Andrew Johnson, CEO of Yardstik – Interviewserie

Andrew Johnson, administrerende direktør for Yardstik, er en erfaren teknologiledelse med baggrund i at skalere højvækstsoftwarevirksomheder, opbygge go-to-market‑organisationer og drive virksomhedens indtægter. Han tiltrådte Yardstik som Chief Operating Officer i 2022, før han blev forfremmet til administrerende direktør i oktober 2024. Tidligere var Johnson Chief Revenue Officer hos Branch, hvor han hjalp med at lede workforce‑betalingsvirksomheden gennem en periode med hurtig vækst, og han tilbragte mere end fem år hos Dialpad, herunder som Head of Enterprise Sales, hvor han hjalp med at opbygge deres salgsoperationer i USA og Canada. Tidligere i sin karriere havde han roller inden for forretnings- og partnerudvikling hos Compellent Technologies, som blev opkøbt af Dell for cirka $960 million i 2011.

Yardstik er et i Minneapolis baseret workforce‑trust‑teknologifirma grundlagt i 2020, som leverer svindelforebyggelse, identitetsverifikation, baggrundstjek, legitimationsverifikation og kontinuerlig overvågning af arbejdsstyrken via sin Human Trust Platform. Virksomheden er bygget omkring en API‑first‑arkitektur, der gør det muligt at integrere teknologien direkte i applicant tracking‑systemer, human capital management‑platforme, gig‑markedspladser og andre arbejdsstyrke‑applikationer. Yardstik understøtter også Model Context Protocol (MCP), som gør det muligt for AI‑agenter at koble sig på dens tillidsinfrastruktur og automatisere arbejdsgange såsom baggrundstjek, identitetsverifikation, legitimationsscreening, gen‑screening og afgørelse inden for AI‑drevne ansættelses‑ og onboarding‑systemer.

Før du begyndte hos Yardstik, tilbragte du mere end fem år hos Branch, hvor du førstehånds så en svindelring, der brugte stjålne Social Security‑numre til at få job under andres identiteter. Hvordan ændrede den oplevelse din måde at tænke på baggrundstjek, og hvornår indså du, at identitetsverifikation skulle strække sig ud over en engangs‑kontrol ved ansættelse?

Da jeg var hos Branch, blev en af vores største kunder ramt af en svindelring fra Venezuela, noget som gig‑platforme generelt oplever. De stjal amerikanske Social Security‑numre og solgte dem til personer, der ikke havde ret til at arbejde i USA. En person ville ansøge under en stjålet identitet, begynde at levere, og alt så fint ud indtil skattesæsonen, hvor den egentlige SSN‑indehaver modtog en 1099‑regning for arbejde, de aldrig havde udført. Det var første gang, jeg så svindel dukke op på den anden side af en ansættelsesbeslutning i stedet for under den.

Det var øjeblikket, der virkelig omdefinerede tingene for mig. Jeg indså, hvor ofte personer, der består et baggrundstjek, ikke er den, der møder op til jobbet. For eksempel gennemfører en person med en ren historik screeningen, hvorefter et familiemedlem, som ikke kunne have bestået den, overtager den faktiske vagt. Et baggrundstjek har ingen måde at opfange det på, fordi det kun ser på ansøgeren på papir, én gang, helt i starten. Da jeg kom til Yardstik, medbragte jeg det, jeg havde lært fra min tid hos Branch, og arbejdede sammen med teamet om at udvikle en kontinuerlig overvågningsmetode for vores kunder.

Generativ AI har dramatisk sænket barrieren for at skabe falske identiteter, forfalskede legitimationsoplysninger, syntetiske profiler og endda overbevisende deepfakes. Hvilke AI‑aktiverede svindelteknikker udvikler sig hurtigst i dag, og hvilke mener du, at arbejdsgivere er mindst forberedte på?

Den hurtigst bevægende svindel lige nu er ikke den flashy deepfake‑video. Det er syntetisk identitet: et rigtigt Social Security‑nummer kombineret med et falskt navn og en opfundet arbejdshistorik, sammensat til noget, der ser rent ud første gang, nogen tjekker det. Tilføj AI‑værktøjer, der genererer et poleret CV og et matchende sæt legitimationsoplysninger, så har du en ansøger.

Hvad arbejdsgivere er mindst forberedte på, er den fjernansatte, som aldrig er mødt personligt. Gig‑platforme, fjern‑IT‑roller, virtuelle callcentre. Hvis ingen i virksomheden nogensinde ser denne person, forsvinder alle de signaler, der plejede at fange en svindler (et nervøst interview, et ID, der ser lidt mærkeligt ud i person). Det er præcis dér, fjern‑ansættelses‑svindelringe har opereret, og de fleste virksomheder betragter det stadig som en andens problem, indtil det rammer dem.

Yardstik er gået fra traditionel baggrundsscreening til en bredere platform, der kombinerer AI‑svindelforebyggelse, identitetsverifikation, legitimationsverifikation og kontinuerlig overvågning. Hvilken rolle spiller AI i at forbinde disse signaler, og hvad kan systemet opdage, som en konventionel baggrundskontrol ikke kan?

