prop · H70382 · 2020-02-11 00:00:00 — Vad gäller resultaten har i avsnitt 3.5 och 4.2 valt att redovisa universiteten separat på grund av att de skiljer sig åt jämfört med övriga myndigheter.41 Universiteten kan sägas ha två it-miljöer. En utgörs av den it som används inom forskningen och som hanteras av forskarna själva. Den är ofta experimentell och ingår som en del av själva forskningen och därmed passar den heller inte in i en traditionell it-styrning med målarkitektur eller liknande. Den andra it-miljön hos universiteten är mer ”administrativ” till sin natur och liknar övriga myndigheters it-miljö. Utifrån detta är det svårt att fullt ut jämföra resultaten med andra myndigheter och har därför valt att redovisa universiteten separat. Myndigheternas svar på enkäten har även jämförts med de uppgifter som ESV har samlat in avseende myndigheternas it-kostnader och myndigheternas digitala mognad för att åstadkomma ytterligare djup i analysen. 1.4.3 Frågeformulär och intervjuer på Det tredje och sista momentet har omfattat regeringens styrning. För att undersöka vilken kunskap regeringen och har kring förekomsten av föråldrade it-system i statsförvaltningen och vilka åtgärder man eventuellt har vidtagit har skickat ett frågeformulär till . Frågeformuläret skickades till de departement som ansvarar för de myndigheter som ingick i enkätutskicket. Departementen har besvarat frågor gällande 63 av myndigheterna och 64 av myndigheterna har besvarat enkäten. Totalt ingår 63 myndigheter i grundpopulationen. ingår inte då frågor om myndigheten inte ingick i utskicket till . har delat upp myndigheterna i sex olika kategorier. Regeringens agerande har även granskats genom dokumentstudier och intervjuer. De skriftliga underlag som innefattas i granskningen kopplat till regeringens styrning har varit propositioner, utredningsdirektiv, regeringsuppdrag, regleringsbrev, departementspromemorior och rapporter. 41I övriga avsnitt ingår universiteten i den redovisning som görs. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G 2 Förekomsten av föråldrade it-system Kapitel två beskriver förekomsten av föråldrade it-system samt problem som typiskt sett är förknippade med sådana it-system. Kapitlet beskriver också vilka risker som är förenade med föråldrade it-system för den enskilda myndigheten såväl som för statsförvaltningen i stort. De iakttagelser som beskrivs i kapitlet svarar mot första delen av granskningens syfte. 2.1Effektivitetsperspektivet på föråldrade it-system Att i dagens samhälle bedriva en verksamhet utan någon form av it-stöd är förmodligen knappast möjligt. De uppskattningar som har gjorts tyder på att statens it-kostnader uppgick till någonstans mellan 25 och 30 miljarder42 och it har därmed även ur ett budgetperspektiv stor betydelse. Många äldre it-system är byggda utifrån tanken att systemet ska hantera alla steg i en process, exempelvis handläggning och utbetalning av en förmån. Det innebär att systemet utformas utifrån hur processen såg ut när systemet skapades. kanske processerna förändras och därmed görs även förändringar i själva systemet. Detta skapar ett mycket komplext system. Äldre system saknar även tillräcklig dokumentation för att kunna förstå hur systemet är uppbyggt. Många system är baserade på gammalt programspråk och bygger ofta på att man måste göra batchkörningar för att uppdatera de underliggande databaserna, vilket innebär att systemet inte är tillgängligt under den tiden körningen görs. Att systemen är byggda med gammalt programspråk innebär även att det är svårt att få tag på medarbetare som har tillräcklig kompetens, och kostnaderna blir höga. Hög komplexitet och bristfällig dokumentation innebär i sin tur att förändringar i systemet kräver en ökad mängd tester som i sin tur leder till högre kostnader. Sammantaget innebär dessa faktorer att kostnaderna för att förvalta föråldrade system ökar . Komplexiteten innebär även att det blir svårare och svårare att göra förändringar i systemet, vilket i sin tur innebär att det blir svårt att tillgodose förändrade behov i kärnverksamheten. Om systemet har inbyggd verksamhetslogik43 skapar man en inlåsningseffekt utifrån hur processen såg ut när systemet byggdes och det förhindrar i sin tur verksamhetsutveckling. Föråldrade it-system innebär även risker ur ett informationssäkerhetsperspektiv. Avsaknaden av tillräcklig systemdokumentation i kombination med hög komplexitet till följd av ett stort antal förändringar och påbyggnader kan innebära att systemet beter sig på ett oönskat sätt och att man inte förstår 42Ekonomistyrningsverket, Myndigheters strategiska it-projekt, it-kostnader och mognad, , ESV 2018:30, 2018, s. 6. 