Informationskartläggning

1.0 1 Informationskartläggning Kommunalförbundet startade i januari 2015 och är en gemensam arkivorganisation för kommuner och regionförbund. arbetar med att planera leveranser av digital information från kommunernas verksamhetssystem, införa ett gemensamt arkivsystem för långsiktigt digitalt bevarande samt ge råd och stöd till förbundsmedlemmarna. Information om förbundets verksamhet finns på adressen: www.sydarkivera.se. Kontaktpersoner hos : Magdalena Nordin, magdalena.nordin@sydarkivera.se, 0470-34 96 32, elin.jonsson@sydarkivera.se, 0470-34 96 33 För att på sikt underlätta arbetet med att överföra digital information från verksamhetssystem till det gemensamma arkivsystemet behöver vi kartlägga hur information hanteras i den dagliga verksamheten. Informationskartläggningen kan bland annat användas som en utgångspunkt när nya verksamhetssystem ska upphandlas. En workshop för verksamhetsutvecklare/kvalitetsansvariga inom området hälsa och socialt stöd genomfördes den 23 september 2015. Resultatet av workshopen blev förslag att på prov genomföra tre workshopar inom avgränsade verksamhetsområden: delegering av medicinska uppgifter, handläggning och verkställande inom hemtjänsten, samt av faderskapsutredning. Innehåll Anteckningar från Workshop om informationskartläggning... 2 Deltagare... 2 Idé och mål med workshopen... 2 Sammanfattning av informationspass... 2 Nyttorealisering och projektet E-arkiv Kronoberg och Blekinge... 2 Arkiv och juridik... 2 Informationssäkerhet... 3 Redovisning av grupparbete... 3 Diskussion... 4 Saker att göra för... 4 Förslag till workshopar för att testa metodiken... 5 Bilaga 1 Klassningsmatris (förslag)... 6 Bilaga 2 Reflektioner från Tero... 7 Bilaga 3 - Sammanställning av svar från utvärderingsenkät... 8

1.0 2 Anteckningar från Workshop om informationskartläggning Deltagare Cecilia Jäderberg (Växjö), Emma Kånno (Växjö), Göran Liljedahl (Lessebo), Anna Malmhav (Tingsryd), Maria Ljung (Tingsryd), Anna-Karin Nilsson (Karlshamn), Arnold Lennartsson (Alvesta), Pia Brante (Karlskrona), Camilla Solitander Lind (Karlshamn), Perarne Petersson(Älmhult), Madeleine Lideberg (Älmhult). Diskussionslevare var Tero Päivärinta, Luleå tekniska universitet. Övriga deltagare som planerat workshopen var: Anders Danielsson (Karlskrona), Magdalena Nordin () och (). Idé och mål med workshopen Idén bakom workshopen var att använda de processer som kommunerna ska ta fram i arbetet med att införa Socialstyrelsens ledningssystem för systematiskt kvalitetsarbete som utgångspunkt för att identifiera informationsmängder. En processbeskrivning i ett ledningssystem kan vara mycket kortfattad. Ex: Socialnämnden beslutar om resultatmål för verksamheten. Målet med workshopen var att komma fram till en idé om hur och förbundsmedlemmarna kan arbeta tillsammans för att genomföra informationskartläggning inom verksamhetsområdet. Till informationsmängderna är tanken att knyta hanteringsanvisningar (för gallring och bevarande) samt informationssäkerhetsklassning. Målet med workshopen uppfylldes då vi har en plan för hur vi kan fortsätta att samarbetet med informationskartläggning. Däremot är det inte säkert att processerna i kommunernas ledningssystem fungerar som utgångspunkt för informationskartläggning. Erfarenheten från workshopen är att det kan fungera bättre att utgå från producent (vem/vad som skapar informationen) än process när det gäller att identifiera informationsmängder/handlingar. Sammanfattning av informationspass Nyttorealisering och projektet E-arkiv Kronoberg och Blekinge Bakgrunden till workshopen var olika aktiviteter som genomfördes under Projektet E-arkiv Kronoberg och Blekinge 2013-2014. Aktiviteterna planerades bland annat med utgångspunkt från ett arbete med nyttorealisering som gjordes i samband med det nationella projektet E-arkiv och e-diarium (eard) http://riksarkivet.se/e-arkiv. Nyttan med ett gemensamt e-arkiv är bland annat att handlingar kan arkiveras digitalt istället för på papper, vilket innebär att akter inte behöver skrivas ut på papper. En av de utvecklingsinsatser som identifierades för att uppnå nyttor med e-arkiv var att