W wielu firmach system ERP lub księgowy, czy to Comarch ERP Optima, Symfonia, Business Central, czy inny pakiet, nadal działa na serwerze w kącie biura albo, jeszcze częściej, na komputerze głównej księgowej, z którym łączą się wszyscy inni. Działa, dopóki nie przestanie. Problemy zaczynają się, gdy ludzie muszą pracować z domu, gdy komputer psuje się w dniu zamknięcia miesiąca albo gdy audytor pyta, gdzie są kopie zapasowe i kto je testował.
Przeniesienie do chmury rozwiązuje te problemy, ale tylko wtedy, gdy zrobi się to z namysłem. Księgowość to nie strona internetowa: znajdują się w niej finanse firmy, dane pracowników i umowy z klientami. Źle wybrany dostawca lub niezdefiniowane obowiązki oznaczają, że problemy po prostu przenoszą się gdzie indziej, razem z mniejszą kontrolą.
Poniżej siedem pytań, które zalecamy zadać każdemu dostawcy oferującemu hosting Twojego systemu ERP lub księgowego w chmurze. Warto uzyskać odpowiedzi na piśmie.
1. Gdzie fizycznie przechowywane są moje dane księgowe?
Pierwsze i najważniejsze pytanie. „W chmurze” to nie odpowiedź: chmura to czyjś serwer w konkretnym budynku w konkretnym kraju. Musisz znać kraj, operatora centrum danych i wiedzieć, czy dane mogą zostać przeniesione do innego kraju bez Twojej zgody.
W przypadku danych księgowych ma to znaczenie z kilku powodów: przepisy księgowe i podatkowe w większości krajów wymagają, by ewidencja pozostawała dostępna dla urzędu skarbowego przez lata, RODO ogranicza przekazywanie danych osobowych poza UE, a firmy z niektórych sektorów (finanse, energetyka, zdrowie) podlegają dodatkowym wymogom wynikającym z DORA i NIS2.
W naszym hostingu ERP dane podstawowe są przechowywane w centrum danych na Litwie (UE). Oznacza to niskie opóźnienia dla Twoich księgowych i jasną odpowiedź dla audytora.
2. Jak tworzone są kopie zapasowe i gdzie są przechowywane?
Drugie pytanie ma trzy części: jak często, jak długo są przechowywane i gdzie. Prawidłowa odpowiedź obejmuje więcej niż jedną lokalizację. Kopia na tym samym serwerze nie jest kopią zapasową. Kopia w tym samym centrum danych chroni przed awarią serwera, ale nie przed pożarem ani długotrwałą awarią zasilania.
W naszym hostingu ERP kopie zapasowe są tworzone codziennie i przechowywane w dwóch miejscach: w naszym centrum danych na Litwie oraz w centrum danych Amazon (AWS) w Niemczech. Druga kopia znajduje się w innym kraju, ale nadal w Unii Europejskiej, więc zgodnie z RODO nie jest to przekazanie do państwa trzeciego. Zapytaj też, czy kopie są chronione przed usunięciem z samego serwera: ransomware najpierw próbuje zniszczyć kopie zapasowe, a dopiero potem szyfruje dane.
I jeszcze jedno: kiedy dostawca ostatnio faktycznie odtworzył bazę danych Twojego ERP z kopii zapasowej? Jeśli odpowiedź jest niejasna, testowanie kopii zapasowych powinno zostać zapisane w umowie.
3. Jak chroniony jest dostęp do systemu?
Gdy księgowość jest w chmurze, można się do niej dostać z dowolnego miejsca. To jednocześnie wygoda i ryzyko. Samo hasło, choćby złożone, nie wystarcza: hasła wyciekają, są zgadywane i wyłudzane.
Minimalny standard, jaki sami stosujemy: tunel VPN do serwera i uwierzytelnianie dwuskładnikowe (2FA) przy każdym logowaniu. W naszym hostingu ERP oba są wliczone bez dodatkowej opłaty, a nie oferowane jako usługa dodatkowa. Sprawdź też, czy logowania są rejestrowane, czy dostęp odchodzącego pracownika można wyłączyć w minutę oraz, w przypadku biura rachunkowego, czy dane klientów można od siebie oddzielić.
4. Kto aktualizuje ERP i serwer, na którym działa?
Producenci ERP regularnie wydają aktualizacje, a część z nich wiąże się ze zmianami w formularzach podatkowych i sprawozdawczych, których nie można pominąć. Ktoś musi odpowiadać za ich instalację: dostawca, Twój partner wdrożeniowy ERP albo Ty. Musi to być jasno zapisane.
