Betaalcontrole in je crediteurenstroom: factuurfraude en dubbele betalingen tegenhouden

Je betaalt deze leverancier al vier jaar. Zelfde opmaak, zelfde bedragen, alleen staat er onderaan nu een ander rekeningnummer, met een vriendelijke regel erbij dat de bank is gewijzigd. De factuur klopt. De order klopt. De ontvangst klopt. Iedereen tekent, en het geld vertrekt naar een rekening die drie weken oud is.

Elke controle in een geautomatiseerde crediteurenstroom beantwoordt dezelfde vraag: klopt deze factuur? Dat is een goede vraag, alleen wordt zo het bedrag, de btw en de bestelling getoetst terwijl niemand kijkt of de tenaamstelling bij het rekeningnummer hoort. Deze gids begint waar dat verhaal ophoudt, namelijk bij de inrichting. Je geeft die tweede controle een naam, een eigenaar en een moment, in het pakket dat je nu al gebruikt.

Hij is geschreven voor de ondernemer, de office manager of de financial die de crediteurenstroom beheert, van veertig inkoopfacturen per maand tot een paar honderd. Aan het eind kun je de beslissing nemen die er echt toe doet: heb je een controlelaag boven je boekhoudpakket nodig, of red je het met rechten, een procedure en een maandrapport.

Betaalcontrole is de laag tussen goedkeuring en betaling. Waar matching en goedkeuring toetsen of een factuur klopt, toetst betaalcontrole of het geld bij de juiste ontvanger landt: bestaat deze leverancier, hoort dit rekeningnummer bij hem, is deze factuur niet al eerder betaald, en kan niemand de betaalbatch vullen zonder dat de blokkade er bewust af gaat.

Dat is geen theoretisch risico. Uit onderzoek van Allianz Trade van begin 2026 blijkt dat factuurfraude slachtoffers maakte bij 44 procent van 350 onderzochte organisaties, waarmee het de meest voorkomende vorm van externe fraude is. In Nederland liep de totale schade door betalingsfraude in 2025 op tot 198 miljoen euro, dertig procent meer dan een jaar eerder.

Wat je nodig hebt

De inrichting hieronder kost je vooral beslissingen, geen software. Zorg dat je dit klaar hebt liggen voordat je begint.

• Toegang tot je crediteurstamgegevens en inzicht in de rechten daarop: welke gebruikers mogen vandaag een rekeningnummer wijzigen.
• Een export van je crediteurenbestand met naam, IBAN, KVK-nummer en datum van laatste mutatie. Dit is je nulmeting.
• Een tweede kanaal per belangrijke leverancier: een telefoonnummer of contactpersoon die je zelf hebt vastgelegd, niet het nummer onderaan de mail.
• Een besluit over wie goedkeurt. Bij een mutatie op stamdata is dat iemand anders dan degene die de mutatie invoert. Zonder die scheiding is vier ogen gewoon twee.
• Twaalf maanden aan betalingen om je dubbeldetectie op te testen voordat je hem scherp zet.
• Een budget-orde. Nul euro extra als je het met rechten en een procedure doet, circa 95 tot 275 euro per maand voor een controlelaag, 2.700 euro per jaar voor een los IBAN-controleabonnement, of een eenmalig bouwbudget plus hosting voor maatwerk (prijzen augustus 2026).

Dit bouwt voort op een keten die al staat. Worden je facturen nog met de hand overgetikt, richt dan eerst een factuur-inbox in die inkomende leveranciersfacturen automatisch uitleest, en zet daarna de controle tegen bestelling en ontvangst met een goedkeuringsflow per bedragdrempel op. Betaalcontrole is de laag daarna, en hij werkt alleen als die twee er al zijn.

De vier poorten tussen goedkeuring en betaling

Elke stap hieronder is een poort. Een factuur die door alle vier komt, mag betaald worden; blijft er ergens iets hangen, dan blijft de blokkade staan. Dat is het hele ontwerp.

Zo richt je het in, in zes stappen

Met de onderstaande aanpak bevries je je leveranciersstamdata, maak je van een rekeningnummerwijziging een eigen goedgekeurde mutatie, geef je nieuwe crediteuren een aanmaakprocedure, zet je dubbeldetectie aan en houd je een betaalbatch tegen tot iemand hem bewust vrijgeeft. Werk ze in deze volgorde af; elke stap levert iets op dat je kunt aanwijzen.

