prop · H70382 · 2020-02-11 00:00:00 — Regeringens skrivelse 2019/20:82 Regeringen överlämnar denna skrivelse till . I skrivelsen redovisar regeringen sin bedömning med anledning av iakttagelser och rekommendationer i rapporten it-system – hinder för en effektiv digitalisering (RiR 2019:28). övergripande iakttagelse är att det finns föråldrade itsystem hos ett stort antal myndigheter och att den bilden tidigare inte har varit känd av statsförvaltningen som helhet. Flertalet myndigheter har enligt inte gjort tillräckligt för att hantera och förhindra situationen och utifrån de iakttagelser som har gjorts under granskningen verkar regeringen enligt vara omedveten om den aggregerade risk som föråldrade it-system utgör för statsförvaltningen som helhet. rekommenderar regeringen att vidta åtgärder för att följa och utvärdera frågor kopplade till föråldrade it-system i statsförvaltningen samt att ta fram stöd för myndigheterna så att de kan arbeta mer effektivt med problemen kring föråldrade it-system och den fortsatta digitaliseringen. Regeringen välkomnar granskning och noterar att funnit att it-system hos ett stort antal myndigheter är föråldrade, och att ett flertal av dessa system är av verksamhetskritisk karaktär. Regeringen instämmer i bedömning att föråldrade it-system påverkar myndigheternas verksamhetsutveckling och försvårar fortsatt digitalisering. Det riskerar vidare att tränga undan innovationsförmåga och kan medföra stora risker ur ett informationssäkerhetsperspektiv. Regeringen delar dock inte bedömning att regeringen varit omedveten om den aggregerade risk som föråldrade it-system utgör för statsförvaltningen som helhet. 2019/20:82 framgår av skrivelsen har regeringen vidtagit åtgärder och arbetat systematiskt för att följa upp och hantera flera av de risker som pekar på. Regeringen har bl.a. vidtagit åtgärder för att förbättra uppföljningen av myndigheternas digitalisering inom områdena digital mognad, strategiska it-projekt och informationssäkerhet. En viktig åtgärd är inrättandet av Myndigheten för digital förvaltning som har i uppgift att följa och analysera utvecklingen av den offentliga förvaltningens digitalisering. Vidare har regeringen vidtagit åtgärder för att ge stöd till myndigheterna, bl.a. genom en expertgrupp för digitala investeringar och genom uppdrag till Myndigheten för samhällsskydd och beredskap om riktade utbildningsinsatser till statliga myndigheter, kommuner och landsting för att höja nivån på informationssäkerhetsarbetet i offentlig sektor. Det pågående arbetet ligger enligt regeringens uppfattning väl i linje med iakttagelser och rekommendationer. I och med denna skrivelse anser regeringen att är slutbehandlad. Ärendet och dess beredning ............................................................. Regeringens bedömning av iakttagelser ................ Regeringens åtgärder med anledning av Föråldrade it-system - hinder för en effektiv digitalisering (RIR 2019:28)............................................ Utdrag ur protokoll vid regeringssammanträde ..... 2019/20:82 1 Ärendet och dess beredning har granskat förekomsten av föråldrade it-system i statsförvaltningen. Granskningen redovisas i rapporten itsystem – hinder för en effektiv digitalisering (RiR 2019:28), se bilagan. överlämnade rapporten till regeringen . I denna skrivelse behandlar regeringen de iakttagelser och rekommendationer till regeringen som har redovisat i sin rapport. Syftet med granskning har varit att undersöka förekomsten av föråldrade it-system i statsförvaltningen samt om myndigheterna och regeringen har vidtagit tillräckliga åtgärder för att dessa system inte ska utgöra ett hinder för en effektiv digitalisering. Med begreppet föråldrat system avser ett verksamhetskritiskt system/applikation systemet som inte längre uppfyller verksamhetens behov. De frågeställningar som besvarats i granskningen är om: ∙myndigheterna har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system, och ∙regeringen