sou · H3B321d2 · 2015-03-02 00:00:00 — En orsak till att arbetslös- hetskassorna inte har en systematisk internkontroll kan enligt kart- läggningen vara avsaknaden av reglering och att arbetslöshets- kassornas prioriteringar i första hand utgår från de områden inom arbetslöshetsförsäkringen som är författningsreglerade. IAF bedömde att avsaknaden av en systematisk internkontroll, och då framför allt avsaknaden av systematisk riskanalys, kan leda till otillräckliga kon- trollåtgärder. En svag internkontroll skulle också kunna medföra en ökad risk för felaktiga utbetalningar. IAF följde upp kartläggningen påföljande år och den gransk- ningen visade att arbetslöshetskassorna påbörjat införandet av en systematisk process för att styra och kontrollera verksamheten. Uppföljningen indikerade dock att arbetet befann sig på en begyn- nande nivå för flertalet arbetslöshetskassor, även om kassorna redovisade en mängd genomförda och planerade åtgärder. Uppfölj- ningen visade även att det finns variationer i arbetslöshetskassornas arbete med den interna styrningen och kontrollen. Dessa variationer kunde inte enbart förklaras av att varje organisation är unik och har specifika förutsättningar.23 Även om arbetet med intern styrning och kontroll inletts vid arbetslöshetskassorna saknas en reglering som förtydligar vilka generella krav som finns på arbetslöshetskassorna i detta avseende. Detta kan försvåra arbetet med att införa intern styrning och kontroll. 22IAF (2009). 23IAF (2010b). Förslag för en trygg och effektiv arbetslöshetsförsäkring I infördes en lagbestämmelse om internkontroll för arbetslöshetskassorna. I bestämmelsen anges att arbetslöshets- kassans styrelse ska se till att arbetslöshetskassan med beaktande av arten och omfattningen av kassans verksamhet har tillräcklig intern kontroll och tillräckliga riskhanteringssystem. Den finländska meddelar närmare föreskrifter om hur den int- erna kontrollen och riskhanteringen ska ordnas. Som skäl för att införa bestämmelsen har anförts att arbetslöshetskassorna sköter ett offentligt uppdrag och därför måste ha ett ändamålsenligt administrations- och kontrollsystem.24 Kommittén anser att en liknande reglering bör införas i den svenska arbetslöshetsförsäkringen. ansvarar ytterst för arbetslöshetskassans hela verksamhet. Därför ska också arbetslöshetskassans styrelse svara för att det finns system för intern styrning och kontroll som fungerar på ett betryg- gande sätt. En bestämmelse av detta slag skulle tydliggöra styrelsens ansvar för den interna ledningen och styrningen som är nödvändig för att säkerställa att arbetslöshetskassorna med rimlig säkerhet fullgör sitt uppdrag. Det skulle innebära att de betydande risker, både yttre och inre, som kan ha en skadlig inverkan på skötseln av arbetslös- hetskassans lagstadgade uppgifter kontinuerligt identifieras och bedöms. En reglering blir också den norm och referensram som är en förutsättning för att tillsyn på området ska vara effektiv. Å andra sidan är det knappast lämpligt att ta in alla normer för intern styrning och kontroll i lag. Bland annat skulle det då bli nöd- vändigt med en mycket omfattande lagreglering. Det behov som ibland kan uppkomma av att snabbt åstadkomma en anpassning av regelverket till utvecklingen på området kan inte heller tillgodoses inom ramen för den förhållandevis långsamma lagstiftnings- processen. En sådan tröghet skulle inte sällan kunna vara menlig för arbetslöshetskassor och för de intressen som reglerna avser att skydda. Mot den bakgrunden finns det enligt kommitténs mening ett påtagligt behov av att på detta område kunna meddela i regerings- formens mening bindande föreskrifter om intern styrning och kontroll. 