1. Kijk wie er vandaag aan een rekeningnummer mag komen

In de lichte pakketten is de bankrekening van een leverancier een gewoon veld op de contactkaart. Wie contacten mag bewerken, mag dat veld bewerken, en er staat geen extra vraag tussen. Begin daarom met de saaiste handeling van deze hele gids: draai de lijst van gebruikers met dat recht, en schrap iedereen die het niet nodig heeft voor zijn werk.

Dat is geen wantrouwen richting je team, het is het dichtzetten van een deur die aan twee kanten open staat. Interne fraude werkt vrijwel altijd zo: iemand past de leveranciersgegevens tijdelijk aan, laat de betaling lopen en zet het rekeningnummer daarna terug. Hoe minder handen aan dat veld, hoe kleiner dat gaatje.

Controleerbaar resultaat: een lijst met namen, en per naam de reden dat hij dit recht houdt.

2. Maak een IBAN-wijziging een eigen mutatie, geen factuurveld

Dit is de kern van de hele inrichting. Zolang het rekeningnummer een veld op een factuur is, moet je het bij elke factuur opnieuw controleren, en dan is de controle te duur om vol te houden. Behandel je het als een mutatie op je stamgegevens, dan controleer je hooguit een paar keer per jaar, ook bij honderden facturen per maand.

De zwaardere pakketten hebben die vorm ingebouwd als schakelaar. In AllSolutions activeer je hem in de parameters van de crediteurenmodule, waarna nieuwe en gewijzigde bankrekeningen eerst goedgekeurd moeten worden voordat ze in het betalingsproces gebruikt kunnen worden; bestaande rekeningen krijgen automatisch de status goedgekeurd, en elke goedkeuring wordt gelogd. AFAS Profit en Visma.net kennen dezelfde vorm. Zit je daarop, dan is deze stap letterlijk een vinkje.

Zit je op Moneybird of Exact Online, dan bouw je hem als procedure. Drie afspraken volstaan:

1. Een wijziging van IBAN of tenaamstelling wordt gemeld bij de aangewezen goedkeurder, niet stilletjes doorgevoerd.
2. De goedkeurder verifieert langs een tweede kanaal. De Fraudehelpdesk adviseert daarbij expliciet om het bedrijf te bellen via contactgegevens die je zelf hebt opgezocht en bij een mailfactuur niet op antwoorden te klikken, omdat je zo terug bij de fraudeur belandt.
3. De eerste betaling naar het nieuwe nummer krijgt een lager bedrag of een extra paar ogen.

Controleerbaar resultaat: elke IBAN-mutatie van de afgelopen maand is terug te vinden met een naam erbij van wie hem bevestigde.

3. Geef een nieuwe crediteur een aanmaakprocedure

Een spookfactuur van een leverancier die je nog niet had, glipt niet door de matching maar door het aanmaakscherm. Zet daar dus drie handelingen neer die samen twee minuten kosten.

Zoek de partij op in het Handelsregister: KVK adviseert om naast de inschrijving ook de tekenbevoegdheid en de gedeponeerde jaarrekening op te vragen en te controleren op faillissement of surseance. Controleer daarna of naam en rekeningnummer bij elkaar horen. En leg vast wie de crediteur aanmaakte.

Voor die naamcontrole heb je twee routes. De losse check in je bankomgeving volstaat bij een handvol nieuwe leveranciers per jaar. Wil je het gestructureerd, dan levert de IBAN-Naam Check Portal van SurePay per controle een bewijs-pdf plus context die je bank je niet geeft: het rekeningtype, het aantal rekeninghouders, de status van de rekening en de datum waarop hij is geopend. Die openingsdatum is het scherpste signaal dat er is. Een leverancier die je al jaren kent op een rekening die vorige maand is geopend, is geen administratieve rimpel.

De portal kost 2.700 euro per jaar voor 900 controles en 5.700 euro voor 4.000 controles, met een API-variant vanaf 16.000 controles per jaar (prijzen augustus 2026). Reken dat om naar je eigen aantal nieuwe crediteuren voordat je tekent: bij veertig nieuwe leveranciers per jaar betaal je zo 67 euro per controle, en dan is de losse check in je bankportaal de eerlijkere keuze.

Controleerbaar resultaat: elke crediteur die dit kwartaal is aangemaakt, heeft een KVK-nummer en een uitgevoerde naamcontrole in het dossier.

