Якщо ви коли-небудь тижнями чекали рішення щодо позики SBA, дивувалися, чому заявка на сертифікацію ніби зникла в чорній дірі, або хвилювалися, що звичайна невідповідність даних може позначити ваш бізнес як шахрайський, новий звіт федерального наглядового органу багато що пояснює. У червні 2026 року Урядове підзвітне управління (GAO) опублікувало чергову перевірку Адміністрації малого бізнесу (SBA) — і результати невтішні. З 17 пріоритетних виправлень найвищого рівня, які GAO визначило для агентства ще в травні 2025 року, SBA закрила лише три. Чотирнадцять залишаються відкритими понад рік потому.
Це не рутинна бюрократична примітка. Це конкретні проблеми, які аудитори GAO вважають найбільш імовірними, що спричинять реальну шкоду — марнування грошей платників податків, спрощення шахрайства та технологічні збої — якщо вони залишаться невиправленими. І два найбільші блоки безпосередньо стосуються того, з чим стикаються власники малого бізнесу: як SBA перевіряє заявників на позики та допомогу при лихах на предмет шахрайства, а також цифрові системи, що використовуються для подачі заявок на сертифікацію SBA та їх підтримки, а також фінансування.
Що таке "Пріоритетна відкрита рекомендація" насправді
Щороку GAO переглядає сотні рекомендацій, наданих федеральним агентствам, і обирає ті, які його аудитори вважають найбільш терміновими — проблеми, настільки серйозні, що GAO надсилає офіційний лист безпосередньо керівництву агентства, а не залишає висновок у звичайному аудиторському звіті. Для SBA цей пріоритетний список у 2025 році налічував 17 пунктів. Станом на червневий звіт GAO за 2026 рік (GAO-26-108956), 3 були впроваджені, а 14 залишаються відкритими з 60 загальних відкритих рекомендацій по всьому агентству.
GAO групує незавершену роботу в дві категорії, які, на його думку, потребують найбільш негайної уваги:
- Управління ризиками шахрайства в програмах пандемії COVID-19 — системи та процеси, які SBA використовує для виявлення зловмисників у таких програмах, як COVID-EIDL та PPP, а також, за аналогією, заходи контролю за шахрайством, які визначають, як SBA перевіряє заявників у майбутньому.
- Кібербезпека та ІТ-менеджмент — технологічна інфраструктура, що лежить в основі систем, які фактично використовує малий бізнес, включаючи платформу, яка обробляє сертифікації для федеральних контрактів.
Жодна з цих категорій не є абстрактною. Обидві визначають, чи працює процес позики або сертифікації, з яким ви сьогодні взаємодієте, так, як має.
Прогалина в контролі шахрайства: Система, що тоне в поганих даних
Висновки GAO щодо шахрайства зосереджені на конкретному, реальному збої: процес SBA щодо передачі підозр у шахрайстві своєму Офісу генерального інспектора (OIG) для розслідування генерує звернення, які слідчі не можуть фактично використовувати. За даними GAO, SBA подала майже 3 мільйони звернень про шахрайство, пов'язаних з COVID-EIDL — і посадовці OIG повідомили GAO, що приблизно 2 мільйони з них не були придатними до дій. Не тому, що шахрайство не було реальним, а тому, що у зверненнях бракувало ключових елементів даних, вони містили дублікати або мали некоректну інформацію, закладену з самого початку.
Щоб усунути цю прогалину, GAO рекомендувало SBA зробити дві речі, які вона наразі не робить добре:
- Створити міжпрограмний аналіз даних, щоб агентство могло виявляти заявника, який намагається шахраювати в кількох програмах SBA одночасно, замість оцінювати заявки кожної програми ізольовано.
- Отримати доступ до зовнішніх джерел даних для незалежної перевірки того, що повідомляють заявники, замість покладатися виключно на самостійно надану інформацію, яку контролює зловмисник.
Обидві рекомендації залишаються відкритими. На практиці це означає, що мережа виявлення шахрайства, з якою зараз працює SBA, все ще має ті ж структурні прогалини, які дозволили частині допомоги епохи пандемії просочитися — і це та сама інфраструктура, яка лежить в основі перевірки на шахрайство для всього, що буде далі, чи то майбутня програма екстреного кредитування, чи звичайне андеррайтинг 7(a) та позик при лихах сьогодні.
