Limity schvaľovania platieb pre dvojčlenný finančný tím: Praktická matica vyplácania

Váš účtovník vytvorí dodávateľa, zadá faktúru, schváli platbu a odsúhlasí bankový účet. Všetko sedí. A to je presne ten problém: keď jedna osoba kontroluje platbu od začiatku do konca, vaše účtovníctvo bude sedieť až do dňa, keď zistíte, že sedieť nemalo.

Tu je nepríjemná matematika. Organizácie strácajú odhadom 5 % príjmov ročne na podvody pri výkone povolania, mediánový prípad stojí okolo 145 000 USD a trvá približne 12 mesiacov, kým si to niekto všimne. Malé organizácie sú zasiahnuté tvrdšie ako takmer ktokoľvek iný: podniky s menej ako 100 zamestnancami utrpia mediánovú stratu z podvodu okolo 141 000 USD – druhú najvyššiu spomedzi všetkých veľkostných skupín – presne preto, že fungujú s menším počtom kontrol. Fakturačné schémy a manipulácia so šekmi alebo platbami dominujú v malých prevádzkach a vyšetrovatelia uvádzajú chýbajúce interné kontroly ako hlavnú slabinu v približne tretine všetkých prípadov.

S dvojčlenným finančným tímom si z tohto problému nepomôžete najímaním ľudí. Ale ani nemusíte. Potrebujete písomnú maticu schvaľovania platieb: jednostránkovú tabuľku, ktorá hovorí, kto môže vytvárať, schvaľovať, uvoľňovať a odsúhlasovať každý druh platby, pri akom dolárovom limite, a čo sa stane, keď platba tento limit prekročí. Táto príručka vám dáva túto maticu, limity, ktoré do nej máte zahrnúť, a kompenzačné kontroly, ktoré pokrývajú to, čo dvaja ľudia nedokážu oddeliť.

Prečo sú dvojčlenné tímy najrizikovejším usporiadaním​

Učebnicová interná kontrola predpokladá finančné oddelenie: jedna osoba objednáva, druhá preberá, tretia schvaľuje, štvrtá platí, piata odsúhlasuje. Dvojčlenný tím – povedzme majiteľ a účtovník, alebo účtovník a vedúci kancelárie – to nedokáže. Jedna osoba bude mať vždy viacero funkcií a niektoré kombinácie funkcií sú nebezpečné:

• Vytváranie dodávateľov + schvaľovanie faktúr umožňuje niekomu vymyslieť si dodávateľa a platiť mu.
• Schvaľovanie platieb + uvoľňovanie platieb umožňuje niekomu autorizovať a vykonať vlastnú platbu.
• Uvoľňovanie platieb + odsúhlasovanie bankového účtu umožňuje niekomu zaplatiť a potom platbu skryť.

Toto nie je hypotetický scenár zlyhania. Klasickým podvodom v malých podnikoch je dôveryhodný dlhoročný zamestnanec – často jediná osoba, ktorá „pozná účtovníctvo" – ktorý roky posiela platby dodávateľovi s podobným názvom alebo navyšuje preplatenia výdavkov. Schéma prežíva, pretože nikto iný sa nikdy nepozrie na celý cyklus. Oddelenie povinností nie je koncept typu všetko alebo nič: oddelíte, čo môžete, a potom medzery pokryjete dozornými kontrolami. Následná matica je spôsob, ako rozhodnúť, čo je čo.

Štyri funkcie: Vytvoriť, Schváliť, Uvoľniť, Odsúhlasiť​

Každá platba prechádza štyrmi rolami. Pomenujte ich výslovne, pretože „účtovník spravuje záväzky" skrýva skutočnosť, že jeden človek vykonáva všetky štyri:

• Vytvoriť. Zadanie faktúry alebo preplatenia, založenie dodávateľa, zapísanie účtu do účtovného systému. Ide o zadávanie údajov s následkami: čokoľvek sa tu vytvorí, sa stane záväzkom, ktorý zaplatíte.
• Schváliť. Povedať áno – potvrdiť, že tovar alebo služby boli dodané, cena a množstvo sa zhodujú, výdavok je oprávnený a rozpočtovaný a dokumentácia je úplná. Schválenie je rozhodnutie, nie formalita.
• Uvoľniť. Skutočné presunutie peňazí: podpísanie šeku, kliknutie na „zaplatiť" v platobnom systéme, odoslanie dávky ACH, poslanie bankového prevodu. Uvoľnenie je držba aktíva.
• Odsúhlasiť. Nezávislé overenie po skutočnosti: zosúladenie bankového výpisu s účtovníctvom, previazanie knihy záväzkov s hlavnou knihou, kontrola, kto bol zaplatený, a označenie čohokoľvek podozrivého.

