Betalingsfraude: 3 strategieën & 10 tactieken om oplichting te voorkomen
Naast ransomware vormen fraudeurs het grootste cybersecurityrisico voor bedrijven met een omzet van minder dan $500 miljoen. Een groot deel van dat gevaar richt zich via betalingsfraude op de crediteurenadministratie (AP).
Maar ik heb goed nieuws. Tegenwoordig zijn de fraudepreventietechnieken die het beste werken tegen zowel externe criminele bendes als gladde ingewijden grotendeels hetzelfde. Ik zet de beste manieren om dit te doen op een rij. Eerst behandel ik wat noodzakelijke context, voordat ik inga op de strategieën en tactieken waarmee je je bedrijfsgeld veilig houdt.
Een beknopte geschiedenis van financiële controles
Al sinds het begin van de handel hebben mensen elkaar bedrogen. De opkomst van dubbel boekhouden, forensische accountancy en handelsvoorschriften vertellen allemaal hetzelfde menselijke verhaal: er zullen altijd mensen zijn die alles stelen wat niet is vastgeschroefd.
Create a Free Account to Read More
You'll also get access to a growing community of modern CFOs and finance executives accessing proven frameworks, tools, and insights to navigate AI-driven finance.
Have an account? Log In
In de afgelopen eeuw zijn grootboeken steeds complexer geworden, mogelijk gemaakt door technologie, globalisering en een ingewikkelder juridisch landschap. Naarmate de complexiteit toenam, namen ook de methoden toe waarmee gewetenloze werknemers geld konden stelen. Accountancykringen en aanverwante toezichthouders reageerden hierop door interne controles te ontwikkelen. Vanaf de jaren 60 werden die steeds verder uitgebreid en inmiddels vormen ze een cruciaal onderdeel van een goed geleid bedrijf.
In de afgelopen 15 jaar zijn externe bedreigingen sterk toegenomen. De toenemende verfijning van criminaliteit, het groeiende belang van bedrijfstechnologie en de overgang naar snelle elektronische betalingen hebben allemaal bijgedragen aan het groeiende wereldwijde succes van oplichting, losgeld en diefstal tegen bedrijven.
De oproep kwam vanuit het huis zelf
De meest effectieve manier om deze nieuwe externe bedreigingen te voorkomen, is het toezicht op je werknemers te versterken, want geloof me: je grootste bedreiging komt “vanuit het huis zelf”.
“Zeg je nu dat ik mijn personeel niet kan vertrouwen?”
Nee – niet altijd en niet opzettelijk.
Voorheen ontstond het risico op betalingsfraude vooral door een combinatie van de gelegenheid, behoefte en toegangsrechten van een werknemer. Een werknemer die toegang heeft tot bedrijfsgeld komt in de verleiding om daar misbruik van te maken, vooral als dat een groot probleem voor diegene oplost. Vervolgens benadeelt die werknemer het bedrijf en, als hij of zij niet wordt betrapt, wordt het vaak een gewoonte waar diegene niet meer vanaf komt.
De groei van externe fraude voegt daar nog een factor aan toe: de vatbaarheid van je goedwillende werknemers om te worden misleid. “Hacken” is geen soort technologische tovenarij waarmee geld op magische wijze uit een bankrekening kan worden gehaald; het geeft een al kwaadwillende fraudeur alleen toegang door mensen of systemen te misleiden.
Hoewel je werknemers kunt trainen om alerter te zijn op aanvallen, is het uitbreiden van de financiële controle over hun werk en systemen een van de beste manieren om fraude vanuit beide bronnen aan te pakken.
Algemene strategieën
Naarmate fraudetrends zich ontwikkelen, zijn traditionele en interne controles samengekomen in drie belangrijke strategieën om betalingsfraude te bestrijden.
Zoals bij elke investering begin je altijd met gedegen risicobeheer: welke bedreigingen zijn het waarschijnlijkst en richten ze de meeste schade aan je bedrijf aan?
