Ліміти затвердження платежів для команди з двоє фінансистів: практична матриця розподілу платежів

Ваш бухгалтер створює постачальника, вносить рахунок, затверджує платіж і звіряє банківський рахунок. Все сходиться. І саме в цьому проблема: коли одна людина контролює платіж від початку до кінця, ваші книги збалансуються рівно до того дня, коли ви виявите, що не повинні були.

Ось неприємна математика. Організації втрачають оцінено 5% доходу через професійне шахрайство щорічно, медіанний випадок коштує близько $145,000, і це триває около 12 місяців, перше ніж хтось замітить. Малі організації страждають більше, чем хто: бізнеси с менше, чем 100 співробітників, мають медіанні втрати від шахрайства около $141,000 — другая по величині среди всі груп — якраз тому, ща воні працюють с меньшими контролями. Схеми з випискою рахуноків і подробка чеків та платежей домінують у малих організаціях, а дослідники відмічають відсутствие внутрішніх контролів як первичну слабину приблизно в третіх частині всі випадків.

Ви не можете найняти собі виход с цієї ситуації с командою з двоє людей. Но вам і не треба. Вам треба письменна матриця затвердження платежів: одностранична схема, ща писалла, хто може створювати, затверджувати, відправляти та звіряти кожен тип платежу, при якому доларовому ліміті, и что происходит, коли платіж перевищує его. Цей гід дає вам цю матрицю, ліміти для неї, і компенсуючі контролі, що покривають те розриви, які двоє людей не можуть розділити.

Чому команди з двоє людей — є сама ризикована форма​

Классичний внутрішній контроль припускає фінансовий відділ: одно людина заказує, другая приймає, третья затверджує, четверта платит, п'ята звіряє. Команда з двоє — скажем, владелец і бухгалтер, або бухгалтер і офис-менеджер — не може так робить. Одна людина завжди буде носить кілька шапок, і некоторые комбинації шапок опасні:

• Створення постачальників + затвердження рахуноків позволяє людині вигадати постачальника и заплатити его.
• Затвердження платежів + відправка платежів позволяє людині авторізувати та виконати свій власний платіж.
• Відправка платежів + звірка банківського рахунку позволяє людині платити и потім приховати платіж.

Це не гіпотетичний сценарий відмови. Классичне шахрайство малого бізнесу — це довірений старожил, часто їдина людина, що "знає книги", — який годами проводит платежи на схожего постачальника або роздуває сумми компенсаций. Схема живе, потому що никто інший ніколи не смotрitt на повний цикл. Розділення обов'язків — не все або ничего: ви розділяєте то, що можете, а потім покриваєте розриви контролями нагляда. Матриця нижче — як ви рішаєте, що есть что.

Чотири шапки: Створення, Затвердження, Відправка, Звірка​

Каждый платіж проходит через чотири ролі. Назвіте их явно, потому що "бухгалтер веде кредиторскую задолженность" припускає, що один челове виполняет все чотири:

• Створення. Ввод рахунку або компенсацii, настройка постачальника, ввод рахунку в бухгалтерскую систему. Это ввод данных с последствиями: что-то, созданное здесь, станет обязательством, которое вы заплатите.
• Затвердження. Сказать "да" — подтвердить, что товари або послуги були получені, ціна и кількість відповідают, расход законний і в бюджеті, а документація повна. Затвердження — это рішення, а не формальність.
• Відправка. Безпосредственне переміщення денег: підписання чека, натисканне "платити" в системі оплати рахуноків, отправка партії ACH, переведення wire-переводу. Відправка — это володіння активом.
• Звірка. Незалежна проверка после факту: співпадіння банківського випису з книгами, привязка реєстра кредиторської задолженности к контрольному рахунку, перегляд тих, кому платили, и відмітка будь-чого дивного.

Правило сумісности простое: ні одна людина не должна владіти всеми чотирма шапками для одного платежу, і дві пари, що ніколи не можуть сумішуватися, — это затвердження-плюс-відправка і відправка-плюс-звірка. Если ваш бухгалтер відправляє платежі, то ктось інший звіряє банківський рахунок. Если ваш офис-менеджер затверджує рахунки, то ктось інший натискає "платити". Все інше в этому гіді — это примененє этого речення.

Матриця: Хто що робить, при якому ліміті​

Строїте ето як фактичну таблицу — електронну таблицу або страницу в вашому пособі — с одним рядком на кожен тип транзакції. Ролі, а не імена: пішіте "Бухгалтер" і "Владелец", чтобы політика пережила зміну співробітників. Ось стартова модель для типовой двучленної команди:

Ви замітите одну намеренну перекрытку: бухгалтер і затверджує, і відправляє малі періодичні рахунки. Це виключенє, що підтверджує правило, і оно існує тільки благодаря варіантному тригеру и щомісячному перегляду владельца, що його окружають — прибєрите одне з них, и виключенє мусить зникнути. Відноситеся до доларових сумм як до примірів для калібровки, а не як до універсальних рекомендацій. Ліміт у $1,000 для рутинних операцій підходить для бізнеса, що втрачає $40,000 на месяц; масштабуйте свій так, щоб владелец переглядував приблизно верхні 10–20% платежей по вартости. Структурні моменти, які треба зберегти: незабюджетовані витрати и політичні виключеня мають $0 ліміт (они завжди ескалуються), зміни реестру постачальників завжди вимагають владельца, а тот, хто звіряє, никогда не відправляє.

