Как выбрать ИТ‑подрядчика для автоматизации в 2026 году

WEBDAD, Руководитель практики автоматизации · 1 июль 2026

97% проектных специалистов в 2025 году управляли хотя бы одним «сложным» проектом — это уже не исключение, а фон вашей следующей автоматизации. Если вы решаете, как выбрать ИТ‑подрядчика для автоматизации, помните: с 2 августа 2026 вступают ключевые требования AI Act — ошибки выбора будут стоить вам архитектурных переделок. Подтверждение сроков — у регулятора ЕС.

Не выбирайте подрядчика по цене — отбирайте по доказуемой способности безопасно и часто доставлять изменения. Требуйте 2–4‑недельный платный discovery‑спринт с доступом к CI/CD, скриншотами/дашбордамD

Коротко: единственный тезис, который делает эту статью незаменимой

Ставка и презентации не отражают способность подрядчика безопасно доставлять изменения; метрики и артефакты — отражают. Просите DORA (deployment frequency, lead time, CFR, MTTR) и доступ к дашбордам — это проверяемо и сопоставимо. «Элитный» ориентир есть в отчёте DORA: lead time < 1 дня, MTTR < 1 часа, CFR < 5%.

Почему это важно именно сейчас? С 2 августа 2026 начинают действовать ключевые нормы AI Act; параллельно растут траты на AI‑агентов, что меняет стек автоматизации и требования к комплаенсу. Gartner уже фиксирует ускорение инвестиций в программное обеспечение для AI‑агентов — это усиливает требования к выбору подрядчика с доказуемым AI‑комплаенсом.

Что конкуренты пропускают: большинство гайдов разбирают платформы и TPRM, но не переводят это в инженерные доказательства — ни DORA‑метрик, ни CI/CD, ни сценария discovery до контракта.

Именно поэтому мы спорим с консенсусом: отбор нужно вести по DORA, а не по ставке — начните с короткого платного discovery с доступом к пайплайнам и метрикам, а не с RFP.

Но дело не только в этом…

Почему ставку и RFP нельзя ставить в центр отбора подрядчика?

Рынок перегрет: в 1 квартале 2026 совокупный ACV глобального рынка технологий и аутсорсинга обновил исторический максимум $39,4 млрд (+29% г/г). Это означает высокую конкуренцию за сильные команды и частые «перепродажи» часов без реальной пропускной способности.

Перегретый спрос — ваш сигнал ужесточать фильтры: проверять фактический состав команды (CV ключевых инженеров), настаивать на «no bait‑and‑switch», договариваться о праве выхода после пилота и смотреть историю релизов за 6–12 месяцев.

Риски вы знаете: «B‑team» вместо обещанных сеньоров; потеря контекста при частой смене ПМ; размытая ответственность за владение кодом. Эти боли регулярно всплывают у инженеров и заказчиков — и они не теоретические.

Цитаты сообщества прямо говорят: даже «проверенный» интегратор провалится, если на проект придёт B‑team; каждая ротация ПМ «съедает» часть требований; а тема владения кодом до сих пор «щекотливая».

Вот где ломается большинство стратегий:

Фокус на ставке не ловит ни CFR, ни MTTR, ни способность к откату. Эти параметры определяют, будете ли вы в 2026 тратить бюджет на развитие или на тушение пожаров.

Какие конкретные доказательства инженерной зрелости запрашивать до контракта? (сравнительная таблица метрик)

Ваш минимальный пакет пресейла: DORA‑метрики с методикой измерения и read‑only доступом к дашбордам; демонстрация CI/CD с процедурой rollback; SBOM и целевой SLSA‑уровень для сборочных пайплайнов; CV ключевых инженеров и «no bait‑and‑switch» в контракте; история инцидентов и MTTR; подтверждение AI‑комплаенса; в OT — наличие CSIA.

Добавьте юридические предохранители: права на исходники и обязательный софт‑эскроу с понятными триггерами выдачи — банкротство, прекращение поддержки, грубое нарушение SLA.

А теперь — к практике.

Как устроить 2–4‑недельный платный discovery‑спринт — шаг за шагом?

1. Согласуйте цели и критерии успеха: что считаем прогрессом, какие DORA‑метрики улучшить и какие риски подтвердить/снять.

2. Определите доступ: тестовое окружение, обезличенные данные, перечень сервисов и окна на деплой/rollback.

3. Дайте read‑only доступ к их CI/CD: пусть покажут пайплайны, секрет‑менеджмент, шаблоны релизов и процедуру отката.

4. Запросите DORA‑дашборды и методику измерений; зафиксируйте целевые пороги и способ расчёта CFR/MTTR в SLA.

5. Проведите сессии с назначенными инженерами: валидируйте CV, роли и вовлечённость. Условие «no bait‑and‑switch» — обязательно.

6. Проверьте комплаенс: AI Act (ЕС), SBOM на артефакты, заявленный SLSA‑уровень пайплайна.

7. Соберите отчёт: фактические метрики, риски, план миграции/rollback, перечень обязательств. В контракте — оплата пилота, право выхода и права на артефакты.

И здесь начинается настоящая проблема.

Как проверять AI‑комплаенс подрядчика с учётом AI Act (вступает 2 августа 2026)?

