Sid 1 (6) Åtgärder med anledning av internrevisionens granskning av IT-verksamheten vid Umeå universitet Bakgrund Internrevisionen har på universitetsstyrelsens uppdrag granskat universitetets ITverksamhet. Granskningen föredrogs vid universitetsstyrelsens möte den 15 april 2009 och då beslöts att åtgärdsförslag skall presenteras vid styrelsens nästkommande möte. Granskningen har bestått dels av en kartläggningsfas och dels av en bedömning av ändamålsenlighet och effektivitet i resursutnyttjandet. Granskningen innehåller förslag på hur IT-verksamheten vid Umeå universitet bör utvecklas. I den följande redovisningen är text med fet stil de sammanfattande synpunkter som Internrevisionen framfört och text i normal stil är förslag till åtgärder. Pågående och planerade åtgärder Punkt 1: Ledningen bör utforma ett styrande dokument (strategi) för hur ITverksamheten ska utvecklas och utformas. Här bör bland annat viktiga utvecklingsområden pekas ut liksom grundläggande vägval avseende exempelvis studenternas behov, vad som ska hanteras i gemensamma IT-system och vad fakulteter och institutioner får/bör lösa själva. I dag saknas tydliga riktlinjer och signaler om vad ledningen vill och vad som är tillåtet för institutionerna att göra själva. Chefen för den nya IT-enheten 1 ges i uppdrag att ta fram en samlad IT-strategi för universitetet. En första version av IT-strategin skall vara klar inför universitetsstyrelsens sammanträde i november 2009. Därefter skall strategin revideras vid behov, dock minst vart annat år. IT-strategin skall utöver ovan föreslagna områden även omfatta områden som standardisering, IT-säkerhet, sårbarhet, tillgänglighet, metoder och modeller. Punkt 2: Formerna för kommunikation och dialog kring strategiska IT-frågor behöver utvecklas. IT-enhetens framtida roll och uppdrag i organisationen behöver diskuteras och ledningen bör överväga hur man nyttjar organisationens strategiska IT-resurs på effektivaste sätt. IT-enhetens goda och kontinuerliga dialog med såväl universitetsledningen som verksamheten är nödvändig. Tidigare genomförda utredningar, projekt och beslutsunderlag 2 framhåller att verksamhetens behov och önskemål måste prioriteras och att verksamheten efterlyser en närmare dialog i frågan. För att kunna vara lyhörd för verksamhetens behov har IT-chefen bildat en grupp (IT- 1 Ny IT-organisation vid Umeå universitet Se sid 5 i detta beslutsförslag. 2 IT-verksamheten vid Umeå universitet - Tidigare genomförda utredningar och projekt. Se universitetsstyrelsens interna webbsida.
Sid 2 (6) chefens råd) bestående av cirka 12 personer. Rådet är en informell grupp och ska vara IT-chefens rådgivare i strategiska frågor. Personerna i rådet kommer från olika verksamhetsområden inom universitetet. Rådet har hållit sitt första möte i mars månad 2009. Det uppdras till IT-chefen att arbeta vidare med rådet så att det blir en del i den strategiska kopplingen till verksamheten. Under våren 2009 har från Ladokenheten och Jan-Olof Gerhardsson från Umdac besökt institutionerna och med prefekterna diskuterat universitetets IT-verksamhet. Dessa besök har varit uppskattade och de har gett mycket god kunskap 3 om den lokala IT-verksamheten. Det uppdras till IT-chefen att arrangera återkommande institutionsbesök. För att IT-enheten skall kunna fullgöra sin roll som både strategisk resurs och som beställare m.m. av universitetets gemensamma system måste IT-enheten kunna/våga/vilja peka med hela handen och veta att ledningen står bakom, ha tydliga mandat och muskler samt verka på ledningens uppdrag. IT-chefen får i uppdrag att tillsammans med universitetsledningen ta fram formerna för ledningsdialogen. Punkt 3: Dimensionering och kompetens hos ledningens strategiska resurs bör övervägas. IT-enheten skall fungera både som strategisk resurs och som beställare m.m. av universitetets gemensamma system. IT-enheten måste därför bemannas med såväl IT-strategiska resurser som med en ekonom med inriktning mot verksamhetsstyrning (controller). De IT-strategiska resurserna skall samarbeta med verksamhet och förvaltning, samarbeta med leverantörerna samt kunna fungera som projektledare. IT-chefen ges i uppdrag att i