har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system. beskriver följande sammanfattande iakttagelser. Det finns många föråldrade it-system hos myndigheter och den bilden har tidigare inte varit känd av statsförvaltningen som helhet. Flertalet myndigheter har inte gjort tillräckligt för att hantera och förhindra situationen. Utifrån de iakttagelser som har gjorts under granskningen verkar regeringen enligt vara omedveten om den aggregerade risk som föråldrade it-system utgör för statsförvaltningen som helhet. framhåller att de granskade myndigheternas it-kostnader uppgår till och påpekar att den bristande effektivitet som kan kopplas till föråldrade it-system är väsentlig ur ett budgetperspektiv. bedömer att ett stort antal myndigheter inte har någon process för att löpande kunna utvärdera hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse och flera myndigheter har även otillräcklig kunskap om it-kostnader och risker. Enligt har av myndigheterna system som saknar dokumenterade livscykelplaner med tillhörande underlag. bedömer även att det finns brister i den existerande livscykelhanteringen, och konstaterar vidare att även löpande dokumentation i utvärderande form som kopplar förvaltningsplaner till förstudier inför beslut om eventuell nyutveckling ser ut att saknas. menar att denna ofullständiga dokumentation för myndigheternas it-system gör det svårt för myndigheterna att ta medvetna och välriktade beslut om sin it-miljö. Enligt har endast kunskap om att det finns föråldrade it-system hos 15 av de 31 myndigheter som i rapporten anges som riskgrupp. Samtliga dessa 15 myndigheter faller enligt inom kategorin ”svårigheter med ett stort antal system”. Enligt har endast för fyra av de 31 myndigheterna i riskgruppen detaljerad kunskap om vilka konsekvenser förekomsten av föråldrade it-system får för myndighetens fortsatta digitalisering eller för möjligheten att upprätthålla en nödvändig nivå av informationssäkerhet. framför att problematiken kring föråldrade it-system skapar en undanträngning av myndigheters innovationsförmåga och möjlighet att ta till sig ny digital teknik och att det skapar bristande hushållning med statens medel. menar att mängden föråldrade it-system försvårar eller direkt hindrar möjligheten till informationsutbyte och kopplingar mellan myndigheter, mellan myndigheter och privata aktörer samt mellan myndigheter och enskilda medborgare. Sammantaget anser att myndigheter överlag har svårt att ta välgrundade ställningstaganden kring sina it-system. noterar att i granskningen enbart har lämnat övergripande svar och enligt framgår det inte om vet vilka konsekvenserna av föråldrade it-system är. konstaterar att detta är i enlighet med den svenska förvaltningsmodellen som bygger på att myndigheterna i stor utsträckning ska utforma sin verksamhet under eget ansvar och att det i det ansvaret ingår att undanröja eller reducera de effekter som föråldrade it-system kan ge. påpekar att föråldrade it-system är ett utbrett problem som har stor påverkan, inte bara på den enskilda myndigheten utan även på förvaltningen som helhet. menar att regeringen visserligen har vidtagit vissa övergripande åtgärder kring digitalisering som indirekt kan ha positiva effekter på frågan om föråldrade it-system men att det faktum att regeringen inte vidtagit tillräckliga åtgärder för att säkerställa att problemen reducerats eller undanröjts kan ses som att regeringen är omedveten om den aggregerade risk som föråldrade it-system utgör för hela statsförvaltning. menar att läget är så allvarligt och utbrett att det är, och har varit, ett hinder i arbetet med att digitalisera statsförvaltningen. anser att regeringen ofrånkomligen har i uppgift att säkerställa att man åtminstone på en aggregerad nivå skaffar sig kunskap kring myndigheternas förutsättningar att hantera föråldrade it-system. menar att regeringen bör vara medveten om vilken påverkan dessa svåra förutsättningar får på statsförvaltningens fortsatta digitaliseringsarbete som helhet. Baserat på dessa iakttagelser riktar följande rekommendationer till regeringen: ∙Regeringen bör överväga att ta fram ett stöd för myndigheterna för att underlätta för dem att arbeta effektivt med problemen kring föråldrade it-system och den fortsatta digitaliseringen. ∙Regeringen bör ge lämplig aktör i uppdrag att följa och utvärdera frågor kopplade till föråldrade it-system i statsförvaltningen för att säkerställa löpande kunskap om myndigheternas förutsättningar och situation. 