1. Inledning

Digitaliseringen av offentlig sektor bygger på samverkan och delat ansvar. Samordnad identitet och behörighets tillitshantering ger en grund för detta – Ena-tillitsmärkena skapar förtroende och säkerhet mellan aktörer. För att detta skall fungera krävs en tillsyn (revision) av att aktörerna lever upp till de krav som ställs för respektive Ena-tillitsmärke.

Revisionens syfte är att verifiera både att anslutna organisationer och de tekniska komponenter de ansluter uppfyller kraven, och att stödja dem i att utveckla sitt informationssäkerhetsarbete. Revisionen ska inte bara vara en kontroll utan en lärande process som bidrar till ökad tillit, högre säkerhet, effektivare riskhantering och kontinuerlig förbättring. Revision kan genomföras på olika sätt, på olika djup och på olika nivåer. Det är av vikt att revisionen ses som ett verktyg till förbättring, att den bidrar till ett lärande och att den ger engagemang. Angreppssättet vid själva revisionsgenomförandet är avgörande för den mognadsförskjutning inom informationssäkerhetsområdet som är önskvärd och själva syftet med Ena-tillitsmärkena och revisionsverksamheten.

1.1. Strategisk betydelse för Sveriges digitala ekosystem

En lärande revisionsfunktion är mer än en kontrollmekanism – den är en strategisk resurs som stärker förtroendet mellan myndigheter, regioner och privata aktörer. Den bidrar till att skydda samhällskritiska funktioner, möjliggör en trygg digital transformation och skapar en grund för innovation och samverkan. Genom att bygga in lärande, riskbaserad styrning och datadriven analys i revisionen kan Sverige säkerställa att den digitala infrastrukturen och den digitala samverkan som förlitar sig på infrastrukturens hantering av identiteter och behörigheter förblir säker, resilient och förtroendeskapande även i en snabbt föränderlig omvärld.

En lärande revisionsfunktion blir en drivkraft för förtroende, säkerhet och utveckling i Sveriges digitala ekosystem. Genom att dessutom kombinera mänsklig expertis med datadriven analys stärker vi både efterlevnad och förmåga att möta framtidens krav inom informationssäkerhetsområdet. Det skapar långsiktig resiliens, ökar handlingskraften och lägger grunden för hållbar digital samverkan.

1.2. Tidigare erfarenheter

SITHS-revision har använt en modell kallad ”Lärande revision”. Framgångsfaktorerna har varit mötet mellan revisor och reviderad organisation vid revision och vid uppföljning av åtgärdsplaner. Utmaning är, och har varit, att behovet av revision är stort men resurserna är få och räcker inte till för att revidera alla organisationer inom önskad tid.

Sambi har använt en annan metod där revisionen till största del har genomförts via skrivbordsrevision och dokumentgranskning. Granskningen har anpassats till en nivå där tillit och kostnader accepteras inom Federationen. Djupare granskningar skulle behövas för bättre kontroll på efterlevnad.

Båda erfarenheterna redovisade ovan pekar på behov av att stötta revsionsprocessen med effektiva stödsystem. SITHS positiva erfarenheter kring lärande revision i kombination med Sambis erfarenheter kring att väga risk mot genomförandeförmåga och kostnader är också något vi tagit med oss in i arbetet kring efterlevnadskontroll inom tillitshanteringen.

2. Processer och angreppssätt

För att etablera och underhålla en revisionsfunktion där helhet och delar hänger samman och styrs mot kvalitet och effektivitet krävs tydliga, strukturerade och styrda processer. Revision som genomförs stokastiskt och på förekommen anledning ger inte långsiktig och hållbar nytta. Den tenderar att bli ett försök till att inhämta information för att släcka bränder. Revision bör sättas i ett större sammanhang där proaktivitet och systematik blir grunden för en hållbar och motståndskraftig verksamhet. Även om revision kan behöva genomföras på förekommen anledning bör den ingå i ett systematiskt program och styras ur ett helhetsperspektiv. Nedan beskrivs processer som var och en bidrar till helheten där risk, systematik, pedagogik och ständig förbättring står i centrum.

