bet · H501KU20d3 · 2018-01-01 00:00:00 — Jag bad vid möten med tjänstemännen om återkoppling i den här frågan under hand bara för att veta om det här över huvud taget var aktuellt. Svaret jag fick var att det i sig inte var omöjligt att tänka sig, men att vi måste återkomma om det blev aktuellt. För mig är det uppenbart att it-drift är ännu känsligare än systemutveckling. Systemutveckling är också något känsligt, men it-drift är ännu känsligare. Man lämnar förstås ut känslig information. Om jag hade blivit informerad om att de här anbuden innehöll outsourcing till annat land hade jag med absolut säkerhet tagit upp detta med departementet, eftersom deras budskap till mig var att vi skulle återkomma. Både migrering och driftsupphandling behandlades ju sedan vid upprepade möten med tjänstemän och politisk ledning under de år som gick. Vi pratade inte säkerhet i samband med driftsupphandlingen. Det är bara att konstatera. Vi uppfattade inte att vi hade ett problem. Så enkelt är det. Vi efterfrågade inte några styrsignaler, några beslut från regeringen, och vi fick heller inte några sådana. Vårt fokus var väldigt mycket att förklara att man inte kunde göra någonting under det här sista halvåret av migreringsarbetet, att det var helt nödvändigt att inte … att acceptera det. Kontentan av detta är alltså: Borde någonting ha gjorts annorlunda då jag jobbade på myndigheten är ansvaret mitt – inte de regeringars som satt vid . Det var ju några stycken. några ord om det här avsteget från interna riktlinjer som gjordes av 2014, när jag var på semester och var i tjänst som generaldirektör. Det här med att göra avsteg från interna riktlinjer är ingenting märkligt i sig. Jag utfärdade interna riktlinjer för att få styr på ett antal vildvuxna delar av verksamheten där man hade betett sig på ett sätt som jag inte tyckte var rimligt. Tanken var att om man ville göra på något annat sätt än det som var det normala skulle man vara tvungen att gå till gd och förklara. Och ibland var det lämpligt att göra på ett annat sätt. Jag fattade ett antal sådana avstegsbeslut. Det var själva tanken. De handlade aldrig om it-säkerhet, ska jag väl säga. De kunde handla om representationsregler i vissa fall. Vi hade mycket utländska möten. Det kunde handla om hur länge konsulter fick vara kvar på löpande räkning och sådana saker. Det kunde handla om lite olika saker. Det här aktuella fallet handlade, som jag förstår det, om att de som skulle lämna anbud på att automatiskt översätta koden i systemen måste få se ett exempel på koden för att kunna lämna anbud. Annars hade det varit omöjligt att lämna anbud. Det innebar inte att lämna över känsliga data. Och min bild är att det faktiskt var helt nödvändigt att fatta det här avstegsbeslutet. Hade jag varit där hade jag med stor säkerhet fattat det beslutet på samma sätt. Ordföranden: också säga några ord, eller var det här en gemensam inledning? : Det får nog ses som en gemensam inledning. Då övergår vi till frågorna, och börjar med Social- demokraterna. (S): Ordförande! Tack för föredragningen! Precis som sas var ju du, , utredare på regeringens uppdrag om Transport- styrelsens tillblivelse och första generaldirektör. I intervjuerna i justitierådet Bulls utredning har ni båda återkommande talat om betydelsen av effektivisering, vad gäller både bildandet av myndigheten och sedan i verksamheten. har angett att det fanns en förväntan från regeringen – och det här var alltså den förra regeringen – att arbetet skulle leda till effektivise- ring. Du har beskrivit – vi har det i uppteckningarna på s. 79 – hur ansvarigt departement och statssekreterare återkommande ställer frågan: ”Har ni kommit någonvart i effektiviseringsarbetet?” Av materialet framgår detta tydligt som den viktigaste frågan som togs upp av regeringen i dialogen med dig som generaldirektör. Men jag vill ändå ställa frågan: Lyfte regeringen då över huvud taget betydelsen av säkerhetstänk, skyddsvärd information och, ja, rikets säkerhet i dessa samtal med