Jak wybrać firmę do obsługi informatycznej przedsiębiorstwa?

Wybór firmy do obsługi informatycznej przedsiębiorstwa nie powinien sprowadzać się do porównania miesięcznych abonamentów. Dostawca IT otrzymuje dostęp do kont użytkowników, urządzeń, danych, kopii zapasowych i systemów, od których zależy ciągłość działania organizacji. Błędna decyzja może więc oznaczać nie tylko wyższe koszty, ale również przestoje, utratę danych, problemy z bezpieczeństwem i trudną zmianę wykonawcy.

Po lekturze dowiesz się, jak określić zakres outsourcingu IT, porównać dostawców, ocenić kompetencje techniczne i bezpieczeństwo, skonstruować SLA, policzyć rzeczywisty koszt usługi oraz zabezpieczyć wdrożenie i ewentualne zakończenie współpracy.

Czym jest obsługa informatyczna przedsiębiorstwa?

Obsługa informatyczna przedsiębiorstwa to zestaw usług zapewniających sprawne, bezpieczne i przewidywalne działanie środowiska IT. Może być realizowana przez wewnętrzny dział, zewnętrzną firmę informatyczną albo w modelu hybrydowym.

Zakres obsługi może obejmować między innymi:

• wsparcie użytkowników i helpdesk,
• administrację komputerami, serwerami i siecią,
• zarządzanie kontami oraz uprawnieniami,
• utrzymanie usług chmurowych,
• monitoring infrastruktury,
• aktualizacje systemów i aplikacji,
• ochronę poczty, urządzeń i danych,
• tworzenie oraz testowanie kopii zapasowych,
• obsługę incydentów bezpieczeństwa,
• zarządzanie licencjami i sprzętem,
• dokumentowanie środowiska,
• planowanie rozwoju infrastruktury,
• współpracę z dostawcami internetu, oprogramowania i systemów branżowych.

Obsługa IT nie musi natomiast obejmować tworzenia oprogramowania, wdrażania systemów ERP, audytów zgodności, testów penetracyjnych czy całodobowego centrum operacji bezpieczeństwa. Takie usługi mogą zostać dodane do umowy, ale wymagają osobnego określenia zakresu, odpowiedzialności i ceny.

Outsourcing IT, helpdesk i usługi zarządzane — najważniejsze różnice

Helpdesk koncentruje się przede wszystkim na zgłoszeniach użytkowników. Dostawca reaguje, gdy pracownik ma problem z komputerem, kontem, drukarką lub aplikacją.

Outsourcing IT oznacza przekazanie zewnętrznej firmie określonych obowiązków informatycznych. Zakres może być wąski lub obejmować niemal całe środowisko przedsiębiorstwa.

Usługi zarządzane, czyli managed services, opierają się na stałym nadzorze, standaryzacji i działaniach prewencyjnych. Dostawca nie tylko usuwa awarie, ale również monitoruje systemy, instaluje aktualizacje, raportuje ryzyka i zapobiega problemom.

MSSP, czyli dostawca zarządzanych usług bezpieczeństwa, specjalizuje się w ochronie infrastruktury, monitorowaniu zdarzeń, reagowaniu na incydenty i zarządzaniu narzędziami bezpieczeństwa.

Sama nazwa usługi nie przesądza o jej jakości. Najważniejsze jest to, co dokładnie znajduje się w umowie i załącznikach technicznych.

Kiedy warto zlecić obsługę IT zewnętrznej firmie?

Outsourcing warto rozważyć, gdy przedsiębiorstwo:

• nie ma własnego działu IT,
• jest zależne od jednego administratora,
• szybko zwiększa liczbę pracowników lub lokalizacji,
• nie ma całodobowego monitoringu,
• regularnie doświadcza awarii lub problemów z dostępami,
• nie posiada aktualnej dokumentacji infrastruktury,
• potrzebuje specjalistów z różnych dziedzin,
• chce uporządkować bezpieczeństwo i kopie zapasowe,
• ma trudności z rekrutacją pracowników technicznych,
• potrzebuje przewidywalnego budżetu na utrzymanie IT,
• podlega wymaganiom klientów, audytorów lub regulacji.

Zewnętrzna obsługa nie zawsze powinna jednak zastępować wszystkie kompetencje wewnętrzne. W organizacjach mocno zależnych od technologii warto zachować po swojej stronie właściciela obszaru IT, osobę odpowiedzialną za strategię, architekturę, budżet i kontrolę dostawców.

Kiedy lepszy będzie własny dział IT?

Wewnętrzny zespół może być korzystniejszy, gdy:

• systemy informatyczne stanowią kluczowy element produktu firmy,
• organizacja wykorzystuje wiele niestandardowych aplikacji,
• konieczna jest stała obecność specjalistów na miejscu,
• infrastruktura przemysłowa wymaga wiedzy o konkretnych maszynach,
• liczba zgłoszeń uzasadnia zatrudnienie pełnego zespołu,
• firma chce samodzielnie rozwijać kompetencje technologiczne,
• dostęp zewnętrznych administratorów podlega istotnym ograniczeniom.

