Prosjektplan for forvaltningsrevisjonsprosjekt. IKT i verdikjeden effektivitet og informasjonssikkerhet

Transkript

1 Prsjektplan fr frvaltningsrevisjnsprsjekt IKT i verdikjeden effektivitet g infrmasjnssikkerhet

2 Innhld 1 Innledning Valgt frvaltningsrevisjnsprsjekt Bakgrunn Frberedelser 1 2 Frmål, prblemstillinger g kriterier Innledning Frmål g avgrensing Prblemstillinger Revisjnskriterier 5 3 Tilnærming Metde Aktivitets- g framdriftsplan Opsjner Rapprtering 7 4 Utførende revisrer KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved.

3 1 Innledning 1.1 Valgt frvaltningsrevisjnsprsjekt Valgt frvaltningsrevisjnsprsjektet er IKT i verdikjeden effektivitet g infrmasjnssikkerhet. 1.2 Bakgrunn Frvaltningsrevisjn av IKT er det 4. revisjnsmrådet i BIR sin Plan fr frvaltningsrevisjn. Frvaltningsrevisjnen har i følge planen ppstart i 3 kvartal I BIR sin risikvurdering, sm Plan fr frvaltningsrevisjn er basert på, er risiken knyttet til IKT mtalt sm følger: Risikvurdering Område Risik Risik kan inntreffe ved Knsekvens Risik mfatter IKT Risik fr at IKTsystemene ikke understøtter frretningsmessige behv. IKT-strategien støtter ikke pp under BIR sine målsettinger IKT-systemene støtter ikke gdt nk verdikjeden Det er ikke gde nk tilgangs- g endringskntrller i systemene Beredskapsplanene sikrer ikke gd nk gjenppretting av IKTsystemene ved en hendelse Ufullstendige inntekter g fr høye kstnader Ikke tilstrekkelig effektivitet g kvalitet i verdikjeden Uautriserte tilganger g endringer Tapte inntekter g økte kstnader sm følge av nedetid Risiken gjelder alle selskaper Admininstrerende direktør fremhever at det er viktig å se på infrmasjnssikkerhet/datasikkerhet ift kundedata g IKT i verdikjeden, g gså i lønnsprsessen (sm den viktigste støtteprsessen). Det må sees på dette fra A til Å, ikke bare utvalgte deler av kjeden.ut ver de knsekvensene sm har fremkmmet gjennm risikvurderingen, vil gså ptensiale fr et betydelig mdømmetap g brudd på regelverk være til stede ved svak infrmasjnssikkerhet. Risken på mrådet gjelder hele knsernet. 1.3 Frberedelser Mål g prsess Det er et mål å etablere en gd prsjektplan, sm ppstiller relevante g vesentlige prblemstillinger fr frvaltningsrevisjnen med utgangspunkt i BIR sin Plan fr frvaltningsrevisjn. Samarbeid g dialg med berørte selskap g knsernadministrasjnen i frberedelsesfasen er viktig fr å sikre at det tas utgangspunkt i relevante g vesentlige prblemstillinger. I uke har KPMG med bistand fra knserncntrller g ansatte i BIR: Samlet inn g gjennmgått dkumentasjn. Det er hvedsakelig tale m dkumentasjn på strategisk nivå KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 1

4 Gjennmført krte g ufrmelle samtaler med ledere i datterselskapene, samt øvrige persner i datterselskapene sm ledelsen har pekt på. Frmålet har vært å få innspill, synspunkter g erfaringer med IKT i verdikjeden g innenfr lønnsmrådet KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 2

