Denne veilederen gjør det enklere å beslutte hvilken dokumentasjon din virksomhet må sikre over tid. Metoden er et første steg på veien mot moderne dokumentasjonsforvalting og innebygd arkivering.
Digitalisering gir store muligheter for å forenkle samhandling og bruke informasjon på nye måter. Viktige dokumenter opptrer i nye former og formater, eller erstattes av andre løsninger som for eksempel SMS, Skype og SharePoint. Det kan være utfordrende i en slik sammenheng å forstå hva som er dokumentasjon og bør behandles deretter.
Dokumentasjonsforvaltningen i offentlige organer skal skje i tråd med arkivloven. Arkivloven med forskrifter har omfattende bestemmelser om hvordan offentlige organer skal behandle sine arkiver, men sier ikke hva organene skal dokumentere og hvilken informasjon som skal sikres som dokumentasjon.
I arkivregelverket brukes begrepet arkiv om de dokumentene som blir til som ledd i en virksomhet, og som inngår i saksbehandlingen og har verdi som dokumentasjon. Det har imidlertid vist seg å være utfordrende å bruke disse kriteriene i vurderingen av hvilke dokumenter som skal sikres. Erfaring tilsier at det er arbeidskrevende for saksbehandlere å vurdere fortløpende hvorvidt dokumenter skal arkiveres og at dette fører til lav kvalitet på arkivene.
Denne metoden er et første steg på veien i en handlingsplan mot moderne dokumentasjonsforvaltning. Den er også et verktøy for å lykkes med det vi kaller “innebygd arkivering”; en tilnærming der forvaltningen skal ta vare på digitale data på nye måter. Det innebærer at man allerede i utformingen av nye arbeidsprosesser, systemer og løsninger tar hensyn til tilgangen til data i et langtidsperspektiv. Les mer om Arkivverkets satsning på innebygd arkivering (åpnes i ny fane).
Målet er at sikring og bruk av dokumentasjon skal bidra til gjennomsiktighet, etterrettelighet og verdiskapning gjennom økt kvalitet og effektivitet på offentlige tjenester.
Denne veilederen beskriver de 3 fasene i metoden:
Fase 1: Kartlegging
Du skal få oversikt over omgivelsene til en utvalgt prosess og hvilke aktiviteter den omfatter. Du skal finne ut hvilken informasjon som brukes, skapes eller endres i prosessen. Dette blir grunnlaget for identifiseringen i neste fase.
Fase 2: Identifisering av dokumentasjon
Du skal identifisere hva som er dokumentasjon blant informasjonen du har kartlagt.
Fase 3: Sikring
Du får retningslinjer for arbeidet med å sikre dokumentasjonen, og viktige vurderingspunkter til bruk i planleggingsfasen.
Formålet med å bruke metoden er å gjøre det enklere å beslutte hvilken dokumentasjon din virksomhet må sikre over tid.
Et godt arkiv er mer enn en samling av inn- og utgående korrespondanse. Et godt arkiv kan gi svar på hvordan man kom frem til et vedtak. Derfor er det viktig at dokumentasjon som arkiveres faktisk reflekterer det som skjer i virksomheten. Dette undersøker vi nærmere i kartleggingsfasen.
Ofte er det uklart hvordan informasjonen vi sikrer i dag vil bidra til å svare på morgendagens spørsmål. I identifiseringsfasen vil vi se på hvordan man kan beskrive fremtidige behov. I denne fasen er det viktig at man ikke har fokus på hva som eventuelt skal avleveres til en arkivinstitusjon. Fokus må være på å ivareta virksomhetens egne behov for tilgang til etterrettelig dokumentasjon over tid.
Du skal kunne identifisere hvilke aktiviteter som bør dokumenteres og hvordan denne dokumentasjonen skal behandles.
Du har et register med systematiske vurderinger av hva som er dokumentasjon – både ifølge gjeldende regelverk, og ut fra virksomhetens eget behov.
