Je bureau ontwikkelt en beheert klantplatforms. Daarvoor gebruik je cloudhosting, GitHub, monitoringsoftware, externe developers en allerlei SaaS-tools. Allemaal heel normaal. Tot een grote opdrachtgever vraagt welke partijen toegang hebben tot zijn systemen en gegevens, welke risico's dat oplevert en hoe je die beheerst. De technical lead kent de infrastructuur, de projectmanager weet welke externen meewerken en finance heeft de contracten. Maar niemand heeft het complete plaatje. Hoe voorkom je dat je leveranciersketen een blinde vlek wordt, zonder je agency op te zadelen met onnodige bureaucratie? En waar begin je als je morgen al meer grip wilt hebben?
Je leveranciersketen is groter dan je contractenlijst
Een inkoopoverzicht vertelt je wie je betaalt. Maar niet noodzakelijk welke externe partijen toegang hebben tot de systemen en gegevens van je klanten. Denk aan een gratis tool die een medewerker gebruikt om klantinformatie te verwerken of een AI-assistent die meekijkt in de code. Ook zonder formeel inkoopcontract moet je zulke externe diensten meenemen in je inventarisatie.
Het gaat daarbij niet alleen om welke partijen je gebruikt, maar ook om waar ze toegang toe hebben en welke rol ze in je dienstverlening spelen.
Waarom dit bij groeiende agencies ingewikkelder wordt
Wanneer je agency groeit, groeit ook het aantal partijen waarmee je samenwerkt. Nieuwe teams kiezen hun eigen tools, freelancers krijgen toegang tot klantomgevingen en tijdelijke koppelingen blijven soms langer actief dan bedoeld. Op zichzelf zijn dat logische keuzes. Maar naarmate het aantal projecten en betrokkenen toeneemt, wordt het lastiger om het overzicht te bewaren.
Wat bij een klein team nog prima werkt op basis van onderlinge afspraken, wordt bij groei steeds kwetsbaarder. Verschillende teams ontwikkelen hun eigen werkwijzen. Zolang niemand verantwoordelijk is voor het totaalplaatje, wordt het lastiger om te bewaken of afspraken ook werkelijk worden nageleefd.
Tegelijkertijd worden de verwachtingen van opdrachtgevers hoger. Zeker grotere organisaties willen weten welke externe partijen bij hun systemen en gegevens kunnen, welke beveiligingsafspraken je met hen hebt gemaakt en hoe je daarop toeziet. Ontwikkelingen zoals NIS2 versterken die aandacht voor beveiliging in de leveranciersketen, ook wanneer je agency zelf niet rechtstreeks onder de wetgeving valt.
Niet iedere leverancier is even belangrijk
Om te bepalen hoeveel aandacht een leverancier verdient, hoef je geen ingewikkeld beoordelingsmodel op te tuigen. Begin met drie vragen:
Toegang: tot welke systemen, gegevens en functionaliteiten heeft deze partij toegang? Kan de leverancier bijvoorbeeld alleen informatie bekijken, of ook gegevens wijzigen en code uitrollen?
Afhankelijkheid: hoe noodzakelijk is de leverancier voor je dienstverlening? Kun je zonder deze partij verder en hoe gemakkelijk kun je overstappen op een alternatief?
Impact: welke schade kan er voor je klant of bureau ontstaan door een beveiligingsincident, uitval of het niet nakomen van afspraken?
De antwoorden bepalen hoe grondig je een leverancier moet beoordelen. Daarbij gaat het niet alleen om de leverancier zelf, maar ook om de manier waarop je die inzet. Dezelfde SaaS-tool kan voor het ene klantproject nauwelijks risico's opleveren en bij een ander project toegang hebben tot gevoelige klantinformatie.
Wat betekent dat in de praktijk?
| Type leverancier | Waar let je vooral op? |
|---|---|
| Ontwerptool zonder klantgegevens | Gebruik, accountbeheer en afspraken over wat medewerkers mogen invoeren |
| SaaS-dienst met klantinformatie | Gegevensverwerking, toegangsrechten, opslaglocatie en beveiligings- en verwerkingsafspraken |
| Hosting van bedrijfskritisch klantplatform | Beveiliging, beschikbaarheid, back-ups, herstelmogelijkheden en overstappen |
| Externe developer met productietoegang | Beperkte rechten, persoonlijke accounts, goedkeuring en einddatum |
Dit sluit aan bij de risicogerichte aanpak die ook het NCSC adviseert: begin bij de belangrijkste bedrijfsprocessen en maak onderscheid tussen leveranciers op basis van hun risico. Zo besteed je je aandacht aan de partijen die er echt toe doen, zonder van leveranciersbeheer een administratief monster te maken.
