Рана на $141,000: Як малий бізнес виявляє професійне шахрайство, перш ніж воно його знищить

Довірений бухгалтер з дев'ятирічним стажем привласнює 487 000 доларів протягом трьох років, перш ніж це хтось помічає. Офіс-менеджер, що працює на неповну ставку, проводить фіктивні рахунки від постачальників на суму 62 000 доларів через рахунки до сплати. Касир щодня забирає з каси по 40 доларів — майже 15 000 доларів на рік — доки скарга клієнта не допомагає розкрити справу.

Це не заголовки з подкасту про справжні злочини. Це репрезентативна вибірка випадків службового шахрайства, задокументованих Асоціацією сертифікованих експертів з розслідування шахрайства (ACFE), чий дворічний «Звіт націям» залишається найвичерпнішим глобальним дослідженням внутрішнього шахрайства. Середньостатистична жертва серед малого бізнесу — визначена як компанія з менш ніж 100 співробітниками — втрачає близько 141 000 доларів на одній схемі шахрайства. У середньому схема діє приблизно 12 місяців до моменту її виявлення. І в багатьох випадках зловмисником є людина, якій власник довіряв найбільше.

Якщо ви керуєте бізнесом із п'ятьма, п'ятнадцятьма або п'ятдесятьма працівниками, математика жорстоко проста: ви не можете дозволити собі жодну з таких схем, і у вас майже напевно немає корпоративного аудиторського комітету, щоб її виявити. Що ви можете зробити, так це впровадити дешеві та прості заходи контролю, які ускладнюють вчинення шахрайства, полегшують його виявлення та унеможливлюють його виправдання. Цей посібник розглядає фреймворк, який насправді використовують судові бухгалтери — трикутник шахрайства, заходи контролю, що дають результат, і конкретні процедури, які власник (навіть не бухгалтер) може впровадити вже в цьому кварталі.

Що насправді означає «Службове шахрайство»

Службове шахрайство — це використання своєї посади для особистого збагачення шляхом неналежного використання ресурсів або активів роботодавця. ACFE класифікує його на три групи, які варто запам'ятати, оскільки вони безпосередньо пов'язані з різними методами контролю:

Незаконне привласнення активів — крадіжка або неналежне використання активів. Сюди відносяться приховування готівкової выручки, схеми з рахунками, фіктивні працівники в платіжних відомостях, завищення витрат на відшкодування та крадіжка інвентарю. Це найпоширеніша категорія, що зустрічається приблизно у 89% усіх зареєстрованих випадків.
Корупція — використання впливу для особистої вигоди, наприклад, відкати, конфлікт інтересів та маніпуляції з тендерами. Приблизно половина всіх випадків містить елементи корупції.
Шахрайство з фінансовою звітністю — навмисне викривлення доходів, витрат або активів, щоб компанія виглядала краще (або іноді гірше). Найрідкісніша категорія, але найдорожча, коли вона стається — медіанні збитки обчислюються мільйонами.

Малий бізнес найбільше страждає від незаконного привласнення активів, особливо від схем виставлення рахунків, махінацій із чеками, шахрайства з відшкодуванням витрат та приховування готівкової виручки. Ці схеми часто залишаються непоміченими, бо виглядають як звичайні транзакції в головній книзі.

Трикутник шахрайства: Чому чесні люди стають злодіями

На початку 1950-х років соціолог Дональд Крессі опитав майже 200 ув'язнених розтратників. Він виявив, що типовий службовий шахрай не був запеклим злочинцем — це був цілком звичайний працівник, який з часом скотився до крадіжки. З його роботи виникла модель ризику шахрайства, яка зараз є стандартною: трикутник шахрайства, що складається з тиску, можливості та виправдання.

Тиск (або Стимул)

Щось підштовхує працівника від «думок про це» до «дії». Поширені чинники тиску включають:

Особисті фінансові труднощі: медичні рахунки, розлучення, іпотека, борги в азартних іграх.
Тиск способу життя: життя не за статками, залежності, приховане друге домогосподарство.
Тиск на робочому місці: нереальні плани продажів, страх звільнення, бонус, прив'язаний до показників, яких працівник не може досягти чесним шляхом.

Зазвичай ви не можете усунути тиск, але ви можете звертати увагу на поведінкові «тривожні прапорці». Дані ACFE показують, що працівники, які явно живуть не за статками, відмовляються від відпусток або демонструють незвичайний контроль над відносинами з конкретним постачальником, корелюють із значно вищими збитками від шахрайства. Працівник, який відмовляється йти у відпустку, іноді просто старанний; але так само часто він боїться дозволити колезі підмінити його за робочим столом протягом тижня.

