Globale lønnsrisikoer: Slik finner og håndterer du dem

18 kritiske globale lønnsrisikoer du bør være oppmerksom på

Regulatoriske risikoer og risikoer knyttet til etterlevelse

1. Manglende etterlevelse av skatteregler og overskredne innleveringsfrister

Reglene for lønnsskatt varierer betydelig fra land til land. Satsene for forskuddstrekk av inntektsskatt, trygdeavgifter og arbeidsgiveravgifter følger ulike regler, frister og innleveringsmetoder i hver jurisdiksjon.

Forsinkede eller feilaktige skattebetalinger knyttet til lønn kan utløse sanksjoner som varierer etter jurisdiksjon. I Tyskland kan forfalt skatt medføre et tilleggsgebyr på 1 % for sen betaling for hver påbegynte måned. Frankrike ilegger vanligvis et innledende tilleggsgebyr på 5 % for forsinkede trygdeavgifter, pluss ytterligere 0,20 % per måned eller påbegynt måned.

Utfordringen for multinasjonale team er at innleveringskalenderne ikke samsvarer. Noen land krever månedlige innleveringer, andre kvartalsvise. Enkelte bruker fortsatt årlige avstemminger. Hvis bare én frist oversittes i ett land, oppstår det en kjede av korrigeringer som beslaglegger lønningsmedarbeidernes tid i flere uker.

2. Lover om arbeidsforhold og lønn i stadig endring

Minstelønnssatser, terskler for overtidsbetaling, lovfestede permisjonsrettigheter og obligatoriske ansattgoder endres kontinuerlig. Bare i 2026 har mange land justert minstelønnen, blant annet Australia og Nederland.

Dette skaper en reell operasjonell belastning. Når en myndighet kunngjør en lønnsøkning som trer i kraft midt i året, må lønnsteamet justere satsene, beregne opptjeninger på nytt og oppdatere systemene midt i en lønnskjøring. I noen tilfeller kreves det tilbakevirkende justeringer.

Frankrike oppdaterer regelmessig tariffavtaler som påvirker lønnsberegningene. Mexico har økt de lovfestede feriekravene de siste årene. Systemene deres må kunne håndtere endringer raskt, og jeg har sett selskaper sakke akterut fordi de baserer seg på årlige gjennomganger av etterlevelsen. Når de endelig oppdaterer systemene, har de allerede behandlet flere lønnskjøringer med feil grunnlag.

3. Landsspesifikk regulatorisk kompleksitet

Ingen to land har identiske lønnskrav. Reglene for hvordan lønn beregnes, hva som skal rapporteres, og når skatter skal innbetales, er unike i hvert marked.

Brasils eSocial-system krever at arbeidsgivere rapporterer dusinvis av ulike arbeidsforholds- og lønnshendelser gjennom en sentralisert plattform, med varierende frister. Frankrike krever lønnsslipper som omfatter godtgjørelser, arbeidstaker- og arbeidsgiveravgifter samt skatter.

Hvert nye land dere etablerer virksomhet i, mangedobler denne kompleksiteten. Hvis dere opererer i 15 land, håndterer dere 15 ulike regulatoriske miljøer. Det er her jeg ser at organisasjoner sliter mest: De antar at det som fungerer i ett land, kan overføres til et annet. En lønnskonfigurasjon som er i samsvar med britiske regler, vil gi feil beregninger i Irland. Skattekodene, trygdestrukturene og rapporteringsforpliktelsene er grunnleggende forskjellige.

4. Feilklassifisering av arbeidstakere

Å klassifisere arbeidstakere som selvstendige oppdragstakere når de egentlig skulle vært ansatte, er en av de dyreste feilene et selskap kan gjøre. Det utløser etterbetaling av skatter, trygdeavgifter og ytelser, og fører ofte til rettslige skritt.

Dere må betale arbeidsgiverens andel av ubetalte trygdeavgifter, sanksjoner for sen innlevering og potensielt renter på ubetalt lønn. I enkelte jurisdiksjoner kan selskapet bli møtt med gruppesøksmål eller straffeforfølgning.

IRS gjennomfører for eksempel tilsyn med klassifiseringen av arbeidstakere ved hjelp av sin flerfaktorielle sedvanerettslige test, som vurderer atferdsmessig kontroll, økonomisk kontroll og forholdets art.

