De brief is kort en opvallend beleefd. Uw leverancier wil "in het kader van periodieke naleving" graag een beeld van uw gebruik, stelt een kennismakingsgesprek voor en noemt een aanleveringstermijn. Er staat geen bedrag in. Er staat ook nergens dat dit een onderhandeling is. Toch is dat wat het is — en de belangrijkste beslissingen in het traject nemen de meeste organisaties in de eerste twee weken.
Het cijfer dat dit jaar veranderde
Audits zijn geen constante. Ze bewegen mee met de kwartaalcijfers van de leverancier. En die staan onder druk.
De Amerikaanse inkoopadviseur NPI meldt dat 62% van de organisaties het afgelopen jaar met een licentieaudit te maken kreeg. Het jaar daarvoor was dat 40%. In dezelfde analyse: 45% van de bedrijven gaf over drie jaar meer dan een miljoen dollar uit aan auditkosten. De actiefste partijen zijn geen verrassing: Microsoft, IBM, SAP, Oracle, Red Hat en VMware onder Broadcom.
Dimensional Research ondervroeg vijfhonderd ITAM-professionals in opdracht van Azul en het ITAM Forum. Dat geeft de andere kant. Ruim een kwart van de organisaties besteedt jaarlijks meer dan een half miljoen dollar aan het oplossen van licentie-non-compliance. En 73% had de afgelopen drie jaar te maken met een Oracle Java-audit.
Bij deze cijfers past één waarschuwing. Een deel van de bronnen die over audits publiceren, verkoopt auditverdediging. Dat maakt hun cijfers niet onbruikbaar, maar het verklaart wel waarom de dramatiek er soms dik bovenop ligt. De richting is onomstreden en wordt door meerdere partijen onafhankelijk gemeld: de frequentie loopt op.
Een audit is geen controle. Het is een verkoopkanaal.
Dit is het punt waar het begrip meestal misgaat. Het verklaart bijna al het gedrag dat u vervolgens ziet.
De uitkomst van een audit wordt bij de leverancier niet geboekt als handhaving, maar als omzet. Dat is geen cynische lezing; het is hoe de teams zijn ingericht en waarop ze worden afgerekend. Het verklaart waarom het gesprek vrijwel nooit eindigt met een boete, en vrijwel altijd met een aanbod: de geconstateerde afwijking verdwijnt als u een groter of langer contract tekent.
Daarmee verandert de aard van het traject. U verdedigt zich niet tegen een inspectie. U onderhandelt met een verkoopafdeling die de openingsbieding zelf heeft berekend, op basis van gegevens die u hebt aangeleverd. Dat laatste is precies waarom die eerste twee weken zoveel gewicht hebben.
De openingsclaim is niet de rekening
Er is één patroon dat iedereen herkent die dit vaker meemaakt. Het wordt zelden ergens opgeschreven.
Een adviespraktijk die auditverdediging als dienst aanbiedt, rapporteert dat openingsclaims doorgaans twee tot vier keer zo hoog liggen als het bedrag waarop uiteindelijk wordt afgerekend. Belangrijker is wat diezelfde bron over het verschil in aanpak zegt: organisaties die de datastroom beheersten en het tempo bepaalden, kwamen uit op ongeveer 30 tot 50% van de openingsclaim. Organisaties die snel en volledig meewerkten, betaalden op dezelfde feiten aanzienlijk meer.
Neem dat cijfer met de gepaste korrel zout — het komt van een partij die belang heeft bij die conclusie. Maar de onderliggende logica staat los van de bron. De openingsclaim is een positie, geen constatering. Wie hem behandelt als een feit, onderhandelt vanaf het bedrag dat de tegenpartij zelf heeft gekozen.
Ter kalibratie een cijfer van een andere kant. Ivanti noemt voor bedrijven met meer dan vijftig miljoen dollar omzet een gemiddelde true-up van $263.000. Zo'n traject kan een jaar of langer duren. Dat laatste is vaak de grotere kostenpost — niet de afrekening, maar de mensen die er maanden mee bezig zijn.
Uw eigen voorwaarden werken tegen u
Hier wordt het Nederlands, en ongemakkelijk.
