Autorità per lInformatica nella Pubblica Amministrazione Valutazione del Rischio nella Pubblica Amministrazione Centrale Livio Zoffoli Anno 2000 FORUM P.A. - 7/5/1999

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 2 Argomenti Definizione del settore di intervento Definizione del settore di intervento Progetti di adeguamento Anno 2000 Progetti di adeguamento Anno 2000 Attività dellAIPA per ladeguamento allAnno 2000 Attività dellAIPA per ladeguamento allAnno 2000 Valutazione del rischio Anno 2000 Valutazione del rischio Anno 2000 Identificazione delle criticità Identificazione delle criticità Interpretazione dei risultati ottenuti Interpretazione dei risultati ottenuti Posizionamento complessivo della P.A.rispetto al rischio Anno 2000 Posizionamento complessivo della P.A.rispetto al rischio Anno 2000

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 3 Definizione del settore di Intervento Amministrazioni destinatarie del D.Lgs. 39/93 Dimensioni Tecnologiche Potenza di calcolo4.100Mips Potenza di calcolo4.100Mips Basi dati unità per17.100Gbyte Basi dati unità per17.100Gbyte Posti di lavoro in rete PdL Posti di lavoro in rete PdL Patrimonio applicativo Kloc Patrimonio applicativo Kloc Spesa per linformatica (IVA inclusa) Totale2.800Mld £ Totale2.800Mld £ Sviluppo1.100Mld £ Sviluppo1.100Mld £ Esercizio1.700Mld £ Esercizio1.700Mld £ Fonte Relazione Annuale 1997

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 4 Progetti di Adeguamento Anno 2000 Progetti specifici Amministrazioni interessate21 Amministrazioni interessate21 Progetti per (IVA inclusa)107Mld £, pari al 6% della spesa di esercizio Progetti per (IVA inclusa)107Mld £, pari al 6% della spesa di esercizio Progetti di reingegnerizzazione La scelta più frequente è stata quella di rendere conformi i sistemi mediante reingegnerizzazione o sostituzione di applicazioni esistenti La scelta più frequente è stata quella di rendere conformi i sistemi mediante reingegnerizzazione o sostituzione di applicazioni esistenti Fonte Piano Triennale

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione Progetti di Adeguamento Anno 2000 Dettaglio dei Progetti Specifici

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 6 Attività dellAIPA per lAdeguamento allAnno 2000 Lug-Ott 1998 Prima rilevazione AIPA Prima rilevazione AIPA Nov-Dic 1998 Aggiudicazione gara comunitaria a Gartner Group per la valutazione del rischio Aggiudicazione gara comunitaria a Gartner Group per la valutazione del rischio Avvio progetto, prima fase di valutazione del rischio Avvio progetto, prima fase di valutazione del rischio Gen-Mar 1999 Raccolta delle informazioni necessarie Raccolta delle informazioni necessarie Assistenza alle Amministrazioni Assistenza alle Amministrazioni Apr-Mag 1999 Validazione dei dati e predisposizione dei rapporti Validazione dei dati e predisposizione dei rapporti Presentazione dei risultati Presentazione dei risultati

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione Obiettivi dellindagine Di carattere generale: Censire i sistemi informativi interessati dal problema Censire i sistemi informativi interessati dal problema Valutare limpatto Anno 2000 sui sistemi informativi Valutare limpatto Anno 2000 sui sistemi informativi Valutare il rischio derivante, analizzarne il trend Valutare il rischio derivante, analizzarne il trend Relativi ad ogni Amministrazione: stimare le dimensioni del problema stimare le dimensioni del problema identificare le priorità identificare le priorità stimolare lavvio di progetti di adeguamento stimolare lavvio di progetti di adeguamento stimolare la predisposizione di piani di emergenza stimolare la predisposizione di piani di emergenza monitorare le aree informative identificate prioritarie monitorare le aree informative identificate prioritarie monitorare ladeguamento dei sistemi informativi monitorare ladeguamento dei sistemi informativi

