Fraude: zie je wat je mist?

Hoe vaak heb je als internal auditor fraude ontdekt? Data laat zien dat het aantal gevallen gering is. Door meldingen worden drie keer zoveel fraudegevallen ontdekt dan door interne audits. Dat is geen verwijt, maar een feit én een kans. De Association of Certified Fraud Examiners brengt elke twee jaar in kaart hoe organisaties wereldwijd worden getroffen door fraude. De uitkomsten zijn ook voor internal auditors ontnuchterend én leerzaam.

Wie zich beroepsmatig bezighoudt met fraudebestrijding, kent de Association of Certified Fraud Examiners (ACFE). Opgericht in 1988 door Joseph Wells, een voormalig FBI-agent die constateerde dat er een gat zat tussen accountants die weinig wisten van onderzoek en rechercheurs die weinig begrepen van financiën. Vanuit die observatie ontstond een nieuw vakgebied: ‘fraud examination’, de multidisciplinaire aanpak van fraude waarin boekhoudkunde, criminologie, recht en onderzoekstechnieken samenkomen.

De ACFE
De ACFE telt inmiddels meer dan 95.000 leden in ruim 180 landen, verspreid over 200 lokale chapters. In Nederland zijn bijna 500 leden van de ACFE geregistreerd uit zowel de publieke als private sector. Het ACFE Netherlands Chapter (acfe.nl) organiseert zo’n vijf bijeenkomsten per jaar over actuele fraudethema’s, van bijvoorbeeld cryptovaluta-tracing tot ondermijning in de havens. Deze bijeenkomsten hebben als doel zowel de permanente educatie te faciliteren als het netwerk.

Certificering

Net als voor internal auditors is er een certificering die fraud examiners kunnen halen: de certified fraud examiner, afgekort CFE. De opleiding voorziet in kennis ten aanzien van het voorkomen, detecteren en onderzoeken van fraude. Certificering wordt toegekend nadat het examen succesvol is afgerond. Dat examen toetst kennis op vier domeinen: financiële transacties en fraudeschema’s, onderzoekstechnieken, recht en fraudepreventie. Wereldwijd werken er bijna 60.000 actieve CFE’s, bij accountantskantoren, opsporingsdiensten, toezichthouders, verzekeraars, en steeds vaker bij interne auditafdelingen van grote organisaties. Het onderscheidende aan deze certificering is de combinatie van financiële kennis met een onderzoeksgerichte blik: niet alleen vaststellen dat een controle niet werkt, maar begrijpen hoe een fraudeur die controle zou kunnen omzeilen.

De grootste fraudestudie

Elke twee jaar publiceert de ACFE het Report to the Nations, de grootste studie naar beroepsgerelateerde fraude ter wereld. De editie van 2025 analyseerde 1921 onderzochte fraudezaken uit 138 landen, onderzocht tussen januari 2022 en september 2023. De cijfers zijn stevig: een mediane schade van $ 145.000 per zaak; een stijging van 24% ten opzichte van twee jaar eerder. 22% van de zaken betrof verliezen van meer dan een miljoen dollar. De totale schade in het onderzoek bedroeg meer dan $ 3,1 miljard.

43% van alle fraudezaken wordt ontdekt doordat iemand aan de bel trekt – drie keer zo vaak als welke andere methode ook. Internal audit staat op de tweede plaats met 15%

De ACFE schat dat organisaties wereldwijd 5% van hun omzet verliezen aan fraude, wat neerkomt op meer dan vijf biljoen dollar per jaar. Ook West-Europa is nadrukkelijk vertegenwoordigd in het rapport: 117 onderzochte zaken met een mediane schade van $ 120.000. In meer dan de helft van die Europese zaken speelde corruptie een rol. De conclusie dat fraude ‘elders’ gebeurt, is dus onhoudbaar.

