Поставщик сменил счёт перед оплатой: как проверить реквизиты и не сорвать поставку

Письмо от поставщика приходит за несколько часов до срока оплаты: «У нас изменились банковские реквизиты, пожалуйста, перечислите деньги на новый счёт, чтобы отгрузка не задержалась». В закупках уже ждут сырьё, бухгалтер видит знакомое название компании, а менеджер пообещал, что машина выйдет после платежа. В такой ситуации легко принять срочность за подтверждение подлинности. Но сообщение может быть частью мошеннической схемы: злоумышленник перехватил переписку, взломал почту или выдал себя за сотрудника контрагента.

Риск не ограничивается потерей одной суммы. Если деньги уйдут не тому получателю, поставщик может не признать оплату, отказаться отгружать товар и потребовать повторный перевод. Для ресторана последствия быстро переходят в операционные: не хватает продуктов, срывается меню, приходится покупать замену дороже, переносить бронирования или объясняться с гостями. А если подменённый счёт принадлежит настоящему контрагенту, разбирательство может быть сложнее, чем в случае очевидного письма от незнакомого адреса.

Надёжная проверка — это не «посмотреть, похоже ли письмо на настоящее», и не один телефонный звонок по номеру из того же сообщения. Нужна короткая, заранее установленная процедура, которая связывает запрос с известным контактным лицом, проверяет реквизиты по независимому каналу и не позволяет срочности отменить контроль. При этом проверка должна быть достаточно быстрой, чтобы не превращаться в бюрократическую пробку и не останавливать нормальные поставки.

Почему подмена реквизитов опасна для ресторана

Банковские реквизиты обычно меняются нечасто, поэтому сотрудники запоминают сам факт смены как событие, но не всегда — способ его подтверждения. Мошенникам достаточно встроиться в привычный процесс: написать в знакомой цепочке писем, назвать номер накладной, сослаться на разговор с менеджером или прислать документ с печатью и подписью. Даже небольшое совпадение с реальностью снижает бдительность.

Для ресторанного бизнеса проблема усиливается тем, что закупки часто идут по повторяющемуся графику. Овощи, мясо, молочная продукция, напитки, упаковка и хозяйственные товары нужны постоянно. У части поставщиков короткий срок оплаты, а задержка действительно может повлиять на отгрузку. Поэтому работник, который хочет сохранить поставку, может воспринять проверку как лишний формальный шаг и поспешить выполнить просьбу.

Вторая особенность — несколько участников процесса. Заказ может вести шеф-повар или управляющий, условия согласует закупщик, счёт обрабатывает бухгалтер, платёж утверждает директор или финансовый руководитель. Мошенник использует разрыв между функциями: одному сотруднику пишет о срочной смене счёта, другой видит счёт в системе, третий подтверждает оплату, не зная, что реквизиты новые.

Третья особенность — высокая цена задержки при ограниченном времени на проверку. Если к открытию ресторана не пришла важная поставка, решение принимают под давлением: купить замену, менять блюда, просить отсрочку. Но скорость реакции не означает, что именно новый счёт надо оплачивать немедленно. В большинстве случаев можно быстро подтвердить запрос у известного представителя контрагента и одновременно уточнить, можно ли сохранить отгрузку на прежних условиях.

Как обычно выглядит схема

У схемы нет единственного сценария. Иногда злоумышленник отправляет письмо с похожего адреса: в названии домена меняет одну букву, добавляет дефис или использует иной домен верхнего уровня. Иногда подделывает отображаемое имя отправителя, так что в списке писем видны знакомые имя и должность, хотя адрес другой. В более сложных случаях мошенник получает доступ к настоящему почтовому ящику или к цепочке переписки и отвечает в существующем диалоге.

В письме могут сообщить, что компания перешла на обслуживание в другой банк, закрывает прежний счёт, просит платить за конкретную поставку на «временные реквизиты» или переводит расчёты на счёт связанной организации. Иногда присылают новый договор, дополнительное соглашение, карточку предприятия или уведомление на фирменном бланке. Документы могут выглядеть убедительно, потому что часть сведений скопирована из реальных материалов.

Существуют и более непрямые варианты. Поставщик не просит сразу изменить реквизиты, а сообщает о проблеме с прежним счётом: «банк ограничил операции», «платёж вернулся», «срочно оплатите на резервный счёт». Либо злоумышленник сначала узнаёт у сотрудников, когда ожидается оплата, а затем присылает фальшивые «уточнённые реквизиты». Сообщение может прийти не по электронной почте, а в мессенджере, через SMS, в системе электронного документооборота или от имени сотрудника, который обычно общается с рестораном.

Сама по себе смена счёта не доказывает мошенничество. Компания вправе изменить банк, обслуживающий счёт, или порядок расчётов; у неё могут быть организационные причины. И наоборот, наличие правильных реквизитов в официальном документе не доказывает, что документ отправил именно контрагент. Поэтому проверяют не только правдоподобие объяснения, но и источник запроса, полномочия отправителя, соответствие юридического лица и последовательность изменения данных.

