frsrdg · GY04RRS5 · 2010-01-01 00:00:00 — styrelses framställning om statens betalningar har granskat säkerheten i statens betalningar. Föremål för granskningen är regeringen, , , samt 20 andra myndigheter. Resultatet av granskningen har redovisats i granskningsrapporten i statens betalningar (RiR 2010:13). rapporterade att det fanns sårbarheter och risker i den statliga betalningsprocessen. Granskningen visar att dessa problem kvarstår och att inga avgörande åtgärder har förbättrat säkerheten i de statliga betalningarna. Iakttagna brister rör bl.a. oklarheter kring fördelningen av ansvar för säkerheten i statens betalningar och avsaknaden av samlade riskanalyser. Det finns också brister i den interna kontrollen och säkerheten inom myndigheternas betalningsprocesser. Styrelsen anser att de brister i säkerheten i statens betalningar som påvisas i granskningen måste åtgärdas. Styrelsen föreslår därför att regeringen vidtar åtgärder för att förbättra säkerheten i statens betalningar. Styrelsen anser också att det är angeläget att regeringen återkommer till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. Granskningens syfte och revisionsfråga4 Ansvarsfördelning och samlade riskanalyser6 Rutiner och regelverk för behörighet hos myndigheterna7 Möjligheter att granska system där sköter driften10 Förbättring av säkerheten i statens betalningar12 Med hänvisning till de motiveringar som framförs under styrelses överväganden föreslår följande: 1.Förbättring av säkerheten i statens betalningar tillkännager för regeringen som sin mening vad styrelsen anfört om att regeringen bör vidta åtgärder för att förbättra säkerheten i statens betalningar. tillkännager för regeringen som sin mening vad styrelsen anfört om att regeringen återkommer till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. Följande ledamöter har deltagit i beslutet: (), (), (), (), (), Per (), (), (), (), () och (). har granskat säkerheten i statens betalningar. Föremål för granskningen är regeringen, , , samt 20 andra myndigheter. Resultatet av granskningen har redovisats i granskningsrapporten i statens betalningar (RiR 2010:13). Till rapporten finns en hemlig bilaga. publicerade i betalningssystemet (RiR 2007:28). Rapporten innehöll en genomlysning av krisberedskapen i betalningssystemet som helhet, varav en del avsåg säkerheten i det statliga betalningssystemet. I en hemlig bilaga till rapporten påvisades en särskilt allvarlig risk och sårbarhet i systemet för statliga betalningar. Granskningen visade att det fanns en möjlighet att begränsa denna risk och sårbarhet, men också att denna möjlighet inte utnyttjades av de då granskade myndigheterna. ska enligt sin instruktion (2007:1447) företräda det statliga betalningssystemet inklusive statens centralkonto. fick i uppdrag att analysera riskerna och sårbarheterna i den statliga betalningsmodellen. redovisade sitt uppdrag till regeringen. har därefter i två promemorior redovisat det fortsatta arbetet med dessa frågor. har gjort en fördjupad granskning av säkerheten i de statliga betalningarna och av vad och myndigheterna gjort med anledning av . För det fallet att sårbarheten inte är undanröjd är det viktigt att myndigheternas interna kontroll och säkerhet är hög. I en granskning av fem myndigheter påvisades betydande brister i den interna kontrollen och säkerheten. Granskningens syfte och revisionsfråga Avsikten med granskningen är att komplettera granskningarna . Syftet med granskningen har varit att följa upp vilka åtgärder som regeringen och myndigheterna har vidtagit och bedöma om de är tillräckliga. Följande revisionsfråga har ställts: Är de åtgärder regeringen och myndigheterna hitintills vidtagit tillräckliga för att allvarliga felaktigheter i och ett brottsligt utnyttjande av statliga betalningar ska kunna förhindras eller hanteras om de inträffar? Med det statliga betalningssystemet avses i första hand myndigheternas betalningar över bankkonton anslutna till statens centralkonto. Myndigheterna använder upp till 4500 bankkonton för in- och utbetalningar. De statliga betalningarna omfattar ca 130 miljoner betalningar . Knappt en tredjedel av dessa är inbetalningar, medan de övriga är utbetalningar. Ungefär 90 miljoner av utbetalningarna är transfereringar. Den totala betalningsvolymen uppgick till . Avsikten med det statliga betalningssystemet är att myndigheterna i princip ska ha samma