De fraude driehoek: een onvolledig en achterhaald concept

De AFM heeft in haar position paper van mei 2022 de verwachting uitgesproken dat accountants de poortwachtersrol bij frauderisico’s beter invullen. Fraude(risico’s) signaleren en opvolgen is een belangrijke verantwoordelijkheid voor de accountant en de kern van het accountantsberoep. In de recente publicatie van juni 2023 concludeert de AFM op basis van 32 wettelijke controles voor boekjaar 2021, onder andere dat accountants betere frauderisicoanalyses moeten uitvoeren dan nu het geval is. De sector dient scherper te zijn op frauderisico’s. Scherper betekent professioneel kritischer en diepgaander. 

Hoewel de rapportage nuttige ‘best practices’ bevat, komen aanbevelingen ten aanzien van de frauderisico-analyse er op neer om voldoende tijd en aandacht te besteden aan de teambespreking, inlichtingen in te winnen bij de gecontroleerde en om generieke openbare bronnen te raadplegen zoals de CPI-index om op basis daarvan te komen tot frauderisicofactoren. Dat zijn geen echte ‘eye openers’.

Uit marktonderzoek blijkt dat slechts bij 5% van de wettelijke controles fraude-experts worden ingezet en dat deze expertise buiten de OOB-kantoren nauwelijks beschikbaar is. De gemiddelde (MKB) accountant moet dus vaak zonder eigen ervaring en deskundigheid op het gebied van fraude dan zelf een scherpe fraude-risicoanalyse maken om aan de vereisten van standaard 240 te voldoen. Die standaard is gebaseerd op het bekende concept van de fraudedriehoek, waarbij op basis van risicofactoren, omstandigheden die kunnen wijzen op een mogelijke fraude en daarbij behorende  werkzaamheden, in drie aparte bijlagen lijsten en voorbeelden worden gegeven. Deze zijn door  kantoren vaak omgezet naar ‘checklists’ en standaard werkprogramma’s. 

Meer effectieve werkzaamheden 

De vraag is of deze aanpak effectief is en of gebruik wordt gemaakt van recente wetenschappelijke inzichten. Mij lijkt van niet. De vraag is: “Maar hoe dan wel?”

Als het gaat om de effectiviteit van checklists en standaard werkprogramma’s geeft het onderzoek van Asare en Wright  aan dat de accountants die bij de frauderisicoanalyse gebruik maakten van een gestructureerde checklist, de frauderisico’s significant lager inschatten dan de groep die deze niet hanteerden. Ook bleek uit dit onderzoek dat accountants die voor het plannen van werkzaamheden gebruik maakten van voorbeelden en werkprogramma’s tot minder effectieve werkzaamheden kwamen dan zij die dat niet gebruikten. Belangrijker nog, de groep die werkprogramma’s gebruikte was ook minder geneigd om te consulteren met fraude-experts, mogelijk omdat de documentatie de indruk van volledigheid wekte, en dat daarmee aan de vereisten voldaan was. Dat kan m.i. geen oplossing bieden.

Dat de inzet van fraude-expertise bijdraagt aan een veel effectievere frauderisico-analyse blijkt uit het onderzoek van Verwey en Asare . Uit hun experiment bleek dat  door verschillende vormen van ‘bias’ de eigen perceptie van accountants leidt tot onbewuste onbekwaamheid om voldoende professioneel-kritisch te zijn . Hoewel de standaarden een ‘decomposed risk assessment’ voorschrijven per bewering  of ‘assertion’ zijn frauderisicoanalyses met de inzet van fraude experts meer effectief omdat zij meer holistisch denken  en intuïtief meer specifieke anti-fraude werkzaamheden onderkennen, vertrekkend vanuit het uitgangspunt dat management ook wel eens niet zo integer kan zijn als accountants denken.

