bet · H501KU20d3 · 2018-01-01 00:00:00 — Men det var ingenting som regeringen uppmärksammade. Är det så det ska vara? Hur ser det tidigare statsrådet på en sådan sak, som exempel? : Myndigheterna har ju, precis som frågeställaren är inne på, ansvaret att bedriva sin verksamhet i enlighet med de lagar och regler som finns, också när det gäller den här typen av säkerhetsfrågor. Regeringen har förstås en skyldighet att agera på den information som kommer till regeringens kännedom. Transportstyrelsen låg inte hos mig som minister. Jag fick förstås inte någon information om vare sig det ena eller det andra när det gällde Transportstyrelsen. Vad jag har förstått av utfrågningen så här långt och svaren från den tidigare generaldirektören och den tidigare ordföranden var det inte heller någon information som man förde vidare till regeringen. Därmed kunde inte heller regeringen agera på den informationen. (S): Jag vill återkomma till vad den tidigare generaldirektören har uppgett till justitierådet Bulls utredning. Det är också något som den tidigare ställföreträdande generaldirektören har talat om. De har återkommande talat om att effektivitet och effektivisering var väldigt viktigt i Transportstyrelsens verksamhet. Det var något som det tidigare statsrådet här också uttryckte angående syftet med outsourcing och varför man gjorde det man gjorde kring it-drift och arbetet som beskrevs här tidigare. Den tidigare generaldirektören har i intervjun till uppgett att han återkommande fick frågan från ansvarigt departement och statssekreterare : Har ni kommit någonvart i effektiviserings- arbetet? Det här var någonting som ständigt påtalades i myndighetsdialog och annat. Det framgår rätt tydligt i vårt underlag att frågor om informations- säkerhet och säkerhet kring it-drift inte kom upp. Jag vill ändå ställa frågan: Fanns det här på något sätt med i den tidigare regeringens kontakter med myndigheter i arbetet kring outsourcing och effektivisering, eller var det framför allt effektiviseringen som var det övergripande målet? : Regeringens styrning av myndigheterna när det gäller e- förvaltningsarbetet sker i e-förvaltningsstrategin. Den som jag ansvarade för och som alliansregeringen fattade beslut om 2010–2014 presenterades 2012. I den framgår mycket tydligt att myndigheterna ska ställa säkerhetskrav ifall de använder externa leverantörer och att informationssäkerhetsfrågorna ska tas på allvar. Vad gäller effektiviseringsfrågorna ingår det i e-förvaltningsstrategin som togs 2012 en tydlig ambition om att se till att effektivisera myndigheternas arbete. Men det som pekades på i e-förvaltningsstrategin som det huvudsakliga sättet att åstadkomma det var inte outsourcing, utan samverkan mellan myndigheterna, att myndigheterna kunde jobba med förvaltningsgemen- samma projekt, bygga infrastruktur gemensamt, bygga tjänster gemensamt och se till att använda de tjänster som då utvecklades inom statens service- tjänster, till exempel när det gäller ekonomiadministration, löneadministration och e-handel. Det var detta som vi pekade på i e-förvaltningsstrategin som sättet att faktiskt effektivisera myndigheternas arbete och dessutom göra it-tjänsterna mer medborgartillvända och enklare för företagen att använda. (S): Vad är din kommentar till att Transportstyrelsen inte verkar ha tagit intryck av dessa strategier och delegationens arbete som du beskriver här? De verkar inte ha följt det som föreskrevs i det ni tyckte var viktigt. Finns det något att säga om att styrningen kunde ha varit tydligare för att myndigheterna skulle förstå detta? : Som jag har varit inne på i flera svar finns det väldigt tydliga skyldigheter för myndigheterna som följer av lag. Det finns väldigt tydliga vägledningar – fanns redan då och finns ännu tydligare nu – för hur man ska gå till väga för att skydda skyddsvärd information i myndigheterna och vad man behöver tänka på innan man ens överväger att ta in en extern leverantör när det gäller it-frågorna. Om det finns