Masalah dalam banyak pembelian SaaS tidak muncul saat Anda menandatangani kontrak. Masalah itu muncul beberapa bulan kemudian, ketika penyedia layanan berhenti merespons sesuai janji, mengubah ketentuan, mempersulit proses ekspor data, atau melimpahkan tanggung jawab yang Anda kira menjadi tanggung jawabnya kepada Anda. Pada titik itu, harga awal yang murah pun lenyap. Yang tersisa hanyalah gangguan operasional, risiko hukum, dan biaya keluar.
Para pemimpin UKM pasti sangat memahami hal ini. Demonstrasi komersial selalu terlihat rapi, namun kontraknya jauh dari itu. Dan ketika penyedia layanan terlibat dalam data, proses kritis, atau alur penjualan, keputusan yang salah tidak hanya berdampak pada bidang TI. Dampaknya juga merembet ke bidang administrasi, kepatuhan, layanan pelanggan, dan kelangsungan operasional.
Saya berbicara sebagai seorang pengusaha yang pernah mengalami perselisihan nyata dengan penyedia layanan yang kurang transparan terkait GDPR, penagihan di Eropa, dukungan yang sesungguhnya, dan perubahan sepihak terhadap ketentuan. Pelajarannya sederhana: due diligence terhadap penyedia layanan bukanlah sekadar formalitas dalam proses pengadaan. Ini adalah cara untuk menilai apakah suatu penyedia layanan dapat menjadi kekuatan pendorong atau justru risiko struktural.
Di sini Anda akan menemukan kerangka kerja praktis untuk menilai penyedia layanan layaknya Anda menilai mitra bisnis. Tidak hanya harga dan fitur, tetapi juga kontrak, keamanan, operasional, portabilitas, dan pemantauan berkelanjutan.
Situs web tersebut mengalami downtime pada hari yang paling buruk. Pesanan macet, tim penjualan berkomunikasi melalui tiga saluran berbeda, sementara tim layanan pelanggan tidak tahu harus berkata apa kepada pelanggan. Anda membuka tiket “prioritas” ke penyedia SaaS Anda dan hanya menerima balasan otomatis. Tidak ada teknisi, tidak ada eskalasi yang jelas, dan tidak ada perkiraan waktu penyelesaian secara real-time.
Pada saat itulah kamu menyadari apa yang sebenarnya telah kamu beli.
Anda tidak hanya membeli sebuah layanan. Anda membeli cara penyedia layanan tersebut menangani insiden, tanggung jawab, data, kontrak, dan penghentian layanan. Jika Anda belum memeriksa aspek-aspek ini sebelumnya, Anda telah menumpuk utang operasional. Hal ini tidak terlihat dalam demo, tidak tercantum dalam daftar harga, tetapi semuanya akan muncul sekaligus ketika penyedia layanan tersebut tidak mampu mengatasinya.
Ketika penyedia layanan mengalami kegagalan pada saat kritis, masalahnya tidak hanya bersifat teknis. Masalah tersebut langsung berubah menjadi masalah komersial, hukum, dan reputasi pada hari yang sama.
Banyak pengusaha memandang proses due diligence penyedia layanan sebagai sekadar prosedur administratif. Mereka memeriksa harga, dua fitur, mungkin sertifikasi di halaman utama, lalu menandatangani perjanjian. Ini adalah kesalahan umum. Pertanyaan-pertanyaan yang menentukan justru lain: siapa yang bertanggung jawab atas data, di mana data tersebut disimpan, bagaimana cara mengekspornya, siapa yang benar-benar membantu Anda, dan apa yang terjadi jika penyedia layanan berganti kepemilikan atau mengubah ketentuan kontrak.
Sisi yang merepotkan adalah pertanyaan-pertanyaan ini memperlambat proses negosiasi. Sisi yang bermanfaat adalah pertanyaan-pertanyaan ini mencegahmu menghadapi masalah selama berbulan-bulan di kemudian hari.
