Ud over ransomware er svindlere den største cybersikkerhedsrisiko for virksomheder med en omsætning på under 500 millioner dollars, hvor en stor del af denne fare retter sig mod kreditorbogholderiet (AP) gennem betalingssvindel.

Men jeg har gode nyheder. I dag er de teknikker til forebyggelse af svindel, der virker bedst mod både eksterne kriminelle netværk og snu interne medarbejdere, for det meste de samme. Jeg gennemgår de bedste måder at gøre dette på, begyndende med lidt nødvendig kontekst, før vi går videre til de strategier og taktikker, der holder virksomhedens midler sikre.

En kort historie om finansielle kontroller

Siden handelens begyndelse har mennesker snydt hinanden. Udbredelsen af dobbelt bogholderi, retsmedicinsk regnskabsførelse og handelsregler fortæller alle den samme menneskelige historie: Der vil altid være mennesker, som stjæler alt, der ikke er boltet fast.

Gennem det seneste århundrede er regnskabsbøger blevet stadig mere komplekse, muliggjort af teknologi, globalisering og et mere kompliceret juridisk landskab. Efterhånden som kompleksiteten voksede, gjorde metoderne, som uærlige medarbejdere kunne bruge til at stjæle penge, det også. Regnskabskredse og tilknyttede tilsynsmyndigheder reagerede ved at udvikle interne kontroller, som blev styrket i 1960'erne og nu er et afgørende element i en veldrevet virksomhed. 

Gennem de seneste 15 år er eksterne trusler vokset dramatisk. Stigende kriminel raffinement, den voksende betydning af virksomhedsteknologi og overgangen til hurtige elektroniske betalinger har alle bidraget til den voksende globale succes for svindel, løsepenge og tyveri rettet mod virksomheder.

Opkaldet kom indefra huset

Den mest effektive måde at forhindre disse nye eksterne trusler på er at øge styringen af dine medarbejdere, for tro mig: Din største trussel kommer “indefra huset”. 

“Siger du, at jeg ikke kan stole på mine medarbejdere?”

Nej - ikke altid og ikke med vilje.

Tidligere opstod risikoen for betalingssvindel for det meste gennem en kombination af medarbejderens mulighed, behov og adgang. En medarbejder med adgang til virksomhedens midler fristes til at udnytte situationen, især hvis det løser et stort problem for vedkommende. Derefter bedrager de virksomheden, og hvis de ikke bliver opdaget, bliver det ofte en vane, som de ikke kan slippe ud af.

Væksten i ekstern svindel tilføjer endnu en faktor: risikoen for, at dine velmenende medarbejdere bliver narret. Indbrud i it-systemer er ikke en form for teknologisk trolddom, der på magisk vis kan få penge til at forsvinde fra en bankkonto; Det giver blot en allerede ondsindet svindler adgang ved at narre mennesker eller systemer.

Selvom du kan træne medarbejdere i at være mere opmærksomme på angreb, er det en af de bedste måder at håndtere svindel fra begge kilder på at udvide den finansielle kontrol over deres arbejde og systemer.

Generelle strategier

Efterhånden som svindeltendenser udvikler sig, er traditionelle og interne kontroller samlet i tre overordnede strategier til bekæmpelse af betalingssvindel.

Som med enhver investering bør du altid begynde med en solid risikostyring: Hvilke trusler er mest sandsynlige og mest skadelige for din virksomhed?

1. Reducer enkeltstående fejlpunkter

Dette er den tekniske version af vores gamle ven, funktionsadskillelse (SoD), hvor idéen udvides fra mennesker til systemer og værktøjer. Overvej det klassiske SoD-scenarie: Hvis en enkelt medarbejder både kan udbetale midler og redigere poster i hovedbogen, er det farligt; vedkommende udgør et enkeltstående fejlpunkt for betalingssvindel. Det ville trods alt kun kræve, at én ting svigter (medarbejderen og dennes etik), for at svindlen lykkes.

Med moderne trusler er alt, der kan udgive sig for at være medarbejderen, også et enkeltstående fejlpunkt: vedkommendes adgangskode, bærbare computer eller endda en overtagelse af e-mailkontoen.

Afhjælp enkeltstående fejlpunkter ved at dele dem mellem et team og tilføje flere trin.

Denne disciplin går i dybden. Senere i denne artikel gennemgår jeg nogle af de mest almindelige fejlpunkter og hvordan de håndteres.

