Gestione dei fornitori IT: servizi, scadenze e responsabilità

Un’applicazione può dipendere contemporaneamente da un fornitore di connettività, una piattaforma cloud, uno sviluppatore e un team interno. Durante un’interruzione, ciascuno vede soltanto la propria parte. Senza un responsabile comune, il problema passa da un team di assistenza all’altro e l’azienda non sa chi debba compiere il passo successivo. La gestione dei fornitori IT collega servizi, contratti, contatti e azioni prima che si verifichi un problema.

Il risultato pratico è un registro fornitori, un calendario delle decisioni contrattuali e un processo per la collaborazione durante i periodi di inattività. Questo articolo riguarda i fornitori tecnici esistenti per la connettività, il cloud, le applicazioni, l’hardware e il supporto. La selezione di nuovi prodotti e l’acquisto richiedono un processo separato. La gestione quotidiana inizia con la conoscenza del servizio che l’azienda riceve e di chi ne è responsabile. Utilizzate le tabelle sottostanti come modelli e adattatele ai vostri contratti e servizi.

Creare un registro dei fornitori e dei servizi collegati

Confrontate contratti, fatture, abbonamenti, registri di supporto e informazioni da parte dei proprietari delle applicazioni. Cercate oltre le aziende pagate dal reparto IT. Un dipartimento potrebbe acquistare un servizio il cui accesso dipende da un account aziendale condiviso. Identificate i fornitori diretti e le dipendenze significative che ne derivano, in particolare per quanto riguarda la disponibilità, i dati o il trasferimento del controllo. Per un abbonamento sconosciuto, effettuate un controllo di proprietà prima di decidere se rinnovarlo o disattivarlo.

Assegnate a ciascun fornitore un ID e collegatelo ai servizi e alle risorse. Un singolo fornitore può avere diversi contratti con diversi contatti e date. Conservate i termini del rapporto e i dettagli di gestione del servizio nel registro dei fornitori. I numeri di serie dei dispositivi, le liste complete del software e la scoperta dell’hardware devono essere conservati nel registro delle risorse. ID e riferimenti collegati ai record pertinenti sono sufficienti in questo caso.

Conservare il registro e i contratti con permessi gestiti, la cronologia delle versioni e i backup. I proprietari hanno bisogno di informazioni aggiornate, ma i dettagli di accesso e sicurezza non dovrebbero essere disponibili a tutti. Una tabella condivisa con un proprietario assegnato può essere sufficiente per un piccolo team. Un sistema dedicato aiuta quando date, versioni di documenti e attività vengono perse. L’acquisto di una piattaforma da solo non stabilisce un processo di gestione.

Distinguere le decisioni dal coordinamento tecnico

Il proprietario del servizio conferma la necessità, il budget e il risultato accettabile. Il coordinatore tecnico raccoglie le informazioni, gestisce il caso e monitora le dipendenze. L’approvvigionamento o un partecipante assegnato gestisce le azioni contrattuali all’interno delle proprie competenze. Ogni compito richiede un proprietario responsabile, con i partecipanti e gli approvatori elencati separatamente. Assegnare un sostituto per i servizi importanti e confermare che i contatti funzionino senza l’account personale di un singolo dipendente. Il passaggio del controllo quando un esperto interno lascia richiede una revisione separata dell’accesso e della documentazione.

Trasformare il contratto in istruzioni operative: cosa copre il supporto, come aprire un caso, gli orari di servizio e come viene determinata l’urgenza. Distinguere l’accettazione, l’inizio della risposta, il ripristino del servizio e la risoluzione finale del problema. Questi sono eventi diversi. Prendere in considerazione i valori e le esclusioni dell’accordo firmato, e concordare le aspettative interne separatamente. Non promettere a un dipartimento un tempo di ripristino che il fornitore non ha accettato.

Verificare che l’accesso del fornitore corrisponda ai compiti attuali. Includere account di servizio, connessioni remote, ruoli nel cloud e i dati detenuti dal fornitore. Gli accordi di sicurezza e di notifica in caso di incidenti devono avere contatti e procedure chiare. Una relazione consolidata, un marchio familiare o un piccolo valore contrattuale non sostituiscono la verifica.

Scegliere il livello di revisione in base all’accesso ai dati e all’impatto di un’interruzione. Per un servizio critico, richiedere prove di protezione, ripristino e limitazioni significative. Confrontare le affermazioni del fornitore con documenti e risultati di test pertinenti a quel servizio. Un certificato o un rapporto che copre qualcos’altro non conferma lo stato del proprio servizio. I test attivi di un sistema di terzi richiedono un’autorizzazione e condizioni concordate separate.

Valutare i risultati del servizio, non solo l’esistenza di un contratto

Definire un periodo di revisione in base all’importanza del servizio e ai termini contrattuali. Prima della riunione, raccogliere casi, la durata effettiva delle interruzioni, le cause ricorrenti, le modifiche completate, le fatture e il feedback degli utenti. Separare i ritardi del fornitore dai tempi di attesa interni per l’approvazione o l’accesso. Confrontare i periodi utilizzando le stesse definizioni di metriche, ore di servizio e esclusioni.

