rir · GZB54 · 2011-01-21 09:00:00 — Det saknas helt enkelt tydliga riktlinjer för hur IT-kostnader ska redovisas. ser brister i hur vissa myndigheter redovisar sina IT-kostnader, och exempelvis Statskontoret har i en granskning kritiserat redovisning av kostnaderna för sin IT-verksamhet54. Att kostnaderna inte redovisas uppdelade på olika områden medför enligt att en heltäckande bild saknas. Bristerna i redovisningen reducerar möjligheterna till god ekonomisk styrning och försvårar möjligheterna att prognostisera sin IT-verksamhet. 5.2.2Brister i intern styrning av IT-verksamheten I enkätsvaren och fallstudierna har det framkommit att flera myndigheter har en splittrad där IT-verksamheten lever ett eget liv inom myndigheten. Utveckling av system och applikationer sker hos vissa myndigheter utan hänsyn till den övergripande systemstrukturen och det resulterar i sin tur i en mängd olika egenutvecklade system som inte hänger ihop. En del av de granskade myndigheterna har flera olika självständiga avdelningar eller enheter inom organisationen som ansvarar för IT-verksamhet inom ett eget område och ingen centralt ansvarig IT-avdelning eller IT-chef. Avsaknaden av central styrning och uppföljning kan innebära att det på en övergripande nivå saknas kunskap inom en myndighet om vilka system och applikationer som används i verksamheten. Att inte fler myndigheter har gjort en grundlig genomgång av sin IT-verksamhet innebär förmodligen att man riskerar att ha en bristande kunskap om verksamhetens processer och IT:s roll i dessa. Flera av de aktörer som intervjuat eller som har deltagit i enkäten har framhållit vikten av att arbeta processorienterat för att kunna göra goda överväganden om outsourcing. Iakttagelser från den undersökning genomfört pekar också på att myndigheterna inte alltid vet 54 Statskontoret 2008:19, Den nya , delrapport 4. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? hur väl IT bidrar till att uppfylla verksamhetens mål och hur den totala IT- verksamheten inom myndigheten faktiskt ser ut och fungerar. En slutsats är att om en myndighet inte kan mäta sin egen prestation på området får den svårt att fatta rationella beslut rörande outsourcing av en viss del av IT- verksamheten. Därmed blir kvaliteten lidande och möjligheten att följa upp Detta medför också konsekvenser för myndigheternas process för intern styrning och kontroll. Med de brister i kontrollen över den egna IT- verksamheten som flera myndigheter uppvisar är det tveksamt om man med rimlig säkerhet fullgör de krav som framgår av 3 § myndighetsförordningen (2007:515). Det framkommer även i undersökning att myndigheter tenderar att överskatta sin verksamhets komplexitet och därför väljer att utveckla själva i stället för att köpa färdiga standardprodukter på marknaden. Att ha en andel egenutvecklade system kan i vissa fall vara nödvändigt med tanke på verksamhetens art. Flera myndigheter har dock uppgett att de fortfarande har kvar vissa IT-system utvecklade och att dessa är svåra att byta ut. Inte heller i detta avseende skiljer sig myndigheterna från de problem som privata organisationer brottas med. Egenutvecklade system kräver speciell kompetens och mer resurser än applikationer där teknik och kunskap är standardiserade. Det innebär att myndigheterna behöver binda upp resurser för att underhålla och vidareutveckla gamla system i stället för att använda sig av standardsystem och därmed frigöra resurser till andra uppgifter. slutsats är att om myndigheterna gjort bättre analyser och haft bättre möjligheter till mätning av effektivitet och uppföljning så skulle man finna att de standardapplikationer som finns på marknaden är högst funktionella för de flesta verksamheter. Att i högre utsträckning nyttja standardapplikationer hade sannolikt även inneburit lägre kostnader och ökade möjligheter till styrning och uppföljning. 5.2.3Myndighetsledningarna ställer sällan effektivitetskrav på interna IT-avdelningar Historiskt har IT-avdelningen varit skild från verksamheten hos myndigheterna, och kommunikationen mellan IT och verksamhet har varierat i kvalitet. Relativt starka och självständiga IT-avdelningar med låga effektiviseringskrav på sig kan vara en förklaring till att så få myndigheter prövat om outsourcing kan vara ett medel för att öka effektiviteten i verksamheten. Det har helt enkelt saknats incitament för IT-avdelningarna att ompröva sin egen verksamhet och det är logiskt att en IT-avdelning utan större effektiviseringstryck på sig från högsta ledningen inte prövar frågan om att avskaffa sig själv genom att rekommendera att verksamheten outsourcas. