bet · H501KU20d3 · 2018-01-01 00:00:00 — Jag utgick från att de hade rätt till insyn och att de hade mandat, resurser, kompetens, möjlighet att ställa krav och så vidare, så att detta var omhändertaget. Resten av händelseförloppet tror jag är välkänt. Jag är öppen för frågor från utskottet. Ordföranden: för den inledningen! Då vänder vi oss först till Social- demokraterna och . Var så god! (S): Låt mig tacka för en bra föredragning och för den information som du har gett till justitierådet utredning. Du har i hans intervju tagit upp och dess rekommendationer och arbete. Du har också tagit upp det nu i inledningen. En i sammanhanget relevant rapport kom 2011, IT inom statsförvaltningen, som handlar om de krav myndigheter bör ställa i samband med outsourcing och när frågan om outsourcing prövas, alltså när en lämplighetsprövning görs. Kan du säga något om hur Transportstyrelsen förhöll sig till denna rapport i sitt arbete med outsourcingen och om det är din uppfattning att Riks- revisionens rekommendationer om detta över huvud taget fanns med när det prövades? : Den rapporten kom som sagt 2011. Jag kom till myndig- heten 2012. Egentligen kan jag inte uttala mig om huruvida den rapporten vägdes in i detta över huvud taget. Skälet till att outsourcingen skedde är nog enligt min bild mer att man var ute efter kostnadsbesparingar, att spara pengar, och därför kanske inte gick på rekommendationer. Men min bild är osäker; jag kan inte säga säkert att det är så. (S): Du återkommer i intervjun med utredning till effektivitet och det effektivitetstänk som fanns på Transportstyrelsen, egentligen ända sedan myndigheten bildades men också senare i verksamheten –att det handlar om ett fokus på effektivitet utan tillräcklig riskanalys och riskhantering. Du har talat om att det på myndigheten inte har satsats tillräckligt på it-säkerhet, informationssäkerhet och säkerhetsskydd när det gäller resurser och kompetens. Med anledning av detta skulle jag vilja fråga vad din uppfattning är: Vad har egentligen funnits i begreppet ”effektivitet” på myndigheten? Har begreppet effektivitet över huvud taget haft någon koppling till myndighetens förmåga att fullgöra sina uppgifter, till exempel vad gäller att säkra den här typen av information? : Jag är inte säker på att jag förstår hela frågan. Effektivitet har funnits som utgångspunkt. Givetvis har man eftersträvat att följa regler, lagar och så vidare . Myndigheten har många expertkompetenser på olika områden. Det kan hända att det brister när det gäller den interna kommunikationen mellan olika sakkompetenser i olika slags frågor. Då är det viktigt att vertikal och horisontell kommunikation fungerar väl, så att exempelvis alla parter som har ansvar för att kunna sina områden blir lyssnade på och förstådda. Det ansvaret är egentligen på ledningsnivå, att man ser till att man uppifrån förstår vad parter med expertkompetens längre ned försöker föra fram. Var det svar på frågan? (S): Jag tror att det var svar på frågan. Om jag säger så här: Vad har legat i begreppet ”effektivitet” på myndigheten? Vad har man tänkt in där? : Min bild är att det framför allt är kostnadsbesparingar. Ordföranden: Då tänkte jag ställa ett par frågor. Du träffade ju styrelseordföranden och en annan ledamot i styrelsen 2015 för att försäkra dig om att de kände till besluten om avsteg från lagar. Resonerade ni någonting om i vilken mån den här informationen borde föras vidare till regeringen och ? : Inte i de samtal jag hade med ledamöterna. Det var i så fall deras ansvar att föra vidare och omhänderta. Jag har ingen uppfattning om hur de hanterade informationen uppåt sedan. Ordföranden: du till mer allmänt vilka kontakter styrelsens ordförande hade med allmänt sett i sin roll som styrelseordförande? : Min bild är att det i huvudsak var generaldirektör som hade kontakterna. Min uppfattning är ändå att hade kommunikation med departementet, men jag vet inte exakt vad den handlade om och hur täta kontakterna var. Ordföranden: