Cum își pot proteja firmele banii când un singur angajat controlează toate plățile
Veverita Aliona
11 min read
În multe firme mici și mijlocii, aceeași persoană ajunge să pregătească plățile, să le transmită către bancă, să țină evidența facturilor și să verifice dacă banii au plecat. Situația apare de obicei din motive practice, nu pentru că administratorul ar vrea să construiască un sistem vulnerabil. Când echipa este restrânsă, pare firesc ca un angajat experimentat să preia aproape tot ce ține de operațiunile financiare. Problema începe atunci când această concentrare de responsabilități nu mai este văzută ca o soluție temporară, ci devine modul permanent în care funcționează firma. În acel moment, compania nu mai depinde doar de competența angajatului, ci și de corectitudinea lui, de accesul pe care îl are și de capacitatea conducerii de a observa o abatere. Riscul nu înseamnă automat fraudă, pentru că un angajat poate fi perfect onest și totuși poate greși, poate pierde o parolă sau poate aproba din neatenție o plată greșită. Tocmai de aceea, controlul financiar nu ar trebui construit în jurul ideii că oamenii trebuie suspectați, ci în jurul ideii că procesele trebuie verificate. Eurostat arată că, în 2024, 91,67% dintre întreprinderile din România cu cel puțin 10 persoane ocupate foloseau cel puțin o măsură de securitate informatică, însă doar 49,45% aveau documente privind măsurile, practicile sau procedurile de securitate informatică. Diferența este importantă pentru un administrator, deoarece existența unei măsuri de protecție nu înseamnă neapărat că există și un proces clar pentru folosirea ei. O firmă poate avea parole puternice, autentificare în doi pași și acces la internet securizat, dar să permită în continuare unei singure persoane să inițieze și să controleze integral plățile.
Plata nu ar trebui să înceapă și să se termine la aceeași persoană
Cel mai important principiu pentru o firmă care vrea să reducă riscul este separarea responsabilităților. În forma cea mai simplă, persoana care introduce sau pregătește o plată nu ar trebui să fie singura care o aprobă. Acest lucru nu presupune neapărat angajarea unui departament financiar întreg. Într-o firmă mică, verificarea poate fi făcută de administrator, de directorul financiar, de un asociat sau de o altă persoană desemnată formal. Important este ca verificarea să fie reală și să existe înainte de plecarea banilor. Dacă angajatul introduce o plată de 80.000 de lei și tot el o aprobă, compania nu are un al doilea punct de control. Dacă administratorul aprobă plata fără să verifice factura, beneficiarul și motivul plății, existența unei a doua persoane devine doar o formalitate. Un sistem bun trebuie să răspundă clar la patru întrebări: cine cere plata, cine verifică documentele, cine aprobă și cine poate efectiv transfera banii. Separarea poate fi aplicată și gradual, în funcție de valoarea tranzacției. De exemplu, o plată curentă de 500 de lei poate avea un flux simplu, în timp ce o plată de 50.000 de lei poate necesita verificarea suplimentară a contractului, facturii și beneficiarului.
Drepturile bancare trebuie limitate, nu acordate după principiul încrederii
Unul dintre cele mai mari riscuri apare atunci când angajatul care gestionează plățile are acces complet la conturile companiei. Accesul ar trebui acordat în funcție de responsabilitatea concretă, nu în funcție de poziția informală pe care persoana o are în firmă. Dacă un angajat trebuie doar să pregătească plăți, nu există un motiv operațional pentru ca el să poată modifica toate setările bancare, să adauge beneficiari fără verificare sau să schimbe limitele de tranzacționare. Drepturile utilizatorilor trebuie revizuite periodic, mai ales după schimbarea funcției, plecarea unui angajat sau modificarea responsabilităților. Un cont comun folosit de mai multe persoane este, de asemenea, mai greu de controlat decât conturile individuale, deoarece devine dificil de stabilit cine a efectuat o anumită acțiune. Într-un sistem bine organizat, fiecare utilizator ar trebui să aibă propriile date de acces, iar banca să păstreze istoricul operațiunilor. Autentificarea în doi pași ar trebui activată acolo unde este disponibilă, iar codurile de autorizare nu ar trebui comunicate altor persoane. Eurostat arată că autentificarea puternică prin parole era în 2024 cea mai răspândită măsură de securitate informatică în întreprinderile europene, folosită de 84% dintre acestea, în timp ce controlul accesului la rețea era folosit de 65%.
