Acceso de su responsable contable al banco: solo lectura y fraude

¿Cómo doy acceso a mis finanzas a un responsable contable de forma segura?

Dé a cada persona su propio acceso, limítelo a lo que su trabajo necesita y nunca permita que una misma persona inicie y apruebe un pago. Esas tres reglas vienen de la guía de seguridad para pequeñas empresas del NIST: una cuenta aparte para cada usuario, incluidos los contratistas; acceso solo a los sistemas y la información que la persona necesita; y que ninguna persona inicie y apruebe a la vez una transacción, ni siquiera los ejecutivos y gerentes sénior.

Un responsable contable que solo registra transacciones no necesita sus cuentas personales, las cuentas de otras entidades de su propiedad, los números del Seguro Social ni los datos bancarios de los empleados (salvo que procese la nómina), ni la posibilidad de agregar un beneficiario o cambiar uno. Esa es la respuesta a qué mantener fuera de su vista: todo lo que la contabilidad no necesita.

El caso no es sencillo cuando:

• el responsable contable tiene el único acceso de administrador del programa o del banco;
• la misma persona registra la contabilidad y envía los pagos;
• el responsable contable también paga a los proveedores o procesa la nómina;
• varias personas comparten una contraseña;
• una sociedad de personas o una corporación tiene varios propietarios y no queda claro cuál aprobación cuenta;
• ya apareció un cambio de datos bancarios de un proveedor o un pago que usted no reconoce.

Si el responsable contable tiene el único acceso de administrador, también envía pagos, o ya apareció algo extraño, lea primero la última sección, «¿Su caso es distinto?».

Reúna primero: una lista de todas las cuentas bancarias, de tarjeta, de nómina y de programas, con quién puede entrar en cada una y con qué rol; los roles que ofrece cada banco; y la lista de usuarios del proveedor de nómina.

¿Cómo doy acceso al programa contable sin compartir mi contraseña?

Invite al responsable contable como usuario aparte, solo con los permisos que su trabajo necesita, y conserve usted el acceso principal de administrador. La mayoría de los programas contables permiten que el propietario lo haga; los nombres y los pasos cambian según el producto, así que consulte la página de ayuda del suyo. Antes de elegir un rol, pregunte al proveedor del programa si puede agregar o cambiar beneficiarios, liberar pagos, cambiar los datos de pago o dar acceso a otras personas. Deje la liberación de pagos en manos de otra persona.

El nombre de un rol no muestra lo que puede hacer, así que no dé por hecho que es de solo lectura. Un acceso aparte no limita el rol; permite rastrear los cambios hasta el acceso propio del responsable contable. El NIST advierte que, sin cuentas individuales, es difícil investigar la pérdida de datos o los cambios no autorizados. Si su programa guarda un registro de quién cambió qué, revíselo.

Si el responsable contable creó el archivo o tiene el único acceso de administrador, cambie eso primero. Vea cómo reemplazar a su responsable contable para recuperar el control de la administración.

¿Puede un responsable contable tener acceso de solo lectura a mi banco sin poder mover dinero?

A veces, pero que exista un rol de solo lectura depende del banco. Ninguna fuente del gobierno describe los roles de usuario de los bancos, y varían según el banco y el tipo de cuenta, así que pregunte al banco antes de confiar en cualquier rol. Pregunte por escrito:

1. ¿Qué roles existen y hay uno que pueda ver cuentas y estados de cuenta pero no pueda iniciar, aprobar ni liberar un pago, agregar un beneficiario ni cambiar un límite?
2. ¿Puede el responsable contable tener un acceso aparte, para que usted nunca comparta el suyo?
3. ¿Puede un pago exigir la aprobación de un segundo usuario?
4. ¿Qué puede hacer una conexión del banco con el programa contable y quién la configura?
5. ¿Confirmará el banco las respuestas por escrito?

Una conexión bancaria (bank feed) es un enlace del banco con el programa contable que trae las transacciones. Lo que puede hacer una conexión determinada es la respuesta del banco a la pregunta 4, no algo que esta página pueda prometer, y una conexión no prueba que los libros coincidan con el banco (vea las conexiones bancarias no son conciliación).