möjligheter som företag att utnyttja de kommersiella bankernas betalningstjänster. har staten en annan styrmodell. I företagsvärlden för moderbolaget över medel t.ex. i form av koncernbidrag till sina dotterbolag, medan staten beslutar om dispositionsrätt genom anslag på statsbudgeten. Staten har skapat ett eget regelsystem och egna rutiner för betalningarna och för den centraliserade likvidhanteringen. har en central roll i såväl betalningarna som likvidhanteringen. För att möjliggöra effektivitet i betalningarna till och från företag och privatpersoner har staten tecknat ramavtal med ett antal banker. Myndigheterna kan genom avrop på dessa avtal få tillgång till bankernas tjänster. Varje myndighet måste själv teckna ett avropsavtal med en eller flera banker. Avtalet ger myndigheten möjlighet att utnyttja bankens betalningslösningar. Om det rör sig om stora belopp kan myndigheterna också göra direktbetalningar via från statens centralkonto i . Direktbetalningar mellan myndigheter kan också göras direkt via . Sammantaget anser att den särskilt allvarliga risk och sårbarhet i den statliga betalningsprocessen som påvisades i i betalningssystemet (RiR 2007:28) kvarstår. Inga avgörande åtgärder har vidtagits för att minska denna risk och sårbarhet. De brister som har iakttagits är omfattande. De avser bl.a. oklarheter kring fördelningen av ansvar för säkerheten i statens betalningar och avsaknaden av samlade riskanalyser, inklusive oklarheter kring vilka som ska göra sådana riskanalyser. Dessutom har ett antal grundläggande brister i rutiner och regler för den interna kontrollen och säkerheten inom myndigheterna iakttagits. En stor del av dessa iakttagelser redovisas endast i en hemlig bilaga till rapporten. Ansvarsfördelning och samlade riskanalyser Ansvaret för säkerheten i statens betalningar Statliga myndigheters betalningar styrs av förordning (2006:1097) om statliga myndigheters betalningar och medelsförvaltning (betalningsförordningen). Betalningsförordningen anger att är ansvarigt för att godkänna avtal om betalningstjänster m.m. är statens centrala finansförvaltning och ska enligt förordning (2007:1447) med instruktion för företräda det statliga betalningssystemet inklusive statens centralkonto. Varje myndighet ansvarar själv för säkerheten i sin verksamhet, inklusive säkerheten i de betalningar som myndigheten själv har kontroll över. Myndigheterna måste utnyttja de ramavtal för betalningstjänster som har tecknat, men kan i övrigt bestämma över de egna säkerhetsrutinerna och den interna kontrollen. Av granskningen framgår att endast inom vissa områden (t.ex. kommunikation över Internet och vid upphandlingen av betalnings- och kommunikationstjänsterna via ramavtalen) ger tydligt stöd till myndigheterna i säkerhetsfrågor. Däremot ger man inte stöd till myndigheterna på andra områden som t.ex. IT och säkerhetslösningar. anser att därmed skapar en osäkerhet hos myndigheterna om sin roll och sitt ansvar. pekar på risken att viktiga aktörer förutsätter att har en tydlig vägledande roll och att de därför avstår från att ta egna initiativ i avsaknad av direktiv från . Ansvaret för samlade riskanalyser ska enligt sin instruktion ha en beskrivning av de huvudsakliga risker som är förenade med sin verksamhet och hur dessa risker ska hanteras. ska också ha interna instruktioner för hanteringen av dessa risker. Instruktionen anger också att ska företräda det statliga betalningssystemet. I betalningsförordningen anges att betalningar till och från en myndighet ska ske på ett för staten som helhet kostnadseffektivt och säkert sätt. Det betyder enligt att enligt sin instruktion rimligen ska ansvara för riskanalyser avseende det statliga betalningssystemet, och för att identifiera åtgärder för att hantera dessa risker, och att riskanalyserna även ska omfatta säkerheten i betalningssystemet. konstaterar att ingen myndighet är ansvarig för tillsynen av de statliga betalningarna. Inte heller görs någon hotbildsanalys motsvarande den som behövs för att bedöma den övergripande hotbilden när det gäller brott riktade mot statens betalningar. Ett stort antal aktörer gör dock analyser av enskilda och avgränsade områden som är intressanta för att bedöma den sammantagna hotbilden och analysera behovet av eventuella åtgärder med anledning av aktuell eller förväntad hotbild. bedömer att det finns behov av att förtydliga roll och ansvar för