Säkerhetsskyddschefen är en roll, inte en titel

Den som bedriver säkerhetskänslig verksamhet ska ha en säkerhetsskyddschef. Frågan som alltid följer är om personen måste vara anställd i bolaget.

Svaret är nej. Rollen kan lösas på flera sätt, och för många verksamheter är en intern anställning varken nödvändig eller lämplig.

Det viktiga är inte var personen har sin lön. Det viktiga är vad rollen faktiskt kräver.

Vad rollen ska klara

Säkerhetsskyddschefen leder och samordnar säkerhetsskyddsarbetet och kontrollerar att det bedrivs enligt regelverket.

I praktiken innebär det fyra saker.

Att äga säkerhetsskyddsanalysen och hålla den aktuell när verksamheten förändras.

Att se till att åtgärderna genomförs, alltså inom informationssäkerhet, fysisk säkerhet och personalsäkerhet.

Att vara verksamhetens kontaktyta mot tillsynsmyndigheten.

Att larma ledningen när något inte fungerar, även när det är obekvämt.

Tre krav som avgör om det fungerar

Rollen faller nästan alltid på samma tre saker.

Mandat. Säkerhetsskyddschefen ska kunna stoppa saker. En utkontraktering som inte är utredd, en anställning som inte är prövad, ett systembyte som inte är bedömt. Utan mandat blir rollen rådgivande, och råd är lätta att förbise när något brådskar.

Närhet till ledningen. Personen behöver kunna nå den som bestämmer utan att gå genom flera led. I många verksamheter är det just det ledet som gör att frågor stannar.

Tid. Det här är den vanligaste bristen. Rollen läggs på någon som redan har ett heltidsuppdrag, och säkerhetsskyddet får den tid som blir över. Det blir sällan någon tid alls, eftersom inget i arbetet har en yttre deadline.

Fyra sätt att lösa rollen

En intern person på deltid. Fungerar när verksamheten är begränsad och när personen har verklig avlastning i sin ordinarie tjänst. Fungerar dåligt när avlastningen bara finns på pappret.

En intern person på heltid. Rätt lösning för större verksamheter med omfattande säkerhetskänslig verksamhet. Kräver att ni kan rekrytera kompetensen, vilket är svårt eftersom efterfrågan är hög.

En inhyrd säkerhetsskyddschef. Rollen fylls av någon utanför organisationen på återkommande basis. Vanligt i mindre och medelstora verksamheter, där behovet är reellt men inte motsvarar en heltid.

En kombination. En intern person äger frågan i vardagen och har extern förstärkning för analys, bedömningar och svårare beslut. Det här är ofta den mest hållbara lösningen.

Varför en extern lösning kan vara starkare

Två skäl talar för extern hjälp, och de är inte de ni väntar er.

Det första är att en utomstående kan säga nej. En intern chef som ska stoppa ett projekt drivet av sin egen ledningsgrupp har en svår position. Den som kommer utifrån har lättare att stå för en obekväm bedömning.

Det andra är kunskapsbredden. Säkerhetsskydd är ett smalt område där mycket lärs genom att se många verksamheter. En intern person i ett bolag ser en verksamhet, år efter år.

Vad en extern lösning inte löser

Ansvaret följer inte med.

Verksamhetsutövaren är ansvarig för att säkerhetsskyddet är fullgott, oavsett vem som fyller rollen. En inhyrd säkerhetsskyddschef kan leda arbetet och kan ta ansvar för sitt eget arbete. Ledningen är ändå den som svarar för att verksamheten uppfyller kraven.

Det gör att den externa lösningen kräver något av er. Någon i ledningen måste äga relationen, ta emot larmen och fatta besluten. Utan det blir den externa personen en konsult som skriver dokument ingen läser.

Den vanligaste konstruktionen som inte håller

Rollen läggs på säkerhetschefen, som redan ansvarar för bevakning, larm, brand och kanske arbetsmiljö.

Det ser logiskt ut. Problemet är att säkerhetsskydd bygger på en helt annan logik än övrig säkerhet. Övrig säkerhet skyddar verksamheten. Säkerhetsskydd skyddar Sveriges säkerhet genom verksamheten.

Den som är van att väga kostnad mot risk för det egna bolaget kommer att göra samma avvägning här. I säkerhetsskyddet är den avvägningen betydligt mer begränsad, eftersom intresset som skyddas inte är ert eget.

Ta reda på det här den här veckan

Ställ två frågor till den som är utsedd hos er idag.

Hur många timmar den senaste månaden gick till säkerhetsskyddet.

Vilket beslut i verksamheten personen senast stoppade eller sköt upp av säkerhetsskyddsskäl.

Blir svaret på den första frågan noll, eller går det inte att svara på den andra, har ni en titel och inte en roll. Det är en brist som en tillsynsmyndighet ser omedelbart, och den syns också i en företagsbesiktning inför en försäljning.

Det svåra är inte att utse någon. Det svåra är att ge personen tid och mandat, och det beslutet fattas i ledningen och ingen annanstans.