Systemförvaltning av IT-system

Revisionsrapport Systemförvaltning av IT-system Norrbottens läns landsting Februari 2009 Per Ståhlberg Revisionskonsult Hans Rinander Certifierad kommunal revisor

2009-02-26 Per Ståhlberg, Projektledare Carina Olausson, Uppdragsansvarig 1

Innehållsförteckning Begreppsförklaringar...1 Vår bedömning...2 1 Bakgrund...3 2 Uppdrag och revisionsfråga...3 3 Metod och avgränsning...3 4 Systemförvaltning...4 4.1 Allmänt om systemförvaltning...4 4.1.1 Vad är en förvaltningsmodell...4 4.1.2 Varför behövs en förvaltningsmodell...4 5 Granskningsresultat...5 5.1 Systemförvaltning inom Norrbottens läns landsting...5 5.1.1 Modellens centrala komponenter...5 5.1.2 Förvaltningsplaner...7 5.1.3 Förvaltningsobjekt och objektfamiljer...7 5.1.4 Roller och ansvar...8 0

Begreppsförklaringar Systemförvaltning - Att upprätthålla och vidareutveckla funktionen hos ett förvaltningsobjekt. Det kan också sägas vara samtliga aktiviteter som görs för att administrera och hantera ett IT-system i drift, så att det under dess hela livstid effektivt bidrar till att uppfylla verksamhetens mål. IT-system - Den datatekniska lösningen för en process eller en funktion. Förvaltningsobjekt - Definierar vad som skall förvaltas och utgör en avgränsning för förvaltningsorganisationens ansvarsområde. Ett förvaltningsobjekt innehåller inte sällan ett flertal IT-system. (NLL har 14 definierade förvaltningsobjekt) Objektsfamilj - Ett antal förvaltningsobjekt med nära beröringspunkter (NLL:s 14 förvaltningsobjekt är uppdelade på 3 objektsfamiljer) Förvaltningsorganisation - En definierad organisation inom huvudverksamheten, med ett antal roller och processer som styr förvaltningsarbetet. 1

Vår bedömning På uppdrag av de förtroendevalda revisorerna har Komrev inom Öhrlings PricewaterhouseCoopers översiktligt granskat systemförvaltningen av IT-system inom Norrbottens läns landsting. Den systemförvaltningsmodell som NLL beslutat att arbeta efter infördes med början 2007 och heter pm³ (På maintenance management model). Idag finns det 14 definierade förvaltningsobjekt där ca hälften har varit med från starten och resterande driftsatts under 2008. Att införa en ny förvaltningsmodell är en process. Denna process är på god väg och med något enstaka undantag är acceptansen för modellen god ute i verksamheterna. Det som framförallt blivit tydligt i och med den nya modellen är ansvars- och rollfördelningen mellan verksamheterna och IT-organisationen samt förståelsen för de resurser som krävs för att bedriva en god systemförvaltning. Vår bedömning är att de flesta verksamheterna har uppfattat den förbättrade strukturen och ser fördelarna med denna. En annan positiv effekt som vi kan se genom införandet av pm³ och det arbetssätts som modellen bygger på är en helhetssyn vad gäller IT-lösningar inom NLL. Genom de styrgruppsmöten som hålls inom objektfamiljerna har förståelsen ökat både mellan verksamheten och IT-funktionen och inte minst mellan de olika verksamheterna. Insikten hos de olika verksamheterna att det inte isolerat går att titta på sin egen verksamhet när IT-lösningar skall driftsättas och moderniseras har på så sätt stärkts. Viss kritik har framförts mot beslutsvägarnas tydlighet. Det var sedan tidigare bestämt att en IT-styrgrupp skulle tillsättas med ett övergripande ansvar för IT-strategin inom NLL. Denna idé har istället övergått i ett förslag på en lösning där de strategiska besluten skall tas av landstingsstyrelsen och den tilltänkta IT-styrgruppen istället skall ingå i en funktion som beredningsorgan till landstingsstyrelsen. Hur denna nya beredningsfunktion skall organiseras är just nu under utredning men planen är att de skall börja sitt arbete i mars/april 2009. Vår sammanfattande bedömning är att landstinget i allt väsentligt bedriver systemförvaltningen av sina IT-system på ett strukturerat sätt. Den valda förvaltningsmodellen bedöms som ändamålsenlig och ger förutsättningar för en effektiv och säker systemförvaltning. Än kvarstår dock en del arbete med att få samtliga förvaltningsobjekt att fullt ut anamma den nya modellen. Viktigt är också att hitta en bra lösning på hur den organisation som skall ansvara för den övergripande IT-strategin skall organiseras så att den kan arbeta på ett ändamålsenligt och effektivt sätt. 2

