Source: https://www.podatki.biz/sn_autoryzacja/logowanie.php5/artykuly/strata-z-kradziezy-pieniedzy-z-konta-firmowego-moze-byc-kosztem_14_34848.htm?idDzialu=14&idArtykulu=34848
Timestamp: 2019-06-16 12:40:18
Legal References Found: art. 13
 art. 14
 art. 15
 art. 15
 art. 15
 art. 15
 art. 15
 art. 16
 art. 16

Document Content:
Strata z kradzieży pieniędzy z konta firmowego może być kosztem
Na podstawie art. 13 § 2a i art. 14b § 1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (t.j. Dz.U. z 2017 r. poz. 201 ze zm.) Dyrektor Krajowej Informacji Skarbowej stwierdza, że stanowisko Wnioskodawcy przedstawione we wniosku z 24 lutego 2017 r. (data wpływu 1 marca 2017 r.) o wydanie interpretacji indywidualnej przepisów prawa podatkowego dotyczącej podatku dochodowego od osób prawnych w zakresie ustalenia, czy, o których mowa w art. 15 ust. 1 ustawy o podatku dochodowym od osób prawnych - jest nieprawidłowe.
W dniu 1 marca 2017 r. wpłynął do Organu ww. wniosek o wydanie interpretacji indywidualnej dotyczącej podatku dochodowego od osób prawnych w zakresie ustalenia, czy poniesione przez Wnioskodawcę straty środków pieniężnych powstałe w związku z kradzieżą środków pieniężnych z rachunku bankowego Wnioskodawcy, wskutek nielegalnych działań nieznanej osoby (osób) w USA i Czechach stanowią koszty uzyskania przychodu Spółki, o których mowa w art. 15 ust. 1 ustawy o podatku dochodowym od osób prawnych.
Wnioskodawca (dalej też: Spółka) jest spółką z ograniczoną odpowiedzialnością z siedzibą w Polsce i polskim rezydentem podatkowym. Przedmiotem działalności Wnioskodawcy jest produkcja i sprzedaż hurtowa artykułów spożywczych.
Spółka prowadzi we własnym zakresie księgi rachunkowe oraz rozliczenia podatkowe angażując w tym celu własny personel finansowo-podatkowy, a jej sprawozdania finansowe podlegają corocznemu badaniu.
Spółka należy do Grupy kapitałowej, w ramach której Spółka dokonuje zakupu towarów oraz korzysta z usług innych podmiotów, m.in. H. s.r.o. z siedzibą w Czechach (dalej: Odbiorca przelewów). Każde świadczenie wykonane na rzecz Spółki potwierdzone jest fakturą, na podstawie której Spółka reguluje płatności.
W dniach 25 i 29 sierpnia 2016 r., na podstawie otrzymanych wcześniej faktur dokumentujących zakup towarów, Spółka dokonała dwóch przelewów elektronicznych na czeskie konto bankowe Odbiorcy przelewów. Przelewy zostały wprowadzone przez pracownika Spółki za pośrednictwem zdefiniowanego wcześniej w systemie bankowości elektronicznej szablonu, zawierającego w szczególności następujące dane: typ przelewu, dla którego został stworzony szablon, numer rachunku bankowego odbiorcy, na który ma zostać wysłany przelew zdefiniowany w szablonie oraz dane odbiorcy (tj. nazwa i adres odbiorcy).
Osoby wprowadzające, weryfikujące i autoryzujące przelewy zalogowały się do systemu bankowości elektronicznej za pomocą unikalnego hasła dostępowego. Ze względów bezpieczeństwa, hasła dostępu do systemu bankowości są regularnie zmieniane, nie rzadziej niż raz na trzy miesiące.
Oprócz stosowania unikalnych haseł dostępu, pracownicy logują się do systemu bankowości elektronicznej z zachowaniem zasad bezpieczeństwa, w szczególności sprawdzając, że:
komunikacja między urządzeniem, a serwerem banku szyfrowana jest protokołem SSL, którego potwierdzeniem jest adres URL rozpoczynający się od https,
na stronie logowania widnieje zamknięta kłódka.
Po zalogowaniu i wybraniu szablonu, przelewy zostały zautoryzowane (podpisane) z zachowaniem zasady podwójnej weryfikacji - przez główną księgową i dyrektora zarządzającego Spółki. Przelewy zostały zautoryzowane za pomocą tokenów (innego dla każdej z osób uprawnionych do autoryzacji przelewów) dostarczonych przez bank.
