frsrdg · GV04RRS1 · 2007-09-01 00:00:00 — Informationen är belagd med sekretess och är svår eller dyr att återskapa. Brister i informationssäkerheten kan tillfoga enskilda och företag stor skada. Myndigheternas informationssäkerhet är inte tillräcklig Samtliga granskade myndigheter har brister i sina ledningssystem för informationssäkerhet, det vill säga de rutiner och åtgärder som skapats för att styra detta arbete. Hos flertalet av myndigheterna är bristerna av allvarlig karaktär. Ledningens arbete med informationssäkerhet bedrivs inte systematiskt vid någon av myndigheterna. Ett utbrett problem är att myndighetens ledning, det vill säga myndighetens chef och dennes ledningsgrupp, inte ägnar frågor om informationssäkerhet tillräcklig uppmärksamhet. Det finns överlag en osäkerhet om vilka uppgifter ledningen bör ta ansvar för. En vanlig föreställning är att informationssäkerhet är en fråga av teknisk natur och därför inte en ledningsfråga. Detta synsätt har medfört en långtgående delegering av ansvaret för informationssäkerheten. Delegeringen har dock inte åtföljts av motsvarande uppföljning från ledningens sida för att se hur den fungerat. Ett annat problem är att vissa frågor av väsentligt slag varken behandlas av ledningen eller av någon annan i organisationen. Det rör sig exempelvis om vilka risker som myndigheten saknar skydd emot och om kostnaderna för säkerheten är rimliga. Ledningen begär sällan något utförligt underlag om vilka risker och hot som finns mot verksamheten. Därmed får ledningen heller ingen överblick över riskbilden eller vilka säkerhetsinsatser som bör prioriteras. Ledningen följer sällan upp om de säkerhetsåtgärder den beslutat om har genomförts och om de fungerar som det var tänkt. Engagemanget från ledningen är också litet när det gäller utbildning i informationssäkerhet. Betydelsen av utbildning och information till personalen, men även till personer med ledande befattning, underskattas. Granskningarna visar att det har inträffat allvarliga incidenter på grund av bristande informationssäkerhet hos myndigheten. Det finns myndigheter som inte har lyckats avvärja virusattacker. Incidenter har också inträffat när ITsystem har bytts ut. Viktiga tjänster som medborgare och företag utför på Internet har fått stängas i upp . Brister i skyddet av myndighetens webbplats har också lett till att obehöriga fått tillgång till integritetskänsliga uppgifter och även kunnat ändra i dessa. Regeringen har inte följt upp informationssäkerheten i staten om myndigheten har ett eget ansvar för sin informationssäkerhet har regeringen ett övergripande ansvar för att staten som helhet har en väl fungerande informationssäkerhet. Regeringen har satsat stort på elektronisk förvaltning i staten och har bland annat ställt krav på att alltfler tjänster från myndigheterna ska göras tillgängliga via Internet. Om informationen inte kan skyddas kan förtroendet för statens elektroniska tjänster skadas och hela satsningen därmed äventyras. har därför även granskat regeringens arbete med att ställa krav på, följa upp och skapa bättre förutsättningar för myndigheternas arbete med informationssäkerhet (RiR 2007:10). Våra granskningar visar att myndigheternas ledningar inte har uppfattat vilka krav och regler som gäller för deras arbete med informationssäkerhet, även om det rimligen borde stå klart för dem att detta är en viktig uppgift. Regeringens närmare krav framgår dock inte vare sig av de författningar som finns på området eller på annat sätt. Exempelvis är den strategi som regeringen har utarbetat för informationssäkerhet inte särskilt inriktad på statsförvaltningen. Genom uppföljning, eller en väl fungerande signalgivning när allvarliga brister i informationssäkerheten föreligger, kan regeringen vid behov vidta lämpliga åtgärder. Vår granskning visar dock att regeringen inte på något samlat sätt har följt upp om den interna styrningen och kontrollen av informationssäkerheten i statsförvaltningen är tillfredsställande och