1 Bakgrund Landstinget har många administrativa stödsystem. De mest omfattande och väsentliga finns inom områdena vårdadministration, tandvårdsadministration, ekonomi, personal, fastigheter, material- och hjälpmedel samt webb/intranet/mail. Det är viktigt att dessa ITsystem förvaltas på rätt sätt så att de kan uppfylla verksamhetens krav och önskemål. Det som ska förvaltas kallas förvaltningsobjekt. Ett förvaltningsobjekt innehåller oftast flera IT-system. Exempel är landstingets vårdadministrativa system VAS och NLL ekonomi. För att lyckas med en effektiv och ändamålsenlig systemförvaltning behövs en förvaltningsmodell som stöd. En sådan modell beskriver organisationen som behövs för att administrera och hantera förvaltningsobjektet i drift. Den beskriver det ramverk som behövs för att på ett optimalt sätt hantera ett system som befinner sig i förvaltnings (drift) fasen. Det finns en risk för att förvaltningen av väsentliga IT-system brister, vilket kan påverka landstingets möjlighet att bedriva sina verksamheter på effektivast möjligast sätt. Sådana brister kan bl.a. innebära att systemens information inte kan användas på avsett sätt, vilket kan ge svåra negativa konsekvenser i ex vis vårdadministrativa system och ekonomiadministrativa system. 2 Uppdrag och revisionsfråga Landstingets revisorer har gett Komrev inom Öhrlings PricewaterhouseCoopers i uppdrag att översiktligt granska systemförvaltningen av IT-system inom Norrbottens läns landsting. Revisionsfråga: Bedrivs landstings förvaltning av IT-system/ förvaltningsobjekt på ett strukturerat, säkert och effektivt sätt med ändamålsenliga förvaltningsmodeller där mål, organisation, roller, ansvar och processer är beslutade på rätt nivå och dokumenterade. 3 Metod och avgränsning Med utgångspunkt från formulerade kontrollmål görs: Insamling och analys av dokumentation inom området. 3

Intervjuer med ett antal ansvariga inom landstingets verksamheter samt företrädare för de olika förvaltningsobjekten. 4 Systemförvaltning 4.1 Allmänt om systemförvaltning 4.1.1 Vad är en förvaltningsmodell En förvaltningsmodell är ett ramverk som beskriver hur ett förvaltningsarbete kan utföras. Förvaltning syftar till att upprätthålla och vidareutveckla det funktionella verksamhetsvärdet hos ett förvaltningsobjekt. Arbetet med förvaltning handlar med andra ord om att fortlöpande följa verksamhetens behov och krav och tillgodose dessa genom att underhålla befintliga funktioner och tjänster men även, vid behov, implementera och möjliggöra nya sådana. Modellen skall ge en normgivande bild av de aktiviteter som utförs för att styra, administrera, utföra förändringsarbeten och stödja användandet av ett förvaltningsobjekt. 4.1.2 Varför behövs en förvaltningsmodell En förvaltningsmodell behövs för att systemförvaltning alltid involverar flera parter i en organisation. Dels de parter som bedriver själva verksamheten och dels de som står för det tekniska stödet, IT-avdelningen, och kanske också externa parter. Detta gör att organisationens basorganisation, d.v.s. verksamheten, inte alltid är den mest lämpade utgångspunkten för att bilda en kraftfull styrgrupp. Istället sammansätts personer ur verksamheten i en förvaltningsorganisation med representanter från tekniksidan (IT), ungefär som när man tillsätter en projektgrupp som skall uppnå ett specifikt mål. Verksamheten och tekniksidan har ett gemensamt ansvar men för skilda delar och förvaltningsmodellen tydliggör bl.a. hur ansvaret fördelas mellan de olika parterna i förvaltningsorganisationen. En ändamålsenlig förvaltningsmodell kan också bidra till att förvaltningsprocessen är under kontroll, så att informationssystemet stöder verksamheten i enlighet med uppsatta ramar. Den syftar också till att skapa rutiner för förändringar i systemet, skapa enhetlig terminologi och ge en helhetsbild av systemförvaltningen. Målet med förvaltningen är, enkelt uttryckt, att systemet skall uppfylla verksamhetens krav och önskemål under hela sin livscykel, från förvaltning och drift till avveckling. 4

