Un reparto acquista un software per risolvere un problema preciso. Il marketing vuole qualificare i contatti, le risorse umane automatizzare una selezione, l’amministrazione raccogliere firme, il commerciale trascrivere le riunioni. Il beneficio è immediato, il prezzo sembra contenuto e l’attivazione richiede pochi minuti.
Indice degli argomenti
Come nasce il debito operativo SaaS
Il suo perimetro, però, non resta nel reparto. Qualcuno dovrà amministrare gli account, verificare il fornitore, collegare l’applicazione agli altri sistemi, controllare i consumi, rispondere a un incidente, negoziare il rinnovo e recuperare i dati quando il servizio verrà sostituito. Il business case attribuisce il vantaggio alla funzione che compra; gran parte del lavoro successivo ricade su IT, sicurezza, acquisti, amministrazione e legale.
È una forma di esternalità interna: la decisione produce costi fuori dal budget e dagli obiettivi di chi l’ha presa. Il sistema complessivo può diventare inefficiente anche quando ogni acquisto ha superato correttamente il business case del reparto che lo ha richiesto.
Il debito operativo nasce qui. Non coincide con il canone e non è debito tecnico scritto nel codice: è il lavoro futuro creato da strumenti adottati senza poter includere nella decisione il loro intero ciclo di vita.
SaaS velocity e debito operativo in uno stack che cambia
BetterCloud registra una nuova espansione del SaaS dopo due anni di consolidamento. Nel suo sondaggio su 525 professionisti IT e sicurezza, il numero medio di applicazioni cresce dell’11%, da 106 a 118; nelle imprese fra 1.500 e 4.999 dipendenti passa da 116 a 164 [1]. Il rapporto attribuisce esplicitamente questa ripresa soprattutto all’ingresso dell’AI.
Zylo osserva una dinamica diversa. Nel proprio dataset il portafoglio medio comprende 305 applicazioni e diminuisce appena dello 0,07%, mentre la spesa cresce dell’8% e raggiunge 55,7 milioni di dollari l’anno [2]. Nelle grandi imprese entrano inoltre in media 21 nuove applicazioni al mese [3].
Il ricambio che l’inventario non misura
I due rapporti descrivono due forme diverse dello stesso problema. Un’applicazione introdotta e una dismessa possono annullarsi nel conteggio, ma non si annulla il lavoro prodotto dalle due decisioni: valutare il nuovo fornitore, assegnare gli accessi, integrare i sistemi, migrare i dati, modificare i contratti e rimuovere il servizio precedente. Due imprese possono avere entrambe 300 applicazioni, ma sostenere un carico operativo molto diverso se una conserva uno stack relativamente stabile e l’altra ne sostituisce continuamente una parte. Lo stesso rapporto Zylo indica infatti nell’accelerazione del ricambio, non soltanto nel numero complessivo delle applicazioni, la nuova frontiera della governance.
Con l’AI il cambiamento può avvenire anche senza un nuovo ingresso. Un prodotto già presente acquisisce funzioni, modalità di consumo, privilegi e integrazioni che ne modificano costi e responsabilità senza aggiungere una voce all’inventario.
Lo sprawl rendeva visibile ciò che si era accumulato, la SaaS velocity porta invece l’attenzione su quanto rapidamente quello stesso ambiente possa cambiare forma: ed è il debito operativo ad accelerare quando costi, responsabilità e dipendenze si modificano più rapidamente di quanto l’organizzazione riesca a governarli.
Oltre le licenze inutilizzate: il costo operativo del SaaS
Secondo Zylo, le organizzazioni lasciano inutilizzato in media il 36% delle licenze SaaS rispetto alle soglie di utilizzo raccomandate nel settore [3]. È la componente più facile da trasformare in una cifra: si individua la postazione inattiva, la si revoca e al rinnovo si riduce il contratto. Una dashboard può trovare una licenza morta, molto più difficilmente trova un processo vivo che non dovrebbe esistere.
Una licenza utilizzata può appartenere a un processo inefficiente. L’utente apre ogni giorno l’applicazione per copiare dati presenti altrove, autorizzare una pratica che attraversa altri sistemi o correggere un’integrazione incompleta. All’opposto, un accesso sporadico può essere indispensabile per una scadenza normativa.
Le duplicazioni più costose non nascono sempre da due applicazioni che svolgono la stessa funzione. Possono nascere anche quando sistemi diversi conservano versioni differenti della stessa informazione. Un cliente, per esempio, può risultare “attivo” nel CRM perché ha un’opportunità aperta, nella fatturazione perché ha effettuato un pagamento e nell’assistenza perché dispone ancora di un contratto valido.
