记账员的银行与账务权限：只读、独立登录与防欺诈

我怎样安全地让记账员接触我的财务资料？

每个人用自己的登录账号，权限限制在工作所需的范围内，并且不让同一个人既发起又批准一笔付款。这三条规则出自 NIST 的小企业安全指南：每个用户（包括外部承包人）各有一个账号；只能接触该人所需的系统和信息；任何人（包括高管和高级经理）都不能既发起又批准同一笔交易。

只负责记账的记账员，不需要接触您的个人账户、您名下其他实体的账户、员工的社会保障号码和银行信息（除非记账员负责工资发放），也不需要有新增或更改收款人的权限。这就是“该让记账员看不到什么”的答案：账簿用不到的，一概不给。

遇到下面这些情况，事情就不简单了：

• 记账员是软件或银行唯一管理员账号的持有人；
• 同一个人既记账又付款；
• 记账员还替您付供应商款项或做工资发放；
• 几个人共用同一个密码；
• 合伙企业或公司有多个所有人，不清楚谁的批准算数；
• 已经出现过更改供应商银行信息的要求，或您不认识的付款。

如果记账员是唯一的管理员账号持有人，还负责付款，或者已经出现异常，请先读最后一节“您的情况不同？”，再读其余部分。

先准备好：一份列出所有银行、信用卡、工资发放和软件账户的清单，写明谁能登录每个账户、角色是什么；各家银行提供哪些角色；以及工资发放服务商的用户列表。

我怎样让记账员使用记账软件，又不共用我的登录账号？

把记账员邀请为独立用户，只给工作所需的权限，主管理员账号自己留着。大多数记账软件都允许所有人这样做；不同产品的名称和步骤各异，请看您所用产品的帮助页面。选角色之前，先问软件服务商：这个角色能不能新增或更改收款人、放行付款、更改结算信息，或给别人开通权限。付款放行要留给另一个人。

角色的名称看不出它能做什么，所以不要想当然地认为它是只读的。独立登录并不限制角色权限，它的作用是让更改能追溯到记账员自己的账号。NIST 提醒，没有个人账号，就很难调查数据丢失或未经授权的更改。如果您的软件有谁改了什么的记录，请去看看。

如果文件是记账员建立的，或者记账员是唯一的管理员账号持有人，请先处理这件事。如何收回管理员权限，请看更换记账员。

记账员能不能只读查看我的银行账户，却无法转走资金？

有时可以，但有没有只读角色，要看银行。政府来源没有说明银行的用户角色，各家银行和各种账户类型都不同，所以在依赖任何角色之前，先问银行。请以书面方式询问：

1. 有哪些角色？有没有一种角色可以查看账户和对账单，但不能发起、批准或放行付款，不能新增收款人，也不能更改额度？
2. 记账员能不能有自己的单独登录账号，让您不必共用自己的？
3. 付款能不能要求另一位用户批准？
4. 银行与记账软件之间的连接能做什么，由谁设置？
5. 银行能不能以书面形式确认这些答案？

银行数据同步（bank feed）是银行与记账软件之间的连接，用来导入交易。某个连接能做什么，是银行对第 4 个问题的回答，本文无法保证；而且银行数据同步并不能证明账簿与银行一致（见银行数据同步不等于对账）。

如果银行只提供完全访问权限，就每个月自己把对账单发给记账员，不要共用您的网银登录账号。NIST 建议，只要可能，就不要让任何员工能接触企业的全部信息或系统。

哪些登录账号应该只留给我自己？

凡是能转出资金、新增人员或更改收款对象的登录账号，以及企业依法负责的税务账户，都要自己留着。

关于 IRS 记录，8821 表可以让您指定任何个人或机构，查看并接收您列明的税种和期间的机密税务信息，但不能让对方在 IRS 面前代表您。2848 表可以做到这一点，但只限有资格在 IRS 执业的人。

