Certifieringar och behörigheter: så kontrollerar du leverantörers krav

Fyra typer av krav – och därför fyra olika kontroller

När en leverantör säger att den är ”certifierad”, ”godkänd” eller ”behörig” kan det betyda fyra helt olika saker – och bevisen kontrolleras på fyra olika ställen. Vanliga varianter är tredjepartscertifiering av verksamheten, certifikat som sitter på en enskild person, behörigheter i en myndighets e-tjänst och rena registreringsuppgifter om organisationen. Det räcker sällan att bara begära in ett dokument; poängen är att beviset måste verifieras hos den som faktiskt kan bekräfta det.

Den första typen är tredjepartscertifiering av verksamheten. Enligt Livsmedelsverkets vägledning innebär en sådan certifiering att en oberoende tredje part kontrollerar, reviderar och utfärdar certifikat hos ett företag. Certifikatet är alltså utfärdat av någon annan än leverantören själv – och den utfärdaren ska i sin tur kunna granskas.

Den andra typen är personbundna certifikat, där behörigheten sitter hos en fysisk person i stället för hos företaget. Ett tydligt exempel är kontrollansvarig enligt plan- och bygglagen, som ska kunna styrka sin lämplighet, kunskap och erfarenhet med ett certifikat. Här hjälper det inte att företaget är certifierat – det är personen som måste kontrolleras.

Den tredje typen är behörigheter i myndigheters e-tjänster. Skatteverket beskriver till exempel att den som ska registrera, se och avanmäla byggarbetsplatser i personalliggaren måste ha behörighet, och att behörigheten antingen knyts till en behörig firmatecknare eller ett registreringsombud – eller ges som en ren läsbehörighet, som gör att ombudet kan se anmälda byggarbetsplatser men inte registrera några uppgifter. Beviset är här inte ett certifikat utan en registrerad roll hos myndigheten.

Den fjärde typen är registreringsuppgifter om själva organisationen: namn, organisationsnummer och om motparten är myndighet, kommun eller företag. Det avgör bland annat vilka regler som gäller och vem som är rätt mottagare för en anmälan eller ett krav.

Ett illustrativt exempel på att beviset måste hamna hos rätt mottagare är Livsmedelsverkets regler om reduktion av kontrollfrekvens: reduktion kan ges först när företaget visar upp certifikatet för kontrollmyndigheten, och företaget kan inte kräva att få reduktion i efterhand. Ett certifikat som ligger i en pärm hos leverantören har alltså ingen verkan förrän det är verifierat där det ska användas.

Fyra typer av krav och deras verifieringsmetod

Så är en tredjepartscertifiering uppbyggd

Livsmedelsverket använder en begreppsapparat som är generell och användbar även utanför livsmedelsområdet. Certifieringsorgan är det företag som utför certifiering enligt olika standarder. Kontrollerna kallas ofta revision, och de som utför dem kallas revisorer. En certifieringsordning är en samling krav som ska följas för certifieringen – i praktiken oftast kallad standard. Standardägaren är den organisation som står bakom standarden.

För en köpare är det oberoendet som gör certifikatet intressant. Certifieringsorganet ska vara oberoende både av företaget och av en eventuell uppköpare av företagets produkter, och även i förhållande till standarden och standardägaren för certifieringen. Ett certifikat från ett organ som är ekonomiskt eller organisatoriskt sammanlänkat med det certifierade företaget har inte samma värde.

En praktisk konsekvens är att frågan ”vilken standard?” och frågan ”vem har reviderat?” är två separata frågor. En leverantör kan vara certifierad mot en känd ledningssystemstandard – ISO 9001 nämns som exempel i Swedacs beskrivning av hur man kan kontrollera ett certifikat – utan att det säger något om revisionens kvalitet. Det avgörs i stället av certifieringsorganets ställning.

Ackrediteringen avgör om certifikatet väger tungt

Certifieringsorganet granskas i sin tur. En tredjepartscertifiering kan utföras under ackreditering, vilket innebär att certifieringsorganet ackrediteras för uppgiften av ett ackrediteringsorgan. I Sverige är Swedac den myndighet som regeringen har utsett att vara nationellt ackrediteringsorgan, och ett sådant organ finns i varje EU-medlemsland.

Ackrediteringen innebär att Swedac och övriga ackrediteringsorgan granskar och godkänner certifieringsorganen så att de utför sina åtaganden. Swedac tittar bland annat på certifieringsorganen och revisorernas opartiskhet, kompetens, rutiner och metoder för att utföra certifiering. Syftet är att säkerställa att certifieringen sker med hög kvalitet och god säkerhet.

De flesta certifieringsorgan som utför certifieringar i Sverige enligt de standarder som finns i Livsmedelsverkets förteckning är enligt myndigheten ackrediterade av Swedac eller av något annat europeiskt ackrediteringsorgan. Det är denna ackreditering som gör att certifikatet kan användas som bevis i en inköpsprocess.

