W większości polskich MŚP zarząd wie co do złotówki, ile firma zarabia i ile wydaje na marketing. Nie wie natomiast, czy IT działa dobrze, czy tylko udaje. Dopóki wszystko chodzi, nikt się nie pyta. Kiedy się posypie — pyta się od razu i głośno. Można inaczej.
Nie chodzi o budowanie „action packa dla CIO" z 40 wskaźnikami i pulpitem menedżerskim za 60 tysięcy. Chodzi o sześć liczb, które co miesiąc trafiają na jedną kartkę A4 (albo jeden slajd), pokazują trend za ostatnie 12 miesięcy i dają zarządowi jasny obraz: czy IT jest pod kontrolą, czy dryfuje. Bez tych liczb każda dyskusja o IT sprowadza się do „wydaje mi się, że…". Z nimi — do „w kwietniu skoczył czas rozwiązywania zgłoszeń, sprawdźmy, dlaczego".
Ten tekst jest o tym, które sześć liczb naprawdę warto mierzyć w 10–50-osobowej firmie i jak to zrobić bez etatu na analityka.
Dlaczego IT trzeba mierzyć jak każdy inny dział
Dział handlowy ma wskaźniki. Produkcja ma OEE. Księgowość ma terminowość zamknięcia miesiąca. IT w większości polskich MŚP nie ma nic — poza intuicją prezesa, że „ostatnio jakoś więcej się psuje". Efekt: decyzje o budżecie IT są podejmowane emocjonalnie (po awarii — hojnie, po kwartale ciszy — z zaciśniętymi zębami), a jakość pracy dostawcy zewnętrznego albo działu wewnętrznego mierzy się głosem najbardziej niecierpliwego pracownika.
Sześć metryk nie zastąpi rozmowy. Ale usuwa z tej rozmowy zgadywanki. Pojawia się nagle wspólny język — zarówno wewnątrz firmy, jak i z zewnętrznym dostawcą IT, który raz w miesiącu musi położyć na stole te same liczby, na które umówiliście się w umowie.
Reguła jest prosta: mierz to, co byś zauważył jako pierwsze, gdyby przestało działać. Reszta to statystyka dla statystyki.
Metryka 1 — Dostępność systemów krytycznych
Ile procent czasu w miesiącu działały systemy, bez których firma się zatrzymuje. Nie „wszystkie systemy" — tylko te trzy albo cztery, których brak boli natychmiast: ERP, poczta, plik serwer albo SharePoint, w niektórych firmach też sklep online.
Cel dla typowego MŚP: 99,5% miesięcznie dla systemów krytycznych, co oznacza maksymalnie ok. 3,5 godziny niedostępności miesięcznie. To realistyczny próg — pełne 99,99% (52 minuty rocznie) wymaga architektury, na którą 20-osobowa firma nie ma powodu wydawać pieniędzy.
Jak mierzyć: prosty monitoring HTTP/HTTPS + ping (Uptime Kuma, Zabbix, cronjob) sprawdzający kluczowe endpointy co minutę. Nie potrzeba komercyjnego rozwiązania. Raport miesięczny: procent dostępności + lista większych przestojów z jednozdaniową przyczyną.
Metryka 2 — Czas rozwiązania zgłoszenia
Średni czas od zgłoszenia do zamknięcia, w rozbiciu na priorytety. To najuczciwszy miernik jakości działu IT albo outsourcera — bardziej niż liczba zgłoszeń (której nie chcesz redukować, chcesz redukować powtarzalne).
Sensowne progi dla MŚP: krytyczny (system stoi) — do 2 godzin; wysoki (jedna osoba nie może pracować) — do 4 godzin; normalny — do 24 godzin roboczych. Nie kopiuj cudzych SLA, ustal własne w oparciu o to, co realnie boli. Sklep online, który stoi 6 godzin, kosztuje inaczej niż drukarka, która nie drukuje pół dnia.