3Regeringens bedömning av iakttagelser Regeringen noterar att i sin granskning har funnit att det finns föråldrade it-system hos ett stort antal myndigheter är föråldrade, och att ett flertal av dessa system är av verksamhetskritisk karaktär. Regeringen delar dock inte uppfattningen att förekomsten utgör helt ny kunskap för regeringen och statsförvaltningen. I () , it-kostnader och mognad (ESV 2018:30) konstaterar ESV att merparten av myndigheternas strategiska it-projekt har fokus på att ersätta eller modernisera befintliga system för att undvika föråldrade tekniska lösningar. Detta stärks ytterligare av slutrapporten från Expertgruppen för digitala investeringar (SOU 2018:72), i vilken expertgruppen konstaterar att en del av de it-investeringar som analyserades hade som utgångspunkt att ersätta system som blivit föråldrade och hade en hämmande inverkan på myndighetens förutsättningar att utveckla sin verksamhet. Risker med föråldrade it-system är ett generellt och välkänt problem hos de flesta organisationer med omfattande och långvarig it-verksamhet. Liknande iakttagelser som de nu har gjort kring problem med föråldrade it-system i statsförvaltningen har även gjorts inom andra sektorer. Svenska myndigheter var tidigt ute med att digitalisera sin verksamhet i jämförelse med myndigheter i många andra länder. Den tidiga utvecklingen har givetvis varit positiv, men har även lett till att flera myndigheter har kvar gamla it-system som har svårt att möta verksamhetens aktuella krav, något som ytterligare kompliceras av den snabba utvecklingen där även relativt modern teknik snabbt kan bli föråldrad. Regeringen instämmer i bedömning att föråldrade itsystem påverkar myndigheternas verksamhetsutveckling och försvårar fortsatt digitalisering, riskerar att tränga undan innovationsförmåga och kan leda till stora risker ur ett informationssäkerhetsperspektiv. Regeringen delar även delvis slutsatser om att flera av de granskade myndigheterna inte har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system, samt att flera av de granskade myndigheterna inte heller i tillräcklig utsträckning arbetar på ett systematiskt sätt och nyttjar de verktyg som finns till hands för att adressera problemen. är regeringen av uppfattningen att iakttagelser vad gäller myndigheternas nyttjande av tillgängliga verktyg baseras på en något onyanserad och delvis förlegad syn på vilka verktyg som kan anses vara rådande god praxis. Vad gäller regeringens kunskap om omfattning, orsaker och konsekvenser av myndigheternas föråldrade it-system instämmer regeringen delvis i bedömning att kännedomen i vissa delar varit begränsad inom . konstaterar regeringen, i likhet med , att myndigheternas befogenheter att besluta om hur de egna uppgifterna ska lösas är en viktig komponent i Skr. 2019/20:82 den svenska förvaltningen. Detta lägger grunden för att myndigheterna på ett självständigt sätt ska kunna sköta sin dagliga verksamhet effektivt och rättssäkert. Enligt myndighetsförordningen (2007:515) ansvarar myndighetens ledning inför regeringen för verksamheten och ska bl.a. se till att den bedrivs effektivt. I det ansvaret ingår att informera regeringen om omständigheter som gör att verksamheten inte kan utvecklas i enlighet med och regeringens mål för verksamheten och myndighetens uppdrag. Ett sådant exempel skulle kunna vara förekomsten av föråldrade it-system. I den löpande dialogen ställer regeringen således frågor och följer kontinuerligt upp frågor