Introduzione all’Outsourcing IT nel Settore Pubblico

L’evoluzione del sourcing: dalla fornitura di beni al partner strategico

I vantaggi critici per Enti Pubblici: efficienza, competenza e risparmio

Quadro Normativo e Governance per il Pubblico

Il Codice degli Appalti: riferimenti e deroghe per i servizi IT

Data Governance e sicurezza: GDPR, NIS2 e misure per la PA

Il ruolo della stazione appaltante e dei comitati di controllo

Definizione del Modello di Servizio (Service Management Framework)

Allineamento strategico: tradurre gli obiettivi amministrativi in servizi IT

Catalogo dei servizi: core vs. commodity e differenziazione

Processi chiave ITIL v4 per la PA (Incident, Change, Problem, Request)

Gestione del change e continuità operativa (BCP/DR)

Strutturazione dei Service Level Agreement (SLA)

Differenza tra SLA, OLA e Underpinning Contracts

KPI e Metriche di Performance: evitare le trappole delle metriche

Definizione dei livelli di servizio: disponibilità, tempo di risposta e risoluzione

Clausole di servizio e penalità: come bilanciare incentivi e sanzioni

Le clausole di servizio (SLA) definiscono gli obiettivi misurabili del contratto di outsourcing IT, ma il vero bilanciamento tra incentivi e sanzioni richiede un approccio strategico, non solo tecnico. Per gli enti pubblici, l’obiettivo finale è garantire continuità, sicurezza e trasparenza, non punire a ogni costo.

Un modello efficace prevede un mix di KPI (Key Performance Indicator) quantitativi e qualitativi. Esempi pratici includono: disponibilità dei servizi (es. 99,9%), tempo medio di risoluzione (MTTR), tassi di conformità normativa e soddisfazione utente finale misurata tramite sondaggi semestrali.

Per bilanciare incentivi e sanzioni:

• Penalità graduale e contestualizzata: le sanzioni devono essere proporzionali alla gravità e alla durata del disservizio. Ad esempio, una riduzione del 10% della tariffa per l’outage oltre le 4 ore, ma non per singoli minuti di downtime.
• Clawback (recupero) e Bonus: introdurre meccanismi di “clawback” per rimborsare costi aggiuntivi sostenuti dall’ente a causa di mancanze contrattuali. Viceversa, prevedere bonus o estensioni contrattuali per il superamento consistente degli SLA.
• SLA a cascata e priorità critiche: definire servizi critici (es. portali dematerializzati) con SLA rigidi e sanzioni elevate, mentre per servizi non vitali adottare un modello più flessibile.
• Exit Strategy e Onboarding/Offboarding: le penalità devono coprire anche i costi di transizione in caso di risoluzione del contratto per inadempienza.

Bilanciare incentivi e sanzioni significa trasformare il contratto da strumento punitivo a leva di performance. Una revisione trimestrale degli SLA, condivisa con la stazione appaltante, permette di adattare il modello alle esigenze evolutive dell’ente.

Prima di firmare, verifica che ogni penalità sia chiara, misurabile e commisurata al rischio operativo. Contattaci oggi per costruire un modello di servizio su misura per il tuo ente, con SLA che proteggono e valorizzano il tuo investimento digitale.

Il Ciclo di Vita del Contratto e Vendor Management

Il Ciclo di Vita del Contratto e Vendor Management

Nell’ambito della gestione IT in outsourcing per enti pubblici, la definizione di un modello di servizio efficace e di SLA stringenti rappresenta solo la prima fase di un percorso complesso. La vera sfida, e il fattore determinante per il successo dell’intera operazione, risiede nella gestione attiva e continua del contratto e del vendor nel suo ciclo di vita completo. Per un ente pubblico, l’affidamento a un fornitore esterno non è una mera transazione commerciale, ma un partenariato strategico che deve garantire continuità, sicurezza e conformità normativa su lunghissimi periodi, spesso decennali.

Il ciclo di vita del contratto può essere suddiviso in quattro fasi fondamentali: pre-affidamento (gara), implementazione, gestione operativa (run) e rinnovo o conclusione. Il Vendor Management è l’attività trasversale che accompagna ogni fase, assicurando che le performance del fornitore siano allineate agli obiettivi dell’ente e che i rischi vengano mitigati proattivamente.

