Bakgrunnssjekk som internkontroll: hvorfor kvaliteten på en ansettelse ikke bør avhenge av hvem som gjorde den

Ingen styre ville akseptert at kvaliteten på selskapets regnskapsavstemming avhenger av hvilken regnskapsmedarbeider som hadde vakt den dagen, eller hvor travelt det var i avdelingen akkurat da. Likevel er det nøyaktig slik svært mange ansettelsesprosesser fungerer: grundigheten i sjekkene som gjøres før noen får tilgang til penger, kunder eller sensitiv informasjon, varierer med hvem som rekrutterer, hvor erfaren de er, og hvor mye tid de har den uken.

Det er en form for ukontrollert variasjon styret sjelden ser, rett og slett fordi den ikke vises i noe regnskap. Men den er der, og den er en risiko av samme type som de kontrollene styret allerede krever andre steder i virksomheten.

Internkontroll handler om å fjerne avhengigheten av enkeltpersoners skjønn

Den norske anbefalingen for eierstyring og selskapsledelse (NUES) slår fast at "styret skal påse at selskapet har god intern kontroll og hensiktsmessige systemer for risikostyring i forhold til omfanget og arten av selskapets virksomhet." Poenget med internkontroll er ikke å eliminere all risiko, det er å sikre at risikoen håndteres systematisk, uavhengig av hvem som utfører arbeidet fra dag til dag.

Denne tankegangen er godt etablert på finanssiden: attestasjonsrutiner, firmasignaturregler og avstemmingsrutiner finnes nettopp fordi selskapet ikke vil at kvaliteten på økonomistyringen skal avhenge av at én bestemt person alltid husker å gjøre ting riktig. Den samme logikken er sjelden anvendt på ansettelsesprosessen, selv om konsekvensene av en svikt kan være like store, om ikke større.

Hva "avhengig av hvem som gjorde det" faktisk betyr i praksis

I en organisasjon uten standardisert bakgrunnssjekk, varierer grundigheten typisk med tre faktorer, ingen av dem knyttet til hvor risikabel stillingen faktisk er:

Erfaring. En nyansatt rekrutterer kjenner kanskje ikke selskapets forventninger til hvilke sjekker som bør gjøres for hvilke roller, og gjetter seg frem.

Arbeidsbelastning. Når kalenderen er full og fristene presser på, er bakgrunnssjekk ofte det første steget som kuttes, eller gjøres overflatisk, fordi det ikke oppleves som den delen av prosessen som avgjør om stillingen blir besatt i tide.

Personlig terskel. Noen rekrutterere er naturlig grundigere enn andre, ikke fordi selskapet har bedt om det, men fordi det er slik de selv er innstilt.

Resultatet er en prosess der to identiske stillinger, i samme selskap, kan ha fått vidt forskjellig grundighet i bakgrunnssjekken, avhengig av tilfeldigheter som ikke har noe med stillingens faktiske risiko å gjøre.

Hvorfor dette er et styrespørsmål, ikke bare et HR-spørsmål

Styrets rolle i internkontroll er, ifølge NUES-anbefalingen, å gjennomgå selskapets vesentlige risikoområder årlig, herunder endringer i risikobildet og kvaliteten på ledelsens oppfølging av kontrollsystemene. Ansettelsesprosessen kvalifiserer som et vesentlig risikoområde i de fleste virksomheter, rett og slett fordi det er stedet der selskapet gir nye mennesker tilgang til penger, kunder, data og omdømme.

Et naturlig spørsmål for styret å stille er derfor ikke "hvor mange bakgrunnssjekker gjorde vi i fjor", men "er prosessen for å avgjøre hvem som sjekkes, og hvor grundig, standardisert og dokumentert, eller avhenger den av hvem som tilfeldigvis satt med saken?"

Standardisering løser et annet problem enn kompetanse

Det er verdt å understreke at dette ikke handler om at rekrutterere gjør en dårlig jobb. De fleste rekrutterere er dyktige i det de gjør. Problemet er strukturelt: uten et system som definerer hvilke sjekker som gjøres for hvilke stillingskategorier, og som sikrer at dette skjer likt hver gang, vil selv de dyktigste menneskene variere, fordi mennesker naturlig gjør det under press, tretthet eller usikkerhet om hva som forventes.

En standardisert prosess fjerner ikke behovet for dyktige rekrutterere. Den fjerner avhengigheten av at akkurat denne rekruttereren, akkurat denne dagen, husker å gjøre det som skal til.

Hva en standardisert prosess faktisk innebærer

I praksis betyr det tre ting:

En definert policy for hvilke sjekker som gjøres for hvilke typer stillinger, basert på reell risiko (økonomisk ansvar, tilgang til sensitiv informasjon, kundekontakt), ikke ad hoc-vurderinger fra sak til sak.

Automatisert utløsning, slik at riktig sjekk faktisk startes når en kandidat når riktig steg i prosessen, uavhengig av om rekruttereren husker å trykke i gang den manuelt.

Dokumentasjon som kan vises frem, slik at selskapet, om nødvendig i ettertid, kan vise at prosessen faktisk ble fulgt for en gitt ansettelse, og ikke bare stole på at den sannsynligvis ble det.

Dette er også grunnen til at integrasjon mot rekrutteringssystemet (ATS) er mer enn et bekvemmelighetsspørsmål. Når bakgrunnssjekken utløses automatisk ved et definert steg i prosessen, blir standardiseringen en egenskap ved systemet, ikke en påminnelse rekruttereren må huske selv.

Oppsummering

Uten en standardisert prosess vil grundigheten i bakgrunnssjekk naturlig variere med hvem som rekrutterer, hvor travelt det er, og hvor grundig akkurat den personen er anlagt til å være. Det er en type ukontrollert risiko styret allerede adresserer på andre områder gjennom internkontroll, og NUES-anbefalingen gir et konkret mandat for at styret bør interessere seg for om denne typen risiko også er håndtert i ansettelsesprosessen. Løsningen er ikke bedre rekrutterere, det er et system som gjør riktig sjekk til standarden, ikke unntaket.