sou · GOB324 · 2001-01-01 00:00:00 — Till statsrådet och chefen för Vid regeringssammanträde tillkallade regeringen en särskild delegation för att behandla frågor rörande omställningen av datorer och system vars funktioner måste ses över (dir 1998:10, bilaga 1). Dåvarande statsrådet och chefen för utsågs till ordförande i delegationen. Regeringen för- ordnade därtill ledamöter och experter i delegationen. Under arbetets gång har ordförandeskap och ledamöter förändrats. Ordförandenas och ledamöters förordnanden framgår av bilaga 2. Till chef för delegationens kansli förordnades utredningsdirektören . Övrig personal vid kansliet framgår av bilaga 3. Delegationen har antagit namnet 2000-delegationen. Arbetet med 2000-omställningen har varit framgångsrikt. 2000-dele- gationen kan konstatera att det svenska samhället klarat 2000-omställ- ningen inom samtliga viktiga samhällsfunktioner utan stora störningar som kan hänföras till 2000-frågan. Med denna slutrapport 2000-säkringen i . Myt och verklighet har 2000-delegationen slutfört uppdraget. Sammanfattning och erfarenheter........................................................... Summary and Conclusions ..................................................................... Uppdrag och planläggning av arbetet .......................................... 2 000-problemet i verksamheter och samhällsområden............. Beskrivning av 2000-problemet....................................... Grunden till problemet..................................................... Några historiska hållpunkter............................................ 2000-problemet i olika typer av system........................... 2.2.12000-problemet i informationssystem (administrativa 2000-problemet i persondatorer....................................... Utvidgning (Expansion)................................................... Tolkning (Windowing) .................................................... 2.3.5Befarad konsultbrist uteblev då organisationerna valde 2000-problemet i olika typer av verksamhet ................... Övriga viktiga samhällsfunktioner................................... Verksamheter med komplex uppgiftshantering............... Verksamheter med komplex produktion.......................... Små och medelstora företag............................................. 2000-problemet ur konsumentperspektiv ........................ Mediebilden kring 2000-frågan ....................................... Andra studier av mediebilden.......................................... (ÖCB)............................................................................... Insatser och aktiviteter .................................................................. Informationskanaler och informationsinsatser ................. Samordning och samverkan av informationsaktiviteter ... A-listenoterade börsföretags 2000-information................ Vad hände - rapporterade felfunktioner och händelser............ Uppföljning i sju steg: ...................................................... Ledamöter och experter i 2000-delegationen .................. Konsekvensbeskrivning enligt direktiv ........................... Förteckning över utgivna rapporter ................................. Förteckning över producerade broschyrer, foldrar m.m.. 91 Viktiga milstolpar i 2000-omställningen ......................... Stor risk för elbortfall! Så förbereder Du Dig för katastrofen. Vilken jätteflopp, inget hände! Så kunde tidningsrubriker se ut och på . Det svänger fort i medievärlden. 2000-delegationen redovisar i denna rapport arbetet med att säkra det svenska samhället i samband med den s.k. 2000-omställningen och de erfarenheter som vunnits. Utgångspunkten är delegationens uppdrag. I samband med rapportarbetet har ett antal intervjuer genomförts. Erfarenheterna får värderas och anpassas till de förutsättningar som gäller i varje situation. 