Pravidlo nekompatibility je jednoduché: nikto by nemal držať všetky štyri funkcie pri tej istej platbe a dve dvojice, ktoré sa nikdy nesmú kombinovať, sú schváliť-plus-uvoľniť a uvoľniť-plus-odsúhlasiť. Ak váš účtovník uvoľňuje platby, bankový účet odsúhlasuje niekto iný. Ak váš vedúci kancelárie schvaľuje faktúry, niekto iný kliká na „zaplatiť". Všetko ostatné v tejto príručke je aplikáciou tejto vety.

Matica: Kto robí čo, pri akom limite​

Vytvorte ju ako skutočnú tabuľku – tabuľkový procesor alebo stranu v príručke postupov – s jedným riadkom pre každý typ transakcie. Roly, nie mená: napíšte „Účtovník" a „Majiteľ", aby politika prežila obmenu zamestnancov. Tu je východiskový model pre typickú dvojčlennú prevádzku:

Všimnete si jeden zámerný prekryv: účtovník schvaľuje aj uvoľňuje malé pravidelné účty. To je výnimka, ktorá potvrdzuje pravidlo, a prežíva len preto, že ju obklopuje spúšťač odchýlok a mesačná kontrola majiteľom – odstráňte ktorúkoľvek z nich a výnimka musí ísť preč. S dolárovými sumami zaobchádzajte ako s príkladmi na kalibráciu, nie ako s univerzálnymi odporúčaniami. Rutinný limit 1 000 USD sedí podniku s mesačnými výdavkami 40 000 USD; upravte si svoj tak, aby majiteľ kontroloval približne horných 10 – 20 % platieb podľa hodnoty. Štrukturálne body si ponechajte: neplánované výdavky a výnimky z politiky majú limit 0 USD (vždy eskalujú), zmeny v registri dodávateľov vždy vyžadujú majiteľa a osoba, ktorá odsúhlasuje, nikdy neuvoľňuje platby.

Dva detaily rozhodujú o úspechu limitov. Po prvé, definujte limit voči celkovému záväzku, nie prvej platbe: zmluva na 400 USD mesačne na 24 mesiacov je rozhodnutie v hodnote 9 600 USD a musí eskalovať ako celok. Po druhé, napíšte eskaláciu ako dvojicu – komu to ide plus presný spúšťač („majiteľovi, keď je nad 1 000 USD alebo mimo rozpočtu") – aby nikto nemusel posudzovať, či je posúdenie potrebné.

Kontrola, ktorú každý preskakuje: Register dodávateľov​

Väčšina malých podnikov stráži podpisovanie šekov a zoznam dodávateľov necháva otvorený. To je naopak. Fiktívny dodávateľ je nosným pilierom fakturačných podvodov: akonáhle v systéme existuje falošný dodávateľ s platobnými údajmi pod kontrolou útočníka, každá ďalšia faktúra vyzerá legitímne.

Zamknite register dodávateľov štyrmi pravidlami:

1. Nových dodávateľov a zmeny schvaľuje iba majiteľ (alebo osoba mimo účtovníctva záväzkov). Osoba, ktorá zadáva faktúry, nesmie byť schopná nezávisle pridávať príjemcov alebo upravovať bankové údaje.
2. Overte nezávisle pred prvou platbou. Zavolajte dodávateľovi na verejne uvedené číslo – nie na číslo z faktúry alebo z e-mailu so žiadosťou o zmenu – aby ste potvrdili adresy platby a čísla účtov. Toto jediné telefonátové overenie porazí fiktívnych dodávateľov aj presmerovanie pri kompromitácii firemného e-mailu.
3. Vyžadujte formulár W-9 pred založením pre amerických poskytovateľov služieb. Vynúti to skutočné meno, adresu a daňové identifikačné číslo do súboru, čo je zároveň krokom k súladu aj filtrom podvodov: falošní dodávatelia nezvládnu papierovačky.
4. Štvrťročne kontrolujte a čistite. Deaktivujte dodávateľov bez aktivity 12 mesiacov, spájajte duplicity a skenujte na podobné názvy („Acme Corp" vs. „Acme Corp." vs. „Acme Consulting"). Neaktívne a duplicitné záznamy sú miestom, kde sa skrývajú duchové faktúry.

