PREZES NAJWYśSZEJ IZBY KONTROLI Jacek Jezierski Warszawa, 26 października 2007 r. Skrzynka pocztowa Nr P-14 R/07/007 KGP/41112-1/07 Pan Władysław Stasiak Minister Spraw Wewnętrznych i Administracji WYSTĄPIENIE POKONTROLNE Na podstawie art.2 ust.1 ustawy z dnia 23 grudnia 1994 r. o NajwyŜszej Izbie Kontroli 1 (dalej: ustawa o NIK), NajwyŜsza Izba Kontroli 2 przeprowadziła w Ministerstwie Spraw Wewnętrznych i Administracji 3,. kontrolę funkcjonowania i budowy wybranych rejestrów publicznych - Krajowej Ewidencji Systemów Teleinformatycznych i Rejestrów Publicznych (dalej Krajowa Ewidencja) oraz Centralnego Repozytorium Wzorów Pism w Formie Dokumentów Elektronicznych (dalej Centralnego Repozytorium lub CRD). Badaniem kontrolnym objęto okres od 20 lipca 2005 r. do dnia 7 września 2007 r. W związku z ustaleniami przedstawionymi w protokole kontroli 4, NajwyŜsza Izba Kontroli, stosownie do art. 60, w związku z art. 57 ust. 4 ustawy o NIK, przekazuje Panu Ministrowi niniejsze Wystąpienie. 1 Dz. U. z 2001 r. Nr 85 poz. 937 ze zm. 2 Departament Gospodarki, Skarbu Państwa i Prywatyzacji. 3 Dalej: Ministerstwo lub MSWiA 4 Do dnia podpisania niniejszego wystąpienia protokół nie został podpisany. Protokół został przekazany 11 września 2007 r.
1. NajwyŜsza Izba Kontroli pozytywnie z uchybieniami, ocenia działania Ministra Spraw Wewnętrznych i Administracji, związane z uruchomieniem i funkcjonowaniem Krajowej Ewidencji Systemów Teleinformatycznych i Rejestrów Publicznych oraz Centralnego Repozytorium Wzorów Pism w Formie Dokumentów Elektronicznych, mającymi spełniać rolę efektywnych instrumentów wspomagania zarządzania przy realizacji zadań publicznych. Zarówno zadanie budowy Krajowej Ewidencji sprowadzające się do realizacji obowiązku rejestracji w tej ewidencji przez podmioty realizujące zadania publiczne prowadzonych rejestrów w postaci elektronicznej i uŝywanych systemów teleinformatycznych, jak i wprowadzenia Centralnego Repozytorium wzorów dokumentów urzędowych w postaci elektronicznej, wynikające z ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne 5 zostały przewidziane jako zadania ministra właściwego do spraw informatyzacji 6. 2. NajwyŜsza Izba Kontroli stwierdziła uchybienia w zakresie funkcjonowania oraz budowy systemu teleinformatycznego Krajowej Ewidencji, obejmującej podmioty realizujące zadania publiczne przy pomocy systemów teleinformatycznych lub rejestrów publicznych. 2.1. Zgodnie z 4 rozporządzenia Ministra Nauki Informatyzacji z dnia 29 sierpnia 2005 r. w sprawie sposobu prowadzenia oraz trybu dostarczania i udostępniania danych z Krajowej Ewidencji Systemów Teleinformatycznych i Rejestrów Publicznych 7 minister właściwy do spraw informatyzacji ma obowiązek udostępniania danych z Krajowej Ewidencji na swojej podmiotowej stronie Biuletynu Informacji Publicznej. Dane nie zostały udostępnione na podmiotowej stronie Biuletynu Informacji Publicznej MSWiA, lecz wyłącznie na stronie internetowej Ministerstwa pod adresem https://szwpi.mswia.gov.pl (publikacje Systemu Zarządzania Wiedzą o Przedsięwzięciach Informatycznych w administracji publicznej). W rezultacie dostępność informacji o rejestrach publicznych i systemach teleinformatycznych nie spełnia wymogów prawnych, mimo Ŝe za pośrednictwem uruchomionego portalu moŝliwe jest dokonanie właściwych zgłoszeń do Krajowej Ewidencji. Dane udostępnione w ww. domenie publicznej są w części nieprawidłowe, niepełne oraz zdezaktualizowane. Występują wśród nich zapisy zawierające frazę test, wskazujące na ich próbny charakter, czy błędne daty rozpoczęcia realizacji zadania publicznego, np. 0002/12/31. W terminie ustawowym nie została zgłoszona odmowa jego podpisania ani nie zostały zgłoszone do niego zastrzeŝenia. 5 Dz. U. Nr 64, poz. 565 ze zm. zwana dalej ustawą o informatyzacji. 6 Zadania te od 31 października 2005 r. naleŝą do Ministra Administracji i Spraw Wewnętrznych. 7 Dz. U. Nr 200, poz. 1655. 2
