Een Duitse financieel manager moet ruim vijftig miljoen euro vergoeden nadat hij slachtoffer werd van CEO-fraude. Dat meldt Security.nl. De man maakte in 59 transacties geld over naar oplichters die zich voordeden als zijn leidinggevende en een advocaat. Volgens het Landesarbeitsgericht Köln was hij zo nalatig dat hij persoonlijk voor de schade moet opdraaien.
De details zijn opmerkelijk. De manager communiceerde via zijn privé-WhatsApp, negeerde interne betalingsprocedures en verifieerde nooit rechtstreeks bij zijn baas of de opdrachten echt waren. Hij had kort daarvoor zelfs meegespeeld in een instructievideo over CEO-fraude. Op enig moment schreef hij dat hij miljoenen overmaakte zonder enig bewijs of behoorlijke toelichting. Toch ging hij door.
Het Duitse hof kwalificeerde dit als grove nalatigheid. Omdat de werkgever een D&O-verzekering voor hem had afgesloten, zag het hof bovendien geen reden zijn aansprakelijkheid te beperken. Of de verzekeraar daadwerkelijk betaalt, staat nog niet vast.
Maar naar Nederlands recht is grove nalatigheid niet genoeg. Een werknemer is financieel naar de werkgever alléén aansprakelijk bij opzet of bewuste roekeloosheid (art. 7:661 BW). Van opzet is hier geen sprake: de manager wilde zijn werkgever niet benadelen.
Bewuste roekeloosheid ligt ingewikkelder. Volgens de Hoge Raad moet de werknemer zich onmiddellijk voorafgaand aan zijn handelen daadwerkelijk bewust zijn geweest van het roekeloze karakter daarvan en dat risico op de koop toe nemen. Dat hij het risico had moeten kennen, is onvoldoende. Dus “het zal me worst wezen als dit fraude is” en niet alleen “hm, zou dit fraude kunnen zijn”.
Dat blijkt mooi uit het City Tax-arrest uit 2005. Een taxichauffeur negeerde bewust een wegafzetting en beschadigde zijn taxi. Toch was daarmee geen bewuste roekeloosheid gegeven. Dat de chauffeur wist dat hij een verbod overtrad, betekende nog niet dat hij zich daadwerkelijk bewust was van het gevaar dat hij daarmee liep. De Hoge Raad liet het oordeel dat hij niet aansprakelijk was in stand.
En dat onderscheid is hier cruciaal. De Duitse manager wist dat hij interne regels overtrad. Hij wist zelfs dat hij onvoldoende documentatie had voor de betalingen. Maar dat bewijst nog niet dat hij zich bewust was van het risico dat hij miljoenen aan oplichters overmaakte. Hij dacht immers dat hij handelde in opdracht van zijn leidinggevende. Dat is nu juist de essentie van CEO-fraude: de oplichter overtuigt je ervan dat je van de normale procedures moet afwijken omdat de baas dat zelf vraagt.
In 2017 schreef ik al dat werknemers bij CEO-fraude in beginsel niet persoonlijk aansprakelijk zijn. Deze Duitse uitspraak verandert daar niets aan. Ook een werknemer die bewust interne controles omzeilt, is daarmee nog niet bewust roekeloos ten aanzien van de schade die daardoor ontstaat. De werkgever zal moeten aantonen dat de werknemer het frauderisico daadwerkelijk onderkende en desondanks doorging.
Arnoud
