Problem związany z wieloma zakupami usług SaaS nie pojawia się w momencie podpisania umowy. Pojawia się kilka miesięcy później, gdy dostawca przestaje reagować zgodnie z obietnicą, zmienia warunki, utrudnia eksport danych lub zrzuca na Ciebie odpowiedzialność, którą uważałeś za swoją. W tym momencie początkowa niska cena przestaje mieć znaczenie. Pozostają: zastój operacyjny, ryzyko prawne i koszty związane z rezygnacją z usługi.
Każdy, kto kieruje małą lub średnią firmą, dobrze o tym wie. Prezentacja handlowa zawsze wygląda idealnie, ale umowa już znacznie mniej. A kiedy dostawca ma dostęp do danych, kluczowych procesów lub przepływów sprzedaży, zła decyzja nie ogranicza się tylko do działu IT. Ma ona wpływ na administrację, zgodność z przepisami, obsługę klienta i ciągłość działania.
Mówię to jako przedsiębiorca, który miał do czynienia z konkretnymi sporami z dostawcami, którzy nie wyjaśniali jasno kwestii związanych z RODO, fakturowaniem europejskim, rzeczywistym wsparciem technicznym oraz jednostronnymi zmianami warunków umowy. Wniosek jest prosty: due diligence dostawcy nie jest tylko formalnością w ramach procesu zaopatrzenia. To sposób, w jaki oceniasz, czy dostawca może stać się atutem, czy też stanowić ryzyko strukturalne.
Poniżej znajdziesz praktyczny schemat pozwalający ocenić dostawcę tak, jak ocenia się partnera biznesowego. Nie chodzi tylko o cenę i funkcjonalność, ale także o umowę, bezpieczeństwo, sprawność działania, możliwość przeniesienia usługi oraz ciągłe monitorowanie.
Strona nie działa w najgorszym możliwym dniu. Zamówienia się zawieszają, zespół handlowy komunikuje się na trzech różnych kanałach, a dział obsługi klienta nie wie, co powiedzieć klientom. Otwierasz zgłoszenie „priorytetowe” u swojego dostawcy SaaS i otrzymujesz automatyczną odpowiedź. Żadnego technika, żadnej jasnej ścieżki eskalacji, żadnego czasu rozwiązania problemu w czasie rzeczywistym.
Właśnie w tym momencie zdajesz sobie sprawę, co tak naprawdę kupiłeś.
Nie kupiłeś tylko usługi. Kupiłeś sposób, w jaki ten dostawca radzi sobie z incydentami, odpowiedzialnością, danymi, umową i wycofaniem się z umowy. Jeśli wcześniej nie sprawdziłeś tych aspektów, narobiłeś sobie długów operacyjnych. Nie widać tego w wersji demonstracyjnej, nie pojawia się to w cenniku, ale wszystko to ujawnia się naraz, gdy dostawca nie daje rady.
Kiedy dostawca zawodzi w krytycznym momencie, problem nie ma wyłącznie charakteru technicznego. Tego samego dnia nabiera on wymiaru handlowego, prawnego i wizerunkowego.
Wielu przedsiębiorców traktuje proces due diligence dostawcy jako zwykłą formalność. Sprawdzają cenę, dwie funkcje, może certyfikat na stronie głównej, a potem podpisują umowę. To częsty błąd. Decydujące pytania są inne: kto ponosi odpowiedzialność za dane, gdzie się one znajdują, jak można je wyeksportować, kto naprawdę zapewnia wsparcie, co się stanie, jeśli dostawca zmieni właściciela lub zmieni warunki umowy.
Najgorsze jest to, że te pytania spowalniają negocjacje. Najlepsze jest to, że pozwalają uniknąć miesięcy kłopotów w przyszłości.
Due diligence dostawcy służy do ustalenia, jaką część ryzyka nabywasz wraz z usługą. Nie chodzi tu o zebranie dokumentów, by mieć spokój ducha w momencie podpisywania umowy. Chodzi o to, by z góry oszacować, ile naprawdę będzie cię kosztował ten dostawca, jeśli coś pójdzie nie tak, jeśli zmieni się struktura własnościowa firmy, jeśli wsparcie techniczne okaże się niewystarczające lub jeśli w przyszłości będziesz musiał szybko zrezygnować z usług.
Każdy, kto miał już do czynienia z wymuszoną migracją lub źle zarządzanym incydentem, doskonale o tym wie. Problem rzadko ogranicza się wyłącznie do dostawcy. Wpływa na procesy wewnętrzne, hamuje działalność handlową, pochłania czas zespołu technicznego, rodzi wątpliwości prawne i sprawia, że pozornie korzystna opłata abonamentowa staje się ukrytym długiem operacyjnym.
