Tjekliste til gennemgang af et softwaretilbud

Afklar behov og krav før du åbner tilbuddet

Et softwaretilbud kan først bedømmes, når kravene er nedskrevet. Del kravlisten i ufravigelige krav, som leverandøren skal opfylde for at komme i betragtning; vægtede krav, som indgår i evalueringen; og ønsker, som alene belyser fleksibilitet.

Angiv for hvert krav, hvordan det verificeres: demonstration i testmiljø, dokumenteret arkitektur, referencekunde eller bindende test i en prøveperiode. Uden en verifikationsmetode kan kravet ikke afgøres alene ud fra tilbudsteksten.

Fastlæg integrationskravene, før tilbuddet åbnes: hvilke fagsystemer der skal udveksle data, i hvilken retning, hvor ofte, i hvilket format, hvem der ejer og vedligeholder snitfladen, og hvad der sker ved ændringer i det tilstødende system.

Integrationskrav driver typisk både pris og tidsplan. De er svære at efterprøve, hvis de kun lyder som »skal kunne integrere med eksisterende systemer«.

Vælg udbudsform, før du indhenter tilbud. KL's vejledning »Udbud – trin for trin« fremhæver, at man bør kende fordele og ulemper ved de enkelte procedurer, inden man vælger.

Proceduren afgør, hvor meget der kan forhandles, hvordan tilbuddene sammenlignes, og hvilket grundlag du senere skal dokumentere beslutningen over for.

Prioritering af krav i softwaretilbud

Tjek formelle krav og udbudsretlig kontekst

Behandlingen af tilbuddet hviler på ligebehandling og gennemsigtighed. Folketingets evaluering af udbudsloven beskriver, at udbudsreglerne stammer fra de retlige rammer for EU's Indre Marked, og at formålet er at sikre ligebehandling og gennemsigtighed.

Alle tilbud skal derfor bedømmes efter samme kriterier og med samme information til rådighed. Det, der er lagt til grund, skal fremgå af sagen.

Den formelle kontrol er hurtig, men fejl er dyre. Er tilbuddet modtaget inden fristen, i det anviste system og format, underskrevet af en bemyndiget person og med de påkrævede bilag og erklæringer?

Er spørgsmål og svar fra udbudsperioden indarbejdet i det grundlag, du vurderer imod? Ellers risikerer du at vurdere tilbuddet mod en version af kravene, leverandøren ikke har haft.

Kend kontraktværdien, før du begynder. Ifølge itb.dk's side om kontrakter under udbudsgrænsen skal et indkøb med en kontraktværdi på mindst 500.000 kr. foregå på markedsmæssige vilkår, og ordregiveren har bevisbyrden for det.

Prisvurdering og dokumentation for det økonomiske grundlag er dermed en formel forpligtelse, ikke kun intern kvalitetskontrol.

Obligatoriske krav i softwareudbud efter danske regler

Gennemgå tilbuddet mod tildelingskriterier og evalueringsmodel

Læg en tabel med tildelingskriterier, eventuelle underkriterier og vægte ved siden af tilbuddet, og gå kriterium for kriterium. For hvert kriterium: Hvilket afsnit i tilbuddet besvarer det? Er svaret konkret, eller henviser det til et generelt produktdatablad?

Hvis et underkriterium ikke besvares, skal det fremgå af notatet. Ellers kan det senere se ud, som om kriteriet blev bedømt på et fyldestgørende grundlag.

Registrér alle forbehold i tilbuddet særskilt. Vurder for hvert forbehold, om det ændrer ydelsen, tiden, prisen eller ansvaret på en måde, der gør tilbuddet svært at sammenligne med de øvrige.

Forbehold mod grundlæggende elementer i udbuddet får en anden konsekvens end forbehold om detaljer. Evalueringen bør udtrykkeligt vise, hvilken vurdering der er foretaget.

Dokumentér hver delvurdering med henvisning til sidetal eller afsnit i tilbuddet og en kort skriftlig begrundelse. Udbudsreglernes gennemsigtighedsprincip kræver, at beslutningen kan efterprøves af andre end evalueringsgruppen.

En vurdering, der kun består af et tal pr. kriterium uden begrundelse, kan ikke genbruges i den senere kontraktdialog eller i en klagesag.

Kontroller pris, betalingsbetingelser og samlede økonomi

Et tilbud kan have den rigtige pris og alligevel være ufuldstændigt, hvis de økonomiske vilkår ikke er specificeret. Gennemgå mindst: engangspris for implementering og konfiguration; licens- eller abonnementsmodel pr. bruger/pr. år; integrationsarbejde; datamigrering; uddannelse; drifts- og supportaftale; takster for ændringer og tillægsudvikling; priser for ekstra brugere eller miljøer; og udgifter ved ophør, herunder datatilbagelevering.

Læs betalingsbetingelser som en del af prisen. Hvornår faktureres der – ved kontraktstart, ved milepæle eller ved idriftsættelse? Hvor lang er betalingsfristen?

