Definiera budget och tidsram realistiskt

Räkna på totalkostnaden — inte bara prislappen

En vanlig fälla är att jämföra leverantörers månadspriser rakt av. Det ni behöver jämföra är Total Cost of Ownership (TCO), som inkluderar:

• Leverantörens avgifter (månadsvis och engångskostnader)
• Intern tid för att hantera leverantörsrelationen
• Migrationskostnader (ofta underskattade med faktor 2–3)
• Kostnader vid avtalets slut (datautlämning, migrering bort)
• Dolda kostnader: datatrafik, support utanför avtal, tilläggsmoduler

Enligt Flexeras State of the Cloud-rapport är kostnadshantering och optimering konsekvent den största utmaningen för organisationer som använder molntjänster. Det gäller även relationen med er IT-leverantör — FinOps-disciplin hjälper er att hålla kontroll över kostnaderna löpande, inte bara vid avtalstecknande.

Sätt en realistisk tidsplan

Räkna med dessa ungefärliga tidsramar:

• Behovsanalys och kravspecifikation: 2–4 veckor
• Leverantörssökning och RFP-process: 4–8 veckor
• Utvärdering och förhandling: 3–6 veckor
• Kontraktsskrivning: 2–4 veckor
• Migrering och implementering: 2–6 månader beroende på komplexitet

Sammanlagt: räkna med 5–10 månader från start till fullt driftsatt lösning. Företag som försöker pressa ihop detta till åtta veckor får betala för det i kvalitet.

Utvärderingskriterier som faktiskt spelar roll

Teknisk kompetens och certifieringar

Certifieringar som ISO 27001, SOC 2 Type II och leverantörsspecifika partnernivåer (AWS Advanced Partner, Microsoft Solutions Partner, Google Cloud Partner) är hygienfaktorer — inte differentiator. Men en leverantör som saknar dem bör inte finnas på er lista.

Det som verkligen visar teknisk mognad:

• Infrastructure as Code (IaC): Arbetar leverantören med Terraform, CloudFormation eller liknande? Om inte, kommer ni att få manuellt konfigurerade miljöer som är svåra att reproducera och felsöka.
• Observability-stack: Hur övervakar de era system? Fråga specifikt om verktyg, larmtrösklar och incidentresponsflöden.
• Automation av drift: Hur stor andel av deras ändringar sker via CI/CD-pipelines jämfört med manuella ingrepp?

Säkerhet och regelefterlevnad

Med NIS2-direktivets implementering i Sverige 2024–2025 har kraven på leverantörskedjans säkerhet skärpts markant. Er IT-leverantör är en del av er säkerhetsperimeter — deras brister blir era brister.

Krav att ställa:

• Var lagras era data fysiskt? För GDPR-känslig data bör svaret vara EU, helst Sverige. AWS eu-north-1 (Stockholm) och Azure Sweden Central är naturliga val.
• Hur hanteras incidenter? Kräv en dokumenterad incidentresponsplan med definierade SLA:er per incidentklass.
• Penetrationstester: Genomförs de regelbundet av extern part? Begär att se senaste rapporten (redigerad om nödvändigt).
• Säkerhetskopiering och disaster recovery: Var lagras backuper? Hur ofta testas återställning? RPO och RTO ska vara definierade och testade — inte bara dokumenterade.

Molnsäkerhet är inte en tilläggstjänst — det är en grundförutsättning.

SLA-avtal med substans

Ett SLA som lovar "99,9 % tillgänglighet" utan att definiera vad som händer vid brott är marknadsföring, inte ett avtal. Här är vad som ska finnas:

Referenstagning — den mest underskattade delen

Begär minst tre referenser från kunder i liknande bransch och storlek. Ring dem — mejla inte. Ställ dessa frågor:

1. Hur fungerar leverantören när det brinner? Alla är trevliga när allt fungerar. Det som räknas är hur de agerar vid P1-incident klockan tre på natten.

2. Har ni upplevt SLA-brott? Hur hanterades det? Svaret avslöjar leverantörens kultur.

3. Skulle ni välja dem igen? Och framför allt: vad skulle ni förhandla annorlunda?

4. Hur fungerar kommunikationen i vardagen? Får ni tag på rätt person, eller bollas ni runt i ett ticketsystem?

Vanliga misstag vid leverantörsval

Pris som enda beslutsgrund

Den billigaste leverantören kostar nästan alltid mest på sikt. Vi har tagit över driften från lågprisalternativ tillräckligt många gånger för att veta: teknisk skuld, bristande dokumentation och undermålig säkerhet genererar kostnader som överstiger den initiala besparingen mångfalt.