Author's Tip

Jeg anser dette som en risiko på høyeste nivå. Én feilklassifisert arbeidstaker i ett land er håndterbart. Tjue feilklassifiserte arbeidstakere i fem land er en økonomisk og juridisk katastrofe.

 

Men risikoen er ikke alltid åpenbar. En oppdragstaker som utelukkende har jobbet for deg i tre år, bruker utstyret ditt og følger arbeidstiden din, ser ut som en ansatt for de fleste skattemyndigheter.

Risikoer for datasikkerhet og personvern

5. Datainnbrudd og uautorisert tilgang

Lønnssystemer inneholder noen av de mest sensitive opplysningene: personnumre, skatte-ID-er, bankkontodetaljer, lønnsopplysninger og adresser. Dette gjør dem til et attraktivt mål.

Ifølge IBMs rapport om kostnadene ved datainnbrudd fra 2026 nådde den globale gjennomsnittlige kostnaden ved et datainnbrudd $4.99 millioner. AI-drevne angrep har økt med 56 % i omfang. Angripere retter seg mot lønnssystemer gjennom passordspraying, løsepengevirus og utnyttelse av programvare som ikke er oppdatert. Hvis lønnsplattformen din ligger utenfor den viktigste sikkerhetsperimeteren eller bruker utdatert autentisering, forsterkes risikoen.

6. AI-drevne angrep og KI-genererte forfalskninger

Økningen på 56 % i AI-drevne angrep endrer trusselbildet. Angripere bruker generativ AI til å utforme e-poster som er umulige å skille fra legitim kommunikasjon. KI-generert lyd og video brukes i angrep med kompromittering av virksomhetens e-post. I 2024 overførte en finansmedarbeider i Hongkong $25 millioner etter en videosamtale med personer som så ut til å være ledende ansatte i selskapet.

For lønn betyr dette at stemmebaserte godkjenningsprosesser ikke lenger er pålitelige som eneste kontrolltiltak. En KI-generert telefonsamtale fra noen som høres nøyaktig ut som økonomidirektøren din, og som ber om en lønnsfil som haster, er en realistisk angrepsvektor i 2026. Lønnsteam trenger verifiseringsprotokoller som ikke utelukkende er avhengige av å gjenkjenne en stemme eller et ansikt.

It starts with one signal.

Each week, AI Signal takes one meaningful shift in AI and helps people leaders understand what changed, why it matters, and what to consider next.

Get Free Access

Have an account? Log In

7. Nettfisking og kompromittering av virksomhetens e-post

Lønnsavdelinger er attraktive mål for sosial manipulering. De vanligste angrepene omfatter falske forespørsler om å endre opplysninger for direkte innskudd, falske leverandørfakturaer og nettfisking-e-poster som er utformet for å stjele W-2- eller skattedokumenter.

Kompromittering av virksomhetens e-post rettet mot lønn er svært lønnsomt. En angriper som forfalsker en leders e-postadresse og ber om å endre lønnsinnskuddet, kan omdirigere hele lønnsutbetalingen til en ansatt. Disse angrepene er vanskelige å oppdage fordi de ofte ikke innebærer skadevare. De baserer seg på menneskelig tillit og tidspress.

Jeg har sett BEC-angrep lykkes i organisasjoner som hadde sterk perimeterbeskyttelse, men ingen sekundær verifiseringsprosess for endringer av betalinger. Løsningen er prosessbasert, ikke bare teknologibasert.

8. Grensekryssende dataoverføring og personvernregler

Overføring av lønnsopplysninger om ansatte på tvers av landegrenser medfører betydelig juridisk risiko. GDPR (personvernforordningen) begrenser overføring av opplysninger om ansatte i EU til land utenfor Det europeiske økonomiske samarbeidsområdet uten tilstrekkelige sikkerhetstiltak. Kina regulerer også grensekryssende overføring av opplysninger om ansatte gjennom PIPL og tilknyttede regler.

Et sentralisert lønnssystem som sender opplysninger om ansatte på tvers av landegrenser, må derfor ta hensyn til reglene som gjelder for hver overføring. GDPR-bøter kan utgjøre opptil €20 millioner eller 4 % av den årlige globale omsetningen. For globale lønnsteam er utfordringen å kartlegge hvor opplysningene om ansatte beveger seg, og sørge for at hver grensekryssende overføring har det nødvendige rettslige grunnlaget, de nødvendige sikkerhetstiltakene og den nødvendige overføringsmekanismen.

