Indie

谁在签字：九十六天采购流程、六个角色与两处可压缩的等待

首次接触到签约 96 天里，真正写着「等」的是内部审批 28 天、安全审查 21 天、采购下单 19 天与法务 14 天。本文画出六个角色与一张流程表，说明答案库能把安全审查从 21 天压到 7 天，全周期从 134 天缩到 120 天。

Leeting Yan 2026-10-26 9 分钟阅读 4134 字

你以为在等一个人，其实在等六个人各自的下一步。

一、一封转发了四次的邮件

2026 年 6 月 18 日，北辰设计的设计总监发来第一封邮件，只有三行：团队 60 人，想找一个能管任务和评审的工具，问能不能开试用。程野当天回了邮件，附上产品介绍与三个同类客户的使用场景。邮件在对方的组织里被转发了四次，每次多一个收件人，每次多一个问题。

以下情境为教学假设，人物、引语和数字不代表经核实的真实案例。

第一次转发给 IT 主管方工，问题是「是否支持 SSO」；第二次转给采购王采购，问题是「能不能走年度采购、要不要三家比价」；第三次转给财务李会计，问题是「发票怎么开、账期多久」；第四次转给法务，问题是「DPA 能不能改」。四个问题没有一个是关于功能的，但每一个都能让流程停住。

方工那一环里还有第六个人：外部的信息安全顾问。方工把 148 题问卷转给顾问，顾问只回邮件、不参加会议，但安全审查的 21 天由顾问的排期决定。六个角色里，这个人最容易被漏掉，因为不在转发链的显眼位置。

从 6 月 18 日到 9 月 22 日签约，一共 96 天。程野一开始以为在等设计总监拍板，后来把邮件时间线拉出来才发现，设计总监早在 7 月就说了「可以推进」，真正的时间花在另外五个人各自的下一步上。

转发四次也不等于四个人同时在看。现实是串行：方工确认 SSO 之后，王采购才开始准入；王采购要等李会计确认预算科目；法务要等前三个人都说「可以」，才打开 DPA。任何一段停住，后面的人不会提前开始，所以 96 天不是五段相加的理论值，是五段首尾相接的实际值。

企业采购不是一个决定，是一串小决定。 每个角色只对自己那一小段负责，没有人对「总共 96 天」负责。你能做的不是催某一个人，而是让每个人在自己的那一段里少问一次「这是什么」。

二、九十六天里的五段等待

把 96 天按「谁在做什么」切开，得到五段。五段相加正好 96 天，没有一段是纯粹的空白：每一段都有一个人在等另一份材料，只是这份材料不在你的待办里。

阶段	天数	占比	卡点
内部审批	28	29.2%	预算科目与三家比价
安全审查	21	21.9%	148 题问卷与证据
采购下单	19	19.8%	供应商准入与 PO 号
法务	14	14.6%	DPA 责任上限与管辖
其余	14	14.6%	排期、假期与转交

占比合计 100.1%，是四舍五入的结果；原始分母是 96 天，不另设分母。

内部审批的 28 天最长，也最不透明。设计总监 7 月就同意推进，但预算要走年度科目，还要凑够三家比价；王采购需要另外两家的报价单才能建比较表。这两件事都不由你控制，你能做的是尽早把报价单、公司资料与银行信息一次给全，让对方不用为了一个字段再来回一次。

安全审查的 21 天是唯一一段你能明显压缩的。方工把 148 题问卷发过来，程野第一次答了 22 小时；答完之后又用了几天补证据、等对方复核。21 天里，真正在「答」的时间只有 22 小时，其余是在等邮件、等确认、等一个「这条能不能算」。

采购下单的 19 天卡在供应商准入。王采购要把北辰设计加进供应商库，需要营业执照、开户许可证、纳税证明与一份填好的准入表；表里有一栏叫「近三年主要客户」，一个人公司只能填三家，还要能联系上。这一段的长度和你的产品无关，和对方的财务制度有关。

法务的 14 天卡在 DPA。对方发来 28 页模板，要求责任上限、数据删除与子处理者变更通知；程野没有法务，只能逐条读，读完再用两页补充说明哪些能接受、哪些不能。这一段在第 04 篇会展开，这里只记天数。

