bet · H501KU20d3 · 2018-01-01 00:00:00 — Däri ligger risken – eller som det nu sägs, det uppenbara faktum – att rikets säkerhet är hotad eller kanske skadad. : var på flera sätt fångad i en situation som inte var hennes egen skapelse, om man säger så. Hon var ny på posten, upphandlingen hade skett , hon får dokumenten presenterade av sina relativt nya medarbetare, hon är kanske inte så insatt i vad frågan handlar om och man har tydligen gjort avsteg på myndigheten förut. Men man kan ändå inte säga annat än att här var det en erfaren general- direktör som tittar på ett beslut där det står att vi ska bryta mot offentlighets- och sekretesslagen, mot personuppgiftslagen och mot säkerhetsskyddslagen och som sedan skriver på ett sådant beslut. (SD): Vi har i rapporten kunnat konstatera att säkerhets- arbetet på myndigheten har varit eftersatt under en väldigt . Justitie- rådet nämnde här att styrelsen har ett stort ansvar, och det har givetvis även tjänstemän på olika nivåer. Han nämnde också något om en handläggare hos UD som hade gett information som förmodligen hade misstolkats. Vi har också i andra sammanhang när vi har tittat på och granskat hur regeringen arbetar med utnämning, styrelser och tillsättning av styrelser kunnat konstatera att när en styrelse tillträder får ledamöterna ganska mycket information om olika saker. Det gäller jämställdhetsfrågor och så vidare utöver det praktiska arbetet. Men det finns ingenting som nämnvärt handlar om Vi har också kunnat få intrycket av att i den löpande dialogen, tertialrapporter och tertialmöten, hanteras dessa frågor på ett sätt som åtminstone är svårt att följa i efterhand. Min fråga till justitierådet blir om han och utredningen kan, vill och vågar summera något om hur han och utredningen ser på vilka förutsättningar regeringen ger myndigheterna och dess ledningar att faktiskt kunna bedriva en adekvat verksamhet på ett ändamålsenligt sätt med hänseende på och avseende säkerhetsfrågor. : Jag tror att det är svårt att ge något bra, kort och snärtigt svar på den frågan. Som vi var inne på tidigare ligger det i den svenska förvaltnings- modellen att varje myndighet får ett uppdrag via både sin instruktion och sitt regleringsbrev med de uppgifter man har enligt lagstiftningen, och så får man en påse pengar – en del av dem lite mer öronmärkta än andra. Sedan ska man göra det man ska, och man förväntas klara av det. Som vi var inne på har informationssäkerhetsfrågorna varit besvärliga. Myndigheterna har generellt sett haft svårt att leva upp till kraven i lagstiftningen vad gäller informationssäkerhet . Det är möjligt att regeringen skulle kunna göra mer samlade insatser. Om jag inte minns fel finns det en rekommendation av som vi nämner om att man skulle ha ett mer riktat och kanske mer operativt stöd till myndigheter för att minska risken för att kärnverksamheten och vardagsverksamheten tar över på ett sätt som tar bort fokus från att detta måste göras. Om jag kommer ihåg rätt har rekommenderat detta. De vill i alla fall att man ska utreda möjligheten, hör jag här av min medarbetare. Det är möjligt att det skulle krävas någonting mer än den vardagliga styrning och kontroll som regeringen har utövat under de decennier då vi har varit med om att det inte har funkat så bra. (SD): Det kanske är en lite ledande fråga, men ser justitie- rådet att det finns någon ytterligare information som skulle vara fördelaktig om den delgavs till exempel styrelseledamöterna i anslutning till att de tillsattes? Det skulle då komplettera informationspaketet med vart man kan vända sig om man till exempel behöver mer information om olika saker och ting. Du kan få svara på det. : Jag kan inte svara generellt för hur det är på alla myndigheter. Men i Transportstyrelsen fanns det, som vi sa tidigare, ett visst hemlighets- makeri som nog var skadligt för hela processen. Där tror jag att styrelsen utan att det hade funnits några som helst faror för sekretessbrott eller så hade kunnat få en