4. Zet dubbeldetectie op factuurnummer, bedrag en datum

Dubbele betalingen zijn zelden fraude en bijna altijd routine: dezelfde factuur komt per mail en via het portaal binnen, een aanmaning wordt als nieuwe factuur geboekt, of een leverancier hernummert zijn facturen na een systeemwissel.

Kijk eerst wat je pakket zelf doet, want dat is minder dan je denkt. Moneybird waarschuwt alleen als het de bijlage herkent als dubbel en voert bewust geen controle uit op gebruikte factuurnummers, omdat je van verschillende leveranciers facturen met hetzelfde nummer kunt krijgen. Sinds 6 januari 2026 komt er een tweede signaal bij: op het overzicht Inkomend verschijnt nu ook een waarschuwing bij documenten van hetzelfde contact met dubbele kenmerken. Dat is precies de combinatie die je wilt, alleen zie je hem pas als je op dat scherm kijkt.

Een controlelaag zet die grendel harder. Blue10 toetst de combinatie van leverancier en factuurnummer en zorgt dat er na het opslaan van de tweede factuur met dezelfde combinatie altijd maar één van de twee in je boekhoudsysteem wordt geboekt, waarbij de andere onder het filter Fout blijft staan.

Wat geen van beide vangt: dezelfde kosten onder twee verschillende factuurnummers. Draai daarom maandelijks je eigen query over de geboekte inkoopfacturen en licht eruit wat dezelfde crediteur, hetzelfde bedrag en een factuurdatum binnen negentig dagen deelt. Dat kost een minuut in een export, en het is de enige controle die de veelvoorkomende variant pakt.

Dat die betalingen echt weglopen, kun je aflezen aan een hele bedrijfstak eromheen. Nederlandse partijen die dubbel betaalde facturen terugvorderen werken op no cure no pay en rekenen bijvoorbeeld 35 procent over de eerste 10.000 euro en 15 procent over alles daarboven. Die fee is de prijs van het overslaan van deze stap.

Controleerbaar resultaat: een maandelijkse lijst met dubbelkandidaten, ook als hij leeg is.

5. Geef je betaalbatch een blokkade die iemand bewust moet weghalen

Een geboekte factuur is nog geen betaalbare factuur. Het verschil zit in de blokkade, en het loont om te weten hoe die technisch werkt, want dat bepaalt hoe sterk hij is. Let daarbij op één ding dat makkelijk misgaat als je op een productpagina afgaat: de vorm van de blokkade zit in de koppeling met jouw boekhoudpakket, niet in de controlelaag als geheel.

Klippa SpendControl laat dat goed zien. In de NetSuite v2-koppeling draaide Klippa de volgorde om bij de release van maandag 25 augustus 2025 (v4.13.0): onder het kopje Verbeteringen Netsuite v2 staat dat SpendControl daar boekt met een betalingsblokkade en die na goedkeuring verwijdert. Dat is een echt slot, maar het geldt voor die koppeling. Voor Exact Online kwam het boeken vóór goedkeuring pas met de vernieuwde Exact-integratie v2 in de release van 30 juni 2026, en die release beschrijft wel het eerder boeken maar geen betalingsblokkade erbij; hij wordt bovendien per organisatie op aanvraag geactiveerd. Zit je op Exact Online, vraag dan aan je leverancier welke van de twee vormen jouw koppeling gebruikt voordat je hem als slot inricht.

De vorm die je op Exact Online in de praktijk het vaakst krijgt, is de betalingswijze. Bij een geblokkeerde boeking wordt de betalingswijze op kas gezet zodat de betaling niet in een betaalvoorstel belandt, en na autorisatie teruggezet naar de betalingswijze van de betalingsconditie.

Lees die vorm goed. Je blokkade is daar een veldwaarde, en iedereen die dat veld mag bewerken kan hem opheffen zonder dat er een goedkeuring aan te pas komt. Bruikbaar, maar het is een rem en geen slot. Leg daarom vast dat het opheffen op één plek gebeurt, door een rol die niet dezelfde is als de rol die stamdata muteert.

Controleerbaar resultaat: probeer zelf een geblokkeerde factuur in een betaalvoorstel te krijgen. Lukt dat, dan is je poort er geen.

6. Controleer het betaalbestand, en rapporteer één keer per maand

De laatste poort ligt buiten je pakket. Voor je het betaalbestand indient, laat je de tenaamstellingen erlangs gaan. Je bank biedt daar een aparte controle voor aan op je betaalbestand, en wie meer volume heeft kan bij SurePay in dezelfde portal een bestand uploaden en er in één keer 10.000 controles mee uitvoeren. Ga er niet vanuit dat je bank dit stilzwijgend voor je doet: bij zakelijke bulkbetalingen is die naamcontrole nadrukkelijk optioneel.

