Globala lönerisker: Så hittar och åtgärdar du dem

18 kritiska globala lönerisker att se upp med

Regelverks- och efterlevnadsrisker

1. Bristande skattefterlevnad och missade deklarationsfrister

Reglerna för löneskatter varierar kraftigt från land till land. Källskattesatser för inkomstskatt, socialförsäkringsavgifter och arbetsgivaravgifter följer olika regler, olika tidsfrister och olika deklarationsmetoder i varje jurisdiktion.

Försenade eller felaktiga skattebetalningar relaterade till löner kan utlösa sanktioner som varierar beroende på jurisdiktion. I Tyskland kan försenad skatt medföra en förseningsavgift på 1 % för varje påbörjad månad. Frankrike tillämpar vanligtvis en inledande avgift på 5 % för försenade sociala avgifter, plus ytterligare 0,20 % per månad eller del av månad.

Utmaningen för multinationella team är att deklarationskalendrarna inte är samordnade. Vissa länder kräver månadsvisa inlämningar, andra kvartalsvisa. Ett fåtal använder fortfarande årliga avstämningar. Om ni missar ens en tidsfrist i ett land skapas en kedja av korrigeringar som tar upp lönepersonalens tid i flera veckor.

2. Föränderliga arbets- och lönelagar

Minimilöner, trösklar för övertidsersättning, lagstadgade ledigheter och obligatoriska personalförmåner förändras ständigt. Bara under 2026 har många länder justerat sina minimilöner, däribland Australien och Nederländerna.

Detta skapar en verklig operativ belastning. När en regering meddelar en löneökning som träder i kraft mitt under året måste löneteamet justera nivåerna, räkna om intjänade belopp och uppdatera systemen mitt i en lönecykel. I vissa fall krävs retroaktiva justeringar.

Frankrike uppdaterar regelbundet kollektivavtal som påverkar löneberäkningarna. Mexiko har ökat de lagstadgade semesterrättigheterna under de senaste åren. Era system måste kunna hantera förändringar snabbt, och jag har sett företag hamna efter när de förlitat sig på årliga efterlevnadsgranskningar. När de väl uppdaterar har de redan behandlat flera cykler med felaktiga underlag.

3. Landsspecifik regelverkskomplexitet

Inga två länder har identiska lönekrav. Reglerna för hur ni beräknar lön, vad ni rapporterar och när ni betalar in skatter är unika på varje marknad.

Brasiliens eSocial-system kräver att arbetsgivare rapporterar dussintals olika anställnings- och lönehändelser via en centraliserad plattform, med varierande tidsfrister. Frankrike kräver lönespecifikationer som omfattar ersättning, anställdas och arbetsgivares sociala avgifter samt skatter.

Varje nytt land ni lägger till mångdubblar denna komplexitet. Om ni bedriver verksamhet i 15 länder hanterar ni 15 separata regelverksmiljöer. Det är här jag ser att organisationer har störst problem: de antar att det som fungerar i ett land kan överföras till ett annat. En lönekonfiguration som uppfyller brittiska krav kommer att ge felaktiga beräkningar i Irland. Skattekoderna, socialförsäkringsstrukturerna och rapporteringsskyldigheterna är fundamentalt olika.

4. Felklassificering av anställda

Att klassificera arbetstagare som oberoende uppdragstagare när de borde vara anställda är ett av de dyraste misstagen ett företag kan göra. Det leder till retroaktiva betalningar av skatter, sociala avgifter och förmåner och resulterar ofta i rättsliga åtgärder.

Ni blir skyldiga att betala arbetsgivarens andel av obetalda sociala avgifter, sanktioner för försenad rapportering och eventuellt ränta på obetalda löner. I vissa jurisdiktioner kan företaget drabbas av grupptalan eller straffrättsliga åtal.

IRS granskar till exempel klassificeringen av arbetstagare med hjälp av sitt flerfaktortest enligt sedvanerätt, där beteendekontroll, finansiell kontroll och relationens karaktär bedöms.