2.1. Analys- och planeringsprocessen

Ett revisionsprogram kan bestå av en mängd organisationer/områden som skall revideras. Under analys- och planeringsprocessen analyseras och sammanställs en riskbild utifrån en tillitsdeklaration samt utifrån ett antal riskparametrar. Prioritering utifrån riskbilden ger det urval av organisationer/områden som skall lyftas för revision inför kommande revisionsomgång. Vid analysen avgörs även vilken revisionsmetod som skall väljas eller om en kombination av metoder ger ett mervärde. Här avgörs också vilken typ av stödresurser som kan bli aktuella, till exempel bör nyttan av ett AI-stöd utvärderas.  Olika sätt att revidera ger olika grad av insyn i reviderad parts verksamhet och kan vara någon av följande:

• Revision på plats hos reviderad part
• Revision via digitala media
• Stickprovsundersökning
• Skrivbordsrevision (dokumentgranskning)
• Enkät

Under planeringsfasen framställs revisionsplanerna som är själva agendan vid genomförande av en revision. Där framgår vilka områden som skall revideras, vilka roller som behöver delta samt tidpunkt för intervjuerna.

Visuell bild över analys- och planeringsprocessen

2.2. Revisionsprocessen

Under genomförandet av en revision på plats eller via digitala media är det av vikt att fokusera både regelverkets krav och lärandet hos reviderad part. Vid inledningsmötet presenteras agendan, det systematiska arbetssättet samt revisionsprocessen i sin helhet. Under revisionens gång tydliggörs eventuella avvikelserna för reviderad part i det sammanhang där avvikelsen identifierats. Vid avslutande möte presenteras revisorernas slutsatser i en revisionsrapport och avvikelserna accepteras (förstås) av reviderad part. Avvikelser mot rådande regelverk dokumenteras med rubrik, referens till regelverkets kriterium samt med objektiva bevis. Avvikelsen kategoriseras som mindre eller större. Vid en större avvikelse skall korrigerande åtgärder genomföras omgående och rapporteras till revisonsledaren. För alla identifierade avvikelser skall reviderad organisation göra en rotorsaksanalys och sätt upp en åtgärdsplan per avvikelse inom en treveckorsperiod. Revisorn bedömer i dialog med organisationen att åtgärdsplanerna är rimliga och adekvata. Härefter får organisationen under en tremånadersperiod genomföra åtgärderna och redovisar sedan resultatet i en ytterligare dialog med revisorn. Ett pedagogiskt angreppssätt vid revision bör eftersträvas då möjligheten till större efterlevnad av regelverk går genom lärandet snarare än genom kontroll och pekpinnar.  

Eventuella kvarstående risker sammanställs och dokumenteras. Därefter stängs revisionen.

Avvikelser och larm

Under en revisionsprocess kan revisorn identifiera brister som är så stora att de bedöms behöva eskaleras omgående för vidare hantering. I dessa fall tas en larmrapport fram och eskaleras i enlighet med en i förväg definierad eskaleringstrappa.

I de fall en större avvikelse inte resulterar i en larmrapport anges skäl till detta i rapporten.

Visuell bild över revisionsprocessen

2.3. Rapporterings- och förbättringsprocessen

När alla revisioner är stängda avslutas även revisionsomgången. Resultatet från alla ingående revisioner sammanfattas, analyseras och redovisas genom översiktliga diagram. Statistiken visar mognadsförskjutningen innan och efter genomförd revision, inom vilka områden i regelverket där flest brister har identifierats samt hur bristerna är fördelade över olika typ av organisation. Det samlade resultatet sammanställs i en rapport och delges ledningen skriftligen. Vid genomgång med ledningen inhämtas även återkoppling som grund för att förbättra processerna.

