Andrew Johnson, CEO van Yardstik – Interviewreeks

Andrew Johnson, CEO van Yardstik, is een ervaren technologie‑executive met een achtergrond in het opschalen van snelgroeiende softwarebedrijven, het opzetten van go‑to‑market‑organisaties en het stimuleren van bedrijfsomzet. Hij trad in 2022 bij Yardstik in als Chief Operating Officer voordat hij in oktober 2024 werd gepromoveerd tot CEO. Eerder was Johnson Chief Revenue Officer bij Branch, waar hij het workforce‑betalingsbedrijf door een periode van snelle groei hielp leiden, en hij werkte meer dan vijf jaar bij Dialpad, onder meer als Head of Enterprise Sales, waar hij de Amerikaanse en Canadese verkoopactiviteiten hielp opbouwen. Vroeger in zijn loopbaan bekleedde hij functies op het gebied van bedrijfs‑ en partnerontwikkeling bij Compellent Technologies, dat in 2011 door Dell werd overgenomen voor ongeveer $960 miljoen.

Yardstik is een in Minneapolis gevestigd workforce‑trust‑technologiebedrijf, opgericht in 2020, dat fraudepreventie, identiteitsverificatie, achtergrondscreening, credential‑verificatie en continue monitoring van het personeelsbestand biedt via zijn Human Trust Platform. Het bedrijf is opgebouwd rond een API‑first‑architectuur die het mogelijk maakt de technologie direct te integreren in applicant tracking‑systemen, human capital management‑platformen, gig‑marktplaatsen en andere personeelsapplicaties. Yardstik ondersteunt ook het Model Context Protocol (MCP), waardoor AI‑agents verbinding kunnen maken met zijn trust‑infrastructuur en workflows kunnen automatiseren, zoals achtergrondcontroles, identiteitsverificatie, credential‑screening, her‑screening en adjudicatie binnen AI‑gedreven wervings‑ en onboarding‑systemen.

Voordat je bij Yardstik kwam, heb je meer dan vijf jaar bij Branch gewerkt, waar je uit de eerste hand een fraudering zag die gestolen Social Security‑nummers gebruikte om banen te verkrijgen onder andermans identiteit. Hoe heeft die ervaring je manier van denken over achtergrondscreening veranderd, en wanneer besefte je dat identiteitsverificatie verder moest gaan dan een eenmalige controle bij het aannemen?

Toen ik bij Branch werkte, werd een van onze grootste klanten getroffen door een fraudering uit Venezuela, iets waarmee gig‑platforms vaak te maken krijgen. Ze stalen Social Security‑nummers van Amerikanen en verkochten die aan mensen die geen werkvergunning hadden in de VS. Iemand zou zich met een gestolen identiteit aanmelden, beginnen met leveren, en alles leek in orde tot het belastingseizoen, wanneer de echte SSN‑houder een 1099‑factuur kreeg voor werk dat hij of zij nooit had gedaan. Dat was de eerste keer dat ik fraude zag verschijnen aan de andere kant van een aanwervingsbeslissing in plaats van tijdens die beslissing.

Dat moment zette alles voor mij op een andere manier. Ik realiseerde me hoe vaak mensen die een achtergrondcheck doorstaan, niet de persoon zijn die voor de baan verschijnt. Bijvoorbeeld, iemand met een schoon dossier doorloopt de screening, waarna een familielid dat de screening niet had kunnen doorstaan, de daadwerkelijke shift overneemt. Een achtergrondcheck kan dat niet opvangen, omdat hij alleen naar de sollicitant op papier kijkt, één keer, aan het begin. Tegen de tijd dat ik bij Yardstik kwam, bracht ik wat ik tijdens mijn ervaring bij Branch had geleerd en werkte ik met het team om de continue monitoringsaanpak voor onze klanten te ontwikkelen.

Generatieve AI heeft de drempel voor het creëren van valse identiteiten, vervalste credentials, synthetische profielen en zelfs overtuigende deepfakes drastisch verlaagd. Welke door AI mogelijk gemaakte fraude‑technieken ontwikkelen zich vandaag het snelst, en welke denk je dat werkgevers het minst zijn voorbereid?

