Drie pijlers van effectieve fraudepreventie en het fraud risk management-raamwerk
Fraude vormt een blijvend risico voor organisaties en kan leiden tot financiële schade, reputatieverlies en juridische consequenties. Het voorkomen van fraude is daarom een belangrijk aandachtspunt. Experts van Ebben Partners delen hoe de drie pijlers governance, risk management en compliance en een fraud risk management-raamwerk kunnen bijdragen aan betere fraudepreventie.
1: Governance
Governance omvat de overkoepelende maatregelen die bijdragen aan integer gedrag binnen een organisatie. Dit geldt voor bestuurders, medewerkers en samenwerkingspartners. Een sterke governance helpt om frauderisico’s te beperken en biedt handvatten om op integriteitsschendingen te reageren. Governance heeft zowel een structuur- als een cultuurkant.
Belangrijke elementen van fraud risk governance zijn:
Bewustwording en beleid over integriteit
Het vergroten van het bewustzijn over integriteit en ethisch handelen en het opstellen van een beleid. Hierin is het belangrijk dat de leiding uitdraagt wat zij verwacht van haar medewerkers en hierin het gesprek faciliteert, de ‘tone at the top’.
Gedrag
Het analyseren van het gedrag in een organisatie om risicofactoren in kaart te brengen. Het gevoel om ergens bij te horen zit diep in de biologie van de mens. Hierdoor kunnen gedragspatronen ontstaan die niet wenselijk zijn of een risico vormen op integriteitsschendingen. Met soft controls kan het gedrag gestuurd worden.
Cultuur
Een integriteitgerichte cultuur vraagt om zichtbaarheid van de leiding op de gevoeligste onderwerpen, zoals fraude, corruptie en andere integriteitsrisico’s De leiding moet zich committeren om incidenten te voorkomen, het goede voorbeeld geven en duidelijk optreden wanneer het een keer fout loopt. Hoe bouwt de leiding zo’n waardengedreven organisatie?
2: Risk management
Een effectieve aanpak van fraude begint met het identificeren en beheersen van risico’s. Fraudepreventie vereist een systematische benadering waarbij zowel harde als zachte beheersmaatregelen worden ingezet.
Risicoanalyse
Het in kaart brengen van kwetsbaarheden en risico’s binnen de organisatie. Waar kan binnen de organisatie gefraudeerd worden? Herkent de organisatie deze risico’s?
Beheersmaatregelen
Het implementeren van interne controles en richtlijnen om fraude te voorkomen (preventieve maatregelen) en detecteren (detectieve maatregelen).
Een preventieve maatregel is bijvoorbeeld het controleren van bankbetalingen door een medewerker die de betalingen niet heeft klaargezet. Een detectieve maatregel is bijvoorbeeld het controleren van de bankbetalingen aan de hand van de onderliggende facturen. Deze interne controles kunnen worden versterkt met soft controls. Soft controls hebben invloed op houding en gedrag van de medewerkers.
Meldkanalen
Onderzoek van de Association of Certified Fraud Examiners laat zien dat veel fraudes worden ontdekt aan de hand van een tip. Het creëren van toegankelijke en vertrouwelijke meldpunten voor mogelijke misstanden kan daarbij helpen, aangezien een groot deel van de fraudezaken aan het licht komt door meldingen van betrokkenen.
Voorbereiding op fraudegevallen
Niet alle fraudes zijn te voorkomen. Een onderneming kan ervoor kiezen om een gecalculeerd risico te lopen. Het invoeren van een volledige functiescheiding op bankbetalingen is bijvoorbeeld niet haalbaar voor alle organisaties. In dergelijke gevallen is het van belang dat een organisatie voorbereid is op een mogelijke fraude in de betaalorganisatie.
3: Compliance
Compliance richt zich op het naleven van wet- en regelgeving en eigen policies en procedures, maar ook op het begrijpen van de achterliggende principes. Een sterke compliancecultuur draagt bij aan de integriteit van de organisatie.
Wettelijke verplichtingen:
Het voldoen aan regelgeving en rapportageverplichtingen met betrekking tot risicobeheersing, waaronder de Verantwoording omtrent Risicobeheersing (de ‘VOR’).
Ketenaansprakelijkheid
Het waarborgen van integriteit binnen de gehele waardeketen, inclusief leveranciers en partners.
Een aanpak voor fraud risk management
Een robuust fraud risk management-framework bestaat volgens de Committee of Sponsoring Organizations (COSO) uit vijf onderdelen: 1) fraud risk governance; 2) frauderisicoanalyse; 3) frauderisicobeheersing; 4) fraudedetectie; en 5) onderzoek en correctie.
