Andrew Johnson, VD för Yardstik – Intervjuserie

Andrew Johnson, VD för Yardstik, är en erfaren teknikchef med bakgrund i att skala snabbväxande mjukvaruföretag, bygga go‑to‑market‑organisationer och driva företagsintäkter. Han anslöt sig till Yardstik som Chief Operating Officer 2022 innan han befordrades till VD i oktober 2024. Tidigare var Johnson Chief Revenue Officer på Branch, där han hjälpte till att leda arbetskraftsbetalningsföretaget genom en period av snabb tillväxt, och tillbringade mer än fem år på Dialpad, inklusive som Head of Enterprise Sales, där han bidrog till att bygga dess försäljningsverksamhet i USA och Kanada. Tidigare i sin karriär hade han roller inom affärs‑ och partnerutveckling på Compellent Technologies, som förvärvades av Dell för cirka 960 miljoner dollar 2011.

Yardstik är ett i Minneapolis baserat företag för arbetskraftsförtroendeteknik grundat 2020 som tillhandahåller bedrägeriförebyggande, identitetsverifiering, bakgrundskontroller, legitimitetsverifiering och kontinuerlig övervakning av arbetskraft genom sin Human Trust Platform. Företaget är byggt kring en API‑first‑arkitektur som möjliggör att tekniken integreras direkt i rekryteringssystem, plattformar för personalhantering, gig‑marknadsplatser och andra arbetskraftsapplikationer. Yardstik stödjer också Model Context Protocol (MCP), vilket möjliggör att AI‑agenter kopplas till dess förtroendeinfrastruktur och automatiserar arbetsflöden såsom bakgrundskontroller, identitetsverifiering, legitimitetsgranskning, återgranskning och bedömning inom AI‑drivna anställnings‑ och onboarding‑system.

innan du gick med i Yardstik tillbringade du mer än fem år på Branch, där du på nära håll såg en bedrägeriring som använde stulna Social Security‑nummer för att få jobb under andras identiteter. Hur förändrade den erfarenheten ditt sätt att tänka kring bakgrundskontroller, och när insåg du att identitetsverifiering behövde sträcka sig bortom en engångskontroll vid anställning?

När jag var på Branch drabbades en av våra största kunder av en bedrägeriring från Venezuela, något som gig‑plattformar ofta utsätts för. De stal amerikanska Social Security‑nummer och sålde dem till personer som inte hade rätt att arbeta i USA. Någon skulle ansöka med en stulen identitet, börja leverera, och allt verkade bra tills skattesäsongen, då den faktiska innehavaren av SSN‑et fick en 1099‑faktura för arbete de aldrig utfört. Det var första gången jag såg bedrägeri dyka upp på andra sidan av ett anställningsbeslut istället för under själva processen.

Det var ögonblicket som verkligen omdefinierade saker för mig. Jag insåg hur ofta personer som klarar en bakgrundskontroll inte är den som dyker upp för jobbet. Till exempel, någon med en ren historik klarar screeningen, men sedan tar en familjemedlem som inte skulle ha klarat den det faktiska arbetspasset. En bakgrundskontroll har ingen möjlighet att fånga det, eftersom den bara ser på den sökande på papper, en gång, i början. När jag gick med i Yardstik tog jag med mig det jag lärt mig från min tid på Branch och samarbetade med teamet för att bygga en kontinuerlig övervakningsmetod för våra kunder.

Generativ AI har dramatiskt sänkt tröskeln för att skapa falska identiteter, förfalskade legitimationer, syntetiska profiler och till och med övertygande deepfakes. Vilka AI‑stödda bedrägeritekniker utvecklas snabbast idag, och vilka tror du att arbetsgivare är minst förberedda på?

Den snabbast rörliga bedrägeriet just nu är inte den flashiga deepfake‑videon. Det är syntetisk identitet: ett riktigt Social Security‑nummer kombinerat med ett falskt namn och en påhittad arbetsbakgrund, sammansatt till något som ser rent ut första gången någon granskar det. Lägg till AI‑verktyg som genererar ett polerat CV och en matchande uppsättning legitimationer, så har du en sökande.

Det arbetsgivare är minst förberedda på är den fjärranställda som aldrig mötts personligen. Gig‑plattformar, fjärr‑IT‑roller, virtuella callcenter. Om ingen på företaget någonsin ser den här personen försvinner varje signal som tidigare kunde avslöja en bedragare (en nervös intervju, ett ID som ser lite felaktigt ut i verkligheten). Det är exakt där fjärranställningsbedrägeriringar har opererat, och de flesta företag ser det fortfarande som någon annans problem tills det drabbar dem själva.

