prop · H70382 · 2020-02-11 00:00:00 — I en mindre organisation är systemlandskapet oftast mindre och inte lika komplext. I en större verksamhet är organisationen indelad Varje enhet har ofta sin egen agenda och mål och krav att uppfylla. Utifrån de olika delverksamheternas olika målbilder bedrivs ett återkommande förändringsarbete som naturligt också kommer att påverka och förändra systemlandskapet. I de fall organisationen saknar en gemensam plan och övergripande koordinering är risken stor att systemlandskapet blir oerhört komplext och fragmentiserat då framväxten skett i funktionella silos56 utifrån varje delverksamhets mål och krav. När omgivningen ändras och kanske kräver mer tvärfunktionell förmåga av organisationen kommer de suboptimeringar som införts göra sig påminda. Begränsningarna innebär att det kommer att kosta mer, ta och vara förknippat med större risk att genomföra förändringar Verksamheten blir lidande och får brottas med långa omställningstider och kvalitetsproblem. Ytterst kan det handla om att it blir ett hinder för fortsatt utveckling av verksamheten. Att moget planera och koordinera utvecklingen av systemlandskapet är därför viktigt.57 För att veta hur it kan understödja verksamheten på bästa sätt krävs därmed en bild av hur kärnverksamheten ser ut i form av olika processer, verksamhetsförmågor och liknande och hur verksamhetens utformning är tänkt att bidra till att uppnå de mål som finns för verksamheten. En sådan bild kan 56Med funktionella silos avses en uppdelad organisation där varje avdelning eller funktion arbetar utifrån det egna uppdraget utan koppling till en större helhet. 57Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014, s. 44. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G manifesteras i en verksamhetsarkitektur58, eller förenklat en form av sprängskiss över de olika delarna i verksamheten och hur de påverkar och understödjer varandra. Det finns en rad olika modeller för hur man skapar en verksamhetsarkitektur och hur den kan se ut.59 Många av modellerna är vid en första anblick relativt komplicerade och kan normalt sett inte heller appliceras rakt av på en organisation. har därmed inte någon uppfattning kring vilka av dessa modeller som är mer eller mindre lämpliga, utan ser modellerna som ett möjligt stöd när man försöker skapa sin egen verksamhetsarkitektur. Att organisationen skapar sig någon form av verksamhetsarkitektur är dock närmast ofrånkomligt om man har som mål att säkerställa att it understödjer verksamheten på bästa sätt.60 Hur man går till väga eller hur verksamhetsarkitekturen ser ut i slutändan är dock förmodligen av mindre betydelse än att arbetet faktiskt sker. Hur omfattande och detaljerad en sådan verksamhetsarkitektur bör göras är en avvägning mellan den arbetsinsats som krävs och den nytta man bedömer att en framtagen arkitektur faktiskt bidrar med. Verksamhetsarkitekturen kan sedan brytas ner och på nästa nivå kan man arbeta med en högre detaljeringsgrad i form av vad som brukar kallas för stadsplan.61 En stadsplan är en översiktsbild av en verksamhets viktigaste system. Med hjälp av stadsplanen är det möjligt att utveckla systemlandskapet (det vill säga utbredningen av den sammantagna portföljen av it-system) och den förmåga verksamheten behöver för att hantera sin information under avvägda, kontrollerade former.62 58Verksamhetsarkitektur benämns ofta som Enterprise Architecture (EA). Verksamhetsarkitektur handlar om att ha en tydlig, gemensam bild av den verksamhet man arbetar i för att kunna fatta väl underbyggda beslut och arbeta så effektivt som möjligt. Det handlar om att förstå den affär verksamheten bedriver, vilka kunderna är och vilka behov de har, vilka mål som verksamheten har, hur man arbetar för att uppnå dessa mål, vilken information som måste hanteras för att kunna bedriva arbetet, samt vilket it-stöd som finns i arbetet. en mängd olika verktyg för att beskriva dessa komplexa strukturer och deras samband. Verktygen är ofta olika typer av modeller som visuellt beskriver verksamheten och samband mellan olika delar (, A., Verksamhetsarkitektur, Strategi och praktik för effektivare företag, 2017, s. 13). 59Här kan som exempel nämnas TOGAF (the Architecture Framework), Zachmans ramverk, DoDAF () och FEA (Federal enterprise Architecture Framework). 60Se exempelvis , A., Verksamhetsarkitektur, 2017 eller Gong, Y., , M., The value of and myths about enterprise architecturer, International journal of information management, Volume 46, 2019, Pages 1-9. 