du någon uppfattning i frågan om det hade varit lämpligt att informera regeringen eller om avstegen och de problem som hade uppstått? : Min uppfattning är att det är absolut givet och självklart att en sådan här väsentlig fråga ska informeras uppåt. Egentligen ser jag tvärtom att man uppifrån borde följa upp lite skarpare och regelbundet sätta sig in i frågor. Då hade man fångat upp signaler om detta tidigare. Ordföranden: Du är ju inne på det. Jag läser i intervjuutskrifterna från På s. 20 säger du: ”Transportstyrelsen … hanterar … viktiga uppgifter för men med låg grad av kontroll från regeringen och . Det bör finnas instrument att upptäcka utifrån om något är fel så att signaler fångas upp tidigare och dyra misstag undviks. Enskilda myndigheter är lämnade till sig själva. Myndigheter kan lockas att ta ut svängarna …”. Vill du utveckla hur du menar där – är det så att regeringens styrning som du ser det är för svag? : Min bild är kanske inte att styrningen är för svag men att detta med riskanalyser är något som man också borde göra från statens och regeringens sida, och hålla sig à jour med vad som händer i myndigheterna som är väsentligt och se till att man är informerad om väsentliga risker. Exempelvis vore det väldigt enkelt för departementet att begära ut mina riskanalyser och myndighetens egna riskanalyser. Jag gör ju egna, oberoende riskanalyser som inte alltid ser exakt likadana ut. Jag kanske värderar risker annorlunda och så vidare. Riskanalyserna är ju allmänna handlingar och kan begäras ut av departe- ment. Det har man inte gjort. Min bild är nog inte att styrningen brister, men i uppföljningen skulle man kanske regelbundet checka av att allt står väl till i myndigheterna och fånga in signaler tidigare. Ordföranden: det du nämner får man nästan intrycket att det fanns en viss irritation från styrelseordförandens och styrelsens sida över att du så envetet försökte lyfta och fästa uppmärksamhet på frågan om avsteg från lag. Man verkade inte riktigt ens tycka att det här var en viktig fråga, vilket du ju tyckte. Har du någon uppfattning om varför inte styrelseordföranden eller övriga i styrelsen drog i bromsen eller reagerade på ett annat sätt? Vad fick du för intryck? : Det stämmer att jag upplevde att man tyckte att det var besvärande att den här frågan kom upp och att jag ville ha möte om det och dokumentera det. Jag har svårt att se vad som är bakom. Det kan ju vara så att man inte såg andra utvägar än att agera som man gjorde och att man upplevde det som en känslig fråga och att det var besvärligt att det dokumenterades. Men detta är bara spekulationer från min sida. Ordföranden: du talas om att det skulle finnas något tryck från departementet vad gäller tidsplan och annat? : Jag har inte hört talas om något. Jag har ingen uppfattning om det och ingen bild av om huruvida det skulle förekomma sådant tryck eller inte. (V): Vi har ju fått en rapport om risk- och sårbarhetsanalys från Transportstyrelsens verksamhet 2015. Där anges också att enligt regleringsbrevet till Transportstyrelsen skulle myndigheten i sin risk- och sårbarhetsanalys särskilt beakta och analysera informationssäkerhet i de delar av verksamheten och de tekniska system som är nödvändiga för att myndigheten ska kunna utföra sitt arbete. Resultatet av analysen skulle redovisas som en särskild bilaga till myndighetens risk- och sårbarhetsanalys. Det var ett uppdrag från regeringen som lades . Var du inblandad i arbetet med att göra den, och har du någon kunskap om hur det kom sig att man redan då gav ett sådant specifikt uppdrag i reglerings- brevet? Jag frågar detta lite med tanke på diskussionen om uppföljningen från regeringens sida. : Jag var inte inblandad i att göra riskanalysen. Intern- revisionen står ju separat och är oberoende och bevakar att den ser ut att gå till på rätt sätt och att arbetet sker korrekt där ansvaret att göra risk- och sårbarhetsanalyserna finns. Svar på den ena frågan är alltså att jag inte var