Güvenli Dosya Paylaşımı için Accountants ve CPAs

KVKK Kurumu ve Gelir İdaresi Başkanlığı'nın denetimleri, muhasebecilerin müşteri verilerini e-posta ekleri yerine şifreli kanallar üzerinden iletmesini fiilen zorunlu kılıyor. W-2, K-1, 1099 ve denetlenmiş mali tabloları aktaran CPA firmalarının uygulaması gereken yığın şu üç katmandan oluşur: SmartVault veya TaxDome gibi vergi müşteri portalleri (kullanıcı başına aylık 50-100 dolar), tek seferlik gönderimler için HexaTransfer gibi uçtan uca şifreli bir transfer aracı ve her teslim edilebilir dosyaya PDF parola koruması. ABD'de IRS Yayın 4557, vergi hazırlayıcıları için makul güvenlik önlemlerini zorunlu kılarken, 2023'te güncellenen FTC Koruma Kuralı aktarım sırasında ve beklemedeyken müşteri bilgilerinin şifrelenmesini gerektiriyor. Türkiye'de faaliyet gösteren veya AB müşterileriyle çalışan muhasebe firmaları için ise 6698 sayılı KVKK ve GDPR ek katmanlar getiriyor.

IRS Yayın 4557 ve FTC Koruma Kuralı

Yayın 4557, tüm vergi profesyonellerinin yazılı bir bilgi güvenliği planı (WISP) tutmasını, hassas verileri şifrelemesini, çok faktörlü kimlik doğrulama kullanmasını ve ihlalleri IRS Paydaş İrtibat Birimine bildirmesini şart koşuyor. 2023'ten itibaren firmalar, programı denetleyecek bir Nitelikli Kişi de atamak zorunda.

FTC Koruma Kuralı, geniş yorumlanan "finansal kurum" tanımı kapsamında vergi hazırlayıcılarını, muhasebe hizmetleri sunan CPA'ları ve finansal planlamacıları kapsıyor. 2023 değişikliklerinin temel maddeleri:

Müşteri bilgilerine erişen tüm sistemlerde çok faktörlü kimlik doğrulama
Aktarım sırasında ve beklemedeyken tüm müşteri bilgilerinin şifrelenmesi
Yazılı bir olay müdahale planı
Düzenli sızma testi veya sürekli izleme
5.000'den fazla kaydı olan firmalar için yıllık yönetim kurulu raporları

Uyumsuzluk, FTC yaptırımını ve itibar zararını beraberinde getirir. Vergi mükellefine ait veriyi içeren bir ihlal, etkilenen müşterileri, IRS'i ve devlet başsavcılarını bilgilendirme yükümlülüğü de doğurur.

Vergi İş Akışları için Özel Portaller

Genel dosya paylaşım araçları, vergi süreçlerine özgü özellikleri karşılamaz: yıldan yıla klasör yapıları, görev mektupları, 8879 formları için e-imzalar ve vergi hazırlama yazılımıyla entegrasyon. Amaca yönelik portaller:

SmartVault: Kullanıcı başına aylık 20-70 dolar, Lacerte, ProSeries, UltraTax ve Drake ile sıkı entegrasyon
TaxDome: Kullanıcı başına aylık 50-100 dolar, hepsi bir arada uygulama yönetimi ve portal
Canopy: Benzer fiyatlandırma, görev iş akışlarında güçlü
Intuit Link: Lacerte ve ProConnect ile ücretsiz, yalnızca Intuit kullanıcılarıyla sınırlı
Securefilepro: CCH Axcess ile birlikte verilir, sıkı CCH entegrasyonu
ShareFile: Kullanıcı başına aylık 50-120 dolar, güçlü uyumluluk duruşu

Seçiminizi hazırlama yazılımınıza ve firma büyüklüğünüze göre yapın. Bireysel ve küçük firmalar TaxDome veya SmartVault'a uyar; CCH veya Thomson Reuters kullanan orta ölçekli firmalar Securefilepro veya ShareFile'a yönelir.

Müşterilerden Kaynak Belge Toplama

Vergi sezonunda W-2, 1099, ipotek ekstreleri, aracı kurum 1099-B'leri, K-1'ler ve makbuzlar sürekli akar. Müşterilerin teknolojiyle rahat düzeyi çok farklıdır. Toplama akışını en az teknik bilen müşteriye göre tasarlayın:

Müşterilere tek cümlelik talimatla portal daveti gönderin: "Bu bağlantıya tıklayın, W-2'nizi yükleyin."
Mobil yüklemeleri kabul edin; çoğu portalın müşteri uygulaması var
Tek seferlik göndericiler için hesap oluşturma zorunluluğu getirmeyin; markalı yükleme sayfası kullanın
20'den fazla belgesi olan müşteriler için sürükle-bırak toplu yükleyici sunun
Şifrelenmemiş e-postayla kaynak belge asla almayın; müşteri ısrar etse bile

Portala kullanmayı reddeden müşteriler için hazır bir yanıt tutun: "Güvenliğiniz için vergi belgelerini e-postayla alamıyoruz. Lütfen bu güvenli bağlantıyı kullanın." Bağlantıyı her hatırlatmaya ekleyin.

Vergi Beyannameleri ve Görev Belgelerinin Teslimi

Tamamlanmış 1040, eyalet beyannamesi ve destekleyici çalışma kağıtları son derece hassastır. PDF olarak paketleyin ve müşterinin bildiği bir parolayla koruyun; görev mektubundan türetilen bir parola cümleciği, SSN'nin son 4 hanesi gibi zayıf varsayılanlardan çok daha güçlüdür.