2000-delegationens uppgift har varit att ta en ledande roll i den pro- cess som hade till mål att åstadkomma en säker övergång . Fokus i arbetet har varit infrastrukturen. I sammanhanget bör beaktas att 2000-anpassningen av experter anses ha varit det största civila projektet någonsin i modern tid. 2000-anpassningen har berört samtliga länder. Enligt direktiven skulle 2000-delegationen ·vara samverkansorgan mellan privat och offentlig sektor ·löpande värdera hur arbetet fortskridit ·uppmärksamma verksamhetsledningar på behovet av insatser fram- förallt beträffande samordning över samhällssektorer ·lägga vikt på väsentliga samhällssektorer Oron för omfattande störningar var på flera håll stor så sent som . Flera myndigheter och stora företag rapporterade för- 10 Sammanfattning och erfarenheter Detta tolkades av omvärlden som att man inte hade kontroll över projekten vilket fick till följd att tilltron till utsagor ifrågasattes. Resultatet av omställningsarbetet blev mycket gott - uppgiften löstes. Utan de arbetsinsatser som vidtagits hade situationen blivit pro- blematisk. Till den lyckade utgången bidrog också att de flesta aktörer hade en omfattande bemanning med IT-experter och beslutsfattare under nyårshelgen varför inga större felfunktioner som kunde hänföras till 2000-frågan rapporterades i . Endast smärre fel i samhällets övriga verksamheter noterades, vilket låg i linje med den lägesbedöm- ning som 2000-delegationen lämnade till regeringen (rapporten finns förtecknad i bilaga 5). Den internationella bilden blev likartad. Det goda resultatet är frukten av många aktörers arbete. Ansvaret för 2000-anpassning och funktionalitet i IT-system ligger hos aktörerna. Några särskilda författningar för arbetet med 2000-frågan utanför det statliga området har inte beslutats. Så har emellertid skett i andra länder. Exempelvis kan nämnas att man i beslutade om sär- skilda lagar för att underlätta öppenhet och informationsutbyte mellan aktörer. I andra länder har bidrag utgått till exempelvis småföretag för 2000-säkringen. Alla som kom i kontakt med 2000-frågan konstaterade att förutsätt- ningarna för att lyckas var att samverkan skedde mellan aktörerna. 2000-delegationen tog denna samverkan som en huvuduppgift och full- följde därför arbetet i de nätverk för erfarenhets- och informations- utbyte som tidigare organiserats. Under arbetets gång har ett nära samarbete skett med ett stort antal aktörer på framförallt central nivå. De samverkansgrupper som etablerats har fungerat väl. De inter- vjuade menar att medverkan i dessa nätverk har varit den enskilt vikti- gaste aktiviteten de deltagit i. Intresset för att delta i 2000-delegatio- nens nätverk har varit stort. Sammanfattning och erfarenheter 11 En viktig uppgift var att göra företag, organisationer och allmänhet medvetna om 2000-problemet och visa på behovet av att 2000-säkra verksamheterna. 2000-delegationen genomförde ett antal informa- tionskampanjer, producerade informationsmaterial och medverkade i debatter, radio- och TV-program. Under arbetet genomfördes även ett stort antal seminarier med delegationens ordförande eller kansliperso- nal som föredragshållare. Två motsatta angreppssätt har förespråkats av olika aktörer – skrämma eller lugna. Ledstjärnan för 2000-delegationen har varit att informera korrekt och öppet om 2000-arbetet. Tillsammans med andra aktörer har delegationen varit aktiv i informationsfrågan och kon- sekvent uppmanat aktörerna att vara aktiva snarare än reaktiva. Den strategin har medverkat till det goda resultatet. Aktiv information ledde sannolikt till att spekulationer och överreaktioner i stort uteblev. Den information som presenterats på 2000-delegationens webbplats anses ha varit mycket värdefull. Webbplatsen har av många bedömts vara den bästa i vad gäller 2000-omställningen. För att klarlägga anpassningsläget genomfördes oberoende bedöm- ningar av läget liksom offentliga utfrågningar inom särskilt viktiga samhällsområden. Resultatet av dessa aktiviteter har varit värdefullt och gav en förutsättning för övriga aktörers planering av 2000-arbetet. 