Model hybrydowy

W praktyce często najlepiej sprawdza się model hybrydowy. Firma zachowuje wewnętrznego koordynatora lub niewielki dział IT, a na zewnątrz przekazuje helpdesk, monitoring, bezpieczeństwo, administrację chmurą albo wsparcie specjalistyczne.

Model hybrydowy ogranicza zależność od wykonawcy i jednocześnie zapewnia dostęp do szerszego zespołu kompetencji.

Zacznij od zdefiniowania potrzeb przedsiębiorstwa

Nie należy wysyłać zapytania ofertowego bez podstawowej wiedzy o własnym środowisku. Dostawcy przygotują wtedy oferty o różnych zakresach, których nie da się rzetelnie porównać.

Inwentaryzacja środowiska IT

Przed rozpoczęciem rozmów warto zebrać co najmniej:

• liczbę użytkowników,
• liczbę komputerów i urządzeń mobilnych,
• liczbę lokalizacji,
• model pracy: biurowy, zdalny lub hybrydowy,
• wykorzystywane systemy operacyjne,
• serwery lokalne i usługi chmurowe,
• rozwiązania pocztowe i biurowe,
• urządzenia sieciowe,
• systemy biznesowe, produkcyjne i branżowe,
• licencje i aktywne umowy,
• system wykonywania kopii zapasowych,
• obecne narzędzia bezpieczeństwa,
• najczęściej występujące awarie,
• wymagane godziny wsparcia,
• systemy krytyczne dla działalności.

Jeżeli firma nie ma takich informacji, pierwszym etapem współpracy powinien być audyt lub inwentaryzacja. Nie należy jednak zakładać, że audyt automatycznie oznacza konieczność podpisania wieloletniej umowy z jego wykonawcą.

Klasyfikacja systemów według krytyczności

Nie każdy system wymaga takiego samego poziomu obsługi. Pomocny jest podział na trzy klasy:

Systemy krytyczne — ich awaria zatrzymuje sprzedaż, produkcję, logistykę, obsługę klientów lub dostęp do danych.

Systemy ważne — przestój utrudnia pracę, ale przez ograniczony czas można stosować procedury zastępcze.

Systemy pomocnicze — awaria jest uciążliwa, lecz nie powoduje natychmiastowych strat operacyjnych.

Dla każdej grupy należy ustalić oczekiwane godziny dostępności, czas reakcji, czas przywrócenia działania oraz dopuszczalną utratę danych.

Zdefiniuj rezultat, a nie tylko listę czynności

Zapytanie „ile kosztuje opieka nad 50 komputerami?” jest niewystarczające. Lepsze wymaganie określa oczekiwany rezultat, na przykład:

• wszystkie urządzenia mają być objęte monitoringiem,
• krytyczne aktualizacje mają być instalowane w określonym terminie,
• każde konto administracyjne ma korzystać z wieloskładnikowego uwierzytelniania,
• kopie zapasowe mają być codziennie monitorowane i regularnie testowane,
• zgłoszenia krytyczne mają być przyjmowane całodobowo,
• dokumentacja ma być aktualizowana po każdej istotnej zmianie,
• raport miesięczny ma przedstawiać awarie, ryzyka i wykonane działania.

Jakie modele obsługi IT można wybrać?

Rozliczenie godzinowe

Firma płaci za faktycznie przepracowany czas.

Zalety:

• niski próg wejścia,
• brak opłaty za niewykorzystane godziny,
• dobre rozwiązanie przy sporadycznych potrzebach.

Wady:

• nieprzewidywalne koszty,
• brak motywacji do działań prewencyjnych,
• ryzyko odkładania problemów z obawy przed wydatkiem,
• trudniejsza kontrola czasu pracy.

Model godzinowy sprawdza się przy pojedynczych projektach, konsultacjach albo jako wsparcie dodatkowe. Rzadko jest optymalnym modelem kompleksowej opieki.

Pakiet godzin

Klient wykupuje miesięczną pulę, a nadwyżki są rozliczane osobno. Należy sprawdzić, czy niewykorzystane godziny przechodzą na kolejny okres oraz które działania pomniejszają pakiet.

Abonament za użytkownika lub urządzenie

Stała opłata zależy od liczby obsługiwanych pracowników, komputerów, serwerów albo lokalizacji.

Ten model ułatwia budżetowanie, ale wymaga precyzyjnej definicji usług zawartych w cenie. Trzeba sprawdzić, czy abonament obejmuje wizyty na miejscu, projekty, awarie poza godzinami pracy, licencje narzędziowe oraz wsparcie systemów branżowych.

Ryczałt za ustalony zakres

Dostawca odpowiada za określone środowisko w ramach stałej opłaty. Dobrze skonstruowany ryczałt premiuje zapobieganie awariom, ponieważ ich duża liczba zwiększa koszt wykonawcy.

Model mieszany

Najczęściej spotykane rozwiązanie łączy abonament za bieżącą obsługę z osobnym rozliczeniem projektów, prac poza zakresem i zakupów licencyjnych.