9. Interne trusler og menneskelig uaktsomhet

Interne risikoer er like farlige som eksterne. Utilsiktet eksponering av data, for omfattende tilgangsrettigheter og misfornøyde ansatte utgjør alle en trussel mot lønnssikkerheten.

Vanlige scenarier omfatter at lønnspersonell sender ukrypterte lønnsfiler på e-post, at tidligere ansatte beholder systemtilgang etter at arbeidsforholdet er avsluttet, og delte påloggingsopplysninger som gjør det umulig å spore hvem som fikk tilgang til hva. Etter min erfaring skyldes de fleste interne hendelser uaktsomhet snarere enn ondsinnethet. Men konsekvensene er de samme.

De grunnleggende kontrolltiltakene er velkjente: tilgangskontroller, regelmessige gjennomganger og rollebaserte tillatelser. Det er ved implementering på tvers av lønnssystemer i flere land at de fleste organisasjoner kommer til kort. Datasikkerhet beskytter informasjonen som strømmer gjennom lønnssystemene, men den økonomiske mekanikken ved å flytte penger på tvers av landegrenser medfører sitt eget særskilte sett med risikoer.

Valuta-, grenseoverskridende betalings- og finansielle risikoer

10. Valutasvingninger og eksponering mot valutakurser

Når du behandler lønn i flere valutaer, kan endringer i valutakursene mellom behandlingsdatoen og betalingsdatoen føre til budsjettavvik. Du kan godkjenne en lønnskjøring basert på mandagens kurs og gjennomføre betalingene fredag til en kurs som har endret seg.

Over et år og på tvers av flere land summeres avvikene opp. De fører til overbetalinger som er vanskelige å kreve tilbake, eller underbetalinger som frustrerer ansatte og reiser juridiske spørsmål.

Det finnes flere praktiske tilnærminger for å håndtere dette:

• Terminkontrakter: Lar deg låse en valutakurs for en fremtidig dato. Finansavdelingen din inngår en avtale med en bank om å veksle et bestemt valutabeløp til en forhåndsbestemt kurs for å eliminere usikkerhet. Dette fungerer best når lønnsbeløpene er forutsigbare.
• Perioder med fastlåst kurs: Forhandles med betalingsleverandøren din og gir deg en garantert kurs i en bestemt periode, vanligvis 24 til 72 timer. Dette beskytter mot volatilitet mellom godkjenning av lønnskjøringen og oppgjøret.
• Toleranseintervaller for valuta: Fastsett et akseptabelt avviksintervall, vanligvis 1–2 %, innenfor lønnsbudsjettet. Avvik innenfor intervallet absorberes. Avvik utenfor intervallet utløser en gjennomgang før betalingen frigis.

Uten en tydelig retningslinje ender økonomiteamene opp med å følge opp avvik hver måned. Jeg anbefaler å bygge valutahåndtering inn i kalenderen i stedet for å behandle det som en ettertanke.

11. Komplekse grenseoverskridende betalinger

Det kan være vanskelig å få penger inn på bankkontoene til ansatte i ulike land. Bankinfrastrukturen varierer. Noen land er avhengige av nasjonale avregningsnettverk som ikke fungerer sammen med internasjonale systemer. Andre krever betalinger gjennom lokale metoder.

Bankforsinkelser kan forsinke lønnsutbetalinger med flere dager. Mislykkede transaksjoner på grunn av feil IBAN-format, lokale helligdager eller problemer med valutaomregning er vanlige. I noen markeder har ansatte kanskje ikke bankkonto og trenger betaling via mobile pengetjenester.

Forsinkede lønnsutbetalinger svekker tilliten og skader omdømmet. Fra et etterlevelsesperspektiv ilegger mange jurisdiksjoner bøter for forsinkede lønnsutbetalinger. Å få betalingsinfrastrukturen til å fungere riktig i hvert land er en ufravikelig del av oppsettet for global lønn.

12. Betalinger til internasjonale oppdragstakere

Betaling til oppdragstakere på tvers av landegrenser medfører plikter til å holde tilbake skatt som mange selskaper overser. I mange land er du pålagt å holde tilbake skatt ved kilden på betalinger til utenlandske oppdragstakere, med mindre en skatteavtale som forhindrer dobbeltbeskatning, gir fritak.