om bl.a. föråldrade it-system i förhållande till enskilda myndigheter. Regeringen delar inte bedömning att regeringen har varit omedveten om den aggregerade risk som föråldrade it-system utgör för statsförvaltningen som helhet. Såsom påpekats ovan har liknande observationer gjorts vid analyser av myndigheternas strategiska itinvesteringar både av ESV och Expertgruppen för digitala investeringar. Såsom framgår av avsnitt 4 har regeringen även vidtagit åtgärder för att komma tillrätta med problemen. Regeringen har även följt utvecklingen av myndigheternas systematiska informationssäkerhetsarbete genom exempelvis Myndigheten för samhällsskydd och beredskap (MSB) kartläggning ”En bild av myndigheternas informationssäkerhetsarbete 2014 - tillämpning av MSB:s föreskrifter” samt tidigare granskningar på området (se t.ex. RiR 2016:8, RiR 2014:23 samt RiR 2007:10). Regeringen har även följt upp de bevakningsansvariga myndigheternas informationssäkerhetsarbete, bl.a. genom uppdrag till bevakningsansvariga myndigheter att analysera och bedöma informationssäkerheten i den egna verksamheten (dnr Ju2017/05787/SSK) och uppdrag till Myndigheten för samhällsskydd och beredskap att bidra till ökad kunskap om informationssäkerheten hos bevakningsansvariga myndigheter (dnr Ju2017/05788/SSK). 4Regeringens åtgärder med anledning av iakttagelser granskning ger värdefulla insikter om förekomsten av föråldrade it-system i statsförvaltningen, samt de risker som detta medför. Såsom framgår av redogörelsen nedan har regeringen vidtagit åtgärder och arbetat systematiskt för att följa upp och hantera flera av de risker som pekar på. Det pågående arbetet ligger enligt regeringens uppfattning väl i linje med iakttagelser och rekommendationer. rekommendationer till regeringen avser främst åtgärder på en mer aggregerad och övergripande nivå. Regeringens redogörelse i detta avsnitt tar därför sikte på de mer övergripande åtgärder som vidtagits i förhållande till de statliga myndigheterna och går således inte in i detalj på specifika åtgärder som har vidtagits vad gäller enskilda myndigheter. iakttagelser och rekommendationer riktade till enskilda myndigheter tar regeringen upp i myndighetsdialogerna för att säkerställa att myndigheterna vid behov vidtar lämpliga åtgärder. Regeringens styrning av den statliga förvaltningens digitalisering Regeringens styrning av den statliga förvaltningens digitalisering fokuserar på vilka egenskaper och förmågor som myndigheterna och deras it-system ska ha för att kunna bedriva en effektiv och säker verksamhet, erbjuda en bra digital service till enskilda och för att kunna samverka med andra aktörer. Det viktiga är inte åldern på systemet utan att systemet bidrar till en säker och kostnadseffektiv offentlig förvaltning med hög kvalitet. Åtgärder för att komma till rätta med problem med anledning av föråldrade it-system behöver ses i en bredare kontext där myndigheternas övergripande digitala mognad och möjlighet att hantera verksamhetsutveckling och livscykelhantering av it-system står i fokus. Genom att i högre grad ställa krav på egenskaper och förmågor, exempelvis avseende förvaltnings- eller sektorsgemensamt informationsutbyte, tvingas myndigheterna ändra arbetssätt och metoder, samt anpassa it-system som inte lyckas möta kraven. Detta leder i förlängningen till en nödvändig utfasning av föråldrade it-system. Genom inrättandet av Myndigheten för digital förvaltning 2018 har regeringen förbättrat de långsiktiga förutsättningarna för en effektiv styrning och samordning av offentliga digitala system och insatser. Myndigheten har i uppgift att samordna och stödja den förvaltningsgemensamma digitaliseringen i syfte att göra den offentliga förvaltningen mer effektiv och ändamålsenlig. Myndigheten har därmed en central roll för att regeringen ska kunna åstadkomma en mer sammanhållen styrning och för genomförandet av insatser på området. Myndigheten har även i uppgift att följa och analysera utvecklingen inom