Правило двух
Илья Завьялов о том, как работает правило двух подписей на платёж
В небольшой команде право отправить деньги обычно есть у одного человека, и это удобно ровно до первого неудачного дня. Правило двух подписей на платёж выглядит лишней бюрократией до тех пор, пока не выясняется, что вся защита бюджета держалась на внимательности одного уставшего сотрудника. Ниже разобрано, с какой суммы включать второе подтверждение, кто его даёт, как развести подготовку платежа и его отправку и что делать, когда подписант в отпуске.
Версия на русском языке для Украины.
01
Одна подпись это одна точка отказа
Точка отказа это место, где сбой одного элемента останавливает всю систему. Когда право отправить деньги есть ровно у одного сотрудника, финансовая защита команды сводится к его вниманию в конкретную минуту. Он остаётся единственным барьером между письмом с реквизитами и уходом средств. Именно поэтому правило двух подписей на платёж убирает зависимость всей защиты от состояния одного человека в один конкретный день.
Атакующему при одной подписи достаточно убедить одного, и момент он подбирает сам: конец квартала, вечер пятницы, отъезд руководителя. По данным FBI Internet Crime Complaint Center за 2025 год, компрометация деловой переписки принесла 3,046 миллиарда долларов заявленных потерь и заняла второе место после инвестиционных схем. Эти деньги ушли обычными платежами, которые чаще всего готовил и отправлял один человек.
Вторая половина риска вообще не связана с чужим умыслом. Уставший человек копирует счёт прошлого месяца, теряет разряд в сумме, платит по старым реквизитам подрядчика, который сменил банк полгода назад. Второй участник ловит такие вещи просто потому, что смотрит свежим взглядом и задаёт вопросы, которых первый себе уже не задаёт.
02
Пороговая сумма: где проходит граница
Порог нужен, чтобы процедура не мешала работать. Если второе подтверждение требуется на каждую оплату хостинга, команда через неделю начнёт обходить регламент, и он умрёт сам собой. Разумная точка отсчёта такая: сумма, потеря которой заметна в месячном бюджете и при этом не останавливает работу. Ниже этой границы платёж уходит в одну подпись и попадает в реестр, выше включается вторая.
Одной суммы мало. Есть операции, где второе подтверждение нужно независимо от размера: первый платёж новому получателю, изменение реквизитов действующего, перевод в новую валюту или страну, любая срочная просьба от имени руководителя. Именно на этих операциях чаще всего и теряют деньги.
У любого порога есть очевидная уязвимость: платёж можно разбить на два куска и пройти под лимитом. Поэтому границу считают по сумме платежей одному получателю за короткий период, например за календарную неделю. Тогда правило двух подписей на платёж срабатывает уже на втором куске разбитой суммы. Без реестра, где есть получатель, дата и основание, любой порог остаётся формальностью.
03
Кто подтверждает: роль важнее фамилии
Вторую подпись закрепляют за ролью: владелец бюджета, операционный руководитель, основатель. Люди меняются, роль остаётся, и регламент не приходится переписывать после каждого найма или увольнения. В небольшой команде таких ролей обычно две или три, и этого хватает, чтобы у каждого платежа был предсказуемый подтверждающий.
У подтверждающего должно быть право отказать без последствий для его положения в команде. Когда платёж просит руководитель, а подтверждает его прямой подчинённый, процедура превращается в формальный клик по кнопке. Пару подписантов подбирают так, чтобы между ними не было прямой субординации по этому платежу.
Подтверждающий смотрит на первичный документ: счёт, договор, карточку контрагента с историей реквизитов. Пересказ просьбы в чате основанием для второй подписи не считается, каким бы убедительным он ни выглядел. Полминуты на открытие счёта и сверку получателя стоят дешевле, чем попытка вернуть ушедший перевод, которая чаще всего заканчивается ничем.
04
Разделение обязанностей: кто заводит реквизиты и кто платит
Две подписи под одним и тем же действием защищают слабо, если оба человека видят только итоговую сумму. Поэтому правило двух подписей на платёж работает в паре с разделением обязанностей: один заводит контрагента и реквизиты, другой готовит платёж, третий отправляет. В маленькой команде роли неизбежно совмещаются, и минимальное требование звучит просто: тот, кто внёс реквизиты, по ним деньги не отправляет.
Самая опасная операция это изменение реквизитов действующего подрядчика. Отношения уже есть, доверие наработано, письмо приходит из знакомой переписки, и проверка кажется избыточной формальностью. Поэтому смену банковских данных выводят в отдельную процедуру: подтверждение по ранее известному контакту, отметка в карточке контрагента, дата и автор изменения. Пока подтверждение не получено, платежи этому получателю ждут.
Права доступа устроены по тому же принципу. Банковский токен, доступ к бухгалтерии и право менять карточки контрагентов разводят между разными учётными записями, даже если за ними сидят всего два человека. Общая учётная запись убивает конструкцию целиком: по логам невозможно понять, кто именно подтвердил перевод.
05
Второй канал проверки: голос перестал быть доказательством
Долгое время подтверждением служил звонок: услышал голос руководителя, значит просьба настоящая. Сейчас убедительный клон голоса собирают с записи длиной около трёх секунд, а точность такой подделки доходит примерно до 85 процентов. В эксперименте люди отличали настоящий голос от синтезированного лишь в 37,5 процента случаев, то есть ошибались чаще, чем узнавали.
