bet · H501KU20d3 · 2018-01-01 00:00:00 — Och att man på Transportstyrelsen på de nivåer vi har talat med, och det gäller ju … kan man säga att , som var generaldirektör under upphandlingen, väl i och för sig har sagt till oss att hade det varit aktuellt hade man väl kunnat prata med om att förlänga. Men han såg inte att det fanns någon anledning så länge han var med i bilden. Han var inte med när det blev kritiskt, så att säga. Men på Transportstyrelsen verkar man – det har vifått flera uppgifter om – entydigt ha uppfattat det som att det inte går att förlänga den här leveransen från . De har sagt upp lokalerna. De har sagt upp personalen. De har avvecklat den här verksamheten, och det kommer inte att fungera efter det här datumet. Därför måste vi ha saker på plats. Vi har också fått uppgifter – ibland i sådana här granskningar vet man inte riktigt var sanningen ligger – om att det kanske hade kunnat gå att förlänga. … Det gjordes ju förlängningar . I första planeringen sa man att skulle ta över , men det visade sig inte hålla, och då bad man förlänga till , och det gjorde de. Och efter var ändå med och stöttade ända in med vissa överfasningar. fanns det fortfarande en diskussion med . Och en del av våra uppgiftslämnare har sagt att eftersom bedrev verksamheten i stort sett med konsulter – de hade sagt upp sin fast anställda personal; det gick ju inte att ha dem kvar när man skulle avveckla verksamheten – hade det väl i och för sig inte varit omöjligt att förlänga avtalet med konsulterna. Konsulter är ju ibland intresserade av förlängda uppdrag. Men den bilden hade man nog inte på Transportstyrelsen – att det skulle gå att göra – utan var då det här måste vara i hamn. (V): Det kan man ju förstå att … Eftersom Transportstyrelsen bestämmer sig för att inte använda dem börjar man av- veckla. Men hela tidsplanen är hoptryckt från början. När var det egentligen som man gjorde upphandlingsunderlaget, eftersom man hade så på sig? När gjorde man det? Och hade man säkerhetsaspekten med i det upphandlingsunderlaget? På den senare frågan kan man ganska entydigt svara nej. Själva upphandlingsunderlaget kanske man kan säga … , , vänder jag mig till dig igen; du får påminna mig. Men det sker, så att säga, på sätt och vis i två steg. Först gör man en it-försörjningsstrategi, som man kallar det. Den görs relativt brett och öppet. Man frågar sig hur man ska ha det . Man har, om jag kommer ihåg rätt, fem alternativ varav ett är vi tar och kör det här inhouse i Transportstyrelsen. Man gör så, och man gör så och så gör man en utvärdering av de här fem alternativen. Detta tas upp i ledningsgrupp och styrelse, och man diskuterar hur man ska göra. Så kommer man fram till att nej, vi ska nog titta på de här outsourcingalternativen. Sedan börjar man ta fram förfrågningsunderlag och upphandlingsunderlag och ser hur man ska gå vidare. Man gör även en förstudie. För att göra allt det här tar man dessutom in konsulter, om jag kommer ihåg rätt, för man känner att man behöver hjälp med den biten. Detta pågår , och sedan kommer liksom själva upphandlingen igång . Det är alltså en ganska lång process med lite olika steg. : Den bild vi har fått, vilket vi också skriver i rapporten, är att varken Transportstyrelsen eller bedömer att tidsplanen är kort när man ska göra den här överlämningen. Vi har ju träffat även , och inte heller de hade känslan av att det var en orimlig tidsplan där och då. När vi tittar på projektdirektiven finns det ingenting där som flaggar för att det finns en risk för att tidsplanen skulle vara ett problem, och det har vi ju tyckt är lite konstigt. Ingen av myndigheterna betraktade alltså det som ett problem inlednings- vis, när man gick ut och annonserade och när man hade bestämt sig för att så här ser tidsplanen ut. Skånberg (KD): Tack för en fyllig och god granskningsrapport som blir till stor glädje och användning för oss! Jag vill gå vidare med frågan om tidsperspektivet och sätta det i relation till hur mycket tid som