Brandkåren Attunda
Revisionsrapport
Granskning av räddningstjänstens hantering av skyddsobjekt.
December 2017
Bakgrund
B r a n d k å r e n Attunda har ett antal skyddsobjekt i n o m sitt u p p t a g n i n g s o m r å d e , med skyddsobjekt menas de objekt som ä r beslutade i enlighet med Skyddslag 2010:305, dessa b e s t å r med andra ord av såväl militära som civila objekt.
Insats v i d dessa i h ä n d e l s e av larm f ö r u t s ä t t e r en viss specifik hantering pga. sin status som skyddsobjekt. Exempelvis p å grund av det faletum att obehöriga inte har tillträde t i l l objektet samt att vissa objekt har ett u t ö k a t skydd, det kan beslutas, om skyddsbehovet så kräver, även ett f ö r b u d mot att göra avbildningar, beskrivningar eller m ä t n i n g a r av eller inom skyddsobjektet.
Även ä g a r e n t i l l objektet kan ställa särskilda krav för tillträde, exempelvis att personal ska vara s ä k e r h e t s p r ö v a d f ö r att erhålla b e h ö r i g h e t t i l l objektet.
Skyddsobjektets speciella status, i kombination med ä g a r n a s krav gör att information om dessa, inklusive hantering av densamma kräver särskild omsorg. Informationen kan omfatta exempelvis skisser, planer, kartor, nycklar, och tillträde. Beroende p å ä g a r e n s krav kan såväl Säkerhetsskyddslag som offentlighets- och sekretesslag b l i tillämplig.
Revisorerna har med u t g å n g s p u n k t i väsentlighet och risk f u n n i t det angeläget att granska r ä d d n i n g s t j ä n s t e n s hantering av information som rör skyddsobjekt, innan, inför, v i d och efter en insats.
Revisionsfråga, kontrollmål och revisionskriterier
J
Revisionsfråga
• Hanterar r ä d d n i n g s t j ä n s t e n sekretessreglerad information, som är n ö d v ä n d i g v i d insats mot skyddsobjekt på ett korrekt sätt i enlighet med gällande lagstiftning och krav f r å n ägaren?
Kontrollmål
L Har r ä d d n i n g s t j ä n s t e n särskilda rutiner för insatser mot skyddsobjekt?
2. Arbetar r ä d d n i n g s t j ä n s t e n systematiskt med hantering av information om skyddsobjekt?
3. Hur hanterar r ä d d n i n g s t j ä n s t e n information kring de skyddsobjekt som finns inom sitt a n s v a r s o m r å d e ? 4. Finns det rutiner kring s ä k e r h e t s p r ö v n i n g och inplacering i säkerhetsklass av personal?
5. Finns det utpekat ansvar för art säkerställa korrekt hantering i enlighet med gällande lagstiftning och krav?
6. Finns särskilda rutiner kring hantering av sekretessreglerad (här avses s å d a n information som är hemlig med h ä n v i s n i n g t i l l säkerhetsskyddslagen eller information som är sekretessreglerad av andra skäl med koppling t i l l Offentlighets- och sekretesslag) information?
Revisionskriterier
• Skyddslag (2010:305)
• Säkerhetsskyddslag (1996:627)
• Offentlighets- och sekretesslag ( 2 0 0 9 : 4 0 0 )
Metod, avgränsning och disposition
J
Den valda metoden är en kvalitativ b e d ö m n i n g av befintlig dokumentation. Materialet omfattar rutiner f ö r bland annat i n f o r m a t i o n s s ä k e r h e t och anställning. Detta har kompletterats genom intervjuer av f ö r b u n d e t s administrative chef, kvalitetschef, samt en distriktschef.
Granskningen är a v g r ä n s a d t i l l att omfatta r ä d d n i n g s t j ä n s t e n och dess direktion.
I kommande avsnitt redogörs f ö r granskningens resultat per kontrollmål. D ä r e f t e r följer ett avsnitt med vår
revisionella b e d ö m n i n g och besvarande p å den övergripande revisionsfrågan samt a v s t ä m n i n g mot k o n t r o l l m å l e n . Rapporten avslutas med ett antal rekommendationer.
Kontrollmål i.
- Har räddningstjänsten särskilda rutiner för insatser mot skyddsobjekt?
