Ett företag som utför arbete åt en säkerhetskänslig verksamhet har i praktiken samma tillträde som verksamhetens egen personal. Samma lokaler, samma system, ibland samma nycklar.

Skillnaden är att den egna personalen har genomgått en prövning och att leverantörens personal ofta inte har gjort det. Den luckan är det som skärpningarna i säkerhetsskyddsregelverket under senare år framför allt har riktat sig mot.

För ett företag som vill arbeta åt myndigheter, kommuner, energibolag eller andra verksamheter som omfattas av säkerhetsskyddslagen innebär det något konkret. Förmågan att hantera säkerhetsprövning för företag har blivit ett kvalificeringskrav snarare än en fördel.

Här är vad kravet faktiskt innebär för en leverantör.

Säkerhetsskyddsavtalet är ingången

När en verksamhetsutövare ska anlita en leverantör som får tillgång till säkerhetskänslig verksamhet ska ett säkerhetsskyddsavtal ingås.

Avtalet reglerar vilket säkerhetsskydd leverantören ska ha, och det innebär att kraven följer med ut i leverantörskedjan. En underleverantör som i sin tur anlitas omfattas av samma logik.

Det praktiska för leverantören är att kraven är verksamhetskrav, inte personkrav. Företaget ska ha ett säkerhetsskydd som helhet, alltså rutiner, ansvarsfördelning och en organisation som klarar av att upprätthålla det.

En vanlig missuppfattning är att det räcker med att personalen är prövad. Prövningen är en del av personalsäkerheten, som i sin tur är en av tre delar i säkerhetsskyddet. De andra två är informationssäkerhet och fysisk säkerhet.

Analysen kommer först

Det som ligger till grund för allt annat är en säkerhetsskyddsanalys.

Utan den går det inte att avgöra vad som är skyddsvärt, och därmed inte heller vilka befattningar som ska säkerhetsprövas eller placeras i säkerhetsklass.

För en leverantör är analysen ofta smalare än hos uppdragsgivaren, eftersom det som ska skyddas i huvudsak är det man får tillgång till genom uppdraget. Den behöver ändå göras, och den behöver hållas aktuell.

Det som brukar överraska är hur brett tillträdesfrågan sträcker sig. Skyddsvärdet sitter inte enbart i information utan minst lika ofta i tillträde.

Den som har nycklar till ett driftutrymme, rör sig obevakad i lokaler nattetid eller har åtkomst till styrsystem kan orsaka betydande skada utan att någonsin läsa ett dokument. Det är därför städpersonal, drifttekniker, vaktmästare, it-konsulter och byggnadsarbetare regelbundet omfattas av prövning, även när arbetsuppgiften i sig är helt okontroversiell.

Vad prövningen faktiskt är

Här finns tre begrepp som blandas ihop rutinmässigt.

Säkerhetsprövningen är hela bedömningen av om en person kan antas vara lojal mot de intressen som skyddas och i övrigt pålitlig från säkerhetssynpunkt. Den görs av verksamhetsutövaren, inte av en myndighet.

Säkerhetsprövningssamtalet är ett strukturerat samtal som utgör grunden i prövningen och som ska genomföras oavsett om registerkontroll är aktuell.

Registerkontroll är inhämtning av uppgifter ur register. Den kräver samtycke och förutsätter att befattningen placerats i säkerhetsklass.

Det innebär att ett företag inte kan beställa en säkerhetsprövning som en produkt utifrån. Ansvaret för bedömningen ligger hos den som anlitar personen, och det går inte att lägga ut.

Det som däremot går att ta hjälp med är metodiken, rutinerna och genomförandet av samtalen.

Vad samtalet handlar om

Bedömningen kretsar kring sårbarhet snarare än kring klandervärt beteende.

Frågan är inte i första hand om personen gjort något fel. Den är om det finns förhållanden som skulle kunna göra personen möjlig att påverka, pressa eller värva.

Ekonomisk utsatthet är därför ett återkommande tema, inte för att skuldsättning i sig diskvalificerar utan för att den skapar ett tryck som kan utnyttjas. Detsamma gäller missbruk och bindningar till utländska intressen där lojalitetskonflikter kan uppstå.

Säkerhetsmedvetande vägs också in, alltså hur personen faktiskt hanterar information och regler i vardagen.

