Kertész Róbert (K. R.): Sokan a compliance-et még mindig elsősorban jogi kérdésként kezelik, miközben a HR digitalizációval egyre több működési területet érint. Mit értünk valójában compliance alatt, hová „tartozik” ez a szervezetben, és miért lett jóval több puszta jogszabály-megfelelésnél?

Nagy Ágnes Beáta (N. Á. B.): A compliance alapvetően nem jogi dokumentumok gyűjteménye, hanem annak a módja, ahogyan egy szervezet működik és kezeli a kockázatait. Azt jelenti, hogy a működés ellenőrizhető, visszakövethető és védhető – nemcsak elméletben, hanem a mindennapokban is. Ebben az értelemben a compliance a szervezet egyik legfontosabb megelőző kockázatkezelési eszköze: segít elkerülni a jogi, működési és reputációs problémákat, mielőtt azok valódi kárrá válnának.

A HR ebből a szempontból különösen érzékeny terület, mert itt keletkezik az egyik legkritikusabb adatkör: személyes adatok, munkaidő- és jelenléti információk, teljesítménnyel kapcsolatos adatok, valamint fegyelmi és munkajogi dokumentumok. Amikor ezek a folyamatok digitalizálódnak, már nem az a kérdés, hogy „megvan-e a szabályzat”, hanem az, hogy a napi működés ténylegesen megfelel-e annak, amit a szervezet állít magáról, és ezt szükség esetén bizonyítani is tudja-e.

K. R.: Tehát a HR digitalizáció nemcsak megoldás, hanem – ha nem jól nyúlunk hozzá – kockázat is lehet?

N. Á. B.: Igen, pontosan erről van szó. A digitalizáció önmagában nem javítja ki a működési hibákat, hanem láthatóvá teszi azokat. Egy papíralapú működésben sok minden „elsikkad” vagy nem hagy nyomot, digitális környezetben viszont minden esemény rögzül.

Ha nincs egyértelmű jogosultsági rendszer, nem tiszták a felelősségi körök, vagy a folyamatok nincsenek végiggondolva, akkor a rendszer nem eltakarja ezeket a hiányosságokat, hanem dokumentálja őket. Compliance szempontból ez kettős hatású: egyrészt nagy előny, mert átláthatóvá és visszakövethetővé válik a működés, másrészt viszont komoly kockázat, ha a szervezet nincs felkészülve arra, amit a rendszer „megmutat”. Ezért kulcsfontosságú, hogy a compliance már a tervezési szakaszban preventív szerepet kapjon, ne csak akkor, amikor probléma merül fel.

K. R.: A legtöbb szervezetnél a compliance szinte egyet jelent a GDPR-szabályozással. Jogos ez a megközelítés, vagy ennél jóval többről van szó a HR digitalizációban?

N. Á. B.: Részben érthető, de szakmailag mindenképpen szűk megközelítés. A GDPR valóban kulcselem, hiszen a HR rengeteg személyes adatot kezel, és ezek védelme alapkövetelmény. Ugyanakkor a compliance ennél sokkal tágabb fogalom, különösen digitális környezetben. Ide tartozik például, hogy a munkaidő- és jelenléti adatok mennyire hitelesek, a dokumentumkezelés átlátható és következetes-e, a döntések és módosítások mennyire visszakövethetők, illetve hogy egy rendszer mennyire auditálható. Ugyanilyen fontos kérdés a hozzáférések kontrollja is: ki mit láthat, ki mit módosíthat, és ezek a lépések utólag ellenőrizhetőek-e. A GDPR inkább egy keretrendszer, amely meghatározza az alapelveket. A valódi compliance viszont a mindennapi működésben dől el – sok esetben nem is jogi, hanem etikai és reputációs kérdésekben. A napi HR-működésben a valódi megfelelés sok apró döntésen is múlik: azon, például hogyan használjuk a rendszereket, és mennyire tudatosak ezek a döntések. 

K. R.: A HR digitalizáció során sok területen egyszerre történik változás: folyamatok, rendszerek, szerepek és felelősségek is átalakulnak. Hol látod ilyenkor a leggyakoribb compliance-buktatókat, és mi az, ami leginkább elcsúszik a gyakorlatban?

N. Á. B.: Tapasztalatom szerint három tipikus területen csúsznak el leggyakrabban a szervezetek. Az első a „digitalizáljuk a meglévőt” szemlélet. Ha egy eleve rosszul vagy következetlenül működő folyamatot egyszerűen átültetünk egy rendszerbe, attól az nem válik compliantté – legfeljebb gyorsabban és látványosabban jelennek meg a hibák. A második buktató a felelősségek tisztázatlansága. Sok esetben nem egyértelmű, hogy egy adott adatért vagy döntésért ki felel: a HR, az IT vagy a vezetés. Ilyenkor a rendszer ugyan működik, de a megfelelés szempontjából „gazdátlan” marad. A harmadik tipikus probléma az, amikor a rendszer technikailag képes lenne megfelelni az elvárásoknak, de a szervezet nem használja tudatosan. A compliance ugyanis nem a szoftver tulajdonsága, hanem a használat minősége, és ezen múlik, hogy valódi védelmet ad-e vagy sem. Egy rendszer technikailag tudhat mindent, de ha nem tudatosan használják, nem nyújt valódi védelmet.

