Missiv - Riktlinje för utkontraktering av IT

Transkript

1 Kommunstyrelsen Datum Diarienummer Kommunledningskontoret KSKF/2020:190 Kommunikation och delaktighet Handlingsnummer Sara Nordlund 2020: (3) Kommunstyrelsen Missiv - Riktlinje för utkontraktering av IT Förslag till beslut Förslag till kommunfullmäktige 1. Riktlinje för utkontraktering av IT för Eskilstuna kommunkoncern antas i enlighet med kommunledningskontorets förslag. 2. Riktlinje för utkontraktering av IT ersätter tidigare Riktlinje för Eskilstuna kommuns IT-verksamhet KSKF 2017:655. Ärendebeskrivning Denna riktlinje är en konkretisering av Eskilstuna kommuns IT-policy och Riktlinjen för anskaffning av IT. Inom denna riktlinje beskrivs vilka principer som gäller vid beslut om utkontraktering av IT-tjänster inom kommunkoncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har en rik flora av system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av utkontraktering av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen inklusive molntjänster. Riktlinjen omfattar alla nämnder och bolag inom koncernen. Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing.

2 Eskilstuna kommun (3) Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Arbetssätt och involvering Arbetet med framtagningen av Riktlinje för utkontraktering har letts av kommunledningskontorets IT-chef tillsammans med konsulter från PWC. Avstämningar har gjorts med en Styrgrupp bestående av Kommunikationsdirektör, IT-chef, Förvaltningschef SEF, Områdeschef SEF IT och Informationssäkerhetsstrateg. Under arbetets gång har workshops genomförts tillsammans med nyckelroller för ITanskaffning, resultatet har löpande stämts av med processledningsgruppen för IT som representeras av alla förvaltningar och CIO för Kommunföretag. I arbetet har det genomförts två avstämningar med kommunledningskontorets ledningsgrupp. Förändringar i riktlinjen efter remissrunda Utifrån inkomna synpunkter i remissen så har kommunledningskontoret gjort förändringar och förtydliganden i riktlinjen. Ett tydliggörande att Riktlinje för utkontraktering är ett komplement till IT-Policy och Riktlinje för anskaffning av IT. Under rubriken Styrande principer har en komplettering skett för att förtydliga nämnder och bolags eget ansvar vid genomförande av sourcing. Alla styrdokument för IT har kompletterats med en ordlista för att förtydliga begrepp som är vanligt förekommande i dokumenten. Finansiering Finansieringen av arbetet med riktlinjen har skett genom tidigare beslutade medel för IT-utveckling och digitalisering. Medel för upprätthållande och förvaltning av riktlinjen finansieras inom ramen för ordinarie lednings- och styrnings arbete inom kommunkoncernen. Konsekvenser för hållbar utveckling och en effektiv organisation Social dimension: Riktlinjen ska bidra till att utveckla välfärden och verka för trygga offentliga digitala lösningar. Miljömässig dimension: Riktlinjen är en förutsättning för att arbeta för en mer hållbar verksamhet och hållbar stad. Digitalisering ger exempelvis mycket goda förutsättningar till digitala lösningar på en standardiserad nivå med så låg suboptimering som möjligt och på så sätt bidra till en god hushållning av resurser. Ekonomisk dimension: Med en gemensam riktlinje för utkontraktering av IT kan vi minimera suboptimering av resurser och funktioner och på detta sätt minska kostnader då fler kan samutnyttja system, licenser och hårdvara. En ökad standardisering bidrar även till effektivare förvaltning och avtalshantering på sikt.

3 Eskilstuna kommun (3) Effektiv organisation: Riktlinjen ska lägga en god grund för effektivitet i olika digitaliseringsinitiativ. Det är även av vikt att arbetet samordnas inom hela kommunkoncernen för att undvika suboptimering och parallella processer. Beslutet skickas till: Samtliga nämnder och bolag KOMMUNLEDNINGSKONTORET Tommy Malm Kommundirektör Eva Norberg Kommunikationsdirektör

4 Kommunstyrelsen 1 (8) STYRDOKUMENT Riktlinjer för utkontraktering av IT Beslutad när Beslutad av Diarienummer KSKF/2020:190 Ersätter Gäller för Samtliga nämnder och följande bolag Gäller fr o m Gäller t o m Dokumentansvarig Tillsvidare IT för Eskilstuna kommun Uppföljning Program Ett program är ett styrande dokument som ska visa en färdriktning genom att innehålla vad som ska uppnås inom ett visst område. Det tar inte ställning till utförande, prioriteringar och metoder. Program ska vara långsiktiga, ej tidsbegränsade och beslutas av kommunfullmäktige eller av berörd nämnd. Plan En plan är ett styrande dokument som ska visa en färdriktning genom att innehålla konkreta mål och riktlinjer. Den ska vara tidsbegränsad och beslutas av kommunfullmäktige eller av berörd nämnd. Policy En policy är ett styrande dokument som ska visa ett övergripande förhållningssätt och som ska tjäna som vägledning inom ett område, med angivande av övergripande mål och värden som ska eftersträvas. Policys ska vara långsiktiga, ej tidsbegränsade och beslutas av kommunfullmäktige. Riktlinje En riktlinje är ett styrande dokument som ska säkerställa ett korrekt agerande och god kvalitet i handläggning och utförande. Riktlinjer ska vara långsiktiga, ej tidsbegränsade och beslutas av kommunfullmäktige eller av berörd nämnd.

5 Eskilstuna kommun 2 (8) Inledning Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och Riktlinjen för anskaffning av IT. Inom denna riktlinje beskrivs vilka principer som gäller vid beslut om utkontraktering av IT-tjänster inom kommunkoncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har en rik flora av system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av utkontraktering av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen inklusive molntjänster. Riktlinjen omfattar alla nämnder och bolag inom koncernen. Kort beskrivning av själva området och bakgrunden. Mer omfattande beskrivningar ska skrivas i en separat handling som läggs som en bilaga i ärendet. Riktlinjes syfte Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Riktlinjer för utkontraktering av IT Vägledning inför beslut om utkontraktering (sourcing) Inför eventuellt beslut om sourcing ska ansvarig nämnd eller bolag alltid genomföra en förstudie (Ref. Riktlinje för Anskaffning av IT). Beroende på vilken tjänst som omfattas ska förstudien anpassas till den aktuella situationen för att säkerställa ett korrekt underlag för beslut. I förstudien ska motivet för val av sourcing utvärderas och dokumenteras baserat på områden i tabellen nedan. Förstudien ska innefatta: Bedömning av respektive område med dokumenterade motiv avseende inriktning för eller emot val av sourcing för den aktuella tjänsten.

6 Eskilstuna kommun 3 (8) Sammanfattande bedömning och motiv avseende inriktning för eller emot val av sourcing baserat på en sammanvägning av alla områden Område Underlag för bedömning Beskrivning Intern kompetens och förmåga Informationssäkerhet Volym Flexibilitet Bedömd total kostnad Vilken kompetens och förmåga finns internt inom koncernen avseende det aktuella området? Vilken typ av information ska hanteras i tjänsten och vilka krav på säkerhet ska ställas? Är tjänsten en volymtjänst med ett stort antal användare? Finns behov av hög flexibilitet avseende utformning, förändring och nyttjande av tjänsten? Kan betydande kostnadsbesparingar sett över hela tjänstens livscykel, dvs löpande drift och förvaltningskostnader samt kostnader för upphandling, etablering, utveckling och avveckling uppnås utan att kvalitet och funktionalitet försämras? Om specifik kompetens och förmåga inom det aktuella området saknas inom koncernen alternativt Fyra Mälarstäder, eller kan vara svår att upprätthålla och bedömningen är att detta istället kan tillhandahållas av en leverantör stärks motivet för sourcing. Om bedömningen är att sourcing av den aktuella tjänsten inte innebär en förhöjd informationssäkerhetsrisk, eller om en leverantör bedöms kunna hantera informationen på ett likvärdigt eller bättre sätt ur ett informationssäkerhetsperspektiv stärks motivet för sourcing. För säkerhetsskyddad eller konfidentiell information krävs särskild utredning. Om endast ett fåtal användare ska nyttja tjänsten stärks motivet för sourcing, under förutsättning att leverantören kan tillhandahålla drift, underhåll och support på ett mer effektivt sätt. En volymtjänst som kännetecknas av hög grad av standardisering och flexibilitet kan också vara motiverad att sourca. Volymtjänster med hög grad av verksamhetsunika anpassningar är inte lämplig. Om en leverantör kan erbjuda hög flexibilitet genom att snabbt och enkelt anpassa tjänstens utformning, exempelvis genom att flexibelt justera användarlicenser, lägga till eller ta bort funktioner etc. stärks motivet för sourcing. Om den estimerade totala kostnaderna bedöms vara lägre vid sourcing jämfört med intern drift, med bibehållen eller högre kvalitet stärks motivet för sourcing.

7 Eskilstuna kommun 4 (8) Styrande principer vid genomförande av sourcing Vid sourcing av IT ska koncernens riktlinje för anskaffning av IT alltid följas. Nämnder och bolag är ansvariga för att beskriva sina behov och krav, effekter och nytta, genomföra informationsklassning samt risk- och sårbarhetsanalys på en IT- funktion/tjänst/komponent vid sourcing IT. Avtalet med leverantören ska innehålla tydliga beskrivningar av funktion, kvalitet, tillgänglighet och informationssäkerhet. Avtalet ska även innehålla tydlig beskrivning av ansvarsfördelningen mellan parterna gällande dessa områden: Hur leverantören följer kommunkoncernens säkerhetskrav, samt att regelbundna kontroller av IT- och informationssäkerhet genomförs och delges kommunkoncernen. Att leverantören har dokumenterade processer för utveckling, drift och förvaltning i enlighet med vedertagen praxis t ex ITIL. Hur behörighetshantering behandlas, inklusive hur regelbundna kontroller av behörigheter och IT-säkerhet generellt genomförs och delges kommunkoncernen. Var information som hanteras i tjänsten lagras och bearbetas. Leverantören ska informera kommunen om väsentliga ändringar sker avseende lagring. Att upphandlande organisation inom Eskilstuna kommunkoncern har exklusiv äganderätt till egen producerad data eller personuppgifter under avtalstiden. Ägandet ska även omfatta kopior av data, inklusive säkerhetskopior. All data och information som hanteras inom ramen för sourcingavtalet ska återlämnas till Eskilstuna kommunkoncern i samband med avveckling av tjänst. Data som ska bevaras eller överföras till annat system ska ha ett kompatibelt standardiserat format för att säkerställa överföringen. Tjänster som hanterar data enligt en högre informationssäkerhetsklassning ska kunna erbjuda krypterad lagringsarea samt loggning av definierade händelser. Att koncernen ska ha möjlighet att genomföra granskningar av leverantören och dess underleverantörers verksamhet, inklusive säkerhetsgranskningar av oberoende part.

8 Eskilstuna kommun 5 (8) Vid upphörande av tjänst ska leverantören eliminera och radera alla spår av data tillhörande Eskilstuna kommunkoncern och som lagrats hos leverantören, efter godkännande av objektsägare/objektsledare. Ett personuppgiftsbiträdesavtal ska alltid tecknas vid utkontraktering av tjänst som hanterar personuppgifter oavsett art. Följande styrande principer gäller för koncernens interna hantering i samband med sourcing. Vid nyttjande/anskaffning av utkontrakterade tjänster, exempelvis molntjänster ska tydliga roller och ansvar anges för att hantera leverantörsrelationen i enlighet med etablerade rutiner. Leverantören får inte utan beviljat tillstånd av behörig person inom koncernen ges tillgång till koncernens huvudkatalog för IT (Active Directory - AD). Ansvar vid sourcing av IT Nämnderna och bolagen är ansvariga för att denna riktlinje efterlevs i den egna verksamheten. IT-chef/IT chef bolagen (CIO) ansvarar för kommunens och bolagskoncernens infrastruktur samt målarkitekturer och har utifrån detta mandat att påverka kravställning i samband med sourcing. Serviceförvaltning IT och ESEM IT ansvarar för att tillsammans med upphandlingsenheten kravställa, utvärdera samt teckna samtliga IT relaterade avtal, enligt gällande delegationsordning. Vidare ansvarar SEF IT för återrapportering till respektive objektsförvaltning avseende licensnyttjande i kommunen. Upphandlingsenhet ansvarar för att kommunens övergripande riktlinjer för inköp och upphandling samt att gällande produktgruppsstrategier efterlevs. EA-funktion inom kommun och bolagen, den strategiska arkitekturfunktionen för IT, ansvarar för att koncernens målarkitekturer efterlevs och har mandat att påverka kravställning i samband med sourcing av IT.

