Regelefterlevnad – Digitala verktyg och personligt stöd

När Lantero deltog vid Mötesplats Offentliga Affärer hölls ett seminarium om hur kommuner kan arbeta mer strukturerat mot välfärdsbrottslighet.
Petter Tiger från Lantero ledde samtalet med Emrah Ercin, säkerhetsstrateg i Nacka kommun, och Lena Törneskär, kommunstrateg mot välfärdsbrott i Eskilstuna kommun. ### Från politiskt uppdrag till kartläggning I Nacka började arbetet med ett politiskt initiativ. Kommunledningen ville förstå hur utbrett problemet med välfärdsbrottslighet faktiskt var. Emrah Ercin berättar att det första steget blev att genomföra en systematisk kartläggning. För att skapa en bild av nuläget intervjuades kommunens direktörer om hur de såg på riskerna i sina respektive verksamheter. Parallellt granskades reglementen, inköpspolicyer och andra styrande dokument för att identifiera svagheter och förbättringsområden. Resultatet visade att riskerna inte bara handlar om enstaka händelser, utan om strukturer. Framför allt inom ekonomi, upphandling och avtalsuppföljning fanns utrymme att stärka processerna.
– Vi såg att det behövdes ett mer proaktivt och sammanhållet arbetssätt – inte en massa stuprör, säger Emrah. Kartläggningen blev också ett verktyg för att väcka frågan internt. Genom temadagar och utbildningar fick både chefer och medarbetare en gemensam förståelse för vad välfärdsbrottslighet innebär och varför den angår alla. ### Kunskap, engagemang och kultur Att öka medvetenheten är ett återkommande tema. I Nacka har seminarier och utbildningar gett tydliga effekter – personalen är mer uppmärksam på avvikelser och vågar lyfta frågor. Lena Törneskär i Eskilstuna håller med, men betonar vikten av att arbeta i flera lager:
– Det räcker inte att utbilda ledningen och tro att kunskapen sipprar ner. Jag behöver som strateg jobba nära förvaltningarna, lyssna på deras behov och anpassa insatserna. Hon beskriver hur hon tagit fram en intern film om systematiskt brottslighet för alla medarbetare, men också bjuder in sig själv till förvaltningar för att driva arbetet mer hands-on.
– Man måste ner i verksamheten. Det finns ingen ’one size fits all’, säger hon. På frågan om vad som ger störst effekt svarar Lena med ett leende:
Utbildning är bra – men skandaler är bättre. När konkreta fall uppmärksammas tvingas verksamheten agera. ### Riskerna i vardagen – från inköp till fakturor En central del av samtalet handlar om de praktiska riskerna i kommunernas vardag.
Emrah pekar på upphandlingar och inköp. – bland tecknas avtal med leverantörer utan att kommunen verkligen vet vem man handlar med. Bakgrundskontroller görs sällan tillräckligt noggrant, och avtalsuppföljningen är ofta bristfällig. Även attestflöden kan vara en svag punkt.
– Det går ibland för snabbt. Chefer får många fakturor och hinner inte granska ordentligt om innehållet stämmer mot avtalet, säger Emrah. Lena fyller i med ett konkret exempel:
– Det händer att medarbetare går på känsla och handlar utanför avtal. Jag minns en diskmaskin som köptes direkt i butik – leverantören visade sig ha företrädare dömda för bokföringsbrott. Det visar hur små vardagsbeslut kan bli stora risker. ### Samverkan som nyckel – Eskilstunas modell I Eskilstuna har arbetet utvecklats mot en mer samverkande modell. Lena beskriver hur kommunen samarbetar med polisen och Center mot arbetslivskriminalitet i myndighetsgemensamma insatser.
– Vi vill motverka osund konkurrens. När företag fuskar med skatter och arbetsvillkor skadas både arbetstagare och seriösa företagare. Kommunen använder flera konkreta verktyg: man begär ut uppgifter från Allmänna reklamationsnämnden, kontrollerar folkbokföring på industrifastigheter och följer upp föreningsbidrag.
Resultaten är tydliga – i över 25 samverkansinsatser har varje granskad verksamhet fått någon form av anmärkning. Lena arbetar även nära verksamheterna i praktiken. Hon sitter ofta ute på förvaltningar och hjälper till i konkreta ärenden – från föreningsbidrag till tillståndsfrågor.
– Jag ska egentligen jobba strategiskt, men jag är hellre operativ. Det är där man ser effekten. ### Ledning, mandat och uthållighet Både Emrah och Lena återkommer till ledningens betydelse. I Nacka har politiska beslut gett arbetet legitimitet och kontinuitet – det finns ingen sluttid.
– Kartläggningen gav oss mandat. Alla är med på tåget, säger Emrah. I Eskilstuna har Lena själv initierat en ny punkt i kommunstyrelsens internkontrollplan, som handlar om att följa upp hur förvaltningarna hanterar sina risker.
– Det är viktigt att bygga in frågan i styrningen, annars blir det bara tillfälliga satsningar. ### Råd till mindre kommuner Hur gör man om man inte har samma resurser?
Lena menar att politiskt stöd är första steget. – Visa hur frågan ser ut lokalt, ta fram konkreta exempel och förklara varför det angår alla. Få politiken med dig. Hon rekommenderar också att kommuner krokar arm med grannkommuner och med lokalpolisen.
– En liten kommun kan inte göra allt själv, men tillsammans finns kraft. Emrah håller med och tillägger:
– Börja enkelt. Gör en nulägesanalys, identifiera riskerna, och bygg en process för att följa upp och förbättra. ### ”Välfärdsbrott är våra gemensamma pengar” Avslutningsvis påminner båda om varför arbetet är viktigt.
Lena berättar om ett ärende där en person använt dubbla identiteter och fått bidrag i två kommuner – även för en bror som inte existerade.
– Välfärdsbrott är en upptäcktsbrottslighet. Utan kompetens och uthållighet hittar vi dem inte. Emrah sammanfattar:
– Det handlar om våra gemensamma pengar och om demokratin. Alla i kommunen har ett ansvar.

