Sammen med løsepengevirus er svindlere den største cybersikkerhetsrisikoen for virksomheter med under 500 millioner dollar i omsetning, og mye av denne faren retter seg mot leverandørgjeld (AP) gjennom betalingssvindel.

Men jeg har gode nyheter. I dag er teknikkene for svindelforebygging som fungerer best mot eksterne kriminelle nettverk og sleipe ansatte, stort sett de samme. Jeg skal skissere de beste måtene å gjøre dette på, og begynner med litt nødvendig bakgrunn før vi går videre til strategiene og taktikkene som vil holde virksomhetens midler trygge.

En kort historie om økonomiske kontroller

Helt siden handelens begynnelse har mennesker lurt hverandre. Utbredelsen av dobbel bokføring, rettsmedisinsk regnskapsføring og handelsreguleringer bidrar alle til å fortelle den samme menneskelige historien: Det vil alltid finnes mennesker som stjeler alt som ikke er boltet fast.

Det siste århundret har regnskapsbøker blitt stadig mer komplekse, muliggjort av teknologi, globalisering og et mer komplisert juridisk landskap. Etter hvert som kompleksiteten økte, gjorde også metodene som uærlige ansatte kunne bruke for å stjele penger, det. Regnskapsmiljøer og tilknyttede tilsynsorganer svarte med å utvikle interne kontroller, som ble trappet opp på 1960-tallet og nå har blitt et kritisk aspekt ved en veldrevet virksomhet. 

De siste 15 årene har eksterne trusler økt dramatisk. Økende kriminalitetsekspertise, virksomhetsteknologiens voksende betydning og en overgang til raske elektroniske betalinger har alle bidratt til den økende globale suksessen til svindel, løsepengekrav og tyveri rettet mot virksomheter.

Samtalen kom innenfra

Den mest effektive måten å forhindre disse nye eksterne truslene på er å styrke styringen av de ansatte, for tro meg: den største trusselen kommer «innenfra». 

«Mener du at de ansatte mine ikke er til å stole på?»

Nei – ikke alltid og ikke med vilje.

Tidligere oppsto risikoen for betalingssvindel hovedsakelig gjennom en kombinasjon av ansattes muligheter, behov og tilgang. En ansatt med tilgang til virksomhetens midler blir fristet til å utnytte dette, særlig hvis det løser et stort problem for vedkommende. Deretter svindler de virksomheten, og hvis de ikke blir tatt, blir det ofte en vane de ikke klarer å bryte ut av.

Veksten i ekstern svindel tilfører en annen faktor: hvor mottakelige velmenende ansatte er for å bli lurt. «Datainnbrudd» er ikke en form for teknomagi som på magisk vis kan få penger til å forsvinne fra en bankkonto; Det gir bare en allerede ondsinnet svindler tilgang ved å lure mennesker eller systemer.

Selv om du kan lære opp ansatte til å være mer oppmerksomme på angrep, er det å utvide den økonomiske kontrollen over arbeidet og systemene deres en av de beste måtene å håndtere svindel fra begge kilder på.

Generelle strategier

Etter hvert som svindeltrendene utvikler seg, har tradisjonelle og interne kontroller samlet seg i tre hovedstrategier for å bekjempe betalingssvindel.

Som med alle investeringer bør du alltid begynne med god risikostyring: Hvilke trusler er mest sannsynlige og mest skadelige for virksomheten din?

1. Reduser enkeltstående feilkilder

Dette er ingeniørversjonen av vår gamle kjenning, arbeidsdeling (SoD), der ideen utvides fra mennesker til systemer og verktøy. Tenk på det klassiske tilfellet med arbeidsdeling: Hvis én enkelt ansatt kan utbetale midler og redigere hovedboksposter, er det farlig; vedkommende representerer en enkeltstående feilkilde for betalingssvindel. Det skal tross alt bare én svikt (hos personen og i etikken deres) til for at svindelen skal lykkes.

Med moderne trusler er alt som kan utgi seg for å være dem, også en enkeltstående feilkilde: passordet deres, den bærbare datamaskinen eller til og med en overtakelse av e-posten deres.

Fjern enkeltstående feilkilder ved å dele dem mellom et team og legge til flere trinn.

Denne disiplinen går i dybden. Senere i denne artikkelen skal jeg gå gjennom noen av de vanligste feilkildene og hvordan de kan håndteres.

