Det meste af det, der afgør, om I kan dokumentere noget, når en medarbejder stopper, bliver besluttet den dag, medarbejderen starter. Har medarbejderen fået IT-politikken, kvitteret for udstyret, fået en virksomhedskonto til alt arbejde og hørt, hvad der logges? Så står I stærkt. Har I ikke, er det svært at rette op bagefter.
Tjeklisten her er til HR og IT, og den kan bruges ved hver ny ansættelse. Den tager typisk kort tid at gennemføre, hvis den er en fast del af rutinen.
Hvorfor starten betyder så meget
Når en sag opstår, typisk ved en fratrædelse, stiller advokaten de samme spørgsmål hver gang:
- Hvad stod der i kontrakten om fortrolighed, data og udstyr?
- Kendte medarbejderen IT-politikken, og kan I vise det?
- Var det klart, hvilke konti der var virksomhedens?
- Hvilket udstyr fik medarbejderen, og hvornår?
Svarene skal findes i dokumenter fra starten af ansættelsen. Er de der ikke, bliver det medarbejderens ord mod jeres. → Offboarding uden at miste beviser
Tjekliste: før første dag
- ☐ Ansættelseskontrakten er underskrevet og indeholder klausuler om fortrolighed, data og udstyr. → Ansættelseskontrakten: klausuler om data, udstyr og kontrol
- ☐ Der er oprettet en virksomhedskonto med firmamail til alle arbejdsopgaver.
- ☐ Rettigheder er givet ud fra rollen, ikke kopieret fra en kollega med flere rettigheder.
- ☐ Udstyret er registreret med serienummer på medarbejderens navn.
- ☐ Firmatelefonen er tilmeldt jeres MDM-løsning og knyttet til en virksomhedskonto, ikke til en privat.
Det sidste punkt er vigtigere, end det ser ud. En telefon, der er låst til medarbejderens private Apple-ID eller Google-konto, kan være svær at få tilbage i brugbar stand. → MDM og firmatelefoner
Tjekliste: første dag
- ☐ Medarbejderen kvitterer skriftligt for udstyret, med serienumre.
- ☐ Medarbejderen får IT-politikken og AI-politikken og kvitterer for at have modtaget dem.
- ☐ Medarbejderen får en kort mundtlig gennemgang af, hvad der logges, og hvornår det kan gennemgås.
- ☐ Medarbejderen får at vide, hvilke værktøjer der må bruges, og at private konti ikke må bruges til virksomhedens data.
- ☐ Tofaktor er sat op på virksomhedens konti.
- ☐ Medarbejderen ved, hvem der skal kontaktes, hvis noget går galt, fx ved et klik på en mistænkelig mail.
Kvitteringerne er det vigtigste. En politik, der er sendt i en velkomstmail, kan let blive overset. En kvittering med dato kan vises frem. Har I ikke en AI-politik endnu, er onboarding en god anledning til at få den skrevet, for nye medarbejdere vil ofte spørge, hvilke værktøjer de må bruge. → AI-politik, der kan bruges i en sag → IT-politik og orientering af medarbejdere
Tjekliste: de første uger
- ☐ Tjek, at medarbejderen ikke har oprettet konti til arbejdet på en privat mail, fx i cloudlagre eller værktøjer.
- ☐ Tjek, at firmatelefonen er sat op korrekt, og at arbejdsdata ikke synkroniseres til private konti.
- ☐ Gennemgå med medarbejderen, hvor filer skal gemmes, så de ikke kun ligger lokalt.
- ☐ Gem kopi af alle kvitteringer i personalesagen.
Hvem gør hvad
- HR · Kontrakt, politikker, kvitteringer, personalesag
- IT · Konti, rettigheder, udstyr, MDM, tofaktor
- Nærmeste leder · Introduktion til værktøjer og arbejdsgange
Det skal I lade være med
- Lad være med at kopiere rettigheder fra en kollega. Den nye får så adgang til alt, kollegaen har samlet op gennem årene, og det gør det sværere at vise, hvad den nye havde brug for.
