prop · H70382 · 2020-02-11 00:00:00 — I expertgruppens slutrapport (SOU 2018:72) lyftes frågan om myndigheternas tekniska skulder och konsekvenserna av dessa. Av rapporten framgår också att många myndigheter är väl medvetna om problematiken med teknisk skuld och att de arbetar strategiskt med översyn av myndighetens plattformar och arkitektur. har Myndigheten för digital förvaltning ansvar för expertgruppen för digitala investeringar och ska ge stöd till den offentliga förvaltningen vid digitala investeringar av större eller strategisk karaktär. Inom informations- och cybersäkerhetsområdet har regeringen även vidtagit åtgärder för att öka stödet till myndigheternas systematiska informationssäkerhetsarbete. uppdrog regeringen åt MSB att genomföra riktade utbildningsinsatser till statliga myndigheter, kommuner och landsting för att höja nivån på informationssäkerhetsarbetet i offentlig sektor (dnr Ju2019/03057/SSK). MSB ska även vid behov särskilt utveckla stöd till mindre myndigheter. Uppdraget ska slutredovisas . Uppdraget bygger vidare på ett tidigare uppdrag till MSB att uppdatera och vidareutveckla det metodstöd på informationssäkerhetsområdet som är riktat mot kommuner samt att genomföra riktade utbildningsinsatser mot kommuner, landsting och länsstyrelser (dnr Ju2018/02265/SSK). Även inom ramen för myndigheternas frivilliga samverkan har flera stödinsatser genomförts. eSamverkansprogrammet (eSam), där 25 myndigheter och Kommuner och Regioner ingår som medlemmar, har tagit fram flera vägledningar avseende digital samverkan och verksamhetsutveckling ur både tekniska, organisatoriska, säkerhetsmässiga och juridiska perspektiv. Vidare har eSam tagit fram ett svenskt ramverk för digital samverkan, som bygger på Europeiska kommissionens interoperabilitetsramverk (European Interoperability Framework – EIF). innehåller flera principer och rekommendationer som vid tillämpning får både direkt och indirekt effekt på myndigheternas förmåga att hantera utmaningar med föråldrade it-system. kommer att överlämnas till Myndigheten för digital förvaltning för förvaltning och vidareutveckling. finns även en vägledning i nyttorealisering som ursprungligen tagits fram inom e-delegationen. Vägledningen innehåller ett ramverk och en verktygslåda för organisationer att utgå ifrån vid införande eller vidareutveckling av arbetet med nyttorealisering, i syfte att säkerställa att de it-investeringar som myndigheterna gör är effektiva och skapar nytta. Vägledningen förvaltas numera av Myndigheten för digital förvaltning. Med dessa åtgärder anser regeringen att granskningsrapporten är slutbehandlad. – hinder för en effektiv digitalisering är en myndighet under med uppgift att granska den verksamhet som bedrivs av staten. Vårt uppdrag är att genom oberoende revision skapa demokratisk insyn, medverka till god resursanvändning och effektiv förvaltning i staten. bedriver både årlig revision och effektivitetsrevision. Denna rapport har tagits fram inom effektivitetsrevisionen, vars uppgift är att granska hur effektiv den statliga verksamheten är. Effektivitetsgranskningar rapporteras direkt till . isbn 978-91-7086-536-7 rir 2019:28 omslagets originalfoto: caiaimage tryck: interntryckeri, 2019 E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N T I L L R I K S D A G E N B E S L U T A D : 2 0 1 9 - 1 0 - 0 1 D N R : 3 . 1 - 2 0 1 8 - 0 7 7 8 R I R 2 0 1 9 : 2 8 Härmed överlämnas enligt 9 § lagen (2002:1022) om revision av statlig verksamhet m.m. följande granskningsrapport: – hinder för en effektiv digitalisering har granskat förekomsten av föråldrade it-system hos ett drygt 60-tal större myndigheter. Fokus för granskningen har varit om myndigheterna och regeringen har gjort tillräckligt för att hantera de problem som föråldrade it-system innebär. Resultatet av granskningen redovisas i denna granskningsrapport. Den innehåller slutsatser och rekommendationer som avser regeringen och de myndigheter som ingår i granskningen. Riksrevisor har beslutat i detta ärende. Revisionsdirektör har varit föredragande. Enhetschef har medverkat i den slutliga handläggningen. ; , , , , , och , , , , . Arbetsförmedlingen, , Svenska ESF Rådet , , , Kammarkollegiet, Kronofogden, Lantmäteriet, i , , , , Statens servicecenter, , , , , , , , , , , , Myndigheten för samhällsskydd och beredskap, , , , Havs- och vattenmyndigheten, , , , , geologiska undersökning, , , , Inspektionen för vård och R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G omsorg, , , , , , , , , , , , , , , eHälsomyndigheten, , Myndigheten för , , Specialpedagogiska skolmyndigheten, , , Universitets- och