Problema multor achiziții de servicii SaaS nu apare în momentul semnării contractului. Apare luni mai târziu, când furnizorul încetează să mai răspundă așa cum a promis, modifică condițiile, complică exportul datelor sau îți transferă responsabilități pe care credeai că îi revin lui. În acel moment, prețul inițial redus dispare. Rămân blocajul operațional, riscul juridic și costul de ieșire.
Cei care conduc o întreprindere mică sau mijlocie știu asta foarte bine. Demonstrația comercială este întotdeauna impecabilă, contractul însă mult mai puțin. Iar când furnizorul are acces la date, procese critice sau fluxuri de vânzări, o alegere greșită nu se limitează doar la departamentul IT. Ea afectează și administrația, conformitatea, serviciul de relații cu clienții și continuitatea operațională.
Vorbesc în calitate de antreprenor care s-a confruntat cu dispute concrete cu furnizori care nu ofereau clarități privind GDPR, facturarea europeană, asistența reală și modificările unilaterale ale termenilor și condițiilor. Lecția este simplă: procesul de due diligence al furnizorilor nu este o simplă formalitate de achiziții. Este modul prin care evaluezi dacă un furnizor poate deveni un punct forte sau un risc structural.
Aici vei găsi un cadru practic pentru a evalua un furnizor așa cum ai evalua un partener. Nu doar prețul și funcționalitățile, ci și contractul, securitatea, funcționalitatea, portabilitatea și monitorizarea continuă.
Site-ul este indisponibil chiar în cea mai proastă zi posibilă. Comenzile se blochează, echipa de vânzări comunică pe trei canale diferite, iar serviciul de asistență pentru clienți nu știe ce să le spună clienților. Deschizi un tichet „prioritar” la furnizorul tău de servicii SaaS și primești un răspuns automat. Niciun tehnician, nicio escaladare clară, niciun termen de rezolvare în timp real.
Abia în acel moment îți dai seama ce ai cumpărat de fapt.
Nu ai cumpărat doar un serviciu. Ai cumpărat modul în care acel furnizor gestionează incidentele, răspunderea, datele, contractul și încetarea contractului. Dacă nu ai verificat aceste aspecte în prealabil, ai acumulat o datorie operațională. Nu se vede în demonstrație, nu apare în lista de prețuri, dar totul iese la iveală odată când furnizorul nu mai face față.
Atunci când un furnizor dă greș într-un moment critic, problema nu este doar de natură tehnică. Ea devine, în aceeași zi, o problemă comercială, juridică și de reputație.
Mulți antreprenori tratează procesul de due diligence al furnizorului ca pe o simplă formalitate administrativă. Verifică prețul, câteva funcționalități, poate o certificare afișată pe pagina principală, apoi semnează. Este o greșeală frecventă. Întrebările decisive sunt altele: cine răspunde de date, unde se află acestea, cum se exportă, cine te asistă cu adevărat, ce se întâmplă dacă furnizorul își schimbă proprietarul sau modifică termenii contractului.
Partea neplăcută este că aceste întrebări încetinesc negocierile. Partea utilă este că te scutesc de luni întregi de probleme ulterior.
Due diligence-ul furnizorului servește la a înțelege ce parte din risc o achiziționezi odată cu serviciul. Nu este vorba de a strânge documente doar pentru a avea liniște sufletească în momentul semnării. Ideea este să estimezi, în prealabil, cât te va costa cu adevărat acel furnizor dacă ceva nu merge bine, dacă se schimbă structura societății, dacă asistența nu este la înălțime sau dacă, într-o zi, va trebui să renunți rapid la colaborare.
Cine a gestionat deja o migrație forțată sau un incident gestionat necorespunzător știe foarte bine acest lucru. Problema rareori se limitează doar la furnizor. Ea afectează procesele interne, blochează activitatea comercială, consumă ore din timpul echipei tehnice, generează îndoieli de natură juridică și transformă un abonament aparent avantajos într-o datorie operațională ascunsă.