Trojsmerné párovanie, verzia pre malý tím​

Podnikové účtovníctvo záväzkov páruje každú faktúru tromi spôsobmi – objednávka, potvrdenie o prijatí, faktúra – pred platbou. Bez nákupného oddelenia môžete spustiť ľahšiu verziu:

• Pre tovar: faktúra sa musí zhodovať s dodacím listom, fotografiou dodávky alebo potvrdzovacím e-mailom o tom, čo prišlo, plus schválenie, že cena a množstvo sú správne.
• Pre služby: faktúra sa musí zhodovať s dodaným výstupom, potvrdením míľnika alebo prehľadom času, plus schválenie od osoby, ktorá prácu prevzala.
• Pre pravidelné účty: vynechajte párovanie, ale presadzujte pravidlo odchýlok – čokoľvek, čo sa pohlo o viac ako ~10 % oproti minulému mesiacu, eskaluje na kontrolu pred platbou.

Označte alebo zafarbite faktúry ako zaplatené v systéme okamžite po uvoľnení a nikdy neplaťte z kópie alebo preposlaného e-mailového vlákna, keď originál faktúry chýba. Duplicitné platby sú najčastejšou chybou v malých účtovniach záväzkov a pravidlo „platiť iba z originálu, označeného ako zaplatený" väčšine z nich zabráni.

Odsúhlasenie: Váš detektívny záchranný prvok​

Preventívne kontroly (schválenia, limity) zastavia zlé platby. Detektívne kontroly zachytia tie, ktoré prekĺznu – a v dvojčlennom tíme nesie detekcia väčšiu váhu, pretože prevencia nikdy nemôže byť vzduchotesná. Prideľte odsúhlasenie osobe, ktorá neuvoľňuje platby, a urobte ho skutočne nezávislým:

• Bankové odsúhlasenie osobou, ktorá neuvoľňuje platby, kontrolované majiteľom. Ak účtovník platí účty, majiteľ (alebo externý účtovník) odsúhlasí bankový účet a skutočne číta výpis – príjemcov, sumy, indosamenty – nielen vyrovnáva zostatok.
• Prístup k banke len na čítanie pre kontrolóra. Väčšina bánk ponúka loginy len na zobrazenie a prístup k výpisom len na čítanie. Kontrolór by mal vidieť všetko a nemôcť nič presunúť.
• Positive pay, ak ho vaša banka ponúka. Posielate zoznam vydaných šekov alebo originácií ACH; banka odmietne čokoľvek, čo nie je na zozname. Je to najúčinnejšia kontrola šekových podvodov dostupná malým podnikom a mnohé banky zahŕňajú základný positive pay zadarmo k podnikateľskému účtu.
• Mesačná kontrola majiteľom s váhou. Pätnásť minút, každý mesiac: starnutie záväzkov, register nových dodávateľov, vydané refundácie a akákoľvek platba nad rutinný limit. Parafujte a datujte. Kontrola, ktorá nie je zdokumentovaná, je kontrola, ktorá sa prestane robiť.

Kompenzačné kontroly pre to, čo nedokážete oddeliť​

Niektoré prekryvy sú pri dvoch ľuďoch nevyhnutné. Každý dostane pomenovanú kompenzačnú kontrolu:

• Povinné krížové školenie a zastupiteľnosť počas dovolenky. Každú kritickú funkciu musí vedieť vykonávať druhá osoba – a raz ročne by ju aj mala vykonávať, zatiaľ čo je primárna osoba úplne offline aspoň týždeň. Schémy vyžadujúce dennú kamufláž sa rýchlo vynoria, keď je kamuflujúci na pláži. Ak v vašej prevádzke platí „len Peťo vie spracovať mzdy", táto veta je vaším registrom rizík.
• Prekvapivé namátkové kontroly. Štvrťročne majiteľ vytiahne päť náhodných zaplatených faktúr a vysleduje každú od originálu faktúry cez schválenie až po bankový debet. Nepredvídateľnosť je kontrola: plánovaná kontrola sa dá obísť; náhodnú nemožno pripraviť.
• Dvojitá autorizácia prevodov a nových príjemcov. Nastavte banku tak, aby prevody nad prah – alebo akémukoľvek príjemcovi prvýkrát – vyžadovali dva rôzne loginy na uvoľnenie. Toto je kontrola na strane banky, takže platí, aj keď váš interný proces zlyhá.
• Roly vynútené systémom, nie čestným slovom. Ak váš účtovný softvér podporuje pracovné toky schvaľovania a úrovne oprávnení, zapnite ich: účtovník zadáva a majiteľ schvaľuje v systéme, s auditným záznamom, ktorý ani jeden nemôže upraviť. Matica na papieri plus administrátorské práva pre všetkých je dekorácia.
• Externý pohľad raz ročne. CPA alebo zmluvný kontrolór, ktorý ročne preverí knihy, rotuje mesiace, ktoré skúma, a podáva správy majiteľovi – nie účtovníkovi – je najlacnejšie oddelenie povinností, aké sa dá kúpiť.

