לקנות, לבנות או לרוץ עם סטארטאפ: הדילמה של ה-CIO

לחבור לסטארטאפ או לבנות מ-0 לבד? אילוסטרציה: Diva Plavalaguna, Pexels

חברות רבות עומדות באופן שוטף בפני דילמה מורכבת: האם לפתח פתרונות בעצמן, לרכוש מחברות מבוססות, או להמר על סטארטאפים שמבטיחים חדשנות אך גם מביאים עמם סיכונים?

משיחות עם מנהלי טכנולוגיה מחברות שונות עולה כי סטארטאפים לא מציעים בהכרח פתרונות זולים יותר, אבל הם כן מציעים גמישות ונכונות להתאמות שקשה למצוא אצל חברות גדולות. המפתח הוא בהבנה מתי כדאי לקחת את הסיכון, איך לנהל אותו נכון ואיך לבנות שותפויות שיועילו לשני הצדדים. אז איך עושים את זה?

איפה מתחילים?

ההחלטה הראשונה שכל ארגון צריך לקבל היא אם לפתח פתרון בעצמו או לרכוש אותו מבחוץ, מה שנקרא דילמת Build or buy – כבר כאן מתחילה המורכבות וצפות שאלות של משאבים זמינים, דחיפות היציאה לשוק ובייחודיות הדרישות.

דרור ליאור

"כאשר יש פתרונות מובנים שניתן לראות בעבודה וגם הוכחו כמוצלחים – נעדיף את הפתרון הזה", אומר דרור ליאור, סמנכ"ל תפעול ב-UCT ישראל, ספקית מרכזית של פתרונות לתעשיית השבבים והאנרגיה, "כאשר הפתרון הוא חדשני וייחודי לצרכים שלנו, נבחן חברות סטארטאפ וניפתח לרעיונות חדשניים". לדבריו, הם מחפשים חברות בתחום התוכנה, כמו למשל AI לעולמות שרשרת האספקה, גם בתחום ה-vision – למשל ביקורת איכות דרך מצלמות וגם בתחום האוטומציה והרובוטיקה לעולמות הייצור.

פלורה לוין, VP Global IT & Digital בחברת VPG, העוסקת בפיתוח חיישנים, מציגה גישה מובנית יותר: "האפשרות לבנות תלויה קודם כל בזמינות משאבי הבנייה בארגון ובסדרי עדיפויות שלהם. אם שתי האופציות קיימות וזמינות, נכנסים שיקולים אחרים כגון זמן יציאה לשוק (T2M), עלות כוללת, זמינות משאבי תחזוקה עתידית וכמובן הערכה היכן אקבל פתרון איכותי יותר".

היא מכירה כמובן ביתרונות של ספקים קטנים "ההשפעה שלך, כלקוח, גדולה יותר", היא אומרת אך מסייגת "מצד שני, יש סכנה קיומית לספק שתלוי בעיקר בך, וגם אי אפשר ליהנות מניסיונו הנצבר אצל לקוחות אחרים".

סנגרם דש, CISO ו-VP of IT בחברת Sisense, פלטפורמה לאנליטיקה מבוססת בינה מלאכותית, מציג גישה היברידית מתוחכמת: "אני מאזן בין שותפויות עם סטארטאפים וחברות מבוססות, לבין בנייה פנימית".

יש סכנה קיומית לספק שתלוי בעיקר בך, וגם אי אפשר ליהנות מניסיונו הנצבר

להיזהר מתזמורת של איש אחד

פלורה לוין

אוקיי, התקבלה ההחלטה ורצים עם סטארטאפ. כשעושים את זה, מסבירה לוין, יש חשיבות לשירות מתמשך, לעומת עבודה חד פעמית. "בגדול, כדאי להבטיח שהפתרון ימשיך להתפתח ושנמשיך לקבל שירות כל עוד הארגון בוחר לעשות זאת. שלא יפתיעו אותך" היא מסבירה.

עוד אלמנט חשוב: פיזור הידע. "רצוי שהידע לא יהיה אצל אדם אחד בלבד בסטארטאפ, אלא אצל מספר אנשים בחברה. בהרבה סטארטאפים זה one man show", אומר ליאור. ומרחיב שיש לבחון יכולות תכנון והנדסה, ולבחור חברה "שיודעת לתת את המעטפת המלאה של תכנון, ייצור ושירות".

