‘Door een gecombineerde kijk ontstaat een verdiepend beeld’

Is dat zinvol om je in te verdiepen, frauderisicobeheersing in de zorgsector? Zeker, zeggen adviseurs Edwin Schippers en Anouk Scholte van Turner. ‘Iedereen heeft witte vlekken.’ In samenwerking met Verstegen Accountants heeft Turner een methode ontwikkeld om het vraagstuk van frauderisicobeheersing binnen organisaties scherper in beeld te brengen. Niet alleen krijgen zorgorganisaties zo een scherper beeld van waar in de organisatie er risico (groot of klein) bestaat op fraude, de bijvangst is dat het onderzoek duidelijk maakt hoe en waar de organisatie procesmatiger kan gaan werken. Dit draagt bij aan meer dan frauderisicobeheersing alleen.

Verbandmateriaal mee naar huis nemen vanaf de afdeling, kan dat eigenlijk wel? Omrijden met de bedrijfsauto om de kinderen van school te halen? Of een keertje mee-eten met de cliënten op locatie waar toch eten over is? Het zijn kleine, vaak onschuldige, voorbeelden, waar veel mensen toch verschillend over denken. De meeste medewerkers kijken niet raar op als je je niet lekker voelt en paracetamol neemt vanuit de medicijnvoorraad. Andere (voorgeschreven) medicatie is echter niet de bedoeling. Een keertje mee-eten zullen veel mensen ook niet erg vinden, totdat de kok standaard twintig procent meer eten bereidt om ook de medewerkers iets te kunnen voorschotelen. Dan verschuift er een grens en komen we in een grijs gebied terecht, dat ongetwijfeld tot discussie zal leiden. 

Frauderisicobeheersing: het is een onderwerp waarover (nog) niet vaak preventief wordt nagedacht binnen de zorgsector. Het komt doorgaans pas op de agenda als er een verdenking van fraude aan de orde is. Sinds enige tijd helpt Turner in samenwerking met Verstegen Accountants en Adviseurs zorgorganisaties beter in kaart te brengen hoe er binnen de organisaties tegen het risico op fraude en de beheersing via zowel harde en zachte maatregelen wordt aangekeken. ‘En dat is een unieke combinatie’ zegt Edwin Schippers. ‘Als het over fraude gaat, ben je snel geneigd te denken aan het inschakelen van een (forensisch) accountant. Dat is niet onterecht: die kan een professioneel oordeel geven over de ‘hard’ controls die gelegenheid tot fraude verkleinen. Het onderscheidende in onze gezamenlijke aanpak is dat we ook verder kijken dan alleen die harde, ‘blauwe’ kant. We bekijken het ook vanuit de organisatiecultuur, de context van de organisatie en vanuit de ‘fraudedriehoek’ waar sociale veiligheid, normen/waarden en dergelijke expliciet worden belicht. Juist door het onderwerp frauderisico met verschillende brillen te bekijken, kom je veel meer te weten over de manier waarop binnen de organisatie tegen dit onderwerp aangekeken wordt, de mate waarin er gelijk of juist ongelijk wordt aangekeken tegen het vraagstuk en hoe effectief de beheersing werkt.’ De ervaring bij onze klanten leert dat het impliciete expliciet maken veel waarde heeft. 

Witte vlekken opsporen 

Van elke grote organisatie wordt verwacht dat er interne beheersingsmaatregelen zijn en een fraudepreventiebeleid bestaat. Denk aan een set van regels of afspraken, waarmee de organisatie het risico van fraude minimaliseert, bijvoorbeeld autorisatie of het vierogenprincipe. ‘Wat wij eigenlijk doen, is het onderwerp frauderisicobeheersing breder trekken, waardoor de beheersing nog effectiever wordt’, vertelt Anouk Scholte. ‘Het opstellen van nog meer regels is vaak niet de oplossing. Als mensen zich aan afspraken of protocollen moeten houden waarvan zij het nut niet inzien, waar ze niet achter staan, of de tijd niet voor hebben, dan ben je eigenlijk nog verder van huis. Medewerkers zullen manieren gaan ontwikkelen om eromheen te werken. En voor je het weet, wordt dat de standaard en werkt ‘iedereen’ buiten de kaders om, wat de mogelijkheid voor een medewerker met slechte intenties vergroot. Op papier heb je dan goede beheersingsmaatregelen ter verkleining van het risico op fraude, in de praktijk zijn de risico’s dan juist groter. Wij hebben ondervonden dat het veel nuttiger is om er gezamenlijk met medewerkers over te praten. ‘Wat vinden wij van onze manier van werken?’ ‘Waarom doen we het zo?’ ‘Wat zijn de risico’s?’ ‘Wat zijn de problemen?’ Als mensen samen over dergelijke vragen nadenken, ontstaat er een gezamenlijk beeld van waar de risico’s zitten en een gedragen idee van hoe de beheersing zou moeten werken en welke acties daarvoor nodig zijn. Daarnaast creëert het bewustzijn, zodat frauderisicobeheersing iets wordt van de gehele organisatie in plaats van de afdeling compliance. 

