Problemet med många SaaS-inköp uppstår inte när du skriver under avtalet. Det uppstår månader senare, när leverantören slutar svara som utlovat, ändrar villkoren, försvårar dataexporten eller lägger över ansvar på dig som du trodde var deras. Vid det laget försvinner det låga startpriset. Kvar återstår driftsstopp, juridiska risker och utträdeskostnader.
Den som leder ett små- och medelstort företag vet detta alltför väl. Den kommersiella demonstrationen är alltid felfri, men avtalet är det i mycket mindre utsträckning. Och när leverantören hanterar data, kritiska processer eller försäljningsflöden, begränsas konsekvenserna av ett felaktigt val inte till IT-avdelningen. Det påverkar även administrationen, regelefterlevnaden, kundtjänsten och den operativa kontinuiteten.
Jag talar som företagare som har upplevt konkreta tvister med leverantörer som varit otydliga när det gäller GDPR, europeisk fakturering, verklig support och ensidiga ändringar av villkoren. Lärdomen är enkel: due diligence av leverantörer är inte bara en formalitet inom inköpsfunktionen. Det är det sätt på vilket man bedömer om en leverantör kan bli en styrka eller en strukturell risk.
Här hittar du ett praktiskt ramverk för att bedöma en leverantör på samma sätt som du skulle bedöma en affärspartner. Det handlar inte bara om pris och funktioner, utan även om avtal, säkerhet, driftsäkerhet, portabilitet och kontinuerlig övervakning.
Webbplatsen ligger nere just den värsta tänkbara dagen. Beställningarna fastnar, säljteamet kommunicerar via tre olika kanaler och kundtjänsten vet inte vad de ska säga till kunderna. Du öppnar ett ”prioriterat” ärende hos din SaaS-leverantör och får ett automatiskt svar. Ingen tekniker, ingen tydlig eskalering, ingen uppskattad lösningstid.
Det är i det ögonblicket som du inser vad du egentligen har köpt.
Du har inte bara köpt en tjänst. Du har köpt det sätt på vilket leverantören hanterar incidenter, ansvar, data, avtal och avslutning. Om du inte har kontrollerat dessa aspekter i förväg har du ackumulerat operativa skulder. Det syns inte i demoversionen, det framgår inte av prislistan, men allt kommer på en gång när leverantören inte klarar av det.
När en leverantör sviker i ett kritiskt ögonblick är problemet inte enbart av teknisk karaktär. Det blir samtidigt ett affärsmässigt, juridiskt och anseendemässigt problem.
Många företagare betraktar due diligence av leverantören som en ren administrativ formalitet. De kollar priset, två funktioner, kanske en certifiering på hemsidan, och sedan skriver de under. Det är ett vanligt misstag. De avgörande frågorna är andra: vem som ansvarar för uppgifterna, var de lagras, hur de exporteras, vem som verkligen hjälper dig, och vad som händer om leverantören byter ägare eller ändrar avtalsvillkoren.
Det besvärliga är att dessa frågor fördröjer förhandlingarna. Det positiva är att de besparar dig månader av problem senare.
Due diligence av leverantören syftar till att förstå vilken del av risken du tar på dig när du köper tjänsten. Det handlar inte om att samla in dokument för att känna sig trygg vid undertecknandet. Det handlar om att i förväg uppskatta hur mycket den leverantören verkligen kommer att kosta dig om något går snett, om företagsstrukturen förändras, om supporten inte håller måttet eller om du en dag måste avsluta samarbetet i all hast.
Den som redan har hanterat en påtvingad migrering eller en dåligt hanterad incident vet detta alltför väl. Problemet begränsar sig sällan till leverantören. Det påverkar de interna processerna, hämmar försäljningen, tar upp tid för det tekniska teamet, ger upphov till juridiska tvivel och förvandlar en till synes förmånlig avgift till en dold driftskostnad.
Därför bygger en seriös due diligence-process på fyra konkreta nivåer:
Praktisk regel: Om leverantören hanterar data, betalningar, kundtjänst eller en kritisk process ska due diligence-granskningen betraktas som en kontroll av verksamhetens kontinuitet, inte som en administrativ åtgärd.
I det italienska sammanhanget blir kostnaden för underskattningen ännu högre, eftersom leverantörskedjan till stor del består av små och medelstora företag som ofta är mycket beroende av tredje part. Små och medelstora företag utgör 99,9 % av de aktiva företagen och sysselsätter cirka 76,5 % av de anställda i den privata sektorn, enligt uppgifter från ministeriet för företag och ”Made in Italy”. I ett sådant system sprider sig leverantörens risk snabbt till kunden.
Det finns dessutom ett återkommande misstag. Många företag utvärderar en leverantör utan att först ha klargjort vad de egentligen köper: infrastruktur, plattform, applikationsprogramvara eller en kombination av alla tre. Om du vill göra en ordentlig analys redan i ett tidigt skede är det bäst att börja med att kartlägga skillnaderna mellan olika molntjänster.
