sou · GVB347 · 2008-01-01 00:00:00 — lande informationssäkerhet skulle med all säkerhet vara en mycket förtroendeskapande åtgärd som skulle bidra till ökad säkerhet hos leverantörer på IT-området, eftersom det också skulle medföra bättre underlag för kravställande. En sådan certifiering kunde vara aktuell för de större myndigheterna, medan en mer begränsad till- lämpning av kan vara tillräcklig för myndigheter med lägre krav på informationssäkerhet under förutsättning att det klart framgår och motiveras vilka avsteg som gjorts från . Ovan har ett antal exempel getts på behov inom området IT- standardisering för ökad informationssäkerhet i e-förvaltningen. Utifrån sin roll för att främja e-förvaltningen är det naturligt att Verva spelar en betydelsefull roll också när det gäller informations- säkerheten. 8IT-standarder i offentlig upphandling och deras betydelse för småföretag och innovationer 8.1Hur påverkar IT-standarder aktörerna i upphandlingen? Verva har fått i uppdrag av utredningen att analysera hur IT-stan- darder påverkar aktörerna i den offentliga upphandlingen.TPF1FPT Verva har en egen roll vad gäller upphandling genom att man ska: svara för samordnad upphandling för offentlig förvaltning inom området informationsteknik, verka för bästa möjliga villkor för anskaffning och användning av informationsteknik inom offentlig för- valtning och tillse att den offentliga förvaltningen använder gemen- samma funktioner och lösningar samt beakta intresset av innovationer och teknikneutrala lösningar. Huvudaktiviteten för att fylla denna uppgift är upphandlingar för ramavtal, som kan användas av andra statliga myndigheter. IT är det enda av statens ramavtalsområden där även kommuner och landsting kan nyttja ramavtalen. Av den totala IT-anskaffningen i den offentliga sektorn, vilken omfattar ca , sker via Vervas ramavtal, med ungefär lika volym för stat- liga myndigheter respektive kommuner och landsting. 1TP PT Detta kapitel bygger på följande rapporter från Verva: Standarders påverkan på aktörerna i offentlig upphandling (2007–02–23) Standarder och småföretag i offentlig upphandling (2007–02-27 Standarder och innovation i offentlig upphandling (2007–02–15). IT-standarder i offentlig upphandling och deras betydelse för småföretag och . 8.1.1Beskrivning av aktörernas syn Utredningens enkät och intervjuer Verva redovisar följande från utredningens enkät om IT-standardi- sering när det gäller myndigheternas förhållningssätt till standar- Enligt enkäten spelar standarder en stor roll vid många myndig- heters upphandlingar. Nära hälften svarar att standarder spelar ganska stor roll vid en upphandling och en tredjedel att de spe- lar en mycket stor roll. De IT-standarder som nyttjas är praktiskt taget enbart de facto-standarder. De gäller, förutom verksamhetsspecifika standarder, områden som t.ex. den tekniska plattformen (t.ex. operativsystem, databashanterare och utvecklingsmiljö), kom- munikationsprotokoll och W3C:s webbstandarder. Flera myn- digheter använder ITIL. Endast en formell standard nämns av flera myndigheter – ISO/IEC 17799, som avser ledningssystem för informationssäkerhet. Hälften av de svarande myndigheterna anger att det finns behov av nya eller kompletterande IT-standarder inom deras område. Däribland nämns särskilt standarder för att kunna utveckla en e-förvaltning med nya e-tjänster till medborgarna. Få myndigheter indikerar att de själva har satt igång ett sådant arbete. En relativt stor andel av myndigheterna, nästan 40 pro- cent, svarar att de inte vet om det finns ett behov av nya stan- darder på deras område. Av intervjuerna framgår att det finns ett kommunalt missnöje med att informationen låses in i leverantörsspecifika system, vilka bygger på mer eller mindre proprietära standarder. Ett problemområde för kommunerna är att har dålig kännedom och kunskap om de öppna standarder som i praktiken finns inom kommunens IT- och verksamhetsfält. Denna informa- tions- och kunskapsbrist anses vara en viktig orsak till att kommunerna är relativt dåliga på att ställa krav på standarder vid IT-upphandlingar. 