Oddelenie povinností, keď máte len troch zamestnancov: Praktická príručka vnútorných kontrol pre malé podniky

Dôveryhodný účtovník s 16-ročnou praxou. Pečiatka s podpisom nechaná v zásuvke jej stola. Sto päťdesiatštyri šekov vypísaných na seba počas desaťročia. Kým to majiteľ zistil, zmizlo viac ako 200 000 USD – a s tým aj akákoľvek reálna šanca na ich získanie späť.

Tento príbeh nie je výnimkou. Asociácia certifikovaných vyšetrovateľov podvodov vo svojej správe „Report to the Nations" za rok 2024 zistila, že organizácie s menej ako 100 zamestnancami utrpia mediánovú stratu 141 000 USD na jeden prípad podvodu – čo je najviac spomedzi všetkých kategórií veľkosti firiem. Typická schéma trvá 12 mesiacov, kým si ju niekto všimne, pričom každý mesiac uniká približne 9 900 USD. A najčastejší dôvod, prečo malé podniky zasahujú podvody tvrdšie ako veľké? Nedostatok vnútorných kontrol – najčastejšie preto, že všetku finančnú prácu robí jedna osoba, lebo „sme príliš malí na to, aby sme to rozdelili."

Nie ste príliš malí. Len potrebujete iný plán, než by nakreslil kontrolór z Fortune 500. Toto je ten plán.

Čo oddelenie povinností naozaj znamená​

Ak odstránime auditorský žargón, oddelenie povinností (SoD) je jediná, pevná myšlienka: žiadna osoba by nemala byť schopná spáchať finančné pochybenie a potom ho utajiť. To je celý zmysel. Všetky ostatné pravidlá, kontroly a postupy vyplývajú z tohto princípu.

Auditori rozdeľujú finančnú prácu každého podniku na štyri funkcie. Aby bolo páchanie podvodov a závažných chýb náročné, tieto štyri funkcie by mali byť medzi rôzne osoby rozdelené vždy, keď je to možné:

Účtovník, ktorý transakciu zaúčtoval, by ju nemal zároveň odsúhlasovať. Osoba, ktorá drží šekovú knižku, by nemala zároveň schvaľovať faktúry. Majiteľ, ktorý podpisuje šeky, by nemal odsúhlasovať bankový účet vo vákuu. Každá funkcia má mať iné oči.

Vo firme s 50 zamestnancami je oddelenie týchto štyroch funkcií jednoduché. V trojčlennej firme to vyzerá nemožne – a práve tu väčšina majiteľov vzdáva a odovzdá všetko „dôveryhodnému účtovníkovi." A presne takto začína takmer každá prípadová štúdia sprenevery.

Prečo „verím im" nie je kontrola​

Takmer každý nahlásený prípad sprenevery účtovníka má rovnaký úvod: majiteľ páchateľovi úplne dôveroval. Ohijský dodávateľ dôveroval Deborah Hall 16 rokov. Stavebná firma dôverovala svojej účtovníčke pri 18 podvodných šekoch v celkovej výške viac ako 44 000 USD. Kancelárska manažérka vykurovacej a chladiacej firmy Angela Cooper dostala dôveru v podobe pečiatky s podpisom majiteľa; použila ju na sfalšovanie viac ako 100 šekov a zinkasovala 158 658 USD.

Dôvera nie je kontrola. Dôvera vytvára príležitosť – podmienky, v ktorých môže podvod nastať a zostať neodhalený. Kontroly túto príležitosť odstraňujú. Zmyslom budovania vnútorných kontrol vo vašom malom podniku nie je obviňovať zamestnancov; je to zabezpečiť, aby aj úplne čestný účtovník mal štrukturálnu sieť, ktorá zachytí čestné chyby, a aby každý zlý úmyselník musel na získanie čo i len centu naverbovať spolupáchateľa.

Inak povedané: ak je vašou jedinou ochranou pred šesťcifernou stratou váš odhad charakteru človeka, nemáte ochranu. Máte nádej.

