Een beetje integer - hoe data-analyses fraude opsporen

Door Mischa Masthoff, gepubliceerd op 14-10-2021

Je kunt niet een beetje zwanger zijn. Je bent het of je bent het niet. Hoe zit dat met integriteit? Kun je wel een beetje integer zijn? Of is het zo dat je het of wel bent, of niet? Als je een keer tijd hebt, lees dan ‘Misdaad en straf’, waarin Dostojevski op een mooie manier laat zien dat de wereld bestaat uit goede mensen die slechte dingen doen, slechte mensen die goede dingen doen en alle smaken er tussenin.

Het gebeurt overal

Meer en meer raak ik er van overtuigd dat integriteit gradaties kent. Er zijn niet een ‘paar mensen’ die frauderen. Het gebeurt altijd en overal. Op kleine schaal of op grote.

Natuurlijk krijgen de uitschieters vaak de meeste aandacht, zoals de vrouw in dit voorbeeld, die 2,5 miljoen euro wegsluisde van haar werkgever. Maar in de praktijk is veelvoorkomende kleinschalige fraude vaak een groter risico (kans maal impact) dan incidentele grootschalige fraude. Een onderzoek van de Amerikanen Hollinger en Clark uit 1983 laat zien dat maar liefst een derde deel (!) van de 12.000 onderzochte medewerkers uit de onderzochte industrieën (retail, de zorg en electronica fabrikanten) zich ooit schuldig heeft gemaakt aan het stelen van geld of spullen van de werkgever (en ja, ook het meenemen van een pak printerpapier, omdat thuis het papier op is valt daaronder).

Bewust of onbewust

Hetzelfde onderzoek laat zien dat 90% van de medewerkers zich in bepaalde mate schuldig maakt aan ongewenst gedrag op de werkvloer. Die definitie is ruimer dan alleen diefstal, maar omvat bijvoorbeeld ook onterecht ziekmelden en “de kantjes er vanaf lopen”. Een van de redenen dat fraude in de praktijk zoveel voor komt is dat je naast bewuste fraude ook veel onbewuste gevallen van fraude hebt (een uiting van “de kantjes er vanaf lopen”). Denk aan bedrijven die door een slordigheid in de administratie dezelfde factuur 2 keer versturen, of medewerkers die woon-werkverkeer per ongeluk declareren tegen een hoog kilometertarief in plaats van tegen het gebruikelijke lage kilometertarief. Of dat fraude is hangt af van de reikwijdte van je definitie. Feit is dat het je organisatie onnodig geld kost.

De fraudedriehoek

Op een bepaalde manier kun je fraude vergelijken met vuur. Net als vuur (hitte, brandstof en zuurstof) heeft bewuste fraude drie elementen nodig om te ontstaan. Die drie elementen samen worden de fraudedriehoek genoemd en bestaan uit:

• druk (groepsdruk, financiële problemen, etc.);
• rechtvaardiging (“iedereen doet het”, “ik heb het verdiend”, “het is maar een klein bedrag”, etc.);
• gelegenheid (bijvoorbeeld: het feit dat mensen weten dat er niet gecontroleerd wordt, of dat niemand er iets van zal zeggen).

Hoewel het spreekwoord luidt dat “gelegenheid” de dief maakt, blijkt uit onderzoek dat “druk” en “rechtvaardiging” de belangrijkste oorzaken zijn van fraude.

Rechtvaardiging heeft in de praktijk sterk te maken met motivatie. Hoe meer ontevreden de medewerker, hoe groter het risico op fraude. Als de medewerker het gevoel heeft niet eerlijk behandeld te worden, of niet voldoende beloond wordt voor zijn of haar inzet, bestaat het risico van “eigenrichting”. “Als ik het niet krijg, dan pak ik het zelf wel.”

”Druk” heeft vooral te maken met financiële druk. De Amerikaans criminoloog Donald R. Cressey heeft in de jaren ’40 van de vorige eeuw zo’n 200 veroordeelde fraudeurs onderzocht. In het merendeel van de gevallen vormde het niet kunnen nakomen van financiële verplichtingen de oorzaak van de fraude. Overigens kwam ook Cressey tot de conclusie dat ook de mogelijkheid om de diefstal te plegen en te verdoezelen (gelegenheid) en de mogelijkheid om de frauduleuze daden te rationaliseren als iets anders dan crimineel gedrag (rechtvaardiging) als randvoorwaarden aanwezig moesten zijn.

