Kirjoittaja: Veli-Pekka Vähälummukka, Trivoren Program Director
Kuvitellaanpa tilanne: Mikko aloittaa maanantaiaamuna myyntitehtävässä. HR on lähettänyt tervetulopostin, kalenterikutsut on jaettu ja työpiste on siisti. Mutta kun Mikko avaa läppärin, ruudulla vilkkuu vain kirjautumisikkuna. Ei sähköpostia. Ei CRM:ää. Ei kulkukorttia ovelle.
Mihin kaikkiin järjestelmiin Mikko oikeastaan tarvitsee pääsyn? Ja kuka sen tietää? HR, esihenkilö, IT vai joku kolmas taho, joka toimittaa yhtä yksittäistä järjestelmää muiden joukossa?
Moni organisaatio tunnistaa tämän tilanteen liiankin hyvin.
Nykytila: pyyntöjen ketju, joka ei lopu
Kun uusi työntekijä aloittaa, hänelle ei haeta yhtä käyttöoikeutta vaan kymmeniä. Sähköposti, toiminnanohjaus, asiakasjärjestelmä, palkanlaskenta, kulunvalvonta, dokumenttienhallinta, mahdolliset toimialakohtaiset erikoisjärjestelmät. Lista jatkuu, ja jokainen rivi vaatii oman käyttöoikeuspyyntönsä.
Pahimmillaan pyyntöjä ei lähetetä edes yhdelle taholle. Osa järjestelmistä on ulkoistettu eri toimittajille, jolloin HR tai esihenkilö joutuu ottamaan yhteyttä useaan suuntaan ja odottamaan, että jokainen toimittaja käsittelee pyynnön omassa tahdissaan.
Lopputulos on tuttu. Mikko istuu ensimmäisen viikkonsa odottaen pääsyä työhönsä, esihenkilö kirjoittaa muistutusviestejä ja IT kokoaa palasia yhteen käsin. Jokainen manuaalinen vaihe on samalla myös virhemahdollisuus. Joko oikeus unohtuu kokonaan, tai sitä myönnetään turhan verkkaisesti, tai pahimmillaan oikeuksia annetaan liikaa ”varmuuden vuoksi”.
Miksi näin pääsee käymään
Tämä ei johdu siitä, että organisaatiot toimisivat huolimattomasti. Se johtuu siitä, että tieto työntekijän roolista ja tieto käyttöoikeuksista elävät eri järjestelmissä, jotka eivät keskustele keskenään. HR tietää, mihin tehtävään Mikko on palkattu. IT tietää, mitä järjestelmiä organisaatiossa on. Mutta kukaan ei automaattisesti yhdistä näitä kahta tietoa toisiinsa.
Niin kauan kuin tämä yhdistäminen tehdään käsin, joka ikinen uusi työntekijä toistaa saman kierroksen riippumatta siitä, kuinka monta kertaa organisaatio on sen jo tehnyt.
Kuvitellaan toisin: yksi tieto riittää
Entä jos HR:n ei tarvitsisi tietää yhtään järjestelmää, ainoastaan Mikon työtehtävän?
Tällaisessa maailmassa HR-järjestelmä kertoo identiteetin- ja pääsynhallintajärjestelmälle (IAM) yhden asian: Mikko on aloittanut myyntitehtävässä, tietyssä yksikössä, tiettynä päivänä. Siitä eteenpäin IAM-järjestelmä, kuten Trivore eIAM, tietää, mitä tuo tehtävä edellyttää, mihin järjestelmiin pääsy avataan, mitkä oikeustasot rooliin kuuluvat ja mitkä kulkuoikeudet toimipisteeseen tarvitaan. Yksi tieto käynnistää kaiken sen, mihin aiemmin tarvittiin kymmeniä erillisiä pyyntöjä.
Yksi asia on toki tehtävä ensin: roolit ja niihin kuuluvat oikeudet määritellään kertaalleen. Trivore eIAM -alustan hallintakäyttöliittymässä se onnistuu ilman koodausta, ja sama määrittely palvelee jokaista seuraavaa aloittajaa. Oikeudet viedään kohdejärjestelmiin valmiiden liittimien ja standardirajapintojen kautta, myös silloin, kun järjestelmää ylläpitää ulkopuolinen toimittaja.