2. Reduser eksponeringen

Det finnes to hovedkomponenter for å redusere eksponeringen for betalingssvindel: rett innsatsen mot kildene og reduser den potensielle konsekvensen. 

Ved å håndtere truslenes kilde reduserer du sannsynligheten for at trusselen oppstår; konsekvensreduserende tiltak minimerer det potensielle tapet hvis den faktisk oppstår. 

Se på to klassiske eksempler fra svindelkontroll: godkjenningsgrenser reduserer det potensielle tapet fra svindelutgifter (konsekvens), og minste privilegium reduserer sannsynligheten for svindel ved å begrense antallet personer som kan sette den i gang (kilder).

Cybersikkerhetsbransjen har en beslektet idé kalt angrepsflate, som vanligvis brukes til å beskrive systemer. Det er en kombinasjon av hvor sårbart et system er, og hvor mange ting som kan koble seg til det og dermed angripe det. Cybersikkerhetsteam har vanligvis best innsikt i hvordan systemer typisk blir angrepet; utfordringen deres ligger som regel i å knytte denne ideen til faktiske økonomiske tap. Fremgangen på dette området har skutt fart det siste tiåret.

Etter min erfaring er implementering av denne strategien ofte den enkleste muligheten for de fleste organisasjoner til å forbedre sikkerheten. De fleste svindelforsøk har minst fem trinn, og svindlere må lykkes med alle for å vinne; For å stanse dem trenger du bare å stoppe dem ved ett av trinnene. For hvert trinn i et mulig svindelscenario bør du finne ut hvordan kildene og konsekvensene kan reduseres. Vanligvis finnes det flere muligheter på tvers av alle prosesstrinnene som er kostnadsfrie (eller nesten kostnadsfrie).

For å lykkes med denne strategien kreves grundighet (i å avdekke og dokumentere prosesser) og kreativitet (i idémyldring rundt løsninger). Øvelsen egner seg godt som en fasilitert teambuildingøvelse og gir ofte også effektivitetsgevinster.

3. Opprett handlingsrettede varsler

Ved å bygge inn advarsler og indikatorer i prosesser og systemer kan du stanse svindel før det er for sent. På en måte er dette det eldste trikset i boken: dobbelt bokholderi, treveis avstemming og de fleste GAAP-standarder benytter uavhengige bokføringsmekanismer for å avdekke problemer. 

Denne tilnærmingen har ført til enorme omveltninger i mange andre bransjer det siste århundret – fra Toyotas produksjonsrevolusjon til moderne produktledelse – med teknologiselskaper i front, som har fremmet denne tilnærmingen de siste 15 årene. Etter min erfaring, og med støtte fra ledende økonomitenkere, har den først nylig begynt å bli vanlig. De siste fem årene har mange mindre virksomheter tatt i bruk målstyring, og vanligvis fått CFO-en til å lede denne omstillingen. Heldig for deg.

Men gå varsomt frem: Det finnes en mørk side ved måltall, dashbord og varsler. I dagens næringsliv finnes det rikelig med data. KPI-er, SLA-er og status vises ferdig på pene dashbord rett ut av boksen. Men hvis måltallet eller varselet ikke utløser direkte handling (eller enda verre, utløser feil handling), er det verre enn ubrukelig.

Dette skjer på to måter. For det første vil team bli ufølsomme og ignorere varsler hvis det er for mange falske varsler.

For det andre velger noen måltall som ikke utløser direkte handling. Disse kalles ofte forfengelighetsmåltall, og i verste fall kan de gi en falsk trygghetsfølelse og distrahere fra reelle problemer. Som juristene sier …

Når du bygger varsler, bør du velge hendelser som sannsynligvis indikerer et reelt problem. En tommelfingerregel er å bare følge med på måltall og varsle om dem hvis alle interessenter er enige om at risikoen er verdt tiden det tar å undersøke den. 

Tiltak for å forebygge betalingssvindel

Selv om det fortsatt er stor verdi i de velprøvde tradisjonelle internkontrollene, kan noen av dem være uoverkommelige for alle andre enn de største organisasjonene. Jeg har erfart at mekanismene nedenfor er spesielt effektive for å stanse moderne svindel i mindre organisasjoner, ofte med overraskende liten innsats. Disse kontrollene er grovt prioritert, men verdien og innsatsen vil variere betydelig mellom selskaper. 

