prop · GZ0391 · 2012-03-27 00:00:00 — Regeringens skrivelse 2011/12:91 Stärkt säkerhet i statens betalningar Regeringen överlämnar denna skrivelse till . I skrivelsen redovisar regeringen åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. tillkännagav i betänkandet 2010/11:FiU22, rskr. 2010/11:167 att regeringen bör återkomma till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar. Statens betalningsmodell är en samlad benämning på de regelverk, avtal, kontostrukturer och system som stöder myndigheternas betalningar. Huvudaktörer i modellen är , ramavtals- bankerna och myndigheterna. Statens betalningsmodell utvecklas löpande i fråga om funktionalitet och säkerhet. Bland de viktigare åtgärder som vidtagits för att öka säkerheten i statens betalningar kan nämnas följande. En årlig process i syfte att få en tydligare bild av de samlade riskerna i statens betalningsmodell har inrättats . har tilldelats ansvaret för att göra en sammanställning av riskerna. På begäran ska myndigheterna lämna uppgifter till . ska lämna en redogörelse till regeringen avseende de samlade riskerna i den statliga betalningsmodellen. Myndigheternas ansvar för säkerheten i sina betalningar har förtydligats i förordningen (2006:1097) om statliga myndigheters betalningar och medelsförvaltning samt i anslutande föreskrifter och allmänna råd. En myndighet ska analysera de risker som är förknippade med myndighetens betalningar. Säkerhetskraven har höjts i ramavtalen för betaltjänster. som trädde i kraft innehåller bl.a. funktionalitet för beloppsgränser för utbetalningar från myndigheternas bankkonton Skr. 2011/12:91 hos samtliga ramavtalsbanker. Avtalen innehåller även utökade möjligheter för myndigheter med omfattande eller kritiska samhällsbetalningar att avropa reservrutiner. har gett en sakkunnig person i uppdrag att se över frågor och regelverk kring identifikation av behöriga företrädare för Uppdraget ska redovisas . Ansvarsförhållandena när det gäller säkerheten i betalningsmodellen är i grunden oförändrade. Det är således även fortsättningsvis myndighetens eget ansvar att kontrollera att samtliga utbetalningar görs till rätt mottagare, med rätt belopp och . Ärendet och dess beredning ..................................................................... Den statliga betalningsmodellen ...................................................... Definition och mål............................................................. Betalningsförordningen styr myndigheterna ..................... Ramavtalen styr bankerna ................................................. Likviditetsstyrningen är centraliserad................................ 3.1Sammanställd bild av risken i statens betalningar samt utpekat ansvar för sammanställningen...................... Beloppsgränser för myndigheternas betalningar ............... Myndigheterna ska analysera väsentliga risker ............... 3.4Rutiner och regelverk för behöriga företrädare för 4.1Skilda säkerhetskrav för olika kategorier av Återredovisade filer av genomförda betalningar ............. 4.3Meddela föreskrifter om tydliga krav för säkra 4.4Ökad information om risker för brott i de statliga Möjligheten till faxbetalningar har tagits bort................. 5.1Riskanalyser och införande av säkrare lösningar för Möjligheten att granska ekonomisystem ........................ Övriga myndigheters åtgärder........................................................ Myndigheterna bör utnyttja beloppsbegränsningar ......... 