Checklista för bakgrundskontroller enligt CER-direktivet

Arbetsgivare måste dokumentera personalsäkerhetsarbetet noggrant för att möta kraven från CER. Det innebär bland annat:

• Utse ansvarig funktion:Utse en ansvarig för personalsäkerhet (HR-chef, säkerhetschef eller motsv.) som säkerställer att kontroller utförs enligt regelverket och att inga personer missas. Denne är också kontaktperson gentemot tillsynsmyndigheten i frågor om bakgrundskontroller
• Tidslinje för efterlevnad:När organisationen har identifierats som kritisk verksamhetsutövare av tillsynsmyndigheten, har den 10 månader på sig att implementera rutiner för personalsäkerhet, inklusive bakgrundskontroller. Säkerställ att checklistan är kopplad till denna tidsfrist och att en intern projektplan finns för att möta kraven i tid.
• Policy och rutiner:Det ska finnas nedskrivna interna rutiner för hur bakgrundskontroller genomförs, hur ofta, av vem, och hur resultaten hanteras. Dessa dokument kan efterfrågas av tillsynsmyndigheten vid behov och är bra att ha klara för att utbilda chefer och HR-personal internt.
• Register över kontrollerade personer:En förteckning bör föras över vilka befattningar som identifierats som kritiska och vilka individer som innehar dem. Vidare ska man anteckna datum för utförd bakgrundskontroll per individ samt planerat datum för nästa kontroll. Endast behörig personal ska ha åtkomst till listan.
• Hantering av kontrollresultat:Om en bakgrundskontroll inte ger några "röda flaggor" räcker det oftast att notera att personen är godkänd utan anmärkning. Om det däremot framkommer något avvikande - t.ex. att registerutdraget visar en relevant dom - behöver arbetsgivaren dokumentera hur detta har hanterats. Det kan innefatta en särskild riskbedömning, beslut om eventuell omplacering eller andra åtgärder, samt att den anställde informerats och fått chans att ge sin förklaring. Även dessa steg bör journalföras.
• Förbered för tillsyn och sanktionsrisk:Tillsynsmyndigheter har rätt att granska rutiner, dokumentation och efterlevnad av personalsäkerhetskraven. Brister kan leda till sanktionsavgifter upp till det högsta av 2 % av global årsomsättning eller motsvarande 10 miljoner euro (enskilda verksamhetsutövare), respektive 10 miljoner kronor (offentliga). Säkerställ att checklistan innehåller en punkt om intern revision och att ansvariga är medvetna om tillsynsprocessen.

• Genomför verksamhetsbaserad riskanalys:Innan befattningar identifieras som kritiska bör organisationen genomföra en riskbedömning av sin verksamhet. Syftet är att förstå vilka funktioner, system och roller som är mest sårbara vid incidenter. Denna analys ska dokumenteras och ligga till grund för vilka befattningar som omfattas av bakgrundskontroller.
• Identifiera kritiska befattningar:Genomför en befattningsanalys som klargör vilka tjänster i organisationen som är så betydelsefulla att en olämplig person där skulle kunna orsaka mer än ringa skada på den samhällsviktiga tjänsten. Det handlar om positioner som har stor påverkan på drift och säkerhet - t.ex. driftchefer, systemadministratörer, säkerhetsansvariga, nyckelpersonal i kontrollrum. Detta gäller även extern personal.
• Kravställ externt:Genomför en befattningsanalys av extern personal med tillgång till den samhällsviktiga tjänsten och kravställ att även denna personal ska kontrolleras. Externa aktörer ska även på begäran kunna uppvisa dokumentation som visar vilka kontroller som har blivit genomförda, när och hur.
• Genomförande:Utför bakgrundskontroll på personer i dessa befattningar före tillsättning (d.v.s. vid nyanställning eller intern omplacering till en sådan roll), samt löpande under anställningen. Regeringens utredning av CER föreslår att redan anställda i kritiska roller ska kontrolleras periodiskt - minst vartannat år - för att uppmärksamma om någon tidigare pålitlig person får ändrade förhållanden som kan utgöra en risk
• Dokumentera kontrollerna:Ha ordnade rutiner och för register som visar att bakgrundskontroll är genomförd för varje person i de utpekade befattningarna, när den gjordes och av vem. Materialet ska kunna uppvisas vid tillsyn men i övrigt hanteras under sekretess
• Uppföljning och påminnelse:Implementera rutiner för notiser eller påminnelser till ansvariga för att bakgrundskontroller genomförs, som skickas i god tid innan det har gått 24 månader sedan den senaste bakgrundskontrollen för en anställd. Syftet är att säkerställa att uppföljning sker i tid och att inga kontroller missas.