Author's Tip

Jag betraktar detta som en risk på högsta nivå. En felklassificerad arbetstagare i ett land går att hantera. Tjugo felklassificerade arbetstagare i fem länder är en ekonomisk och juridisk katastrof.

 

Men risken är inte alltid uppenbar. En uppdragstagare som uteslutande har arbetat för dig i tre år, använder din utrustning och följer ditt schema ser ut som en anställd för de flesta skattemyndigheter.

Datasäkerhets- och integritetsrisker

5. Dataintrång och obehörig åtkomst

Lönesystem innehåller några av de mest känsliga uppgifterna: personnummer, skatte-ID:n, bankkontouppgifter, löneinformation och adresser. Det gör dem till attraktiva mål.

Enligt IBMs rapport om kostnaden för dataintrång från 2026 nådde den globala genomsnittliga kostnaden för ett dataintrång $4.99 miljoner. AI-drivna attacker har ökat med 56 % i volym. Angripare riktar in sig på lönehantering genom så kallad massanvändning av stulna inloggningsuppgifter, utpressningsprogram och utnyttjande av ouppdaterad programvara. Om din löneplattform ligger utanför din huvudsakliga säkerhetsperimeter eller använder föråldrad autentisering förstärks risken.

6. AI-drivna attacker och AI-genererade förfalskningar

Ökningen på 56 % av AI-drivna attacker förändrar hotbilden. Angripare använder generativ AI för att skapa e-postmeddelanden som är omöjliga att skilja från legitim kommunikation. AI-genererat ljud och AI-genererad video används i attacker med företagsmejlskompromettering. År 2024 överförde en finansanställd i Hongkong 25 miljoner dollar efter ett videosamtal med personer som verkade vara högt uppsatta chefer i företaget.

För lönehantering innebär detta att röstbaserade godkännandeprocesser inte längre är tillförlitliga som enda kontroll. Ett AI-förfalskat samtal med ljud från någon som låter exakt som din ekonomichef och ber om en brådskande lönefil är en realistisk attackvektor 2026. Löneteam behöver verifieringsprotokoll som inte enbart bygger på att känna igen en röst eller ett ansikte.

It starts with one signal.

Each week, AI Signal takes one meaningful shift in AI and helps people leaders understand what changed, why it matters, and what to consider next.

Create Free Account

Have an account? Log In

7. Nätfiske och företagsmejlskompromettering

Löneavdelningar är främsta mål för social manipulation. De vanligaste attackerna omfattar falska begäranden om att ändra uppgifter för direktinsättning, bedrägliga leverantörsfakturor och nätfiskemeddelanden som är utformade för att stjäla W-2- eller skattedokument.

Företagsmejlskompromettering riktad mot lönehantering är mycket lönsam. En angripare som förfalskar en chefs e-postadress och begär en ändring av löneinsättningen kan styra om en anställds hela lön. Dessa attacker är svåra att upptäcka eftersom de ofta inte involverar skadlig programvara. De bygger på mänskligt förtroende och brådska.

Jag har sett BEC-attacker lyckas i organisationer som hade starkt perimeterskydd men ingen sekundär verifieringsprocess för betalningsändringar. Lösningen bygger på processer, inte bara på teknik.

8. Gränsöverskridande dataöverföring och integritetsbestämmelser

Att flytta anställdas löneuppgifter över gränser skapar betydande juridisk exponering. GDPR (allmän dataskyddsförordning) begränsar överföringen av uppgifter om anställda i EU utanför Europeiska ekonomiska samarbetsområdet utan tillräckliga skyddsåtgärder. Kina reglerar också gränsöverskridande överföringar av uppgifter om anställda genom PIPL och relaterade regler.

Ett centraliserat lönesystem som skickar uppgifter om anställda över gränser måste därför ta hänsyn till reglerna för varje överföring. GDPR-böter kan uppgå till 20 miljoner euro eller 4 % av den årliga globala omsättningen. För globala löneteam är utmaningen att kartlägga vart uppgifterna om de anställda färdas och säkerställa att varje gränsöverskridande överföring har den juridiska grund, de skyddsåtgärder och den överföringsmekanism som krävs.