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 8 Fasi dellindagine FASE I - Identificazione del rischio FASE I - Identificazione del rischio Impostazione raccolta dati Impostazione raccolta dati Raccolta dati (maggiore impegno per le Amministrazioni) Raccolta dati (maggiore impegno per le Amministrazioni) Evidenza aree critiche Evidenza aree critiche FASE II - Revisione del rischio Aggiornamento dati raccolti (minore impegno per le Amministrazioni) Aggiornamento dati raccolti (minore impegno per le Amministrazioni) Approfondimenti su aree critiche Approfondimenti su aree critiche FASE III - Conferma del rischio Aggiornamento dati raccolti (minore impegno per le Amministrazioni) Aggiornamento dati raccolti (minore impegno per le Amministrazioni)

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 9 Valutare il Rischio Anno 2000 Livello di Conformità In che misura il fenomeno Anno 2000 può determinare delle disfunzioni allinterno delle Amministrazioni? In che misura il fenomeno Anno 2000 può determinare delle disfunzioni allinterno delle Amministrazioni? Rischio per la Missione In che misura eventuali disfunzioni possono compromettere la capacità delle Amministrazioni di erogare i propri servizi? In che misura eventuali disfunzioni possono compromettere la capacità delle Amministrazioni di erogare i propri servizi? Rischio Organizzativo In che misura le Amministrazioni sono in grado di rimuovere eventuali disfunzioni? In che misura le Amministrazioni sono in grado di rimuovere eventuali disfunzioni?

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 10 Livello di Conformità Mostra lo stato di avanzamento dellAmministrazione rispetto alla risoluzione dei problemi anno 2000 Viene misurato sulla scala COMPARE che va da 0 a 5 0 problematica sconosciuta, nessuna attività di adeguamento, nessuna conformità 1 presa di conoscenza del problema, prima macro pianificazione 2 inventario dei sistemi coinvolti, determinazione del livello di rischio per lAmministrazione 3 comprensione del problema, allocazione delle risorse necessarie (tecniche, umane, finanziarie) 4 sostenibilità operativa, principali sistemi adeguati, rischio ridotto, è garantita la continuità dei servizi 5 tutti i sistemi sono conformi, nessun rischio

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 11 Rischio per la Missione Mostra la situazione di rischio che lAmministrazione ha rispetto alla risoluzione dei problemi anno 2000 Viene misurato su una scala che va da 0 a 5 0nessun inconveniente, rischio minimo 1inconvenienti di tipo minore, completa disponibilità delle funzionalità aziendali 2inconvenienti di tipo limitato, alcune funzioni possono non essere più disponibili 3blocco di alcune unità organizzative dellAmministrazione 4blocco delloperatività dellAmministrazione 5effetti catastrofici sulla operatività dellAmministrazione, interruzione di servizio e gravi interferenze sulloperatività di altre Amministrazioni

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 12 Rischio Organizzativo Valuta la capacità di: rispondere ad adeguamenti di carattere normativo rispondere ad adeguamenti di carattere normativo programmare ladeguamento sul piano organizzativo e finanziario programmare ladeguamento sul piano organizzativo e finanziario individuare i sistemi critici, predisporre piani di progetto individuare i sistemi critici, predisporre piani di progetto estendere lanalisi alle entità esterne coinvolte nella erogazione dei servizi estendere lanalisi alle entità esterne coinvolte nella erogazione dei servizi predisporre piani di emergenza predisporre piani di emergenza Viene misurato su una scala che va da 1 a elevata possibilità di successo, rischio minimo alta possibilità di fallimento, rischio massimo

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 13 Amministrazioni Analizzate Amministrazioni Centrali ed Enti50unità su 60, 83% Unità Organizzative62unità su 74, 84% Alcune delle Amministrazioni di maggiore complessità sono state suddivise in differenti unità organizzative Alcune delle Amministrazioni di maggiore complessità sono state suddivise in differenti unità organizzative

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 14 Amministrazioni non Analizzate 10 Amministrazioni non hanno fornito le informazioni necessarie allanalisi, queste Amministrazioni dovranno essere analizzate nella FASE II Amministrazione Autonoma Monopoli di Stato Amministrazione Autonoma Monopoli di Stato Consiglio di Stato Consiglio di Stato DIA DIA ENAM ENAM INCA INCA IPSEMA IPSEMA Ministero dellIndustria Ministero dellIndustria Ministero del Lavoro e della Previdenza Sociale Ministero del Lavoro e della Previdenza Sociale Ministero dei Trasporti - Aviazione Civile Ministero dei Trasporti - Aviazione Civile UNIRE UNIRE