Visuell bild över rapporterings- och förbättringsprocessen

2.4. Styrning och ledning

En tydlig rollfördelning beskriven i en matris (RACI/HUKI) där det tydligt framgår vilken roll som gör vad hålls aktuell och kommuniceras löpande inom revisionsteamet. Beslutsmandatet framgår tydligt i matrisen. Beställnings- och uppdragsparametrar skall tydligt framgå av avtalet mellan revisionsfunktionen och uppdragsgivaren. Under revisionsomgången genomförs PULS-möten med syftet att säkerställa att revisionerna löper på friktionsfritt. Revisionsfunktionen är sammanhållande och leder PULS-möten, riskanalys, urval och planering av revisionsomgångar. Behov av att ta in extern kompetens för att genomföra revision beror på hur man valt att sätta upp revisionsfunktionen. I det fall extern kompetens behöver upphandlas styr revisionsfunktionen revisionsarbetet och på så sätt upprätthålls enhetlighet i processer och resultat. Olika revisionsuppdrag hanteras och samordnas i en strukturerad process med tydliga beslutspunkter. Krav på revisionsledare och specialister fastställs och hanteras utifrån uppdragets art.

2.5. Krav på revisorer

Utbildning inom informationssäkerhet, kvalitet, ledningssystem och revisionsledning. Kunskap om tillitsramverket och relaterade standarder, utbildning i revisionsmetodik enligt ISO 19011, erfarenhet av revision i komplexa organisationer samt förståelse för riskhantering, intern kontroll och ledningssystem. Revisorn behöver kunna tolka krav, förstå informationssäkerhet och ledningssystem, behärska intervjuteknik och stickprovstagning, identifiera avvikelser och kommunicera resultat. I en AI-stödd process krävs dessutom förmåga att tolka AI-rapporter, kvalitetssäkra AI:s slutsatser, förstå begränsningar, bidra till modellförbättring och skydda informationssäkerheten vid användning av AI.

3. Revision av Samordnad identitet och behörighet

För att skydda ekosystemet krävs att alla anslutna organisationer uppfyller Ena Tillitsramverk, som ställer krav inom organisatoriska, personorienterade, fysiska och tekniska områden. Revision inom Samordnad identitet och behörighet omfattar hela den digitala kedjan, från ledningssystem till tjänstespecifika krav. Revision behöver etableras och genomföras på olika nivå, både operatörer och anslutna parter behöver revideras utifrån ett efterlevandeperspektiv.

Att genomföra revision inom Federationen, i nationell skala, har utmaningar. Många kommer att behöva revision men resurserna är få. Erfarenheten har visat att revision på plats hos reviderad part ger den bästa effekten och därmed högre efterlevnad mot regelverket. Antalet anslutna organisationer kommer att öka, och bör öka, över tid. Detta påverkar kapaciteten ytterligare och måste beaktas redan från början. Efterlevandekontroll måste ha fokus på kvalitet, likabehandling och genomförbarhet. Tillitsmodellen driver behov av kunskap på samhällsnivå. Behovet av stöd ute i anslutna organisation behöver mötas för att efterlevnaden skall få så stort genomslag som möjligt. Revision i sig driver lärande men behöver kompletteras med kompetensforum, utbildningar och stöd. Den här knuten behöver analyseras och en revisionsfunktion som kan möta behovet behöver utvecklas. Här kan ett AI-stöd vara det som blir avgörande för vilken nytta revision kan skapa inom Ena. För att lyckas med utmaningen rekommenderas här följande:

• Sätt upp en central revisionsfunktion med helhetsansvar
• Ta fram ett tydligt revisionsprogram omfattande alla parter, kravnivåer och kriterier
• Utveckla ett AI-stöd för att effektivisera processerna (inlåst och säker språkmodell)
• Genomför systematisk skrivbordsrevision med stöd av AI
• Prioritera de organisationer med störst riskbild för revision på plats
• Analysera behovet av utbildning och stöd som kan komplettera revisionerna

3.1. Central revisionsfunktion

En central revisionsfunktion bör sättas upp inom Federationen och revisionsarbetet bör styras därifrån. Metoderna för att hantera och genomföra revision inom Ena bör vara enhetliga och uppföljningsbara på alla nivåer. Eventuellt behöver specialistkompetens upphandlas för delar av själva revisionsgenomförandet. Detta hanteras och styrs då från revisionsfunktionen.