9 Eskilstuna kommun 6 (8) Uppföljning Ansvar för efterlevnad och därmed även uppföljning av denna riktlinje ligger på respektive förvaltningschef samt på bolags-vd. Ett särskilt ansvar för den gemensamma uppföljningen ligger även på IT-chef inom kommun och bolag. Uppföljning ska ske årligen i samband med bokslut. Gällande lagstiftning och annan rättslig reglering Lag (2016:1145) om offentlig upphandling (LOU) Dataskyddsförordningen (GDPR) Förhållande till redan fattade politiska beslut Styrande IT-dokument IT-policy för Eskilstuna kommun; KSKF/2020:187 Riktlinjer för upphandling och inköp; KSKF/ Riktlinje för anskaffning av IT; KSKF/2020:189 Andra styrande dokument som påverkar anskaffningsprocessen/utkontraktering Plan för informationssäkerhet; KSKF/2012:346 Riktlinje och anvisning för uppföljning och insyn av verksamhet som bedrivs av privata utförare ; KSKF/2019:45 Informationshantering Stadsarkivets rekommenderade arkivkrav för IT-system i Eskilstuna kommun KFN/2020:74

10 Eskilstuna kommun 7 (8) Ordlista för IT-policy, Plan för Eskilstuna kommunkoncerns IT-utveckling, Riktlinje för anskaffning och Riktlinje för utkontraktering IT: Informationsteknologi, Informationshantering (VAD) och teknik (HUR) i ett gemensamt begrepp. IT- verksamhet: avses alla IT-relaterade funktioner och IT-relaterat arbete inom Eskilstuna kommunkoncern oavsett om det är inom kärnverksamhet, Digital transformation, IT-organisation inom SEF eller kommunala bolagen samt externa partners. IT-Funktion: är en organisatorisk del inom kommunala förvaltningen och kommunala bolagen som ansvarar för infrastruktur, drift, support, utveckling gällande IT. Leveranserna sker i form av tjänster som kan vara valbara eller ej valbara (gemensam infrastruktur). IT-styrning: Handlar om hur man styr IT-verksamhet i organisationen som helhet. IT-beslut: Beslut som rör IT-styrning. Kan gälla policy eller anskaffning och berör oftast gemensam infrastruktur eller säkerhetskrav. IT-arkitektur: Arkitekturen beskriver vilka komponenter som ingår i systemet, vad komponenterna ska göra, hur de fungerar ihop samt hur hårdvara och användare påverkar systemet. IT-Infrastruktur: All hårdvara, mjukvara, nätverk, anläggningar, etc., som krävs för att utveckla, testa, leverera, övervaka, kontrollera eller stödja ITtjänster. EA: Enterprise Architekt (Funktion) För att hålla en effektiv helhetsbild utifrån kommunens ambitionsnivå, alltifrån verksamhet till teknik. Detta genom att stödja kärnverksamheten, skapa kontroll över IT frågor och dess vägval samt att vara ett stöd till IT ledningen. IT-säkerhet: IT-säkerhet är en dels grundläggande hygienkrav som t ex Brandväggar, Antivirus, Logghantering, Back-up, Redundanta driftsplatser och säkra kommunikationsförbindelser (VPN). För det andra så är det en del av informationssäkerheten, som kan ställa andra ytterligare krav på ITsäkerheten t ex fler-faktors-inloggning mm. IT-stöd: Är de digitala funktioner (system/applikationer) som används i verksamheten IT-stödet kan i sin tur bestå av flera olika underliggande ITkomponenter.

11 Eskilstuna kommun 8 (8) IT-kundtjänst: Är den funktion som man vänder sig till då man antingen har behov av support (användarstöd eller tekniskt stöd). Kundtjänsten hanterar också beställningar av funktionalitet. IT-komponent: Är tekniska beståndsdelar som tillsammans skapar ett ITstöd (system/applikation/hårdvara) IT-drift: är den verksamhet som upprätthåller tekniska funktioner. Det kan ske i den interna IT-verksamheten, extern tjänsteleverantöt eller 3:e part till den interna IT-funktion. IT- leverans: är det stöd och tjänster levereras eller samordnas av ITfunktionen det kan vara standardtjänster eller paketerade tjänster producerade av IT-funktionen eller 3:e partsleverantörer. Legacy-system: avses system som inte längre underhålls och utvecklas, antingen av en leverantör eller internt inom koncernen. Ökar det digitala arvet då måste det hanteras med separata anpassade lösningar för att fungera i en modern infrastruktur. SLA: Service Level Agreement (SLA) avser avtalade servicenivåer mellan beställare och utförare exempelvis avseende driftsäkerhet, lösningstid vid incidenter, kvalitet och kapacitet. Målarkiterktur: Utifrån IT-infrastrukturens nuläge sätts ett börläge som man ska sträva emot. Börläget definieras som målarkitektur. Öppna data: Digital och maskinläsbar information som är fritt tillgänglig för alla och som utan särskilda krav får användas, delas och ändras av vem som helst. Masterdata: Data som är kritiskt i vår organisation för att kunna bedriva det uppdraget som ålagts nämnd eller bolag hanteras kontrollerat och i så få källor som möjligt. Master data kan definieras i olika kategorier, exempel på sådana är Personinformation, Platsinformation, Produkter och uppdrag, Finansiell och organisatorisk struktur eller Referensdata. Objektsförvaltning: Modell för att effektivt hantera systemförvaltning. En styr- och samverkansmodell som används för förvaltning och verksamhetsutveckling av IT-stöd inom organisationen. Modellens syfte är att knyta verksamheten och IT närmare varandra i en linjeoberoende organisation. Skugg IT: IT system och tjänster som används inom koncern men som inte stöds eller levereras av IT-funktionen. Detta bidrar till suboptimering, ökade risker och fördyring av vår gemensamma infrastruktur. Eftersom det inte är en del av organisationens infrastruktur och hanteras därför inte inom gällande basöverenskommelser och SLA.

12 Kommunstyrelsen Datum Diarienummer Kommunledningskontoret KSKF/2020:190 Kommunikation och delaktighet Handlingsnummer Sara Nordlund 2020: (7) /Adressat/ Bilaga remissvar och kommentarer från kommuledningskontoret Remissinstansernas yttranden Kultur- och fritidsnämnden Kultur- och fritidsnämnden ställer sig positiv till att riktlinjer för utkontraktering av IT tas fram. Däremot ser nämnden det som en nödvändighet att verksamheternas rådighet över utkontrakteringen stärks och att följsamhet med Dataskyddsförordningen lyfts fram. Avsnittet Styrande principer vid genomförande av sourcing samt Ansvar vid sourcing av IT saknar verksamhetsperspektiv. Om endast IT-chef, IT-styrgrupp, SEF IT och EA-funktion har möjlighet att kravställa, och användare och verksamheter inte har rådighet i upphandlingsprocessen jämte SEF IT upphör ITverksamheten att vara en stödfunktion och blir i stället en styrande funktion vid utkontraktering. Om objektsägaren endast har mandat att avropa tjänster och funktioner mot ingångna avtal har den inget mandat att påverka kravställandet. Verksamheternas motsvarigheter till IT:s föreslagna funktioner i utkontraktering (sourcing) behöver finnas med. Objektsspecialister saknas i formuleringen av kravställandet vid utkontraktering. Stadsarkivets roll i informationsförvaltning behöver finnas med även vid utkontraktering. Informationssäkerhet och skydd av personuppgifter i enlighet med Dataskyddsförordningen är särskilt viktiga aspekter att beakta när utkontraktering av IT sker. Kultur- och fritidsnämnden anser därför att hänvisning bör göras till styrdokument kring dataskydd och informationssäkerhet redan under avsnittet riktlinjens syfte. Nämnden föreslår även att denna föreslagna riktlinje ej läggs fram för beslut förrän erforderliga styrdokument inom informationssäkerhet och GDPRfrågor beslutats av behörig instans. Nämnden noterar att olika arbetsformer är tänkta att gälla för utkontraktering respektive anskaffning av IT. Om så ska vara fallet är det viktigt att klargöra varför olika arbetssätt tillämpas. Kultur- och fritidsnämnden påpekar att plan för livscykelhantering av information bör föregå utkontraktering. Arkivering sker dessutom kontinuerligt, vilket också bör beaktas vid utkontraktering. Här vill nämnden att hänvisning till stadsarkivets Arkivkrav vid upphandling förs in i riktlinjen, samt att krav på export av information till e-arkiv tillförs som motiv.

13 Eskilstuna kommun (7) I tabellen över bedömning av områden för utkontrakteringstjänster är verksamhetsperspektivet frånvarande. Detta indikeras också av avståndstagandet från volymtjänster med hög grad av verksamhetsunika anpassningar. Nämnden anser att det behöver finnas en balans mellan tekniskt kravställande och verksamheternas behov av ändamålsenliga system. Bland kraven som ska ställas vid utkontraktering nämns vedertagen praxis, vilket är ett alltför diffust begrepp för att definiera status för utveckling, drift och förvaltning. På samma sätt nämns att leverantören ska informera kommunen om väsentliga ändringar sker avseende lagring. Här bör följsamhet med dataskyddsförordningen explicit skrivas in för att förhindra att information lagras i tredje land eller hos underbiträden utanför kommunens kontroll eller godkännande. Det bör även framgå att personuppgiftsbiträdesavtal alltid ska tecknas vid utkontraktering av system som hanterar personuppgifter oavsett art. Kultur- och fritidsnämnden anser att det är positivt att kommunen enligt förslaget ska ställa krav på äganderätten till sin information, men här behöver även relationerna mellan kommunens olika myndigheter klargöras, då dessa utgör olika personuppgiftsansvariga i Dataskyddsförordningens mening. Nämnden ser det även som positivt att information ska återlämnas till koncernen då tjänsten avvecklas, samt att det är ett krav att spår av data som lagrats hos leverantören ska raderas. Dock behöver förtydligande göras av vad som avses med kompatibelt standardiserat format för att säkerställa överföringen, då det finns en flora av standardformat. Av denna anledning är det också viktigt att kommunens arkivmyndighet involveras utifrån ett informationsförvaltningsperspektiv. På ett övergripande plan kan det konstateras att dokumentets terminologi behöver ses över. Begrepp behöver definieras och avgränsas tydligt mot varandra samt sättas i relation till varandra. Exempel ur riktlinjen är målarkitektur och infrastruktur för IT. Ett gemensamt begreppssystem för alla IT-dokument bör tas fram för att undvika missförstånd och motsägelser dokumenten emellan. Den gemensamma begreppsförteckningen borde sedan vara en integrerad del i varje dokument. Språklagen (2009:600) pekar på vikten av att [s]pråket i offentlig verksamhet ska vara vårdat, enkelt och begripligt samt att [m]yndigheter har ett särskilt ansvar för att svensk terminologi inom deras olika fackområden finns tillgänglig, används och utvecklas. Kommunledningskontorets kommentarer Förtydligande av verksamhetsperspektivet under rubriken Ansvar vid sourcing av IT, nämnder och bolag. Tillägg under rubriken Förhållande till andra politiskt fattade beslut Stadsarkivets rekommenderade arkivkrav för IT-system i Eskilstuna kommun KFN/2020:74 Vi gör Eskilstuna - tillsammans

14 Eskilstuna kommun (7) Riktlinjen kan vid behov komma att revideras när ett styrande dokument för informationssäkerhet och dataskydd tas fram. Det samordnas på kommunledningskontoret. Utkontraktering är en del i anskaffningsprocessen i de fall när det är aktuellt med t ex molntjänster. I de fall ställs det ytterligare krav som specificeras i denna riktlinje. Att verksamhetsperspektivet bedöms vara frånvarande i denna riktlinje beror på att verksamhetens krav och behov har tillgodosett i anskaffningsprocessen som sker innan utkontraktering tar vid eller är ett alternativ. Tillägg under Styrande principer vid genomförande av soucering enligt nämndens förslag, personuppgiftsbiträdesavtal alltid ska tecknas vid utkontraktering av system som hanterar personuppgifter oavsett art. Kommuns och eller kommunkoncernens målarkitektur definierar vilka standardiserade format som krävs för maskinell överföring av data. För att möta upp behov av ett gemensamt begreppssystem skapas en ordlista som bifogas IT-styrningsdokumenten. Vård- och omsorgsnämnden Vård- och omsorgsnämnden ställer sig bakom Riktlinjer för utkontraktering av IT som tydligt beskriver vilka principer som gäller om sourcing (utkontraktering) av ITtjänster inom koncernen. Som beskrivet är det av största vikt att system kan integreras och hanteras på ett ändamålsenligt och effektivt sätt, då det är en förutsättning för digitaliseringsarbetet. För att verksamheten ska uppnå effektiv digital transformation måste stora datamängder kunna nyttjas och användas som underlag för att kunna skapa service och tjänster med god kvalitet. Nämnden efterfrågar ett förtydligande gällande EA-funktionen på sidan två. Funktionen omnämns i första stycket under rubriken Vägledning inför beslut om sourcing på sida två, men beskrivs först på sida 6, under rubriken Ansvar vid sourcing av IT, stycke sex. I riktlinjer är det uttalat att Serviceförvaltningen IT (SEF) ansvarar för att tillsammans med upphandlingsenheten kravställa, utvärdera samt teckna samtliga IT-relaterade avtal, enligt gällande delegationsordning. Nämnden saknar en tydlig koppling till verksamheten i detta steg. Verksamhetens medverkan vid kravställan och utvärdering är av stor vikt för en god digital transformation. Det står även att Objektsägare inom kommunens systemförvaltning har mandat att initiera uppdrag utifrån gällande förvaltningsplan samt avropa tjänster och funktioner mot ingångna avtal. Objektsägaren ansvarar även för att respektive verksamhetssystem har rätt antal användarlicenser. Nämnden efterfrågar ett förtydligande gällande om det är Objektägare IT eller Objektägare verksamhet som åsyftas och om Objektsägare verksamhet kan initiera nyutveckling som inte finns med i planen. Nämnden efterfrågar ett förtydligande om Förvaltningsplanen endast hanterar förvaltning av digitala tjänster eller om det även gäller nyutveckling av digitala tjänster. Vi gör Eskilstuna - tillsammans

