Хто насправді прочитав політику?

Всім привіт. Я кілька років був продакт-оунером внутрішньої HR-системи в IT-сервісній компанії і сидів поруч із HR-командою, поки вони нею користувались. Один запит повертався щокварталу, і його ніколи не формулювали як запит на фічу. Це було питання: «Можеш сказати, хто насправді прочитав нову політику?»

Вони просили не підписи. Вони просили доказ.

Слово «підпис» відправляє шукати не те

Скажіть уголос на плануванні «нам треба, щоб люди підписали хендбук», і за десять хвилин у когось уже відкрита вкладка вендора, ціна за конверт і розмова про закупівлю. Це зрозумілий рефлекс, і зазвичай це не той інструмент.

Право ЄС точніше за слово «підпис». eIDAS визнає три рівні: простий електронний підпис, удосконалений і кваліфікований. Це не градації якості, це різні інструменти під різні ризики. Кваліфікований підпис означає особу, перевірену проти документа, з сертифікатом від надавача довірчих послуг. Саме він потрібен там, де суд має прийняти документ без додаткових доказів.

Працівник, який підтверджує, що прочитав політику віддаленої роботи, це не той випадок.

Що вам насправді потрібно і що воно доводить

Для хендбука, політики, кодексу поведінки, угоди про обладнання чи безпекового брифінгу має значення запис із чотирьох частин:

• хто підтвердив,
• який саме документ і якої версії,
• коли, з точністю до хвилини,
• і що людина могла його відкрити в той момент.

Це і є простий електронний підпис, а стаття 25 eIDAS прямо каже, що електронному підпису не можна відмовити в юридичній силі лише через те, що він електронний. Він доводить, що цей обліковий запис, у цей час, з цієї адреси підтвердив ознайомлення з цим файлом. Він не доводить, що за обліковим записом саме та людина, яку він називає. Саме заради цієї прогалини існують удосконалений і кваліфікований рівні.

Якщо вам продають потік підтверджень, натякаючи, що це кваліфікований підпис, вам продають дешевший інструмент за дорожчою ціною. Питайте, який саме з трьох. Пряма відповідь багато каже про решту продукту.

Пʼять речей, які роблять запис вартим чогось

1. Питайте за документом, а не за людиною. «Усі пройшли онбординг» це не запис. «Сорок семеро з шістдесяти ознайомились із Політикою інформаційної безпеки v3» це запис. Одиниця тут документ, бо саме документ змінюється.
2. Версіонуйте заміною, ніколи редагуванням. Політика, яку відредагували після того, як люди її підтвердили, має підтвердження, що вказують на текст, якого ніхто не читав. Нова версія це новий документ і новий запит. Саме це найчастіше роблять неправильно у власних реалізаціях, і саме це найважливіше.
3. Записуйте те, що людина набрала, а не те, що у вас у базі. Якщо запис просто повторює імʼя з вашої бази, це ваше твердження, а не її.
4. Зробіть відмову повноцінною відповіддю. Форма, з якої єдиний вихід це «Підписати», виробляє згоду. «Це не та версія» і «мені потрібно більше часу» краще почути до аудиту, а не під час нього.
5. Нагадуйте автоматично, а потім зупиніться. Термін і два нагадування закривають більшу частину. Лишається короткий список імен, а короткий список імен це вже розмова, яку реально провести.

Коли простого підтвердження недостатньо

Не розтягуйте його. Трудовий договір, усе, що стосується імміграційних документів, і все, що регулятор називає прямо, потребують кваліфікованого підпису або паперу, залежно від країни. Перевірка не в тому, наскільки важливим здається документ. Вона в тому, чи вам буде спокійно, якщо в спорі у вас буде лише рядок у журналі. Якщо ні, купіть важчий інструмент для цього одного документа і припиніть платити за нього на решті сорока.

Я не юрист і це не юридична консультація. Поділ вище це те, що першим малює кожен юрист, у якого я питав, але останнє слово за вашою юрисдикцією і вашою радою працівників.

Що ми зробили

Helia HR зберігає документи працівників із датою закінчення і дозволяє попросити людину з ними ознайомитись. Запис зберігає імʼя так, як його набрали, час, IP-адресу і браузер, а сторінка прямо каже, що це простий електронний підпис, а не кваліфікований. Продукт, який дозволяє HR-менеджеру думати інакше, робить йому реальну шкоду. HR бачить «47 з 60» і ті тринадцять імен, нагадування йдуть до настання терміну, і все це входить у базовий план, а не є окремим рядком у рахунку.

Підпис це церемонія. Запис це те, що вам справді потрібно того дня, коли хтось спитає.

Читайте також: чекліст онбордингу в IT-компанії і GDPR і HR-дані в малій компанії.