De factuur klopt met de bestelling. De leverancier kent het project, gebruikt de vertrouwde aanhef en verwijst naar de levering van vorige week. Alleen het rekeningnummer is anders. In een korte begeleidende mail staat dat het bedrijf van bank is veranderd. Of je vandaag nog kunt betalen, want anders gaat de volgende levering niet mee.
Dit is een fictieve bedrijfssituatie, maar de beslissing is herkenbaar: betaal je omdat het verhaal aannemelijk klinkt, of leg je de wijziging eerst langs iemand die haar onafhankelijk kan bevestigen? Een ondernemer die tegelijk offertes maakt, klanten belt en de administratie afhandelt, heeft daar misschien geen uitgewerkt antwoord op. De betaling moet ergens tussendoor.
Juist dat moment verdient aandacht. Op 19 oktober brengt de Rijksoverheid de campagne Laat je niet interneppen opnieuw onder de aandacht. De oproep is om drie tellen stil te staan voordat je klikt, reageert of betaalt. De aanleiding is onderzoek naar twijfel en spijt bij online berichten. Voor een klein bedrijf ligt daar een vervolgvraag onder: wat moet er na die pauze gebeuren voordat een gewijzigd rekeningnummer de administratie in mag? Bron: Rijksoverheid, nieuwsbericht van 19 oktober 2026.
Een korte onderbreking kan ruimte geven voor die vraag. De betrouwbaarheid van de betaling moet vervolgens blijken uit de controle die je uitvoert. Daarvoor hoeft een kleine onderneming geen nieuwe afdeling op te zetten. Wel moet duidelijk zijn wie een wijziging onderzoekt, welk contactkanaal die persoon gebruikt en wie uiteindelijk toestemming geeft. Anders blijft de twijfel van één medewerker de enige hindernis tussen een overtuigend bericht en de bankrekening.
Wat het nieuwe onderzoek wel en niet over je bedrijf zegt
Kien Onderzoek onderzocht via PanelWizard Direct het klikgedrag van Nederlanders van achttien jaar en ouder. Het veldwerk liep van 23 tot en met 28 september 2026. In de rapportage staan 1.578 deelnemers aan de eerste vraag en 1.559 volledig ingevulde vragenlijsten. De omvang verschilt per vervolgvraag. Het gaat om een online panelonderzoek voor het ministerie van Justitie en Veiligheid. Bron: onderzoeksrapport, pagina 2 en 16.
Bij de vraag over klikspijt antwoordde 41,5 procent bevestigend. De toelichting bij die vraag zegt uitdrukkelijk dat spijt ook een gevoel zonder verdere negatieve gevolgen kan zijn. Dat percentage is dus geen meting van gestolen geld of gehackte bedrijven. De onderzochte groep bestaat evenmin uit uitsluitend ondernemers of financiële medewerkers. Het rapport laat je niet uitrekenen welk deel van het Nederlandse mkb met factuurfraude te maken krijgt. Bron: onderzoeksrapport, pagina 6.
De bruikbare gedachte voor een ondernemer is bescheidener. Weten dat een bericht verdacht kan zijn en op het beslissende moment voldoende controle uitvoeren, zijn verschillende dingen. De campagne biedt een aanleiding om naar dat tweede deel te kijken. Onze redactionele uitwerking hieronder gaat daarom over de inrichting van betalingen. De controlekaart is een eigen werkwijze op basis van openbare preventieadviezen; haar effect is niet gemeten in dit onderzoek.
De verandering vraagt om controle
Een factuur beoordelen omvat verschillende vragen. Heb je deze goederen besteld? Is de levering goedgekeurd? Klopt het bedrag? Naar wie gaat het geld? Een positief antwoord op de eerste drie zegt nog niet dat de bestemming van de betaling juist is.
De Fraudehelpdesk beschrijft hoe een bestaande factuur kan worden onderschept en het rekeningnummer vervolgens wordt vervangen. De bestelling hoeft dus niet verzonnen te zijn. Een echte zakelijke aanleiding kan onderdeel zijn van de misleiding. De organisatie adviseert het nummer naast de eigen administratie te leggen en bij twijfel de leverancier via zelf opgezochte contactgegevens te benaderen. Bron: Fraudehelpdesk, aangepast rekeningnummer op een factuur.