De NLdigital Voorwaarden 2025 liggen onder een groot deel van de Nederlandse ICT-contracten. Artikel 42.8 bepaalt dat de klant "desgevraagd onverwijld" zijn medewerking verleent aan een onderzoek naar de naleving van de overeengekomen gebruiksbeperkingen, inclusief toegang tot gebouwen en systemen. Daar staat tegenover dat de leverancier vertrouwelijke bedrijfsinformatie buiten het softwaregebruik geheim moet houden — maar de verplichting om mee te werken is onvoorwaardelijk geformuleerd.
Dat woord "onverwijld" is het probleem. Er staat geen aankondigingstermijn tegenover, geen maximum aantal onderzoeken per jaar, geen eis dat de auditor onafhankelijk is en geen regeling over wie de kosten draagt. Als u niets anders hebt afgesproken, is dit uw uitgangspositie.
En dan is er de bepaling die de meeste afwijkingen veroorzaakt. Artikel 42.6 staat gebruik uitsluitend toe binnen en ten behoeve van de eigen organisatie. Artikel 42.7 verbiedt het doorgeven aan derden of het laten hosten bij derden — ook wanneer die derde uitsluitend voor u werkt. Wie zijn beheer heeft uitbesteed of zijn systemen bij een managed service provider heeft staan, zit precies op die grens. Dat is geen exotisch randgeval; dat is hoe een groot deel van de Nederlandse IT is georganiseerd.
Wat u in de eerste twee weken doet
Vier dingen, en de volgorde doet ertoe.
Bevestig de ontvangst en verder niets. Een professionele ontvangstbevestiging is genoeg. Geen toezeggingen over termijnen, geen inschatting van uw positie, geen "we denken dat het wel meevalt". Alles wat u in deze fase zegt over uw eigen gebruik, wordt later het fundament van de claim.
Wijs één aanspreekpunt aan. Vanaf nu loopt alle communicatie via die persoon. Audits leveren hun beste resultaten voor de leverancier op wanneer een systeembeheerder informeel meewerkt aan wat een technisch verzoek lijkt.
Lees uw eigen contract voordat u iets aanlevert. Welke auditbepaling geldt, welke telregels zijn afgesproken, wat is uw eigen entitlementpositie. U hoort te weten wat het antwoord zou moeten zijn voordat u meetgegevens de deur uit doet. Dat lukt alleen als die contracten vindbaar zijn — en dat is precies waar het bij de meeste organisaties misgaat, zoals we eerder beschreven in waar contractwaarde weglekt.
Draai geen scripts van de leverancier zonder schriftelijke afspraak. U weet niet wat ze meten. De uitkomst wordt uw bewijs tegen uzelf. Vraag om de telmethodiek en de SKU-toewijzing op papier voordat er iets draait.
Wat u vooraf in het contract zet
Voor het volgende contract of de volgende verlenging is er een korte lijst die de schade begrenst voordat er iets gebeurt.
Rondom de audit zelf. Beding dertig tot zestig dagen schriftelijke aankondiging en maximaal één onderzoek per twaalf maanden. De uitvoering gebeurt tijdens kantooruren zonder onredelijke verstoring. En de auditor moet voor beide partijen aanvaardbaar zijn en geen belang hebben bij de uitkomst.
Over de methode. Beperk de scope tot systemen die de gelicentieerde producten raken. Leg expliciete telregels vast voor virtualisatie, uitwijkomgevingen en indirect gebruik. En spreek af dat een "health check" of zelfbeoordeling als audit geldt — anders wordt het onderzoek eenvoudigweg anders genoemd.
Over de afwikkeling. Eis een voorlopige bevindingenbrief met dertig tot zestig dagen om te reageren. Beding een herstelperiode waarin u zonder boete kunt terugconfigureren. Laat de leverancier de auditkosten dragen tenzij er een wezenlijke afwijking van vijf tot tien procent blijkt. En leg finale kwijting vast, zodat dezelfde periode niet twee jaar later opnieuw wordt opgevoerd.
Geen van deze punten is exotisch. Ze staan alleen zelden in het contract, omdat de auditbepaling het onderdeel is waar bij de onderhandeling niemand naar kijkt.
De brief is beleefd omdat het een verkoopgesprek is. Behandel hem ook zo.
Let op: de genoemde bepalingen uit de NLdigital Voorwaarden 2025 gelden alleen voor zover die voorwaarden op uw overeenkomst van toepassing zijn verklaard. Laat uw specifieke situatie toetsen door uw juridisch adviseur.