15 Eskilstuna kommun (7) Kommunledningskontorets kommentarer Texten gällande EA funktionens roll vid utkontraktering kommer beskrivas i en rutin kopplat till riktlinjen. Att verksamhetsperspektivet bedöms vara frånvarande i denna riktlinje beror på att verksamhetens krav och behov har tillgodosett i anskaffningsprocessen som sker innan utkontraktering tar vid eller är ett alternativ. Eskilstuna kommunföretag AB Eskilstuna Kommunföretag AB är i stora delar positiva till Riktlinje för utkontraktering men styrelsen vill utöver vad som är angivet ovan under rubriken Generellt om styrdokumenten göra följande medskick. Dokumentet anger utkontraktering som ett strategiskt beslut som medför påverkan på koncernens driftsmodell för IT samt att dokumentet likt övriga styrdokument omfattar alla nämnder och bolag. Givet att stora delar av bolagskoncernens verksamhet omfattas av NIS-direktivet och Säkerhetsskyddslagen vill Eskilstuna Kommunföretag AB påpeka vikten av att en koncerngemensam driftsmodell tar hänsyn till konsekvenserna som följer på den lagstiftningen. Beroende på säkerhetsklassningen av den information som hanteras inom bolagskoncernen är utkontraktering i många fall inte ett möjligt alternativ. Kommunledningskontorets kommentarer Utkontraktering sker i den mån den är lämplig och motsvarar organisationens behov. Riktlinje för utkontraktering är tillämplig endast i de fall utkontraktering är aktuell. Kommunfastigheter AB Kommunfastigheter AB ställer sig positiva till riktlinjen för utkontraktering av IT när det gäller en gemensam vägledning inför beslut om sourcing, med beskrivning för bedömning av underlag, samt styrande principer vid själva genomförandet. Dokumentets målsättning är att gälla för hela kommunkoncernen dvs både förvaltningar och bolag. En organisatorisk genomlysning bör utföras och riskbedömas då detta dokument får konsekvenser för ffa bolagens men även primärkommunens befintliga organisationer som behöver förstärkas för att bibehålla en hög leverans och kvalité på sitt arbete gentemot denna nya stora kundgrupp som bolagen utgör. Några exempel på varför en organisatorisk genomlysning bör göras är: Under rubriken vägledning inför beslut om sourcing kan man läsa att en förstudie ska tas fram och ska genomföras tillsammans med EA-funktionen. Detta innebär att bolagens arkitektfunktion ersätts med kommunens strategiska arkitektkontor. Under rubriken ansvar vid sourcing av IT kan man läsa att: 2a. IT-chef ansvarar för kommunens infrastruktur och målarkitektur och har mandat att påverka kravställningen. Detta innebär att bolagen ska konsultera kommunens IT chef vid sourcing av verksamhet i bolagen? Vi gör Eskilstuna - tillsammans

16 Eskilstuna kommun (7) 2b. IT-styrgruppen som består av IT-chef, områdeschef, arkitekt IT och informationssäkerhetsstrateg, ansvarar för att godkänna externa driftsavtal innan en verksamhet ingår avtal med en extern part, för att säkerställa krav på informationssäkerhet och målarkitektur. Det innebär att bolagens IT råd stängs ned och bolagens ärenden skickas till kommunens IT-styrgrupp. 2c. Serviceförvaltningen IT (SEF IT) ansvarar för att tillsammans med upphandlingsenheten kravställa, utvärdera samt teckna samtliga IT relaterade avtal, enligt gällande delegationsordning. Vidare ansvarar SEF IT för återrapportering till respektive objektsägare avseende licensnyttjande. Det innebär att serviceförvaltningen och upphandlingsenheten tar över ansvaret för bolagens IT avtal? 2d. EA-funktionen, den strategiska arkitekturfunktionen för IT, ansvarar för att koncernens målarkitekturer efterlevs och har mandat att påverka kravställning samband med sourcing av IT. Det innebär att bolagen ska skicka sina IT relaterande ärenden till EA funktionen på kommunen. 2e. Objektsägare inom kommunens systemförvaltning har mandat att initiera uppdrag utifrån gällande förvaltningsplan samt avropa tjänster och funktioner mot ingångna avtal. Objektsägaren ansvarar även för att respektive verksamhetssystem har rätt antal användarlicenser. Bolagen använder inte termen objektsägare i dagsläget och ej heller förvaltningsplan enligt PM3. Det innebär att bolagen tar bort sin förvaltningsmodell och övergå till PM3. 2f. Objektsledare inom kommunens systemförvaltning ansvarar för att inom löpande avtal följa upp och rapportera leveranskvalitet till objektsägaren. Bolagen använder inte termen objektsägare i dagsläget och ej heller förvaltningsplan enligt PM3. Det innebär att bolagen tar bort sin förvaltningsmodell och övergå till PM3. Under rubriken Uppföljning står det att läsa att ett särskilt ansvar för den gemensamma uppföljningen ligger även på IT chefen. Det innebär att kommunens IT chef ansvarar för uppföljning av bolagens eventuella sourcing. Kommunledningskontorets kommentarer Det är inte ambitionen att med Riktlinje för utkontraktering förskjuta ansvar och mandat från kommunbolagen till kommunen. Begrepp som EA och IT-chef har förändrats i syfte att förtydliga att det är olika samverkande funktioner i kommun respektive bolag som avses i riktlinjen. Vi gör Eskilstuna - tillsammans

17 Eskilstuna kommun (7) Eskilstuna energi och miljö Utöver vad som är angivet ovan om samtliga styrdokument vill EEM göra nedanstående medskick till Riktlinje för utkontraktering av IT. Dokumentet anger utkontraktering som ett strategiskt beslut som medför påverkan på koncernens driftsmodell för IT samt att dokumentet likt övriga styrdokument omfattar alla nämnder och bolag. Givet att EEMs verksamhet omfattas av NIS-direktivet och Säkerhetsskyddslagen menar EEM att det är helt avgörande att en koncerngemensam driftsmodell tar hänsyn till konsekvenserna som följer på den lagstiftning som EEM har att hålla sig till. Beroende på säkerhetsklassningen av den information som hanteras inom EEM är utkontraktering i många fall inte ett möjligt alternativ. Kommunledningskontorets kommentarer Det är inte ambitionen att med Riktlinje för utkontraktering förskjuta ansvar och mandat från kommunbolagen till kommunen. Begrepp som EA och IT-chef har förändrats i syfte att förtydliga att det är olika samverkande funktioner i kommun respektive bolag som avses i riktlinjen. Utkontraktering sker i den mån den är lämplig och motsvarar organisationens behov. Riktlinje för utkontraktering är tillämplig endast i de fall utkontraktering är aktuell. Nämnder som har valt att avstå från att yttra sig Arbetsmarknads- och vuxenutbildningsnämnden avstår från att yttra sig över förslag till utkontraktering av IT. Föreskolenämnden, grundskolenämnden och gymnasienämnden Nämnden anser att riktlinjen är ambitiös och väl genomarbetad och har inget ytterligare att tillföra förslaget. Miljö- och räddningstjänstnämnden har inga synpunkter på förslaget till Riktlinje för utkontraktering av IT Servicenämnden har tagit del av förslaget till Riktlinjer för utkontraktering av IT och ställer sig bakom skrivelsen. Servicenämnden har deltagit i framtagningen av Riktlinjer för utkontraktering av IT genom att Områdeschef SEF IT och förvaltningschef har arbetat i styrgrupp tillsammans med kommunledningskontorets IT-chef, kommunikationsdirektör samt informationssäkerhetsstrateg. I framtagandet har konsulter från PwC anlitats. Skrivelsen ger en vägledning inför beslut om sourcing och den beskriver styrande principer vid genomförande av sourcing samt vilket ansvar som gäller vid sourcing av IT. Den beskriver även övergripande ansvaret för uppföljning. Socialnämnden godkänner remissen i sin helhet utan kommentarer. Vi gör Eskilstuna - tillsammans

18 Eskilstuna kommun (7) Stadsbyggnadsnämnden är positiv till förslag till Plan för Eskilstuna kommunkoncerns IT-utveckling. Framtagandet har präglats av stor delaktighet och arbetet är väl förankrat i organisationen. För att underlätta förståelse och implementering av riktlinjen bör alltid språket vara så enkelt och tydligt som möjligt. Överförmyndarnämnden Eskilstuna Strängnäs avstår från att yttra sig över Riktlinje för utkontraktering av IT. Vi gör Eskilstuna - tillsammans

19 Kommunstyrelsen Protokollsutdrag Sammanträdesdatum Sida 1(2) 128 Remiss av förslag - Riktlinje för utkontraktering (KSKF/2020:190) Beslut 1. Förslag till Riktlinje för utkontraktering av IT remitteras till samtliga nämnder och bolag. 2. Remissvar ska vara kommunstyrelsen tillhanda senast den 16 oktober Ersätter tidigare Riktlinje för Eskilstuna kommuns IT-verksamhet KSKF 2017:655. Ärendebeskrivning Kommunledningskontoret har inkommit med en skrivelse i ärendet daterad den 15 maj Av skrivelsen framgår det bland annat att riktlinjen är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om sourcing (utkontraktering) av IT-tjänster inom koncernen. Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av sourcing av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har många olika system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Kommunledningskontoret föreslår att förslag till Riktlinje för utkontraktering av IT remitteras till samtliga nämnder och bolag. Remissvar ska vara kommunstyrelsen tillhanda senast den 16 oktober Yrkande Jimmy Jansson (S) yrkar bifall till kommunledningskontorets förslag. Justerandes sign Utdragsbestyrkande

20 Kommunstyrelsen Protokollsutdrag Sammanträdesdatum Sida 2(2) Beslutet skickas till: Arbetsmarknads- och vuxenutbildningsnämnden Förskolenämnden Grundskolenämnden Gymnasienämnden Kultur- och fritidsnämnden Miljö- och räddningstjänstnämnden Socialnämnden Stadsbyggnadsnämnden Servicenämnden Torshälla Stads nämnd Valnämnden Vård- och omsorgsnämnden Överförmyndarnämnden Kommunföretag AB Destination Eskilstuna AB Eskilstuna Energi & Miljö AB Eskilstuna Logistik & Etablering AB Kommunfastigheter AB Justerandes sign Utdragsbestyrkande

21 Kommunstyrelsen Kommunledningskontoret Kommunikation, IT och digitalisering KSKF/2020:190 Niklas Narvell (3) Kommunstyrelsen Remiss av förslag Riktlinje för utkontraktering av IT Förslag till beslut 1. Förslag till Riktlinje för utkontraktering av IT remitteras till samtliga nämnder och bolag. 2. Remissvar ska vara kommunstyrelsen tillhanda senast den 16 oktober Ersätter tidigare Riktlinje för Eskilstuna kommuns IT-verksamhet KSKF 2017:655. Ärendebeskrivning Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om sourcing (utkontraktering) av IT-tjänster inom koncernen. Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av sourcing av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har en rik flora av system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Riktlinjen omfattar alla nämnder och bolag inom koncernen. Arbetssätt och involvering Arbetet med framtagningen av Riktlinje för utkontraktering har letts av kommunledningskontorets IT-chef tillsammans med konsulter från PWC. Avstämningar har gjorts med en Styrgrupp bestående av Kommunikationsdirektör, IT-chef, Förvaltningschef SEF, Områdeschef SEF IT och Informationssäkerhetsstrateg. Vi gör Eskilstuna tillsammans

22 Eskilstuna kommun (3) Under arbetets gång har workshops genomförts tillsammans med nyckelroller för ITanskaffning, resultatet har löpande stämts av med processledningsgruppen för IT som representeras av alla förvaltningar och CIO för ESEM. I arbetet med har det genomförts två avstämningar med Kommunledningskontorets Ledningsgrupp. Sammanfattning av Riktlinje för utkontraktering Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Finansiering Finansieringen av arbetet med riktlinjen har skett genom tidigare beslutade medel för IT-utveckling och digitalisering. Medel för upprätthållande och förvaltning av riktlinjen finansieras inom ramen för ordinarie lednings- och styrnings arbete inom kommunkoncernen. Konsekvenser för en hållbar utveckling och en effektiv organisation Social dimension Riktlinjen ska bidra till att utveckla välfärden och verka för trygga offentliga digitala lösningar. Miljömässig dimension Riktlinjen är en förutsättning för att arbeta för en mer hållbar verksamhet och hållbar stad. Digitalisering ger exempelvis mycket goda förutsättningar till digitala lösningar på en standardiserad nivå med så låg suboptimering som möjligt och på så sätt bidra till en god hushållning av resurser. Ekonomisk dimension Med en gemensam Riktlinje för Sourcing kan vi minimera suboptimering av resurser och funktioner och på detta sätt minska kostnader då fler kan samutnyttja system, licenser och hårdvara. En ökad standardisering bidrar även till effektivare förvaltning och avtalshantering på sikt. Effektiv organisation De grundläggande förutsättningarna i Riktlinjen ska lägga en god grund för effektivitet i olika digitaliseringsinitiativ. Det är även av vikt att arbetet samordnas inom hela kommunkoncernen för att undvika suboptimering och parallella processer. Vi gör Eskilstuna tillsammans

23 Eskilstuna kommun (3) KOMMUNLEDNINGSKONTORET Tommy Malm Kommundirektör Eva Norberg Kommunikationsdirektör Beslutet skickas till: Arbetsmarknads- och vuxenutbildningsnämnden Förskolenämnden Grundskolenämnden Gymnasienämnden Kultur- och fritidsnämnden Miljö- och räddningstjänstnämnden Socialnämnden Stadsbyggnadsnämnden Servicenämnden Torshälla Stads nämnd Valnämnden Vård- och omsorgsnämnden Överförmyndarnämnden Kommunföretag AB Destination Eskilstuna AB Eskilstuna Energi & Miljö AB Eskilstuna Logistik & Etablering AB Kommunfastigheter AB Vi gör Eskilstuna tillsammans

24 Kommunstyrelsen 1 (6) STYRDOKUMENT Riktlinje för utkontraktering av IT Beslutad när Beslutad av Diarienummer Kommunfullmäktige KSKF/2020:190 Ersätter Gäller för Samtliga nämnder och bolag Gäller fr o m 2020 Gäller t o m Dokumentansvarig Uppföljning Tillsvidare Kommunledningskontorets IT-chef Ansvar för uppföljningen ligger på respektive förvaltningschef och på bolagskoncernens VD Program Ett program är ett styrande dokument som ska visa en färdriktning genom att innehålla vad som ska uppnås inom ett visst område. Det tar inte ställning till utförande, prioriteringar och metoder. Program ska vara långsiktiga, ej tidsbegränsade och beslutas av kommunfullmäktige. Plan En plan är ett styrande dokument som ska visa en färdriktning genom att innehålla konkreta mål och riktlinjer. Den ska vara tidsbegränsad och beslutas av kommunfullmäktige. Policy En policy är ett styrande dokument som ska visa ett övergripande förhållningssätt och som ska tjäna som vägledning inom ett område, med angivande av övergripande mål och värden som ska eftersträvas. Policys ska vara långsiktiga, ej tidsbegränsade och beslutas av kommunfullmäktige. Riktlinje En riktlinje är ett styrande dokument som ska säkerställa ett korrekt agerande och god kvalitet i handläggning och utförande. Riktlinjer ska vara långsiktiga, ej tidsbegränsade och beslutas av kommunfullmäktige.