Collegare questi sistemi non risolve automaticamente il problema: un’integrazione può trasferire il campo stato da un’applicazione all’altra, ma non stabilisce quale definizione debba essere considerata corretta. L’impresa paga quella divergenza nei report da riconciliare, nelle automazioni che agiscono su dati superati e nei sistemi AI che rendono più facile interrogare fonti incoerenti senza renderle coerenti.
Il costo dei passaggi tra applicazioni
Nel 2022 tre ricercatori hanno analizzato il lavoro di 20 team appartenenti a tre aziende Fortune 500. L’analisi pubblicata dalla Harvard Business Review ha rilevato quasi 1.200 passaggi quotidiani fra applicazioni e siti; il tempo necessario a riprendere il filo sfiorava complessivamente le quattro ore settimanali. In una procedura di supply chain, una sola transazione richiedeva circa 350 cambi fra 22 strumenti [4].
Il dato rende visibile un costo che l’analisi delle licenze non intercetta: un abbonamento può essere attivo, assegnato correttamente e perfino necessario, mentre il processo complessivo obbliga le persone a ricostruire di continuo informazioni e contesto.
Nel sondaggio BetterCloud, il 62% dei professionisti interpellati afferma che le attività manuali di amministrazione SaaS impediscono al proprio gruppo di dedicarsi a progetti strategici [1]. È il costo-opportunità che il conteggio delle licenze non mostra: Una licenza inattiva si elimina con una decisione; un’applicazione inserita in un processo inefficiente richiede di ridisegnare il processo. E in uno stack in continuo ricambio, il perimetro da razionalizzare può cambiare prima che quel lavoro sia concluso.
Governance SaaS tra acquisti distribuiti e manutenzione centrale
Nel campione Zylo, le unità di business controllano l’81% della spesa SaaS, mentre l’IT ne gestisce direttamente solo il 15%. La spesa effettuata tramite note spese è aumentata del 267% in un anno e ChatGPT è diventata l’applicazione acquistata più spesso attraverso questo canale, considerando il numero delle transazioni [3]. BetterCloud, in un campione diverso, rileva che soltanto il 56% delle applicazioni in uso ha ricevuto l’approvazione IT [1].
Un acquisto esterno al percorso ufficiale può segnalare un bisogno reale e una procedura interna incapace di rispondere in tempo. Il reparto vede innanzitutto uno strumento che risolve oggi il proprio problema. L’IT lo incontra più tardi, quando bisogna collegarlo al single sign-on, verificare dove conserva i dati, revocare l’accesso di chi ha lasciato l’azienda o ricostruire quali processi dipendano dalle sue API: la decisione resta locale, mentre una parte crescente della manutenzione ricade sulle funzioni che devono governare il sistema nel suo insieme.
Identità, API e integrazioni da governare
Lo State of SaaS Security 2025 della Cloud Security Alliance, commissionato da Valence Security e basato su 420 risposte, offre una misura di questa difficoltà. Il 54% degli intervistati dichiara di non disporre di automazione per il ciclo di vita delle identità; il 46% fatica a monitorare le identità non umane e il 56% è preoccupato per API dotate di privilegi eccessivi [5]. BetterCloud rileva inoltre che il 18% degli intervistati riferisce una violazione riconducibile a un ex dipendente il cui accesso era rimasto attivo [1].
La campagna che nell’agosto 2025 colpì diverse istanze Salesforce mostra il peso operativo di una connessione già autorizzata. Secondo un avviso dell’FBI coordinato con CISA, il gruppo UNC6395 sfruttò token OAuth compromessi dell’applicazione Salesloft Drift, integrata con Salesforce, per accedere alle istanze delle vittime ed esfiltrare dati. Il 20 agosto Salesloft, in collaborazione con Salesforce, revocò tutti i token attivi di accesso e aggiornamento collegati a Drift [6].
Un’integrazione autorizzata resta una responsabilità finché conserva accessi, privilegi o dipendenze operative. L’inventario conta le applicazioni separatamente; processi, dati e rischi attraversano invece le loro connessioni. Ogni integrazione può introdurre un’identità non umana, nuovi privilegi e un’ulteriore relazione di fiducia da controllare. Se vengono trattati dati personali, entrano inoltre in gioco finalità, tempi di conservazione, sub-responsabili e modalità di cancellazione che l’organizzazione deve continuare a conoscere e governare.
AI e debito operativo nello stack SaaS
BetterCloud definisce AI-powered sia gli strumenti nati attorno all’intelligenza artificiale sia le funzioni aggiunte a SaaS esistenti: insieme rappresentano ormai circa il 22% del portafoglio osservato [1]. Zylo chiama invece AI-native le applicazioni nelle quali l’AI costituisce il nucleo del prodotto e rileva per questa categoria una crescita della spesa del 108% in un anno, che raggiunge il 393% nelle imprese con più di 10.000 dipendenti [2].
