Jak zabezpieczyć firmę przed wyłudzeniami faktur

Wielowarstwowe podejście do bezpieczeństwa

Skuteczna ochrona przed wyłudzeniami faktur wymaga działań na trzech poziomach:

1. Procedury – jasne zasady weryfikacji i akceptacji.
2. Technologia – narzędzia, które wspierają kontrolę.
3. Ludzie – świadomość zagrożeń i dobra kultura pracy.

Żaden pojedynczy element nie wystarczy.

Nawet dobry system informatyczny nie pomoże, jeśli pracownicy nie wiedzą, jak rozpoznać próbę oszustwa. I odwrotnie: same szkolenia nie wystarczą, jeśli w firmie nie ma prostych, obowiązkowych zasad.

Warto też pamiętać, że KSeF nie usuwa całego ryzyka oszustw fakturowych. KSeF sprawdza przede wszystkim zgodność faktury z wymaganiami systemu, uprawnienia i dane techniczne, ale nie potwierdza automatycznie, że transakcja rzeczywiście miała miejsce, że była uzasadniona biznesowo ani że kontrahent działa uczciwie.

Poziom 1: Procedury organizacyjne

Rozdział obowiązków

Zasada:

Jedna osoba nie powinna samodzielnie przejść całej ścieżki od otrzymania faktury do wykonania płatności.

Przykładowy podział:

• Osoba A wprowadza fakturę do systemu.
• Osoba B potwierdza merytorycznie, że dostawa lub usługa faktycznie miała miejsce.
• Osoba C akceptuje płatność.
• Osoba D przy wyższych kwotach daje dodatkową zgodę.

W małej firmie:

Jeżeli nie ma tylu osób, wprowadź przynajmniej zasadę „drugiej pary oczu” dla płatności powyżej ustalonego progu.

Procedura weryfikacji nowego kontrahenta

Przed pierwszą płatnością do nowego dostawcy wykonaj trzy kroki.

1. Weryfikacja rejestrowa

   • sprawdzenie w KRS albo CEIDG,
   • sprawdzenie statusu podatnika VAT,
   • potwierdzenie podstawowych danych firmy i kontaktu.

2. Weryfikacja biznesowa

   • kto zamówił usługę albo towar,
   • czy istnieje umowa, zamówienie albo inne potwierdzenie współpracy,
   • czy kontakt po stronie kontrahenta jest wiarygodny.

3. Weryfikacja płatności

   • sprawdzenie rachunku na Białej Liście podatników VAT,
   • porównanie danych z dokumentami i ustaleniami handlowymi,
   • opcjonalnie dodatkowe potwierdzenie przy pierwszej płatności.

Procedura zmiany danych kontrahenta

Każda zmiana rachunku bankowego albo danych kontaktowych powinna przejść dodatkową kontrolę.

1. Potwierdzenie dwoma kanałami

   • informacja przekazana np. e-mailem,
   • osobne potwierdzenie telefoniczne.

   Telefon wykonuj na numer zapisany wcześniej w kartotece kontrahenta, a nie na numer podany w nowej wiadomości.

2. Dokument potwierdzający

   • np. wiadomość z firmowego adresu e-mail,
   • a przy wyższym ryzyku także dodatkowy dokument lub pisemne potwierdzenie.

3. Czas na weryfikację

   • zmiana nie powinna działać od razu,
   • warto zostawić 24–72 godziny na sprawdzenie.

4. Ślad w dokumentacji

   • kto wprowadził zmianę,
   • kiedy to zrobił,
   • na jakiej podstawie.

Limity akceptacji

Ustal progi, od których potrzebna jest dodatkowa zgoda.

Uwaga: Limity trzeba dopasować do wielkości firmy i typowych wartości faktur.

Procedura płatności pilnej

Czasem płatność rzeczywiście trzeba wykonać szybko. Taka ścieżka nie może jednak oznaczać rezygnacji z najważniejszych kontroli.