Дві деталі роблють ліміти успішними. Перше, визначте ліміт по повній вартости обязательства, а не по первому платежу: контракт на $400 на месяц на 24 месяці — це рішення на $9,600 і мусить ескалуватися як єдине. Друге, запишіте ескалацію как пару — кому она ідёт и точний тригер ("владельцю, коли понад $1,000 або вні бюджету") — чтобы нікому не приходилося решать, мусить лі суждение буть применено.

Контроль, який всі пропускають: Реестр постачальників​

Большинство малих бізнесів охороняють підписання чеків, але лишають реестр постачальників відкритим. Це наоборот. Фіктивний постачальник — это несущая стена схем шахрайства через рахунки: как тільки фальшивий постачальник існує в системі с данними платежей, подконтрольними злоумышленнику, каждый рахунок після нього виглядить законним.

Заприте реестр постачальників чотирьма правилами:

1. Тільки владелец (или не-AP людина) затверджує нових постачальників і зміни. Людина, що вводить рахунки, не повинна мати можливости добавлять платіжніх адресатів або редагувати банківські данні без вызова.
2. Незалежна проверка перше первым платежом. Позвоніте постачальнику по публічному номеру — не по номеру на рахунку або в письмі с зміною — щоб підтвердити платіжні адреса і номера рахуноків. Цей один телефонний звонок перемагає и фіктивних постачальників, и перемаршрутизацію через компрометацию бізнес-пошти.
3. Вимогайте W-9 перед настройкою для послуг США. Это примушує реальні ім'я, адрес і податковий номер попасть в файл, що є и кроком комплаенса, и фільтром шахрайства: фальшиві постачальники проваллюють бумажную работу.
4. Переглядуйте і очищайте щоквартально. Деактивируйте постачальників без активності за 12 місяцев, объединяйте дубликати, и скануйте на схожих ("Acme Corp" проти "Acme Corp." проти "Acme Consulting"). Дормантні і дублікатні записи — это місто, де ховаються "ражні" рахунки.

Три-сторонне співпадіння, версія для малої команди​

Підприємницька AP звіряє каждый рахунок трима способами — замов на покупку, запис про получення, рахунок — перше оплатой. Ви можете запустити лігчшу версію без закупочного відділу:

• Для товаров: рахунок мусить співпасти с пакковим листом, фото доставки або отриманим письмом, підтверджувшим, що товар прийшов, плюс затвердження, що ціна и кількість вірні.
• Для послуг: рахунок мусить співпасти с поставочным результатом, підтверденіем етапу або зводою по часу, плюс затвердження від того, хто отримав роботу.
• Для періодичних рахуноків: пропустіть співпадіння, но обов'яжіть правило варіантности — будь-чо, що змінилося більше, чем на ~10% от минулого месяца, ескалюється для перегляду перше оплатой.

Штампуйте або відмічайте рахунки як оплачені в системі в момент відправки, і никогда не платите з копії або пересланого письма, коли оригінальный рахунок відсутствует. Дублікатні платежі — найбільше часта непрямушена помилка в малих AP-отделах, і "плати тільки с оригиналу, відміченого как оплачений" запобігає большинству з них.

Звірка: ваш детективний резерв​

Профилактичні контролі (затвердженя, ліміти) зупиняють плохі платежі. Детективні контролі знаходять ті, що прослизнули — і в команді з двоє людей, детекція несе додаткову вагу, потому що профилактика никогда не може бути абсолютною. Призначте звірку тому, хто не відправляє платежі, и зробіть ее дійсно незалежну:

• Банківська звірка не-відправляючим, переглядувана владельцем. Если бухгалтер платить по рахункам, владелец (або зовнішний бухгалтер) звіряє банківський рахунок і фактично читає випису — отримувателів, сумми, підтвердженя — а не тільки зв'язує баланс.
• Тільки-читательский доступ до банку для переглядувателя. Большинство банків предлагають view-only логіни і доступ до виписів только на чтение. Переглядувач повинен мати можливість всё бачити і ничего не переміщати.
• Positive pay, если ваш банк его предлагає. Вы отправляєте список випущенних чеків або ACH-инициацій; банк відхиляє всі, чого нема в списку. Це найбільше еффективний контроль проти чекового шахрайства, доступний малих бізнесам, и многі банки включають базовый positive pay безкоштовно с бизнес-рахунком.
• Щомісячный перегляд владельца с зубами. Пятнадцать хвилин, каждый месяц: старіння кредиторської задолженности, журнал нових постачальників, повернені, и будь-які платежі понад рутинного ліміту. Подписать и датувати его. Перегляд, який никто не документує, — это перегляд, який перестає відбуватися.