dig som generaldirektör? : Det är riktigt att frågan om effektivisering var viktig från början. För det första är det nästan självklart att när man bildar en ny myndig- het på det här sättet tänker man sig att verksamheten ska bli mer effektiv. Dessutom är det så att det kostar ganska mycket pengar att göra förändringar, men det får man inte extra pengar till. Så ekonomin blir ju ganska tuff . Det är också riktigt att var drivande i de här frågorna. Han hade en förväntan och ställde de här frågorna. Det är helt riktigt. Men tror jag att det är riktigt att säga att jag kanske var ännu mer drivande än i fråga om att skattebetalares pengar ska användas effektivt. En del av det jag såg på myndigheten, av de delar vi hade lagt ihop, gjorde mig lite förskräckt. Det fanns en del av verksamheten, flygverksam- heten Luftfartsstyrelsen, som i praktiken hade egen beskattningsrätt. Man finanseriade verksamheten med avgifter från branschen. Man satte avgifterna själv. Man behöll intäkterna. Det var ingen annan press än att branschen möjligen blev irriterad. Om man tror att det leder till effektivitet så tror man faktiskt fel. Och det här var bara ett exempel. Vi hade konsulter … Merparten av all it-utveckling gjordes av konsulter på löpande räkning, och de stannade väldigt . Det värsta fallet var väl . Det var i vart fall. Den personen byggde upp ett litet fastighetsimperium i med dessa pengar. Han tjänade ju dubbelt mot de fast anställda personerna. Det här var ju inte hans fel, utan det var myndigheten som gjorde på det sättet. Det här härstammade från den tid då hade ett tak för hur mycket bemanning man fick ha i Örebroverksamheten. Då tog man in konsulter i stället. Det är för mig – förlåt uttrycket – hål i huvudet. Det är ett fruktansvärt slöseri med skattepengar. Så jag tyckte att det här var viktigt. Vi skulle värna kvaliteten. Vi skulle ha en bättre verksamhet än det hade varit, men det fanns väldigt goda möjligheter att effektivisera. Engagemanget i frågan gör möjligen att du förstår att det faktiskt var på det sättet. (S): Tack så mycket för svaret! Jag vill ändå be dig svara på frågan om säkerhetsfrågor över huvud taget togs upp av den förra regeringen i de här samtalen. : Förlåt, jag blev så engagerad i den här frågan att jag helt förträngde det. Jo … Nej, det gjorde man inte. Vi pratade inte på den nivån. Diskussionerna med departementet handlade inte om vad vi skulle göra för att effektivisera. Den sortens detaljstyrning var aldrig aktuell, utan det var … Departementet gjorde tydligt: Ni kan inte räkna med mer pengar när ni får nya uppgifter. Ni måste finansiera detta med förändringar. Och är det så att ni har några … Om det här effektiviseringsarbetet skulle leda fram till några frågor som var politiskt känsliga skulle man få ta upp dem. Men sådana frågor diskuterade vi inte. Det fanns så goda möjligheter att effektivisera saker som var självklara och som var myndighetens eget ansvar. (S): Då tolkar jag det som att effektiviseringsarbetet togs upp i samtalen men inte var säkerhetsrelatera. : Det är riktigt. (S): Till justitierådet har du angett att det aldrig var aktuellt att it-driften skulle skötas i egen regi. Och du har bland annat angett orsaken ”eftersom det fanns en kommersiell marknad”. Det finns på s. 83 i våra upp- teckningar. Det var alltså aldrig aktuellt med något annat än outsourcing. Det skiljer sig lite från det du sa här i inledningen. Skulle du vilja reda ut det? : Vi funderade igenom, när vi gjorde den här it-strategin, hur vi över huvud taget ska bedriva it-verksamhet. Vad ska vi göra själva? vihandla upp på marknaden, och hur ska det här gå till? Vi prövade ju så att säga frågan vad som är lämpligt att göra i egen regi. Vi funderade på frågan om vad det skulle innebära att göra det själva, men det var aldrig ett riktigt konkret … Det var inte ett hett alternativ, om man säger så. Utan det var så uppenbart att vi inte kunde göra … För oss, då, kändes det uppenbart i vart fall att vi inte kunde göra det