Bevaring og kassasjon i informasjonssystemer

Veilederen er ment for deg som har ansvar eller oppgaver innen anskaffelse, drift, forvaltning og uttrekk fra datasystem. Dette kan for eksempel være arkivledere, ledere, innkjøpere, fagansvarlige, systemeiere, systemansvarlige og IKT-ansvarlige. Den er relevant for statlige, kommunale og fylkeskommunale arkivskapere, og leverandører av ulike datasystem. 

Formålet med veilederen er å hjelpe virksomheter med å identifisere risiko og redusere eller forebygge sårbarheter som kan føre til informasjonstap. Veilederen skal også bidra at bevaringsverdig informasjon blir bevart, og til at informasjon uten bevaringsverdi for ettertiden kan slettes eller kasseres før overføring til arkivdepot. 

Alle informasjonssystem må ha funksjonalitet som som sørger for at dokumentasjonspliktene og informasjonsbehovet til virksomheten blir ivaretatt så lenge som nødvendig, og at informasjon som ikke har verdi for ettertiden kan kasseres. Dette bidrar til å redusere kostnader, frigjøre ressurser og lagringsplass, redusere behovet for støtte for eldre infrastruktur og legger til rette for mer effektiv drift.

Veilederen forutsetter at virksomheten har en oppdatert bevarings- og kassasjonsplan. Se mer om fremgangsmåten for statlige fagsaker  og bevaring og kassasjon i kommune og fylkeskommuner.

Ved en integrasjonsløsning må virksomheten lage regler for hvilken informasjon som skal overføres, når den skal overføres og hvordan. Reglene kan være rutinebaserte, for eksempel ved at den enkelte bruker aktivt må velge å arkivere, eller de kan være automatiserte på grunnlag av gjennomførte handlinger i fagsystemet. 

Regelmessig kvalitetssikring av den arkiverte informasjonen kan bidra til å avdekke manglende overføring fra fagsystemet. Ved en manuell telling av antall mapper, journalposter og andre registreringer fra fagsystemet mot samme typer i arkivet, kan man oppdage avvik, altså manglende overføringer. En slik kvalitetssikring vil gi svar på om informasjonsinnholdet er det samme på tvers av de ulike virksomhetsspesifikke metadata i datasystemene, samt gi indikasjoner på utilsiktet informasjonstap. 

Klare og entydige rutiner kombinert med opplæring kan redusere risiko for lav dokumentfangst.  Hvis det er svikt i den automatiserte overføringen, bør man teknisk undersøke hvor problemet oppstår. For eksempel om problemet er knyttet til funksjoner i fagsystemet, oppsettet av integrasjonsgrensesnittet og reglene for hva som utløser overføring, eller om det er selve overføringen til og mottaket i arkivsystemet. 

Spesialiserte fagsystem er utformet for å støtte spesielle oppgaver, og er avhengig av spesifikke metadata som er særskilte for oppgaveløsningen på fagfeltet. Disse metadataene kan være virksomhets- eller fagspesifikke, og generelle arkivsystem har ofte ikke støtte for dem. En overføring som ikke tar med slike metadata vil ofte innebære en betydelig svekkelse av informasjonsverdien til den arkivpliktige informasjonen, og kan i ytterste konsekvens medføre uhjemlet kassasjon. Eksempler på standardiserte API er KS Fiks arkiv, KS Fiks SvarUt/SvarInn etc. 

Informasjonen i fagsystemet bør kartlegges for å identifisere vesentlige egenskaper ved informasjonen som blir skapt, mottatt og brukt i oppgaveløsningen, og hvilket behov virksomheten har for fortsatt å ta vare på disse egenskapene over tid. For eksempel kan virksomhets- eller fagspesifikke metadata som brukes til analyser i og av et fagsystem også ha verdi for andre formål senere. Dere må ta stilling til om slike metadata skal overføres til arkivsystemet og være tilgjengelig som arkivdata tilrettelagt for langtidslagring.  

