马来西亚软件供应商怎么查：12 项尽职调查清单

一份像样的马来西亚软件供应商筛查清单，要涵盖公司核实（SSM、缴足资本）、技术证据（能打开的作品、代码样本、真的能打电话过去的推荐人）、法律保护（IP 归属、source-code escrow、退出条款）、监管准备（PDPA 2024、LHDN e-Invoice、SST），还有上线后的条款（SLA、响应时间、交接）。比这更薄的，就是凭感觉选供应商。

这件事我们两边都经历过。有些项目我们输给了报价更低的同行，客户后来被对方放鸽子。也有接手的救火项目：所谓“做完”的产品，没有文档、没有 repo 权限，IP 条款还写着原开发者有权把它转卖给别人。套路是重复的。这篇把它们整理成一份签约前能跑一遍的清单。

想先搞清楚自己到底在为什么付钱，可以看我们的马来西亚定制软件成本指南。查供应商是成本问题的另一半，它决定你接受的那个报价，是不是最后真正付出的账单。

“查供应商”到底在查什么？

查供应商（也叫 vendor vetting 或尽职调查）是签约前对开发伙伴问一整套结构化问题。它查四件事：他们在法律上能不能做这个活（公司注册、税务状态）、技术上能不能做（作品、代码、团队）、会不会保护你的利益（IP、数据、退出条款），以及 18 个月后他们还在不在（财务、推荐人、人员流失）。在马来西亚，上面还要再加一层监管：PDPA、LHDN e-Invoice 准备度、SST 注册。

之所以要认真查，是因为项目做到一半换供应商，通常要再花掉已投入金额的 40% 到 80%。选错不是小事。

12 项尽职调查清单

按顺序跑。前面几项便宜又快，能在你浪费时间开会之前就筛掉大部分不靠谱的人。

1. SSM 与公司状态（5 分钟，免费）

上 MyData SSM 调出这家供应商的记录。要看的是：

公司类型。 RM 50,000 以上的合约，Sdn Bhd 是底线。独资或 enterprise 在法律上创办人和公司不分家，人一走，你的合约也跟着走。
缴足资本。 RM 1 的缴足资本合法，但没有意义。RM 100,000 级别的项目，我们把低于 RM 50,000 的缴足资本当成黄灯。
注册日期。 一家成立六个月的 Sdn Bhd 来投 RM 300,000 的项目，不代表一定有问题，但你该要的推荐人不一样了。
董事和影子董事。 把公司记录上的董事和坐在会议室里的人对一对。如果来谈的人不在记录上，问清楚为什么。

我们看过的所有提案里，被这一项刷掉的比任何一项都多。

2. 作品核实（灌水测试）

每一家马来西亚软件公司都有作品页。其中一半灌了水。测试方法：

每个写着“live”的链接都点进去。那个产品今天还在那个网址上吗？
要最近三个项目的正式上线网址，不要截图。
和 LinkedIn 对一对。现职员工的工作经历里有没有列出这些项目？如果官网上的招牌项目，当初做的人已经一个都不在了，那份能力早就走出门口了。
问一句：“这些项目里，你们现在还在维护哪几个？”做完就走，和一个东西跑了好几年，完全是两回事。

3. 打电话给推荐人（不是看客户好评，是打电话）

书面好评是公关，电话才是尽职调查。要两个你能直接打过去的客户。问题是：

项目有没有按原定时间上线？
最后的发票，和最初的报价差多少？
周六晚上九点系统坏了，多久有人回应？
如果重来一次，你还会找他们吗？（听犹豫，比听答案更有用。）

一家供应商拿不出两个推荐人，这本身就是答案。

4. 和工程师聊技术（不是和销售）

要求和真正会带这个项目的技术负责人谈。半小时的对话，比一份 50 页的提案告诉你的更多。要留意：

针对你的场景，对技术选型有具体看法（“马来西亚的多租户 SaaS，我们通常选 X，因为……”）。
老实讲出能力边界（“native iOS 我们不做，会外包或用 Flutter”）。
反过来问你生意的问题，而不是只问功能。

如果你从头到尾只跟创办人或销售主管说过话，那真正做这个项目的人对你来说就是个黑箱。

5. 代码样本或技术产出

任何来投正经项目的供应商，都应该能在 NDA 之下拿出一份近期的代码样本或架构图。这不是要你逐行读。它是基本职业水准的信号：有没有做版本控制、有没有写测试、有没有写文档。