61En översiktsbild av en verksamhets viktigaste system. Den har en struktur och ordning som baseras på principer för arkitektur och är en förutsättning för översikt, prioritering och optimering. Med hjälp av stadsplanen är det möjligt att utveckla systemlandskapet (det vill säga utbredningen av den sammantagna portföljen av it-system) och den förmåga verksamheten behöver för att hantera sin information under avvägda, kontrollerade former. 62Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014, s. 43. 32 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Nästa steg är att arbeta med en målarkitektur som är en beskrivning av den arkitektur som organisationen bör sträva mot. Målarkitekturen och stadsplanen beskriver arkitektur på olika nivåer. Stadsplanen beskriver på en ganska hög nivå vilka förmågor, informationsbehov samt system som ska finnas och systemens roll i olika delar av verksamheten. Målarkitekturen beskriver systemen mer konkret men utan att gå ner på detaljer. Den arkitektur organisationen har är en nulägesarkitektur, vilken i princip aldrig är den mest optimala för organisationens behov. Organisationens behov har förändrats och arkitekturen har kanske inte hängt med. Kanske har arkitekturen aldrig varit helt anpassad efter verksamhetens behov. Målarkitekturen däremot är helt anpassad efter organisationens och verksamhetens behov, men den är en fiktiv pappersprodukt. Skulle målarkitekturen finnas i verkligheten skulle den stödja organisationens behov på det mest optimala sättet.63 Ovan nämnda saker utgör sådant som myndigheterna löpande måste förhålla sig till för att kunna bedöma hur föråldrat ett it-system ska anses vara utifrån kärnverksamhetens behov. Resultaten visar att av myndigheterna har tagit fram en fullständig verksamhetsarkitektur. Av resterande myndigheter hade tagit fram en verksamhetsarkitektur för vissa delar av verksamheten och inte för någon del av verksamheten. Vad gäller övriga nödvändiga verktyg svarade myndigheterna följande: Diagram 5 Frågor om stadsplan, målarkitektur och arkitekturstyrning.64 Har myndigheten en stadsplan Har myndigheten tagit fram eller en heltäckande systemkarta? en styrande målarkitektur för it? utvecklingsprocessen för it? 63Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014, s. 48. 64Arkitekturstyrning handlar om att övergripande vägleda, styra och följa upp utveckling och realisering av verksamhetens arkitektur inom ramarna för en bestämd process. En del handlar om att slå fast tillämpbara arkitekturstandarder och att hantera och följa upp undantag i it-portföljen. En annan del handlar om att vägleda och styra den operationella utvecklingen genom ett antal kontrollpunkter, så att utvecklingen följer målarkitekturen med förhållandevis få undantag (se Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014, s. 20). R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Av diagrammet och texten ovan framgår att av myndigheterna har tagit fram en fullständig verksamhetsarkitektur och att mer än hälften av myndigheterna saknar en utgångspunkt eller struktur för sin utveckling i form av stadsplan och målarkitektur. Det är dock en större andel myndigheter som svarar att man använder arkitekturstyrning i utvecklingsprocessen av it men gör bedömningen att det förmodligen handlar om en begränsad form av arkitekturstyrning eftersom flera av myndigheterna som säger sig bedriva arkitekturstyrning saknar fullständig verksamhetsarkitektur, stadsplan och målarkitektur. I den avslutande frågan som rörde arkitektur gavs myndigheterna möjlighet att i fritext besvara hur man säkerställer att utvecklingsprojekt följer eventuell målarkitektur eller referensarkitektur. har jämfört fritextsvaren för att se om myndigheterna beskriver en strukturerad process med någon form av godkännande i jämförelse med eventuell mål- eller referensarkitektur. Exempel på en sådan process kan vara en tvingande granskning av ett arkitekturråd. Av totalt 63 svar har bedömt att 25 av myndigheterna kan anses beskriva en sådan strukturerad process medan 38 myndigheter har svarat på ett sätt som tyder på att man inte har en sådan process. Bilden att myndigheterna inte har alla nödvändiga verktyg på plats stärks också efter en genomgång av myndigheternas strategiska dokument. Myndigheterna uppger exempelvis att man behöver prioritera förenklingen av it-landskapet i enlighet med framtagen målarkitektur och öka förståelsen för arkitekturens betydelse samt upparbeta ett ramverk för arkitektur. En myndighet beskriver exempelvis talande att it-arkitektur blir allt viktigare och att myndigheten kommer behöva en arkitektonisk beskrivning av hur myndighetens alla system och komponenter hänger ihop (en så kallad stadsplan). Myndigheten skriver vidare att med rätt it-arkitektur kan myndigheten minska risken för att systemen blir monoliter som inte kan interagera med andra system eller verksamheter som vill att informationen kan flöda fritt inom organisationen.65 En ytterligare nödvändig förutsättning för att kunna förhålla sig till it-stödets ändamålsenlighet utifrån kärnverksamhetens mål är att man vet på vilket sätt informationen måste hanteras. För att veta det krävs att man genomför I enkäten ställde därför frågor om huruvida myndigheterna har genomfört informationsklassning för sina verksamhetskritiska system. 