Si la única opción es el acceso total, envíe usted mismo los estados de cuenta cada mes en lugar de compartir su acceso a la banca en línea. El NIST aconseja que, cuando sea posible, ningún empleado tenga acceso a toda la información o a todos los sistemas de un negocio.

¿Qué accesos deben quedar solo conmigo?

Conserve todo acceso que pueda mover dinero, agregar a una persona o cambiar quién recibe pagos, además de las cuentas de impuestos de las que el negocio es legalmente responsable.

Para los registros del IRS, el Form 8821 le permite nombrar a cualquier persona o firma para que consulte y reciba su información tributaria confidencial por los tipos de impuesto y períodos que usted indique. No les permite hablar por usted ante el IRS. El Form 2848 sí lo permite, pero solo a una persona autorizada para ejercer ante el IRS.

En la Business Tax Account, la cuenta en línea del IRS para negocios, un Designated Official (funcionario designado) o un propietario único puede agregar un Designated User. El usuario entra con su propia identidad, necesita un número de Seguro Social o un ITIN, y no tiene que ser propietario ni ejecutivo. El Designated Official o el propietario único elige los formularios de impuestos, los períodos y los permisos, que pueden incluir hacer pagos; un responsable contable que solo necesita registros no necesita permiso para pagar. Esa persona debe revalidar al usuario cada enero y junio.

No todos los negocios pueden tener la cuenta. El IRS dice que aún no está disponible para una LLC que presenta como propietario único en el Schedule C o el Schedule F, y esos propietarios usan el Form 8821. Para saber qué autorización necesita un contador nuevo y cómo terminar la de uno anterior, vea cómo cambiar de contador.

El IRS también recomienda enfáticamente no cambiar su domicilio registrado por el de un proveedor de nómina, porque los avisos del IRS sobre su cuenta llegarían entonces a otra persona.

¿Quién debe aprobar los pagos y por qué no debe pagar quien registra?

Limitar quién puede liberar pagos es la forma principal de mantener separados el registro y el pago; reduce el riesgo, pero no lo elimina. Quien registra los pagos no debe enviarlos también, porque entonces nadie más ve el asiento que oculta un pago indebido. Ese razonamiento es de esta página; la regla del NIST es más estrecha: ninguna persona debe iniciar y aprobar una misma transacción, ni siquiera los ejecutivos y gerentes sénior.

Una separación viable:

1. El responsable contable captura las facturas y prepara la lista de lo que vence.
2. Usted, un copropietario u otra persona designada aprueba la lista y libera los pagos.
3. El responsable contable registra lo que se pagó, a partir del registro del banco.
4. Usted revisa directamente la actividad del banco, no a través de los informes del responsable contable.

Si usted es el único propietario, usted es quien aprueba y el responsable contable solo prepara. Si usted inicia y libera los pagos, nadie más los aprueba, así que no se cumple la regla del NIST. Leer la actividad bancaria cada mes, o que una persona externa vea los estados de cuenta, detecta un problema después de ocurrido; no es una segunda aprobación.

Con varios propietarios, decidan por escrito quién puede liberar pagos y quién puede aprobar un beneficiario nuevo, y verifiquen que las personas que el banco registra como autorizadas coincidan. Si los propietarios no se ponen de acuerdo sobre quién tiene el acceso de administrador del banco, resuelvan eso primero.

¿Cómo activo la verificación en dos pasos y dejo de pasar contraseñas?

Active la autenticación de múltiples factores, también llamada verificación en dos pasos, en toda cuenta que la ofrezca, y dé a cada persona su propio acceso en lugar de una contraseña compartida. La CISA explica que el segundo paso protege una cuenta incluso cuando alguien roba la contraseña.

• Dónde: en la configuración de cada cuenta, en Seguridad. Puede llamarse autenticación de dos factores o de dos pasos. La CISA da como ejemplos un código enviado por mensaje de texto o correo, una aplicación de autenticación y el reconocimiento de huella o rostro. Empiece por el banco, el programa contable, el proveedor de nómina y su correo electrónico.
• Contraseñas: la CISA recomienda al menos 16 caracteres, aleatorios, distintos para cada cuenta y guardados en un administrador de contraseñas, no anotados.
• Compartir: el Internet Crime Complaint Center (IC3) del FBI aconseja no enviar credenciales de acceso por correo electrónico. Dé al responsable contable un acceso propio, no el suyo.