25 Eskilstuna kommun 2 (6) Inledning Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om utkontraktering av ITtjänster inom koncernen Bakgrunden till riktlinjen är att kommunkoncernen idag har en rik flora av system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av utkontraktering av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen inklusive molntjänster. Riktlinjen omfattar alla nämnder och bolag inom koncernen. Riktlinjens syfte Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Vägledning inför beslut om sourcing Inför eventuellt beslut om sourcing ska alltid en förstudie genomföras (Ref. Riktlinje för Anskaffning av IT). Beroende på vilken tjänst som omfattas ska förstudien anpassas till den aktuella situationen för att säkerställa ett korrekt underlag för beslut. Förstudien ska genomföras tillsammans med EAfunktionen 1 i workshop-format. I förstudien ska motivet för val av sourcing utvärderas och dokumenteras baserat på områden i tabellen nedan. Förstudien ska innefatta: 1. Bedömning av respektive område med dokumenterade motiv avseende inriktning för eller emot val av sourcing för den aktuella tjänsten. 2. Sammanfattande bedömning och motiv avseende inriktning för eller emot val av sourcing baserat på en sammanvägning av alla områden. 1 EA-funktionen kontaktas via arkitektkontoret@eskilstuna.se.

26 Eskilstuna kommun 3 (6) Område Underlag för bedömning Beskrivning Intern kompetens och förmåga Vilken kompetens och förmåga finns internt inom koncernen avseende det aktuella området? Om specifik kompetens och förmåga inom det aktuella området saknas inom koncernen alternativt Fyra Mälarstäder, eller kan vara svår att upprätthålla och bedömningen är att detta istället kan tillhandahållas av en leverantör stärks motivet för sourcing. Informationssäkerhet Volym Flexibilitet Bedömd total kostnad Vilken typ av information ska hanteras i tjänsten och vilka krav på säkerhet ska ställas? Är tjänsten en volymtjänst med ett stort antal användare? Finns behov av hög flexibilitet avseende utformning, förändring och nyttjande av tjänsten? Kan betydande kostnadsbesparingar sett över hela tjänstens livscykel, dvs löpande drift och förvaltningskostnader samt kostnader för upphandling, etablering, utveckling och avveckling uppnås utan att kvalitet och funktionalitet försämras? Om bedömningen är att sourcing av den aktuella tjänsten inte innebär en förhöjd informationssäkerhetsrisk, eller om en leverantör bedöms kunna hantera informationen på ett likvärdigt eller bättre sätt ur ett informationssäkerhetsperspektiv stärks motivet för sourcing. För säkerhetsskyddad eller konfidentiell information krävs särskild utredning. Om endast ett fåtal användare ska nyttja tjänsten stärks motivet för sourcing, under förutsättning att leverantören kan tillhandahålla drift, underhåll och support på ett mer effektivt sätt. En volymtjänst som kännetecknas av hög grad av standardisering och flexibilitet kan också vara motiverad att sourca. Volymtjänster med hög grad av verksamhetsunika anpassningar är inte lämplig. Om en leverantör kan erbjuda hög flexibilitet genom att snabbt och enkelt anpassa tjänstens utformning, exempelvis genom att flexibelt justera användarlicenser, lägga till eller ta bort funktioner etc. stärks motivet för sourcing. Om den estimerade totala kostnaderna bedöms vara lägre vid sourcing jämfört med intern drift, med bibehållen eller högre kvalitet stärks motivet för sourcing.

27 Eskilstuna kommun 4 (6) Styrande principer vid genomförande av sourcing Vid sourcing av IT ska koncernens riktlinje för anskaffning av IT alltid följas. Avtalet med leverantören ska innehålla tydliga beskrivningar av funktion, kvalitet, tillgänglighet och informationssäkerhet. Avtalet ska även innehålla tydlig beskrivning av ansvarsfördelningen mellan parterna gällande dessa områden. Följande krav ska ställas vid sourcing: Hur leverantören följer kommunkoncernens säkerhetskrav, samt att regelbundna kontroller av IT- och informationssäkerhet genomförs och delges kommunkoncernen. Att leverantören har dokumenterade processer för utveckling, drift och förvaltning i enlighet med vedertagen praxis. Hur behörighetshantering behandlas, inklusive hur regelbundna kontroller av behörigheter och IT-säkerhet generellt genomförs och delges kommunkoncernen. Var information som hanteras i tjänsten lagras och bearbetas. Leverantören ska informera kommunen om väsentliga ändringar sker avseende lagring. Att upphandlande organisation inom Eskilstuna kommunkoncern har exklusiv äganderätt till egen producerad data eller personuppgifter under avtalstiden. Ägandet ska även omfatta kopior av data, inklusive säkerhetskopior. All data och information som hanteras inom ramen för sourcingavtalet ska återlämnas till Eskilstuna kommunkoncern i samband med avveckling av tjänst. Data som ska bevaras eller överföras till annat system ska ha ett kompatibelt standardiserat format för att säkerställa överföringen. Tjänster som hanterar data enligt en högre informationssäkerhetsklassning ska kunna erbjuda krypterad lagringsarea samt loggning av definierade händelser. Att koncernen ska ha möjlighet att genomföra granskningar av leverantören och dess underleverantörers verksamhet, inklusive säkerhetsgranskningar av oberoende part. Vid upphörande av tjänst ska leverantören eliminera och radera alla spår av data tillhörande Eskilstuna kommunkoncern och som lagrats hos leverantören, efter godkännande av objektsägare/objektsledare. Följande styrande principer gäller för koncernens interna hantering i samband med sourcing. Vid nyttjande/anskaffning av utkontrakterade tjänster, exempelvis molntjänster ska tydliga roller och ansvar anges för att hantera leverantörsrelationen i enlighet med etablerade rutiner.

28 Eskilstuna kommun 5 (6) Leverantören får inte utan beviljat tillstånd av behörig person inom koncernen ges tillgång till koncernens huvudkatalog för IT (Active Directory - AD). Ansvar vid sourcing av IT Nämnderna och bolagen är ansvariga för att denna riktlinje efterlevs i den egna verksamheten. IT-chef ansvarar för kommunens infrastruktur samt målarkitekturer och har utifrån detta mandat att påverka kravställning i samband med sourcing. IT-styrgruppen som består av IT-chef, områdeschef, arkitekt IT och informationssäkerhetsstrateg, ansvarar för att godkänna externa driftsavtal innan en verksamhet ingår avtal med en extern part, för att säkerställa krav på informationssäkerhet och målarkitektur. Serviceförvaltningen IT (SEF IT) ansvarar för att tillsammans med upphandlingsenheten kravställa, utvärdera samt teckna samtliga IT relaterade avtal, enligt gällande delegationsordning. Vidare ansvarar SEF IT för återrapportering till respektive objektsägare avseende licensnyttjande. Upphandlingsenheten ansvarar för att kommunens övergripande riktlinjer för inköp och upphandling samt att gällande produktgruppsstrategier efterlevs. EA-funktionen, den strategiska arkitekturfunktionen för IT, ansvarar för att koncernens målarkitekturer efterlevs och har mandat att påverka kravställning i samband med sourcing av IT. Objektsägare inom kommunens systemförvaltning har mandat att initiera uppdrag utifrån gällande förvaltningsplan samt avropa tjänster och funktioner mot ingångna avtal. Objektsägaren ansvarar även för att respektive verksamhetssystem har rätt antal användarlicenser. Objektsledare inom kommunens systemförvaltning ansvarar för att inom löpande avtal följa upp och rapportera leveranskvalitet till objektsägaren. Uppföljning Ansvar för implementering och därmed även uppföljning av denna riktlinje ligger på respektive förvaltningschef samt på bolagskoncernens VD. Ett särskilt ansvar för den gemensamma uppföljningen ligger även på IT-chefen. Uppföljning ska ske årligen i samband med delårsbokslut och bokslut.

29 Eskilstuna kommun 6 (6) Gällande lagstiftning och annan rättslig reglering Lag (2016:1145) om offentlig upphandling (LOU) Dataskyddsförordningen (GDPR) Förhållande till andra fattade politiska beslut IT-policy för Eskilstuna kommun; KSKF/2020:187 Riktlinjer för upphandling och inköp; KSKF/ Riktlinje för anskaffning av IT; KSKF/2020:189 Plan för informationssäkerhet; KSKF/2012:346 Riktlinje och anvisning för uppföljning och insyn av verksamhet som bedrivs av privata utförare ; KSKF/2019:45

30 Kommunstyrelsen Datum Diarienummer Kommunledningskontoret KSKF/2020:190 Handlingsnummer 2020: (1) Remiss från kommunstyrelsen Riktlinje för utkontraktering Ärendet remitteras till er för yttrande. Yttrandet ska ha kommit in till kommunstyrelsen via LEX och på papper senast den 16 oktober Remissinstanser Arbetsmarknads- och vuxenutbildningsnämnden Förskolenämnden Grundskolenämnden Gymnasienämnden Kultur- och fritidsnämnden Miljö- och räddningstjänstnämnden Socialnämnden Stadsbyggnadsnämnden Servicenämnden Torshälla Stads nämnd Valnämnden Vård- och omsorgsnämnden Överförmyndarnämnden Kommunföretag AB Destination Eskilstuna AB Eskilstuna Energi & Miljö AB Eskilstuna Logistik & Etablering AB Kommunfastigheter AB Ansvarig direktör på kommunledningskontoret Eva Norberg

31 Socialnämnden Protokollsutdrag Sammanträdesdatum Sida 1(1) SOCN/2020:76 69 Yttrande över remiss från kommunsstyrelsen - Riktlinje för utkontraktering av IT Beslut Socialnämnden godkänner remissen i sin helhet utan kommentarer. Ärendebeskrivning Socialnämnden har inga synpunkter på föreslagen riktlinje. Beslutet skickas till: kommunstyrelsen Justerandes sign Utdragsbestyrkande

32 Socialnämnden Datum Diarienummer Socialförvaltningen SOCN/2020:76 Kvalitetsenheten Handlingsnummer Kjell Monéus : (1) Socialnämnden Yttrande - Riktlinje för utkontraktering av IT Förslag till beslut Socialnämnden avstår från att yttra sig över förslag till riktlinje för utkontraktering av IT. Ärendebeskrivning Förvaltningen gör bedömningen att Socialnämnden i sak inte har något att erinra om eller ytterligare tillföra förslaget. Nämnden föreslås avstå från att yttra sig över remissen. Beslutet skickas till: kommunstyrelsen SOCIALNÄMNDEN Mehmed Hasanbegovic Förvaltningschef

33 Överförmyndarnämnden Eskilstuna Strängnäs Protokollsutdrag Sammanträdesdatum Sida 1(1) ÖFNES/2020:33 62 Yttrande över remiss från kommunstyrelsen Riktlinje för utkontraktering av IT Beslut Överförmyndarnämnden Eskilstuna Strängnäs avstår från att yttra sig över Riktlinje för utkontraktering av IT. Ärendebeskrivning Överförmyndarnämnden har fått möjlighet att lämna yttrande över förslag till Riktlinje för utkontraktering av IT. Yttrandet ska vara kommunstyrelsen tillhanda senast den 16 oktober Förvaltningen gör bedömningen att Överförmyndarnämnden Eskilstuna Strängnäs i sak inte har något att erinra om eller ytterligare tillföra förslaget. Nämnden föreslås avstå från att yttra sig över remissen. Beslutet skickas till: Kommunstyrelsen i Eskilstuna kommun Justerandes sign Utdragsbestyrkande

34 Överförmyndarnämnden Datum Diarienummer Eskilstuna Strängnäs Socialförvaltningen ÖFNES/2020:33 Kvalitetsenheten Handlingsnummer Kjell Monéus :509 1 (1) Överförmyndarnämnden Eskilstuna Strängnäs Yttrande över remiss från kommunstyrelsen - Riktlinje för utkontraktering av IT Förslag till beslut Överförmyndarnämnden Eskilstuna Strängnäs avstår från att yttra sig över Riktlinje för utkontraktering av IT. Ärendebeskrivning Överförmyndarnämnden har fått möjlighet att lämna yttrande över förslag till Riktlinje för utkontraktering av IT. Yttrandet ska vara kommunstyrelsen tillhanda senast den 16 oktober Förvaltningen gör bedömningen att Överförmyndarnämnden Eskilstuna Strängnäs i sak inte har något att erinra om eller ytterligare tillföra förslaget. Nämnden föreslås avstå från att yttra sig över remissen. Beslutet skickas till: kommunstyrelsen SOCIALFÖRVALTNINGEN Hanna Sipovic Enhetschef

35 Stadsbyggnadsnämnden Protokollsutdrag Sammanträdesdatum Sida 1(2) SBN/2020: Yttrande över remiss Riktlinjer för utkontraktering av IT Beslut Godkänna förslaget och översända det till kommunstyrelsen. Sammanfattning Syftet med denna riktlinje är att säkerställa att all sourcing (utkontraktering, outsourcing) av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Riktlinjen omfattar och är skickad på remiss till alla nämnder och bolag inom koncernen. Svar ska ha inkommit till kommunstyrelsen senast den 16 oktober Riktlinjen kommer ersätta tidigare Riktlinje för Eskilstuna kommuns IT-verksamhet (KSKF 2017:655). Ärendebeskrivning Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om utkontraktering av IT-tjänster (d.v.s. system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen). Bakgrunden till riktlinjen är att kommunkoncernen idag har en rik flora av system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Arbetet med framtagningen av Riktlinje för utkontraktering har letts av kommunledningskontorets IT-chef tillsammans med konsulter från PWC. Avstämningar har gjorts med en Styrgrupp bestående av Kommunikationsdirektör, IT-chef, Förvaltningschef SEF, Områdeschef SEF IT och Informationssäkerhetsstrateg. Under arbetets gång har workshops genomförts tillsammans med nyckelroller för IT-anskaffning, resultatet har löpande stämts av med processledningsgruppen för IT som representeras av alla förvaltningar och CIO för ESEM. I arbetet med har det genomförts två avstämningar med Kommunledningskontorets Ledningsgrupp. Riktlinjen är remitterad tillsamtliga nämnder och bolag och yttrande ska ha inkommit till kommunstyrelsen senast den 16 oktober Riktlinjen Justerandes sign Utdragsbestyrkande