Можливість

Це та сторона трикутника, яку власники можуть реально контролювати. Можливість існує, коли працівник:

Має доступ до активів (готівка, чеки, право підпису, логіни до банків).
Може також записувати або приховувати транзакції, пов'язані з цими активами.
Вірить, що ймовірність виявлення низька.

Вилучіть будь-який із цих трьох елементів — і можливість зникає. У цьому полягає вся мета внутрішнього контролю.

Виправдання (Раціоналізація)

Остання сторона — це історія, яку шахрай розповідає самому собі. «Компанія мені винна — мені не підвищували зарплату три роки». «Я просто позичаю; я поверну це наступного місяця». «Усі підробляють звіти про витрати». Сильний етичний тон керівництва — видима залученість власника, чіткі політики, швидкі наслідки за дрібні порушення — ускладнює виправдання.

Новіші моделі («алмаз шахрайства» додає здатність; «п'ятикутник шахрайства» додає зарозумілість і компетентність) вдосконалюють ідею Крессі, але не змінюють операційний висновок: ви не можете запобігти шахрайству лише шляхом найму хороших людей. Ви запобігаєте йому, структуруючи роботу так, щоб у хороших людей ніколи не виникало спокуси, а не дуже хороші — швидко потрапляли під підозру.

Чому малий бізнес страждає найбільше

Три структурні недоліки ставлять малі організації під удар:

Концентрація обов’язків. У компанії з п’яти осіб одна людина часто займається виставленням рахунків, депозитами, платежами та веденням бухгалтерії. Це все одно, що поєднати три сторони трикутника шахрайства в одному кріслі.
Культура, заснована на довірі. Власники наймають знайомих людей. Бухгалтер — це друг сім’ї, офіс-менеджер — давній лояльний працівник. Довіра погано масштабується: вона працює для двох людей, але не для щомісячних виплат у двісті тисяч доларів.
Обмежені витрати на боротьбу із шахрайством. ACFE (Асоціація сертифікованих спеціалістів із розслідування шахрайства) постійно виявляє, що малі організації впроваджують менше контрольних заходів, ніж великі. У них рідше є письмовий кодекс поведінки, гаряча лінія для повідомлень про шахрайство, програма раптових аудитів або проактивний моніторинг даних.

Результат: малі організації зазнають збитків від шахрайства, які майже дорівнюють глобальному медіанному значенню в доларах, але ці втрати становлять набагато більшу частку доходу і часто є критичними для виживання. Втрата $141,000 для бізнесу з 50 працівниками та маржою 6% еквівалентна випаровуванню понад $2 мільйонів валового доходу.

Контрольні заходи, які дійсно працюють

Серед тисяч випадків виділяються три заходи контролю, які дозволяють скоротити як збитки від шахрайства, так і час, необхідний для виявлення схеми — часто на 50% або більше. Це найефективніші інвестиції, які може зробити малий бізнес.

1. Раптові перевірки готівки та раптові аудити

Раптовий аудит — це класична «неоголошена перевірка». Для малого бізнесу він не потребує залучення сертифікованого аудитора — достатньо, щоб власник (або довірена друга особа) випадковим чином і без попередження перевірив, чи відповідають записи в книгах реальності.

Що перевіряти без попередження:

Готівку в касах, сейфах та скриньках для дрібних витрат.
Інвентар у випадковому проході, стелажі або за певним артикулом товару.
Вибірку нещодавніх журнальних записів: візьміть п’ять платежів навмання, простежте кожен від рахунку-фактури до банківської виписки.
Усі чеки, виплачені за останній тиждень — зіставте отримувачів із реєстрами постачальників, перевірте наявність пропусків у нумерації.

Мета не в тому, щоб виловлювати кожну копійку під час кожного візиту. Мета — дати зловмиснику зрозуміти, що виявлення може статися в будь-який момент. Шахраї процвітають завдяки передбачуваності; раптові аудити руйнують її. Дані ACFE показують, що організації з програмами раптового аудиту мають приблизно вдвічі менші медіанні втрати та виявляють схеми майже вдвічі швидше.

2. Перегляд ключових звітів керівництвом

Більшість випадків шахрайства в малому бізнесі трапляються там, куди власник ніколи не заглядав: основний реєстр постачальників, журнал списання дебіторської заборгованості, звіт про зміни в нарахуванні заробітної плати. Щомісячний 30-хвилинний перегляд кількох звітів у визначений час створює величезний стримуючий тиск.