Noen arkivsystem legger til rette for bevaring av virksomhetsspesifikke metadata, men dette er noe dere bør forsikre dere om før løsningen velges og integrasjonen settes opp. Dere må ikke ta i bruk en integrasjonsløsning som ikke tar vare på den bevaringsverdige informasjonen fra fagsystemet, samt sikrer gjenfinning for ettertiden i arkivuttrekket. 

Metadata kan bli utsatt for utilsiktede endringer eller tap som følge av integrasjoner, noe som kan svekke både informasjons- og dokumentasjonsverdien til den arkivinformasjonen som overføres. Dette kan dreie seg om autentisitetsstøttende metadata om enkeltdokumenters identitet og opphav (som ikke blir overført, som blir overskrevet eller opprettet på ny i arkivsystemet. Det kan også være metadataelementer som kreves i arkivsystemet, men som ikke finnes i fagsystemet, og som i integrasjonsoppsettet får tilført en « dummyverdi» for at overføringen ikke skal feile. 

Det er også tilfeller hvor standardverdier for visse metadata i fagsystemet ikke stemmer med standardverdier i arkivsystemet, som gjør at metadataelementer må endre verdi ved overføring. 

Kartlegg og vurder verdien av metadata og strukturer i fagsystemet, og sørg for at spesifikasjonen for integrasjonsløsningen er klar på hva som skal overføres og hvordan. Sørg for å kvalitetssikre integrasjonen når den tas i bruk for å sikre at tilstrekkelige metadata overføres og forblir uendret, og etabler rutiner og prosedyrer for løpende kvalitetssikring når den er i drift. 

Selv om informasjon overføres til en arkivkjerne som skal ivareta arkivfaglige krav og behov, er det vanlig også å beholde informasjonen i fagsystemet som støtte for fortsatt oppgaveløsning der. Mange saksbehandlere vil også fortsette å bruke informasjonen i fagsystemet som autoritativ dokumentasjon på hva som er gjort når. Dersom det mangler rutiner og prosedyrer for gjensidig vedlikehold av informasjon som finnes begge steder, kan virksomheten komme i en situasjon der samme informasjon i to ulike system ikke er lik, og at man til slutt ikke har tillit til informasjonen som er arkivert i arkivsystemet. 

Arkivpliktig informasjon bør lagres ett sted. Arkivsystemet bør være den autoritative kilden til informasjon og dokumentasjon i virksomheten. Forutsetningen er at arkivsystemet er tilpasset og støtter opp under behovene til og premissene fra oppgaveløsningen.  

Brukerfeil er en risiko i ethvert informasjonssystem. Informasjon som legges inn i feil metadatafelt kan føre til at informasjonen ikke blir bevart, hvis metadatafeltet ikke blir med i arkivuttrekket. Oppgaver som ikke fullføres (f.eks. utføre behandlingsoppfølging eller avslutning av saker) kan føre til at systemet ikke «vet» at prosessen skal tas videre til neste steg, som gjør at nødvendige prosedyrer for kvalitetssikring og avslutning ikke blir gjennomført. 

Sørg for arkivrutiner og opplæring som kontrollerer og sikrer riktig bruk og arkivering i informasjonssystem. 

Når informasjon opprettes i et informasjonssystem, registreres også metadata som beskriver informasjonsinnholdet. Informasjon som mangler tilstrekkelige metadata, kan ha en lavere informasjons- og gjenbruksverdi. Eksempler kan være titler som ikke gir en dekkende eller presis beskrivelse av hva saken eller dokumentet handler om, manglende samsvar mellom metadata for dokumentets dato og den faktiske datoen som står på dokumentet, manglende registrering av behandlingsoppfølging som fører til at saker ikke blir avsluttet, manglende registrering av skjermingsinformasjon, mv. 

Etabler rutiner som sørger for registrering og kvalitetssikring av tilstrekkelige metadata. Både informasjonsinnholdet og relevante metadata må bevares samlet, uendret og være anvendbart over tid. Dette er nødvendig for at sikre at informasjonen kan gjenfinnes i ettertid. 

