Wat zijn de kosten van fraude, corruptie, witwassen en cybercrime?
Grote bedrijven in Nederland kampen met hoge kosten als gevolg van fraude, corruptie, witwassen of cybercrime. Over de hele linie krijgen vier van de tien bedrijven jaarlijks te maken met zulke integriteitsschendingen, waarbij de schadepost al snel oploopt tot meer dan een ton per geval. Dit blijkt uit onderzoek van EY.
Het internationale accountants- en advieskantoor voerde voor het tweede jaar op rij onderzoek uit naar de integriteitsrisico’s waar bedrijven mee te maken krijgen. Uit de rondgang bleek dat 90% van de respondenten – leidinggevenden werkzaam bij zo’n 50 grote organisaties – stelt dat het risico op omkoping, corruptie en/of witwaspraktijken van toepassing kan zijn op hun business. 42% van de respondenten had de afgelopen twaalf maanden zelfs een actueel vermoeden op een dergelijke integriteitsschending binnen hun organisatie.
Financiële impact
Meer dan zeven op de tien respondenten (73%) laat weten dat de financiële impact van alle fraude- corruptie- en of witwasincidenten voor hun organisatie neerkomt op meer dan €25.000, terwijl ongeveer de helft van de leidinggevenden aangeeft dat de schade oploopt tot meer dan €100.000 per geval.
Het lekken van gegevens is met 48% de meest voorkomende integriteitsschending. Deze schending kan, sinds de invoering van de GDPR (AVG in Nederland), grote financiële gevolgen met zich meebrengen, naast de reputatieschade die kan optreden. In ons land is een goed voorbeeld van zo’n geval het lekken bij de politie. Een aantal keer kwam de opsporingsdienst van de politie in het nieuws wegens het lekken van opsporingsgevoelige informatie door agenten aan criminelen. Internationaal gelden Yahoo en meer recentelijk Mariott Hotels als grote voorbeelden. Yahoo verzweeg in 2016 een datalek waarbij informatie werd gestolen uit zo’n drie miljard accounts, en eerder deze maand werd bekendgemaakt dat voor zo’n 500 miljoen klanten van de hotelketen hun persoonlijke details op straat lagen door een groot datalek.
Data kan ook bewust vanuit binnen een organisatie worden gelekt. Een groter risico is echter dat systemen van buitenaf worden gehackt en data wordt ontvreemd. De preventie hiervan, bekend als cybersecurity, staat steeds vaker op de bestuursagenda. Het World Economic Forum, een prestigieuze internationale denktank, bestempelt grootschalige lekken in cybersecurity als een van de vijf grootste serieuze risico’s voor de wereld anno 2018. Volgens de onderzoekers zullen de totale kosten van cybersecuritylekken naar verwachting $6 biljoen bereiken, twee keer zo hoog als in 2015. Opvallend is volgens de onderzoekers van EY dat ondanks deze bedreiging, een kwart van de ondervraagden aangeeft geen beleid te hebben om data te beschermen.
Een gemiste kans, stelt Michelle Fisser, EY-specialist op het gebied van FinCrime. Door een aanpak te gebruiken om het gevaar van lekken, cyberaanvallen en gegevensdiefstallen te verkleinen, kunnen bedrijven de risico’s afdekken. Daarbij hebben de experts een aantal adviezen.
Zo dienen allereerst de plekken die het meest kwetsbaar zijn binnen de systemen en processen bewust in kaart te worden gebracht. Wat er het meeste toe doet moet prioriteit krijgen: men moet ervan uitgaan dat er lekken zullen plaatsvinden en controlemechanismen en processen voor het identificeren, beschermen, ontdekken, beantwoorden en het herstellen van aanvallen verbeterd moeten worden. Verder dienen regelmatig de prestaties en de resterende risico’s beoordeeld worden. Ten slotte is het essentieel dat binnen de organisatie risicobewustzijn verankerd is. “Zorg ervoor dat veiligheid iedereens verantwoordelijkheid is”, aldus Fisser.
Schendingen van het beleid vormen een tweede belangrijk element. Deze treden op wanneer medewerkers procedures onvoldoende volgen of hiervan afwijken. Op de derde plek staat internetfraude. Hiervan is sprake wanneer medewerkers bijvoorbeeld wraak willen nemen op hun baas of het bedrijf, of simpelweg vanuit het oogpunt van financieel gewin fraude plegen.
Wordt alles gemeld?
In de praktijk ligt het aantal integriteitsschendingen waarschijnlijk hoger dan door leidinggevenden gedacht wordt. Dit komt omdat niet alles opgespoord wordt en de bereidheid van medewerkers om incidenten te melden laag blijft. Volgens een schatting van EY worden in een kwart van de gevallen incidenten niet gemeld door medewerkers. Fisser: “Het niet melden van integriteitsschendingen kan verschillende onderliggende redenen hebben: loyaliteit aan hun collega’s of bezorgdheid over de impact op hun carrière. In het algemeen zijn mensen echter meer bereid om informatie te verstrekken aan een derde partij, zoals een toezichthouder of rechtshandhavingsinstantie.”
Ook zijn er bedrijven die incidenten niet willen melden om commerciële redenen, omdat ze bijvoorbeeld bang zijn om klanten te verliezen. “Bedrijven zouden meer aandacht moeten besteden aan het creëren van een veilige, maar ook een effectieve omgeving om incidenten te melden. Hiernaast kunnen bedrijven ook meer bewustwording creëren over wanneer medewerkers iets moeten melden en over de mogelijkheden hoe ze dit kunnen doen”, sluit Fisser af.
Gerelateerd: Corruptie en fraude blijven een hardnekkig probleem in het bedrijfsleven.
