Что отдавать на ИТ-аутсорсинг, а что держать внутри компании: карта функций

Спор «свой отдел или подрядчик» почти всегда бесплоден, потому что вопрос поставлен неправильно. В компаниях среднего и крупного размера ИТ никогда не находится целиком внутри или целиком снаружи: часть функций живёт в штате, часть у партнёров, и весь вопрос в том, где проходит граница.

Граница эта проводится не по технологиям и не по размеру бюджета. Она определяется тремя признаками функции, и если их проверить, распределение получается почти механическим.

Разберём эти признаки, пройдём по типовым ИТ-функциям с рекомендацией по каждой, отдельно разберём спорную зону и то, что нужно зафиксировать в договоре при любой схеме.

Три признака, по которым распределяется функция

Даёт ли функция конкурентное преимущество

Первый и главный фильтр. Если процесс отличает вас от конкурентов и клиент это чувствует, он остаётся внутри. Если процесс одинаков у вас и у соседней компании из другой отрасли, его можно передавать.

Настройка рабочих станций одинакова у ритейлера, завода и юридической фирмы. А алгоритм расчёта маршрутов у логистической компании — это и есть её продукт, даже если формально это ИТ-система.

Здесь важно не путать критичность с уникальностью. Почта критична для всех, но уникальной не является ни для кого, поэтому почтовый сервис спокойно обслуживается снаружи.

Можно ли описать результат измеримо

Второй фильтр — проверка на управляемость. Функция передаётся в том случае, когда её результат можно записать в договор в виде проверяемых показателей: время реакции на заявку, время восстановления сервиса, доступность системы в процентах, срок закрытия уязвимости.

Если результат формулируется только как «чтобы всё работало» или «чтобы нам было удобно», подрядчик не сможет за него отвечать, а вы не сможете проверить исполнение. Такие функции либо остаются внутри, либо сначала описываются, а потом передаются.

Хорошая проверка: попробуйте сформулировать, по каким признакам вы поймёте, что подрядчик работает плохо. Если получается только «по ощущениям» — функция пока не готова к передаче.

Есть ли регуляторное или доверительное ограничение

Третий фильтр отсекает то, что нельзя отдавать независимо от экономики.

Часть функций по требованиям регуляторов должны исполняться штатными сотрудниками — на это прямо указывают специалисты по информационной безопасности, когда обсуждают границы аутсорсинга ИБ. Сюда же относятся функции административного воздействия: решения о наказании сотрудников, согласование прав доступа, работа с инцидентами, где затрагиваются интересы конкретных людей.

И отдельно — передача функции не снимает с вас ответственности. Если банк размещает данные в облаке, обязанность обеспечить их защиту по требованиям регулятора остаётся на нём, а провайдер выполняет меры защиты потому, что так записано в договоре. Это же логика работает и с персональными данными: перед Роскомнадзором отвечает оператор, а не его подрядчик.

Что можно спокойно отдавать

Поддержка пользователей

Первая линия, работа с заявками, настройка рабочих мест, обслуживание оргтехники. Функция массовая, типовая, легко измеримая по времени реакции и решения. По данным рынка, Service Desk и техническая поддержка входят в число наиболее часто передаваемых направлений наравне с поддержкой программного обеспечения.

Дополнительный аргумент: именно здесь у штата самая высокая текучесть и самая низкая отдача от удержания людей. Специалист первой линии через полтора года либо растёт, либо уходит.

Администрирование инфраструктуры

Обслуживание серверов и систем хранения, сетевого оборудования, виртуализации, резервного копирования. Работа регулярная, стандартизованная, требующая узких компетенций, которые в штате простаивают.

Исключение — если конкретная система является уникальной для вашего бизнеса. Тогда её администрирование переходит в серую зону.

Мониторинг и дежурства вне рабочих часов

Самый очевидный кандидат на передачу. Круглосуточное дежурство внутри означает минимум четырёх человек в смену только для закрытия графика, при том что большую часть ночей ничего не происходит.

Подрядчик распределяет эту нагрузку между клиентами, поэтому режим 24×7 у него стоит принципиально дешевле, чем собственная смена.

Проектные и разовые работы

Переезд офиса, миграция на отечественный стек, развёртывание новой системы, аудит инфраструктуры. Держать в штате компетенции под задачу, которая возникает раз в три года, экономически бессмысленно.

Рынок это подтверждает: на аутсорсинг сегодня передают в том числе аудит ИТ-инфраструктуры и развёртывание систем защиты — работы с чётким началом, концом и проверяемым результатом.

Что остаётся внутри

Архитектура и планирование

Решения о том, куда развивается инфраструктура, какие платформы выбираются, что и когда модернизируется. Подрядчик может консультировать и готовить варианты, но решение остаётся за компанией, потому что оно определяет её расходы на годы вперёд.

Здесь же — стратегия информационной безопасности: принятие или непринятие рисков, планирование развития ИБ, контроль ключевых показателей. Эти функции относят к стратегическому уровню, и их не передают даже те компании, которые отдают всю ИБ-эксплуатацию наружу.

