Resultat

Förekomsten av föråldrade it‑system

Föråldrade verksamhetskritiska it‑system innebär en stor risk för effektivitetsproblem i det att man tvingas använda proportionerligt sett mer resurser bara för att vidmakthålla systemet. Det finns därför goda skäl att anta att föråldrade it‑system innebär en hög risk för bristande hushållning med statens medel. Det innebär även en undanträngning vad gäller myndighetens innovationsförmåga i form av att kunna utveckla nya it‑system. Föråldrade it‑system innebär dock inte bara en risk för den enskilda myndigheten utan problem hos en myndighet kan innebär stora konsekvenser för möjligheterna att bedriva verksamhet hos en annan myndighet eller privat aktör.

Granskningen visar att det förekommer föråldrade it‑system hos ett stort antal myndigheter. Hos många myndigheter är dessutom ett eller flera verksamhetskritiska it‑system föråldrade. Vad Riksrevisionen vet är detta ny kunskap och ingen har således haft en bild av problemets utbredning i statsförvaltningen.

It-kostnaderna för de myndigheter som ingår i Riksrevisionens granskning är ungefär 19 miljarder. De effektivitetsbrister som kan kopplas till föråldrade it‑system är därmed väsentliga ur ett budgetperspektiv. Föråldrade it‑system innebär även en risk ur ett informationssäkerhetsperspektiv. Riksrevisionen menar att föråldrade it‑system på en aggregerad nivå innebär ett väsentligt effektivitets­problem för staten och ett hinder för en fortsatt effektiv och säker digitalisering.

Myndigheterna har inte rätt arbetssätt

Riksrevisionens slutsats är att en stor del av de undersökta myndigheterna inte arbetar på rätt sätt med utveckling och förvaltning av it-stödet. De använder inte de verktyg för verksamhetsutveckling som finns för att skapa sig en uppfattning om hur it-stödet ska bidra till kärnverksamhetens måluppfyllelse på bästa sätt. Därmed saknar en stor andel av de granskade myndigheterna en övergripande beskrivning av hur strategier, verksamhetsprocesser och system hänger ihop. Det innebär i sin tur man får svårigheter att analysera och förstå hur förändringar påverkar verksamhetens mål och det blir därmed också svårare att definiera ett framtida önskvärt läge.

Myndigheterna saknar processer för att löpande utvärdera it‑stödets ändamålsenlighet

Av de 64 myndigheter som besvarat enkäten säger 69 procent att man inte har någon beslutad modell för att hantera och fatta beslut om it‑system från det att systemet utvecklas till dess att det avvecklas, vad som brukar kallas livscykelhantering. Det tyder enligt Riksrevisionen på att livscykelhantering inte genomförs på ett strukturerat och metodiskt sätt. De perspektiv som är rimliga att löpande ta hänsyn till och göra bedömningar mot i sin livscykelhantering saknas för ungefär 40 till 60 procent av myndigheterna. Myndigheterna är bäst på det rent tekniska, vilket skulle kunna tyda på att livscykelhanteringen främst görs utifrån it-avdelningens perspektiv, snarare än utifrån en analys av myndighetens övergripande behov. Det finns också brister i arbetet med riskanalyser. En så stor grupp som en dryg tredjedel av myndigheterna genomför endast återkommande riskanalyser för något eller några verksamhetskritiska system eller inga alls. Lika många kan heller inte bryta ner it-kostnader på den detaljerade nivå som behövs för att fatta bra beslut. Utan återkommande riskanalyser och detaljerade uppgifter om kostnaderna är det svårt att göra meningsfulla utvärderingar av it-stödets ändamålsenlighet.

Myndigheterna tar inte medvetet ställning till sina it‑system

Närmare 60 procent av myndigheterna saknar livscykelplaner för annat än något eller några verksamhetskritiska system. Av de myndigheter som tagit fram sådana planer bedömer 60 procent att planerna inte är tillfredsställande annat än för några enstaka system eller inga alls. Avsaknaden av livscykelplaner och andra planeringsunderlag hos många myndigheter kombinerat med brister i den livscykelhantering som faktiskt görs, innebär att myndigheterna överlag inte kan anses ha gjort medvetna och uttryckliga ställningstaganden kring sina it‑system.

Regeringen har inte vidtagit tillräckliga åtgärder

Riksrevisionens bedömning är att de ansvariga departementen och därmed även regeringen saknar tillräcklig kunskap om såväl förekomsten som konsekvenserna av föråldrade it‑system. Regeringskansliet uppger sig ha kunskap om förekomsten av föråldrade it‑system i 15 av de 31 myndigheter som Riksrevisionen har identifierat som en riskgrupp. Bortsett från 4 fall har Regeringskansliet lämnat så övergripande svar att det inte framgår att de vet vilka konsekvenserna är.

Företrädare för Regeringskansliet har påtalat att regeringen inte utövar styrning av myndigheterna på ett sätt som innebär att de talar om för myndigheterna hur de ska utforma sin it-miljö eller vilka it‑system de ska välja. Regeringen har i stället fokuserat på att styra övergripande frågor som villkor för informationsutbyte som i förlängningen kan ha styrande effekt även på enskilda it‑system. Detta styrningsperspektiv ligger i linje med den svenska förvaltningsmodellen som bygger på att myndigheterna i stor utsträckning självständigt får utforma sin verksamhet. Det direkta ansvaret för att se till att it‑system inte blir föråldrade eller att se till att undanröja eller reducera de problem som kommer med föråldrade it‑system är enligt samma logik varje enskild myndighets ansvar.

Riksrevisionen konstaterar samtidigt att närmare hälften av myndigheterna uppger att problem i enskilda it‑system eller it-miljön i stort har ganska eller mycket stor påverkan på det fortsatta digitaliseringsarbetet. Granskningen visar att föråldrade it‑system är ett utbrett problem som har stor påverkan, inte bara på den enskilda myndigheten utan problemet får även förvaltningsövergripande konsekvenser. Slutsatsen blir därför att myndigheterna hittills inte själva har klarat av att effektivt hantera problematiken kring föråldrade it‑system.

Utifrån de iakttagelser Riksrevisionen har gjort verkar regeringen ha bristande kunskap om den risk som föråldrade it‑system utgör för statsförvaltningen som helhet. Utifrån förekomsten av föråldrade it‑system hos de granskade myndigheterna, regeringens bristande kunskap och riksdagens och regeringens ambitiösa mål för digitaliseringen anser Riksrevisionen att regeringen bör säkerställa att man har kunskap kring hur myndigheterna hanterar problematiken kring föråldrade it‑system. Utan sådan kunskap försvåras regeringens möjligheter att styra även på en övergripande nivå. I ett andra steg bör regeringen överväga att tillhandahålla gemensamma verktyg eller modeller för att underlätta myndigheternas arbete. Ett gemensamt arbetssätt, inklusive gemensamma sätt att utvärdera och återrapportera, skulle också ge regeringen ökade möjligheter att jämföra myndigheterna med varandra och därmed göra det möjligt för regeringen att försäkra sig om att digitaliseringen av statsförvaltningen är effektiv och avgöra hur regeringsstyrningen ska utformas.

Riksrevisionens bedömning är därmed att regeringen inte kan anses ha vidtagit tillräckliga åtgärder för att säkerställa att problemen reducerats eller undanröjts.