prop · GZ0391 · 2012-03-27 00:00:00 — En myndighet som har behov av separatavtal om banktjänster ska ansöka om tillstånd för detta hos . För att understryka att valutakonton ska ligga i ramavtalsbankerna har även meddelat verkställighetsföreskrifter om detta. 4.4Ökad information om risker för brott i de statliga betalningarna8 arbetar aktivt för att ge myndigheterna relevant information och för att hålla behovsanpassade utbildningar. För att minska risken för att det blir fel på grund av betalningsmodellens 7Riksrevisionens rekommendation var att bör utnyttja sin rätt att meddela föreskrifter och tydliggöra kraven på myndigheterna för att få till stånd säkra statliga betalningar. 8Riksrevisionens rekommendation var att i samarbete med andra expertmyndigheter och i ökad grad bör informera övriga myndigheter om de risker för brott m.m. som finns i de statliga betalningarna. komplexitet, har tagit fram ett utbildningsmaterial och Skr. 2011/12:91 genomfört ett antal utbildningstillfällen för myndigheterna. har tagits fram efter dialog med myndigheterna samt med beaktande av synpunkter som lämnats vid årliga kundundersökningar. Vid de informationstillfällen som hölls för myndigheterna inför ramavtalen som trädde i kraft beskrevs vad myndigheten kan göra för att öka säkerheten i betalningsprocesserna. Sammantaget deltog 140 personer från 80 myndigheter vid nämnda informationstillfällen. iakttagelser och rekommendationer har också diskuterats vid de möten med referensgruppen för betalningsfrågor som sammankallar två till . I referensgruppen ingår representanter från ett tjugotal myndigheter. De myndigheter som har den mest omfattande betalningsverksamheten har samtliga representanter i gruppen. Syftet med informationen har varit att öka förståelsen för hur betalningsmodellen fungerar samt hur myndigheterna i sin betalningsverksamhet kan påverka säkerheten i modellen. Det har också varit ett sätt att informera och förankra det nya uppdraget, att säkerställa att riskerna i myndigheternas betalningsprocesser kommer med i den samlade analys som ska göra av betalningsmodellen. har även vid ett flertal andra tillfällen utbildat och informerat myndigheterna om betalningsmodellen, säkerhet och riskanalys. Det har bl.a. skett på Riksgäldens Finansdag, Ekonomi- styrningsverkets (ESV) grundkurs i statlig redovisning, finansiering och styrning för nya ekonomer i staten samt på utbildning i grundläggande statlig redovisning och ekonomistyrning för nya revisorer i staten. förhoppning är att det metodstöd som ska skickas till myndigheterna (inför sammanställningen av de samlade riskerna i den statliga betalningsmodellen) kommer att leda till en ökad säkerhetsmedvetenhet inom betalningsmodellen. Eftersom myndigheterna kommer att få återkoppling på de riskanalyser som de lämnat till skapas även en för ändamålet effektiv informationskanal. Utöver nämnda informationsarbete medverkar även i FSPOS (Finansiella Sektorns PrivatOffentliga Samverkansgrupp) som är ett samverkansforum mellan banker, försäkringsbolag och myndigheter med syfte att stärka stabiliteten i finanssektorn lokalt, regionalt och nationellt. 4.5Möjligheten till faxbetalningar har tagits bort9 har tagit bort möjligheten att skicka direktbetalningar över statens centralkonto via faxuppdrag. I stället registrerar myndig- heterna dessa betalningsuppdrag med e-legitimation. 9 rekommendation var att bör ta bort möjligheterna till faxbetalningar, alternativt komplettera denna rutin med andra kontrollåtgärder. 5.1Riskanalyser och införande av säkrare lösningar för bemyndigande10 Kammarkollegiet har bedrivit ett särskilt riskanalysarbete kring betalningsrutinerna. Inför verksamhetsplaneringen och de nya ramavtalen för betaltjänster har Kammarkollegiet arbetat med , ramavtalsbanker och för att uppnå de högre säkerhetskraven som de nya ramavtalen ställer. I övrigt har åtgärder vidtagits för att svara upp mot rekommendationer som lyft fram i sin rapport. Kammarkollegiet har bl.a. ändrat rutinerna gällande bemyndigande av betalningar. används ett program avseende bemyndigande för två i förening. 6.1Möjligheten att granska ekonomisystem 11 I det avtal om drift av ekonomisystem som slutits mellan svenska myndigheter och affärssystemsleverantören saknas en klausul som tillåter att granska de system som används av myndigheterna, men som underhålls, förvaltas och körs av . Det är () som för statens räkning tecknar avtal med Agresso. Alla myndigheter använder dock inte Agresso. ESV bedömer att det inte finns möjlighet att ändra villkoren i ESV:s redan ingångna och avslutade uppdragsavtal med . I den upphandling av ekonomisystem som pågår har ESV ställt krav som säkerställer att de behov gällande revision som framfört, kan uppfyllas. De nya ramavtalen är tänkta att träda i kraft /13. 10Riksrevisionens rekommendation var att Kammarkollegiet bör göra en omfattande riskanalys av betalningsrutinerna och rutinerna för bemyndiganden och vidta nödvändiga förbättringar av säkerheten och den interna kontrollen inom myndigheten. I samband med detta bör Kammarkollegiet tillsammans med bankerna överväga att införa de nya säkrare lösningarna för bemyndigande av flera av myndigheternas betalningar som ställt krav på att bankerna ska kunna leverera . 11Riksrevisionens rekommendation var att bör se till att en bestämmelse ingår i avtalet med som tillåter revision av system hos driftsleverantören. 