sou · GZB338 · 2011-04-14 00:00:00 — För att kunna avgöra i vilken utsträckning ekonomiadministration kan och bör överföras till servicecentret behöver utreda hur gränssnittet ska vara mellan ekonomiadministrationen och myndighetens kärnverksamhet. An- ledningen är att delar av kärnverksamhet (bland annat utbetalningar till försäkringstagare) utförs inom myndighetens verksamhetsstöd. Vidare måste systemberoenden mellan ekonomisystem Agresso och de myndighetsspecifika ärendesystemen klarläggas. har inlett en sådan utredning. För att delar ska kunna brytas ut och integreras med verksamheten i föreslår utredningen att regeringen ger i uppdrag att i samverkan med servicecenterutredningen förbereda berörda delar för en frikoppling från . Om utredningen om möjligheterna att föra över ekonomiadministrativa arbetsuppgifter till servicecentret visar att omfattande systemändringar fordras kan tidpunkten för överföring komma att senareläggas inom detta område. 4.4.1Andra befintliga strukturer kan tillvaratas Kammarkollegiet har en etablerad process för anslutning av kundmyndigheter. Lösningarna med extern driftservice är de som också servicecentret avser att etablera (se kapitel 13). Servicecentret kommer att behöva en systemlösning där kundmyndigheter har egna avtal för drift, liknande den lösning Kammarkollegiet har för ekonomisystemet Agresso. Ett samarbete mellan servicecentret och Kammarkollegiet bör därför etableras, i syfte att reducera investeringskostnader och tillvarata redan gjorda investeringar i statsförvaltningen. Arbetsförmedlingen har ett etablerat systemstöd för e-beställningar. Om det skulle vara möjligt att nyttja Arbetsförmedlingens lösning för hela statsförvaltningen skulle servicecentret kunna erbjuda stöd för e-beställningar . Utredningen har inte haft möjlighet att klargöra de juridiska och praktiska förutsättningarna för detta. Frågan behöver klargöras under servicecentrets uppstartsfas. 4.4.2Polisens administrativa center (PAC) Polisens administrativa center (PAC) tillhandahåller ekonomi- och personaladministrativa tjänster till de 21 polismyndigheterna, , , och . Statskontoret har haft regeringens uppdrag att analysera om det finns förutsättningar att föra över hela eller delar av verksamheten vid PAC till ett myndighetsgemensamt servicecenter. har därför inte haft möjlighet att göra en fördjupad kartläggning av PAC. Statskontorets viktigaste slutsatser innebär i korthet att det saknas förutsättningar att avgöra om PAC bör föras över till ett myndighetsgemensamt servicecenter. Enligt Statskontoret finns det hinder mot att överföra PAC:s verksamhet innan samtliga länspolismyndigheter har anslutit löneadministrationen till PAC och en integration av samtliga system har slutförts. Statskontoret bedömer att därmed är den lämpligaste tidpunkten för överföring av verksamheten.4 ser fördelar med att integrera PAC med servicecentret , eftersom PAC har ett brett tjänsteutbud och omfattande volymer inom både löne- och fakturahantering. har till utredningen anfört att det finns behov av att ytterligare tydliggöra konsekvenser kring sekretess och informationssäkerhet, innan en sådan integration kan ske. Om inga okända hinder uppdagas bör utgångspunkten enligt utredningen vara att PAC integreras med servicecentret när dess interna omställningsarbete är avslutat. 4 Ska vi blanda in Polisen? Nytt servicecenter för staten (Statskontoret 2011:1). 