bet · H701FiU35 · 2020-03-30 00:00:00 — om risker med föråldrade it-system i statsförvaltningen Utskottet instämmer i bedömningen att föråldrade it-system kan påverka myn-digheters verksamhetsutveckling, försvåra digitalisering och medföra risker ur ett informationssäkerhetsperspektiv. Utskottet utgår från att rekommendationer kommer att beaktas av regeringen och myndigheterna i den fortsatta digitaliseringen av statsförvaltningen. Utskottet föreslår att lägger skrivelsen till handlingarna. Skrivelse 2019/20:82 om föråldrade it-system i statsförvaltningen. Utskottets förslag till riksdagsbeslut Bilaga Förteckning över behandlade förslag Utskottets förslag till riksdagsbeslut lägger skrivelse 2019/20:82 till handlingarna. Följande ledamöter har deltagit i beslutet: (S), (M), (M), (C), (V), (M), (KD), (L), (SD), (MP), (S), (S), (M), (S) och (S). I regeringens skrivelse 2019/20:82 om föråldrade it-system i statsförvaltningen behandlas 2019:28 Föråldrade it-system – hinder för en effektiv digitalisering. överlämnade till regeringen. informerade riksrevisor med med-arbetare finansutskottet om den aktuella granskningsrapporten. Regeringen lämnade sin svarsskrivelse till granskningsrapporten . Inga följdmotioner har väckts med anledning av skrivelsen. Utskottets förslag i korthet lägger skrivelsen till handlingarna. Alla myndigheter och andra organisationer som inte är direkt nyetablerade har sannolikt en it-miljö som har utvecklats och som till stor del består av s.k. ärvda system, dvs. system som har anskaffats med skilda syften under olika epoker. Många av dessa system är fortfarande mer eller mindre oproblematiska; de levererar god nytta i verksamheten samt kan användas, underhållas och vidareutvecklas på ett relativt effektivt och säkert sätt. Andra ärvda system är av olika skäl föråldrade eller utdaterade och uppfyller inte organisationens krav eller behov. Förekomsten av föråldrade system kan påverka både digitaliseringstakten och informationssäkerheten. har beslutat om målsättningen att ska vara bäst i världen på att använda digitaliseringens möjligheter. har regeringen pekat på vikten av tydligt statligt ledarskap i förändring och fortlöpande analys av digital mognad och behov av åtgärder. Regeringen har även uttryckt att informations- och cybersäkerhetsarbete är en nödvändig verksamhet för att värna kvaliteten och effektiviteten i samhällets funktioner och en förutsättning för att digitaliseringens möjligheter ska kunna tas till vara. har granskat förekomsten av föråldrade it-system hos ett drygt 60-tal större myndigheter. Syftet med granskningen har varit att undersöka förekomsten av föråldrade it-system i statsförvaltningen samt om myndigheterna och regeringen har vidtagit tillräckliga åtgärder för att dessa system inte ska utgöra ett hinder för en effektiv digitalisering. Granskningens frågeställningar/revisionsfrågor är: • Har myndigheterna vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system? • Har regeringen vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system? Med att vidta tillräckliga åtgärder avser åtgärder som syftar till att förebygga att systemen blir föråldrade såväl som åtgärder som vidtas för att reducera eller undanröja problem kopplade till att it-system har blivit föråldrade. Granskningens resultat och rekommendationer granskning visar att det förekommer föråldrade it-system hos ett stort antal myndigheter. Hos många myndigheter är dessutom ett eller flera verksamhetskritiska it-system föråldrade. slutsats är att en stor del av de undersökta myndigheterna inte arbetar på rätt sätt med utveckling och förvaltning av it-stödet. De använd-er inte de verktyg för verksamhetsutveckling som finns för att skapa sig en uppfattning om hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse på bästa sätt och hur förändringar påverkar verksamhetens mål och ett framtida önskvärt läge. En majoritet av de undersökta myndigheterna saknar en beslutad modell för att hantera och fatta beslut om it-system från det att ett system utvecklas till dess att det avvecklas, det som brukar kallas livscykelhantering. Myndigheterna är bäst på att utvärdera tekniken i systemen, snarare än att analysera sina övergripande behov. Det finns också brister i arbetet med att återkommande genomföra riskanalyser av verksamhetskritiska system samt att ta fram detaljerade uppgifter om it-kostnader. drar slutsatsen att det är svårt att göra meningsfulla utvärderingar av it-stödets