Dlatego rzetelna analiza due diligence opiera się na czterech konkretnych płaszczyznach:
Zasada praktyczna: jeśli dostawca ma wpływ na dane, płatności, obsługę klienta lub proces o kluczowym znaczeniu, due diligence należy traktować jako kontrolę ciągłości działania przedsiębiorstwa, a nie jako procedurę administracyjną.
W kontekście włoskim niedoszacowanie kosztów jest jeszcze bardziej dotkliwe, ponieważ łańcuch dostaw składa się w dużej mierze z małych i średnich przedsiębiorstw, często w znacznym stopniu uzależnionych od podmiotów zewnętrznych. MŚP stanowią 99,9% aktywnych przedsiębiorstw i zatrudniają około 76,5% pracowników sektora prywatnego, zgodnie z danymi przedstawionymi przez Ministerstwo Przedsiębiorczości i „Made in Italy”. W takim systemie ryzyko ponoszone przez dostawcę szybko przenosi się na klienta.
Istnieje też pewien powtarzający się błąd. Wiele firm ocenia dostawcę, nie wyjaśniając wcześniej, co tak naprawdę zamierzają nabyć: infrastrukturę, platformę, oprogramowanie aplikacyjne czy też połączenie tych trzech elementów. Jeśli chcesz dobrze przeprowadzić tę analizę już na samym początku, warto zacząć od rozróżnienia rodzajów usług w chmurze.
Nie docenianie procesu due diligence dostawcy oznacza traktowanie partnera biznesowego jako pozycji wydatkowej. To właśnie tutaj pojawiają się problemy, o których nikt nie wspomina podczas prezentacji: procesy wewnętrzne źle dostosowane do dostawcy, trudne do wyeliminowania zależności techniczne, odpowiedzialność, o której dowiadujesz się dopiero po incydencie, oraz koszty wyjścia, które pojawiają się w momencie, gdy masz najmniejszą swobodę negocjacyjną.
Dobrze przeprowadzona wycena pozwala uniknąć niespodzianek. Źle przeprowadzona wycena jedynie je odkłada na później.
Większość poważnych problemów nie wynika z usterki technicznej. Wynika z klauzuli, którą przeczytano zbyt późno. Umowa określa, kto przejmuje kontrolę nad sytuacją, gdy coś się zepsuje.
Oceniając dostawcę, cena powinna być ostatnim czynnikiem, na który należy zwrócić uwagę. Najważniejszy jest zakres prawny tej relacji.
Wyrusz z następujących obszarów:
Wielu przedsiębiorców postrzega umowę jako dokument służący ochronie interesów dostawcy. To prawda. Dlatego należy ją traktować jako mapę jego motywacji.
Podczas spotkania handlowego warto mówić wprost. Nie ma sensu wypowiadać się jak prawnik. Trzeba mówić jak firma, która chce uniknąć ukrytych kosztów.
Spróbuj zadać pytania w następujący sposób:
Dobra umowa to nie taka, która obiecuje wszystko. To taka, która pozostawia niewiele miejsca na niejasności, gdy relacja ulega pogorszeniu.
Klasycznym sygnałem ostrzegawczym jest dostawca, który dobrze odpowiada na pytania dotyczące warunków handlowych, a słabo na te dotyczące wycofania się z umowy. Kolejnym jest standardowa umowa o przetwarzaniu danych (DPA), która wprawdzie istnieje, ale nie wyjaśnia w sposób jednoznaczny kwestii odpowiedzialności, przekazywania danych i terminów. Jeśli obecnie zajmujesz się danymi, automatyzacją lub systemami decyzyjnymi, warto zapoznać się również z tematem europejskiej ustawy o sztucznej inteligencji (European AI Act) w odniesieniu do MŚP, ponieważ skłania ona wiele firm do bardziej rygorystycznego sformalizowania zasad zarządzania, identyfikowalności oraz roli dostawców.
Ostatnia praktyczna wskazówka. Jeśli dostawca uważa twoje pytania dotyczące danych, odpowiedzialności i przenoszenia danych za uciążliwe, to już teraz daje do zrozumienia, jakiego rodzaju relacje będą was łączyć po podpisaniu umowy.
Znak zgodności jest pomocny. Ale to nie wystarczy. Certyfikat potwierdza istnienie systemu kontroli. Sam w sobie nie mówi jednak, czy dany dostawca jest odpowiedni dla Twojego kontekstu, Twoich danych i Twojego ryzyka operacyjnego.
Ramy zarządzania dostawcami zalecają gromadzenie kwestionariuszy dotyczących ryzyka, sprawozdań finansowych oraz certyfikatów, takich jak ISO 27001 i SOC 2, a także klasyfikowanie dostawców według stopnia krytyczności. W przypadku dostawców wysokiego ryzyka należy dodatkowo przeprowadzać audyty na miejscu oraz analizy zewnętrznej powierzchni ataku, jak podsumowuje firma Mitratech w przewodniku dotyczącym due diligence dostawców.
