Creare un profilo dei requisiti per il SaaS: funzioni, interfacce e dati

Dal bisogno al profilo dei requisiti verificabile

Nel caso del SaaS, aggiornamenti, sicurezza, gestione operativa e disponibilità sono di competenza del fornitore. Si paga in abbonamento – mensile o annuale – invece di corrispondere un canone di licenza una tantum; l’installazione e la manutenzione interna vengono meno. Il profilo dei requisiti regola quindi le questioni relative ai servizi, ai dati e al contratto con la stessa vincolatività delle funzionalità specialistiche.

Non tutto è negoziabile: nel modello SaaS, la gestione operativa e le patch di sicurezza sono tipicamente non negoziabili. Restano invece definibili l’ambito dei moduli, le interfacce, gli orari di assistenza, la sede dei dati, i formati di esportazione e le condizioni di uscita. Questi punti possono fungere da criteri di esclusione: chi non rappresenta il traffico dei pagamenti richiesto o non garantisce un’esportazione completa dei dati viene scartato, indipendentemente dall’ampiezza delle funzionalità.

Il punto di partenza è il proprio panorama dei processi: i requisiti variano a seconda del settore, delle dimensioni dell’azienda e dei processi esistenti; le liste di funzionalità preconfezionate raramente si adattano perfettamente. Ogni requisito viene formulato come frase verificabile, per la quale si può richiedere una prova – documentazione, accesso di prova, allegato contrattuale o referenza.

Vantaggi e rischi del SaaS nel contesto svizzero

Requisiti funzionali: profondità dello standard invece di una lista dei desideri

I processi core costituiscono l’ossatura dei criteri obbligatori: la contabilità finanziaria, l’evasione degli ordini e la gestione del magazzino rientrano nel classico ventaglio funzionale delle soluzioni SaaS ERP, sempre più integrate da e-commerce, CRM, reporting e automazione. Se un’area sia necessaria lo decide il proprio flusso di lavoro, non la scheda tecnica. Chi non gestisce magazzini elimina la gestione del magazzino, invece di mantenerla come criterio e appesantire la valutazione.

Centrale è la domanda: soluzione standard o piattaforma? Alcune PMI preferiscono una soluzione standard snella, altre necessitano di piattaforme estendibili con ecosistema API, moduli specifici per settore o scalabilità internazionale. Esistono anche software aziendali modulari per le PMI svizzere offerti come SaaS; installazione, manutenzione e assistenza sono gestite direttamente dal team del fornitore. Il profilo stabilisce quindi quali moduli sono indispensabili, quali possono essere aggiunti in seguito e attraverso quale percorso si possa ampliare l’ambito.

A ogni criterio obbligatorio appartengono dettagli verificabili: numero di società di contabilizzazione e mandanti, tipi di documenti supportati, unità di quantità e valute, rappresentazione di filiali e centri di costo, concetto di diritti e ruoli. Solo questa profondità mostra se lo standard sostiene il processo – o se è necessario un adattamento, spesso nemmeno previsto nel SaaS.

Interfacce: ecosistema API e traffico dei pagamenti svizzero

La capacità di integrazione costituisce un gruppo di requisiti a sé stante, non un’appendice alla lista delle funzionalità. Le aspettative verso le soluzioni SaaS ERP si concentrano sulla capacità di integrazione, sulla conservazione dei dati e sull’adattabilità. Da chiarire sono la disponibilità e l’ampiezza dell’interfaccia di programmazione: quali oggetti sono leggibili e scrivibili, se esistono webhook, come avviene l’autenticazione, quali limiti di volume o di frequenza si applicano e se è disponibile un ambiente di test.

Per i sistemi esistenti, il collegamento viene nominato concretamente: e-commerce, CRM e reporting vengono solitamente collegati all’ERP; alcune piattaforme integrano anche l’IT legacy esistente. Oltre all’API, le vie di esportazione sono obbligatorie – esportazione completa di tutti i propri dati in un formato comune, non solo report in PDF.

Nel contesto svizzero si aggiungono voci di verifica fisse nel traffico dei pagamenti: fattura QR, QR-IBAN e file di pagamento Pain.001 secondo ISO 20022. Nel profilo rientra anche il supporto nativo per tedesco e francese, affinché interfacce e documenti funzionino in entrambe le lingue.

Dati: sede, separazione e ciclo di vita

La sede dei dati conta tra i criteri rigidi. Per le aziende svizzere, la sicurezza e la sede dei dati sono decisive; i fornitori indicano o l’hosting in Svizzera o nell’UE. Chi non dichiara la regione di hosting non soddisfa questo punto.

Nelle architetture multi-tenant, la LPD richiede una robusta separazione dei dati, cifratura e misure tecniche dimostrabili. Il profilo stabilisce come i mandanti vengono separati, come i dati sono cifrati durante il trasferimento e a riposo, chi gestisce le chiavi e come gli accessi vengono registrati.

I termini di conservazione e cancellazione vengono regolati per categoria di dati, così come il portability in caso di cambio fornitore: formato, completezza, termine e supporto durante la migrazione. I log di sistema, di accesso e di monitoraggio contengono spesso dati personali e necessitano quindi di proprie regole di conservazione nel profilo – invece di una cancellazione generica.

