Jak wybrać firmę do outsourcingu IT: praktyczna lista kontrolna

Trzy oferty na biurku wyglądają niemal identycznie. Każda obiecuje pełną opiekę, szybką reakcję, bezpieczeństwo i indywidualne podejście. Różnią się ceną i kolorem logo. Na tej podstawie zarząd ma podjąć decyzję, która na najbliższe lata przesądzi o tym, kto ma dostęp do wszystkich danych firmy.

Oferty wyglądają podobnie, bo deklaracja nic nie kosztuje. Pytanie „czy macie doświadczenie w naszej branży” zawsze dostanie odpowiedź twierdzącą. Prośba „pokażcie raport miesięczny, który dostaje klient o podobnym profilu, z zamazanymi danymi” już nie zawsze.

Na tym polega różnica między porównywaniem ofert a ich ocenianiem. Poniższy arkusz, który pomaga ustalić, jak wybrać firmę do outsourcingu IT, jest zbudowany wokół dowodów: przy każdym kryterium jest pytanie, artefakt, o który warto poprosić, i odpowiedź, która powinna zapalić czerwoną lampkę.

Uczciwe zastrzeżenie: piszemy to jako firma, która sama świadczy usługi outsourcingu IT dla firm. Dlatego arkusz jest skonstruowany tak, żeby dało się nim ocenić również nas, i żebyśmy mogli w kilku miejscach wypaść przeciętnie. Poradnik o wyborze dostawcy, który prowadzi do jednego słusznego wyboru, byłby po prostu ofertą.

Zdefiniujcie potrzeby przed zapytaniem ofertowym

Zapytanie o treści „prosimy o ofertę na obsługę IT dla 30 osób” daje trzy nieporównywalne odpowiedzi. Każda firma informatyczna wypełni lukę własnymi założeniami, a Wy dostaniecie trzy różne zakresy w podobnych cenach i nie dowiecie się, dlaczego.

Zanim wyślecie zapytanie, ustalcie cztery rzeczy.

Co konkretnie ma być obsługiwane. Zamiast ogólnego „IT”: tyle a tyle stacji roboczych, serwery fizyczne i wirtualne, system ERP, poczta na konkretnej platformie, sieć w danej lokalizacji, urządzenia specjalistyczne. Bez tego spisu porównujecie ceny za różne rzeczy.

Co jest krytyczne dla działania firmy. Które systemy zatrzymują przychód, kiedy przestają działać, i po jakim czasie. Ta jedna informacja bardziej wpływa na sensowną ofertę niż liczba pracowników.

Czego oczekujecie poza reakcją na awarie. Rozwój infrastruktury, doradztwo, planowanie budżetu, dokumentacja, raportowanie dla zarządu. Jeśli oczekujecie rozwoju, a kupicie reagowanie na awarie, konflikt jest kwestią miesięcy.

Jaki jest Wasz profil ryzyka. Biuro rachunkowe przetwarzające dane klientów, firma produkcyjna z halą zatrzymującą się przy awarii sieci i agencja marketingowa mają zupełnie inne wagi tych samych kryteriów. Wracamy do tego przy arkuszu.

Efektem ma być krótkie zapytanie z jednakową listą pytań i tym samym opisem środowiska dla wszystkich dostawców. Wtedy różnice w odpowiedziach stają się informacją.

Za co firma IT naprawdę odpowiada

Obsługa IT może oznaczać infolinię rozliczaną za każdą godzinę, administrację wybranymi serwerami albo pełny model MSP (Managed Service Provider, czyli dostawcy usług zarządzanych), obejmujący użytkowników, sieć, urządzenia, backup i bezpieczeństwo. Zanim porównacie ceny, poproście każdą firmę IT o zapisanie odpowiedzialności w tej samej tabeli: co monitoruje, co utrzymuje, co naprawia, co koordynuje z innymi dostawcami i czego świadomie nie obejmuje umowa.

Największym ryzykiem bywa luka pomiędzy dostawcami. Jeśli firma od sieci twierdzi, że winny jest serwer, a opiekun serwera wskazuje operatora, problem wraca do zarządu. Dobra oferta wskazuje jednego właściciela diagnozy i opisuje, jak eskaluje się sprawy wykraczające poza jej zakres.

