2020 年是企业支付领域充满变革的一年。我们见证了数字化的大幅跃升，同时也面临全新挑战。远程办公迫使应付账款部门更多采用 ACH 或直存等电子方式向供应商付款。在许多情况下，企业在尚未充分保障远程网络环境稳定性、且未建立新协议以确保安全处理供应商银行账户信息时，便仓促启动 ACH 付款。这种在新环境下急于电子支付的做法，使企业暴露于各类针对 ACH 付款的欺诈风险之中。
了解 ACH 付款中增加的风险至关重要，尤其是在收到更改银行账户信息的请求时。内部数据显示，此类请求颇为常见，供应商约每四年更换一次银行账户。然而，变更请求也是最常见的欺诈途径，特别是“供应商电子邮件妥协”（VEC）攻击。在此类攻击中，犯罪分子入侵供应商系统，监控发票流程，识别潜在薄弱环节，随后联系应付账款人员要求更新银行账户信息。他们通常在大额付款前安排此类变更；一旦成功，资金将被路由至其专门设立并在收款后立即关闭的账户。
应付账款团队在收到更改银行信息的请求时需保持警惕，但事实上，始终安全地处理银行账户数据更为关键。若数据被截获，将为欺诈者提供燃料，使其骗局更具可信度。IT 部门需保护公司网络和环境的网络安全，而应付账款部门则需建立严格、可重复的流程来收集、验证和存储这些信息。
收集数据
首先明确需要存储的信息。除路由号、账号和其他付款信息外，可能还需添加安全问题或其他唯一标识信息。
此类信息绝不应通过电子邮件传输，因为这极不安全。人们在使用该通信方式分享信息时的开放程度令人震惊。关于商业电子邮件诈骗（BEC）的认知仍存在诸多盲区。FBI 记录显示，2016 年 6 月至 2019 年 7 月期间，BEC 造成的损失超过 260 亿美元。根据《2020 年 AFP 支付与欺诈控制调查报告》，去年 BEC 是最常见的欺诈攻击类型，75% 的组织遭受过此类攻击，54% 的组织报告了财务损失。
随着此类攻击日益增多，银行数据确实应通过安全门户或加密电子邮件发送。在新供应商关系初期，人们往往出于信任急于为其开通支付功能以简化流程，切勿如此。安全至上，应向供应商明确说明此举旨在保护双方利益。若对方对此提出抵触，则是一个危险信号。尽管在供应商入职阶段邮箱被入侵的情况并不常见，但要求对流程进行例外处理（尤其是伴随紧迫感时）通常是网络钓鱼或欺诈的典型特征。务必确保团队接受充分培训，以便在此类情形下及时警觉。
不仅是在供应商启用过程中需要保护此类信息，供应商也常通过电子邮件发送包含银行路由号和账户信息的发票。这虽出于方便客户付款的好意，但也存在风险。使用安全门户是最佳解决方案。
在通过电话接收敏感信息时，务必建立电话验证程序，以确保通话对象是供应商的授权代表。
验证与安全保障
首次与供应商建立合作关系时，应付账款团队应与采购部门协作，验证所有合同信息。还可考虑使用连接至银行网络的第三方工具或服务提供商，以验证和确认账户身份及所有权，市场上此类工具众多。
若您将现有供应商从支票付款切换为 ACH（自动清算所）付款，可能已获取其部分银行数据，这可作为变更前交叉核对信息的另一种方式。
验证完成后，必须安全存储相关信息。若以纸质形式保存，公司应采取物理防护措施（如锁入文件柜）；但在远程办公时代，文件常被置于办公桌、车内或家中，风险倍增。许多公司将供应商数据保存在电子表格中，一旦这些信息被截获，将面临巨大风险。
在 ERP 系统中存储供应商银行信息时，应通过严格的权限工作流程和对当前用户活动的频繁审计，确保访问受到严格控制。
随着传统上高度依赖支票支付的公司急于满足电子支付需求，可能会忽略保护供应商银行数据的关键步骤。因此，应与 IT、安全和合规团队合作，构建强大的访问、监控和审查体系。在资源和技能有限的情况下，将责任外包给支付服务提供商也是值得考虑的选项。
面对快速变化和新出现的安全威胁，过度关注最坏情况可能会让人感到无助和不堪重负。充分准备是成功应对变化的关键。识别这些场景将有助于您在安全转型应付账款流程的过程中，预测并为前方的挑战与陷阱做好准备。
________________________________________________________________