Vi har i en tidigare Intervju med säkerhetsexperten Joakim Karlén diskuterat riskhantering som en del av cybersäkerhetsarbetet. Nu följer vi upp med praktiska exempel, för att närmare illustrera temat. Nedan följer en nedkortade och förenklad sammanfattning av diskussionen. Fråga: För att bli mer konkret när det gäller riskhantering kan vi ta ett exempel som många kan relatera till: ransomware. Hur förhåller sig den typen av risk och problematik till de riskbedömningar man gör? Joakim Karlén: Ransomware är en generell risk som alltid finns där. I riskhanteringsarbetet bryter man ner det till en mer detaljerad nivå. Man tittar på sina informationstillgångar och identifierar risker som kan uppstå vid till exempel en ransomware-attack. Om vi tar ett konkret exempel: backuper till CRM-systemet. Om backupfilerna ligger kvar på samma server som själva systemet innebär det en tydlig risk. Den kan man värdera och arbeta med. Fråga: Hur ser arbetet ut mer konkret när man identifierat en sådan risk? Joakim Karlén: Om vi konstaterar att vi inte flyttar backupfilerna från servern ökar sannolikheten att problemet uppstår – den kan värderas som mycket hög. Samtidigt blir konsekvensen av ett ransomware-angrepp katastrofal. Det ger höga poäng på både sannolikhet och konsekvens, vilket gör att just den här risken får mycket hög prioritet. Då tar man fram en åtgärdsplan. Som ett exempel, om man separerar lagringsytorna och säkerställer att backuperna verkligen tas, minskar man inte risken för att ett angrepp sker. Däremot reducerar man konsekvenserna av angreppet. Det finns också åtgärder som minskar sannolikheten direkt. Ett vanligt exempel är att se till att alla operativsystem och programvaror hålls uppdaterade. Att uppdateringar genomförs regelbundet är en av de viktigaste åtgärderna för att minska risken för attacker från början. Här handlar det mer om sannolikheten än om konsekvensen. Fråga: Hur hänger begreppen incidenthantering och kontinuitetsplanering ihop med riskhantering? Joakim Karlén: De är en del av det övergripande arbetet. Incidenthantering handlar om att alla ska veta vad som ska göras när något inträffar – vem som leder arbetet, i vilken ordning åtgärder ska vidtas och hur rapporteringen ska ske. Det handlar också om att utbilda personalen i hur incidenter ska hanteras. Kontinuitetsplanering innebär att man förbereder alternativa sätt att driva verksamheten om det värsta skulle inträffa och man förlorar tillgång till viktiga system. ___ Diskussionen tar avstamp i Lanteros metodstöd för strukturering av cybersäkerhetsarbete.

Den 13 juni lanserade Svenska institutet för standarder (SIS) en ny standard för leverantörskontroll: SS 618000 Säkra affärer – Krav för säker leverantör. Samtidigt presenterades en teknisk specifikation, SIS/TS 618010, som beskriver hur efterlevnad av standarden kan verifieras av ett oberoende organ. ### Struktur för bedömning av leverantörer Standarden syftar till att professionalisera bedömningen av leverantörer och skapa en tydlig struktur för hur man ska utvärdera leverantörer vid inköp eller upphandlingar. Kraven som etableras i standarden SS 618000 kopplas till bland annat affärsstyrning, etik och ansvarstagande. Standarden adresserar också frågor om rutiner för hur information om leverantörer kan samlas in och dokumenteras. Sådan information kan handla om exempelvis ägarstruktur, förvaltningsmodeller eller tidigare erfarenheter på det aktuella temat. I förlängningen ska den här typen av beslutsstöd kunna bidra till en mer förutsebar hantering av leverantörsrisker, vilket inom offentlig sektor får en direkt koppling till resurshushållning och att förebygga välfärdsbrottslighet. ### Hjälp av externa organ Den kompletterande specifikationen (SIS/TS 618010) innehåller anvisningar för hur ett externt organ kan verifiera att en leverantör uppfyller kraven i standarden. Det kan användas i situationer där det finns behov av att visa på objektiv efterlevnad. Standardens tillämpningsområde är brett och riktar sig till både privat och offentlig sektor. För kommuner kan den vara relevant i sammanhang där man har behov av att skapa struktur för leverantörskontroll/-bedömningar och dokumentera underlaget för sina beslut. Det kan till exempel gälla prekvalificering i upphandlingar, riskanalyser eller i utvecklingen av interna rutiner för inköpsarbete. För de som vill fördjupa sig finns mer information om standarden på sis.se. ### Om SIS: Svenska institutet för standarder (SIS) arbetar generellt med att ta fram standarder som kan fungera som frivillig branschreglering, som därmed minskar behovet av tvingande lagstiftning. Arbetet sker i samverkan med företag, myndigheter och andra organisationer, och syftar till att skapa gemensamma ramar för kvalitet, säkerhet och transparens inom olika områden. Användningen av standarder är frivillig, men blir ofta vägledande för arbetet även för de aktörer som inte formellt tillämpar standarden.