Brytyjskie wytyczne NCSC dotyczące wyboru dostawcy usług zarządzanych zalecają, żeby umowa zawierała macierz odpowiedzialności: co zrobi dostawca, a czego oczekuje się od klienta.

10 kryteriów porównania firm informatycznych

Każde kryterium ma tę samą strukturę: o co pytacie, jaki dowód powinien się pojawić, co powinno Was zaniepokoić.

1. Zakres i granice odpowiedzialności.

Pytanie: co dokładnie wchodzi w abonament, a co jest rozliczane osobno? Dowód: pisemna macierz odpowiedzialności, pozycja po pozycji. Czerwona flaga: „wszystko w cenie” bez żadnych wyłączeń. Każda usługa ma granice; dostawca, który ich nie nazywa, ustali je jednostronnie przy pierwszym sporze.

2. Model pracy i okno wsparcia.

Pytanie: w jakich godzinach działa wsparcie, kto odbiera zgłoszenie poza nimi, ile to kosztuje i jak wygląda dojazd? Dowód: opis procesu i godzin zapisany w umowie. Czerwona flaga: „jesteśmy dostępni zawsze” bez opisu, co to znaczy w praktyce i ile kosztuje.

3. Sposób przyjmowania zgłoszeń.

Pytanie: przez jaki kanał zgłaszamy problem, od którego momentu liczony jest czas reakcji i jak sprawdzamy status? Dowód: system zgłoszeń z historią. Czerwona flaga: zgłoszenia na prywatny numer konkretnego technika. To wygodne przez pierwsze pół roku i kłopotliwe, gdy ten technik zmieni pracę.

4. Ludzie i ciągłość wiedzy.

Pytanie: ile osób zna nasze środowisko i co się dzieje podczas urlopu lub choroby głównego opiekuna? Dowód: opis zastępstwa i miejsce, w którym trzymana jest dokumentacja. Czerwona flaga: całą wiedzę ma jedna osoba. To dokładnie ten problem, przed którym uciekacie z własnej firmy.

5. Dokumentacja.

Pytanie: co dokładnie dokumentujecie, jakie dokumenty dostaniemy po przejęciu i po każdej większej zmianie, i czy będą naszą własnością? Dowód: przykładowa, zanonimizowana dokumentacja innego klienta. Czerwona flaga: dokumentacja istnieje wyłącznie w narzędziu dostawcy i nie opuszcza go w czytelnej formie.

6. Bezpieczeństwo dostępu. Osobna sekcja niżej.

7. Backup i ciągłość działania.

Pytanie: kto odpowiada za backup, co obejmuje kopia, gdzie leży i kiedy ostatnio testowaliście odtworzenie? Dowód: raport z testu odtworzenia. Czerwona flaga: deklaracja „mamy backup” bez dowodu odtworzenia albo nazywanie synchronizacji plików kopią zapasową. Synchronizacja replikuje skasowanie i zaszyfrowanie pliku do wszystkich kopii, więc nie chroni przed najczęstszym scenariuszem utraty danych.

8. Raportowanie.

Pytanie: co dostaje zarząd i jak często? Dowód: przykładowy raport miesięczny. Czerwona flaga: raport to lista zamkniętych zgłoszeń. Zarządowi nic nie mówi o stanie ryzyka.

9. Rozwój i doradztwo.

Pytanie: kto proponuje zmiany, co jest monitorowane automatycznie, a co sprawdzane okresowo, i jak planujemy budżet IT na rok? Dowód: opis cyklicznego przeglądu. Czerwona flaga: dostawca czeka na Wasze polecenia. Jeśli firma nie ma własnego działu IT, nie ma kto tych poleceń formułować.

10. Zakończenie współpracy.

Pytanie: jak odzyskamy dokumentację, konta i konfiguracje, gdy zrezygnujemy? Dowód: opisany proces przekazania w umowie. Czerwona flaga: unikanie tematu. Wracamy do tego niżej.

