frsrdg · GV04RRS24 · 2008-02-20 00:00:00 — styrelses framställning angående krisberedskap i betalningssystemet har granskat regeringens och ansvariga myndigheters insatser för att förebygga och hantera tekniska hot och risker i det centrala betalningssystemet. Resultatet av granskningen har redovisats i rapporten i betalningssystemet (RiR 2007:28). I granskningen gör bedömningen att statens åtgärder för att förebygga och hantera allvarliga tekniska störningar i betalningssystemet inte är tillräckliga. Förmågan att hantera en allvarlig kris inom området bedöms vara bristfällig. Det föreligger brister i myndigheternas risk- och sårbarhetsanalyser, myndigheternas krisplanering, hantering av incidentinformation och i genomförda övningar. visar också att ansvarsfördelningen mellan myndigheterna är otydlig och att tillsynen är svag. Vidare brister regeringen i bedömningen och samordningen av sektorns beredskapsförmåga. Styrelsen anser att en rad omständigheter som framkommit i granskningen visar att det finns behov av åtgärder för att förbättra beredskapen för att förhindra och hantera en kris inom betalningssystemet. Styrelsen föreslår därför att begär att regeringen säkerställer att krisberedskapen avseende det centrala betalningssystemet förbättras så att det är möjligt att förebygga och hantera tekniska hot och risker inom detta system. Granskningens syfte och bedömningsgrunder5 Brister i regeringens givna förutsättningar6 Myndigheternas genomförande av krishanteringen7 Sammantagna iakttagelser och slutsatser9 Sammantagna konsekvenser av identifierade brister9 Förbättrad krisberedskap inom betalningssystemet12 Med hänvisning till de motiveringar som framförs under Styrelsens överväganden föreslår följande: Reglering av krisberedskapen avseende betalningssystemet tillkännager för regeringen som sin mening vad styrelsen anför om att regeringen bör säkerställa att krisberedskapen avseende det centrala betalningssystemet förbättras så att det är möjligt att förebygga och hantera tekniska hot och risker inom detta system. Följande ledamöter har deltagit i beslutet: (), (), (), (), (), Per (), (), (), (), () och (). har granskat regeringens och ansvariga myndigheters insatser för att förebygga och hantera tekniska hot och risker i det centrala betalningssystemet. Resultatet av granskningen har redovisats i rapporten i betalningssystemet (RiR 2007:28) och publicerades . Det svenska betalningssystemet omsätter . De allra flesta betalningar görs genom elektroniska överföringar, som är starkt beroende av att den tekniska infrastrukturen (el, tele och IT) fungerar väl. Om inte de elektroniska överföringarna fungerar avstannar stora delar av den ekonomiska aktiviteten. Allvarliga tekniska fel kommer ofta plötsligt och kan sprida sig snabbt eftersom olika aktörer och tekniska delsystem är beroende av varandra. Det gör att inblandade parter inte alltid hinner skydda sig tillräckligt. Den teknologiska utvecklingen har dessutom gått snabbt och antalet aktörer har ökat. Betalningssystemet har blivit alltmer beroende av en teknik som också är öppen för storskalig manipulation. kvarstår risken för allvarliga olyckor, t.ex. kabelbrott och datorhaverier. Den nya tekniken kan alltså genom spridnings- och kaskadeffekter snabbt leda till betydande skador och förluster för företag och konsumenter. Ytterst kan det bli kaos i samhället om ingen kan betala. Målen för den generella krisberedskapen bör enligt riksdagen1 vara att värna befolkningens liv och hälsa, förmågan att upprätthålla våra grundläggande värden som demokrati, rättssäkerhet och mänskliga fri- och rättigheter. Enligt är ett fungerande samhälle beroende av ett antal samhällsviktiga verksamheter som inte får bryta samman. En av dessa verksamheter är betalningsväsendet. Det finansiella systemet ska enligt vara effektivt och tillgodose såväl samhällets krav på stabilitet som konsumenternas intresse av ett gott skydd. Tillsynen ska bedrivas effektivt. En bank ska enligt banklagen2 