Şirket Unvanı Uyumsuzluğunun Ödeme Riski Yaratması

Bir şirket unvanı uyumsuzluğu, parayı alıcının gerçekten onayladığı yolun dışına gönderdiğinde ödeme riski yaratır. Bu uyumsuzluk masum bir marka, çeviri veya bağlı kuruluş farklılığı olarak başlayabilir. Ancak finans departmanı, teklifteki unvanın sözleşme tarafı, fatura düzenleyici, ödeme talimatı ve banka lehdarıyla nasıl bağlantılı olduğunu gösteremediğinde durum tehlikeli hale gelir.

Uyumsuzluk bir yönlendirme hatasıdır, kesin bir yargı değil. Meşru tedarikçiler marka, fabrika, ticaret şirketi veya ihracatçı için farklı isimler kullanabilir. Konuya ilişkin eşlik eden makalede Çinli tedarikçilerin neden farklı isimler kullandığı ve bu ilişkiler açıklanmaktadır. Bu makale daha dar bir soruya odaklanmaktadır: Çözülmemiş bir fark, ödemenin yanlış tarafa ulaşmasına nasıl neden olabilir?

Kimlik zincirini talimat zincirinden ayırın

Kimlik zinciri kimlerin dahil olduğunu yanıtlar. Teklif, sözleşme, fatura ve lehdarın arkasındaki tam şirket adını yazın ve bitişik tüzel kişilikler arasındaki ilişkiyi kaydedin. Sözleşme tarafı ile ödemeyi alan kişi farklıysa, `aynı grup` ifadesi bir ilişki kaydı değildir. Çince yasal unvanlara, şirket tanımlayıcılarına, rollere ve destekleyici yetkilendirmeye ihtiyacınız vardır.

Talimat zinciri finansa kimin, hangi kanal üzerinden ödeme yapmasını söylediğini ve bu talimatın kimlik doğrulamasından geçip geçmediğini yanıtlar. Gönderen alan adını, bilinen kişiyi, orijinal onaylı hesabı, değişiklik talebini, bağımsız geri aramayı ve onaylayanları kaydedin. Tamamen meşru bir bağlı kuruluş bile yetkisiz veya ele geçirilmiş bir e-posta yoluyla sürece dahil edilebilir.

Bu zincirler farklı sorunları çözer. Şirket doğrulama, bugünkü e-postanın yetkili bir kişi tarafından gönderildiğini kanıtlayamaz. E-posta sürekliliği, adı geçen lehdarın doğru tüzel kişilik olduğunu kanıtlayamaz. Onay için her iki zincirin de tamamlanması gerekir.

Hata 1: Ticari bir etiket satıcı haline gelir

Bir tedarik ekibi, herkesin tanıdığı isim bu olduğu için pazar yeri profili veya ürün markası altında bir satıcı oluşturabilir. Aylar sonra muhasebe departmanı yasal bir şirketten fatura alır ve bunun aynı tedarikçi mi yoksa yeni biri mi olduğunu anlayamaz. Personel en yakın satıcı kaydını seçebilir, banka bilgilerini üzerine yazabilir veya orijinal onay koşullarını taşımadan çift kayıt oluşturabilir.

Sorun markanın kendisi değildir. Sorun, eksik olan tüzel kişilik dayanağıdır. Satıcı ana kaydı, güncel Çince yasal unvan ve şirket tanımlayıcısı ile başlamalı; İngilizce isimler ve markalar takma ad olarak saklanmalıdır. Sözleşme incelemesi, ana kayıt oluşturulmadan önce doğru karşı tarafı belirlemelidir; sözleşme öncesi tüzel kişilik iş akışı bu temel çizgiyi sağlar.

Hata 2: Yetkisiz şekilde bir bağlı kuruluş ikame edilir

Bir tedarikçi alıcıdan A Şirketi ile sözleşme yapmasını, B Şirketinden fatura kabul etmesini ve C Şirketine ödeme yapmasını isteyebilir. Bunun arkasında gerçek bir üretim, vergi, ihracat veya grup nedeni olabilir. Ancak dosya yalnızca satış temsilcisinin açıklamasını içeriyorsa, finans departmanı C'nin yetkili olup olmadığını, ödemenin siparişe işlenip işlenmeyeceğini veya anlaşmazlığı hangi tarafın çözmesi gerektiğini bilemez.

