prop · H70382 · 2020-02-11 00:00:00 — uppfattning utifrån den diskussionen är att hade kommit en god bit på vägen i arbetet med TBM, men att myndigheten ännu inte fullt ut hade möjligheter till att bryta ner och fördela om it-kostnader. är tillsammans med några ytterligare myndigheter ledande i arbetet kring TBM och ställer sig därmed något tvekande kring myndigheternas svar på i hur stor utsträckning man faktiskt kan bryta ner och fördela it-kostnader på en detaljerad nivå. Såväl verksamhet som omvärld förändras ständigt och det kan i sin tur få konsekvenser för myndigheternas it-system. För att kunna identifiera omständigheter som utgör risk för myndighetens förmåga ska myndigheter som omfattas av förordningen om intern styrning och kontroll genomföra riskanalyser.83 Ett riskbaserat angreppssätt är också grunden i allt 80Riksrevisionen, IT inom statsförvaltningen - har myndigheterna på ett rimligt sätt prövat frågan om outsourcing bidrar till ökad effektivitet?, , RiR 2011:4, 2011, s. 34. 81Ekonomistyrningsverket och Myndigheten för digital förvaltning har bedrivit ett regeringsuppdrag kring it-kostnader. 82Se exempelvis , TBM – en vägledning, , ESV 2018:52, 2018. 833 § förordningen (2007:603) om intern styrning och kontroll. För de myndigheter som inte omfattas av förordningen om intern styrning och kontroll gäller enligt 4 § 4 myndighetsförordningen (2007:515) att myndighetens ledning ska säkerställa att det vid myndigheten finns en intern styrning och kontroll som fungerar på ett betryggande sätt. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G ställde därför en fråga om hur myndigheterna arbetar med riskanalyser kopplat till sina verksamhetskritiska system. Dm 10 Genomförs återkommande riskanalyser för verksamhetskritiska it-system? Ja för en majoritet Ja för något eller några Nej inte för något Utifrån hur myndigheterna har besvarat frågan framgår att lite av myndigheterna genomför återkommande riskanalyser för en majoritet av sina verksamhetskritiska system. kan man konstatera att lite drygt en tredjedel av de tillfrågade myndigheterna inte genomför återkommande riskanalyser avseende åtminstone hälften av sina verksamhetskritiska it-system. 3.2.5 Illustrativa exempel från fallstudierna Både och har tillämpat Pm3 som förvaltningsmodell. Utifrån iakttagelserna i fallstudierna verkar dock ingen av myndigheterna egentligen har tillämpat Pm3 på det sätt som modellen är tänkt att fungera. Båda myndigheterna tycks ha minimerat sin förvaltning både resursmässigt och åtgärdsmässigt och det verkar inte vara i förvaltningen de viktiga besluten har fattats. Båda myndigheterna representerar en traditionell syn på förvaltning snarare än en aktiv. genomför en form av övergripande livscykelhantering som främst rör tekniska aspekter men en proaktiv livscykelhantering utifrån verksamhetens behov och omvärldens förändringar verkar inte göras. Vad gäller MomsAG så framgår av egen förstudie att det inte finns någon roadmap/livscykelplan för systemet. Vad gäller folkbokföringen kom man visserligen kom fram till att systemet inte skulle 42 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N utvecklas mer men där har man mer eller mindre ägnat sig åt ”livsuppehållande åtgärder” i 20 års tid.84 har inte haft någon egentlig livscykelhantering vad avser BOTP. Myndigheten har saknat insyn i systemet och har därmed haft små möjligheter att påverka. verkar myndigheten till viss del har accepterat att inte ha insyn. tog 2014 fram en modell för att bedöma teknisk skuld och dess påverkan på organisationen. Modellen samlar ett stort antal parametrar som är nödvändiga för att fatta beslut om systemet men verkar inte i sig själv utgöra ett ställningstagande. Vad gäller BOTP så tycks mer har låtit systemet rulla på snarare än att man har fattat ett uttryckligt beslut. Detta trots att man har varit medveten om systemets brister . Nästan alla myndigheter tillämpar en systemförvaltningsmodell. Ett stort antal myndigheter har dock ett väldigt smalt och otillräckligt perspektiv på livscykelhantering. Många har otillräcklig kunskap om it-kostnader och risker för att kunna utvärdera ändamålsenligheten med nuvarande it-stöd. Utifrån myndigheternas svar samt iakttagelserna från avsnitt 2.1 om hur myndigheternas it-miljö ser ut bedömer att ett stort antal myndigheter förmodligen tillämpar samma syn på systemförvaltning som och . Med en mer traditionell syn blir livscykelhanteringen och den omvärldsbevakning som sker inom hanteringen väldigt begränsad. Sammantaget bedömer att ett stort antal myndigheter inte har en process för att löpande kunna utvärdera hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse. Till en början kan konstateras att ungefär två tredjedelar av de tillfrågade myndigheterna saknar en beslutad modell för livscykelhantering. Myndigheterna upprättar livscykelplaner för hårdvara () i högre utsträckning än för mjukvara (). ställde också frågor om förekomsten av såväl som kvaliteten på livscykelplaner för verksamhetskritiska system. 