inblandad. Den andra frågan, varför uppdraget gavs, har jag tyvärr ingen uppfattning om. Jag vet inte vad som ligger bakom. (V): berättade du apropå it-säkerheten att det fanns problem och rekommendationer som du själv hade gjort och sådana som kom från . Jag uppfattade att du sa så här: En hög medvetenhet internt om de här riskerna fanns. Var någonstans internt menar du då att medvetenheten om riskerna fanns, alltså på vilken nivå och i vilka delar av myndigheten? Jag har ju ändå uppfattat det som att man totalt sett inte riktigt ville se riskerna. Jag vill gärna höra en utveckling av detta. : Jag ska försöka utveckla det, men det är en lite diffus del. När jag talar om en hög medvetenhet menar jag att jag har noterat att det har pågått mycket diskussioner om den här sortens frågor och att olika parter har haft väldigt olika bild. Det har varit väldigt svårt för mig att relatera till vilken bild som är den rätta. Den höga medvetenheten består i att jag vet att frågorna har diskuterats mycket. Jag talade tidigare om detta med vertikal och horisontell kommunikation. Då kan det vara helt olika bilder på olika håll i myndigheten. Till syvende och sist är det ledningen som ansvarar för vilken bild som sedan ska gälla. Skånberg (KD): Ordförande! Tack, internrevisionschef , för svaren så här långt! Vi är tacksamma för att du ville komma och ge oss denna fylliga bild. Vi har redan fått en del av bilden i justitierådet utfrågningar. Jag skulle vilja återvända lite till dem och be dig att utveckla en del saker. Jag citerar från s. 15 i den utskrift som vi har. sagt till vid mötena att hon ”insåg att myndigheten hade fel princip för policy för hantering av skyddsvärd information, att man har den utspridd så att ingen lätt kan hitta den”. sa att ’vi ska inte bryta mot lagar men vi kan välja hur vi ska tolka dem’. tror att detta blev sagt någonstans runt tiden för avstegen men är osäker. Men vet inte om hade sett några problem med nålen i höstacken-principen för informationshanteringen, om inte signalerat att det inte gick att göra så och förstod gradvis att det inte var okej att göra så. Lite längre ned på samma sida står det: ”förstod inte förrän senare att krävt att outsourcingen skulle avbrytas men att Transportstyrelsen inte lyssnat på det, och att inte haft sanktionsmöjligheter att ta till.” Skulle du vilja utveckla detta lite, hur det successivt växte fram och hur du reagerade på informationen om att man var på väg att bryta lagen med öppna ögon? : Jag ska se så att jag uppfattade frågorna, utveckla de här sakerna. Jag måste säga till att börja med att det i efterhand är svårt för mig att komma ihåg exakt när i tiden de olika sakerna har sagts och hänt, förutom de skarpa tidpunkter som har ingått i Säpos förundersökning och som är väl dokumenterade i förundersökningen. Men jag vet att detta har varit uppe. Jag har ju haft löpande avstämningar tillsammans med , suttit och pratat med henne och fått hennes bild av att detta med en nål i höstacken var den rådande principen. Man hade informationen utspridd, inte helt säkert var. Det skulle inte kännas till av alltför många om det fanns känslig information, för då skulle det vara lättare för dem att hitta den. Så den delen tror jag är ganska väl utvecklad – vad som menas med detta med nål i höstacken. Sedan var det något om att inte bryta mot lagar men välja hur vi ska tolka dem. Som exempel där kan jag nämna att jag granskar intern styrning och kontroll. Där finns det formella krav i en förordning. Där har jag aldrig sett att man bryter mot förordningen, utan formella krav uppfylls . Man kan tolka den i ett vidare begrepp och göra lite mer än vad lagen kräver för att vara på den säkra sidan på lång sikt. Det är väl lite mer så jag har menat och hur jag har tolkat att man gärna gör för stunden, för att spara pengar kanske, eller vad det kan röra sig om. Effektivitet på kort sikt är inte alltid detsamma som effektivitet på lång sikt, utan det ska vara hållbart , också, så att