Если вы внедряете ИИ в ЕС, подрядчик должен показать: локализацию и маршрутизацию данных; документацию моделей и происхождение данных; оценку и регистрацию high‑risk систем, если применимо; меры прозрачности для интерактивных ИИ; механизмы водяных знаков и трассировки выводов. Старт применения — 2 августа 2026; для некоторых high‑risk норм действуют отложенные сроки.

Контекст бюджета важен: рост расходов на ПО AI‑агентов стимулирует проекты, но не отменяет требований к качеству и возврату инвестиций — требуйте измеримые SLO по точности и отказоустойчивости, а также планы деградации сервиса при недоступности провайдера моделей.

Где это не работает: типичные ошибки и реальные кейсы провала

Ошибка 1: верили идеальному демо без верификации пайплайнов — через полгода команда чинит ботов чаще, чем создаёт новых. Диагноз: хрупкая идентификация элементов (картинки/координаты). Лечение: требовать демонстрацию на accessibility‑API и стресс‑тест обновлением UI.

Ошибка 2: приняли B‑team и потеряли управляемость — ключевые инженеры не закреплены, ПМы менялись, контекст утёк в швы коммуникаций. Лечение: контрактная оговорка «no bait‑and‑switch», фиксированные роли и штрафы за подмену.

Ошибка 3: не зафиксировали права на код и софт‑эскроу — при конфликте или банкротстве доступ к исходникам оказался за бортом. Лечение: IP у заказчика по умолчанию + escrow с триггерами.

Ошибка 4: игнор CFR/rollback — ежегодные скрытые издержки из‑за неудачных изменений в проде. В 2026 по ERP/Cloud ALM 53% респондентов отметили «значимые или серьёзные» потери. Лечение: согласовать пороги CFR/MTTR и планы отката в SLA.

Как зафиксировать риски в договоре — какие пункты и триггеры требовать?

Практичные формулировки для ТЗ и договора:

• IP: «Все исключительные права на исходный код и артефакты принадлежат Заказчику». Обязательный софт‑эскроу с триггерами: банкротство, прекращение поддержки, существенное нарушение SLA.

• SLA/SLO по изменяемости: целевые пороги DORA (DF, lead time, CFR, MTTR), методика измерения и доступ к дашбордам закреплены в приложении.

• Безопасность поставок: SBOM при каждом релизе и целевой SLSA‑уровень для пайплайнов.

• Команда: CV ключевых инженеров, «no bait‑and‑switch» с санкциями, право одностороннего выхода после пилота.

• RPA/low‑code: права на исходники ботов, экспорт процедур и данных; способ идентификации UI‑элементов — через accessibility‑API.

Контр‑консенсус: почему отбор по DORA — не универсальная панацея?

Метрики можно «подчищать» или считать некорректно; поэтому просите методики и доступ к первичным данным. В legacy и OT‑средах «элитные» пороги не всегда достижимы — оцените тренд и зрелость процессов, а не абсолют.

Комбинируйте DORA с отраслевой валидацией: для системной интеграции в OT проверьте членство/сертификацию CSIA — это сторонняя проверка процессов и управления.

И ещё одно: начинайте отбор не со ставки, а с discovery — но помните, что ставка станет релевантной только после того, как вы увидите реальную пропускную способность и качество поставок.

Часто задаваемые вопросы

Какие DORA‑метрики запрашивать у подрядчика и в каком формате?

Запросите deployment frequency, lead time for changes, change failure rate (CFR) и MTTR. Попросите описание методики измерения, скриншоты дашбордов (или временный read‑only доступ) и историю за последние 6–12 месяцев. Согласуйте целевые пороги в SLA.

Как убедиться, что подрядчик не отдаст на проект «B‑team»?

Требуйте CV ключевых инженеров, закрепление команд в контракте, оговорку «no bait‑and‑switch» с финансовыми санкциями и право на односторонний выход из пилота. В discovery‑спринте оценивайте личное участие назначенных инженеров.

Нужно ли требовать SBOM и SLSA‑уровень от подрядчика?

Да. SBOM уменьшает риск уязвимостей цепочки поставок; SLSA‑уровень для пайплайнов обеспечивает доверие к сборкам. Зафиксируйте требуемый уровень в ТЗ и сроки предоставления SBOM при каждой релизной поставке.

Как минимизировать vendor lock‑in при использовании RPA или low‑code платформ?

Уточняйте способ идентификации UI‑элементов (accessibility‑API предпочтительнее картинок), права на исходники ботов, экспорт процедур и данных, а также наличие эскроу. Включите в контракт опции миграции и формат экспорта роботов.

Сколько стоит платный discovery‑спринт и имеет ли смысл его делать?

Типично 2–4 недели; цена зависит от объёма и доступа, но это инвестиция, которая выявляет риски и фильтрует неподходящих подрядчиков. В условиях Q1’26 перегретого рынка такой пилот — лучший способ проверить пропускную способность и реальную инженерку

Заключение

Отбирайте подрядчика по фактам: DORA‑метрики и демонстрация CI/CD важнее ставки; делайте 2–4‑недельный discovery; закрепляйте IP, escrow, SBOM/SLSA и SLA с порогами CFR/MTTR; для ЕС — зафиксируйте AI‑комплаенс под сроки 2 августа 2026. Выбирайте по способности доставлять изменения — это единственная валюта, которая конвертируется в ценность.

Запросить 2–4‑недельный платный discovery‑спринт