Как несоответствие названия компании создает риск платежа

Несоответствие названия компании создает риск платежа, когда средства направляются за пределы пути, который фактически утвердил покупатель. Несоответствие может начаться с безобидной разницы в бренде, переводе или аффилированности. Оно становится опасным, когда финансовый отдел не может показать, как название в котировке связано со стороной договора, эмитентом счета, платежной инструкцией и выгодоприобретателем банка.

Несоответствие — это дефект маршрутизации, а не приговор. Законные поставщики могут использовать разные названия для бренда, завода, торговой компании или экспортера. В сопутствующей статье о почему китайские поставщики используют разные названия объясняются эти взаимосвязи. Эта статья ставит более узкий вопрос: как нерешенная разница может привести к тому, что платеж достигнет неверной стороны?

Разделяйте цепочку идентификации и цепочку инструкций

Цепочка идентификации отвечает на вопрос, кто участвует в сделке. Запишите точное название компании, стоящей за котировкой, договором, счетом и выгодоприобретателем, затем зафиксируйте отношения между смежными субъектами. Если сторона договора и плательщик различаются, запись `одна группа` не является фиксацией отношений. Вам нужны китайские юридические названия, идентификаторы компаний, роли и подтверждающие полномочия документы.

Цепочка инструкций отвечает на вопрос, кто дал указание финансовому отделу произвести оплату, через какой канал и была ли эта инструкция аутентифицирована. Записывайте домен отправителя, известного контактного лица, изначально утвержденный счет, запрос на изменение, независимое подтверждение по телефону и утверждающих лиц. Даже совершенно законный аффилированный субъект может быть подставлен несанкционированным или скомпрометированным электронным письмом.

Эти цепочки решают разные задачи. Проверка компании не может доказать, что сегодняшнее электронное письмо было отправлено уполномоченным лицом. Непрерывность работы с электронной почтой не может доказать, что названный выгодоприобретатель является правильной юридической сущностью. Для выпуска требуется закрытие обеих цепочек.

Сбой 1: коммерческая метка становится вендором

Команда закупок может создать запись вендора на основе профиля маркетплейса или продукта бренда, поскольку именно это название всем знакомо. Спустя месяцы отдел расчетов получает счет от юридической компании и не может определить, является ли она тем же поставщиком или новым. Сотрудники могут выбрать ближайшую запись вендора, перезаписать ее банковские реквизиты или создать дубликат, не перенеся условия первоначального утверждения.

Проблема не в самом бренде. Проблема в отсутствии якоря юридической сущности. Основная запись вендора должна начинаться с текущего китайского юридического названия и идентификатора компании, а английские названия и бренды должны храниться как псевдонимы. При рассмотрении договора следует установить правильного контрагента до открытия основной записи; рабочий процесс проверки субъекта до заключения договора предоставляет эту базовую основу.

Сбой 2: аффилированное лицо заменено без полномочий

Поставщик может попросить покупателя заключить контракт с Компанией А, принять счет от Компании Б и оплатить Компанию В. Могут существовать реальные производственные, налоговые, экспортные или групповые причины. Но если в файле содержится только объяснение торгового представителя, финансовый отдел не может определить, уполномочена ли Компания В, будет ли оплата зачтена по заказу и какая сторона должна разрешать спор.

Здесь несоответствие названий создает коммерческую неоднозначность. Банковское подтверждение доказывает имя счета; оно не устанавливает, почему данная сущия имеет право на этот платеж. Разрешите роль в счете с помощью рабочий процесс имени счета-фактуры и роль бенефициара с проверкой отношений банк-бенефициар.

Сбой 3: злоумышленник вводит реальную транзакцию

Мошенничество с деловой электронной почтой работает, потому что большая часть окружающего разговора является подлинной. Национальный центр кибербезопасности Великобритании Национальный центр кибербезопасности предупреждает, что преступники могут выдать себя за обычного контактного лица, отправить реалистичный счет-фактуру или запросить оплату на другой счет. Новое указание может поступить внутри ожидаемой транзакции ровно в нужный момент.

Государственное управление по контролю за валютными операциями уведомление о трансграничном мошенничестве описывает случай с измененным электронным письмом, фальсифицированным счетом-фактурой и ложным зарубежным счетом. В другом опубликованном случае банк поставил под сомнение счет и адрес, которые отличались от предыдущих платежей. Документы выглядели специфичными для транзакции; контроль работал только тогда, когда кто-то сравнивал новый маршрут с независимым базовым значением.

Шум имен облегчает рационализацию этой атаки. Если сотрудники уже считают, что у поставщика много псевдонимов, `Eastport Trading` может выглядеть как еще одна нормальная группа компаний. Злоумышленнику не нужно изобретать всю сделку целиком; достаточно только конечного пункта назначения.

