Nastavení procesů oběhu účetních dokladů ve firmě bývá stále ještě často opomíjenou součástí podnikání. Kybernetická bezpečnost se ale stala nedílnou součástí podnikatelských rizik.
Kybernetické útoky dnes neprobíhají jen formou „nabourání systému“. Stále častěji cílí na lidský faktor a slabé interní procesy – typicky prostřednictvím podvržených e-mailů a fiktivních dokladů k úhradě.
Útočníci využívají techniky známé jako Business Email Compromise (BEC): vydávají se za dodavatele, jednatele nebo člena vedení společnosti a zasílají účetnímu oddělení výzvu k úhradě „urgentní“ faktury, často se změněným číslem bankovního účtu. Pokud firma nemá nastavené kontrolní mechanismy, může dojít k úhradě neexistujícího závazku během několika minut.
Nejčastější slabá místa ve firmách:
- absence schvalovacího workflow pro přijaté faktury
- neexistence víceúrovňové kontroly plateb
- změna bankovního spojení bez ověření
- spoléhání na e-mail jako jediný zdroj pokynu k úhradě
- nedostatečné oddělení pravomocí (princip „čtyř očí“)
Klíčová procesní opatření:
- Ověřování změn bankovního spojení
Jakákoliv změna účtu dodavatele musí být ověřena jiným komunikačním kanálem, nejlépe kontrolou bankovní spojení v registru plátců DPH na Finanční správě ČR (v případě neplátců ověřit telefonicky na známý kontakt). - Schvalování plateb ve dvou krocích
Zavedení pravidla, že každá platba nad stanovený limit podléhá schválení druhou osobou. - Formální evidence závazků
Úhrada může proběhnout pouze na základě dokladu schváleného, a zaevidovaného v účetním systému – nikoliv na základě e-mailové výzvy. - Pravidelné školení zaměstnanců
Účetní a administrativní pracovníci by měli být schopni rozpoznat znaky phishingu či podvržené komunikace. Kyberzločinci jsou vždy o krok napřed, a jejich vynalézavost, a technika/kvalita zpracování podvodných emailů začíná být na úrovni, která hraničí s dokonalostí.
Proces je nejlepší firewall
Zatímco technologická ochrana je nezbytná, správně nastavené interní procesy představují nejúčinnější prevenci proti finančním ztrátám právě v oblasti kybernetického zabezpečení. Zavedení jednoduchých kontrolních kroků může firmě ušetřit nejen finanční prostředky, ale i reputaci.
V oblasti kybernetických hrozeb dnes totiž neplatí otázka zda, ale kdy se firma stane cílem útoku. Rozhodující je, zda na to bude procesně připravena.