2. Reducer eksponeringen

Der er to hovedkomponenter i at reducere din eksponering for betalingssvindel: Målret kilderne, og målret den potentielle påvirkning. 

Ved at håndtere truslernes kilde reduceres sandsynligheden for, at truslen opstår; påvirkningen minimerer det potentielle tab, hvis den gør. 

Overvej to klassiske eksempler fra svindelkontrol: godkendelsesgrænser reducerer det potentielle tab fra svigagtige udgifter (påvirkning), og mindst mulige rettigheder reducerer sandsynligheden for svindel ved at begrænse antallet af personer, der kan iværksætte den (kilder).

It-branchen har en beslægtet idé kaldet angrebsfladen, som normalt bruges til at beskrive systemer. Det er en kombination af, hvor sårbart et system er, og hvor mange ting der kan oprette forbindelse til det og dermed angribe det. It-teams har normalt den bedste indsigt i, hvordan systemer typisk bliver angrebet; deres udfordring består som regel i at forbinde denne idé med faktiske økonomiske tab. Fremskridtene på dette område er accelereret i det seneste årti.

Efter min erfaring er implementering af denne strategi ofte den letteste mulighed for de fleste organisationer til at forbedre deres sikkerhed. De fleste svindelnumre har mindst fem trin, og svindlerne skal lykkes med dem alle for at vinde; For at standse dem behøver du kun at stoppe dem ved et hvilket som helst af trinnene. For hvert trin i et potentielt svindelscenarie skal du brainstorme over, hvordan kilderne og påvirkningen kan reduceres. Som regel er der flere muligheder på tværs af alle procestrin, som er gratis (eller næsten gratis).

Succes med denne strategi kræver grundighed (i at identificere og dokumentere processer) og kreativitet (i at brainstorme løsninger). Øvelsen egner sig som en faciliteret teambuildingøvelse og giver ofte også effektivitetsgevinster.

3. Opret handlingsanvisende advarsler

Ved at indbygge advarsler og indikatorer i processer og systemer kan du stoppe svindel, før det er for sent. På en måde er dette det ældste trick i bogen: dobbelt bogholderi, trevejskontrol og de fleste GAAP-metoder anvender uafhængige registreringsmekanismer til at afsløre problemer. 

Denne tilgang har skabt monumentale forandringer i mange andre brancher i løbet af det seneste århundrede – fra Toyotas produktionsrevolution til moderne produktledelse – med teknologivirksomheder i front, som har fremmet denne tilgang i de seneste 15 år. Efter min erfaring og ifølge bekræftelser fra førende økonomiske eksperter er den først lige begyndt at vinde indpas. I løbet af de seneste 5 år har mange mindre virksomheder taget målstyring til sig og tildeler normalt CFO'en ansvaret for at lede denne forandring. Heldige dig.

Men gå eftertænksomt frem: Der er en mørk side ved målinger, dashboards og advarsler. I dagens erhvervsliv er der data overalt. KPI'er, SLA'er og status leveres færdigbyggede i flotte dashboards direkte fra pakken. Men hvis målingen eller advarslen ikke udløser en direkte handling (eller endnu værre, udløser den forkerte handling), er den værre end ubrugelig.

Det sker på to måder. For det første bliver teams ufølsomme over for for mange falske advarsler og ignorerer dem.

For det andet vælger nogle målinger, der ikke udløser en direkte handling. Disse kaldes ofte forfængelighedstal og kan i værste fald give en falsk følelse af sikkerhed, så opmærksomheden fjernes fra de reelle problemer. Som juristerne siger ...

Når du opretter advarsler, skal du vælge hændelser, der sandsynligvis indikerer et reelt problem. En tommelfingerregel er kun at følge målinger og advare om dem, hvis alle interessenter er enige om, at risikoen er tiden værd at undersøge. 

Metoder til forebyggelse af betalingssvindel

Selvom der stadig er stor værdi i de gennemprøvede traditionelle interne kontroller, kan nogle af dem være uoverkommelige for alle andre end de største organisationer. Jeg har erfaret, at følgende mekanismer er særligt effektive til at standse moderne svindel i mindre organisationer, ofte med overraskende lille indsats. Disse kontroller er omtrent prioriteret, men værdien og indsatsen vil variere betydeligt fra virksomhed til virksomhed. 