Factura trebuie verificată înainte ca banii să plece
O plată nu ar trebui să fie justificată doar prin existența unei facturi în sistemul contabil. Factura trebuie legată de o comandă, un contract, un proces de recepție sau o altă dovadă că bunul ori serviciul a fost solicitat și primit. Dacă aceeași persoană poate introduce furnizorul, poate încărca factura și poate efectua plata, riscul crește chiar dacă documentele par corecte la prima vedere. O procedură simplă poate cere ca, înainte de plată, să fie verificate cel puțin furnizorul, suma, contul bancar, scadența și documentul care justifică obligația. Pentru furnizorii noi, verificarea ar trebui să fie mai atentă decât pentru un furnizor cu care firma lucrează de ani de zile. Schimbarea contului bancar al unui furnizor existent merită tratată separat, deoarece o modificare aparent banală poate direcționa plata către un cont greșit. Confirmarea schimbării printr-un canal independent, folosind datele de contact deja cunoscute ale furnizorului, este mai sigură decât verificarea exclusivă prin mesajul în care a fost transmis noul cont. O regulă asemănătoare poate fi aplicată și în cazul facturilor urgente sau al solicitărilor venite de la conducere prin mesaje scurte.
Plafoanele de plată pot limita pierderea atunci când ceva merge prost
Un alt instrument util este stabilirea unor limite de plată în funcție de rolul utilizatorului și de tipul tranzacției. O persoană care achită furnizori curenți nu are nevoie în mod normal de aceeași capacitate de autorizare ca administratorul companiei. Limitele pot fi stabilite pe tranzacție, pe zi sau pe un anumit tip de operațiune, în funcție de facilitățile oferite de banca firmei. Dacă apare o eroare, o limită mai mică poate reduce pierderea înainte ca situația să fie observată. Să presupunem că un angajat are nevoie să efectueze în mod obișnuit plăți de până la 10.000 de lei, iar compania îi oferă acces direct pentru tranzacții de 200.000 de lei. Diferența dintre cele două valori reprezintă o capacitate de risc pe care firma și-a asumat-o fără să fie neapărat necesară. Pentru plățile care depășesc un anumit prag, poate fi introdusă o aprobare suplimentară din partea administratorului sau a unui asociat. În acest fel, controlul se concentrează asupra tranzacțiilor cu impact financiar mare și nu transformă fiecare plată mică într-o procedură birocratică. Pragurile trebuie însă revizuite atunci când cifra de afaceri, volumul achizițiilor sau structura firmei se schimbă. O limită prea mică poate bloca activitatea, iar una prea mare poate deveni inutilă ca instrument de protecție.
Administratorul trebuie să vadă banii fără să preia munca contabilului
Controlul financiar nu înseamnă că administratorul trebuie să verifice manual fiecare factură sau să facă munca departamentului contabil. Înseamnă să primească periodic informațiile care îi permit să observe rapid abaterile. Un raport simplu poate arăta plățile efectuate într-o perioadă, cele mai mari transferuri, furnizorii noi, schimbările de cont și tranzacțiile care au depășit anumite praguri. Administratorul poate verifica apoi doar operațiunile care ies din tiparul normal. Această abordare este mai eficientă decât controlul haotic, făcut doar atunci când apare o suspiciune. Pentru o firmă mică, un raport săptămânal poate fi suficient pentru plățile importante, în timp ce companiile cu volume mari pot avea nevoie de monitorizare mai frecventă. Important este ca raportul să ajungă la o persoană care nu a inițiat toate operațiunile prezentate. Dacă angajatul care efectuează plățile își pregătește singur și raportul de control, există riscul ca verificarea să reproducă aceeași eroare. În plus, administratorul ar trebui să urmărească nu numai totalul plăților, ci și modificările față de comportamentul obișnuit al firmei.
