Jak ocenić dostawcę usług HR pod kątem ESG? Checklista dla HR i procurementu

Najpierw określ, jakie ryzyko wiąże się z usługą

Nie każdy dostawca HR wymaga takiego samego poziomu weryfikacji. Innego podejścia będzie wymagała firma prowadząca jednorazowe szkolenie, a innego partner, który:

• zatrudnia setki pracowników na potrzeby klienta,
• przetwarza dane płacowe,
• prowadzi dokumentację pracowniczą,
• obsługuje cudzoziemców,
• deleguje pracowników,
• korzysta z własnych podwykonawców,
• udostępnia system HR zintegrowany z infrastrukturą klienta.

Dlatego ocena dostawcy powinna zacząć się od dwóch pytań. Pierwsze z nich brzmi: jak duży wpływ na ludzi i procesy ma ta usługa? Drugie to: co się stanie, jeśli dostawca nie spełni przyjętych standardów? Im większy dostęp dostawcy do danych, pracowników i kluczowych procesów, tym dokładniejsza powinna być jego weryfikacja.

1. Sprawdź standardy zatrudnienia, nie tylko formalną zgodność

W przypadku dostawców pracy tymczasowej, outsourcingu czy usług związanych z mobilnością pracowników jednym z najważniejszych obszarów oceny jest sposób zatrudniania ludzi. W tym przypadku należy pochylić się nad pytaniem, czy proces zatrudnienia jest legalny, przejrzysty i zrozumiały dla pracownika. Warto sprawdzić między innymi:

• jak dostawca weryfikuje dokumentację,
• jak przedstawia kandydatom warunki pracy,
• jak komunikuje wynagrodzenie i sposób jego naliczania,
• jak obsługuje czas pracy,
• jak wygląda onboarding,
• jak rozwiązuje problemy kadrowe i płacowe,
• jak postępuje przy zatrudnianiu cudzoziemców,
• czy pracownik wie, do kogo może zwrócić się z pytaniem.

Warto przy tym rozdzielić dwie kwestie. Zgodność z prawem jest podstawowym wymaganiem wobec dostawcy. Ocena ESG może natomiast obejmować również sposób zarządzania ryzykiem, przejrzystość procesów, działania naprawcze i standardy wykraczające poza samo minimum prawne. Sama deklaracja „działamy zgodnie z prawem” niewiele mówi o tym, jak proces wygląda w rzeczywistości. Znacznie więcej można dowiedzieć się, prosząc o opis konkretnych działań.

O co zapytać dostawcę?

Zamiast pytać:

„Czy przestrzegają Państwo prawa pracy?”

lepiej zapytać:

„Jak wygląda weryfikacja poprawności dokumentacji przed rozpoczęciem pracy?”

„W jaki sposób pracownik otrzymuje informacje o wynagrodzeniu i czasie pracy?”

„Kto odpowiada za wyjaśnienie rozbieżności w rozliczeniu?”

Takie pytania pozwalają ocenić rzeczywisty sposób działania, a nie tylko samą deklarację.

2. Zweryfikuj podejście do praw człowieka i równego traktowania

W usługach HR prawa człowieka nie są abstrakcyjnym zagadnieniem. Dotyczą codziennych decyzji rekrutacyjnych i pracowniczych, w tym przeciwdziałania dyskryminacji, godnego traktowania, bezpieczeństwa, warunków zatrudnienia czy możliwości zgłaszania nieprawidłowości.

Dostawca powinien być w stanie pokazać, jakie zasady stosuje wobec pracowników, kandydatów i podwykonawców. Warto sprawdzić, czy posiada:

• politykę praw człowieka lub równoważne standardy,
• zasady przeciwdziałania dyskryminacji i mobbingowi,
• kodeks etyczny,
• odpowiedni mechanizm zgłaszania naruszeń, jeżeli dotyczy,
• zasady ochrony osób zgłaszających problemy, zgodne z obowiązującymi przepisami,
• procedurę reagowania na potwierdzone nieprawidłowości.

Sama obecność polityki czy procedury nie powinna jednak kończyć oceny. Kolejne pytania powinny dotyczyć praktyki: czy pracownicy wiedzą o jej istnieniu? Czy dostawca prowadzi szkolenia? Kto analizuje zgłoszenia? Jakie działania podejmuje po stwierdzeniu niezgodności?