36 Stadsbyggnadsnämnden Protokollsutdrag Sammanträdesdatum Sida 2(2) kommer ersätta tidigare Riktlinje för Eskilstuna kommuns IT-verksamhet (KSKF 2017:655). Stadsbyggnadsnämndens yttrande Stadsbyggnadsnämnden är positiv till förslag till Plan för Eskilstuna kommunkoncerns IT-utveckling. Framtagandet har präglats av stor delaktighet och arbetet är väl förankrat i organisationen. För att underlätta förståelse och implementering av riktlinjen bör alltid språket vara så enkelt och tydligt som möjligt. Finansiering Finansiering sker inom ramen för ordinarie lednings- och styrningsarbete inom förvaltningsobjekten. Konsekvenser för hållbar utveckling och en effektiv organisation Social dimension Riktlinjen ska bidra till att utveckla välfärden och verka för trygga offentliga digitala lösningar. Miljömässig dimension Riktlinjen är en förutsättning för att arbeta för en mer hållbar verksamhet och hållbar stad. Digitalisering ger exempelvis mycket goda förutsättningar till digitala lösningar på en standardiserad nivå med så låg suboptimering som möjligt och på så sätt bidra till en god hushållning av resurser. Ekonomisk dimension Med en gemensam Riktlinje för Sourcing kan vi minimera suboptimering av resurser och funktioner och på detta sätt minska kostnader då fler kan samutnyttja system, licenser och hårdvara. En ökad standardisering bidrar även till effektivare förvaltning och avtalshantering på sikt. Effektiv organisation De grundläggande förutsättningarna i Riktlinjen ska lägga en god grund för effektivitet i olika digitaliseringsinitiativ. Det är även av vikt att arbetet samordnas inom hela kommunkoncernen för att undvika suboptimering och parallella processer. Beslutet skickas till: Kommunstyrelsen Kopia till: Akten Justerandes sign Utdragsbestyrkande

37 Stadsbyggnadsnämnden Datum Diarienummer Stadsbyggnadsförvaltningen SBN/2020:330 HR och kommunikation Handlingsnummer Pär Mårtensson : (2) Stadsbyggnadsnämnden Yttrande över remiss Riktlinjer för utkontraktering av IT Förslag till beslut Godkänna förslaget och översända det till kommunstyrelsen. Sammanfattning Syftet med denna riktlinje är att säkerställa att all sourcing (utkontraktering, outsourcing) av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Riktlinjen omfattar och är skickad på remiss till alla nämnder och bolag inom koncernen. Svar ska ha inkommit till kommunstyrelsen senast den 16 oktober Riktlinjen kommer ersätta tidigare Riktlinje för Eskilstuna kommuns IT-verksamhet (KSKF 2017:655). Ärendebeskrivning Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om utkontraktering av IT-tjänster (d.v.s. system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen). Bakgrunden till riktlinjen är att kommunkoncernen idag har en rik flora av system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Arbetet med framtagningen av Riktlinje för utkontraktering har letts av kommunledningskontorets IT-chef tillsammans med konsulter från PWC. Avstämningar har gjorts med en Styrgrupp bestående av Kommunikationsdirektör, IT-chef, Förvaltningschef SEF, Områdeschef SEF IT och Informationssäkerhetsstrateg. Under arbetets gång har workshops genomförts tillsammans med nyckelroller för IT-anskaffning, resultatet har löpande stämts av med processledningsgruppen för IT som representeras av alla förvaltningar och CIO för

38 Eskilstuna kommun (2) ESEM. I arbetet med har det genomförts två avstämningar med Kommunledningskontorets Ledningsgrupp. Riktlinjen är remitterad tillsamtliga nämnder och bolag och yttrande ska ha inkommit till kommunstyrelsen senast den 16 oktober Riktlinjen kommer ersätta tidigare Riktlinje för Eskilstuna kommuns IT-verksamhet (KSKF 2017:655). Stadsbyggnadsnämndens yttrande Stadsbyggnadsnämnden är positiv till förslag till Plan för Eskilstuna kommunkoncerns IT-utveckling. Framtagandet har präglats av stor delaktighet och arbetet är väl förankrat i organisationen. För att underlätta förståelse och implementering av riktlinjen bör alltid språket vara så enkelt och tydligt som möjligt. Finansiering Finansiering sker inom ramen för ordinarie lednings- och styrningsarbete inom förvaltningsobjekten. Konsekvenser för hållbar utveckling och en effektiv organisation Social dimension Riktlinjen ska bidra till att utveckla välfärden och verka för trygga offentliga digitala lösningar. Miljömässig dimension Riktlinjen är en förutsättning för att arbeta för en mer hållbar verksamhet och hållbar stad. Digitalisering ger exempelvis mycket goda förutsättningar till digitala lösningar på en standardiserad nivå med så låg suboptimering som möjligt och på så sätt bidra till en god hushållning av resurser. Ekonomisk dimension Med en gemensam Riktlinje för Sourcing kan vi minimera suboptimering av resurser och funktioner och på detta sätt minska kostnader då fler kan samutnyttja system, licenser och hårdvara. En ökad standardisering bidrar även till effektivare förvaltning och avtalshantering på sikt. Effektiv organisation De grundläggande förutsättningarna i Riktlinjen ska lägga en god grund för effektivitet i olika digitaliseringsinitiativ. Det är även av vikt att arbetet samordnas inom hela kommunkoncernen för att undvika suboptimering och parallella processer. STADSBYGGNADSFÖRVALTNINGEN Marianne Hagman Förvaltningschef Beslutet skickas till: Kommunstyrelsen

39 Arbetsmarknads- och vuxenutbildningsnämnden Protokollsutdrag Sammanträdesdatum Sida 1(1) 85 Remissvar - Riktlinje för utkontraktering av IT (AVN/2020:62) Beslut Arbetsmarknads- och vuxenutbildningsnämnden avstår från att yttra sig över förslag till utkontraktering av IT. Ärendebeskrivning Förvaltningen gör bedömningen att Arbetsmarknads- och vuxenutbildningsnämnden i sak inte har något att erinra om eller ytterligare tillföra förslaget. Nämnden föreslås avstå från att yttra sig över remissen. Yrkanden Jari Puustinen (M) yrkar bifall till förvaltningens förslag. Förvaltningen har upprättat en tjänsteskrivelse daterade den 6 augusti Förvaltningen har berett ärendet på arbetsutskottet den 2 september Muntlig föredragning av Magnus Minh Gustafsson, förvaltningschef Beslutet skickas till: Kommunstyrelsen Akten Justerandes sign Utdragsbestyrkande

40 Arbetsmarknads- och Datum Diarienummer vuxenutbildningsnämnden Arbetsmarknads- och AVN/2020:62 vuxenutbildningsförvaltningen Kvalitetsenheten Kjell Monéus :3231 Handlingsnummer 1 (1) Arbetsmarknads- och vuxenutbildningsnämnden Yttrande - utkontraktering av IT Förslag till beslut Arbetsmarknads- och vuxenutbildningsnämnden avstår från att yttra sig över förslag till utkontraktering av IT. Ärendebeskrivning Förvaltningen gör bedömningen att Arbetsmarknads- och vuxenutbildningsnämnden i sak inte har något att erinra om eller ytterligare tillföra förslaget. Nämnden föreslås avstå från att yttra sig över remissen. Beslutet skickas till: kommunstyrelsen ARBETSMARKNADS- OCH VUXENUTBILDNINGSNÄMNDEN Magnus Minh Gustavsson Förvaltningschef

41

42 Förskolenämnden Datum Diarienummer Barn- och utbildningsförvaltningen FSN/2020:88 Förvaltningsledningen Ranald MacDonald :636 Handlingsnummer 1 (1) Förskolenämnden Yttrande över remiss av förslag - Riktlinje för utkontraktering av IT (KSKF/2020:190) Förslag till beslut 1. Nämnden antar yttrandet och överlämnar det till kommunstyrelsen. Ärendebeskrivning Kommunledningskontoret har tagit fram ett förslag till riktlinje för utkontraktering av IT. Riktlinjen är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om sourcing (utkontraktering) av IT-tjänster inom koncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har många olika system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Yttrande Nämnden anser att riktlinjen är ambitiös och väl genomarbetad och har inget ytterligare att tillföra förslaget. Beslutet skickas till: Kommunstyrelsen BARN- OCH UTBILDNINGSFÖRVALTNINGEN Ingrid Sköldmo Förvaltningschef Ranald Mac Donald Digitaliseringsstrateg

43

44 Grundskolenämnden Datum Diarienummer Barn- och utbildningsförvaltningen GSN/2020:490 Förvaltningsledningen Handlingsnummer Ranald MacDonald : (2) Grundskolenämnden Yttrande över remiss av förslag - Riktlinje för utkontraktering av IT (KSKF/2020:190) Förslag till beslut 1. Nämnden antar yttrandet och överlämnar det till kommunstyrelsen. Ärendebeskrivning Kommunledningskontoret har tagit fram ett förslag till riktlinje för utkontraktering av IT. Riktlinjen är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om sourcing (utkontraktering) av IT-tjänster inom koncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har många olika system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Yttrande Nämnden anser att riktlinjen är ambitiös och väl genomarbetad och har inget ytterligare att tillföra förslaget. Beslutet skickas till: Kommunstyrelsen BARN- OCH UTBILDNINGSFÖRVALTNINGEN Ingrid Sköldmo Förvaltningschef Ranald Mac Donald Digitaliseringsstrateg

45 Eskilstuna kommun (2)

46

47 Gymnasienämnden Datum Diarienummer Barn- och utbildningsförvaltningen GN/2020:133 Förvaltningsledningen Ranald MacDonald :741 Handlingsnummer 1 (1) Gymnasienämnden Yttrande över remiss av förslag - Riktlinje för utkontraktering av IT (KSKF/2020:190) Förslag till beslut 1. Nämnden antar yttrandet och överlämnar det till kommunstyrelsen. Ärendebeskrivning Kommunledningskontoret har tagit fram ett förslag till riktlinje för utkontraktering av IT. Riktlinjen är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om sourcing (utkontraktering) av IT-tjänster inom koncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har många olika system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilket är en förutsättning för digitaliseringsarbetet. Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Yttrande Nämnden anser att riktlinjen är ambitiös och väl genomarbetad och har inget ytterligare att tillföra förslaget. Beslutet skickas till: Kommunstyrelsen BARN- OCH UTBILDNINGSFÖRVALTNINGEN Ingrid Sköldmo Förvaltningschef Ranald Mac Donald Digitaliseringsstrateg

48 Protokollsutdrag Eskilstuna Kommunföretag AB ESKILSTUNA KOMMUNFÖRETAG AB Sammanträdesdatum Styrelsesammanträde 8/ SAMMANTRÄDESPROTOKOLL 9 Remiss Riktlinje för utkontraktering av IT Dnr 2020:034 Styrelsen beslutade att godkänna nedanstående remissvar, samt att skicka remissvaret till kommunstyrelsen för vidare hantering. Sammanfattning Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Ur Riktlinje för utkontraktering av IT Eskilstuna Kommunföretag AB har tagit del av remissen och lämnar följande svar som en sammanställning och sammanfattning av de svar som författats av respektive bolag avseende denna remiss. Generellt om styrdokumenten De styrdokument för IT som är ute på remiss är fyra till antalet, IT-policy, Plan för Eskilstuna kommunkoncerns IT-utveckling, Riktlinje för utkontraktering av IT och Riktlinje för anskaffning av IT. Eskilstuna Kommunföretag AB vill göra följande medskick för dessa fyra dokument. Eskilstuna Kommunföretag AB menar att det är nödvändigt med uppdaterade styrdokument för IT inom Eskilstuna kommunkoncern. Dessa behövs för att fastställa grundläggande principer och inriktning för IT-verksamheten inom kommunkoncernen. Inte minst i en tid där den digitala transformationen skapar såväl förutsättningar för interna effektiviseringar och nya affärer som nya krav och förväntningar från medborgare och kunder. Eskilstuna Kommunföretag AB ser positivt på möjligheterna att hitta synergier kring IT inom Eskilstuna kommunkoncern. Samtidigt ger den samlade bilden av de styrdokument som är ute på remiss att dessa innebär en omfattande förskjutning av ansvar och befogenheter från de

49 kommunala bolagen till den kommunala förvaltningsorganisationen. En sådan förskjutning skapar oro kring påverkan på bolagens rådighet över sin verksamhet, däribland nödvändig kontroll över styr- och kontrollsystem för samhällsviktiga infrastrukturtjänster. Då dokumenten föreslår en kraftig centralisering ser Eskilstuna kommunföretag AB att en grundlig konsekvensanalys måste genomföras innan beslut kan fattas avseende de fyra styrdokumenten. En sådan konsekvensanalys kräver att roller och ansvarsfördelning först preciseras i styrdokumenten så att avsikterna tydligare framgår och kan bedömas. Eskilstuna Kommunföretag AB ser att en sådan konsekvensanalys behöver omfatta: bedömning av effekterna av förflyttningen av ansvar och befogenheter påverkan på bolagens rådighet över sin verksamhet (t.ex. investeringar) organisationspåverkan för såväl den kommunala förvaltningsorganisationen som för bolagen Riktlinje för utkontraktering av IT Eskilstuna Kommunföretag AB är i stora delar positiva till Riktlinje för utkontraktering men styrelsen vill utöver vad som är angivet ovan under rubriken Generellt om styrdokumenten göra följande medskick. Dokumentet anger utkontraktering som ett strategiskt beslut som medför påverkan på koncernens driftsmodell för IT samt att dokumentet likt övriga styrdokument omfattar alla nämnder och bolag. Givet att stora delar av bolagskoncernens verksamhet omfattas av NIS-direktivet och Säkerhetsskyddslagen vill Eskilstuna Kommunföretag AB påpeka vikten av att en koncerngemensam driftsmodell tar hänsyn till konsekvenserna som följer på den lagstiftningen. Beroende på säkerhetsklassningen av den information som hanteras inom bolagskoncernen är utkontraktering i många fall inte ett möjligt alternativ. Bolagens yttranden redovisas i styrelsehandlingen.

