Nie każdy pracownik otrzymuje taki sam dostęp do pieniędzy, danych, klientów, infrastruktury czy know-how firmy. Dlatego również zakres weryfikacji przed zatrudnieniem nie powinien być jednakowy dla wszystkich stanowisk. Background check może być elementem zarządzania ryzykiem, ale tylko wtedy, gdy ma określony cel, pozostaje proporcjonalny do odpowiedzialności danej osoby i jest prowadzony z poszanowaniem przepisów dotyczących zatrudnienia oraz ochrony danych. Zatrudnienie nowej osoby zawsze opiera się w pewnym stopniu na zaufaniu. Pracodawca otrzymuje CV, rozmawia z kandydatem, ocenia jego doświadczenie, kwalifikacje i dopasowanie do stanowiska. W większości rekrutacji taki proces będzie wystarczający. Są jednak funkcje, przy których skutki błędnej decyzji mogą być znacznie poważniejsze. Dyrektor finansowy może mieć wpływ na przepływy pieniężne. Administrator IT otrzymuje szeroki dostęp do systemów. Handlowiec poznaje klientów, marże i warunki ofertowe. Osoba odpowiedzialna za zakupy może decydować o wyborze dostawców, a pracownik magazynu — mieć dostęp do majątku o dużej wartości. W takich sytuacjach pytanie nie powinno brzmieć: „Jak najdokładniej sprawdzić człowieka?” Znacznie właściwsze jest: „Jakie ryzyko wiąże się z tym stanowiskiem i które informacje są rzeczywiście potrzebne, aby je rozsądnie ocenić?”
Nie każde stanowisko wymaga takiego samego poziomu weryfikacji
Jednym z najważniejszych elementów dobrze zaprojektowanego procesu jest proporcjonalność.
Inny poziom ryzyka wiąże się ze stanowiskiem, na którym pracownik korzysta wyłącznie z podstawowych narzędzi firmowych, a inny z funkcją zapewniającą dostęp do rachunków, danych klientów, poufnych informacji handlowych lub infrastruktury informatycznej.
Znaczenie ma nie tylko nazwa stanowiska, ale przede wszystkim rzeczywisty zakres uprawnień i potencjalny wpływ danej osoby na organizację.
Dlatego przed rozpoczęciem pogłębionej weryfikacji warto najpierw określić, czego firma chce się dowiedzieć i dlaczego ta informacja jest istotna.
Czy chodzi o potwierdzenie kwalifikacji?
Doświadczenia zawodowego?
Pełnionych wcześniej funkcji?
Informacji zawodowo-biznesowych związanych z wymaganiami danego stanowiska?
Dopiero po zdefiniowaniu celu można ocenić, jakie działania są potrzebne i prawnie dopuszczalne.
Background check nie oznacza prawa do sprawdzania wszystkiego
Internet stworzył złudzenie, że skoro określona informacja jest publicznie dostępna, można ją dowolnie wykorzystać.
W procesach kadrowych takie założenie jest szczególnie ryzykowne.
Publiczna dostępność informacji nie oznacza automatycznie, że może ona zostać wykorzystana do oceny kandydata lub pracownika.
Znaczenie mają między innymi cel przetwarzania danych, ich niezbędność, zakres, właściwa podstawa prawna oraz związek z konkretnym stanowiskiem.
Dlatego odpowiedzialna weryfikacja nie powinna polegać na gromadzeniu możliwie największej liczby informacji o człowieku.
Jej zadaniem jest odpowiedź na konkretne pytania dotyczące ryzyka zawodowego lub biznesowego.
Nie chodzi o życie prywatne, poglądy, relacje osobiste czy informacje niemające związku z wykonywaną funkcją.
Im bardziej wrażliwy obszar, tym większego znaczenia nabiera wcześniejsze określenie, czy dana informacja rzeczywiście jest potrzebna i czy może być zgodnie z prawem pozyskana oraz wykorzystana.
Najpierw trzeba zweryfikować informacje istotne dla stanowiska
W wielu procesach pierwszym obszarem będzie potwierdzenie tego, co kandydat sam przedstawił jako istotne dla zatrudnienia.
Może dotyczyć to doświadczenia zawodowego, kwalifikacji, pełnionych funkcji lub innych informacji związanych z wymaganiami konkretnej roli.
Kluczowa jest jednak różnica pomiędzy sprawdzeniem określonego faktu a próbą stworzenia pełnego profilu człowieka.