kartlägga information. Informationskartläggningen är bland annat underlag för bedömning om gallring/bevarande och säkerhetsklassning. (Dokumentation från projektet finns via adressen www.vaxjo.se/e-arkiv.) Arkiv och juridik Nämndernas information som är allmän handling anses tillhöra arkivet oavsett om information hanteras i verksamhetssystem eller närarkiv för pappershandlingar. Arkivlagen och övrig offentlighetslagstiftning är teknikoberoende och gäller både för digitala och analoga handlingar. I arkiven kan finnas både hemliga och offentliga uppgifter. Lagstiftningen fungerar så att bevarande är utgångspunkten, och ska någon information kastas/förstöras så krävs beslut om gallring. Beslut om gallring fattas till exempel av nämnden, beroende på vilka bestämmelser som finns i kommunens arkivreglemente. Inom socialtjänsten

1.0 3 finns bestämmelser i lag om tvingande gallring. Dessa regler och övriga gallringsbeslut sammanställs i dokumenthanteringsplaner. Varje nämnd ansvarar för sin information tills den har överlämnats till en arkivmyndighet. Det gäller även om det är en annan organisation som förvaltar verksamhetssystemet. Nämnden utser en tjänsteman som är formellt ansvarig för arkivet (arkivansvarig) och som ska se till att det finns personal och resurser för att sköta arkivet. Den praktiska hanteringen av gallring, leveranser av information till arkivmyndighet med mera brukar skötas av särskilda arkivombud/arkivredogörare. Det finns bestämmelser i offentlighets- och sekretesslagen (OSL) när det gäller registrering av handlingar för att möjliggöra insyn i myndigheternas verksamhet och sekretess för att skydda till exempel enskilda personer. Enligt OSL måste alla handlingar med sekretess registreras (diarieföras). Handlingar som är offentliga kan hållas ordnade på annat sätt. I offentlighets- och sekretessförordningen (OSF) finns undantag från registreringsskyldigheten, när det gäller bland annat personakter och patientjournaler. Informationssäkerhet Informationssäkerhet handlar om att skydda informationen men också att se till att information finns tillgänglig när den behövs för den som är behörig. Man pratar om fyra olika aspekter: konfidentialitet, riktighet, tillgänglighet och spårbarhet. Tabellen nedan beskriver de olika aspekterna. Konfidentialitet Skyddsmål att innehållet i informationsobjekt (eller ibland dess existens) inte får göras tillgängligt eller avslöjas för obehöriga Riktighet Skyddsmål att information inte förändras, vare sig obehörigen, av misstag eller på grund av funktionsstörning Tillgänglighet Skyddsmål där informations-tillgångar skall kunna utnyttjas i förväntad utsträckning och inom önskad tid Spårbarhet Skyddsmål där det ska vara möjligt att i efterhand härleda hur uppgifter har behandlats och av vem Informationssäkerhetsklassning innebär att man värderar efter en fastlagd skala hur viktigt de är att säkerställa konfidentialitet, riktighet, tillgänglighet och spårbarhet. I Bilaga 1 finns förslag till en matris för informationssäkerhetsklassning. Redovisning av grupparbete Ett utkast till formulär för att dokumentera hanteringsanvisningar och säkerhetsklassning hade tagits fram inför workshopen. Utgångspunkten var ett Excel-verktyg som tidigare använts för informationskartläggning inom privata företag. Mallen hade kompletterats med olika frågor som rör informationshantering i offentlig förvaltning. Det var första gången som mallen testades. Tero introducerade gruppen kort i hur mallen var tänkt att användas. Deltagarna arbetade två och två med att prova på att fylla i matrisen och listan med dokumenttyper. Grupparbetet var ungefär i två timmar. Efter lunchen samlades alla för genomgång. Vi tittade då på ett exempel från Älmhults kommun när det gäller hantering av faderskap. Hela gruppen hjälptes åts att fylla i uppgifter om de olika informationstyperna. Några förbättringsförslag konstaterades när det gäller formuläret: Bättre att utgå från producent (avsändare/mottagare av information) istället för process i listan med informationstyper. Ett dokument kan göras iordning för varje verksamhetsfunktion (avgränsat verksamhetsområde eller typ av arbetsuppgift).

