Regelefterlevnad – Digitala verktyg och personligt stöd

Nedan följer en något redigerad version av den intervju vi genomförde med Sara Johansson, som arbetar med visselblåsarbedömningar på Lantero. Vi frågade henne om vad man behöver tänka på som handläggare när man börjar hantera visselblåsarärenden. Vilken typ av situationer man kan hamna i och typiska fallgropar. Intervjuare: När man kommer in som ny handläggare i en kommun och börjar jobba med visselblåsarfunktionen, vad ska man tänka på eller vad ska man förvänta sig? Sara Johansson: Man kommer behöva hitta ett sätt att skilja agnarna från vetet, eftersom det kommer väldigt många anmälningar som normalt sett inte är visselblåsarärenden. Det kan handla om att en medarbetare har bekymmer med sin chef, synpunkter på effektiviseringar eller synpunkter på hur saker är organiserade. Det är typiskt sett inte visselblåsarärenden. Sen finns det ärenden där det faktiskt finns något att titta på. Då behöver du dels fastställa att personen som anmäler tillhör den skyddade kretsen i lagstiftningen, och dels att anmälan rör ett missförhållande av allmänintresse. Det kan handla om tecken på korruption, allvarliga jäv eller tveksamma anställningar som gjorts utan att de annonserats. I vissa verksamheter kan det också finnas risker för patientsäkerheten eller samarbetssvårigheter i kritiska verksamheter. Det gäller att hitta ett sätt att skilja ut de här ärendena. Intervjuare: Det är mycket lagstiftning som ligger under det här och som man behöver göra bedömningar utifrån. Och i många lägen är det ganska glest mellan ärendena – särskilt i en mindre organisation eller kommun. Hur ska man tänka kring att hålla sig ajour med alla de här frågeställningarna? Sara Johansson: En utmaning är att det inte kommer speciellt många avgöranden från domstol. Det finns alltså inte mycket praxis att luta sig emot. Min rekommendation är därför att läsa allt som kommer ut. Att följa relevanta konton på LinkedIn – till exempel vårt – och hålla sig uppdaterad på nyhetsrapporteringen kring området. Samtidigt behöver man ha klart för sig att det finns en tydlig ordning för att hantera de här ärendena; det ska vara ett missförhållande, och det ska röra en krets som betecknas som allmänheten. Intervjuare: Och om man har frågor? Sara Johansson: Då kontaktar man Lantero. Intervjuare: Har du något exempel på en situation som kan dyka upp och som många handläggare kommer att möta när de börjar arbeta med det här? Sara Johansson: Vill du ha ett exempel på ett ärende som inte är ett visselblåsarärende? För det vanligaste är att det inte är det. Intervjuare: Ja, beskriv ett sådant ärende. Sara Johansson: Det vanligaste är något i stil med: “Hej, ni måste göra någonting. Vi orkar inte längre. Vi har en chef som är totalt urspårad.” Sedan följer en lång beskrivning av hur saker inte fungerar. Det är det absolut vanligaste. Intervjuare: Och vilket är ditt råd till kunden i det läget? Sara Johansson: Då är mitt råd att förklara att det här inte är ett allvarligt missförhållande enligt lagen, utan något som behöver hanteras i en annan ordning. Ofta lyfter man det som ett tips i organisationen – att titta närmare på hur verksamheten fungerar, snarare än att hantera det som ett visselblåsarärende. Intervjuare: Är det så att ni har fler tankar eller funderingar kring det här temat är ni varmt välkomna att höra av er till oss. Annars önskar vi er lycka till, och tack för att ni tittat.

