Kriser. Erfarenheter. Lärdomar

Transkript

1 F R Å N E L A V B R O T T T I L L 1 1 S E P T E M B E R Kriser Erfarenheter Lärdomar

2

3 från elavbrott till 11 september

4 Innehåll Sammanfattning 5 Utgångspunkter 7 Operativa risker 7 Samhällshotande kriser 6 Terror 10 Smitta 12 Elavbrott 14 Skadlig kod 15 Konkurs 17 Erfarenheter och lärdomar 19 Kontinuitetsplanering 19 Beroendeanalys 24 Lokalisering 27 Likviditet 31 Informationssäkerhet 33 Informationsutbyte 36 Slutsatser 39 Referenser 43

5 FRÅN ELAVBROTT TILL 11 SEPTEMBER kriser, erfarenheter och lärdomar finansinspektionen stockholm oktober 2004

6 Finansinspektionen Produktion: Urban Örtberg Foto och kartor: 4C Strategies AB Formgivning: Karlerik Lindgren AB Tryck: Trosa Tryckeri AB 2004 isbn

7 Sammanfattning Genom att lära av erfarenheter från händelser med omfattande konsekvenser för samhället kan finansiella företag stå bättre rustade vid allvarliga störningar. Rapporten visar att de starka beroendeförhållandena i dagens samhälle kräver förebyggande åtgärder och samverkan för att kunna hantera kriser. Det blir allt viktigare att förbereda sin organisation på störningar från externa händelser som terroristattacker, naturkatastrofer, olyckor, elavbrott, etc. Av de lärdomar som rapporten lyfter fram bör främst framhållas: > En kontinuitetsplan 1 måste vara i takt med tiden, bygga på en helhetsanalys och vara flexibel att använda vid olika händelseutvecklingar. > Att ha förberett hur ett företags verksamhet ska bedrivas vid tekniska störningar, genom tillgång till reservkraft eller manuella rutiner, ökar företagets möjlighet att hantera en störning och återställa verksamheten efteråt. > En samlad och korrekt information till allmänheten är mycket viktigt för att underlätta krishanteringen, skapa förståelse för eventuella problem och bibehålla förtroendet på marknaden. Företagens ledningar måste i allt större utsträckning fundera över nya frågor vid kontinuitetsplanering och i vardagen: > Har vår teleleverantör en tillfredsställande kontinuitetsplan? > Kommer vår internetleverantör att upprätthålla verksamheten trots ett dåligt bokslut? 1 Synonymt med kontinuitetsplan används också begrepp som katastrofplan, avbrottsplan och beredskapsplan. 5

8 > Hur påverkar ett utbrott av en allvarlig och smittosam sjukdom vårt företag? Frågorna är många fler än så och svaren måste sökas inom respektive organisation. Denna rapport kan då vara ett stöd i att identifiera en del frågeställningar som kan leda till en effektiv krishantering. En effektiv krishantering kan minska ekonomiska och sociala kostnader i samband med allvarliga störningar och kriser. Ett seriöst krisberedskapsarbete leder till en ökad robusthet för såväl det enskilda finansiella företaget som finansbranschen i sin helhet. 6

9 Utgångspunkter Utifrån fem vitt skilda händelser, som alla har utgjort ett hot mot samhället, syftar den här rapporten 2 till att visa på finanssektorns övergripande erfarenheter från krishantering och preventivt krisberedskapsarbete. Rapportens målgrupp är finansiella företag under Finansinspektionens tillsyn, men kan även vara till stöd i arbetet med att bygga ett robust samhälle för myndigheter och företag inom andra sektorer. Rapporten bygger till största del på öppen information som kompletterats med ett antal samtal med aktörer i finansbranschen för att underbygga och säkerställa riktigheten i fakta och erfarenheter. Regeringen och berörda myndigheter har under flera år haft frågan om den finansiella sektorns robusthet på agendan. Finansinspektionen har sedan 2001 genomfört krisledningsövningar med finansiella företag. Fokus har legat på operativa risker och infrastrukturella störningar i syfte att analysera och stärka den finansiella sektorns beredskap för operativa risker av samhällshotande karaktär. Operativa risker Baselkommittén 3, som bland annat arbetar med internationella krav på kapitaltäckning, definierar operativa risker enligt följande: Risken för förluster till följd av icke ändamålsenliga eller misslyckade interna processer, mänskliga fel, felaktiga system eller externa händelser. I definitionen inkluderas legal risk. Den exkluderar strategisk- och ryktesrisk. 4 2 Som sammanställts av Finansinspektionen tillsammans med företaget 4C Strategies AB 3 I Baselkommittén ingår finansinspektioner och centralbanker från G 10-länderna. 4 The Basel Committee (2003, s 137) 7