Запровадьте регулярний щомісячний перегляд, що охоплює:

Додавання та зміни постачальників. Будь-який новий постачальник, доданий за останні 30 днів. Будь-яка зміна банківського рахунку, адреси або назви існуючого постачальника. Обидва варіанти є класичними ознаками схем із виставленням рахунків.
Виплати понад установлений ліміт. Усі платежі понад, наприклад, $1,000 — зіставте кожен із рахунком-фактурою та контрактом.
Звірка банківських рахунків. Відкривайте банківську виписку самостійно; не приймайте роздрукований звіт про звірку. Подивіться на фактичні зображення погашених чеків та вихідні перекази.
Зміни в нарахуванні зарплати. Нові працівники, звільнення, зміни ставок, зміни рахунків для прямого депонування. «Фіктивні працівники» — це та ж сама схема виставлення рахунків, але в зарплатах.
Кредит-ноти та списання заборгованості клієнтів. Приховування виручки (скімінг) часто маскується під «безнадійну» дебіторську заборгованість, яка тихо списується.

3. Проактивний моніторинг даних

Сучасне бухгалтерське програмне забезпечення робить це майже безкоштовним. Налаштуйте сповіщення та звіти про відхилення, такі як:

Дублікати номерів рахунків-фактур від одного постачальника.
Адреси постачальників, що збігаються з адресою працівника (явна ознака схем із підставними фірмами).
Журнальні записи на «круглі» суми (реальні транзакції рідко складають рівно $5,000.00).
Анульовані операції, згруповані у вихідні дні або в позаробочий час.
Платежі постачальникам, які раніше не були активними, або раптові сплески обсягів платежів.

Коли ви ставитеся до своєї головної книги як до набору даних, а не просто як до сировини для податкової декларації, аномалії випливають на поверхню дуже швидко.

Розподіл обов’язків в офісі з трьох осіб

Підручникове правило: розділяйте санкціонування, реєстрацію та зберігання активів. Одна й та сама особа не повинна затверджувати платіж, виписувати чек або ініціювати переказ і водночас проводити звірку банківського рахунку.

У невеликому офісі це здається неможливим, але мета — не ідеальний розподіл, а усунення найнебезпечніших комбінацій. Три комбінації є особливо небезпечними й мають бути розірвані навіть у найменшій фірмі:

Прийом готівки + реєстрація надходжень готівки. Особа, яка відкриває пошту або працює з касою, не повинна бути єдиною людиною, яка звіряє депозит із записами в книгах.
Реєстрація постачальників + затвердження їхніх рахунків. Бухгалтер, який може додати «ТОВ Акме Консалтинг» і затвердити щомісячний рахунок на $3,500, фактично створив собі власний банкомат.
Виписка чеків/ініціювання платежів + звірка банківської виписки. Той, хто виводить гроші, не може бути єдиною особою, яка перевіряє, чи потрапили вони за призначенням.

Якщо у вас справді лише один працівник, відповідальний за фінанси, компенсуючим контролем є залучення власника. Власник, а не бухгалтер, повинен:

Відкривати банківську виписку раніше за інших (розгляньте можливість окремого логіна лише для перегляду або паперової виписки, що надсилається на домашню адресу власника).
Підписувати кожен чек понад певний ліміт власноруч після перегляду відповідного рахунку-фактури.
Отримувати прямі копії всіх повідомлень від банку, банківських карток та сервісів нарахування зарплати.
Особисто реєструвати нових постачальників із сумами виплат понад певний поріг.

Це займає 15 хвилин на тиждень і розриває найнебезпечніші комбінації для шахрайства.

Канал конфіденційних повідомлень

Повідомлення (tips) є безумовно найпоширенішим способом виявлення службового шахрайства, на них припадає близько 43% усіх виявлених схем. Внутрішній аудит (близько 14%) та огляд керівництвом (13%) посідають далекі друге та третє місця. Повідомлення мають таке велике значення, що наявність каналу конфіденційної звітності — навіть простого електронного псевдоніма, який перевіряє власник — приблизно вдвічі підвищує шанси на те, що схема буде виявлена завдяки повідомленню, а не випадково.

