Thuê ngoài IT là giao một phần hoặc toàn bộ việc vận hành hệ thống công nghệ của doanh nghiệp cho một đơn vị bên ngoài. Dạng phổ biến nhất với doanh nghiệp vừa và nhỏ là nhà cung cấp dịch vụ quản lý (MSP — managed service provider): thu phí cố định hằng tháng theo số người dùng hoặc thiết bị, chịu trách nhiệm giữ cho máy tính, mạng, máy chủ và dịch vụ trên mây chạy ổn định, thay vì chỉ đến sửa khi có hỏng hóc.
Thuê ngoài không có nghĩa là giao luôn trách nhiệm. Doanh nghiệp vẫn phải sở hữu tài khoản quản trị, tài liệu, quyết định đầu tư và quyền chấm dứt hợp đồng mà không bị kẹt. Bài viết so sánh các mô hình, chỉ ra phạm vi nên giao, cách đọc và viết thoả thuận mức dịch vụ (SLA), và các điều khoản hay bị bỏ sót.
Bốn mô hình thuê ngoài IT và cách tính phí
Các mô hình khác nhau ở động cơ của bên cung cấp. Đây là điểm quan trọng nhất: mô hình tính phí quyết định nhà cung cấp được lợi khi hệ thống của bạn chạy tốt hay khi nó hỏng.
| Mô hình | Tính phí | Động cơ của nhà cung cấp | Hợp với |
|---|---|---|---|
| Sửa khi hỏng (break/fix) | Theo lần gọi hoặc theo giờ | Có lợi khi có nhiều sự cố; không có lý do để phòng ngừa | Văn phòng rất nhỏ, ít phụ thuộc IT |
| Gói giờ trả trước | Mua trước một số giờ, dùng dần | Trung tính; dễ phát sinh tranh cãi về cách tính giờ | Doanh nghiệp có IT nội bộ cần hỗ trợ chuyên sâu theo đợt |
| Dịch vụ quản lý trọn gói (MSP) | Cố định theo người dùng hoặc thiết bị mỗi tháng | Có lợi khi hệ thống ổn định, ít sự cố, nên đầu tư giám sát và phòng ngừa | Doanh nghiệp vừa và nhỏ không có hoặc có rất ít IT nội bộ |
| Đồng quản lý (co-managed) | Cố định cho phần việc giao, theo giờ cho phần phát sinh | Bổ trợ cho đội nội bộ | Doanh nghiệp có trưởng IT muốn giao phần trực, giám sát, bảo mật hoặc dự án |
Ngoài ra còn mô hình cho thuê nhân sự (staff augmentation), trong đó doanh nghiệp quản lý trực tiếp kỹ sư do bên ngoài cung cấp; về bản chất đây là thuê người chứ không phải mua kết quả. Với phần lớn doanh nghiệp từ hai mươi đến vài trăm người không có phòng IT đủ mạnh, mô hình trọn gói hoặc đồng quản lý là điểm cân bằng tốt nhất vì đặt hai bên cùng hướng: ít sự cố hơn là lợi cho cả hai.
Phạm vi dịch vụ: nên giao gì, nên giữ gì
Một hợp đồng MSP mơ hồ kiểu "hỗ trợ IT toàn diện" là nguồn gốc của tranh chấp. Phạm vi cần được liệt kê thành các hạng mục cụ thể. Danh mục thường thấy trong gói trọn gói:
- Bàn hỗ trợ từ xa và tại chỗ cho người dùng, với kênh tiếp nhận rõ ràng và giờ phục vụ xác định.
- Giám sát và bảo trì máy chủ, mạng, máy trạm: cảnh báo ổ đầy, dịch vụ ngừng, thiết bị mất kết nối.
- Cập nhật bản vá hệ điều hành và phần mềm theo lịch có kiểm soát.
- Quản lý sao lưu: không chỉ chạy sao lưu mà kiểm tra khôi phục định kỳ và báo cáo.
- Bảo mật nền tảng: phần mềm chống mã độc, cấu hình tường lửa, quản lý tài khoản, xác thực nhiều lớp.
