Hva et styre bør spørre HR om ansettelsesprosessen, før noe går galt

De fleste styrer stiller gode spørsmål om økonomisk internkontroll, cybersikkerhet og leverandørrisiko. Langt færre stiller tilsvarende spørsmål om ansettelsesprosessen, selv om det er stedet der selskapet gir nye mennesker tilgang til nettopp penger, systemer og kunderelasjoner.

Det trenger ikke bety at styret skal detaljstyre HR eller godkjenne enkeltansettelser. Det betyr at det finnes noen få, konkrete spørsmål som avdekker om risikoen er håndtert systematisk, eller om den er overlatt til tilfeldigheter og god vilje.

Hvorfor dette hører hjemme på styrets bord

Ansettelsesprosessen er, i praksis, en av selskapets viktigste risikokontroller. Det er her det avgjøres hvem som får tilgang til bankkontoer, kundedata, fysiske nøkler og selskapets omdømme utad. Den norske anbefalingen for eierstyring og selskapsledelse (NUES) pålegger styret å påse at selskapet har god intern kontroll og hensiktsmessige systemer for risikostyring, tilpasset virksomhetens art og omfang. En ansettelsesprosess uten systematisk verifisering er, i den forstand, et kontrollhull av samme type som svak attestasjonsrutine på økonomisiden.

Spørsmålene under er ment som utgangspunkt for en samtale med HR eller ansvarlig leder, ikke som en detaljert revisjon.

Ni spørsmål å stille

1. Har vi en skriftlig policy for hvilke stillinger som bakgrunnssjekkes, og hvilke sjekker som gjøres for hver kategori?
Uten en skriftlig policy avgjøres dette ofte fra sak til sak, noe som gjør grundigheten avhengig av hvem som rekrutterer, ikke av stillingens faktiske risiko.

2. Er kravene til bakgrunnssjekk like strenge for lederstillinger som for andre roller med tilsvarende ansvar?
Ledere har ofte færre interne kontrollpunkter rundt egne beslutninger enn andre ansatte, samtidig som potensiell skade ved en feilansettelse er vesentlig større. Det tilsier minst like streng, ofte strengere, due diligence.

3. Utløses sjekkene automatisk, eller er de avhengig av at rekruttereren husker å starte dem manuelt?
En prosess som er avhengig av at noen husker et manuelt steg, vil svikte i perioder med høyt tempo, nettopp når feil er dyrest å gjøre.

4. Har vi dokumentasjon som viser at prosessen faktisk ble fulgt for en gitt ansettelse, ikke bare at den sannsynligvis ble det?
Dette er relevant både for internkontroll og for å kunne vise aktsomhet i etterkant, dersom noe skulle gå galt med en tidligere ansettelse.

5. Vet vi hvilke sjekker som krever samtykke, og hvordan det samtykket innhentes og dokumenteres?
Manglende eller uklart samtykke er ikke bare en GDPR-risiko, det svekker også verdien av sjekkene som faktisk gjøres.

6. Hvor lenge lagrer vi opplysningene fra en bakgrunnssjekk, og slettes de når formålet er oppfylt?
Overflødig lagring av sensitive personopplysninger er en selvstendig risiko, uavhengig av hvor godt selv sjekkene ble gjennomført.

7. Er kredittsjekk begrenset til stillinger med reelt økonomisk ansvar, og gjort sent i prosessen?
Kredittsjekk krever en klar sammenheng mellom stilling og privatøkonomi. Å bruke det bredere enn det, er en unødvendig personvernrisiko uten tilsvarende gevinst.

8. Hva skjer når en sjekk avdekker noe, hvem tar beslutningen, og etter hvilke kriterier?
Uten en forhåndsdefinert eskaleringsvei havner denne typen beslutninger lett hos enkeltpersoner, uten et felles grunnlag for hva som faktisk bør diskvalifisere en kandidat.

9. Har vi sett på om prosessen er lik på tvers av avdelinger og kontorer, eller varierer den med lokal praksis?
I selskaper med flere kontorer eller forretningsområder er det vanlig at praksis glir fra hverandre over tid, uten at noen har bestemt at den skal gjøre det.

Hva gode svar faktisk ser ut som

Et godt svar på disse spørsmålene er verken "vi stoler på våre rekrutterere" eller en lang forklaring på hvorfor det er komplisert. Et godt svar peker til en dokumentert policy, et system som håndhever den automatisk, og en løpende oversikt over hvilke sjekker som er gjennomført for hvilke stillingskategorier. Hvis svaret i stedet er at "det kommer an på hvem som håndterer saken", er det et tegn på at risikoen er reell, ikke bare teoretisk.

Dette er en samtale, ikke en revisjon

Formålet med disse spørsmålene er ikke å gjøre styret til en HR-avdeling, eller å innføre unødvendig byråkrati rundt hver ansettelse. Formålet er å bekrefte at noen faktisk eier denne risikoen, at det finnes et system som ikke er avhengig av at alle alltid husker alt, og at selskapet kan dokumentere aktsomhet dersom det en dag blir spurt om det.

Oppsummering

Ansettelsesprosessen er en av selskapets mest direkte veier til risiko, fordi det er der tilgang til penger, kunder og data først gis. Styret trenger ikke godkjenne enkeltansettelser for å ta ansvar for denne risikoen, men bør kunne stille konkrete spørsmål om policy, automatisering, dokumentasjon og eskalering, på samme måte som det gjøres for annen internkontroll. Gode svar peker til et system. Vage svar peker til en risiko som ennå ikke er håndtert.