Utveckling inom Åtgärder och kontroller

• Delkomponenten Effektivitet bedöms ha förflyttats från 2019 års otillfredsställande till grundläggande nivå.

• Delkomponenterna Hushållande med statens medel, Felaktiga utbetalningar och Redovisning och Rapportering bedöms som grundläggande.

• Delkomponenten Informationssäkerhet bedöms ha förflyttat sig från 2019 års otillfredsställande till grundläggande nivå.

• Regelefterlevnad bedöms som otillfredsställande.

Effektivitet

Myndigheten har under 2020 lyckats möta upp behoven på arbetsmarknaden och anpassat verksamheten väl efter krisen. Planerat utvecklingsarbete som

självserviceflöde och ökad kapacitet av digitala tjänster har under 2020 fortlöpt enligt plan utan större avvikelser. Fler har sin kontakt med och får stöd av,

Arbetsförmedlingen i det personliga distansmötet och genom digitala tjänster.

Myndigheten har en hög självservicegrad i de digitala tjänsterna, vilket bland annat kan ha möjliggjort för verksamheten att kunna prioritera sina personella resurser mer effektivt.²⁸⁰

Internrevisionen har bedömt myndighetens arbete med nyttohemtagning som informell och kommenterar uppföljningen, som enligt internrevisionen inte fokuserar på nyttor och uppföljning av helheten.²⁸¹

Arbetsförmedlingens uppföljning av hur personalen använder sin tid följs i första hand upp genom tidredovisningssystemet Tajma, inom vilket användningen, varit låg under 2020. Den låga användningen kan innebära att myndighetens uppföljning inom området blir osäker och det finns en risk för snedvridning av hur personalen på myndigheten de facto använder sin tid. Produktionsstyrning och ny ekonomimodell kommer ställa krav på tidsredovisning, där myndigheten har fortsatt stora

utmaningar. Sammanfattande bedömning görs, trots utmaningar inom tidsredovisningen, att dokumenterade riskbaserade åtgärder och kontroller genomförs för att säkerställa att verksamheten bedrivs effektivt och når fastställda mål.

Hushållande med statens medel

I och med reformeringen av Arbetsförmedlingen kommer andra krav att ställas på den finansiella styrningen och uppföljningen av verksamheten. För att möta de nya

279 Regelefterlevnad (Internrevisionsrapport 2020:4)

280 Läs vidare om självserviceflödet i kapitlet om Matchning.

281 Interrevisionsrapport 2020:2, Digitalisering av Arbetsförmedlingens tjänster.

Arbetsförmedlingens årsredovisning 2020 Intern styrning och kontroll

kraven så pågår en översyn av myndighetens ekonomimodell. Syftet med översynen är att skapa en ekonomimodell som ger förbättrade underlag till verksamheten för rapportering och styrning avseende kostnader och resursåtgång för insatser, aktiviteter och åtgärder.

Myndigheten har under året vidareutvecklat interna avtals- och uppföljningssystem för att kunna följa utfall på samtliga upphandlade avtal. Det kommer bidra dels till att enklare kan följa upp kostnader för avtal och ett bättre proaktivt arbete för att sätta igång nya upphandling i tid. Under slutet av 2020 har en processöversyn påbörjats för att utveckla myndighetens förmåga till avtalsförvaltning och

leverantörsuppföljning inom förvaltningsanslaget, vilket bedöms leda till god förvaltning och ökad intern kontroll av våra avtal och leveranser. Inom programanslaget finns redan en utvecklad leverantörsuppföljningsmodell.

Bedömning görs att dokumenterade riskbaserade åtgärder och kontroller genomförs för att säkerställa att verksamheten hushållar med statens medel och därmed

grundläggande.

Felaktiga utbetalningar

Myndigheten har mottagit positiv respons på det utvecklingsarbete som pågår kopplat till kontrolluppdraget, bland annat från Inspektionen för

Arbetslöshetsförsäkringen (IAF) i rapporten Arbetsförmedlingens automatiska beslut om sanktioner. Granskningen visar att den automatiska hanteringen av beslut om sanktion överlag fungerar bra,²⁸² något som talar för att våra kontroller är automatiserade där det är lämpligt. Utvecklad myndighetssamverkan har även visat sig ge bra effekt på brott mot välfärden. Delad information med Skatteverket har identifierats som en möjliggörare i att automatisera kontroller ytterligare.

