簡短回答： 先外判可重複、可量度的工作（服務台、設備支援、修補、監察、備份檢查），把決策和業務知識留在內部。簽約前，把範圍、服務水平、訪問權限、數據擁有權和退出條款寫進合約。退出方案要在第一天就寫好，因為關係剛開始時最容易談。
本文寫給正在決定把多少 IT 交給外部服務商的企業主和 IT 負責人。讀完後，你會得到一份建議的外判次序、一份合約條款清單，以及一份可以附在合約後的退出方案清單。
IT 外判應該按甚麼次序進行？
下面的次序，由最容易寫清楚、最容易量度的工作，排到最難的。這是建議，不是規則。如果公司完全沒有 IT 人員，頭四步可以一起做。
- 服務台與終端用戶支援。工單、密碼重設、新同事開通、設備故障。數量大、容易量度。見 服務台外判指南。
- 修補與設備管理。操作系統和應用更新、設備配置與合規報告。每月週期固定。見 亞太地區的修補管理合規。
- 監察與警報處理。服務器、網絡設備、網絡線路、備份任務。定義誰在何時收到哪類警報。
- 備份運作與還原測試。服務商運行任務並按計劃測試還原。見 管理型備份服務與備份軟件。復原目標由你來定，見 RTO 與 RPO。
- Microsoft 365 與身份管理。用戶生命週期、授權、MFA、條件式訪問、郵箱和 Teams 設定。需要嚴格的訪問控制。
- 網絡與硬件維護。交換器、防火牆、Wi-Fi、供應商保養和固件工作。
- 保安營運。終端防護、電郵保安、漏洞掃描、日誌審查。
- 規劃與顧問。路線圖、預算、供應商選擇、風險登記冊。見 vCIO 服務。
即使其餘全部外判，下列事項也應留在內部：
- 業務決策：買哪些系統、接受多大風險、誰可以獲得訪問權。
- 變更審批：涉及資金、客戶數據或受監管流程的變更。
- 業務應用的知識：服務商支援平台，流程由你的團隊負責。
- 帳戶擁有權：全局管理員角色、域名註冊商登入、雲端訂閱擁有權和授權協議應由你持有。
怎樣判斷哪些該外判？
把每項 IT 工作過一遍這幾個問題：
- 可重複嗎？可重複的工作適合服務商的工具和操作手冊。
- 能量度嗎？寫不出目標，就無法執行約束。
- 需要你的業務判斷嗎？需要的話，決策留下，執行外判。
- 出錯會怎樣？影響越大，越需要書面控制措施和審計權。
- 技能罕有或只需兼職嗎？罕有技能共用比自聘便宜。
IT 外判合約應包含哪些條款？
最終文本請律師審閱。以下是需要涵蓋的主題清單，不是法律意見。
- 服務範圍：列明系統、辦公地點、用戶和任務，另加明確的不包含清單。
- 服務時段與渠道：用戶何時、如何聯絡服務商。
- 服務水平：按優先級的回應與解決目標、量度方式、反覆未達標的補救措施。見 SLA 是甚麼和 SLA 與 OLA。
- 角色與升級：雙方的指定聯絡人，以及附時限的升級路徑。
- 費用及觸發額外收費的情況：包含甚麼，項目、非辦公時間工作、上門如何收費，用戶數目變動如何處理。價格要對應公開價目表，不要依賴口頭報價。
- 期限、續約與通知：首期期限、自動續約規則、雙方的通知期。
- 訪問與憑據：誰持有管理員帳戶，特權訪問如何授予並留下記錄，如何收回。
- 數據擁有權與所在地：數據始終屬於你；寫明存放和處理的地點，包括備份。
- 保密與數據保障：服務商及其員工、分包商的責任，以及洩露通知時限。
- 分包商：是否容許，以及你有權知道分包商是誰。
- 保安責任：服務商自身接觸你環境的系統所需的最低控制，例如 MFA、設備加密、員工背景審查。
- 變更控制：哪些變更服務商可自行進行，哪些需你批准。
- 報告與檢討：每月報告內容、每季檢討會議。
- 業務持續：服務商自己的服務出現故障時怎麼辦。
- 責任與保險：責任上限、除外情況、服務商持有的保障。要求提供原文並請人核對。
- 文件：服務商保持你的網絡、配置和操作手冊文件更新，並按要求移交。
- 終止權與退出協助：見下面的退出方案。
退出方案應包含甚麼？
作為附表附在合約後。
- 退出觸發清單：便利終止、違約終止、期滿。
- 交接期：固定日數，服務商繼續運行服務，同時接手團隊接管。
- 數據交還：工單紀錄、知識庫、資產清單、配置備份和文件，以可讀格式，在約定時間內交付。
- 管理員權限移交：服務商持有的每個帳戶和角色的清單，以及每項收回、更換密碼的日期。
- 授權與訂閱轉移：Microsoft 365、保安、備份和域名訂閱由誰持有，如何轉給你或下一任服務商。
- 服務商工具移除：從你的設備上移除代理程序、遙距訪問軟件和監察探針，並書面確認。
- 知識講解：為接手團隊提供約定時數的講解。
- 退出協助的費用：預先寫明，不要事後再談。
- 退出後的保密：刪除或交還你的數據，並出具刪除證明。
- 紙上演練：每年檢查一次，上面各項你是否仍能找到。
常見錯誤
- 把一團亂麻外判出去。先記錄現況，否則服務商頭幾個月都在摸清你有甚麼。
- 沒有掌握管理員帳戶。如果服務商以自己的名義建立租戶，日後遷移很痛苦。
- 買了含糊的範圍（「所有 IT 支援」），第一個項目就開始爭議。
- 寫了 SLA 卻沒有量度方式。
- 因為覺得不友善就略過退出方案。
- 連決策一起外判。風險和開支的審批要留給你這邊的指定負責人。
如何驗證已經做好
- 90 天後，把每月報告與合約的服務水平對照。
- 統計重複工單和升級數量；隨著知識庫增長應當下降。
- 確認你能以書面方式看到每個管理員角色由誰持有。
- 問內部同事省下了多少時間，現在用在甚麼事上。
- 每年檢視一次退出附表。
選擇服務商本身，可使用 MSP 選型評分表和 如何選擇管理型IT外判服務商（香港）。
常見問題
IT 外判服務包括甚麼？
指由外部服務商按合約營運的 IT 工作，例如服務台、設備與網絡支援、備份、監察和保安。
IT 外判的流程是甚麼？
常見次序：列出任務並衡量目前投入，選擇要外判的部分，篩選服務商，試行，簽訂含服務水平和退出條款的合約，移交文件和權限，在 30 天和 90 天後檢討。
IT 外判有哪些例子？
例如外判服務台、遙距管理的修補與監察、附還原測試的管理型備份、Microsoft 365 管理。每一項都是可描述、可量度的任務。
甚麼是 IT 外判公司？
IT 外判公司是按合約為其他企業營運 IT 工作的服務商，例如管理型IT外判服務商。請按書面範圍、服務水平和退出條款來比較，可使用 MSP 選型評分表。
想了解完整的管理型安排如何構成，請閱讀我們的 管理型IT外判服務。
博迅公開了管理型IT外判服務方案在香港、新加坡、中國大陸和美國的按用戶月費，你可以在聯絡任何人之前先行比較：查看方案與收費。
