Самая опасная фраза, которую может услышать собственник от своего ИТ-отдела: «Работает — не трогай».

«Работает» — не значит «работает эффективно». В нашей практике были ситуации, когда компания с выручкой сотни миллионов рублей строла сеть на бытовых роутерах, которыми к тому же управлял провайдер. Пока в офисе сидело 15 человек, канала хватало. Когда бизнес вырос до 100 сотрудников и попытался внедрить IP-телефонию, сеть просто легла.

Другой частый сценарий — попытка внедрить систему электронного документооборота (ЭДО) или новую CRM на старой инфраструктуре. Бизнес платит за лицензии, нанимает интегратора, но проект встает намертво. Почему? Потому что рабочие станции сотрудников не тянут новое ПО, корпоративный антивирус блокирует трафик, а нужных интеграций с 1С просто нет.

Технический долг копится незаметно. Собственник видит только вершину айсберга — тормозящую почту или падение 1С раз в неделю. А под водой скрываются дублирующие друг друга сервисы, за каждый из которых платят отдельно, отсутствующие или просроченные лицензии антивирусной защиты. И инфраструктура, которая рухнет при попытке масштабирования.

После таких историй легко подумать: «Ну это у них так, у нас все не идеально, но в целом нормально». Проблема в том, что «нормально» по ощущениям и по фактам — две разные реальности.

По свежему исследованию центра инфраструктурных решений «Инфосистемы Джет» в 2025 году:

• только у 47% компаний есть актуальная ИТ‑стратегия, остальные по сути действуют «по наитию», без четкого плана, как будет поддерживаться и развиваться инфраструктура при масштабировании бизнеса;

• четверть компаний не соблюдают базовое правило резервного копирования 3‑2‑1 (три копии, два типа носителей, одна копия вне офиса или ЦОД), а 26% даже не делают тестовые восстановления.

На уровне ощущений у всех «все работает». На уровне цифр половина рынка живет без внятного плана и без нормального резервирования и надеется при этом, что именно к ним шифровальщик не проникнет или крупная авария на оборудовании не случится.

Чек‑лист для владельца: если у вас совпадает хотя бы два пункта, аудит нужен не «когда‑нибудь», а в ближайшие месяцы:

• Вы не знаете точное количество серверов и критичных сервисов.

• Один администратор или подрядчик «держит все в голове».

• Вы ни разу не пробовали восстановиться из резервной копии.

• 1С или CRM падают раз в неделю, а восстановление занимает часы.

• Вы платите за несколько облачных сервисов с пересекающимся функционалом.

Есть несколько типичных сценариев, с которыми мы регулярно сталкиваемся в проектах ALP ITSM.

Эти истории показывают: в разных отраслях картинка «на уровне ощущений все работает» часто скрывает серьезные риски — и именно аудит дает дорожную карту, как перевести ИТ из режима «как‑то живем» в управляемую систему.

Есть ситуации, когда аудит из рекомендации превращается в обязательный нулевой этап. Без него любые инвестиции в ИТ сгорят.

1. Смена ИТ-подрядчика или уход ключевого инженера. Новый подрядчик всегда работает вслепую, если нет актуальной схемы сети и списка доступов. Аудит фиксирует, в каком состоянии вы передаете ИТ-хозяйство новым рукам, и защищает компанию от шантажа старых сотрудников (отдам пароли только за деньги или заблокирую/уничтожу информацию, если не заплатите).

2. Масштабирование бизнеса. Вы открываете новые филиалы, запускаете франшизу или переходите на круглосуточную работу складов. Инфраструктура, собранная «на коленке», такую нагрузку не выдержит.

3. Регулярные мелкие сбои. Если 1С падает раз в неделю, а база данных восстанавливается по три часа — проблема не в «магнитных бурях». Это сигнал о том, что инфраструктура работает на пределе.

4. Переход на российское ПО (импортозамещение). К 2026 году требования регуляторов коснулись не только госсектора, но и коммерческих компаний, работающих с персональными данными или объектами КИИ (критической информационной инфраструктуры). Перенести системы без карты зависимостей невозможно.