1.0 4 Det kan vara en fördel att gå igenom kolumnen om förvaring innan frågor om arkiv och informationssäkerhet. Bland annat för att reda ut om informationen lagras digitalt eller på papper. Hur dokumentationen av kriterier för gallring ska hanteras behöver fundera på. Digitala handlingar kan existera i flera versioner. Om data avställs (eller skrivs ut) för arkivering, gallras informationen i databasen. När det gäller pappersakter så lämnas originalhandlingarna till arkivet. Syftet med kriterierna är att definiera vad som krävs för att information ska anses gallrad, (det vill säga om det räcker med att ta bort filer, tömma datorns papperskorg eller om det kräver att själva lagringsmediet destrueras för att informationen ska anses gallrad på ett säkert sätt). Diskussion Deltagarna diskuterade hur kommunerna och skulle kunna fortsätta samarbeta när det gäller informationskartläggning. Tips från deltagarna var att tydligt tala om att det är just kartläggning av information som är fokus. Det är lätt att fastna i diskussion om hur man arbetar. Många initiativ när det gäller att samarbeta kring att kartlägga verksamhetsprocesser har inte lett fram till någon samsyn. Deltagarna trodde att det kunde vara enklare att hitta en gemensam bild med fokus på informationsflöden och handlingstyper. De processbeskrivningar som verksamheten utgår från syftar inte till att beskriva verksamheten utan är mer generella och giltiga för många olika verksamhetsområden, ett exempel är processen att utreda och fatta beslut. Fråga ställdes till deltagarna om hur kommunernas kvalitetsarbete ligger till. Det ser olika ut i kommunerna men alla arbetar med att införa ledningssystem. Ingen av deltagarna använde särskilda processkartläggningsverktyg, utan beskriver processerna i textform. Det förekommer att ritningsverktyg används. I många fall handlar det om att samla ihop de rutiner, riktlinjer, handlingsplaner etc. som redan finns i organisationen inte att göra nya beskrivningar. Förslag om att ordna workshopar för olika verksamhetsområden diskuterades. Någon gemensam lista med verksamhetsfunktioner/huvudprocesser/uppgifter att utgå från bedömdes inte vara någon idé att försöka sammanställa i dagsläget. Dock kunde en sådan generell lista vara bra att ha tillgång till. Som alternativ till workshopar nämndes möjligheten att göra färdiga kit som kommunerna kan använda själva på hemmaplan. Det bedömdes inte genomförbart innan det finns färdiga bra exempel. Förslaget som vi kom fram till var att ordna tre workshopar på prov för att kartlägga informationsflöden inom tre väl avgränsade processer/uppgifter. Förslag från deltagarna var att hitta exempel från de olika verksamhetsområdena. Idé för de kommande workshoparna är att samla personer från olika kommuner som arbetar med samma verksamhetsfunktion/arbetsuppgifter. Det räcker att 2-4 kommuner kan skicka deltagare för att komma igång. Tanken är att starta med ett pass på 1-2 timmar för att identifiera vilka informationstyper som skapas. Därefter flyttas informationstyper till en lista där deltagarna går igenom de olika aspekterna när det gäller arkiv, informationssäkerhet och arkiv tillsammans med s personal. En heldag behöver troligtvis avsättas för varje workshop. Det är viktigt att ha med någon som kan metodiken och som dokumenterar. Saker att göra för 1. Revidera verktyget 2. Ta fram koncept för workshopar

1.0 5 Förslag till workshopar för att testa metodiken 1. Den 26 november 2015, klockan 9-15: Föräldraskapsutredning, inte sammanboende. Deltagare: handläggare. 2. Den 27 november 2015, klockan 9-15: Hemtjänsten, både handläggning och verkställighet. Handläggare har ett nätverk som träffas. Deltagare: En handläggare och en verkställare från kommunen bör delta tillsammans. 3. Den 10 december 2015, klockan 9-15: Delegering av medicinska uppgifter. Deltagare: Sjuksköterska som delegerar till undersköterska som tar emot samt enhetschefen som ska känna till delegeringen. Samtliga workshopar genomförs hos Kommunalförbundet på Båtsmanstorget 2 i Växjö.

