Så verifierar du en leverantörs kontaktuppgifter

Börja med offentliga företagsuppgifter

Skatteverket har tjänsten Hämta företagsinformation. Den är öppen för alla och kräver ingen e-legitimation. Där ser du om företaget är godkänt för F-skatt, momsregistrerat och registrerat som arbetsgivare. Skatteverket har även Förfrågan företagsuppgifter, som endast statliga och kommunala myndigheter kan använda och som kräver avtal med Skatteverket.

Organisationsnumret ska stämma mellan registeruppgiften, avtalet, fakturan och det leverantören själv uppger. Jämför också namn och adress i registret med leverantörens uppgifter. Avvikelser där bör du reda ut först: kontakta företaget via adressen eller växeln i registret, inte via numret eller e-postadressen du först fick av kontaktpersonen.

Skatteverket är tydligt: kontrollera att leverantörer och underleverantörer är godkända för F-skatt och sköter skatter och avgifter både vid upphandlingstillfället och löpande under avtalstiden. Myndigheten har också kontaktvägen Kontaktuppgifter – stöd vid leverantörskontroll för den som vill ha stöd i det förebyggande arbetet mot svartarbete och för sund konkurrens.

Viktiga register och tjänster för leverantörskontroll

Matcha kontaktpersonen mot personnummer eller e-legitimation

Personnummermatchning innebär att personnummer används för att verifiera och uppdatera kunddata, så att rätt information kopplas till rätt person. I leverantörskontroll kan du använda det för att se om namn, personnummer och adress för kontaktpersonen hör ihop – och för att upptäcka om en kontaktuppgift har bytts ut men ligger kvar under samma namn.

När det är personens identitet, inte bara kontaktuppgiften, som ska styrkas – vid avtalstecknande eller när någon ska företräda leverantören muntligt – ger e-legitimation en starkare kontroll. Enligt utredningen Användning av e-legitimation i tjänsten i den offentliga förvaltningen (SOU 2021:62) verifieras användarens identitet på likvärdigt sätt som vid utgivning av en fullgod svensk legitimationshandling, och e-legitimationen kan utfärdas på distans.

Rutinen: matcha namn och personnummer mot kontaktpersonen i avtalet, kontrollera i företagsregistret vem som är behörig att teckna firma för leverantören, och begär e-legitimering när någon ska binda företaget eller ändra betalningsuppgifter.

Kontrollera webbplats, e-postdomän och domänägare

Domän- och certifikatuppgifter kan användas för att se om webbplatsen och e-postdomänen hör ihop med leverantörens namn och organisation. Vid kvalificerade (EV-)certifikat verifieras domänägandet via en WHOIS-sökning, och namn, titel, behörighet och underskrift kontrolleras för den eller de personer som företräder organisationen. Ett sådant certifikat ger därför underlag för att koppla en webbplats till ett specifikt företag.

Praktiskt: jämför domänen i avsändaradressen med domänen på leverantörens webbplats och i avtalet, och öppna certifikatet för att se vilken organisation det är utfärdat till. En avsändare från en fri e-posttjänst är inte fel i sig, men den kopplar inte meddelandet till leverantörens domän och bör därför följas upp med bekräftelse via registrerade kontaktvägar.

Registreringsuppgifterna i WHOIS är ofta maskerade, eftersom domänregistranter kan dölja sina kontaktuppgifter. Går det inte att få fram en ägare där, använd certifikatuppgifterna, företagsregistret och leverantörens egna dokument för att avgöra om domänen tillhör företaget.

Begär in underlag när uppgifterna inte går att bekräfta

Upphandlingsmyndigheten beskriver tre vägar för bevis om obetalda skatter och socialförsäkringsavgifter för leverantörer som är skattskyldiga i Sverige: uppgifter från Kronofogdemyndigheten, uppgifter från kreditupplysningsföretag eller att leverantören själv ger in bevis. Myndigheten bedömer att det är lämpligt att den upphandlande myndigheten själv hämtar in uppgifterna i stället för att lägga den bördan på leverantören.