For å kreve fordeler etter skatteavtalen kreves det riktig dokumentasjon, inkludert skattemessig bostedsbevis og avtaleskjemaer. Uten dette benyttes den høyeste satsen for skattetrekk. Jeg har sett organisasjoner betale 30 % i skattetrekk når en skatteavtale ville ha redusert beløpet, fordi ingen sendte inn skjemaet.

For hver oppdragstaker i hvert land må du vedlikeholde oppdaterte sertifikater, følge med på om skatteavtalen gjelder og sørge for at rapporteringer sendes inn i tide. Finansielle risikoer kan tallfestes og ofte gjeninnkreves, men operasjonelle risikoer og leverandørrisikoer kan forsterkes og utvikle seg til kriser.

Prosess-, drifts- og leverandørrisikoer

13. Manuell dataregistrering og avhengighet av regneark

Manuelle lønnsprosesser er en betydelig feilkilde. American Payroll Association anslår at manuell dataregistrering gir en feilrate på mellom 1 % og 8 % av den totale lønnssummen. 

Regneark forsterker problemet. De kan ikke håndheve valideringsregler, opprettholde revisjonsspor eller legge til rette for versjonskontroll, særlig når flere personer redigerer filen. Jeg har sett team i virksomheter med drift i flere land kjøre lønn i Excel-arbeidsbøker, og det ender alltid dårlig. 

Manuelle prosesser kan heller ikke skaleres. Det som fungerer for 50 ansatte i ett land, bryter sammen ved 500 ansatte i fem land. Hver nyansettelse, avslutning eller lønnsendring blir enda et manuelt kontaktpunkt der feil kan snike seg inn.

14. Manglende systemintegrasjon

Når HR-systemet, tidsregistreringssystemet, plattformen for personalgoder og lønnssystemet ditt ikke deler data, oppstår det avvik. Arbeidstiden til en ansatt registreres i ett system, men overføres ikke til lønnssystemet. Et valg av personalgoder oppdateres i HR-systemet, men gjenspeiles ikke i trekkene.

Disse avvikene fører til for høye utbetalinger, for lave utbetalinger og feil knyttet til etterlevelse, og skaper tidkrevende avstemmingsarbeid. Etter min erfaring er integrasjonsavvik årsaken til flere lønnsfeil enn noen annen faktor. Løsningen krever at man kartlegger dataflyter, definerer et hovedsystem for hvert element og bygger automatiserte synkroniseringsprosesser med feilhåndtering.

15. Utfordringer med administrasjon av flere leverandører

Mange globale selskaper bruker en annen lønnsleverandør i hvert land. Dette skaper et fragmentert landskap der tjenestenivåavtaler, dataformater, rapporteringsstrukturer og kvaliteten på kundestøtten varierer fra leverandør til leverandør.

Uten en samlet oversikt kan du ikke sammenligne lønnskostnader på tvers av markeder, identifisere avvik eller utarbeide enhetlig rapportering for ledelsen. Men å samle alt på én global lønnsplattform er ikke alltid det riktige svaret. For selskaper som opererer i noen få land med få ansatte, kan en plattform til et sekssifret beløp være unødvendig omfattende. Sterke lokale leverandører kan være bedre enn globale plattformer når det gjelder nøyaktighet i lokal etterlevelse, responstid og kostnader. 

Den riktige tilnærmingen avhenger av størrelsen på virksomheten, hvor stor risiko du er villig til å ta, og kompleksiteten i den konkrete landmiksen.

16. Å velge feil lønnstjenesteleverandør

Feil ved valg av leverandør er kostbare og tidkrevende å rette opp. Vanlige feil jeg ser, er å velge en leverandør som mangler lokal ekspertise, sertifiseringer innen datasikkerhet eller dokumenterte gode resultater når det gjelder implementeringstidslinjer.