2TP PT Se betänkandets Bilaga 3. IT-standarder i offentlig upphandling och deras betydelse för småföretag och . En stor del av kommunernas upphandlingar av mer grund- läggande IT-produkter och tjänster sker via Vervas ramavtal. Lagen om offentlig upphandling () kräver alldeles för stora insatser för att en liten kommun alltid ska kunna genom- föra bra egna upphandlingar. I förstudier inför Vervas upphandlingar av ramavtal skickas vanligt- vis enkäter ut till myndigheter och leverantörer för att följa upp tidigare ramavtalsanvändning och för att fånga in myndigheternas framtida behov. Enkäterna har inte innehållit några frågor som specifikt rört standarder. Däremot berörs standarder i enkät- svaren. genomfördes en förstudie inför ett ramavtal om servrar, lagring och tjänster. En av enkätfrågorna lydde: Ange de tekniska krav som Ni anser viktigast att beakta inför investering i server/lagringssystem. Ett fåtal svar tog upp krav på standarder, och då i allmänna ordalag: att produkterna följer standard/de facto-standard kan nyttja förekommande standards på marknaden En annan fråga lydde Ange de organisatoriska krav på leverantö- ren som Ni anser viktigast att beakta inför investering i server/lag- ringssystem. Endast ett svar tog upp en standardaspekt: Verva har djupintervjuat sju företrädare för beställarsidan och fyra företrädare för leverantörssidan på IT-området för att få underlag om hur standarder uppstår och hur de kommer in och används i aktörernas verksamhet. Det visade sig bl.a. att standarder oftast, men inte alltid, uppstår i leverantörsledet. Intervjuerna har rört: standarders betydelse för beställarens verksamheter och de upphandlingar som görs för att stötta verksamheterna IT-standarder i offentlig upphandling och deras betydelse för småföretag och . standarders betydelse för leverantörerna, dels som grund för de varor och tjänster som marknadsförs, dels för utvecklings- och tillverkningsprocesserna vilka faktorer som gör att en leverantör respektive beställare vill använda en standard överhuvudtaget eller avstå från att göra det – vem initierar att en standard kommer till användning? vilka faktorer och egenskaper hos standarden som leverantören respektive beställaren väger in i beslutet att använda en viss standard. Intervjufrågematerialet inkluderar dessutom ett antal faktorer som har identifierats som tänkbara för att påverka en aktörs användning av en standard. De intervjuade har ombetts att ange vilka av föl- jande egenskaper hos en standard som har betydelse för om de vill använda standarden eller inte: Grad av marknadsacceptans. Ju fler produkter som uppfyller en viss specifikation, desto fler kommer att välja att använda den i produktutveckling. Den blir dominerande och blir därmed en de facto-standard i ordets verkliga betydelse. Bredd på den krets som står bakom standarden. En standard som har godkänts i det gängse omröstningsförfarandet, och där ett stort antal tillverkningsföretag har deltagit och skapat konsen- sus, har större chans att få genomslag på marknaden än en standard som utarbetats av t.ex. fem eldsjälar utan förankring i industrin. Kostnad för att skaffa och tillämpa standarden. Standarder är inte gratis, utom de från ETSI, utan de köps normalt från nationella standardiseringsorgan. I praktiken måste man först köpa en standard för att kunna avgöra om den är intressant. Det kan också visa sig att man behöver köpa ytterligare standarder för att förstå den första standarden. Texten i standarder är dess- utom ofta komplicerad och svårtolkad. Möjlighet att verifiera standarden. Om man säger sig uppfylla en standard, ska man också kunna verifiera det. Om en beställare i en offentlig upphandling ställer krav på att en produkt ska uppfylla en viss standard, behöver beställaren eller leverantören ha möjlighet att avgöra och dokumentera om och hur standar- den uppfylls. IT-standarder i