Jak ocenić firmę świadczącą obsługę informatyczną?

Kompetencje zespołu

Należy oceniać zespół, który rzeczywiście będzie obsługiwał przedsiębiorstwo, a nie wyłącznie kompetencje osoby prowadzącej sprzedaż.

Warto zapytać:

• ilu specjalistów będzie znało środowisko klienta,
• kto zastąpi głównego administratora podczas urlopu lub choroby,
• jakie obszary kompetencji są utrzymywane wewnętrznie,
• które usługi są przekazywane podwykonawcom,
• czy dostawca ma ekspertów od sieci, chmury, kopii zapasowych i bezpieczeństwa,
• jak wygląda eskalacja problemu do specjalisty wyższego poziomu,
• czy pracownicy przechodzą szkolenia i weryfikację uprawnień,
• jak ograniczany i rejestrowany jest dostęp administratorów.

Certyfikat może potwierdzać znajomość technologii, ale nie zastępuje doświadczenia operacyjnego, procedur i odpowiedzialności zespołowej.

Doświadczenie w podobnych organizacjach

Referencje są szczególnie wartościowe, gdy dotyczą firm o podobnej:

• liczbie użytkowników,
• liczbie oddziałów,
• strukturze systemów,
• zależności od technologii,
• branży,
• skali wymagań bezpieczeństwa,
• potrzebie wsparcia poza standardowymi godzinami.

Nie wystarczy informacja, że dostawca „obsługuje duże firmy”. Warto zapytać o konkretne scenariusze: migracje, awarie, incydenty, przejęcie środowiska po innym wykonawcy czy przywracanie danych z kopii.

Stabilność organizacyjna dostawcy

Firma IT staje się elementem łańcucha dostaw przedsiębiorstwa. Należy więc zweryfikować:

• czas działalności i sytuację organizacyjną,
• liczbę pracowników technicznych,
• rotację personelu,
• zakres ubezpieczenia odpowiedzialności cywilnej,
• zależność od pojedynczych specjalistów,
• procedury ciągłości działania,
• korzystanie z podwykonawców,
• lokalizację zespołu i danych,
• możliwość wsparcia w sytuacji masowego incydentu.

Mały dostawca może oferować wysoką jakość i bezpośredni kontakt, lecz należy sprawdzić jego zdolność do obsługi kilku awarii jednocześnie. Duża firma może zapewnić większe zasoby, ale nie zawsze zagwarantuje ciągłość składu zespołu.

Procesy i narzędzia

Dojrzały dostawca powinien dysponować:

• systemem obsługi zgłoszeń,
• monitoringiem urządzeń i usług,
• narzędziem do zarządzania aktualizacjami,
• kontrolą dostępu uprzywilejowanego,
• centralnym repozytorium dokumentacji,
• procedurami obsługi incydentów,
• rejestrem zmian,
• raportowaniem realizacji SLA,
• bezpiecznym systemem zdalnego dostępu,
• procedurą dołączania i usuwania pracowników,
• planem działania na wypadek niedostępności własnych systemów.

Samo posiadanie narzędzia nie oznacza, że jest ono poprawnie używane. Warto poprosić o przykładowy, zanonimizowany raport oraz opis realnego przebiegu zgłoszenia.

Bezpieczeństwo jako kryterium wyboru dostawcy IT

Firma informatyczna może mieć szerszy dostęp do systemów niż większość pracowników klienta. Jej zabezpieczenia powinny być co najmniej tak dojrzałe jak zabezpieczenia obsługiwanego przedsiębiorstwa.

Pytania dotyczące bezpieczeństwa dostawcy

Podczas oceny warto ustalić:

• czy każde konto administratora jest imienne,
• czy stosowane jest uwierzytelnianie wieloskładnikowe,
• czy dostępy uprzywilejowane są ograniczone czasowo i rejestrowane,
• czy firma używa wspólnych kont i haseł,
• gdzie przechowywana jest dokumentacja techniczna,
• jak chronione są hasła i klucze odzyskiwania,
• jak często przeglądane są uprawnienia,
• jak usuwane są dostępy byłych pracowników,
• czy urządzenia administratorów są szyfrowane i monitorowane,
• jak dostawca reaguje na incydent we własnej organizacji,
• w jakim terminie poinformuje klienta o naruszeniu,
• czy posiada plan ciągłości działania i odtwarzania po awarii,
• czy podwykonawcy podlegają takim samym wymaganiom.

Niedopuszczalne powinno być przechowywanie haseł w zwykłych dokumentach, korzystanie ze wspólnego konta administratora bez rejestrowania działań albo pozostawianie stałego dostępu zdalnego bez dodatkowego uwierzytelniania.

Ochrona danych osobowych i poufnych

Jeżeli wykonawca uzyskuje dostęp do danych osobowych, konieczne może być zawarcie umowy powierzenia przetwarzania. Dokument powinien określać między innymi:

• cel i zakres przetwarzania,
• kategorie danych,
• środki techniczne i organizacyjne,
• zasady korzystania z podwykonawców,
• procedurę zgłaszania incydentów,
• sposób zwrotu lub usunięcia danych po zakończeniu współpracy,
• możliwość przeprowadzenia audytu.