Hoe fraude wordt ontdekt

Minstens zo interessant als de omvang is de manier waarop fraude aan het licht komt (zie figuur 1). Meldingen zijn veruit de belangrijkste detectiemethode: 43% van alle fraudezaken wordt ontdekt doordat iemand aan de bel trekt – drie keer zo vaak als welke andere methode ook. Internal audit staat op de tweede plaats met 15%, gevolgd door ‘management review’ met 13%. Die Top-3 is samen goed voor 70% van alle ontdekkingen. Opvallend: voor het eerst zijn online meldformulieren (40%) belangrijker dan de traditionele telefonische meldlijn (30%) als kanaal voor meldingen. Externe accountantscontrole? Slechts goed voor een schamele 2% van de ontdekte fraudes.
Dat lage cijfer is geen toeval: een jaarrekeningcontrole is gericht op het vaststellen of de financiële verantwoording een getrouw beeld geeft, niet op het opsporen van fraude. De controle werkt steekproefsgewijs en met een materialiteitsdrempel die individuele frauduleuze transacties vaak niet raakt. Daarbij zijn de meeste fraudeschema’s juist ontworpen om binnen die controleregels onzichtbaar te blijven.

Durven melden

De boodschap is helder: de meeste fraude wordt niet ontdekt door systemen of controles, maar door mensen die iets opvalt en die dat durven te melden. Organisaties met een meldregeling detecteren fraude bijna twee keer zo vaak via meldingen. Medewerkers die een fraude-awarenesstraining hebben gehad, melden twee keer zo vaak verdachte situaties. Combineer dit met auditors met kennis van fraude en de cijfers voor fraudedetectie kunnen alleen maar stijgen. Daarbij is het goed te realiseren dat 87% van de fraudeplegers ‘first offender’ is. Ofwel, geen bekenden van justitie, maar collega’s zonder strafblad. Wel vertoont 84% vooraf gedragsmatige rode vlaggen, zoals een levensstijl die niet past bij het salaris, ongebruikelijke hechtheid aan het eigen werkterrein of agressieve reacties bij vragen over procedures. Het rapport geeft vanuit diverse perspectieven een mooi beeld van de kenmerken van ontdekte fraudes en is daarmee zeker ook voor de (internal) auditor een mooi achtergronddocument.

Rochdale door een fraudebril

De werkelijke impact van deze cijfers blijkt pas echt uit de Rochdale-affaire. Hoewel veel lezers waarschijnlijk bekend zijn met dit incident, is het de moeite waard om de situatie eens vanuit het perspectief van fraude te beschouwen. Rochdale, destijds een van de grootste woningcorporaties in Nederland met tienduizenden sociale huurwoningen in de Amsterdamse regio, kwam in 2008 in opspraak toen bestuursvoorzitter Hubert Möllenkamp verdacht werd van zelfverrijking en omkoping. Het gerechtshof Amsterdam stelde in 2017 vast dat hij zich over een langere periode voor ongeveer € 1 miljoen had laten omkopen door drie vastgoedpartners waarvoor Rochdale een dominante opdrachtgever was.

Daarnaast kende Möllenkamp zichzelf onterechte bonussen en pensioenaanspraken toe via onder meer een brief met een vervalste handtekening, en betaalde hij privéuitgaven via zakelijke rekeningen. De iconische Maserati Quattroporte die Möllenkamp op blauw taxikenteken reed, gefinancierd via een door Rochdale verstrekte lening van € 160.000 aan een leasemaatschappij en een maandelijks taxicontract van circa € 8500, werd het publieke symbool van de zaak. De directe schade voor Rochdale werd in de civiele procedure gesteld op € 6 miljoen. Bredere transactieverliezen liepen in de tientallen miljoenen. Möllenkamp werd in 2015 veroordeeld tot tweeënhalf jaar cel, in hoger beroep verhoogd tot drie jaar en drie maanden. De Hoge Raad handhaafde die straf in 2019. Daarnaast werd ruim € 2,1 miljoen aan wederrechtelijk verkregen voordeel ontnomen.

Ongezond vertrouwen

Externe onderzoeken, waaronder dat van de Auditdienst Rijk, concludeerden dat het interne toetsingskader tekortschoot, dat de externe accountant een te grove controletolerantie hanteerde, en dat de raad van commissarissen een ‘ongezond vertrouwen’ had in de bestuursvoorzitter en te afwachtend toezicht hield. De voltallige raad trad begin 2009 af. Möllenkamp beschikte over een investeringsmandaat van € 50 miljoen per transactie zonder expliciete goedkeuring van de raad, beheerste het informatiekanaal richting toezichthouders, en hield zijn nevenactiviteiten en buitenlandse vastgoedbelangen grotendeels verborgen. Een klokkenluidersignaal uit 2005 werd door de toenmalige VROM-toezichthouder onvoldoende opgevolgd. De zaak kwam uiteindelijk aan het licht door onderzoeksjournalistiek en niet door de interne controle. Het klassieke patroon uit de ACFE-data doemt op: ontoereikende controles, één dominante bestuurder, en een omgeving waarin niemand de juiste vragen stelde.