Для малого бізнесу «гаряча лінія» не обов’язково має означати телефонну систему, керовану стороннім постачальником. Це може бути:

Окрема адреса електронної пошти (наприклад, [email protected]), яку читає лише власник.
Надруковане оголошення в кімнаті відпочинку з мобільним номером власника для анонімних текстових повідомлень.
Щорічна зустріч віч-на-віч, де власник прямо пропонує працівникам повідомляти про все, що «виглядає підозріло».

Яким би не був канал, важливі два правила: повідомлення має потрапляти до власника, не проходячи через руки ймовірного шахрая, і за звітами мають вживатися видимі заходи — інакше каналом більше ніхто не скористається.

Поведінкові «тривожні дзвіночки», варті уваги

Дані ACFE (Асоціації сертифікованих експертів із шахрайства) послідовно показують, що зловмисники демонструють поведінкові індикатори задовго до того, як схема буде розкрита. Ось чотири ознаки з найсильнішою кореляцією з великими збитками:

Життя не за статками. Новий автомобіль, другий будинок, дорогі хобі при зарплаті у 48 000 доларів.
Фінансові труднощі. Стягнення із заробітної плати, скарги на брак грошей, прохання про аванс.
Незвичний контроль над постачальником або клієнтом. Один і той самий працівник завжди веде певний рахунок, відмовляється від допомоги, приймає дзвінки на особистий телефон.
Відмова відпустки. Схеми потребують постійного нагляду. Двотижнева відсутність — найпоширеніший спосіб краху тривалих махінацій: записи не очищаються, виписки відкриваються кимось іншим, до фіктивних постачальників виникають питання.

Жодне з цього не є доказом провини. Але все це виправдовує тихе посилення щомісячного огляду ділянки роботи цього працівника.

90-денний план боротьби із шахрайством для бізнесу з 20 особами

Якщо ви дочитали до цього моменту, вам не потрібен 200-сторінковий фреймворк COSO. Вам потрібен короткий список дій, які можна завершити цього кварталу.

Дні 1–30: Прозорість.

Отримуйте виписки по банківських рахунках, кредитних картках та заробітній платі особисто — а не лише через бухгалтера.
Витягніть основний реєстр постачальників; перевірте кожного постачальника, доданого за останні 12 місяців. Позначте тих, у кого немає вебсайту, фізичної адреси або контракту.
Витягніть список адрес усіх працівників; звірте їх із реєстром постачальників.
Напишіть односторінковий кодекс поведінки, підпишіть його, роздайте кожному працівнику та розмістіть у кімнаті відпочинку.

Дні 31–60: Контроль.

Запровадьте обов’язкові двотижневі відпустки поспіль для всіх, хто має обов'язки з ведення обліку або роботи з готівкою.
Створіть канал конфіденційних повідомлень та оголосіть про нього.
Визначте три-чотири звіти для менеджерського огляду, які ви переглядатимете щомісяця, і забронюйте у календарі 30-хвилинний блок у перший понеділок кожного місяця.
Виявіть найгіршу комбінацію суміщення обов’язків у вашому офісі та розділіть її — навіть якщо це буде не ідеально.

Дні 61–90: Раптовість.

Проведіть один неоголошений раптовий аудит. Виберіть навмання касу або постачальника; переконайтеся, що реальність відповідає документам.
Проведіть одну проактивну перевірку даних (дублікати номерів інвойсів, операції з круглими сумами, збіг адрес у відомостях про зарплату).
Заплануйте наступний раптовий аудит на випадкову дату протягом наступних 90 днів — і нікому про це не кажіть.

Ви не виявите все шахрайство таким чином. Але ви виявите найпростіші схеми — і стримаєте більшість інших.

Створюйте бухоблік, який говорить правду

Більшість службових махінацій приховуються тому, що книги обліку є непрозорими для власника. Назви постачальників виглядають правдоподібно, журнальні записи — звичайними, а узгоджений банківський баланс збігається з тією ж цифрою, яку ніхто не піддавав сумніву минулого місяця. Текстовий бухоблік із контролем версій змінює цю асиметрію: кожен запис зрозумілий людині, кожна зміна має часову мітку в історії git, яку ви можете перевірити, а звіти про відхилення стають однорядковим запитом, а не спеціальним завданням.

Beancount.io надає вам таку прозорість за замовчуванням — облік у текстовому форматі, повний контроль версій, готовність до ШІ та відсутність прив’язки до постачальника. Це не є інструментом запобігання шахрайству сам по собі, але це чесна основа, на якій раптові аудити, огляди керівництвом та моніторинг даних справді працюють. Почніть безкоштовно та виведіть свою бухгалтерію на світло, де шахрайству ніде сховатися.