Kontrola przelewów dla dostawców z Chin
Dziesięciominutowa procedura autoryzacji przelewów do dostawców: zablokuj zatwierdzonego beneficjenta, niezależnie potwierdź zmiany, rozdziel role i zachowaj ślad decyzyjny.
Zacznij od chińskiej nazwy prawnej lub USCC. Potwierdź pasującą firmę przed otwarciem jej profilu.
Zamówienie zostało zatwierdzone. Towary lub kamień milowy produkcji zostały potwierdzone. Dział finansowy posiada fakturę, a dostawca informuje, że przelew musi zostać zrealizowany jeszcze dzisiaj. To nie jest moment na ponowne otwieranie całej procedury weryfikacji dostawcy. To czas, aby upewnić się, że bank otrzyma dokładnie taką płatność, jaka została wcześniej zatwierdzona.
Poniższa procedura rozpoczyna się na dziesięć minut przed realizacją przelewu. Zakłada ona, że przegląd handlowy i weryfikacja dostawcy zostały już przeprowadzone; nie pozwala, by pośpiech zastąpił brakującą autoryzację.
Przed rozpoczęciem odliczania: zablokuj bazę referencyjną
Stwórz zatwierdzony pakiet płatniczy z oznaczeniem wersji lub znacznikiem czasu. Powinien on zawierać nazwę chińskiego dostawcy, stronę umowy, wystawcę faktury, beneficjenta, numer konta, nazwę banku, kod SWIFT lub BIC, kraj banku, walutę, kwotę, numer faktury lub zamówienia oraz osoby aprobujące. Przegląd beneficjenta powinien już wyjaśniać kwestie związane z płatnościami na rzecz stron trzecich.
Gdy pakiet trafi do procesu realizacji, nie należy go nadpisywać nowym załącznikiem e-mail. Nowe konto, beneficjent, kraj banku lub numer telefonu wymagają osobnej procedury przeglądu zmian. IC3 opisuje przejmowanie kont e-mailowych firm (BEC) jako metodę oszustwa polegającą na przelewach, która może wykorzystywać rzeczywiście skompromitowane konto firmowe, a nie tylko oczywiście fałszywą wiadomość. Zapoznaj się z wytycznymi IC3.
Dziesięciominutowa procedura realizacji przelewu
T-10: zidentyfikuj płatność i źródłowy rekord
Zanotuj wersję pakietu, numer faktury, etap płatności, kwotę, walutę oraz osobę wnioskującą o realizację. Potwierdź, że płatność dotyczy tego konkretnego zamówienia i kamienia milowego. Jeśli dział finansowy nie może odnaleźć zatwierdzonego rekordu źródłowego, odliczanie nie rozpoczyna się.
T-8: porównaj dane beneficjenta linia po linii
Porównaj zamrożony rekord z instrukcją płatności i ekranem bankowym. Sprawdź nazwę beneficjenta, pełny numer konta lub IBAN (jeśli dotyczy), nazwę banku, kod SWIFT lub BIC, kraj banku, kwotę, walutę oraz tytułem płatności. Porównuj poszczególne znaki, a nie polegaj na wyglądzie znajomej nazwy. Instrukcja musi również określać, czy opłaty bankowe są zgodne z umową lub zamówieniem.
Jest to porównanie trójstronne: zatwierdzona baza referencyjna, dokument od dostawcy oraz wpis w systemie bankowym. Wynik z rejestru może identyfikować spółkę, ale nie stanowi niezależnego dowodu własności konta bankowego.
T-6: wykonaj niezależne połączenie weryfikacyjne
Zawsze wykonuj połączenie zwrotne w przypadku nowego lub zmienionego beneficjenta oraz zawsze, gdy wymaga tego polityka płatności organizacji. Zadzwoń na numer znajdujący się w wcześniej zatwierdzonym rejestrze dostawcy, wcześniejszej zweryfikowanej umowie lub innym niezależnie ustalonym źródle. Nie używaj numeru, linku do spotkania ani konta komunikatora podanych w wniosku o zmianę.