La protezione dei dati come voce dei requisiti

Dal 1° settembre 2023 è in vigore la nuova Legge federale sulla protezione dei dati (LPD). Presenta grandi affinità contenutistiche con il RGPD, ma contiene norme proprie; per i progetti SaaS svizzeri è il metro di misura – non genericamente il RGPD.

I dati personali sono tutte le informazioni che si riferiscono a una persona fisica determinata o determinabile; vi rientrano anche identificativi online come un numero ID in un cookie. Il trattamento è qualsiasi operazione con questi dati, dall’acquisizione alla conservazione fino alla cancellazione. Il profilo deve quindi chiarire dove sorgono i dati personali – nelle piattaforme SaaS anche nei profili di utilizzo e nei dati di accesso.

Per i responsabili del trattamento la LPD pone esigenze particolari: contratti di elaborazione dati, un catalogo di misure tecniche e organizzative, vincolo di istruzioni e gestione dei subappaltatori sono obbligatori; le violazioni possono comportare multe fino a CHF 250'000. Sono quindi interrogabili: lista dei subappaltatori con sede, modello del contratto di elaborazione dati, documentazione MTO, procedure per le richieste degli interessati e segnalazione di incidenti di sicurezza.

Privacy by Design deve essere ancorata già nel processo di sviluppo, non aggiunta in seguito; di conseguenza va chiesto come i nuovi moduli e gli adattamenti vengano preimpostati in modo favorevole alla protezione dei dati. A complicare le cose, la delimitazione tra propria responsabilità ed elaborazione per conto terzi nelle piattaforme SaaS è spesso complessa: il gestore tratta i dati per conto dei clienti e prende al contempo decisioni proprie. Il profilo stabilisce quindi, per categoria di dati, quale ruolo assume il fornitore.

Non dimenticare i requisiti specifici del Paese

L’imposta sul valore aggiunto rientra tra i primi punti di verifica. Si richiede il supporto delle aliquote svizzere – 8,1 % normale, 2,6 % ridotta, 3,8 % per il settore alberghiero – nonché la corretta rappresentazione della fatturazione sui periodi.

Nel traffico dei pagamenti vanno richiesti fattura QR, QR-IBAN e file Pain.001 secondo ISO 20022; rientrano tra i tipici requisiti svizzeri che i fornitori internazionali spesso coprono male. Nel profilo rientrano anche la contabilità salari con certificati di salario e il supporto nativo per tedesco e francese.

Il metro di riferimento resta l’ordinamento giuridico locale. Chi verifica la conformità solo secondo le direttive UE trascura le peculiarità della LPD. I requisiti relativi alla conservazione dei dati, alla conservazione documentale e agli obblighi informativi vengono quindi formulati secondo il diritto svizzero.

Requisiti SaaS svizzeri in sintesi

Gestione operativa, disponibilità e logica dei prezzi

L’aspetto dei servizi rientra nel profilo. Aggiornamenti, patch di sicurezza e backup sono di responsabilità del fornitore; le soluzioni basate sul cloud non richiedono infrastruttura locale, sono scalabili con flessibilità e vengono aggiornate regolarmente. Vanno richiesti dati concreti sulle promesse di disponibilità, sulle finestre di manutenzione pianificate, sui tempi di reazione e risoluzione, nonché sui canali e le lingue di assistenza.

Prezzi e strutture dei pacchetti necessitano di trasparenza. Un confronto tra fornitori per le PMI svizzere indica prezzi dei pacchetti da CHF 39 a CHF 169 al mese e segnala che la combinazione di più moduli – ad esempio salari, CRM, ordini e magazzino – raggiunge rapidamente CHF 100–200 al mese. Tali costi aggiuntivi vanno inseriti come voce a sé: cosa è incluso nel pacchetto base, cosa costa in più, come vengono conteggiate le licenze utente e quale impatto ha la crescita sul prezzo?

Lo scenario di uscita appartiene al profilo fin dall’inizio: restituzione di tutti i dati in un formato comune, termini, supporto durante la migrazione, continuità operativa durante un periodo transitorio e regolamentazione di ciò che accade ai backup dopo la fine del contratto. Senza queste garanzie, la soluzione vincola più di quanto l’abbonamento lasci supporre.

Ponderare, documentare, confrontare

Il profilo viene suddiviso in criteri obbligatori e desiderabili. I criteri obbligatori fungono da criteri di esclusione – se ne manca uno, la soluzione viene scartata. I criteri desiderabili vengono ponderati, ad esempio per utilità, sforzo e rischio, così da ottenere un punteggio per fornitore e rendere la decisione tracciabile.

Le prove vengono richieste, non solo chieste: contratto di elaborazione dati, lista dei subappaltatori, prova MTO, SLA con promesse di disponibilità e assistenza, documentazione API, lista dei formati di esportazione, listino prezzi e referenze. Un accesso di prova o una sandbox mostrano se lo standard sostiene i propri processi core prima della firma dei contratti.

La valutazione viene messa per iscritto: per ogni criterio la valutazione, la fonte della prova e i punti aperti. I punti aperti vengono regolati prima della conclusione del contratto, affinché la decisione resti verificabile anche in caso di successivi cambi di modulo, prezzo o fornitore.

Passi per creare un profilo dei requisiti verificabile