Kradzież środków z konta firmowego a koszty podatkowe – wyrok WSA w Krakowie
W wyroku z 8 maja 2025 r. WSA w Krakowie odniósł się do kwestii możliwości zaliczenia do kosztów uzyskania przychodów strat wynikających z kradzieży środków pieniężnych z rachunku bankowego. Odnosząc się do tego potencjalnie istotnego dla wielu przedsiębiorców zagadnienia, Sąd wskazał, że brak dochowania należytej staranności przez podatnika wyklucza możliwość ujęcia takich strat jako kosztów podatkowych w rozumieniu ustawy o PIT.
Strata (nie)możliwa do przewidzenia?
Sprawa dotyczyła podatnika prowadzącego działalność doradczą w sektorze rolnym, który padł ofiarą oszustwa internetowego. W wyniku działania osób podszywających się pod pracowników banku, podatnik zainstalował nieznane oprogramowanie, wykonał szereg poleceń rozmówców oraz przekazał informacje umożliwiające nieautoryzowany dostęp do rachunku bankowego, z którego dokonano wypłat środków pieniężnych.
Podatnik wskazał, że działał w przekonaniu, iż chroni środki firmowe, nie podawał haseł ani danych kart, a wszelkie działania podejmował w zaufaniu do osób, które identyfikowały się jako pracownicy instytucji finansowej. W jego ocenie, zachował on należytą staranność oraz dołożył należytych starań, aby zabezpieczyć majątek firmy, a sama strata była wynikiem przemyślanego oszustwa, niemożliwego do przewidzenia.
Należyta staranność warunkiem uwzględnienia straty
Odmienne stanowisko zajął Dyrektor KIS, który w wydanej interpretacji uznał, że podatnik nie dochował wymaganego poziomu ostrożności, co wyklucza możliwość uznania utraty środków za koszt uzyskania przychodu. Podkreślił, że prowadząc działalność gospodarczą, podatnik działa na własne ryzyko, a jednocześnie ma obowiązek stosowania środków zabezpieczających majątek firmowy, w szczególności w zakresie elektronicznego obrotu pieniężnego.
W wyroku z 8 maja 2025 r. WSA w Krakowie przychylił się do stanowiska fiskusa. Sąd zwrócił uwagę, że podatnik – jako osoba aktywna zawodowo – powinien orientować się w powszechnie dostępnych ostrzeżeniach dotyczących metod działania cyberprzestępców. Zainstalowanie aplikacji na polecenie niezweryfikowanej osoby oraz wykonywanie jej instrukcji bez potwierdzenia tożsamości świadczy o braku dochowania należytej staranności, a więc o zachowaniu odbiegającym od obiektywnego wzorca działania przedsiębiorcy.
Najnowsze orzeczenie wpisuje się w konsekwentną linię interpretacyjną, zgodnie z którą strata środków pieniężnych wynikająca z działań oszustów może być uwzględniona w kosztach jedynie wtedy, gdy podatnik wykaże, że nie miał realnej możliwości zapobieżenia zdarzeniu. Ocena ta musi być dokonana z uwzględnieniem profesjonalnego charakteru działalności gospodarczej oraz dostępnych środków zabezpieczenia mienia.
Strata spowodowana przez oszustów – kiedy możliwy koszt?
Sąd, podobnie jak wcześniej organ podatkowy, wskazał, że należyta staranność powinna być oceniana przez pryzmat zawodowego charakteru prowadzonej działalności. Podatnik nie może oczekiwać, że skutki niedbałości lub łatwowierności zostaną uznane za koszt uzyskania przychodu obciążający państwowy budżet. WSA podkreślił, że zachowanie rozsądku, ostrożności oraz podstawowa weryfikacja rozmówców są elementarnymi standardami działania w obrocie gospodarczym.
Wyrok wpisuje się w konsekwentną linię interpretacyjną, zgodnie z którą strata środków pieniężnych wynikająca z działań oszustów może być uwzględniona w kosztach jedynie wtedy, gdy podatnik wykaże, że nie miał realnej możliwości zapobieżenia zdarzeniu. Ocena ta musi być dokonana z uwzględnieniem profesjonalnego charakteru działalności gospodarczej oraz dostępnych środków zabezpieczenia mienia. Organy oczekują od podatników, którzy chcą zaliczyć stratę w ciężar kosztów uzyskania przychodów, również jej właściwego udokumentowania, a realizację tego warunku utożsamiają z uprawdopodobnieniem zaistnienia straty przez właściwe organy ścigania (policję, prokuraturę). Możliwe jest to jednak dopiero po zakończeniu postępowania, zaś w przypadku niewykrycia sprawcy dokumentację będzie stanowić postanowienie o umorzeniu śledztwa).
Mimo że niekiedy wymagania organów są nadmierne i nie wynikają z przepisów (o czym pisaliśmy w artykule „Strata powstała w wyniku oszustwa. Kiedy można rozpoznać koszt?”), przedsiębiorcy powinni wdrożyć odpowiednie procedury w zakresie cyberbezpieczeństwa oraz podjąć działania prewencyjne, aby ograniczyć ryzyko utraty środków. Pasywność oraz łatwowierność w kontaktach z nieznanymi osobami nie dają podstaw do podatkowego rozpoznania straty jako kosztu prowadzonej działalności, a ewentualne dochodzenie swoich praw przed sądem zabierze nie tylko dużo czasu, ale ale także – jak w opisywanej sprawie – nie gwarantuje rozstrzygnięcia zgodnego z oczekiwaniami podatników.
Autor: Robert Pytlak