Frauda se adapteaza ca un virus la mediul in care se produce, iar pandemia provocata de noul coronavirus a accelerat transferul infractionalitatii in mediul online, a extins sfera companiilor expuse riscului, generand o alta pandemie: cea de frauda. Poate si mai grav este ca mai mult de jumatate dintre fraude nu sunt raportate organelor de urmarire penala de catre companii, de teama publicitatii negative.

Acest cerc vicios nu face decat sa amplifice riscul de frauda, de aceea companiile au nevoie de specialisti care sa aplice proceduri investigative si tehnici specifice de combatere a fenomenului fraudulos.

Acestea sunt cateva dintre principalele concluzii expuse la FRAUD SUMMIT by SPIA, primul eveniment din Romania dedicat investigatiilor antifrauda si combaterii fraudei. Peste 20 de specialisti antifrauda din companii, organizatii neguvernamentale, institutii publice si autoritati au luat parte la FRAUD SUMMIT 2021. Evenimentul a fost organizat de SPIA Romania, liderul noii generatii de investigatori corporate, impreuna cu firma de avocatura act Botezatu Estrade Partners.

Studiile arata ca, la nivel global, aproape 1 din 2 companii (47%) a fost afectata de frauda in 2019 si 2020, ceea ce reprezinta al doilea cel mai ridicat nivel de frauda din ultimii 20 de ani. Astfel de incidente genereaza pierderi insemnate din veniturile unei companii, iar complexitatea fraudei este direct proportionala cu marimea organizatiei in care se produce. Indiferent de industrie, peste o treime din frauda comisa in interiorul companiilor este realizata de angajatii proprii, iar fraudatorii fac parte, in egala masura, din middle management, top management sau lucreaza in departamente operationale.

”Din pacate, mai putin de jumatate (49%) din fraude sunt raportate organelor de urmarire penala. Cele mai multe companii aleg sa rezolve problema intern, pentru ca se tem de publicitate negativa, insa lipsa de constientizare a riscului de frauda inoculeaza ideea ca, de fapt, aceasta nu ar exista. Totodata, foarte putine companii au propriile mecanisme de verificare si control sau proceduri de due diligence. Cele mai multe afla ca au o problema in interior de la ceilalti angajati, care isi anunta superiorii atunci cand observa o neregula. Impactul fraudei asupra organizatiilor este semnificativ, dar prea putin constientizat. De aceea, orice companie trebuie sa fie atenta si sa raporteze orice problema de securitate, pentru ca frauda poate aparea oriunde si nu se pune problema daca se produce, ci cand se produce”, a declarat la Summit, Andrei Croitoru, Managing Associate act Botezatu Estrade Partners.

Potrivit acestuia, indiferent de domeniul in care se produce, principalul motor al fraudei sunt banii, iar barbatii produc fraude cu prejudicii de trei ori mai mari decat cele comise de femei. In acelasi timp, chiar daca putem vorbi de un echilibru intre numarul fraudelor produse de un singur individ si grupuri infractionale, prejudiciul generat este de 4-5 ori mai mare in cazul grupurilor organizate decat in cazul fraudei comise de o singura persoana.

Conform specialistilor prezenti la Summit, in Romania, bancile sunt un teren fertil pentru frauda, din cauza multitudinii de actori implicati, a tranzactiilor efectuate si a produselor folosite. In cazul bancilor, riscul de frauda este multidirectional. Astfel, institutiile bancare pot fi fraudate de clienti, de angajati, de terti, de actionari sau chiar de cei aflati la conducerea companiei, prin legislatia interpretabila si uneori incompleta. De asemenea, cel mai fraudat produs la bancilor sunt cardurile, aproape jumatate din totalul infractiunilor comise in cazul institutiilor bancare fiind reprezentate de frauda cu cardurile.

Angajatii care comit fraude provin de regula din randul oamenilor ”cu vechime la actualul job”, cunosc vulnerabilitatile din interiorul organizatiei, bresele de securitate si, foarte important, nu au antecedente penale la prima frauda savarsita sau descoperita.