2000-delegationen noterar att det gjordes ett flertal försök att sprida myter kring 2000-frågan. En sådan myt var att hela arbetet varit onö- digt. Delegationen kan emellertid konstatera att vitala delar av samhäl- let stannat och stora problem uppstått om inte anpassningsarbetet genomförts. Banker och storföretag gjorde bedömningen att de skulle klarat sig eller i bästa fall om åtgärder inte vid- tagits. Andra vitala delar av samhällets infrastruktur hade haft likartade svårigheter. Hotet var reellt. Det har ofta framförts att omställningsarbetet var påhittat av konsulter för att tjäna pengar. 2000-delegationen saknar belägg för att så skulle vara fallet. Men det går heller inte att helt utesluta att enstaka konsulter och experter haft egenintresse av att hålla frågan vid liv. 12 Sammanfattning och erfarenheter presenterade rapporter om anpassningsläge och kostnader i olika länder och sektorer, så även för . De efterforskningar 2000-delegationen har kunnat genomföra visar att utsagorna vilat på ett delvis bräckligt underlag. Delegationen kan konstatera att somliga aktörer allt för okritiskt godtagit utsagorna. Inbäddade system har diskuterats mycket. Under arbetets inlednings- skede framställdes problemen med de inbäddade systemen som en stor riskfaktor. Många experter hävdade att felfunktioner i sådana system var det stora hotet. 2000-delegationen gjorde via nätverken stora an- strängningar att få klarlagt vilka felfunktioner som hittats och dess effekter. Trots dessa ansträngningar kunde inga större felfunktioner påvisas. 2000-delegationen uppmanade vid varje sammanträde till öppenhet om metoder, resultat och erfarenheter speciellt vad avsåg inbäddade system. Det har emellertid varit svårt att skapa denna öppenhet. Aktö- rerna har inte tagit initiativ till en samverkan för att sätta press på leve- rantörer eller konsulter. Om aktörerna medverkat till att skingra oklar- heter kring exempelvis inbäddade system hade sannolikt mycket tid och resurser kunnat sparas eller kunnat styras över till väsentliga områ- den. Situationen har av allt att döma varit likartad i de flesta länder. 2000-delegationen konstaterar att problemet med de inbäddade systemen synes ha varit en överdrift. De verkar inte tillnärmelsevis ha haft den påverkan som många hävdade under arbetets gång. Likartat resonemang fördes kring persondatorer. Av de rapporter 2000-delegationen tagit del av kan konstateras att felfunktioner i per- sondatorer varit få och enkla att åtgärda. Många har efterlyst IT-branschens synlighet och ansvar. Att IT-system och mikrochips skulle komma att felfungera om inga åtgärder vidtogs var känt inom branschen . Några åtgärder för att komma till rätta med problemet vidtogs emellertid inte förrän i sen tid med få undantag. Vissa leverantörer lämnade så sent som garantier för att deras produkter var 2000-säkrade men en del av dessa produkter fungerade inte trots detta . Sammanfattning och erfarenheter 13 Om IT-branschen gett en samlad bild av vad som kunde förväntas inträffa, var problemen kunde uppstå och hur de kunde åtgärdas hade avsevärda resurser sparats. Flera aktörer ansåg det som självklart att IT-branschens organisation – IT-Företagen – skulle tagit en aktiv roll i arbetet eftersom IT-bran- schen ansågs vara upphovet till problemet. 2000-delegationen kan kon- statera att det varit bra om branschen tagit en aktivare roll. 2000-delegationen har i flera sammanhang efterlyst branschorganisa- tioners medverkan. Två organisationer har ingått som dagliga samver- kansparter, och . Dessa två organisationer har visat ett stort engagemang. Däremot har det varit svårt att intressera andra branschorganisationer. Arbetet hade förenk- lats avsevärt om branschorganisationerna varit mer aktiva. 