Quattro fasi, e per ognuna una cosa che vi resta in mano.
La consulenza è immateriale, e per questo è difficile da comprare. Qui sotto non trovate quello che faccio: trovate quello che vi consegno. Un "assessment" non si compra. Un inventario degli asset critici in tre settimane si compra.
1 · Assessment — due o tre settimane
Alla fine di questa fase avete in mano tre documenti:
- L'inventario degli asset critici. Che cosa, se si ferma, ferma l'azienda. Non l'elenco dei computer: l'elenco di ciò che non può stare fermo.
- La mappa dei rischi, con le priorità. Ordinata, non alfabetica: cosa affrontare per primo e cosa può aspettare.
- La vostra data NIS2, calcolata. Non quella che avete letto da qualche parte: la vostra, che dipende da quando siete stati iscritti ed è individuale.
2 · Roadmap
- Un piano a dodici mesi con priorità e budget. Con i numeri accanto alle voci, altrimenti non è un piano: è un elenco di desideri.
- I capitolati per i vostri fornitori. Che cosa chiedere, in che forma, con quali evidenze.
Perché il capitolato è il pezzo che vale di più
È il documento che una PMI non sa scrivere da sola, e senza il quale ogni preventivo che riceve è scritto in una lingua diversa dagli altri. Con un capitolato in mano potete farvi fare preventivi confrontabili: stesso perimetro, stessi requisiti, stesse evidenze. Il risparmio che ne esce ripaga spesso la parcella da solo, prima ancora che sia stato fatto qualcosa.
Ed è la prova della terzietà, non una dichiarazione di terzietà: chi vi scrive il capitolato non vi vende l'hardware. Chi ve lo scrive e poi ve lo vende ha scritto un capitolato che descrive il proprio catalogo.
3 · Esecuzione
- I verbali di direzione lavori e il registro delle decisioni tecniche.
Sembra burocrazia e non lo è. Quando il vostro committente verrà a chiedervi conto di come è stato gestito un fornitore, quei due documenti sono l'unica risposta possibile: la prova che qualcuno ha governato il fornitore, che le decisioni sono state prese da qualcuno con un nome, e quando. Senza, la risposta è la parola del fornitore.
4 · Governance continuativa
- Un cruscotto di KPI trimestrale. Poche misure che si guardano davvero, non quaranta che non guarda nessuno.
- Un fascicolo di evidenza pronto per l'audit del capofila. Non da mettere insieme di corsa quando arriva la richiesta: già pronto, aggiornato, con dentro quello che serve.
La condizione
Se dopo la fase 1 la risposta è che non vi serve un fractional CIO, ve lo dico e ci fermiamo.