fattades. I Säpos förhör av framgår att hon valde, som hon säger, att göra avsteg från lagen – alltså i klartext bryta lagen – för en tidsvinst . På ett annat ställe säger hon . Med tanke på hur lång upphandlingen var – åratal faktiskt – förefaller vara . Kan din och er bild bekräfta att om hon hade haft till så hade hon inte haft anledning att bryta lagen? : Då tror jag att vi rätt entydigt, och vänder jag mig till , kan säga nej. Flera av de här problemen kring att säkerhets- avtalen inte var korrekt hanterade, att inte de här säkerhetsprövningarna var gjorda på rätt sätt och så vidare fanns ju kvar långt in på 2016. Jag tror att det hade behövts eller till för att hinna i kapp. Detta berodde delvis på de missförstånd som den dåliga kommunikationen handlar om: att man inte fullt ut hade förstått hur man skulle agera för att kunna göra säkerhetsprövningar och säkerhetskontroller med personal som inte finns i . : Jag ska säga att ett problem med de här säkerhets- prövningarna var att man i Transportstyrelsen så att säga lite grann hakade upp sig på att registerkontrollerna skulle genomföras av Säkerhetspolisen. Men en registerkontroll även av en svensk medborgare är enligt Säkerhetspolisen av en säkerhetsprövning. Det är inte jättemycket information som kommer fram där. Det var dock det som man diskuterade i Transportstyrelsen: att det var en försening på grund av Säkerhetspolisens handläggningstider. Då glömde man lite grann bort alla de andra aspekterna som ingår i en säkerhetsprövning. Skånberg (KD): Kan justitierådet ge oss någon uppfattning om hennes bedömning vid det här förhöret av var grundad på fakta eller på önsketänkande eller på vilseledande? Hur kan det vara så att hon sa när det kanske var i verkligheten? Hade hon, på grundval av det material ni har gått igenom, en tillräcklig kunskapsbild för att kunna uttala sig eller gissade hon? Jag förstår att det är en fråga om ren spekulation, men vi kommer att möta henne , och det vore gott att få veta justitierådets uppfattning om detta. : Jag tror att hon, som alldeles var inne på, fick bilden av sina medarbetare att det stora problemet hade att göra med Säpos väntetider, att registerkontrollen hos tog tid och att det handlade om en månad eller två, så skulle det nog vara löst. Det var, tror jag, en väsentlig del i att man tänkte sig att det bara är en period som vi måste bryta mot de här lagarna, och sedan kan vi vara tillbaka på banan igen. Skånberg (KD): På s. 27 i granskningsrapporten står det angående frågan om nödvändigheten av outsourcing eller om man kan klara sig utan det: ”Myndigheterna står således inte inför valet att outsourca eller inte, utan snarare inför frågan om vad som kan outsourcas och hur detta i så fall ska skötas.” Skulle man kunna säga att på grundval av det som ni har granskat så var inte själva problemet outsourcingen och regelverket för outsourcingen, utan sättet som det användes och den upplevda tidspressen som gjorde att en generaldirektör väljer att frångå lagen? : Ja, det tror jag i korthet att man kan säga – ja. (SD): Tack för väldigt bra information än så länge! Jag tänkte fråga lite grann kring själva ansvarsfrågan. Det är klart att det är konstitutions- utskottets själva kärnfråga, men i den här rapporten skriver ni: ”Alla de tre huvudsakliga brister vi identifierat leder tillbaka till myndighetens ledning.” Det är de här bristerna som vi pratar om när det gäller den orealistiska tidsramen, och det handlar om bristande kommunikation och att man inte kände till vilken information som fanns i systemen. är det ju regeringen som tillsätter ledningen för myndigheten. När man läser den här rapporten och alla andra uppgifter vi tar del av märker man att det fanns rätt många brister i själva ledningen. Skulle man ändå inte kunna påstå att regeringen kanske inte har varit fullt så omsorgsfull som man borde ha varit när man har valt att tillsätta den här ledningen – eller i sina kontakter med myndigheten för att faktiskt informera sig om