Hồ sơ mời thầu hệ thống truy xuất và chống giả: hỏi nhà cung cấp những gì

Một hồ sơ mời thầu hệ thống truy xuất nguồn gốc và chống giả tốt không hỏi "hệ thống có những tính năng gì", mà hỏi "khi tình huống X xảy ra, hệ thống và nhà cung cấp làm gì". Câu hỏi thứ nhất cho ra một bảng tính năng ai cũng tích đủ; câu hỏi thứ hai cho ra những câu trả lời phân biệt được nhà cung cấp này với nhà cung cấp kia.

Bài này đưa bảy nhóm câu hỏi nên có trong hồ sơ mời thầu, và với mỗi nhóm, tiêu chí để đánh giá câu trả lời. Bài không so sánh tự xây hay thuê nền tảng — quyết định đó thuộc bài tự xây hệ thống hay thuê nền tảng truy xuất nguồn gốc. Ở đây giả định doanh nghiệp đã chọn thuê, và đang chọn thuê của ai.

Vì sao hồ sơ mời thầu hệ thống truy xuất hiện nay không phân biệt được nhà cung cấp

Ba lỗi lặp lại ở phần lớn hồ sơ mời thầu trong lĩnh vực này:

• Hỏi bằng danh sách tính năng. "Có mã QR không, có ứng dụng di động không, có báo cáo không." Mọi nhà cung cấp đều trả lời có, và không câu trả lời nào nói lên chất lượng.
• Không hỏi về ngày kết thúc hợp đồng. Hồ sơ hỏi kỹ về triển khai nhưng không hỏi chuyện gì xảy ra với dữ liệu khi doanh nghiệp đổi nhà cung cấp — trong khi dữ liệu truy xuất phải lưu nhiều năm, dài hơn hầu hết hợp đồng phần mềm.
• Để nhà cung cấp tự định nghĩa thuật ngữ. "Đạt chuẩn GS1", "chống giả tuyệt đối", "tích hợp cơ quan quản lý" là những cụm mỗi bên hiểu một kiểu. Hồ sơ không định nghĩa thì không chấm được.

Bảy nhóm câu hỏi dưới đây được viết để tránh cả ba lỗi. Mỗi nhóm có phần thế nào là đạt — đó là phần quan trọng hơn bản thân câu hỏi.

Nhóm 1 — Dữ liệu thuộc về ai

Đây là câu hỏi đầu tiên, vì câu trả lời quyết định mọi thứ phía sau.

Câu hỏi nên đặt: Dữ liệu định danh, dữ liệu sự kiện và dữ liệu quét do hệ thống ghi nhận thuộc quyền sở hữu của bên nào? Nhà cung cấp được dùng dữ liệu đó vào việc gì ngoài việc cung cấp dịch vụ cho doanh nghiệp? Dữ liệu được lưu ở đâu, và bên thứ ba nào có quyền truy cập?

Thế nào là đạt: câu trả lời bằng điều khoản hợp đồng, không bằng lời hứa miệng. Quyền sở hữu dữ liệu thuộc doanh nghiệp được ghi rõ; phạm vi nhà cung cấp được dùng dữ liệu được liệt kê cụ thể và có giới hạn. Câu trả lời kiểu "chúng tôi cam kết bảo mật" mà không có điều khoản đi kèm là chưa đạt.

Nhóm 2 — Xuất dữ liệu khi dừng hợp đồng

Nhóm này thường bị bỏ qua, và cũng là nhóm tạo ra sự phụ thuộc khó gỡ nhất.

Câu hỏi nên đặt: Khi hợp đồng kết thúc, doanh nghiệp nhận lại dữ liệu ở định dạng nào? Có kèm mô tả cấu trúc dữ liệu để hệ thống khác đọc được không? Mất bao lâu để xuất toàn bộ, và có tính phí không? Các mã đã in trên bao bì còn tra cứu được sau khi dừng dịch vụ không, và trong bao lâu?

Thế nào là đạt: định dạng xuất là định dạng mở, có tài liệu mô tả cấu trúc, thời hạn bàn giao được ghi bằng số ngày, và có phương án duy trì tra cứu cho mã đã lưu thông trong một thời gian chuyển tiếp. Yêu cầu nhà cung cấp gửi kèm một mẫu tệp xuất thật trong hồ sơ dự thầu, không chỉ mô tả bằng chữ.

Câu hỏi cuối về mã đã in đáng chú ý riêng. Bao bì đã ra thị trường có thể tồn tại nhiều tháng sau khi hợp đồng kết thúc. Nếu mã trên đó trả về lỗi, người mua sẽ hiểu là hàng có vấn đề — dù vấn đề thực ra nằm ở hợp đồng phần mềm.

