Kontrakt podpisany, wszystko technicznie poprawne. Trzy miesiące później okazuje się, że osoba, która złożyła podpis po stronie podwykonawcy, nie miała prawa reprezentować spółki.
Albo inny scenariusz: dzień przed płatnością końcową przychodzi mail ze zmianą rachunku bankowego. W obu przypadkach podpis był bez zarzutu. Problem leżał wcześniej niż podpis.
To rozróżnienie ma konkretne konsekwencje finansowe i prawne, a w budownictwie - z długimi łańcuchami podwykonawstwa i wysokimi kwotami przelewów - pojawia się częściej niż w większości innych branż.
Materiał ma charakter biznesowy i nie zastępuje analizy prawnej konkretnego przypadku.
Kluczowe wnioski:
- Weryfikacja podpisu i weryfikacja reprezentacji to dwie odrębne kontrole - żadna platforma nie łączy ich automatycznie.
- Skuteczność czynności prawnej zależy od umocowania osoby podpisującej, nie od technicznej poprawności podpisu.
- Business email compromise w budownictwie jest szczególnie skuteczny: rozproszona korespondencja między budową, centralą i księgowością, wysokie kwoty przelewów, wiele stron w łańcuchu.
- Zmiana rachunku bankowego kontrahenta tuż przed płatnością to najczęstszy schemat fraudu - poprawność podpisu pod dyspozycją niczego w tej sprawie nie rozstrzyga.
- Weryfikację reprezentacji warto powtarzać w czterech momentach: przy prekwalifikacji, przed podpisem umowy, przed przyznaniem dostępu do dokumentacji i przed płatnością końcową.
Dwie kontrole, które firmy mylą ze sobą
Platforma do podpisu elektronicznego odpowiada na jedno pytanie: czy podpis jest technicznie poprawny. Sprawdza integralność dokumentu, tożsamość podpisującego w ramach wybranej metody weryfikacji, znacznik czasu. To ważna kontrola, ale to tylko jedna z dwóch, które muszą zostać spełnione, żeby umowa była skuteczna.
Druga kontrola dotyczy czegoś, czego żadna platforma nie sprawdza automatycznie: czy osoba, która złożyła podpis, miała prawo reprezentować drugą stronę. Reprezentant spółki musi mieć do tego umocowanie - wynikające z wpisu w rejestrze, z pełnomocnictwa albo z uchwały organu. Jeśli tego umocowania nie było, art. 103 Kodeksu cywilnego mówi wprost: czynność prawna dokonana bez umocowania jest bezskuteczna, dopóki osoba, w imieniu której działano, jej nie potwierdzi.
Innymi słowy: podpis może przejść każdy test techniczny i mimo to nie wiązać drugiej strony. Firmy, które utożsamiają "podpis jest poprawny" z "kontrakt jest ważny", stosują antypattern, który można nazwać podpisem jako jedyną kontrolą. Weryfikują jedno pole ryzyka i zakładają, że drugie zostało pokryte przy okazji.
Kiedy i co weryfikować
Weryfikacja reprezentacji nie jest jednorazową czynnością przy pierwszym kontakcie z podwykonawcą. Dane się zmieniają - zarząd, prokura, adres, czasem właściciel spółki. Sensowna procedura wraca do tego pytania w pięciu momentach:
- Przy prekwalifikacji do zapytania ofertowego - rejestr, beneficjenci rzeczywiści, sprawdzenie list PEP i sankcji.
- Przed podpisaniem umowy - kto może reprezentować spółkę, w jakim zakresie, czy potrzebna jest zgoda organu wewnętrznego.
- Przed przyznaniem dostępu do dokumentacji projektowej - ta sama weryfikacja co przy podpisie umowy, tylko w innym momencie procesu.
- Przy rekwalifikacji stałych podwykonawców - firma, z którą współpracujecie od lat, mogła w międzyczasie zmienić zarząd albo strukturę właścicielską.
- Przed płatnością końcową - szczególnie gdy zmieniają się dane bankowe kontrahenta.
Ten ostatni punkt jest najczęściej pomijany, a jednocześnie najbardziej kosztowny w razie błędu.
Nowy kontrahent, nowa relacja - dlaczego pierwsza umowa wymaga innej uwagi niż kolejne
Moment, w którym firma po raz pierwszy podpisuje umowę z danym podwykonawcą, różni się od wszystkich kolejnych. Nie ma jeszcze historii współpracy, nie ma wcześniejszych faktur do porównania, nie ma numeru telefonu sprawdzonego przy poprzednim kontrakcie. Każda informacja o kontrahencie pochodzi z dokumentów, które on sam dostarczył - a to właśnie ten moment atakujący i nierzetelni kontrahenci wykorzystują najchętniej, bo firma nie ma jeszcze punktu odniesienia, żeby wychwycić anomalię.
