prop · H70382 · 2020-02-11 00:00:00 — Det är i gapet mellan nuläge och målbild som förändringsbehovet kan definieras.10 granskning har därför i huvudsak varit inriktad mot att undersöka om myndigheterna har tagit ställning till hur föråldrade it-system ska hanteras för att uppnå en informationssäkrad digitalisering, snarare än att pröva huruvida myndigheternas beslut i enskilda fall är bra eller dåliga. För att myndigheterna ska kunna anses ha tagit ställning på ett tillfredsställande sätt krävs enligt att man har vidtagit ett antal åtgärder. Dessa åtgärder utgör således bedömningsnormerna i granskningen och är att myndigheterna: 1.har en uppfattning om hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse 2.har processer för att löpande utvärdera hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse 3.utifrån resultatet av ett arbete enligt de två ovan nämnda punkterna gör medvetna och uttryckliga ställningstaganden kring sina it-system 4.lyfter de problem man inte själv kan hantera till regeringen. Vad avser regeringen utgår granskningen från att regeringen genom sin styrning ska förverkliga mål. Statlig förvaltning handlar enligt regeringen om 93 § myndighetsförordning (2007:515). 10E-delegationen, Vägledning i nyttorealisering, version 2.0, E-delegationen, 2014 12 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N att ge statliga myndigheter verktyg och förutsättningar för att kunna genomföra de beslut som regeringen och har fattat.11 För att kunna uppnå detta krävs enligt att regeringen: •har kunskap om omfattning och konsekvenser gällande förekomsten av föråldrade system i förvaltningen •har kunskap om vilka orsaker till problemen som myndigheterna kan hantera själva och vilka som kräver insatser från regeringen •utifrån problembilden säkerställer att myndigheterna faktiskt vidtar de åtgärder de själva råder över, eller vidtar åtgärder för att undanröja de hinder som myndigheterna inte själva kan hantera. Granskningen har genomförts i tre olika moment. Granskningens inledande moment har bestått av fallstudier hos och . I nästa moment har erfarenheterna från fallstudierna använts för att konstruera en enkät som har skickats ut till total 64 myndigheter. Som ett tredje och sista moment har sedan skickat ett frågeformulär till för att undersöka vilken kunskap regeringen har kring föråldrade it-system och vilka åtgärder regeringen har vidtagit. har även genomfört intervjuer med företrädare för för att komplettera bilden kring vilka åtgärder regeringen har vidtagit på området. Utöver dessa tre moment har även skickat ett antal frågor till de 64 myndigheter som har besvarat enkäten. Frågorna har handlat om huruvida myndigheterna har några föråldrade it-system eller om myndigheterna har bytt ut något sådant system. har även begärt att få ta del av samtliga 64 myndigheters strategiska dokument som beskriver den nu gällande lång- och kortsiktiga inriktningen av verksamheten (strategisk plan, verksamhetsplan eller motsvarande dokument), myndighetens it-strategi eller andra dokument på strategisk nivå som beskriver myndighetens it-utveckling samt digitaliseringsstrategi eller motsvarande om sådan finns. Utöver detta har även begärt in den grunddata i form av nyckeltal som () har samlat in inom ramen för sitt uppdrag rörande it-kostnader.12 Myndigheternas svar på enkäten har sedan jämförts med de uppgifter som ESV har samlat in avseende myndigheternas it-kostnader och myndigheternas digitala mognad för att åstadkomma ytterligare djup i analysen. Granskningen har genomförts av en projektgrupp bestående av projektledaren och projektmedarbetarna 11http:///regeringens-politik/statlig-forvaltning/. 12It-kostnader är de kostnader som kan härledas till it-funktioner, och begränsas inte nödvändigtvis till it-organisationen. Kostnaderna består av kostnader inkl. avskrivningar (för materiella och immateriella it-investeringar) för drift, förvaltning och utveckling av it-system och utrustning. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G , docent i data-och systemvetenskap vid , har varit knuten till projektet och gett synpunkter på såväl ett granskningsupplägg som ett utkast till granskningsrapporten. Företrädare för (, , , , , och , , , och ), och har fått tillfälle att faktagranska och i övrigt lämna synpunkter på ett utkast till granskningsrapporten. Syftet med fallstudierna har varit att få en fördjupad kunskap om hur myndigheter hanterar föråldrade it-system och att få en bild av möjliga tillvägagångssätt och konsekvenser av de val som myndigheterna gör. Både och har en hög it-mognad och goda förutsättningar att prioritera en informationssäkrad digitalisering, som de har en omfattande och komplex it-miljö. Valet av fallstudiemyndigheter har således gjorts för att finna reella problem kopplade till föråldrade it-system såväl som för att finna goda exempel på hur problematiken med föråldrade it-system kan hanteras och en mångfald i valda lösningar. Genomförandet av fallstudier har syftat till att fördjupa kunskaperna kring problematiken med föråldrade it-system och hur den kan hanteras för att sedan kunna ta fram en enkät. Ett ytterligare syfte med fallstudierna har varit att kunna använda iakttagelserna för att förklara och förstå de svar som övriga myndigheter har lämnat i enkätsvaren på ett bättre sätt. Utgångspunkten var från början att försöka göra en liknande undersökning som den brittiska revisionsmyndigheten13 och belysa tre tillvägagångssätt att hantera föråldrade it-system (en fallstudie per tillvägagångssätt)14 I det inledande skedet av granskningen valdes därför tre myndigheter ut för fallstudier. Dessa tre var , och . lämnade dock enligt uppfattning inte det stöd som efterfrågades och valde därför att avbryta fallstudien. bedömer att bortfallet av som fallstudie har inneburit ett bortfall av viktiga iakttagelser, med tanke på att har bytt ut föråldrade it-system såväl som att myndigheten fortfarande har kvarvarande föråldrade it-system bedömer dock att de iakttagelser som 13National Audit Office: Managing the risk of legacy ICT to public service delivery, HC 539 session 2013-14 . 14De tre tillvägagångssätten var att inte vidta några åtgärder, att förbättra och underhålla (man kan exempelvis bygga nya system eller applikationer runt om legacy-systemet för att uppnå eftersträvad funktionalitet) samt att byta ut/ersätta systemet. 14 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N gjorts hos och har varit tillräckliga för att uppfylla fallstudiernas syfte. En granskning av hanteringen av föråldrade it-system behöver ta hänsyn till den omkringliggande kontexten, det vill säga myndighetens totala it-miljö, för att man ska kunna göra en rättvisande bedömning. Det innebär att granskningen har innefattat den övergripande styrningen och förvaltningen av myndighetens hela it-miljö. I fallstudierna har förvaltningsplaner eller motsvarande dokumentation varit en central del av granskningen.15 Genomgången har även omfattat systemdokumentation, riskanalyser, beslut, underlag för nyttorealisering, strategiska planer och budgetunderlag med mera. Vi har även intervjuat nyckelpersoner på olika nivåer för att få deras uppfattning om hanteringen av it-systemen. Intervjuer har gjorts med representanter för: •operativ nivå i form av exempelvis objektspecialister eller it-specialister •beslutsnivå i form av förvaltningsledare •budgetnivå i form av objektägare •säkerhetsfunktionerna i form av it-säkerhetsansvarig och informationssäkerhetsansvarig. Minnesanteckningar från intervjuerna har jämförts sinsemellan utifrån vem som har varit respondent såväl som med den dokumentation som har begärts från myndigheten för att undersöka eventuell samstämmighet eller eventuella diskrepanser. Fallstudierna har haft för avsikt att