KOFA 2022/992: Tilbudsevaluering kvalitetssystem – NHH

Saken gjelder: De generelle kravene i § 4. Tilbudsevaluering. Norges Handelshøyskole publiserte en frivillig kunngjøring av konkurranse for anskaffelse av nytt kvalitetssystem. Klager anførte at prinsippene om likebehandling og forutberegnelighet ble brutt ved at innklagede la feil faktum til grunn og vektla forhold utenfor tildelingskriteriets rammer. Klagers anførsler førte ikke frem. Klagenemndas avgjørelse 13. september 2022 i sak 2022/992 Klager: Datakvalitet AS Innklaget: Norges Handelshøyskole Klagenemndas medlemmer: Marianne Dragsten, Arnt Skjefstad og Elisabeth Wiik Bakgrunn:

(1) Norges Handelshøyskole (heretter innklagede) publiserte 27. desember 2021 en frivillig kunngjøring for anskaffelse av kvalitetssystem. Tilbudsfrist var 21. januar 2020.

(2) I konkurransegrunnlagets punkt 1.2 ga innklagede følgende beskrivelse av behovet: «Avtalen gjelder nytt komplett kvalitetssystem inkl. internkontrollsystem til NHH. NHH har p.t. identifisert behovet sitt til å være følgende moduler og systemet må inneholde alle: • Dokumentasjon • Avvikshåndtering • Revisjon • Risiko • GDPR/Personvern Standard funksjonalitet innen hver modul er forventet. Systemet må enkelt kunne utvides med andre/flere moduler på et senere tidspunkt, hvis og når NHH finner det nødvendig.»

(3) Innklagede opplyste i konkurransegrunnlaget at de planla å gjennomføre konkurransen uten dialog. Om adgangen til forhandlinger fremgikk følgende: «Forhandlinger kan likevel bli gjennomført dersom oppdragsgiver, etter at tilbudene er mottatt, vurdere det som hensiktsmessig. Utvelgelsen vil i så fall bli gjort etter en Postadresse Besøksadresse

Sentrum 5015 Bergen www.klagenemndssekretariatet.no

vurdering av tildelingskriteriene. Det presiseres at ingen leverandører kan forvente dialog om sitt tilbud og derfor må levere sitt beste tilbud.»

(4) Kontrakt skulle tildeles tilbudet med det beste forholdet mellom pris og kvalitet, basert tildelingskriteriene «Kvalitet på system» og «Kostnad» angitt i prioritert rekkefølge, der kvalitet hadde høyest prioritet.

(5) Om tildelingskriteriet «Kvalitet på system» var det opplyst følgende: Kriterium Dokumentasjon Kvalitet på system - Dokumentasjon av funksjonalitet og - Vurdering av funksjonalitet brukervennlighet opp mot krav og brukervennlighet opp mot - Ev. demonstrasjon av system krav

(6) I kravspesifikasjonen var følgende krav inntatt: «Standard funksjonalitet innen hver modul er forventet. Systemet må enkelt kunne utvides med andre/flere moduler på et senere tidspunkt, hvis og når NHH finner det nødvendig. Felles krav til alle modulene: - skal være tilgjengelige på tilbudstidspunkt. System som innehar moduler som ikke er ferdigutviklet på tilbudstidspunkt, tilfredsstiller ikke kravet - skal være enkle å bruke, vedlikeholde og videreutvikle etter hvert som behovene endrer seg - skal ha tilgang til å tilpasse alle komponenter i alle moduler selv - skal være enkelt å lage rapporter og samlerapporter - skal være enkelt å lage rapporter på tvers av modulene - skal være enkle, intuitive, oversiktlige og lettvinte å bruke. Det skal ikke være nødvendig med mye opplæring av nye brukere Det er nødvendig med tilgangsstyring i skyen ved hjelp av Azure AD (Office 365) og med autorisasjon innenfor hver enkelt modul. Hendelsesregistrering i systemet er et krav. Utgåtte dokument, som har krav om tidsavgrenset lagring, må kunne bli tatt hånd om innenfor kvalitetssystemet. Det må også være mulig å enkelt få tak i de utgåtte dokumentene igjen, om nødvendig.»

(7) Innen utløpet av tilbudsfristen mottok innklagede tilbud fra åtte leverandører, inkludert Datakvalitet AS (heretter klager).

(8) Innklagede gjennomførte et evalueringsmøte 8. februar 2022. I møtet ble det besluttet å gå videre med tilbudene fra Sikri AS, Quality Manager + Com AS og klager. De tre leverandørene ble innkalt til dialogmøter hvor de skulle presentere tilbudt løsning.