Управление подрядчиками

Функция, о которой чаще всего забывают. Кто-то внутри компании должен ставить задачи, принимать работы, проверять выполнение SLA, вести переговоры о расширении услуг. Без этой роли отношения с подрядчиком быстро скатываются к реактивному закрытию заявок.

Отдавать управление подрядчиком тому же подрядчику нельзя по понятной причине: он окажется единственным источником информации о собственном качестве.

Владение данными, доступами и документацией

Согласование прав доступа — функция, которую специалисты по ИБ прямо не рекомендуют передавать наружу. Решение о том, кто и к чему получает доступ, принимается внутри компании, даже если технически учётную запись создаёт инженер подрядчика.

То же с документацией. Схемы сети, конфигурации, история инцидентов должны храниться у вас, а не только в системе исполнителя. Иначе смена партнёра превращается в отдельный проект на несколько месяцев, а возврат функции в штат становится почти невозможным — на сложность обратного перехода указывают и сами участники рынка сервисных услуг.

Системы, составляющие продукт компании

Если ИТ-система и есть то, за что клиент платит деньги, её разработка и развитие остаются внутри. Платформа маркетплейса, система расчёта тарифов страховой компании, производственный контур — здесь внешняя команда не заменит носителей знания о продукте.

Эксплуатацию окружения при этом передавать можно: серверы под самописной системой ничем не отличаются от любых других серверов.

Серая зона

Три функции, по которым нет универсального ответа.

Мониторинг информационной безопасности. Круглосуточный SOC внутри могут позволить себе немногие, и внешний мониторинг — распространённая практика. Но передача упирается в два ограничения: готовы ли вы дать подрядчику доступ к информации, необходимой для реальной работы, и остаются ли внутри контроль утечек и реагирование с административными последствиями. Рабочая схема — внешний мониторинг и первичный анализ, внутреннее принятие решений.

Бизнес-системы: 1С, ERP, CRM. Техническое сопровождение платформы передаётся легко. Доработка бизнес-логики — вопрос спорный: она отражает процессы компании, и через два года подрядчик знает о ваших процессах больше, чем вы сами. Компромисс — внутренний владелец системы, который держит логику и постановку задач, и внешние руки для реализации.

Сетевая инфраструктура. Обслуживание оборудования отдаётся спокойно, а вот проектирование сегментации и правила доступа между сегментами — решение, влияющее на безопасность всей компании. Его лучше принимать внутри, даже если настраивать будет подрядчик.

«Мы советуем смотреть не на функцию целиком, а на её слои. Почти любое направление делится на стратегию, принятие решений и исполнение. Стратегия и решения остаются внутри всегда, исполнение передаётся почти всегда. Как только заказчик начинает мыслить слоями, а не блоками, спор о том, что отдавать, заканчивается за одно совещание», — Станислав Гуляев, ведущий технический эксперт ОБИТ.

Карта функций одной таблицей

Что зафиксировать при передаче любой функции

Независимо от того, какие функции вы отдали, четыре вещи должны остаться под вашим контролем.

• Документация и конфигурации хранятся у вас и обновляются подрядчиком, а не живут только в его системе;
• право аудита: возможность проверить, как исполнитель работает с вашими данными и выполняет заявленные меры защиты;
• перечень защитных мер и план проверок их выполнения прямо в договоре — стандартная практика при передаче функций, затрагивающих защищаемые данные;
• процедура выхода: в какие сроки и в каком виде передаются доступы, документация и история обращений при расторжении.

Последний пункт кажется преждевременным на этапе подписания, но именно его отсутствие делает смену партнёра дорогой. Обсуждать условия расставания проще до начала отношений, чем в момент конфликта.

Типичные ошибки разделения

«Самая дорогая ошибка — передать функцию, которая внутри компании не была описана. Подрядчик начинает работать по своему пониманию, заказчик сравнивает с тем, как было принято раньше, и оба правы. Если процесса нет, аутсорсинг его не создаст — он его зафиксирует в том виде, в каком его понял исполнитель», — Станислав Гуляев, ведущий технический эксперт ОБИТ.

С чего начать

Ответ на вопрос, что отдавать, а что держать внутри, сводится к трём проверкам по каждой функции: даёт ли она конкурентное преимущество, можно ли описать её результат измеримо и есть ли регуляторные ограничения на передачу. Функции, которые проходят все три фильтра, уходят подрядчику — это поддержка пользователей, администрирование инфраструктуры, мониторинг и дежурства, разовые проекты. Внутри остаются архитектура и планирование, управление подрядчиками, согласование доступов, стратегия информационной безопасности и системы, составляющие продукт компании.

Более точная формулировка того же правила: делить нужно не функции, а слои внутри них. В любом направлении есть стратегия, принятие решений и исполнение. Первые два слоя остаются внутри почти всегда, третий передаётся почти всегда — и такое разделение работает даже там, где по названию функции ответ неочевиден.

Практический первый шаг — выписать все ИТ-функции компании списком и прогнать каждую через три фильтра. Упражнение на пару часов, но оно обычно обнаруживает две вещи: функции, которые давно пора передать, и функции, которые уже передали, хотя не следовало.

Если хотите разобрать своё распределение и понять, какой формат подойдёт — полная передача эксплуатации, отдельное направление или усиление своей команды, — приходите на бесплатную консультацию.