detalj planera enhetens bemanning. Punkt 4: Rapportering, uppföljning och kontroll av IT-verksamheten bör preciseras och utvecklas utifrån ett ledningsperspektiv. Exempel på frågor som bör diskuteras: Vilka ärenden/frågor ska rapporteras och följas upp? Till vem eller vilka ska rapportering ske? Vem är ansvarig för rapporteringen? När ska rapportering ske och på vilket sätt? IT-chefen får i uppdrag att i samband med utformandet av ledningsdialogen även ta fram underlag för hur rapportering, uppföljning och kontroll av IT-verksamheten skall ske. Punkt 5: I tidigare genomförda utredningar, projekt och beslutsunderlag redovisas ett flertal förslag och rekommendationer. Vårt allmänna intryck är att förslagen i utredningarna överlag fortfarande är relevanta, aktuella och möjliga att genomföra. Dessutom torde många av förslagen vara kända, diskuterade och i viss mån förankrade ute i organisationen. Vi föreslår, att ledningen gör en genomgång av förslagen, beaktar nytillkommande krav och behov och med dessa som underlag fattar ett antal styrande och vägledande beslut. 3 Erfarenheter från institutionsbesök om IT-frågor Se universitetsstyrelsens interna webbsida.
Sid 3 (6) En genomgång av tidigare utredningar, projekt och beslutsunderlag har genomförts 4. Slutsatserna efter genomgången är att många av de föreslagna åtgärderna är genomförda eller är under genomförande. I den genomförda översynen av IT-verksamheten behandlas de beskrivna frågeställningar som inte är genomförda eller under genomförande. Det gäller t.ex. frågeställningarna kring ITorganisation, IT-strategi, lokala IT-resurser, förankring av IT i ledningen och IT-verksamheten vid universitetsförvaltningen. Vid översynen av IT-verksamheten har hänsyn även tagits till de remissvar som inkom på beslutsförslag och beslutsunderlag. Gemensamt för remissvaren från fakulteterna var att de ansåg att verksamhetens behov och önskemål skall prioriteras och att de ställer sig direkt avvisande till förslaget att de lokala IT-resurserna skall organiseras centralt. Punkt 6: Det kan föreligga brister i säkerheten på ett antal institutioner. Ledningen bör överväga om det finns skäl att genomföra en kartläggning över säkerhetsfrågorna på lokal nivå. Vid Umdac finns en grupp som arbetar med IT-säkerhet och sårbarhetsfrågor. Den anlitas av institutioner när det varit säkerhetsincidenter och de har god uppfattning om IT-säkerhetssituationen vid universitetet. Den sammanställning som gruppen gjort över inträffade säkerhetsincidenter visar att IT-säkerheten vid institutionerna inte är alarmerande låg. Så snart det finns en samlad IT-strategi som innehåller krav och policy för institutionernas IT-säkerhet bör dock IT-chefen initiera en översyn av den lokala IT-säkerheten. Punkt 7: Umdac s uppdrag och prissättning bör ses över. Här bör prövas om det är rimligt att kostnaden för support är så hög (utifrån ett kundperspektiv) att detta förhållande medverkar till att institutionerna väljer egna lösningar. Umdac har till uppgift att på uppdrag och mot ersättning tillhandahålla IT-tjänster för forskning, utbildning, administration och för studenter vid Umeå universitet. I detta ingår bl.a. utveckling, upphandling, förvaltning, installation, drift och support av IT-system, datorer och nätverk. Umdac skall ha en prissättning för tjänster som täcker samtliga kostnader (personalkostnader, lokalkostnader, gemensamma kostnader etc.). Det innebär att institutionerna i många fall upplever att Umdacs priser är höga när institutionerna jämför med marginalkostnaden för en egen lösning. Att Umdac måste ha full kostnadstäckning kan kommuniceras tydligare i kontakterna med institutionerna. Punkt 8: Den interna servicen från Umdac gentemot institutionerna bör förbättras och utvecklas. Bättre kontakter, marknadsföring och högre kvalitet på support utgör viktiga förbättringsområden. Det viktigaste målet och den största utmaningen för Umdac under 2009/2010 är att vidareutveckla och kvalitetssäkra support och kundstöd som ger allmän och teknisk rådgivning inom dator- och 4 IT-verksamheten vid Umeå universitet - Tidigare genomförda utredningar och projekt. Se universitetsstyrelsens interna webbsida.
