Direktoratet for forvaltning og IKT. Kravspesifikasjon. bilag 1 konsulentoppdragsavtalen - samfunnsøkonomisk analyse av eidprogrammet

Transkript

1 Direktoratet for forvaltning og IKT Kravspesifikasjon bilag 1 konsulentoppdragsavtalen - samfunnsøkonomisk analyse av eidprogrammet

2 1. Bakgrunn for eid-programmet For å kunne tilby avanserte elektroniske tjenester som er brukertilpasset, er det en forutsetning at nett-tjenesten kan fastslå identiteten til brukeren. Til dette er det behov for elektroniske IDer (eid). eid er definert som en eller flere tekniske innretninger som kan benyttes til autentisering eller signering på nett, og som er knyttet opp mot samme brukernavn (navn i folkeregisteret). Istedenfor at det lages en eid-løsning for hver offentlige nettjeneste, noe som skaper en uoversiktlig mengde brukernavn og passord for brukerne, er det ønskelig at brukeren skal møte et enhetlig og brukervennlig påloggingsbilde som er likt uavhengig av hvilken offentlig tjeneste brukeren ønsker å benytte seg av. Ved en innlogging får brukerne tilgang til en eller flere offentlige elektroniske tjenester, som i tillegg er døgnåpne. Innføring av en felles infrastruktur for eid, som alle offentlige tjenesteeiere kan knytte seg til, vil også forenkle og effektivisere arbeidet i det offentlige. Det vil være raskere, sikrere, og mindre arbeidskrevende for den enkelte tjenesteeier å lage elektroniske tjenester for brukerne så lenge selve infrastrukturen er utviklet som en sentral felleskomponent. Det er avgjørende at en felles infrastruktur håndterer elektroniske tjenester for sensitiv informasjon, og tilknyttede eid-er må derfor være på et tilstrekkelig sikkerhetsnivå. Beskrivelse av programmet: Programmet består av å lage en felles IKT-infrastruktur kalt ID-porten. ID-porten er en felles infrastruktur som alle tilknyttede tjenester på nett kan benytte for at brukerne skal kunne logge seg inn med samme eid på mange ulike tjenester. I praksis vil ID-porten komme tilsyne for brukeren av en nettjeneste ved at det kommer en rullegardin-meny med alle tillatte eid som brukeren kan benytte, så velger brukeren innloggingsmetode og foretar selve innloggingen til en konkret tjeneste. Til denne ID-porten skal all statlig virksomhet med elektroniske tjenester (kalt tjenesteeiere) tilknyttes. Når brukerne går inn på ID-porten vil de få mulighet til å få adgang til en tjeneste, noen ganger flere samtidig. For kommunesektoren er en slik tilknytning frivillig, mens for statlige virksomheter skal tilknytning foretas. IDporten skal tilby innlogging med eid på høyere sikkerhetsnivå, gjennom bruk av eid i markedet og gjennom etablering av en offentlig eid på nasjonalt ID-kort. Tilbud om eid på høyt sikkerhetsnivå gjør det mulig å åpne for flere tjenester på nett som krever dette sikkerhetsnivået. Direktoratet for forvaltning og IKT (DIFI) skal opprette en drifts- og forvaltningsorganisasjon for ID-porten, og koordinere programmet med EU. Resultatet av det nasjonale eid-programmet, som bygger opp en felles offentlig IKTinfrastruktur og legger til rette for distribusjon av eid til brukerne, er en utløsende faktor for å realisere gevinstpotenialet ved eid i offentlig sektor. Det ble opprettet i Difi i 2008 og er planlagt avsluttet i Programmet består av følgende tiltak: ID-porten*, samtrafikknav for offentlig sektor som tilbyr eid og videreformidling til offentlige virksomheter. Eks. vil eid bestå av Bankid, MinID,Buypass, Nasjonalt idkort. Den skal også legge til rette for bruk/validering av virksomhetssertifikater. Planlagt ferdig 1.kv.2010.