Op basis hiervan lijkt het mij niet verstandig om nog meer bijlagen en handreikingen met voorbeelden aan de bestaande regelgeving toe te voegen, maar in lijn met de beleidsvisie van de NBA en de aanbevelingen van de Cta en MCA, de inzet van fraude-expertise te verplichten bij de controle van alle OOB’s , en op basis van de inschatting van het risicoprofiel van de gecontroleerde organisatie en de specifieke opdracht, ook bij de overige (wettelijke) controles. Het maken van de goede inschatting van het risicoprofiel van de opdracht is dus essentieel. 

Uitbreiding fraudedriehoek

Hoe is nu dit risicoprofiel goed te bepalen? Als accountants dit zelf zouden moeten uitvoeren kan dat op basis van bovengenoemde redenen leiden tot onderschatting van het risicoprofiel en daarmee niet tot de gewenste inzet van fraude-experts. De inzet van fraude-expertise zou positief bijdragen in de fase van de klant- en opdrachtacceptatie en continuering, maar los van tijd- en budgetdruk maakt de geringe beschikbaarheid van experts het praktisch niet mogelijk om het risicoprofiel van iedere opdracht inhoudelijk door hen te laten beoordelen. Checklists werken maar beperkt. Een oplossing ligt m.i. in conceptuele uitbreiding van de fraude driehoek. 

Fraude is een opzettelijke handeling waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te verkrijgen. Fraude wordt altijd  gepleegd door mensen die handelingen verrichten (en niet door organisaties). De fraude driehoek gaat in op gelegenheid, druk en rationalisatie en is ooit in 1953 ontwikkeld door Cressey  met de intentie om motieven voor diefstal te verklaren, maar is sindsdien, zonder empirische toetsing, door de internationale accountancy sector omarmd als de conceptuele basis voor de frauderisico analyse. Dit concept is m.i. inmiddels achterhaald door nieuwe wetenschappelijke inzichten en daardoor ten minste onvolledig te noemen. 

Een goed overzicht van ‘underutilized theories’ in fraude onderzoek wordt gegeven in het artikel van Malimage uit 2019 . Op basis van onderzoek zou het bestaande conceptuele model kunnen worden uitgebreid met het aspect van vaardigheid (‘capability’). De mogelijkheid om fraude te plegen wordt geboden door gelegenheid. De druk en stimulans geven een aanzet en in rationalisatie is een morele rechtvaardiging te vinden, maar vaardigheid bepaalt of een persoon daadwerkelijk in staat is fraude te plegen. 

Mensen die willen frauderen zullen de gelegenheid ook proberen te creëren als ze daartoe in staat zijn. 
De positie en functie van de fraudeur in de organisatie, kennis en kunde en zijn of haar persoonlijk ego, zelfvertrouwen en stressbestendigheid zijn factoren die zijn of haar capaciteit om fraude te plegen beïnvloeden. Daarnaast speelt ook de sociale omgeving (‘social climate’) van de organisatie een belangrijke rol in de kans op fraude, mede bepalend voor de interne beheersing, de ‘toon aan de top’ en de leidende  groepsdynamiek. De onderzoeken uit de studie van Malimage geven aan dat de huidige fraudedriehoek incompleet is en een ‘biased translation’ is vanuit de criminologie naar de accountancy. Zij geeft inzichten vanuit andere disciplines aan die frauderisicoanalyses conceptueel kunnen versterken. 

Concluderend

Concluderend zou ik willen betogen dat om de scherpere frauderisicoanalyse te kunnen uitvoeren er drie zaken van belang zijn: (i) checklists en standaard werkprogramma’s terzijde leggen en accountants te stimuleren om met een ‘open mind’ een breed scala aan aspecten te overwegen (ii) betrokkenheid van fraude-expertise zoveel mogelijk te verplichten en (iii) in de frauderisicoanalyse de concepten van de fraudedriehoek aan te vullen met de inzichten vanuit de wetenschap inzake de benodigde persoonlijke vaardigheden en sociale omgeving van de organisatie om de kans op fraude beter te kunnen inschatten.