Si mi responsable contable también paga facturas o procesa la nómina, ¿qué debo revisar yo mismo?

En la nómina, usted debe seguir verificando que se hicieron los depósitos, porque el empleador generalmente sigue siendo responsable de ellos, sin importar quién haga el trabajo. El IRS dice que el empleador es el responsable final de los depósitos federales de impuestos de nómina y puede responder por los impuestos, las multas y los intereses si un tercero no paga.

Una persona también puede deber personalmente los impuestos retenidos. Según la sección 6672, la persona obligada a cobrar y entregar los impuestos retenidos que no lo haga de forma deliberada responde con una multa de 100% del monto no pagado. El IRS considera responsable a quien tiene el deber y la facultad de dirigir ese pago, y menciona como ejemplos a los ejecutivos, directores, accionistas, miembros de sociedades de personas y empleados, y a los proveedores de servicios de nómina. Vea la guía de la multa por recuperación de fondos en fideicomiso para las pruebas y los plazos de respuesta.

En las facturas, el control es su propia revisión de la actividad bancaria.

• Depósitos de nómina: el IRS indica que usted mismo debe inscribirse en el EFTPS, obtener su propio PIN y usarlo para verificar que los depósitos se hicieron con su número de empleador. Considera una señal de alerta el primer pago omitido o tardío.
• Una organización profesional de empleadores certificada (CPEO): generalmente es el único empleador para efectos fiscales de los salarios que paga a los empleados del sitio de trabajo (26 USC 3511) y hace los depósitos con su propio número, así que sus clientes no pueden ver esos depósitos en el EFTPS. Pida a la CPEO una prueba de pago.
• Avisos de impuestos de nómina: llegan al domicilio que el IRS tiene registrado, así que mantenga el suyo.
• Todo lo demás: la revisión mensual del banco y la regla de la llamada de verificación que se explica más abajo también se aplican aquí.

Si un proveedor no hizo el depósito, vea qué hacer cuando un proveedor de nómina no pagó sus impuestos.

¿Qué controles detectan a tiempo un robo o un error?

Cuatro revisiones del propietario ayudan a detectar a tiempo un robo o un error: leer la actividad del banco, revisar quién tiene acceso, leer los informes de conciliación y aprobar todo cambio en los datos de un beneficiario. Ninguna depende del responsable contable.

El IC3 aconseja vigilar con regularidad las cuentas financieras para detectar irregularidades, como depósitos que faltan; leer cada mes los estados de cuenta del negocio aplica la misma idea.

Para ver qué muestra una conciliación real, vea cómo revisar el trabajo de su responsable contable y las conexiones bancarias no son conciliación.

¿Cómo funcionan las facturas falsas y los datos bancarios cambiados, y qué es la regla de la llamada de verificación?

En el fraude por correo electrónico empresarial (business email compromise), los delincuentes usan una cuenta de correo tomada o una que imita a la real para pedir una transferencia o unos datos de cuenta nuevos, y el IC3 informa que apunta tanto a pequeños negocios locales como a grandes corporaciones. Su comunicado suma pérdidas expuestas informadas de $55.5 mil millones en unos diez años.

La regla de la llamada de verificación consiste en comprobar cualquier cambio en los datos de pago por un segundo canal antes de actuar. El IC3 aconseja usar canales secundarios para verificar las solicitudes de cambio en los datos de una cuenta.

1. Trate como no verificada toda solicitud de pagar a una cuenta nueva o de cambiar los datos bancarios de un proveedor, aunque parezca venir del proveedor o del propio correo del responsable contable.
2. Busque el teléfono del proveedor en algo que tuviera antes de la solicitud, como una factura anterior o el contrato. No use un número ni un enlace del mensaje. La CISA da el mismo consejo para los mensajes sospechosos.
3. Pida al proveedor que confirme tanto los datos anteriores como los nuevos.
4. Anote quién confirmó y cuándo, y haga que quien aprueba los pagos apruebe el cambio.