1 2 3 Konfidentialitet Riktighet Skyddsmål att innehållet i Skyddsmål att information inte informationsobjekt (eller ibland dess förändras, vare sig obehörigen, av existens) inte får göras tillgängligt eller misstag eller på grund av avslöjas för obehöriga funktionsstörning Röjande av uppgifterna medför ingen, försumbar eller måttlig skada för verksamheten eller enskilds personliga förhållanden. Systemet innehåller i huvudsak allmänna offentliga handlingar. Systemet är avsedd för bred spridning/ publicitet. Systemet innehåller inte personuppgifter. Den enskilde kan själv ansvara för uppgifterna Röjande av uppgifterna kan medföra kännbar skada för verksamheten eller enskilds personliga förhållanden. Systemet innehåller arbetshandlingar som kan blir föremål för sekretess enligt OSL, information avsedd för internt bruk eller personuppgifter enligt PUL. Röjande av uppgifterna kan medföra allvarlig skada för verksamheten eller enskilds personliga förhållanden. Systemet innehåller information som är föremål för sekretess enligt OSL, känsliga personuppgifter, andra lagrum eller tystnadsplikt. Systemet kan innehålla uppgifter om ekonomiska transaktioner, persondossier med skyddade uppgifter (elevregister, brukarregister) eller uppgifter som omfattas av säkerhets- och bevakningssekretess. Information som obehörigen, av misstag eller på grund av funktionsstörningen ändrats medför ingen, försumbar eller måttlig skada för verksamheten eller enskilds personliga förhållanden. Systemet innehåller uppgifter som med begränsad insats kan återställas. Förändringarna bedöms inte leda till negativ publicitet för verksamheten eller skadeståndsanspråk. Information som obehörigen, av misstag eller på grund av funktionsstörningen ändrats medför kännbar skada för verksamheten eller enskild personliga förhållanden. Tillgänglighet Skyddsmål där informationstillgångar skall kunna utnyttjas i förväntad utsträckning och inom önskad tid Ett avbrott medför ingen, försumbar eller måttlig skada för verksamheten eller enskilds personliga förhållanden. Verksamhetens förmåga att uföra sina arbetsuppgifter påverkas endast i begränsad omfattning av otillgänglighet i systemet. Systemet kan vara otillgängligt i ett par dygn med måttlig inverkan på myndighetsutövningen. Verksamhetens förmåga utt uföra sina Systemet ingår i myndighetsutövningen eller arbetsuppgifter påverkas i en betydande innehåller uppgifter som omfattas av krav på omfattning av otillgänglighet i systemet. oavislighet, tex lagrum där riktighetskrav Systemet kan vara otillgängligt i ett par anges. Förändringar av uppgifter bedöms timmar utan negativ inverkan på kunna leda till negativ publicitet för verksamheten. verksamheten eller skadeståndsanspråk. Information som obehörigen, av misstag eller på grund av funktionsstörningen ändrats medför allvarlig skada för verksamheten eller enskild. Systemet innehåller uppgifter där hanteringen styrs av specifika lagparagrafer, känsliga personuppgifter eller hälso sjukvård. Förändringar av uppgifter bedöms leda till allvarlig påverkan för egen eller annan organisation eller för enskild individ och kan sannolikt leda till skadeståndsanspråk. Ett avbrott medför kännbar skada för verksamhetens förmåga att bedriva sin myndighetsutövning (kärnverksamheten) eller enskilds personliga förhållanden. Ett avbrott medför allvarlig skada för verksamhetens förmåga att bedriva sin myndighetsutövning (kärnverksamheten) eller enskild. Verksamhetens förmåga utt uföra sina arbetsuppgifter påverkas i en allvarlig/katastrofal omfattning av otillgänglighet i systemet. Systemet kan vara otillgängligt i upp till en timme per år utan negativ inverkan på verksamheten. Spårbarhet Skyddsmål där det ska vara möjligt att i efterhand härleda hur uppgifter har behandlats och av vem Att spårbarhet saknas medför endast ingen, försumbar eller måttlig skada för verksamheten eller enskilds personliga förhållanden. Möjligheten att härleda vad som har hänt i systemet vid förändringar av uppgifter, incident eller säkerhetsincident bedöms vara oviktigt. Att spårbarhet saknas medför kännbar skada för verksamheten eller enskilds personliga förhållanden. Möjligheten att härleda vad som har hänt i systemet vid förändringar, incident eller säkerhetsincident bedöms vara viktigt. Spårbarhet ska finnas för att påvisa på vilket sätt information har behandlats i systemet och av vem. Att spårbarhet saknas medför allvarlig skada för verksamheten eller enskild. Möjligheten att härleda vad som har hänt i systemet vid förändringar, incident eller säkerhetsincident bedöms vara mycket viktigt. Spårbarhet ska finnas för alla specificerade händelser i systemet, att titta på tex. närståendes information är ett brott och ska generera ett larm. Revisionskrav, lagar eller förordningar ställer krav på spårbarhet och/eller oavvislighet. Bilaga 1 Klassningsmatris (förslag) Handläggare 0470-34 96 33 1.0 6

