bet · H501KU20d3 · 2018-01-01 00:00:00 — Vår slutsats av det som vi har kunnat se är, som ni märker, att Transport- styrelsen har gjort väldigt lite mot regeringen. Vi lyfter fram att det har varit för lite. Detta är en sak. När det gäller granskningens villkor och genomförande i förhållande till har vi varit väldigt noga med att inte ha några kontakter. Detta ledde nästan till lite problem i början – vi fick nämligen inte några lokaler som låg tillräckligt långt ifrån , så det blev nästan lite fånigt ett tag. Men jag har inte upplevt att det fysiskt har varit något problem med att vi har varit en av regeringen utsedd utredning när det gäller oberoendet i granskningen eller att vi inte har kunnat ställa frågor som vi har velat ställa. Vi har ställt de frågor vi velat ställa, gjort de intervjuer vi velat göra och tittat på det material som vi har velat titta på för att göra den granskning som vi har uppfattat att vi har fått i uppgift att göra. Ordföranden: Då har alla partier ställt frågor i den första rundan. Vi går vidare med Socialdemokraterna. (S): Tack för föredragningen, för att ni svarar på frågor och för er viktiga rapport! I er rapport framgår att ni har tittat på vad har sagt med rekommendationer gällande outsourcing. För dem som kanske följer med i rapporten refereras det på s. 27 till de krav som myndigheter bör ställa när frågan om outsourcing av it-verksamhet prövas. Just ordet ”prövas” är viktigt i detta sammanhang, inte minst med tanke på det som framgår senare i rapporten. Jag undrar: Gjordes detta? Följdes rekommendationer av Transportstyrelsen när ledningen fattade beslut om denna outsourcing – alltså det som generaldirektör beslutade om 2013, när man valde bort att lösa detta internt, eller inhouse, som ni själva uttryckte det? : Det enkla svaret är nej, i alla fall i de delar som senare i denna text, på s. 27, talar om att det krävs att myndigheten vet vilka system som är samhällskritiska, vilka krav som gäller för informationssäkerhet, vilka sekretesskrav som ställs och så vidare. Det raka svaret på detta är: Nej. (S): Vi har varit inne på just denna fråga. Outsourcing kan ju ske, men frågan är av vad och hur, precis som ni har understrukit tidigare. och åren däromkring uttalade den dåvarande regeringen att det var önskvärt att en större del av myndigheternas it-behov tillfredsställdes med hjälp av outsourcing. Detta var ett återkommande budskap. I vilken utsträckning har ni uppfattat att Transportstyrelsens beslut om detta –om forcerad outsourcing – var ett resultat av en hållning från regeringens sida? Jag frågar med anledning av det som du sa om att det var effektivisering, gärna i form av outsourcing, som skulle genomföras när myndigheten tillblev. : Jag återkommer till att det som vi har kunnat se, dokumentera och få fram i intervjuer handlar om att det var ett projekt som myndigheten startade själv och som framför allt generaldirektören var drivande bakom. I vilken utsträckning han i sin tur var influerad av sådana saker har vi inte kunnat gå till botten med. Vi har dock fått intrycket att det inte var så att hade örat mot marken och försökte att göra regeringen till lags utan att han hade ett inre driv att ha en verksamhet som skulle vara billig och bra. Han var engagerad i frågor om effektivitet och höga ambitioner. På något ställe berättar han för oss att han skickade tillbaka pengar till departementet. Han använde inte hela sin budget. Han var stolt över det, men på departementet var de häpna: ”Detta har aldrig hänt. Vi har fått tillbaka 100 miljoner – vad ska vi göra med dem?” Han var stolt över att han kunde bedriva verksamheten med mindre pengar än vad staten hade avsatt. Vi har uppfattat det som att det var ett internt driv snarare än något annat, men vi kan inte svara på i vilken utsträckning sådana allmänna samhälls- diskussioner kan ha påverkat ledningen. (S): När dessa pengar sändes tillbaka och folk på departementet blev häpna, väcktes det då inga frågor om att myndigheten kanske inte