Ten punkt zmienia sposób oceny dostawcy. Pytanie nie brzmi: „Czy posiada certyfikat?”. Pytanie brzmi: „Jakie dowody działania może mi przedstawić oprócz certyfikatu?”.
Na przykład warto zapytać:
Obszar O co pytać Dlaczego to ma znaczenie Hosting Region przechowywania danych i podwykonawcy infrastruktury Ma wpływ na jurysdykcję i zgodność z przepisami Kopie zapasowe Polityki, częstotliwość, weryfikacja przywracania danych Nieweryfikowana kopia zapasowa to tylko nadzieja Dostęp Kontrola kont uprzywilejowanych Zmniejsza ryzyko wewnętrzne i nadużycia Reagowanie na incydenty Udokumentowany proces zarządzania incydentami Wskazuje, kto co robi w sytuacji stresowej Luki w zabezpieczeniach Dowody przeglądu powierzchni narażonej Pomaga zrozumieć, na ile dostawca jest widoczny i podatny na ataki
Kwestia jurysdykcji danych ma większe znaczenie, niż wielu sądzi. Jeśli dostawca przechowuje lub przekazuje dane poza obszar, który uznawałeś za oczywisty, zmieniają się obowiązki, oceny, a często także sposób, w jaki zarządzasz incydentami i formalnymi zgłoszeniami.
Jest też strona mniej efektowna, a za to bardziej praktyczna: tworzenie kopii zapasowych i odzyskiwanie danych po awarii. Nie ograniczaj się do pytania, czy takie rozwiązania istnieją. Zapytaj, w jaki sposób są one weryfikowane, jak są dokumentowane i kto podejmuje działania w przypadku uszkodzenia danych lub niedostępności usługi.
Równolegle należy zwrócić uwagę na reputację podmiotu, z którym prowadzisz negocjacje. W niektórych branżach, w których panuje duży szum informacyjny, sprawdzanie publicznych sygnałów ostrzegawczych lub alarmowych stanowi minimalny środek ostrożności. Dobrym przykładem jest czarna lista oszustw związanych z kryptowalutami, która dobrze pokazuje, dlaczego weryfikacja reputacji i kontrola zewnętrzna nie są tylko kaprysem, ale podstawową ochroną, gdy dostawca działa w obszarach wrażliwych lub nieprzejrzystych.
Jeśli dostawca pokazuje Ci tylko eleganckie pliki PDF, a nie przedstawia żadnych dowodów na to, jak radzi sobie z incydentami, kopiami zapasowymi, dostępem i lukami w zabezpieczeniach, to oceniasz działania marketingowe, a nie kwestie bezpieczeństwa.
Prawdziwą jakość dostawcy widać wtedy, gdy sytuacja jest pilna, a margines czasu niewielki. Nie w wersji demonstracyjnej. Nie w ofercie handlowej. Nie na stronie „enterprise”.
Przed podjęciem decyzji o zostaniu klientem należy przetestować obsługę. Jest to krok, którego prawie nikt nie wykonuje.
Możesz to zrobić w prosty sposób:
Rzetelny dostawca usług nie obrazi się, jeśli zadasz te pytania. Uważa je za normalne.
Doskonała obsługa klienta to nie taka, która szybko odpowiada, gdy wszystko działa bez zarzutu. To taka, która zajmuje się trudnym problemem, potrafi go eskalować i pozostawia pisemny ślad podjętych decyzji.
Właśnie w tym kryje się najbardziej pomijany aspekt due diligence dostawcy usług. Efekt „lock-in”.
Skuteczna analiza due diligence technicznej powinna obejmować skanowanie kodu i zależności w celu stworzenia pełnego wykazu oprogramowania stron trzecich, powiązań między zależnościami oraz licencji open source, a także weryfikację architektury, interfejsów API i baz danych w celu oszacowania ryzyka związanego z długiem technicznym i uzależnieniem od dostawcy, jak wyjaśnia FOSSA w przewodniku dotyczącym analizy due diligence technicznej.
Mówiąc językiem biznesowym, musisz zrozumieć trzy rzeczy:
Jeśli dostawca ułatwia rozpoczęcie współpracy, a utrudnia jej zakończenie, to nie jest to partnerstwo. To jest przymus.
Jeśli chodzi o ciągłość działania, warto również wyjaśnić, w jaki sposób dostawca podchodzi do kwestii przywracania danych i ich utraty. Jeśli szukasz podstawy do oceny tych scenariuszy, dobrym punktem odniesienia jest publikacja ELECTE dotycząca zarządzania wskaźnikami RTO i RPO.
