Ansettelsen er den største tilgangen du gir bort
Kort fortalt. En ansettelse gir en person tilgang til systemer, kunder, økonomi og kolleger. Likevel behandles den sjelden som en sikkerhetsbeslutning, fordi ansvaret er delt mellom HR og sikkerhet. Å behandle ansettelsen som en sikkerhetsbeslutning betyr ikke å kontrollere mer, men å kontrollere riktig ut fra hva rollen gir tilgang til.
Hvorfor er ansettelsen en sikkerhetsbeslutning?
Ansettelsen er beslutningen som utløser alle andre tilganger i virksomheten. De fleste virksomheter har god kontroll på tilgangsstyring. Roller er definert, rettigheter er dokumentert, og tilganger fjernes når noen slutter.
En nyansatt får likevel tilgang til systemer, kunder, økonomi og kolleger fra første arbeidsdag. Beslutningen tas ofte på grunnlag av en CV, et par intervjuer og en referanse kandidaten har valgt selv. En forespørsel om tilgang til ett enkelt system behandles i mange virksomheter grundigere enn beslutningen om å gi en person tilgang til hele virksomheten.
Tiltak som skal redusere risikoen knyttet til ansatte og innleide, kalles ofte personellsikkerhet. Ansettelsen er det første og viktigste kontrollpunktet i dette arbeidet.
Hvorfor faller ansettelsen mellom to stoler?
Årsaken er sjelden uforsiktighet. Den ligger i hvordan ansvaret er fordelt. HR vurderer kompetanse og egnethet. Sikkerhetsfunksjonen vurderer risiko. Ansettelsen ligger mellom de to, og blir derfor sjelden vurdert som en sikkerhetsbeslutning av noen av dem.
Hvilke små valg i rekrutteringen svekker sikkerheten?
Nasjonal sikkerhetsmåned gjennomføres i oktober og koordineres av NorSIS i NSM på vegne av Justis- og beredskapsdepartementet. Årets tema er digital dømmekraft. Små valg, store konsekvenser.
Ansettelsesprosessen inneholder mange slike valg. Typiske eksempler er
- å ta kandidatens LinkedIn-profil som bekreftelse på arbeidserfaringen
- å godta en attest eller et vitnemål kandidaten har sendt selv, uten å bekrefte det hos utsteder
- å kontrollere alle kandidater likt, uavhengig av hva rollen gir tilgang til
- å utsette eller droppe kontrollen fordi kandidaten skal starte raskt
Ingen av disse valgene oppleves som en sikkerhetsbeslutning i øyeblikket. Samlet avgjør de hvem som får tilgang til virksomheten.
Hva er riktig kontrollnivå for en stilling?
Riktig kontrollnivå avhenger av hva stillingen gir tilgang til. En bakgrunnssjekk består av flere kontrollpunkter, og de gir ulik verdi for ulike roller.
Identitet. Grunnlaget for alle andre kontroller. Et bilde av et pass er ikke det samme som en bekreftet identitet.
Utdanning og arbeidserfaring. Bekreftes hos utsteder og tidligere arbeidsgiver, ikke gjennom dokumenter kandidaten leverer selv.
Økonomiske forhold. Relevant for enkelte roller med ansvar for midler eller betalinger, og ikke relevant for de fleste andre stillinger.
En stilling med tilgang til kundedata, utbetalinger eller produksjonssystemer bør vurderes annerledes enn en stilling uten slike tilganger. Det forutsetter at virksomheten har bestemt hvilket kontrollnivå som gjelder for hvilken type rolle, og hvem som eier den beslutningen. Les mer om forskjellen på kontrollpunktene i Ulike typer bakgrunnssjekk du bør vite om.
Hva kan en arbeidsgiver innhente om en kandidat?
En arbeidsgiver kan bare innhente opplysninger som er nødvendige og saklige for stillingen. Behandlingen må ha et gyldig grunnlag etter personvernforordningen (GDPR) artikkel 6, og det skal ikke samles inn mer enn formålet krever, jf. artikkel 5. Enkelte opplysninger krever særskilt hjemmel, og noen kan ikke etterspørres i det hele tatt. Les mer i Er bakgrunnssjekk lovlig i Norge?.
Ofte stilte spørsmål
Hva betyr det å behandle ansettelsen som en sikkerhetsbeslutning?
Det betyr å vurdere hvilke tilganger stillingen gir, og tilpasse kontrollene i ansettelsesprosessen etter det. Målet er riktig kontroll, ikke mest mulig kontroll.
Hvem bør eie beslutningen om kontrollnivå?
Beslutningen bør eies av en tydelig definert funksjon, gjerne i samarbeid mellom HR og den som har ansvar for sikkerhet. Det viktigste er at ansvaret er avklart og dokumentert.
Bør alle kandidater sjekkes likt?
Nei. Kontrollene bør stå i forhold til stillingen. Å sjekke alle likt kan gi for lite kontroll i kritiske roller og for mye innsamling i roller der det ikke er nødvendig.
Kan arbeidsgiver kreve politiattest av alle?
Nei. Politiattest kan bare kreves når det er hjemmel for det i lov eller forskrift, jf. politiregisterloven § 37.
Gjennom oktober
Under Nasjonal sikkerhetsmåned publiserer vi én artikkel i uken om ansettelsen som sikkerhetsbeslutning.
Vår CEO Aman Tesfamichael holder også foredraget “Hvem slipper vi inn? Ansettelsen som sikkerhetsbeslutning” gjennom NorSIS’ foredragsdugnad. Foredraget holdes digitalt eller fysisk, etter avtale, og gir deltakerne et rammeverk for å fastsette kontrollnivå per stilling og avklare hvem som skal eie beslutningen.
Kilder
Du har hittat rätt kandidat
Vi dubbelkollar bara åt dig.
Ditt jobb är att hitta den bästa kandidaten. Vårt jobb är att dubbelkolla att det är rätt val. I dagens landskap får trygghet på arbetsplatsen allt större fokus. Med Right Person har du en pålitlig och erfaren partner som ger dig bakgrundskontroller utan huvudvärk eller tidsförlust. Bygg en tryggare arbetsplats idag!