9. Insiderhot och mänsklig oaktsamhet

Interna risker är lika farliga som externa. Oavsiktlig exponering av uppgifter, överdrivna åtkomstbehörigheter och missnöjda anställda hotar alla lönesäkerheten.

Vanliga scenarier omfattar lönepersonal som skickar okrypterade lönefiler via e-post, tidigare anställda som behåller systemåtkomst efter avslutad anställning och delade inloggningsuppgifter som gör det omöjligt att spåra vem som har fått åtkomst till vad. Enligt min erfarenhet beror de flesta insiderincidenter på oaktsamhet snarare än illvilja. Men konsekvenserna är desamma.

Grundläggande kontroller är välkända: åtkomstkontroller, regelbundna granskningar och rollbaserade behörigheter. Det är vid implementeringen av dessa i lönehantering i flera länder som de flesta organisationer brister. Datasäkerhet skyddar information som flödar genom dina lönesystem, men de ekonomiska processerna för att flytta pengar över gränser medför en egen, tydligt avgränsad uppsättning risker.

Valuta-, gränsöverskridande betalnings- och finansiella risker

10. Valutafluktuationer och exponering mot växelkursrisk

När du hanterar löner i flera valutor kan förändringar i växelkurserna mellan behandlingsdatumet och betalningsdatumet skapa budgetavvikelser. Du kan godkänna en lönekörning baserat på måndagens kurs och genomföra betalningarna på fredagen till en kurs som har förändrats.

Under ett år och i flera länder ackumuleras avvikelserna. De leder till överbetalningar som är svåra att återkräva eller underbetalningar som frustrerar medarbetarna och väcker juridiska frågor.

Det finns flera praktiska sätt att hantera detta:

• Terminskontrakt: Gör det möjligt att låsa en växelkurs för ett framtida datum. Ditt treasuryteam kommer överens med en bank om att växla ett fastställt valutabelopp till en förutbestämd kurs för att eliminera osäkerhet. Detta fungerar bäst när lönebeloppen är förutsägbara.
• Fönster för kurslåsning: Förhandlas med din betalningsleverantör och ger dig en garanterad kurs under en bestämd period, vanligtvis 24 till 72 timmar. Detta skyddar mot volatilitet mellan lönegodkännande och betalningsavveckling.
• Valutatoleransintervall: Fastställ ett godtagbart avvikelseintervall, vanligtvis 1–2 %, inom din lönebudget. Avvikelser inom intervallet absorberas. Avvikelser utanför intervallet utlöser en granskning innan betalningen genomförs.

Utan en tydlig policy får ekonomiteamen till slut jaga avvikelser varje månad. Jag rekommenderar att ni bygger in valutahantering i kalendern i stället för att behandla den som en eftertanke.

11. Komplexitet vid gränsöverskridande betalningar

Det kan vara svårt att få in pengar på medarbetares bankkonton i olika länder. Bankinfrastrukturen varierar. Vissa länder förlitar sig på inhemska clearingnätverk som inte fungerar tillsammans med internationella system. Andra kräver betalningar via lokala metoder.

Bankförseningar kan förskjuta löneutbetalningar med flera dagar. Misslyckade transaktioner på grund av felaktiga IBAN-format, lokala helgdagar eller problem med valutaomvandling är vanliga. På vissa marknader kanske medarbetarna inte har bankkonton och behöver få betalt via plattformar för mobila pengar.

Försenade löneutbetalningar urholkar förtroendet och orsakar ryktesskador. Ur ett efterlevnadsperspektiv inför många jurisdiktioner straffavgifter för försenade löneutbetalningar. Att få betalningsinfrastrukturen att fungera i varje land är en icke förhandlingsbar del av din globala lönehantering.

12. Betalningar till internationella uppdragstagare

Att betala uppdragstagare över gränserna medför skyldigheter att innehålla skatt som många företag förbiser. I många länder måste du innehålla skatt vid källan på betalningar till utländska uppdragstagare, såvida inte ett skatteavtal för att undvika dubbelbeskattning ger lättnad.