5 2 Frmål, prblemstillinger g kriterier 2.1 Innledning BIR dekker 9 kmmuner g det er ca mennesker sm er innbyggere i disse kmmunene. Minst registrerte hushldninger/kunder finnes i BIRs kunderegister. Dette er et strt antall, g det er derfr viktig fr BIR at infrmasjnen er krrekt g kan behandles på en effektiv måte. BIR har sm målsetning å perere med ppretthlde stabile g lave priser til hushldningskunder. En av virkemidlene er å ha kntrll i verdikjeden. I strategiperiden er dette beskrevet sm Selskapet vil i planperiden priritere tiltak sm innebærer elektrnisk utveksling av data mellm fagsystemer. Dette medfører at det skal tilrettelegges fr elektrnisk registrering samt sømløs g i sanntid verføring av veie-, øknmi- g statistikkdata mellm fagsystemer. Dette er et relativt ambisiøst mål, men vil ha str effekt fr selskapene dersm det nås. I intervjurundene g dkumentasjnsgjennmgangen i frvaltningsrevisjnens planfase har vi registrert signaler sm tyder på at det ennå gjenstår en rekke aktiviteter før målet kan sies å være innen rekkevidde, men at det gså er iverksatt en rekke tiltak.frvaltningsrevisjnen vil benytte gså målene i strategiperiden sm en målestkk på ambisjnen m effektiv infrmasjnsbehandling i BIR. Det er registrert infrmasjn på kundenivå sm kan ppfattes sm sensitiv infrmasjn (mengde, srtering), selv m det i lvens frstand ikke er sensitive persnpplysninger. Andre pplysninger (priser, prismdeller) har gså behv fr infrmasjnssikring. Samlet sett gir dette et kmplekst behv fr infrmasjnssikring. Frvaltningsrevisjnen vil i all hvedsak knsentrere seg m mekanismer sm gjelder lvpålagt sikring av persnpplysninger. Anskaffelse, vedlikehld g avhending av IKT-utstyr sm inngår i verdikjeden g administrativ behandling av infrmasjn vil gså være et tema fr frvaltningsrevisjnen. Fkus vil her være på m det eksisterer tilstrekkelige rutiner fr å ivareta kntrll på mrådet. 2.2 Frmål g avgrensing Tredeling På bakgrunn av 2.1 frslår vi at frvaltningsrevisjnsprsjektet har tre perspektiver. En del sm gjelder effektivitet, en sm gjelder infrmasjnssikkerhet g en sm gjelder rutiner rundt anskaffelse, vedlikehld g utfasing av IKT-utstyr. De t første perspektivene anvendes på IKT i verdikjeden g innenfr lønnsmrådet. I tillegg vil evaluering av prismdell inngå sm en del av prsjektet, ref. punkt 3.3 Opsjner nedenfr IKT i verdikjeden Denne delen av frvaltningsrevisjnen har t hvedfrmål: Undersøke m g eventuelt i hvilken grad IKT understøtter verdikjeden effektivt. Her vil vi se på grad av autmatisering g integrasjn av prsessledd i verdikjeden. Undersøke hvrdan g i hvilken grad infrmasjnssikkerheten ivaretas i verdikjeden, med spesiell fkus på knfidensialitet g integritet/kvalitet. Frvaltningsrevisjnen vil ha en verrdnet tilnærming. Særlig sentralt vil evaluering av strategi, plicy, prsesser g avtaler være. Denne frvaltningsrevisjnen vil ikke dekke tekniske eller rent IKTperasjnelle frhld KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 3

6 2.2.3 Lønnsmrådet Lønnsmrådet er en sentral støttefunksjn fr BIR. Området er ttalt avhengig av IKT-løsninger fr å kunne gjennmføre effektive, sikre g kvalitetsmessig gde prsesser. Med dette sm utgangspunkt vil frvaltningsrevisjnen ha et hvedmål: Undersøke i hvilken grad lønnsmrådet har IKT-verktøy sm er tilpasset behvet fr effektivitet, kvalitet g sikkerhet Anskaffelse, vedlikehld g utfasing av IKT-utstyr Fr å sikre tilstrekkelig kntrll med IKT-ustyr er det nødvendig med plicy g rutiner på mrådet. Med dette sm utgangspunkt vil frvaltningsrevisjnen ha et hvedmål: Undersøke i hvilken grad rutiner g plicy fr anskaffelse, vedlikehld g utfasing av IKT-utstyr sikrer effektivitet g ivaretar infrmasjnssikkerheten, g m disse etterleves 2.3 Prblemstillinger IKT i verdikjeden På bakgrunn av frmålet ppstilles følgende prblemstillinger fr frvaltningsrevisjnens del sm gjelder IKT i verdikjeden: 1. Med basis i interne målsetninger, strategier g gd praksis: På hvilken måte g eventuelt i hvilken grad understøtter IKT verdikjeden effektivt? Grad av autmatisering g integrasjn av prsessledd i verdikjeden Evne til priritering av tiltak fr å ppnå høyere effektivitet g kvalitet i verdikjeden med hjelp av IKT (handlingsplan g prsjekter kblet til IKT strategi) Tydelighet av ansvars- g ppgavefrdeling på IKT-mrådet Understøttelse av effektivitet gjennm predefinert plicy på mrådet, g eventuell bruk av standarder 2. Med basis i interne målsettinger, strategier, plicy g regelverk på mrådet: På hvilken måte g i hvilken grad sikrer BIR at infrmasjnssikkerheten blir ivaretatt i verdikjeden?. Det vil være spesiell fkus på knfidensialitet g integritet/kvalitet. Frvaltningsrevisjnen vil dekke: At det er etablert målsetninger, strategi g plicy på mrådet sm er dekkende i frhld til lvkrav At kvaliteten på understøttende prsedyrer er tilstrekkelig fr å være i samsvar med lvpålagte krav Fr hver prblemstilling undersøkes gså årsaker til evt mangler g knsekvenser av evt mangler. Frbedringstiltak begrunnes ut fra BIRs mål, strategier g avtaler g ellers med eksemplifiseringer fra det sm regnes sm gd praksis fr infrmasjnssikkerhet Lønnsmrådet På bakgrunn av frmålet ppstilles følgende prblemstillinger fr frvaltningsrevisjnens del sm gjelder IKT på lønnsmrådet: 2014 KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 4