24 Se IAF (2009). Förslag för en trygg och effektiv arbetslöshetsförsäkring I 8 kap. regeringsformen finns bestämmelser om hur lagar och andra föreskrifter som härrör från den offentliga makten meddelas. I 2 § behandlas bl.a. betungande offentligrättsliga föreskrifter, dvs. föreskrifter som gäller förhållandet mellan enskilda och det all- männa och avser ingrepp i enskildas personliga eller ekonomiska förhållanden. Med enskilda avses såväl fysiska som juridiska per- soner. Sådana föreskrifter ska meddelas genom lag. Något utrymme för att delegera normgivningsmakten finns, såvitt nu är av intresse, inte. Som kommittén konstaterat i avsnitt 20.1 är arbetslöshetskas- sorna inte myndigheter. Enligt 1 § lagen (1997:239) om arbetslös- hetskassor (LAK) är de föreningar. De har dock uppgifter som är av utpräglad offentligrättslig karaktär. Av 6 § LAK följer att deras uppgifter i princip enbart består i att administrera arbetslöshetsför- säkringen genom att förmedla statliga medel i form av arbetslös- hetsersättning. Det sker huvudsakligen genom olika former av myndighetsutövning, bl.a. beslut om ersättning. Vid prövning av rätten till ersättning betraktas arbetslöshetskassorna som före- trädare för det allmänna25. Enligt 71 § LAK får regeringen eller, efter regeringens bemyn- digande, IAF utfärda närmare föreskrifter om arbetslöshetskassans bokföring och årsredovisning. Om det finns särskilda skäl, får före- skrifterna avvika från vad som följer av bokföringslagen (1999:1078) och årsredovisningslagen (1995:1554). I förarbetena till bokförings- lagen har uttalats att det finns utrymme för normgivningsbemyn- diganden avseende finansiella företags bokföring och redovisning26. Med finansiella företag avses i huvudsak banker och försäkrings- bolag. Regler om finansiella företags redovisning har mycket påtagliga offentligrättsliga inslag och de bärs upp av allmänna intressen såsom skyddet för betalnings- och kreditväsendet. De allmänna intressen som bär upp regler om arbetslöshetskassors redovisning har en stark koppling till skyddet av allmänna medel. Det har funnits normgivningsbemyndiganden för regeringen och myn- digheter avseende regler om arbetslöshetskassors redovisning. 25Se t.ex. Lagrådets yttrande i prop. 2000/01:129, bil. 1998/99:130. Förslag för en trygg och effektiv arbetslöshetsförsäkring De allmänna intressen som talar för införandet av regler om intern styrning och kontroll i arbetslöshetskassor är i allt väsentligt av samma slag som de intressen som bär upp de nuvarande redovis- ningsreglerna för kassor. Regler om intern styrning och kontroll syftar till att säkra en korrekt användning av de allmänna tillgångar som arbetslöshetskassorna förfogar över i sin verksamhet. På mot- svarande sätt som beträffande redovisning får det därför anses fin- nas ett utrymme för normgivningsbemyndiganden avseende intern styrning och kontroll i arbetslöshetskassor. Kommittén föreslår därför att regeringen eller den myndighet som regeringen bestämmer bemyndigas att meddela närmare före- skrifter om hur den interna kontrollen och riskhanteringen ska ordnas. Kommitténs förslag: Regeringen eller den myndighet som regeringen bestämmer bemyndigas i lag att föreskriva om infor- mationssäkerhet för arbetslöshetskassor. Skälen till förslaget: Informationssäkerhet som begrepp avser säkerhet i hanteringen av information, oberoende av i vilken form informationen hanteras. Begreppet omfattar således skydd av information både när den hanteras manuellt av människor och när den behandlas med hjälp av it. Informationssäkerhet innebär att information inte läcker ut, förvanskas eller förstörs och att infor- mationen är tillgänglig när den behövs. Dessutom innebär det att det finns spårbarhet i informationshanteringen, dvs. det går att se vem som gjorde vad och när. En organisations sammantagna infor- mationssäkerhet skapas genom en kombination av tekniska respek- tive administrativa säkerhetsåtgärder. I förordningen (2006:942) om krisberedskap och förhöjd beredskap finns en bestämmelse om att myndigheter ansvarar för att deras informationshanterings- system uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt samt att behovet av ledningssystem ska beaktas (30 a §). Detta innebär i praktiken ett krav på systematiskt informationssäkerhets- arbete med utgångspunkt i verksamhetens behov. Förslag för en trygg och effektiv arbetslöshetsförsäkring ning bemyndigas Myndigheten för samhällsskydd och beredskap (MSB) att föreskriva om säkerhetskrav för informationssäkerhet kopplade till dessa regler med beaktande av nationell och interna- tionell standard (34 §). Av MSB:s föreskrifter på området27 framgår bl.a. att en myndighet med stöd av ledningssystem ska bedriva ett systematiskt arbete för informationssäkerhet vilket innebär att myndigheten ska 1.upprätta en informationssäkerhetspolicy och andra styrande dokument som behövs för myndighetens informationssäkerhet, 2.utse en eller flera personer som leder och samordnar arbetet med informationssäkerhet, 3.klassificera sin information med utgångspunkt i krav på kon- fidentialitet, riktighet och tillgänglighet, 4.utifrån risk- och sårbarhetsanalyser och inträffade incidenter avgöra hur risker ska hanteras, samt besluta om åtgärder för myndighetens informationssäkerhet, och 5.dokumentera granskningar och säkerhetsåtgärder av större bety- delse som har vidtagits. Vidare ska myndighetens ledning enligt föreskrifterna löpande informera sig om arbetet med informationssäkerhet samt minst en gång följa upp och utvärdera informationssäkerhetsarbetet på myndigheten. Regleringen pekar på etablerade standarder om informations- säkerhet.28 Standarderna ger stöd och klargör vad ett systematiskt informationssäkerhetsarbete innebär. MSB har därutöver samman- ställt stöd och gett ut ett antal vägledningar om hur olika aspekter i detta arbete praktiskt kan bedrivas.29 Arbetslöshetskassorna är inte myndigheter och omfattas därför inte av MSB:s föreskrifter. I likhet med myndigheter innehar och 27Myndigheten för samhällsskydd och beredskaps föreskrifter (MSBFS 2009:10) om statliga myndigheters informationssäkerhet. 28ISO/IEC 27001 ledningssystem för informationssäkerhet och ISO/IEC 27002 riktlinjer för styrning av informationssäkerhet. 29Metodstöd för arbete med ledningssystem finns bland annat samlat på . Därutöver har MSB gett ut ett antal vägledningar om kon- tinuitetshantering, upphandling, processkartläggning m.m. samt tagit fram webbutbildningar som stöd. Samtliga finns tillgängliga på myndighetens webbplats. Förslag för en trygg och effektiv arbetslöshetsförsäkring hanterar arbetslöshetskassorna emellertid information som inte får förstöras eller förvanskas, och som i många fall dessutom behöver skyddas mot obehörig åtkomst30. Denna information ligger till grund för utbetalningar av arbetslöshetsersättning som sammanlagt uppgår till avsevärda belopp. –2013 har arbetslöshetskassorna betalat ut mellan omkring 13–i arbetslöshetsersättning. De enskilda kassorna har betalat ut ersättning med totalt ca 5 miljoner– ca 4 miljarder konor per år31. Det är därför centralt att hanteringen av sådana uppgifter sker på ett sådant sätt att uppgifternas tillgäng- lighet för behörig hantering så långt möjligt kan garanteras och att denna hantering präglas av spårbarhet, dvs. att det går att härleda vem som har gjort vad med en uppgift och när det har skett. En del uppgifter som arbetslöshetskassorna samlar in för pröv- ningen av ersättnings- och medlemsärenden levereras dessutom vidare till vissa myndigheter. Arbetslöshetskassorna har lagstadgad skyldighet att till Arbetsförmedlingen, , Pensions- myndigheten och lämna de uppgifter om ersättning enligt som har betydelse i ärenden om arbets- förmedling, förmån, ersättning eller annat stöd åt enskild, se 48 b § och 48 d § lagen (1997:238) om arbetslöshetsförsäkring (). På grundval av uppgifter från arbetslöshetskassor har t.ex. –2013 betalats ut aktivitetsstöd till ca 102 000– 214 000 personer årligen32. På motsvarande sätt har dessa myndig- heter en lagstadgad skyldighet att till en arbetslöshetskassa lämna de uppgifter som har betydelse för kassans prövning av rätten till ersättning enligt (48 a § och 48 c §). För att samla in och han- 30Uppgift om enskilds personliga förhållanden i ärende om arbetslöshetsersättning och i ärende om medlemsavgift omfattas av sekretess enligt 28 kap. 13 § offentlighets- och sekre- tesslagen (2009:400). 