- Quản lý nhà cung cấp: làm việc với nhà mạng, hãng phần mềm, bên bảo hành thay cho doanh nghiệp.
- Vào và ra của nhân viên: chuẩn bị máy, tạo tài khoản, thu hồi quyền trong ngày nghỉ việc.
- Tư vấn định kỳ: rà soát hằng quý về tài sản, rủi ro, kế hoạch thay thế và ngân sách năm sau.
Những thứ doanh nghiệp nên giữ trong tay: quyền sở hữu mọi tài khoản quản trị và tên miền; quyết định mua sắm và ngân sách; phê duyệt thay đổi lớn; và một đầu mối nội bộ hiểu nghiệp vụ, kể cả không phải người kỹ thuật, để đặt ưu tiên. Các hạng mục thường nằm ngoài gói và tính phí riêng gồm dự án mới (chuyển văn phòng, triển khai hệ thống mới), phần cứng và bản quyền, hỗ trợ phần mềm nghiệp vụ chuyên ngành, đào tạo. Cần ghi rõ để khỏi bất ngờ khi nhận hoá đơn.
SLA: thời gian phản hồi không phải thời gian khắc phục
Thoả thuận mức dịch vụ (SLA) là phần định lượng của hợp đồng. Bẫy phổ biến nhất là nhầm giữa thời gian phản hồi (bên cung cấp xác nhận đã nhận yêu cầu và bắt đầu xử lý) với thời gian khắc phục (sự cố được giải quyết hoặc có giải pháp tạm). Một SLA "phản hồi trong 15 phút" nghe ấn tượng nhưng có thể chỉ là một email tự động.
SLA tốt phân loại sự cố theo mức ưu tiên, thường bằng ma trận ảnh hưởng × mức khẩn theo cách tiếp cận của ITIL: sự cố làm cả công ty ngừng việc là ưu tiên cao nhất, một người không in được là ưu tiên thấp. Mỗi mức có mục tiêu phản hồi và mục tiêu khắc phục riêng, kèm khung giờ áp dụng: giờ hành chính, mở rộng, hay 24/7. Một sự cố nghiêm trọng xảy ra tối thứ Sáu mà SLA chỉ tính giờ hành chính có nghĩa là thứ Hai mới bắt đầu đếm giờ.
Cần thêm hai thứ để SLA có ý nghĩa: cách đo (ai ghi nhận thời điểm, hệ thống ghi phiếu của ai) và hệ quả khi vi phạm (giảm phí, quyền chấm dứt sớm nếu vi phạm lặp lại). Báo cáo hằng tháng nên gồm số phiếu theo mức ưu tiên, tỷ lệ đạt SLA, các sự cố lặp lại và nguyên nhân gốc. Một nhà cung cấp chỉ báo "đạt 99% SLA" mà không cho xem dữ liệu phiếu là dấu hiệu nên hỏi thêm.
Điều khoản hợp đồng hay bị bỏ sót
Quyền sở hữu tài khoản và mật khẩu. Mọi tài khoản quản trị (máy chủ, tường lửa, tên miền, dịch vụ trên mây, bản quyền) phải đứng tên doanh nghiệp, mật khẩu lưu ở nơi doanh nghiệp truy cập được. Nhà cung cấp dùng tài khoản riêng có thể thu hồi, không dùng chung tài khoản chủ.
Tài liệu là sản phẩm phải bàn giao. Sơ đồ mạng, danh mục tài sản, cấu hình, quy trình khôi phục phải được cập nhật liên tục và thuộc về doanh nghiệp. Ghi rõ định dạng và tần suất cập nhật.
Điều khoản chấm dứt và chuyển giao. Thời hạn báo trước hợp lý, nghĩa vụ hỗ trợ chuyển giao cho bên mới trong một khoảng thời gian, bàn giao toàn bộ tài liệu và quyền truy cập, xoá dữ liệu của doanh nghiệp khỏi hệ thống nhà cung cấp sau khi chuyển. Đây là điều khoản quyết định bạn có bị kẹt hay không.