belysa såväl faktiska beslut som ”icke-beslut”, det vill säga att myndigheterna inte formellt sett har fattat beslut kring att behålla eller byta sitt föråldrade system men att systemet trots det fortsätter användas ”Icke-besluten” har undersökts genom att kontrollera om det finns underlag/riskanalyser som tar hänsyn till fördelar och nackdelar med nuvarande system i förhållande till alternativa tillvägagångssätt. De fördjupade kvalitativa fallstudier har bidragit med viktiga insikter till den kvantitativa undersökningen i form av enkät. Fallstudierna har även bidragit till ökad förståelse av de svar myndigheterna sedan har lämnat i enkäten. 15Pm3 är en modell för att organisera en styrbar och effektiv förvaltningsverksamhet. Utgångspunkten i pm3 är att styrning av verksamhetsprocesser och it-system bör ske gemensamt och man delar därför in verksamheten i olika förvaltningsobjekt. Ett förvaltningsobjekt består av både verksamhetskomponenter och it-komponenter. För varje förvaltningsobjekt upprättas normalt en årlig förvaltningsplan som innehåller målen med förvaltningsverksamheten i förhållande till myndighetens övergripande mål, vilka åtgärder som behöver vidtas för att uppnå målen samt vilken budget som finns att tillgå. Efter verksamhetsåret följs planen upp och man fattar beslut om en ny plan. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Det it-system som i huvudsak har inriktat sin fallstudie mot är ett system som används för att administrera förmånen bostadstillägg. har haft problem med förmånen bostadstillägg för pensionärer allt sedan myndighetens bildande. Problemen yttrar sig både genom att handläggningstiderna är långa och att andelen felutbetalningar är stor. För handlar handläggningen till stor del om ett manuellt förfarande att lägga in och kontrollera inskickade uppgifter. Uppgifterna som sänds in av de sökande i pappersform måste till exempel läggas in manuellt i systemet och mycket av de nödvändiga beräkningarna sker utanför det egentliga it-stödet i enklare Excelbaserade beräkningsverktyg för att sedan manuellt föras tillbaka till it-stödet. Ärendeframdriften och journalföringen är inte heller automatiserade utan görs manuellt av handläggare. Det medför risk för felbeslut och att ärenden blir fördröjda. It-stödet har inte heller mekanismer som underlättar för handläggare att se när det är nödvändigt att göra efterkontroller för att undvika felutbetalningar. It-systemet (BOTP) som använder för att handlägga förmånen bostadstillägg delas av myndigheten och , som hanterar andra gruppers bostadstillägg. Det är utvecklat av och 2008 genomfördes en migrering från det ursprungliga Cobol-systemet16 till en modernare plattform. motiv till att göra en migrering utan att tillföra någon ny funktionalitet var att man ville undvika störningar i verksamheten.17 Det sättet migreringen genomfördes på har gjort det svårt att utveckla ny funktionalitet i BOTP till rimliga kostnader. I den omfattande analys av systemstöd hos som gjordes 2012 bedömdes utvecklingsbehovet av BOTP som stort redan då med hänvisning till behov av automatisering och ny funktionalitet.18 kan sägas ha arbetat aktivt med att försöka förbättra hanteringen av bostadstillägg . i hanteringen av förmånen var dock fortsatt under acceptabel nivå och förbättringsåtgärder var fortsatt nödvändiga. gjordes en analys av it-stödet BOTP, som indikerade att informationsmodellen behövde ändras i grunden men att det var både möjligt och rekommenderat att bygga vidare på befintligt system.19 16COBOL är ett programspråk som skapades 1959 och var och det dominerande programspråket för affärssystem. 17Intervju med företrädare för . 18Pensionsmyndigheten och , systemstöd hos , , 2012, s. 67. 19Pensionsmyndigheten, BTY/P1, Ny hantering av bostadstillägg Verksamhetsanalysrapport, , , 2014, s. 5. 