84Se , Förstudierapport 98-systemen, , 2017 eller , Ersätta och avveckla POFF, , 2018. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Dm 11 För hur många av myndighetens verksamhetskritiska it system finns det en livscykelplan/roadmap? Dm 12 Bedömer myndigheten att framtagna livscykelplaner innebär en tillfredsställande livscykelhantering utifrån kärnverksamhetens behov? Ja för samtliga it-system Ja för en majoritet av Ja för något eller några Nej inte för något som har en livscykelplan de it-system som har av de it-system som har Av svaren framgår att av myndigheterna har tagit fram en livscykelplan för samtliga eller en majoritet av de verksamhetskritiska systemen. saknar av myndigheterna livscykelplaner för åtminstone hälften av sina verksamhetskritiska system. av myndigheterna bedömer att livscykelhanteringen är otillfredsställande för åtminstone hälften av myndighetens verksamhetskritiska system. Anmärkningsvärt är att av myndigheterna anser att 44 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N livscykelplanen inte innebär en tillfredsställande hantering för något verksamhetskritiskt system. Ett ställningstagande kräver också att det finns ett dokumenterat beslutsunderlag. har därför ställt frågor kring vad myndigheterna dokumenterar i eventuella livscykelplaner. Av svaren framgår att användning, systemberoende och kortsiktiga mål och aktiviteter dokumenteras i av fallen. Historiska kostnader, långsiktiga planer, riskanalyser och systemets hälsa dokumenteras i mycket lägre utsträckning.85 har även gått igenom förvaltningsplaner för de båda fallstudiemyndigheterna såväl som för ytterligare sex myndigheter som bifogade förvaltningsplaner tillsammans med övriga strategiska dokument. I förvaltningsplanerna berörs för vissa myndigheter kortsiktiga mål och planer för it-systemet men det långsiktiga perspektivet saknas i stort sett helt. Förvaltningsplanerna är mer en åtgärdslista över fel som behöver åtgärdas än en bedömning av hur väl systemet uppfyller verksamhetens behov. 3.3.1 Illustrativa exempel från fallstudierna Vad avser så saknas livscykelperspektivet vad gäller BOTP i stort sett helt. Förvaltningsplanerna för BOTP hos har inte något egentligt livscykelperspektiv och kan inte ses som något ställningstagande kring systemet. De tjänar som underlag för vilka åtgärder som ska vidtas . Vad gäller så finns hänvisningar i förvaltningsplanerna till livscykelplaner för vissa av systemen. Livscykelplanerna är dock väldigt övergripande i form av just en bedömning var i livscykeln systemet befinner sig. Inriktningen är teknisk och en mer omfattande bedömning kring hur väl systemet uppfyller kärnverksamhetens nuvarande såväl som eventuellt framtida behov saknas. Att verksamhet såväl som it ska ta ett gemensamt ägarskap som inkluderar it-stödet verkar inte ha fungerat tillfredställande, varken hos eller . En bredare omvärldsbevakning och en bedömning av behovet såväl som verkar inte ske. Vad avser båda myndigheterna så är dock bedömning att man verkar ha insett behovet av att bedöma it-stödet i förhållande till nuvarande och framtida behov. har påbörjat ett arbete med att förändra hela sin arkitektur. 85Historiska kostnader dokumenteras i av fallen, långsiktig plan med mål, aktiviteter och resursbehov i av fallen, riskanalys avseende risker kopplade till it-systemet i av fallen och systemets hälsa (övergripande, teknisk och funktionell) i R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Närmare hälften av myndigheterna saknar livscykelplaner för ett stort antal system och två tredjedelar saknar en beslutad modell för livscykelhantering. Dokumentationen kring livscykelhanteringen är begränsad hos många myndigheter. Utifrån de iakttagelser har gjort i förvaltningsplanerna hos totalt 8 myndigheter kan inte heller förvaltningsplanerna sägas utgöra ett uttryckligt och medvetet ställningstagande kring föråldrade it-system. bedömning är att förvaltningsplanerna hos övriga myndigheter sannolikt inte heller utgör ett sådant ställningstagande. Syftet med granskningen är att undersöka om förekomsten och myndigheternas hantering av föråldrade it-system innebär ett hinder för arbetet med att uppnå en informationssäkrad digitalisering. ställde därför i enkäten frågan om eventuella problem med verksamhetskritiska it-system eller problem kopplade till myndighetens totala it-miljö får konsekvenser för myndigheternas fortsatta digitalisering. Av svaren framgår att av myndigheterna bedömer att problem antingen i enskilda it-system eller problem med myndighetens totala it-miljö försvårar myndighetens fortsatta digitalisering i ganska stor eller mycket stor utsträckning. Problemen fördelar sig relativt jämnt mellan att härröra från enskilda system eller från myndigheternas totala it-miljö. 