31IAF (2014b). 32Uppgiften har inhämtats från och avser hur många personer som har fått utbetalning av dagersättning med högre belopp än . Det rör sig alltså om dels den grupp som är berättigad till aktivitetsstöd med samma belopp som skulle ha lämnats som arbetslöshetsersättning, dels den grupp som är berättigad till aktivitetsstöd av den dagsförtjänst som låg till grund för den senaste arbetslöshetsersättningen, se 5 § förordningen (1996:1100) om aktivitetsstöd. Arbetslöshetskassorna aviserar i dessa fall uppgifter elektroniskt till om de deltagare som får eller har fått arbetslöshetsersättning eller aktivitets- stöd. Det sker strax efter det att Arbetsförmedlingen har anvisat en person till ett program, se 48 d § och 24 § förordningen (1997:835) om arbetslöshetsförsäkring samt (2009). Förslag för en trygg och effektiv arbetslöshetsförsäkring tera information använder sig arbetslöshetskassorna av flera IT- system för ärende- och medlemshantering samt system för olika former av informationsutbyte med myndigheter och enskilda. Arbetslöshetskassorna har alltså ansvar för transaktionssystem som innehåller känsliga uppgifter av stor betydelse i samhället33. Störningar i funktionen hos dessa system kan därmed leda till omfattande konsekvenser för både myndigheter och enskilda samt i förlängningen påverka förtroendet för samhällets funktionsför- måga. I likhet med MSB bedömer kommittén mot denna bakgrund att arbetslöshetskassorna bedriver samhällsviktig verksamhet i den mening som MSB använder detta begrepp. Med samhällsviktig verksamhet avser MSB34 sådan verksamhet som uppfyller det ena eller båda av följande villkor: 1.Ett bortfall av eller en svår störning i verksamheten kan ensamt eller tillsammans med motsvarande händelser i andra verksam- heter leda till att en allvarlig kris inträffar i samhället. 2.Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad allvarlig kris i samhället ska kunna hanteras så att skadeverkningarna blir så små som möjligt. Arbetslöshetskassornas myndighetsutövning är alltså att betrakta som en samhällsviktig verksamhet, eftersom störningar i den verk- samheten kan leda till stora svårigheter i samhället. Till risken för omfattande skadeverkningar bidrar inte minst det omfat- tande utbyte av sekretessbelagda uppgifter som äger rum mellan arbetslöshetskassorna och olika myndigheter. Arbetslöshetskas- sorna hanterar dessutom i sin myndighetsutövande verksamhet allmänna medel som uppgår till avsevärda belopp. Självfallet måste både enskilda kassamedlemmar och andra samhällsintres- senter därför kunna känna förtroende för att arbetslöshetskassorna hanterar information på ett säkert sätt. IAF har i återkommande granskningsrapporter påtalat brister i arbetslöshetskassornas infor- mationssäkerhet35. Som nämnts i avsnitt 20.2 tenderar arbetslös- hetskassorna dock att prioritera utvecklingsområden som är för- 33Se beslut av Datainspektionen, dnr 1821-12 och 1823-12. 34Samhällsviktig verksamhet, Faktablad 2009, Myndigheten för samhällsskydd och bered- skap. 35AF 2008/789 T3, IAF 2010 (b) och IAF (2010c). Förslag för en trygg och effektiv arbetslöshetsförsäkring Frånvaron av författningsstadgade krav på hur informationssäkerhetsarbetet ska bedrivas medför dessutom svårig- heter att följa upp och utöva tillsyn över kassornas arbete med informationssäkerhet. Kommittén ser mot den nu angivna bakgrunden inga skäl att behandla arbetslöshetskassornas myndighetsutövning på annor- lunda sätt än myndigheternas verksamhet när det gäller möjlig- heten att i författning ställa krav på informationssäkerhet. På samma sätt som när det gäller myndigheter är det dock knappast lämpligt att ta in alla normer för informationssäkerhet i