Il codice sorgente deve essere mio?

Sì, e va scritto nel contratto in modo esplicito, insieme alla forma di consegna e alla documentazione. Senza questa clausola non stai comprando un software: stai affittando l'accesso a un software, con il fornitore come unico punto di uscita.

Le certificazioni ISO sono davvero rilevanti per una PMI?

Sono rilevanti quando il fornitore tratta dati dei tuoi clienti o dei tuoi dipendenti. Una certificazione non garantisce che non accada nulla: garantisce che esistono procedure documentate, verificate da un ente esterno, e che in caso di incidente c'è un processo definito invece di improvvisazione.

Come capisco se una software house è troppo grande o troppo piccola per me?

Guarda chi ti seguirebbe concretamente, non le dimensioni dichiarate. In una struttura grande il rischio è essere un progetto minore in coda; in una piccola è la dipendenza da una o due persone. In entrambi i casi la domanda utile è la stessa: chi risponde quando qualcosa si rompe?

Aggiornato a settembre 2026

Guida

Come scegliere una software house: criteri, domande e contratto

Per scegliere una software house valuta cinque cose, in quest'ordine: se ha già risolto un problema simile al tuo, chi sarà il tuo referente tecnico e in che lingua ti parla, come sono gestite sicurezza e conformità dei dati, cosa dice il contratto su proprietà del codice e livelli di servizio, e come si esce dal rapporto se non funziona. Il prezzo è l'ultimo criterio, non il primo: un preventivo basso su requisiti vaghi è il modo più comune di spendere il doppio.

Parla con un esperto

I criteri di valutazione

Esperienza sul problema, non sulla tecnologia

Chiedi un progetto in cui hanno affrontato un processo simile al tuo. Lo stack conta meno di quanto sembri; capire il tuo dominio conta molto di più.

Chi è il referente e dove sta

Un punto di contatto tecnico che parla la tua lingua e conosce il progetto cambia la gestione quotidiana più di qualsiasi metodologia dichiarata.

Composizione del team

Verifica se analisi funzionale, sviluppo e QA sono ruoli distinti o la stessa persona. Nessuna delle due opzioni è sbagliata: cambia il rischio, e il rischio va conosciuto prima.

Sicurezza e trattamento dei dati

È il criterio che si dimentica più spesso e quello che costa più caro quando manca. Chiedi come sono protetti i dati che affidi, non se sono protetti.

Come lavorano dopo il go-live

Un progetto software non finisce al rilascio: chiedi come sono gestite manutenzione correttiva ed evolutiva, e con quali tempi di risposta.

Trasparenza sulla stima

Chi ti dà un prezzo certo senza aver visto i tuoi processi ti sta vendendo una scommessa, non un progetto.

Le domande da fare prima di firmare

Otto domande che separano un fornitore preparato da uno che improvvisa. Le risposte contano meno della prontezza con cui arrivano.

Chi sarà il mio referente tecnico e quante ore alla settimana dedica al mio progetto?
Il codice sorgente è mio? In quale forma me lo consegnate e con quale documentazione?
Su quale infrastruttura girano i miei dati e dove risiedono fisicamente?
Chi, nel vostro team, accede ai dati di produzione e come vengono tracciati gli accessi?
Cosa accade se il progetto si ferma a metà? Cosa resta a me?
Come gestite le richieste di modifica in corsa e come si riflettono su tempi e budget?
Quali tempi di intervento garantite su un blocco in produzione?
Posso parlare con un vostro cliente che ha un progetto simile al mio?

Contratto, SLA e proprietà del codice

Da leggere con attenzione anche il perimetro di ciò che è manutenzione rispetto a ciò che è nuovo sviluppo, l'accordo sul trattamento dei dati personali ex art. 28 GDPR, la titolarità delle componenti di terze parti e le condizioni di rinnovo. Un contratto che non nomina la proprietà del codice non ha un'omissione: ha già dato una risposta.

Proprietà del codice sorgente

Deve essere tua, con consegna documentata e non un semplice accesso in lettura. È la clausola che determina se puoi cambiare fornitore senza ricominciare da zero.

Livelli di servizio espliciti

Tempi di presa in carico distinti per bug bloccanti, non bloccanti ed evolutive. Un SLA che non distingue le severità non è un SLA.

Condizioni di uscita

Restituzione di dati e artefatti in un formato riutilizzabile, con tempi definiti. Si negozia all'inizio, quando il rapporto è buono, non alla fine.

Sicurezza e certificazioni come criterio di scelta

Le certificazioni non sono un bollino da vetrina: sono la prova che esiste un processo documentato e verificato da un ente esterno. Quando affidi a un fornitore i dati dei tuoi clienti o dei tuoi dipendenti, quel processo è la differenza tra una promessa e un obbligo verificabile.

Le nostre certificazioni

ISO/IEC 27001

Esiste un sistema di gestione della sicurezza delle informazioni, con analisi dei rischi, controlli documentati e audit periodici?

ISO 9001

La qualità dei processi è gestita e misurata, o dipende dalle singole persone?

ISO/IEC 27017 e ISO/IEC 27018

Se il progetto vive in cloud, sono coperti i controlli specifici del cloud e la protezione dei dati personali trattati in qualità di responsabile?

Conformità GDPR

Chi è titolare e chi responsabile, per quanto tempo sono conservati i dati e cosa accade al termine del rapporto?

Accessi e ambienti

Sviluppo, test e produzione sono ambienti separati? Gli accessi sono assegnati per ruolo e revocabili?

Domande frequenti

Conta, ma è l'ultimo criterio da guardare. Un preventivo basso costruito su requisiti vaghi si trasforma quasi sempre in varianti in corso d'opera: il costo finale sale, e nel frattempo hai perso mesi. Confronta preventivi solo quando i requisiti sono gli stessi per tutti i fornitori.