
Due diligence dodávateľa softvéru pre bezpečnosť a vlastníctvo
Kontrolný zoznam pre kupujúceho softvéru. Pokrýva bezpečnosť, integrácie, roly pri dátach, vlastníctvo, podporu a odovzdanie pred podpisom zmluvy.
Praktický návod na požiadavky, porovnanie dodávateľov, overenie dôkazov a spoločné rozhodnutie o technologickom partnerovi.
Nevyberajte partnera podľa prezentácie ani podľa najnižšej ceny. Vyberte tím, ktorý rozumie problému, vie ukázať podobnú prácu a prevezme zodpovednosť za výsledok, za bezpečnosť aj za odovzdanie v deň, keď sa spolupráca skončí. Ponuka na softvér, automatizáciu, dizajn či modernizáciu je zatiaľ iba hypotéza. Overujte ju na dôkazoch.
Výskum 6sense z roku 2025 ukazuje, že kupujúci si často zoradia shortlist ešte pred prvým kontaktom, a Gartner v roku 2025 uviedol, že 61 percent B2B kupujúcich preferuje celkovo nákup bez obchodníka. To nie je dôvod vynechať rozhovor s dodávateľom. Je to dôvod prísť naň pripravení s vlastnými kritériami. Kontext uvádza správa Gartner.
Pred RFP opíšte rozhodnutie, ktoré má systém zlepšiť. Kto dnes pracuje ručne, odkiaľ pochádzajú údaje, ktorá chyba je drahá a podľa čoho po spustení spoznáte, že sa proces zmenil, nie iba presunul do iného nástroja. Pridajte hranice rozsahu, vlastníka na Vašej strane, rozpočet, termín aj závislosti. A nechajte tím pomenovať to, čo riešenie robiť nemá.
RFP nemusí byť dlhé. Má dať rovnaký základ každému dodávateľovi. Na prvé porovnanie stačí zoznam požiadaviek, scenáre používateľov, integrácie, prístup k dátam, očakávaný prevádzkový model aj spôsob, akým výstup prevezmete, teda kto ho na Vašej strane podpíše.
Vyberte tri až päť kandidátov. Pri každom zapíšte dôkaz, nie dojem. Ako rozumie procesu, kto bude pracovať, aký podobný problém už dodal, čo je neisté a akú otázku musí discovery zodpovedať skôr, než sa začne písať kód.
Váhy v nasledujúcej matici sú náš východiskový návrh, nie výsledok výskumu ani norma. Pred hodnotením ich upravte podľa rizík a cieľa projektu. Rovnaký rámec použite pre všetkých kandidátov.
Na menšej obrazovke posuňte tabuľku vodorovne.
| Kritérium | Dôkaz | Váha |
|---|---|---|
| Pochopenie problému | Spätné zhrnutie procesu a rizík | 20 |
| Dodanie a vlastníctvo | Mená, míľniky, repozitár, odovzdanie | 20 |
| Architektúra a prevádzka | Rozhodnutia, testy, monitoring, podpora | 20 |
| Bezpečnosť a dáta | Prístupy, zmluva, incidenty, zálohy | 20 |
| Cena a TCO | Predpoklady, zmeny, prevádzkové náklady | 20 |
Silný partner nepredstiera presnosť pred poznaním problému. Popíše predpoklady, otvorené otázky, riziká aj to, čo má z discovery vyjsť. Odhad má rozlišovať medzi potvrdenou prácou a rezervou. Pýtajte sa, kto vedie workshopy, ako vzniknú rozhodnutia a čo presne dostanete do ruky, ak sa po discovery rozhodnete nepokračovať, lebo práve to odlíši analýzu od predaja.
Náš spôsob práce ukazuje, aké výstupy má mať poctivý začiatok projektu. Prehľad služieb pomôže oddeliť vývoj, automatizáciu, dizajn, modernizáciu, marketing aj technologické poradenstvo.