1. Opdel konti

Strategi: Reducer eksponeringen

Dette er en velkendt metode, men den anvendes stadig for sjældent af virksomheder i vækst. Ved at isolere bankkonti til betalinger kan du forhindre ekstreme tab. Hav en dedikeret konto til enkeltstående betalinger, en anden konto til forudsigelige månedlige udgifter og en likviditetskonto til øvrige midler. 

Hold en lav saldo på den forudsigelige konto, overfør manuelt midler til kontoen til enkeltstående betalinger, og betal aldrig fra likviditetskontoen. Svindel, der rammer en af kreditorbetalingskontiene, vil enten medføre nominelle tab eller mislykkes fuldstændigt.

Denne kontrol kan gøres nem med platforme til automatisering af kreditorbogholderiet.

2. Registrering hos et erhvervskreditbureau

Strategi: Reducer eksponeringen

Denne er nem og håndterer en anden type svindel: identitetstyveri af din virksomhed. Falsk kredit kan optages i din virksomheds navn, og oprydningen kan være besværlig. Hvis du først registrerer dig hos kreditbureauer for virksomheder, bliver det langt sværere for kriminelle at udnytte dig på denne måde.

3. Gå væk fra e-mail

Strategi: Reducer enkeltstående fejlpunkter

E-mail muliggør en enorm mængde svindel og kriminalitet. Det er ikke så mærkeligt, eftersom mange organisationer håndterer næsten alt via e-mail. Hvis det beskriver din virksomhed, er e-mail sandsynligvis et enkeltstående fejlpunkt for dig: Hvis en svindler får adgang til din e-mail, kan vedkommende forårsage stor skade og samtidig skjule sine spor.

Det er nemt at løse: Brug kun dedikerede systemer til at udføre aktiviteter med høj risiko.  

4. Enkeltlogon og multifaktorgodkendelse

Strategi: Reducer enkeltstående fejlpunkter

Denne er lidt teknisk, men bestemt besværet værd. Den bedste måde at håndtere adgangskoder og føderation på eliminerer et stort antal enkeltstående fejlpunkter for kriminel efterligning på dine systemer. Det, du har brug for, er et moderne, centralt system, der fungerer som identitetsudbyder for dine medarbejdere; derefter fortæller du hvert system, du bruger, at det skal have tillid til identitetsudbyderen. Medarbejderne logger ind hos identitetsudbyderen, hvorefter alt andet automatisk forbindes. 

Som jeg nævnte, er det teknisk, så dit IT-team skal opbygge forbindelserne.

Adgangskoder er et almindeligt fejlpunkt, så et krav om stærk multifaktorgodkendelse (MFA) eliminerer dette. Enhver føderationsudbyder, der er pengene værd, vil også kraftigt anbefale, at du stiller dette krav.

5. Honningkrukker

Strategi: Handlingsanvisende alarmer

Honningkrukker (sommetider kaldet kanarietokens) er en metode, der fortæller dig, hvis en cyberkriminel er kommet forbi al din beskyttelse og ind i noget, vedkommende ikke burde have adgang til. Honningkrukker er lokkemidler, der sender automatiske alarmer, når de bruges. De er mest udbredte inden for teknologi, men kan også oprettes til betalingsoplysninger. Det kan fungere særligt godt sammen med automatiserede finansplatforme, som jeg nævner i taktik nr. 10.

Teknologiske honningkrukker er nemme og gratis at opsætte. 

6. Udliciter til en tjeneste

Strategi: Reducer enkeltstående fejlpunkter

At bruge en leverandør er ofte ikke kun billigere, end hvis du leverer ydelsen internt, men også mere modstandsdygtigt. Udlicitering kan fjerne mange enkeltstående fejlpunkter ved at sprede virksomhedens behov ud over et større team og system. 

Mange virksomheder oplever, at en tjeneste til kreditorstyring bliver den billigere løsning, når kreditorstyring optager halvdelen af en medarbejders tid. Da dette skøn ikke tager højde for omkostningerne ved svindel, anbefaler jeg ofte virksomheder at overveje denne løsning længe før dette tidspunkt. Nogle automatiseringsplatforme kan gøre det muligt for et økonomiteam at øge deres volumen 100 gange uden nye medarbejdere eller tab af kontrol. 

Udlicitering af dine IT-systemer til en webplatform kan være endnu en fremragende måde at fjerne enkeltstående fejlpunkter på. De vil sandsynligvis kunne levere et bedre og mere pålideligt arbejde med kryptering, identifikation af malware og sårbarheder, modstandsdygtighed over for databrud samt forebyggelse af phishing, end du har kapacitet til at gøre internt.