10 Operativa risker är ett vitt begrepp som omfattar många typer av risker. Här innefattas allt från handhavandefel till bankrån och naturkatastrofer. Denna typ av risker har alltid funnits i finansbranschen och har orsakat stora kostnader. De totala operativa förlusterna de senaste 20 åren för finanssektorn beräknas uppgå till cirka 200 miljarder dollar och över 50 företag bedöms ha förlorat mer än 500 miljoner dollar per företag. 5 Operativa risker är dessutom kopplade till andra risker som exempelvis likviditets- och marknadsrisker. Som exempel kan nämnas risken för likviditetsbrist om ett betalningssystem slutar att fungera till följd av elavbrott. Finansiella företag har till följd av omvärldsförändringar och ny teknologi förändrat sitt arbetssätt genom att många manuella rutiner har ersatts av datorer och informationssystem. Mindre manuellt arbete skapar bättre och mer strukturerade interna processer och risken för mänskliga misstag minskar. Datorer styr idag allt från interna supportsystem, via betalningsoch transaktionssystem, till kritisk infrastruktur som telekommunikation. Den nya teknologin och det nya sättet att arbeta har traditionellt setts som ett sätt att minska de operativa riskerna, men det nya arbetssättet medför nya risker. Exempelvis har fungerande telekommunikationer 6 blivit mycket viktigare för aktörer i finansbranschen. Aktiehandel över internet och telefonbanker är några exempel på tjänster som har ett mycket stort beroende av telekommunikationer. På grund av det ökade användandet av finansiella internettjänster är inte bara de finansiella företagen utan också deras kunder beroende av ett väl fungerande internet. Beroendet av telekommunikationer, internet och datorer har i sin tur ökat beroendet av en ständig tillgång till elektricitet. Operativa risker kan delas upp i interna och externa händelser, där de interna händelserna kan ha stor påverkan på det enskilda finansiella företaget, men oftast ingen eller begränsad påverkan på den finansiella stabiliteten. Externa händelser riskerar däremot att drabba många aktörer samtidigt, vilket skulle kunna utgöra ett hot mot den finansiella stabiliteten i ett eller flera länder. Mot bakgrund av detta fokuserar denna rapport på externa händelser av samhällshotande karaktär. 5 Allen L och Saunders A (2004, s 6) 6 Inom telekommunikationer ryms många sätt att kommunicera. Några olika sambandsmedel är fast telefoni, mobiltelefoni, minitex, fax, krypterad fax, krypterad telefon, e-post och videokonferenser. Källa: Länsstyrelsen I Stockholm Tillgänglig på asp ( ) 8

