prop · GY03138 · 2011-05-20 00:00:00 — prövat frågan om outsourcing bidrar till ökad effektivitet? Ett problem är att få fram uppgifter för att jämföra kostnader och kvalitet på sin egen IT-verksamhet med alternativet att använda sig av en extern Om myndigheten preciserar krav i sin sondering av marknaden så riskerar det att utesluta den leverantör som svarar eftersom den parten anses ha fått en fördel jämfört med övriga möjliga deltagare i ett anbudsförfarande. Konsekvensen av detta blir att myndigheterna får svårt att få fram uppgifter att använda för benchmarking. En framgångsrik outsourcing är beroende av relationen mellan klient och beställare och att det finns en flexibilitet i denna relation för att kunna hantera förändringar under avtalets löptid. Om det rör sig om komplexa tjänster och omfattande hantering kan det nästan krävas att relationen hanteras som joint venture59 för att outsourcingen ska lyckas. På denna punkt skiljer det sig mellan det privata näringslivet och den offentliga sektorn eftersom upphandlingsreglerna inte medger att villkor och krav som formulerades i själva upphandlingsprocessen förändras under avtalets löptid. En statlig myndighet har därmed begränsade möjligheter att hantera förändrade förutsättningar i jämförelse med ett privat företag och detta på en punkt som ofta anses vara kritisk för en lyckad relation mellan leverantör och klient. 5.2.6 Otydligt kring informationsklassificering av känslig information I enkätsvaren som rör vilka eventuella analyser som myndigheterna har gjort kring IT/informationssäkerhet och sekretess i förhållande till ett ställningstagande kring sourcing framgår att ungefär två tredjedelar inte har gjort sådana analyser på hela IT-verksamheten. Ett flertal myndigheter uppger dessutom att man hanterar mycket känslig information och att outsourcing därför inte är lämpligt eller ens möjligt. Att outsourca ett system eller en tjänst kan vara ett sätt att uppnå högre informationssäkerhet än om systemet eller tjänsten hanteras internt, såväl som en risk för försämrad informationssäkerhet. De svar som lämnas i enkäten och vid intervjuer indikerar att myndigheterna i vissa fall antingen brister i sin skyldighet att klassificera information eller att all information i myndighetens verksamhet hanteras med samma höga säkerhetsnivå trots att inte all information kräver en sådan nivå. information på en för hög säkerhetsnivå strider dock mot syftet med att göra en informationsklassificering, lika väl som att klassa informationen på 59Joint venture/samriskföretag eller samföretag (konsortium) innebär ett samarbete där företag går samman i ett nytt bolag för att kunna utveckla ett projekt tillsammans. Det kan också röra sig om mycket stora projekt, där medverkan krävs av flera företag med skilda kompetensprofiler som delar på vinster och risker. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? en för låg nivå. En tänkbar förklaring till att myndigheterna har svårt att göra informationsklassning kan vara att det saknas gemensamma riktlinjer och ställningstaganden kring hur informationen ska klassificeras.60 MSB:s modell för klassificering av information och basnivå för informationssäkerhet utgör bara en matrisform med olika kategorier och det finns ingen vägledning för hur olika informationstyper i sig ska klassificeras. Även om det är varje myndighets skyldighet att göra klassificeringen så kan avsaknaden av mer handgripliga råd ha inneburit att myndigheterna brister i sin klassificering eller att myndigheterna klassificerar information på olika sätt. Detta trots att ett av målen med framtagandet av modellen är att åstadkomma en konsistent bedömning av en och samma informations värde oavsett var (eller hos vilken organisation) informationen hanteras.61 Ett ytterligare problem är att flera myndigheter anser att informationssäkerheten skulle försämras vid en eventuell outsourcing eller att det är svårt att hantera frågor kring informationssäkerhet vid outsourcing. Någon rekommendation för hur myndigheterna ska kravställa vad gäller informationssäkerhet vid en upphandling finns inte . informationssäkerhet kan mycket väl upprätthållas vid en eventuell outsourcing men det förutsätter en noggrann analys och god kravställning. av vägledning på detta område kan även det vara en av förklaringarna till att många myndigheter inte har prövat frågan om outsourcing. Det kan även enligt bedömning innebära att genomförd outsourcing ute på myndigheterna har gjorts med bristfälliga krav vad gäller informationssäkerhet. 