Anskaffelser på jernbanen

Følgende forskrifter inneholder bestemmelser som er aktuelle for anskaffelser:

• Sikkerhetsforskriften
• CSM SMS (Forskrift om felles sikkerhetsmetode for krav til sikkerhetsstyringssystemer)
• Sikringsforskriften
• Kravforskriften
• Sidesporforskriften

Forskriftene stiller ikke krav til anskaffelser direkte. Krav til hvordan anskaffelser og avtaler skal håndteres, kan leses ut fra kravene som stilles til styring og kontroll av leverandører. 
 
Forskriftene stiller krav til at virksomheten skal styre leverandører ved å:

• ha kontroll på alle deler av sin virksomhet hvor andre aktører eller tredjepart er involvert i oppgaver som kan påvirke sikkerheten og sikringen
• ha kontroll på risiko for sikkerhet og sikring i oppgaver og tjenester som utføres av leverandører
• ha kompetanse til å kunne spesifisere krav til leverandører
• følge opp utførelsen av oppdragene og leveransene av produkter, gjennomføre revisjoner av leverandører for å kontrollere om de overholder krav i avtalen
• påse at leverandørens ansatte har nødvendig kompetanse og at opplæring gjennomføres

Merk: Sikkerhetsforskriften bruker begrepet «underleverandør» om det som omtales som «leverandør» i denne veilederen og i de andre forskriftene.  

Leveranser som kan ha betydning for sikkerhet eller sikring, kan være fysiske og digitale tjenester, systemer, materiell og komponenter, som for eksempel å:

• utføre operative tjenester, som vedlikehold av infrastruktur og rullende materiell
• levere rullende materiell og utstyr
• skifte tog på stasjon eller skifteområder
• tilby buss for tog
• drifte og gi støtte til bruk av IKT- og OT-systemer (se veilederen om digital sikkerhet)
• utføre vakt- og sikringstjenester på hensettingsområder, terminaler eller stasjoner
• bistå med berging og beredskap (se veilederen om beredskap)
• gi råd om å etablere et styringssystem for sikkerhet og sikring
• lede risikovurderinger
• lede eller bidra i revisjoner
• gi opplæring
• yte administrative og andre tjenester (levert av andre konsernenheter eller søsterselskaper)

• entreprenører, vaktselskaper, IT-selskaper m.m.
• konsernenheter og søsterselskaper som helt eller delvis styrer administrative tjenester og IKT-systemer
• andre jernbanevirksomheter (infrastrukturforvalter, jernbaneforetak)
• virksomheter som tilbyr rullende materiell
• vedlikeholdsleverandører
• konsulent- og rådgivningsselskaper 

Følgende spørsmål kan stilles i risikovurderingen:

• Hvilke risikoakseptkriterier har vi for sikkerhet og sikring?
• Har vi gjennomført risikovurderinger av tilsvarende anskaffelser før?
• Hvilke erfaringer har vi fra tidligere anskaffelsesprosesser, for eksempel deltakere og deres kompetanse?
• Har vi hatt utfordringer med denne eller lignende leverandører tidligere?
• Har vi rapporter eller statistikk om uønskede hendelser knyttet til denne typen anskaffelse eller de utvalgte leverandørene?
• Har vi tilstrekkelig informasjon om mulige farer, aktuelle trusler og sårbarheter i våre verdier?
• Kan vi inngå et samarbeid med andre virksomheter som benytter samme leverte tjenester/ produkter for å utveksle erfaringer? 

Følgende spørsmål kan stilles til å spesifisere krav i tilbudsforespørselen og konkurransedokumenter:

• Hvilket regelverk skal leverandøren forholde seg til?
• Hva skal leverandørens styringssystem omfatte, inkludert ansvarsforhold, opplæring, risikostyring og beredskap, informasjonssikkerhet, avvikshåndtering og revisjoner?
• Skal leverandøren forholde seg til spesifikke deler av virksomhetens styringssystem?
• Vil vi ha rett til å få tilgang til eller å få presentert leverandørens styringssystem?
• Hvilken kompetanse skal leverandørens personell ha som for eksempel formell utdanning og arbeidserfaring?
• Hvor tilgjengelig skal leverandørens personell være med hensyn på omfang av oppdraget?
• Hvordan forholder vi oss til leverandørens bruk av underleverandører, for eksempel informasjon om antall ledd i leverandørkjeden og hvilke underleverandører brukes til hvilke oppgaver eller tjenester?
• Hvilken beredskap skal leverandøren ha?
• Hvordan vil vi gjennomføre revisjoner av leverandøren og eventuelle underleverandører?
• Er det spesiell krav til konfidensialitet, for eksempel taushetsplikt, autorisasjon eller sikkerhetsklarering?