Сбой 4: срочность превращает несоответствие в исключение

Сообщения, такие как `груз пропустит судно`, `наш банк проходит аудит` или `оплатите сегодня, чтобы сохранить цену`, могут протолкнуть нерешенное различие идентичности через маршрут исключения. Утверждающее лицо может подтвердить сумму и заказ на покупку, но никогда не спросит, принадлежит ли счет утвержденному субъекту.

Интерпола руководство по мошенничеству с деловой электронной почтой рекомендует проверять адрес отправителя и подтверждать изменение способа платежа или банковского счета через другой канал, а не отвечая на то же самое электронное письмо. Срочность должна повышать уровень контроля; она не должна его устранять.

Восстановите фиктивный инцидент продолжительностью 48 часов

1. Понедельник, 10:00: закупки одобряют производственный заказ на фиктивную компанию `Harbor Components Ltd`, связанную с проверенной китайской компанией. `Northline` записана только как бренд продукта.
2. Вторник, 09:15: отдел расчетов получает счет-фактуру от Harbor Components, соответствующую заказу и сумме.
3. Вторник, 16:40: ответ в существующей ветке электронных писем гласит, что обычный счет не может принимать иностранную валюту, и прикладывает заменяющую страницу с указанием `Eastport Trading`.
4. Среда, 08:30: покупатель вспоминает, что поставщик использует несколько компаний, и описывает Eastport как `вероятно, их экспортное подразделение`. Нет никаких документов о взаимоотношениях или обратного звонка.
5. Среда, 11:00: финансы заменяют бенефициара в записи поставщика и выпускают перевод. Позже Harbor заявляет, что никогда не запрашивала изменения.

Решающая ошибка произошла до перевода: правдоподобное объяснение было воспринято как доказательство в обеих цепочках. Eastport не был проверен как имеющий право получатель, а лицо, выдавшее новое указание, не было аутентифицировано вне скомпрометированного канала.

Установите точку останова на каждом переходе

От коммерческого предложения до договора: требуйте проверенного юридического контрагента. От договора до счета-фактуры: требуйте корректного эмитента или документально оформленной многосубъектной схемы. От счета-фактуры до получателя: требуйте точного названия счета и подтверждения его полномочий на получение платежа. От инструкции по электронной почте до изменения мастер-данных: требуйте независимого обратного звонка с использованием ранее проверенного номера и участия второго утверждающего лица.

Не позволяйте одному сотруднику одновременно добавлять нового получателя и утверждать первый перевод. Сохраняйте старый счет вместо перезаписи его истории. Совместно сохраняйте запрос, запись обратного звонка, доказательства взаимосвязи и утверждение. Практический протокол банковского перевода превращает эти контрольные точки в короткий процесс выпуска.

Китайское предупреждение общественной безопасности, основанное на руководстве Министерства общественной безопасности, описывает случаи, когда злоумышленники меняют номера счетов и названия счетов после проникновения в электронную почту внешнеэкономической деятельности. Оно рекомендует контролируемые процедуры трансграничных платежей и подтверждение по телефону, факсу или другому методу перед перечислением. Опубликованное предупреждение является полезным напоминанием о том, что совпадающая переписка по электронной почте не является независимым каналом.

Определите, как выглядит разрешение

Несоответствие разрешается только тогда, когда файл содержит точные юридические лица, роль каждого из них, доказательства, связывающие их, название счета, полномочия данного лица на получение этого платежа и независимо аутентифицированную инструкцию. «Мы платили им раньше» — это историческая справка, а не доказательство действительности нового маршрута.

Если поставщик не может закрыть цепочку идентификации, приостановите затронутый платеж, оставив нетронутыми выводы по другим поставщикам. Если цепочка идентификации закрыта, но цепочка инструкций нет, свяжитесь с поставщиком через ранее проверенный маршрут. Не просите сомнительный адрес электронной почты пройти аутентификацию сам.

Если деньги уже переведены

Немедленно свяжитесь с отправляющим банком через его официальный канал и сохраните запись о платеже, заголовки электронных писем, версии счетов-фактур, журнал обратных звонков и изменения в мастер-данных поставщиков. Сообщите в соответствии с законом и процессом реагирования на инциденты, применимыми к вашей организации. Детальная обработка внезапной смены реквизитов счета содержится в руководстве по изменению реквизитов счета поставщика.

Профилактический урок прост: разные названия поставчиков могут быть законными, но каждый платеж все еще требует одного отслеживаемого пункта назначения и одной аутентифицированной инструкции. Объяснение отношений закрывает цепочку идентификации; независимый обратный звонок закрывает цепочку инструкций. Ничто не может заменить другое.