Erhvervsnetbanken registrerer som regel, hvem der oprettede en betaling, hvem der godkendte den, og hvornår. Hvis I bruger personlige brugere og to personers godkendelse, kan netbanken derfor ofte svare på, hvem der gjorde hvad. Det, I selv kan se i netbanken, er et godt udgangspunkt, men banken har ofte flere oplysninger, fx om login og enheder. Bed om dem hurtigt, og ret ikke noget i brugeropsætningen, før oplysningerne er gemt.
Hvornår spørgsmålet opstår
- En betaling er gået til en ukendt modtager.
- En faktura er betalt to gange, eller til en anden konto end normalt.
- En medarbejder siger, at vedkommende ikke har godkendt en betaling.
- Der er betalt efter en falsk faktura eller en falsk mail fra “direktøren”.
- Revisoren spørger, hvem der har godkendt bestemte betalinger.
- Der er uenighed i ejerkredsen om, hvem der har flyttet penge.
Det kan I selv se i netbanken
De fleste erhvervsnetbanker viser:
- Betalingsdetaljer: beløb, modtager, konto, dato og tekst.
- Oprettet af: den bruger, der oprettede betalingen.
- Godkendt af: den eller de brugere, der godkendte betalingen, og tidspunktet.
- Brugeroversigt: hvem der har adgang, og hvilke rettigheder de har.
- Ændringer i modtagere: nogle banker viser, hvem der oprettede eller ændrede en fast modtager.
Tag skærmbilleder eller eksporter af de relevante betalinger og af brugeroversigten med rettigheder. Notér, hvem der tog dem, og hvornår.
Det kan banken ofte udlevere
Banken har typisk flere oplysninger end dem, der vises i netbanken:
- login-tidspunkter for hver bruger,
- hvilken metode der blev brugt til login og godkendelse, fx MitID,
- oplysninger om enhed, browser eller IP-adresse,
- ændringer i brugere og rettigheder,
- logs over ændringer af modtagere og betalingsaftaler.
Hvad banken kan og vil udlevere, varierer. Bed skriftligt om oplysningerne for den relevante periode, og bed banken om at bevare dem. Spørg, hvor længe de gemmes.
Advokatsitet beskriver, hvordan MitID- og netbankdata bruges som bevis i en tvist: → MitID og netbank: hvem godkendte betalingen?
Hvad gør I nu?
1. Ring til banken med det samme, hvis pengene er på vej ud
Er der betalt til en svindler, er tid afgørende. Kontakt banken straks og bed dem forsøge at stoppe eller tilbagekalde betalingen. → Vi har betalt en falsk faktura: de første timer
2. Gem det, I selv kan se
Eksportér betalingerne og brugeroversigten, før noget ændres.
3. Bed banken om oplysninger og bevarelse
Send en skriftlig anmodning til jeres erhvervsrådgiver. Beskriv betalingerne, perioden og hvad I ønsker oplyst. Bed banken bevare data.
4. Find ud af, hvem der havde adgang
Hvem har brugere i netbanken, og hvilke rettigheder har de? Er der nogen, der har delt deres MitID, eller som har godkendt betalinger for en kollega? Det er ikke usædvanligt i små virksomheder, men det gør det svært at bevise, hvem der faktisk godkendte. → MitID Erhverv: hvem har rettigheder?
5. Sammenhold med andre spor
Sammenhold netbankens oplysninger med mails, bogføring og godkendelser i økonomisystemet. Var den, der godkendte, på arbejde? Var der en mail, der bad om betalingen? Blev fakturaen bogført?
6. Skift adgangskoder og rettigheder, når sporene er gemt
Når data er sikret, kan I ændre rettigheder og spærre brugere. Gør det dokumenteret, og notér hvornår.
To personers godkendelse
To personers godkendelse betyder, at én opretter betalingen, og en anden godkender den. Det er en af de mest effektive kontroller mod både fejl og misbrug, og det gør det lettere bagefter at se, hvem der gjorde hvad. Men den virker kun, hvis:
- hver person har sin egen bruger og sit eget MitID,
- den, der godkender, faktisk ser på betalingen,
- grænsen ikke er sat så højt, at de fleste betalinger går uden om,
- ingen har rettigheder til både at oprette og godkende alene.
Har jeres netbank ikke to personers godkendelse slået til, så tal med banken om det.
Hvis betalingen kom fra en falsk mail
Mange sager starter med en mail, der ser ud til at komme fra direktøren eller en leverandør. Så er netbanken kun en del af billedet. Mailen og mailkontoen skal også sikres. → Mail fra “direktøren” om en hasteoverførsel
Når det er en intern sag
Peger sporene på en medarbejder, er det en personalesag, og så gælder de samme principper som i andre interne undersøgelser. Hold kredsen lille, sikr data, før nogen bliver spurgt, og forbered samtalen med HR og advokat. Medarbejderen skal have mulighed for at forklare sig. Måske har en kollega brugt vedkommendes MitID, eller måske blev betalingen godkendt efter en mundtlig besked fra en leder. Undersøg forklaringen, før I træffer beslutninger.
Er det en ejer eller direktør, sagen handler om, kan økonomifunktionen komme i en svær situation. Så er det typisk bestyrelsen eller de øvrige ejere, der skal bede banken om oplysningerne, og det bør ske i samråd med en advokat. Banken vil normalt kun udlevere oplysninger til personer, der kan tegne virksomheden.
Gem korrespondancen med banken
Gem alle mails og breve til og fra banken om sagen, og skriv et kort notat efter hvert telefonopkald: hvem I talte med, hvad der blev sagt, og hvad der blev aftalt. Det gør det lettere at følge op, og det kan blive vigtigt, hvis der senere opstår uenighed om, hvornår banken fik besked, eller hvad den lovede at gøre.
Hvem gør hvad?
- Økonomi · Gemmer betalinger og brugeroversigt, kontakter banken
- Ejer eller direktør · Ejer sagen, godkender anmodning til banken
- Bank · Udleverer og bevarer oplysninger efter aftale
- IT · Sikrer mails og computere, der er brugt
- Advokat · Rådgiver om krav, tvister og ansættelsesretlige skridt
- IT-sagkyndig · Sammenholder bankdata med logs fra mail og computere
Det må I ikke gøre
- Ændre rettigheder eller slette brugere, før oplysningerne er gemt.
- Bede medarbejderen om at “tjekke selv” i netbanken, hvis vedkommende kan være involveret.
- Vente med at kontakte banken. Både muligheden for at stoppe betalingen og bankens logs kan forsvinde med tiden.
- Konkludere på et navn i “godkendt af”. Hvis MitID er delt, er navnet ikke nødvendigvis personen.
Forebyg næste gang
- Personlige brugere og to personers godkendelse.
- Ingen deling af MitID, heller ikke i en travl periode.
- Fast procedure for ændring af modtagerkonti, med bekræftelse via telefon på et kendt nummer.
- Gennemgang af brugere og rettigheder mindst en gang om året og ved fratrædelser.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis bankens oplysninger skal sammenholdes med logs fra mail, computere og telefoner, hvis en medarbejder afviser at have godkendt betalingen, eller hvis sagen skal bruges i en tvist. En uvildig IT-sagkyndig kan dokumentere sammenhængen. Økonomifunktionens samlede rolle er beskrevet her: → Økonomifunktionens rolle: bank, ERP og betalingsspor
Denne artikel handler om civile sager og interne undersøgelser. Er der tale om svindel udefra, skal I også følge bankens og forsikringens anvisninger.
Læs også: Indkøberen og leverandøren er for tætte · Revisoren har fundet noget: næste skridt for ledelsen
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