Teslim paketi tipik olarak şunları içerir:

Federal ve eyalet beyannamelerinin müşteri kopyası (PDF, 30-200 sayfa, 2-20 MB)
8879 e-beyan yetkilendirme formları (imza için ayrı gönderilir)
Fatura
Bir sonraki yıl için planlama notu veya hatırlatmalar
Borç bakiyesi varsa vergi ödeme fişleri

8879 ve benzer imza gereklilikleri için IRS uyumlu bir e-imza sağlayıcısı kullanın: Docusign, Adobe Acrobat Sign veya TaxDome/SmartVault içindeki imza araçları. Uzaktan e-imza için IRS kuralları gereği bilgi tabanlı kimlik doğrulama (KBA) zorunludur.

K-1, 1099 ve Çok Taraflı Dağıtımlar

Ortaklıklar ve S şirketleri K-1'leri onlarca veya yüzlerce ortağa dağıtır. Kağıt K-1 gönderimi pahalı ve yavaştır. Elektronik teslimat, ortak onay verirse ve belirli açıklamalar alırsa serbesttir.

Toplu K-1 dağıtımı için iş akışı:

Lacerte, UltraTax veya CCH'den bireysel K-1 PDF'leri oluşturun
Her PDF'i ortağa özgü bir parolayla koruyun
Portala yükleyin veya güvenli transfer aracıyla gönderin
Her ortağı standart e-posta şablonuyla bilgilendirin
Denetim amaçları için teslimat ve indirme makbuzlarını takip edin

1099 alıcı teslimatı için Track1099, Yearli veya Tax1099 gibi hizmetler hem IRS'e beyan hem de güvenli portaller aracılığıyla alıcı teslimatını yönetir.

Denetim Hazırlıklı Dosya Saklama

Vergi hazırlayıcılarının saklama gereksinimleri farklılık gösterir:

Circular 230 (EA, CPA, avukatlar için): beyan tarihinden 3 yıl
AICPA mesleki standartları: çoğu çalışma kağıdı için 7 yıl
Eyalet CPA kurulları: genellikle 7 yıl
Denetim ve onaylama görevleri: görev sözleşmesine bağlı

Pratik politika: her şeyi 7 yıl saklayın, ardından 3 yıl daha soğuk depolamaya arşivleyin, sonra saklama politikanıza göre silin. Politikayı WISP'te belgeleyin. Saklama kopyası da korunmalıdır; şifreli sürücülerde, erişim kayıtlarıyla birlikte ofis dışında saklanmalıdır. Yedi yıllık vergi beyannamesi içeren çalınan bir yedek sürücü, bir ihlal anlamına gelir.

Görev Mektubunu Araçlarınızla Uyumlu Hale Getirme

Görev mektubu, güvenlik kontrolleriniz ile müşteri yükümlülükleri arasındaki sözleşme köprüsüdür. Şunları ekleyin:

Vergi belgelerinin elektronik teslimini yetkilendiren bir bölüm
Adlandırılmış kanal (müşteri portal URL'si veya belirli transfer hizmeti)
Müşterinin belge depolama için belirtilen bulut sağlayıcılarını kullanmaya onayı
Parola gizliliği sorumluluğunu atayan dil
Müşterinin olası bir ihlali 48 saat içinde bildirme taahhüdü

Bu maddeler olmadan, W-2'sini şifresiz e-postayla gönderen ve kimlik avına düşen bir müşteri, sizi durdurmanız gerektiğini savunabilir.

Kaçınılmaz Olduğunda Olay Müdahalesi

En iyi güvenceye sahip firmalar bile kimlik avı, fidye yazılımı ve kötü niyetli iç tehditlerle karşılaşabilir. Olay müdahale planınız şunları kapsamalıdır:

Acil müdahale: etkilenen makineleri bağlantıdan kesin, kimlik bilgilerini değiştirin
Değerlendirme: hangi müşteri kayıtlarına erişildiğini belirleyin
IRS'e bildirim: Paydaş İrtibat Birimi'ni saatler içinde arayın
Eyalet başsavcılarına bildirim: eyalete göre 10-60 gün
Müşterilere bildirim: açık, gerçekçi, kredi izleme rehberliğiyle
Kredi izleme teklifi: IdentityForce, Experian veya Equifax, 12-24 ay
Olay sonrası gözden geçirme: kök neden, iyileştirme planı, WISP güncellemesi

Küçük CPA firmaları için siber sigorta genellikle yıllık 1.500-4.000 dolar, 1 milyon dolar kapsam için. Poliçe çoğunlukla bildirim maliyetlerini, kredi izlemeyi ve adli incelemeyi karşılar.

5 Kişilik CPA Firması için Pratik Yığın

Vergi hazırlama: Drake Tax, UltraTax CS veya Lacerte
Müşteri portali: SmartVault veya TaxDome
E-imza: portal ile birlikte veya Docusign
Tek seferlik transferler: HexaTransfer gibi şifreli transfer aracı
Parola yöneticisi: 1Password Business
Yedekleme: Datto, iDrive veya Acronis
Siber sigorta: 1 milyon dolar poliçe
Yıllık WISP gözden geçirme: Yayın 4557 gereği zorunlu

Ücretsiz deneyin: https://hexatransfer.com — hesap gerekmez, maksimum 10 GB.