Proses due diligence penyedia layanan bertujuan untuk memahami risiko apa saja yang Anda tanggung bersamaan dengan layanan tersebut. Intinya bukanlah sekadar mengumpulkan dokumen agar merasa tenang saat penandatanganan. Intinya adalah memperkirakan terlebih dahulu berapa biaya yang sebenarnya harus Anda tanggung akibat penyedia layanan tersebut jika terjadi kendala, jika terjadi perubahan struktur kepemilikan perusahaan, jika dukungan yang diberikan tidak memadai, atau jika suatu hari nanti Anda harus segera mengakhiri kerja sama.
Siapa pun yang pernah menangani migrasi paksa atau insiden yang tidak ditangani dengan baik pasti mengetahuinya dengan baik. Masalah ini jarang hanya terbatas pada penyedia layanan. Masalah ini merembes ke dalam proses internal, menghambat kegiatan komersial, menghabiskan waktu tim teknis, memunculkan keraguan hukum, dan mengubah biaya langganan yang tampaknya menguntungkan menjadi utang operasional tersembunyi.
Oleh karena itu, proses due diligence yang serius dilakukan dalam empat aspek konkret:
Aturan praktis: jika pemasok terlibat dalam pengelolaan data, pembayaran, layanan pelanggan, atau proses kritis, due diligence harus diperlakukan sebagai pengendalian kelangsungan usaha, bukan sekadar praktik administratif.
Dalam konteks Italia, pengabaian ini menimbulkan biaya yang jauh lebih besar, karena rantai pasok sebagian besar terdiri dari usaha kecil dan menengah (UKM), yang seringkali sangat bergantung pada pihak ketiga. UKM mewakili 99,9% dari total perusahaan yang aktif dan menyerap sekitar 76,5% tenaga kerja di sektor swasta, menurut data yang dilaporkan oleh Kementerian Usaha dan Made in Italy. Dalam sistem seperti ini, risiko yang dihadapi pemasok dengan cepat merembet ke pelanggan.
Selain itu, ada kesalahan yang sering terjadi. Banyak perusahaan mengevaluasi penyedia layanan tanpa terlebih dahulu memperjelas apa yang sebenarnya mereka beli: infrastruktur, platform, perangkat lunak aplikasi, atau kombinasi ketiganya. Jika Anda ingin melakukan analisis ini dengan baik sejak awal, sebaiknya mulailah dengan memahami perbedaan-perbedaan layanan cloud.
Meremehkan proses due diligence terhadap penyedia layanan berarti memperlakukan mitra bisnis sebagai pos pengeluaran belaka. Di sinilah muncul masalah-masalah yang tak pernah disebutkan dalam presentasi: proses internal yang tidak disesuaikan dengan baik dengan penyedia layanan, ketergantungan teknis yang sulit dihilangkan, tanggung jawab yang baru Anda ketahui setelah terjadi insiden, serta biaya keluar yang muncul saat Anda memiliki ruang negosiasi yang semakin sempit.
Penilaian yang dilakukan dengan baik dapat mengurangi kejutan. Penilaian yang dilakukan dengan buruk justru hanya menunda kejutan tersebut.
Sebagian besar masalah serius tidak disebabkan oleh kegagalan teknis. Masalah tersebut bermula dari klausul yang terlambat dibaca. Kontrak tersebut menjelaskan siapa yang memegang kendali ketika terjadi masalah.
Saat mengevaluasi penyedia layanan, harga adalah hal terakhir yang harus diperhatikan. Yang lebih penting adalah ruang lingkup hukum dari hubungan tersebut.
Berangkatlah dari wilayah-wilayah berikut ini:
Banyak pengusaha memandang kontrak sebagai dokumen yang berfungsi sebagai perlindungan bagi penyedia layanan. Hal itu benar. Oleh karena itu, kontrak tersebut sebaiknya dibaca sebagai panduan untuk memahami insentif yang dimilikinya.