Zet er daarna een maandrapport naast met drie regels: elke crediteur waarvan het IBAN deze maand wijzigde, elke betaling boven jouw drempel naar een crediteur die minder dan negentig dagen bestaat, en de dubbelkandidaten uit stap 4. Tien minuten per maand, en het is meteen je bewijs richting je accountant dat de controle bestaat.

Controleerbaar resultaat: het rapport van vorige maand, met een paraaf eronder.

Valkuilen

Vier ogen die één paar zijn. Voert dezelfde persoon de mutatie in en keurt hij hem goed, dan heb je een logboek en geen controle. Wijs de goedkeurder expliciet aan, en accepteer dat dit bij een klein team betekent dat de ondernemer zelf dat tweede paar ogen is.

Verifiëren via het kanaal waar het verzoek binnenkwam. Bellen naar het nummer onder de mail of antwoorden in dezelfde mailwissel is geen verificatie, het is bevestiging vragen aan de partij die je wil misleiden. Alleen een contactgegeven dat al in je eigen systeem stond telt.

Alleen op factuurnummer dedupliceren. Dat vangt de nette dubbele en mist de rommelige, die veel vaker voorkomt. Neem crediteur, bedrag en datum mee.

De uitzonderingslijst die niemand leest. Een rapport zonder eigenaar en zonder vast moment is binnen twee maanden dood. Zet hem in de agenda van één persoon.

Zo streng afstellen dat betalingen blijven liggen. Een blokkade die niemand tijdig opheft kost je betaalkortingen en goodwill bij leveranciers. Meet hoeveel facturen per week op de blokkade wachten en hoe lang.

Denken dat je bank de ontvanger controleert. Bij een handmatige overboeking gebeurt dat, bij een zakelijk betaalbestand is het een losse stap die je zelf moet kiezen.

Wel of geen controlelaag: zo beslis je

De eerlijke conclusie eerst: de meeste bedrijven onder de vijftig inkoopfacturen per maand hebben hier geen software voor nodig. De inrichting uit stap 1 tot en met 6 is dan vooral een kwestie van rechten, een afspraak en een maandelijkse export. Software kopen voordat die afspraken staan, levert je een dashboard op en geen controle.

Vier routes, en welke past hangt af van je volume, van je pakket en van het aantal handen aan een factuur.

Klippa SpendControl kost 95 euro per maand voor maximaal 4.000 facturen per jaar en tien actieve gebruikers, met een variant van 275 euro per maand voor 12.000 facturen en dertig gebruikers; koppelingen met je boekhoudpakket beginnen bij 50 euro per maand extra (prijzen augustus 2026). Detectie van dubbele en mogelijk frauduleuze facturen zit in beide varianten.

Drie drempels om het kort te maken. Zit je al op AFAS Profit, Visma.net of AllSolutions, koop dan niets en zet de schakelaar aan; dat is de goedkoopste winst in deze hele gids. Verwerk je meer dan vijftig facturen per maand met meerdere goedkeurders, dan verdient een controlelaag zich terug op de uren en op de doorlooptijd, niet op het fraudescenario. Heb je eigen systemen, meerdere administraties of een afwijkend inkoopproces, dan bouw je de controles waar je data al ligt, en wordt de keuze tussen kant-en-klaar en maatwerk vooral een keuze over welke aanpak bij je volume en je goederenstroom past.