Åtgärder har genomförts för att säkerställa myndighetens uppdrag kopplat till

utbetalningar av individersättning till enskilda. Att säkra individersättningen är en av myndighetens mest prioriterade leveranser inom kontinuitetsplaneringsarbetet.

Myndighetens riskbaserade kontroller mot felaktiga utbetalningar utvecklas löpande.

För redovisning utifrån handlingsplan, se vidare i kapitel 6.

Åtgärder har genomförts för att säkerställa myndighetens uppdrag att kontrollera enskildas sökbeteende kopplat till individersättning.

Sökaktiviteten hos de arbetssökande har ökat och trots minskade resurser och förvaltningskostnader agerar Arbetsförmedlingen i större utsträckning när det kan antas att arbetssökande inte följer regelverken för ersättning. Läs mer i kapitlet 5.

Bedömning är att dokumenterade, riskbaserade åtgärder och kontroller genomförs för att säkerställa att felaktiga utbetalningar inte sker. Många av myndighetens kontroller och beslut är automatiserade där det är lämpligt och en fortsatt utveckling med samma inriktning pågår.

282 IAF 2020:12 Arbetsförmedlingens automatiska beslut om sanktioner 30 juni 2020

Arbetsförmedlingens årsredovisning 2020 Intern styrning och kontroll

Regelefterlevnad

Under 2020 har ett flertal åtgärder genomförts i syfte att förbättra efterlevnaden av regler och det är nu möjligt att se en positiv resultatutveckling. Effekten av tidigare genomförda åtgärder som exempelvis koncentration av beslutfattande, specialisering och regionala förbättringsinsatser bedöms ha bidragit till förbättringen.

Dokumenterade riskbaserade åtgärder och kontroller för att säkerställa att verksamheten bedrivs enligt gällande rätt bedöms trots förbättringen vara

otillfredsställande. Detta eftersom resultaten fortfarande ligger inom låga nivåer och det är stor spridning.

Införd specialisering på Personligt Distans Möte (PDM), centraliserade arbetsgivarkontrollen och Enheten Granskning och kontroll bedöms ha stärkt förutsättningarna för regelefterlevnad. Dock innebär förseningen av ärende- och beslutsstödet BÄR att förutsättningarna för medarbetarna fortfarande i stort sett är oförändrade. Manuella arbetssätt säkerställer inte tillräckligt handläggningen.

Sammantaget bedöms ännu inte förutsättningarna har förbättrats tillräckligt utifrån medarbetarnas perspektiv för att risken för att förutsättningarna för korrekt ärendehandläggning och myndighetsutövning inte förbättras ska kunna sänkas.

Kunskapen om regelverken bedöms ha förbättrats genom specialisering och förbättrad kommunikation av granskningsresultat. En ny avslutande utbildning i introduktionsprogrammet om god förvaltning har tagits fram för fördjupad reflektion om statstjänstemannarollen. Myndigheten har dock identifierat avsaknad av

systematik avseende kunskapspåfyllnad samtidigt som utbildningar om grundläggande förvaltningsrättsliga principer (t.ex. dokumentation) inte är obligatoriska.

Specialiseringen på PDM har även medfört en högre kunskapsnivå i berörda funktioner. Organisatorisk koncentration av beslutshantering för i första hand lönestöden är införd i tre regioner medan samtliga regioner i varierande grad har infört specialisering av funktioner inom arbetsförmedlarrollen.

JO har under året i tio beslut kritiserat Arbetsförmedlingen, bland annat brister i uppfyllande av serviceskyldighet och i informationen till arbetssökande, något som ger signaler om låg kunskapsnivå inom förvaltningsrätt och brister i regeltolkning.