Особенно подозрительна комбинация нескольких обстоятельств: просьба появилась непосредственно перед платежом; отправитель требует не звонить прежнему менеджеру; объясняет, что тот в отпуске или «не в курсе»; просит сохранить смену в тайне; новый счёт принадлежит иному юридическому лицу; предлагается перечислить деньги физическому лицу или компании, которой нет в договоре; документ прислан только в виде изображения; в письме есть давление и угроза немедленной остановки поставки.

Ни один отдельный признак не является универсальным доказательством обмана. Новый банк, срочный срок или файл PDF сами по себе могут быть нормальными. Важнее совокупность сигналов и, прежде всего, возможность подтвердить изменение по независимому каналу. Если сомнения остаются, платёж на новые реквизиты следует приостановить до выяснения обстоятельств, а не пытаться угадать намерения отправителя по стилю письма.

Чем может обернуться один неверный перевод

Если ресторан отправляет деньги на счёт мошенника, платёжное поручение может быть исполнено, хотя получатель не совпадает с поставщиком. Перевод не становится автоматически оплатой по договору только потому, что в назначении платежа указаны номер счёта и наименование контрагента. Дальнейший возврат зависит от обстоятельств, действий банка, получателя и своевременности обращения. Рассчитывать на гарантированный возврат не следует.

Параллельно сохраняется хозяйственный спор: контрагент может утверждать, что не получал оплату, и требовать перечислить средства по согласованным реквизитам. Ресторану придётся собирать доказательства: договор, переписку, документы, подтверждение того, кто сообщил новые данные, кто проверил их и кто утвердил платёж. Если товар не отгружен, важно отдельно зафиксировать сроки, уведомления и последствия для бизнеса.

Даже когда деньги удаётся вернуть, остаются затраты времени и ресурсов: банки и бухгалтерия проверяют операцию, руководитель общается с поставщиком, закупки ищут замену, юрист оценивает претензию, служба безопасности анализирует инцидент. Для небольшой точки это может означать часы работы нескольких сотрудников; для сети — затрагивать центральную бухгалтерию, региональных управляющих и десятки ресторанов.

Косвенный ущерб иногда превышает сам перевод. Нет ключевого ингредиента — приходится временно снимать блюдо с продажи. Нет упаковки — заказ на вынос сложнее выполнить. Задержка поставки оборудования или расходных материалов может остановить отдельный участок работы. Если ресторан работает с несколькими точками, изменение одного платёжного процесса без общей проверки создаёт возможность повторить ошибку в разных филиалах.

Поэтому полезно считать защиту от подмены реквизитов частью управления непрерывностью поставок, а не только задачей бухгалтерии или информационной безопасности. Контроль должен отвечать сразу на два вопроса: «Кому мы платим?» и «Как сохранить товарный поток, пока запрос проверяется?». Если процедура рассматривает только первый вопрос, сотрудники могут обходить её из-за страха сорвать поставку. Если думает только о бесперебойности, ресторан рискует перечислить деньги не тому получателю.

Какие сообщения требуют усиленной проверки

Усиленная проверка нужна при любом изменении платёжных реквизитов, даже если письмо пришло с привычного адреса. Дополнительное внимание требуется, если меняется не только номер счёта, но и получатель платежа: другое юридическое лицо, индивидуальный предприниматель, агент, факторинговая компания или физическое лицо. Такой переход может быть легитимным, но должен быть предусмотрен договором или подтверждён надлежащим образом.

Важно различать банковские реквизиты и коммерческие условия. Замена расчётного счёта у того же юридического лица — не то же самое, что просьба платить другой организации. Во втором случае нужно выяснить основание: уступка требования, агентская схема, смена стороны договора, поручение на оплату или иной документ. Не стоит самостоятельно трактовать юридическую конструкцию только по пояснению в письме.

Отдельно проверяют запросы об изменении электронной почты, телефона, адреса для документов и контактного лица. Если одновременно с реквизитами меняются каналы связи, обычный проверочный звонок на новый номер ничего не подтверждает: возможно, он контролируется тем же злоумышленником. Надёжнее использовать контакт, который был известен до сообщения и сохранён в договоре, системе поставщиков или подтверждённой истории общения.

Сигналом для паузы служит необычный способ оплаты: перевод на карту, по ссылке, на личный счёт сотрудника, через неофициальный кошелёк или на счёт третьего лица без документов. То же относится к просьбе разбить сумму на несколько платежей, изменить назначение платежа, использовать «технический» перевод или скрыть сведения о получателе. Даже если менеджер уверяет, что это временно, исключение должно быть отдельно согласовано ответственным лицом.

Полезно установить правило: новые реквизиты считаются неподтверждёнными, пока ресторан не проверил их через независимый канал и не зафиксировал результат. Это правило снимает спор о том, «показалось ли письмо подозрительным». Оно применяется ко всем контрагентам одинаково — и к давнему поставщику, и к крупной компании, и к срочной закупке.

Как проверить реквизиты до оплаты

Проверка должна быть независимой: канал, по которому ресторан подтверждает изменение, не должен целиком контролироваться тем же источником, который прислал просьбу. Если письмо с новыми реквизитами говорит: «Позвоните по номеру в подписи», это не независимая проверка. Если в том же письме указан новый номер менеджера, он также не подходит для подтверждения. Нужно обратиться к сохранённому контакту, открыть официальный канал связи самостоятельно или использовать договорный порядок уведомлений.

