De Nederlandse overheid werkt aan een eigen digitale werkomgeving die de afhankelijkheid van grote buitenlandse technologieleveranciers moet verkleinen. Onder de naam Digitaal Autonome Werkomgeving Overheid (DAWO) wordt gewerkt aan een werkomgeving op basis van NixOS, aangevuld met kantoorsoftware, samenwerkingsapplicaties, clouddiensten en beheertools. De eerste pilots vinden inmiddels op kleine schaal plaats bij Nederlandse overheden.

Het initiatief past in een discussie die al langer speelt. Organisaties zijn voor een steeds groter deel van hun dagelijkse bedrijfsvoering afhankelijk geworden van een relatief klein aantal ICT-leveranciers. Cloudomgevingen, werkplekken, bedrijfssoftware, beveiliging, dataopslag en samenwerkingstools worden grotendeels extern geleverd. Dat heeft organisaties veel gebracht. Ze hoeven lang niet alle specialistische kennis zelf in huis te hebben en kunnen gebruikmaken van technologie die continu wordt doorontwikkeld.

Tegelijkertijd ontstaat daarmee een nieuwe managementvraag: hoeveel regie heeft de organisatie zelf nog over haar ICT?

Dat is uiteindelijk een interessantere vraag dan de discussie over Microsoft, Linux, Europese cloudproviders of open source. Een organisatie hoeft helemaal niet volledig technologisch onafhankelijk te worden. Dat is voor de meeste organisaties ook niet realistisch. Wel moet duidelijk zijn waar afhankelijkheden zitten, welke risico's daaraan verbonden zijn en welke mogelijkheden er nog bestaan wanneer een leverancier, contract of oplossing niet langer passend is.

Digitale autonomie wordt regelmatig uitgelegd als het zoveel mogelijk gebruiken van Nederlandse of Europese technologie. Daarmee wordt het begrip te beperkt. De Rijksinspectie Digitale Infrastructuur (RDI) omschrijft digitale autonomie juist vanuit keuzevrijheid en regie. Een organisatie moet grip hebben op haar digitale afhankelijkheden en voldoende mogelijkheden behouden om andere keuzes te maken.

Dat is ook de lijn die vijf Nederlandse toezichthouders deze zomer gezamenlijk naar buiten brachten. ACM, AFM, AP, DNB en RDI riepen bedrijven en overheden op om digitale autonomie nadrukkelijker mee te wegen bij de inkoop van ICT-diensten. Zij wijzen onder andere op open standaarden, interoperabiliteit en de mogelijkheid om van leverancier te kunnen wisselen.

Daarmee verschuift de discussie van de nationaliteit van een leverancier naar de positie van de opdrachtgever.

Een Amerikaanse cloudleverancier hoeft vanuit dat perspectief niet automatisch een verkeerde keuze te zijn. Andersom betekent kiezen voor een Nederlandse of Europese leverancier ook niet automatisch dat een organisatie voldoende grip heeft. Het gaat erom dat de organisatie weet welke afhankelijkheden zij aangaat en of zij daar zelf nog op kan sturen.

Juist daar kan door de jaren heen ongemerkt veel veranderen.

Vrijwel geen enkele organisatie besluit op maandagochtend om voor de komende tien jaar volledig afhankelijk te worden van één ICT-leverancier. Die afhankelijkheid ontstaat meestal geleidelijk.

Een organisatie kiest een nieuw platform. Vervolgens komt daar een aanvullende module bij. Een paar jaar later wordt een koppeling gebouwd met een ander systeem. De leverancier neemt ook het beheer over. Data wordt naar dezelfde cloudomgeving gebracht en medewerkers raken gewend aan specifieke functionaliteiten. Ondertussen wordt specialistische kennis steeds minder intern onderhouden, omdat de leverancier die kennis toch al heeft.

Iedere afzonderlijke beslissing kan op dat moment volkomen logisch zijn.