offentlig upphandling och deras betydelse för småföretag och . Bedömning av överensstämmelse med standarder Leverantörer föredrar i allmänhet egendeklarationer, och man är ofta motståndare till tredjepartscertifiering (se kapitel 2 om certifi- ering). IT-industrins europeiska branschorganisation har utvecklat sin ståndpunkt om detta bl.a. i sin kommentar till kom- missionsmeddelandet E-accessibility 2005. Där säger att egendeklarationer har visat sig stödja överensstämmelser till rikt- linjer och krav, medan certifiering och kvalitetsmärkning knappast har några fördelar utan i stället hindrar innovation, eftersom leve- rantörerna tar sikte på att skaffa certifikat snarare än på att skapa nya och bättre lösningar. ANEC, den europeiska konsumentorganisationen för standar- diseringsfrågor, har motsatt uppfattning. I sin kommentar till kommissionens arbetsdokument om förändringar i regelverket för teknisk harmonisering säger att man föredrar tredjeparts- tester i motsats till att förlita sig på att goda produktegenskaper säkerställs genom ett kvalitetssystem baserat på ISO 9001. Utredningens syfte är att förbättra samordningen på IT-standardi- seringens område. Upphandlingen kan vara ett redskap i en sådan samordning. Nedan refereras några svar i Vervas intervjuer som har direkt relevans för detta. Intervjuresultatet visar att kvalitetsstandarder, t.ex. krav på ergonomi, i motsats till produktstandarder oftast initieras av kun- der eller användare. Det ligger närmare till hands för leverantörerna att referera till tekniska interoperabilitetsstandarder än till kvali- tetsstandarder som leder till ökade mjuka värden för kunden, eftersom kvalitet ofta ses som en konkurrensfråga. Enligt respondenterna drivs kvalitetsstandarder således oftast av kundsidan, genom beställare och i några fall av fackliga organisa- tioner; ett exempel på det sistnämnda är TCO:s bildskärmsstan- dard som fått stort genomslag på marknaden. En av de intervjuade pekade på att det händer att en marknad inte tar ordentlig fart för- rän aktörerna på området har enats om en standard. Ett exempel är standarden för USB-uttag, där leverantörerna enades om en stan- dard för att kunna nå ut till en större marknad. I andra fall saknar aktörerna drivkrafter för att enas om en gemensam standard. IT-standarder i offentlig upphandling och deras betydelse för småföretag och . exempel som ges av flera intervjuade är IT-system i vårdmiljö, där det inte har funnits någon nationell standard att följa, vilket i sin tur lett till begränsad interoperabilitet. Av intervjuerna framgår även att när aktörerna saknar drivkraf- ter att komma överens om en standard, så behövs en enande part som möjliggör standardisering för t.ex. ökad interoperabilitet mel- lan IT-system. Avsaknad av en enande aktör har lett till en spretig terminologi på IT-området. Många enskilda aktörer både på bes- tällar- och leverantörssidan har dessutom gjort det svårt att komma överens om terminologistandarder. Flera leverantörer och bestäl- lare konstaterar också att en gemensam terminologi är av stor vikt exempelvis vid ett upphandlingsförfarande samt vid samordning av olika IT-system. Av intervjuerna framkommer att ett tillvägagångssätt för att enas om användning av standarder är formaliserad samverkan mel- lan beställare i offentlig sektor, antingen på uppdrag eller på eget initiativ. Ett exempel är rättsväsendets myndigheter som på reger- ingens uppdrag gått samman i det s.k. RIF-samarbetet (rättsväsen- dets informationsförsörjning). Genom informationsutbyte har myn- digheterna enats om att vissa gemensamma standarder ska gälla i deras verksamhet. Ett annat exempel är kommunerna i Norrbot- tens län som vid Internets inträde bildade för en standardisering, vilket möjliggjorde ökad elektronisk kommuni- kation kommunerna emellan. kan genom att ge uppdrag (mandat) om standardiseringsarbete fungera som enande aktör på olika områden. Nationellt sett fungerar även ramavtalsupphandling inom offentlig sektor