Это было до того, как я начала заниматься финансовыми расследованиями. Тогда я работала с классическим аудитом: документы, отчётность, соответствие стандартам. Фрод в мои задачи не входил.

Случилось это за пределами России, в международной организации, которая занимается гуманитарной помощью.

Задача звучала скучно Убедиться, что расходы по донорским проектам подтверждены документами, а деньги потрачены по назначению. Организация закупала на средства доноров вещи для получателей помощи: детскую одежду, школьные принадлежности, оборудование для микробизнеса. Затем всё это выдавали людям на местах. Единственным документом, подтверждающим, что закупленное дошло до адресатов, были ведомости выдачи. В каждой строке: получатель, наименование предмета, количество, подпись о получении.

Подписи выглядели странно. В одних строках стояли одинаковые буквы, будто нарисованные по трафарету. В других одна и та же закорючка повторялась напротив десятков разных людей. Человек может расписаться палочкой, за неграмотного может расписаться родственник. Но тридцать одинаковых «подписей» подряд так не объясняются. Мы выгрузили ведомости, сравнили их и запросили первичные документы. Выяснилось, что подписи за получателей ставили сами сотрудники на местах, те, кто должен был выдавать помощь.

Мы пошли к руководителю регионального офиса. Она выслушала вопрос и ответила спокойно, без паузы: «Да, это так. Это нормально. Так должно было быть».

Параллельно мы проверяли, получали ли люди помощь на самом деле, и спрашивали об этом самих получателей. Начали с небольшой выборки и уже в ней нашли двоих, которые сказали, что вещи или оборудование им не выдавали либо выдали меньше, чем записано в ведомости. Для одной ошибки это могло быть совпадением. Мы расширили выборку, и расхождения нашлись снова, ещё в нескольких случаях. Оценить масштаб по такой выборке было нельзя. Но главное стало ясно: ведомости расходились с реальностью не только в подписях. Куда делась недостающая помощь, мы не установили. Её могли присвоить, перепродать или выдать не тем людям. Доказано было расхождение между документом и фактом, а не конкретная схема.

Чем всё закончилось, я не знаю. Проект был временным, и после сдачи результатов я с организацией больше не работала. Решения принимал заказчик.

Что я рекомендую Независимый выборочный обзвон получателей после раздачи. Именно так мы нашли расхождения, и это стоило бы делать на постоянной основе.

- Сверка закупок, склада и выдачи. Сколько купили, сколько вышло со склада, сколько выдали. Эта цепочка должна сходиться без единой подписи. - Цифровая фиксация выдачи: одноразовый код, фото с геометкой в приложении сотрудника. Биометрия возможна, но для уязвимых групп она создаёт собственные вопросы защиты данных, а коды предполагают, что у человека есть телефон. - Разделение функций. Кто закупает, кто выдаёт и кто оформляет бумаги, должны быть разными людьми. - Протокол остановки. Любая аномалия в массиве данных приостанавливает следующие выплаты до выяснения причины.

Такое бывает в любой системе, где закупка, выдача и отчётность сходятся в одних руках, и от страны это не зависит.

Когда человек, отвечающий за офис, искренне не понимает, зачем вы задаёте вопрос, перед вами уже не ошибка, а норма. Фраза «так должно было быть» сказала о проверяемой организации больше, чем все ведомости. И пока подделка подписи остаётся нормой, никакая цифровизация не гарантирует, что помощь дойдёт до людей.

***

Больше практики и новостей в тг-канале Corporate Fish.