1.0 7 Bilaga 2 Reflektioner från Tero 1) Not many, if any, had good experience of process modelling. Hence, it was difficult to them to think in terms of processes as "sources" of documentation. It was easier for the people to think which information initiates some action, after which many modelled still the "roles" between which the communications/documents are produced and received. (This is in line with my previous experience - unless people are readily process-modellers, they identify the documents easier by thinking about roles, systems, sometimes even individual people, depending how well thought-out the organization in question is). 2) A concrete example of models (matrix and document type list) in Swedish (which we created only now) will speed up the introduction of the method. So we will have it easier next time. 3) For the workshop days, it is important that there is a "method user" which documents and shows the result of discussions on the fly to the workshop participants - so that the discussants do not need to use much (if at all) time to think about the method. This is doable. 4) It was interesting to me that the processes can look still rather different from a municipality to another. Should we consider that our focus is "information/document" standardization - the documents may still be the most "permanent" elements in govt organizations - the processes and technologies around them change faster. Work roles may vary perhaps the most, as in smaller municipalities one person may do rather many roles. 5) Otherwise, I think that the basic ideas of pondering archiving and security issues per document type (instead of more abstract exercises) seems to work relatively well, and was rather well-received.

1.0 8 Bilaga 3 - Sammanställning av svar från utvärderingsenkät Svar lämnades in från 9 av 11 deltagare. Sammanfattningsvis så anser deltagarna att det finns potential när det gäller metoden. Det finns dock förbättringar som behöver göras när det gäller både formuläret och metodiken. Erfarenheter och idéer för informationsklassificeringsteknik Var metoden användbar? På vilket sätt? Mestadels internt bruk Ja, tydlig. Bra att utveckla vidare hemma Ja, den skapade tydlighet, struktur Ja, bra kombination för att synliggöra processen och vilken information som ryms. Möjligen i sin egen verksamhet. Blir väldigt diffust och lulligt. För att jobba med behöver man ha kunskap om verksamheten och de processområdena. Varken bättre eller sämre än andra modeller jag stött på. För tidigt att säga men troligtvis. Vad (om något) var bra i metoden? (matris och informationstypsanalys) Delar upp helheten så det blir greppbart. Åskådliggörande av hur länge man ska arkivera och en hjälp att klassificera ur säkerhetssynpunkt. Tydliggör när man väl förstod modellen. Att handlingar/dokument kom med. Troligen båda. Hur skulle metoden eller analysen generellt kunna förbättras? (t ex, vilka var nackdelarna med denna metod) Ändra ordning och begrepp, som framkommit i dialog. Tar tid från tankeverksamheten. Fokus blir att lära sig Excel. Svårt att komma in i tänket när man inte sedan tidigare är van vid processkartläggning. En tydligare beskrivning av syfte och mål med matrisen och Excel-arket. Hade varit bättre om man hade varit förberedd på att ha med sig en process som hade känts relevant för den enheten jag jobbar med. Vet ej ännu! Jag var ny i jobbet. Tycker dt var spännande med att lära nytt. Får se hur vi använder detta hemma. Utvärdering av workshopen Deltagarna fick svara på hur väl fyra påståenden stämde. Håller inte med = 1. Håller delvis med = 2 och Håller med =3. (>2 = underkänt. 2-2,5 = godkänt, 2,75-3 = väl godkänt) Påstående Genomsnitt Omdöme Utbildningen/aktiviteten motsvarade mina förväntningar: 2,38 Godkänt Jag kommer att ha nytta i mitt arbete av det jag har lärt mig: 2,38 Godkänt Fika och lunch var trevligt och gott: 3 Väl godkänt Lokalen och de praktiska arrangemangen fungerade bra: 2,63 Godkänt Övriga kommentarer om utbildningen/aktiviteten: Göra/kräva mer förberedelser hemma innan. Mer utbildning i värdet/nyttan av modellen hade varit att föredra. När man inte greppar nyttan för verksamheten är det svårt att jobba och förstå.