1. Verminder enkelvoudige foutpunten
Dit is de technische variant van onze oude bekende, scheiding van taken (SoD), waarbij het idee wordt uitgebreid van mensen naar systemen en hulpmiddelen. Denk aan het klassieke SoD-geval: als één werknemer geld kan uitbetalen en boekingen in het grootboek kan wijzigen, is dat gevaarlijk; die werknemer vormt een enkelvoudig foutpunt voor betalingsfraude. Er hoeft immers maar één ding mis te gaan (die werknemer en diens ethiek) om succesvolle fraude mogelijk te maken.
Bij moderne bedreigingen vormt alles wat zich als die werknemer voordoet ook een enkelvoudig foutpunt: het wachtwoord, de laptop of zelfs een overname van diens e-mail.
Verhelp enkelvoudige foutpunten door de verantwoordelijkheid binnen een team te delen en stappen toe te voegen.
Deze discipline gaat diep. In de tactieken verderop in dit artikel bespreek ik enkele van de meest voorkomende foutpunten en hoe je die kunt aanpakken.
2. Verminder blootstelling
Er zijn twee belangrijke onderdelen om je blootstelling aan betalingsfraude te verminderen: richt je op de bronnen en op de mogelijke impact.
Door de bron van bedreigingen aan te pakken, verklein je de kans dat de bedreiging zich voordoet; door de impact te beperken, minimaliseer je het potentiële verlies als dat toch gebeurt.
Neem twee klassieke voorbeelden uit fraudebestrijding: goedkeuringslimieten beperken het potentiële verlies door frauduleuze uitgaven (impact), en minimale toegangsrechten verkleinen de kans op fraude door het aantal mensen dat deze kan initiëren te beperken (bronnen).
De cyberindustrie kent een verwant concept dat aanvalsoppervlak wordt genoemd, wat doorgaans wordt gebruikt om systemen te beschrijven. Het is een combinatie van hoe kwetsbaar een systeem is en hoeveel zaken ermee verbinding kunnen maken en het dus kunnen aanvallen. Cyberteams hebben meestal het meeste inzicht in de manier waarop systemen doorgaans worden aangevallen; hun uitdaging ligt meestal in het koppelen van dit concept aan daadwerkelijke financiële verliezen. De vooruitgang op dat gebied is het afgelopen decennium versneld.
In mijn ervaring is het implementeren van deze strategie voor de meeste organisaties vaak de meest laaghangende kans om hun beveiliging te verbeteren. De meeste oplichtingspraktijken bestaan uit ten minste vijf stappen, en fraudeurs moeten in alle stappen slagen om te winnen; om hen dwars te zitten, hoef je ze slechts bij één van de stappen te stoppen. Bedenk voor elke stap in een mogelijk fraudescenario hoe je de bronnen en impact kunt verminderen. Meestal zijn er in alle processtappen verschillende mogelijkheden die niets (of bijna niets) kosten.
Succes met deze strategie vereist nauwkeurigheid (bij het ontdekken en documenteren van processen) en creativiteit (bij het brainstormen over oplossingen). Deze oefening leent zich goed als begeleide teambuildingoefening en levert vaak ook efficiëntiewinst op.
3. Maak bruikbare waarschuwingen
Door waarschuwingen en indicatoren in processen en systemen in te bouwen, kan fraude worden gestopt voordat het te laat is. In zekere zin is dit de oudste truc uit het boek: dubbele boekhouding, drievoudige matching en de meeste GAAP-principes maken gebruik van onafhankelijke registratieprocessen om problemen aan het licht te brengen.