Yardstik har gått från traditionell bakgrundskontroll till en bredare plattform som kombinerar AI‑baserad bedrägeriförebyggande, identitetsverifiering, legitimitetsverifiering och kontinuerlig övervakning. Vilken roll spelar AI i att koppla ihop dessa signaler, och vad kan systemet upptäcka som en konventionell bakgrundskontroll inte kan?

Yardstik började som ett företag för bakgrundskontroller, och för de flesta kunder är det fortfarande en grundläggande del av vad vi gör. Men en bakgrundskontroll är en enskild transaktion: kör den, få ett svar, kasta bort data. Det som förenar bedrägeriförebyggande, identitetsverifiering, legitimitetskontroller och övervakning till en helhet är att vi inte kastar bort data. Vi behåller en profil på en kandidat över tid, och varje ny kontroll läggs till den istället för att börja från noll.

Det är så vi kan fånga saker som en engångskontroll aldrig kan. Till exempel hade en av våra kunder bedragare som upprepade gånger försökte komma in i agentkonton med åtkomst till kunders skattedata. Eftersom vi kunde se att samma enhet, eller samma något förändrade identitet, dök upp i flera försök, kunde vi stoppa det innan det någonsin blev ett screeningbeslut. En engångskontroll skulle ha granskat varje ansökan isolerat och godkänt dem alla.

Yardstik använder signaler såsom personuppgifter, betalningsaktivitet och enhets- eller platsindikatorer för att avslöja potentiell identitetsbedrägeri. Hur skiljer du på verkligt misstänkt beteende och ovanligt men legitimt beteende, särskilt när AI-modeller blir ansvariga för att utvärdera alltmer komplexa mönster?

Vi försöker inte dra en skarp gräns mellan misstänkt och ovanligt, eftersom det oftast inte finns någon sådan i det ögonblick vi ser det. Vad vi gör är att lyfta fram förändringen. Om någon i sin ansökan anger en skola, och ett år senare en ny ansökan under samma identitet anger en annan skola, är det värt en andra titt. Om någon alltid har ansökt från en iPhone och dyker upp på en Android med en ny IP-adress, samma sak. Ingen av dem innebär bedrägeri i sig, men flera signaler kombinerade börjar höja riskprofilen. Vi är lagret som flaggar vad som har förändrats sedan vi senast såg någon och ger arbetsgivare mer data för att hjälpa dem fatta välgrundade beslut.

Yardstik säger att ungefär en av 30 sökande misslyckas med regeringens ID‑verifiering, medan flaggade eller duplicerade personnummer blockeras dagligen. Vad lär du dig av dessa data om hur arbetskraftsförfalskning utvecklas, och hur stor del av det du möter verkar organiserat snarare än opportunistiskt?

Dessa data visar att identitetsbedrägeri vid anställning inte längre är ett marginalproblem. Det har blivit en grundläggande kostnad för att bedriva verksamhet i någon verklig skala, på samma sätt som återbetalningar är en grundläggande faktor inom betalningar. En betydande del av det verkar organiserat snarare än opportunistiskt. Opportunistiskt bedrägeri tenderar att vara en engångshändelse: någon puffar upp ett CV eller manipulerar ett examensdatum. Organiserat bedrägeri visar ett mönster, samma enhet eller nästan identiska identitet som försöker samma typ av jobb hos olika arbetsgivare, ibland ändrar en detalj i taget för att se vad som går igenom. Det är den version jag såg  år sedan med stulet personnummer som återförsäljs, och det är den version jag fortfarande ser idag. Det är bara automatiserat nu, och sker i mycket högre volym eftersom generativa verktyg gjort de falska identiteterna billigare att producera.

Identitetsverifiering inkluderar i allt högre grad regeringens ID‑handlingar, biometrik, livlighetstester, enhetssignaler och andra riskindikatorer. När generativa modeller blir mer kapabla att producera realistiska dokument, ansikten och röster, vilka signaler tror du kommer att förbli svårast för angripare att förfalska?

Allt du kan generera som en enskild artefakt, ett foto, ett dokument, till och med en kort video, blir allt lättare att förfalska på ett övertygande sätt. Det som förblir svårt att förfalska är konsistens över tid, över platser som ingen kontrollerar gemensamt. En syntetisk identitet kan klara ett livlighetstest med en tillräckligt bra deepfake. Det är mycket svårare för samma identitet att också ha en matchande enhetshistorik, ett matchande platsmönster och en arbetslivshistoria som stämmer på samma sätt som en verklig person över arbetsgivare och år. Det är egentligen grunden till kontinuerlig övervakning istället för ett enstaka verifieringsögonblick. En traditionell kontroll ger dig ett fotografi, en bildruta, tagen en gång. Vår fungerar mer som ett live‑flöde, eftersom den är byggd för att märka när bildrutorna slutar matcha varandra.