K. R.: A munkaidő és a jelenlét kezelése sok szervezetnél még ma is érzékeny téma, különösen digitális környezetben. Miért kritikus ez compliance szempontból, és hol látod a legnagyobb kockázatokat?

N. Á. B.: Azért, mert a munkaidő- és jelenléti adatok közvetlenül érintenek munkajogi és bérkérdéseket. Ha ezek az adatok nem a valóságot tükrözik, az nemcsak belső vitákat és bizalomvesztést okozhat, hanem komoly jogi és reputációs kockázatot is jelenthet a szervezet számára. Digitális környezetben viszont pontosan látható, hogy mikor történt egy rögzítés, ki módosított adatot, és mi volt az eredeti állapot. Ez az úgynevezett audit trail, vagyis a visszakövethetőség. Ez az, ami egy ellenőrzésnél vagy vitás helyzetben valódi védelmet ad: nem vélemények vagy emlékezet alapján kell dönteni, hanem konkrét, dokumentált adatokra lehet támaszkodni.

K. R.: Sok HR digitalizációs projektben előbb-utóbb felmerül a kérdés: ki a compliance „gazdája” ebben a folyamatban? Egyáltalán lehet-e ezt egyetlen területhez kötni, vagy szükségszerűen több szereplő együttműködéséről van szó?

N. Á. B.: Ez valóban az egyik legfontosabb kérdés, és gyakran azért nehéz rá jó választ adni, mert a compliance nem egyetlen terület kizárólagos felelőssége. A HR ismeri a folyamatokat és a működési logikát, az IT érti a rendszert és a technikai lehetőségeket, a vezetésnél pedig a döntési jogkör és a felelősség van. 

Ha ezek a szerepek nem kapcsolódnak össze, akkor senki nem látja az egész képet, és a megfelelés könnyen „szétcsúszik” a szervezetben. Ilyenkor mindenki a saját részét végzi, de nincs, aki összefogja a szempontokat.

Ugyanakkor nagyon fontos, hogy a compliance szakmailag független maradjon az üzleti érdekektől. Lehet és kell együttműködni, de a megfelelési szempontokat önállóan, nyomás nélkül kell képviselni. A lényeg nem az, hogy belső vagy külső szereplő tölti be ezt a szerepet, hanem az, hogy világos döntési striktúra legyen, és a compliance ne utólagos kontroll, hanem tudatosan beépített működési elem legyen.

Az, hogy a  szereplő belső vagy külső legyen, nagyban függ a szervezet méretétől, érettségétől és a digitalizáció komplexitásától. Kisebb szervezeteknél gyakran működik jól egy belső felelős, aki külső szakértői támogatással dolgozik. Nagyobb, összetettebb működésű szervezeteknél pedig tipikus a vegyes modell: belső „gazda” mellett külső compliance- vagy adatvédelmi szakértő segíti a munkát.

K. R.: Egyre többet hallunk új szabályozásokról, például a NIS2-ről. Mit kell ebből értenie egy HR-vezetőnek, és miért lett ez hirtelen releváns a HR digitalizáció szempontjából?

N. Á. B.: A NIS2 a Network and Information Security Directive rövidítése, ami egy uniós irányelv, amely az információbiztonságot és az üzletmenet-folytonosságot erősíti. A szabályozás 2023-ban lépett hatályba, és a tagállamoknak 2024–2025 során kellett beépíteniük a nemzeti jogrendbe.

HR-es szemmel azonban nem az a legfontosabb kérdés, hogy minden pontja ránk vonatkozik-e, hanem az, hogy a HR által használt digitális rendszerek mennyire biztonságosak és védettek és kontrolláltak. Ide tartozik az adatok kezelése, a hozzáférések szabályozása, és az is, hogy egy rendszer mennyire ellenálló egy váratlan eseménnyel vagy incidenssel szemben. Amikor a HR digitális rendszerekben dolgozik, ezek a kérdések már nem kizárólag IT-témák. Az adatbiztonság és a működés folytonossága szervezeti kockázatkezelési kérdéssé válik, amely a HR-t is közvetlenül érinti – akkor is, ha a technikai megoldásokat nem a HR üzemelteti.

Ez nem egyszeri megfelelési feladat, hanem folyamatos kockázatmonitoringot és vezetői visszacsatolást igénylő feladat. Itt a compliance szerepe kulcsfontosságú: összeköti a technikai megoldásokat a szervezeti kockázatkezeléssel.

K. R.: Gyakran hallani a szervezetekben, hogy a compliance „lassítja” a működést, és inkább akadály, mint segítség. Valóban így van, vagy ez inkább szemlélet kérdése?

N. Á. B.: Ez elsősorban szemlélet kérdése. A jól felépített compliance nem fék, hanem stabilitást ad a működésnek. Nem lassítja a szervezetet, hanem kiszámíthatóbbá teszi.

Ha a folyamatok tiszták, a jogosultságok egyértelműek és az adatok rendezettek, akkor kevesebb az ad hoc döntés, kevesebb a vita, és kevesebb a kockázat is. Ilyenkor nem minden helyzetben újra kell kitalálni, mit hogyan lehet, hanem van mire támaszkodni. Hosszú távon ez gyorsabb és nyugodtabb működést eredményez, még akkor is, ha rövid távon több tudatosságot és gondolkodást igényel a szervezettől.

(Borítókép: Pexels/Christina Morillo)