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? 5.2.4Bristfällig beställarkompetens hindrar prövningar I en traditionell organisation har IT-avdelningen oftast en roll som producent av IT gentemot verksamheten. Vid genomförandet av outsourcing flyttas själva produktionskompetensen i form av teknisk kunskap och funktioner som drift, nätverk och systemutveckling från den interna IT-avdelningen till en extern leverantör.55 Det innebär oftast att anställda inom organisationen får nya arbetsroller. Rollen som producent omvandlas i stället till att kunna planera, formulera, kommunicera, övervaka och följa upp en utvecklings- eller inköpsprocess.56 iakttagelser tyder på att myndigheterna har svårt att hantera denna förändring, och detta resulterar i att myndigheternas beställarkompetens ofta är bristfällig. En annan anledning till att myndigheter har bristande beställarkompetens kan vara att det finns för få anställda med kompetens inom både verksamhet och IT. Gapet mellan verksamheten och IT-avdelningen kan vara stort och frågor kring outsourcing hanteras ofta av IT-avdelningarna. Ytterligare en anledning till att myndigheter ofta brister i beställarkompetens är att de från tid till annan dränerats på beställarspecialister. Löneläget för IT- specialister är högre i privat sektor och i goda ekonomiska tider då efterfrågan höjs är rörligheten hög hos specialister. Av de iakttagelser som har gjort i form av enkät, fallstudier och kompletterande frågor framstår bristande kontroll över eller kunskap om organisationens IT och kopplingen till verksamheten som ett skäl till att vissa myndigheter inte i högre utsträckning har prövat om outsourcing kan vara ett medel för att öka effektiviteten i IT-verksamheten. I flera av de intervjuer genomfört framhåller man vikten av att verksamhet och IT går hand i hand vid till exempel utvecklingsprojekt hos myndigheterna. IT ska ses som en integrerande del av verksamheten och vid framtagning av kravspecifikationer måste verksamheten vara djupt involverad för att kunna kommunicera behoven och översätta dem i krav på IT-system, etcetera. De iakttagelser som gjort i bland annat intervjuer tyder på att flera statliga myndigheter är dåliga beställare av IT-tjänster. Med detta menas att man inom offentliga verksamheter ofta saknar kompetens att upphandla annat än standardiserade produkter. Komplexa system med inslag av såväl IT som verksamhet som kräver ett stort mått av förståelse för verksamhetens behov och matchande system kräver hög upphandlingskompetens som i vissa fall tycks saknas inom den offentliga förvaltningen. (1997) Understanding IT Outsourcing, Academia (Yakhlef 1997). 56Artman, H., , E., Holmlid, S. (2001). Beställar- och leverantörsinteraktion i systemutveckling. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Den granskning genomfört visar att myndigheterna tror att outsourcing av IT-verksamheten i statsförvaltningen kommer att öka de En konsekvens av detta är att kravet på god beställarkompetens kommer att öka . En myndighet måste ha grepp om sin IT- verksamhet och förstå vilka risker som följer med olika alternativ för att försörja myndigheten med behövlig IT-kapacitet. Med en ökad grad av outsourcing kommer myndigheterna därmed att behöva vässa sin beställarkompetens för att leva upp till kraven om intern styrning och kontroll. En riskanalys på myndigheterna bör exempelvis visa om man har tillräckligt med kompetens för att lägga ut IT-verksamheten på externa leverantörer. Med kompetens avses i detta fall att kunna ställa rätt krav och överföra dessa krav till ett avtal om outsourcing57, kompetens att göra bra upphandlingar och kompetens att följa upp och analysera IT-verksamheten. Beställarkompetens bör i ännu högre utsträckning ses som en strategiskt viktig kompetens i myndigheterna. Ytterligare en konsekvens av att myndigheterna saknar beställarkompetens är att det vid förhandlingar mellan beställare och leverantörer uppstår situationer som kan liknas vid det som inom nationalekonomi kallas asymmetrisk information58, det vill säga en situation där den ena parten, i det här fallet säljaren, leverantören, har ett informationsövertag gentemot köparen, beställaren. Säljarens informationsövertag kan leda till snedvridningar där den egna risken minskar medan köparens/beställarens risk ökar. Flera av de personer som har intervjuat uppger att krångliga och byråkratiska upphandlingsregler i får som konsekvens att det blir komplicerat att hantera outsourcing i offentlig sektor. Det kan i vissa fall till och med vara ett hinder mot att myndigheter prövar om outsourcing kan vara ett medel för att effektivisera IT-verksamheten. Medarbetare vid myndigheter anger att de inte orkar gå in i en process som leder till en upphandling då reglerna är svårgenomträngliga. På detta område är kopplingarna till dålig beställarkompetens hos myndigheterna tydliga. Saknas det upphandlingsspecialister med tillräckliga kunskaper om såväl IT som verksamhet vid myndigheterna är det möjligt att man tar den lätta vägen och undviker en prövning av outsourcingfrågan. Flera myndigheter har påpekat att det är svårt att göra en bra affär på outsourcing med de förutsättningar som följer av det nuvarande regelverket kring upphandling. 