Käytännössä ero näkyy suoraan Mikon ensimmäisenä päivänä: kirjautuminen onnistuu heti, kulkukortti toimii ovella, ja tarvittavat järjestelmät odottavat valmiina. Ei viikon kuluttua, vaan ensimmäisenä aamuna.
Seuraava askel: ei yhtään käyttöoikeuspyyntöä
Yhden pyynnön malli on jo merkittävä parannus, mutta se ei ole vielä lopputulema. Parhaimmillaan Mikon ei tarvitse itse pyytää mitään, eikä HR:nkään tarvitse käynnistää erillistä prosessia.
Kun HR-järjestelmä ja Trivore eIAM on integroitu suoraan toisiinsa, uuden työsuhteen tallentaminen HR-järjestelmään riittää. Integraatio välittää tiedon eteenpäin automaattisesti, ja käyttöoikeudet syntyvät taustalla ilman, että kukaan lähettää yhtäkään pyyntöä. Koska työsuhde kirjataan HR-järjestelmään yleensä jo ennen aloituspäivää, oikeudet voidaan valmistella etukäteen ja ne astuvat voimaan sovittuna päivänä. Ensimmäinen konkreettinen merkki koko prosessista on se, että Mikko kirjautuu sisään ja kaikki toimii.
Automaattisesti syntyvät vain roolin mukaiset perusoikeudet. Jos Mikko tarvitsee jotain roolinsa ulkopuolelta, hän pyytää sitä itsepalveluportaalissa ja esihenkilö hyväksyy pyynnön. Oikeuksia ei siis jaeta varmuuden vuoksi vaan roolin perusteella.
Sama periaate toimii myös toiseen suuntaan. Kun työsuhde päättyy tai tehtävä muuttuu, integraatio poistaa tai muuttaa oikeudet yhtä automaattisesti kuin ne aikanaan syntyivät. Käyttöoikeudet eivät jää roikkumaan sen jälkeen, kun niiden peruste on lakannut.
Mitä tämä tarkoittaa käytännössä
- Terveydenhuolto: Uusi hoitaja saa pääsyn potilastietojärjestelmään ja työvuorosuunnitteluun heti, kun HR kirjaa työsuhteen alkavaksi. Erillistä IT-tikettiä ei tarvita jokaista järjestelmää kohden.
- Kunta: Uuden rakennustarkastajan oikeudet lupajärjestelmään ja asianhallintaan avautuvat tehtävänimikkeen perusteella, kun taas taloushallinnon hyväksyntäoikeudet pysyvät suljettuina, koska rooli ei niitä edellytä.
- Joukkoliikenne: Uuden kuljettajan pääsy lippujärjestelmään ja työvuorosuunnitteluun syntyy samassa hetkessä kuin työsuhde alkaa, riippumatta siitä, kuinka moni eri toimittaja näitä järjestelmiä ylläpitää.
Jokaisessa esimerkissä sama periaate toistuu: käyttöoikeus seuraa roolia, ei manuaalista pyyntöä.
Yhteenveto
Kymmenien käyttöoikeuspyyntöjen ketju ei ole väistämätön osa uuden työntekijän aloitusta vaan merkki siitä, että roolitieto ja käyttöoikeudet elävät toisistaan erillään. Kun ne yhdistetään IAM-järjestelmän avulla, yksi tieto työtehtävästä riittää käynnistämään kaiken tarvittavan. Ja kun HR-järjestelmä ja Trivore eIAM keskustelevat suoraan keskenään, paras lopputulos on se, ettei kukaan edes huomaa prosessia, koska sitä ei tarvitse enää käynnistää käsin.
Mikon näkökulmasta ero on yksinkertainen: ensimmäinen työpäivä alkaa työllä, ei odottamisella.
Haluatko nähdä, miten tämä toimisi oman HR-järjestelmäsi kanssa? Tutustu Trivore eIAM -alustaan tai ota meihin yhteyttä.