De kleine voorbeelden die al even aan de orde kwamen, staan natuurlijk symbool voor grotere zaken. Scholte: ‘Wat vinden we ervan als een zorgmedewerker bij het boodschappen doen ook snel even wat boodschappen voor zichzelf doet? Of een kwartier eerder weggaat om de kinderen op te halen? Mag dat in de tijd van de baas? Sommige mensen hebben een ingewikkelde gezinssituatie, dus je bent geneigd met de hand over je hart te strijken. Maar wanneer kom je op een morele glijbaan terecht?’ 

In de discussie beginnen de adviseurs van Turner klein, om naar steeds grotere gevallen toe te werken. Schippers wijst erop dat het in de zorgsector zeker niet alleen om zelfverrijking gaat. De sector wordt natuurlijk betaald uit algemene middelen, dus bestaat er ook een risico op zaken als subsidiefraude. ‘Als medewerkers besluiten anders te schrijven of resultaten een beetje aan te dikken om zo de subsidiebedragen voor een komend jaar te borgen, verrijk je de organisatie op een onrechtmatige manier. En het komt natuurlijk ook wel eens voor dat mensen goede vrienden aan een baan of opdracht binnen de organisatie helpen. Zeker in de huidige tijd, met de schaarste op de arbeidsmarkt. In de praktijk komen we tegen dat daarbij niet altijd de afgesproken spelregels, controles en objectiviteit worden gevolgd, met voor de zorginstelling soms -onbewust en onbedoeld- nadelige financiële afspraken.’

Wat komt Turner tegen? 

In de projecten die Turner tot nu toe heeft gedaan, kwamen Scholte en Schippers interessante situaties tegen. Soms ontstaan risico’s niet zozeer doordat de beheersing ontbreekt, maar doordat deze niet (voldoende) effectief is als gevolg van elementen in de organisatiecultuur. Het eerste zou je onder gebrekkige communicatie kunnen scharen. Scholte: ‘Stel: een organisatie neemt een maatregel om een bepaald risico af te dichten. Dan wordt er bij wijze van spreken een nieuw protocol geschreven, dat ergens op het intranet wordt geplaatst. Waarschijnlijk krijgen mensen er ook een mailtje over. Dat blijkt vaak onvoldoende te zijn: mensen weten dan nog steeds niet goed wat er van hen verwacht wordt en, ze zijn zich onvoldoende bewust van de manier waarop dingen moeten gebeuren. Nog belangrijker, het waarom ontbreekt in dit type communicatie. Dat maakt het moeilijk om het ook daadwerkelijk op te volgen.’ 

Het tweede probleem is dat het protocol vaak niet praktisch is. In dat geval weten de mensen wel hoe zij bepaalde dingen moeten doen, maar is het gewoon te lastig. Ze hebben bijvoorbeeld tijdsdruk en het systeem, het proces of de desbetreffende afdeling werken niet mee om het probleem tijdig en effectief op te lossen. Ze gaan dan om het systeem heen werken en zoeken zelf een oplossing. Daarnaast mist de terugkoppelingsloop. Er wordt gekozen voor snelle korte termijnoplossing, in plaats van het probleem structureel aan te pakken door het proces of systeem aan te passen.’ 