43Verksamhetslogik beskriver hur olika händelser och skeden förmodas hänga samman, från mål och resurser till verksamhet och från verksamhet till prestationer och effekter. 22 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N varför så sker. Batchkörningar kan även innebära svårigheter att kontrollera och upprätthålla informationskvalitet på informationen i databaserna, exempelvis beroende på att systemet saknar verktyg för att söka och kontrollera felaktigheter. Sammantaget innebär föråldrade it-system risker kopplade till såväl hushållning som måluppfyllelse. Ökande förvaltningskostnader utan ökad nytta innebär bristande hushållning med statens resurser. Det innebär även att utrymmet för att utveckla nya innovativa lösningar som ger verksamhetsnytta minskar. Hög komplexitet och låg förändringsbarhet hos föråldrade it-system innebär även att det är svårt att åstadkomma de effekter som riksdag och regering efterfrågar utifrån en ökad digitalisering. Slutligen innebär föråldrade it-system även en risk för att man inte kan upprätthålla en nödvändig nivå avseende informationssäkerhet. I enkätutskicket ställde frågan om hur många verksamhetskritiska it-system som finns i respektive myndighets kärnverksamhet. Ett verksamhetskritiskt system definierades som ett it-system som är avgörande för att verksamheten ska fungera.44 Antalet verksamhetskritiska system varierar från 2 till 800 med ett medelvärde på 47 och en median på 11,5. Av myndigheternas svar framgår att ett fåtal stora myndigheter har en stor mängd system som påverkar medelvärdet. Medianvärdet speglar därmed bättre verkligheten för de flesta myndigheterna. Det vanliga verkar alltså vara att man har 10–12 verksamhetskritiska it-system. 44Någon mer utförlig definition lämnades inte vilket också till viss del avspeglade sig i myndigheternas svar. Ett talande svar från en av myndigheterna är följande: ”Om vi med system menar större komponent som redigerar information och sannolikt har ett grafiskt gränssnitt där verksamheten kan utföra sitt arbete så blir det cirka 10 stycken. Ser vi mer till den totala miljön så handlar det om plus 100 komponenter och plus 300 integrationer.” Flera myndigheter har framfört att det går att problematisera kring såväl it-system, verksamhetskritiskt som kärnverksamhet. är medveten om det men så är det i grunden varje enskild myndighet som måste bestämma vad man anser vara ett it-system och vad som bör anses vara verksamhetskritiskt. har heller inte lyckats finna någon entydig och allmänt vedertagen definition på vad som faktiskt utgör ett it-system. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G 2.3Förekomsten av föråldrade it-system Under den inledande fasen av granskningen ställde ett antal frågor till de 64 myndigheter som berörs av granskningen för att undersöka omfattningen av föråldrade system. Två av frågorna var: •Finns det i verksamheten föråldrade/utdaterade system som är i drift? •Har myndigheten avvecklat och ersatt ett föråldrat/utdaterat system? Av de 63 svar som inkom svarade (45 stycken) att det fanns föråldrade system i drift hos myndigheten. (8 stycken) svarade att man inte hade något föråldrat/utdaterat it-system men att man hade avvecklat ett föråldrat/utdaterat system . Hanteringen av föråldrade it-system är därmed en realitet för närmare åtta av tio myndigheter. I frågan definierades ett föråldrat/utdaterat system som ett verksamhetskritiskt system/applikation som inte uppfyller verksamhetens krav på vad systemet skulle behöva prestera i verksamheten.45 I svaren har myndigheterna därmed gjort en värdering av system och hur väl det presterar utifrån kärnverksamhetens behov. Svaren ger dock ingen ledning kring vilka de faktiska problemen är eller hur allvarliga de är. Det kan vara fullt rimligt att inte byta ut ett system även om det inte fyller alla behov verksamheten har. Ett sådant beslut kräver dock god inblick i vad systemet presterar och en uppfattning om vad som brukar kallas total cost of ownership, det vill säga alla kostnader som kan associeras med förvärvet, användningen och underhållet av en inköpt vara.46 Det kräver också kunskap om vilka alternativ det finns för att eventuellt ersätta med ett nytt system som på ett bättre sätt stödjer verksamhetens behov och vad det i sin tur skulle kosta. 2.4Förekomsten av problem i myndigheternas it-system I enkäten fick myndigheterna bedöma hur väl ett antal påstående stämde in med myndighetens totala it-miljö. Påståendena rörde komplexitet, it-arkitektur, integration mellan system och om problem i enskilda it-system skapar problem för hela it-miljön. 