enande, genom den kravspecificering som görs inför upp- handlingen. Beställaren styr ofta valet av standard Intervjuresultatet visar att leverantörerna inte aktivt söker efter formella standarder. Väljer leverantören att tillämpa en formell standard, så beror det på att kunderna efterfrågar detta. Vad det gäller tekniska lösningar så är IT-branschen mycket rörlig, vilket innebär att lösningar snabbt blir omoderna och måste förnyas. Men eftersom det är kostsamt att skaffa och tillgodogöra sig standarder kan leverantören välja att producera en egen bra nog-lösning i stället för att följa en standard. En sådan lösning kan levereras till IT-standarder i offentlig upphandling och deras betydelse för småföretag och . lägre pris och generera kundnytta (ofta bara 1–) lösningen är modern. Om leverantören ställs inför beslutet att tillämpa en viss stan- dard avgörs detta av affärsmässiga skäl. Följande kriterier har iden- tifierats som särskilt relevanta för en leverantörs beslut att anamma en standard: Detta är leverantörens vikigaste kriterium för tillämpning av en standard. Ett intresse från de marknadsle- dande aktörerna gör att även mindre företag vågar satsa på en viss standard. Leverantören ser till innovationstakten på området och bedömer hur länge standarden kan förväntas vara allmänt accepterad. Kostnad för anskaffande och tillämpning. Särskilt mindre leve- rantörer är inte villiga att betala kostnaden för en licens för en formell standard som inte med säkerhet kommer att få genom- slag på marknaden. Leverantören gör en investeringskalkyl för tillämpning av standarden och anpassning av produkt. Möjlighet till verifiering bedöms av de intervjuade leverantörerna som mindre viktigt vid beslut om tillämpning av en standard. Likaså menar beställarna att det är kostsamt och tidskrävande, och därmed inte lönsamt, att låta en tredjepart värdera om en leverantör verkligen följer en standard (tekniska lösningar). Däremot efterly- ser beställarna en kontrollfunktion av huruvida leverantörer följer vissa kvalitetsstandarder. Mot bakgrund av att beställarens makt över valet av standard är så stor är det ett bekymmer att frågan om standarder till stor del är en icke-fråga hos beställarna i offentlig upphandling. Den standar- disering som framför allt engagerar myndigheter är intern ensning i system- eller datorparken. Enligt intervjuerna aktualiseras inte frå- gan om standarder i beställarens verksamhet, och det tas sällan ställning till enskilda standarder. Många myndigheter är enligt flera intervjuade dåliga på att formulera krav i upphandling och saknar kunskap om standarder. För att välja och tillämpa en standard på IT-området, formell eller de facto, behövs kompetens som inte alla beställare har. Små myndigheter eller kommuner har dessutom svå- rare att avsätta resurser till orientering i standarder. Det är också så att ett upphandlingsförfarande kräver lika mycket resurser av en IT-standarder i offentlig upphandling och deras betydelse för småföretag och . myndighet med få anställda som av en stor myndighet med stora resurser. Beställare i offentlig sektor förlitar sig i stor utsträckning till de ramavtal som Verva och tidigare Statskontoret tecknat för IT-pro- dukter och IT-tjänster. Beställaren själv kan oftast inte formulera namn på standarder utan förlitar sig på att ramavtalsupphandlaren översätter deras behov till standarder och kravspecifikationer i för- frågningsunderlaget. På så vis förblir standarder en icke-fråga hos många beställare. Standarder i Vervas ramavtal Standarder hör till det som brukar kallas gemensamma funktioner och lösningar. Verva har ingen uttalad policy om hur standarder och liknande specifikationer ska användas i ramavtalsupphandlingarna, men det finns en allmän strävan att använda standarder. Frågan om huruvida referenser till standarder ska göras, och i så fall till vilken eller vilka, kan komma upp såväl i förstudien inför en upphandling som under själva upphandlingen och i arbetet med