Oppbevaringstid og bevarings- eller kassasjonsbestemmelse på saker og dokumenter bør være regelstyrt i informasjonssystem. For eksempel er hovedregelen i de fleste sakarkivsystemer at bevaring og kassasjon styres av klassifikasjonssystemet, ved at den enkelte klasse, eller arkivkode, bestemmer om saken skal bevares eller kasseres, og eventuelt når kassasjonsfristen er. Feil i klassifikasjonen kan dermed føre til at bevaringsverdig informasjon blir kassert eller at kassabel informasjon blir bevart. 

Rutiner og opplæring i bruk av systemet er viktig, samtidig som systemet bør legge til rette for at det er lett å gjøre rett. Det må etableres rutiner som beskriver ansvar for registrering av klassering i sakene og journalpostene som opprettes, og for kvalitetssikring av registreringen. Dette bør ivaretas under periodisk internkontroll og alltid sjekkes før avslutning av sak. 

En systemoppgradering innebærer at det utføres endringer i databasen, som påvirker hvordan systemet fungerer. Det er en flytende overgang mellom det som kan regnes som mindre feilrettinger og vedlikehold av informasjonssystemet, sammenlignet med større oppgraderinger, endringer, migrasjoner eller overføringer. 

Dere må selv vurdere hvilken risiko slike tekniske arbeidsprosesser innebærer – gjerne i samarbeid med bevaringsinstitusjon/depot og leverandøren av informasjonssystemet. Før oppgradering av informasjonssystemet bør dere ta en sikkerhetskopi av originalbasen, slik at den er intakt. På den måten reduseres eller fjernes risiko for tap av informasjon dersom oppgraderingen feiler. 

I tillegg bør dere ta en teknisk sjekk, det vil si en telling av informasjonsobjektene i den opprinnelige versjonen, for å sjekke at mengder stemmer overens med informasjonen i ny versjon. Om antallet saker, registreringer og dokumenter ikke er 1:1, kan dette være nok til å vise at oppgraderingen har feilet og at det har skjedd et utilsiktet informasjonstap. 

Ved bytte av system er det nødvendig å migrere eller  konvertere data og informasjon fra det gamle systemet til det nye. En migrering, eller overføring av innhold fra ett system til et annet, kan medføre informasjonstap, både på dokumentnivå og metadatanivå. En konvertering innebærer en større transformasjon av dataene som overføres, og kan øke risikoen. Dette er aktuelt for både fagsystem, sak-/arkivsystem og arkivkjerner, og spesielt hvis det i tillegg innebærer bytte av leverandør.  

Før en migrering eller konvertering av informasjon og data fra ett informasjonssystem til et annet, må dere ta en sikkerhetskopi av originalbasen, slik at den er intakt. På den måten reduseres eller fjernes risiko for tap av informasjon dersom oppgraderingen feiler.  

Et eksempel på risiko ved migrering og konvertering av informasjon mellom systemer, er at systemene ofte har ulike tekniske datamodeller i bunn. Dette kan medføre at overføringen ikke blir 1:1 mellom originalt og nytt system, og overførselen av informasjon bør dermed sjekkes via stikkprøver. Derfor bør også et teknisk skarpt periodeskille vurderes, før man velger migrering eller konvertering som metode.  

I tillegg bør dere ta et arkivuttrekk fra det originale systemet, som overføres til og testes av arkivdepotet deres. Dette sikrer at bevaringsverdige arkivdata fra det opprinnelige systemet ikke går tapt. Vi anbefaler også at det bevares dokumentasjon av stikkontroll av migreringen.  

Selv om dere benytter standardiserte grensesnitt (API) for å arkivere fra fagsystem til arkivsystem, vil integrasjonsoppsettet påvirkers dersom dere bytter ut enten fagsystemet eller arkivsystemet, med risiko for at integrasjonen ikke lenger fungerer. Det kan være at datagrunnlaget og -strukturene i nytt fagsystem skiller seg såpass mye fra det gamle at integrasjonen må defineres på nytt, eller at nytt arkivsystem mangler eller har flere muligheter for bevaring av strukturerte data sammenlignet med det gamle. 

