2. AI: eerst chaos, dan helderheid
AI is een tweesnijdend zwaard voor kostenoptimalisatie. Aan de positieve kant maakt AI optimalisatie mogelijk die met klassieke,
deterministische regels niet haalbaar was. Tegelijk veroorzaakt AI onvoorspelbare kostenstijgingen en nieuwe governance-vraagstukken.
63% van organisaties trackt inmiddels AI-spend, tegenover 31% in 2024. Dat tempo zegt genoeg. Inhoudelijk zien we dat AI-spend vaak
aanvullend is, niet vervangend: er komt een nieuwe kostenlaag bovenop bestaande tooling, in plaats van dat het oude verdwijnt.
GenAI-features worden ingebouwd in software die je al hebt, en vendoren prijzen dat in.
Tegelijk kan AI-discovery en -analytics traditionele rule-based aanpakken overtreffen. Machine learning kan grote volumes
usage-signalen classificeren, noisy data normaliseren en optimalisatiekansen vinden die je met menskracht niet ziet.
We zeggen al jaren: “don’t boil the ocean”. Laat MSP-expertise focussen op Tier 1 vendoren, en je interne team op Tier 2.
Tier 3 (de long tail) werd historisch genegeerd omdat de handmatige effort de opbrengst niet waard was.
AI geeft nu schaal om Tier 3 wél aan te pakken, al is dit nog in ontwikkeling en niet overal volwassen.
De strategische zet voor 2026 is snelheid: agentic en AI cost-optimized capabilities implementeren vóórdat AI-driven kosten exponentieel doorpakken.
3. Audits: meet je risico
Audit risk en financiële exposure zitten op een niveau dat executive aandacht vraagt, maar de aard van die exposure verschilt sterk per vendor, contracttype en relatie. Sommige publishers grijpen snel naar legal notices zodra je pushback geeft op subscriptionvoorwaarden. Andere kiezen een zachtere route via compliance reviews, self assessments of commerciële druk rond renewals.
Oracle blijft duwen op Java per employee pricing, met Gartner dat voorspelt dat 1 op de 5 Java-gebruikende organisaties in 2026 wordt geaudit.
SAP staat bekend om strakke auditpraktijken. Microsoft is grotendeels weg van de klassieke auditbrief omdat subscription revenue via
true-ups en renewals al grotendeels afgedekt is. Maar in de praktijk blijft Microsoft een publisher waar veel audit- en compliance-escalaties
ontstaan, juist door licentiecomplexiteit, cloudtransities en discussie over use rights.
Dat past bij wat Gartner in 2025 veel terugziet in auditgerelateerd klantadvies. De meeste interacties gaan over SAP, IBM, Oracle en Microsoft.
De triggers zijn herkenbaar: grote renewals of contractwijzigingen, migraties richting cloud, verschuivingen in consumptiemetrics zoals users,
cores en indirect access, en oude rommel in entitlements en bewijsvoering die nooit echt is opgeruimd.
Daarnaast ziet Gartner ook serieuze, maar meer secundaire auditdruk bij Broadcom, inclusief VMware en CA. Zeker na acquisities,
contractherstructurering, supportwijzigingen en de stap van perpetual naar subscription, en helemaal wanneer klanten afbouwen of willen uitstappen.
Red Hat komt vooral terug in subscription compliance reviews en self assessments, vaak rond OpenShift en het alignen van enterprise subscriptions
met werkelijk gebruik. OpenText is meer situationeel en komt vooral op tafel bij contractevents, acquisities en consolidatie van legacy-portfolio’s.
Rocket Software zie je relatief vaak in mainframe- en legacy-omgevingen, waar oude voorwaarden en versnipperde entitlement administratie het risico vergroten.
AWS en Google auditen klanten niet op third-party software license compliance en doen niet mee aan vendor audits. Daardoor verschuift de druk in
de cloud juist naar je eigen governance. Wie draait wat, onder welke rechten, hoe meet je het, en wie betaalt het.
Dit gemengde landschap is precies waarom holistische visibility nodig is over je hele IT estate. Niet alleen compliance als vinkje, maar één
reproduceerbare dataketen die SAM, ITAM en FinOps verbindt. Zodat je vendorrelaties expliciet maakt, audittriggers vroeg ziet, non-compliance
aantoonbaar kunt isoleren en optimalisatiekansen prioriteert op euro-impact en risico.