Dobra procedura pilnej płatności powinna:

• pozwalać działać szybko w uzasadnionych przypadkach,
• nie omijać kluczowych sprawdzeń,
• wymagać udokumentowania odstępstwa,
• przewidywać późniejszą kontrolę.

Przykład:

Płatność pilna wymaga:

• zgody dwóch osób upoważnionych,
• późniejszego pisemnego potwierdzenia,
• sprawdzenia rachunku na Białej Liście podatników VAT,
• odnotowania, dlaczego zastosowano tryb pilny.

Poziom 2: Rozwiązania technologiczne

Weryfikacja rachunku na Białej Liście

W praktyce najlepiej, aby rachunek był sprawdzany przed wykonaniem przelewu.

Taki mechanizm może:

• automatycznie sprawdzać rachunek,
• ostrzegać przy niezgodności,
• blokować płatność do czasu wyjaśnienia,
• zapisywać wynik sprawdzenia na potrzeby kontroli wewnętrznej.

Możliwe rozwiązania:

• integracja z wykazem podatników VAT Ministerstwa Finansów,
• gotowe funkcje w systemach finansowo-księgowych lub ERP,
• zewnętrzne narzędzia wspierające weryfikację.

Alerty o nietypowych sytuacjach

System finansowy powinien ostrzegać m.in. wtedy, gdy pojawia się:

• nowy kontrahent,
• zmiana rachunku bankowego,
• nietypowa kwota,
• nietypowo krótki termin płatności,
• duplikat faktury,
• nagła presja na szybki przelew.

Nie każdy alert oznacza oszustwo, ale każdy powinien zatrzymać automatyzm działania.

Ochrona poczty e-mail

Duża część prób wyłudzenia zaczyna się od wiadomości e-mail. Dlatego warto zadbać o podstawowe zabezpieczenia:

• SPF,
• DKIM,
• DMARC.

Dodatkowo przydają się:

• oznaczanie wiadomości przychodzących spoza firmy,
• filtrowanie podejrzanych wiadomości,
• blokowanie domen łudząco podobnych do prawdziwych nazw firm.

Elektroniczny obieg faktur

Dobry obieg dokumentów powinien zapewniać:

• przekazanie faktury do właściwej osoby,
• obowiązkowe etapy sprawdzenia,
• zapis historii działań,
• przypomnienia i alerty przy opóźnieniach.

Im mniej decyzji „na skróty”, tym mniejsze ryzyko pomyłki albo oszustwa.

Kopie zapasowe i odtwarzanie

Warto zabezpieczyć się nie tylko przed fałszywą fakturą, ale też przed utratą danych, np. po ataku ransomware albo błędnej zmianie w systemie.

Minimum to:

• regularne kopie zapasowe,
• okresowe testy odtwarzania,
• przechowywanie części kopii poza głównym środowiskiem pracy.

Poziom 3: Ludzie i kultura bezpieczeństwa

Program szkoleń

Szkolenie wstępne:

• jak wyglądają najczęstsze oszustwa,
• jakie są procedury firmy,
• komu zgłaszać wątpliwości.

Szkolenia okresowe:

• przypomnienie zasad,
• omówienie nowych zagrożeń,
• analiza realnych przypadków.

Ćwiczenia praktyczne:

• próbne wiadomości phishingowe,
• symulacja zmiany rachunku bankowego,
• sprawdzanie reakcji zespołu.

Kultura „zatrzymaj i sprawdź”

W dobrej firmie pracownik nie boi się zatrzymać podejrzanej płatności.

To oznacza, że:

• nikt nie jest karany za ostrożność,
• zgłoszenie wątpliwości jest traktowane poważnie,
• celem nie jest „szybko zapłacić”, tylko „zapłacić właściwie”.

Otwarta komunikacja

Jeżeli pojawiła się próba oszustwa, zespół powinien o niej wiedzieć.

Warto wprowadzić zasadę:

• informujemy o incydentach,
• nie szukamy kozła ofiarnego,
• wyciągamy wnioski i poprawiamy proces.