drivas på ett sådant sätt att den inte äventyrar sin förmåga att fullgöra sina förpliktelser. ska se till att bankerna följer lagarna, och om inspektionen bedömer att en bank bryter mot lagen kan den ingripa med sanktioner. Enligt riksbankslagen3 ska främja ett säkert och effektivt betalningsväsende. ska också försörja landet med sedlar och mynt. När planerar och genomför sin verksamhet i fredstid ska den beakta de krav som totalförsvaret ställer. Granskningens syfte och bedömningsgrunder Syftet med granskningen är att bedöma om beredskapen för tekniska hot och risker i det centrala betalningssystemet är tillfredsställande. ställer följande revisionsfråga: Är statens åtgärder tillräckliga för att allvarliga tekniska störningar inom det centrala betalningssystemet kan förebyggas eller hanteras om de inträffar? ställer också följande delfrågor: Har och regeringen lagt fast tydliga och enhetliga mål för krisberedskapens inriktning och ambitionsnivå? Är ansvarsfördelningen och samverkan så utformade att samhället på ett ändamålsenligt sätt kan förebygga eller hantera allvarliga störningar i det centrala betalningssystemet? Har berörda samverkansmyndigheter säkerställt att de själva och de finansiella företagen har en tillräcklig förmåga att hantera kriser? Har ansvariga myndigheter genomfört en tillfredsställande tillsyn och uppföljning? Granskningen avgränsas till statliga insatser som gör att det centrala betalningssystemet fungerar även vid allvarliga el-, tele- och IT-störningar. Bedömningsgrunder är främst kraven i krisberedskapsförordningen (2006:942) och andra författningar samt uttalanden från riksdag och regering. Även bedömningskriterier och berättigade krav som i övrigt kan ställas på en väl fungerande krisberedskap inom det centrala betalningssystemet används i granskningen. Enligt förordningen ska myndigheterna kunna hantera även allvarliga händelser som är mindre troliga, men som skulle få omfattande konsekvenser. granskas i första hand , , , samt . Dessutom granskas och samverkansorgan mellan stat och privat sektor. När bedömer den samlade förmågan hos regeringen och myndigheter att förebygga och hantera allvarliga störningar i betalningssystemet används regeringens och klassificeringar: god, god men med vissa brister, bristfällig och mycket bristfällig. I granskningen konstaterar att den finansiella sektorns aktiviteter när det gäller krisberedskap har utvecklats , och särskilt . Det gäller såväl sektorns samverkan som övningar och tillsyn som görs utifrån internationellt vedertagna normer. Samtliga myndigheter som har granskat är engagerade i och avsätter i varierande omfattning tid och resurser för krishantering. Ett ökat engagemang från kan även noteras. granskning visar emellertid att det också finns ett antal avgörande brister i statens åtgärder för att förebygga och hantera allvarliga störningar i det centrala betalningssystemet när de inträffar. Brister i regeringens givna förutsättningar Otydliga mål och krav från regeringens sida Granskningen visar att regeringen inte fastställt krav på grundläggande säkerhet och uthållighet i betalningssystemet. Detta kan enligt bidra till såväl onödiga som uteblivna investeringar i säkerhetsåtgärder hos ansvariga myndigheter och företag. framhåller att då målen inte är tydliga och enhetliga blir det också svårare att följa upp resultat av skyddsåtgärderna, värdera effekter av åtgärderna och få en samlad lägesbild. Otydliga mål försvårar därmed möjligheterna för myndigheterna att kunna förbereda och inrikta beredskapsåtgärder på ett effektivt sätt. Ansvarsförhållandena och samverkan har svagheter Granskningen visar att ett stort antal myndigheter har ett ansvar för den finansiella sektorns krisberedskap. Ingen myndighet har fått eller anser sig ha ett entydigt övergripande och samlat ansvar för ledning, planering, samverkan och uppföljning av krisberedskapsåtgärder inom betalningssystemet. Det statliga ansvaret för informationssäkerhet och incidenthantering