Pas jaren later wordt zichtbaar hoe sterk alles met elkaar verweven is geraakt. Een overstap betekent dan veel meer dan een contract beëindigen. Data moet worden gemigreerd, koppelingen moeten opnieuw worden gebouwd, medewerkers moeten anders gaan werken en kennis moet opnieuw worden opgebouwd. Soms blijken bepaalde processen zo ingericht rondom één oplossing dat een alternatief op papier wel bestaat, maar praktisch nauwelijks uitvoerbaar is.

Dat is vendor lock-in in de praktijk. Het probleem zit daarbij niet per definitie in de leverancier. Een leverancier kan uitstekend werk leveren en jarenlang een waardevolle partner zijn. Het risico ontstaat wanneer de organisatie zelf nauwelijks nog kan overzien wat er gebeurt als zij ooit een andere keuze wil of moet maken.

Een eenvoudige manier om naar ICT-afhankelijkheid te kijken, is door een ongemakkelijke hypothetische vraag te stellen: wat gebeurt er als een belangrijke leverancier morgen niet meer beschikbaar is?

Kan de organisatie dan bij haar data? Is duidelijk welke systemen geraakt worden? Zijn configuraties, documentatie en toegangsrechten beschikbaar? Weet iemand welke onderleveranciers betrokken zijn? Kunnen essentiële bedrijfsprocessen tijdelijk op een andere manier doorgaan? En hoe lang zou het duren voordat een alternatief operationeel is?

Dit zijn geen vragen die alleen relevant zijn bij een faillissement. Een cyberincident, geopolitieke ontwikkeling, overname, forse prijsverhoging of wijziging van productstrategie kan dezelfde afhankelijkheid zichtbaar maken.

De RDI legt daar inmiddels nadrukkelijk de koppeling met digitale weerbaarheid. Organisaties moeten hun afhankelijkheden van cloudleveranciers kennen, inzicht hebben in de leveranciersketen en nadenken over concrete exit-scenario's. Daarbij gaat het ook om zaken als toegang tot kritieke systemen, afspraken bij incidenten, onderleveranciers en de locaties waar data wordt verwerkt.

Een exit-strategie is daarmee geen document dat pas relevant wordt wanneer de samenwerking met een leverancier slecht loopt. Het is onderdeel van professioneel ICT-management.

Een hoge tevredenheid over een ICT-leverancier zegt weinig over de mate van afhankelijkheid.

Sterker nog, bij een goede samenwerking kan afhankelijkheid juist gemakkelijker groeien. Als een leverancier snel reageert, veel kennis heeft en problemen goed oplost, is het logisch om steeds meer bij dezelfde partij onder te brengen. Dat kan operationeel heel efficiënt zijn.

Voor het management blijft vervolgens de vraag bestaan of de organisatie voldoende tegenwicht en eigen kennis heeft georganiseerd.

Wie beoordeelt bijvoorbeeld of een voorgestelde uitbreiding daadwerkelijk nodig is? Wie kan een prijswijziging inhoudelijk beoordelen? Wie bepaalt of een nieuwe module de beste oplossing is of vooral de meest voor de hand liggende oplossing binnen het bestaande ecosysteem? En wie kijkt periodiek of de gekozen ICT-inrichting nog past bij de koers van de organisatie?

Dat hoeft geen wantrouwen richting een leverancier te betekenen. Goede leveranciers verwachten juist dat een professionele opdrachtgever weet wat hij wil en kritische vragen stelt.

Leveranciersregie gaat daarom verder dan controleren of SLA's worden gehaald en facturen overeenkomen met het contract. Het gaat ook over het bewaken van de strategische positie van de organisatie.

Uitbesteden van ICT is voor veel organisaties logisch. Specialistische kennis over cloud, security, infrastructuur en software is kostbaar en verandert snel. Het is niet realistisch om alle expertise intern op te bouwen.

De organisatie moet echter wel voldoende kennis behouden om opdrachtgever te kunnen zijn.

Dat onderscheid is belangrijk. U hoeft niet zelf iedere server te beheren, maar iemand moet kunnen beoordelen of de gekozen infrastructuur past. U hoeft niet zelf software te ontwikkelen, maar iemand moet kunnen bepalen welke functionaliteit werkelijk nodig is. U hoeft geen specialist te zijn in ieder licentiemodel, maar iemand aan uw kant van de tafel moet kunnen beoordelen welke commerciële en technische consequenties een voorstel heeft.

