Para avaliar um fornecedor de modernização de legado, olhe cinco pontos: se ele entende o sistema antes de dar preço, como evita parar a operação, quem aprova o que a IA gera, como mede o resultado e o que fica com a sua empresa no fim do contrato. Certificação ajuda, mas não responde a nenhum deles sozinha.
Modernizar é um projeto longo, e trocar de fornecedor no meio dele custa caro. Por isso, vale fazer as perguntas difíceis antes da assinatura. Um aviso: a DB1 Itênex vende esse serviço, então leia este guia sabendo disso. Procuramos escrever perguntas que valem para qualquer fornecedor, inclusive para nós.
O que perguntar a cada fornecedor?
| Critério | O que pedir | Sinal de alerta |
|---|---|---|
| Entendimento do sistema | Um diagnóstico com escopo e entregáveis definidos, antes da proposta do projeto. | Preço fechado para o projeto inteiro, sem ninguém ter olhado o código. |
| Continuidade da operação | O plano de transição: o que muda em cada etapa e como voltar atrás. | Uma única data de virada, sem plano de retorno. |
| Uso de IA | As regras dos agentes, quem aprova cada etapa e o registro dessas aprovações. | "A IA faz tudo", sem nome de quem responde pelo código. |
| Segurança | Em que etapa os testes de segurança rodam e quem trata o que eles encontram. | Segurança apenas como auditoria no fim do projeto. |
| Medição | Os indicadores do contrato, com os valores de partida. | Relatório só de horas trabalhadas ou de chamados fechados. |
| O que fica com você | Cláusula sobre código, documentação e especificações. | Documentação só no ambiente do fornecedor, ou ferramenta sem a qual o sistema não evolui. |
| Experiência | Um caso comparável, com alguém do cliente para conversar. | Só logotipos e números sem contexto. |
Por que o diagnóstico vem antes do preço?
Em sistema legado, o que encarece o projeto costuma ser o que ninguém sabe que existe: regras escondidas, integrações sem documentação, dependências antigas. Um preço dado sem olhar o código só pode ser um chute ou trazer uma folga embutida. Um diagnóstico curto e pago à parte reduz esse risco e já mostra como o fornecedor trabalha, antes do compromisso maior.
Como avaliar o uso de IA do fornecedor?
Hoje quase todos dizem usar IA. A diferença está no controle. Na nossa pesquisa com 103 profissionais de TI no APIX 2026, 76% só usariam código gerado por IA com revisão antes de produção, e 43% têm segurança e exposição de dados como maior preocupação. Três perguntas separam quem tem processo de quem só tem ferramenta:
- Quais regras limitam o que o agente pode fazer no meu sistema?
- Quem aprova cada entrega, e onde fica esse registro?
- Meu código ou meus dados são usados para treinar algum modelo?
Que indicadores cobrar?
Peça indicadores que mostrem se o sistema está ficando mais fácil de mudar, e não só o volume de trabalho. As quatro métricas do DORA são uma boa referência, por serem públicas e muito usadas: frequência de entrega, tempo até a mudança chegar à produção, taxa de falha nas mudanças e tempo de recuperação depois de uma falha. Registre o valor de partida no início. Sem ele, não há como dizer se houve melhora.
O que as certificações provam?
Certificações mostram que existe processo, e não que o seu projeto vai dar certo. A ISO/IEC 27001 trata de gestão de segurança da informação, a ISO/IEC 27701 de privacidade, e o CMMI de maturidade dos processos de desenvolvimento. Peça o certificado válido e confira o escopo: ele precisa cobrir a unidade que vai atender você. Para o desenvolvimento seguro em si, o SSDF, do NIST, é uma boa lista de práticas para perguntar uma a uma.
Como a DB1 Itênex responde a estas perguntas?
Começamos por um Diagnóstico de Qualidade e Segurança com escopo fechado, e o plano fica com o cliente, mesmo que ele não siga conosco. No método Core Up, os agentes trabalham sob regras definidas para cada contexto, e cada etapa tem uma pessoa que aprova e assina. Temos CMMI DEV/3, ISO/IEC 27001 e ISO/IEC 27701, e o código fica com o cliente. Vale fazer conosco as mesmas perguntas da tabela.