Większość MŚP, z którymi rozmawiamy, nie umie odpowiedzieć na cztery proste pytania: ile masz w firmie laptopów, ile masz aktywnych kont w Microsoft 365, ile płacisz miesięcznie za SaaS-y i gdzie stoi ten serwer, który „chyba coś robi". Nie dlatego, że są niechlujne. Dlatego, że firma rośnie szybciej niż jakikolwiek zeszyt.
Inwentaryzacja IT brzmi jak nudna, biurokratyczna robota dla wielkich korporacji. W rzeczywistości jest to jedna z najbardziej zwrotnych inwestycji 2–3 dni pracy, jakie znamy w MŚP. Pokazuje, ile pieniędzy ucieka w licencjach, których nikt nie używa. Wyciąga z szafy laptopy, na których są dane klientów. Mówi, ile naprawdę kosztuje Cię „IT", zanim ktoś przyjdzie z ofertą „optymalizacji".
I co najważniejsze — bez inwentaryzacji nie da się sensownie zabezpieczyć firmy. Nie zabezpieczysz tego, o czym nie wiesz, że istnieje.
Co tak naprawdę jest „majątkiem IT"
W typowej 30-osobowej firmie pod hasłem „IT" kryje się znacznie więcej niż laptopy i drukarki. Sensowna inwentaryzacja obejmuje pięć warstw:
- Sprzęt fizyczny — laptopy, stacjonarki, monitory, telefony służbowe, drukarki, skanery kodów, terminale magazynowe, routery, switche, access pointy, serwery w serwerowni i ten jeden NAS pod biurkiem.
- Oprogramowanie zainstalowane — system operacyjny i jego licencja, pakiet biurowy, ERP (Comarch Optima, Subiekt, enova365, Microsoft Dynamics AX), antywirus, narzędzia branżowe, klient VPN, narzędzia projektowe (AutoCAD, Adobe), SQL Server i jego CAL-e.
- Konta w chmurze i SaaS — Microsoft 365 lub Google Workspace (z liczbą licencji per plan), CRM, narzędzia marketingowe, Slack, Notion, Canva, ChatGPT Team, Asana, Trello, panele kurierów, marketplace'y. Każda subskrypcja per-user mnoży się przez liczbę użytkowników.
- Domeny, certyfikaty, DNS — kto jest właścicielem domeny
.pl, na jakim koncie jest opłacana, kiedy wygasa certyfikat SSL, gdzie hostowana jest strona, na jakim koncie hostingowym, w jakim panelu. - Dostępy do systemów zewnętrznych — bank, KSeF, ZUS, urząd skarbowy, panele dostawców, B2B u producentów, konta integracyjne (klucze API do hurtowni).
To nie jest „audyt bezpieczeństwa". To „spis z natury IT". Bez tego spisu każdy kolejny krok — od cyberbezpieczeństwa po wycenę odsprzedaży firmy — opiera się na zgadywaniu.
Przykład z życia: 35-osobowa firma transportowa
U jednego z naszych klientów — 35-osobowej firmy transportowo-spedycyjnej (28 kierowców, 7 osób w biurze) — zrobiliśmy pełną inwentaryzację IT w ramach przygotowania do segmentacji sieci i wymiany ERP. Pierwsza rozmowa: „panie, my mamy w sumie z 10 komputerów, niewiele tego, niech pan przyjdzie z gotową ofertą". Po dwóch dniach inwentaryzacji liczby wyglądały tak:
- Microsoft 365 Business Standard — opłacanych 22 licencji (60 zł/mies. każda). Aktywnie używanych: 9. Pozostałe 13 — konta byłych pracowników z ostatnich 3 lat, których nikt nie wyłączył (forwardingi pozostały, ale to inny artykuł). Strata: ~9 360 zł rocznie.
