Правило двох
Правило двох підписів на платіж: поріг, ролі та підміни, які описує Ілля Зав'ялов
Мала команда рідко тримає окремого фінансиста, тому платіж зазвичай іде з одного акаунта і з одного рішення. Поки суми дрібні, це виглядає як економія часу. Коли з'являється рахунок розміром з місячний бюджет, та сама швидкість стає вразливістю. Нижче розібрано правило двох підписів на платіж: з якого порога воно вмикається, хто підтверджує і що робити, коли друга людина у відпустці.
Версія українською мовою для України.
01
Чому один підпис це одна точка відмови
У малій команді оплата тримається на одній людині. Вона має доступ до банку, знає підрядників і сама вирішує, коли натиснути кнопку. Поки з цією людиною все гаразд, схема виглядає ідеальною: рішення ухвалюється за хвилину, погоджень немає. Проблема в тому, що будь-який збій саме в цій точці одразу стає збоєм усього платіжного процесу.
Точка відмови має три прояви. Перший це звичайна помилка: не та цифра, старі реквізити, схожа назва отримувача. Другий це тиск ззовні, коли на людину виходять від імені керівника чи банку і просять перерахувати негайно. Третій це компрометація доступу, коли платіж робить хтось інший від її імені. Саме тому правило двох підписів на платіж не прибирає жоден із цих проявів, воно вимагає, щоб для успішного списання схибили двоє.
Масштаб другого прояву видно зі звітності. за даними fbi internet crime complaint center, компрометація ділового листування забрала у 2025 році 3,046 мільярда доларів, поступившись за розміром лише інвестиційним схемам. Federal Trade Commission окремо рахує підробку під компанії: близько мільярда доларів, причому найбільші втрати там, де співрозмовник представлявся працівником банку. Обидві цифри описують атаку на людину з правом підпису.
02
Поріг суми: з якої цифри вмикається друга людина
Правило починається з порога. Якщо друге підтвердження потрібне на кожну підписку за десять доларів, команда за тиждень навчиться погоджувати не читаючи, і підпис перетвориться на формальність. завдання порогу відсіяти дрібні рутинні операції і тримати під контролем саме ті суми, втрата яких буде відчутною для бюджету.
Поріг зручно рахувати від місячного обороту команди. Кругла цифра з чужої інструкції тут майже завжди промахується: для команди з трьох людей і для команди з тридцяти відчутна сума відрізняється в рази. Робочий орієнтир такий: поріг стоїть нижче за суму, втрату якої команда не переживе спокійно, і вище за типову дрібну оплату. Перегляд порога раз на квартал займає п'ять хвилин.
Крім суми, є ознаки, що вмикають другий підпис незалежно від цифри. Перша оплата новому отримувачу. Зміна банківських реквізитів у давнього підрядника. Платіж на картку фізичної особи замість рахунку компанії. Терміновість, яку принесли ззовні. Тому правило двох підписів на платіж має спрацьовувати на кожній із цих ознак, навіть коли сума виглядає безпечною.
03
Хто підтверджує: розділення обов'язків замість двох кліків
Другий підпис має сенс тільки тоді, коли його ставить інша роль. Якщо одна людина заводить нового отримувача в банку, вона ж готує платіж і вона ж підтверджує його з другого пристрою, виходять два кліки однієї руки. Розділення обов'язків означає просту річ: той, хто створив отримувача, і той, хто дозволив списання, це різні люди.
Підтверджувач працює за вузьким переліком. Отримувач збігається з тим, що вказано в договорі. Реквізити взято з договору або з особистого кабінету підрядника, і жодного разу з листа, який приніс саме цей платіж. Сума відповідає акту чи рахунку. Причина терміновості, якщо вона є, походить зсередини команди.