Jeżeli dla stanowiska znaczenie ma określone doświadczenie, zasadne może być zweryfikowanie tej informacji w zakresie dopuszczalnym przez przepisy.
Nie oznacza to automatycznie prawa do analizowania wszystkich wcześniejszych aktywności zawodowych, biznesowych i prywatnych kandydata.
Podobna ostrożność dotyczy danych o niekaralności. Nie powinny być one traktowane jako standardowy element każdego procesu rekrutacyjnego. Możliwość ich pozyskiwania zależy od właściwej podstawy prawnej i przepisów odnoszących się do konkretnego stanowiska lub rodzaju działalności.
Weryfikacja ma więc sens tylko wtedy, gdy firma potrafi wyjaśnić, dlaczego sprawdza właśnie tę informację.
Stanowiska zaufania nie zawsze znajdują się wysoko w strukturze
Ryzyko personalne często kojarzy się z zarządem i najwyższą kadrą kierowniczą.
To zbyt wąskie spojrzenie.
Osoba znajdująca się znacznie niżej w strukturze może posiadać dostęp do informacji lub procesów o większym znaczeniu niż część menedżerów.
Administrator systemów może posiadać uprawnienia techniczne pozwalające na dostęp do kluczowych zasobów organizacji.
Specjalista księgowości może przygotowywać lub obsługiwać płatności.
Handlowiec może mieć dostęp do pełnej bazy klientów, historii negocjacji i polityki cenowej.
Pracownik zakupów może pozostawać w bezpośrednich relacjach z dostawcami i wpływać na wybór kontrahentów.
Dlatego analiza ryzyka personalnego powinna rozpoczynać się nie od stanowiska w hierarchii, lecz od odpowiedzi na pytanie:
co ta osoba będzie mogła zrobić, zobaczyć, zatwierdzić albo wynieść z organizacji?
Kandydat i obecny pracownik to dwie różne sytuacje
Weryfikacja przed zatrudnieniem i ustalanie okoliczności związanych z już zatrudnioną osobą nie powinny być traktowane jako jeden proces.
Przed zatrudnieniem celem może być potwierdzenie określonych informacji istotnych dla konkretnego stanowiska.
W przypadku obecnego pracownika punktem wyjścia może być natomiast zdarzenie, którego firma nie potrafi wyjaśnić.
Może chodzić o podejrzenie konfliktu interesów, ujawnienia informacji, działalności konkurencyjnej, powtarzających się strat albo nietypowych relacji z kontrahentami.
To jednak nadal nie oznacza, że podejrzenie jest dowodem.
Przeciwnie — im poważniejszy zarzut, tym ważniejsze staje się oddzielenie informacji potwierdzonych od przypuszczeń.
Działania powinny koncentrować się na konkretnym problemie i być prowadzone w zakresie wynikającym z celu sprawy, umowy oraz obowiązujących przepisów.
OSINT może pomóc, ale łatwo prowadzi do błędnych wniosków
Otwarte źródła pozwalają dziś znaleźć ogromną liczbę informacji o aktywności zawodowej i biznesowej.
Publiczne rejestry, archiwa stron internetowych, publikacje branżowe, informacje dotyczące pełnionych funkcji czy publiczne profile zawodowe mogą być przydatne w określonych analizach.
W przypadku kandydata do pracy sama publiczna dostępność takiego źródła nie przesądza jednak o dopuszczalności wykorzystania zawartych w nim danych w procesie rekrutacyjnym.
Problem zaczyna się również wtedy, gdy sam wynik wyszukiwania zaczyna być traktowany jak ustalony fakt.
Informacja może być nieaktualna.
Może dotyczyć innej osoby o tym samym nazwisku.
Dawna relacja biznesowa może już nie istnieć.
Treść opublikowana przez osobę trzecią może być niezweryfikowana.
Dlatego analiza OSINT wymaga nie tylko znalezienia informacji, lecz również ustalenia jej źródła, czasu, kontekstu oraz — tam, gdzie jest to potrzebne — niezależnego potwierdzenia.
Co równie ważne, nie każda informacja znaleziona w otwartym źródle powinna zostać wykorzystana w procesie kadrowym.
Kiedy zewnętrzna weryfikacja może mieć sens?
Nie przy każdej rekrutacji.
Jeżeli stanowisko niesie niewielkie ryzyko, wymagania można łatwo potwierdzić standardowymi metodami, a przedsiębiorstwo nie ma szczególnych przesłanek do szerszej analizy, rozbudowany background check może być zwyczajnie niepotrzebny.
