Audyt IT przed sukcesją – case study firmy produkcyjnej z lat 90.

Audyt IT przed sukcesją pozwala wykryć ukryte ryzyka technologiczne, organizacyjne i prawne, zanim nowy zarząd przejmie odpowiedzialność za firmę. W tym case study pokazujemy, jak w ciągu kilku tygodni uporządkowaliśmy infrastrukturę, dokumentację i prawa autorskie do oprogramowania w rodzinnej firmie produkcyjnej z Lubelszczyzny. Zidentyfikowaliśmy 6 krytycznych obszarów ryzyka – od braku praw autorskich do kodu, przez serwer pod telewizorem, po łącze zapasowe, które nie działało od lat. To nie jest kwestia czy taki bałagan wywoła kosztowny problem, tylko kiedy.

Czym jest audyt IT przed sukcesją?

Audyt IT przed sukcesją to kompleksowa analiza infrastruktury technologicznej, dostępów do systemów, dokumentacji, licencji i praw autorskich do oprogramowania, przeprowadzana przed formalną zmianą właściciela lub zarządu firmy. Jego celem jest identyfikacja ukrytych ryzyk IT, które mogą sparaliżować działalność operacyjną tuż po przejęciu odpowiedzialności przez nowy zarząd – zanim awaria, odejście kluczowego pracownika lub brak dokumentacji zamienią planową sukcesję w kryzys.

Kontekst biznesowy: rodzinna firma produkcyjna przed zmianą pokoleniową

Zmiana pokoleniowa w firmie to jeden z najważniejszych i najtrudniejszych momentów w jej historii. W praktyce nie chodzi tylko o przygotowanie spadkobierców do roli właścicieli – chodzi o uporządkowanie wszystkiego, co może zatrzymać biznes już po podpisaniu dokumentów u notariusza.

Firma, przy której pracowaliśmy, to klasyczny przykład polskiego przedsiębiorstwa rodzinnego: Jednoosobowa Działalność Gospodarcza (JDG) założona w latach 90., prowadzona przez małżeństwo przez dekady, osiągająca obroty rzędu 15 milionów złotych rocznie. Firma dysponowała własną halą produkcyjną w branży spożywczej oraz biurem na Lubelszczyźnie. Właściciel, planując zasłużoną emeryturę, chciał przekształcić JDG w spółkę z o.o. i płynnie przekazać stery dzieciom, wyodrębniając Zorganizowaną Część Przedsiębiorstwa (ZCP).

Skala wyzwania w liczbach: audyt objął 12 urządzeń sieciowych, 18 stacji roboczych, 5 aplikacji biznesowych i 2 systemów krytycznych dla ciągłości produkcji. Łącznie zidentyfikowaliśmy 6 krytycznych obszarów ryzyka wymagających działań naprawczych przed podpisaniem aktu notarialnego.

Audyt IT przed sukcesją – jakie ryzyka wychodzą na jaw jeszcze przed analizą systemów?

Gdy w grę wchodzą procesy due diligence i przekształcenia prawne, z ukrycia potrafią wyjść wieloletnie zaszłości. Zanim przejdziemy do systemów informatycznych, warto jasno powiedzieć jedno: technologia bardzo często jedynie odsłania głębszy problem operacyjny.

W naszych projektach najczęściej widzimy ten sam schemat: brak formalizacji, wiedza zamknięta w głowie jednej osoby i infrastruktura rozwijana doraźnie, bez planu. Tak było i tym razem.

Szybko pojawiły się wyzwania natury kadrowo-prawnej. Okazało się, że niektórzy pracownicy nie posiadali sformalizowanych umów lub ich warunki zatrudnienia opierały się od lat na dżentelmeńskich ustaleniach i obustronnym zaufaniu. O ile w modelu, gdzie właściciel widzi się z każdym pracownikiem na co dzień, mogło to działać, o tyle z punktu widzenia powołania Spółki z o.o. i wejścia nowego, młodego zarządu – generowało to niewidzialne, lecz krytyczne ryzyka dla stabilności przedsiębiorstwa.

Krótko mówiąc: sukcesja nie ujawniła jednego błędu. Ujawniła cały system zależności, który działał tylko dlatego, że wszyscy byli do niego przyzwyczajeni.

Mapa ryzyk – co znaleźliśmy podczas audytu IT przed sukcesją?