De aceea, o evaluare riguroasă se desfășoară pe patru planuri concrete:
Regulă practică: dacă furnizorul are legătură cu datele, plățile, serviciul de relații cu clienții sau un proces critic, procesul de due diligence trebuie tratat ca o verificare a continuității activității, nu ca o procedură administrativă.
În contextul italian, subestimarea costă și mai mult, deoarece lanțul de aprovizionare este format în mare parte din întreprinderi mici și mijlocii, adesea foarte dependente de terți. IMM-urile reprezintă 99,9% din întreprinderile active și angajează aproximativ 76,5% din personalul din sectorul privat, conform datelor furnizate de Ministerul Întreprinderilor și al „Made in Italy”. Într-un astfel de sistem, riscul furnizorului se propagă rapid către client.
Există, de asemenea, o greșeală frecventă. Multe companii evaluează un furnizor fără să fi clarificat mai întâi ce anume achiziționează de fapt: infrastructură, platformă, software de aplicații sau o combinație a celor trei. Dacă doriți să realizați această analiză în mod corespunzător încă din faza inițială, este recomandabil să începeți prin a analiza diferențele dintre serviciile cloud.
A subestima procesul de due diligence al furnizorului înseamnă a trata un partener comercial ca pe un element de cheltuială. De aici apar problemele pe care nimeni nu le menționează în prezentarea de vânzare: procese interne prost adaptate la furnizor, dependențe tehnice greu de eliminat, responsabilități pe care le descoperi abia după un incident și costuri de ieșire care apar atunci când ai cel mai puțin spațiu de manevră pentru a negocia.
O evaluare bine realizată reduce surprizele. O evaluare realizată prost nu face decât să le amâne.
Majoritatea problemelor grave nu provin dintr-o defecțiune tehnică. Ele provin dintr-o clauză citită prea târziu. Contractul îți spune cine deține controlul asupra situației atunci când ceva se strică.
Atunci când evaluezi un furnizor, prețul este ultimul aspect pe care trebuie să-l iei în considerare. Pe primul loc se află cadrul juridic al relației.
Pornește din aceste zone:
Mulți antreprenori interpretează contractul ca pe un document de apărare a furnizorului. Este corect. De aceea, acesta trebuie citit ca o hartă a stimulentelor sale.
În cadrul unei întâlniri comerciale, este bine să fii direct. Nu are rost să vorbești ca un avocat. Trebuie să vorbești ca o companie care dorește să evite costurile ascunse.
Încearcă cu întrebări de genul:
Un contract bun nu este cel care promite totul. Este cel care lasă puține locuri de ambiguitate atunci când relația se deteriorează.
Un semnal de alarmă clasic este acela în care furnizorul răspunde bine la întrebările de natură comercială, dar slab la cele legate de retragere. Un alt semnal de alarmă este existența unui acord standard privind protecția datelor (DPA), care însă nu clarifică cu adevărat responsabilitățile, transferurile și termenele. Dacă în prezent lucrezi cu date, automatizări sau sisteme decizionale, merită să citești și despre Legea europeană privind IA pentru IMM-uri, deoarece aceasta determină multe companii să formalizeze într-un mod mai riguros guvernanța, trasabilitatea și rolul furnizorilor.
Un ultim criteriu practic. Dacă furnizorul consideră că întrebările tale privind datele, responsabilitatea și portabilitatea sunt deranjante, acest lucru spune deja ceva despre tipul de relație pe care o vei avea după semnarea contractului.
Un certificat de conformitate este util. Dar nu este suficient. O certificare indică existența unui sistem de control. Ea nu îți spune, însă, dacă acel furnizor este potrivit pentru contextul tău, pentru datele tale și pentru expunerea ta operațională.
Cadrele de referință pentru gestionarea furnizorilor recomandă colectarea chestionarelor de risc, a rapoartelor financiare și a certificărilor precum ISO 27001 și SOC 2, precum și clasificarea furnizorilor în funcție de gradul de criticitate. În cazul furnizorilor cu risc ridicat, se adaugă audituri la fața locului și analize ale suprafeței de atac externe, așa cum sintetizează Mitratech în ghidul privind due diligence-ul furnizorilor.