vilka problem som myndigheterna har. Resultatstyrningen har exempelvis inte använts för detta ändamål. Regeringen har valt att delegera ansvaret för olika frågor om informationssäkerhet till flera expertmyndigheter, bland andra , Verket för förvaltningsutveckling och Försvarsmakten. Regeringen har dock inte ställt tydliga krav på expertmyndigheterna för att få en samlad uppföljning som kan visa hur väl myndigheternas arbete med informationssäkerhet fungerar. Därmed har regeringen varken fått någon bild av tillståndet i förvaltningen eller några tydliga signaler om utbredda eller allvarliga problem i myndigheternas informationssäkerhet. elva granskningar har av inte uppfattats som en indikation på sådana generella problem. konstaterar sammantaget att varken myndigheterna eller regeringen har vidtagit tillräckliga åtgärder för att skapa och upprätthålla en god informationssäkerhet. har granskat elva myndigheters arbete med informationssäkerhet. Resultaten har redovisats i följande rapporter och promemorior: (dnr 32-2005-0714 och dnr 32-2006-0700) (RiR 2006:24) (dnr 32-2005-0717) Försvarsmakten (dnr 32-2005-0551) (dnr 32-2005-0655) (RiR 2006:26) (RiR 2006:25) (dnr 32-2005-0738 och dnr 32-2006-0726) (RiR 2005:27) (RiR 2005:26) (dnr 32-2006-0533) administration av socialförsäkringen administrerar den större delen av transfereringarna till individer och hushåll. betalade myndigheten ut sammanlagt i form av bland annat ålderspension, sjukpenning, föräldrapenning, assistansersättning, bostadstillägg och tandvårdsstöd. Den nya sammanhållna myndigheten startade sin verksamhet genom en ombildning av och de 21 allmänna försäkringskassorna. En avsikt med förändringen var att stärka möjligheterna för regeringen och att styra administrationen av socialförsäkringen. Den tillsyn av försäkringskassorna som tidigare utförde har genom organisationsförändringen omvandlats till intern kontroll inom . Om utbetalnings- och kostnadskontroll inte fungerar tillfredsställande kan det få mycket stora konsekvenser för statsfinanserna. Likaså kan allmänhetens tilltro till socialförsäkringssystemet påverkas negativt om inte har förmåga att betala ut rätt belopp till rätt person eller om de regionala kontoren bedömer likartade ärenden på olika sätt. Ofullständiga beslutsunderlag och insatser mot fusk , och tidigare , har varken kunnat uppfylla regeringens krav på en mer enhetlig regeltillämpning eller regeringens önskemål om en bättre redovisning av omfattningen på och kostnader för fusket i socialförsäkringen. Det visar granskning av regeltillämpningen inom socialförsäkringen (RiR 2006:20). Myndighetens ledning har inte den överblick som krävs för att bland annat bedöma omfattningen av problemen med ofullständiga beslutsunderlag vid handläggningen, felaktiga beslut samt fusk. Hög kvalitet i handläggningen och korrekta beslut är grundläggande förutsättningar för rättssäkerheten i socialförsäkringen. Kvaliteten på beslutsunderlagen för vissa förmånsslag har dock försämrats . Sämst resultat uppvisar handläggningen av tandvårdsärenden och sjukpenningärenden där en fjärdedel respektive en sjättedel av beslutsunderlagen inte var tillräckliga . De regionala skillnaderna mellan de allmänna försäkringskassorna var betydande när det gäller andelen beslutsunderlag som kunde betraktas som tillräckliga och korrekta. Skillnaderna mellan den kassa som hade högst respektive lägst andel korrekta beslutsunderlag var störst när det gäller handläggningen av tandvårdsstöd, underhållsstöd och sjukpenning. Varken eller har närmare analyserat varför kvaliteten på beslutsunderlagen varierar inom vissa förmånsslag eller skiljer sig åt regionalt. har tilldelats mer resurser för att göra fler utredningar av misstänkt fusk inom socialförsäkringen. Antalet polisanmälningar och fällande domar har ökat. har dock noterat att upptäcktsrisken vid fusk är låg vid samtliga kontrollmetoder som tillämpar. stora regionala variationer i handläggningen ledning har ett ansvar för att handläggningen