Obetalda skatter och socialförsäkringsavgifter är grund för uteslutning i offentlig upphandling. Över tröskelvärdena är den obligatorisk och regleras i artikel 57 i LOU-direktivet. Den svenska bestämmelsen finns i 13 kap. 2 § lag (2016:1145) om offentlig upphandling, och syftet beskrivs i skälen 100–102 i direktiv 2014/24/EU.

Rutinen vid sidan av upphandlingsregelverket blir densamma: begär en egenförsäkran om att skatter och avgifter är betalda, komplettera med intyg eller registerutdrag när risken är hög, och stäm av organisationens organisationsnummer och adress mot intyget. Kontrollera också att den person som skickar underlaget har behörighet att företräda leverantören – annars säger dokumentet inget om att företaget står bakom uppgifterna.

Utländska leverantörer kräver egna underlag

Svenska register täcker inte utländska leverantörer på samma sätt. Leverantörer som är skattskyldiga i andra medlemsstater måste i de flesta fall själva ge in bevis om skatter och socialförsäkringsavgifter, enligt Upphandlingsmyndigheten. Metoderna för att hämta in bevisen skiljer sig därför mellan länderna.

Högsta förvaltningsdomstolen har i HFD 2018 ref. 14 ansett att det inte strider mot de grundläggande upphandlingsprinciperna att en upphandlande myndighet själv hämtar in registeruppgifter om leverantörer via befintliga och allmänna register, men begär att utländska leverantörer i stället ger in intyg från behöriga myndigheter i det egna landet.

Be därför den utländska leverantören om intyg från skattemyndigheten i hemlandet eller annan behörig myndighet, plus registreringsbevis ur motsvarande företagsregister. Stäm av motstridiga uppgifter innan avtal: namn, registreringsnummer, momsregistrering och adress ska gå igen i intyget, inte bara i leverantörens e-postsignatur.

Verifiera identitetshandlingar i PRADO

PRADO, Public Register of Authentic identity and travel Document Online, beskrivs i Västra Götalandsregionens rutinbeskrivning för SITHS-utgivning som ett offentligt register över äkta identitets- och resedokument och kan användas i kontrollen. Registret fungerar som referens: du jämför den handling du har framför dig mot kända äkta dokument och deras säkerhetskännetecken.

Använd PRADO när risken är hög eller identiteten oklar – till exempel när en ny kontaktperson presenterar sig för ett företag du inte har handlat med tidigare, när någon hämtar ut varor eller handlingar, eller när en person uppger sig företräda leverantören utan att behörigheten framgår av företagsregistret. Kontrollera att dokumenttypen, utställande land och personuppgifterna stämmer med det register du slagit upp, och dokumentera vilken kontroll du gjort.

Dokumentera kontrollen och följ upp löpande

Kontrollen ska göras vid avtalets början och sedan upprepas. Skatteverket understryker att uppföljningen av att leverantörer och underleverantörer sköter skatter och avgifter behöver ske löpande under avtalstiden. Ställ därför krav i avtalet som gör en sådan uppföljning möjlig.

Skriv ned vad du kontrollerade, i vilket register eller vilken tjänst uppgiften hämtades, vid vilket datum, vem som utförde kontrollen och vilka avvikelser som hittades. Datumet är avgörande: en registeruppgift beskriver status den dag den hämtades, och det är den statusen du kan hänvisa till i efterhand.

Lägg in en ny kontroll när något förändras – nytt organisationsnummer eller namn, ny adress, ny kontaktperson, ändrade bank- eller betaluppgifter – och behandla ändrade betalningsuppgifter som en egen kontrollpunkt där du bekräftar den nya uppgiften via en registrerad kontaktväg i stället för via samma e-posttråd som begärde ändringen. Avvikelser dokumenteras och följs upp innan betalning eller avtalsändring genomförs.

Kontaktuppgifter är personuppgifter och omfattas av GDPR. Bestäm därför på förhand vad som sparas, varför och hur länge, och gallra uppgifter som inte längre behövs för leverantörsrelationen.