Sprawdzanie, czy faktura jest prawdziwa

Przyszła faktura od dostawcy, którego Państwo nie kojarzą, albo od znanego dostawcy, ale z czymś zmienionym. Oto kolejność, którą warto przejść — i, co równie przydatne, miejsce, w którym kończy się to, co weryfikowalne.

Większość fałszywych faktur zostaje wychwycona na jednym z dwóch pierwszych kroków. Prawie żadnej nie wychwytuje uważniejsze wpatrywanie się w plik PDF.

Kontrola w dziesięciu punktach

Jeśli chcą Państwo wersji skróconej — oto ona. Punkty od 1 do 3 wyłapują niemal wszystko; pozostałe warte są po minucie przy fakturze dużej, od nieznanego wystawcy albo innej niż poprzednio.

1. Czy istnieje zamówienie? Proszę powiązać fakturę z zamówieniem, dostawą albo osobą, która potwierdzi, że o to prosiła. Nie ma zamówienia — nie ma zapłaty, choćby dokumenty wyglądały nienagannie.
2. Czy dane bankowe zmieniły się od ostatniego razu? Proszę porównać z poprzednią fakturą, a nie z e-mailem, który mają Państwo przed sobą.
3. Czy zadzwonili Państwo pod numer, który mieli już wcześniej? Obowiązkowe przy każdej zmianie rachunku. Nie numer z faktury i nie ten z podpisu.
4. Czy numer VAT jest zarejestrowany i na kogo? Zarejestrowany numer dowodzi, że rejestracja istnieje — nie że należy do nadawcy.
5. Czy nazwa z rejestru zgadza się z nazwą na fakturze? Nazwy handlowe i spółki z grupy wyjaśniają większość rozbieżności; o pozostałe warto zapytać.
6. Czy IBAN przechodzi sumę kontrolną i czy został wydany tam, gdzie się tego spodziewamy? Suma kontrolna wyłapuje literówki praktycznie zawsze i nic nie mówi o właścicielu.
7. Czy domena nadawcy uwierzytelnia własną pocztę i ile ma lat? Domena zarejestrowana trzy tygodnie temu to zupełnie co innego niż dwudziestoletnia.
8. Czy nazwa przypomina wpis na liście sankcyjnej? Podobieństwo to sygnał, żeby przyjrzeć się porządnie, nigdy rozstrzygnięcie.
9. Czy są wszystkie wymagane elementy i czy rachunek się zgadza? Numer faktury, data, nazwa i adres dostawcy, numer VAT, opis, kwota netto, stawka i kwota VAT.
10. Czy dostawca nadal prowadzi działalność? Firma w likwidacji zachowuje działający numer VAT i działający rachunek bankowy, często przez wiele miesięcy.

Punkty od 4 do 8 komputer wykonuje lepiej niż człowiek, a narzędzie do faktur wykonuje wszystkie pięć naraz: wystarczy upuścić PDF, a numer VAT, rachunek bankowy i domena poczty zostaną z niego odczytane w Państwa przeglądarce — sam plik nigdy nie jest wysyłany — i sprawdzone w jednym przebiegu.

1. Czy ktokolwiek to faktycznie zamówił?

Zanim sprawdzą Państwo, czy firma istnieje, proszę sprawdzić, czy istnieje zakup. Trzeba dopasować fakturę do zamówienia, dostawy albo osoby w organizacji, która powie: „tak, ja o to prosiłem”.

Ten jeden krok wychwytuje największą kategorię fałszywych faktur, wcale nie wyrafinowanych: wiarygodnie wyglądające rachunki za materiały biurowe, wpisy do katalogów, odnowienie domen czy „rejestracje zgodnościowe”, rozsyłane masowo do firm w nadziei, że jedna zostanie opłacona bez pytań. Opierają się w całości na tym, że nikt nie sprawdzi, czy w ogóle było zamówienie.

Na osobną wzmiankę zasługują faktury katalogowe i rejestracyjne. Często są formalnie sformułowane jako oferta, a nie rachunek — mówi o tym drobny druk — i zaprojektowane tak, by pomylić je z odnowieniem czegoś, co już Państwo mają.