Dette fungerer kun, hvis udliciteringstilbuddet har få eller ingen enkeltstående fejlpunkter. Mange outsourcingvirksomheder inden for økonomi stiller en dedikeret deltidsbogholder til rådighed, som gør alt, arbejder i dine systemer og udfører dine processer – ikke en god løsning, hvis du ønsker at mindske risikoen. På samme måde fortsætter en hel del webplatforme med at bygge på de samme skrøbelige designs, som blev brugt i 2006, tilføjer skyrelaterede modeord til deres markedsføring og håber, at ingen kigger under motorhjelmen. Det siger sig selv, at ingen af delene giver sikkerhedsmæssige fordele. 

7. Virtuelle kort

Strategi: Reducer eksponeringen

En udbyder af virtuelle kort giver dig mulighed for detaljeret kontrol over, hvem du betaler, og hvor meget du kan betale dem. Jeg har allerede behandlet virtuelle kort i min artikel, der forklarer hvordan du sikrer B2B-betalinger. De fleste automatiserede kreditorplatforme tilbyder virtuelle kort.

8. Leverandørvalidering og 3-vejs matchning

Strategi: Reducér eksponeringen

Begrænsning af betalinger til en liste over autoriserede leverandører, validering af betalingsoplysninger og matchning af fakturaer med indkøbsordrer kan være med til at eliminere en stor del af den mindre sofistikerede svindel. Mange udbydere tilbyder matchning med en liste over godkendte leverandører; det kan være overraskende billigt.

9. Positiv betalingskontrol

Strategi: Reducér eksponeringen

Denne funktion giver dig mulighed for at sende en liste over autoriserede indkøbsordrer til din bank hver måned. Banken blokerer derefter ACH- og checkbetalinger, der ikke matcher, og underretter virksomheden, når det sker. Denne mekanisme fik for 20 år siden ry for at kræve meget arbejde, men mange løsninger har siden fjernet de fleste problemer.

10. Automatiseret økonomistyring

Strategi: Handlingsanvisende alarmer & reducér enkeltstående fejlpunkter

En automatiseret økonomiplatform kan give dig meget detaljeret kontrol over, hvordan penge bevæger sig i din organisation, med en brøkdel af personalet. Det kan være enormt værdifuldt, men overgangen er ofte dyr. Overvej:

• Automatiske betalinger til faste, langsigtede leverandører. Du kan normalt konfigurere betalingsoplysningerne i leverandørposten.
• Automatisk fakturering og betalingspåmindelser
• Automatiserede overførsler og tilgodehavender
• Alarmer om uventede transaktioner og saldi
• Automatisk behandling af fakturaer og 3-vejs- eller 2-vejsmatchning
• AI-/anomaliidentifikation (oplysninger nedenfor)

Nogle platforme advarer på magisk vis om risikable transaktioner baseret på aktuelle trusler i branchen og den hovedbogsaktivitet, der er normal for din virksomhed. Mit råd? Hvis du ønsker et produkt på grund af dets funktion til anomaliidentifikation, så afprøv det først. AI-produkter er altid sorte bokse, så du kan ikke måle kvaliteten objektivt. Effektiviteten af produkter som sorte bokse har også en tendens til at forringes med årene, efterhånden som trusler og forhold udvikler sig.

Teknologiprodukter til kreditorbogholderi

Dette er et udvalg af nye og etablerede platforme til kreditorbogholderi med funktioner, som jeg har nævnt i denne artikel. Banker tilbyder også outsourcet kreditorbogholderi og debitorbogholderi (ofte faktureret som betalingsbehandling), normalt under eget mærke fra en specialiseret udbyder.

Svindel kan undgås

Du kan eliminere en stor del af skaderne fra internetkriminalitet ved at implementere stærke interne kontroller over kreditorbogholderiet. Selvom eksterne trusler er eksploderet i løbet af det seneste årti, er værktøjerne til at opdage og forhindre dem også blevet bedre (en af fordelene ved mobile betalingsapps er, at de kan hjælpe med dette).

Hvis du vil have flere tips til økonomiansvarlige, herunder hvordan du beskytter din virksomhed mod onlinetrusler, kan du tilmelde dig The CFO Clubs nyhedsbrev i dag.

Jeg vil meget gerne høre fra dig: Hvilke kontroller har været mest effektive til at forhindre svindel? Har du anvendt nogle af disse? Fortæl mig det i kommentarerne eller på de sociale medier.