Fase 1: Pre-Affidamento e Progettazione del Modello di Servizio

Il successo inizia nella fase di progettazione della gara d’appalto. Spesso, gli enti pubblici commettono l’errore di definire soltanto requisiti tecnici di base senza strutturare un modello di servizio (Service Delivery Model) che includa processi, responsabilità e metriche. In questa fase, il Vendor Management inizia con la definizione di criteri di selezione chiari che vanno oltre il prezzo: stabilità finanziaria del fornitore, esperienza nel settore pubblico, capacità di rispettare le normative di sicurezza e privacy (GDPR e NIS2).

Un aspetto cruciale è la definizione del Service Level Agreement (SLA) già in sede di gara. Gli SLA devono essere specifici, misurabili, accessibili e rilevanti (SMART). Non basta definire “disponibilità del sistema”, ma bisogna specificare: “disponibilità del sistema >= 99.9% nelle ore lavorative (9-18), escluse le finestre di manutenzione concordate”. Le penali devono essere proporzionali e automatiche, collegate al mancato rispetto degli SLA, per disincentivare il degrado del servizio nel tempo. L’ente deve riservarsi sempre il diritto di audit e di verifica della conformità, clausola fondamentale nel settore pubblico.

Strutturare una gara IT efficace?

La corretta definizione dei requisiti contrattuali è il primo passo per evitare costi nascosti e disservizi futuri.

Scarica la nostra Checklist per la definizione degli SLA nelle gare IT per la PA:

Ottieni la Checklist (PDF)

Fase 2: Implementazione e Transizione (Onboarding)

Una volta aggiudicata la gara, inizia la fase di implementazione. Nel Vendor Management, questa fase è critica per stabilire il tono del rapporto. È il momento in cui il modello di servizio teorico si scontra con la realtà operativa. L’ente pubblico deve costituire un Team di Gestione Contratto (Contract Management Office – CMO) interno o esterno, composto da figure tecniche, legali e di business.

L’obiettivo della transizione è garantire il trasferimento della conoscenza (knowledge transfer) senza interruzioni di servizio per gli utenti finali. Il Vendor Management deve monitorare che il fornitore rispetti i piani di implementazione (Milestone Plan) e che le risorse umane designate siano effettivamente quelle previste in gara, con le competenze certificate. È fondamentale istituire un Comitato di Direzione misto (ente e fornitore) che si riunisca mensilmente per revisionare lo stato del progetto e risolvere eventuali escalation.

Fase 3: Gestione Operativa e Monitoraggio (Run)

Questa è la fase più lunga, dove il Vendor Management diventa un’attività di routine continua. Non ci si limita a monitorare gli SLA su un dashboard, ma si analizzano le tendenze e si gestisce la relazione. Le attività chiave includono:

• Service Review Meeting (SRM): Incontri mensili o trimestrali per analizzare i report di performance. Si discute non solo degli incidenti (incidents), ma della qualità del servizio, della soddisfazione degli utenti e delle iniziative di miglioramento (Continuous Service Improvement).
• Gestione dei Cambiamenti (Change Management): Ogni modifica all’infrastruttura o ai software deve seguire un processo formale approvato dall’ente. Il vendor non può apportare modifiche unilaterali che impattino la sicurezza o la disponibilità.
• Relazione di Audit e Compliance: Periodicamente, l’ente deve eseguire verifiche ispettive per assicurare che il vendor rispetti le normative di sicurezza informatica e i requisiti di resilienza (cyber resilience). Con l’entrata in vigore della NIS2, la responsabilità della sicurezza grava anche sul management del fornitore, che deve garantire adeguate misure tecniche e organizzative.
• Gestione dei Ricavi e Pagamenti: I pagamenti sono legati al rispetto degli SLA. Il Vendor Management deve verificare che le fatturazioni siano corrette e che eventuali penali siano applicate automaticamente, riducendo il carico amministrativo e garantendo trasparenza verso la Corte dei Conti.

La tua governance contrattuale è in difficoltà?

Se stai affrontando divergenze sugli SLA, fatturazioni complesse o rischi di non conformità normativa, è il momento di strutturare una governance efficace.

Prenota una call di 15 minuti con un nostro esperto di Vendor Management:

Prenota la Call (Gratuita)

Fase 4: Rinnovo, Rinegoziazione o Conclusione

Il ciclo di vita non finisce con la gestione operativa. Al termine del contratto (solitamente 3-5 anni, rinnovabile), l’ente deve valutare se:

1. Rinnovare il contratto: Se le performance sono soddisfacenti e il modello di servizio è ancora validi.
2. Rinegoziare i termini: Il mercato IT evolve rapidamente (es. Cloud, AI). Il contratto deve essere aggiornato per includere nuove tecnologie o cambiare il modello di pricing (es. passaggio da Capex a Opex).
3. Cambiar fornitore (Switching): Se il vendor non ha adempiuto o i costi sono diventati non sostenibili. Questa fase richiede una pianificazione accurata (Exit Strategy) per garantire la continuità del servizio e il trasferimento dei dati e delle licenze.