2000-frågan är ett utmärkt exempel på hur det moderna samhället vävs in i nätverk som går över gränser. Detta har varit särskilt tydligt i för t.ex. el-, gas- och telesektorerna. Oron för stora störningar var på många håll påtaglig ända in . Den internationella samverkan ledde till att man kunde utnyttja erfa- renheter från andra länder på ett snabbt sätt. Samverkan skedde på informell grund. Detta anses vara orsaken till att så få fel rapporterats från ett antal länder som ansågs ligga långt efter i arbetet. De mest IT-beroende länderna som startat tidigt kunde överföra kunskap till andra. Det visade sig också att viktig infrastruktur är sammankopplad men uppenbarligen inte så sårbar som förmodats. Några s.k. dominoeffekter har inte noterats. 2000-delegationen har informerat om läget i vid kontakter med kollegor i olika länder. Vid dessa kontakter har också kunnat inhämtas upplysningar om hur 2000-arbetet organiserats och utvecklats i dessa länder. Detta har medverkat till att ryktesspridning och speku- lation kunnat hållas på en utomordentlig låg nivå i . Via Ut- rikesdepartementet hade i princip samtliga svenska ambassader tillgång till information. Ett antal ambassader har också rapporterat tillbaka om läget till 2000-delegationen. 14 Sammanfattning och erfarenheter Internationella samverkansorganisationer har arbetat med frågan. Detta har i regel skett genom att man sammanställt uppgifter från i första hand medlemsländerna i respektive organisation. I detta sam- manhang kan noteras att aktörer och allmänheten i bland annat synes ha haft en övertro på vad dessa internationella organisationer skulle kunna uträtta. Särskilt tydligt har det varit när det gäller kärn- kraftsäkerheten i . Det internationella organet () har inte haft de mandat till insyn och kontroll som många förutsatt. har uppenbarligen inte tillräckligt tydligt informerat om dessa förutsättningar. 2000-delegationen har noterat att kulturskillnader mellan länder och världsdelar blivit tydlig i denna fråga. Aktörer i har agerat som om förhållandena i exempelvis varit likartade de i . Det har varit svårt att övertyga kollegor i om att de måste göra bedömningar utifrån lokala förhållanden och inte utifrån en stereotyp uppfattning grundad på amerikanska värderingar. Kulturen i form av IT-beroende, kompetens, intresse, klimat m.m. måste i dessa samman- hang särskilt beaktas. En fråga som har diskuterats mycket är varför det rapporterats så få felfunktioner från vissa länder och områden som utpekades vara i farozonen. Uppenbarligen är inte sårbarheten så stor som förmodats. En annan förklaring kan vara att man åtgärdat system och verksamheter utan att det fått någon särskild uppmärksamhet. Mycken hjälp kan också ha erbjudits i sen tid. Mörkertalet är emellertid stort. Ingen anser sig vara betjänt av att rapportera felfunktioner. genomfördes en utfrågning där det bland annat hävdades att antalet konsulter inte skulle räcka till och att de stora kunderna skulle prioriteras. Det skulle innebära att många framför allt mindre och medelstora företag inte skulle kunna få sin verksamhet 2000-säkrad. Relativt snart stod det klart att det scenariot inte alls skulle inträffa. En förklaring kan vara att tolkningsmetoden (windowing) har använts i större utsträckning än förväntat. Sammanfattning och erfarenheter 15 utfärdade regeringen en förordning (SFS 1997:30) om översyn av de statliga myndigheternas IT-system . Stats- kontoret fick enligt denna förordning uppdrag att bistå myndigheterna med vägledning och stöd och svara för en löpande uppföljning och samlade bedömningar av anpassningsläget beträffande statliga myndig- heter. I de nätverk som 2000-delegationen etablerade konstaterades att samarbetet fungerade väl på myndighetsnivå men aktörerna ansåg sig behöva lägga alltför mycket kraft på att klarlägga intentionerna i . De uttryckte därför ett behov av tydliga signaler från regeringen möjligen av samma art som de uppfattat förekom i t.ex. och . Detta skulle enligt deras förmenande ha tidi- garelagt anpassningen och underlättat arbetet. Underlag för uttalanden om 2000-läget inom framförallt myndigheter har byggt på självrapportering. Myndigheterna fick inget uppdrag att låta göra oberoende granskningar och sådana har med några få undan- tag inte heller utförts. 