väldigt allmängiltig information om exempelvis det som står i lagen om kvalificerade skyddsidentiteter. Därmed hade styrelsen också kunnat få veta att de i sina system som de som styrelse ansvarar för har sådana uppgifter som är av betydelse för rikets säkerhet. Då kunde man tänka sig att vissa eller alla styrelseledamöter hade fått frågor om vad som händer med outsourcingen och hur det skulle komma Men genom att man inte pratade om dessa frågor kom man inte heller att väcka sådana frågor. Jag tror absolut att man kunde ge mer information och att det ibland har varit en alldeles för tyst kultur. (MP): Jag ska gå tillbaka till en av de första frågor som ställdes, om den rapport som Transportstyrelsen tog fram. Det står om detta i rapporten på s. 177 om ni vill följa med. Ni beskriver detta väldigt väl. Jag har bara en konkret fråga: Har ni fått hela den andra rapporten – den där som sedan inte skickades till regeringen – till er utredning så att ni har kunnat läsa delarna kring outsourcing som den informationssäkerhetsansvarige då skrev ned? : Du menar den version av rapporten som fanns innan den i viss utsträckning redigerades? (MP): Ja. : Nej, det har vi inte. Vi har bara pratat med den person som skrev denna rapport. Han har i en intervju till oss uppgett att hans rapport innehöll …Jag kommer faktiskt inte ihåg exakt om han var inne på detaljer och berättade att han skrev det och det. Jag tror att han bara mer översiktligt sa: Jag skrev andra saker. Det var mer detaljer och risker som han skrev om och som sedan kom att tas bort, säger han till oss. Vi har inte fått se det utkast till rapport som aldrig lämnades in. (MP): Och som gjorde att han inte ville stå bakom den längre. Vet ni om styrelsen fick någon information om denna rapport? : Det vet vi inte, och det tror vi inte. Det finns ingenting, vad jag kan påminna mig, i vårt material som tyder på att rapporten drogs för styrelsen eller diskuterades vid något styrelsemöte. vill säga någonting om detta. : Vi har frågat generellt om hur riskanalyserna har hanterats i myndigheten. Då har vi fått svaret att risk- och sårbarhetsanalyserna som det här avser inte har hanterats i styrelsen. Däremot finns det andra riskanalyser kopplade till internstyrningskontroll som styrelsen har varit involverade i, men inte dessa RSA, som de kallas för, alltså risk- och sårbarhetsanalyser. Det skulle innebära att rapporten inte har tagits upp. (MP): Jag tänkte mer så här: Är det inte ganska rimligt att en rapport som överlämnas till regeringen också skulle dras i styrelsen? : Det kan man tycka. (L): Hela detta säkerhetshaveri – så får vi väl ändå lov att kalla det – som har varit på Transportstyrelsen och kommunikationsbristerna mellan och Transportstyrelsen kom egentligen till ytan just genom hela affären med outsourcing eller utkontraktering. Låt mig ställa frågan så här: Är problemet egentligen outsourcingen som sådan, eller finns problemet mer strukturellt och individuellt hos Transport- styrelsen och eventuellt andra inblandade? : Vi var inne på detta tidigare också. Vår uppfattning är att outsourcing eller utkontraktering – det var ett bra svenskt ord, så tack för det –antagligen inte är problemet i sig. Det är nog så att nästan alla myndigheter i på ett eller annat sätt måste ha detta. Man sköter inte sin städservice, sin kaffehantering eller vad det nu kan tänkas vara med egen personal, utan man hyr in företag som gör de här tjänsterna åt myndigheten. I större eller mindre utsträckning förekommer det precis överallt. Det är en ganska vardaglig sak. Men som vi har pekat på tidigare och som är så tydlig med –som vi tog upp tidigare här – måste detta föregås av en analys av vad som kan outsourcas och hur det ska göras. Det är där pudelns kärna är. (L): Men skulle man säga att det bara är sådant som kaffe- kokning och städning som i vanliga fall outsourcas eller utkontrakteras, eller är det även andra uppgifter? : It-drift är en väldigt vanlig sak att outsourca. Men, och