prop · H70382 · 2020-02-11 00:00:00 — Av dessa har tolv myndigheter kategoriserats i ”svårigheter med ett stort antal system”, varav sju myndigheter har uppgett att deras fortsatta digitaliseringsarbete försvåras av problem i enskilda it-system eller problem i myndighetens totala it-miljö (digitaliseringspåverkan). 4.2.2 Kunskap om konsekvenserna av föråldrade it-system Det finns enbart för fyra av de 31 myndigheterna i riskgruppen detaljerad kunskap om vilka konsekvenser förekomsten av utdaterade it-system får för myndighetens fortsatta digitalisering eller för möjligheten att upprätthålla en nödvändig nivå av informationssäkerhet. För tio av de 31 myndigheterna finns övergripande kunskap om konsekvenser.102 Vad gäller de 23 myndigheter som uppgett att deras fortsatta digitaliseringsarbete försvåras av problem i enskilda it-system eller problem i myndighetens totala it-miljö (digitaliseringspåverkan) har departementen endast i tre fall uppgett att de känner till vilka detaljerade konsekvenser förekomsten av utdaterade it-system får 102Departementen har inte besvarat denna fråga för 16 av myndigheterna; det hänger ihop med att de uppgett att de inte sett att det finns föråldrade it-system hos dessa. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G för myndighetens fortsatta digitalisering eller för möjligheten att upprätthålla en nödvändig nivå av informationssäkerhet. För nio av myndigheterna finns övergripande kunskap om konsekvenser.103 4.2.3 Dialog mellan regeringen och myndigheterna 21 av de 31 myndigheter som kategoriserat som riskgrupp uppger att de haft en dialog med ansvarigt departement kring frågor som rör problem med verksamhetskritiska it-system i myndighetens kärnverksamhet. Det är nästan uteslutande myndigheterna med mest problem som uppger att de har haft Departementen har svarat att 13 av de 31 myndigheterna i riskgruppen på eget initiativ tagit upp problem kopplade till utdaterade it-system i sina kontakter med departementet. I samtliga fall har det rört myndigheter som kategoriserats i gruppen ”svårigheter med ett stort antal system”. Departementen och myndigheterna har en samsyn i frågan om att de haft en dialog i 18 av fallen, och i samtliga fall handlar det om myndigheter med svårigheter med ett stort antal system och som har digitaliseringspåverkan.104 I 12 fall har departementen och myndigheterna olika syn på om de haft en dialog eller inte, och i samtliga fall utom 1 handlar det om myndigheter som är i kategorin ”svårigheter med ett stort antal system”.105 Departementen har efterfrågat specifik information kring föråldrade it-system och problem kopplade till dessa från åtta av de 31 myndigheterna. I samtliga fall har det rört myndigheter som kategoriserats i gruppen ”svårigheter med ett stort antal system”. För 19 av myndigheterna har departementen inte efterfrågat information specifikt om utdaterade it-system men däremot generellt om it-system.106 I sex fall har varken myndigheten eller departementet tagit upp frågan, trots att det i fyra av dessa fall har rör sig om myndigheter med omfattande problem. Enbart i ett av fallen (Transportstyrelsen) har dialogen mellan myndigheterna och departementen om frågor som rör föråldrade it-system dokumenterats.107 4.2.4 Undanröja eller reducera problemen Departementen har enbart för 1 av de 31 myndigheterna i riskgruppen (Transportstyrelsen), i de fall de fått information kring problem kopplade till föråldrade it-system, säkerställt att problemen har undanröjts eller reducerats 103Departementen har inte besvarat denna fråga för 10 av myndigheterna. Det hänger ihop med att de uppgett att de inte sett att det finns föråldrade it-system hos dessa, men bör det noteras att 7 av dessa återfinns i kategorin ”svårigheter med ett stort antal system – digitaliseringspåverkan”. 104I 11 av fallen har både departementet och myndigheten uppgett att man har haft en dialog. I 7 har både departementet och myndigheten uppgett att man inte har haft någon dialog. 105I två fall har myndigheterna inte besvarat frågan. 106För 3 av myndigheterna har frågan inte besvarats eller så har det inte varit aktuellt att efterfråga sådan information. 107I 24 fall finns ingen dokumentation och i 5 fall har frågan inte besvarats. 