Zanim dojdzie do podpisu pierwszej umowy, warto zamknąć trzy pytania:
- Czy spółka faktycznie istnieje i działa - status w KRS lub CEIDG, data rejestracji, czy nie toczy się postępowanie likwidacyjne lub upadłościowe.
- Kto ma prawo ją reprezentować i w jakim zakresie - jednoosobowo, łącznie, przez pełnomocnika, z ograniczeniami wynikającymi z umowy spółki.
- Czy kontrahent nie figuruje na listach sankcyjnych lub PEP i nie ma powiązań, które wykluczałyby współpracę - szczególnie istotne przy projektach z udziałem inwestorów publicznych lub finansowaniem zewnętrznym.
Koszt pominięcia tego kroku ujawnia się zwykle nie przy podpisie, tylko później - przy sporze o ważność umowy, przy kontroli finansowania albo w momencie, gdy okazuje się, że firma współpracowała z podmiotem objętym sankcjami.
Weryfikacja nowego kontrahenta jest jednorazowym kosztem czasu na starcie relacji. Brak weryfikacji jest kosztem, który ujawnia się dopiero wtedy, gdy jest już za późno, żeby się z niego wycofać bez strat.
Business email compromise w budownictwie - dlaczego to tu działa szczególnie dobrze
Mechanizm jest prosty: atakujący przejmuje skrzynkę pocztową kontrahenta albo tworzy adres łudząco podobny do prawdziwego, po czym wysyła wiadomość z prośbą o zmianę danych do przelewu. Nic w tej wiadomości nie musi wyglądać podejrzanie - ton, szata graficzna i kontekst rozmowy są prawidłowe, bo atakujący czytał wcześniejszą korespondencję.
Budownictwo jest dla tego schematu środowiskiem wyjątkowo sprzyjającym z kilku powodów naraz. Korespondencja jest rozproszona między budowę, centralę i księgowość, więc trudniej zauważyć anomalię. Kwoty przelewów - zwłaszcza płatności końcowych i rozliczeń kamieni milowych - są wysokie, co czyni je atrakcyjnym celem. W łańcuchu uczestniczy wiele stron: inwestor, generalny wykonawca, podwykonawca, czasem inspektor nadzoru, a każda dodatkowa strona to dodatkowy punkt, w którym może dojść do przejęcia komunikacji.
Schemat najczęściej wygląda tak: mail ze zmianą rachunku bankowego przychodzi krótko przed płatnością końcową, kiedy presja czasowa jest największa, a dział finansowy chce zamknąć rozliczenie. Sama poprawność podpisu pod dyspozycją przelewu nie rozstrzyga w tej sytuacji niczego - dyspozycja może być podpisana prawidłowo przez osobę po stronie GW i mimo to trafić na rachunek kontrolowany przez oszusta. Potrzebna jest weryfikacja danych rejestrowych nowego rachunku oraz kontakt kanałem innym niż ten, z którego przyszło żądanie zmiany.
Procedura przy zmianie rachunku bankowego kontrahenta
Poniższa sekwencja nadaje się do wdrożenia jako checklista w dziale finansowym lub procurement, niezależnie od tego, jakich narzędzi firma używa:
- Nie potwierdzaj zmiany kanałem, którym przyszło żądanie. Jeśli mail prosi o zmianę rachunku, odpowiedź mailowa na ten sam adres nic nie weryfikuje.
- Zadzwoń na numer znany z wcześniejszej dokumentacji - z umowy, z wcześniejszej korespondencji, z rejestru kontrahentów. Nie z numeru podanego w mailu ze zmianą.
- Zweryfikuj nowe dane w rejestrze - NIP, REGON, KRS. Zmiana rachunku bankowego powinna dać się powiązać z faktycznie istniejącą i działającą spółką.
- Udokumentuj weryfikację - kto sprawdził, kiedy, jakim kanałem. Ten zapis ma znaczenie zarówno operacyjne, jak i dowodowe, gdyby sprawa trafiła do sądu lub ubezpieczyciela.
Ten sam mechanizm warto stosować przy płatności końcowej, gdy w firmie kontrahenta zmienia się ekipa zarządzająca albo właściciel - moment przejściowy jest równie atrakcyjny dla atakującego, co zmiana rachunku.