7 1. Ut i fra BIRs målsettinger, strategier; på hvilken måte g eventuelt i hvilken grad understøtter IKT lønnsprsessen effektivt?: Grad av autmatisering g integrasjn av prsessledd Priritering av tiltak fr å ppnå høyere effektivitet g kvalitet i verdikjeden med hjelp av IKT (handlingsplan g prsjekter kblet til IKT strategi) 2. På hvilken måte g i hvilken grad sikrer BIR etterlevelse av at infrmasjnssikkerheten blir ivaretatt i lønnsprsessen: Spesiell fkus på knfidensialitet g integritet/kvalitet Anskaffelse, vedlikehld g avhending av IKT-utstyr Prblemstilling: I hvilken grad har BIR rutiner fr anskaffelse, vedlikehld g avhending av IKT-utstyr:? Viktig fr infrmasjnssikkerhet: Manglende kntrll på utstyr medfører risik fr at nødvendig g lvpålagt infrmasjnssikkerhet reduseres Viktig fr kstnadsbildet: Manglende kntrll på utstyr medfører risik fr øknmisk tap Effektivitet i verdikjeden: På siden, men har et ptensielt viktig kstnadsperspektiv Fr prblemstillingen undersøkes gså årsaker til eventuelle mangler g knsekvenser av disse. Frbedringstiltak begrunnes ut fra BIRs mål g strategier mv, g ellers på bakgrunn av gd praksis. Etterlevelse testes ved gjennmgang av et utvalg transaksjner. 2.4 Revisjnskriterier Til prblemstillingene ppstilles revisjnskriterier. Revisjnskriterier er de krav eller de nrmer sm tilstand g/eller praksis i BIR måles mt. Valg av revisjnskriterier må være mfrent med BIR. Revisjnskriterier må være aktuelle, relevante g gyldige fr BIR. Valg av revisjnskriterier tar utgangspunkt i BIR knsernets egne mål, strategier g avtaler sv. Det suppleres med nrmer/anbefalinger fra gd praksis, særlig der hvr BIR knsernet i liten grad selv har etablert et eget regime med mål, krav eller annet. Kilde til å utlede revisjnskriterier vil blant annet kunne være: Persnpplysningslven m/frskrift Bkføringslven m/frskrift Eventuelle eier- eller styrevedtak Mål, strategi g plicy innen infrmasjnssikkerhet IT-strategi g handlingsplan Strategiplan fr BIR AS Avtaler knyttet til anskaffede IKT-systemer Prsess- g rutinebeskrivelser 2014 KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 5

