prop · GY03138 · 2011-05-20 00:00:00 — Vi har utfört genomgripande förändringar där vi bl a centraliserat, standardiserat, processorienterat och tjänstefierat IT-verksamheten i syfte att bättreta kontrollen över IT-verksamheten. Därefter kan vi bättre överväga alternativa lösningar för leverans av de olika tjänsterna. Detta övervägande görs löpande tjänst efter tjänst. Vi har inte ännu nått den fasen i vår interna IT-mognadsprocess så att det är möjligt att göra en sådan prövning. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Myndigheten har initierat ett arbete vilket ska resultera i att det finns en driftsöverenskommelse och klassificering utifrån tillgänglighetskrav, SLA, etc. för varje system som används inom myndigheten. Detta arbete ger i förlängningen möjlighet till att pröva driften för varje system som myndigheten har behov av enligt en liknande modell som redovisar i exemplet. Av fallstudien på KB framgår att är decentraliserad och att det saknas en tydlig central styrning. är IT-funktionerna inom KB utspridda på flertalet olika avdelningar och många olika system och applikationer används. IT-chefen uppger att myndigheten har för dålig kontroll över verksamheten för att kunna göra en prövning av sourcingfrågor . Det gäller att få en överblick över de IT-system som finns och så gott det går koncentrera dessa till IT-enheten och till gemensamma system och applikationer. IT-chefens uppfattning är att det aldrig har funnits något stort fokus på IT inom KB. Ett flertal olika IT-applikationer fördelade på olika databaser används inom verksamheten och det har funnits en bristfällig central förståelse av hur alla applikationer fungerar. Det finns även avdelningar inom myndigheten som hanterar drift och utveckling själva, vilket enligt IT-chefen egentligen vore mer rationellt att låta IT-avdelningen ta hand om. Anledningen till att så inte sker är att IT-avdelningen inte besitter rätt kompetens för att kunna hantera detta . Det finns även ett behov av att se över nätverksstrukturen inom KB, då den varken är effektiv eller säker. Just nu pågår ett arbete med att bedöma graden av beroende mellan de olika applikationer som finns, och en ordentlig kartläggning av nätverksstrukturen ska göras av IT-avdelningen. Fallstudien vid visar att liknande problem även fanns hos olika länsstyrelser innan man genomförde nuvarande organisationsförändring vad gäller IT-verksamheten. Tanken bakom förändringen av länsstyrelsernas var att skapa en samsyn kring hur processerna ska se ut och vilka krav man ska ställa på IT-stödet. Enligt en rapport från Gartner22 så var uppföljning och rapportering av servicenivåer för de flesta länsstyrelser oklar eller obefintlig och det gick därför inte att dra några slutsatser om hur servicenivån hade varit tidigare. Det fanns inte heller någon enhetlig redovisning av IT-kostnader utan det var först som man tog fram ett gemensamt ekonomisystem där redovisning sker på likartat sätt. Länsstyrelserna hade tidigare olika sätt att kostnadsföra och redovisa för IT- verksamhet i såväl absoluta tal som kostnad per arbetsplats. kunde även en del länsstyrelser finansiera teknik på ramanslaget men programvara 22Gartner, /Länsstyrelserna, Etablering av gemensam IT-kostnad för Länsstyrelserna (LstIT) enligt Direktiv för utredning om ekonomi m m för länsstyrelsernas gemensamma IT-verksamhet, 2009 (). IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Vissa länsstyrelser visste inte ens hur många servrar eller hur många datorer man hade, inte heller alltid vad man betalat för programvaran. En av framgångsfaktorerna som identifierades för att ta tillvara de ekonomiska fördelarna av storskalighet vid förändringen var att den gemensamma IT- miljön måste baseras på en gemensam standard. I undersökningen av de olika länsstyrelserna innan bildandet av den gemensamma IT-enheten konstaterade man att den gemensamma standarden inte fanns och därför borde prioriteringen vara att skapa rutiner och arbetssätt för att införa hållbar standardisering, införa samordnade rutiner och sedan processer för att införa samordnade tjänster. Utan sådan standardisering fanns stor risk att centralisering skulle medföra ökade kostnader för administration och förvaltning och därmed urholka den besparingspotential som fanns.23 Det fanns inte heller några uttalade krav eller förväntningar på vilken servicenivå som kunde vara skälig utifrån olika länsstyrelsers beroende av IT-stöd för att utföra sina åtaganden. En fastställd kravspecifikation på förväntad servicenivå skulle även enligt utvärderingen kunna ligga till grund för prioritering och