Lantero intervjuade Therese Forsberg, utredare på avdelningen för administration i Uddevalla kommun. Therese jobbar med maskering av dokument vid begäran om allmän handling och har använt Lantero Redact under de gångna månaderna, vilket innebär att hon har fått AI-stöd med bedömning och maskering. Nedan följer en något nedkortad version av intervjun.
Intervjuare: Uddevalla är en kommun med ungefär 60 000 invånare. När det gäller begäran om allmän handling, hur stora volymer gäller det? Intervjuad: Det varierar. Det beror på vad som händer i verksamheten. När något inträffar som leder till avvikelser eller lex Sarah-ärenden, så ökar mängden. Vi får också varje vecka stadiga begäranden från vissa medier som alltid vill ha senaste veckans inkomna handlingar. Det gäller ju samtliga kommuner – vissa medier gör så kontinuerligt. Så mängden kan variera mycket, särskilt om det kommit in allvarliga ärenden. Intervjuare: I vilken mån går det här att planera? Intervjuad: Vissa delar är alltid hanterbara, men det blir svårt när det kommer stora volymer – ibland tusentals dokument. Vi har ingen person som arbetar med detta på heltid, utan vår avdelning får hjälpas åt. ### Hur det fungerade tidigare Intervjuare: Hur såg rutinerna tidigare ut kring det här arbetet? Intervjuad: Vi gjorde det på det gamla sättet. Vi skrev ut dokumenten och maskerade dem för hand med Tippex. Sedan kopierade vi och skannade in dem igen innan vi skickade dem vidare. Adobe har vissa funktioner, men de har inte fungerat fullgott. Man har kunnat lyfta bort maskningen digitalt, så vi har ändå alltid behövt skriva ut och skanna. Det har varit både tidskrävande och svårt att hantera på distans. ### Hur arbetet ser ut nu Intervjuare: Hur ser rutinen ut nu? Intervjuad: Det går mycket snabbare. Med maskningstjänsten kan vi markera det vi vill maskera digitalt och spara direkt. Vi slipper utskrifter och skanning, vilket tagit mycket tid. Jag upplever att man har bättre överblick över dokumenten och processen. Intervjuare: En idé med AI-stödet är att fler ska kunna delta i arbetet genom att acceptera eller avfärda maskningsförslag. Har ni börjat bredda hanteringen? Intervjuad: Nej, inte ännu. Vi har tagit hjälp av kollegor, men de har haft samma kunskapsnivå som vi. Så än så länge ligger ansvaret kvar inom vår avdelning. ### Träning av modellen och nya uppdateringar Intervjuare: Ni har precis fått en ny uppdatering av tjänsten. Har ni hunnit testa den och de uppdaterade förmågorna? Intervjuad: Ytterst lite, men det jag såg såg bra ut. Jag behöver testa mer för att säga något säkert. Intervjuare: Tror du bedömningarna ser likadana ut mellan olika kommuner? Intervjuad: Ja, det tror jag. Vi arbetar alla med samma typ av dokument och samma regelverk. Syftet är alltid att skydda den enskilda och undvika att röja personuppgifter. Det borde leda till samma ingång i vad som ska maskeras. ### Användarupplevelse av tjänsten Intervjuare: Några andra reflektioner? Intervjuad: Tjänsten har varit lätt att använda. Vi har upplevt den som användarvänlig och utan oklarheter eller strul. Den har fungerat hela testperioden, och det har varit tacksamt eftersom vi haft ovanligt stora volymer av ärenden den senaste tiden.

Vi intervjuar Joakim Karlén om hur man gör för att involvera samtliga anställda i arbetet med informationssäkerhet och cyberhygien. Intervjuare: Vi börjar från början – vad menas egentligen med cyberhygien? Joakim Karlén: – När man hör ordet hygien tänker man på de där sakerna man alltid ska göra, som att tvätta händerna. Det är faktiskt samma sak inom cybersäkerhet. Cyberhygien handlar om att alla ska veta och följa de grundläggande rutinerna för att skydda både sig själva och organisationen. ### Små och stora organisationer – olika förutsättningar Intervjuare: När man jobbar med mindre verksamheter; hur skiljer sig deras arbete från större organisationer? Joakim Karlén: – I större organisationer finns ofta mer struktur och stöd, som en IT-avdelning som driver säkerhetsfrågorna. I mindre verksamheter blir det individuella ansvaret större. Alla behöver förstå hur deras eget agerande påverkar säkerheten – eftersom man inte kan luta sig mot samma stödfunktioner. Intervjuare: Vilka är de vanligaste misstagen? Joakim Karlén: – Det absolut vanligaste är att man inte har ordning på sina digitala tillgångar. Man saknar rutiner för hur datorer och mobiler hanteras, eller utbildning kring grundläggande säkerhetsmoment. Det leder till att man missar enkla men avgörande skyddsåtgärder. ### Att skapa engagemang Intervjuare: Hur får man då medarbetarna att tänka aktivt på de här frågorna? Joakim Karlén: – Det börjar med utbildning. Man behöver förklara varför reglerna finns och koppla dem till det dagliga arbetet: Vad gör du i din vardag, och vilka risker finns i just de momenten? Många ser inte cybersäkerhet som en del av sitt jobb – men det är det. Precis som man inte springer omkring med saxar på ett kontor, ska man inte hantera sina digitala verktyg på ett riskfyllt sätt. Cyberhygien handlar om att förstå verktygen man använder och hur de ska hanteras på ett säkert sätt. ### Beteende snarare än teknik Intervjuare: Så det handlar egentligen om kultur och beteende? Joakim Karlén: – Exakt. Cyberhygien är inte bara teknik, utan framför allt beteende och medvetenhet. För att stötta den kulturen behöver man tydliga rutiner och checklistor – till exempel för hur nya medarbetare introduceras i säkerhetsarbetet. Man kan också öva på incidenter, till exempel genom simulerade attacker, så att alla lär sig sin roll om något händer. När man tränar på situationer där det går fel blir man mer medveten om sitt ansvar – och tryggare i hur man ska agera. Intervjuare: Vilka hot bör organisationer fokusera på just nu? Joakim Karlén: – Vi ser att attackerna blir fler och mer automatiserade. Många små organisationer tänker “vi är inte intressanta” – men det vet inte angriparna. De attackerar allt som går att attackera. Med dagens AI-verktyg går det dessutom att låtsas vara någon annan och genomföra avancerade sociala attacker med mycket större precision och volym än tidigare. Det betyder att risken för att bli lurad ökar dramatiskt – särskilt om medarbetarna inte är vaksamma. Cyberhygien handlar om att göra det enkla rätt – varje dag. Det kräver struktur, träning och engagemang från alla.