Як невідповідність назви компанії створює ризик платежу

Невідповідність назви компанії створює ризик платежу, коли кошти надсилаються поза межами маршруту, затвердженого покупцем. Невідповідність може виникати через невинні відмінності в бренді, перекладі або належності до філії. Вона стає небезпечною, коли фінансовий відділ не може простежити зв’язок між назвою в комерційній пропозиції, стороною контракту, емітентом рахунка-фактури, платіжною інструкцією та банківським одержувачем.

Невідповідність є дефектом маршрутизації, а не вироком. Легітимні постачальники можуть використовувати різні назви для бренду, заводу, торговельної компанії або експортера. Супутня стаття про чому китайські постачальники використовують різні назви пояснює ці взаємозв’язки. Ця стаття ставить вужче запитання: як невирішена різниця може призвести до того, що платіж дійде до неправильної сторони?

Розділіть ланцюжок ідентифікації та ланцюжок інструкцій

Ланцюжок ідентифікації відповідає на запитання, хто залучений. Запишіть точну назву компанії, що стоїть за комерційною пропозицією, контрактом, рахунком-фактурою та одержувачем, а потім зафіксуйте зв’язок між суміжними суб’єктами. Якщо сторона контракту та одержувач платежу відрізняються, запис «та сама група» не є достатнім підтвердженням зв’язку. Вам потрібні китайські юридичні назви, ідентифікатори компаній, ролі та підтверджуючі повноваження.

Ланцюжок інструкцій відповідає на запитання, хто наказав фінансовому відділу здійснити платіж, через який канал і чи була ця інструкція автентифікована. Зафіксуйте домен відправника, відомого контакту, оригінальний затверджений рахунок, запит на зміну, незалежне зворотне підтвердження та осіб, які затвердили операцію. Навіть цілком реальна філія може бути вставлена через несанкціонований або компрометований електронний лист.

Ці ланцюжки вирішують різні проблеми. Перевірка компанії не може довести, що сьогоднішній електронний лист був надісланий уповноваженою особою. Безперервність електронного листування не може довести, що зазначений одержувач є правильною юридичною особою. Для випуску платежу необхідно замкнути обидва ланцюжки.

Помилка 1: комерційна назва підміняє постачальника

Команда з закупівель може створити постачальника під профілем маркетплейсу або товарним брендом, оскільки це ім’я, яке всі визнають. Через кілька місяців відділ кредиторської заборгованості отримує рахунок-фактуру від юридичної особи і не може визначити, чи це той самий постачальник, чи новий. Співробітники можуть вибрати найближчий запис постачальника, перезаписати його банківські реквізити або створити дублікат без перенесення умов первинного затвердження.

Проблема не в самому бренді. Проблема у відсутності прив’язки до юридичної особи. Реєстр постачальників має базуватися на поточній китайській юридичній назві та ідентифікаторі компанії, тоді як англійські назви та бренди мають зберігатися як псевдоніми. Огляд контракту має встановлювати правильну контрагентну сторону до відкриття запису в реєстрі; це забезпечує робочий процес перевірки суб’єкта до укладання контракту .

Помилка 2: несанкціонована заміна філією

Постачальник може попросити покупця укласти контракт із Компанією А, прийняти рахунок-фактуру від Компанії Б та здійснити платіж Компанії В. Для цього можуть існувати справжні виробничі, податкові, експортні або групові причини. Але якщо в файлі є лише пояснення торгового представника, фінансовий відділ не може визначити, чи уповноважена Компанія В, чи буде зараховано платіж за замовленням та яка сторона повинна вирішувати спір.

Саме тут невідповідність назви створює комерційну неоднозначність. Банківське підтвердження засвідчує назву рахунку; воно не встановлює, чому ця особа має право на отримання цього платежу. Визначте роль емітента рахунка-фактури за допомогою робочого процесу перевірки назви в рахунку-фактурі та роль одержувача за допомогою перевірки зв’язку з банківським одержувачем.

Помилка 3: зловмисник втручається в реальну транзакцію

Шахрайство через компрометацію ділової електронної пошти працює, тому що значна частина супутнього листування є справжньою. Національний центр кібербезпеки Великої Британії Національний центр кібербезпеки попереджає, що злочинці можуть видавати себе за звичайного контакту, надсилати реалістичний рахунок-фактуру або просити здійснити платіж на інший рахунок. Нова інструкція може надійти всередині очікуваної транзакції саме в потрібний момент.

У повідомленні Державного управління валютного контролю про шахрайство з транскордонними платежами описано випадок, що включав підроблений електронний лист, змінений рахунок-фактуру та фейковий закордонний рахунок. В іншому опублікованому випадку банк поставив під сумнів рахунок та адресу, які відрізнялися від попередніх платежів. Документи виглядали специфічними для транзакції; контроль спрацював лише тоді, коли хтось порівняв новий маршрут із незалежною базовою лінією.

«Шум» у назвах полегшує раціоналізацію цієї атаки. Якщо співробітники вже вважають, що постачальник має багато псевдонімів, «Eastport Trading» може здатися ще однією звичайною компанією групи. Зловмиснику не потрібно вигадувати всю угоду; лише кінцевий пункт призначення.