Yardstik startede som et baggrundsscreening‑firma, og for de fleste kunder er det stadig et grundlæggende element af, hvad vi gør. Men et baggrundstjek er en enkelt transaktion: udfør det, få et svar, smid dataene væk. Det, der forbinder svindelforebyggelse, identitetsverifikation, legitimationskontroller og overvågning til én helhed, er, at vi ikke smider dataene væk. Vi opretholder en profil på en kandidat over tid, og hver ny kontrol tilføjer til den i stedet for at starte fra nul.

Det er det, der gør det muligt for os at fange ting, som en engangs‑kontrol aldrig vil. For eksempel havde en af vores kunder svindlere, der gentagne gange forsøgte at komme ind i agentkonti med adgang til kundernes skattedata. Fordi vi kunne se den samme enhed eller den samme let ændrede identitet dukke op på tværs af flere forsøg, kunne vi stoppe det, før det nogensinde blev en screening‑beslutning. En engangs‑kontrol ville have set på hver af de ansøgninger isoleret og accepteret dem alle.

Yardstik bruger signaler såsom personlige identitetsdata, betalingsaktivitet og enheds- eller lokationsindikatorer til at afsløre potentiel identitetssvindel. Hvordan adskiller du ægte mistænkelig adfærd fra usædvanlig men legitim adfærd, især når AI-modeller bliver ansvarlige for at evaluere stadig mere komplekse mønstre?

Vi forsøger ikke at trække en hård grænse mellem mistænkelig og usædvanlig, fordi der ofte ikke er en sådan i det øjeblik, vi ser den. Det, vi gør, er at fremhæve forskellen. Hvis en ansøgers ansøgning angiver én skole, og et år senere en ny ansøgning under samme identitet angiver en anden skole, er det værd at kigge nærmere. Hvis en person altid har ansøgt fra en iPhone og så dukker op på en Android med en ny IP-adresse, er det det samme. Ingen af dem betyder svindel i sig selv, men flere signaler kombineret begynder at hæve risikoprofilen. Vi er laget, der markerer, hvad der er ændret siden sidste gang vi så personen, og giver arbejdsgivere flere data til at hjælpe dem med at træffe informerede beslutninger.

Yardstik siger, at cirka én ud af 30 ansøgere fejler den offentlige ID-verifikation, mens flaggede eller duplikerede Social Security-numre blokeres dagligt. Hvad lærer du af disse data om, hvordan svindel i arbejdsstyrken udvikler sig, og hvor meget af det, du støder på, fremstår som organiseret snarere end opportunistisk?

Disse data viser, at identitetssvindel i ansættelsesprocessen ikke længere er et marginalt problem. Det er blevet en grundlæggende omkostning ved at drive forretning i enhver reel skala, på samme måde som chargebacks er grundlæggende inden for betalinger. En væsentlig del af det forekommer organiseret snarere end opportunistisk. Opportunistisk svindel har typisk karakter af en enkeltstående hændelse: nogen puffer et CV eller manipulerer en dimissionsdato. Organiseret svindel viser et mønster, den samme enhed eller den næsten identiske identitet, der forsøger den samme type job hos forskellige arbejdsgivere, nogle gange ændrer én detalje ad gangen for at se, hvad der slipper igennem. Det er den version, jeg så for år tilbage med stjålne SSNs, der blev videresolgt, og det er den version, jeg stadig ser i dag. Det er blot automatiseret nu og kører i et meget højere volumen, fordi generative tools har gjort de falske identiteter billigere at producere.

Identitetsverifikation inkorporerer i stigende grad offentlige ID’er, biometrik, livstests, enhedssignaler og andre risikindikatorer. Efterhånden som generative modeller bliver mere i stand til at producere realistiske dokumenter, ansigter og stemmer, hvilke signaler mener du vil forblive de sværeste for angribere at forfalske?

Alt, hvad du kan generere som et enkelt artefakt – et foto, et dokument, endda en kort video – bliver stadigt lettere at forfalske overbevisende. Det, der forbliver svært at forfalske, er konsistens over tid, på tværs af steder som ingen kontrollerer samlet. En syntetisk identitet kan bestå én livstest med en tilstrækkelig god deepfake. Det er meget sværere for den samme identitet også at have en matchende enhedshistorik, et matchende lokationsmønster og en arbejdshistorik, der stemmer overens på samme måde som en rigtig person over arbejdsgivere og år. Det er egentlig grundlaget for kontinuerlig overvågning i stedet for et enkelt verifikationsøjeblik. En traditionel kontrol giver dig et fotografi, én ramme, taget én gang. Vores fungerer mere som en live‑feed, fordi den er bygget til at opdage, når rammerne holder op med at matche hinanden.

