Как проверить ИТ-аутсорсера перед подписанием договора

ИТ-подрядчика обычно выбирают по презентации, а узнают по первому спорному инциденту. Тогда и выясняется, что часы SLA стояли, пока ждали запчасть, что у подрядчика нашлась сотня причин, почему простой не его вина, и что поддержка вообще досталась компании «прицепом» к контракту на внедрение. Почти все это можно узнать до подписи договора, если задать правильные вопросы.

Сразу оговорюсь: статья не техническая. Протоколов, конфигураций и сравнения инструментов здесь не будет. Она для собственников и директоров малого и среднего бизнеса, которым надо выбрать ИТ-подрядчика, не разбираясь в устройстве серверов. Разберем десять вопросов и то, что стоит услышать в ответах: про переход, SLA и штрафы, пакеты и классы систем, безопасность и форматы работы.

Всем привет. С вами Авдей Мартынович, руководитель подразделения по работе с СМБ в ALP ITSM. До ALP я был ИТ-директором региональной компании и сам нанимал подрядчиков, а последние семь лет работаю на стороне аутсорсинга. Так что на выбор подрядчика смотрю с обеих сторон стола.

Ниже — десять вопросов, которые я задавал бы аутсорсеру сам, на месте клиента. Не все вопросы будут удобными, и это правильно: по реакции подрядчик виден лучше, чем по презентации. Скопируйте список в заметки перед первой встречей.

1. Подходит ли нам аутсорс в принципе? Пусть подрядчик сам скажет, кому его услуга не подходит. Если слышите «всем подходит» — перед вами продавец, а не консультант. Я считаю, что аутсорс хорош компаниям без ИТ-отдела, компаниям в росте и трансформации. И плох там, где закрытый контур, экзотическое легаси (программное наследство) или коллектив, который съест любую перемену.

2. Как выглядит переход, по этапам? Нормальный ответ — обследование, коммерческое предложение с уровнями сервиса, договор и приемка инфраструктуры, переходный период, глубокий аудит процессов, рутинная работа. Если переход описывают как «подпишем, и с завтрашнего дня все будет», уточните, кто в этот момент отвечает за ваши серверы. Обследование для компании до пятидесяти человек без филиалов занимает порядка трех дней. Обещание вечного аудита — повод насторожиться или торговаться.

3. Что может пойти не так при передаче и как вы это снимаете? Слушайте про риски — потеря доступов, данные, пароли, которые знают те, кому «уже не дозвониться», закладки в системе. И про методы: максимум вопросов на приемке, наложение старого и нового подрядчика по времени, свой инженер на площадке клиента в переходный период.

4. Какие параметры SLA вы фиксируете? Минимум три. Скорость реакции (от регистрации заявки до взятия в работу), нормативное время решения (от взятия до закрытия) и максимальное время простоя оборудования. Обязательно уточните, когда часы останавливаются. Ожидание запчасти или вашего ответа обычно приостанавливает отсчет, и это нормально, но вы должны узнать об этом заранее, а не во время первого спора. 

5. Что будет, если вы нарушите SLA? Практика рынка — за простой сервера возврат, размер зависит от масштаба простоя, его длительности и от размера ежемесячной оплаты. Но если подрядчик захочет уйти от ответственности, у него найдется сотня причин, по которым он не виноват. Отсюда правило. «Суперштрафы» в договоре (когда вам обещают возврат 100% стоимости услуг) —  скорее маркетинг. Работает разумная ответственность в деньгах плюс прозрачность и человеческие отношения.

6. Пакет или индивидуальное решение? У этих моделей разная механика. Пакеты дешевле, но жестко регламентированы по числу обращений и выездов, шаг влево-вправо за отдельные деньги. И учтите, на пакетах аутсорсер традиционно добирает маржу сопутствующими услугами. Вторая модель — договор по классам систем. Обслуживание рабочих станций как класс, с обязательством их бесперебойной работы, со всеми смежными делами и без счетчика выездов. Дороже, зато без постоянной дерготни. Сломалось сегодня, завтра, послезавтра — подрядчик чинит, потому что работающий компьютер и есть предмет договора.

7. Как я проверю вашу надежность и конфиденциальность? База простая. Возраст компании, как часто менялся гендиректор, аккредитация, текучка специалистов. Устоявшийся коллектив подрядчика сам по себе плюс, а высокая текучка плохо сказывается на здоровье всей ИТ-среды, и у внешнего провайдера, и в собственном отделе. Хороший признак зрелости — многоступенчатый контроль качества, принцип «четырех глаз»: критичную операцию один делает, второй проверяет до нажатия кнопки. В учетном аутсорсинге, для примера, так закрывают опасные операции с данными, и это прямо переносится на ИТ. По данным — NDA подписать необходимо, но в реальной жизни оно работает только в связке с техническими мерами, от контроля каналов до запрета сохранения на локальные машины и логирования действий.

