Acesso do responsável contábil ao banco: só leitura e fraude

Como dou acesso às minhas finanças a um responsável contábil com segurança?

Dê a cada pessoa um login próprio, limite-o ao que o trabalho exige e nunca deixe uma mesma pessoa iniciar e aprovar um pagamento. Essas três regras vêm do guia de segurança para pequenas empresas do NIST: uma conta separada para cada usuário, prestadores de serviços inclusive; acesso apenas aos sistemas e às informações de que a pessoa precisa; e nenhuma pessoa que inicie e aprove a mesma transação, executivos e gerentes seniores inclusive.

Um responsável contábil que apenas registra transações não precisa das suas contas pessoais, das contas de outras entidades que você possui, dos SSNs (números de seguridade social dos EUA) e dos dados bancários dos empregados (a menos que ele faça a folha de pagamento) nem de qualquer poder para cadastrar ou alterar um favorecido. Essa é a resposta sobre o que manter fora da vista: tudo que a escrituração não precisa.

O caso não é simples quando:

• o responsável contábil tem o único login de administrador do software ou do banco;
• a mesma pessoa registra a escrituração e envia os pagamentos;
• o responsável contábil também paga fornecedores ou faz a folha de pagamento;
• uma senha é compartilhada por várias pessoas;
• uma sociedade de pessoas ou corporação tem vários proprietários e não está claro de quem é a aprovação que vale;
• já apareceu uma mudança nos dados bancários de um fornecedor ou um pagamento que você não reconhece.

Se o responsável contábil tem o único login de administrador, também envia pagamentos, ou se já apareceu algo estranho, leia antes de tudo a última seção, “E no seu caso?”.

Reúna primeiro: uma lista de todas as contas de banco, cartão, folha de pagamento e software, com quem pode entrar em cada uma e com qual perfil; os perfis que cada banco oferece; e a lista de usuários do provedor de folha de pagamento.

Como dou ao responsável contábil acesso ao software de contabilidade sem compartilhar o meu login?

Convide o responsável contábil como um usuário separado, só com as permissões de que o trabalho precisa, e mantenha o login principal de administrador com você. A maioria dos softwares de contabilidade permite isso ao proprietário; nomes e etapas mudam de produto para produto, então leia a página de ajuda do seu. Antes de escolher um perfil, pergunte ao provedor do software se ele pode cadastrar ou alterar favorecidos, liberar pagamentos, mudar dados de repasse ou dar acesso a outras pessoas. Deixe a liberação de pagamentos com outra pessoa.

O nome de um perfil não mostra o que ele pode fazer, então não presuma que seja só leitura. Um login separado não limita o perfil; ele permite rastrear as mudanças até o login do próprio responsável contábil. O NIST alerta que, sem contas individuais, é difícil investigar perda de dados ou alterações não autorizadas. Se o seu software guarda um registro de quem mudou o quê, consulte-o.

Se o responsável contábil criou o arquivo ou tem o único login de administrador, mude isso primeiro. Veja como substituir o seu responsável contábil para saber como retomar o controle de administrador.

Um responsável contábil pode ter acesso só de leitura ao meu banco, sem poder movimentar dinheiro?

Às vezes, mas a existência de um perfil só de leitura depende do banco. Nenhuma fonte governamental descreve os perfis de usuário dos bancos, e eles variam conforme o banco e o tipo de conta, então pergunte ao banco antes de confiar em qualquer perfil. Pergunte por escrito:

1. Quais perfis existem, e há algum que veja contas e extratos, mas não possa iniciar, aprovar ou liberar um pagamento, cadastrar um favorecido ou mudar um limite?
2. O responsável contábil pode ter um login separado, para que você nunca compartilhe o seu?
3. Um pagamento pode exigir a aprovação de um segundo usuário?
4. O que pode fazer uma conexão do banco com o software de contabilidade, e quem a configura?
5. O banco confirma as respostas por escrito?

Um feed bancário é um vínculo entre o banco e o software de contabilidade que traz as transações. O que um vínculo específico pode fazer é a resposta do banco à pergunta 4, e não algo que esta página possa prometer, e um feed não prova que a escrituração bate com o banco (veja feeds bancários não são conciliação).