Процедура не должна сводиться к поиску номера телефона в интернете и звонку первому найденному человеку. У компаний могут быть подразделения, общие номера, посредники, несколько юридических лиц и разные отделы. Цель — связаться с представителем, чьи полномочия и связь с конкретным договором ранее установлены, и получить подтверждение именно изменения реквизитов, а не просто услышать «да, у нас всё нормально».

Перед разговором подготовьте исходные и новые данные: полное наименование получателя, ИНН, номер договора, старый и новый счёт, дату предполагаемого изменения, номер счета на оплату и сумму ближайшего платежа. Не отправляйте лишние сведения и не просите контрагента передавать чувствительные данные через незащищённый канал. Задавайте вопросы так, чтобы собеседник сам подтвердил существенные параметры, а не только согласился с продиктованными вами.

Шаг 1. Остановить автоматическую оплату новых данных

Получив запрос, сотрудник не должен сразу редактировать карточку поставщика и пересылать новый счёт на оплату. Сначала запрос регистрируют как изменение реквизитов. Если платёж уже подготовлен, но ещё не исполнен, его ставят на проверку в рамках внутренних полномочий. Это не означает автоматически отменять все платежи этому поставщику: можно разделить операции на подтверждённые и спорные, если правила компании и условия расчётов позволяют это сделать.

Первичный получатель письма сохраняет сообщение целиком, включая заголовки письма, вложения и сведения об отправителе. Нельзя ограничиваться скриншотом, если оригинал можно сохранить в почтовой системе. В мессенджере фиксируют диалог и аккаунт, но также не удаляют оригинальную переписку. Эти материалы пригодятся для проверки, внутреннего расследования и обращения в банк, если выявится обман.

Затем уведомление передают назначенному ответственному: бухгалтеру, казначею, руководителю закупок или иному сотруднику, который не является единственным инициатором изменения. Если в ресторане нет отдельной службы безопасности, это не препятствие. Достаточно, чтобы проверку выполнял не тот же человек, который получил письмо и готовит платёж, а изменение утверждал руководитель с соответствующими полномочиями.

Критически важно отделить запрос на изменение данных от документа на оплату. Новый счёт может быть поддельным, но даже подлинный счёт не всегда подтверждает полномочия отправителя менять реквизиты. Не обновляйте мастер-данные поставщика только потому, что счёт выглядит корректно или заказчик поставки торопит бухгалтерию.

Шаг 2. Связаться с контрагентом по известному каналу

Используйте телефон или адрес, которые были сохранены до появления просьбы: сведения в подписанном договоре, карточке поставщика, ранее подтверждённой базе контактов, официальной переписке до события. Если в компании есть персональный менеджер, позвоните ему по уже известному номеру. При недоступности попросите соединить с бухгалтерией или уполномоченным представителем, но не переходите автоматически на контакты из подозрительного письма.

Если контакт в договоре устарел, проверьте официальный сайт компании, но внимательно сопоставьте домен и юридическое лицо. Сам сайт тоже может быть подделан или изменён; результат поиска в интернете не равен подтверждению. Для существенного платежа уместно перезвонить по ранее использовавшемуся номеру, написать на известный адрес, обратиться через систему электронного документооборота либо запросить подтверждение у руководителя контрагента, с которым ресторан уже работал.

Во время разговора не задавайте вопрос только в форме «Вы присылали новые реквизиты?». Лучше уточнить, кто инициировал изменение, когда оно вступает в силу, к какому договору относится, какое юридическое лицо остаётся получателем и каков порядок перехода. Попросите собеседника назвать или подтвердить реквизиты, не зачитывая их полностью первым. Если собеседник повторяет данные из письма, это полезно, но само по себе не доказывает, что он уполномочен менять реквизиты.

Если представитель не знает о письме, не пытайтесь убедить его, что «коллега уже всё подтвердил». Остановите изменение и обратитесь к руководителю контрагента или его бухгалтерии через независимый канал. Иногда в компании действительно не все сотрудники знают о смене счёта, но это означает необходимость проверить полномочия, а не принять ответ незнакомого отправителя.

Подтверждение лучше получить в сохраняемом виде: ответ с ранее известного корпоративного адреса, документ через согласованную систему электронного документооборота, письмо, подписанное уполномоченным лицом, или запись о телефонном подтверждении с указанием даты, времени, номера и имени собеседника. Для крупной суммы или необычного изменения одного звонка может быть недостаточно: применяют второй канал и дополнительные документы.

Шаг 3. Проверить получателя и основание изменения

Сверьте наименование получателя с договором и документами контрагента. Проверьте, совпадает ли юридическое лицо, которому ресторан обязан платить, с владельцем новых реквизитов и стороной договора. Если получатель изменился, попросите объяснить и документально подтвердить основание. Не подменяйте юридическую проверку выводом «компании входят в одну группу» или «менеджер сказал, что это их новая фирма».