5.2.7Bristande kunskapsspridning inom den statliga förvaltningen Det finns enstaka myndigheter som har kommit mycket långt när det gäller prövning av sourcingfrågor i sin IT-verksamhet. Trots att flera myndigheter har goda erfarenheter av outsourcing råder en stor osäkerhet bland många myndigheter om de fördelar som kan uppnås om analyser, förberedelser och genomförande hanteras på ett korrekt sätt. De iakttagelser som har gjort i granskningen tyder på att den kunskap som vissa 60Liknande påpekanden görs i handlingsplan för samhällets informationssäkerhet där myndigheten skriver att [f]lera rapporter har emellertid pekat på att myndighetsledningarna ibland har svårigheter att hantera detta ansvar. Detta kan bero på att området är relativt nytt och att det fortfarande saknas tillräcklig kunskap. Det finns en tendens att myndighetsledningarna betraktar informationssäkerhetsfrågorna som en angelägenhet som enbart berör IT-avdelningarna. 61MSB, Modell för klassificering av information rekommendationer, publikationsnummer 0040-09. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? myndigheter har samlat på sig under vägen inte är spridd i förvaltningen. Varje myndighet som står inför ett ställningstagande kring en möjlig outsourcing tvingas helt enkelt att uppfinna hjulet på nytt. Med tanke på hur komplex en outsourcingprocess är så innebär detta enligt ett onödigt risktagande som i många fall skulle kunna minskas väsentligt. Att sprida kunskap om möjliga tillvägagångssätt och goda, såväl som mindre goda, exempel över hela förvaltningen bedömer som en grundläggande framgångsfaktor för att få till stånd en samsyn och det bästa möjliga slutresultatet för förvaltningen som helhet. 5.3Har regeringen gjort vad den kan för att undanröja eventuella hinder mot prövningar i myndigheternas sourcingfrågor? anser att regeringen vidtagit ett antal åtgärder för att undanröja hinder mot att myndigheter prövar sourcingfrågor. Åtgärderna handlar till exempel om att ge uppdrag att driva vissa frågor som handlar om IT och verksamhetsutveckling (E-delegationen) och om att tillsätta utredningar (till exempel utredningen om offentlig upphandling). anser dock att regeringen kan göra mer för att främja och underlätta myndigheternas arbete med sourcing av IT genom att exempelvis verka för inrättandet av tydliga och enhetliga riktlinjer för hur IT-kostnader ska redovisas i statsförvaltningen, sprida kunskap och goda exempel i sourcingfrågor samt att efterfråga ställningstaganden kring sourcing i uppföljningsdialoger. Granskningen visar att det är stora skillnader mellan olika myndigheters kompetens att bedöma frågor om IT och outsourcing. Det finns därför ett behov av bättre vägledningar och erfarenhetsutbyte, så att myndigheterna inte alltid behöver börja från början när dessa frågor prövas. rekommenderar därför regeringen att säkerställa att riktlinjer tas fram för myndigheternas prövning av om deras IT ska utföras inom eller utom myndigheten skapa en struktur för erfarenhetsutbyte mellan myndigheterna i frågor som gäller om IT ska utföras inom eller utom myndigheterna. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? En nyckelfråga för myndigheterna är att skaffa sig tillräcklig beställarkompetens inom IT-området. Myndigheterna bör sörja för att man har tillräcklig teknisk, verksamhetsmässig och rättslig kompetens för att kunna formulera interna eller externa beställningar inom IT-området. Vidare kan konstateras att många myndigheter sällan eller aldrig prövar frågan om outsourcing. rekommenderar därför myndigheterna att säkerställa tillräcklig beställarkompetens inom myndigheten för att kunna hantera sourcingfrågor regelbundet genomföra prövningar om IT ska utföras inom eller utom myndigheten. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Under denna rubrik redogör vi för de fyra fallstudier vi genomfört inom ramen för granskningen. Först redogör vi för arbete med IT- verksamheten sedd ur ett outsourcingperspektiv. är en stor myndighet som varit framgångsrik på IT-sidan och sourcingfrågor har en framskjuten ställning hos myndigheten. I bilaga fyra finns även två exempel på en framgångsrik outsourcingprocess där outsourcat helpdesken och skrivartjänsten på myndigheten. Den andra fallstudien i detta avsnitt handlar om som tidigare hade en stor del av verksamheten outsourcad men beslöt att ta hem merparten av produktionen av IT-kapacitet. Denna fallstudie beskriver ett mindre lyckat exempel av outsourcing. Den tredje fallstudien handlar om en liten myndighets, , arbete med IT och sourcing. I det fjärde fallet som vi studerat visas ett exempel på när myndigheter outsourcar till Fallet som beskrivs är hur i efter ett regeringsbeslut levererar IT till