Frauderisicoanalyse als katalysator voor effectieve interne beheersing

Gelegenheid tot fraude ligt constant op de loer. Het belang van alertheid, bewustwording van frauderisico’s en het nemen van gepaste maatregelen om dergelijke incidenten te voorkomen.

In een eerdere blog hebben we al besproken hoe fraude en integriteit in de publieke sector de aandacht trekken van accountants tijdens hun jaarlijkse controles. We benadrukten daarbij het verplichte integriteitsbeleid voor elke overheidsorganisatie. Integriteit vormt immers de basis voor een betrouwbare overheid.

In deze blog duiken we dieper in het vraagstuk van interne beheersing. Fraude hangt nauw samen met een cruciale bouwsteen van interne beheersing: ethiek en cultuur, ook wel de zachte kant van interne beheersing (soft controls) genoemd, die zich richt op houding en gedrag. Aandacht voor fraude is erg actueel en noodzakelijk bij gemeenten met helaas vele recente voorbeelden bij de gemeenten Den Haag, Noordwijk en Helmond.

Door Gerrit Goud

Advies vanuit frauderisicoanalyse

Waarom is de link naar cultuur en ethiek zo interessant? Omdat verbeteringen in het interne beheersingsproces daardoor sneller tot stand komen. Hoe vaak zijn adviezen vanuit accountantscontroles of interne audits (gericht op hard controls) niet opgepakt vanwege gebrek aan tijd, geld of prioriteit? Maar wanneer dezelfde verbeteringen gekoppeld worden aan frauderisico’s, gebeurt er iets wonderbaarlijks. Er ontstaat beweging voor verbetering. Dit is logisch, want een advies om (transactie)fouten te voorkomen vanuit een jaarrekeningcontrole heeft minder impact dan een advies vanuit een frauderisicoanalyse. Frauderisicoanalyse raakt namelijk een kernwaarde van elke organisatie: integer gedrag, dat essentieel is voor interne beheersing.

“Interne beheersing is het vermogen dat een organisatie in staat stelt doelstellingen op een betrouwbare wijze te realiseren, onzekerheden aan te pakken en integer te handelen”.

Frauderisicoanalyse als katalysator

Integer handelen draait om houding, gedrag en naleving van wet- en regelgeving. Wanneer fraude ontstaat, moeten directie en bestuur uitleg geven. Fraude schaadt immers het vertrouwen in de overheid, vooral als de organisatie zelf de gelegenheid heeft gecreëerd. Het voorkomen van dergelijke situaties ligt daarom in handen van de directie en het bestuur. Een belangrijk voordeel van deze benadering is dat dezelfde beheersdoelstellingen, gericht op juistheid, volledigheid, tijdigheid en financiële rechtmatigheid, sneller bereikt kunnen worden. Een frauderisicoanalyse fungeert hierbij als katalysator; het vergroot de alertheid, betrokkenheid en bewustwording bij alle belanghebbenden over het nut en de noodzaak van interne beheersing. Voor organisaties die verder willen ontwikkelen op het gebied van interne beheersing, biedt deze aanpak veel mogelijkheden.

Fraude in de praktijk bij gemeenten

Onderschat het belang van een goede fraudeanalyse niet. Een voorbeeld is het nieuws over fraude bij Burgerzaken van de gemeente Den Haag, waar een baliemedewerker in korte tijd €640.000 aan wisselgeld verduisterde. De fraude vond op eenvoudige wijze plaats en had met betere interne beheersing voorkomen kunnen worden. Alarmbellen bij het werken met contant geld bleven uit, terwijl professionals in het financiële domein bekend zouden moeten zijn met deze risico’s. Na zijn ontslag pleegde dezelfde medewerker opnieuw fraude bij de gemeente Noordwijk, waar diegene twee valse paspoorten en een vals rijbewijs aanmaakte.

De gemeente Helmond ontving een valse factuur van bijna €93.000. De factuur leek afkomstig van een bekende leverancier en bevatte een nieuw, maar frauduleus bankrekeningnummer. Wat de factuur bijzonder geloofwaardig maakte, was dat de oplichters vooraf via een phishingaanval alle relevante factuurgegevens hadden weten te bemachtigen. Ondanks dat het e-mailadres van de afzender afweek van het bekende adres, werd de factuur zonder verdere controle betaald. Daarmee werden de interne afspraken over verificatie – zoals het nagaan van wijzigingen via een ander communicatiekanaal – niet nageleefd. Het incident ontstond dus niet door een technisch lek, maar door het niet volgen van afgesproken procedures. Deze fraude had voorkomen kunnen worden met striktere naleving van interne controles, betere bewustwordingstraining voor medewerkers en technische maatregelen om verdachte e-mails tijdig te herkennen.

Het normenkader Integriteit van Key2Control

Om integriteit zichtbaar, beheersbaar en aantoonbaar te maken, biedt Key2Control het normenkader Integriteit. Dit kader is gebaseerd op wet- en regelgeving en vertaalt deze naar uitvoerbare kaders met normvereisten, aandachtspunten, werkinstructies en beheersmaatregelen. Zo wordt integriteit structureel geborgd in zowel ambtelijk als bestuurlijk handelen. Het ondersteunt overheidsorganisaties bij het versterken van soft controls – de gedragsmatige en culturele kant van interne beheersing – en sluit aan bij het belang van een integere organisatiecultuur. Ook draagt het bij aan verantwoording richting de accountant binnen het toetsingscriterium ‘misbruik en oneigenlijk gebruik’. Dankzij dit normenkader hoeven overheidsorganisaties het wiel niet opnieuw uit te vinden, maar kunnen zij gericht werken aan integriteit en vertrouwen. Meer weten over het normenkader Integriteit? We gaan graag met je in gesprek.