Po dokonaniu przelewów pracownicy użyli opcji „wyloguj”. Należy podkreślić, że pracownicy Spółki nie logują się za pośrednictwem linków otrzymanych w wiadomości e-mail oraz nie używają wyszukiwarek internetowych do znalezienia strony logowania do systemu transakcyjnego banku. Pracownicy Spółki nie ujawnili również osobom niepowołanym danych dostępowych do konta, w szczególności Spółka nie padła ofiarą tzw. phishingu.
Spółka korzysta z legalnego systemu operacyjnego, do którego producent regularnie dostarcza aktualizacje, a system informatyczny Spółki zabezpieczony jest na bieżąco aktualizowanym programem antywirusowym oraz tzw. firewallem. Ponadto Spółka dokonuje bieżącego skanowania swoich komputerów na obecność wirusów, szkodliwego oprogramowania oraz innych zagrożeń. Spółka nie instaluje oprogramowania z nieznanych źródeł.
Dnia 9 września 2016 r. Odbiorca przelewów poinformował Spółkę o nieotrzymaniu płatności. Po weryfikacji potwierdzeń przelewów okazało się, że Spółka prawidłowo wykonała przelew na rzecz Odbiorcy przelewów. Jednakże, pomimo spójności nazwy i adresu Odbiorcy przelewów, zlecone przelewy zostały zrealizowane na dwa różne czeskie konta bankowe, nie będące jednak kontami bankowymi Odbiorcy przelewów, założone prawdopodobnie w celu oszustwa.
Tego samego dnia Spółka zgłosiła do banku kradzież środków pieniężnych oraz złożyła wniosek o zwrot równowartości skradzionych środków. Po otrzymaniu tych informacji bank niezwłocznie wszczął postępowanie wyjaśniające. Jednocześnie dostęp do konta bankowego Spółki został zablokowany.
W efekcie postępowania wyjaśniającego bank podjął następujące ustalenia:
od dnia 10 sierpnia 2016 r. nieznana osoba znajdująca się w USA logowała się w systemie bankingu elektronicznego Spółki z użyciem danych dostępowych dyrektora zarządzającego Spółki i dokonała zmian w szablonach przelewów poprzez wprowadzenie zmian w rachunkach bankowych Odbiorcy przelewów. Wcześniej, ta sama osoba bezskutecznie próbowała włamać się na konto bankowe Spółki za pośrednictwem danych do logowania głównej księgowej Spółki,
komputer, z którego były dokonywane autoryzacje przelewów prawdopodobnie został zainfekowany złośliwym oprogramowaniem (malware), umożliwiającym uzyskanie przez niepowołane osoby danych dostępowych do systemu elektronicznego bankingu Spółki i w efekcie dokonania zmian w szablonach,
środki pieniężne zostały niezwłocznie po ich przelewie podjęte w banku w Czechach.
Jednocześnie bank potwierdził dochowanie wszystkich swoich wewnętrznych procedur bezpieczeństwa (z tego względu odmówił zwrotu równowartości skradzionych środków Spółce). Niemniej należy wskazać, że procedury banku nie obejmują weryfikacji spójności danych wskazanych w zleceniu przelewu oraz rzeczywistych danych odbiorcy przelewu, nawet w przypadku transferu znacznych kwot.
Fakt zainfekowania komputera złośliwym oprogramowaniem został potwierdzony przez Spółkę w trakcie specjalistycznego przeglądu informatycznego. Jak wskazali specjaliści z dziedziny informatyki, programy antywirusowe będące w powszechnym użyciu, mimo ich bieżącej aktualizacji, nie chronią komputerów przed wszystkimi typami złośliwego oprogramowania.
Mając na uwadze powyższe ustalenia banku, Spółka złożyła pisemne zawiadomienie o popełnieniu przestępstwa. Sprawa ta została przekazana przez policję do prokuratury. W chwili obecnej toczy się w prokuraturze postępowanie dochodzeniowe.
Czy w świetle przedstawionego stanu faktycznego poniesione przez Wnioskodawcę straty środków pieniężnych powstałe w związku z kradzieżą środków pieniężnych z rachunku bankowego Wnioskodawcy, wskutek nielegalnych działań nieznanej osoby (osób) w USA i Czechach stanowią koszty uzyskania przychodu Spółki, o których mowa w art. 15 ust. 1 ustawy o podatku dochodowym od osób prawnych?
Zdaniem Wnioskodawcy, w świetle przedstawionego stanu faktycznego, poniesione przez niego straty środków pieniężnych powstałe w związku z kradzieżą, dokonaną przez nieznaną osobę (osoby) stanowią koszty uzyskania przychodu, o których mowa w art. 15 ust. 1 ustawy o PDOP.
