Den rette IT-outsourcing begynder med et klart billede af virksomhedens behov, afhængigheder og interne ressourcer. Hvis I vælger leverandør ud fra pris alene, risikerer I en aftale, der dækker den daglige support, men efterlader uklarhed om sikkerhed, nedbrud og udvikling. Start derfor med at beskrive, hvad der skal fungere, hvem der bruger systemerne, og hvilke konsekvenser et driftsstop får. Det giver et bedre grundlag for at sammenligne tilbud og vælge en løsning, som passer til virksomhedens hverdag.

Kortlæg behovene, før I indhenter tilbud

Lav først en oversigt over jeres arbejdspladser, programmer, servere, netværk og eksterne tjenester. Notér, hvem der har ansvar for hver løsning, hvor data ligger, og hvordan medarbejderne får adgang. Tag også mindre synlige forhold med, eksempelvis abonnementer betalt med firmakort og programmer, som enkelte afdelinger selv har anskaffet. De kan skabe både ekstraudgifter og sikkerhedsproblemer, hvis de falder uden for den kommende aftale.

Beskriv derefter de situationer, hvor teknikken har størst betydning. En virksomhed med kundeservice kan være særligt afhængig af telefoni og adgang til kundeoplysninger. En produktionsvirksomhed kan være afhængig af forbindelsen mellem administrationssystemet og produktionsudstyret. Spørg afdelingslederne, hvad der konkret går i stå ved et nedbrud. Brug svarene til at prioritere systemerne frem for at behandle alle computere og programmer som lige kritiske.

Vælg den rette afgrænsning af IT-outsourcing

Det er sjældent nødvendigt at overlade alle opgaver til samme leverandør. I kan eksempelvis beholde ansvaret for forretningssystemer internt og købe hjælp til brugersupport, netværk, sikkerhedsopdateringer og sikkerhedskopiering. Har I ingen interne IT-kompetencer, kan en bredere driftsaftale være relevant. Selv da skal en person i virksomheden kunne prioritere ønsker, godkende ændringer og følge op på leverancerne. Beslutninger om virksomhedens behov bør fortsat ligge hos jer.

Bed tilbudsgiverne beskrive deres opgaver og undtagelser hver for sig. Hvis overvågning er inkluderet, skal det fremgå, om leverandøren også reagerer på alarmer uden særskilt bestilling. Hvis medarbejdersupport er med, skal I vide, om hjælpen omfatter alle programmer eller alene standardarbejdspladsen. Til en indledende afklaring kan I læse mere om outsourcing af virksomhedens IT og bruge det som afsæt for jeres egen opgavebeskrivelse.

Oversæt oppetid til konkrete krav

Et løfte om høj oppetid fortæller ikke i sig selv, hvor hurtigt virksomheden kan arbejde videre efter en fejl. Bed om en serviceaftale, der beskriver, hvordan hændelser prioriteres, hvornår supporten er tilgængelig, og hvornår arbejdet med en fejl begynder. Skeln mellem svartid og løsningstid. En hurtig kvittering for en henvendelse er noget andet end en fungerende forbindelse til økonomisystemet.

Tag udgangspunkt i genkendelige hændelser. Hvad sker der, hvis en enkelt medarbejder ikke kan udskrive, hvis hele kontoret mister internetforbindelsen, eller hvis mistænkelig aktivitet rammer en administratorbruger? Aftal, hvem der vurderer alvoren, hvordan sagen eskaleres, og hvem der orienterer jer undervejs. Afklar også, hvordan planlagt vedligeholdelse varsles, og om leverandørens måling af oppetid udelader perioder, hvor centrale funktioner reelt er utilgængelige.

