Finder I posteringer, betalinger eller fakturaer, der ikke passer, så sikr data, før nogen retter eller undersøger noget. Eksportér regnskabssystemets data og revisionsspor for hele perioden, hent bankdata direkte fra banken, og lav undersøgelsen på en kopi.
Revisoren stiller spørgsmål. En leverandør har fået betaling to gange. Der er posteringer, ingen kan forklare. Det første, man har lyst til, er at gå ind i regnskabssystemet og finde ud af det. Men i det øjeblik, nogen begynder at rette eller “rydde op”, bliver det svært at vise, hvordan tallene så ud, og hvem der ændrede dem. Det gælder også, selvom det hele viser sig at være en fejl.
Hvem gør hvad
- Ledelsen · Beslutter, at der skal undersøges, og hvem der må vide det
- Økonomi eller bogholder · Finder data frem, men retter intet
- IT · Sikrer logs, brugerlister og postkasser
- Revisor og advokat · Vurderer tallene og de næste skridt
Er den person, der normalt står for bogføringen, selv en del af spørgsmålet, skal en anden stå for udtrækket. Det beskytter både virksomheden og medarbejderen.
Sikr, før I undersøger
Formålet er at fastfryse, hvordan data ser ud nu, så undersøgelsen kan laves på en kopi. Skriv ned, hvem der laver hvert udtræk, hvornår og fra hvilken konto. → Skabelon til intern log over beviser
Regnskabssystemet
- Eksportér hele perioden, ikke kun de mistænkelige posteringer. Mønstre ses først, når man kan sammenligne.
- Hent revisionssporet. De fleste systemer logger, hvem der oprettede, ændrede eller slettede en postering, og hvornår. Loggen er ofte mere værd end selve posteringerne.
- Gem brugerlisten med rettigheder, og hvornår brugerne blev oprettet.
- Gem bilagene sammen med posteringerne.
- Notér systemets indstillinger, for eksempel om lukkede perioder kan åbnes igen, og hvem der kan godkende. → Bevissikring af regnskabssystemer
Er systemet i skyen, ligger revisionssporet hos udbyderen. Spørg, hvor længe det gemmes, og om der kan laves et fuldt udtræk. Nogle systemer viser kun en begrænset periode i brugerfladen.
Bank og betalinger
- Hent kontoudtog og betalingshistorik direkte fra netbanken.
- Gem oplysninger om, hvem der har oprettet og godkendt betalinger.
- Gem lister over modtagere og ændringer i kontonumre, med dato for ændringen.
- Gem rettighederne i netbanken: hvem kunne betale alene, og hvem skulle godkende.
Mails og filer
- Sæt et hold på postkasserne hos de personer, der har haft adgang, så intet kan slettes.
- Sikr fakturaer, der er modtaget som PDF på mail. De kan vise, om en faktura er ændret undervejs. → Kan man stole på et PDF-dokument som bevis?
- Gem regneark og filer, der er brugt til afstemning, med deres metadata.
Postkasser og filer indeholder også private oplysninger. Reglerne om medarbejderkontrol og persondata, og en eventuel overenskomst eller kontrolaftale, skal tjekkes, før nogen læser indholdet. → Må vi læse en medarbejders mail?
Gør ikke dette
- Ret ikke posteringer, før de er sikret.
- Spær ikke brugeren i systemet uden at have sikret loggen først. Nogle systemer fjerner historik, når en bruger slettes.
- Konfronter ikke en medarbejder, før data er sikret.
- Lad ikke den, der er under mistanke, hjælpe med at finde fejlen.
- Send ikke regnskabsfiler rundt på mail mellem ledelse, revisor og bestyrelse. Del dem et sted med adgangskontrol.
- Drøft ikke mistanken i fælles kanaler eller på personalemøder.
Fejl eller noget andet?
Mange uregelmæssigheder viser sig at være fejl: dobbelte betalinger, forkerte konteringer, fakturaer bogført to gange. Andre skyldes svindel udefra, for eksempel en falsk mail, der ændrede en leverandørs kontonummer. Sikringen er den samme, og den beskytter også de medarbejdere, der ikke har gjort noget forkert. → Intern undersøgelse: hvem skal vide hvad, og hvornår?
Viser det sig, at en falsk faktura eller et ændret kontonummer kom via en hacket mail, er spørgsmålet ofte, hvem der skal bære tabet. → Fakturasvindel via hacket mail
Spørgsmål, undersøgelsen skal kunne besvare
Når data er sikret, kan revisor eller en IT-sagkyndig arbejde med kopien. Typiske spørgsmål er:
- Hvem oprettede eller ændrede de konkrete posteringer, og fra hvilken bruger?
- Hvornår skete ændringerne, og passer det med arbejdstider og fravær?
- Er der delte logins, så flere personer har brugt samme bruger?
- Er bilag ændret efter modtagelsen, eller passer de med originalen fra afsenderen?
- Hvem ændrede kontonumre på leverandører, og blev ændringen godkendt?
Svarene afhænger af, hvad systemet logger. Er der delte logins, kan det være umuligt at vise, hvem der gjorde hvad, og det er vigtigt at vide tidligt.
Når en medarbejder er under mistanke
Peger sporene mod en bestemt medarbejder, skal HR og ledelsen være ekstra forsigtige. Mistanken kan være forkert, og en forhastet konfrontation kan både skade medarbejderen og ødelægge undersøgelsen. Hold kredsen af indviede lille, og lad den daglige drift fortsætte så normalt som muligt, indtil data er sikret.
Overvej, om medarbejderens adgang til økonomisystemet og netbanken skal begrænses midlertidigt. Det skal ske efter at loggen er gemt, og helst på en måde, der ikke sletter brugerens historik. Bliver medarbejderen fritaget fra arbejdet, skal det ske efter de ansættelsesretlige regler, og samtalen skal forberedes med advokaten. Medarbejderen skal have mulighed for at forklare sig, og forklaringen skal noteres. Ofte er det netop forklaringen, der viser, om der er tale om en fejl, et dårligt arbejdsgangsdesign eller noget andet.
Hvis sagen bliver alvorlig
Viser undersøgelsen, at nogen bevidst har ført penge ud af virksomheden, kan virksomheden overveje et civilt krav, for eksempel om erstatning, og ansættelsesretlige skridt som en opsigelse eller bortvisning. Her er de sikrede data grundlaget, og advokaten skal inddrages, før I handler. Nielco IT hjælper virksomheder med den interne og civile del, når de undersøger forhold i egen virksomhed.
Opbevaring
Bogføringsmateriale skal opbevares i en årrække efter bogføringsloven. Det sikrede materiale fra en undersøgelse er en kopi og følger sagens behov. Aftal, hvem der har adgang til kopien, og hvornår den skal slettes, når sagen er afsluttet.
Hvornår skal I have hjælp udefra?
Når systemet er i skyen og udtrækket ikke er ligetil, når loggen er ved at udløbe, eller når den, der normalt har styr på IT og økonomi, selv er en del af spørgsmålet. Advokater kan læse mere om, hvad et digitalt bogføringssystem skal kunne vise. → Digitale bogføringssystemer som bevis
Næste skridt
Læs også: MitID Erhverv og Digital Post: hvem har rettigheder, og hvem læste brevet? · Firmakort og udlæg: når tallene ikke passer
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