Odpowiedzialność na każdym poziomie

Pracownik operacyjny

• stosuje procedury,
• zgłasza wątpliwości,
• nie omija kontroli.

Kierownik

• pilnuje przestrzegania zasad,
• reaguje na sygnały ostrzegawcze,
• podejmuje decyzje w nietypowych przypadkach.

Zarząd

• zapewnia czas, narzędzia i budżet,
• zatwierdza zasady bezpieczeństwa,
• bierze odpowiedzialność za ich egzekwowanie.

Wdrożenie w praktyce

Faza 1: Audyt obecnego stanu (tydzień 1–2)

1. Sprawdzenie obecnego procesu

   • jak dziś przepływają faktury,
   • kto je sprawdza,
   • gdzie są luki.

2. Analiza wcześniejszych incydentów

   • czy były podejrzane faktury,
   • jak je wykryto,
   • co zadziałało, a co zawiodło.

3. Ocena narzędzi

   • czy system wspiera kontrole,
   • czy da się sprawdzać rachunki,
   • czy można ustawić alerty.

Faza 2: Projektowanie rozwiązań (tydzień 3–4)

1. Przygotowanie procedur

   • dopasowanie do wielkości firmy,
   • konsultacja z osobami, które będą je stosować,
   • zatwierdzenie przez kierownictwo.

2. Ustawienie systemów

   • włączenie dostępnych kontroli,
   • konfiguracja alertów,
   • uporządkowanie obiegu dokumentów.

3. Przygotowanie szkoleń

   • materiały,
   • harmonogram,
   • krótki test wiedzy.

Faza 3: Wdrożenie (tydzień 5–8)

1. Komunikacja zmian

   • wyjaśnienie, po co wprowadzane są nowe zasady,
   • pokazanie realnych zagrożeń.

2. Szkolenia

   • szkolenie księgowości i finansów,
   • krótkie szkolenia dla pozostałych pracowników.

3. Uruchomienie procedur

   • początkowo z większym nadzorem,
   • zbieranie uwag,
   • poprawianie słabych punktów.

Faza 4: Monitorowanie (ciągłe)

1. Podstawowe wskaźniki

   • liczba zatrzymanych płatności,
   • liczba alertów,
   • czas reakcji,
   • wyniki testów phishingowych.

2. Przeglądy okresowe

   • analiza incydentów,
   • aktualizacja zasad,
   • dopasowanie do nowych metod oszustów.

3. Audyty

   • wewnętrzne,
   • a w razie potrzeby także zewnętrzne.

Powiązane artykuły

• Jak sprawdzić czy faktura jest prawdziwa – procedura weryfikacji
• Oszustwo na fakturę – jak działa i jak się bronić – mechanizmy ataków

FAQ

Od czego zacząć w małej firmie?

Najpierw wdroż trzy proste zasady:

1. sprawdzanie rachunku na Białej Liście podatników VAT przed płatnością,
2. zasada drugiej pary oczu dla wyższych kwot,
3. telefoniczne potwierdzanie zmiany rachunku na numer zapisany wcześniej w kartotece.

Czy to spowolni płatności?

Na początku może trochę spowolnić pierwsze płatności do nowych kontrahentów. Przy stałych dostawcach i dobrze ustawionych narzędziach wpływ na tempo pracy zwykle jest niewielki.

Jak przekonać zarząd do inwestycji w bezpieczeństwo?

Najlepiej pokazać cztery rzeczy:

1. realne przykłady oszustw,
2. możliwą skalę strat,
3. koszt wdrożenia prostych zabezpieczeń,
4. ryzyko podatkowe i organizacyjne związane z błędną płatnością.

Czy KSeF wystarczy jako zabezpieczenie?

Nie. KSeF jest ważnym elementem porządku i kontroli formalnej, ale nie zastępuje sprawdzenia kontrahenta, rachunku bankowego, podstawy zakupu i samej zasadności płatności.

Treść ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani podatkowej.