sitt verksamhetsområde och ska särskilt bistå regeringen med underlag för utvecklingen av digitaliseringen av den offentliga förvaltningen. Myndigheten ska bedriva arbetet med digitalisering av den offentliga förvaltningen på ett sätt som säkerställer skyddet av säkerhetskänslig verksamhet och informationssäkerhet i övrigt samt skyddet av den personliga integriteten. Myndigheten är förhållandevis ny och det är ännu för tidigt att bedöma de långsiktiga effekterna av myndighetens arbete. På en mer övergripande nivå har regeringen vidtagit åtgärder bl.a. för att komma till rätta med brister i myndigheternas möjligheter att utbyta information mellan system, något som är avgörande för att kunna utnyttja den fulla potentialen i den offentliga förvaltningens data. I det regeringsuppdrag om säkert och effektivt elektroniskt informationsutbyte inom den offentliga sektorn som rapporterades (dnr Fi2018/02150/DF, FI2018/03037/DF och I2019/01061/DF) lämnade de sju ansvariga myndigheterna förslag till ett antal åtgärder för att säkerställa en ökad interoperabilitet, bl.a. i form av stärkta styrformer, gemensamma regler och principer samt framtagande av förvaltningsgemensamma byggblock. Regeringen fattade beslut om att gå vidare med de åtgärder som myndigheterna föreslagit och uppdrog åt myndigheterna att etablera en förvaltningsgemensam digital infrastruktur för informationsutbyte (dnr I2019/03306/DF). En ökad styrning i fråga om Skr. 2019/20:82 elektroniskt informationsutbyte med krav på interoperabilitet mellan olika myndigheter leder i förlängningen till att myndigheternas it-system behöver anpassas för att möta kraven. Samma logik kring nödvändiga systemanpassningar gäller även för de åtgärder regeringen vidtagit för att öka tillgängliggörandet av öppna data, bl.a. i form av ett regeringsuppdrag till Myndigheten för digital förvaltning om att öka den offentliga förvaltningens förmåga att tillgängliggöra öppna data, bedriva öppen och datadriven innovation samt använda artificiell intelligens (dnr I2019/01416/DF). Regeringen har vidare fattat beslut om att tillsätta en särskild utredare med uppdrag att kartlägga och analysera statliga myndigheters behov av säker och kostnadseffektiv it-drift samt hur dessa behov tillgodoses (dir. 2019:64). Utredaren ska bl.a. lämna förslag på mer varaktiga former för samordnad it-drift för den statliga förvaltningen. En viktig utgångspunkt för utredaren är den försöksverksamhet avseende samordnad och säker statlig it-drift som på uppdrag av regeringen bedrivits av (dnr Fi2017/03257/DF), där sex myndigheter har anslutit sin it-drift. Genom en ökad samordning av den statliga it-driften ställs krav på anslutande myndigheter att anpassa sina it-system så att dessa kan fungera i en mer standardiserad och gemensam it-driftsmiljö. Utöver dessa övergripande insatser har regeringen vidtagit flera konkreta sektors- och myndighetsspecifika åtgärder som syftar till att öka säkerheten och effektiviteten i myndigheters digitala service, vilket indirekt ställer krav på anpassning av föråldrade it-system. Några exempel på sådana åtgärder från regeringen är arbetet med Vision e-hälsa 2025, digitalisering av samhällsbyggnadsprocessen samt rättsväsendets informationsförsörjning och det råd för digitalisering av rättsväsendet som kommer att inrättas enligt förordningen (2019:1283) om rättsväsendets digitalisering. Regeringen har vidtagit flera åtgärder i syfte att åstadkomma en bättre uppföljning och utvärdering av myndigheternas digitalisering. har särskilt fokus legat på myndigheternas strategiska it-projekt och därtill har det genomförts it-mognadsmätningar av de större statliga myndigheterna. ESV har på uppdrag av regeringen följt myndigheternas it-kostnader och hur mycket resurser respektive myndighet lägger på att förvalta befintliga system i relation till att utveckla nya (dnr N2015/738/ITP och N2016/01642/EF). Dessutom har ESV följt strategiska it-projekt hos flera myndigheter. ESV konstaterar att