Bảo mật và quyền truy cập của nhà cung cấp. Nhà cung cấp có quyền truy cập rộng vào hệ thống của bạn, nên chính họ là một rủi ro. Đã có nhiều sự cố an ninh trên thế giới bắt đầu từ công cụ quản trị từ xa của các MSP. Hợp đồng nên yêu cầu xác thực nhiều lớp cho mọi truy cập, ghi nhật ký, giới hạn nhân sự được truy cập và nghĩa vụ thông báo sự cố.
Bảo mật thông tin và dữ liệu cá nhân. Thoả thuận bảo mật, trách nhiệm khi để lộ dữ liệu, và phân định vai trò xử lý dữ liệu cá nhân theo quy định hiện hành về bảo vệ dữ liệu cá nhân. Nên nhờ người làm pháp chế rà phần này.
Điều chỉnh giá. Cơ chế tính khi số người dùng tăng giảm, mức tăng giá hằng năm tối đa, và cách xử lý thiết bị cũ ngoài chuẩn mà nhà cung cấp có thể đòi tính thêm.
IT nội bộ, thuê ngoài hay kết hợp: so sánh để quyết
Không có ngưỡng quy mô chung để chuyển từ thuê ngoài sang tự làm. Bảng dưới so sánh các khía cạnh để doanh nghiệp tự cân.
| Khía cạnh | IT nội bộ | Thuê ngoài trọn gói | Kết hợp |
|---|---|---|---|
| Hiểu nghiệp vụ | Sâu, gần người dùng | Phải học, phụ thuộc người được phân công | Nội bộ giữ nghiệp vụ, bên ngoài giữ kỹ thuật chuyên sâu |
| Độ rộng kỹ năng | Giới hạn bởi một vài người | Cả đội nhiều chuyên môn | Bù chỗ thiếu của đội nội bộ |
| Liên tục khi nghỉ phép, nghỉ việc | Rủi ro cao nếu chỉ một người | Ổn định hơn nếu tài liệu tốt | Hai lớp dự phòng |
| Chi phí | Lương, đào tạo, công cụ; cố định | Phí tháng dự đoán được | Cao hơn thuê ngoài thuần nhưng kiểm soát tốt hơn |
| Phản ứng tại chỗ | Ngay lập tức | Tuỳ SLA và khoảng cách | Nội bộ xử lý tại chỗ, bên ngoài hỗ trợ từ xa |
| Tri thức tích luỹ | Ở lại doanh nghiệp nếu giữ được người | Nằm ở nhà cung cấp nếu không yêu cầu tài liệu | Phụ thuộc kỷ luật tài liệu |
Ví dụ giả định: một công ty thương mại 60 người ở Cần Thơ có một nhân viên IT làm mọi việc. Khi người này nghỉ phép, sự cố máy chủ kéo dài hai ngày. Phương án được chọn là giữ nhân viên IT làm đầu mối và hỗ trợ tại chỗ, thuê MSP phần giám sát 24/7, sao lưu, bản vá và bảo mật. Chi phí tăng một khoản vừa phải, đổi lại hệ thống không còn phụ thuộc một người.
Quy trình chọn nhà cung cấp dịch vụ IT
Chọn MSP là chọn đối tác nhiều năm có chìa khoá mọi phòng. Quy trình dưới giúp so sánh trên cùng tiêu chí.
- Kiểm kê hiện trạng: số người dùng, thiết bị, máy chủ, dịch vụ trên mây, chi nhánh, các vấn đề lặp lại. Bên cung cấp cần thông tin này để báo giá chính xác.
- Viết yêu cầu theo danh mục phạm vi ở trên, kèm SLA mong muốn cho từng mức ưu tiên và giờ phục vụ.
- Mời ba đến năm đơn vị khảo sát và báo giá; yêu cầu báo giá theo cùng cấu trúc để so sánh được.