högskolerådet, , , , . R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Förekomsten av föråldrade it-system Effektivitetsperspektivet på föråldrade it-system Förekomsten av föråldrade it-system Förekomsten av problem i myndigheternas it-system Illustrativa exempel från fallstudierna Styrningen av myndigheternas it-miljö Myndigheternas uppfattning om it-stödets roll Processer för att löpande utvärdera it-stödets ändamålsenlighet Medvetna och uttryckliga ställningstaganden kring it-systemen Konsekvenser av föråldrade it-system Övergripande mönster i myndigheternas svar Övergripande åtgärder för digitalisering Regeringens kunskap om problembilden och eventuellt vidtagna åtgärder Förekomsten av föråldrade it-system Till rapporten finns bilagor att ladda ned från . Bilagorna kan begäras ut från ärendets akt genom registraturen. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N har granskat förekomsten av föråldrade it-system hos ett drygt 60-tal större myndigheter. Fokus för granskningen har varit om myndigheterna och regeringen gör tillräckligt för att hantera de problem som föråldrade it-system innebär. Den övergripande slutsatsen är att flertalet myndigheter inte gör det. menar att problemet är så allvarligt och utbrett att det innebär ett hinder för en fortsatt effektiv digitalisering av statsförvaltningen. Granskningen visar att regeringen på ett övergripande plan har arbetat med digitalisering som indirekt kan ha positiva effekter på problemen med föråldrade it-system. Regeringen har dock bristande kunskap om förekomsten och konsekvenserna av problemen med föråldrade it-system. Det saknas också åtgärder som mer direkt riktas mot föråldrade it-system. rekommenderar myndigheterna att utveckla sitt sätt att arbeta med föråldrade it-system. rekommenderar regeringen att lämna ett tydligare stöd i det arbetet. Nedan utvecklas dessa slutsatser. Det är mycket vanligt att organisationer som inte är nyetablerade har en it-miljö som utvecklats och till stor del består av så kallade ärvda system som anskaffats med skilda syften och under olika epoker. Många av dessa är mer eller mindre oproblematiska; de levererar god nytta i verksamheten samt kan driftas, underhållas och vidareutvecklas på ett relativt effektivt och säkert sätt. Andra ärvda system är föråldrade eller utdaterade och riskerar att bli ett betydande effektivitetsproblem. Det beror på att ett föråldrat system kräver relativt sett mer resurser, vilket i sin tur påverkar en fortsatt effektiv utveckling av it-miljön. Utvecklingen på it-området är som bekant snabb och det krävs att resurser kan avsättas till innovation. Förekomsten av föråldrade system kan också påverka informationssäkerheten. Ambitionerna är höga på området – mål är att ska vara bäst i världen på att använda digitaliseringens möjligheter. Regeringen har också pekat på vikten av tydligare statligt ledarskap i förändring och fortlöpande analys av digital mognad och behov av åtgärder. Regeringen har även uttryckt att ”Informations- och cybersäkerhetsarbete är en nödvändig verksamhet för att värna kvaliteten och effektiviteten hos samhällets funktioner och en förutsättning för att digitaliseringens möjligheter ska kunna tas tillvara”. Den betydelse digitalisering har givits av såväl riksdag som regering i kombination med att föråldrade it-system kan utgöra ett stort hinder för en effektiv digitalisering har varit bärande skäl för att R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Syftet med granskningen har varit att undersöka förekomsten av föråldrade it-system i statsförvaltningen samt om myndigheterna och regeringen har vidtagit tillräckliga åtgärder för att dessa system inte ska utgöra ett hinder för en effektiv digitalisering. De frågeställningar som besvaras i granskningen är om: •myndigheterna har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system? •regeringen har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system? Granskningen genomfördes i tre steg. Först gjordes fallstudier hos och . Dessa användes sedan för att konstruera en enkät som skickades ut till totalt 64 myndigheter. Avslutningsvis skickade ett frågeformulär till för att undersöka vilken kunskap regeringen har kring föråldrade it-system och vilka åtgärder regeringen har vidtagit. Förekomsten av föråldrade it-system Föråldrade verksamhetskritiska it-system innebär en stor risk för effektivitetsproblem i det att man tvingas använda proportionerligt sett mer resurser bara för att vidmakthålla systemet. Det finns därför goda skäl att anta att föråldrade it-system innebär en hög risk för