inom den finansiella sektorn är dessutom uppsplittrat mellan flera myndigheter. Regeringen har inte heller beslutat att det ska finnas en tjänsteman i beredskap för den finansiella sektorn även om detta har gjorts för många andra samhällssektorer. En sådan tjänsteman har enligt krisberedskapsförordningen i uppgift att initiera och samordna det inledande arbetet för att upptäcka, verifiera, larma och informera vid allvarliga brister. Den finansiella sektorns privat-offentliga samverkan har breddats och intensifierats. Av granskningen framgår dock att sekretessproblem försvårar samarbete mellan myndigheter och näringsliv. Myndigheternas samverkan försvåras även av otydliga mål för det arbetet. Dessutom gäller formellt sett inte krisberedskapsförordningen för . Sammantaget anser att det finns vissa kvarstående brister i ansvarsfördelningen mellan myndigheter och i samverkansformer. Det finns oklarheter i ansvarsförhållanden och uppgifter som bidrar till att det saknas en samlad bild av hot, risker, sårbarheter och konsekvenser. Detta har enligt även bidragit till att myndigheterna ännu inte har samordnat sina förberedande åtgärder tillräckligt. De har inte heller kunnat enas om gemensamma krav på myndigheter och andra aktörer utanför den finansiella sektorn som har en direkt påverkan på sektorns operativa förmåga. I granskningen konstateras att det har utvecklats ett omfattande rapporteringsflöde som gäller krisberedskap, bl.a. genom försorg. Enligt är dock uppföljningen alltför uppsplittrad, och det saknas en genomarbetad strategi för hur den ska genomföras. anser att bedömningen av beredskapsförmågan främst bygger på en personberoende värdering inom varje myndighet, utan tillräckligt stöd från definierade begrepp. Enligt granskningen är resultatet av myndigheternas tillsyn inte heller integrerat i myndigheternas övergripande rapportering om risker och sårbarheter. Redovisningen är också i sig relativt knapphändig. Granskningen visar också att det inte finns någon tydlig samordning av informationshanteringen i . Detta innebär enligt att det blir svårare för regering och riksdag att få en heltäckande bild av beredskapen i det centrala betalningssystemet och svårare att jämföra myndigheternas skyddsåtgärder och bedömningar mellan olika år. framhåller att en felaktig bild av krisberedskapen inom betalningssystemet ökar risken för felaktiga prioriteringar, ineffektiva investeringar i förebyggande åtgärder eller andra säkerhetsåtgärder. Myndigheternas genomförande av krishanteringen I granskningen visas att det inte finns någon samlad bild av hot, risker och sårbarheter inom det centrala betalningssystemet som uppfyller krisberedskapsförordningens krav. har ställt samman en analys som har karaktären av samlad riskbedömning. Den saknar dock fördjupade analysresultat från el-, tele- och IT-området samt resultat från de fördjupade analyser som gör. Flera typer av hot har inte analyserats, och sannolikhetsbedömningar saknas överlag. Analyser av åtgärder är ofullständiga. Regeringen kan därför inte heller sammanställa en nationell bild av samhällets krishanteringsförmåga eftersom hanteringen av den information som finns inte är tillräckligt väl organiserad. pekar på att en förklaring till dessa brister kan vara att myndigheterna anser att sekretesslagen är otillräcklig för att förhindra att grundläggande information om sårbarheter inom det egna ansvarsområdet lämnas ut till andra. Aktörerna har inte heller utvecklat civilrättsligt bindande sekretessavtal och tillämpat dessa i samverkansaktiviteterna. Granskningen visar också att myndigheterna tycker att betalningssystemet är ett svårt område att analysera. Trots detta har inga initiativ till forskning tagits. En annan förklaring till de bristande risk- och sårbarhetsanalyserna som framkommit i granskningen kan vara att olika professioner ännu inte kunnat enas om ett gemensamt sätt att se på risker. framhåller att konsekvenserna av bristande risk- och sårbarhetsanalyser blir