5. Когда «все нормально». Парадоксально, но самый выгодный момент для аудита — когда ничего еще не горит. В этот момент можно спокойно выявить риски, спланировать замену составляющих и миграции без авралов и ночных работ.

Собственник не обязан разбираться в SQL, виртуализации и Active Directory. Аудит переводит техническую картину на язык денег и рисков.

В истории производственной компании по результатам аудита сформировали конкретный план: настройку централизованной системы обновлений и антивирусной защиты, внедрение дополнительного гипервизора с репликацией, перераспределение и расширение дисковых ресурсов, настройку регулярного резервного копирования по схеме 3-2-1 и регулярного тестирования восстановления.

К 2026 году аудит ИТ перестал быть просто поиском способов сэкономить. Он стал инструментом выживания в условиях жесткой регуляторики.

Организации, подпадающие под закон о критической информационной инфраструктуре, обязаны перейти на отечественные решения и обеспечить устойчивость своих систем. Если компания не провела инвентаризацию и не составила план миграции, она рискует получить «зоопарк» несовместимых систем, рост затрат и остановку ключевых процессов при попытке перейти на новое ПО.

Параллельно растут риски вокруг персональных данных. Штрафы за утечки измеряются миллионами рублей, и для малого бизнеса даже одна серьезная санкция может стать критичной. Аудит помогает заранее закрыть очевидные дыры: права доступа, хранение бэкапов, открытые порты, отсутствие шифрования.

Импортозамещение в ИТ в 2026 году — это уже не эксперимент, а жесткая реальность. Начинать его без аудита ИТ-стека и выявления критичных зависимостей от иностранного ПО — значит гарантированно остановить бизнес на этапе миграции.

Многое становится понятнее, если избавиться от общих слов и взять в руки калькулятор.

В стоимость одного ИТ‑инцидента обычно включает несколько групп потерь.

1. Прямые потери выручки.
   Все продажи и операции, которые не состоялись, пока система лежала: неоформленные заказы, неоплаченные счета, простаивающие кассы, сорванные отгрузки. Считают как «средняя выручка в час/минуту × время простоя».

2. Простой команды.
   Зарплата сотрудников, которые в это время не могут работать из‑за недоступности систем: офис, склад, кол‑центр, бухгалтерия, производство. Обычно считают как «средняя ставка в час × количество людей × часы простоя».

3. Затраты на восстановление ИТ.
   Время ИТ‑команды и подрядчиков на поиск причины, восстановление сервисов, откат из бэкапов, проверку данных и доработки, которые пришлось сделать в авральном режиме. Это человеко‑часы инженеров по их ставке (часто с повышающим коэффициентом за ночь/выходные).

4. Репутационные и отложенные потери.
   Штрафы от клиентов и партнеров, уход части заказов к конкурентам, ухудшение условий договоров, негатив в соцсетях. В расчетах их часто оценивают как процент от прямых потерь выручки или через консервативную оценку потерянных клиентов.

Если описывать формально, модель выглядит так:
итог за инцидент = прямые потери выручки + простой команды + восстановление ИТ + репутационные/отложенные потери.

По рыночным данным, средняя стоимость одного значимого ИТ-инцидента для российской компании составляет около 2 млн рублей. Для шифровальщика с требованием выкупа — от 240 тыс. до 4 млн рублей только для СМБ-сегмента.

На фоне этих цифр стоимость планового аудита в «сотни тысяч рублей» перестает выглядеть затратой и превращается в страховку: вы платите за то, чтобы понимать состояние инфраструктуры и устранять риски до того, как они произойдут.

Важно, что под «ИТ-аудитом» не всегда подразумевается огромный комплексный проект на месяцы работы. Есть различные форматы, которые подходят и малым, и средним компаниям.

• Обследование (экспресс-аудит или ИТ-чекап): быстрый сбор фактуры, чтобы просто понять, что у вас есть и в каком состоянии.

• Технический аудит: проверка железа, виртуализации, сетей и баз данных с выявлением узких мест.

• Аудит по критерию: фокус на одном вопросе — например, производительность или безопасность.