Päť chýb, ktoré zničia celú maticu​

1. Formálne schvaľovania. Majiteľ, ktorý schváli každú faktúru v piatkovej dávke bez prečítania, má podpis, nie kontrolu. Ak objem znemožňuje skutočnú kontrolu, zvýšte rutinný limit a poctivo skontrolujte menej platieb namiesto mnohých povrchne.
2. Limity, ktoré existujú len na papieri. Ak účtovník môže prekročiť limit v účtovnom systéme aj v banke bez trenia, limit je odporúčanie. Presadzujte ho v oprávneniach, rolách pre platby účtov a limitoch bankových prevodov.
3. Jedna osoba drží bankový token aj knihy. Kto môže v banke presúvať peniaze, nesmie byť jedinou osobou zaznamenávajúcou pohyb. Oddeľte token od knihy, vždy.
4. Schvaľovanie vlastných výdavkov. Zakladatelia sú najhoršími previnilcami: výdavky majiteľa, preplatenia majiteľa a výplaty majiteľa bez druhého pohľadu. Kontrola spolumajiteľom, partnerom alebo CPA udržiava vrchol matice čestný.
5. Ignorovanie malých pravidelných poplatkov. Podvody sa testujú na malých sumách a plazivý rast predplatného odčerpáva skutočné peniaze. Štvrťročná kontrola dodávateľov a pravidlo 10 % odchýlky existujú pre poplatky 49 USD, nie pre tie za 49 000 USD.

Váš 30-dňový kontrolný zoznam implementácie​

• 1. týždeň: Zistite všetky typy platieb, ktoré uskutočňujete, a navrhnite maticu so súčasnou realitou v každej bunke. Medzery, ktoré nájdete, sú plánom projektu.
• 2. týždeň: Nastavte odstupňované limity, pravidlo 0 USD pre neplánované výdavky a dvojice eskalácie. Nakonfigurujte oprávnenia softvéru a bankovú dvojitú kontrolu podľa toho.
• 3. týždeň: Vyčistite register dodávateľov (deaktivujte neaktívnych, spájajte duplicity), zozbierajte chýbajúce W-9 a overte bankové údaje vašich desiatich najväčších príjemcov telefonicky.
• 4. týždeň: Spustite prvú mesačnú kontrolu majiteľom, naplánujte štvrťročné namátkové kontroly na rok a uložte podpísanú maticu tam, kde ju obaja nájdu.

Začnite presadzovať od prvého dňa druhého mesiaca. Kontrola s dátumom „začneme čoskoro" je kontrola, ktorá nikdy nezačne.

Udržte každý dolár pod kontrolou​

Matica schvaľovania platieb funguje len vtedy, ak sú záznamy pod ňou úplné a dôveryhodné – každé schválenie viazané na skutočnú faktúru, každé uvoľnenie na bankový pohyb, každé odsúhlasenie vysledovateľné o mesiace neskôr. To znamená disciplinované účtovníctvo: včasné zápisy, čisté starnutie záväzkov a auditnú stopu, ktorú skutočne môžete sledovať. Ak chcete svoje finančné záznamy vo formáte, ktorý je transparentný, verziovaný a ľahko kontrolovateľný riadok po riadku, Beancount.io ponúka účtovníctvo v čistom texte, ktoré umiestňuje každú transakciu do čitateľného súboru, ktorý vlastníte. Začnite zadarmo a dajte svojmu dvojčlennému tímu jasnú knihu, ktorú si jeho nové kontroly zaslúžia. Pre vizuálnu mesačnú kontrolu ju spárujte s dashboardom Fava a skenujte výdavky podľa účtu predtým, než podpíšete.