Acest aspect schimbă modul în care se evaluează un furnizor. Întrebarea nu este „Are o certificare?”. Întrebarea este „Ce dovezi concrete îmi prezintă, pe lângă certificare?”.
De exemplu, are sens să ne întrebăm:
Domeniu Ce să întrebi De ce este important Găzduire Regiunea în care sunt stocate datele și subfurnizorii de infrastructură Are impact asupra jurisdicției și conformității Backup Politici, frecvență, verificarea restaurăriiUn backup netestat este doar o speranțăAccesuriControale asupra conturilor privilegiateReduce riscul intern și abuzulRăspunsul la incidenteProces documentat de gestionare a incidentelorÎți arată cine ce face sub presiuneVulnerabilitățiDovezi ale revizuirii suprafeței expuseAjută la înțelegerea gradului de vizibilitate și vulnerabilitate al furnizorului
Competența jurisdicțională în materie de date are o importanță mai mare decât cred mulți. Dacă furnizorul găzduiește sau transferă date în afara perimetrului pe care îl considerai de la sine înțeles, se modifică obligațiile, evaluările și, adesea, chiar și modul în care gestionezi incidentele și solicitările oficiale.
Apoi urmează partea mai puțin strălucitoare, dar mai concretă: backup-ul și recuperarea în caz de dezastru. Nu te limita să întrebi dacă acestea există. Întreabă cum sunt verificate, cum sunt documentate și cine intervine în cazul corupției datelor sau al indisponibilității serviciului.
În paralel, analizează reputația subiectului cu care ai de-a face. În anumite sectoare cu un nivel ridicat de zgomot, verificarea semnalelor publice de vigilență sau de alertă reprezintă o măsură minimă de precauție. Un exemplu util este lista neagră a înșelătoriilor cu criptomonede, care ilustrează bine de ce verificarea reputației și verificarea externă nu sunt o simplă capriciu, ci o protecție de bază atunci când furnizorul își desfășoară activitatea în domenii sensibile sau opace.
Dacă un furnizor îți prezintă doar broșuri PDF lucioase și nicio dovadă a modului în care gestionează incidentele, copiile de rezervă, accesele și vulnerabilitățile, atunci evaluezi strategia de marketing, nu securitatea.
Adevărata calitate a unui furnizor se vede atunci când ai o urgență și puțin timp la dispoziție. Nu în versiunea demo. Nu în oferta comercială. Nu pe pagina „enterprise”.
Serviciul trebuie testat înainte de a deveni client. Este un pas pe care aproape nimeni nu îl face.
Poți face asta foarte simplu:
Un furnizor de încredere nu se supără dacă pui aceste întrebări. Le consideră normale.
Un serviciu de asistență excelent nu este acela care răspunde rapid atunci când totul funcționează. Este acela care preia o problemă complicată, știe cum să o escaladeze și îți lasă o urmă scrisă a deciziilor luate.
Aici se ascunde aspectul cel mai neglijat al procesului de due diligence al furnizorilor. Lock-in-ul.
O due diligence tehnică eficientă trebuie să includă scanarea codului și a dependențelor pentru a crea un inventar complet al software-ului de la terți, al relațiilor dintre dependențe și al licențelor open source, precum și verificarea arhitecturii, a API-urilor și a bazelor de date pentru a evalua riscul datoriei tehnice și al blocării (lock-in), așa cum explică FOSSA în ghidul privind due diligence-ul tehnic.
Tradus în limbajul antreprenorial, trebuie să înțelegi trei lucruri:
Dacă furnizorul îți face ușoară intrarea și dificilă ieșirea, nu ai un parteneriat. Ai o legătură.
