Otwarcie drugiego oddziału w MŚP wygląda zawsze tak samo: najpierw przez pół roku jest cicho, a potem nagle „za trzy tygodnie wchodzimy". Umowa najmu podpisana, ludzie zatrudnieni, meble zamówione. A IT? „Jakoś tam poprowadzimy od centrali, nie?" Nie.
W centrali wszystko działa, bo narastało latami — kabel, serwer w pokoju obok, drukarka którą „wszyscy wiedzą jak podpiąć", konta które „ktoś zakłada jak trzeba". W nowym oddziale nie ma nic z tej infrastruktury pod ręką i nikt tam nie zna „swojego Marka". Jeśli zepniesz oddział tak, jak zepsułeś centralę przez 10 lat, w drugim roku będziesz miał dwa chaosy zamiast jednego.
Ten artykuł jest listą rzeczy, które warto zdecydować i zrobić w konkretnej kolejności — zanim pierwszy klient zapyta „a czemu to nie działa".
Decyzja 0 — satelita czy osobny byt
To jedyna decyzja, która musi zapaść przed wszystkim innym. Oddział może być satelitą centrali (wszystko trzyma centrala, oddział tylko się loguje) albo osobnym bytem (lokalny serwer, lokalny magazyn danych, lokalna księgowość). Obie opcje działają. Trzecia — pół na pół — nie działa nigdy.
Dla MŚP satelita jest prawie zawsze tańsza i zdrowsza. Jeden ERP, jedna baza klientów, jedna księgowość. Oddział ma stacje robocze, pracownicy logują się do systemów przez internet, dane fizycznie żyją w centrali albo w chmurze. Osobny byt ma sens tylko wtedy, gdy oddział ma zupełnie inny profil działalności, inną spółkę w KRS albo mocno autonomiczne kierownictwo. Jeśli robicie to samo, co w centrali, tylko w innym mieście — satelita.
Ta decyzja determinuje wszystko dalej: typ łącza, politykę kopii zapasowych, listę licencji, model dostępu zdalnego. Jeśli jej nie podejmiesz świadomie, podejmie się sama — i prawie na pewno źle.
Łącze i sieć — zacznij od tego
Łącze w nowym oddziale to nie jest „ten tani plan, który Orange daje do firmy". To jest kabel, od którego zależy, czy 10 ludzi w ogóle będzie mogło pracować. Dwie rzeczy mają znaczenie.
- Dwóch dostawców, nie jeden. Minimum: światłowód od operatora A i LTE/5G od operatora B jako awaryjne. Router musi umieć przełączać się sam, bez interwencji IT. Pojedyncze łącze w oddziale, do którego nie ma dojazdu, to kwestia kiedy, a nie czy, firma stanie na kilka godzin.
- Statyczny IP albo VPN typu site-to-site. Jeśli oddział ma wejść do ERP w centrali, bezpiecznie — nie przez „wystawmy ERP do internetu z hasłem admin". Site-to-site VPN między routerem oddziału a routerem centrali/chmury załatwia sprawę raz, dla całego oddziału.
Wi-Fi na biurze i magazynie to osobna rozmowa — oddzielny SSID dla gości, pracowników i urządzeń magazynowych (kolektory, drukarki etykiet), WPA3 wszędzie, access pointy dobrane do metrażu, nie „jedna fritzbox na 400 m²". Wi-Fi, które pada co godzinę, to najszybsza droga do tego, żeby zespół zaczął łączyć się telefonem przez hotspot i omijać wszystkie wasze polityki.
Konta, dostępy, SSO
Największa pułapka: zakładać konta „na szybko", tak jak w centrali. „Jacek przyjdzie w poniedziałek, Zosia zrobi mu konto". Zosia pamięta o siedmiu systemach, zapomina o trzech, Jacek przez pierwszy miesiąc prosi kolegów o hasła, które „są wspólne".
Jeśli wychodzicie z 10 osób i otwieracie drugi oddział, to ostatni moment, żeby założyć konta tak, jak powinniście byli robić od początku:
- Jedno katalogowe konto na pracownika (Microsoft 365 / Google Workspace / lokalne AD) i SSO do wszystkich pozostałych systemów, które je obsługują. Jedna rzecz do założenia, jedna do zablokowania przy odejściu.
- Konta imienne, nie „recepcja1", „magazynier2". Audyt tego nie wybaczy, a wy po roku i tak nie będziecie wiedzieli, kto co zrobił.
- MFA włączony od pierwszego dnia. Nie „na razie, bo ludzie się przyzwyczają" — potem już nikt tego nie włączy.
- Lista systemów z ról (handlowiec, magazyn, księgowość, kierownik) ustalona raz. Nowa osoba dostaje rolę, nie 20 pojedynczych pozwoleń.
U jednego z naszych klientów — 28-osobowej hurtowni materiałów budowlanych, która otwierała drugi oddział 180 km od centrali — podeszliśmy do tego właśnie tak. Wszystkie konta w jednej tenancji Microsoft 365, SSO do ERP (Comarch Optima), WMS i CRM, role zdefiniowane dla 6 typów stanowisk. Onboarding nowego handlowca w oddziale: 25 minut od maila HR do pierwszego loginu — zamiast 2 dni, w ciągu których nowy pracownik „oglądał magazyn", bo nie miał dostępu do niczego innego.
