не выдерживают проверки.
- Видимая личная нагрузка. Развод, зависимость, потеря работы супругом, очевидные финансовые трудности — сторона давления заявляет о себе. Сострадание — первая реакция; тихое усиление проверки транзакций этого сотрудника — вторая.
Одна оговорка проходит через всё перечисленное: расследуйте через записи, а не через обвинения. Поднимите банковские выписки, реестр поставщиков и сверку сами, задокументируйте то, что нашли, и привлеките своего бухгалтера-аудитора или юриста до того, как с кем-либо столкнётесь лицом к лицу. Ложное обвинение разрушает доверие, которое вы не восстановите, а правдивое, но плохо проведённое, разрушает доказательства, которые вы не воссоздадите.
Ваши следующие три шага
Треугольник мошенничества предсказывает, что давление и самооправдание навестят ваших сотрудников в их собственном графике — вы не можете остановить ни то, ни другое. Но возможность — ваша для устранения, и это требует меньше, чем вы думаете. На этой неделе: возьмите в личное ведение ежемесячную проверку банковских выписок, поднимите список поставщиков и вычеркните всех, кого не можете опознать, и расскажите команде — в письменном виде — как безопасно сообщить о подозрении. Три часа внимания владельца, направленные на ту единственную сторону треугольника, которой вы владеете, дают больше защиты, чем любая подписка на программное обеспечение. О связанном вопросе — кто несёт убыток, когда украденные учётные данные перемещают ваши деньги банковским переводом, а не вручную, — см. почему Regulation E не спасёт ваш бизнес от мошенничества с банковскими переводами.