3 MinID*, offentlig sektors eid på sikkerhetsnivå 3, oppgradering til mer brukervennlig og sikker løsning for brukerne, og felles utstedelse og spredning av dette.planlagt ferdig oktober eid i markedet*, fremforhandle og implementere en forretningsmodell med tilhørende teknisk løsning for bruk av eid-er fra private tilbydere av eid-løsninger, for eksempel BankID og Buypass. Planlagt ferdig jan/feb Nasjonalt ID-kort, lage offentlig eid på sikkerhetsnivå 4 1. Planlagt ferdig i Drifts- og forvaltningsorganisasjon for *. Planlagt ferdig før jul Revisjon av kravspesifikasjon for PKI 2 for offentlig sektor, krav til eid-er som brukes i offentlig sektor.planlagt ferdig før jul Koordinering med EU-programmet Stork. DIFI har organisert programmet sflg.: Det er bevilget om lag 80 millioner for 2009 til realisering av programmet mål for inneværende år. Forbruk i programmet til nå og ut 2011 (DIFI setter inn tall). 1 Sikkerhetsnivå 4 er foreløpig den eneste autentiseringsordningen som fungerer i forhold til Kravspesifikasjon for PKI nevnt nedenfor, og er det sikkerhetsnivået som anses nødvendig for å håndtere sensitiv informasjon, som f eks. helseopplysninger. Det er således enkelte offentlige tjenester som ikke kan etableres med felles eid uten at denne utformes med sikkerhetsløsning på nivå 4. Uten å få etablert nivå 4, vil således mange tjenester falle fra, og gevinstene dermed reduseres. 2 Public Key Infrastructure en standardisert teknologi for å ta i bruk elektronisk signatur: brukes til å utvikle sikker eid.

4 FAD er oppdragsgiver og overordnet programeier for eid-programmet. På departementsnivå er det opprettet en interdepartemental koordineringsgruppe bestående av FAD, JD, NHD og FIN. Dette for å sikre at sentrale aktiviteter som involverer aktører underliggende ulike departementer er best mulig koordinert. Utviklingen av Nasjonal eid skjer i samarbeid mellom Difi og Politidirektoratet (POD) og Politiets Data- og Materielltjeneste (PDMT), og det er derfor viktig at Justis er godt informert. Direktøren i Difi og programdirektøren for eidprogrammet har valgt å organisere eid-oppdraget som et program bestående av flere delprosjekter. Et programkontor ivaretar gjennomgående funksjoner for alle delprosjektene, herunder juss/anskaffelser, informasjon/kommunikasjon og prosjektstyringsmetodikk. Difi og Brønnøysundregistrene (BR) har begge ansvar for utvikling og drift av sentrale felleskomponenter. Som ledd i dette har de begge behov for tett dialog med sentrale virksomheter i eforvaltningsutviklingen. For å redusere antallet og unngå parallelle arenaer og for å sikre god samordning av sitt arbeid, har BR og Difi tatt et felles initiativ til etablering av et strategisk samarbeidsråd for virksomhetsledere på direktoratsnivå. Samarbeidsrådet er gitt forkortelsen SKATE. I brev fra FAD ( ) til stat- og kommunesektoren, forutsettes at de som allerede bruker eid på sikkerhetsnivå 3 eller lavere, tar i bruk felles offentlig eid på sikkerhetsnivå 3 (MinId beskrevet over) så snart den er klar og distribuert. Denne eid-en er knyttet til ID-porten (se tiltak over), slik at all offentlig tjenesteyting med eid vil være koblet til ID-porten. I brevet nevnes arbeidet med nasjonalt id-kort (se tiltak over), som et offentlig utsedt eid på sikkerhetsnivå 4. Dette vil være en frivillig ordning, som alternativ til eksisterende markedsløsninger for eid på sikkerhetsnivå 4 (bank-id og Buypass). ID-porten vil legge til rette for et samspill med slike private leverandører, men kostnadene ved å benytte disse leverandørene til sine tjenester må den enkelte virksomhet betale selv. De private leverandørene må på egen hånd dokumentere overfor post og teletilsynet at de oppfyller kravspesifikasjon for PKI i offentlig sektor. Virkeområde Programmets addisjonale 3 virkeområde er knyttet til etablering av ID-porten med eidløsninger og videreformidling til offentlige tjenenesteeiere. Sentralt her er addisjonaliteten: for brukerne ved å ha et enhetlig og brukervennlig påloggingsbilde til tilknyttede offentlige elektroniske tjenester, ved økt tilgjengelighet og høyere sikkerhetsnivå på eid løsningen, som gir tjenesteeierne mulighet til å utføre flere og mer effektive arbeidsprosesser med personsensitive opplysninger med brukerne. Brukere av ID-porten er: privatpersoner, næringslivet, tjenesteeiere, som består av statlige og kommunale virksomheter, private leverandører av eid- og IT-løsninger til tjenesteeierne. 3 Med addisjonalitet menes netto effekt av tiltaket, det vil si bruttoeffekten (total endring i målvariablen i løpet av en periode) minus dødvektstapet (endring i målvariablen som ville kommet uten tiltaket) minus fortrengning (endring i målvariablen andre steder enn der tiltaket virker) pluss ringvirkninger av tiltaket.