Osobna kwestia to serwer, na którym działa ERP. Aktualizacje bezpieczeństwa systemu operacyjnego, konserwacja bazy danych i ochrona przed złośliwym oprogramowaniem są częścią zarządzanego serwera. Nasze serwery działają z Bitdefender GravityZone, zarządzanym centralnie, a aktualizacje instalujemy poza godzinami pracy po wykonaniu migawki. Jeśli coś pójdzie nie tak, wracamy do poprzedniego stanu w ciągu kilku minut.
Poproś o tabelę odpowiedzialności, w której każda czynność jest przypisana do jednej strony. Opisaliśmy, jak ona wygląda, w naszym artykule o zarządzanych serwerach.
5. Jaki jest poziom usług i co się dzieje, gdy coś się zepsuje?
W księgowości przestój ma wyraźny koszt: niewystawione faktury, niewykonane płatności, deklaracje podatkowe złożone po terminie. SLA powinno odpowiadać na trzy pytania: jak szybko dostawca zaczyna reagować, jak szybko usługa jest przywracana i ile danych można stracić w najgorszym przypadku.
Rozdziel czas reakcji od czasu rozwiązania i sprawdź, czy SLA obowiązuje na koniec miesiąca i przed terminami składania deklaracji, gdy księgowość jest potrzebna najbardziej. Nasz helpdesk reaguje od 30 minut, a pełny opis poziomu usług publikujemy, abyś mógł porównać przed rozmową z nami.
6. Jak przebiegnie migracja i czy będzie przestój?
Dobrze zaplanowana migracja ERP odbywa się bez utraty dnia roboczego. Typowy proces w naszej praktyce:
- Audyt istniejącego systemu: wersja, rozmiar bazy danych, integracje (banki, KSeF, sprzęt magazynowy, terminale sprzedaży), liczba użytkowników.
- Przygotowanie serwera w chmurze i przeniesienie pełnej kopii. Użytkownicy w tym czasie pracują jak zwykle.
- Próbne logowania z kilku stanowisk i sprawdzenie integracji w środowisku testowym.
- Ostateczne przełączenie wieczorem lub w weekend: przenoszona jest tylko różnica od pierwszej kopii, co zajmuje godziny, a nie dni.
- Pierwszy dzień roboczy z inżynierem w gotowości.
Zapytaj dostawcę, ile migracji przeprowadził, jak poradzi sobie z integracjami i co zrobi, jeśli po przełączeniu pojawi się problem. Właściwa odpowiedź na ostatnie pytanie brzmi: „wracamy na stary serwer, który pozostaje nietknięty przez co najmniej kolejny miesiąc”.
7. Jak wrócić lub przejść do innego dostawcy?
Pytanie rzadko zadawane, ale odróżniające rzetelnego dostawcę od pułapki. Twoje dane księgowe należą do Ciebie. Musisz mieć możliwość otrzymania w dowolnym momencie pełnej bazy danych ERP i obrazu serwera, w formacie, który da się uruchomić gdzie indziej, w określonym czasie i bez opłaty za wyjście.
Sprawdź w umowie: termin zwrotu danych, format, jak długo dostawca przechowuje dane po zakończeniu umowy i jak potwierdza ich zniszczenie. Swoją drogą jest to także wymóg ISO 27001 i DORA: firma musi mieć strategię wyjścia od każdego krytycznego dostawcy usług.
Wymogi zgodności dla księgowości
Jeśli Twoja firma podlega DORA (sektor finansowy i jego dostawcy IT) lub NIS2 (energetyka, transport, zdrowie, infrastruktura cyfrowa i inne ważne sektory), system księgowy jest systemem krytycznym, a jego dostawca to strona trzecia, którą musisz ocenić i udokumentować. Oznacza to, że odpowiedzi na powyższe siedem pytań muszą znaleźć się nie w rozmowie, lecz w umowie i jej załącznikach.
Pracujemy zgodnie z wymogami ISO 27001 i przygotowujemy nasze usługi tak, aby można je było przedstawić podczas audytu DORA lub NIS2: z macierzą odpowiedzialności, SLA oraz dokumentacją kopii zapasowych i dostępu.
Od czego zacząć
- Spisz, kto dziś łączy się z Twoim ERP, skąd, i jakie integracje działają. To będzie podstawa migracji.
- Sprawdź, kiedy ostatnio ktoś odtwarzał dane ERP z kopii zapasowej. Jeśli nie pamiętasz, zrób to w tym tygodniu, przed migracją.
- Wyślij siedem pytań dostawcom i poproś o odpowiedzi na piśmie.
- Zaplanuj migrację z dala od zamknięcia miesiąca i terminów składania deklaracji.
- Jeśli chcesz zobaczyć, jak odpowiadamy na te pytania, zacznij od opisu hostingu ERP lub skontaktuj się z nami, a przygotujemy plan migracji na podstawie Twojego obecnego systemu.