Deze aanpak heeft de afgelopen eeuw in veel andere sectoren tot enorme veranderingen geleid - van Toyota’s productierevolutie tot modern productmanagement - waarbij technologiebedrijven de afgelopen 15 jaar vooropliepen en deze aanpak propageerden. Op basis van mijn ervaring en de bevestiging door vooraanstaande denkers op het gebied van financiën, begint deze aanpak nu pas breed te worden toegepast. In de afgelopen 5 jaar hebben veel kleinere bedrijven het sturen op kengetallen omarmd en wijzen ze meestal de CFO aan om die transformatie te leiden. Mooi meegenomen.
Maar wees bedachtzaam: er zit ook een duistere kant aan kengetallen, dashboards en waarschuwingen. In de zakenwereld van vandaag is er data in overvloed. KPI’s, SLA’s en statussen zijn standaard beschikbaar op fraaie dashboards. Maar als het kengetal of de waarschuwing niet tot directe actie leidt (of erger nog, tot de verkeerde actie leidt), is deze erger dan nutteloos.
Dit gebeurt op twee manieren. Ten eerste raken teams ongevoelig voor te veel valse waarschuwingen en gaan ze deze negeren.
Ten tweede kiezen sommige mensen kengetallen die niet tot directe actie leiden. Deze worden vaak ijdelheidskengetallen genoemd en kunnen in het ergste geval een vals gevoel van veiligheid geven, waardoor de aandacht wordt afgeleid van echte problemen. Zoals de advocaten zeggen...
Kies bij het opstellen van waarschuwingen gebeurtenissen die waarschijnlijk op een echt probleem wijzen. Een vuistregel is om kengetallen alleen te volgen en er alleen waarschuwingen over te geven als alle belanghebbenden het erover eens zijn dat het risico de tijd waard is om het te onderzoeken.
Tactieken om betalingsfraude te voorkomen
Hoewel er nog steeds grote waarde zit in de beproefde conventionele interne beheersmaatregelen, kunnen sommige daarvan onhaalbaar zijn voor alle organisaties behalve de grootste. Ik heb gemerkt dat de volgende mechanismen bijzonder effectief zijn bij het stoppen van moderne fraude in kleinere organisaties, vaak met verrassend weinig inspanning. Deze beheersmaatregelen zijn globaal geprioriteerd, maar de waarde en inspanning kunnen per bedrijf sterk verschillen.
1. Segmenteer rekeningen
Strategie: beperk de blootstelling
Dit is een veelgebruikte maatregel, maar wordt nog steeds te weinig toegepast door groeiende bedrijven. Het isoleren van bankrekeningen voor betalingen kan extreme verliezen voorkomen. Houd een speciale rekening aan voor eenmalige betalingen, een andere rekening voor voorspelbare maandelijkse uitgaven en een treasuryrekening voor overige middelen.
Houd het saldo op de voorspelbare rekening laag, stort handmatig geld op de rekening voor eenmalige betalingen en betaal nooit uit vanaf de treasuryrekening. Fraude die een van de crediteurenrekeningen treft, leidt dan tot slechts nominale verliezen of mislukt volledig.
Deze beheersmaatregel kan eenvoudig worden gemaakt met platforms voor AP-automatisering.
2. Registratie bij een zakelijk kredietbureau
Strategie: blootstelling verminderen
Deze is eenvoudig en richt zich op een ander type fraude: identiteitsdiefstal van je bedrijf. Valse kredieten kunnen op naam van je bedrijf worden afgesloten en het opruimen daarvan kan een hele klus zijn. Door je eerst te registreren bij kredietbureaus voor bedrijven, maak je het criminelen veel moeilijker om op deze manier misbruik van je te maken.
3. Stap af van e-mail
Strategie: afzonderlijke faalpunten verminderen
E-mail maakt een enorme hoeveelheid fraude en criminaliteit mogelijk. Dat is niet verwonderlijk, want veel organisaties voeren bijna alles via e-mail uit. Als dit je bedrijf beschrijft, is e-mail waarschijnlijk een afzonderlijk faalpunt voor jou: als een fraudeur toegang krijgt tot je e-mail, kan die veel schade aanrichten en tegelijkertijd zijn sporen uitwissen.