65Sammanfattning av myndigheternas strategiska dokument, 2019. 34 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Diagram 6 Har myndigheten genomfört informationsklassning för verksamhetskritiska it-system? Ja för en majoritet av Ja, för något eller några Nej, inte för något Av svaren framgår att ungefär två tredjedelar av myndigheterna har genomfört en informationsklassning för samtliga eller en majoritet av de verksamhetskritiska systemen. har ungefär en tredjedel av myndigheterna inte genomfört en informationsklassning för åtminstone hälften av sina verksamhetskritiska system. 3.1.3 Illustrativa exempel från fallstudierna Vid en genomgång av it-strategi framgår att myndigheten nämner allt som har behandlats i ovanstående kapitel. Man nämner offensiv arkitekturstyrning, etablering av en styrmodell och processer för it-utveckling och förvaltning som är anpassade till en sammanhållen myndighet, att utveckling och införskaffande av it-stöd endast får göras i enlighet med fastlagd koncernarkitektur, att man tillämpar EA66 på ett pragmatiskt sätt för att få ut maximal nytta genom att utgå ifrån etablerade modeller, metoder och standarder som fungerar i miljö. kan man konstatera att utifrån den nya synen på verksamhet, och vilken roll myndighetens it-stöd ska spela i den verksamheten, så har myndigheten ett it-stöd som ligger långt ifrån den målbilden. Man beskriver en förflyttning från ärendebaserad hantering till informationsbaserad hantering och att man vill åstadkomma en informationscentrisk arkitektur.67 har inte haft möjlighet att i detalj granska hur varje eventuell utvecklingsinsats har förhållit sig till 67Skatteverket, Vision SIBU – Sammanställt inkomstbeskattningsunderlag, , 2017, s. 3. Med informationscentrisk avses en arkitektur som stödjer att informationen sätts i centrum snarare än en händelse eller en process. Strukturen för information är uppbyggd så att informationen blir tillgänglig för alla processer som behöver den. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G en eventuell målarkitektur eller verksamhetsarkitektur. Utifrån de underlag har tagit del av angående görs få om några kopplingar till verksamhetsarkitektur, målarkitektur, stadsplan eller liknande. De intervjuer har gjort ger en bild av att myndigheten delvis har kämpat med den övergripande it-styrningen. Starka avdelningar verkar ha drivit utvecklingsprojekt mer utifrån den egna avdelningens mål och det koncernövergripande perspektivet verkar ha fått stryka på foten till stor del. Det faktum att myndigheten har en komplex it-miljö med en spretig arkitektur och där myndigheten har en målbild som ligger långt ifrån dagens lösningar talar även det för att arkitekturstyrningen har varit svag. Av de 63 myndigheter som har besvarat enkäten uppger att de saknar tillräckliga förutsättningar för att leva upp till regeringens digitaliseringsstrategi. Vidare har av myndigheterna tagit fram en fullständig verksamhetsarkitektur. Hälften av myndigheterna saknar stadsplan och målarkitektur och en tredjedel av myndigheterna saknar informationsklassning för åtminstone hälften av sina verksamhetskritiska system. Sammantaget bedömer att ett stort antal myndigheter saknar tillräckliga förutsättningar för att kunna skapa en bild av hur it-stödet som helhet ska bidra till kärnverksamhetens måluppfyllelse på bästa sätt. 3.2Processer för att löpande utvärdera it-stödets ändamålsenlighet Efter att myndigheterna har skaffat sig en bild av hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse krävs det att man utvärderar nuvarande it-stöd mot den bilden. Såväl verksamheten som omvärlden förändras i ett allt snabbare tempo. Myndigheterna måste därför ha en process för att löpande utvärdera it-stödets ändamålsenlighet utifrån kärnverksamhetens behov. Avsnittet beskriver utifrån inhämtad empiri i vilken utsträckning myndigheterna kan anses ha en sådan process på plats. Avsnittets iakttagelser hänför sig till den andra bedömningsnormen (se avsnitt 