7.1Myndigheterna bör utnyttja beloppsbegränsningar12 Samtliga ramavtalsbanker erbjuder myndigheterna funktionalitet för beloppsgränser för utbetalningar från deras bankkonton. ska samtliga konton i betalningsmodellen omfattas av beloppsgränser. Införandet görs dock gradvis genom ett noggrant och kontrollerat förfarande hos myndigheterna. Anledningen till att införandet görs gradvis och efter mycket noggranna kontroller är att minska risken för att viktiga samhällsbetalningar eller löneutbetalningar stoppas på grund av felaktigt satta beloppsgränser. kommer , i samband med insamlingen av myndig- heternas risker i betalningsverksamheten, att fortsätta stämma av myndigheternas arbete med införandet av beloppsgränser på sina bankkonton (se även avsnitt 4.2). 7.2Utpekat ansvar för säkerheten i myndighetens betalningar13 Enligt verkställighetsföreskrifter till betalnings- förordningen gäller följande: Myndigheten ska kontrollera att samtliga utbetalningar sker till rätt mottagare, med rätt belopp och . Myndigheten ska dokumentera hur denna kontroll ska utföras hos I samband med riskanalysen 2012 kommer att följa upp om myndigheterna har pekat ut ett tydligt ansvar för säkerheten i de sammantagna processerna för betalningar från myndigheten. Enligt verkställighetsföreskrifter till betalnings- förordningen gäller följande: Myndigheten ska lämna uppgift till banken om vem eller vilka som har behörighet att företräda myndigheten gentemot banken att öppna/avsluta bankkonto, betala från bankkonto m.m. Föreskrifterna reglerar området i avvaktan på att frågan kring identifikation av behöriga företrädare utreds (se avsnitt 4.4). 12Riksrevisionens rekommendation var att övriga myndigheter bör utnyttja möjligheterna att begränsa de utbetalningar som kan göras från myndigheten. 13Riksrevisionens rekommendation var att övriga myndigheter bör säkerställa att någon vid myndigheten har ett tydligt utpekat ansvar för säkerheten i de sammantagna processerna för betalningar från myndigheten och för att säkerheten i betalningsprocesserna löpande följs upp. 14Riksrevisionens rekommendation var att övriga myndigheter bör leva upp till kravet på en tillförlitlig behörighetshantering. med riskanalysen 2012 kommer att följa upp Skr. 2011/12:91 behörighetshanteringen. 7.4Analys av säkerheten i koppling mellan handläggarsystem och betalningsbemyndigande15 Enligt en ändring av betalningsförordningen som träder i kraft ska samtliga myndigheter analysera de risker som är förknippade med myndighetens betalningar. Kravet på analysen omfattar således även kopplingen mellan handläggarsystem och betalningsbemyndigande. kommer i samband med riskanalysen 2012 att följa upp att samtliga betalningsfiler från myndigheternas affärssystem är förändrings- och insynsskyddade från skapandet av filerna och att samtliga återrapporteringsfiler från ramavtalsbank till myndigheternas affärssystem likaså är förändrings- och insynsskyddade. För att förhindra manipulation av betalningsuppdrag har Riksgälds- kontoret ställt krav på myndigheterna att förändrings- och insynsskydda betalningsuppdragen till banken och återrapporteringen av genomförda betalningsuppdrag från banken. Motsvarande krav ställs också på återrapporteringen av genomförda inbetalningar till myndigheten. 7.5Användning av och rutiner för bankdosor och pin- koder16 I verkställighetsföreskrifter till betalningsförord- ningen anges följande: Myndigheten ska hantera lösenord och utrustning (pin-koder, dosor, kort) som används vid signering, debiteringsbemyndigande, avstämningsuppgift eller liknande på ett säkert sätt. I samband med riskanalysen 2012 kommer att följa upp säkerheten i myndigheternas hantering av lösenord och utrustning. 8 Fortsatt arbete och kommande rapportering beslutade regeringen om direktiv till utredningen om Stärkt krisberedskap i det centrala betalningssystemet. Uppdraget till utredaren var att vidareutveckla och ytterligare konkretisera de förslag avseende de grundläggande säkerhetsnivåerna och det nationella samordningsansvaret 15Riksrevisionens rekommendation var att övriga myndigheter bör analysera hur säker kopplingen mellan handläggningssystem och betalningsbemyndiganden är i de systemlösningar som utnyttjas. 16Riksrevisionens rekommendation var att övriga myndigheter uteslutande bör använda bankdosor eller andra lösningar som har egen knappsats, så att pin-koden inte kan registreras av programvara i datorn, eller på annat sätt. Ytterligare en rekommendation till övriga myndigheter var att de bör se över rutiner för hantering av bankdosor och lösenord, och informera personalen om riskerna och om lämpliga åtgärder. som lämnades i rapporten samlad reglering för stärkt krisberedskap mot allvarliga tekniska fel och störningar i det centrala betalnings- systemet (Fi2010/1619). avlämnades betänkande Stärkt krisberedskap i det centrala betalningssystemet (SOU2011:78). Betänkandet har remissbehandlats. En proposition om stärkt krisberedskap i det centrala betalningssystemet planeras att överlämnas till . Som tidigare nämnts ska lämna en redogörelse till regeringen avseende de samlade riskerna i den statliga betalningsmodellen. I de fall rapporten innehåller förslag om tillägg eller ändringar på området kommer regeringen att ta ställning till dessa. Regeringen avser att i kommande budgetpropositioner lämna en övergripande redovisning av ytterligare åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. Utdrag ur protokoll vid regeringssammanträde Närvarande: Statsministern , ordförande, och statsråden , , , , , , , , Adelsohn , , , , , Elmsäter- , Hatt, Ek, Regeringen beslutar skrivelse 2011/12:91 Stärkt säkerhet i statens betalningar