231214 Raadsinformatiebrief CEO bijlage - Evaluatie CEO Fraude gemeente Alkmaar

• Msk

Evaluatie CEO Fraude

Inhoud 1. Aanleiding en opzet evaluatie 3 Aanleiding 4 Opzet 4

2. De CEO Fraude 5 De methode 6 Het fraude proces 7

3. Ondernomen acties 8 Enkel betaling via de reguliere workflow 9 Algemeen technische maatregel 9 Fraude awareness training 9 Fraude melding BNG Bank 10 Aangifte bij de politie 10 Intern onderzoek 11 Extern onderzoek Hoffmann 11 Versterken fraudepreventie 12 Extern onderzoek Hoffmann 11

Versterken fraude preventie 11

2

1. Aanleiding en opzet evaluatie

3

Aanleiding Aanleiding is de CEO Fraude die in juni 2023 heeft plaatsgevonden bij de financiële administratie van de gemeente Alkmaar. In dit evaluatie document wordt u als raadslid nader geïnformeerd over de CEO fraude, ten aanzien van: a) het ontstaan van deze fraude, de gebruikte methode en de uiteindelijke omvang, b) de door de ambtelijke organisatie getroffen maatregelen tegen deze fraude, c) de door de ambtelijke organisatie getroffen maatregelen om nieuwe fraude in de toekomst te voorkomen.

Opzet Het document is geen evaluatie op detailniveau maar een beschrijvende uitleg en toelichting over hoe de zaken feitelijk zijn gegaan. Voor verdere detaillering wordt u verwezen naar het CEO fraude dossier welke ter inzage ligt bij de griffie sinds september jongstleden.

Deze evaluatie start met een beschrijving van de fraude zelf. Wat heeft er plaatsgevonden en hoe is de fraudeur te werk gegaan en wat hebben de medewerkers wel en niet gedaan. Vervolgens worden alle belangrijke maatregelen beschreven. Welke maatregelen hebben we genomen in het betaalproces, voor de medewerkers en tegen de gepleegde fraude zelf.

4

2. De CEO Fraude

5

Op 27 juni 2023 werd ons bekend dat gemeente Alkmaar was getroffen door CEO Fraude. CEO-fraude is een vorm van online criminaliteit waarbij een derde, de fraudeur, zich voordoet als een directeur van de organisatie, in casu de gemeente Alkmaar om, met valse facturen, via een medewerker van de financiële administratie spoedbetalingen verricht te krijgen. De fraudeur opereert daarbij veelal in een goed georganiseerd netwerk, met professionele disciplines.

Toen duidelijk werd dat de gemeente daadwerkelijk met CEO fraude te maken had is er onmiddellijk een tijdelijke blokkade op uitgaande betalingen gezet en is een onderzoek gestart naar de omvang van de schade. In totaal bleken er zeven valse inkoopfacturen te zijn ontvangen, waarvan er drie zijn betaald. De drie valse facturen hebben samen een totaalbedrag van € 236.243.

Datum Bedrag 26-06-2023 € 98.543 23-06-2023 € 92.200 20-06-2023 € 45.500

Deze facturen zijn betaald op basis van een akkoord via de mail van een directeur, welke mail evenwel vals bleek te zijn. De overige valse facturen zijn uit de systemen verwijderd en niet betaald.

De methode

De fraudeur maakte gebruik van een wel doordachte strategie. Er is zorgvuldig onderzocht welke personen er werkzaam zijn bij de gemeente Alkmaar en naar grote waarschijnlijkheid een rol hebben in het betaling proces. De fraudeur deed zich voor als één van de directeuren en koos voor een persoonlijke mail gericht aan een medewerker van de financiële administratie. Tijdens de korte mail conversatie werd zorgvuldig aandacht besteed om zo authentiek mogelijk over te komen. Domeinnamen werden tijdens de conversatie gewijzigd in @alkmaar.nl, er was een plausibele uitleg om wat voor betaling het ging en waarom de betaling met spoed plaats moest vinden. Er werd gekozen voor een persoonlijke benadering (vb. gebruik van alleen voornamen in de mail). Verder was er sprake van tijdsdruk, een kenmerkend element in de methode van CEO fraude. En er werd al snel een voor ons bekend incassobureau meegenomen in de correspondentie. Ook een beproefde manier bij CEO fraude om druk te zetten en aan te geven dat haast geboden is.

6

Ook de bijgevoegde facturen waren zorgvuldig opgesteld. Het bedrijf waar de rekeningen aan betaald moesten worden, is een gerenommeerd buitenlands advocatenkantoor. De facturen leken ogenschijnlijk echt. Gebruikte namen en rekeningnummers in de facturen bleken alleen na diepgaand onderzoek niet van dit bedrijf te zijn.