lag. Bland annat skulle det då bli nödvändigt med en mycket omfattande lagreglering. Det behov som ibland kan uppkomma av att snabbt åstadkomma en anpassning av regelverket till utveck- lingen på området kan inte heller tillgodoses inom ramen för den förhållandevis långsamma lagstiftningsprocessen. En sådan tröghet skulle inte sällan kunna vara menlig för arbetslöshetskassor och för de intressen som reglerna avser att skydda. Kommittén har i avsnitt 20.2 konstaterat att det finns utrymme för normgivningsbemyndiganden avseende intern styrning och kontroll i arbetslöshetskassor. Även regler om informationssäker- het för arbetslöshetskassor bärs upp av starka allmänna intressen som är knutna till skyddet av såväl allmänna medel som känsliga uppgifter. På samma grunder som i fråga om intern styrning och kontroll bedömer kommittén att det finns utrymme för normgiv- ningsbemyndiganden avseende föreskrifter om informationssäker- het för arbetslöshetskassor. Därför föreslår kommittén att regeringen eller den myndighet som regeringen bestämmer i lag bemyndigas att föreskriva om informationssäkerhet för arbetslöshetskassor. 20.4Stärkt arbete för likformighet i rättstillämpningen inom arbetslöshetsförsäkringen Kommitténs förslag: Statens arbete med att säkerställa en lik- formig tillämpning inom arbetslöshetsförsäkringen kan stärkas genom att en myndighet beslutar allmänna råd eller lämnar Förslag för en trygg och effektiv arbetslöshetsförsäkring besked i konkreta tolkningsfrågor på ansökan av arbetslöshets- kassor (tolkningsbesked). Ett sätt att säkerställa effektiv inrap- portering till myndigheten i ett tidigt skede kan vara att arbets- löshetskassor åläggs en rapporteringsskyldighet, som dock måste utformas så att den inte blir onödigt betungande. Regeringen bör ta ställning till valet av lösning, organisatorisk hemvist för en myndighetsfunktion och följdkonsekvenser i olika avseen- den. Kommittén anser dock att lösningar som bygger på tolk- ningsbesked är särskilt intressanta att belysa. Skälen till förslaget: Som kommittén har konstaterat i avsnitt 19.2.2 är det angeläget att stärka och utveckla statens arbete med att säkerställa en likformig tillämpning av arbetslöshetsförsäkring- ens bestämmelser när svaret på tillämpningsfrågor inte kan utläsas direkt av författningstext, förarbeten eller domstolspraxis. Arbets- löshetskassornas direkta medverkan torde vara en avgörande fram- gångsfaktor i ett sådant arbete med att besvara oklara rättsfrågor. Ett system för att besvara oklara rättsfrågor inom arbetslös- hetsförsäkringen kan i princip åstadkommas på två olika vägar: Antingen genom att det beslutas allmänna råd om hur författnings- bestämmelser bör tolkas eller genom att det lämnas besked i kon- kreta tolkningsfrågor på ansökan av en arbetslöshetskassa. Alternativet med allmänna råd beslutade av en statlig myndighet knyter an till den ordning som fram tills relativt tillämp- ades inom arbetslöshetsförsäkringen. Denna ordning har byggt på att tolkningsrekommendationer beretts med företrädare för arbets- löshetskassorna och deras samorganisation inom ramen för den arbetslöshetsförsäkringsdelegation som tidigare fanns inom Arbets- marknadsstyrelsen36. Som kommittén har konstaterat torde detta vara ett nödvändigt inslag i ett system för att säkerställa en likformig tillämpning inom arbetslöshetsförsäkringen. Ett system där en myndighet lämnar besked i konkreta tolk- ningsfrågor på ansökan av arbetslöshetskassor (tolkningsbesked) har vissa drag gemensamma med ordningen för förhandsbesked i skattefrågor37. Sådana tolkningsbesked kommer som utgångspunkt inte att vara formellt rättsligt bindande för arbetslöshetskassans 36Se bilaga 6. 