man inte bara tittar här och utan längre fram. Du frågade också om hur jag reagerade på informationen. Det här var en diffus bild, som växte fram för mig gradvis. Jag försöker ju fånga upp röda flaggor i verksamheten och se var riskerna finns. Det är inte alltid lätt. Jag är en väldigt liten funktion och har oftast varit ensam på myndigheten. Men hur jag har reagerat – jag har försökt att hålla ögonen extra öppna. Vad handlar detta om? Det verkar finnas risker på det här området; då håller jag ögonen extra öppna. I det här fallet, de här lagavstegsbesluten, blev det väldigt skarpt. Där fick jag väldigt tydliga signaler att nu är det avsteg beslutade. Skånberg (KD): Jag förstår framställningen som att det successivt växte fram en bild av att man skulle göra avsteg från lagen. Sedan när det var ett faktum reagerade du väldigt kraftfullt. Då undrar jag: Saknade du några redskap för att föra detta vidare? Räckte det med styrelseordföranden, styrelsen och generaldirektören, eller hade det behövt larmas ännu kraftigare? Du nämnde i din inledning att du inte har mandat och möjligheter att göra mer, men borde inte generaldirektören i alla fall ha larmat, om du inte kunde göra det? : Jag ska nog börja med att förtydliga bara för säkerhets skull: Att det successivt växte fram att man var på väg att fatta beslut om att göra avsteg från lagar kan jag inte riktigt säga att jag såg komma, utan det kom faktiskt som en överraskning – är det så här allvarligt? Riktigt den bilden hade jag inte. Den växte inte ens successivt fram, mer än att det fanns tecken. Eftersom jag hade granskat informationssäkerhet tidigare hade jag en bild av att det fanns väldigt mycket förbättringspotential på det området. Då kan man ju säga att det är en varningsklocka att det fanns rekommendationer från internrevision, och även från riksrevision, som det inte hände så mycket med, som inte beaktades. Det kan ha varit ett väldigt omfattande arbete att beakta dem fullt ut, men det tog tid. ska jag se om jag minns frågan: om jag hade behövt kraftigare redskap. Jag har jobbat utifrån de förutsättningar jag har haft, och visst skulle jag ha kunnat göra ännu mer om jag hade haft ännu mer möjligheter att gräva i de risker som jag såg. Jag såg risker, och jag försökte så gott jag kunde att föra fram detta till styrelse och generaldirektör. Sedan är det ju deras ansvar också att se till att ge förutsättningar och att de på olika sätt är informerade själva. Jag gjorde mitt bästa för att se till att de var det. Skånberg (KD): Ordförande! Det är jag och säkert vi övertygade om: att du gjorde ditt bästa. Ingen skugga över dig – det är du som är anledningen till att vi över huvud taget vet om detta, och vi är tacksamma för det. Jag får återvända till s. 20 i de utskrifter som ordföranden tidigare läste ur, där du enligt uppteckning säger: ”Det bör finnas instrument att upptäcka utifrån om något är fel så att signaler fångas upp tidigare och dyra misstag undviks. Enskilda myndigheter är lämnade till sig själva. Myndigheter kan lockas att ta ut svängarna.” Detta är ju, om vi kliver upp på en lite mer strukturell nivå, ett stort problem för Transportstyrelsen och säkert för andra: att regeringen uppenbarligen lämnar enskilda myndigheter åt sig själva så att en sådan här sak kan hända. Vad i informationskedjan tror du brast när inte regeringen tidigare grep in och gjorde något? Var det att regeringen blev informerad , eller var det att regeringen skulle ha informerat sig själv tidigare, när man fick signaler? Har du någon möjlighet att hjälpa oss att se det från en strukturell nivå? : Jag kan försöka, i den mån jag kan. Som jag tror att jag nämnde tidigare ser jag ju att detta, man blir informerad – det är ju lätt att säga att man inte har blivit informerad tillräckligt. Jag tycker att när man fick risk- och sårbarhetsanalysen, som regeringen fick, och läser den ser man ju att det fanns ganska allvarliga risker och brister i den. Så jag tycker att det finns ett ansvar