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione Componenti Analizzate La valutazione del livello di conformità e del business risk è effettuata separatamente per le infrastrutture informatiche le infrastrutture informatiche le applicazioni e procedure le applicazioni e procedure

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 16 Infrastrutture Informatiche Livello di conformità

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 17 Infrastrutture Informatiche Rischio per la Missione

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 18 Rischio per la Missione COMPARE Nessun Rischio Inconvenienti Minori Blocco di alcune funzioni Blocco di unità organizzative Blocco di Servizi Primari Impatto su organizzazioni esterne Totale Totale Area delle Criticità Infrastrutture informatiche Livello COMPARE - Rischio per la Missione Infrastrutture informatiche Livello COMPARE - Rischio per la Missione Conformità dei sistemi Conformità di tutti i sistemi critici Risorse allocate inizio degli interventi Dimensionamento del problema e pianificazione Sensibilizzazione Nessuna sensibilità

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 19 Rischio moderatoRischio medio altoRischio alto Rischio Organizzativo COMPARE Totale Conformità di tutti i sistemi 1 1 Conformità dei sistemi critici Risorse allocate inizio degli interventi Dimensionamento del problema e pianificazione Sensibilizzazione 62 8 Area delle Criticità Infrastrutture informatiche Livello COMPARE - Rischio Organizzativo Infrastrutture informatiche Livello COMPARE - Rischio Organizzativo

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 20 Applicazioni e Procedure Livello di conformità

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 21 Applicazioni e Procedure Rischio per la Missione

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 22 Rischio per la Missione COMPARE Nessun Rischio Inconvenienti Minori Blocco di alcune funzioni Blocco di unità organizzative Blocco di Servizi Primari Impatto su organizzazioni esterne Totale Conformità di tutti i sistemi 1 12 Conformità dei sistemi critici Risorse allocate inizio degli interventi Dimensionamento del problema e pianificazione Sensibilizzazione 3227 Nessuna sensibilità 11 Totale Area delle Criticità Applicazioni e procedure Livello COMPARE - Rischio per la Missione Applicazioni e procedure Livello COMPARE - Rischio per la Missione

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 23 Applicazioni e procedure Livello COMPARE - Rischio organizzativo Applicazioni e procedure Livello COMPARE - Rischio organizzativo

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 24 Sintesi dei Risultati: Livello di Conformità e Rischio per la Missione Infrastrutture Informatiche Applicazioni e Procedure Conformità Rischio per la Missione Conformità = Valore più Frequente La situazione fotografata a marzo 1999 mostra Sufficiente coerenza con i tempi per ladeguamento delle Infrastrutture Informatiche Ritardi evidenti nelladeguamento delle Applicazioni e Procedure Rischio per la Missione

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 25 Interpretazione dei Risultati Forte focalizzazione degli interventi in ambito informatico ed in particolare sulle infrastrutture, conformità accettabile Infrastrutture Informatiche, conformità accettabile 23 Amministrazioni, il 37%, hanno raggiunto la sostenibilità operativa (livello di conformità 4) 23 Amministrazioni, il 37%, hanno raggiunto la sostenibilità operativa (livello di conformità 4) 21 Amministrazioni, il 34%, non hanno avviato la fase di adeguamento (livello di conformità 2) 21 Amministrazioni, il 34%, non hanno avviato la fase di adeguamento (livello di conformità 2), conformità bassa Applicazioni e Procedure, conformità bassa 12 Amministrazioni, il 19% hanno raggiunto la sostenibilità operativa (livello di conformità 4) 12 Amministrazioni, il 19% hanno raggiunto la sostenibilità operativa (livello di conformità 4) 29 Amministrazioni, il 47% non hanno avviato la fase di adeguamento (livello di conformità 2) 29 Amministrazioni, il 47% non hanno avviato la fase di adeguamento (livello di conformità 2)

