Rz: W ostatnim czasie ZUS mocno tnie koszty w obszarze IT. Niedawno informowaliście o oszczędnościach rzędu 17 mln zł z uwagi na zmianę warunków w obszarze tzw. platformy mainframe – czy niższa cena nie wiąże się z gorszą jakością i mniejszym zakresem świadczonych przez zleceniobiorcę usług?

Uzyskane oszczędności wynikają z optymalizacji, między innymi z dokładnego ustalenia konkurencji oraz rzeczywistej rynkowej wartości zamówienia – niezależnie od informacji cenowych przekazywanych przez producenta i jego partnerów. Warto podkreślić, że po raz pierwszy przy tej usłudze przeprowadziliśmy konkurencyjne i otwarte postępowanie. Już ten fakt w sposób oczywisty wpływa na dyscyplinę finansową oferentów, ponieważ dotychczas zamówienie to było udzielane jednemu podmiotowi w trybie z wolnej ręki. A jakość usług? Nie tylko nie zmalała, ale wzrosła, ponieważ zwiększono zakres usług i odpowiedzialność wykonawcy w stosunku do wcześniej zawieranych umów w tym samym obszarze.

Czy jest jeszcze przestrzeń do dalszej optymalizacji kosztowej w IT w ZUS? Jeśli tak, to w jakim obszarze?

W skali tak rozległej infrastruktury informatycznej, jaką dysponuje Zakład, optymalizacja powinna mieć charakter stały. Dostrzegamy dalszy potencjał optymalizacji praktycznie w każdym sektorze rozwiązań z uwagi na dynamikę i rozwój rynku dla danej technologii czy też usługi. Należy jednak pamiętać, że optymalizacja mają swoje granice, których nie należy przekraczać, aby nie spowodować zagrożenia dla ciągłości i prawidłowości działania systemów informatycznych. Dlatego w pierwszej kolejności dbamy o bezpieczeństwo i terminową realizację powierzonych projektów legislacyjnych.

Ostatnio o informatyzacji ZUS najwięcej mówi się o kontekście umowy na utrzymanie kompleksowego systemu informatycznego (KSI), która po wielu latach przeszła z rąk Asseco Poland (firma była też twórcą tego systemu) do krakowskiego Comarchu. Jak radzi on sobie z przejmowaniem zadań? Nie macie obaw, że wypłata emerytur może być zagrożona?

Wypłata emerytur nie jest zagrożona. Nie pojawiło się również ryzyko o charakterze krytycznym. KSI pracuje w trybie całodobowym, przez siedem dni w tygodniu. Z tego powodu jakakolwiek dysfunkcjonalność zostałaby natychmiast dostrzeżona.

1 października Comarch rozpoczyna świadczenie pierwszej usługi utrzymaniowej w obszarze monitorowania kapitału początkowego. Dopiero od tego momentu będziemy mogli ocenić realną współpracę na gruncie usługi utrzymania, natomiast dotychczasowa przebiega w dobrej atmosferze.

Czysto hipotetycznie: co by się stało, gdyby Comarchowi nie udało się przejąć na czas wszystkich usług? Czy jest opcja wydłużenia czasu, czy też w grę wchodziłoby od razu rozwiązanie umowy, co zapewne wiązałoby się z potężnymi karami finansowymi?

Umowa z firmą Asseco wygasa 1 marca 2019 roku, więc przed tym dniem powinno nastąpić przejęcie wszystkich usług przez Comarch.

Ze względów bezpieczeństwa niezbędny jest bufor czasowy pomiędzy przejęciem wszystkich usług przez Comarch a zakończeniem umowy z Asseco. Obecnie harmonogram zakłada przejęcie ostatnich usług przez Comarch 1 lutego 2019 roku, jednak finalizujemy ustalenia w tym zakresie i wskazana data może ulec niewielkiej zmianie.

Wracając jeszcze do pytania: a co gdyby się nie udało?

W rejestrze ryzyk oczywiście znajduje się scenariusz niepowodzenia przejęcia wszystkich usług w zakładanym czasie. Na tę okoliczność mamy scenariusze, które będą realizowane w zależności od oceny przebiegu współpracy z firmą Comarch oraz stanu wiedzy i zaawansowania naszego partnera. Priorytetem jest bezpieczeństwo KSI – zarówno w wymiarze bezawaryjności, jak i prawidłowości oraz terminowości przetwarzania danych.