37Se bilaga 6. Förslag för en trygg och effektiv arbetslöshetsförsäkring handläggning av det ärende som har föranlett kassan att ansöka om ett tolkningsbesked. De bör beredas i former som tillgodoser höga krav på juridisk kompetens med erfarenhet från både arbetslös- hetskassor och allmänna förvaltningsdomstolar. I så fall torde tolk- ningsbeskeden bli styrande för handläggningen av det aktuella ärendet både i arbetslöshetskassan och i förvaltningsdomstol, även om de inte är formellt bindande. Det vore också möjligt att göra sådana tolkningsbesked bind- ande för arbetslöshetskassan i förhållande till den enskilde som tolkningsbeskedet angår, om den enskilde yrkar det. Däremot behöver det inte införas någon separat möjlighet att överklaga det av myndigheten beslutade tolkningsbeskedet. Oavsett om ett tolk- ningsbesked ska vara bindande eller inte, är den enskilde ändå garanterad rätt till domstolsprövning genom möjligheten att över- klaga arbetslöshetskassans beslut i samma fråga. Om tolkningsbesked offentliggörs, torde arbetslöshetskassor och domstolar ta hänsyn till tolkningsbesked också när de avgör andra likande ärenden38. Ingen av dessa modeller garanterar emellertid att oklara rätts- frågor snabbt kan identifieras när de uppstår. De behöver därför kompletteras med en funktion som säkerställer att detta sker. Ett sätt att säkerställa effektiv inrapportering av oklara rätts- frågor till en myndighet i ett tidigt skede kan vara att arbetslös- hetskassor åläggs en skyldighet att, så snart det är möjligt, infor- mera myndigheten om oklara rättsfrågor som aktualiseras i ärenden som handläggs vid kassorna. Rapporteringsskyldighet ska alltså föreligga i fall där lagstiftningen eller domstolspraxis är så kompli- cerad att svaret inte kan utläsas direkt av sådana rättskällor. Möjlig- heterna att följa upp hur arbetslöshetskassorna uppfyller en sådan rapporteringsskyldighet kommer att stärkas genom förslaget som läggs fram i avsnitt 20.2. Förslaget innebär att arbetslöshetskassans styrelse ska vara skyldig att se till att kassan har tillräckliga interna kontroll- och riskhanteringssystem för att kunna fullgöra sina för- fattningsstadgade skyldigheter. kan då följa upp hur kassorna uppfyller rapporteringsskyldigheten, bl.a. genom arbetet med intern styrning och kontroll. 38 En närmare beskrivning av möjliga tekniska utformningar av ett system för tolknings- besked och vissa konsekvenser lämnas i bilaga 7. Förslag för en trygg och effektiv arbetslöshetsförsäkring Varken allmänna råd eller tolkningsbesked kommer att ersätta författningstext, förarbeten eller vägledande domstolspraxis. En oklar rättsfråga upphör därför inte att vara oklar förrän den har blivit besvarad i någon av dessa rättskällor. En eventuell skyldighet för arbetslöshetskassor att informera en myndighet om oklara rättsfrågor upphör alltså inte automatiskt beträffande en viss oklar rättsfråga bara därför att den redan har blivit besvarad genom all- männa råd eller ett tolkningsbesked. Därför kan det även behöva övervägas hur sådana situationer ska hanteras i syfte att inte skapa onödigt betungande arbetsförhållanden för arbetslöshetskassor och för den ansvariga myndigheten. En lösning kan vara att arbetslös- hetskassor undantas från informations- eller ansökningsskyldighet beträffande oklara rättsfrågor som redan har blivit besvarade genom allmänna råd eller tolkningsbesked. Allmänna råd och system för tolkningsbesked är möjliga att infoga både i dagens administrationsmodell och i den framtida administrationsmodellen som diskuteras i kapitel 21. För båda modellerna gäller också att det är möjligt att till dem knyta organ med bred erfarenhet från relevanta samhällsområden, t.ex. arbets- löshetskassor, myndigheter, domstolar och organisationer på arbets- marknaden. Allmänna råd torde vara enklare att administrera. De kan också användas proaktivt och t.ex. meddelas redan innan en ny lagstift- ning ska börja tillämpas. Vidare kan konkretionsnivån i allmänna råd anpassas till vad den utfärdande myndigheten bedömer att omständigheterna kräver. Ett sådant system bygger dock inte på någon skyldighet för den ansvariga myndigheten att besvara de frågor som arbetslöshetskassor hänskjuter till den.