Se a única opção for o acesso total, envie você mesmo os extratos todo mês em vez de compartilhar o seu login bancário. O NIST aconselha que, sempre que possível, nenhum empregado tenha acesso a todas as informações ou sistemas de uma empresa.

Quais logins devem ficar só comigo?

Fique com todo login que pode movimentar dinheiro, incluir uma pessoa ou mudar quem é pago, além das contas fiscais pelas quais a empresa responde legalmente.

Para os registros do IRS, o Form 8821 permite indicar qualquer pessoa ou empresa para consultar e receber as suas informações fiscais confidenciais, nos tipos de imposto e períodos que você listar. Ele não permite que essa pessoa fale por você perante o IRS. O Form 2848 faz isso, mas só para quem pode atuar perante o IRS.

No Business Tax Account, a conta online do IRS para empresas, um Designated Official (responsável designado) ou o empresário individual pode incluir um Designated User. O usuário entra com a própria identidade, precisa de um SSN ou de um ITIN (número de identificação fiscal individual do IRS) e não precisa ser proprietário nem diretor. O Designated Official ou o empresário individual escolhe os formulários fiscais, os períodos e as permissões, que podem incluir fazer pagamentos; um responsável contábil que só precisa dos registros não precisa da permissão de pagamento. Essa pessoa deve revalidar o usuário todo janeiro e todo junho.

Nem toda empresa pode ter a conta. O IRS diz que ela ainda não está disponível para uma LLC que declara como empresário individual no Schedule C ou no Schedule F, e esses proprietários usam o Form 8821. Para saber que autorização um novo contador precisa e como encerrar uma antiga, veja como trocar de contador.

O IRS também sugere com ênfase que você não mude o seu endereço cadastrado para o de um provedor de folha de pagamento, porque os avisos do IRS sobre a sua conta iriam então para outra pessoa.

Quem deve aprovar os pagamentos, e por que quem registra não deve também pagar?

Limitar quem pode liberar pagamentos é a principal forma de separar o registro do pagamento; isso reduz o risco, mas não o elimina. Quem registra os pagamentos não deve também enviá-los, porque então ninguém mais vê o lançamento que esconde um pagamento ruim. Esse raciocínio é desta página; a regra do NIST é mais estreita: nenhuma pessoa deve iniciar e aprovar a mesma transação, executivos e gerentes seniores inclusive.

Uma divisão que funciona:

1. O responsável contábil lança as contas e prepara a lista do que vence.
2. Você, um coproprietário ou outra pessoa indicada aprova a lista e libera os pagamentos.
3. O responsável contábil registra o que foi pago, a partir do registro do banco.
4. Você confere a movimentação do banco diretamente, e não pelos relatórios do responsável contábil.

Se você é o único proprietário, você é a pessoa que aprova e o responsável contábil apenas prepara. Se você inicia e libera os pagamentos, ninguém mais os aprova, então a regra do NIST não é cumprida. Ler a movimentação do banco todo mês, ou pedir que uma pessoa de fora veja os extratos, detecta um problema depois do fato; não é uma segunda aprovação.

Com vários proprietários, decida por escrito quem pode liberar pagamentos e quem pode aprovar um novo favorecido, e confira se as pessoas que o banco lista como autorizadas correspondem a eles. Se os proprietários discordam sobre quem tem o login de administrador do banco, resolva isso primeiro.

Como ativo uma segunda etapa de login e paro de passar senhas de mão em mão?

Ative a autenticação multifator, também chamada de login em duas etapas, em toda conta que a oferecer, e dê a cada pessoa um login próprio em vez de uma senha compartilhada. A CISA explica que a segunda etapa protege a conta mesmo quando alguém rouba a senha.

• Onde: nas configurações de cada conta, em Segurança. Pode se chamar autenticação de dois fatores ou em duas etapas. A CISA cita como exemplos um código enviado por mensagem de texto ou e-mail, um aplicativo autenticador e o reconhecimento de impressão digital ou do rosto. Comece pelo banco, pelo software de contabilidade, pelo provedor de folha de pagamento e pelo seu e-mail.
• Senhas: a CISA recomenda no mínimo 16 caracteres, aleatórios, diferentes em cada conta e guardados em um gerenciador de senhas, não anotados.
• Compartilhamento: o Internet Crime Complaint Center (IC3) do FBI, central de denúncias de crimes na internet, aconselha não enviar credenciais de login por e-mail. Dê ao responsável contábil um login só dele, não o seu.

