Umowa SLA na obsługę IT: co powinna zawierać, żeby chroniła firmę

„Czas reakcji: 4 godziny”. Taki zapis w umowie wygląda solidnie, dopóki nie okaże się, że reakcją jest automatyczny e-mail z numerem zgłoszenia. Umowa SLA na obsługę IT ma sens tylko wtedy, gdy precyzyjnie opisuje, co dostawca robi, w jakim czasie i co się dzieje, gdy tego nie zrobi. Poniżej checklista zapisów do sprawdzenia przed podpisaniem.

1. Definicje: reakcja, obejście, rozwiązanie

Najwięcej nieporozumień bierze się z niejasnych pojęć. Umowa powinna rozróżniać co najmniej trzy momenty:

• czas reakcji, czyli chwilę, w której specjalista faktycznie zaczyna pracę nad zgłoszeniem (a nie tę, w której system wysyła potwierdzenie),
• czas obejścia, po którym firma może znowu pracować, nawet jeśli przyczyna nie jest jeszcze usunięta,
• czas rozwiązania, kiedy problem znika trwale.

Dla firmy najważniejszy bywa czas obejścia. Jeżeli serwer padł, a dostawca w dwie godziny uruchomi system z kopii na zapasowej maszynie, pracujesz, zanim przyjdzie nowy dysk.

2. Priorytety zgłoszeń opisane przykładami

Zapis „awaria krytyczna: reakcja w 1 godzinę” nic nie znaczy, jeśli nie wiadomo, co jest awarią krytyczną. Poproś o tabelę priorytetów z przykładami z Twojej firmy, na przykład:

• krytyczny: nie działa system ERP, poczta lub internet dla całej firmy, jest podejrzenie ataku,
• wysoki: problem dotyczy całego działu albo osoby, bez której dział stoi, na przykład głównej księgowej w dniu zamknięcia miesiąca,
• normalny: problem jednego użytkownika, który ma obejście,
• niski: prośby o konfigurację, instalację, zmiany na przyszłość.

Ustal też, kto nadaje priorytet. Dobrze, gdy firma może podnieść priorytet zgłoszenia, a dostawca musi uzasadnić jego obniżenie.

3. Godziny obsługi i kanały zgłoszeń

Czasy reakcji liczy się zwykle w godzinach roboczych. Sprawdź, jakie to godziny i czy pasują do Twojej firmy. Magazyn, który rusza o szóstej, przy dostawcy pracującym od dziewiątej ma trzy godziny dziennie bez wsparcia.

Umowa powinna wskazywać kanały zgłoszeń: system zgłoszeń, e-mail, telefon. Awarię krytyczną musi dać się zgłosić telefonicznie, bo kiedy padnie poczta, e-mail nie zadziała. Organizację zgłoszeń opisujemy w tekście o helpdesku IT.

4. Zakres usług: co jest w abonamencie

W tym punkcie najczęściej rodzą się dodatkowe faktury. Zakres powinien być listą konkretnych czynności, na przykład:

• wsparcie użytkowników zdalnie i na miejscu, z liczbą wizyt lub godzin,
• administracja serwerami, siecią, Microsoft 365, programem antywirusowym,
• instalowanie aktualizacji z określoną częstotliwością,
• monitoring i reagowanie na alerty,
• wykonywanie i kontrola kopii zapasowych,
• przygotowanie stanowisk dla nowych pracowników i odbieranie dostępów odchodzącym.

Osobno opisz, co jest poza abonamentem: projekty, wymiana serwera, migracje, zakup sprzętu. Dobrze, gdy umowa podaje stawkę za prace dodatkowe i wymaga akceptacji wyceny przed ich rozpoczęciem.

5. Kopie zapasowe i odtwarzanie

Sam zapis „dostawca wykonuje kopie zapasowe” firmy nie chroni. Umowa powinna mówić, co jest kopiowane i jak często, gdzie leżą kopie, ile wersji wstecz się przechowuje i jak często dostawca testuje odtworzenie. Testy opisaliśmy w artykule o testowaniu odtwarzania kopii.

Wpisz też parametry docelowe: ile danych firma może maksymalnie stracić i w jakim czasie system ma wrócić do pracy. Bez nich nie ocenisz, czy przyjęte rozwiązanie wystarcza.