(9) Etter dialogmøtet henvendte innklagede seg til klager og stilte følgende spørsmål: «Mitt spørsmål dreier seg om hvorvidt dette systemet har en forhåndsdefinert mal (maler) for å ta ut artikkel 30 protokoll som er et krav i henhold til personvernsforordningens artikkel 30. Siden NHH både er behandlingsansvarlig og databehandler er vi pålagt å føre protokoll i begge henseende. Jeg ønsker en avklaring på om dette er noe vi må bygge eller om det er moe som ligger implisitt i løsningen. (…)»

(10) Klager svarte at «dette ligger implisitt i løsningen og at protokoll kan hentes ut korrekt med tilhørende opplysninger for komplett oversikt».

(11) Det ble avholdt et ytterligere møte med Sikri AS for presentasjon av tilbudt løsning 21. mars 2022.

(12) Kontrakt ble tildelt Sikri AS (heretter valgte leverandør) 20. mai 2022. Om evalueringen av kvalitet var det gitt følgende begrunnelse: «Sikri har samlet bevist best kvalitet på sitt kvalitetssystem (Samsvar) ut fra NHH sitt behov. Modulene er tilgjengelige på tilbudstidspunkt, det er enkelt å tilpasse alle komponenter, det er enkelt å lage rapporter, og modulene er intuitive, oversiktlige og lettvinte å bruke. Sikri leverte et oversiktlig og ryddig tilbud som gjorde det enkelt å få tak i essensen i deres løsning. Sikri viste at de har en svært grundig og inngående kompetanse innen dette fagområdet og at de har omsatt dette til et svært komplett, oversiktlig og brukervennlig kvalitetssystem som inneholder alle etterspurte funksjonaliteter. Sikri får spesielt uttelling for sin utfyllende risikomodul som er svært gjennomtenkt og intuitiv å benytte.»

(13) Om evalueringen av kostnad fremgikk følgende: «Vi har vurdert kostnad for 40 brukere og opp til 80 brukere for å fange opp lisensmodellen til den enkelte leverandør. Sikri ligger i øvre sjikt prismessig. Barn-Nett tilbød billigste løsning.»

(14) Dette ga følgende samlede vurdering: «Et solid kvalitetssystem er avgjørende for NHH. Prioriteringsrekkefølgen for tildelingskriteriene viser at kvalitet vil prioriteres høyere enn pris. Sikri og Datakvalitet er vurdert å ha levert de beste tilbudene. Sikri er vurdert å ha det beste systemet totalt sett, Datakvalitet har en bedre pris. Etter en skjønnsmessig totalvurdering der kvalitet vektlegges høyere enn pris vinner Sikri konkurransen.»

(15) Klager begjærte innsyn i anskaffelsesprotokoll, evalueringsrapport og tilbudene fra valgte leverandør og Quality Manager + Com AS. Innklagede ga klager innsyn i

anskaffelsesprotokoll og sladdete tilbud 31. mai 2022. Begrunnelsen for tildelingen ble i svaret utdypet.

(16) Om evalueringen av kvalitetskriteriet var det gitt følgende redegjørelse: «Det er for NHH helt klart at Sikri, etter en total vurdering, har det beste systemet for å dekke NHH sitt behov. Datakvalitet ble vurdert å ha tett opp mot det beste systemet. Sikri fikk derfor 10/10 for tildelingskriteriet kvalitet, mens Datakvalitet fikk 9/10.»

(17) Det ble videre opplyst at kvalitetskriteriet var vektet 70 prosent.

(18) I tillegg ble det lagt frem tabell som viste følgende rangering og poengfordeling: 40 brukere 80 brukere Leverandør Rangering Total score Rangering Total score Barn Nett 8 5,80 8 5,80 Complio 6 6,47 6 6,19 CoPro 5 7,01 4 6,50 Datakvalitet 2 8,05 2 8,05 Extend 4 7,17 5 6,45 QmPlus 3 7,22 3 7,22 RISMA 7 5,99 7 5,90 Sikri 1 8,07 1 8,07

(19) Klager påklaget tildelingsbeslutningen 1. juni 2022. I klagen ble det vist til at vurderingen av tildelingskriteriet «Kvalitet på system» var i strid med anskaffelsesloven § 4. Innklagede tok ikke klagen til følge i sitt svar 15. juni 2022.

(20) Klager sendte deretter en tilleggsklage 23. juni 2022. Tilleggsklagen ble ikke tatt til følge og innklagede opprettholdt tildelingsbeslutningen 30. juni 2022.