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 26 Interpretazione dei Risultati Livello di Rischio per la Missione limitato esiste la possibilità di problemi circoscritti esiste la possibilità di problemi circoscritti si esclude la possibilità di blocco completo dei servizi si esclude la possibilità di blocco completo dei servizi le tecnologie informatiche non giocano un ruolo tale da pregiudicarne loperatività in caso di disfunzione le tecnologie informatiche non giocano un ruolo tale da pregiudicarne loperatività in caso di disfunzione se la disfunzione dovesse manifestarsi è possibile erogare i servizi con procedimenti manuali/alternativi se la disfunzione dovesse manifestarsi è possibile erogare i servizi con procedimenti manuali/alternativi, rischio limitato Infrastrutture Informatiche, rischio limitato 53 Amministrazioni, l 85%, presentano un rischio limitato (Rischio per la Missione 2) 53 Amministrazioni, l 85%, presentano un rischio limitato (Rischio per la Missione 2), rischio limitato Applicazioni e Procedure, rischio limitato 42 Amministrazioni, il 68%, presentano un rischio limitato (Rischio per la Missione 2) 42 Amministrazioni, il 68%, presentano un rischio limitato (Rischio per la Missione 2)

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 27 Sintesi dei Risultati: Rischio Organizzativo Minimo Rischio Minimo Rischio Massimo Rischio Massimo Rischio

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 28 Interpretazione dei Risultati Rischio Organizzativo Accentuato 50 Amministrazioni, il 75%, dovrebbero rivedere e migliorare le modalità di gestione degli adeguamenti 50 Amministrazioni, il 75%, dovrebbero rivedere e migliorare le modalità di gestione degli adeguamenti Le tematiche su cui migliorare sono sensibilizzazione al rischio sensibilizzazione al rischio programmazione degli interventi di adeguamento programmazione degli interventi di adeguamento identificazione dei sistemi critici identificazione dei sistemi critici pianificazione dei progetti di adeguamento pianificazione dei progetti di adeguamento governo dei progetti di adeguamento governo dei progetti di adeguamento piani di emergenza piani di emergenza gestione delle entità esterne coinvolte nellerogazione di servizi gestione delle entità esterne coinvolte nellerogazione di servizi

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 29 Posizionamento rispetto al Rischio Anno 2000

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 30 Posizionamento rispetto ad altre Nazioni Livello di Conformità

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 31 Posizionamento rispetto ad altri settori Livello di Conformità

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 32 Interpretazione del Posizionamento Comportamenti estremamente differenziati a seconda della dimensione dellAmministrazione Il basso livello di informatizzazione di alcune delle Amministrazioni, generalmente le più piccole, diminuisce la probabilità di gravi disfunzioni rispetto ad altri settori e nazioni Il basso livello di informatizzazione di alcune delle Amministrazioni, generalmente le più piccole, diminuisce la probabilità di gravi disfunzioni rispetto ad altri settori e nazioni Il posizionamento, solo rispetto alla componente informatica, del 54% delle Amministrazioni è coerente con quello dei settori bancario, assicurativo, e degli USA è coerente con quello dei settori bancario, assicurativo, e degli USA è migliore della media mondiale delle Amministrazioni e dei paesi in via di sviluppo è migliore della media mondiale delle Amministrazioni e dei paesi in via di sviluppo

Autorità per lInformatica nella Pubblica Amministrazione Autorità per lInformatica nella Pubblica Amministrazione 33 Completamento del Progetto Aprile - Giugno Avvio II fase, aggiornamento informazioni Avvio II fase, aggiornamento informazioni validazione dati, assistenza Amministrazioni validazione dati, assistenza Amministrazioni predisposizione rapporti II fase predisposizione rapporti II faseLuglio Presentazione risultati II fase Presentazione risultati II fase Avvio III fase, aggiornamento informazioni Avvio III fase, aggiornamento informazioni Agosto - Ottobre validazione dati, assistenza Amministrazioni validazione dati, assistenza Amministrazioni predisposizione rapporti III fase predisposizione rapporti III faseNovembre Presentazione risultati III fase Presentazione risultati III fase