bet · GY01FiU22 · 2011-02-08 00:00:00 — 2010/11:FiU22 styrelses framställning om statens betalningar styrelses framställning om statens betalningar I betänkandet behandlas styrelses framställning om statens betalningar (2010/11:RRS5). har granskat säkerheten i statens betalningar. Föremål för granskningen var regeringen, , , och 20 andra myndigheter. Resultatet av granskningen redovisades i granskningsrapporten i statens betalningar (RiR 2010:13). Styrelsen för anser att de brister i säkerheten i statens betalningar som påvisades i granskningen måste åtgärdas. Styrelsen föreslår därför att lämnar ett tillkännagivande om att regeringen bör vidta åtgärder för att förbättra säkerheten i statens betalningar. Styrelsen anser också att det är angeläget att regeringen återrapporterar till vilka åtgärder som vidtagits med anledning av styrelsens förslag. Styrelsen föreslår därför ett tillkännagivande från om att regeringen ska återkomma till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. Inga motioner har väckts med anledning av framställningen. Utskottet konstaterar att de brister i säkerheten i statens betalningar som har funnit är allvarliga, men noterar att regeringen redan har vidtagit kraftfulla åtgärder för att komma till rätta med bristerna. Utskottet förutsätter att regeringen beaktar de synpunkter som framställts av de berörda myndigheterna och att regeringen fortsätter arbetet med att förbättra säkerheten i statens betalningar. Mot bakgrund av detta anser utskottet att det inte finns skäl att lämna något tillkännagivande om åtgärder för att förbättra säkerheten i statens betalningar. Utskottet anser emellertid att det är angeläget att regeringen återkommer till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. En sådan redovisning bör enligt utskottets mening lämnas . Utskottet avstyrker förslaget om ett tillkännagivande om att regeringen bör vidta åtgärder för att förbättra säkerheten i statens betalningar. Vad gäller redovisning till föreslår utskottet ett tillkännagivande om att regeringen ska återkomma till med en redovisning av vilka åtgärder som vidtagits. Utskottets förslag till riksdagsbeslut Säkerheten i statens betalningar avslår framställning 2010/11:RRS5 punkt 1. tillkännager för regeringen som sin mening vad utskottet anför om att regeringen bör återkomma till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. Därmed bifaller delvis framställning 2010/11:RRS5 punkt 2. Följande ledamöter har deltagit i beslutet: (M), (S), (S), (M), (S), (M), (S), (FP), (S), (C), (S), (M), (MP), (KD), (SD), (V) och (M). Ärendet och dess beredning publicerade i betalningssystemet (RiR 2007:28). Rapporten innehöll en genomlysning av krisberedskapen i betalningssystemet som helhet, varav en del avsåg säkerheten i det statliga betalningssystemet. I en hemlig bilaga till rapporten påvisades en särskilt allvarlig risk och sårbarhet i systemet för statliga betalningar. Mot bakgrund av vad som framkom i granskningen överlämnade en framställning (2007/08:RRS24) angående krisberedskap i betalningssystemet till . I framställningen föreslogs att skulle tillkännage att regeringen borde säkerställa en förbättrad krisberedskap för det centrala betalningssystemet. avstyrkte i betänkande 2007/08:FiU31 styrelsens framställning. I betänkandet finns en reservation (S, V, MP). Kammaren biföll utskottets förslag (rskr. 2007/08:231). Utskottet framhöll att det var angeläget att regeringen beaktade såväl observationer som de synpunkter som lämnats av berörda myndigheter i det fortsatta arbetet med att stärka krisberedskapen inom det centrala betalningssystemet. Utskottet förutsatte att regeringen beaktade de synpunkter som framställts om behovet av att klargöra krav på driftsäkerhet och av att se över tillsynsansvaret för det centrala betalningssystemet. Vidare förutsatte utskottet att regeringen i budgetpropositionen skulle återkomma med information till om vidtagna