- Lad være med at udlevere udstyr uden kvittering. Selv i en lille virksomhed, hvor alle kender hinanden.
- Lad være med at lade medarbejderen bruge sin private mail som login til værktøjer, virksomheden betaler for.
- Lad være med at sende politikker uden at bede om kvittering. Det er kvitteringen, der kan bruges.
- Lad være med at love privatliv, I ikke kan holde. Siger I mundtligt, at “vi kigger aldrig i jeres mail”, kan det binde jer senere.
Orientering om kontrol
Medarbejderne skal som udgangspunkt være orienteret om de kontrolforanstaltninger, der gælder, fx logning af login, filadgang og brug af AI-værktøjer. Der kan være krav i en overenskomst eller en kontrolaftale om, hvordan og hvornår der skal orienteres. Onboarding er det naturlige tidspunkt at gøre det for nye medarbejdere.
Skriv orienteringen ind i politikken, og lad medarbejderen kvittere for den. Det er den samme kvittering, der senere viser, at medarbejderen var orienteret, hvis en gennemgang bliver nødvendig.
Vikarer, konsulenter og freelancere
Det er ikke kun fastansatte, der får adgang til jeres systemer. Vikarer, konsulenter, praktikanter og freelancere arbejder ofte med de samme data, men går uden om den normale onboarding. Det er netop dem, der senere kan være svære at følge, fordi de har brugt deres eget udstyr eller deres egen mail.
Brug derfor en kort udgave af tjeklisten også for dem:
- en skriftlig aftale med fortrolighed og regler om data,
- en virksomhedskonto i stedet for adgang via deres egen mail,
- en udløbsdato på kontoen, der passer til opgaven,
- kvittering for udleveret udstyr og for politikkerne.
Udløbsdatoen er det punkt, der oftest glemmes. En konsulentkonto, der stadig er aktiv et år efter opgavens afslutning, er både en sikkerhedsrisiko og et uklart spor, hvis noget sker.
Gem dokumentationen, så den kan findes
Kvitteringer, der ligger spredt i mails og skuffer, er svære at finde, når der er travlt. Læg dem samme sted for hver medarbejder, typisk i personalesagen, og notér versionen af de politikker, der blev udleveret. I en sag er det den version, der gjaldt på tidspunktet, der tæller, ikke den nyeste.
Særligt for nøglemedarbejdere
Nogle ansættelser kræver lidt mere. Det gælder sælgere med kundeansvar, udviklere med adgang til kode, økonomifolk med adgang til betalinger og IT-ansvarlige med administratoradgang. Overvej for dem:
- klausuler om fortrolighed og evt. kunde- eller konkurrenceklausul, vurderet af en advokat,
- adskilte konti til almindeligt arbejde og administratorarbejde,
- en ekstra gennemgang af, hvilke konti og data de har adgang til, efter de første måneder.
Hvis I ikke har gjort det for de nuværende
De fleste virksomheder har medarbejdere, der er startet, før rutinen var på plads. Det kan rettes. Send politikkerne ud igen, og bed alle kvittere. Registrér udstyret og få kvittering. Flyt konti, der står i private navne, til virksomheden. Det er lettere at gøre nu, mens samarbejdet er godt, end når nogen er på vej ud. Tag det i små bidder, fx én afdeling ad gangen, så det ikke bliver et stort projekt, der aldrig bliver færdigt.
Hvornår skal I have hjælp?
Få en advokat til at se på kontraktens klausuler og jeres orientering om kontrol, især hvis I har en overenskomst. Er I i tvivl om, hvordan konti, telefoner og logning skal sættes op, så de kan bruges som dokumentation senere, kan en uvildig IT-sagkyndig gennemgå jeres rutine.
Læs også: Backup: hvor langt tilbage kan vi gå? · Ansættelseskontrakten: klausuler om data, udstyr og kontrol · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
