Het probleem bij veel SaaS-aankopen ontstaat niet op het moment dat je het contract ondertekent. Het ontstaat pas maanden later, wanneer de aanbieder niet meer reageert zoals beloofd, de voorwaarden wijzigt, het exporteren van gegevens bemoeilijkt of verantwoordelijkheden op jou afschuift waarvan je dacht dat ze bij hem lagen. Op dat moment verdwijnt de aanvankelijk lage prijs. Wat overblijft zijn de bedrijfsstilstand, het juridische risico en de uitstapkosten.
Wie een MKB-bedrijf leidt, weet dat maar al te goed. De commerciële demo ziet er altijd netjes uit, het contract veel minder. En wanneer de leverancier te maken krijgt met gegevens, kritieke processen of verkoopstromen, blijft een verkeerde keuze niet beperkt tot de IT-afdeling. Het raakt ook de administratie, compliance, klantenservice en bedrijfscontinuïteit.
Ik spreek als ondernemer die daadwerkelijk te maken heeft gehad met geschillen met leveranciers die onduidelijk waren over de AVG, Europese facturering, daadwerkelijke ondersteuning en eenzijdige wijzigingen van de voorwaarden. De les is simpel: due diligence bij leveranciers is geen formaliteit van de inkoopafdeling. Het is de manier waarop je beoordeelt of een leverancier een troef of een structureel risico kan worden.
Hier vind je een praktisch kader om een provider te beoordelen zoals je een zakenpartner zou beoordelen. Niet alleen prijs en functionaliteit, maar ook het contract, de veiligheid, de bedrijfszekerheid, de overdraagbaarheid en de voortdurende monitoring.
De website ligt plat op de slechtst mogelijke dag. Bestellingen lopen vast, het verkoopteam communiceert via drie verschillende kanalen en de klantenservice weet niet wat ze tegen de klanten moeten zeggen. Je opent een ‘prioritair’ ticket bij je SaaS-provider en krijgt een automatisch antwoord. Geen technicus, geen duidelijke escalatieprocedure, geen realtime oplossingstijd.
Op dat moment besef je pas wat je werkelijk hebt gekocht.
Je hebt niet alleen een dienst gekocht. Je hebt ook de manier gekocht waarop die leverancier omgaat met incidenten, aansprakelijkheid, gegevens, contracten en beëindiging. Als je deze aspecten niet van tevoren hebt gecontroleerd, heb je een operationele schuld opgebouwd. Dat zie je niet in de demo, het staat niet in de prijslijst, maar het komt allemaal tegelijk op je af wanneer de leverancier het niet aankan.
Wanneer een provider op een cruciaal moment in de steek laat, is het probleem niet alleen van technische aard. Het krijgt op dezelfde dag ook commerciële, juridische en reputatiegerelateerde gevolgen.
Veel ondernemers beschouwen de due diligence van een provider als een administratieve formaliteit. Ze kijken naar de prijs, een paar functies, misschien een certificaat op de startpagina, en dan tekenen ze. Dat is een veelgemaakte fout. De cruciale vragen zijn andere: wie is verantwoordelijk voor de gegevens, waar worden ze opgeslagen, hoe kun je ze exporteren, wie biedt je daadwerkelijk ondersteuning, en wat gebeurt er als de provider van eigenaar verandert of de contractvoorwaarden wijzigt?
Het vervelende is dat deze vragen de onderhandelingen vertragen. Het nuttige is dat ze je maandenlang gedoe achteraf besparen.
Due diligence bij leveranciers is bedoeld om inzicht te krijgen in welk deel van het risico je samen met de dienst inkoopt. Het gaat er niet om documenten te verzamelen om bij de ondertekening gerust te zijn. Het gaat erom van tevoren in te schatten hoeveel die leverancier je werkelijk zal kosten als er iets misgaat, als de bedrijfsstructuur verandert, als de ondersteuning tekortschiet of als je op een dag snel weg moet.
Wie al eens te maken heeft gehad met een gedwongen migratie of een slecht beheerd incident, weet dit maar al te goed. Het probleem blijft zelden beperkt tot de leverancier. Het dringt door tot in de interne processen, legt de commerciële activiteiten stil, slokt uren van het technische team op, roept juridische twijfels op en verandert een ogenschijnlijk voordelig abonnement in een verborgen operationele schuld.