Il Vendor Management svolge un ruolo cruciale nella valutazione del valore totale di possesso (Total Cost of Ownership – TCO), includendo non solo i costi diretti ma anche quelli indiretti legati alla gestione del contratto e ai disservizi subiti.

Best Practice per il Vendor Management nella PA

Per rendere efficace il ciclo di vita del contratto, gli enti pubblici dovrebbero adottare queste best practice:

• Centralizzare la conoscenza: Utilizzare un repository documentale unico (Repository) dove archiviare contratti, SLA, report e verbali.
• Automazione: Investire in strumenti di IT Service Management (ITSM) che automatizzino il tracciamento degli SLA e generino report in tempo reale.
• Formazione del personale: Il team interno deve essere formato non solo tecnicamente, ma anche su contrattualistica pubblica e negoziazione.
• Trasparenza verso i cittadini: Nei casi di servizi critici (es. healthcare, pubblica amministrazione), garantire una comunicazione trasparente sugli SLA raggiunti.

In conclusione, la gestione IT in outsourcing per enti pubblici è un processo dinamico. Un modello di servizio ben definito e SLA precisi sono la bussola, ma il Vendor Management è il timone che guida il progetto attraverso le inevitabili variazioni del mercato e della tecnologia, garantendo che il servizio erogato mantenga sempre il valore pubblico per cui è stato commissionato.

Trasforma la tua gestione IT in un asset strategico

Non lasciare che la complessità contrattuale e il mancato allineamento con i vendor compromettano la trasformazione digitale della tua amministrazione.

Richiedi un’analisi preliminare gratuita del tuo attuale portfolio contrattuale IT.

• Valutazione dei rischi di conformità (GDPR/NIS2)
• Revisione della struttura SLA e penali
• Ottimizzazione dei costi operativi

Richiedi il Preventivo Personalizzato

Fase di transizione: knowledge transfer e onboarding

Fase di transizione: knowledge transfer e onboarding

La fase di transizione è il momento più delicato del processo di outsourcing. In questa fase, la conoscenza acquisita internamente negli anni deve essere trasferita in modo strutturato al fornitore esterno, evitando il rischio di “perdita di know-how”. Il modello di servizio prevede un piano dettagliato di knowledge transfer, suddiviso per aree critiche (infrastruttura, applicazioni, sicurezza, utenze).

L’onboarding del team esterno avviene in parallelo. Il personale del fornitore viene integrato nelle routine operative esistenti tramite:

• Shadowing e pairing: i tecnici esterni affiancano quelli interni per un periodo definito, osservando e documentando i processi.
• Workshop dedicati: sessioni specifiche su architetture uniche dell’ente, procedure di emergenza e compliance normativa (es. GDPR, NIS2).
• Creazione della Knowledge Base condivisa: documentazione viva (wiki, runbook) accessibile ad entrambe le parti, che diventa l’unica fonte di verità operativa.

Questo approccio garantisce che il fornitore non sia solo un esecutore, ma un partner operativo consapevole, capace di garantire continuità di servizio fin dal primo giorno di gestione completa.

Operational Review e Quarterly Business Review (QBR)

Operational Review e Quarterly Business Review (QBR)

Il successo della gestione IT in outsourcing per enti pubblici si basa su un dialogo continuo e strutturato, garantito da due meccanismi fondamentali: le Operational Review (revisioni operative) e i Quarterly Business Review (QBR).

Le Operational Review sono incontri operativi, solitamente mensili o bisettimanali, focalizzati sul dettaglio tecnico e sul monitoraggio dei KPI concordati nel Service Level Agreement (SLA). In queste sessioni, si analizzano gli incidenti aperti, i tempi di risoluzione, l’andamento della disponibilità dei sistemi e il rispetto degli escalation path. È il momento per allineare le risorse operative, individuare rapidamente deviazioni dal piano e attivare le procedure correttive. Per un ente pubblico, questo livello di dettaglio è cruciale per garantire la continuità dei servizi erogati ai cittadini (es. piattaforme dematerializzate, anagrafi, servizi sociali).

