Preverjanje pristnosti računa

Prispel je račun dobavitelja, ki ga ne prepoznate, ali takega, ki ga prepoznate, a zahteva nekaj drugega. To je vrstni red, ki se ga splača opraviti — in prav tako koristno: kje se preverljivi del konča.

Večino goljufivih računov ujame eden od prvih dveh korakov. Skoraj nobenega ne ujame še natančnejše zrenje v PDF.

Preveritev v desetih točkah

Če želite kratko različico, je tukaj. Točke od 1 do 3 ujamejo skoraj vse; preostale so vredne minute vsaka pri računu, ki je velik, od neznanega izdajatelja ali drugačen kot prejšnjič.

1. Ali naročilo sploh obstaja? Račun povežite z naročilom, dobavo ali osebo, ki pove, da je to naročila. Ni naročila, ni plačila — pa naj dokumentacija izgleda še tako urejeno.
2. So se bančni podatki od zadnjič spremenili? Primerjajte s prejšnjim računom, ne z e-pošto, ki jo imate pred sabo.
3. Ste poklicali na številko, ki ste jo že imeli? Obvezno ob vsaki spremembi računa. Ne na številko z računa in ne na tisto iz podpisa.
4. Je številka DDV registrirana in na koga? Registrirana številka dokazuje, da registracija obstaja — ne, da pripada pošiljatelju.
5. Se ime iz registra ujema z imenom na računu? Tržna imena in družbe v skupini pojasnijo večino odstopanj; po preostalih povprašajte.
6. Ali IBAN prestane kontrolno vsoto in je izdan tam, kjer bi pričakovali? Kontrolna vsota ujame tipkarske napake praktično vedno in o imetniku ne pove ničesar.
7. Ali domena pošiljatelja preverja pristnost lastne pošte in koliko je stara? Domena, registrirana pred tremi tedni, je nekaj povsem drugega kot dvajset let stara.
8. Je ime podobno vpisu na sankcijskem seznamu? Podobnost je poziv, da pogledate zares, nikoli ugotovitev.
9. So obvezne sestavine tu in ali račun matematično drži? Številka računa, datum, ime in naslov dobavitelja, številka DDV, opis, neto znesek, stopnja in znesek DDV.
10. Ali dobavitelj še posluje? Podjetje v likvidaciji ohrani delujočo številko DDV in delujoč bančni račun, pogosto mesece.

Točke od 4 do 8 računalnik opravi bolje kot človek, in orodje za račune izvede vseh pet naenkrat: spustite PDF, iz njega se v vašem brskalniku preberejo številka DDV, bančni račun in e-poštna domena — datoteka sama se nikoli ne naloži — nato pa se vse preveri v enem prehodu.

1. Je to sploh kdo naročil?

Preden preverite, ali podjetje obstaja, preverite, ali obstaja nakup. Račun povežite z naročilnico, dobavo ali osebo v vaši organizaciji, ki lahko reče: »Da, to sem naročil.«

Ta en sam korak ujame največjo kategorijo lažnih računov, ki sploh niso prefinjeni: verjetno videti terjatve za pisarniški material, vpise v imenike, podaljšanja domen ali »registracije skladnosti«, poslane množično podjetjem v upanju, da bo eden plačan, ne da bi kdo vprašal. V celoti se zanašajo na to, da nihče ne preveri, ali je naročilo sploh kdaj obstajalo.

Računi za imenike in registracije si zaslužijo posebno omembo. Pogosto so formalno napisani kot ponudba in ne kot račun — drobni tisk to pove — in zasnovani tako, da jih zamenjate s podaljšanjem nečesa, kar že imate.

2. Je to sprememba glede na prejšnjič?

Če ste temu dobavitelju že plačali, primerjajte z zadnjim računom:

• Isti bančni račun?
• Ista pravna oseba in ID številka za DDV?
• Isti naslov pošiljatelja in domena?
• Znesek in pogoji v običajnem razponu?

Sprememba bančnih podatkov je najpomembnejša in ima svoj vodnik: dobavitelj je po e-pošti prosil za spremembo bančnih podatkov.

3. Preverite navedbe o identiteti

To so deli, ki jih računalnik lahko preveri, in vse lahko poženete hkrati na začetni strani. Če imate račun pred sabo v obliki PDF, preverjanje računa z njega prebere davčno številko, bančni račun in domeno pošiljatelja v vašem brskalniku in zažene ista preverjanja, zato ni ničesar za ponovno tipkanje. Vsak odgovarja na ozko vprašanje:

• ID številka za DDV. Je trenutno registrirana in na koga? Veljavna številka dokazuje, da registracija obstaja; ne dokazuje, da jo ima pošiljatelj, saj so številke za DDV javne. Glejte veljavna ID številka za DDV, drugo ime.
• IBAN. Je pravilno oblikovan in izdan v državi, ki bi jo pričakovali? Kontrolna vsota tipkarske napake ujame tako rekoč vedno. O lastniku računa ne pove nič — tega skoraj noben javni vir ne more. Glejte država IBAN se razlikuje od države DDV.
• Preverjanje sankcij. Je ime podobno vnosu na konsolidiranem seznamu EU? Podobnost, ne ugotovitev. Glejte kaj pomeni možno ujemanje.
• Domena pošiljatelja. Ali avtenticira svojo e-pošto in kako stara je? Domena, registrirana pred tremi tedni, ki ne objavlja pravilnika DMARC, je nekaj povsem drugega kot ena, ki obstaja desetletje. Glejte ni pravilnika DMARC.