styrning av IT-verksamheten inom alla länsstyrelser. uppgav i fallstudien att man har flera egenutvecklade system och som fortfarande används i Möjligheten att köpa funktion stöder behovet att kunna migrera från gamla system till nya paketerade lösningar. Fallstudierna på och , myndigheternas enkätsvar angående upplevda hinder samt resultaten av den workshop som har genomfört visar att myndigheterna anser att reglerna i sätter käppar i hjulen för många upphandlingar. svårgenomträngliga och innebär enligt myndigheterna i många fall till och med att man avstår från att göra en prövning i sourcingfrågan. En svårighet som man upplever inom till exempel i samband med upphandling av outsourcingavtal är att det finns begränsningar kring kravställande i ett RFI-förfarande (Request For Information). Om myndigheten ställer en förfrågan till en enstaka leverantör med specifika krav innan övriga leverantörer får motsvarande förfrågan så får den leverantören en otillåten fördel. Detta gör enligt CIO24 alla tjänster som inte är tydligt standardiserade svåra att upphandla. Hon anser exempelvis att det är lättare 23Atea, Sammanställning av TCO-analyser för i , i , i län, 2006, s.5 (Atea). IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? att outsourca infrastruktur än systemutveckling och applikationsförvaltning. Detta på grund av att det är lättare att jämföra priser för infrastruktur. För att bättre förstå kostnadsbilden för vissa tjänster brukar därför föra en dialog med andra myndigheter. Analysintensiva tjänster som till exempel KPO25, molntjänster, tjänster som sträcker sig över flera områden (exempelvis från beställning till betalning) och som har en holistisk syn på en process från ax till limpa kan även vara svåra att hantera avtalsmässigt. Inom det här området kan tjänsterna vara vaga i sin beskrivning och därmed svåra att skriva flerårsavtal runt med tydliga servicenivåer. påtalar även att de avtalade villkoren enligt LoU måste tillämpas under hela avtalets löptid, vilket innebär begränsade möjligheter att förändra IT-verksamhet som är outsourcad oavsett om verkligheten förändras. Både och har i fallstudierna uppgett att processen för att genomföra en outsourcing från förstudie till överföring är tidsödande och kostsam. Utöver det så uppstår ofta fördröjningar beroende på överklaganden av tilldelningsbesluten, vilket innebär att det inte är ovanligt att den tid det tar innan själva överförandet kan genomföras sträcker sig upp mot ett och ett halvt till . Innan överklagandet har hanterats finns heller ingen möjlighet att gå vidare i outsourcingprocessen och myndigheterna riskerar därmed i vissa fall att stå utan IT-leverantör till sin verksamhet.26 Samtliga myndigheter som har granskats genom fallstudier uppger att beställarkompetens är viktig för att kunna göra en prövning av sourcingfrågor. tidigare erfarenheter kring outsourcing visar att tillräcklig beställarkompetens saknades vid genomförandet och att den kompetensen som fanns kvar efter outsourcingen snabbt försvann från myndigheten. Detta fick konsekvensen att myndigheten tappade kontrollen över sin IT-verksamhet. genomförde en övergång till intern beställar- och utförarorganisation för att stärka beställarkompetensen inom myndigheten. Vissa inom myndigheten ansåg att IT-avdelningen tidigare styrde verksamheten snarare än det omvända. är man nu mycket tydligare med att det måste finnas en efterfrågan från verksamheten på IT-tjänster som levereras. Av fallstudien på framgår att nuvarande utvecklingsarbete inom 25Knowledge Process Outsourcing,vilket innebär fokus på expertiskunskap och inte på transaktion. 26Detta rör främst situationen då man har outsourcat sin IT och genomgår en förnyad upphandling för att få fram en leverantör till en andra period. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? fokuserar på att beställar- och leverantörsrelationerna ska fungera bra och ett av de mest prioriterade områdena för myndigheten att utveckla och förfina är just management och beställarkompetens.27 Myndigheten uppger vidare att man inom även är medveten om att en myndighet som outsourcar behöver en ny profil på sina medarbetare. I stället för teknisk detaljkunskap är enligt funktionstänkande och beställarkompetens viktigt. När tjänsterna blir alltmer industrialiserade krävs enligt dessutom ökad expertkunskap för att kunna integrera dessa i en sammanställd tjänsteportfölj. I skiftet från att endast ha en intern IT-avdelning till att övergå till outsourcing hamnar beställarorganisationen mellan användarna och leverantören som kommunikationslänk. Det är