Компенсуючі контролі для того, що ви не можете розділити​

Деякі перекрытки непереборимі при двох людях. Кожна отримує названий компенсуючий контроль:

• Обов'язкова перекрестна подготовка и покриття відпусток. Кожна критична функція повинна бути виконаєма іншим человеком — и раз на год, она повинна бути виконана, пока основный полностью офлайн не менше тиждня. Схеми, що вимагають ежедневного приховання, швидко проявлються, коли прихователь на пляжі. Если "тільки Пат може вести зарплату" є правдою в вашому бізнесі, то це речення — ваш реєстр ризиків.
• Сюрпризні точкові перевірки. Щоквартально, владелец витягує п'ять случайних оплаченних рахуноків и проследує каждый от оригінального рахунку через затвердження до банківського списання. Непередбачуваність — это контроль: планну перевірку грають; случайна не може бути підготовлена.
• Двойна авторізація на wire-переводах и нових отримувателях. Настройте банк так, щоб wire-переводи понад порогу — або до будь-якого нового отримувателя — вимагали два різних логіна для відправки. Это контроль на стороні банку, لذلك он тримається, навіть когда ваш внутрішний процес колышется.
• Ролі, закріплені в системі, а не на честному слові. Если ваша бухгалтерська программа підтримує робочі процеси затвердженя и рівні прав, включіте их: бухгалтер вводить, а владелец затверджує внутрі системи, с аудиторським журналом, який никто не може редагувати. Матриця на папері плюс адмін-права для всіх — это декорація.
• Зовнішний глаз один раз на год. CPA або контрактный контролер, який переглядує книги щорічно, ротує місяці, які вони вивчають, и звітує перед владельцем — а не перед бухгалтером — это найдешевше розділення обов'язків, яке можна купити.

П'ять помілок, що убивають всю матрицю​

1. Формальні затвердженя. Владелец, який затверджує кожен рахунок в пятничной партії, не читаючи их, має підпис, а не контроль. Если об'єм робить реальний перегляд неможливим, підніміте рутинний ліміт и переглядайте менше платежей якісно, а не много поверхностно.
2. Ліміти, що існують тільки на папері. Если бухгалтер може перевищити ліміт в бухгалтерській системі и в банку без затруднень, ліміт — это рекомендація. Заставьте его виконуватися в правах, ролях оплати рахуноків и банківських лімітах переводу.
3. Одна людина держить банківський токен и книги. Хто може переміщувати гроші в банку, не повинен бути їдиным, хто записує рух. Разділіть токен від реєстра, завжди.
4. Затвердженя власних витрат. Засновники — найгідші порушнители: витрати владельца, компенсації владельца и виводи владельца без другого перегляду. Співвладелець, супруг-партнер або CPA перегляд тримає верх матриці честним.
5. Ігнорированє малих повторяючихся витрат. Шахрайство тестируется на малих суммах, а абонентський повзучок втрачає реальні гроші. Щоквартальний перегляд постачальників и правило 10%-варіантности існують для $49-витрат, а не для $49,000-витрат.

Ваш чеклист на 30 дней​

• Тиждень 1: Спишіте кожен тип платежу, який ви робите, и начертите матрицю с текущей реальностю в каждой клітинці. Прогали, які ви знайдете, — это план проекту.
• Тиждень 2: Встановіть рівелі ліміти, правило $0 для незабюджетованных, и пари ескалації. Настройте права програмного забезпечення и банківській двойний контроль відповідно.
• Тиждень 3: Очистіть реестр постачальників (деактивуйте дормантних, объединяйте дубликати), зберіть відсутствуючі W-9, и перевірьте банківські данні вашого десяти найбільших отримувателів телефонним звонком.
• Тиждень 4: Проведіть перший щомісячный перегляд владельца, запланіруйте щоквартальні точкові перевірки на год, и підпишіте матрицю, де обоє людей могли його знайти.

Починте застосовувати с першого дня другого месяці. Контроль с датой "почнем скоро" — это контроль, що никогда не начинається.

Тримайте каждый долар у обліку​

Матриця затвердженя платежів працює тільки тоді, коли записи під ним повні и довіренні — каждое затвердження прив'язано до реального рахунку, каждое отримання прив'язано до банківського руху, каждна звірка проследується місяци пізніше. Это означає дисциплинированну бухгалтерію: своєчасное введеннє, чиста стара кредиторська заборгованість, аудиторський слід, якому ви можете слідити. Если ви хочете ваші фінансові записи в формaті, що є прозрачным, версіонованым і легким для перегляду ряд рядком, Beancount.io предлагає plain-text бухгалтерію, що ставить каждную транзакцію в читаємом файлі, яким ви владеєте. Почніть безкоштовно и дайте вашій команді з двоє людей тот ясний реєстр, на который его нові контролі заслужують. Для візуального щомісячного перегляду, скомбинуйте его с Fava dashbordом, щоб сканувати витрати по рахункам перед підписанням.