och planerade åtgärder med anledning av iakttagelser. Med hänsyn till den relativt korta tid som hade förflutit sedan lämnades, och till att en redovisning av regeringens åtgärder kunde emotses i budgetpropositionen , ansåg utskottet att resultatet av det arbete som påbörjats med anledning av iakttagelser inte borde föregripas. fick i uppdrag att analysera riskerna och sårbarheterna i den statliga betalningsmodellen. redovisade sitt uppdrag till regeringen. gjorde en fördjupad granskning av säkerheten i de statliga betalningarna och av vad och de övriga myndigheterna gjort med anledning av . genomförde därefter en granskning som syftade till att komplettera tidigare genomförda granskningar. Resultatet av granskningen redovisades i rapporten i statens betalningar (RiR 2010:13). Säkerheten i statens betalningar Utskottets förslag i korthet avslår styrelses förslag om ett tillkännagivande om åtgärder för att förbättra säkerheten i statens betalningar men tillkännager som sin mening att regeringen bör återkomma till med en redovisning av vilka åtgärder som vidtagits. Utskottet noterar att regeringen redan har vidtagit kraftfulla åtgärder för att öka säkerheten i statens betalningar. Utskottet förutsätter att regeringen beaktar de synpunkter som har lämnats av berörda myndigheter och att regeringen fortsätter arbetet med att förbättra säkerheten i statens betalningar. Vidare anser utskottet att det är angeläget att regeringen återkommer till med en redovisning av vidtagna åtgärder och att en sådan redovisning bör lämnas . Det huvudsakliga innehållet i styrelses framställning Granskningens syfte och revisionsfrågan Avsikten med granskning var att komplettera granskningarna . Syftet med granskningen var att följa upp vilka åtgärder som regeringen och myndigheterna har vidtagit och bedöma om de var tillräckliga. Följande revisionsfråga ställdes: Är de åtgärder regeringen och myndigheterna har vidtagit tillräckliga för att allvarliga felaktigheter i och ett brottsligt utnyttjade av statliga betalningar ska kunna förhindras eller hanteras om de inträffar? Resultatet av granskningen redovisades i granskningsrapporten i statens betalningar (RiR 2010:13). sammantagna iakttagelser och slutsatser I framställningen konstateras att sammantaget anser att den särskilt allvarliga risk och sårbarhet i den statliga betalningsprocessen som påvisades i rapporten i betalningssystemet (RiR 2007:28) kvarstår. Inga avgörande åtgärder har vidtagits för att minska denna risk och sårbarhet. Vidare anges att de brister som iakttagits är omfattande. De avser bl.a. oklarheter kring fördelningen av ansvar för säkerheten i statens betalningar och avsaknaden av samlade riskanalyser, inklusive oklarheter kring vilka som ska göra sådana riskanalyser. Dessutom har ett antal grundläggande brister i rutiner och regler för den interna kontrollen och säkerheten inom myndigheterna iakttagits. En stor del av dessa iakttagelser redovisas endast i en hemlig bilaga till rapporten. Med det statliga betalningssystemet avses i första hand myndigheternas betalningar över bankkonton anslutna till statens centralkonto. Myndigheterna använder upp till 4 500 bankkonton för in- och utbetalningar. De statliga betalningarna omfattar ca 130 miljoner betalningar . Knappt en tredjedel av dessa är inbetalningar, medan de övriga är utbetalningar. Ungefär 90 miljoner av utbetalningarna är transfereringar. Den totala betalningsvolymen uppgick till . Avsikten med det statliga betalningssystemet är att myndigheterna i princip ska ha samma möjligheter som företag att utnyttja de kommersiella bankernas betalningstjänster. har staten en annan styrmodell. I företagsvärlden för moderbolaget över medel t.ex. i form av koncernbidrag till sina dotterbolag, medan staten beslutar om dispositionsrätt genom anslag på statsbudgeten. spelar en central roll i såväl betalningarna som likvidhanteringen. För att möjliggöra effektivitet i