Een Duits hof heeft een manager onlangs persoonlijk aansprakelijk gesteld voor miljoenenschade na een geval van CEO-fraude. Het bedrijf droeg de rekening niet. De medewerker die de betaling had goedgekeurd, droeg die wel. De reden was geen klassieke nalatigheid in de zin van onzorgvuldig werk. Er was simpelweg nooit vastgelegd wie binnen de organisatie betalingen mag goedkeuren en hoe dat gecontroleerd wordt. Dat ontbrekende beleid, niet de fraude zelf, bepaalde uiteindelijk wie de rekening kreeg.
Wat er in deze zaak gebeurde
De zaak draaide om een klassieke vorm van CEO-fraude. Een medewerker ontving een bericht dat leek te komen van de directie, met het dringende verzoek een groot bedrag over te maken naar een extern rekeningnummer. Het bericht oogde urgent en geloofwaardig genoeg om zonder verdere ruggespraak te worden uitgevoerd. Pas later bleek dat het om fraude ging, toen de schade al was geleden.
Het hof keek niet alleen naar de fraudeur, die vermoedelijk toch niet te vinden was. Het keek vooral naar de organisatie zelf. Was er een procedure die deze betaling had moeten tegenhouden? Die bleek er niet te zijn, en dat gebrek werd de manager persoonlijk aangerekend.
Waarom dit verder gaat dan een slimme phishingmail
CEO-fraude werkt niet met virussen of ingewikkelde hacktechnieken. Het werkt met vertrouwen, tijdsdruk en hiërarchie. Iemand die denkt een opdracht van de directeur uit te voeren, gaat niet snel dwarsliggen. Spamfilters en beveiligde e-mailsystemen vangen een deel van deze pogingen af, maar een goed geschreven bericht op het juiste moment glipt er altijd doorheen.
De werkelijke zwakte zit in de vraag wie een betaling mag goedkeuren en of daar altijd een tweede blik op is. Als die vraag nooit is beantwoord, beschermt niets een medewerker wanneer het misgaat. En niets beschermt de directie tegen de gevolgen daarvan.
Beleid komt voor techniek
Bij Motics kijken we bij dit soort zaken eerst naar beleid, pas daarna naar techniek. Je kunt de beste beveiligingssoftware aanschaffen en toch kwetsbaar blijven, zolang niemand heeft vastgelegd wie binnen jouw bedrijf een betaling boven een bepaald bedrag mag goedkeuren. Een goed betalingsbeleid hoeft niet ingewikkeld te zijn. Het bevat in elk geval:
- een duidelijk bedrag waarboven een tweede persoon moet meekijken en akkoord geven
- een vaste manier om een ongebruikelijk of dringend verzoek te verifiëren, bijvoorbeeld door te bellen naar een bekend nummer in plaats van te reageren op de mail
- afspraken over wat medewerkers moeten doen als iets snel moet, juist omdat fraude vaak op haast leunt
- een aanwijzing wie verantwoordelijk is voor het actueel houden van deze afspraken
Dit hoeft geen dik protocol te worden. Eén heldere pagina die iedereen kent en volgt, werkt beter dan een uitgebreid document dat ergens in een la ligt.
Hoe je dit nu aanpakt
Begin met meten, niet met het bedenken van regels. Breng eerst in kaart hoe betalingen nu in de praktijk worden goedgekeurd, los van wat er ooit is afgesproken. Vraag de mensen die dagelijks betalingen verwerken hoe zij nu beslissen of iets klopt. Vaak wijkt de werkelijke praktijk af van wat de directie denkt dat er gebeurt.
Leg daarna vast wat wel en niet mag, in gewone taal, zonder dat het een juridisch document wordt. Neem de tijd om dit uit te leggen aan iedereen die met betalingen te maken heeft. Niet als controlemaatregel die wantrouwen uitstraalt, maar als bescherming, voor het bedrijf en voor henzelf. Geef expliciet toestemming om een betaling even aan te houden en te verifiëren, ook als die zogenaamd van de directeur zelf komt. Wie bang is om tegen de baas in te gaan, stopt geen fraude.
Zorg ten slotte dat dit beleid aantoonbaar is: een gedateerd document waaruit blijkt wanneer het is vastgesteld, wie het kent en wanneer het voor het laatst is bijgewerkt. Het gevoel dat je het altijd zo doet, is daarvoor niet genoeg.
Wat dit betekent voor jou als directeur
Deze Duitse zaak gaat verder dan één ongelukkige medewerker. Ze laat zien hoe rechters tegenwoordig kijken naar verantwoordelijkheid binnen bedrijven. Wie een fout daadwerkelijk uitvoert, staat niet meer alleen in de schijnwerpers. Ook degene die had moeten zorgen voor een werkbaar kader, komt in beeld. Als directeur ben jij degene die dat kader neerzet. Dat is geen taak voor de ICT-afdeling of de boekhouder alleen, het is een bestuurlijke verantwoordelijkheid. Die begint bij iets simpels: opschrijven wie welke betaling mag goedkeuren, en dat met regelmaat controleren.
Dit past bij een bredere beweging, zichtbaar onder meer rond NIS2, waarin bedrijven steeds vaker aantoonbaar moeten maken dat ze hun risico’s beheersen. Dat begint met vastgelegde afspraken over wie waarvoor verantwoordelijk is, op papier en met een datum erbij.
Een paar vragen die we vaak krijgen
Geldt dit risico ook voor kleinere bedrijven, of vooral voor grote organisaties?
Juist kleinere bedrijven lopen hier risico, omdat betalingsprocessen vaak informeel geregeld zijn en vertrouwen op de korte lijnen tussen directie en boekhouding. Hoe kleiner het bedrijf, hoe groter de kans dat één persoon zonder tweede blik een grote betaling kan doen. De kwetsbaarheid zit in hoe dat proces is ingericht, ongeacht de omvang van de organisatie.
Beschermt een cyberverzekering ons niet tegen dit soort schade?
Een verzekering kan de financiële schade beperken zodra het misgaat. Verzekeraars controleren echter steeds vaker of een organisatie redelijke voorzorgsmaatregelen had getroffen voordat ze uitkeren, en een ontbrekend betalingsprotocol kan die uitkering juist bemoeilijken.
Moet ik mijn hele betalingsproces nu helemaal omgooien?
Meestal niet. De meeste bedrijven hebben al een redelijke praktijk, alleen staat die nergens op papier en is ze nooit expliciet gemaakt. Het gaat erom wat er al goed gaat vast te leggen en de losse eindjes dicht te zetten, niet om vanaf nul te beginnen.
Hoe voorkom ik dat dit beleid alleen op papier bestaat?
Betrek de mensen die er dagelijks mee werken bij het opstellen ervan, zodat het aansluit op hun werk in plaats van een extra laag bureaucratie te worden. Plan daarnaast een vast moment, bijvoorbeeld jaarlijks, om te controleren of de praktijk nog aansluit bij wat er is vastgelegd.
Wil je weten hoe jouw bedrijf er op dit vlak voorstaat? Wij denken graag met je mee over een betalingsbeleid dat past bij hoe jouw organisatie werkt, en helpen je dat aantoonbaar vast te leggen.