Bezpieczeństwo dostępu dostawcy

To kryterium bywa pomijane, a jest najpoważniejsze. Dostawca IT ma uprawnienia administracyjne do wszystkiego, co macie. Jego bezpieczeństwo staje się Waszym bezpieczeństwem, a jego incydent może stać się Waszym incydentem.

Pytania, które warto zadać:

• Jak chronicie własne konta administracyjne w naszym środowisku? NCSC zaleca dwuetapową weryfikację logowania dla kont administracyjnych i danych dostępowych dostawcy. Odpowiedź „mamy silne hasła” jest odpowiedzią negatywną.
• Czy stosujecie zasadę minimalnych uprawnień? Ta sama wytyczna mówi wprost o dawaniu dostawcy tylko tych uprawnień, które są potrzebne do zadania. Stałe konto globalnego administratora „na wszelki wypadek” jest odwrotnością tej zasady.
• Kto z Waszej strony będzie mieć dostęp i jak to jest ewidencjonowane? Powinna istnieć imienna lista osób.
• Co się dzieje, gdy Wasz pracownik odchodzi z firmy? Pytacie o proces odbierania dostępów. Bez niego po latach współpracy w Waszym środowisku żyją konta ludzi, których nazwisk nie znacie.
• Z jakich podwykonawców korzystacie? NCSC zaleca ocenę ryzyka łańcucha dostaw dostawcy. Jeśli część prac wykonuje ktoś inny, dotyczą go te same pytania.
• Jak nas powiadomicie, gdy incydent wystąpi u Was? Wytyczne zalecają zapisanie w umowie terminów, w jakich klient zostanie powiadomiony o naruszeniu lub incydencie.
• Czy macie przetestowany plan reagowania na incydenty? Nacisk na „przetestowany”. Plan, którego nikt nie przećwiczył, w dniu awarii zwykle zawodzi.

Uważajcie też na skróty myślowe w ofertach. „Zapewniamy bezpieczeństwo” może oznaczać zainstalowany program antywirusowy, system klasy EDR z aktywnym wykrywaniem i reakcją albo całodobowy monitoring prowadzony przez zespół analityków. To trzy różne usługi, koszty i poziomy ochrony. Poproście o nazwanie konkretów.

Żaden dostawca nie wyeliminuje ryzyka do zera, a taka deklaracja sama w sobie jest czerwoną flagą. Chodzi o to, żebyście wiedzieli, co dokładnie kupujecie.

SLA i sposób raportowania

Przy porównywaniu ofert liczby SLA są najbardziej mylące, bo wyglądają obiektywnie.

Czas reakcji mówi, po jakim czasie ktoś zajmie się zgłoszeniem. Czas naprawy mówi, kiedy problem zniknie. Dostawca może odpowiedzieć w 10 minut i naprawiać usterkę trzy dni, a SLA formalnie zostanie dotrzymane. Oferta z reakcją „do 4 godzin” i realnym procesem bywa lepsza niż „do 10 minut” bez opisu, co dzieje się dalej.

Do porównania ofert potrzebujecie odpowiedzi na sześć pytań:

1. Od kiedy biegnie czas: od rejestracji zgłoszenia czy od jego przyjęcia?
2. Jak zdefiniowane są priorytety P1-P4, kto je nadaje i czy możecie się z nim nie zgodzić?
3. Czy czas reakcji jest oddzielony od celu przywrócenia działania?
4. Czy licznik działa poza oknem wsparcia, w weekendy i święta?
5. Co zatrzymuje licznik, na przykład oczekiwanie na Waszą decyzję albo na dostawę części?
6. Co się dzieje, gdy SLA nie zostanie dotrzymane?

Wytyczne NCSC podają orientacyjne wartości: reakcję poniżej godziny dla spraw pilnych, jeden dzień roboczy dla zwykłych zapytań i rozwiązanie rutynowych spraw o średnim priorytecie w dwa-trzy dni robocze. To wskazówki dla rynku brytyjskiego, które w Polsce nie są normą ani obietnicą któregokolwiek dostawcy. Przydają się jako punkt odniesienia, gdy oferta odbiega od nich radykalnie. Te same wytyczne przypominają, że krótszy czas reakcji najpewniej podniesie koszt umowy. Mechanikę liczników i pauz rozłożyliśmy na czynniki w tekście SLA IT: czas reakcji a czas naprawy.

