Så väljer du en säker partner för HR och lön

En bra utgångspunkt är att titta på vilka certifieringar och kvalitetsstandarder leverantören arbetar enligt. De ger en tydligare bild av hur systematiskt leverantören arbetar med säkerhet, dataskydd och efterlevnad.

Internationella certifieringar som ISO 27001 för informationssäkerhet och ISO 27701 för integritet och dataskydd visar att leverantören har etablerade processer och arbetssätt inom dessa områden. ISAE-standarder ger i sin tur insyn i leverantörens processer och kontroller.

En viktig del är att certifieringar och standarder granskas av en oberoende extern part. Du behöver alltså inte enbart förlita dig på leverantörens egen beskrivning av hur säkerheten hanteras.

ISO 27001 kan även vara ett stöd i arbetet med NIS2, eftersom många av kraven i direktivet har beröringspunkter med kraven i ISO 27001. NIS2 är EU:s direktiv för informationssäkerhet och syftar till att stärka cybersäkerheten inom EU.

Att en leverantör är certifierad är viktigt, men certifikatet i sig berättar inte hela historien.

Det är minst lika viktigt att titta på certifieringens omfattning. Den visar vilka delar av verksamheten, processerna och tjänsterna som faktiskt har ingått i certifieringen och den externa granskningen.

En organisation kan själv definiera omfattningen och välja att certifiera en begränsad del av verksamheten, vissa specifika funktioner eller en större del av hela tjänsteleveransen. Därför är det viktigt att kontrollera att certifieringen verkligen täcker de tjänster och processer som är relevanta för dig som kund.

En annan viktig del är leverantörens Statement of Applicability, eller tillämplighetsförklaring. Där framgår vilka säkerhetskontroller leverantören har valt att tillämpa och varför.

Kontrollerna är i praktiken de säkerhetsåtgärder, rutiner och processer som används för att skydda information och säkerställa att tjänsterna fungerar på ett säkert sätt.

På SD Worx har vi under många år investerat i våra processer och arbetssätt inom informationssäkerhet, dataskydd och miljö. För att arbeta på ett smartare sätt med både HR, lön och säkerhet.

Våra ISO-certifieringar omfattar hela kedjan för våra HR- och lönelösningar, från utveckling och testning till tjänsteplattform, kundsupport och våra outsourcingtjänster inom lön. Vi har dessutom valt att tillämpa samtliga relevanta kontroller för att kunna erbjuda våra kunder en hög nivå av informationssäkerhet och dataskydd.

Läs mer om SD Worx ISO-certifieringar

Vad innebär SD Worx ISO-certifieringar för våra kunder?

• ISO 27001:2022 visar att vi arbetar utifrån omfattande, dokumenterade och implementerade rutiner och processer för informationssäkerhet.
• ISO 27701:2019 visar att vi har omfattande, dokumenterade och implementerade processer för integritet och dataskydd.
• ISO 14001:2015 visar att vi även arbetar systematiskt med miljöfrågor och miljöledning i vår verksamhet.

Vad innebär SD Worx ISAE-standarder för våra kunder?

• ISAE 3402 ger en oberoende granskning av kontroller kopplade till våra lönetjänster och löneapplikationer samt de IT-system som används i tjänsteleveransen. Läs mer om SD Worx ISAE 3402-rapport.
• ISAE 3000 ger en oberoende granskning av hur våra SaaS- och lönetjänster arbetar med dataskydd och relevanta regelverk.

Informationssäkerhet handlar inte bara om tekniken bakom en tjänst. Det handlar lika mycket om processer, kontroller, kontinuitet, transparens och hur säkerhetsarbetet följs upp över tid.

När du utvärderar en HR-, löne- eller SaaS-leverantör är det därför klokt att titta bakom själva certifikaten: 

• Vad omfattar certifieringen? 
• Vilka kontroller används?
• Hur granskas leverantören? 
• Vilken dokumentation får du som kund tillgång till?

Det ger en betydligt bättre bild av hur väl leverantören faktiskt kan skydda verksamhetens och medarbetarnas information.