Se o meu responsável contábil também paga contas ou faz a folha de pagamento, o que ainda confiro eu mesmo?

Na folha de pagamento, você continua conferindo se os depósitos foram feitos, porque o empregador em geral continua responsável por eles, seja quem for que faça o trabalho. O IRS diz que o empregador é o responsável final pelos depósitos do imposto federal sobre a folha de pagamento e pode responder pelos impostos, multas e juros se um terceiro não pagar.

Uma pessoa também pode dever pessoalmente os impostos retidos. Pela seção 6672, quem é obrigado a recolher e repassar os impostos retidos e deixa de fazê-lo deliberadamente responde por uma multa de 100% do valor não pago. O IRS considera responsável a pessoa com o dever e o poder de dirigir esse pagamento, e cita como exemplos diretores, administradores, acionistas, membros de sociedades de pessoas, empregados e provedores de serviços de folha de pagamento. Veja o guia da trust fund recovery penalty para os testes e os prazos de resposta.

Quanto às contas a pagar, a conferência é a sua própria análise da movimentação do banco.

• Depósitos da folha de pagamento: o IRS manda se cadastrar você mesmo no EFTPS, obter o seu próprio PIN e usá-lo para conferir se os depósitos foram feitos com o seu número de empregador. O primeiro pagamento perdido ou atrasado é tratado como sinal de alerta.
• Uma certified professional employer organization (CPEO, organização profissional de empregadores certificada pelo IRS): em geral ela é o único empregador, para fins fiscais, dos salários que paga a empregados do local de trabalho (26 USC 3511) e faz os depósitos com o seu próprio número, então os clientes não veem esses depósitos no EFTPS. Peça à CPEO o comprovante de pagamento.
• Avisos do imposto sobre a folha de pagamento: eles vão para o endereço cadastrado no IRS, então mantenha esse endereço como seu.
• Todo o resto: a conferência mensal do banco e a regra da ligação de volta, abaixo, valem aqui também.

Se um provedor deixou de fazer o depósito, veja o que fazer quando um provedor de folha de pagamento não pagou os seus impostos.

Quais controles detectam furto ou erros logo no início?

Quatro conferências do proprietário ajudam a detectar furto ou erros cedo: ler a movimentação do banco, rever quem tem acesso, ler os relatórios de conciliação e aprovar toda mudança nos dados do favorecido. Nenhuma depende do responsável contábil.

O IC3 aconselha monitorar regularmente as contas financeiras para detectar irregularidades, como depósitos faltando; ler os extratos da empresa todo mês aplica a mesma ideia.

Para saber o que uma conciliação de verdade mostra, veja como conferir o trabalho do seu responsável contábil e feeds bancários não são conciliação.

Como funcionam as faturas falsas e os dados bancários alterados, e o que é a regra da ligação de volta?

Na business email compromise (fraude por comprometimento de e-mail empresarial), criminosos usam uma conta de e-mail invadida ou muito parecida com a real para pedir uma transferência ou novos dados de conta, e o IC3 informa que o alvo são tanto pequenas empresas locais quanto grandes corporações. O comunicado dele soma perdas expostas informadas de US$55,5 bilhões em cerca de dez anos.

A regra da ligação de volta é confirmar qualquer mudança nos dados de pagamento por um segundo canal antes de agir. O IC3 aconselha usar canais secundários para verificar pedidos de mudança nos dados de conta.

1. Trate como não verificado qualquer pedido para pagar uma conta nova ou mudar os dados bancários de um fornecedor, mesmo que pareça vir do fornecedor ou do e-mail do próprio responsável contábil.
2. Procure o telefone do fornecedor em algo que você já tinha antes do pedido, como uma fatura anterior ou o contrato. Não use um número ou link da mensagem. A CISA dá o mesmo conselho para mensagens suspeitas.
3. Peça ao fornecedor que confirme os dados antigos e os novos.
4. Anote quem confirmou e quando, e peça que a pessoa que aprova os pagamentos aprove a mudança.

