Het Adviescollege ICT-toetsing (AcICT) verwacht dat de Sociale Verzekeringsbank (SVB) weinig vruchten plukt van het project Sourcing IT-infrastructuur SVB als de huidige aanpak niet verandert. De SVB heeft grote ambities met het project, maar de resultaten zullen ondermaats blijven.
Te weinig grip
De kritiek van het AcICT is dat de SVB onvoldoende aantoonbaar grip heeft op de concentratierisico’s bij de keuze voor één leverancier voor de gehele it-infrastructuur. Tot die risico’s behoren vendor lock-in, onderbreking van de dienstverlening, verlies van eigen kennis en gebrek aan marktwerking. Te veel wordt de SVB afhankelijk van één leverancier.
Een analyse van de eerdere ontstane situatie met één leverancier ontbreekt. Als gevolg van de eerdere financiële problemen bij Atos heeft de SVB onderzocht hoe ze de continuïteit van de dienstverlening kan borgen als de leverancier van de it-infrastructuur wegvalt. Een overzicht van genomen maatregelen, geleerde lessen en geaccepteerde restrisico’s ontbreekt echter.
Geen goed toekomstbeeld
De SVB wil straks een contract afsluiten voor alle infrastructuur-dienstverlening. Nu gebruikt deze instelling diverse applicaties die grotendeels op de it-infrastructuur van een externe leverancier draaien. Slechts een beperkt deel draait op eigen infrastructuur. Omdat de grenzen van het contract met de huidige leverancier zijn bereikt, wil de SVB een nieuwe overeenkomst aangaan.
Behalve te weinig grip heeft de SVB ook geen goed toekomstbeeld van het ict-landschap. Zo ontbreekt een beeld van de toekomstige positie van het mainframe in het landschap of van de grenzen aan het gebruik van de publieke cloud. Door het gebrek aan een toekomstvisie loopt de SVB het risico dat de uitkomst van het project en de erop volgende transformatie onnodig breed, complex en duur worden, aldus het rapport van de ict-waakhond.
Doelarchitectuur ontbreekt
Het Adviescollege mist een ‘gezamenlijk kompas’ in de vorm van een doelarchitectuur. De SVB loopt het risico dat de gekozen infrastructuur niet aansluit op toekomstige ambities, bijvoorbeeld voor het gebruik van de cloud, datadeling of digitalisering van diensten. Ook bestaat kans dat ze later gaat betalen voor capaciteit of diensten die ze niet nodig heeft of juist moet bijschalen tegen ongunstige voorwaarden.
Het is niet duidelijk op welke wijze de ambities wendbaarheid en eenvoud verenigd moeten worden. Het project is daardoor gedwongen alle opties open te houden: de infrastructuur moet zich kunnen aanpassen aan de behoeften van het applicatielandschap. Tegelijkertijd is er een SVB IV-brede wens tot vereenvoudiging: de ambitie is om minder platformen te gebruiken en een versimpeling in het infrastructurele landschap aan te brengen.
Geen actueel beeld
De SVB heeft ook geen integraal en actueel beeld van de wijze waarop de applicaties zich de komende jaren ontwikkelen. Hierdoor ontbreekt inzicht in toekomstige functionele en technische mogelijkheden en de eisen die deze ontwikkelingen stellen aan de onderliggende infrastructuur. Als gevolg hiervan wordt de inrichting van de infrastructuur in belangrijke mate bepaald door de it-organisatie en haar leverancier.
Het AcICT waarschuwt ook dat de leverancier straks gaat dicteren wat er gaat gebeuren en dat diens belang de overhand krijgt. Want de SVB heeft nog niet de voorwaarden gerealiseerd om de infrastructuur in de juiste richting te ontwikkelen en de toekomstige leverancier aan te sturen. De instelling stelt zich afwachtend op en geeft het initiatief uit handen om de gewenste vernieuwing vorm te geven.
Het zou juist de SVB moeten zijn die bepaalt wat de doelen en voorwaarden van de transitie zijn, aldus het Adviescollege. De businesscase van SVB is niet bruikbaar als sturingsmiddel. Een heldere probleemdefinitie en uitgewerkte scenario’s ontbreken. Zo heeft het AcICT een hele waslijst aan gebreken en onvolkomenheden opgesteld.
Adviezen
Als het zo doorgaat, stevent het project af op een infrastructurele dienstverlening die vergelijkbaar is met de huidige situatie, maar wel in de vorm van een nieuw en potentieel duurder contract dat niet voldoet aan de gestelde ambities.
Het Adviescollege raadt aan om vóór de dialoogfase van de aanbesteding tijd te nemen om stevige en inhoudelijke sturing in te richten. Start met het systematisch beheersen van de concentratierisico’s, zo luidt het advies. En zorg voor een gedeeld beeld van het toekomstig ict-landschap. En – last but not least – breng de regie op de uitbesteding op orde.
Zijn deze conclusies niet generiek voor driekwart van de overheid, als we teruggaan naar de aanleiding voor het instellen van het Adviescollege ICT-toetsing?
Met teruggaan doel ik op de parlementaire commissie die werd ingesteld naar aanleiding van een structurele faalindustrie. Een systemische cultuur van verkokerde legacy-landschappen, organisatorische silo’s en het ontbreken van integrale sturing zorgde voor grote verwachtingen en slecht resultaten.
En het adviescollege lijkt inmiddels onderdeel te zijn geworden van het ritueel want problemen worden correct geconstateerd, maar niet opgelost. Het stapelen van regielagen vergroot de afstand tot het vak en leidt tot een steeds schever salarishuis, zonder aantoonbare verbetering van architectuurkwaliteit of uitvoerbaarheid.
Een advies is geen besluit, en het constateren van een tekortkoming creëert nog geen eigenaarschap om die tekortkoming daadwerkelijk op te lossen. Daarmee is het relatief veilig om vanaf de zijlijn te analyseren.
Het nemen van echte verantwoordelijkheid is in een bestuurscultuur die primair op afrekening is ingericht aantoonbaar risicovol. Dat verklaart waarom diagnose wordt geïnstitutionaliseerd, maar besluitvorming wordt vermeden.