Bråstopp for prestisjeprosjekt

Det har gått snart 11 år siden daværende justisminister Knut Storberget (Ap) signerte Prüm-avtalen; en avtale som skulle gi norsk politi et bedre verktøy i kampen mot terror og alvorlig kriminalitet. 

Denne avtalen skulle lede fram til et datasystem som skulle gjøre det effektivt å utveksle biometriske data mellom norsk politi og politiet i 20 EU-land. Til VG sa Storberget at systemet skulle stå klart i 2012, men først i desember 2016 inngikk Politidirektoratet (POD) en avtale med det omstridte amerikanske selskapet Palantir om å levere systemet.

Prosjektet fikk navnet «Omnia», og sysemet skulle være klart allerede i 2018. Slik skulle det ikke gå. I november i fjor, nesten to år på overtid, avslørte Politiforum at fagmiljøer hos Kripos hadde rettet ramsalt kritikk mot PODs prosjektstyring og målsetting for prosjektet. POD byttet da ut prosjektledelsen, og reduserte omfanget av prosjektet i håp om å kunne avslutte en langdryg prosjektperiode.

Den 7. februar i år kom beslutningen. I et brev fra POD til Kripos, skriver avdelingsdirektør Kristin Kvigne følgende:

«Politidirektoratet (POD) har besluttet å avslutte Omnia-prosjektet selv om ikke alle kriteriene for prosjektavslutning er tilfredsstilt […] Det gjenstår noe arbeid og leveranser, men dette er definert som forbedringer og mindre viktig leveranser som ikke er til hinder for godkjenningsprosessen. […] POD vil ikke investere ytterligere midler i Ornnia-prosjektet og prosjektet vil avsluttes så snart det er praktisk mulig. Kripos får, formalisert gjennom resultatavtalen, ansvaret for godkjenningsprosessen mot EU/Prüm/USA.»

Politiforum er imidlertid kjent med at beslutningen om å avslutte Omnia-prosjektet ble tatt mot direkte råd fra Kripos, Politiets IKT-tjenester (PIT) og leverandøren Palantir i interne møter 16. og 17. desember 2019.

Prosjektet er nå avsluttet og akseptert som levert fra leverandør, uten at vesentlige forhold er testet, og uten at man vet om utveksling av personinformasjon er lovlig i forhold til personvernet. 

LES OGSÅ: Har brukt 10 år på IT-system: Kripos-ansatte slaktet PODs prosjektledelse

Porteføljestyrets beslutning

Aftenposten har tidligere skrevet at svensk politi bruker 15 minutter på å søke frem resultater fra 20 EU-land, mens norsk politi må bruke minst fem dager på å få de samme svarene. Etter å ha brukt 100 millioner kroner på Omnia, bruker norsk politi fortsatt like lang tid som før. Det er uvisst om prosjektet noen gang kommer i mål slik planen var.

I tillegg til Norge, mangler Hellas, Irland, Italia og Storbritannia Prüm-godkjenning på DNA-tilgang. De samme landene, i tillegg til Ungarn, mangler godkjenning på fingeravtrykk. Alle de øvrige landene i Prüm-samarbeidet har fått dette til å fungere.

I brevet til Kripos erkjenner POD at alle kriterier for prosjektavslutning ikke er tilfredsstilt. Likevel aksepterte POD ved inngangen til 2020 prosjektet som levert fra Palantir - selskapet som i en periode i fjor høst ble ilagt 37.500 kroner i dagsbøter på grunn av forsinkelser i prosjektet. 

Kvigne gir i brevet uttrykk for at høyeste prioritet nå er å få avsluttet prosjektet, uten at hastverket begrunnes. I et referat fra et møte i styringsgruppen for Omnia den 16. desember i fjor, som Politiforum har fått tilgang til, understrekes det imidlertid at porteføljestyret, etter å ha blitt forelagt de faglige innspillene fra Kripos og PIT, «har vært tydelig på at prosjektet skal avsluttes».

Lederen av porteføljestyret er etter det Politiforum forstår politidirektør Benedicte Bjørnland personlig. POD har ikke besvart Politiforums henvendelser om å få intervju med politidirektøren til denne saken. Porteføljestyrets beslutning om å avslutte Omnia-prosjektet, er i tråd med svaret daværende justisminister Jøran Kallmyr (Frp) ga på et skriftlig spørsmål til justiskomiteens leder Lene Vågslid (Ap) 6. mai i fjor. Der gikk Kallmyr langt i å indikere at Omnia-prosjektet skulle fullføres i løpet av 2019.