O IC3 também manda conferir se o endereço e os links do remetente correspondem à empresa real, já que os links podem esconder um erro de grafia do nome de domínio verdadeiro.

E se o dinheiro sumir: o que faço primeiro, e a perda é dedutível?

Aja primeiro sobre o dinheiro, depois sobre o acesso, depois sobre o imposto. Se uma transferência foi fraudulenta, o IC3 diz que o tempo é essencial: fale com o seu banco imediatamente para pedir a devolução dos fundos e registre uma denúncia em ic3.gov, qualquer que seja o valor.

1. Dinheiro: ligue para o banco e peça a devolução. Pergunte que prazo o contrato da conta fixa para comunicar um pagamento não autorizado: a Regulation E cobre contas mantidas principalmente para fins pessoais, familiares ou domésticos, então uma conta empresarial em geral fica fora dela.
2. Acesso: remova os logins da pessoa, troque todas as senhas que ela conhecia e ative a segunda etapa de login.
3. Registros: guarde extratos, e-mails, faturas e a lista de alterações do software antes que qualquer coisa seja editada.
4. Imposto: a dedução por furto tem regras de prazo e de comprovação, explicadas abaixo.

Se a perda é dedutível depende dos fatos e da lei estadual. A IRS Publication 547 trata o desvio de fundos como furto. Furto é a apropriação ilegal de dinheiro ou bens com intenção criminosa, nos termos da lei do estado, e não é preciso haver condenação. O IRS também considera a apropriação de dinheiro ou bens por fraude ou falsa declaração, se for ilegal pela lei estadual ou local, então um pagamento enviado a um favorecido falso pode se enquadrar. O simples desaparecimento de dinheiro, ou um erro de escrituração sem intenção criminosa, não é furto; para erros, veja quem paga as multas quando o responsável contábil comete erros.

Quando uma perda pode ser deduzida:

• Uma perda por furto que não pode ser ressarcida é dedutível somente no ano em que você descobre o furto.
• Se há um pedido de ressarcimento com perspectiva razoável de recuperação, como junto ao banco, a uma seguradora ou ao ladrão, essa parte não é deduzida até você saber com razoável certeza que não será reposta.
• Como o valor é apurado depende do que foi levado, e o ressarcimento recebido ou esperado o reduz.
• A perda é apurada no Form 4684, Section B. Uma sociedade de pessoas ou corporação S a informa então no seu Schedule K, e ela passa aos proprietários. Um empresário individual a leva ao Schedule 1 (Form 1040), e uma corporação C segue as instruções da própria declaração. O Form 4797 pode ser exigido no lugar.

Um pagamento enviado a um golpista, como a uma conta falsa de fornecedor, também tem condições próprias na Publication 547, em perdas por golpes financeiros: a perda deve resultar de conduta criminosa classificada como furto pela lei estadual, não deve haver perspectiva razoável de recuperar os fundos e a transação deve ter sido feita com fins lucrativos.

A escrituração pode ter registrado o dinheiro que sumiu como despesas comuns em anos anteriores, então como encaixar a perda nesses anos é uma questão para um profissional. Veja as instruções do IRS antes de entregar a declaração.

Como removo o acesso quando o trabalho termina?

Remova cada login da pessoa quando o trabalho terminar, começando pelos que tocam em dinheiro. Se um novo responsável contábil vai assumir, remova o acesso de cada conta depois que o novo login nela funcionar, a menos que falte dinheiro: então corte primeiro o acesso ao banco, aos cartões e ao financiamento da folha de pagamento. O NIST diz que, quando alguém sai, garanta que a pessoa não tenha mais acesso: exclua a conta dela em todos os sistemas e troque as senhas compartilhadas que ela conhecia.

