Vážneho argumenty k novele o obstarávaní boli na smiech (rozhovor)

Illek: Pre zákazky „v oblasti obrany a bezpečnosti“ je špeciálny režim, ktorý znamená výrazné výnimky zo štandardných postupov v obstarávaní, či už sa bavíme o transparentnosti, alebo o zaistení konkurencie.

Vážneho novela doslova hovorila, že ak je predmet zákazky spojený s citlivou informáciou, tak to môže ísť v špeciálnom režime. No takých môže byť v IT veľa.

Patria štátne informačné systémy do kritickej infraštruktúry?

Illek: Nevieme, ktoré systémy tam patria, pretože to úrady povedať nechcú. Vraj je to tajné.

Už len keby sme to vedeli, by bolo ohrozením. Považujem to za absurdnú argumentáciu. Podľa definície sa každý dôležitý register dá považovať za kritickú infraštruktúru.

Ako sa rieši bezpečnosť v IT?

Illek: Určite nie plošným utajením. Napríklad open source má často vyššiu bezpečnosť, pretože sa na program vie pozrieť viac ľudí, ktorí analyzujú jeho bezpečnosť.

Napríklad špecifikácia dnes populárnej Threemy je verejná, aj keď ide o softvér na bezpečnú komunikáciu. Ktokoľvek sa na ňu môže pozrieť a presvedčiť sa, či je to dobre nadizajnované.

Problém s bezpečnosťou, ako to predostrel Vážny, nie je skutočný. Ale je rozdiel medzi tým, čo bolo oficiálne prezentované, a skutočným zámerom pozmeňovacieho návrhu.

Peter Kulich je od roku 2018 senior expert združenia Slovensko.Digital. Predtým pôsobil desať rokov na viacerých pozíciách v štátnych inštitúciách a osem rokov pracoval ako manažér štátnych IT projektov. (zdroj: SME - Marko Erd)

Čo bol skutočný zámer?

Illek: Vážny a aj podpredseda vlády pre investície a informatizáciu Richard Raši povedali, že skutočným zámerom nebola bezpečnosť, ale to, že obstarávania chceli urýchliť. To je vlastne priznanie, že cieľom bolo obchádzať zákonné povinnosti.

Ak by to prešlo, som presvedčený, že množstvo IT systémov by sa nakupovalo v režime ako obranné zákazky. Ale s tým sú už aj dnes zlé skúsenosti, sú tam podozrenia z korupcie či nekalej súťaže.

Ak by poslanci novelu opätovne schválili vrátane kontroverzného návrhu Vážneho, znamenalo by to, že by štát mohol utajovať IT obstarávania?

Kulich: Úplne nie. Informácia o vyhlásení verejného obstarávania by bola publikovaná vo vestníku, ale napríklad dokumentácia by nemusela byť zverejnená, prípadne nie celá.

Viac informácií by dostal len ten, kto spĺňa určité, verejným obstarávateľom definované kritériá. Štát by tak vedel kontrolovať okruh firiem, ktoré by sa k „citlivým“ informáciám dostali.

Zverejnený by bol aj výsledok obstarávania, no niektoré časti, napríklad v ponukách uchádzačov či zmluvách, by mohli byť začiernené. Dnes si môže súťažné podklady preštudovať prakticky každý.

Kritická infraštruktúra je široký pojem a zákon ho definuje vágne. Nie je aj to problém?

Illek: Sú časti infraštruktúry, ako napríklad nemocnice či diaľnice, ktoré sú pre normálne fungovanie spoločnosti veľmi dôležité.

Myšlienka je v poriadku, problém je to vtedy, keď to začne byť zneužívané na obchádzanie iných pravidiel. A takýto dojem mám z Vážneho novely.

Počas rozpravy Vážny argumentoval, že veď nemôžeme dať údaje k citlivým systémom hackerom a teroristom.

Illek: Táto časť argumentácie je vyslovene na smiech. Keď sa bavíme o obstarávaniach, predsa už dnes existuje množstvo mechanizmov, ako bezpečne pracovať s podkladmi alebo k čomu zaviazať dodávateľa v zmluve.

Nikdy som nezažil, že by vznikol problém s bezpečnosťou pre podklady k obstarávaniu.

Môžu hackeri zneužiť informácie zo zmluvy?

Illek: Dlhoročné skúsenosti v IT vedú k tomu, že bezpečnosť nesmie byť závislá od toho, či niekto vidí dovnútra systému a vie, ako funguje. Ešte aj šifrovacie algoritmy sú verejné a dokonca ich slabé miesta sú otvorene diskutované.

Mám však pocit, že vo verejnej správe u nás sa „bezpečnosť“ často používa ako nálepka, pod ktorú sa schováva obmedzenie transparentnosti a výnimky z rôznych povinností.

Súvisiaci článok U typického šéfa slovenskej IT firmy prevládajú známosti nad znalosťami Čítajte 

Čo je najväčší problém nakupovania IT?

Kulich: Dnes sa v súkromnej sfére robia systémy postupne malými zmenami, a tak by to mal robiť aj štát namiesto veľkých nárazových projektov.

