Шаги аудита для проверки правомерности повторяющихся платежей поставщику (за последние $6$ месяцев) — сжато и по делу:
Планирование и риск-оценка
- Оценить риск: характер операций, объём, материальность, связанные контролли (PO, приёмка, авторизация). Зафиксировать цель: выявить несанкционированные/дублирующие/мошеннические платежи.
- Определить порог отбора и критерии подозрительности (например, одинаковая сумма и реквизиты платёжного документа повторяются $>3$ раз).
Данные и аналитика
- Извлечь данные: банк (выписки), AP ledger, платежные реестры, исходящие платежные поручения, входящие счета-фактуры, контракты, приёмки (GRN), EDR/транзакции ERP за $6$ месяцев.
- Сгруппировать по: поставщику, банковскому счёту, сумме, номеру счёта/инвойса, назначению платежа, дате. Идентифицировать кластеры одинаковых платежей.
- Выполнить аналитические процедуры: частота повторений, интервалы между платежами, процент повторяющихся платежей от общего объёма/количества (например, повторяющиеся платежи составляют $x\%$ от общего числа).
Трассировка и подтверждение документов
- Для каждой подозрительной транзакции: сверить платёж с оригинальным счетом-фактурой/актами/PO и документами приёмки. Проверить совпадение номеров, дат, подписей.
- Подтвердить наличие поставки/услуги: сопоставить с GRN, логистикой, материальным учётом, заданиями/нарядами.
- Проверить последовательность инвойсов и уникальные идентификаторы (если один и тот же инвойс повторялся — возможное дублирование).
Проверка банковских реквизитов и цепочек
- Сверить реквизиты поставщика в платёжных документах с мастер-данными поставщика (IBAN, БИК). Проверить, не изменялись ли реквизиты незадолго до платежа.
- Проанализировать полученные банковские счета: личные/фирменные, совпадают ли бенефициары с поставщиком.
- Запросить выписки у банка и выполнить трассировку платежей до конечного бенефициара (SWIFT-коды, промежуточные банки).
Контроль и авторизации
- Проверить подписи/право подписи, кто инициировал и кто утверждал платежи. Оценить соблюдение делегированных полномочий.
- Проверить настройки ERP: правила автоплатежа, дублирование платёжных партий, возможность массовых повторных оплат.
Дополнительные тесты на признаки мошенничества
- Выявить шаблоны: одинаковые суммы, одинаковые назначения, регулярность (ежемесячно/каждые $x$ дней), круглые суммы.
- Проверить связанные лица: совпадение контактных данных поставщика с сотрудниками фирмы, а также связи через IP, e-mail, адреса.
- Проанализировать временные окна утверждений (платежи проводились вне рабочего времени или быстро после выставления счёта).
- Сравнить цены/объёмы с контрактом или рыночной ценой.
Подтверждение третьими лицами и интервью
- Сделать независимые подтверждения у поставщика (запросить подтверждение задолженности/полученных оплат) по контактам, отличным от указанных в документах.
- Провести целевые интервью с сотрудниками закупок, бухгалтерии, казначейства, ответственными за изменения банковских реквизитов.
Выборка и доказательства
- Сформировать выборку: комбинированная статистическая/целевое тестирование по всем подозрительным транзакциям. Документировать методику выборки.
- Для выборки получить копии первичных документов, электронные логи (смены в мастер-данных), e-mail переписку, логи ERP.
Реагирование при признаках мошенничества
- Если есть значимые признаки мошенничества: немедленно уведомить руководство/комитет по аудиту, приостановить платежи по сомнительным поставщикам, ограничить доступ к мастер-данным.
- Рассмотреть привлечение внутреннего/внешнего forensic-специалиста и юридического консультирования; при необходимости — уведомление правоохранительных органов.
Отчётность и рекомендации по контролям
- Зафиксировать выводы, степень подтверждения правомерности/мошенничества и доказательства.
- Рекомендации по контролям: жесткая верификация изменений банковских реквизитов (двухфакторная и независимая), раздельность обязанностей, автоматические триггеры при повторяющихся одинаковых платежах, процедура подтверждения поставки до платежа, регулярный мониторинг аномалий.
- Предложить мониторинг процедур на постоянной основе (например, ежемесячный отчёт о дубликатах и аномалиях).
Ключевые документы/артефакты, которые собрать
- Выписки банка, платёжные поручения, счета-фактуры, договора, GRN/акты приёма, заявки на закупку/PO, изменения в мастер-данных, e-mail переписка, журналы доступа в ERP.
Критерии для дальнейших действий
- Эскалация при наличии доказательств несанкционированного обогащения или искажений финансовой отчётности.
- Внедрение исправительных мероприятий и последующий контроль за их выполнением.
Если нужно — могу привести чек-лист для выборки и SQL/Excel-описания фильтров для поиска одинаковых платежей.