Реквизиты проверяют по официальному документу контрагента, но рассматривают его как часть доказательств, а не единственный источник истины. Документ должен быть оформлен в соответствии с договорным порядком обмена документами и содержать достаточно данных, чтобы связать его с конкретной компанией и изменением. Если договор устанавливает способ уведомления, проверьте, соблюдён ли он. При сомнениях привлеките юриста, а не пытайтесь самостоятельно оценить действительность подписи или полномочия по одному изображению.

Сопоставьте ИНН и полное наименование с данными договора и доступными официальными сведениями. Проверьте, нет ли противоречий между карточкой поставщика, счётом, договором и новым уведомлением. Совпадение ИНН не подтверждает подлинность письма: злоумышленник может скопировать реальные сведения. Но несовпадение — повод не проводить платёж до выяснения причины.

Обратите внимание на тип получателя и назначение платежа. Уточните, почему в документе указана организация, не являющаяся стороной договора; на каком основании платёж должен идти агенту; требуется ли дополнительное соглашение; с какого момента меняется порядок расчётов. Если поставщик просит оплатить старый долг на новый счёт, выясните, распространяется ли изменение на ранее выставленные счета и как оформить это в учёте.

Проверить банк и формат счёта полезно для выявления очевидных ошибок, но не следует считать такую проверку доказательством безопасности. Формально корректный банковский счёт может принадлежать мошеннику. Также не нужно самостоятельно отправлять «проверочный перевод» на небольшую сумму, если такая процедура не предусмотрена и не согласована: он не подтверждает полномочия получателя и может лишь передать деньги злоумышленнику.

Если документ подписан электронной подписью, проверяйте её в установленном для вашей организации порядке и убеждайтесь, что подпись относится к нужному документу и подписанту. Не считайте изображение подписи, печать или скан доказательством подлинности без проверки происхождения документа. Вопрос юридической силы конкретной формы документа зависит от договорённостей и обстоятельств, поэтому для спорного случая нужен специалист.

Для ресторанов, которым важно формализовать порядок работы с договорами, полномочиями и уведомлениями, могут быть полезны юридические услуги для проверки договорных процессов. Это особенно уместно, если платежи регулярно направляются через агентов, несколько юридических лиц группы или посредников и сотрудники не уверены, какие документы должны подтверждать изменение.

Шаг 4. Подтвердить изменение у двух сотрудников

Надёжнее, когда решение не зависит от одного участника. Один сотрудник получает запрос и собирает документы, второй независимо связывается с контрагентом и фиксирует подтверждение, а платеж утверждает уполномоченный руководитель. В маленьком ресторане не всегда возможно разделить обязанности между тремя людьми, но можно хотя бы исключить ситуацию, в которой автор запроса сам меняет карточку и сам проводит платёж.

Принцип разделения не означает, что каждый участник должен повторять всю проверку с нуля. Роли можно распределить разумно: закупщик подтверждает, что изменение относится к действующему поставщику и конкретной поставке; бухгалтер сверяет получателя, договор и реквизиты; директор утверждает исключение или крупную сумму. Если один человек совмещает две роли, руководитель проводит дополнительную проверку по независимому каналу.

Подтверждение фиксируют в карточке поставщика или в журнале изменений. Запись может содержать дату и время запроса, канал получения, прежние и новые реквизиты, контакт для подтверждения, канал обратной связи, имя проверившего, документы, решение и дату, с которой данные применяются. Не храните больше персональных сведений, чем нужно, и ограничьте доступ к документам в соответствии с внутренними правилами.

Перед первым платежом на новые реквизиты ещё раз сверьте платёжное поручение с подтверждёнными данными. Эта последняя сверка важна: даже верно проверенные реквизиты можно ошибочно внести в систему, перепутать строки или подменить при повторном копировании. Для платежей повышенного риска полезно читать получателя и счёт вслух или сверять с независимой карточкой, не копируя данные из письма непосредственно в платёж.

Шаг 5. Сохранить поставку, не отменяя контроль

Проверка не должна автоматически приводить к отказу от поставки. Свяжитесь с известным представителем поставщика и объясните, что новые реквизиты проходят обязательное подтверждение. Попросите сохранить ранее согласованный график отгрузки, пока стороны уточняют данные. Если договор и контрагент позволяют, выясните, можно ли временно оплатить по прежним подтверждённым реквизитам, но не делайте это без проверки: прежний счёт мог быть закрыт или использование его после изменения может вызвать отдельный спор.

Параллельно оцените операционный риск. Насколько критичен товар? На сколько часов или дней его хватит? Есть ли утверждённая замена? Можно ли временно изменить меню, получить частичную отгрузку или договориться об оплате после завершения проверки? Ответы помогают выбрать безопасное решение, а не принимать его только под давлением фразы «машина уже стоит».

Если поставщик требует немедленно платить именно на новые реквизиты и отказывается обсуждать проверку, это повышает риск, но не является доказательством мошенничества. Уточните причину, попросите связаться с руководителем или бухгалтерией, зафиксируйте разговор. Если речь идёт о существенной сумме, привлеките директора и юриста. Крайний срок отгрузки — основание ускорить проверку, но не отменить её.

