W większości polskich MŚP jest dziś więcej narzędzi IT, niż wie o tym właściciel. Niektóre są opłacane z karty firmowej, część z prywatnych kont, część stoi na darmowych planach pełnych firmowych dokumentów. To zjawisko ma swoją nazwę — shadow IT — i nie znika samo.
Większość artykułów o shadow IT pisze się tak, jakby to był wymysł korporacji z 5 000 etatów. W praktyce w firmie 25-osobowej problem jest często większy, bo nikt nie pilnuje. Pracownik handlowy zakłada „dla siebie" Trello, dział marketingu „na chwilę" Canvę Pro, księgowa wrzuca pliki na prywatny Dropbox, „bo szybciej". Po roku w firmie krąży dwanaście narzędzi, w dziewięciu są dane klientów, a żadne nie ma zarządzanego dostępu.
To nie jest historia o tym, że pracownicy są źli. To historia o tym, że IT firmowe nie nadążyło — i ludzie zrobili sobie obejście, żeby w ogóle dało się pracować.
Czym naprawdę jest shadow IT
Shadow IT to każde narzędzie informatyczne używane w firmie poza wiedzą i zgodą działu IT (albo osoby, która tę funkcję pełni). To nie tylko płatne SaaS-y. To również:
- prywatne konta Gmail używane do służbowej korespondencji,
- darmowe plany Trello, Notiona, Slacka z firmowymi danymi,
- pliki firmowe na prywatnych OneDrive'ach i Google Drive'ach,
- skrypty i makra w Excelu, które „ratują" jeden proces, ale tylko Pan Janek wie, jak działają,
- nieautoryzowane wtyczki do przeglądarki, które „skanują" maile albo PDF-y.
Nie chodzi o to, że to wszystko jest złe samo z siebie. Chodzi o to, że firma nie wie, że to istnieje — więc nie umie tego ani zabezpieczyć, ani po kimś odebrać, ani policzyć, ile naprawdę kosztuje.
Dlaczego ludzie tak robią
Shadow IT prawie nigdy nie powstaje ze złej woli. Powstaje z trzech bardzo zrozumiałych powodów:
- Oficjalne narzędzie nie działa albo działa źle. Firmowy SharePoint jest tak wolny, że załadowanie pliku trwa dwie minuty. Więc handlowiec wrzuca cennik na prywatnego Dropboxa „na szybko".
- Oficjalnego narzędzia nie ma w ogóle. Marketing potrzebuje czegoś do projektowania ulotek. Nikt mu nic nie kupił. Bierze darmową Canvę i działa.
- Załatwienie czegoś przez IT trwa za długo. Trzeba w piątek wysłać prezentację, a zgłoszenie do informatyka rozejdzie się w środę. Pracownik bierze WeTransfer albo prywatnego maila — i temat zamknięty.
Jeśli w Twojej firmie kwitnie shadow IT, to nie jest problem dyscypliny. To sygnał, że oficjalne narzędzia albo procesy nie domykają tego, co ludzie naprawdę muszą robić.
Trzy ukryte koszty
Shadow IT nie jest darmowe, nawet jeśli każde z tych kont wygląda na drobiazg.
1. Bezpieczeństwo. Były pracownik odchodzi z firmy. Dział IT zamyka mu maila, VPN i konto w ERP. Ale nikt nie wie, że ten pracownik miał dostęp do firmowego Dropboxa założonego pod swój prywatny adres — bo Dropbox nie był na liście. Pół roku później cennik konkurencji „dziwnie" przypomina nasz. Drugi scenariusz: prywatne Trello, na którym widnieją dane klientów i zamówienia, zostaje wystawione publicznie przez przypadkową zmianę uprawnień. Wycieki z shadow IT są jedne z najtrudniejszych do wykrycia, bo formalnie ta dziura w firmie nigdy nie istniała.