Nhóm 3 — Chuẩn mã và cấp định danh

Câu hỏi nên đặt: Mã định danh sản phẩm được cấu trúc theo chuẩn nào? Nếu nhà cung cấp nói "theo GS1", hãy hỏi cụ thể: dùng GTIN có tiền tố doanh nghiệp do GS1 Việt Nam cấp hay mã nội bộ; số lô và serial được gắn với GTIN theo cấu trúc nào; hệ thống có xuất được dữ liệu sự kiện theo từ vựng EPCIS không. Hệ thống hỗ trợ định danh ở cấp nào — sản phẩm, lô, hay từng đơn vị — và chuyển giữa các cấp có phải làm lại dữ liệu không?

Thế nào là đạt: nhà cung cấp phân biệt được ba khái niệm — vật mang dữ liệu là mã QR, mã định danh là GTIN kèm lô hoặc serial, và chuẩn trao đổi dữ liệu là EPCIS — thay vì gộp cả ba thành "chuẩn GS1". Việc in một mã QR không đồng nghĩa với tuân thủ GS1; câu trả lời đạt phải nói rõ phần nào của hệ thống theo chuẩn và phần nào là thiết kế riêng.

Nếu doanh nghiệp chưa quyết cấp định danh, nên chốt trước khi mở thầu. Lựa chọn giữa lô và từng sản phẩm ảnh hưởng tới chi phí và khả năng kiểm soát, được phân tích ở bài định danh theo lô hay từng sản phẩm. Mở thầu khi chưa chốt điểm này thì các bản chào không so được với nhau.

Nhóm 4 — Cam kết mức dịch vụ

Câu hỏi nên đặt: Tỷ lệ sẵn sàng của dịch vụ tra cứu là bao nhiêu, đo bằng cách nào, và cam kết gì khi không đạt? Thời gian phản hồi sự cố theo từng mức nghiêm trọng? Lịch bảo trì có báo trước không? Khi dịch vụ tra cứu gián đoạn, người quét mã nhìn thấy gì?

Thế nào là đạt: con số kèm phương pháp đo và điều khoản bồi hoàn. "99,9%" không có cách đo và không có hệ quả khi vi phạm chỉ là một con số trang trí. Câu hỏi cuối — người quét nhìn thấy gì khi hệ thống gián đoạn — thường bộc lộ nhà cung cấp đã nghĩ tới tình huống này chưa. Một trang lỗi trắng khi khách hàng đang đứng ở quầy là tổn thất niềm tin khó đo bằng điều khoản SLA.

Nhóm 5 — Phân quyền và kích hoạt

Câu hỏi nên đặt: Ai được kích hoạt một dải mã từ trạng thái "đã in" sang "đang lưu thông"? Nhà in có quyền đó không? Có tách được quyền đặt in, nhập kho tem, kích hoạt, khóa mã và tra cứu cho các vai trò khác nhau không? Một tài khoản có thể vừa in vừa kích hoạt được không?

Thế nào là đạt: quyền kích hoạt nằm ở doanh nghiệp, không nằm ở nhà in, và hệ thống có ma trận phân quyền tách bạch từng thao tác. Nếu bất kỳ ai in được cũng kích hoạt được, điểm kiểm soát duy nhất của hệ thống chống giả đã bị bỏ trống. Chi tiết về các giai đoạn của con tem nằm ở bài quản lý vòng đời tem từ đặt in đến hủy.

Nhóm 6 — Nhật ký và khả năng điều tra

Câu hỏi nên đặt: Hệ thống ghi lại những gì cho mỗi lần quét: thời điểm, vị trí, thiết bị, kết quả? Khi một mã bị quét trùng hoặc quét ngoài vùng phân phối, hệ thống cảnh báo cho ai, bằng cách nào, trong bao lâu? Dữ liệu nhật ký có xuất được để đưa vào hồ sơ làm việc với cơ quan chức năng không? Nhật ký thao tác của người dùng nội bộ có lưu không, và ai xem được?

Thế nào là đạt: nhật ký quét là dữ liệu có cấu trúc, xuất được, và cảnh báo có ngưỡng cấu hình được thay vì cố định. Cần lưu ý cách nhà cung cấp diễn đạt: cảnh báo quét trùng là tín hiệu cần điều tra, không phải kết luận hàng giả. Nhà cung cấp nào nói hệ thống "phát hiện hàng giả" là đang hứa nhiều hơn công nghệ làm được.