Att underskatta vikten av due diligence av leverantörer innebär att man behandlar en affärspartner som en kostnadspost. Det är här som de problem uppstår som ingen nämner i sin försäljningspresentation: interna processer som är dåligt anpassade till leverantören, tekniska beroenden som är svåra att bryta, ansvar som man upptäcker först efter en incident och utträdeskostnader som dyker upp just när man har minst utrymme att förhandla.
En väl genomförd värdering minskar risken för överraskningar. En dåligt genomförd värdering skjuter bara upp dem.
De flesta allvarliga problemen beror inte på ett tekniskt fel. De beror på en klausul som man läst för sent. Avtalet anger vem som bestämmer när något går sönder.
När man utvärderar en leverantör är priset det sista man ska titta på. Det viktigaste är först och främst de rättsliga ramarna för samarbetet.
Utgå från följande områden:
Många företagare ser avtalet som ett dokument som skyddar leverantören. Det stämmer. Därför bör det läsas som en karta över leverantörens incitament.
Vid affärsmöten är det bäst att vara rak på sak. Det tjänar inget till att uttrycka sig som en jurist. Man bör istället tala som ett företag som vill undvika dolda kostnader.
Prova med frågor som dessa:
Ett bra avtal är inte det som lovar allt. Det är det som lämnar få utrymmen för tvetydigheter när relationen försämras.
En klassisk varningssignal är när en leverantör svarar bra på kommersiella frågor men dåligt på frågor som rör datavägledning. En annan är ett standardavtal om databehandling (DPA) som visserligen finns, men som inte tydligt klargör ansvar, överföringar och tidsramar. Om du idag arbetar med data, automatisering eller beslutsstödssystem är det värt att även läsa om den europeiska AI-lagen för små och medelstora företag, eftersom den uppmuntrar många företag att på ett mer rigoröst sätt formalisera styrning, spårbarhet och leverantörernas roll.
Ett sista praktiskt kriterium. Om leverantören upplever dina frågor om data, ansvar och portabilitet som besvärliga, säger det redan något om vilken typ av relation ni kommer att ha efter att avtalet har undertecknats.
Ett intyg om överensstämmelse är till hjälp. Men det räcker inte. En certifiering visar att det finns ett kontrollsystem. Den säger i sig inte om den leverantören är lämplig för just din verksamhet, dina data och din operativa exponering.
Ramverk för leverantörshantering rekommenderar att man samlar in riskformulär, finansiella rapporter och certifieringar som ISO 27001 och SOC 2, samt att man klassificerar leverantörerna efter risknivå. För högriskleverantörer tillkommer revisioner på plats och granskningar av den externa attackytan, vilket Mitratech sammanfattar i sin guide om leverantörsgranskning.
Denna punkt förändrar sättet att bedöma en leverantör. Frågan är inte ”Har ni en certifiering?”. Frågan är ”Vilka konkreta bevis kan ni visa mig utöver certifieringen?”.
Det är till exempel rimligt att fråga:
OmrådeVad man ska frågaVarför det är viktigtWebbhotellRegion där data och underleverantörer av infrastruktur är belägnaPåverkar jurisdiktion och efterlevnadSäkerhetskopieringRiktlinjer, frekvens, verifiering av återställningEn otestad säkerhetskopia är bara en förhoppningÅtkomstKontroller av privilegierade kontonMinskar intern risk och missbrukIncidenthanteringDokumenterad process för incidenthanteringVisar vem som gör vad under pressSårbarheterBevis på granskning av den exponerade ytanHjälper till att förstå hur synlig och angripbar leverantören är
Datajurisdiktionen har större betydelse än många tror. Om leverantören lagrar eller överför data utanför det område som du hade räknat med förändras skyldigheter, bedömningar och ofta även hur du hanterar incidenter och formella förfrågningar.
Sedan finns det den mindre glamorösa och mer praktiska delen: säkerhetskopiering och katastrofåterställning. Nöj dig inte med att fråga om de finns. Fråga hur de kontrolleras, hur de dokumenteras och vem som ingriper om data skadas eller tjänsten inte är tillgänglig.
Samtidigt bör du granska omdömet hos den part du har att göra med. Inom vissa branscher där det råder stor osäkerhet är det en grundläggande säkerhetsåtgärd att kontrollera offentliga varningar eller varningssignaler. Ett bra exempel är svartlistan över kryptovalutabedrägerier, som tydligt visar varför omdömesgranskning och extern verifiering inte är en onödig lyx, utan ett grundläggande skydd när leverantören är verksam inom känsliga eller otydliga områden.
Om en leverantör bara visar upp snygga PDF-filer och inte ger några bevis på hur de hanterar incidenter, säkerhetskopiering, åtkomst och sårbarheter, så utvärderar du marknadsföring, inte säkerhet.
En leverantörs verkliga kvalitet visar sig när det är bråttom och marginalen är liten. Inte i demoversionen. Inte i erbjudandet. Inte på ”enterprise”-sidan.
