rir · GZB54 · 2011-01-21 09:00:00 — Vid tidigare förfrågningar om möjligheten att outsourca vår televerksamhet (som är en del av de samhällsviktiga systemen) har det visat sig vara svårt att uppnå den driftsäkerhet och prioritering, i händelse av fel, som efterfrågats i En sådan upphandling genomfördes som slutade med att ledningen beslutade sig för att fortsätta driva televerksamheten i egen regi. Myndigheten har inte prioriterat en sådan utredning. Våra tunga verksamhetssystem kan innehålla känslig information och detta har IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? varit ett starkt skäl för att drift och förvaltning av system skall utföras inom myndighetens organisation och IT-infrastruktur. Enkätsvaren visar att det föreligger en risk för att vissa myndigheter inte har genomfört en tillräcklig informationsklassificering. Ett av delmomenten i arbetet med informationssäkerhet är informationsklassificering. Myndigheten för samhällsskydd och beredskap (MSB) har med stöd av förordningen om krisberedskap och höjd beredskap30 utfärdat föreskrifter om statliga myndigheters informationssäkerhet. Enligt föreskriften finns en skyldighet för myndigheter att klassificera sin information med utgångspunkt i krav på konfidentialitet, riktighet och tillgänglighet.31 En analys av informationssäkerhet i relation till egen eller outsourcad hanteringen av myndighetens IT-verksamhet förutsätter därför att myndigheten har klassificerat sin information. har även en tydlig koppling till kravställande vid upphandling. Utöver själva informationsklassificeringen krävs ytterligare analyser. har med anledning av informationssäkerhet och outsourcing anfört att [t]eknikskiften, till exempel övergång från analog telefoni till IP-telefoni, eller andra omfattande investeringar bör föregås av kontinuitetsplaneringar, risk- och sårbarhetsanalyser, och säkerhetsanalyser för att förstå vad förändringarna innebär för den egna verksamheten och för att få fram rätt kravspecifikationer. Vissa av de problem som kan uppstå vid teknikskiften går att härleda till brister i kravställande och beställarkompetens. Det är därför av stor vikt att upphandlingen av ny teknik sker på ett professionellt sätt. Det måste därvid finnas tillräcklig kompetens för att kunna ställa relevanta säkerhetskrav.32 Ett av förslagen på åtgärder i handlingsplanen var därför att ta fram information och rekommendationer kring hur informationssäkerheten bör beaktas i samband med upphandlingar.33 Någon sådan rekommendation har dock inte tagits fram . Av fallstudien på framgår att myndigheten har fyra områden som är klassade som samhällsviktiga, vilket innebär att driften måste ske i . Dessutom måste de personer som arbetar med systemen vara godkända och 3034 § förordningen (2006:942) om krisberedskap och höjd beredskap. 314 § p 3 MSBFS 2009:10. 32Krisberedskapsmyndigheten, Handlingsplan för samhällets informationssäkerhet, 2008. 33MSB anförde i sin lägesbedömning för samhällets informationssäkerhet bland annat att [u]pphandling inom offentliga sektorn är lagreglerad och många myndigheter använder priset som enda kriterium vid utvärdering av inkomna offerter. Detta leder till ett dilemma för de leverantörer som ska utforma en offert till en inkommen anbudsförfrågan. Man offererar då ett tjänstepaket som precis uppfyller de minimikrav på säkerhet som angivits i anbudsunderlaget. Detta gör leverantören även om denne anar eller till och med är övertygad om att kunden behöver en bättre säkerhet. Lagen om offentlig upphandling kan i vissa fall vara kontraproduktiv vad gäller att gynna säkerhetstänkandet och kvalitetsaspekter hos myndigheterna. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Det finns dock en legal möjlighet att outsourca sådana tjänster, även om reglerna kring dem är striktare än kring andra tjänster. Av fallstudien på framgår att myndigheten behandlar känslig information, och myndigheten ställs därför inför externa krav från både (säkerhetspolisen) och EU. har bedömt att centrala utlänningsdatabasen () som finns hos ska hanteras som ett samhällsviktigt system och man har på fattat beslutet att CUD-servern måste finnas i myndighetens egna lokaler. Den största mängden förfrågningar mot centrala utlänningsdatabasen är dock vanliga sökningar som inte klassificeras som känsliga men eftersom den även innehåller känslig information har IT-ledningen gjort bedömningen att databasen skulle behöva omstruktureras beroende på olika skyddsgrader. Syftet med informationsklassning är att information ska ha rätt skydd. En orsak till att det dock