detta vill jag poängtera, det kan vara så att det finns saker som inte alls bör outsourcas över huvud taget. Man kan fundera över exempelvis det svenska folkbok- föringsregistret, som väl för åt oss. Tänk om vi skulle komma fram till att det vore väldigt mycket billigare att ha det i ! Det skulle det säkert vara. Det innehåller väl inte något hemligt; låt oss påstå det. Men även om det inte finns några sekretessmässiga eller andra problem finns det kanske ibland ett sådant samhällsintresse av vissa saker som gör att man inte bör outsourca ändå. Men det är en bedömning som man måste göra för varje funktion, i varje myndighet och så vidare. Jag tror inte att man kan uttala sig generellt om det här. Ordföranden: har en kompletterande fråga, och så ska vi strax gå ned för landning. (S): Det gäller lite grann det här med styrelsens ansvar. Det här är ju en styrelsemyndighet. Det står enligt myndighetsförordningen att man ska behandla ärenden av principiell karaktär eller sådana som är av större betydelse. Som skäl till att it-upphandlingen inte behandlats i styrelsen får ni ett svar att it-driftsupphandlingen inte är principiell – men viktig. Jag tycker väl att ”viktig” och ”av större betydelse” betyder samma sak. Har man då inte uppen- bart brutit mot vad som ska behandlas i styrelsen? : kommer vi in på sådana där lite svåra frågor om hur man ska bedöma en viss sak. Jag tror att för vissa myndigheter, och kanske för Transportstyrelsen i det här fallet, uppfattar man it-driften som väldigt mycket av en logistikfråga. Det är nästan som lokaler, vvs och så där – det ska fungera, bara; det har ju egentligen inte med verksamheten att göra, utan det är en basal grej som bara ska fungera för myndigheter. Då är det ju inte av större vikt för myndigheter om vi ska hyra den eller den lokalen och så där. Tänker man så kring it-driften är det ganska naturligt att det här … Det är viktigt för myndigheterna att det fungerar, men det är inte av betydelse. Men om man tänker på vad det är som finns i it-systemen, vilka informations- mängder vi har och vilken betydelse det har för vår myndighets funktion kanske man hade tänkt annorlunda. Jag tror dock att man hade synsättet att det här är en logistikfråga, och då blev det – som jag var inne på tidigare – en felbedömning. Man borde ha tänkt annorlunda kring it-driften. (S): Återigen, tillbaka till styrelsens ansvar: När man då har begått ett lagbrott, hur reagerar styrelsen på generaldirektörens lagbrott? Kompletterat till det: Att man hamnar i den här situationen beror, när man läser materialet, väldigt mycket på att man forcerar flera upphandlingar till- sammans med den här stordatormigreringen – vad nu migrering är. Är det ett ärende som också är förankrat i styrelsen, att man ska driva de här processerna ? Det känns nämligen också som någonting av större vikt. : När det gäller den första frågan är det så att styrelsen får information , om jag kommer ihåg rätt – den 12 eller 15 eller någonting sådant. Då uppger , som är styrelseordförande, till oss att den informationen var ganska abstrakt. Man fick information om att det hade gjorts avsteg och att de gjordes för att man skulle kunna hålla tidsplanen. Styrelsens diskussion, som vi har fått den redogjord för oss, var i termer av att det här inte var bra men att alternativet var att stänga ned verksamheten, och det hade ju inte varit möjligt. Man var alltså i en omöjlig valsituation, och man kände sig obekväm. Men man godtog information – och det var en informationspunkt från generaldirektören. säger också till oss att han inte såg avstegsbeslutet då – han fick se det först när hade sitt förhör med honom – och att inte heller någon annan i styrelsen såg hur det såg ut. Han har nämligen sagt att han kanske hade reagerat annorlunda om han hade sett det. Så ser den bild ut som vi har fått av den biten. Sedan är det naturligtvis så att styrelsen inte var inblandad i någon av dessa upphandlingar i något formellt skede, utan man fick