Andrew Johnson, administrerende direktør i Yardstik – Intervjuserie

Andrew Johnson, administrerende direktør i Yardstik, er en erfaren teknologileder med bakgrunn i å skalere høyvekstprogramvareselskaper, bygge go‑to‑market‑organisasjoner og drive bedriftsinntekter. Han begynte i Yardstik som Chief Operating Officer i 2022 før han ble forfremmet til administrerende direktør i oktober 2024. Tidligere var Johnson Chief Revenue Officer i Branch, hvor han bidro til å lede arbeidskraftbetalingsselskapet gjennom en periode med rask vekst, og tilbrakte mer enn fem år i Dialpad, inkludert som Head of Enterprise Sales, hvor han hjalp til med å bygge selskapets salgsvirksomhet i USA og Canada. Tidligere i karrieren hadde han forretnings‑ og partnerutviklingsroller i Compellent Technologies, som ble kjøpt opp av Dell for omtrent $960 million i 2011.

Yardstik er et Minneapolis‑basert selskap for arbeidskraft‑tillitsteknologi, grunnlagt i 2020, som tilbyr svindelforebygging, identitetsverifisering, bakgrunnssjekk, legitimasjonsverifisering og kontinuerlig overvåkning av arbeidsstyrken gjennom sin Human Trust Platform. Selskapet er bygget rundt en API‑first‑arkitektur som gjør at teknologien kan integreres direkte i søknads‑sporingssystemer, plattformer for menneskelig kapitalforvaltning, gig‑markedsplasser og andre arbeidskraftapplikasjoner. Yardstik støtter også Model Context Protocol (MCP), som gjør AI‑agenter i stand til å koble seg til selskapets tillitsinfrastruktur og automatisere arbeidsflyter som bakgrunnssjekker, identitetsverifisering, legitimasjonsscreening, re‑screening og avgjørelse innen AI‑drevet ansettelse og onboarding.

Før du begynte i Yardstik, tilbrakte du mer enn fem år i Branch, hvor du på første hånd så en svindelring som brukte stjålne Social Security‑numre for å skaffe jobber under andres identiteter. Hvordan endret den erfaringen måten du tenkte på bakgrunnssjekker, og når innså du at identitetsverifisering måtte gå utover en engangssjekk ved ansettelse?

Da jeg var i Branch, ble en av våre største kunder rammet av en svindelring fra Venezuela, noe som ofte rammer gig‑plattformer. De stjal amerikanske Social Security‑numre og solgte dem til personer som ikke hadde arbeidstillatelse i USA. En person ville søke med en stjålet identitet, begynne å levere, og alt så greit ut frem til skattesesongen, da den egentlige innehaveren av SSN‑et fikk en 1099‑regning for arbeid de aldri hadde gjort. Det var første gang jeg så svindel dukke opp på den andre siden av en ansettelsesbeslutning i stedet for under den.

Det var øyeblikket som virkelig endret perspektivet mitt. Jeg innså hvor ofte personer som består en bakgrunnssjekk ikke er den som møter opp på jobben. For eksempel fullfører noen med en ren rekord sjekken, men så tar et familiemedlem som ikke kunne ha bestått den den faktiske vakten. En bakgrunnssjekk har ingen mulighet til å fange opp dette, fordi den kun ser på søkeren på papiret, én gang, helt i starten. Da jeg begynte i Yardstik, tok jeg med meg det jeg hadde lært fra min erfaring i Branch og samarbeidet med teamet om å bygge en kontinuerlig overvåkningsmetode for våre kunder.

Generativ AI har dramatisk senket terskelen for å lage falske identiteter, forfalskede legitimasjoner, syntetiske profiler og til og med overbevisende deepfakes. Hvilke AI‑drevede svindelteknikker utvikler seg raskest i dag, og hvilke tror du arbeidsgivere er minst forberedt på?

Den raskest bevegelige svindelen akkurat nå er ikke den flashy deepfake‑videoen. Det er syntetisk identitet: et ekte Social Security‑nummer blandet med et falskt navn og en konstruert arbeidsbakgrunn, satt sammen til noe som ser rent ut første gang noen sjekker det. Legg til AI‑verktøy som lager en polert CV og et samsvarende sett med legitimasjoner, så har du en søker.

Det arbeidsgivere er minst forberedt på, er den fjernarbeidende, aldri‑møtte‑person‑ansettelsen. Gig‑plattformer, fjern‑IT‑roller, virtuelle kundesentre. Hvis ingen i selskapet noen gang ser denne personen, forsvinner alle signaler som tidligere fanget opp en svindler (et nervøst intervju, en ID som ser litt avvikende ut i person). Det er nettopp der fjern‑ansettelses‑svindelringer har operert, og de fleste selskaper behandler det fortsatt som andres problem inntil det rammer dem.