att det inte är säkerställt att de förebyggande åtgärder som vidtagits av ansvariga myndigheter och institut är tillräckliga för att kunna förhindra omfattande skadeverkningar för medborgare, företag och samhälle vid en kris i det centrala betalningssystemet. Icke säkerställd operativ förmåga i ett krisläge bedömer att myndigheternas övningsverksamhet inte i tillräcklig utsträckning speglar de omvärldsförhållanden som kan förväntas råda i samband med omfattande tekniska störningar i betalningssystemet. Det genomförs inte heller krisövningar där samhällsviktiga finansiella institutioner inklusive regeringen övar tillsammans. Aktörerna har inte heller förberett sig och övat tillsammans i tillräcklig omfattning för att det ska gå att säkerställa att krisledningarna fungerar tillsammans om en kris inträffar. Detta gäller enligt särskilt händelseförlopp som kan få allvarliga skadeverkningar för medborgare, företag och samhälle. påpekar att om genomtänkta förberedelser saknas riskeras omfattande skadliga konsekvenser. Vid en kris i det centrala betalningssystemet ställs det stora krav på snabbt agerande och att inte onödig tid går åt till sådant som kunnat av innan störningarna inträffade. Bristande förberedelser ökar också riskerna för konflikter kring vem ska göra vad och att det blir personal utan tillräcklig kompetens som får hantera en krissituation. Myndigheternas genomförande av tillsynen Granskningen visar att tillsynen och övervakningen av tekniska risker inom betalningssystemet är svag. Varken , eller har verifierat bankernas och teleoperatörernas riskbedömningar . pekar på att det inte finns några föreskrifter om skyddsåtgärder mot tekniska hot och brister. Myndigheterna utnyttjar inte sina föreskriftsrättigheter på detta område. Detta beror enligt myndigheterna på att man inte anser sig ha tillräckligt lagstöd för att avkräva bankerna en viss föreskriven säkerhet. anser sig t.ex. inte kunna meddela sanktioner som håller i domstol. Då krävs enligt inspektionen att regeringen definierar grundläggande säkerhetskrav. Gemensamt för tillsynen inom , samt är att myndigheterna som man ska bedriva tillsyn också vill främja goda kontakter med den privata sektorn. anser dock att det är rimligt att tillsynen via inspektioner på plats och stickprov faktiskt kontrollerar att bankerna har infört de skyddsåtgärder man säger sig ha och att kontrollsystemet faktiskt fungerar som det är tänkt. Sammantagna iakttagelser och slutsatser Granskningen visar att regeringen inte har organiserat och samordnat hanteringen av risk- och sårbarhetsanalyser och annan uppföljningsinformation på ett sådant sätt att allt underlag som efterfrågas låter sig sammanställas till en nationell bild av krishanteringsförmågan. Det finns även brister i den tillsyn som bedrivits. Nuvarande underlag uppfyller inte heller krisberedskapsförordningens krav. Ett sådant underlag borde enligt innehålla bedömningar av sannolikheter för och konsekvenser av tänkbara händelser samt analyser av samhällets kostnader för omfattande avbrott i betalningssystemet. Inte heller har regeringen fastställt vilken uthållighet och vilka grundläggande säkerhetskrav som betalningssystemet och dess infrastruktur ska uppfylla. Regeringen har därmed varken en norm att utgå ifrån eller tillräckligt underlag för att kunna bedöma rimligheten i skyddsåtgärdernas omfattning och betalningssystemets robusthet i förhållande till samhällets kostnader för omfattande avbrott i betalningarna. anser därför att regeringen saknar nödvändiga förutsättningar för att kunna bedöma om det vidtagits rimliga förebyggande åtgärder inom betalningssystemet. bedömer att statens åtgärder inte heller ger tillräckliga förutsättningar för att hantera allvarliga tekniska störningar i betalningssystemet om de inträffar. Ingen myndighet har fått ett entydigt övergripande och samlat ansvar för ledning, planering, samverkan och uppföljning, och incidenthanteringen inom den finansiella sektorn är uppsplittrad mellan