Saken som i disse dager ruller i media, springer ut av en revisjonsgjennomgang som avdekket alvorlige mangler i NAVs internkontroll og systemforvaltning. Riksrevisjonen oppdaget at etaten hadde gitt uriktige opplysninger til både Arbeids- og inkluderingsdepartementet og Riksrevisjonen selv, om at loggføring i sentrale databaser var aktivert. Disse databasene håndterer blant annet opplysninger knyttet til pensjon, uføretrygd og foreldrepenger, med en samlet forvaltningssum på om lag 475 milliarder kroner.

Etaten hadde forsikret myndighetene om at loggene var på plass, men i virkeligheten var de ikke engang slått på. Først flere måneder senere, i juni og september 2024, ble loggføringen faktisk aktivert. Da saken ble kjent, uttalte arbeids- og inkluderingsminister Kjersti Stenseng (Ap) at tilliten til NAVs ledelse var brutt. Direktør Hans Christian Holte «gikk av på dagen», men fortsetter likevel til åremålet hans utløper i 2026.

Riksrevisjonen har samtidig kritisert NAV for svakheter i økonomistyringen, blant annet for utbetalinger av om lag 2,3 milliarder kroner til leverandører av ortopediske hjelpemidler «uten tilstrekkelig kontroll». Begge forholdene er vurdert som brudd på statens økonomireglement.

Loggføring er ikke en teknisk detalj, men må sies å utgjøre ryggmargen i all forsvarlig saksbehandling i offentlig forvaltning. I NAVs tilfelle gjør loggføring det mulig å se hvem som har gjort hva, når og hvorfor, og altså i et system som forvalter enorme beløp i tillegg til sensitive personopplysninger. Uten denne loggen finnes ingen sporbarhet, ingen etterprøvbarhet og ingen reell kontroll. Det betyr i praksis at feil, misbruk og ulovlig innsyn kan skje uten at det lar seg dokumentere. Forvaltningen mister bevisgrunnlaget for å korrigere egne feil, og borgeren mister rettssikkerheten.

I en etat som NAV, som håndterer rundt en tredjedel av statsbudsjettet og noen av landets mest sensitive data, er dette ikke bare en svakhet, men et åpent hull i statens tillitssystem. Loggføring er det som gjør ansvar mulig. Uten den forsvinner hele grunnlaget for å vite hvem som vet hva, og hvem som gjorde hva. Da står både personvernet, økonomistyringen og selve demokratiets kontrollmekanismer i fare.

Kanskje det mest foruroligende med hele denne saken er ikke bare at loggføringen manglet, men at den må ha manglet gjennom år, og at ingen ser ut til å ha reagert. Loggføring er nemlig ikke noe nytt krav som kom i går. Det har vært en selvfølge i statlig forvaltning siden begynnelsen av 2000-tallet, og dessuten et juridisk krav etter personvernforordningen siden 2018.

Likevel har Norges største etat, med ansvar for trekvart billion kroner og millioner av personopplysninger, operert uten aktiv loggføring i sentrale systemer. Dette har neppe oppstått fordi noen glemte å trykke på en knapp. Forklaringen ligger langt mer sannsynlig i at man over lang tid har bygget nye digitale løsninger på toppen av gamle, uten å rydde i grunnmuren. Kontroll settes på vent mens ledelse, departement, Riksrevisjon og andre, trolig har stått i kø for å ta imot mer og mindre urovekkende rapporter. Tilsynelatende har ingen underveis stilt det mest elementære spørsmålet: «Kan man nå dokumentere hvem som faktisk har gjort hva?». Det er altså vanskelig å se for seg at dette er en fersk feil, fremfor en vedvarende forsømmelse som omsider har blitt «fanget opp».

NAV-direktør Hans Christian Holte går for å være en kompetent og fin fyr, med integriteten i behold. Da denne saken smalt tok han på seg «det hele og fulle ansvaret for at etaten ga feilinformasjon». Men kan det hende at han i virkeligheten har vært med på noe som går i motsatt retning?

For Holte kan like gjerne ha tatt del i systemets egen redningsoperasjon. Hans «avgang» er ikke nødvendigvis et brudd med makten, men like mulig en forlengelse av den. På papiret trer han utvilsomt til side, men forblir likevel på lønningslisten med åremålet intakt, og trolig med utsikter til ny toppjobb når støvet fra denne saken har lagt seg. Det er med andre ord ikke sikkert at vi her ser noe oppgjør, men i stedet er vitne til et regissert spill for å legge ballen død. Både Holte og Stenseng er mer enn intelligente nok til å vite nøyaktig hvilken virkning hans utspill har. Når en mann med rykte for redelighet og integritet «ofrer seg», dempes ikke bare støyen. Som en «grepa kar» kan Holte bli det symbolske skjoldet som faktisk beskytter alle andre i systemet som i langt større grad enn Holte, burde vært kritisert i denne saken.

