精密仪器制造商评审会上，三份外包报价单摊在桌上：48万、62万、83万。财务总监问CTO：「用同一套标准打分，哪家真能交付？」这个问题暴露了多数技术负责人的盲区——软件开发公司的评估没有统一标尺，导致选型变成赌概率。
我们复盘了2024-2025年交付的17个外包选型案例，提炼出六维尽职调查框架。每维都有可量化的评分标准，可以直接搬进CTO评审会。
一、技术栈匹配度：不是「能做」而是「做过」
服务商官网的「技术栈」页面通常写满热门框架，但真正决定交付质量的是核心模块交付者的实战经验。评估时要求对方提供：
- 核心模块交付者工龄≥3年占比（目标≥70%）
- 同类项目代码行数（与本次需求量级匹配）
- SonarQube可维护性B级以上比例（历史项目）
某健康科技团队曾遇到的情况是：签约时承诺资深架构师，实际交付时换成3年经验开发者，返工成本9.8万。这个坑的根源就是技术栈匹配度只看了「会不会」，没看「熟不熟」。
二、交付管控机制：看流程文档，不看PPT
要求对方提供真实的流程文档，而非销售演示。重点检查：
- 是否有代码审查（CR） checklist 且执行率可查
- CI/CD流水线是否包含自动化测试门禁
- 需求变更的审批链与影响评估模板
我们曾对比过两类团队：A团队提供GitLab CI截图+测试覆盖率趋势图，B团队给了一份精美的「敏捷开发流程图」。结果A团队的交付延期率是B团队的1/3。关于交付管控的更多细节，可以参考软件定制开发隐性成本拆解一文。
三、团队稳定性：关键人风险是最大隐性成本
外包项目最怕中途换人。评估时要求对方披露：
- 核心岗位（架构师/技术负责人）过去12个月离职率
- 项目绑定的具体人员姓名与简历
- 人员替换的提前通知期与补偿机制
中型工作室的团队稳定性通常优于大型外包的「资源池模式」——后者可能在你项目攻坚期把核心开发调去更急的单子。团队能力建设的六维评估框架可参考软件定制开发团队能力建设：CTO选型必读的六维评估框架。
四、知识产权条款：源码交付不是终点
合同里「源码归甲方所有」是标配，但执行层面有四个细节必须确认：
- 源码交付格式（裸仓库 vs 带依赖锁文件）
- 第三方开源组件的合规审计报告
- 密钥/凭证的清理与轮换机制
- 交付后bug修复的责任边界与时效
某工业软件团队在验收后第三周发现供应商遗留的测试环境密钥未清理，导致代码仓库被未授权访问。这个教训说明，知识产权条款要写到「可执行」层面，而非停留在所有权声明。
五、售后响应SLA：用数字约束，不用形容词
合同里的「快速响应」「优先处理」都是无效承诺。必须量化：
- P1故障（生产环境不可用）响应时间≤30分钟
- P2故障（功能异常）响应时间≤4小时
- 每月主动巡检次数与报告格式
对比表显示，大型外包的SLA承诺最完整，但实际执行率往往低于中型工作室——因为前者有层层工单系统，后者是直接对接技术负责人。
六、隐性成本披露：报价单之外的「必花钱项」
我们整理了三类服务商在隐性成本上的典型表现：
| 服务商类型 | 报价透明度 | 常见隐性成本 | 风险等级 |
|---|---|---|---|
| 大型外包（50人+） | 中 | 需求变更费、云资源溢价、人员升级差价 | 中 |
| 中型工作室（10-30人） | 高 | 紧急排期费、第三方组件授权 | 低 |
| Freelance集群 | 低 | 接口联调费、运维交接费、人员流失返工 | 高 |
隐性成本披露意愿强的服务商，往往在首次报价时就会主动列出「不包含项」。这是信任信号，不是弱点。如果你正在评估不同交付路径的成本差异，可以阅读如何选择软件外包公司：2026年CTO选型避坑指南获取更多对比数据。
六维评分卡：直接可用的评审工具
把上述六维做成评分卡，每维10分，总分60分。我们的经验阈值：
- ≥50分：可进入合同谈判
- 40-49分：需要补充尽调或设定里程碑付款
- <40分：直接淘汰
评分时注意「一票否决项」：知识产权条款不清晰、核心人员未锁定、源码交付格式不明确，任何一项为零分则总分直接降一档。
常见问题
报价差异为什么这么大？
同样功能的定制开发，报价差异3倍以上通常来自三个变量：团队平均工龄（资深vs junior）、流程成熟度（有CI/CD vs 手动部署）、隐性成本是否计入报价。用六维卡打分时，报价权重不应超过30%。
合同条款怎么保护源码？
除了「源码归甲方」的声明，必须附加：交付物清单（含依赖版本号）、密钥清理确认函、bug修复时效（P1≤24小时）。建议在合同中加入「源码交付后30天内未发现遗留问题再付尾款」的里程碑。
中途换人怎么止损？
在合同中写明：核心岗位替换需提前15个工作日书面通知，且替换人员资质不得低于原人员。同时设置「人员稳定性奖金」——项目交付且核心人员未更换，额外支付5%尾款作为激励。
如何验证服务商的历史案例？
要求提供可联系的客户 references，至少2个。验证时问三个问题：交付延期了多久？返工成本多少？售后响应实际多久？这三个答案比案例文档真实得多。
六维卡打多少分算合格？
我们复盘的数据显示：得分≥50分的项目，交付延期率12%，返工成本占报价8%；40-49分的项目，延期率28%，返工成本19%；低于40分的项目，延期率超过45%。CTO评审会建议以50分为准入门槛。
如果你正在筛选软件开发公司，需要一套可落地的评估工具，欢迎私信获取六维评分卡模板，或查看我们整理的企业软件定制开发案例了解不同服务商的真实交付表现。
参考来源
[1] Synopsys. Tech Due Diligence: Evaluating SDLC Processes and Tools. https://www.synopsys.com/zh-cn/blogs/chip-design/ma-due-diligence-sdlc.html