3.4.1 Illustrativa exempel från fallstudierna På har man haft stora problem med sin hantering av bostadstillägg som till stor del kan kopplas till it-systemet. Myndigheten har förmodligen förlorat på sin digitaliseringsresa gällande bostadstillägg på grund av att man inte lyckades skapa en uppfattning om hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse eller ta fram processer för att löpande utvärdera hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse samt utifrån detta gjort medvetna och uttryckliga ställningstaganden. så är myndigheten relativt nybildad och fick mer eller mindre sina system i knät, vilket innebär att man får ha viss förståelse för att det tar tid. har en total systemmiljö som är framtagen med eftersträvad livscykel på 15–. Det innebär i praktiken att myndighetens it-miljö är en oljetanker, det vill säga att den tar och är svårt att vända. Att myndigheten inte har lyckats genomföra en kontinuerlig och bred livscykelhantering kommer att ha stor påverkan på myndighetens fortsatta digitalisering . 46 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N 3.5 Ö p m Utifrån en bedömning av hur stor förekomsten av problem som förknippas med föråldrade it-system är hos myndigheterna har delat in myndigheterna i tre kategorier: •svårigheter med ett mindre antal system •svårigheter med ett stort antal system. De två senare kategorierna har även delats upp utifrån om myndigheterna har uppgett att problemen försvårar deras fortsatta digitaliseringsarbete.86 Universiteten (15 stycken) har exkluderats och ingår inte i denna kategorisering, utan redovisas separat. T b 1 Kategorisering av myndigheter. Svårigheter med ett mindre antal system – ej digitaliseringspåverkan Svårigheter med ett mindre antal system – digitaliseringspåverkan Svårigheter med ett stort antal system – ej digitaliseringspåverkan Svårigheter med ett stort antal system – digitaliseringspåverkan ser att 3188 av 49 myndigheter89, utgör en riskgrupp utifrån att •myndighetens fortsatta digitaliseringsarbete försvåras av problem i enskilda it-system eller av problem i myndighetens totala it-miljö (digitaliseringspåverkan) •majoriteten av de omständigheter som listas i enkäten utgör ett problem för något eller några av myndighetens verksamhetskritiska it-system (svårigheter med ett mindre antal system) •minst en av de omständigheter som listas i enkäten utgör ett problem för en majoritet eller samtliga av myndighetens verksamhetskritiska it-system (svårigheter med ett stort antal system). 86”Digitaliseringspåverkan”/”ej digitaliseringspåverkan”. 87I gruppen ingår totalt 15 universitet. Av dessa kan 1 universitet kategoriseras som inga problem, 9 som svårigheter med ett mindre antal system och 5 som svårigheter med ett stort antal system. 7 av universiteten har svarat att den fortsatta digitaliseringen försvåras av problem i enskilda it-system eller i myndighetens totala it-miljö. 88Riskgruppen består egentligen av 32 myndigheter men en myndighet föll bort i det frågeunderlag som tillsändes . 89Här är universiteten exkluderade. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G De mönster som presenteras angående samvariationer i avsnittet ska tolkas med stor försiktighet. Hur myndigheternas it-miljö ser ut kan beror på ställningstaganden gjorda . Avsnittet syftar därmed till att peka på möjliga förklaringar snarare än kausala samband. Det går att urskönja ett mönster i att de myndigheter som inte upplever svårigheter har lägre andel it-kostnad i förhållande till total verksamhetskostnad90 än de myndigheter som upplever svårigheter. Med andra ord: Ju högre kvoten är mellan it-kostnad och total verksamhetskostnad desto större svårigheter upplever myndigheten. Det gäller oavsett om man tittar på medelvärdet eller medianen. I kategorin svårigheter med ett stort antal system – digitaliseringspåverkan återfinns därmed i stort sett samtliga av de största myndigheterna frånsett Arbetsförmedlingen och . Dessa två myndigheter bryter trenden avseende samvariationen mellan storlek och omfattning på problem och de har utifrån givna enkätsvar en väsentligt mycket mer gynnsam situation än myndigheter av motsvarande storlek. Det blir ännu mer anmärkningsvärt i ljuset av att båda myndigheterna har uttryckt stora problem med sin it-miljö och teknisk skuld i strategiska styrdokument tidigare. Myndigheter som uppgett att de inte har några problem har i högre utsträckning en modell för att bryta ner it-kostnader91 jämfört med de myndigheter som uppgett att det finns omständigheter som utgör problem för myndighetens verksamhetskritiska it-system.92 En modell saknas oftare för de myndigheter som anger att myndighetens fortsatta digitaliseringsarbete försvåras av problem i enskilda it-system eller av problem i myndighetens totala it-miljö93 jämfört med de som inte har några problem94 eller de som upplever svårigheter men där det inte påverkar det fortsatta digitaliseringsarbetet.95 90Verksamhetens kostnader, inklusive avskrivningar. 91Andelen är för myndigheterna i kategorin inga problem. 92Andelen är för myndigheterna i kategorin svårigheter med ett mindre antal system och för myndigheter i kategorin svårigheter med ett stort antal system. 93En modell saknas i av fallen. 94En modell saknas i av fallen. 95En modell saknas i av fallen. 48 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N 3.5.2 Komplex it-miljö och spretig arkitektur Ett annat mönster som kan utläsas ur enkätsvaren rör it-miljö och arkitektur. Dm 13 Svårigheter utifrån kategori. Andel som anser att integration är svårt/problematisk att arkitekturen är spretig att miljön är komplex att man inte har förutsättningar Svårigheter med ett större antal system Svårigheter med ett mindre antal system Av svaren på enkäten framgår att universiteten och myndigheter i kategorin svårigheter med ett stort antal system är de som i högre utsträckning anser att man har en komplex it-miljö med spretig arkitektur och att integration är svårt/problematiskt. I kategorin svårigheter med ett stort antal system återfinns i stort sett alla av de största myndigheterna som dessutom har en hög andel it i förhållande till den totala verksamheten. Ju mer omfattande it-miljö en myndighet har att hantera desto svårare blir det förmodligen med avseende på arkitektur, homogenitet i systemmiljön samt integration. Det som dock skiljer ut universiteteten är att även om man verksamhetsmässigt någorlunda matchar de största myndigheterna så har man en mycket mindre it-verksamhet i jämförelse. Man avviker även avseende bedömningen om man anser sig ha tillräckliga förutsättningar jämfört med kategorin svårigheter med ett stort antal system, då av universiteten säger sig sakna tillräckliga förutsättningar. I kategorin inga problem har hälften av myndigheterna svarat att man inte anser sig ha tillräckliga förutsättningar, vilket vid en första anblick kan te sig märkligt. I kategorin ingår dock endast 6 myndigheter och för två av de tre myndigheterna som säger sig sakna förutsättningar anges omständigheter utanför myndighetens kontroll som förklaring. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Nästa mönster som kan utläsas ur enkätsvaren rör livscykelhantering. Dm 14 Livscykelhantering utifrån kategori. Andel som inte gör livscykelplaner för Andel som inte gör livscykelplaner för Andel som bedömer att livscykelplaner ej är tillfredsställande för ett stort antal system Andel där det fattas livscykelplan i Svårigheter med ett större antal system Svårigheter med ett mindre antal system De myndigheter som uppger att man inte har några problem gör i högre utsträckning än övriga kategorier livscykelplaner och livscykelhantering. Livscykelhanteringen är också enligt svaren mest bristfällig hos de myndigheter som har störst problem. 3.5.4 Stadsplan, målarkitektur och arkitekturstyrning Ett ytterligare mönster som kan utläsas av enkätsvaren berör de verktyg som myndigheterna behöver för att skapa sig en bild av hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse. Dm 15 Målarkitektur, stadsplan och arkitekturstyrning utifrån kategori. Andel som inte använder Svårigheter med ett större antal system Svårigheter med ett mindre antal system R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Vad avser målarkitektur, stadsplan och arkitekturstyrning är det svårt att se några tydliga mönster bara genom att jämföra svaren mellan de olika kategorierna. Vad gäller målarkitektur är frånvaron av en sådan på ungefär samma nivå i alla kategorier. Kategorien myndigheter som inte har problem sticker ut på så sätt att fler myndigheter säger sig ha en stadsplan och samtliga myndigheter säger sig tillämpa arkitekturstyrning. 