Evidența contabilă nu trebuie să fie singurul loc unde se verifică banii
Reconcilierea dintre conturile bancare și evidența contabilă este una dintre cele mai importante verificări pentru orice companie. Ea arată dacă operațiunile din conturile bancare corespund cu ceea ce apare în evidențele firmei. Dacă aceeași persoană efectuează plățile și are control exclusiv asupra evidențelor folosite pentru verificare, compania trebuie să introducă un control suplimentar. În caz contrar, o operațiune greșită poate rămâne ascunsă mai mult timp, mai ales dacă verificarea se face doar formal. Administratorul poate solicita periodic o reconciliere efectuată de o altă persoană decât cea care inițiază plățile. În funcție de volumul tranzacțiilor, verificarea poate fi făcută zilnic, săptămânal sau lunar, însă frecvența trebuie stabilită în funcție de risc. Cu cât firma are mai multe tranzacții și sumele sunt mai mari, cu atât întârzierea dintre operațiune și verificare devine mai problematică. Nu este suficient să se constate la sfârșitul anului că totalul pare corect. Controlul trebuie să permită identificarea diferențelor atunci când informația este încă proaspătă și documentele pot fi urmărite ușor. O companie poate folosi și rapoarte automate din sistemul bancar sau contabil, dar automatizarea nu elimină nevoia unei persoane care analizează rezultatul. În 2024, 49,45% dintre întreprinderile românești analizate de Eurostat declarau că aveau documente privind măsurile, practicile sau procedurile de securitate informatică, iar 40,50% le definiseră sau revizuiseră în ultimele 12 luni.
O firmă nu trebuie să depindă de un singur om
Dependența de un singur angajat este și un risc operațional, nu doar unul financiar. Dacă persoana care controlează plățile intră în concediu, își pierde accesul, pleacă din companie sau devine indisponibilă, firma poate descoperi că nu mai știe cine trebuie să efectueze anumite operațiuni. Situația poate deveni critică atunci când parolele, procedurile și relațiile cu banca sunt cunoscute de o singură persoană. Pentru fiecare funcție financiară importantă ar trebui să existe cel puțin o persoană de rezervă care știe procesul și poate prelua responsabilitatea în condiții controlate. Acest lucru nu înseamnă că toți angajații trebuie să aibă acces la conturile companiei. Înseamnă că firma trebuie să aibă documentate procedurile și să poată transfera responsabilitatea fără să piardă controlul asupra banilor. O listă internă poate stabili cine gestionează plățile, cine aprobă, cine verifică documentele și cine intervine în cazul indisponibilității unei persoane. Documentarea este importantă și pentru că memoria angajatului nu este un sistem de control. Eurostat arată că, în 2024, 67,51% dintre întreprinderile din România cu cel puțin 10 persoane ocupate declarau că își informau personalul despre obligațiile privind securitatea informatică.
Schimbarea contului unui furnizor trebuie tratată ca o operațiune sensibilă
Una dintre cele mai simple măsuri pe care o firmă le poate introduce este o procedură specială pentru schimbarea datelor bancare ale furnizorilor. Nu orice mesaj primit de la o adresă cunoscută trebuie considerat suficient pentru modificarea contului în baza de date. O solicitare de schimbare poate fi verificată printr-un număr de telefon deja existent în evidențele companiei, nu printr-un număr transmis în același mesaj. Verificarea trebuie făcută înainte ca următoarea factură să fie plătită. Dacă modificarea este introdusă de persoana care face și plata, riscul crește pentru că același angajat controlează ambele etape. O soluție mai sigură este ca schimbarea să fie înregistrată de o persoană și verificată de alta, cel puțin pentru furnizorii importanți. Firma poate păstra și istoricul modificărilor, astfel încât să poată vedea cine a schimbat datele, când și în baza cărui document. Această evidență este utilă atât pentru prevenție, cât și pentru investigarea unei probleme. Procedura ar trebui să includă și situațiile în care furnizorul își schimbă banca, denumirea, persoana de contact sau alte date relevante pentru plată. Cu cât firma are mai mulți furnizori, cu atât este mai important ca baza de date să nu poată fi modificată fără urmă. Controalele nu trebuie să fie complicate pentru a fi eficiente.