betalningarna till och från företag och privatpersoner har staten tecknat ramavtal med ett antal banker. Myndigheterna kan genom avrop på dessa avtal få tillgång till bankernas tjänster. Ansvarsfördelning och samlade riskanalyser Ansvaret för säkerheten i statens betalningar I framställningen anges att statliga myndigheters betalningar styrs av förordningen (2006:1097) om statliga myndigheters betalningar och medelsförvaltning (betalningsförordningen). I förordningen anges att är ansvarigt för att godkänna avtal om betalningstjänster m.m. är statens centrala finansförvaltning och ska företräda det statliga betalningssystemet inklusive statens centralkonto. Vidare anges att varje myndighet själv ansvarar för säkerheten i sin verksamhet. Myndigheterna måste utnyttja de ramavtal för betalningstjänster som har tecknat, men kan i övrigt bestämma över de egna säkerhetsrutinerna och den interna kontrollen. I framställningen anges att det framgår av granskningen att endast inom vissa områden (t.ex. kommunikation över Internet och vid upphandlingen av betalnings- och kommunikationstjänsterna via ramavtalen) ger ett tydligt stöd till myndigheterna i säkerhetsfrågor. Däremot ger man inte stöd till myndigheterna på andra områden som t.ex. IT och säkerhetslösningar. anser att därmed skapar en osäkerhet hos myndigheterna om sin roll och sitt ansvar. pekar på risken att viktiga aktörer förutsätter att har en tydlig vägledande roll och att de därför avstår från att ta egna initiativ i avsaknad av direktiv från . Ansvaret för samlade riskanalyser ska enligt sin instruktion ha en beskrivning av de huvudsakliga risker som är förenade med sin verksamhet och hur dessa risker ska hanteras. Instruktionen anger att ska företräda det statliga betalningssystemet. I betalningsförordningen anges att betalningar till och från en myndighet ska ske på ett för staten som helhet kostnadseffektivt och säkert sätt. I framställningen anges att det enligt innebär att rimligen ska ansvara för riskanalyser avseende det statliga betalningssystemet och för att identifiera åtgärder för att hantera dessa risker. Riskanalyserna ska även omfatta säkerheten i betalningssystemet. konstaterar att ingen myndighet är ansvarig för tillsynen av de statliga betalningarna. Inte heller görs någon hotbildsanalys motsvarande den som behövs för att bedöma den övergripande hotbilden när det gäller brott riktade mot statens betalningar. bedömer att det finns ett behov av att förtydliga roll och ansvar för det statliga betalningssystemet i förhållande till myndigheterna och andra aktörer inom betalningsområdet samt ett behov av att överväga om rollen som tillsynsmyndighet för de statliga betalningarna bör tilldelas någon myndighet. bedömer också att det finns ett tydligt behov av att regelbundet genomföra och ajourhålla riskanalyser som gäller brott riktade mot statens betalningar samt av att hotbilds- och riskanalyser som gäller brott riktade mot statens betalningar utförs i samarbete med relevanta myndigheter. Ansvaret för att löpande uppdatera sådana riskanalyser måste enligt även vara tydligt fördelat, och regeringen bör uttala om eller någon annan myndighet ska ha detta ansvar. Hot- och riskanalyser internt inom myndigheterna Granskningen visar att flertalet av de 20 myndigheter som undersökts inte har gjort analyser av risker och sårbarhet i de egna betalningarna. Sådana krävs i flera av de förordningar som reglerar de statliga betalningarna. Granskningen visar att myndigheterna sällan säkerställt att någon har ett tydligt utpekat ansvar för hela betalningsprocessen vid myndigheten och för att säkerheten i betalningsprocesserna följs upp. anser att om ansvaret för betalningsprocessen är otydlig innebär det att också ansvaret för säkerheten i den sammantagna betalningsprocessen blir otydlig. Rutiner och regelverk för behörighet hos myndigheterna I framställningen anges att har funnit att behörigheterna i IT-systemen