1.3). Den löpande hanteringen av it-systemen sker normalt inom ramen för vad som kallas systemförvaltning. är en del av it-styrning men det finns inte heller avseende detta begrepp någon klar och entydig definition på vad begreppet innebär. Några definitioner på vad som utgör systemförvaltning är ”samtliga aktiviteter som görs för att förbereda, styra, administrera och genomföra förändringsarbetet av informationssystem i verksamheten samt stödja användandet” eller ”allt som görs med ett system efter att det tagits 36 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N i produktion”.68 Vad man verkar vara överens om är att nyutveckling av ett it-system inte innefattas i begreppet systemförvaltning. Det finns flera olika modeller med sin egen teori kring hur man organiserar sin systemförvaltning på bästa sätt varav Pm3, ITIL69 och COBIT70 är de vanligaste. Förvaltning av it-system kan ses ur två perspektiv: traditionell syn på förvaltning eller aktiv förvaltning. En traditionell syn på it är att system noga bör planeras, köpas in eller byggas inom ramen för ett implementationsprojekt för att slutligen överlämnas till förvaltning. Förvaltning ansvarar för att hålla igång systemet och fixa mindre defekter. Det innebär att man skiljer på införandet av ny funktionalitet från drift och förvaltning.71 Idén bakom aktiv förvaltning är att samma grupp som påbörjar implementation av ett system också ansvarar för underhåll och förvaltning. Man utgår från att systemet kommer vara i ständig förändring och att de som varit med från början är bäst lämpade att ta det vidare.72 Valet av syn på förvaltning skapar två olika miljöer och olika dynamik. Den traditionella modellen leder ofta till en stor investering, följt av av uppehåll. När sedan antingen teknik eller krav förändrats tillräckligt tvingas en ny stor investering in. Detta brukar hanteras genom ett nytt projekt med syfte att ersätta det existerande systemet, ofta på en ny plattform eller med ny teknik, samt genom att åtgärda de brister och tillgodose de önskemål som det gamla systemet gett upphov till. Aktiv förvaltning har för avsikt att genom kontinuerlig investering dels löpande tillgodose önskemål om ny funktionalitet, dels åtgärda upptäckta defekter. Detta leder till en mer homogen it-miljö och färre Hur myndigheterna arbetar med sin systemförvaltning är därmed en viktig del av den totala it-styrningen. I enkäten ställde därför ett antal frågor kopplade till hur myndigheterna bedriver sin systemförvaltning. Av svaren framgår att av myndigheterna arbetar utifrån en beslutad 68https:///wp-content/uploads/2016/09/Systemförvaltning-2.0v098.pdf. 69Information Technology Infrastructure Library (ITIL) är en samling principer för hantering av IT-tjänster. Samlingen har sammanställts av brittiska Office of Government Commerce (OGC) och innehåller detaljerade beskrivningar av hur olika IT-relaterade uppgifter kan utföras. Avsikten med principsamlingen är att främja ett dokumenterat, systematiskt tillvägagångssätt när företag och organisationer bygger och utvecklar moderna IT-tjänster. 70COBIT är en förkortning för Control Objective for Information and Standards och är en samling av generellt accepterade och applicerbara standarder för främst Informationsteknologi. En motsvarighet för den finansiella kontrollen finns i COSO 71Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014, s. 239. 72Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014, s. 239. 73Akenine, D., Kammerfors, E., Toftefors J., , S-H., , R., , C., Boken om IT-arkitektur, 2014, s. 239. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G systemförvaltningsmodell och av de myndigheter som har besvarat frågan (54 stycken) uppger att de använder sig av Pm3. Ytterligare säger sig använda en egen modell som hämtar inspiration från Pm3 eller en kombination av Pm3 och ITIL och använder eller är på väg att börja tillämpa ett agilt ramverk i form av Scaled Agile Framework (SAFe). Det mest centrala styrdokumentet inom Pm3 kallas förvaltningsplan.74 Utgångspunkten i Pm3 är att styrning av verksamhetsprocesser och it-system bör ske gemensamt och man delar därför in verksamheten i olika förvaltningsobjekt. Ett förvaltningsobjekt består av både verksamhetskomponenter och it-komponenter. För varje förvaltningsobjekt upprättas normalt en årlig förvaltningsplan som innehåller målen med förvaltningsverksamheten i förhållande till myndighetens övergripande mål, vilka åtgärder som behöver vidtas för att uppnå målen samt vilken budget som finns att tillgå. Efter verksamhetsåret följs planen upp och man fattar beslut om en ny plan.75 Utifrån den betydelse förvaltningsplanen har ställde därför ett antal frågor kring myndigheternas förvaltningsplaner. Diagram 7 Omfattas verksamhetskritiska it system av en förvaltningsplan eller motsvarande dokument? Ja, alla verksamhetskritiska Ja, en majoritet av de Ja, något eller några av de Nej, inget av de I stort sett samtliga myndigheter upprättar förvaltningsplaner eller motsvarande dokumentation och uppdaterar dem även . 