Du har et hjelpemiddel når du skal påse at hensyn til dokumentasjon ivaretas fra første stund når en prosess eller et system skal utvikles. Du kan bruke føringer fra metodens tredje fase, «Sikring av dokumentasjon», når du skal operasjonalisere sikringen av den dokumentasjonen du har identifisert.
Digitalisering, tjenesteutvikling, internkontroll, informasjonssikkerhet, personvernkartlegging eller revisjoner kan tydeliggjøre mangel på kontroll over hva som dokumenteres i dag, og hva som burde vært dokumentert.
Målgruppen for metoden er primært de som legger premissene for hvordan informasjon skapes og brukes i virksomheten.
Du er en premissgiver hvis du:
Eksempler på situasjoner der metoden er nyttig å bruke:
Metoden er ikke ment for å brukes i det daglige arbeidet med vurdering av dokumentasjon, men kan være en støtte for dette arbeidet i form av prosessgjennomganger.
Denne fasen inneholder to trinn der du skal:
Trinn 1: Få en oversikt over den aktuelle prosessen og avgrense hvilke omgivelser som påvirker den.
Trinn 2: Finne ut hvilke informasjonsobjekter som brukes, skapes eller endres i den valgte prosessen. Med andre ord skal en informasjonsoversikt utarbeides.
Denne fasen er et forarbeid for identifiseringsarbeidet. Ved å kartlegge prosessen oppnår vi en forståelse av hvordan oppgaver utføres i praksis og hvilken informasjon som faktisk skapes og brukes i arbeidet.
Kartleggingsarbeid er en forutsetning for å kunne identifisere dokumentasjon. Det er viktig å undersøke hvilke kartlegginger som gjennomføres eller har blitt gjort i andre relevante initiativ, og hvilke opplysninger fra tidligere kartlegginger som kan gjenbrukes.
Etter kartleggingen vil du ha:
De lovene som er relevante for din virksomhet.
Å beskrive prosessens omgivelser gir deg premissene prosessen påvirkes av, slik som lover og regler, ulike interessenter og ressurser som benyttes. Beskrivelsen av prosessen og dens omgivelser bør være presis og dekkende nok til at den virker avgrensende for videre arbeid. Beskrivelsen må skape forståelse for formålet med prosessen. Det er lurt å finne et detaljeringsnivå som er tilpasset din virksomhet.
Du bør starte med å undersøke om andre i virksomheten allerede kan ha gjort et arbeid for å avdekke opplysninger som er relevant for den prosessen du nå skal kartlegge. Slike opplysninger kan du kanskje finne i forbindelse med:
Dersom din virksomhet ikke har eksisterende kartlegginger/beskrivelser/analyser som kan brukes, foreslår vi å tilpasse eksemplene for å skape denne oversikten:
Grønn seksjon i Gråne bydel ønsker å identifisere og sikre dokumentasjon i forbindelse med tildeling av prosjekt- og utviklingsmidler for grønn bydel. Arkivleder Bente og seksjonsleder Silje forbereder seg ved å kartlegge prosessen og dens omgivelser med denne oversikten:
|
Prosessbeskrivelse |
|
|---|---|
|
Formål |
Skape en trivelig bydel, sunne innbyggere, bedre trafikksikkerhet |
|
Aktiviteter |
Saksbehandling på vegne av grønn seksjon |
|
Starter ved at |
Kommunen varsler bydelen |
|
Avsluttes når |
Kontroll av hvordan midlene ble brukt |
|
Andre relevante prosesser |
Seksjonens egne prosjekter |
|
Regelverk |
|
|
Eksternt regelverk |
Forvaltningsloven, offentlighetsloven, arkivloven |
|
Interne styringsdokumenter |
Retningslinjer for tildeling av grønne midler |
|
Aktører |
|
|
Eksterne |
Søkere (for eksempel borettslag, sameier, lag og organisasjoner) |
|
Interne |
Fagdirektør, avdelingsdirektør, saksbehandlere, ledergruppe, økonomi |
|
Informasjonssystemer og -objekter |
|
|
Informasjonssystemer |
Sakarkivsystem (Spesifiser hva systemet heter) |
|
Informasjonsobjekter |
Avslagsbrev, tildelingsbrev, søknadsbrev, søknadsskjema |
Dette er et eksempel på hvordan en prosess og dens omgivelser kan kartlegges og er ikke et fasitsvar. Hvordan man velger å sette opp oversikten er opp til den enkelte virksomhet og må tilpasses etter behov. Målet er å utarbeide en oversikt over prosessen som vil gjøre det enklere å finne informasjonen som skapes og brukes når man kommer til trinn 1.2.