”Angajatii fraudeaza atunci cand sunt in criza: au pierdut bani multi la cazino sau isi fac datorii mari pe alta cale, au nevoie de o suma mare de bani, au pe cineva bolnav in familie. Este important sa fim atenti la cei din jurul nostru, pentru ca, dincolo de bani, oamenii au nevoie de atentie, de apreciere, au nevoie sa fie ascultati. O cultura organizationala care pune accentul pe nevoile oamenilor este foarte importanta, iar departamentele de resurse umane ar trebui sa aiba oameni dedicati care urmaresc aceste aspecte, chiar si un psiholog ar fi util”, a spus Ionut Neacsu, psiholog IGPR si negociator in situatii de criza.

In opinia investigatorilor particulari si a specialistilor antifrauda, organizatiile din Romania trebuie sa constientizeze factorii care favorizeaza frauda si sa anunte autoritatile atunci cand descopera sau cand au suspiciuni de frauda. Companiile trebuie sa aiba proceduri interne pentru evaluarea riscurilor, sa organizeze sesiuni de training cu angajatii, sa incurajeze whistleblowing-ul (raportarea de catre angajati a unor situatii suspecte) si sa introduca o cultura a constientizarii si combaterii interne a fenomenului fraudulos in cadrul companiei.

”Fraudele lasa intotdeauna urme si se pot demonstra cu ajutorul specialistilor. Modurile de operare ale suspectilor sunt intr-o continua dezvoltare, iar investigatorii antifrauda se specializeaza zilnic, in pas cu evolutia fenomenului criminal. De altfel, este crucial ca eforturile antifrauda sa incerce mereu sa fie cu un pas inaintea fraudatorilor. Este important ca, imediat ce a fost descoperita, frauda sa fie raportata si investigata, pentru ca prejudiciul sa fie recuperat rapid.”, a explicat Nicolae Birla, specialist antifrauda, SPIA Romania.

Prezenta la eveniment, Teodora Stoian, consilier al Ministrului Justitiei a spus ca, cel mai probabil, pana la finalul anului, Romania va avea o procedura clara de folosire si protectie a avertizorilor de integritate, pozitie din care angajatii pot sesiza suspiciuni de frauda in interiorul companiilor.

Indiferent de industria in care se produce, frauda este de 3 feluri: externa, interna si mixta. Estimarile la nivel mondial arata ca 39% dintre fraudele suferite de companii au sursa externa. Frauda interna sau frauda ocupationala este comisa de proprii angajati si se afla aproape la egalitate cu cea externa, respectiv 37%. Frauda mixta – in care fraudatorii externi si cei interni lucreaza impreuna – reprezinta aproape 20% dintre fraudele care afecteaza companiile.

”In cazul fraudelor comise de companii, in ultimii ani, ”vedeta” ramane evaziunea fiscala. Potrivit unei statistici a Ministerului Justitiei, in perioada 2016-2019, aproape jumatate dintre condamnarile decise pentru persoane juridice au fost generate de evaziune, pe locul imediat urmator fiind dosarele de inselaciune”, a explicat Amalia Gogoci, Managing Associate, act Botezatu Estrade Partners.

Atacurile cibernetice sunt, de asemenea, una dintre cele mai mari amenintari pentru companii, mai ales in contextul pandemiei declansate anul trecut, cand foarte multe afaceri au fost fortate sa-si mute operatiunile in online. Multe dintre aceste companii – si angajatii acestora – nu aveau pregatirea necesara pentru a face fata riscurilor de atac si vulnerabilitatilor de securitate, prin urmare, nu au stiut cum sa isi ia masuri serioase de securizare in fata fraudei cibernetice.

”Amenintarile cibernetice sunt din ce in ce mai multe si din ce in ce mai evoluate. Daca in urma cu cativa ani vorbeam de programe de malware care se instalau in calculator si furau diverse date, in zilele noastre vorbim despre organizatii intregi de atacatori cibernetici foarte bine puse la punct, care au chiar si departamente de PR si care ofera servicii de afiliere pentru alti hackeri”, a explicat Alex Balan.

Potrivit acestuia, cel mai periculos tip de amenintare cibernetica la ora actuala este ”APT as a service” (Advanced Persistant Threat), un atac ce se infiltreaza pe termen lung intr-o retea, pentru a mina date sensibile. Se poate intampla ca aceste invazii sa ramana nedetectate ani de zile. Acest gen de atac cibernetic este folosit in scopuri politice, in razboaie cibernetice, in scop de sabotaj economic sau pentru spionaj industrial. Totodata, SCA (Supply Chain Attacks) este o alta metoda de amenintare cibernetica, prin care se infecteaza un sector vulnerabil din cadrul infrastructurii unei organizatii, pentru a ajunge la intreaga companie. Datele arata ca, in 2020, companiile au avut nevoie, in medie, de 280 de zile pentru a-si da seama ca au suferit un furt de date si pentru a rezolva problema.