8 3 Tilnærming 3.1 Metde Krt m innsamling g analyse av data Det vil bli samlet inn dkumentasjn fra BIR sm vil bli sammenstilt g analysert ift revisjnskriteriene. Det vil gså bli gjennmført intervjuer. Det vil bli satt pp en intervjueplan i samarbeid med knserncntrller, samt utarbeidet intervjuguider. Fra hvert intervju vil det bli skrevet referat sm sendes respndenten til verifisering (gjennmlesing g evt krrigering). Intervjuguide/spørreskjema vil bli brukt ved gjennmføring av interjvuer. Svar fra respndenter vil bli sammenstilt, sammehldt med dkumentasjnen g analysert i ft revisjnskriteriene. 3.2 Aktivitets- g framdriftsplan Figuren under viser aktivitets,- ressurs - g framdriftsplan August September Oktber Uke Nvember Desember Faser + aktiviteter Ansvar Timer Frberede Frundersøkelse KPMG 1.2 Etablere prsjektplan KPMG 1.3 Møte m prsjektplan KPMG g BIR 1.4 Frankring av prsjektpan KPMG g BIR 1.5 Gdkjenne prsjektplan BIR 2 Starte pp 10 Oppstartsmøte med berørte g 2.1 infrmasjn KPMG 2.2 Dkumentliste KPMG 2.3 Intervjuplan KPMG 3 Gjennmføre Initiell kartlegging/utvelging av 3.2 Dkumentinnsamling KPMG 3.3 Dkumentanalyse KPMG 3.8 Interjvuer KPMG g BIR 3.9 Analyse (interjvuer) + testing KPMG 3.10 Anbefalinger m frbedring KPMG 3.11 Kvalitetssikring KPMG Rapprtutkast v02 ( dkumentanalyse + intervjuer anbefalinger) KPMG 3.13 Sluttmøte KPMG g BIR 4 Rapprt Ferdigstille rapprtutkast KPMG 4.2 Høring rapprtutkast (en uke) KPMG 4.3 Oversendelse av rapprt KPMG 4.4 Sluttmøte g presentasjn KPMG g BIR 4.5 Eventuelle justeringer av rapprt KPMG g BIR 430 Datainnsamling g analyse vil skje etter smmerferien Interjvuer i BIR er planlagt i uke Det vil være et sluttmøte før rapprten lages. På sluttmøte inviteres alle berørte, g her gjennmgå fakta, vurderinger, funn g anbefalinger. I tillegg vil det påløpe timer i frbindelse med psjnsarbeidet knytte ttil prismdell fr IKT kstander, jfr. punkt 3.3 nedenfr. Levering av rapprt, ferdig verifisert, er satt til uke KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 6

9 3.3 Opsjner I frbindelse med planleggingsmøtet fr utvikling av revisjnsplan fremkm det gså flere andre mråder der IKT var invlvert g hvr det fremst sm et behv at frvaltningsrevisjnen kunne bistå. Under er det skissert mråder sm ikke er del av revisjnen slik den er beskrevet i risikanalysen eller i prsjektmandatet, men sm det kan være aktuelt å ta fatt i sm selvstendige prsjekt sm en frlengelse av eller i parallell med frvaltningsrevisjnen. Bakgrunnen fr eventuelt å gjennmføre disse prsjektene i nær tilknytning til frvaltningsrevisjnen er at frvaltningsrevisjnen vil kmme innm flere av disse mrådene underveis, men vil ikke dekke disse på en tilfredsstillende måte i frhld til BIRs behv.en prsjektgjennmføring når dkumentasjn allerede i str grad er gjennmgått gjør belastningen med å gjennmføring gså på disse mrådene vesentlig mindre. Aktuelle prsjekter er: - Vurdering av infrmasjnseierskap g styring (gvernance) av data - Vurdering av SLA - Evaluering av prismdell I møte 2. ktber besluttet BIR AS ved adm.dir Steinar Nævdal g knserncntrller Anne Margrethe Hausvik å innkrprerer evaluering av prismdell sm del av dette prsjektet. Frmålet med denne delen av revisjnen vil være å etablere et første grunnriss fr prinsipiell frdeling av IKT kstnader i BIR knsernet. KPMG vil legge særlig vekt på å identifisere IKT kstnadsdriverne. Denne delen av revisjnen vil bli rapprtert separat sm en delrapprt. 3.4 Rapprtering Vi vil rapprtere resultat fra prsjektet i en ppsummerende hvedrapprt g en delrapprt: - Oppsummernde hvedrapprt med vekt på vårt hvedbudskap, vurdering g anbefalinger - Delrapprt knyttet til prismdell fr IKT kstnader 2014 KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 7

10 4 Utførende revisrer Team KPMG KPMG sitt team i frvaltningsrevisjnen består av: Partner Harald Sylta Prsjekteleder Ole Willy Fundingsrud Prsjektdeltagere er: Kim Jhnny Mathisen Øyvind Hauge Støle 2014 KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. 8

11

12 2014 KPMG AS, a Nrwegian member firm f the KPMG netwrk f independent member firms affiliated with KPMG Internatinal Cperative ( KPMG Internatinal ), a Swiss entity. All rights reserved. The infrmatin cntained herein is f a general nature and is nt intended t address the circumstances f any particular individual r entity. Althugh we endeavur t prvide accurate and timely infrmatin, there can be n guarantee that such infrmatin is accurate as f the date it is received r that it will cntinue t be accurate in the future. N ne shuld act n such infrmatin withut apprpriate prfessinal advice after a thrugh examinatin f the particular situatin. The KPMG name, lg and cutting thrugh cmplexity are registered trademarks r trademarks f KPMG Internatinal Cperative ( KPMG Internatinal ).