NIK przyjmuje wyjaśnienia 8 pana Dariusza Dagiela Dyrektora Departamentu Informatyzacji MSWiA, Ŝe duŝa ilość zgłoszeń 9, które wpłynęły do Krajowej Ewidencji oraz duŝe ograniczenie kadrowe w procesie wprowadzania i weryfikacji zgłaszanych wniosków, a takŝe powierzenie części zadań praktykantom mogły spowodować, Ŝe część danych wprowadzonych do Krajowej Ewidencji nie została poprawnie zweryfikowana. Izba zwraca jednak uwagę, Ŝe w takich okolicznościach celowe było wprowadzenie dodatkowych mechanizmów kontrolnych, w celu weryfikacji wprowadzanych informacji. 2.2. Dotyczący całego kraju system teleinformatyczny Krajowej Ewidencji nie zawiera mechanizmów udostępniania informacji tam zawartych, które umoŝliwiałyby dynamiczne przeszukiwanie danych z bazy danych, np. przez ograniczenie wykazu systemów teleinformatycznych lub rejestrów publicznych na poziomie wybranego podmiotu do zakresu niezbędnego do realizacji jego zadań publicznych. W rezultacie, w ocenie NIK, nie został wypełniony nakaz ustawowy dotyczący wprowadzenia zbiorczych wykazów rejestrów publicznych i systemów teleinformatycznych dla poszczególnych podmiotów, gromadzonych i udostępnianych z Krajowej Ewidencji, o których mowa w art. 19 ust. 3 ustawy o informatyzacji, co powoduje rozproszenie zgromadzonych informacji o rejestrach publicznych czy systemach teleinformatycznych danego podmiotu wśród tysięcy innych podobnych informacji umieszczonych w tej ewidencji. Przyczyną było nie umieszczenie tego wymagania w Specyfikacji Istotnych Warunków Zamówienia przez przygotowujące zamówienie b. Ministerstwo Nauki i Informatyzacji. Trzeba natomiast zauwaŝyć, Ŝe zbiorczy wykaz prowadzonych ewidencji na poziomie kaŝdego podmiotu realizującego zadania publiczne powinien być dostępny w Biuletynie Informacji Publicznej danego podmiotu. Ponadto NajwyŜsza Izba Kontroli zwraca uwagę na niespójność regulacji prawnych w zakresie gromadzenia danych w Krajowej Ewidencji dotyczących rejestrów publicznych. Podmioty publiczne są zobowiązane do przesyłania do Krajowej Ewidencji informacji, o tym, które z gromadzonych w prowadzonym przez nie rejestrze publicznym danych podlegają ochronie jako informacje niejawne lub inne tajemnice ustawowo chronione (art. 20 ust. 1 pkt 6 w zw. z art. 19 ust. 4). Natomiast te dane nie są umieszczone w wykazie danych, które minister właściwy do spraw informatyzacji, jako prowadzący Krajową Ewidencję, moŝe udostępniać i gromadzić (art. 19 ust. 3 pkt 2). W ocenie NIK, skoro art. 20 ust. 1 ustawy obliguje podmiot publiczny do zgłoszenia danych wymienionych w pkt 1-6, w tym informacji o danych ustawowo chronionych, to ustawa powinna zezwalać na gromadzenie przez 8 Wyjaśnienia z 4 września 2007 r. 9 Do Krajowej Ewidencji zgłoszonych jest 1644 podmioty (stan na 27 sierpnia 2007 r.) 3
prowadzącego Krajową Ewidencję całego zakresu danych, a ograniczenie powinno dotyczyć jedynie ich udostępniania. Niespójność ta nie występuje w zakresie gromadzonych danych o systemach teleinformatycznych (art. 19 ust. 3 pkt 1 w zw. z art. 20 ust. 2). 