Daarom is een gedegen due diligence-onderzoek op vier concrete niveaus gebaseerd:
Praktische regel: als de leverancier te maken heeft met gegevens, betalingen, klantenservice of een bedrijfskritisch proces, moet de due diligence worden beschouwd als een controle op de bedrijfscontinuïteit, en niet als een administratieve formaliteit.
In de Italiaanse context kost deze onderschatting nog meer, omdat de toeleveringsketen grotendeels bestaat uit kleine en middelgrote ondernemingen, die vaak sterk afhankelijk zijn van derden. Volgens gegevens van het Ministerie van Ondernemingen en Made in Italy vertegenwoordigen de KMO’s 99,9% van de actieve ondernemingen en bieden ze werk aan ongeveer 76,5% van de werknemers in de privésector. In een dergelijk systeem verspreidt het risico van de leverancier zich snel naar de klant.
Er is ook een veelvoorkomende fout. Veel bedrijven beoordelen een provider zonder eerst duidelijk te hebben gemaakt wat ze nu eigenlijk aanschaffen: infrastructuur, een platform, applicatiesoftware of een combinatie van deze drie. Als je deze analyse al in een vroeg stadium goed wilt aanpakken, kun je het beste beginnen met de verschillen tussen clouddiensten.
Het onderschatten van de due diligence van een leverancier betekent dat je een zakenpartner behandelt als een kostenpost. Hier ontstaan de problemen die niemand in de pitch noemt: interne processen die slecht zijn afgestemd op de leverancier, technische afhankelijkheden die moeilijk te doorbreken zijn, aansprakelijkheden die je pas ontdekt na een incident en uitstapkosten die op je afkomen op het moment dat je de minste onderhandelingsruimte hebt.
Een goed uitgevoerde taxatie voorkomt verrassingen. Een slecht uitgevoerde taxatie stelt ze alleen maar uit.
De meeste ernstige problemen komen niet voort uit een technisch defect. Ze komen voort uit een clausule die te laat is gelezen. In het contract staat wie de touwtjes in handen heeft als er iets kapotgaat.
Bij het beoordelen van een dienstverlener is de prijs het laatste waar je naar moet kijken. Het juridische kader van de relatie komt op de eerste plaats.
Vertrek vanuit deze gebieden:
Veel ondernemers beschouwen het contract als een document waarmee de aanbieder zich indekt. Dat klopt. Daarom moet het worden gezien als een overzicht van zijn prikkels.
Tijdens een zakelijke vergadering is het beter om recht voor zijn raap te zijn. Het heeft geen zin om in juridische bewoordingen te spreken. Je moet spreken als een bedrijf dat verborgen kosten wil vermijden.
Probeer het eens met dit soort vragen:
Een goed contract is niet het contract dat alles belooft. Het is het contract dat weinig ruimte laat voor onduidelijkheden wanneer de relatie verslechtert.
Een klassieke rode vlag is een dienstverlener die commerciële vragen wel goed beantwoordt, maar vragen over gegevensverwijdering slecht. Een andere rode vlag is een standaard-gegevensverwerkingsovereenkomst (DPA) die weliswaar bestaat, maar waarin verantwoordelijkheden, gegevensoverdrachten en termijnen niet echt duidelijk worden omschreven. Als je tegenwoordig met gegevens, automatisering of besluitvormingssystemen werkt, is het de moeite waard om ook het onderwerp van de Europese AI-wet voor het MKB te lezen, omdat deze wet veel bedrijven ertoe aanzet om governance, traceerbaarheid en de rol van leveranciers strikter te formaliseren.
Nog een laatste praktisch criterium. Als de leverancier je vragen over gegevens, aansprakelijkheid en overdraagbaarheid als vervelend beschouwt, zegt dat al iets over het soort relatie dat je na ondertekening zult hebben.
Een conformiteitskeurmerk helpt. Maar dat is niet genoeg. Een certificering geeft aan dat er een controlesysteem bestaat. Op zichzelf zegt het je echter niet of die provider geschikt is voor jouw context, jouw gegevens en jouw operationele risico’s.