Leverandørvurderingen bør være strukturert og grundig. Som et minimum bør du vurdere leverandørene opp mot disse kriteriene:

Vurderingskriterier	Hva som må verifiseres	Varseltegn
Regelverkskunnskap i landet	Spør hvordan de håndterer lovendringer midt i året. Be om eksempler på nylige oppdateringer de har gjennomført.	Vage svar. Ingen eksempler som gjelder de aktuelle landene dine.
Sertifiseringer innen datasikkerhet	Bekreft gjeldende SOC 2 Type II- og ISO 27001-sertifiseringer. Be om sammendraget fra den nyeste revisjonsrapporten.	Sertifiseringene er utløpt, under behandling eller gjelder bare Type I. De nekter å dele revisjonssammendrag.
Hyppighet for regelverksoppdateringer	Spør hvor raskt de gjennomfører lovendringer etter at de er vedtatt.	Oppdateringer gjennomføres bare i forbindelse med kvartalsvise lanseringer, i stedet for ved behov.
Referansekunder	Snakk med kunder i de samme jurisdiksjonene og med tilsvarende antall ansatte.	Ingen tilgjengelige referanser i markedene dine.
Struktur for tjenestenivåavtaler	Gå gjennom tjenestenivåavtalene for behandlingsnøyaktighet, tidsfrister for feilretting og sanksjonsklausuler ved feil forårsaket av leverandøren.	Ingen økonomiske sanksjoner ved feil forårsaket av leverandøren. Tjenestenivåavtaler som måler aktivitet i stedet for resultater.
Resultater fra tidligere implementeringer	Be om gjennomsnittlige implementeringstidslinjer og spør om forsinkelser i nyere prosjekter.	Tidslinjer som virker urealistisk korte sett opp mot omfanget ditt.

17. Langsomme implementeringstidslinjer

En lønnsimplementering som tar seks måneder lenger enn planlagt, gjør at organisasjonen din må kjøre parallelle prosesser. I denne perioden skaper manuelle nødløsninger, dobbeltregistrering av data og midlertidige betalingsmetoder risiko for manglende etterlevelse og feil i den globale lønnskjøringen.

Jeg har sett implementeringer trekke ut fra en forventet tidslinje på tre måneder til over ett år. I mellomtiden blir teamene utbrente, feil hoper seg opp, og beredskapen for revisjon svekkes. Å fastsette realistiske tidslinjer og holde leverandørene ansvarlige for milepælene er et av de mest praktiske risikostyringstiltakene du kan gjennomføre.

18. Utskiftinger i lønnsteamet

Globale lønnsspesialister med omfattende erfaring fra flere land er mangelvare. Når de slutter, forsvinner den institusjonelle kunnskapen om særegenheter i de enkelte landene ut døren sammen med dem.

Jeg har sett dette utspille seg: En erfaren lønnssjef som forstår delstatsreglene for tysk kirkeskatt, slutter i selskapet. Etterfølgeren hennes bruker samme behandling av kirkeskatten på alle tyske lønnslokasjoner og overser forskjellene i reglene som gjelder mellom delstatene og trossamfunnene. 

Dette er en risiko som øker med kompleksiteten. Jo flere land du opererer i, desto mer institusjonell kunnskap samler du opp. Det er avgjørende for risikoreduksjonen å dokumentere landspesifikke prosedyrer, håndtering av unntak og beslutninger om tolkning av regelverket.

Økonomiske og forretningsmessige konsekvenser av global lønnsrisiko

Lønnsfeil er ikke bare en operasjonell ulempe. Det krever tid fra medarbeiderne å rette dem opp, i tillegg til ny behandling og avstemming, og det kan føre til ekstra kostnader når feil resulterer i forsinkede eller uriktige skattebetalinger.

Regulatoriske bøter har enda større konsekvenser:

• EU: GDPR-brudd knyttet til data har ført til bøter på over €20 millioner.
• USA: Feilklassifisering kan gjøre arbeidsgivere ansvarlige for ubetalte arbeidsgiveravgifter, gebyrer og renter, der beløpet avhenger av omstendighetene rundt bruddet. 
• Brasil: Feilaktig eller forsinket eSocial-rapportering kan utløse sanksjoner etter lovene som regulerer den aktuelle arbeids-, skatte- eller trygdeplikten. 

Lønnssvindel skaper en annen kilde til økonomisk eksponering. Association of Certified Fraud Examiners anslår at virksomheter hvert år taper 5 % av inntektene sine på yrkesrelatert svindel.

Author's Tip

Forretningsgrunnlaget for å investere i lønnsautomatisering, overvåking av etterlevelse og konsoliderte plattformer er enkelt: kostnaden ved forebygging er en brøkdel av kostnaden ved utbedring.

