向供应商索取证据

从自己的要求开始

供应商可以展示出色产出，却不回答你最重要的问题。演示前先定义要求。

考虑一家持有机密合同数据的虚构公司。团队需要用 AI 协助维护现有应用，供应商却展示了从空代码仓库创建新应用。这个结果展示了一项能力，但没有测试公司的维护工作流。

准备一个小型、有代表性的代码仓库，使用获准的合成数据。纳入一项现有约定、一个失败测试，以及一项需要人工决定的修改。给每家供应商相同的验收标准。

“支持 SSO”这样的表述需要背景。询问包含哪些身份提供方、账户等级、角色和离职访问撤销行为。测试相关访问变化。

对于鉴证报告或认证，检查其范围、覆盖服务、审查期间和例外。不要假设供应商的保证自动涵盖团队构建的应用。

要求供应商展示必要检查失败时会发生什么，再检查产生的产物和决策路径。有用的系统会显露未完成工作和缺失证据。

对于合同应用，加入一个跨越访问边界的虚构请求。评估应显示系统如何处理要求，以及审查者如何验证结果。不要为了让演示更真实，就使用真实机密数据。

记录演示配置与拟采购方案之间的差异。承诺未来提供的功能是一项依赖，不是已经交付的能力。

为每项要求记录证据链接、日期、配置、审查者和结论。使用清楚状态：已针对本场景验证、尚未解决，或超出范围。

为未解决项指定负责人和截止时间。决定每项是否阻止决策、是否需要合同条件，或能否在记录限制后接受。

对 Taiga 也采用相同标准。其公开文档和 Trust Centre 可以作为起点。确认所选安排满足你的要求。继续学习退出与可移植性。