högre upp. Som jag nämnde ser jag det här som neutralt , för jag tycker att det verkar vara något strukturellt: att det behövs något mer uppifrån. I det här fallet hade man faktiskt informationen, och då kan man fråga sig om man verkligen tog del av den och ställde frågor och informerade sig. Jag vet inte om jag kan ge mer. Ordföranden: för tydlighetens skull: Då pratar vi om den risk- och sårbarhetsanalys med bilaga som lämnades in . Är det den vi diskuterar? (SD): Jag tänkte också försöka uppehålla mig vid den strukturella nivån lite grann. Vi har ju redan börjat komma in mycket på detta med styrning och uppföljning. Min första fråga är: Du nämnde att du hade två kontaktpersoner hos styrelsen: ordföranden, som väl inte så att säga kan undgå att vara kontaktperson i sådana här frågor, och ytterligare en, som jag har fått intrycket visade intresse och var en lämplig person. Men rent generellt, när jag läser i materialet, får jag lite grann intrycket att tillkomsten av dessa två kontaktpersoner i styrelsen – att de råkade bli dina kontaktpersoner – jag får ett lite ad hoc-artat intryck av hur de utsågs till dina kontaktpersoner. Då blir ju frågan lite grann, sett till din yrkeserfarenhet inom staten och hos andra arbetsgivare: det så här det brukar gå till? Vi är några som hittar varandra, och så blir det de som blir dina kontaktpersoner. Eller skulle man ha kunnat organisera detta på ett mer ändamålsenligt, alternativt sätt, som du ser det, så att det var tydligt redan från början hur du skulle rapportera, till vem, varför, när och så vidare? : Hur de utsågs och hur det ska organiseras ändamålsenligt – det är ju lämpligt att man har ett revisionsutskott i en styrelse. Bilden stämmer nog, som du sa: Det var lite ad hoc i hur detta gick till. Att jag fick kontaktpersoner i styrelsen var för att det gjordes en extern kvalitetsgranskning av Transportstyrelsen vad gäller internrevisionsverksamhet. Det ska göras och gjordes första gången vid myndigheten . Där rekommen- derades att internrevisionen behöver ha starkare rapporteringsvägar till styrelsen och behöver ha en direktingång. Det behövdes kontaktpersoner eller ett revisionsutskott. I mina riktlinjer för internrevision som styrelsen beslutade om bestämdes det att det skulle vara två kontaktpersoner. Ordföranden fick rollen, naturligt sett, och sedan var det en till som erbjöd sig av intresse. Hur det brukar gå till – möjligen vill , som har lång erfarenhet i staten och vet hur det brukar gå till vid myndigheter, säga någonting. : Det är väl så att detta nästan är den vanligt förekommande bild vihar i myndigheterna: att man inte har revisionsutskott. har tillkomsten av revisionsutskott ökat . Då har det blivit så att ett antal personer i styrelsen fått mer fokus på dessa frågor om styrning och kontroll och riskhantering och kunnat vara en mer naturlig kontaktyta mot intern- revisionen. Vi vet ju alla att styrelseledamöter har ont om tid. De kommer in till styrelsemötena och har en gedigen lista. Men har man ett utskott kan de koncentrera sig på de här frågorna och också ha tätare kontakter med internrevisionen. Vissa myndigheter har inrättat ett revisionsutskott, och där blir kontakten betydligt bättre, enligt min uppfattning. (SD): Jag vågar knappt fråga vem du rapporterade till , men om jag förstod dig rätt kom detta till på grund av en externrevision. Som jag förstod Hans har vissa styrelser själva valt att inrätta revisionsutskott. Det är inte så att detta på något sätt kommer från regeringen, att man har en struktur där man föreskriver eller föreslår att det är så här vi ska organisera det för att ha en tydlig gång i rapporteringen. Det är lite, som någon annan har varit inne på, att man lämnar det lite grann vind för våg att ta ut svängarna och organisera sig så som man själv behagar inom myndigheterna, eller? : Ja, det finns ingen tydlig bestämmelse från regeringen om hur man ska agera i den här frågan. Men en styrelse som aktivt vill ta ägarskap för risker