När alla har verktygen

Ett telefonsamtal kommer från en röst som låter som chefens. Ärendet är brådskande, och rösten ber om något som brukar gå genom en blankett.

Verktygen finns hos alla, inklusive den som vill lura er. Det ändrar inte vilka regler ni har. Det ändrar vilka av era kontroller som fortfarande fungerar.

Många kontroller vilade på att det var kostsamt att göra något trovärdigt. Ett brev med rätt tonfall, ett dokument med rätt formalia, en röst som är rätt person, ett mejl utan språkfel. Kostnaden var kontrollen, också när ingen skrev ned det.

Den kostnaden är borta i den delen. Kvar finns bara de kontroller som prövar något annat än trovärdighet: att en identitet är styrkt, att en uppgift finns i ett register, att en åtgärd kräver två personer, att ett besked går tillbaka på en väg avsändaren inte valde.

Det som saknas är sällan en teknisk motåtgärd. Det som saknas är en förteckning över vilka av era kontroller som vilade på svårighetsgraden, och vad som ersätter dem.

Så här går det fel

En faktura kommer med rätt formalia, rätt referens och rätt tonfall, från en leverantör organisationen har.

Den betalas. Kontrollen bestod i att en avvikande faktura hade sett avvikande ut, och den här ser inte avvikande ut.

Ingen kontroll prövade att kontouppgiften ändrats, eftersom en ändring alltid hade kommit i ett brev som såg äkta ut. Det som saknades var ingen granskare och ingen spärr. Det var en uppslagning mot det konto som stod i registret.

Det här måste någon bestämma

Vilka av era kontroller som vilar på att en förfalskning är svår. Den listan finns sällan, och den går att skriva på en förmiddag.

Vad som ersätter dem. En bekräftelse på en kanal mottagaren valt, en uppgift som slås upp i stället för att läsas, en åtgärd som kräver två personer.

Och vad ni säger till medarbetarna. Att vara vaksam är ingen instruktion. Att ringa upp på det nummer som står i registret och inte det som stod i mejlet är en.