У ресторанной сети стоит определить, кто может принимать временные решения при недоступности центрального офиса. Например, филиал может запросить аварийную замену продукта, но не менять банковские данные поставщика. Платёжное изменение относится к централизованной зоне контроля, если единая карточка контрагента используется несколькими точками. Иначе один филиал может обновить реквизиты, после чего подмена автоматически распространится на всю сеть.

Как выстроить процесс, чтобы сотрудники не обходили правила

Разовая инструкция помогает в момент инцидента, но устойчивую защиту создаёт процесс: понятные роли, актуальная база контактов, способ фиксации, правила для срочных случаев и обучение. Чем больше ресторанов, юридических лиц и поставщиков, тем опаснее зависимость от памяти конкретного бухгалтера или закупщика. Даже небольшая компания может выстроить базовый контроль в таблице или учётной системе, если правила одинаково применяются и их соблюдают руководители.

Главное организационное решение — заранее определить, кто имеет право менять реквизиты поставщика и кто утверждает платежи. В карточке контрагента полезно хранить не только банковские данные, но и подтверждённые контакты, договор, статус проверки, дату последнего обновления и ответственного. Доступ к редактированию мастер-данных следует ограничить; обычный пользователь может инициировать изменение, но не должен незаметно завершать его без контроля.

Удобная процедура должна различать уровни риска. Повторная оплата по давно проверенным реквизитам не требует каждый раз заново звонить поставщику. А смена счёта, смена юридического лица, новый канал связи и необычный получатель требуют усиленного подтверждения. Такой подход сохраняет баланс: не задерживает каждую закупку, но закрывает наиболее опасный сценарий.

Разделите роли и права доступа

В небольшом ресторане обязанности часто совмещаются, но это не отменяет возможности разделить действия. Тот, кто создаёт нового поставщика или меняет реквизиты, должен получить независимое согласование. Тот, кто принимает решение об оплате, должен видеть не только письмо с просьбой, но и запись о выполненной проверке. Руководитель утверждает исключения, а не подписывает каждый обычный платёж без понимания его основания.

Для сети желательно определить единый центр регистрации поставщиков и изменений банковских данных. Филиалам можно оставить право сообщать о новых условиях и срочности, но не редактировать общую карточку самостоятельно. Если у ресторанов разные юридические лица, процесс учитывает, какая организация заключила договор и с какого счёта производится оплата. Одинаковое торговое название поставщика не означает, что все юридические лица группы имеют одинаковые реквизиты.

Права в бухгалтерской или финансовой системе пересматривают при изменении должностей, увольнении, длительном отпуске и передаче функций внешнему подрядчику. Временно выданный доступ не должен оставаться бессрочным. Доступ к банковским данным поставщика и возможность подготовить платёж — связанные, но не обязательно одинаковые права.

Не превращайте разделение ролей в формальную подпись «согласовано», которую ставят не читая. У второго участника должна быть конкретная задача: проверить совпадение юридического лица, связаться по сохранённому контакту, оценить документ или сверить итоговые реквизиты. Чем яснее действие, тем меньше вероятность, что контроль станет ритуалом.

Заведите подтверждённую базу контактов

Контакты для проверки собирают при начале работы с поставщиком, а не в момент подозрительного письма. В карточке указывают, по какому номеру можно связаться с бухгалтерией, кто уполномочен подтверждать изменения, какой адрес используется для официальных уведомлений и через какую систему обмениваются документами. Контакт подтверждают независимым способом и связывают с конкретным юридическим лицом и договором.

У базы должен быть владелец. Если номер менеджера изменился, сотрудник не просто заменяет его по новому письму, а проверяет обновление по действующему порядку. Полезно записывать источник каждого контакта и дату последней проверки. Для ключевых поставщиков можно периодически подтверждать контакты при сверке договоров или обсуждении условий поставки.

Следует избегать общего личного телефона сотрудника как единственного канала подтверждения. Люди увольняются, меняют номера, теряют доступ к учётной записи. Лучше иметь корпоративный канал контрагента или как минимум второй контакт — например, бухгалтерию или руководителя. При этом общая почта тоже не гарантирует безопасность: важно знать, что адрес действительно связан с поставщиком и как по нему обычно идут официальные коммуникации.

Контакты из подписи письма можно использовать для обычной переписки, но не как единственный способ удостовериться в неожиданном изменении реквизитов. Это простое различие стоит объяснить всем сотрудникам: новый канал не подтверждает сам себя. Если телефон, адрес или аккаунт впервые появились в сообщении о смене банковских данных, сначала найдите независимое основание для связи.

Настройте документирование и контроль изменений

Для каждой смены создайте отдельную запись с номером заявки или внутренним идентификатором. К ней прикрепляют исходное сообщение, уведомление поставщика, подтверждение по независимому каналу, договорные документы и решение о применении новых данных. Это позволяет быстро понять, кто и на каком основании обновил карточку, а не искать события по разрозненным письмам.

Старые реквизиты не нужно бесследно удалять. Сохраняйте историю изменений с датами действия, чтобы можно было разобраться, какой счёт использовался для конкретного платежа. При этом не следует хранить архив без ограничений и без ответственного: установите сроки и доступ в соответствии с внутренней политикой и требованиями к учётной документации.