Osobno oceńcie raportowanie. Poproście o przykładowy raport i sprawdźcie, czy odpowiada na pytania zarządu: co się wydarzyło, co jest zagrożeniem, co wymaga decyzji i pieniędzy, kto jest właścicielem działania i jaki jest termin.

Zakres, wyłączenia i całkowity koszt

Najwięcej sporów w trakcie współpracy dotyczy tego, czy dana praca mieściła się w abonamencie.

Poproście o jednoznaczne rozstrzygnięcie kilku typowych sytuacji granicznych: konfiguracja nowego stanowiska dla nowego pracownika, migracja poczty, wdrożenie nowego systemu, zakup i konfiguracja sprzętu, szkolenie zespołu, praca poza godzinami przy awarii, wizyta na miejscu, drobna zmiana w sieci, kontakt z producentem oprogramowania. Dobry dostawca odpowie na każdą słowem „wliczone” albo „osobno” i poda zasadę rozliczenia.

Niska opłata miesięczna może nie obejmować projektów, wizyt, urządzeń sieciowych, pracy po godzinach ani nowych stanowisk. Dlatego poproście o trzy przykładowe scenariusze rozliczenia: zwykły miesiąc, miesiąc z wdrożeniem kilku nowych pracowników oraz awarię krytyczną poza godzinami. Zobaczycie wtedy, czy cena jest przewidywalna i gdzie powstają dopłaty.

Zwróćcie uwagę na dwa mechanizmy cenowe. Model godzinowy z pulą godzin premiuje dostawcę za zużywanie czasu. Model abonamentowy premiuje stabilne środowisko, ale wymaga precyzyjnych wyłączeń, inaczej dostawca musi się chronić przed nieograniczonym zobowiązaniem. Żaden nie jest z natury lepszy; ważne, żeby rozumieć, do czego zachęca.

Zapytajcie też o zmiany. Firma za rok będzie mieć inne potrzeby. Sposób, w jaki dostawca opisuje zmianę zakresu i ceny, mówi więcej o przyszłej współpracy niż cała oferta.

Jak taki rozdział zakresu wygląda u nas, opisaliśmy na stronie outsourcingu IT. Sam koszt rozłożyliśmy na czynniki we wpisie o tym, ile kosztuje outsourcing IT.

Proces przejęcia środowiska

Najwięcej problemów ujawnia się na początku współpracy: nieznane hasła, nieaktualne licencje, brak dokumentacji, kopie wykonywane na ten sam serwer i urządzenia bez wsparcia producenta. Dlatego pytajcie o pierwsze tygodnie równie dokładnie jak o stan docelowy.

Dostawca powinien przedstawić plan inwentaryzacji, zabezpieczenia dostępów, uruchomienia monitoringu oraz listę ryzyk z kolejnością działań. Zapytajcie wprost, co dokładnie wydarzy się w pierwszych 30, 60 i 90 dniach. Sama obietnica, że zespół przejmie wszystko bez zakłóceń, planu nie zastąpi.

Jeśli zmieniacie obecnego dostawcę, kolejność kroków po Waszej stronie opisaliśmy w tekście o zmianie firmy IT i przejęciu administracji.

Dowody doświadczenia

„Mamy wieloletnie doświadczenie” samo w sobie niczego nie mówi. Poniżej rzeczy, które da się sprawdzić.

Referencje od firm o podobnym profilu. NCSC zaleca prośbę o referencje lub opinie innych klientów dostawcy, zwłaszcza z sektora MŚP. Istotne jest „o podobnym profilu”: doświadczenie w obsłudze korporacji nie przekłada się automatycznie na trzydziestoosobową firmę produkcyjną.

Rozmowa z obecnym klientem. Najbardziej wartościowy dowód i najrzadziej wykorzystywany. Pytajcie o konkret: jak wyglądała ostatnia poważna awaria i co się wtedy działo.