In frameworks voor leveranciersbeheer wordt aanbevolen om risicovragenlijsten, financiële rapporten en certificeringen zoals ISO 27001 en SOC 2 te verzamelen, en leveranciers in te delen op basis van hun kriticiteit. Voor leveranciers met een hoog risico komen daar nog audits ter plaatse en beoordelingen van het externe aanvalsoppervlak bij, zoals Mitratech samenvat in de gids over leveranciersdue diligence.
Dit punt verandert de manier waarop een leverancier wordt beoordeeld. De vraag is niet: „Heeft hij een certificaat?”. De vraag is: „Welk praktisch bewijs laat hij mij zien, naast het certificaat?”.
Het is bijvoorbeeld zinvol om te vragen:
OnderwerpWat te vragenWaarom het belangrijk isHostingRegio waar de gegevens en infrastructuuronderleveranciers zijn gevestigdVan invloed op rechtsbevoegdheid en nalevingBack-upBeleid, frequentie, controle van het herstel Een niet-geteste back-up is slechts een hoop Toegang Controles op geprivilegieerde accounts Vermindert intern risico en misbruik Incidentrespons Gedocumenteerd proces voor incidentbeheer Geeft aan wie wat doet onder druk Kwetsbaarheden Bewijs van beoordeling van het blootgestelde oppervlak Helpt te begrijpen in hoeverre de provider zichtbaar en kwetsbaar is voor aanvallen
De jurisdictie van gegevens is belangrijker dan velen denken. Als de provider gegevens host of doorgeeft buiten de grenzen die je als vanzelfsprekend beschouwde, veranderen de verplichtingen, de beoordelingen en vaak ook de manier waarop je incidenten en formele verzoeken afhandelt.
Dan is er nog het minder glamoureuze en meer praktische deel: back-ups en noodherstel. Vraag niet alleen of deze voorzieningen bestaan. Vraag ook hoe ze worden gecontroleerd, hoe ze worden gedocumenteerd en wie er ingrijpt in geval van gegevenscorruptie of uitval van de dienst.
Let tegelijkertijd op de reputatie van de partij waarmee je zaken doet. In bepaalde sectoren waar veel onrust heerst, is het controleren van openbare waarschuwingssignalen een minimale veiligheidsmaatregel. Een nuttig voorbeeld hiervan is de zwarte lijst van cryptovaluta-oplichting, die duidelijk laat zien waarom reputatiescreening en externe verificatie geen luxe zijn, maar een basisbescherming wanneer de aanbieder actief is in gevoelige of ondoorzichtige sectoren.
Als een leverancier je alleen gelikte PDF’s laat zien en geen bewijs levert van hoe hij omgaat met incidenten, back-ups, toegangsrechten en kwetsbaarheden, dan ben je bezig met marketing, niet met beveiliging.
De ware kwaliteit van een provider blijkt pas als je haast hebt en weinig speelruimte. Niet in de demo. Niet in het commerciële voorstel. Niet op de ‘enterprise’-pagina.
Je moet de ondersteuning eerst testen voordat je klant wordt. Dat is een stap die bijna niemand zet.
Dat kun je heel eenvoudig doen:
Een betrouwbare provider neemt het je niet kwalijk als je deze vragen stelt. Hij vindt ze heel normaal.
Uitstekende ondersteuning is niet dat ze snel reageren als alles goed werkt. Het is dat ze een lastig probleem op zich nemen, het op de juiste manier escaleren en je een schriftelijk overzicht geven van de genomen beslissingen.
Hier schuilt het meest over het hoofd geziene aspect van de due diligence bij providers: de lock-in.
Een effectieve technische due diligence moet het scannen van de broncode en de afhankelijkheden omvatten om een volledige inventaris op te stellen van software van derden, de relaties tussen afhankelijkheden en open-source-licenties, naast een controle van de architectuur, API’s en databases om het risico van technische schuld en lock-in te meten, zoals FOSSA uitlegt in de gids over technische due diligence.
In ondernemerstermen gezegd: je moet drie dingen begrijpen:
Als de provider het makkelijk maakt om erbij aan te sluiten, maar moeilijk om eruit te stappen, dan heb je geen partnerschap. Dan zit je vast.