vad som har hänt? : Själva ansvarsutkrävandet vad gäller regeringen är som sagt var roll, så jag tror att jag passar på frågan om vilka generaldirektörer man utser och så där. Men det är klart att en sak som vi diskuterar i rapportens senare delar är frågan om hur regeringen ska förhålla sig till generaldirektörer, hur general- direktörer ska förhålla sig till regeringen och hur kommunikationen mellan dem ska ske på ett sätt så att man förebygger att generaldirektörer inte kommer till regeringen när de ska, som man förebygger att generaldirektörer springer till regeringen när de inte ska. Det är ju en balansgång det där. En regering ska kunna regera, och myndigheterna ska i sköta sig själva i mycket hög utsträckning. Myndigheterna är självständiga och agerar på eget ansvar efter de rättsregler som regering och riksdag har lagt fast. Det är viktigt att värna det systemet, om vi nu fortfarande vill ha kvar det som vi har haft och som har tjänat oss väl. Vi pekar dock på att detta kanske är ett sådant fall som visar på att ibland leder den här relationen mellan generaldirektörer och regering till att generaldirektörerna kan känna en tvekan att kontakta regeringen med problem, för det ska man inte göra i vardagen. Vardagsproblem ska regeringen slippa; dem ska generaldirektören kunna hantera. Här uppfattar jag det väl så att det tog väldigt för att förstå vilken typ av problem det här egentligen var, hur allvarligt det var och vad man skulle kunna behöva göra åt det. När det väl föll på plats, ja, då var viinne på 2016. Då hade den här outsourcingen och hantering pågått eller mer. Jag tror alltså att det finns saker att fundera på kring hanteringen och hur och myndighetscheferna hittar en bra nivå på sin kommunikation. Det är dock inte så enkelt som att säga att generaldirektörerna ska prata mer med regeringen, för det är inte säkert att de alltid ska göra det. Jag har tyvärr inget enkelt svar, men det där tror jag att man måste fundera lite mer på. (SD): Tack för ett utförligt svar! Det framstår också som att majoriteten av ledningen, som jag förstod det, inte var säkerhetsklassad. Det är en sak som också lyfts fram i rapporten. Har du funnit något som styrker att myndigheten, eller för den delen regeringen, ändå har diskuterat just frågan om säkerhetsklassning? Jag har förstått det som att de rutiner som finns inom exempelvis när det gäller säkerhetsklassning inte är helt lätta att begripa alla gånger. Det kanske inte heller finns någon naturlig del av processen när man tittar på just det här med säkerhetsklassning. får gärna redogöra för vad som har blivit sagt när det gäller just det här med säkerhetsklassning av gd eller av styrelsen. : Generaldirektörerna var ju säkerhetsklassade, och det framgår tydligt av vår utredning att i alla fall var direkt informerad om de känsliga frågor som myndigheten hade att hantera. är svävande på den punkten, om jag kommer ihåg det rätt, men hon fick också en information av säkerhetsskyddschefen när hon tillträdde, som väl var i vart fall översiktlig. När det gäller frågan om säkerhetsklassning av ledningen och styrelsen har jag uppfattat det som att det ändå fanns en utbredd uppfattning att det inte fanns så mycket skyddsvärt i Transportstyrelsen. Det var en öppen myndighet som hade mängder av information som medborgarna behöver i bilregister och annat, så här behövdes ingen säkerhetsklassning. Min minnesbild är att man inte diskuterade att ledningsgruppen eller styrelsen skulle säkerhetsklassas fram till den här it-upphand- lingen. var ju bilden den att man värnade om att myndigheten skulle vara en så öppen, tillgänglig och serviceinriktad myndighet som möjligt. Säkerhetsfrågor var då ett hinder för en sådan ambition. påminner mig också om att de som kände till de hemliga system som fanns i Transporstyrelsen hade uppfattat det så – rätt eller fel – att man inte skulle prata om detta med andra. Det var så väldigt hemligt så det skulle man inte prata om alls. Detta gjorde ju att de