myndigheter som inte följer lagstiftningen eller som inte tar del av de vägledningar och rekommendationer som andra myndigheter har till ansvar att ta fram som stöd för myndigheterna är det såklart anmärkningsvärt. Men det är ett ansvar och frågor som måste ställas till de personer som har burit ansvaret för det i den aktuella myndigheten. (S): Jag vill ställa en fråga om , alltså den vi var inne på tidigare om granskning av it inom statsförvaltningen och statliga it-projekt. Här uppger den tidigare regeringen att anser att det är önskvärt att en större del av myndigheternas it-behov tillfredsställs med hjälp av outsourcing. Men har själv klargjort att detta var felaktigt sagt av den förra regeringen. Med egna ord: ”I rapporten finns en sådan bedömning inte med. gjorde bedömningen att myndigheterna bör pröva om outsourcing kan vara ett lämpligt sätt att effektivisera IT-verksamheten.” Varför uttalade sig den tidigare regeringen på detta vilseledande sätt? Vad var bakgrunden till det? : , som frågeställaren hänvisar till, är en omfattande rapport som man kan läsa. Jag läste den då, och jag har läst den igen. I denna rapport skriver väldigt tydligt på s. 9: ”Forskning, teori och praktik säger att korrekt utförd outsourcing kan vara ett effektivt sätt att både öka kvaliteten och sänka kostnaderna … Detta gäller i högsta grad IT- verksamhet”. Och på s. 56 står det att det är ”anmärkningsvärt att inte fler myndigheter genomfört en prövning och därmed satt den egna IT- verksamheten under lupp”. Detta resonemang avslutas på s. 56 med: ”Det finns … uppenbara fördelar med outsourcing av vissa verksamheter, och förutsatt att förutsättningarna är de rätta borde fler myndigheter kunna nyttja fördelarna med outsourcing.” Nog tycker jag att det framgår ganska tydligt i att man pekar på att fler myndigheter borde pröva denna möjlighet och nyttja den. Den bedömning regeringen landade på i den aktuella skrivelsen – och skrivelsen är, bara för ordningens skull, regeringens avrapportering till om hur man avser att gå vidare med de rekommendationer som har lämnat – var att regeringen avsåg att bereda frågan om myndigheternas outsourcing vidare, vilket vi gjorde genom E-delegationen och senare också genom den nya e-förvaltningsstrategin. (S): Ordförande! Det är ingen tvekan om att i sin rapport tycker att det är önskvärt att det ska prövas. Men det är inte samma sak som att det är önskvärt att det ska outsourcas. Det finns en skillnad där som själv påpekar att regeringen gjorde en vilseledande bedömning kring. Låt mig citera vad Shririn , en av främsta experter på revision, säger i medierna: ”Jag tycker man mycket väl kan stå för en preferens, en värdering man har: i det här fallet att outsourcing skulle vara bra. Men att försöka klä det i någon form av rationell dräkt genom att åberopa stöd i en källa som faktiskt inte ger stöd, det är inte bra. Det är vilseledande.” Vad är din kommentar till att ni gjorde detta och att denna rapport och skrivelse sedan låg till grund för det arbete som du själv beskrev bland annat E-delegationen? : Jag ska inte läsa upp de meningarna igen, utan jag har redan hänvisat till skrivningarna på s. 9 och s. 56 i den aktuella rapporten från . Det var här regeringen hämtade sitt stöd för det vi skrev i själva brödtexten i . Det som blev regeringens bedömning, och som framgår av skrivelsen till , var att vi avsåg att bereda dessa frågor vidare. Det gjorde vi också, och det gjorde E-delegationen på vårt uppdrag, på det sätt att man tog fram vägledningar till stöd för myndigheterna vad gällde it-frågorna, och MSB tog fram vägledningen vad gällde säkerhetsfrågor vid upphandling av it-verk- samhet och e-förvaltningsstrategin därefter. (V): Jag lyckades hitta den där meningen i svaret på Riks- revisionens rapport där informationssäkerheten nämns. Men jag har svårt att se att man fokuserar på säkerhetsfrågorna, som ministern uttryckte det, ungefär som att det var en viktig del. Det står många meningar om hur effektivt det ska