bristande hushållning med statens medel. Det innebär även en undanträngning vad gäller myndighetens innovationsförmåga i form av att kunna utveckla nya it-system. Föråldrade it-system innebär dock inte bara en risk för den enskilda myndigheten utan problem hos en myndighet kan innebär stora konsekvenser för möjligheterna att bedriva verksamhet hos en annan myndighet eller privat aktör. Granskningen visar att det förekommer föråldrade it-system hos ett stort antal myndigheter. Hos många myndigheter är dessutom ett eller flera verksamhetskritiska it-system föråldrade. Vad vet är detta ny kunskap och ingen har således haft en bild av problemets utbredning i statsförvaltningen. It-kostnaderna för de myndigheter som ingår i granskning är ungefär 19 miljarder. De effektivitetsbrister som kan kopplas till föråldrade it-system är därmed väsentliga ur ett budgetperspektiv. Föråldrade it-system innebär även en risk ur ett informationssäkerhetsperspektiv. menar att föråldrade it-system på en aggregerad nivå innebär ett väsentligt 6R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N effektivitetsproblem för staten och ett hinder för en fortsatt effektiv och säker digitalisering. Myndigheterna har inte rätt arbetssätt slutsats är att en stor del av de undersökta myndigheterna inte arbetar på rätt sätt med utveckling och förvaltning av it-stödet. De använder inte de verktyg för verksamhetsutveckling som finns för att skapa sig en uppfattning om hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse på bästa sätt. Därmed saknar en stor andel av de granskade myndigheterna en övergripande beskrivning av hur strategier, verksamhetsprocesser och system hänger ihop. Det innebär i sin tur man får svårigheter att analysera och förstå hur förändringar påverkar verksamhetens mål och det blir därmed också svårare att definiera ett framtida önskvärt läge. Myndigheterna saknar processer för att löpande utvärdera it-stödets ändamålsenlighet Av de 64 myndigheter som besvarat enkäten säger att man inte har någon beslutad modell för att hantera och fatta beslut om it-system från det att systemet utvecklas till dess att det avvecklas, vad som brukar kallas livscykelhantering. Det tyder enligt på att livscykelhantering inte genomförs på ett strukturerat och metodiskt sätt. De perspektiv som är rimliga att löpande ta hänsyn till och göra bedömningar mot i sin livscykelhantering saknas för av myndigheterna. Myndigheterna är bäst på det rent tekniska, vilket skulle kunna tyda på att livscykelhanteringen främst görs utifrån it-avdelningens perspektiv, snarare än utifrån en analys av myndighetens övergripande behov. Det finns också brister i arbetet med riskanalyser. En så stor grupp som en dryg tredjedel av myndigheterna genomför endast återkommande riskanalyser för något eller några verksamhetskritiska system eller inga alls. Lika många kan heller inte bryta ner it-kostnader på den detaljerade nivå som behövs för att fatta bra beslut. Utan återkommande riskanalyser och detaljerade uppgifter om kostnaderna är det svårt att göra meningsfulla utvärderingar av it-stödets ändamålsenlighet. Myndigheterna tar inte medvetet ställning till sina it-system av myndigheterna saknar livscykelplaner för annat än något eller några verksamhetskritiska system. Av de myndigheter som tagit fram sådana planer bedömer att planerna inte är tillfredsställande annat än för några enstaka system eller inga alls. Avsaknaden av livscykelplaner och andra planeringsunderlag hos många myndigheter kombinerat med brister i den livscykelhantering som faktiskt görs, innebär att myndigheterna överlag inte kan anses ha gjort medvetna och uttryckliga ställningstaganden kring sina it-system. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Regeringen har inte vidtagit tillräckliga åtgärder bedömning är att de ansvariga departementen och därmed även regeringen saknar tillräcklig kunskap om såväl förekomsten som konsekvenserna av föråldrade it-system. uppger sig ha kunskap om förekomsten av föråldrade it-system i 15 av de 31 myndigheter som har identifierat som en riskgrupp. Bortsett från 4 fall har lämnat så övergripande svar att det inte framgår att de vet vilka konsekvenserna är. Företrädare för har påtalat att regeringen inte utövar styrning av myndigheterna på ett sätt som innebär att de talar om för myndigheterna hur de ska utforma sin it-miljö eller vilka it-system de ska välja. Regeringen har i stället fokuserat på att styra övergripande frågor som villkor för informationsutbyte som i förlängningen kan ha styrande effekt även på enskilda it-system. Detta styrningsperspektiv