på ett ekonomiskt och kvalitetsmässigt bra sätt. (S): Du har själv nämnt , och deras rapport , IT inom statsförvaltningen, som är relevant, har kommit upp i den här granskningen. Den tar upp vilka krav som bör ställas när frågan om outsourcing prövas. Och i regeringens skrivelse om uppger regeringen att det är önskvärt att en större del av myndigheternas it- behov tillfredsställs just med hjälp av outsourcing. Jag vill inleda … eller ställa frågan om du tog del av den här rapporten när ni beslutade om outsourcing, inför att ni fattade det här beslutet. : Det törs jag faktiskt inte svara på i efterhand. Jag satt ju om med i It-delegationen när den bildades, och där fördes det mycket diskussioner om den här typen av frågor. Det var mycket diskussioner om hur man utför it-verksamhet bäst och i vilken form. Om jag läste den rapporten, såg den rapporten eller fick den dragen eller inte törs jag inte säga . (S): Påverkades du – kan du säga någonting om det – av att regeringen uppgav att det var önskvärt att en större del av it-driften skulle outsourcas, även om det här var en felaktig bild av , eftersom inte förordar det där. Det var regeringens sätt att beskriva den här skrivelsen. Påverkade det på något sätt ert beslut? : Nej, det gjorde det faktiskt inte. Jag fick aldrig någon signal från departementet att det var önskvärt med outsourcing. Det är nog som jag sa i inledningsanförandet, att det var vi själva – jag och it-avdelningen – som fattade det beslutet utifrån funderingar kring kostnad och kvalitet med möjligheter att få en bra verksamhet. Ordföranden: Jag har ett par frågor på … Det är bara en kontrollfråga. Det här med outsourcing av programutveckling, som var det du tog upp med departementet 2010: Blev det någonsin något av med det? : Nej, det blev det inte. Det hade det kanske kunnat bli , om inte det hade hänt som har hänt. Det är antagligen en icke-fråga. Men det fanns andra myndigheter, i min minnesbild, som hade … lät ut- veckla program i utlandet. Det var ju en intressant tanke, med fördelar och nackdelar förutom säkerhetsfrågorna och många andra aspekter. Men nej, det blev inget konkret av med detta. Ordföranden: ni – du eller myndigheten – kom aldrig tillbaka till regeringen vad gäller frågan om it-outsourcing i det sammanhanget, utan …? När kom de frågorna tillbaka i diskussionerna om it-outsourcing? : Frågan om outsourcing av drift – och då i min tankevärld till svensk verksamhet – var uppe . Det var uppe att det var ett av de alternativ vi övervägde. Det framgår rätt väl av Bulls utredning också att det här var uppe på både kvartalsmöten, tertialmöten och annat. Ordföranden: har i sin … i olika sammanhang, där hon har uttalat sig, uppgett att ni hade ett kort överlämnande när hon tillträdde som general- direktör och att du då aviserade att de här besluten om upp… att slutförandet av upphandlingen av både migreringen och it-driften låg . Sedan har hon också uppgett att hon ställde kontrollfrågor till ansvariga personer om upphandlingen var korrekt genomförd och att hon fick bekräftelse på det. Delar du den här beskrivningen som hon ger uttryck för om överlämnandet och om att upphandlingen i och för sig var korrekt genomförd? Hade du några betänkligheter kring processen innan du lämnade myndigheten? : Jag delade hennes minnesbild. Vi hade en överlämning på en, kanske – någonting i den stilen – och gick igenom en rad olika aspekter på verksamheten då. Jag hade inga … inte fått några signaler som gjorde att jag hade några betänkligheter kring upphandlingen . Ordföranden: Det fanns då inga varningssignaler som hade nått dig om att tidsplanen inte skulle hålla eller att det skulle vara några andra problem med de här upphandlingarna? : Nej, något sådant hade inte nått mig. Ordföranden: Den här … Jag tänker på den fråga som ställdes här tidigare om den förra regeringen hade intresserat sig för säkerhetsfrågor inom myndig- heten och tagit upp det i diskussionerna. Skedde det någon skillnad i det avseendet efter