skötte sina uppgifter tillräckligt väl? : Det vet vi ingenting om. Vi har inte granskat det. Detta var, som sagt, bara en uppgift i intervjun. Vi har inte följt dessa pengar. (S): Det kanske har visat sig här att myndigheten inte direkt har haft koll på vad har skrivit, eller i alla fall inte på vad har rekommenderat, och att man inte har följt detta. Jag vill återkomma till regeringens skrivelse 2010/11:138, som handlar om granskning av it inom statsförvaltningen och statliga it- projekt, där regeringen felaktigt – jag upprepar: felaktigt – beskriver det som att rekommenderar och säger att det är önskvärt med en större andel outsourcing. Detta är någonting som har tillbakavisat. Jag undrar om ni skulle vilja säga något om Transportstyrelsens bristande eller uteblivna prövning av outsourcing. Vad kan man säga om detta i relation till regeringens felaktiga beskrivning av bedömning? : Vi har – återigen – inte haft möjlighet att se någon sådan koppling i det material som vi har haft. Ordföranden: På olika ställen i rapporten omnämns vad man kan kalla stuprörsdiskussioner, stuprörsmentalitet eller stuprörstänk som ett problem i sammanhanget – var och en sköter sitt, så att säga. Kan justitierådet utveckla något mer hur ni ser på denna fråga i utredningen? : Det där med stuprör är inte alltid ett bra ord, men vi har sett att det fanns ett sådant tänk i Transportstyrelsen. Det har att göra med den bristande kommunikationen, vilket vi talade om . De som jobbar med it-frågor tänker sig att de som jobbar med säkerhetsfrågor sköter säkerhets- frågorna. De som jobbar med säkerhetsfrågorna säger: ”Vi är bara tre personer och kan inte göra allt säkerhetsarbete på den här jättemyndigheten, utan det måste verksamheten jobba med. Vi kan möjligen stödja dem med att till exempel samla in.” Detta har de inte lyckats att göra klart själva. I vissa delar av myndigheten har man gått i tron att någon annan gör det där medan ”vi gör det här”. Man har skött sitt, och antagligen gjort det bra, men man har inte tänkt på att man har andra uppgifter. Detta är en del av stuprörsmentaliteten: ”Vi gör det här. Vi har inte denna uppgift utan dessa uppgifter. Vi pratar inte så mycket med varandra, utan vi gör det som vi ska göra.” Detta är en sak i myndigheten som sådan. Vi har även sett liknande saker, att man sköter sitt, mellan myndigheterna. Det är lätt att vara efterklok, men om och Transportstyrelsen hade diskuterat frågan om it-driftens vara eller icke vara på högre nivå – och tidigare, kanske redan innan man drog igång upphandlingen fullt ut – hade man kanske inte hamnat i denna situation. : Vi har också sett ett resultat av bildandet av myndigheten i sig, med dess trafikslag. De avdelningschefer som har ansvarat för luftfart, väg och järnväg och så vidare har varit väldigt fokuserade på sina uppdrag. Jag tror inte att vi kallar det för stuprör här, men det har inneburit att de myndighetsövergripande, generella frågorna inte har fått så stort genomslag i myndigheten. Generaldirektören har lagt mycket krut på att ledningsgruppen ska vara samlad i frågor och stå bakom frågor. Man har också haft ansvaret att jobba med till exempel informationsklassning. Detta har inte fått tillräckligt genomslag i verksamheten. Även här kan vi se att själva myndigheten i sig, och konstruktionen med att ta in olika trafikslag, har inneburit att det har varit svårt att få genomslag i myndigheten för de mer generella frågorna. : Till detta kommer också att Transportstyrelsens delar kom från andra myndigheter, som och . Vi har kunnat se – vilket inte är så förvånande – att de gamla myndighetskulturerna finns kvar i väggarna: ”Så här brukar vi göra.” Den nya, sammansatta myndigheten har svårt att hitta en egen identitet. Vi ser att jobbar jättemycket med dessa frågor om omorganisation och strukturer, men vi vet också att sådant här sitter i väggarna . Detta påverkar också stuprörsmentaliteten inom myndigheten. Ordföranden: En sak som ni uppmärksammar i rapporten är att