(21) Klagen ble brakt inn for Klagenemnda for offentlige anskaffelser 4. juli 2022. Innklagede har opplyst at kontraktsinngåelse utsettes til klagenemnda har behandlet saken. Saken behandles derfor som en prioritert sak.

(22) Nemndsmøte i saken ble avholdt 12. september 2022.

Anførsler: Klager har i det vesentlige anført:

(23) Innklagede har brutt de grunnleggende prinsippene om forutberegnelighet og likebehandling i anskaffelsesloven § 4 ved gjennomføringen av konkurransen.

(24) Innklagede har for det første brutt prinsippene ved gjennomføring av dialogen. Klager ble ikke oppfordret til å redegjøre for de funksjonalitetene som har vært utslagsgivende for tildelingsbeslutningen, selv som disse var tema i dialogen med valgte leverandør. Valgte leverandør fikk også ha to dialogmøter, noe som kan ha gitt dem et konkurransefortrinn.

(25) Videre har innklagede brutt prinsippene ved evalueringen av tildelingskriteriet «Kvalitet på system». Innklagede har lagt til grunn feil faktum ved evalueringen av klagers tilbud, og vektlagt forhold utenfor tildelingskriteriets rammer ved evalueringen av valgte leverandørs tilbud. Feilene ved evalueringen har hatt betydning for rangeringen av tilbudene. Det vises i den forbindelse til at poengforskjellen er marginal, og at det for kvalitetskriteriet ikke er benyttet desimaler ved poengsettingen.

(26) Feilene kan rettes ved at konkurransen gjenåpnes og at det inviteres til nye demonstrasjoner, der rammene for demonstrasjonene er spesifiserte og identiske for alle de tre leverandørene. Subsidiært anføres det at konkurransen må avlyses og gjennomføres på nytt med nye, spesifikke konkurransekriterier på ønsket funksjonalitet hos oppdragsgiver. Innklagede har i det vesentlige anført:

(27) Innklagede har ikke brutt de grunnleggende prinsippene om forutberegnelighet og likebehandling i § 4 ved gjennomføringen av konkurransen.

(28) Dialogen er gjennomført i tråd med prinsippene om likebehandling og forutberegnelighet. Det var påregnelig at det ville bli holdt et dialogmøte, og at presentasjonen og demonstrasjonen i møtet ville bli vektlagt. Klager har selv ansvar for å få frem hvilke kvalitetsfortrinn deres system eventuelt har. At valgte leverandør fikk to dialogmøter, skyldtes at en person fra evalueringsgruppen ikke kunne delta i hele det første møtet, slik at presentasjonen av systemet måtte gjennomføres på nytt. Dette er ikke i strid med prinsippet om likebehandling.

(29) Det bestrides at innklagede har brutt regelverket ved evalueringen av tildelingskriteriet «Kvalitet på system». Det er verken lagt til grunn feil faktum eller vektlagt forhold utenfor tildelingskriteriets rammer. Klagenemndas vurdering:

(30) Klager har deltatt i konkurransen, og har saklig klageinteresse, jf. forskrift om klagenemnd for offentlige anskaffelser § 6. Klagen er rettidig. Konkurransen gjelder anskaffelse av kvalitetssystem som er en tjenesteanskaffelse. Anskaffelsens verdi er ikke estimert. Anskaffelsen er kunngjort etter lov om offentlige anskaffelser 17. juni 2016 nr. 73 og forskrift om offentlige anskaffelser 12. august 2016 nr. 974 del I, jf. forskriften §§ 5-1 og 5-3.

(31) Forskriften del I inneholder ingen særskilte prosedyreregler for gjennomføring av konkurranser. Loven § 4 stiller imidlertid krav om at anskaffelsesprosessen gjennomføres

i samsvar med de grunnleggende prinsippene, herunder likebehandling og forutberegnelighet. Disse prinsippene innebærer blant annet at oppdragsgiver er bundet av de føringene for konkurransen som er fastsatt i konkurransegrunnlaget.

(32) Klagenemnda skal i det følgende ta stilling til om innklagede har gjennomført konkurransen i strid med føringene i konkurransegrunnlaget og de grunnleggende prinsippene i loven § 4.

(33) Klager har konkret innvendt at funksjonalitet som ikke var etterspurt i konkurransegrunnlaget både var tema i dialogen med valgte leverandør, og at denne funksjonaliteten ble vektlagt og fikk avgjørende betydning i evalueringen, i strid med regelverket. Funksjonaliteten det konkret er vist til, er at valgte leverandørs risikomodul har ferdige forslag til risiko som kan danne grunnlag for ROS-analyser, og at GDPRmodulen har mulighet for automatisk generering av personvernerklæringer.