beställarorganisationens roll att fånga upp verksamhetens behov och omsätta detta behov i en beställning till leverantören. är en av sex kritiska framgångsfaktorer för en IT-outsourcing enligt (1999)28. Fallstudien på KB visar att det centrala i en lyckad väg mot att pröva om outsourcing av fler delar av IT-verksamheten kan öka effektivitet och kvalitet är att få till en tydlig och välfungerande beställar- och leverantörsrelation mellan IT-avdelningen och övriga avdelningar inom myndigheten. Det är dessutom svårt för en extern leverantör att ta emot IT-system om de inte är ordentligt organiserade och dokumenterade. Enligt är det nödvändigt att integrerar IT och verksamhet och förmår verksamheten att agera beställare. Hans uppfattning är att det tidigare inte fanns en tydlig ledning av IT- verksamheten. Myndigheten har stort fokus på att IT ska vara en integrerad del av verket. Ambitionen är att eliminera gränserna mellan IT och verksamhet. Flertalet av de problem som var förknippade med outsourcingen av IT-verksamhet belystes i en granskningsrapport från Statskontoret29. I rapporten framgick att kopplingen mellan verksamhetsansvar och ansvar för verksamhetsutveckling, inklusive IT, var oklar. I samma rapport berördes även svaga beställarkapacitet och det betydande leverantörsberoendet med hög sårbarhet gällande de verksamhetskritiska systemen. Vid den workshop som genomfördes som en del i kvalitetssäkringsarbete påtalade även en majoritet av deltagarna att myndigheter generellt sett ofta saknar kompetens att hantera en outsourcingrelation på ett affärsmässigt sätt som beställare. 27En något förenklad översättning av begreppet management är leverantörsstyrning. 28Framgångsfaktorerna är arbetssätt, beställarorganisation, ledarskap, medarbetare, kultur och relationen till leverantören. 29Se Statskontoret 2002/524-5. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? 3.6.4 Nuvarande IT-verksamhet fungerar bra Några myndigheter har svarat att de anser att nuvarande IT-verksamhet fungerar bra till en rimlig kostnad. Nedan följer citat som visar hur myndigheterna har resonerat. Förvaltning har inte gjort någon övergripande utredning kring outsourcing av hela IT-verksamheten. Detta troligen beroende på att man har ansett sig ha en väl fungerande IT till en rimlig kostnad. Överväganden görs dock alltid i samband med investering i nya produkter och tjänster. XX är en liten myndighet. Vi är mycket nöjda med kvaliteten på vårt IT-stöd. Vår bedömning är att vår egen IT-personal som sköter allt och även i hög grad är delaktig i kärnverksamheten är en värdefull framgångsfaktor för vårt komplexa arbete. IT-verksamheten fungerar mycket bra till en låg kostnad. 3.6.5 Krav på informationssäkerhet Några myndigheter anser att verksamhetssystemen innehåller känsliga uppgifter och för att kunna upprätthålla kraven på informationssäkerhet så krävs att systemen hanteras internt på myndigheten. Nedan följer citat som visar hur myndigheterna ser på informationssäkerhet och sourcingfrågor. En stor del av myndighetens systemmiljö utgörs av extremt känsliga register som driftas av säkerhetsklassad personal i ett separat nätverk. Denna miljö är knappast en kandidat för outsourcing. Anledningarna till att välja outsourcing eller att hantera i egen regi varierar således. Den bedömning som ligger till grund för myndighetens outsourcingstrategi bygger mycket på att vi hanterar flera s.k. samhällsviktiga system som vi anser oss behöva ha full kontroll på i alla lägen. Exempel på detta är fysiskt skalskydd, IT-säkerhetsmässiga aspekter, kompetensaspekter, etcetera. I och med att myndigheten har investerat en hel del i bl.a. säkra lokaler, separerade datorhallar för de samhällsviktiga systemen (och kontrollrumsverksamheten) är bedömningen att andra, icke samhällsviktiga system, kan dra nytta av dessa installationer och därmed uppnå kostnadseffektivitet i förvaltningen av dessa. Vid tidigare förfrågningar om möjligheten att outsourca vår televerksamhet (som är en del av de samhällsviktiga systemen) har det visat sig vara svårt att uppnå den driftsäkerhet och prioritering, i händelse av fel, som efterfrågats i En sådan upphandling genomfördes som slutade med att ledningen beslutade sig för att fortsätta driva televerksamheten i egen regi. Myndigheten har inte prioriterat en sådan utredning. Våra tunga verksamhetssystem kan innehålla känslig information och detta har IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? varit ett starkt skäl för att drift och förvaltning av system skall utföras inom myndighetens organisation och IT-infrastruktur. Enkätsvaren visar