Fraude gedijt waar controles ontbreken of worden doorbroken

Rode vlaggen achteraf bezien

Een fraudeonderzoeker had hier mogelijk meerdere rode vlaggen herkend. De levensstijl van de bestuurder, met een Maserati met chauffeur, luxe auto’s, een appartement in Spanje, reizen en verbouwingen, viel duidelijk buiten de proportie van een salaris in de sociale huisvesting. Het klassieke ‘living beyond means’-signaal zoals de ACFE dat noemt.
Een analyse van de leveranciersconcentratie had de afhankelijkheid van enkele vastgoedpartners kunnen blootleggen, en data-analyse op vastgoedtransacties had de opvallende A-B-C-constructies en prijsafwijkingen ten opzichte van externe taxaties zichtbaar kunnen maken. Een frauderisicoanalyse aan de hand van de fraudedriehoek had alle drie de zijden direct raakvlak laten zien. De gelegenheid lag open door het ontbreken van functiescheiding bij miljoenentransacties en een dominante bestuurder die er al 25 jaar zat. De druk kwam niet voort uit financiële nood, maar uit status en lifestyle-creep. De rationalisatie werd door Möllenkamp zelf gedocumenteerd: steekpenningen werden achteraf geframed als ‘leningen’ en zijn gedrag werd geduid als ‘onhandig’ in plaats van strafbaar.

Dat hij intern strenge integriteitsregels voor medewerkers hanteerde terwijl hij zichzelf ruimhartig liet bedienen, illustreert de ‘rules don’t apply to me’-attitude die in elk raamwerk voor de control environment als rode vlag bij uitstek geldt. De parlementaire enquête Woningcorporaties stelde later vast dat het stelsel als geheel tekortschoot: signalen hadden intern opgemerkt moeten worden, maar de routes voor opvolging waren onvoldoende ingericht. Dat raakt direct aan de positie van internal audit en de noodzaak van een werkende meldstructuur die fysiek én organisatorisch losstaat van de dominante bestuurder.

Gebrek aan interne controles

De Rochdale-casus illustreert wat ook uit de ACFE-cijfers blijkt: fraude gedijt waar controles ontbreken of worden doorbroken. Meer dan de helft van alle fraudegevallen is te herleiden tot een gebrek aan interne controles (32%) of het bewust omzeilen ervan (19%). Tegelijkertijd laten de ACFE-cijfers zien dat elke antifraudemaatregel gepaard gaat met lagere schade én snellere detectie. Onaangekondigde audits verlagen de mediane schade met 63%. Proactieve datamonitoring en meldregelingen halveren de schade. Organisaties met een interne auditafdeling rapporteren een mediane schade van $ 120.000, tegen $ 210.000 bij organisaties zonder, een verschil van 43%.

Wat de auditor kan doen

Voor internal auditors ligt hier een concrete kans. Niet om de rol van opsporingsambtenaar op zich te nemen, die rol is en blijft voorbehouden aan daartoe bevoegde instanties, maar om het auditproces structureel te verrijken met een fraudeperspectief. De IIA Global Internal Audit Standards vereisen in standaard 13.2 al dat frauderisico wordt meegewogen in de planningsfase van elke audit. De IIA practice guide Internal auditing and fraud werkt dit verder uit. In de praktijk blijft het echter vaak beperkt tot een pro-formaparagraaf in het auditplan. De vraag die iedere auditor zich bij elke opdracht kan stellen: als er in dit proces fraude zou plaatsvinden, hoe zou dat eruitzien? En zou ik het met mijn huidige aanpak ontdekken? Specifieke audits op fraude, met behulp van specialisten die ook snappen hoe fraude in de praktijk werkt, zullen de schade alleen maar nog meer omlaag kunnen brengen.