54 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N i största möjliga mån. För 19 av myndigheterna uppges att departementen haft en löpande dialog med myndigheten. I tio fall har frågan inte besvarats, detta trots att departementet för tre av myndigheterna angivit att det finns utdaterade it-system hos myndigheterna och att dessa har kategoriserats i gruppen svårigheter med ett stort antal system. Vad gäller de 15 universiteten har departementet inte i något fall uppgett att de har kunskap om att det finns föråldrade it-system hos dessa. Detta trots att 8 av universiteten uppgett att majoriteten av de omständigheter som listas i enkäten utgör ett problem för något eller några av myndighetens verksamhetskritiska it-system (svårigheter med ett mindre antal system) och fem av universiteten uppgett att minst en av de omständigheter som listas i enkäten utgör ett problem för en majoritet eller samtliga av myndighetens verksamhetskritiska it-system (svårigheter med ett stort antal system). Departementet har heller inte efterfrågat specifik information kring föråldrade it-system och problem kopplade till dessa från något av universiteten, däremot har de efterfrågat information generellt om it-system från samtliga.108 Det finns inte heller för något universitet någon dokumenterad dialog mellan myndigheterna och departementen om frågor som rör föråldrade it-system. 108Departementen har inte för något av universiteten besvarat frågan om huruvida de har kunskap om vilka konsekvenser förekomsten av utdaterade it-system får för myndighetens fortsatta digitalisering eller för möjligheten att upprätthålla en nödvändig nivå av informationssäkerhet. Man har heller inte för något universitet besvarat frågan om man har säkerställt att problemen har undanröjts eller reducerats. Det hänger ihop med att de uppgett att de inte sett att det finns föråldrade it-system hos dessa. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G 5 Slutsatser och rekommendationer Kapitlet beskriver de slutsatser har dragit utifrån den empiri som presenteras i avsnitt två, tre och fyra. Kapitlet är indelat i fyra avsnitt. Först berörs frågan om förekomsten av föråldrade it-system i statsförvaltningen och problem förknippade med dem. Därefter följer ett avsnitt som behandlar den första revisionsfrågan om huruvida myndigheterna har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system. Avsnittet är i sin tur uppdelat i tre delar där varje del behandlar iakttagelserna utifrån de tre första bedömningsnormerna. Sedan följer att avsnitt som behandlar den andra revisionsfrågan om huruvida regeringen har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system. Avsnittet är uppdelat i två delar där den första behandlar regeringens kunskap och den andra regeringens åtgärder. Sist kommer ett avsnitt som behandlar rekommendationer. Granskningen visar att det finns föråldrade it-system hos ett stort antal myndigheter. Hos många myndigheter är det dessutom ett flertal av de verksamhetskritiska it-systemen som är föråldrade. Såvitt kan utröna är detta ny kunskap. Det har således inte funnits någon bred bild av problemet med föråldrade it-system i förvaltningen. Ett föråldrat it-system kräver ofta ökande resurser bara för att vidmakthållas. Digitaliseringen går fort och nya it-system utvecklas och blir ständigt mer effektiva. Det finns alltså stor risk för att föråldrade it-system innebär bristande hushållning med statens medel. Dessutom är föråldrade it-system vanligen förknippade med risker för bristande informationssäkerhet. Det faktum att föråldrade it-system kräver mycket resurser innebär en undanträngning av myndighetens innovationsförmåga. Det blir färre resurser över till att ta till sig ny digital teknik och att utveckla och anamma nya och mer effektiva it-system. Många föråldrade system gör det också svårt eller omöjligt att, baserat på det befintliga systemet, utveckla nya tjänster eller funktionalitet eller att förändra och utveckla befintliga verksamhetsprocesser. Därmed påverkar it-systemen också myndigheternas verksamhetsutveckling. Närmare hälften av myndigheterna109 uppger att myndighetens fortsatta digitaliseringsarbete i ganska eller mycket stor utsträckning försvåras av problem i enskilda it-system eller av it-miljön i stort. 56 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N Föråldrade it-system innebär dock inte bara en risk för den enskilda myndigheten. Med den utveckling som sker i dagens samhälle ökar behovet av informationsutbyte och kopplingar mellan myndigheter, mellan myndigheter och privata aktörer och mellan myndigheter och enskilda medborgare. Ett föråldrat it-system och problem med det enskilda systemet hos en myndighet kan därmed innebär stora konsekvenser för möjligheterna att bedriva verksamheten hos en annan myndighet eller privat aktör. It-kostnaderna för de myndigheter som är föremål för granskning är ungefär 19 miljarder. Den bristande effektiviteten som kan kopplas till föråldrade it-system är därmed väsentlig även ur ett budgetperspektiv. Vidare svarar av myndigheterna att man har svårigheter att