Dalam rapat bisnis, sebaiknya kita berbicara secara langsung. Tidak perlu menggunakan bahasa hukum. Yang penting adalah berbicara sebagai perusahaan yang ingin menghindari biaya tersembunyi.
Cobalah dengan pertanyaan-pertanyaan seperti ini:
Kontrak yang baik bukanlah kontrak yang menjanjikan segalanya. Melainkan kontrak yang meminimalkan ruang untuk ambiguitas ketika hubungan mulai memburuk.
Salah satu tanda peringatan klasik adalah penyedia layanan yang menjawab pertanyaan komersial dengan baik, tetapi menjawab pertanyaan terkait penghentian layanan dengan buruk. Tanda peringatan lainnya adalah adanya Perjanjian Perlindungan Data (DPA) standar, namun tidak benar-benar menjelaskan tanggung jawab, transfer data, dan tenggat waktu. Jika saat ini Anda bekerja dengan data, otomatisasi, atau sistem pengambilan keputusan, ada baiknya juga membaca tentang European AI Act bagi UMKM, karena undang- undang ini mendorong banyak perusahaan untuk merumuskan tata kelola, jejak audit, dan peran penyedia layanan secara lebih ketat.
Satu kriteria praktis terakhir. Jika penyedia layanan menganggap pertanyaan-pertanyaanmu mengenai data, tanggung jawab, dan portabilitas sebagai hal yang mengganggu, hal itu sudah menunjukkan seperti apa hubungan yang akan kamu jalin setelah penandatanganan.
Lambang kepatuhan memang membantu. Namun, itu saja tidak cukup. Sertifikasi menunjukkan bahwa ada sistem pengendalian. Namun, sertifikasi itu sendiri tidak cukup untuk memberi tahu Anda apakah penyedia layanan tersebut sesuai dengan konteks Anda, data Anda, dan risiko operasional Anda.
Kerangka kerja manajemen vendor merekomendasikan untuk mengumpulkan kuesioner risiko, laporan keuangan, sertifikasi seperti ISO 27001 dan SOC 2, serta mengklasifikasikan vendor berdasarkan tingkat kritisitasnya. Untuk vendor berisiko tinggi, diperlukan audit di lokasi dan peninjauan permukaan serangan eksternal, sebagaimana dirangkum oleh Mitratech dalam panduan tentang uji tuntas vendor.
Hal ini mengubah cara menilai seorang pemasok. Pertanyaannya bukanlah “Apakah ia memiliki sertifikasi?”. Pertanyaannya adalah “Bukti operasional apa yang dapat ia tunjukkan kepada saya selain sertifikasi tersebut?”.
Misalnya, masuk akal untuk bertanya:
BidangApa yang perlu ditanyakanMengapa hal ini pentingHostingWilayah penyimpanan data dan penyedia infrastruktur pihak ketigaBerpengaruh pada yurisdiksi dan kepatuhanCadanganData, frekuensi, verifikasi pemulihanCadangan yang tidak diuji hanyalah harapanAksesPengendalian atas akun berhak istimewaMengurangi risiko internal dan penyalahgunaanTanggapan insidenProses pengelolaan insiden yang terdokumentasiMemberitahu Anda siapa yang melakukan apa di bawah tekananKerentananBukti tinjauan terhadap permukaan yang terpaparBerguna untuk memahami seberapa terlihat dan rentan penyedia layanan tersebut
Yurisdiksi data jauh lebih penting daripada yang disangka banyak orang. Jika penyedia layanan menyimpan atau mentransfer data di luar batas yang selama ini Anda anggap sebagai hal yang biasa, maka kewajiban, penilaian, dan seringkali juga cara Anda menangani insiden serta permintaan resmi pun akan berubah.
Lalu ada bagian yang kurang glamor namun lebih praktis: pencadangan dan pemulihan bencana. Jangan hanya bertanya apakah keduanya ada. Tanyakan bagaimana prosesnya diverifikasi, bagaimana didokumentasikan, dan siapa yang bertindak jika terjadi kerusakan data atau layanan tidak tersedia.