Umowa powierzenia nie zastępuje weryfikacji technicznej. Sam podpis pod dokumentem nie potwierdza, że wykonawca faktycznie stosuje odpowiednie zabezpieczenia.

Kopie zapasowe i odtwarzanie danych

Pytanie „czy wykonujemy backup?” jest zbyt ogólne. Należy ustalić:

• jakie dane są kopiowane,
• jak często powstają kopie,
• jak długo są przechowywane,
• czy jedna z kopii jest odseparowana od środowiska produkcyjnego,
• czy kopie są szyfrowane,
• kto monitoruje poprawność zadań,
• jak często wykonywany jest test odtworzenia,
• ile trwa przywrócenie systemu,
• kto może usuwać kopie,
• czy awaria lub atak na konto administratora może objąć również backup.

Kopia zapasowa bez regularnych testów odtworzeniowych jest jedynie założeniem, a nie potwierdzoną możliwością odzyskania danych.

Jak skonstruować dobre SLA?

SLA, czyli umowa o poziomie świadczenia usług, opisuje mierzalne parametry obsługi. Powinna być dopasowana do znaczenia poszczególnych systemów.

Czas reakcji a czas rozwiązania

Te pojęcia nie są tożsame.

Czas reakcji oznacza, po jakim czasie dostawca rozpocznie obsługę zgłoszenia lub potwierdzi jego przyjęcie.

Czas przywrócenia działania określa, kiedy system powinien ponownie realizować podstawowe funkcje, nawet przy użyciu rozwiązania tymczasowego.

Czas rozwiązania oznacza całkowite usunięcie przyczyny problemu.

Oferta obiecująca reakcję w 15 minut nie gwarantuje, że awaria zostanie usunięta szybko.

Poziomy priorytetów

Przykładowy podział może wyglądać następująco:

• P1 — krytyczny: całkowity przestój kluczowego systemu, podejrzenie ataku, utrata dostępu do danych;
• P2 — wysoki: poważne ograniczenie pracy działu lub wielu użytkowników;
• P3 — standardowy: problem pojedynczego użytkownika bez zatrzymania kluczowego procesu;
• P4 — niski: konsultacja, zmiana ustawień lub zaplanowane zadanie.

Umowa powinna jasno określać, kto nadaje priorytet i kiedy dostawca może go zmienić. W przeciwnym razie atrakcyjne parametry SLA mogą dotyczyć jedynie kategorii, do której niemal żadne zgłoszenie nie zostanie zakwalifikowane.

Co jeszcze powinno znaleźć się w SLA?

• godziny dostępności helpdesku,
• kanały zgłaszania awarii,
• obsługiwane języki,
• terminy reakcji dla poszczególnych priorytetów,
• zasady eskalacji,
• częstotliwość komunikacji podczas awarii,
• planowane okna serwisowe,
• sposób mierzenia dostępności,
• wyłączenia odpowiedzialności,
• zasady pracy poza godzinami,
• raportowanie wyników,
• działania naprawcze po niespełnieniu parametrów,
• procedura analizy przyczyny źródłowej.

Kary umowne mogą pełnić funkcję dyscyplinującą, ale nie zastąpią dobrego procesu. Ważniejsze jest szybkie usunięcie przyczyny powtarzających się problemów.

Jak porównać koszty obsługi informatycznej?

Najniższy abonament nie zawsze oznacza najniższy koszt całkowity. Oferty mogą różnić się zakresem, limitami, licencjami, dostępnością i sposobem rozliczania prac dodatkowych.

Elementy całkowitego kosztu

Do porównania należy włączyć:

• miesięczny abonament,
• koszt wdrożenia i przejęcia środowiska,
• dodatkowe godziny,
• dojazdy i wizyty na miejscu,
• pracę wieczorami i w dni wolne,
• licencje narzędziowe,
• monitoring,
• system ochrony urządzeń,
• backup i przestrzeń na dane,
• projekty migracyjne,
• dokumentację,
• audyty i testy,
• zakup oraz konfigurację sprzętu,
• marżę na licencjach,
• koszt zakończenia współpracy,
• koszt przestoju lub braku wymaganej usługi.

Jak normalizować oferty?

Każdego dostawcę warto poprosić o wycenę tego samego scenariusza. Przykładowo:

• 80 użytkowników,
• 90 komputerów,
• 2 lokalizacje,
• usługi chmurowe,
• 3 serwery,
• helpdesk w dni robocze,
• całodobowa obsługa incydentów krytycznych,
• monitoring i aktualizacje,
• backup określonej ilości danych,
• dwie wizyty na miejscu miesięcznie,
• kwartalny przegląd bezpieczeństwa.

Dopiero po ujednoliceniu zakresu można porównywać cenę. Należy również ustalić koszt wzrostu liczby pracowników oraz stawki za działania poza abonamentem.

