Krever svar fra Sykehuspartner om strandet IKT-prosjekt

Torsdag kveld er det styremøte i Sykehuspartner HF, der Infrastrukturmoderniserings-prosjektet er eneste punkt på dagsorden.

Lofthus: - Forventer å få samlet status
Imod, eller Infrastrukturmoderingseringsprogrammet, er et gigaprosjekt som skulle modernisere hele IT-strukturen i Helse Sør ØST RHF. Det ble satt i gang på slutten av 2016, men i mai 2017 satt på vent, etter NRKs avsløringer om at utenlandske IT-arbeidere hadde hatt tilgang på sensitive personopplysninger.

Samtidig fikk også Sykehuspartner i oppdrag å utrede mulige alternativer for infrastrukturmoderniseringen – å gå videre med deler av avtalen, eller å avslutte hele avtalen med leverandøren.

På torsdagens styremøte i Sykehuspartner, som for øvrig er lukket for offentligheten, må Sykehuspartner fortelle hvor man står i saken.

På spørsmål til administrerende direktør i Helse Sør Øst RHF, Cathrine Lofthus, om hva hun har tenkt å gjøre i saken, sier hun at hun nå ber Sykehuspartner HF om å redegjøre for hvor langt de er kommet.

– Sykehuspartner har over noe tid utredet hvordan infrastrukturen i regionen best kan standardiseres og moderniseres. Vi har bedt om at Sykehuspartner nå gir Helse Sør-Øst RHF en samlet status for dette arbeidet.

– Vi forventer å få denne statusen etter at styret i Sykehuspartner har behandlet en sak om dette i sitt møte på torsdag.

– Basert på Sykehuspartners beskrivelse av status, vil Helse Sør-Øst RHF vurdere behovet for videre utredning, sier Lofthus til Dagens Medisin.

Styreleder i Sykehuspartner HF, Morten Thorkildsen, viser til Sykehuspartners tidsplan, som sier at man skal levere en anbefaling om hva man skal gjøre med Imod-prosjektet, til Helse Sør-Øst innen første halvår er gått.

 – Vi har en ambisjon om å holde oss innenfor tidsplanen. Dette er et veldig omfattende arbeid, og det er et stort program. Det er veldig mange deler av det som skal på plass.

Ifølge Thorkildsen har man ennå ikke tatt stilling til om man skal fortsette med hele eller deler av avtalen med leverandøren, eller si opp avtalen.

Verken Helse Sør-Øst eller Sykehuspartner har så langt ikke gitt noen total oversikt over kostnader knyttet til de ulike alternativene.

Men i januar i år hadde partene forhandlet seg frem til at HSØ må betale 280 millioner kroner for den tiden leverandøren DXC har vært inne i bildet, altså fra oktober 2016 og fram til mai 2017, da prosjektet ble stanset og satt på vent.

Det innebærer at dette har kostet Helse Sør-Øst 56 millioner kroner i måneden i perioden.

Disse kostnadene kommer i tillegg til alle andre kostnader som prosjektet har pådratt seg, og som Helse Sør-Øst og Sykehuspartner har, og har hatt:

• Blant annet hadde Sykehuspartner et resultatkrav på 333 millioner i 2017, til dette prosjektet. Les mer om dette her:

• Videre har ni sykehus, som databehandlingsansvarlige, blitt avkrevd bøter for tilsammen 7,2 millioner millioner kroner.
  
• I november opplyste Helse Sør-Østs administrerende direktør, Cathrine Lofthus, at de hadde brukt 52 millioner til å rydde opp etter at skandalen ble avdekket, til såkalte «strakstiltak».

– Har gjort mye på informasjonssikkerhet

Styreleder Morten Thorkildsen viser til at Sykehuspartner har gjort mye i informasjonssikkerhetsarbeidet.

Blant annet har Sykehuspartner styrket evnen til å avdekke sikkerhetstruende aktivitet og uønsket trafikk i systemene ved å gjennom å innføre en analyseplattform i Helse Sør-Øst. I tillegg til å dekke internett-trafikk dekker den i stor grad intern trafikk og endepunkter. Denne vil videreutvikles både i omfang og i analyseevne.

Funksjonalitet som skal oppdage ondsinnet programvare, er installert på alle PC-er i alle helseforetakene. Videre er tilgangskontrollen for brukere og leverandører skjerpet, og internett-tilganger og muligheten for nedlasting av filer er strammet inn.

Omstridt avtale

Det var den amerikanske IT-giganten HPE, nå DXC, som fikk den omstridte avtalen med Helse Sør-Øst: Avtalen fikk massiv kritikk fordi fagfolk og sikkerhetseksperter advarte mot at en outsourcing til utlandet ville være en trussel mot pasientsikkerheten. 

• NRK avdekket at IT-arbeidere fra Asia og Øst-Europa har hatt tilgang til sensitiv pasientinformasjon i Helse Sør-Øst.
  
• Overdragelsen av prosjektet fra Sykehuspartner til DXC, av foretakene omtalt som «den store milepælen», ble i april utsatt på ubestemt tid. 
  
• Denne beslutningen ble tatt den 19. april, drøyt halvannen uke før det skulle skje. Samtidig bestilte foretaket en gransking.
  
• Resultatet av granskningen ble lagt frem i mai, og det eksterne konsulentfirmaet PwC konkluderte med manglende kontroll på de fleste områder.
  
• Skandalen har ført til at Sykehuspartner-styret ble skiftet ut: Administrerende direktør Mariann Hornness sluttet med umiddelbar virkning i juni, og Thomas Bagley gikk av både som teknologidirektør i Helse Sør-Øst og som styreleder i Sykehuspartner HF.
  
• I mai ble Atle Brynestad, konserndirektøren i helse Sør-Øst, umiddelbart fritatt fra alle andre oppgaver, og overtok ansvaret for IT-prosjektet i Helse Sør-Øst.
  
• Datatilsynet konkluderte med lovbrudd. Det er de enkelte sykehusene i Helse Sør-Øst som står ansvarlige for å betale millionbøtene de kan bli pålagt.