Når du nå skal kartlegge hvilken informasjon som håndteres i prosessen, bør du ta utgangspunkt i arbeidet du har gjort med å beskrive prosessen og de aktivitetene dette innebærer.
Deler av informasjonen i prosessen kan du enkelt finne fordi de opptrer som tradisjonelle dokumenter eller digitale skjemaer. Andre deler kan fremstå som puslespillbiter som først gir mening når de ses i sammenheng. Dokumentene, sammen med puslespillbitene, beviser at man har fulgt prosessen.
%20970%20px.png)
Figur 1 illustrerer et eksempel på kartlegging av informasjon i en prosess. Informasjonen er markert med rødt. Søker logger inn med bankID (informasjonen at bruker har logget inn – verifisering av personen) fyller inn og sender inn (informasjon at handlinger er utført) skjema (informasjon om oppgaven) og legger ved obligatoriske vedlegg (tilleggsinformasjon om oppgaven, kopi av førerkort og vandelsattest).
Saksbehandler gjør oppslag (informasjon om at verifisering er gjennomført) på en dato (loggføring) i register (informasjon fra vandelsregister og førerkortregister). Saksbehandler verifiserer (informasjon om at verifikasjon har blitt gjort) opplysningene mot kriterier for tildeling (informasjon om grunnlaget for å ta beslutning).
Det kan være nyttig å stille noen konkrete spørsmål for å identifisere alle informasjonsobjektene, deres flyt og tilhørighet:
Dere kan vurdere om informasjon som er mer detaljert skal inkluderes:
Vi foreslår å beskrive disse informasjonsobjektene i et register. Når du har kartlagt all informasjonen i prosessen, går du videre til fase 2 av metoden for å identifisere hvilken informasjon som er dokumentasjon
Her ser du et eksempel på hvordan informasjonsobjektene i en prosess kan kartlegges i et excel-skjema. Eksempelet er hentet fra en rekrutteringsprosess:
Hensikten med denne fasen er å identifisere hva som er dokumentasjon blant informasjonen du kartla i den første fasen.
Vi legger til grunn at informasjon ikke blir dokumentasjon før noen gjør et aktivt valg og behandler informasjonen som dokumentasjon. Derfor handler det mye om bevisstgjøring av behovet for dokumentasjon slik at denne kan sikres. Hvilken dokumentasjon må jeg ha for å bevise handlinger og være etterrettelig, både nå og senere?
For å konkretisere arbeidet og minimere tidsbruk, er det lagt opp til at identifisering av dokumentasjon bør gjøres i to trinn:
Trinn 1: Undersøke krav til dokumentasjon i lover eller regelverk
Trinn 2: Vurdere virksomhetens behov for dokumentasjon gjennom «risikoen for å ikke ha den»
I mange tilfeller vil det det være tydelige lovkrav til dokumentasjon. Noen prosesser er svært lovregulerte og aktivitetene som skal dokumenteres vil være tydelig definert i lovkrav, spesielt i særlover.
I andre tilfeller vil kravene til dokumentasjon av aktivitetene være uklare eller ikke eksistere. Dette gjelder for eksempel for prosjekter eller i prosesser hvor samarbeid på tvers kan skape usikkerhet om hvem som har ansvar for dokumentasjonen. Her dekker den risikobaserte tilnærmingen mye av identifiseringen.