det statliga betalningssystemet i förhållande till myndigheterna och andra aktörer inom betalningsområdet samt överväga om rollen som tillsynsmyndighet för de statliga betalningarna bör tilldelas någon myndighet. bedömer också att det finns ett tydligt behov av att regelbundet genomföra och ajourhålla riskanalyser som gäller statens betalningar samt av att hotbilds- och riskanalyser som gäller brott riktade mot statens betalningar utförs i samarbete med relevanta myndigheter. Ansvaret för att löpande uppdatera sådana riskanalyser måste enligt även vara tydligt fördelat, och regeringen bör uttala om eller någon annan myndighet ska ha detta ansvar. Oavsett vem som tilldelas ansvaret, måste en samverkan med andra myndigheter och organisationer inom betalningsområdet säkerställas för att möjliggöra arbetet. Hot- och riskanalyser internt inom myndigheterna Granskningen visar att flertalet av de 20 myndigheter som undersökts inte har gjort analyser av risker och sårbarheter i de egna betalningarna. Detta krävs i flera av de förordningar som reglerar de statliga betalningarna. När sådana analyser har gjorts har endast vissa risker och hot analyserats. Det saknas också överlag bedömningar av sannolikheter för och konsekvenser av att sådana hot realiseras samt av möjliga åtgärder för att hantera dessa risker. I nästan samtliga granskade myndigheter är framtagningen av betalningsunderlag skild från verkställande av utbetalningen. Den sammantagna processen för betalningar omfattar flera avdelningar eller enheter i de större myndigheterna. Granskningen visar att myndigheterna sällan säkerställt att någon har ett tydligt utpekat ansvar för hela betalningsprocessen vid myndigheten och för att säkerheten i betalningsprocesserna löpande följs upp. anser att om ansvaret för betalningsprocessen är otydligt, innebär det att också ansvaret för säkerheten i den sammantagna betalningsprocessen blir otydligt. Rutiner och regelverk för behörighet hos myndigheterna har dessutom funnit att behörigheterna i IT-systemen är särskilt problematiska. Myndigheterna beställer behörigheter av olika slag hos bankerna, t.ex. behörighet att utnyttja specifika tjänster och att logga in på bankens Internetbank samt behörigheter för enskilda personer att bemyndiga betalningar för myndigheten. Beställningen ska utformas så att banken kan avgöra om den kommer från myndigheten och är undertecknad av personer som har rätt att beställa behörigheter av aktuellt slag. har i en regeringsrapport, Risker och sårbarheter i den statliga betalningsmodellen (2008/198), särskilt lyft fram problemet med behörig användning. Man anger bl.a. att det finns en inneboende sårbarhet i att det statliga regelsystemet för fullmaktshanteringen är oklart och osammanhängande. föreslår i rapporten ett antal åtgärder för att förbättra situationen. Bland annat föreslår man att regeringen kompletterar myndighetsförordningen med regler om myndighetsledningens centrala ansvar att utse behöriga personer, inte bara för uppgifter internt inom myndigheten utan också för att företräda myndigheten utåt. Av framgår vidare att staten saknar ett formellt myndighetsregister motsvarande bolagsregistret, där myndigheterna och behöriga firmatecknare är registrerade. skriver i rapporten att det är särskilt viktigt att myndighetsledningen beslutar om vilka som är behöriga att förfoga över myndighetens medel på bankkonton anslutna till statens centralkonto. föreslår även att regleringen av fullmakter flyttas från bokföringsförordningen till betalningsförordningen och att i sina föreskrifter anger hur fullmakten ska se ut och hur myndigheterna ska förfara med fullmakten. granskning visar att större delen av de granskade myndigheterna saknar tydliga riktlinjer för delegationsbeslut och hur fullmakter ska vara utformade. Samtliga storbanker har också vid intervjuer pekat på stora brister i myndigheternas beställningar av behörigheter. bedömer i likhet med att oklarheterna i regelverket och rutinerna för firmateckning och fullmaktshantering hos myndigheterna är en av de större enskilda riskerna i sammanhanget. Det finns en inneboende sårbarhet i att det statliga regelsystemet för fullmaktshanteringen är oklart och osammanhängande. bedömer därför att det är nödvändigt att staten mycket tydligt stramar upp regelverket och rutinerna för firmateckning och fullmaktshantering hos myndigheterna. Säkerheten i