övriga länsstyrelser. Länsstyrelsernas hantering av IT utgör ett intressant exempel på inomstatlig outsourcing. Hos har man tagit fram en sourcingstrategi som innehåller strategiska kriterier och övergripande styrande principer för verksamheten. Man har outsourcat flera olika IT-funktioner, bland annat IT- helpdesk, skrivare som funktion, stordatordrift (Mainframe), Share Point och inskanning av dokument. sourcingstrategi beskriver vilka typer av sourcingmodeller som bedömer är lämpliga för olika områden, men vid varje nytt beslut måste en enskild prövning göras av vilken modell som passar just vid det unika tillfället. Myndigheten utvärderar olika modeller vid upphandlingar av outsourcing, exempelvis möjlighet till ren outsourcing eller att enbart köpa vissa resurser. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Outsourcingen av datorhallen tillkom som en lösning på ett konkret problem då fastighetsägaren till inte ville ha kvar datorhallen vid en ombyggnation. Beslutet att outsourca datorhallen föregicks inte av någon formell analys eftersom det inte fanns några andra realistiska alternativ vid tillfället. Tieto som är leverantör av outsourcingtjänsten står endast för lokal, värme, kyla och ström. Beställar- och leverantörsgränssnittet för IT-verksamheten hos infördes . Vissa ansåg att IT-avdelningen tidigare styrde verksamheten snarare än det omvända. är man nu betydligt tydligare med att det måste finnas en efterfrågan från verksamheten på IT-tjänster som levereras. Nuvarande utvecklingsarbete inom fokuserar på att beställar- och leverantörsrelationerna ska fungera bra. är en av få myndigheter som har en sourcingansvarig och finns ett antal delar av IT-verksamhet outsourcade till externa parter. Myndigheten gör en bedömning av hur mogen en marknad är innan beslut fattas. Det finns ett antal styrande kriterier och påverkande faktorer, bland annat säkerhet och kostnadseffektivitet. Innan man fattar ett beslut på om att påbörja en upphandling, tar man reda på en ungefärlig kostnad för outsourcing. Det krävs kraftiga indikationer på att det finns besparingspotential för att ska gå vidare till upphandling. Hos anser man att kostnadseffektivitet är en av de viktigaste parametrarna vid en outsourcingaffär och den beror i hög grad på standardisering och kompetens. Leverantören ska göra vinst och ska göra en kostnadsbesparing för att det ska vara värt att avtala om outsourcing. Inför upphandling av skrivartjänster ställde upp ett business case, där man dels beräknade de nuvarande kostnaderna för utskrift och ställde det mot ett uppskattat pris vid outsourcing av skrivarhantering i form av utskrift som funktion. I det förra fallet tog man hänsyn till dels direkta kostnader, såsom kostnader för leasing av hårdvara, förbrukningskostnader och underhåll, dels mer indirekta kostnader såsom administration av leverantörsfakturor och intern arbetstid. I det senare fallet bedömdes uppskattad kostnad för tjänsten, intern arbetstid i fallet en outsourcinglösning använts och engångskostnader för upphandling och implementation. Resultatet av denna analys visade tydligt IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? på en stor besparingspotential vid outsourcing och gav också tydliga nyckeltal att följa upp outsourcingen mot62. Enligt är vissa tjänster lättare att outsourca än andra. Hon anser exempelvis att det är lättare att outsourca infrastruktur än systemutveckling och applikationsförvaltning. Detta på grund av att det är lättare att jämföra priser för infrastruktur. För att bättre förstå kostnadsbilden för vissa tjänster brukar föra en dialog med andra myndigheter. har fyra områden som är klassade som samhällsviktiga, vilket innebär att driften måste ske i . Dessutom måste de personer som arbetar med systemen vara godkända och säkerhetsklassade. Det finns dock en legal möjlighet att outsourca sådana tjänster, även om reglerna kring dem är striktare än kring andra tjänster. Hur påverkar omvärlden kraven på myndighetens IT-verksamhet En svårighet som man upplever inom i samband med upphandling av outsourcingavtal är kravställande vid RFI-förfarande (Request For Information). Om myndigheten ställer en förfrågan till en leverantör med specifika krav innan övriga leverantörer får motsvarande förfrågan så får den leverantören en otillåten fördel. Detta gör alla tjänster som inte är tydligt standardiserade svåra att upphandla. har också som strategi att inte vara först ut med att testa nya områden eller tekniker. Tjänster som omfattar ett helhetsåtagande inom personal, ekonomi, försäljning och hantering av kunder har inte enligt uppnått en mognadsgrad i marknaden. Investeringar bör därför göras för att få fram en klar modell för kravställande och samverkan för att kunna koordinera flera leverantörer. Analysintensiva tjänster som till exempel KPO (Knowledge Process Outsourcing, fokus på expertiskunskap och inte på transaktion), molntjänster, tjänster som sträcker sig över flera områden (till exempel från beställning till betalning) och som har en holistisk syn på en process från ax till limpa kan vara svåra att hantera. Inom det här området ska vaksamhet råda mot erbjudanden som inte har testats på marknaden, som är vaga i sin beskrivning och som det kan vara svårt att skriva flerårsavtal runt med tydliga servicenivåer. 