50 Eskilstuna Kommunföretag AB Datum 1(6) Fredrik Andersson Styrelsen för Eskilstuna Kommunföretag AB Missiv - Riktlinje för utkontraktering av IT Förslag till beslut Styrelsen för Eskilstuna Kommunföretag AB föreslås besluta att godkänna nedanstående remissvar samt att skicka remissvaret till kommunstyrelsen för vidare hantering. Sammanfattning Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Ur Riktlinje för utkontraktering av IT Eskilstuna Kommunföretag AB har tagit del av remissen och lämnar följande svar som en sammanställning och sammanfattning av de svar som författats av respektive bolag avseende denna remiss. Generellt om styrdokumenten De styrdokument för IT som är ute på remiss är fyra till antalet, IT-policy, Plan för Eskilstuna kommunkoncerns IT-utveckling, Riktlinje för utkontraktering av IT och Riktlinje för anskaffning av IT. Eskilstuna Kommunföretag AB vill göra följande medskick för dessa fyra dokument. Eskilstuna Kommunföretag AB menar att det är nödvändigt med uppdaterade styrdokument för IT inom Eskilstuna kommunkoncern. Dessa behövs för att fastställa grundläggande principer och inriktning för IT-verksamheten inom kommunkoncernen. Inte minst i en tid där den digitala transformationen skapar såväl förutsättningar för interna effektiviseringar och nya affärer som nya krav och förväntningar från medborgare och kunder. Eskilstuna Kommunföretag AB ser positivt på möjligheterna att hitta synergier kring IT inom Eskilstuna kommunkoncern. Samtidigt ger den samlade bilden av de styrdokument som är ute på remiss att dessa innebär en omfattande förskjutning av ansvar och befogenheter från de kommunala bolagen till den kommunala förvaltningsorganisationen. En sådan förskjutning skapar oro kring påverkan på bolagens rådighet över sin verksamhet, däribland nödvändig kontroll över styr- och kontrollsystem för samhällsviktiga infrastrukturtjänster.

51 Eskilstuna Kommunföretag AB Datum 2(6) Fredrik Andersson Då dokumenten föreslår en kraftig centralisering ser Eskilstuna kommunföretag AB att en grundlig konsekvensanalys måste genomföras innan beslut kan fattas avseende de fyra styrdokumenten. En sådan konsekvensanalys kräver att roller och ansvarsfördelning först preciseras i styrdokumenten så att avsikterna tydligare framgår och kan bedömas. Eskilstuna Kommunföretag AB ser att en sådan konsekvensanalys behöver omfatta: bedömning av effekterna av förflyttningen av ansvar och befogenheter påverkan på bolagens rådighet över sin verksamhet (t.ex. investeringar) organisationspåverkan för såväl den kommunala förvaltningsorganisationen som för bolagen Riktlinje för utkontraktering av IT Eskilstuna Kommunföretag AB är i stora delar positiva till Riktlinje för utkontraktering men styrelsen vill utöver vad som är angivet ovan under rubriken Generellt om styrdokumenten göra följande medskick. Dokumentet anger utkontraktering som ett strategiskt beslut som medför påverkan på koncernens driftsmodell för IT samt att dokumentet likt övriga styrdokument omfattar alla nämnder och bolag. Givet att stora delar av bolagskoncernens verksamhet omfattas av NIS-direktivet och Säkerhetsskyddslagen vill Eskilstuna Kommunföretag AB påpeka vikten av att en koncerngemensam driftsmodell tar hänsyn till konsekvenserna som följer på den lagstiftningen. Beroende på säkerhetsklassningen av den information som hanteras inom bolagskoncernen är utkontraktering i många fall inte ett möjligt alternativ. Nedan redovisas yttrande från bolagen. Yttrande från Eskilstuna Kommunfastigheter AB Styrelsen för Eskilstuna Kommunfastigheter AB beslutade att godkänna förslaget till remissvar avseende rubricerat ärende samt att skicka beslutet till Eskilstuna kommunföretag för vidare hantering Ärendebeskrivning Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid utkontraktering av IT-tjänster inom koncernen Bakgrunden till riktlinjen är att kommunkoncernen idag har en stor omfattning av system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt, vilken är en förutsättning för digitaliseringsarbetet. Riktlinjen omfattar alla nämnder och bolag inom koncernen. Arbetet med framtagningen av Riktlinje för utkontraktering har letts av kommunledningskontorets IT-chef tillsammans med konsulter från PWC. Avstämningar har gjorts med en Styrgrupp bestående av Kommunikationsdirektör, IT-chef, Förvaltningschef SEF, Områdeschef SEF IT och Informationssäkerhetsstrateg. Under arbetets gång har workshops genomförts tillsammans med nyckelroller för ITanskaffning, resultatet har löpande stämts av med processledningsgruppen för IT som representeras av alla förvaltningar och CIO för ESEM. I arbetet med har det genomförts två avstämningar med Kommunledningskontorets Ledningsgrupp.

52 Eskilstuna Kommunföretag AB Datum 3(6) Fredrik Andersson Sammanfattning av riktlinje Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och/eller objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT-policy och målarkitekturer. Kfast s yttrande Kommunfastigheter AB ställer sig positiva till riktlinjen för utkontraktering av IT när det gäller en gemensam vägledning inför beslut om sourcing, med beskrivning för bedömning av underlag, samt styrande principer vid själva genomförandet. Dokumentets målsättning är att gälla för hela kommunkoncernen dvs både förvaltningar och bolag. En organisatorisk genomlysning bör utföras och riskbedömas då detta dokument får konsekvenser för ffa bolagens men även primärkommunens befintliga organisationer som behöver förstärkas för att bibehålla en hög leverans och kvalité på sitt arbete gentemot denna nya stora kundgrupp som bolagen utgör. Några exempel på varför en organisatorisk genomlysning bör göras är: 1. Under rubriken vägledning inför beslut om sourcing kan man läsa att en förstudie ska tas fram och ska genomföras tillsammans med EA-funktionen. Detta innebär att bolagens arkitektfunktion ersätts med kommunens strategiska arkitektkontor. 2. Under rubriken ansvar vid sourcing av IT kan man läsa att: 2a. IT-chef ansvarar för kommunens infrastruktur och målarkitektur och har mandat att påverka kravställningen. Detta innebär att bolagen ska konsultera kommunens IT chef vid sourcing av verksamhet i bolagen? 2b. IT-styrgruppen som består av IT-chef, områdeschef, arkitekt IT och informationssäkerhetsstrateg, ansvarar för att godkänna externa driftsavtal innan en verksamhet ingår avtal med en extern part, för att säkerställa krav på informationssäkerhet och målarkitektur. Det innebär att bolagens IT råd stängs ned och bolagens ärenden skickas till kommunens IT-styrgrupp. 2c. Serviceförvaltningen IT (SEF IT) ansvarar för att tillsammans med upphandlingsenheten kravställa, utvärdera samt teckna samtliga IT relaterade avtal, enligt gällande delegationsordning. Vidare ansvarar SEF IT för återrapportering till respektive objektsägare avseende licensnyttjande. Det innebär att serviceförvaltningen och upphandlingsenheten tar över ansvaret för bolagens IT avtal? 2d. EA-funktionen, den strategiska arkitekturfunktionen för IT, ansvarar för att koncernens målarkitekturer efterlevs och har mandat att påverka kravställning samband med sourcing av IT. Det innebär att bolagen ska skicka sina IT relaterande ärenden till EA funktionen på kommunen.

53 Eskilstuna Kommunföretag AB Datum 4(6) Fredrik Andersson e. Objektsägare inom kommunens systemförvaltning har mandat att initiera uppdrag utifrån gällande förvaltningsplan samt avropa tjänster och funktioner mot ingångna avtal. Objektsägaren ansvarar även för att respektive verksamhetssystem har rätt antal användarlicenser. Bolagen använder inte termen objektsägare i dagsläget och ej heller förvaltningsplan enligt PM3. Det innebär att bolagen tar bort sin förvaltningsmodell och övergå till PM3. 2f. Objektsledare inom kommunens systemförvaltning ansvarar för att inom löpande avtal följa upp och rapportera leveranskvalitet till objektsägaren. Bolagen använder inte termen objektsägare i dagsläget och ej heller förvaltningsplan enligt PM3. Det innebär att bolagen tar bort sin förvaltningsmodell och övergå till PM3. 3. Under rubriken Uppföljning står det att läsa att ett särskilt ansvar för den gemensamma uppföljningen ligger även på IT chefen. Det innebär att kommunens IT chef ansvarar för uppföljning av bolagens eventuella sourcing. Yttrande från Eskilstuna Energi och Miljö AB Styrelsen för Eskilstuna Energi och Miljö AB beslutade: att godkänna nedanstående remissvar samt att skicka beslutet till Eskilstuna kommunföretag för vidare hantering. Sammanfattning Syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen s ka också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Införande av sourcing innebär ett strategiskt beslut då det medför påverkan på koncernens driftsmodell för IT. Därför är det viktigt att beslut om sourcing är väl grundat och i linje med koncernens övergripande IT - policy och målarkitekturer. Ur Riktlinje för utkontraktering av IT Så beskrivs syftet med Riktlinjen för utkontraktering av IT i det remissmaterial som Eskilstuna Energi och Miljö AB (EEM) har att ta ställning till. Om styrdokumenten De styrdokument för IT som är ute på remiss är fyra till antalet, IT - policy, Plan för Eskilstuna kommunkoncerns IT - utveckling, Riktlinje för utkontraktering av IT och Riktlinje för anskaffning av IT. Eskilstuna Energi och Miljö AB vill göra följande medskick för dessa fyra dokument. EEM ställer sig positivt till att genom styrdokument som dessa fastställa

54 Eskilstuna Kommunföretag AB Datum 5(6) Fredrik Andersson grundläggande principer som ska gälla för IT-verksamheten. Hit hör t.ex. kraven på en systematiserad förvaltning i enlighet med fastställd metod, att information ska ha ett tydligt utpekat ägarskap och liknande. Då dessa styrdokument avser att gälla för hela Eskilstuna kommunkoncern, inklusive de kommunala bolagen (och då även SEVAB Strängnäs Energi AB (SEVAB) genom det med Strängnäs kommun samägda driftsbolaget Eskilstuna Strängnäs Energi och Miljö AB (ESEM)) är det viktigt att ta hänsyn till de skillnader som finns mellan myndighetsutövning och konkurrensutsatt verksamhet. Även om det finns en gemensam övergripande strategisk målsättning för hela Eskilstuna kommunkoncern finns det avgörande skillnader i förutsättningar och uppdrag för kommun och bolag, något som EEM anser inte återspeglas i styrdokumenten i dessa remisser. Målsättningen i IT-policyn om att basera IT på verksamhetens samlade behov förutsätter att dessa är tillräckligt lika för att samordning ska vara meningsfull. För så vitt skilda verksamheter som t.ex. skola och processindustri är detta inte givet. Skälen till att man väljer att bedriva viss kommunal verksamhet i bolagsform bör även gälla för den verksamhetens kritiska stödfunktioner, detta inte bara med tanke på skillnader mellan olika typer av verksamhet utan även med tanke på bolagens rådighet över sina egna verksamheter. Nuvarande skrivningar i de styrdokument som remisserna omfattar innebär att de kommunala bolagen i Eskilstuna, samt SEVAB i Strängnäs kommun, i väsentliga delar flyttar styrning och kontroll av IT-verksamheten från bolagen till Eskilstuna kommuns organisation genom IT-chef, Kommundirektör och EA-funktion. Om detta inte är avsikten måste skrivningar förtydligas avseende roller och ansvar. Om denna förflyttning av styrning och kontroll är avsiktlig saknas omfattande konsekvensanalys rörande påverkan på organisation samt bolagens möjlighet att styra över sin IT-verksamhet och i förlängningen över avgörande delar av sin verksamhet. Det är i vart fall EEMs uppfattning att de kommunala bolagen behöver ha rådighet över sin IT-verksamhet för att kunna leva upp till ägardirektiven och då främst de krav på avkastning som EEM har att förhålla sig till. I en värld med ökade krav och förväntningar på digitalisering och säkerhet, inte bara avseende kundernas ökade förväntan på digital service, utan även på möjligheten att med hjälp av den digitala transformationen göra nya och bättre affärer, behöver EEM som bolag på en konkurrensutsatt marknad ha full rådighet över ett så avgörande stöd som IT-verksamheten. IT är även en djupt integrerad del av EEMs produktionsanläggningar genom industriella styrsystem. För att kunna ta ansvar för driftsäkerheten krävs även i det avseendet möjlighet att också styra över densamma. Inte minst med hänsyn till lagstiftning som NIS-direktiv och Säkerhetsskyddslag som i hög utsträckning berör EEMs samhällsviktiga funktioner. Ett bärande tema i dessa styrdokument är samordning. Ett allt för omfattande krav på samordning utgör enligt EEMs mening en uppenbar risk för mycket långa beslutsprocesser samt suboptimering, något som behöver beaktas. Riktlinje för utkontraktering av IT Utöver vad som är angivet ovan om samtliga styrdokument vill EEM göra nedanstående medskick till Riktlinje för utkontraktering av IT. Dokumentet anger utkontraktering som ett strategiskt beslut som medför påverkan på koncernens driftsmodell för IT samt att dokumentet likt övriga styrdokument omfattar alla nämnder och bolag. Givet att EEMs verksamhet omfattas av NIS-direktivet och Säkerhetsskyddslagen menar EEM att det är helt avgörande att en koncerngemensam driftsmodell tar hänsyn till konsekvenserna som följer på den lagstiftning som EEM har att hålla sig till. Beroende på säkerhetsklassningen

55 Eskilstuna Kommunföretag AB Datum 6(6) Fredrik Andersson av den information som hanteras inom EEM är utkontraktering i många fall inte ett möjligt alternativ. Yttrande från Destination Eskilstuna AB Bolaget har valt att inte svara på remissen. Yttrande från Eskilstuna Logistik och Etablering AB Bolaget har valt att inte svara på remissen. Eskilstuna Kommunföretag AB Tommy Malm