ligger i linje med den svenska förvaltningsmodellen som bygger på att myndigheterna i stor utsträckning självständigt får utforma sin verksamhet. Det direkta ansvaret för att se till att it-system inte blir föråldrade eller att se till att undanröja eller reducera de problem som kommer med föråldrade it-system är enligt samma logik varje enskild myndighets ansvar. konstaterar att närmare hälften av myndigheterna uppger att problem i enskilda it-system eller it-miljön i stort har ganska eller mycket stor påverkan på det fortsatta digitaliseringsarbetet. Granskningen visar att föråldrade it-system är ett utbrett problem som har stor påverkan, inte bara på den enskilda myndigheten utan problemet får även förvaltningsövergripande konsekvenser. Slutsatsen blir därför att myndigheterna inte själva har klarat av att effektivt hantera problematiken kring föråldrade it-system. Utifrån de iakttagelser har gjort verkar regeringen ha bristande kunskap om den risk som föråldrade it-system utgör för statsförvaltningen som helhet. Utifrån förekomsten av föråldrade it-system hos de granskade myndigheterna, regeringens bristande kunskap och och regeringens ambitiösa mål för digitaliseringen anser att regeringen bör säkerställa att man har kunskap kring hur myndigheterna hanterar problematiken kring föråldrade it-system. Utan sådan kunskap försvåras regeringens möjligheter att styra även på en övergripande nivå. I ett andra steg bör regeringen överväga att tillhandahålla gemensamma verktyg eller modeller för att underlätta myndigheternas arbete. Ett gemensamt arbetssätt, inklusive gemensamma sätt att utvärdera och återrapportera, skulle också ge regeringen ökade möjligheter att jämföra myndigheterna med varandra och därmed göra det möjligt för regeringen att försäkra sig om att digitaliseringen av statsförvaltningen är effektiv och avgöra hur regeringsstyrningen ska utformas. bedömning är därmed att regeringen inte kan anses ha vidtagit tillräckliga åtgärder för att säkerställa att problemen reducerats eller undanröjts. 8R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N riktar rekommendationer till de granskade myndigheterna och regeringen. Rekommendationer riktade till myndigheterna Myndigheterna bör ta fram och använda de verktyg som behövs för att bedöma hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse. Myndigheterna bör ha en process för att löpande utvärdera hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse. Myndigheterna bör utifrån en sådan process göra uttryckliga och medvetna ställningstaganden kring sin it-miljö och behovet av eventuella åtgärder. Rekommendationer riktade till regeringen Regeringen bör överväga att ta fram ett stöd för myndigheterna för att underlätta för dem att arbeta effektivt med problemen kring föråldrade it-system och den fortsatta digitaliseringen. Regeringen bör ge lämplig aktör i uppdrag att följa och utvärdera frågor kopplade till föråldrade it-system i statsförvaltningen för att säkerställa löpande kunskap om myndigheternas förutsättningar och situation. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Alla myndigheter och andra organisationer som inte är direkt nyetablerade har sannolikt en it-miljö som utvecklats och till stor del består av så kallade ärvda system, det vill säga system som anskaffats med skilda syften och under olika epoker. Många av dessa är fortfarande mer eller mindre oproblematiska; de levererar god nytta i verksamheten samt kan driftas, underhållas och vidareutvecklas på ett relativt effektivt och säkert sätt, med mera. Andra ärvda system är av olika skäl föråldrade eller utdaterade. Förekomsten av föråldrade system1 kan potentiellt påverka både digitaliseringstakten och informationssäkerheten. I en rapport från motsvarighet i , National Audit Office (), konstaterades till exempel att myndigheterna i till stora delar är beroende av föråldrade it-system och att dessa är förenade med risker avseende både informationssäkerhet och effektivitet.2 konstaterar i sin rapport att de föråldrade it-systemen gör myndigheterna mindre flexibla, mer sårbara för cyberhot och beroende av dyra långtidskontrakt med it-företag. motsvarighet i , Government Accountability Office (), har på liknande sätt konstaterat att samma sak gäller för federala myndigheter.3 har utgått ifrån att NAO:s och GAO:s slutsatser sannolikt är relevanta även för svensk förvaltning och svenska myndigheter, som det enligt vad erfar inte pågår något arbete som berör frågan om föråldrade it-system kopplat till digitalisering och informationssäkerhet. har inte heller kunnat finna någon samlad