Błąd w kodzie może kosztować firmę więcej niż sam projekt

Mówiąc o bezpieczeństwie w branży technologicznej, najczęściej myślimy o atakach hakerów, podatnościach systemów czy wyciekach danych. Rzadziej zwraca się uwagę, że wiele kłopotów finansowych firm IT rozpoczyna się od czegoś dużo bardziej przyziemnego – pomyłki w kodzie. To dlatego organizacje coraz częściej patrzą szerzej niż tylko na bezpieczeństwo aplikacji i zaczynają myśleć o odporności całego biznesu.

Dla osób piszących oprogramowanie błędy są naturalnym elementem pracy nad produktem. Z punktu widzenia firmy sytuacja komplikuje się dopiero w momencie, gdy skutki takiej pomyłki dotykają realnego klienta.

Kluczowe pytanie z perspektywy biznesowej nie dotyczy więc samego wystąpienia błędu, lecz tego, co się stanie, gdy jego konsekwencje odczuje odbiorca usługi.

Naprawiony bug to nie koniec sprawy dla firmy

Załóżmy, że mamy do czynienia z software house'em średniej wielkości, który rozwija platformę SaaS dla klientów działających w e-commerce. Podczas jednej z aktualizacji wprowadzono nową funkcjonalność odpowiadającą za synchronizację stanów magazynowych między sklepem internetowym a systemem ERP.

Wdrożenie przeszło standardową procedurę testową, kod trafił na produkcję, a system monitoringu nie zgłaszał żadnych alarmów.

Kilka dni później okazało się jednak, że przy określonej konfiguracji integracja niepoprawnie odczytywała fragment danych napływających z systemu klienta. Skutkiem było oznaczenie tysięcy produktów jako dostępnych, choć w rzeczywistości brakowało ich na magazynie.

Konsumenci zamawiali towary, których fizycznie nie było, co doprowadziło do lawiny reklamacji, konieczności zwrotu pieniędzy oraz utraty zaufania po stronie klientów końcowych.

Sama usterka techniczna została wyeliminowana jeszcze tego samego dnia.

Kłopot polegał na tym, że biznesowe następstwa błędu nie zniknęły razem z nim.

Firma korzystająca z platformy oszacowała poniesione szkody na 327 000 złotych i zgłosiła roszczenie względem dostawcy oprogramowania. Do tego doszły dodatkowe wydatki – na obsługę prawną, opinie ekspertów technicznych oraz działania z zakresu komunikacji kryzysowej.

Ostatecznie koszt, jaki trzeba było poniesć, by uniknąć błędu na etapie testów, okazał się nieporównywalnie niższy od kosztów jego biznesowych skutków.

OC zawodowe staje się standardem, nie opcją

Zanim jakikolwiek projekt wystartuje, obie strony muszą uporać się z całą listą formalności: negocjacją umowy, wymaganiami dotyczącymi bezpieczeństwa, podpisaniem NDA oraz ustaleniem podziału odpowiedzialności. Na tej liście coraz częściej znajduje się także obowiązek potwierdzenia posiadania ubezpieczenia OC zawodowego.

Do niedawna polisa odpowiedzialności cywilnej w sektorze IT była kojarzona przede wszystkim z dużymi firmami, które traktowały ją jako element szerszego zarządzania ryzykiem.

Obecnie zmienia się to na naszych oczach – ubezpieczenie staje się wymogiem stawianym niezależnie od wielkości firmy.

W kontraktach B2B pojawiają się już standardowo klauzule zobowiązujące wykonawcę do posiadania odpowiedniej polisy, przy czym dodatkowo sam ubezpieczyciel musi spełniać określone kryteria, najczęściej związane z jego ocenami w ratingach.

Technologia buduje wartość, ryzyko generuje koszty

Coraz więcej software house'ów zaczyna w sposób świadomy budować odporność biznesową swojej organizacji. Nie ogranicza się to jedynie do procesu wytwarzania oprogramowania – obejmuje też zarządzanie odpowiedzialnością wynikającą z kontraktów oraz przygotowanie firmy na scenariusze kryzysowe.

Jeśli posiadanie OC jest już zapisane w umowie, warto zadbać, by nie było jedynie formalnością odhaczaną przed startem projektu. Dobrze skonstruowana polisa realnie pomaga firmie już w momencie, gdy dochodzi do spornej sytuacji z klientem – jeszcze przed formalnym ustaleniem, kto ponosi odpowiedzialność.

W praktyce na tym właśnie etapie liczy się nie tylko sama ochrona finansowa, ale też wsparcie specjalistów, którzy pomagają zminimalizować skutki konfliktu i doprowadzić do jego rozwiązania.

Dlatego przy wyborze polisy warto sprawdzić, jaki dokładnie zakres wsparcia ona zapewnia.

To właśnie w takich momentach widać, że odpowiednio dobrane OC zawodowe nie jest tylko dokumentem wymaganym przez klienta, lecz realnym elementem planu na wypadek kryzysu.

Dojrzałość organizacji technologicznej nie oznacza wiary w to, że błędy nigdy się nie wydarzą. Oznacza raczej przygotowanie firmy na moment, w którym mimo wszystko się zdarzą.

Podobnie jak nie projektuje się systemów zakładając, że nigdy nie zawiodą, nie warto też budować firmy w oparciu o założenie, że żadne roszczenie nigdy się nie pojawi.