11 Samhällshotande kriser Den värld vi lever i förändras ständigt och under de senaste tio åren har globaliseringen och informationsinfrastrukturen samspelat som motorer i utvecklingen. Globaliseringen har lett till ett beroende mellan stater, vilket ökar risken för att störningar i en del av världen snabbt sprider sig och får konsekvenser i andra delar av världen. Den moderna informationsinfrastrukturen utgör numera en kritisk förutsättning för flertalet vitala samhällstjänster som vattenförsörjning, telekommunikation, IT-system, betalningsförmedling, sjukvård, transporter etc. Avregleringen av olika delar av den tekniska infrastrukturen, bland annat energiförsörjning och telekommunikationer, har lett till ökad konkurrens och effektivitet, men även en avveckling av överkapacitet och reservalternativ. Sammantaget lever vi idag i en allt mer sårbar värld. Denna sårbarhet ska också ses ur ett helhetsperspektiv med en förändrad hotbild där det kalla kriget är över och där ett avtagande krigshot delvis har lett till ökat fokus på andra hot, så som terrorister, IT-hot, naturkatastrofer, svåra smittor etc. Även den finansiella marknaden är idag global till sin natur. Ömsesidiga beroende mellan ekonomi och teknologi har skapat en marknad som överskrider den nationella suveräniteten. Finansiella kontrakt sträcker sig ofta över flera länder och transaktioner innefattar många gånger olika jurisdiktioner. Ett affärsavtal i London mellan en amerikansk och en brittisk bank, kan utföras via börsen i Amsterdam, clearas av Clearnet i Paris, och avvecklas i Nederländerna med en betalning gjord via en TARGETtransaktion. 7 Samtidigt har världen, inte minst i ekonomiska sammanhang, knutits samman i en informationsinfrastruktur där en räntehöjning 7 UK Task force (2003) 9

12 i USA omedelbart får avsevärd påverkan på världens alla börser. Frågan om samhällets ökade sårbarhet på grund av ökade beroenden till kritiska infrastrukturer har fått stor uppmärksamhet internationellt. I länder som USA, Kanada, Nederländerna och Tyskland har särskilda myndigheter eller myndighetsfunktioner inrättats för att hantera frågan. I Sverige har bland annat Försvarsberedningen belyst frågan om infrastruktursystemens allt större betydelse för samhället i stort. Beredningen konstaterar bland annat att infrastrukturerna har blivit alltmer sammanflätade och beroende av varandra. Flera exempel visar att beroendeförhållandena mellan olika verksamheter i samhället har en tendens att förstärkas och bli alltmer komplexa och svåröverskådliga. Nödvändigheten av ett väl fungerande finansiellt system kan inte överskattas i dagens globala ekonomi. Terrorhot, elavbrott, spridning av allvarlig smitta och andra stora störningar är dock inga nya hot mot det finansiella systemet. Både naturliga och mänskligt framkallade händelser under de senaste 30 åren har visat på ett behov av åtgärder som får den finansiella marknaden att fungera friktionsfritt även under en allvarlig störning eller omfattande kriser. I jämförelse med andra sektorer visar den finansiella sektorn upp ett mönster av främst marknadsdrivna anpassningar till finansiella och operativa risker. Händelser som terrorattackerna den 11 september 2001 har inte ändrat grundsynen hos de flesta länder, nämligen att det primära ansvaret för att hantera stora operativa avbrott vilar hos den finansiella marknaden. Men de katastrofala följderna av händelser som denna har bidragit till att många länder granskat eventuella behov att förändra gällande policyinstrument, för att därmed mildra de samhälleliga effekterna av operativa avbrott på finansiella marknader. Terror Tisdagen den 11 september 2001 utsattes USA för den mest uppmärksammade terrorattacken i modern tid. Två flygplan kraschade i World Trade Centers (WTC) torn på Manhattan i New York. Ett flygplan kraschade i försvarshögkvarteret Pentagon i Washington och ett fjärde plan kraschade utanför Shanksville i Pennsylvania. Attackerna skördade nästan människors liv och ett mycket stort antal människor skadades. Även de fysiska skadorna var omfattande. Pentagon fick relativt begränsade skador medan WTC totalförstördes och många byggnader i närområdet skadades allvarligt. De totala kraven på ersättning från försäkringsbolagen har 10