La crescita, però, non riguarda soltanto il numero degli strumenti.
Dalle licenze al consumo di token
BetterCloud rileva che più di un terzo degli strumenti AI adotta esclusivamente prezzi basati sull’uso o sul consumo di token [1]. In un sondaggio separato di Zylo su 218 responsabili IT, il 78% riferisce addebiti inattesi legati a funzioni AI o modelli a consumo e il 61% dichiara di avere tagliato altri progetti per assorbire aumenti SaaS non pianificati [3].
Con la licenza per postazione, il numero degli utenti rende almeno visibile il costo impegnato. Con token, chiamate API, automazioni e funzioni premium, una parte della spesa matura invece durante l’utilizzo. L’adozione non conclude più la decisione economica: bisogna stabilire chi possa generare consumo, quale risultato lo giustifichi e a quale funzione attribuirne la responsabilità.
L’AI espande quindi lo stack anche dall’interno.
Il numero delle applicazioni può restare invariato mentre aumentano costi, privilegi, flussi di dati e dipendenze. Questa espansione è meno visibile perché avviene dentro prodotti già approvati, senza passare necessariamente attraverso una nuova decisione d’acquisto.
Il costo di uscita nel debito operativo SaaS
Il business case di un nuovo SaaS considera normalmente il prezzo, l’implementazione e il tempo che dovrebbe far risparmiare. Molto più raramente misura il costo dell’uscita: esportare gli archivi, separare dati ormai distribuiti tra più sistemi, sostituire le integrazioni, revocare token e autorizzazioni, correggere report e automazioni e modificare procedure che nel frattempo si sono adattate allo strumento.
Per questo una razionalizzazione puramente numerica può produrre un inventario più ordinato senza rendere l’organizzazione più semplice. Eliminare il 20% delle applicazioni riduce alcune fatture, ma può anche cancellare strumenti specialistici ancora utili, spingere i reparti verso account meno visibili o concentrare troppe funzioni presso un solo fornitore. Si può ridurre lo stack e aumentare contemporaneamente la dipendenza da ciò che resta.
Dipendenze che crescono dopo l’acquisto
Il costo dell’uscita, inoltre, non viene stabilito una volta per tutte al momento dell’acquisto. Ogni nuova integrazione, archivio trasferito, automazione costruita o processo adattato modifica ciò che sarà necessario fare per abbandonare il servizio. Il contratto può restare lo stesso mentre aumenta il numero delle attività che dipendono dal prodotto.
La SaaS velocity riduce quindi il tempo durante il quale la mappa delle dipendenze rimane attendibile, e mantenere possibile l’uscita richiede perciò un aggiornamento continuo: chi possiede il servizio, quali dati tratta, quali sistemi alimenta, quali accessi conserva e quali attività si fermerebbero se venisse rimosso. In assenza di questa ricostruzione, l’inventario documenta ciò che era stato approvato, non ciò che l’applicazione è diventata.
Per le imprese il vero divario non è più soltanto fra software necessario e software superfluo, ma fra cambiamenti riconosciuti e governati e cambiamenti scoperti soltanto dopo averne ereditato le conseguenze. La trasformazione digitale accelera il debito operativo quando produce nuove decisioni più rapidamente di quanto l’organizzazione riesca ancora a riconoscerle come tali.
Riferimenti
[1] BetterCloud, “The 2026 State of SaaS report”, 15 luglio 2026, e “236 SaaS statistics for 2026”; campione di 525 professionisti IT e sicurezza.
[2] Zylo, “2026 SaaS Management Index”, 2026; analisi di oltre 40 milioni di licenze e 75 miliardi di dollari di spesa SaaS e cloud.
[3] Zylo, “Zylo’s 2026 SaaS Management Index Finds AI-Native App Adoption Is Surging”, 29 gennaio 2026.
[4] Rohan Narayana Murty, Sandeep Dadlani e Rajath B. Das, “How Much Time and Energy Do We Waste Toggling Between Applications?”, Harvard Business Review, 29 agosto 2022.
[5] Cloud Security Alliance, “State of SaaS Security Report 2025”, 21 aprile 2025; sondaggio su 420 professionisti IT e sicurezza, commissionato da Valence Security.
[6] Federal Bureau of Investigation, “Cyber Criminal Groups UNC6040 and UNC6395 Compromising Salesforce Instances for Data Theft and Extortion”, FLASH-20250912-001, 12 settembre 2025.
Partecipa alla community