在企业税务账户（Business Tax Account，IRS 为企业开设的在线账户）里，指定负责人（Designated Official）或独资经营者可以添加指定用户。该用户用自己的身份登录，需要有社会保障号码或 ITIN，不必是所有人或高管。指定负责人或独资经营者选择税表、期间和权限，权限可以包括付款；只需要查看记录的记账员，不需要付款权限。指定负责人每年 1 月和 6 月都必须重新确认该用户。

不是每家企业都能开通这个账户。IRS 表示，对于以独资经营者身份在 Schedule C 或 Schedule F 上报税的 LLC，该账户尚未开放，这类所有人要改用 8821 表。新会计师需要哪种授权，以及怎样终止旧的授权，请看更换会计师。

IRS 还强烈建议您不要把登记的地址改成工资发放服务商的地址，因为那样的话，IRS 发给您账户的通知就会寄给别人。

谁来批准付款？为什么记账的人不应该同时付款？

限制谁能放行付款，是把记账和付款分开的主要办法；这只能降低风险，不能消除风险。记录付款的人不应该同时发出付款，否则就没有别人会看到那条掩盖问题付款的分录。这是本文自己的推理；NIST 的规则范围更窄：任何人都不应既发起又批准同一笔交易，高管和高级经理也不例外。

一种可行的分工：

1. 记账员录入账单，并准备应付款清单。
2. 您、共同所有人或另一位指定的人批准清单，并放行付款。
3. 记账员根据银行的记录，登记已付的款项。
4. 您直接查看银行流水，而不是通过记账员的报表。

如果您是唯一的所有人，您就是批准人，记账员只负责准备。如果您既发起又放行付款，就没有别人来批准，也就不符合 NIST 的规则。每月查看银行流水，或请外部的人看对账单，只能事后发现问题，不能代替第二个人的批准。

有多个所有人时，要书面确定谁可以放行付款、谁可以批准新增收款人，并核对银行列出的授权人是否与此一致。如果所有人对谁持有银行管理员账号有分歧，先解决这个问题。

怎样开启第二重登录验证，并不再传递密码？

在所有提供此功能的账户上开启多重身份验证（multifactor authentication，也叫两步验证），并且给每个人各自的登录账号，不要共用一个密码。CISA 解释说，即使有人偷了密码，第二步也能保护账户。

• 在哪里设置：在各账户设置的“安全”选项下。它可能叫双重验证或两步验证。CISA 举的例子有：短信或电子邮件发送的验证码、验证器 App，以及指纹或面部识别。先从银行、记账软件、工资发放服务商和您的电子邮箱开始。
• 密码：CISA 建议密码至少 16 个字符、随机、每个账户都不同，并存放在密码管理器里，而不是写下来。
• 共用：FBI 的互联网犯罪投诉中心（IC3）建议，不要通过电子邮件提供登录凭据。请给记账员一个他们自己的登录账号，不要用您的。

如果记账员还替我付账或做工资发放，我自己还要核对什么？

对工资发放，您仍要核对税款是否已经缴存，因为无论谁来做，雇主一般都仍然要对此负责。IRS 表示，联邦工资税的缴存，雇主最终要负责；如果第三方没有缴款，雇主可能要承担税款、罚款和利息。

个人也可能需要亲自承担已预扣的税款。根据第 6672 条，有责任代收并缴纳已预扣税款的人，如果故意不缴，要按未缴金额的 100% 承担罚款。IRS 认定的责任人，是有责任也有权力指示缴纳该款项的人，并列举了高管、董事、股东、合伙企业成员、员工以及工资发放服务商作为例子。判定标准和答复期限，请看信托基金追缴罚款指南。

对于付账，核对的办法是您自己查看银行流水。

• 工资税缴存：IRS 说，要自己注册 EFTPS、取得自己的 PIN，并用它核对是否已用您的雇主号码缴存。IRS 把第一次漏缴或迟缴视为警示信号。
• 经认证的专业雇主组织（CPEO）：对于支付给工作场所员工的工资，CPEO 一般是税务上的唯一雇主（26 USC 3511），并用自己的号码缴存，所以它的客户在 EFTPS 里看不到这些缴存。请改为向 CPEO 索取付款证明。
• 工资税通知：这些通知会寄到 IRS 登记的地址，所以要保持登记的是您自己的地址。
• 其他一切：下文的每月银行流水复核和回拨核实规则，在这里同样适用。