merparten av myndigheternas strategiska it-projekt har fokus på att ersätta eller modernisera befintliga system för att undvika föråldrade tekniska lösningar. Ansvaret för den fortsatta uppföljningen av digitaliseringen av den offentliga förvaltningen ligger numera på Myndigheten för digital förvaltning. Myndigheten lämnade en rapport till regeringen om myndigheters strategiska it-projekt, it-kostnader och mognad, där myndigheten konstaterar en positiv utveckling av myndigheternas digitala mognad, men att utvecklingen går långsamt. Regeringen har vidare i regleringsbrevet uppdragit åt Myndigheten för digital förvaltning att lämna en samlad analys och bedömning av digitaliseringen i den offentliga förvaltningen. ska myndigheten inkomma med sin analys. Regeringen utvecklar löpande myndighetsstyrningen och uppföljningen på digitaliserings- och informationssäkerhetsområdet. Regeringen har bl.a. tagit initiativ till fler och tydligare dialoger med myndigheterna och flera myndigheter har även fått återrapporteringskrav kopplade till digitaliserings- och informationssäkerhetsområdet i regleringsbreven. har regeringen i regleringsbreven uppdragit åt flera myndigheter att redovisa de viktigaste verksamhets- och it-utvecklings- insatser som har genomförts . I enskilda fall har uppföljningskraven riktats till flera myndigheter inom en specifik samhällsprocess och återrapporterats i form av en gemensam redovisning. har även flera myndigheter fått återrapporteringskrav som avser deras systematiska arbete med informationssäkerhet och säkerhetsskydd. Återrapporteringen från myndigheterna har bl.a. följts upp inom ramen för de årliga myndighetsdialogerna. Ett mål i regeringens nationella strategi för samhällets informations- och cybersäkerhet (skr. 2016/17:213) är att statliga myndigheter ska ha kännedom om hot och risker, ta ansvar för sin informationssäkerhet och bedriva ett systematiskt informationssäkerhetsarbete. Att hantera eventuella risker och brister till följd av föråldrade it-system ingår i detta. För att bättre kunna följa utvecklingen inom statsförvaltningen uppdrog regeringen åt MSB att ta fram en struktur för uppföljning av det systematiska informationssäkerhetsarbetet i den offentliga förvaltningen (dnr Ju2019/03058/SSK). Uppdraget syftar till att ge regeringen en samlad bedömning av nivån på informationssäkerhetsarbetet i den offentliga förvaltningen. Men ännu viktigare är att de myndigheter som deltar i uppföljningarna också ska få en bedömning av vilken nivå de befinner sig på och förslag på hur de kan utveckla sitt informationssäkerhetsarbete. Regeringen arbetar systematiskt med att höja den digitala mognaden inom statsförvaltningen, bl.a. genom olika former av stöd och ramverk. Regeringen uppdrog åt ESV i regleringsbrevet att tillsammans med ett antal myndigheter undersöka möjligheten att använda ett gemensamt och internationellt accepterat ramverk för att bland annat kunna jämföra it-kostnader och kundnöjdhet samt att ta till vara digitaliseringens möjligheter. ESV lämnade i sin slutrapport (ESV 2018:28) rekommendationer om fortsatta pilotprojekt kring införande av ramverket (). har bl.a. utvärderats av inom ramen för uppdraget att erbjuda samordnad och säker statlig it-drift. I slutrapporten rekommenderade ESV vidare att ansvaret för den fortsatta utvärderingen av ramverket skulle övergå till Myndigheten för digital förvaltning. genom en överenskommelse 2017 med om utveckling av uppföljningsramverk även fått in förslag om framtagandet av ett webbaserat verktyg för mätning av digital mognad (dnr Fi2017/01676/DF). Regeringens bedömning är att frågor om metoder och eventuella stöd för uppföljning av it-kostnader, itinvesteringar och digital mognad bör hanteras samlat inom ramen för Myndigheten för digital förvaltnings uppföljningsansvar. Regeringen har tillsatt en expertgrupp för digitala investeringar med fokus på att stödja ett antal utpekade myndigheter i deras arbete med strategiska utvecklingsprojekt.