• Software de contabilidade: um administrador remove o responsável contábil da lista de usuários nas configurações do software e depois confere a lista para confirmar que o acesso terminou. Siga as instruções do provedor do software.
• Banco: peça ao banco que remova o usuário e qualquer conexão com o software.
• Provedor de folha de pagamento, aplicativos de pagamento, portais de cartão e armazenamento compartilhado: remova o usuário em cada um.
• Tudo o que era compartilhado: troque a senha e redefina o dispositivo da segunda etapa, se a pessoa tinha um.
• Autorizações fiscais: se você assinou um Form 8821 ou 2848, revogue-o por escrito, como explicam as instruções do Form 8821 ou do Form 2848. Se você incluiu o responsável contábil como Designated User no Business Tax Account, encerre esse acesso ali. Se o responsável contábil ou uma empresa de folha de pagamento também é seu agente de declaração no Form 8655, revogue isso separadamente: um novo Form 8655 encerra a autoridade do agente anterior apenas a partir do período que indica, e o agente anterior mantém a autoridade de divulgação para períodos anteriores, a menos que você a revogue. Veja como trocar de provedor de folha de pagamento.

Para a transição completa, incluindo o arquivo, os meses fechados e as datas de entrega, veja como substituir o seu responsável contábil.

Exemplo

Estes exemplos são ilustrativos; todos os valores estão em dólares americanos.

Uma responsável contábil remota para um consultório odontológico

Um consultório odontológico com US$900.000 de receita contrata uma responsável contábil remota. O proprietário a convida como usuária separada no software, depois de conferir que as permissões dela não permitem liberar pagamentos nem mudar favorecidos, envia os extratos bancários todo mês e mantém o login de administrador do banco. A responsável contábil prepara toda semana a lista de contas a pagar; só o proprietário aprova e libera os pagamentos. O proprietário ativa a segunda etapa de login no banco e no software.

Uma senha compartilhada em uma LLC de um único membro

Uma LLC de um único membro com US$150.000 de receita usa a mesma senha há anos, e um ex-ajudante ainda a conhece. A proprietária cria um login separado para si e outro para o responsável contábil atual, troca todas as senhas que o ajudante conhecia e ativa a segunda etapa de login. Ela lê a movimentação bancária dos últimos meses atrás de pagamentos que não reconhece e, quando o software guarda um registro de alterações, confere quem fez as mudanças recentes.

O mesmo e-mail, duas configurações

Um e-mail de um endereço parecido com o real pede que um prestador de serviços envie a próxima fatura de US$18.000 para uma conta nova. Onde o responsável contábil só prepara a lista e o proprietário libera os pagamentos, o proprietário vê a conta nova, liga para o número que consta do contrato assinado e o fornecedor diz que não pediu nenhuma mudança. Onde o mesmo responsável contábil também libera os pagamentos, o dinheiro sai. O proprietário descobre no extrato semanas depois, pede ao banco a devolução e remove os logins do responsável contábil. A escrituração mostra o pagamento como uma fatura comum de fornecedor, então corrigi-la e resolver qualquer perda é uma questão para um profissional.

E no seu caso?

• A mesma pessoa registra e paga, o responsável contábil tem o único login de administrador ou os proprietários discordam sobre quem aprova: isso elimina a segunda pessoa que, segundo o NIST, deve ficar entre iniciar e aprovar um pagamento. Defina quem tem cada acesso, como os pagamentos são aprovados e o que você revisa todo mês com a ajuda com a escrituração contábil.
• Já apareceu uma mudança de dados bancários ou um pagamento estranho, ou você suspeita de uma perda: aja primeiro sobre o dinheiro. O prazo da dedução por furto e a escrituração de anos anteriores dependem dos fatos, então peça que os meses afetados sejam revisados com a ajuda com a escrituração contábil antes que uma declaração se apoie neles.
• Você não tem certeza de que a escrituração está certa: veja como conferir o trabalho do seu responsável contábil.
• Você ainda não contratou: veja as perguntas para fazer antes de contratar um responsável contábil, o que o responsável contábil precisa de você e responsável contábil local ou online.
• O responsável contábil está no exterior: veja como contratar um responsável contábil offshore.
• O seu provedor de folha de pagamento não pagou seus impostos: siga o guia sobre provedores de folha de pagamento.
• Você quer encerrar a relação: veja como substituir o seu responsável contábil.