För att göra anspråk på avtalsförmåner krävs korrekt dokumentation, inklusive intyg om skatterättslig hemvist och avtalsblanketter. Utan detta tillämpas den högsta skattesatsen för källskatt. Jag har sett organisationer betala 30 % i källskatt när ett skatteavtal skulle ha sänkt beloppet, eftersom ingen lämnade in blanketten.

För varje uppdragstagare i varje land måste du hålla intygen aktuella, följa upp om skatteavtal är tillämpliga och säkerställa att deklarationer lämnas in i tid. Finansiella risker kan kvantifieras och ofta återkrävas, men operativa risker och leverantörsrisker kan förvärras och utvecklas till kriser.

Process-, operativa risker och leverantörsrisker

13. Manuell datainmatning och beroende av kalkylblad

Manuella löneprocesser är en stor felkälla. American Payroll Association uppskattar att manuell datainmatning ger en felfrekvens på mellan 1 % och 8 % av den totala lönesumman.

Kalkylblad förvärrar problemet. De kan inte tillämpa valideringsregler, upprätthålla granskningsspår eller underlätta versionshantering, särskilt när flera personer redigerar filen. Jag har sett team i verksamheter i flera länder hantera löner i Excel-arbetsböcker, och det slutar alltid illa.

Manuella processer kan inte heller skalas upp. Det som fungerar för 50 medarbetare i ett land fallerar vid 500 medarbetare i fem länder. Varje nyanställning, avslut av anställning eller löneändring blir ytterligare en manuell beröringspunkt där fel kan smyga sig in.

14. Bristande systemintegration

När ditt HRIS, tidsregistreringssystem, förmånsplattform och lönesystem inte delar data uppstår avvikelser. En medarbetares arbetade timmar registreras i ett system men förs inte över till lönesystemet. Ett val av förmån uppdateras i HR-systemet men återspeglas inte i avdragen.

Dessa luckor orsakar överbetalningar, underbetalningar och efterlevnadsfel samt skapar tidskrävande avstämningsarbete. Enligt min erfarenhet är integrationsluckor orsaken till fler lönefel än någon annan faktor. Åtgärden kräver att dataflöden kartläggs, att ett system som är källa för varje dataelement definieras och att automatiserade synkroniseringsprocesser med felhantering byggs.

15. Utmaningar med hantering av flera leverantörer

Många globala företag använder en annan löneleverantör i varje land. Detta skapar en fragmenterad miljö där SLA:er, dataformat, rapporteringsstrukturer och supportkvalitet varierar från en leverantör till en annan.

Utan en samlad överblick kan du inte jämföra lönekostnader mellan marknader, identifiera avvikelser eller ta fram enhetlig rapportering för ledningen. Men att samla allt på en enda global löneplattform är inte alltid rätt svar. För företag som är verksamma i ett fåtal länder och har få anställda kan en plattform i sexsiffrigt prisintervall vara överdimensionerad. Starka lokala leverantörer kan överträffa globala plattformar när det gäller noggrannhet i lokal efterlevnad, svarstider och kostnad.

Rätt tillvägagångssätt beror på verksamhetens storlek, din risktolerans och komplexiteten i den specifika kombinationen av länder.

16. Att välja fel löneleverantör

Misslyckade leverantörsval är kostsamma och tar lång tid att korrigera. Vanliga misstag jag ser är att välja en leverantör som saknar lokal expertis, certifieringar inom datasäkerhet eller dokumenterade goda resultat när det gäller att hålla tidsplaner för implementering.