5 Programmets effektmål Enklere, sikrere, og bedre pålogging for brukerne av offentlige elektroniske tjenester i et standardisert brukergrensesnitt. Helhetlig og brukervennlig tilgang til tjenester på nett, særlig der tjenestene er i sammenheng med hverandre. De ulike tilbyderen av offentlige elektroniske tjenester unngår å måtte etablere egne sikkerhetsløsninger, og å tilpasse disse til sikkerhetsløsninger utviklet i andre offentlige virksomheter. Bedre samhandling mellom virksomheter som utveksler elektronisk informasjon. Flere elektroniske tjenester, og hyppigere anvendelser av de som finnes. Programmets resultatmål 2009 Videreutvikle og drifte en felles eid infrastruktur ( ID-porten ) som skal gi mulighet for innlogging med felles offentlige eid-løsninger, og aktuelle eid-løsninger fra det private markedet (for eksempel eid fra Bank-ID eller Buypass) som oppfyller offentlige krav til sikkerhet (også på nivå 4). I første versjon skal innloggingsløsningen tilby autentisering, validering og videreformidling av eid-løsninger på mellomhøyt sikkerhetsnivå (nivå 3) og tilsvarende for godkjente løsninger fra markedet. I samarbeid med Skattedirektoratet skal løsningen tilbys og distribueres til innbyggerne. Kravspesifikasjon for PKI i offentlig sektor skal videreutvikles som del av eidprogrammet, og vil senere inngå som en del av Difis forvaltningsoppgaver. Etablering av en robust og sikker teknisk og organisatorisk forvaltning. 2. Om oppdraget: Leverandøren skal gjennomføre en samfunnsøkonomisk analyse av alternativene i henhold til Finansdepartementets veileder for samfunnsøkonomiske analyser (2005) og SSØs veileder for samfunnsøkonomiske analyse og gevinstrealisering av IKT-prosjekter (2006). Det er to alternativer som skal sammenlignes, basisalternativet og eid-programmet som er beskrevet over. Basisalternativer er definert ved situasjonen før eid-programmet ble satt i gang, og videre utvikling som kan forventes uten endringer i offentlige tiltak på det aktuelle området. Det skal tas hensyn til eventuell nødvendige oppgraderinger i basisalternativet 4. Situasjonen før eid-programmet ble satt i gang var at det eksisterte to offentlige portaler med felles påloggingsløsning Minside og Altinn. Minside hadde en eid-variant (MinID), mens Altinn hadde 5-6 alternativer med ulike sikkerhetsnivå (opptil nivå 4, høyeste nivå). I tillegg eksisterte det en viss mengde offentlige tjenester på nett (eks. Skattedirektoratets selvangivelse, Lånekassens låneportal osv.), med egne innloggingsløsninger, så som PINkoder, brukernavn og passord (distribuert til egne kunder i egen regi), ev. bruk av markedsløsninger (BankID, Buypass) på grunnlag av egne, særskilte avtaler med slike aktører og egen, nødvendig tilpasning av tjenester. For brukeren innebar dette at de måtte forholde seg til mange ulike innloggings/eid-løsninger, hver til sitt formål, mens for tjenesteeiere innebær dette kostnader ved å utrede, spesifisere, kjøpe i markedet og tilpasse eller utvikle selv en eid-løsning til sin tjeneste. Mange offentlige aktører, særlig de med mindre ressurser og kompetanse (eks. kommuner), men også de store, med svært strenge krav til sikkerhetsnivå på eid, vegret seg å ta denne kostnaden alene og avventet derfor utviklingen av noen felles tiltak. Dette førte til at utvikling av tjenester på nett og medfølgende effektiviseringsgevinster av dette stoppet opp eller ble vesentlig forsinket. 4 Iht. veileder i samfunnsøkonomiske analyser, Fin 2005, s 13.

