We onderscheiden twee vormen van fraude; interne fraude en externe fraude. Onder fraude wordt verstaan het opzettelijk misleiden om onrechtmatig voordeel te verkrijgen. Meestal is dit financieel voordeel, maar het kan ook gaan om goederen of fraude op de werkvloer ten gunste van de eigen positie.

Interne fraude

Het zijn niet altijd de stereotype slinkse hackers die fraude plegen. Vaak is de aanpak verrassend eenvoudig en wordt fraude gepleegd door medewerkers uit de eigen organisatie. Meestal betreft het dan ook geen grootschalige financiële fraude maar is er wel reden voldoende om alert te blijven.

Vormen van interne fraude zijn onder meer: tijdfraude, het ontvreemden van geld of goederen en declaratiefraude. Met name tijdfraude is een groeiend probleem. Thuiswerken betekent vaak minder controle waardoor de gelegenheid tot frauderen toeneemt. Ook de verleiding om je gemakkelijker ziek te melden met corona is een reden. Het ontvreemden van (digitaal) geld of goederen is reeds lange tijd een probleem voor veel organisaties. Echter, de financiële impact verschilt per organisatie. Bij deze vorm van fraude kan men denken aan het ontvreemden van (kantoor) artikelen maar ook het onterecht indienen van declaraties. Een grotere impact kan veroorzaakt worden door de verkoop of het geven van vertrouwelijke bedrijfsinformatie aan een concurrent.

Externe fraude

Beroepscriminelen richten zich steeds meer op het bedrijfsleven, waardoor voor het bedrijfsleven de dreiging van buiten de organisatie sterkt toeneemt. Vooral cyber risico’s en digitale fraude zijn serieuze problemen waar veel ondernemingen in toenemende mate mee geconfronteerd worden.

Voorbeelden van externe fraude zijn factuurfraude en identiteitsfraude. Bij factuurfraude wordt een factuur betaald naar een vervalste afzender en/of rekeningnummer. De vertrouwensrelatie tussen een klant en zijn leverancier wordt hier misbruikt. Van identiteitsfraude is sprake wanneer misbruik gemaakt wordt van valse identiteitsgegevens en zo bijvoorbeeld spullen worden besteld op naam van een ander en vervolgens niet worden betaald.

Een veelvoorkomende vorm van identiteitsfraude is CEO-fraude. Gezien de gevoeligheid wordt deze vorm van fraude vaak buiten de publiciteit gehouden. Dat deze vorm van fraude grote impact kan hebben op organisaties blijkt uit bekende voorbeelden zoals bij bioscoopketen Pathé (totale schade EUR 19 miljoen) en staalbedrijf Jewo metaal (totale schade EUR 11 miljoen).

Uit diverse recente onderzoeken blijkt dat ongeveer de helft van de bedrijven de afgelopen twee jaar te maken heeft gehad met verschillende vormen en pogingen tot fraude. De meest voorkomende fraude is de digitale fraude, waarover later in deze nieuwsbrief meer.

Te nemen maatregelen en weerbaarheid

Er zijn verschillende maatregelen die genomen kunnen worden om de weerbaarheid van organisaties te vergroten. Maar het begint natuurlijk met beseffen van het feit dat de kans op succes van fraudeurs toeneemt als hun acties op gangbare communicatie lijken. Hier slagen zij dan ook steeds beter in waardoor de fraudepogingen in toenemende mate succesvol zijn. Via social media delen we steeds meer informatie over ons zakelijke en sociale leven. Deze informatie gebruiken criminelen om hun acties voor te bereiden. Ze gebruiken onze eigen informatie om ons te misleiden.

De grootschalige digitalisering en verschuiving naar thuiswerken in de afgelopen twee jaar hebben een enorme impact op het risicomanagement van organisaties. Met het veranderen van de omstandigheden veranderen ook de risico’s voor de organisatie. Het gevolg hiervan is dat het risk management ook de nodige aanpassingen te verwerken krijgt en er gevolgen zijn voor de verschillende beheersmaatregelen. De te nemen maatregelen en aanpassingen verschillen per organisatie maar hebben in de basis dezelfde uitgangspunten. Het begint met de identificatie en de beoordeling van veranderingen die van wezenlijke invloed zijn op de strategie en bedrijfsdoelstellingen. Wij maken ook hier onderscheid in interne en externe invloeden.

Interne invloeden:

• Snelle groei: wanneer een organisatie snel groeit en wanneer activiteiten snel uitbreiden, kunnen bestaande structuren, bedrijfsactiviteiten, informatiesystemen of bronnen worden beïnvloed. De middelen, rollen en verantwoordelijkheden van risicomanagement moeten mogelijk opnieuw worden gedefinieerd.
• Innovatie: wanneer innovaties wordt geïntroduceerd, zullen beheersmaatregelen waarschijnlijk moeten worden aangepast. Ook door nieuwe technologie kan ook het risicomanagement van organisaties verbeteren.
• Governance: een verandering in het topmanagement heeft impact op het risicomanagement. Een nieuwkomer in het management begrijpt mogelijk de cultuur van de organisatie nog niet goed en heeft een andere filosofie, of kan zich uitsluitend richten op prestaties en minder affiniteit hebben met risicomanagement.
• Personeel; de veranderingen in het personeelsbestand, veel interim, veel openstaande vacatures zorgen ervoor dat rollen en verantwoordelijkheden regelmatig tegen het licht gehouden moeten worden.