Secara bersamaan, perhatikan reputasi pihak yang sedang Anda ajak berurusan. Di beberapa sektor yang penuh dengan isu kontroversial, memantau sinyal peringatan atau kewaspadaan yang dipublikasikan merupakan langkah pencegahan minimal. Contoh yang berguna adalah daftar hitam penipuan mata uang kripto, yang dengan jelas menunjukkan mengapa penyaringan reputasi dan verifikasi eksternal bukanlah sekadar kebiasaan, melainkan perlindungan dasar ketika penyedia layanan beroperasi di bidang-bidang yang sensitif atau tidak transparan.
Jika sebuah penyedia layanan hanya menunjukkan kepada Anda dokumen PDF yang menarik tanpa bukti nyata mengenai cara mereka menangani insiden, pencadangan data, akses, dan kerentanan, berarti Anda sedang menilai strategi pemasaran, bukan keamanan.
Kualitas sesungguhnya dari sebuah penyedia layanan terlihat saat Anda berada dalam situasi mendesak dan memiliki waktu yang sangat terbatas. Bukan dalam demo. Bukan dalam proposal komersial. Bukan di halaman “enterprise”.
Layanan dukungan harus dicoba terlebih dahulu sebelum menjadi pelanggan. Ini adalah langkah yang hampir tidak pernah dilakukan oleh siapa pun.
Kamu bisa melakukannya dengan mudah:
Penyedia layanan yang dapat diandalkan tidak akan tersinggung jika Anda mengajukan pertanyaan-pertanyaan ini. Mereka menganggapnya wajar.
Layanan dukungan yang luar biasa bukanlah yang merespons dengan cepat saat semuanya berjalan lancar. Melainkan yang menangani masalah rumit, tahu cara meneruskannya ke tingkat yang lebih tinggi, dan memberikan catatan tertulis mengenai keputusan yang diambil.
Di sinilah tersembunyi aspek yang paling sering diabaikan dalam proses due diligence penyedia layanan. Yaitu, lock-in.
Due diligence teknis yang efektif harus mencakup pemindaian kode dan dependensi untuk menyusun inventaris lengkap perangkat lunak pihak ketiga, hubungan antar-dependensi, dan lisensi sumber terbuka, serta verifikasi arsitektur, API, dan basis data guna mengukur risiko utang teknis dan ketergantungan (lock-in), sebagaimana dijelaskan oleh FOSSA dalam panduan mengenai due diligence teknis.
Jika diterjemahkan ke dalam bahasa dunia bisnis, Anda harus memahami tiga hal:
Jika penyedia layanan memudahkan Anda untuk bergabung tetapi mempersulit Anda untuk keluar, itu bukanlah kemitraan. Itu adalah ikatan.
Dalam hal kelangsungan operasional, penting juga untuk memahami bagaimana penyedia layanan memandang pemulihan dan kehilangan data. Jika Anda membutuhkan landasan operasional untuk mengevaluasi skenario-skenario ini, Anda dapat menemukan panduan yang baik di ELECTE mengenai pengelolaan RTO dan RPO.
Ada satu cara sederhana yang sangat membantu: sebelum menandatangani kontrak, mintalah prosedur offboarding tertulis. Jika tidak ada, biaya keluar hampir pasti lebih tinggi dari yang Anda bayangkan.
Masalah dengan daftar periksa adalah bahwa daftar tersebut hanya menggambarkan kondisi pemasok pada hari tertentu. Sementara itu, risikonya terus berubah.