דש מציג רשימה מקיפה של שיקולים בבחירת סטארטאפ, למשל "כדאיות פיננסית וזמן פעילות, צוות והנהלה ורקורד ההישגים שלהם, בגרות המוצר ומפת הדרכים, המלצות לקוחות ואימוץ, אסטרטגיית יציאה ותמיכה, גמישות והתאמה אישית, תנוחת אבטחה ונהלים, יכולת הרחבה וביצועים". הוא מסביר כי "כ-CISO ו-VP IT, בחירת הספקים שלי, בין שמדובר בסטארטאפ או חברה מבוססת, תלויה באבטחה, קומפליינס והתאמה לשוק".

יוצאים לקניות: רשתות קשרים וחכמת ההמונים

בעולם אוטופי דמיוני היה אפשר לקחת את הפרמטרים שעלו כאן ולעשות סינון (או חיפוש AI) בין יותר משלושה מיליון החברות שיש בקראנצ'בייס, לצמצם אותן ל-4-5 מועמדים שמראיינים ביום מרוכז, לחתום ולצאת לעבודה.

אבל המציאות כמובן מורכבת יותר, ועבודת החיפוש של ספק או שותף שילווה אותך בפרויקט היא משימה מאתגרת במיוחד שמביאה איתה נטל גדול של אחריות להצלחה או לכשלון בבחירה. אז מה עושים?

סנגרם דש

דרך אחת להגיע לספקים הנכונים היא רשתות קשרים אמינות: "קבוצות עמיתי ה-CISO שלי הן בעלות ערך רב לגילוי טכנולוגיות אבטחה חדשות", מסביר דש, "הקהילות המאורגנות הללו מאפשרות למנהלי אבטחה בכירים לחלוק תובנות ומשוב על פתרונות שהם העריכו". הוא עוד מציין כי הוא "מטפח יחסים עם קרנות הון סיכון המתמחות בסייבר ומציעות תובנות שוק עמוקות, מבצעות בדיקת נאותות נרחבת על מאות סטארטאפים, ומעריכות טכנולוגיה, צוות, הזדמנות שוק ונוף תחרותי".

לבסוף הוא מציין כי גם המשקיעים שלו, בין שמדובר בקבוצות פרטיות או קרנות, הם גם מקור ידע טוב: "ההיכרויות שלהם הן לרוב הזדמנויות טובות, מכיוון שהם מבינים את המטרות האסטרטגיות ואתגרי האבטחה שלנו. יש אינטרסים חופפים ואמון מובנה".

ליאור דובק בגישה המוכרת והמוכחת – פה לאוזן: "בדרך כלל דרך התייעצות עם חברים ואנשי קשר בארץ ובעולם מהתחום, חיפוש אנשי קשר מהתחום באינטרנט או לידים, לעיתים המלצות של חברות אחרות, ובחינת פתרונות שיכולים להיות דומים, לאו דווקא מהתחום הרלוונטי".

כל עדכוני ה-IT, תשתית וטכנולוגיה בערוץ הטלגרם של ITtime

לוין מרחיבה: "נעזרים רבות בחוכמת ההמונים – הפניות והמלצות אישיות בקהילות המקצועיות, חיפושים ברשת". היא גם מציינת שימוש בכלים עדכניים יותר כמו AI וצ׳אטים למיניהם ונותנת דוגמה מוחשית עדכנית: "בתקופת המלחמה חיפשנו בקבוצות ווטאסאפ של מנהלי המחשוב פתרון טכנולוגי לבדיקת בטחונם של העובדים אחרי אסון" בסוף הוא נמצא.

קהילות מאורגנות מאפשרות למנהלי אבטחה בכירים לחלוק תובנות ומשוב על פתרונות שהם העריכו

למרות קיומן של השיטות האלה לוין מציינת שהייתה רוצה שיהיה פתרון מובנה יותר, אז אם מישהי רוצה להקים סטארטאפ שמתמחה בחיפוש סטארטאפים – יש לזה דרישה בשוק. במילים של נונו – "צאי לדרך, ופשוט תעשי את זה".

סטארטאפים זולים? לא בהכרח

כשמדובר בחברות חדשות, בלי הרבה ניסיון ורצון להוכיח את עצמן ולהשיג לקוחות אסטרטגיים וגדולים, האינטואיציה אומרת שסטארטאפים יציעו מחירים אטרקטיביים יותר, לפחות עד שיתבססו. אבל האם זה המצב בשוק?