Dit oplossen is eenvoudig: gebruik alleen speciale systemen voor activiteiten met een hoog risico.
4. Eenmalige aanmelding, meervoudige authenticatie
Strategie: afzonderlijke faalpunten verminderen
Deze is wat technischer, maar zeker de moeite waard. De beste manier om met wachtwoorden en federatieve identiteitsbeheer om te gaan, elimineert een enorm aantal afzonderlijke faalpunten voor criminele identiteitsfraude in je systemen. Wat je nodig hebt, is een modern, centraal systeem dat fungeert als identiteitsprovider voor je medewerkers; vervolgens vertel je elk systeem dat je gebruikt dat het deze provider moet vertrouwen. Medewerkers melden zich aan bij de identiteitsprovider, waarna al het andere zich als vanzelf verbindt.
Zoals ik al zei, is dit technisch, dus je IT-team zal de verbindingen moeten bouwen.
Wachtwoorden vormen een veelvoorkomend faalpunt, dus door sterke meervoudige authenticatie (MFA) te vereisen, elimineer je dat risico. Elke federatieve identiteitsprovider die zijn vak verstaat, zal je ook sterk adviseren dit te verplichten.
5. Lokmiddelen
Strategie: bruikbare waarschuwingen
Lokmiddelen (soms canarytokens genoemd) zijn een aanpak die je laat weten of een cybercrimineel al je beveiliging is gepasseerd en toegang heeft gekregen tot iets waar die niet bij hoort te kunnen. Lokmiddelen zijn afleidingsmiddelen die automatische waarschuwingen versturen wanneer ze worden gebruikt. Deze aanpak wordt het meest toegepast in de technologiesector, maar kan ook worden gebruikt voor betalingsgegevens. Dit kan bijzonder goed werken met geautomatiseerde financiële platforms, die ik noem bij tactiek #10.
Technologische lokmiddelen zijn eenvoudig en gratis in te stellen.
6. Besteed uit aan een dienstverlener
Strategie: afzonderlijke faalpunten verminderen
Het gebruik van een leverancier is vaak niet alleen goedkoper dan wat je intern kunt leveren, maar ook veerkrachtiger. Uitbesteding kan veel afzonderlijke faalpunten wegnemen door de behoeften van je bedrijf over een groter team en systeem te spreiden.
Veel bedrijven merken dat een dienst voor crediteurenadministratie de goedkopere optie wordt wanneer de crediteurenadministratie de helft van de tijd van een medewerker in beslag neemt. Omdat deze inschatting geen rekening houdt met de kosten van fraude, raad ik bedrijven vaak aan dit al ruim daarvoor te overwegen. Sommige automatiseringsplatforms kunnen een financieel team in staat stellen hun volume 100x te verhogen zonder extra personeel of verlies van controle.
Het uitbesteden van je IT-systemen aan een webplatform kan een andere uitstekende manier zijn om afzonderlijke faalpunten weg te nemen. Zij zullen waarschijnlijk beter dan jij dat intern kunt met versleuteling, de identificatie van malware en kwetsbaarheden, weerstand tegen datalekken en het voorkomen van phishing omgaan.
Dit werkt alleen als de uitbestede oplossing weinig of geen afzonderlijke faalpunten heeft. Veel dienstverleners op het gebied van financiën leveren één toegewijde, parttime accountant die alles doet, in jouw systemen werkt en jouw processen uitvoert - geen goede optie als je risico’s wilt verminderen. Op dezelfde manier blijven veel webplatforms bouwen met dezelfde kwetsbare ontwerpen die in 2006 werden gebruikt, voegen ze cloudmodewoorden toe aan hun marketing en hopen ze dat niemand onder de motorkap kijkt. Het spreekt voor zich dat geen van beide beveiligingsvoordelen biedt.