Tabela decyzyjna wyboru firmy IT

Kryterium	Co zweryfikować?	Przykładowa waga	Sygnał ostrzegawczy
Zakres usługi	Czy oferta obejmuje wszystkie wymagane systemy i działania?	15%	Ogólny opis bez listy usług i wyłączeń
Bezpieczeństwo	MFA, konta imienne, rejestrowanie działań, ochrona dostępu	15%	Wspólne konta administratorów
SLA	Czasy reakcji, przywrócenia, eskalacja i raportowanie	12%	Obietnice bez definicji priorytetów
Kompetencje zespołu	Specjaliści, zastępstwa, doświadczenie technologiczne	12%	Uzależnienie obsługi od jednej osoby
Proces przejęcia	Audyt, dokumentacja, plan 30/60/90 dni	10%	Brak planu wdrożenia
Kopie zapasowe	Monitoring, retencja, izolacja i testy odtworzeń	10%	Backup bez testów
Doświadczenie	Podobna skala, branża i środowisko	8%	Referencje niedopasowane do potrzeb
Raportowanie	KPI, ryzyka, incydenty, aktualizacje i rekomendacje	6%	Raport ograniczony do liczby zgłoszeń
Warunki wyjścia	Zwrot dokumentacji, dostępów, danych i konfiguracji	6%	Brak procedury zakończenia umowy
Koszt całkowity	Abonament, licencje, nadwyżki, projekty i dojazdy	6%	Niska cena z licznymi dopłatami

Wagi należy dostosować do profilu przedsiębiorstwa. Dla zakładu produkcyjnego wyższe znaczenie może mieć czas przywrócenia systemów, a dla kancelarii lub podmiotu medycznego — poufność danych i kontrola dostępów.

Jak przeprowadzić proces wyboru dostawcy?

1. Wyznacz właściciela procesu

Za wybór nie powinien odpowiadać wyłącznie dział zakupów. W proces warto zaangażować przedstawicieli zarządu, finansów, operacji, bezpieczeństwa, ochrony danych i kluczowych działów biznesowych.

2. Przygotuj zapytanie ofertowe

Zapytanie powinno zawierać:

• opis przedsiębiorstwa,
• skalę środowiska,
• listę systemów i lokalizacji,
• oczekiwany zakres,
• wymagane godziny obsługi,
• oczekiwane SLA,
• wymagania bezpieczeństwa,
• oczekiwany sposób raportowania,
• format wyceny,
• warunki rozpoczęcia i zakończenia współpracy.

Wrażliwe informacje techniczne można udostępnić wybranym oferentom po podpisaniu umowy o poufności.

3. Utwórz krótką listę dostawców

Warto porównać co najmniej kilku wykonawców, ale zbyt duża liczba ofert utrudnia pogłębioną analizę. Po wstępnej ocenie należy wybrać firmy najlepiej dopasowane do potrzeb i zaprosić je do warsztatu technicznego.

4. Przeprowadź warsztat lub audyt wstępny

Dobry dostawca powinien zadawać pytania o procesy biznesowe, krytyczne systemy, historię incydentów i tolerancję na przestoje. Oferta przygotowana bez poznania środowiska najczęściej opiera się na założeniach, które później prowadzą do dopłat lub sporów.

5. Sprawdź referencje

Rozmowa z klientem referencyjnym powinna dotyczyć nie tylko poziomu zadowolenia. Warto zapytać:

• jak wyglądała najpoważniejsza awaria,
• czy dostawca informował o problemie z własnej inicjatywy,
• czy koszty były zgodne z ofertą,
• jak wygląda kontakt po podpisaniu umowy,
• czy zespół często się zmienia,
• czy dokumentacja jest aktualna,
• jak dostawca reaguje na uwagi.

6. Przeprowadź próbę praktyczną

Jeżeli skala kontraktu to uzasadnia, można przeprowadzić pilotaż obejmujący wybraną lokalizację, grupę użytkowników albo określony obszar, na przykład helpdesk lub monitoring.

Alternatywą jest ćwiczenie scenariuszowe: awaria serwera, przejęcie konta, zaszyfrowanie danych lub niedostępność internetu. Dostawca powinien opisać kolejność działań, komunikację i odpowiedzialność.

7. Oceń oferty punktowo

Każdą ofertę należy oceniać według tych samych kryteriów. Cena może być jednym z nich, ale nie powinna automatycznie przeważać nad bezpieczeństwem, ciągłością działania i zdolnością wykonawcy do realizacji usługi.

Umowa z firmą IT — najważniejsze zapisy

Umowa powinna precyzować:

• zakres usług,
• systemy i lokalizacje objęte obsługą,
• wyłączenia z abonamentu,
• parametry SLA,
• sposób zgłaszania i eskalacji,
• zasady rozliczeń,
• odpowiedzialność stron,
• poufność,
• ochronę danych,
• korzystanie z podwykonawców,
• prawa do dokumentacji i konfiguracji,
• własność kont, domen, licencji i środowisk chmurowych,
• zasady wykonywania zmian,
• obowiązki związane z backupem,
• zgłaszanie incydentów,
• możliwość audytu,
• okres wypowiedzenia,
• procedurę przekazania środowiska,
• obowiązek usunięcia danych po zakończeniu współpracy.

