bet · H501KU20d3 · 2018-01-01 00:00:00 — Skulle vilja uttrycka sig klart och tydligt: Har han på något sätt kommunicerat med andra i regeringen i den här frågan? : När jag säger ”ganska” säker betyder det att jag inte har haft några kontakter såvitt jag minns. Jag har inte skickat några mejl, jag har inte skickat några papper och jag har inte skickat några sms förrän efter juli när jag hade lämnat. Men det handlar inte så mycket om sakfrågan, utan det handlade om omsorg om min ringa person. Skånberg (KD): Ordförande! På s. 74 säger som svar på frågan om vad styrelsen gjorde med anledning av Säpos tillsyn och/eller rekommendation: Styrelsen sa till : Gör vad som går för att se till att det blir som vill och att det blir av! Ända och fram till nu är det precis det man har gjort, det vill säga att ta hem det som var utomlands. Från det ögonblick som styrelsen fick detta klart för sig var rådet till : Gör det som de säger, och gör det så fort som möjligt! , med facit i hand och i backspegeln: Är det inte väldigt svagt att uttrycka att man ger ett råd till om att göra vad som kan göras? Är det verkligen förenligt med en ordförandes roll och en styrelses roll i en myndighet som är styrelsestyrd att man gör en rekommendation? : Du menar att vi skulle ha beslutat att hon så långt som möjligt skulle göra vad hade rekommenderat? Det hade vi naturligtvis kunnat göra, men jag tror inte att det har någon större betydelse eftersom hon kände att nu måste någonting göras. Ansträngningarna att ta hem den här verksamheten till har fortsatt , när det blev en ny generaldirektör. De är förhoppningsvis avslutade nu; det sas i alla fall att de skulle avslutas till utgången av 2017. Det är en ganska svår process, och vi förstod att den var svår. Vi fattade inte något formellt beslut, men det var nog vår starka uppfattning att detta borde göras. Skånberg (KD): Ordförande! Om och om igen har kommit tillbaka till att han hade tilltro till , generaldirektören. Men finns det citat på s. 74 som säger: ”Det är klart att styrelsen var naiv.” Ett annat citat är: ”Dumt nog utgick jag ifrån att det var okej att styrelsen inte var involverad i säkerhetsskyddsfrågorna i myndigheten.” Det som i en mening säger handlar om tilltro är i två andra meningar dumt och naivt. Ska vi förstå det som att , nu i backspegeln, ser det som dumt och naivt? : Jag har ingen anledning att skylla ifrån mig på någon annan. Efterklokhet är som sagt en exakt vetenskap. Men jag borde ha kunnat reagera tidigare. Jag insåg inte hur stora de här problemen var, så jag var både dum och naiv. (S): Tack för din föredragning och svaren . Du har innan du blev ordförande i styrelsen varit ledamot i styrelsen. Mina frågor gäller under den tiden som du var ledamot. Du har angett att i varenda riskanalys som gjordes påpekades att it- verksamheten var riskabel och att den betraktades som en väldigt stor risk. kom 2011 ut med en rapport som heter IT inom statsförvaltningen, som handlade om outsourcing. I går ställdes en fråga till tidigare generaldirektör om denna rapport. Han kunde inte minnas huruvida han hade tagit del av denna rapport eller inte i samband med att outsourcingen gjordes. Jag vill fråga om du minns om den här frågan togs till styrelsen och om den här rapporten lyftes fram eller inte. : Det kan jag inte svara på. Däremot vet jag att outsourcingen som idé kom såvitt jag förstår helt och hållet inifrån myndigheten, att man ville outsourca därför att det var komplikationer med hur skötte it- driften. Det fanns också, vilket var ledstjärna , betydande möjligheter att spara pengar om man outsourcade. Det är klart att den form som out- sourcingen har fått nu där arbetet ska utföras i gör att besparingarna blir mycket mindre. Det var ett viktigt argument att det skulle bli billigare och flexiblare. (S): Du som har bakgrund i revision och revisionsarbete, hur tänker du kring att myndigheten i detta stora omfattande arbete med outsourcing inte tog vara på de rekommendationer och