2. Czy coś się zmieniło względem poprzednich razów?

Jeśli płacili już Państwo temu dostawcy, proszę porównać z ostatnią fakturą:

• Ten sam rachunek bankowy?
• Ten sam podmiot prawny i numer VAT?
• Ten sam adres nadawcy i ta sama domena?
• Kwota i warunki w zwykłym zakresie?

Największe znaczenie ma zmiana danych bankowych i ma ona własny poradnik: dostawca prosi mailem o zmianę danych do przelewu.

3. Sprawdzenie deklarowanej tożsamości

To są elementy, które może zweryfikować komputer, i wszystkie da się uruchomić naraz na stronie głównej. Jeśli masz fakturę przed sobą w PDF, sprawdzanie faktury odczyta z niej numer VAT, rachunek bankowy i domenę nadawcy w Twojej przeglądarce i uruchomi te same sprawdzenia — nic nie trzeba przepisywać. Każdy odpowiada na wąskie pytanie:

• Numer VAT. Czy jest obecnie zarejestrowany i na kogo? Poprawny numer dowodzi, że rejestracja istnieje; nie dowodzi, że nadawca jest jej właścicielem, bo numery VAT są jawne. Zobacz poprawny numer VAT, inna nazwa.
• IBAN. Czy jest poprawnie zbudowany i wydany w spodziewanym kraju? Suma kontrolna wychwytuje literówki praktycznie zawsze. Nie mówi nic o tym, kto jest właścicielem rachunku — żadne publiczne źródło tego nie powie. Zobacz kraj IBAN różni się od kraju VAT.
• Kontrola sankcyjna. Czy nazwa przypomina wpis na skonsolidowanej liście UE? To podobieństwo, a nie ustalenie. Zobacz co oznacza możliwe dopasowanie.
• Domena nadawcy. Czy uwierzytelnia własną pocztę i ile ma lat? Domena zarejestrowana trzy tygodnie temu, która nie publikuje polityki DMARC, to zupełnie co innego niż domena istniejąca od dekady. Zobacz brak polityki DMARC.

4. Lektura samego dokumentu

Warto rzucić okiem, ale to słaby dowód w obie strony — kompetentne fałszerstwo ma to wszystko w porządku, a uczciwe małe firmy sporo z tego mylą.

• Wymagane elementy. Faktura VAT w UE lub Wielkiej Brytanii musi zawierać numer, datę, nazwę, adres i numer VAT dostawcy, opis, kwotę netto, stawkę VAT i kwotę VAT. Brak kilku z nich na dużej fakturze to powód, by ją zakwestionować.
• Arytmetyka. Czy VAT rzeczywiście równa się deklarowanej stawce zastosowanej do kwoty netto?
• Spójność. Czy przedrostek kraju w numerze VAT zgadza się z adresem? Czy waluta pasuje do kraju? Czy numer faktury jest wiarygodny w zestawieniu z wcześniejszymi?
• Blok z danymi bankowymi. Warto poszukać śladów, że był edytowany osobno od reszty — inna czcionka, wyrównanie albo odstępy.

5. Telefon

Przy każdej istotnej kwocie i przy każdej zmianie danych bankowych proszę zadzwonić do dostawcy pod numer, który mieli Państwo już wcześniej — ze starszej faktury, z systemu księgowego albo ze strony internetowej, na którą weszli Państwo samodzielnie. Nigdy pod numer z faktury lub z wiadomości.

To krok, który wychwytuje oszustwo przechodzące każdy inny test: prawdziwy dostawca, prawdziwy numer VAT, prawdziwa domena, prawdziwa faktura i cudzy rachunek bankowy.

Trzy faktury i to, co je zdradziło

Wszystkie trzy są złożone ze wzorców, które faktycznie się pojawiają, z wymyślonymi danymi. Liczy się kształt każdej z nich i to, który z powyższych kroków ją wyłapuje.