1. Del opp kontoene

Strategi: Reduser eksponeringen

Dette er et velkjent tiltak, men det brukes fortsatt for lite av virksomheter i vekst. Ved å isolere bankkontoer for betalinger kan du forhindre ekstreme tap. Ha én egen konto for engangsbetalinger, en annen konto for forutsigbare månedlige utgifter og en kapitalkonto for andre midler. 

Hold saldoen lav på den forutsigbare kontoen, overfør midler manuelt til engangskontoen, og betal aldri fra kapitalkontoen. Svindel som rammer noen av betalingskontoene, vil enten føre til nominelle tap eller mislykkes fullstendig.

Denne kontrollen kan gjøres enkel med plattformer for automatisering av leverandørgjeld.

2. Registrering hos kredittopplysningsbyrå for virksomheter

Strategi: Reduser eksponeringen

Denne er enkel og tar for seg en annen type svindel: identitetstyveri mot virksomheten din. Falsk kreditt kan tas opp i virksomhetens navn, og oppryddingen kan være tidkrevende. Hvis du registrerer deg hos kredittopplysningsbyråer for virksomheter først, blir det mye vanskeligere for kriminelle å utnytte deg på denne måten.

3. Gå bort fra e-post

Strategi: Reduser enkeltstående feilkilder

E-post muliggjør en enorm mengde svindel og kriminalitet. Det er ikke så rart, siden mange organisasjoner driver nesten alt gjennom e-post. Hvis dette beskriver virksomheten din, er e-post sannsynligvis en enkeltstående feilkilde for deg: Hvis en svindler får tilgang til e-posten din, kan de forårsake mye skade samtidig som de skjuler sporene sine.

Det er enkelt å løse dette: Bruk bare dedikerte systemer til å utføre aktiviteter med høy risiko.  

4. Enhetlig pålogging og flerfaktorautentisering

Strategi: Reduser enkeltstående feilkilder

Denne er litt teknisk, men absolutt verdt det. Den beste måten å håndtere passord og føderering på eliminerer et stort antall enkeltstående feilkilder for kriminell etterligning i systemene dine. Det du trenger, er et moderne, sentralisert system som fungerer som identitetsleverandør for de ansatte. Deretter ber du hvert system du bruker om å stole på det. De ansatte logger inn hos identitetsleverandøren, og så kobles alt annet sammen på magisk vis. 

Som nevnt er dette teknisk, så IT-teamet ditt må bygge koblingene.

Passord er en vanlig feilkilde, så krav om sterk flerfaktorautentisering (MFA) eliminerer dette. Enhver fødereringsleverandør som er verdt pengene, vil også på det sterkeste anbefale at du krever det.

5. Honningpotter

Strategi: Handlingsrettede varsler

Honningpotter (noen ganger kalt kanarimarkører) er en metode som varsler deg hvis en nettkriminell har kommet seg forbi all beskyttelsen din og inn i noe de ikke burde ha tilgang til. Honningpotter er lokkemidler som sender automatiske varsler når de brukes. Dette er mest utbredt innen teknologi, men kan også opprettes for betalingsopplysninger. Det kan fungere spesielt godt med automatiserte økonomiplattformer, som jeg omtaler i taktikk nr. 10.

Teknologiske honningpotter er enkle og gratis å sette opp. 

6. Sett det ut til en tjeneste

Strategi: Reduser enkeltstående feilkilder

Å bruke en leverandør er ofte ikke bare billigere enn å levere tjenesten internt, men også mer robust. Utsetting kan fjerne mange enkeltstående feilkilder ved å spre virksomhetens behov på et større team og system. 

Mange virksomheter opplever at en tjeneste for leverandørreskontro blir det billigere alternativet når håndteringen av leverandørreskontro tar halvparten av tiden til en ansatt. Siden dette anslaget ikke tar hensyn til kostnadene ved svindel, anbefaler jeg ofte at virksomheter vurderer dette lenge før det punktet. Enkelte automatiseringsplattformer kan gjøre det mulig for et økonomiteam å øke volumet 100 ganger uten nye ansatte eller tap av kontroll. 

Å sette ut IT-systemene dine til en nettplattform kan være en annen utmerket måte å fjerne enkeltstående feilkilder på. De vil sannsynligvis gjøre en langt bedre jobb med kryptering, identifisering av skadevare og sårbarheter, motstandsdyktighet mot datainnbrudd og forebygging av phishing enn du har kapasitet til å gjøre internt.