De snelst evoluerende fraude op dit moment is niet de opvallende deepfake‑video. Het gaat om synthetische identiteit: een echt Social Security‑nummer gemixt met een valse naam en een gefabriceerde werkgeschiedenis, samengevoegd tot iets dat er bij de eerste controle schoon uitziet. Voeg AI‑tools toe die een gepolijste cv en een bijpassende set credentials genereren, en je hebt een sollicitant.

Waar werkgevers het minst op zijn voorbereid, is de remote, nooit‑persoonlijk‑ontmoette hire. Gig‑platforms, remote IT‑functies, virtuele callcenters. Als niemand in het bedrijf die persoon ooit ziet, verdwijnen alle signalen die vroeger een fraudeur oppikten (een nerveus interview, een ID dat er in het echt een beetje afwijkend uitziet). Dat is precies de omgeving waarin remote‑hiring‑frauderingen opereren en waar de meeste bedrijven het nog steeds als iemands andermans probleem beschouwen totdat het hen overkomt.

Yardstik is geëvolueerd van traditionele achtergrondscreening naar een breder platform dat AI‑fraudepreventie, identiteitsverificatie, credential‑verificatie en continue monitoring combineert. Welke rol speelt AI bij het verbinden van die signalen, en wat kan het systeem detecteren dat een conventionele achtergrondcheck niet kan?

Yardstik begon als een achtergrondscreening‑bedrijf, en voor de meeste klanten blijft dat nog steeds een fundamenteel onderdeel van wat we doen. Maar een achtergrondcheck is een enkele transactie: uitvoeren, een antwoord krijgen, de gegevens weggooien. Wat fraudepreventie, identiteitsverificatie, credential‑controles en monitoring tot één geheel verbindt, is dat we de gegevens niet weggooien. We behouden een profiel van een kandidaat over tijd, en elke nieuwe controle voegt daaraan toe in plaats van vanaf nul te beginnen.

Dat is wat ons in staat stelt dingen te detecteren die een eenmalige controle nooit zal doen. Bijvoorbeeld, een van onze klanten had fraudeurs die herhaaldelijk probeerden toegang te krijgen tot agent‑accounts met toegang tot klant‑belastinggegevens. Omdat we hetzelfde apparaat of dezelfde licht gewijzigde identiteit bij meerdere pogingen konden zien, konden we het stoppen voordat het een screeningbeslissing werd. Een eenmalige controle zou elke aanvraag afzonderlijk hebben bekeken en ze allemaal hebben goedgekeurd.

Yardstik gebruikt signalen zoals persoonlijke identiteitsgegevens, betalingsactiviteit en apparaat- of locatie‑indicatoren om mogelijke identiteitsmisleiding te ontdekken. Hoe scheidt u echt verdacht gedrag van ongewoon maar legitiem gedrag, vooral nu AI‑modellen verantwoordelijk worden voor het evalueren van steeds complexere patronen?

We proberen geen harde scheidslijn te trekken tussen verdacht en ongewoon, omdat er meestal geen bestaat op het moment dat we het zien. Wat we doen, is de delta naar voren brengen. Als iemands aanvraag één school vermeldt en een jaar later een nieuwe aanvraag onder dezelfde identiteit een andere school aangeeft, is dat een tweede blik waard. Als iemand altijd via een iPhone heeft gesolliciteerd en plotseling op een Android met een nieuw IP‑adres verschijnt, geldt hetzelfde. Geen van beide betekent op zichzelf fraude, maar meerdere signalen gecombineerd beginnen het risicoprofiel te verhogen. Wij zijn de laag die aangeeft wat er is veranderd sinds de laatste keer dat we iemand zagen en bieden werkgevers meer gegevens om hen te helpen weloverwogen beslissingen te nemen.