Det er vanskelig å fri seg fra inntrykket av at arbeids- og inkluderingsminister Kjersti Stenseng, Hans Christian Holte, og flere forvaltningstopper må ha hatt flere strategirunder på bakrommet, også før saken i de hele tatt nådde pressen.

Når den største offentlige virksomheten i landet, den som styrer og kontrollerer livene til hundretusener av borgere, avsløres for å ha manglet elementære kontrollrutiner, burde alarmklokkene ringt langt flere steder i maktens rom, og mye tidligere. Slike vedvarende mangler vil være katastrofalt for enhver organisasjon, og enda verre for NAV og arbeids- og inkluderingsdepartementet som skal være i kontrollens førstelinje, med sitt ansvar for hundrevis av milliarder av fellesskapets midler.

Noen må helt opplagt stille de ubehagelige spørsmålene som bør stilles: Hvor har Arbeids- og inkluderingsdepartementet vært i sin oppfølging? Hvor har regjeringen, Stortinget, og til og med Riksrevisjonen selv vært? Hvordan kunne for eksempel en instans som Riksrevisjonen akseptere en slik mangel på internkontroll, som trolig har eksistert i årevis? Hvorfor har ingen av disse vært på banen tidligere?

Kong Salomo går fri

Kontrasten mellom «feilen» i denne saken og de mange trygdemottakerne som ble dømt og fengslet for «feil» på meldekortene, er i grunn grotesk. De ble stemplet som svindlere og tvunget til å betale tilbake alt de hadde fått, med saftige bøter som et ekstra hammerslag. Svært godt betalte statlige ledere, som ikke har hatt tilstrekkelig oversikt og kontroll i forvaltningen av milliarder, møtes derimot med respekt, forståelse og videre lønn for å ha påtatt seg et ansvar som skulle vært delt med langt flere.

Fretex og NAV og systemfeil

De som har lest min bok Sannhetens fall, en varslers undergang, vet at mangel på forvaltning, kontroll og styring ikke er noe nytt hos NAV. For hvor gode er de generelle kontrollrutinene når millioner av attføringskroner gjennom mange år rant gjennom partnerledd, prosjekter og konsernstrukturer, uten at NAV hadde kapasitet til å følge opp noe de visste fant sted? Også i denne sektoren av  NAVS område er det tale om store beløp, flere milliarder kroner årlig.

Allerede i 2018, i forbindelse med et varsel knyttet til Fretex og deres lovstridige bruk av attføringsmidler, innrømmet NAVs revisjonsdirektør Terje Klepp, at kontrollen var svak som følge av ressursmangel. I praksis var altså uttalelsen en legitimering av at milliardbeløp i attføringsmidler ble håndtert uten reell statlig kontroll. Klepp sa videre at de to individene i NAV som hadde tillatt Fretexledelsen å skyte inn 40–50 attføringsmillioner i det private Fretex selskapet, ikke lenger arbeidet i etaten. Dette hevdet revisjonsdirektøren også var noe av årsaken til at han og NAV-ledelsen ellers hadde satt startpunktet for sin granskning til etter at de hadde sluttet. Med andre ord at fordi noen hadde sluttet, behøvde man ikke granske det forutgående bedrageriet. Resonnementet er fortsatt sjokkerende, og revisjonsdirektøren har fortsatt stillingen.

Da de opprinnelige anonyme varslerne i saken formidlet disse forholdene til NAV-ledelsen, sparket Terje Klepp i gang et eller annet han omtalte som «grundige analyser». For min del, som varslernes senere talerør, resulterte det innledningsvis til ett møte, en ringperm og Klepps gjentakende forsikringer om NAVs taushetsplikt knyttet til varslere. Forsikringene kom stadig frem i konteksten av hans påfallende og vedvarende trang til å vite identiteten til de anonyme varslerne.