Szczególnie ważne jest, aby domeny, konta chmurowe, licencje, certyfikaty i główne konta administracyjne były rejestrowane na przedsiębiorstwo, a nie na prywatne konto pracownika dostawcy.

Jak powinno wyglądać przejęcie obsługi IT?

Zmiana wykonawcy jest momentem podwyższonego ryzyka. Nowa firma musi poznać środowisko, a poprzednia może stopniowo ograniczać zaangażowanie.

Etap 30 dni

W pierwszym etapie należy:

• zinwentaryzować sprzęt, konta i usługi,
• przejąć dokumentację,
• zweryfikować dostęp administracyjny,
• zabezpieczyć krytyczne hasła,
• sprawdzić kopie zapasowe,
• uruchomić system zgłoszeń,
• określić kontakty i eskalacje,
• zidentyfikować ryzyka krytyczne.

Etap 60 dni

Kolejny etap może obejmować:

• wdrożenie monitoringu,
• uporządkowanie aktualizacji,
• usunięcie nieaktywnych kont,
• ujednolicenie konfiguracji,
• przegląd licencji,
• testy odtworzeniowe,
• przygotowanie dokumentacji sieci i systemów.

Etap 90 dni

Po ustabilizowaniu obsługi dostawca powinien przedstawić:

• stan środowiska,
• listę ryzyk,
• plan działań naprawczych,
• propozycje inwestycji,
• wyniki pierwszych KPI,
• plan rozwoju na kolejne kwartały.

Nie wszystkie problemy należy usuwać jednocześnie. Priorytet powinny otrzymać ryzyka mogące doprowadzić do utraty danych, poważnego incydentu albo zatrzymania działalności.

Jak mierzyć jakość obsługi po podpisaniu umowy?

Współpraca wymaga regularnej oceny. Sam brak skarg użytkowników nie oznacza, że środowisko jest bezpieczne i właściwie zarządzane.

Przydatne wskaźniki to:

• liczba zgłoszeń według kategorii,
• średni i medianowy czas reakcji,
• czas przywrócenia działania,
• odsetek zgłoszeń rozwiązanych w SLA,
• liczba ponownie otwartych zgłoszeń,
• liczba powtarzających się awarii,
• poziom aktualności urządzeń,
• odsetek urządzeń objętych monitoringiem,
• skuteczność kopii zapasowych,
• wyniki testów odtworzeniowych,
• liczba kont bez MFA,
• liczba nieaktywnych kont,
• poziom satysfakcji użytkowników,
• realizacja uzgodnionych działań naprawczych.

Wskaźniki należy interpretować w kontekście. Wzrost liczby zgłoszeń po uruchomieniu profesjonalnego helpdesku może oznaczać, że użytkownicy wreszcie mają prosty kanał kontaktu, a nie pogorszenie jakości usług.

Najczęstsze błędy przy wyborze firmy informatycznej

Wybór wyłącznie na podstawie ceny

Bardzo niska cena może oznaczać ograniczony zakres, brak działań prewencyjnych, mały zespół, niskie limity albo dodatkowe opłaty za większość prac.

Brak listy wyłączeń

Oferta powinna wskazywać nie tylko to, co obejmuje abonament, ale również to, czego nie obejmuje.

Mylenie czasu reakcji z czasem naprawy

Szybkie potwierdzenie zgłoszenia nie oznacza szybkiego przywrócenia systemu.

Zależność od jednego technika

Przedsiębiorstwo powinien znać zespół, a nie jedna osoba. Dokumentacja i proces zastępstw są niezbędne.

Brak planu wyjścia

Warunki przekazania dostępów, konfiguracji, danych i dokumentacji trzeba uzgodnić przed rozpoczęciem współpracy.

Oddanie dostawcy własności nad kontami

Główne konta, domeny i licencje powinny należeć do klienta. Dostawca otrzymuje kontrolowany dostęp, a nie własność środowiska.

Brak testów bezpieczeństwa i odtwarzania

Deklaracja, że „backup działa”, nie zastępuje raportu z testu przywrócenia danych.

Nieograniczony dostęp administratorów

Dostęp techniczny powinien być imienny, chroniony, ograniczony i rejestrowany.

Mity dotyczące outsourcingu IT

„Duża firma informatyczna zawsze będzie bezpieczniejsza”

Skala może zwiększać dostępność kompetencji, ale nie gwarantuje dobrej obsługi. Liczą się procesy, przypisany zespół i warunki konkretnej umowy.

„Mała firma nie poradzi sobie z większym klientem”

Mały dostawca może być wyspecjalizowany i elastyczny. Trzeba jednak sprawdzić zastępstwa, dostępność poza godzinami i zdolność do reagowania na wiele incydentów jednocześnie.