45I förfrågan som gick ut till myndigheterna användes begreppet legacysystem, vilket definierades som ett verksamhetskritiskt system/applikation som inte uppfyller organisationens krav på vad systemet skulle behöva prestera i verksamheten. Det kopplas ofta till att systemet är gammalt men kan även bero på att systemet är specialanpassat/egenutvecklat, att det saknas support eller liknande. 24 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Diagram 1 It-miljö, arkitektur och integration. Hur väl stämmer följande in på myndighetens totala it-miljö? Stämmer inte särskilt bra It-miljön är komplex på grund av ett stort antal heterogena itsystem. Myndighetens it-arkitektur är spretig. Integration mellan system är svårt/fungerar dåligt Problem i enskilda it-system skapar problem för hela it-miljön. Vad gäller myndigheternas totala it-miljö uppger över två tredjedelar (45 stycken, ) av myndigheterna att it-miljön är komplex på grund av ett stort antal heterogena it-system. Över hälften (34 stycken, ) av myndigheterna uppger också att myndighetens it-arkitektur är spretig47 och närmare en tredjedel (19 stycken, ) att integration mellan system är svårt/fungerar dåligt. Ungefär en fjärdedel av myndigheterna svarar att problem i enskilda it-system skapar problem för hela it-miljön. Svaren tyder på att mer än hälften av myndigheterna har en it-miljö som visar tecken på att kanske inte ha utvecklats under en strikt arkitekturstyrning och utifrån en myndighetsövergripande koordinering.48 Utifrån arbetet med fallstudierna samt litteraturstudier kunde ta fram en kategorisering av vanliga problem förknippade med föråldrade it-system. De problemområden som typiskt sett förekom i samband med föråldrade it-system var: •brist på tillgång till rätt kompetens som kan förvalta it-systemet •att ett it-system som tillhandahålls av en utomstående part är på väg att nå end of life •att systemdokumentationen är bristfällig (exempelvis inte uppdaterad eller saknas helt) •att kostnaderna för att förvalta it-systemet ökar •att it-systemet bygger på hårdvara/mjukvara som försvårar anpassning/förändring av systemet 47I enkäten definierades spretig som en arkitektur som strävar i flera olika riktningar till förfång för helheten. 48Se sidan 31 nedan för ett mer utvecklat resonemang kring arkitekturstyrning och koordinering. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G •att it-systemet tillhandahålls av utomstående part vilket försvårar anpassningar/förändringar utifrån verksamhetens behov •att det finns brister som gör det svårt att upprätthålla eftersträvad nivå på informationssäkerhet eller it-säkerhet. ställde sedan frågor kring hur vanligt förekommande dessa problemen kopplade till föråldrade it-system var i myndigheternas verksamhetskritiska it-system. Diagram 2 Problem kopplade till föråldrade it system. Utgör följande omständigheter problem för myndighetens verksamhetskritiska it-system? Nej inte för något system Ja för något eller några Ja för en majoritet End of life för externt tillhandahållet system Diagram 3 Problem kopplade till föråldrade it system. Utgör följande omständigheter problem för myndighetens verksamhetskritiska it-system? Nej inte för något system Ja för något eller några Ja för en majoritet Svårt att anpassa/förändra systemet It-systemet tillhandahålls av utomstående part vilket försvårar anpassningar/föränd ringar Svårigheter att hantera informations- säkerhet/it-säkerhet R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Av diagrammen framgår att samtliga sju problem förekommer för något eller några verksamhetskritiska system hos av myndigheterna. De minst förekommande problemen är de som är kopplade till att ett it-system tillhandahålls av extern part. Om man bortser från problem kopplade till it-system som tillhandahålls av utomstående part har mer än av myndigheterna problem med något eller några verksamhetskritiska it-system. Problemen är således inte koncentrerade till ett fåtal myndigheter utan förekommer i en övervägande majoritet av det totala antalet myndigheter. För mellan av myndigheterna förekommer de övriga fem problemen för en majoritet eller för samtliga av de verksamhetskritiska it-systemen. Problemen finns därmed inte bara hos en övervägande del av myndigheterna utan de förekommer även för en majoritet av de verksamhetskritiska it-systemen hos ett flertal myndigheter. 