4. Preberite sam dokument

Vredno pogleda, a v obe smeri šibek dokaz — spretna ponaredba vse to zadene, zakonita mala podjetja pa marsikaj od tega zgrešijo.

• Obvezne sestavine. Račun iz EU ali Združenega kraljestva mora nositi številko računa, datum, ime, naslov in ID številko za DDV dobavitelja, opis, neto znesek, stopnjo DDV in znesek DDV. Če jih pri velikem računu manjka več, je to razlog za poizvedbo.
• Računska preverba. Je DDV res enak navedeni stopnji, uporabljeni na neto znesku?
• Skladnost. Se predpona države v številki za DDV ujema z naslovom? Se valuta ujema z državo? Je številka računa verjetna glede na prejšnje?
• Blok z bančnimi podatki. Poiščite znake, da je bil urejen ločeno od preostalega — druga pisava, poravnava ali razmiki.

5. Dvignite telefon

Pri vsem pomembnem in pri vsaki spremembi bančnih podatkov pokličite dobavitelja na številki, ki ste jo imeli že prej — s starejšega računa, iz računovodskega sistema ali z njihove spletne strani, do katere ste prišli sami. Nikoli na številki z računa ali iz e-pošte.

To je korak, ki ujame prevaro, ki prestane vsa druga preverjanja: resničen dobavitelj, resnična številka za DDV, resnična domena, resničen račun — in tuj bančni račun.

Trije računi in kaj jih je izdalo

Vsi trije so sestavljeni iz vzorcev, ki se v resnici pojavljajo, z izmišljenimi podatki. Šteje oblika vsakega od njih in to, kateri korak zgoraj ga ujame.

1. Podaljšanje, ki nikoli ni bilo naročnina

»Podaljšanje vpisa v imenik — 987 EUR, plačljivo v 7 dneh.« Naslovljeno na podjetje z njegovim pravilnim registriranim imenom in naslovom. S prepričljivo videti sklicno številko. V drobnem tisku ob vznožju: to je ponudba, ne račun.

Kaj je bilo res: pošiljatelj je obstajal in je bil zavezanec za DDV. Ime in naslov sta bila pravilna, ker sta oba javna. Nič ni bilo ponarejeno.

Kaj ga je izdalo: točka 1. Naročila ni bilo. Vsaka preveritev identitete ga prestane, ker z identiteto pošiljatelja ni nič narobe — narobe je predpostavka, da dokument, ki pride med obveznosti, ustreza nečemu, kar je nekdo kupil.

2. Pravi dobavitelj s tujim računom

Resničen račun dobavitelja, s katerim sodelujete dve leti, v isti e-poštni niti kot zadnji štirje, ista številka naročila, ista postavitev, isti podpis. Eno polje se razlikuje od prejšnjega računa: IBAN. Spremni dopis se opraviči za spremembo in omeni revizijo.

Kaj je bilo res: skoraj vse. V poštni predal so vdrli nekaj tednov prej. Domena je bila prava, zato sta SPF in DKIM uspela. Številka DDV je bila prava. IBAN je bil pravilno sestavljen in je pripadal resničnemu, nedavno odprtemu računu.

Kaj ga je izdalo: točki 2 in 3 — in nič drugega ne bi moglo. To je primer, okoli katerega je zgrajena vsa ta stran; glejte dobavitelj prosi za spremembo bančnih podatkov.

3. Podjetje, ki je nehalo poslovati

Običajen račun za svetovanje, od podjetja, čigar številka DDV se v VIES razreši povsem čisto, čigar ime se natanko ujema z registrom in čigar IBAN je iz iste države.

Kaj je bilo res: vse preveritve so uspele, ker so vse spraševale po registraciji. Podjetje je štiri mesece prej vstopilo v likvidacijo. Številka DDV je bila še vedno aktivna — izbris in insolventnost sta ločena postopka z ločenimi roki — račun pa še vedno odprt, zdaj pod nadzorom stečajne mase.

Kaj ga je izdalo: točka 10, torej nacionalni poslovni register namesto VIES. VIES odgovori, ali je številka registrirana, in nič drugega; register odgovori, v kakšnem stanju je podjetje. Glejte kaj za vaše plačilo pomeni podjetje v likvidaciji.

Česa vam nič od tega ne more povedati

Vredno je biti jasen glede meje, kajti orodja, ki jo zabrišejo, so razlog, da ljudje preveč zaupajo zeleni kljukici:

• Komu pripada bančni račun. V EU in Združenem kraljestvu ni javno. Poljska je edina izjema in to preverjanje jo uporablja.
• Ali je bilo blago ali storitev dobavljeno. Na to odgovorijo le vaše lastne evidence.
• Ali je podjetje plačilno sposobno ali namerava dobaviti. Registrirano podjetje s čistimi podatki je lahko vseeno slab poslovni partner.
• Ali je oseba, ki vam piše, res tista, za katero se izdaja. E-poštna avtentikacija dokazuje, da je sporočilo prišlo z domene. Ne more dokazati, kdo je sedel za tipkovnico — prav zato jo vdrt poštni predal izniči.

Tudi zato orodje na tej strani vrne samostojen rezultat za vsako preverjanje in nikoli ene same sodbe »varno za plačilo«. Vsako preverjanje pošteno odgovori na svoje ozko vprašanje. Združiti jih v eno število bi pomenilo obljubiti zagotovilo, ki ga nobeno od njih — skupaj ali posebej — ne more dati.