flera myndigheter. Regeringen har inte beslutat att funktionen Tjänsteman i beredskap ska finnas inom den finansiella sektorn. Granskningen visar också att myndigheterna och privata aktörer inte har förberett sig tillräckligt genom krisplanering, övningar och andra typer av förberedelser så att skadeverkningarna för medborgare och samhälle kan begränsas när en allvarlig störning inträffar. bedömer därför att förmågan att förebygga och hantera allvarliga störningar inom det centrala betalningssystemet är bristfällig. Sammantagna konsekvenser av identifierade brister I granskningen har framkommit brister i underlaget för att bedöma om motståndskraften i betalningssystemet är tillräcklig för att förhindra allvarliga betalningsstörningar. Därmed blir det också svårt att avgöra om den aktuella risknivån är acceptabel eller inte ur samhällets synvinkel. Även om de grundläggande förutsättningar som identifierat saknas och många brister finns i de förberedelser som myndigheter har vidtagit kan inte utesluta att det finns förmåga inom sektorn att hantera en allvarlig störning om den skulle inträffa. Eftersom en allvarlig störning ännu inte har inträffat måste en bedömning av förmåga baseras på de förberedelser som gjorts i ett antal grundläggande avseenden. bedömer således att förmågan att förebygga och hantera allvarliga störningar inom det centrala betalningssystemet är bristfällig. vill fästa uppmärksamhet på behovet av att överväga en ändring av lagen (1988:1385) om riksbank i syfte att bestämmelserna i förordningen (2002:942) om krisberedskap och höjd beredskap ska gälla för . rekommenderar regeringen följande. Regeringen bör fastställa vilka grundläggande säkerhetskrav som ska gälla för betalningssystemet och dess nödvändiga infrastruktur. Regeringen bör också fastställa hur uthålligt betalningssystemet måste vara. Regeringen bör fastställa vilken myndighet, exempelvis , som har det övergripande krisberedskapsansvaret för betalningssystemet och incidentbevakningen samt föreslå i vilka avseenden ska ha ansvar för krisberedskapen. Regeringen bör också precisera samverkansområdenas arbete och sammansättning. Regeringen bör se över hur krisberedskapen inom betalningssystemet följs upp. Här ingår att utse en central samordnare för all information om betalningssystemets krisberedskap och att kräva att myndigheterna återrapporterar all väsentlig information. Då blir det möjligt att göra en samlad analys av krisberedskapen inom betalningssystemet. Regeringen bör också se över tillsynen inom betalningssystemet. Här ingår att undersöka vilken teknisk kompetens som behövs, om föreskrifter behövs och hur myndigheterna bör redovisa resultatet av tillsynen. Regeringen bör säkerställa att analyser och sårbarheter i det centrala betalningssystemet görs och att dessa analyser uppfyller krisberedskapsförordningens krav. Regeringen bör också se över hanteringen av sekretessbelagda uppgifter och överväga att ge en myndighet föreskriftsrätt över hur risk- och sårbarhetsanalysering ska utformas och följas upp. Regeringen bör se över hur myndigheter och institut förbereder sig för en akut allvarlig störning i betalningssystemet. Bl.a. behöver en långsiktig strategi för gemensamma övningar utarbetas och funktionen Tjänsteman i beredskap etableras inom den finansiella sektorn. En sådan funktion har regeringen beslutat ska finnas inom många andra samhällsområden där en god förmåga att hantera kriser är av stor vikt. Regeringen bör också se över ledningsansvaret för krisförberedelserna och behovet av en förberedd gemensam ledningsorganisation och en central ledningsplats inom sektorn. rekommenderar myndigheterna följande. Myndigheterna bör se till att deras risk- och sårbarhetsanalyser uppfyller krisberedskapsförordningens krav och beakta den kritik som framkommit i genomgångar av risk- och sårbarhetsanalyserna. I samband med detta bör myndigheterna sammanställa all information som finns tillgänglig inom den egna organisationen inklusive