Etter identifiseringsfasen har du:
Identifiseringsfasen kan gjennomføres i flere omganger med fag/linje/prosess, gjerne som arbeidsmøte/workshop, og gjerne med et tverrfaglig team bestående av:
Figuren og tabellen under viser hvordan resultatet fra fase 2 kan framstilles. BPMN-modellen beskriver prosessen knyttet til Arkivverkets oppfølging av tildelingen av prosjekt- og utviklingsmidler. Rammene med konvolutt representerer informasjonsobjekter som håndteres i prosessen som er identifisert som dokumentasjon.
Tabellen oppgir hvorfor informasjonen må sikres som dokumentasjon, om det er foreligger lovkrav om å sikre dokumentasjonen eller om behovet for dokumentasjon er basert på en risikovurdering og hvor dokumentasjonen lagres.
|
Dokumentasjon |
Hvorfor |
Krav/behov |
Ivaretas av |
|---|---|---|---|
|
Purring på statusrapport |
Lovkrav |
Krav |
ePhorte |
|
Statusrapport |
Grunnlag for beslutning |
Behov |
ePhorte |
|
Forespørsel om utsettelse |
Grunnlag for beslutning |
Behov |
ePhorte |
|
Rapport |
Lovkrav |
Krav |
ePhorte |
|
Purring på rapport |
Grunnlag for beslutning |
Behov |
ePhorte |
|
Invitasjon til konferanse for erfaringsutveksling |
Oppfølgingsbehov |
Behov |
ePhorte |
Hensikten med å dette trinnet er å avgjøre om det finnes noen konkrete regelverkskrav til dokumentasjon for den utvalgte prosessen.
Alle offentlige organer er underlagt noen generelle lover som regulerer behandlingen av informasjon, for å sikre etterrettelighet, åpenhet og demokratiske rettigheter.
For eksempel omfattes alle offentlige forvaltningsorganer av:
De viktigste dokumentasjonskravene kan du finne i:
Når du skal gå igjennom regelverket og finne ut hvilken informasjon som må behandles som dokumentasjon må du vurdere både direkte og indirekte krav.
Direkte krav kan for eksempel være at man skal arkivere kjøretøysopplysinger i bilregisteret. Om det er vedtak som treffes kan det være indirekte krav til dokumentasjon. Forvaltningsloven sier at et vedtak skal inneholde begrunnelse og en klagefrist. Det står altså indirekte at noe skal dokumenteres. I særlover står det gjerne en begrunnelse for hvorfor noen opplysninger eller handlinger skal dokumenteres i bestemte oppgaver og prosesser.
Hvis det er entydig og klart hva du må dokumentere, trenger du ikke å gjøre en risikovurdering og kan gå videre til fase 3. Hvis du er usikker, bør fortsette til 2.2 - Risikobasert vurdering av behovet for dokumentasjon.
Mange virksomheter bruker risikostyring aktivt for eksempel i prosjekter, for beredskap eller for internkontroll. Risikostyring handler om å identifisere og håndtere forhold eller hendelser som kan påvirke ulike mål man ønsker å oppnå. For eksempel et mål om å kunne utøve samfunnsoppdraget sitt på en tilfredsstillende måte.
En risikobasert tilnærming kan være en effektiv måte å øke forståelsen av hva slags dokumentasjon en virksomhet vil kunne ha behov for i fremtiden. Man kan spørre seg selv: Hva kan skje med virksomheten min hvis informasjon om handlinger, valg og beslutninger ikke er identifisert som dokumentasjon?
På denne måten identifiserer man behovet for dokumentasjon ved å vurdere hva som kan skje dersom man ikke har den.
Vi identifiserer dokumentasjon gjennom å vurdere risikoen for å ikke ha den.
En risikobasert tilnærming kan hjelpe deg med:
Det kan være lurt å samle relevante ressurser til en «risiko-workshop» for å gå igjennom 3 punkter:
Det er opp til virksomheten å vurdere hvor mye tid som kan benyttes og hvilket detaljeringsnivå dere trenger.
Les mer om risikobasert tilnærming under.
Hvis dere har mye erfaring med risikoanalyser og har egne verktøy, anbefaler vi å bruke disse.
Dere bør forsøke så langt det er mulig å gjenbruke eksisterende rammeverk og definisjoner (for eksempel risikomatrise) fra virksomheten i denne fasen. Slik kan vurderingen av dokumentasjonsbehovet også bli en del av risikostyringen.