Denna centrala funktion bör också tillhandahålla det AI-stöd som krävs för revisionen.

3.2. Revisionsprogram

Revisionsprogrammet beskriver i vilken omfattning och i vilken frekvens revisioner skall genomföras. Kravnivåer mappade mot revisionskriterier och hur detta täcks under en 3-årsperiod behöver framgå i programmet. Kravnivån ligger till grund för revisionsprogrammets omfattning och aktuella revisionskriterier. Även bedömningen av avvikelser och mognadsgrad är beroende av definierade kravnivåer.

3.3. Revisionskriterier

Kravkatalog består av krav grupperade under organisatoriska, personorienterade, fysiska och tekniska krav. Varje Ena-tillitsmärke inkluderar en uppsättning krav från katalogen och de täcker in bland annat följande områden av revisionskriterier:

• Ledningssystem för informationssäkerhet (LIS)
• Riskhantering, internrevision och kontinuitetsplanering
• Behörighetsstyrning och spårbarhet
• Incident- och sårbarhetshantering
• Kryptering, loggning och tekniska skyddsåtgärder

3.4. Processer med stöd av AI

Vi ser det inte som realistiskt att genomföra manuellt efterlevnadskontroll på nationell skala. Ett AI-stöd eller annan typ av expertsystem torde vara en nödvändighet.

Genom att integrera AI i hela processen kan revisionen effektiviseras och revisorerna användas där riskerna är som störst. En AI-stödd revisionsfunktion frigör tid för mer värdeskapande uppgifter som dialog, uppföljning, strategi och förbättringsarbete. Eftersom betydligt fler organisationer kan granskas med samma resurser medför detta att tilliten ökar i hela ekosystemet. Genom att kombinera mänsklig revisorskompetens med AI:s analyskraft kan fler revisioner genomföras snabbare och totalt ge högre kvalitet, vilket leder till stärkt informationssäkerhet, effektivare resursanvändning och ökad tillit i det digitala ekosystemet.

En modell där AI används som stöd i hela processen ger möjligheter att revidera både helheten och delarna under rimlig tid. AI skulle kunna användas för granskning av en stor mängd dokument, genomföra analyser, prioriteringar och urval. För att säkra upp kvaliteten i resultatet krävs ett samarbete mellan AI och revisorer som kvalitetssäkrar AI:s resultat och fattar beslut. En stor mängd organisationer kan granskas av AI systematiskt. AI kan även selektera de organisationer med störst riskbild. Där riskerna är störst kan revision på plats genomföras för att åstadkomma ett mer effektivt lärande. Effektiviteten och träffbilden kan på detta sätt ökas markant. Systematisk revision med full effekt kan nås först efter en initieringsfas som skall resultera i en tydlig backlogg inför följande revisionsomgångar. 

Eftersom revisionerna hanterar känslig information krävs att AI används i en säker och inlåst miljö. Det innebär att ingen data lämnar organisationens skyddade IT-miljö, all åtkomst loggas och styrs med behörigheter och all kommunikation är krypterad. En inlåst språkmodell (privat moln eller on-prem) möjliggör full användning av AI utan att kompromissa med konfidentialitet, integritet eller regelefterlevnad.

Nedan beskrivs hur revisionsfunktionens processer kan användas med stöd av AI.

3.4.1. Analys- och planeringsprocessen med stöd av AI

Utifrån tillitsdeklarationen sammanställer AI dokument, genomför riskanalys och prioriterar vilka organisationer som behöver revision på plats och vilka som skall revideras maskinellt. Revisionsprogrammet aktualiseras och omfattningen av aktuell revisionsomgång fastställs. Härefter genereras revisionsplaner för respektive revisionstillfälle. Revisor finns med under hela analys- och planeringsfasen för att säkra kvaliteten och för att ta beslut.