3. BHP: sprawdź sposób zarządzania ryzykiem, nie liczbę procedur

W pracy tymczasowej obowiązki związane z bezpieczeństwem są określone w przepisach i mogą być dodatkowo rozdzielone między agencję pracy tymczasowej a pracodawcę użytkownika. Dlatego szczególnie ważne jest jasne określenie ról i odpowiedzialności. Przy ocenie dostawcy warto sprawdzić:

• jak identyfikuje zagrożenia,
• jak wygląda przygotowanie pracownika do pracy,
• kto odpowiada za badania i szkolenia,
• jak przekazywane są informacje o ryzyku zawodowym,
• jak wygląda współpraca z klientem po wystąpieniu incydentu,
• czy analizowane są zdarzenia potencjalnie wypadkowe,
• jak monitorowane są działania naprawcze.

Dobrym pytaniem podczas audytu będzie: „Proszę opisać, co dzieje się od momentu zgłoszenia wypadku lub zagrożenia do zamknięcia działań naprawczych.”

Odpowiedź może sporo powiedzieć o dojrzałości procesu więcej niż sama informacja o liczbie przeprowadzonych szkoleń.

4. Bezpieczeństwo danych powinno być jednym z głównych kryteriów

Dostawcy HR pracują na szczególnie istotnym zasobie: danych ludzi. W zależności od zakresu usługi mogą przetwarzać dane identyfikacyjne, kontaktowe, finansowe i płacowe, a także informacje dotyczące absencji, zatrudnienia, dokumentów czy procesu rekrutacyjnego. Niektóre informacje dotyczące absencji mogą przy tym obejmować dane dotyczące zdrowia, podlegające szczególnej ochronie. Dlatego ocena bezpieczeństwa informacji nie powinna ograniczać się do pytania, czy dostawca działa w zgodzie z RODO. Warto sprawdzić, jak naprawdę zarządza on informacją i dostępem do niej.

Warto zapytać między innymi:

• jak nadawane i odbierane są dostępy do systemów,
• czy uprawnienia są okresowo przeglądane,
• jak chronione są dane podczas przesyłania i przechowywania,
• jak dostawca reaguje na incydenty,
• czy wykonuje kopie zapasowe,
• jak testuje ciągłość działania,
• w jaki sposób zabezpiecza integracje systemowe,
• czy regularnie szkoli pracowników z bezpieczeństwa informacji,
• czy prowadzi audyty bezpieczeństwa.

Przy bardziej krytycznych usługach można również sprawdzić stosowane standardy i certyfikacje. Sam certyfikat nie powinien jednak zastępować oceny procesu. Najważniejsze jest to, czy organizacja rzeczywiście zarządza dostępem, ryzykiem i incydentami.

5. Etyka i compliance: sprawdź, co dzieje się po wykryciu problemu

Dostawca może posiadać kodeks etyki, politykę antykorupcyjną i procedurę zgłaszania nieprawidłowości. To ważne, ale równie istotne jest pytanie, co dzieje się, gdy jedna z zasad zostanie naruszona? Dojrzały system compliance powinien obejmować nie tylko same regulacje, ale również:

• możliwość poufnego zgłoszenia problemu,
• proces jego weryfikacji,
• określenie odpowiedzialności,
• analizę przyczyn,
• działania korygujące,
• monitorowanie ich wykonania,
• możliwość aktualizacji procesu, jeżeli problem miał charakter systemowy.

Warto także sprawdzić kwestie konfliktu interesów, korupcji, oszustw, prezentów i uczciwej konkurencji. W usługach HR może mieć to szczególne znaczenie przy rekrutacji, zakupach, wyborze podwykonawców czy dostępie do informacji klientów.

6. Zapytaj o podwykonawców

To jeden z elementów, który łatwo pominąć podczas oceny dostawcy. Firma może dokładnie zweryfikować swojego bezpośredniego partnera, ale nie wiedzieć, kto faktycznie wykonuje część usługi. Dotyczy to między innymi:

• podwykonawców operacyjnych,
• dostawców technologii,
• centrów danych,
• firm transportowych i zakwaterowania,
• partnerów rekrutacyjnych,
• lokalnych podmiotów wykorzystywanych przy projektach międzynarodowych.