Fraud risk governance
Sterke governance begint bij de top. Dit betekent een duidelijke ‘tone at the top’, integriteitsbeleid en een betrokken raad van bestuur of toezichthouder. Fraudepreventie en risicomanagement worden ingebed in de governancestructuur.
Frauderisico-identificatie en -beoordeling
Organisaties moeten actief risico’s inventariseren, analyseren en prioriteren.
Het analyseren van frauderisico’s begint met het identificeren van frauderisicofactoren: elementen binnen en buiten een organisatie die kunnen leiden tot fraude.
De Association of Fraud Examiners doet iedere twee jaar onderzoek naar fraudegevallen onderzocht door haar leden. De onderzoekers maken een onderscheid tussen drie verschijningsvormen van fraude: corruptie, oneigenlijke toe-eigening van activa en verslaggevingsfraude. Hoewel in de praktijk de verschillende vormen in elkaar overlopen, biedt dit onderscheid een goed denkkader.
Een manier om inzicht te krijgen in frauderisicofactoren is uitvragen op de werkvloer waar mogelijkheden worden gezien tot frauderen. Medewerkers zijn over het algemeen goed op de hoogte waar de potentiële lekken in een organisatie zitten.
Een voorbeeld hiervan is een magazijn dat afgesloten zou moeten zijn, maar om praktische redenen tijdens werktijden openlijk toegankelijk is. Of denk aan een controller die niet alleen toegang heeft tot de crediteurenadministratie, maar ook betalingen kan uitvoeren voor het geval de directeur afwezig is.
Een andere manier om inzicht te krijgen in frauderisico’s is weten wat er speelt in de sector. Een bekende fraude bij een concullega kan ook bij jou voorkomen. Een voorbeeld hiervan betreft de fraude in de zorgsector. Meerdere gemeenten hebben te maken met zorgbedrijven die niet geleverde zorg declareren of te dure zorg aanbieden. Dit is een voorbeeld van een frauderisico dat zich niet beperkt tot één gemeente.
Nadat de frauderisicofactoren in kaart zijn gebracht kunnen deze geanalyseerd en geprioriteerd worden.
Allereerst zal het frauderisico gewogen moeten worden op kans (hoe waarschijnlijk is het dat het zich voordoet) en impact (wat zijn de (financiële) gevolgen van dit risico). Deze weging helpt bij het bepalen van maatregelen voor de frauderisicobeheersing. Hoe hoger de kans en de impact, hoe meer aandacht aan dit risico besteed moet worden.
In het voorbeeld van het magazijn kan de analyse zijn dat de kans groot is dat er goederen worden meegenomen, maar dat de impact ervan klein is als het gaat om goederen met een kleine waarde.
In het voorbeeld van de controller met betaalbevoegdheden kan de kans klein zijn omdat de betaalbevoegdheden van de controller zijn beperkt tot een maximum bedrag per week. De zorgfraude geeft aan dat de impact niet alleen financieel is, maar ook het vertrouwen in de zorg aantast.
Frauderisicobeheersing
Preventie begint bij cultuur, maar vergt ook praktische maatregelen. Dit begint bij interne beheersingsmaatregelen, de zogenoemde hard controls. Interne beheersingsmaatregelen kunnen preventief van aard zijn. Denk hierbij aan functiescheiding in het betaalproces, toegangsbeperkingen in systemen of het afsluiten van (delen van het) magazijn.
Beheersingsmaatregelen kunnen ook detectief van aard zijn. In het voorbeeld van die controller die in afwezigheid van de directeur betalingen uitvoert kan een beheersingsmaatregel zijn dat de directeur achteraf de betalingen controleert.
De zachte kant van interne beheersing, de soft controls, vormen de randvoorwaarde voor het functioneren van interne beheersingsmaatregelen.
Fraudedetectie
Omdat fraude nooit 100% te voorkomen is, zijn detectiemechanismen nodig. Hiervoor kan data-analyse worden ingezet. Data-analyse kan ook preventief worden ingezet voor het detecteren van fraude. Dit wordt bijvoorbeeld in de bancaire sector veelvuldig toegepast om ongebruikelijke transacties te herkennen. Dit is een vorm van continious auditing en kan ook in andere sectoren worden ingezet.
Het hebben van een goede klokkenluidersregeling en een kanaal om te melden zorgt ervoor dat onregelmatigheden snel kunnen worden gesignaleerd.
Onderzoek en correctie
Als fraude optreedt, moeten organisaties adequaat reageren. Dit vraagt een goede voorbereiding van een organisatie. Een onafhankelijk onderzoek kan een respons zijn op onregelmatigheden.