Certyfikaty i doświadczenie zespołu. Certyfikaty mogą być pomocnym potwierdzeniem znajomości określonych standardów lub technologii, ale nie powinny być głównym kryterium wyboru firmy IT. ISO 27001 potwierdza funkcjonowanie systemu zarządzania bezpieczeństwem informacji w określonym zakresie, a certyfikat producenta świadczy o znajomości konkretnego rozwiązania. Żaden z nich nie przesądza o sprawnej obsłudze, szybkiej reakcji podczas awarii ani o umiejętności dopasowania technologii do potrzeb firmy.

Równie istotne są doświadczenie osób realizujących usługę, praca z podobnymi środowiskami, sposób diagnozowania problemów i stosowane procedury. W NexaIT kompetencje opieramy przede wszystkim na ponad dziesięciu latach praktyki każdego ze wspólników w projektowaniu, wdrażaniu, zabezpieczaniu i utrzymywaniu infrastruktury. Pytajcie więc dostawców o konkretne wdrożenia, sposób prowadzenia dokumentacji, standardy bezpieczeństwa i przebieg reakcji na rzeczywiste awarie.

Partnerstwa producenckie. Łatwo je zweryfikować w publicznych rejestrach partnerów prowadzonych przez producentów. Warto to zrobić, bo słowo „partner” bywa używane luźno: czasem oznacza formalny status, a czasem tylko to, że firma kupuje sprzęt u dystrybutora.

Dokumenty firmowe. Rejestry publiczne pokazują, jak długo firma faktycznie działa i kto za nią stoi. Zapytajcie też o ubezpieczenie odpowiedzialności cywilnej i jego zakres, i poproście o dokument potwierdzający.

Umowa i plan wyjścia

Warunki wyjścia sprawdza się przed podpisaniem, bo później nie ma się już dźwigni negocjacyjnej.

NCSC zaleca, żeby czas trwania umowy i klauzule wyjścia dawały elastyczność, gdy firma zmienia kierunek albo jakość usługi przestaje odpowiadać. Wskazuje też, że umowa powinna określać, kto śledzi daty zakończenia wsparcia dla systemów, doradza w sprawie wymiany i działa przed ich upływem.

Pytania na etapie wyboru:

• Jaki jest okres wypowiedzenia i czy umowa przedłuża się automatycznie?
• Czy zawiera obowiązek współdziałania przy przekazaniu środowiska następcy?
• Kto będzie właścicielem dokumentacji, kont i konfiguracji?
• Czy licencje i subskrypcje będą kupowane na Waszą firmę, czy przez dostawcę?
• Kto jest abonentem domeny?

Ostatnie dwa punkty bywają rozstrzygające. Jeśli dostawca kupuje wszystko na siebie, przy rozstaniu oprócz nowego opiekuna przejmujecie projekt odzyskiwania własnych zasobów.

Reakcja dostawcy na te pytania sama w sobie jest testem. Rzeczowa odpowiedź świadczy o tym, że firma ma proces. Zniecierpliwienie albo „po co o tym myśleć, dopiero zaczynamy” świadczy o czymś przeciwnym.

Samą treść umowy powinien ocenić radca prawny. Ten materiał wskazuje wyłącznie, o co zapytać.

Czerwone i zielone sygnały

Poniższe punkty opisują zachowania. Pojedyncza czerwona flaga to sygnał do dopytania. Kilka naraz układa się we wzór.

Czerwone sygnały:

• Odpowiedź na każde pytanie brzmi „tak, oczywiście”. Dostawca, który nie potrafi nazwać granic swoich kompetencji, albo ich nie zna, albo je ukrywa.
• Brak wyłączeń w ofercie i SLA bez definicji priorytetów oraz okna wsparcia.
• Deklaracja pełnego bezpieczeństwa albo bezpieczeństwo sprowadzone do sprzedaży programu antywirusowego.
• Cena wyraźnie poniżej pozostałych. Ktoś przyjął inny zakres. Ustalcie, który element, zanim uznacie to za okazję.
• Presja czasowa. „Ta cena obowiązuje do końca miesiąca” przy umowie na kilka lat.
• Unikanie tematu zakończenia współpracy.
• Brak systemu zgłoszeń i wiedza skupiona w jednej osobie.
• Niechęć do pokazania przykładowego raportu lub dokumentacji. Zanonimizowany artefakt można pokazać zawsze. Odmowa oznacza zwykle, że taki dokument nie istnieje.
• Dyskredytowanie poprzedniego dostawcy. Firma, która zaczyna od opowieści o niekompetencji poprzednika, kiedyś będzie opowiadać o Was.