ליאור חד וברור: "לא! אך בדרך כלל הם יותר גמישים לשינויים והתאמות. למרות שסטארטאפ מקבל אצלנו הזדמנות, מגיע לו תשלום הוגן על ההשקעה כיוון שבכל מקרה מדובר בהשקעה משני הצדדים ויש לזה מחיר".

לוין מציעה נקודת מבט מורכבת יותר: "התקשרות עם סטארטאפים נתפסת כנקודת כניסה זולה יותר, כי כלקוח אתה לוקח סיכון ויש עסקת חליפין שונה מאשר עם ספק מנוסה. אבל לפעמים זול זה יותר יקר. בפועל, כשמסתכלים על total cost of ownership – אין תשובה גורפת".

מתגלחים על הלקוחות הראשונים

אז מה ההבדל בין עבודה עם סטארטאפים לעבודה עם חברות מבוססות? דש אומר כי יש יתרונות וחסרונות מובהקים בעבודה עם סטארטאפים. מצד אחד יש "זריזות וחדשנות, התאמה אישית וגמישות, גישה ישירה והשפעה, פוטנציאל לחיסכון בעלויות, מומחיות נישתית", להגדרתו.

מנגד יש את החסרונות: "סיכון כדאיות פיננסית ואריכות ימים, בגרות ויציבות מוצר נמוכה יותר, משאבים ותמיכה מוגבלים, חששות מיכולת הרחבה, תנוחת אבטחה שעלולה להיות לא בוגרת, ואתגרי הטמעה".

רעות רוזן

איך זה נראה בשטח? רעות רוזן, סמנכ"לית שרשרת האספקה, אסטרטגיה ופרויקטים ב-UCT, משתפת: "סטארטאפים רעבים להצלחה – וזה ניכר. הם נעים מהר, עובדים מתוך מחויבות גבוהה ונכונים להתאים את עצמם לצרכים משתנים". כדוגמה היא מציינת את חברת Alora שמפתחת פתרונות מבוססי AI לניהול רכש טקטי וייעול תהליכי שרשרת אספקה. "אנחנו פועלים איתם במתכונת של Design Partnership, כך שהמוצר מתוכנן ונבנה יחד איתנו ובהתאם לצרכים שלנו, בלי לתמחר כל שינוי קטן".

אבל לא הכל ורוד. "סטארטאפים בתחילת דרכם עדיין לומדים את השטח ולעיתים מתגלחים על הלקוחות הראשונים", היא אומרת, "חשוב להבין שיש גם סיכון, מדובר בפתרונות שעדיין בתהליך פיתוח ונדרש קשב ומשאבים שלנו בהסברים והדגמות".

פגישות היכרות ומבדקי חדירות

לפני שמתחילים לעבוד עם כל ספק, חיוני כמובן לבצע בדיקת נאותות מקיפה שתבדוק היבטים טכניים, עסקיים וביטחוניים. כשמדובר בחברות גדולות ומוכרות יש להן מוניטין שיכול לעזור. אבל איך עושים את זה עם סטארטאפים?

זה מאתגר כי "לא תמיד יש לסטארטאפים תשובות לכל השאלות", מודה ליאור. הוא מספר על תהליך מובנה של פגישה להכרת הסטארטאפ עם כלל הצוותים בתפעול. בפגישה הסטארטאפ מציג את המוצר וכל מחלקה מציפה שאלות שרלוונטיות אליה (לדוגמה: אחזקה, תשתיות, ייצור, IT ועוד)". כאשר אין תשובות במקום, הוא מעיד כי הסטארטאפ לומד את החומר וחוזר עם תשובות".

דש מספר על תהליך רב שלבי לבדיקת נאותות, ומעניק חשיבות גם לאבטחת המידע בשלבים המוקדמים. "בודקים ארכיטקטורה, ומריצים פיילוטים ו-POCs. מוודאים שיש סרטיפיקציה לדרישות של רגולוציה ושנעשות בדיקות חיצוניות. מבצעים הערכת אבטחת מידע שכוללת בין השאר מבדקי חדירות – ומנתחים אמינות ותמיכה של השירות כולל uptime ו-SLA".

