IT zabezpieczone? Pytanie o administratora sieci, nie o hasła.

Autor: Jacek Płuciennik, be5 GROUP Executive Search Polska

Data publikacji: 23 sierpnia 2026

Czas czytania: 7 minut

Krótka odpowiedź

Firma była przekonana, że ma zabezpieczone IT, dopóki nie padło pytanie o administratora sieci. To nie jest pytanie techniczne. To pytanie o właściciela ciągłości działania, bezpieczeństwa operacyjnego i decyzji podejmowanych wtedy, gdy produkcja, magazyn, system finansowy lub dostęp do danych przestają działać.

Jeżeli zarząd nie potrafi wskazać osoby, która ma mandat, kompetencje i realną odpowiedzialność za sieć, kopie zapasowe, uprawnienia oraz reakcję na incydent, firma nie ma zabezpieczonego IT. Ma jedynie przekonanie, że je ma.

Executive Summary

W przedsiębiorstwach produkcyjnych i technicznych awaria IT nie zaczyna się od spektakularnego ataku. Częściej zaczyna się od niejasnej odpowiedzialności: zewnętrzny dostawca „tym się zajmuje”, kierownik utrzymania ruchu „zna temat”, a osoba zarządzająca siecią odchodzi lub zmienia zakres obowiązków bez formalnego przekazania krytycznej wiedzy.

Skutek jest biznesowy. Zatrzymanie przepływu informacji może zablokować planowanie produkcji, wydania, fakturowanie, komunikację z klientem oraz dostęp do systemów sterujących. Koszt wakatu na stanowisku odpowiedzialnym za infrastrukturę IT nie jest wtedy kosztem etatu. To koszt przestoju, opóźnionej sprzedaży, kar umownych, pracy awaryjnej i ryzyka utraty zaufania klienta.

Zarząd jest właścicielem tego ryzyka. HR jest właścicielem procesu znalezienia rozwiązania. Executive Search i Direct Search mają sens dopiero wtedy, gdy firma wie, jakiej decyzji potrzebuje i jaką biznesową odpowiedzialność ma przejąć lider.

Problem nie leży w sieci. Leży w braku właściciela decyzji

Pytanie „kto jest administratorem sieci?” bywa traktowane jak detal organizacyjny. W rzeczywistości ujawnia, czy firma potrafi wskazać właściciela jednego z krytycznych obszarów ciągłości działania.

Administrator sieci nie musi być członkiem zarządu. Nie zawsze musi też pracować wewnątrz organizacji. W modelu zewnętrznym firma może działać skutecznie, pod warunkiem że jasno określiła odpowiedzialność, poziom decyzyjności, dostęp do dokumentacji i zasady eskalacji. Problem pojawia się wtedy, gdy odpowiedzialność jest „rozproszona”, czyli w praktyce nie należy do nikogo.

W wielu firmach przemysłowych infrastruktura IT i środowisko operacyjne są już nierozerwalne. Sieć przestała obsługiwać wyłącznie pocztę i pliki. Wspiera planowanie, jakość, logistykę, raportowanie produkcji, systemy ERP, urządzenia przemysłowe i współpracę z dostawcami. Każda niejasność w tym obszarze zwiększa ryzyko operacyjne.

„Najdroższy problem nie zaczyna się wtedy, gdy odchodzi człowiek. Zaczyna się wtedy, gdy firma odkrywa, że nie wiedziała, za co ten człowiek naprawdę odpowiadał.” - Jacek Płuciennik

Gdy firma była przekonana, że ma zabezpieczone IT

Najczęstszy scenariusz wygląda niewinnie. Przez kilka lat organizacja rozwijała się szybciej niż jej struktura odpowiedzialności. Kolejne systemy były wdrażane przez różne zespoły, dostępy nadawano doraźnie, a dostawcy zewnętrzni realizowali zadania bez jednego właściciela po stronie przedsiębiorstwa.