2000-delegationen genomförde därför egna obe- roende granskningar och offentliga utfrågningar för att klarlägga läget. Sådana granskningar har i andra länder varit relativt ovanliga. Gransk- ningarna underlättade avsevärt för 2000-delegationen att göra utsagor om anpassningsläget inom skilda områden. Självrapportering har inte varit en tillfredsställande metod i en fråga som den nu aktuella där en så stor del handlar om tilltro till utsagor och uttalanden. Oberoende granskningar är nödvändiga för att skapa tilltro. I huvudsak har tre metoder använts vid 2000-säkringen av system och processer. Många aktörer har ersatt äldre system och hårdvara med helt nyanskaffade produkter som är 2000-säkra. Andra har använt tolk- ningsmetoden och endast en minoritet synes ha använt den säkra metoden utvidgning. Ofta har tidsfaktorn varit avgörande varför tolk- ningsmetoden använts. 2000-delegationen kan konstatera att inga stora felfunktioner upp- stod i samband med de kritiska datum som identifierats. Utan 2000- säkring skulle en stor del av verksamheterna i landet upphört att fun- 16 Sammanfattning och erfarenheter gera eller haft bristande funktionalitet. Användningen av tolknings- metoden har skjutit upp omställningsarbetet . Omställnings- arbetet för de aktörer som valt den metoden måste därför fortsätta. Det är nu viktigt att fullfölja arbetet i de system som åtgärdats med en icke säker metod. Det är också viktigt att åtgärda de icke verk- samhetskritiska systemen. I sammanhanget kan noteras att det vore värdefullt med forskning kring olika strategier för metodval i 2000-anpassningsarbetet. Små och medelstora företag Anpassningsläget hos små och medelstora företag har under hela arbe- tet varit oklart. 2000-delegationen tog därför initiativ till samarbete med olika organisationer för att dels uppmana till att starta och driva på arbetet, dels utnyttja det informationsmaterial som togs fram. Flera undersökningar gjordes också om anpassningsläget inom denna del av samhället. 2000-delegationen kan konstatera att få störningar rapporterats från denna sektor. IT-system är ofta utsatta för störningar som leder till fel av olika slag. Många aktörer har stora help-desk-funktioner och supportavdelningar för att klara dessa störningar. Öppen dokumentation av normala stör- ningar saknas emellertid i allt väsentligt. En viss mängd fel anses uppenbarligen vara acceptabel. Det hade avsevärt underlättat arbetet med att värdera påståenden och rapporterade felfunktioner om sammanställningar av normala fel- funktioner hade funnits eller kunnat göras med rimlig arbetsinsats. Av- saknaden av sådant jämförelsematerial har lett till oklarheter. 2000-delegationen försökte få tillgång till sådana uppgifter men de visade sig omöjliga att få fram. En lärdom för framtiden är att det s.k. normalbruset bör dokumenteras så att specifika fel kan jämföras med det normala läget. Sammanfattning och erfarenheter 17 IT är sårbart och ofta utsatt för störningar. Det får konsekvenser för samhället som bygger in en viss sårbarhet genom de olika beroenden som uppstår när information hämtas från olika delar av samhället. Säkerhetsfrågorna har lyfts fram i 2000-arbetet. Det har varit nöd- vändigt att göra riskbedömningar och lyfta fram säkerhetsaspekterna, särskilt IT-säkerhet. Under framförallt uppmärksammades behovet av kontinuitetsplanering och beredskap. 2000-delegationen förordar att regeringen och andra aktörer över- väger åtgärder för att bibehålla och utveckla det säkerhetstänkande som vunnit insteg. IT-säkerhetsfrågorna bör fortsättningsvis lyftas till ledningsnivån. Det finns också skäl att förslagsvis och andra berörda arbetar vidare med att klarlägga allmänhetens och aktörers beredskap mot störningar. Sannolikt bör all- mänhetens beredskapsnivå höjas. 