5 Granskningsresultat 5.1 Systemförvaltning inom Norrbottens läns landsting Mellan 2003 och 2006 tillämpade Norrbottens läns landsting en förvaltningsmodell som heter Cure. Från och med 2007 har landstinget gått över till att arbeta enligt en förvaltningsmodell som benämns pm³ (På maintenance management model). Pm³ betraktas som något av en branschstandard inom systemförvaltningen idag och har utvecklats av ett företag som är specialiserat inom systemförvaltningsområdet. 5.1.1 Modellens centrala komponenter Pm3 är uppbyggd kring fyra centrala komponenter som behöver säkerställas för att förvaltningsverksamheten skall bli kostnadseffektiv. Tydliga förvaltningsuppdrag - Målstyrning definierad genom en förvaltningsplan som årligen uppdateras. Ett tydligt förvaltningsuppdrag säkerställer att förvaltningen stödjer de mål och intentioner som förvaltningsorganisationen ställt upp. Samtliga förvaltningsobjekt inom NLL har upprättade förvaltningsplaner för 2008 och 2009 års planer är nu under sjösättning. De objekt som var med redan 2007 har naturligtvis kommit längre i sin utveckling och har tagit till sig pm³-modellen på ett tydligare sätt. Detta till skillnad från de objekt som egentligen först 2009 skapar sin första riktigt genomtänkta förvaltningsplan. Att skapa en mer komplett förvaltningsplan och komma in i förvaltningsmodellen är såklart en process som tar ett tag men de flesta förvaltningsobjekt är på god väg. Effektiva förvaltningsobjekt - Definierar vad som ingår i förvaltningsorganisationens ansvarsområde. Ett förvaltningsobjekt innehåller ofta flera IT-system och avgränsningen bör ske utifrån den verksamhet de ska stödja, för att ge största möjliga verksamhetsnytta. Norrbottens läns landsting eftersträvar att det är verksamhetens behov som skall styra systemutvecklingen. Denna målsättning har varit vägledande i den s.k. objektmodelleringen, dvs. arbetet med att definiera förvaltningsobjekten och sortera dem i s.k. objektsfamiljer. 5

Affärsmässiga förvaltningsorganisationer - Förvaltningsorganisationen har fastställda roller som bemannas från basorganisationen i enlighet med figuren nedan. Verksamhetsnära förvaltning IT-nära förvaltning Budgetnivå Objektägare IT-systemägare Beslutsnivå Objektansvarig IT-systemansvarig Operativ nivå Objektspecialist Applikationsansvarig I stort sett alla förvaltningsobjekt har sina organisationer fullt ut bemannade, någon enstaka vakans förekommer men det är mer av tillfällig natur. Beskrivna, förstådda och accepterade förvaltningsprocesser - En förutsättning för förvaltningsorganisationens arbete är att det finns processer för hantering av problem, ändringar och förvaltningsledning som är beskrivna och accepterade. Landstinget i Norrbotten använder sig av ett program som heter Medusa för ärendehantering såsom felanmälningar, driftproblem, förbättringsförslag mm. Detta program förvaltas av Länsteknik. Verksamheterna själva kan via Kundportalen rapportera direkt in i Medusa alternativt ta kontakt med Teknikakuten på Länsteknik som i sin tur registrerar ärendena. Ärendehanteringsrutinen har ibland fått kritik avseende brister i återkoppling och uppföljning av inrapporterade ärenden. Detta är Länsteknik medvetna om och det är ett utvecklingsområde man jobbar med. Bedömning: För 2009 ser det ut som att samtliga förvaltningsobjekt, möjligen undantaget objektet Operation och övervak har genomarbetade förvaltningsplaner. I sammanhanget förs en diskussion mellan detta förvaltningsobjekt och Länsteknik för utveckling av en relevant förvaltningsplan. Formeringen av förvaltningsobjekt och objektsfamiljer ser ut att, på det hela taget, ha ordnats på ett tillfredsställande sätt. Organisationen för ändringshantering och avvikelserapportering genom teknikakuten på Länsteknik ser också ut att börja hitta sina arbetsformer. 6

