Spółka, która w danym roku podatkowym padła ofiarą przestępstwa internetowego np.: w postaci włamania hakerskiego do serwera swojego dostawcy, przechwycenia jego korespondencji mailowej oraz sfałszowania numeru konta bankowego, na które należy dokonywać przelewów w ramach płatności za dostawy, nie może tej straty zaliczyć do kosztów uzyskania przychodów.
Takie stanowisko zajął Dyrektor Izby Skarbowej w Łodzi w indywidualnej interpretacji podatkowej wydanej w dniu 13 stycznia 2015 r. o sygnaturze IPTPB3/423-336/14-5/IR.
Samochód w firmie 2015 – multipakiet
Dokonując analizy stanu faktycznego i prawnego Wnioskodawcy, organ podatkowy po pierwsze odwołał się do definicji kosztu uzyskania przychodów zawartej w art. 15 ust. 1 ustawy z dnia 15 lutego 1992 r. o podatku dochodowym od osób prawnych (Dz. U. z 2014 r., poz. 851, z późn. zm.). Z przepisu tego wynika, że kosztem uzyskania przychodów będzie taki wydatek poniesiony przez przedsiębiorcę, który kumulatywnie spełnia następujące warunki:
- został poniesiony przez podatnika, tj. w ostatecznym rozrachunku musi on zostać pokryty z zasobów majątkowych podatnika,
- jest definitywny (rzeczywisty), tj. wartość poniesionego wydatku nie została podatnikowi w jakikolwiek sposób zwrócona,
- pozostaje w związku z prowadzoną przez podatnika działalnością gospodarczą,
- poniesiony został w celu uzyskania przychodów, zachowania lub zabezpieczenia źródła przychodów,
- został właściwie udokumentowany,
- nie może znajdować się w grupie wydatków, których zgodnie z art. 16 ust. 1 cyt. ustawy nie uważa się za koszty uzyskania przychodów.
Biorąc pod uwagę powyższe przesłanki organ podatkowy dokonujący interpretacji uznał, że: „wydatki związane z prowadzoną działalnością gospodarczą, po wyłączeniu zastrzeżonych w ustawie, są kosztami uzyskania przychodów, o ile pozostają w związku przyczynowo-skutkowym z osiąganymi przychodami lub służą zachowaniu bądź zabezpieczeniu źródła przychodów. Kosztami będą zarówno koszty pozostające w bezpośrednim związku z uzyskiwanymi przychodami, jak i pozostające w związku pośrednim, jeżeli zostanie wykazane, że zostały w sposób racjonalny poniesione w tym celu, nawet wówczas gdy z obiektywnych powodów przychód nie zostanie osiągnięty.”
Na szczególną uwagę w tym kontekście zasługuje wyłączenie zawarte w art. 16 ust. 1 ustawy o podatku dochodowym od osób prawnych, które dotyczy głównie strat w środkach trwałych i w wartościach niematerialnych i prawnych. Nie ma w nim więc wzmianki o środkach obrotowych jakimi są środki pieniężne. Można by zatem wnioskować, że straty w takich środkach podatnik może zaliczyć do kosztów uzyskania przychodów. Zdaniem organu podatkowego, taka możliwość jest jednak obwarowana spełnieniem dodatkowych przesłanek i powinna być oceniana indywidualnie na gruncie konkretnego przypadku. Przede wszystkim ocena ta powinna być dokonywana w aspekcie:
- całokształtu prowadzonej przez podatnika działalności,
- okoliczności, które spowodowały powstanie straty,
- udokumentowania straty,
- podjętych przez podatnika działań zabezpieczających.
Każda z tych przesłanek musi zostać spełniona, aby dany uszczerbek można było w świetle prawa podatkowego zaliczyć do kosztów uzyskania przychodów zgodnie z ich definicją.
W przypadku kiedy dany przedsiębiorca padnie ofiarą przestępstwa w cyberprzestrzeni należy stwierdzić, że z całokształtu okoliczności wynika niewątpliwie, że przedsiębiorca ten poniósł stratę rozumianą jako uszczerbek w jego dobrach majątkowych i że stało się to nie w wyniku jego zawinionego działania, a w wyniku zdarzenia niezależnego od niego. Istnieje także ścisły związek między poniesiona stratą a prowadzona przez przedsiębiorcę działalnością gospodarczą. Problemów nastręcza jednak warunek formalny jakim jest właściwe udokumentowanie straty.
W ocenie organu, w przypadku przestępstwa strata taka powinna być bowiem uprawdopodobniona przez właściwe organy ścigania (Policję, Prokuraturę), co jest jednakże możliwe dopiero po zakończeniu postępowania. Dopóki sprawca nie zostanie wykryty lub postępowanie nie zostanie umorzone z powodu braku jego wykrycia, podatnik nie może zaliczyć straty poniesionej w wyniku działania hakera w koszty uzyskania przychodów i odliczyć jej od podatku dochodowego.
Marlena Widawska