57För en fördjupad bild av de svårigheter och risker som avtalsreglering av en outsourcingrelation medför se bilagan Fallgropar i en outsourcingprocess. 58George Akerlof, och bidrag utgör kärnan i den moderna informationsekonomin. Se exempelvis Akerlof s pionjärarbete The Market for Lemons . IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Ett problem är att få fram uppgifter för att jämföra kostnader och kvalitet på sin egen IT-verksamhet med alternativet att använda sig av en extern Om myndigheten preciserar krav i sin sondering av marknaden så riskerar det att utesluta den leverantör som svarar eftersom den parten anses ha fått en fördel jämfört med övriga möjliga deltagare i ett anbudsförfarande. Konsekvensen av detta blir att myndigheterna får svårt att få fram uppgifter att använda för benchmarking. En framgångsrik outsourcing är beroende av relationen mellan klient och beställare och att det finns en flexibilitet i denna relation för att kunna hantera förändringar under avtalets löptid. Om det rör sig om komplexa tjänster och omfattande hantering kan det nästan krävas att relationen hanteras som joint venture59 för att outsourcingen ska lyckas. På denna punkt skiljer det sig mellan det privata näringslivet och den offentliga sektorn eftersom upphandlingsreglerna inte medger att villkor och krav som formulerades i själva upphandlingsprocessen förändras under avtalets löptid. En statlig myndighet har därmed begränsade möjligheter att hantera förändrade förutsättningar i jämförelse med ett privat företag och detta på en punkt som ofta anses vara kritisk för en lyckad relation mellan leverantör och klient. 5.2.6 Otydligt kring informationsklassificering av känslig information I enkätsvaren som rör vilka eventuella analyser som myndigheterna har gjort kring IT/informationssäkerhet och sekretess i förhållande till ett ställningstagande kring sourcing framgår att ungefär två tredjedelar inte har gjort sådana analyser på hela IT-verksamheten. Ett flertal myndigheter uppger dessutom att man hanterar mycket känslig information och att outsourcing därför inte är lämpligt eller ens möjligt. Att outsourca ett system eller en tjänst kan vara ett sätt att uppnå högre informationssäkerhet än om systemet eller tjänsten hanteras internt, såväl som en risk för försämrad informationssäkerhet. De svar som lämnas i enkäten och vid intervjuer indikerar att myndigheterna i vissa fall antingen brister i sin skyldighet att klassificera information eller att all information i myndighetens verksamhet hanteras med samma höga säkerhetsnivå trots att inte all information kräver en sådan nivå. information på en för hög säkerhetsnivå strider dock mot syftet med att göra en informationsklassificering, lika väl som att klassa informationen på 59Joint venture/samriskföretag eller samföretag (konsortium) innebär ett samarbete där företag går samman i ett nytt bolag för att kunna utveckla ett projekt tillsammans. Det kan också röra sig om mycket stora projekt, där medverkan krävs av flera företag med skilda kompetensprofiler som delar på vinster och risker. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? en för låg nivå. En tänkbar förklaring till att myndigheterna har svårt att göra informationsklassning kan vara att det saknas gemensamma riktlinjer och ställningstaganden kring hur informationen ska klassificeras.60 MSB:s modell för klassificering av information och basnivå för informationssäkerhet utgör bara en matrisform med olika kategorier och det finns ingen vägledning för hur olika informationstyper i sig ska klassificeras. Även om det är varje myndighets skyldighet att göra klassificeringen så kan avsaknaden av mer handgripliga råd ha inneburit att myndigheterna brister i sin klassificering eller att myndigheterna klassificerar information på olika sätt. Detta trots att ett av målen med framtagandet av modellen är att åstadkomma en konsistent bedömning av en och samma informations värde oavsett var (eller hos vilken organisation) informationen hanteras.61 Ett ytterligare problem är att