Lähtökohtana on, että yrityksen on itse kyettävä varmistamaan työntekijöitä rekrytoidessaan heidän luotettavuutensa ja kyettävä myös tarvittaessa osoittamaan yritysturvallisuuden olevan riittävällä tasolla vaikkapa asiakkaiden luottamuksellisen tiedon käsittelyyn. Tähän pääsääntöön on olemassa poikkeus ja se on turvallisuusselvitysmenettely.
Suojelupoliisi ja pääesikunta tekevät turvallisuusselvityksiä sekä henkilöistä että yrityksistä. Yritys voi hakea maksullisia henkilöturvallisuusselvityksiä, jos se on hyväksytty turvallisuusselvitysmenettelyn piiriin. Yrityksen toiminnan tulee tällöin liittyä turvallisuusselvityslaissa mainittuihin suojattaviin etuihin. Yrityksen on laadittava ensin kirjallinen selvitys asianomaiselle viranomaiselle ja osana prosessia yrityksen turvallisuusjärjestelyt selvitetään viranomaisen toimesta.
Henkilöturvallisuusselvitys voi olla suppea, perusmuotoinen tai laaja. Turvallisuusselvityksen laajuus riippuu ihmisen työtehtävästä ja siitä millaisia salassa pidettäviä tietoja hän käsittelisi. Useimmiten työnantaja ja työntekijä tai työnhakija täyttävät turvallisuusselvitykseen liittyvät lomakkeet ja toimittavat ne viranomaiselle. Turvallisuusselvityksen tekeminen vaatii aina työntekijän tai työnhakijan suostumuksen.
Maksullisessa yritysturvallisuusselvityksessä taas arvioidaan yrityksen vastuuhenkilöiden luotettavuutta, yrityksen tietoturvallisuutta ja kykyä hoitaa sitoumuksensa. Suojelupoliisi tai pääesikunta voivat tehdä yritysturvallisuusselvityksen suomalaisesta yrityksestä, joka toimii viranomaisen sopimuskumppanina ja tarvitsee oikeuden käsitellä turvallisuusluokiteltuja kansallisia tai kansainvälisiä viranomaistietoja.
Osallistuessaan kansainvälisiin hankkeisiin tai tarjouskilpailuihin, suomalaisten yritykset saattavat saada haltuunsa kansainvälistä turvallisuusluokiteltua viranomaistietoa. Yritykseltä voidaan tällaisessa tilanteessa vaatia todistusta siitä, että se kykenee käsittelemään turvallisesti kansainvälistä turvallisuusluokiteltua tietoa. Ilman yritysturvallisuusselvitystä yritys voi jäädä esimerkiksi puolustus- ja turvallisuushankintojen kilpailutusten ulkopuolelle.