Undersøg sikkerheden med praktiske spørgsmål

Bed leverandøren gennemgå, hvordan adgange oprettes, ændres og lukkes. Flerfaktorgodkendelse, særskilte administratorrettigheder og løbende sikkerhedsopdateringer bør indgå i drøftelsen. Spørg især, hvordan leverandørens egne medarbejdere får adgang til jeres systemer, og hvordan denne adgang kontrolleres og registreres. En generel sikkerhedspolitik siger mindre end en konkret forklaring på, hvad der sker, når en tekniker skal løse en opgave.

Brug en fratrædelse som prøve på arbejdsgangen. Hvem giver besked, hvem lukker kontoen, og hvordan håndteres videresendelse, delte filer og udleveret udstyr? Gennemgå også proceduren ved mistanke om et angreb. I skal kende kontaktvejen og vide, hvem der må afbryde forbindelser eller spærre brugere. Bed om relevant dokumentation for sikkerhedsarbejdet, men undersøg, hvilke tjenester og organisatoriske dele dokumentationen faktisk omfatter.

Få styr på personoplysninger og underleverandører

Når leverandøren behandler personoplysninger på virksomhedens vegne, vil der typisk være behov for en databehandleraftale. Den skal passe til den konkrete behandling og beskrive blandt andet instrukser, sikkerhedsforanstaltninger og brugen af underdatabehandlere. Jeres virksomhed beholder sit ansvar som dataansvarlig, selv om driften flyttes ud. Få derfor afklaret rollerne, før I giver adgang til medarbejderoplysninger, kundedata eller andre personoplysninger.

Spørg, hvor oplysningerne opbevares, og hvorfra der kan ydes support med adgang til dem. En oplysning om datacentrets placering giver ikke nødvendigvis hele billedet. Adgang fra lande uden for EU og EØS kan rejse spørgsmål om overførselsgrundlag og supplerende beskyttelse. Bed også om proceduren for ændringer i underleverandører og bistand ved sikkerhedsbrud, indsigt og sletning. Få juridisk hjælp, hvis behandlingens karakter gør vurderingen vanskelig.

Kræv dokumenteret sikkerhedskopiering og gendannelse

Synkronisering og versionshistorik er ikke automatisk en erstatning for en selvstændig sikkerhedskopi. Afklar præcist, hvilke data der kopieres, hvor ofte det sker, hvor længe kopierne gemmes, og hvem der kontrollerer resultatet. Spørg også, hvordan kopierne beskyttes, hvis en angriber overtager en administratorkonto. Det er utilstrækkeligt, at en kopi findes, hvis den kan slettes gennem samme adgang som de oprindelige data.

Aftal, hvor stort et datatab virksomheden kan acceptere, og hvor længe kritiske systemer må være utilgængelige. Kravene kan være forskellige for fællesdrev og ordrebehandling. Bed leverandøren beskrive en gendannelsestest, som viser, at data kan bruges efter tilbageførsel. Resultatet skal dokumenteres, og eventuelle fejl skal følges til dørs. Afklar samtidig, hvem der hjælper medarbejderne tilbage i normal drift efter en større hændelse.

Sammenlign den samlede økonomi

Bed alle tilbudsgivere regne på samme opgavebeskrivelse. Ellers kan en lav månedspris dække færre opgaver end en dyrere aftale. Få skilt etablering, løbende drift, licenser, ekstraarbejde og afvikling ad. Undersøg, hvordan prisen ændres, når I ansætter medarbejdere, tilføjer en afdeling eller udfaser et system. Det bør også fremgå, om priser reguleres, og efter hvilke aftalte principper reguleringen sker.

Bed om priseksempler på almindelige ændringer, eksempelvis oprettelse af en medarbejder, udskiftning af en computer og flytning af data til et nyt system. Eksemplerne skal bygge på leverandørens egne vilkår, så de kan bruges i sammenligningen. Se efter opgaver, der kræver særskilt godkendelse og betaling. En aftale om IT-outsourcing bliver lettere at styre, når fakturaen følger en kendt struktur, og ekstraarbejde kræver et tydeligt mandat.

