Wat is payroll-compliance en hoe zorg ik ervoor dat mijn bedrijf compliant is?

In deze Q&A bespreken onze HR- en payroll-compliance-experts Ewa Tworzydlo en David Smiton enkele van de belangrijkste problemen die klanten ervaren met compliance. Ze bekijken wat er kan worden gedaan om deze problemen op te lossen.

Q: Wat betekent compliance in relatie tot HR en salarisadministratie?

David Smiton (DS):Naleving betekent allereerst dat HR-services en salarisadministratie nauwkeurig en op tijd worden geleverd.

Ervoor zorgen dat gegevens up-to-date zijn, is een belangrijk onderdeel van compliant zijn vanwege de privacywetgeving.

Dit kan echter een grote uitdaging zijn voor HR-afdelingen bij bedrijven waar dagelijks nieuwe mensen komen en vertrekken. Dit bovenop de frequente noodzaak om HR-gegevens te wijzigen vanwege veranderingen in het persoonlijke leven.

Om nog maar te zwijgen van het feit dat verschillende landen in een multinationaal bedrijf verschillende gegevensbeschermingswetten hebben, dus compliant zijn kan moeilijk zijn voor bedrijven zonder de juiste soort ondersteuning.

Q. Hoe helpen Service Organization Control (SOC) -rapporten bij de naleving?

DS: We ondersteunen onze klanten om ervoor te zorgen dat hun gegevens veilig, nauwkeurig en beschikbaar blijven voor degenen die toegang hebben tot de gegevens. Voor hun eigen auditdoeleinden eisen veel bedrijven SOC-rapporten (Service Organization Controls), als bewijs van onafhankelijke testen van de controleomgeving. Dit geeft onze klanten extra zekerheid.

ET: De Sarbanes-Oxley Act, die in 2002 in de VS werd ingevoerd, verplichtte bedrijven om te bewijzen dat onafhankelijke auditors het systeem van interne controles controleerden.

Er zijn drie SOC-rapportage-opties, die het American Institute of Certified Public Accountants (AICPA) heeft ontworpen; SOC 1 kijkt naar interne beheersingsmaatregelen die relevant zijn voor financiële rapportering (in ons geval met betrekking tot loonadministratie en bijbehorende IT-beheersmaatregelen). SOC 2 kijkt naar de veiligheid en beschikbaarheid van systemen en SOC 3 is een verkorte versie van het SOC 2-rapport.

Steeds meer bedrijven eisen SOC 2-rapporten omdat ze meer diepgaande informatie nodig hebben over beveiligings- en bestuurscontroles, zodat ze vertrouwen kunnen hebben in de integriteit en beveiliging van hun salarisadministratie.

We bieden SOC 1- en SOC 2 type 2-auditrapporten voor een periode van 9 maanden en zullen in de nabije toekomst proberen de dekking uit te breiden tot 12 maanden.

Q. Hoe verkleinen bedrijven het risico dat ze niet compliant zijn?

ET: Veel bedrijven zijn zich zeer goed bewust van de compliancerisico’s. Dit is voornamelijk sinds de introductie van GDPR-regelgeving in Europa. Dit dwingt organisaties om ervoor te zorgen dat hun gegevens veilig en compliant zijn.

Steeds meer landen beginnen hun eigen versies van de AVG te implementeren of hebben deze al geïmplementeerd. Bijvoorbeeld; Brazilië, Thailand, Chili en natuurlijk de California Consumer Privacy Act (CCPA) in de VS. Elk heeft de leiding van de EU gevolgd met hun eigen wetgeving inzake gegevensprivacy, vergelijkbaar met de AVG.

Bedrijven moeten ervoor zorgen dat ze zich houden aan deze regionale en ook lokale voorschriften. Als je in een aantal landen actief bent, kan het moeilijk zijn om dit intern te doen. We raden bedrijven aan dit proces uit te besteden om ervoor te zorgen dat ze hun risico op non-compliance verminderen.

DS: EU-regelgeving heeft geholpen om de privacy van gegevens te standaardiseren, maar er zijn nog steeds verschillen in landen. Dus hoewel je zou denken dat wetgeving als AVG (GDPR) bedrijven helpt om compliant te blijven, zijn er nog steeds unieke landvariaties waaraan moet worden voldaan.

Een goed voorbeeld is de voortdurende saga die ‘Brexit’ heet. Nu het VK de EU heeft verlaten en zich in de overgangsperiode tot eind 2020 bevindt, blijft de AVG van toepassing in het VK.

Wat er aan het einde van de overgangsperiode gebeurt, hangt af van de onderhandelingen. De Britse regering heeft verklaard dat het de bedoeling is dat het VK de AVG in de wet introduceert als de ‘UK AVG’. Maar er kunnen zich verdere ontwikkelingen voordoen naarmate we verder komen met de huidige onderhandelingen.

Q. Tot slot, hoe ondersteunen we onze klanten naast payroll-compliance met IT-risico’s die door hun IT-afdelingen worden opgeworpen?

ET: Het implementeren van een nieuw systeem brengt altijd een risico met zich mee. Contracten die we met klanten hebben, bevatten meestal een gedetailleerde beschrijving van de vereiste beveiligingsmaatregelen. Naar verwachting zullen ze in elk nieuw systeem worden geïntroduceerd.

Voor de meeste van onze klanten zijn we verplicht om SOC 1-rapporten te leveren. Ze bevatten het oordeel van de auditor en de resultaten van de doeltreffendheid van de beheersmaatregelen die ook voor een breed scala aan algemene IT-beheersmaatregelen worden verstrekt.

Een voorbeeld van een controlegebied is salarisverwerking of gegevensinvoer. Maar we hebben ook vier verschillende controledoelstellingen met betrekking tot IT. Dit zijn; toegangsbeheer, wijzigingsbeheer, monitoring van interfaces, gegevensback-up en replicatie (inclusief fysieke beveiliging). Ze zijn allemaal op hoog niveau opgenomen in de klantcontracten. Op verzoek kunnen we dieper ingaan op de IT-afdeling van de klant.

Ten slotte beoordeelt ons beveiligingsteam elk nieuw contract. Ze controleren of er behoefte is aan aanvullende beveiligingsmaatregelen of dat we al voldoen aan de beveiligingsvereisten van de klant met de bestaande beveiligingsmaatregelen.