Kekurangan yang sering ditemui dalam proses due diligence penyedia layanan justru terletak di sini: hampir semua pihak menjelaskan apa yang harus ditanyakan kepada penyedia layanan, namun hanya sedikit yang menjelaskan cara menghitung ulang risikonya dari waktu ke waktu. Padahal, konteks saat ini menuntut hal tersebut. Laporan Clusit 2025 menunjukkan bahwa pada tahun 2024, serangan siber terhadap sasaran di Italia mencapai 357 kasus, meningkat dibandingkan dengan 310 kasus pada tahun 2023, dengan 79% di antaranya memiliki tingkat keparahan tinggi atau kritis. Selain itu, pelanggaran yang terkait dengan pihak ketiga rata-rata menimbulkan kerugian lebih dari 370.000 dolar dibandingkan dengan pelanggaran internal, sebagaimana dilaporkan oleh SecurityScorecard dalam daftar periksa untuk penyedia layanan.
Hal ini mengubah logika pengendalian. Tidak cukup hanya menyetujui penyedia layanan saat awal. Anda harus menentukan penyedia mana yang memerlukan perhatian lebih dan tanda-tanda apa yang memicu dilakukannya evaluasi ulang.
Pendekatan berbasis risiko dimulai dari klasifikasi internal. Tidak semua pemasok sama. Setidaknya hal-hal berikut ini perlu diperhatikan:
Dari situ, Anda dapat membangun sistem pemantauan yang efektif, termasuk dengan menggunakan alat analisis data: dasbor SLA, pelacakan tiket kritis, peringatan terkait perubahan dokumentasi, perubahan pada pemasok subkontraktor, anomali dalam kinerja, atau insiden keamanan.
Sebuah pemasok tidak hanya menjadi berisiko ketika mengalami kecelakaan. Pemasok tersebut menjadi berisiko ketika tanda-tanda peringatan yang samar-samar terus menumpuk dan tidak ada yang mengaitkannya satu sama lain.
Bagi sebuah UMKM, inilah titik di mana data menjadi tata kelola yang diterapkan dalam praktik. Bukan untuk memperbaiki birokrasi, melainkan untuk bertindak lebih cepat.
Daftar periksa ini hanya memiliki satu tujuan: untuk mengetahui apakah Anda memilih pemasok yang mendukung bisnis Anda atau yang justru meninggalkan warisan berupa utang operasional, sengketa hukum, dan biaya keluar yang mahal. Jika dokumen tersebut tidak membantu Anda untuk mengatakan tidak, maka itu bukanlah daftar periksa yang berguna.
Dengan cara ini, kita dapat menghindari jenis masalah yang baru muncul setelah penandatanganan.
Yang penting di sini adalah bukti. Sertifikasi memang membantu, tetapi tidak menjelaskan bagaimana penyedia layanan bekerja di bawah tekanan.
Banyak kesalahan bermula di sini, bukan dalam kontrak.
Kesalahan yang paling umum adalah berhenti pada tahap seleksi. Risiko sesungguhnya muncul setelahnya, ketika layanan dukungan memburuk, pemasok turunannya berganti, barang ekspor ternyata tidak dapat digunakan, atau perubahan kebijakan mengalihkan tanggung jawab atas aktivitas yang Anda kira sudah termasuk kepada Anda. Di situlah biaya tak terduga mulai muncul.
Jika Anda ingin meringkas semuanya menjadi satu aturan praktis, gunakanlah ini: nilai penyedia layanan seperti halnya Anda menilai mitra operasional. Penyedia layanan tersebut harus mampu menghadapi insiden, sengketa hukum, dan pemutusan hubungan kerja yang tertib. Jika Anda tidak tahu cara mengakhiri kerja sama, berarti Anda belum melakukan pengecekan yang cukup.
Jika Anda ingin mengubah data mengenai pemasok, SLA, insiden, dan kinerja menjadi sistem pemantauan berkelanjutan, ELECTE—sebuah platform analitik data berbasis kecerdasan buatan (AI) untuk UKM—membantu mengumpulkan sinyal-sinyal yang tersebar dan mengubahnya menjadi wawasan yang berguna untuk pengambilan keputusan yang lebih cepat dan lebih terperinci. Ini adalah cara konkret untuk beralih dari due diligence yang bersifat sesekali menjadi pengawasan operasional yang lebih matang.
.svg)
.svg)
.svg)