Stödet för självskattning av området regelefterlevnad, som del i utvärderingen av intern styrning och kontroll, har utvecklats och förväntas bidra till en ökad tydlighet och förståelse för en ökad systematik i arbetet. Det myndighetsgemensamma regelefterlevnadsarbetet har fokus på att granskningsresultat ska analyseras och kommuniceras för lärande och förbättringar på berörda nivåer. Brister åtgärdas dock inte tillräckligt snabbt och systematiskt. Dessutom pekar internrevisionens

granskning bland annat på att verksamheten inte har genomfört beslutade riskåtgärder systematiskt trots ISK-brist.

Uppföljning och kontroll sker systematiskt och har förbättrats under 2020.

Det myndighetsgemensamma regelefterlevnadsarbetet börjar vara etablerat och

Arbetsförmedlingens årsredovisning 2020 Intern styrning och kontroll

granskningsplanen för 2020 är breddad utifrån kända brister. Samtidigt visar uppföljningen på myndighetsnivå ett behov av ökad systematik, orsaken till detta bedöms vara avsaknad av effektiva digitala uppföljningsverktyg och för låg

representativitet i befintlig uppföljning, dvs. befintlig uppföljning görs på för smala delar av verksamheten.

IAF (IAF 2020:8) är positiv till förändrad rollfördelning och organisation av kontrollfunktionen och bedömer att det finns goda förutsättningar för ett väl fungerande kontrollarbete.

Måttet Andel kvalitetsgranskade ärenden utan avvikelse ska spegla kvalitén i ärendehandläggning. Det ackumulerade årsresultatet blir 72 procent. Därmed nås beslutad målnivå i myndighetens verksamhetsplan på 60 procent se vidare 4.2 Subventionerade anställningar. Samtidigt är det stor spridning i resultatet och lägstanivån är låg. Även om målnivån uppfylls är resultatet inte tillfredställande för handläggning i en myndighet. Måttet speglar också enbart en mindre del av

handläggningen och urvalet omfattar endast arbetsgivarstöd. I en granskning²⁸³ där även arbetsmarknadsutbildning, jobb- och utvecklingsgarantin och arbetspraktik samt flerhandläggningsmoment ingick var andelen ärenden utan avvikelse 52 procent.

Risker inom regelefterlevnad har under året legat på en hög risknivå, och åtgärder för att hantera risken ingår i verksamhetsplaneringen. Även om det går att se vissa förbättringar har åtgärdsansvariga inte inom ramen för uppföljningsrapporten kunnat redovisa vilka planerade åtgärder som genomförts och riskanalysen visar fortsatt höga riskvärden. Eftersom riskerna kvarstår på en så pass hög nivå görs bedömningen att risker inom regelefterlevnaden inte är hanterad, trots att det finns mycket som pekar på att genomförda åtgärder har bidragit till en förbättring inom myndigheten.

Redovisning och rapportering

Nytt från och med 2020 är att myndighetens systemstöd för chefer inom budget och ekonomi även fungerar som ett systemstöd för myndighetens inrapportering av intern styrning och kontroll. Helhetsbedömningen för myndighetens redovisning och rapportering är att den fortsatt ligger på en grundläggande nivå. Signaler som fångats från inrapportering i Stella är att det till stor del beror på hög arbetsbelastning och konsekvensen blir därmed att man inte hinner lägga lika mycket tid på att utveckla och utvärdera sina processer.

Informationssäkerhet

Myndigheten ska ha en tillräckligt säker hantering av informationstillgångar. De förbättringar som har skett under året bedöms ha lett till att processer för säkerställande av informationssäkerhet är tillgängliga och kända för berörda och

283 Af-2020/0063 7247 - Granskningen är en del av arbetet med att utveckla måttet Andel kvalitetsgranskade ärenden utan avvikelse för 2021 och framåt.

Arbetsförmedlingens årsredovisning 2020 Intern styrning och kontroll

därmed förflyttar sig från otillfredsställande nivå till grundläggande. Grundläggande förutsättningar finns nu på plats, samtidigt som myndigheten behöver fortsätta att förbättra kunskap och genomförande.