En noggrann leverantörsgranskning bör vara strukturerad och grundlig. Som minimum bör leverantörer utvärderas utifrån följande kriterier:

Utvärderingskriterier	Vad som ska verifieras	Varningssignaler
Kunskap om regler i landet	Fråga hur de hanterar lagändringar under året. Be om exempel på aktuella uppdateringar som de har genomfört.	Vaga svar. Inga exempel som gäller dina målmarknader.
Certifieringar inom datasäkerhet	Bekräfta aktuella SOC 2 Type II- och ISO 27001-certifieringar. Be om en sammanfattning av den senaste revisionsrapporten.	Certifieringarna har löpt ut, är pågående eller gäller endast Type I. Vägran att dela sammanfattningar av revisioner.
Frekvens för regeluppdateringar	Fråga hur snart de genomför lagändringar efter att de har trätt i kraft.	Uppdateringar genomförs endast i samband med kvartalsvisa lanseringar i stället för vid behov.
Referenskunder	Tala med kunder i samma jurisdiktioner och med liknande antal anställda.	Inga referenser tillgängliga på dina marknader.
SLA-struktur	Granska SLA:er för behandlingsnoggrannhet, tidsramar för felkorrigering och vitesklausuler vid leverantörsorsakade fel.	Inga ekonomiska sanktioner vid leverantörsorsakade fel. SLA:er som mäter aktiviteter i stället för resultat.
Implementeringshistorik	Begär genomsnittliga implementeringstider och fråga om förseningar i nyligen genomförda projekt.	Tidsplaner som verkar orealistiskt korta för din omfattning.

17. Långa implementeringstider

En löneimplementering som tar sex månader längre än planerat gör att din organisation måste fortsätta med parallella processer. Under den perioden skapar manuella kringlösningar, dubbelregistrering av data och tillfälliga betalningsmetoder risker för global löneefterlevnad och fel.

Jag har sett implementeringar dra ut från en förväntad tidsplan på tre månader till över ett år. Under tiden blir teamen utmattade, felen hopar sig och revisionsberedskapen försämras. Att fastställa realistiska tidsplaner och hålla leverantörerna ansvariga för milstolparna är en av de mest praktiska riskhanteringsåtgärderna du kan vidta.

18. Personalomsättning i löneteamet

Löneexperter med djup erfarenhet av flera länder är sällsynta. När de slutar försvinner den institutionella kunskapen om landsspecifika särdrag med dem.

Jag har sett detta hända: en senior lönechef som förstår de delstatsspecifika reglerna för tysk kyrkoskatt lämnar företaget. Hennes ersättare tillämpar samma behandling av kyrkoskatt på alla tyska löneenheter och förbiser skillnaderna i de regler som gäller mellan delstater och religiösa samfund.

Detta är en risk som ökar med komplexiteten. Ju fler länder du är verksam i, desto mer institutionell kunskap samlar du på dig. Att dokumentera landsspecifika rutiner, hantering av undantag och beslut om tolkning av regler är en viktig riskreducerande åtgärd.

Ekonomiska och verksamhetsmässiga konsekvenser av globala lönerisker

Lönefel är inte bara en operativ olägenhet. Att korrigera dem tar personalens tid, kräver omkörning och avstämning och kan medföra ytterligare kostnader när fel leder till försenade eller felaktiga skattebetalningar.

Regulatoriska böter har ännu större konsekvenser:

• EU: GDPR-överträdelser relaterade till data har lett till böter på över 20 miljoner euro.
• USA: Felklassificering kan göra arbetsgivare ansvariga för obetalda arbetsgivaravgifter, sanktionsavgifter och ränta, där beloppet beror på omständigheterna kring överträdelsen.
• Brasilien: Felaktig eller försenad rapportering i eSocial kan utlösa sanktioner enligt de lagar som reglerar den aktuella arbetsrättsliga, skattemässiga eller socialförsäkringsrelaterade skyldigheten.

Lönebedrägerier skapar ytterligare en källa till finansiell exponering. Föreningen för certifierade bedrägeriutredare uppskattar att organisationer förlorar 5 % av sina intäkter till arbetsplatsbedrägerier varje år.

Author's Tip

Affärsargumentet för att investera i automatisering av lönehantering, efterlevnadsövervakning och konsoliderade plattformar är enkelt: kostnaden för förebyggande åtgärder är en bråkdel av kostnaden för att åtgärda problemen.

 

Organisationer som använder automatiserade motorer för skatteberäkning och integrerade löneplattformar rapporterar färre fel, medan konsoliderade plattformar minskar administrationen av leverantörer och ger ekonomichefer en samlad bild av de globala lönekostnaderna.

