Een nieuwe werkplek aanvragen duurde drie weken. Een kleine wijziging in het netwerk kon alleen buiten kantooruren, tegen een uurtarief dat jaarlijks opliep. En toen de directie alternatieven wilde onderzoeken, bleek niemand precies te weten welke licenties, beheerdersaccounts en technische instellingen bij de organisatie hoorden. Deze vendor lock-in praktijkcasus laat zien hoe een ogenschijnlijk comfortabele samenwerking met één ICT-leverancier kan veranderen in een bedrijfsrisico.

De casus is geanonimiseerd en samengesteld op basis van situaties die veel mkb-organisaties herkennen. Niet omdat één leverancier per definitie verkeerd is, maar omdat afhankelijkheid beheersbaar moet blijven. Zeker wanneer die leverancier toegang heeft tot bedrijfsgegevens, e-mail, back-ups, telefonie en de dagelijkse werkplekken.

Vendor lock-in praktijkcasus: hoe de afhankelijkheid ontstond

Het bedrijf in deze casus is een groeiende mkb-onderneming met circa vijftig medewerkers. De samenwerking met de ICT-leverancier begon jaren eerder goed. De leverancier leverde laptops, beheerde Microsoft 365, verzorgde back-ups en was het eerste aanspreekpunt bij storingen. Voor de directie gaf dat rust: één telefoonnummer, één factuur en snel iemand die de omgeving kende.

In de loop van de jaren groeide de dienstverlening mee, maar zonder duidelijke regie. Nieuwe software werd toegevoegd op advies van de leverancier. Licenties kwamen op diens partnerportaal te staan. Beheerdersaccounts werden aangemaakt met e-mailadressen van de leverancier. Documentatie over netwerkconfiguratie, herstelprocedures en koppelingen met bedrijfssoftware bleef grotendeels buiten beeld bij de klant.

Dat viel pas op toen de organisatie een andere oplossing voor documentbeheer wilde vergelijken. De huidige leverancier gaf aan dat een koppeling mogelijk was, maar alleen binnen het bestaande platform en tegen aanvullende ontwikkelkosten. Een onafhankelijke beoordeling maakte vervolgens duidelijk dat het probleem groter was dan één koppeling. De onderneming had geen volledig overzicht van haar eigen ICT-assets, contractuele verplichtingen en toegangsrechten.

De afhankelijkheid was dus niet ontstaan door één verkeerd besluit. Zij was het resultaat van veel praktische keuzes die afzonderlijk logisch leken. Juist daarom blijft vendor lock-in vaak lang onzichtbaar.

Waar zat het werkelijke risico?

De directie zag aanvankelijk vooral hogere kosten en weinig keuzevrijheid. Die waren reëel, maar niet het grootste risico. De kwetsbaarheid zat in de combinatie van technische, organisatorische en contractuele afhankelijkheid.

Technisch waren de beheerrechten voor enkele cruciale systemen niet aantoonbaar in bezit van de organisatie. Bij een wisseling van leverancier zou het onduidelijk zijn wie toegang kon overdragen. Ook de back-upomgeving was door de leverancier ingericht, zonder heldere beschrijving van retentie, versleuteling en hersteltesten. Een back-up is pas waardevol als u weet wat erin staat, wie erbij kan en hoe snel herstel mogelijk is.

Organisatorisch ontbrak een actueel overzicht van verantwoordelijkheden. Medewerkers wisten waar zij incidenten moesten melden, maar niet welke dienstverlening binnen het contract viel. Daardoor werden extra werkzaamheden regelmatig zonder voorafgaande beoordeling uitgevoerd. Financieel leek iedere losse opdracht beperkt, maar samen ontstond een structurele kostenstijging zonder duidelijke vergelijking met alternatieven.

Contractueel waren opzegtermijnen, eigendom van configuraties en voorwaarden voor gegevensoverdracht onvoldoende concreet geregeld. Dat betekent niet automatisch dat overstappen onmogelijk is. Het betekent wel dat een overstap tijd, geld en onderhandelingsruimte kost op het moment dat u die ruimte juist nodig heeft.

De analyse: eerst feiten, dan pas een keuze

De organisatie koos niet direct voor een andere leverancier. Dat zou vooral een reactie zijn geweest op frustratie. Eerst was een onafhankelijke inventarisatie nodig om vast te stellen wat er precies speelde en welke risico’s prioriteit hadden.

De analyse begon met vier vragen. Welke systemen zijn bedrijfskritisch? Wie is eigenaar van accounts, data, domeinnamen en licenties? Welke afspraken gelden er werkelijk, naast wat medewerkers denken dat is afgesproken? En wat gebeurt er als de huidige leverancier morgen niet beschikbaar is?

Daaruit kwam een overzicht van de ICT-omgeving, contracten, verlengmomenten, toegangsrechten en afhankelijkheden. Ook werden de kosten uitgesplitst in vaste dienstverlening, licenties, hardware, projectwerk en incidentele ondersteuning. Dat gaf de directie voor het eerst een basis om leveranciersvoorstellen inhoudelijk te vergelijken.

