CFO Gameboard: Kan jeres kontroller modstå moderne svindel?

AI bliver ofte fremhævet som en teknologi, der kan skabe vækst, effektiviseringer og nye muligheder i finansfunktionen. Men AI ændrer også trusselsbilledet og stiller nye krav til de kontroller, der skal beskytte virksomheden mod svindel. Med afsæt i en sammensat, anonymiseret case fra den virkelige verden, ser vi i denne artikel nærmere på, hvordan angreb kan tilpasses virksomhedens egne projekter og arbejdsgange – og hvad det kræver af CFO’ens kontrolmiljø.

De fleste virksomheder har procedurer for større betalinger, fx ekstra godkendelser, telefonisk callback, kontrol af leverandørens bankoplysninger eller krav om godkendelse fra CFO’en. Det er velkendte og gennemprøvede kontroller, som er indarbejdet i mange virksomheders daglige arbejdsgange.

Men hvad sker der, når stemmen i telefonen kan forfalskes, mailen kommer fra en kompromitteret indbakke, og fakturaen indeholder korrekte oplysninger om et projekt, som kun få personer i virksomheden kender til?

Svindel og phishing fandtes længe før generativ AI, men generativ AI kan øge kvaliteten, hastigheden og skalerbarheden af en række kendte angrebsmetoder. Angribere kan klone stemmer, skrive overbevisende mails på fejlfrit dansk eller engelsk, efterligne bestemte personers formuleringer, producere troværdige fakturaer og analysere interne oplysninger for at identificere det tidspunkt, hvor en betaling virker mest plausibel.

En AP-medarbejder står derfor ikke længere kun over for en dårligt skrevet mail fra en ukendt afsender, men kan møde en sammenhængende historie, der passer til virksomhedens virkelighed.

Det afgørende er derfor ikke kun, om virksomheden har flere kontroller eller flere godkendere. Det afgørende er, om kontrollerne bygger på uafhængige informationskilder. Kontrollerne kan altså være personmæssigt adskilte, men ikke informationsmæssigt uafhængige. Det er ikke tilstrækkeligt, at flere personer ser på betalingen, hvis de alle vurderer den samme kompromitterede dokumentation.

*Det følgende er en sammensat case baseret på mønstre og erfaringer fra arbejdet med finansfunktioner. Casen er ikke en gengivelse af én konkret hændelse, men er en sammenskrivning af flere anonymiserede virkelige hændelser.

En international projekt- og entreprenørvirksomhed var i gang med et større opkøb i udlandet. I økonomifunktionen blev der håndteret fortrolige betalinger og omkostninger relateret til projektet, som kun få personer i organisationen kendte til.

En tirsdag formiddag modtog virksomhedens Head of Accounts Payable, vi kalder hende Maria, en telefonisk anmodning fra CFO’en. Stemmen og tonen lød som CFO’en, og anmodningen passede ind i den aktuelle situation. En betaling til en eksisterende leverandør skulle gennemføres samme dag for ikke at forsinke en vigtig del af transaktionen.

Kort efter modtog Maria en mail fra CFO’en i en eksisterende projekttråd. Mailen indeholdt leverandørens navn, projektreferencer, beløb og en faktura som bilag. Alt så rigtigt ud. Den eneste afvigelse fra tidligere betalinger var, at leverandørens bankoplysninger var ændret.

Maria fulgte virksomhedens procedure og ringede til leverandøren for at bekræfte ændringen. Hun brugte telefonnummeret fra den modtagne mail og faktura. Personen, der tog telefonen, bekræftede ændringen og kendte til både projektet, leverandørens rolle og den aktuelle betaling.

Betalingen krævede en ekstra godkendelse. Den anden godkender kunne se, at fakturaen var knyttet til en purchase order i ERP-systemet. Purchase orderen var blevet oprettet eller ændret af en bruger med de nødvendige rettigheder, så den matchede den aktuelle betaling og det reelle projekt. Han havde samtidig fået at vide, at betalingen var tidskritisk på grund af opkøbet. Da både fakturaen og purchase orderen så relevante ud, godkendte han betalingen, og pengene blev overført.

Først nogle uger senere kontaktede den rigtige leverandør virksomheden om den manglende betaling. Ved en efterfølgende gennemgang viste det sig, at mailkommunikationen var blevet kompromitteret, og at bankoplysningerne var ændret i den falske korrespondance. Purchase orderen og den ekstra godkendelse havde fået betalingen til at se legitim ud, men ingen af kontrollerne havde reelt valideret oplysningerne uafhængigt af den kompromitterede kommunikation.

Ved første øjekast kunne det ligne en klassisk fejl i Accounts Payable. En medarbejder accepterede nye bankoplysninger, en større betaling blev gennemført hurtigt, og en anden godkender stillede ikke nok spørgsmål.

Men casen er mere kompleks.

Angrebet udnyttede flere lag i virksomhedens kontrolmiljø på én gang. Telefonopkaldet skabte en følelse af, at anmodningen kom direkte fra CFO’en. Den kompromitterede mailtråd gjorde henvendelsen relevant og troværdig. Den falske faktura indeholdt korrekte oplysninger om et reelt projekt, og ændringen af bankoplysningerne blev bekræftet via et telefonnummer fra den samme kompromitterede kommunikation.