2.3. Krajowa Ewidencja została uruchomiona w domenie publicznej 26 maja 2006 r., z dziesięciomiesięcznym opóźnieniem w stosunku do terminu wejścia w Ŝycie przepisów art.19 i 20 ustawy o informatyzacji dla nowych systemów teleinformatycznych (20 lipca 2005 r.). Na opóźnieniu istotnie zawaŝył fakt, Ŝe postępowanie o zamówienie publiczne na budowę Systemu Zarządzania Wiedzą o Przedsięwzięciach Informatycznych w administracji publicznej, dot. funkcjonowania systemu teleinformatycznego Krajowej Ewidencji, zostało przygotowane w byłym Ministerstwie Nauki i Informatyzacji. Przeprowadzono je natomiast w MSWiA, po przejęciu zadań w dziedzinie informatyzacji od tego Ministerstwa z dniem 31 października 2005 r. 2.4. Krajowa Ewidencja nie zawiera niektórych istniejących rejestrów publicznych i systemów teleinformatycznych. Przykładowo nie został zgłoszony rejestr PESEL czy systemy uŝywane w Ministerstwie Gospodarki. Departament Informatyzacji nie prowadzi analizy wywiązywania się z obowiązku zgłaszania rejestrów publicznych i systemów teleinformatycznych do Krajowej Ewidencji. Jak wyjaśnił 10 Dyrektor Departamentu Informatyzacji MSWiA, obecnie nie jest wyznaczony organ administracji publicznej, który powinien nadzorować obowiązek przekazywania dokumentów do Krajowej Ewidencji. Zdaniem NIK, zadanie to naleŝy do ministra właściwego do spraw informatyzacji stosownie do art. 12a ustawy z dnia 4 września 1997 r. o działach administracji rządowej 11 i art. 34a ustawy z dnia 8 sierpnia 1996 r. o Radzie Ministrów 12. W ocenie NIK, gdyby przyjąć, Ŝe kompetencje te nie są zastrzeŝone dla ministra do spraw informatyzacji, to na podstawie art. 6 ustawy o działach administracji rządowej naleŝałoby je przypisać ministrowi właściwemu do spraw administracji publicznej, jako temu, który odpowiada za całość zadań administracji publicznej, gdy jakiś zakres spraw nie jest zastrzeŝony dla innego organu. 3. NajwyŜsza Izba Kontroli stwierdziła równieŝ uchybienia w działaniach MSWiA przy budowie oraz funkcjonowaniu Centralnego Repozytorium, prowadzonego na podstawie ustawy o informatyzacji, Kodeksu postępowania administracyjnego i rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 27 listopada 2006 r. w sprawie sporządzania i 10 Wyjaśnienia z 31 sierpnia 2007 r. 11 Dz. U. z 2007 r. Nr 65, poz. 437 ze zm. 12 Dz. U. z 2003 r. Nr 24 poz. 199 tekst jednolity ze zmianami 4
doręczania pism w formie dokumentów elektronicznych 13. Zadania te związane są z upowszechnianiem i nadaniem prawnego znaczenia środkom komunikacji elektronicznej, w celu umoŝliwienia indywidualnego porozumiewania się na odległość między obywatelami, przedsiębiorcami i urzędami administracji publicznej przy wykorzystaniu transmisji danych systemów teleinformatycznych, a w szczególności przy uŝyciu poczty elektronicznej. 3.1. Centralne Repozytorium prowadzone jest od 12 czerwca 2007 r. wyłącznie na podstawie ustnego porozumienia pomiędzy Panem Grzegorzem Bliźniakiem - podsekretarzem stanu, a działającym w imieniu Urzędu Miejskiego w Łodzi Panem Janem Maciejem Czajkowskim Dyrektorem Biura Informatyki, bez formalnego uregulowania wykonywania tego zadania. Zgodnie z art. 45 ustawy z dnia 13 listopada 2003 r. o dochodach jednostek samorządu terytorialnego 14 jednostka samorządu terytorialnego realizująca zadania z zakresu administracji rządowej na mocy porozumienia, otrzymuje od tych organów dotacje celowe w kwocie wynikającej z zawartego porozumienia. Wobec braku podpisania porozumienia w tej sprawie, nie jest określona wysokość dotacji oraz prawa i obowiązki obu stron. Nie wiadomo teŝ czy Urząd Miasta wykonuje powierzone zadanie w imieniu własnym czy w imieniu organu powierzającego. NIK nie podziela zdania Dyrektora Departamentu Informatyzacji MSWiA, Ŝe CRD prowadzona jest na podstawie porozumienia nr 9 zawartego w dniu 1 października 2004 r. pomiędzy Ministrem Nauki i Informatyzacji a Gminą Łódź. Jak przyznaje Pan Dyrektor Porozumienie zostało zawarte i zakończone przed powstaniem obowiązku budowy CRD. Nie zmienia oceny tego faktu przekonanie Pana Dyrektora, Ŝe w czasie podpisywania porozumienia było wiadomo, iŝ realizacja porozumienia będzie obejmowała równieŝ pilotowe uruchomienie repozytorium dokumentów. 