Pulverisert ansvar

POD erkjenner videre i brevet til Kripos at det gjenstår arbeid og leveranser, men at dette nå er definert som forbedringer og mindre viktige leveranser som ikke er til hinder for godkjenning. Referatet fra møtet i styringsgruppen forteller imidlertid en annen historie.

Styringsgruppen består av POD, Kripos og PIT. I møtereferatet går det fram at både Kripos og PIT i egne brev har frarådet POD å avslutte prosjektet - brev som også har blitt forelagt porteføljestyret. 

«Ved å avslutte prosjektet, pulveriseres ansvar, og risiko øker i stor grad», understreker PIT. Både PIT og Kripos «anbefaler at prosjektet videreføres i nåværende form», går det fram av møtereferatet.

I tillegg påpeker PIT at det er uklarheter knyttet til finansieringen av prosjektet i 2020, bare 14 dager før året begynner.

I møtereferatet beskrives 9 såkalte «Afeil» i prosjektet, blant annet test av backup og ytelse. Dette er feil som er kritiske for prosjektet. I tillegg beskrives 6 «B-feil»; feil som defineres som alvorlige for prosjektet. Referatet beskriver dessuten 19 mindre alvorlige «C-feil».

Prosjekteier POD mener imidlertid det meste av dette er fikset, og er villig til å konvertere A-feilene til B-feil. PODs representant i styringsgruppen beslutter deretter at listen over A-feil ikke skal fremgå som A-feil overfor leverandøren.

«Etter prosjekteiers gjennomgang av feil fremkommer er antall feil vurdert til: 0 A-feil, 3 B-feil og 20 C-feil», står det skrevet i møtereferatet.

Til tross for uenighetene er konklusjonen imidlertid entydig:

«Styringsgruppen er enig i at kriterier for prosjektavslutning ikke er oppfylt, og at prosjektet dermed ikke bør avsluttes. Økonomibehovet vurderes til å bli det samme uansett hvordan det kjøres, men risikoen økes betraktelig ved å ikke opprettholde dagens prosjektorganisering.»

I referatet kan vi i tillegg lese følgende: 

«Prosjektet leverer også det som partene antar skal gjøre løsningen lovlig, selv om dette ikke er testet av personvern enda. Dette har skapt usikkerhet.»

Styringsgruppen vet derfor ikke om utlevering av personopplysninger i systemet er lovlig.

Under møtet ble også muligheten for å presse leverandøren Palantir gjennom å utsette den siste betalingen på fem millioner kroner diskutert, ved å vise til verdien av et godt samarbeid med norsk politi. Det kommer også fram at dersom styringsgruppen velger å ikke akseptere prosjektet, utløser det ytterligere dagsbøter for Palantir.

«Det kan skape utfordringer knyttet til forholdet til leverandøren», bemerker PIT.

Kripos er under møtet tydelig på at det ikke er levert i henhold til kontrakten, og påpeker at det er store ytelsesutfordringer og at systemet fremstår som ustabilt. Kripos opplever det som vanskelig å akseptere løsningen på bakgrunn av dette, og at man ikke vet om løsningen er lovlig eller ikke med hensyn til personvernet.

Fagfolkene fra Kripos mener tidspunktet for å akseptere løsningen er pussig, når overstående ikke er på plass. De mener prosjektet må bruke de mulighetene som er for å få ting i orden, og stiller spørsmål ved hvorfor POD gjør alt man kan for å avslutte prosjektet. Kripos påpeker at det ved en aksept av prosjektet skapes en usikkerhet ved at leverandøren kan velge å ikke prioritere å utvikle løsningen.

Dagen etter, den 17. desember 2019 møter styringsgruppen leverandøren Palantir. I referatet fra dette møtet, går det fram at også leverandøren Palantir er skeptiske til å avslutte prosjektet, og ser «betydelig risiko» knyttet til flere momenter.

«Valg om å ta fokus bort fra testing av integrasjoner medfører økt risiko for at feil ikke er avdekket», bemerker Palantir, ifølge møtereferatet.

«Dette har vært et bevisst valg for å kunne godkjenne løsningen før jul. Kunde (POD, red.anm.) er klar over at dette kan skape konsekvenser senere», repliserer styringsgruppen.