„Abonament obejmuje wszystko”

Każdy abonament ma granice. Projekty, migracje, nowe lokalizacje, duże awarie i praca poza godzinami mogą być rozliczane oddzielnie.

„Chmura nie wymaga administracji ani kopii zapasowych”

Usługi chmurowe nadal wymagają zarządzania kontami, konfiguracją, uprawnieniami, retencją, bezpieczeństwem i ciągłością działania.

„Certyfikaty gwarantują wysoką jakość”

Certyfikaty są pomocne, ale nie potwierdzają jakości komunikacji, dokumentacji, organizacji pracy ani rzeczywistej skuteczności podczas awarii.

„Skoro nie było incydentu, zabezpieczenia są wystarczające”

Brak wykrytego incydentu może oznaczać zarówno skuteczną ochronę, jak i brak odpowiedniego monitoringu.

Wyjątki i sytuacje wymagające szczególnego podejścia

Produkcja i systemy OT

Obsługa maszyn, sterowników i systemów przemysłowych wymaga innych kompetencji niż standardowe środowisko biurowe. Aktualizacja lub restart urządzenia może zatrzymać linię produkcyjną, dlatego konieczna jest współpraca z automatykami i producentami maszyn.

Branże regulowane

Instytucje finansowe, podmioty medyczne, operatorzy usług kluczowych i inne organizacje regulowane mogą podlegać dodatkowym wymaganiom dotyczącym ryzyka dostawców, audytu, raportowania incydentów i ciągłości działania. Zapisy umowy powinny zostać zweryfikowane prawnie i zgodnościowo.

Organizacje działające całodobowo

Dostępność numeru alarmowego nie jest równoznaczna z pełną obsadą techniczną 24/7. Należy ustalić, kto dyżuruje, jakie kompetencje ma ta osoba i w jakim czasie może rozpocząć naprawę.

Środowiska niestandardowe

Starsze aplikacje, nietypowy sprzęt lub oprogramowanie bez wsparcia producenta mogą wymagać osobnego planu utrzymania. Dostawca nie powinien gwarantować parametrów, których nie może kontrolować.

Liczby i statystyki, które warto uwzględnić

Dane branżowe pomagają ocenić skalę ryzyka, ale nie powinny zastępować analizy konkretnego przedsiębiorstwa.

• Średni globalny koszt naruszenia danych raportowany w 2024 roku wynosił około 4,88 mln USD, co oznaczało wzrost o około 10% rok do roku.
• W analizach naruszeń opublikowanych w 2024 roku czynnik ludzki występował w około 68% przypadków. Obejmuje to między innymi błędy, użycie skradzionych danych logowania i działania socjotechniczne.
• Około 21,5% przedsiębiorstw w Unii Europejskiej deklarowało incydenty bezpieczeństwa ICT w 2023 roku, które wywołały realne konsekwencje, takie jak niedostępność usług, zniszczenie danych lub ich ujawnienie.
• W przypadku naruszenia ochrony danych osobowych termin na zgłoszenie zdarzenia organowi nadzorczemu może wynosić 72 godziny od jego stwierdzenia, jeżeli spełnione są przesłanki zgłoszenia.
• Rozporządzenie DORA jest stosowane od 17 stycznia 2025 roku i zwiększa znaczenie zarządzania ryzykiem zewnętrznych dostawców ICT w sektorze finansowym.
• Popularna reguła backupu 3-2-1 zakłada posiadanie trzech kopii danych, na dwóch różnych typach nośników, z jedną kopią poza podstawową lokalizacją. W środowiskach narażonych na ransomware warto dodatkowo uwzględniać kopie niezmienne lub odseparowane.

Wartości finansowe z raportów międzynarodowych nie są bezpośrednim cennikiem ryzyka dla polskiej firmy. Pokazują jednak, że koszt incydentu obejmuje znacznie więcej niż naprawę komputerów: przestój, odzyskiwanie danych, obsługę prawną, komunikację, utratę klientów i działania naprawcze.

Ostateczna lista kontrolna przed podpisaniem umowy

Przed wyborem dostawcy sprawdź, czy:

• zakres usługi jest szczegółowo opisany,
• oferta zawiera listę wyłączeń,
• znasz całkowity koszt, a nie tylko abonament,
• zdefiniowano czasy reakcji i przywrócenia działania,
• wskazano zespół oraz procedurę zastępstw,
• konta administratorów są imienne i chronione MFA,
• dostęp zdalny jest kontrolowany i rejestrowany,
• kopie zapasowe podlegają testom odtworzeniowym,
• dostawca posiada procedurę reagowania na incydenty,
• określono sposób raportowania,
• podwykonawcy są ujawnieni i kontrolowani,
• dokumentacja należy do przedsiębiorstwa,
• główne konta i licencje są zarejestrowane na klienta,
• umowa zawiera procedurę zakończenia współpracy,
• referencje dotyczą podobnych organizacji,
• plan przejęcia środowiska obejmuje pierwsze 30, 60 i 90 dni.