2.5Illustrativa exempel från fallstudierna Båda myndigheterna har svarat att deras it-miljö är komplex och att arkitekturen är spretig. Vad avser integration skiljer det sig åt då uppger att man inte anser att integration år svårt eller fungerar dåligt medan upplever problem eller svårigheter med integration. It-miljön på båda myndigheterna har en historik som sträcker sig årtionden tillbaka och grundar sig på ett arv från stordatormiljö och cobolsystem, ofta migrerade49 till java.50 har dock en it-miljö som är väsentligt mer omfattande än och dessutom en större bredd i sin kärnverksamhet, vilket i sig innebär en ökad komplexitet. har å sin sida en it-miljö med starka beroenden och kopplingar till it-miljö då flera system både försörjer system med information och i sin tur hämtar information från system. Det är svårt att säga varför de två myndigheterna skiljer sig åt i synen på integration men en möjlig förklaring kan vara just omfattningen av it-miljön. En annan tänkbar förklaring kan vara att har flera starka avdelningar med olika inriktning inom myndigheten medan i högre utsträckning har ”en kärnverksamhet”. De system som har undersökts inom ramen för fallstudierna är, bortsett från i huvudsak monoliter51 och innehåller en stor mängd verksamhetslogik, det vill 49Att flytta över program, data eller hårdvara till någon annan tillämpning eller till någon annan plattform. 50Pensionsmyndigheten är en relativt nybildad myndighet men en stor del av it-miljön är en ”avknoppning” från . Java är ett programspråk för att skapa datorprogram. 51Med monolit avses en applikation som har all funktionalitet i en och samma modul. En monolitisk applikation har oftast användargränssnitt, databasaccess, lätta och tunga funktioner (avkodning/beräkningar) etcetera i samma applikation. Motsatsen till en monolitisk arkitektur är en mikroservicearkitektur. Microservices (MSA) en variant av (Service-oriented Architecture) som bygger upp en applikation av löst kopplade tjänster. Det vill säga att en applikation är uppdelad i mindre delar där varje del har en specifik funktion i applikationen. Applikationen är därmed modulär till skillnad från en monolitisk. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G säga system är konstruerade som ett stort system som ska hantera allting och systemet är utformat och designat för att passa en viss specifik verksamhetsprocess. Av de utpekade problemen ovan förekommer alla i varierande omfattning i systemen hos . Flera system är gamla och dokumentationen kring system är bristfällig. Det innebär i sin tur att det tar att lära sig hur systemet fungerar och därmed skapas kritiska personberoenden. Sättet på vilket systemen är byggda innebär att det är svårt att anpassa och förändra systemen och det innebär också att det är svårt att upprätthålla informationskvalitet. Motsvarande gäller även för och . Systemets konstruktion och komplexitet innebär att man inte riktigt vet vad som händer när man gör förändringar Komplexiteten innebär i sin tur att varje förändring kräver en oproportionerligt stor mängd tester. Systemen kan sägas ”tuffa på” utifrån hur de ursprungligen var tänkta att fungera men de är i praktiken mycket svåra att anpassa till en föränderlig verksamhet. Utifrån syftet med granskningen kan konstatera att det förekommer en stor mängd föråldrade it-system hos ett stort antal myndigheter. De problem som normalt förknippas med föråldrade it-system förekommer även för en stor mängd system hos ifrågavarande myndigheter. Även om det tidigare fanns anledning att anta att det fanns föråldrade it-system i statsförvaltningen så är de resultat som framkommit i granskningen kring omfattning och utbredning i huvudsak ny kunskap. Det väcker i sin tur frågan kring vilken risk fenomenet innebär för den enskilda myndighetens verksamhet såväl som för statsförvaltningen som helhet. 28 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N 3 Styrningen av myndigheternas it-miljö Kapitel tre beskriver den empiri som har samlat in med avseende på granskningens första revisionsfråga. Kapitlet är indelat i fem avsnitt och inleds med tre avsnitt som kopplar till granskningens tre huvudsakliga bedömningsnormer avseende myndigheterna. Därefter följer ett avsnitt som berör konsekvenserna av föråldrade it-system och avslutningsvis finns ett avsnitt som beskriver vilka övergripande mönster man kan se utifrån den insamlade empirin. Den empiri som beskrivs i kapitlet utgörs av enkätundersökningen, fallstudierna, de strategiska dokument som begärt in, de grunddata i form av nyckeltal som ESV samlat in under it-kostnadsuppdraget samt ett antal frågor som tillsänt samtliga myndigheter som besvarat enkäten. 