säkerhets- skyddschefen hade kontakt med gällande frågan om säkerhetskontroller av personer som finns utomlands, som är medborgare i andra länder och som arbetar utomlands. De hade en viss dialog. fick den rapport som ni menade borde ha väckt vissa frågor och viss oro hos regeringen. Finns det i er rapport några indikationer på kontakter mellan UD och ? Dessa frågor ger ju onekligen, om man lägger ihop dem, en än mer besvärande bild av säkerhetsproblemen. : Det kanske det gör, men man får vara på det klara med att den kontakt som säkerhetsskyddschefen hade med UD skedde på handläggarnivå och handlade om en faktafråga – hur ska man göra med det här? Det gällde den fråga som vi var inne på tidigare, nämligen hur man gör säkerhetsprövningar av utländsk personal. Han försökte få reda på hur det ska gå till samt få reda på statusen för en lista som kommissionen har på länder som man kan ha säkerhetsskyddsavtal med. Det har skett på handläggarnivå. En handläggare på en myndighet har hört av sig till en handläggare på UD för att fråga om kommissionens lista, vad det är för någonting och hur han ska hantera den. Han har fått vissa besked, som han – som vi har uppfattat det – antagligen missuppfattat eller missförstått. Som vi uppfattar det har han trott att denna lista gäller länder som det är helt okej att ha säkerhetsskyddsavtal med och som man kan köra på med. Det är dock inte alls en sådan lista, utan det är en lista över vilka länder som har ett avtal med som skulle kunna göra det möjligt att säkerhets- tjänsten i det landet hjälper svensk säkerhetstjänst att göra säkerhets- prövningen. Men då måste man göra en formell framställan om detta. Det finns en speciell procedur, som man inte har tagit reda på. Det handlar om information om fakta på handläggarnivå. Transport- styrelsens säkerhetsskyddschef har, som vi förstår det, missuppfattat vilken natur kommissionens lista är av. Ordföranden: I er rapport resonerar ni lite om ansvarsutkrävande och konstaterar att ni inte har uppgiften att formellt utkräva ansvar. Ni pekar dock ändå på personer och grupper av personer som har ett ansvar för att det har blivit som det har blivit. Den förra generaldirektören har fått en sträng påföljd i form av straff för sitt agerande. Men frågan är också hur man i myndigheten omhändertar det faktum att andra befattningshavare ju i praktiken har drivit detta – kom ju in väldigt sent här. Hon fick papper förelagda och föredragna och har naturligtvis ett eget ansvar, men andra har också varit delaktiga i detta. Hur upplever ni att myndigheten har agerat gentemot andra ledande företrädare som också har ett stort ansvar i detta? Hur ser ni på efterhanteringen av denna kris? : Det är en väldigt bra fråga, och vi har kanske inte någon fullständig bild. Till bilden hör dock att många av dem som ingick i ledningsgrupper som var verksamma här finns kvar på Transportstyrelsen i en eller annan funktion. Till bilden hör också att en del har slutat på Transport- styrelsen och gått vidare till andra tjänster. Under våra intervjuer har vi träffat en hel del personer som vi har upplevt faktiskt undrar vad de har för ansvar. De har trott att de har gjort ett bra jobb. På mellanchefsnivå har vi personer som är projektledare och annat och som säger: Vi höll tidsplanen. Det var jättetufft, men det gick. Men har vi kanske gjort något fel här. Vad var det? Det finns en oro bland en del av de människor som vi har träffat. De undrar över vad det var som var fel och varför det i så fall var fel. Det finns de som har ett ansvar. Vi tycker nog att det vilar ett ansvar på vissa projektledare och chefer på mellannivå som såg tidsplanen och genomförandet av projektet som så överordnat allt annat att de trots att det fanns tydliga signaler inte stannade och tänkte efter: Kan vi verkligen göra så här? Man körde i stället på. De tycker jag också måste ha ett ansvar. Men det finns också ett ansvar hos säkerhetsfunktionerna i myndigheten. De var svaga, även rent personellt – det var