Полезно включить уведомление руководителю или финансовому контролёру при изменении банковских данных. В системах, где это возможно, изменение фиксируется отдельным статусом: «заявлено», «проверяется», «подтверждено», «отклонено». Платёж на новые реквизиты блокируется до перехода в статус подтверждения. Если система не поддерживает такую логику, её можно реализовать процедурой согласования и контрольным списком.

Раз в месяц или квартал проверяйте выборку изменений и исключений: кто их инициировал, сколько заняла проверка, были ли случаи оплаты до завершения процедуры, какие поставщики меняли данные чаще одного раза. Цель не в том, чтобы искать виноватого, а в том, чтобы заметить обходы и неудобства. Если контроль регулярно обходят ради срочных поставок, возможно, он слишком медленный или не определяет, кто должен помочь.

Опишите срочный сценарий заранее

Формулировка «срочно» не должна быть отдельным способом обойти правила. В инструкции следует описать, кто принимает решение после рабочего времени, какие каналы допустимы, какие подтверждения нужны и что делать, если ответственное лицо недоступно. Укажите пределы полномочий: например, кто может подтвердить операцию, а кто не вправе менять счёт без второго согласования.

При настоящей срочности действуют параллельно. Один сотрудник связывается с поставщиком, второй оценивает остатки и альтернативы, руководитель решает вопрос о временной закупке. Не нужно ждать завершения расследования подмены, чтобы начать искать другой источник товара. Но нельзя путать аварийную закупку у проверенного альтернативного поставщика с переводом денег на непроверенный счёт прежнего контрагента.

Для критичных категорий составьте план замены: какие позиции можно временно убрать из меню, у кого запросить резервную поставку, какой минимальный остаток хранить и кто согласует замену. Это снижает шантажирующую силу угрозы «оплатите сейчас, иначе завтра ничего не будет». Чем меньше ресторан зависит от единственного поставщика, тем больше у него пространства для безопасной проверки.

Срочный процесс должен оставлять след. Если решение принято по телефону, участник записывает время, номер, имя собеседника и содержание подтверждения, а затем просит письменное подтверждение. Устный разговор может быть частью проверки, но не поводом вообще отказаться от документирования.

Обучите не только бухгалтерию

Запрос о смене реквизитов может получить закупщик, управляющий, шеф-повар, администратор или владелец. Поэтому инструкция должна быть короткой и доступной всем, кто общается с поставщиками. Сотрудник не обязан самостоятельно расследовать мошенничество; его задача — не менять данные и не обещать оплату, сохранить сообщение и передать запрос ответственному.

Обучение лучше строить на реалистичных примерах: письмо из знакомой цепочки, сообщение в мессенджере, звонок с просьбой «помочь бухгалтерии», новый счёт в приложении к накладной. Обсудите, какие признаки вызывают вопросы и какой следующий шаг ожидается. Не стоит ограничиваться тестом на подозрительные ошибки в тексте: современные сообщения могут быть грамотными и выглядеть привычно.

Проводите короткие повторения процедуры при смене сотрудников и перед периодами высокой нагрузки. В сезон, перед праздниками или при открытии новой точки закупки ускоряются, а управленцы чаще находятся вне офиса. Именно тогда важно, чтобы каждый знал, кому передать запрос и как не потерять время на поиск инструкции.

Руководители должны соблюдать те же правила. Если директор просит «просто оплатить, поставщик знакомый», сотруднику трудно настаивать на контроле. Руководство показывает, что проверка — не проявление недоверия к поставщику, а обычная защита обеих сторон. Поставщику тоже можно заранее сообщить, что при смене реквизитов ресторан обязательно перезвонит по сохранённому контакту.

Типичные ошибки, действия при инциденте и план внедрения

Наиболее уязвимы не только компании без правил, но и те, у кого правила выглядят строгими, однако не работают в реальном темпе закупок. Если подтверждение занимает несколько дней, сотрудники рано или поздно будут искать обход. Если всё зависит от одного человека, его отпуск остановит платежи. Если руководитель подписывает документы автоматически, формальное согласование не даст защиты.

Процедура должна быть соразмерна сумме и последствиям, но минимальный принцип одинаков: не принимать новые реквизиты только на основании сообщения, которое их же и содержит. Для регулярного поставщика риск иногда выше именно потому, что сотрудники привыкли доверять. С другой стороны, не каждое письмо требует срочного расследования, привлечения внешних специалистов и отмены всех операций. Нужна ясная шкала действий.

Ошибки, которые создают ложное чувство безопасности

Первая ошибка — позвонить по номеру из письма и считать вопрос закрытым. Если мошенник контролирует сообщение, он может контролировать и номер, который сам указал. Проверочный канал должен быть известен ресторану заранее или найден независимо от подозрительного сообщения.

Вторая ошибка — принять письмо с прежнего адреса за достаточное подтверждение. Почтовый ящик мог быть скомпрометирован, а имя отправителя легко подделать. Привычная цепочка переписки полезна как контекст, но неожиданную смену реквизитов всё равно нужно проверить отдельно.

Третья ошибка — довериться фирменному бланку, печати, подписи или скану паспорта сотрудника. Эти элементы могут быть скопированы из открытых или ранее полученных документов. Важна не декоративная убедительность файла, а подтверждённое происхождение и полномочия на изменение порядка платежей.

