Je governance kan perfect werken en het geld toch naar een crimineel sturen. Regels controleren of een proces is gevolgd. Ze controleren niet of de persoon die het in gang zette, echt was.
Een gewone dinsdag
De CFO zit tussen twee vergaderingen als de telefoon gaat. Op het scherm staat het nummer van de CEO. De stem is kalm, wat gehaast, en klinkt precies goed. De CEO is in het buitenland, de verbinding is slecht, en een vertrouwelijke transactie moet vandaag worden goedgekeurd. De aandeelhouders zijn al akkoord.
Niets hieraan is vreemd. De reis is binnen het bedrijf bekend. Er zijn vaker spoedbeslissingen genomen. De CFO controleert de documenten, haalt de tweede goedkeuring op en geeft de betaling vrij. Elke stap van het proces wordt gevolgd.
Dagen later hoort het bedrijf dat de CEO nooit heeft gebeld. De stem was met software gegenereerd uit openbare opnames. De aanvallers wisten van de reis en wisten hoe de twee bestuurders met elkaar praten.
Deze scène is de openingscasus van een recent artikel van twee forensisch accountants van Rödl in Der Betrieb (Meinrad/Riexinger, DB 2026, 2408). Ze is gebaseerd op een echte zaak waarover openbaar is bericht.
Het proces klopte. De premisse niet.
Kijk wat er misging. Het vierogenprincipe faalde niet: twee mensen gaven goedkeuring. De bevoegdhedenmatrix faalde niet: de CFO mag dit bedrag vrijgeven. De goedkeuringsworkflow faalde niet: elk veld is ingevuld en elke handtekening is vastgelegd. Een auditor zou niets verkeerds vinden.
Het ging mis vóór de eerste stap. Elke controle ging ervan uit dat de opdracht van de CEO kwam. Niemand controleerde die aanname, omdat niets in het proces erom vraagt.
De tweede fiatteur maakt het erger. Die heeft de ‘CEO’ niet gesproken. Die gaf goedkeuring omdat de CFO erom vroeg, en de CFO wordt vertrouwd. Eén valse identiteit aan het begin wordt twee echte handtekeningen aan het eind. Het vierogenprincipe controleert de transactie. Het controleert niet de persoon erachter.
De auteurs van Rödl zeggen het precies: interne beheersingssystemen vragen of een handeling op de juiste manier is geautoriseerd. Deepfake-aanvallen werken een niveau eerder, op de aanname dat de persoon die je waarneemt de persoon is die je denkt. Klassieke beheersingsraamwerken noemen dit niet als een eigen beheersdoelstelling. Daarom komt het vaak ook in risicoanalyses niet voor.
Dat is het ongemakkelijke punt voor een bestuur. Na zo'n verlies laat de documentatie een keurig proces zien. Niemand overtrad een regel, dus de vraag wordt: ‘waarom lieten onze regels dit toe?’
Wat er veranderd is: vertrouwdheid is geen bewijs meer
CEO-fraude is niet nieuw. Business email compromise alleen al veroorzaakte tussen oktober 2013 en december 2023 wereldwijd ongeveer 55,5 miljard dollar aan verliezen, zoals gemeld aan de FBI, andere opsporingsdiensten en banken.
Nieuw is het gereedschap. Een stem, een gezicht in een videogesprek en een vertrouwde schrijfstijl waren vroeger goed genoeg als bewijs. Vandaag kan generatieve AI alle drie kopiëren met openbaar materiaal: een keynote op YouTube, een podcast, een gesprek over de kwartaalcijfers. De aanvaller heeft geen bijzondere vaardigheden nodig en weinig geld.
Het artikel van Rödl noemt de zinnen die het probleem blootleggen: ‘Ik had hem zelf aan de telefoon.’ ‘Ze zat in de videocall.’ In beide gevallen werd een gevoel van vertrouwdheid behandeld als een geverifieerde identiteit.
Betalingen zijn alleen het voor de hand liggende doelwit. Dezelfde truc werkt bij een wijziging van bankgegevens, nieuwe toegangsrechten, vertrouwelijke informatie, een M&A-besluit of een personeelsbesluit.
De conclusie van de auteurs is helder: governance, compliance en interne controles blijven nodig, maar ze moeten worden uitgebreid. Identiteitsverificatie moet een eigen beheersdoelstelling worden, in elk proces waarin een valse identiteit ernstige schade kan veroorzaken. Als nieuwe leidende vraag voor de bedrijfscultuur stellen ze voor: niet ‘Waarom werd de opdracht in twijfel getrokken?’ maar ‘Hoe is de identiteit geverifieerd?’
Een controle die niemand gebruikt, is geen controle
Het gebruikelijke antwoord is een terugbelregel: ophangen, het nummer opzoeken, terugbellen. Op papier werkt dat. In de praktijk faalt het precies op de momenten die ertoe doen.
Elke extra stap die iemand uit het lopende gesprek haalt, is een onderbreking. De CFO moet het gesprek beëindigen, een nummer zoeken, een drukbezette CEO in een andere tijdzone bereiken en uitleggen waarom. Onder tijdsdruk, en tegenover iemand die hoger in de hiërarchie staat, slaan de meeste mensen die stap ‘voor deze ene keer’ over. Aanvallers weten dat en zetten die tijdsdruk bewust op.