Raport miesięczny: średni czas per priorytet + procent zgłoszeń w SLA. Dodaj też liczbę zgłoszeń otwartych na koniec miesiąca dłużej niż 5 dni — to jest miejsce, w którym gniją problemy „niby-mało-ważne", które za pół roku wybuchną.
Metryka 3 — Wynik testu odtworzenia backupu
To jest ta metryka, którą 80% firm ma za „załatwioną", bo „backupy się robią". Zapytanie „kiedy ostatnio odtworzyliście plik z backupu na czysto?" kończy się zazwyczaj ciszą.
Miernik prosty: raz w miesiącu wybieramy losowo jeden istotny zbiór (baza ERP, katalog księgowości, skrzynka wybranej osoby) i odtwarzamy go z backupu na środowisko testowe. Notujemy: czy się udało (tak/nie), ile czasu zajęło i czy dane są spójne. Raport miesięczny: wynik + RTO (realny czas odtworzenia) + data ostatniego udanego testu każdego z kluczowych zbiorów.
Ta jedna liczba raz na pół roku ratuje firmę. Backup, który nigdy nie był testowany, to nie backup — to nadzieja.
Metryka 4 — Rozkład kosztów IT
Zarząd nie potrzebuje przygotowywania budżetu IT co miesiąc. Potrzebuje wiedzieć, czy koszty utrzymania (licencje, chmura, wsparcie) rosną, spadają czy stoją. I gdzie idą pieniądze w rozbiciu na 4–5 kategorii, nie na 30 pozycji.
Sensowny podział na miesięczny raport:
- Licencje SaaS i chmura (Microsoft 365, Google, hosting, kopie zapasowe w chmurze)
- Wsparcie zewnętrzne (outsourcing IT, konkretne projekty)
- Sprzęt (nowe laptopy, monitory, wymiany)
- Bezpieczeństwo (antywirus, MFA, SIEM, ubezpieczenie cyber)
- Reszta (drukarki, telefonia, sieć)
Zestawienie miesiąc do miesiąca pokazuje trendy szybciej niż roczny audyt. Kiedy na kategorii SaaS pojawia się skok o 12% bez nowych osób w firmie, wiadomo, że coś się dokupiło po cichu — czas otworzyć rejestr subskrypcji.
Metryka 5 — Klikalność w symulacji phishingu
Bezpieczeństwo w MŚP jest zwykle mierzone przez „ile mamy licencji antywirusa". To bez sensu. Jedyna metryka bezpieczeństwa, która realnie coś mówi o odporności firmy, to reakcja pracowników na fałszywy mail.
Raz w miesiącu wysyłamy zespołowi symulowany phishing (fakturę, monit z banku, prośbę „prezesa" o przelew). Mierzymy trzy liczby: kto kliknął w link, kto wpisał dane, kto zgłosił mail jako podejrzany. Cel to spadek klikalności z typowych 20–25% na starcie do 3–5% po 6 miesiącach — i wzrost liczby zgłoszeń. Wzrost zgłoszeń jest ważniejszy niż spadek klików: pokazuje, że zespół zaczyna aktywnie wypatrywać.
Raport miesięczny: procent klikalności + procent zgłoszeń + jedno-linijkowa notatka, co było w symulacji.
Metryka 6 — Zgodność aktualizacji
Ile procent służbowych komputerów i serwerów ma zainstalowane wszystkie krytyczne aktualizacje z ostatnich 30 dni. To najlepszy pojedynczy wskaźnik higieny IT — więcej mówi o poziomie porządku niż długa lista pojedynczych narzędzi.
Cel: 95% urządzeń w ciągu 30 dni od publikacji krytycznej łatki. To akceptowalny próg — 100% jest nierealne (ktoś zawsze jest na urlopie z zablokowanym laptopem), ale 60% oznacza, że dyscypliny w firmie nie ma żadnej i pierwsze poważne CVE was rozłoży.