Четвёртая ошибка — проверить только формат счёта или банк. Правильно составленные банковские реквизиты не означают, что получатель имеет право получить деньги по вашему договору. Проверка формата находит опечатки, а не подтверждает личность и полномочия.

Пятая ошибка — считать, что маленькая пробная сумма безопасна. Перевод даже небольшой суммы может создать ложное подтверждение: деньги пришли, значит, «счёт работает». Но это ничего не говорит о том, кому принадлежит счёт и обязан ли ресторан платить именно туда. Не переводите средства для проверки, если метод не согласован с банком, внутренними правилами и контрагентом.

Шестая ошибка — обновить карточку поставщика сразу после звонка, а документы запросить позже. Если новый счёт уже попал в систему, его могут использовать другие филиалы и будущие платежи. До завершения проверки храните изменение в отдельном статусе, который не позволяет случайно оплатить его.

Седьмая ошибка — не сообщить поставщику о подозрительном запросе. Если его почта взломана, быстрое предупреждение может помочь остановить дальнейшие попытки. Используйте известный контакт, не отвечая на подозрительное письмо. Согласуйте, кто в компании поставщика проверит безопасность его почтового ящика и подтвердит подлинность уведомления.

Восьмая ошибка — удалить переписку после разговора или переслать только снимок экрана. Оригинал сообщения, технические заголовки и вложения могут потребоваться для расследования. При этом не следует хаотично пересылать подозрительный файл по всей компании: ограничьте круг получателей и соблюдайте внутренние правила информационной безопасности.

Девятая ошибка — обвинить поставщика в мошенничестве до проверки. Даже если запрос оказался поддельным, не всегда можно сразу установить, кто именно его отправил и каким способом получил сведения. Формулируйте нейтрально: «Мы получили запрос, который требует подтверждения; пока новые данные не используем». Так проще сохранить рабочие отношения и получить содействие.

Десятая ошибка — не учитывать собственный процесс. Если ресторан хранит актуальные контакты только в личной записной книжке одного бухгалтера, трудно требовать от замещающего сотрудника правильной проверки. После инцидента нужно искать не только внешнего злоумышленника, но и причины, почему контроль зависел от памяти или спешки.

Если платёж уже отправлен

Если выяснилось, что деньги ушли на подозрительный счёт, действуйте немедленно и параллельно. Свяжитесь с обслуживающим банком по официальному каналу, сообщите о возможной мошеннической операции и запросите доступные действия по её остановке, отзыву или уточнению статуса. Возможности зависят от момента обработки и правил банков; не ждите, пока внутренняя проверка полностью установит детали.

Одновременно уведомите руководителя, ответственного за финансы, и поставщика по подтверждённому каналу. Сообщите факты без предположений, уточните, получал ли он уведомление и считает ли платёж исполненным. Если поставка критична, отдельно обсудите её статус и варианты продолжения работы, не смешивая этот разговор с расследованием перевода.

Сохраните подтверждение платёжного поручения, выписку, письмо с новыми реквизитами, вложения, историю изменений карточки, записи о звонках и все ответы. Не редактируйте оригиналы и не удаляйте переписку. Зафиксируйте хронологию: когда поступило сообщение, кто его видел, кто связался с кем, что было подтверждено, когда сформировали и отправили платёж.

Обратитесь к юристу для оценки договорных и процессуальных действий. В зависимости от обстоятельств может потребоваться обращение в правоохранительные органы и иные предусмотренные законом действия. Не используйте универсальный шаблон заявления без проверки фактов и не публикуйте персональные или банковские данные в открытом доступе. Юрист поможет определить, какие документы приложить, как сформулировать требования и как вести коммуникацию с поставщиком и банком.

Если есть основания полагать, что скомпрометирована почта ресторана или сотрудника, смените пароли через официальный сервис, проверьте активные сессии и правила пересылки, включите дополнительные средства защиты, где они доступны, и обратитесь к IT-специалисту. Подмена реквизитов может быть лишь одним проявлением доступа к переписке. Проверьте, не менялись ли платёжные инструкции другим контрагентам и не отправлялись ли от имени сотрудников похожие письма.

Не пытайтесь самостоятельно связываться с владельцем подозрительного счёта по данным из сомнительного письма и не переводите дополнительные деньги под обещание «вернуть первый платёж». Мошенники иногда используют второй контакт, чтобы выманить ещё средства или получить новые сведения. Все действия согласуйте с банком, руководством и юристом.

После первичных действий проведите внутренний разбор без поиска удобного виноватого. Восстановите цепочку событий, определите, какой контроль отсутствовал или не сработал, и внесите изменения: обновите контакты, права доступа, маршрут согласования или обучение. Если проблема возникла из-за исключения, выясните, почему его разрешили и кто имел право это сделать.

Как оценить, насколько рискован запрос

Для оценки риска используйте несколько факторов, а не один яркий признак. Учитывайте сумму платежа и возможный ущерб от потери поставки; изменение получателя; новизну канала; качество документального подтверждения; соответствие договора; возможность независимого контакта; срочность и давление; частоту изменения реквизитов; наличие других необычных обстоятельств.

