記帳員存取銀行帳戶：唯讀權限、登入帳號與防詐騙

我該如何安全地讓記帳員存取我的財務資料？

請讓每個人都有自己的登入帳號，權限只限於工作所需，並且絕不讓同一個人既發起付款又核准付款。這三條規則來自 NIST 的小企業安全指南：每位使用者（包括承包人）都有獨立帳號；每個人只能存取所需的系統和資料；任何交易都不能由同一個人既發起又核准，高階主管和資深經理也不例外。

只負責記錄交易的記帳員，不需要您的個人帳戶、您名下其他實體的帳戶、員工的社會安全號碼和銀行資料（除非記帳員負責處理工資），也不需要任何新增或更改收款人的權限。這就是「哪些要讓記帳員看不到」的答案：凡是帳簿用不到的，都不要給。

以下情況就不單純：

• 記帳員持有軟體或銀行唯一的管理員登入帳號；
• 同一個人既記帳又發出付款；
• 記帳員同時還要付款給供應商或處理工資；
• 好幾個人共用同一個密碼；
• 合夥企業或公司有多位業主，因此不清楚誰的核准才算數；
• 已經出現更改供應商銀行資料的要求，或不認識的付款。

如果記帳員持有唯一的管理員登入帳號、同時也在發出付款，或已經出現異常，請先讀最後一節「您的情況不同嗎？」，再讀其他部分。

請先備齊：每個銀行、信用卡、工資和軟體帳戶的清單，註明誰能登入、各是什麼角色；每家銀行提供的角色；以及工資服務供應商的使用者清單。

我該如何讓記帳員存取會計軟體，又不用共用我的登入帳號？

請把記帳員邀請為獨立使用者，只給工作所需的權限，並自己保管主要管理員登入帳號。大多數會計軟體都允許業主這樣做；名稱和步驟因產品而異，請查看您所用產品的說明頁面。選擇角色之前，先問軟體供應商，這個角色能否新增或更改收款人、放行付款、更改撥款資料或讓他人取得存取權限。付款的放行請交給另一個人。

角色的名稱不能顯示它能做什麼，所以不要想當然地認為它是唯讀的。獨立登入帳號並不會限制角色的權限；它的作用是讓變更能追溯到記帳員自己的帳號。NIST 警告，如果沒有個人帳號，就很難調查資料遺失或未經授權的變更。如果您的軟體有記錄誰改了什麼，請查看。

如果檔案是記帳員建立的，或記帳員持有唯一的管理員登入帳號，請先處理這件事。如何收回管理員控制權，請見更換記帳員。

記帳員可以有銀行的唯讀權限，又不能轉出資金嗎？

有時可以，但是否有唯讀角色，要看銀行。沒有政府資料來源說明銀行的使用者角色，這些角色因銀行和帳戶類型而異，所以在依賴任何角色之前，請先問銀行。請用書面詢問：

1. 有哪些角色？有沒有一種角色可以查看帳戶和對帳單，但不能發起、核准或放行付款、新增收款人或更改限額？
2. 記帳員可以有自己的登入帳號嗎？這樣您就不必共用自己的帳號。
3. 付款能否要求第二位使用者核准？
4. 銀行與會計軟體之間的連線能做什麼？由誰設定？
5. 銀行能否以書面確認這些回答？

銀行資料連線是銀行與會計軟體之間的連結，用來匯入交易。某條連線能做什麼，要看第 4 個問題銀行的回答，本文無法保證；而且資料連線也不能證明帳簿與銀行相符（請見銀行資料連線不等於對帳）。

如果唯一的選擇是完整權限，請每個月自己把對帳單寄給記帳員，不要共用您的網路銀行登入帳號。NIST 建議，在可能的情況下，任何員工都不應該能存取企業的全部資料或系統。

哪些登入帳號只該由我自己保管？

凡是能轉出資金、新增人員或更改收款對象的登入帳號，以及企業在法律上負有責任的稅務帳戶，都請自己保管。

關於 IRS 記錄，8821 表讓您可以指定任何個人或機構，查看並接收您在所列稅種和期間的機密稅務資料。它不能讓對方在 IRS 面前代表您發言。2848 表可以，但僅限有資格在 IRS 執業的人。