av de olika förmånerna är enhetlig inom den regionala organisationen. har i flera granskningar gjort iakttagelser om att variationerna i handläggningen är betydande. Det gäller exempelvis granskningen av regeltillämpningen inom socialförsäkringen, men också granskningen av de allmänna försäkringskassornas köp av rehabiliteringstjänster (RiR 2004:21). Även granskningen av ersättningen till gravida (RiR 2006:30) visar att de regionala variationerna i handläggningen är stora. Om en kvinna har svårt att arbeta av sin graviditet avgör om hon har rätt till sjukpenning eller havandeskapspenning eller om hon måste ta ut föräldrapenning innan barnet är fött. Sju av tio kvinnor får någon av dessa ersättningar av graviditeten. Både vid beslut om sjukpenning och om havandeskapspenning fanns påtagliga skillnader mellan det län som hade lägst respektive högst andel ersatta kvinnor. För sjukpenning var variationen mellan och för havandeskapspenning mellan . Varken eller hade följt utvecklingen av de regionala skillnaderna och inte heller analyserat orsakerna till dessa, trots att problemen varit kända. Kontroll inför utbetalning av ekonomiskt stöd I flera granskningar har berört frågan om hur den interna kontrollen fungerar inför beslut om att betala ut ekonomiskt stöd till medborgare, arbetsgivare, kommuner och andra organisationer. saknas tydliga interna riktlinjer för utbetalningskontrollen. Även om riktlinjer finns behöver de inte vara kända i organisationen. En konsekvens av bristande utbetalningskontroll kan bli att staten betalar ut ersättning till sådana som inte har rätt till den. Iakttagelser om utbetalningskontroll har berörts ovan. Arbetsförmedlingarna betalar ut ekonomiskt stöd till arbetsgivare för att stimulera dem att anställa personer som har svårt att få ett reguljärt arbete. utbetalades i så kallat anställningsstöd. Inför utbetalningen ska arbetsförmedlingen kontrollera att arbetsgivaren bedriver en verksamhet som kan betraktas som seriös. Arbetsgivaren ska till exempel vara registrerad och ha betalat skatt. granskning av anställningsstöden (RiR 2006:28) visar att det finns stora variationer mellan både förmedlare och arbetsförmedlingskontor i hur de bedriver sin kontroll. De analyser vi har gjort visar att arbetsgivare som har beviljats anställningsstöd har skatteskulder i större utsträckning än arbetsgivare i övrigt. I flera fall har arbetsförmedlingen utbetalat stöd till arbetsgivare som inte varit registrerade och till sådana som har fått sin F-skattsedel återkallad på grund av misskötsel. har inte utfärdat tydliga riktlinjer för hur arbetsförmedlingskontoren ska bedriva sin kontroll. När invandrare och flyktingar anländer till ansvarar staten och kommunerna gemensamt för att de får ett bra mottagande och introduceras i det svenska samhället. Staten har det övergripande ekonomiska ansvaret och beslutar genom om ersättning till de mottagande kommunerna. betalade ut totalt för kommunernas olika insatser. För att ha rätt till ersättning ska kommunen bland annat genomföra ett introduktionsprogram som baseras på en introduktionsplan för den enskilde. I granskningen av statens insatser för nyanlända invandare (RiR 2006:19) fann vi att har betalat ut ersättning till kommuner utan att kontrollera om de har upprättat en introduktionsplan för den nyanlände och genomfört programmet enligt de krav som anges i den förordning som reglerar ersättningen. uppskattar att har utbetalat till kommunerna på felaktiga grunder. Enligt svensk förvaltningstradition ska myndigheterna under regeringen sköta den operativa verksamheten, som till exempel att betala ut bidrag. tar dock regeringen på sig uppgiften att handlägga bidrag eller uppdrar åt att göra det. Genom program eller projekt fördelas bidrag till aktörer utanför staten. Enligt uttalanden ska regeringen och endast undantagsvis hantera enskilda bidragssystem. När det inträffar bör insynen i samt styrningen och kontrollen av bidragshanteringen vara god. granskning (RiR 