נותנים לסטארטאפ הזדמנות, וכשלא מצליח חוזרים לנקודת ההתחלה ובוחנים חלופות

לוין מדגישה את החשיבות של הערכת סיכונים: "כמו בכל התקשרות חדשה, יש תהליך סדור של בדיקות לגבי ההתאמה הפונקציונאלית ומפת הדרכים, ניסיון החברה והצוות המוצע, ציון cybersecurity risk, מחיר והעלאות מחיר עתידיות. כשמתקשרים עם סטארטאפ עושים בדיקות נוספות, בעיקר בנוגע לסיכונים והיערכות אליהם".

מה עושים אם השידוך לא מצליח?

לשאלה "האם עושים תוכנית ב' במקרה של כישלון?" קיבלנו תשובות שונות מאוד זו מזו. בעוד לוין תמיד מתכננת מראש תוכנית ב', בהתאם לגודל הסיכון ומחיר הטעות, ליאור השיב בפשטות "לרוב לא". הוא מסביר את הרציונל "נותנים לסטארטאפ הזדמנות, וכשלא מצליח חוזרים לנקודת ההתחלה ובוחנים חלופות".

דש מציג גישה אחרת לגמרי. בעיניו, "תוכנית ב' אינה הכרחית ברכש תוכנה, כי אנו מעדיפים הוכחת ערך במהלך בחירת השותף כאמצעי מניעתי לניהול סיכונים". הוא מספר כי "התהליך שלנו מבטיח יתרונות מוחשיים לפני הרכישה".כמובן שדברים לא תמיד רצים חלק, ותמיד יכולות להיות מהמורות, וצריך לתכנן את התהליך נכוןף ולהיות מוכן למיטיגציה במקרה שמשהו לא עובד כשורה.

לפעמים, למשל, סטארטאפים נרכשים בתהליך acquihire ואז המוצר נסגר. דש לא מתרגש מהתופעה ומבהיר "זהו סיכון מובנה של מיזוגים ורכישות ואינו פוגע באיכות המוצר או בתרומה שלי". דוגמה נוספת שהוא מציג היא חוסר יכולת של הצוות להטמיע מוצר בגלל שינויים בהנהגת החברה. גישתו למניעת מצבים כאלה היא, בין השאר היא חוזים קצרי טווח של עד שנה. הוא מסביר כי "בעולם הנוכחי שמונע על ידי API, העדפת פתרונות גמישים וניתנים להחלפה היא קריטית לשמירה על זריזות ולהימנעות מתלות בספק".

מסתכלים קדימה

לבסוף, קבלו טיפים לרכש טכנולוגי, ששלושת המומחים סיפקו לאור הנסיון שלהם והרכישות שכבר ביצעו.

• חברו מסמך דרישות וספסיפיקציות שיהיה מאוד מאוד ברור, עם מסגרת עבודה כך שהדרישות יהיו מדויקות. כך תוודאו שהתוצר יהיה בהתאם לציפיות החברה ושיהיה בו שימוש בצורה תדירה וקבועה, והוא לא יהיה בשוליים.
• מבט קדימה: תתחשבו לא רק בצרכים הנוכחיים, אלא גם בצמיחה עתידית והתקדמות טכנולוגית.
• השקיעו זמן בחדשנות. מה זה אומר בפועל? להתעדכן על hubs של סטרטאפים, לפנות זמן מוגדר לכך, לתחזק מסגרות תומכות.
• התמקדו בתוצאות עסקיות ולא רק בפיצ'רים.
• קחו בחשבון total cost of ownership מעבר למחיר ההתחלתי.
• נהלו יחסי ספקים חזקים.
• חשוב מאוד: אל תתעלמו מסייבר כיסוד בסיסי. מדובר בהגנה על נכסי הארגון, ועל הדאטה אבל גם על המוניטין של החברה.
• התמקדו בחוויית המשתמש כבר בשלב ה-PoC.
• מנפו את אנליטיקת הדאטה לקבלת החלטות לעתיד.
• ודאו שהחוזים מגדירים בבירור הסכמי רמת שירות, בעלות על דאטה, אסטרטגיות יציאה, זכויות קניין רוחני וסעיפי אבטחת מידע.
• תאמו כל צעד, החל משלב בחירת הספק ועד חתימת החוזה וההוצאה לפועל עם כל גורמי הפנים בארגון – משפטית, IT, מוצר, פיתוח וכדומה.