utbetalningarna vid de 20 myndigheterna har i flera grundläggande avseenden granskats av . Resultatet av denna del av granskningen redovisas i den hemliga bilagan till rapporten. Sammantaget anser att ett antal allvarligare brister finns i rutiner och regler för myndigheternas interna kontroll och säkerhet i de egna betalningarna. Säkerheten i statens betalningar är också beroende av säkerheten i bankernas betaltjänster. Säkerheten i de banktjänster och kommunikationslösningar som ingår i ramavtalet bygger i de flesta fall på etablerade standarder eller allmänt accepterade kommersiella produkter. Merparten av säkerhetslösningarna utnyttjar kommersiellt tillgängliga produkter och etablerade standarder, t.ex. för säkerhet i överföring av information över Internet. I några fall finns dock säkerhetslösningar som utvecklats enbart för en viss myndighets betalningar. Avtalen skiljer inte på finansiella överföringar och betalningar framhåller att man i de nuvarande ramavtalen mellan myndigheterna och bankerna inte tydligt skiljer på betalningar och finansiella överföringar som ofta avser större belopp. I den privata sektorn är det vanligt att de finansiella överföringarna har en annan säkerhetslösning eller en säkrare process för godkännande och bemyndigande. Finansiella överföringar avser t.ex. myndighetens lån och amorteringar hos och överföringar mellan egna konton i banken. De kan också avse andra överföringar mellan myndigheterna. Om säkerheten i betalningssystemen anpassas för att effektivisera de många mindre betalningarna, finns en risk att de inte blir säkra nog för finansiella överföringar. anser att det är viktigt att överväger att skilja på finansiella överföringar och betalningar i kommande ramavtal. Standardlösningar även för mycket höga belopp har inte granskat den tekniska säkerheten i de standardiserade tjänsterna i detalj. Säkerheten i tjänsterna beror på ett stort antal faktorer, där säkerheten i myndigheternas egna datorer, liksom programvaran i dessa, spelar stor roll. I granskningen har framkommit att de tekniska säkerhetslösningarna sannolikt kommer att vara utsatta för sofistikerade och allvarliga angrepp, och säkerheten i betalningslösningarna kommer bara att kunna upprätthållas genom gemensamma insatser från leverantörerna, bankerna och myndigheterna själva. Användning av standardlösningar ökar möjligheten för såväl leverantörerna som bankerna och myndigheterna att få snabbt och effektivt stöd för att åtgärda fel och brister i säkerhetslösningarna. Vid mycket stora betalningar från myndigheterna används samma typ av lösning för godkännande och bemyndigande som för privata banktjänster. Säkerhetslösningarna utnyttjar olika typer av bankdosor med eller utan kort och kortläsare. Skillnaden mot privata betalningar är att myndigheternas betalning oftast måste genomföras av två personer i förening. Myndigheterna kan med jämna mellanrum hämta hem en sammanställd fil med genomförda betalningar för återredovisning och inläsning till myndighetens ekonomisystem eller affärssystem. I granskningen framkommer att det finns mycket stora skillnader i risker i kontanthantering med små belopp jämfört med hanteringen av mycket stora belopp. I de lösningar som myndigheterna använder för bankbetalningar finns inga motsvarande skillnader mellan små och stora betalningar. framhåller att det finns en risk att säkerhetsnivån kring de större betalningarna inte motsvarar hotbilden. En annan risk är att den personal som utför betalningarna på samma eller liknande sätt som de utför sina privata betalningar inte förstår behovet av betydligt striktare rutiner och intern kontroll vid myndighetens betalningar, just för att i princip samma tekniska lösning används. Möjligheter att granska system där sköter driften I det avtal om drift av ekonomisystem som slutits mellan svenska myndigheter och affärssystemsleverantören saknas en klausul som tillåter att granska de system som används av myndigheterna, men som underhålls, förvaltas och körs av . Det är som för statens räkning tecknar avtal med . Alla myndigheter använder dock inte Agresso. har således inte möjlighet att hos granska hur det ekonomisystem som flertalet myndigheter använder hanteras ur säkerhetssynpunkt. Avsaknaden av en revisionsklausul försvårar och fördyrar enligt bedömning granskningen av tillförlitligheten i dessa ekonomisystem. Som omnämnts tidigare gav regeringen i