Hvad koster virksomheders IT-gæld?

Udstyret fungerer stadig. Medarbejdere kan få adgang til systemerne, og opgaver bliver løst. Derfor kan det være fristende at udskyde fornyelse, reparationer og dokumentation. Men virksomheders IT-gæld ophobes ofte i baggrunden, indtil et lille problem bliver til et driftsstop, en sikkerhedshændelse eller et dyrt nødprojekt.

IT-gæld er ikke kun en gammel server eller en forældet computer. Den opstår, når virksomheder vælger en hurtig løsning i stedet for en holdbar, udskyder nødvendigt vedligehold eller tilføjer et nyt system uden at forenkle det eksisterende. Nogle gange er det den rigtige beslutning på kort sigt. Problemet opstår, når den midlertidige beslutning får lov at blive en fast del af driften uden en plan for de næste skridt.

Hvad er virksomheders IT-gæld?

Begrebet beskriver det akkumulerede arbejde, risiko og omkostninger, der er forbundet med at holde et IT-miljø kørende med utilstrækkelige løsninger. Ligesom finansiel gæld kan IT-gæld virke overkommelig i starten. Renterne viser sig dog i form af længere nedetid, flere serviceanmodninger, øget cybersikkerhedsrisiko og reduceret produktivitet.

Et typisk eksempel er en virksomhed, der fortsætter med at bruge et ikke-understøttet operativsystem, fordi et specialiseret program kræver det. Et andet eksempel er, når tidligere medarbejderes adgang ikke fjernes, sikkerhedskopier tages, men aldrig testes, eller vigtige oplysninger ligger i personlige mapper og udokumenterede systemer. Hver beslutning kan have en logisk forklaring. Sammen kan de skabe et komplekst miljø, som ingen har fuldt overblik over.

Gæld kan også ligge i processer. Hvis en ny medarbejder skal vente i mange dage på den rette adgang, hvis det samme problem opstår igen uge efter uge, eller hvis medarbejdere bruger deres egne uautoriserede programmer for at undgå langsomme arbejdsprocesser, så er teknisk gæld allerede begyndt at påvirke driften.

Hvorfor bliver de dyre, som forventet?

Direkte omkostninger er normalt synlige først. Gammelt udstyr kræver flere reparationer, flere softwarelicenser eller ekspertise, der er sværere at få fat i. De indirekte omkostninger er ofte større. De består af medarbejdernes tid, tabte salgsmuligheder, forstyrrede serviceprocesser og ledere, der skal løse tekniske problemer i stedet for at lede virksomheden.

Netssikkerhed ændrer også størrelsesordenen. Ikke-opdaterede enheder, dårlig adgangskodestyring og uklar adgangskontrol giver angribere flere mulige veje ind. En virksomhed, der ikke har et klart overblik over enheder, brugere og data, har svært ved at reagere hurtigt, når der opstår mistanke om phishing, malware eller uautoriseret adgang.

Så er der gendannelsen. En backup er ikke det samme som en gendannelsesplan. Hvis en virksomhed ikke ved, hvilke data der er vigtigst, hvor længe den kan være uden systemer, eller om backups rent faktisk virker, kan en forstyrrelse blive meget længere end nødvendigt. Når et system fejler, eller et angreb finder sted, træffes de dyreste beslutninger typisk under tidspres.

Tegn, som ledere bør tage alvorligt

IT-gæld ses sjældent på en enkelt dashboard-skærm. Den manifesterer sig snarere som mønstre i den daglige drift. Medarbejdere klager gentagne gange over langsomme computere, login-problemer eller upålidelig fjernadgang. Systemer har mange ejere, men ingen, der bærer det samlede ansvar. Leverandører er mange, og ingen ved præcis, hvilken service der er nødvendig, eller hvad den koster.

Et andet advarselstegn er, når viden sidder hos én person. Hvis kun én medarbejder, entreprenør eller tidligere IT-medarbejder ved, hvordan et nøglesystem fungerer, er virksomheden i en sårbar position. Det samme gælder, når ændringer foretages direkte i systemet uden registrering, test eller godkendelse. Det kan spare et par timer i dag, men skabe stor usikkerhed senere.

Forholdet mellem supportanmodninger og driftspåvirkning skal også undersøges. Ti små anmodninger om udskrivning, e-mail eller adgang kan pege på ét underliggende problem. Ved at løse roden til problemet i stedet for at løse hvert enkelt tilfælde individuelt, kan omkostningerne reduceres, og medarbejdernes oplevelse forbedres.