O problema majora o reprezinta si faptul ca ne consideram a fi deja pregatiti sau intangibili. „Primul lucru ingrijorator pe care-l releva studiul CEE Cyber Security Trends, dat recent publicitatii de catre Microsoft, este ca satisfactia clientilor din Europa Centrala si de Est, referitor la securitate, este de 86%. Este foarte ingrijorator acest fapt, pentru atunci cand esti fericit cu gradul de securitate pe care il ai, esti foarte relaxat, desi, in realitate, ar trebui sa fii in permanenta vigilent - mai ales daca faci parte din domenii cheie, precum cel guvernamental sau cel financiar-bancar. Totodata, peste 32% dintre organizatiile din Romania si 23% la nivel CEE spun ca in ultimul an nu au inregistrat niciun atac cibernetic. E ca si cum ne-am intoarce din concediu, am gasi masina uscata in parcare si am zice ca nu a plouat deloc in tot acest timp” , a declarat Eugen Rusen, Cloud Solution Architect Security & Compliance, Microsoft CEE.

Prezent in panelul dedicat cybersecurity, Dan Cimpean, Director General al Centrului National de Raspuns la Incidente de Securitate Cibernetica CERT-RO, a spus ca “Un business nu are nicio sansa singur, ci are nevoie de un intreg ecosistem ca sa fie protejat in fata fraudei. Transformarea digitala se intampla intr-un ritm accelerat si in ultimul an, conform estimarilor, a crescut de 7 ori fata de normal, astfel ca suprafata de atac a crescut exponential”.

Potrivit acestuia, “Romania va gazdui la Bucuresti Centrul Cyber al Uniunii Europene, iar asta vine si ca o recunoastere a simplului fapt ca ne-am prezentat ca un ecosistem: guvern, agentii guvernamentale, universitati, mediu privat etc. Aici se vor derula principalele programe de inovare, cercetare si dezvoltare de securitate cibernetica ale Uniunii Europene. Finantarea este fara precedent, iar recrutarea va fi facuta la Bruxelles. Ce este foarte interesant – si deja observam asta – companii cheie din segmente de digitalizare si cybersecurity fie sunt deja pozitionate in Romania, fie sunt pe cale sa o faca; isi angajeaza echipe, isi deschid birouri pentru a fi in proximitatea acestui centru. Esential pentru noi va fi sa ne organizam intr-un dialog public-privat si academic prin care sa vedem ce capabilitati avem fiecare, ce proiecte de cercetare avem si ce putem propune pentru proiecte cu finantare europeana in acest domeniu.”

In consecinta, atacurile cibernetice reprezinta flagelul mediului de business in zilele noastre, iar specialistii in cybersecurity atrag atentia ca nicio companie, oricat de mica ar fi sau oricat de mare si de invincibila s-ar considera, nu trebuie sa mizeze pe conceptul ”nu mi se intampla tocmai mie”, ci sa-si instaleze cele mai performante sisteme de protectie si securitate, intr-un mediu in care frauda cibernetica este tot mai frecventa, iar atacatorii tot mai inteligenti.

Prezenti la eveniment, specialisti antifrauda din companii provenind din sectorul energetic, IT sau prestari servicii au spus ca, pe langa cresterea nivelului de constientizare, la fel de important este schimbul de experiente, idei si solutii aplicate in cazuri diferite de catre specialisti.

Chiar daca au admis ca subiectul fraudei este unul sensibil, speakerii prezenti au explicat ca, in fapt, rolul lor este sa ajute inclusiv fraudatorii sa inteleaga riscurile la care se expun cand aleg sa comita o infractiune si ca sanctiunile dure de care sunt pasibili merg chiar pana la sanctiuni privative de libertate. Daca in cazul persoanelor fizice, sanctiunile merg pana la inchisoare si amenda penala, in cazul companiilor care fraudeaza mediul de business, sanctiunile pot merge pana la inchidere business-ului.