Serah Terima Perangkat Lunak agar Tak Bergantung pada Vendor

Serah terima perangkat lunak harus membuat tim baru bisa mengoperasikan sistem tanpa bergantung pada vendor lama. Minta akses akun milik Anda, kode sesuai hak dalam kontrak, pencadangan, daftar lisensi, dan panduan menjalankan sistem. Uji panduan itu dengan orang di luar tim pembangun. Folder kode saja belum membuktikan bisnis bisa tetap berjalan.

Pergantian tidak selalu terjadi karena seorang pengembang keluar. Perusahaan vendor juga dapat bangkrut atau diakuisisi, lalu pemilik baru mengubah prioritas pelanggan.

Tim yang dipercaya dapat berpindah proyek, sementara penggantinya belum memahami catatan serah terima. Dalam kasus lain, vendor berhenti membalas surel meski tidak ada perubahan staf yang diketahui.

Risikonya sama: perangkat lunak berjalan pada akun atau infrastruktur yang tidak dapat dikendalikan klien. Pengetahuan untuk mengoperasikannya juga hanya dikuasai vendor.

Apa yang membuat bisnis sulit berganti vendor?

Polanya berulang di banyak industri — ritel, kesehatan, logistik, manufaktur. Repositori ada di dalam organisasi GitHub milik vendor, bukan milik klien. Akun komputasi awan dan registrasi domain memakai nama vendor dan kartu pembayaran vendor.

Tidak ada satu pun orang di sisi klien yang pernah melihat kata sandi basis data, apalagi kunci penerapan. Tidak ada dokumen penerapan; satu-satunya orang yang tahu cara merilis pembaruan menyimpan langkahnya di kepala sendiri.

Situasi ini menyerupai rumah yang kuncinya hanya dipegang pembangun. Ketergantungan baru terasa ketika muncul sengketa tagihan, tenggat yang terlewat, atau perbedaan lingkup pekerjaan. Karena itu, akses perlu disepakati saat hubungan masih berjalan baik.

Dokumentasi transfer repositori dari GitHub sendiri menunjukkan seberapa besar taruhannya pada kepemilikan akun. Issues, pull request, wiki, kunci penerapan, dan seluruh riwayat git ikut berpindah saat repositori ditransfer. Tapi repositori privat yang dipindahkan ke akun Free bisa kehilangan protected branch dan akses Pages dalam prosesnya.

Jika akun milik vendor tidak dapat dipindahkan, klien dapat kehilangan akses ke produk selain dukungan teknis.

Pencadangan gagal dengan cara yang sama kalau hanya vendor yang mengendalikannya. Pada Januari 2009, platform blogging berusia enam tahun bernama JournalSpace tutup permanen. Staf IT yang akan mengundurkan diri sempat mengatur pencadangan otomatis untuk web server, tapi membiarkan basis data SQL hanya dilindungi RAID.

Saat basis data itu terhapus, tidak ada salinan independen untuk dipulihkan, dan perusahaannya bubar. Konfigurasi pencadangan sepenuhnya ada di tangan satu orang, di satu sisi hubungan kerja sama.

Apa yang perlu ada dalam paket serah terima?

Siapkan paket serah terima sebelum hari terakhir pekerjaan. Paket yang dapat dipakai tim penerima mencakup:

• Akses repositori di bawah akun klien sendiri — bukan undangan sebagai kolaborator di organisasi vendor, tapi kepemilikan sungguhan. Idealnya diatur begitu sejak awal, bukan ditransfer belakangan di bawah tekanan.
• Dokumentasi lingkungan dan penerapan — apa yang berjalan di mana, bagaimana pembaruan diterapkan, dan apa yang rusak kalau satu langkah terlewat.
• Daftar kunci akses (credential) di penyimpanan kata sandi terpusat (vault) milik klien sendiri — setiap layanan, kunci, dan akun, bukan tersebar di catatan internal vendor.
• Akses basis data dan pencadangan — minimal akses baca, dan proses pencadangan yang bisa diverifikasi klien secara independen dari infrastruktur vendor.
• Inventaris lisensi — SaaS berbayar, kunci API, lisensi font, sertifikat SSL, apa pun yang punya tanggal perpanjangan dan pemilik yang bukan vendor.
• Panduan operasi (runbook) — langkah untuk operasi rutin dan untuk insiden yang cepat atau lambat pasti terjadi. Ditulis untuk orang yang tidak ada di ruangan saat sistemnya dibangun.

Daftar periksa serah terima teknik yang banyak dipakai orang mendukung sebagian besar poin ini dari sisi penerima. Daftar periksa itu menempatkan akses ke tenaga teknik sebelumnya sebagai faktor paling penting untuk transisi yang mulus. Daftar periksa itu juga mensyaratkan instruksi penerapan benar-benar dites di mesin bersih, dan versi dependensi dikunci agar tidak berubah tanpa peninjauan. Kredensial untuk setiap layanan pihak ketiga juga harus dipindahkan ke nama pemilik baru.

Kapan perlu penitipan kode ke pihak ketiga?