13 USA är världens ekonomiska stormakt uppskattats till över 40 miljarder dollar och är och svarar för 1/4 av världens totala BNP. de största någonsin. Landets och marknadens storlek och dollarvalutans ställning och utbredda använd- Terrorattacken den 11 september har allmänt tolkats som en attack inte enbart mot USA utan ning har under efterkrigstiden gynnat en internationalisering av finansväsendet. mot hela västvärlden och marknadsekonomin. USA har mycket väl utvecklade bank- och Finansbranschen drabbades extra hårt på grund försäkringssektorer samt värdepappersmarknader. USAs finansiella centrum med aktörer på södra Manhattan. Många företag av den starka koncentrationen av finansiella börser och flera storbanker ligger på södra förlorade både anställda och affärskritisk data. Manhattan i NewYork. Dessutom var det svårt att få kontakt med anhöriga och kollegor och för företagen var osäkerheten kring var medarbetarna befann sig stor. Därtill fanns det företag som hade sina reservlokaler inom området, vilket ofta innebar att de var obrukbara. I direkt anslutning till terrorattacken påverkades den amerikanska ekonomin negativt, bland annat genom sjunkande aktiekurser. Man kan ändå konstatera att ekonomin återhämtade sig snabbare än de flesta hade förväntat sig, även om effekterna är svåra att mäta. En bidragande anledning till den snabba återhämtningen kan ha varit att USA:s centralbank Federal Reserve (FED) sänkte styrräntan och garanterade likviditeten i ekonomin. Dessutom skapade terrorattacken en mycket stark känsla av samhörighet i USA vilket bland annat visade sig i det intensiva samarbete som inleddes strax efter attentaten för att kunna stötta företag som blivit extra utsatta. Kontorslokaler, teknisk utrustning och liknande ställdes till konkurrerande företags förfogande. Terrorattacken påverkade även den svenska finansiella sektorn genom att räntan på dollarn steg. Detta föranledde Riksbanken att vidta förberedande åtgärder för att eventuellt kunna stödja bankernas dollarhandel. 8 De svenska bankerna behövde dock inte utnyttja detta. Sverige har varit förskonat från terrorism sedan 1980-talet vilket har gjort att frågan om skydd mot terrorism inte har fått särskilt stort utrymme i det svenska samhället. Undersökningar som har gjorts av olika statliga myndigheter visar dock att Sverige är relativt sårbart för en storskalig terrorattack. 9 Den svenska finansiella sektorns höga geografiska koncentration gör naturligtvis också sektorn sårbar för eventuella attacker mot ett begränsat område i Stockholms innerstad. 8 Riksbanken (2001) 9 Andersson H (2004) 11

14 LUNGSJUKDOMEN SARS UTBREDNING Antal rapporterade fall > 300 > 50 > 0 (enstaka fall) Smitta Lungsjukdomen SARS bröt ut i november 2002 i Foshan i den Kinesiska provinsen Guangdong. 10 Den 10 mars 2003 gick Världshälsoorganisationen (WHO) ut med sin globala hälsovarning för sjukdomen. Totalt har 8437 sannolika fall av SARS rapporterats i 32 länder. Kina var värst drabbat med 5327 fall, följt av Hong Kong med 1755 fall. I Kina var Beijing med 2521 fall och Guangdong med 1511 fall värst drabbade. 11 Totalt antal dödsfall har räknats till 813. Utbrottet av SARS skapade ett enormt massmedialt intresse i västvärlden. Dels fanns det en rädsla för en okontrollerad global spridning av smittan, dels fanns det en oro för riktigheten i de uppgifter som Kina lämnat om omfattningen av smittan och Kinas förmåga att hantera smittspridningen i landet. De ekonomiska intressena i Kina är gigantiska och om det skulle visa sig att SARS var mer utbrett än redovisat skulle det vara svårt att överblicka konsekvenserna på världsekonomin. De ekonomiska effekterna av SARS var störst i Ostasien och främst 10 Siu A och Wong R (2004, s 3) 11 ESRI China (Hong Kong) Limited (2003) 12