Kontinuerlig overvågning udgør et stort skift fra at verificere en person én gang til at vurdere tillid gennem hele medarbejderens livscyklus. Hvordan designer du den type system uden at skabe unødvendig overvågning, falske positiver eller beslutninger, som arbejdstagere har svært ved at forstå eller udfordre?

Overvågning er at holde øje med nogen, der ikke ved, at de bliver overvåget. Sådan fungerer det ikke. Hver medarbejder, vi overvåger, har givet skriftligt samtykke, de ved præcis, hvad der bliver tjekket, og ifølge loven skal vi give dem en kopi af alt, vi finder, samt en måde at bestride det på, hvis det er forkert. Intet af dette er valgfrit. Det er FCRA.

Den anden del er, at vi ikke træffer beslutningen selv. Hvis en anholdelse dukker op på en person, vi overvåger, er det et flag for arbejdsgiveren at undersøge, ikke en dom. Retsprocessen gælder stadig. Arbejdsgivere skal underrette kandidaten, give dem en chance for at svare, og derefter træffe en endelig afgørelse. Vores job stopper ved at fremhæve, at noget er ændret; arbejdsgiveren beslutter, hvad det betyder, og hvad der skal gøres, på samme måde som de ville med et tjek ved ansættelse. Vi har bevidst bygget det på den måde.

Efterhånden som rekruttering og arbejdsstyringsprocesser bliver mere agentbaserede, hvor bør grænsen ligge mellem en AI‑agent, der indsamler og evaluerer tillidssignaler, og faktisk træffer en væsentlig ansættelsesbeslutning?

Jeg vil placere grænsen, hvor loven allerede placerer den for os i dag. Vi er omhyggelige med ikke at kalde os et AI‑firma, fordi vores branche har et hårdt krav om, at et menneske skal være involveret i alt, der berører en tvist eller en negativ beslutning. En agent kan indsamle signaler, vurdere dem, flagge det, der er ændret. Det, den ikke bør gøre på egen hånd, er at beslutte, om nogen ikke får jobbet eller ikke beholder det, fordi den beslutning skal knyttes til en person, der er ansvarlig for den og kan forklare den, hvis den bliver udfordret.

Efterhånden som ansættelsesprocessen bliver mere automatiseret fra ende til anden, tror jeg, at den grænse bliver vigtigere, ikke mindre. Jo lettere det bliver at lade en agent styre hele tragten, desto mere fristende er det at lade den også træffe beslutningen til sidst. Indsamling og evaluering af tillidssignaler er præcis det, software bør gøre hurtigere. At beslutte en persons levebrød er ikke noget, jeg overhovedet ville overlade.

Med den nye $30 million Series B, der bringer Yardstiks samlede finansiering op på $65 million, hvilke områder inden for AI og svindelforebyggelse mener du nu kræver den største investering, og hvilke tekniske problemer skal stadig løses for at kontinuerlig identitetsverifikation kan fungere i meget større skala?

Vi investerer den nye kapital i de dele af svindelforebyggelse, der er mindst glamourøse og dyreste at bygge ordentligt. Motorvehiclesrapporter og OIG‑eksklusionsmonitorering. Automatiske advarsler i det øjeblik, et kørekort, en forsikringspolice eller en certificering udløber, i stedet for at vente på næste fornyelsesperiode for at opdage det.

Det tekniske problem, som ingen i denne branche har løst, er omkostningerne. Mange lande og stater opkræver deres eget gebyr for at hente en post, nogle gange over $100 for en enkelt forespørgsel i et sted som New York, og den pris falder ikke bare fordi du vil tjekke nogen oftere. At gøre kontinuerlig verifikation tilstrækkeligt overkommelig, så en virksomhed med tusindvis af gig‑arbejdere faktisk kan køre den månedligt i stedet for én gang om året, er lige så meget et problem med datakilder og prisfastsættelse som et maskinlæringsproblem. Det er det, jeg tænker mest på lige nu.

Der opstår en interessant våbenkapløb: AI gør identitetssvindel både lettere og giver platforme bedre værktøjer til at opdage den. Når begge sider forbedres, forventer du så, at det bliver væsentligt sværere at bevise, at nogen virkelig er den, de påstår at være, eller vil AI i sidste ende gøre digital identitet mere pålidelig, end den nogensinde har været?

Begge dele er sande, og jeg tror ikke, at den ene ophæver den anden. Vores kunder fortæller ofte, at de forventer, at vi kan “slå ild med ild.” De ved, at vi har brug for moderne løsninger på moderne problemer. Min ærlige vurdering er, at digital identitet bliver mere pålidelig for de systemer, der er bygget til at spore nogen over år og på tværs af platforme, og den bliver mindre pålidelig for alt, der stadig satser på et enkelt øjebliks tjek. Det betyder, at virksomheder, der kun har verificeret nogen én gang, vil blive de mest udsatte, mens dem, der har bygget for det lange perspektiv, vil fremstå meget klogere i eftertid end de sandsynligvis føler i dag.

Tak for det gode interview, læsere der ønsker at lære mere, bør besøge Yardstik.