IT 外包的供应盘子有六块，其中两块随时可能被外部否决
这行采购的是「可交付的工程能力」，不是货。一个能计费的工程师工位，要同时具备四样：一个技能被验证过的人、一台能跑起项目的终端、一套合法授权的软件与云资源、以及一条客户愿意让数据流过去的合规通道。缺任何一样，这个工位在这段时间里产不出可交付物。
把盘子摊开是六块：
- 工程师供给——直招、猎头、招聘外包、以及项目制的外部团队。这是最大的一块，也是唯一会自己流失的一块。
- 终端与外设——笔记本、工作站、显示器、测试机型、网络设备。采购、租赁或客户配发三种来源。
- 软件许可与云资源——开发工具、协作平台、代码托管、云计算与存储。买的是订阅与授权，不是实物。
- 连通性与电力——主备线路、备电、以及居家办公人员各自的线路质量。
- 专业服务外包——招聘外包、薪酬代发、背景调查、体检、培训与认证。
- 合规与审计服务——数据保护官职能、安全评估、渗透测试、合规文件与客户审计的应答。
这六块里，第一块和第六块是随时会被外部否决的。工程师是被市场抢走，供应商是被你客户的安全条款刷掉——后者最容易被低估：一家报价合适、交付也不错的分包商，可能因为无法满足客户合同里的数据处理条款而根本不能用。
本文不重复几件已有专文的事：选楼与网络冗余、备电、班次通勤的判据见 软件与 IT 公司选址怎么看；语音坐席型 BPO 的产能供应组织见 BPO 的人、带宽与座席供应链；数据隐私法对企业的基本义务见 菲律宾数据隐私法的基本要求。本文只讲怎么把这六块组成一条扛得住波动、且客户审计过得去的供应链。落地阶段的架构与主体设计可以从 考察与立项服务这一侧先把边界定下来。
人本地充足但分层不均，设备本地能买但高配与专用件要算周期
结论先给：人和基础设备本地都解决得了，真正要从外面带的是特定机型、专用测试硬件和部分原厂备件。
工程师这一块，本地供给是「底盘厚、腰部紧」。常见技术栈的初中级工程师供给充足，英文沟通能力是这个市场的结构性优势，这也是很多客户把交付中心放在这里的原因。但往上走，具备复杂系统设计经验、特定行业领域知识、或特定小众技术栈经验的人，供给明显变薄，而且会被跨国公司的离岸中心和欧美远程岗位直接抢走——你的竞争对手不只是本地同行。招聘节奏要按这个分层排，不能按一个平均周期排。招聘流程本身的组织方式见 在菲律宾招人的完整流程。
终端设备本地买得到，但要分三类看。主流商用笔记本与显示器，本地渠道供应正常，配置也能配齐；高配工作站、大内存机型、特定显卡型号，本地现货不稳定，通常要按订单等一段周期；专用测试硬件——特定手机机型、特定版本的设备、行业专用终端——本地渠道可能根本没有，需要进口。这类东西不要等项目启动才开始找，排期时就应该锁定。真要进口，产品准入与清关这一段的组织见 进口清关流程。
软件许可与云资源没有「本地不本地」的问题，但有采购主体和数据驻留的问题。订阅本身在哪都能买，关键是三件事：合同签在哪个主体名下（关系到费用归属与审计）、数据落在哪个区域（客户合同经常写死）、以及授权是按人头还是按实例算（决定你扩缩团队时能不能灵活调整）。这三件事在采购前就要问清楚，事后改动往往要重签。
不建议从中国带的：常规办公电脑与外设——本地采购的保修可落地，带过来的机器坏了很难在本地报修；电源规格与键盘布局也会给本地员工造成日常摩擦。建议带或提前锁定的：客户指定的特定测试设备、短期内要用且本地无货的高配机型、以及带项目专用加密要求的硬件。
本地供给的真实结构：招聘有三层，设备有代理层与租赁，许可有转售层
这行的供应商结构和制造业不一样——你面对的大多不是生产者，而是中间层。看懂中间层在哪，才知道谁能给你承诺、谁只能转达。
