Fraude komt nooit netjes aangekondigd. Het ontstaat vaak als een onderbuikgevoel, een afwijking in cijfers, een collega die iets vreemds ziet of een factuur die nét niet klopt. En als het kwartje valt, schiet een organisatie bijna automatisch in de actiestand. Laptop innemen. Accounts blokkeren. De betrokken medewerker confronteren. Of het hele team informeren ‘zodat iedereen weet dat we dit niet accepteren’.
Volgens Ron Nieuwendijk, al ruim dertig jaar werkzaam in fraude en integriteit bij Hoffmann, is dat precies het moment waarop het mis kan gaan. Niet omdat die reflex onlogisch is, maar omdat haast en emotie vaak botsen met bewijs. “Wij zeggen altijd: bel alsjeblieft voordat je wat gaat doen. Want misschien gaat er aan de voorkant wel iets fout en daar hebben we later last van.” Hoffmann is een onderzoeksbureau dat organisaties helpt bij fraude- en integriteitskwesties, zowel aan de preventieve kant als bij onderzoek na een incident. Vanuit die combinatie ziet Ron dagelijks wat er misgaat in de eerste uren na een vermoeden van fraude.
Fraude is niet alleen geld: vertrouwen en veiligheid staan meteen op het spel
Dat organisaties sneller aan de bel trekken dan vroeger begrijpt Ron goed. “Je ziet dat veel organisaties scherper zijn op signalen. Dat wordt gevoed doordat je steeds vaker leest dat er fraude plaatsvindt, soms met behoorlijke geldbedragen, maar het gaat ook om reputatieschade.”
En dan is er nog iets dat veel harder binnenkomt: interne betrokkenheid. “Wij zitten heel vaak in fraudegevallen waarbij iemand in de organisatie een rol speelt; dan komen vertrouwen en veiligheid meteen naar voren. Als er iemand in een organisatie werkt die dit gedrag vertoont, dan kan en wil de directie dat vaak niet accepteren. Juist omdat het zo dichtbij komt, is de druk om direct in te grijpen groot. Maar dat is ook precies waarom je even moet vertragen; gecontroleerd, niet passief.” Die paniek levert voorspelbare reflexen op:
“Ik heb directeuren gehad die zeiden: ik ga zo de afdeling op. Ik ga vertellen wat er aan de hand is, en degene die het gedaan heeft kan zich tot vijf uur melden, anders ga ik naar de politie.’”
Ron geeft heel duidelijk aan: “Doe dat maar niet. Want diegene gaat zich niet melden. En je maakt meer kapot dan dat je wijs wordt. Waarom? Omdat je in één klap het speelveld verandert: je waarschuwt mogelijk de dader, je zet collega’s tegen elkaar op en je creëert ruis, precies op het moment dat je feiten nodig hebt.”
Snelheid is hierin alsnog belangrijk. In Ron’s ogen is dit één van de grote verschillen met het reguliere traject via politie en justitie ten opzichte van Hoffmann. Niet omdat aangifte geen optie is, maar omdat fraude binnen ondernemingen niet altijd prioriteit krijgt. “Politie en justitie hebben hun handen vol aan openbare orde en veiligheid. Werkgevers lopen dan tegen de muur: je kunt wel aangifte doen, maar er gebeurt niet zo heel veel. Terwijl je als werkgever denkt: er zit iemand in mijn bedrijf die de boel misleidt. Dat voelt niet goed. Dan wil je snel duidelijkheid. Wij kunnen dezelfde dag nog een intakegesprek plannen.”
Een fraude-response plan hoeft geen boekwerk te zijn
Wat Ron bij veel organisaties mist, is een simpel plan voor het eerste uur en de eerste dag.
“Ik noem dat altijd een frauderesponseplan. Dat hoeft geen dik boekwerk te zijn. Zet het desnoods op één A4: als ik met fraude te maken heb, dan zijn dit de eerste twee, drie stappen.”
Het gaat dan niet om extra bureaucratie, maar om rust creëren op het moment dat alles in je lijf ‘actie’ schreeuwt. “Rustig blijven is belangrijk. Er gaat vaak emotie door je heen. Even met z’n allen op je handen zitten is het beste. Je moet snel handelen, maar je moet het wél gecontroleerd doen.” Hij vindt het opvallend dat organisaties bij ransomware of andere cyberincidenten steeds vaker wél een crisisplan hebben, maar bij fraude veel minder. “Terwijl het niet eens zo heel erg hoeft af te wijken. Ook bij fraude heb je rollen nodig, besluitvorming en een eerste set ‘do’s en don’ts’.”
Waarom je bij digitale fraude geen tijd te verliezen hebt
“We zien heel vaak fraude in geautomatiseerde systemen. Dat kunnen valse facturen zijn, maar ook vertrouwelijke bedrijfsinformatie die naar buiten wordt gebracht of mensen die concurrerende activiteiten ontplooien.”
Een case die hem is bijgebleven, speelde bij een groter bedrijf met een omvangrijk ICT-project. “De controller vroeg een kostenoverzicht en schrok zich kapot. Toen ze verder keken, zagen ze dat facturen waren geaccordeerd en betaald van een onderneming waarvan iedereen zei: wat heeft die binnen dit project eigenlijk gedaan? Het ging om een bedrag van ruim honderdduizend euro. Dan wil je natuurlijk weten: wat is hier gebeurd?” En juist dan is snelheid bepalend: of je de feiten nog netjes kunt achterhalen, of dat je door reflexen het spoor vertroebelt.
Ron merkt dat organisaties soms aarzelen om hulp te zoeken. Schaamte, reputatie: het speelt allemaal mee. Maar hij ziet ook een verschuiving. “Bedrijven hebben er sneller belang bij om het te onderzoeken, omdat de schade aanzienlijk kan zijn.” Daarom is zijn advies niet alleen technisch of juridisch, maar ook menselijk: “Organiseer het gesprek, hou het klein, hou het feitelijk. En zorg dat je vooraf weet wie wat moet doen. Bel ons voordat je wat gaat doen, want als je in het eerste uur de verkeerde stap zet, kan het later heel moeilijk worden.”
Ron Nieuwendijk is als senior consultant werkzaam bij de afdeling Fraude & Integriteit bij Hoffmann.