som var säkerhetsklassade och visste om detta inte sa något till de andra. Så har i varje fall vi uppfattat det. Därmed kunde de här icke säkerhetsprövade personerna som satt i ledningsgrupp och så vidare inte riktigt förhålla sig till frågor av typen ”skulle det vara något hemligt – det har jag aldrig hört talas om; det är ingen som säger något om det”. Här fanns alltså det här som jag kanske lite dumt kallade för hemlighets- makeri. Men på något sätt uppfattade man det så. De få som visste saker sa ingenting, eller mycket lite, till de andra. En anekdot är att en av dem som vi intervjuade berättade att när han kom från det här Säpoförhöret, som det lästes ur här tidigare, så googlade han på ”kvalificerade skyddsidentiteter”. Då fick han reda på att det fanns en lag om detta och att Transportstyrelsen nämns i den lagen. Det visste inte han. (SD): Är det justitierådets uppfattning att ledningen i det här läget de facto borde ha varit säkerhetsklassad? : Det är lätt att vara efterklok, men det är klart att hade styrelsen och ledningsgruppen varit säkerhetsklassade, då hade man i varje fall inte behövt ägna sig åt den här typen av hemlighetsmakerier som blev följden av att det inte var så. (MP): Stort tack! Det är väldigt spännande att läsa det här. Det är svårt att inte fastna på en väldig massa detaljer kring varför Transport- styrelsen gör så här. Men vi tittar ju ganska mycket på regeringens ansvar, och det är väl därför frågorna blir som de blir. Även jag tänker därför ställa frågor när det gäller regeringens ansvar. Kan du säga något om båda regeringarnas ansvar för att följa upp att myndigheten hade tillräcklig kompetens att följa lagarna när det gäller säkerhetsområdet? En myndighet behöver ändå ha den typen av resurser. Har du sett något där? När det gäller den förra regeringens signaler om att outsourca: Kan det ha varit så att de varit lite övertydliga så att det på något sätt blivit viktigare att spara pengar? När det gäller effektiviseringsuppdraget är det ganska tydligt att myndigheten fick fler uppdrag men inte mer resurser. Då måste man göra ett stort omtag för att spara, och så kom outsourcing med som en del. Kunde den nuvarande regeringen ha gjort mer? Jag har en fråga till, men jag kan börja här. : När det gäller informationssäkerhet och hur myndigheterna jobbar med detta rent generellt är det , vilket vi också har skrivit om lite grann, ett väl känt problem att statsförvaltningen inte riktigt är i linje 2017/18:KU20 BILAGA B UTFRÅGNINGAR med lagstiftningens krav på alla sätt. Man ligger efter i informations- klassningsarbetet och i att skapa rutiner för att hålla känslig, skyddsvärd information under sådana förhållanden att den kan skyddas på ett bra sätt. Detta pekade på i en utredning , om jag kommer ihåg rätt. De krav som ställs i personuppgiftslagen, som ska ersättas av dataskyddsförordningen, har svenska myndigheter haft problem med . Det finns också ytterligare information som vi kortfattat hänvisar till. Oavsett färg på regering har detta varit ett stort problem. har pekat på att detta antagligen beror på sådana saker som att man inom myndigheterna gärna prioriterar uppdraget och kärn- verksamheten. Detta är en sorts kringverksamhet – vem ska göra det här, och hur ska vi hantera det? Det känns som en sak som drar resurser från det som man egentligen har i uppdrag att göra. De pekar också på att det återkommande hos flera myndigheter är så att de som ansvarar för sådana frågor har svårt att få gehör hos ledningsgrupp och andra. Detta visade sig i vår granskning vara ett av problemen. Jag tror att detta är ett långsiktigt problem som har funnits länge och som kan vara väldigt svårt att åtgärda om inte ledningen – det handlar alltså om generaldirektörer och liknande – är jättetydliga med att det måste prioriteras och få resurser. Kanske måste också regeringen vara tydligare och ge resurser, men detta handlar om statsförvaltningen i stort, inte bara om Transport- styrelsen. När det gäller outsourcing