ändamålsenlighet utan återkommande riskanalyser och detaljerade uppgifter om kostnaderna. Granskningen visar att en majoritet av de undersökta myndigheterna saknar livscykelplaner för annat än något eller några verksamhetskritiska system. Av de myndigheter som har tagit fram livscykelplaner bedömer en majoritet att planerna inte är tillfredsställande för mer än några enstaka system eller inga alls. Det innebär enligt att myndigheterna överlag inte kan anses ha gjort medvetna och uttryckliga ställningstaganden kring sina it-system. gör även bedömningen att de ansvariga departementen och därmed regeringen saknar tillräcklig kunskap om såväl förekomsten som konsekvenserna av föråldrade it-system. Även om ansvaret för utformningen av myndigheternas it-miljö och it-system enligt den svenska förvaltnings-modellen ligger på myndigheterna själva konstaterar att problem i enskilda it-system kan få förvaltningsövergripande konsekvenser och mycket stor påverkan på det fortsatta digitaliseringsarbetet. Utifrån förekomsten av föråldrade it-system hos de granskade myndigheterna, regeringens bristande kunskap och och regeringens ambitiösa mål för digitaliseringen anser att regeringen bör säkerställa att man har kunskap om hur myndigheterna hanterar problemen med föråldrade it-system. Utan sådan kunskap försvåras regeringens möjligheter att styra på en övergripande nivå. Regeringen bör även överväga att tillhandahålla gemensamma verktyg eller modeller för att underlätta myndigheternas arbete. Ett gemensamt arbetssätt, inklusive gemensamma sätt att jämföra myndig-heterna med varandra, gör det möjligt för regeringen att försäkra sig om att digitaliseringen av statsförvaltningen är effektiv och om hur regerings-styrningen ska utformas. bedömning är att regeringen inte kan anses ha vidtagit tillräckliga åtgärder för att säkerställa att problemen med föråldrade it-system har reducerats eller undanröjts. riktar följande rekommendationer till myndigheterna: • Myndigheterna bör ta fram och använda de verktyg som behövs för att bedöma hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse. • Myndigheterna bör ha en process för att löpande utvärdera hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse. • Myndigheterna bör utifrån en sådan process göra uttryckliga och medvetna ställningstaganden kring sin it-miljö och behovet av eventuella åtgärder. riktar följande rekommendationer till regeringen: • Regeringen bör överväga att ta fram ett stöd för myndigheterna för att underlätta för dem att arbeta effektivt med problemen med föråldrade it-system och den fortsatta digitaliseringen. • Regeringen bör ge aktörer i uppdrag att följa och utvärdera frågor kopplade till föråldrade it-system i statsförvaltningen för att säkerställa löpande kunskap om myndigheternas förutsättningar och situation. Regeringens bedömning av iakttagelser Regeringen välkomnar granskning och noterar att Riksrevi-sionen har funnit att det finns föråldrade it-system hos ett stort antal myndig-heter, och att ett flertal av dessa system är av verksamhetskritisk karaktär. Regeringen instämmer i bedömning att föråldrade it-system påverkar myndigheternas verksamhetsutveckling och försvårar fortsatt digita-lisering. Det riskerar att tränga undan innovationsförmåga och kan medföra stora risker ur ett informationssäkerhetsperspektiv. Regeringen delar dock inte bedömning att regeringen har varit omedveten om den aggregerade risk som föråldrade it-system utgör för statsförvaltningen som helhet. Regeringens åtgärder med anledning av iakttagelser Enligt regeringens bedömning har åtgärder vidtagits och ett systematiskt arbete bedrivits för att följa upp och hantera flera av de risker som pekar på. Styrning av den statliga förvaltningens digitalisering Genom att inrätta Myndigheten för digital förvaltning (Digg) 2018 förbättrade regeringen de långsiktiga förutsättningarna för en effektiv styrning och samordning av offentliga digitala system och insatser. Myndigheten har i uppgift att samordna och stödja den förvaltningsgemensamma digitaliseringen i syfte att göra den offentliga förvaltningen mer effektiv och ändamålsenlig. Myndigheten har även i uppgift att följa och analysera utvecklingen inom sitt verksamhetsområde och bistå regeringen med underlag för utvecklingen av den offentliga förvaltningen. Myndigheten är dock förhållandevis ny, och det är ännu för tidigt att bedöma de långsiktiga effekterna av myndighetens arbete. På en mer övergripande