R ä d d n i n g s t j ä n s t e n har inte tagit f r a m n å g r a särskilda rutiner f ö r insatser specifikt mot skyddsobjekt. M a n beskriver under intervju att den eventuella skillnaden mot ett larm och insats v i d ett "vanligt" objekt är att det kan utövas en s t ö r r e grad av kontroll f r å n objektets egen personal. Exempelvis i samband med att r ä d d n i n g s s t y r k a n a n l ä n d e r t i l l platsen.
Detta i n n e b ä r a att eventuell dokumentation såsom kartor, planskisser och liknande i regel tillhandahålls och delges av bevakningspersonalen på plats v i d en insats. Således har inte r ä d d n i n g s t j ä n s t e n n å g o n egen hantering av denna typ av information.
V i d anläggningar registrerade för farlig verksamhet (i B r a n d k å r e n Artundas o m r å d e finns 12 stycken verksamheter som klassats som farliga enligt Lagen om skydd mot olyckor 2:4 av Länsstyrelsen) så skrider bevakningspersonalen i n , ledsagar och b i s t å r r ä d d n i n g s p e r s o n a l e n p å o m r å d e t om så b e h ö v s eller är möjligt. Enligt intervjusvar a n v ä n d s samma typ av f ö r f a r a n d e v i d skyddsobjekt. Skillnaden mot dessa anläggningar är att r ä d d n i n g s t j ä n s t e n inte kan antas ha k ä n n e d o m om klassningen f ö r r ä n v i d ankomst, och ej heller antas ha a n v ä n d b a r information om dem. Ett stort ansvar faller d ä r m e d på objektets ägare v i d en eventuell insats.
Kontrollmål 2 samt kontrollmål 3,
- Arbetar räddningstjänsten systematiskt med hantering av information om skyddsobjekt?
- Hur hanterar räddningstjänsten information kring de skyddsobjekt som finns inom sitt
ansvarsområde ?
Sekretessbelagd information om skyddsobjekt o m h ä n d e r t a s i dagsläget inte hos B r a n d k å r e n Attunda v a r f ö r hanteringsbehovet anses vara b e g r ä n s a t . Information som i dagsläget o m h ä n d e r t a s är exempelvis kartor över Livgardets s k j u t f ä l t samt information om att det finns brandfarliga varor inom Upplands-Bro, men ej vilken typ av varor eller m ä n g d e r . Detta är sonika inte information som skulle omfattas av sekretess.
I B r a n d k å r e n Attundas riskanalys f ö r e k o m m e r "Skyddsobjekt" i egen rubrik som en del i en om råde s bes kri vni ng, d ä r n ä m n s att tre s t ö r r e sjukhus samt att Görvelnverket finns i f ö r b u n d e t . Det g e n o m f ö r s dock ingen djupare analys u t i f r å n ett skyddsobjektsperspektiv och det kan konstaterats att beskrivningen av f ö r e k o m m a n d e objekt är inkomplett d å exempelvis F ö r s v a r s m a k t e n s anläggningar inte n ä m n s .
Man uppger i intervju att å t e r k o m m a n d e samverkan sker med skyddsobjektsägare i u p p t a g n i n g s o m r å d e t . D ä r kan konstateras att exempelvis F ö r s v a r s m a k t e n har de senaste f e m å r e n blivit betydligt striktare avseende att delge information eller visa upp sina lokaler.
Kontrollmål 4.
- Finns det rutiner kring säkerhetsprövning och inplacering i säkerhetsklass av personal?
Som led i en ny a n s t ä l l n i n g s r u t i n i n f ö r d i februari 2017 s ä k e r h e t s k o n t r o l l e r n a s samtlig nyanställd personal genom s ä k e r h e t s i n t e r v j u . Utöver denna r u t i n prövas viss personal beroende p å andra a k t ö r e r s krav. Personal placerad i Sigtuna samt befälsbilarnas personal är s ä k e r h e t s p r ö v a d e med registerkontroll. Detta med anledning av Swedavia- Arlandas krav p å s ä k e r h e t i samband med insats. Utöver detta är den personal som gör tillsyn p å militära
skyddsobjekt s ä k e r h e t s p r ö v a d med registerkontroll av F ö r s v a r s m a k t e n . Personal anställd f ö r e februari 2017 har dock inte b e r ö r t s av dessa rutiner, med undantag f ö r de som omfattas av F ö r s v a r s m a k t e n s och Swedavias krav.
