Stel dat een medewerker een door AI verzonnen parkeerbon declareert. Wat is de kans dat dit binnen jouw organisatie wordt opgemerkt?

Of dat een controller met behulp van AI ontbrekende onderbouwing voor een balanspost creëert, een zeer overtuigende maar nooit verzonden goedkeuringsmail fabriceert, of financiële prognoses zodanig aanpast dat tegenvallende resultaten minder zichtbaar worden?

De vraag is niet óf dergelijke situaties mogelijk zijn, maar of jouw organisatie ze tijdig herkent. Voor CFO’s ligt hier een snel groeiend risico dat daarom op jouw agenda hoort te staan.

Lees ook op CFO.nl: IKEA had met AI 8.500 banen kunnen schrappen. Het koos voor iets moeilijkers.

Wat interne AI-fraude is
Bij AI-fraude denken we vaak aan criminelen die organisaties van buitenaf aanvallen met deepfakes, phishingmails of gehackte systemen. Interne AI-fraude is wezenlijk anders omdat zij van binnenuit de organisatie komt. Het zijn medewerkers, waaronder ook managers en directeuren, die AI inzetten om te frauderen. Het grote verschil met externe AI-fraude is dat medewerkers niet binnen hoeven te dringen. Ze zijn al binnen.

Interne AI-fraude kunnen we verstaan als opzettelijke misleiding binnen een organisatie waarbij AI wordt gebruikt om fraude te bedenken, mogelijk te maken, uit te voeren, op te schalen of te verhullen.

AI-fraude gaat verder dan het vervalsen van documenten. Medewerkers kunnen AI vragen waar de zwakke plekken in een betalingsproces zitten, een collega met een geloofwaardig gegenereerd bericht tot betaling bewegen of een AI-agent opdrachten laten uitvoeren waarvoor zij zelf geen bevoegdheid hebben.

Individueel lijken dergelijke voorbeelden wellicht onbeduidend. Gezamenlijk kunnen zij echter managementinformatie vervuilen, financiële rapportages aantasten en uiteindelijk leiden tot schandalen. Het is goed denkbaar dat organisaties in de toekomst in opspraak komen of zelfs ten onder gaan door grootschalige en geraffineerde interne AI-fraude.

Lees ook op CFO.nl: Michel Wessel (CFO van Royal Talens): “De toekomst is digitaal. Het moment om de eerste stap te zetten in AI is nu.” 

Waarom het risico van interne AI-fraude snel toeneemt
AI verandert niet alleen de manier waarop fraude wordt gepleegd, maar ook wie ertoe in staat is, hoe snel het kan gebeuren en hoeveel schade één medewerker kan veroorzaken.

Ten eerste verlaagt AI de drempel tot fraude. Waar vroeger specialistische kennis of technische vaardigheden nodig waren om te frauderen, kan nu vrijwel iedere medewerker met enkele gerichte prompts documenten, analyses, afbeeldingen, audiofragmenten en complete correspondentie genereren.

Ten tweede wordt fraude sneller en goedkoper. Frauduleuze handelingen die vroeger uren of dagen kostten, kunnen nu in minuten worden uitgevoerd.

Ten derde wordt fraude overtuigender. AI kan consistente en geloofwaardige informatie produceren. Een fictieve factuur kan worden ondersteund door een aannemelijke opdrachtbevestiging, een geloofwaardige e-mailwisseling en een sluitende toelichting.

Ten vierde vergroot AI de schaalbaarheid van fraude. Eén valse declaratie kan er met één klik op de knop twintig worden. Eén fictieve leverancier kan uitgroeien tot een stroom van facturen. Eén verzonnen klantreactie kan veranderen in honderden beoordelingen. AI-agenten kunnen dergelijke processen bovendien automatiseren.

Het risico op interne AI-fraude neemt nu snel toe doordat organisaties steeds meer AI-toepassingen beschikbaar stellen aan medewerkers, terwijl medewerkers ook buiten het werk steeds eenvoudiger toegang krijgen tot krachtige AI-tools die voor misbruik binnen het werk kunnen worden inzet.

Lees ook op CFO.nl: Waarom wachten op AI? Deputy CFO Nicola Rowlands van DEPT® breidde outsourcing juist uit

Wat kun je als CFO doen tegen interne AI-fraude?
Gezien het toenemende risico hoort interne AI-fraude op de agenda van CFO’s te staan. Gelukkig kun je als CFO allerlei maatregelen nemen om dit risico te beheersen:

• Maak duidelijk wat verantwoord AI-gebruik inhoudt. Neem AI-gerelateerde fraude en ander misbruik op in gedragscodes, richtlijnen en beleid.
• Betrek interne AI-fraude in reguliere frauderisicoanalyses. Vraag per proces hoe AI bestaande risico’s vergroot of nieuwe risico’s creëert.
• Richt de AO/IC zo in dat interne AI-fraude zoveel mogelijk wordt voorkomen en tijdig wordt gesignaleerd. Zorg bijvoorbeeld voor bronverificatie, vierogenprincipes, steekproeven en controles op afwijkingen.
• Vergroot het bewustzijn van medewerkers rondom AI-misbruik. Bespreek bijvoorbeeld in trainingen en teamoverleggen concrete voorbeelden.
• Verken de mogelijkheden van goede detectiesoftware zodat AI-fraude vroegtijdig wordt gesignaleerd.
• Test de weerbaarheid van de organisatie tegen interne AI-fraude. Laat bijvoorbeeld een AI-gegenereerde factuur, klantbevestiging of goedkeuringsmail door het reguliere proces lopen en beoordeel of de bestaande controles deze tijdig signaleren.
• Monitor de soft controls rondom AI-misbruik. Ga na in hoeverre medewerkers elkaar aanspreken, dilemma’s bespreken en leidinggevenden het goede voorbeeld geven ten aanzien van AI-gebruik.
• Zorg dat signalen van AI-fraude goed kunnen worden onderzocht. Leg vooraf vast wie wordt ingeschakeld en hoe relevante data, prompts, logs en toegangsgegevens worden veiliggesteld.
• Betrek uw auditcommissie, raad van commissarissen en externe accountant in wat de organisatie doet tegen interne AI-fraude. Interne AI-fraude is immers ook voor hen relevant.

Kortom, het risico van interne AI-fraude hoort niet alleen op de agenda van CFO’s te staan, maar ook de vraag hoe de organisatie dit risico beheerst.

Lees ook op CFO.nl: CFO meets CHRO – Marjanne van Ittersum en Kim Teunis (CFO en CHRO van Enexis): “Diversiteit is geen HR-feestje.”

Decision-making in high-stake situations with Prof. Sinaceur

Improve your effectiveness in uncertain or complex situations. Join the 2-day Decision-making in high-stake situations program by Prof. Marwan Sinaceur.

Learn more & enroll now