ZUCH - a w nim bezruch

Funkcjonowanie systemu Zapewnienia Usług Chmurowych w ramach Wspólnej Infrastruktury Informatycznej Państwa

Zarejestrowani użytkownicy nie zawarli żadnej umowy na usługi chmurowe. Operator nie zagwarantował bezpieczeństwa oferowanych usług, a użytkownikom ZUCH nie zapewnił bieżącego wsparcia w przyjmowaniu zgłoszeń i rozwiązaniu problemów technicznych. Minister nierzetelnie wywiązywał się z funkcji operatora Systemu.

System Zapewnienia Usług Chmurowych (dalej: ZUCH lub System) wdrożony i prowadzony przez Ministra Cyfryzacji w latach 2020–2022 miał:

• służyć oferowaniu i pozyskiwaniu usług chmurowych dla administracji publicznej i dostawców zewnętrznych – nowoczesnych i bezpiecznych rozwiązań informatycznych,
• być rozwiązaniem korzystnym dla użytkowników, przemyślanym pod względem potrzeb administracji, bezpieczeństwa, dostępności i trendów rynkowych,
• zapewnić kupującym w pełni bezpieczny dostęp do wiodących rozwiązań chmurowych w postaci gotowych produktów i usług, a także możliwość ich łatwego zamawiania,
• dzięki swej prostocie wyraźnie zminimalizować przeszkody techniczne i proceduralne związane z zawieraniem umów na świadczenie usług chmurowych.

Na wdrożenie, rozbudowę i utrzymanie Systemu w latach 2020–2022 wydatkowano szacunkowo 3,5 mln zł.

W okresie objętym kontrolą wdrożono pierwszą wersję systemu – w kwietniu 2020 r. oraz drugą (z dodatkowymi funkcjonalnościami) – w maju 2021 r. ZUCH nie spełnił jednak swojej roli.

Świadczy o tym nie tylko niewielka liczba zarejestrowanych w ZUCH użytkowników (156 potencjalnych kupujących), ale i znikoma liczba działań w ZUCH po ich stronie – zaledwie 9 podmiotów podjęło w sumie 12 wyszukiwań, dwa podmioty wygenerowały cztery zapotrzebowania na usługi, a jeden podmiot sformułował dwa zapytania ofertowe.

Nie zawarto żadnej umowy na usługi chmurowe przy udziale Systemu, tymczasem blisko 50% użytkowników deklarowało nabycie w tym samym czasie usług chmurowych poza Systemem.

Nie zagwarantowano w pełni bezpieczeństwa oferowanych usług. Dopuszczono do Systemu i umożliwiono oferowanie usług trzem sprzedającym, którzy nie spełniali wymagań cyberbezpieczeństwa określonych w regulaminie ZUCH (na 26 skontrolowanych dostawców usług chmurowych spośród 40 zarejestrowanych w ZUCH). Tymczasem za pośrednictwem ZUCH miały być oferowane usługi przez zweryfikowanych sprzedających.

Użytkownikom Systemu nie zapewniono bieżącego wsparcia w przyjmowaniu zgłoszeń i rozwiązaniu problemów technicznych. Przykładem może być tu niezałatwienie zgłoszeń – również ponawianych – przez okres kilku lub kilkunastodniowy, a w skrajnym przypadku choćby przez siedem miesięcy.

Nie zapewniono funkcjonowania usługi HelpDesk ani bieżącej obsługi spraw użytkowników. Nieliczni użytkownicy nie otrzymywali szybkiej informacji zwrotnej na temat skutecznego rozwiązania zgłoszonego problemu (niekiedy ponawianego).

Od chwili uruchomienia Systemu nie podejmowano także działań w celu wyjaśnienia i rozwiązania problemów niedokończonych i oczekujących rejestracji do Systemu (wymagających działania użytkownika). W efekcie w ZUCH były 302 niezałatwione rejestracje (na 680 wszystkich w latach 2020–2022).

W okresie objętym kontrolą istniała możliwość przeprowadzenia procedury udzielenia zamówienia do 130 000 zł netto.

Podkreślić należy, iż system został udostępniony użytkownikom, i już od momentu jego udostępnienia powinno zostać zapewnione wsparcie na poziomie pozwalającym osiągnięcie najważniejszego celu w zakresie oferowanych usług, tj. korzystanie z tych usług przez odbiorców w celu zawierania umów.

Brak odpowiedniej reakcji operatora ZUCH na zgłaszane problemy użytkowników nie zapewniał osiągnięcia tego celu obniżając poziom dostępności i jakości świadczonych usług.

Użytkownicy ZUCH i podmioty, które podejmowały próby skorzystania z systemu (np. rejestrując się) ankietowani przez NIK w toku kontroli również wskazywali na brak informacji zwrotnej od operatora Systemu oraz niemożność skutecznego rozwiązania zgłoszonego operatorowi problemu. Zwracali uwagę m.in. na:

• trudności z założeniem konta (brak potwierdzenia ze strony operatora ZUCH),
• zatrzymanie procesu na etapie rejestracji i brak dalszych wskazówek,
• utrudnioną komunikację z operatorami ZUCH,
• brak kompleksowej, przejrzystej informacji dotyczącej funkcjonalności systemu,
• wysoką cenę usług oferowanych w ZUCH w stosunku do cen poza Systemem,
• fakt, iż system ZUCH jest niedopracowany, mało intuicyjny, problematyczny w aspekcie zarządzania zapotrzebowaniem, a usługi oferowane w ZUCH i powiązane z nimi informacje – mało czytelne.

Minister nierzetelnie wywiązywał się z funkcji operatora Systemu – nie monitorował funkcjonalności platformy ZUCH i poszczególnych jej komponentów w sposób zapewniający kompletną i bieżącą wiedzę o jej funkcjonowaniu, w tym o istotnych problemach dotyczących jej utrzymania i użytkowania.

Monitorowanie funkcjonalności wdrożonego już systemu powinny gwarantować narzędzia automatyczne, w tym służące bieżącemu monitorowaniu stopnia zainteresowania dostępnymi usługami, poziomu zadowolenia klientów/interesariuszy, sprawności obsługi błędów i problemów zgłaszanych przez klientów/interesariuszy itp. Narzędzia i działania w tym zakresie (moduł raportowy) planowano dopiero wdrożyć w 2023 r., zatem w okresie objętym kontrolą (lata 2020–2022) monitorowanie funkcjonalności nie było realizowane, choćby manualnie – w sposób możliwy do wykonania przy wykorzystaniu dostępnych operatorowi danych.

Wszelkie dane niezbędne do opracowania istotnych wniosków dla tego monitorowania możliwe były do pozyskania na podstawie analizy m.in. liczby wyszukiwań, złożonych zapotrzebowań, zapytań ofertowych, złożonych ofert i zamówień. Dane te były dostępne dla operatora ZUCH na poziomie posiadanej bazy danych oraz mogły i powinny być wykorzystywane do oceny wykorzystania funkcjonalności systemu, w tym poszczególnych komponentów systemu.

NIK skierował zawiadomienie o naruszeniu dyscypliny finansów publicznych w zakresie niezatwierdzenia w terminie rozliczeń dotacji, na podstawie których finansowano budowę i wdrożenie ZUCH.