Stanowisko Wnioskodawcy znajduje swoje oparcie w następujących argumentach:
Zgodnie z art. 15 ust. 1 ustawy o PDOP, kosztami uzyskania przychodów są koszty poniesione w celu osiągnięcia przychodów lub zachowania albo zabezpieczenia źródła przychodów. Mając na uwadze ogólny charakter tego przepisu, dokonując kwalifikacji wydatku jako kosztu podatkowego należy pomocniczo posłużyć się wskazówkami interpretacyjnymi organów podatkowych.
Zgodnie z utrwaloną praktyką organów podatkowych, kosztem uzyskania przychodów jest każdy wydatek, który spełnia łącznie następujące warunki:
nie został wyłączony z katalogu wydatków nie uznawanych za koszty uzyskania przychodów (o których mowa w art. 16 ust. 1 ustawy o PDOP).
W świetle powyższego, o kwalifikacji podatkowej danego wydatku jako kosztu uzyskania przychodu decyduje przede wszystkim istnienie związku przyczynowo-skutkowego pomiędzy poniesieniem kosztu a powstaniem przychodów lub realną szansą powstania przychodów, bądź też zachowaniem albo zabezpieczeniem źródła ich uzyskiwania. Zatem do kategorii kosztów podatkowych zaliczone mogą zostać wydatki zarówno bezpośrednio, jak i pośrednio związane z uzyskiwanym przychodem oraz koszty związane z całokształtem działalności podatnika, pod warunkiem istnienia i wykazania związku z prowadzoną działalnością gospodarczą. Każdorazowy wydatek podatnika powinien jednak podlegać indywidualnej analizie w celu oceny istnienia wspomnianego związku. Wyjątkiem jest sytuacja, gdy ustawa o PDOP wyraźnie wskazuje przynależność danego wydatku do kategorii kosztów uzyskania przychodów lub wyłącza taką możliwość.
Ustawa o PDOP nie zawiera szczegółowych regulacji dotyczących zaliczania do kosztów uzyskania przychodów materiałów, towarów, surowców czy też wartości pieniężnych utraconych w wyniku kradzieży. W szczególności straty środków pieniężnych powstałe w wyniku kradzieży nie zostały wymienione w katalogu wyłączeń z kosztów uzyskania przychodów, określonym w art. 16 ust. 1 ustawy o PDOP. W związku z tym, możliwość zaliczenia takich strat do kosztów uzyskania przychodów powinna być uzależniona od tego, czy przy zachowaniu należytej staranności racjonalnie działający podmiot gospodarczy mógłby zapobiec tym stratom w normalnych warunkach działalności gospodarczej.
Będąc w pełni świadomym, że interpretacje indywidualne wiążą jedynie w sprawach, w których zostały wydane, Wnioskodawca wskazuje, że Dyrektor Izby Skarbowej w Warszawie w interpretacji indywidualnej z dnia 21 marca 2008 r. (sygn. IPPB1/415-436/07-4/AM) stwierdził, że „dla celów podatkowych tylko kradzież powstałą na skutek zdarzeń nieprzewidywalnych, nie do uniknięcia przez racjonalnie działający podmiot można uznać za zdarzenie losowe, które uzasadnia zaliczenie powstałej straty w ciężar kosztów uzyskania przychodów. Jeżeli więc faktycznie poniesiono straty - mimo prowadzenia racjonalnych działań w ramach działalności gospodarczej lub straty te poniesione zostały w wyniku zdarzeń losowych, chociaż były starannie zabezpieczone, ponadto są właściwie udokumentowane i nie mają związku z nadużyciami, niegospodarnością lub zaniedbaniem podatnika (brak nadzoru i odpowiedzialności) mogą być uznane za koszt uzyskania przychodu.
Podobne stanowisko zajął Dyrektor Izby Skarbowej w Poznaniu w interpretacji indywidualnej z dnia 4 listopada 2008 r. (sygn. ILPB3/423-482/08-4/KS) uznając, że istnieje możliwość zaliczenia strat w środkach obrotowych powstałych w wyniku kradzieży środków pieniężnych.
Do analogicznych wniosków dochodzą także organy podatkowe w interpretacjach indywidualnych wydanych na gruncie ustawy o podatku od osób fizycznych.
Przykładowo w interpretacji indywidualnej z dnia 16 maja 2012 r. (sygn. ITPB1/415-187/12/IG) Dyrektor Izby Skarbowej w Bydgoszczy dopuszczając możliwość zaliczenia do kosztów uzyskania przychodu straty powstałej w wyniku kradzieży uznał, że możliwość ta „uwarunkowana jest od spełnienia następujących warunków:
jej powstanie musi być spowodowan...