kunskap om omfattning, orsaker till och konsekvenser av föråldrade it-system har beslutat om målsättningen att ska vara bäst i världen på att använda digitaliseringens möjligheter.4 har regeringen pekat på vikten av tydligare statligt ledarskap i förändring och fortlöpande analys av digital 1Med begreppet föråldrat system avser ett verksamhetskritiskt system/applikation som inte uppfyller organisationens krav på vad systemet skulle behöva prestera Definitionen innebär inte att systemet nödvändigtvis behöver vara gammalt utan tar mer sikte på att it-systemet inte uppfyller verksamhetens behov. Att systemet är gammalt kan vara en förklaring till det men det kan även bero på att systemet är specialanpassat/egenutvecklat, att det saknas support eller liknande. 2National Audit Office, Managing the risk of legacy ICT to public service delivery, National Audit Office, HC 539 Session 2013-14 11, , s. 5. 3United States Goverment Accountability Office: Information technology — to Address aging , GAO-16-468 2016, s. 11. 2011/12:1, utg. omr. 22, bet 2011/12:TU 1, rskr.2011/12:87. 10 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N mognad och behov av åtgärder.5 Regeringen har även uttryckt att ”informations- och cybersäkerhetsarbete är en nödvändig verksamhet för att värna kvaliteten och effektiviteten hos samhällets funktioner och en förutsättning för att digitaliseringens möjligheter ska kunna tas tillvara”.6 Den betydelse digitalisering har givits av såväl riksdag som regering sett i ljuset av att föråldrade it-system verkar utgöra ett stort hinder har varit ett bärande skäl för att genomföra granskningen. Syftet med granskningen är att undersöka förekomsten av föråldrade it-system i statsförvaltningen samt om myndigheterna och regeringen har vidtagit tillräckliga åtgärder för att dessa system inte ska utgöra ett hinder för arbetet med att uppnå en effektiv digitalisering. Granskningens frågeställningar/- revisionsfrågor är: •Har myndigheterna vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system? •Har regeringen vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system? Med att vidta tillräckliga åtgärder avser åtgärder som syftar till att förebygga att systemen blir föråldrade såväl som åtgärder som vidtas för att reducera eller undanröja problem kopplade till att it-systemen har Den övergripande utgångspunkten för granskningen är och regeringens mål för digitalisering och för informations- och cybersäkerhet. har beslutat om målsättningen att ska vara bäst i världen på att använda digitaliseringens möjligheter.7 Regeringen har uttryckt att ”informations- och cybersäkerhetsarbete är en nödvändig verksamhet för att värna kvaliteten och effektiviteten hos samhällets funktioner och en förutsättning för att digitaliseringens möjligheter ska kunna tas tillvara”.8 bedömning utifrån målen är att myndigheterna ska digitalisera i så stor utsträckning som det är möjligt i de fall man bedömer att nyttan 5För ett hållbart digitaliserat — en digitaliseringsstrategi. Skr 2017/18:47, s. 31. 6Nationell strategi för samhällets informations- och cybersäkerhet, skr. 2016/17:213. 2011/12:1, utg. omr. 22, bet 2011/12:TU 1, rskr.2011/12:87. 2016/17:213, s. 6. Har behandlats av i bet. 2017/18:FÖU4. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G överstiger kostnaderna, samt att de system som finns i verksamheten ska vara tillfredsställande ur ett informationssäkerhetsperspektiv. Det finns varken vad gäller digitalisering eller informationssäkerhet tydligt specificerade nivåer eller kvantifierade mål kring i vilken exakt omfattning myndigheter ska digitalisera eller vilken exakt nivå informationssäkerheten ska vara på. Tillgängliga resurser är inte oändliga och i slutändan så är det upp till respektive myndighet att göra en riskavvägning. Myndighetens ledning har dock ett krav på sig att verksamheten bedrivs effektivt samt att myndigheten hushållar väl med statens medel.9 delar därför e-delegationens syn på hur verksamhetsutveckling ska bedrivas: En utgångspunkt är att allt utvecklingsarbete ska vara väl förankrat i verksamhetsmål och underbyggt med goda beslutsunderlag. Offentliga organisationer behöver arbeta med målanalyser och koppla förslag till förändringsinsatser tydligare till verksamhetens mål i flera nivåer. Utveckling av verksamheten måste vara en naturlig del av chefers ansvar för verksamheten och grunda sig på en målbild för hur man önskar sig att verksamheten ska se ut. Stora krav finns därför också på att veta hur verksamheten ser ut , det vill säga att mäta rätt saker för att ”ta tempen” på verksamheten.