Ile usług chmurowych opłacacie? Inwentaryzacja, która się zwraca

Usługi chmurowe mają jedną cechę, której nie miały programy kupowane na płycie: kupuje je każdy, nie tylko dział IT. Handlowiec bierze narzędzie do ofert, marketing narzędzie do grafiki, księgowość coś do skanowania faktur. Płatność idzie kartą, faktura wpada do księgowości między innymi, a odnowienie następuje samo.

Po trzech latach nikt nie ma pełnej listy. Nie z niedbalstwa — po prostu nigdy nie było momentu, w którym ktoś by ją zrobił.

Po co to robić

Trzy powody, w kolejności od najbardziej wymiernego:

Pieniądze. W każdej takiej inwentaryzacji znajduje się coś, za co firma płaci i czego nikt nie używa od miesięcy. Najczęściej: narzędzie kupione do jednego projektu, licencje osób, które odeszły, i dwie usługi robiące to samo, bo dwa działy kupiły osobno.

Dostęp. Konta w usługach kupowanych poza działem IT są najczęstszą luką przy odejściu pracownika — nikt o nich nie wie, więc nikt ich nie zamyka.

Dane. Warto wiedzieć, gdzie trafiają dane firmy i klientów. To pytanie przychodzi zwykle w najgorszym momencie: przy kontroli, przy pytaniu klienta o podwykonawców, albo po incydencie u dostawcy.

Jak zebrać listę

Nie ma na to narzędzia. Jest za to pięć źródeł, które razem dają obraz bliski kompletnemu.

1. Wyciąg z karty firmowej i historia przelewów

Najskuteczniejsze źródło i zwykle wystarcza za resztę. Przejrzyj dwanaście miesięcy — subskrypcje roczne pokażą się tylko raz.

2. Faktury w księgowości

Wyszukanie po słowach kluczowych w opisach: subskrypcja, licencja, abonament, plan. Wyłapuje to, co szło przelewem, a nie kartą.

3. Skrzynka pocztowa

Wyszukanie w firmowej poczcie fraz w rodzaju „potwierdzenie subskrypcji”, „twoja faktura”, „odnowienie”. Wyłapuje usługi opłacane z prywatnych kart i rozliczane potem — a takie zdarzają się częściej, niż firmy zakładają.

4. Pytanie działów wprost

Krótkie pytanie: z jakich narzędzi internetowych korzystacie w pracy. Bez oceniania i bez sugerowania, że coś jest nie tak — inaczej odpowiedzi będą niepełne. Chodzi o listę, nie o rozliczenie.

5. Logowania przez konto firmowe

Jeżeli firma korzysta z Microsoft 365 albo Google Workspace, w panelu widać aplikacje, którym użytkownicy dali dostęp do konta firmowego. To pokazuje także rzeczy darmowe, które nie zostawiają śladu w wyciągu — a mają dostęp do danych.

Co zapisać przy każdej pozycji

Tabela z sześcioma kolumnami wystarcza i mieści się w arkuszu:

kolumna	po co
nazwa usługi	oczywiste
kto zamawiał	żeby wiedzieć, kogo pytać
kto administruje	najważniejsza kolumna, patrz niżej
koszt i cykl	do decyzji o wyłączeniu
jakie dane tam trafiają	do pytań o zgodność
czy wejście chroni MFA	do decyzji o priorytecie

Kolumna „kto administruje” jest najważniejsza, bo najczęściej jest pusta albo zawiera nazwisko osoby, która odeszła. Usługa bez administratora to usługa, której nie da się ani zmienić, ani zamknąć — a odzyskanie dostępu wymaga kontaktu z dostawcą i potrafi trwać tygodniami.

Co z tego zwykle wychodzi

Za każdym razem podobnie:

• kilka pozycji do wyłączenia od razu — nieużywane albo zdublowane,
• licencje przypisane do osób, które nie pracują,
• co najmniej jedna usługa zarejestrowana na prywatny adres pracownika,
• kilka kont bez MFA, w tym takie z dostępem do danych klientów,
• jedna usługa, o której zarząd nie wiedział, że w ogóle istnieje.

Oszczędność bywa zauważalna, ale nie jest głównym zyskiem. Głównym zyskiem jest to, że po tej robocie da się odpowiedzieć na pytanie „gdzie są nasze dane” inaczej niż zgadywaniem.

Jak nie wrócić do punktu wyjścia

Inwentaryzacja robiona raz starzeje się w pół roku. Dwie rzeczy, które to zatrzymują:

Jedno miejsce, w którym rejestruje się nową usługę. Nie musi to być system — arkusz wystarcza. Musi za to istnieć zasada, że nowa subskrypcja trafia tam przed pierwszą płatnością, a nie po roku.

Przegląd raz na rok, powiązany z czymś, co i tak się dzieje — na przykład z zamknięciem roku obrotowego. Termin niepowiązany z niczym nie zostaje dotrzymany.