56 Remisser angående dokument för IT-styrning från Eskilstuna kommun Eskilstuna Kommunföretag AB Styrelsemöte

57 Dokument på remiss IT-policy för Eskilstuna kommun Plan för Eskilstuna kommunkoncerns IT utveckling (motsvarighet till IT-strategi) Riktlinje för utkontraktering av IT Riktlinje för anskaffning av IT

58 IT-policy IT-policyn är att betrakta som huvuddokument Som ett led i arbetet med digital transformation genomförs en översyn av kommunens IT-styrning. Det innebär att ta fram en IT-policy med tillhörande riktlinjer samt en plan för IT-utveckling. Syftet med IT-policyn är att säkerställa en effektiv och hållbar ITverksamhet samt skapa förutsättningar för att kommunkoncernen ska kunna uppnå sina verksamhetsmål med stöd av ändamålsenliga ITkomponenter och funktioner. Ur syftesbeskrivningen för IT-policy

59 Förslag till svar från Eskilstuna kommunföretag Bra och nödvändigt med uppdaterade styrdokument Behövs för att fastställa grundläggande principer och inriktning för IT-verksamheten inom kommunkoncernen Dokumenten pekar tydligt på vikten av samordning för att uppnå synergier, något som vi ser positivt på Dock innebär den samlade bilden av dokumenten en omfattande förskjutning av ansvar och befogenheter från de kommunala bolagen till den kommunala förvaltningsorganisationen En sådan förskjutning skapar oro kring påverkan på bolagens rådighet över sin verksamhet, däribland: Nödvändig kontroll över styr- och kontrollsystem för samhällsviktiga infrastrukturtjänster Beslut om investeringar

60 Exempel Skrivningen IT-chefen är även ansvarig för strategiska beslut inom ramen för fastställt IT-plan i samråd med PLG IT och IT-styrgruppen. innebär att ITchefen för Eskilstuna kommun är ansvarig för strategiska beslut även för bolagen. Respektive bolagsledning, med ansvar för egna strategiska mål, bör också ta de strategiska besluten om sin IT-verksamhet. Ett liknande förhållningssätt borde rimligtvis antas råda även i de kommunala förvaltningarna. Riktlinjen om IT-anskaffning innebär en avsevärd förflyttning av arbetsuppgifter och ansvar från de kommunala bolagen. Då Serviceförvaltningen IT ska kravställa, utvärdera samt teckna samtliga IT-relaterade avtal får detta mycket stor påverkan på anskaffning av industriellera styr- och kontrollsystem för kraftvärmeverk, vattenverk, reningsverk, flygplats och liknande verksamheter. Rollbeskrivningar fokuserar nästan uteslutande på den kommunala förvaltningsorganisationen vilket gör bolagens roller svåra att bedöma

61 Förslag till svar från Eskilstuna kommunföretag Det behövs ett förtydligande av roller och ansvarsfördelning för att intentionerna med styrdokumenten ska framgå avgörande för att kunna följa och implementera dokumenten Då förslaget innebär en kraftig centralisering behöver en konsekvensanalys genomföras som behöver omfatta bedömning av effekterna av förflyttningen av ansvar och befogenheter påverkan på bolagens rådighet över sin verksamhet (t.ex. investeringar) organisationspåverkan för såväl den kommunala förvaltningsorganisationen som för bolagen En sådan konsekvensutredning behöver genomförs innan beslut kan tas om fastställande av styrdokumenten

62 Servicenämnden Protokollsutdrag Sammanträdesdatum Sida 1(2) 47 Yttrande över remiss - Riktlinjer för utkontraktering av IT (SEN/2020:32) Beslut Förslag till kommunfullmäktige Riktlinjer för utkontraktering av IT antas. Ärendebeskrivning Serviceförvaltningen ger i skrivelse, daterad den 26 augusti 2020, förslag till beslut. Förslag till Riktlinjer för utkontraktering har remitteras till samtliga nämnder och bolag. I skrivelsen framgår att syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om utkontraktering av IT-tjänster inom koncernen Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av utkontraktering av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen inklusive molntjänster. Remissvar ska vara kommunstyrelsen tillhanda senast den 16 oktober Servicenämndens yttrande Servicenämnden har tagit del av förslaget till Riktlinjer för utkontraktering av IT och ställer sig bakom skrivelsen. Servicenämnden har deltagit i framtagningen av Riktlinjer för utkontraktering av IT genom att Områdeschef SEF IT och förvaltningschef har arbetat i styrgrupp tillsammans med kommunledningskontorets IT-chef, kommunikationsdirektör samt informationssäkerhetsstrateg. I framtagandet har konsulter från PwC anlitats. Justerandes sign Utdragsbestyrkande

63 Servicenämnden Protokollsutdrag Sammanträdesdatum Sida 2(2) Skrivelsen ger en vägledning inför beslut om sourcing och den beskriver styrande principer vid genomförande av sourcing samt vilket ansvar som gäller vid sourcing av IT. Den beskriver även övergripande ansvaret för uppföljning. Finansiering Medel för upprätthållande och förvaltning av riktlinjen finansieras inom ramen för ordinarie lednings- och styrnings arbete inom kommunkoncernen. Konsekvenser för hållbar utveckling och en effektiv organisation Genom att föreslaget med Riktlinjer för utkontraktering av IT tydliggör hela kommunkoncernens ansvar skapas bättre förutsättning för arbetet med de olika hållbarhetsperspektiven, all sourcing av IT ska ske på ett ändamålsenligt och hållbart samt effektivt sätt Riktlinjer för utkontraktering av IT lägger också en grund för ett mer effektivt och samordnat arbete vid upphandling samt utveckling av IT tjänster inom hela kommunkoncernen. Beslutet skickas till: kommunstyrelsen Justerandes sign Utdragsbestyrkande

64 Servicenämnden Datum Diarienummer Serviceförvaltningen SEN/2020:32 Stab och stöd Jan Åkerviken :335 Handlingsnummer 1 (2) Servicenämnden Yttrande över remiss - Riktlinjer för utkontraktering av IT Förslag till beslut Förslag till kommunfullmäktige Riktlinjer för utkontraktering av IT antas. Ärendebeskrivning Förslag till Riktlinjer för utkontraktering har remitteras till samtliga nämnder och bolag. I skrivelsen framgår att syftet med denna riktlinje är att säkerställa att all sourcing av IT sker på ett ändamålsenligt och hållbart sätt samt i enlighet med koncernens målarkitekturer och objektsförvaltningsplaner. Riktlinjen ska också vägleda ansvariga beställare genom att beskriva vilka kriterier som är styrande vid beslut om att genomföra sourcing. Denna riktlinje är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om utkontraktering av IT-tjänster inom koncernen Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av utkontraktering av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen inklusive molntjänster. Remissvar ska vara kommunstyrelsen tillhanda senast den 16 oktober Servicenämndens yttrande Servicenämnden har tagit del av förslaget till Riktlinjer för utkontraktering av IT och ställer sig bakom skrivelsen. Servicenämnden har deltagit i framtagningen av Riktlinjer för utkontraktering av IT genom att Områdeschef SEF IT och förvaltningschef har arbetat i styrgrupp

65 Eskilstuna kommun (2) tillsammans med kommunledningskontorets IT-chef, kommunikationsdirektör samt informationssäkerhetsstrateg. I framtagandet har konsulter från PwC anlitats. Skrivelsen ger en vägledning inför beslut om sourcing och den beskriver styrande principer vid genomförande av sourcing samt vilket ansvar som gäller vid sourcing av IT. Den beskriver även övergripande ansvaret för uppföljning Finansiering Medel för upprätthållande och förvaltning av riktlinjen finansieras inom ramen för ordinarie lednings- och styrnings arbete inom kommunkoncernen. Konsekvenser för hållbar utveckling och en effektiv organisation Genom att föreslaget med Riktlinjer för utkontraktering av IT tydliggör hela kommunkoncernens ansvar skapas bättre förutsättning för arbetet med de olika hållbarhetsperspektiven, all sourcing av IT ska ske på ett ändamålsenligt och hållbart samt effektivt sätt Riktlinjer för utkontraktering av IT lägger också en grund för ett mer effektivt och samordnat arbete vid upphandling samt utveckling av IT tjänster inom hela kommunkoncernen. SERVICEFÖRVALTNINGEN Jörgen Axelsson förvaltningschef Beslutet skickas till: kommunstyrelsen

66 Vård- och omsorgsnämnden Protokollsutdrag Sammanträdesdatum Sida 1(2) 78 Remissyttrande - Riktlinje för utkontraktering av IT (VON/2020:91) Beslut Vård- och omsorgsnämnden godkänner vård- och omsorgsförvaltningens yttrande om Riktlinje för utkontraktering av IT. Ärendebeskrivning (yttrande) Vård- och omsorgsnämnden ställer sig bakom Riktlinjer för utkontraktering av IT som tydligt beskriver vilka principer som gäller om sourcing (utkontraktering) av ITtjänster inom koncernen. Som beskrivet är det av största vikt att system kan integreras och hanteras på ett ändamålsenligt och effektivt sätt, då det är en förutsättning för digitaliseringsarbetet. För att verksamheten ska uppnå effektiv digital transformation måste stora datamängder kunna nyttjas och användas som underlag för att kunna skapa service och tjänster med god kvalitet. Nämnden efterfrågar ett förtydligande gällande EA-funktionen på sidan två. Funktionen omnämns i första stycket under rubriken Vägledning inför beslut om sourcing på sida två, men beskrivs först på sida 6, under rubriken Ansvar vid sourcing av IT, stycke sex. I riktlinjer är det uttalat att Serviceförvaltningen IT (SEF) ansvarar för att tillsammans med upphandlingsenheten kravställa, utvärdera samt teckna samtliga IT-relaterade avtal, enligt gällande delegationsordning. Nämnden saknar en tydlig koppling till verksamheten i detta steg. Verksamhetens medverkan vid kravställan och utvärdering är av stor vikt för en god digital transformation. Det står även att Objektsägare inom kommunens systemförvaltning har mandat att initiera uppdrag utifrån gällande förvaltningsplan samt avropa tjänster och funktioner mot ingångna avtal. Objektsägaren ansvarar även för att respektive verksamhetssystem har rätt antal användarlicenser. Nämnden efterfrågar ett förtydligande gällande om det är Objektägare IT eller Objektägare verksamhet som åsyftas och om Objektsägare verksamhet kan initiera nyutveckling som inte finns med i planen. Nämnden efterfrågar ett förtydligande om Förvaltningsplanen endast hanterar förvaltning av digitala tjänster eller om det även gäller nyutveckling av digitala tjänster. Beslutet skickas till Kommunstyrelsen Justerandes sign Utdragsbestyrkande

67 Vård- och omsorgsnämnden Protokollsutdrag Sammanträdesdatum Sida 2(2) Justerandes sign Utdragsbestyrkande

68

69

70 Kultur- och fritidsnämnden Protokollsutdrag Sammanträdesdatum Sida 1(3) 71 Remiss från kommunstyrelsen - Riktlinjer för utkontraktering av IT (KFN/2020:83) Beslut Yttrandet godkänns och översänds till kommunstyrelsen. Ärendebeskrivning Kommunstyrelsen har , 128, remitterat förslag till Riktlinje för utkontraktering av IT (KSKF/2020:190) till kultur- och fritidsnämnden för yttrande. Den föreslagna riktlinjen är tänkt att vara ett komplement till Eskilstuna kommuns ITpolicy och beskriver vilka principer som gäller vid beslut om utkontraktering av ITtjänster inom koncernen. Kultur- och fritidsnämndens yttrande har tagits fram av en arbetsgrupp på kultur- och fritidsförvaltningen bestående av handläggare med ansvar för informationssäkerhet och dataskyddssamordning, HR-administratör tillika biträdande dataskyddssamordnare, stadsarkivarie, e-arkivarie, systemförvaltare för e-arkiv, antikvarie med ansvar för samlingar och digitalisering samt utvecklare med ansvar för förvaltningens digitaliseringsarbete. Kultur- och fritidsnämndens synpunkter i egenskap av arkivmyndighet är därmed också inkluderade i det föreslagna yttrandet. Yttrandet ska ses som kopplat till kultur- och fritidsnämndens yttranden över riktlinje, policy och plan KFN/2020:81 - Remiss från kommunstyrelsen Plan för Eskilstuna kommunkoncerns IT-utveckling, KFN/2020:80 - Remiss från kommunstyrelsen - ITpolicy för Eskilstuna kommun och KFN/2020:82 - Remiss från kommunstyrelsen - Riktlinjer för IT-anskaffning, som också är remitterade till nämnden för yttrande. Kultur- och fritidsnämndens yttrande Kultur- och fritidsnämnden ställer sig positiv till att riktlinjer för utkontraktering av IT tas fram. Däremot ser nämnden det som en nödvändighet att verksamheternas rådighet över utkontrakteringen stärks och att följsamhet med Dataskyddsförordningen lyfts fram. Avsnittet Styrande principer vid genomförande av sourcing samt Ansvar vid sourcing av IT saknar verksamhetsperspektiv. Om endast IT-chef, IT-styrgrupp, SEF IT och EA-funktion har möjlighet att kravställa, och användare och verksamheter inte har rådighet i upphandlingsprocessen jämte SEF IT upphör IT-verksamheten att vara en stödfunktion och blir i stället en styrande funktion vid utkontraktering. Om objektsägaren endast har mandat att avropa tjänster och funktioner mot ingångna avtal har den inget mandat att påverka kravställandet. Verksamheternas motsvarigheter till Justerandes sign Utdragsbestyrkande

