Vurderte 39 sårbarhetsmomenter – likevel havarerte IKT-avtalen

I januar i fjor satt oppdragsgiver med det beste inntrykk av IKT-leverandøren, åtte måneder senere ble kontrakten hevet. Da var det blitt så mange forsinkelser og vesentlige avvik at man ikke kunne holde på lenger. Leverandøren har erkjent at det hele var hans ansvar. Oppdragsgiveren gjorde risikovurderinger av en rekke forhold underveis i anskaffelsen – den siste få uker før kontraktstildelingen. Da ble hele 39 sårbarhetsmomenter vurdert. Nei, IKT-anskaffelser er ikke enkelt, spør Digitale Gardermoen.

Romerike Revisjon IKS har lagt frem sin revisjonsrapport, «Digitale Gardermoen (DGI) Inngåelse og oppsigelse av kontrakt om ny leveranseplattform». Det er historien om kontrakten som DGI inngikk med Tieto i januar 2017, men som ble sagt opp i september samme år. DGI er et interkommunalt IKT-samarbeid mellom kommunene Ullensaker, Nes, Eidsvoll, Nannestad, Hurdal og Gjerdrum.

Anskaffelsen ble gjennomført som en såkalt «innovativ anskaffelse», bl.a. med bistand fra Nasjonalt program for leverandørutvikling. Tieto gav det mest økonomiske fordelaktige tilbudet basert på tildelingskriteriene. Ifølge administrasjonen i DGI ga selskapet også ellers et meget godt inntrykk og kunne vise til en god forståelse av oppdraget. Etter DGIs vurdering la Tieto også til grunn en ambisiøs, men god prosjektplan, heter det i revisjonsrapporten.

Forsinkelser og heving

Allerede i februar/mars ble det kjent at Tieto var noe forsinket i forhold til fremdriftsplan, men DGI fikk forsikringer om at problemene ville bli løst. I april ble det klart at Tieto ble mer og mer liggende etter i forhold til plan. Igjen fikk DGI forsikringer. Bekymringen i DGI over mangelfull fremdrift økte utover våren og forsommeren. DGI henvendte seg nå til konsernledelsen i Tieto. I møte med konsernledelsen i juni 2017 ble det fra DGIs side pekt på brudd på avtalen og at heving av kontrakt kunne bli en mulighet. Kontrakten fastsatte en rekke hovedmilepæler som nå viste seg å være overskredet.

Det viste seg etter hvert at avvikene ble vesentlige. På ekstraordinært styremøte 27. juni ble det besluttet å be Tieto om en ny fremdriftsplan, samtidig som konsekvensene av å heve avtalen skulle vurderes. Revidert fremdriftsplan forelå i august. Ledelsen i DGI ble ikke beroliget av de tiltakene som var skissert. Basert på en helhetlig vurdering hadde ikke DGI lenger tillitt til leveransene fra Tieto. Det ble ikke vurdert som aktuelt å be om ytterligere tiltak og forsikringer fra Tietos side. Den klare anbefalingen fra administrasjonen i DGI var å heve kontrakten.

Tieto må ta hele ansvaret

Det er daværende direktørs oppfatning at Tieto må ta hele ansvaret for manglende fremdrift og oppfyllelse av kontrakten, skriver revisjonen. Han viser også til at Tieto ikke har bestridt dette. Kontrakten var tydelig mht. fremdrift og milepæler, og kontraktsavvikene var følgelig udiskutable, noe også Tieto erkjente. Ifølge daværende direktør har prosessen med å avvikle kontrakten vært ryddig fra Tietos side. Det er inngått avtale om forlik der Tieto betaler en erstatning på 19,5 mill.

Undersøkelsen som revisjonen har gjort, viser at det ble gjennomført, og dokumentert, risikovurderinger av en rekke forhold i flere faser av anskaffelsesprosessen. Den siste risiko- og sårbarhetsanalysen kom i desember 2016. Her vurderes elementene tid, kostnad, kvalitet, scope, brukertilfredshet, drift, konfidensialitet, integritet, og tilgjengelighet. Til sammen er 39 sårbarhetsmomenter vurdert innenfor disse kategoriene.

Etter at avtalen med Tieto ble sagt opp gjorde administrasjonen i DGI en egenevaluering av prosessen frem mot kontraktsinngåelsen. Det ble konkludert med at forbedringspotensialet som ble identifisert, bare indirekte og med liten sannsynlighet ville ha bidratt til å tydeliggjøre overfor DGI at Tieto ikke ville evne å oppfylle kontrakten.