Wanneer vrijwel alle inhoudelijke kennis bij de leverancier zit, ontstaat een bijzondere situatie. De leverancier adviseert welke oplossing nodig is, levert die oplossing, beheert haar vervolgens en rapporteert uiteindelijk over de prestaties ervan.

Dat kan jarenlang goed gaan. De kwetsbaarheid wordt pas zichtbaar wanneer belangen niet volledig meer parallel lopen of wanneer de organisatie een andere richting op wil.

Veel vendor lock-in ontstaat niet tijdens het beheer, maar tijdens de oorspronkelijke selectie van een oplossing of leverancier.

Op dat moment ligt de nadruk begrijpelijkerwijs vooral op functionaliteit, prijs, implementatie en kwaliteit. De mogelijkheid dat de organisatie vijf of tien jaar later misschien weer afscheid wil nemen, voelt nog ver weg.

Toch is juist tijdens een aanbesteding of leveranciersselectie de onderhandelingspositie het sterkst.

Hoe eenvoudig kan data worden geëxporteerd? In welk formaat gebeurt dat? Welke kosten zijn verbonden aan een exit? Wie is eigenaar van maatwerk en configuraties? Kunnen andere leveranciers aansluiten op de gekozen oplossing? Worden open standaarden ondersteund? Welke ondersteuning levert de leverancier bij een toekomstige migratie? En hoe afhankelijk wordt de organisatie van specifieke kennis die alleen deze leverancier bezit?

Dat zijn geen vragen voor het moment waarop het contract wordt opgezegd. Dan is een belangrijk deel van de bewegingsruimte al verdwenen.

Digitale autonomie begint daarom voor een belangrijk deel bij goed opdrachtgeverschap tijdens de selectie en contractering van ICT.

Of DAWO uiteindelijk op grote schaal binnen de Nederlandse overheid wordt gebruikt, zal de komende jaren moeten blijken. De eerste pilots zijn nog beperkt en er is op dit moment geen vastgesteld tijdpad voor brede implementatie.

Toch is het initiatief interessant. De Nederlandse overheid investeert blijkbaar voldoende tijd en middelen in digitale autonomie om daadwerkelijk alternatieven te ontwikkelen en te testen. Daarmee wordt afhankelijkheid van technologie niet langer uitsluitend als een technisch of inkoopvraagstuk gezien. Het wordt een strategisch onderwerp.

Die ontwikkeling is ook buiten de overheid relevant. Niet iedere organisatie hoeft een eigen besturingssysteem te ontwikkelen. Ook hoeft niet iedere organisatie afscheid te nemen van grote internationale technologiebedrijven. Voor veel organisaties zullen bestaande oplossingen gewoon de beste keuze blijven.

De relevante vraag is of die keuze bewust wordt gemaakt en periodiek opnieuw kan worden beoordeeld.

Volledige onafhankelijkheid van ICT-leveranciers is voor vrijwel geen enkele moderne organisatie realistisch. Dat hoeft ook niet het doel te zijn. Samenwerken met gespecialiseerde leveranciers is juist een belangrijk onderdeel van professionele ICT.

Het verschil zit in de mate van regie.

Een organisatie met grip weet welke leveranciers cruciaal zijn, welke systemen van elkaar afhankelijk zijn, waar data zich bevindt, welke contractuele verplichtingen gelden en welke alternatieven beschikbaar zijn. Zij heeft voldoende kennis georganiseerd om voorstellen van leveranciers kritisch te beoordelen en weet wat er nodig is wanneer een samenwerking ooit verandert.

Een organisatie zonder die grip ontdekt haar afhankelijkheid meestal pas wanneer zij eruit probeert te stappen. Daarom is de discussie over digitale autonomie uiteindelijk veel groter dan de vraag of Nederland een alternatief voor Windows en Office nodig heeft.

De interessantere vraag ligt dichter bij huis: Als uw organisatie morgen een andere ICT-keuze wil maken, hoeveel keuze heeft u dan werkelijk nog?

​