En risikovurdering vil ikke gi dere svar på hvor lenge noe skal bevares. For slike spørsmål kan det være hensiktsmessig å snakke med arkivtjenesten i virksomheten. Se også riksarkivarens forskrift kapittel 7. Bevaring og kassasjon og Arkivverkets nettsider om bevaring og kassasjon, eller kontakt Arkivverket.
Hva mener vi med risiko når vi snakker om dokumentasjon?
Disse eksemplene kan illustrere:
Risiko kan ofte være vanskelig å bryte ned. For å gjøre vurderingen litt enklere, kan man stille seg følgende spørsmål:
Ved vurderingen kan man ta utgangspunkt i de ulike informasjonsobjektene som er kartlagt i fase 1, trinn 2. Se på hvert enkelt informasjonsobjekt og besvar spørsmålene ovenfor. Vurder hvilke scenarier som kan oppstå dersom informasjonen ikke finnes, og hvilke konsekvenser dette kan få. Det kan være lurt å starte med risikoidentifisering på informasjonsobjektene som er vurdert som konfidensielle eller fortrolige dersom man har mange ulike objekter.
Når man har gjort denne vurderingen, bearbeider man svarene for å få hensiktsmessige risikobeskrivelser. Risiko kan beskrives på ulike måter avhengig av behov, og det er viktig at risikobeskrivelsene er tilpasset virksomheten. Gode risikobeskrivelser har gjerne med noen stikkord om
Eksempel på en risikobeskrivelse:
Risiko 1: Det kommer inn klage på et vedtak (1). Saksbehandler slår opp for å finne beslutningsgrunnlaget og det viser seg å ikke være registrert at oppslag er gjort mot ekstern database og heller ikke hvilke data som ble brukt. Vi kan heller ikke se endringene i den eksterne databasen (for den eier ikke vi). Man har ikke vurdert hvordan og av hvem det skal dokumenteres endringer (2). Personen har ikke fått de pengene de skulle ha hatt (3). Eksempelet illustreres av figuren under.
I neste steg skal dere gjøre en risikoanalyse hvor dere vurderer hvordan risikoscenariene kan få negative virkninger for virksomheten eller utøvelsen av samfunnsoppdraget, og hvor sannsynlig det er at de ulike risikoscenariene oppstår.
Risiko er ofte definert som kombinasjonen av konsekvenser og (tilhørende) sannsynligheter. Man kan spørre seg selv: Hvordan kan manglende dokumentasjon påvirke virksomhetens mål negativt, og hvor stor er sannsynligheten for at det skjer?
En risikoanalyse består med andre ord av to deler:
God risikostyring forutsetter blant annet at det er satt tydelige mål. Uten klare mål er det vanskelig å vurdere risikoen for å ikke nå disse målene.
Konsekvenskategorier er enkle grupperinger av mål. Det er for eksempel et mål at en virksomhet vil ha et godt omdømme og tillit fra brukerne. Når du vurderer risikoene du har identifisert og beskrevet, er neste steg å uttrykke i hvor stor grad konsekvensene påvirker et mål negativt.
Figuren under gir et eksempel på hvordan man kan lage en oversikt over ulike konsekvenskategorier (mål) og hvordan disse kan påvirkes negativt i ulik grad. En slik tabell gir et verktøy som kan brukes for å plassere risikoscenariene som er identifisert og beskrevet i forrige steg ut fra hva slags mål de berører og hvor alvorlige konsekvensene som kan oppstå er.
Dersom virksomheten har etablerte konsekvenskategorier foreslår vi å bruke disse, og evt. tilpasse beskrivelsene og skalaen.
Vi har definert to mål for virksomheten i seg selv: omdømme/tillit og økonomi/effektivitet, og to mål for å dekke samfunnsoppdragsmålet: utøvelse av samfunnsoppgaven (dvs. brukerens rettigheter) og samfunnets fungering (dvs. konsekvenser for andre dere samarbeider med).