Realita troch zamestnancov​

Poďme na konkrétnosti. Predpokladajme, že vaša firma má:

• Vás (majiteľa)
• Účtovníka (na plný alebo čiastočný úväzok, interne alebo na diaľku)
• Operačného alebo kancelárskeho manažéra (jedného univerzálneho zamestnanca)

Nemôžete si dovoliť kontrolóra. Nemôžete si dovoliť samostatného referenta pre záväzky, samostatného referenta pre pohľadávky a samostatného pokladníka. Tu je to, čo môžete urobiť – a stačí to na výrazné zníženie rizika podvodu.

Krok 1: Načrtnite si svoje transakčné toky​

Vytiahnite si papier a zapíšte si životný cyklus každého hlavného toku peňazí:

1. Príjmy v hotovosti – Ako prichádzajú peniaze? Kto otvára poštu / spracúva platby / účtuje vklady / odsúhlasuje?
2. Výdavky – Ako peniaze odchádzajú? Kto schvaľuje faktúry / podpisuje šeky alebo iniciuje ACH / eviduje platbu / odsúhlasuje?
3. Mzdy – Kto pridáva a odstraňuje zamestnancov / schvaľuje hodiny / spracúva výplaty / odsúhlasuje s hlavnou knihou?
4. Zásoby alebo iné aktíva – Kto má fyzický prístup / eviduje pohyby / počíta a odsúhlasuje?

Ku každému kroku napíšte meno osoby, ktorá ho robí. Ak sa rovnaké meno objaví v riadku pri autorizácii, správe majetku, evidencii aj odsúhlasení, máte varovný signál porušenia SoD.

Krok 2: Urobte všetky rozumné rozdelenia, ktoré sa dajú​

Aj s tromi ľuďmi zvyčajne dokážete uskutočniť tie najdôležitejšie rozdelenia:

• Majiteľ podpisuje všetky šeky nad nízkym limitom (napr. 500 USD). Účtovník šeky pripraví, ale nikdy ich nepodpisuje a nikdy nemá podpisové právo. Účtovníkovi by sa nikdy nemalo dovoliť podpisovať šeky. Nikdy.
• Majiteľ – nie účtovník – schvaľuje nových dodávateľov predtým, ako im možno vyplatiť akúkoľvek platbu. Podvod s fiktívnymi dodávateľmi je najľahšia schéma na svete a táto jediná kontrola ju eliminuje.
• Kancelársky manažér otvára poštu a každý došlý šek označí pečiatkou „Len na vklad" predtým, ako ho odovzdá ďalej. Účtovník eviduje príjmy, ale nikdy nemá fyzickú kontrolu nad šekmi skôr, než sú obmedzene indosované.
• Účtovník eviduje transakcie; majiteľ odsúhlasuje bankový účet (o tom, ako to robiť správne, viac o chvíľu).
• Majiteľ schvaľuje mzdy každý cyklus – meno po mene, platbu po platbe – predtým, než sa odošlú. Schémy s fiktívnymi zamestnancami zastaví majiteľ, ktorý sa pozrie na mzdový register a pozná každú tvár.

Toto nie je dokonalé oddelenie. Ale stačí to na to, aby väčšina podvodných schém vyžadovala spoluprácu – a v momente, keď sa musia sprisahať dvaja ľudia, vaše riziko dramaticky klesá.