är särskilt problematiska. har i sin regeringsrapport, Risker och sårbarheter i den statliga betalningsmodellen, särskilt lyft fram problemet med behörig användning. I anges bl.a. att det finns en inneboende sårbarhet genom att det statliga regelsystemet för fullmaktshantering är oklart och osammanhängande. föreslår bl.a. att regeringen kompletterar myndighetsförordningen med regler om att utse behöriga personer inte bara för uppgifter internt inom myndigheten utan också för att företräda myndigheten utåt. granskning visar att större delen av de granskade myndigheterna saknar tydliga riktlinjer för delegationsbeslut och hur fullmakter ska vara utformade. Samtliga storbanker har också vid intervjuer pekat på stora brister i myndigheternas beställningar av behörigheter. bedömer i likhet med att oklarheterna i regelverket och rutinerna för firmateckning och fullmaktshantering hos myndigheterna är en av de större enskilda riskerna i sammanhanget och att det därför är nödvändigt att staten mycket tydligt stramar upp regelverket och rutinerna för firmateckning och fullmaktshantering hos myndigheterna. Resultatet av granskningen av utbetalningarna vid de 20 myndigheterna redovisas i en hemlig bilaga till granskningsrapporten. Sammantaget anser att ett antal allvarligare brister finns i rutinerna och reglerna för myndigheternas interna kontroll och säkerhet vid de egna betalningarna. I framställningen anges att säkerheten i statens betalningar också är beroende av säkerheten i bankernas betaltjänster. Säkerheten i de banktjänster och kommunikationslösningar som ingår i ramavtalet bygger i de flesta fall på etablerade standarder och allmänt accepterade kommersiella produkter. Avtalen skiljer inte på finansiella överföringar och betalningar framhåller att man i de nuvarande ramavtalen mellan myndigheterna och bankerna inte skiljer på betalningar och finansiella överföringar. Finansiella överföringar avser ofta större belopp. I den privata sektorn är det vanligt att de finansiella överföringarna har en annan säkerhetslösning eller en säkrare process för godkännande och bemyndigande. I framställningen anges att om säkerheten i betalningssystemen anpassas för att effektivisera de många mindre betalningarna finns en risk att de inte blir säkra nog för finansiella överföringar. anser att det är viktigt att överväger att skilja på finansiella överföringar och betalningar i kommande ramavtal. Standardlösningar även för mycket höga belopp har inte granskat den tekniska säkerheten i de standardiserade lösningarna i detalj. I granskningen har framkommit att de tekniska säkerhetslösningarna sannolikt kommer att vara utsatta för sofistikerade och allvarliga angrepp, och säkerheten i betalningslösningarna kommer bara att kunna upprätthållas genom gemensamma insatser från leverantörerna, bankerna och myndigheterna själva. Användning av standardlösningar ökar möjligheten för såväl leverantörerna som bankerna och myndigheterna att få snabbt och effektivt stöd för att åtgärda fel och brister. I granskningen framkommer att det finns mycket stora skillnader i risker i kontanthantering med små belopp jämfört med hanteringen av mycket stora belopp. I de lösningar myndigheterna använder för bankbetalningar finns inga motsvarande skillnader mellan små och stora betalningar. framhåller att det finns en risk att säkerhetsnivån i de större betalningarna inte motsvarar hotbilden. Regeringen gav i uppdrag att analysera riskerna och sårbarheterna i den statliga betalningsmodellen, och uppdraget redovisades i en rapport . I framställningen anförs att regeringen inte tagit något avgörande initiativ med anledning av rapporten. När det gäller om brister i betalningssystemet skrev regeringen i budgetpropositionen att och hade fortsatt arbetet för att stärka motståndskraften och krisberedskapen i betalningssystemet. Regeringen informerade vidare om att frågorna om det övergripande ansvaret för