Vurder samarbejdet, før I skriver under

Tal med de personer, som faktisk skal stå for driften og supporten, frem for alene at møde sælgeren. Bed dem forklare en typisk fejlmelding fra start til slut. Læg mærke til, om de stiller spørgsmål til jeres arbejdsprocesser, og om forklaringerne er forståelige. En god tekniker skal kunne forklare konsekvenser og valgmuligheder, så en ansvarlig leder kan træffe beslutninger uden selv at være specialist.

Bed om referencer fra virksomheder med sammenlignelige behov, hvis det er muligt. Spørg referencerne, hvordan leverandøren håndterer fejl, uenigheder og uventede regninger. Afklar desuden, om I får en fast kontaktperson, hvordan viden deles internt hos leverandøren, og hvem der tager over ved fravær. Personlig kemi kan lette samarbejdet, men dokumentation og faste arbejdsgange skal sikre, at hjælpen ikke afhænger af én medarbejder.

Planlæg overgangen som et selvstændigt projekt

Et leverandørskifte kræver en plan med ansvarlige, afhængigheder og godkendelsespunkter. Få registreret eksisterende adgange, licenser, domæner, konfigurationer og aftaler, før arbejdet begynder. Kontrollér især, at virksomheden selv har den nødvendige råderet over centrale konti og abonnementer. Hvis den afgående leverandør skal bidrage, bør omfanget og betalingen for hjælpen afklares tidligt, så overdragelsen ikke går i stå undervejs.

Flyt helst i en rækkefølge, der begrænser risikoen for driften. En afprøvning med en afgrænset medarbejdergruppe kan afsløre problemer med adgang, udskrivning og særlige programmer, før ændringen omfatter alle. Aftal, hvordan I vender tilbage til den tidligere løsning, hvis noget svigter. Medarbejderne skal vide, hvad der ændres, hvor de får hjælp, og hvad de selv skal gøre. Afslut overgangen med en fælles kontrol af de aftalte leverancer.

Bevar styringen gennem faste opfølgninger

Udpeg en intern aftaleejer, som følger økonomi, kvalitet og åbne problemer. Personen behøver ikke være teknisk specialist, men skal have mandat til at prioritere og samle behov fra organisationen. Hold driftsopfølgning adskilt fra beslutninger om større ændringer. Ellers kan møderne blive optaget af enkelte supportsager, mens forældede systemer og voksende sikkerhedsbehov bliver overset.

Bed om rapportering, der kan bruges til handling. Gentagne fejlmeldinger om samme program bør føre til en vurdering af årsagen. Mislykkede sikkerhedskopier skal følges op med rettelse og kontrol. Sammenhold også udgifterne med ændringer i medarbejderantal og systemer. Aftal, hvem der følger op på hvert problem, og hvornår status gennemgås igen. Dermed bliver leverandørmødet et arbejdsredskab frem for en gennemgang af tal uden konsekvenser.

Aftal en udgang, mens samarbejdet er godt

Læs opsigelsesvilkårene lige så grundigt som beskrivelsen af den daglige drift. Afklar binding, opsigelsesvarsel og eventuelle omkostninger ved at flytte data og systemer. Aftalen bør beskrive, hvilken dokumentation I får udleveret, hvilke formater data kan leveres i, og hvordan en ny leverandør får nødvendig bistand. Spørg også, hvordan afhængigheder til særlige licenser eller tekniske løsninger håndteres ved ophør.

Få skrevet ind, hvordan adgange overdrages, og hvordan jeres data slettes efter en aftalt og kontrolleret overdragelse. Der kan være oplysninger, som skal opbevares af lovlige grunde, og det skal håndteres særskilt. Lad en ansvarlig medarbejder kontrollere, at konti, dokumentation og data faktisk er modtaget, før gamle adgange lukkes. Brug samme kontrol, hvis I senere tager dele af driften hjem i virksomheden.