en liten grupp personer. Dessutom fick de inte gehör, och de valde kanske inte heller de bästa strategierna för att få gehör. Vi skriver om det i vår rapport, tror jag: De här avstegen togs fram av säkerhetsfunktionen på myndigheten som ett sätt att visa ledningsgrupperna i projektet och personer högre upp i myndigheten att man inte kan göra på det sättet. Det är ett rätt så paradoxalt sätt att närma sig frågan. Jag tar fram ett underlag om ett olagligt beslut för att du som chef ska förstå att du inte kan göra på det sättet. Men tänk om chefen tror: Jaha ja, i så fall så! Och så blev det ju. De berättar för oss att de var häpna över att cheferna kunde skriva på det här. De hade ju tagit fram det för att visa hur orimligt det var. Det finns alltså ansvar på alla nivåer, tycker vi oss kunna se. Ordföranden: Det är naturligtvis också en diskussion vi får föra med regeringen, för det är en del i styrningen av myndigheten också, kan man säga, hur en sådan här mycket allvarlig händelse följs upp. Det finns ju en risk om man låter allting bara gå vidare sedan och tänker: Oj, det här var en otrevlig incident – men jobbar vi på som förut! Alla som var med är kvar, och det anses inte ha hänt någonting särskilt. Jag vet inte om det finns några ytterligare iakttagelser och reflektioner som justitierådet kan göra utifrån detta. : Vi kan bara konstatera att det stämmer i den utsträckningen att det finns kvar personer som har ledande ställning i myndigheten och som hade ledande ställning även . Så är det. Vi har också indikationer gällande den här konsensuskulturen, som talade om . Den gör att det ibland har varit svårt att få igenom myndighetsövergripande frågor som kanske trampade någon eller några av avdelningscheferna på tårna. Den kulturen lär, som vi har förstått det, finnas kvar. Det är svårt att driva frågor mot ledningsgruppens olika chefers vilja. Man söker konsensus, och det kan vara svårt att komma vidare i vissa fall. Så är det alltid. Det finns säkert kvar sådana strukturella frågor i myndigheten. Ordföranden: Jag har ett par detaljfrågor. På ett par ställen refererar ni till de svar som Transportstyrelsen har lämnat till . På s. 119 och 167 nämner ni svar som KU har fått. Ni pekar då på att det finns olika uppgifter om de fakta som omnämns i svaren till KU. På s. 119 refererar ni till att Transportstyrelsen säger till KU att det genomfördes en säkerhetsskyddad upphandling. Ni säger också att olika företrädare för myndigheten har olika uppfattningar om huruvida det verkligen var en säkerhetsskyddad upphandling. På s. 167 är det fråga om när vissa saker skedde. Det fanns olika uppgifter om det. Är justitierådets uppfattning att har fått korrekta svar från Transportstyrelsen? : Frågan om huruvida det gjordes en säkerhetsskyddad upphandling är en av de saker som vi har kliat oss mest i huvudet för . Där råder det en ganska långtgående begreppsförvirring, som man nog själv kan bli del av lite grann. Det beror nämligen väldigt mycket på vad man menar med en sådan. Man kan ha en väldigt formell definition av vad det är. Då kanske man med lite god vilja kan påstå att Transportstyrelsen genomförde en säkerhetsskyddad upphandling. Men när man pratar med Säkerhetspolisen och ser igenom regelverket framgår det att det för att det ska vara en riktig säkerhetsskyddad upphandling krävs ett antal moment, bland annat det helt väsentliga momentet att man måste veta vilken skyddsvärd information man har. Annars kan man inte göra en säkerhetsskyddad upphandling. Eftersom Transportstyrelsen inte visste vilken information de hade kunde de rent faktiskt inte göra en sådan upphandling, även om i viss utsträckning vissa medarbetare trodde att de gjorde det, då de exempelvis hade ett säkerhetsskyddsavtal. Jag tror inte att någon försöker vilseleda vare sig oss – vi har också fått olika besked i den här frågan – eller . Men det finns en viss oklarhet om vad en säkerhetsskyddad upphandling egentligen innebär och vilka moment man måste ha gått igenom