Dat maakt een wijziging een logisch controlemoment. Je hoeft niet ieder routinematig bericht als een volledige nieuwe klantrelatie te behandelen. Wel kun je vooraf afspreken dat een nieuw rekeningnummer, een andere begunstigde of een verzoek buiten het normale betaalproces eerst wordt uitgezocht. Ook wanneer dezelfde contactpersoon de vorige tien facturen correct heeft verstuurd.
Een groeiend bedrijf kan deze afspraak verliezen zonder het te merken. Eerst regelt de eigenaar alles zelf. Daarna neemt een medewerker de betalingen over, levert de boekhouder een bestand aan en verwerkt de eigenaar alleen nog de bankopdrachten. Iedereen ziet een deel van het proces. Als niemand weet wie wijzigingen in leveranciersgegevens controleert, kan een onbevestigd nummer onderweg de status van een gecontroleerd gegeven krijgen.
Vraag daarom niet alleen wie mag betalen. Vraag ook wie de gegevens mag veranderen waarop de betaling wordt gebaseerd. Dat zijn twee beslissingen, zelfs wanneer dezelfde persoon ze uitvoert.
De betalingskaart: zes stappen bij een gewijzigd betaalverzoek
Deze kaart beantwoordt de vraag: hoe controleer je een gewijzigd betaalverzoek voordat je gegevens aanpast of geld overmaakt? De methode is een eigen redactionele uitwerking. Vergelijk het verzoek met de bestaande administratie, bevestig de wijziging via een onafhankelijk gekozen contactkanaal, leg de uitkomst vast en laat pas daarna de betaling vrijgeven.
Gebruik de kaart bij een gewijzigd rekeningnummer, een andere ontvanger of een verzoek om buiten de normale procedure te betalen. De rolverdeling hieronder is een aanbeveling voor je bedrijfsvoering. Zij is geen wettelijke verplichting en geen certificering van de veiligheid van een betaling.
| Stap | Wie handelt? | Wat controleer of bewaar je? | Wanneer ga je verder? |
|---|---|---|---|
| 1. Zet de wijziging apart | Ontvanger van het verzoek | Bewaar het bericht. Laat bestaande leveranciersgegevens staan en zet deze betaling op wachten. | De persoon die de wijziging gaat onderzoeken is aangewezen. |
| 2. Vergelijk met de administratie | Beheerder van leveranciersgegevens | Leg factuur, bestelling, eerder gecontroleerd rekeningnummer en verzoek naast elkaar. Noteer precies wat verandert. | Je kunt de wijziging in concrete gegevens beschrijven. |
| 3. Kies zelf het contactkanaal | Aangewezen controleur | Gebruik een al bekend telefoonnummer uit je eigen administratie of een ander vooraf vastgesteld contactkanaal. Neem geen nieuw nummer uit het verdachte verzoek over. | Je hebt onafhankelijk contact met een bevoegde contactpersoon van de wederpartij. |
| 4. Bevestig de gegevens | Controleur en contactpersoon van de wederpartij | Laat ontvanger, rekeningnummer en aanleiding van de wijziging bevestigen. Leg datum, gebruikt kanaal en de uitkomst vast. | Er is voldoende bevestiging; bij twijfel blijft de betaling wachten en beslist de eigenaar over vervolgonderzoek. |
| 5. Laat de vrijgave controleren | Andere bevoegde collega, of de eigenaar volgens een vooraf gekozen vervangingsafspraak | Controleer of de onafhankelijke bevestiging echt is uitgevoerd en of de ingevoerde gegevens daarmee overeenkomen. | De aangewezen beslisser geeft de betaling of gegevenswijziging vrij. |
| 6. Rond af en bewaar de onderbouwing | Uitvoerder van de betaling | Vergelijk de definitieve betaalopdracht met de goedgekeurde gegevens. Bewaar de beslissing bij de factuur. | Je betaalt volgens de normale bevoegdheden en legt de betaling vast. |
De kaart combineert onze eigen taakverdeling met de openbare adviezen om rekeningnummers te vergelijken, via een bekend nummer te verifiëren en betalingen door meer dan één persoon te laten goedkeuren. Bron: politie, preventietips factuurfraude. Ook het NCSC benadrukt onafhankelijke contactkanalen in zijn handreiking voor het mkb. Bron: NCSC, praktische handvatten BEC, pagina 10.