Dlatego warto ustalić:

• czy dostawca korzysta z podwykonawców,
• do jakich procesów ich angażuje,
• według jakich kryteriów ich wybiera,
• czy nakłada na nich wymagania dotyczące etyki, zatrudnienia, danych i BHP,
• czy może ich kontrolować,
• co robi po stwierdzeniu niezgodności.

Jest to szczególnie ważne wtedy, gdy część ryzyka operacyjnego zostaje przesunięta dalej w łańcuchu dostaw.

7. Nie pytaj tylko o polityki. Poproś o dowody

Deklaracja mówi, co firma zamierza robić. Dowód pokazuje, czy rzeczywiście to robi. Dlatego przy ważniejszych dostawcach warto poprosić nie tylko o odpowiedzi w ankiecie, ale również o dokumenty lub przykłady potwierdzające działanie danego procesu. Mogą to być:

• polityki i kodeksy,
• procedury operacyjne,
• zakresy odpowiedzialności,
• przykładowe checklisty,
• potwierdzenia szkoleń,
• raporty z audytów,
• certyfikaty,
• statystyki dotyczące incydentów,
• przykłady działań korygujących,
• informacje o ocenie podwykonawców.

Nie chodzi jednak o zbieranie dokumentów dla samego archiwum. Każdy dokument lub dowód powinien odpowiadać na konkretne pytanie dotyczące ryzyka.

8. Nie pomijaj aspektów środowiskowych

W usługach HR wpływ środowiskowy może być mniejszy niż w przypadku dostawców produkcyjnych, ale nadal warto uwzględnić go w ocenie. W zależności od rodzaju usługi można sprawdzić między innymi:

• sposób ograniczania zużycia papieru,
• poziom digitalizacji dokumentów,
• zużycie energii,
• sposób zarządzania sprzętem IT,
• gospodarkę odpadami,
• wymagania środowiskowe wobec podwykonawców.

Nie każde kryterium będzie istotne dla każdego dostawcy. Tak jak w przypadku pozostałych elementów ESG, zakres oceny powinien wynikać z charakteru usługi i poziomu ryzyka.

Jak stworzyć praktyczną checklistę ESG dla dostawcy HR?

Nie ma potrzeby tworzenia 150-pytaniowej ankiety dla każdej firmy. Znacznie skuteczniejsze jest oparcie oceny na kilku kluczowych obszarach.

Na tej podstawie można zbudować scoring dopasowany do własnego poziomu ryzyka. Nie wszystkie kryteria muszą mieć taką samą wagę.

Dla dostawcy payrollu bezpieczeństwo danych i ciągłość działania mogą mieć większe znaczenie niż jego bezpośredni wpływ na BHP. W przypadku agencji pracy tymczasowej kluczowe będą natomiast warunki zatrudnienia, legalność procesów, bezpieczeństwo pracy i obsługa pracowników.

Ocena dostawcy powinna zależeć od ryzyka

Jednym z błędów jest stosowanie identycznej ankiety do wszystkich dostawców. Znacznie lepszym rozwiązaniem jest ich segmentacja.

Niskie ryzyko

Usługa ma ograniczony wpływ na ludzi i dane. W takim przypadku może wystarczyć podstawowa kwalifikacja oraz zaakceptowanie kodeksu dostawcy.

Średnie ryzyko

Dostawca ma stały dostęp do procesów HR, danych lub pracowników. Warto wtedy przeprowadzić rozszerzoną ankietę i zweryfikować wybrane dokumenty.

Wysokie ryzyko

Dostawca obsługuje proces krytyczny, zatrudnia dużą liczbę osób, przetwarza dane wymagające szczególnej ochrony albo korzysta z rozbudowanego łańcucha podwykonawców. W takim przypadku uzasadniona może być szczegółowa ocena, audyt, dodatkowe wymagania umowne i cykliczny monitoring. Dzięki takiemu podejściu HR i procurement mogą skupić uwagę przede wszystkim na tych obszarach, w których ewentualna niezgodność miałaby największe konsekwencje.

Co zrobić, gdy dostawca nie spełnia jednego z kryteriów?

Ocena ESG nie powinna automatycznie prowadzić do odrzucenia dostawcy z powodu braku dokumentu. Znaczenie ma przede wszystkim charakter stwierdzonego braku. Inaczej należy potraktować brak rozbudowanego raportu ESG w małej firmie technologicznej, a inaczej brak kontroli dostępu do danych pracowników. Dlatego po wykryciu luki warto odpowiedzieć na cztery pytania:

1. Jakiego ryzyka dotyczy?
2. Jak poważne mogą być konsekwencje?
3. Czy dostawca potrafi wdrożyć działanie naprawcze?
4. W jakim terminie można sprawdzić jego skuteczność?