15 KINAS ekonomi är den sjunde största i drabbades Kina och Hong Kong. SARS utbrott ledde bland annat till att planerade mö- världen vars finansiella system utvecklats från att centralbanken varit den enda ten ställdes in och många företag förbjöd sina banken till att i dag omfatta ett stort antal anställda att resa till de drabbade områdena. banker samt två börser. Perl River Delta är Kinas viktigaste ekonomiska zon och ligger geografiskt nära påverkade handel, restauranger, biografer och Människor undvek offentliga platser vilket Hong Kong i provinsen Guangdong. turism hårt. Den ekonomiska aktiviteten gick HONG KONGS export domineras av återexport av varor importerade från Kina. En ned liksom efterfrågan på konsumtionsvaror. I Hong Kong rasade aktiekurserna för flyg-, stor del av Perl River Deltas produktion hotell-, handels- och fastighetsbranscherna. styrs och understöds från Hong Kong. Hong Kongs viktiga export till och från Kina kunde dock fortgå under hela perioden då Pearl River Delta, Kinas viktigastes ekonomiska region, inte drabbades av SARS. Om SARS inte hade kontrollerats så snabbt och spridit sig till fler områden är risken stor att mer långsiktiga effekter hade uppstått. 12 SARS spreds inte enbart i Asien utan även till Kanada. I finanshuvudstaden Toronto fick 246 personer läggas in på sjukhus och 35 av dessa avled. Flera experter hävdar att SARS bidrog till att år 2003 blev ett sämre år än väntat. Den prognostiserade tillväxten på 3,5 procent blev endast 1,7 procent. Det fanns naturligtvis andra bidragande orsaker till detta som kriget i Irak, elavbrottet i Ontario samt effekter av galna kosjukan och inte minst att USA-dollarn försvagades. Inte desto mindre bedömdes det förhållandevis begränsade SARS-utbrottet ha fått avsevärd påverkan på tillväxten. När smittan blev känd vidtogs omedelbart åtgärder i Sverige. Smittskyddsinstitutet gick tidigt ut med resevarningar och en aktiv bevakning inleddes med daglig rapportering från landets smittskyddsenheter. Den 1:a maj klassade regeringen SARS som samhällsfarlig sjukdom enligt smittskyddslagen. 23 misstänkta fall registrerades i Sverige under 2003, men än så länge har inget SARS-positivt fall identifierats i Sverige Siu A och Wong R (2004) 13 Ekdahl K (2004) 13

16 Elavbrott KANADA har mer än finansiella Torsdagen den 14 augusti 2003 drabbades företag som traditionellt sett delas upp i fyra pelare: banker, försäkring-, förvaltnings- och investmentbolag. stora delar av nordöstra USA och Ontario, Kanada, av ett omfattande elavbrott. Mer än 70 procent av bank- och försäkringsbolagen finns i och kring Toronto på Avbrottet påverkade uppskattningsvis 50 miljoner människor i delstaterna Ohio, Michigan, Pennsylvania, New York, Vermont, Cirka människor arbetar inom den östkusten, Kanadas finansiella centrum. Massachusetts, Connecticut, New Jersey finansiella sektorn i Toronto. och den kanadensiska provinsen Ontario. Elavbrottet började vid 16-tiden och strömmen kom inte tillbaka på fyra dagar i vissa delar av USA. Delar av Ontario hade återkommande avbrott i mer än en vecka, innan strömtillförseln var helt återställd. Elavbrottet inträffade precis efter det att aktiemarknaderna hade stängt, men en snabb övergång till reservkraft gjorde det möjligt att genomföra avveckling av dagens transaktioner. Börserna i New York kunde med hjälp av reservkraft hållas öppna den 15 augusti. Elavbrottet störde dock centralbankens in- och utlåning till bankerna, eftersom den största volymen handlas sent på dagen och därmed blev mer utsatt för störningarna. Till följd av detta blev ett mindre antal bankorganisationer tvungna att vända sig till Federal Reserve s discount window 14 för lån över natten. Ett mindre antal, företrädesvis små, regionala bankorganisationer och finansiella företag tvingades stänga all sin verksamhet. Eftersom de allmänna kommunikationerna stod stilla på grund av elavbrottet, fick folk svårt att ta sig till och från sina arbeten. Därför valde en del företag att stänga tidigt under torsdagen och krävde endast att kritisk personal skulle arbeta under fredagen. När elavbrottet inträffade hade clearing- och settlementsystemet 15 för värdepappershandeln i Kanada, CDSX, precis påbörjat avvecklingsprocessen och denna blev fördröjd med cirka en timme. Detta fick dock inte några betydande konsekvenser för andra clearing- och settlementsystem. The Bank of Canada flyttade till sin reservplats i över en vecka till följd av elavbrottet. 16 Under elavbrottet var den vanligaste frågan till polisen på gatan var närmsta fungerande bankomat fanns. Detta visar på allmänhetens bero- 14 Möjlighet att låna pengar av FED, fungerar som en säkerhetsventil för att minska likviditetsproblem för banker. 15 System för avstämning och avveckling av transaktioner 16 Bank of Canada (2003, s 29) 14