3.5.5 Informationsklassning och riskanalyser Ett sista mönster som kan utläsas ur enkätsvaren rör informationsklassning och riskanalyser. Dm 16 Informationsklassning och riskanalyser per kategori. Andel som inte genomför återkommande riskanalys för en majoritet av sina system Andel som inte gjort informationsklassning för en majoritet ett större antal system ett mindre antal system Av svaren framgår att hälften av myndigheterna i kategorin inga problem har genomfört informationsklassning för mindre än hälften av sina verksamhetskritiska system. Motsvarande gäller även avseende att genomföra återkommande riskanalyser. Om myndigheterna inte har genomfört dessa åtgärder är det svårt att veta om it-systemen faktiskt är ändamålsenliga utifrån kärnverksamhetens behov. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G Avsnittet beskriver regeringens styrning och vidtagna åtgärder, både på ett mer övergripande plan avseende digitalisering och utifrån vilka åtgärder man vidtagit specifikt kopplat till föråldrade it-system. p å ä f Regeringen har vidtagit ett antal åtgärder kopplat till digitalisering. Man har inrättat Myndigheten för digital förvaltning (DIGG) som en generell åtgärd för att förbättra styrningen och samordningen samt uppföljningen av den offentliga förvaltningens digitalisering. Regeringen har också tillsatt en expertgrupp för digitala investeringar96 för att bistå utvalda myndigheter i deras strategiska it-investeringar och bygga en bättre förståelse för de utmaningar som den offentliga förvaltningen står inför vid sådana större projekt. Regeringen har lämnat ett uppdrag till Ekonomistyrningsverket97 att följa de statliga myndigheternas användning av it och hur myndigheten tar tillvara digitaliseringens möjligheter.98 Syftet med uppdraget har varit att få en bättre förståelse för myndigheternas it- och digitaliseringsmognad och kunna följa upp hur strategiskt och strukturerat myndigheterna arbetar med frågorna. Man har vidare gett uppdrag till , , och Myndigheten för digital förvaltning99 om att lämna förslag som syftar till att skapa en säker och effektiv tillgång till grunddata, genom att bland annat tydliggöra ansvaret för grunddata och öka standardiseringen samt lämnat uppdrag till , , , , , och Myndigheten för digital förvaltning100 om att lämna förslag som syftar till att skapa ökad säkerhet och effektivitet i samband med elektroniska informationsutbyten inom och med den offentliga sektorn. har uppgett att en ökad styrning av sättet på vilket myndigheterna utbyter data mellan system får en stark indirekt påverkan på föråldrade it-system som måste anpassas för att kunna hantera de krav som ställs på informationsutbyte inom den offentliga förvaltningen.101 har också genomfört interna kompetenshöjande aktiviteter för att förbättra medarbetarnas kunskap om it och digitalisering generellt. 96Numera en del av Myndigheten för digital förvaltnings uppdrag (dir. 2017:62 samt tilläggsdirektiv 2017:118). Se 13 § förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning. 97N2016/01642/EF 98Numera en del av Myndigheten för digital förvaltnings uppgifter. 99Fi 2018/03036/DF 100Fi2018/03037/DF 52 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Aktiviteterna har även syftat till att öka kännedomen om stöd för uppföljning och dialog med myndigheterna vad gäller myndigheternas it och digitalisering. m p b mb Avsnittet beskriver svaren på det frågeformulär rörande de 64 enkätmyndigheterna som har lämnat till , samt svaren från enkäten där myndigheterna fick ange om man hade haft någon dialog med ansvarigt departement kring frågor som rör problem med verksamhetskritiska it-system. 4.2.1 Kunskap om förekomsten av föråldrade it-system Vad gäller de 31 myndigheter som kategoriserat som riskgrupp har departementen endast kunskap om att det finns föråldrade it-system hos hälften (15)av dessa. Samtliga av de myndigheter som med departementens vetskap har föråldrade it-system är myndigheter som kategoriserats i ”svårigheter med ett stort antal system”. 12 av dessa är myndigheter som uppgett att deras fortsatta digitaliseringsarbete försvåras av problem i enskilda it-system eller problem i myndighetens totala it-miljö (digitaliseringspåverkan) och resterande 3 myndigheters digitaliseringsarbete försvåras inte (ej digitaliseringspåverkan). Omvänt så innebär det att för 17 av myndigheterna i riskgruppen har departementen inte kunskap om att det finns föråldrade it-system.