sou · H3B333 · 2015-03-30 00:00:00 — Figur 7 Domänkarta .............................................................................................................................. Figur 8 Informationsmodell .................................................................................................................. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 4 av 24 Dokumentet syftar till att ge en översiktlig bild av krav på lösning för förenklat uppgiftslämnande för företagen. Det håller också ihop all dokumentation genom att ge länkar till dokument som mer i detalj beskriver kraven. 1.2Övergripande beskrivning av systemet presenterar ett system för ett förenklat uppgiftslämnande från företag till myndigheter. Systemet innehåller tjänster som genom kan erbjudas företagare i syfte att möjliggöra en förenklad kontakt med myndigheter för ett ömsesidigt utbyte av uppgifter relevanta för ett visst ärende. Systemet för det förenklade uppgiftslämnandet från företag till myndigheter sågs tidigare som en separat webb-tjänst som benämndes ”Servicetjänsten”. Då de ingående tjänsterna nu kommer att ingå under verksamt kommer benämningen ”Uppgiftslämnarservice” i stället att användas i den fortsatta framställningen som en samlande beteckning på tjänsterna. Tjänsterna bygger i sin tur på ett antal bastjänster genom vilka samtliga författningsreglerade uppgiftskrav som myndigheter ställer på företag kan nås. För att kunna tillgodose dessa uppgiftskrav ger Uppgiftslämnarservice tillgång till grundläggande uppgifter om företag som finns i olika register. När en företrädare för ett företag använder webbtjänsten visas listor över relevanta ansökningar och anmälningar som företaget kan göra (företagsinitierade uppgiftskrav) samt över uppgiftskrav som företaget åläggs att hantera (myndighetsinitierade uppgiftskrav). Valen i dessa listor leder vidare till myndigheters e-tjänster, till vilka även de grundläggande uppgifterna om företaget förs över. Genom s.k. ”single sign on” behöver företrädaren inte identifiera sig på nytt i de enskilda e- tjänsterna hos respektive myndighet. För att uppnå funktionaliteten ”single sign on” förutsätts Svensk e-legitimation användas. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 5 av 24 Figur 1 Översiktlig bild av det föreslagna systemet Detta dokument definierar fem olika delområden (s.k. kravområden). Det innehåller dock inte detaljerade beskrivningar av de krav som faller inom de olika delområdena utan dessa krav beskrivs utförligt i separata dokument. Ett särskilt dokument beskriver de krav som gäller för systemet som helhet. Kravområdenas innehåll framgår närmare i Tabell 2 Kravområden, sid. 10. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 6 av 24 Begreppsmodellen beskriver översiktligt hur centrala begrepp som ingår i verksamhetsområdet förhåller sig till varandra. Begreppet ”Uppgiftslämnarservice” i Figur 2 ersätter det av utredningen tidigare använda begreppet ”Servicetjänsten”, och används i det fortsatta arbetet som ett samlingsnamn på de funktioner som ersätter Servicetjänsten och som föreslås inrymmas i Begreppen förklaras närmare i avsnitt 1.10 Ordlista, sid. 20 f. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 7 av 24 3 Krav och kravformulering Vid framtagandet av utredningens betänkande SOU 2013:80 genomfördes en övergripande kravinventering, vilken resulterade i 22 övergripande funktionella krav samt ett övrigt krav (se bilaga 4 i betänkandet). Dessa krav har sedan brutits ned och analyserats vidare, vilket i sin tur har resulterat i en indelning i olika funktionella s.k. kravområden. Dessa beskrivs vidare i avsnitt 1.5.2. Parallellt med utredningens arbete har en behovsanalys genomförts inom ramen för myndighetssamarbetet (”Framtida Verksamt”). Utifrån denna analys har en målbild tagits fram för en framtida utveckling av . Behov och krav från de båda arbetena skall nu vägas samman till en gemensam kravbild. Tabell 1 redovisar de aktörer som