uppdrag att analysera riskerna och sårbarheterna i den statliga betalningsmodellen. redovisade sitt uppdrag och lämnade också ett antal förslag som riktade sig till regeringen, Risker och sårbarheter i den statliga betalningsmodellen. Något avgörande initiativ med anledning av har regeringen inte tagit. När det gäller om brister i betalningssystemet skriver regeringen i budgetpropositionen att och har fortsatt arbetet för att stärka motståndskraften och krisberedskapen i betalningssystemet. Regeringen informerar vidare om att frågorna om det övergripande ansvaret för krisberedskap i betalningssystemet och om hur de grundläggande kraven på uthållighet och säkerhet i systemet ska regleras bereds vidare i . fick en utredare i uppdrag av regeringen att arbeta vidare med dessa frågor. Uppdraget ska redovisas . Frågor som avser säkerheten i det statliga betalningssystemet kommer att hanteras direkt av och inte inom ramen för utredningsuppdraget. har dock funnit att när det gäller centrala förhållanden som bl.a. ansvarsfördelning, riskanalyser, konkreta åtgärder för att strama upp regler och rutiner för hanteringen av bemyndiganden och fullmakter inom myndigheterna har enligt bedömning inget avgörande gjorts , vare sig av regeringen eller ansvariga myndigheter. Detsamma gäller i hög grad också de grundläggande brister i intern kontroll och säkerhet som påvisats i granskningen. framhåller att de brister som har iakttagits i granskningen är omfattande. Bristerna avser bl.a. oklarheter kring fördelningen av ansvar för säkerheten i statens betalningar och avsaknaden av samlade riskanalyser, inklusive oklarheter kring vilka som ska göra sådana riskanalyser. Dessutom har iakttagit ett antal grundläggande brister i den interna kontrollen och säkerheten inom myndigheterna. redovisar dessa brister närmare i den hemliga bilagan till rapporten. Om inte dessa brister åtgärdas finns det enligt risk att stora ofrivilliga felutbetalningar kan ske eller att brott begås med omfattande konsekvenser för både staten och samhället i övrigt. Det kan också finnas risk för att dessa brister utnyttjas av antagonistiska krafter för att störa landets betalningssystem. Mot denna bakgrund rekommenderar att regeringen, , , Kammarkollegiet och övriga ansvariga myndigheter skyndsamt vidtar ett antal åtgärder. Dessa förslag till åtgärder redovisas närmare i den hemliga bilagan till . Styrelsen överlämnar härmed en framställning till med anledning av granskning Säkerheten i statens betalningar (RiR 2010:13). I anledning av detta vill styrelsen anföra följande. Förbättring av säkerheten i statens betalningar Granskningen är en uppföljning av vilka åtgärder som regeringen och myndigheterna vidtagit i anledning av granskning Krisberedskap i betalningssystemet (RiR 2007:28). I granskningen konstaterades att det fanns en särskilt allvarlig risk och sårbarhet i systemet för statliga betalningar. I anledning av granskningen föreslog styrelsen (2007/08: RRS24) att regeringen skulle säkerställa att krisberedskapen förbättrades så att det var möjligt att förebygga och hantera tekniska hot och risker inom det centrala betalningssystemet. I riksdagsbehandlingen avstyrkte finansutskottet förslaget med motiveringen att regeringen och berörda myndigheter hade inlett ett sådant arbete (bet. 2007/08:FiU31). beslutade i enlighet med utskottets förslag. Uppföljningen av granskningen visar att den särskilt allvarliga risk och sårbarhet i den statliga betalningsprocessen som påvisades i rapporten kvarstår och att inga avgörande åtgärder har vidtagits för att minska denna sårbarhet. Styrelsen anser att de brister i säkerheten i statens betalningar som påvisas i granskningen måste åtgärdas. Styrelsen föreslår därför att regeringen vidtar åtgärder för att förbättra säkerheten i statens betalningar. Som framgått av övervägandena ovan har regeringen sedan granskning haft kännedom om de brister i säkerheten i statens betalningar som åter har konstaterats. Styrelsen anser därför att det är angeläget att regeringen återrapporterar till vilka åtgärder som vidtagits i anledning av styrelsens förslag om att åtgärder bör vidtas för att förbättra säkerheten i statens betalningar. Styrelsen föreslår sammanfattningsvis att begär att regeringen vidtar åtgärder för att förbättra säkerheten i statens betalningar regeringen återkommer till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar.