Omstandigheden maken de fraudeur?!

Veroordeeld fraudeur Nick Leeson wist auditors een vervalst document te laten accepteren als authentiek. Zijn fraude was echter niet uitsluitend het gevolg van tekortschietende interne beheersing en controles. Deze al meer dan dertig jaar oude fraude roept een vraag op die nog altijd relevant is: welke omstandigheden stellen een bekwame fraudeur in staat jarenlang ongezien te opereren?

Toen Barings Bank in 1995 na een bestaan van 233 jaar ten onder ging door de frauduleuze transacties van handelaar Nick Leeson, werd duidelijk hoe één medewerker jarenlang controles kon omzeilen en verliezen kon verhullen. Hoewel deze casus al meer dan dertig jaar oud is, is met name de rol van Leeson nog altijd een analyse waard. Zijn zaak laat zien dat fraude niet alleen ontstaat door gelegenheid, druk en rationalisatie. Maar ook door de bekwaamheid van de fraudeur zelf en de wijze waarop de fraudeur gebruikmaakt van de omstandigheden.

Leeson gaf in november 1995, kort na zijn arrestatie en de daaropvolgende uitlevering aan Singapore, in de gevangenis een interview aan de BBC. Dit interview is onderdeel van de documentaire Inside Story Special: £830,000,000 – Nick Leeson and the Fall of the House of Barings. Deze documentaire, die beschikbaar is op YouTube, is voor iedere auditor de moeite waard om te kijken. Leeson komt in de documentaire naar voren als iemand die beschikte over het vermogen om anderen te manipuleren, te misleiden en controles te omzeilen.

“Totaal absurd!”

De fraude van Leeson bestond eruit, kort samengevat, dat hij de verliezen die hij realiseerde met risicovolle beleggingen verdoezelde in de administratie. Leeson had kennis van de beperkingen van het administratieve systeem en manipuleerde directe collega’s en auditors. Toen door de interne auditors vragen werden gesteld over een verlies van £ 50 miljoen, knutselde Leeson een brief in elkaar waaruit moest blijken dat het ging om een lening van Barings aan een andere bank. Hij stuurde de door hem vervalste brief per fax naar de auditors.

In de documentaire zei Leeson over collega’s die hem moesten controleren al dat ze dom waren en niet begrepen hoe de processen werkten

Op het ‘officiële’ document dat de auditors zogenaamd van de andere bank ontvingen, stond naast de naam van de andere bank echter ook te lezen: ‘From: Nick and Lisa’. Lisa was Leesons toenmalige vrouw. In de documentaire zegt hij hierover dat het “totaal absurd” was dat dit document door de auditors werd geaccepteerd. “Ik weet niet waarom, maar het werd geaccepteerd. Misschien ben ik wel een geloofwaardig persoon.”

Eerder in de documentaire zei Leeson over collega’s die hem moesten controleren al dat ze dom waren en niet begrepen hoe de processen werkten. De uitspraken van Leeson geven goed weer dat hij met een zeker zelfvertrouwen te werk ging en dat hij er niet voor terugdeinsde om een vervalst document als echt te presenteren aan de auditors. Hij beschikte over de bekwaamheid en eigenschappen die hem in staat stelden langdurig te frauderen.

Bekwaamheid telt mee

De klassieke fraudedriehoek die is afgeleid van onderzoek van Cressey (1953) bestaat uit druk, gelegenheid en rationalisatie. Later werd door Wolfe en Hermanson (2004) de fraudediamant geïntroduceerd, waarin ook de bekwaamheid van de fraudeur een plaats krijgt. Niet iedere medewerker met motief en gelegenheid is immers in staat een fraude op te zetten, uit te voeren en verborgen te houden. Bekwaamheid omvat eigenschappen als vakkennis, inzicht in beheersmaatregelen, overtuigingskracht en het vermogen controles te omzeilen.

Uitdaging voor auditors

Met het begrip bekwaamheid zijn we ook beland bij een uitdaging voor auditors. De aspecten van de klassieke fraudedriehoek zijn deels nog mee te nemen in reguliere audits. Maar hoe kan een auditor een inschatting maken van de bekwaamheid van fraudeurs? Daar is niet zomaar een antwoord op te geven. Het is immers niet snel mogelijk om een audit uit te voeren naar de aanleg, aard en beweegredenen van medewerkers. Dat Leeson bedachtzaam en in zekere zin zonder zichtbare wroeging te werk is gegaan, was op voorhand lastig vast te stellen in een audit. De omstandigheden die een rol spelen bij het nemen van de stap om te frauderen en die door een bekwame fraudeur worden gebruikt, zijn wel te betrekken bij een audit.

Bewuste keuze of niet?

Van Onna (2018, 2020), Kabki (2014) en Soltes (2016) interviewden in hun onderzoeken veroordeelde fraudeurs. Zij besteedden in hun onderzoeken onder meer aandacht aan de vraag: wat maakt dat iemand de stap zet om te frauderen? In veel gevallen bleek het niet een bewuste keuze om van het ene op het andere moment te gaan frauderen. Er was sprake van een geleidelijk proces en een glijdende schaal. Uit onderzoek van Van Onna volgt onder meer dat de stap om te frauderen wordt gezet wanneer mensen hun morele grenzen aanpassen en steeds minder worden gecorrigeerd door hun sociale omgeving (denk aan gebrek aan tegenspraak van collega’s). Gedrag dat eerst ondenkbaar was gaat daardoor uiteindelijk normaal voelen.

Meer dan alleen de procesrisico’s

Voor auditors betekent dit dat fraude niet uitsluitend kan worden beoordeeld vanuit procesrisico’s. Minstens zo relevant zijn omstandigheden die een bekwame medewerker in staat stellen controles te omzeilen. In dit kader is het volgende voorbeeld het vermelden waard.

