Beoordelingskader IT lifecyclemanagement

De minister is verantwoordelijk voor het geheel van de bedrijfsvoering van zijn ministerie en daarmee ook voor een goed beheerst en planmatig IT-beheer van het IT-landschap. Wij toetsen het beheer aan relevante wet- en regelgeving. Daarnaast letten wij specifiek op een aantal belangrijke beheeraspecten voor onderhoud en vernieuwing; beheersmaatregelen op het gebied van lifecyclemanagement.

Indien er afwijkingen van het beoordelingskader zijn geconstateerd, maar ook als een beheersmaatregel ontbreekt, zijn dit tekortkomingen die kunnen leiden tot onvolkomenheden respectievelijk ernstige onvolkomenheden. Daarbij is onder andere van belang:

• Hoe lang deed de tekortkoming zich voor (9 maanden of langer)?
• Hoe hoog was het financiële risico?
• Hoe ernstig verstoorde de tekortkoming de bedrijfsvoering van het ministerie?

Algemene normen en nadere uitwerking

Lifecyclemanagement is een continu en cyclisch proces van inzicht verwerven, dat inzicht vertalen naar plannen (voor onderhoud, beheer en vernieuwing), die plannen uitvoeren en tot slot het meten van het effect en eventueel bijsturen. 

Lifecyclemanagement bestaat uit 5 stappen die samen ervoor zorgen dat de risico’s van veroudering van IT-landschap worden beheerst, zodat taken en processen van het ministerie duurzaam worden ondersteund door de IT-systemen.

Goed ingericht en planmatig uitgevoerd onderhoud van de IT-systemen maakt dat IT inzetbaar is en blijft. Daarmee draagt onderhoud bij aan de continuïteit van de dienstverlening van de overheid. Het risico dat niet-functionerende IT-systemen de dienstverlening aan burgers en bedrijven verstoren, wordt namelijk kleiner door tijdig onderhoud uit te voeren. Daarnaast verkleint lifecyclemanagement het risico dat IT-systemen niet wendbaar genoeg zijn om beleidswijzigingen tijdig door te voeren. 

De departementale chief information officer (CIO) is verantwoordelijk voor ‘het ontwikkelen en coördineren van lifecyclemanagement in het hele departement’. De CIO zorgt ervoor dat voor het hele ministerie het planmatige onderhoud van de IT-systemen op orde is. Deze rol van de departementale CIO is opgenomen in het Besluit CIO-stelsel Rijksdienst 2021.  
 

Wet- en regelgeving

Algemene normen voor lifecyclemanagement op het IT-landschap van een ministerie zijn af te leiden uit wet- en regelgeving. Zie bijvoorbeeld de Comptabiliteitswet 2016 (CW2016) waarin de normen rechtmatig, ordelijk en controleerbaar zijn vastgelegd en ook op IT van toepassing zijn. Een nadere uitwerking van de normen voor de processen en verantwoordelijkheden van lifecyclemanagement bij het Rijk is te vinden in regelgeving die de minister van BZK heeft uitgevaardigd. Daarnaast heeft de Algemene Rekenkamer gepubliceerde normen in de vorm van de ‘Essentialia van goed openbaar bestuur’ (december 2005) en zijn in de publicaties van het verantwoordingsonderzoek (VO) normen opgenomen.
Het normenkader voor het onderzoek naar het lifecyclemanagement van het IT-landschap is verder gebaseerd op relevante normen en best practices uit de internationaal geaccepteerde raamwerken COBIT, ITIL en ASL. Deze normen en best practices zijn vervolgens vertaald naar de situatie bij het Rijk. Het normenkader is opgebouwd uit de 5 stappen in het lifecyclemanagementproces, het inzicht in het IT-landschap en de PDCA-cyclus van Deming (Plan, Do, Check , Act). 

Beheersmaatregelen

De volgende 10 generieke beheersmaatregelen in de 5 stappen van lifecyclemanagement toetsen wij in samenhang om de kwaliteit van lifecyclemanagement te beoordelen.

Stap 1: Centraal inzicht in bestaande IT-landschap 

1. Er is inzicht in het bestaande IT-landschap, inclusief de daaraan verbonden risico’s.

Als basis voor lifecyclemanagement moet er inzicht zijn in het gehele IT-landschap van het departement, in het bijzonder de applicaties die de primaire processen ondersteunen. Onderdeel van dit landschap zijn ook de onderlinge verbindingen en koppelingen, afhankelijkheden, eindgebruikers en leveranciers. Ook moet er inzicht zijn in de risico’s die met dat applicatielandschap verbonden zijn, zoals een sterke afhankelijkheid van derden. 

2. Er is inzicht in de status van de applicaties (inclusief levensfase) en de daaraan verbonden risico’s. 

Om lifecyclemanagement in te kunnen richten en de risico’s voor de continuïteit van het primaire proces van het departement te beheersen, moeten deze risico’s bekend zijn. Daarom moet er –per applicatie- inzicht zijn in de status van de applicatie: technische kwaliteit, business waarde en de daaruit af te leiden levensduur en fase in de levenscyclus (actief, verouderd, uitfaseren). Technische kwaliteit hangt samen met bijvoorbeeld de programmeertaal en het platform waarop de applicatie draait en de aanwezigheid van documentatie. Business waarde is een indicatie van het belang van de applicatie voor de primaire processen van de organisatie. Deze informatie over de applicaties moet gestructureerd en over meerdere jaren worden bijgehouden. 

3. Het departement heeft inzicht in de financiële aspecten van de applicaties, en van het IT-landschap als geheel

Om het lifecyclemanagement te kunnen inrichten en een plan te kunnen maken voor het onderhoud,  is inzicht nodig in de financiële aspecten van de applicaties, zoals de beheer- en onderhoudskosten per applicatie, inclusief meerjarige ramingen, in termen van tijd, mensen en middelen, afschrijving.