Deals verliezen omdat u geen assurance-rapport kunt tonen: wat nu?

Een offertetraject dat maanden heeft gekost, ligt bijna rond. Prijs, scope en tijdlijn zijn akkoord. En dan komt de laatste e-mail van inkoop, compliance of de CISO van de klant: stuur ons uw laatste SOC 2- of ISAE 3402-rapport, dan kunnen we tekenen. Voor veel groeiende SaaS- en IT-bedrijven is dit geen incident meer, maar een terugkerend patroon dat precies op het verkeerde moment in de dealcyclus opduikt — vlak vóór het tekenmoment, wanneer er geen tijd meer is om het traject nog te starten.

Dit artikel gaat over wat u op dat moment kunt doen, en vooral over hoe u ervoor zorgt dat dit u niet nog een keer overkomt. Voor de bredere context rond assurance en IT-audit verwijzen we naar onze hub-pagina IT-audit & assurance-readiness.

Herkent u dit: de deal stokt bij "stuur uw SOC 2/ISAE-rapport"

Het patroon is bij groeiende B2B- en SaaS-bedrijven inmiddels bekend. Sales heeft de commerciële kant rond, de champion bij de klant is enthousiast, en dan schuift het dossier door naar security- of vendor-risk-review. Daar wordt gevraagd om een specifiek document: een SOC 2-rapport, een ISAE 3402-verklaring, soms simpelweg "een onafhankelijk auditrapport over uw beveiliging". Als dat er niet is, stokt de deal niet per se definitief — maar de doorlooptijd loopt met weken tot maanden op, en in een aantal gevallen haakt de klant alsnog af omdat het eigen inkoopproces geen ruimte biedt voor uitzonderingen.

Herkenbaar is ook de timing: dit soort eisen komt zelden vroeg in het traject naar boven. Vaak wordt het pas expliciet zodra de deal er commercieel al doorheen is, precies op het moment waarop een organisatie het minst geneigd is om nog een maandenlang voorbereidingstraject te starten.

Waarom grote klanten dit steeds vaker eisen

Dit is geen incidentele bureaucratische hobbel, maar een structurele verschuiving in hoe grotere organisaties hun leveranciers beoordelen. Enterprise-klanten, financiële instellingen en investeerders staan zelf onder toenemende druk om aan te tonen dat hun eigen keten — inclusief softwareleveranciers en IT-dienstverleners — aantoonbaar in control is. Een leverancier die "vertrouw ons maar" als enige onderbouwing biedt, is voor een vendor-risk-afdeling simpelweg niet meer acceptabel wanneer een onafhankelijk getoetst rapport wél beschikbaar zou kunnen zijn.

Diezelfde dynamiek speelt bij investeerders en overnamekandidaten tijdens due diligence: een onafhankelijk controlerapport is voor hen sneller te beoordelen en zwaarder te wegen dan een set interne beleidsdocumenten. En bij aanbestedingen wordt een assurance-rapport steeds vaker als expliciet gunningscriterium opgenomen, naast of in plaats van een ISO-certificaat. Wie meer wil weten over wie zo'n rapport eigenlijk mag afgeven en welke standaarden hierachter zitten, kan dat volgens de regels van de beroepsorganisaties NBA (voor registeraccountants) en NOREA (voor RE-auditors) navragen — dit is precies het formele kader waarbinnen ISAE- en SOC-rapporten tot stand komen.

De realiteit: een rapport regelen kost tijd — begin nu, niet bij de volgende deal

De ongemakkelijke waarheid is dat een assurance-rapport niet op bestelling binnen twee weken te leveren is, hoe hoog de deal-druk ook oploopt. Een Type I-onderzoek toetst de opzet van uw beheersmaatregelen op één peildatum en is met een gerichte voorbereiding relatief snel haalbaar. Een Type II-onderzoek — vaak wat grotere klanten en investeerders daadwerkelijk verwachten — vraagt bewijs dat diezelfde maatregelen ook daadwerkelijk hebben gewerkt gedurende een langere observatieperiode, in de praktijk doorgaans zes tot twaalf maanden. Die periode is niet te versnellen door harder te werken; ze moet simpelweg verstrijken terwijl het bewijs wordt opgebouwd.

Dat is precies waarom wachten tot de volgende deal vastloopt, de duurste strategie is. Wie nu start — ook zonder acute dealdruk — heeft bij de volgende klantvraag al een lopend of afgerond traject, in plaats van een leeg dossier en een ongeduldige klant.

Wat sneller kan: een gerichte readiness-sprint

Wat wél te versnellen is, is de voorbereidende fase: de gap-analyse tegen de relevante criteria, het inventariseren en structureren van bestaand bewijs, en het dichten van de meest voor de hand liggende hiaten voordat een formeel onderzoek start. Dat is precies waar Secrotec organisaties onafhankelijk in ondersteunt — met een readiness-sprint die scope bepaalt, bestaande controls in kaart brengt en bewijslast op orde brengt, zodat het formele onderzoek bij de accountant of RE-auditor zonder onnodige vertraging kan beginnen.

Belangrijk om helder te hebben: Secrotec bereidt organisaties voor op een assurance-traject, maar geeft zelf geen ISAE- of SOC-rapport af. Dat onderzoek en de bijbehorende verklaring worden uitgevoerd door een registeraccountant (RA) binnen een NBA-organisatie, een NOREA-geregistreerde RE-auditor, of — voor SOC-rapportages — een licensed CPA-kantoor. Onze rol is de voorbereiding zo grondig te doen dat dat traject soepel en zonder verrassingen verloopt. Afhankelijk van welk rapport uw klant precies verwacht, is de meest gerichte vervolgstap onze SOC 2-readiness-pagina of onze ISAE 3402-voorbereiding-pagina. Twijfelt u nog welk rapport u eigenlijk nodig heeft, of overlapt met een certificaat dat u al heeft? Lees dan ook SOC 2 versus ISO 27001.

Wat u tegen de klant kunt zeggen terwijl u het traject start

Terwijl de voorbereiding loopt, hoeft u de deal niet stil te laten vallen. Wat doorgaans werkt bij een inkoop- of compliance-afdeling, is transparantie in plaats van vermijding: laat concreet zien dat het traject is gestart, met een realistisch tijdpad en een aanspreekpunt. Veel organisaties accepteren tussentijds aanvullend bewijs — een bestaand ISO 27001-certificaat, ingevulde security-questionnaires, of een verklaring over de status van het lopende traject — als overbrugging tot het formele rapport er is. Vermijd vage toezeggingen ("dat regelen we wel snel"); een concreet stappenplan overtuigt een risk- of compliance-afdeling aanzienlijk sneller dan een geruststelling zonder onderbouwing.

Voorkomen dat dit weer gebeurt

De duurzaamste oplossing is dit onderwerp loskoppelen van de waan van de actuele deal. Organisaties die herhaaldelijk tegen deze vraag aanlopen, doen er goed aan assurance-readiness als doorlopend onderdeel van hun compliance-agenda te behandelen in plaats van als brandje bij elke grote klant. Dat betekent: bewijsverzameling inrichten als vast proces, niet als eenmalige exercitie vlak voor een audit, en periodiek toetsen of de gevraagde standaard (SOC 2, ISAE 3402, of iets anders) nog aansluit bij het type klant dat u binnenhaalt. Wie dat eenmaal op orde heeft, verliest geen deals meer op een vraag die met tijdige voorbereiding volledig te beantwoorden was.