Bardzo pomocna jest jedna prosta zasada: przed podpisaniem umowy poproś o pisemną procedurę zakończenia zatrudnienia. Jeśli taka procedura nie istnieje, koszt odejścia z pracy będzie prawie na pewno wyższy, niż sobie wyobrażasz.
Problem z listami kontrolnymi polega na tym, że przedstawiają one dostawcę w konkretnym dniu. Ryzyko natomiast nieustannie się zmienia.
Częstą luką w procesie due diligence dostawców jest właśnie to: niemal wszyscy wyjaśniają, o co należy zapytać dostawcę, ale niewielu wyjaśnia, jak na bieżąco ponownie obliczać ryzyko z nim związane. A przecież sytuacja tego wymaga. Raport Clusit 2025 wskazuje, że w 2024 r. odnotowano 357 cyberataków na włoskie cele, co stanowi wzrost w porównaniu z 310 atakami w 2023 r., przy czym 79% z nich miało wysoki lub krytyczny poziom zagrożenia. Ponadto naruszenia związane z podmiotami zewnętrznymi kosztują średnio ponad 370 000 dolarów więcej niż te wewnętrzne, jak podaje SecurityScorecard w swojej liście kontrolnej dla dostawców usług.
To zmienia logikę kontroli. Nie wystarczy zatwierdzić dostawcę na samym początku. Trzeba zdecydować, którzy dostawcy wymagają większej uwagi i jakie sygnały powodują konieczność ponownej oceny.
Podejście oparte na ryzyku opiera się na wewnętrznej klasyfikacji. Nie wszyscy dostawcy są tacy sami. Należy wziąć pod uwagę przynajmniej:
Na tej podstawie można stworzyć skuteczny system monitorowania, wykorzystując również narzędzia do analizy danych: pulpity nawigacyjne dotyczące umów SLA, śledzenie zgłoszeń krytycznych, powiadomienia o zmianach w dokumentacji, zmianach dotyczących podwykonawców, nieprawidłowościach w wydajności lub zdarzeniach związanych z bezpieczeństwem.
Dostawca nie staje się ryzykowny dopiero wtedy, gdy dochodzi do wypadku. Staje się ryzykowny, gdy kumulują się słabe sygnały, a nikt nie interpretuje ich w szerszym kontekście.
Dla małego i średniego przedsiębiorstwa jest to moment, w którym dane przekładają się na praktyczne zarządzanie. Nie po to, by usprawnić biurokrację, ale by szybciej reagować.
Lista kontrolna służy tylko jednemu celowi: ustaleniu, czy wybierasz dostawcę, który wspiera Twój biznes, czy też takiego, który pozostawi Ci w spadku zadłużenie operacyjne, spory prawne i kosztowne wyjście z umowy. Jeśli dokument ten nie pomaga Ci odmówić, nie jest to przydatna lista kontrolna.
W ten sposób unika się tego rodzaju problemów, które ujawniają się dopiero po podpisaniu umowy.
Tutaj liczą się fakty. Certyfikaty są pomocne, ale nie wyjaśniają, jak dostawca radzi sobie pod presją.
Wiele błędów wynika właśnie z tego, a nie z umowy.
Najczęstszym błędem jest zatrzymanie się na etapie selekcji. Prawdziwe ryzyko ujawnia się dopiero później, gdy pogarsza się jakość wsparcia, zmieniają się poddostawcy, eksportowane produkty okazują się bezużyteczne lub zmiana polityki firmy powoduje, że musisz samodzielnie zająć się zadaniami, które uważałeś za już uwzględnione. Właśnie wtedy pojawiają się koszty drugiego rzędu.
Jeśli chcesz to wszystko ująć w jedną praktyczną zasadę, skorzystaj z tej: oceniaj dostawcę tak, jak oceniłbyś partnera biznesowego. Musi on wytrzymać wypadek, spór prawny i uporządkowane zakończenie współpracy. Jeśli nie wiesz, jak się z tego wycofać, to znaczy, że nie sprawdziłeś tego wystarczająco dokładnie.
Jeśli chcesz przekształcić dane dotyczące dostawców, umów SLA, incydentów i wydajności w system ciągłego monitorowania, ELECTE – platforma analityczna oparta na sztucznej inteligencji, przeznaczona dla małych i średnich przedsiębiorstw – pomaga zebrać rozproszone sygnały i przekształcić je w przydatne wnioski, umożliwiające podejmowanie szybszych i lepiej uzasadnionych decyzji. Jest to konkretny sposób na przejście od sporadycznej analizy due diligence do bardziej dojrzałego nadzoru operacyjnego.
.svg)
.svg)
.svg)