6. Raportowanie

Poproś o regularny raport, najlepiej miesięczny: liczba zgłoszeń, dotrzymane i niedotrzymane czasy, stan kopii zapasowych, zainstalowane aktualizacje, rekomendacje. To Twoje narzędzie kontroli. Bez niego oceniasz dostawcę tylko po odczuciach pracowników.

7. Konsekwencje niedotrzymania SLA

Parametry bez konsekwencji pozostają deklaracją. Najczęściej stosuje się obniżkę abonamentu za miesiąc, w którym przekroczono czasy, i prawo do wypowiedzenia umowy przy powtarzających się naruszeniach. Wysokość obniżek to kwestia negocjacji. Mechanizm ma być prosty i liczony na podstawie danych z systemu zgłoszeń.

8. Dostępy, hasła i dokumentacja

Od tego punktu zależy, czy w ogóle będziesz mógł zmienić dostawcę. Zapisz w umowie, że:

• konta administracyjne, domeny i licencje są rejestrowane na firmę, nie na dostawcę,
• hasła administracyjne leżą w miejscu, do którego firma ma dostęp,
• dostawca prowadzi aktualną dokumentację infrastruktury i przekazuje ją na żądanie,
• po zakończeniu współpracy przekazuje wszystkie dostępy i usuwa swoje konta.

9. Bezpieczeństwo i dane osobowe

Dostawca IT ma dostęp do danych pracowników i klientów, dlatego potrzebna jest umowa powierzenia przetwarzania danych osobowych zgodna z RODO. Określ też, jak szybko dostawca informuje Cię o incydencie bezpieczeństwa. Od tego zależy, czy zdążysz z własnymi obowiązkami wobec organu nadzorczego. Przegląd tych obowiązków znajdziesz w tekście o RODO w dziale IT.

10. Okres wypowiedzenia i przekazanie obsługi

Zbyt długi okres wypowiedzenia uzależnia firmę od dostawcy, zbyt krótki utrudnia przekazanie obsługi. Dodaj zapis o obowiązku współpracy przy przejściu do nowego dostawcy: spotkanie przekazania, dokumentacja, przekazanie kont.

Piątkowa awaria serwera plików i dwa dopisane zdania

Weźmy biuro projektowe z umową, w której czas reakcji to „do 4 godzin w dni robocze”. W piątek po południu przestaje działać serwer plików. Dostawca odpowiada w terminie, ale do pracy siada dopiero w poniedziałek, bo umowa nie przewiduje obsługi poza godzinami pracy ani nie definiuje czasu obejścia. Zespół traci dzień nad projektem, którego termin oddania jest blisko.

Przy odnowieniu umowy wystarczą dwa dopiski: możliwość zgłoszenia awarii krytycznej telefonicznie także wieczorem, za dodatkową stawką, i obowiązek uruchomienia dostępu do plików z kopii w określonym czasie. Abonament rośnie nieznacznie, a ryzyko kolejnego straconego weekendu znika.

Przegląd umowy SLA raz w roku

Firma się zmienia. Przybywa pracowników, pojawiają się nowe systemy, część pracy przenosi się do chmury. Umowa sprzed kilku lat może nie obejmować połowy tego, z czego dziś korzystasz. Umów się z dostawcą na coroczny przegląd zakresu, priorytetów i parametrów na podstawie raportów z minionego okresu.

Przygotowujesz umowę albo chcesz zweryfikować obecną? Porozmawiajmy o obsłudze IT Twojej firmy i przejdźmy przez nią punkt po punkcie.

O co pytają firmy przed podpisaniem SLA

Czy mała firma potrzebuje formalnej umowy SLA?

Tak, choć może być krótka. Nawet jedna strona z priorytetami, czasami reakcji, zakresem i zasadami dostępu do haseł chroni przed nieporozumieniami lepiej niż ustne ustalenia.

Jakie czasy reakcji są rozsądne?

Zależą od tego, jak długo firma może pracować bez danego systemu. Zacznij od pytania, ile kosztuje Cię godzina przestoju ERP lub poczty, i dopiero do tego dobierz parametry. Krótsze czasy zwykle oznaczają wyższy abonament.

Co, jeśli dostawca nie prowadzi systemu zgłoszeń?

Wtedy trudno zmierzyć, czy SLA jest dotrzymywane. Wymagaj narzędzia, w którym każde zgłoszenie ma numer, datę przyjęcia, datę rozpoczęcia pracy i datę zamknięcia. Na tym opierają się raporty i ewentualne obniżki.