Factuurfraude voorkomen
Factuurfraude ziet er vaak niet spectaculair uit: een vertrouwde naam, een plausibel bedrag en één gewijzigd rekeningnummer. Een eenvoudig controleproces is daarom waardevoller dan vertrouwen op onderbuikgevoel.
1. Ken de drie veelvoorkomende vormen
Een spookfactuur vraagt betaling voor iets dat niet is besteld of geleverd. Soms blijkt in kleine letters dat de 'factuur' eigenlijk een aanbieding is. Bij factuurmanipulatie wordt een echte of verwachte factuur onderschept en krijgt die een ander rekeningnummer.
Bij Business E-mail Compromise doet een aanvaller zich gericht voor als een leverancier, bestuurder of collega. De timing en toon sluiten aan op echte werkprocessen, waardoor alleen opmaak en afzendernaam controleren onvoldoende is.
- Spookfactuur: geen aantoonbare opdracht of levering.
- Factuurmanipulatie: bekende factuur, onverwachte betaalgegevens.
- CEO- of BEC-fraude: afwijkend, urgent of vertrouwelijk betaalverzoek.
2. Laat opdracht, levering en factuur op elkaar aansluiten
Betaal pas wanneer drie onderdelen bij elkaar horen: een goedgekeurde opdracht, aantoonbare levering en een factuur met dezelfde leverancier en voorwaarden. Dit heet vaak een driewegcontrole.
Kleine organisaties kunnen dit eenvoudig houden met een gedeelde inbox, ordernummer en vaste eigenaar per betaling. Het belangrijkste is dat een factuur nooit rechtstreeks van inbox naar bank gaat zonder context.
- Wie heeft besteld en wanneer?
- Wat is aantoonbaar geleverd of uitgevoerd?
- Komen bedrag, btw, termijnen en leverancier overeen?
- Staat het rekeningnummer al in de goedgekeurde administratie?
3. Behandel rekeningwijzigingen als apart proces
Een gewijzigde IBAN hoort niet automatisch uit een e-mail of pdf in de administratie te worden overgenomen. Bel de leverancier op een nummer dat al bekend was of dat je zelfstandig op de officiële website vindt.
Leg de bevestiging vast, laat een tweede persoon de wijziging goedkeuren en voer bij grote bedragen eventueel eerst een beperkte testbetaling uit. De technische IBAN-checksum controleert alleen de opbouw, niet de rekeninghouder.
Gebruik bij terugbellen nooit uitsluitend de contactgegevens uit hetzelfde bericht waarin de bankwijziging staat.
4. Maak veilig handelen makkelijker dan afwijken
Een protocol werkt alleen wanneer medewerkers het onder druk durven gebruiken. Maak daarom expliciet dat een korte vertraging beter is dan een onherstelbare betaling en dat ook verzoeken van directieleden via dezelfde controle lopen.
- Twee personen keuren nieuwe begunstigden en grote betalingen goed.
- Urgentie is nooit een reden om controles over te slaan.
- Medewerkers mogen zonder negatieve gevolgen een betaling pauzeren.
- Afwijkingen worden via een tweede kanaal bevestigd.
- E-mailaccounts gebruiken multifactorauthenticatie.
- Betaalrechten zijn beperkt tot wie ze echt nodig heeft.
5. Toch betaald? Minuten kunnen tellen
Bel onmiddellijk je bank en vraag of de betaling kan worden tegengehouden of teruggehaald. Waarschuw de echte leverancier via een onafhankelijk kanaal en voorkom vervolgschade door betrokken accounts en apparaten te beveiligen.
Bewaar de originele e-mail, headers, factuur, rekeninggegevens, tijdlijn en gespreksnotities. Doe aangifte volgens de instructies van de politie en meld relevante fraude bij de daarvoor bestemde instanties.
Kort antwoord op de laatste twijfel.
Moet ik een spookfactuur betalen?
Niet wanneer er geen overeenkomst of levering is. Vraag de afzender om bewijs van de opdracht en betaal niet zolang de grondslag ontbreekt.
Is een factuur met een Nederlandse IBAN automatisch veilig?
Nee. Ook een technisch geldige Nederlandse IBAN kan door een fraudeur worden gebruikt. Controleer wijzigingen altijd bij de echte leverancier.
Wat is het vier-ogenprincipe?
Een tweede bevoegde persoon controleert en bevestigt de betaling of wijziging voordat deze wordt uitgevoerd.