Отсюда простое следствие для процедуры: голос в трубке подтверждением второй подписи не считается. Обратный звонок делают на номер из договора, а номер, с которого поступила просьба, для проверки не используют. По данным UK Finance за 2025 год, 66 процентов случаев авторизованного платежа начинаются онлайн и ещё 17 процентов проходят через телефонные сети, поэтому проверка обязана уходить в канал, который атакующий не контролирует.
Подделка под известную организацию остаётся самым доходным приёмом. По данным Federal Trade Commission за 2025 год, на подделке под компании потеряли 1 миллиард долларов, причём наибольшие потери пришлись на случаи, когда собеседник представлялся сотрудником банка. Для команды это значит, что звонок из банка проходит ту же процедуру, что и любая другая срочная просьба.
06
Отпуск и болезнь: замещение без дыры в процедуре
Первый вопрос, который убивает процедуру на практике, звучит так: подписант уехал, а платёж горит. Поэтому у каждой роли заранее назначен заместитель, и в его отсутствие правило двух подписей на платёж продолжает действовать силами другой пары. Заместителя объявляют всей команде до отпуска, чтобы его не искали в момент, когда счёт уже просрочен.
Передача пароля или банковского токена коллеге на время отпуска отменяет всю конструкцию за одну минуту. Замещение оформляют через права доступа: заместитель получает собственное подтверждение на срок с датой начала и датой окончания. После возвращения основного подписанта расширенные права снимают, и это отдельный пункт в чек-листе выхода из отпуска.
Болезнь отличается от отпуска тем, что её нельзя запланировать. Здесь помогает короткое правило: если ни один подтверждающий недоступен дольше рабочего дня, платёж ждёт. Исключения описывают заранее и списком: зарплата, налоги, продление домена и хостинга, то есть операции с известным получателем и предсказуемой суммой.
07
Регламент на одну страницу и проверка раз в квартал
Документ, который никто не читает, защиты не даёт. Регламент помещается на одну страницу и отвечает на четыре вопроса: с какой суммы включается второе подтверждение, кто подтверждает по каждой роли, какие операции требуют подписи всегда, что делать при недоступности подписанта. Всё остальное живёт в реестре платежей и карточках контрагентов.
Раз в квартал процедуру проверяют на живых данных. Берут выгрузку платежей за период и считают, сколько операций прошло мимо правила, кто их подтверждал и сколько времени занимало подтверждение. Если обход случается регулярно, причина обычно в слишком низком пороге или в медленном подтверждении, и чинят именно это.
Типичная ошибка внедрения выглядит так: подтверждение нажимают через секунду после запроса, и в системе появляется красивый след двойного контроля при полном отсутствии самого контроля. Лечится это требованием указывать основание: номер счёта, название контрагента, короткая пометка о том, что именно проверено. Записанное правило двух подписей на платёж можно показать новому сотруднику в первый день и проверить по логам через полгода.
| Ситуация | Кто подтверждает | Как фиксируется |
|---|---|---|
| Платёж известному получателю ниже порога | Один исполнитель | Строка в реестре платежей |
| Платёж выше порога | Исполнитель и владелец бюджета | Подтверждение с указанием основания |
| Первый платёж новому получателю | Владелец бюджета, кроме того, кто завёл реквизиты | Звонок по номеру из договора |
| Изменение реквизитов действующего подрядчика | Владелец бюджета и второй подписант | Отметка в карточке контрагента с датой |
| Срочная просьба от имени руководителя | Вторая подпись нужна независимо от суммы | Обратный звонок на известный номер |
| Отпуск или болезнь подписанта | Назначенный заместитель роли | Запись о замещении с датами начала и конца |
| Зарплата, налоги, продление домена и хостинга | Один исполнитель по списку исключений | Ссылка на утверждённый список |
Вопросы и ответы
С какой суммы вводить правило двух подписей на платёж?
От суммы, потеря которой заметна в месячном бюджете и при этом не останавливает работу команды. Порог считают по сумме платежей одному получателю за неделю, иначе его обходят разбивкой на два куска.
Что делать, если в команде всего два человека?
Тогда разделяют шаги: один заводит реквизиты и готовит платёж, второй сверяет его с первичным документом и отправляет. Для операций выше порога добавляют обратный звонок получателю по номеру из договора.
Кто должен ставить вторую подпись: бухгалтер или руководитель?
Подпись закрепляют за ролью владельца бюджета, а фамилия здесь вторична. Важно, чтобы подтверждающий не был прямым подчинённым того, кто просит платёж, иначе отказать он не сможет.
Считается ли подтверждение в мессенджере второй подписью?
Сообщение в чате подтверждает только то, что кто-то написал сообщение. Вторая подпись это действие в платёжной или учётной системе, которое остаётся в логах с именем, временем и основанием.
Как не тормозить работу, если второй подписант в отпуске?
У каждой роли заранее назначен заместитель с собственным доступом на срок с датой начала и окончания. Передавать пароль или банковский токен на время отпуска нельзя, потому что после этого логи перестают показывать, кто именно подтвердил перевод.
Зачем вторая подпись, если банк подтверждает перевод кодом из SMS?
Код из SMS подтверждает, что платёж отправили с вашего устройства, и ничего не говорит о правильности получателя. Вторая подпись проверяет как раз содержание платежа: кому, за что и по каким реквизитам уходят деньги.