3.4.2. Revisionsprocessen med stöd av AI

Som tidigare beskrivits är revision där revisor och reviderad part kan mötas på plats eller digitalt det bästa sättet att nå lärande och efterlevnad. Då detta inte är möjligt när många organisationer behöver revideras föreslås här en kombination av skrivbordsgranskning med AI-stöd i kombination med att revisorer gör revision på plats hos dom organisationer med störst riskbild. Detta kräver att alla organisationer som ingår i programmet genomför en tillitsdeklaration med relevanta bevis på att regelverket efterlevs. Detta kan till exempel vara rapporter från genomförda internrevisioner, genomförd riskanalys, kontinuitetsplan, översikt över LIS eller rutiner för tekniska säkerhetskontroller. AI-stöd föreslås här även användas för att följa upp rotorsaksanalyser och åtgärdsplaner samt för att sammanställa revisionsrapporter och göra mognadsbedömningen.

Ett antal besöksrevisioner på plats eller digitalt genomförs parallellt med AI-granskningen. 

Beroende på antalet organisationer i revisionsprogrammet, antalet revisorer samt komplexiteten i bevisen avgörs hur många organisationer som kan revideras årligen.

3.4.3. Rapporterings- och förbättringsprocessen med stöd av AI

När en revisionsomgång har avslutats analyseras resultatet efter genomförda revisioner. Avvikelser och mognadsmätningar sammanställs och grupperas i en rapport som kommuniceras och återkopplas. Förbättringar av processen genomförs med tyngdpunkt på kvalitet, effektivitet, säkerhet och nytta för reviderade organisationer. 

4. APPENDIX I - Ineras erfarenheter från SITHS-revision

SITHS-revision har genomförts under 7+ år med dokumenterat goda resultat gällande mognadsförskjutning inom framför allt säkerhetsarbetet.

Revision av SITHS-anslutna organisationer har genomförts mot SITHS Tillitsramverk och avser ledningssystem, säkerhetsåtgärder samt processer för kortutgivning. Revisioner har genomförts i enlighet med modellen för Lärande revision med påtagliga positiva resultat. Hur väl organisationen efterlever regelverket har bedömts i samband med revisionen. En uppföljande bedömning genomförs även efter att organisationen genomfört åtgärder mot avvikelserna som identifierats.

Sedan starten 2018 har ett 80-tal revisioner genomförts remote eller på plats hos kommuner, regioner, privata aktörer, kommunförbund och myndigheter. Tillitsdeklaration genomförs av alla anslutna organisationer varje år, granskas och sammanställs i tydliga grafer.

Som utfärdare av svensk e-legitimation har Inera krav på att följa upp efterlevnaden av Tillitsramverket hos alla anslutna organisationer. Detta genomförs med hjälp av ett, ur SITHS-perspektiv, oberoende internt revisionsteam. Därutöver genomförs en extern oberoende internrevision mot den egna verksamheten varje år.

Dokumentation och möten följer de krav som ställs på känslig information.

4.1. Systematiskt och riskbaserat arbetssätt

En viktig parameter i arbetssättet är att arbeta systematiskt med risk, revision och förbättring. Alla organisationer har ett rådande arbetssätt och genom ständig förbättring utvecklas arbetssättet löpande, och blir det rådande arbetssättet. 

Risk, revision och förbättring

4.2. Mognadsförskjutning inom säkerhetsområdet

Säkerhetsområdet i SITHS Tillitsramverk omfattar följande delar: LIS (Ledningssystem för informationssäkerhet), riskhantering, incidenthantering, kontinuitetsplanering, internrevision, fysisk-, personrelaterad- och administrativ säkerhet. Mognadsförskjutningen inom säkerhetsområdet visar i stort sett samma mönster; revision bidrar till ökad efterlevnad hos reviderad part.

4.3. Statistiskt utfall

Efterlevnaden mot regelverket har bedömts löpande, dokumenterats och presenteras genom cirkeldiagram, se nedan.

