Säkerhet börjar med rätt människor

Man tror att man har kontroll när man egentligen saknar den

När säkerhetsprövningar brister kan konsekvenserna bli kostsamma. Läs vår intervju med Pär Wedin, SRS Security, som delar med sig av insikter, vanliga brister och inte minst hur en genomtänkt personalsäkerhet kan bli ert starkaste skydd som förhindrar skada och förlorat förtroende. Du får även inblick i hur området kan komma att utvecklas i framtiden.

Den 12-13 november leder han kursen Säkerhetsprövning och bakgrundskontroll vid anställning.

Du arbetar idag som Head of integrity services på SRS Security – kan du berätta lite kort om företaget och din roll?
SRS är ett svenskt säkerhetsföretag som hjälper företag, myndigheter och individer att hantera risker och skapa trygghet. Vårt löfte är att vara People to Trust och skapa Peace of mind, det genomsyrar allt vi gör. I min roll som Head of Integrity Services ansvarar jag för frågor som rör personalsäkerhet och Integrity Due Diligence. I korthet handlar det om att hjälpa organisationer fatta trygga beslut om vem man anställer och gör affärer med.

Vad var det som fick dig att börja intressera dig för och arbeta med säkerhetsprövning och bakgrundskontroller?
Jag har studerat och arbetat med risk- och säkerhetsfrågor både i Sverige och utomlands under flera år. Efter en period i Mellanöstern och Storbritannien började jag på Migrationsverket med personutredningar. Det var i mötet med komplexa livsöden och otillförlitliga uppgifter som jag verkligen förstod hur avgörande det är att kunna bedöma en persons bakgrund, motiv och sårbarheter för att skydda både samhället och människor på flykt. Sedan dess har jag valt att fokusera på att utveckla professionella och rättssäkra arbetssätt inom säkerhetsprövning och bakgrundskontroller, för att hjälpa organisationer att fatta välgrundade beslut kopplat till individer.

Du är också verksam inom Bakgrundskontrollföretagen – vad är det för organisation och vad gör du där?
Bakgrundskontrollföretagen (BKF) är branschorganisationen för aktörer som arbetare med bakgrundskontroller i Sverige. Vårt mål är att höja kvalitet, rättssäkerhet och integritetsskydd i hela sektorn. Jag sitter just nu med i arbetsgruppen som utvecklar en gemensam uppförandekod och ett oberoende tillsynsorgan, som ska säkerställa att bakgrundskontroller genomförs korrekt, proportionerligt och med hög professionell standard. Det här är ett viktigt steg för att skapa större trygghet för både arbetsgivare och individer, men även för att göra branschen mer förtroendeingivande och framtidssäker.

Varför är säkerhetsprövning och bakgrundskontroller så aktuellt idag och vad skulle du säga är det viktigaste skälet för att organisationer bör utveckla sin kompetens inom området?
Säkerhetsprövning och bakgrundskontroller har blivit mer aktuellt än någonsin eftersom dagens hotbild har förändrats i snabbare takt än våra processer samtidigt som vi har blivit mer medvetna om människan som den riskfaktor hon alltid har varit. Insiderrelaterade risker ökar, digitala rekryteringsflöden gör identitetsmissbruk enklare och fler roller får åtkomst till känslig information. Organisationer behöver därför kunna bedöma tillit och sårbarheter med större precision, inte enbart kompetens och erfarenhet.

Det viktigaste skälet att utveckla kompetensen är enkelt: personalsäkerhet är en ledningsfråga och en central del av verksamhetsskyddet. Gör man rätt från början kan man förhindra både skada, kostnader och förlorat förtroende. Det handlar inte om att misstänkliggöra människor utan om att skydda tilliten som organisationen bygger på.

Vilka huvudutmaningar möter många organisationer inom detta område?
Många organisationer har goda ambitioner, men tre huvudutmaningar återkommer:

1. Otydliga processer. Säkerhetsprövning och bakgrundskontroller är ofta ad-hoc och personberoende, vilket ger ojämn kvalitet och svagt beslutsstöd.
2. Oklara roller och ansvar. HR, säkerhet och verksamhet har olika perspektiv. Utan samsyn kring risk och ansvar hamnar personalsäkerheten lätt i mellanrummet.
3. Rättslig och etisk osäkerhet. Osäkerhet kring GDPR, arbetsrätt och säkerhetsskyddslagen gör att man antingen gör för lite eller för mycket, sällan på rätt nivå.

Konsekvensen blir att man tror att man har kontroll, när man egentligen saknar den. En professionell personalsäkerhet kräver både metodik, kompetens och gemensam förståelse i organisationen.

Har du sett några konkreta brister som organisationer och företag gör när de utför säkerhetsprövning och bakgrundskontroll?
Ja, jag ser flera återkommande brister när organisationer utför säkerhetsprövning och bakgrundskontroller:

1. Bristande befattningsanalyser.  Kontrollernas omfattning utgår inte väl nog från riskerna i den specifika rollen. Utan en tydlig koppling till befattningens åtkomst, påverkan och exponering blir säkerhetsprövningen lätt felriktad.
2. Otillräcklig dokumentation. Det framgår vad man har gjort, men inte varför bedömningen landat där den gjort. Det blir svårt att motivera beslut eller visa spårbarhet i efterhand.
3. Svag intervjumetodik. Samtal handlar främst om kompetens och erfarenhet. De kritiska frågorna om pålitlighet, påverkansrisk och sårbarhet uteblir.
4. Bristande uppföljning. Säkerhetsprövningen ses som en engångskontroll i stället för en kontinuerlig process där beteendeförändringar och nya riskfaktorer behöver fångas upp.