Serah terima biasa memerlukan kerja sama vendor saat kontrak berakhir. Source code escrow, penitipan kode kepada pihak netral dengan syarat pelepasan tertulis, disiapkan untuk saat mereka mungkin tidak kooperatif. Ini pengaturan tiga pihak: vendor menitipkan salinan kode sumber yang terverifikasi ke pengelola penitipan independen. Pengelola penitipan menyerahkannya ke klien kalau terjadi peristiwa pemicu yang sudah didefinisikan — kebangkrutan, pembatalan proyek, atau penolakan memenuhi kewajiban pemeliharaan.

Paket penitipan kode yang layak dibayar berisi lebih dari sekadar zip kode sumber. Panduan escrow dari penyedia layanan ini merekomendasikan agar paket memuat instruksi kompilasi, dokumentasi arsitektur dan API, daftar dependensi, dan konfigurasi kompilasi lingkungan. Paket itu juga sebaiknya menyertakan kunci enkripsi atau kata sandi untuk mengakses paket, serta kontak tim pembangun. Kode sumber perlu dapat dikompilasi oleh penerima agar penitipannya benar-benar membantu kelangsungan operasi.

Escode, salah satu penyedia mapan di bidang ini, melaporkan bekerja dengan lebih dari 14.000 organisasi di 135+ negara. Escode mencantumkan kebangkrutan, pengakhiran produk pasca-akuisisi, penurunan kualitas layanan, penarikan dukungan, dan kegagalan kritis akibat insiden sebagai pemicu rilis khasnya.

Pertimbangkan penitipan kode sesuai dampak kehilangan sistem. Kebutuhannya lebih besar pada platform operasi harian rumah sakit atau bank dibandingkan situs profil perusahaan. Dua contoh yang sering dikutip orang malah tertukar, jadi ini perlu diluruskan. Qt memiliki pengaman melalui KDE Free Qt Foundation. Perjanjian tersebut memberi yayasan hak menerbitkan Qt dengan lisensi bergaya BSD atau lisensi sumber terbuka lain jika Qt Group menghentikan pengembangan Free Edition sesuai syarat lisensi yang diwajibkan. Hak ini memiliki ketentuan dalam perjanjian; jangan menyederhanakannya menjadi perubahan lisensi otomatis setelah 12 bulan tanpa rilis.

Blender menempuh mekanisme berbeda. Setelah perusahaan pengembangnya tutup pada 2002, kampanye komunitas mengumpulkan dana untuk memperoleh hak kode sumber dan merilisnya dengan GNU GPL. Riwayat tersebut menggambarkan penggalangan dana dan perundingan hak, bukan pelepasan kode melalui perjanjian penitipan.

Bisakah tim baru menjalankan sistem dari panduannya?

Uji dokumentasi dengan tenaga teknik yang tidak terlibat dalam pembangunan. Berikan mesin bersih dan panduan serah terima, lalu lihat apakah sistem dapat dipasang tanpa meminta petunjuk vendor lama.

Jika pemasangan gagal, lengkapi langkah yang belum jelas dan ulangi pengujian. Catatan pribadi pembangun perlu diubah menjadi panduan yang dapat diikuti tim lain.

Apa yang harus disepakati sebelum kontrak dimulai?

Titik tawarnya ada di dokumen lingkup pekerjaan (Statement of Work atau SOW), bukan di sesi perpisahan. Begitu hubungan sudah memburuk, vendor punya semua insentif untuk memperlambat serah terima, dan pilihan praktis klien dapat terbatas, meskipun kontrak memberikan hak serah terima. Tuliskan kepemilikan akun, keluaran serah terima, dan syarat pengakhiran sejak awal. Perundingan setelah hubungan memburuk dapat menghambat akses dan perpindahan sistem.

Panduan pemerintah Inggris soal mengelola ketergantungan teknologi merekomendasikan membangun pengetahuan arsitektur secara internal. Ketergantungan teknologi ini didefinisikan sebagai kondisi yang membuat perpindahan dari satu teknologi atau penyedia ke yang lain jadi sulit, memakan waktu, dan mahal secara tidak proporsional. Panduan itu juga menyarankan meninjau ulang pengaturan vendor cukup sering, untuk menangkap biaya pengakhiran yang membengkak sebelum mengeras jadi permanen. Ini pola yang sama dengan single point of failure lain di sistem perusahaan: jangan biarkan satu pihak menjadi satu-satunya jalan kembali ke produk sendiri.

Apa yang perlu diperiksa sebelum menyetujui penawaran?

Periksa persyaratan serah terima bersama penawaran, sebelum kebutuhan tersebut menjadi mendesak. Isinya: akun milik klien sejak hari pertama, dokumentasi yang dites orang di luar tim pembangun, dan inventaris kredensial di penyimpanan aman klien. Tambahkan escrow untuk apa pun yang bisnisnya tidak sanggup kehilangan.

Menyiapkan akses dan dokumentasi sejak awal mengurangi pekerjaan serta sengketa pada akhir kontrak. Itu pelajaran yang sama dengan yang dipelajari tenaga lepas dengan cara sulit soal kepemilikan IP: tulis di kontrak sebelum pekerjaan dimulai, sebelum sengketa membuatnya mendesak.