4.5Produktionen lokaliseras initialt till och Utredningen ska belysa lokalisering på kort och medellång sikt där hänsyn tas till anslutning av kundmyndigheter och överföring av andra myndigheters verksamhetsstöd. Enligt regeringen bör hanteringen av lokaliseringsfrågan initialt utgå från var de delar av administrativa verksamhetsstöd som berörs är lokaliserade. I ett senare skede och i samband med att eventuellt andra myndigheters verksamhetsstöd och andra stödfunktioner förs över till servicecentret, finns det enligt regeringen skäl att pröva fördelarna med att lokalisera servicecentret på fler orter. Utredningen föreslår att servicecentret ska byggas upp av delar av och verksamhetsstöd. Den nuvarande lokaliseringen av produktionen inom dessa verksamhetsstöd är för och för . Ut- redningen föreslår, i enlighet med utgångspunkterna i regeringens direktiv, att produktionen av personal- och ekonomiadministration initialt ska ligga kvar där de är lokaliserade, det vill säga till och . Behovet av ytterligare produktionsorter bör hanteras i takt med att fler kundmyndigheter ansluts till servicecentret. 5 Gränssnitt och ansvarsfrågor Utredningens bedömningar och förslag: Servicecentret ansvarar för att leverera tjänster, kundservice och annat stöd enligt de överenskommelser som träffas med kundmyndigheterna. Kundmyndigheterna ska fortsättningsvis utföra vissa steg i de berörda processerna inom ekonomi- och personaladministration. De ansvarar fortsättningsvis för sin verksamhet, även i de delar som utförs av servicecentret. Kundmyndigheterna går från en utförarroll till en roll där de i högre grad behöver fokusera på policys, strategiska frågeställningar, kravställning och uppföljning av verksamheten. Kundmyndigheterna bär fortsättningsvis ansvaret för de uppgifter som utförs av servicecentret. Kundmyndigheternas interna styrning och kontroll kommer att omfatta verksamhet som utförs av servicecentret på kundmyndigheternas uppdrag. I syfte att upprätthålla en klar ansvarsfördelning bör servicecentret och kundmyndigheterna i överenskommelser ange den närmare ansvarsfördelningen i berörda processer. Överenskommelserna ska vidare klargöra bland annat vilken information som servicecentret ska hantera, hur behandlingen av personuppgifter ska ske, kundmyndigheternas insyn och medverkan i servicecentrets arbete med informationssäkerhet och kundmyndigheternas tillgång till de handlingar som arkiveras hos servicecentret. 5.1Roll- och ansvarsfördelning mellan servicecentret och kundmyndigheterna Servicecentret ansvarar för att utföra och leverera tjänster enligt avtalad tjänstekatalog samt för att tillhandahålla kundsupport avseende tjänsterna till medarbetare, staber och ledning hos kundmyndigheten. Servicecentret ansvarar vidare för drift, underhåll och support på de system som ingår i leveransen från servicecentret samt för att tillhandahålla standardiserade och harmoniserade gränssnitt för åtkomst och integration mot dessa system. Kundmyndigheterna har ansvar för strategiska beslut samt att säkerställa att servicecentret ges förutsättningar att leverera de tjänster som det är ämnat för avseende mer operativa arbetsuppgifter. Att gå från att vara utförare till att vara beställare innebär att kundmyndigheterna i högre grad behöver fokusera på policys, strategiska frågeställningar, kravställning och uppföljning av verksamheten. Kundmyndigheterna bär fortsättningsvis ansvaret för de uppgifter som utförs av servicecentret. Kundmyndigheternas interna styrning och kontroll kommer att omfatta verksamhet som utförs av servicecentret på kundmyndigheternas uppdrag. Som beställare måste kundmyndigheten förstå de tjänster man köper och får levererade. Utöver specifik förståelse för respektive tjänst behöver kundmyndigheterna förstå hur tjänsterna utgör en del av de processer och den verksamhet som fortsatt bedrivs internt inom kundmyndigheten. Utan denna förståelse kommer inte kundmyndigheterna att kunna följa upp leveranserna själva eller förstå hur de ska agera på den uppföljning av leveranserna som servicecentret förmedlar. Det är även viktigt att kundmyndigheterna som beställare förstår och respekterar överenskomna gränssnitt och kommunicerar dessa tydligt inom kundmyndighetens organisation. kommer fortsatt efter en anslutning till servicecentret att ansvara för riktlinjer och ramar av strategisk karaktär inom ekonomi- och personalområdet, samt för riktlinjer och ramar för den interna redovisningen i enlighet med kundmyndighetens krav