Het fraude proces

Ter borging van een efficiënte en rechtmatige administratie van de gemeentelijke financiën is er een stelsel van regels, de administratieve organisatie. Bij deze CEO fraude zijn enkele belangrijke regels hieruit niet of niet op tijd onderkend binnen de bestaande processen. De drie persoonlijke mails van de vermeende directeur aan de medewerker zijn onvoldoende geverifieerd op echtheid. Binnen de bulk aan betaalopdrachten die een financieel administratief medewerker dagelijks te verwerken krijgt heeft de strategie van de fraudeur gewerkt. Er is bijvoorbeeld onvoldoende aandacht geweest om het emailadres van de afzender goed te bestuderen en te controleren op de juiste domeinnaam. De buitenlandse rekeningnummers waren geverifieerd en akkoord. Dat het bij de drie betalingsverzoeken om drie verschillende IBAN-nummers ging vond men wel opvallend maar heeft uiteindelijk niet geleid tot een interventie om het betaalproces te stoppen. Er was onvoldoende awareness over het bestaan van dergelijke fraude en men heeft onvoldoende geluisterd naar hun eigen ‘onderbuik gevoel’.

Alle drie de betalingen zijn ‘handmatig’ via de bank betaald, op basis van het ‘akkoord’ van de ‘nep-directeur’ per e-mail. Het betreft buitenlandse betalingen, die vaak (vanwege de ‘financieel systeem/BNG combinatie) niet via een betaalbatch maar handmatig in de bank moeten worden gezet als betaalopdracht. De belangrijkste regel proces afspraak die hier niet heeft gewerkt is dat je eerst een akkoord wilt via de ‘workflow’ (lees: aantoonbaar door het systeem geautoriseerde budgethouder) van deze directeur alvorens over te gaan tot betaling Een akkoord via de bestaande systemen van de ‘workflow’ garandeert namelijk dat er een aantoonbaar door het systeem geautoriseerde budgethouder akkoord gegeven heeft op betaling van de factuur.

7

3. Ondernomen acties

8

Nadat op 27 juni bij ons bekend was dat gemeente daadwerkelijk getroffen was door CEO-fraude zijn er direct maatregelen en acties ondernomen om deze fraude te stoppen. De belangrijkste genomen maatregelen betreffen: a. enkel betaling via de reguliere workflow b. algemeen technische maatregel c. fraude awareness training d. fraude melding BNG bank e. aangifte bij politie f. intern onderzoek g. extern onderzoek Hoffmann h. versterken fraudepreventie

Enkel betaling via de reguliere workflow

Als eerste maatregel is aan medewerkers in het betaalproces geïnstrueerd dat inkoopfacturen alleen mogen worden betaald na goedkeuring via de autorisatie workflow. Dat garandeert het akkoord van een door het systeem geautoriseerde budgethouder op betaling van de factuur. Het betalen van inkoopfacturen zonder goedkeuring via de autorisatie workflow (bijvoorbeeld akkoord via mail) vindt niet meer plaats.. Dit is in de procesbeschrijving extra benadrukt en vervolgens gecommuniceerd aan alle betrokken medewerkers.

Algemeen technische maatregel

Er is een technische aanpassing doorgevoerd in de mailsystemen. Wij hebben in de Alkmaar Doelarchitectuur onze mailservers voorzien van betere anti-spoofing instellingen. Hierdoor is het zichtbaar voor de gebruiker in zijn/haar email programma wanneer een email van buitenaf komt en een mogelijk onveilige afzender is. Dit is voor de hele organisatie ingesteld.

Fraude awareness training Op 29 september 2023 hebben alle medewerkers van de vakgroep Financiële Administratie en enkele andere bij het betaalproces betrokken financieel medewerkers een ‘Social Hack’ training gevolg. In de training werd duidelijk gemaakt wat ‘social hacken’ inhoud en welke psychologie hierbij wordt toegepast. Tijdens de training kropen de medewerkers zelf in de huid van een hacker en er werden afspraken gemaakt om in de toekomst CEO fraude te kunnen voorkomen.

9

Fraude melding BNG Bank De gemeente heeft de dag na het bekend worden van de fraude op woensdag 28 juni bij de BNG Bank een melding gedaan van CEO fraude en het betalen van onverschuldigde bedragen. Verzocht is om deze fraudemelding in behandeling te nemen, hiervoor een onderzoek in te stellen en deze fraude melding bekend te maken bij de andere hierbij betrokken Engelse banken. Verder is aan de BNG Bank verzocht zorg te dragen om de drie betalingen ongedaan te maken, te storneren of te verhalen.

Tot nu toe heeft de BNG tijdens hun onderzoek € 75.287 weten te traceren en ook daadwerkelijk aan de gemeente terug betaald.