Sid 4 (6) datakommunikationsområdet, rådgivning i användning av datorsystem med tillhörande tillämpningsprogram till anställda och studenter vid Umeå universitet. Under 2009/2010 skall kundstödsverksamheten vidareutvecklas så att den tillgodoser behovet av stöd och råd i allmänhet inom universitetet samt också tillgodoser det kraftigt ökande behovet av stöd och råd för användning av informations- och kommunikationsteknik i utbildningen. Arbetet med detta har påbörjats. Målet för 2009/2010 är att visionen om En ingång stöd och råd vid Umeå universitet realiseras och att stödet blir av yppersta toppklass. Chefen för Umdac ges i uppdrag att genomföra de påbörjade och planerade åtgärderna. Punkt 9: Formerna för kompetensutveckling för IT-personal på institutionerna bör förstärkas och utvecklas. IT-chefen ges i uppdrag att ta fram förslag på hur kompetensutveckling för IT-personal på institutionerna skall genomföras. Punkt 10: Samarbete och samverkan mellan IT-ansvariga (motsvarande) på institutionerna bör utvecklas och förbättras. IT-chefen ges i uppdrag att ta fram förslag på hur samarbete och samverkan mellan IT-ansvariga (motsvarande) på institutionerna skall utvecklas och förbättras. Punkt 11: Ledningen bör pröva frågan om behov och nytta av att genomföra en kartläggning av universitetets samlade IT-kostnader (både gemensamma och lokala). Såväl Internrevisionen som översynen av IT-verksamheten har visat att det är svårt och resurskrävande att i detalj kartlägga universitets samlade IT-kostnader. De IT-relaterade personalkostnaderna på institutionerna är särskilt svåra att få grepp om p.g.a. att många olika personalkategorier arbetar med IT och i många fall endast på delar av sin arbetstid. I den föreslagna organisationen av IT-verksamheten vid universitetet ingår att IT-enheten får beställaransvar för samtliga gemensamma system vid universitetet. Detta innebära att IT-enheten får en komplett och detaljerad bild av kostnaderna för de gemensamma systemen. IT-chefen får i uppdrag att efter genomförd organisationsförändring årligen presentera kostnaderna för de gemensamma systemen. Punkt 12: Kvaliteten i den ekonomiska redovisningen bör förbättras i syfte att underlätta kostnadsuppföljning och analys av IT-relaterade kostnader. IT-chefen får i uppdrag att tillsammans med redovisningsansvariga vid universitetet ta fram förslag på hur den ekonomiska redovisningen kan förbättras för att underlätta kostnadsuppföljning och analys av IT-relaterade kostnader. Punkt 13: För- och efterkalkyler alt nyttokalkyler bör införas regelmässigt. IT-chefen får i uppdrag att göra nyttokalkyler vid införande och vidareutveckling av universitetets gemensamma IT-system.
