Direktørsvindel bremses mest effektivt af få faste regler for betalinger, som direktionen fastsætter og selv overholder uden undtagelse. Kernen er tre regler: ingen betaling eller ændring af kontonummer alene på baggrund af en mail eller en besked, bekræftelse via en kendt kanal, som svindleren ikke styrer, og to personer om betalinger over en fastsat grænse. Økonomifunktionen ejer reglerne i det daglige, mens CISO’en vurderer truslerne, kontrollerer, at de tekniske værn understøtter reglerne, og følger op på, om de virker. Reglerne holder kun, hvis medarbejderne i økonomi ved, at også direktøren vil blive bedt om at bekræfte.
Hvad direktørsvindel er
Ved direktørsvindel udgiver svindleren sig for at være en person, medarbejderen har grund til at adlyde. Det er oftest direktøren eller en anden leder, men det kan også være en kendt leverandør, en revisor eller en advokat. Henvendelsen kommer typisk som en mail, en sms eller en besked i et chatværktøj, og den bygger på hast og fortrolighed. Der skal betales i dag, sagen må ikke drøftes med andre, og direktøren er svær at få fat i.
En nær slægtning er den falske kontoændring. En leverandør, I samarbejder med, skriver tilsyneladende, at de har skiftet bank. Den næste faktura betales til svindlerens konto, og det opdages først, når den rigtige leverandør rykker.
Begge former virker, fordi de udnytter almindelig hjælpsomhed og respekt for ledelsen. Teknik kan gøre det sværere at forfalske en afsender, men den kan ikke stoppe en medarbejder, der tror, at direktøren har bedt om noget.
De tre grundregler
- En mail eller besked er aldrig nok. En anmodning om betaling uden for det normale flow eller om at ændre et kontonummer udføres ikke, alene fordi den er kommet skriftligt.
- Bekræftelse via en kendt kanal. Medarbejderen ringer op til et nummer, der allerede står i virksomhedens systemer eller i telefonbogen, aldrig til et nummer i den mail, der beder om betalingen.
- To personer over en grænse. Betalinger over et beløb, som ledelsen fastsætter, kræver godkendelse af to personer, og den ene må ikke være den, der har modtaget anmodningen.
Reglerne er bevidst enkle. De skal kunne følges under tidspres og af en vikar, der er ny i økonomifunktionen.
Ledelsen skal følge reglerne selv
Svindlen bygger på, at medarbejderen ikke tør sige nej til direktøren. Derfor er det afgørende, at direktionen siger højt og skriftligt, at den selv vil blive ringet op, og at den forventer det. En direktør, der bliver irriteret over at skulle bekræfte en betaling fra en lufthavn, har lært økonomi, at reglen kan bøjes.
Det kan være en hjælp at fastlægge, at ledelsen aldrig beder om hastebetalinger via mail eller besked, så enhver sådan henvendelse er mistænkelig fra starten. Er en undtagelse nødvendig, følger den den samme proces som andre undtagelser og er beskrevet i undtagelser fra sikkerhedsreglerne.
Samarbejdet mellem økonomi og CISO
Økonomichefen eller bogholderen ejer betalingsreglerne, fordi de er en del af de interne kontroller. CISO’en bidrager med fire ting.
- Trusselsbilledet. Hvilke former for svindel ses lige nu, og hvilke medarbejdere er mest udsatte?
- De tekniske værn. Mærkning af mails udefra, beskyttelse mod forfalskede afsendere og totrinsbekræftelse på ledelsens og økonomis konti. Opsætningen ligger hos IT-leverandøren.
- Træningen. Medarbejdere i økonomi, løn og indkøb bør have målrettet træning. Hvordan den bestilles, står i artiklen om awareness-træning.
- Opfølgningen. Om reglerne bliver fulgt, og om der har været forsøg.
Ændring af leverandørers stamdata hører med. Den, der ændrer et kontonummer, bør ikke selv kunne godkende den første betaling til det nye nummer. Leverandøroplysninger hører derfor med i leverandørstyring på sikkerhed.
Når svindlen er lykkedes
Tid er afgørende. Opdager en medarbejder, at en betaling er gået til en forkert konto, skal banken kontaktes med det samme for at forsøge at standse eller tilbageføre beløbet. Derefter informeres ledelsen og CISO’en, og der tages stilling til politianmeldelse og kontakt til forsikringen. Har en mailkonto været overtaget, skal den sikres, og det skal undersøges, hvad svindleren ellers har haft adgang til.
Medarbejderen, der har betalt, skal kunne melde det uden frygt. En kultur, hvor fejl skjules, gør skaden større. Ledelsens rolle i de første timer er beskrevet i de første timer efter en sikkerhedshændelse, og forsikringens rolle står under cyberforsikring og sikkerhedsarbejdet.
Det skal I lade være med
- At lade direktionen stå uden for reglerne. Svindlen bruger netop direktørens navn.
- At bekræfte via svar på samme mail. Svaret går til svindleren.
- At lade én person både ændre kontonummer og godkende betalingen. Det fjerner kontrollen.
- At skjule et forsøg, der blev stoppet. Det er nyttig viden for de andre.
- At bebrejde den, der betalte. Fremover bliver forsøg så ikke meldt.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne arbejde sammen med økonomifunktionen og tale om betalinger i stedet for systemer. Spørg også, om rådgiveren har interesse i at anbefale bestemte værktøjer til mailbeskyttelse.
- ☐ En gennemgang af de nuværende betalingsregler sammen med økonomichefen.
- ☐ Et udkast til de tre grundregler tilpasset jeres beløbsgrænser og arbejdsgange.
- ☐ En liste over tekniske værn, som IT-leverandøren skal bekræfte er opsat.
- ☐ Målrettet træning for økonomi, løn og indkøb.
- ☐ En plan for, hvad der sker i den første time efter en fejlbetaling.
- ☐ Registrering af forsøg og en kort status til ledelsen to gange om året.
Sådan kommer I i gang
Bed økonomichefen beskrive, hvordan en betaling og en kontoændring godkendes i dag, og hvem der kan gøre det alene. Gennemgå beskrivelsen med CISO’en, og fastsæt beløbsgrænsen på næste direktionsmøde. Fortæl derefter hele økonomifunktionen, at direktionen selv vil blive ringet op. Det samlede risikobillede, reglerne indgår i, er beskrevet under risikovurdering og sikkerhedsstrategi.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De første timer efter en sikkerhedshændelse · Hvordan får vi medarbejderne til at melde det mistænkelige?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