Man bör testa tjänsten innan man blir kund. Det är ett steg som nästan ingen tar.
Det går lätt att göra:
En pålitlig leverantör tar inte illa upp om du ställer dessa frågor. De ser dem som helt normala.
En utmärkt support är inte den som svarar snabbt när allt fungerar. Det är den som tar sig an ett komplicerat problem, vet hur man eskalerar det och lämnar skriftliga spår efter sina beslut.
Det är här som den mest förbisedda delen av due diligence-processen för tjänsteleverantörer döljer sig: inlåsningseffekten.
En effektiv teknisk due diligence måste omfatta en granskning av koden och beroenden för att skapa en fullständig förteckning över programvara från tredje part, relationer mellan beroenden och open source-licenser, samt en granskning av arkitektur, API:er och databaser för att mäta risken för teknisk skuld och inlåsning, vilket FOSSA förklarar i sin guide om teknisk due diligence.
Om man uttrycker det i affärsspråk måste du förstå tre saker:
Om leverantören gör det enkelt att komma in men svårt att lämna, har du inget partnerskap. Du har ett beroendeförhållande.
När det gäller kontinuitet är det också värt att klargöra hur leverantören ser på återställning och dataförlust. Om du vill ha en utgångspunkt för att utvärdera dessa scenarier hittar du en bra referens i ELECTE om hantering av RTO och RPO.
Ett enkelt tips som är till stor hjälp: be om en skriftlig avgångsprocedur innan du skriver under. Om det inte finns någon sådan är avgångskostnaden nästan säkert högre än du tror.
Problemet med checklistor är att de ger en ögonblicksbild av leverantören vid en viss tidpunkt. Risken förändras däremot ständigt.
En vanlig brist i due diligence-processen för leverantörer är just denna: nästan alla förklarar vad man ska fråga leverantören om, men få förklarar hur man omvärderar risken över tid. Ändå kräver sammanhanget detta. Clusit 2025-rapporten visar att det under 2024 inträffade 357 cyberattacker mot italienska mål, en ökning jämfört med 310 under 2023, varav 79 % klassades som allvarliga eller kritiska. Dessutom kostar säkerhetsöverträdelser kopplade till tredje part i genomsnitt över 370 000 dollar mer än interna överträdelser, vilket SecurityScorecard rapporterar i sin checklista för tjänsteleverantörer.
Detta förändrar kontrolllogiken. Det räcker inte att godkänna leverantören vid inträdet. Du måste avgöra vilka leverantörer som kräver större uppmärksamhet och vilka signaler som utlöser en omprövning.
Ett riskbaserat tillvägagångssätt utgår från en intern klassificering. Alla leverantörer är inte likadana. Följande faktorer spelar åtminstone en roll:
Utifrån detta kan du skapa ett effektivt övervakningssystem, även med hjälp av verktyg för dataanalys: översiktspaneler för SLA:er, spårning av kritiska ärenden, varningar vid ändringar i dokumentationen, förändringar hos underleverantörer, avvikelser i prestanda eller säkerhetshändelser.
En leverantör blir inte riskfylld först när en olycka inträffar. Den blir riskfylld när de svaga signalerna hopar sig och ingen ser dem i sitt sammanhang.
För ett små- och medelstort företag är det här den punkt där data omvandlas till praktisk styrning. Inte för att förbättra byråkratin, utan för att kunna reagera snabbare.
Checklistan har bara ett syfte: att avgöra om du väljer en leverantör som stöder verksamheten eller en som lämnar efter sig driftsskulder, juridiska tvister och en kostsam utträdeprocess. Om dokumentet inte hjälper dig att säga nej är det ingen användbar checklista.
På så sätt undviker man den typ av problem som uppstår först efter att avtalet har undertecknats.
Här är det bevisen som räknas. Certifieringar är till hjälp, men de visar inte hur leverantören arbetar under press.
Många fel uppstår här, inte i avtalet.
Det vanligaste misstaget är att stanna vid urvalsfasen. Den verkliga risken uppstår först senare, när supporten försämras, underleverantörerna byts ut, exporten visar sig vara oanvändbar eller när en policyändring innebär att du måste ta över uppgifter som du trodde ingick. Det är då som de indirekta kostnaderna dyker upp.
Om du vill sammanfatta allt i en praktisk regel, använd den här: bedöm leverantören på samma sätt som du skulle bedöma en affärspartner. Den måste klara av en incident, en rättslig tvist och en ordnad uppsägning. Om du inte vet hur du ska ta dig ur samarbetet har du inte granskat det tillräckligt noggrant.
Om du vill omvandla data om leverantörer, SLA:er, incidenter och prestanda till ett system för kontinuerlig övervakning kan ELECTE – en AI-driven dataanalysplattform för små och medelstora företag – hjälpa dig att samla in spridda signaler och omvandla dem till användbara insikter som möjliggör snabbare och bättre underbyggda beslut. Det är ett konkret sätt att gå från sporadisk due diligence till en mer välutvecklad operativ övervakning.
.svg)
.svg)
.svg)