De auteurs van Rödl zeggen hetzelfde: het gaat niet om hoe geavanceerd een procedure is, maar om de vraag of mensen haar in het dagelijks werk betrouwbaar toepassen. Procedures die onpraktisch aanvoelen, worden omzeild. En de regel moet gelden ongeacht rang, functie en tijdsdruk, want uitzonderingssituaties zijn precies wat aanvallers scheppen.
Een CEO heeft hier dus twee taken. Ten eerste: identiteitsverificatie verplicht maken in de kritieke processen. Ten tweede: haar zo eenvoudig maken dat niemand een reden heeft om haar over te slaan. Slaan mensen een controle over, dan ligt de fout bij het ontwerp.
Verificatie binnen het gesprek
Trusted Codes geeft twee mensen, of een heel team, een gedeelde code van drie woorden die op een vast interval wisselt. Alleen de echte leden van een verbinding hebben die code. De controle kost één zin: ‘Wat is onze code?’
Terug naar dinsdag. De ‘CEO’ belt. De CFO vraagt om de code, nog in hetzelfde gesprek. Een echte CEO leest drie woorden van de telefoon. Een deepfake heeft niets om voor te lezen. De betaling stopt nog voordat het proces begint.
De controle werkt op elk kanaal, omdat ze tussen twee mensen plaatsvindt: aan de telefoon, in een videogesprek, in een chat, per e-mail en persoonlijk. En de woorden vertellen je wie er spreekt: voer in wat je hoorde, en de app laat zien bij welke verbinding ze horen, bijvoorbeeld ‘CEO – Treasury-goedkeuringen’. Hoe dit verschilt van een authenticator-app, lees je in een apart artikel.
Twee voorbeelden van hoe een bedrijf dit gebruikt:
- Een M&A-project. Het dealteam, de advocaten en de bank delen één verbinding. Wie over de deal belt, wordt om de code gevraagd. Is de deal rond, dan wordt de verbinding gesloten.
- Betalingen boven € 50.000. De financiële afdeling en iedereen die zulke betalingen kan opdragen of goedkeuren, delen één verbinding. Het bedrijf maakt de codecontrole een verplichte stap in de goedkeuring: geen code, geen vrijgave. Het verificatielogboek laat achteraf zien dat de controle heeft plaatsgevonden.
Bewijs dat de controle heeft plaatsgevonden
Een regel is zo goed als het bewijs dat mensen hem volgen. Terugbellen laat geen spoor na. Niemand kan weken later aantonen wie wie heeft gebeld en wat er is bevestigd.
Met een Business-abonnement legt Trusted Codes elke verificatie vast in een logboek: wie wie heeft geverifieerd, in welke verbinding, wanneer, en of de code klopte. De woorden zelf worden nooit opgeslagen. Voor een bestuur verandert dat drie gesprekken:
- Met de auditor. Identiteitsverificatie wordt een gedocumenteerde beheersactiviteit, geen belofte in een beleidsdocument.
- Na een incident. Het onderzoek ziet direct waar een identiteit is geverifieerd en waar die alleen werd aangenomen. De auteurs van Rödl noemen dat de kernvraag van elk onderzoek.
- Over aansprakelijkheid. De directie moet aantonen dat haar organisatie en de controles pasten bij de bekende risico's. Een logboek dat een werkende, gebruikte identiteitscontrole laat zien, is dat bewijs.
Wat je dit kwartaal doet
Houd je governance. Voeg de ene controle toe die ontbreekt.
- Maak een lijst van de processen waarin een valse identiteit duur uitvalt. Betalingen boven een drempelbedrag, wijzigingen van bankgegevens, toegangsrechten, M&A, herstructureringen, personeelsbesluiten.
- Zoek de informele kortere wegen. Waar vervangt een telefoontje een formele bevestiging? Waar worden opdrachten van hogergeplaatsten buiten de workflow om aangenomen?
- Maak identiteitsverificatie een verplichte stap in die processen. Ze geldt voor iedereen, ook voor de CEO, en juist onder tijdsdruk.
- Kies een methode die mensen echt gebruiken. Ze moet werken binnen het gesprek, op elk kanaal, in seconden, en een spoor achterlaten.
- Zeg het zelf. Vertel je team dat je verwacht om de code gevraagd te worden, en dat je daar nooit beledigd door zult zijn. Die zin van de CEO doet meer dan welk beleid ook.
Vertrouwen tussen collega's blijft essentieel. In kritieke processen heeft het nu een tweede factor nodig.
Bronnen
- Alexander Meinrad en Jonas Riexinger, "Wenn Identität zur Schwachstelle wird: Deepfakes als Herausforderung für Compliance und Interne Kontrollsysteme", Der Betrieb 2026, 2408 (nummer 39).
- FBI Internet Crime Complaint Center, "Business Email Compromise: The $55 Billion Scam", publieke waarschuwing, 11 september 2024: ic3.gov