Dersom de ulike konsekvensene som kan oppstå berører mer enn én av de konsekvenskategoriene, bør man håndtere disse som ulike risikobeskrivelser. Dette gjør det lettere å estimere konsekvens og tilhørende sannsynlighet, og utarbeide forslag til hvordan risikoen skal håndteres senere i arbeidet.
Eksempel på en konsekvensvurdering:
Risiko 1: At dataoppslaget ikke loggføres (er dokumentert) og at brukeren ikke får riktig utbetaling kan bli et godt merkbart (økonomisk eller) rettighetsmessig tap for borgeren. (Medium = GUL)
Videre må det vurderes hvor sannsynlig det er at de uønskede hendelsene inntreffer. I noen tilfeller kan dere også spørre dere hvor ofte. Estimatet angir sannsynligheten for at den uønskede hendelsen har det negative utfallet dere har beskrevet.
Figuren under gir et eksempel på hvordan man kan lage en skala som kan brukes ved sannsynlighetsvurderingen. En slik tabell kan på lik linje med tabellen ovenfor brukes som et verktøy ved vurderingen av hvor sannsynlig det er at risikoen oppstår.
Eksempel på en sannsynlighetsvurdering:
Risiko 1: Det hender nok med jevne mellomrom at dataoppslaget ikke loggføres (er dokumentert) og at brukeren ikke får riktig utbetaling. (Medium = GUL)
Det kan være utfordrende å veie sannsynlighet og konsekvens mot hverandre for å komme frem til en god vurdering av risiko, men det er en nødvendig prosess for å avklare behovet for tiltak. En evaluering gjør risikoer sammenliknbare og rangerbare.
Risikoene og evalueringene presenteres forståelig i en risikomatrise. Figuren under gir et eksempel på en slik risikomatrise.
I figuren plasseres risikoens konsekvens horisontalt, mens risikoens sannsynlighet plasseres vertikalt. Når man kombinerer disse vurderingene vil man havne i en av tabellens ruter som angir den samlede risikoen. De ulike fargene i matrisen betyr:
Eksempel på presentasjon av risiko i risikomatrisen:
Risiko 1: Sannsynlighet og konsekvens er vurdert til medium X medium. Den samlede risikoen er derfor medium (gul rute). Om det skal innføres tiltak må vurderes etter en kost-/nyttevurdering.
Dere bør forsøke så langt det er mulig å gjenbruke eksisterende rammeverk, definisjoner (f.eks. risikomatrise) fra virksomheten i denne fasen. Slik kan det å vurdere dokumentasjonsbehov også bli en del av risikostyringen.
For eksempel bør risikoevaluering tilpasses kriterier for å akseptere risiko (virksomhetens egen) hvis det er mulig. Det defineres selv av gruppen på hvilket ledelsesnivå det må løftes opp til om ikke noe er beskrevet i virksomhetens akseptkriterier, men det er nærliggende å velge prosesseier og linjeleder, eller informasjonseier.
Figur 7 gir et eksempel på hvordan man kan utarbeide et risikoregister, det vil si en oversikt over risikovurderingene. Last ned større versjon (jpg).
I dette eksempelet viser de første kolonnene fra venstre risikoidentifiseringen. Det er tatt utgangspunkt i informasjonsobjektet og aktiviteten det inngår i. Kategori-kolonnen viser hvilket mål som kan påvirkes negativt hvis den uønskede hendelsen i neste kolonne oppstår. Videre er det en kolonne for å si noe om utfallet/konsekvensen av den ønskede hendelsen, og en kolonne for risikobeskrivelse.
De neste kolonnene viser risikoanalysen: konsekvensvurdering, sannsynlighetsvurdering og risikoevaluering. Den siste beskriver hvilke tiltak man eventuelt må innføre for å håndtere risikoen.
Gjennom fase 1 og 2 har du kartlagt hvilken informasjon virksomheten skaper og bruker i sine prosesser, og identifisert hva som er virksomhetens dokumentasjonsbehov. Hensikten med fase 3 er å gi retningslinjer for arbeidet med å sikre og bevare dokumentasjonen.