El IC3 también indica verificar que la dirección y los enlaces del remitente coincidan con el negocio real, porque los enlaces pueden ocultar una falta de ortografía en el nombre de dominio verdadero.

Si falta dinero, ¿qué hago primero y la pérdida es deducible?

Actúe primero sobre el dinero, luego sobre el acceso y por último sobre el impuesto. Si una transferencia fue fraudulenta, el IC3 dice que el tiempo es esencial: comuníquese de inmediato con su banco para pedir la recuperación de los fondos y presente una queja en ic3.gov sin importar el monto.

1. Dinero: llame al banco y pida la recuperación. Pregunte qué plazo fija el contrato de su cuenta para reportar un pago no autorizado: la Regulation E cubre las cuentas mantenidas principalmente para fines personales, familiares o del hogar, por lo que una cuenta de negocio generalmente queda fuera.
2. Acceso: elimine los accesos de la persona, cambie todas las contraseñas que conocía y active la verificación en dos pasos.
3. Registros: conserve los estados de cuenta, los correos, las facturas y la lista de cambios del programa antes de modificar cualquier cosa.
4. Impuestos: una deducción por robo tiene reglas de momento y de prueba, que se explican más abajo.

Que la pérdida sea deducible depende de los hechos y de la ley estatal. La IRS Publication 547 trata la malversación como robo. Un robo es la toma ilegal de dinero o bienes con intención criminal según la ley del estado, y no hace falta una condena. El IRS también cuenta como robo tomar dinero o bienes mediante fraude o engaño si eso es ilegal según la ley estatal o local, así que un pago enviado a un beneficiario falso puede calificar. La simple desaparición de dinero, o un error contable sin intención criminal, no es robo; sobre los errores, vea quién paga las multas cuando un responsable contable comete errores.

Cuándo se puede deducir una pérdida:

• Una pérdida por robo que no será reembolsada es deducible solo en el año en que usted descubre el robo.
• Si existe un reclamo de reembolso con una perspectiva razonable de recuperación, por ejemplo ante el banco, una aseguradora o el ladrón, esa parte no se deduce hasta que sepa con certeza razonable que no se le devolverá.
• La forma de calcular el monto depende de lo que se llevaron, y el reembolso recibido o esperado lo reduce.
• La pérdida se calcula en el Form 4684, Section B. Una sociedad de personas o una corporación S la informa luego en su Schedule K, de modo que pasa a los propietarios. Un propietario único la lleva al Schedule 1 (Form 1040), y una corporación C sigue las instrucciones de su propia declaración. Puede que se requiera el Form 4797 en su lugar.

Un pago enviado a un estafador, como una cuenta falsa de proveedor, también tiene condiciones propias en la Publication 547, en la sección de pérdidas por estafas financieras: la pérdida debe provenir de una conducta criminal clasificada como robo según la ley estatal, no debe haber una perspectiva razonable de recuperar los fondos, y la transacción debe haberse realizado con fines de lucro.

Es posible que los libros hayan registrado el dinero faltante como gastos ordinarios en años anteriores, por lo que cómo encajan la pérdida y esos años es una pregunta para un profesional. Consulte las instrucciones del IRS antes de presentar.

¿Cómo elimino el acceso cuando termina el trabajo?

Elimine todos los accesos de la persona cuando termine el trabajo, empezando por los que tocan dinero. Si un nuevo responsable contable toma el relevo, elimine el acceso de cada cuenta una vez que el nuevo acceso a ella funcione, salvo que falte dinero: en ese caso corte primero el acceso al banco, a las tarjetas y al fondeo de la nómina. El NIST dice que, cuando alguien se va, hay que asegurarse de que ya no tenga acceso: eliminar su cuenta de todos los sistemas y cambiar las contraseñas compartidas que conocía.