Inaczej wygląda sytuacja przy stanowiskach związanych z dużą odpowiedzialnością finansową, dostępem do informacji poufnych, szczególnie szerokimi uprawnieniami technicznymi, reprezentacją firmy, kluczowymi relacjami handlowymi albo innymi obszarami, w których potencjalne nadużycie może mieć poważne konsekwencje.
W takich sprawach detektyw dla firm może być jednym z elementów szerszego procesu zarządzania ryzykiem — obok HR, compliance, bezpieczeństwa, działu prawnego i właściwych mechanizmów kontroli wewnętrznej.
Chcesz częściej widzieć treści BNBN w Google?Dodaj nas do ulubionych źródełZlecenie weryfikacji podmiotowi zewnętrznemu nie oznacza przy tym automatycznego rozszerzenia zakresu informacji, które pracodawca może zgodnie z prawem pozyskać i wykorzystać.
Detektyw nie powinien zastępować tych funkcji ani podejmować za przedsiębiorstwo decyzji kadrowej.
Jego rolą może być ustalenie lub zweryfikowanie określonych faktów w granicach uzgodnionego i zgodnego z prawem zakresu.
Weryfikacja człowieka nie naprawi źle zaprojektowanego procesu
To szczególnie ważne.
Firma może bardzo dokładnie zweryfikować pracownika, a jednocześnie stworzyć system, w którym jedna osoba bez realnej kontroli może zlecić płatność, zmienić dane kontrahenta, pobrać całą bazę klientów albo zatwierdzić własną operację.
W takim przypadku problem nie leży wyłącznie w człowieku.
Leży również w procesie.
Dlatego background check nie powinien zastępować zasady minimalnych uprawnień, rozdzielenia obowiązków, kontroli płatności, właściwego zarządzania dostępami, ochrony informacji oraz procedur reagowania na nieprawidłowości.
Bezpieczeństwo personalne jest skuteczne dopiero wtedy, gdy łączy właściwy dobór człowieka z właściwie zaprojektowanym środowiskiem pracy.
Dobra weryfikacja powinna ograniczać ryzyko, a nie tworzyć nowe
Źle zaprojektowany background check może sam stać się źródłem problemów.
Nadmierne gromadzenie danych, korzystanie z informacji niezwiązanych ze stanowiskiem, brak określonego celu albo wyciąganie wniosków na podstawie niezweryfikowanych treści mogą prowadzić zarówno do błędnych decyzji, jak i ryzyka prawnego lub reputacyjnego.
Dlatego pogłębiona weryfikacja pracowników i kandydatów powinna zaczynać się od określenia ryzyka, a nie od wyboru narzędzi.
Najpierw trzeba ustalić:
co firma chce zweryfikować, dlaczego ta informacja jest istotna i czy jej pozyskanie jest w danej sytuacji dopuszczalne.
Dopiero później można dobierać źródła i metody.
Nie chodzi o to, aby wiedzieć o pracowniku jak najwięcej
Celem odpowiedzialnego procesu nie jest stworzenie kompletnego obrazu życia kandydata.
Firma potrzebuje wiedzy związanej z konkretną decyzją biznesową i konkretnym zakresem odpowiedzialności.
W jednej rekrutacji standardowe dokumenty i rozmowa będą całkowicie wystarczające.
W innej uzasadnione może być pogłębione potwierdzenie wybranych informacji.
Jeszcze inna sytuacja może dotyczyć osoby już zatrudnionej i konkretnego incydentu wymagającego niezależnego ustalenia faktów.
ProDetektyw działa od 2018 roku. Usługi detektywistyczne realizuje w ramach działalności wpisanej do rejestru działalności regulowanej pod numerem RD-58/2020. W sprawach biznesowych wspiera przedsiębiorców i zarządy w legalnej weryfikacji informacji oraz ustalaniu faktów istotnych dla ochrony interesów organizacji.
W zależności od charakteru sprawy współpracujemy ze sprawdzonymi specjalistami terenowymi, analitykami OSINT oraz ekspertami z obszaru bezpieczeństwa, wywiadu gospodarczego, cyberbezpieczeństwa i informatyki śledczej.
Dobra weryfikacja nie polega na sprawdzaniu wszystkiego.
Polega na sprawdzeniu tego, co rzeczywiście ma znaczenie dla konkretnego ryzyka — i tylko w takim zakresie, jaki można uzasadnić.