inte har slagit igenom med en myndighetsgemensam klassificering inom förvaltningen kan, enligt företrädare för , vara att det är svårt att generalisera beroende på att verksamheterna skiljer sig åt. En del i prövningen om outsourcing av IT-verksamheten kan vara ett alternativ för en myndighet är att göra ett antal analyser kring informationssäkerhet, myndighetsutövning och samhällsintresse. har identifierat åtta stycken olika analyser som varje myndighet bör göra. Om kravet är att analyserna ska vara dokumenterade uppger av myndigheterna att de har gjort fler än tre av dessa analyser. Alltså har av myndigheterna svarat att de har gjort tre eller färre av dessa analyser. av de tillfrågade myndigheterna har vid krav på dokumentation gjort en analys av informationssäkerhet i förhållande till extern eller intern hantering av IT-verksamheten. En majoritet av myndigheterna kan inte redovisa IT-kostnaderna uppdelade på ett antal olika delområden. av myndigheterna anger att de inte har en sourcingstrategi. av myndigheterna anser att de inte har gjort en fullgod prövning i sourcingfrågan (om man ska producera den IT man behöver själv eller om man ska låta någon annan göra jobbet). Flera myndigheter har en decentraliserad och fragmenterad IT- verksamhet eller som försvårar möjligheterna till ett fullgott ställningstagande kring sourcing. Organisationsstrukturen och stora mängder egenutvecklade system innebär svårigheter vad gäller styrning och uppföljning och övergripande integration av IT-verksamheten. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Flera myndigheter tenderar att ha bristfällig insikt i sin IT-verksamhet vad gäller kostnader, hur väl IT bidrar till att uppfylla verksamhetens mål och hur den totala IT-verksamheten inom myndigheten faktiskt ser ut och fungerar. Beställarkompetensen är hos flera myndigheter bristfällig, och många myndigheter verkar ha svårt att hantera en övergång från producent till beställare och de förändringar som en sådan övergång innebär. Reglerna i minskar möjligheterna för myndigheter, i jämförelse med privata företag, att kunna göra benchmarking av sina IT-kostnader. Anledningen är att förfrågningar med specifika krav kan diskvalificera leverantören som besvarar frågan från att senare delta i upphandlingen. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? I det följande beskrivs vad regeringen gjort inom olika områden där myndigheterna upplevt hinder mot outsourcing. Regeringen kan genom regleringsbreven ge uppdrag och begära återrapportering av myndigheters IT-verksamhet. En närmare undersökning av de 60 största myndigheternas regleringsbrev har genomförts för att urskilja IT-relaterat innehåll. Regleringsbrev har undersökts. Undersökningen visar att regeringen visat stort intresse av att styra detaljerat rörande: 1)Förbättrat informationsutbyte/samordning av system. Det har då handlat mycket om optimering av informationsutbytet mellan myndigheter och riktat sig särskilt till myndigheter som har hand om försäkrings- och bidragssystem. 1)Elektronisk hantering av informationsutbyte inom EU/internationellt, det vill säga anpassa system enligt EU-krav eller att delta i projekt för samordning och informationsutbyte internationellt, inte minst inom EU, ibland efter krav på åtgärder för utökat samarbete och samordning av system. 1)Effektivitetshöjning/Kvalitetshöjning/Förbättrad service, vilket syftar till en effektivisering eller kvalitetshöjning av något specifikt, exempelvis ärendehantering eller en förbättrad service till företag och medborgare (brukare), eller en mer generell redovisning av hur myndigheten arbetar med informationsteknik för att öka effektiviteten och/eller kvaliteten i verksamheten. Detta ligger helt i linje med regeringens riktlinjer i den senaste förvaltningspropositionen34 om ökad lyhördhet gentemot medborgare och företag samt en stärkt styrning av IT-samverkan inom statlig förvaltning. 2009/10:175. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Finansieringen förväntas oftast ske inom förvaltningsanslaget, vilket har att göra med regeringens uppfattning att IT-investeringar ska betala sig själva i form av de effektivitetsvinster som de förväntas generera.35 Regeringen har också gett och efterföljaren Myndigheten för samhällsskydd och beredskap (MSB) tre stycken uppdrag inom ramen för sitt informationssäkerhetsarbete: 1) att lämna förslag till en handlingsplan för genomförande och förvaltande av den nationella strategin för informationssäkerhet, 2) att redovisa vilka åtgärder som myndigheten och andra berörda myndigheter har genomfört utifrån den nationella handlingsplanen för informationssäkerhet, 3) att lämna förslag på hur en säker digital informations- och kommunikationsstruktur för myndigheter, kommuner och landsting kan skapas.36 4.2Regeringen vill renodla det offentliga åtagandet Regeringen uppmanar i den senaste förvaltningspropositionen myndigheterna att pröva om administrativa stödverksamheter ska utföras i samverkan eller annan regi. Standardisering och koncentration ses här av regeringen som ett steg på vägen att lösgöra stödfunktioner från kärnverksamheten37. Regeringen uttrycker vidare att den administrativa stödverksamheten inte är en del av kärnverksamheten och därför inte behöver utföras av myndigheten själv och att den därför bör hitta andra lösningar än att utföra den i egen regi38. Regeringen är också tydlig med att ansvaret för bedömningen om stödverksamheten ska skötas i egen regi eller på entreprenad ligger hos myndighetsledningen och hänvisar till myndighetsförordningens skrivelser om ledningens skyldighet att se till att verksamheten bedrivs effektivt, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel.39 Regeringen instämmer dock med Stabsutredningens40 bedömning att den kortsiktiga outsourcingpotentialen för ekonomi- och personaladministrativa uppgifter inte bör överskattas, men betonar också att alla möjligheter till 35Som har påpekat (se RiR 2009:18 samt RRV 2002:30) försvagas dock incitamentet att investera kraftigt när effektivitetsvinsten tillfaller en tredje part. Samhällsnyttan och myndighetsnyttan sammanfaller inte. Denna så kallade investeringsparadox framhålls också av E-delegationen (SOU 2009:86, s. 36FÖ2010/701/SSK 37Prop 2009/10:175, s 89 40SOU 2008:22, Ett stabsstöd i tiden. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? samordning, bland annat genom standardiserade arbetssätt, bör tas till vara för att myndigheterna fullt ut ska kunna tillgodogöra sig effektivitetsvinsterna och de kostnadsreducerande effekterna av utkontrakteringar41. Regeringen aviserar dessutom i propositionen skapandet av ett förändringstryck via styrningen av myndigheterna som driver på utvecklingen mot en mer koncentrerad administrativ hantering42. Att skapa incitament till förändring och lägga en grund för uppföljningar och utvärderingar ses som viktiga åtgärder för att kunna säkerställa att beräknade vinster realiseras43. ESV ges huvudansvaret att stödja och samordna utvecklingen mot den mer koncentrerade och effektiva statsförvaltning som eftersträvas. Därtill menar regeringen vidare att en centraliserad inköpssamordning kan ge besparingar av medel samt vinster i form av såväl effektivitet som tydlighet, enhetlighet och synlighet. Dessutom bedöms ökade förutsättningar för kompetensutveckling och kompetensförsörjning vara en möjlig fördel med att låta en organisation ersätta de elva nuvarande som ramavtalsansvarig. Regeringen säger sig överväga om en centralisering ska ske i form av en ny myndighet, enligt Statskontorets förslag44, eller genom inordnande i befintlig myndighet. 4.3Uppdrag till andra aktörer E-delegationen inrättades av regeringen för att stärka utvecklingen av e-förvaltningen, skapa möjligheter för myndighetsövergripande samordning och bland annat koordinera de statliga myndigheternas IT- baserade utvecklingsprojekt samt vissa IT-standardiseringsfrågor. I uppdraget ingick också att lämna förslag till en strategi för myndigheternas arbete med e-förvaltning, vilket också har gjorts i och med överlämnandet av delegationens första betänkande Strategi för myndigheternas arbete med e-förvaltning46. Styrningen är enligt förslaget tänkt att gå i en kedja från 2009/10:175, s. 90. 44SOU 2007:10, Hållbar samhällsorganisation med utvecklingskraft. 46SOU 2009:86, Strategi för myndigheternas arbete med e-förvaltning. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? regeringen via e-delegationen till så kallade utvecklingsmyndigheter och ned till projektkontor. Utvecklingsmyndigheterna får nyckelroller i strategin med utvecklingsansvar inom givna områden. Uppdraget förväntas ingå i ett regeringsbeslut om utvecklingsansvariga myndigheter men ligger i skrivande stund hos regeringen för beredning. Delegationen föreslår också att regeringen ställer krav på myndigheterna att ta fram sourcingstrategier för sin IT-försörjning och att regeringen därtill förtydligar Kammarkollegiets uppdrag som samordnare av den offentliga förvaltningens upphandling av informationsteknik. Detta förslag ligger också fortfarande hos regeringen. Ytterligare betänkanden som överlämnats är Så enkelt som möjligt