att det föreligger en risk för att vissa myndigheter inte har genomfört en tillräcklig informationsklassificering. Ett av delmomenten i arbetet med informationssäkerhet är informationsklassificering. Myndigheten för samhällsskydd och beredskap (MSB) har med stöd av förordningen om krisberedskap och höjd beredskap30 utfärdat föreskrifter om statliga myndigheters informationssäkerhet. Enligt föreskriften finns en skyldighet för myndigheter att klassificera sin information med utgångspunkt i krav på konfidentialitet, riktighet och tillgänglighet.31 En analys av informationssäkerhet i relation till egen eller outsourcad hanteringen av myndighetens IT-verksamhet förutsätter därför att myndigheten har klassificerat sin information. har även en tydlig koppling till kravställande vid upphandling. Utöver själva informationsklassificeringen krävs ytterligare analyser. har med anledning av informationssäkerhet och outsourcing anfört att [t]eknikskiften, till exempel övergång från analog telefoni till IP-telefoni, eller andra omfattande investeringar bör föregås av kontinuitetsplaneringar, risk- och sårbarhetsanalyser, och säkerhetsanalyser för att förstå vad förändringarna innebär för den egna verksamheten och för att få fram rätt kravspecifikationer. Vissa av de problem som kan uppstå vid teknikskiften går att härleda till brister i kravställande och beställarkompetens. Det är därför av stor vikt att upphandlingen av ny teknik sker på ett professionellt sätt. Det måste därvid finnas tillräcklig kompetens för att kunna ställa relevanta säkerhetskrav.32 Ett av förslagen på åtgärder i handlingsplanen var därför att ta fram information och rekommendationer kring hur informationssäkerheten bör beaktas i samband med upphandlingar.33 Någon sådan rekommendation har dock inte tagits fram . Av fallstudien på framgår att myndigheten har fyra områden som är klassade som samhällsviktiga, vilket innebär att driften måste ske i . Dessutom måste de personer som arbetar med systemen vara godkända och 3034 § förordningen (2006:942) om krisberedskap och höjd beredskap. 314 § p 3 MSBFS 2009:10. 32Krisberedskapsmyndigheten, Handlingsplan för samhällets informationssäkerhet, 2008. 33MSB anförde i sin lägesbedömning för samhällets informationssäkerhet bland annat att [u]pphandling inom offentliga sektorn är lagreglerad och många myndigheter använder priset som enda kriterium vid utvärdering av inkomna offerter. Detta leder till ett dilemma för de leverantörer som ska utforma en offert till en inkommen anbudsförfrågan. Man offererar då ett tjänstepaket som precis uppfyller de minimikrav på säkerhet som angivits i anbudsunderlaget. Detta gör leverantören även om denne anar eller till och med är övertygad om att kunden behöver en bättre säkerhet. Lagen om offentlig upphandling kan i vissa fall vara kontraproduktiv vad gäller att gynna säkerhetstänkandet och kvalitetsaspekter hos myndigheterna. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Det finns dock en legal möjlighet att outsourca sådana tjänster, även om reglerna kring dem är striktare än kring andra tjänster. Av fallstudien på framgår att myndigheten behandlar känslig information, och myndigheten ställs därför inför externa krav från både (säkerhetspolisen) och EU. har bedömt att centrala utlänningsdatabasen () som finns hos ska hanteras som ett samhällsviktigt system och man har på fattat beslutet att CUD-servern måste finnas i myndighetens egna lokaler. Den största mängden förfrågningar mot centrala utlänningsdatabasen är dock vanliga sökningar som inte klassificeras som känsliga men eftersom den även innehåller känslig information har IT-ledningen gjort bedömningen att databasen skulle behöva omstruktureras beroende på olika skyddsgrader. Syftet med informationsklassning är att information ska ha rätt skydd. En orsak till att det dock inte har slagit igenom med en myndighetsgemensam klassificering inom förvaltningen kan, enligt företrädare för , vara att det är svårt att generalisera beroende på att verksamheterna skiljer sig åt. En del i prövningen om outsourcing av IT-verksamheten kan vara ett alternativ för en myndighet är att göra ett antal analyser kring informationssäkerhet, myndighetsutövning och samhällsintresse. har identifierat åtta stycken olika analyser som varje myndighet bör göra. Om kravet är att analyserna ska vara dokumenterade uppger av myndigheterna att de har gjort fler än tre av dessa analyser. Alltså har av myndigheterna svarat att de har gjort tre eller färre av dessa analyser. av de tillfrågade myndigheterna har vid krav på dokumentation gjort en analys av