förfrågningsun- derlaget. Ett förslag till referens till standard kan komma från myndigheterna, från leverantörer, från konsulter eller internt inom upphandlingsenheten. Ofta blir det en kombination, såtillvida att en viss standard uppfattas av alla parter som tillräckligt spridd och implementerad på marknaden för att den ska vara meningsfullt att kräva den i en ramavtalsupphandling. Avgörande för om en standard ska användas i Vervas förfråg- ningsunderlag är alltså om den har nått marknadsacceptans, samt naturligtvis att den avspeglar myndigheternas behov. Någon verifi- ering av standardens relevans genom att upphandlaren granskar standardens innehåll förekommer knappast. Upphandlarens branschkännedom är tillräcklig för att avgöra om en standard ska refereras till. För expertkunskap om standarders innehåll svarar normalt anlitade konsulter. På vissa sakområden har Verva dess- utom egen sakexpertis, t.ex. vad gäller informationssäkerhet och användbarhet. Det förekommer att Verva driver på marknaden med hjälp av krav på standarder som visserligen nått acceptans men inte i till- räcklig grad använts av leverantörerna. Ett exempel är kvalitets- SOU 2007:47 IT-standarder i offentlig upphandling och deras betydelse för småföretag och . standarden om produktsäkerhet, Common Criteria (ISO/IEC 15408). Givetvis styrs Vervas kravsättning av , som slår fast hur standarder får åberopas. Formella standarder är huvudalternativet, och i Vervas upphandlingar används begreppet standard i dess strikta mening, dvs. specifikationer fastställda av erkända standar- diseringsorgan. Verva har dock även ställt krav kring icke-formella standarder, men då har dessa ansetts ha en så stor spridning på marknaden att det inte är diskriminerande att åberopa dem. Ett exempel är TCO:s specifikationer om bildskärmsergonomi. I flera av Vervas förstudier inför ramavtalsupphandlingar uttrycker myndigheterna önskemål om att kunna upphandla funktioner i stället för tekniska lösningar. Ett exempel på funktion kan vara säkerhet. I stället för att myndigheten själv sätter samman flera olika programvarukomponenter för att uppfylla en viss säkerhets- funktion överlåts det till leverantören att tillhandahålla funktionen som en tjänst. Därmed får leverantören använda sin professionella kompetens och kreativitet för att tillgodose vad kunden efterfrågar. Myndigheten kan koncentrera sig på sin kärnverksamhet och får bättre kontroll på kostnaderna genom att det man köper har en periodisk avgift. Vidare behöver man inte lägga ner resurser på att följa den snabba tekniska utvecklingen. Leverantören har bättre möjligheter till det. Vid upphandling av funktioner krävs väl definierade gränsytor mellan kund och leverantör. Det krävs också tydliga rutiner och villkor för att klara ut frågor om ansvar och skyldigheter. Vid kom- plexa tillämpningar, t.ex. vid köp av affärsprocesser som funktion, blir leverantören en del av verksamheten. Kraven på en strukture- rad och förtroendefull relation blir då stora. I de flesta fall finns en teknisk gränsyta mot myndigheten där leverantören antingen ska lämna funktionen eller en gränsyta som myndigheten ska tillhandahålla och som är en förutsättning för att funktionen ska fungera. I en funktionsupphandling är det extra viktigt att beskriva sådana förutsättningar för att såväl funktionen, prisbilden som respektive parts förväntningar på den andra parten ska bli rätt. IT-standarder i offentlig upphandling och deras betydelse för småföretag och . Beställaren har i och med funktionsupphandlingen avhänt sig intresset och ansvaret för vilka hårdvaror, programvaror och tjäns- ter som levererar den önskade funktionen. Beställaren kan se dessa komponenter som en svart låda som levererar en funktion. Det är därmed leverantören som avgör vilka standarder som de kompo- nenter som tillhandahåller funktionen ska följa. Däremot finns det normalt en gränsyta till andra hårdvaror, programvaror och tjänster i beställarens verksamhet. Här har