IT Outsourcing per le PMI italiane: quando esternalizzare conviene davvero

1. Le PMI italiane e l'IT: il gap strutturale

Secondo i dati Assinform 2025, solo il 34% delle piccole e medie imprese italiane dispone di un responsabile IT dedicato a tempo pieno. La restante quota gestisce la tecnologia attraverso figure ibride — il commerciale che fa anche da "informatico di riferimento", il contabile che ha imparato a sistemare il server — oppure affida ogni intervento a tecnici esterni chiamati "al guasto", in un modello che in gergo si chiama break-fix e che appartiene al decennio precedente.

Questo non è un problema di cultura digitale, come si tende superficialmente a dire. È un problema strutturale di dimensione: una PMI con 80 dipendenti non può permettersi economicamente un team IT interno articolato in livelli di supporto, cyber security e sviluppo, ma allo stesso tempo dipende da sistemi informatici per ogni aspetto del proprio business — dalla fatturazione elettronica al gestionale, dalla posta elettronica ai macchinari connessi in rete. Il risultato è un gap di presidio che si traduce in vulnerabilità, inefficienze e costi nascosti difficili da quantificare finché non emerge un incidente.

L'IT outsourcing, strutturato correttamente, risolve questo gap permettendo alla PMI di accedere a competenze di livello enterprise a costi proporzionati alle sue dimensioni. La parola chiave è "strutturato correttamente": questa guida aiuta i responsabili aziendali a capire quali funzioni esternalizzare, quali no, con quale modello contrattuale e come evitare gli errori più comuni.

2. Le funzioni IT che si prestano all'outsourcing immediato

Non tutte le funzioni IT sono ugualmente adatte all'esternalizzazione. Alcune si prestano all'outsourcing in modo naturale perché sono standardizzabili, misurabili e non contengono il nucleo strategico dell'impresa. Queste sono le aree in cui le PMI italiane ottengono i ritorni più rapidi:

Help Desk Livello 1 e Livello 2

Il supporto agli utenti interni — reset password, problemi di connettività, installazione software, malfunzionamenti di stampanti e periferiche — è la funzione IT che consuma più tempo delle figure ibride interne e che si presta meglio all'esternalizzazione. Un help desk L1 esternalizzato con SLA su first-call resolution e tempo medio di risposta garantisce un livello di servizio misurabile che le soluzioni interne improvvisate non possono offrire. Il costo mensile per una PMI di 50-150 utenti si aggira tra 800 e 2.500 euro al mese a seconda dei livelli di servizio, con disponibilità configurabile (ore lavorative, esteso, 24/7).

Gestione dell'infrastruttura IT

Il monitoraggio proattivo di server, dispositivi di rete, workstation e cloud — con aggiornamenti automatici, backup verificati e reportistica mensile — è difficile da fare internamente senza strumenti professionali di RMM (Remote Monitoring and Management). Un managed service provider (MSP) che offre questo servizio in modalità continuativa sostituisce efficacemente un sistemista interno a tempo parziale, con il vantaggio di avere accesso a strumenti enterprise e a un team con competenze diversificate.

Cyber Security — SOC as a Service

Con NIS2 che ha ampliato il perimetro dei soggetti obbligati alla gestione della sicurezza informatica, e con gli attacchi ransomware alle PMI italiane aumentati del 47% nel 2025 (fonte: ACN, Rapporto sulla Cybersicurezza Nazionale 2025), il monitoraggio della sicurezza non è più un'opzione. Un SOC (Security Operations Center) as a Service fornisce monitoraggio 24/7 degli eventi di sicurezza, rilevamento delle anomalie, gestione degli endpoint e risposta agli incidenti a un costo mensile fisso — tipicamente tra 500 e 3.000 euro per una PMI, a seconda del numero di asset monitorati.