Dopiero na tej podstawie można podjąć decyzję o rozpoczęciu, kontynuowaniu albo ograniczeniu współpracy.

Zobacz także: Raport ESG LeasingTeam Group za 2025 rok

Ocena dostawcy nie kończy się po podpisaniu umowy

To kolejny częsty problem. Dostawca przechodzi kwalifikację, podpisuje umowę, a później przez kilka kolejnych lat nikt ponownie nie sprawdza jego standardów. Tymczasem mogą zmienić się przepisy, zakres usługi, wykorzystywane systemy, podwykonawcy, skala przetwarzanych danych, liczba obsługiwanych pracowników, profil ryzyka.

Dlatego dostawców o większym znaczeniu warto oceniać również po rozpoczęciu współpracy. Monitoring może obejmować aktualizację dokumentów, wskaźniki SLA, incydenty, skargi pracowników, wyniki audytów, działania naprawcze, zmiany podwykonawców, nowe ryzyka. Dzięki temu ocena ESG staje się częścią zarządzania relacją z dostawcą, a nie jednorazowym formularzem procurementowym.

HR i procurement powinny oceniać dostawcę razem

W przypadku usług HR wybór partnera często znajduje się na styku kilku funkcji.

• Procurement analizuje warunki handlowe.
• HR ocenia jakość usługi i doświadczenie pracowników.
• Legal lub compliance sprawdza zgodność.
• IT i bezpieczeństwo informacji analizują systemy i dane.
• BHP koncentruje się na warunkach pracy.

Każdy z tych obszarów patrzy na dostawcę z innej perspektywy. Ocena ESG łączy te perspektywy w jeden proces oceny ryzyka i dlatego może być użyteczna. Nie chodzi o to, aby HR przejął odpowiedzialność za wszystkie obszary, ale o to, aby przed podjęciem decyzji organizacja miała możliwie pełny obraz dostawcy.

12 pytań przed wyborem dostawcy usług HR

Na pierwszym etapie oceny warto zadać dostawcy przynajmniej te pytania:

1. Jak weryfikują Państwo zgodność procesów zatrudnienia z przepisami?
2. Jak pracownik otrzymuje informacje o warunkach pracy i wynagrodzeniu?
3. Jakie standardy dotyczące praw człowieka i równego traktowania obowiązują w organizacji?
4. Jak można zgłosić nieprawidłowość?
5. Jak analizowane są zgłoszenia i kto odpowiada za działania naprawcze?
6. Jak wygląda zarządzanie BHP i reakcja na wypadki lub zagrożenia?
7. Jak zarządzają Państwo dostępem do danych kandydatów i pracowników?
8. Jak wygląda procedura reagowania na incydent bezpieczeństwa?
9. Jak zapewniają Państwo ciągłość działania krytycznych usług?
10. Czy korzystają Państwo z podwykonawców i jak są oni weryfikowani?
11. Jakie audyty lub kontrole obejmują kluczowe procesy?
12. W jaki sposób monitorują Państwo wdrożenie działań naprawczych?

Nie każda odpowiedź musi mieć formę rozbudowanego dokumentu. Powinna jednak pokazywać, że za deklaracją stoją konkretny proces, odpowiedzialność i możliwość weryfikacji.

Dobry dostawca nie powinien tylko dobrze wypaść w ankiecie

Dojrzała ocena dostawcy nie polega na znalezieniu firmy, która zaznaczy „tak” przy największej liczbie pytań. Chodzi o znalezienie partnera, który:

• rozumie własne ryzyka,
• potrafi pokazać, jak nimi zarządza,
• reaguje na niezgodności,
• jest w stanie udokumentować swoje działania.

W usługach HR ma to szczególne znaczenie, ponieważ przedmiotem współpracy są nie tylko procesy i systemy, ale również ludzie i ich dane.Dlatego cena, termin realizacji i SLA nadal pozostają ważne. Przy krytycznych procesach trzeba jednak zadać jeszcze jedno pytanie:

Czy sposób działania tego dostawcy jest zgodny ze standardami, które sami chcemy utrzymywać jako organizacja?