Poniższa tabela zawiera zestawienie wszystkich 6 krytycznych obszarów ryzyka wykrytych podczas audytu, poziom ich istotności oraz rekomendowane działanie naprawcze.

Audyt IT przed sukcesją w praktyce – 6 problemów, które znaleźliśmy pod maską

Nasza uwaga jako zespołu inżynierskiego działającego w konsorcjum z kancelarią prawną, była w pełni skoncentrowana na procesach i infrastrukturze IT, podczas gdy kwestie kadrowo-płacowe analizował równolegle zespół prawny. W sektorze produkcyjnym, zwłaszcza rozwijanym organicznie przez dekady, technologia często pełni jedynie rolę "strażaka" – dopóki linia produkcyjna działa, nikt nie zagląda głębiej.

1. Brak praw autorskich do skryptów – jak to blokuje bezpieczną sukcesję?

Z punktu widzenia wyceny ryzyka i późniejszego utrzymania systemów przez nowy zarząd, odkryliśmy potężną "minę". Przez ostatnie lata za infrastrukturę i funkcjonowanie oprogramowania odpowiadał wyłącznie jeden pracownik techniczny. Usprawniając procesy magazynowe i wymianę informacji z produkcją, wdrażał własne, autorskie narzędzia i skrypty.

Problem polegał na dwóch krytycznych elementach:

• Brakowało jakiejkolwiek dokumentacji powdrożeniowej tych narzędzi.

• Nie uregulowano praw autorskich do kodu źródłowego – informatyk posiadał jedynie standardową umowę o pracę bez klauzuli NDA, zakazu konkurencji ani umowy na przeniesienie autorskich praw majątkowych.

Zgodnie z polskim prawem (art. 74 ustawy o prawie autorskim i prawach pokrewnych), prawa majątkowe do programów komputerowych stworzonych przez pracownika w ramach obowiązków wynikających z umowy o pracę przysługują pracodawcy – o ile umowa nie stanowi inaczej. Jednak zakres tych obowiązków musi być precyzyjnie zdefiniowany. W omawianym przypadku pisanie skryptów nie wynikało wprost z zakresu obowiązków, co tworzyło obszar sporu prawnego.

Teoretycznie, w razie konfliktu podczas zmiany zarządu, pracownik mógł zakwestionować prawo nowej spółki do korzystania z jego narzędzi lub zażądać osobnego wynagrodzenia licencyjnego. Nie był to wymyślony przez nas problem – w podobnych środowiskach samo odejście jednej osoby na urlop, zwolnienie lekarskie lub do konkurencji potrafi sparaliżować magazyn, produkcję i wysyłkę.

2. Brak dokumentacji – "jednoosobowa magia" jako zagrożenie operacyjne

Stan IT można było opisać jednym zdaniem: "jednoosobowa magia". Nikt inny w firmie nie wiedział, gdzie znajdują się główne hasła administracyjne. Nie istniała mapa połączeń między biurem obsługi klienta a urządzeniami na hali. Każda wiedza o krytycznej infrastrukturze znajdowała się wyłącznie w głowie jednej osoby – to podręcznikowy przykład Bus Factor równego 1.

W praktyce oznaczało to, że nowy zarząd miałby formalnie przejąć odpowiedzialność za obszar, którego realnie nie byłby w stanie odtworzyć ani utrzymać bez tej jednej konkretnej osoby. Ryzyko zostało usunięte jeszcze przed podpisaniem aktu notarialnego – poprzez systematyczne tworzenie dokumentacji infrastruktury, haseł (w menedżerze haseł klasy enterprise) i schematów zależności.

3. Niejednolite systemy i Windows Home – jak zwiększają ryzyko operacyjne?

Przez lata sprzęt był kupowany według zasady "idźmy do sklepu i kupmy najtańszy komputer, jeśli akurat jest potrzebny". Doprowadziło to do sytuacji, w której flota komputerowa w biurze była absolutnym miksem: komputery z Windows Home działały obok Windows Pro, a oprogramowanie miało różne wersje kompilacji.

Wersje Home nie nadają się do środowisk biznesowych. W ich przypadku niemożliwe było narzucenie centralnych zasad bezpieczeństwa (polityk GPO), wdrożenie wspólnego cyklu wymuszania haseł ani integracja z Active Directory lub Microsoft Entra ID (dawniej Azure AD). Stacje robocze stanowiły samodzielne, niezależnie zarządzane i podatne na ataki wyspy – bez żadnego nadzoru centralnego.