62 Se bilaga fyra. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? IT-outsourcingmarknaden är relativt mogen, men komplexiteten ska ändå inte underskattas, då erbjudanden och leveransmodeller utvecklas kontinuerligt. Detta är bland annat en följd av nya kravställningar och utveckling på leverantörssidan och den alltmer kostnadsmedvetna beställar- och köpsidan. Nya leveransmodeller skapas genom att globala resurser används, standardise ring, virtualisering, funktionsbegrepp och molntjänster, fortsätter att omdana marknaden och hur tjänsterna utformas. När tjänsterna blir alltmer industrialiserade krävs ökad expertkunskap för att kunna integrera dessa i en sammanställd tjänsteportfölj. uppger att man har flera egenutvecklade system och som fortfarande används i verksamheten. Möjligheten att köpa funktion stöder behovet att kunna migrera från gamla system till nya paketerade lösningar. En ökad efterfrågan på den här typen av tjänster driver på utvecklingen i marknaden av lösningar och leveransmodeller. Detta gäller särskilt för affärssystem där mognadsgraden är högre än inom många andra områden. Mognaden ser även ut att ha ökat i som generellt varit mindre villigt att outsourca jämfört med övriga . Inom leverantörsleden kommer troligen priserna på konsulttimmar, hårdvara och mjukvara att falla menar man på . kommer det att bli ökade krav på transparens och nya leveransmodeller högre upp i värdekedjan. Däremot är det oklart på vilket sätt detta värdeskapande ska ske. det är oklart från företagsledande nivå hur IT bäst bidrar till att uppfylla verksamhetens mål bedöms tidpunkten nu vara lämplig för att satsa på kompetensutveckling av management inom . Vad vill myndigheten uppnå tror att verksamhetens IT-beroende kommer att öka och att fler funktioner kommer att bli automatiserade. Inom är man även medveten om att en myndighet som outsourcar behöver en ny profil på sina medarbetare. I stället för teknisk detaljkunskap så är funktionstänkande och beställarkompetens viktigt. En lyckad outsourcing kan dock minska den totala IT-kostnaden och ge en mer flexibel leverans, vilken kan stödja de förändrade kraven över Regler och förordningar i kombination med en ökad komplexitet av leveransmodellerna ställer ökade krav på säkerhet. Detta är särskilt påtagligt för så kallade molntjänster, vilket också är ett område som växer fort. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? har tidigare outsourcat stora delar av sin IT-verksamhet men tidigare outsourcing var inte ett resultat av en noggrann analys. Beslutet fattades förmodligen snarare för att det var modernt att göra så. Outsourcingleverantörerna fick mer och mer ansvar och flera duktiga beställare av IT-tjänster inom övergick till outsourcingleverantörerna, vilket medförde att förlorade kontroll över IT-verksamheten. arbetar myndigheten i större utsträckning med verksamhetsutveckling och att utforma lösningar som drar nytta av informations- och kommunikationsteknik över myndighetsgränser, så kallad e-förvaltning. Inom myndigheten arbetar man mycket med att eliminera gränserna inom organisationen genom Scrum och . Arbetet med de olika metodikerna innebär att projektledare, testare och utvecklare arbetar tätt tillsammans inom projekten. Driftspersonalen har stort samarbete med supporten och är också inblandad i utvecklingen. Enligt är det nödvändigt att integrerar IT och verksamhet och förmår verksamheten att agera beställare. Hans uppfattning är att det tidigare inte fanns en tydlig ledning av IT-verksamheten. Myndigheten har stort fokus på att IT ska vara en integrerad del av verket. Ambitionen är att eliminera gränserna mellan IT och verksamhet. Myndighetens ställningstagande att hårdvaran placerades i man hade outsourcing av IT-verksamheten innebar att man inte utnyttjade alla möjliga fördelar förknippade med outsourcing. Fördelar förknippade med att kunna placera även hårdvara hos en outsourcingleverantör genom ett