Il Quarterly Business Review (QBR), invece, è un incontro strategico a cadenza trimestrale che eleva il livello del confronto. Non si limita ai numeri operativi, ma analizza le tendenze, l’evoluzione del carico di lavoro e l’impatto dell’IT sui processi aziendali dell’ente. Si discute del valore conseguito, si presentano report di sintesi e si pianificano le attività per il trimestre successivo. Questo è il forum ideale per discutere eventuali Change Request, valutare nuove esigenze normative (come aggiornamenti GDPR o NIS2) e ottimizzare le risorse.

Un approccio integrato tra Operational Review e QBR permette all’ente pubblico di trasformare il rapporto con il fornitore da una semplice fornitura di servizi a una partnership strategica, garantendo trasparenza, responsabilità condivisa e un miglioramento continuo della maturità IT.

Gestione delle modifiche contrattuali (Change Management)

Il Change Management, o gestione delle modifiche, è un pilastro fondamentale del contratto di outsourcing IT per gli enti pubblici, poiché garantisce che ogni evoluzione tecnologica, normativa o organizzativa avvenga in modo controllato, trasparente e senza interruzioni di servizio. In un contesto di pubblica amministrazione, dove la stabilità e la tracciabilità sono essenziali, questo processo previene il caos e le contestazioni.

Il modello di servizio integrato prevede una procedura formale per tutte le modifiche, che può essere richiesta sia dall’ente sia dal fornitore. Il flusso tipico prevede l’inoltro di una Richiesta di Modifica (Change Request) documentata, che passa attraverso una valutazione di impatto (tecnico, economico, temporale e sulla sicurezza) da parte del Comitato di Change Management. Questo organismo misto approva, rifiuta o posticipa la richiesta.

Le modifiche sono classificate per criticità:

• Standard: modifiche pre-approvate e a basso rischio (es. patch di sicurezza), eseguibili automaticamente.
• Normali: modifiche programmate (es. upgrade di applicativo), richiedono analisi e piano di implementazione.
• Urgenti/Emergenza: necessarie per risolvere incidenti critici (es. violazione dati), con procedure accelerate ma con reportistica successiva obbligatoria.

Ogni modifica approvata genera un accordo integrativo o una nota di variazione, che modifica formalmente i SLA, i costi o le scadenze, salvaguardando la legalità dell’operazione. Documentare ogni passaggio è cruciale per la rendicontazione verso l’organo di controllo.

Per implementare processi di Change Management che siano flessibili ma robusti, in linea con le normative sulla trasparenza amministrativa, puoi contattare Culture Digitali Srl per una consulenza specifica sui tuoi contratti IT.

Gestione del Rischio e Compliance

La scelta di delegare la gestione IT a un fornitore esterno per un ente pubblico non elimina la responsabilità finale dell’ente stesso, ma la redistribuisce su un piano contrattuale ben definito. Per questo motivo, la sezione dedicata alla Gestione del Rischio e della Compliance è il pilastro su cui si regge l’intero modello di servizio e gli SLA (Service Level Agreement). Senza un framework solido in questa area, il rischio operativo, giuridico e reputazionale diventa ingestibile.

Culture Digitali Srl adotta un approccio strutturato che si articola su tre livelli: identificazione e mappatura dei rischi, definizione di misure di mitigazione contestuali e monitoraggio continuo della compliance normativa.

Identificazione dei Rischi Specifici per il Pubblico

Il primo passo consiste nell’analisi qualitativa e quantitativa dei rischi specifici associati all’ambiente IT dell’ente. Per gli enti pubblici, i rischi sono spesso amplificati dalla natura critica dei servizi erogati e dalla sensibilità dei dati trattati.

Le principali categorie di rischio considerate sono:

• Rischio Operativo: È legato alla discontinuità del servizio (downtime), alla perdita di dati o a guasti tecnici. In un contesto pubblico, anche brevi interruzioni possono bloccare servizi essenziali ai cittadini (es. accettazione pratiche, pagamento tributi).
• Rischio Sicurezza Informatica: Include attacchi esterni (cybersecurity), data breach e vulnerabilità interne. La compliance con linee guida ACN e la futura attuazione del NIS2 richiedono livelli di sicurezza elevatissimi.
• Rischio Compliance Normativa: Rischi di sanzioni o contenzioso derivanti dal mancato rispetto di normative come il GDPR (per la privacy), il Codice dell’Amministrazione Digitale (CAD) e le specifiche normative di settore.
• Rischio Reputazionale: Un guasto tecnico o una violazione dei dati in un ente pubblico genera immediatamente attenzione mediatica negativa e perdita di fiducia dei cittadini.