其余 14 天是排期、假期与转交。7 月底方工休了一周，8 月中王采购出差，9 月初法务把邮件放进待办，等前面三份材料齐了才打开。这些时间无法压缩，只能提前问清楚「接下来两周谁在」。

这 14 天不属于任何一段流程，却最容易被误记成「客户不重视」。把它单独列出来，你才知道该催的是「这周谁在」，而不是「为什么还不签」。

三、六个角色各自要什么

同一份产品，在六个人眼里是六件不同的东西。给错材料，不会让流程退后一天，会让它退后一轮。

角色	关心什么	给对方什么材料	常见卡点
业务发起人	团队能不能少开两次会	三条试点成功标准与两周试用安排	把试用当成采购前置，不签就走不完
IT 主管	SSO、权限与数据在哪	SSO 与 SCIM 说明、数据流图	把「支持 SSO」理解成「已经对接 Okta」
信息安全	有没有证据，缺口在哪	148 题答案库与 23 份证据	问卷只有是或否，没有「部分」这一档
采购	三家比价、准入与 PO 号	报价单、公司资料、银行信息	没有 PO 号不能下单
法务	责任上限、管辖与删除	28 页 DPA 与两页补充说明	不接受无限责任
财务	发票、账期与预算科目	发票样本、账期条款与年付说明	年付要一次入账，预算不够

业务发起人要的不是功能清单，是「用了之后团队会怎样」。给对方三条可观测的成功标准，比给二十页产品文档有用；对方拿这三条去和自己的上级解释为什么值得买。

IT 主管要的是边界。方工不问「有没有 SSO」，问的是「员工离职之后账号多久失效、权限从哪来、日志保留多久」。这三个问题对应 SSO、SCIM 与审计导出，正好是 26 小时工程里的三项。

信息安全要的是证据，不是形容词。你写「我们很重视安全」没有用，写「备份每 6 小时一次，最近一次恢复演练在 8 月 12 日，耗时 41 分钟，记录在 23 份证据的第 7 份」才有用。证据要能打开，不能只说「有」。

采购要的是可比较。三家比价不是为难你，是制度；你能做的是让报价单的科目和另外两家对得上：席位、年付折扣、支持档位、账期，一项都不要自创名称。

法务要的是可退出。责任上限、数据删除、子处理者变更通知，这三条谈不拢，前面所有工作都归零；谈得拢，14 天就能走完。

财务要的是可入账。年付 18,000 美元一次付出，但预算科目可能只允许按月摊销；提前问一句「你们是按月确认还是按年入账」，能省掉一轮发票重开。

六个角色不是六个「决策人」，是六个「不否决的人」。企业采购里，让流程停住的往往不是谁反对，而是谁还没有在自己的那一栏打勾；你的材料要做的，是让每一次打勾都不需要再开一次会。

四、十四天能从哪来

96 天里有压缩空间的只有两处：安全审查与内部审批。前者你能控制，后者只能影响。把两处混在一起谈，就会给出一个自己做不到的周期。

安全审查从 21 天压到 7 天，靠的不是更快地答题，而是提前把答案库与证据准备好。问卷到达的当天，程野能直接给出 101 题的已有答案与对应文件，剩下 27 题标「部分」、14 题标「无」、6 题标「不适用」；对方复核时只需要确认缺口，不需要从零理解你的架构。21 − 7 = 14 天，这 14 天是可以写进计划的。

内部审批的 28 天里，也有一部分可以靠「预算前置」并行掉：如果设计总监在第一次接触时就把预算科目和审批人确认好，后面的三家比价可以并行，而不是串行。但这部分不由你控制，也不该写进对客户的承诺；你只能提醒，不能保证。

所以对外只承诺一个数：96 − 14 = 82 天签约，加上 30 天账期与 8 天到账，全周期 120 天。改前是 96 + 38 = 134 天。120 天不是「最快」，是「按已有答案库能复现的周期」。