Do czasu wszystko działa. Potem pojawia się audyt, odejście kluczowej osoby, incydent bezpieczeństwa albo konieczność szybkiego przywrócenia systemów. Zarząd pyta: kto ma pełny obraz architektury, uprawnienia administracyjne, aktualną dokumentację, dostęp do kopii zapasowych i prawo do podjęcia decyzji o odcięciu części środowiska?

Jeżeli odpowiedź brzmi „musimy sprawdzić”, firma weszła już w fazę ryzyka. Nie dlatego, że brakuje technologii. Dlatego, że nie zdefiniowano właściciela decyzji.

To klasyczny problem sukcesji, choć rzadko jest tak nazywany. Sukcesja nie dotyczy wyłącznie CEO, CFO, COO czy Dyrektora Produkcji. Dotyczy każdego stanowiska, którego brak może zatrzymać działanie organizacji albo istotnie obniżyć jej wynik.

Koszt nieobsadzonej odpowiedzialności jest większy niż koszt stanowiska

Zarządy często widzą koszt etatu lub kontraktu. Rzadziej liczą koszt braku decyzji. Tymczasem nawet 24 godziny ograniczonej dostępności krytycznego systemu mogą uruchomić konsekwencje znacznie większe niż roczny koszt specjalisty.

Przykład: zakład produkcyjny realizuje dziennie sprzedaż na poziomie 1,2 mln zł. Awaria systemów planowania i komunikacji nie musi oznaczać utraty całej tej kwoty, ale może wygenerować przesunięcia dostaw, nadgodziny, dodatkowy transport, produkcję poza planem oraz ryzyko kar za opóźnienie. Jeżeli tylko 8% dziennej sprzedaży zostanie objęte kosztami zakłócenia, mówimy o 96 tys. zł przed oceną wpływu na marżę, klienta i relacje handlowe.

To właśnie dlatego koszt wakatu należy liczyć inaczej niż w typowej rekrutacji. W przypadku ról krytycznych pytanie nie brzmi: ile kosztuje zatrudnienie właściwej osoby? Brzmi: ile EBITDA firma traci co miesiąc, utrzymując niejasną odpowiedzialność?

W be5 GROUP skuteczność realizowanych projektów wynosi 73%. Ta liczba nie jest argumentem o tempie zamknięcia procesu. Jest argumentem o potrzebie właściwego zdefiniowania decyzji przed uruchomieniem poszukiwań. Źle nazwane stanowisko może przyciągnąć właściwych ludzi do niewłaściwego problemu.

Rozwiązanie: najpierw zdefiniować ryzyko, potem rolę

Firma nie potrzebuje automatycznie „administratora sieci”. Może potrzebować lidera infrastruktury, menedżera IT, osoby odpowiedzialnej za cyberbezpieczeństwo, interim managera albo zewnętrznego partnera działającego pod silnym nadzorem wewnętrznym. Odpowiedź zależy od skali organizacji, dojrzałości procesów, liczby lokalizacji i stopnia powiązania IT z produkcją.

Najpierw zarząd powinien rozstrzygnąć trzy kwestie. Które procesy nie mogą zostać zatrzymane? Kto podejmuje decyzję w ciągu pierwszych 60 minut incydentu? Kto może przejąć odpowiedzialność, jeżeli obecny właściciel obszaru zniknie z organizacji?

Dopiero potem można określić mandat roli. Czy ma to być osoba operacyjna, która porządkuje dostęp i dokumentację? Czy lider zmian, który przebuduje model odpowiedzialności? Czy C-Level, który połączy technologię, bezpieczeństwo, finanse i strategię wzrostu?

Tu Executive Search Polska różni się od rutynowego uzupełniania stanowiska. Celem nie jest znalezienie człowieka o zgodnym opisie doświadczenia. Celem jest ograniczenie ryzyka biznesowego poprzez właściwego człowieka, z mandatem adekwatnym do konsekwencji problemu.

