Prevenir el fraude en facturas: verificar pagos y cambios bancarios

El fraude de facturas intenta desviar un pago u obtener dinero por una obligación que no es genuina. Puede implicar una factura falsa del proveedor, instrucciones bancarias alteradas, suplantación de un ejecutivo o una cuenta de correo electrónico comprometida. La factura puede parecer ordinaria y usar un nombre de proyecto real. La apariencia por sí sola no es suficiente para establecer que el beneficiario y los detalles del pago son correctos.

El compromiso del correo electrónico empresarial puede ser especialmente convincente porque el mensaje puede aparecer dentro de una conversación existente o hacer referencia a personas familiares. La urgencia, el secreto y un cambio en las instrucciones de pago son razones para pausar y verificar. Un proceso de control de fraude debe operar antes de que el dinero salga de la cuenta, con un propietario claro y una forma independiente de confirmar los cambios materiales.

No verifique un cambio de pago respondiendo al mismo mensaje que lo solicitó. Llame a un contacto de confianza utilizando un número que ya esté en el registro del proveedor o que se haya confirmado de forma independiente a través de una fuente establecida. Un número de teléfono proporcionado en el correo electrónico sospechoso puede llevar al atacante. Registra quién verificó el cambio, cuándo y qué evidencia se usó.

Utilice el mismo proceso incluso cuando el mensaje parece provenir de una persona mayor o un proveedor de larga data. Una reclamación de urgencia no debe eludir el control. Si el contacto habitual no está disponible, aumente bajo la política de la compañía en lugar de aceptar un sustituto elegido por el solicitante. Explique este proceso a los proveedores genuinos, por lo que la verificación es una práctica comercial esperada.

Confirme el proveedor, la orden de compra o el acuerdo, la prueba de entrega, el monto, la moneda y las condiciones de pago. Busque números de factura duplicados y cambios inesperados en el nombre del beneficiario. Una factura de aspecto genuino aún puede duplicar un pago ya realizado o incluir trabajo que nunca fue aprobado. Reconciliarse con los registros de la compañía antes de decidir que un logotipo familiar lo hace seguro.

Para los servicios sin una orden de compra formal, establezca otra base de aprobación documentada. La persona que solicita el trabajo debe confirmar el alcance y la aceptación, mientras que el revisor de pagos verifica los detalles y los pagos previos. Evite un proceso en el que una persona pueda crear un proveedor, aprobar la factura y liberar un pago material sin ningún control independiente.

Cuando sea práctico, use personas separadas para preparar y autorizar pagos de alto riesgo. Establecer límites y definir qué cambios requieren una segunda aprobación. Una pequeña empresa aún puede requerir una devolución de llamada independiente para obtener nuevos datos bancarios y una revisión documentada para transferencias grandes. El control debe ser lo suficientemente específico como para seguirlo durante un día ocupado.

Mantenga un registro de los detalles del beneficiario aprobado y restrinja quién puede editarlos. Revise los cambios periódicamente y elimine el acceso cuando cambien las responsabilidades. Las credenciales bancarias compartidas hacen que sea más difícil identificar quién actuó y debilitan la responsabilidad. Utilice permisos individuales y autenticación compatibles con la institución, con un proceso de ausencia temporal en lugar de pasar credenciales entre el personal.

Utilice autenticación multifactor, contraseñas únicas y seguridad de dispositivos adecuada para sistemas de correo electrónico, contabilidad y banca. Capacitar al personal para inspeccionar las direcciones de los remitentes y evitar abrir archivos adjuntos inesperados o iniciar sesión a través de enlaces desconocidos. Estas medidas reducen la exposición pero no eliminan la necesidad de verificar una solicitud de pago de forma independiente.

Si una cuenta de correo electrónico puede verse comprometida, revise la configuración de recuperación, las reglas de reenvío y las sesiones activas a través de un proceso autorizado. Involucrar al soporte técnico pertinente y preservar la evidencia útil. Simplemente cambiar una contraseña puede no resolver todas las rutas de acceso. Mantenga la investigación proporcionada y evite enviar registros confidenciales a una persona no verificada que dice ayudar.

Imagine que una factura de proveedor de $25,000 llega con una nota de que el proveedor cambió de banco. El número de factura y el proyecto son familiares. El preparador de pagos compara la cantidad con el trabajo aprobado, notifica los detalles del nuevo beneficiario y llama al contacto del proveedor establecido. El proveedor confirma que no se solicitó ningún cambio. El pago permanece en espera mientras la empresa investiga el mensaje y verifica la factura legítima.

El control exitoso en este ejemplo no es detectar un error ortográfico. Está utilizando un canal conocido que el atacante no eligió. Un proceso que depende de errores obvios fallará contra un mensaje pulido. Pruebe el flujo de trabajo con un ejercicio interno seguro y verifique si el personal sabe a quién contactar cuando el aprobador habitual no está disponible.

Póngase en contacto con la entidad financiera inmediatamente a través de su canal oficial y explique que la transferencia puede ser fraudulenta. Pregunte sobre el proceso de retiro o recuperación disponible. Conserva la factura, los mensajes, los detalles de pago y las marcas de tiempo sin alterar la evidencia original. La acción rápida puede importar, pero la recuperación no está garantizada y no debe prometerse a colegas o clientes.

Reporte el incidente a través de las autoridades apropiadas, incluyendo el Centro de Quejas de Delitos en Internet del FBI cuando corresponda, y siga los requisitos legales, de seguros y de respuesta a incidentes de la empresa. Evaluar si las cuentas o los datos personales se vieron comprometidos y obtener ayuda calificada para las obligaciones de notificación. No se comunique con un supuesto servicio de recuperación simplemente porque afirma haber localizado los fondos.

La política debe definir los registros de proveedores aprobados, la verificación del cambio de pago, los límites de aprobación, la retención de evidencia y la escalada de incidentes. Dele al personal una breve lista de verificación que se ajuste al flujo de trabajo de pago real. Una política larga almacenada lejos del proceso contable es menos útil que un control claro aplicado consistentemente a cada cambio material.

La hoja de trabajo a continuación proporciona un registro de verificación y un registro de preparación de incidentes. Utilice detalles ficticios cuando practique y mantenga información bancaria y personal real en los sistemas protegidos de la compañía. Revise el proceso después de cambios en el personal, las herramientas bancarias o el volumen de proveedores. El objetivo es un hábito confiable de pausa y verificación, no una afirmación de que el software o la capacitación pueden hacer imposible el fraude.