Het derde probleem heeft te maken met de manier waarop mensen met elkaar omgaan, vertelt Scholte. ‘Ook als de regels en omgangsnormen duidelijk zijn, zie je vaak dat medewerkers elkaar onvoldoende aanspreken. Het komt voor dat iemand ziet dat zijn collega de procedure omzeilt, diegene niet aanspreekt op zijn gedrag, maar denkt: als hij dat niet hoeft te doen, dan hoef ik dat ook niet. Of diegene denkt: ik voel me niet in de positie om hier iets van te zeggen. De mate waarin medewerkers elkaar aanspreken of dit soort situaties open in het team durven bespreken, varieert enorm. Ook binnen organisaties: er zit vaak een groot verschil tussen de afdelingen of de locaties en het hangt ook samen met het voorbeeldgedrag van leidinggevenden. Mensen zijn geneigd elkaar na te doen, dus als iets in de cultuur is binnengeslopen, is het soms lastig dat er weer uit te krijgen.’ 

Een laatste probleem dat Scholte signaleert is dat organisaties vaak in silo’s werken, met als gevolg dat ook het (ongeschreven) beleid per afdeling of per vestiging anders is. ‘Je ziet dat medewerkers bepaalde beslissingen nemen omdat zij denken dat het goed is voor hun eigen afdeling, zonder dat zij enig idee hebben wat dit betekent voor een andere afdeling of de organisatie in zijn geheel. Dat heeft op het eerste gezicht niet zoveel met frauderisicobeheersing te maken, maar het heeft wel invloed op de effectiviteit van beheersingsmaatregelen.’ 

Hoe werkt het? 

Het zal duidelijk zijn: Turner houdt zich niet bezig met forensisch onderzoek of fraudeopsporing. Onze aanpak is juist erg geschikt als er geen directe (fraudegerelateerde) aanleiding is, maar als een zorgaanbieder het risico op frauderisico graag scherper in beeld wil brengen en het onderwerp op een interactieve, uitdagende wijze op de agenda wil zetten. De uniciteit van de aanpak zit in de combinatie van de deskundigheid van enerzijds Verstegen en anderzijds Turner. Verstegen beschikt over een brede en diepe expertise over  frauderisico en de relevante beheersmaatregelen, de ‘hard’ controls, Turner brengt kennis van de ‘soft’ controls in en deskundigheid met betrekking tot organisatiecultuur en -ontwikkeling. ‘Deze projecten kennen een aantal stappen’, legt Scholte uit. ‘Eerst brengen we de frauderisico’s in beeld, onderzoeken we welke beheersmaatregel daarbij hoort en bepalen we hoe effectief die is. Dat doen we door middel van een aantal werksessies over specifieke onderwerpen, bijvoorbeeld over thema’s als inkoop, facturatie of arbeidskosten, met medewerkers vanuit verschillende hoeken van de organisatie die te maken hebben met dit thema. Dus niet alleen mensen van de afdeling inkoop als het daarover gaat, maar juist een gemengde groep, met verschillende perspectieven. In deze werksessies bespreken we, naast ingebrachte input vanuit deelnemers, casuïstiek en stellingen om medewerkers te prikkelen en te stimuleren om breder te kijken dan alleen de voor de hand liggende risico’s.’

‘We vragen in feite welke frauderisico’s de medewerkers zelf zien’, vult Schippers aan.  ‘Vanuit onze eigen brede ervaring, en die van de accountants, gaan we die matchen: zien we nu dezelfde risico’s? Welke harde beheersmaatregelen heeft de organisatie al ingericht om hier mee om te gaan? Naast de opzet en het bestaan kijken we in onze aanpak ook naar de werking in de praktijk, door hier in workshops over in gesprek te gaan. Daarnaast werken we met dilemma’s. We geven een aantal prikkelende voorbeelden en vragen, waarvan we uit de praktijk weten dat je daar verschillend tegen aan kunt kijken: is dit fraude? Wat zou je doen? Als derde bespreken we in een interactieve werkvorm de organisatiecultuur. Dit doen we aan de hand van een wetenschappelijk model, waarmee we ingaan op de culturele context van de organisatie als aanvulling op de specifieke inhoudelijke fraudethema’s. Denk aan open of een gesloten cultuur, mens of taakgericht. Zo krijg je een compleet beeld van de bestaande situatie, zowel de harde kant als de zachte.’  