 

Den ekonomiska avkastningen beror i hög grad på arbetsstyrkans storlek, ländersammansättning, befintliga felfrekvenser, leverantörskostnader och mängden manuellt arbete som ersätts. I stället för att anta en standardiserad återbetalningsperiod bör du beräkna affärsnyttan utifrån dina nuvarande kostnader för löneadministration, tid för korrigering och avstämning, leverantörsavgifter, implementeringskostnader och exponering för bristande efterlevnad.

Global lönerisk per region

Regional risk är inte statisk. Ett land som innebär låg risk när du har fem anställda kan innebära hög risk när du har femtio. När antalet anställda ökar, arbetslagstiftningen förändras och din operativa mognad utvecklas, förändras riskprofilen. Dessa regionala översikter beskriver allmänna egenskaper, men den specifika exponeringen beror på arbetsstyrkans storlek, bolagsstruktur och verksamhetsmodell.

Europa (EU/EES)

Viktiga riskfaktorer: Tillsyn av dataskydd, krav på företagsråd, komplexa strukturer för sociala avgifter, frekventa förändringar i regelverket

Europa innebär en krävande miljö för regelefterlevnad. GDPR reglerar hur du samlar in, behandlar, lagrar och överför anställdas löneuppgifter. Överträdelser kan medföra böter på upp till 20 miljoner euro eller 4 % av den globala årsomsättningen.

Företagsråd i länder som Tyskland, Frankrike och Nederländerna kan ha rätt till samråd eller medbestämmande vid vissa förändringar som påverkar ersättning och anställningsvillkor. Varje land har också särskilda krav på lönerapportering, lönespecifikationer, skatter och sociala avgifter.

Frankrike kräver till exempel att arbetsgivare rapporterar löneuppgifter via DSN-systemet varje månad, medan Tyskland har beräkningar av kyrkoskatt som är kopplade till den anställdas religion.

Asien och Stillahavsområdet (APAC)

Viktiga riskfaktorer: Skillnader i regelverk på stads- och delstatsnivå, frekventa krav på lönerapportering, gränsöverskridande begränsningar av dataöverföring i vissa jurisdiktioner, landsspecifika förändringar i regelverket

Kinas lönesystem omfattar obligatoriska avgifter till socialförsäkringar och bostadsförsörjningsfonden, med skattesatser som varierar mellan städer. Shenzhen, Shanghai och Peking tillämpar alla olika tröskelvärden.

I Japan omberäknas den standardiserade månadslön som används för socialförsäkringen i regel årligen baserat på lön som erhållits från april till juni, med ytterligare regler för vissa omständigheter. Varje land kräver därför sin egen lönehantering och sina egna processer för regelefterlevnad.

Latinamerika (LATAM)

Viktiga riskfaktorer: Komplexa lagstadgade förmåner, landsspecifika rapporteringskrav, förändringar i regelverket, detaljerade arbetsrättsliga regler, valutavolatilitet på vissa marknader

Brasilien anses allmänt vara en av de mer komplexa jurisdiktionerna. Dess eSocial-system kräver att arbetsgivare skickar in dussintals typer av händelser inom anställning, lönehantering, avslut av anställning samt arbetsmiljö och säkerhet via en centraliserad digital plattform, med rapporteringsfrister och sanktioner som varierar beroende på den underliggande skyldigheten.

Mexiko har också genomfört reformer relaterade till anställning och lönehantering under de senaste åren och har ändrat reglerna för vinstdelning. I hela Latinamerika kan lagstadgade anställningskostnader sträcka sig långt utöver grundlönen. Många länder föreskriver en 13:e månadslön eller motsvarande bonus, semesterrelaterade ersättningar är vanliga och sociala avgifter kan överstiga 30 % på vissa marknader.

