IT-audit en proces-audit combineren bij 150 medewerkers

Een bedrijf met 150 medewerkers zit in een ongemakkelijke zone. Groot genoeg dat niemand nog het volledige plaatje in zijn hoofd heeft. Klein genoeg dat de verspilling nergens opvalt, want ze zit verspreid over vijf of zes afdelingen die er elk van uitgaan dat een ander er wel op let.

Neem een groothandel in technische onderdelen. Honderdvijftig mensen, een magazijn, een binnen- en buitendienst, een finance-team, twee mensen op IT. Op een gewone dinsdag loopt daar een order vast tussen sales en het magazijn, omdat iemand een bestelling met de hand overtikt van het ene systeem in het andere. Niemand ziet dat als een probleem. Het is gewoon hoe het gaat.

Een IT-audit vertelt u wat die dinsdag kost aan software. Een proces-audit vertelt u waarom dat overtikken bestaat. Apart geeft elk van de twee u de helft van het antwoord. Samen krijgt u de rekening én de reden, en pas dan kunt u beslissen wat u schrapt in plaats van wat u iets goedkoper onderhandelt.

Waarom de twee samen horen

Een IT-audit brengt vier dingen in kaart: wat u betaalt, welke contracten lopen, wie de tools echt gebruikt, en waar de gaten in uw beveiliging zitten. Het is een inventaris met prijskaartjes eraan. Nuttig, maar op zichzelf stuurloos, want een inventaris zegt u niet welke tool u eigenlijk nodig hebt.

Een proces-audit doet het omgekeerde. Die volgt hoe het werk echt loopt, niet zoals het in de procedure staat maar zoals de mensen het elke dag doen. Met de export naar Excel omdat het rapport in het systeem niet klopt. Met de mail naar de collega die niet in het pakket mag. Met het dubbel intikken omdat twee systemen elkaars taal niet spreken. Dat overtikken van de dinsdagbestelling staat in geen enkele procedure, en toch gebeurt het honderd keer per week.

Leg de twee naast elkaar en het patroon springt eruit. Een tool kost geld omdat een processtap erom vraagt. Schrap de stap en de kost verdwijnt mee. Dat is de reden om beide audits samen te doen en niet na elkaar. Wie eerst de IT auditeert en pas maanden later naar het proces kijkt, onderhandelt intussen al contracten voor stappen die beter waren geschrapt.

De grootste fout die u hier kunt maken is een slecht proces automatiseren. Dan koopt u software om een probleem sneller te laten gebeuren. U betaalt twee keer: één keer voor de tool, en één keer voor de tijd die het rommelige proces blijft opslokken, nu met een abonnement erbovenop.

Waarom 150 medewerkers het kantelpunt is

Onder de vijftig medewerkers kent één iemand nog het hele bedrijf. De zaakvoerder of de IT-verantwoordelijke weet welke tools er draaien, wie waarvoor betaalt en waar de wachtwoorden liggen. De verspilling bestaat ook daar, maar ze past nog in één hoofd, en dus wordt ze gecorrigeerd zodra ze pijn doet.

Bij 150 klopt dat beeld niet meer. U hebt echte afdelingen, elk met een eigen budget en een eigen bankkaart. Sales koopt een uitbreiding op het CRM, marketing een designtool, finance een rapporteringspakket, en niemand legt die drie ooit naast elkaar. Dat heet shadow-IT, en op deze schaal is het geen uitzondering maar de standaardtoestand.

Er is bovendien niemand die de volledige stack bezit. De IT-verantwoordelijke kent de servers en de centrale systemen, maar niet het abonnement dat sales vorig kwartaal met een bedrijfskaart nam. De afdelingshoofden kennen hun eigen tools, maar niet wat die samen kosten. Precies daarom lekt het geld: iedereen bewaakt zijn eigen stukje en niemand het geheel.

Op deze schaal komt er ook een juridische grens bij. NIS2 brengt bedrijven vanaf ongeveer 50 medewerkers binnen de scope, met onder meer een meldplicht bij incidenten (NIS2). Een bedrijf met 150 FTE valt daar met zekerheid onder, klaar of niet. Beveiliging is dan geen IT-hobby meer maar een wettelijke verplichting met een deadline.

Daarom meet u nu, en niet volgend jaar. Groot genoeg dat de lekken structureel zijn geworden en niet meer vanzelf dichtgaan. Klein genoeg dat u ze in één gecoördineerde ronde in kaart brengt, zonder een transformatieproject van achttien maanden dat zijn eigen kosten meebrengt.

Wat u meet, per team

Een audit die op het niveau van 'de IT' blijft hangen, mist de helft van het geld. De kosten en de verloren tijd zitten niet in de serverruimte maar in wat elk team dag na dag doet. Daarom meet u per functie, en kijkt u bij elke afdeling naar zowel de rekening als het werk erachter.