Geen contact krijgen is geen bevestiging. Een nog onbeantwoorde controle gaat niet vanzelf over in toestemming, ook niet aan het einde van de werkdag. Spreek met de leverancier af wanneer je terugkomt op de betaling en behandel eventuele gevolgen voor de levering afzonderlijk.
Waarom antwoorden op dezelfde mail onvoldoende kan zijn
Als je twijfelt over een wijziging, voelt terugmailen als een zorgvuldige stap. Je vraagt immers nog even of het klopt. Maar je gebruikt daarmee mogelijk hetzelfde kanaal dat de betwiste opdracht heeft aangeleverd. Een tweede bericht uit diezelfde uitwisseling hoeft geen onafhankelijke bevestiging te zijn.
Voor de controlekaart heeft onafhankelijk daarom een concrete betekenis: het verdachte verzoek bepaalt niet zelf hoe je zijn afzender bereikt. Een nieuw mobiel nummer onder de mail is geen alternatief wanneer juist de betrouwbaarheid van die mail ter discussie staat. Een collega die alleen op dezelfde mail antwoordt, voegt ook geen andere bron van bevestiging toe.
De Fraudehelpdesk adviseert bij twijfel niet op reply te drukken, maar een zelf opgezocht adres in een nieuw bericht te gebruiken. Voor een wijziging met financiële gevolgen is een vooraf bekend contactpunt in de eigen administratie een bruikbaar begin. Bron: Fraudehelpdesk, controle bij een aangepast rekeningnummer.
Daar blijft een grens aan. Een al opgeslagen gegeven kan verouderd zijn. Een bevoegde contactpersoon kan afwezig zijn. Een bevestiging kan onduidelijk blijven. De kaart geeft in die gevallen geen automatische uitkomst. Ze maakt zichtbaar waar het onderzoek nog openstaat. Dan kun je een ander eerder vastgesteld contactpunt gebruiken of met de wederpartij afspreken hoe je de wijziging deugdelijk bevestigt.
Goedkeuren is meer dan naast iemand zitten
Een tweede persoon kan alleen iets toevoegen wanneer duidelijk is wat die persoon beoordeelt. Alleen vragen of een collega deze leverancier kent, laat de nieuwe betaalbestemming onbesproken. Alleen de factuur op rekenfouten nalopen, beoordeelt evenmin hoe het rekeningnummer is bevestigd.
Maak de vrijgavevraag daarom concreet: kun je zien dat de wijziging onafhankelijk is gecontroleerd, en komen de gegevens in de betaalopdracht overeen met die bevestiging? Daarvoor moet de eerste controleur een korte onderbouwing achterlaten. De tweede persoon hoeft dan niet uit losse appjes te reconstrueren wat er gebeurde.
Dit is ook een reden om de eigenaar in de afspraak op te nemen. Een telefoontje dat van de directeur lijkt te komen, mag niet automatisch een uitzondering openen. Het NCSC behandelt juist het misbruik van vertrouwen, gezag en tijdsdruk bij zakelijke e-mailfraude. De praktische consequentie die wij daaraan verbinden is dat ook een opdracht van de eigenaar dezelfde controle op een gewijzigde betaalbestemming doorloopt. Bron: NCSC, praktische handvatten BEC.
Je kunt een betaling dringend vinden en toch de bestemming verifiëren. De afspraak wordt zwak zodra haast op zichzelf voldoende reden is om haar over te slaan. Leg daarom vooraf vast wie mag overnemen als de gewone beslisser onderweg, ziek of op vakantie is.
En als je alleen werkt?
Een zzp’er kan geen collega om een tweede goedkeuring vragen die er niet is. Dat vraagt om een uitvoerbare variant. De onafhankelijke bevestiging bij de leverancier blijft mogelijk: je zoekt zelf contact, laat de wijziging bevestigen en legt vast wat de uitkomst was. Daarna voer je de betaalgegevens in en vergelijk je ze opnieuw met die bevestiging.