nivå har regeringen vidtagit åtgärder bl.a. för att komma till rätta med brister i myndigheternas möjligheter att utbyta informa-tion mellan system. I ett regeringsuppdrag som rapporterades lämnade sju myndigheter förslag till ett antal åtgärder för ett säkert och effektivt elektroniskt informationsutbyte inom den offentliga sektorn (dnr Fi2018/02150/DF, FI2018/03037/DF och I2019/01061/DF). fattade regeringen beslut om att gå vidare med de åtgärder som myndigheterna hade föreslagit och uppdrog åt myndigheterna att etablera en förvaltningsgemensam digital infrastruktur för informationsutbyte (dnr I2019/03306/DF). Regeringen har även vidtagit åtgärder för att öka tillgängliggörandet av öppna data, bl.a. i form av ett regeringsuppdrag till Digg (Dnr I2019/01416/DF). Regeringen har vidare fattat beslut om att tillsätta en särskild utredare med uppdrag att kartlägga och analysera statliga myndigheters behov av säker och kostnadseffektiv it-drift samt hur dessa behov tillgodoses (dir. 2019:64). Utöver dessa övergripande insatser har regeringen vidtagit flera sektors- och myndighetsspecifika åtgärder som syftar till att öka säkerheten och effektiviteten i myndigheternas digitala service, vilket indirekt ställer krav på anpassning av föråldrade it-system. Några exempel på sådana åtgärder är arbetet med Vision e-hälsa 2025, digitaliseringen av samhällsbyggnadsproces-sen samt rättsväsendets informationsförsörjning och det råd för digitalisering av rättsväsendet som kommer att inrättas enligt förord-ningen (2019:1283) om rättsväsendets digitalisering. Regeringen har vidtagit åtgärder i syfte att åstadkomma en bättre uppföljning och utvärdering av myndigheternas digitalisering. () har på uppdrag av regeringen följt myndigheternas it-kostnader och hur mycket resurser respektive myndighet lägger på att förvalta befintliga system i förhållande till att utveckla nya (dnr N2015/738/ITP och N2016/01642/EF). Dessutom har ESV följt strategiska it-projekt hos flera myndigheter. Ansvaret för den fortsatta uppföljningen av digitaliseringen av den offentliga förvaltningen ligger numera på Digg. Regeringen har vidare i regleringsbrevet uppdragit åt Digg att lämna en samlad analys och bedömning av digitaliseringen i den offentliga förvaltningen. Ett mål för regeringens nationella strategi för samhällets informations- och cybersäkerhet (skr. 2016717:213) är att statliga myndigheter ska ha kännedom om hot och risker, ta ansvar för sin informationssäkerhet och bedriva ett systematiskt informationssäkerhetsarbete. Att hantera eventuella risker och brister till följd av föråldrade it-system ingår i detta. För att bättre följa upp utvecklingen inom statsförvaltningen uppdrog regeringen åt Myndigheten för samhällsskydd och beredskap att ta fram en struktur för uppföljning av det systematiska informationssäkerhetsarbetet inom den offentliga förvaltningen (dnr Ju2019/03058/SSK). Regeringen anför vidare att den löpande utvecklar myndighetsstyrningen och uppföljningen på digitaliserings- och informationssäkerhetsområdet. Regeringen har bl.a. tagit initiativ till fler och tydligare dialoger med myndigheterna, och fler myndigheter har fått återrapporteringskrav kopplade till frågeställningarna i regleringsbreven. Återrapporteringen från myndig-heterna har bl.a. följts upp inom ramen för de årliga myndighetsdialogerna. Regeringen anför i skrivelsen att den arbetar med att systematiskt höja den digitala mognaden inom statsförvaltningen. Det sker bl.a. genom olika former av stöd och ramverk till myndigheterna, vilka redovisas i svarsskrivelsen. Utskottet instämmer i bedömningen att föråldrade it-system kan påverka myndigheters verksamhetsutveckling, försvåra digitalisering och medföra risker ur ett informationssäkerhetsperspektiv. Utskottet välkomnar Riks-revisionens granskning av förekomsten av föråldrade it-system samt vilka åtgärder som har vidtagits av regeringen och myndigheterna för att lösa de problem som är kopplade till sådana system. Regeringen redovisar i skrivelsen åtgärder som har vidtagits för att utveckla den statliga förvaltningens digitalisering och funktion. Utskottet utgår från att rekommendationer kommer att beaktas av regeringen och myndigheterna i den fortsatta digitaliseringen av statsförvaltningen. Därmed föreslår utskottet att lägger regeringens skrivelse till handlingarna. Förteckning över behandlade förslag Regeringens skrivelse 2019/20:82 om föråldrade it-system i statsförvaltningen.