Sid 5 (6) Punkt 14: Personliga besök och djupintervjuer bör genomföras för att möjliggöra en analys och för att få en komplett bild över institutionernas ITresurser. Som redan påpekats under punkt 2 ovan har från Ladokenheten och Jan-Olof Gerhardsson från Umdac under våren 2009 besökt universitetets institutioner och med prefekterna diskuterat universitetets IT-verksamhet. Dessa besök har varit uppskattade och de har gett mycket god kunskap 5 om den lokala IT-verksamheten. Det uppdras till IT-chefen att arrangera återkommande institutionsbesök. Punkt 15: Frågan om införandet av standardiserade IT-utrustningar bör prövas som en möjlighet att öka effektiviteten i resursutnyttjandet. Umdac har redan påbörjat arbetet med att erbjuda standarddatorer ( UmU-datorn ). I konceptet standarddator ingår att vid ett datorhaveri kan den anställde inom kort tid ha en ersättningsdator på sitt skrivbord och fortsätta sitt arbete. De försök som gjorts med standarddatorkonceptet har visat att totalkostnaden för en arbetsplatsutrustning kunnat sänkas samtidigt som supportbehovet förenklats. Chefen för Umdac får i uppdrag att erbjuda standarddatorer där det är möjligt att införa dem. Ny IT-organisation vid Umeå universitet Den genomförda översynen av IT-verksamheten vid Umeå universitet har kommit fram till att ITverksamheten bör organiseras i en beställarenhet och en utförarenhet. IT-enhetens strategiska uppdrag utökas med ett beställaransvar för universitetets samtliga gemensamma system. Den nya IT-enhetens uppdrag framgår bl.a. av ovan beskrivna åtgärder med anledning av internrevisionens granskning. Sammanfattningsvis skall IT-enheten hantera: IT-strategi Policy och spelregler o Säkerhet o Sårbarhet o Standardisering o Tillgänglighet o Infrastruktur inklusive telefoni Samtliga gemensamma system o Samordning o Beställning o Förvaltning o Avtal Dialog med ledning och verksamhet Modeller/metoder för det gemensamma IT-arbetet Omvärldsbevakning 5 Erfarenheter från institutionsbesök om IT-frågor Se universitetsstyrelsens interna webbsida.
Sid 6 (6) Umdac och Ladokenheten förs samman under en gemensam chef till en utförarenhet. Utförarenheten skall på uppdrag från IT-enheten (beställarenheten), verksamheten (institutioner, motsv.), omvärlden (s.k. externa kunder som universitet och högskolor, statliga myndigheter, kommuner, landsting, etc.) bl.a. utföra: Systemutveckling Drift (system och nät) Support, stöd och råd Systemförvaltning Programförmedling IT-säkerhetsarbete (inkl. säkerhetsgranskning) IT-upphandling Kundvård Tidplan Universitetsstyrelsen tar beslut om IT-verksamheten vid Umeå universitet 2009-06-11. Därefter inleds omgående arbetet med att organisera IT-verksamheten i en beställar- och en utförarenhet samt att vidta övriga beskrivna åtgärder. Den löpande IT-verksamheten måste fortgå utan avbrott och redan tidigare planerad utveckling av IT-system och IT-funktioner skall fullföljas. En första version av en samlad IT-strategi för hela universitetet föreläggs universitetsstyrelsen vid mötet 2009-11-05. Från och med 2010-01-01 skall den nya IT-enheten ha tagit över det formella beställaransvaret för universitetets samtliga gemensamma system. Integreringen av LADOKenheten och Umdac till en utförarenhet beräknas ta 12 till 24 månader att genomföra. Förslag till universitetsstyrelsens beslut Universitetsstyrelsen beslutar att notera och godkänna universitetsledningens förslag till åtgärder med anledning av internrevisionens rapport IT-verksamheten vid Umeå universitet. att uppdra åt rektor att arbeta vidare med att implementera dessa förslag På rektors uppdrag Siv Olofsson Förvaltningschef Expediering Universitetsdirektören Kanslichefer