Помилка 4: терміновість перетворює невідповідність на виняток із правил

Повідомлення на кшталт «відправлення не встигне на судно», «наш банк проходить аудит» або «сплатіть сьогодні, щоб зберегти ціну» можуть проштовхнути невирішену розбіжність в ідентифікації через маршрут винятків. Затверджувач може підтвердити суму та замовлення на закупівлю, але так і не запитати, чи належить рахунок затвердженій особі.

Інтерполу настанови щодо компрометації ділової електронної пошти рекомендує перевіряти адресу відправника та підтверджувати зміну способу оплати або банківського рахунку через інший канал, а не відповідаючи на той самий електронний лист. Відчуття терміновості має підвищувати рівень контролю, а не скасовувати його.

Реконструкція вигаданого інциденту тривалістю 48 годин

1. Понеділок, 10:00: відділ закупівель затверджує виробниче замовлення для вигаданої компанії «Harbor Components Ltd», яка зіставлена з перевіреною китайською компанією. «Northline» зафіксовано лише як бренд продукту.
2. Вівторок, 09:15: відділ кредиторської заборгованості отримує рахунок-фактуру від Harbor Components, який відповідає замовленню та сумі.
3. Вівторок, 16:40: у відповіді в наявному ланцюжку електронних листів зазначено, що звичайний рахунок не може приймати іноземну валюту, і додано сторінку-замінник із назвою «Eastport Trading».
4. Середа, 08:30: покупець пригадує, що постачальник використовує кілька компаній, і описує Eastport як «ймовірно, їхнього експортера». Немає ні документів про зв’язок між суб’єктами, ні зворотного дзвінка для підтвердження.
5. Середа, 11:00: фінансовий відділ замінює одержувача в обліковому записі постачальника та здійснює переказ. Пізніше Harbor повідомляє, що ніколи не запитував про таку зміну.

Вирішальна помилка сталася ще до переказу: правдоподібне пояснення було сприйняте як доказ в обох ланцюжках. Eastport не було перевірено як уповноваженого одержувача, а особа, яка надала нову інструкцію, не пройшла автентифікацію поза скомпрометованим каналом.

Встановіть контрольні точки на кожному етапі переходу

Від комерційної пропозиції до договору вимагайте перевірену юридичну контрагентну сторону. Від договору до рахунка-фактури вимагайте правильного емітента або документально підтверджену угоду з кількома суб’єктами. Від рахунка-фактури до одержувача вимагайте точну назву рахунка та повноваження цього суб’єкта отримувати платіж. Від інструкції в електронному листі до зміни основних даних вимагайте незалежний зворотний дзвінок за раніше перевіреним номером та залучення другого затверджувача.

Не дозволяйте одному співробітнику одночасно додавати нового одержувача та затверджувати перший переказ. Зберігайте старий рахунок, а не перезаписуйте його історію. Зберігайте разом запит, запис зворотного дзвінка, докази зв’язку між суб’єктами та затвердження. Практичний протокол банківських переказів перетворює ці контрольні точки на короткий регламент випуску платежу.

У попередженні китайської громадської безпеки, заснованому на настановах Міністерства громадської безпеки, описано, як зловмисники змінюють номери рахунків та імена власників після проникнення в електронну пошту зовнішньоторговельної діяльності. Воно рекомендує контрольовані процедури транскордонних платежів та підтвердження телефоном, факсом або іншим способом перед переказом коштів. Це опубліковане попередження є корисним нагадуванням про те, що відповідний ланцюжок електронних листів не є незалежним каналом.

Визначте критерії успішного вирішення проблеми

Розбіжність вважається вирішеною лише тоді, коли файл містить точні дані юридичних осіб, роль кожної з них, докази, що їх пов’язують, назву рахунка, повноваження цієї особи отримувати цей платіж та незалежно автентифіковану інструкцію. Фраза «ми вже платили їм раніше» є підтвердженням історії взаємодії, а не доказом того, що новий маршрут є дійсним.

Якщо постачальник не може замкнути ланцюжок ідентифікації, призупиніть відповідний платіж, залишивши незмінними висновки щодо інших постачальників. Якщо ланцюжок ідентифікації замкнуто, але ланцюжок інструкцій — ні, зв’яжіться з постачальником через раніше перевірений канал. Не просіть адресу електронної пошти, яка викликає сумніви, автентифікувати саму себе.

Якщо кошти вже було переказано

Негайно зв’яжіться з банком-відправником через його офіційний канал та збережіть запис платежу, заголовки електронних листів, версії рахунків-фактур, журнал зворотних дзвінків та зміни в основних даних постачальника. Повідомляйте про інцидент відповідно до законодавства та процесу реагування на інциденти, що застосовуються у вашій організації. Детальний порядок дій у разі раптової зміни рахунку викладено в інструкції щодо зміни банківських реквізитів постачальника.

Профілактичний урок простий: різні назви постачальників можуть бути законними, але кожен платіж все одно потребує одного простежуваного пункту призначення та однієї автентифікованої інструкції. Пояснення зв’язку між суб’єктами замикає ланцюжок ідентифікації; незалежний зворотний дзвінок замикає ланцюжок інструкцій. Жоден із них не може замінити інший.