7.2Utpekat ansvar för säkerheten i myndighetens 7.4Analys av säkerheten i koppling mellan handläggarsystem och betalningsbemyndigande............. Användning av och rutiner för bankdosor och pin- 8 Fortsatt arbete och kommande rapportering................................... Utdrag ur protokoll vid regeringssammanträde . Ärendet och dess beredning Enligt tillkännagivande bör regeringen återkomma till med en redovisning av vilka åtgärder som vidtagits för att förbättra säkerheten i statens betalningar (bet. 2010/11:FiU22). Frågan behandlades av med anledning av styrelses framställning om statens betalningar (2010/11:RRS5). Till grund för framställningen låg granskning av säkerheten i statens betalningar. Granskningen publicerades i rapporten i statens betalningar (RiR 2010:13). Föremål för granskningen var regeringen, Kammarkollegiet, och 20 andra myndigheter. Stärkt krisberedskap i det centrala betalningssystemet fördjupade granskning av säkerheten i statens betalningar har sin bakgrund i rapporten i betalnings- systemet (RiR 2007:28) . I rapporten gjordes en bred genomlysning av krisberedskapen i betalningssystemet där det statliga betalningssystemet utgör en delmängd. I rapporten riktades kritik mot regeringen för att den inte skaffat en samlad bild av hot, sårbarheter och konsekvenser av omfattande tekniska störningar i betalningssystemet och att den inte beslutat om vilken myndighet som ska ha det övergripande krisberedskapsansvaret. rekommenderade också regeringen att fastställa vilka grundläggande krav på uthållighet och säkerhet som betalningssystemet måste klara. I regleringsbrevet gavs i uppdrag att redovisa vidtagna och planerade insatser med anledning av , medan i sitt regleringsbrev fick i uppdrag att lämna en rapport avseende risker i den statliga betalningsmodellen. avlämnades myndigheternas rapporter innehållande analyser, förslag och planer på området (Fi2008/2943 och Fi2008/3727). påbörjades inom ett arbete med att utreda hur statens förmåga att hantera allvarliga kriser i betalningssystemet kan stärkas. Arbetet slutfördes och rapporten samlad reglering för stärkt krisberedskap mot allvarliga tekniska fel och störningar i det centrala betalningssystemet (Fi2010/1619) togs fram. Rapporten remissbehandlades (Fi2010/5860). Stärkt säkerhet i statens betalningar Mot bakgrund av iakttagelser i rapporten 2010:13 gav regeringen , Ekonomistyrnings- verket och Kammarkollegiet i uppdrag att redogöra för vilka åtgärder respektive myndighet kommer att vidta utifrån de redovisade iakttagelserna i rapporten. Av uppdraget till de tre myndigheterna framgick att en delrapport respektive en slutrapport skulle lämnas . För att uppmärksamma myndigheterna på iakttagelser skickades rapporten till samtliga myndighetschefer tillsammans med ett brev från dåvarande kommun- och finans- marknadsministern. I brevet förtydligades att varje myndighet själv ansvarar för säkerheten i den egna verksamheten samt att detta även Skr. 2011/12:91 avser myndighetens betalningar. regleringsbrev gav regeringen i uppdrag att lämna förslag på reglering av insamling av riskanalyser från de statliga myndigheterna. Förslaget skulle lämnas till regeringen . I regleringsbrevet gavs även i uppdrag att analysera riskerna och sårbarheten i den statliga betalningsmodellen . I uppdraget ingick även att genomföra utbildnings- och informationsinsatser kring säkerheten i den statliga betalningsmodellen. om risker och sårbarheter i den statliga betalningsmodellen inkom till regeringen . 1 Den statliga betalningsmodellen Den statliga betalningsmodellen är en samlad benämning på de regelverk, avtal, kontostrukturer och system som stöder myndigheternas betalningar. Modellen omfattar också den centrala likviditetshanteringen som är konstruerad för att samla likviditeten från alla in- och utbetalningar till och från staten på ett ställe statens centralkonto i . Huvudaktörer i modellen är , ramavtalsbankerna och myndigheterna. De statliga betalningarna förmedlas via det svenska betalnings- systemet, och därmed utgör betalningsmodellen en viktig del i det svenska betalningssystemet. Betalningssystemet ägs och förvaltas av banksektorn, inklusive . Enligt förordningen (2007:1447) med instruktion för är en av myndighetens huvuduppgifter att ansvara den statliga betalningsmodellen inklusive statens centralkonto. Av regleringsbrev framgår att ett övergripande mål för när det gäller den statliga betalningsmodellen är att tillgodose statsmakternas uttalade