 

Virksomheter som tar i bruk automatiserte motorer for skatteberegning og integrerte lønnsplattformer, rapporterer færre feil, mens konsoliderte plattformer reduserer arbeidet med leverandørstyring og gir økonomiledere en samlet oversikt over globale lønnskostnader.

 

Den økonomiske avkastningen avhenger i stor grad av arbeidsstyrkens størrelse, landssammensetning, eksisterende feilrate, leverandørkostnader og mengden manuelt arbeid som erstattes. I stedet for å anta en standard tilbakebetalingstid bør du beregne forretningsgrunnlaget ved hjelp av de nåværende kostnadene for lønnsadministrasjon, tiden som brukes på korrigeringer og avstemminger, leverandøravgifter, implementeringskostnader og etterlevelsesrisiko.

Global lønnsrisiko etter region

Regional risiko er ikke statisk. Et land som innebærer lav risiko når du har fem ansatte, kan innebære høy risiko når du har femti. Etter hvert som antallet ansatte vokser, arbeidslovgivningen endres og den operasjonelle modenheten utvikler seg, endres risikobildet. Disse regionale oversiktene gjenspeiler generelle kjennetegn, men den konkrete eksponeringen avhenger av arbeidsstyrkens størrelse, selskapsstruktur og driftsmodell.

Europa (EU/EØS)

Viktige risikofaktorer: Håndheving av personvernregler, krav til bedriftsråd, komplekse strukturer for sosiale bidrag, hyppige regulatoriske endringer

Europa har et krevende etterlevelsesmiljø. GDPR regulerer hvordan du samler inn, behandler, lagrer og overfører lønnsdata om ansatte. Brudd kan føre til bøter på opptil €20 millioner eller 4 % av den globale årlige omsetningen.

Bedriftsråd i land som Tyskland, Frankrike og Nederland kan ha rett til konsultasjon eller medbestemmelse ved enkelte endringer som påvirker lønn og ansettelsesvilkår. Hvert land har også egne krav til lønnsrapportering, lønnsslipper, skatt og sosiale bidrag.

Frankrike krever for eksempel at arbeidsgivere rapporterer lønnsdata gjennom DSN-systemet hver måned, mens Tyskland har beregninger av kirkeskatt knyttet til den ansattes religion.

Asia-Stillehavsregionen (APAC)

Viktige risikofaktorer: Varierende reguleringer på by- og delstatsnivå, hyppige krav til lønnsrapportering, begrensninger på grensekryssende data i enkelte jurisdiksjoner, landsspesifikke regulatoriske endringer

Kinas lønnssystem omfatter obligatoriske bidrag til sosialforsikring og boligsparefondet, med satser som varierer fra by til by. Shenzhen, Shanghai og Beijing har alle ulike terskler.

I Japan beregnes standard månedlig godtgjørelse som brukes for sosialforsikring, vanligvis på nytt hvert år basert på lønn mottatt fra april til juni, med ytterligere regler for enkelte omstendigheter. Hvert land krever derfor sin egen lønnslogikk og egne prosesser for etterlevelse.

Latin-Amerika (LATAM)

Viktige risikofaktorer: Komplekse lovpålagte ytelser, landsspesifikke rapporteringskrav, regulatoriske endringer, detaljerte arbeidsregler, valutasvingninger i enkelte markeder

Brasil regnes allment som en av de mer komplekse jurisdiksjonene. Landets eSocial-system krever at arbeidsgivere sender inn dusinvis av typer hendelser knyttet til ansettelse, lønn, avslutning av arbeidsforhold og arbeidsmiljø og -sikkerhet gjennom en sentralisert digital plattform, med rapporteringsfrister og sanksjoner som varierer etter den underliggende plikten.

Mexico har også gjennomført reformer knyttet til ansettelse og lønn de siste årene, og landet har endret reglene for overskuddsdeling. I hele Latin-Amerika kan lovpålagte arbeidskostnader strekke seg langt utover grunnlønnen. Mange land pålegger en 13. månedslønn eller tilsvarende bonus, ferierelaterte utbetalinger er vanlige, og sosiale bidrag kan overstige 30 % i enkelte markeder.