erfarenheter som hade när den här frågan skulle prövas och att en hel del viktiga saker kanske inte kom till användning? : Vi hade inte så väldigt stor insikt i hur upphandlingen gick till och vilka överväganden som gjordes där. Men det är klart att igen efteråt är det uppenbart att om man till exempel hade vetat om bättre vilken skyddsvärd information som fanns, vilka säkerhetshänsyn som skulle tas och vilka möjligheter det fanns att teckna avtal med leverantör om det hade det aldrig hänt. (S): Jag vill också bara som kontrollfråga ställa frågan om du minns ifall du eller ni tog del av regeringens skrivelse om rapporten från där det felaktigt uppges att det är önskvärt att mer outsourcing görs. Är det någonting som du kan dra dig till minnes? : Jag kan rätt säkert säga att jag inte minns att vi någonsin har diskuterat den rapport som du nämner här. Min minnesbild är nog ändå att det inte var så att regeringen försökte pressa myndigheten att genomföra någon outsourcing, utan det kom inifrån myndigheten från dem som ville ha en effektivare it-drift och som ansåg att man inte kunde fortsätta med . (S): Jag har två korta frågor till. Den ena är: var tidigare inne på det du hade angett i intervjun med på s. 70 där du säger: Däremot finns det några som efteråt har menat att det var styrt av eller regeringen. Men några sådana signaler har aldrig hört. Det är så kopplat till outsourcingen och upphandlingen av it- driften. Jag undrar: Vad är det för några som efteråt har menat att det var styrt från eller regeringen? Är det någonting som vi bör fästa någon vikt vid, även om du inte uppfattade några sådana signaler? : Jag kan inte svara på var de uppgifterna kommer ifrån. Jag vet bara att jag själv aldrig hört talas om att eller någon annan har försökt styra det här. (S): Så har jag en sista fråga som gäller en annan sak. Det gäller säkerhetsskyddsförordningen. I den är det reglerat att myndigheter inklusive Transportstyrelsen ska ha en säkerhetsskyddsanalys. När myndigheten bildades dröjde det innan myndigheten fick en sådan, till 2014. Var det någonting som uppmärksammades i styrelsen eller som togs upp på något sätt? : Det har aldrig nämnts vid något möte som jag har deltagit i. Ordföranden: har jag ytterligare fyra som har anmält intresse att ställa frågor. Jag har bara en vädjan om korta kärnfulla frågor och korta kärnfulla svar och fokus på KU:s kärnuppgift att granska regeringen. (SD): Jag har förstått det som att det övergripande argumentet för att man skulle outsourca var jakten på att spara pengar. Man ville spara så mycket pengar som möjligt. Det har berättats historier om hur man till och med lämnar tillbaka pengar till , vilket ansetts vara väldigt ovanligt minst sagt. Det har diskuterats även andra alternativ. Man har diskuterat om man skulle kunna ha verksamheten inhouse, och det har avfärdats. Det har kanske också diskuterats om man ska ha den här verksamheten i landet i stället för att ha den outsourcad till andra länder. Var det så att ni hade fått budgetmedel av så att det ens teoretiskt sett var möjligt för er att kunna bedriva den här verksamheten i landet eller inhouse i stället för att som välja att outsourca den till andra länder? : Det är lite svårt att svara på den frågan. Bortsett från att det skulle bli billigare med en extern leverantör pekade man också på att om man hade en extern leverantör så skulle man också få större flexibilitet. Om man har egen personal blir möjligheterna begränsade. Då får man i stället ha konsulter. Huvudargumenten här var effektivitet, att spara pengar och flexibilitet i verksamheten. Det låg bakom outsourcingen. Jag har inte hört talas om att något departement försökte driva myndigheten mot det, utan det fanns tillräckligt starka drivkrafter i myndigheten själv. (MP): I går när vi ställde frågor till berättade han om ett möte mellan Must och där han blev informerad av dem om vilken hemlig information som fanns på Transportstyrelsen. Jag inser att han inte informerade er om