- Subiekt GT + 2 stanowiska opłacane w abonamencie, choć od 1,5 roku firma używa tylko Comarch Optima. Stary Subiekt stał na komputerze biura jako „awaryjny" — nikt z niego nie korzystał. Strata: ~1 800 zł rocznie.
- SQL Server Standard zainstalowany na lokalnym serwerze, na którym chodziła autorska aplikacja do rozliczeń kierowców, zastąpiona moduł TMS w Optimie. Aplikacja nie była wywoływana od 11 miesięcy, ale licencja konsumowała koszty. Strata: ~3 200 zł rocznie.
- 6 prywatnych subskrypcji rozliczanych przez pracowników (Canva Pro, ChatGPT Plus, Notion, dwa kalendarze planistyczne, narzędzie do faktur dla jednego z handlowców), zwracane z faktur prywatnych co miesiąc. ~4 200 zł rocznie, plus dane firmowe na prywatnych kontach.
- Serwerownia — 4 serwery w racku. Po inspekcji okazało się, że jeden jest wyłączony od 8 miesięcy (nikt nie pamiętał), drugi działa wyłącznie po to, żeby raz dziennie wysyłać raport na adres byłego prezesa.
- 4 laptopy w szafie kierownika biura — bez BitLockera, jeden zaszyfrowany słabym hasłem, na dwóch znaleziono lokalne kopie bazy klientów (eksport z Optimy z 2024 r.). Gdyby któryś trafił w niewłaściwe ręce — incydent RODO.
- 23 monitory na ostatniej inwentaryzacji księgowej, 18 stanowisk w biurze. Pięciu sztuk nikt nie potrafił zlokalizować.
Sumarycznie pierwszy rok po wdrożeniu rejestru IT dał firmie ~18 600 zł oszczędności w samych opłatach (wyłączone licencje, zamknięte konta, zredukowany abonament SQL po likwidacji starej aplikacji) i jedno poważne ryzyko RODO usunięte zanim wybuchło. Dwa dni pracy.
To nie jest wyjątek. Typowo widzimy w 20–50-osobowej firmie 10–20% nadmiarowych licencji i co najmniej jedno „zapomniane" urządzenie z danymi.
Co najczęściej odkrywa pierwsza inwentaryzacja
Po kilkudziesięciu inwentaryzacjach widzimy te same wzorce:
- Licencje M365 / Google Workspace pracowników, którzy odeszli — najczęściej 5–15% stanu, czyli kilkaset–kilka tysięcy złotych rocznie marnowane.
- Niewykorzystywane abonamenty — stary CRM, którego „wszyscy mieli się oduczyć", narzędzie marketingowe sprzed ostatniej zmiany agencji, panel dostawcy, który nie jest już dostawcą.
- SaaS-y na prywatnych kartach pracowników — pracownik kupuje, firma zwraca, dane firmowe lądują na koncie zarejestrowanym na prywatny e-mail. Nikt nie wie, jakie dane tam są.
- Sprzęt poza biurem — laptopy u zdalnych pracowników, telefony służbowe na zwolnieniach lekarskich, terminale magazynowe „pożyczone" do innego oddziału.
- „Serwery duchy" — fizyczne lub wirtualne maszyny, których funkcji nikt już nie pamięta, ale wszyscy boją się je wyłączyć.
- Brak właściciela domeny — domena firmy zarejestrowana na prywatne konto byłego informatyka albo szwagra prezesa, który prowadził firmę 8 lat temu. Faktury chodzą na e-mail, którego nikt nie sprawdza.
- Wygasające certyfikaty SSL — bez właściciela, więc o wygaśnięciu firma dowiaduje się od klienta („panie, wasza strona pisze, że jest niebezpieczna").
Każdy z tych punktów jest indywidualnie banalny. W sumie tworzą krajobraz, w którym nie da się policzyć, ile naprawdę kosztuje IT, ani gdzie tak naprawdę leżą Twoje dane.