Concrete handvatten

Concreet kunnen auditors meer doen door frauderisicoscenario’s standaard op te nemen in de risicoanalyse, door data-analyse in te zetten op bekende fraudepatronen zoals Benford’s Law, dubbeltellingen en ongebruikelijke transactiepatronen, en door actief de werking van antifraudemaatregelen te toetsen. Daarnaast kan internal audit een rol spelen in het bevorderen van de meldcultuur, bijvoorbeeld door het bestaan en de werking van klokkenluidersregelingen te evalueren. Die investering loont: uit het Report to the Nations blijkt dat actieve detectiemethoden fraude gemiddeld binnen zes maanden aan het licht brengen, met een mediane schade van $ 65.000 tot $ 83.000. Bij passieve methoden loopt dat op tot 21 maanden en verliezen van meer dan $ 675.000.

Waar de rol stopt

Even belangrijk als wat de auditor wél kan doen, is wat de auditor niet moet doen. Een fraudeperspectief in de auditpraktijk betekent risico’s herkennen, indicatoren toetsen en signalen tijdig opschalen, niet zelf opsporen of bewijs veiligstellen. De rol van de internal auditor is dus signalerend en escalerend, waarna gespecialiseerde fraudeonderzoekers, intern of extern, de feitelijke onderzoekswerkzaamheden uitvoeren. Helder belegde rollen tussen audit, fraudeonderzoek en juridische functies zijn een voorwaarde voor effectieve opvolging.

De vraag die iedere auditor zich bij elke opdracht kan stellen: als er in dit proces fraude zou plaatsvinden, hoe zou dat eruitzien?

CFE: zinvol voor auditors?

Is het dan raadzaam om als internal auditor de CFE-certificering te halen? Voor wie fraude serieus wil nemen in de auditpraktijk: ja. De CFE-opleiding vult precies de lacunes aan die in de reguliere auditopleiding bestaan: onderzoekstechnieken zoals het veiligstellen van bewijs en het interviewen van verdachten, digitale forensica, juridische kaders rond bewijs en aansprakelijkheid, en forensische accountancy. Het examen kan in eigen tempo online worden afgelegd en vereist twintig uur permanente educatie per jaar om het certificaat te behouden. Die kennis maakt een auditor niet tot rechercheur, maar wel tot een professional die rode vlaggen kan herkennen, de juiste vragen stelt en weet wanneer opschaling nodig is. Hoewel niet kan worden gezegd dat de CFE-certificering de ‘gold standard’ voor fraudeonderzoek is, is het wel de wereldwijd meest gebruikte certificering. Dus ook voor internationaal werken waar een gemeenschappelijk vocabulaire belangrijk is, is een CFE-credential waardevol: elke CFE kent de fraudedriehoek en weet welke key controls bij de verschillende typen van fraude het meest effectief kunnen zijn.

Partnerschap IIA en ACFE

Dat het IIA en de ACFE in 2022 een formeel educatief partnerschap zijn aangegaan, onderstreept die relevantie. Gezamenlijke initiatieven zoals de Fraud Perspectives-webcastserie en onderzoek naar klokkenluiderssystemen laten zien dat beide beroepsorganisaties erkennen dat fraude een gezamenlijke uitdaging is. Bijna een op de tien CFE’s beschikt ook over de CIA-titel: de overlap in expertise is er al. 90% van de Fortune 500-bedrijven heeft minimaal één CFE in dienst. Organisaties die CFE’s in dienst hebben, detecteren fraude gemiddeld 40% sneller, volgens ACFE-data. De eerlijkheid gebiedt te zeggen dat dat een beetje klinkt als ‘wij van WC-eend’, maar zoals Johan Cruijff opmerkte: “Je gaat het pas zien als je het door hebt.” Het is daarmee dus niet zo’n vreemde constatering.

De auditor moet innoveren

In een tijdperk waarin fraude steeds geavanceerder wordt, denk aan AI-gestuurde factuurfraude, synthetische identiteiten en deepfakes die fraude naar een nieuw niveau tillen, is een auditfunctie die uitsluitend procesgericht kijkt, niet langer toereikend. De fraudeur innoveert; de auditor zal dat ook moeten doen. Het ACFE Netherlands Chapter biedt daarvoor een laagdrempelig startpunt: kennisbijeenkomsten, een netwerk van fraudeprofessionals uit diverse disciplines, en een directe route naar de CFE-certificering. De vraag is niet óf (internal) auditors zich meer met fraude moeten bezighouden. De vraag is of ze het zich kunnen veroorloven dat niet te doen.