16 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Efter ungefär av olika projekt kring hur det befintliga systemstödet och verksamhetsprocesserna skulle kunna förbättras meddelade att de inte längre kunde rekommendera en vidareutveckling av det befintliga BOTP. Frågan togs upp för beslut på ledningsgrupp och man förordade då att ta fram både en ny lösning för ärendehanteringen och en ersättare för BOTP i sin helhet. Beslut att utreda denna väg och avsluta övriga åtgärder togs. Långsiktigt har vi diskuterat fyra huvudvägar för det långsiktiga systemet för bostadstillägg. En är att bygga på vårt befintliga system, enligt den modell vi gjort för övrig ärendehantering. Det är den lösning vi främst jobbat efter. Ett annat alternativ är att bygga om vårt system och inte bara bygger på det. En tredje väg är att bygga ett helt nytt system. Och en fjärde är att inte göra något alls. Det visar sig dock att det blir mycket komplicerat och därmed dyrt och riskfyllt att bygga på det befintliga systemet, det vill säga den lösning vi främst jobbat på. Det krävs till exempel sex timmars test för varje utvecklingstimme, och därför är detta något som vår leverantör inte rekommenderar. Som läget är , så framstår det som bäst att bygga ett nytt system – vilket man kan göra på olika sätt med eller utan . Det alternativet ska nu belysas fram till årsskiftet.20 Enligt uppgifter från it-arkitekt21 med ansvar för BOTP var problemen med att bedriva vidareutveckling i det befintliga systemet välkända hos personer på . Vilken information som delgivits är dock oklart för honom. Den förstudie som sedan genomfördes landade i rekommendationer om att utveckla helt nya applikationer hos både och Pensionsmyndigheten.22 Det nya it-stödet för bostadstillägg för pensionärer fick namnet NBT och ett utvecklingsprojekt startade med beräknad slutleverans hösten 2019.23 Fallstudien på har inte varit inriktad mot ett enskilt it-system på samma sätt som hos , utan har mer övergripande berört it-system inom momshantering, folkbokföring och inkomstbeskattning. 20Pensionsmyndigheten, Utdrag från protokoll från ledningsgruppsmöte 20160908, , 2016. 21Intervju med representant för . 22Pensionsmyndigheten, , 2017, s. 5. 23Pensionsmyndigheten står för utvecklingen av ärendehantering och processlogik och utvecklar beräkningsstödet. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Beskrivningen har därmed inte heller samma detaljeringsgrad som för pensionsmyndigheten. De it-system som har berörts av fallstudien är (Taxering i ny applikation) inom inkomstbeskattningen, Poff inom folkbokföringen och MomsAG inom momshanteringen. har studerats mer som ett exempel på en process för att ersätta föråldrade system snarare än med fokus på själva systemet. Poff och MomsAG har studerats utifrån att de rent faktiskt är föråldrade it-system och att också bedömer dem på det sättet. Tanken har även med dessa system varit att beskriva ”vad som händer runt omkring it-systemet” snarare än själva systemet i sig. är ett system som i huvudsak har utvecklats . fanns det ett femtontal olika tekniska applikationer som stöd för att handlägga inkomstbeskattningsärenden. De applikationerna byggdes under 1980-, 1990- och 2000-tal i olika tekniska miljöer. Trots de många systemen så utfördes ändå flera arbetsuppgifter manuellt. Sammantaget så innebar det att medarbetarna hade en mycket komplicerad miljö att arbeta i och att mycket tid gick åt till andra arbetsuppgifter än själva handläggningen. Ny lagstiftning var tvungen att implementeras i flera olika system och dubbellagring och transfereringar av information var vanligt förekommande. Med det som bakgrund påbörjades en första förstudie, benämnd Föntax24 . Den följdes sedan av fnysrapporten25 och arbetet med förnyelsen26. Resultatet av dessa arbeten landade sedan i Tinaprogrammet som skapades 2005. Programmet driftsatte de första delarna för inkomstdeklaration 2 (INK2)27 i . De första driftsättningarna