Bristande exit-strategi

Fråga redan vid avtalstecknandet: Vad händer om vi vill byta leverantör? Kräv dokumenterade processer för datautlämning, format för export och en definierad övergångsperiod. En leverantör som gör det svårt att lämna är en leverantör som inte litar på sitt eget värde.

Att ignorera kulturell matchning

Det låter mjukt, men det är högst konkret. Om er organisation förväntar sig snabb, informell kommunikation och leverantören arbetar med formella ärendehanteringssystem med flera dagars svarstid — då kommer relationen att gnissla. Besök leverantören fysiskt om möjligt. Prata med de tekniker som faktiskt kommer att hantera era system, inte bara säljteamet.

Molnleverantör kontra traditionell IT-leverantör

Distinktionen är viktig. En traditionell IT-leverantör hanterar ofta hårdvara, lokala servrar och nätverksinfrastruktur. En managerad molntjänstleverantör (MSP) fokuserar på molnplattformar som AWS, Azure och Google Cloud.

Frågan är inte "moln eller eget" — de flesta svenska företag befinner sig i en hybridverklighet. Det avgörande är att er leverantör har genuin kompetens inom den modell ni använder, inte bara ett partneravtal med en molnleverantör.

För företag mitt i en molnmigrering är det särskilt viktigt att leverantören har bevisad erfarenhet av just er typ av migrering — inte bara generell molnkompetens.

Så strukturerar ni beslutsprocessen

1. Behovsanalys (vecka 1–3): Kartlägg behov, interna resurser och budget

2. Kravspecifikation (vecka 3–4): Dokumentera icke-förhandlingsbara krav

3. Longlist (vecka 5–6): Identifiera 5–8 kandidater

4. RFP/RFI (vecka 6–10): Skicka formell förfrågan med era krav

5. Shortlist (vecka 10–12): Välj 2–3 finalister baserat på svar

6. Djupdykning (vecka 12–15): Referenstagning, teknisk demo, säkerhetsgranskning

7. Förhandling (vecka 15–18): SLA, prissättning, avtalslängd, exit-villkor

8. Beslut och avtal (vecka 18–20): Signering med definierad onboarding-plan

Opsios perspektiv

Som managerad molntjänstleverantör med 24/7 SOC/NOC och DevOps-stöd har vi suttit på båda sidor av utvärderingsbordet. Det vi konsekvent ser hos organisationer som gör bra leverantörsval: de investerar tid i behovsanalysen, de ställer obekväma frågor om säkerhet och incidenthantering, och de värderar kulturell matchning lika högt som teknisk kompetens.

Det vi ser hos dem som gör dåliga val: de jämför pris per timme, de läser inte SLA-avtalet på djupet, och de hoppar över referenstagningen. Beslutet att välja IT-leverantör är inte ett inköpsbeslut — det är ett partnerskapsbeslut som definierar er tekniska förmåga i tre till fem år framåt.

Vanliga frågor

Hur lång tid tar det att byta IT-leverantör?

Räkna med 3–6 månader för en kontrollerad övergång, beroende på komplexitet. Kritiska system kräver parallellkörning under minst en månad. Den vanligaste fällan är att underskatta migreringstiden för äldre system med teknisk skuld — det är där projekten skenar.

Vad ska ett SLA-avtal minst innehålla?

Tillgänglighetsgaranti (uttryckt i procent, t.ex. 99,9 %), definierade respons- och lösningstider per incidentklass, vitesklausuler vid brott, eskaleringsvägar med namngivna kontakter samt mätmetod och rapporteringsfrekvens. Utan vitesklausuler saknar avtalet tänder.

Ska vi välja en stor eller liten IT-leverantör?

Det beror på era behov. Stora leverantörer erbjuder bredd och redundans men kan ge er ett kundnummer istället för en relation. Mindre leverantörer ger ofta bättre tillgänglighet och flexibilitet men kan ha kapacitetsbegränsningar. Det viktigaste är att leverantörens storlek matchar er egen — ni ska vara en viktig kund, inte en fotnot.

Hur bedömer vi en leverantörs säkerhetsnivå?

Kräv dokumentation: ISO 27001-certifiering, SOC 2-rapport, penetrationstestresultat och incidenthanteringsrutiner. Fråga specifikt om NIS2-efterlevnad och var data lagras fysiskt. En leverantör som tvekar inför dessa frågor är inte mogen nog för era behov.

Vad kostar en managerad IT-tjänst för ett medelstort företag?

Priserna varierar kraftigt beroende på omfattning, men för ett företag med 50–200 anställda ligger kostnaden typiskt mellan 15 000 och 80 000 SEK per månad för managerade molntjänster. Jämför alltid totalkostnaden inklusive intern tid — det är där outsourcing ofta blir lönsamt.