Сотрудник сети гипермаркетов спрятал 154 млн долларов (15,8 млрд рублей) за три года.

Продолжаю делиться случаями, когда компании дорого заплатили за халатное отношение к контролю.

Если совсем кратко, то сотрудник делал так, что операционные расходы отражались в составе капитальных. Аудиторы нашли эту «заначку» в ноябре 2024 года только потому, что сотрудник ушел из компании, расходы стали падать туда, куда нужно, и в отчете о прибылях и убытках стала видна разница между периодами. Детали можно почитать в статье: https://nypost.com/2024/11/25/business/rogue-employee-at-macys-hid-up-to-154m-in-expenses/.

В результате:

Деньги никто не воровал. Они оставались в компании. А вот акции Macy’s, по информации авторов статьи, упали на 2,2%. Для репутации компании такие факты обычно тоже ничего хорошего не обозначают.

Почему не нашли раньше?

Деньги из компании не воровали, а сумма расходов (расходы на отправку небольших посылок) вполне могла «упасть» ниже порога материальности.

Что не сработало?

Это самое странное в данном кейсе. Потому что SAP устроен таким образом, что проводки там делаются автоматически на основании закрывающих транзакций. И сделать бухгалтерскую корректировку обычно может человек, у которого есть на это роль.

Поэтому здесь одно из двух:
1. У сотрудника была роль на корректировку бухгалтерских проводок, что является грубым нарушением принципа разделения полномочий.
2. Либо у него была возможность корректировать справочник — классификатор для данного вида расходов, например, при заведении заказа на закупку.

И то и другое невозможно, если контроли в ИТ-системе выстраивались не как попало, а по правилам. Причем контроли совсем базовые.

Что делать?

До среды выложу сюда чек-лист того, что должно быть в корпоративной ИТ-системе, чтобы контроли встраивались в бизнес-процессы как их неотъемлемая часть. Вы сможете уже к концу недели проверить, как это работает у вас.