och informera sig ser ju till att ha väldigt tät kommunikation med internrevision och förvissa sig om att man har ömsesidigt förtroende, öppenhet och tät kontakt. Jag kan säga hur det var innan de här två kontaktpersonerna i styrelsen inrättades. Jag rapporterade till styrelsen då, men det är ganska få styrelse- sammanträden, fem eller sex stycken , och det var bara skriftlig rapportering, förutom det här korta föredragandet. Det blir inte alls samma nivå på kommunikationen. Jag kan inte informera på samma nivå som jag kan i samtal som man kan ha i revisionsutskott. Så det är en väldig styrka att ha revisionsutskott, men det är upp till varje myndighet och varje styrelse att bestämma. (SD): Tack så mycket – detta var väldigt klargörande och intressant! Vi har i andra granskningsärenden kunnat få oss till livs att styrelse- medlemmar när de tillsätts får en hel del information om hur verksamheten bör bedrivas och om vart de kan vända sig om de är intresserade av att få mer information om olika frågor. Dock sägs ingenting nämnvärt när det gäller säkerhetsskydd och informationssäkerhet. Jag tycker att det kommer väl till uttryck i detta fall. Det var väldigt få människor som över huvud taget kände till vilken skyddsvärd information som fanns inom myndigheten, och de som kände till det ville inte dela med sig till andra. Styrelsemedlemmarna var inte säkerhetsprövade och så vidare. När jag har läst materialet har jag också fått intrycket att generaldirektören inte heller direkt fick någon djuplodande information om denna typ av frågor. Du nämnde att du hade granskat informationssäkerhet tidigare, som en del i ditt arbete. Men rent generellt, om vi tittar på styrningen från regeringen: Hur skulle man kunna arbeta annorlunda där när det gäller att ge mer information till styrelsemedlemmarna, att ge bättre förutsättningar för generaldirektören och att organisera det så att man säkerställer att dessa frågor omhändertas på ett bra sätt även inom internrevisionen, om detta nu inte har gjorts på eget initiativ tidigare? : Jag är osäker på om jag kan ge ett bra svar på frågan om hur man kan jobba bättre från regeringens sida. Det kan handla om utbildningar. Man är ju skyldig att ansvara för att själv skaffa sig information. Jag tycker att det är olyckligt att det i detta fall har blivit så att man inte upplever sig ha fått tillräcklig information. Jag kan förstå det, men ansvaret finns. Jag har inget bra svar på frågan. När nya styrelseledamöter eller en ny generaldirektör i en myndighet tillträder är det dock givetvis väldigt viktigt att det finns skyddsvärd information i myndigheten. Då får de upp ögonen för att det finns risker i myndigheten som de måste vara säkra på att de känner till och som de måste vara säkra på hanteras väl. (MP): Stort tack för dragningen! Du sa precis att generaldirektören måste få information. Jag har läst de uppteckningar och intervjuer med dig som har gjort. Du beskriver, på s. 9, att du bedömde att generaldirektören ansåg att myndigheten inte hanterade så skyddsvärd information. Är det så du har tolkat det? : Det minns jag mycket tydligt. Jag har svårt att minnas den exakta tidpunkten, men jag vet att det pågick mycket sådana diskussioner. Jag skulle gissa att det var 2014, eller möjligtvis tidigare, som det pågick diskussioner om huruvida myndigheten hanterar samhällsviktig information eller inte. Det fanns olika bilder av detta. Det är min tydliga bild. (MP): Du beskrev i inledningen väldigt bra just det avsteg som var så speciellt att det gick hela vägen upp till gd-nivå. Var det ovanligt att avsteg gick upp till gd-nivå? : Avsteg generellt kan jag inte uttala mig om. Detta var ju ett avsteg från lagar. Jag känner inte till hur andra sorters avsteg har hanterats. Jag har fått klart för mig att det har skett en hel del avsteg från interna riktlinjer och styrdokument. Min bild är att dessa beslut vanligtvis har fattats av gd, men jag kan inte uttala mig om hur vanligt eller ovanligt det är.