7. Virtuele kaarten
Strategie: blootstelling verminderen
Met een aanbieder van virtuele kaarten krijg je nauwkeurige controle over wie je betaalt en hoeveel je die persoon of partij kunt betalen. Ik heb virtuele kaarten al behandeld in mijn artikel over het beveiligen van B2B-betalingen. De meeste geautomatiseerde AP-platforms bieden virtuele kaarten.
8. Leveranciersvalidatie en 3-wegmatch
Strategie: blootstelling verminderen
Door betalingen te beperken tot een lijst met geautoriseerde leveranciers, betalingsinformatie te valideren en facturen aan inkooporders te koppelen, kan veel van de minder geavanceerde fraude worden geëlimineerd. Veel aanbieders bieden koppelingen met een lijst van gecontroleerde leveranciers; dit kan verrassend goedkoop zijn.
9. Positieve betaalcontrole
Strategie: blootstelling verminderen
Met deze functie kun je elke maand een lijst met geautoriseerde inkooporders naar je bank sturen. De bank blokkeert vervolgens ACH- en cheque betalingen die niet overeenkomen en stelt het bedrijf daarvan op de hoogte. Dit mechanisme kreeg twintig jaar geleden de reputatie veel werk met zich mee te brengen, maar veel oplossingen hebben sindsdien de meeste problemen opgelost.
10. Geautomatiseerde financiën
Strategie: bruikbare waarschuwingen & enkelvoudige faalpunten verminderen
Een geautomatiseerd financieel platform kan je in staat stellen om met een fractie van het personeel zeer gedetailleerde controle te houden over de manier waarop geld binnen je organisatie wordt verplaatst. Dit kan enorm waardevol zijn, maar de overstap is vaak duur. Denk aan:
- Automatische betalingen aan vaste, langdurige leveranciers. Je kunt de betalingsgegevens meestal configureren in het leveranciersrecord.
- Automatische facturering en betalingsherinneringen
- Geautomatiseerde overboekingen en debiteurenbeheer
- Waarschuwingen voor onverwachte transacties en saldi
- Automatische verwerking van facturen en 3-wegmatch of 2-wegmatch
- AI-/afwijkingsdetectie (informatie hieronder)
Sommige platforms waarschuwen je op magische wijze voor risicovolle transacties, op basis van actuele bedreigingen binnen de sector en van de grootboekactiviteit die normaal is voor je bedrijf. Mijn advies? Als je een product wilt vanwege de functie voor afwijkingsdetectie, probeer het dan eerst uit. AI-producten zijn altijd een zwarte doos, waardoor je de kwaliteit niet objectief kunt meten. De effectiviteit van producten die als zwarte doos werken, neemt in de loop der jaren ook vaak af naarmate bedreigingen en omstandigheden veranderen.
Technologische producten voor crediteurenadministratie
Dit is een selectie van nieuwe en gevestigde platforms voor crediteurenadministratie met functies die ik in dit artikel heb genoemd. Banken bieden ook uitbestede crediteuren- en debiteurenadministratie aan (vaak gefactureerd als betalingsverwerking), meestal onder eigen label van een gespecialiseerde aanbieder.
Fraude is te voorkomen
Je kunt veel schade door internetcriminaliteit voorkomen door sterke interne controles voor de crediteurenadministratie in te voeren. Hoewel externe bedreigingen het afgelopen decennium sterk zijn toegenomen, zijn ook de hulpmiddelen om deze te detecteren en voorkomen uitgebreid (een van de voordelen van mobiele betaalapps is dat ze hierbij kunnen helpen).
Abonneer je vandaag nog op de nieuwsbrief van The CFO Club voor meer tips voor financieel verantwoordelijken, waaronder manieren om je bedrijf te beschermen tegen online bedreigingen.
Ik hoor graag van je: welke controles zijn het effectiefst geweest bij het voorkomen van fraude? Heb je een van deze maatregelen toegepast? Laat het me weten in de reacties of op sociale media.