3.2. Do dnia zakończenia kontroli do Centralnego Repozytorium nie został zgłoszony ani jeden formularz lub wzór dokumentu w postaci elektronicznej, pomimo, Ŝe wzory takie i formularze są uŝywane. Na stronie internetowej CRD umieszczony jest opis zgłoszenia wzoru, natomiast sam wzór nie jest w nim umieszczony. Ministerstwo Finansów udostępniło wzory dokumentów przyjmowanych drogą elektroniczną w ramach projektu e-deklaracje, ale ich nie zgłosiło. Jak wyjaśnił Pan Dariusz Dagiel 15 nadzór nad przekazywaniem wzorów dokumentów w postaci elektronicznej do CRD jest poza kompetencjami Departamentu Informatyzacji MSWiA, a Ŝaden inny organ administracji publicznej nie został do tego wskazany. Zdaniem 13 Dz. U. Nr 227, poz. 1664, weszło w Ŝycie z dniem 12 czerwca 2007 r. 14 Dz. U. Nr 203, poz. 1966 ze zm. 15 Wyjaśnienia z 31 sierpnia 2007 r. 5
NIK, zadanie to naleŝy do ministra właściwego do spraw informatyzacji stosownie do art. 12a ustawy z dnia 4 września 1997 r. o działach administracji rządowej i art. 34a ustawy z dnia 8 sierpnia 1996 r. o Radzie Ministrów. 3.3. Centralne Repozytorium zostało uruchomione z dniem 12 czerwca 2007 r. Na przedmiotowej stronie pod adresem www.crd.mswia.gov.pl dostępny jest moduł wyszukiwania wzorów dokumentów w formie elektronicznej zgromadzonych w CRD według róŝnych kryteriów. Uruchomienie operacji wyszukiwania wzorów dokumentów w formie elektronicznej zgromadzonych w CRD według jednego z dostępnych kryteriów zwróciło komunikat błędny format daty. Izba zwraca uwagę, Ŝe Ministerstwo Spraw Wewnętrznych i Administracji nie umieściło na stronach portalu informacji o obowiązującej składni przy formułowaniu zapytań dla poszczególnych kryteriów wyszukiwania wzorów pism w CRD. W ocenie NIK, uŝytkownik portalu CRD moŝe nie wiedzieć jak formułować zapytania w celu otrzymania szukanych wzorów pism. 3.4. Izba zwraca uwagę, Ŝe w przywołanym rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 27 listopada 2006 r. nie został określony termin, w jakim organ administracji publicznej ma przekazać do CRD nowy bądź zmodyfikowany wzór dokumentu w postaci elektronicznej. Rozporządzenie jako właściwe wskazuje umieszczanie wzoru pisma w Centralnym Repozytorium, Biuletynie Informacji Publicznej oraz, ewentualnie, w dodatkowych repozytoriach. Zdaniem Dyrektora Departamentu Informatyzacji wzory pism w Biuletynie Informacji Publicznej i w Centralnym Repozytorium powinny być toŝsame, a jeŝeli tak nie będzie, to w Ministerstwie rozwaŝone zostanie rozwiązanie tego problemu. Zdaniem NIK, niewskazanie sposobu rozwiązania potencjalnego konfliktu pomiędzy wzorami pism w róŝnych lokalizacjach oraz brak terminu na zgłoszenie wzoru do CRD zwiększa ryzyko niepowodzenia całego systemu spójnego udostępniania wzorów pism w postaci elektronicznej. 4. NIK dostrzega nieprawidłowość w sposobie opracowania przez Ministerstwo Spraw Wewnętrznych i Administracji rozporządzenia, wydanego na podstawie delegacji ustawowej z art. 58 ust. 3 ustawy z dnia z dnia 18 września 2001 r. o podpisie elektronicznym 16. W wystąpieniu pokontrolnym z kontroli, z 19 lipca 2006 r., p.t. Świadczenie usług publicznych przy zastosowaniu mediów elektronicznych Izba wnioskowała o wydanie rozporządzenia wykonawczego na podstawie art. 58 ust. 3 ustawy o podpisie elektronicznym. 16 Dz.U. Nr 130, poz. 1450 ze zm. 6