som sådan och varför Transportstyrelsen inledde den är vårt intryck att det fanns ett antal olika skäl till att Transportstyrelsen kom till. Det fanns skäl som hade att göra med att man ville ha en mer sammanhållen syn på trafikpolitiska frågor. De skulle inte delas upp i transportslag utan vara överskridande. Det fanns också ett tydligt tänk kring att det också leder till effektiviseringar om varje transportslag inte sitter och uppfinner sina egna lösningar utan kan lära av varandra och utnyttja varandras system. I Transportstyrelsens tillkomst fanns ett budskap om att det skulle göras effektiviseringar på olika sätt. Detta har framgått tydligt när vi har pratat med . Han uppfattade att uppdraget var att göra Transportstyrelsen till en effektiv myndighet. Han startade själv besparingsprojekten därför att han tyckte att han såg möjligheter att göra verksamheten billigare, fortfarande med bibehållen kvalitet. Som vi har uppfattat det var det mycket den dåvarande generaldirektörens ambitioner som ledde till att man satte igång de ambitiösa upphandlings- projekten, dock inte stordatormigreringen, för den har en lite annan bakgrund, men it-upphandlingen, bland annat. Det var just hos it-driften man såg stora besparingar. Man tyckte på att den var dyr och inte top-of-the- line, om man säger så, rent tekniskt. Marknaden kunde erbjuda modernare och flexiblare lösningar, så man såg fördelar på det viset. Det är svårt att säga – vi har inte funnit några allmänna belägg för det – att det var regeringen som sa: Ni ska spara pengar. Men det låg naturligtvis lite i korten. När man skapade Transportstyrelsen skulle det bli en effektivare verksamhet. hade höga ambitioner på det området. Man hade också förändringar. kommer jag inte ihåg, men det blev avgiftsfinansierat 2010, vilket jag tror också hade effekter på hur myndigheten såg på sin ekonomi. Det fanns samverkande faktorer som gjorde att man kände på myndigheten att man måste jobba med effektivisering och besparing. När det gäller regeringens signaler fanns det en rapport från , som man har pekat på, kring 2010–2011. Där uppmanades alla myndigheter att se över om de verkligen inte kunde göra sina saker billigare, bland annat genom outsourcing. Om den fick effekter har vi inte kunnat belägga – att det var just detta som var ståndpunkten – men vi har uppfattat det som att det var en intern process som generaldirektören och några andra i ledningen drev för att göra myndigheten billigare och bättre, som de uppfattade det. (MP): Ni skriver i rapporten om den avstegskultur som verkar ha funnits på myndigheten. Jag har en liten fundering om när det blir många avsteg. Det har varit en del sådana frågor till intern- revisionen – hur mycket detta lyftes upp till styrelsen och om det togs upp lite mer samlat. Jag tror inte att någon myndighet vill bli känd för att ha en avstegskultur. Bara att synliggöra en sådan sak tror jag drar igång ett förändringsarbete. Fördes detta upp på någon högre nivå? Eftersom vi är i KU vore det naturligtvis intressant att se om detta fördes upp till regeringen i myndighets- dialoger. : När det gäller den senaste frågan kan jag inte säga att vårt material ger något som helst underlag för att säga att den frågan lyftes med regeringen. Inom myndigheten är det ganska tydligt. har sagt till oss att han uppfattade avstegskulturen som lite problematisk när han började. Man gjorde avsteg från regelverket för offentlig upphandling, vilket man ibland kan göra, men han tyckte att det var tveksamt om det verkligen var sådana fall. Kanske det var mer bekvämt att låta vissa konsulter vara kvar i stället för att upphandla tjänsten igen. Man motiverade det med vad han tyckte var lite skakiga grunder ibland, så han ville skärpa upp det. Men vi har noterat att den typen av resonemang fanns kvar. Detta är lite av en indiciekedja snarare än hårda bevis. Av våra intervjuer med personal har vi dock fått intrycket att avstegskulturen kanske först och främst fanns på