Sikring innebærer å ta vare på bevisverdien til dokumentasjonen, slik at vi kan ha tillit til at dokumentasjonen forblir uendret og anvendelig - også når omgivelsene endrer seg. Slike endringer kan blant annet være rettslige, organisatoriske eller teknologiske, og bør kartlegges gjennom en risikovurdering.
Virksomheten må også planlegge hva som skal skje med dokumentasjonen når dere ikke lenger har behov for den selv. Et bevisst forhold til dokumentasjonens livsløp kan påvirke valg innen arkitektur, infrastruktur og løsninger. Denne veilederen gir ingen føringer for valg av teknisk løsning, men peker på hvilke vurderinger virksomheten bør gjøre.
Sikringsfasen gir deg retningslinjer for arbeidet med å sikre dokumentasjonen, og peker på viktige vurderingspunkter i planleggingsfasen. Basert på disse skal du kunne utarbeide hensiktsmessige krav og rutiner for sikringen. Dette skal gjøre det enkelt å inkludere hensynet til dokumentasjon allerede ved planlegging og utvikling av prosesser og systemer.
Ta hensyn til sikring og bevaring av dokumentasjon allerede i planleggingsfasen når prosesser, informasjonssystemer eller arkitektur skal endres.
En helhetlig tilnærming legger til rette for å utvikle effektive og hensiktsmessige løsninger for sikring av dokumentasjon i samsvar med virksomhetens oppgaveløsing. Det er enklere, rimeligere og tryggere når dette er planlagt fra starten.
Se sikringen i sammenheng med aktivitetene og informasjonsflyten i en prosess. Hvis prosessen bruker flere forskjellige IT-systemer, planlegg hvilket system som skal sikre dokumentasjonen.
Sikringen skal ivareta dokumentasjonens bevisverdi. For at dokumentasjonen skal ha verdi som autorativ kilde for å etterprøve en prosess, er vi avhengige av å kunne ha tillit til den. Dette er ikke bare et teknologisk spørsmål, men omfatter også organisasjon og rutiner.
For at tilliten skal kunne opprettholdes over tid og gjennom endringer, må vi sikre de egenskapene ved dokumentasjonen som gir den bevisverdi ved hjelp av de følgende fire prinsippene:
Dokumentasjon er autentisk hvis den har bevisverdi. Vi må kunne ha tillit til at den informasjonen som er registrert om en hendelse er hva den utgir seg for å være. Da trengs kontekstuell informasjon, slik som opplysninger om hvem som skapte og sendte dokumentasjonen, og på hvilket tidspunkt.
Autentisitet handler altså om tillitt til omgivelsene hvor dokumentasjon skapes eller behandles, og hvordan dette har skjedd. Det er derfor viktig at dokumentasjon av policyer og rutiner inngår i konteksten som bevares, sammen med selve dokumentasjonen.
Tiltak
At dokumentasjonen er pålitelig betyr at man kan ha tillit til at innholdet er en fullstendig og nøyaktig gjengivelse av transaksjonene, aktivitetene og faktaene som skal dokumenteres.
Pålitelig dokumentasjon er viktig for etterfølgende transaksjoner og aktiviteter som benytter denne dokumentasjonen som grunnlag i sine prosesser.
Tiltak
Integritetssikret dokumentasjon betyr at den er beskyttet mot uautoriserte endringer og at eventuelle endringer blir dokumentert. Integritetssikring innebærer også at dokumentasjonen bevares slik at man kan være sikker på at den er fullstendig og uendret.
Tiltak
Anvendelig dokumentasjon betyr at den kan gjenfinnes, hentes frem, presenteres og tolkes gjennom teknologi- og systemskifter. Anvendelighet og tolkning av dokumentasjon bør knyttes til konteksten dokumentasjonen ble produsert i.
Tiltak
Vurdering, evaluering og håndtering av risiko knyttet til dokumentasjon bør være en del av den overordnede risikostyringen i virksomheten. Det er nødvendig å vurdere risikoen for at man ikke klarer å sikre dokumentasjon ved rettslige, organisatoriske eller teknologiske endringer.