Gemensamt för bristerna är att man gör själva kontrollerna men saknar en metod för att göra rätt bedömning.

Vilka (roll, erfarenhet, ansvar, organisation) tycker du bör delta på kursen och har mest att vinna på att gå kursen?
Kursen riktar sig till alla som har en del i besluten om vilka människor som ges tillträde till känsliga roller eller miljöer. Det handlar i första hand om HR och rekryterare som ansvarar för urvalet, säkerhetsfunktioner som driver personalsäkerhetsarbetet och chefer som behöver kunna bedöma risk och lämplighet i sina egna rekryteringar. Oavsett om man redan arbetar med bakgrundskontroller och säkerhetsprövningar eller behöver bygga upp strukturer och kompetens från grunden, så har man mycket att vinna på att delta.

Om du riktar dig till t.ex. HR/rekryterare, säkerhetsansvariga eller chefer – vad är det som de ofta missar?
Ofta saknas en tydlig koppling mellan rollen och vilka risker som faktiskt behöver hanteras. Man gör kontroller, men inte utifrån befattningens åtkomstnivåer och påverkansmöjligheter. Det leder till att fokus hamnar på det som är enkelt att kontrollera, snarare än det som är mest relevant för säkerheten.

Det jag också ser är att intervjuerna främst handlar om kompetens och kulturpassning medan de kritiska frågorna om pålitlighet, sårbarheter och lojalitet kommer i andra hand eller inte alls. Då missar man just det som personalsäkerhet ytterst handlar om.

Vad kommer man få med sig från kursen som man har nytta av i sitt arbete och inte minst för att stärka organisationens säkerhet?
Deltagarna får med sig en tydlig och praktiskt användbar metodik för säkerhetsprövning och bakgrundskontroller, både vid rekrytering och som en del av den löpande personalsäkerheten. De lär sig att göra proportionerliga och rättssäkra bedömningar utifrån befattningens riskprofil, genomföra intervjuer som fångar pålitlighet och sårbarheter samt dokumentera beslut på ett sätt som håller vid granskning.

Det här ger en starkare förmåga att inte bara fatta bra beslut om vilka människor man släpper in utan också att fånga upp förändringar hos befintlig personal som kan innebära nya risker eller behov av stöd. Kort sagt: man stärker organisationens säkerhet där den är som mest sårbar, i vardagen.

Kan du ge ett kort exempel (utan att gå in på konfidentiella detaljer) på ett fall där bristande säkerhetsprövning eller bakgrundskontroll ledde till problem och hur det kunde ha sett annorlunda ut?
Jag har sett ett fall där en person rekryterades till en roll med åtkomst till känslig information och ekonomiska system. Bakgrundskontrollen var begränsad och genomfördes utan koppling till befattningens risker. Efter anställningen visade det sig att personen hade betydande privata skulder och stod under stark påverkan från en extern aktör. Det ledde till känslig information hamnade i orätta händer och i förlängningen ett omfattande förtroendebortfall. Om organisationen hade gjort en tydlig befattningsanalys, ställt rätt frågor i intervjun och bedömt personens sårbarheter i relation till rollens åtkomst, hade situationen troligen aldrig uppstått.

Vilken roll hade en utbildning som denna kunnat spela för att förebygga situationen?
En utbildning som denna ger kompetens att identifiera just sådana risker innan de blir verkliga problem. Deltagarna får lära sig hur man kopplar kontroller och intervjuer till befattningens faktiska exponering, hur man bedömer sårbarheter och hur man dokumenterar beslut så att de håller för granskning. Med en sådan metodik på plats hade både riskerna och konsekvenserna i det här fallet kunnat undvikas.

Hur ser du att området säkerhetsprövning och bakgrundskontroller utvecklas de kommande åren – och hur förbereder den här kursen deltagarna för de framtida kraven?
Jag ser att personalsäkerhet kommer att bli mer regelstyrt, samtidigt som kraven på integritetsskydd ökar. Fler verksamheter kommer behöva kunna visa att deras processer är proportionerliga, spårbara och rättssäkra, inte bara att de ”gjort en kontroll”.

Den här kursen rustar deltagarna för det genom att ge en metodik som håller både nu och när kraven skärps: tydliga befattningsanalyser, bättre intervjuteknik och dokumentation som tål granskning. Det handlar om att gå från kontroller som en formalitet till personalsäkerhet som en strategisk förmåga.

Vad tror du blir nästa “stora förändring” inom arbetsgivares och organisations personalsäkerhet?
Vi går mot en tid där personalsäkerhet inte längre kan betraktas som en intern rutin, utan som en del av organisationens formella efterlevnad. Det gäller inte minst inom säkerhetsskydd där myndigheterna nu ställer tydligare krav på systematik, uppföljning och kompetens hos de som ansvarar för processen.

Samtidigt driver EU-regleringar som NIS2 och CER-direktivet upp kraven på hur samhällsviktiga funktioner skyddas mot insiderhot och otillbörlig påverkan. Fler organisationer kommer behöva kunna visa hur de säkerställer att rätt personer har rätt åtkomst och hur risker identifieras och hanteras över tid.

Resultatet blir ett tydligt skifte: personalsäkerhet går från ”rekommendation” till affärskritiskt krav, där ledningen måste ta ansvar och kompetensen behöver vara förankrad i hela organisationen.

Intervjun är gjord av Janne Huttunen, Ability Partner