如果对方以原则为由拒绝，或者拿出一份明显很旧、没人维护的东西，那本身就是在告诉你一些事。

6. IP 归属条款（合约里最重要的一条）

依据马来西亚 Copyright Act 1987 第 26(2) 条，受委托作品的版权视为转移给委托方，除非合约另有约定。中小企业的风险不在这个默认值，而在于供应商合约里常常有条款推翻这个默认值、倒向供应商那边：开发者保留所有权、只回授一个“永久授权”给客户，或者把可复用的“框架”代码切出去。IP 条款要一个字一个字读，坚持写进确认转让、而不是取代转让的条款：

确认 work-for-hire 转让。 这次合作产生的所有 IP，在付款后以书面形式转让给你，合约终止后转让依然有效。
交出代码仓库。 尾款付清后，GitHub 或 GitLab 的 repo 所有权连同 admin 权限一起转到你的组织名下。
未经同意不得复用。 没有你的书面许可，供应商不得把这些代码（或其中大部分）转卖或复用到其他客户身上。
Source-code escrow，用在风险更高的项目上（通常是 RM 500,000 以上的企业级合作，或者少了就会让你营运停摆的东西）。由中立第三方保管最新的源码，供应商消失了，你还能拿到代码。多数马来西亚中小企业的项目会跳过这一条，因为上面那条交出 repo 已经覆盖了最常见的失败情况，但值得问一句。MyIPO 本身不提供 escrow 服务；商业服务可以找 Escode（前身是 NCC Group Software Resilience）这类公司。

想更深入了解为什么 IP 风险常在尽职调查中被漏掉，Praktis 的 IP 风险评估指南是个不错的起点。

上线后玩失踪这门生意，就是靠这一条养活的。认真对待它。

7. PDPA 2024 准备度（新增的关键项）

2025 年生效的 PDPA 修正案，让 data processor（你的供应商）直接负责，而不再只有 data controller（你）。要问的是：

有明确的数据保护责任人。从 2025 年 6 月 1 日起，达到专员署门槛的 data controller 和 processor 必须正式委任 Data Protection Officer（大致是：处理超过 20,000 名数据主体的个人数据、超过 10,000 名的敏感个人数据，或大规模的常态监控）。供应商如果在门槛以下，法律上不强制委任 DPO，但他们仍然要说得出谁在负责 PDPA 合规、泄露应变，以及回答你关于 sub-processor 的问题。“没有特定的人”是错的答案。
他们的数据泄露通知 SLA。依据修正后的 PDPA 和 2025 年 2 月的指引，data controller 在知悉个人数据泄露后 72 小时内必须通知专员署；若有重大损害风险，7 天内必须通知受影响的个人。你的供应商需要一个合约上的 SLA，快到足以让你赶上这些期限，通常是 24 小时以内。
一份 sub-processor 清单。 如果他们把你的客户数据送去第三方（分析、托管、AI API），你必须知道。
数据存放地。 生产数据库放在哪里？跨境传输在 PDPA 下有特定的规定。

法律圈已经在提醒，供应商尽职调查现在是基本要求，不是可选项。目前的基准可以参考 DLA Piper 关于马来西亚 2025 年 DPO 与数据泄露通知指引的简报。

8. LHDN e-Invoice 与 SST 准备度

两项相关但分开的检查：

SST 注册。 收服务税的供应商必须有注册。要 SST 注册号，然后到关税局网站核对。
LHDN e-Invoice 准备度。 这项规定按营业额分批推行：超过 RM 1 亿的企业从 2024 年 8 月 1 日开始，RM 2,500 万至 1 亿从 2025 年 1 月 1 日，RM 500 万至 2,500 万从 2025 年 7 月 1 日，RM 100 万至 500 万延后到 2027 年 1 月 1 日。营业额低于 RM 100 万的目前豁免。不管供应商落在哪一档，他们都需要做到两件事：(a) 轮到他们那一批时，能正确开 e-Invoice 给你；(b) 如果你的项目要做对接，他们懂 MyInvois API。对接成本我们写在 LHDN e-Invoice 对接费用：马来西亚开发商怎么收费。

一家搞不懂 MyInvois 的供应商，做不出能跟它对接的产品。

9. 计价方式与付款节点

问他们提议哪一种模式，以及为什么：

固定价适合范围清楚的项目（一个营销网站、一个定义明确的模块）。它把范围风险转给供应商，对方会防御性报价。
**按工时计费（time and materials）**适合需求会变的开放式产品开发。它把范围风险转给你。
混合式（第一阶段 discovery 固定价，开发按工时）是多数正经供应商在非简单项目上会提的做法。

然后看付款排程。RM 80,000 以上的项目要求先付 50%，我们当红灯看。比较健康的做法是：签约付 25%，50% 按与交付物挂钩的节点分批付，验收并过了缺陷修复期后付最后 25%。