krisberedskap i betalningssystemet och om hur de grundläggande kraven på uthållighet och säkerhet i systemet ska regleras bereds vidare inom . fick en utredare i uppdrag av regeringen att arbeta vidare med dessa frågor. Uppdraget skulle redovisas . Frågor som avser säkerheten i det statliga betalningssystemet kommer att hanteras direkt av . har dock bedömt att när det gäller centrala förhållanden som bl.a. ansvarsfördelning, riskanalyser, konkreta åtgärder för att strama upp regler och rutiner för hanteringen av bemyndiganden och fullmakter inom myndigheterna har inget avgörande gjorts , vare sig av regeringen eller ansvariga myndigheter. Detsamma gäller i hög grad också de grundläggande brister i intern kontroll och säkerhet som påvisats i granskningen. Revisionens möjligheter att granska ekonomisystem där sköter driften I rapporten anges att inte har möjlighet att hos granska hur det ekonomisystem som flertalet myndigheter använder hanteras ur säkerhetssynpunkt. framhåller att de brister som har iakttagits i granskningen är omfattande. Bristerna avser bl.a. oklarheter kring fördelningen av ansvar för säkerheten i statens betalningar och avsaknaden av samlade riskanalyser, inklusive oklarheter om vilka som ska göra sådana riskanalyser. Dessutom har iakttagit ett antal grundläggande brister i den interna kontrollen och säkerheten inom myndigheterna. redovisar dessa brister närmare i den hemliga bilagan till rapporten. Om inte dessa brister åtgärdas, finns det enligt risk att stora ofrivilliga felutbetalningar kan ske eller att brott begås med omfattande konsekvenser för både staten och samhället i övrigt. Det kan också finnas risk för att dessa brister utnyttjas av antagonistiska krafter för att störa landets betalningssystem. rekommenderar att regeringen, , , Kammarkollegiet och övriga ansvariga myndigheter skyndsamt vidtar ett antal åtgärder. Dessa förslag till åtgärder redovisas närmare i den hemliga bilagan till . Granskningen är en uppföljning av vilka åtgärder som regeringen och myndigheterna vidtagit med anledning av granskningsrapporten . Uppföljningen visar enligt styrelsen att den särskilt allvarliga risk och sårbarhet i den statliga betalningsprocessen som påvisades i rapporten kvarstår och att inga avgörande åtgärder har vidtagits för att minska denna sårbarhet. Styrelsen anser att de brister i säkerheten i statens betalningar som påvisas i granskningen måste åtgärdas. Styrelsen föreslår därför att regeringen vidtar åtgärder för att förbättra säkerheten i statens betalningar. Regeringen har enligt styrelsen sedan granskning 2007 haft kännedom om de brister i säkerheten i statens betalningar som åter har konstaterats. Styrelsen anser därför att det är angeläget att regeringen återrapporterar till vilka åtgärder som har vidtagits. Styrelsen föreslår sammanfattningsvis att begär att regeringen vidtar åtgärder för att förbättra säkerheten i statens betalningar regeringen återkommer till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. I budgetpropositionen (prop. 2008/09:1) anförde regeringen att den noterat att finansutskottet i betänkande 2007/08:FiU31 behandlat styrelses framställning angående krisberedskapen i betalningssystemet (2007/08:RRS24). Enligt regeringen innehöll rapporter som , och lämnade åtgärder som myndigheterna skulle vidta för att stärka motståndskraften och krisberedskapen i betalningssystemet. Vidare framhölls i budgetpropositionen att frågorna om det övergripande ansvaret för krisberedskap i betalningssystemet, samt om hur de grundläggande kraven på uthållighet och säkerhet i systemet skulle regleras, var under beredning i . I budgetpropositionen (prop. 2009/10:1) anfördes att och hade fortsatt arbetet för att stärka motståndskraften och krisberedskapen i betalningssystemet. Det anfördes även återigen att frågorna om det övergripande ansvaret för krisberedskap i betalningssystemet, samt om hur de grundläggande kraven på