5.1.2 Förvaltningsplaner Ett grundfundament i förvaltningsmodellen är att varje förvaltningsobjekt skall upprätta och årligen fastställa en förvaltningsplan. Planen skall innehålla syfte, avgränsning och aktiviteter för objektet. Vidare skall det framgå identifierade problemområden, behov och målsättningar. I förvaltningsplanen skall delmål fastställas och kostnadsberäknas, både för den verksamhetsnära som i den IT-nära förvaltningen. Ibland sätt belopp i tusentals kronor men i de flesta fall är kostnaden beräknad i tidsenheten personveckor. På detta sätt blir det lättare att få en överblick av vilka resurser som krävs för att uppnå målen i förvaltningsplanen. Detta tvingar inte sällan fram ett behov att göra en prioritetsordning bland aktiviteter och mål då det blir tydligt att tilldelade resurser inte alltid räcker. I ett tidigt skede av införandet av den nya modellen missförstods budgetdelen i förvaltningsplanen. Vissa förvaltningsobjekt trodde att det skulle komma nya pengar genom denna men planen var bara ett sätt att tydliggöra vad saker och ting skulle ta i anspråk av redan befintliga resurser. Pengarna skulle som tidigare komma den vanliga vägen genom den traditionella budgetprocessen. 5.1.3 Förvaltningsobjekt och objektfamiljer Det finns idag 14 definierade förvaltningsobjekt där ca hälften har varit med från starten och resterande driftsatts under 2008. Dessa förvaltningsobjekt har delats upp i 3 olika objektfamiljer: Objektfamilj Vårdadministration Administrativt stöd Infrastruktur Förvaltningsobjekt ingående i respektive objektfamilj Ambulans Operationsplanering och övervak Obstetrik Tandvård Laboratorium Bild och funktion Gemensam vårdadministration Ekonomi Datalager Webb Personal Produkt- och tjänsteförsörjning Kommunikation Klient/server 7

Inom den närmaste framtiden finns inga planer på att skapa några nya förvaltningsobjekt. Stora verksamhetsförändringar, omorganisationer eller ändrade lagkrav kan såklart påverka hur den framtida uppsättningen av förvaltningsobjekt och hur familjekonstellationerna kommer att se ut. Bedömning: Som tidigare nämnts verkar indelningen i objekt och familjer landat på ett bra sätt. Det som krävs nu är att få samtliga förvaltningsobjekt att fullt ut anamma förvaltningsmodellen med dess arbetssätt och struktur. 5.1.4 Roller och ansvar Alla förvaltningsobjekt skall ha en förvaltningsorganisation i enlighet med matrisen ovan. För varje förvaltningsobjekt finns en förvaltningsgrupp där den objekts- och den systemansvarige bildar kärnan. Förvaltningsgruppens arbete består bl.a. i att upprätta förslag till förvaltningsplan, bereda beslutsunderlag till styrgruppen, planera och prioritera inom förvaltningsplanen följa upp utfall m m. För varje objektsfamilj finns en styrgrupp som består av objekts- och systemägarna för respektive förvaltningsobjekt inom objektsfamiljen. I styrgruppen finns även andra representanter för de berörda verksamheterna. I styrgruppens uppgifter ingår bl.a. att lägga upp strategier för objektfamiljen, godkänna förvaltningsplanerna och se över fördelningen av resurser. Inför styrgruppsmötena inom objektsfamiljerna, som hålls 2-4 gånger per år, har en samordningsgrupp sina möten. Denna grupp består av objekts- och systemägare för respektive förvaltningsobjekt inom objektsfamiljen. Förvaltningsobjekten har upplevt en otydlighet i beslutsvägarna i organisationen. Otydligheten sägs ha legat i att beslutsvägarna har sett lite olika ut för de olika objektsfamiljerna. Det var tidigare beslutat att det skulle tillsättas en IT-styrgrupp, överställd objektfamiljernas styrgrupper. Landstingets ledningsgrupp har nu istället beslutat att ge Länsteknik i uppdrag att skapa en ny beredningsfunktion, till landstingsstyrelsen, för IT/MT-frågor och denna funktion skall ersätta den tilltänkta IT-styrgruppen. Bedömning: Upp till och med objektfamiljernas styrgrupper är organisationen tydlig och ändamålsenlig. Av vem och på vilken nivå de övergripande strategierna avseende IT skall fastställas är just nu under utredning. En positiv effekt som uppnåtts, och det arbetssätt som modellen bygger på, är en helhetssyn vad gäller IT-lösningar inom NLL. Genom de möten som hålls inom objektfamiljerna har förståelsen ökat både mellan verksamheten och IT-funktionen och inte minst mellan de olika verksamheterna. 8