Mellanöstern och Afrika

Viktiga riskfaktorer: Efterlevnad av löneskyddsregler på Gulfmarknaderna, krav på nationell arbetskraft, landsspecifika skatte- och socialförsäkringsregler, föränderliga krav

Förenade Arabemiraten och Saudiarabien har var och en särskilda krav på lönehantering och efterlevnad av arbetsrättsliga regler. I Förenade Arabemiraten måste berörda arbetsgivare inom privat sektor betala löner via löneskyddssystemet genom godkända banker, finansinstitut och växlingskontor, så att ministeriet för mänskliga resurser och emiratisering kan övervaka efterlevnaden elektroniskt.

Kraven på lönehantering i Afrika varierar mellan länderna. Sydafrika har fastställda krav på PAYE, UIF och arbetsgivarrapportering som administreras genom SARS. Nigeria har ett lagstadgat avgiftsbaserat pensionssystem, och arbetsgivare kan även behöva hantera PAYE-skyldigheter hos olika delstatliga skattemyndigheter.

Så åtgärdar du globala lönerisker

Så här hanterar du vanliga globala lönerisker på rätt sätt.

1. Inrätta ett riskbaserat övervakningssystem

Att försöka övervaka varje förändring i varje land med samma intensitet är orealistiskt och ineffektivt. Bygg ett prioriteringsbaserat övervakningssystem som prioriterar utifrån tre faktorer:

• Antalet anställda i landet: En förändring som påverkar 500 anställda kräver omedelbar uppmärksamhet. En förändring som påverkar 3 anställda kan hanteras enligt en längre tidsplan.
• Påföljdernas allvarlighetsgrad: Vissa jurisdiktioner utdömer påföljder som står i proportion till omsättning eller antal anställda. Prioritera marknader där den ekonomiska kostnaden för bristande efterlevnad är högst.
• Förändringstakt: Länder som ofta ändrar sina regler, till exempel Brasilien, Indien och Frankrike, behöver kontinuerlig övervakning. Granska stabilare miljöer kvartalsvis.

Skapa ett landriskregister som poängsätter varje marknad utifrån dessa tre dimensioner och fastställer en övervakningsfrekvens. Granska och uppdatera registret kvartalsvis i takt med att fördelningen av er personal och regelverket förändras.

2. Inför processkontroller för betalningssäkerhet

Brister i betalningssäkerheten, oavsett om de beror på BEC-attacker, insiderhot eller processfel, hör till de mest skadliga löneriskerna. Inför följande kontroller som en prioritet:

• Dubbel attestering: Ingen enskild person ska kunna ändra bankkontouppgifter, betalningsbelopp eller mottagare utan ett andra godkännande från en oberoende part.
• Verifiering genom återuppringning: När en anställd begär en ändring av sina bankuppgifter ska begäran verifieras via en separat kanal, inte i samma e-posttråd.
• Avstämning av betalningsfil: Jämför varje betalning med löneregistret innan den skickas till banken. Markera nya konton, betalningar som överstiger en fastställd gräns över den normala lönen och betalningar till konton i länder där ni inte har några anställda.
• Arbetsdelning: Personen som behandlar löner ska inte vara samma person som godkänner betalningsfilen. Personen som lägger upp nya anställdas bankkonton ska inte vara samma person som kör lönekörningen.

3. Genomför en kvartalsvis granskning av åtkomst och kontroller

För varje lands löneverksamhet ska följande granskas kvartalsvis:

• Vem har åtkomst till löneprogramvaran? Ta bort åtkomsten för alla som har bytt roll eller lämnat organisationen. I en verksamhet i flera länder med 15 leverantörer är detta mer komplicerat än det låter. Skapa ett centraliserat åtkomstregister.
• Vad kan varje användare göra? Kontrollera att behörigheterna motsvarar de aktuella rollerna. En löneanalytiker ska inte ha administratörsåtkomst. En HR-chef för ett land ska inte kunna exportera den globala lönedatabasen.
• Är granskningsspåren intakta? Bekräfta att varje system loggar vem som fick åtkomst till vilka uppgifter, när det skedde och vilka ändringar personen gjorde. Om ert system inte tillhandahåller detta är det en brist i omsorgsplikten.
• Är krypteringsstandarderna aktuella? Kontrollera att lönedata är krypterad både i vila och under överföring. Detta är särskilt viktigt vid gränsöverskridande dataöverföringar.

