Verzekeraars werken aan beheersing interne fraude

In het onderzoek heeft DNB bekeken hoe verzekeraars risico’s op interne fraude binnen integriteitsgevoelige functies en processen identificeren, beheersen en monitoren. DNB ziet dat de onderzochte verzekeraars in brede zin aandacht besteden aan het tegengaan van interne fraude en dat hiervoor doorgaans een basisinrichting aanwezig is. Ook laat het onderzoek zien dat verzekeraars hier op uiteenlopende wijze invulling aan geven. Deze verschillen zijn onder meer zichtbaar in de governance, de uitwerking van risicoanalyses en de inrichting van detectie en monitoring.

Betrokkenheid top aanwezig, maar positionering verschilt
DNB constateert dat bij alle onderzochte verzekeraars aandacht bestaat voor integriteit en fraudebeheersing, met betrokkenheid van bestuur en senior management. Tegelijkertijd verschilt de wijze waarop het tegengaan van interne fraude binnen instellingen wordt gepositioneerd. Waar sommige verzekeraars interne fraude expliciet als integriteitsrisico benaderen, zien andere instellingen dit primair als operationeel risico. Deze verschillende positionering hangt samen met verschillen in sturing, prioritering en monitoring. Ook de inrichting van rollen en verantwoordelijkheden verschilt tussen verzekeraars. Zo zijn bij sommige instellingen verantwoordelijkheden voor risico-identificatie, monitoring en opvolging van signalen expliciet belegd, terwijl deze taken bij andere instellingen over meerdere bedrijfsonderdelen zijn verdeeld.

Meer concrete en procesgerichte risicoanalyses
Verzekeraars besteden structureel aandacht aan frauderisico’s binnen hun risicoanalyses, waaronder de Systematische Integriteitsrisicoanalyse (SIRA). In de praktijk ligt de nadruk daarbij vaak op externe fraude, wat gezien de omvang van dit risico begrijpelijk is. Het onderzoek laat zien dat het risico op interne fraude vaak op een meer algemeen niveau wordt geanalyseerd, terwijl incidenten binnen de sector met enige regelmaat voorkomen. De mate waarin risicoanalyses zijn vertaald naar concrete fraudescenario’s en specifieke kwetsbare processen verschilt tussen instellingen. DNB heeft daarbij verschillende kwetsbaarheden gezien die in de praktijk relevant blijken voor interne fraude, zoals:

• diepgaande systeemkennis van medewerkers
• samenspanning tussen medewerkers
• interne betrokkenheid bij externe fraude.

Daarnaast ziet DNB voorbeelden waarbij fraudescenario’s multidisciplinair worden uitgewerkt, bijvoorbeeld in samenwerking tussen eerste- en tweedelijnsfuncties. Deze aanpak biedt meer inzicht in specifieke risico’s en kwetsbaarheden binnen processen en kan bijdragen aan meer gerichte beheersmaatregelen.

Basis aan maatregelen aanwezig, met verschillende accenten in de inrichting
De onderzochte verzekeraars beschikken over generieke preventieve maatregelen, zoals functiescheiding, autorisatielimieten, het vier-ogen-principe en screening van medewerkers. Daarnaast treffen verzekeraars aanvullende maatregelen voor medewerkers in integriteitsgevoelige functies, waaronder leden van de Raad van Bestuur en de Raad van Commissarissen. Het onderzoek laat zien dat veel van deze maatregelen onderdeel zijn van bredere interne controle- en risicobeheersingsraamwerken. Tegelijkertijd blijkt uit onderzochte fraude-incidenten dat bestaande beheersmaatregelen in bepaalde gevallen kunnen worden omzeild en daarmee onvoldoende effectief zijn om het risico op fraude te beheersen. Dat geldt met name wanneer maatregelen vooral beleidsmatig zijn ingericht en minder technisch of procedureel zijn verankerd. Ook ziet DNB dat instellingen op verschillende manieren omgaan met risico’s die samenhangen met langdurige functievervulling in integriteitsgevoelige rollen. Voorbeelden hiervan zijn roulatie van werkzaamheden, variatie in teamsamenstellingen en tijdelijke vervanging tijdens verlofperiodes.