工程师供给有三层，用途完全不同。第一层是自建招聘团队直招，成本结构最优、人也最贴，但起量慢，适合长期核心岗；第二层是猎头，按岗付费，适合腰部以上和小众技术栈的定点补强；第三层是招聘外包与项目制外部团队，适合短期扩产能和波峰。三层要同时养着，不能等缺人了才临时找——猎头和外包团队都需要一段时间理解你的技术要求，第一次合作的匹配率通常不会好看。合同要写清的是：候选人权属与重复推荐怎么判、试用期不过怎么处理、以及推荐人选的独占期。
用工形态还有一个绕不开的判断题。把一批工程师「整包」给一家人力公司，和真正的项目外包，在菲律宾法律上是两件事，判定标准不看你怎么称呼它。踩错了，用工单位可能被直接认定为真正的雇主。判定逻辑见 合法承包与非法劳务外包的分界线；不开本地公司也要合规用人的几种模式见 EOR、PEO 与人事代理的区别。
设备这一块，你几乎一定是和代理商打交道，而不是原厂。这带来一个非常实际的后果：保修条款的落地范围掌握在代理手里。「三年保修」这句话在合同里要拆成——响应时限是多久、是送修还是上门、有没有备机、备机多久到、以及跨岛的机器怎么算。跨岛这条尤其要问死：主城区的服务承诺，在其他岛的办公点常常不成立。同样的「保修年限不如保修落地范围重要」的道理，在叉车与扫码设备上一模一样，见 物流仓储供应链。租赁是被低估的一条路：团队规模会随项目波动时，租赁把设备从资产变成可伸缩的服务，且通常自带替换机承诺。是买是租，按团队规模的波动幅度和项目周期长短来定，不按总价比。
软件许可通常经过转售层。转售商能给的是本地开票、本地付款方式和一定的账务便利，给不了的是产品条款本身。凡是涉及数据处理位置、审计权、以及分包处理者名单的条款，要确认能不能追到上游的产品协议，转售商口头承诺不算数。
账期与起订不写数字，但要写清维度：设备按批量与配置谈、许可按席位数与承诺期限谈、人力服务按岗位层级与服务期谈，续约条件和涨价机制要在首签时就写进去。
这行特有的验收：验的是人做不做得出来，和供应商能不能进你的数据链
通用的供应商查册、资质核验和实地走访这里不重复——方法见 供应商尽调怎么做。IT 外包真正特有的验收只有三类，且都不是看文件能看出来的。
第一类：人的技能验收，必须带实做。简历和证书在这个市场的通胀比较明显，面试里的自述也不能作为验收依据。可执行的做法是：给一段贴近真实项目的任务，观察的不是答案对不对，而是拆解问题的方式、对边界条件的敏感度、以及能不能读懂别人写的代码。招聘外包与猎头推来的人，同样要走你自己这一关——把验收外包出去，等于把交付质量外包出去。入职后的前几周要有明确的观察点，发现不匹配越早处理成本越低。培训与认证如果由公司出钱，服务期与费用返还的约定方式见 培训服务期协议怎么写；把培训当成一条持续供给的产线来组织，逻辑可参照 教育培训供应链里师资与认证那两块。
第二类：设备验收，验的是保修承诺的落地范围，不是开箱是否完好。到货时除了核对配置与序列号，更要在合同里确认：保修起算日以哪个时间为准、序列号是否已在原厂系统注册、上门服务覆盖你所有办公地点吗、以及备机是不是同等配置。这些条款在设备坏掉的那天才值钱，而那一天通常在项目最紧的时候。
第三类，也是这行独有的：供应商的数据合规验收。菲律宾有专门的数据隐私法制，客户合同里通常还会叠加更严的条款。这意味着你的供应商能不能用，不由价格决定，由它能不能满足数据处理条款决定。实务上要验的是：它是否愿意签数据处理协议、它自己的分包处理者名单是否可披露且可审计、访问权限怎么授予与回收、员工离职时数据与设备怎么收回、发生事件时的通报时限与责任划分。一条经常被忽略的：你用来招聘、发薪、体检、背调的服务商，都会经手员工个人数据，它们同样在这个链条里。员工侧的监控与生物识别打卡，边界见 指纹与人脸打卡的合规边界。
验收的顺序建议是：先过合规，再谈商务。反过来做，最常见的结局是谈完价格才发现这家供应商根本进不了客户认可的名单，前面的时间全部作废。个案请咨询执业律师，本文不构成法律意见。