Dette fungerer bare hvis tjenesten du setter ut, har få eller ingen enkeltstående feilkilder. Mange leverandører av økonomitjenester tilbyr en dedikert, deltidsbasert regnskapsfører som gjør alt, arbeider i systemene dine og utfører prosessene dine – ikke et godt alternativ hvis du ønsker å redusere risikoen. På samme måte fortsetter en god del nettplattformer å bygges med de samme skjøre designene som ble brukt i 2006, legger til moteord fra skyverdenen i markedsføringen og håper at ingen ser under panseret. Det sier seg selv at ingen av disse alternativene gir sikkerhetsfordeler. 

7. Virtuelle kort

Strategi: Reduser eksponeringen

Ved å bruke en leverandør av virtuelle kort får du detaljert kontroll over hvem du betaler, og hvor mye du kan betale dem. Jeg har allerede omtalt virtuelle kort i artikkelen min om hvordan du sikrer B2B-betalinger. De fleste automatiserte AP-plattformer tilbyr virtuelle kort.

8. Leverandørvalidering og 3-veis samsvar

Strategi: Reduser eksponeringen

Å begrense betalinger til en liste over autoriserte leverandører, validere betalingsinformasjon og samsvare fakturaer med innkjøpsordrer kan bidra til å eliminere mye av den mindre sofistikerte svindelen. Mange leverandører tilbyr samsvar mot en liste over kontrollerte leverandører; dette kan være overraskende rimelig.

9. Positiv betalingskontroll

Strategi: Reduser eksponeringen

Denne funksjonen lar deg sende en liste over autoriserte innkjøpsordrer til banken hver måned. Banken blokkerer deretter ACH- og sjekkbetalinger som ikke samsvarer, og varsler virksomheten når dette skjer. Denne mekanismen fikk et rykte for 20 år siden for å kreve mye arbeid, men mange tilbud har siden fjernet de fleste problemene.

10. Automatisert økonomistyring

Strategi: Handlingsrettede varsler & reduser enkeltstående feilkilder

En automatisert plattform for økonomistyring kan gi deg svært detaljert kontroll over hvordan penger flyttes i organisasjonen, med en brøkdel av bemanningen. Det kan være svært verdifullt, men er ofte en kostbar overgang. Vurder:

• Automatiske betalinger til faste, langsiktige leverandører. Du kan vanligvis konfigurere betalingsdetaljene i leverandørregisteret.
• Automatisk fakturering og purring
• Automatiserte overføringer og kundefordringer
• Varsler om uventede transaksjoner og saldoer
• Automatisk behandling av fakturaer og 3-veis eller 2-veis samsvar
• AI-/anomalioppdagelse (informasjon nedenfor)

Noen plattformer varsler deg på magisk vis om risikable transaksjoner, basert på aktuelle trusler i bransjen og hvilken hovedbokaktivitet som er normal for virksomheten din. Mitt råd? Hvis du ønsker et produkt på grunn av funksjonen for anomalioppdagelse, bør du prøve det først. AI-produkter er alltid svarte bokser, så du kan ikke måle kvaliteten objektivt. Effektiviteten til svarte boks-produkter har også en tendens til å forringes over tid, etter hvert som trusler og forhold utvikler seg.

Teknologiprodukter for leverandørgjeld

Dette er et utvalg av nye og etablerte AP-plattformer med funksjoner som jeg har nevnt i denne artikkelen. Banker tilbyr også outsourcet AP og outsourcet AR (ofte fakturert som remitteringsbehandling), vanligvis med en dedikert leverandørs merkevare.

Svindel kan unngås

Du kan eliminere mye av skadene fra nettkriminalitet ved å innføre sterke interne kontroller for leverandørgjeld. Selv om eksterne trusler har eksplodert det siste tiåret, har også verktøyene for å oppdage og forhindre dem blitt bedre (en av fordelene med mobile betalingsapper er at de kan bidra til dette).

For flere tips til økonomiansvarlige, inkludert hvordan du kan holde virksomheten din trygg mot trusler på nettet, kan du abonnere på nyhetsbrevet til CFO Club i dag.

Jeg vil gjerne høre fra deg: Hvilke kontroller har vært mest effektive for å forhindre svindel? Har du tatt i bruk noen av disse? Gi meg beskjed i kommentarfeltet eller på sosiale medier.