У команді з двох людей другим підписом може бути зовнішній бухгалтер, партнер або співзасновник. Головна умова стосується повноважень: підтверджувач має право відмовити, і ця відмова не псує йому стосунки всередині команди. Якщо друга людина формально призначена, але заперечити керівнику не наважується, підпис існує лише на папері. Такий самий ефект дає підтверджувач, який ніколи не бачив договорів і фізично не може звірити реквізити.
04
Канал підтвердження важить більше, ніж сам факт підтвердження
Друге підтвердження має приходити іншим каналом, ніж прохання про платіж. Прохання надійшло поштою, підтверджуємо голосом за збереженим номером. Прохання надійшло в месенджері, підтверджуємо в банківському кабінеті або особисто. Підтвердження всередині тієї самої переписки нічого не доводить: якщо нападник контролює скриньку, він контролює і відповідь у ній.
Голос перестав бути доказом особи. Переконливий клон роблять із запису тривалістю близько трьох секунд, і він дає приблизно 85 відсотків точності. В експерименті люди відрізняли живий голос від підробки лише в 37,5 відсотка випадків, тобто на рівні підкидання монети. Дзвінок, у якому знайомий голос просить провести оплату, тепер потребує зустрічної перевірки так само, як лист.
Практична форма зустрічної перевірки проста. Підтверджувач сам набирає номер, збережений у контактах заздалегідь, і залишає без уваги номер із листа чи з екрана вхідного виклику. Команда домовляється про коротке контрольне питання, відповіді на яке немає в публічних профілях. У підсумку правило двох підписів на платіж працює рівно настільки, наскільки надійний другий канал.
05
Відпустка, хвороба, ніч: як правило не ламається на підміні
Найчастіше правило вмирає у першу ж відпустку. Підтверджувач недоступний, платіж горить, і команда одноразово пропускає його без другого підпису. Далі виняток повторюється, і за пару місяців процес повертається до однієї людини та однієї кнопки.
Лікує це заздалегідь призначена підміна. Список складають наперед, у спокійний момент: для кожного підтверджувача записаний дублер і порядок передавання справ. У момент, коли платіж уже прострочений, вибір дублера відбувається під тиском, і підтверджувачем стає той, хто просто першим відповів у чаті.
Доступ дублера потребує окремої акуратності. Спільний пароль замість власного доступу знищує сам сенс двох підписів, бо в журналі банку залишиться один і той самий вхід. Дублер отримує власний обліковий запис із правом підтвердження і без права заводити отримувачів. Права на час відпустки видають із датою завершення, інакше через рік підтверджувати зможе половина команди.
06
Термінові платежі та журнал винятків
Винятки будуть, і краще описати їх заздалегідь. На практиці правило двох підписів на платіж витримує реальність тільки тоді, коли має заздалегідь описаний виняток. Дозволений сценарій виглядає так: платіж вище порога проходить з одним підписом лише тоді, коли зупинка коштує дорожче за ризик, а друге підтвердження ставиться протягом наступного робочого дня.
Кожен виняток потрапляє в журнал: дата, сума, отримувач, хто дозволив, чому не можна було чекати. Журнал нікого не карає, він показує статистику. Якщо винятків більше кількох на місяць, поріг занизький або процес підтвердження незручний, і виправляти треба процес.
Терміновість залишається основним інструментом тих, хто виманює платежі. UK Finance за 2025 рік порахувала 248 070 випадків авторизованого платежу, тобто переказів, які жертва зробила власними руками, на 576,4 мільйона фунтів. Спільна риса таких випадків це стислий час на рішення. Вимога другого підпису саме на терміновому платежі забирає в нападника головну перевагу.
07
Як перевірити, що правило справді виконується
Написане правило і виконуване правило це різні речі. Перевіряти варто поведінку: питання «чи знаєте ви наш порядок оплат» дає стовідсоткову відповідь і нічого не показує. Корисніший навчальний прогін, коли хтось із команди за домовленістю з керівником надсилає прохання про терміновий переказ від його імені і фіксує, що станеться далі.