İşte unvan uyumsuzluğunun ticari belirsizlik yarattığı nokta. Banka teyidi hesap adını kanıtlar; ancak o tüzel kişiliğin neden bu ödemeye hak sahibi olduğunu belirlemez. Fatura rolünü fatura-unvani-is-akisi ile ve lehdar rolünü banka-lehdar-iliski-kontrolu ile çözümleyin.

Hata 3: Saldırgan gerçek bir işleme girer

Kurumsal e-posta dolandırıcılığı, çevredeki iletişimin büyük kısmının gerçek olması nedeniyle işe yarar. Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi, suçluların düzenli bir kişiyi taklit edebileceği, gerçekçi bir fatura gönderebileceği veya farklı bir hesaba ödeme talep edebileceği konusunda uyarır. Yeni talimat, beklenen bir işlemin içinde tam doğru anda gelebilir.

Devlet Döviz İdaresi'nin sınır ötesi dolandırıcılık bildirimi, değiştirilmiş bir e-posta, tahrif edilmiş bir fatura ve sahte bir yurtdışı hesabı içeren bir vakayı açıklamaktadır. Yayınlanan başka bir vakada ise bir banka, önceki ödemelerden farklı olan bir hesap ve adresi sorgulamıştır. Belgeler işleme özgü görünüyordu; kontrol yalnızca yeni rota bağımsız bir temel çizgiyle karşılaştırıldığında çalıştı.

İsim gürültüsü bu saldırının rasyonelleştirilmesini kolaylaştırır. Personel tedarikçinin zaten birçok takma adı olduğuna inanıyorsa, `Eastport Trading` normal bir grup şirketi gibi görünebilir. Saldırganın tüm anlaşmayı uydurmasına gerek yoktur; sadece nihai varış noktasını değiştirmesi yeterlidir.

Hata 4: Aciliyet bir uyumsuzluğu istisna haline getirir

“Sevkiyat gemiyi kaçıracak”, “bankamız denetim altında” veya “fiyatı korumak için bugün ödeme yapın” gibi mesajlar, çözülmemiş bir kimlik farklılığını istisna rotasıyla geçirebilir. Bir onaylayıcı tutarı ve satın alma siparişini teyit edebilir ancak hesabın onaylanan tüzel kişiliğe ait olup olmadığını hiç sormayabilir.

INTERPOL’ün kurumsal e-posta dolandırıcılığı rehberi, gönderen adresini kontrol etmeyi ve ödeme yöntemi veya banka hesabı değişikliğini aynı e-postaya yanıt vererek değil, başka bir kanal üzerinden doğrulamayı önerir. Aciliyet, kontrol düzeyini artırmalı; onu ortadan kaldırmamalıdır.

Kurgusal bir 48 saatlik olayın yeniden kurgulanması

1. Pazartesi, 10:00: satın alma departmanı, doğrulanmış bir Çin şirketiyle eşleştirilen kurgusal “Harbor Components Ltd” için bir üretim siparişini onaylar. “Northline” yalnızca ürün markası olarak kaydedilir.
2. Salı, 09:15: borçlar muhasebesi, siparişe ve tutara uyan Harbor Components’tan bir fatura alır.
3. Salı, 16:40: mevcut e-posta zincirindeki bir yanıt, olağan hesabın döviz kabul edemediğini belirtir ve “Eastport Trading” adını taşıyan bir ikame sayfa ekler.
4. Çarşamba, 08:30: alıcı, tedarikçinin birkaç şirket kullandığını hatırlar ve Eastport’u “muhtemelen ihracatçıları” olarak tanımlar. Herhangi bir ilişki belgesi veya geri arama kaydı bulunmamaktadır.
5. Çarşamba, 11:00: finans departmanı, satıcı kaydındaki lehdarı değiştirir ve havaleyi serbest bırakır. Harbor daha sonra değişikliği hiçbir zaman talep etmediğini belirtir.