Datum Bedrag 20-06-2023 € 45.500 23-06-2023 € 92.200 26-06-2023 € 98.543 15-09-2023 € -6 20-10-2023 € - 75.281 Restant Schade € 160.955

Gemeente Alkmaar zal de BNG blijven aansporen om zorg te dragen dat het onderzoek door gaat tot dat de geldstromen volledig zijn onderzocht met als doel om alle betaalde bedragen teruggestort te krijgen.

Aangifte bij de politie Op donderdag 27 juni 2023 is er direct contact gezocht met de politie en is er een afspraak gemaakt voor aangifte van deze CEO fraude. Op donderdag 6 juli 2023 is er namens de gemeente Alkmaar aangifte gedaan bij de politie van deze CEO fraude. Er is een proces-verbaal opgemaakt en al het beschikbare bewijsmateriaal overhandigd. Op vrijdag 7 juli 2023 is deze aangifte in behandeling genomen. De politie heeft na deze aangifte nog verschillende gegevens bij ons opgevraagd. Het onderzoek loopt nog en wij worden als gemeente geïnformeerd over de voortgang.

10

Intern onderzoek Direct na het constateren van de CEO fraude is ook direct het interne onderzoek gestart. Alle bij deze CEO fraude betrokken medewerker zijn geïnterviewd en hiervan is een verslag gemaakt. Verder is er een logboek van alle handelingen rondom het proces van de drie betalingen gemaakt. De belangrijkste bevindingen naar aanleiding van de gehouden interviews zijn:

• Er zijn geen signalen geconstateerd van vermoedens van interne fraude en of het bewust meewerken aan fraude; • Er is onvoldoende awareness bij een betalingsopdracht met akkoord, die wordt ontvangen vanaf een vals-emailadres; • Alle drie de facturen hadden eerst een goedkeuring via de workflow moeten krijgen voordat deze werden betaald, de beleving was dat bij deze spoedbetalingen een akkoord per email volstaat; • Twijfel en verbazing over binnen korte tijd ontvangen van meerdere, handmatige betaalverzoeken via email en meerdere IBAN rekeningnummer wijzigingen voor één (buitenlandse) leverancier, heeft uiteindelijk niet geleid tot een interventie om het betaalproces te stoppen.

Extern onderzoek Hoffmann Het college heeft de directie van de gemeente gevraagd om aanvullend een extern onderzoek uit te laten voeren. Doel van het onderzoek was vierledig. In de eerste plaats moest het interne onderzoek onderworpen worden aan een review naar compleetheid. In de tweede plaats moest worden vastgesteld welke interne beheersmaatregelen niet hebben gewerkt of waar zij verbeterd kunnen worden. In de derde plaats moest worden vastgesteld of er wel of geen sprake was van interne betrokkenheid. Wanneer er sprake zou zijn van interne betrokkenheid moest ten slotte worden vastgesteld wie hierbij betrokken is geweest. Hoffmann bedrijfsrecherche is gevraagd dit onderzoek uit te voeren. Hoffmann heeft in augustus 2023 het onderzoek uitgevoerd.

Na onderzoek kwam Hoffmann met de volgende bevindingen: “De gemeente Alkmaar heeft een goed en gedegen intern onderzoek uitgevoerd naar de CEO-fraude. Er is op een goede wijze in kaart gebracht hoe de CEO-fraude plaats heeft gevonden. Er is geen sprake van interne betrokkenheid. De gemeente Alkmaar heeft zelf duidelijk welke interne beheersmaatregelen niet goed hebben gewerkt. De gemeente Alkmaar heeft direct verbeteringen aangebracht en gaat ook in haar bedrijfsprocessen verbeteringen aanbrengen. Hoffmann heeft geconstateerd dat er geen aanvullend onderzoek meer nodig is.”

11

Versterken fraudepreventie Digitale en technologische ontwikkelingen gaan snel en fraudeurs zoeken altijd naar nieuwe mogelijkheden om geld te bemachtigen van organisaties en personen. Daarom is de geconstateerde CEO-fraude aanleiding om het gehele betaalproces opnieuw te beoordelen en waar mogelijk te verbeteren. Er is inmiddels een verbeterplan opgesteld die tot doel heeft om te komen tot een betaalproces, waarin alle risico’s op onterechte betalingen en/of frauduleuze handelingen, zoveel als mogelijk, worden uitgesloten. Het verbeterplan bestaat uit zowel procesmaatregelen als maatregelen op het gebied van gedrag. Het opgestelde verbeterplan is voorgelegd voor advies aan de accountant en ter besluitvorming aan directie en college. Voortgang van het verbeterplan wordt gerapporteerd aan de directie en de verantwoordelijke portefeuillehouder en middels de boardletter en jaarrekening aan u als raad.

12