1. Odnowienie, które nigdy nie było abonamentem

„Odnowienie wpisu do katalogu — 987 EUR, płatne w 7 dni“. Zaadresowane do firmy pod jej prawidłową nazwą i adresem. Z realistycznie wyglądającym numerem referencyjnym. Drobnym drukiem u dołu: to jest oferta, a nie faktura.

Co było prawdą: nadawca istniał i był zarejestrowany do VAT. Nazwa i adres były prawidłowe, bo jedno i drugie jest jawne. Nic nie zostało sfałszowane.

Co to zdradziło: punkt 1. Nie było zamówienia. Każde sprawdzenie tożsamości wypada pomyślnie, bo z tożsamością nadawcy nie ma nic nie tak — problemem jest założenie, że dokument w skrzynce płatności odpowiada czemuś, co ktoś kupił.

2. Prawdziwy dostawca z cudzym rachunkiem

Prawdziwa faktura od dostawcy współpracującego od dwóch lat, w tym samym wątku e-mail co cztery poprzednie, ten sam numer zamówienia, ten sam układ, ten sam podpis. Jedno pole różni się od poprzedniej faktury: IBAN. Pismo przewodnie przeprasza za zmianę i wspomina o audycie.

Co było prawdą: niemal wszystko. Skrzynkę pocztową przejęto kilka tygodni wcześniej. Domena była prawdziwa, więc SPF i DKIM wypadły pomyślnie. Numer VAT był prawdziwy. IBAN był poprawnie zbudowany i należał do prawdziwego, niedawno otwartego rachunku.

Co to zdradziło: punkty 2 i 3 — i nic innego nie mogło. To przypadek, wokół którego zbudowana jest cała ta strona; zobacz dostawca prosi o zmianę danych bankowych.

3. Firma, która przestała działać

Zwyczajna faktura za doradztwo, od firmy, której numer VAT rozwiązuje się w VIES bez zarzutu, której nazwa dokładnie odpowiada rejestrowi, a IBAN pochodzi z tego samego kraju.

Co było prawdą: wszystkie sprawdzenia wypadły pomyślnie, bo wszystkie pytały o rejestrację. Firma cztery miesiące wcześniej weszła w likwidację. Numer VAT był nadal aktywny — wykreślenie i upadłość to odrębne procedury o odrębnych terminach — a rachunek nadal otwarty, teraz w dyspozycji masy upadłościowej.

Co to zdradziło: punkt 10, czyli krajowy rejestr przedsiębiorców zamiast VIES. VIES odpowiada, czy numer jest zarejestrowany, i nic więcej; rejestr odpowiada, w jakim stanie jest firma. Zobacz co oznacza dla Państwa płatności firma w likwidacji.

Czego nic z tego nie powie

Warto jasno wskazać tę granicę, bo narzędzia, które ją zacierają, sprawiają, że ludzie nadmiernie ufają zielonemu znaczkowi:

• Kto jest właścicielem rachunku bankowego. W UE i Wielkiej Brytanii nie jest to jawne. Nie ma czego sprawdzić.
• Czy towar lub usługa zostały dostarczone. Odpowiadają na to wyłącznie własne ewidencje.
• Czy firma jest wypłacalna i czy zamierza wywiązać się z umowy. Zarejestrowana firma z czystymi wpisami wciąż może być złym kontrahentem.
• Czy osoba pisząca jest tym, za kogo się podaje. Uwierzytelnianie poczty dowodzi, że wiadomość wyszła z danej domeny. Nie dowodzi, kto siedział przy klawiaturze — i właśnie dlatego przejęta skrzynka pokonuje ten mechanizm.

To także powód, dla którego narzędzie na tej stronie zwraca niezależne wyniki dla każdej kontroli i nigdy jednego werdyktu „można bezpiecznie zapłacić”. Każda kontrola uczciwie odpowiada na własne wąskie pytanie. Połączenie ich w jedną liczbę sugerowałoby pewność, której żadna z nich — razem ani osobno — dać nie może.