Til tross for bekymringene fra både styringsgruppen og leverandøren, går det fram av referatet at Omnia-prosjektet skal avsluttes:

«Internt har kunde fått beskjed om at prosjektet skal avsluttes til jul, men kunde presiserer at kundens styringsgruppe anbefaler internt at prosjektet ikke bør avsluttes. Denne anbefalingen er per i dag ikke vurdert ytterligere.»

- Viktig med sluttdato

Det er politifagavdelingen i Politidirektoratet som er Omnias prosjekteier. De skal håndtere politiets tilgang til biometriske data i de øvrige Prüm-landenes politiregistre, og de andre landenes tilgang til det samme i de norske politiregistrene.

Avdelingsdirektør Kristin Kvigne er formelt prosjektets eier, men det er fungerende prosjekteier Arild Hagen som svarer på Politiforums spørsmål. Hagen sier det ikke har skjedd noe spesielt siden Politiforum sist skrev om saken som har påvirket beslutningen om å avslutte prosjektet.

– Allerede i februar i fjor varslet vi at det var nødvendig å gjøre noen grep for å komme til prosjektavslutning. Vi varslet at det var mål om å avslutte prosjektet i 2019, og vi har kalt det en «forsert prosjektavslutning», sier han.

– Hvorfor slikt hastverk nå som prosjektet ikke er ferdig, og ikke har nådd alle mål?

– Det stemmer at prosjektet ikke har tilfredsstilt alle kriteriene for prosjektavslutning. Det meste er på plass for å gjøre godkjenningsløpet mot Prüm-landene, men dette velger vi å gjøre utenfor prosjektet, svarer Hagen.

Etter det Politiforum erfarer, skal POD ha besluttet å droppe testing av blant annet back-up, fordi det tok for lang tid med tanke på å få en akseptanse av prosjektet før 31. desember 2019. På spørsmål om dette medfører riktighet, og om POD bevisst har endret mangler fra A-feil til B-feil av samme årsak, svarer Hagen:

– Det er mange forhold som inngår i en akseptansevurdering. Det stemmer at det ble foretatt en prioritering av hvilken rekkefølge ulike leveranser skulle være på plass, men det er ikke i vår interesse å akseptere en løsning som ikke tilfredsstiller kravspesifikasjonen. Prosjektet som organisasjonsform ble avsluttet da alle viktige leveranser var på plass, og leverandøren fortsetter å levere i henhold til gjeldende avtale. Det som leveres fremover er mindre viktig funksjonalitet, og deler av avtalesummen er holdt tilbake til restleveransene blir levert som avtalt i 2020, sier Hagen.

– Hvorfor ønsket porteføljeforvalter i POD å forsere avslutningen av prosjektet, når både leverandør, Kripos og PIT advarer mot for tidlig prosjektavslutning?

– Som beskrevet i tidligere intervju har Omnia-prosjektet gått utover sine rammer både med tanke på tid og ressurser. Det har vært viktig for POD å sette en tydelig sluttdato for Omnia prosjektet. Vi vil fortsatt sørge for at restaktivitetene etter prosjektet blir fullført, og fordeler oppgavene mellom POD, PIT og Kripos.

Seks stillinger til Kripos

På spørsmål om hva som har blitt bedre for politiet etter at POD har brukt 100 millioner på Omnia, svarer Hagen dette:

– Prosjektet har lagt til rette for at to internasjonale avtaler som Norge har inngått kan iverksettes: Prüm-avtalen med EU og PCSC-avtalen med USA. Blant leveransene er ny internasjonal journalføringsapplikasjon, EUCARIS-kjøretøyklient via Agent og tilpasning av biometri-fagapplikasjonene. Vi vil også få tilgang til en analyseløsning til bruk for internasjonal etterforskning.

Etter det Politiforum erfarer, skal Riksrevisjonen ha vist interesse for Omnia/Prüm-prosjektet. På spørsmål om dette stemmer, svarer Hagen: – Dette spørsmålet bør rettes til Riksrevisjonen.

Riksrevisjonen har ikke besvart Politiforums henvendelser.

Hagen erkjenner at det gjenstår noe arbeid med dataløsningen Omnia, men sier Kripos får seks stillinger i 2020 for å håndtere merarbeidet som nå blir overført i linjen til Kripos. POD skal fremdeles håndtere selve kjøpsavtalen med Palantir.

– Går politiets utveksling av biometriske data med Prüm-landene nå som planlagt?