vara och hur kostsamt det är med it, och så står det: ”Regeringen konstaterar vidare att det är viktigt att frågor kring informationssäkerhet tas på allvar.” Jag antar att det är den meningen ministern avser. Ministern hade inte ansvar för säkerhetsfrågorna, men svaret på rapporten har ministern varit föredragande i. Som jag förstår var du ansvarig för att effektivisera it-hanteringen. : Jag får be frågeställaren att förtydliga sin fråga. Jag vet inte vilken it-hantering som du menar att jag skulle ha varit ansvarig för att effektivisera. (V): I svaret till lyfts det fram att det är viktigt att myndigheterna har en effektiv it-hantering, att kostnaderna ska ses över och att kostnaderna är en stor del. Det lyfts också fram att man ska samordna it-frågorna mellan myndigheter. Det uppfattar jag som att det finns en ambition om att effektivisera it-hanteringen mellan myndigheter generellt. Är det korrekt uppfattat och i så fall något som ministern ansvarade för? : Varje myndighet i ansvarar för att bedriva sin verksamhet enligt lagar och förordningar på ett så effektivt och bra sätt som möjligt för att nå del mål som finns för myndigheten och det uppdrag man har. Det är inget ansvar som jag eller någon annan minister hade eller har, utan det ligger inom myndighetens ansvar. Det en regering kan göra i e-förvaltningsarbetet är att ta initiativ till myndighetsövergripande projekt som annars inte hade kunnat komma till stånd. Det är det som är innehållet i e-förvaltningsstrategin. Här finns ett antal myndighetsövergripande projekt som sjösattes under alliansregeringen och som syftade till att underlätta för myndigheterna att samverka inom stats- förvaltningen och därmed både kunna utveckla bättre tjänster och effektivisera sin hantering av utveckling och drift av dessa tjänster. Men ansvaret för att bedriva sin verksamhet effektivt ligger på myndig- heterna. (V): Poängen med att ta initiativ till myndighets- övergripande projekt för att samordna och ge information om it-frågor är väl ändå att it-frågorna ska funka bra i myndigheterna. Det finns väl ändå en koppling mellan samordningen och e-delegationen och vad myndigheterna ska göra. : Självklart finns det en koppling. Men den förra frågan handlade om ansvar, och ansvar och koppling är för mig två helt olika saker. Ansvar för att bedriva sin verksamhet effektivt åligger myndigheterna. Regeringens möjlighet när det gäller denna typ av frågor är att ta initiativ till olika typer av projekt som spänner över flera myndigheter och som annars inte skulle komma till stånd. Det gjordes i e-förvaltningsstrategin på en lång rad områden inom nio olika delmål. Det gjordes också i E-delegationen där de 16 it-tyngsta myndigheterna fanns. (V): Att myndigheterna har god kännedom om dessa frågor och utvecklingen på it-sidan, som man kan tänka sig att E-delegationen ändå jobbar med att samordna och göra projekt på övergripande nivå… Det jag inte riktigt förstår är varför ministern jobbar med detta om det sedan inte finns något ansvar alls på regeringsnivå för att myndigheterna fattar och gör rätt saker utifrån den beskrivning och information som finns. Jag förstår inte poängen. Vad är egentligen ministerns ansvar? : Huvudregeln i den svenska förvaltningsmodellen, och den följer ju av myndighetsförordningen, är att myndigheterna har självständigt ansvar för helheten i sitt uppdrag gentemot regeringen. Det gällde för de myndigheter jag ansvarade för, och det gäller för alla myndigheter också. Som it-minister –2014 fick jag ansvar för att samordna och driva på utvecklingen inom regeringen och i vad gällde it- och digitalise- ringsfrågorna. När det gällde e-förvaltningsarbetet gjorde vi det genom att ta initiativ till ett antal projekt som blev myndighetsövergripande och genom att ge stöd till myndigheterna i denna typ av frågor, bland annat genom arbetet inom E-delegationen. (V): Okej, att samordna och driva på it-förvaltningen i myndigheterna var ministerns ansvar, förstod jag det som. Det var i