regeringsskiftet så att säkerhetsfrågorna då plötsligt lyftes upp på agendan? Jag har ju gått igenom mina noteringar från de möten jag har haft med statssekreterare, politisk ledning och annat. De här frågorna har inte varit uppe. Vi har inte tagit upp dem, och departementet har inte tagit upp dem. Det var ingen skillnad efter regeringsbytet. Ordföranden: Jag hade också en fråga apropå en sak som framgår av samtalsuppteckningen från Bulls rapport på s. 79 – apropå det här med effektivisering. Du berättar att du lämnade tillbaka pengar till departementet en gång – 100 miljoner. Det står så här: ”Man tas inte emot med tacksamhet för det, utan det blir ett problem.” Så regeringen var aldrig särskilt drivande i att effektivisera. Vill du kommentera det? Det här var ju . hade med säkerhet varit tacksam över att få tillbaka 100 miljoner, för han tyckte att de här frågorna var viktiga. Nämen, det här var ju ett anslag. Det var en historia med en anslagsteknisk fråga som ledde fram till att vi kunde få tillbaka 100 miljoner som vi hade blivit av med tidigare. såg jag ju att effektiviseringsarbetet gav … hade så stor potential. Det var så mycket att vi inte hade något ekonomiskt problem. Och det är inte särskilt bra att få 100 miljoner till en organisation som håller på att effektivisera verksamheten. Vi hade inte behov av de pengarna. Och det är alldeles riktigt: Man tas inte emot med tacksamhet egentligen någonstans. Man blir mött av förvåning. ”Det här har vi aldrig varit med om förut” var en av signalerna. Och det leder snarare till ett bekymmer: Kommer viatt bli av med de här pengarna från Finansen vid nästa budgetdiskussion när vitydligen inte behövde dem? Och reaktioner från andra generaldirektörer är att man sätter ett dåligt exempel. Det här är lite gåtfullt, och man kan skratta åt frågan eller gråta åt den, men är man skattebetalare och tycker att det är bra att ha en offentlig verksamhet med kvalitet, som gör saker och ting på ett bra sätt, då ska man ställa kravet att det drivs effektivt, annars hotas faktiskt möjligheten att driva en bra verksamhet . Mig störde den här attityden ganska mycket, kan jag säga. Ordföranden: Det kan jag förstå. Jag stannar där och ger ordet till , . (V): Jag uppehåller mig vid det här om regeringen har intresserat sig för it-säkerhetsfrågor eller inte, för du sa att det inte har varit någon skillnad. En sak som jag har funderat på är att i regleringsbrevet har ju myndigheten fått i uppdrag att i sin risk- och sårbarhetsanalys särskilt beakta och analysera informationssäkerheten i de delar av verksamheten och i de tekniska system som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. När det kommer in särskilda uppgifter i regleringsbreven har det ganska ofta föregåtts av någonting. Det är till exempel inte helt ovanligt att det förs samtal om saker med myndigheter innan regleringsbreven kommer till. Jag undrar därför om det har lyfts någonting i diskussionerna runt säker- hetsfrågor innan regleringsbrevet skrevs. : Nej, min minnesbild är att det inte gjorde det. Jag har inget sådant minne, och jag såg i Bulls utredning en bakgrund till varför de här uppdragen kom. Så nej, jag har inte det minnet. (V): Reagerade du då något särskilt på att det här upp- draget plötsligt kom, när det inte hade funnits innan? Och hur tänkte ni runt det på myndigheten, med tanke på att du också 2010 hade blivit inkallad till Must om att det fanns speciell information som var skyddsvärd? : Nej, jag reagerade inte särskilt på det. Alltså, vi var väl med- vetna om att det fanns delar av vår verksamhet som måste bli bättre när det gällde säkerhetsrelaterade frågor. Vi hade även haft kritik från när det gällde behörighetshantering, loggkontroll och sådana saker. Vi hade under en följd av år haft risker för it-intrång och sådant högt uppe bland de risker som vi identifierade i våra risk- och sårbarhetsanalyser. Frågan om informationsklassning var ju ett sorgebarn i myndigheten. Det gick alldeles för sakta, och jag delar