Ниже — пример практического разделения действий. Это не юридическая шкала и не автоматический способ признать письмо мошенническим, а ориентир для внутреннего регламента.

Внутреннюю шкалу можно дополнить порогами суммы, но не следует полагаться только на размер. Небольшой платёж может быть частью масштабной атаки, а крупный — привести к серьёзному разрыву поставки. Важен совокупный риск: насколько вероятна подмена и каковы последствия ошибки.

Для каждого уровня заранее задайте срок ответа и ответственного. Например, сотрудник может немедленно поставить изменение на проверку, руководитель закупок — подтвердить связь с поставкой, бухгалтер — сверить юридическое лицо и документы, а директор — решить вопрос о временной альтернативе. Чем яснее маршрут, тем меньше времени уходит на выяснение, кому переслать письмо.

При анализе полезно отдельно оценить доказательства подлинности и операционную срочность. Это две разные оси. Сильная срочность не делает доказательства сильнее, а слабая операционная значимость не отменяет обязанности не платить мошеннику. Разделение помогает не подменять проверку эмоциональным решением.

План внедрения на ближайший месяц

В первую неделю назначьте владельца процесса и соберите список действующих поставщиков, для которых регулярные платежи особенно важны. Не обязательно сразу проводить сложный аудит всех договоров. Начните с контрагентов, чей товар критичен для меню, поставляет сеть нескольким точкам или требует крупных и частых перечислений.

Проверьте, где хранятся реквизиты и контакты, кто имеет право их менять, как согласуются платежи и можно ли восстановить историю изменений. Найдите поставщиков, для которых телефон или электронная почта известны только одному сотруднику. Зафиксируйте пробелы и договоритесь, кто подтвердит контакты при ближайшем рабочем взаимодействии.

Во вторую неделю подготовьте короткую инструкцию на одну-две страницы. В ней должны быть: правило «не менять до проверки»; известный канал связи; список ответственных; порядок независимого подтверждения; документы для фиксации; действия при срочной поставке; маршрут эскалации и первичные действия, если деньги уже отправлены. Сложные юридические формулировки вынесите в приложение, а сотрудникам оставьте ясный алгоритм.

В третью неделю настройте систему или таблицу учёта изменений. Ограничьте редактирование банковских данных, где это возможно, добавьте поле статуса и отметку о независимой проверке. Проверьте, что утверждённые реквизиты не копируются из случайного вложения и что филиалы не имеют возможности незаметно обходить централизованный контроль.

В четвёртую неделю проведите короткое обучение и разберите два сценария: обычная смена счёта и подозрительная срочная просьба. Проверьте не только знания сотрудников, но и практическую доступность контактов: может ли замещающий сотрудник найти, кому звонить, когда руководитель отсутствует? После теста исправьте неясные места, а затем установите периодический пересмотр процедуры.

Приоритетные действия можно свести к чек-листу:

• назначить ответственного за мастер-данные поставщиков и резервного сотрудника;
• хранить подтверждённые контакты отдельно от писем с новыми реквизитами;
• запретить оплату на неподтверждённый счёт;
• проверять смену по каналу, независимому от исходного запроса;
• отдельно рассматривать изменение юридического лица-получателя;
• разделить инициирование изменения, проверку и утверждение платежа насколько позволяет штат;
• фиксировать исходное сообщение и результат проверки;
• предусмотреть действия при срочной поставке и недоступности ответственных;
• иметь альтернативу для критичных товаров и упаковки;
• регулярно проверять права доступа и выборку изменений.

Когда процесс становится понятным, его можно формализовать в договорных шаблонах и внутренних регламентах: установить порядок уведомления о реквизитах, допустимые каналы и срок подтверждения. Важно согласовать это с юристом и контрагентами, поскольку формулировки должны соответствовать конкретной модели работы, а не механически копироваться из универсального образца.

Если в ресторане одновременно пересматривают закупочный процесс, полномочия сотрудников, учёт платежей и контроль нескольких точек, полезно начать с карты текущих действий и выявить, где запрос проходит без независимой проверки. Для такой диагностики могут подойти консультации по организации процессов в HoReCa. Ценность здесь не в усложнении схемы, а в том, чтобы определить практичный маршрут, который сотрудники смогут выполнять в рабочий день.

Закупки требуют скорости, но срочность должна запускать более быстрый маршрут проверки, а не отменять её. Если поставщик сообщает о новом счёте, сначала остановите изменение в платёжной системе, затем свяжитесь с ним по заранее известному каналу, проверьте получателя и основание, зафиксируйте результат и только после этого разрешайте оплату. Параллельно решайте вопрос с поставкой: остатки, замена, частичная отгрузка, временная корректировка меню.

Владельцу или директору стоит начать с трёх вопросов: кто в ресторане вправе менять реквизиты; где хранится независимый контакт поставщика; что произойдёт, если запрос придёт вечером перед критичной отгрузкой. Если на любой из них нет ясного ответа, это не повод ждать инцидента. Достаточно назначить ответственных, записать короткий порядок действий и проверить его на одном реалистичном сценарии.