detaljerna om det. Det hade varit ganska olämpligt. Fördes det någonsin i styrelsen någon diskussion kring lite mer grundläggande principer för outsourcing om man skulle ha den här typen av register i eller utomlands? Jag säger det också med tanke på att i går uttryckte verkligen sin förvåning över att man valde ett företag som skulle lägga så mycket av det här registret utomlands. : sa förstås ingenting till oss om den information han fått från Must och . Det hade varit tjänstefel. När det gällde outsourcingen fick vi aldrig någon uppfattning om eller information om att en del av den här verksamheten skulle bedrivas utomlands. Det var också uppenbart från vad Widlert sa i går att det visste inte han heller. (C): Jag utgår från protokollen från Transportstyrelsen. Av protokollet från framgick att gd:s beslut om avsteget dokumenterats. Av nästa protokoll framgår att general- direktören kommenterade för styrelsen dialogen med statssekreteraren som hade hållits , alltså en avrapportering. I det här sammanhanget fattas också ett beslut vid sammanträdet om reviderade riktlinjer för internrevisionen inom Transportstyrelsen. Av utfrågningen med internrevisorn och av den intervju som har gjort framgår att internrevisorn ansåg att förhållandena för internrevisionen försämrades sedan du hade blivit ordförande. Berodde det på saker ni diskuterade i styrelsen? Eller var det hur general- direktören agerat som gjorde att kontakterna med internrevisionen i förhållande till gd och styrelse förändrades och beslut fattades om att ändra riktlinjerna? Just när det gäller återrapporten, har du något minne av detta? Det var som hade kontaktats av generaldirektören . Har du något minne om innehållet i den återrapporten? : Först är det högst sannolikt att jag hade varit med på det mötet med . Det var såvitt jag minns ett tertialmöte vi pratar om. Jag kommer inte ihåg exakt vad som återrapporterades. Men jag är helt säker på att det inte återrapporterades eller rapporterades någonting om säkerhets- frågan, för den hade inte varit uppe. När det gäller internrevisionen går vi nu riktigt in i detaljerna i myndig- heternas verksamhet. Vad det handlade om var, jag vill inte säga en konflikt, en diskussion med om hon fick anställa ytterligare en person vid internrevisionen eller inte. Min inställning var att det borde de lösa själva, men det gick inte att lösa. Till slut bestämde jag att internrevisionen kunde komplettera med ytterligare en person. (C): Men när det gäller just den här återrapporten från det här tillfället uttalade du själv att det var helt klart att hade fört vidare informationen till . Skedde det inte ? När gjordes det? : Min uppfattning är att det gjordes senare, alltså i början på 2016. (V): Jag kommer tillbaka till detta med styrning av myndigheterna. Vi tittar mycket på regeringens ansvar och regeringens styrning av myndigheter. Det här handlar mycket om det. Det är lite svårt att förstå generaldirektörens ansvar och styrelsens ansvar. Generaldirektören är en del av styrelsen. Regeringen utser bägge. Var ska egentligen kontakterna gå, och vem ska rapportera ordentligt till regeringen? Det är lite som att man kan skyffla runt frågorna på något vis. Du har en bred erfarenhet av det här med att sitta i styrelser. Jag skulle vilja höra om det har varit tydligt för dig och för styrelsen i Transportstyrelsen: Vem har ansvar för vad i förhållande till kontakterna med regeringen och upp- följningen av det som regeringen skickade med till myndigheten? : Det är klart i den meningen, om jag håller mig till tertial- dialogen till att börja med, att det var alldeles klart att det avgjordes av generaldirektören, mig och departementet vilka frågor som skulle diskuteras, vilka frågor som var väsentliga att diskutera. Det var ingen diskussion om det. Det diskuterades också vem som skulle säga vad från myndighetens sida vid mötena. Det skedde en arbetsfördelning där jag i regel redogjorde för de mer övergripande frågorna vid myndigheten och