I verksamhetsplanen f ö r 2018 ligger en utvecklingsplan f ö r en säkerhetsanalys och omfattande revidering av s ä k e r h e t s a r b e t e t vilket bland annat inkluderar s ä k e r h e t s p r ö v n i n g och arbetet med skyddsobjekt.
Kontrollmål 5.
- Finns det utpekat ansvar för att säkerställa korrekt hantering i enlighet med gällande
lagstiftning och krav?
I den säkerhetspolicy f r å n 2010 som g o d k ä n t s av F ö r b u n d s d i r e k t i o n e n f r a m g å r att Brandchefen har det övergripande ansvaret för s ä k e r h e t e n . Direkt u n d e r s t ä l l d denne ska det finnas en ansvarig säkerhetschef som leder och följer upp det samlade säkerhetsarbetet. Organisationen saknar i dagsläget rollen säkerhetschef, enligt intervju uppges att administrativ chef är den som skall lösa motsvarande uppgifter. Vidare uttrycker policyn att varje medarbetare har ansvar för ha koll p å gällande säkerhetsregler och s ä k e r h e t s r u t i n e r och att dessa t i l l ä m p a s inom det egna ansvars- och a r b e t s o m r å d e t .
Det finns således ett utpekat ansvar f ö r att säkerställa korrekt hantering enlighet med gällande lagstiftning och krav.
Kontrollmål 6. Finns särskilda rutiner kring hantering av sekretessreglerad (enligt
säkerhetsskyddslagen eller OSL) information?
I n f o r m a t i o n som r ö r insatser omfattas delvis av särskilda rutiner. Exempelvis är det bara styrkeledare och delar av kvalitetsavdelningen som har tillgång t i l l den databasen som innehåller i n s a t s u t v ä r d e r i n g a r . Fotodokumentation av insatser sker f ö r utvärderingssyften, men foton tas inte v i d eller p å skyddsobjekt.
V i d u t l ä m n i n g av handlingar g e n o m f ö r s s e k r e t e s s b e d ö m n i n g . B e d ö m n i n g a r n a görs av t v å utpekade individer p å kanslinivå. Registratorn som g e n o m f ö r den f ö r s t a b e d ö m n i n g e n uppges ha stor erfarenhet av detta f r å n tidigare arbete p å myndigheter. I övrigt finns de inte n å g o n kravställd utbildning eller kompetens f ö r denna befattning. Ingen av dessa rutiner finns dock formaliserade i styrande dokument.
D ä r m e d kan det sägas att det delvis finns särskilda rutiner f ö r hantering av sekretessreglerad information.
Revisionell bedömning
Efter g e n o m f ö r d granskning b e d ö m e r v i att B r a n d k å r e n Attunda
delvis
hanterar sekretessreglerad information, som är n ö d v ä n d i g v i d insats mot skyddsobjekt på ett korrekt sätt i enlighet med gällande lagstiftning och krav f r å n ägaren.K o n t r o l l m å l B e d ö m n i n g
i. Har räddningstjänsten särskilda rutiner för insatser mot skyddsobjekt?
Delvis uppfyllt:
Rutin finns ej framtagen men behovet uppfattas som begränsat. Det är istället objektsägaren som har ett stort ansvar att ledsaga räddningstjänsten. En förutsättning för detta är regelbunden samverkan, något som sker idag. Det saknas i dagsläget en säkerhetsanalys där det faktiska behovet kan värderas och analyseras.2 &3. Arbetar räddningstjänsten
systematiskt med hantering av information om skyddsobjekt?
Hur hanterar räddningstjänsten information kring de skyddsobjekt som finns inom sitt ansvarsområde?
Delvis uppfyllt:
Systematiskt arbete med hantering av information om skyddsobjekt sker ej, detta beror till stor del på att man helt enkelt inte omhändertar denna typ av information idag. Dock kan vi konstatera att befintlig riskanalys saknar en djupare analys kring skyddsobjekt och att områdesbeskrivningen är ofullständig. En riskanalys som inkluderar skyddsobjekt skulle kunna ge en uppfattning om det är nödvändigt att förändra sitt arbete, eller om information om skyddsobjekts skulle kunna förekomma och hur man iså fall hanterar denna.4. Finns det rutiner kring säkerhetsprövning och inplacering i säkerhetsklass av personal?