In vijf tot zeven werksessies vormt Turner zich een beeld van de frauderisico’s, de beheersing én organisatiecultuur en de specifieke aspecten die van invloed zijn op de frauderisicobeheersing. ‘Juist in de zorgsector is dat heel spannend’, vertelt Scholte. ‘Het zijn vrijwel altijd mensen met hart voor de zaak, 99 procent van de mensen heeft geen kwaad in de zin. Zij kunnen zich moeilijk verplaatsen in ‘de rotte appels’. Maar je ziet toch vaak een verschil van mening over de glijdende schaal. Ons doel is de mensen samen te brengen en meer inzicht te geven in de witte vlekken en de grijze gebieden, handvatten te geven hoe hiermee om te gaan en het bewustzijn te vergroten.’

Dat stelt ons in staat per thema een soort foto te maken. En op basis daarvan kan de organisatie beslissen wat de volgende stap moet zijn. Dat zijn instrumenten die zich in de praktijk bewezen hebben en heel goed kunnen dienen als uitgangspunt om bepaalde zaken te gaan evalueren en desgewenst te veranderen.’ 

Wat is het resultaat? 

Wat er vervolgens gedaan wordt, hangt af van de organisatie zelf. ‘Soms worden wij daarbij betrokken, soms willen organisaties zelf nieuwe beheersmaatregelen implementeren, huidige verbeteren of acties uitzetten ter vergroting van het bewustzijn’, zegt Schippers. ‘Het belangrijkste is echter dat men gaat monitoren en evalueren en, waar nodig, bijsturen. Dit met een duidelijke regelmaat, bij voorkeur door een periodieke actualisatie onderdeel te laten uitmaken van de P&C-cyclus.’ 

De adviseurs van Turner hebben gemerkt dat een onderzoek naar de frauderisicobeheersing een goed hulpmiddel kan zijn voor de doorontwikkeling van zorgorganisaties. Schippers: ‘In de zorg hebben we te maken met mensenorganisaties. Systemen moeten niet te veel systemen zijn, er moet ruimte zijn voor persoonlijk en professioneel initiatief. Aan de andere kant hebben zorgorganisaties die systemen wel hard nodig voor een efficiëntere bedrijfsvoering en facilitering van de zorgprofessionals. Wij komen in onze cultuurscan regelmatig de effectiviteit en ineffectiviteit van processen en protocollen tegen. Bijvoorbeeld door gebrekkige implementatie, waardoor medewerkers eigen ‘work- arounds’ om systemen en procedures creëren. Of omdat bij de onboarding van nieuwe medewerkers het goed informeren en instrueren van hen geen onderdeel is (“dat moeten ze in de praktijk maar uitvinden”). Dit soort voorbeelden versterken de effectiviteit in de praktijk niet, waardoor er potentieel onbedoeld en onbewust ‘papieren tijgers’ ontstaan. Dit is niet primair het doel, maar dat komt wel als een soort bijvangst uit het project naar boven.’ Scholte: ‘Ik heb goede hoop dat door de manier waarop wij onze werksessies inrichten, mensen zich bewuster worden van de risico’s, meer inzicht en begrip krijgen in het waarom van regels en richtlijnen en de witte vlekken scherper hebben. Als wij na afloop van een werksessie vragen hoe mensen het hebben gevonden, zijn ze altijd veel positiever dan ervoor. Frauderisicobeheersing is geen onderwerp waar ze zich voor een workshop op verheugen. Maar door de praktische aanpak en de gehanteerde werkvormen begrijpen ze veel beter welke problemen we adresseren. Doordat de medewerkers echt participeren in het onderzoek, kunnen zij hun ideeën ook weer meenemen naar hun eigen afdeling. Zowel het bewustzijn als het continu bezig zijn met dit onderwerp spreidt zich dan langzaam als een olievlek uit over de organisatie. Dat is wat je wilt bereiken.’ 

De focus op fraude binnen zorgorganisaties neemt toe. Vanuit zorgfinanciers, inspecties, accountants, banken, maar ook vanuit de media groeit de aandacht voor het onderwerp. Voor zorgorganisaties die onderhevig zijn aan een wettelijke controle bestaat sinds 2022 de verplichting te rapporteren over frauderisico’s en de beheersingswijze hiervan. Wilt u meer weten over onze aanpak op het gebied van frauderisicobeheersing? Bekijk de Turner propositiepagina Frauderisicobeheersing.