Bulls uppfattning att man egentligen hade behövt göra det innan man gjorde en upphandling. Men så såg inte verkligheten ut för vår del, uppfattade vi. Jag såg det alltså inte som något märkligt att regeringen så att säga markerade i de här frågorna, även om man uppenbarligen gjorde det till väldigt många myndigheter. Det kanske inte var föranlett av någonting konkret, men att vi hade behov av förbättring på det här området var uppenbart. (V): Då har jag en fråga runt att ni 2010 hade haft uppe frågan med regeringen om outsourcing vad gällde utvecklingsfrågor. Då hade man sagt att om det blir aktuellt att det ska läggas någon annanstans så måste ni återkomma. Du har också fått den där informationen från och Must, men om jag ska tolka det: Det var ändå så att du inte var insatt i upphandlingen som sedan gjordes av hela driften? Man kan ju tänka sig att om det nu var aktuellt att lägga utvecklingsfrågor utomlands så skulle man ha kunnat få en tanke om att det kanske fanns även andra grejor som man ville lägga någon annanstans och så följa upp det. Men det slog inte dig då, eller? : Nej, det slog mig faktiskt inte. Det må vara hur naivt som helst och i efterhand dumt, men jag såg inte framför mig eller tänkte aldrig tanken att det kunde handla om outsourcing utomlands. Så enkelt är det. (V): Jag värderar inte det så. : Jag kan själv möjligen känna att hade vi haft mer diskussioner om säkerhetsfrågor och en bättre säkerhetskultur där vi hade pratat om de här frågorna, då hade vi kanske blivit observanta på detta tidigare på ett annat sätt. Så är det. (V): Det finns lite om att andra har lyft säkerhetsfrågor men uppfattat det som att det inte riktigt har landat. Man har liksom försökt prata säkerhetsfrågor, och så har det inte tagits emot riktigt, vad jag har förstått bland annat internrevisorn. Hur ser du på det och den här kulturen, som du själv sa? : Det refererar till var efter att jag hade slutat. Internrevisorn, såvitt jag kan minnas, väckte inte den här typen av frågor. Det fanns ju frågor om informationsklassning och en del sådant som jag tror var , men jag tror att det här var efteråt. Men att säkerhets- medvetandet var för dåligt var ju en följd av att vi inte pratade om frågorna, helt enkelt. Så är det ju. (V): Bara kort: I samtalen med framkom att hon uppfattat det som att inte gd ansåg att myndigheten hade någon skyddsvärd information att hantera. : Det där tror jag är en misstolkning av de diskussioner som var. Vi hade diskussioner i analyser som gjordes åt MSB om vi hade samhällskritisk verksamhet. Det fanns ju vissa kriterier för vad det var. Man hade definierat hela registerverksamheten som samhällskritisk, och det tyckte Det hade vi diskussioner om. Att det sedan fanns enskilda delar i det hela som kunde vara nog så viktiga … Ja, alltihop var ju viktigt, men samhälls- kritiskt i den formen att samhället stannar om det här stannar uppfattade jag inte att vi hade. Skånberg (KD): Ordförande! Jag skulle vilja fråga före detta general- direktören om det här skeendet med nödvändighet ledde fram till att göra avsteg från säkerhetsskyddslag, bland annat. Man skulle kunna driva tesen att så som det såg ut under året tidigare hade inget val, utan när det kom ett papper framför henne där hon hade att välja mellan en till två månaders fördröjning eller att göra ett avsteg från lagen så var hon tvungen att välja. vill jag naturligtvis inte att du ska recensera din efterträdare, men jag skulle ändå vilja be dig reflektera över detta: Om du hade varit kvar och ett sådant här papper hade dykt upp för dina ögon, det vill säga ett val mellan en fördröjning på och att bryta mot lagen och göra avsteg från gällande lagstiftning när det gäller säkerhetsskyddslagen, personuppgiftslagen –PUL – och offentlighets- och sekretesslagen – OSL – och så vidare, hur skulle du ha resonerat? Är det verkligen så att en generaldirektör känner sig pressad att acceptera ett avsteg från lagen? Hur resonerar du? : Det kräver några ord för att förklara