Krok 3: Použite kompenzačné kontroly všade inde​

Kompenzačná kontrola je to, čo auditori nazývajú akýkoľvek kontrolný krok, ktorý pridáte, keď úplné oddelenie nie je reálne. Nie sú také silné ako skutočné oddelenie, ale v kombinácii sú prekvapivo účinné. Tieto sú pre malý podnik najdôležitejšie:

• Kontrola bankového výpisu majiteľom pred vykonaním odsúhlasenia. Toto je jediná kontrola s najväčším pákovým efektom na celom tomto zozname. Nechajte banku posielať výpis (alebo PDF e-mailom) priamo majiteľovi každý mesiac. Majiteľ ho otvorí, prezrie neznámych príjemcov, nezvyčajné prevody alebo sumy, ktoré nezodpovedajú vzoru, a potom ho odovzdá na odsúhlasenie. Parafa a dátum na výpise = hotovo.
• Mesačné odsúhlasenie bankového účtu skontrolované a podpísané majiteľom. Aj keď ho vykoná účtovník, majiteľ skontroluje hotové odsúhlasenie a podpíše spodnú časť. Pozrite sa na nevyplatené šeky: nie je niečo staré? Pozrite sa na vklady na ceste: prejde ich naozaj aj nasledujúci mesiac?
• Povinné ročné dovolenky v trvaní najmenej jedného súvislého týždňa pre každého, kto sa dotýka účtovníctva, pričom počas nich ich prácu prevezme niekto iný. Drvivá väčšina dlhodobých sprenevier sa odhalí vo chvíli, keď knihy otvorí druhá osoba. Mnohé účtovnícke podvody boli odhalené práve preto, že páchateľ bol nútený si zobrať voľno.
• Náhle namátkové kontroly. Pravidelne si vytiahnite náhodný týždeň výdavkov a každý z nich spätne preverte na faktúru, schválenie a zaúčtovanie. Nemusíte to robiť často – aj štvrťročne stačí – ale samotná možnosť, že sa to môže stať, je odrádzajúca.
• Kanál pre oznámenia / tipy. Znie to korporátne, ale nemusí byť. Písomne oznámte zamestnancom, že môžu nahlásiť obavy priamo vám (alebo vášmu účtovníkovi/audítorovi) bez odvety. Takto sa odhalí 43 % všetkých podvodov na pracovisku – viac ako trojnásobok oproti akejkoľvek inej metóde odhalenia. Vaši zamestnanci vidia veci, ktoré vy nevidíte.

Krok 4: Zabezpečte systém, nielen ľudí​

Aj s obmedzeným personálom vám váš účtovný softvér, bankový portál a mzdový systém poskytnú obrovský pákový efekt, ak ich dobre nakonfigurujete:

• Samostatné prihlásenia pre každú osobu. Žiadne zdieľané poverenia. Nikdy. Ak sa niečo pokazí, musíte vedieť, ktorý používateľ to urobil.
• Oprávnenia na základe rolí v účtovnom systéme. Váš účtovník nepotrebuje oprávnenie mazať transakcie, stornovať šeky po ich preplatení, meniť bankové údaje dodávateľov alebo upravovať účtovnú osnovu. Väčšina moderných systémov vám umožní každú z týchto možností vypnúť.
• Zapnuté a kontrolované audítorské denníky. Ak váš softvér vedie denník zmien, naučte sa ho čítať. Pravidelne sa pozrite na vymazania, úpravy v uzavretých obdobiach a zmeny v kmeňových údajoch dodávateľov.
• Dvojité autorizácie na úrovni banky pre ACH a prevody nad určitým limitom. Väčšina firemných bankových portálov to podporuje. Použite to. Účtovník iniciuje; majiteľ uvoľňuje.
• Positive pay (alebo ako to vaša banka nazýva) na bežnom účte. Nahráte zoznam vydaných šekov; banka odmietne preplatiť čokoľvek, čo na zozname nie je. Toto takmer úplne eliminuje podvody s pozmenenými šekmi a pri firemnom účte je často zadarmo.

Krok 5: Prizvite externistu na čiastočný úväzok​

Ak nedokážete úplne rozdeliť povinnosti interne, požičajte si oddelenie z vonku. Možnosti, ktoré sú zvyčajne dostupné aj pre malé podniky:

• Účtovnícka firma na čiastočný úväzok, ktorá robí prácu, zatiaľ čo vy robíte schvaľovanie a kontrolu odsúhlasení.
• Externý CFO alebo účtovník na čiastočný úväzok, ktorý kontroluje mesačné finančné výkazy, testuje vzorky transakcií a potichu slúži ako druhé oči.
• Ročný review (o stupeň ľahší ako audit) vykonaný audítorom, ktorý často odhalí slabé miesta kontrol dávno predtým, než sa premenia na straty.