Zielone sygnały:

• Dostawca nazywa odpowiedzialność, wyłączenia i tryb eskalacji przed podpisaniem umowy.
• Pierwszym krokiem jest przegląd stanu faktycznego i plan na pierwsze 90 dni.
• Raport kończy się decyzjami dla firmy, właścicielem działania i terminem.

Arkusz punktowy

Poniższy arkusz to nasza propozycja metodyki, a nie standard branżowy. Wagi zależą od profilu firmy, dlatego podajemy trzy warianty.

Każde kryterium oceniacie w skali 0-3:

• 0: brak odpowiedzi lub odpowiedź wymijająca;
• 1: deklaracja bez dowodu;
• 2: deklaracja z częściowym dowodem;
• 3: dowód w postaci dokumentu lub artefaktu.

Kryterium	Biuro usługowe / rachunkowe	Firma produkcyjna	Firma handlowa / usługowa
Zakres i macierz odpowiedzialności	3	3	3
Bezpieczeństwo dostępu dostawcy	3	2	2
Backup z dowodem odtworzenia	3	3	3
SLA z jasnymi zasadami liczenia	2	3	2
Ciągłość wiedzy i zastępstwo	2	3	2
Dokumentacja przekazywana klientowi	2	2	2
Raportowanie dla zarządu	2	2	2
Doradztwo i planowanie budżetu	1	2	2
Referencje z podobnego profilu	2	3	2
Warunki zakończenia współpracy	3	3	3

Wynik liczycie jako sumę iloczynów oceny i wagi. Precyzja jest tu drugorzędna; chodzi o to, żeby różnice między ofertami przestały być kwestią wrażenia.

Dwie uwagi do interpretacji. Po pierwsze, oferta z najwyższym wynikiem nie musi być właściwym wyborem, jeśli wypada słabo w kryterium o wadze 3: brak dowodu odtworzenia backupu nie kompensuje się świetnym raportowaniem. Po drugie, cena celowo nie jest kryterium w arkuszu. Najpierw ustalcie, które oferty w ogóle spełniają Wasze wymagania, i dopiero wśród nich porównujcie koszt. Odwrotna kolejność prowadzi do wyboru najtańszego zakresu, który przy pierwszej poważnej awarii okazuje się jedynie pakietem godzin.

Wybór firmy IT oparty na dowodach

Całość sprowadza się do jednej zmiany nawyku: zamiast pytać „czy robicie X”, proście o pokazanie X. Deklaracja jest darmowa, artefakt wymaga pracy. Dostawca, który ma proces, pokaże go bez oporu, bo to dla niego tańsze niż tłumaczenie, dlaczego nie może.

Jeśli chcecie zastosować ten arkusz do nas, zacznijmy od bezpłatnego przeglądu IT i poproście o macierz odpowiedzialności oraz zakres, na jaki jesteśmy gotowi się zobowiązać.

---

Zastrzeżenie

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Ocena treści umowy z dostawcą usług IT, w tym warunków odpowiedzialności i zakończenia współpracy, wymaga konsultacji z radcą prawnym.

Źródła

• National Cyber Security Centre, Choosing a Managed Service Provider (MSP), publikacja 24.11.2025, przegląd 24.06.2026, https://www.ncsc.gov.uk/guidance/choosing-a-managed-service-provider-msp (dostęp 2.10.2026)
• ENISA, Cybersecurity for SMEs - Challenges and Recommendations, 28.06.2021, https://www.enisa.europa.eu/publications/enisa-report-cybersecurity-for-smes (dostęp 2.10.2026)

Stan na 2 października 2026 r.