Een belangrijk onderscheid was dat tussen standaardisatie en lock-in. Standaardiseren op één platform kan verstandig zijn. Het verlaagt beheerlast, maakt beveiliging overzichtelijker en helpt medewerkers efficiënter werken. Lock-in ontstaat wanneer een organisatie niet meer redelijk kan kiezen omdat kennis, toegang, data of contractvoorwaarden uitsluitend bij de leverancier liggen. Het doel was dus niet maximale versnippering, maar gezonde onderhandelingsruimte.

Van afhankelijkheid naar beheersbare regie

De uitkomst van de analyse was geen abrupte migratie. De bestaande leverancier kende de omgeving goed en leverde op onderdelen degelijk werk. Een volledige wissel zou op korte termijn ook nieuwe risico’s en onrust veroorzaken. Daarom koos de organisatie voor een gefaseerde aanpak: eerst het eigenaarschap en de controle herstellen, daarna pas besluiten welke diensten bij welke partij pasten.

De eerste maatregelen waren praktisch. Cruciale beheerdersaccounts werden onder een bedrijfsdomein geplaatst en voorzien van meervoudige toegang voor aangewezen interne verantwoordelijken. De organisatie controleerde of domeinnamen, cloudtenant, licenties en back-upcontracten juridisch en praktisch overdraagbaar waren. Documentatie werd aangevuld, niet als technisch naslagwerk voor specialisten alleen, maar als bruikbaar overzicht voor directie, interne IT en een eventuele opvolgende leverancier.

Vervolgens werden de contractafspraken aangescherpt. Niet met het doel om iedere mogelijke situatie dicht te timmeren, maar om vooraf helder te maken wat verwacht mag worden. Daarbij ging het onder meer om responstijden, rapportages, wijzigingsbeheer, prijsafspraken, beveiligingsverantwoordelijkheden en de procedure bij beëindiging van de samenwerking.

Voor een goed exitplan zijn vier onderdelen essentieel:

• een actueel overzicht van systemen, configuraties, licenties en koppelingen;
• aantoonbaar eigenaarschap en toegang tot accounts, data en domeinnamen;
• afspraken over overdracht, ondersteuning en kosten bij beëindiging;
• periodieke controle of documentatie, back-ups en toegangsrechten nog kloppen.

Deze maatregelen maakten de relatie met de leverancier niet afstandelijker. Integendeel. De verwachtingen werden duidelijker en gesprekken gingen minder vaak over incidenten, meer over prestaties en verbeteringen.

Wat veranderde er voor de onderneming?

De meest directe opbrengst was overzicht. De directie kon beter beoordelen welke kosten noodzakelijk waren, welke voorstellen een aantoonbare meerwaarde hadden en waar alternatieven zinvol waren. Een nieuwe offerte werd niet langer alleen vergeleken op maandbedrag, maar ook op eigendom, flexibiliteit, beveiliging en overdraagbaarheid.

Ook de continuïteit verbeterde. Een tweede partij kon, indien nodig, op basis van de documentatie en toegangsregeling meekijken of tijdelijk ondersteuning bieden. Dat is geen uitnodiging om leveranciers tegen elkaar uit te spelen. Het is een noodzakelijke waarborg voor een onderneming die niet stil kan vallen door een conflict, een overname of een storing bij één dienstverlener.

Voor medewerkers veranderde er weinig aan de dagelijkse werkwijze. Juist dat is vaak een teken dat de aanpak klopt. Goede regie hoeft geen extra bureaucratie te betekenen. Zij voorkomt dat medewerkers last krijgen van onduidelijke processen wanneer er druk op de ICT-omgeving ontstaat.

Signalen die u niet moet negeren

Vendor lock-in is niet altijd zichtbaar op een factuur. Let daarom op signalen zoals accounts die alleen door een leverancier worden beheerd, onduidelijke licentieconstructies, ontbrekende technische documentatie of offertes die niet vergelijkbaar zijn. Ook een contract zonder concrete exit-afspraken verdient aandacht.

Tegelijkertijd is voorzichtigheid nodig. Een leverancier die beheeraccounts gebruikt of een eigen werkwijze hanteert, veroorzaakt niet automatisch een onaanvaardbaar risico. Het hangt af van de afspraken, de transparantie en de mate waarin uw organisatie zelf toegang en inzicht behoudt. Bij kleine organisaties is het logisch om veel beheer uit te besteden. Uitbesteden is echter iets anders dan de controle uit handen geven.

Een onafhankelijke adviseur kan in deze fase helpen om emotie van feiten te scheiden. Uw ICT Adviseur kijkt daarbij niet vanuit de verkoop van hardware, licenties of beheercontracten, maar vanuit de bedrijfsbelangen: continuïteit, beveiliging, kostenbeheersing en een keuze die ook over enkele jaren nog verdedigbaar is.

Wie nu één vraag wil meenemen naar het volgende overleg met de ICT-leverancier, kan deze stellen: als onze samenwerking morgen verandert, kunnen wij dan onze systemen, gegevens en werkzaamheden zonder onnodige vertraging voortzetten? Het antwoord laat vaak sneller zien waar regie ontbreekt dan een dik contract ooit kan doen.