Directie

De directie beslist vandaag te vaak op onderbuik, simpelweg omdat de cijfers ontbreken. U kunt niet schrappen wat u niet ziet. Een audit geeft u geen dashboard met veertig KPI's maar één overzicht: wat de technologie kost, waar de tijd verdwijnt, en welke drie ingrepen het meeste opleveren. Een lijst die kort genoeg is om er een handtekening onder te zetten en er de maandag erna naar te handelen.

Het tweede wat de directie eruit haalt, is grip op risico. Geen afhankelijkheid van één leverancier, geen verrassingen bij een controle van buitenaf, en een beveiliging die klopt met wat NIS2 vraagt. Dat zijn geen IT-details, dat zijn bestuursvragen.

Finance

Finance kijkt vaak naar het verkeerde getal. De vraag is niet wat een systeem ooit gekost heeft om aan te kopen, maar wat de stack elke maand blijft opsouperen: de run-rate. Daar zit het lek. 20 tot 30% van de IT-uitgaven is verspilling, en meer dan de helft van de SaaS-licenties blijft ongebruikt (Flexera, 2024).

Dat zijn licenties die blijven meelopen voor mensen die al vertrokken zijn, abonnementen die jaarlijks automatisch verlengen zonder dat iemand de opzegknop nog vindt, en drie tools die in de praktijk hetzelfde doen omdat drie afdelingen ze los aankochten. Finance plakt er een bedrag op, en dat bedrag maakt van een vaag gevoel een concreet gesprek.

IT

IT beheert een stack die niemand ooit als geheel ontworpen heeft. Een gemiddeld bedrijf draait ongeveer 106 SaaS-applicaties (BetterCloud, 2024), en de meeste zijn er sluipend bij gekomen, tool per tool, jaar na jaar. Onder die wildgroei zit technische schuld: verouderde systemen, koppelingen met plakband, code die niemand nog durft aan te raken. Die schuld bedraagt 20 tot 40% van de waarde van het volledige technologielandschap, en 10 tot 20% van het budget voor nieuwe zaken gaat op aan het wegwerken ervan (McKinsey, 2020).

De tweede vraag voor IT is toegangsbeheer. Wie heeft toegang tot wat, en klopt dat vandaag nog? Op 150 mensen en ruim honderd applicaties is dat geen administratieve formaliteit maar de kern van uw beveiliging. Het is ook het punt waar de audit van IT en die van HR elkaar raken, zoals verderop blijkt.

Operations

Operations is waar de tijd verdwijnt, en tijd is de grootste verborgen kost van allemaal, omdat ze op geen enkele factuur staat. Kenniswerkers zijn bijna 20% van hun werkweek, ongeveer één volledige dag, kwijt aan het zoeken naar interne informatie (McKinsey, 2012). Reken dat om naar uw operatie: dat is één dag per persoon per week die nergens geboekt wordt.

Meet daarom niet alleen de licentie maar de handeling. Hoe vaak wordt hetzelfde gegeven overgetikt? Hoe lang staat die dinsdagorder stil tussen sales en het magazijn? Waar wacht iemand op een goedkeuring die per mail moet komen en pas na de lunch gelezen wordt? Die wachttijd is echt, ze is groot, en ze is bijna altijd op te lossen zonder één nieuwe tool aan te kopen.

Sales

Verkopers besteden minder dan 30% van hun tijd aan echt verkopen. De rest gaat op aan administratie, het invullen van het CRM en interne vergaderingen (Salesforce). Wie dat leest als 'de verkopers werken te weinig', kijkt verkeerd. Het CRM is meestal het probleem: het is gebouwd om het management te laten rapporteren, niet om de verkoper sneller tot een handtekening te brengen.

In de audit volgt u één offerte van eerste contact tot getekend order. U ziet dan haarfijn waar de tijd weglekt: het dubbel intikken van klantgegevens die al ergens anders staan, het met de hand samenstellen van een offerte, het najagen van een interne korting die iemand moet goedkeuren. Elk van die stappen is een kandidaat om te schrappen of te automatiseren, en elk ervan geeft de verkoper tijd terug die hij aan verkopen kan besteden.

HR

HR lijkt ver van IT te staan, tot u naar onboarding en offboarding kijkt. Een nieuwe medewerker aannemen betekent accounts aanmaken over tientallen applicaties. Iemand laten vertrekken betekent al die accounts weer afsluiten. Op een stack van ruim honderd apps is dat handwerk, en handwerk faalt bijna altijd ergens.

Een niet-afgesloten account van iemand die al maanden weg is, is geen HR-detail. Het is een openstaande deur in uw beveiliging, en dus meteen een IT- en securityprobleem met een naam erop. Onboarding en offboarding horen daarom thuis in dezelfde audit als het toegangsbeheer van IT, niet in een apart HR-mapje dat niemand naast de rest legt.