Relacje pomiędzy Comarchem i Asseco są napięte, firmy spierają się w sądzie. Jak należy postrzegać rolę ZUS w tym całym procesie – jesteście rozjemcą? Koordynatorem?

Zakład występuje w roli zamawiającego, który jednocześnie koordynuje skomplikowany i wielowymiarowy proces przejęcia usługi utrzymania największego systemu informatycznego w naszym kraju. Z tego względu odpowiadamy także za zarządzanie bieżącymi i potencjalnie przyszłymi ryzykami. Wspomniany przez panią spór cywilno-prawny znajdywał się w rejestrze zakładanych przez nas ryzyk. Dlatego nie stanowi on ponadprzeciętnego zagrożenia.

Złożone oferty w ostatnim przetargu na utrzymanie KSI były zdecydowanie niższe od ostatniej umowy – średnio aż o ponad połowę. Z czego to wynika: czy to efekt zmiany zakresu usług czy też na poprzednich umowach Asseco inkasowało wyższe profity w stosunku do ponoszonych kosztów?

Sytuacja była podobnie jak przy usługach ciągłości działania i administracji środowiskiem Mainframe – po raz pierwszy stworzyliśmy realną konkurencyjność, czego efektem było wpłynięcie kilku ofert. Konkurencja w sposób naturalny rewitalizuje politykę cenową wszystkich partnerów. Ten przypadek nie był wyjątkiem.

Obecny system informatyczny ZUS ma już ponad 20 lat. W planach jest budowa nowego, KSI 2.0. Niedawno informowaliście, że dopuszczone do starań o to zlecenie będą Asseco i Comarch, które mają też umowę na rozwój obecnego systemu. Analitycy chwalą wybór tych dwóch firm, ale pojawiają się też głosy, że może warto by dopuścić do rywalizacji o ten kontrakt również podmioty zagraniczne. To nie było rozważane?

Postępowanie KSI 2 realizujemy w ramach umowy ramowej na usługę rozwoju systemu – to standardowe postępowanie, powszechne także na rynku komercyjnym. Wyłonienie wykonawców umowy rozwojowej przeprowadziliśmy w formule transparentnego przetargu nieograniczonego. Tak więc każdy podmiot – również z zagranicy – miał możliwość złożenia swojej oferty. Złożyły ją natomiast jedynie dwie polskie firmy: Asseco i Comarch.

KSI jest największym systemem informatycznym w Polsce. Czy do tej pory zdarzyły mu się jakieś poważne awarie, a jeśli tak, to jak długo trwały i czego można się spodziewać w przyszłości?

KSI – podobnie do innych systemów tej skali – miewał drobne i krótkotrwałe awarie wynikające z różnych względów technologicznych. Nie było natomiast awarii spowodowanych atakiem, co nie oznacza jednak, że system uznajemy za bezpieczny.

Jaki jest scenariusz reakcji na cyberzagrożenia w ZUS? Jeden z moich rozmówców powiedział kiedyś, że kwestia wejścia do każdego systemu informatycznego przez hakera to nie jest zagadnienie typu uda się/nie uda się, ale ile czasu to zajmie...

Z natury i istoty systemów informatycznych nie można ich uznać za bezpieczne. Do zagadnienia bezpieczeństwa podchodzimy z należną powagą – szczególnie w kraju tak utalentowanych specjalistów, weryfikujących zabezpieczenia systemów informatycznych.

Obecnie pion bezpieczeństwa Zakładu – pozostający poza strukturą IT – realizuje projekt systemu monitorowania bezpieczeństwa środowiska teleinformatycznego. Jego celem jest zwiększenie bezpieczeństwa systemów ZUS. W najbliższych miesiącach spodziewamy się ogłoszenia zamówienia w formule ograniczonej. Pion bezpieczeństwa odpowiada także za identyfikację i zarządzanie incydentami bezpieczeństwa, w tym bezpieczeństwa teleinformatycznego.

Krzysztof Dyki od czerwca 2017 r. zasiada w zarządzie Zakładu Ubezpieczeń Społecznych. Odpowiada za pion IT. Specjalizuje się w inżynierii oprogramowania, analizie umów i zamówień informatycznych oraz w zagadnieniach związanych z cyberbezpieczeństwem.