17 ende av kontanter vid elavbrott. Elavbrottet hade dock inte någon betydande effekt på konsumenternas förtroende för finansbranschen. Sammantaget går det att konstatera att de finansiella systemen i både USA och Kanada klarade sig relativt bra, tack vare reservkraft och väl fungerande kontinuitetsplaner. Elavbrottet orsakade dock stora utgifter. I USA uppskattas kostnaderna till mellan 4 och 10 miljarder dollar, medan Kanadas BNP gick ner 0,7 procent i augusti och 18,9 miljoner arbetstimmar gick förlorade. Utskeppningen av tillverkade varor i Ontario gick ner med 2,3 miljarder kanadensiska dollar. 17 Elavbrottet i USA och Kanada var bara ett av flera under Södra Sverige och östra Danmark blev strömlöst under flera timmar efter en kortslutning i ett ställverk utanför Varberg. Några dagar efter det svenska avbrottet blev i stort sett hela Italien strömlöst till följd av en överbelastning av en ledning i Schweiz. 18 Listan på antalet allvarliga elavbrott kan göras lång och bland avbrott som orsakats av annat än tekniska fel kan särskilt elavbrott relaterade till svåra oväder lyftas fram. Skadlig kod Skadlig kod i form av datavirus och maskar är ett allt större hot mot alla IT-beroende sektorer. Skadlig kod sprids ofta mellan datorer via e-post eller hemsidor på internet till hela företag över de interna nätverken. Skadlig kod kan ha många olika egenskaper, men leder så gott som alltid till kraftig överbelastning på servrar, datorer och såväl interna som globala nätverk. Den 25 januari 2003 stördes den globala internettrafiken kraftigt av masken Slammer. Masken nyttjade stora mängder av internets bandbredd för att angripa en säkerhetslucka i Microsoft SQL. Microsoft hade varnat för denna säkerhetsbrist under hösten 2002 och publicerat säkerhetsuppgraderingar på sin hemsida. En kinesisk hackergrupp, Hacker union of China, tros ligga bakom Slammer. 19 Slammer fick flera konkreta konsekvenser för den finansiella sektorn i olika delar av världen. I Sydostasien, som först nåddes av Slammer, gick det inte att handla on-line på internet. Vidare gick aktiehandeln ned till den lägsta nivån på 13 månader. I USA tvingades Bank of America stänga cirka av sina uttagsautomater. Banker, försäkringsbolag, fond- 17 U.S. -Canada Power System Outage Task Force (2004, s 1) 18 Westling (2004, s 31) 19 OCIPEP (2003) 15

18 SLAMMERS SPRIDNING 30 MINUTER EFTER UTBROTTET 20 kommissionärer och andra finansiella företag i Nordamerika var utan internettjänster. Internetsäkerhetsföretaget Mi2g uppskattade att Slammers framfart orsakade kostnader på över 1 miljard dollar. Den 1 maj 2004 upptäcktes datamasken Sasser. Ungefär en miljon datorer över hela världen smittades och flera stora finansiella företag påverkades. Det visade sig vara en 18-årig gymnasieelev i Tyskland som låg bakom masken. Sassers symptom var olika, men ofta startades datorn om vid upprepade tillfällen och hög belastning skapade långsamma nätverk. Microsoft släppte en säkerhetsuppdatering ungefär två veckor innan Sasser spreds. De företag som hade uppdaterat sina system drabbades inte. Alla hade dock inte uppdaterat sina system, däribland fanns företag som Sampo, Goldman Sachs i Hong Kong, American Express, British Airways, Delta Airlines och Deutsche Post. De kortsiktiga åtgärderna bestod främst i att stänga verksamheten tills det att masken var under kontroll och antivirusprogrammen uppdaterade. I Sverige spreds Sasser till system inom sjukvården, finansiella företag och organisationer i flera delar av landet. 21 Riksförsäkringsverket utsattes ett par månader senare för en liknande mask som utnyttjade samma säkerhetslucka som Sasser Moore et al (2004) 21 Lindberg (2004) 22 Brundin (2004) 16