Nhóm 7 — Chi phí ẩn

Câu hỏi nên đặt: Ngoài phí bản quyền và phí tem, còn khoản nào phát sinh theo số lượng mã, số lượt quét, số người dùng, số điểm tích hợp hoặc dung lượng lưu trữ? Phí thay đổi cấu trúc mã hoặc thêm dòng sản phẩm? Phí đào tạo lại khi nhân sự thay đổi? Phí lưu trữ dữ liệu sau khi hợp đồng kết thúc nhưng vẫn trong thời hạn phải lưu theo quy định?

Thế nào là đạt: một bảng chi phí ba năm, liệt kê rõ khoản nào cố định, khoản nào theo sản lượng, và giả định sản lượng dùng để tính. Cách dựng bảng này được trình bày ở bài tính tổng chi phí sở hữu hệ thống truy xuất nguồn gốc trong ba năm. Bản chào chỉ có giá năm đầu là chưa đủ để so sánh.

Cách chấm điểm để các bản chào so được với nhau

Bộ câu hỏi chỉ có ích khi có thang chấm thống nhất trước khi nhận hồ sơ. Ba nguyên tắc:

1. Chấm bằng bằng chứng, không chấm bằng cam kết. Câu trả lời có kèm điều khoản, mẫu tệp xuất, tài liệu kỹ thuật hoặc bản demo thì được điểm; câu trả lời chỉ có chữ "cam kết" thì không.
2. Đặt trọng số cho nhóm 1, 2 và 5 cao hơn. Ba nhóm này về sở hữu dữ liệu, xuất dữ liệu và quyền kích hoạt — là những chỗ sai lầm khó sửa nhất sau khi ký.
3. Yêu cầu demo trên dữ liệu của chính doanh nghiệp. Đưa một danh mục sản phẩm thật, một tình huống quét trùng giả định, và yêu cầu nhà cung cấp chạy thử. Bản demo chuẩn bị sẵn của nhà cung cấp bao giờ cũng đẹp.

Những gì không nên đưa vào hồ sơ mời thầu

• Yêu cầu "đạt chuẩn GS1" chung chung. Thay bằng yêu cầu cụ thể như ở nhóm 3.
• Yêu cầu "chống giả tuyệt đối" hoặc "không thể sao chép". Không công nghệ nào đáp ứng được, và nhà cung cấp nào nhận lời là nhà cung cấp nên loại.
• Tiêu chí mà chỉ một nhà cung cấp đáp ứng được. Nếu hồ sơ được viết theo bản chào của một bên, kết quả thầu đã định trước và doanh nghiệp mất cơ hội so sánh thật.
• Yêu cầu tích hợp với cơ quan quản lý mà không ghi rõ hệ thống nào. Ghi tên hệ thống, phương thức kết nối và văn bản làm căn cứ. Câu "đã liên thông Bộ ngành" không có thông tin đi kèm không chấm được.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có cần làm hồ sơ mời thầu bài bản không?

Không cần thủ tục đấu thầu, nhưng bảy nhóm câu hỏi vẫn dùng được nguyên như một bảng so sánh khi hỏi hai hoặc ba nhà cung cấp. Chi phí chuyển đổi nhà cung cấp về sau đắt hơn nhiều so với vài giờ đặt câu hỏi ban đầu.

Có nên yêu cầu nhà cung cấp nêu tên khách hàng đã triển khai không?

Có thể yêu cầu, nhưng nên hỏi kèm "khách hàng đó có đồng ý để chúng tôi liên hệ tham khảo không". Danh sách logo không kiểm chứng được có giá trị thấp hơn một cuộc gọi tham khảo.

Nhà cung cấp từ chối trả lời một nhóm câu hỏi thì sao?

Từ chối trả lời về sở hữu dữ liệu hoặc xuất dữ liệu là tín hiệu đủ rõ để cân nhắc loại. Các nhóm khác có thể chấp nhận trả lời một phần kèm lý do.

Bài này có thiên vị một nhà cung cấp nào không?

VeriTraceVN là một nhà cung cấp trong lĩnh vực này. Bộ câu hỏi được viết để áp dụng cho mọi nhà cung cấp, kể cả chúng tôi, và doanh nghiệp nên dùng nó đúng như vậy.

Việc cần làm trước khi gửi hồ sơ mời thầu

Chốt cấp định danh trước, vì nó quyết định cả chi phí lẫn cách so sánh. Viết sẵn thang chấm cho bảy nhóm câu hỏi, đặt trọng số cao cho sở hữu dữ liệu, xuất dữ liệu và phân quyền kích hoạt. Chuẩn bị một bộ dữ liệu thật để yêu cầu demo. Và dành riêng một mục trong hợp đồng cho ngày kết thúc — đó là ngày mà chất lượng của quyết định hôm nay được kiểm chứng.