uthållighet och säkerhet i systemet ska regleras, bereddes vidare i . I budgetpropositionen menade regeringen att det var viktigt att det fanns en effektiv reglering om hur allvarliga kriser inom betalningssystemet skulle hanteras och förebyggas. En utredare hade därför fått i uppdrag att klargöra hur statens förmåga att hantera allvarliga kriser i betalningssystemet kunde stärkas (Fi 2010/1619). Utredaren samarbetade med samverkansforumen mellan offentliga och privata aktörer i den finansiella sektorn, vilket gjorde att upparbetade erfarenheter kan tas till vara. Utredaren skulle redovisa sitt uppdrag . Vidare anfördes i budgetpropositionen att säkerheten i statens betalningar måste vara god och att man därför hade initierat ett arbete för att ytterligare stärka säkerheten. Regeringen hade gett , och i uppdrag att redogöra för vilka åtgärder de kommer att vidta för att öka säkerheten i statens betalningar (Fi 2010/3400). Redogörelserna skulle också innehålla en tidsplan för insatserna. De tre myndigheterna skulle redovisa sina respektive uppdrag i varsin delrapport och i varsin slutrapport . I budgetpropositionen angavs också att hade arbetat vidare med att öka säkerheten i hanteringen av de statliga betalningarna. Arbetet hade bedrivits såväl inom myndigheten som i samverkan med andra myndigheter och organisationer. För att öka säkerheten kring användningen i affärssystemen hade nya funktioner införts. Seminarium om systemstödet och den statliga betalningsmodellen hade anordnats för anställda på myndigheterna. Tillsammans med och Kammarkollegiet hade nya rutiner för att godkänna betalningsfiler från utarbetats. Ändringen berörde 102 myndigheter. Inom ramen för FSPOS, en samverkansgrupp mellan privat och offentlig sektor, hade rutinerna för ett antal viktigare betalningstjänster analyserats och dokumenterats. , och har avlämnat rapporter om vilka åtgärder respektive myndighet avser att vidta för att öka säkerheten i statens betalningar. lämnade också en rapport med förslag till ändringar av betalningsförordningen. Den utredare som regeringen gav i uppdrag att undersöka hur statens förmåga att hantera allvarliga kriser i betalningssystemet skulle kunna stärkas (Fi 2010/1619) avlämnade en rapport, En samlad reglering för stärkt krisberedskap mot allvarliga tekniska fel och störningar i det centrala betalsystemet. Utredaren föreslår i rapporten bl.a. att ansvarsförhållandena vad gäller vissa säkerhetsfrågor ska förtydligas och att ska få ett nationellt samordningsansvar för vissa säkerhetsfrågor som rör den statliga betalningsmodellen. I regleringsbrevet för 2011 anges att ska ta fram en rapport om myndighetens roll som ansvarig för samordning av risk- och sårbarhetsanalyser i statens betalningsprocesser. ska också analysera riskerna i den statliga betalningsmodellen. Utskottet konstaterar att de brister i säkerheten i statens betalningar som funnit är allvarliga. noterar utskottet att regeringen redan har vidtagit kraftfulla åtgärder för att komma till rätta med bristerna. Utskottet förutsätter att regeringen beaktar de synpunkter som framställts av de berörda myndigheterna och att regeringen fortsätter arbetet med att förbättra säkerheten i statens betalningar. Mot bakgrund av detta anser utskottet att det inte finns skäl att lämna något tillkännagivande om åtgärder för att förbättra säkerheten i statens betalningar. Utskottet avstyrker 2010/1:RRS5 punkt 1. Utskottet anser emellertid att det är angeläget att regeringen återkommer till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. En sådan redovisning bör enligt utskottets mening lämnas . Utskottet tillstyrker därför delvis 2010/11:RRS5 punkt 2. Förteckning över behandlade förslag Framställning 2010/11:RRS5 styrelses framställning om statens betalningar: tillkännager för regeringen som sin mening vad styrelsen anfört om att regeringen bör vidta åtgärder för att förbättra säkerheten i statens betalningar.