在企業稅務帳戶（Business Tax Account，IRS 為企業提供的線上帳戶）中，指定負責人（Designated Official）或獨資經營者可以新增指定使用者（Designated User）。使用者以自己的身份登入，需要社會安全號碼或 ITIN，但不必是業主或高級職員。指定負責人或獨資經營者選擇稅表、期間和權限，權限可以包括付款；只需要記錄的記帳員不需要付款權限。指定負責人每年 1 月和 6 月必須重新驗證該使用者。

並非所有企業都能開設這個帳戶。IRS 表示，以 Schedule C 或 Schedule F 作為獨資經營者申報的 LLC 目前還不能使用，這些業主要改用 8821 表。新的會計師需要哪種授權、如何終止舊的授權，請見更換會計師。

IRS 也強烈建議不要把您的登記地址改成工資服務供應商的地址，因為這樣一來，有關您帳戶的 IRS 通知就會寄給別人。

誰該核准付款？為什麼記帳的人不該同時付款？

限制誰能放行付款，是把記帳和付款分開的主要方法；它能降低風險，但不能完全消除風險。記錄付款的人不該同時發出付款，否則就沒有別人能看到那筆掩蓋問題付款的分錄。這是本文的推論；NIST 的規則比較窄：任何交易都不應由同一個人既發起又核准，高階主管和資深經理也不例外。

一種可行的分工：

1. 記帳員輸入帳單，準備應付款項清單。
2. 您、共同業主或另一位指定的人核准清單並放行付款。
3. 記帳員根據銀行的記錄，記下已付款項。
4. 您直接查看銀行交易，而不是透過記帳員的報表。

如果您是唯一的業主，您就是核准的人，記帳員只負責準備。如果您既發起付款又放行付款，就沒有別人核准，因此不符合 NIST 的規則。每月查看銀行交易，或請外部人員查看對帳單，可以在事後發現問題；這並不等於第二次核准。

如果有多位業主，請以書面決定誰可以放行付款、誰可以核准新增收款人，並核對銀行列出的授權人員是否與此相符。如果業主之間對誰持有銀行管理員登入帳號有分歧，請先解決這個問題。

我該如何開啟兩步驟登入，並停止傳遞密碼？

請在每個提供這項功能的帳戶開啟多重要素驗證（也稱為兩步驟登入），並讓每個人都有自己的登入帳號，不要共用密碼。CISA 說明，即使有人竊取了密碼，第二個步驟也能保護帳戶。

• 在哪裡設定： 在每個帳戶的設定中，「安全性」項下。它可能叫做雙重驗證或兩步驟驗證。CISA 舉的例子有簡訊或電子郵件傳送的驗證碼、驗證器應用程式，以及指紋或臉部辨識。請先從銀行、會計軟體、工資服務供應商和您的電子郵件開始。
• 密碼： CISA 建議至少 16 個字元、隨機產生、每個帳戶都不一樣，並存放在密碼管理器中，而不是寫在紙上。
• 分享： FBI 的網路犯罪投訴中心（IC3）建議不要透過電子郵件提供登入憑證。請給記帳員一個專屬的登入帳號，不要給您的帳號。

如果記帳員同時負責付帳單或處理工資，我自己還要檢查什麼？

對於工資，您仍然要檢查稅款是否已存入，因為不論由誰做這項工作，雇主一般仍須負責。IRS 表示，雇主對聯邦工資稅存款負有最終責任，如果第三方沒有繳款，雇主可能要承擔稅款、罰款和利息。

個人也可能要親自承擔預扣的稅款。依據第 6672 條，負有代收並繳納預扣稅款責任的人，如果故意不繳，須承擔未繳金額 100% 的罰款。IRS 認定，有責任也有權力指示這項付款的人屬於須負責任者，並舉出高級職員、董事、股東、合夥企業成員和雇員，以及工資服務供應商為例。判斷標準和回應期限，請見信託基金追回罰款指南。

對於帳單，檢查方式就是您自己查看銀行交易。

• 工資稅存款： IRS 表示，要自己註冊 EFTPS，取得自己的 PIN，並用它檢查以您的雇主號碼存入的款項。IRS 把第一次漏繳或遲繳視為警訊。
• 認證專業雇主組織（CPEO）： 就其向工作地點員工支付的工資而言，CPEO 在稅務上一般是唯一的雇主（26 USC 3511），並以自己的號碼存款，因此它的客戶在 EFTPS 中看不到這些存款。請改向 CPEO 索取付款證明。
• 工資稅通知： 這些通知會寄到 IRS 登記的地址，所以請讓這個地址保持是您自己的。
• 其他一切： 每月查看銀行交易和下面的回電規則，在這裡同樣適用。