de två generaldirektörerna mer specifikt, och i vissa frågor var det också andra föredragande. Den delen var klar. När det sedan gällde den andra mer informella styrningen deltog jag i ganska begränsad utsträckning i det. Det skedde huvudsakligen med general- direktörerna och olika nivåer i . Vilka frågor som skulle tas upp med regeringen var kanske inte lika glasklart. Men varje gång vi gjorde det diskuterade vi igenom vad som var motiverat att ta upp och vad som inte var motiverat att ta upp, och vad de ville ta upp. När jag själv var generaldirektör första gången var det en annan tid. Jag hade varit statssekreterare och kände alla på departementet, från stats- sekreterare och statsråd och nedåt. Jag kände de flesta av de andra statsråden också. Det är klart att det var en annan situation. I fråga om Transportstyrelsen kände jag några tjänstemän vid Närings- departementet. Jag kände inte , och jag kände inte . Jag har visserligen träffat henne men har aldrig direkt pratat med henne. Personfrågor har alltså också betydelse här. Men det finns en struktur. (V): När man tittar på det här efteråt leder det, i alla fall för mig, till mycket funderingar. Varför var det ingen som pratade tydligt? Hur kunde man bara lita på att det här hade sagts nog? Styrelsen är ändå ansvarig inför regeringen. Har du, utifrån det, någon tanke om att det skulle kunna tydliggöras på något vis? Skulle styrning, ledning och samordning gentemot myndigheter kunna utvecklas, i skenet av det här? Jag tycker nämligen att det blir lite som att man puttar runt frågan. : Ett resultat av den här affären är att frågor om säkerhetsskydd har kommit mycket högre upp på agendan. Jag tror att det är självklart att ingen myndighet och inget departement kommer att undgå att titta på de här frågorna och följa dem aktivt. De har blivit mycket viktigare. Och det har blivit en utgångspunkt för verksamheter på ett helt annat sätt. Det är alltså det goda som det här, och en del andra saker som har hänt i omvärlden, har lett till. Säkerhetsskyddsfrågorna lyfts upp på dagordningen på ett helt annat sätt. Det är också därför utskottet sitter här. (V): Så är det ju. var det säkerhetsskyddsfrågorna det handlade om i just det här fallet. Men det kan finnas andra frågor i verk- samheter som kan vara viktiga att lyfta upp till regeringen och som är viktiga för ansvarig myndighet. Har du någon idé när det gäller ansvaret generellt mellan gd och styrelse i kontakterna med regeringen? Det vore ju bra om vi kunde komma med någon käck rekommendation. : Min uppfattning är nog att generaldirektören och styrelse- ordföranden bör komma överens om vilka frågor som ska föras upp till regeringen. Men det uppstår också akuta lägen – vi hade Volkswagenaffären . Då är det självklart att någon från tar kontakt med generaldirektören på Transportstyrelsen och frågar: Vad vet ni om det här egentligen? Det rörde sig om en stor politisk fråga. Då måste alla lämna information direkt. Då kan man inte krångla till det genom att gå över en styrelseordförande och en styrelse. Ordföranden: Då ber vi att få framföra ett varmt tack till dig, , för insiktsfulla svar och för att du ville framträda inför . Jag ajournerar sammanträdet. Vi återsamlas i sessionssalen. Bilaga B7 F.d. statssekreterare Granskningsärende 9 och 12 Regeringens agerande i samband med Transportstyrelsens it-upphandling (se avsnitt 5.2) – delvis sluten utfrågning Ordföranden: är , och jag förklarar öppna sammanträde för inlett. Vi ska inleda med en offentlig utfrågning med statsrådet i hennes egenskap av före detta statssekreterare hos dåvarande inrikesministern i KU:s granskningsärende som heter Regeringens agerande i samband med Transportstyrelsens it-upphandling – G9 och 12. Ordningen är som vanligt att statsrådet får möjlighet att inleda, och därefter ställer ledamöterna frågor – anmälande partier först och därefter partierna i storleksordning. Eftersom det i den här delen av granskningen förekommer uppgifter som omfattas av