Een extra controle door jezelf is geen tweede onafhankelijke persoon. Houd dat onderscheid zichtbaar. Als de betaling voor je bedrijf moeilijk te dragen is wanneer zij verkeerd terechtkomt, kun je vooraf met een boekhouder of andere bevoegde ondersteuner afspreken welke controle die uitvoert. Die persoon hoeft niet automatisch toegang te krijgen tot je bankrekening. Controle van de onderbouwing en daadwerkelijke betaalbevoegdheid kun je als afzonderlijke taken afspreken.
Zonder zo’n afspraak is een losse suggestie om alles door een boekhouder te laten nakijken weinig waard. Is de boekhouder bereikbaar? Weet die wat al is gecontroleerd? Valt de taak binnen de gemaakte afspraken? Het gaat om een werkbare regeling die je kunt gebruiken wanneer het druk is. Over de bredere taakverdeling lees je meer bij digitale boekhouding.
Voor een klein team geldt hetzelfde. Twee namen op papier lossen afwezigheid niet op. Kies een vervanger en een manier om openstaande controles over te dragen. De ontvanger van de factuur moet kunnen zien bij wie de volgende stap ligt, zodat een betaling niet alsnog wordt vrijgegeven omdat iedereen denkt dat een ander al heeft gebeld.
Houd ruimte voor gewoon werk
Een bezwaar tegen extra controles is dat een onderneming ook moet kunnen doorwerken. Als elke vertrouwde betaling dezelfde behandeling krijgt als een onverklaarde rekeningwijziging, wordt de afspraak al snel een stapel werk die mensen proberen te omzeilen. Richt de kaart daarom op een verandering in ontvanger, rekeningnummer of afgesproken betaalroute. Reguliere factuurcontrole en de bestaande betaalbevoegdheden blijven daarnaast nodig.
Alleen een bedraggrens kiezen heeft een beperking. Een klein bedrag kan ten onrechte naar een ander nummer gaan, waarna dat nummer in het leveranciersbestand blijft staan. De volgende factuur wordt dan mogelijk behandeld als een normale betaling. Wie een grens gebruikt voor een extra goedkeuring, moet dus afzonderlijk beslissen hoe wijzigingen in de stamgegevens worden bevestigd. De eerste controle bepaalt immers mede wat later als vertrouwde informatie wordt gebruikt.
Ook uitstel kan gevolgen hebben. Een leverancier kan wachten op betaling voordat een bestelling wordt verzonden. Laat de eigenaar daarom bereikbaar zijn voor een zakelijke beslissing over de planning, een alternatieve levering of overleg met de leverancier. Benoem daarbij wat wel vaststaat en welke bevestiging nog ontbreekt. De medewerker die de administratie uitvoert, moet niet in zijn eentje hoeven beslissen hoeveel leveringsrisico het bedrijf wil nemen.
Het doel is een beperkte, duidelijke onderbreking op het moment dat betaalgegevens veranderen. Een afspraak die vooraf rekening houdt met drukte en kleine bezetting, heeft meer kans om ook op een onhandig moment uitvoerbaar te blijven. Dat is een redactionele afweging over de werkwijze, geen gemeten resultaat van de onderzoeksrapportage.
Drie fictieve situaties waarin de afspraak verschil maakt
Fictief voorbeeld: een installatiebedrijf met een krappe levering. Een medewerker krijgt een gewijzigde factuur van een groothandel. De materialen zijn besteld en de volgende klus begint morgen. De begeleidende mail vraagt betaling op een nieuw rekeningnummer. De medewerker zet alleen deze betaling apart en zoekt de vaste contactpersoon in het eigen leveranciersbestand op. Aan de telefoon blijkt dat de wijziging nog niet kan worden bevestigd. De eigenaar bespreekt de levering met de groothandel, maar laat het nieuwe rekeningnummer ongemoeid. Er is nog geen oordeel over fraude. Wel is voorkomen dat onzekerheid als goedkeuring wordt verwerkt.
