Hvad betyder due diligence i en ansættelseskontekst?
Due diligence — latin for “nødvendig omhu” — er inden for ansættelse den praksis at gennemføre en systematisk og dokumenteret undersøgelse af en kandidat inden ansættelse. Det er ikke blot et spørgsmål om at tjekke referencer eller stille gode spørgsmål i samtalen — det handler om at have et skriftligt, arkiveret beslutningsgrundlag der kan fremvises hvis ansættelsen efterfølgende viser sig problematisk.
Begrebet kommer fra jura og finans, hvor due diligence beskriver den obligatoriske grundighed man må udvise når man træffer væsentlige beslutninger. Det samme princip overføres i dag til HR og ansættelse — særligt for stillinger med adgang til kritiske ressourcer.
En god mageførnemmelse er ikke due diligence. Dokumenteret due diligence er en skriftlig, arkiveret og metodisk undersøgelse der kan fremvises over for Datatilsynet, revisorer, bestyrelse og tilsynsmyndigheder. Det er denne dokumentation NIS2 og CER-direktivet stiller krav om.
Hvad indgår i due diligence ved ansættelse?
Hvornår er due diligence påkrævet?
Formelt set er due diligence ved ansættelse påkrævet når NIS2-direktivet gælder for din virksomhed — det vil sige for mellemstore og store virksomheder i kritiske sektorer. Men der er også en række stillinger hvor det er god praksis uanset lovkrav:
- IT-administratorer og CISO'er med privilegeret systemadgang
- CFO'er og finansielle nøglemedarbejdere med adgang til betalingssystemer
- Direktions- og bestyrelsesmedlemmer der repræsenterer organisationen udadtil
- Konsulenter med systemadgang der ikke er fuldtidsansatte men har adgang til kritiske data
- Medarbejdere med adgang til særlig persondatafølsomme systemer inden for sundhed, finans eller offentlig forvaltning
Hvad er risikoen ved manglende due diligence?
En enkelt problematisk ansættelse kan koste en organisation langt mere end en systematisk screeningproces. Konkrete risici ved manglende due diligence inkluderer: svøndel og underslæb, datalæk med GDPR-sanktioner til følge, reputationsskade, interessekonflikter der påvirker forretningsbeslutninger — og ikke mindst: manglende dokumentation over for tilsynsmyndigheder der kan føre til bøder under NIS2.
Under NIS2 er det ikke blot organisationen der er ansvarlig — ledelsen er personligt ansvarlig for at dokumentere sikkerhedsøvelse. Det inkluderer due diligence på nøglemedarbejdere. En OSINT-rapport er den konkrete dokumentation der beskytter både organisationen og lederen.