krav på kostnadseffektivitet, säkerhet, information och valfrihet. Vidare ska staten ha en konkurrensneutral relation till bankerna. Statliga betalningar regleras i förordningen (2006:1097) om statliga myndigheters betalningar och medelsförvaltning (betalningsförord- ningen). Förordningen innehåller regler om statens centralkonto samt om myndigheters bankkonton, betalningar, medelsförvaltning och valutasäkring. meddelar verkställighetsföreskrifter och allmänna råd till förordningen. För att uppnå effektivitet och konkurrensneutralitet upphandlar ramavtal, med svenska och utländska banker och kortleverantörer, för kort- och betaltjänster på marknaden. Det möjliggör för staten och myndigheterna att använda befintlig struktur i det svenska betalningssystemet och skapar bra betalningsmöjligheter för myndigheterna. I ramavtalen ingår infrastruktur och betaltjänster. Infrastrukturen omfattar koncernkontostruktur och bankkonton, kommunikation, återrapportering och internetbank. Exempel på betaltjänster är kontoinsättning, girering, utlandstjänster, internetbetalningar och kortbetalningar. Merparten av dessa tjänster är standardiserade och används av både företag och myndigheter. Myndigheterna utnyttjar bankernas betalningslösningar, inklusive tjänster från bankernas underleverantörer som t.ex. Bankgirocentralen (BGC). Myndigheterna är enligt betalningsförordningen skyldiga att avropa betalningstjänster enligt ramavtalen såvida inte medgivit annat. Myndigheterna är också skyldiga att följa rangordning av tjänsterna. För att reducera statens räntekostnader och risk är den statliga betalningsmodellen konstruerad för att samla likviditeten från alla in- och utbetalningar till och från staten på ett ställe, statens centralkonto i . Statens centralkonto i förs i svenska kronor. Det innebär att myndigheterna måste växla alla in- och utflöden i annan valuta än svenska kronor. Växlingen görs till spotkurs i den ramavtalsbank som förmedlar betalningen. För att myndigheterna ska kunna säkra sina valutaflöden erbjuder valutaterminer. Myndigheterna kan enligt regeringsbeslut förvalta likviditet i svenska kronor eller annan valuta utanför centralkontot. Exempel på betalningar som går utanför statens centralkonto är fondmedel, deponerade medel, donationer, EU-medel som ligger utanför statsbudgeten och andra bidrag i svenska kronor och annan valuta. Merparten av de statliga betalningarna omfattas av ramavtalen, men det finns ett fåtal separatavtal och en mindre andel bankkonton som inte omfattas. Myndigheterna ansvarar för att avropa betaltjänster från ramavtal, öppna, ändra och avsluta bankkonton, samt för att hantera eventuella kvarstående saldon som inte töms till centralkontot. ansvarar också för att betalningar från deras bankkonton görs i rätt tid, till rätt mottagare och med rätt belopp. tillämpa betalningsförordningen och verkställighetsföreskrifterna till den förordningen samt ansvara för en god intern styrning och kontroll av sin Myndigheternas betalningar är av olika slag, exempelvis samhällsbetalningar, löneutbetalningar och fakturabetalningar. En övergripande beskrivning av statens betalningsprocess, med huvudaktörerna (Riksgälden), ramavtalsbankerna och myndigheterna finns illustrerad nedan. Fokus i bilden ligger på myndigheternas del i processen. Bilden visar att upphandlar ramavtal, hanterar betalningar över centralkontot och placerar och lånar likviditet på marknaden. Ramavtalsbankerna levererar betaltjänster och förmedlar betalningar. Myndigheternas betalningsprocess börjar med avrop av tjänster och öppnande av bankkonton. Myndigheterna har interna system som skapar betalningsuppdrag. Betalningsprocessen innebär att när betalningsunderlaget har godkänts och attesterats, skapas ett betalningsuppdrag som godkänns (bemyndigas) och skickas till banken. Betalningsuppdraget bemyndigas av behörig person på myndigheten, så att banken kan förmedla betal- ningen till mottagaren. Betalning utförs och myndigheternas bankkonton