Het project is afgerond. De toegang niet.
Een externe developer heeft drie maanden meegewerkt aan een klantplatform. Het project is afgerond, de laatste factuur betaald en de freelancer werkt inmiddels voor een andere opdrachtgever. Alleen zijn toegang tot de GitHub-repository staat nog open. Inclusief de rechten om code aan te passen.
Hoe dat kan? De projectmanager heeft de samenwerking administratief afgesloten, maar niemand heeft de technical lead gevraagd de toegangsrechten in te trekken. Beide hebben hun werk gedaan, alleen de overdracht ontbrak.
Juist dit soort situaties laten zien waarom leveranciersbeheer meer is dan een overzicht van contracten. Een eenvoudige afspraak kan veel voorkomen: bij iedere projectafronding controleert de verantwoordelijke welke externe toegang moet worden ingetrokken. Niet alleen persoonlijke accounts, maar ook tokens, API-sleutels en andere koppelingen.
Soms blijft toegang nodig, bijvoorbeeld voor nazorg. Prima, zolang duidelijk is waarvoor, met welke rechten en tot wanneer. Het verschil zit in de bewuste keuze, in plaats van toegang die ongemerkt blijft bestaan.
Zo organiseer je leveranciersbeheer zonder een procurement-afdeling
Even een geruststelling vooraf: leveranciersbeheer hoeft geen aparte afdeling, nieuw softwaresysteem of uitgebreid goedkeuringsproces met zich mee te brengen. Veel informatie heb je waarschijnlijk al. De kunst is om die met elkaar te verbinden en ervoor te zorgen dat beoordelingen, afspraken en controles onderdeel worden van je bestaande werkwijze. Met deze vijf stappen leg je daarvoor de basis.
1. Breng je leveranciers en hun toegang in kaart
Begin bij de partijen die toegang hebben tot klantgegevens of systemen, of waarvan je dienstverlening sterk afhankelijk is. Gebruik bestaande contracten, projectdocumentatie en accountoverzichten als vertrekpunt.
Leg per leverancier vast waarvoor je deze gebruikt, bij welke klanten of projecten de partij betrokken is, welke toegang er is en wie binnen je bureau verantwoordelijk is. Voeg ook de risicobeoordeling, gemaakte afspraken en datum van de volgende controle toe.
Het hoeft niet allemaal in één spreadsheet te staan. Zolang je de informatie gemakkelijk kunt terugvinden en met elkaar kunt verbinden, kun je prima gebruikmaken van de systemen die je al hebt.
2. Maak duidelijk wie verantwoordelijk is
Leveranciersbeheer werkt alleen als iemand het overzicht bewaakt. Wijs daarom per leverancier een verantwoordelijke aan die zorgt dat beoordelingen, afspraken en wijzigingen worden opgevolgd.
Dat betekent niet dat deze persoon alles zelf moet uitvoeren. Een technical lead kan de toegangsrechten controleren, terwijl operations de contractuele afspraken beheert. Belangrijk is dat duidelijk is wie welke actie oppakt en wie beslist wanneer een leverancier niet aan de gewenste eisen voldoet.
Zo voorkom je dat risico's stilzwijgend worden geaccepteerd omdat een project snel verder moet.
3. Beoordeel leveranciers voordat je ze inzet
Een nieuwe tool of externe specialist toevoegen aan een project is vaak zo geregeld. Maar voordat je toegang verleent of klantinformatie deelt, wil je weten of dat verantwoord is.
Maak van die beoordeling een vast beslismoment: wie beoordeelt de voorgenomen inzet, wie mag akkoord geven en onder welke voorwaarden? Kijk daarbij naar toegang, afhankelijkheid en impact, maar leg vooral vast wat voor dit specifieke gebruik is besloten.
Bij een AI-tool kun je bijvoorbeeld besluiten dat medewerkers de dienst wel voor openbare informatie mogen gebruiken, maar geen vertrouwelijke klantgegevens mogen invoeren.
Spreek ook af wanneer je opnieuw beoordeelt, bijvoorbeeld zodra de toepassing of de toegang verandert.