У прогоні дивляться три речі. Чи запросив виконавець друге підтвердження. Чи пішов підтверджувач іншим каналом. Скільки хвилин зайняла перевірка, бо надто повільну процедуру згодом почнуть обходити. Результат обговорюють без пошуку винних, інакше наступного разу команда просто приховає помилку.
Для щоденного контролю вистачає трьох чисел за місяць: скільки платежів вище порога пройшло з двома підписами, скільки пройшло як виняток і скільки разів другий підпис зупинив платіж. Останнє число найцінніше. Поки воно тримається на нулі кілька місяців поспіль, варто перевірити, чи справді підтверджувач читає те, що погоджує. Правило двох підписів на платіж має сенс лише як звичка, яку команда виконує в незручний момент.
| Ситуація | Хто підтверджує другим | Що він перевіряє |
|---|---|---|
| Сума нижче порога, знайомий отримувач | Другий підпис не потрібен | Збіг реквізитів з попередньою оплатою |
| Сума вище порога | Друга людина зі списку підтверджувачів | Суму, отримувача і рахунок за договором |
| Перша оплата новому отримувачу | Друга людина незалежно від суми | Договір і реквізити з першоджерела |
| Зміна реквізитів давнього підрядника | Друга людина плюс дзвінок на збережений номер | Хто саме просив зміну і коли |
| Термінова оплата поза робочим часом | Черговий дублер зі списку підмін | Джерело терміновості та причину поспіху |
| Підтверджувач у відпустці або на лікарняному | Заздалегідь призначена підміна | Той самий перелік, що й основний підтверджувач |
| Платіж на картку фізичної особи | Друга людина і письмове погодження | Підставу для оплати поза рахунком компанії |
Питання і відповіді
З якої суми має вмикатися правило двох підписів на платіж?
Поріг рахують від місячного обороту команди, тому універсальної цифри тут немає. Орієнтир такий: поріг стоїть нижче за суму, втрату якої команда не переживе спокійно, і вище за звичайну дрібну оплату. Перегляд порога раз на квартал тримає його в реальності.
Чи має сенс друга підпис у команді з двох людей?
Так, якщо другим підтверджувачем стає зовнішній бухгалтер, партнер або співзасновник. Важливо, щоб ця людина мала право відмовити без наслідків для стосунків усередині команди. Формально призначений підтверджувач, який ніколи не заперечує, нічого не захищає.
Що робити з платежем, якщо підтверджувач у відпустці?
Для кожного підтверджувача заздалегідь записують дублера з власним доступом і правом підтвердження. Права видають із датою завершення, щоб через рік підтверджувати не могла половина команди. Вибір дублера в момент, коли платіж уже горить, зазвичай закінчується підписом випадкової людини.
Чи достатньо підтвердити платіж у тому самому чаті, звідки прийшло прохання?
Ні, підтвердження в тому самому каналі нічого не доводить. Якщо нападник контролює пошту чи месенджер, він контролює і відповідь у цій самій переписці. Друге підтвердження йде окремим каналом: дзвінок на збережений номер, банківський кабінет або розмова наживо.
Чи можна довіряти голосу керівника в телефонній розмові?
Переконливий клон голосу роблять із запису тривалістю близько трьох секунд, і він дає приблизно 85 відсотків точності. В експерименті люди відрізняли живий голос від підробки лише в 37,5 відсотка випадків. Тому дзвінок з проханням про оплату потребує зустрічної перевірки так само, як лист.
Як перевірити, що правило двох підписів на платіж справді виконується?
Найпростіше провести навчальний прогін: за домовленістю з керівником хтось надсилає прохання про терміновий переказ від його імені і фіксує реакцію. Дивляться, чи запросили друге підтвердження і чи пішов підтверджувач іншим каналом. Щомісяця корисно рахувати, скільки разів другий підпис зупинив платіж.