Problém je, že štát nevie obstarať v priebehu pár mesiacov ani malé zmeny. Bez ohľadu na finančný limit je proces prípravy dlhý a administratívne náročný. Aj preto radšej nakupuje obrovské projekty, aby mal niekoľko rokov pokoj.

Illek: Obstarávanie je úzke hrdlo, kde sa stretáva príliš veľa záujmov. Informačné systémy patria k najzložitejším ľudským výtvorom, ich nakupovanie bude vždy zložité. To nie je nákup posypovej soli. Nedá sa očakávať, že nejakou malou zmenou sa to zázračne zjednoduší.

My sa snažíme presadiť množstvo riešení, napríklad prípravné trhové konzultácie.

Pred súťažou by mal úrad diskutovať s trhom, aby na oboch stranách vznikla dobrá predstava, čo je potrebné dodať a aké sú možnosti dodávateľov. Vo svete je pri veľkých IT projektoch bežné, že táto fáza trvá aj rok pred začiatkom súťaže.

U nás sa to nerobí vôbec?

Illek: Ak áno, tak spravidla len veľmi formálne.

V lepšom prípade krátka hodinová konzultácia?

Kulich: Záleží na úrade. Prípravné konzultácie vyzerajú inak pri nakupovaní veľkého systému za milióny ako pri bežnej komodite.

Neexistuje univerzálny model. Platí však, že aj ten, kto nebol súčasťou takejto konzultácie, by sa mal dostať k rovnakému množstvu informácií.

Aké sú ďalšie problémy s nakupovaním štátneho IT?

Illek: Úrady nemajú kapacitu manažovať viacerých dodávateľov pri väčších projektoch.

Radšej urobia jednu monolitickú zákazku, ktorú zveria jednej firme, a to aj keď je zrejmé, že v skutočnosti to sama nebude dodávať, ale pod ňou budú ďalšie.

Veľmi dúfam, že éra nakupovania celých systémov sa končí. IT systém je mozaika modulov, ktoré sú relatívne samostatné a nemusí ich robiť jedna firma. Ak sa zákazky nedelia, výrazne sa obmedzuje konkurencia.

Pre úrad je však jednoduchšie urobiť jednu veľkú zákazku s jedným dodávateľom.

Illek: Na portáli Slovensko.sk to dobre vidieť – možno je to jednoduchšie z hľadiska byrokracie, no objednávateľ stráca veľkú časť kontroly. To sa mu môže vypomstiť, keď to potrebuje prevádzkovať a jednotlivé komponenty ďalej upravovať.

Ľubor Illek je spoluzakladateľ občianskeho združenia Slovensko.Digital. Je odborníkom na informačnú bezpečnosť a venuje sa témam verejnej správy. (zdroj: SME - Marko Erd)

Odkiaľ by sme si mohli vziať príklad pri obstarávaní IT?

Kulich: Napríklad z Veľkej Británie. Tamojšie úrady majú veľa vlastných kapacít, a tak si vedia mnoho vecí urobiť sami.

Nemusia toľko obstarávať. Ľudské zdroje sú jedna z kľúčových vecí a naším najväčším problémom. Je potrebné, aby verejní obstarávatelia, ale aj kontrolné orgány rozumeli IT, jeho trendom a špecifikám.

Illek: Keď sa porovnávame so západnými krajinami, veľký rozdiel je aj v dôvere.

Ako to myslíte?

Illek: Okolo obstarávania je u nás množstvo podozrení. Aktuálny príklad je SkyToll, kde sa zrazu zistilo, že v utajenej časti zmluvy je niečo napísané tak, že nakoniec štát bude musieť zaplatiť ďalšie milióny eur.

Alebo Slovensko.sk, pri ktorom sa ukázalo, že vendor lock-in, teda závislosť od dodávateľa, je taký veľký, že aj keď za to štát zaplatil, nemá zdrojové kódy.

Aj v ďalších prípadoch to vyzerá nielen na nešikovnosť objednávateľa, ale azda aj zlý zámer. Tieto podozrenia vytvorili obrovskú nedôveru, a tak vznikli silné kontrolné mechanizmy, ktoré nevyhnutne znamenajú aj vyššiu byrokraciu.

Spomenuli ste vendor lock-in, čo je vlastne dlhodobý problém vo verejnom IT, pretože úrady sú závislé na jedinom dodávateľovi aj desiatky rokov. Koncepcia nákupu IT navrhuje riešiť to cez opcie, teda ešte väčšie zmluvy na viac rokov. Je to naozaj riešenie?

Kulich: Nedá sa povedať, že opcia je riešenie, ale je to jeden z nástrojov. Dĺžka opcie by mala byť vždy diskutovaná.

Pozitívum vidím v tom, že na opciu nie je právny nárok, obstarávateľovi to uľahčí život a vie flexibilne reagovať, mínusom je vyššia predpokladaná hodnota zákazky, nakoľko opcia vstupuje do jej výpočtu.

Od predpokladanej hodnoty sa často odvíjajú iné parametre a podmienky účasti vo verejnom obstarávaní.