Kontinuerlig övervakning innebär ett stort skifte från att verifiera någon en gång till att utvärdera förtroende under hela arbetstagarens livscykel. Hur utformar du den typen av system utan att skapa onödig övervakning, falska positiver eller beslut som arbetstagare har liten möjlighet att förstå eller bestrida?

Övervakning är att titta på någon som inte vet att de blir iakttagna. Så fungerar det inte. Varje arbetstagare vi övervakar har gett skriftligt samtycke, de vet exakt vad som kontrolleras, och enligt lag måste vi ge dem en kopia av allt vi hittar samt en möjlighet att bestrida det om det är fel. Ingenting av detta är valfritt. Det är FCRA.

Den andra delen är att vi inte fattar beslutet själva. Om ett gripande dyker upp på någon vi övervakar, är det en flagga för arbetsgivaren att undersöka, inte ett domslut. Rättssäkerhet gäller fortfarande. Arbetsgivare måste meddela kandidaten, ge dem en möjlighet att svara och sedan fatta ett slutgiltigt beslut. Vårt jobb slutar med att visa att något har förändrats; arbetsgivaren avgör vad det betyder och vad som ska göras, på samma sätt som de skulle göra med en kontroll vid anställning. Vi byggde det så medvetet.

När rekrytering och arbetskraftshantering blir alltmer agentbaserade, var bör gränsen ligga mellan en AI‑agent som samlar in och utvärderar förtroendesignaler och faktiskt fattar ett avgörande anställningsbeslut?

Jag skulle placera linjen där lagen redan placerar den för oss idag. Vi är försiktiga med att inte kalla oss ett AI‑företag eftersom vår bransch har ett strikt krav på att en människa måste vara med i beslutsprocessen för allt som rör en tvist eller ett negativt beslut. En agent kan samla in signaler, poängsätta dem, flagga vad som har förändrats. Vad den inte bör göra på egen hand är att besluta om någon får jobbet eller behåller det, eftersom det beslutet måste knytas till en person som är ansvarig för det och kan förklara det om det ifrågasätts.

När anställning blir mer automatiserad från början till slut tror jag att den gränsen blir viktigare, inte mindre. Ju enklare det blir att låta en agent hantera hela processen, desto mer frestande blir det att låta den också fatta beslutet i slutet. Att samla in och utvärdera förtroendesignaler är exakt vad mjukvara bör göra snabbare. Att besluta om en persons försörjning är inget jag någonsin skulle överlämna.

Med den nya $30 million Series B som tar Yardstiks totala finansiering till $65 miljoner, vilka områden inom AI och bedrägeriförebyggande anser du nu kräver den största investeringen, och vilka tekniska problem måste fortfarande lösas för att kontinuerlig identitetsverifiering ska fungera i mycket större skala?

Vi satsar det nya kapitalet på de delar av bedrägeriförebyggande som är minst glamorösa och dyrast att bygga väl. Fordonsrapporter och OIG‑exkluderingsövervakning. Automatiska varningar så snart ett körkort, en försäkringspolicy eller en certifiering löper ut, istället för att vänta på nästa förnyelsecykel för att märka det.

Det tekniska problemet som ingen i branschen har löst är kostnaden. Många länder och delstater tar ut egna avgifter för att hämta ett register, ibland över $100 för ett enda uttag i en plats som New York, och den kostnaden minskar inte bara för att du vill kontrollera någon oftare. Att göra kontinuerlig verifiering tillräckligt prisvärd så att ett företag med tusentals gig‑arbetare faktiskt kan köra den månadsvis istället för en gång per år är lika mycket ett problem med datakällor och prissättning som ett maskininlärningsproblem. Det är det jag tänker på mest just nu.

Det uppstår ett intressant kapprustning: AI gör samtidigt identitetsbedrägerier enklare och ger plattformar bättre verktyg för att upptäcka dem. När båda sidorna förbättras, förväntar du dig att bevisa att någon verkligen är den de påstår sig vara blir avsevärt svårare, eller kommer AI slutligen göra digital identitet mer pålitlig än någonsin tidigare?

Båda är sanna, och jag tror inte att den ena upphäver den andra. Våra kunder säger ofta att de förväntar sig att vi ska kunna “slå eld med eld”. De vet att vi behöver moderna lösningar för moderna problem. Min ärliga tolkning är att digital identitet blir mer pålitlig för de system som byggs för att spåra någon över år och plattformar, och den blir mindre pålitlig för allt som fortfarande förlitar sig på en engångskontroll. Det innebär att företag som bara verifierat någon en gång kommer att bli de som blir utsatta, medan de som byggt för ett långsiktigt perspektiv kommer att se mycket smartare ut i efterhand än de kanske känner idag.

Tack för den fantastiska intervjun, läsare som vill lära sig mer bör besöka Yardstik.