19 Konkurs I ett av världens största telekommunikationsbolag, Worldcom, uppdagades omfattande redovisningsfiffel i mars 2002 som senare under året ledde till konkurs 23. En konkurs som hittills är den största i USA:s historia. Vid tidpunkten för upptäckten stod Worldcom för hälften av världens internettrafik med verksamhet i 65 länder. Företaget var även USA:s näst största företag inom långdistanstelefoni. Worldcoms stora andel av internetmarknaden gjorde att hela internet var beroende av trafiken som styrdes av Worldcom. Worldcoms trafik var också av stor vikt för telekommunikationens stabilitet. Även två företag som inte hade kontrakt med Worldcom kunde drabbas av kommunikationsproblem, eftersom Worldcom mycket väl kunde vara underleverantör på delar av sträckan. Denna komplicerade infrastruktur med olika leverantörer och underleverantörer är mycket svåröverskådlig, dessutom ändras infrastrukturen kontinuerligt när nya leverantörer tillkommer eller försvinner samt när nya kontrakt och samarbetsavtal skrivs. Det är därför nästan omöjligt att ha en total överblick över alla beroenden. När historien om Worldcom rullades upp var det inte de operativa riskerna som först kom i blickfånget. Fokus var på de marknads- och kreditrisker som en del finansiella företag var utsatta för. De operativa riskerna bestod främst i att stora delar av internet riskerade att släckas ned samt stora störningar i telenätet. Worldcom är ett utmärkt exempel på hur operativa risker ofta är mycket nära sammankopplade med finansiella risker. Effekterna på internet uteblev, eftersom Worldcoms tjänster lever kvar i telekomföretaget MCI efter företagsrekonstruktionen. Det blev inte heller några betydande störningar på telenäten. Den effekt som var tydligast för Worldcoms kunder var en försämrad service, en konsekvens av dramatiska personalneddragningar. Även de banker som hade stor kreditexponering mot Worldcom drabbades negativt. Worldcom var leverantörer av tele- och datakommunikation till ett flertal svenska finansiella företag när Worldcom gick i konkurs. Worldcoms ekonomiska situation ledde till problem med att ställa säkerhet för hyra till leverantörer i det svenska nätet, vilket medförde en risk för att dessa skulle sluta leverera telekapacitet till Worldcom. Vid ett sådant scenario hade leveranserna av bland annat telefonförbindelser och mobiltelefon- 23 Begreppet konkurs är i detta sammanhang en förenklad beskrivning av den företagsrekonstruktion som genomfördes i enlighet med kapitel 11 i den amerikanska konkurslagstiftningen. 17

20 trafik äventyrats. En liknande situation som kunde ha fått allvarliga konsekvenser för stabiliteten på finansmarknaden uppstod när Global Crossing, som då var driftansvariga för SWIFT 24, gick i konkurs våren I Sverige kan ett värsta scenario, liknande Worldcoms konkurs, jämföras med ett läge där TeliaSonera skulle gå i konkurs samtidigt som konkurrerande telebolag inte skulle få eller ha möjlighet att överta företagets nät och tjänster. En sådan händelse skulle sannolikt slå mycket hårt mot delar av den finansiella sektorn. Den svenska staten är storägare i TeliaSonera och har därför ett stort ansvar, vilket gör detta scenario mindre troligt i dagsläget. Dessutom kan företag inom den svenska finansiella sektorn sprida riskerna genom att använda sig av flera teleleverantörer. 24 SWIFT står för Society for Worldwide Interbank Financial Telecommunication 18