för att få kalla det för en sådan. Vad gäller det som står på s. 167 har vi helt enkelt inte kunnat få klarhet i när det var. : Vad gäller behörigheterna och den frågan är det inte så att vi menar att har fått fel uppgifter. Vi tror också att det var som de fick det här. Men det som vi reagerar över är att man antecknar att efterfrågar access medan man egentligen redan har access. Det är uppgifter i protokoll där som inte stämmer med vad man har sagt till och vad man även säger i sin egen rapport till regeringen från Transportstyrelsens sida. Men vi vet inte om det var personer Det finns andra uppgifter om att man planerade att ge access till . Men vi har inte kunnat fastställa om det faktiskt var så eller inte. De uppgifter vi har är att det är som man börjar släppa in de här personerna. Men det stämmer inte med andra, senare uppgifter om att man efterfrågar access, som man då egentligen redan har. Ordföranden: Jag har en kort ganska konkret fråga till. Sedan ska jag släppa ordet vidare. Vad gäller tidsramen kan vi väl säga att målsättningen för KU är att inleda sitt ordinarie sammanträde . Vi ska därför avrunda senast ungefär, så att vi hinner gå till sessionssalen. Men vi får se. Alla ska såklart få ställa sina frågor. Jag vill fråga så här: Apropå dialogen mellan Transportstyrelsen och , finns det någonting som ni har kunnat se som visar att intresserade sig för säkerhetsskyddsfrågorna i sina kontakter med Transportstyrelsen? : Nej, det har vi inte kunnat se. Det enda är att Transportstyrelsens representanter uppger till oss att man fick frågor om stordatormigreringen. Det var intresserade av, men inte it-driften. (V): Jag vill kolla av en sak. Jag uppfattar det som att ni tidigare sa att var informerad om och visste att det fanns skyddsvärd information, till skillnad från – lite så där. I alla fall visste han att det fanns. Jag ville bara kolla det, eftersom det är så att det i den här it-försörjningsstrategin inte lyfts fram någonting om säkerhets- frågorna. Det finns olika nivåer i organisationen som har olika delar, men här är det ändå en generaldirektör som faktiskt känner till att det här finns. Är det korrekt uppfattat? Har jag fattat det ni sa rätt? : Som jag kommer ihåg det uppgav till oss att han fick information av Säkerhetspolisen när han tillträdde, eller kanske något . Det var i varje fall i början av hans generaldirektörsperiod. Som jag förstod honom blev han förhållandevis detaljerat informerad om vad som var särskilt känsligt i Transportstyrelsens informationshantering. Skånberg (KD): Ordförande! Jag vill återgå till de tidigare ställda frågorna om ansvaret. ansvar är att göra en bedömning av hur och om regeringen har ett ansvar i den här frågan. Det har skett en rättslig process där generaldirektör har befunnits ansvarig. Men såvitt jag vet så här långt är detta enda gången som övriga ställs till ansvar offentligt i någon mening. Därför kunde det vara viktigt att inte gå för lätt fram i ansvarsutkrävandet gentemot andra än – eventuellt – regeringen samt . Jag citerar från s. 224 i kapitel 9.2.4: ”Alla de tre huvudsakliga brister vi identifierat leder tillbaka till myndighetens ledning. Den har det yttersta ansvaret och även om man delegerat uppgifter kan ledningen inte göra sig kvitt ansvaret för hur uppgifterna utförs. Bristerna vad gäller informations- och säkerhetshantering, tidplanen och kommunikationen vilar alla i hög grad på Detta gäller naturligtvis de tidigare generaldirektörerna . Vi menar också att det innebär att styrelsen, trots (eller kanske på grund av) sin ringa inblandning i upphandlingen har ett ansvar för hur myndigheten varit organiserad, prioriterat sina resurser och agerat i praktiken. Det finns också andra som bär ett ansvar.” På s. 20 i granskningsrapporten skriver justitierådet: ”Att ansvaret delas gör det inte mindre för var och en.” Här är ändå tillfället för justitierådet, tränad i juridik och ansvarsutkrävande på olika områden, att kommentera detta. Det kanske blir sista