Regelefterlevnad – Digitala verktyg och personligt stöd

Den nya cybersäkerhetslagen (som bygger på EU-lagstiftning) har blivit ett hett samtalstema i näringslivet. Lagens huvudsakliga syfte är tydligt: att höja cybersäkerheten och incidentberedskapen i hela samhället samt ge företagsledningar ett tydligare ägarskap över säkerhetsfrågorna. Fokus ligger på samhällskritiska verksamheter, såsom myndigheter, kommuner, energibolag och matförsörjning. Så varför pratas det då så brett om en lag som specifikt riktar sig till kritiska samhällsfunktioner? Svaret stavas leveranskedjan. ### Kraven som ärvs neråt i leden I lagstiftningen finns ett strikt krav på att de organisationer som omfattas måste säkerställa att hela deras leveranskedja är cybersäker. När en myndighet eller ett energibolag upphandlar varor och tjänster måste de kontrollera sina leverantörer. I praktiken innebär det att oavsett om du driver ett stort eller litet bolag, kommer du att mötas av tuffa säkerhetsfrågor i framtida upphandlingar. Kraven ärvs helt enkelt neråt. En svaghet hos en underleverantör flera led bort blir i slutänden en svaghet för den samhällsviktiga verksamheten. ### Compliance-börda eller verklig nytta? Det är lätt att se nya lagar som mest onödig administration. Men mycket av arbetet har en påtaglig nytta och om man tar sig an arbetet på ett klokt sätt så behöver det heller inte vara så betungande. Informationssäkerhet handlar i grunden om struktur och när man har fått strukturerna på plats innebär det säkerhetsförbättringar som är med och skyddar verksamheten varje dag. I en tid med frekventa cyberangrepp och phishingförsök är en god "cyberhygien" direkt avgörande för alla företag. ### Tre steg för att ta sig an projektet För mindre organisationer som saknar en stor IT-budget eller en egen compliance-avdelning handlar det om att vara konkret och avgränsa området. Arbetet kan kokas ner till tre centrala steg: 1. Gör tekniskt rätt: Börja med de lågt hängande frukterna. Inför tvåfaktorsautentisering på alla system, se till att brandväggar är påslagna och gör löpande säkerhetsuppdateringar. Utbilda även personalen kontinuerligt så att de känner igen hot som phishing (falska mejl) och wishing (telefonbedrägerier). 2. Dokumentera: Gör en enkel inventering av era resurser – vilka mjukvaror, hårdvaror och nätverk använder ni? Identifiera riskerna kopplade till dessa och upprätta tydliga policyer. Hur hanterar ni exempelvis "Shadow IT" (när anställda använder privata telefoner eller datorer i arbetet)? Genom att dokumentera era processer har ni färdiga svar när kunderna ställer frågor i en upphandling. 3. Följ upp: Cybersäkerhet är ett rörligt mål. Med jämna mellanrum måste ni utvärdera om era rutiner stämmer överens med verkligheten, göra nya riskanalyser vid inköp av ny teknik och hålla er uppdaterade om nya hot. ### Måste man certifiera sig enligt ISO 27001? Större organisationer driver ofta tunga projekt för att certifiera sig enligt ISO 27001. För ett mindre bolag – kanske runt 50 anställda med en mindre komplicerad verksamhet – är en formell certifiering sällan nödvändig, såvida det inte krävs direkt av era kunder. Det är betydligt viktigare att ni faktiskt gör rätt och har det dokumenterat i ett välfungerande informationssäkerhetssystem som liknar strukturen i ISO 27001, snarare än att ha själva certifikatet på väggen. Här på Lantero har vi utvecklat färdiga, lättbegripliga mallar och ifyllda exempel som hjälper er att inventera era resurser, göra riskanalyser och sätta rätt struktur från början – utan att göra processen tyngre än den behöver vara.

Lantero samarbetar idag med ett 80-tal av Sveriges kommuner. Genom denna unika insyn ser vi en tydlig utveckling: aktiviteten i de kommunala visselblåsarkanalerna ökar. Men vad är det egentligen som driver på utvecklingen, hur hanterar man bäst de ärenden som kommer in, och vilka nya administrativa utmaningar väntar runt hörnet? Vi sammanfattar några av de viktigaste insikterna utifrån ett samtal med visselblåsarexperten Andreas Wahlström. ### Ökad medvetenhet och turbulenta perioder Att fler anmälningar kommer in beror främst på två saker: ökat förtroende och bättre information. Medarbetare blir alltmer medvetna om att kanalerna finns och litar på att de är säkra. Det är dock ingen helt generell trend; aktiviteten varierar stort från kommun till kommun. Vi ser en tydlig koppling till två specifika faktorer: 1. Fokus på välfärdsbrott: I kommuner som aktivt motarbetar korruption och välfärdsbrott ökar anmälningsbenägenheten. 2. Turbulens och förändring: Organisationer som befinner sig i en fas av omstrukturering eller turbulens upplever ofta ett högre tryck i sina kanaler. Erfarenheten visar också att de kommuner som är engagerade och duktiga på att kontinuerligt utbilda sin personal får in fler och mer relevanta anmälningar. ### Gallring och behovet av utredningsexpertis En av de största utmaningarna för en kommun är att hantera bredden på det som rapporteras. Mindre än hälften av de ärenden som kommer in faller faktiskt under visselblåsarlagens strikta definition. Mycket handlar istället om allmänna klagomål eller personalärenden. Trots detta har en stor del av rapporterna ett betydande värde för arbetsgivaren att få kännedom om och arbeta vidare med. När ett komplext ärende väl har identifierats uppstår nästa utmaning: utredningen. Att driva en utredning internt kan vara juridiskt och personellt komplicerat. En tydlig trend är därför att allt fler kommuner väljer att ta in extern expertis för att kvalitetssäkra utredningsarbetet och garantera en oberoende granskning. ### Den nya administrativa utmaningen: "War of the AI:s” När ett ärende har hanterats stannar det inte alltid där. Kunskapen hos journalister och allmänhet om att dessa kanaler finns har ökat, vilket har lett till en markant ökning av förfrågningar om att få ut dokument ur systemen. Detta drivs i hög grad på av AI-teknik. Eftersom granskare numera kan använda AI för att läsa och sammanfatta enorma textmängder, drar de sig inte för att begära ut omfattande loggar och samtliga ärenden. För de redan hårt belastade handläggarna på kommunen innebär detta en enorm administrativ press, eftersom sekretess- och skadeprövning måste göras skyndsamt och noggrant, då felaktiga röjanden av känslig information kan få stora konsekvenser. För att möta denna AI-drivna våg av förfrågningar har kommunerna själva börjat implementera AI-stöd i sina processer. Genom att låta en AI göra grovarbetet och flagga för potentiell sekretess kan man ofta kapa administrationstiden med omkring 80 %. Det frigör tid så att handläggarna kan fokusera på det som bara en människa kan göra: den slutgiltiga, kvalificerade skadeprövningen.

