Intern kontroll över säkerhetsskyddschefen

Sammanfattning

En sådan säkerhetsskyddschef som avses i 2 kap. 7 § säkerhetsskyddslagen (2018:585) är en funktion i en verksamhetsutövares operativa verksamhet. De krav på intern kontroll över den operativa verksamheten som gäller för verksamhetsutövaren, är därför även tillämpliga på säkerhetsskyddschefen.

Ställningstagandet riktar sig till verksamhetsutövare inom Finansinspektionens tillsynsområde enligt 8 kap. 1 § säkerhetsskyddsförordningen (2021:955).

Frågeställning

I detta rättsliga ställningstagande behandlar Finansinspektionen förhållandet mellan säkerhetsskyddschefen och en verksamhetsutövares interna kontrollfunktioner. Är en sådan säkerhetsskyddschef som avses i 2 kap. 7 § säkerhetsskyddslagen en funktion i en verksamhetsutövares operativa verksamhet som omfattas av kraven på intern kontroll och de interna kontrollfunktionernas ansvar?

Gällande rätt

Säkerhetsskyddslagen gäller för aktörer i offentlig och privat sektor som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd. Enligt 2 kap. 7 § första stycket säkerhetsskyddslagen ska det finnas en säkerhetsskyddschef i en verksamhet som omfattas av lagen, om det inte är uppenbart att det inte behövs. Enligt paragrafens andra

stycke ska säkerhetsskyddschefen leda och samordna säkerhetsskyddsarbetet, samt kontrollera att verksamheten bedrivs enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den.

I den näringsrättsliga rörelseregleringen på finansmarknadsområdet förekommer därtill i varierande utsträckning krav på olika typer av verksamhetsutövare att inrätta särskilda kontrollfunktioner som ska kontrollera att den operativa verksamheten (som ofta hänvisas till som den första försvarslinjen) bedrivs i enlighet med gällande regler. De kontrollfunktioner som inte är direkt underställda företagets styrelse (exempelvis funktionerna för riskkontroll och regelefterlevnad) hänvisas ofta till som andra försvarslinjen. En funktion för internrevision, som är direkt underställd styrelsen, benämns ofta företagets tredje försvarslinje.

Ett exempel på en omfattande reglering i fråga om verksamhetsutövares interna styrning och kontroll är det regelverk som gäller för kreditinstitut och som återfinns i lagen (2004:297) om bank- och finansieringsrörelse och Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:1) om styrning, riskhantering och kontroll i kreditinstitut. Här ställs bland annat krav på kreditinstitut att inrätta funktioner för riskkontroll, regelefterlevnad och internrevision som ska agera oberoende från de funktioner och områden som de ska bevaka.

Bedömning

Att säkerhetsskyddschefen ska leda och samordna säkerhetsskyddsarbetet hos en verksamhetsutövare betyder, enligt vad regeringen uttalar i förarbetena till säkerhetsskyddslagen, att säkerhetsskyddschefen ska vara aktiv och operativ och inte enbart passivt kontrollera säkerhetsskyddet i efterhand (prop. 2020/21:194 s. 126). Regleringen i 2 kap. 7 § andra stycket säkerhetsskyddslagen innebär därför att säkerhetsskyddschefen är en funktion i en verksamhetsutövares operativa verksamhet.

Detta betyder att de krav på intern kontroll över den operativa verksamheten som gäller för en verksamhetsutövare även gäller i förhållande till säkerhetsskyddschefen. För exempelvis ett kreditinstitut som omfattas av säkerhetsskyddslagens tillämpningsområde innebär det att säkerhetsskyddschefen och dennes arbete ska övervakas, kontrolleras och granskas av företagets funktioner för riskkontroll, regelefterlevnad och internrevision.

Finansinspektionen noterar att den som hos en verksamhetsutövare ska arbeta med den interna kontrollen av en säkerhetsskyddschef kan behöva ta del av säkerhetsskyddsklassificerade uppgifter eller få tillgång till säkerhetskänslig verksamhet i övrigt för att kunna utföra sitt arbete. Detta innebär att en sådan befattningshavare får anses behörig att få del av uppgifterna eller tillgång till verksamheten förutsatt att även de övriga förutsättningar som framgår av 2 kap. 2 § säkerhetsskyddsförordningen är uppfyllda.

Det rättsliga ställningstagandet gäller tills vidare.