Jak zrobić to bez systemu IAM za 200 000 zł
W MŚP nie potrzeba kosztownego oprogramowania klasy ITAM/CMDB. Wystarczy dwa dni, jeden arkusz i dyscyplina. Oto wersja, którą wdrażamy u klientów:
- Zacznij od księgowości. Wyciągnij z fakturami z ostatnich 12 miesięcy wszystko, na czym jest słowo „IT", „licencja", „abonament", „SaaS", „hosting", „domena", „chmura". To 70% Twojego rejestru — bez wstawania od biurka.
- Zaloguj się do panelu M365 / Google Workspace i wypisz wszystkie aktywne konta z planem. Porównaj z listą obecnych pracowników. Konta, których nie ma w HR — do wyjaśnienia.
- Zrób fizyczny obchód. Spis laptopów, monitorów, drukarek, telefonów — z numerami seryjnymi. Sprawdź szafy, magazyn, samochody służbowe.
- Porozmawiaj z każdym kierownikiem działu indywidualnie — 15 minut. „Z jakich narzędzi korzysta Twój zespół, których IT pewnie nie zna?". To wyciąga 80% shadow IT.
- Zapisz wszystko w jednym arkuszu z kolumnami: nazwa, typ (sprzęt/oprogramowanie/SaaS), właściciel po stronie firmy, koszt miesięczny, data odnowienia, kto z pracowników używa, gdzie są dane.
- Zaznacz „do likwidacji" wszystko, czego nikt nie używa lub czego właściciela nie ma. Skonsultuj z prezesem i zacznij wyłączać.
Pierwsza pełna inwentaryzacja: 2–3 dni. Aktualizacje: 30 minut miesięcznie, kwartalny przegląd.
Jak utrzymać aktualność
Inwentaryzacja, której nie aktualizujesz, jest gorsza niż jej brak — daje fałszywe poczucie kontroli. Trzy proste reguły, które działają w MŚP:
- Każda nowa licencja, urządzenie, SaaS musi przejść przez jedną osobę (kierownik biura, IT, sam prezes). Zakup poza tym kanałem nie jest zwracany z faktur. Twardo, ale to jedyne, co działa.
- Każdy nowy SaaS rejestrowany jest na adres
it@firma.pl, nie na adres pracownika. Pracownik dostaje dostęp jako użytkownik, ale właścicielem konta jest firma. Kiedy odchodzi — konto zostaje. - Kwartalny przegląd 15-minutowy. Jedno spotkanie, jeden arkusz, „co się zmieniło?". Bez tego rejestr za pół roku jest fikcją.
Od czego zacząć w tym tygodniu
Jeśli nigdy nie robiłeś inwentaryzacji IT, zacznij od trzech kroków, które zajmą Ci łącznie 2 godziny:
- Wejdź do panelu Microsoft 365 / Google Workspace i wypisz aktywne konta. Porównaj z listą obecnych pracowników z kadry. Każde konto bez właściciela — wyłącz dziś.
- Przejrzyj ostatnie 12 wyciągów bankowych pod kątem subskrypcji IT/SaaS. Każda pozycja, której nikt w firmie nie potrafi przypisać do procesu — kandydat do wypowiedzenia.
- Sprawdź, na czyje konto zarejestrowana jest Twoja domena firmowa i kiedy wygasa certyfikat SSL. Jeśli nie wiesz — to jest punkt zerowy.
Te trzy kroki nie rozwiązują problemu, ale pokazują skalę. W większości MŚP wynik tych dwóch godzin sam się opłaca pierwszą wyłączoną licencją.
Jeśli chcesz uporządkować IT w swojej firmie zanim zacznie kosztować Cię realnie (albo zanim wybuchnie incydent na sprzęcie, o którym nikt nie pamiętał) — w SilverData robimy to z MŚP regularnie. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Nie zabezpieczysz, nie zoptymalizujesz i nie sprzedasz firmy, której IT nie potrafisz spisać na jednej kartce.