– Vi har ikke godkjenningsløsningen mot Prüm-landene godkjent ennå, men vi mener vi har forutsetningene på plass. Dette må altså godkjennes av Prüm. Det er det Østerrike som skal gjøre på vegne av alle Prüm-landene. Mot USA er godkjenningen på plass og godkjent av FBI, sier Hagen.

Hagen avkrefter at det var en plan om at hver enkelt etterforsker skulle kunne søke i alle europeiske politiregistre i jakt på biometriske data. Måten det skal gjøres på er at politidistriktet sender en forespørsel til Kripos, som skal ha tilgang for å få raskt svar på om det er treff i andre lands politiregistre.

Det enkelte land får deretter ansvar for å svare opp med utfyllende informasjon som knyttes til treffet. Fordi en norsk løsning ennå ikke er godkjent i Prüm, går det fremdeles på gamlemåten, ved at Kripos på vegne av politidistriktet manuelt sjekker med Interpol og hvert enkelt Prüm-land når det er mistanke om terror eller annen alvorlig kriminalitet.

– Hvem skal betale for å få ferdig det som ennå ikke er i orden nå som prosjektet er akseptert levert?

– Det som gjenstår i funksjonalitet forpliktet Palantir seg til å levere i løpet av 2020 innenfor det de alt har fått betalt for. Det medfører ingen kostnad for oss, svarer Hagen.

– Hva vil de årlige utgiftene knyttet til Omnia være, de såkalte forvalningsutgiftene?

– I avtalen med Palantir skal vi betale 11,6 millioner kroner i 4+1+1 år. I det inngår en vedlikeholdsavtale med Palantir på 8 millioner. I tillegg kommer stillinger i PIT som skal jobbe med teknisk videreutvikling av en løsning. Det som ikke er avklart, er hvor store forvaltningskostnader det blir hos Kripos. Det må vi se på når vi har fått koblet oss opp til fl ere land. Målet er at vi skal få Østerrike på plass i 2020, så får de andre landene komme til etter hvert.

Usikkert om analysedel

Dataverktøyet fra Palantir skulle også inneholde en analysedel. På spørsmål om den kommer til å bli ferdigstilt når POD varsler at de ikke vil investere mer penger, svarer Hagen:

– Jeg håper det. Etter planen skal som sagt Palantir ferdigstille dette i 2020. Når løsningen foreligger, og den oppfyller alle våre krav, skal den etter planen settes i produksjon.

Kilder hos Kripos uttrykker overfor Politiforum at de ikke har den samme troen.

– Den kommer aldri til å bli tatt i bruk fordi løsningen er altfor komplisert. Vi trengte en kantklipper, POD laget en kravspesifikasjon tilpasset en stor «sitteklipper». Og det vi fikk var en enorm fjernstyrt skurtresker som ødelegger alt den kommer over, og som ingen har kompetanse til å kjøre, sier en anonym Kripos-kilde til Politiforum.

Hos Kripos var det 10. mars, over en måned etter brevet fra POD ble sendt, uklart om prosjektorganisasjonen knyttet til Omnia formelt sett var avsluttet. Overgangen til linjedrift var ikke klar, og forvaltningsorganisasjonen for Omnia var ikke satt i drift.

– Kripos forholder seg til at det som ikke har blitt avsluttet av prosjektet, skal ivaretas av Kripos og PIT, opplyser fungerende avdelingsleder Tom Korneliussen hos Kripos til Politiforum.

Korneliussen bekrefter via e-post at Kripos har fått signaler om at de vil få ansvar for godkjenningsprosessen mot EU. I skrivende stund er det uklart når dette godkjenningsløpet kan starte, sier han.

– Norge er ikke operativ i Prüm-samarbeidet per i dag. Når godkjenning foreligger i EU skal vi lage avtaler med ett og ett land før utvekslingen av biometri vil starte. Denne prosessen vil også pågå over noe tid, opplyser Korneliussen, uten at han vil binde seg til en tidsmessig fremdrift.

Hos POD opplyser Arild Hagen at det ikke skal godkjennes i ett og ett land, men at ordningen er slik at hvis Østerrike godkjenner, vil det være godkjent for alle Prüm-landene. Dermed råder det en uklarhet om omfanget av godkjenningsordningen og om norsk politi må få godkjent Omnia som saksbehandlingsverktøy i ett og ett Prüm-land, eller kun ett.