på uppföljning och kontroll. måste även efter en anslutning till servicecentret fatta och genomföra alla de beslut som krävs för att kundmyndigheten ska fungera operativt, rörande exempelvis anställningar, omplaceringar, attester, lönerevideringar, inköp och investeringar. Kopplat till de tjänster som servicecentret levererar ansvarar kundmyndigheten för att lämna korrekta underlag, att hålla sin personal informerad och utbildad i rutiner och system kopplade till servicecentrets leverans och för att säkerställa åtkomst och integrationer till de system som servicecentret tillhandahåller. Kundmyndigheterna har generellt ingen registreringsbehörighet i systemstöden mer än det som medarbetare och chefer normalt registrerar i form av exempelvis egenrapportering, självbetjäning och attestering. Syftet med detta är att det inte ska råda någon tvek- samhet vem som registrerat/gjort en justering i systemstödet för att därmed säkra en tydlig ansvarsfördelning samt bidra till att standardisering och harmonisering i arbetssätt och rutiner nås. Det möjliggör också för kundmyndigheterna att i praktiken reducera antalet medarbetare i sin egen nuvarande administration. 5.1.1Intern styrning och kontroll Varje myndighets ledning har enligt myndighetsförordningen ansvar för att upprätthålla en betryggande intern styrning och kontroll av myndighetens verksamhet. Regeringen har även beslutat att vissa myndigheter ska ha en internrevision. Dessa myndigheter ska enligt förordningen om intern styrning och kontroll ha en process som säkerställer att myndigheten med rimlig säkerhet fullgör de verksamhetskrav som framgår av myndighetsförordningen. Internrevisionen har enligt internrevisionsförordningen till uppgift, att på dessa myndigheter, granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. Processen omfattar momenten riskanalys, kontrollåtgärder och uppföljning, med krav på att de olika momenten dokumenteras. Efter anslutning till servicecentret ansvarar kundmyndigheten även fortsättningsvis för totala verksamheten gentemot regeringen och för kundmyndighetens interna styrning och kontroll, även de delar som utgörs av servicecentrets leverans. Servicecentret ansvarar gentemot kundmyndigheterna för leverans av de aktuella tjänsterna i enlighet med det avtal som upprättas mellan servicecentret och kundmyndigheterna. Kundmyndigheterna upprättar en kontrollplan för de kontrollåtgärder som ska vidtagas inom ramen för den interna styrningen och kontrollen. Kundmyndigheternas kontrollplaner ska omfatta hela verksamheten, således även de delar som utförs av servicecentret för kundmyndighetens räkning. Servicecentret kommer att upprätta generella kontrollplaner avseende de delar av verksamheten som utförs av servicecentret. Dessa generella kontrollplaner kan infogas i kundmyndighetens övergripande kontrollplan. De kontrollåtgärder som enligt kundmyndighetens kontrollplan ska vidtagas inom de delar som utförs av servicecentret utförs i första hand av servicecentret av praktiska och operativa skäl. I fallet att servicecentret utför kontrollåtgärder på uppdrag av kundmyndighet är det viktigt att ansvaret för detta tydligt framgår av avtalet mellan parterna och av kundmyndighetens kontrollplan. Det är vidare viktigt att servicecentret dokumenterar resultatet av kontrollåtgärderna, följer upp att kontrollåtgärderna fungerar och återrapporterar detta till kundmyndigheten för vidare uppföljning. I fallet att kundmyndigheten i vidtagandet av kontrollåtgärder, eller för kundmyndighetens internrevisions granskning av processen för intern styrning och kontroll, behöver tillgång till resurser hos eller på annat sätt assistans av servicecentret måste servicecentret tillhandahålla det. På samma sätt måste servicecentret vara tillgängligt och behjälpligt vid granskning av kundmyndigheterna i de fall sådan granskning berör den del av kundmyndighetens verksamhet som utförs av servicecentret. Formerna för samverkan