hur jag tänker kring de här frågorna, eftersom det är lite hypotetiskt – men högst relevant. Min uppfattning är att hamnade i en väldigt svår situation. Hon var ny på myndigheten. Hon hamnade i en organisation som framför allt innan Transportstyrelsen bildades hade en tradition av att ta ganska lätt på upphandlingsregler. Jag jobbade väldigt mycket med att backa tillbaka det och få ordning i leden och säga nej till upphandlingar. Men det fanns kvar en hel del av detta. Hon mötte alltså en organisation som fortfarande gärna såg att man kunde ta lite lätt på sådana här frågor. Hon hade också ganska svårt att värdera informationen om konsekvenserna av att stoppa upphandlingen då – var det möjligt att göra på något annat sätt? Hon fick med säkerhet bilden av organisationen att det var omöjligt att göra på något annat sätt. Organisationen kanske trodde det. Min uppfattning är, som det står i Bulls utredning, att hade man tagit kontakt med så hade det gått att få mer tid. hade med säkerhet – och det hade de nog gjort frivilligt, annars hade de varit tvungna – fortsatt driften till dess att man hade rett ut frågorna. Det var inte omöjligt från början. Man drev ju den här verksamheten med konsulter; de flesta av den egna personalen hade slutat. Transportstyrelsen hade säkerligen fått betala merkostnaden för att fortsätta, något som säkert hade känts, men det hade varit möjligt. Jag tror alltså att det hade gått att göra det på annat sätt, men jag tror inte att det var lätt för att genomskåda detta i den situationen. Det är min bild i efterhand. Skånberg (KD): Hon gjorde ett avsteg från gällande lag. Ska en generaldirektör över huvud taget reflektera över det? Om man förstår att det verkligen är ett avsteg från gällande lag kan man inte göra det. Hade jag mött ett sådant beslutsdokument hade jag tagit upp det med verksjuristen, som ju satt nära mig och som jag rådfrågade i knepigare juridiska frågor för att förstå hur man skulle se på detta. Skånberg (KD): Jag har även en fråga till före detta ställföreträdande generaldirektören . Jag undrar om du som du var ställföreträdande gd hade några kontakter med departementet i den här frågan. Det handlar framför allt om tiden –2017. Om du hade det, vad diskuterades och vilka hade du kontakt med? : Bara så att jag förstår – i frågan gällande driftsupphand- lingen? Nej, det hade jag inte, inte mer än de dialogmöten som vi regelbundet hade med departementet. Jag var med på de mötena tillsammans med och ordföranden. Där var dessa frågor egentligen aldrig uppe mer än möjligen som en avrapportering om längd. Skånberg (KD): De här frågorna var alltså uppe, sa du, gentemot departe- mentet som en avrapportering. Hur avrapporterades det? : kommer jag inte ihåg huruvida de faktiskt var uppe och i så fall vid vilka tillfällen, men om de var uppe så var det i form av att viavrapporterade att upphandlingen ligger enligt plan. Det var egentligen bara det. Inte mycket mer än så. (SD): Av det vi har kunnat ta del av i det skriftliga materialet, och som också har nämnts här , framgår det att beslutet att upphandla it- driften inte fattades av styrelsen utan av generaldirektören och it-chefen. Var kom säkerhetsskyddschefen in i den här cocktailen? Kan före detta general- direktören beskriva lite grann hur samarbetet med säkerhetsskyddschefen fungerade? : I själva beslutet om att upphandla driften har jag ingen minnesbild av kontakter med säkerhetschefen i det ärendet innan. Det här drogs ju för mig av it-chefen som ett beslutsärende gällande att handla upp det hela, eller att sätta igång upphandlingsarbetet. Precis som säger fattade styrelsen inte heller beslutet, utan Jag informerade styrelsen vartefter om både migreringsprojektet och driftupphandlingen. Det gjordes under ett mycket stort antal tillfällen under resans gång. Man får nog förstå att vi inte såg att vi hade de här problemen. Jag förstod inte att de här säkerhetsproblemen fanns där under bordet, och därför blev inte heller den här frågan viktig.