Fictief voorbeeld: een ontwerper zonder personeel. Een buitenlandse leverancier meldt per mail dat betalingen voortaan naar een andere vennootschap moeten. Het is dus meer dan een nieuw nummer: ook de ontvanger verandert. De ontwerper vraagt via het bestaande contactpunt om uitleg en bewaart de ontvangen bevestiging bij de opdracht. Als onduidelijk blijft waarom een ander bedrijf het geld moet ontvangen, blijft de betaling openstaan. Een dossier met eerdere betalingen vervangt die uitleg niet. De leverancier kan helpen de echte wijziging te onderbouwen, zonder dat de ontwerper de contactgegevens uit het nieuwe verzoek hoeft te vertrouwen.
Fictief voorbeeld: de eigenaar onderweg. Een administratiemedewerker krijgt een spoedopdracht die van de eigenaar lijkt te komen. De toon is vertrouwd. De medewerker moet een bedrag overmaken voor een vertrouwelijke afspraak en mag niemand inlichten. In de eigen bedrijfsafspraak staat dat ook een dringend directieverzoek via het bekende contactkanaal wordt bevestigd. De medewerker voert die afspraak uit. De leidinggevende heeft eerder duidelijk gemaakt dat dit mag. Daardoor hoeft de medewerker op dat moment geen persoonlijke afweging te maken tussen gehoorzaamheid en zorgvuldigheid.
Deze voorbeelden voorspellen geen uitkomst en zeggen niets over de kans dat een bepaald bedrijf wordt getroffen. Ze laten zien welke beslissing de kaart ondersteunt: zonder voldoende bevestiging verandert een betaalverzoek nog geen goedgekeurd betaalgegeven.
Maak de controle ook voor je leveranciers uitvoerbaar
Je eigen klanten kunnen dezelfde vragen stellen wanneer jij van bank verandert. Dan helpt het als je de wijziging niet uitsluitend onderaan een factuur aankondigt. Bereid je contactpersoon voor en geef de klant gelegenheid via zijn bestaande gegevens terug te bellen. Maak de betalingstermijn niet afhankelijk van het onmiddellijk accepteren van een nieuw rekeningnummer.
Dat kost even afstemming. Het kan ook een ongemakkelijk gesprek voorkomen wanneer een klant een correcte wijziging blokkeert. De oplossing is dan samen vaststellen hoe de klant jou betrouwbaar kan bereiken en wie de verandering mag bevestigen. Van een klant eisen dat die uitsluitend het nummer uit jouw nieuwe mail gebruikt, lost zijn controleprobleem niet op.
Neem het proces mee wanneer je een nieuwe boekhoudomgeving kiest. Kan een medewerker een rekeningnummer direct overschrijven? Is later zichtbaar wie de wijziging invoerde? Kun je een betaling laten wachten zonder de factuur kwijt te raken? Het zijn vragen aan je softwareleverancier, geen aanname dat ieder pakket dezelfde functies heeft.
Een apart notitieveld of een afgeschermd dossier kan voor een kleine onderneming voldoende zijn om de gemaakte beslissing terug te vinden. Bewaar wat nodig is om de controle te reconstrueren, met toegang voor de mensen die de taak uitvoeren. Het doel is geen ongerichte verzameling van documenten of persoonsgegevens. De normale eisen aan een factuur en een ordelijke administratie blijven een eigen onderwerp; zie ook factuurregels en bonnetjes.
Oefen de beslissing, niet alleen het herkennen van fouten
Een korte oefening kan beginnen met één verzonnen wijzigingsverzoek. Zet duidelijk boven het voorbeeld dat het om een oefening gaat. Gebruik geen echte bankgegevens en laat niemand een werkelijke betaling uitvoeren. Vraag vervolgens wat er volgens de bedrijfsafspraak zou gebeuren: wie legt de betaling stil, waar staat het bekende nummer en wie controleert de vrijgave?
