Een gewijzigd rekeningnummer van een leverancier verifiëren

Bij een gewone factuur controleer je bedrag, referentie en goedkeuring. Bij een gewijzigd rekeningnummer verandert er iets aan de bestemming van het geld, en juist dat is de plek waar een bedrieglijk bericht wil ingrijpen. Een vertrouwd ogend afzenderadres is op zichzelf geen bevestiging van gewijzigde betaalgegevens. De kernregel van deze interne procedure: bevestig de wijziging onafhankelijk van het verdachte bericht, via contactgegevens die je al afzonderlijk had vastgelegd. Een antwoord op dezelfde mail of een oproep naar het nummer in het verzoek biedt die onafhankelijkheid niet.

Maak daarom een vaste regel: elke wijziging van betaalgegevens volgt dezelfde route, ook als de leverancier een langdurige partner is of het bedrag klein lijkt. Uitzonderingen op basis van gevoel zijn precies wat de procedure moet voorkomen.

Wat de procedure niet doet: ze bewijst niet dat een bericht legitiem is, ze verkleint alleen de kans dat je op één onbevestigd bericht vertrouwt.

Beoordeel het verzoek voordat je iets belt. Noteer de antwoorden op deze vragen in je interne dossier, zonder het nieuwe rekeningnummer zelf mee te schrijven:

• Komt het bericht van het gebruikelijke afzenderadres, of van een adres dat er sterk op lijkt? Vergelijk letter per letter met eerdere correspondentie.
• Staat er tijdsdruk in, bijvoorbeeld een openstaande aanmaning of een melding dat de oude rekening niet meer werkt?
• Wordt gevraagd om geheimhouding, of om niet met je vaste contactpersoon te bellen?
• Wijkt het land of de bank van het nieuwe nummer af van wat je gewend bent?
• Staat de rekening op een andere naam dan de leverancier die je kent?

Eén signaal is geen bewijs en geen vrijspraak. Doorloop de onafhankelijke controle voor iedere wijziging, ook wanneer geen van deze signalen opvalt. De FOD Economie adviseert bij twijfel een bekend telefoonnummer te gebruiken, omdat ook het nummer op een factuur vervalst kan zijn. De FOD waarschuwt bovendien voor digitale factuurfraude waarbij rekeninggegevens worden aangepast. De taakverdeling en het overdrachtsblad hieronder zijn eigen voorstellen om die controle in een klein team werkbaar te maken.

1. Pauzeer de betaling aan het nieuwe nummer. Openstaande facturen blijven staan tot de bevestiging rond is.
2. Zoek een onafhankelijk contactkanaal. Gebruik een telefoonnummer uit je eigen leveranciersdossier, een eerder getekend contract of een oude, reeds betaalde factuur. Gebruik niet het nummer uit de mail of uit de handtekening van het wijzigingsbericht.
3. Bel een persoon die je kent of die in je dossier als bevoegd staat. Vraag niet: 'klopt dit nummer?' maar laat de leverancier het nummer zelf voorlezen.
4. Laat de tweede persoon meeluisteren of herhaal het nummer. Eén van beiden noteert, de ander leest terug.
5. Vraag eventueel een schriftelijke bevestiging via een kanaal dat je al kende en vergelijk die met wat je telefonisch hoorde. Een bericht via het kanaal van het oorspronkelijke verzoek telt niet als onafhankelijke bevestiging; beschouw een briefhoofd of een bevestigingsmail op zichzelf dus niet als bewijs. Controleer dat je werkelijk een bevoegde contactpersoon via het onafhankelijk bekende nummer bereikt en leg vast welke gegevens zijn bevestigd.
6. Leg vast wie, wanneer en hoe bevestigde, zonder het volledige rekeningnummer in het logboek te zetten.
7. Pas het leveranciersrecord pas aan na stap 6, en niet in een gedeeld document dat meerdere mensen of externen kunnen lezen.

Verdeel de taken zodat niemand de wijziging alleen kan doorvoeren. Persoon A ontvangt het verzoek en belt. Persoon B voert het nummer in en controleert het tegen de bevestiging. Bij een kleine zaak met één medewerker kan de tweede persoon een zaakvoerder of een daartoe bevoegde externe boekhouder zijn. Deel alleen de gegevens die voor diens controletaak nodig zijn. Gebruik onderstaande matrix om te beslissen.

Een procedure is zwak als iemand je eigen mailbox kan overnemen en meeleest met de bevestiging. Controleer daarom de accounts van de mensen die betaalgegevens beheren. Google legt in de uitleg over tweestapsverificatie uit dat een tweede stap een extra beschermingslaag toevoegt wanneer een wachtwoord gestolen wordt. Dat beveiligt een onderdeel van je eigen accounttoegang; het bewijst niet dat een ontvangen factuur of een leverancierse-mail echt is. Laat een ingeschakelde tweede factor daarom nooit de onafhankelijke controle van gewijzigde betaalgegevens vervangen. Als jullie accounts via een beheerder lopen, kunnen de stappen verschillen; die beheerder bevestigt wat er in jullie omgeving mogelijk is.

Leg verder vast waar leveranciersgegevens wel en niet staan. Geen rekeningnummers in een gedeelde notitie, in chatgroepen, op een publiek prikbord of in een document dat extern gedeeld is. Houd ze in het boekhoud- of betaalsysteem met beperkte rechten. Waar je dit controleert, hangt af van je systemen: kijk in de rechtenoverzichten van je boekhoudpakket en je gedeelde mappen, en vraag je IT-leverancier om bevestiging.

Fictief voorbeeld, enkel invoer en verwachte controles. Invoer: een mail van het gebruikelijke afzenderadres meldt een nieuw rekeningnummer en vraagt om de openstaande factuur vandaag nog te betalen. Verwachte controles: betaling pauzeren, het dossiernummer van de leverancier opzoeken, bellen via het nummer op een eerder betaalde factuur, een bevoegd contact het nummer laten voorlezen, de schriftelijke bevestiging vergelijken, en persoon B laten doorvoeren. Uitkomst en termijn zijn niet vooraf te beloven; ze hangen af van de bereikbaarheid van de leverancier.

Controle na de wijziging:

• Vergelijk het opgeslagen nummer met de bevestiging, cijfer per cijfer, door een tweede persoon.
• Controleer vóór bevestiging van een betaling de rekeninggegevens en eventuele controle op de begunstigdennaam in je bankomgeving. Los een waarschuwing of verschil eerst op. Ook een passende naam vervangt de onafhankelijke verificatie van de wijziging niet.
• Neem de wijziging op in je logboek met datum en namen, zonder bankgegevens.
• Vraag de leverancier na de eerste betaling om ontvangst te bevestigen.

Is ondanks de controles al naar een vermoedelijk frauduleuze rekening betaald, neem dan zo snel mogelijk contact op met je bank via de vertrouwde bankomgeving of een onafhankelijk bekend nummer. De FOD Economie beschrijft dat de betrokken banken kunnen proberen de overschrijving of rekening te blokkeren. Dat is geen garantie op terugbetaling. Bewaar het oorspronkelijke bericht en de betaalreferentie in het afgeschermde dossier en volg de instructies van je bank en de actuele officiële meldroute.

Denk ook aan wat je publiek laat zien: staan er contactgegevens of betaalinstructies op je site die kloppen? Je kunt de publieke signalen van je eigen website laten bekijken via Marketing Scan. Een publieke scan meet alleen zichtbare signalen en voert deze interne controles niet uit.