Jak wybrać dostawcę outsourcingu? Due diligence, SLA i plan wyjścia w 10 krokach

Wybór dostawcy outsourcingu nie powinien przypominać zakupu najtańszej usługi z tabeli. Partner przejmujący korespondencję, dokumenty albo inny proces operacyjny otrzymuje dostęp do informacji, terminów i czynności, od których zależy codzienna praca firmy. Dlatego dobra decyzja łączy analizę ceny z oceną jakości, bezpieczeństwa, ciągłości działania i możliwości odzyskania procesu.

Poniższe dziesięć kroków pomaga porównać oferty w sposób mierzalny. Lista sprawdzi się zarówno przy outsourcingu obsługi korespondencji, jak i przy ocenie innych procesów zewnętrznych. Nie oznacza to jednak, że BackOffice Outsourcing świadczy wszystkie wymienione rodzaje usług — stanowią one szerszy kontekst zarządzania dostawcami.

1. Zdefiniuj proces, zanim poprosisz o ofertę

Najpierw ustal początek i koniec procesu, wolumen, sezonowość, typy dokumentów, wyjątki oraz wynik, który ma otrzymać firma. „Obsługa poczty” może oznaczać samo nadawanie albo pełny cykl: odbiór, rejestrację, skanowanie, dystrybucję, druk, kopertowanie, wysyłkę, zwroty i raport. Bez wspólnej definicji zakresu dwie pozornie podobne ceny mogą dotyczyć zupełnie innych usług.

2. Porównuj pełny model kosztowy, nie jedną stawkę

W kalkulacji uwzględnij wdrożenie, operacje podstawowe i dodatkowe, materiały, transport, przechowywanie, raporty, obsługę wyjątków oraz ewentualne minimalne wolumeny. Po stronie wewnętrznej policz również czas pracowników, zastępstwa, sprzęt, powierzchnię i koszt błędów. Pomocnym punktem wyjścia jest kalkulator outsourcingu.

3. Sprawdź kompetencje, zasoby i realny sposób pracy

Referencje są ważne, ale nie zastępują rozmowy o operacjach. Zapytaj, kto będzie właścicielem procesu, jak organizowane są zastępstwa, jak wygląda kontrola jakości, jakie wolumeny dostawca rzeczywiście obsługuje i co stanie się przy nagłym wzroście zleceń. Dobra odpowiedź opisuje konkretne role, narzędzia i procedury, a nie tylko deklaruje „elastyczność”.

4. Ustal role związane z danymi osobowymi

Jeżeli zewnętrzna firma przetwarza dane osobowe w imieniu klienta, trzeba prawidłowo określić role stron. Artykuł 28 RODO wymaga, aby administrator korzystał wyłącznie z podmiotów przetwarzających zapewniających wystarczające gwarancje oraz aby przetwarzanie regulowała wiążąca umowa. Wytyczne EDPB podkreślają, że umowa nie powinna jedynie przepisywać RODO, lecz konkretnie opisywać sposób realizacji obowiązków i wymagany poziom bezpieczeństwa. Praktyczne zasady dla dokumentów opisujemy także w poradniku o skanowaniu korespondencji i RODO.

5. Zamień oczekiwania w mierzalne SLA

SLA powinno odpowiadać rzeczywistemu ryzyku procesu. Zamiast ogólnego „szybko” ustal na przykład:

• czas od odbioru przesyłki do rejestracji i przekazania informacji,
• godzinę graniczną dla zleceń wysyłkowych,
• termin wykonania skanu lub przygotowania partii do nadania,
• dopuszczalny poziom błędów i zasady ponownej realizacji,
• czas reakcji na incydent oraz ścieżkę eskalacji,
• częstotliwość, zawartość i format raportów.

Miernik musi mieć źródło danych, właściciela i uzgodnioną metodę obliczania. Inaczej po miesiącu obie strony mogą poprawnie liczyć ten sam wskaźnik na dwa różne sposoby.

6. Oceń bezpieczeństwo techniczne i organizacyjne

Sprawdź kontrolę dostępu, rozdzielenie uprawnień, rejestrowanie operacji, zasady retencji i niszczenia danych, szyfrowanie, szkolenia personelu oraz obsługę incydentów. Dyrektywa NIS2 wymienia bezpieczeństwo łańcucha dostaw wśród środków zarządzania ryzykiem dla podmiotów objętych jej zakresem. Nawet jeżeli konkretna firma nie podlega NIS2, sama zasada pozostaje rozsądna: bezpieczeństwo procesu zależy także od dostawców i podwykonawców.