3.1Myndigheternas uppfattning om it-stödets roll En granskning av hanteringen av föråldrade it-system behöver ta hänsyn till den omkringliggande kontexten, det vill säga myndighetens totala it-miljö, för att man ska kunna göra en rättvisande bedömning. Det innebär att granskningen måste innefatta den övergripande styrningen och förvaltningen av myndighetens hela it-miljö. För att myndigheten ska kunna skaffa sig en uppfattning om hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse behöver man ett antal verktyg till sitt förfogande. Exempel på sådana vedertagna verktyg är digitaliseringsstrategi, verksamhetsarkitektur, stadsplan och målarkitektur.52 har därför ställt ett antal frågor kring huruvida myndigheterna har sådana verktyg till sitt förfogande. Resultatet beskrivs under respektive rubrik nedan. Avsnittets iakttagelser hänför sig till den första bedömningsnormen (se avsnitt 1.3). Digitalisering handlar om mer än bara teknik och bör snarare ses som verksamhetsutveckling med stöd av digitala verktyg. har tidigare framfört att digitaliseringen måste kombineras med institutionella förändringar för att potentialen i de digitala tjänsterna ska kunna nyttjas på bästa sätt.53 En digital strategi används för att dels definiera vad digitalisering innebär för den specifika verksamheten, dels beskriva hur verksamheten kan använda digitalisering för att bli mer effektiv och i vissa fall mer konkurrenskraftig.54 52Se exempelvis Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014. 53Riksrevisionen, Den offentliga förvaltningens digitalisering– En enklare, öppnare och effektivare förvaltning?, RiR 2016:14, , 2016, s. 13. 54Riksrevisionen, Den offentliga förvaltningens digitalisering– En enklare, öppnare och effektivare förvaltning?, RiR 2016:14, , 2016, s. 30. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G har därför ställt ett antal frågor som rör myndigheternas eventuella digitaliseringsstrategier. Diagram 4 Hur har myndigheten hanterat sina digitaliseringsfrågor? i något dokument alls. Myndigheten har inte någon separat strategi men frågorna hanteras i andra styrande dokument. Bara i en separat digitaliseringsstrategi. Både i en separat digitaliseringsstrategi såväl som integrerat i andra utgår från att ett lämpligt tillvägagångssätt är att myndigheterna hanterar digitaliseringsfrågor i såväl en separat strategi som integrerat i andra styrande dokument. Man kan anföra att digitalisering är verksamhetsutveckling och att en framgångsfaktor därmed skulle vara att inte ha en separat strategi bara för digitalisering utan att i stället hantera digitalisering integrerat med övrig verksamhetsutveckling. Det är säkert en rimlig slutsats för en organisation med hög digital mognad, men anser att det finns ett värde med att även ta fram en separat strategi för att peka ut en riktning i organisationer med en lägre digital mognad.55 Av diagrammet framgår att i stort sett alla myndigheter säger sig hantera digitalisering i styrande dokument, men mer än hälften av myndigheterna saknar en separat digitaliseringsstrategi. ställde även frågor om huruvida myndigheterna hade beaktat regeringens digitaliseringsstrategi och om myndigheterna hade brutit ner strategin i konkreta åtgärder för att uppnå målen med strategin. Av de myndigheter som besvarade frågorna hade (34 stycken) beaktat regeringens strategi och (27 stycken) hade brutit ner strategin i konkreta åtgärder. Som en avslutande fråga kopplad till digitaliseringsstrategi ombads myndigheterna att uppge om man ansåg sig ha tillräckliga förutsättningar att leva upp till de krav som följer av regeringen digitaliseringsstrategi. 55Se även , J., , M. W., Kronblad, C., Digitalisering − mer än teknik, Kartläggning av svensk forskning och näringslivets behov, , , 2018, s. 9. 30 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Av svaren framgår att av myndigheterna bedömer att de saknar tillräckliga förutsättningar för att leva upp till de krav som följer av regeringens digitaliseringsstrategi. Myndigheterna fick möjlighet att lämna fritextsvar med förtydliganden kring vilka hinder man upplever och då angavs bland annat resurser/finansiering, lagstiftning och juridiska förutsättningar, föråldrad teknik som skapar tekniska problem och avsaknad av en nationell digital infrastruktur som skapar bättre nationell standard/ramverk så offentliga aktörer och privata kan skapa bättre e-tjänster som går sömlöst mellan olika aktörer i ett ekosystem som svårigheter. De bristande förutsättningarna utgörs av en blandning av institutionella förutsättningar som myndigheterna inte själva råder över och egna interna tillkortakommanden. 3.1.2Verksamhetsarkitektur, stadsplan, målarkitektur och informationsklassning It kräver, precis som vilken annan del av verksamheten som helst, styrning för att säkerställa att man producerar det bästa möjliga it-stödet utifrån de resurser som finns tillgängliga.