Backup e Disaster Recovery

Il backup "fatto internamente" con hard disk USB dimenticato in ufficio non è un piano di disaster recovery. Un servizio gestito di backup e ripristino include backup automatici con verifica dell'integrità, replica offsite, test periodici di ripristino documentati e RTO (Recovery Time Objective) contrattualmente garantiti. Questo è un servizio a basso costo — da 200 a 800 euro al mese per la maggior parte delle PMI — con un impatto potenziale enorme in caso di evento.

Sviluppo applicativo non-core

Integrazioni tra sistemi, sviluppo di portali web, personalizzazioni del gestionale, app interne: tutte le attività di sviluppo che non riguardano il prodotto o il servizio principale dell'impresa si prestano all'outsourcing a team nearshore o offshore. Una PMI manifatturiera il cui core business è la produzione di componenti meccanici non ha bisogno di un team di sviluppatori interno: ha bisogno di accedere a sviluppatori su richiesta, con competenze verificate e tempi di consegna contrattualizzati.

3. Le funzioni IT che NON andrebbero esternalizzate

La chiarezza su cosa NON esternalizzare è importante quanto sapere cosa esternalizzare. Alcune funzioni IT contengono il vantaggio competitivo dell'impresa e la loro uscita dal presidio diretto genera rischi difficili da quantificare ex ante.

L'ERP aziendale — SAP, Microsoft Dynamics, Zucchetti, TeamSystem — contiene la logica operativa del business: i processi di acquisto, produzione, vendita e reporting sono configurati nell'ERP secondo le specifiche dell'impresa. Esternalizzare la gestione dell'ERP a un fornitore esterno senza mantenere internamente una figura che conosce i flussi di business significa perdere la capacità di governare il sistema in modo autonomo. Questo non significa che il supporto tecnico all'ERP non possa essere esternalizzato: significa che la proprietà della configurazione e della documentazione deve rimanere in capo all'impresa.

4. I modelli contrattuali: pro e contro per le PMI

La scelta del modello contrattuale è spesso la decisione più importante nell'IT outsourcing, più ancora della scelta del fornitore. I tre modelli principali sono:

Time and Materials (T&M)

Il fornitore fattura le ore effettivamente lavorate a una tariffa oraria concordata. Flessibile per progetti dal perimetro incerto, ma espone la PMI al rischio di sforamento dei costi senza meccanismi di controllo. Adatto per: sviluppo applicativo esplorativo, consulenze occasionali, interventi straordinari. Da evitare per: gestione continuativa dell'infrastruttura, help desk, security monitoring — dove la prevedibilità del costo è un requisito.

Fixed Price

Il fornitore si impegna a consegnare un perimetro definito a un prezzo fisso. Offre massima prevedibilità di costo, ma richiede un capitolato tecnico (scope of work) molto dettagliato: qualsiasi variazione diventa un "change request" con costo aggiuntivo. Adatto per: progetti di sviluppo con requisiti chiari, implementazione di sistemi, migrazioni pianificate. Rischio principale: se il capitolato è incompleto, le change request possono far lievitare il costo finale ben oltre il fixed price iniziale.

Managed Service con SLA

Il modello più adatto alla gestione continuativa IT per le PMI. Il fornitore eroga un insieme definito di servizi (help desk, monitoraggio, backup, security) a un canone mensile fisso, con livelli di servizio (SLA) misurabili e penali contrattualmente previste per il mancato rispetto. Questo modello trasforma il costo IT da variabile a fisso, con service credit automatici in caso di downtime o SLA violation. Per una PMI con budget limitato, la prevedibilità del costo mensile è spesso più importante del costo assoluto.

5. Confronto dei costi: sviluppatore interno vs nearshore vs offshore

La tabella seguente confronta il costo reale di un profilo IT per una PMI italiana con 50-200 dipendenti. I costi includono stipendio, contributi previdenziali, benefit, formazione, strumenti e overhead spaziale stimato.

Il risparmio nearshore è inferiore a quello offshore, ma il nearshore nearshore offre vantaggi operativi significativi: stesso fuso orario, assenza di barriere linguistiche rilevanti per profili italofoni, e conformità normativa semplificata per i trasferimenti di dati intra-SEE (Albania è candidata UE, con applicazione progressiva dell'acquis communautaire).