upphandlingssidan. Där kan det, som jag sa tidigare, vara okej att göra avsteg från regelverket, för regelverket innehåller regler som säger att man får göra avsteg om det finns särskilda skäl. Detta spred sig till andra områden i verksamheten, och det blir särskilt uppseendeväckande när man gör avsteg från offentlighets- och sekretesslagstiftningen, som inte innehåller några sådana avsteg, eller säkerhetsskyddslagen. Det fanns ett tänk: går det att få göra avsteg, och då kanske det går här också. Jag tror att man nästan vande sig vid det. (C): Jag skulle vilja fråga: Har det framkommit något under utredningen om att statssekreterare eller statsråd har tagit kontakt med ledningen för Transportstyrelsen på grund av de uppgifter som lämnade till regeringen om de allvarliga säkerhetsproblemen på Transportstyrelsen? : Nej, vi har inte fått några sådana uppgifter. Om jag kommer ihåg rätt – ni får rätta mig annars – har vi heller inga indicier om att har kontaktat Transportstyrelsen efter Säpos tillsynsrapport . (C): Inga kontakter i den riktningen, alltså, men vi kan fråga om andra hållet: Vad har framkommit när det gäller kontakter som ledningen på Transportstyrelsen har tagit med – statssekre- terare eller statsråd – på grund av säkerhetsproblemen kring förutsättningarna för att överföra verksamhet? Vi känner till lite om detta. Kan ni redovisa något om de kontakter som togs? : Detta går in på det som jag nämnde tidigare. Man kanske kan börja med att säga att styrelsen informerades av om att avsteg gjorts. Det är första gången vi ser att det kommer till den nivån. har uppgett till oss att han utgick ifrån att skulle ta upp denna fråga med departementet och att han därför valde att inte göra det själv. Han sa till oss att han tänkte: Ska jag göra det eller inte? Men nej, jag gör inte det, för det gör nog . Men som vi har förstått det gjorde aldrig detta, i varje fall inte på något tydligt sätt. hade man vanliga tertialmöten som främst handlade om stordatormigreringen, som vi har förstått det. Sedan kommer den rapport som Transportstyrelsen lämnade in som en bilaga till en risk- och sårbarhetsanalys, där det ganska tydligt framgår att det finns problem. Men det var inte som rapporterade direkt, utan detta ingick i en mer löpande rapportering som man gör på uppdrag. Sedan har man ett möte där frågan om informations- säkerhet fanns med på dagordningen. Vi har dock inte kunnat reda ut närmare vad man sa då. Det kan vara så att folk inte kommer ihåg. har inte angett några detaljer om vad mötet egentligen handlade om. (C): Vi har i ett annat sammanhang sett uppgifter om att kontaktade en av statssekreterarna på , . Har ni tittat något på dessa uppgifter och innehållet i samtal som fördes där? Känner ni till det? : Nej, det har vi inte några närmare uppgifter om alls. (L): Tack så mycket för redogörelsen! Den bibba som vi har framför oss borde utgöra kurslitteratur på många utbildningar, definitivt också i detta hus. Jag har till stor del fått svar på de frågor jag har haft, speciellt alldeles . Som vi alla vet har vi som uppgift att granska regeringen. Detta underlag blir en del av den fortsatta granskningen. Ni i er tur har fått i uppdrag av regeringen att granska händelsen. Jag vet inte om detta är en insinuant fråga – jag menar det i alla fall absolut inte på det sättet, utan det är en ärlig och uppriktig mening bakom den: Känner justitierådet att man i uppdraget, så som det var formulerat, har fått förutsättningar att ställa de frågor som behövdes för att kunna redogöra för hela processen? : Som vi har uppfattat uppdraget ingår det, när man gör en utredning, att tolka direktiven. Det är inte en helt mekanisk process. Som vi har tolkat direktiven är det ganska tydligt att vi inte ska granska regeringen, för det ska ni göra. Där har jag, av konstitutionella skäl, velat hålla en viss rågång. Vi kan granska Transportstyrelsen, och i den utsträckning som Transportstyrelsen gör saker mot regeringen ingår det i vårt uppdrag att granska det.