Belirleyici hata havaleden önce gerçekleşti: inandırıcı bir açıklama, her iki zincirde de kanıt olarak kabul edildi. Eastport, yetkili bir alıcı olarak doğrulanmadı ve yeni talimatı veren kişi, güvenliği ihlal edilmiş kanal dışında kimlik doğrulamasından geçirilmedi.

Her geçiş noktasına bir durma noktası koyun

Tekliften sözleşmeye kadar, doğrulanmış yasal karşı tarafı şart koşun. Sözleşmeden faturaya kadar, doğru düzenleyiciyi veya belgelenmiş çoklu tüzel kişilik düzenlemesini şart koşun. Faturadan lehdara kadar, tam hesap adını ve bu tüzel kişinin ödemeyi alma yetkisini şart koşun. E-posta talimatından ana veri değişikliğine kadar, önceden doğrulanmış bir numara kullanarak bağımsız bir geri arama ve ikinci bir onaylayıcıyı şart koşun.

Tek bir çalışanın hem yeni bir lehdar eklemesine hem de ilk transferi onaylamasına izin vermeyin. Geçmişini üzerine yazmak yerine eski hesabı saklayın. Talebi, geri arama kaydını, ilişki kanıtını ve onayı birlikte kaydedin. Pratik banka havalesi protokolü bu durma noktalarını kısa bir yayınlama rutinine dönüştürür.

Kamu Güvenliği Bakanlığı rehberine dayanan bir Çin kamu güvenliği uyarısı, saldırganların dış ticaret e-postasına eriştikten sonra hesap numaralarını ve hesap adlarını değiştirdiğini anlatmaktadır. Havale öncesinde telefon, faks veya başka bir yöntemle onay alınmasını ve kontrollü sınır ötesi ödeme prosedürlerini önermektedir. Yayınlanan uyarı, eşleşen bir e-posta zincirinin bağımsız bir kanal olmadığını hatırlatan faydalı bir nottur.

Çözümün neye benzediğini tanımlayın

Bir uyumsuzluk yalnızca dosya; tam yasal tüzel kişilikleri, her birinin rolünü, bunları birbirine bağlayan kanıtları, hesap adını, bu tüzel kişinin bu ödemeyi alma yetkisini ve bağımsız olarak kimlik doğrulaması yapılmış talimatı gösterdiğinde çözülmüş sayılır. “Onlara daha önce ödeme yaptık” ifadesi destekleyici bir geçmişdir, yeni bir rotanın geçerli olduğunun kanıtı değildir.

Tedarikçi kimlik zincirini kapatamıyorsa, ilgisiz tedarikçi bulgularını etkilemeden etkilenen ödemeyi bekletin. Kimlik zinciri kapanır ancak talimat zinciri kapanmazsa, tedarikçiyle önceden doğrulanmış bir rota üzerinden iletişime geçin. Sorgulanan e-posta adresinden kendisini doğrulamasını istemeyin.

Para zaten transfer edilmişse

Gönderen bankayla resmi kanalı üzerinden derhal iletişime geçin ve ödeme kaydını, e-posta başlıklarını, fatura sürümlerini, geri arama günlüğünü ve satıcı ana veri değişikliklerini koruyun. Kuruluşunuz için geçerli olan yasa ve olay sürecine göre raporlama yapın. Ani bir hesap değişikliğinin ayrıntılı ele alınması tedarikçi banka bilgileri değişim uygulama kılavuzunda yer almaktadır.

Önleyici ders basittir: farklı tedarikçi adları meşru olabilir ancak her ödeme yine de izlenebilir tek bir hedef ve kimlik doğrulaması yapılmış tek bir talimat gerektirir. Bir ilişki açıklaması kimlik zincirini kapatır; bağımsız bir geri arama ise talimat zincirini kapatır. Hiçbiri diğerinin yerini tutamaz.