Yardstik zegt dat ongeveer één op de 30 sollicitanten niet slaagt voor de overheids‑ID‑verificatie, terwijl gemarkeerde of dubbele Social Security‑nummers dagelijks worden geblokkeerd. Wat leert u uit die gegevens over hoe fraude in de arbeidsmarkt evolueert, en hoeveel van wat u tegenkomt lijkt georganiseerd in plaats van opportunistisch?

Die gegevens laten zien dat identiteitsfraude bij werving geen randprobleem meer is. Het is een basislast geworden van zakendoen op elke echte schaal, net zoals chargebacks een basislast zijn in betalingen. Een aanzienlijk deel ervan lijkt georganiseerd in plaats van opportunistisch. Opportunistische fraude is meestal een eenmalige gebeurtenis: iemand vult een cv op, of vervalst een afstudeerdatum. Georganiseerde fraude vertoont een patroon, hetzelfde apparaat of dezelfde bijna‑identieke identiteit die dezelfde soort baan bij verschillende werkgevers probeert, soms één detail per keer wijzigend om te zien wat er doorheen komt. Dat is de versie die ik jaren geleden zag toen gestolen SSN’s werden doorverkocht, en het is de versie die ik vandaag nog steeds zie. Het is nu gewoon geautomatiseerd, en draait op een veel hoger volume omdat generatieve tools de nepidentiteiten goedkoper maken om te produceren.

Identiteitsverificatie omvat steeds vaker overheids‑ID’s, biometrie, levenskontrollen, apparaatsignalen en andere risicindicatoren. Naarmate generatieve modellen beter worden in het produceren van realistische documenten, gezichten en stemmen, welke signalen gelooft u dat het moeilijkst zullen blijven voor aanvallers om te vervalsen?

Alles wat u als één enkel artefact kunt genereren, een foto, een document, zelfs een korte video, wordt steeds makkelijker overtuigend te vervalsen. Wat moeilijk te vervalsen blijft, is consistentie over tijd, over plaatsen die niemand gezamenlijk beheert. Een synthetische identiteit kan één levenskontrole doorstaan met een voldoende goede deepfake. Het is veel moeilijker voor diezelfde identiteit om ook een overeenkomende apparaathistorie, een overeenkomend locatiepatroon en een werkgeschiedenis te hebben die zich op dezelfde manier opstapelt als bij een echt persoon over werkgevers en jaren. Dat is eigenlijk de reden achter continue monitoring in plaats van een enkel verificatiemoment. Een legacy‑check geeft u een foto, één frame, één keer genomen. De onze gedraagt zich meer als een live‑feed, omdat hij is gebouwd om te merken wanneer de frames niet meer op elkaar aansluiten.

Continue monitoring vertegenwoordigt een grote verschuiving van het eenmalig verifiëren van iemand naar het evalueren van vertrouwen gedurende de hele werknemerslevenscyclus. Hoe ontwerpt u zo’n systeem zonder onnodige surveillance, valse positieven, of beslissingen die werknemers nauwelijks kunnen begrijpen of aanvechten?

Surveillance is het observeren van iemand die niet weet dat hij wordt bekeken. Zo werkt het niet. Elke werknemer die wij monitoren heeft schriftelijke toestemming gegeven, ze weten precies wat er wordt gecontroleerd, en volgens de wet moeten we hen een kopie geven van alles wat we vinden en een manier bieden om het te betwisten als het onjuist is. Niets daarvan is optioneel. Het is FCRA.

Het andere onderdeel is dat wij de beslissing niet zelf nemen. Als er een arrestatie verschijnt bij iemand die we monitoren, is dat een signaal voor de werkgever om te onderzoeken, geen uitspraak. Due process blijft van toepassing. Werkgevers moeten de kandidaat informeren, hen de kans geven om te reageren, en vervolgens een definitieve beslissing nemen. Ons werk stopt bij het signaleren dat er iets is veranderd; de werkgever beslist wat het betekent en wat ermee gedaan moet worden, net zoals bij een controle bij indiensttreding. We hebben het opzettelijk zo gebouwd.