upprätthålla eftersträvad nivå av informationssäkerhet för något eller några verksamhetskritiska system och svarar att det är ett problem för samtliga eller en majoritet av de verksamhetskritiska systemen. Föråldrade it-system innebär därmed även en väsentlig risk ur slutsats är sammantaget att problemet med föråldrade it-system är så allvarligt och utbrett att det innebär ett hinder för en fortsatt effektiv digitalisering av statsförvaltningen. övergripande slutsats är att ett flertal myndigheter inte har vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system. Myndigheternas svar på frågor visar att det förekommer föråldrade system hos en övervägande majoritet av myndigheterna. För många myndigheter rör det sig heller inte om enstaka system utan i stället ett flertal. Myndigheterna har därmed inte lyckats förebygga att it-systemen blir föråldrade. är medveten om att verksamhetsutveckling som rör föråldrade it-system är komplext och svårt. Det saknas dock inte arbetssätt eller verktyg för verktygsutveckling som kan göra arbetet mer effektivt. har därför undersökt om myndigheterna använder de medel som står till buds. Överlag visar granskningen att myndigheterna inte arbetar med de verktyg som finns. Avsaknaden av livscykelplaner tyder vidare på att myndigheterna inte på ett strukturerat och systematiskt sätt har fattat medvetna och uttryckliga beslut om hur problemen med system som blivit föråldrade ska reduceras eller undanröjas. 5.2.1Myndigheternas uppfattning om hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse En första utgångspunkt i bedömning av om myndigheterna gjort tillräckligt är att de bör ha en uppfattning om vilka mål verksamheten ska uppnå, R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G bör ha organiserat sig för att uppnå de målen och till slut avsatt resurser som för arbetet för att uppnå målen. menar att man bara kan sägas bedriva systemutveckling och systemförvaltning på ett strukturerat och systematiskt sätt om man faktiskt har möjlighet att bedöma hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse. För att kunna göra det krävs att man har eller använder vissa verktyg för verksamhetsutveckling. Utifrån iakttagelserna i kapitel 2 drar slutsatsen att en stor del av de undersökta myndigheterna inte har eller använder de verktyg som behövs. Det innebär i sin tur man får svårigheter att analysera och förstå hur förändringar påverkar verksamhetens mål och det blir därmed också svårare att definiera ett framtida önskvärt läge. Det kan noteras att av myndigheterna svarar att it-miljön är komplex på grund av ett stort antal heterogena system. Mer än hälften har en arkitektur som strävar i flera olika riktningar till förfång för helheten (spretig arkitektur). I en heterogen it-miljö där myndigheterna tvingas prioritera enskilda projekt kan det vara svårt att se helheten och förmå analysera för och nackdelar med den rådande it-arkitekturen i sin helhet. Vinsten med en homogen it-miljö hämtas sällan hem i enskilda projekt, utan ger mer svåranalyserade effektivitetsförbättringar för it-miljön i stort. Det kan därför vara svårt att i enskilda projekt peka på vinsterna med följsamhet mot en övergripande målarkitektur. Om en målarkitektur inte alls finns blir det omöjligt. bedömer att frånvaron av målarkitektur och arkitekturstyrning är en av flera bakomliggande förklaringar till att många myndigheter har it-system som kan anses vara föråldrade utifrån verksamhetens behov. en målarkitektur är därmed centralt för att vidmakthålla och utveckla en it-miljö som effektivt stödjer verksamhetens behov. Behovet av målarkitektur och arkitekturstyrning accentueras med storleken på myndighetens totala it-miljö. De iakttagelser har gjort kring myndigheternas bristande arbete med digitaliseringsstrategier kan även de vara en förklaring till att många myndigheter brottas med en it-miljö bestående av föråldrade it-system i varierande omfattning. En sådan strategi anger en riktning för vad myndigheten totalt sett vill uppnå med sin digitalisering. Det ger därmed en riktlinje som varje enskilt projekt som rör it-utveckling eller förvaltning i någon utsträckning behöver förhålla sig till. Omvänt blir det utan en strategi svårt att åstadkomma en effektivt fungerande helhet. 