Yardstik har gått fra tradisjonell bakgrunnssjekk til en bredere plattform som kombinerer AI‑svindelforebygging, identitetsverifisering, legitimasjonsverifisering og kontinuerlig overvåkning. Hvilken rolle spiller AI i å koble sammen disse signalene, og hva kan systemet oppdage som en konvensjonell bakgrunnssjekk ikke kan?

Yardstik startet som et selskap for bakgrunnssjekk, og for de fleste kunder er det fortsatt en grunnleggende del av det vi gjør. Men en bakgrunnssjekk er en enkelt transaksjon: kjør den, få et svar, kast dataene. Det som knytter svindelforebygging, identitetsverifisering, legitimasjonssjekker og overvåkning sammen til én løsning, er at vi ikke kaster dataene bort. Vi beholder en profil på en kandidat over tid, og hver ny sjekk legger til den i stedet for å starte fra null.

Det er det som gjør at vi kan fange opp ting en engangssjekk aldri vil. For eksempel hadde en av våre kunder svindlere som gjentatte ganger forsøkte å komme inn i agentkontoer med tilgang til kunders skattedata. Fordi vi kunne se at den samme enheten, eller den samme lett endrede identiteten, dukket opp på tvers av flere forsøk, kunne vi stoppe det før det noen gang ble en skjermingsbeslutning. En engangssjekk ville ha sett på hver av disse søknadene isolert og godkjent dem alle.

Yardstik bruker signaler som personlige identitetsdata, betalingsaktivitet og enhets‑ eller lokasjonsindikatorer for å avdekke potensiell identitetsbedrageri. Hvordan skiller du virkelig mistenkelig atferd fra uvanlig, men legitim atferd, spesielt etter hvert som AI‑modeller får ansvar for å vurdere stadig mer komplekse mønstre?

Vi prøver ikke å trekke en skarp linje mellom mistenkelig og uvanlig, fordi det som regel ikke finnes en slik linje i øyeblikket vi ser den. Det vi gjør er å fremheve avviket. Hvis en søknad sier én skole, og et år senere en ny søknad under samme identitet sier en annen skole, er det verdt en ny vurdering. Hvis noen alltid har søkt fra en iPhone og plutselig dukker opp på en Android med en ny IP‑adresse, er det samme. Ingen av dem betyr svindel i seg selv, men flere signaler kombinert begynner å heve risikoprofilen. Vi er laget som flagger hva som har endret seg siden forrige gang vi så noen, og gir arbeidsgivere mer data for å hjelpe dem med å ta informerte beslutninger.

Yardstik oppgir at omtrent én av 30 søkere mislykkes i myndighets‑ID‑verifisering, mens flaggede eller dupliserte personnummer blokkeres daglig. Hva lærer dere av disse dataene om hvordan svindel i arbeidsstyrken utvikler seg, og hvor mye av det dere møter fremstår som organisert snarere enn opportunistisk?

De dataene viser at identitetsbedrageri i ansettelsesprosesser ikke lenger er et marginalt problem. Det har blitt en grunnleggende kostnad ved å drive virksomhet i reell skala, på samme måte som chargebacks er en basis i betalingsbransjen. En betydelig del av det fremstår som organisert snarere enn opportunistisk. Opportunistisk svindel er ofte engangshendelser: noen fyller ut CV‑en med falske opplysninger, eller endrer en eksamensdato. Organisert svindel viser et mønster, samme enhet eller nesten identisk identitet som prøver samme type jobb hos ulike arbeidsgivere, noen ganger endrer én detalj om gangen for å se hva som slipper gjennom. Det er den versjonen jeg så for år siden med stjålne personnummer som ble videresolgt, og det er den versjonen jeg fortsatt ser i dag. Den er bare automatisert nå, og kjører i mye høyere volum fordi generative verktøy har gjort falske identiteter billigere å produsere.

Identitetsverifisering inkluderer i økende grad myndighets‑ID‑er, biometrikk, livs‑kontroller, enhetssignaler og andre risikokriterier. Etter hvert som generative modeller blir bedre til å lage realistiske dokumenter, ansikter og stemmer, hvilke signaler tror du vil være vanskeligst for angripere å forfalske?

Alt du kan generere som ett enkelt artefakt – et foto, et dokument, til og med en kort video – blir stadig enklere å forfalske overbevisende. Det som forblir vanskelig å forfalske er konsistens over tid, på tvers av steder ingen kontrollerer sammen. En syntetisk identitet kan bestå én livs‑kontroll med en god nok deepfake. Det er mye vanskeligere for den samme identiteten også å ha en samsvarende enhetshistorikk, en samsvarende lokasjonsmønster og en arbeids‑historikk som stemmer på samme måte som en virkelig person gjør på tvers av arbeidsgivere og år. Det er egentlig poenget med kontinuerlig overvåking i stedet for ett enkelt verifiseringsøyeblikk. En tradisjonell sjekk gir deg et fotografi, ett enkelt bilde, tatt én gang. Vår løsning oppfører seg mer som en live‑strøm, fordi den er bygget for å merke når bildene slutter å matche hverandre.