Externe invloeden:

• Veranderende regelgeving of economische omgeving: wijzigingen in regelgeving of in de economie kunnen leiden tot verhoogde concurrentiedruk, veranderingen in operationele vereisten en verschillende risico’s.
• Nieuwe technologieën als blockchain, platformen en Artificial Intelligence
• Demografische, geografische en economische ontwikkelingen
• Toenemende complexiteit in de productieketen
• Toenemende transparantie eisen

Bij veel organisaties staan deze veranderingen hoog op de agenda omdat men zich bewust is van de veranderde of veranderende risico’s. Het concretiseren van beleid en het nemen van concrete maatregelen is echter nog niet binnen iedere organisatie helemaal doorgevoerd. Investeringen worden wel meer en meer gedaan om risico’s te beheersen. Denk hierbij aan een cyber verzekering en bijvoorbeeld de aanschaf en implementatie van technologie die de organisatie beter beschermt tegen bedreigingen van buitenaf, zoals een veiliger inlogsysteem of VPN-verbinding.

Digitale fraude

Eerder in deze nieuwsbrief stelden we dat fraude steeds meer digitaliseert en verschuift naar online. Deze ontwikkeling in combinatie met de steeds grotere mate van afhankelijk van ICT van organisaties maakt dat de impact van digitale fraude dan ook sterk toeneemt. Digitale fraude heeft verschillende kenmerken. Zo komt de fraudeur meestal binnen via e-mail en wordt er vaak gebruik gemaakt van deepfake technologie waarbij gemanipuleerd audio- en videomateriaal gebruikt wordt. De verzoeken zijn vaak zeer urgent en komen van hooggeplaatste of belangrijke personen van binnen of buiten de organisatie en wijken vaak af van de normale procedure. Meestal wordt geprobeerd om fraude te plegen via een onervaren of nieuwe medewerker die (nog) niet helemaal op de hoogte is van de normale processen en werkwijzen.

Tips tegen externe fraude

• 1. Maak fraude bespreekbaar. Het bewust maken van medewerkers is heel belangrijk. Door fraude intern bespreekbaar te maken worden medewerkers meer alert en is de kans op een geslaagde fraude poging kleiner.
• 2. Creëer een open bedrijfscultuur. Met name CEO-fraude vindt succesvol plaats binnen sterk hiërarchische organisaties. Hoe laagdrempeliger de organisatie en hoe korter de lijnen tussen medeweker en leidinggevenden, hoe minder de kans op fraude.
• 3. Verifieer gegevens. Check gegevens zoals namen en (email)adressen om fraude te voorkomen. Voor bepaalde werkprocessen is het zelfs aan te bevelen autorisatie schema’s en een vierogen principe aan te houden.

Verzekeringsoplossingen

Tot slot willen wij een korte toelichting geven op een tweetal verzekeringsoplossingen, een fraudeverzekering en een cyberverzekering. Daarnaast lichten wij een aantal verschillen uit tussen deze twee verzekeringsoplossingen omdat deze nog weleens worden verward met elkaar. Vaak is men in de veronderstelling dat een cyberverzekering voldoende beschermt tegen digitale fraude en dit is niet correct.

Een fraudeverzekering dekt de financiële gevolgen van fraude door zowel eigen medewerkers als derden. Een cyberverzekering voorziet in de kosten van eerste hulp bij een inbreuk, bedrijfsschade als gevolg van een cyberaanval en tegen aansprakelijkheid voor schade aan derden. Hierbij kun je denken aan inbreuk op hun privacy of geheimhouding, de kosten van gestolen data, omzetverlies (doordat het bedrijf een bepaalde periode niet operationeel is), cyberafpersing en kosten van het herstellen van programmatuur of data.

Beide verzekeringen worden wel beschouwd als een zeer nuttige aanvulling op de fraudepreventieplannen en kunnen fungeren als sluitstuk van risicopreventie voor organisaties die zich willen verzekeren voor de schadelijke gevolgen van fraude. Veel organisaties zijn niet op de hoogte van het bestaan van een dergelijke verzekering, met name als het gaat om de fraudeverzekering. Deze is van belang omdat de cyberverzekering, kredietverzekering en bedrijfsaansprakelijkheidsverzekering dit financieel verlies door fraude niet dekt.

Afhankelijk van uw situatie, wensen, behoeften en huidige verzekeringsoplossingen voorzien wij u graag van passend advies.

Heeft u vragen naar aanleiding van deze nieuwsbrief, neemt u dan contact op met Jeroen van Heteren via 033 – 7505000 of info@krollerboom.nl