Interne fraude verantwoordelijk voor 5% omzetverlies wereldwijd

Het risico van binnenuit is in enkele jaren verschoven van een randverschijnsel naar een structurele kwetsbaarheid. Uit recent onderzoek onder Europese organisaties blijkt dat 76% het afgelopen jaar te maken had met een incident binnen de organisatie, tegen 66% in 2019.³ De weerbaarheid loopt achter op die ontwikkeling: slechts 30% van de organisaties die een verhoogd risico lopen, heeft een programma tegen interne dreiging (deels) ingericht, en 84% voelt zich niet goed toegerust om zulke incidenten te herkennen en af te handelen.⁴

Waarom blijft dit probleem zo hardnekkig? Omdat het structureel is. In meer dan de helft van de fraudezaken ontbreken interne controles of worden bestaande controles bewust door het management omzeild.⁵ De insider weet welke uitzonderingen bestaan op de regel, welke controles alleen op papier voorkomen en gebruikt zijn positie en reputatie om kritische vragen te ontwijken of in de kiem te smoren. Samenspanning met een collega of leverancier vergroot de schade verder. Een fraudeur kan transacties legitiem laten ogen door gebruik te maken van het vertrouwen van collega's. Hiervoor hoeft hij geen beveiliging te doorbreken.

Voor Nederlandse organisaties in gereguleerde sectoren, denk aan financiële dienstverlening, energie, telecom en defensie, is dit een risico. Juist hier concentreren zich functies met veel autonomie, betaalbevoegdheid en toegang tot gevoelige informatie. En juist bij langgedienden en leidinggevenden ontbreken functiescheidingen herhaalde screening het vaakst, omdat de positie zelf als waarborg wordt gezien. Veel organisaties richten hun aandacht primair op naleving bij indiensttreding en missen daarmee de gedragssignalen die zich pas jaren later aandienen.

Tegelijk is screening in Nederland gebonden aan strikte kaders. De AVG en het arbeidsrecht stellen grenzen aan wat een werkgever mag onderzoeken en volgen, en de Wet Bibob geldt alleen in specifieke situaties. Dit betekent dat er geen vrijbrief is voor grenzeloze controle op je personeel. De beste manier om dit aan te pakken is om de zwaarste maatregelen te reserveren voor de functies waar de mogelijke impact het grootst is.

De schade veroorzaakt door een insider beperk je langs twee sporen: fraude moeilijker maken en fraude sneller ontdekken. Screening zit op beide sporen. Voorafgaand aan een aanstelling wordt een inschatting gemaakt of er persoonlijke risico’s zijn die relevant zijn voor de toekomstige aanstelling. En met periodieke herscreening onderzoek je of er gaandeweg risico’s ontstaan of toenemen, bijvoorbeeld in het geval van financiële problemen na een scheiding.

Het eerste spoor begint bij sterke basiscontroles: functiescheiding, duidelijke autorisatielimieten en het vier-ogenprincipe bij betalingen, leveranciersbeheer en contractgoedkeuring. Het tweede spoor draait om actief zoeken in plaats van afwachten. Dat betekent de boekhouding periodiek naast de werkelijkheid leggen, betalingen, declaraties en afwijkende boekingen doorlichten op patronen die niet kloppen, en  met enige regelmaat een onaangekondigde controle houden. Bij organisaties die dit doen, ligt de fraudeschade ongeveer de helft lager en wordt fraude gemiddeld twee keer zo snel ontdekt.⁶

De grootste schade ontstaat waar de meeste macht zit, dus daar horen ook de zwaarste waarborgen. Concreet betekent dat:

• Onafhankelijke screening die niet stopt na indiensttreding, maar zich bij risicovolle functies periodiek herhaalt en de signalen meeweegt die in de loop van een loopbaan ontstaan.

• Verdiepend onderzoek bij een concreet vermoeden, dat verder kijkt dan een standaardcontrole naar financiële druk, belangenverstrengeling en gevoeligheid voor beïnvloeding.

• Een vast incidentprotocol: bewijs veiligstellen, toegang en betalingen blokkeren, en de juridische en personele escalatie in gang zetten zodra een signaal serieus wordt.

Een insider begint zelden met kwaadaardige bedoelingen. Meestal is het een opeenstapeling: financiële druk thuis, een functie met te veel onbewaakte ruimte en een gelegenheid die zich aandient. Fraude is dan geen plotselinge misstap, maar de uitkomst van signalen die vaak maanden eerder al zichtbaar waren, als ze waren opgemerkt.  

Dit betekent dat een controle bij het begin van een dienstverband weinig zegt over wie iemand jaren later is geworden. Om deze reden zouden Nederlandse organisaties juist de meest vertrouwde functies scherp in beeld moeten houden, want vanuit deze functies kan de grootste schade ontstaan.

¹ Association of Certified Fraud Examiners, "Occupational Fraud 2024: A Report to the Nations," maart 2024.

² Ibid.

³ Signpost Six, "Insider Risk Trend Report 2026," 2026.

⁴ Ibid.

⁵ Association of Certified Fraud Examiners, "Occupational Fraud 2024."

⁶ Ibid.