belastas. Banken återrapporterar information om utförda utbetalningar till myndigheten. Myndigheterna gör avstämning utifrån återrapporteringen från ramavtalsbankerna. Informationen används vidare i ärende- hanteringsprocessen. Betalningsprocessen innefattar också att myndigheten tar emot inbetalning av till exempel skatt, avgift eller återbetalning. Myndigheten tar också emot information om inbetalningen. För de allra flesta inbetalningar ska informationen användas i ärendehanteringsprocessen. Viktigt att notera är att det finns en skillnad mellan myndighetens ärendehanteringsprocess och betalningsprocess. Exempel på ärendehanteringsprocess kan vara hantering och godkännande av faktura, hantering av löneärende, registrering och godkännande av pensions- ärende, hantering och godkännande av låne-, ersättnings- eller bidragsärende. Först när ärendehanteringen är avslutad, genom att en handläggare på myndigheten godkänt att en utbetalning ska utföras, Skr. 2011/12:91 vidtar betalningsprocessen. I styrelses framställning om statens betalningar (2010/11:RRS5) görs bedömningen att den särskilt allvarliga risk och sårbarhet i den statliga betalningsprocessen som påvisades i Riks- revisionens . Syftet med granskningen i rapporten 2010:13 var att komplettera den tidigare granskningen samt att följa upp vilka åtgärder som regeringen och myndigheterna har vidtagit och bedöma om de är tillräckliga. Följande revisionsfråga ställdes: Är de åtgärder regeringen och myndigheterna hitintills vidtagit tillräckliga för att allvarliga felaktigheter i och ett brottsligt utnyttjande av statliga betalningar ska kunna förhindras eller hanteras om de inträffar? De iakttagelser som har gjort avser bl.a. oklarheter kring fördelningen av ansvar för säkerheten i statens betalningar. Avsaknaden av samlade riskanalyser samt oklarheter kring vilka som ska göra sådana riskanalyser lyfts också fram. har även iakttagit ett antal grundläggande brister i rutiner och regler för den interna kontrollen och säkerheten inom myndigheterna. Det pågår ett löpande utvecklingsarbete när det gäller såväl säkerhet som funktionalitet i den statliga betalningsmodellen. I detta avsnitt redovisas de åtgärder som regeringen vidtagit för att öka säkerheten i statens betalningar. Redovisningen utgår från . Som framgår av redovisningen är åtgärder vidtagna eller påbörjade i samtliga fall. 3.1Sammanställd bild av risken i statens betalningar samt utpekat ansvar för sammanställningen1 Regeringen har infört en årlig process med syftet att få en tydligare bild av de samlade riskerna i den statliga betalningsmodellen. har tilldelats ansvaret för att göra en sammanställning av riskerna. Enligt förordningen med instruktion för ska myndigheten lämna en redogörelse 1 rekommendation var att regeringen skyndsamt och tydligt bör uttala huruvida eller någon annan myndighet ska ha ansvar för det statliga betalningssystemet, och att detta ansvar inkludera att ställa samman den samlade riskbilden på området samt utbildnings-, informations- och uppföljningsinsatser. för de samlade riskerna i den statliga betalningsmodellen till regeringen. 2011/12:91 Av instruktionen framgår att ansvarar för den statliga betalningsmodellen inklusive statens centralkonto. Enligt en ändring av betalningsförordningen som träder i kraft ska vidare samtliga myndigheter analysera de risker som är förknippade med myndighetens betalningar samt på begäran lämna uppgifter till om myndighetens betalningsverksamhet. Riksgälds- kontoret har arbetat fram ett metodstöd till myndigheterna innehållande ett frågeformulär om myndigheternas betalningsverksamhet (se även avsnitt 3.3). Med hjälp av frågeformuläret ska kunna identifiera risker inom områdena teknik, personal, verksamhet, externa risker och kontinuitet. För att kunna samla in uppgifterna på ett säkert och effektivt sätt har samarbete inletts med Myndigheten för samhällsskydd och beredskap. När riskerna och hoten är identifierade kommer att ta fram en sammanställning