Den nevnte ringpermen tok han ellers frem i møtet, og avslørte dermed en gulmarkeringsorgie over tingrettsdommen i min sak mot Fretex, en sak som ikke hadde noe med denne saken å gjøre, men som likevel utgjorde hele ringpermens innhold. Ettersom dommen ikke var rettskraftig, er den sannsynlige forklaringen på hans besittelse av den, at den kom fra Fretex-ledelsen. Det sier vel noe om NAV-ledelsens praktisering av taushetsplikten overfor varslere? For hvordan kunne de fått tilgang til dommen, uten å avsløre min rolle i NAV-varslingen for Fretex-ledelsen?

Jeg og mine medvarslere delte ellers oppfatningen om at attføringsmidler selvfølgelig skal forbli der formålet ligger, hos tiltaksbedriftene og til gunst for tiltaksbrukerne, og ikke tappes via konsernkontoer, overfakturering eller «mellomværende» som ingen utenfor selskapskjernen har innsyn i. NAVs egne regler for attføringsbedrifter fremhever dessuten eksplisitt at det ikke er ikke lov å bygge strukturer som gjør det mulig å trekke ut verdier fra attføringsvirksomheten.

Foruten vissheten om at NAV-ledelsen ikke brydde seg stort om taushetsplikten overfor varslere, fant jeg og mine medvarslere ut at Riksrevisjonen i sin årsrapport fra året etter, adresserte at betydelige verdier ikke fulgte attføringstiltakene ved omorganisering, og at NAVs «årlige kontroll» ikke var i stand til å etterprøve at tilskudd gikk til formålet. «Sterkt kritikkverdig» kalte Riksrevisjonen det, også den gang.

Hvilken virksomhet ble i anonymisert form trukket frem i rapporten som eksempel på «Sterkt kritikkverdig»? Jo Fretex, som måtte tilbakebetale 22 millioner kroner, selv om det reelt sett skulle vært et langt større beløp.

Revisjonsdirektør Klepp ble den gang også konfrontert med konkursrisikoen rundt det at flere titalls millioner kroner i attføringsmidler ble (ulovlig) investert i ett nyopprettet privat Fretex-selskap. Hva ville skje om dette selskapet gikk konkurs, var spørsmålet. Revisjonsdirektørens svar var ikke at alt skulle reverseres og historikken granskes. Nei, kun; «slikt skal vi ikke akseptere fremover».

I etterkontrollens forsvar ble altså historikken delvis innrømmet gjennom tilbakebetalingen som ble avslørt i Riksrevisjonens rapport, men uten at noen sto frem og «kalte barnet ved navn». Vi som varslet Riksrevisjonen, fikk ingen honnør verken fra dem, NAV eller fra departementet til Kjersti Stenseng, bare et; «Takk for tipset.» Ingen av oss varslere ble informert om tilbakebetalingen Fretex måtte foreta. Det ble dessuten eksplisitt gitt beskjed om at Monsen ikke skulle informeres, slik at saken ikke kunne brukes mot Fretex i den pågående varslingssaken jeg hadde anlagt mot dem. Verken NAV, departementet eller Riksrevisjonen ville risikere samarbeidet med en så viktig og landsdekkende attføringsbedrift som Fretex. I slike kontekster får man virkelig se verdien samfunnstoppene og systemet legger i varsling om alvorlige kritikkverdige forhold.  

Varsleren, sandkornet i maskinen

Monsens Revelje hadde for et par uker siden et innlegg om varsleren Janne Cecilie Thorenfeldt, som dokumenterte omfattende ulovlig innsyn i egne og andres opplysninger, manglende tilgangsstyring og loggkontroll. Hun ble møtt med den velkjente norske oppskriften som varslere rammes av; bagatellisering, isolasjon, fratakelse av oppgaver, og nesten ved enden en utestengelse, med domstolenes siste hånd på verket.

Det er lett å forsvinne i paragrafer, instrukser og kontrollregimer. Men kjernen er moralsk, ikke teknisk. Staten er rask til å konkludere skyld hos den svake, men ikke i stand til å finne den samme skyld hos seg selv. Den som har minst, gis minst rom for feil. Den som har mest, gis mest rom for feil.

NAV forvalter mer enn ytelser. NAV forvalter folks grunntrygghet. Når grunntryggheten undergraves av grov kontrollsvikt, som igjen møtes med fullstendig sanksjonsfritak, da er ikke problemet løst med en ringperm, et internt notat eller en direktør på en slags intern flyttefot. Da må samfunnet kreve noe mer. Inntil det skjer, endres intet. Kong Salomo går fra møter med samfunnstoppene med omforent forståelse. Jørgen Hattemaker går fra tinghuset med en dom mot seg. Skattebetalerne betaler «gildet», enda en gang.

God søndag!