如果服務供應商沒有存款，請見工資服務供應商沒有繳納您的稅款時怎麼辦。

哪些控制措施能及早發現盜竊或錯誤？

業主有四項檢查可以及早發現盜竊或錯誤：查看銀行交易、檢查誰有存取權限、閱讀對帳報告，以及核准收款人資料的每一次更改。這四項都不依賴記帳員。

IC3 建議定期監控財務帳戶，查找存款不見等異常；每月閱讀企業對帳單，就是同樣的做法。

真正的對帳會顯示什麼，請見檢查記帳員的工作和銀行資料連線不等於對帳。

假發票和更改銀行資料是怎麼回事？什麼是回電規則？

在商業電子郵件詐騙（business email compromise）中，犯罪者利用被盜用或外觀相似的電子郵件帳號，要求轉帳或提供新的帳戶資料。IC3 指出，這種詐騙的目標包括小型本地企業，也包括大型公司。其公告統計，大約 10 年間通報的暴露損失為 $555 億。

回電規則是：在採取行動之前，透過第二個管道核實任何付款資料的更改。IC3 建議用第二管道核實更改帳戶資料的要求。

1. 凡是要求付款到新帳戶，或更改供應商銀行資料的要求，一律視為未經核實，即使它看起來來自供應商，或來自記帳員自己的電子郵件。
2. 用要求之前就有的資料找到供應商的電話號碼，例如先前的發票或合約。不要使用訊息中的號碼或連結。對於可疑的訊息，CISA 給出同樣的建議。
3. 請供應商確認舊的和新的資料。
4. 記下是誰確認的、什麼時候確認的，並由負責核准付款的人核准這項更改。

IC3 還建議檢查寄件人的地址和連結是否與真實企業相符，因為連結可能把真實網域名稱拼錯而不易察覺。

如果錢不見了，我首先該做什麼？這筆損失可以扣除嗎？

先處理資金，再處理存取權限，最後處理稅務。如果轉帳是詐騙，IC3 表示時間緊迫：立即聯絡您的銀行，要求追回資金，並且不論金額大小，都到 ic3.gov 提出投訴。

1. 資金： 打電話給銀行，要求追回款項。問清楚帳戶協議對舉報未經授權的付款設定了什麼期限：Regulation E 適用於主要用於個人、家庭或家用目的的帳戶，所以企業帳戶一般不在其範圍內。
2. 存取權限： 移除該人的所有登入帳號，更改他們知道的每一個密碼，並開啟兩步驟登入。
3. 記錄： 在任何內容被修改之前，保存對帳單、電子郵件、發票和軟體的變更清單。
4. 稅務： 盜竊損失的扣除有時間和證明的規則，詳見下文。

這筆損失能否扣除，取決於事實和州法。IRS Publication 547 把挪用公款視為盜竊。盜竊是依州法以犯罪意圖非法取走金錢或財產，不需要有定罪。IRS 也把以欺詐或不實陳述取得金錢或財產（如果依州或地方法律屬違法）算作盜竊，因此匯給假收款人的付款可能符合資格。金錢單純不見了，或沒有犯罪意圖的記帳錯誤，都不算盜竊；關於錯誤，請見記帳員出錯時，罰款由誰承擔。

損失何時可以扣除：

• 不能獲得補償的盜竊損失，只能在您發現盜竊的那一年扣除。
• 如果有補償的索賠，而且有合理的追回希望，例如向銀行、保險公司或竊賊索賠，那部分要等到您有合理把握確定無法追回時才能扣除。
• 金額如何計算，取決於被拿走的是什麼，已收到或預期收到的補償會減少金額。
• 損失在 4684 表的 Section B 計算。合夥企業或 S 公司接著把它申報在 Schedule K 上，再分配給業主。獨資經營者把它轉到 Schedule 1（1040 表），C 公司則按自己稅表的填表說明處理。也可能要改用 4797 表。

匯給詐騙者的付款，例如匯到假供應商帳戶，在 Publication 547 的金融詐騙損失部分也有各自的條件：損失必須源於依州法歸類為盜竊的犯罪行為，沒有合理的追回希望，而且這筆交易是為營利而進行的。

