Phân quyền chuyển tiền trên ngân hàng điện tử: thiết lập an toàn

Thiết lập an toàn bắt đầu từ một nguyên tắc: người lập lệnh chuyển tiền không phải là người duyệt lệnh. Ngân hàng điện tử dành cho doanh nghiệp đều có cơ chế tách tài khoản lập và tài khoản duyệt, đặt hạn mức theo người, theo giao dịch, theo ngày, và danh sách người thụ hưởng. Nếu kế toán vừa lập vừa duyệt được — hoặc giám đốc giao luôn thiết bị xác thực cho kế toán để đỡ phiền — thì công ty không còn lớp kiểm soát nào trước khi tiền đi.

Ở công ty nhỏ, chiếm dụng tiền từ bên trong thường không phải một vụ lớn mà là nhiều khoản nhỏ kéo dài, chỉ lộ ra sau nhiều năm khi đối chiếu sổ phụ. Lừa đảo từ bên ngoài thì đi đường khác: giả thư điện tử nhà cung cấp báo đổi số tài khoản. Cả hai được chặn bằng cùng một bộ thiết lập.

Bốn vai trò cần tách

Doanh nghiệp rất nhỏ không có đủ bốn người thì ít nhất phải tách lập và duyệt, còn chủ doanh nghiệp tự làm vai đối chiếu. Với khoản lớn, có thể đặt duyệt hai cấp: vượt một hạn mức nhất định thì cần thêm người thứ hai duyệt.

Thiết lập tối thiểu trên ngân hàng điện tử

1. Tài khoản người dùng theo từng người, đứng tên người đó. Không dùng chung một tài khoản đăng nhập cho nhiều người.
2. Quyền lập và quyền duyệt gán cho hai người khác nhau. Kiểm tra lại trên phần quản trị người dùng rằng không ai có cả hai quyền.
3. Hạn mức theo giao dịch và theo ngày cho từng người duyệt, sát với nhu cầu thực tế; giao dịch vượt hạn mức phải có người thứ hai.
4. Danh sách người thụ hưởng: chỉ chuyển cho người đã có trong danh sách; thêm người thụ hưởng mới phải qua duyệt.
5. Thông báo biến động số dư gửi về số điện thoại, thư điện tử của chủ doanh nghiệp, không chỉ của kế toán.
6. Thiết bị, phương thức xác thực của người duyệt do chính người duyệt giữ.

Ngân hàng nào cũng có hướng dẫn phân quyền riêng; tên gọi các chức năng khác nhau nhưng logic giống nhau. Nếu không tự thiết lập được, yêu cầu ngân hàng hỗ trợ và ghi lại cấu hình sau khi xong. Quy định về an toàn, bảo mật dịch vụ ngân hàng trực tuyến của Ngân hàng Nhà nước là khung bên ngoài; quy chế tài chính nội bộ của doanh nghiệp là khung bên trong.

Kiểm kê mọi cửa làm tiền đi

Tài khoản đăng nhập chỉ là một cửa. Tiền của doanh nghiệp có thể đi qua nhiều đường khác, mỗi đường là một chìa khoá cần biết ai đang cầm:

• Thiết bị sinh mã của ngân hàng, ứng dụng xác thực trên điện thoại.
• Mã xác thực gửi qua tin nhắn — gửi về số điện thoại của ai?
• Chữ ký số của doanh nghiệp, nếu đã được ngân hàng chấp nhận làm phương thức xác thực.
• Tài khoản nộp thuế điện tử có liên kết trích tiền trực tiếp từ tài khoản ngân hàng.
• Thẻ đứng tên doanh nghiệp, thẻ phụ.
• Ví điện tử, cổng thanh toán liên kết với tài khoản doanh nghiệp.

Không liệt kê đủ thì không biết cửa nào đang mở. Làm bảng này mỗi quý, và ngay khi có người nghỉ việc.