5.2.2Myndigheternas processer för att löpande utvärdera hur väl it-stödet bidrar till kärnverksamhetens måluppfyllelse En andra utgångspunkt för ett effektivt arbete är att myndigheten måste ha processer för att löpande utvärdera hur väl it-stödet bidrar till att uppnå kärnverksamhetens mål. Utifrån granskningens iakttagelser drar 58 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N slutsatsen att en stor del av de undersökta myndigheterna inte har sådana processer. kan konstatera att i stort sett samtliga myndigheter har en fastställd förvaltningsmodell och att en övervägande del använder Pm3. Det räcker dock inte med att ha en förvaltningsmodell, den måste tillämpas på rätt sätt också. Pm3 kan tjäna som illustrativt exempel. Tanken är att Pm3 ska vara en struktur där utveckling och förvaltning styrs gemensamt av kärnverksamheten och it-verksamheten, utifrån organisationens övergripande behov. Undersökningen av de två fallstudiemyndigheterna tyder på att fallstudiemyndigheterna inte använder pm3 som det är tänkt. Man verkar ha haft ett traditionellt statiskt synsätt där ett it-system köps in/utvecklas, för att sedan lämnas över för it-förvaltning. Denna genomför mer eller mindre endast ett löpande underhåll för att upprätthålla funktionalitet fram till dessa att systemet ersätts. Detta avviker från idealet där man snarare ska utgå ifrån att it-systemet är i ständig förändring. Enligt den modellen med ”aktiv förvaltning” ska kontinuerliga investeringar tillgodose verksamhetens önskemål om ny funktionalitet, och också åtgärda defekter. Om man inte bedriver en aktiv förvaltning är man förmodligen mer benägen att fokusera på att systemet behåller sin ursprungliga funktionalitet än på att utvärdera om systemet behöver anpassas till en föränderlig verklighet. Om organisationen inte har lyckats skapa en nära samverkan och förståelse mellan kärnverksamhet och it-avdelning och kärnverksamheten inte heller uttrycker önskemål om förändringar blir konsekvensen att it-systemet förblir oförändrat så länge det uppfyller vad det ursprungligen var tänkt att göra. Det får i sin tur en konserverande effekt på verksamhetsutvecklingen i stort. bedömning är att en sådan dynamik förmodligen är vanligt även hos de myndigheter som ingår i granskningen. Den slutsatsen stärks av de svar myndigheterna har lämnat kring hur man bedriver livscykelhantering. De perspektiv anser vara rimliga att löpande ta hänsyn till och göra bedömningar mot i sin livscykelhantering saknas i livscykelhanteringen för mellan av myndigheterna. Det enda perspektivet som en övervägande majoritet av myndigheterna beaktar är det rent tekniska. Utifrån frågorna kring vad myndigheterna dokumenterar i sina livscykelplaner stärks slutsatsen ytterligare. Lite drygt en tredjedel av myndigheterna genomför återkommande riskanalyser endast för något eller några verksamhetskritiska system eller inga alls. Motsvarande andel myndigheter saknar möjlighet att bryta ner it-kostnader på en detaljerad nivå. Utan återkommande riskanalyser och detaljerade uppgifter om kostnaderna är det svårt att göra verkningsfulla utvärderingar av it-stödets ändamålsenlighet. Det innebär i sin tur förmodligen att myndigheterna inte hushållar med statens medel på bästa sätt. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G 5.2.3 Myndigheternas ställningstaganden kring sina it-system Den tredje och sista utgångspunkten är att myndigheten utifrån sin utvärdering av hur väl it-stödet bidrar till att uppfylla kärnverksamhetens mål gör medvetna och uttryckliga ställningstaganden kring om myndigheten behöver vidta åtgärder för att förändra it-stödet och i så fall vilka. Utifrån iakttagelserna i granskningen drar slutsatsen att en stor del av de undersökta myndigheterna inte gör sådana ställningstaganden. av myndigheterna saknar livscykelplaner för annat än något eller några verksamhetskritiska system, som av myndigheterna bedömer att framtagna livscykelplaner innebär en tillfredsställande livscykelhantering utifrån kärnverksamhetens behov endast för något, några eller inget av de verksamhetskritiska systemen. Nästan alla myndigheter använder sig av årliga förvaltningsplaner eller motsvarande dokument men dessa planer har normalt sett just ett årligt perspektiv, och det saknas livscykelplaner och underlag för livscykelplanerna i form av utvärderingar av systemets ändamålsenlighet utifrån kärnverksamhetens behov. upplever att det finns ett glapp mellan systemförvaltning och nyutveckling av it-system. Dokumentationen i förvaltningen är i huvudsak en ögonblicksbild och har ett ettårigt perspektiv, mer inriktat på underhåll och projektdirektiv vid nyutveckling än mer framåtblickande. En löpande dokumentation i utvärderande form som koppling mellan förvaltningsplaner och förstudier inför beslut om eventuell nyutveckling verkar dock enligt saknas. Avsaknaden av livscykelplaner med tillhörande underlag hos en stor skara myndigheter i kombination med vad bedömer som brister i den livscykelhantering som faktiskt görs innebär enligt att myndigheterna överlag inte kan anses