Wydane rozporządzenie 17 w porozumieniu z ministrem właściwym do spraw gospodarki oraz ministrem właściwym do spraw administracji publicznej, które wejdzie w Ŝycie z dniem 23 listopada 2007 r., w ocenie Izby, nie zawiera wymaganych ustawą warunków bezpieczeństwa udostępniania formularzy oraz wzorów podań i wniosków w postaci elektronicznej. Dyrektor Departamentu Informatyzacji MSWiA wyjaśnił 18, Ŝe Nie zostały przyjęte szczególne warunki bezpieczeństwa udostępniania formularzy i wzorów dokumentów w postaci elektronicznej odbiorcom usług certyfikacyjnych (przypis NIK - związane z podpisem elektronicznym). Odniesienie do warunków udostępniania określone zostało w 5 ust. 2 Rozporządzenia. Izba nie podziela zdania ww. Dyrektora z uwagi na fakt, Ŝe przywołany przepis dotyczy doręczania wzorów pism, a nie udostępniania wzorów pism i formularzy w postaci elektronicznej. Brak zdefiniowania wymaganych warunków bezpieczeństwa stanowi niewypełnienie w tej części delegacji ustawowej, co moŝe mieć negatywny wpływ na poziom bezpieczeństwa zapewniany przez podmioty realizujące zadania publiczne, udostępniające wzory formularzy w swoim Biuletynie Informacji Publicznej np. poprzez niedostępność wzorów pism czy teŝ dopuszczenie do uŝycia nieautoryzowanych wzorów. 5. NIK ocenia negatywnie, pod względem legalności i rzetelności, nie przeprowadzanie egzaminów wymaganych do prowadzenia kontroli na podstawie art. 25 ustawy o informatyzacji. W toku kontroli NIK stwierdzono, Ŝe Ŝadna osoba nie posiadała waŝnego świadectwa kwalifikacyjnego w tym zakresie. Jak wyjaśnił Dyrektor Departamentu Informatyzacji 19 termin pierwszego egzaminu planowany jest na przełomie bieŝącego i następnego roku. W konsekwencji braku moŝliwości złoŝenia egzaminów i uzyskania wymaganych prawem świadectw kwalifikacyjnych podmioty zobowiązane do przeprowadzania kontroli projektów informatycznych nie mogą realizować ustawowego obowiązku. 6. Biorąc pod uwagę powyŝsze oceny i uwagi, na podstawie art. 60 ust. 2 ustawy o NIK, NajwyŜsza Izba Kontroli przedstawia następujące wnioski: 1) Dokonanie uzupełnienia rozporządzenia o warunkach udostępniania formularzy i wzorów dokumentów w postaci elektronicznej o warunki bezpieczeństwa takiego udostępniania, 17 Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 24 lipca 2007 r. w sprawie warunków udostępniania formularzy i wzorów dokumentów w postaci elektronicznej (Dz.U. Nr 151, poz. 1078) 18 Pismo Nr DI-096-4-3887/RB/07 z dnia 5 września 2007 r. 19 wyjaśnienia z 5 września 2007 r. 7
2) RozwaŜenie potrzeby podjęcia inicjatywy legislacyjnej w celu usunięcia z ustawy o informatyzacji niespójności w zakresie braku uprawnień do gromadzenia w Krajowej Ewidencji danych objętych ochroną prawną, 3) Uregulowanie w formie pisemnej zasad prowadzenia przez Urząd Miasta w Łodzi Centralnego Repozytorium oraz warunków technicznych, organizacyjnych i finansowych realizacji tego zadania, 4) Podjęcia działań w celu doprowadzenia Krajowej Ewidencji i Centralnego Repozytorium do stanu zgodnego z przepisami prawa w zakresie ich bieŝącego uzupełniania i modyfikowania, 5) Przypisanie nadzoru nad zgłoszeniami formularzy i wzorów dokumentów w postaci elektronicznej do Centralnego Repozytorium komórce organizacyjnej MSWiA. NajwyŜsza Izba Kontroli na podstawie art. 62 ust. 1 ustawy o NIK, zwraca się do Pana Ministra o nadesłanie, w terminie 14 dni od daty otrzymania niniejszego wystąpienia, informacji o sposobie wykorzystania uwag i wykonania wniosków oraz o podjętych działaniach lub o przyczynach niepodjęcia tych działań. Stosownie do art. 61 ust. 1 i 2 ustawy o NIK, w terminie 7 dni od daty otrzymania niniejszego wystąpienia pokontrolnego,. przysługuje Panu Ministrowi prawo zgłoszenia do Kolegium NIK umotywowanych zastrzeŝeń w sprawie ocen, uwag i wniosków, zawartych w tym wystąpieniu. W razie zgłoszenia zastrzeŝeń, termin nadesłania informacji, o której wyŝej mowa, liczy się stosownie do art. 62 ust. 2 ustawy o NIK od dnia otrzymania ostatecznej uchwały w sprawie powyŝszych zastrzeŝeń. /-/ Jacek Jezierski Prezes NajwyŜszej Izby Kontroli 8