如果服务商没有缴存，请看工资发放服务商没有缴纳您的税款时怎么办。

哪些控制措施能及早发现盗窃或错误？

企业主自己做四项检查，有助于及早发现盗窃或错误：查看银行流水、检查谁有访问权限、阅读对账报表、批准收款人信息的每一次更改。这几项都不依赖记账员。

IC3 建议定期监控金融账户，查找缺失的入账等异常；每月阅读企业的对账单，就是同样的做法。

真正的对账能显示什么，请看检查记账员的工作和银行数据同步不等于对账。

虚假发票和被更改的银行信息是怎么回事？什么是回拨核实规则？

在商务电子邮件诈骗（business email compromise）中，犯罪分子利用被盗用或外观相似的电子邮箱账号，要求转账或提供新的账户信息。IC3 报告说，受害者既有大公司，也有当地的小企业。其公告统计了大约十年间报告的暴露损失，共 $555 亿。

回拨核实规则是：先通过第二个渠道核实任何付款信息的更改，再采取行动。IC3 建议用第二渠道核实更改账户信息的要求。

1. 对于要求付款到新账户，或更改供应商银行信息的请求，一律视为未经核实，即使它看起来来自供应商或记账员自己的邮箱。
2. 用您在这个请求之前就已有的资料找到供应商的电话号码，比如以前的发票或合同。不要用邮件里的号码或链接。对可疑信息，CISA 给出同样的建议。
3. 请供应商同时确认旧的和新的信息。
4. 记下是谁在什么时候确认的，并由批准付款的人批准这项更改。

IC3 还说，要检查发件人的地址和链接是否与真实企业一致，因为链接可能把真实域名拼错而不易察觉。

如果钱不见了：我应该先做什么？损失可以扣除吗？

先处理资金，再处理权限，最后处理税务。如果转账是欺诈性的，IC3 说时间至关重要：立即联系您的银行，要求追回资金，并且无论金额多少，都要在 ic3.gov 提交投诉。

1. 资金：打电话给银行，要求追回。问清楚银行的账户协议对报告未经授权付款设了什么时限：Regulation E 适用于主要用于个人、家庭或家用目的的账户，所以企业账户一般不在其范围内。
2. 权限：删除该人的所有登录账号，更改他们知道的每个密码，并开启第二重登录验证。
3. 记录：在任何内容被修改之前，先保存对账单、邮件、发票和软件的更改记录。
4. 税务：盗窃损失的扣除有时间和证明方面的规定，见下文。

这笔损失能否扣除，取决于事实和州法。IRS 第 547 号出版物把侵吞公款视为盗窃。盗窃，是指按州法以犯罪意图非法占有金钱或财产，不需要有罪判决。如果通过欺诈或虚假陈述取得钱财或财产，而这在州法或地方法规下属于违法，IRS 也视为盗窃，所以汇给假收款人的款项也可能符合条件。钱款只是不见了，或者没有犯罪意图的记账错误，不算盗窃；关于记账错误，请看记账员出错时谁来承担罚款。

损失何时可以扣除：

• 不能获得补偿的盗窃损失，只能在您发现盗窃的那一年扣除。
• 如果有补偿申请，且有合理的追回希望（例如向银行、保险公司或窃贼索赔），那一部分要等到您可以合理确定不会被偿还时才能扣除。
• 金额怎样计算，取决于被拿走的是什么；已收到或预期会收到的补偿，会减少扣除额。
• 损失在 4684 表的 B 部分计算。合伙企业或 S 公司随后在 Schedule K 上申报，由此转给所有人。独资经营者把它转入 Schedule 1（1040 表），C 公司则按自己税表的填报说明办理。也可能需要改用 4797 表。

汇给诈骗者的款项（例如虚假供应商账户），在第 547 号出版物“金融诈骗损失”部分另有条件：损失必须由州法归类为盗窃的犯罪行为造成，没有合理的追回希望，而且该交易是以营利为目的进行的。