• L’azienda riceve il servizio concordato e ne ha ancora bisogno nello stesso modo?
• Quali casi ricorrono, quali termini concordati sono stati violati e quali prove confermano la causa?
• Esistono abbonamenti inutili o funzioni sovrapposte? Una connessione di backup potrebbe essere intenzionale, quindi il solo confronto dei nomi non dimostra uno spreco.
• L’accesso ai dati, la posizione del servizio, le dipendenze critiche o la capacità del fornitore di supportare il servizio sono cambiati?
• Quali azioni devono intraprendere ciascuna parte, chi ne è responsabile e quando sarà verificato il risultato?

Per una dipendenza critica, testare un metodo alternativo di lavoro e la capacità di transizione. Diversi fornitori non garantiscono l’indipendenza. Potrebbero condividere una connessione, un data center o un componente. Valutare gli eventi esterni e la condizione del fornitore in relazione al servizio. Non trasformare ogni discussione ordinaria in un audit finanziario o legale completo. Delegare un rischio significativo al responsabile del processo per una decisione separata.

Basare il calendario sulle condizioni contrattuali

Pianificare al contrario dalla data di scadenza, piuttosto che fare affidamento esclusivamente sulla data di scadenza. Prevedere l’approvazione interna, l’approvvigionamento, la migrazione dei dati e il test della sostituzione. Impostare i tempi di promemoria in base al contratto specifico e al tempo di preparazione necessario. Se la condizione di rinnovo non è ancora nota, assegnare a qualcuno il compito di chiarirla. Non inserire una data presunta.

Assegnare un coordinatore ai problemi che coinvolgono più fornitori

Se un’applicazione non è disponibile, è necessario prima registrare l’impatto, l’ora di inizio, le operazioni interessate e i fatti verificati. Nominare un coordinatore per l’intero caso. Ogni team di supporto mantiene le proprie responsabilità, ma il registro condiviso deve indicare i numeri di caso, i responsabili, il prossimo passo e l’ora della prossima aggiornamento. Se si riscontrano segni di un incidente di sicurezza, seguire il processo concordato per la risposta e la conservazione delle prove.

Segnalare il problema con una richiesta specifica: quale contraddizione deve essere risolta, quale informazione manca e chi deve rispondere. Organizzare una discussione congiunta, se necessario, per evitare la diffusione di diverse versioni del problema. Non ampliare l’accesso o le regole di sicurezza semplicemente perché il supporto chiede di “aprire tutto”. Un cambiamento deve avere uno scopo, l’approvazione, i test e un metodo di ripristino.

Chiudere il problema complessivo dopo aver confermato l’operazione aziendale necessaria, piuttosto che semplicemente dopo che un fornitore ha chiuso un caso. Registrare la causa, le azioni completate, le limitazioni rimanenti e il responsabile della prevenzione della ricomparsa. Se la causa rimane sconosciuta, conservarla come domanda aperta con un’azione assegnata. Non utilizzare spiegazioni inventate.

Preparare il cambio di fornitore prima della fine del servizio

Verificare i diritti dell’azienda di gestire i propri account, domini, numeri, dati e documentazione in base ai contratti. Definire il processo di trasferimento e un periodo di sovrapposizione sicuro. Ottenere le esportazioni, le impostazioni e le informazioni di dipendenza necessarie, quindi verificare la leggibilità dei dati e il funzionamento del nuovo servizio. Un singolo file di esportazione non conferma che il processo possa continuare.

Dopo aver verificato la transizione, rimuovere i ruoli e le connessioni inutili appartenenti al fornitore precedente. Sostituire le credenziali condivise se il fornitore le conosceva, e verificare che ciò non abbia compromesso le integrazioni necessarie. Chiarire la conservazione o l’eliminazione dei dati in base al contratto e ai requisiti applicabili, e ottenere le conferme specifiche. Verificare separatamente che il pagamento si interrompa e che non si verifichino rinnovi inattesi. Chiudere la registrazione con una cronologia delle decisioni, piuttosto che eliminarla senza lasciare traccia.

È possibile iniziare con un servizio critico. Completare la sua registrazione, verificare i contatti di supporto e la data contrattuale, assegnare un responsabile e rivedere un recente interruzione. Quindi applicare lo stesso processo ad altri servizi dipendenti. Il registro, il calendario e il log dei casi aiutano solo quando vengono aggiornati dopo veri cambiamenti.

Se un problema tecnico blocca la comunicazione tra diversi team di supporto, discutere la coordinazione con i responsabili IT nella pagina Relazioni con i fornitori IT. Preparare lo scopo contrattuale, i numeri dei casi e i fatti già verificati.

Fonti

• NIST sui requisiti e le responsabilità della catena di approvvigionamento