4. Maak afspraken die passen bij je klantverplichtingen
Als agency maak je afspraken met je opdrachtgevers over onder meer beveiliging, vertrouwelijkheid, beschikbaarheid en de omgang met klantgegevens. Die moet je ook kunnen waarmaken wanneer je andere partijen inschakelt.
Controleer daarom of de voorwaarden van je leveranciers aansluiten op wat je zelf hebt beloofd. Denk aan beveiligingsmaatregelen, incidentmeldingen, continuïteit en de mogelijkheden om een samenwerking te beëindigen.
Met grote SaaS-leveranciers kun je niet altijd onderhandelen. Je kunt wel beoordelen of hun voorwaarden en beveiligingsinstellingen voldoen, aanvullende maatregelen nemen of besluiten de tool voor bepaalde toepassingen niet te gebruiken.
Let extra op bij persoonsgegevens. Wanneer je namens een klant persoonsgegevens verwerkt en daarvoor een subverwerker inschakelt, gelden volgens artikel 28 AVG specifieke eisen aan voorafgaande schriftelijke toestemming en bindende verwerkersafspraken. Een geheimhoudingsverklaring alleen is dan niet voldoende.
5. Maak controles onderdeel van je bestaande processen
Een leveranciersoverzicht is alleen waardevol zolang het actueel blijft. Koppel controles daarom aan momenten die er toch al zijn: de start van een nieuw project, de introductie van tooling, wijzigingen in toegangsrechten en het vertrek van externe medewerkers.
Plan daarnaast periodieke controles voor leveranciers met een hoger risicoprofiel. Zijn de gemaakte afspraken nog passend? Is de toegang nog noodzakelijk? Zijn er veranderingen in de dienstverlening of het gebruik?
De belangrijkste vraag is steeds: klopt onze eerdere beoordeling nog? Een tool kan hetzelfde blijven terwijl de gegevens die je ermee verwerkt of de rechten die je verleent ingrijpend veranderen.
Door leveranciersbeheer op deze manier in je dagelijkse processen op te nemen, voorkom je dat het een losstaande administratieve exercitie wordt.
Van leverancierslijst naar aantoonbare grip
Een lijst met leveranciers is een goed begin. Maar als een grote opdrachtgever wil weten hoe je de risico's in je leveranciersketen beheerst, kom je met alleen een overzicht van namen niet ver. Dan moet je ook kunnen laten zien waarom je bepaalde partijen inzet, welke afspraken je met ze hebt gemaakt en hoe je nagaat of die afspraken nog passend zijn en worden nageleefd.
Dat hoeft geen stapel documenten op te leveren. Denk aan een vastgelegde beoordeling van je hostingprovider, afspraken over back-ups en herstel, of een ticket waarin staat dat de toegang van een externe developer is ingetrokken. Die informatie hoeft niet in een apart dossier te staan, maar moet wel vastgelegd en terug te vinden zijn.
Het helpt daarom om bewijs zoveel mogelijk vast te leggen in de systemen waarin je al werkt. Zo kun je bij een klantvraag snel de relevante informatie boven tafel krijgen, zonder je volledige interne leveranciersregister te hoeven delen. Dat register kan immers ook vertrouwelijke informatie over andere klanten bevatten.
Begin bij je belangrijkste afhankelijkheden
Wil je weten hoe goed je leveranciersbeheer daadwerkelijk geregeld is? Kies dan eens één belangrijk klantplatform en loop samen met je projectmanager en technical lead de betrokken leveranciers langs. Welke partijen zijn noodzakelijk voor de dienstverlening? Wie heeft toegang tot welke systemen en gegevens? Welke afspraken zijn gemaakt? En kun je die informatie ook snel terugvinden?
De kans is groot dat zo'n gesprek niet alleen antwoorden, maar ook nieuwe vragen oplevert. Dat is precies de bedoeling. Je ontdekt waar je al grip op hebt en waar nog onduidelijkheid bestaat. Daarmee heb je een concreet vertrekpunt om leveranciersbeheer verder te verbeteren, zonder meteen je hele organisatie overhoop te halen.
Wil je leveranciersbeheer zo organiseren dat het past bij de manier waarop jouw agency werkt én bij de eisen van grotere opdrachtgevers? MNP Solutions helpt je om risico's en afhankelijkheden inzichtelijk te maken, verantwoordelijkheden helder te beleggen en de juiste controles in te richten. Praktisch, proportioneel én zonder onnodige bureaucratie.
Security voor Digital Agencies
ISO 27001 voor digital agencies die geen deals meer willen verliezen op security.