价格和总成本之间很少是线性关系。报价上看不到的那部分账单，我们写在在马来西亚上线软件的隐形成本。

10. 团队组成（以及谁真的在干活）

指名问清楚：谁带这个项目，还有哪些工程师会碰到代码。正式的履历当然好，但在提案阶段不一定实际。一个 LinkedIn 个人主页，加上和技术负责人聊 15 分钟，就够了。然后继续追问：

他们是全职员工，还是为这个项目请来的自由职业者？
如果外包出去，人在哪里，IP 和 PDPA 的责任链怎么回到你身上？
来谈的那位资深工程师，第 12 周还会在项目里吗？还是典型的换人把戏：demo 团队在 kickoff 之后就消失。

两个自己扛下工作的资深开发者，往往比八个人的团队更值得押注，尤其当那八个里有六个是拿你的钱在学。

11. 技术栈与 AI 工具准备度

2026 年值得问的两个问题：

这个项目你们会提议用什么技术栈，为什么？ 手上只有一把锤子的供应商（什么都用 Laravel，或什么都用 Node.js）不一定就是错的，但要说得出理由。这两者我们比较过：Laravel vs Node.js：马来西亚初创公司哪个成本更低。
团队日常怎么用 AI 编程工具？ 这现在是正经的生产力问题，不是追风口的问题。一个会用 Cursor、Copilot 或 Claude 的团队，出货更快，报价也应该反映这一点。一个假装 AI 不存在、或者不肯谈这件事的团队，不是没经验就是有事瞒着。该看什么，我们的看法写在怎么在 AI 时代挑马来西亚的软件开发公司。

12. 上线后的条款与退出计划

大部分合约就是在这里崩掉的。要书面答复：

维护 SLA。 严重 bug 的响应时间、办公时间怎么定义、谁值班。
变更需求的时薪。 交付之后再改东西，按什么价钱算。
知识转移。 你会拿到什么文档？你未来的内部团队（或下一家供应商）真的接得上手吗？
退出条款。 如果你第 18 个月想走，会发生什么？repo 交接、账号密码、基础设施权限、客户数据导出。
HRDF / HRD Corp 可申领培训。 如果项目包含培训部分，就把它设计成能用上这笔征费。可以申领的范围我们拆解在马来西亚软件开发的 HRDF 申领。

在你签字之前就已经想过退出怎么走的供应商，是没打算把你锁住的供应商。

五个该直接终止交易的信号

看到任何一个，走人：

RM 100,000 以上的项目，对方没有 SSM 记录、是独资，或缴足资本低于 RM 10,000。
拒绝提供推荐人，或者推荐人后来发现是亲友。
IP 条款把所有权留在供应商手上，或者只给你一个“永久授权”而不是完整转让。
项目会碰到个人数据，提案和合约里却完全没提 PDPA。
预付 50% 或更多，而且没有节点结构。

这些筛子会让你错过一些好供应商。但它们帮你挡掉的烂供应商多得多。

关于 AI 供应商和 AI 做出来的作品集

2026 年我们看到一个新模式：作品集里塞满通用后台的截图，多半是 AI 工具做的，包装成客户定制项目。AI 让一个开发者在一个周末做出的精致 demo，两年前要一个团队做一个月。供应商如果坦白讲清楚，这是好事；不讲清楚，就危险了。

我们的看法是，“这是不是你用 AI 做的”问错了方向。该问的是：“我现在发一张你作品集里某个项目的截图给你，你能不能跟我讲一遍它的架构、数据库结构，还有你上周二修的那个 bug？”真做过的人，答得出来。把一段 Claude prompt 贴进 Cursor 就出货的人，答不出来。

这条标准对 Gotchaa Lab 一样成立。我们每天都在用 AI 工具，也认为 2026 年做正经软件的供应商都该这么做。我们不接受的，是拿 AI 来替代对自己做了什么的理解。

拿一份你自己能验证的软件供应商提案

我们回复 RFP 是书面的：第一阶段（discovery）固定范围、真实的团队履历、写明的 IP 与 PDPA 条款，还有你能打电话过去的推荐人。这份清单针对的是哪一类合作，可以看我们做的定制软件开发和网站开发。如果你正在把一个项目放出去招标，想要一份经得起这份清单检验的提案，WhatsApp 找我们，讲个大概范围和预算。我们会在 24 小时内给你一个明确的下一步，或者老实告诉你，你要做的东西我们不合适。

本文是给马来西亚中小企业采购软件服务的一般性指引，不构成法律意见。合约条款、PDPA 义务和税务要求因个案而异，签约前请咨询你的律师和税务代理。文中提到的金额门槛是常见做法，不是硬性规定。