Tematy uzupełniające do dalszej analizy

Przy budowie wewnętrznej bazy wiedzy warto rozwinąć osobne poradniki dotyczące:

• kosztów outsourcingu IT,
• elementów umowy na obsługę informatyczną,
• przykładowego SLA dla helpdesku,
• audytu bezpieczeństwa dostawcy IT,
• planu przejęcia infrastruktury,
• testowania kopii zapasowych,
• wyboru modelu helpdesku,
• porównania outsourcingu z własnym działem IT,
• procedury zmiany firmy informatycznej,
• wymagań bezpieczeństwa dla administratorów,
• zarządzania dostępem uprzywilejowanym,
• planu ciągłości działania i odtwarzania po awarii.

FAQ — najczęstsze pytania o wybór firmy do obsługi IT

Ile kosztuje obsługa informatyczna firmy?

Cena zależy od liczby użytkowników, urządzeń, lokalizacji, serwerów, godzin wsparcia, wymaganego SLA i zakresu bezpieczeństwa. Oferty należy porównywać po ujednoliceniu zakresu. Sam abonament bez informacji o limitach i usługach dodatkowych nie pozwala ocenić rzeczywistego kosztu.

Czy lepiej wybrać firmę lokalną?

Lokalizacja ma znaczenie, jeżeli potrzebne są częste wizyty, obsługa sprzętu lub szybka obecność technika. Większość problemów biurowych może być jednak rozwiązywana zdalnie. Ważniejszy od odległości jest gwarantowany czas pojawienia się specjalisty na miejscu.

Ilu dostawców warto porównać?

Najczęściej wystarczy porównać kilka dobrze dopasowanych firm, a następnie przeprowadzić pogłębioną ocenę krótkiej listy. Duża liczba powierzchownych ofert nie daje takiej wartości jak warsztaty techniczne i sprawdzenie referencji.

Czy firma IT powinna mieć ubezpieczenie OC?

Ubezpieczenie odpowiedzialności cywilnej jest korzystne, ale należy sprawdzić sumę, zakres i wyłączenia. Polisa nie zastępuje właściwych zabezpieczeń, dokumentacji ani procedur.

Czy dostawca powinien gwarantować usunięcie każdej awarii?

Nie każdą awarię można usunąć w określonym czasie, szczególnie gdy zależy ona od producenta oprogramowania, operatora lub uszkodzonego sprzętu. Umowa powinna jednak gwarantować reakcję, eskalację, komunikację i działania zmierzające do przywrócenia kluczowych funkcji.

Kto powinien być właścicielem dokumentacji IT?

Dokumentacja środowiska klienta powinna należeć do klienta i być dla niego dostępna. Dostawca może zarządzać repozytorium, ale nie powinien uzależniać przekazania dokumentacji od kontynuowania umowy.

Czy można zlecić jednej firmie zarówno utrzymanie, jak i audyt bezpieczeństwa?

Można, ale pojawia się ryzyko oceny własnej pracy. W przypadku istotnych wymagań bezpieczeństwa warto okresowo korzystać z niezależnego audytora lub testera.

Jaki okres wypowiedzenia jest rozsądny?

Powinien umożliwiać kontrolowane przekazanie środowiska bez nadmiernego uzależnienia od dostawcy. Optymalny okres zależy od skali infrastruktury, ale musi być połączony z obowiązkiem współpracy podczas migracji i terminowego przekazania dostępów.

Czy warto rozpocząć od audytu?

Tak, szczególnie gdy dokumentacja jest niepełna lub przedsiębiorstwo nie zna stanu zabezpieczeń. Trzeba jednak ustalić zakres, rezultat, własność raportu i brak automatycznego zobowiązania do zakupu kolejnych usług.

Jak rozpoznać dobrą firmę IT podczas pierwszego spotkania?

Dobry dostawca pyta o procesy biznesowe, krytyczne systemy, ryzyko, kopie zapasowe, historię awarii i oczekiwane rezultaty. Nie ogranicza rozmowy do liczby komputerów i proponowanego abonamentu.

Co powinno wzbudzić największą ostrożność?

Szczególnymi sygnałami ostrzegawczymi są: brak pisemnego zakresu, wspólne konta administratorów, brak MFA, brak testów odtworzeniowych, uzależnienie od jednej osoby, niejasne dopłaty oraz odmowa określenia sposobu przekazania środowiska po zakończeniu umowy.

Jak często należy oceniać dostawcę?

Parametry operacyjne warto analizować co miesiąc, a ryzyka, rozwój infrastruktury i jakość współpracy — co najmniej kwartalnie. Raz w roku warto przeprowadzić szerszy przegląd umowy, kosztów, bezpieczeństwa i aktualności SLA.

Co jest najważniejsze przy ostatecznej decyzji?

Najlepszym wyborem jest firma, która potrafi udowodnić zdolność do bezpiecznego utrzymania środowiska, zapewnia odpowiedni zespół, jasno opisuje odpowiedzialność i koszty oraz nie utrudnia klientowi zachowania kontroli nad własną infrastrukturą.