Som Politiforum skrev i november i fjor, er Prüm/Omnia-prosjektet tilbake til opprinnelig løsning, med å kun være et enklere saksbehandlingsverktøy. Kilder internt i politiet karakteriserer løsningen som et «litt avansert e-postprogram», som til nå har kostet omtrentlig 100 millioner kroner.

Den omfattende løsningen som det amerikanske firmaet Palantir tilbød, med en avansert analyseløsning for behandling av store datamengder, er løftet ut av Omnialøsningen som nå er akseptert som levert til politiet.

– Analysedelen er nå nedprioritert, og nødvendige integrasjoner for denne delen av systemet er ikke på plass, opplyser Korneliussen.

Tilbake står politiet med en løsning hvor programmet Omnia primært skal brukes til saksbehandling og utveksling av informasjon innenfor internasjonalt politisamarbeid, herunder i Prüm. På spørsmål om Kripos er fornøyd med å få ansvaret for å få godkjent Omnia hos EU/Prüm og USA, svarer Korneliussen:

– Det er uheldig at det prosjektutløsende behovet ikke er løst, altså at Norge ikke er Prüm-operative, før prosjektet avsluttes. Vi mener at avslutning av prosjektet vil medføre økt gjennomføringsrisiko og lengre tid til implementering. Det er blant annet flere avhengigheter i dette arbeidet som Kripos ikke har eierskap til.

– Får Kripos ressurser for å få dette godkjent?

– Kripos har fått midler for 2020 fra POD som gjenspeiler det personalet som jobber fulltid med sluttføring av oppgaver som gjensto i prosjektet, med et særlig ansvar for godkjenningsprosessen mot EU.

– Hva her blitt bedre for norsk politi med tanke å utveksle biometriske data, sammenlignet med før Omnia?

– Norsk politi er ikke operative i Prümsamarbeidet per nå og det er av den grunn ingen endring på nåværende tidspunkt. Det vil ikke bli noen endringer før Prümavtalen er operasjonalisert. Det er likevel viktig å presisere at det er fullt mulig å dele biometriske data gjennom for eksempel Interpol-samarbeidet, men samarbeidet med avtalelandene vil være mer effektivt når vi er Prüm-operative.

– Når kan politidistriktene oppleve forbedret tilgang til biometriske data fra Prüm-landene?

– De gevinstene vil tidligste komme når politiet er Prüm-operative. Grensesnittene mot distriktene er ikke ferdig, samtidig er det ikke gjort noen avtaler med noen av de andre Prüm-landene. Når dette er sluttført er det for tidlig å si, men prosessen starter i 2020. 

Viktig forbehold

Politiets IKT−tjenester (PIT) som er direkte underlagt POD, har bistått i prosjektet Omnia. Fungerende avdelingsdirektør for PITs avdeling for leveranse, teknologi og sikkerhet, Åsmund Realfsen, besvarer Politiforums spørsmål via e-post.

– På hvilken måte har PIT vært involvert i akseptansen av Omnia fra leverandøren Palantir?

– PIT har sittet i styringsgruppen i prosjektet og deltatt i styringsdialogen med Palantir. Vår rolle har vært som rådgiver samt tilrettelegger for tekniske miljøer og grensesnitt.Vi har testet alle leveransene fra leverandøren, og som deltaker i styringsdialogen med Palantir, har PIT vært med å godta akseptansen med det viktige forbeholdet om at Palantir leverer restanser i henhold til en retteplan.

– Mener PIT at prosjektet er fullført i henhold til anbudet?

– Vi forholder oss til PODs beslutning om å avslutte prosjektet og at leverandør har forpliktet seg til å levere restansene i henhold til en retteplan. PIT skal overta ansvaret for løsningen når den er klar til å gå over i vanlig drift og forvaltning, svarer Realfsen.

– I hvilken grad har prosjektet oppnådd målene som var satt?

– Måloppnåelsen er knyttet til Prümavtalen og er en vurdering som eier (POD) og bruker (Kripos) av tjenesten må gjøre.

– Kan nå norsk politi enkelt søke i Prüm-landenes biometriske politisystemer?

– Dette spørsmålet må stilles til Kripos og POD, svarer han.

Politiforum har vært i kontakt med Justis- og beredskapsdepartementet for å få et intervju med statsråd Monica Mæland (H) til denne saken, men dette har ikke latt seg gjøre. 

LES OGSÅ: 37500 kroner i dagbøter til Palantir