beställaren ett ansvar för att spe- cificera de interoperabilitetsstandarder som ska uppfyllas, för att en samverkan mellan de egna systemen och de funktionslevererande systemen ska komma till stånd. Vid upphandling av funktioner krävs väl definierade gränsytor mellan kund och leverantör. Det krävs också tydliga rutiner och villkor för att klara ut frågor om ansvar och skyldigheter. Ett ram- verk som hanterar just denna typ av förhållanden är IT Infrastruc- ture Library, ITIL (ISO/IEC 20000). ITIL och ISO/IEC 20000 är en lämplig bas för att ställa krav på former för samverkan vid upp- handling av funktioner och tjänster samt för att definiera termer och begrepp. ITIL är ett ramverk som beskriver best practice för hur IT skall hanteras och tillhandahållas, och ITIL bidrar dessutom med ett gemensamt synsätt och gemensamma definitioner, vilket skapar förutsättningar för en ökad förståelse mellan beställare och leverantörer. Detta bidrar i sin tur till att skapa korrekta förvänt- ningar parterna emellan och därmed bättre förutsättningar för lyckade affärer. En annan aspekt är att det är svårare för leverantörerna att sätta samman och leverera en tjänst än en produkt med tillhörande ser- vice. En överenskommen arkitektur för tjänster inom olika verk- samhetsområden skulle kunna vara till hjälp. De obligatoriska delarna av EG:s två upphandlingsdirektiv – 2004/17/EG (försörjningsdirektivet) och 2004/18/EG (det klas- siska direktivet) – skulle ha införlivats med svensk lag , vilket dock ännu inte har skett. De delar i direktivet som berör tekniska specifikationer är obligatoriska, och en rimlig bedömning är att direktivet åtminstone i vissa delar vid en rättslig tvist med framgång bör kunna hävdas ha direkt effekt, dvs. vara gällande även innan den svenska lagen har ändrats. IT-standarder i offentlig upphandling och deras betydelse för småföretag och . Direktivet anger sex olika typer av upphandlingsförfaranden: öppet, selektivt, förhandlat, konkurrenspräglad dialog, dynamiska inköpssystem samt elektronisk auktion. De tre sistnämnda är fri- villiga för medlemsstaterna att införa. har lagt ett delbetänkande, Nya upp- handlingsregler (SOU 2005:22), som bereds inom . Ett första lagförslag har lagts fram men lagrådets kritik var omfattande och gällde dels lagförslaget, dels hur det beretts, för- utom just paragrafen om standard. Det går därför inte att säga att det som anges om bestämmelsen om användning av standard är fel och kommer att ändras. Detta kan dock vara bra att veta att det pågår en omarbetning, om inte av hela, så i alla fall av stora delar av det förslag som gavs till lagrådet. Först efter denna omarbetning kan det hela bli en proposition. Varken direktivet eller lagen antyder att det skulle finnas någon skillnad i hänvisningen till standarder beroende på vilken upphand- lingsform som tillämpas. Det är svårt att nu säga något om den kommande svenska lagen och vilka förändringar som är att vänta vad gäller standardernas roll i upphandlingen. Att hitta, skaffa och förstå en standard Som potentiell användare av en standard måste man känna till att den finns, kunna hitta den, kunna skaffa den samt kunna läsa och förstå den. Ingenting av detta är lätt – vare sig det gäller formella eller andra standarder. Frågan Här behövs en standard – finns det någon bra och vil- ken är det? är svår att besvara, om den över huvud taget ställs. Det finns två huvudskäl till svårigheten: För det första är de flesta offentliga upphandlande enheter och en mycket stor majoritet företag små organisationer med små resurser. De har varken tid, pengar eller personal för att söka efter de standarder som kan vara relevanta och ge större verk- samhetsnytta. För det andra är en sådan sökning mycket svår att genomföra. Det finns ingen central förteckning över standarder som är IT-standarder i offentlig upphandling och deras betydelse för småföretag och . organiserad efter användningsområde och som ger en översikt över standardernas syfte och innehåll.