Kontinuerlig overvåking representerer et stort skifte fra å verifisere noen én gang til å vurdere tillit gjennom hele arbeidstakerens livssyklus. Hvordan designer du et slikt system uten å skape unødvendig overvåkning, falske positiver eller beslutninger som arbeidstakere har liten mulighet til å forstå eller utfordre?

Overvåkning er å se på noen som ikke vet at de blir sett. Det er ikke slik dette fungerer. Hver arbeidstaker vi overvåker har gitt skriftlig samtykke, de vet nøyaktig hva som blir sjekket, og etter loven må vi gi dem en kopi av alt vi finner og en måte å bestride det på hvis det er feil. Ingenting av dette er valgfritt. Det er FCRA.

Den andre delen er at vi ikke tar avgjørelsen selv. Hvis en arrestasjon dukker opp på noen vi overvåker, er det et flagg for arbeidsgiveren å undersøke, ikke en dom. Rettssikkerhet gjelder fortsatt. Arbeidsgivere må varsle kandidaten, gi dem en mulighet til å svare, og så ta en endelig beslutning. Vårt arbeid stopper ved å fremheve at noe har endret seg; arbeidsgiveren bestemmer hva det betyr og hva som skal gjøres med det, på samme måte som de ville gjort med en sjekk ved ansettelse. Vi har bygget det slik med vilje.

Når rekruttering og arbeidsstyringsprosesser blir stadig mer agentbaserte, hvor bør grensen ligge mellom en AI‑agent som samler og vurderer tillits‑signalene og faktisk tar en avgjørende ansettelsesbeslutning?

Jeg vil plassere linjen der loven allerede plasserer den for oss i dag. Vi er forsiktige med ikke å kalle oss et AI‑selskap fordi vår bransje har et strengt krav om at et menneske må være i sløyfen på alt som berører en tvist eller en negativ beslutning. En agent kan samle signaler, gi dem en score, flagge det som har endret seg. Det den ikke skal gjøre på egen hånd, er å bestemme om noen ikke får jobben eller ikke beholder den, fordi den beslutningen må knyttes til en person som er ansvarlig for den og kan forklare den dersom den blir utfordret.

Etter hvert som ansettelsesprosessen blir mer automatisert fra ende til ende, tror jeg at den grensen blir viktigere, ikke mindre. Jo lettere det blir å la en agent styre hele trakten, jo mer fristende blir det å også la den ta avgjørelsen på slutten. Å samle og vurdere tillits‑signalene er akkurat det programvare bør gjøre raskere. Å bestemme en persons levebrød er ikke noe jeg i det hele tatt ville overlatt.

Med den nye $30 million Series B som bringer Yardstiks totale finansiering til $65 million, hvilke områder innen AI og svindelforebygging mener du nå fortjener den største investeringen, og hvilke tekniske problemer som fortsatt må løses for at kontinuerlig identitetsverifisering skal fungere i mye større skala?

Vi investerer den nye kapitalen i de delene av svindelforebygging som er minst glamorøse og dyreste å bygge godt. Motorvognrapporter og OIG-utestengingsmonitorering. Automatiserte varsler i det øyeblikk en førerkort, en forsikringspolise eller en sertifisering utløper, i stedet for å vente på neste fornyelsessyklus for å oppdage det.

Det tekniske problemet ingen i denne bransjen har løst, er kostnad. Mange land og delstater tar sin egen avgift for å hente en post, noen ganger over $100 for en enkelt henting i et sted som New York, og den kostnaden synker ikke bare fordi du vil sjekke noen oftere. Å gjøre kontinuerlig verifisering rimelig nok til at et selskap med tusenvis av gig‑arbeidere faktisk kan kjøre den månedlig i stedet for én gang i året, er like mye et problem med datainnhenting og prisfastsettelse som et maskinlæringsproblem. Det er det jeg tenker mest på akkurat nå.

Det er en interessant våpenkappløp som oppstår: AI gjør samtidig identitetssvindel enklere og gir plattformer bedre verktøy for å oppdage den. Når begge sider forbedres, forventer du at det blir betydelig vanskeligere å bevise at noen virkelig er den de påstår å være, eller vil AI til slutt gjøre digital identitet mer pålitelig enn den noen gang har vært?

Begge deler er sanne, og jeg tror ikke den ene opphever den andre. Kundene våre forteller ofte at de forventer at vi skal kunne «slå ild med ild». De vet at vi trenger moderne løsninger på moderne problemer. Min ærlige vurdering er at digital identitet blir mer pålitelig for systemene som er bygget for å spore noen over år og på tvers av plattformer, og den blir mindre pålitelig for alt som fortsatt satser på en enkelt sjekk på et tidspunkt. Dette betyr at bedrifter som kun har verifisert noen én gang, vil bli de som blir utsatt, og de som har bygget for det lange perspektivet, vil se mye smartere ut i ettertid enn de sannsynligvis føler i dag.

Takk for det flotte intervjuet, lesere som ønsker å lære mer bør besøke Yardstik.