var inte helt lyckade. Användarna hade synpunkter på både funktionaliteten och systemet som sådant. upphörde programmet och inom förvaltningen dedikerades arbetet till att förbättra befintlig funktionalitet. Två tekniska granskningar, en intern och en extern, gjordes också då systemet upplevdes som segt och instabilt av användarna. Avsikten var att utvärdera om lämpade sig för ytterligare expansion. Båda granskningarna kom fram till att så var fallet om vissa åtgärder vidtogs, vilket också skedde. beställde produktionsavdelningen (PA) en fördjupad förstudie för att utreda om och i så fall till vilka delar, i vilken takt, till vilken omfattning samt i vilken ordning som Tinaapplikationen skulle expandera inom inkomstbeskattningsområdet . Målet med uppdraget var även att säkerställa att utvecklades på sådant sätt att applikationen skulle kunna användas som en generell plattform inom verksamheter . 24FÖNTAX = Förstudie nytt taxeringssystem. 25Fnys = Förnyelsen, skedde –2003. 26Förnyelsearbetet pågick och indelades i uppdragen mottagning, uppföljning och urvalen. I det här arbetet ”föddes” filöverföringstjänsterna för kontrolluppgifter och näringsidkare. 27Inkomstdeklarationsblankett som används av aktiebolag, ekonomiska föreningar m.fl. 18 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N började projektet arbeta och har varit i drift hos Folkbokföringens it-stöd är indelat i tre applikationsområden: , Poff och Navet. Navet innehåller applikationer, tjänster och register som syftar till att tillhandahålla aktuella folkbokföringsuppgifter till resten av samhället. Övriga förmågor inom folkbokföringen hanteras inom Poff och . Poff innehåller de äldre delarna medan innehåller de delar av it-stödet som har utvecklats . Applikationsområdena och delar en gemensam databas.29 ansågs Poff vara omodernt. För att möta folkbokföringsverksamhetens framtida behov initierades utvecklingen av . Ambitionen var att skulle bli ”det nya folkbokföringssystemet” och ta folkbokföringen in i det som vi kallar e-förvaltning. Därmed betraktades ”det gamla folkbokföringssystemet” Poff som föremål för snar avveckling. Fokus vid etablering och utveckling av har varit externa gränssnitt30, intern effektivisering och ny funktionalitet. har generellt avgränsat insatserna till de delar som har gett störst effektvinster. En konsekvens av det valet är att endast marginella delar av Poff i praktiken har kunnat avvecklas. Då Poff trots detta till stor del har betraktats som föremål för avveckling har förvaltningen av systemet blivit nedprioriterad till att i princip endast omfatta vidmakthållande och lagtvingande anpassningar. Detta har i sin tur lett till en successivt ökande teknisk skuld och Poff är fortfarande ett omodernt system som än mindre motsvarar verksamhetens behov och som dessutom på grund av stor teknisk skuld och omodern teknisk plattform börjar bli svårt att vidmakthålla.31 Dagens hantering av moms sker i huvudsak i MomsAG-systemet. stöd inom beskattningsområdet är uppdelat på it-komponenter och verksamhetskomponenter som har utvecklats och förvaltats om , utifrån de krav och förutsättningar som har gällt i fråga om organisation av verksamheten, arbetssätt, tillämpning av regelverk samt val av tekniska lösningar.32 Systemet MomsAG lanserades 1998. Den teknikplattform som systemen bygger på är utifrån ett Skatteverksperspektiv på väg att nå end of life ().33 Som system betraktat är det ursprungligen konstruerat för att tillhandahålla information för handläggarna och inte för att interagera med en omvärld utanför . Det innebär att när systemet inte 28Skatteverket, Huvudprojekt , Sammanfattande slutrapport 1–3, , 2015, s. 8–9. 29Skatteverket, Målarkitektur FbF, , 2018, s. 24. 30Utformning av en viss förbindelse mellan olika objekt. Hur man kommunicerar mellan olika mjukvarumoduler och/eller hårdvarumoduler. 