Samtidig gav den oprettede eller tilpassede purchase order betalingen et ekstra lag af legitimitet. Når en transaktion har en faktura, en PO og en godkendelse, kan den se korrekt ud i systemet, selv om de enkelte elementer er baseret på den samme manipulerede fortælling.

Casen viser derfor ikke nødvendigvis, at virksomheden manglede kontroller. Medarbejderen fulgte proceduren, betalingen blev godkendt af to personer, og dokumentationen var til stede i ERP-systemet. Problemet var, at flere kontroller byggede på den samme information. Da både mailtråden, telefonnummeret og de underliggende betalingsoplysninger var kompromitteret, gav kontrollerne en falsk tryghed i stedet for reel, uafhængig sikkerhed.

Moderne svindelangreb kræver ikke nødvendigvis helt nye kontroller. De klassiske kontroller er fortsat vigtige, men de skal være designet til de trusler, virksomheden faktisk står over for. En ekstra godkendelse, et callback, funktionsadskillelse, begrænsede brugerrettigheder og kontrol med leverandørstamdata er stadig grundlæggende elementer i et stærkt kontrolmiljø. De virker dog kun, hvis de er uafhængige og reelt validerer den handling, der skal gennemføres. Her er tre principper, du kan læne dig op ad:

• Uafhængig verifikation
  Et callback til et telefonnummer fra den modtagne mail er ikke en uafhængig kontrol. Ved ændringer i bankoplysninger eller større betalinger bør verifikationen ske via kontaktoplysninger, der allerede findes i leverandørregisteret, en kontrakt eller en anden uafhængig kilde.

• Modstand mod tidspres
  “Tidskritisk” bør ikke betyde, at kontroller kan omgås. Det bør betyde, at betalingen eskaleres efter en fast procedure, og at eventuelle undtagelser dokumenteres.

• Mandat til at stoppe
  Medarbejdere skal have mandat til at standse en betaling, hvis noget virker usædvanligt – også når anmodningen kommer fra en leder eller henviser til en telefonsamtale med CFO’en.

AI kan også være med til at styrke kontrolmiljøet ved at identificere afvigelser i leverandørers bankoplysninger, usædvanlige beløb og betalingsmønstre eller atypiske sammenfald mellem brugere, leverandører og godkendelser. Men AI kan ikke i sig selv afgøre, om en betaling er legitim. Teknologien skal derfor kobles til tydelige roller, kompetente medarbejdere og en fast proces for eskalation. Den bedste løsning er ikke nødvendigvis den, der automatiserer flest beslutninger, men den, der hjælper medarbejderne med at stille de rigtige spørgsmål på det rigtige tidspunkt.

Når svindel efterfølgende analyseres, bliver ansvaret ofte placeret hos den medarbejder, der ikke opdagede angrebet. Det er sjældent en tilstrækkelig analyse. En medarbejder kan have fulgt den eksisterende procedure, kontaktet leverandøren, indhentet en godkendelse og sikret, at dokumentationen var til stede i ERP-systemet. Det afgørende spørgsmål er derfor ikke kun, hvorfor medarbejderen ikke opdagede svindlen. Det er også, om kontrolmiljøet var designet til at opdage netop denne type svindel.

Ledelsen bør derfor regelmæssigt teste, om kontrollerne fungerer i praksis, og om de er robuste over for både tekniske angreb og menneskelig manipulation. Det kan blandt andet ske ved at undersøge:

Data og verifikation

• Hentes callback-telefonnumre fra en uafhængig kilde?

• Kan leverandørstamdata ændres og bruges til betaling samme dag?

• Hvem kan oprette eller ændre en purchase order, og hvordan kontrolleres det, at den er legitim og relateret til den konkrete betaling?

• Kan virksomheden identificere atypiske mønstre, før pengene forlader virksomheden?

Roller og rettigheder

• Kan en større betaling gennemføres alene med henvisning til en telefonsamtale med CFO’en – og hvis ikke, hvordan skal anmodningen så verificeres?

• Er roller og rettigheder i kreditorprocessen indrettet, så samme person ikke kan ændre leverandørstamdata og gennemføre eller understøtte en betaling?

Adfærd og eskalation

• Bliver undtagelser dokumenteret og efterfølgende evalueret?

• Er medarbejderne trænet i at håndtere henvendelser, der involverer pres, hast eller autoritet?

• Er der en fast procedure for eskalation, når en betaling afviger fra det normale?

• Har medarbejdere i kreditorfunktionen mandat til at stoppe en betaling, selv om den er tidskritisk?

Hvis svarene er uklare, er det ikke nødvendigvis et tegn på, at virksomheden er dårligt beskyttet. Det er et tegn på, at kontrolmiljøet bør undersøges nærmere. Svindel forebygges sjældent med én ny kontrol. Det kræver sammenhæng mellem processer, systemer, data, rettigheder, medarbejdere og ledelse.

AI gør opgaven mere presserende, men ændrer ikke det grundlæggende behov for klare roller, uafhængig verifikation og opmærksomme finansmedarbejdere. I en verden, hvor en stemme kan kopieres på få sekunder, kan den mest værdifulde kontrol stadig være den klassiske:

Hvordan ved jeg, at det faktisk er den rigtige person, den rigtige leverandør og den rigtige betaling?