Poproś znanego kontakt o podanie nazwy beneficjenta, końcówki numeru konta, nazwy banku, waluty i numeru faktury, zamiast jedynie potwierdzania szczegółów odczytanych przez Ciebie. Zanotuj imię i nazwisko osoby kontaktowej, źródło numeru, godzinę oraz wynik rozmowy. IC3 zaleca stosowanie drugiego kanału komunikacji przy zmianach danych konta. Wytyczne policji w Hongkongu również doradzają potwierdzenie poza e-mailem oraz proces płatności z podwójną weryfikacją.
T-4: rozdziel wniosek, przegląd i realizację
Właściciel spraw handlowych potwierdza podstawę należności płatności. Osoba dokonująca przeglądu porównuje pakiet i rozstrzyga ewentualne wyjątki. Osoba realizująca wprowadza lub autoryzuje przelew. Jedna osoba może przygotować dane, ale druga odpowiedzialna osoba powinna zobaczyć finalnego beneficjenta i kwotę przed realizacją. W małym zespole tym recenzentem może być właściciel sprawy lub zewnętrzny kontroler finansowy; istotą kontroli jest niezależna uwaga, a nie konkretny tytuł zawodowy.
Osoba dokonująca przeglądu nie powinna zatwierdzać zmiany, której sama zażądała, edytować danych bankowych podczas ich przeglądania ani polegać na stwierdzeniu „kierownictwo już wie” bez udokumentowanej decyzji.
T-2: odczytaj wpis bankowy w odniesieniu do zamrożonego rekordu
Po wprowadzeniu danych przestań pisać i wykonaj czysty odczyt kontrolny. Sprawdź na ekranie bankowym beneficjenta, numer konta, kod banku, kraj, kwotę, walutę, opcję opłat oraz tytuł płatności, porównując je z zamrożonym pakietem. Nie porównuj ekranu bankowego wyłącznie z najnowszym e-mailem. Jeśli bank wyświetli ostrzeżenie dotyczące beneficjenta lub obetnie istotne pole, wstrzymaj działanie i zapytaj bank, jak rozwiązać ten problem.
T-0: realizacja i zachowanie dowodów
Zanotuj, kto zrealizował przelew, potwierdzenie bankowe lub numer transakcji, czas, kwotę oraz beneficjenta. Zapisz zatwierdzony pakiet, notatkę z połączenia weryfikacyjnego, finalny dowód wpisu bankowego oraz ewentualne zatwierdzenia wyjątków w jednym miejscu. Nie wysyłaj e-mailem pełnego, niezasłoniętego rekordu bankowego do szerszego grona odbiorców niż dopuszcza polityka bezpieczeństwa firmy.
Warunki zatrzymania, które restartują proces
- Po zatwierdzeniu zmieniono konto, beneficjenta, bank, kraj, walutę lub kanał płatności.
- Rozmowa zwrotna odbywa się tylko z nowym numerem, osoba odmawia podania szczegółów lub odpowiedź jest sprzeczna z dokumentacją.
- Wpis bankowy wskazuje osobę lub niepowiązaną firmę, podczas gdy zatwierdzona dokumentacja wymienia dostawcę.
- Kwota, faktura, etap wpłaty lub odniesienie do umowy nie są zgodne.
- Zleceniodawca prosi dział finansów o pominięcie recenzenta, rozdzielenie przelewu, ukrycie płatności lub jej realizację przy otwartym wyjątku.
- Wiadomość pochodzi z domeny podszywającej się pod oryginalną lub standardowy kanał komunikacji zmienia się w momencie płatności.
Warunki te nie dowodzą oszustwa. Oznaczają one, że zatwierdzona płatność uległa zmianie. Chińskojęzyczny podręcznik antyoszustwowy, opublikowany przez Narodowe Centrum Zwalczania Oszustw i partnerów rządowych, opisuje atakujących monitorujących korespondencję handlową i podmieniających konto do odbioru środków we właściwym momencie. Zobacz oficjalny podręcznik. Komunikat Ministerstwa Handlu opisuje ten sam wzorzec błędu, obejmujący podobne adresy e-mail, zmienione instrukcje bankowe oraz brak potwierdzenia telefonicznego. Przeczytaj komunikat dotyczący ryzyka handlowego.
