Sprawdzanie, czy faktura jest prawdziwa

Przyszła faktura od dostawcy, którego Państwo nie kojarzą, albo od znanego dostawcy, ale z czymś zmienionym. Oto kolejność, którą warto przejść — i, co równie przydatne, miejsce, w którym kończy się to, co weryfikowalne.

Większość fałszywych faktur zostaje wychwycona na jednym z dwóch pierwszych kroków. Prawie żadnej nie wychwytuje uważniejsze wpatrywanie się w plik PDF.

1. Czy ktokolwiek to faktycznie zamówił?

Zanim sprawdzą Państwo, czy firma istnieje, proszę sprawdzić, czy istnieje zakup. Trzeba dopasować fakturę do zamówienia, dostawy albo osoby w organizacji, która powie: „tak, ja o to prosiłem”.

Ten jeden krok wychwytuje największą kategorię fałszywych faktur, wcale nie wyrafinowanych: wiarygodnie wyglądające rachunki za materiały biurowe, wpisy do katalogów, odnowienie domen czy „rejestracje zgodnościowe”, rozsyłane masowo do firm w nadziei, że jedna zostanie opłacona bez pytań. Opierają się w całości na tym, że nikt nie sprawdzi, czy w ogóle było zamówienie.

Na osobną wzmiankę zasługują faktury katalogowe i rejestracyjne. Często są formalnie sformułowane jako oferta, a nie rachunek — mówi o tym drobny druk — i zaprojektowane tak, by pomylić je z odnowieniem czegoś, co już Państwo mają.

2. Czy coś się zmieniło względem poprzednich razów?

Jeśli płacili już Państwo temu dostawcy, proszę porównać z ostatnią fakturą:

• Ten sam rachunek bankowy?
• Ten sam podmiot prawny i numer VAT?
• Ten sam adres nadawcy i ta sama domena?
• Kwota i warunki w zwykłym zakresie?

Największe znaczenie ma zmiana danych bankowych i ma ona własny poradnik: dostawca prosi mailem o zmianę danych do przelewu.

3. Sprawdzenie deklarowanej tożsamości

To są elementy, które może zweryfikować komputer, i wszystkie da się uruchomić naraz na stronie głównej. Każdy odpowiada na wąskie pytanie:

• Numer VAT. Czy jest obecnie zarejestrowany i na kogo? Poprawny numer dowodzi, że rejestracja istnieje; nie dowodzi, że nadawca jest jej właścicielem, bo numery VAT są jawne. Zobacz poprawny numer VAT, inna nazwa.
• IBAN. Czy jest poprawnie zbudowany i wydany w spodziewanym kraju? Suma kontrolna wychwytuje literówki praktycznie zawsze. Nie mówi nic o tym, kto jest właścicielem rachunku — żadne publiczne źródło tego nie powie. Zobacz kraj IBAN różni się od kraju VAT.
• Kontrola sankcyjna. Czy nazwa przypomina wpis na skonsolidowanej liście UE? To podobieństwo, a nie ustalenie. Zobacz co oznacza możliwe dopasowanie.
• Domena nadawcy. Czy uwierzytelnia własną pocztę i ile ma lat? Domena zarejestrowana trzy tygodnie temu, która nie publikuje polityki DMARC, to zupełnie co innego niż domena istniejąca od dekady. Zobacz brak polityki DMARC.

4. Lektura samego dokumentu

Warto rzucić okiem, ale to słaby dowód w obie strony — kompetentne fałszerstwo ma to wszystko w porządku, a uczciwe małe firmy sporo z tego mylą.

• Wymagane elementy. Faktura VAT w UE lub Wielkiej Brytanii musi zawierać numer, datę, nazwę, adres i numer VAT dostawcy, opis, kwotę netto, stawkę VAT i kwotę VAT. Brak kilku z nich na dużej fakturze to powód, by ją zakwestionować.
• Arytmetyka. Czy VAT rzeczywiście równa się deklarowanej stawce zastosowanej do kwoty netto?
• Spójność. Czy przedrostek kraju w numerze VAT zgadza się z adresem? Czy waluta pasuje do kraju? Czy numer faktury jest wiarygodny w zestawieniu z wcześniejszymi?
• Blok z danymi bankowymi. Warto poszukać śladów, że był edytowany osobno od reszty — inna czcionka, wyrównanie albo odstępy.

5. Telefon

Przy każdej istotnej kwocie i przy każdej zmianie danych bankowych proszę zadzwonić do dostawcy pod numer, który mieli Państwo już wcześniej — ze starszej faktury, z systemu księgowego albo ze strony internetowej, na którą weszli Państwo samodzielnie. Nigdy pod numer z faktury lub z wiadomości.

To krok, który wychwytuje oszustwo przechodzące każdy inny test: prawdziwy dostawca, prawdziwy numer VAT, prawdziwa domena, prawdziwa faktura i cudzy rachunek bankowy.

Czego nic z tego nie powie

Warto jasno wskazać tę granicę, bo narzędzia, które ją zacierają, sprawiają, że ludzie nadmiernie ufają zielonemu znaczkowi:

• Kto jest właścicielem rachunku bankowego. W UE i Wielkiej Brytanii nie jest to jawne. Nie ma czego sprawdzić.
• Czy towar lub usługa zostały dostarczone. Odpowiadają na to wyłącznie własne ewidencje.
• Czy firma jest wypłacalna i czy zamierza wywiązać się z umowy. Zarejestrowana firma z czystymi wpisami wciąż może być złym kontrahentem.
• Czy osoba pisząca jest tym, za kogo się podaje. Uwierzytelnianie poczty dowodzi, że wiadomość wyszła z danej domeny. Nie dowodzi, kto siedział przy klawiaturze — i właśnie dlatego przejęta skrzynka pokonuje ten mechanizm.

To także powód, dla którego narzędzie na tej stronie zwraca niezależne wyniki dla każdej kontroli i nigdy jednego werdyktu „można bezpiecznie zapłacić”. Każda kontrola uczciwie odpowiada na własne wąskie pytanie. Połączenie ich w jedną liczbę sugerowałoby pewność, której żadna z nich — razem ani osobno — dać nie może.