Jak mierzyć: Intune, WSUS, GPO, w mniejszych firmach zwykły skrypt PowerShell zbierający Get-HotFix z każdej maszyny w domenie. Nie potrzeba SIEM-a, potrzeba dyscypliny.
Przykład z życia
30-osobowy dystrybutor części technicznych z Śląska zaczął raportować te sześć metryk w styczniu — jedna kartka A4 na comiesięczne spotkanie zarządu. Po 6 miesiącach dwa odkrycia zwróciły cały koszt ćwiczenia z nawiązką.
Pierwsze: metryka „czas rozwiązania zgłoszenia" pokazała, że średni czas u ich outsourcera IT to 4,2 dnia roboczego dla zgłoszeń „normalnych", przy umownym SLA 24 godziny. Nikt tego wcześniej nie mierzył, wszyscy narzekali, ale bez liczb. Po pokazaniu wykresu na spotkaniu z dostawcą wynegocjowali obniżkę ryczałtu o 15% na trzy miesiące i konkretne zobowiązanie do 24-godzinnego SLA. Po kwartale realny czas spadł do 18 godzin.
Drugie odkrycie było jeszcze prostsze — i droższe. Rozkład kosztów IT wykazał, że kategoria „licencje SaaS" rośnie z miesiąca na miesiąc, mimo że w firmie nie przybywa ludzi. Przeglądowi konsoli administracyjnej Microsoft 365 zajął pół dnia i pokazał 12 aktywnych kont byłych pracowników (od 3 miesięcy do 2 lat po odejściu), a do tego duplikaty licencji, których nikt nie wyłączył po migracji z planu Business Standard na Business Premium. Wyłączenie wszystkiego dało oszczędność ok. 21 000 zł rocznie. Bez metryki nikt by tego nie dostrzegł — koszty pojawiały się jako „normalna comiesięczna faktura od Microsoftu".
Dwie liczby, jeden raport, jeden wieczór analizy. To jest efekt, o który chodzi.
Od czego zacząć
Nie trzeba budować systemu. Trzeba w pierwszym miesiącu zebrać te sześć liczb ręcznie i zacząć je pokazywać. Kolejność:
- Zapisz cele. Ustal z zarządem, jakie liczby są „w porządku", a jakie są „czerwoną lampką". Bez tego wykres to tylko wykres — nie decyzja.
- Zdobądź dane, których nie masz. Prawdopodobnie brakuje ci monitoringu dostępności (godzina roboty), regularnego testu odtworzenia backupu (jeden dzień), symulacji phishingu (Microsoft Attack Simulator w M365 Business Premium jest za darmo, alternatywy zewnętrzne od 30 zł/os./mc).
- Zrób pierwszy raport na kartce. Excel, PowerPoint, Notatnik — obojętne. Jedna strona, sześć liczb, trend za 3 ostatnie miesiące (albo „start" jeśli to pierwszy).
- Wnieś go na jedno spotkanie zarządu. Nie proś o „stały punkt w agendzie" — po prostu przynieś i pokaż. Jeśli to ma sens, zostanie na stałe. Jeśli nikt się nie zainteresuje, sprawdź, czy mierzysz właściwe rzeczy.
- Po trzech miesiącach usuń metrykę, która nikogo nie interesuje, i dodaj tę, o którą ktoś zapytał. Nie trzymaj się listy z uporem. Sześć to pułap ilości, jaką zarząd ogarnie w minutę — nie granica.
Jeżeli nie masz w firmie kogoś, kto zbierze pierwsze dane i ułoży raport w pół dnia, my to robimy dla klientów w formacie „warsztat + jednorazowy set-up + szablon". Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
IT, którego się nie mierzy, jest zarządzane emocjami — po awarii hojnie, po ciszy z zaciśniętymi zębami. Sześć liczb miesięcznie wystarczy, żeby to zmienić.