Delvis uppfyllt:
Brandkåren Attunda har rutiner på plats och särskilt berörd personal täcks om inte annat av andra aktörernas krav ochförväntningar. Man bör dock överväga att även omfatta individer anställda före rutinernas införande då lejonparten av personalen är anställd.
5. Finns det utpekat ansvar för att säkerställa Uppfyllt:
Det går att härleda det övergripande ansvaret som är utpekat iBedömning fortsättning
J
Vår b e d ö m n i n g är att det u t i f r å n g e n o m f ö r d a intervjuer och g e n o m l ä s t a dokument r å d e r en pragmatisk men personbaserad sekretesskultur. Det saknas dokumentation och rutiner för att hantera sekretessbelagd information vilket u t g ö r en s å r b a r h e t v i d en framtida f ö r e k o m s t av sekretessreglerade uppgifter eller annan känslig information.
Verksamheten uppger att satsningar skall göras under 2018 då det ska g e n o m f ö r a s en säkerhetsanalys för att i f ö r l ä n g n i n g e n ta f r a m d o k u m e n t s t ö d och skriva rutiner för säkerhet. Vår uppfattning är att detta arbete är mycket relevant och b ö r prioriteras och följas upp. Genom analys kan verksamheten förstå sitt specifika s ä k e r h e t s b e h o v och d ä r e f t e r vidta tillräckliga åtgärder, prioritera korrekt och m ö t a de f ö r v ä n t n i n g a r som ställs av externa aktörer.
I n o m ramen för s ä k e r h e t s a r b e t e t v i l l v i även understryka vikten av att analysera skyddsnivåer i de IT-systemen
B r a n d k å r e n Attunda a n v ä n d e r . V i uppfattar att dessa är av stor vikt för arbetet och det skulle kunna finnas risker i att systemet inte är säkert nog, exempelvis vad det gäller att skydda sekretessbelagd eller hemlig information. Detta kräver dock en f ö r d j u p a d analys.
Vidare ser v i att ansvaret kan förtydligas ytterligare. I dagsläget ä r ansvaret förvisso fördelat men det föreligger ett beroende mellan de olika n i v å e r n a för att kunna uppfylla sitt respektive ansvar; om den övergripande s ä k e r h e t e n ska kunna u p p n å s kräver det att u t f ö r a r n a , den enskilde följer de regler och rutiner som finns, en f ö r u t s ä t t n i n g f ö r detta är att brandchefen erbjuder utbildning och tydliga rutiner.
Rekommendationer
J
Mot bakgrund av granskningens resultat ger vi Brandkåren Attunda följande rekommendationer, att:
• tydliggöra roller, ansvar och rutiner gällande sekretess.
• p å b ö r j a arbetet med s ä k e r h e t s s k y d d genom att g e n o m f ö r a en säkerhetsanalys, för att p å så sätt identifiera det egna s ä k e r h e t s b e h o v e t .
• säkerställa att den egna personalen kan uppfylla säkerhetsregler och s ä k e r h e t s r u t i n e r genom regelbunden utbildning.
• g e n o m f ö r a en nulägesanalys p å I T - s ä k e r h e t e n i de system som B r a n d k å r e n Attunda a n v ä n d e r . Detta skapar förståelse och kunskap hos ansvariga o m vilken typ av information som systemet kan hantera.
Källförteckning
Intervjuer
Namn Roll Intervjudatum
Patrik Thunholm Administrativ chef 2017-10-02
Tomas W r å d h e Distriktschef Upplands-Bro 2017-10-09
Susanne Veijalainen Kvalitetschef 2017-10-13
Dokument
Benämning Daterat Dokumenttyp
Säkerhetspolicy BA N I - 6 2010-05-28 Policy
l . Sä ke rh e ts in te rv ju - instruktion 2017-02-20 Instruktion 2. S ä k e r h e t s i n t e r v j u - S w e d a v i a / B r a n d k å r e n Attunda - Mall
Bilaga A-04-2013 Checklista för s ä k e r h e t s p r ö v n i n g ,
Swedavia 2016-03-31 Checklista
VP 2018 - utdrag om s ä k e r h e t 2017-10-13 Arbetsmaterial
2017- 12 -15
Richard Vahul
J