Wil je fraude maximaal voorkomen, dan zul je dus minimaal een van de drie elementen volledig moeten wegnemen. Omdat dat in de praktijk onmogelijk is (de pakkans is in de praktijk bijvoorbeeld nooit 100%), zetten veel organisaties in op het zoveel mogelijk verminderen van de drie elementen. Bijvoorbeeld door financiële problemen op het werk bespreekbaar te maken, integriteit onderdeel te maken van de cultuur van de organisatie (bijvoorbeeld via een ambtseed, richtlijnen, handboeken, etc.) of door de gelegenheid te verminderen (door mogelijkheden ‘aan de voorkant’ te beperken of door zichtbare of onzichtbare controle achteraf).

Hoe handmatig toezicht faalt

Het probleem is dat je op honderd verschillende manieren kunt frauderen. In velerlei gradaties en op veel verschillende terreinen. Een paar voorbeelden. Je gaat een reis declareren en zoekt op de routeplanner hoeveel kilometers je reis was. De routeplanner laat je een aantal opties zien. Pak je de route van 183 kilometer (die je gereden hebt), of toch die van 191 kilometer (die Google maps als alternatief opgeeft)? Je stuurt als bedrijf een factuur naar je klant en je klant betaalt de factuur per abuis twee keer. Zeg je er dan wat van? Of hoop je dat ze het niet zien? Omdat je zo’n goede klik hebt met je installateur, geeft hij je een aantal extra spullen (die hij “toch in de bus had liggen”) gratis mee. De kosten schrijft hij wel op een andere klant. Je organiseert het bedrijfsuitje en schakelt je neef in als cateraar (dat terwijl hij maar een paar “een klein beetje” duurder was dan de andere offertes). Je huurt als leidinggevende een extern adviseur in. Je kent hem goed en spreekt af dat een deel van zijn uurloon cash terugvloeit naar jou (je werkt immers heel hard en het is best oneerlijk dat zo’n externe zoveel meer per uur verdient dan jij).

Omdat in de praktijk veel controles nog handmatig plaatsvinden, is het ondoenlijk om alles te controleren. Daarom worden er keuzes gemaakt (bijvoorbeeld: we controleren alleen de declaraties boven een bepaald bedrag) of vinden controles plaats op basis van steekproeven. Het probleem daarvan is dat fraude de weg zoekt van de minste weerstand. Het bekende waterbedeffect.

Minder gelegendheid door continue data-analyse

Gelukkig wordt het steeds makkelijker om slimme algoritmes het werk voor je te laten doen. Dat kan heel plat, door bijvoorbeeld de datum van een reisdeclaratie te laten controleren op weekenden en feestdagen, door mutaties in het standenregister automatisch in kaart te laten brengen of door de bankrekeningnummers van je medewerkers te matchen met de bankrekeningnummers in je facturenstroom. Het kan ook geavanceerder. Bijvoorbeeld door zogenaamde “fuzzy matching” toe te passen op de boekingsteksten van facturen. Op basis van fuzzy matching kun je – in verschillende gradaties - controleren op dingen die op elkaar lijken, maar niet precies hetzelfde zijn. Bijvoorbeeld twee facturen van dezelfde leverancier, waarbij de omschrijving van de ene factuur luidt: “werkzaamheden week 48 t/m 51” en de omschrijving van de andere factuur luidt: “werkzaamheden week 50 t/m 52”. Voor onze eigen controle op dubbele facturen gebruiken we verschillende “hard” en “fuzzy matches” om potentieel dubbele facturen op te sporen. Je kunt ook data uit verschillende bronnen op een slimme manier automatisch laten combineren. Bijvoorbeeld door de afstanden in de reisdeclaraties van je organisatie automatisch te laten matchen met de afstanden in Google Maps of door bijvoorbeeld de woonadressen van je medewerkers te controleren op KVK-inschrijvingen.

Automatische controles en handmatige diepgang

Het voordeel van het gebruik van algoritmes om fraude op te sporen is dat je veel breder kunt kijken. Van een enkele steekproef werk je stap voor stap aan een integrale organisatiebrede controle. De menskracht die je daarmee bespaart kun je vervolgens inzetten om gericht te kijken naar de door de algoritmes ontdekte gevallen. Zo combineer je het beste van twee werelden. Alternatief is dat je, in de tijd die je gewonnen hebt, even wat kantjes er vanaf gaat lopen. Heb je eindelijk een keer tijd voor een goed boek. Ik weet er nog wel een.