Shadow IT obejmuje narzędzia informatyczne używane do zadań służbowych poza oficjalnym nadzorem: arkusze z makrami, na których opiera się planowanie, prywatne dyski w chmurze, darmowe serwisy do konwersji plików, a coraz częściej także publiczne czaty z modelami językowymi. Zjawisko zwykle wynika z rzeczywistej potrzeby – oficjalne systemy nie obsługują jakiegoś procesu albo zmiany trwają zbyt długo. Dlatego warto je traktować jako sygnał luki w narzędziach, a nie tylko jako naruszenie zasad.
Na czym polega ryzyko
- Bezpieczeństwo i poufność – dane klientów lub ceny trafiają do usług, których firma nie zweryfikowała, a dostęp nie wygasa po odejściu pracownika.
- Ciągłość działania – rozwiązanie zna jedna osoba, co tworzy pojedynczy punkt awarii.
- Jakość danych – kopie danych w plikach rozchodzą się z systemem źródłowym i powstaje kilka wersji tej samej liczby zamiast jednej wersji prawdy.
- Zgodność z przepisami – przetwarzanie danych osobowych poza kontrolą firmy utrudnia spełnienie wymogów RODO.
Przykład
W zakładzie produkcyjnym plan zmianowy i raport wydajności opierały się na jednym pliku Excel z makrami, rozwijanym od lat przez planistę. Plik pobierał dane z eksportów ERP, przeliczał normy i generował raport dla kierownictwa. Gdy planista przeszedł na dłuższe zwolnienie, raport przestał powstawać, a nikt nie wiedział, skąd biorą się niektóre współczynniki. Firma nie zakazała pliku z dnia na dzień. Najpierw razem z autorem udokumentowano logikę obliczeń, potem przeniesiono dane do wspólnej bazy, a raport odtworzono jako pulpit menedżerski zasilany automatycznie z ERP. Planista został właścicielem merytorycznym wskaźników, a dział IT – technicznym.
Najczęstsze błędy
- Całkowity zakaz bez alternatywy. Potrzeba nie znika, a narzędzia stają się jeszcze mniej widoczne.
- Ignorowanie zjawiska do pierwszego incydentu – utraty danych, błędnego raportu dla zarządu lub odejścia jedynej osoby, która zna plik.
- Przejmowanie rozwiązań przez IT bez udziału ich autorów. To oni najlepiej znają reguły biznesowe, często nigdzie niezapisane.
Od czego zacząć
- Zinwentaryzować krytyczne pliki i narzędzia: kto z nich korzysta, jakie dane przetwarzają i kto je utrzymuje.
- Ocenić ryzyko każdego z nich i zdecydować, które przenieść do systemów, które uporządkować, a które pozostawić z jasnym właścicielem.
- Ustalić zasady nadzoru nad danymi (ang. data governance) i prostą ścieżkę zgłaszania potrzeb, np. przez platformę low-code, by nowe rozwiązania powstawały pod kontrolą.