Midtøsten og Afrika

Viktige risikofaktorer: Etterlevelse av lønnsbeskyttelsesregler i Gulf-markedene, krav om nasjonalisering av arbeidsstyrken, landsspesifikke skatte- og sosialforsikringsregler, endrede krav

UAE og Saudi-Arabia har hver sine særegne krav til lønn og overholdelse av arbeidslovgivningen. I UAE må arbeidsgivere i den private sektoren som omfattes, betale lønn gjennom Wage Protection System ved hjelp av godkjente banker, finansinstitusjoner og vekslingskontorer, slik at Ministry of Human Resources and Emiratisation elektronisk kan overvåke etterlevelsen.

Kravene til lønn i Afrika varierer fra land til land. Sør-Afrika har fastsatte krav til PAYE, UIF og rapportering fra arbeidsgivere, administrert gjennom SARS. Nigeria har en lovpålagt innskuddsbasert pensjonsordning, og arbeidsgivere kan også måtte håndtere PAYE-forpliktelser overfor ulike statlige skattemyndigheter.

Slik håndterer du globale lønnsrisikoer

Slik håndterer du vanlige globale lønnsrisikoer på riktig måte.

1. Etabler et risikobasert overvåkingssystem

Det er urealistisk og ineffektivt å forsøke å overvåke alle endringer i alle land med samme intensitet. Bygg et overvåkingssystem basert på prioritering, der prioriteringene fastsettes ut fra tre faktorer:

• Antall ansatte i landet: En endring som berører 500 ansatte, krever umiddelbar oppmerksomhet. En endring som berører 3 ansatte, kan håndteres over lengre tid.
• Alvorlighetsgraden av sanksjoner: Enkelte jurisdiksjoner ilegger sanksjoner som står i forhold til inntekter eller antall ansatte. Prioriter markeder der de økonomiske kostnadene ved manglende etterlevelse er høyest.
• Endringstakt: Land som ofte endrer regelverket, som Brasil, India og Frankrike, trenger kontinuerlig overvåking. Gjennomgå mer stabile miljøer hvert kvartal.

Opprett et landsbasert risikoregister som gir hvert marked en poengsum på disse tre dimensjonene, og fastsett hvor ofte det skal overvåkes. Gå gjennom og oppdater registeret hvert kvartal etter hvert som fordelingen av arbeidsstyrken og regelverksmiljøet utvikler seg.

2. Implementer prosesskontroller for betalingssikkerhet

Svikt i betalingssikkerheten, enten det skyldes BEC-angrep, interne trusler eller prosessfeil, er blant de mest skadelige lønnsrisikoene. Implementer disse kontrollene som en prioritet:

• To-trinns godkjenning: Ingen enkeltperson skal kunne endre bankkontodetaljer, betalingsbeløp eller mottakere uten en ekstra godkjenning fra en uavhengig part.
• Verifisering via tilbakeringing: Når en ansatt ber om å endre bankopplysningene sine, skal forespørselen bekreftes gjennom en separat kanal, ikke i den samme e-posttråden.
• Avstemming av betalingsfil: Sammenlign hver betaling med lønnsregisteret før den sendes til banken. Merk nye kontoer, betalinger som overstiger en fastsatt grense over normal lønn, og betalinger til kontoer i land der dere ikke har ansatte.
• Arbeidsdeling: Personen som behandler lønn, skal ikke være den samme som godkjenner betalingsfilen. Personen som oppretter nye bankkontoer for ansatte, skal ikke være den samme som kjører lønnskjøringen.

3. Gjennomfør en kvartalsvis gjennomgang av tilganger og kontroller

For lønnsadministrasjonen i hvert land skal følgende gjennomgås hvert kvartal:

• Hvem har tilgang til lønnsprogramvaren? Fjern tilgangen for alle som har byttet rolle eller sluttet i organisasjonen. I en virksomhet på tvers av flere land med 15 leverandører er dette mer komplekst enn det høres ut. Opprett et sentralisert tilgangsregister.
• Hva kan hver bruker gjøre? Kontroller at tillatelsene samsvarer med de aktuelle rollene. En lønnsanalytiker bør ikke ha administratortilgang. En HR-leder for et land bør ikke kunne eksportere den globale lønnsdatabasen.
• Er revisjonssporene intakte? Bekreft at hvert system logger hvem som har fått tilgang til hvilke data, når tilgangen fant sted, og hvilke endringer som ble gjort. Hvis systemet deres ikke tilbyr dette, er det en svikt i aktsomhetskontrollen.
• Er krypteringsstandardene oppdaterte? Kontroller at lønnsdata både i hvile og under overføring er kryptert. Dette er spesielt viktig ved grenseoverskridende dataoverføringer.