Những cách làm “cho tiện” phá hỏng kiểm soát

• Giám đốc giao thiết bị xác thực cho kế toán vì bận đi công tác. Từ lúc đó, người lập cũng là người duyệt. Nếu vắng mặt dài ngày, uỷ quyền duyệt cho người thứ ba bằng văn bản, với hạn mức riêng.
• Số điện thoại nhận mã xác thực là của kế toán, kể cả mã cho giao dịch của người duyệt.
• Duyệt hàng loạt không xem — bấm duyệt cả chục lệnh một lần mà không mở từng người nhận.
• Thêm người thụ hưởng mới không qua kiểm tra — đây chính là đường của lừa đảo đổi số tài khoản.
• Dùng chung một tài khoản đăng nhập cho nhiều người, nên nhật ký giao dịch không cho biết ai làm gì.

Mỗi cách làm trên đều tiết kiệm vài phút mỗi tuần. Cái giá của chúng hiện ra một lần, thường là sau nhiều năm và với số tiền lớn, khó đòi lại.

Lừa đảo đổi số tài khoản và giả danh giám đốc

Hai kịch bản lừa đảo nhắm vào doanh nghiệp hay gặp:

1. Giả nhà cung cấp: thư điện tử, tin nhắn giống hệt đối tác quen báo “công ty đổi tài khoản nhận tiền”, kèm hoá đơn thật đã bị đánh cắp.
2. Giả giám đốc: tin nhắn từ tài khoản mạo danh yêu cầu kế toán chuyển gấp một khoản “bí mật”.

Cách chặn không nằm ở công nghệ mà ở quy trình: mọi yêu cầu đổi số tài khoản hoặc chuyển tiền bất thường phải được xác minh qua kênh thứ hai — gọi lại số điện thoại đã lưu từ trước trong hợp đồng, không gọi số ghi trong thư điện tử yêu cầu. Người thụ hưởng mới chỉ được thêm sau khi xác minh. Tên chủ tài khoản nhận phải khớp tên đơn vị trên hoá đơn; tài khoản cá nhân thay cho tài khoản công ty là dấu hiệu dừng lại.

Chứng từ chuyển khoản sang tài khoản không phải của người bán còn làm doanh nghiệp mất luôn điều kiện chứng từ thanh toán khi khấu trừ thuế và tính chi phí.

Tiền mặt và thủ quỹ: cùng một nguyên tắc tách người

Ngân hàng điện tử có sẵn công cụ tách quyền; quỹ tiền mặt thì không, nên phải tách bằng quy chế. Ở công ty nhỏ hay gặp cảnh kế toán kiêm thủ quỹ: sổ quỹ và sổ kế toán do một người viết nên khớp nhau mãi, dù tiền thật trong két có thể đã lệch.

• Người giữ tiền không ghi sổ kế toán; nếu buộc phải kiêm, chủ doanh nghiệp tự kiểm kê quỹ đột xuất.
• Định mức tồn quỹ: chỉ giữ đủ cho khoản chi nhỏ; khoản từ ngưỡng bắt buộc chuyển khoản thì không chi tiền mặt.
• Kiểm kê quỹ hằng tháng và đột xuất, có biên bản ký hai người.
• Tạm ứng có hạn hoàn; khoản quá hạn được nhắc tên trong buổi rà hằng tháng, không để thành nợ khó đòi khi người đó nghỉ việc.

Với doanh nghiệp dịch vụ, cách kiểm soát tốt nhất là đưa tiền mặt về gần bằng không và dùng thẻ doanh nghiệp có hạn mức cho các khoản chi lặt vặt. Mọi khoản đi qua ngân hàng thì đều nằm trong vùng kiểm soát lập – duyệt đã thiết lập ở trên.

Rà quyền mỗi quý, và tự kiểm tra ở đâu

Tự kiểm tra ở phần quản trị người dùng của ngân hàng điện tử (danh sách người dùng, quyền, hạn mức), sao kê hằng tuần (đối chiếu với đề nghị thanh toán đã duyệt), và tài khoản thuế điện tử (xem có liên kết nộp thuế trích tiền trực tiếp từ tài khoản nào, ai đang quản lý). Khi cần thiết lập lại, làm việc trực tiếp với ngân hàng và lưu biên bản cấu hình vào hồ sơ quy chế.