În ceea ce privește continuitatea, merită, de asemenea, să clarifici modul în care furnizorul abordează problema recuperării și pierderii datelor. Dacă dorești un cadru operațional pentru a evalua aceste scenarii, poți găsi un bun punct de referință în ELECTE cu privire la gestionarea RTO și RPO.
Un criteriu simplu te ajută foarte mult: înainte de a semna, solicită o procedură scrisă de ieșire din companie. Dacă aceasta nu există, costul de ieșire este aproape sigur mai mare decât îți imaginezi.
Problema listelor de verificare este că ele surprind situația furnizorului într-o zi anume. Riscul, însă, se schimbă continuu.
O lacună frecventă în procesul de due diligence al furnizorilor este tocmai aceasta: aproape toți explică ce întrebări trebuie adresate furnizorului, dar puțini explică cum se poate recalcula riscul acestuia în timp. Și totuși, contextul o impune. Raportul Clusit 2025 indică faptul că, în 2024, atacurile cibernetice împotriva țintelor italiene au fost în număr de 357, în creștere față de cele 310 din 2023, 79% dintre acestea fiind de gravitate ridicată sau critică. În plus, încălcările legate de terți costă, în medie, cu peste 370.000 de dolari mai mult decât cele interne, după cum raportează SecurityScorecard în lista sa de verificare pentru furnizorii de servicii.
Acest lucru schimbă logica de control. Nu este suficient să aprobi furnizorul la intrare. Trebuie să decizi care furnizori necesită o atenție sporită și ce semnale determină o reevaluare.
O abordare bazată pe risc pornește de la o clasificare internă. Nu toți furnizorii sunt la fel. Cel puțin următoarele aspecte contează:
De acolo poți pune la punct un sistem de monitorizare eficient, inclusiv cu ajutorul instrumentelor de analiză a datelor: tablouri de bord privind SLA-urile, urmărirea tichetelor critice, alerte privind modificările documentației, schimbările la nivelul subcontractanților, anomaliile în ceea ce privește performanța sau evenimentele de securitate.
Un furnizor nu devine riscant doar atunci când suferă un incident. Devine riscant atunci când semnalele slabe se acumulează și nimeni nu le interpretează în ansamblu.
Pentru o întreprindere mică sau mijlocie, acesta este momentul în care datele se transformă în guvernanță practică. Nu pentru a îmbunătăți birocrația, ci pentru a reacționa mai repede.
Lista de verificare are un singur scop: să-ți dai seama dacă alegi un furnizor care susține afacerea sau unul care îți lasă în urmă datorii operaționale, litigii și o ieșire costisitoare. Dacă documentul nu te ajută să spui „nu”, nu este o listă de verificare utilă.
Astfel se evită genul de problemă care apare abia după semnare.
Aici contează dovezile. Certificările sunt utile, dar nu explică modul în care furnizorul lucrează sub presiune.
Multe greșeli își au originea aici, nu în contract.
Cea mai frecventă greșeală este aceea de a te opri la etapa de selecție. Adevăratul risc apare abia după aceea, când asistența se deteriorează, subcontractanții se schimbă, exporturile se dovedesc a fi inutilizabile sau o modificare a politicii îți transferă activități pe care credeai că sunt incluse. Acolo apar costurile secundare.
Dacă vrei să rezumi totul într-o regulă practică, folosește-o pe aceasta: evaluează furnizorul așa cum ai evalua un partener de afaceri. Acesta trebuie să facă față unui incident, unei contestații legale și unei separări ordonate. Dacă nu știi cum să ieși din relație, înseamnă că nu ai verificat suficient.
Dacă doriți să transformați datele referitoare la furnizori, SLA, incidente și performanță într-un sistem de monitorizare continuă, ELECTE, o platformă de analiză a datelor bazată pe inteligență artificială destinată IMM-urilor, vă ajută să colectați semnale dispersate și să le transformați în informații utile pentru luarea unor decizii mai rapide și mai bine fundamentate. Este o modalitate concretă de a trece de la o verificare periodică la o supraveghere operațională mai matură.
.svg)
.svg)
.svg)