Risikostyring gir et grunnlag for å ivareta tillitten til dokumentasjon gjennom endringer.
Tiltak
Virksomheten skal ha en plan for hva som skal skje med dokumentasjonen over tid – også når dere ikke lenger har behov for å oppbevare den selv. Riksarkivarens forskrift kapittel 7 gir bestemmelser om bevaring og kassasjon.
Planen skal beskrive hvor lenge dere skal ta vare på ulike typer dokumentasjon, og hvordan dokumentasjonen senere skal avhendes. Avhending inkluderer sikker sletting i henhold til planen, eksport og migrering til andre systemer for videre vedlikehold, og overføring til arkivdepot for langtidsbevaring.
Planlegg hele forløpet fra sikring til avhending, slik at dere kan gjøre hensiktsmessige valg innen arkitektur, infrastruktur og løsninger. Hvordan dokumentasjonen bør sikres er knyttet til formålet og tidshorisonten for sikringen.
Tiltak
Anvendelighet
Dokumentasjonen er anvendelig hvis den kan gjenfinnes, hentes frem, vises og tolkes.
Arkiv
Arkiv er all informasjon som virksomheten trenger å ta vare på for en kortere eller lengre periode fordi den har dokumentasjonsverdi.
Attributter
Brukes som en betegnelse på en egenskap ved informasjon.
Autentisitet
Autentisk dokumentasjon er å anse som autoritativt bevis på en transaksjon eller en hendelse, dvs. at det er troverdig at den er det den gir seg ut for å være. Autentisitet sikres gjennom prosedyrene som styrer hvordan dokumentasjon blir registrert. Dette sikrer at de som produserer registreringer er autoriserte og identifiserbare, og at registreringen beskyttes mot uautorisert tilføyelse, sletting, endring, bruk og hemmelighold.
Data
Vil i denne sammenhengen betegne kilder som ennå ikke er fortolket, det vil si ikke tilført mening. Mening tilføres gjennom en fortolking som kan utføres av en datamaskin eller et menneske, eller som et resultat av et samspill mellom disse. Gjentolkbar representasjon av informasjon på en formalisert måte egnet for kommunikasjon, tolkning og prosessering.
Dokument
En logisk avgrenset informasjonsmengde som er lagret på et medium for senere lesing, lytting, framvisning eller overføring.
Dokumentasjon
Informasjon som en organisasjon eller person produserer, mottar og vedlikeholder som bevis og som et aktivum, som et ledd i å oppfylle rettslige forpliktelser eller i en forretningstransaksjon.
Dokumentasjonsforvaltning
Dokumentasjonsforvaltningen i en virksomhet skal sikre effektiv og systematisk kontroll med oppretting, mottak, vedlikehold, bruk og avhending av dokumentasjon. I dette inngår prosesser for å fange inn og vedlikeholde bevis på, og informasjon om, handlinger og transaksjoner i form av dokumentasjon.
Informasjon
Benyttes som en betegnelse på data som er tilført mening. Data som er prosessert, organisert og satt i sammenheng for å gi mening (ISO 30300).
Informasjonsobjekt
En bestemt avgrenset mengde informasjon.
Integritet
Innebærer at dokumentasjonen er komplett og uendret, dvs. at den er beskyttet mot uautoriserte endringer.
Pålitelighet
Dokumentasjonen er pålitelig dersom den representerer en fullstendig og nøyaktig gjengivelse av den transaksjonen eller handlingen som skal dokumenteres. Den må også kunne stoles på ved utførelse av etterfølgende transaksjoner og handlinger
Risiko
Virkningen av usikkerhet knyttet til et mål.
Risikovurdering
Prosess som består av risikoidentifisering, risikoanalyse og risikoevaluering.
Sikring
Å påse at dokumentasjonens egenskaper som bevis ivaretas gjennom informasjons- og styringssystemer og sikkerhetsmodeller.
Uønsket hendelse
En uønsket hendelse i denne sammenhengen er en hendelse som kan føre til et uønsket (negativt) utfall.