Dette kan være punkter å sjekke ut før avtalen med en leverandør inngås, fordi de kan påvirke virksomhetens arbeid med sikkerhet og sikring:

• Har vi spesifisert hvilket regelverk leverandøren skal forholde seg til?
• Skal leverandøren bruke virksomhetens styringssystem?
  • Hvis ja, hvilken tilgang og opplæring skal leverandørens ansatte få.
  • Hvis nei, hva skal leverandørens styringssystem dekke, for eksempel hvilke krav i gjeldende regelverk skal ivaretas?
• Har vi spesifisert kompetansekrav til personell som skal utføre oppgaver som har betydning for sikkerhet og sikring?
• Har vi avklart når og hvor leverandørens personell skal være tilgjengelig?
• Har vi spesifikke krav til bruk av arbeidsklær og verktøy?
• Hvordan skal leverandøren sikre seg tilstrekkelig kontroll med underleverandører?
• Har vi stilt krav til leverandøren om å korrigere påviste avvik og mangler innen en frist som vi setter?
• Kan vi gjennomføre revisjoner av leverandøren og underleverandøre?
• Er det beskrevet rutiner og prosedyrer for å utveksle informasjon om endringer i regelverket, organisasjonen, underleverandører eller andre opplysninger som ha betydning for sikkerhet/sikring?
• Har vi sikret oss rett til å godkjenne endringer som leverandøren gjør, hvis de har betydning for sikkerhet/sikring?
• Har vi angitt krav til bruk av digitalt utstyr og tilgang til virksomhetens IKT- og OT-systemer?
• Skal leverandørens personell ha taushetsplikt i og etter avtaleperioden?
• Hvilken beredskap skal leverandøren ha?
• Er det er mulig å gjennomføre en mottakskontroll av det leverte produktet, og kan eventuelt stikkprøvebasert mottakskontroll være tilstrekkelig?
• Er det adgang til å avvise et produkt som virksomheten mistenker ikke har avtalt kvalitet?
• Vil det være nok å følge med på den leverte tjenesten gjennom kontinuerlig eller stikkprøvebasert overvåking av utvalgte egenskaper?
• Kan vi sikre oss effektivt innsyn på et særlig kritisk punkt i produksjonsprosessen hos leverandøren?
  • Hvis ja, er det mulig å ta inn en bestemmelse i kontrakten for å sikre nødvendig innsyn?
• Om hvilke endringer skal leverandøren informere oss, for eksempel endringer i organisasjonen, operative rutiner eller systemer?
• Skal vi pålegge leverandørens ansatte taushetsplikt i og etter avtaleperioden? 

Dette er eksempler på funn fra våre tilsyn:

• Avtaler inneholdt ikke entydige og hensiktsmessige krav for å kunne avgjøre om leveransene hadde mangler i forhold til virksomhetens krav.
• Avtalen beskriver ikke tydelige krav og forpliktelser for leverandøren.
• Avtalen regulerer ikke krav til kompetanse hos leverandørens personell.
• Avtalen angir ikke virksomhetens rett til å revidere leverandøren.
• Avtalen stiller ingen krav til leverandørens styring av sikkerhet/sikring og beredskap.
• Avtalen stiller ingen krav til å rapportere uønskede hendelser og tilsiktede handlinger.
• Avtalen mangler henvisning til teknisk regelverk krav til å bruk av hovedsikkerhetsvakt eller bruk av spesielle typer materiell og utstyr.
• Avtalen mangler bestemmelser som begrenser leverandørens rett til overføring av sine rettigheter og plikter til en tredjepart.
• Avtalen inneholder motstridende krav i selve avtaleteksten og vedleggene.
• Leverandørens standardavtale åpner for at virksomhetens krav kan til side settes på grunn av leverandørens forrangsbestemmelser.
• Avtalen er ikke signert av begge parter.
• Avtalen er ikke datert og/eller angir ikke når den gjelder fra eller til.
• Avtalen er utløpt på dato uten å ha blitt fornyet.
• Avtalen plasserer ansvar hos leverandøren som etter jernbanelovgivningen ikke kan overlates til en leverandør som ikke har egen lisens og eget sikkerhetssertifikat (alternativt tillatelse).