2006:32) visar att regeringen i vissa delar har förändrat bidragshanteringen i linje med önskemål. De utbetalda bidragen från regeringen och har minskat . Men trots att interna riktlinjer för hanteringen av bidrag har förstärkts visar granskningen att bidrag i flera fall har betalats ut utan stöd av riktlinjerna. Riktlinjernas existens och deras tillämpning är inte allmänt känd bland de handläggande tjänstemännen. saknar också ett system som gör det möjligt att ge en samlad och systematisk redovisning av bidragen, vilket i sin tur försvårar uppföljning och rapportering till . Tillämpningen av nya regler för statliga bolag började Svensk kod för bolagsstyrning att tillämpas av de statligt ägda bolagen. trädde lagen (2005:590) om insyn i vissa finansiella förbindelser med mera, även kallad transparenslagen, i kraft. har granskat hur koden och transparenslagen har tillämpats eftersom de utgör viktiga förutsättningar för en god intern styrning och kontroll inom den statliga affärsverksamheten. Intern kontroll enligt Svensk kod för bolagsstyrning Svensk kod för bolagsstyrning syftar till att förbättra styrningen av svenska bolag. Den är primärt skriven för svenska aktiebolag noterade på svensk börs, men är relevant även för andra kategorier av företag. Regeringen har inom ramen för sina beslut om statens ägarpolitik 2005 och 2006 uttalat att de statligt ägda bolagen ska tillämpa koden. En viktig del av koden är att tydliggöra styrelsens ansvar för bolagets interna kontroll. Styrelsen ska fortlöpande hålla sig informerad om och utvärdera hur bolagets system för intern kontroll fungerar. Styrelsen ska också avge en rapport om den interna kontrollen avseende den finansiella rapporteringen. har för granskat styrelseprotokoll för 32 statliga bolag för att kunna bedöma i vilken utsträckning styrelserna har tagit sitt ansvar för den interna kontrollen enligt kodens regler (dnr 33-2007-0878). Av granskningen framgår att en huvuddel av bolagsstyrelserna fortlöpande har hållit sig informerade om bolagets system för intern kontroll. Mer sällan har de dock utvärderat hur den interna kontrollen fungerar i praktiken. Endast i en tredjedel av bolagen har styrelserna beslutat om ett ramverk för hur den interna kontrollen ska organiseras. Ett sådant ramverk är nödvändigt för att styrelsen fortlöpande ska kunna bedöma och utvärdera den interna kontrollen. Granskningen visar således att kodens regler om intern kontroll ännu inte fått fullt genomslag i styrelsearbetet i statliga bolag. Det går därför inte att med säkerhet säga att kodens syfte, att skydda ägarnas investering och bolagets tillgångar, är uppnått. Tolkning och tillämpning av transparenslagen Samtliga medlemsländer i EU är involverade i näringslivsaktiviteter genom offentligt ägda eller kontrollerade företag. Därmed kommer medlemsstaterna att direkt eller indirekt konkurrera med privata företag. Transparensdirektivets (80/723/EEG) övergripande syfte är att ska kunna få tillgång till den ekonomiska information som behövs för att kontrollera att företag inte får statligt stöd eller andra fördelar av en medlemsstat som strider mot för företag och stater. Genom transparenslagen (2005:590) har införlivat direktivet. Enligt transparenslagen ska ett offentligt företag bland annat redovisa sina finansiella förbindelser med det allmänna. Begreppet offentliga företag omfattar bland annat statliga bolag samt myndigheter som bedriver affärsverksamhet. Av redovisningen ska tydligt framgå vilka offentliga medel som företaget fått och hur medlen har använts. Konkurrensskyddad och konkurrensutsatt verksamhet ska särredovisas. utövar tillsyn över att transparenslagen efterlevs. har granskat hur tillämpningen av transparenslagen har fungerat vid de 33 myndigheter och 16 bolag som bedömer bör omfattas av lagen (dnr 33-2007-0878). Granskningen visar att en majoritet av dessa myndigheter och bolag anser att lagen är svår att tolka. De flesta som har varit i kontakt med , för att bland annat få stöd med