information. Det var generaldirektören som drev dem, och de avdelningar som var ansvariga. Så styrelsen fick information men tog inte beslut. Man gjorde bedömningen också av stordatormigreringen att den inte var av större vikt eller hade principiell betydelse. Ordföranden: Jag ser inga ytterligare frågor, så jag ska bara avslutningsvis peka på en sak som står på s. 192. Vi har varit inne på det lite grann tidigare, men det handlar om varför man går eller inte går till regeringen. Det står att det ”framgår av uppgifter till utredningen att myndighets- ledningen uppfattat att regeringen inte vill ha mer information än vad som är absolut nödvändigt och förväntar sig att myndighetscheferna klarar av sina uppdrag utan sådana kontakter”. Den bild ni har fått är alltså, så att säga, att regeringen har sänt signalen eller gett bilden till myndighetsledningen att man inte vill veta saker – att man inte vill bli besvärad med en massa påstötningar och information? Är det så det har beskrivits för er? : har jag svårt att komma ihåg exakt hur formuleringarna var, men det var nog snarare så att det handlade om att regeringen inte vill ha onödig information. Det uppfattar man som generaldirektör som att om allting går bra – eller i vart fall är under kontroll – finns det ingen anledning att specifikt ta upp detaljer om sådant. Det här går bra, och det där löper på; så tror jag nog att det ska uppfattas snarare än att det finns någon instruktion från regeringen att ”Kom inte hit och besvära oss!”. Så ska man inte läsa det. Men det är nog någon av generaldirektörerna vi har pratat med – jag kan inte säga på rak arm … Jo, det var som sa att man som generaldirektör inte vill komma med information som inte känns central och viktig. Som vi var inne på tidigare dröjde det i vart fall till tills, som hon säger, hon förstod hur viktiga avstegsbesluten egentligen var och vad de hade för konsekvenser. Ordföranden: Ett varmt tack till er alla tre för att ni kom till konstitutions- utskottet, svarade på våra frågor och gav värdefull information! Tack för era utmärkta insatser! Med det ajournerar vi KU:s sammanträde. Bilaga B3 Internrevisor , Granskningsärende 9 och 12 Regeringens agerande i samband med Transportstyrelsens it-upphandling (se avsnitt 5.2) Granskningsärende 10–11 och 15 Förra regeringens agerande i fråga om Transportstyrelsens it-upphandling (se avsnitt 5.1) Ordföranden: är och jag förklarar öppna sammanträde inlett. Vi ska ha flera utfrågningar i vår granskning av de ärenden som heter Regeringens agerande i samband med Transportstyrelsens it-upphandling, G9 och 12, samt ärendet Förra regeringens agerande i fråga om Transport- styrelsens it-upphandling, G10, 11 och 15. Vi börjar med internrevisor vid Transportstyrelsen, som visäger varmt välkommen till. Hon har som bisittare med sig , generalsekreterare i branschorganisation, och , rådgivare och kvalitetssäkringskonsult inom internrevision. Ni är alla tre varmt välkomna till . Tanken är att får göra en inledning. Därefter ställer vi frågor från partierna, anmälande partier först och därefter partierna i storleksordning, i så många rundor som behövs. : Tack för inbjudan! Jag ska först kort ge en bakgrund och ramar för vad jag kan tillföra KU i denna utfrågning och därefter redogöra för händelseförloppet internt på Transportstyrelsen utifrån mitt perspektiv som internrevisor. Det gäller främst , eftersom det var då besluten om avsteg från lagar fattades. Men jag ska också berätta lite om åren före och efter detta och hur jag ser på bakomliggande faktorer till det som har hänt och vilka lärdomar som kan dras. Jag är internrevisionschef vid , efter att myndigheten hade bildats så den var relativt ny när jag kom. Jag är ekonomie magister och har även läst statsvetenskap. Jag har lång erfarenhet av revision i olika sektorer – privat, och statlig revision – och har en certifiering i offentlig revision. Jag ska kort säga något om internrevisionens roll. Att det finns en internrevision vid Transportstyrelsen är på grund av att regeringen har bestämt att det är en av de myndigheter som ska ha en internrevision, eftersom det är en viktig myndighet som behöver ha god intern styrning och kontroll. Internrevision är styrelsens verktyg och stöd att användas proaktivt för att styrelsen ska vara trygg i att verksamheten fungerar väl. I staten handlar internrevision inte bara om att granska pengar eller ekonomi, utan det handlar minst lika mycket om att granska verksamheten, att den fungerar väl, effektivt och rättsenligt, att man når sina mål och så vidare. 