figurerar i något av de beskrivna användningsfallen. Samma termer används även delvis i ordlistan senare i detta dokument. Skillnaden mellan de två beskrivningarna är att nedanstående lista beskriver de roller varje aktör har i systemet utifrån de användningsfall de förekommer i, medan ordlistan utgår från begreppen så som de används i den allmänna kontext som systemet finns i. När en term används i ett användningsfall avses "aktörsbeskrivningen", dvs. beskrivningen i Tabell 1, om inte annat framgår. Termerna i tabellen ska användas med nödvändig anpassning till befintliga definierade aktörer och termer för verksamt. Roll som kan antas av myndighetsföreträdare respektive Samordningsorganets företrädare och som har en högre behörighet i systemet för att t.ex. administrera användare Ett register över aktuella aviseringar som myndigheter har skickat till Aviseringarnas innebörd är att företaget ska lämna in uppgifter enligt något uppgiftskrav, alternativt att ett ärende som inletts med uppgiftslämnande har ändrat status eller avslutats. System hos som innehåller och ska leverera grundläggande En typ av tjänsteleverantör som erbjuder tjänster för att hantera (ta emot, skicka och administrera) meddelanden (Mina meddelanden, En extern part som vill ha tillgång till sammanställningar av företagsuppgifter om en mängd företag som uppfyller vissa ställda kriterier Företag som via en inloggad företrädare hanterar sina aviserade uppgiftskrav och kan göra anmälan eller ansökan. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 8 av 24 Roll som en person som företräder Samordningsorganet, en myndighet eller ett företag antar i olika situationer. I företagsfallet är företrädaren en person som via sin e-legitimation är behörig att företräda ett företag. Händelser som sker i myndighets verksamhetssystem avseende Händelser kan vara nya aviseringar om uppgiftskrav och statusändringar på pågående uppgiftskrav Den enhet som hanterar drift av systemet Något system hos en myndighet som ska leverera grundläggande uppgifter Den myndighet som antingen initierar åtgärder riktade mot företaget eller den till vilken företaget ansluter sig för att utföra en åtgärd av något slag En e-tjänst hos någon myndighet som i sin ärendehandläggning behöver tillgång till grundläggande uppgifter om ett företag System hos myndighet som hanterar uppgiftskrav Tjänst som sammanställer grundläggande företagsuppgifter genom att hämta dem från det allmänna företagsregistret, näringslivsregistret och skatteverkets register (samt ev. fler källor ). Den administrativa struktur som ansvarar för administrationen och funktionaliteten hos Uppgiftslämnarservice och dess komponenter (Uppgiftskravstjänsten och Uppgiftsdefinitionstjänsten) Se även ordlistan, sid. 20 f. System hos SCB som innehåller och ska leverera grundläggande uppgifter System hos som innehåller och ska leverera grundläggande under vilken systemet kan komma att placeras En extern part som vill ha tillgång till öppna data rörande uppgiftskrav De funktionella kraven har delats in i olika s.k. kravområden. Ett antal användningsfall har definierats och fördelats på kravområdena enligt översikten i avsnitt 1.5.2.2 och 1.5.2.3. Krav för ett visst kravområde definieras genom användningsfall. Varje användningsfall identifieras med ett id och ett namn. Den unika beteckningen för ett visst användningsfall byggs upp av bokstäverna ”AF” följt av ett löpnummer. Användningsfallet har en och endast en aktör som initierar användningsfallet. Användningsfallets beteckning kan också följas av bokstaven ”M” om det är ett sådant som förutsätter en åtgärd från en myndighet för att fungera. Exempel på ett sådant är ”AF42M, SCB A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 9 av 24 tillhandahåller uppgifter ur det allmänna företagsregistret”. Denna typ av användningsfall visas också för tydlighetens skull som gråfärgad text i underdokumenten och i Tabell 3 Användningsfall. 