flera myndigheter anser att informationssäkerheten skulle försämras vid en eventuell outsourcing eller att det är svårt att hantera frågor kring informationssäkerhet vid outsourcing. Någon rekommendation för hur myndigheterna ska kravställa vad gäller informationssäkerhet vid en upphandling finns inte . informationssäkerhet kan mycket väl upprätthållas vid en eventuell outsourcing men det förutsätter en noggrann analys och god kravställning. av vägledning på detta område kan även det vara en av förklaringarna till att många myndigheter inte har prövat frågan om outsourcing. Det kan även enligt bedömning innebära att genomförd outsourcing ute på myndigheterna har gjorts med bristfälliga krav vad gäller informationssäkerhet. 5.2.7Bristande kunskapsspridning inom den statliga förvaltningen Det finns enstaka myndigheter som har kommit mycket långt när det gäller prövning av sourcingfrågor i sin IT-verksamhet. Trots att flera myndigheter har goda erfarenheter av outsourcing råder en stor osäkerhet bland många myndigheter om de fördelar som kan uppnås om analyser, förberedelser och genomförande hanteras på ett korrekt sätt. De iakttagelser som har gjort i granskningen tyder på att den kunskap som vissa 60Liknande påpekanden görs i handlingsplan för samhällets informationssäkerhet där myndigheten skriver att [f]lera rapporter har emellertid pekat på att myndighetsledningarna ibland har svårigheter att hantera detta ansvar. Detta kan bero på att området är relativt nytt och att det fortfarande saknas tillräcklig kunskap. Det finns en tendens att myndighetsledningarna betraktar informationssäkerhetsfrågorna som en angelägenhet som enbart berör IT-avdelningarna. 61MSB, Modell för klassificering av information rekommendationer, publikationsnummer 0040-09. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? myndigheter har samlat på sig under vägen inte är spridd i förvaltningen. Varje myndighet som står inför ett ställningstagande kring en möjlig outsourcing tvingas helt enkelt att uppfinna hjulet på nytt. Med tanke på hur komplex en outsourcingprocess är så innebär detta enligt ett onödigt risktagande som i många fall skulle kunna minskas väsentligt. Att sprida kunskap om möjliga tillvägagångssätt och goda, såväl som mindre goda, exempel över hela förvaltningen bedömer som en grundläggande framgångsfaktor för att få till stånd en samsyn och det bästa möjliga slutresultatet för förvaltningen som helhet. 5.3Har regeringen gjort vad den kan för att undanröja eventuella hinder mot prövningar i myndigheternas sourcingfrågor? anser att regeringen vidtagit ett antal åtgärder för att undanröja hinder mot att myndigheter prövar sourcingfrågor. Åtgärderna handlar till exempel om att ge uppdrag att driva vissa frågor som handlar om IT och verksamhetsutveckling (E-delegationen) och om att tillsätta utredningar (till exempel utredningen om offentlig upphandling). anser dock att regeringen kan göra mer för att främja och underlätta myndigheternas arbete med sourcing av IT genom att exempelvis verka för inrättandet av tydliga och enhetliga riktlinjer för hur IT-kostnader ska redovisas i statsförvaltningen, sprida kunskap och goda exempel i sourcingfrågor samt att efterfråga ställningstaganden kring sourcing i uppföljningsdialoger. Granskningen visar att det är stora skillnader mellan olika myndigheters kompetens att bedöma frågor om IT och outsourcing. Det finns därför ett behov av bättre vägledningar och erfarenhetsutbyte, så att myndigheterna inte alltid behöver börja från början när dessa frågor prövas. rekommenderar därför regeringen att säkerställa att riktlinjer tas fram för myndigheternas prövning av om deras IT ska utföras inom eller utom myndigheten skapa en struktur för erfarenhetsutbyte mellan myndigheterna i frågor som gäller om IT ska utföras inom eller utom myndigheterna. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? En nyckelfråga för myndigheterna är att skaffa sig tillräcklig beställarkompetens inom IT-området. Myndigheterna bör sörja för att man har tillräcklig teknisk, verksamhetsmässig och rättslig kompetens för att kunna formulera interna eller externa beställningar inom IT-området. Vidare kan konstateras att många myndigheter sällan eller aldrig prövar frågan om outsourcing. rekommenderar därför myndigheterna att säkerställa tillräcklig beställarkompetens inom myndigheten för att kunna hantera sourcingfrågor regelbundet genomföra prövningar om IT ska utföras inom eller utom myndigheten. