Bedre internkontroll kan bremse «bedrageri-pandemi», sier Økokrim-sjefen

Økokrim-leder Pål Lønseth advarer om at bedrifter står overfor en «bedrageripandemi» utløst av digitalisering. Fra svindel med SMS-tråder til manipulerte offentlige registre, kriminelle finner stadig nye metoder for å utnytte sårbarheter – og profittpotensialet er stort. 

Lønseth understreker i dette intervjuet viktigheten av samarbeid mellom private og offentlige aktører for å møte truslene. Han sier at for ansatte i økonomiavdelingen er det avgjørende å være proaktiv, sikre sterk internkontroll, og tilpasse risikovurderinger til bedriften for å beskytte bedriftens integritet. 

Hvilken type kriminalitet er mest utbredt blant norske bedrifter i dag? 

Når vi ser på saker som Økokrim kjenner til, er det mest utbredte bedrageri, hvitvasking, underslag og utroskap mot virksomheten. Det betyr ikke at det ikke er en del av andre ting også, som for eksempel tyveri av både immaterielle rettigheter og fysiske ting. 

Er det noe trendskift knyttet til digitaliseringen?

Ja, i den forstand at utviklingen av digitale løsninger og bruken av digitale verktøy er utløsende for den bedrageripandemien vi ser nå. Kriminelle manipulerer for eksempel sms-tråder med linker, slik at det fremstår som om det er en helt legitim sms fra en helt legitim avsender. Statens vegvesen, Finn.no, banker – de er alle blitt misbrukt.

Og når vi lykkes i å forebygge dette, kan det ha en paradoksal og negativ konsekvens: Hvis vi får en veldig god datasikkerhet og veldig god forebygging av digitale bedragerier, så vil måten de kriminelle opererer på også kunne endre seg slik at de kriminelle blir mer fysiske.

Foreløpig ser vi dette mest når kriminelle kommer på hjemmebesøk, der de kombinerer dette med digitalt rettede tiltak. Du skal ikke ha mye fantasi for å forutse at dette også kan skje overfor ansatte i bedrifter. 

Hvorfor skjer dette? 

Medlemmer i kriminelle nettverkhar tidligere stort sett holdt seg utenfor bedriftene. Innenfor mer tradisjonelle former for organisert kriminalitet, for eksempel narkotika, menneskehandel og utpressing, er imildertid trusler og vold et sentralt virkemiddel. Vi ser nå at dette voldspotensialet kan bli med disse kriminelle når de infiltrerer bedrifter. 

Bevegelsen inn i bedriftenes verden skyldes at de oppdager et stort profittpotensial i den økonomiske kriminaliteten. Den begås enten gjennom bedragerier med digitale verktøy, eller at de manipulerer offentlige registre som gjør at de kan få ut penger fra det offentlige – illegalt, som de ikke har rett til. Dette er profittdrevet fullt og helt; det er det som er motivasjonen. 

Vår svenske søsterorganisasjon, Ekobrottsmyndigheten, har gjort beregninger og mener at de svenske kriminelle nettverkene tjener over dobbelt så mye på bedragerier som de gjør på narkotika. I tillegg er det vanskeligere å bli tatt på det området – de slipper lettere unna. 

De kriminelles verktøy i arbeidet, er det de samme som vi bruker legalt?

Både og. Kriminelle bruker verktøy som alle bruker. Og så er det kriminelle aktører som tilbyr andre kriminelle spesifikt designede verktøy og tjenester for å begå kriminalitet. Sagt på en annen måte: Crime as a service, som er et tilleggselement i den trusselen vi står overfor. En bedragerivirksomhet kan for eksempel være et call center, hvor det sitter mennesker og ringer potensielle ofre – og bruker digitale verktøy i sine angrep som er kjøpt fra andre kriminelle. 

Dette er trusler som Økorkrim kjenner godt, og som vi beretter om en rekke steder og i flere rapporter. Jeg vil oppfordre alle som har roller innenfor internkontroll i bedriftene å lese dette materialet. Og selvsagt, bedriftene bør bruke denne innsikten i sine egne risikovurderinger tilpasset sin unike situasjon. 

Vet man noe om hvem som står bak dette?

Ja, det vet vi mer og mer om, og vi har etterforskning rettet mot flere av disse miljøene. Men det er så omfattende at vi er veldig tydelige på at Økokrim alene ikke kan etterforske og straffe oss ut av dette samfunnsproblemet. 

Selv har jeg lånt et begrep fra forsvarssektoren – totalforsvaret. Det begrepet er noe som forsvarssektoren bruker for å beskrive at i kamp mot en ytre fiende så må alle samfunnets ressurser tas i bruk. Og sånn er det også med økonomisk kriminalitet. Vi må ha et totalforsvar mot økonomisk kriminalitet. Sammen skal vi bidra til å lukke sårbarhetene og mulighetsrommet som utnyttes for å begå disse digitale bedrageriene. 

Det er mange andre aktører som har roller å spille. Det er andre offentlige etater, men også private virksomheter. Derfor er det behov for samarbeid. Vi bygger for eksempel ned siloer mellom oss og Skatteetaten og Finanstilsynet. Vi samarbeider med bransjeorganisasjoner, og ikke minst holder vi en rekke foredrag og kurs. Vi har i konkrete etterforskninger samarbeidet med både store telekomselskaper, banker og teknologiselskaper. Og vi har MT-meldinger. 

Hva er de tidlige tegnene på økonomisk kriminalitet som ansatte i en økonomiavdeling bør være spesielt oppmerksom på? 

Et mulig sted å begynne, er å anvende sunn skepsis i møte med uvanlige hendelser. Det kan være unormale transaksjoner, for eksempel transaksjoner som du ikke skjønner den forretningsmessige begrunnelsen for, kanskje innenfor et område bedriften ikke normalt drivder med. 

Hvordan slurves det i bedriftene, slik at de blir sårbare for økonomisk kriminalitet? 

Norske virksomheter er jo et speilbilde av hvordan nordmenn er. Vi er nok ganske tillitsfulle overfor hverandre. Tillit er et stort aktivum for oss og for næringslivet, men også for de kriminelle. Tilliten gjør nok også at vi mange ganger ikke har den sunne skepsisen vi burde hatt. Det er dessuten en del virksomheter som har en for svak internkontroll. 

Gode rutiner, en god internkontroll, varslingskanaler og risikovurderinger er viktig for å beskytte seg mot kriminalitet. Igjen, denne internkontrollen må være basert på bedriftens unike situasjon og risikobilde. Risikovurderingen må dessuten jevnlig oppdateres – fordi virksomheter, kunder, produkter, tjenester, leverandører og omgivelser hele tiden forandrer seg. Her bør bedriften bruke de kunnskapene vi og andre deler. 

Hvordan ser Økokrim på utviklingen de nærmeste to til tre årene?

Vi vil se mye av det vi ser i dag, men metodene og de digitale verktøyene vil hele tiden utvikle seg. Derfor gjelder det å sørge for å være oppdatert på risikobilde og trusselbilde. En ting vi forventer mer av er deep fake-saker. Vi har allerede sett eksempel internasjonalt på transaksjoner som har skjedd i kjølvannet av et teamsmøte, hvor man trodde man snakket med sjefen sin, men som ikke var det.