1.5.2.2 Kravområden – Översikt Figur 3 Översikt över kravområden Respektive funktionellt kravområde beskrivs mer i detalj i separata dokument. Nedan följer en beskrivning av respektive område samt en länk till respektive kravdokument. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 10 av 24 1.5.2.3 Beskrivning av kravområden Not: Det finns inget kravområde 1. Det tidigare kravområde 1, som berörde frågor om inloggning och behörighet, har utgått i samband med samordningen med . Den del av systemet i vilken företaget kan ta del av sina uppgiftskrav och de ansökningar som kan vara aktuella. ansökningar beror på ett antal urvalskriterier(företagets Området beskriver således användargränssnitt och kopplingar till andra komponenter inom systemet. Gränssnitt och informationsmodell för hantering av myndighetsinitierade respektive företagsinitierade uppgiftskrav. Området innehåller också beskrivning av applikationsgränssnitt (api) för att hämta uppgiftskrav. Krav på gränssnitt och informationsmodell för Uppgiftsdefinitioner, metadata kring grundläggande företagsuppgifter. finns också beskrivet krav på api hämtning av uppgiftsdefinitioner Hämtning av grundläggande företagsuppgifter ska ske genom en sammansatt bastjänst (SSBT). Hämtningen görs från för varje grundläggande uppgifts definierade bästa källa som kan vara SCB, Hur myndigheter kan avisera nya uppgiftskrav till företag som företaget har att utföra. Vidare beskrivs hur statusändringar på aviserade uppgiftskrav kan göras synliga för företaget. I och med att funktionaliteten i de övriga användningsfallen kommer att levereras som en del av Verksamt, och att det redan finns definiterat icke-funktionella krav för den verksamheten, har bilaga 7, som listade icke-funktionella krav, utgått. Istället hänvisas till Verksamts Icke-funktionella krav och riktlinjer, version 4.0 (inte ännu fastställd). Särskilt bör dock nämnas att den funktionella kravspecifikationen för delområde 5 (Företagsuppgifter) har en egen uppsättning icke-funktionella krav. Dessa är till största delen hänvisningar till ovanstående dokument, men med annan ansvarig part för kravens uppfyllnad. De funktionella kravområdena har brutits ned i användningsfall som beskriver krav på funktionalitet som systemet ska innehålla för att stödja aktörerna i olika händelser/situationer. Tabell 3 visar den kompletta listan med användningsfall där det också framgår till vilket kravområde användningsfallet hör. De olika användningsfallen beskrivs i ett till varje kravområde hörande dokument. Se avsnittet 1.12.1 Bilagor, sid. 24. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 11 av 24 Visa företagets grundläggande uppgifter Visa uppgiftskrav för ett företag Gå till önskad e-tjänst Visa information om hur grundläggande uppgift kan Sammanställ och presentera statistik för uppgiftskrav Visa startsida för uppgiftskrav Sammanställ och lämna uppgiftskrav Tillhandahållande av vissa uppgifter som öppna data Sammanställ och lämna uppgiftsdefinitioner Tillhandahåll grunduppgifter från underliggande Hämta grundläggande företagsuppgifter för flera företag SCB tillhandahåller uppgifter ur det allmänna tillhandahåller uppgifter ur sina register Myndighet hämtar grunduppgifter från sammansatt Tillhandahåll underlag för statistikbearbetning Samordningsorganet hämtar underlag för Avisera förändring i status för uppgiftslämningsärende I detta avsnitt ges en översikt över de menyval och länkar de aktörer som loggar in till tjänsten har tillgång till beroende på den roll de blivit tilldelade. Efter inloggning kan företrädare för företag titta på valt företags grundläggande uppgifter, få en prognos över kommande myndighetsinitierade uppgiftskrav (ej aviserade uppgiftskrav) och få en överblick över vilka företagsinitierade uppgiftskrav som företaget omfattas av, baserat på företagets, eller det blivande företagets, egenskaper (exv. företagsform, bransch etc.). A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 12 av 24 Figur 4 Användarfunktionalitet på