Форензик — работа по факту. К нему приходят, когда злоупотребление уже установлено или обоснованно предполагается: аналитика показала расхождение, поступил сигнал, обнаружилась недостача. Задача расследования — восстановить, как это было устроено, установить круг участников и их связи, рассчитать размер ущерба и определить, что из этого можно доказать. Результат — реконструкция схемы, подтверждённая аффилированность, расчёт потерь и доказательная база, пригодная для кадрового, гражданско-правового или судебного решения. Что делать с этим дальше, решаете вы: мы не инициируем ни одного из вариантов самостоятельно.

Работа ведётся по восьми независимым источникам, и главное происходит на их пересечении. Ни один источник сам по себе не доказывает ничего: табель говорит, что человек работал; система контроля доступа — что он не проходил на территорию; геолокация служебного автомобиля — где он был в это время; начисления — что оплата произведена. По отдельности каждый факт объясним, и почти всегда объяснение находится. Вместе они перестают объясняться. Эти источники заполнялись разными людьми, в разное время и между собой не сверялись — согласованно подделать их не удаётся почти никому.

Исправление акта сверки в PDF-формате.
Подписание акта приёма-передачи помещения задним числом — без реального расширения площадей.
Оплата бухгалтерией акта, подписанного неуполномоченным лицом.
Указание в акте о ремонте оборудования замены несуществующей дорогостоящей детали.

Аванс на шесть месяцев вперёд под несуществующий ремонт — выведен наличными через подрядчика.
Расторжение дорогого договора с уплатой пени и заключение нового с тем же подрядчиком по цене выше первоначальной.
Переуступка дебиторской задолженности аффилированному фактору по заниженной ставке.
Продажа «своему» клиенту по заниженной цене — разница компенсируется менеджеру наличными.

Ежемесячная ручная корректировка строки «прочие расходы» без расшифровки.
Ведение отдельных файлов по доходам и движению денежных средств, не попадающих в отчёт перед собственником.
Перенос выручки с одного периода на другой и с одного сотрудника на другого — для выполнения KPI и получения повышенного коэффициента.
Отсутствие актов сверки с крупным поставщиком более года: умышленная потеря контроля.

Установка кейлоггера на рабочую станцию финансового директора или казначея.
Подключение постороннего ноутбука к локальной сети под видом технического обслуживания.
Маскировка архива с выгрузкой данных по конкурентам и поставщикам под системный файл.
Геолокация служебного автомобиля у склада компании в три часа ночи — за неделю до обнаружения пропажи товара.

Документы и учётные системы · от 4 до 10 дней на блок
Здесь ищется не ошибка, а след правки: кто, когда и под чьей учётной записью менял то, что уже было закрыто

Первичная бухгалтерия — накладные, акты, счета-фактуры — выборочная проверка на фиктивные и «технические» документы, сплошная проверка за один месяц, кросс-сверка с логистикой. Выявляет: завышение объёмов и цен без фактической поставки; встречные накладные от фирм-однодневок с одинаковыми суммами; исправление дат и сумм задним числом без подписей; включение в акты работ, выполненных штатными сотрудниками; дублирование одной поставки по двум договорам; подпись неуполномоченным лицом — например, водителем вместо директора. 10 рабочих дней на одно юридическое лицо.

Учётные системы (ERP, УТ, ЗУП, SAP) — сравнение управленческого и бухгалтерского учёта, анализ корректировок, контроль версий документов. Выявляет: фиктивные списания материалов в производство с последующей пересортицей; правки в закрытые периоды под учётной записью главного бухгалтера или финансового директора в его выходной день; начисление премий за продажи «своим» контрагентам по завышенной цене; займы сотрудникам с прощением долга и неудержанием налога; списание недостачи на издержки без инвентаризации; документы задним числом для переноса прибыли на следующий квартал. 4 дня на 1 ТБ.

Договоры и счета в CRM — сравнение версий файлов и метаданных, анализ истории изменений, проверка процесса согласований. Выявляет: замену PDF-договора после подписания на версию с другими ценой и сроками; дублирующий договор с тем же контрагентом на личные реквизиты менеджера; согласование договора без заявки на закупку; изменение срока действия договора после его окончания для списания дебиторской задолженности; условие о премии за досрочную оплату в адрес карты физического лица. 4 дня на базу из 500 договоров.

Движение денежных средств · 5 дней на год операций
Единственный источник, который показывает не намерение, а результат: куда деньги ушли в действительности. Отсюда же строятся связи между контрагентами, которые в документах никак не пересекаются

Товар и люди · 3–4 дня на стандартный объём
Два источника, которые проверяются сопоставлением с физической реальностью: остатки — с фактическим наличием, табели — со скуд и видеонаблюдением

Складской учёт (1С, WMS, файлы Excel) — выявление потенциальной несходимости документов и физических остатков для последующей проверки выборочной инвентаризацией, анализ частоты списаний брака. Выявляет: списание металлолома и брака с последующим вывозом; неоприходование поступившего товара; оформление фиктивного брака по истечении гарантии на годный товар; подмену дорогого товара дешёвым аналогом при отгрузке с закрытием через пересорт; смешивание аналогов при приёмке. 4 дня на склад до 5 000 позиций.