如果答案库还没建好，这 14 天就不存在，周期仍是 134 天。先建库、再承诺，顺序反了会把一次正常的采购拖成一次信任事故：客户按 120 天排了上线计划，你却在安全审查那一段补了三周证据。

14 天值多少钱？按合同额 18,000 美元除以 365 天，每天 49.3 美元；14 天是 690 美元。这个数不是要向客户收的费用，是「早 14 天签约」在合同期内的日均价值，用来判断值不值得为答案库投入 22 小时。

复算：
采购周期：28 + 21 + 19 + 14 + 14 = 96 天
占比：28 ÷ 96 = 29.2%；21 ÷ 96 = 21.9%；19 ÷ 96 = 19.8%
     14 ÷ 96 = 14.6%；14 ÷ 96 = 14.6%；合计 100.1%（四舍五入）
安全审查压缩：21 − 7 = 14 天
签约周期：96 − 14 = 82 天
全周期：82 + 38 = 120 天；改前 96 + 38 = 134 天
合同日均值：18,000 ÷ 365 = 49.3 美元/天
14 天价值：49.3 × 14 = 690.2 ≈ 690 美元

复算里最容易被误读的是 690 美元。它不是折扣，也不是延迟付款的利息，而是「合同早生效 14 天」的账面价值；如果客户因为早 14 天上线而多用了 14 天，这 690 美元才真正兑现。

五、行动清单与复算验收

写下首次接触与签约日期，按天算，不用「大约三个月」。
把 96 天拆成五段，每段写一个卡点与一个负责人。
给六个角色各写一句「这个角色要什么」，写不出就说明还没见到那个人。
把安全审查的 21 天拆成发问卷、补证据、复核三段。
用 21 − 7 = 14 算出可压缩天数，不把希望当计划。
用合同额除以 365 得到日值，再乘可压缩天数。
把 38 天账期加回全周期，得到 134 与 120 两个数。
在报价邮件里写「预计 120 天」，不写「尽快」。

验收标准：任取一个企业线索，都能说出它卡在第几段、下一个签字人是谁、以及压缩后能省几天。

前四条是「把流程画出来」，后四条是「把承诺算出来」。如果只有半小时，先做第一条和第三条：没有日期与角色，96 天只是一团感觉。

清单里最容易被跳过的是第七条。很多人只算签约前的 96 天，忘了钱到账还要 38 天；对现金流来说，134 天才是从第一次接触到可用现金的真实长度。

使用边界与实操验收

96 天是一个样本。 北辰设计的审批链、预算制度与法务偏好都来自这一组教学假设；换一家客户，五段的天数会重排，但「按角色切段」的方法不变。

21 到 7 天依赖答案库。 没有 101 题的可复用答案与 23 份证据，安全审查不会因为你想快就快；把 14 天写进计划之前，先确认库真的存在。

690 美元不是收费项。 它是合同日均值乘天数，用来排序投入，不是向客户开票的依据；把它写进报价单会变成另一个承诺。

内部审批的并行空间不可控。 你能做的是在第一次接触时问清预算科目与审批人，不能替客户走流程；对外的 120 天只包含安全审查那 14 天。

这不是法律或采购建议。 DPA 条款、供应商准入与发票要求以客户所在地与客户制度为准；本文只提供一张时间表与六个角色的提问清单。

关键参考与核验范围

NIST SP 800-53 ：用于核对安全控制目录的分类方式，不用于推导本文的 21 天。
OWASP ASVS ：用于核对应用安全验证项的层级，帮助理解问卷为什么会问到架构与日志。
AWS Well-Architected Security Pillar ：用于核对身份、检测与数据保护这些安全审查常见主题。

以上链接于 2026-10-26 实测可公开访问；未核验版本、功能范围与政策更新。核验日期：2026-10-26。

范围上只讨论一个人的企业采购时间表、六个角色的材料与两处可压缩的等待，不讨论客户内部审批制度、招投标法规与 DPA 条款的具体措辞。

系列导航

继续阅读

探索更多技术文章

浏览归档，发现更多关于系统设计、工具链和工程实践的内容。

全部文章返回首页