帳簿可能把不見的錢，在以前年度記成了普通費用，所以損失與那些年度如何銜接，需要專業人士判斷。提交之前，請先看 IRS 的填表說明。

工作結束時，我該如何撤銷存取權限？

工作結束時，移除該人的每一個登入帳號，先從涉及資金的帳號開始。如果有新的記帳員接手，等新的登入帳號能用了，再移除該帳戶的存取權限；但如果有錢不見了，就要先切斷銀行、信用卡和工資資金的存取權限。NIST 表示，有人離職時，要確保他們不再能存取：從所有系統中刪除其帳號，並更改他們知道的任何共用密碼。

• 會計軟體： 由管理員在軟體設定中，把記帳員從使用者清單中移除，然後檢查清單，確認存取權限已經終止。請遵循軟體供應商的說明。
• 銀行： 請銀行移除該使用者，以及與軟體之間的任何連線。
• 工資服務供應商、支付應用程式、信用卡網站和共用儲存空間： 在每一處移除該使用者。
• 任何共用的東西： 更改密碼，如果對方持有第二步驟的裝置，也要重設。
• 稅務授權： 如果您簽署了 8821 表或 2848 表，請按 8821 表或 2848 表填表說明的規定，以書面撤銷。如果您在企業稅務帳戶中把記帳員加為指定使用者（Designated User），請在那裡終止該權限。如果記帳員或工資服務公司同時也是您在 8655 表上的申報代理人，請另行撤銷：新的 8655 表只從所載期間起終止舊代理人的授權，舊代理人對較早期間仍保有資料揭露的授權，除非您撤銷。請見更換工資服務供應商。

完整的交接，包括檔案、已結帳的月份和申報日期，請見更換記帳員。

範例

以下範例僅供說明，所有數字均以美元計。

牙科診所的遠端記帳員

某家牙科診所的營收為 US$900,000，聘請了一位遠端記帳員。業主先確認她的權限不能放行付款或更改收款人，再在軟體中把她邀請為獨立使用者；每個月寄銀行對帳單給她，並自己保管銀行管理員登入帳號。記帳員每週準備應付帳單清單，只有業主核准並放行付款。業主在銀行和軟體中都開啟了兩步驟登入。

單一成員 LLC 的共用密碼

某家單一成員 LLC 的營收為 US$150,000，多年來一直用同一個密碼，一位以前的幫手仍知道這個密碼。業主為自己和現任記帳員各建立了獨立的登入帳號，更改了那位幫手知道的每一個密碼，並開啟了兩步驟登入。她查看最近幾個月的銀行交易，找出不認識的付款，並在軟體有變更記錄的地方，檢查最近是誰做了變更。

同一封郵件，兩種安排

一封來自外觀相似位址的電子郵件，要求承包人把下一張 US$18,000 的發票付到新帳戶。在記帳員只負責準備清單、由業主放行付款的情況下，業主看到新帳戶，打電話到已簽署合約上的號碼，供應商說沒有發出更改通知。在同一位記帳員還負責放行付款的情況下，錢就匯出去了。業主幾週後在對帳單上發現，要求銀行追回，並移除記帳員的登入帳號。帳簿把這筆付款記成了一般供應商帳單，所以如何更正帳簿，以及如何處理任何損失，需要專業人士判斷。

您的情況不同嗎？

• 同一個人既記帳又付款、記帳員持有唯一的管理員登入帳號，或業主之間對誰核准有分歧： 這樣一來，NIST 所說應當在發起付款和核准付款之間的第二個人就沒有了。請與記帳服務一起確定誰持有哪些權限、付款如何核准，以及每月要檢查什麼。
• 已經出現更改銀行資料的要求或異常付款，或您懷疑有損失： 先處理資金。盜竊損失的時間點和以前年度的帳簿取決於事實，所以在稅表依賴這些月份之前，請讓記帳服務審查受影響的月份。
• 您不確定帳簿是否正確： 請見檢查記帳員的工作。
• 您還沒有聘請記帳員： 請見聘請記帳員前要問的問題、記帳員需要您提供什麼和本地或線上記帳員。
• 記帳員在海外： 請見聘請離岸記帳員。
• 您的工資服務供應商沒有繳納您的稅款： 請按照工資服務供應商指南處理。
• 您想終止合作關係： 請見更換記帳員。