Outsourcing jednej zo štyroch funkcií je často lacnejší ako prijatie ďalšieho zamestnanca a poskytuje oveľa silnejšiu kontrolu než čokoľvek, čo by ste mohli vybudovať interne s tromi ľuďmi.

Praktický príklad: Sprísnenie hotovostných výdavkov​

Prejdime si celý proces – platenie faktúr – aby sme to ukázali konkrétne v trojčlennej firme.

Pred sprísnením:

Účtovník dostáva faktúry, zadáva ich do účtovného systému, tlačí šeky, podpisuje ich pečiatkou s podpisom majiteľa, posiela ich poštou a na konci mesiaca odsúhlasuje bankový účet.

To sú všetky štyri funkcie v jedných rukách, plus správa pečiatky s podpisom. Toto je učebnicové nastavenie podvodu.

Po sprísnení:

1. Kancelársky manažér (alebo účtovník) dostáva faktúry a zadáva ich ako záväzky do systému, ale nemôže ich uhradiť.
2. Majiteľ si týždenne otvorí neuhradené faktúry, skontroluje každú oproti podporným dokumentom a označí tie, ktoré schvaľuje na úhradu.
3. Účtovník vygeneruje dávku platieb len pre schválené faktúry (šeky a/alebo ACH).
4. Majiteľ fyzicky podpíše každý šek. Pečiatka s podpisom sa zničí.
5. ACH platby vyžadujú, aby sa majiteľ prihlásil do bankového portálu a uvoľnil súbor, ktorý účtovník pripravil.
6. Bankový výpis sa posiela poštou (alebo e-mailom) priamo majiteľovi, ktorý ho otvorí, skontroluje, parafuje a potom ho odovzdá účtovníkovi na odsúhlasenie.
7. Hotové odsúhlasenie sa vráti majiteľovi, ktorý skontroluje a podpíše sprievodný list.

Prešli ste od jednej osoby kontrolujúcej každý krok k procesu, kde by krádež dolára vyžadovala buď (a) sfalšovanie podpisu majiteľa na šeku (toto zachytí positive pay), alebo (b) aktívne schválenie podvodnej faktúry majiteľom (toto zachytí kontrola podporných dokumentov), alebo (c) naverbovanie spolupáchateľa. Riziko podvodu nejde na nulu – nič nejde – ale prejde z „triviálne jednoduché" na „skutočne náročné a pravdepodobne odhalené."

Ako dobré účtovníctvo umožňuje všetko toto​

Každá kontrola vyššie závisí od jedného tichého predpokladu: vaše účtovníctvo musí byť dostatočne čisté na to, aby anomálie vynikli. Ak je vaša hlavná kniha chaos nesprávne zaúčtovaných transakcií, zlepených kategórií a nezaradených položiek „Spýtať sa účtovníka", potom majiteľ, ktorý kontroluje bankový výpis, nemá žiadnu základňu na porovnanie. Podivné platby sa stratia v šume.

Solidné, dobre organizované účtovníctvo je to, čo premení tieto kontroly z divadla na ochranu. Odsúhlasenia zachytia podvod len vtedy, keď naozaj sedia do centu. Kontroly dodávateľov fungujú len vtedy, keď sú dodávatelia zadávaní konzistentne. Rozpoznávanie vzorov funguje len vtedy, keď v dátach existuje skutočný vzor.

Účtovníctvo v čistom texte so správou verzií je tu obzvlášť silné, pretože každá zmena je zaznamenaná v histórii súborov. Vidíte presne, čo sa zmenilo, kedy a kto – vstavaný audítorský záznam bez nutnosti kupovať podnikový GRC systém. To je štrukturálna výhoda pre malé podniky, ktoré si naozaj nemôžu dovoliť kontrolóra ani audítorské oddelenie.

