Riskrevisionen angående IT-skandalen: ”Det här påtalade vi redan 2014”
STOCKHOLM Riksrevisionen påtalade allvarliga brister i Transportstyrelsens riskanalyser och behörighetshantering så tidigt som 2014. Kritiken framfördes i såväl rapportform som i direkt muntlig kontakt med ledningen och styrelsen för Transportstyrelsen. – Det här påtalade vi redan 2014, men det har inte hänt tillräckligt, säger revisor Stefan Andersson.
Redan 2014 påtalade Riksrevisionen, i sin revisionsrapport, brister i Transportstyrelsens behörighetshantering och riskanalys. Det rapporterar SVT.
Enligt Riksrevisionen var Transportsstyrelsens behörighetshantering inte tillräckligt behovsanpassad efter respektive anställds specifika arbetsuppgifter. En risk med ett sådant förfarande är allt för många personer kan få ta del av känsliga uppgifter jämfört med om behörighetshanteringen skulle varit snävare och mer inriktad på vad respektive anställd hade till uppgift att sköta.
– Det här påtalade vi redan 2014, men det har inte hänt tillräckligt, säger revisor Stefan Andersson till SVT.
Enligt Andersson måste man också följa upp behörigheter löpande för personer som slutar eller byter arbetsuppgifter.
Riksrevisionen ska ha anmärkt på behörighetshanteringen flertalet gånger, såväl i revisionsrapporter som i muntlig form direkt till Transportstyrelsens ledning och styrelse.
Riksrevisionen anmärkte även på flera av Transportstyrelsens avdelningar vars riskanalyser var allt för vagt formulerade.
Kritik riktas också mot central nivå. I revisionsrapporten konstateras ”att den centrala styrningen och uppföljningen behöver stärkas. Verksamheten är i behov av tydligare vägledning bland annat vad gäller riskanalyser och hur risker ska värderas och hanteras”.
Enligt Stefan Andersson är det otydligt hur Transportstyrelsen ämnat hantera risker.
– Riskanalyser går ut på att jobba strukturerat med risker och där behöver man göra en del. Det handlar om att identifiera var de största riskerna finns, vilka uppgifter som är känsligast samt att det är viktigt att ha goda rutiner för att skydda dem. På central nivå behöver man komma fram till hur man ska jobba med riksanalyser och stötta avdelningar i att identifiera risker.