6 Bruken av eksisterende tjenester ble lavere enn potensialet (mhp antal brukere), pga ulempen brukerne hadde med mange ulike eid til hver sin tjeneste (går da heller på tradisjonelle kanaler enn å skaffe seg en eid for benytte nettkanalen). Som inngangsdata i den samfunnsøkonomiske analysen brukes forventningsverdiene fra usikkerhetsanalysen/-beregningene, samt den stokastiske spredning knyttet til de systematiske usikkerhetselementene. Valutausikkerhet skal likevel ikke medtas, da staten har en risikonøytral holdning til denne type usikkerhet. Med en slik direkte beregning av den systematiske usikkerheten bortfaller behovet for å vurdere plassering i risikoklasse ved fastsettelse av diskonteringsrenten. Størrelsen på den risikofrie realrenten settes til 2 pst. i analysen. 2.1 A priori modell Til anvendelse i den samfunnsøkonomiske analysen skal leverandør utvikle en a priori teoriog virkningsmodell av programmet fordelt på ulike brukergrupper. Under er SSØs 5 typiske virkninger for IKT-prosjekter (ikke uttømmende) spesifisert: kostnader: o investeringskostnader, o driftskostnader, o endrings- og omstillingskostnader, o evt. andre kostnadsposter, nytte: o reduserte kostnader ved tjenesteproduksjon/ytelse for virksomhet, o samordningsgevinster, o reduserte driftsutgifter for øvrig, o bedre informasjon til virksomhetens ledelse, o bedre utnyttelse av kompetanse og ressurser i virksomheten, o bedre arbeidsmiljø i virksomheten, o mer robust og sikker infrastruktur i virksomheten, o økt tillit og legitimitet hos brukerne og ellers i samfunnet, o bedre integrasjon mot andre virksomheter, o økt kvalitet og servise i tjenestetilbudet gjennom ny teknologi, o etablering av nye og bedre tjenester, o evt. andre nytteposter. Leverandør skal spesifisere en a priori teori- og virkningsmodell fordelt på den enkelte brukergruppe. Den enkelte a priori virkning som skal estimeres kvantitativt (deterministiske estimater) og kvalitativt skal spesifiseres og begrunnes. Det skal spesifiseres valg av estimeringsmetode for hver virkning og hvordan datafangst skal gjennomføres med tilhørende populasjon (brukergruppe) og utvalg for hver virkning. Leverandør skal lage ovennevnt her. 2.2 Usikkerhetsanalyse Leverandøren skal utføre en usikkerhetsanalyse etter samme mønster som KS Se SSØs veileder for samfunnsøkonomisk analyse og gevinstrealisering av IKT-prosjekter. 6 Se rammeavtale mellom Finansdepartementet og leverandører om kvalitetssikring av konseptvalg...