För att stärka förmågan att förebygga incidenter i informationshanteringen har myndigheten implementerat nya processer och ett nytt stödsystem för priviligierade behörigheter, vilket begränsar åtkomst till myndighetens mest känsliga information och system. System för attributsbaserad behörighetsstyrning är implementerat och driftsatt, exempel på implementerade behörighetsbegränsningar är den kontroll av jäv som görs i samband med sökningar i systemen. Systemet är en viktig

förutsättning i att kunna arbeta säkert och effektivt i nya ärendehanteringen framöver.

Arbetet för att stötta och verifiera god informationssäkerhet inom IT-utvecklingen har ytterligare förstärkts med kontinuerliga förbättringar inom ”säkerhetsresan”

genom stöd och metodförbättringar samt ökade resurser. Arbetet inom ramen för informationssäkerhetsrådet har förbättrats och handboken har uppdaterats. Det är dock fortfarande osäkert om samtliga it-initiativ passerar informationssäkerhetsrådet liksom hur initiativ där rådet tillstyrker med villkor hanteras.

För att stärka förmågan hos myndigheten att upptäcka och hantera incidenter har ett systemstöd för att rapportera och hantera incidenter implementerats under senare delen av 2020. Syftet är att systemet ska underlätta rapportering, vara ett metodstöd för incidentägaren vid hanteringen samt ge ett underlag för lärande och ständiga förbättringar. Under de två månader systemet varit i drift konstateras ett ökat antal rapporterade personuppgifts- och informationssäkerhetsincidenter. Den initiala bedömningen är att systemet leder till en ökad benägenhet att rapportera och att mörkertalet minskar. Det går redan att se genomslag hos chefer och en ökad medvetenhet.

Systemstödet ökar på efterlevnaden av myndighetens interna instruktion, pekar tydligt ut ansvar och roller samt stödjer att incidenter hanteras i enlighet med de åtgärder som är beslutade.

Processer och systemstöd har förbättrats under året, men delar av implementeringen i verksamheten kvarstår. Förflyttning av samtliga system in i myndighetens nya moderna målmiljö med hög säkerhetsstruktur har under året fortsatt. Samtidigt bedöms stöd för extern digital kommunikation av känslig information vara otillräcklig, något som även framkommer i verksamhetens självskattning av den interna styrningen och kontrollen.

Kryptering av lagrad information har under året fortsatt även om planeringen var att myndigheten skulle ha kommit längre under året.

För att öka medvetenheten och kunskapen hos medarbetare och chefer har den styrning inom området som har reviderats och fastställts under 2020²⁸⁴ åtföljts av

284 Säkerhetspolicy, Instruktion informationssäkerhet och instruktion incidenter

Arbetsförmedlingens årsredovisning 2020 Intern styrning och kontroll

olika informations- och utbildningsinsatser. Ytterligare specialistkompetens har tillförts myndigheten.

Utveckling av uppföljning för intern styrning och kontroll har skett, där informationssäkerhet är eget område med tydliga beskrivningar som går ut till samtliga chefer är tydliga och därmed ökar medvetenheten. Utbildningen Digitala medier, riktad mot alla användare har reviderats med ett avsnitt kring säker lagring av information.

Ledningsgrupper inom IT-verksamheten har avsatt tid för att diskutera innehåll och förändringar i styrningen och vad dessa innebär. Digitala ”mikroföreläsningar” har varit en annan väg att nå ut till användare och ansvariga som har ökat medvetenhet och kunskap under året. Arbetet med att förtydliga roller och ansvar har pågått under året men är ej avslutat.²⁸⁵

Myndigheten bedöms ha nått det strategiska tillståndet inom informationssäkerhet, även om det tar tid att nå full effekt ut till kunder och användare av implementerade förbättringar. En starkt föränderlig omvärld inom området informationshantering och informationssäkerhet kommer kontinuerligt att ställa nya och högre krav på myndighetens förmågor inom området informationssäkerhet. Myndigheten kommer att hålla kvar fokus och uppföljning av området trots genomförda åtgärder.