Wat de continuïteit betreft, is het ook de moeite waard om te verduidelijken hoe de leverancier omgaat met gegevensherstel en gegevensverlies. Als je een uitgangspunt zoekt om deze scenario’s te beoordelen, vind je in ELECTE een goed referentiepunt voor het beheer van RTO en RPO.
Een eenvoudig criterium helpt enorm: vraag, voordat je tekent, om een schriftelijke offboardingprocedure. Als die er niet is, zijn de kosten bij vertrek vrijwel zeker hoger dan je denkt.
Het probleem met checklists is dat ze een momentopname geven van de leverancier op een bepaalde dag. Het risico verandert daarentegen voortdurend.
Een veelvoorkomende tekortkoming bij de due diligence van providers is juist deze: bijna iedereen legt uit wat je aan de provider moet vragen, maar slechts weinigen leggen uit hoe je het risico ervan in de loop van de tijd opnieuw moet berekenen. Toch vereist de context dit. Het Clusit-rapport 2025 meldt dat er in 2024 357 cyberaanvallen op Italiaanse doelen plaatsvonden, een stijging ten opzichte van de 310 in 2023, waarvan 79% een hoge of kritieke ernst had. Bovendien kosten inbreuken die verband houden met derde partijen gemiddeld meer dan 370.000 dollar extra in vergelijking met interne inbreuken, zoals SecurityScorecard vermeldt in zijn checklist voor dienstverleners.
Dit verandert de controlelogica. Het volstaat niet om de provider bij aanvang goed te keuren. Je moet bepalen welke leveranciers meer aandacht vereisen en welke signalen aanleiding geven tot een herbeoordeling.
Een risicogebaseerde aanpak begint met een interne classificatie. Niet alle leveranciers zijn hetzelfde. Het volgende is in ieder geval van belang:
Van daaruit kun je een nuttig toezichtsysteem opzetten, ook met behulp van tools voor gegevensanalyse: dashboards over SLA’s, het volgen van kritieke tickets, waarschuwingen bij wijzigingen in documentatie, veranderingen bij onderaannemers, afwijkingen in de prestaties of bij beveiligingsincidenten.
Een leverancier wordt niet pas risicovol wanneer er zich een incident voordoet. Hij wordt risicovol wanneer de vage signalen zich opstapelen en niemand ze in hun onderlinge samenhang interpreteert.
Voor een MKB-bedrijf is dit het moment waarop gegevens worden omgezet in praktische bedrijfsvoering. Niet om de bureaucratie te verbeteren, maar om sneller te kunnen reageren.
De checklist dient maar voor één ding: om te bepalen of je een leverancier kiest die je bedrijf ondersteunt, of een leverancier die je opzadelt met operationele schulden, juridische geschillen en een kostbare uitstap. Als het document je niet helpt om nee te zeggen, is het geen bruikbare checklist.
Zo voorkom je het soort problemen dat pas na de ondertekening aan het licht komt.
Hier telt de praktijk. Certificaten helpen wel, maar geven geen inzicht in hoe de provider onder druk presteert.
Veel fouten ontstaan hier, niet in het contract.
De meest voorkomende fout is dat men het bij de selectiefase laat. Het echte risico komt pas daarna aan het licht, wanneer de ondersteuning verslechtert, onderaannemers veranderen, de exportproducten onbruikbaar blijken te zijn of een beleidswijziging ervoor zorgt dat activiteiten die je dacht dat inbegrepen waren, op jouw schouders terechtkomen. Op dat moment duiken de secundaire kosten op.
Als je het allemaal in één vuistregel wilt samenvatten, houd je dan aan deze: beoordeel de provider zoals je een zakenpartner zou beoordelen. Hij moet bestand zijn tegen een incident, een juridisch geschil en een ordelijke beëindiging van de samenwerking. Als je niet weet hoe je eruit moet stappen, heb je onvoldoende onderzoek gedaan.
Als je gegevens over leveranciers, SLA’s, incidenten en prestaties wilt omzetten in een continu monitoringsysteem, helpt ELECTE – een door AI aangestuurd data-analyseplatform voor het MKB – je om verspreide signalen te verzamelen en deze om te zetten in bruikbare inzichten voor snellere en beter onderbouwde beslissingen. Het is een concrete manier om de overstap te maken van incidentele due diligence naar een meer volwassen operationeel toezicht.
.svg)
.svg)
.svg)