• Комплексный аудит: когда нужно честно ответить, насколько ИТ вообще соответствует целям бизнеса.

Это снижает страх «мы не потянем аудит»: начать можно с малого, с понятного и ограниченного по объему формата.

Детально о различиях ИТ-чекапа, аудита и консалтинга мы рассказали в статье.

Частый страх собственника: придут айтишники, все сломают, всех отвлекут и будут месяц ковыряться в серверах. В реальности базовый ИТ‑аудит в среднем бизнесе занимает примерно 2–4 недели и идет фоном: компания работает как обычно, максимум — пару раз попросят доступ или комментарий.

По шагам это выглядит так:

• Сначала — разобраться, что у вас вообще есть. Команда собирает карту инфраструктуры: сервера, сети, облака, сервисы, кому что выдано из доступов. Часто на этом этапе всплывают «забытые» виртуалки, тестовые сервера и платные подписки, про которые давно никто не помнит.

• Потом — понять, как все это скручено между собой. Смотрят архитектуру: что на чем завязано, где нет резервирования, как ходят данные между 1С, CRM, складами, сайтами. На этом шаге обычно видно, почему любое обновление 1С превращается в квест на выходные.

• Дальше — безопасность без страшилок. Проверяют, у кого какие права, какие учетки зависли после увольнения, как настроен антивирус и файрвол, что открыто наружу. Почти в каждом проекте находится хотя бы один «универсальный» админский логин, которым пользуются все — и который никто не менял годами.

• Параллельно — здравый смысл по производительности. Смотрят, какие сервера и базы работают на пределе, где диск забит «под завязку», где виртуалка тащит на себе полкомпании. Это тот самый момент, когда становится понятно, выдержит ли инфраструктура рост бизнеса, или «оно и так еле дышит».

• В финале — не отчет «на полку», а план. Вам не выкатывают 100 страниц логов. Вы получаете короткий управленческий документ: что горит прямо сейчас, что нужно заложить в бюджет на ближайший квартал, а что можно не трогать. Плюс — оценки по деньгам и срокам, чтобы можно было принимать решения, а не просто «знать, что все плохо».

Так аудит перестает быть «черным ящиком» и превращается в понятный процесс: за месяц вы из состояния «мы примерно представляем, что у нас там в ИТ» переходите к конкретной картине с рисками, цифрами и планом действий.

Хороший аудит не заканчивается 100-страничным техническим отчетом, который никто не будет читать. Руководитель получает управленческие инструменты:

Прозрачную карту ИТ-ландшафта. Понятную визуальную схему: какие серверы где стоят, за что отвечают, сколько стоят и на кого завязаны.

Матрицу критических рисков. «Светофор» проблем: красная зона (исправить завтра, иначе встанут продажи), желтая зона (заложить бюджет на квартал), зеленая зона (не трогать, работает стабильно).

К этому добавляются рекомендации по архитектуре, безопасности, резервному копированию и плану развития инфраструктуры на горизонте 1–3 лет.

Стоимость планового аудита — сотни тысяч рублей. Один день простоя для компании с оборотом 100 млн рублей тоже может стоить сотни тысяч рублей.

ИТ-аудит — это не вотум недоверия к администратору. Это проверка управляемости всей системы, во главе которой не администратор, а генеральный директор. Аудит показывает, где вы действительно рискуете бизнесом, а где просто переплачиваете. И дает опору для решений: что менять, когда и за какие деньги.

Если ваша ИТ-инфраструктура «росла сама», а ИТ-расходы увеличиваются быстрее выручки, начните с короткого ИТ-чекапа. Это дешевле и безопаснее, чем героически восстанавливать базы 1С после сбоя или остановки серверов в разгар сезона.

Если тема откликается и хочется больше практики, на «Клерк» мы уже разбирали как планировать переезд в облако и как собрать «цифровую аптечку» для бизнеса (план DRP).

Подписывайтесь на наш блог в Клерк и на наш Telegram-канал. Мы пишем о том, как бизнесу не терять деньги на ИТ-инфраструктуре.

Реклама: ООО «КТ-АЛП», ИНН 7703402450, erid: 2W5zFHdEo29