- Hỏi về quy trình, không chỉ giá: họ tiếp nhận phiếu thế nào, ai là người phụ trách tài khoản của bạn, xử lý sự cố ngoài giờ ra sao, kiểm tra khôi phục sao lưu bao lâu một lần.
- Xin liên hệ khách hàng tham khảo có quy mô và ngành tương tự, gọi hỏi trực tiếp về thời gian phản hồi thật và cách họ xử lý sự cố lớn.
- Đọc kỹ dự thảo hợp đồng với các điều khoản đã nêu: sở hữu tài khoản, tài liệu, chấm dứt, bảo mật.
- Bắt đầu bằng giai đoạn chuyển tiếp có mốc rõ: tiếp nhận, lập tài liệu, khắc phục tồn đọng, rồi mới vào vận hành ổn định. Đánh giá lại sau ba đến sáu tháng.
Giá thấp nhất hiếm khi là lựa chọn rẻ nhất. Một MSP chỉ cử kỹ thuật viên mới ra trường, không có công cụ giám sát và không làm tài liệu có thể khiến doanh nghiệp trả nhiều hơn qua thời gian ngừng việc và chi phí chuyển đổi về sau.
Câu hỏi thường gặp
Giá dịch vụ IT trọn gói thường tính thế nào?
Phổ biến nhất là đơn giá mỗi người dùng hoặc mỗi thiết bị mỗi tháng, cộng phí cố định cho máy chủ và hạ tầng mạng. Mức giá dao động theo phạm vi, SLA, giờ phục vụ và địa bàn. So sánh báo giá chỉ có ý nghĩa khi các bên báo cùng phạm vi và cùng mức cam kết.
Thuê ngoài IT có an toàn về dữ liệu không?
Có thể an toàn nếu hợp đồng và kiểm soát kỹ thuật chặt: truy cập có xác thực nhiều lớp, ghi nhật ký, tài khoản riêng từng kỹ thuật viên, thoả thuận bảo mật. Rủi ro lớn nhất là nhà cung cấp dùng chung công cụ và tài khoản cho nhiều khách mà không phân tách. Nên hỏi trực tiếp cách họ bảo vệ chính hệ thống của mình.
Có nên giao luôn phần mềm kế toán và ERP cho MSP?
MSP thường lo hạ tầng chạy phần mềm như máy chủ, sao lưu, mạng, còn nghiệp vụ và cấu hình phần mềm do hãng phần mềm hoặc đơn vị triển khai hỗ trợ. Hợp đồng cần phân định rõ ai làm gì khi phần mềm lỗi, tránh tình trạng hai bên đẩy trách nhiệm cho nhau.
Đổi nhà cung cấp IT mất bao lâu và rủi ro gì?
Thường cần vài tuần đến vài tháng tuỳ độ phức tạp và chất lượng tài liệu sẵn có. Rủi ro chính là mất mật khẩu, cấu hình không được ghi lại, bên cũ thiếu hợp tác. Chuẩn bị trước bằng cách đảm bảo doanh nghiệp đã nắm mọi tài khoản và tài liệu ngay trong thời gian hợp đồng cũ còn hiệu lực.
Làm sao đánh giá MSP đang làm tốt hay không?
Theo dõi báo cáo phiếu hằng tháng: số sự cố, tỷ lệ đạt SLA, sự cố lặp lại. Thử khôi phục một tệp từ bản sao lưu có báo trước. Khảo sát ngắn người dùng mỗi quý. Rà soát cùng nhà cung cấp định kỳ xem các khuyến nghị đã nêu có được thực hiện không.
Doanh nghiệp không có ai hiểu IT thì làm việc với MSP thế nào?
Cử một người quản lý có tổ chức làm đầu mối, không cần biết kỹ thuật nhưng nắm được ưu tiên nghiệp vụ và theo dõi báo cáo. Yêu cầu nhà cung cấp giải thích bằng ngôn ngữ kinh doanh: rủi ro gì, chi phí bao nhiêu, nếu không làm thì điều gì xảy ra. Có thể thuê tư vấn độc lập rà soát một lần mỗi năm.