Detectie en monitoring nog in ontwikkeling
DNB constateert dat alle onderzochte verzekeraars beschikken over meldkanalen voor (vermoedens van) interne fraude, waaronder de mogelijkheid tot anoniem melden. Het onderzoek laat zien dat interne fraude in meerdere gevallen aan het licht is gekomen via meldingen, signalen van derden of andere constateringen in de bedrijfsvoering. Daarnaast ziet DNB voorbeelden van instellingen die detectiemaatregelen ontwikkelen op basis van data-analyses en monitoring. Zo worden bij sommige verzekeraars analyses uitgevoerd op ongebruikelijke systeemmutaties, opvallende frequenties of omvang van claims en patronen die kunnen wijzen op het omzeilen van bestaande beheersmaatregelen. De mate waarin dergelijke detectiemaatregelen zijn uitgewerkt en onderdeel vormen van reguliere monitoring verschilt echter tussen instellingen.

Leren van incidenten waardevol voor verdere ontwikkeling
Verzekeraars verrichten bij concrete signalen van interne fraude doorgaans zorgvuldig onderzoek en treffen waar nodig passende maatregelen, waaronder arbeidsrechtelijke stappen en registratie. DNB ziet daarnaast verschillende voorbeelden waarbij instellingen fraudecasuïstiek gebruiken om beheers- en detectiemaatregelen verder aan te scherpen. Zo heeft een verzekeraar naar aanleiding van een incident aanvullende controles ingericht op uitbetalingen naar rekeningen van medewerkers. Tegelijkertijd verschilt de wijze waarop lessen uit incidenten binnen organisaties worden gedeeld en toegepast. Het onderzoek laat zien dat interne fraude zich geleidelijk kan ontwikkelen, waarbij kleinere onregelmatigheden kunnen uitgroeien tot ernstigere incidenten. Het delen van ervaringen en lessen uit incidenten kan bijdragen aan het tijdig herkennen van signalen en onderliggende kwetsbaarheden.

Monitoring vanuit tweede lijn op verschillende manieren ingericht
De monitoring van interne fraude vindt in de praktijk veelal plaats in de eerste lijn en maakt vaak deel uit van bredere activiteiten op het gebied van fraudebeheersing. De rol van de tweede lijn verschilt tussen instellingen. De wijze waarop interne fraude binnen de organisatie is gepositioneerd – als operationeel risico of als integriteitsrisico – blijkt daarbij mede van invloed op de inrichting van de monitoring. DNB ziet daarnaast dat veranderingen in processen, systemen, taken en verantwoordelijkheden van invloed kunnen zijn op het risico op interne fraude. Een passende betrokkenheid van de tweede lijn kan bijdragen aan het zicht op dergelijke ontwikkelingen en risico’s.

Verdere ontwikkeling van interne fraudebeheersing
Het onderzoek laat zien dat verzekeraars op uiteenlopende wijze invulling geven aan het beheersen van interne fraude. Daarbij ziet DNB binnen de sector verschillende voorbeelden en aanknopingspunten voor verdere ontwikkeling, waaronder:

• een duidelijke positionering binnen governance
• heldere rolverdeling en eigenaarschap
• concrete, procesgerichte en scenario-gedreven risicoanalyses
• op interne fraude gerichte beheersmaatregelen
• verdere ontwikkeling van detectie en monitoring
• het benutten van lessen uit incidenten binnen de organisatie.

DNB roept verzekeraars op de eigen beheersing van het risico op interne fraude goed tegen het licht te houden. De bovenstaande voorbeelden en aanknopingspunten kunnen daarbij behulpzaam zijn: door deze elementen in samenhang verder te ontwikkelen, kunnen verzekeraars hun inzicht in interne frauderisico’s vergroten en bijdragen aan een beheerste en integere bedrijfsvoering. De zes onderzochte verzekeraars hebben inmiddels een terugkoppeling van de resultaten van het onderzoek ontvangen.

Bron: DNB