Modello di Servizio e SLA: Misure di Mitigazione

Una volta identificati i rischi, il modello di servizio viene costruito per mitigarli attivamente. Gli SLA non definiscono solo i tempi di risposta, ma sono il veicolo contrattuale per imporre standard di sicurezza e continuità.

• Business Continuity e Disaster Recovery (BC/DR): Il modello di servizio prevede piani di disaster recovery con RTO (Recovery Time Objective) e RPO (Recovery Point Objective) definiti in base alla criticità dell’applicativo. Per i sistemi critici, garantiamo repliche geograficamente distinte per assicurare la continuità operativa anche in caso di eventi calamitosi.
• Access Control e Identity Management: La gestione degli accessi è configurata secondo il principio del least privilege (minimo privilegio). Vengono implementati sistemi di autenticazione multifattoriale (MFA) e tracciabilità completa delle attività (audit log) per prevenire accessi non autorizzati.
• Crittografia dei Dati: Tutti i dati sensibili, sia in transito che a riposo, sono protetti attraverso protocolli di crittografia standard del settore, garantendo la riservatezza anche in caso di intercetazione o furto fisico dei supporti.
• SLA di Sicurezza: Oltre ai classici SLA di disponibilità (es. 99.9%), vengono definiti SLA specifici per la sicurezza, come il tempo massimo di identificazione e contenimento di un incidente di sicurezza (Incident Response Time) e la frequenza obbligatoria di scan delle vulnerabilità (patch management).

Monitoraggio della Compliance e Reporting

La gestione del rischio è un processo dinamico. Culture Digitali Srl implementa un sistema di monitoraggio continuo che garantisce la compliance nel tempo attraverso:

• Valutazioni Periodiche del Rischio (Risk Assessment): Eseguiamo audit semestrali per verificare l’efficacia delle misure di sicurezza e l’aggiornamento della mappa dei rischi in base all’evoluzione della minaccia informatica.
• Reporting Trasparente: Forniamo report mensili dettagliati che documentano gli eventi di sicurezza, lo stato di conformità normativa e le metriche di performance rispetto agli SLA. Questo supporta l’Ente nella rendicontazione verso gli organi di controllo (es. Corte dei Conti).
• Aggiornamento Normativo: Monitoriamo l’evoluzione del quadro normativo (es. recepimento NIS2, aggiornamenti GDPR) e proponiamo tempestivamente le necessarie revisioni del contratto e delle procedure operative per mantenere la conformità.

Questa integrazione tra modello di servizio, SLA stringenti e framework di risk management garantisce all’ente pubblico non solo efficienza tecnologica, ma soprattutto sicurezza juridica e operativa.

Rischio di fornitore unico e lock-in tecnologico

La dipendenza da un unico fornitore IT in outsourcing per un ente pubblico può generare una situazione di lock-in tecnologico, ovvero una condizione di difficoltà o impossibilità tecnica ed economica a migrare verso soluzioni alternative. Questo rischio si manifesta quando le competenze interne sono progressivamente ridotte e il patrimonio di dati e processi diventa indissolubilmente legato alle specifiche architetture e piattaforme del provider. Le conseguenze includono l’erosione della capacità contrattuale, l’aumento dei costi a lungo termine e la dipendenza da roadmap tecnologiche non sempre allineate alle esigenze dell’ente. Per mitigare il lock-in, è essenziale adottare fin dall’inizio un modello basato su standard aperti, interoperabilità e modularità dei servizi, richiedendo nel contratto la portabilità dei dati e l’apertura delle API. Culture Digitali Srl progettiamo soluzioni flessibili che preservano la vostra autonomia strategica. Contattateci per una consulenza personalizzata.

Audit e trasparenza: accesso ai dati e reportistica pubblica

Audit e trasparenza: accesso ai dati e reportistica pubblica

Per gli enti pubblici, la trasparenza non è una scelta, ma un obbligo di legge. Nell’ambito di un contratto di gestione IT in outsourcing, garantire un accesso non condizionato ai dati e una reportistica chiara è fondamentale per la responsabilità (accountability) e per la legittimità delle operazioni.

Il modello di servizio adottato da Culture Digitali Srl prevede che l’ente mantenga sempre la titolarità esclusiva dei propri dati e dei log di sistema. L’accesso ai dati deve essere garantito in qualsiasi momento attraverso strumenti di export standardizzati, senza costi nascosti o vincoli tecnici che creino “vendor lock-in”.

