Le risque lié à l’emplacement… une question de conformité et non un débat sur le télétravail
Par Simon Gray, vice-président, Solutions de main-d’œuvre
En résumé
L’endroit où un·e contractuel·le travaille réellement n’est pas une question de culture ni une préférence en matière de télétravail. Dans le cas d’un ensemble défini de postes, il s’agit d’une question de conformité, de fiscalité et de souveraineté des données, qui doit être confirmée, et non présumée.
Le scénario qui devrait vous inquiéter
Un·e contractuel·le est embauché·e pour un poste exigeant que le travail soit exécuté à l’intérieur d’une juridiction précise, pour des raisons de résidence des données, de contrôle des exportations ou de contrat client·e. Il·elle confirme l’emplacement lors de l’intégration. Le travail est de bonne qualité. Tout le monde passe à autre chose.
Des mois plus tard, un examen du journal des accès révèle des connexions provenant d’un pays qui n’a jamais été approuvé. Le travail était effectué à l’extérieur de la juridiction autorisée depuis le début. La question n’est désormais plus celle du rendement, mais de savoir si l’organisation a enfreint un contrat client·e, un règlement sur la protection des données ou une règle de contrôle des exportations pendant toute la durée du mandat.
L’emplacement… un contrôle et non une préférence
Pour la plupart des postes, l’endroit où une personne travaille relève véritablement de la préférence et de la flexibilité. Dans le cas d’un sous-ensemble précis, cet endroit détermine les lois applicables. L’emplacement détermine les obligations fiscales liées à la paie. Il détermine si le Règlement général sur la protection des données (RGPD) ou la Health Insurance Portability and Accountability Act (HIPAA) régit les données concernées. Il détermine si l’International Traffic in Arms Regulations (ITAR) ou les règles de contrôle des exportations sont enfreintes. Un·e travailleur·se qui accède à des données de citoyen·nes de l’Union européenne (UE) à partir d’un pays non approuvé crée une infraction, que l’employeur en ait eu connaissance ou non.
L’infrastructure permettant de dissimuler un emplacement s’est perfectionnée. Les fermes d’ordinateurs portables permettent à un·e travailleur·se de sembler établi·e localement tout en travaillant à l’étranger. Les réseaux de serveurs mandataires résidentiels acheminent le trafic par des adresses IP authentiques situées dans le pays visé. La confiance passive, soit le fait d’accepter l’emplacement déclaré sans vérification, ne constitue plus un contrôle.
Zones de concentration du risque
Les postes concernés sont repérables à l’avance :
- les postes touchant à des données réglementées, soit des données de santé, financières ou personnelles assujetties à des règles de résidence des données;
- les postes visés par des contrats client·es précisant l’endroit où le travail peut être exécuté;
- les postes assujettis à des exigences de contrôle des exportations ou de souveraineté, où une infraction liée à l’emplacement soulève une question de responsabilité criminelle;
- les postes avec accès privilégié aux systèmes, où un emplacement non vérifié aggrave tous les autres risques liés à l’accès.
Point de départ
Repérez les postes où l’emplacement constitue une variable de conformité, et non une préférence. Dans le cas de ces postes, confirmez activement l’emplacement par des vérifications de l’adresse IP et de la géolocalisation, plutôt qu’une simple attestation lors de l’intégration. Reconfirmez-le ensuite selon un calendrier établi, car un emplacement exact au premier jour peut changer sans préavis.
Dans tous les autres cas, maintenez la flexibilité en place. L’objectif n’est pas de surveiller chaque contractuel·le. Il s’agit plutôt d’appliquer une vérification réelle au petit nombre de postes où une erreur constitue une exposition juridique, et non un simple inconvénient.
Questions à transmettre à votre équipe
Lequel de nos postes comporte une exigence juridique ou contractuelle quant à l’endroit où le travail est exécuté? Confirmons-nous l’emplacement pour ces postes, ou nous fions-nous à une simple attestation? Si un organisme de réglementation ou un·e client·e nous demandait de prouver où un·e contractuel·le donné·e a travaillé le trimestre dernier, en serions-nous capables?
Prochaines étapes
Le service Solutions de main-d’œuvre de Procom aide les programmes à distinguer les postes où l’emplacement constitue un contrôle de conformité de ceux où il relève de la préférence, et à mettre en place une vérification qui résiste à l’examen des client·es et des organismes de réglementation.
Lisez le livre blanc complet : La fraude de la part des candidat·es dans l’embauche en entreprise. Pour discuter de l’exposition au risque de votre programme, communiquez avec nous.
La fraude de la part des candidat·es dans l’embauche en entreprise
À propos de l’auteur
Simon Gray, vice-président, Solutions de main-d’œuvre
Fort de plus de 25 ans d’expérience en dotation stratégique, Simon dirige la division Solutions de main‑d’œuvre de Procom afin d’aider les client·es à effectuer des embauches rapides et conformes.