71 Kultur- och fritidsnämnden Protokollsutdrag Sammanträdesdatum Sida 2(3) IT:s föreslagna funktioner i utkontraktering (sourcing) behöver finnas med. Objektsspecialister saknas i formuleringen av kravställandet vid utkontraktering. Stadsarkivets roll i informationsförvaltning behöver finnas med även vid utkontraktering. Informationssäkerhet och skydd av personuppgifter i enlighet med Dataskyddsförordningen är särskilt viktiga aspekter att beakta när utkontraktering av IT sker. Kultur- och fritidsnämnden anser därför att hänvisning bör göras till styrdokument kring dataskydd och informationssäkerhet redan under avsnittet riktlinjens syfte. Nämnden föreslår även att denna föreslagna riktlinje ej läggs fram för beslut förrän erforderliga styrdokument inom informationssäkerhet och GDPRfrågor beslutats av behörig instans. Nämnden noterar att olika arbetsformer är tänkta att gälla för utkontraktering respektive anskaffning av IT. Om så ska vara fallet är det viktigt att klargöra varför olika arbetssätt tillämpas. Kultur- och fritidsnämnden påpekar att plan för livscykelhantering av information bör föregå utkontraktering. Arkivering sker dessutom kontinuerligt, vilket också bör beaktas vid utkontraktering. Här vill nämnden att hänvisning till stadsarkivets Arkivkrav vid upphandling förs in i riktlinjen, samt att krav på export av information till e-arkiv tillförs som motiv. I tabellen över bedömning av områden för utkontrakteringstjänster är verksamhetsperspektivet frånvarande. Detta indikeras också av avståndstagandet från volymtjänster med hög grad av verksamhetsunika anpassningar. Nämnden anser att det behöver finnas en balans mellan tekniskt kravställande och verksamheternas behov av ändamålsenliga system. Bland kraven som ska ställas vid utkontraktering nämns vedertagen praxis, vilket är ett alltför diffust begrepp för att definiera status för utveckling, drift och förvaltning. På samma sätt nämns att leverantören ska informera kommunen om väsentliga ändringar sker avseende lagring. Här bör följsamhet med dataskyddsförordningen explicit skrivas in för att förhindra att information lagras i tredje land eller hos underbiträden utanför kommunens kontroll eller godkännande. Det bör även framgå att personuppgiftsbiträdesavtal alltid ska tecknas vid utkontraktering av system som hanterar personuppgifter oavsett art. Kultur- och fritidsnämnden anser att det är positivt att kommunen enligt förslaget ska ställa krav på äganderätten till sin information, men här behöver även relationerna mellan kommunens olika myndigheter klargöras, då dessa utgör olika personuppgiftsansvariga i Dataskyddsförordningens mening. Nämnden ser det även som positivt att information ska återlämnas till koncernen då tjänsten avvecklas, samt att det är ett krav att spår av data som lagrats hos leverantören ska raderas. Dock behöver förtydligande göras av vad som avses med kompatibelt standardiserat format för att säkerställa överföringen, då det finns en flora av standardformat. Av denna Justerandes sign Utdragsbestyrkande

72 Kultur- och fritidsnämnden Protokollsutdrag Sammanträdesdatum Sida 3(3) anledning är det också viktigt att kommunens arkivmyndighet involveras utifrån ett informationsförvaltningsperspektiv. På ett övergripande plan kan det konstateras att dokumentets terminologi behöver ses över. Begrepp behöver definieras och avgränsas tydligt mot varandra samt sättas i relation till varandra. Exempel ur riktlinjen är målarkitektur och infrastruktur för IT. Ett gemensamt begreppssystem för alla IT-dokument bör tas fram för att undvika missförstånd och motsägelser dokumenten emellan. Den gemensamma begreppsförteckningen borde sedan vara en integrerad del i varje dokument. Språklagen (2009:600) pekar på vikten av att [s]pråket i offentlig verksamhet ska vara vårdat, enkelt och begripligt samt att [m]yndigheter har ett särskilt ansvar för att svensk terminologi inom deras olika fackområden finns tillgänglig, används och utvecklas. Finansiering Om användare och verksamheter saknar rådighet i kravställandet vid utkontraktering av IT, jämte SEF IT riskerar koncernen ökade kostnader till följd av anskaffning av icke ändamålsenliga IT-tjänster. Konsekvenser för hållbar utveckling och en effektiv organisation För en hållbar och effektiv organisation i dessa frågor behövs en tydligare förankring i informationshanteringen och verksamheternas rådighet över utkontraktering, enligt de värden som framgår i Program för digital transformation, samt mer transfunktionellt samarbete inom koncernen och mellan stödprocesser. Yrkanden Marie Svensson (S) yrkar bifall till framställan. Beslutet skickas till: Kommunstyrelsen Akten Justerandes sign Utdragsbestyrkande

73 Kultur- och fritidsnämnden Datum Diarienummer Kultur- och fritidsförvaltningen KFN/2020:83 Förvaltningskontoret Per Silvervret Boberg :806 Handlingsnummer 1 (3) Kultur- och fritidsnämnden Förslag till beslut Yttrande över remiss från kommunstyrelsen - Riktlinjer för utkontraktering av IT Förslag till beslut Yttrandet godkänns och översänds till kommunstyrelsen. Ärendebeskrivning Kommunstyrelsen har , 128, remitterat förslag till Riktlinje för utkontraktering av IT (KSKF/2020:190) till kultur- och fritidsnämnden för yttrande. Den föreslagna riktlinjen är tänkt att vara ett komplement till Eskilstuna kommuns ITpolicy och beskriver vilka principer som gäller vid beslut om utkontraktering av ITtjänster inom koncernen. Kultur- och fritidsnämndens yttrande har tagits fram av en arbetsgrupp på kultur- och fritidsförvaltningen bestående av handläggare med ansvar för informationssäkerhet och dataskyddssamordning, HR-administratör tillika biträdande dataskyddssamordnare, stadsarkivarie, e-arkivarie, systemförvaltare för e-arkiv, antikvarie med ansvar för samlingar och digitalisering samt utvecklare med ansvar för förvaltningens digitaliseringsarbete. Kultur- och fritidsnämndens synpunkter i egenskap av arkivmyndighet är därmed också inkluderade i det föreslagna yttrandet. Yttrandet ska ses som kopplat till kultur- och fritidsnämndens yttranden över riktlinje, policy och plan KFN/2020:81 - Remiss från kommunstyrelsen Plan för Eskilstuna kommunkoncerns IT-utveckling, KFN/2020:80 - Remiss från kommunstyrelsen - ITpolicy för Eskilstuna kommun och KFN/2020:82 - Remiss från kommunstyrelsen - Riktlinjer för IT-anskaffning, som också är remitterade till nämnden för yttrande. Kultur- och fritidsnämndens yttrande Kultur- och fritidsnämnden ställer sig positiv till att riktlinjer för utkontraktering av IT tas fram. Däremot ser nämnden det som en nödvändighet att verksamheternas rådighet över utkontrakteringen stärks och att följsamhet med Dataskyddsförordningen lyfts fram.

74 Eskilstuna kommun (3) Avsnittet Styrande principer vid genomförande av sourcing samt Ansvar vid sourcing av IT saknar verksamhetsperspektiv. Om endast IT-chef, IT-styrgrupp, SEF IT och EA-funktion har möjlighet att kravställa, och användare och verksamheter inte har rådighet i upphandlingsprocessen jämte SEF IT upphör IT-verksamheten att vara en stödfunktion och blir i stället en styrande funktion vid utkontraktering. Om objektsägaren endast har mandat att avropa tjänster och funktioner mot ingångna avtal har den inget mandat att påverka kravställandet. Verksamheternas motsvarigheter till IT:s föreslagna funktioner i utkontraktering (sourcing) behöver finnas med. Objektsspecialister saknas i formuleringen av kravställandet vid utkontraktering. Stadsarkivets roll i informationsförvaltning behöver finnas med även vid utkontraktering. Informationssäkerhet och skydd av personuppgifter i enlighet med Dataskyddsförordningen är särskilt viktiga aspekter att beakta när utkontraktering av IT sker. Kultur- och fritidsnämnden anser därför att hänvisning bör göras till styrdokument kring dataskydd och informationssäkerhet redan under avsnittet riktlinjens syfte. Nämnden föreslår även att denna föreslagna riktlinje ej läggs fram för beslut förrän erforderliga styrdokument inom informationssäkerhet och GDPRfrågor beslutats av behörig instans. Nämnden noterar att olika arbetsformer är tänkta att gälla för utkontraktering respektive anskaffning av IT. Om så ska vara fallet är det viktigt att klargöra varför olika arbetssätt tillämpas. Kultur- och fritidsnämnden påpekar att plan för livscykelhantering av information bör föregå utkontraktering. Arkivering sker dessutom kontinuerligt, vilket också bör beaktas vid utkontraktering. Här vill nämnden att hänvisning till stadsarkivets Arkivkrav vid upphandling förs in i riktlinjen, samt att krav på export av information till e-arkiv tillförs som motiv. I tabellen över bedömning av områden för utkontrakteringstjänster är verksamhetsperspektivet frånvarande. Detta indikeras också av avståndstagandet från volymtjänster med hög grad av verksamhetsunika anpassningar. Nämnden anser att det behöver finnas en balans mellan tekniskt kravställande och verksamheternas behov av ändamålsenliga system. Bland kraven som ska ställas vid utkontraktering nämns vedertagen praxis, vilket är ett alltför diffust begrepp för att definiera status för utveckling, drift och förvaltning. På samma sätt nämns att leverantören ska informera kommunen om väsentliga ändringar sker avseende lagring. Här bör följsamhet med dataskyddsförordningen explicit skrivas in för att förhindra att information lagras i tredje land eller hos underbiträden utanför kommunens kontroll eller godkännande. Det bör även framgå att personuppgiftsbiträdesavtal alltid ska tecknas vid utkontraktering av system som hanterar personuppgifter oavsett art. Kultur- och fritidsnämnden anser att det är positivt att kommunen enligt förslaget ska ställa krav på äganderätten till sin information, men här behöver även relationerna mellan kommunens olika myndigheter klargöras, då dessa utgör olika

75 Eskilstuna kommun (3) personuppgiftsansvariga i Dataskyddsförordningens mening. Nämnden ser det även som positivt att information ska återlämnas till koncernen då tjänsten avvecklas, samt att det är ett krav att spår av data som lagrats hos leverantören ska raderas. Dock behöver förtydligande göras av vad som avses med kompatibelt standardiserat format för att säkerställa överföringen, då det finns en flora av standardformat. Av denna anledning är det också viktigt att kommunens arkivmyndighet involveras utifrån ett informationsförvaltningsperspektiv. På ett övergripande plan kan det konstateras att dokumentets terminologi behöver ses över. Begrepp behöver definieras och avgränsas tydligt mot varandra samt sättas i relation till varandra. Exempel ur riktlinjen är målarkitektur och infrastruktur för IT. Ett gemensamt begreppssystem för alla IT-dokument bör tas fram för att undvika missförstånd och motsägelser dokumenten emellan. Den gemensamma begreppsförteckningen borde sedan vara en integrerad del i varje dokument. Språklagen (2009:600) pekar på vikten av att [s]pråket i offentlig verksamhet ska vara vårdat, enkelt och begripligt samt att [m]yndigheter har ett särskilt ansvar för att svensk terminologi inom deras olika fackområden finns tillgänglig, används och utvecklas. Finansiering Om användare och verksamheter saknar rådighet i kravställandet vid utkontraktering av IT, jämte SEF IT riskerar koncernen ökade kostnader till följd av anskaffning av icke ändamålsenliga IT-tjänster. Konsekvenser för hållbar utveckling och en effektiv organisation För en hållbar och effektiv organisation i dessa frågor behövs en tydligare förankring i informationshanteringen och verksamheternas rådighet över utkontraktering, enligt de värden som framgår i Program för digital transformation, samt mer transfunktionellt samarbete inom koncernen och mellan stödprocesser. Beslutet skickas till: Kommunstyrelsen Akten KULTUR- OCH FRITIDSFÖRVALTNINGEN Ola Bjerding Förvaltningschef Per Silvervret Boberg Handläggare

76 Miljö- och räddningstjänstnämnden Protokollsutdrag Sammanträdesdatum Sida 1(1) MRN/2020: Riktlinje för utkontraktering Beslut Miljö- och räddningstjänstnämnden har inga synpunkter på förslaget till Riktlinje för utkontraktering av IT Ärendebeskrivning Miljö- och räddningstjänstnämnden erbjuds möjlighet att yttra sig över förslaget till Riktlinje för utkontraktering av IT. Riktlinjen är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om sourcing (utkontraktering) av IT-tjänster inom Eskilstuna kommunkoncern. Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av sourcing av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har många olika system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt. Integreringen är en förutsättning för det fortsatta digitaliseringsarbetet. Synpunkter på remissen Miljö- och räddningstjänstnämnden har inga synpunkter på remissförslaget Yrkande Geerth Gustavsson (S) yrkar bifall till förvaltningens förslag till beslut. --- Justerandes sign Utdragsbestyrkande

77 Miljö- och räddningstjänstnämnden Datum Diarienummer 1 (1) Miljö- och räddningstjänstförvaltningen MRN/2020:144 Handlingsnummer Ulf Lindstrand /DokumentHandling snr/ Kommunstyrlsen Remissvar Riktlinje för utkontraktering av IT Förslag till beslut Miljö- och räddningstjänstnämnden har inga synpunkter på förslaget till Riktlinje för utkontraktering av IT Ärendebeskrivning Miljö- och räddningstjänstnämnden erbjuds möjlighet att yttra sig över förslaget till Riktlinje för utkontraktering av IT. Riktlinjen är ett komplement till Eskilstuna kommuns IT-policy och beskriver vilka principer som gäller vid beslut om sourcing (utkontraktering) av IT-tjänster inom Eskilstuna kommunkoncern. Utkontraktering benämns ofta som outsourcing eller enbart sourcing. I denna riktlinje används begreppet sourcing och avser då alla former av sourcing av system, tjänster, kompetens och infrastruktur till extern part utanför kommunkoncernen. Bakgrunden till riktlinjen är att kommunkoncernen idag har många olika system som inte kan integreras eller hanteras på ett ändamålsenligt och effektivt sätt. Integreringen är en förutsättning för det fortsatta digitaliseringsarbetet. Synpunkter på remissen Miljö- och räddningstjänstnämnden har inga synpunkter på remissförslaget Ulf Lindstrand Förvaltningschef