La reportistica pubblica deve essere integrata nel SLA (Service Level Agreement) con cadenze definite (es. mensili o trimestrali) e must essere:

• Comprensibile: formattata per essere letta da non tecnici (dashboard visive).
• Antimafia: tracciamento rigoroso di accessi, modifiche e consumi di risorse.
• Accessibile: in formato digitale e conforme alle normative sull’accesso civico.

Richiedi una consulenza per implementare un modello di servizio che rispetti le normative sulla trasparenza.

Casi Pratici e Best Practice per Enti Pubblici

Per illustrare come la gestione IT in outsourcing per enti pubblici possa tradursi in benefici concreti, analizziamo due casi studio che evidenziano l’importanza di un modello di servizio e di SLA ben definiti.

Caso 1: L’ottimizzazione dell’infrastruttura di una Provincia

Un ente provinciale medio, con circa 500 dipendenti e una rete distribuita su 15 sedi, si trovava a gestire una proliferazione di server fisici obsoleti e sistemi di backup manuali inaffidabili. La manutenzione era reattiva: si interveniva solo in caso di guasto, causando fermi imprevisti che bloccavano i servizi al cittadino (es. anagrafe, protocollo). L’obiettivo primario era garantire la continuità operativa e la sicurezza dei dati sensibili, rispettando il Regolamento Generale sulla Protezione dei Dati (GDPR) e le linee guida AgID.

La soluzione adottata è stata la migrazione verso un modello IaaS (Infrastructure as a Service) gestito. La fase di transizione ha previsto un’analisi dettagliata delle applicazioni critiche per definire il modello di servizio (ad esempio, priorità su sistemi di posta elettronica certificata vs. intranet). Sono stati definiti Service Level Agreement (SLA) stringenti:

• Disponibilità garanzia: 99.9% per i servizi critici, con penali in caso di mancato rispetto.
• Tempo di ripristino (RTO): inferiore a 4 ore per i sistemi vitali.
• Backup: snapshot giornalieri e test di disaster recovery trimestrali.

CTA Soft: Scarica la nostra checklist gratuita per valutare lo stato attuale della tua infrastruttura IT.

Il ruolo del Modello di Servizio e degli SLA

Il successo del caso sopra descritto risiede nella chiarezza del modello di servizio, che ha permesso di tradurre bisogni complessi in metriche misurabili. Non si tratta solo di “tenere i computer accesi”, ma di garantire livelli di prestazioni definiti contrattualmente.

Per un ente pubblico, gli SLA non sono semplici clausole tecniche, ma strumenti di accountability verso i cittadini e i contribuenti. Definire chiaramente i livelli di servizio permette di:

1. Trasparenza: Monitorare le performance attraverso dashboard condivise.
2. Gestione del budget: Ottimizzare i costi evitando spese impreviste per emergenze.
3. Mitigazione del rischio: Avere procedure standard per incidenti e vulnerabilità.

Un modello efficace include categorie di servizi ben definite: Help Desk (livello 1, 2 e 3), manutenzione hardware, gestione licenze software, sicurezza perimetrale e sorveglianza 24/7. Ogni categoria deve avere parametri di riferimento chiari, come il numero di chiamate gestite o i tempi medi di risoluzione (MTTR).

Caso 2: Digitalizzazione e Sicurezza per un Comune di medie dimensioni

Un comune con popolazione inferiore ai 20.000 abitanti necessitava di aggiornare i propri sistemi per offrire servizi digitali ai cittadini (pagamenti online, prenotazione appuntamenti) ma mancava delle competenze interne per gestire la sicurezza informatica, esponendosi a rischi di ransomware. La scelta è ricaduta su un fornitore specializzato in outsourcing IT per il pubblico, con un contratto di Managed Services che copriva:

• Configurazione e gestione del firewall di nuova generazione (Next-Gen Firewall).
• Deployment di una soluzione di Endpoint Detection and Response (EDR) su tutti i dispositivi.
• Formazione semestrale del personale sulle minacce informatiche (phishing, social engineering).
• SLA di disponibilità del sistema di posta elettronica: 99.95%.

Grazie a questo approccio, il Comune ha ridotto il tasso di incidenti di sicurezza del 70% nel primo anno e ha migliorato il punteggio di maturità cyber (valutato tramite Maturity Level Assessment AgID), passando da un livello base a intermedio.