Hoe u het uitvoert

Reken op ongeveer vier weken, niet op een kwartaal. Het begint met scope. U wijst per afdeling één eigenaar aan, iemand die weet hoe het werk daar echt loopt en die ook de tijd krijgt om mee te kijken. Zonder die eigenaar wordt het een oefening van de IT-afdeling alleen, en dan mist u net de helft die ertoe doet: het proces zoals de mensen het echt draaien.

Daarna meet u twee dingen tegelijk. Aan de ene kant de harde cijfers: kosten, contracten, gebruik, wie welke licentie de afgelopen maand ook echt geopend heeft. Aan de andere kant het proces: stap voor stap in kaart, met de wachttijd en het dubbel werk erbij genoteerd. Die twee sporen lopen parallel, want een kost zonder het proces erachter is een getal zonder betekenis, en een proces zonder de kost erbij is een verhaal zonder gewicht.

Het meeste van de waarheid zit niet in de systemen maar bij de mensen. Ga langs bij de verkoper die klaagt over het CRM, bij de magazijnier die de bestelling overtikt, bij de finance-medewerker die elke maand hetzelfde rapport met de hand samenstelt. Zij wijzen in vijf minuten aan waar het schuurt, sneller dan een export ooit zal doen.

Vervolgens scoort u. Elke stap krijgt een kost en een tijd. Zo ziet u niet alleen wat een tool per jaar kost, maar ook dat de processtap eronder drie mensen elke week een halve dag kost. Pas met beide getallen naast elkaar kunt u eerlijk prioriteren, want soms is de goedkope tool de duurste stap.

Het resultaat is een rapport met een baseline: een nulmeting van wat de situatie vandaag kost, in euro en in uren. Die baseline laat u door finance mee ondertekenen. Dat lijkt een formaliteit, maar het is de belangrijkste stap van allemaal. Zonder een cijfer waar directie en finance samen achter staan, kunt u later geen enkele besparing hard maken.

En dan beslist u per vervolgstap, telkens opnieuw: go of no-go. Geen groot plan dat u in één keer goed- of afkeurt, maar een reeks losse beslissingen, elk met een eigen prijskaartje en een eigen opbrengst. De audit zelf blijft vendor-neutraal. Ze vertelt u wat te doen, niet welk merk u moet kopen. Dat is een verschil dat u later veel geld scheelt.

De valkuilen

De eerste valkuil kent u intussen: een slecht proces automatiseren. Software legt een rommelig proces niet recht, ze giet het in beton en zet er een maandelijkse factuur onder. Breng eerst het proces op orde, koop daarna pas de tool die eronder past.

De tweede is de baseline overslaan. Wie meteen naar oplossingen springt zonder eerst de nulmeting vast te leggen, kan achteraf nooit bewijzen dat er iets bespaard is. Geen baseline, geen bewijs, en dus geen mandaat voor de volgende stap. De besparing wordt dan een kwestie van geloof, en geloof overtuigt geen directiecomité.

De derde is enkel de IT auditeren en het proces laten liggen. Dan krijgt u een nette lijst met licenties om over te onderhandelen, en mist u precies de stappen die de helft van die licenties overbodig maken. U wint dan tien procent op de prijs waar u honderd procent van de kost had kunnen schrappen door de stap zelf weg te halen.

De vierde is de big bang. Alles tegelijk aanpakken in één groot transformatieprogramma met één grote handtekening eronder. Precies zo lopen de projecten waar het misgaat. Grote softwareprojecten gaan gemiddeld 45% over budget en leveren 56% minder waarde dan beloofd (McKinsey en Oxford, 2012). Werk daarom in golven, met een go of no-go na elke golf, zodat u kunt stoppen zodra een spoor niets oplevert.

Wat u eraan overhoudt

Na vier weken houdt u drie dingen over. Een ondertekende baseline, zwart op wit, waar directie en finance samen achter staan. Een geprioriteerde lijst van wat geld en tijd kost, met het grootste lek bovenaan. En bij elk punt op die lijst een heldere beslissing: bouwen, schrappen of houden.

Dat is het echte resultaat, en niet het rapport zelf. Geen document dat in een lade verdwijnt tot de volgende reorganisatie, maar een besluit waar u de maandag na de audit mee aan de slag kunt. U weet welke drie dingen u eerst aanpakt, wat ze kosten en wat ze opleveren. Die dinsdagorder die vastliep tussen sales en het magazijn: u weet nu wat het overtikken kost en of het de moeite loont om het weg te halen.

Zo pakt YK het aan. Begin met een IT FinOps audit die de kost én het proces samen in kaart brengt. Bouw daarna in golven met een go of no-go verder, zodat u nooit meer op één grote handtekening gokt, aan één platform in eigendom dat in uw eigen repo staat en van u blijft. En reken de run-rate door met de kostencalculator voor u de eerste stap zet.

Meten is niet het doel. Beslissen is het doel, en u kunt niet beslissen over wat u niet ziet.