ha gjort medvetna och uttryckliga ställningstaganden kring sina it-system. Denna problematik illustreras också av fallstudierna som visar att myndigheterna är någorlunda medvetna om bristerna och att något egentligen skulle behöver göras, men att det är först när någon helt tvingande omständighet (exempelvis när en leverantör slutar lämna support för en viss applikation) inträffar som man verkligen vidtar åtgärder. Systemen får utan effektiv livscykelhantering fortsätta vara i drift utan att det finns ett tillräckligt underlag som visar om fördelarna överstiger nackdelarna eller inte. bedömning är att Regeringen har vidtagit en del övergripande åtgärder kring digitalisering i stort, som indirekt kan ha positiva effekter på frågan om föråldrade it-system. Arbetet med att kravställa och utforma en övergripande arkitektur för informationsutbyte mellan aktörer i samhället är en sådan åtgärd. Bildandet av DIGG och uppdragen kring myndigheternas it-kostnader och digitala mognad är andra. Vad gäller frågan om huruvida åtgärder har riktats mer specifikt 60 R I K S R E V I S I O N E N E N G R A N S K N I N G S R A P P O R T F R Å N R I K S R E V I S I O N E N mot föråldrade it-system så kan inte hitta några sådana. Frånvaron av mer direkta åtgärder mot föråldrade it-system i kombination med regeringens bristande kunskap kring förekomsten och konsekvenserna av föråldrade it-system innebär enligt att regeringen inte kan anses ha vidtagit tillräckliga åtgärder för att hantera problematik kopplad till föråldrade it-system. 5.3.1Regeringens kunskap om omfattning, orsaker och konsekvenser Utifrån svaren på det frågeformulär som skickat till kan konstateras att de ansvariga departementen och därmed även regeringen saknar tillräcklig kunskap om såväl förekomsten som konsekvenserna av föråldrade it-system. uppger sig ha kunskap om förekomsten av föråldrade it-system i 15 av de 31 fall som har klassificerat som utgörande en riskgrupp. Bortsett från fyra fall har lämnat så övergripande svar att det inte framgår att de vet vilka konsekvenserna är. Av svaren kan man vidare dra slutsatsen att departementen efterfrågar generell information om it och digitalisering, men i väldigt liten utsträckning mer specifik information. förväntar sig i stället att myndigheterna självmant tar upp eventuella problem. Det ligger i sakens natur att myndigheterna inte kommer att ta upp problem de själva inte inser att de har. Det är dock svårt att bedöma det mer exakta innehållet i dialogerna. Den enda dialog som har dokumenterats var den med Transportstyrelsen. Vad avser frågan om huruvida regeringen har säkerställt att problemen har undanröjts eller reducerats i största möjliga mån har uppgett att så har skett i ett fall (Transportstyrelsen). Variationen i hur mycket kunskap departementen har om föråldrade it-system och konsekvenserna av förekomsten på sina respektive myndigheter tyder enligt på att det inte finns något strukturerat sätt eller någon metod för att närma sig frågorna i dialogen mellan departement och myndighet. Vid en jämförelse mellan de svar som myndigheterna har lämnat kring eventuell dialog och de svar har lämnat framgår att myndigheterna och har olika uppfattning om huruvida dialog har förekommit eller inte för ett antal myndigheter. Avsaknaden av dokumentation omöjliggör dock att vidare undersöka vad skillnader i uppfattning kring vilken dialog som har förts kan bero på. Det är även uppenbart att det finns ett antal fall där myndigheterna inte verkar ha tagit upp frågan på eget initiativ och där departementet inte heller har efterfrågat information. slutsats är därmed att den dialog som har genomförts inte har varit ändamålsenlig för att fånga upp problemen med föråldrade it-system. R I K S R E V I S I O N E N F Ö R Å L D R A D E I T - S Y S T E M – H I N D E R F Ö R E N E F F E K T I V D I G I T A L I S E R I N G 5.3.2Regeringens åtgärder för att säkerställa att problemen undanröjs Företrädare för har vid samtal med påtalat att regeringen inte utövar styrning av myndigheterna på ett sätt som innebär att man talar om för myndigheterna hur de ska utforma sin it-miljö eller vilka it-system de ska välja. Regeringen har i stället fokuserat på att styra övergripande frågor som exempelvis arkitektur och villkor för informationsutbyte, som i förlängningen kan ha styrande effekt även på enskilda it-system. Den svenska förvaltningsmodellen bygger på att myndigheterna i stor utsträckning lämnas att utforma sin verksamhet under eget ansvar. Ansvaret att se till att it-system inte blir föråldrade eller att se till att undanröja eller reducera de effekter som föråldrade it-system får ligger därmed på varje myndighet.