6. I 5 errori più comuni delle PMI nell'IT outsourcing

Oltre il 60% delle PMI italiane che hanno avuto esperienze negative con l'IT outsourcing ha commesso almeno uno dei seguenti cinque errori, spesso in combinazione.

• Specifiche tecniche assenti o vaghe. "Vogliamo che il sito funzioni meglio" non è un capitolato. Senza specifiche misurabili — tempi di caricamento, numero di utenti concorrenti, funzionalità richieste, standard di sicurezza — il fornitore ha carta bianca sulla propria interpretazione e voi non avete strumenti per contestarne il lavoro. Ogni progetto IT deve iniziare con un documento di requisiti formale, anche minimo, prima di firmare qualsiasi contratto.
• SLA non misurabili o non sanzionati. "Risponderemo entro tempi ragionevoli" non è un SLA. Un SLA deve specificare metriche concrete — tempo di risposta al primo contatto (tipicamente: critico 15 min, alto 2 ore, normale 8 ore), tempo di risoluzione, uptime percentuale garantita — e prevedere penali automatiche (service credit) in caso di violazione. Senza penali, gli SLA sono dichiarazioni di intenti non vincolanti.
• Lock-in tecnologico non identificato prima della firma. Se il vostro fornitore IT gestisce il DNS del vostro dominio, ospita il vostro sito sul proprio server proprietario senza accesso autonomo per il cliente, o usa strumenti di monitoraggio e documentazione non esportabili, avete un lock-in tecnologico. In caso di cambio fornitore, la migrazione diventa costosa, lunga e spesso tecnicamente complessa. Prima di firmare, verificate sempre: chi è l'intestatario del dominio? Dove si trovano i backup? Avete accesso diretto alle credenziali amministrative?
• Documentazione tecnica insufficiente. La documentazione dell'infrastruttura IT — topologia di rete, credenziali dei sistemi, configurazioni dei server, procedure di backup e ripristino — è un asset aziendale critico che spesso viene lasciato interamente al fornitore. Se il vostro MSP non produce e mantiene una documentazione tecnica aggiornata e accessibile al cliente, siete completamente dipendenti dalla loro continuità operativa. Esigete una documentazione consegnata al cliente aggiornata almeno trimestralmente.
• Gestione del vendor trascurata dopo la firma. Il contratto firmato non è la fine del processo: è l'inizio. Un contratto di managed service IT che non viene governato attivamente tende a degradare nel tempo: i ticket restano aperti più a lungo, gli SLA vengono violati senza conseguenze, le revisioni contrattuali annuali non vengono condotte. Dedicate almeno 2-4 ore al mese alla revisione delle performance del fornitore IT: analizzate i report mensili, verificate gli SLA, conducete una sessione trimestrale di steering.

7. Il processo di selezione: dall'RFP alla due diligence

Selezionare un fornitore IT senza un processo strutturato espone la PMI al rischio di scegliere in base al prezzo più basso o alla simpatia personale del commerciale — criteri che non correlano con la qualità del servizio. Un processo minimo di selezione comprende tre fasi:

RFP minima (Request for Proposal)

Anche per contratti di dimensione contenuta, preparate un documento di 3-5 pagine che descriva: i vostri sistemi attuali (numero di utenti, OS, server, applicativi principali), i servizi richiesti con volumi indicativi, i livelli di servizio attesi, le esigenze di conformità (GDPR, NIS2 se applicabile), e il vostro budget indicativo. L'RFP strutturata vi permette di ricevere offerte comparabili e di eliminare immediatamente i fornitori che non la leggono.

Criteri di valutazione

Definite i criteri prima di ricevere le offerte, non dopo. Una griglia di valutazione equilibrata per le PMI italiane potrebbe ponderare: competenza tecnica certificata (30%), SLA proposti (25%), referenze verificabili in settori analoghi (20%), costo totale (15%), solidità aziendale del fornitore (10%). La ponderazione dipende dalle priorità specifiche.