alla fall det du sa . Men då borde det väl också ingå att på något sätt få myndigheter- na att förstå vad de ska göra när de ska driva på it-förvaltning och it-utveckling, eller? : Jag ber om ursäkt, men det var inte riktigt det jag sa. Jag sa att mitt uppdrag var att samordna och driva på it- och digitaliseringsarbetet inom regeringen. Därtill ansvarade jag för e-förvaltningsfrågorna och att ta de initiativ som behövdes för att få igång förvaltningsgemensamma projekt som annars inte hade kommit till stånd. Det gjordes i e-förvaltningsstrategin, som presenterades 2012. Vi stöttade också myndigheterna genom arbetet i E- delegationen. Därutöver hade Myndigheten för samhällsskydd och beredskap det löpande ansvaret för att lämna de föreskrifter, råd och rekommendationer till myndigheterna som de behövde få för att kunna ta informationssäkerhets- ansvaret, till exempel när det gällde upphandlingar av outsourcing och it-drift. (M): När tidigare generaldirektören var här sa han att han aldrig fick någon signal från departementet om att det var önskvärt med outsourcing, utan han sa tvärtom att det var han och it- avdelningen som fattade beslut utifrån funderingar om kostnad och kvalitet med möjlighet att få en bra verksamhet. Har någon kommentar till detta? : Transportstyrelsen var ju inte mitt ansvar. Men jag har också följt utfrågningarna i och noterat att såväl som tidigare ordföranden varit tydliga med att de inte efterfrågade några styrsignaler från regeringen i denna fråga. Han sa också att han aldrig fick några signaler från departementet om att outsourcing var önskvärt utan att detta helt och hållet var något som drevs av hans egen ambition och den egna it-enhetens ambition. (SD): Jag ska försöka mig på en fråga till som det nu inbjudna före detta statsrådet kanske kan svara på. Man får tycka vad man vill om outsourcing, men det stora problemet med hela detta haveri är att informationen har röjts för utländska intressenter. Ett svar vi har fått ganska ofta under den här utfrågningen är: Vi har inte fått någon information, vi har inte fått några indikationer, från myndigheterna att det har varit några problem, och därför har vi inte kunnat agera. Hade vi fått det så hade vi agerat. Precis som nämndes här var förre generaldirektören i kontakt med en tjänsteman på 2010 angående ett projekt om systemutveckling som man funderade på att lägga ut på utlandet. Han fick då till råd att: Om det skulle bli aktuellt, så gå inte vidare med det med mindre än att ni återkopplar och hör av er till först och får ytterligare vägledning. Det indikerar att man har hört av sig en del från myndigheten och försökt efterfråga lite stöd. Det indikerar också att det har funnits en vetskap inom att det är känsligt med att lägga ut den här typen av tjänster och verksamhet hos utländska intressen. Skulle före detta statsrådet kunna redogöra för: Hur gick resonemanget? Hur jobbade man med de här frågorna inom –2014? De slutsatser och rekommendationer som man utarbetade med anledning av detta, hur spreds det sedan till myndigheterna? Var man tvungen att ringa och höra med en tjänsteman på , eller jobbade man mer strukturerat med det? : Tack för frågan. Tyvärr är det så att informationssäkerhets- frågorna inte var en del av mitt ansvar som it-minister. Jag kan därför inte i detalj redogöra för hur det arbetet bedrevs under den tidigare regeringen. (MP): Jag skulle vilja ställa nästan samma fråga som gjorde alldeles . Jag ber om ursäkt för tjatigheten, men ändå. En av de saker som vi undrar över i vår granskning är huruvida regeringen drev på för alltför snabb outsourcing. Vi har tidigare när vi har granskat regeringar funderat över olika former av performativa uttalanden där man i olika tal och liknande styr myndigheter. Det är en sak. Jag kan inte annat än att slås av hur snarlikt det jag hör beskriva nu här och det jag har läst i skrivelsen och liknande är just det som tidigare generaldirektören talade om när det gällde vikten av att effektivisera, att