outsourcingavtal är tillgång till mer kompetens och skalfördelar. En informell analys av huruvida en SUA- upphandling (säkerhetsskyddad upphandling med säkerhetsskyddsavtal) skulle kunna vara lönsam genomfördes hos i samband med att man beslutade att insourca IT-verksamheten, men man kom fram till att myndigheten kunde sänka kostnaderna genom att själv sköta IT-verksamheten. Det faktum att servrar behöver förvaras i myndighetens egna lokaler är en anledning till att outsourcing har varit dyrare än intern drift. Kravet att hårdvaran ska stå kvar i finns fortfarande kvar, vilket enligt verksamhetschef och CIO gör det osannolikt att en outsourcing kan spara pengar åt myndigheten. Möjligtvis skulle det finnas potential för en lyckad outsourcing om myndigheten sänkte säkerhetskraven. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? IT-ledningen hos ser inte några problem med den budget som finns då man anser att det är billigare med interna personer inom IT-projekten än med konsulter. Hos vill man inte bli beroende av konsulter. En konsult får exempelvis inte bli oumbärlig inom en viss del av verksamheten. Hos behandlas känslig information och myndigheten ställs därför inför externa krav från både (säkerhetspolisen) och EU. har bedömt att centrala utlänningsdatabasen () som finns hos ska hanteras som ett samhällsviktigt system och man har på fattat beslutet att CUD-servern måste finnas i myndighetens egna lokaler. Det finns dock inga externa krav på att den måste stå på en speciell plats. Inom EU är dessutom alla databaser för visum sammankopplade och enligt IT-ledningen hos kan tolkas som att informationen måste hanteras i egen regi. Vikten av tillgängligheten hos vissa av databaser är högst vital. VIS-databasen som hanterar visumärenden inom Schengenområdet är så pass viktig att gränspassager i princip inte är möjliga om databasen inte finns tillgänglig. För att säkerställa att viktiga databaser som VIS alltid finns tillgängliga, finns dubbletter på flertalet av system förvarade i . Man har vid flertalet tillfällen funderat på att outsourca andra delar av IT- verksamheten. Senast var det outsourcing av videokonferens som diskuterades, men man valde att avstå av säkerhetsskäl. arbetar med ISO27000-standarder för informationsklassning och informationssäkerhet. Myndigheten försöker framför allt bedöma och ta hänsyn till möjlig skada när den gör informationsklassningsanalyser, eftersom informationen hos kan påverka människors liv och hälsa. Den största mängden förfrågningar mot centrala utlänningsdatabasen är vanliga sökningar som inte klassificeras som känsliga men eftersom den även innehåller känslig information har IT-ledningen gjort bedömningen att databasen skulle behöva omstruktureras beroende på olika skyddsgrader. Myndigheten använder sig av en mall för att klassificera information där olika områden betygssätts mellan ett och tre. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Klassificeringen genomförs genom att lämpligt antal människor sitter ned och analyserar informationen. Bedömningskraven är flera men konfidentialitet är det som är enklast att bedöma. Syftet med informationsklassning är att information ska ha rätt skydd. En orsak till att det inte har slagit igenom med en myndighetsgemensam klassificering är att det är svårt att generalisera beroende på att verksamheterna skiljer sig åt. Hur påverkar omvärlden kraven på myndighetens IT-verksamhet outsourcade IT-verksamheten 1996 men tog tillbaka den i egen regi eftersom man förlorade kontrollen över IT- verksamheten och eftersom kostnaderna blev för höga. stod hårdvaran kvar i , så de största förändringarna då man gick från en helt intern IT-verksamhet till outsourcing skedde på systemutvecklingssidan. Då det inte fanns någon koordination mellan de olika utvecklingsresurserna uppstod problem. Systemen blev inte integrerade och kostnaderna sköt i höjden. Flertalet av de problem som var förknippade med outsourcingen av IT-verksamhet belystes i en granskningsrapport från Statskontoret63. I rapporten framgick att kopplingen mellan verksamhetsansvar och ansvar för verksamhetsutveckling, inklusive IT, var oklar. I samma rapport berördes även svaga beställarkapacitet och det betydande leverantörsberoendet med hög sårbarhet gällande de verksamhetskritiska systemen. Enligt Statskontoret behövde balansen mellan egen regi och entreprenad ses över, vilket med stor sannolikhet var en starkt bidragande orsak till att insourcades. Innan IT-miljön insourcades saknades det samordning för IT-utveckling inom myndigheten och det upplevdes som att olika delar av verksamheten fungerade som öde öar.