Naarmate werving en personeelsbeheer steeds meer agentisch worden, waar zou de grens moeten liggen tussen een AI‑agent die vertrouwenssignalen verzamelt en evalueert en het daadwerkelijk nemen van een doorslaggevende aanwervingsbeslissing?

Ik zou de lijn trekken waar de wet die voor ons vandaag al legt. We zijn er voorzichtig mee om ons niet een AI‑bedrijf te noemen, omdat onze sector een strikte eis heeft dat een mens in de lus moet staan bij alles wat een geschil of een nadelige beslissing raakt. Een agent kan signalen verzamelen, scoren, aangeven wat er veranderd is. Wat hij niet zelf mag doen, is beslissen of iemand de baan niet krijgt of niet behoudt, omdat die beslissing aan een persoon moet worden gekoppeld die ervoor verantwoordelijk is en het kan uitleggen als het wordt betwist.

Naarmate werving van begin tot eind meer geautomatiseerd wordt, denk ik dat die grens belangrijker wordt, niet minder. Hoe makkelijker het wordt om een agent de hele funnel te laten runnen, hoe verleidelijker het is om hem ook de uiteindelijke beslissing te laten nemen. Het verzamelen en evalueren van vertrouwenssignalen is precies wat software sneller moet doen. Het beslissen over iemands levensonderhoud is niets wat ik zou uitbesteden.

Met de nieuwe $30 million Series B die de totale financiering van Yardstik op $65 million brengt, welke gebieden van AI en fraudepreventie vind je nu het meest investeringswaardig, en welke technische problemen moeten nog worden opgelost zodat continue identiteitsverificatie op veel grotere schaal kan werken?

We investeren het nieuwe kapitaal in de delen van fraudepreventie die het minst glamoureus zijn en het duurst om goed te bouwen. Motorvoertuigrapporten en OIG‑exclusie‑monitoring. Geautomatiseerde waarschuwingen op het moment dat een rijbewijs, een verzekeringspolis of een certificaat verloopt, in plaats van te wachten tot de volgende verlengingscyclus om het op te merken.

Het technische probleem dat niemand in deze industrie heeft opgelost, is kosten. Veel landen en staten rekenen hun eigen vergoeding voor het ophalen van een record, soms meer dan $100 voor één opvraag in een plaats als New York, en die kosten dalen niet alleen omdat je iemand vaker wilt controleren. Het betaalbaar maken van continue verificatie zodat een bedrijf met duizenden gig‑workers het maandelijks kan uitvoeren in plaats van één keer per jaar, is evenzeer een probleem van data‑sourcing en prijsstelling als van machine learning. Het is het probleem waar ik nu het meest over nadenk.

Er ontstaat een interessante wapenwedloop: AI maakt identiteitsfraude tegelijkertijd makkelijker en geeft platforms betere tools om het te detecteren. Naarmate beide kanten verbeteren, verwacht je dat het bewijzen dat iemand echt is wie hij beweert te zijn aanzienlijk moeilijker wordt, of zal AI uiteindelijk digitale identiteit betrouwbaarder maken dan ooit tevoren?

Beide zijn waar, en ik denk niet dat het ene het andere tenietdoet. Onze klanten vertellen ons vaak dat ze verwachten dat we “vuur met vuur” kunnen bestrijden. Ze weten dat we moderne oplossingen nodig hebben voor moderne problemen. Mijn eerlijke inschatting is dat digitale identiteit betrouwbaarder wordt voor de systemen die iemand over jaren en platforms volgen, en minder betrouwbaar voor alles wat nog steeds inzet op een enkel moment‑in‑tijd controle. Dit betekent dat bedrijven die iemand slechts één keer verifiëren, de meest blootgestelde zullen zijn, en dat degenen die voor de lange termijn bouwen, achteraf veel slimmer zullen lijken dan ze zich nu waarschijnlijk voelen.

Bedankt voor het geweldige interview, lezers die meer willen weten, kunnen Yardstik bezoeken.