dra nytta av digitaliseringen, att det var väldigt höga kostnader och att det behövdes bättre samordning. Om jag ska omformulera den fråga som var ställd: Kan det vara så att alla dessa starka signaler för vikten av allt det positiva som man skulle kunna uppnå med en outsourcing gjorde att de delarna blev väldigt mycket tydligare och att det gick ut över säkerhet och bristerna som finns ute på myndigheterna när det gäller beställarkompetens och sådant? Kan det vara så att man drev på myndigheter att göra detta innan man hade säkerställt de andra viktiga basala delarna? : När det gäller vilken styrning som den tidigare regeringen gav för e-förvaltningsarbetet och de frågorna får man gå till e-förvaltnings- strategin. Det var därför jag ville nämna den i min inledning. Ingenstans i den e-förvaltningsstrategin står det att regeringen rekommen- derar myndigheterna att gå vidare med outsourcing. Däremot står att man bör jobba effektivare med att se till att ha en samverkande statsförvaltning och att utveckla gemensamma tjänster där så är möjligt och lämpligt. När jag lyssnat på tidigare utfrågningar i den här granskningen har jag också noterat att väldigt tydligt har sagt att Transportstyrelsen aldrig fick någon signal från departementet om att det var önskvärt med outsourcing och att det är tveksamt om de ens tog del av den rapport som kom från , utan att detta var någonting som helt och hållet drevs av myndighetens egen inre önskan att bedriva sin verksamhet på ett annat sätt eller ett effektivare sätt. (MP): Det är inte ens troligt att om det hade stått lika mycket om säkerhetsarbete och lika lite om outsourcing i alla de dokumenten hade det förmodligen inte gjort någon skillnad. Är det så jag ska tolka före detta statsrådet? : Läser man e-förvaltningsstrategin kan man väldigt tydligt konstatera att ett av de nio delmålen handlar om informationssäkerhet och vikten av att de offentliga myndigheterna förstärker sitt arbete med informationssäkerhet och statsförvaltningen. Det har en väldigt framskjuten plats i e-förvaltningsarbetet medan frågan om outsourcing inte finns med där. (L): Tack så mycket igen. Jag är inne lite i samma ärende och harvar. Man kan styra myndigheter på många olika sätt. Ett sätt är, precis som säger, genom sitt språkbruk. Effektivisering är ett ord som vihar belyst på flera olika håll. Det skulle vara intressant att höra vad före detta statsrådet lägger i begreppet effektivisering. : Jag lägger i det begreppet möjligheten att hushålla med skattebetalarnas pengar och att se till att bedriva sin verksamhet och utföra sina uppdrag på ett sätt som är både kostnadseffektivt men också leder till att man når sina mål på ett bra sätt. Det kan man göra på väldigt många olika sätt när det gäller it-utveckling och it-drift. Ett väldigt bra sätt som var underutnyttjat innan vi tog fram den nya e-förvaltningsstrategin 2012 var att myndigheterna jobbade för mycket i sina egna stuprör och för lite tillsammans. Man samverkade för lite och tog inte möjligheterna att utveckla gemensamma infrastrukturer och gemensamma användarvänliga tjänster. Det var det som vi valde att fokusera på när det gäller myndigheternas möjligheter att både utveckla mer användarvänliga tjänster och dessutom ha en effektivare hantering av sin it-utveckling och it-drift, vilket i slutändan sannolikt kunde frigöra resurser till någonting annat eller minska konstanterna i den delen. (L): Då kan jag förstå det på lite enklare språkbruk. Effektivi- sering är alltså att tillhandahålla en god tjänst utan att tumma på kvaliteten men också att hushålla med skattebetalarnas medel. : Det stämmer bra. Det var en ambition som jag hade som it- minister och som hela alliansregeringen hade på det här området och på många andra politikområden. (S): För att följa upp svaret på fråga: Utifrån den definitionen av effektivisering, anser du att Transportstyrelsen var framgångs- rik i sin effektivisering? : Transportstyrelsen löd inte under mig. Jag har ingen detaljerad