sekretess kommer vi efter den offentliga utfrågningen att förflytta oss till KU:s sessionssal för en sluten del av utfrågningen. Det blir ett gemensamt ansvar för ledamöterna och för statsrådet att hålla ordning på vad som omfattas av sekretess och vad som kan diskuteras i den här öppna delen. Vi har från utskottets sida gått igenom materialet och tror att vi har en god bild av det och kommer naturligtvis inte att ställa frågor om sådant som vi vet omfattas av sekretess i det här öppna formatet. Skulle vi ändå göra det får statsrådet naturligtvis säga att den frågan bättre kan besvaras i det slutna formatet. Så ska vi nog kunna hjälpas åt att hantera det här. Med statsrådet följer också rättschefen i , . Varmt välkomna och varsågod, statsrådet! : Ordförande, ledamöter! Tack för möjligheten att svara på KU:s frågor om skeendet kring Transportstyrelsens it-outsourcing! Det som inträffat på Transportstyrelsen är mycket allvarligt. Det är knappt möjligt att förstå att en generaldirektör för en svensk myndighet riskerat att skyddsvärd information röjs genom att fatta formellt beslut om avsteg från avgörande lagregler. Men detta är vad som har hänt. informerades , där ett stort antal frågor var uppe, om att Säkerhetspolisen avsåg att inleda ett tillsynsärende mot Transportstyrelsen. Säkerhetspolisen hade fått uppgifter om att delar av Transportstyrelsens it-system, som skulle kunna omfatta skyddsvärd information, skulle outsourcas till utlandet efter en upphandling. Tillsynsärenden är inte ovanliga. Jag bad att Säkerhetspolisen skulle hålla informerat om ärendets gång. jag fick fanns inte anledning att göra något annat än att försäkra mig om att jag skulle hållas uppdaterad. tillskrev Säkerhetspolisen Transportstyrelsen med rekommendationer om omedelbara säkerhetshöjande åtgärder. Säkerhets- polisen informerade om detta, och informerade då genast . Bilden, riskerna och allvaret i situationen växte fram successivt. blev allvaret i situationen tydligare. informerades jag om att Säkerhetspolisen överlämnat ärendet till åklagare. Jag informerade inrikesminister när vi hade vårt närmast liggande möte efter att jag hade tagit del av denna information. lämnade Säkerhetspolisen information som innebar att bilden av situationen klarnade ännu mer. Informationen från Säkerhetspolisen innebar att vi på såg till att berörda departement fick del av informationen för att kunna följa upp respektive myndighets arbete med sårbarhetsreducering. Nödvändiga åtgärder vidtogs av myndigheterna som påverkades av de risker som uppstod. samarbetade med Närings- och Försvarsdepartementen. Det är viktigt att konstatera att det var Säkerhetspolisen som både upptäckte och som tillsynsmyndighet hanterade säkerhetsriskerna på Transportstyrelsen. De begärde inte någon åtgärd av regeringen. Hade Säkerhetspolisen begärt att regeringen skulle agera mot Transportstyrelsen hade jag tagit initiativ till att detta skett. fick fortlöpande rapporter från Säkerhetspolisen som visade att deras arbete med tillsyn och det sårbarhetsreducerande arbetet av Transportstyrelsen löpte på. Med den information som jag hade fanns det enligt min mening ingen anledning för regeringen att agera på annat sätt än vi gjorde. Informationen om att Transportstyrelsens generaldirektör fattat formellt beslut om att göra avsteg från gällande lagregler fick jag kännedom om först efter att jag avslutat min tjänst som statssekreterare. Sammanfattningsvis: Insikten om problemen i Transportstyrelsen växte fram gradvis, först genom information om att ett tillsynsärende påbörjats , sedan med information om förhållanden som föranledde Säkerhetspolisen att tillskriva Transportstyrelsen , sedan att Säkerhetspolisen överlämnade ärendet till åklagare , och den fördjupade information som därefter följde. Min bedömning är att vi i vidtog lämpliga åtgärder givet den information och kunskap som vi hade vid varje givet tillfälle. Jag vill återupprepa att de grundläggande felen skedde på Transportstyrelsen. Jag