Štvrťročný kontrolný zoznam vnútorných kontrol​

Vytlačte si ho. Prilepte ho dovnútra šanónu. Prejdite si ho každé tri mesiace.

• Prejdite si jednu celú transakciu v každom hlavnom cykle (príjmy, výdavky, mzdy) a overte, že prebehla podľa vášho zdokumentovaného postupu.
• Vytiahnite si odsúhlasenie bankového účtu z posledného mesiaca a potvrďte, že bankový výpis sedí s konečným zostatkom hlavnej knihy bez nevysvetlených odsúhlasovacích položiek starších ako 60 dní.
• Skontrolujte zoznam dodávateľov. Preverte všetkých dodávateľov pridaných za posledný štvrťrok, ktorých nepoznáte. Porovnajte adresy dodávateľov s adresami zamestnancov.
• Skontrolujte mzdový register za jeden cyklus. Poznajte každé meno. Preverte každého nového zamestnanca alebo zmenu sadzby.
• Skontrolujte audítorský denník účtovného systému na vymazané alebo stornované transakcie. Preverte všetky v uzavretých obdobiach.
• Potvrďte, že každý, kto sa dotýka účtovníctva, si za posledný štvrťrok vyčerpal aspoň požadovanú dovolenku.
• Potvrďte, že podpisové práva na bankových účtoch stále zodpovedajú vašim zámerom.
• Vytiahnite si výpisy z kreditných kariet a overte, že každý poplatok má zdokumentovaný obchodný účel a doklad.

Dvadsať až tridsať minút, štyrikrát do roka. Účtovníčka v Plant Nutrition Services viedla svoju schému, až kým majiteľ nezomrel. Nenechávajte načasovanie odhalenia na náhodu.

Kedy uvoľniť – a kedy ešte sprísniť​

Vnútorné kontroly nie sú o paranoji; sú o prispôsobení kontroly riziku. Niekoľko tipov na kalibráciu:

• Sprísnite, keď vzrastie objem hotovosti, keď prijmete nového účtovníka, po akejkoľvek tesnej situácii, keď získate externých investorov, keď začnete spravovať cudzie zverené prostriedky (napr. zálohy zákazníkov, zálohy na služby) alebo keď zistíte, že neviete vysvetliť niektorú položku na bankovom výpise.
• Uvoľnite (mierne), keď kontroly spôsobujú skutočnú prevádzkovú bolesť a máte robustnú kompenzačnú kontrolu inde. Každá kontrola má svoje náklady; cieľom je minimálny súbor, ktorý poskytuje primerané pokrytie.
• Nikdy neuvoľňujte podpisové právo na šekoch, schvaľovanie dodávateľov ani prvotnú kontrolu bankového výpisu. Tieto tri sú nosnými stenami celej konštrukcie.

Udržujte svoje financie organizované od prvého dňa​

Silné vnútorné kontroly fungujú len na základe čistého, dobre organizovaného účtovníctva. Ak nemôžete dôverovať číslam, nemôžete dôverovať odsúhlaseniam – a celý kontrolný systém sa zrúti. Beancount.io poskytuje účtovníctvo v čistom texte, ktoré vám dáva úplnú transparentnosť a kompletnú históriu verzií každej zmeny vo vašej knihe – vstavaný audítorský záznam, za ktorý malé podniky bežne musia platiť drahý softvér. Začnite zadarmo a presvedčte sa, prečo vývojári a finanční profesionáli prechádzajú na účtovníctvo v čistom texte – a pozrite si naše hostované Fava dashboards pre okamžité vizualizácie na vašich účtoch.

Najlacnejšia vnútorná kontrola, ktorú kedy postavíte, je disciplína čistých kníh, ktoré kontrolujú druhé oči. Najdrahšia je žaloba, ktorú podáte o tri roky neskôr, dúfajúc, že získate späť desať centov z každého dolára.