CTA Mid:

Pensi che la tua amministrazione sia vulnerabile? Scopri il tuo livello di maturità digitale con il nostro mini-assessment rapido (10 domande).

Best Practice Fondamentali per la Riuscita del Progetto

Basandoci sui casi studio e sull’esperienza sul campo, ecco le best practice irrinunciabili per chiunque valuti una gestione IT in outsourcing per enti pubblici:

1. Analisi Pre-Implementazione (Assessment): Prima di firmare qualsiasi contratto, è essenziale una valutazione approfondita del patrimonio ICT esistente. Mappare server, applicazioni, licenze e dipendenze è il primo passo per definire un modello di servizio realistico.
2. Definizione del Scope e della Governance: Delimitare chiaramente cosa è incluso e cosa no nel contratto (es. “cavistica” o hardware di proprietà del fornitore). Stabilire un comitato di progetto misto (ente + fornitore) per le revisioni mensili è cruciale per la governance.
3. SLA Dinamici ed Evolutivi: Gli SLA non devono essere statici. Devono prevedere revisioni semestrali per adattarsi ai cambiamenti normativi (es. nuovo Codice dell’Amministrazione Digitale) o alla crescita dell’ente.
4. Formazione Continua: L’outsourcing non esonera il personale interno dalla responsabilità dell’uso corretto dei sistemi. I piani di servizio devono includere sessioni di awareness periodiche.
5. Exit Strategy e Portabilità dei Dati: È fondamentale includere clausole che garantiscano la proprietà e la restituzione dei dati in formato aperto alla scadenza del contratto, evitando lock-in tecnologici.

Errori Comuni da Evitare

Molte amministrazioni cadono in trappole evitabili. Il primo errore è selezionare il fornitore esclusivamente in base al prezzo più basso, trascurando la qualità del servizio e la solidità tecnica (spesso porta a costi nascosti e disservizi). Il secondo errore è la mancanza di una figura di riferimento interna (il “Product Owner”) che funga da interfaccia unica con il fornitore, generando dispersione di informazioni. Infine, trascurare la fase di transizione: migrare i sistemi senza un piano dettagliato e senza test di carico pre-migrazione è una ricetta per il disastro.

Come Valutare il Modello di Servizio Migliore?

Il modello ideale varia in base alla tipologia dell’ente. Le amministrazioni centrali potrebbero necessitare di un modello “IaaS” (Infrastructure as a Service) con forte enfasi sulla sicurezza e conformità, mentre i piccoli comuni potrebbero beneficiare maggiormente di un modello “Managed Desktop” o “SaaS” (Software as a Service) che riduca la complessità tecnica interna. L’importante è che il modello scelto sia scalabile e modulari, permettendo di aggiungere o rimuovere servizi senza stravolgere l’architettura.

CTA Hard:

Sei pronto a trasformare l’IT della tua amministrazione? Richiedi un incontro con i nostri esperti per una valutazione personalizzata del modello di servizio e degli SLA più adatti al tuo ente.

Conclusioni

La gestione IT in outsourcing per enti pubblici, se pianificata con cura e basata su un modello di servizio solido con SLA definiti e monitorati, non è solo un risparmio di costi, ma un investimento strategico. Garantisce maggiore sicurezza, continuità dei servizi al cittadino e una maggiore capacità di adattamento alle innovazioni tecnologiche, allineandosi agli obiettivi di trasformazione digitale imposti dalla normativa vigente.

Scenario A: Outsourcing di infrastruttura (Data Center e Cloud)

Scenario A: Outsourcing di infrastruttura (Data Center e Cloud)

Nello scenario più comune per gli enti pubblici, si affida a un partner esterno la gestione completa dell’infrastruttura tecnologica. Questo modello copre sia il Data Center tradizionale (on-premise) che le soluzioni Cloud pubbliche o private (IaaS – Infrastructure as a Service).

Il servizio include la fornitura e la manutenzione dei server, delle reti, dei sistemi di storage e delle piattaforme virtualizzate. L’ente mantiene la proprietà dei dati e del software applicativo, mentre il fornitore garantisce la disponibilità dell’ambiente tecnologico, la sicurezza perimetrale e il backup.

Gli SLA (Service Level Agreement) critici in questo scenario si concentrano su:

• Disponibilità dell’infrastruttura: Garanzia di accesso ai servizi (es. 99,9% su base annua).
• Tempo di risposta ai guasti (RTO): Tempo massimo per il ripristino delle funzionalità critiche in caso di disservizio.
• Performance: Soglie minime di latenza e velocità di risposta dei sistemi.
• Manutenzione: Finestre di intervento concordate per evitare interruzioni durante l’orario lavorativo.