2017/18:KU20 BILAGA B UTFRÅGNINGAR Jag ska bedöma risker i hela myndigheten och granska och ge råd på styrelsens uppdrag när de behöver mer information eller en objektiv bedömning på något område. Det är styrelsen som ansvarar för verksamheten och avgör vilka risker de accepterar, vad de vill ha granskat av mig och så vidare. Jag rapporterar de övergripande riskanalyserna och även iakttagelser och rekommendationer på enskilda granskningsområden där jag pekar på förbättringsområden. Jag ser inte det som har hänt som en specifik it-händelse, som det kallas internt inom Transportstyrelsen. Jag anser att det finns mer generella lärdomar att dra av det som har hänt och att det finns en rad bakomliggande faktorer. Exempelvis har jag reflekterat över styr- och uppföljningskedjan i staten. När det gäller graden av uppföljning uppifrån, från departement och regering, kan jag inledningsvis säga att jag inte har blivit tillfrågad uppifrån om vad internrevisionen har sett för risker i myndigheten. Jag har inte haft någon direktkontakt med departementet, eftersom jag rapporterar till styrelsen. Departement och regering har inte heller kontaktat mig för att ställa frågor. Jag ska kort också säga något om några övergripande riskområden inom myndigheten som jag ser som relevanta och bakomliggande till det som har hänt och som jag också har rapporterat . Jag har i riskanalyser och även i rapporter skrivit att det har förekommit ett reaktivt förhållningssätt och ett stuprörstänk mellan avdelningar och kompetenser som behöver samarbeta. Jag har hört att ni även fick höra från om den interna kommunikationen, som är en utmaning på olika sätt. Jag ser också utmaningar inom ledning, styrning och uppföljning. Från mitt perspektiv har styrelsen intagit en relativt svag roll som passiv informationsmottagare. Av detta följer att också internrevisionen har fått en relativt svag roll. Som ni också känner till är det lite oklarheter i styrelsemyndigheter. Generaldirektören är generaldirektör och styrelseledamot och den som i huvudsak har kontakterna med departement. Som en oren ledningsform har jag fått till mig att det kan ses som, och det kan jag hålla med om. Detta påverkar hur styrelse, generaldirektör och internrevision interagerar. Vi har sett att det kan förekomma att man vid tidspress tar genvägar i den mån man kan och att det finns en konsensuskultur som har förekommit . Jag har försökt att föra fram riskanalyser, där jag ibland har framfört att jag ser lite mer allvarligt på vissa risker, exempelvis oegentlighetsrisker i myndigheten. Som ni också ska ha läst i rapport är risk- och sårbarhetsanalysen en av de riskanalyser som bör nå styrelsen för att man ska ta ett helhetsgrepp om alla risker i myndigheten och som styrelse äga riskerna i myndigheten. Jag ser neutralt på det som har hänt . Alla tre generaldirektörer som myndigheten har haft vid det här laget har försökt jobba med de utmaningar som jag har nämnt, stuprörstänk och kortsiktigt agerande. Man har gjort det på olika sätt, mer eller mindre framgångsrikt. Men utmaningarna kvarstår och tar sig uttryck på olika sätt. Jag ska kort nämna lite om de granskningar jag gjort . Projektstyrningen granskade jag 2012. Jag såg redan då att det fanns kommunikationsproblem och problem med samarbete och samordning i projekt. Det var otydlighet i ansvar och roller, och det hände att det blev fördyringar och