Прогалина в ІТ: Платформа, що стоїть за вашими сертифікаціями
Другий блок є більш технічним, але, мабуть, більш руйнівним у повсякденній роботі: Єдина сертифікаційна платформа SBA, система, створена для того, щоб малий бізнес міг подавати заявки на сертифікації для програм федеральних контрактів, таких як 8(a), HUBZone, WOSB та VOSB, та підтримувати їх в одному місці замість того, щоб мати справу з окремими застарілими системами.
Спеціальний огляд GAO цієї платформи (GAO-25-106963) показав, що SBA не виконала базову підготовчу роботу, яка запобігає збою великого ІТ-проекту:
- Відсутність стратегії управління ризиками на рівні проекту та плану пом'якшення ризиків.
- Ризики не були повністю ідентифіковані або задокументовані.
- Відсутність задокументованого плану управління ризиками кібербезпеки, специфічними для платформи.
- Відсутність аналізу відстежуваності для підтвердження того, що вимоги безпеки системи були фактично виконані — прогалина, яка, за словами GAO, підвищує ймовірність успішної кібератаки.
GAO видало 14 рекомендацій лише з цього огляду. Відповідь SBA була неоднозначною: вона погодилася з 3, частково погодилася з 3 і категорично не погодилася з 8 — тобто частина виявленого ризику взагалі не має чіткого шляху до виправлення. Окрім сертифікаційної платформи, GAO також виявило невирішені прогалини в плануванні кадрового забезпечення конфіденційності SBA та постійні слабкі місця відповідно до Закону про модернізацію федеральної інформаційної безпеки (FISMA), що були незалежно підтверджені власним Генеральним інспектором SBA та зовнішніми фінансовими аудиторами.
Що це означає, якщо ви подаєте заявку
Нічого з цього не означає, що не варто користуватися програмами SBA — позики 7(a), 504, допомога при лихах та сертифікації для контрактів залишаються одними з найцінніших інструментів фінансування та зростання, доступних малому бізнесу, часто на умовах, які приватний ринок не пропонує. Але такий звіт є корисним сигналом скоригувати свої очікування та власні звички:
- Очікуйте тертя в сертифікаційній платформі. Якщо ви подаєте заявку на сертифікацію 8(a), HUBZone, WOSB або VOSB або поновлюєте її, закладіть додатковий час і не припускайте, що застрягла або глючна заявка означає, що ви зробили щось не так. Зберігайте підтверджувальні скріншоти та листування на кожному етапі — з системою, якій, за словами GAO, бракує базової документації з ризиків, ваш власний паперовий слід є вашим найкращим захистом.
- Тримайте власні записи в ідеальному порядку. Збій із передачею звернень про шахрайство, який виявило GAO, насправді не стосувався шахрайства — він стосувався якості даних. Дублікати записів, відсутні поля та непослідовна інформація засмітили систему, призначену для виявлення зловмисників. Як законний заявник, чим чіткіші та внутрішньо узгодженіші ваші фінансові записи, тим менш імовірно, що невідповідність даних сповільнить вашу власну заявку або спровокує непотрібну перевірку.
- Не припускайте, що "схвалено" означає "остаточно". Оскільки зовнішня перевірка даних залишається прогалиною, а не силою, деякі речі, які SBA наразі приймає за чисту монету, можуть бути переглянуті пізніше, коли агентство (з часом) розбудує кращі механізми перехресної перевірки. Документація, яку ви можете надати на вимогу, захистить вас у будь-якому випадку.
Чисті книги — ваш найкращий захист від системи, яка лагодиться
Беклог федерального агентства з ІТ та контролю шахрайства не є чимось, що власник малого бізнесу може виправити — але ви можете контролювати, наскільки добре задокументована та внутрішньо узгоджена ваша власна фінансова картина, що є саме тим чистим, верифікованим записом, який, за словами GAO, системи SBA наразі важко перевіряють самостійно. Beancount.io пропонує вам бухгалтерію у звичайному тексті, яка є прозорою, має контроль версій і легко передається або перевіряється щоразу, коли цього вимагає кредитор, адміністратор програми або ваш власний спокій — без чорної скриньки, без прив'язки до постачальника. Почніть безкоштовно і тримайте свої записи готовими до всього, що підкине процес.