Questo modello è ideale per enti che necessitano di scalabilità senza investimenti ingenti iniziali, ma richiede una definizione rigorosa dei livelli di servizio per evitare costi nascosti.

Scenario B: Outsourcing applicativo e manutenzione software

Scenario B: Outsourcing applicativo e manutenzione software

Questo scenario è ideale per enti pubblici con un parco applicativo complesso e diversificato. Invece di gestire internamente il ciclo di vita dei software, si affida a un partner specializzato che si assume la responsabilità di mantenere operative, sicure e aggiornate le applicazioni critiche.

Il modello di servizio in questo caso si basa su tre pilastri fondamentali: la manutenzione correttiva (interventi rapidi per risolvere guasti), la manutenzione evolutiva (aggiornamenti funzionali) e la gestione dei parchi applicativi (monitoraggio, backup e aggiornamenti di sicurezza). SLA chiari definiscono, per ogni applicazione, i tempi di intervento garantiti (es. Mean Time To Resolution), i livelli di disponibilità (es. 99.9%) e le finestre di manutenzione pianificata per minimizzare l’impatto sugli utenti finali e i dipendenti.

Elaborazione pratica di uno step operativo: L’ente riceve una segnalazione di malfunzionamento. Il ticket viene inoltrato al partner, che lo classifica per criticità e applicazione coinvolta. L’SLA vincola il tempo di risposta (es. 1 ora per criticità alta) e la risoluzione. Se si tratta di un bug, il fornitore applica una patch e la valida nell’ambiente di test prima del rilascio in produzione, documentando l’intervento nel Change Log richiesto dalla normativa di security.

Per gestire questa complessità, è fondamentale dotarsi di un Catalogo Servizi IT e di strumenti di ticketing condivisi. In questo modo, l’ente mantiene la visibilità totale sull’andamento della prestazione, evita il vendor lock-in grazie a una definizione rigorosa delle Deliverables, e trasforma un costo imprevedibile (dipendenti interni con competenze specifiche) in un costo operativo e prevedibile.

CTA Mid: La gestione applicativa richiede una pianificazione precisa. Richiedi una call di 15 minuti per definire gli SLA necessari al tuo ente.

Conclusioni e Prospettive Future

Domande Frequenti (FAQ)

Qual è la differenza principale tra SLA e KPI?

Gli SLA (Service Level Agreement) sono accordi contrattuali che definiscono i livelli di servizio attesi tra il fornitore e il cliente (es. 99,9% di disponibilità). I KPI (Key Performance Indicator) sono metriche quantitative utilizzate per misurare la performance generale, che possono includere aspetti non strettamente vincolanti contrattualmente ma utili per il miglioramento continuo (es. numero di ticket gestiti per dipendente).

Un ente pubblico può ricorrere all’outsourcing IT senza gara?

Generalmente no, secondo il Codice degli Appalti. Tuttavia, esistono deroghe per servizi sotto determinate soglie di importo o per contratti sotto-soglia basati su procedure negoziate senza bando. Inoltre, la gestione diretta è possibile solo se l’ente possiede le competenze necessarie in house, altrimenti è necessaria una gara pubblica.

Come si calcola l’indennità di disponibilità nei contratti IT?

L’indennità di disponibilità (o canone) copre i costi fissi del fornitore (personale dedicato, licenze, infrastrutture). Si calcola solitamente moltiplicando il costo unitario per il numero di unità di misura (es. numero di postazioni utente, volumi di dati, o slot di licenza) concordato nel contratto. Deve essere verificabile e rinnovabile periodicamente.

Cosa succede se gli SLA non vengono rispettati?

Il mancato rispetto degli SLA attiva meccanismi contrattuali predefiniti: penalità economiche (sconto sul canone), crediti di servizio (ore extra gratuite) o, in casi gravi e reiterati, la risoluzione del contratto a carico del fornitore. È fondamentale che questi meccanismi siano bilanciati per non disincentivare il fornitore.

L’outsourcing IT copre anche la sicurezza cibernetica?

Sì, spesso è inclusa nei modelli di servizio, ma la responsabilità finale rimane dell’ente pubblico (la PA è il Titolare del trattamento secondo il GDPR). È necessario definire chiaramente nei contratti chi gestisce le policy, le patch di sicurezza e la gestione degli incidenti di sicurezza.

Contattaci

contattaci per saperne di più