Telefonul și mesajele nu trebuie să devină scurtături pentru aprobări
În multe firme, o parte dintre deciziile financiare se mută în conversații rapide, pe telefon sau prin aplicații de mesagerie. Problema nu este folosirea acestor instrumente în sine, ci faptul că o aprobare verbală sau un mesaj scurt poate ajunge să înlocuiască documentarea unei decizii financiare. Când un administrator spune aprobă plata și angajatul execută imediat, firma poate rămâne fără o evidență clară a documentelor verificate și a motivului pentru care plata a fost aprobată. Pentru plățile importante, aprobarea ar trebui să fie legată de documentele relevante și de o persoană identificabilă. Dacă o solicitare apare în afara procedurii obișnuite, aceasta ar trebui tratată ca o excepție și verificată suplimentar. Riscul crește atunci când angajatul primește instrucțiuni de la cineva care pretinde că este administratorul sau directorul, dar solicitarea nu poate fi confirmată printr-un canal independent. Firmele pot stabili reguli simple pentru astfel de situații, inclusiv obligația ca plățile neobișnuite să fie confirmate printr-un canal deja cunoscut. Eurostat arată că, în 2024, 27,36% dintre întreprinderile românești cu cel puțin 10 persoane ocupate au raportat incidente de securitate informatică care au produs consecințe, categorie care include indisponibilitatea serviciilor, distrugerea sau coruperea datelor și divulgarea unor informații confidențiale. Cifra nu înseamnă că toate aceste incidente au fost legate de plăți, dar arată că riscurile informatice au consecințe concrete pentru companii.
Controlul trebuie verificat înainte să fie nevoie de el
O procedură care există doar într-un document și nu este testată poate da conducerii o senzație falsă de siguranță. Administratorul ar trebui să verifice periodic dacă regulile sunt respectate în practică și dacă fiecare etapă lasă o urmă verificabilă. Un control poate începe cu câteva întrebări simple despre o plată aleasă aleatoriu. Cine a solicitat plata, cine a verificat factura, cine a aprobat-o, cine a transmis-o băncii și unde există dovada fiecărei etape sunt întrebări care ar trebui să poată primi răspuns fără căutări interminabile. Dacă răspunsurile depind de memoria unui singur angajat, procesul este prea concentrat. Dacă documentele există, dar nimeni nu le verifică, controlul este mai degrabă decorativ. Testarea poate fi făcută lunar sau trimestrial, în funcție de dimensiunea și riscul companiei. Nu este nevoie ca fiecare verificare să fie anunțată cu mult timp înainte, deoarece scopul este să se observe cum funcționează procesul în condiții normale. Rezultatele pot fi consemnate într-un registru intern, împreună cu eventualele probleme și măsurile luate. Dacă aceeași eroare apare repetat, conducerea trebuie să modifice procedura, nu doar să îi reproșeze angajatului că a greșit. Eurostat arată că 40,50% dintre întreprinderile românești analizate în 2024 își definiseră sau revizuiseră în ultimele 12 luni documentele privind măsurile și procedurile de securitate informatică.
Pentru o companie în care un singur angajat controlează astăzi toate plățile, schimbarea nu trebuie făcută printr-o reorganizare costisitoare și bruscă. Primul pas este inventarierea tuturor acceselor pe care le are persoana respectivă la conturi bancare, aplicații contabile, documente, baze de date și sisteme de plată.