7 Usikkerhetsanalyse generelt: Leverandøren skal i sluttrapporten utarbeide en samlet oversikt over prosjektets risikobilde, ved s-kurver med p(10), p(50) og p(90) for netto-nåverdiberegningen og tornadodiagram med oversikt over de momentene som bidrar mest til usikkerheten i netto-nåverdiberegningen. Alle forhold som medfører usikkerhet om prosjektets kostnader og nytte skal medtas så langt det er gjennomførlig og har praktisk betydning. Analysen skal omfatte alle grader av eksternt gitt usikkerhet og usikkerhet som ikke er påvirkbar, i tillegg til de prosjektinterne og påvirkbare faktorene. Usikkerheten skal kvantifiseres i numeriske størrelser for å gi grunnlag for analytisk bearbeidelse, prioritering og styring. Usikkerhet som ikke kan kvantifiseres skal det lages omtale av. Usikkerhetsanalysen skal bygges opp med estimatusikkerhet og hendelsesusikkerhet. Leverandøren skal foreta en særskilt gjennomgang av de hendelsesusikkerheter prosjektet er stilt overfor. Dette vil i de typiske tilfeller dreie seg om eksterne hendelser som enten inntreffer eller ikke inntreffer, representert ved en binær sannsynlighetsfordeling. Leverandøren skal identifisere de hendelsesusikkerheter som er relevante for prosjektet, anslå sannsynligheten for at hendelsen inntreffer og analysere konsekvensene. Risikoeksponeringen som ligger i hendelsesusikkerhetene skal angis i økonomiske termer. Usikkerhetsanalyse: reduksjon av risiko Leverandøren skal med utgangspunkt i analysene over vurdere usikkerhetsmomentene for påvirkbarhet, det økonomiske potensialet ved tiltak for å redusere risikoen og kostnadene forbundet med dette. Det skal gis tilråding om hvilke tiltak som anbefales gjennomført for å redusere risikoen for å nå målene til programmet. Leverandør bes her beskrive hvordan usikkerhetsanalysen skal gjennomføres i prosjektet, metode for analysen, og beskrive hvilke tabeller og grafer som vil inngå i analysen. 2.3 Suksesskriterier/fallgruver Leverandøren skal kartlegge både konkrete muligheter og trusler/fallgruver i programmet og gi tilrådinger som gir oppdragsgiver operative muligheter til å implementere suksesskriterier og treffe tiltak for å unngå fallgruvene. Innenfor et prosjekts rammebetingelser gjelder dette både forhold knyttet til styringsmodell, insentivmekanismer herunder atferdsaddisjonalitet 7 fra programmet, organisering og ansvarsforhold og relasjoner til omgivelsene. Leverandør bes her beskrive metode, begrunnelse for valg av denne og utdypet innhold i denne kartleggingen. 2.4 Realopsjoner Leverandør skal gjennomføres en analyse av realopsjoner for programmet. Leverandør bes her begrunne hvilke realopsjoner som skal analyseres og metodevalg for analysen her. 2.5 Fordelingsvirkninger Leverandør skal gjennomføres en analyse av fordelingsvirkninger av programmet. 7 Om eid-programmet bidrar til at brukerne generelt endrer sin måte å arbeide med IKT på. For virksomheter er atferdsaddisjonalitet ofte sett på som en endring i foretakenes ressursbase (kompetanse,organisatoriske, fysiske etc.), valg av konkurransestrategi og foretakets entreprenørielle orientering (innovasjon, risikotilbøyelighet og proaktivitet) samt om de dynamiske kapabiliteter forbedres.

8 Leverandør bes her begrunne hvilke fordelingsvirkninger som skal analyseres. 2.6 Samlet konklusjon og anbefaling Leverandør skal på bakgrunn av de gjennomførte analysene, sammenfatte og komme med en samlet konklusjon om samfunnsøkonomien i programmet og anbefaling om evt. forbedringer av programmet. Dersom ulike forbedringene forventes å gi store virkninger på netto nåverdi av programmet, bes dette kvantifisert. Leverandør skal beskrive ovennevnt her. 3. Fremdrifts- og prosjektplan Leverandør skal utarbeide ressurs- fremdrifts- og prosjektplan for analysen hvor ulike milepæler fremkommer. Leverandør skal gi tilbakemelding til oppdragsgiver hver uke om status og fremdrift på hensiktsmessig måte. Det skal utarbeides en rapport på norsk som skal fremlegges i 15 eksemplarer samt i elektronisk format. Det forventes videre at denne presenteres for Fornyings- og Administrasjonsdepartementet i et eget møte. Leverandør bes skrive inn fremdrifts- og prosjektplan her, og beskrive hva som leveres til hvert møte med oppdragsgiver.