tillsynsenheterna. Myndigheterna ska också se till att analysen täcker hela myndighetens ansvarsområde. ska exempelvis se till att analysen täcker det statliga betalningssystemet i sin helhet. Myndigheterna bör komplettera sina krisplaner med åtgärder som behövs för att kunna samverka med andra aktörer som kan bidra till att höja beredskapen i betalningssystemet. , och bör via inspektioner på plats och genom stickprov faktiskt kontrollera att bankerna och infrastrukturföretagen har infört de skyddsåtgärder man säger sig ha och att kontrollsystemet faktiskt fungerar som det är tänkt. bör använda sin föreskriftsrätt och sina sanktionsmöjligheter så att brister i skyddet och regelbrott får konsekvenser för instituten och så att möjligheter skapas att få prövat i domstol hur långt skyldigheten enligt gällande lagar sträcker sig hos bankerna i principiellt viktiga fall. har funnit att slutsatserna i den granskning som genomförts av krisberedskapen mot tekniska hot och risker i det centrala betalningssystemet bör överlämnas till i form av en framställning. I anslutning härtill vill styrelsen anföra följande. Styrelsen vill inledningsvis framhålla den stora betydelse det centrala betalningssystemet har för samhället. Det finansiella systemet måste vara effektivt och stabilt för att samhällets funktion ska kunna upprätthållas. De allra flesta betalningar görs genom elektroniska överföringar, och om dessa inte fungerar avstannar stora delar av den ekonomiska aktiviteten och stora förluster kan uppstå för enskilda, företag och samhälle. Detta innebär att alla nivåer inom betalningssystemet behöver ha en god krishanteringsförmåga. Inom systemet finns flera aktörer, t.ex. individer, företag, myndigheter, regering och riksdag. Det offentliga har dock huvudansvaret för beredskapen i samhället, så också inom det centrala betalningssystemet. Styrelsen noterar att det konstaterats i granskningen att den finansiella sektorns aktiviteter när det gäller krisberedskap har utvecklats , liksom att engagemanget från har ökat. Den interna organisationen inom är under förändring, och regeringen har också aviserat att en ny samlad myndighet mot olyckor och kriser ska inrättas . Regeringen har vidare lämnat uppdrag avseende krisberedskapen till och i myndigheternas regleringsbrev . ska redovisa de initiativ som tagits eller planeras med anledning av de rekommendationer som lämnats av avseende krisberedskapen inom det centrala betalningssystemet. Redovisningen ska även ange hur arbetet med beredskapsplaneringen bedrivs i förhållande till , bl.a. medavseende på kontantförsörjningen. ska analysera riskerna och sårbarheterna i den statliga betalningsmodellen. Analysen ska innehålla en beskrivning av processerna och en kartläggning av riskerna i den statliga betalningsmodellen. Båda uppdragen ska redovisas . Styrelsen anser, trots det pågående arbetet inom området, att de iakttagelser som gjort i granskningen är av sådant slag att det finns anledning för att begära att regeringen säkerställer att krisberedskapen inom det centrala betalningssystemet förbättras. Förbättrad krisberedskap inom betalningssystemet Styrelsen anser att en rad omständigheter som framkommit i granskningen visar att det finns behov av åtgärder för att förbättra beredskapen för att förhindra och hantera en kris inom det centrala betalningssystemet. Av granskningen framgår att varken regeringen eller myndigheterna har tillräckligt underlag för att kunna bedöma om de åtgärder som vidtas avseende beredskapen inom det centrala betalningssystemet räcker för att förebygga eller hantera allvarliga störningar i systemet. Av granskningen framgår också att regeringen inte har fastställt vilka grundläggande säkerhetskrav som betalningssystemet och dess infrastruktur ska uppfylla eller hur uthålligt systemet måste vara. Styrelsen anser att sådana krav bör fastställas av regeringen. Utan sådana krav är det svårt att veta om de åtgärder som vidtas är effektiva och verkligen är till nytta.