(34) Det fremgikk av konkurransegrunnlaget at tildelingskriteriet «[k]valitet på system» skulle evalueres ut fra brukervennlighet og funksjonalitet «opp mot krav». Klager synes å forutsette at denne formuleringen medfører at oppdragsgiver bare kunne vektlegge funksjonalitet som er spesifikt nevnt i kravene.

(35) Klagenemnda er ikke enig i dette. Kravene systemet skulle evalueres opp mot, er formulert som åpne krav, og inneholdt bare i begrenset grad beskrivelser av konkrete funksjoner. Det var isteden lagt opp til at leverandørene skulle synliggjøre hvordan deres systemer ivaretok kravene, herunder kravet om at modulene skulle være «enkle, intuitive, oversiktlige og lettvinte å bruke». At systemet har funksjonalitet som automatisk genererer dokumenter og ferdige forslag til risiko, ligger dermed klart innenfor det leverandørene hadde oppfordring til å redegjøre for i tilbudet. At denne typen funksjonalitet var gjenstand for både dialog og senere evaluering, er dermed verken i strid med føringene i konkurransegrunnlaget, eller de grunnleggende prinsippene i loven § 4.

(36) Klager har imidlertid også innvendt at systemet deres rent faktisk har denne funksjonaliteten, og at evalueringen dermed er basert på feil faktum. Når slik funksjonalitet ble tema i dialogen med valgte leverandør, anfører klager videre at det er i strid med regelverket at innklagede ikke oppfordret klager til å redegjøre for sin løsning på disse punktene.

(37) Det er ikke bestridt at klagers skriftlige tilbud ikke inneholdt informasjon om ferdige maler for risiko og automatisk generering av ROS-analyser og personvernerklæring, og dette var heller ikke et tema i dialogen med klager.

(38) Klagenemnda bemerker at det er leverandøren som har ansvaret for å synliggjøre systemets funksjonalitet i tilbudet og eventuelt demonstrere dette. Likebehandlingsprinsippet krever dermed ikke at dialogen med alle leverandørene om funksjonaliteten blir lik. At innklagede ikke oppfordret klager til å redegjøre for funksjonalitet som valgte leverandør belyste i sin dialog, bryter dermed ikke likebehandlingsprinsippet. Når informasjon om ferdige maler for risiko mv. verken fremgikk av tilbudet eller demonstrasjonen, kan klager heller ikke høres med at innklagede har brutt regelverket ved ikke å gi klager uttelling for at deres system rent faktisk hadde denne funksjonaliteten.

(39) Når det gjelder muligheten til å genere personvernerklæring, har klager anført at det i de etterfølgende avklaringene ble bekreftet at løsningen hadde en slik mulighet, og at dette skulle gitt uttelling ved evalueringen. Avklaringen klager viser til gjaldt systemets muligheter for å generere en personvernprotokoll. Slik klagenemnda forstår det, er personvernserklæring noe annet enn personvernprotokoll, slik at klagers tilbud heller ikke etter avklaringene inneholdt informasjon om muligheten til å genere slike erklæringer.

(40) Klagers anførsel om at konkurransen er gjennomført i strid med føringene i konkurransegrunnlaget og de grunnleggende prinsippene i loven § 4, fører dermed ikke frem.

(41) Klager har også vist til at innklagede har gitt tilbudene uttelling på en skala fra 1-10, men i ulik grad har nyansert poenggivningen for de to tildelingskriteriene. Innklagede har for tildelingskriteriet «[k]ostnad» gitt poeng med desimaler, mens det for «[k]valitet på system» ble gitt poeng i hele tall. Dersom dette er ment som en selvstendig anførsel om ulovlig evalueringsmodell, bemerker klagenemnda at prisforskjeller ikke er direkte sammenlignbare med forskjeller i brukervennlighet og funksjonalitet, da sistnevnte forutsetter en skjønnsmessig bedømmelse. Regelverket oppstiller i tråd med dette ikke krav om bruk av identiske skalaer ved bedømmelse av de ulike tildelingskriteriene, jf. også klagenemndas avgjørelse i stornemnd i sak 2021/1000, avsnitt (32) flg. Klager har for øvrig ikke underbygget at manglende bruk av desimaler har forskjøvet tildelingskriterienes vekt, jf. EU-domtolens sak C-6/15 Dimarso. Klagers anførsel fører dermed ikke frem. Konklusjon: Norges Handelshøyskole har ikke brutt regelverket for offentlige anskaffelser. For Klagenemnda for offentlige anskaffelser, Arnt Skjefstad