gången, vad vi vet just , som de här personerna ställs inför ansvar. Vi vet att man har utkrävt ansvar av , och den domen kritiseras naturligtvis inte. Det är vårt uppdrag att utkräva ansvar av regeringen. Men vad finns att säga som inte redan är sagt om de övriga? Vill justitierådet utveckla det? : Jag vill återigen betona att den här granskningen inte handlar om att utkräva något ansvar. Men ska man peka på någonting i de citat som Skånberg läste upp skulle jag ändå vilja lyfta fram att styrelsen enligt myndig- hetsförordningen har det yttersta ansvaret för myndighetens verksamhet och att det i ljuset av det är svårt att bortse från att styrelsen var så inaktiv, passiv –eller vad man nu vill använda för ord – i förhållande till de väldigt stora beslut som myndigheten fattar. Det är visserligen så att en myndighets styrelse och generaldirektör måste hitta arbetsformer för vad som är väsentliga, stora och principiella frågor och vad som är vardaglig och mer operativ verksamhet – vad ska ligga på vilken nivå? Men som ni har förstått både av vår granskning och av diskussionen i övrigt här vad gäller stordatormigrering och så vidare gällde de här upphandlingsfrågorna alla tre projekten. Det var väldigt stora saker som var av största betydelse för verksamheten på myndigheten. De borde enligt min mening ha varit uppe på styrelsens bord i formell mening. Det fanns informationspunkter, diskussionspunkter och så vidare, men styrelsen beslutade inte formellt om de här frågorna i något skede. Hade den gjort det skulle det kunna tänkas – detta är kanske lite av önsketänkande – att styrelsen hade varit mer aktiv i att ta reda på hur det gick med det här, eftersom man också hade en formell inblandning. Men så blev det inte, och det tycker jag var fel. Skånberg (KD): Ordförande! Det finns en särskild händelse som sticker ut. Det är när det framför en nytillsatt generaldirektör läggs ett papper med ett formulerat lagbrott. Sedan påstår de som lade papperet där att deras intention med detta papper var att avskräcka. Vill justitierådet utveckla om det är trovärdigt? Lägger man ett papper med ett förslag till lagbrott framför en nytillträdd generaldirektör för att det ska framstå som ett avskräckande exempel? Det är det man påstår i efterhand. : Det är en svår fråga att ställa sig om det är trovärdigt eller om det är en efterhandskonstruktion. Det har jag kanske ingen fast uppfattning om –eller också har jag det. Min uppfattning är nog att hur underligt det än kan låta tror jag faktiskt att det var så de tänkte. Åt vilket håll det talar vete sjutton. Men när det gäller de dokument vi talar om, vilket vi också skriver om och som viskade till mig här, är en särskilt underlig sak att dessa dokument, avstegsbesluten och förslagen, inte har någon föredragande och inte något diarienummer. De har på något sätt kommit till utanför den ordinarie loopen för hur man tar fram myndighetens handlingar och hur man fattar beslut. Någon sorts extraordinär händelse är det här även av detta skäl, och som vi har förstått det är det just för att de personer som tog fram detta inte ville stå offentligt för besluten. De ville bara visa att detta faktiskt inte går. Men jag håller med om att man måste ställa sig frågor om det är en efterhandskonstruktion eller om det faktiskt var det genuina syftet där och då. De vi har pratat med av de inblandade har gett intrycket – jag gör den bedömningen – att de gjorde detta för att de trodde att det skulle ha en annan effekt än det fick. Skånberg (KD): Ordförande! Dokumenten har en karaktär som gör att de påminner om och handlingar i den. De är inte undertecknade, de har ingen diarieföring och det finns ingen ansvarig. Men de har en förödande konsekvens som sedan har exploderat med säkerhetsåtergivningar för hela rikets säkerhet. Delar justitierådet uppfattningen att det avgörande och viktiga ändå är att en generaldirektör väljer att bryta mot lagen? Låt vara att hon är tubbad och lockad in i det; det är hennes personliga ansvar.