Ett certifikat som utfärdats av ett organ utan ackreditering har inte gått igenom den granskningen. Det kan fortfarande vara korrekt utfört, men köparen saknar en extern instans som intygar att organet arbetar opartiskt, kompetent och enligt vedertagna rutiner och metoder. Kontrollera därför ackrediteringen innan du fäster vikt vid certifikatets innehåll.

Verifiera certifikatet i IAF-databasen

Inom IAF, den internationella organisationen för ackrediteringsorgan som ackrediterar certifieringsorgan och där Swedac är en av medlemmarna, togs en gemensam databas fram, och sedan mitten av januari 2020 är den i bruk. Proceduren är enkel: skriv in antingen företagets namn eller certifikatets nummer och få svar på om certifikatet är korrekt utfärdat. Det fungerar även när certifikatet är utfärdat i ett annat land och kanske är skrivet på ett annat språk eller med ett annat skriftspråk än du förväntar dig.

Databasen fylls på i flera led. IAF ansvarar för att ladda upp information om vilka områden Swedac och övriga medlemsorganisationer över världen är signatärer för. Därefter är det obligatoriskt för Swedac och alla andra medlemsorganisationer att ladda upp vilka organ de har ackrediterat. Däremot är det möjligt men inte obligatoriskt för de ackrediterade organen att lägga upp vilka företag de har certifierat.

Två begränsningar är viktiga att känna till. För det första används databasen för att kontrollera certifikats äkthet – inte i motsatt riktning. Swedacs kommunikationschef Peter Kronvall uttrycker det som att det inte går att börja i andra änden och söka efter vilka företag i en specifik bransch som är certifierade. För det andra laddas enskilda certifikat bara upp frivilligt; ett uteblivet sökresultat är därför inte samma sak som ett falskt certifikat, utan du får gå vidare till certifieringsorganet. När Swedac beskrev nyheten hade inga svenska certifieringsorgan laddat upp några certifikat, och databasen innehöll drygt 400 200 uppladdade certifikat efter omkring en månad i bruk. Det säger något om nyttan: systemet gör det svårare att påstå att man har ett certifikat man inte har, men det är inte en fullständig förteckning över certifierade företag.

Fördelar och begränsningar med IAF-databasen

Certifikatkrav vid offentlig upphandling – när är de proportionerliga?

En upphandlande myndighet eller enhet kan kräva att en leverantör visar upp ett intyg – det vill säga ett certifikat eller liknande – som visar att leverantören följer ett miljöledningssystem eller en miljöledningsstandard. Enligt Upphandlingsmyndigheten kan ett sådant krav vara proportionerligt om kontraktets utförande innebär en stor miljöpåverkan. Bedömningen hänger alltså samman med vad kontraktet ska användas till, inte med att certifikatet är lätt att efterfråga.

Ett miljöledningssystem beskrivs som ett verktyg för att arbeta strukturerat och systematiskt för att förbättra en organisations miljöprestanda, där organisationen gör stegvisa förbättringar med hjälp av planering, åtgärder och uppföljning. Ett exempel på ett miljöledningssystem är EU:s frivilliga miljölednings- och miljörevisionsordning Emas. En miljöledningsstandard har i stället utfärdats av ett officiellt standardiseringsorgan, till exempel ISO, och ett exempel på en sådan standard är ISO 14001.

För upphandling över tröskelvärdena finns detaljerade bestämmelser om hur kravet ska ställas i upphandlingslagarna – lagen om offentlig upphandling (LOU) och lagen om upphandling inom försörjningssektorerna (LUF). Vid upphandling under tröskelvärdena och vid upphandling av sociala tjänster och andra särskilda tjänster behandlas frågan separat, och Upphandlingsmyndigheten redovisar dem separat.

För den som sitter på köparsidan blir slutsatsen att certifikatkravet ska motiveras. Att efterfråga ett visst system eller en viss standard är ett ingrepp i konkurrensen, och kravet bör hänga samman med den miljöpåverkan som kontraktets utförande faktiskt innebär. Över tröskelvärdena styr dessutom upphandlingslagarnas detaljerade bestämmelser hur kravet får utformas.

Personbundna behörigheter – exemplet kontrollansvarig

En del krav kan inte uppfyllas av ett företag, bara av en person. Enligt plan- och bygglagen (2010:900) 1 kap. 8 § avses med kontrollansvarig en fysisk person som har den lämplighet, kunskap och erfarenhet som behövs för att kontrollera om en byggåtgärd, rivningsåtgärd eller markåtgärd utförs på rätt sätt, som kan styrka detta med ett certifikat och som har en självständig ställning i förhållande till den som utför den åtgärd som ska kontrolleras. Certifikatet är alltså bara ett av tre rekvisit – självständigheten är ett eget krav.