för så många som möjligt från strategi till handling för e-förvaltning47 och Så enkelt som möjligt för så många som möjligt. Under konstruktion framtidens e-förvaltning48. I det senaste betänkandet finns bland annat förslag att hitta en finansieringslösning för e-förvaltningsprojekt, främst med sikte på att komma till rätta med den tidigare nämnda investeringsparadoxen. en finansieringsmodell vid förvaltningsgemensamma IT-investeringar att Vinnovamedel avsätts för förstudier en författningsändring i förordning 2003:770 (om statliga myndigheters elektroniska informationsutbyte) för att skapa möjlighet att ta ut avgifter mellan myndigheter att en utredning tillsätts för att göra en översyn av registerförfattningarna49. Ansvar för IT-frågor och förvaltningsutveckling har tidigare legat hos Statskontoret och senare Verva. I och med Vervas avveckling inrättades E-delegationen som också därmed tog över uppdraget att förvalta regeringens handlingsplan för e-förvaltning. 47SOU 2010:20, Så enkelt som möjligt för så många som möjligt från strategi till handling för e-förvaltning. 48SOU 2010:62, Så enkelt som möjligt för så många som möjligt. Under konstruktion framtidens e-förvaltning. 49Det sistnämnda förslaget framfördes också i de båda tidigare betänkandena, och behovet av översyn har även framhållits av vid tidigare tillfälle (SOU 2009:18, s.9). Delegationen betonar här särskilt att ansvaret för att ett sådant utredningsarbete kommer i gång faller på regeringen. () (SOU 2010:62, s.32). Den framhåller även andra regelverk som hindrar att mål och visioner med e-förvaltning infrias och lyfter fram anpassning av regelverk som en central och avgörande parameter för att lyckas. (SOU 2010:62, s.32). IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Statskontoret har också erhållit särskilda uppdrag av regeringen för att studera vissa myndigheters IT-utveckling närmare. Bland andra har och hamnat under lupp . Regeringen beslutade att ge Statskontoret i uppdrag att granska förändringsarbete50. Uppdraget förlängdes den 11 november 2007.51 Det omfattade också en analys av den samlade redovisning av IT-utvecklingen inom myndigheten som levererade till regeringen . Statskontoret bedömer i analysen att redovisning till regeringen brister väsentligt på en rad punkter och att regeringen därför inte fått det underlag man efterfrågat Parallellt med Statskontorets uppdrag fick genom regleringsbreven en rad uppdrag och återrapporteringskrav rörande IT-utveckling. Här har Statskontoret alltså i stort sett kontrollerat att gjort som det uppdragits åt dem i regleringsbreven. Regeringen gav Statskontoret i uppdrag att undersöka och bedöma hur regeringens mål når ut och får genomslag i verksamhet och organisation.52 Som en delredovisning av detta uppdrag har Statskontoret till regeringen överlämnat PM Granskning av IT-verksamhet samt den övergripande slutredovisningen av uppdraget Tydligare styrning av Migrationsverket.53 I detta fall har ingen styrning skett genom regleringsbreven. Regeringen har uppdragit åt en särskild utredare att utvärdera upphandlingsregelverket ur ett ekonomiskt och samhällspolitiskt perspektiv. Syftet är delvis att se över om upphandlingsförfarandet kan användas för att exempelvis förbättra miljön eller ta sociala och etiska hänsyn men också att utreda om upphandlingsreglerna i tillräcklig utsträckning möjliggör för upphandlande myndigheter och enheter att tillgodogöra sig de ekonomiska vinster som bör följa av ett tillvaratagande av marknadskonkurrens. Utredaren ska också ta fram underlag för eventuella författningsändringar och föreslå andra nödvändiga åtgärder. Uppdraget ska redovisas . 50S2005/4671/SF 51S2007/9787/SF 52UD2003/56034/MAP 53Statskontoret 2004:20, Tydligare styrning av . IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? 5 Slutsatser och rekommendationer kostar IT i statliga myndigheter och bolag skattebetalarna uppskattningsvis 20 - , och det är därmed den tredje största kostnadsposten i myndigheternas förvaltningsanslag näst efter löner och lokalkostnader. IT är också ett viktigt medel för att öka kvaliteten i servicen till medborgarna, och regeringen har tydligt uttalat att utvecklingen av e-förvaltningen står högt på den förvaltningspolitiska agendan. Innovation och förnyelse är ofta nämnda drivkrafter för outsourcing. Det hänger bland annat samman med att organisationer som outsourcar IT-verksamhet tvingas se över och genomlysa sina processer och arbetssätt vilket stimulerar till nytänkande. En fråga som varje myndighet därför ska ställa sig är om den egna