Het begon met een routinecontrole. Tijdens een periodieke financiële controle bij een grote Nederlandse organisatie vielen een paar facturen op. Uitzonderlijk hoge bedragen, van een leverancier die binnen de organisatie niet bekend was. Geen specificatie, geen uitleg. Reden genoeg voor de financiële afdeling om eens beter te kijken.
Wat bleek: al die facturen waren door dezelfde medewerker ter verwerking aangeboden. En door diezelfde medewerker goedgekeurd.
Een slimme omweg
Toen ISP de zaak onderzocht, werd duidelijk hoe het in elkaar stak. De medewerker, werkzaam in een ondersteunende functie, ontving vanuit die functie facturen voor zakelijke dienstverlening. Die facturen werden aangepast: bedragen flink omhoog, omschrijvingen anders. Daarna keurde de medewerker ze zelf goed en gingen ze door naar Finance. Die betaalde netjes uit aan de leverancier.
Dan volgde de tweede stap. De medewerker nam contact op met de leverancier: er was te veel overgemaakt, of ze het verschil wilden terugstorten. Op een ander rekeningnummer. De leverancier handelde te goeder trouw. Dat rekeningnummer bleek de privérekening van de medewerker.
Zo ging het ongeveer een jaar lang. Opgeteld ruim een ton.
De puzzel leggen
Eén factuur vertelt je weinig. Eén e-mail ook niet. Daarom legden we alles naast elkaar. We brachten in kaart welke procedures en bevoegdheden er golden. We analyseerden de facturen en de digitale eigenschappen van de bestanden. We deden onderzoek in de zakelijke mailbox, voerden openbaar bronnenonderzoek uit en vroegen bij de leverancier betaalbewijzen en facturen op. En we interviewden relevante medewerkers.
Stukje voor stukje konden documenten, geldstromen, communicatie en verklaringen met elkaar worden vergeleken. Tot slot kreeg de betrokken medewerker in het kader van hoor en wederhoor de bevindingen voorgelegd, met de gelegenheid om daarop te reageren.
Er was toch een vierogenprincipe?
Dat is misschien wel de belangrijkste vraag. Want formeel waren er controles ingericht, inclusief een vierogenprincipe. Alleen werkten ze niet op alle onderdelen zoals bedoeld. Facturen werden verwerkt zonder de voorgeschreven prestatieverklaring. Er werd onvoldoende gecontroleerd of de dienst ook echt geleverd was. En de medewerker had vanuit de functie een rol in het aanvragen en controleren van diensten, en kon facturen zelf aanbieden én goedkeuren. Daardoor speelden gegevens van één persoon een grote rol in het betaalproces.
Er waren geen aanwijzingen dat de leverancier of andere medewerkers betrokken waren. Het ging om individueel handelen, maar wel handelen dat gebruikmaakte van kwetsbaarheden in het proces.
En er was nog iets. Tijdens het onderzoek vingen we signalen op dat zich bij een vorige werkgever mogelijk iets vergelijkbaars had voorgedaan. Iets wat bij een adequate screening, bijvoorbeeld met een referentiecheck, naar voren had kunnen komen.
Wat je ervan kunt leren
Controleer de prestatie, niet alleen de factuur. Elke betaling moet terug te voeren zijn op een concrete bestelling, een aantoonbaar geleverde prestatie en een correcte factuur. Bij afwijkingen hoort aanvullende verificatie.
Zorg voor echte functiescheiding. Voorkom dat dezelfde medewerker een uitgave kan initiëren, de informatie kan aanleveren én kan bevestigen dat er geleverd is. Een vierogenprincipe moet in de praktijk werken, niet alleen op papier.
Richt controles in op afwijkingen. Nieuwe leveranciers, ongebruikelijk hoge bedragen, opeenvolgende spoedbetalingen, ontbrekende specificaties, veranderende uitgavenpatronen. In deze zaak kwamen de afwijkende bedragen ook precies zo aan het licht.
“Bij ons gebeurt dit niet”
Op basis van onze bevindingen hebben we geadviseerd aangifte te doen en het bedrag terug te vorderen. Maar de les reikt verder dan deze ene zaak. Interne fraude ontstaat niet alleen doordat iemand bereid is een grens over te gaan, maar ook doordat iemand de gelegenheid krijgt. Wie denkt dat het in de eigen organisatie niet kan gebeuren, loopt daarmee al een risico. Vertrouw je medewerkers, maar richt je processen zo in dat niemand onbeperkt op dat vertrouwen hoeft te varen.
Vermoedens van fraude of wil je het voorkomen?
Twijfel je over een betaling, een leverancier of het handelen van een medewerker? Of wil je weten hoe weerbaar jouw processen zijn? ISP helpt je verder, van een onafhankelijk forensisch onderzoek tot een kritische blik op je controles en functiescheiding. Discreet, zorgvuldig en op basis van feiten. Neem vrijblijvend contact met ons op via +31 320 284 141 of info@ispbv.nl.