Reguleres priserne årligt, med hvilket indeks og varsel? Hvad koster ændringer i omfanget undervejs, og hvordan prissættes de, hvis leverandøren ikke har en fast takst i tilbuddet?

Mangler svarene, bærer køberen den økonomiske risiko.

Beregn den samlede kontraktværdi over hele aftaleperioden, inklusive optioner på forlængelse, før du vurderer, om prisen er konkurrencedygtig. Den samlede værdi afgør også, om indkøbet er omfattet af reglen om markedsmæssige vilkår og dokumentation, som beskrevet i afsnittet om formelle krav.

Skriv forudsætningerne ned – antal brugere, volumen, antal transaktioner – så tallet kan genberegnes.

Vurder informationssikkerhed med ISO 27001 som tjekkeramme

ISO/IEC 27001 beskrives hos Dansk Standard som en standard for informationssikkerhed og som en del af standarderne for ledelsessystemer. I en artikel fra 2019 fremhæver DS, at et ledelsessystem for informationssikkerhed kan hjælpe virksomheder med at sikre, at både digitale og fysiske data ikke mistes, stjæles eller ødelægges.

Brug standarden som tjekkeramme: Spørg ikke bare, om leverandøren »er ISO 27001-certificeret«, men hvilke systemer, processer og lokationer certificeringen dækker, hvor længe den er gyldig, og hvem der har udstedt den.

Gennemgå leverandørens beskrivelse af, hvordan risici identificeres og håndteres, hvordan adgang styres, hvordan hændelser opdages, rapporteres og følges op, og hvordan underleverandører og hostingmiljøer indgår i styringen.

Kontroller, om der findes en gældende risikovurdering, en plan for hændelseshåndtering og en liste over, hvilke data der behandles hvor. De elementer kan efterprøves i tilbuddet – i modsætning til generelle løfter om »høj sikkerhed«.

Mangler organisationen intern kompetence til at vurdere svarene, udbyder Dansk Standard et to-dages kursus i informationssikkerhed. Her præsenteres indholdet i ISO 27001, og de enkelte krav kan findes.

Læs kontraktvilkår, ansvar og exitstrategi efter

KL's vejledning »Udbud – trin for trin« har et afsnit om forhandling og indgåelse af kontrakt. Tag udgangspunkt i tilbuddets kontraktudkast, og gennemgå det punkt for punkt: Hvem hæfter for hvad?

Er der et loft over erstatningsansvaret, og omfatter det også brud på databeskyttelse og fortrolighed? Er der bod ved forsinkelse og manglende oppetid i driftsperioden?

Hvilken lov og hvilket værneting gælder, og er der aftalt en trappestige med dialog, mægling eller syn og skøn, før en tvist går videre?

Ændringsproceduren er ofte der, hvor den oprindelige pris mister betydning. Kontroller, hvordan ændringer bestilles, hvem der må godkende dem skriftligt, hvor hurtigt de skal prissættes, og om leverandøren er bundet til taksterne i tilbuddet.

Uden en bindende takst- og tidsfristmekanisme ender uforudsete ændringer som en forhandling uden konkurrence.

Exitvilkårene skal stå i kontrakten, ikke i en separat hensigtserklæring. I hvilket format og inden for hvilken frist tilbageleveres data ved ophør? Hvordan dokumenteres sletning?

Hvor længe ydes bistand i en overgangsperiode, og hvad koster den? Tag stilling til, om der er behov for deponering af kildekode eller en aftalt overgangsplan, hvis leverandøren stopper produktet eller ikke længere kan levere.

Saml dokumentation og beslutningsgrundlag

Saml dokumentationen løbende under gennemgangen: vurderingsnotat pr. tildelingskriterium med begrundelse og henvisning til tilbuddets afsnit; liste over forbehold med vurdering af hvert enkelt; pris- og totalomkostningsberegning med eksplicitte forudsætninger; og en oversigt over, hvilke krav der er opfyldt, delvist opfyldt eller ikke opfyldt.

Kontrollér også offentliggørelsesforpligtelserne. Vejledningen om udbudsreglerne på kfst.dk beskriver, at der ved indgåelse af en rammeaftale skal offentliggøres en bekendtgørelse om indgået kontrakt.

Planlæg derfor fra begyndelsen, hvilke oplysninger sagen skal kunne levere, og hvornår de skal være klar.

Udbud.dk giver et overblik over danske myndigheders indkøb og viser både nationale udbud, EU-udbud og myndighedernes forventede indkøb i form af indkøbsplaner.

Kontrollér til sidst, at kontraktbilagene hænger sammen med det tilbud, du har evalueret: kravspecifikationen som bilag, prisskemaet, serviceaftalen med oppetidsmål og responstider, databehandleraftalen samt ændrings- og exitbilagene.

Et bilag, der afviger fra tilbuddets tekst, flytter den aftale, du troede, du indgik.