bristande kvalitet i projekt. Detta har jag upplevt att man haft en hög medvetenhet om och försökt jobba med . Men när det är komplexa frågor som man ska arbeta med i projekt kan det bli den sortens utmaningar. granskade jag också it-styrning och informationssäkerhet med allvarliga iakttagelser, som det stod i rapporten som rekommenderade att man skulle intensifiera arbetet med implementering av sitt ledningssystem för informationssäkerhet. Även detta med behörighetshantering och logg- hantering är väldigt viktigt. Det är inte bara jag som har gett rekommenda- tioner på de här områdena utan även på vissa av dem. Arbetet går framåt med de här sakerna, men gradvis. Jag bedömer att det har funnits en hög medvetenhet internt om att det funnits övergripande brister på de här områdena. Jag ska berätta något om händelseförloppet 2015, som har uppmärk- sammats, när beslutade om avsteg från lagar. Jag hade uppmärk- sammat signaler om att det fanns en frustration hos säkerhetsfunktionerna inom myndigheten, som då var utspridda som har beskrivit, och en oro över att myndigheten kunde vara på väg att begå fel i relation till krav på informationssäkerhet. Det var inte helt tydligt vilken sorts krav och vilken sorts brister det var och hur allvarliga de var. Men det var väldigt tydligt för mig att det inte fanns en samsyn kring detta, utan att man hade olika bild. Det här gällde inte bara på säkerhetsområdet, utan jag har fått liknande signaler från andra områden om bristande samsyn och brister i den interna kommuni- kationen. tog över som generaldirektör . började händelseförloppet, som framgår tydligt av Säpos förundersökning. kontaktades jag internt av säkerhetsskyddschefen, som berättade för mig att det skulle ha tagits beslut om avsteg från ett par lagar. Då undersökte jag detta vidare och kontaktade den it-säkerhetsansvarige. Jag ställde frågor och fick veta mer om vad som låg bakom, hur beslutsdokumenten var formulerade och vad som var skälet till formuleringarna. Jag fick veta att man hade formulerat beslutsdokumenten utifrån de olika bilderna och den bristande samsynen för att få ansvariga att förstå allvarsgraden i detta och att det av det skälet togs ända upp till generaldirektörsnivå. Man blev häpen över att beslutsdokumenten ändå skrevs under. Detta var alltså . Jag mejlade då generaldirektören, som framgår av Säpos förundersökning, för jag är ansvarig för att generaldirektör och styrelse är informerade om väsentliga risker. Sedan har jag inte någon möjlighet att själv agera och inte heller att kräva att man agerar. Men jag är ansvarig för att de som ska agera ska ha informationen så att de kan agera. fick jag svaret på mitt mejl till att hon inte tänkt på att styrelsen kunde behöva informeras men att hon skulle ta upp det på styrelsemötet . Sedan kunde jag inte med säkerhet se att det hade varit uppe på styrelsemötet, för det var helt enkelt lite diffust i protokollet. För att jag skulle vara säker på att hela styrelsen kände till detta kontaktade jag styrelseordförande och min andra kontaktperson i styrelsen. Vi hade ett möte , där jag väldigt tydligt ställde frågan till dem: Känner styrelsen till de här avstegen, och hur väl informerade är ni i styrelsen? Jag fick det tydliga svaret, som jag dokumenterade skriftligt i ett mötesprotokoll, att de mycket väl kände till avstegen och skälen till dem. Mötesanteckningarna skickades till hela styrelsen inför deras oktober- sammanträde och låg med i handlingarna där. Alla ledamöter i styrelsen ska alltså ha kunnat ta del av mötesanteckningarna, där det står tydligt att de kände till vilka lagar det handlade om och att det var avsteg från lagar. Sedan har jag förstått att de inte riktigt diskuterade frågan. Jag var inte med när hade informerat dem, men de skulle ha fått både muntlig och skriftlig information vid det här laget, . fortsatte jag att försöka följa vad som hände. Jag förstod att hade inlett tillsyn och var inkopplade på detta. Det kändes tryggt för min del.