Zo’n bespreking levert een ander soort informatie op dan de vraag of iemand een spelfout in een nepmail heeft gezien. Misschien blijkt dat het contactnummer alleen in de telefoon van de eigenaar staat. Of dat de tijdelijke medewerker wel kan betalen, maar niet weet hoe een wijziging wordt gemeld. Dat zijn concrete gaten die je kunt oplossen zonder van de oefening een oordeel over de oplettendheid van een collega te maken.
Leg vooral vast dat iemand bij twijfel mag stoppen en vragen. Als een medewerker eerst toestemming moet krijgen om een verdachte betaling even te laten wachten, ontstaat juist op het drukste moment een extra hindernis. Bespreek na een twijfelgeval welke stap onduidelijk was. Een goed uitgevoerde controle kan ook uitwijzen dat het verzoek echt was. Dat maakt de controle niet overbodig.
Herhaal de bespreking wanneer de werkwijze verandert: een andere boekhouder, nieuwe bankrechten, uitbreiding van het team of een eigenaar die minder vaak aanwezig is. Een betaalafspraak die bij de start goed werkte, kan ongeschikt worden zodra andere mensen de administratie uitvoeren.
Heb je al betaald? Wacht niet op een compleet dossier
Wanneer je vermoedt dat geld naar een fraudeur is overgemaakt, neem je direct contact op met je eigen bank. Gebruik daarvoor een vertrouwd contactpunt, bijvoorbeeld de bankapp of de gegevens uit je eigen administratie. De Fraudehelpdesk adviseert na een frauduleuze overboeking direct de bank te benaderen, aangifte te doen bij de politie en het voorval te melden. Bron: Fraudehelpdesk, bericht dat van de bank lijkt te komen.
Laat het verzamelen van bijlagen dat eerste contact niet vertragen. Bewaar vervolgens de factuur, berichten, betaalgegevens en tijdstippen. Spreek intern af wie verdere opdrachten aan deze ontvanger tegenhoudt en wie de echte leverancier benadert. Geef de bank en eventuele betrokken dienstverlener zo concreet mogelijk door wat je hebt gedaan. Beloof medewerkers of klanten niet dat een overboeking zeker kan worden teruggedraaid.
Als ook de mailbox of een account betrokken lijkt, vraag je je IT-beheerder om de mogelijke toegang te onderzoeken. Het financiële spoor en de toegang tot systemen kunnen verschillende aandacht vragen. Ons artikel over de herstelvolgorde na een IT-storing behandelt de bredere bedrijfscontinuïteit; de betalingskaart richt zich op het besluit vóór de overboeking.
De campagne begint bij even stilstaan. Een kleine onderneming kan dat moment bruikbaar maken door het vervolg alvast te regelen. Waar ligt het oude rekeningnummer, wie belt het bekende contactpunt en wie beslist wanneer bevestiging uitblijft? Als die antwoorden beschikbaar zijn vóór de drukke middag, hoeft de medewerker ze niet uit te vinden terwijl een overtuigende afzender op betaling wacht.
Bronnen en verantwoording
Geraadpleegd op 19 oktober 2026:
- Rijksoverheid: campagne en nieuwsbericht over klikspijt, gepubliceerd op 19 oktober om 06.00 uur Nederlandse tijd.
- Kien Onderzoek: kwantitatief onderzoek naar klikspijt, veldwerk in september 2026. Methode en aantallen gecontroleerd op pagina 2 en 16; vraag over klikspijt op pagina 6.
- NCSC: Business E-mail Compromise, praktische handvatten voor het mkb, de downloadvermelding noemt 5 juni 2026. Gebruikt voor onafhankelijke verificatie en het doorbreken van druk bij betaalverzoeken, zonder de daarin genoemde schade- en AI-statistieken over te nemen.
- Politie: tips om digitale factuurfraude te voorkomen.
- Fraudehelpdesk: aangepast rekeningnummer op de factuur.
- Fraudehelpdesk: ik heb een bericht van mijn bank ontvangen.
De betalingskaart, taakverdeling en bedrijfssituaties zijn eigen redactionele uitwerkingen. De situaties zijn fictief. De kaart ondersteunt een beslissing en biedt geen garantie tegen fraude. De onderzoeksuitkomsten betreffen volwassenen in Nederland en zijn niet als cijfers over kleine bedrijven gebruikt.