Due diligence del fornitore

Prima della firma, verificate almeno: certificazioni ISO 27001 o SOC 2 (fondamentale per i servizi di sicurezza), anni di attività e stabilità finanziaria, referenze di clienti PMI contattabili, subappaltatori e fornitori terzi utilizzati, e policy di backup e continuità operativa interna. Un fornitore che gestisce la vostra infrastruttura IT ma non ha un piano di continuità operativa per se stesso è un rischio sistemico.

8. Cyber security e IT outsourcing: i rischi specifici

L'IT outsourcing introduce vettori di rischio cyber specifici che devono essere gestiti contrattualmente e operativamente:

Accesso privilegiato non governato

Il vostro MSP ha tipicamente accesso amministrativo a tutti i vostri sistemi: server, firewall, endpoint, account cloud. Questo accesso è necessario per erogare il servizio, ma deve essere governato attraverso: autenticazione a più fattori obbligatoria, logging completo di tutte le sessioni di accesso remoto, accesso limitato al principio del minimo privilegio, e procedura documentata di revoca degli accessi alla cessazione del contratto. Inserite questi requisiti come clausole contrattuali, non come richieste verbali.

Supply chain attacks

Il vostro fornitore IT è a sua volta un cliente di altri fornitori tecnologici: piattaforme RMM, strumenti di monitoraggio, software di ticketing. Gli attacchi alla supply chain — come il caso SolarWinds o il caso Kaseya VSA — sfruttano questa catena per compromettere centinaia di PMI attraverso un singolo punto di ingresso. Chiedete al vostro MSP l'elenco dei software utilizzati per gestire la vostra infrastruttura e verificate che abbiano procedure di patch management e vulnerability assessment sui propri strumenti.

9. Il framework di governance per le PMI

La governance di un contratto IT outsourcing non richiede strutture complesse: richiede disciplina e regolarità. Anche per una PMI senza un IT manager dedicato, il seguente framework minimo è implementabile con 4-6 ore al mese di impegno da parte del responsabile operativo:

Le penali contrattuali devono essere realistiche: una penale irraggiungibile — del tipo "1.000.000 di euro in caso di data breach" per un contratto da 2.000 euro al mese — non viene mai applicata e quindi non incentiva il comportamento corretto. Una penale realistica per un help desk è dell'ordine del 5-10% del canone mensile per ogni SLA violato in modo significativo, con un cap totale del 30-50% del canone mensile. Questo livello è sufficiente a essere sentito dal fornitore e a incentivare il rispetto degli impegni.

10. Case: PMI manifatturiera nel Veneto — 12 mesi di IT outsourcing

11. Conclusione: quando l'IT outsourcing conviene e quando no

L'IT outsourcing per le PMI italiane conviene quando l'alternativa è la gestione improvvisata attraverso figure ibride non qualificate, quando l'impresa non può permettersi un team IT interno strutturato, e quando le funzioni da esternalizzare sono standardizzabili e misurabili. Non conviene — o conviene solo parzialmente — quando riguarda funzioni che contengono il vantaggio competitivo dell'impresa, quando il perimetro è troppo vago per essere contrattualizzato, o quando l'impresa non è in grado di dedicare le risorse minime necessarie alla governance del fornitore.

La variabile più importante non è il prezzo del contratto: è la qualità della struttura contrattuale, la precisione degli SLA e la disciplina nella governance mensile. Un contratto IT di 4.000 euro al mese con SLA misurabili, penali reali e governance attiva produce risultati migliori di un contratto da 2.000 euro senza nessuno di questi elementi.

Se state valutando di esternalizzare la gestione IT della vostra PMI, il team Corpshore può fornire una valutazione iniziale gratuita dell'infrastruttura esistente e un preventivo strutturato con SLA personalizzati per le vostre esigenze specifiche.