organisationen ska tillhandahålla den IT som verksamheten behöver eller om man ska köpa hela eller delar av IT-kapaciteten från en extern leverantör. Att göra ett rationellt övervägande om man ska producera IT själv eller låta någon annan leverera den IT man behöver är en komplex process och innefattar flera moment. Om myndighetsledningen inte överväger outsourcing finns risken för att myndigheten inte genomför verksamheten på det mest effektiva sättet. har mot bakgrund av detta granskat om de statliga myndigheterna har genomfört en prövning av om outsourcing av IT- verksamhet kan vara ett sätt att öka effektiviteten i statsförvaltningen. Med outsourcing av IT avser att en del av IT-verksamheten i en organisation genomförs av en extern aktör. Att pröva om man själv eller någon annan ska utföra hela eller delar av IT-verksamheten innebär att man tar ställning i sourcingfrågan. Granskningens revisionsfrågor har varit följande: 1.Har myndigheterna gjort rimliga prövningar om de själva ska producera den IT de behöver eller om de ska lägga ut hela eller delar av IT-verksamheten på en extern leverantör? 2.Vilka förklaringar finns det till att myndigheterna inte gör prövningar i sourcingfrågan? 3.Har regeringen gjort vad den kan för att underlätta för myndigheterna att ta ställning i sourcingfrågor? IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? 5.1Har myndigheterna gjort rimliga prövningar om de ska producera den IT de behöver själva eller om de ska lägga ut hela eller delar av IT-verksamheten på en extern leverantör? När det gäller den första revisionsfrågan kan konstatera att lejonparten av myndigheterna inte kan anses ha prövat om outsourcing av IT-verksamheten kan öka effektiviteten inom myndigheten. Det finns enstaka myndigheter som har gjort en omfattande prövning av hela IT-verksamheten. granskning visar dock att en majoritet av myndigheterna inte har gjort en analys av sin IT-verksamhet och tagit ställning i sourcingfrågan. Med tanke på att outsourcing kan vara ett medel att förbättra effektiviteten i IT-verksamheten är det anmärkningsvärt att inte fler myndigheter genomfört en prövning och därmed satt den egna IT-verksamheten under lupp. Det finns i teorin uppenbara fördelar med outsourcing av vissa verksamheter, och förutsatt att förutsättningarna är de rätta borde fler myndigheter kunna nyttja fördelarna med outsourcing. En konsekvens av de iakttagelser gjort är att myndigheterna genom att inte aktivt pröva sourcingfrågan riskerar att gå miste om dels kostnadseffektiviseringar, dels kvalitetsförbättringar i verksamheten. 5.2Vilka förklaringar finns det till att myndigheterna inte gör prövningar i sourcingfrågan? När det gäller den andra revisionsfrågan kan konstatera att det finns ett antal förklaringar till att myndigheter inte prövar om man ska producera den IT man behöver själv eller om man ska låta en extern aktör ta hand om hela eller delar av IT-verksamheten. Några av dessa förklaringar kan härledas till problem inom myndigheterna medan andra förklaringar är av mer strukturell karaktär. I det följande redovisas olika förklaringar till att myndigheterna inte prövat sourcingfrågan. Varje förklaring gäller inte för varje myndighet utan olika förklaringar gäller för olika myndigheter i varierande grad. 5.2.1Myndigheter kan sällan redovisa sina IT-kostnader En förutsättning för att kunna ta ställning till om outsourcing skulle kunna vara ett medel för att bli effektivare i sin IT-verksamhet är att man har ordning och reda på sin egen IT-verksamhet och att man vet vad utveckling, drift, förvaltning, etcetera. av IT-verksamheten kostar. Det krävs god kännedom om IT-verksamheten på en detaljerad nivå för att kunna göra en adekvat bedömning om det skulle vara bättre att lägga ut arbetet externt än att göra det själv. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? enkät ställd till myndigheterna visar att endast en minoritet av myndigheterna fullt ut kan redovisa sina IT-kostnader utifrån en funktionell uppdelning av IT-verksamheten. Flera har sagt att man inte klarar av att redovisa IT-kostnader fördelat på olika IT-områden och andra säger att det skulle ta att ta fram siffror som ger en detaljerad bild av IT- verksamheten. Även om man vet vad IT-verksamheten kostar på en aggregerad nivå så räcker det inte för att ta ställning till om outsourcing kan vara ett medel för att öka effektiviteten i IT-verksamheten. Anledningen till att myndigheterna har svårt att redovisa IT-kostnader separat uppges vara att det är svårt att särskilja IT-kostnader från andra verksamhetskostnader.