# Vidta nödvändiga åtgärder för att hantera risker i verksamheten

---

Myndigheter som ska följa förordningen om intern styrning och kontroll ska vidta åtgärder som är nödvändiga för att kunna acceptera en risk i verksamheten. Åtgärderna kan vidtas självständigt eller i samarbete med andra myndigheter. Här beskriver vi olika sätt att vidta sådana nödvändiga åtgärder.

En myndighet ska vid behov vidta åtgärder för att kunna acceptera risker i verksamheten. Det framgår av 4 § förordningen (2007:603) om intern styrning och kontroll.

## Nödvändiga åtgärder vidtas för att kunna acceptera en risk

En åtgärd är nödvändig om den behövs för att  acceptera en kvarvarande risk i verksamheten. En åtgärd minskar en identifierad risk så att myndigheten, trots kvarvarande risk, med rimlig säkerhet kan bedriva en verksamhet enligt de krav som följer av ledningens ansvar för verksamheten.

En myndighet kan också vidta åtgärder av andra anledningar än att acceptera en viss nivå på risken. Exempel på sådana åtgärder kan vara insatser för att fortlöpande utveckla verksamheten. Det är aktuellt när det gäller att förebygga risken för korruption otillbörlig påverkan, bedrägeri och andra oegentligheter.

## Åtgärderna bör vara kostnadseffektiva

Kostnaden för att vidta en åtgärd ska ställas i relation till myndighetens antagande om vad kostnaden blir om risken faller ut. Åtgärder som fördyrar verksamheten är effektiva om de minskar kostnaderna för fel i förvaltningen.

Ju högre kostnad risken medför om den faller ut desto högre kostnad för åtgärden kan myndigheten acceptera. Så länge kostnaden för åtgärden är lägre än kostnaden för skadan som uppstår om risken faller ut är åtgärden att se som kostnadseffektiv.

Om åtgärden vidtas utan att den är kostnadseffektiv behöver det motiveras av något annat. Det kan till exempel vara att myndigheten vill minska risken för förtroendeskada när kostnaden för en sådan skada inte kan bedömas. Det gäller exempelvis risker om oegentlighet i verksamheten och risker som hotar rättssäkerheten.

## Åtgärder vidtas med beslut om åtgärd

Med ”åtgärder vidtas” menas att myndigheten beslutar om en åtgärd samt det efterföljande genomförandet av beslutet. Myndigheten uppfyller förordningskravet om att åtgärder ska vidtas redan vid beslutet. Myndighetsledningen har därmed kontroll över risken i verksamheten i och med att myndigheten har fattat beslut om åtgärden.

Kontrollen verifieras sedan av den systematiska och regelbundna uppföljningen och bedömningen av åtgärden. Kontroll över verksamheten innebär att ledningen vet vilka risker den tar i verksamheten och vad som ska göras för att acceptera riskerna.

Men i väntan på att åtgärden är vidtagen är risken de facto accepterad. Det beror på att det sällan är ett alternativ i statlig verksamhet att avstå från att genomföra verksamheten i väntan på att åtgärden är införd. Myndigheten kan dock om det är möjligt vidta andra kompletterande åtgärder för att minska en risk i väntan på att den beslutade åtgärden är vidtagen.

## Åtgärder blir kontroller i verksamheten

En åtgärd som myndigheten kan vidta är att införa eller förändra något i formerna för verksamheten, exempelvis i myndighetens regler och rutiner. När åtgärden sedan är införd räknas den som en kontroll i verksamheten.

En kontroll kan vara en del av formerna för handläggningen av ett ärende. Men kontroller kan också vara generellt kopplade till handläggning, som exempelvis myndighetens kompetensförsörjning.

Vissa kontroller kan också finnas i verksamheten med anledning av att de är reglerade. Det gäller till exempel när

* myndigheten förordnar de tjänstepersoner som får förfoga över myndighetens medel
* avstämningar utförs av annan än den som utför eller registrerat betalningen.

Detta är reglerat i [32 § Ekonomistyrningsverkets föreskrifter och allmänna råd (ESVFA 2022:2) om myndigheters bokföring](/ea-regelverket/redovisning/myndigheters-bokforing/#k-ovrigt-p-22). Men det är underförstått att dessa kontroller hanterar en risk.

## Samarbeta med andra myndigheter om åtgärder

Det händer att en myndighet identifierar en risk för den egna verksamheten som en annan myndighet kan åtgärda. I sådana fall ska de berörda myndigheterna samarbeta för att vidta åtgärden. Det gäller enligt 3 § Ekonomistyrningsverket föreskrifter och allmänna råd (ESVFA 2022:8) om intern styrning och kontroll. Myndigheter ska även verka för samarbete och samverkan enligt 6 § myndighetsförordningen och 8 § förvaltningslagen.

Om flera myndigheter har identifierat samma behov av åtgärd på en och samma myndighet bör den myndighet som kan vidta åtgärden informera samtliga andra berörda myndigheter om att åtgärden berör risker på flera myndigheter. Därmed blir det möjligt för samtliga berörda myndigheter att delta i samarbetet för att avgöra vilken åtgärd som behöver vidtas.

## Ta ställning till föreslagna åtgärder från andra myndigheter

En myndighet som har informerats om att den behöver genomföra en åtgärd för att hantera en risk på en annan myndighet behöver pröva om den kan och bör genomföra åtgärden. Myndigheten ska därefter informera den andra myndigheten om sitt ställningstagande och skälen som ligger till grund för det.

Den myndighet som har identifierat risken behöver därefter ta ställning till om den föreslagna åtgärden är tillräcklig. Är åtgärden otillräcklig behöver myndigheten ta ställning till om den ska ändra sin tidigare bedömning och acceptera den ursprungliga risken.

Kan myndigheten inte göra det behöver den informera regeringen om att det föreligger en risk i verksamheten som myndigheten inte kan acceptera, och där åtgärden behöver genomföras av en annan myndighet.

Senast uppdaterad:
2023-02-23

Innehållet är granskat:
2025-08-11