74På AB, Pm3 – modellbeskrivning, På , 2017, s. 75På AB, Pm3 – modellbeskrivning, På , 2017, s. 18. 38 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N En livscykel kan definieras som de förändringar en produkt, en organism eller ett it-system genomgår från födelse till död.76 Inom applikationshantering pratar man om application lifecycle management, det vill säga sammanställning av krav, beställning, installation, utbildning av användare, uppgradering, licenshantering och avveckling och migrering till andra applikationer.77 Livscykelhantering av ett it-system handlar alltså om hanteringen av ett it-system från det att systemet utvecklas till dess att det avvecklas. Hanteringen kan dokumenteras i en plan som då benämns livscykelplan.78 har sammanfattat livscykelhantering på ett mycket förtjänstfullt sätt i nedanstående bild: 79 Kopplingen till livscykeln för verksamhetsapplikationen I stödet börjar nyttjas värdet är högt. I stödet ger inte längre det värde som det kostar. Fortsatta investeringar går inte att motivera. Bilden sammanfattar på ett enkelt sätt ett antal ställningstaganden kring nytta, kostnader, tekniska begränsningar, omvärldsförändringar med mera som löpande måste beaktas för att man ska kunna avgöra var i sin livscykel ett it-system befinner sig. är en organisations verktyg för att undvika att it-system tillåts blir föråldrade. Livscykelhantering är en central aspekt i granskningen. För att få en uppfattning om hur myndigheterna arbetar med sin livscykelhantering ställde frågor kring vilka perspektiv som ingår i myndigheternas livscykelhantering. 76Jämför exempelvis begreppets betydelse inom biologi . 77https://it-ord.idg.se/ord/applikationshantering/. 78Riksrevisionen har i granskningen definierat livscykelplan som en långsiktig plan för hur ett it-system ska hanteras från driftsättning fram till tidpunkten då systemet bör avvecklas. 79Skatteverket, Avveckling och livscykelhantering, , 2014, s. 8. R I K S R E V I S I O N E N F Ö R Å L D R A D E I S Y S E M – H I N D E R F Ö R E N E F F E I V D I G I A L I S E R I N G Dm 8 Vilka perspektiv ingår i myndighetens livscykelhantering om sådan görs? Möjliga/befintliga leverantörer Dm 9 Vilka perspektiv ingår i myndighetens livscykelhantering om sådan görs? Verksamhetens framtida behov. För att man ska kunna ta ställning till om ett it-system tillfredsställer verksamhetens behov på bästa möjliga sätt behövs ett antal referenspunkter. Det rör sig om såväl interna sådana i form av kostnader, verksamhetens behov och tekniska begränsningar, som externa i form av exempelvis krav från omvärlden (lagstiftning eller styrning från regeringen) eller teknisk utveckling. Av svaren framgår att bortsett från teknik så saknas varje enskilt perspektiv i livscykelhanteringen för mellan av myndigheterna. 40 R I S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N En ytterligare aspekt för att kunna ta ställning till om it-systemen understödjer verksamhetens behov på bästa sätt är vad systemen faktiskt kostar i förhållande till vad de bidrar med. Om man inte vet kostnaderna är det svårt att ta ställning till om nuvarande lösning är den bästa eller inte. En av frågorna i enkäten berörde därför vilka möjligheter myndigheterna har att följa sina it-kostnader. Enligt de svar som myndigheterna har lämnat anser av myndigheterna att man har möjlighet att bryta ner och fördela it-kostnader på en detaljerad nivå. Att kunna bryta ner it-kostnader på en detaljerad nivå har varit ett stort problem för många myndigheter. I granskning av it-outsourcing konstaterades att en majoritet av de tillfrågade myndigheterna inte kunde redovisa sina it-kostnader uppdelat på olika delområden av sin it-verksamhet.80 Efter granskning har det skett kraftansträngningar för att öka myndigheternas möjligheter att kunna jämföra it-kostnader.81 Ett arbete som bedrivits, där varit en av de ledande myndigheterna, är arbetet med ().82 Utifrån den diskussion förde med kring TBM verkar det ramverket, eller en motsvarande modell, vara en förutsättning för att man på ett mer flexibelt sätt ska kunna bryta ner it-kostnader och fördela om dem baserat på exempelvis kostnad per tjänst.