Start med risiko, ikke med en indkøbsliste

En almindelig fejl er at forsøge at løse IT-gæld ved at købe et nyt værktøj. Ny teknologi kan være den rigtige løsning, men kun når problemet er defineret. Det første skridt er at få et realistisk billede af den nuværende situation: hvilke enheder er i brug, hvilke systemer understøtter de vigtigste processer, hvor data gemmes, og hvem har adgang.

Dernæst skal teknologien forbindes til driften. Hvilket system stopper indtægtsgenereringen, hvis det er nede? Hvilke data ville være alvorligst at miste eller lade lække? Hvor længe kan virksomheden fungere uden e-mail, filsystem eller forretningssystem? Svarene varierer fra virksomhed til virksomhed. Et bogholderi, en sundhedstjeneste og en entreprenørvirksomhed kan alle have brug for stærk sikkerhed, men deres prioritering vil ikke nødvendigvis være den samme.

En god gennemgang dækker både teknologien og arbejdsprocessen. Den undersøger opdateringsstatus for enheder, multifaktor-godkendelse, adgangskontrol, backups, overvågning, licenser, dokumentation og beredskabsprocesser. Målet er ikke at finde syndebukke. Målet er at se, hvor risikoen er størst, og hvilke ændringer der giver størst effekt.

Prioriter efter driftspåvirkning

Det er ikke nødvendigt at rette alle gældsposter på én gang. Faktisk er det ofte urealistisk og kan skabe unødvendig forstyrrelse. Det er mere fornuftigt at prioritere opgaver baseret på operationel risiko, sikkerhedspåvirkning, omkostninger ved at udskyde og det arbejde, der kræves for at udføre ændringen.

Først kommer typisk emner, der kan forårsage datatab, uautoriseret adgang eller langvarig driftsstop. Dette kan omfatte uprøvede backups, ikke-understøttede operativsystemer, adgange uden multifaktorautentificering og enheder, der ikke modtager sikkerhedsopdateringer. Derefter kommer opgaver, der reducerer gentagne driftsproblemer, f.eks. standardisering af computere, bedre enhedsadministration eller klarere processer for medarbejderes ankomst og afgang.

Ændringer skal dog vurderes i lyset af virkeligheden. Udskiftning af alle computere samtidigt kan være unødvendigt dyrt, men en fornyelsesplan kan implementeres, der først adresserer de svageste enheder. Flytning af alle data til et nyt miljø kan være det rigtige på lang sigt, men det kræver forberedelse, rettighedsanalyse og klar ansvarlighed. Hastighed er ikke altid det samme som fremskridt.

Gør IT til en forudsigelig driftsomkostning

Målet er ikke at bygge det mest komplekse IT-miljø muligt. Målet er at gøre driften mere sikker, enklere og mere forudsigelig. Dette opnås med standardiserede enheder, klar ansvarlighed, regelmæssig vedligeholdelse og en målbar fornyelsesplan.

Når enheder overvåges, opdateringer styres, og sikkerhedsadvarsler gennemgås regelmæssigt, kan mange problemer løses, før de påvirker medarbejderne. Når adgangskoder, adgange og brugerkonti håndteres i henhold til en fast proces, reduceres risikoen for fejl. Når backups og gendannelser testes, opnås en bekræftelse på, at virksomheden kan komme i gang igen, ikke kun et håb om det.

For mange små og mellemstore virksomheder er den mest omkostningseffektive løsning at have én ansvarlig person, der ser helheden, varetager daglig systemadministration og kan rådgive om de næste skridt. Samarbejdet er vigtigt her. En god IT-partner bør ikke kun reagere, når noget går galt, men også forklare risiciene klart, håndtere prioriteringer og hjælpe ledere med at investere midler, hvor det giver reel værdi.

Gælden reduceres med konstant disciplin

IT-gæld forsvinder sjældent med et enkelt stort projekt. Den reduceres, når virksomheden etablerer regler for, hvordan enheder købes, brugere får adgang, ændringer godkendes, og systemer gennemgås. Mindre forbedringer, udført regelmæssigt, kan have større effekt end dyre redesigns, der udskydes år efter år.

Begynd med ét spørgsmål: Hvilken teknisk svaghed ville forårsage mest skade, hvis den opstod i morgen? Når svaret er kendt, bliver næste skridt klarere. Det er ikke nødvendigt at rette alt med det samme, men det er nødvendigt at vide, hvad der er på spil, og hvem der er ansvarlig for at mindske det.