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Under denna rubrik redogör vi för de fyra fallstudier vi genomfört inom ramen för granskningen. Först redogör vi för arbete med IT- verksamheten sedd ur ett outsourcingperspektiv. är en stor myndighet som varit framgångsrik på IT-sidan och sourcingfrågor har en framskjuten ställning hos myndigheten. I bilaga fyra finns även två exempel på en framgångsrik outsourcingprocess där outsourcat helpdesken och skrivartjänsten på myndigheten. Den andra fallstudien i detta avsnitt handlar om som tidigare hade en stor del av verksamheten outsourcad men beslöt att ta hem merparten av produktionen av IT-kapacitet. Denna fallstudie beskriver ett mindre lyckat exempel av outsourcing. Den tredje fallstudien handlar om en liten myndighets, , arbete med IT och sourcing. I det fjärde fallet som vi studerat visas ett exempel på när myndigheter outsourcar till Fallet som beskrivs är hur i efter ett regeringsbeslut levererar IT till övriga länsstyrelser. Länsstyrelsernas hantering av IT utgör ett intressant exempel på inomstatlig outsourcing. Hos har man tagit fram en sourcingstrategi som innehåller strategiska kriterier och övergripande styrande principer för verksamheten. Man har outsourcat flera olika IT-funktioner, bland annat IT- helpdesk, skrivare som funktion, stordatordrift (Mainframe), Share Point och inskanning av dokument. sourcingstrategi beskriver vilka typer av sourcingmodeller som bedömer är lämpliga för olika områden, men vid varje nytt beslut måste en enskild prövning göras av vilken modell som passar just vid det unika tillfället. Myndigheten utvärderar olika modeller vid upphandlingar av outsourcing, exempelvis möjlighet till ren outsourcing eller att enbart köpa vissa resurser. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Outsourcingen av datorhallen tillkom som en lösning på ett konkret problem då fastighetsägaren till inte ville ha kvar datorhallen vid en ombyggnation. Beslutet att outsourca datorhallen föregicks inte av någon formell analys eftersom det inte fanns några andra realistiska alternativ vid tillfället. Tieto som är leverantör av outsourcingtjänsten står endast för lokal, värme, kyla och ström. Beställar- och leverantörsgränssnittet för IT-verksamheten hos infördes . Vissa ansåg att IT-avdelningen tidigare styrde verksamheten snarare än det omvända. är man nu betydligt tydligare med att det måste finnas en efterfrågan från verksamheten på IT-tjänster som levereras. Nuvarande utvecklingsarbete inom fokuserar på att beställar- och leverantörsrelationerna ska fungera bra. är en av få myndigheter som har en sourcingansvarig och finns ett antal delar av IT-verksamhet outsourcade till externa parter. Myndigheten gör en bedömning av hur mogen en marknad är innan beslut fattas. Det finns ett antal styrande kriterier och påverkande faktorer, bland annat säkerhet och kostnadseffektivitet. Innan man fattar ett beslut på om att påbörja en upphandling, tar man reda på en ungefärlig kostnad för outsourcing. Det krävs kraftiga indikationer på att det finns besparingspotential för att ska gå vidare till upphandling. Hos anser man att kostnadseffektivitet är en av de viktigaste parametrarna vid en outsourcingaffär och den beror i hög grad på standardisering och kompetens. Leverantören ska göra vinst och ska göra en kostnadsbesparing för att det ska vara värt att avtala om outsourcing. Inför upphandling av skrivartjänster ställde upp ett business case, där man dels beräknade de nuvarande kostnaderna för utskrift och ställde det mot ett uppskattat pris vid outsourcing av skrivarhantering i form av utskrift som funktion. I det förra fallet tog man hänsyn till dels direkta kostnader, såsom kostnader för leasing av hårdvara, förbrukningskostnader och underhåll, dels mer indirekta kostnader såsom administration av leverantörsfakturor och intern arbetstid. I det senare fallet bedömdes uppskattad kostnad för tjänsten, intern arbetstid i fallet en outsourcinglösning använts och engångskostnader för upphandling och implementation. Resultatet av denna analys visade tydligt IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? på en stor besparingspotential vid outsourcing och gav också tydliga nyckeltal att följa upp outsourcingen mot62. Enligt är vissa tjänster lättare att outsourca än andra. Hon anser exempelvis att det är lättare att outsourca infrastruktur än systemutveckling och applikationsförvaltning. Detta på grund av att det är lättare att jämföra priser för infrastruktur. För att bättre förstå kostnadsbilden för vissa tjänster brukar föra en dialog med andra myndigheter. har fyra områden som är klassade som samhällsviktiga, vilket innebär att driften måste ske i . Dessutom måste de personer som arbetar med systemen vara godkända och säkerhetsklassade.