Att den kontrollansvarige ska ha lämplighet, kunskap och erfarenhet ska enligt Boverket inte tolkas som att han eller hon själv måste utföra kontrollerna. Rollen är knuten till personen och till dennes ställning, inte till att varje kontrollmoment utförs personligen.

Huvudregeln finns i 10 kap. 9 §: för den kontroll som omfattas av en kontrollplan eller en avfallshanteringsplan ska det finnas en eller flera kontrollansvariga, och om det finns flera ska byggherren se till att någon av dem samordnar deras uppgifter. Undantagen framgår av 10 kap. 10 §: det krävs inte någon kontrollansvarig för små ändringar av en- eller tvåbostadshus, om inte byggnadsnämnden beslutar annat, eller för andra små åtgärder enligt föreskrifter som har meddelats med stöd av 16 kap. 10 §.

Vid kontroll av en personbunden behörighet behöver du därför göra mer än att läsa ett certifikat. Kontrollera att rätt person innehar certifikatet, att personens ställning är självständig i förhållande till utföraren, och att rollen verkligen krävs för den aktuella åtgärden – eller om något av undantagen är tillämpligt.

Behörigheter i myndigheters e-tjänster – exemplet personalliggare

Behörigheter i en myndighets e-tjänst är en annan typ av bevis än ett certifikat: det är en registrerad roll hos myndigheten, knuten till en person eller ett ombud. Skatteverket beskriver systemet för personalliggare i byggbranschen, där den som bedriver byggverksamhet enligt lag måste föra en elektronisk personalliggare – en förteckning över vilka som är verksamma på byggarbetsplatsen och när de har börjat och slutat varje arbetspass. Byggherren ska anmäla varje byggarbetsplats till Skatteverket innan det faktiska byggandet startar.

För att kunna registrera, se och avanmäla byggarbetsplatser krävs behörighet. Man ska vara behörig firmatecknare eller registreringsombud för personalliggare bygg. Man kan också vara ombud med läsbehörighet – då kan man se anmälda byggarbetsplatser, men inte registrera några uppgifter. Behörigheten kan också sökas med blankett: Anmälan e-tjänster, Behörigheten Registreringsombud Personalliggare bygg (SKV 4856).

För en köpare eller byggherre innebär det att behörighetsfrågan måste hanteras som en del av administrationen, inte som en engångskontroll. Roller byts när personal slutar eller byter arbetsuppgifter, och en person med läsbehörighet kan inte utföra registreringen. Kontrollera därför vilken behörighetsnivå motparten faktiskt har, inte bara att någon form av ombud finns registrerat.

Kontrollera motparten – och bygg en rutin som håller

Innan du bedömer något certifikat bör du veta vem motparten är. SCB har sedan den 1 januari 2008 fört det allmänna myndighetsregistret enligt förordningen om det allmänna myndighetsregistret (SFS 2007:755), med uppdrag att föra register över statliga myndigheter. Registret omfattar statliga förvaltningsmyndigheter, myndigheter under riksdagen, statliga affärsverk, AP-fonder, Sveriges domstolar samt Domstolsverket och svenska utlandsmyndigheter – sammantaget 449 myndigheter enligt den redovisning som finns på webbplatsen.

SCB är objektregistrerande myndighet för offentliga sektorn och fastställer därmed organisationsnummer för bland annat statliga myndigheter, regionala statliga myndigheter, kommuner, regioner och allmänna försäkringskassor. Vid sidan av detta för SCB sedan 1963 ett företagsregister som ska omfatta samtliga företag, myndigheter och arbetsställen i Sverige oavsett juridisk form, bransch och storlek. Genom att slå upp organisationen och organisationsnumret får du svar på om motparten är myndighet, kommun eller företag – vilket i sin tur avgör vilka krav och rutiner som gäller.

En arbetsgång som håller över tid kan byggas i sex steg. Identifiera först vilken typ av krav det är fråga om: verksamhetscertifiering, personcertifikat, behörighet i en e-tjänst eller en ren registreringsuppgift. Ta sedan reda på vem som har utfärdat eller registrerat beviset. Kontrollera därefter utfärdarens ackreditering hos Swedac eller hos ett annat europeiskt ackrediteringsorgan, och verifiera själva certifikatet i IAF-databasen genom att söka på företagsnamn eller certifikatnummer.

Kontrollera personbundna behörigheter hos rätt myndighet – för kontrollansvarig via certifikatet och den självständiga ställningen, för behörigheter i e-tjänster hos den myndighet som utfärdat dem. Slutligen: följ upp giltighet och personförändringar över tid och lägg in kontrollen i avtalsuppföljningen, inte bara i inköpsögonblicket. Ett certifikat eller en behörighet som var korrekt vid avtalets början är inte automatiskt giltigt under hela avtalsperioden.