Brottsprevention är inte samma sak som awareness

Det händer ofta att begreppen blandas ihop. Informationskampanjer, föreläsningar, utbildningar och kommunikation beskrivs ibland som prevention, trots att de i praktiken främst handlar om riskmedvetandegörande.

Det gör inte awareness oviktigt. Tvärtom. Men om målet är att faktiskt stoppa brott krävs ofta något mer än kunskap hos den enskilde. Då behöver man också titta på vilka steg som gör brottet möjligt, vilka system som utnyttjas, vilka kontroller som saknas och vilka aktörer som kan agera innan skadan är skedd.

Tre olika funktioner

Awareness - riskmedvetandegörande

Awareness handlar om att få människor att förstå risken. Det kan vara kampanjer, kommunikation, folkbildning, föreläsningar, internutbildningar, varningsmaterial och informationsinsatser.

Målet är att fler ska känna igen risker, förstå varningssignaler och kunna agera tidigare. Det är viktigt, men det är inte automatiskt samma sak som operativ brottsprevention.

Awareness kan vara en förutsättning för prevention, men det räcker inte alltid. Att någon känner till en risk innebär inte nödvändigtvis att brottet blir svårare att genomföra.

Prevention - att minska brottets genomförbarhet

Operativ brottsprevention handlar om att identifiera, försvåra, störa, stoppa eller reducera möjligheten att brottet sker.

Här ligger fokus inte bara på vad människor bör veta, utan på vad som faktiskt kan ändras i system, processer, samverkan, kontroller, betalflöden, domänmiljöer, kundresor, teknisk infrastruktur och organisatoriska rutiner.

För Internetsweden är detta mittenledet det mest centrala: att försöka omsätta observationer, indikatorer och mönster till sådant som gör brottet svårare, långsammare, dyrare eller mindre lönsamt att genomföra.

Enforcement - utredning och lagföring

Enforcement handlar om vad som sker när brottet redan har begåtts: utredning, bevissäkring, ingripanden, beslag, åtal och lagföring.

Det är avgörande för rättsstaten och för att upprätthålla samhällets regler. Men det är inte samma sak som att förhindra att brottet uppstår från början.

En fungerande brottsbekämpning behöver både förebyggande arbete och möjlighet att utreda och lagföra. Problemet uppstår när alla delar kallas prevention och skillnaderna suddas ut.

Varför begreppen behöver hållas isär

När awareness och prevention blandas ihop blir det svårt att veta vad en insats faktiskt ska åstadkomma. En kampanj kan vara bra, men den bör mätas som kunskap, räckvidd, igenkänning eller beteendeförändring - inte automatiskt som brottsprevention.

En preventiv åtgärd bör däremot kunna kopplas till brottets genomförbarhet. Den bör påverka något i kedjan: en kontrollpunkt, ett flöde, en möjlighet, ett systemfel, en betalningsväg, en teknisk resurs, en domänmiljö eller en organisatorisk svaghet.

Det här är också skälet till att Internetsweden ofta återkommer till kontrollfrågor, tekniska spår, domäner, betalflöden, målvakter, dokumentation och händelsekedjor. De delarna säger något om var ett brott kan försvåras eller stoppas.

Exempel på kontrollfrågor

• Vilka steg måste fungera för att brottet ska kunna genomföras?
• Vilka signaler uppstår innan brottsoffret möter upplägget?
• Vilka aktörer kan agera innan skadan är skedd?
• Vilka kontroller saknas, kringgås eller kommer för sent?
• Kan domäner, betalflöden, annonser, konton eller kontaktvägar stoppas tidigare?
• Gör åtgärden brottet svårare, dyrare, långsammare eller mer riskfyllt för gärningspersonen?
• Mäter vi kunskap och räckvidd, eller faktisk minskning av brottets möjlighet att lyckas?