4. Serwer pod telewizorem – jak prowizoryczna "serwerownia" naraża firmę na przestój?

Poprosiliśmy właściciela o pokazanie serwerowni lub węzła MDF – tam, gdzie schodzą się wszystkie krytyczne połączenia biznesowe.

Zostaliśmy zaprowadzeni do salonu w domu właścicieli. Przed nami stała wiórowa szafka pod telewizorem. Pomiędzy kubkami a kurzem leżał centralny router firmowy i rejestrator kamer CCTV – razem, w gęstym splocie kabli, bez zasilacza UPS i bez jakichkolwiek ograniczeń dostępu fizycznego.

Oznaczało to, że każda przypadkowa osoba w domu – włącznie z ekipą sprzątającą – mogła natychmiastowo "wyłączyć" całą firmę, pociągając za właściwy kabel. Właściciel zrozumiał skalę ryzyka natychmiast. Problem nie polegał na estetyce: krytyczna infrastruktura firmy działała bez żadnej odporności na zwykłą, fizyczną awarię.

5. Łącze zapasowe, które nie działało – kosztowna iluzja bezpieczeństwa

Właściciel był absolutnie przekonany, że łączność i praca firmy są bezpieczne, bo od lat opłacał podwójne abonamenty za "łącze awaryjne".

Audyt udowodnił jednak ponurą rzeczywistość: łącze zapasowe w ogóle nie funkcjonowało. Fizyczny przewód od łącza radiowego, biegnący na dach, był gdzieś po drodze uszkodzony. Nikt tego nie naprawił i nikt w firmie tego nie zgłosił. Mechanizmy automatycznego przełączania na linię backupową (failover) nigdy nie były pomyślnie testowane.

To klasyczny przykład sytuacji, w której organizacja płaci za poczucie bezpieczeństwa, a nie za realną odporność operacyjną.

6. Wi-Fi na hali – jak domowe routery za 100 zł zatrzymują produkcję?

Obsługa sieci bezprzewodowej na hali i w magazynie opierała się na najtańszych, domowych urządzeniach Wi-Fi kupowanych za około 100 złotych. W efekcie pracownik przemieszczający się po hali z terminalem do obsługi stanów magazynowych tracił zasięg co kilkadziesiąt metrów i musiał ręcznie "przełączać się" na kolejny router opisany np. jako "hala 2".

Ponadto cała wewnętrzna sieć – komputery biurowe, monitoring CCTV, Wi-Fi dla pracowników i sieć dla gości – pozostawała w jednej płaskiej sieci bez segmentacji VLAN. Oznaczało to brak technicznej izolacji między wrażliwymi danymi firmy a urządzeniami osobistymi pracowników i przypadkowymi gośćmi.

Wnioski po audycie IT przed sukcesją – co osiągnęliśmy?

Powołanie spółki z o.o. wiąże się z istotnie wyższą odpowiedzialnością prawną dla nowego zarządu niż prowadzenie JDG. Wejście następców z tak głęboko ukrytymi wadami infrastruktury stanowiłoby realne, finansowe i operacyjne obciążenie od pierwszego dnia.

Awaria szafki pod telewizorem, odejście monopolisty-informatyka czy utrata łącza w trakcie kampanii sprzedażowej – każdy z tych scenariuszy mógłby zatrzymać produkcję niemal natychmiast po przejęciu firmy przez nowy zarząd.

W jednej z podobnych realizacji wystarczyła awaria pojedynczego punktu dostępowego i brak wiedzy o konfiguracji, aby firma przez kilka godzin działała na obejściach ręcznych. Taki scenariusz w trakcie sukcesji lub tuż po niej potrafi błyskawicznie zamienić spokojne przekazanie biznesu w kryzys operacyjny.

Właśnie w tym obszarze pomagamy firmom najczęściej: łączymy audyt infrastruktury, porządkowanie odpowiedzialności i plan naprawczy tak, aby właściciel, sukcesorzy i doradcy prawni mieli jedną, spójną mapę ryzyk – zanim cokolwiek zostanie podpisane.