Vid revision visar mognadsmätningen att stora delar av säkerhetsområdet endast är initierat eller saknas helt. När organisationen genomfört sina åtgärder visar mätning mot samma kriterier en betydande förbättring inom området.

4.4. Processer

4.4.1. Tillitsdeklaration

Årligen bedömer och deklarerar anslutna organisationer sin efterlevnad mot regelverket i en tillitsdeklaration. Deklarationen innehåller endast en skattning på en skala mellan 1-5 för respektive revisionskriterium. Resultatet sammanställs i ett spindeldiagram. (Manuell hantering)

4.4.2. Revisionsprogram

Revisionsprogram sätts upp, och underhålls löpande, för alla revisionsobjekt (100 organisationer, 10-årigt program, total revision mot regelverket). Programmet har både ett systematiskt och ett riskbaserat perspektiv. (Manuell hantering)

4.4.3. Prioritering och urval

Utifrån i förväg definierade riskparametrar genomförs ett urval av organisationer där nyttan med revision bedöms som störst. Varje år revideras högst 14 organisationer. (Manuell hantering)

4.4.4. Revisionsomgång

Revisionsomgången planeras och fastställs. För att bidra till kvalitet i resultatet, friktionsfri framfart samt ständig förbättring av arbetssättet styr revisionsteamet sitt arbete genom att löpande ta PULS på progressen. (Manuell hantering)

4.4.5. Genomförande av en revision

Revisionsprocessen genomförs genom 7 strukturerade steg med stöd av tydliga mallar. (Manuell hantering)

1. Revisionstillfället planeras i god tid innan revisionens genomförande. En revisionsplan med agenda tas fram och kommuniceras med reviderad part där frågor kan redas ut och kontakt etableras.
2. Vid genomförandet av revisionen identifieras och förankras avvikelser och förbättringsförslag. Mognadsbedömning genomförs och dokumenteras i revisionsrapporten.
3. Efter revisionsgenomförandet gör reviderad part orsaksanalyser och tar fram åtgärdsplaner för att åtgärda avvikelserna som identifierats under revisionen.
4. Åtgärdsplanerna följs upp vid ett kort möte (efter 3 veckor) där sambandet mellan rotorsak och åtgärdsplan belyses och diskuteras med revisorn.
5. När åtgärdsplanen accepterats genomför reviderad part planerade åtgärder för att släcka avvikelserna.
6. Genomförda åtgärder följs upp vid ett kort möte (efter 3 månader) varvid effekten dokumenteras tillsammans med en ny mognadsmätning som visar effekten av genomförda åtgärder.
7. Härefter stängs revisionen, dokumentation gallras och arkiveras. Om större avvikelser eller larm identifierats under revisionen hanteras detta vidare genom riskindikation, som senare ligger till grund för bedömning av återbesök.

5. APPENDIX II - Internetstiftelsens process för Sambis tillitsgranskning 

Nedan ges en översikt över Sambis process för tillitsgranskning som exempel på hur en granskningsprocess kan utformas. Beskrivningen är kraftigt förenklad och kan innehålla felaktigheter på detaljnivå.

5.1. Övergripande

 Beskrivningen avser direktanslutning till Sambi (inte anslutning via ombud).

För att säkerställa opartiska bedömningar använder Sambi externa revisorer. För varje granskning utses en huvudgranskare för att utföra granskningen samt en kvalitetsgranskare för att säkerställa kvalitet och likabedömning mellan ärenden. Samtliga granskare har regelbundna (eller vid behov) avstämningsmöten för att säkerställa kvalitet och likabedömning. Granskningen genomförs utifrån en checklista som arbetats fram av granskningsgruppen.

Handläggning av granskningsärenden hanteras av Sambis leveransteam. Kommunikation i granskningsprocessen går inte direkt mellan sökanden och granskare utan både sökanden och granskare kommunicerar med handläggare i leveransteamet.