tolkningen av om de omfattas av lagen eller inte, anser inte att de har fått tillfredsställande svar på sina frågor. har i vissa fall avstått ifrån att besvara frågor av risk för att svaren skulle kunna bli prejudicerande. bedömer att otydligheter i transparenslagen och avsaknaden av tillämpningsföreskrifter är en orsak till att statliga myndigheter och bolag har svårt att avgöra huruvida organisationen omfattas av lagen. Även har uppenbarligen svårt att med säkerhet avgöra vilka organisationer som omfattas. Det finns en risk för att det kommer att ta innan rättspraxis har etablerats på området. finns därmed också en risk för att inte lever upp till syftet med EU:s krav. GRANSKNINGEN AV åRSREDOVISNINGAR FöR 2006 UNDERBILAGA 1 2007/08:RRS1 2007/08:RRS1 UNDERBILAGA 1 GRANSKNINGEN AV åRSREDOVISNINGAR FöR 2006 Granskningen av årsredovisningar granskar alla myndigheters årsredovisningar i syfte att bedöma om årsredovisningen och underliggande redovisning är tillförlitlig och om räkenskaperna är rättvisande. Granskningen av årsredovisningen avser normalt även ledningens förvaltning, det vill säga om tillämpliga föreskrifter och särskilda beslut följs. granskning avslutas med ett uttalande i en revisionsberättelse. I de fall har konstaterat väsentliga fel eller brister anges det som en invändning i revisionsberättelsen. Till väsentliga fel räknas sådana som kan påverka de beslut som mottagaren av årsredovisningen ska fatta på basis av den information som lämnas där. Revisionsberättelsen lämnas till regeringen med kopia till myndigheten. En invändning i revisionsberättelsen, men även andra väsentliga iakttagelser som gjorts, föranleder att lämna en revisionsrapport. Denna ställs till myndighetens styrelse eller till generaldirektören om myndigheten inte har någon styrelse. En kopia på revisionsrapporten lämnas för kännedom till berört departement. Iakttagelser av mindre vikt avrapporteras normalt direkt till berörd avdelning inom myndigheten både muntligt och i form av en revisionspromemoria. Utifrån granskningen av årsredovisningarna har lämnat 260 revisionsberättelser. Av dessa har 11 lämnats med invändning. En myndighet fick dock invändning på ett par punkter. Antalet invändningar i revisionsberättelserna ligger därmed fortsatt på en tämligen och låg nivå. Årets granskning har också resulterat i 44 revisionsrapporter. Nedan har vi sammanställt de väsentligaste iakttagelserna från dessa rapporter samlade under åtta rubriker. Om myndigheten har fått en invändning i revisionsberättelsen anges detta särskilt. Årsredovisningarnas innehåll och kvalitet I årsredovisningen ska myndigheten återrapportera sin verksamhet enligt de krav som regeringen ställt i regleringsbreven. Myndigheten ska även analysera måluppfyllelsen. I det följande sammanfattas de iakttagelser som rapporterat vad gäller myndighetens återrapportering, måluppfyllelseanalys men även kvalitetssäkring av innehållet i årsredovisningen. Fel som innebär att årsredovisningen inte är rättvisande leder till en revisionsberättelse med invändning. Ingen myndighet fick en invändning på grund av innehållet eller kvaliteten i årsredovisningen. De fel eller brister som avrapporterats i en revisionsrapport är följande: (dnr 32-2006-0707) analys av måluppfyllelsen kan förbättras. Myndigheten bör även utveckla indikatorer för att underlätta för läsaren att bedöma den redovisning av effekter och måluppfyllelse som görs i årsredovisningen. På många områden är det fortfarande svårt att avgöra vilket mått eller vilken nivå på en indikator som krävs för att måluppfyllelsen ska anses vara god. bedömer att redovisar en bild av en väl fungerande fiskerikontroll. En bedömning av hur det orapporterade fisket påverkar utfallet mot målen för verksamhetsgrenen Fiskerikontroll borde dock ha redovisats i årsredovisningen för att ge en mer balanserad bild. Lotteriinspektionen (dnr 32-2006-0476) Lotteriinspektionen har inte återrapporterat i enlighet med kraven i regleringsbrevet vad gäller