rörande intern styrning och kontroll, internrevision samt revision av kundmyndigheten regleras i avtalet mellan servicecentret och kundmyndigheten. För den ekonomiska styrningen kommer kundmyndigheterna behöva resurser inom kompetensområden för de arbetsuppgifter som anses vara strategiska och därmed angeläget att de kvarstår i en verksamhetsnära funktion inom respektive kundmyndighet. Det gäller i första hand arbetsuppgifter för budgetering och uppföljning samt analys och prognoser. Utöver ovanstående behöver kompetens och resurser kvarstå inom kundmyndigheten för investeringsplanering, låneplanering, inventeringar, utrangeringar, attesthantering. kommer även att behöva hantera kontakter/avstämning i redovisningsfrågor samt andra typer av ekonomiska uppföljningar och beräkningar samt för att kommentera noter i bokslut. Detta kräver också att resurser på kundmyndigheten har behörighet och tillgång till ekonomisystem för uttag av rapporter centralt för den egna verksamheten och nedbrutet på lägre nivå inom den egna verksamheten. Det innebär även behov av kompetens och förståelse för uppbyggnad och struktur av konto- och objektsplan, statlig redovisning, medelsfördelningsmodeller, årsredovisning m.m. för att hantera kravställande och kontakt med servicecentret. Kundmyndigheterna måste också utveckla en beställarkompetens för att säkerställa att deras behov tillgodoses. Kundmyndigheterna kommer fortsättningsvis ha personaladministrativt ansvar för planering, genomförande, uppföljning, analys samt utveckling inom personalområdet. Liksom inom ekonomiadministration måste kundmyndigheterna utveckla god beställarkompetens. Förutom de strategiska frågorna inom kompetensförsörjningsområdet som kräver närhet till styrning och ledning kommer respektive kundmyndighet även att ha kvar administrativa uppgifter inom kompetensförsörjningsområdet som inte ingår i området lön och lönenära tjänster samt uppgifter inom detta område som kräver särskild närhet till verksamheten. Kvalificerad kompetens kommer även att behövas inom kundmyndigheterna för planering, utveckling, uppföljning och stöd inom bemanning och rekrytering, kompetensutveckling, ledarutveckling och arbetsmiljö. När uppgifter inom personal- och ekonomiadministration koncentreras i servicecentret kommer centret att hantera en mängd information åt kundmyndigheterna. Servicecentrets informationshantering aktualiserar ett antal ansvarsfrågor rörande informationssäkerhet, hantering av personuppgifter, offentlighet och sekretess samt arkivering av handlingar. I detta avsnitt redogör utredningen övergripande för hur ansvarsfrågorna bör hanteras av servicecentret och kundmyndigheterna. Enligt tryckfrihetsförordningen (TF) har i princip alla svenska medborgare och utlänningar rätt att ta del av handlingar som finns hos en myndighet. Den rätten begränsas dock på två sätt. För det första har allmänheten bara rätt att läsa sådana handlingar som betecknas som allmänna handlingar. För det andra kan allmänna handlingar innehålla uppgifter som på grund av sekretess gör att handlingen inte får lämnas ut eller bara får lämnas ut i vissa delar. TF finns de regler som avgör om en handling är allmän eller inte. Av dessa framgår att servicecentret, med hänsyn till de uppdrag det ska utföra, kommer att hantera allmänna handlingar med information som avser kundmyndigheten. I vilka fall sekretess gäller för en uppgift framgår av offentlighets- och sekretesslagen (2009:400). Enligt den lagen kan uppgifter i allmänna handlingar vara sekretessreglerade om de förekommer i vissa sammanhang. När en uppgift är sekretessreglerad får den, eller i vissa fall handlingen i dess helhet, inte lämnas ut utan en föregående sekretessprövning i det enskilda fallet. En begäran om att få ta del av en allmän handling ska göras hos den myndighet som förvarar handlingen om det inte är särskilt föreskrivet att prövningen ska göras av en annan myndighet (2 kap. 14 § TF och 6 kap. 2 § OSL). Myndigheten ska då göra en självständig bedömning av om handlingen ska lämnas ut eller inte. Det finns inga hinder mot att myndigheten under denna prövning hämtar in synpunkter från eller samråder med andra myndigheter (förutsatt att det kan ske utan att sekretessreglerade uppgifter röjs för en annan myndighet utan att det är tillåtet). När servicecentret i förekommande fall ska pröva om en handling får lämnas ut är det med andra ord möjligt att inhämta synpunkter från den berörda kundmyndigheten. Servicecentret ansvarar emellertid ensamt fullt ut för sitt slutliga ställningstagande, det vill säga om handlingen ska lämnas ut eller inte. Inhämtande av synpunkter från kundmyndigheten får inte leda till att ett ärende om utlämnande fördröjs. I personuppgiftslagen (1998:204, PUL) finns bestämmelser om säkerhet vid behandling av personuppgifter.1 Den som behandlar personuppgifter och bestämmer vilka uppgifter som ska behandlas och vad uppgifterna ska användas till kallas för personuppgiftsansvarig. Det är servicecentrets kundmyndighet som är den personuppgiftsansvarige. Den personuppgiftsansvariga myndigheten är skyldig att skydda de personuppgifter som behandlas. En personuppgiftsansvarig som utför en omfattande behandling av personuppgifter eller behandlar känsliga personuppgifter bör ha en fastställd säkerhetspolicy. För att säkerställa att riktlinjer och regler följs bör kontroller genomföras. 1 Avsnittet bygger på Datainspektionens allmänna råd om säkerhet för personuppgifter (reviderad ). Den personuppgiftsansvarige kan överlåta behandlingen av personuppgifter åt ett så kallat personuppgiftsbiträde (30 § PUL). Det är servicecentret som är personuppgiftsbiträde i den mån kundmyndigheten överlåter behandling av personuppgifter till servicecentret. Ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Den personuppgiftsansvariga myndigheten kan överlåta den faktiska behandlingen av personuppgifter till ett personuppgiftsbiträde, men själva personuppgiftsansvaret kan aldrig överlåtas. Det är alltid den personuppgiftsansvarige som ytterst svarar för att personuppgiftslagen följs och att de registrerade behandlas korrekt. Det ska enligt Datainspektionens allmänna råd finnas ett skriftligt avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet som reglerar biträdets behandling av personuppgifter. Av avtalet ska framgå att personuppgiftsbiträdet bara får behandla personuppgifterna i enlighet med instruktioner från den personuppgiftsansvarige och att personuppgiftsbiträdet är skyldigt att vidta säkerhetsåtgärder som åstadkommer en lämplig säkerhetsnivå. Enligt utredningen bör kundmyndigheten och servicecentret ange följande i sin överenskommelse: -vilka (om några) personuppgifter som kommer att hanteras av servicecentret, -hur servicecentret får hantera uppgifterna, -vad som är en lämplig säkerhetsnivå för personuppgifterna, -hur kundmyndighetens kontroll av servicecentrets hantering ska ske. Myndigheten för samhällsskydd och beredskap (MSB) utfärdar föreskrifter om statliga myndigheters informationssäkerhet. Av föreskrifterna (MSBFS 2009:10) framgår att myndigheter ska tillämpa ett ledningssystem för informationssäkerhet () i sitt arbete med att upprätthålla säkerhet i sin informationshantering. Det innebär att myndigheter ska göra följande: 1.upprätta en informationssäkerhetspolicy, 2.utse en eller flera personer som leder och samordnar arbetet med informationssäkerhet, 3.klassificera sin information med utgångspunkt i krav på konfidentialitet, riktighet och tillgänglighet 4.utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur risker ska hanteras, samt besluta om åtgärder för myndighetens informationssäkerhet (rörande fysiskt skydd, skydd av drift och kommunikation, systemanskaffning, behörighetsstyrning med mera), 5.dokumentera granskningar och säkerhetsåtgärder av större betydelse som har vidtagits. En myndighet som av olika skäl behöver samverka i fråga om