21 Erfarenheter och lärdomar Kontinuitetsplanering De senaste årens terrorattacker och samhällshotande kriser har förstärkt betydelsen av att företag kan förebygga störningar i den egna verksamheten eller minimera avbrottstider vid externa störningar. Som ett led i förberedelserna inför det oväntade har ett stort antal aktörer, inte enbart inom den finansiella sektorn, börjat tillämpa kontinuitetsplanering som en integrerad del av den normala verksamheten. En kontinuitetsplan beskriver förmågan och beredskapen att hantera avbrott i en organisations verksamhet och syftar till att minska skador som förorsakas av avbrott. Dessutom ska planen säkerställa att verksamhetens kritiska processer kan bedrivas för att undvika långsiktiga, förtroendemässiga eller finansiella skador för organisationen. Synonymt med begreppet kontinuitetsplan används också begrepp som katastrofplan, avbrottsplan och beredskapsplan. 25 Den grundläggande tanken med kontinuitetsplanering är att affärsverksamheten ska kunna fortskrida även vid omfattande störningar och förändringar i omvärlden. En stor del av dagens arbete med kontinuitetsplanering anses härstamma från introduktionen av informationssystem. Utan data finns inget att återställa efter en kris, var en vanlig kommentar under övergången från manuella, pappersbaserade, rutiner till datorstödda motsvarigheter under 1980-talet. Under senare år och med erfarenhet från flera stora händelser har dock fokus inom kontinuitetsplanering breddats från att vara smalt och inriktat på IT och återställning till att omfatta ett verksamhetsövergripande perspektiv SIS (2004) 26 Bannan (2002a); Bannan (2002b) 19

22 Av den senare tidens stora och allvarliga händelser är 11 september den enskilda händelse som har fått störst påverkan på synen på kontinuitetsplaner inom den finansiella sektorn, en syn som påverkats även långt utanför New York och USA. 27 Vid attackerna var företagen i World Trade Center (WTC) betydligt bättre förberedda än företagen generellt i USA och med tanke på händelsens omfattning visade sig den finansiella sektorn motståndskraftig. 28 En viktig anledning till detta är att många företag efter bombdådet i WTC 1993 uppdaterade sina kontinuitetsplaner och såg över sina interna säkerhetsrutiner. Trots denna relativt höga grad av förberedelse upptäcktes flera brister i kontinuitetsplanerna när de i september 2001, återigen, skulle användas i praktiken. 29 Den mest allvarliga bristen var att man i många kontinuitetsplaner inte tog hänsyn till storskaliga katastrofer. Flertalet kontinuitetsplaner var baserade på lokala störningar, som maximalt påverkade den enskilda byggnaden. 30 Flera reservlokaler var placerade innanför den drabbade zonen och kunde därför inte användas för att återskapa data och återstarta verksamheten. Att planera för det som idag verkar vara otänkbart, med bibehållen realism, är naturligtvis ingen enkel balansgång för en säkerhetschef. Flera företag verkar dock ha konstaterat att kostnaderna för ett helhetsperspektiv i deras kontinuitetsplanering hade varit små i förhållande till utfallet vid attackerna och därför försvarbart i planeringsskedet. 31 Det är dock lätt att vara efterklok. Svårigheten verkar ligga i acceptansen hos företagsledningen för ett helhetstänkande i det förebyggande kontinuitetsarbetet. 32 Bland de enskilda finansiella företagens erfarenheter, kan man lyfta fram de som under en längre tid arbetat på ett bra sätt med kontinuitetsplaner och regelbundet testat dessa. 33 Exempelvis drar JP Morgan tydliga paralleller till test av kontinuitetsplaner, bland annat utrymning av lokalerna i WTC, och det faktum att företaget klarade av att hantera terrorattackerna relativt väl. 34 Ett annat framgångsrikt exempel utgörs av Tucker Anthony Sutro, en privatkundsmäklare som 1996 upprättade en 27 Sarrel (2002) 28 OCIPEP (2002) 29 Abueva (2001); Wright (2002) 30 Albinus (2002) 31 Kessler (2002); Franco (2002) 32 Verton (2002); Taylor (2002) 33 McGuire B (2003) 34 Exempelvis JP Morgan 20