information om hur Transportstyrelsen bedrev sin verksamhet och huruvida man gjorde det på ett effektivt sätt eller inte. Vill utskottet få information om det måste ni ställa de frågorna till de delar av regeringen som då var ansvariga för Transportstyrelsen. (S): En av orsakerna till att vi genomför allt det här arbetet är också för att kunna lära framåt och för att statsförvaltningen ska kunna bli mer effektiv, ändamålsenlig och säker. Utifrån det som har sagts om strategin och det åttonde målet om informationssäkerhet undrar jag: Skulle man kunna säga att den här strategin kanske borde varit ännu tydligare för att myndigheterna verkligen skulle förstå att det också är viktigt? Finns det någonting vi kan lära av det? : Det är klart att lärande är klokt. Det ingår i all mänsklig verksamhet. Det är klokt att göra det. Tittar man på den lagstiftning som gällde då och som gäller , den e- förvaltningsstrategi som vi hade och de vägledningar som både E-delegationen och MSB tog fram rådde det inget tvivel om att varje myndighet hade till ansvar att göra den här typen av säkerhetsbedömningar innan man ens övervägde att gå in i ett upphandlingsförfarande. Det var väldigt tydligt. Det är väl den slutsats man kan dra att det är fortsatt viktigt att det är väldigt tydligt att myndigheterna måste göra den här typen av bedömningar innan man går in i en eventuell upphandling av it-utveckling och it-drift. (S): Jag skulle avslutningsvis vilja ställa en fråga om Riks- revisionens rapport och hur man använder sig av revisionsrapporter. Den nuvarande regeringen gav i sitt första regleringsbrev ett uppdrag till flera myndigheter, har det framkommit här, som berörde krisberedskap. Då gav man ett uppdrag just om informationssäkerhet, inklusive till Transport- styrelsen men inte enbart. Av vad vi förstår av det som framkommit i utfrågningar var detta ett resultat av just en rapport från . Hur använde sig den tidigare regeringen av de rapporter, information och kunskap som kom från kring de här frågorna om informations- säkerhet? Det framstår som att den riksrevisionsrapport vi varit inne på tidigare inte riktigt har använts på det sättet utan i stället feltolkats i bästa fall och i sämsta fall helt enkelt bara använts för att ge vilseledande information. Finns det någonting man kan säga om det? : Vi använder rekommendationerna från i den här delen och i många andra delar på det sätt som en regering bör göra, nämligen som ett underlag för fortsatt arbete. Vi ger vår bedömning. Som enhälligt ställde sig bakom sa vi att vi skulle arbeta vidare med rekommendationerna och bereda frågan om myndigheternas outsourcing inom regeringen. Det gjorde vi genom uppdraget till E-delegationen som tog fram sin förstudie som sedan ledde till en vägledning om informationssäkerhet i myndigheterna. Det gjordes också genom att regeringen hade ålagt MSB att ha föreskriftsansvar. Man tog fram den vägledning och handbok som finns som handlar om informationssäkerhet vid upphandling av den här typen av tjänster. I allt detta och i regeringens arbete med att ta fram e-förvaltningsstrategin var den här rapporten från och andra rapporter från viktig input. (SD): Skam den som ger sig. Jag gör ett sista försök här. Vi har kunnat konstatera att före detta statsrådet inte hade ansvar för Transportstyrelsen, inte hade ansvar för informationssäkerheten, men du hade ansvar för it-infrastrukturen. Vi har ganska många informationstunga myndigheter som hanterar ganska mycket känslig information. Fördes det under förra regeringens tid något resonemang kring att eventuellt inrätta en svensk på motsvarande sätt som till exempel Statens servicecenter hjälper till med andra administrativa saker och så? Fanns det en diskussion om att kunna tillhandahålla och kunna erbjuda en svensk statlig leverantör av it-drift? : Inte som jag känner till. Ordföranden: Då tror jag att vi ber att tacka förra statsrådet för att hon kom till oss och svarade på våra frågor. Vi sätter stort värde på det.