账簿可能把丢失的钱在以前的年度记成了普通费用，所以这笔损失与那些年度如何衔接，应该问专业人士。报税之前，请看 IRS 的填报说明。

工作结束时，我怎样收回权限？

工作结束时，删除这个人的每个登录账号，先从涉及资金的开始。如果新的记账员接手，要等新账号能正常登录某个账户后，再删除原账号的访问权限；但如果有资金不见了，就先切断银行、信用卡和工资发放资金账户的访问权限。NIST 说，有人离开时，要确保他们不再有访问权限：在所有系统中删除其账号，并更改他们知道的任何共用密码。

• 记账软件：管理员在软件设置的用户列表中删除该记账员，然后查看列表，确认访问已终止。请按软件服务商的说明操作。
• 银行：请银行删除该用户，以及与软件的任何连接。
• 工资发放服务商、支付 App、信用卡门户和共享存储：在每一处都删除该用户。
• 任何共用的东西：更改密码；如果对方持有第二步验证的设备，也重置该设备。
• 税务授权：如果您签署过 8821 表或 2848 表，请按 8821 表或 2848 表填报说明的方法，以书面形式撤销。如果您在企业税务账户里把记账员添加为指定用户，就在那里终止其访问。如果记账员或工资发放公司同时是您在 8655 表上的申报代理，要另行撤销：新的 8655 表只从它所写明的期间起终止旧代理的授权，除非您撤销，否则旧代理对更早期间仍保有披露的权限。请看更换工资发放服务商。

完整的交接，包括账务文件、已结账的月份和报税日期，请看更换记账员。

示例

以下示例仅作说明；所有金额均为美元。

牙科诊所的远程记账员

一家年收入 US$900,000 的牙科诊所聘请了一位远程记账员。老板先确认她的权限不能放行付款、也不能更改收款人，再把她作为独立用户邀请进软件。老板每月把银行对账单发给她，自己保管银行管理员账号。记账员每周准备应付账单清单；只有老板批准并放行付款。老板在银行和软件里都开启了第二重登录验证。

单一成员 LLC 共用同一个密码

一家年收入 US$150,000 的单一成员 LLC 多年来一直用同一个密码，而且一位已离开的帮手仍然知道它。老板给自己和现任记账员各建了一个独立登录账号，更改了那位帮手知道的所有密码，并开启第二重登录验证。她查看了最近几个月的银行流水，找有没有不认识的付款；软件有更改记录的，她还查了最近是谁做的更改。

同一封邮件，两种安排

一封来自相似地址的邮件，要求一位承包商把下一张 US$18,000 的发票汇到新账户。如果记账员只负责准备清单、由老板放行付款，老板就会看到新账户，打电话到已签合同上的号码，供应商说并没有发出过更改通知。如果同一位记账员还负责放行付款，款项就汇出去了。老板几周后在对账单上发现，要求银行追回，并删除了该记账员的登录账号。账簿把这笔付款记成了普通的供应商账单，所以怎样更正，以及怎样处理可能的损失，应该问专业人士。

您的情况不同？

• 同一个人既记账又付款，记账员持有唯一的管理员账号，或者所有人对谁来批准有分歧：这样就没有了 NIST 所说的、应当站在发起和批准付款之间的第二个人。请和记账服务一起确定：谁持有哪些权限、付款如何批准、每月复核什么。
• 已经出现银行信息更改要求或异常付款，或者您怀疑有损失：先处理资金。盗窃损失的时间和以前年度的账簿取决于具体事实，所以请在税表使用这些账簿之前，和记账服务一起复核受影响的月份。
• 您不确定账目是否正确：请看检查记账员的工作。
• 您还没有聘请记账员：请看聘请记账员前该问的问题、记账员需要您提供什么，以及本地还是线上记账员。
• 记账员在海外：请看聘请离岸记账员。
• 您的工资发放服务商没有缴纳您的税款：请按工资发放服务商指南办理。
• 您想结束合作关系：请看更换记账员。