Jednostronicowa dokumentacja zatwierdzenia
Dokumentacja powinna być na tyle rzeczowa, aby inny recenzent mógł odtworzyć proces decyzyjny:
- Płatność: dostawca, zamówienie, faktura, etap, kwota, waluta i termin płatności.
- Stan wyjściowy: wersja rekordu beneficjenta i data ostatniego zatwierdzenia.
- Porównanie: uzgodnione pola oraz wszelkie zamaskowane pola, których bank nie wyświetla.
- Rozmowa zwrotna: przyczyna inicjacji, znany kontakt, źródło numeru, czas oraz podane szczegóły.
- Role: zleceniodawca, recenzent, przygotowujący i zatwierdzający.
- Wyjątki: dokładna różnica, dowody potwierdzające, właściciel decyzji i termin ważności.
- Zatwierdzenie: referencja bankowa, znacznik czasu oraz lokalizacja przechowywania pakietu dowodowego.
Adnotacja „Potwierdzone przez dostawcę” nie jest użyteczna. Natomiast zapis: „Zadzwaniono na numer z podpisanej umowy 2025; kierownik konta podał beneficjenta kończącego się na 4821 oraz fakturę CV-104; zanotowano inicjały recenzenta i czas” umożliwia późniejszą weryfikację.
Jeśli obawy pojawią się po zatwierdzeniu
Należy niezwłocznie skontaktować się z bankiem nadawczym, korzystając z jego oficjalnego numeru, i zgłosić podejrzenie oszukańczego przelewu. Należy zapytać o dostępne procedury odwołania, cofnięcia transakcji, zwolnienia z odpowiedzialności, indemnizacji lub kontaktu z bankiem beneficjenta; rezultaty są różne, a odzyskanie środków nie jest gwarantowane. Zarówno IC3, jak i wytyczne NCSC dotyczące płatności biznesowych podkreślają konieczność szybkiego kontaktu z bankiem. FTC również zaleca nadawcom przelewów bankowych zgłoszenie transakcji i zapytanie o możliwość jej cofnięcia. Przegląd kroków postępowania w przypadku incydentu według FTC.
Jednocześnie należy powiadomić osoby odpowiedzialne za bezpieczeństwo lub IT w organizacji, zabezpieczyć e-maile i nagłówki, wstrzymać powiązane płatności oraz stosować się do lokalnych procedur zgłaszania i prawnych. Nie należy czekać na odpowiedź od nadawcy kwestionowanej wiadomości e-mail. Artykuł dotyczący reakcji na zmianę danych bankowych omawia pełną sekwencję postępowania w przypadku incydentu.
Czego nie zastępuje kontrola końcowa
Ta procedura nie pozwala ustalić wiarygodności dostawcy, zgodności produktu, gotowości do wysyłki, wykonalności umowy ani kondycji finansowej. Rozwiąż te kwestie przed upływem terminu płatności. Skorzystaj z bramy weryfikacyjnej przed płatnością , aby zweryfikować tożsamość i aktualny status firmy, z przewodnika po sygnałach ostrzegawczych dotyczących dostawców , by przeanalizować nierozwiązane sygnały ostrzegawcze, oraz z przeglądu warunków zaliczki , aby ocenić komercyjne warunki pierwszej płatności.
Jeśli aktualna chińska nazwa prawna lub kod USCC są nadal nieznane, zweryfikuj tożsamość firmy , zanim dział finansowy rozpocznie odliczanie czasu. Dziesięciominutowa kontrola końcowa chroni zatwierdzoną płatność przed podstawieniem w ostatniej chwili; nie może jednak przekształcić niezweryfikowanej transakcji w zatwierdzoną.
Niniejszy artykuł opisuje wewnętrzny model kontroli płatności. Nie stanowi on porady bankowej, dotyczącej incydentów cybernetycznych, prawnej, księgowej, sankcyjnej, przeciwdziałania praniu pieniędzy ani odzyskiwania należności.