hade aldrig kunnat tro att en myndighet skulle välja att ignorera varningar från Säkerhetspolisen och dessutom ta aktiva beslut om att göra avsteg från regelverket. Att så ändå är fallet visar på behovet av den stärkta befogenhet som Säkerhetspolisen får . Ordföranden: så mycket för denna inledning! Då övergår vi till att ställa frågor. Anmälande partier här inkluderar , så jag börjar med att ställa några frågor. Statsrådet var ju som statssekreterare ansvarig för att leda krishanteringsarbetet i och hade också möjlighet att sammankalla den särskilda statssekreterargruppen, gruppen för strategisk samordning, med de statssekreterare vars verksamhetsområde berörs av en krissituation. När sammankallades gruppen i det här sammanhanget? : Tack för frågan, herr ordförande! gör man en bedömning av vad som är mest effektivt när det gäller att hantera en situation, en kris eller en allvarlig händelse. Jag sammankallade inte gruppen för strategisk samordning med anledning av ärendet på Transportstyrelsen, därför att det inte hade varit ett lämpligt format. Vi träffades i GSS-gruppen i akuta frågor som krävde att hela krishanteringsorganisation kopplades in, till exempel under den här hösten när det gällde terrorhot, ebola och flyktingkrisen. Jag är också beredd att berätta mer om exakt hur GSS arbete går till i den slutna delen av sammanträdet. Ordföranden: kan säga att i efterhand är det ju många som tycker att just samordningen inom och informationsspridningen var en av de saker som inte fungerade så väl, och det är en av de frågor som KU granskar. Här var flera departement berörda – , Närings- departementet, Försvarsdepartementet, Statsrådsberedningen och i någon utsträckning möjligen också . Hade det då inte varit en lämplig och effektiv åtgärd att ha en grupp som arbetade med att hantera den här krisen? : Tack för frågan, herr ordförande! Nej, min bedömning var att GSS inte var lämpligt i detta sammanhang utan att man skulle gå via de ordinarie kanalerna med de tre departementen som huvudsakligen var involverade, det vill säga Justitie-, Närings- och Försvarsdepartementen och sedan i viss mån Statsrådsberedningen, framför allt när det gällde information, via expeditions- och rättschefer och de upparbetade kanaler som fanns. Huvudärendet gällde att se till att myndigheterna införde de sårbarhets- reducerande åtgärderna så att det inte uppstod mer skador än nödvändigt. Ordföranden: nämnde det här brevet som Säkerhetspolisen skickade till Transportstyrelsen med krav på omedelbara säkerhetshöjande åtgärder, inklusive att avbryta hela eller delar av outsourcingen. När fick statsrådet i egenskap av statssekreterare kännedom om att det här brevet hade skickats? : Tack för frågan, herr ordförande! Jag fick kännedom om brevet efter. Dessvärre har jag inte noterat exakt när jag fick kännedom om brevet, så det kan jag tyvärr inte svara på. Dessutom hade vi ett möte med Säkerhetspolisen i princip som brevet skickades, då detta inte togs upp. Ordföranden: Och när statsrådet fick kännedom om det här brevet med dess, får man väl säga, allvarsamma innehåll, vad gjorde statsrådet då? : Tack för frågan, herr ordförande! När jag fick kännedom om brevet konstaterade jag att Säkerhetspolisen har tagit den här frågan på allvar och tillskriver Transportstyrelsen, och då väntar vi naturligtvis på svar från Transportstyrelsen. Ordföranden: Det här brevet skickades . Sedan, enligt den beskrivning som KU har fått del av i skriftliga svar, framstår det som att nästa livstecken eller åtgärd från sida verkar ha ägt rum i året därpå, alltså . Är det en korrekt beskrivning? : Det är en korrekt beskrivning att Transportstyrelsen inte svarade på brevet förrän och att vi då fick information om hur Transportstyrelsen hade svarat. Ordföranden: såg inte anledning att på något sätt agera under ? : Tack, herr ordförande! Nej, om inte Säkerhetspolisen som skickade brevet såg anledning att be oss skynda på eller göra någonting fann vi heller ingen anledning.