av åtgärder. Både åtgärder som har vidtagits och åtgärder som ska vidtas kommer att redovisas i den rapport som ska lämna till regeringen . De åtgärder som kan vidta för att förbättra säkerheten i betalningsmodellen är i första hand: ge förslag på ändringar i betalningsförordningen och meddela verkställighetsföreskrifter och allmänna råd, utreda och lämna förslag till regeringen på områden som behöver utredas, ändra och utveckla ramavtalen och informera, utbilda samt ge råd och stöd till myndigheterna. För att inhämta en samlad bild av riskerna på området gavs i regleringsbrevet i uppdrag att analysera riskerna och sårbarheterna i den statliga betalningsmodellen samt att rapportera detta till regeringen . utgör underlagsmaterial till denna skrivelse. I regleringsbrevsuppdraget ingick även att skulle genomföra utbildnings- och informationsinsatser kring säkerheten i den statliga betalningsmodellen. informationsinsatser redovisas i avsnitt 3.2 och 4.4. 3.2Beloppsgränser för myndigheternas betalningar2 De ramavtal som började gälla innehåller funktionalitet för beloppsgränser (limiter) på myndigheternas bankkonton hos samtliga ramavtalsbanker. I allmänna råd till betalnings- förordningen anges att myndigheterna bör använda sig av beloppsgräns för sina utbetalningar. har även utformat riktlinjer för hur myndigheterna ska tillämpa beloppsgränserna, som ett stöd för myndigheterna i deras arbete med att införa sådana gränser på sina bank- 2 rekommendation var att regeringen skyndsamt bör se till att en övre beloppsgräns sätts för myndigheternas betalningar, och att säkerställa att beloppsgränserna används av myndigheterna. Riktlinjerna har publicerats på webbplats. 2011/12:91 Vidare har vid utbildningar och andra möten med myndigheterna behandlat frågan om beloppsgränser. hade närmare 80 av myndigheterna börjat använda beloppsgränser och fler är på gång. kommer att följa upp myndigheternas arbete med beloppsgränser i de riskanalyser som ska samlas in från myndigheterna . Skälet till att införandet av beloppsgränser görs successivt är att begränsa risken för att samhällsbetalningar eller löneutbetalningar stoppas på grund av att beloppsgränsen sätts för lågt. Genom att informera, ge myndigheterna stöd och sedan följa upp ges förutsättningar för att införandet och användningen av beloppsgränser sker på ett ändamålsenligt sätt. 3.3Myndigheterna ska analysera väsentliga risker3 Regeringen har beslutat om en ändring i betalningsförordningen som innebär att myndigheterna ska analysera de risker som är förknippade med myndighetens betalningar. Analysen ska utföras i syfte att öka säkerheten i statens betalningsmodell. Ändringen träder i kraft . skickade ut en första enkätundersökning till myndigheterna om deras betalningsverksamhet. Myndigheterna ska lämna svaren till . redogörelse för de samlade riskerna i den statliga betalningsmodellen ska lämnas till regeringen . arbetar även med att se över om ändringen i betalningsförordningen medför några tillägg i anslutande verkställighetsföreskrifter och allmänna råd. 3.4Rutiner och regelverk för behöriga företrädare för myndigheterna4 har gett en sakkunnig person i uppdrag att se över frågor och regelverk kring identifikation av behöriga företrädare för myndigheter. Uppdraget ska redovisas . I utredningen övervägs möjligheten att skapa ett register över behöriga myndighetsföreträdare. kommer skyndsamt att arbeta vidare med frågeställningen efter det att utredaren lämnat sitt förslag. I avvaktan på utredarens förslag och regeringens beslut i frågan har i verkställighetsföreskrifterna till betalningsförord- ningen angett att myndigheten ska lämna uppgift till banken om vem 3Riksrevisionens rekommendation var att regeringen skyndsamt bör föreskriva att myndigheterna analyserar väsentliga risker och sårbarheter i de egna betalningsprocesserna samt vidtar åtgärder för att hantera identifierade risker. 