Det har nu gått ungefär fyra år sedan den svenska visselblåsarlagen trädde i kraft för landets kommuner. Det innebär att den första generationens upphandlade avtal och systemlösningar nu löper ut, vilket har startat en intensiv våg av avtalsförnyelser och direktupphandlingar. När vi blickar tillbaka på de fyra år som gått är det tydligt att mycket har förändrats. Från att ha varit ett helt nytt och oprövat lagkrav har området mognat avsevärt. Här sammanfattar vi de tre tydligaste trenderna och utmaningarna som präglar kommunernas visselblåsarlösningar just nu. ### 1. Högre kvalitet och slopade kluster När lagstiftningen introducerades var osäkerheten stor. Många kommuner gick samman i stora kluster för att göra gemensamma upphandlingar, och flera försökte bygga egna interna lösningar. I dag ser vi en helt annan trygghet på marknaden. - Tydligare kravställning: Kommunerna har samlat på sig värdefull erfarenhet. De vet exakt vad de vill ha och kravspecifikationerna håller en betydligt högre kvalitet. Man efterfrågar systemlösningar med specifik funktionalitet, som exempelvis integrerad inloggning (Single Sign-on) och avancerat AI-stöd för maskering av känsliga uppgifter vid utlämning av allmänna handlingar. - Fler köper externt: De organisationer som tidigare försökte hantera kanalerna helt internt väljer nu i allt större utsträckning att ta extern hjälp, både med rapporteringslösningen och med delar av handläggningen. - Egna inköp ersätter samordning: Tendensen att gå samman i stora kluster har minskat. Eftersom processen har visat sig vara smidig och okomplicerad väljer de flesta kommuner i dag att sköta sina inköp på egen hand. Dessutom tecknas avtalen på betydligt längre tidsperioder än tidigare (ofta upp till 6 eller 7 år), eftersom kostnadsbilden har stabiliserats och tryggheten med leverantörerna har ökat. ### 2. Stor vs. liten kommun: Oberoende i fokus Behovet av stöd i processen skiljer sig naturligtvis åt beroende på organisationens storlek, men intressant nog är det inte främst resurser som avgör. De riktigt stora kommunerna har ofta kapacitet att själva sköta en stor del av handläggningen internt. För övriga kommuner handlar det i stället om två kritiska faktorer: oberoende och kompetens. I en mindre kommun, där en handläggare kanske bara möter en handfull ärenden per år, är startsträckan lång och utmaningarna helt nya varje gång. Dessutom är det personellt svårt att garantera en helt oberoende och opartisk intern hantering. Därför efterfrågas externa parter som kan kliva in mer aktivt i flödet, göra de första bedömningarna och fungera som bollplank eller utredare i de mer komplexa utredningarna. ### 3. Arbetsmiljöverket växlar upp sin tillsyn Efter att ha hållit en relativt passiv profil under de första åren har Arbetsmiljöverket som tillsynsmyndighet nu kraftigt växlat upp sina kontroller. De gör tillsyn regelbundet för att granska hur kanalerna faktiskt fungerar – och det finns en tydlig röd tråd i vad de letar efter. Just nu ligger myndighetens fokus framför allt på det skrivna ordet. De jämför lagens bokstav med organisationens interna policydokument och dokumenterade rutiner. De förutsätter helt enkelt att det som står i organisationernas riktlinjer är det som speglar handlingen i praktiken. Förr eller senare kommer tillsynen att knacka på dörren hos de flesta offentliga aktörer, och då gäller det att dokumentationen håller måttet. ### Hur förbereder ni er? Marknaden har rört sig från osäkerhet till standardisering och stabilitet. Det syns inte minst hos kommunalägda bolag – även de med långt under 50 anställda som formellt sett inte omfattas av lagkravet. Många av dem väljer ändå att proaktivt implementera externa visselblåsarkanaler, både för det rent affärsmässiga värdet av att fånga upp nyttig information och som en viktig del av sin employer branding. Skulle ni få en tillsynsförfrågan från Arbetsmiljöverket, eller står ni inför att förnya era nuvarande avtal? Som kund hos Lantero finns vi alltid tillgängliga som ett direkt stöd. Vi hjälper er att ta fram korrekta svar till myndigheten och uppdaterar löpande vår dokumentation och våra texter baserat på aktuell praxis och erfarenheter från kunddialoger i samband med tidigare tillsynsärenden.