7. Poznaj podwykonawców i miejsca realizacji

Ustal, które czynności dostawca wykonuje sam, a które przekazuje dalej. Zapytaj o lokalizację przetwarzania danych, warunki angażowania kolejnych podmiotów, sposób ich weryfikacji i odpowiedzialność za błędy. Klient powinien wiedzieć, kto faktycznie ma dostęp do dokumentów i gdzie odbywa się każdy etap.

8. Sprawdź ciągłość działania i scenariusze awaryjne

Plan ciągłości nie może kończyć się na zdaniu „mamy backup”. Warto omówić awarię systemu, niedostępność lokalizacji, brak pracowników, opóźnienie transportu, przerwę w dostawie energii i skok wolumenu. Dostawca powinien wskazać priorytety, kanał komunikacji, osoby decyzyjne oraz maksymalny czas przywrócenia kluczowych czynności.

9. Zaprojektuj raportowanie, audyt i zarządzanie zmianą

Raport powinien wspierać decyzje, a nie tylko potwierdzać, że „wszystko wykonano”. Ustal wolumeny, terminy, błędy, zwroty, wyjątki i otwarte działania. Umowa powinna również określać możliwość kontroli uzgodnionego procesu, zasady wprowadzania zmian oraz cykliczne spotkania operacyjne. W outsourcingu stabilność nie oznacza braku zmian — oznacza zmianę kontrolowaną.

10. Zacznij od pilotażu i przygotuj plan wyjścia

Pilotaż na ograniczonym zakresie pokazuje jakość danych, liczbę wyjątków i rzeczywiste obciążenie, zanim firma przeniesie cały proces. Równocześnie trzeba ustalić zasady zakończenia współpracy: zwrot lub usunięcie danych, wydanie rejestrów, przekazanie instrukcji, okres wsparcia i format eksportu. Plan wyjścia nie jest oznaką braku zaufania. Jest elementem dojrzałego zarządzania ryzykiem.

Krótka karta oceny dostawcy

Przyznaj każdej kategorii od 0 do 3 punktów: dopasowanie zakresu, pełny koszt, kompetencje, SLA, bezpieczeństwo, podwykonawcy, ciągłość, raportowanie, pilotaż i plan wyjścia. Oferta z najniższą ceną, ale zerem w bezpieczeństwie lub ciągłości, nie jest ofertą najtańszą — tylko ofertą z odroczonym kosztem ryzyka.

Jeżeli chcesz ocenić dostawcę obsługi korespondencji, poproś o opis procesu, przykładowy raport i propozycję mierzalnego zakresu. Skontaktuj się z BackOffice Outsourcing, aby omówić analizę obecnego modelu, pilotaż i wycenę bez założenia, że wszystko trzeba przekazać jednego dnia.

Źródła

• Rozporządzenie (UE) 2016/679 — w szczególności art. 28
• EDPB, Guidelines 07/2020 on the concepts of controller and processor, version 2.1
• Dyrektywa (UE) 2022/2555 (NIS2) — w szczególności art. 21

Najczęstsze pytania

Czy najniższa cena powinna decydować o wyborze dostawcy?

Nie. Cenę trzeba porównywać z zakresem, SLA, kosztami dodatkowych operacji, bezpieczeństwem, ciągłością działania i kosztem potencjalnych błędów.

Co powinno znaleźć się w SLA?

Mierzalne terminy, poziom jakości, źródła danych, sposób raportowania, czas reakcji na incydenty, eskalacje i odpowiedzialność za działania naprawcze.

Czy warto zaczynać od pilotażu?

Tak. Ograniczony pilotaż ujawnia wyjątki, jakość danych i realny nakład pracy, zanim zostanie przeniesiony cały proces.

Po co plan wyjścia na początku współpracy?

Aby zagwarantować zwrot lub usunięcie danych, dostęp do rejestrów, transfer wiedzy i ciągłość procesu po zakończeniu umowy.

← Wróć do wszystkich artykułów