4Riksrevisionens rekommendation var att regeringen skyndsamt bör ta ställning till den skrivelse med förslag om regelverk och rutiner för firmateckning och fullmaktshantering hos myndigheterna som avser att skicka till regeringen. eller vilka som har behörighet att företräda myndigheten gentemot Skr. 2011/12:91 banken att öppna och avsluta bankkonto, betala från bankkonto m.m. I detta avsnitt redovisas åtgärder för att öka säkerheten i statens betalningar utifrån iakttagelser i rapporten 2010:13. Som framgår av redovisningen är åtgärder vidtagna eller övervägda i samtliga avseenden. 4.1Skilda säkerhetskrav för olika kategorier av betalningar5 har övervägt behovet av att differentiera säkerhetskraven för olika betalningskategorier. Bedömningen är att säkerheten ska vara den högsta möjliga oavsett betalningskategori (små eller stora betalningar). I de senaste ramavtalen för betaltjänster har kraven höjts på säkerhet för teknik, kommunikation och tjänster. Förbättringar avser bl.a. säkerhets- och tillgänglighetskrav, bättre skydd för känslig kommunikation och strängare regler för kontokopplingar till statens centralkonto. På utbetalningsområdet har även säkerheten höjts bl.a. genom att tagit bort kuverttjänster ur ramavtalen. Därmed har risken upphört för att utbetalningsuppdrag, som tidigare försändes i vanlig post, kommer obehöriga tillhanda. 4.2Återredovisade filer av genomförda betalningar6 Tjänsten avseende skyddade (sigillerade och krypterade) återredovisade filer av genomförda betalningar finns med i de ramavtal som trädde i kraft . ställer krav på myndigheterna och ramavtalsbankerna att förändringsskydda filer för att undvika manipulation av betalningsuppdrag. För att undvika att angripare kommer över och utnyttjar dubblerade myndighets- eller bank- inloggningsuppgifter via Internet, ställs också krav på stängd sessionshantering. I allmänna råd till betalningsförordningen framgår att e-post innehållande känslig information mellan myndighet och bank bör vara krypterad. 5Riksrevisionens rekommendation var att i kommande ramavtal bör överväga att skilja på olika kategorier betalningar vid formulering av kraven på säkerhet, så att bankerna kan erbjuda säkerhetslösningar anpassade för respektive betalningskategori. 6Riksrevisionens rekommendation var att i samråd med myndigheterna, bankerna och leverantörerna av ekonomi- och affärssystem bör skapa möjligheter att skydda återredovisade filer med genomförda betalningar. Meddela föreskrifter om tydliga krav för säkra trädde en rad ändringar i betalningsförordningen i kraft. trädde även ändringar i verkställighets- föreskrifter och allmänna råd till betalningsförordningen i kraft. Ändringarna i förordningen utgjordes till största del av förtydliganden, medan ändringarna i verkställighetsföreskrifterna och de allmänna råden syftade till att öka medvetenheten kring säkerheten i de statliga betalningarna. Ändringarna i verkställighetsföreskrifterna och de allmänna råden sammanfattas nedan. En myndighet ska lämna uppgift till banken om vem eller vilka som har behörighet att företräda myndigheten gentemot banken, t.ex. i ärenden som att öppna eller avsluta bankkonto och betala från bankkonto. En myndighet med omfattande eller kritiska samhällsbetalningar ska identifiera, avropa och dokumentera reservrutiner för sina affärssystem eller interna system som genererar betalningsuppdrag, kommunikationstjänster till och från banker och betaltjänster i ramavtalsbanker. En myndighets kommunikation av betalningsinformation ska ske på ett säkert sätt. Informationen ska vara förändringsskyddad (skyddad mot förvanskning). Av de allmänna råden framgår att informationen bör vara insynsskyddad (krypterad) och att mejlkommunikationen med banken bör krypteras. Det är av största vikt att betalningsinformationen inte kan förvanskas medan det endast finns behov av att kryptera hemlig information. En myndighet ska hantera lösenord och utrustning som används för signering av betalningar på ett säkert sätt. En myndighet bör använda sig av beloppsgränser (limiter) för utbetalningar.