Sprzęt, drukarki, kolektory — zestaw startowy
Nie kupuj „co było w promocji". Zrób zestaw startowy oddziału i trzymaj się go, nawet jeśli handlowiec z Warszawy mówi, że „ten jego laptop jest super". Trzy powody: części zamienne, obraz systemu, serwis.
Minimum, które się sprawdza w MŚP:
- Laptopy z jednego modelu, z firmowego obrazu systemu (standaryzacja opisana w osobnym wpisie), BitLocker włączony automatycznie, Intune/MDM w roli nadzorcy.
- Drukarka sieciowa zarządzana centralnie, nie „pięć różnych drukarek po biurkach". Jedna duża, dwie średnie w magazynie, koniec.
- Kolektory danych i drukarki etykiet z tej samej rodziny co w centrali — inaczej dostaniecie dwie konfiguracje do pilnowania i dwa magazyny części.
- UPS pod routerem i głównym switch'em. Oddział bez prądu to zamknięcie oddziału; 15 minut bufora wystarczy, żeby grzecznie zapisać pracę i zadzwonić.
Zestaw spisany, kupiony w jednej transzy, zafakturowany jako „starter oddziału" — nie 40 pozycji, których nikt nie policzy po roku.
Backup, bezpieczeństwo, monitoring
Nowy oddział jest słabym ogniwem przez pierwsze pół roku z jednego powodu: nikt tam jeszcze nie wie, jak sprawy wyglądają. Pracownicy nie znają polityk, kierownik oddziału nie zna waszego IT, lokalni handlowcy łatwo łykną phishing, bo „to pewnie nowa procedura z centrali".
Trzy rzeczy od pierwszego dnia:
- Kopie zapasowe idą do centrali/chmury, nie zostają w oddziale. Jeśli oddział ma lokalny serwer albo NAS, kopia leci do chmury dziennie i do centrali tygodniowo. Backup trzymany tylko w tym samym pomieszczeniu co dane oryginalne to nie backup — to złudzenie.
- Endpoint protection na każdym sprzęcie, zarządzany centralnie. Nie „zainstalujemy wam darmowego antywirusa". Jedno rozwiązanie EDR z konsolą, do której zagląda ta sama osoba, która zagląda w centrali.
- Monitoring łącza i urządzeń. Prosty system, który dzwoni, kiedy router oddziału zniknie. Oddziały 100+ km od centrali umieją padać na pół dnia zanim ktoś zauważy, bo „pewnie klient nie dzwonił".
Dorzućcie krótkie szkolenie z phishingu dla nowego zespołu w pierwszym tygodniu (patrz szkolenia cyberbezpieczeństwa dla MŚP). Bez tego pierwsza faktura „od centrali", która trafi do oddziału z numerem konta oszusta, zostanie zapłacona.
RACI dla IT — kto za co odpowiada
Ostatnia rzecz, o której wszyscy zapominają: nowy oddział ma kierownika i ten kierownik „chciałby pomagać" w IT. Przez pierwsze trzy miesiące pomaga, bo musi. Po trzech miesiącach albo wprowadzicie granicę, albo oddział ma własnego, cichego administratora, który chowa hasła w notesie.
Spiszcie na jednej stronie, kto decyduje w sprawie: zakupu nowego laptopa, nadania dostępu do systemu, dołączenia nowego dostawcy IT, awarii krytycznej po godzinach. Niech kierownik oddziału wie, co może sam, a co musi zgłosić. Niech wasz dostawca IT (albo własny informatyk) wie, że jest jedna osoba kontaktowa w oddziale, nie siedem.
To nie jest korporacyjna biurokracja. To jest trzy komórki w tabelce, które chronią was przed sytuacją, w której trzy osoby jednocześnie zamawiają trzy różne drukarki, bo „centrala się nie odzywała".
Od czego konkretnie zacząć
Jeśli otwarcie masz za 6–10 tygodni, kolejność jest taka: najpierw decyzja satelita-vs-osobny-byt (dzień rozmowy), potem łącze (zamów dziś, operator potrafi dowozić dwa miesiące), potem konta i obraz systemu (tydzień), potem sprzęt (dwa tygodnie na dowóz), potem drobiazgi w ostatnim tygodniu. Backup i monitoring włączone, zanim pierwszy pracownik oddziału zaloguje się do czegokolwiek.
Jeśli zbliża się data i wiesz, że nie zdążysz tego sam poukładać — pół godziny rozmowy z kimś, kto takie oddziały stawiał już kilkanaście razy, oszczędza zwykle dwa tygodnie błądzenia po omacku.
Oddział nie upadnie, bo IT jest słabe. Upadnie, bo IT jest „jakieś" — a tego nikt już potem nie naprawi.
Porozmawiajmy o IT dla Twojego oddziału →