Zistite, kto nesie zodpovednosť za backlog, rozhodnutia, kvalitu, nasadenie aj podporu po odovzdaní. Na architektúru sa pýtajte cez konkrétne rozhodnutia. Kde budú dáta, ako sa spravujú prístupy, ako sa testujú zmeny, kto sleduje chyby a ako sa služba obnoví po incidente, ktorý príde v piatok večer.
Vyžiadajte si ukážku testov, anonymizovaný príklad release procesu aj plán prevádzky, a to skôr, než sa o bezpečnosti rozhodne na základe jednej vety v ponuke dodávateľa. NCSC odporúča zákazníkom pýtať si dôkazy o bezpečnostných tvrdeniach dodávateľa a priebežne ich overovať. NIST zaraďuje medzi témy dodávateľského rizika preverenie softvéru, zraniteľností aj komponentov, z ktorých je systém poskladaný.
Dohodnite si vlastníctvo zdrojového kódu, dizajnov, účtov, domén, cloudového nájomcu aj licencií. Určite správcu účtov a človeka, ktorý mu prístup môže odobrať.
Zmluva má riešiť dôvernosť, osobné údaje, subdodávateľov, oznamovanie incidentov, zálohy, dokumentáciu aj odovzdanie v deň, keď spolupráca skončí.
Bezpečnostné otázky prispôsobte riziku, lebo systém s citlivými dátami znesie oveľa menej improvizácie než verejný informačný web. Začnite na stránke bezpečnosti a pred podpisom si prečítajte obchodné podmienky.
Porovnávajte rovnaký rozsah. Rozpočet má uviesť, čo všetko zahŕňa discovery, implementáciu, testovanie, nasadenie, licencie, cloud, podporu aj zmenové požiadavky, pretože práve na tomto sa dve ponuky prestanú dať porovnať. TCO nie je iba cena prvého releasu. Zahŕňa prevádzku, interný čas, školenie, údržbu, náklady na zmenu aj riziko, že integrácia nedopadne dobre. Cenník berte ako verejný orientačný údaj, nie náhradu odhadu.
Pri neistom rozsahu zvoľte platený pilot, ktorý nie je lacný prototyp bez vlastníka. Mal by mať obmedzený cieľ, merateľné kritériá prijatia, prístup k potrebným dátam a rozhodnutie, ktoré po ňom niekto naozaj urobí.
Pri referencii sa pýtajte na kontext, rolu dodávateľa, problém, rozsah, výsledok aj na to, ako sa s ním spolupracovalo v týždni, keď sa niečo naozaj pokazilo. Ak je to možné, hovorte s klientom bez dodávateľa. Skóre zapisujte samostatne, ešte pred spoločnou debatou. Potom porovnajte rozdiely medzi prevádzkou, financiami, bezpečnosťou a ľuďmi, ktorí budú systém naozaj používať.
Varovné signály sú neurčitý rozsah, tlak na podpis, odhad bez predpokladov, nejasné vlastníctvo, chýbajúce testy, neurčená podpora aj referencia, ktorú si neviete overiť. Skôr než si vyberiete, potvrďte si problém, kritériá, rozpočet, riziká, vlastníka rozhodnutia aj plán prvých 90 dní.
Ako ďalší krok si skúste kalkulačku, pripravte si maticu a prejdite ďalšie rozhodovacie návody na blogu, kým je rozhodnutie ešte Vaše. Až potom pozvite shortlist na spoločné discovery.

Kontrolný zoznam pre kupujúceho softvéru. Pokrýva bezpečnosť, integrácie, roly pri dátach, vlastníctvo, podporu a odovzdanie pred podpisom zmluvy.

Postavte business case pre softvér alebo automatizáciu z meraného nákladu dnešného procesu, TCO, scenárov, citlivosti a jasných stop kritérií.
Prejdite cestu návštevníka od ponuky po odoslanie dopytu. Desať kontrol navigácie, čitateľnosti a technického fungovania firemného webu.