4. Skapa en process för granskning av arbetstagarens klassificering

Vänta inte på en skatterevision för att upptäcka felklassificering. Genomför en proaktiv granskning:

1. Kartlägg alla entreprenörsrelationer i varje land.
2. För varje relation ska du utvärdera kontroll, exklusivitet, varaktighet och integration i verksamheten mot arbetsrätten i det land där arbetet utförs.
3. Flagga alla relationer där entreprenören arbetar exklusivt för ditt företag, använder din utrustning, följer ditt arbetsschema eller har varit anlitad i mer än 12 månader.
4. För flaggade relationer ska du inhämta ett juridiskt utlåtande från lokala arbetsrättsjurister innan nästa avtalsförnyelse.
5. Dokumentera varje klassificeringsbeslut och motiveringen bakom det. Om du blir föremål för en granskning kan det minska risken för sanktioner att visa att du gjort en seriös ansträngning för att klassificera korrekt.

5. Standardisera styrningen av leverantörer

Oavsett om du använder en global löneleverantör, en arbetsgivare på papperet (EOR) eller tio lokala leverantörer ska du tillämpa konsekventa styrningsstandarder:

• Standardiserade servicenivåavtal: Definiera mål för noggrannhet i hanteringen, tidsramar för att lösa fel, tidsfönster för att genomföra uppdateringar av regelverk samt sanktioner för fel som orsakats av leverantören.
• Månatliga verksamhetsgenomgångar: Gå tillsammans med varje leverantör igenom felfrekvenser, genomförda uppdateringar av regelverk, öppna frågor och kommande förändringar i regelverket.
• Enhetliga rapporteringskrav: Varje leverantör ska leverera data i ett enhetligt format som kan matas in i din rapportering. Definiera mallen och gör den till ett krav.
• Årlig efterlevnadskontroll: Begär uppdaterade SOC 2 Type II-rapporter och intyg om efterlevnad varje år. Om en certifiering löper ut ska frågan omedelbart eskaleras.

6. Dokumentera verksamhetens kunskap

Detta är det steg som oftast försummas och samtidigt ett av de viktigaste. För varje land där du hanterar löner ska du:

1. Dokumentera varje undantag, tillfällig lösning och landsspecifik konfiguration i ditt lönesystem.
2. Registrera de beslut om tolkning av regelverk som ditt team har fattat och varför.
3. Skapa körinstruktioner för varje land som en ny löneadministratör kan följa för att genomföra en hel löneperiod.
4. Uppdatera dessa dokument varje gång en process förändras.

Detta är skillnaden mellan en smidig övergång när en teammedlem slutar och ett halvår av stressigt arbete med att återskapa kunskap som aldrig skrevs ned.

7. Stresstesta ditt ramverk för efterlevnad

Att ha en dokumenterad process för att hantera förändringar i regelverket betyder ingenting om ingen följer den under press. Testa ditt ramverk regelbundet:

• Genomför skrivbordsövningar: Simulera en förändring av minimilönen mitt under året på en marknad med hög komplexitet. Kan ditt team identifiera förändringen, uppdatera systemet, räkna om lönen för berörda medarbetare och behandla korrigeringen inom en löneperiod?
• Simulera en BEC-attack: Fungerar den sekundära verifieringsprocessen faktiskt, eller kringgår människor den när de arbetar under tidspress?
• Testa din plan för incidenthantering: Vet dina teammedlemmar vem som ska underrättas, vad som ska dokumenteras och hur exponeringen ska begränsas?

Detta hjälper dig att identifiera brister i processerna innan de blir verkliga incidenter.

Förvandla riskmedvetenhet inom lönehantering till bättre kontroller

Att hantera risker inom global lönehantering är ett löpande arbete, inte en engångsinsats för efterlevnad. Registrera dig för vårt kostnadsfria medlemskap och nyhetsbrev för att få tillgång till praktiska verktyg, mallar, expertinsikter och evenemang som hjälper dig att stärka dina processer i takt med att kraven förändras.