Illek: Každý objednávateľ by sa mal zamyslieť vopred aj nad scenármi, ako zle môže spolupráca s dodávateľom dopadnúť, a nastaviť ju tak, aby neprišiel skrátka – lebo po podpise zmluvy sa podmienky menia ťažko.

Nechceme, aby úrad menil dodávateľa každých pár rokov, ak je s ním spokojný. No stať sa môže čokoľvek, a ak je úrad od dodávateľa príliš závislý, ten ho môže až vydierať.

Súvisiaci článok Pošta prihodila takmer 11 miliónov dlhoročnému partnerovi. Lebo musela Čítajte 

Ako?

Illek: Napríklad úrad niečo potrebuje a jeho dodávateľ mu povie, že to urobí, ale za premrštenú cenu. Úrad v takej chvíli nemá často na výber.

Bohužiaľ, informačné systémy sú veľmi komplexné a nedá sa niečo vybrať a zadať inej firme, ak to nie je takto vopred pripravené. Je to iné, ako keď máte dom a praskne vám kachlička, ktorú môže opraviť hociktorý majster, nepotrebujete pôvodného.

Na druhej strane IT firmy sa často tvária, že každý IT systém je super unikátne dielo, ktoré by nikto iný nedokázal postaviť. Bez urážky, nie je to tak. Kľúčové know-how prináša objednávateľ, maximum autorských práv má preto zostať u neho.

Aký je súčasný stav?

Illek: Mnohým úradom a už aj firmám vendor lock-in prekáža a schválený je aj postup, ako sa z toho dostať. Atmosféra je však taká, že niektoré IT firmy majú akoby rozdelenú verejnú správu na svoje sféry, ktoré majú pod kontrolou.

Je to založené na predchádzajúcich zmluvných vzťahoch či skôr známostiach?

Illek: Na všetkom z toho. Ale čo sa stalo, je, že nie štát, ale firmy sú tu kľúčoví hráči. To treba napraviť. Firmy majú byť len dodávateľmi, nič viac.

Nie sú tieto problémy dôsledkom toho, že sme do elektronizácie vhupli tak nárazovo?

Illek: Skôr sme vhupli do eurofondov, ktoré veľmi zmenili hru a takmer všetko sa robí cez veľké projekty, v ktorých sa celý IT systém navrhne a dodá naraz. To sa ukázalo ako zlá cesta.

Nahradiť by sa to dalo aj takzvaným agilným vývojom, teda postupne tvoriť systém po častiach, bez toho, aby bolo všetko vopred definované. To si však vyžaduje zmenu myslenia.

Nakupovanie IT sa často vníma rovnako, ako keď sa stavajú diaľnice. Niečo si nakreslím, získam povolenia, vyasfaltujem a hotovo. V IT je však spustenie systému do prevádzky len začiatok, je to živý organizmus, ktorý sa ďalej dopĺňa a mení, najmä podľa toho, čo potrebujú používatelia, ale aj s pokrokom technológií. Každý rozumie, že webové stránky 10 rokov bez zmeny sú ako z praveku.

Kulich: Taktiež u nás chýba hodnotenie firiem na základe kvality. Najnižšia cena a splnenie určitých podmienok účasti nemusí nič znamenať.

Problém dnes je, že v rámci verejnej súťaže si obstarávateľ ani nemôže pýtať prototyp alebo funkčné demo, inak sa to už považuje za plnenie diela a je to diskriminačné. Aj overenie nejakých jednoduchých zručností uchádzača môže byť považované za diskrimináciu.

Aký najtransparentnejší nákup ste počas svojej praxe videli?

Kulich: Ak sa bavíme o vendor lock-in, tak dobrý príklad je ÚVO a ministerstvo spravodlivosti. Ako prví sa snažili vymaniť z tejto závislosti a tiež menili prevádzkovateľa systému. O ich postupy sa následne začali zaujímať aj iné inštitúcie, videli, že sa to dá.

Z praxe viem, že štátne úrady fungujú na precedensoch. Jeden niečo spraví, a keď to funguje, tak sa motivujú ďalší. Vždy sa však musí nájsť niekto, kto si, obrazne povedané, v džungli vyseká cestu.

Illek: Môj obľúbený príklad bol nákup registra osôb vylúčených z hrania hazardných hier v Datacentre ministerstva financií. Do súťaže sa zapojilo deväť firiem a prebehla reálna súťaž.

Výsledkom bola suma o 80 percent nižšia ako predpokladaná hodnota zákazky. Cenu vyše dva a pol milióna eur sa podarilo stlačiť na 700-tisíc, čo zahŕňa už aj podporu počas piatich rokov prevádzky.

V aukcii najnižšia suma za dodanie systému bola šokujúcich 12 eur – a nie je to tlačová chyba, víťazný dodávateľ písomne potvrdil, že aj za takýchto podmienok je pre neho zákazka dlhodobo rentabilná.

Je to dobrá ilustrácia toho, aké sú v IT reálne náklady a akú dlhú cestu ešte potrebujeme prejsť, kým sa všetky obstarávania budú končiť takto dobre.