De maatwerkroute, concreet gemaakt. Bouw je het zelf in een workflow-tool als n8n, dan zijn het drie flows en niet meer dan dat. De eerste is een mutatie-trigger: elke wijziging van het IBAN- of tenaamstellingsveld op een crediteur zet een taak klaar bij je goedkeurder met de oude en de nieuwe waarde ernaast, en de crediteur blijft geblokkeerd tot die taak is afgerond. De tweede is de dubbelquery uit stap 4, maandelijks over je geboekte inkoopfacturen op crediteur plus bedrag plus factuurdatum binnen negentig dagen, met een vaste uitzonderingslijst voor je huur en abonnementen. De derde loopt vlak vóór het betaalbestand: elke regel langs een naamcontrole, en wat niet matcht valt uit de batch in plaats van erdoorheen. Die naamcontrole is het enige onderdeel dat structureel geld kost. SurePay levert hem als API onder de naam Connect vanaf 16.000 controles per jaar, op offertebasis; onder dat volume loont die route niet, en houd je de portal of de losse check in je bankomgeving aan terwijl je alleen de eerste twee flows bouwt. Voor de rest reken je op zelfhosting: n8n Community is gratis en draait op een VPS van een tientje tot pakweg 25 euro per maand, of je neemt n8n Cloud vanaf 20 euro per maand voor 2.500 uitvoeringen en 50 euro voor 10.000 (prijzen augustus 2026). De bouwtijd is hier de echte kostenpost: reken op twee tot vier dagen voor de drie flows als je crediteur- en factuurdata via een API bereikbaar zijn, plus onderhoud, omdat elke pakketupdate je koppeling kan raken. Onder de vierhonderd facturen per maand haalt dat het zelden van een kant-en-klare laag van 95 euro; daarboven, of met meerdere administraties naast elkaar, meestal wel.

Uitgewerkt voorbeeld: 180 facturen per maand op Exact Online

Ter illustratie een doorgerekend geval, geen klant. Neem een installatiebedrijf met twaalf medewerkers, 340 actieve crediteuren en 180 inkoopfacturen per maand. Boekhouding in Exact Online, facturen worden uitgelezen en goedgekeurd via een aparte laag, betalingen gaan als bestand naar de bank. Twee mensen doen de crediteuren.

De nulmeting levert meteen werk op. Van de vijf gebruikers met het recht om contacten te bewerken hebben er twee dat nodig; de andere drie raken het kwijt. In de export blijken elf crediteuren geen KVK-nummer te hebben, waarvan zeven eenmanszaken van jaren terug. Die gaan op inactief, wat het bestand met ruim drie procent laat krimpen zonder dat er iets stukgaat.

De mutatieprocedure kost hier de minste moeite en levert het meeste op. In een jaar wijzigden negen crediteuren hun rekeningnummer, ruim één per maand. Negen telefoontjes per jaar naar een nummer uit het eigen systeem is geen belasting. Het was alleen nooit iemands taak.

De dubbeldetectie is het verrassende deel. De query over twaalf maanden op crediteur, bedrag en factuurdatum binnen negentig dagen levert veertien kandidaten. Elf blijken terechte terugkerende bedragen: maandelijkse huur, abonnementen, een vast servicecontract. Drie zijn echt dubbel, namelijk twee facturen die zowel per mail als via een leveranciersportaal binnenkwamen en één aanmaning die als nieuwe factuur was geboekt. Samen 4.180 euro. Bij een terugvorderaar op no cure no pay was daar ongeveer 1.400 euro aan fee vanaf gegaan; nu is het een mailtje per leverancier.

Het maandrapport bestaat uiteindelijk uit drie regels in een export en gaat naar de financieel verantwoordelijke. De kosten van de hele inrichting: een dagdeel voor de rechten en de procedure, een uur voor de query, en tien minuten per maand daarna. Er kwam geen nieuwe tool bij.

Vertaal dat naar je eigen situatie met drie getallen. Hoeveel gebruikers mogen een IBAN wijzigen, hoeveel IBAN-mutaties waren er vorig jaar, en hoeveel dubbelkandidaten geeft je export over twaalf maanden. Die drie bepalen of je genoeg hebt aan een afspraak of dat je een laag nodig hebt.

Waar dit uiteindelijk over gaat

De vraag "klopt deze factuur" en de vraag "gaat dit geld naar deze leverancier" voelen als dezelfde vraag, en dat is precies waarom de tweede zo makkelijk verdwijnt. Ze werd nooit afgeschaft. Ze zat verstopt in het overtypen, en toen dat wegging, ging zij mee.

Wat je hierboven inricht is die vraag terugzetten op een plek waar hij niet meer weg kan: niet als oplettendheid, maar als een mutatie met een goedkeurder, een query met een uitkomst en een blokkade die iemand bewust weghaalt. Dat is minder werk dan een tool uitkiezen, en het is het enige deel dat blijft werken als je volgend jaar van pakket wisselt. Wil je de bredere keten eromheen dichttimmeren, van instroom tot audit-trail, dan staat die volledig uitgeschreven in de gids over documenten en facturen automatisch verwerken van inbox tot archief.

Een controle die je zelden nodig hebt maar die dan het verschil maakt, weeg je niet af tegen de kans dat het misgaat. Je weegt hem af tegen wat hij kost. Hier is dat een telefoontje per maand.