Klanten willen hier niet meer afhankelijk zijn van coulance van de leverancier. Ze willen aantoonbare entitlements, meetbaar verbruik en
onderhandelingsruimte op basis van feiten. Auditdruk verschilt per organisatie en wordt in de praktijk vooral bepaald door omvang,
contracthistorie, commerciële houding, geografie en veranderingen in gebruik en spend.
4. SaaS sprawl: governance als doel
Organisaties onderschatten structureel hun SaaS sprawl. Veel enterprises denken dat ze tussen de 500 en 1000 SaaS vendors en applicaties draaien,
om er vervolgens achter te komen dat het dichter bij 1000 tot 2000 ligt.
Minder dan de helft van geprovisioneerde licenties wordt actief gebruikt of is nog correct toegewezen aan mensen die van rol zijn veranderd
of uit dienst zijn. Dat betekent jaarlijks miljoenen aan spend in ongebruikte of onderbenutte subscriptions. Naast kosten is SaaS sprawl ook
een erkend risico: shadow IT groeit precies waar governance niet kan volgen.
Monitoring wordt makkelijker doordat cloud marketplaces SaaS-aankoop en governance centraler maken. Dat geeft visibility waar governance kán werken.
De keerzijde is dat marketplaces aankoop frictieloos maken, waardoor je alsnog eindigt met meer tooling, ook als je het beter kunt meten.
Toch is SaaS spend control low hanging fruit. Cancellations en tier downgrades leveren vaak direct resultaat op in de volgende billing cycle.
Richtlijnen suggereren dat 8–15% van de maandelijkse SaaS spend terug te halen is in de eerste 1–4 weken, mits je de juiste signalen,
eigenaarschap en besluitvorming op orde hebt.
5. Datasoevereiniteit: EU-hosting is baseline, maar niet het hele verhaal
Voor publieke organisaties is “data in de EU” een harde randvoorwaarde. In de praktijk lost dat niet alles op: datacenters kunnen in de EU staan,
maar de hyperscalers die ze runnen zijn vaak Amerikaanse bedrijven. Door geopolitieke spanning, Schrems II en NIS2 kijken bestuurders steeds
meer naar wie juridische en operationele invloed heeft op toegang, support, telemetry en subverwerkers.
Dit zie je ook in SAM- en ITAM-discussies, omdat deze platformen gevoelige data verwerken: inventaris- en configuratiegegevens, gebruikers- en
rolinformatie, usage-signalen, contract- en entitlementdata en soms zelfs security-telemetrie. Voor organisaties die van on-prem naar SaaS
bewegen voelt die stap soms als controle inleveren, tenzij governance en bewijsvoering vooraf zijn ingericht. IDC benoemt dit als noodzaak
voor een geloofwaardig “Plan B”: niet om morgen uit te voeren, maar om aan auditors en toezichthouders te laten zien dat het kán.
De logische vervolgstap is om datasoevereiniteit expliciet onderdeel te maken van het ITAM- en FinOps-operating model. Niet als losse
compliance-discussie, maar als risicogestuurd besluitvormingsproces. Denk aan EU-only support, key-management, segregatie, monitoring,
assurance-niveaus, en het modelleren van kosten, lock-in risico’s en TCO.
Een actueel voorbeeld is de beoogde overname van het Nederlandse cloudbedrijf Solvinity
door het Amerikaanse Kyndryl. Zelfs als de overheid formeel eigenaar en beheerder blijft,
verandert bij change of control het risicoprofiel: wie heeft in de praktijk macht over beheerhandelingen zoals privileged access voor support,
patching, logging en telemetry?
Daar raken ITAM en FinOps het datasoevereiniteitsdebat: ITAM levert het actuele, reproduceerbare databeeld; FinOps maakt de kosten, risico’s,
trade-offs en budgetimpact inzichtelijk. Zo wordt datasoevereiniteit een randvoorwaarde om veilig te moderniseren.
Datasoevereiniteit maakt zo de brug naar 2026 compleet: ITAM en FinOps leveren het stuurmodel, AI vergroot de schaal,
audit-defensie beschermt kapitaal, SaaS-governance pakt verspilling aan en datasoevereiniteit voorkomt dat modernisering vastloopt op vertrouwen
en bewijsbaarheid.