31Skatteverket, Ersätta och avveckla POFF, , 2018, s. 5. 32Skatteverket, Direktiv moms 1, , 2018, s. 2. 33Tidpunkt när support för hård- eller mjukvara som tillhandahålls av en extern part upphör. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G nyttjas av handläggarna , tas det ner för batchuppdatering34 av registren. Ur ett digitaliseringsperspektiv så är den allmänna uppfattningen inom att det inte bara är den tekniska plattformen som är föråldrad, utan även systemet är på väg att nå end of life . Kraven på mer realtidsbaserad information, ökade integrationer mot omvärlden, automatisering av tester etcetera skapar systemkrav som endast kan uppfyllas genom en systemförnyelse.35 Behovet av att se över dagens momshantering och ta fram nya möjligheter för såväl redovisning som intern hantering av ärenden bedöms därmed av som stort. Både externa krav och förväntningar på en effektivare redovisning av moms och behov av intern förnyelse skyndar på utvecklingen.36 I nästa moment har erfarenheterna från fallstudierna använts för att konstruera frågor till en enkät.37 Tanken med enkäten har varit att kartlägga omfattning och konsekvenser av föråldrade it-system. De myndigheter som har undersökts genom enkäten är de myndigheter som har ingått i ESV:s it-kostnadsuppdrag.38 I stort sett alla av dessa myndigheter är skyldiga att följa förordning (2007:603) om intern styrning och kontroll (FISK). Förordningen omfattar stora myndigheter med stor påverkan på statsförvaltningen som helhet eller myndigheter där man har identifierat särskilda risker (exempelvis är en utpekad risk att myndigheten har omfattande och komplexa it-system).39 Genom att myndigheterna har ingått i ESV:s it-kostnadsuppdrag har ESV följt dessa myndigheter och samlat uppgifter om myndigheternas it-miljö och it-kostnader. Myndigheterna har därför genomfört ett relativt omfattande arbete med att ta fram nyckeltal och följa sin it-verksamhet jämfört med vad som förmodligen är fallet gällande övriga myndigheter. Myndigheterna som ingår i it-kostnadsuppdraget står dessutom uppskattningsvis för någonstans mellan av de totala it-kostnaderna i staten.40 Enkäten har ställts till myndigheten med en instruktion 34Bearbetning av stor datamängd (en batch) utan mänsklig medverkan. Körningen är alltså inte interaktiv. 35Skatteverket, Förstudierapport 98-systemen, , 2017, s. 7. 36Skatteverket, Direktiv moms 1, , 2018, s. 2. 37Enkäten finns i sin helhet att ladda ner från . 38Det rör sig om totalt 64 myndigheter. Berörda myndigheter framgår av bilaga 1. 39De myndigheter som omfattas av förordningen om intern styrning och kontroll är samma myndigheter som är skyldiga att följa internrevisionsförordningen. Se 1 § förordningen (2007:603) om intern styrning och kontroll. Regeringens kriterier för att en myndighet ska omfattas av internrevisionsförordningen utarbetas av budgetavdelningen på och är uppdelade i väsentlighetskriterier och riskkriterier. Se , Internrevisionen vid myndigheter – En funktion som behöver stärkas, RiR 2017:5, bilaga 1. 40Ekonomistyrningsverket, Myndigheters strategiska it-projekt, it-kostnader och mognad, , ESV 2018:30, 2018, s. 6. It-kostnaderna för myndigheterna i urvalet i förhållande till de totala uppskattade kostnaderna på 25–30 miljarder. 20 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N att vissa frågor bör besvaras av myndighetens ledning eller en övergripande stabsfunktion och vissa besvaras av myndighetens it-chef eller motsvarande funktion. De flesta myndigheter har haft en bredd på vilka funktioner som har deltagit i beredningen av svaren i form av exempelvis arkitekter, representanter från enhet för verksamhetsutveckling, it-chef. De flesta myndigheter har dock en tyngdpunkt på it-sidan snarare än verksamhetssidan när det gäller vem som har deltagit i beredningen. Av de 64 myndigheter som ombads besvara enkäten har samtliga 64 inkommit med svar.