2000-omställningen har hos flertalet aktörer varit det största projektet i modern tid. Det står helt klart att omställningsarbetet medfört stora kostnader och det är uppenbart att kostnaderna skulle ha kunnat hållas nere om IT-branschen startat arbetet . Under arbetets gång har det gjorts ett flertal försök att göra beräk- ningar av kostnaderna för omställningen. 2000-delegationen konstate- rar att flera metoder använts vid kostnadsberäkningarna vilket har omöjliggjort jämförelser. Det har i debatten framställts som att kostnaderna för omställningen enbart kan bokföras som en negativ post. 2000-delegationen anser dock att omställningen i många fall lett till förbättrad funktionalitet och effektivare verksamhet – således har omställningsarbetet varit en investering. 2000-arbetet har inneburit att ledningen tvingats engagera sig i arbetet på ett tydligt sätt. Det som inledningsvis uppfattades som en IT-fråga har efter hand blivit en verksamhetsfråga. Det har också blivit en fråga om tilltro till produkter och varumärken. De strategiska frågornas vikt ledde till att 2000-arbetet fördes upp på ledningsnivå. 18 Sammanfattning och erfarenheter Ett stort antal positiva erfarenheter har dokumenterats från 2000-arbe- tet. Den förbättrade funktionaliteten förväntas leda till större effektivi- tet. Arbetet bör nu koncentreras på att tillvarata dessa och nyttja de vunna erfarenheterna . Åtgärder bör nu vidtas av aktörerna för att behålla de strategiska IT-frågorna på ledningsnivå. En nödvändig förutsättning för arbetet har varit att inventera alla system, processer och produkter. Många gamla system har helt kunnats avvecklas. Aktörerna menar att man nu har en hel- täckande inventering att arbeta från. Det kommer att leda till bättre funktionalitet . Utrensningen av äldre system och införandet av effektivare lösningar har lett till ökad effektivitet i verksamheten. 2000-delegationen har haft överläggningar med centrala fackliga organisationer för att uppmärksamma dessa på frågan och de åtgärder som behövde vidtas. Då påpekades också behovet av personalens enga- gemang i och med att företag och myndigheters förtroende och verk- samhet stod på spel. Erfarenheterna har visat att intresset från fackligt håll genomgående varit lågt. Genom 2000-arbetet har flera företag funnit nya och ekonomiskt bärkraftiga idéer och uppslag. Exempel på detta är nya supportsystem och säkerhetssystem. Flera aktörer har påtalat att regelverket anses oklart kring ansvar och befogenheter i det förberedelsearbete som var nödvändigt för bland annat samverkan mellan i första hand länsstyrelser, kommuner och Försvarsmakten. I sammanhanget har begreppet svår påfrestning använts. För att effektivisera arbetet är det nödvändigt att rege- ringen klarlägger innebörden i regelverket och förtydligar ansvar och befogenheter i en situation motsvarande den nu aktuella. Sådant arbete har påbörjats. Många har försökt förutse när nästa liknande projekt kan bli aktuellt där erfarenheter från 2000-arbetet kan tas tillvara. I de intervjuer som genomförts har euroanpassningen lyfts fram som ett sådant projekt. Detta arbete berör hela samhället och vissa aktörer anser att det kan bli Sammanfattning och erfarenheter 19 upp till fem gånger mer omfattande än 2000-anpassningen. Detta gäller alldeles tydligt inom den finansiella sektorn. Under särskilt förväntas att ett antal mindre fel kan uppkomma. Arbete med att åtgärda dessa måste fullföljas. Därtill måste icke verksamhetskritiska system anpassas liksom system som över- gångsvis klarats med förenklade åtgärder. Major risk of power failure! How to prepare for the emergency. What a non-event, nothing happened! This is how some newspaper headlines looked in , 1999, and early in January, 2000. The media change their mind fast. In this report, the Millennium Commission provides an account of the work to make society compliant in conjunction with the Y2K conversion. It also lists the conclusions that have been drawn. The basis for the project is the Commissions mission. A number of interviews have been conducted during the preparation of the report.