8. Что вы делаете с безопасностью, а что принципиально не делаете? Вопрос-разделитель честных и остальных. Честный подрядчик скажет прямо. Стандартный ИТ-аутсорсинг не закрывает внешние атаки, гарантию от взлома не даст никто, антивирус сам по себе почти ничего не даст. В его зоне — своевременные обновления (большинство взломов пролезает через несвоевременно обновленное, чаще всего через почтовые серверы), гигиена сотрудников, фишинг-тесты, оперативная установка патчей.

9. Какие форматы сотрудничества возможны? Стратегический формат забирает всю инфраструктуру и работает как единое окно. Функциональный закрывает конкретную систему, например 1С, DevOps или узкую инженерию. Проектный покрывает разовые работы. Хороший подрядчик поможет выбрать минимально достаточный формат, а не станет продавать стратегический сразу. И заметьте, куда движется рынок: время мощных тысячестраничных контрактов «на десять лет» прошло, норма сегодня — обозримые контракты на два-три года, которые развиваются и продлеваются, если сервис правда нужен.

10. Как устроен сервис в бою? Кто принимает заявку, кто едет, через какое время приезжает инженер. И как быть с руководителями, которые привыкли решать вопросы личным звонком, в обход регламентов. В договорах на это есть понятие VIP-персон с правом прямого обращения, и в списки таких персон иногда попадают члены семей руководителей с запросом уровня «у меня компьютер не работает». Проговорить это заранее дешевле, чем героически разгребать после.

SLA и деньги: за что вы платите

Несколько тезисов про экономику, которые редко проговаривают на продажах.

Жестче интервалы — дороже сервис. Это не жадность подрядчика, это физика. Гарантировать реакцию за пять минут дороже, чем за час. Разумный компромисс — критичные системы в максимальный уровень сервиса, второстепенным допустимы нормативы «до двух дней». Платите за важное.

Качественно, быстро и дешево не бывает одновременно. Выберите два.

Просите нормативы в цифрах и примерах. Слабый ответ на вопрос про сервис — «работаем оперативно». Сильный — конкретика в духе учетного аутсорсинга. Срочный вопрос решается за полчаса-час, справка за час-два, пересчет по крупной компании готов в течение часа. Если подрядчик не может назвать свои нормативы, их не будет и в договоре.

Держите в голове метафору каршеринга. Свой специалист в штате устроен как личный автомобиль. Бензин, амортизация, зимние шины, парковка — платите за все, независимо от того, ездит или стоит. Аутсорс ближе к каршерингу, платите за поездку, остальное на владельце. У каршеринга, правда, есть и минус. Машина не всегда стоит у подъезда. То же с аутсорсом, мгновенной «ручной» реакции по щелчку ждать не стоит, для этого и нужны регламенты.

Ответственность должна иметь цифру. В аутсорсинге компания платит за надежность. Вы покупаете не часы инженеров, а предсказуемость. Посмотрите, как ответственность зафиксирована в деньгах. Скидки за простой, возмещение ущерба от ошибки, страховка профессиональной ответственности. Мы в ALP фиксируем в договоре компенсацию 1500 рублей за каждый час нарушения SLA и реакцию за пять минут, это ровно про то же — предсказуемость, за которую платят, вместо обещаний.

Как читать отчеты подрядчика

В сервисе есть термин «эффект арбуза». Снаружи все метрики зеленые. Время реакции соблюдено, тикеты закрыты, отчеты красивые. Разрезаешь — внутри бизнес недоволен. 

Отсюда практический фильтр при выборе подрядчика. Спросите, как устроена обратная связь от пользователей. В зрелых сервисах оценка вшита в сам процесс. Решили инцидент — сразу короткий вопрос «все в порядке?». Предложения пользователей собираются, систематизируются, обобщаются и превращаются в предложения по улучшению сервиса, а не выбрасываются. Если у подрядчика есть только красивый квартальный отчет и нет живой обратной связи снизу, то перед вами потенциальный арбуз.

Что дальше

Десять вопросов помогут отсеять продавцов и оставить консультантов. Дальше договор и передача на аутсорсинг тех или иных участков. Именно на передаче доступов и знаний чаще всего теряются данные, нервы и вера в аутсорсинг.  Об этом, с чек-листом приемки и разбором рисков, расскажу в следующей статье.

А до перехода полезно трезво оценить, что у вас вообще есть: провести инвентаризацию оборудования, состояния резервных копий, ключей в наличии и их владельцев. Это дешевле любого договора, а порядка станет сильно больше.

В отдельной статье мы рассказывали про типы инструментов, которые помогают навести порядок в ИТ. Читайте в статье на Хабр.