• Programa contable: un administrador quita al responsable contable de la lista de usuarios en la configuración del programa y luego revisa la lista para confirmar que el acceso terminó. Siga las instrucciones del proveedor del programa.
• Banco: pida al banco que elimine al usuario y cualquier conexión con el programa.
• Proveedor de nómina, aplicaciones de pago, portales de tarjetas y almacenamiento compartido: elimine al usuario en cada uno.
• Todo lo compartido: cambie la contraseña y restablezca el dispositivo del segundo paso si la persona tenía uno.
• Autorizaciones de impuestos: si firmó un Form 8821 o 2848, revóquelo por escrito como explican las instrucciones del Form 8821 o del Form 2848. Si agregó al responsable contable como Designated User en la Business Tax Account, termine ese acceso allí. Si el responsable contable o una empresa de nómina también es su agente informante en el Form 8655, revóquelo por separado: un Form 8655 nuevo termina la autoridad del agente anterior solo a partir del período que indica, y el agente anterior conserva la autoridad de divulgación de los períodos previos salvo que usted la revoque. Vea cómo cambiar de proveedor de nómina.

Para el traspaso completo, incluidos el archivo, los meses cerrados y las fechas de presentación, vea cómo reemplazar a su responsable contable.

Ejemplo

Estos ejemplos son ilustrativos; todas las cifras están en dólares estadounidenses.

Un responsable contable remoto para un consultorio dental

Un consultorio dental con US$900,000 de ingresos contrata a una responsable contable remota. El propietario la invita como usuaria aparte en el programa después de comprobar que sus permisos no pueden liberar pagos ni cambiar beneficiarios, envía los estados de cuenta cada mes y conserva el acceso de administrador del banco. La responsable contable prepara cada semana la lista de facturas; solo el propietario aprueba y libera los pagos. El propietario activa la verificación en dos pasos en el banco y en el programa.

Una contraseña compartida en una LLC de un solo miembro

Una LLC de un solo miembro con US$150,000 de ingresos usa la misma contraseña desde hace años, y un antiguo ayudante todavía la conoce. La propietaria crea un acceso aparte para ella y otro para el responsable contable actual, cambia todas las contraseñas que conocía el ayudante y activa la verificación en dos pasos. Revisa la actividad bancaria de los últimos meses en busca de pagos que no reconoce y, si el programa guarda un registro de cambios, comprueba quién hizo los cambios recientes.

El mismo correo, dos configuraciones

Un correo de una dirección que imita a la real pide a un contratista que envíe su próxima factura de US$18,000 a una cuenta nueva. Donde el responsable contable solo prepara la lista y el propietario libera los pagos, el propietario ve la cuenta nueva, llama al número que figura en el contrato firmado y el proveedor dice que no pidió ningún cambio. Donde el mismo responsable contable también libera los pagos, el dinero sale. El propietario lo descubre en el estado de cuenta semanas después, pide al banco la recuperación de los fondos y elimina los accesos del responsable contable. Los libros muestran el pago como una factura ordinaria de proveedor, así que corregirlos y resolver cualquier pérdida es una pregunta para un profesional.

¿Su caso es distinto?

• La misma persona registra y paga, el responsable contable tiene el único acceso de administrador, o los propietarios no se ponen de acuerdo sobre quién aprueba: eso elimina a la segunda persona que, según el NIST, debe haber entre iniciar y aprobar un pago. Defina con ayuda con la contabilidad quién tiene cada acceso, cómo se aprueban los pagos y qué revisa cada mes.
• Ya apareció un cambio de datos bancarios o un pago extraño, o sospecha una pérdida: actúe primero sobre el dinero. El momento de la deducción por robo y la contabilidad de años anteriores dependen de los hechos, así que haga revisar los meses afectados con ayuda con la contabilidad antes de que una declaración se apoye en ellos.
• No está seguro de que la contabilidad sea correcta: vea cómo revisar el trabajo de su responsable contable.
• Aún no ha contratado a nadie: vea las preguntas que hacer antes de contratar a un responsable contable, qué necesita de usted el responsable contable y responsable contable local o en línea.
• El responsable contable está en otro país: vea cómo contratar a un responsable contable en el extranjero.
• Su proveedor de nómina no pagó sus impuestos: siga la guía sobre el proveedor de nómina.
• Quiere terminar la relación: vea cómo reemplazar a su responsable contable.