Dowód: właściwy lider porządkuje nie tylko systemy

Firma z sektora manufacturing, działająca w trzech lokalizacjach, była przekonana, że jej infrastruktura jest pod kontrolą. Za poszczególne elementy odpowiadali lokalni dostawcy, kierownik zakładu i osoba łącząca zadania IT z innymi obowiązkami operacyjnymi. Dopiero plan przejęcia nowej linii produkcyjnej ujawnił brak jednolitego modelu dostępu, dokumentacji i eskalacji.

Zarząd nie potraktował tego jako problemu technicznego. Uznano, że potrzebny jest lider odpowiedzialny za ciągłość działania środowiska IT i OT, przygotowanie organizacji do wzrostu oraz raportowanie ryzyka do COO i CFO.

Efekt nie polegał wyłącznie na uporządkowaniu infrastruktury. Firma zyskała jedno źródło odpowiedzialności, scenariusze awaryjne, priorytety inwestycyjne i mierzalność ryzyka. To zmieniło jakość decyzji zarządczych, ponieważ problem przestał być ukryty w codziennej operacji.

W takich sytuacjach Direct Search jest narzędziem dotarcia do kandydatów pasywnych, którzy już zarządzali podobnym ryzykiem w bardziej złożonych organizacjach. Nie chodzi o samą zmianę personalną. Chodzi o transfer zdolności do prowadzenia firmy przez krytyczny obszar transformacji.

FAQ

Czy administrator sieci musi być zatrudniony wewnętrznie?

Nie. Model zewnętrzny może działać dobrze, jeśli firma zachowuje kontrolę nad dokumentacją, dostępami, priorytetami i decyzjami krytycznymi. Outsourcing bez właściciela po stronie biznesu jedynie przenosi chaos poza organizację.

Kiedy problem wymaga zaangażowania zarządu?

Zawsze wtedy, gdy awaria może wpłynąć na produkcję, sprzedaż, bezpieczeństwo danych, realizację kontraktów lub wynik finansowy. Wtedy nie jest to już zadanie administracyjne, lecz element Business Continuity.

Jak rozpoznać, że firma ma lukę sukcesyjną w IT?

Sygnałem jest brak jednej, aktualnej odpowiedzi na pytanie: kto może dziś przejąć odpowiedzialność za krytyczne środowisko i podjąć decyzję pod presją czasu? Jeżeli odpowiedź wymaga kilku telefonów, luka już istnieje.

Czy CFO powinien interesować się tym tematem?

Tak, ponieważ konsekwencje awarii są finansowe. CFO powinien rozumieć ekspozycję firmy na koszt przestoju, kary, dodatkowe nakłady, ryzyko kontraktowe i wpływ na EBITDA.

Kiedy potrzebny jest Executive Search?

Wtedy, gdy firma potrzebuje lidera, który nie tylko utrzyma środowisko, ale uporządkuje odpowiedzialność, wprowadzi standardy i przygotuje organizację na wzrost, audyt, zmianę właścicielską lub kryzys.

Strategiczny wniosek

Bezpieczeństwo IT nie jest stanem deklarowanym przez dział techniczny. Jest zdolnością organizacji do działania wtedy, gdy jeden z krytycznych elementów przestaje działać lub przestaje być dostępny. Ta zdolność wymaga człowieka z jasno przypisanym mandatem, a nie zbiorowego przekonania, że „ktoś nad tym czuwa”.

Dla CEO, COO i CFO to pytanie o odporność firmy. Dla HR Director i HRBP - o precyzyjne zdefiniowanie roli, zanim koszt wakatu zamieni się w koszt zakłócenia biznesu.

CTA

Zanim firma rozpocznie poszukiwanie lidera IT, warto przeprowadzić jedną rozmowę zarządczą: który obszar technologiczny może obniżyć wynik szybciej, niż organizacja zdąży podjąć decyzję? Odpowiedź zwykle wskazuje nie tylko potrzebną rolę, lecz także rzeczywisty koszt dalszego odkładania decyzji.

Najlepszym zabezpieczeniem nie jest deklaracja, że system działa. Jest jasność, kto odpowiada za jego działanie, kto przejmie stery i jakie konsekwencje firma zaakceptuje, jeśli tej osoby zabraknie.