Sukcesja firm rodzinnych w Polsce – skala wyzwania

Problem z audytem IT przed sukcesją nie dotyczy wyłącznie opisanej firmy. Według danych Instytutu Biznesu Rodzinnego, w Polsce działa ponad 830 tysięcy firm rodzinnych, generujących około 18% PKB. Znaczna część z nich stoi przed wyzwaniem sukcesji w ciągu najbliższej dekady – właściciele z pokolenia założycielskiego lat 80. i 90. osiągają wiek emerytalny.

Kluczowy wniosek: im dłużej firma działała bez formalizacji procesów IT, tym głębsze i droższe w naprawie są zazwyczaj znalezione problemy. Firma z 30-letnim stażem nie zbuduje w tydzień dokumentacji, której nie tworzyła przez trzy dekady – dlatego audyt IT przed sukcesją warto zaplanować z co najmniej kilkumiesięcznym wyprzedzeniem przed aktem notarialnym.

Co sprawdzić przed sukcesją? Praktyczna checklista dla właściciela i przyszłego zarządu

Jeżeli planujesz sukcesję, przekształcenie lub wejście nowego zarządu, sprawdź w pierwszej kolejności poniższe obszary:

Jeżeli na co najmniej dwa lub trzy z tych pytań odpowiedź brzmi "nie wiem" – audyt IT przed sukcesją warto potraktować jako pilny etap przygotowań, a nie dodatkowy koszt.

Co dalej? Jak przeprowadzamy audyt IT przed sukcesją?

Proces audytu IT przed sukcesją w SparkSome przebiega w trzech etapach:

1. Inwentaryzacja i analiza ryzyk – szczegółowy przegląd infrastruktury, systemów, dostępów, licencji i praw autorskich do oprogramowania.

2. Raport ryzyk z priorytetyzacją – zestawienie wszystkich znalezionych problemów z oceną ich krytyczności i szacunkiem kosztów naprawy.

3. Plan naprawczy i wsparcie wdrożeniowe – rozpisany harmonogram działań, realizowany we współpracy z kancelarią prawną obsługującą M&A i sukcesje.

Jeżeli chcesz sprawdzić, czy Twoja firma jest gotowa na sukcesję bez ukrytego ryzyka technologicznego, przeprowadzimy audyt IT i przygotujemy plan uporządkowania infrastruktury, dokumentacji oraz odpowiedzialności. Taka rozmowa zwykle oszczędza znacznie więcej niż kosztuje – bo pozwala wykryć problemy, zanim zrobi to awaria, konflikt lub kontrola.

Audyt IT przed sukcesją to jeden z etapów, w których SparkSome pracuje razem z właścicielem, przyszłym zarządem i doradcami prawnymi. Jeśli audyt pokaże głębsze potrzeby, a zwykle tak się dzieje, jesteśmy w stanie zaadresować je kompleksowo.
Najczęściej po audycie realizujemy:

• Migracje i modernizacje infrastruktury: jeśli środowisko wymaga ustandaryzowania lub wymiany. Przejście z chaotycznej floty sprzętowej na zarządzany klaster Proxmox VE, wdrożenie Microsoft Entra ID, segmentacja sieci VLAN.
• Administrację i monitoring: jeśli nowy zarząd chce mieć pełną widoczność nad środowiskiem. Zabbix, Wazuh SIEM, automatyzacja backupów 3-2-1 z testowanym DRP.
• Outsourcing IT i stałą opiekę: jeśli firma nie chce zatrudniać kolejnego monopolisty-informatycznego, ale potrzebuje gwarantowanego czasu reakcji i udokumentowanych procedur. Przejęcie opieki nad środowiskiem z interwencją on-site z Lublina lub Krakowa następnego dnia roboczego.
• Cyberbezpieczeństwo: jeśli audyt ujawnił płaską sieć, brak EDR lub niedziałający backup. Wdrożenie SentinelOne lub Bitdefender, hardening serwerów Linux, polityki zgodne z NIS2.

Jeżeli jesteś właścicielem firmy planującym sukcesję, Dyrektorem IT przygotowującym organizację na przekształcenie albo doradcą prawnym szukającym partnera technicznego do procesu M&A, napisz do nas. Pierwsza rozmowa i wstępna ocena zakresu audytu są bezpłatne.