A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 13 av 24 Uppgiftskrav skall i förlängningen administreras i Uppgiftskravstjänsten. Företrädare för en myndighet kan söka bland samtliga uppgiftskrav. För de uppgiftskrav som myndigheten äger kan företrädaren ändra innehållet. Företrädaren kan också lägga till nya uppgiftskrav och ange en giltighetstid för uppgiftskrav. Administration av myndighetens användare hanteras av en administratör på myndigheten Företrädare för serviceorganet har tillgång till samma funktioner som företrädaren för en myndighet men har behörighet att administrera alla uppgiftskrav oberoende av vilken myndighet som äger kravet. En administratör på serviceorganet har behörighet att hantera alla användare i Uppgiftskravstjänsten. Uppgiftskravstjänsten exponerar även ett API för sökning bland samtliga uppgiftskrav utifrån ett antal urvalskriterier. Detta API används av användarfunktionaliteten. Uppgiftsdefinitioner administreras i Uppgiftsdefinitionstjänsten. Företrädare för samordningsorganet kan söka bland och ändra i registrerade uppgiftsdefinitioner. Företrädaren kan också lägga till nya uppgiftsdefinitioner, ange ett sista giltighetsdatum för uppgiftsdefinitioner, samt ange prioritetsordning för vilka källor som ska användas för uppgiften.1 1 Hur modellen ser ut som styr prioritetsordningen beskrivs närmare i Bilaga 4 – Kravområde 4 – Uppgiftsdefinitioner. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 14 av 24 En administratör på serviceorganet har behörighet att hantera alla användare i A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 15 av 24 Informationsmodellen syftar till att ge en logisk bild av de informationsmängder som ska kunna hanteras i systemet och hur de förhåller sig till varandra. Informationsmodellen ska ligga till grund för realiseringen av den eller de fysiska databaser som behöver finnas i systemet. Informationsmodellen kan grupperas i tre domäner. Domänerna har ett inbördes förhållande till varandra enligt nedanstående skiss. Nedan redovisas informationsmodellen som den motsvarar kravställningen. Även om man kan betrakta den funktionella kravställningen som att det i huvudsak handlar om tre separata tjänster – Uppgiftslämnarservice, Uppgiftskrav och Uppgiftsdefinitioner - som skulle kunna byggas som separata och självständiga system, speglas informationsmodellen som en helhet. Motivet till det är att påvisa beroenden mellan informationsmängder och hur de utnyttjas. I de olika informationsobjekten redovisas en del attribut. Listan över attribut är dock inte komplett. En mer utförlig inventering och identifiering måste göras i samband med att en databasmodell skapas utifrån informationsmodellen. Modellen i Figur 8 redoviserar endast de informationsobjekt som ingår i Uppgiftslämnarservice, och måste användas med nödvändig anpassning till befintlig informationsmodell för verksamt. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 16 av 24 -orgnr/personnr -orgnr/personnr -orgnr/personnr -ändras genom uppgiftskrav 1..*1 -+ attribut i fliken Uppgiftskrav -orgnr/personnr finns för vart och ett av -orgnr/personnr Definierade Grunduppgifter (38 st) -Godkänd för F-skatt -Företagsnamn…. I bilaga 8 återfinns den grafiska bilden av informationsmodellen i sitt original. I bilagan finns också en mer detaljerad informationsmodell som speglar området Uppgiftskrav. Bilaga 9 innehåller verbala beskrivningar av varje informationsobjekt samt verbala beskrivning ar av de attribut som identifierats under arbetet med kravspecifikationen. Bilagan innehåller också en läsanvisning till den grafiska modellen. Bilaga 10 är ett underlag för effekt- och projektanalys. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 17 av 24 I Tabell 5 visas informationsobjekt klassificerade enligt MSB:s klassificeringsmodell.2 Modellen, med en förklaring av ingående informationsvärden, beskrivs kortfattat i avsnitt 1.11, sid. 22f. Varje informationsobjekt kan relateras till en säkerhetsaspekt som i sin tur kan ges en konsekvensnivå. Det finns tre olika säkerhetsaspekter: Varje säkerhetsaspekt ges en konsekvensnivå enligt följande: Varje konsekvensnivå har getts en vikt som framgår av Tabell 4. Med användande av dessa vikter har varje informationsobjekt tilldelats ett informationsvärde. Tabell 4 Använda vikter för konsekvensnivåer 2 MSB, Modell för klassificering av information. Rekommendationer, Version 1.0, MSB 0040-09 A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 18 av 24 uppgifter från SCB, 1.9.3.1 Konsekvenssumma och konsekvensprodukt För varje informationsobjekt har en konsekvenssumma (summan av vikterna för resp. konsekvensnivå) och en konsekvensprodukt (produkten av vikterna för resp. konsekvensnivå) beräknats, med vikter satta enligt Tabell 4. Den primära anledningen att beräkna dessa två värden är att få en uppfattning om varje informationsobjekts informationsvärde i relation till övriga informationsobjekt. Valet av vikter resp. huruvida man vill åberopa ”konsekvenssumma” eller ”konsekvensprodukt” avgör i högsta grad de olika informationsobjektens relativa informationsvärde. 1.9.3.2 Slutsatser av klassificeringen Av tabellen framgår att oavsett om man använder måttet ”Konsekvenssumma” eller ”Konsekvensprodukt” så är informationsobjektet ”Aviseringar” det som av utredningen getts det högsta informationsvärdet. Anledningen till detta är att det i den avisering som i utredningens A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 19 av 24 modell skickas ut från olika myndigheter med uppmaningar till företagen att fullgöra sina myndighetsinitierade krav, finns information som kan innehålla bl.a. personuppgifter, sekretessbelagda uppgifter och känsliga eller andra skyddsvärda uppgifter. De grundläggande uppgifterna från SCB, och har bedömts ha ett något lägre informationsvärde, bl.a. med motiveringen att det till största delen rör sig om offentliga uppgifter som Uppgiftslämnarservice efterfrågar från myndigheterna. Konsekvensnivån för uppgifternas konfidentialitet har alltså bedömts som ”Måttlig”, medan konsekvensnivån för riktighet respektive tillgänglighet har bedömts som ”Betydande”. Uppgifterna om Statistik har getts det lägsta informationsvärdet, beroende på att det endast rör sig om användningsdata för webbtjänsten i aggregerad och avidentifierad form. A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 20 av 24 Ordlistan samlar och försöker förklara begrepp som används inom det verksamhetsområde som systemet hanterar. Termerna i Tabell 6 ska användas med nödvändig anpassning till befintliga definierade termer för verksamt. Ett API eller application programming interface är en regeluppsättning för hur en viss programvara kan kommunicera med Regeluppsättningen beskrivs i princip alltid som en uppsättning funktionsanrop som under ordnade former ger tillgång till vissa funktioner.3 I allmänhet överförande av ett meddelande från en part till en annan. I mer specifik betydelse när en uppgiftsinsamlande myndighet skickar meddelande till Uppgiftslämnarservice att ett visst företag antingen är skyldigt att uppfylla ett visst uppgiftskrav, eller att uppgifterna enligt kravet har lämnats. System eller databaser hos myndighet som har grundläggande företagsuppgift som ska levereras till Uppgiftslämnarservice. En fysisk eller juridisk person som bedriver eller avser att bedriva näringsverksamhet i (se vidare s 196 i SOU 2013:80 samt avsnitt 6.2 i Dnr /4) En person som har behörighet att företräda ett eller flera företag. Ett uppgiftskrav som ett företag tar initiativet till att inleda ett Det rör sig vanligen om ansökningar, anmälningar om att företaget har utfört eller planerar en viss åtgärd, och Uppgifter om ett företag som regelmässigt eller ofta efterfrågas av företag (GU) myndigheterna när ett uppgiftskravs ska fullgörs och som kan hanteras inom ramen för Uppgiftslämnarservice (grundar sig i huvudsak på de 38 grundläggande uppgifter som identifierades i kartläggning 2012). Ett uppgiftskrav