Frode del CEO e del fornitore: le procedure che fermano un bonifico sbagliato

La frode del CEO e quella del falso fornitore hanno un punto in comune: non attaccano i sistemi, attaccano i processi. Funzionano quando un pagamento può partire sulla base di una sola email, decisa da una sola persona, sotto pressione. Per chi guida un'organizzazione, la domanda giusta non è "i miei collaboratori sono abbastanza attenti?", ma "le nostre regole permettono a un truffatore di farcela?".

Il principio: nessuno da solo

La difesa più solida è la separazione dei compiti. Chi riceve una richiesta di pagamento non dovrebbe essere la stessa persona che la approva, e chi approva non dovrebbe essere chi esegue il bonifico. Nelle realtà più piccole non sempre ci sono tre persone, ma almeno due sì: il principio dei quattro occhi resta applicabile quasi ovunque.

Quando il processo prevede più passaggi, il truffatore deve ingannare più persone, in momenti diversi, e ogni passaggio è un'occasione per notare qualcosa di strano.

Le regole da scrivere

Una procedura efficace contro le frodi sui pagamenti comprende di solito questi elementi.

Verifica delle variazioni di IBAN. Ogni modifica delle coordinate bancarie di un fornitore si conferma con una telefonata a un numero già presente in anagrafica, non a quello indicato nella richiesta. La verifica si registra: data, persona contattata, chi l'ha fatta.

Canali ammessi. Un ordine di pagamento non arriva mai solo via email, chat o messaggio vocale. Deve passare dal sistema o dal modulo previsto, con le approvazioni registrate.

Soglie di autorizzazione. Sopra certi importi serve una seconda firma, o l'approvazione di un livello superiore. Le soglie vanno scelte in base alle dimensioni dell'organizzazione e rese note a chi lavora nell'amministrazione.

Gestione delle eccezioni. Pagamenti urgenti esistono. Proprio per questo serve una procedura anche per loro: chi può autorizzarli, come si verifica l'identità di chi li chiede, cosa si documenta.

Valida per tutti. La regola deve dire esplicitamente che si applica anche alle richieste dei vertici. È questo il punto che dà al personale la libertà di fermarsi davanti a un'email del direttore senza temere conseguenze.

Accompagnare le regole

Una procedura che nessuno conosce non protegge. Alcune azioni la rendono efficace:

• formare chi lavora in amministrazione, contabilità e segreteria con esempi concreti dello schema della frode;
• informare i fornitori che le variazioni di coordinate saranno sempre verificate per telefono, così la chiamata diventa una cosa attesa;
• dare l'esempio: quando un dirigente riceve una telefonata di verifica, ringrazia, non si spazientisce;
• ridurre le informazioni pubbliche che facilitano la truffa, come organigrammi dettagliati con nomi e ruoli dell'ufficio pagamenti.

Prepararsi al caso peggiore

Anche con buone regole, un tentativo può andare a segno. Conviene sapere in anticipo:

• chi chiama la banca e con quale contatto, per tentare il richiamo del bonifico nelle prime ore;
• chi presenta la denuncia e chi informa l'assistenza informatica;
• se la polizza assicurativa copre le frodi di questo tipo e a quali condizioni.

Le condizioni delle polizze possono escludere o limitare la copertura quando mancano controlli adeguati: vale la pena leggerle con attenzione, ed è un motivo in più per avere procedure scritte e documentate.

Il costo della regola

Una telefonata di verifica richiede pochi minuti. Un bonifico fraudolento può costare quanto il margine di un anno, oltre al danno di reputazione. Poche altre misure di sicurezza hanno un rapporto tra costo e beneficio così favorevole: il compito di chi decide è renderla obbligatoria.