Umów rozmowę z SparkSome → [email protected]

Realizujemy projekty w całej Polsce. Biura: Lublin i Kraków. Czas dojazdu on-site: następny dzień roboczy.

FAQ: Audyt IT przed sukcesją – najczęściej zadawane pytania

Czym dokładnie jest audyt IT przed sukcesją?

Audyt IT przed sukcesją to kompleksowa analiza infrastruktury technologicznej, bezpieczeństwa danych, licencji, praw autorskich do oprogramowania oraz struktury dostępów, przeprowadzana przed formalną zmianą właściciela lub zarządu. Pozwala upewnić się, że następcy przejmują sprawnie działające systemy bez ukrytych długów technologicznych i "bomb zegarowych".

Kiedy najlepiej przeprowadzić audyt IT przed sukcesją?

Optymalnie: minimum 3–6 miesięcy przed planowaną datą przekształcenia lub podpisaniem aktu notarialnego. Audyt zazwyczaj identyfikuje obszary wymagające czasu na naprawę – jak stworzenie dokumentacji, uregulowanie praw autorskich czy standaryzacja środowiska IT. Odkładanie go na ostatni moment to proszenie się o opóźnienia w całym procesie sukcesji.

Czy audyt IT jest wymagany przy przekształceniu JDG w spółkę z o.o.?

Prawo nie nakłada obowiązku audytu IT, jednak radcy prawni i notariusze coraz częściej rekomendują go jako element due diligence przy przekształceniach. Nowy zarząd spółki z o.o. ponosi znacznie wyższą odpowiedzialność osobistą niż właściciel JDG – dlatego wejście do spółki z niezidentyfikowanymi ryzykami IT jest działaniem wprost wbrew własnemu interesowi prawnemu i finansowemu.

Czym różni się audyt IT przed sukcesją od IT due diligence w procesach M&A?

IT due diligence w transakcjach M&A koncentruje się głównie na wycenie aktywów technologicznych, analizie długu technicznego i ocenie skalowalności systemów dla inwestora lub nabywcy. Audyt IT przed sukcesją ma szerszy zakres operacyjny: obejmuje też zarządzanie dostępami, dokumentację, ciągłość działania i ryzyka kadrowe (np. Bus Factor) – bo celem nie jest wycena, lecz bezpieczne przekazanie kontroli.

Jakie prawa autorskie do oprogramowania musi uregulować firma przed sukcesją?

Kluczowe są autorskie prawa majątkowe do: skryptów i narzędzi napisanych przez pracowników IT, integracji między systemami tworzonych wewnętrznie, wszelkich modyfikacji i konfiguracji zakupionego oprogramowania, które mogą mieć charakter twórczy. Podstawą prawną jest art. 74 ustawy o prawie autorskim – prawa do programów stworzonych przez pracownika w ramach obowiązków służbowych przysługują pracodawcy, ale zakres tych obowiązków musi być jednoznacznie określony w umowie. Wszelkie wątpliwości warto usunąć przez podpisanie odrębnej umowy cesji.

Ile trwa i ile kosztuje audyt IT przed sukcesją?

Czas i koszt zależą od skali firmy i złożoności infrastruktury. W przypadku MŚP z jedną lokalizacją i kilkunastoma pracownikami audyt trwa zazwyczaj około 4 tygodni. Koszt zależy od zakresu – wstępną wycenę przygotowujemy bezpłatnie po rozmowie wstępnej. Kontakt

Co się stanie, jeśli nie przeprowadzę audytu IT przed sukcesją?

Ryzyko nie znika – ono czeka. Nowy zarząd może w pierwszych tygodniach stanąć przed: paraliżem operacyjnym po odejściu kluczowego pracownika IT, brakiem dostępu do krytycznych systemów, problemami prawnymi z prawami autorskimi do własnego oprogramowania, kosztownymi awariami wynikającymi z zaniedbań infrastrukturalnych oraz utratą ciągłości produkcji. Każdy z tych scenariuszy kosztuje wielokrotnie więcej niż sam audyt.

Powiązane artykuły

• IT Due Diligence – Kompletny przewodnik dla procesów M&A (Buy-side i Sell-side)

• Bus Factor 2.0 – wiedza, redundancja i dokumentacja jako fundament odporności IT

• Dlaczego firmy nie mają dokumentacji technicznej? A potem płacą za to podwójnie