Det som däremot inte hör hemma i en prövning är minst lika viktigt att veta. Facklig tillhörighet, politisk uppfattning, religion, sexuell läggning och hälsotillstånd är inte i sig grund för bedömning. Där sådana förhållanden ändå kan bli relevanta är det för att någon utnyttjar dem som utpressningsmedel, exempelvis om personen håller något dolt för sin omgivning.

Just därför är öppenhet i samtalet ofta det bästa skyddet för den prövade.

Det som skiljer en leverantör från en myndighet

Fyra praktiska skillnader gör leverantörens situation svårare.

Volymen varierar. En myndighet prövar ett antal personer per år i en förutsägbar takt. En leverantör kan behöva pröva femton personer inför ett uppdrag och ingen alls nästa halvår.

Tiden är knapp. Uppdrag upphandlas och ska påbörjas, och prövningen ligger i vägen. Det leder till frestelsen att göra den ytligt, vilket är sämre än att inte göra den alls eftersom det ger en falsk trygghet.

Personalomsättningen är högre i flera av de branscher som anlitas, exempelvis bygg, städ och bemanning. Det gör att prövning och avslut behöver vara en löpande process och inte en engångsinsats.

Kompetensen finns sällan internt. Ett medelstort företag har ingen som genomför säkerhetsprövningssamtal regelbundet nog att bli bra på det.

Det sista är det avgörande. Ett dåligt genomfört samtal ger ingen bedömning och riskerar dessutom att beröra frågor som inte hör dit.

Prövningen är inte klar när den är gjord

Det största missförståndet och det som oftast leder till brister.

Säkerhetsprövningen ska följas upp under hela den tid personen deltar i verksamheten. Livssituationer förändras. Skuldsättning uppstår, relationer förändras, någon utvecklar ett beroende, någon får nya bindningar utomlands.

En prövning gjord vid anställningstillfället säger ingenting om förhållandena sex år senare.

Uppföljningen sker genom återkommande samtal och genom förnyad registerkontroll när det finns anledning. Den förutsätter en rutin med intervall, ansvarig funktion och dokumentation.

Det är just rutinen som saknas i många organisationer, eftersom prövningen upplevs som ett rekryteringsmoment snarare än som ett löpande ansvar.

Avslutet är en del av processen

Den del som glöms oftast och som är enklast att åtgärda.

När ett uppdrag avslutas eller en person lämnar ska behörigheter återkallas, passerkort avregistreras och utrustning återlämnas. Ett avslutande samtal hör till samma rutin.

För en leverantör med många korta uppdrag är detta en verklig risk. Efter tre år kan företaget ha ett stort antal personer som formellt har kvar behörigheter hos kunder de inte längre arbetar åt.

Det är också en av de saker en uppdragsgivare kontrollerar vid uppföljning av säkerhetsskyddsavtalet.

Vad ett företag behöver ha på plats

Sex delar utgör ett fungerande säkerhetsskydd på leverantörssidan.

En aktuell säkerhetsskyddsanalys som utgår från vad uppdragen ger tillgång till.

Dokumenterade befattningsbeskrivningar, där klassningen följer av vad befattningen faktiskt ger tillträde till och inte av titel.

Utbildade samtalsledare som genomför säkerhetsprövningssamtalen.

En rutin för uppföljning, med intervall och ansvarig funktion.

Ordning i den egna leverantörskedjan, alltså säkerhetsskyddsavtal där sådana krävs och kontroll av att underleverantören faktiskt gör det avtalet säger.

Och en rutin för avslut.

Varför det blivit ett affärskrav

Utvecklingen är tydlig. Allt fler upphandlingar innehåller krav på säkerhetsskydd, och kraven ställs numera även i sammanhang där de tidigare inte förekom.

Skälet är att skyddsvärd verksamhet inte längre enbart finns hos försvarsmyndigheter. Energiförsörjning, vattenförsörjning, elektronisk kommunikation, transporter och hälso- och sjukvård omfattas, och samtliga köper in tjänster i stor omfattning.

För en leverantör innebär det två saker. Ett företag utan fungerande säkerhetsskydd sorteras bort i kvalificeringen, ofta utan att få veta varför. Och ett företag som har det kan konkurrera om uppdrag som konkurrenterna inte får lämna anbud på.

Det är sällan prövningen i sig som är svår. Det är att bygga rutinen som håller den levande mellan uppdragen.