2. Pieniądze. Subskrypcje SaaS to wydatki, które rosną cicho. Polish SME, w której robiliśmy audyt licencji — 28-osobowa hurtownia części przemysłowych — okazała się płacić co miesiąc: 4 × Trello Business (każdy zespół zrobił sobie własne konto), 3 × Dropbox Business, 2 × Notion Plus, jedną Canvę Pro, jednego Loom Business i jeden „prywatny" Mailchimp obsługujący newsletter handlowy. Łącznie około 1 100 PLN miesięcznie czystego dublowania — narzędzia, które w jednym koncie firmowym kosztowałyby ułamek tej sumy. Po konsolidacji do Microsoft 365 Business Standard + SharePoint + jednej wspólnej tablicy Trello oszczędność wyniosła ~13 200 PLN rocznie. Ale to nie był nawet główny zysk.
3. Dane jako wyspy. To jest cichy zabójca AI i automatyzacji. Jeśli oferty są w Pipedrive, faktury w Comarch Optima, projekty w Trello, dokumenty w Dropboxie, a leady w Excelu na prywatnym Google Drive — żadne narzędzie analityczne, żaden raport, żaden „asystent AI" nie odpowie Ci na pytanie „ile naprawdę zarabiamy na kliencie X". Bo odpowiedź jest rozsiana po pięciu kontach, z czego dwa należą do byłych pracowników.
Jak zrobić cichy audyt
Walka z shadow IT nie polega na rozesłaniu mailem zakazu. Polega na zinwentaryzowaniu rzeczywistości, a potem stopniowym sprzątaniu. Z grubsza w czterech krokach:
- Krok 1 — zacznij od faktur. Wyciągnij wyciąg z karty firmowej z ostatnich 12 miesięcy. Wszystkie obciążenia powyżej 30 PLN miesięcznie, których nie umiesz natychmiast zidentyfikować, lądują na liście do sprawdzenia. To zwykle wyławia 70% płatnych shadow IT.
- Krok 2 — zapytaj zespoły, czego naprawdę używają. Nie „czy używacie czegoś nielegalnego" (nikt się nie przyzna), tylko „pokażcie mi, czym pracujecie na co dzień". Idealnie podczas półgodzinnej rozmowy na zespół, bez oceniania. Wyjdzie wszystko.
- Krok 3 — przy każdym narzędziu zadaj trzy pytania. Czy mamy nad nim kontrolę administracyjną? Czy są tam dane firmowe albo klientów? Czy znika, jak ten pracownik odejdzie? Jeśli choć jedna odpowiedź jest niewygodna — narzędzie idzie na listę do uporządkowania.
- Krok 4 — zaproponuj zamiennik, zanim coś zakażesz. Nie wystarczy powiedzieć „nie używamy prywatnych Dropboxów". Trzeba pokazać, że firmowy SharePoint albo OneDrive jest tak samo szybki, a uprawnienia ogarnia administrator. Bez tego pracownicy wrócą do swoich obejść, tylko teraz bardziej po cichu.
Cały taki audyt w firmie 20-40-osobowej zajmuje zwykle 2-3 tygodnie, z czego sama część rozmów to maks. 8 godzin. Reszta to porządkowanie listy narzędzi, negocjowanie wspólnych kont i wyłączanie tych, których nikt już nie używa.
Co dalej
Shadow IT nie zniknie z firmy raz na zawsze. To zjawisko żywe — każda nowa potrzeba biznesowa będzie produkować kolejne obejścia, jeśli oficjalne IT nie nadąży. Sensowny cel to nie „zero shadow IT", tylko świadomość, gdzie jest, i kontrola nad tym, gdzie są firmowe dane.
Jeśli czujesz, że w Twojej firmie krąży więcej narzędzi, niż jesteś w stanie wyliczyć z głowy — to dobry moment na pierwszy audyt. Pół godziny rozmowy zwykle wystarczy, żeby pokazać, gdzie zacząć. Nie sprzedajemy tu licencji, więc nie mamy interesu, żeby Cię w cokolwiek wpychać.
Shadow IT to nie problem dyscypliny. To sygnał, że oficjalne narzędzia nie domykają tego, co ludzie naprawdę muszą robić.