Utbyte av granskningsdokumentation med såväl sökanden som granskare sker via ett säkert fildelningssystem (Deaddrop) och lagras på en krypterad yta med begränsad åtkomst för användare. Även om dokumenthanteringen håller hög säkerhet så uppmanas sökanden att inte skicka säkerhetskritisk information i underlagen.

Sambi kommunicerar inte externt vilka som ansökt om granskning, befinner sig under granskning eller som inte blivit godkända utan endast godkända tillitsgranskningar publiceras. Det finns undantag då sökanden vill berätta för extern part om pågående granskning.

5.2.  Processen i korthet

1. Sökanden anmäler att man vill bli granskad genom att fylla i ett webbformulär där olika uppgifter efterfrågat baserat på vilken roll sökanden vill granskas för.
2. Sambi kontrollerar att uppgifterna är fullständiga och verkar korrekta samt att organisationen uppfyller villkoren för vilka organisationer som kan ansluta till federationen.
3. Ett avtal om tillitsgranskning genereras för digital signering och länk till avtalet skickas till avtalstecknaren.
4. När avtalet signerats och kontrollerats skickas en bekräftelse till den sökande med information om att tillitsdeklarationen nu kan skickas in.
5. Sökanden fyller i relevanta avsnitt (beroende på roll) i Sambis tillitsgranskningsmall och notifierar Sambi om att de är redo att skicka in tillitsdeklarationen.
6. Sambi öppnar en säker filöverföring och meddelar den sökande hur den gör för att ladda upp tillitsdeklarationen och eventuella bilagor.
7. Sökanden skickar in tillitsdeklarationen och eventuella bilagor.
8. Sambis leveransteam kontrollerar att deklarationen verkar vara korrekt och utser huvudgranskare och kvalitetsgranskare.
9. Utsedda granskare undersöker eventuellt jäv eller annat förhinder och accepterar/nekar uppdraget. Vid nekat uppdrag utses nya granskare.
10. Granskningsunderlag, checklista för granskning och rekommendationsmall skickas till granskarna via säker filöverföring.
11. Sökanden meddelas att granskning påbörjats och vilket datum den förväntas vara klar (30 arbetsdagar fram).
    1. I många fall kommer granskarna att begära kompletterande underlag från sökanden. Begäran skickas till Sambi via säker filöverföring. Sökanden meddelas om vad som behöver kompletteras och hur lång tid den sökande har på sig att komplettera. Kompletteringsbegäran skickas via säker filöverföring. I vissa fall begär granskarna ett digitalt möte med den sökande och i vissa fall begär den sökande ett digitalt möte för att reda ut eventuella frågeställningar.
    2. Sökanden meddelar Sambi när kompletteringen är klar och Sambi öppnar en säker filöverföring. Mottagandet bekräftas till den sökande och en säker filöverföring upprättas till granskarna varefter granskningen kan fortgå.
12. Vid slutförd granskning skickar granskarna in en rekommendation till Sambi via säker filöverföring.
13. Sambi tar ställning till granskningen och fattar beslut om godkännande eller avslag. I vissa fall kan godkännanden innehålla begränsningar (exempelvis kortare tid än standardtiden 3 år, eller att en komplettering ska skickas in inom en viss tid). Begränsningar kan exempelvis vara aktuella då den sökande upprättat ett LIS i samband med tillitsdeklarationen. Även om ledningssystemet bedöms uppfylla Sambis tillitsramverk så kommer det vara svårt att skicka med relevanta bevis på att ledningssystemet verkligen tillämpas och fungerar eftersom det är helt nytt.
14. Beslutet dokumenteras, sökanden informeras och beslutet skickas till den sökande via säker filöverföring.

5.3. Referenser

Webbformulär för anmälan om tillitsgranskning:

https://service.federationer.internetstiftelsen.se/servicedesk/customer/portal/1/create/15

 Tillitsgranskningsavtal:

https://sambi.se/app/uploads/2020/09/Tillitsgranskningsavtal-2.1.pdf

 Tillitsdeklarationsmall:

https://sambi.se/app/uploads/2024/06/tillitsdeklaration-v-2-2.pdf