informationssäkerhetsarbetet, kan överlåta till en annan myndighet att helt eller delvis fullgöra de uppgifter som åligger myndigheten enligt 4 § i författningen. Myndighetens ansvar för informationssäkerheten kvarstår dock. Den myndighet som tar över en annan myndighets uppgifter behöver, oaktat att ansvaret ligger kvar hos den uppdragsgivande myndigheten, säkerställa att uppdragsgivarens krav på informationssäkerhet uppfylls. I sitt arbete med informationssäkerhet måste servicecentret därför enligt utredningen säkerställa att både servicecentrets och kundmyndigheternas behov tillgodoses. Såväl arbetet med säkerhetspolicy som klassifikation av information, utformning av åtgärder och riskanalyser fordrar enligt utredningen att kundmyndigheterna ges möjlighet att medverka med analyser och rekommendationer. Klassifikation av uppgifter bör ske i samband med avtalsprocessen mellan servicecentret och kundmyndigheten, och regleras i en överenskommelse. Enligt MSB:s allmänna råd till föreskrifterna anges att ledningen för den myndighet som uppdrar till annan myndighet att fullgöra uppgifter i fråga om informationssäkerhet löpande bör följa upp och informera sig om arbetet med informationssäkerhet på samma sätt som om uppgiften utförts av egen personal på myndigheten. Enligt utredningen bör därför kundmyndigheterna ha möjlighet att kontrollera hur servicecentret organiserar sitt säkerhetsarbete. Formerna för detta bör anges i överenskommelsen mellan servicecentret och kundmyndigheterna. Att servicecentret sköter administrativa uppgifter åt kundmyndigheter innebär att vissa handlingar (fakturor, kvitton med mera) som hör till kundmyndigheterna skickas till servicecentret. Dessa handlingar behöver antingen arkiveras hos servicecentret eller skickas till kundmyndigheterna för arkivering. Av kostnads- och effektivitetsskäl förordar utredningen att arkivering ska ske hos servicecentret. Vid arkivering av kundmyndigheternas handlingar hos servicecentret gäller i korthet följande: -Handlingarna utgör del av kundmyndigheternas arkiv. Kundmyndigheterna är fortsatt ansvariga för sina arkiv, även om vissa handlingar arkiveras hos servicecentret och bevaras där. -Kundmyndigheternas tillgång till arkiverade handlingar hos servicecentret måste säkerställas. -En kundmyndighets handlingar måste hållas åtskilda från servicecentrets och övriga kundmyndigheters handlingar, i enlighet med föreskrifter (RA-FS 1991:1, 3:4). -möjligheter att fullgöra sina uppgifter inom tillsynen över myndigheternas arkivbildning måste säkerställas. -Servicecentret och kundmyndigheterna bör upprätta avtal där servicecentret åläggs att följa föreskrifter om arkivering (allmänna råd till RA-FS 1991:1 1:3). Utredningen ser sammanfattningsvis behov av följande åtgärder: -att överenskommelser upprättas mellan servicecentret och kundmyndigheterna, med klargöranden om servicecentrets åtaganden, kundmyndigheternas instruktioner till servicecentret och former för kundmyndigheternas tillgång till arkiverade handlingar, -att servicecentret säkerställer att tekniska stödsystem medger läsbehörighet för kundmyndigheterna rörande handlingar som arkiveras hos servicecentret. Utredningens förslag: , och Lantmäteriet ansluter sig till servicecentret . Därutöver är målsättningen att träffa överenskommelser med fem till sju nya kundmyndigheter (inklusive och ) för anslutning . Anslutningstakten kan höjas , under förutsättning att ytterligare en produktionsort utöver etableras. Målet ska vara att ansluta sammanlagt omkring 25 myndigheter (eller motsvarande av alla statligt anställda) –2015. Det är inte är möjligt att till precisera vilka myndigheter som bör anslutas till servicecentret . Myndigheterna kan inte förbinda sig till anslutning innan de fått möjlighet att förankra beslut hos personal och fackliga organisationer. Detta fordrar ett inriktningsbeslut av regeringen. Myndigheters anslutning till servicecentret ska i första hand ske på frivillig basis.