4. Opprett en prosess for gjennomgang av arbeidstakerklassifisering

Ikke vent på en kontroll fra skattemyndighetene for å oppdage feilklassifisering. Gjennomfør en proaktiv gjennomgang:

1. Kartlegg alle kontraktørforhold i hvert land.
2. For hvert forhold må du vurdere kontroll, eksklusivitet, varighet og integrering i virksomheten opp mot arbeidsretten i landet der arbeidet utføres.
3. Marker alle forhold der kontraktøren utelukkende arbeider for selskapet ditt, bruker utstyret ditt, følger arbeidsplanen din eller har vært engasjert i mer enn 12 måneder. 
4. For markerte forhold må du innhente en juridisk vurdering fra lokal arbeidsrettsrådgiver før neste kontraktsfornyelse.
5. Dokumenter alle klassifiseringsbeslutninger og begrunnelsen for dem. Hvis du blir revidert, kan det å dokumentere at du har gjort en aktsom innsats for å klassifisere korrekt, redusere risikoen for sanksjoner.

5. Standardiser leverandørstyringen

Enten du bruker én global lønnsleverandør, en arbeidsgiver på vegne av selskapet (EOR) eller ti lokale leverandører, bør du bruke konsekvente styringsstandarder:

• Standardiserte SLA-er: Definer mål for behandlingsnøyaktighet, tidsfrister for feilretting, tidsvinduer for implementering av regelverksoppdateringer og sanksjoner ved feil som skyldes leverandøren.
• Månedlige driftsgjennomganger: Gå gjennom feilrater, implementerte regelverksoppdateringer, åpne saker og kommende regelverksendringer med hver leverandør.
• Enhetlige rapporteringskrav: Alle leverandører bør levere data i et konsekvent format som inngår i rapporteringen din. Definer malen og gjør den til et krav.
• Årlig samsvarsverifisering: Be om oppdaterte SOC 2 Type II-rapporter og samsvarserklæringer hvert år. Hvis en sertifisering utløper, må saken eskaleres umiddelbart.

6. Dokumenter institusjonell kunnskap

Dette er trinnet som oftest blir forsømt, og samtidig ett av de viktigste. For hvert land der du behandler lønn:

1. Dokumenter alle unntak, midlertidige løsninger og landspesifikke konfigurasjoner i lønnssystemet.
2. Registrer beslutningene teamet har tatt om tolkning av regelverket, og hvorfor.
3. Opprett kjøreveiledninger for hvert land som en ny lønnskonsulent kan følge for å behandle en fullstendig lønnskjøring.
4. Oppdater disse dokumentene hver gang en prosess endres.

Dette er forskjellen mellom en smidig overgang når et teammedlem slutter, og et halvt år med hektisk arbeid for å rekonstruere kunnskap som aldri ble skrevet ned.

7. Stresstest samsvarsrammeverket

Det hjelper ikke å ha en dokumentert prosess for håndtering av regelverksendringer hvis ingen følger den under press. Test rammeverket regelmessig:

• Gjennomfør skrivebordsøvelser: Simuler en endring i minstelønnen midt i året i et marked med høy kompleksitet. Kan teamet identifisere endringen, oppdatere systemet, beregne lønnen på nytt for berørte ansatte og behandle korrigeringen innen én lønnskjøring?
• Simuler et BEC-angrep: Fungerer den sekundære bekreftelsesprosessen faktisk, eller omgår folk den når de er under tidspress?
• Test beredskapsplanen for hendelser: Vet teammedlemmene hvem de skal varsle, hva som skal dokumenteres og hvordan eksponeringen skal begrenses?

Dette vil bidra til å avdekke svakheter i prosessene før de utvikler seg til reelle hendelser.

Gjør bevissthet om lønnsrisiko om til bedre kontroller

Håndtering av global lønnsrisiko er en kontinuerlig oppgave, ikke en engangsøvelse i samsvar. Registrer deg for vårt kostnadsfrie medlemskap og nyhetsbrev for å få tilgang til praktiske verktøy, maler, ekspertinnsikt og arrangementer som kan hjelpe deg med å styrke prosessene etter hvert som kravene utvikler seg.