Når dere tar i bruk nytt system, bør dere på nytt se på risikopunktene nevnt over, om sentral arkivering i et dedikert arkivsystem. Det er de samme risikomomentene som på nytt kan gjøre seg gjeldende i større eller mindre grad. 

Et uttrekk skal kun inneholde arkivmateriale som skal bevares for ettertiden. Kassasjon skal skje før uttrekket overføres til arkivdepot. Manglende kassasjon kan skyldes at virksomheten ikke har godkjent bevarings- og kassasjonsplan for informasjonen, eller at en godkjent bevarings- og kassasjonsplan ikke er implementert i informasjonssystemet. Nasjonalarkivet kan nekte å ta imot arkivuttrekk fra statlige virksomheter som inneholder kassabel informasjon, for eksempel personopplysninger.

Det er risiko for at innholdet i et uttrekk ikke reflekterer virksomhetens bevarings- og kassasjonsplan, slik at bevaringsverdig informasjon mangler i uttrekket, eller at informasjon som skulle vært kassert er inkludert i uttrekket. Dette kan skyldes at bevarings- og kassasjonsplanen ikke er tilpasset hvordan arkivet er organisert i systemet, at planen ikke er tydelig nok, eller av andre grunner ikke er mulig å bruke for å definere innholdet i et arkivuttrekk 

Et arkivuttrekk må lages på grunnlag av godkjente bevarings- og kassasjonsregler som det er mulig å bruke. Dersom det viser seg at det er vanskelig å ta reglene i bruk, kan det være behov for å revidere dem. En slik situasjon vil avhenge av arkivskapers spesifikke informasjonssystem, og vil kreve veiledning og en risikovurdering sammen med Nasjonalarkivet. 

Det kan skje feil i uttrekksprosesser, både tilsiktede og utilsiktede feil. En vanlig, tilsiktet feil er at uttrekksprodusenten gjør endringer i dataene i arkivuttrekket for at det lettere skal godkjennes av mottaket hos arkivdepot, for eksempel ved at det fylles ut falske verdier i obligatoriske felt som manglet i produksjonssystemet, eller at ulovlige verdier endres til lovlige. Det har også vært tilfeller av at det er flere objekt i databasen enn i uttrekket, for eksempel saker eller journalposter som ikke er blitt med i uttrekket, eller nøkkelverdier som viser til tabeller eller filer som ikke er med i uttrekket. 

Arkivuttrekk som stemmer med originaldatabasen blir godkjent, også om det er feil eller manglende verdier i obligatoriske felt, om det er journalposter som ikke tilhører noen sak, om det er datoer som ligger utenfor arkivperioden, for å nevne noen. Det må gjøres klart for uttrekksprodusenten at det ikke skal gjøres endringer i arkivuttrekket, som gjør at det ikke er samsvar mellom innholdet i uttrekket og den originale databasen. 

Dersom det skjer feil i produksjon av uttrekket, må uttrekket tas på nytt. 

Les mer om dette i sjekkliste ved overføring av elektronisk materiale – Noark-systemer. 

Det er risiko for at valg av feil uttrekksformat vil føre til informasjonstap, med reduserte muligheter for sammenstilling eller søk i informasjonen, eller etterprøving av informasjonens autentisitet og integritet. Eksempel kan være at innholdet i registersystem skrives ut til PDF-filer, databasedumper uten tilstrekkelige malsett for å lese og tilgjengeliggjøre informasjonen, eller Noark-uttrekk fra fagsystem uten virksomhetsspesifikke metadata. 

Ved valg av uttrekksformat, må dere forsikre dere om at arkivuttrekket opprettholder informasjonens tilsiktede egenskaper, inkludert arkivfaglige egenskaper som integritet og autentisitet. Uttrekksformatet må ivareta muligheter for senere bruk, blant annet gjenfinning og gjenbruk av informasjonen. 

Se også vår veileder om uttrekk for langtidsbevaring.