typgodkännande samt tillstånd för att anordna EMV-lotterier, det vill säga lotterier som förmedlas via Internet, telefoni eller i samband med sändning i radio eller television. Sameskolstyrelsen (dnr 32-2006-0627) Sameskolstyrelsen har inte återrapporterat antalet elever som omfattas av skolskjuts i enlighet med kravet i regleringsbrevet. Försvarsmakten (dnr 32-2006-0513) har upptäckt flera brister vid sin granskning som borde ha upptäckts vid Försvarsmaktens kvalitetssäkring av årsredovisningen. Exempelvis är skulden till upptagen för högt och tillgångarna har finansierats från fel anslag. (dnr 32-2006-0596) behöver förbättra kvalitetssäkringen av årsredovisningen. Det gäller främst bedömningen av vad årsredovisningen ska innehålla samt dokumentationen. (dnr 32-2006-0555) Myndighetens kvalitetssäkring av årsredovisningen brister. har även tidigare konstaterat detta. Bristerna har bland annat resulterat i fel i redovisningen av avgiftsbelagd verksamhet, myndighetskapital och kapitalförändring. Vidare har inte återrapporterat enligt tre krav i regleringsbrevet. (dnr 32-2006-0589) modell för kostnadsfördelning mellan verksamhetsgrenar är osäker. Det innebär att det finns en oklarhet om vilket verksamhetsutfall som är korrekt för respektive verksamhetsgren. (dnr 32-2006-0653) kvalitetssäkring av årsredovisningen brister. Den redovisade semesterlöneskulden är för hög, och en sammanställning av väsentliga uppgifter har inte redovisats med korrekta belopp. (dnr 32-2006-0735) har brustit i kvalitetssäkringen av årsredovisningen. Avstämning av inkomsttitlar gjordes först efter att årsredovisningen hade beslutats. Då upptäcktes ett fel om , vilket medförde att årsredovisningen fick kompletteras. En sådan avstämning borde ha gjorts innan årsredovisningen beslutades. Finansiering Myndigheterna finansierar sin verksamhet genom anslag, avgifter eller bidrag enligt de förutsättningar som regeringen anger i regleringsbreven. Enligt regelverket ska inköp av anläggningstillgångar normalt finansieras med lån, men kan finansieras med bidrag under förutsättning att hela tillgången finansieras med bidrag. Väsentliga avsteg från regelverket om finansiering leder till att lämnar en revisionsberättelse med invändning. Ingen myndighet fick en invändning av dessa skäl. De fel eller brister som avrapporterats i en revisionsrapport är följande: (dnr 32-2006-0468) finansiering av fastigheter har delvis gjorts via räntekontot i stället för genom lån. Om finansieringen hade skett korrekt hade låneramen överskridits. Försvarsmakten (dnr 32-2006-0513) Försvarsmakten har inte haft kontakt med FN innan materiel har använts utöver det som har avtalats mellan Försvarsmakten och FN för aktuell mission. Avsteget från den formella hantering som föreskrivs i den så kallade COE-manualen innebär en risk för att inte kan återkräva aktuella kostnader från FN. (dnr 32-2006-0669) Inventarier vid finansieras delvis genom lån och delvis genom bidrag. Det har inte gått att utläsa av redovisningen hur olika inventarier finansierats. En intern utredning visar att balanserad kapitalförändring är för hög genom att inventarier felaktigt finansierats genom bidrag. Oförbrukade bidrag skulle därmed vara högre. Detta har justerats i årsredovisningen . (dnr 32-2006-0670) finansierar inventarier delvis genom lån och delvis genom bidrag. Det framgår inte tydligt av redovisningen hur respektive tillgång har finansierats. Överskridanden av anslag och bemyndiganden Myndigheter som väsentligt överskrider sina anslag får en revisionsberättelse med invändning. En myndighet har fått invändning av detta skäl. Mindre överskridanden rapporteras till styrelsen eller ledningen för myndigheten. Utöver anslaget har vissa myndigheter en bemyndiganderam som används för framtida utfästelser att ge bidrag. Väsentliga överskridanden av bemyndiganderamen eller utfästelser utan bemyndiganderam leder till att lämnar en revisionsberättelse med invändning. Två myndigheter har fått en invändning av dessa skäl.