Een winkelmedewerker van een organisatie liet in tien jaar tijd bijna 2 miljoen euro uitkeren naar de eigen bankrekening. De medewerker diende vervalste facturen in en liet deze betalen naar de bankrekening van een direct familielid. Onderdeel van het proces was dat facturen door de proceseigenaar moesten worden geparafeerd voordat zij werden betaald. De medewerker ‘autoriseerde’ de vervalste facturen echter zelf door telkens een ingescande paraaf van de proceseigenaar op te nemen op de vervalste facturen. Tijdens een audit maakte een van de vervalste facturen onderdeel uit van de steekproef. Uit de verrichte werkzaamheden in het kader van de steekproef volgden geen bijzonderheden. Was de audit gericht geweest op een reeks van facturen van de betreffende (nep)leverancier, dan was snel duidelijk geworden dat de paraaf voor goedkeuring telkens op dezelfde plek op de factuur stond en dat de afzonderlijke parafen identiek waren.

Een combinatie van omstandigheden

De bekwaamheid van de fraudeur bestond in deze casus uit een uitstekende kennis van de (zwakheden in de) interne beheersing. De fraudeur kon geloofwaardige verklaringen geven bij kritische interne vragen. Ook had de fraudeur een sterke vertrouwensband opgebouwd met de ‘kritieke’ schakels (collega’s) in het proces. Collega’s spraken vol lof over de medewerker.

Hier dringt zich een parallel met Leeson op, die in het eerder aangehaalde interview verklaarde: “Ik kan heel gemakkelijk heel goed omgaan met mensen. Maar ik hoef jou of alle andere mensen met wie ik werk niet echt leuk te vinden, om goed met ze om te gaan. (…) En dan aan het eind van de dag als je me mee gaat vragen voor een drankje, dan ga ik niet met je mee. Omdat ik je niet mag. Maar ik ga je dat niet vertellen. (…) Iedereen zou waarschijnlijk zeggen dat ze dachten dat ze mijn beste vriend waren. En als ze bruikbare kennis of expertise hadden, dan zou ik proberen die kennis te verkrijgen via iedere methode die op dat moment het beste is. En als vriendschap die methode is, dan is vriendschap de methode die ik zou gebruiken.”

Een opeenstapeling van omstandigheden

Het lijstje met de overige omstandigheden in de hiervoor beschreven fraudecasus van de winkelmedewerker was overigens vrij uitgebreid. De fraude was niet mogelijk door één zwakte in de beheersing, maar door een opeenstapeling van onder meer de volgende omstandigheden:

• de medewerker had nog oude rechten om stamgegevens van crediteuren te bewerken;
• langere tijd inactieve crediteuren werden niet geblokkeerd, waardoor een ‘slapende’ crediteur door de medewerker kon worden geactiveerd;
• op de goedkeuring van betaalbatches was een zesogenprocedure van toepassing; uit het onderzoek naar de fraude volgde echter dat de tweede en derde handtekening zonder veel (aanvullende) controles werden gezet als de eerste handtekening al was gegeven;
• afgenomen sociale controle door veranderde werkomstandigheden;
• binnen de organisatie was een beperkt bewustzijn van de interne procedures; veelal werd naar eigen inzicht invulling gegeven aan de werkzaamheden.

De vraag is waar in de organisatie een bekwame fraudeur ongezien ‘tot ontwikkeling’ kan komen

Geleidelijk ontstaan

De onderzoeken van Soltes, Van Onna en Kabki laten zien dat fraudeurs zelden beginnen met het vooropgezette plan om fraudeur te worden. Interne fraude ontstaat vaak geleidelijk, waarbij morele grenzen vervagen en successen het zelfvertrouwen vergroten. Voor auditors betekent dit dat de vraag niet zozeer is wie de volgende Nick Leeson zal zijn, maar waar in de organisatie een bekwame fraudeur ongezien ‘tot ontwikkeling’ kan komen. Juist in dat kader kan een combinatie van: 1) inzicht in de organisatiecultuur, 2) procesgerichte audits, 3) op fraudepatronen gerichte data-analyses, 4) een inventarisatie van relevante omstandigheden, helpen om (afwijkingen van) patronen zichtbaar te maken.

Kijk breder naar fraude(risico’s)

Voor auditors betekent dit dat de focus niet uitsluitend moet liggen op aspecten als processen, functiescheidingen en controlemaatregelen. Minstens zo belangrijk is de vraag welke omstandigheden het voor een bekwame fraudeur mogelijk maken om maatregelen te omzeilen. Welke omstandigheden kunnen leiden tot een ‘perfect storm’? De praktijk leert dat fraude zelden uitsluitend ontstaat door falende beheersmaatregelen. Fraude ontstaat in de regel wanneer een ‘perfect storm’ bestaat van (giftige) organisatiecultuur, gelegenheid, onvoldoende tegenspraak en de aanwezigheid van (een) bekwame fraudeur(s) met kennis van zaken en vertrouwen.

In het licht van de verhoogde aandacht van externe accountants voor fraude(risico’s) is een periodieke, specifiek op fraude(omstandigheden) gerichte audit dan ook een waardevolle toevoeging aan de auditplannen, voor zover niet al aanwezig. Dat is dus iets anders dan het meenemen van fraude-aspecten in (bestaande) audits van reguliere processen. Want de vraag is niet of een organisatie kwetsbaar is voor fraude, maar waar en op grond van welke omstandigheden een bekwame fraudeur vandaag al ongezien zou kunnen opereren.