som initieras av en myndighet. Det rör sig vanligen om kalenderbundna tidpunkter då vissa uppgifter ska rapporteras in till myndigheten, med skattedeklaration som ett typexempel. Myndigheten ska skicka en avisering till Uppgiftslämnarservice inför att tidpunkten infaller. En uppgift vars semantiska betydelse är identisk med, eller tillräckligt lik, en annan uppgift för att uppgifterna ska kunna användas för Två uppgifter är inte nödvändigtvis samma bara för A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 21 av 24 att samma beteckning eller term används för dem. uppgiften ”antal anställda” ha olika semantisk betydelse i olika sammanhang, beroende på om man avser antalet fysiska personer som har en viss arbetsgivare, eller antalet årsarbetskrafter inom en Den administrativa struktur som ansvarar för administrationen och funktionaliteten hos Uppgiftslämnarservice. Denna struktur kan i praktiken vara placerad på flera olika myndigheter, exv. kan en del som hanterar användaradministration för hantering av uppgiftskravsregistret placeras på en viss myndighet, och en del som ansvarar för den direkta driften på en annan Om beslut med den innebörden skulle tas, kan Samordningsorganet ha sin placering på en enda myndighet. En bastjänst för information som hämtar informationen från flera En benämning på den funktionalitet som i det föreliggande förslaget finns samlad i verksamt under beteckningen ”Uppgiftslämnarservice”. Se vidare nedan. Kommunikation mellan två eller flera datorsystem som sker elektroniskt och automatiserat i syfte att utföra någon form av ärendehandläggning eller annan uppgift. Det kan vara fråga om att ett system hämtar uppgifter från ett annat, eller att ett system anropar ett annat med information för att inleda någon Ett enskilt informationselement, som vanligen förekommer som en del av flera i ett uppgiftskrav. Exempelvis ”Kontakttelefonnummer”, ”Företagsform” eller ’Är momsregistrerad’ Ett register över definitioner av enskilda företagsuppgifter som bedöms ha möjlighet att återanvändas av fler än en enskild Se även under ”Samma eller liknande uppgift” Ett författningsbaserat krav på företag att lämna uppgifter till någon Ett typiskt uppgiftskrav omfattar många olika uppgifter, som kan delas upp bl.a. kontaktuppgifter och Det register över uppgiftskrav som myndigheterna ska vara skyldiga Tjänster inom verksamt som utgör en samlad ingång för företag att se grundläggande företagsuppgifter samt slussas vidare till relevanta Tabell 6 Ordlista: Beskrivning och förklaring av viktiga begrepp A - Kravspecifikation - V 3.0 A - Kravspecifikation - Sida 22 av 24 1.11 MSB:s modell för klassificering av information4 Klassificeringsmodellen omfattar de tre informationssäkerhetsaspekterna konfidentialitet, riktighet och tillgänglighet. Beskrivning enligt SIS 550 Skyddsmål att innehållet i informationsobjekt (eller ibland dess existens) inte får göras tillgängligt eller avslöjas för obehöriga Skyddsmål att information inte förändras, vare sig obehörigen, av misstag eller på grund av funktionsstörning Skyddsmål där informationstillgångar skall kunna utnyttjas i förväntad utsträckning och inom önskad tid Tabell 7 MSB: Säkerhetsaspekter I denna modell anges informationens värde genom att relatera den till konsekvensen som förlust av, otillåten spridning av eller annan skada på informationen, leder till. Varje säkerhetsaspekt (konfidentialitet, riktighet, tillgänglighet) är i modellen värderad i en av tre nivåer av sådana konsekvenser: måttlig, betydande respektive allvarlig nivå. 1.11.3 Klassificeringsmodellen i matrisform Information där förlust av Information där förlust av Information där förlust av allvarlig/katastrofal negativ allvarlig/katastrofal negativ påverkan på egen eller annan påverkan på egen eller annan negativ påverkan på egen tillgångar, eller på enskild tillgångar, eller på enskild och dess tillgångar, eller på Information där förlust av Information där förlust av Information där förlust av