四种断供：流失是慢性的，设备是中速的，断网是急性的，审计不过是合同性的
这行的断供分四种，节奏完全不同，预案也不能用同一套。
第一种，人员流失——慢性断供，也是最贵的一种。它不会让你某天突然停摆，而是持续侵蚀交付能力：核心成员离开带走的是项目上下文，而上下文是没法交接完整的。可做的准备有三件：关键岗位始终保持一个能接手的第二人、文档与代码评审制度化到不依赖某个人、以及把招聘管道常年开着而不是缺人才启动。用离职面谈找原因是必要的，但不要指望它能挽回已经决定走的人。
第二种，设备到货与维修——中速断供。新人入职当天没有机器，是这行最常见也最不该发生的损失。可控做法是按招聘计划提前备一定比例的周转机，并且把维修期的替代方案写进采购合同。跨岛办公点尤其要提前确认服务覆盖，不要等机器坏了才发现要寄回主城区。
第三种，断网与停电——急性断供。办公室这一侧的主备线路与备电是选楼阶段的事，判据见 选址篇，线路本身的选型见 宽带线路怎么选，备电设备见 发电机与停电应对。这里只补充一件 IT 外包特有的：居家与混合办公让断供变成分布式的。办公室有冗余，不代表在家的人有。要提前定清楚的是：家里断线时的回退方案是什么、公司是否提供移动网络作为备份、以及哪些工作必须回到办公室做——涉及受限数据的工作，客户合同经常明确要求不得在非受控环境处理。
第四种，客户审计不通过——合同性断供。这一种最隐蔽：什么都在跑，但客户的年度安全审查发现某个环节不合规，结果是该项目立即停止数据流转。防的方法不是临时补材料，而是把合规证据在日常就留下来：权限授予与回收记录、设备发放与回收记录、培训记录、事件处置记录。这些东西平时留是顺手的，审计前补是补不出来的。
还有一层季节性：台风季会同时影响通勤、供电与线路，公告等级与停工规则见 台风信号等级与停工规则。这行的好处是大部分工作可以远程继续，前提是远程办公的合规边界和设备准备在平时就做好了——临时决定让全员回家办公，往往正好撞上客户合同里不允许的那一条。
最容易踩的七个坑
第一，把招聘当项目而不是产线。需要人了才启动招聘，等于把交付节奏绑在一个不可控的外部周期上。腰部以上岗位的填补周期本来就长，再加上临时启动的磨合成本，项目排期基本会崩。管道要常年开着，候选人库要持续养。
第二，先谈价格再谈合规。最常见的返工来源。供应商能不能签数据处理协议、能不能披露分包处理者、能不能接受审计，这些是准入条件不是加分项。先过这一关，再谈商务，顺序反了就是白谈。
第三，把「三年保修」当成一个确定的承诺。没有拆成响应时限、上门范围、备机配置与跨岛覆盖之前，它只是一句话。设备坏的那天通常是项目最紧的那天，那时候才读合同就晚了。
第四，用工形态搞错。把整包用人叫成「项目外包」不改变法律上的判定，判定看的是实质资本、控制权和是不是核心业务。被认定为纯劳务的后果是用工单位直接变成真正的雇主，连带承担全部雇主责任。
第五，忽略招聘、发薪、背调这些「非技术供应商」也在数据链里。很多团队把合规注意力全放在云和代码托管上，却忘了 HR 侧的服务商每天在处理员工个人数据。客户审计经常正好查这一段。
第六，居家办公没有划定数据边界。允许远程和允许在任何环境处理任何数据，是两件事。哪些数据必须在受控环境处理、家里断线怎么回退、设备离岗怎么回收，这三件事不写清楚，平时没事，出事就是大事。
第七，软件许可的采购主体和承诺期限没想清楚。按人头买的订阅在团队缩编时退不掉、签在错误主体名下的合同在审计时对不上账、数据驻留区域和客户合同冲突——这三种情况都要重签，而重签期间项目往往只能停。
最后一句提醒：这行最大的成本不在采购单价，而在「工位空转」——人没到、机器没到、或者合规卡住，工位就在那儿烧钱不产出。所有采购决策都应该按「能不能让工位保持可交付状态」来排优先级，而不是按单价排。