Co można wdrożyć niezależnie od narzędzia
Część zabezpieczeń nie wymaga żadnej inwestycji w technologię - wymaga tylko konsekwencji:
- Procedura weryfikacji jako obowiązujący standard dla procurement i finansów, a nie dobra praktyka stosowana od przypadku do przypadku.
- Klauzula w umowie zobowiązująca kontrahenta do potwierdzenia każdej zmiany danych rozliczeniowych kanałem niezależnym od maila.
- Czteropunktowa lista kontrolna z poprzedniej sekcji, stosowana przed każdą wypłatą powyżej ustalonego progu kwotowego.
Wdrożenie tych trzech elementów kosztuje czas na ustalenie procedury, nie budżet na narzędzie. To dobry punkt startowy, zanim firma zacznie rozważać automatyzację.
Kiedy warto sięgnąć po narzędzie do weryfikacji tożsamości i danych firm
Procedura manualna działa, dopóki liczba podwykonawców jest niewielka. Przy kilkudziesięciu aktywnych kontraktach ręczne sprawdzanie rejestru, PEP i sankcji przy każdym z pięciu wymienionych momentów przestaje być powtarzalne - zależy od tego, czy akurat ktoś pamięta, żeby to zrobić.
Autenti eID w module KYB pozwala zweryfikować kontrahenta przed podpisaniem umowy w ponad 100 bazach naraz i wygenerować z tej weryfikacji raport, który stanowi dowód. Sprawdzeniu podlegają listy PEP i sankcyjne, oraz umocowanie osoby do reprezentowania spółki.
Dla działu finansowego oznacza to, że sprawdzenie reprezentacji nie jest już zależne od tego, czy ktoś pamiętał o dodatkowym mailu do rejestru - staje się jednym krokiem wykonanym przed podpisem, z gotowym dowodem na wypadek audytu.
Jeśli w firmie doszło już do incydentu związanego ze zmianą rachunku bankowego albo z podważeniem umocowania osoby podpisującej, to dobry moment, żeby sprawdzić, w którym z czterech wymienionych momentów weryfikacja aktualnie się nie odbywa.
Najczęściej zadawane pytania:
Czy Autenti weryfikuje, czy osoba podpisująca ma umocowanie do reprezentowania firmy?
Autenti eID KYC weryfikuje tożsamość osoby składającej podpis przed procesem podpisywania dokumentu. Weryfikacja formalnego umocowania do reprezentowania spółki - czy dana osoba figuruje w rejestrze jako uprawniona - to odrębna kontrola z użyciem Autenti eID KYB, którą warto łączyć z weryfikacją tożsamości.
Jak sprawdzić, kto może reprezentować spółkę z o.o. przed podpisaniem umowy?
Podstawowym źródłem jest odpis z Krajowego Rejestru Sądowego, który wskazuje osoby uprawnione do reprezentacji i sposób reprezentacji (jednoosobowo czy łącznie). Jeśli umowę podpisuje pełnomocnik, dodatkowo należy sprawdzić zakres i ważność pełnomocnictwa.
Co oznacza weryfikacja beneficjenta rzeczywistego i kiedy jest obowiązkowa?
Weryfikacja beneficjenta rzeczywistego polega na ustaleniu osoby fizycznej, która faktycznie kontroluje spółkę, niezależnie od formalnej struktury właścicielskiej wskazanej w rejestrze. W praktyce robi się to poprzez sprawdzenie Centralnego Rejestru Beneficjentów Rzeczywistych, najczęściej przy prekwalifikacji kontrahenta i przy transakcjach o podwyższonym ryzyku.
Jak udokumentować weryfikację reprezentacji na potrzeby audytu?
Wystarczający zapis obejmuje datę weryfikacji, osobę, która ją przeprowadziła, źródło danych (rejestr, pełnomocnictwo, kontakt telefoniczny) oraz wynik sprawdzenia. Taki zapis powinien być przechowywany razem z dokumentacją kontraktową, żeby dało się go odtworzyć przy sporze lub kontroli. Najlepiej jeżeli taki raport zostanie opatrzony kwalifikowaną pieczęcią elektroniczną firmy.
Jeśli temat weryfikacji podwykonawców i ryzyka finansowego przy zmianie danych rozliczeniowych dotyczy Państwa organizacji, zobacz, jak Autenti wspiera firmy budowlane w budowaniu powtarzalnego procesu weryfikacji na dużą skalę.