Кадровые документы — штатное расписание, приказы, табели — сравнение с данными пропускной системы и системы контроля доступа, анализ геолокаций, анализ начислений в фонды. Выявляет: «мёртвые души»; начисление заработной платы уволенному работнику в течение двух-трёх месяцев после увольнения со сменой реквизитов на карту лица, связанного с кадровиком или бухгалтером; фиктивные командировки с присвоением суточных и стоимости билетов; больничные листы без фактической болезни; сверхурочные часы, внесённые задним числом за уже оплаченную норму; оформление родственников на четверть ставки. 3 дня на 100 человек.

Коммуникации и доступы · 3–5 дней на единицу объёма
Источники, которые чаще всего показывают не сам факт, а подготовку к нему и последующую зачистку: кто и когда получал доступ, что удалялось и в какое время

Определение предмета. Что именно предполагается: конкретный эпизод, конкретное лицо или расхождение в данных без установленного виновника. От этого зависит состав источников.
Ограничение круга осведомлённых. Критично: при утечке информации о расследовании данные уничтожаются в первые же часы — прежде всего журналы событий и переписка.
Фиксация данных. Копии снимаются в порядке, обеспечивающем неизменность исходных данных. Оригиналы не редактируются.

Анализ по каждому источнику отдельно — выявление аномалий внутри массива.
Сопоставление источников между собой — основная часть работы: именно здесь единичные объяснимые факты складываются в схему.
Установление круга участников и аффилированности — построение графа связей по контрагентам, реквизитам, адресам и совпадениям в данных.
Расчёт ущерба — с разделением на подтверждённую и предполагаемую части.

Основания доступа. Работа ведётся по вашему письменному поручению, в отношении корпоративных систем и служебной информации компании. Доступ к корпоративной почте и журналам событий возможен при наличии соответствующих локальных нормативных актов, с которыми работники ознакомлены.
Мы не заменяем правоохранительные органы и не ведём оперативной работы. Наш инструмент — данные, документы и их доказательный анализ.
Статус результата. Отчёт по результатам расследования не является заключением судебного эксперта. Это материалы, пригодные для принятия кадрового или гражданско-правового решения, для обращения в правоохранительные органы и для назначения экспертизы в рамках процесса.
Конфиденциальность. Ограниченный доступ к данным, уничтожение рабочих материалов по завершении работы, при необходимости — работа на серверах компании.

Есть подозрение, но нет опоры в данных. Расследование в этой ситуации дороже и медленнее, чем нужно: оно предполагает сплошную работу там, где достаточно было бы посчитать. Начните с анализа — он покажет, есть ли расхождение и на каком участке. Если расхождения нет, вы сэкономите и деньги, и отношения в компании.

Расследование закрывает эпизод, но не причину. Схема существовала потому, что процедура её допускала, и после ухода конкретных людей возможность остаётся. По медианной оценке ACFE злоупотребление выявляется примерно через год после начала — этот год оплачивает собственник. Логичное продолжение — постановка контроля на том участке, где схема работала.

Аудит подтверждает достоверность отчётности по формальным правилам и работает выборочно, исходя из существенности. Форензик исходит из предположения, что документы могли быть изготовлены специально, и потому проверяет их не на соответствие правилам, а на соответствие другим источникам. Аудитор смотрит документ; мы сопоставляем документ с банк-клиентом, с журналом доступа, с проходной и с геолокацией.

Отчёт не является заключением судебного эксперта — назначение экспертизы относится к компетенции суда. Материалы расследования пригодны для кадрового и гражданско-правового решения, для обращения в правоохранительные органы и как основание для назначения экспертизы. Порядок фиксации данных мы соблюдаем именно с этим расчётом.

Речь идёт о корпоративных системах и служебной информации компании, доступ к которым осуществляется по вашему поручению. Условие — наличие локальных нормативных актов о порядке использования корпоративных ресурсов и об ознакомлении с ними работников под подпись. Если таких документов нет, их подготовка входит в первый этап работы.

Сроки указаны на единицу объёма: десять рабочих дней на юридическое лицо по первичным документам, пять дней на год банковских операций, три дня на сто человек по кадровым документам. Полный охват всех восьми источников требуется редко — состав определяется характером предполагаемой схемы.

На первой консультации определяется, что именно предполагается, какие источники для этого нужны и сколько времени займёт работа. Сроки на единицу объёма известны заранее, поэтому оценку вы получаете сразу, а не после погружения. Если по результатам разговора выяснится, что расследование преждевременно, мы скажем об этом прямо и предложим начать с анализа.

Форензик: финансовое расследование

Что «Де Факто» может сделать для вас

Что выявляет расследование

Источники данных

Как устроена работа

Подготовка

Исследование

Правовые условия и статус материалов

Когда форензик нужен, а когда рано

Вопросы и возражения

Материалы по теме

Начните с оценки объёма