informationssäkerhet i förhållande till extern eller intern hantering av IT-verksamheten. En majoritet av myndigheterna kan inte redovisa IT-kostnaderna uppdelade på ett antal olika delområden. av myndigheterna anger att de inte har en sourcingstrategi. av myndigheterna anser att de inte har gjort en fullgod prövning i sourcingfrågan (om man ska producera den IT man behöver själv eller om man ska låta någon annan göra jobbet). Flera myndigheter har en decentraliserad och fragmenterad IT- verksamhet eller som försvårar möjligheterna till ett fullgott ställningstagande kring sourcing. Organisationsstrukturen och stora mängder egenutvecklade system innebär svårigheter vad gäller styrning och uppföljning och övergripande integration av IT-verksamheten. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Flera myndigheter tenderar att ha bristfällig insikt i sin IT-verksamhet vad gäller kostnader, hur väl IT bidrar till att uppfylla verksamhetens mål och hur den totala IT-verksamheten inom myndigheten faktiskt ser ut och fungerar. Beställarkompetensen är hos flera myndigheter bristfällig, och många myndigheter verkar ha svårt att hantera en övergång från producent till beställare och de förändringar som en sådan övergång innebär. Reglerna i minskar möjligheterna för myndigheter, i jämförelse med privata företag, att kunna göra benchmarking av sina IT-kostnader. Anledningen är att förfrågningar med specifika krav kan diskvalificera leverantören som besvarar frågan från att senare delta i upphandlingen. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? I det följande beskrivs vad regeringen gjort inom olika områden där myndigheterna upplevt hinder mot outsourcing. Regeringen kan genom regleringsbreven ge uppdrag och begära återrapportering av myndigheters IT-verksamhet. En närmare undersökning av de 60 största myndigheternas regleringsbrev har genomförts för att urskilja IT-relaterat innehåll. Regleringsbrev har undersökts. Undersökningen visar att regeringen visat stort intresse av att styra detaljerat rörande: 1)Förbättrat informationsutbyte/samordning av system. Det har då handlat mycket om optimering av informationsutbytet mellan myndigheter och riktat sig särskilt till myndigheter som har hand om försäkrings- och bidragssystem. 1)Elektronisk hantering av informationsutbyte inom EU/internationellt, det vill säga anpassa system enligt EU-krav eller att delta i projekt för samordning och informationsutbyte internationellt, inte minst inom EU, ibland efter krav på åtgärder för utökat samarbete och samordning av system. 1)Effektivitetshöjning/Kvalitetshöjning/Förbättrad service, vilket syftar till en effektivisering eller kvalitetshöjning av något specifikt, exempelvis ärendehantering eller en förbättrad service till företag och medborgare (brukare), eller en mer generell redovisning av hur myndigheten arbetar med informationsteknik för att öka effektiviteten och/eller kvaliteten i verksamheten. Detta ligger helt i linje med regeringens riktlinjer i den senaste förvaltningspropositionen34 om ökad lyhördhet gentemot medborgare och företag samt en stärkt styrning av IT-samverkan inom statlig förvaltning. 2009/10:175. IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet? Finansieringen förväntas oftast ske inom förvaltningsanslaget, vilket har att göra med regeringens uppfattning att IT-investeringar ska betala sig själva i form av de effektivitetsvinster som de förväntas generera.35 Regeringen har också gett och efterföljaren Myndigheten för samhällsskydd och beredskap (MSB) tre stycken uppdrag inom ramen för sitt informationssäkerhetsarbete: 1) att lämna förslag till en handlingsplan för genomförande och förvaltande av den nationella strategin för informationssäkerhet, 2) att redovisa vilka åtgärder som myndigheten och andra berörda myndigheter har genomfört utifrån den nationella handlingsplanen för informationssäkerhet, 3) att lämna förslag på hur en säker digital informations- och kommunikationsstruktur för myndigheter, kommuner och landsting kan skapas.36 4.2Regeringen vill renodla det offentliga åtagandet Regeringen uppmanar i den senaste förvaltningspropositionen myndigheterna att pröva om administrativa stödverksamheter ska utföras i samverkan eller annan regi. Standardisering och koncentration ses här av regeringen som ett steg på vägen att lösgöra stödfunktioner från kärnverksamheten37. Regeringen uttrycker vidare att den administrativa stödverksamheten inte är en del av kärnverksamheten och därför inte behöver utföras av myndigheten själv och att den därför bör hitta andra lösningar än att utföra den i egen regi38.