Hoe je leverancierscontracten beheert

De factuur komt binnen, iemand betaalt hem, en pas daarna kijkt iemand of de prijs, het volume of de looptijd nog klopt met de afspraak. Zo verschuift de uitgave aan leveranciers ongemerkt: een tarievenlijst die is verlopen, een certificaat dat niet is verlengd, een stilzwijgende verlenging die niemand bewust heeft geaccepteerd. Het getekende stuk is nog steeds bepalend. Het gat zit tussen dat stuk en wat finance daadwerkelijk heeft betaald.

Hebt u al getekend met de leverancier, dan is dit de operationele blik, van één facilitaire leverancier tot een portefeuille met software, logistiek en zakelijke dienstverlening. Dit is geen uitleg van het document zelf. Daarvoor begint u bij wat een leverancierscontract is. Bent u nog aan het inkopen en gunnen in plaats van een bestaande overeenkomst te beheren, dan is contractbeheer voor inkoop de betere pagina.

Wanneer en waarom leveranciersbeheer ertoe doet

Een leverancierscontract blijft werk opleveren, elke maand dat het loopt. Prijzen worden volgens een schema geïndexeerd. Serviceniveaus worden gemeten, of ze doen stilletjes niet meer ter zake. Verzekeringscertificaten en securityrapportages verlopen jaarlijks. Een beding over stilzwijgende verlenging rolt de looptijd door als niemand op tijd schriftelijk opzegt, vóór een datum die verstopt zit in een clausule die sinds de ondertekening niemand meer heeft gelezen. Het contract na ondertekening opbergen is geen beheer, want vrijwel alles wat risico of geld met zich meebrengt gebeurt daarna.

De beveiligingskant is sneller veranderd dan de meeste contractprocessen. Het Data Breach Investigations Report (DBIR) 2026 van Verizon, gepubliceerd in mei 2026 op basis van data uit 2025, stelde vast dat de betrokkenheid van derden bij datalekken met 60 procent was gestegen, waarbij datalekken met een derde partij inmiddels goed zijn voor 48 procent van alle datalekken [1]. Daarmee zijn de bepalingen over beveiliging, onderaanneming en meldplicht in een leveranciersovereenkomst operationele beheersmaatregelen in plaats van standaardtekst, en wordt de vraag welke leveranciers uw data onder zich hebben iets dat u binnen enkele minuten moet kunnen beantwoorden.

Toezichthouders redeneren op dezelfde manier over leveranciers. De Europese digitale-operationeleweerbaarheidsverordening, Verordening (EU) 2022/2554 (DORA), is sinds 17 januari 2025 van toepassing en schrijft voor financiële entiteiten voor dat rechten en plichten schriftelijk worden toegedeeld, dat elk ICT-contract een minimumset elementen bevat (een volledige omschrijving van de diensten, de landen waar wordt geleverd en data wordt verwerkt, teruggave van data in een toegankelijk formaat bij faillissement of beëindiging, serviceniveaubeschrijvingen, opzegrechten met minimale opzegtermijnen) en dat er voor kritieke functies exitstrategieën met een verplichte transitieperiode liggen [2]. Die verordening richt zich op financiële entiteiten onder toezicht van DNB en de AFM, niet op elk bedrijf. Het bruikbare deel voor de rest is de vorm: onderhandelen is één fase, en monitoring en exit wegen even zwaar als de handtekening.

Verwerkt een leverancier persoonsgegevens voor u en is de Algemene verordening gegevensbescherming (AVG) van toepassing, dan is het contract niet optioneel. Het Europees Comité voor gegevensbescherming (EDPB) stelt dat de verordening een duidelijke verplichting schept om een schriftelijk contract aan te gaan, dat het ontbreken daarvan een inbreuk op de AVG is, en dat verwerkingsverantwoordelijke en verwerker er beide voor verantwoordelijk zijn dat er een contract of andere rechtshandeling is die de verwerking regelt [3]. De Autoriteit Persoonsgegevens handhaaft dat in Nederland.

U hebt geen honderden leveranciers nodig om een proces nodig te hebben. De praktische drempel ligt waar niemand de data meer in zijn hoofd kan houden: meer dan een handvol contracten, meer dan één budgethouder, of één overeenkomst die groot genoeg is dat een ongewenste verlenging pijn doet.

Wat u vastlegt voordat u begint

Drie dingen moeten bestaan voordat de eerste samenvatting zin heeft: de volledige documentenset, een afgesproken veldenlijst en een benoemde eigenaar per leverancier.

Een leveranciersrelatie is zelden één document. Meestal is het een raamovereenkomst plus opdrachtbevestigingen of werkbeschrijvingen, een service level agreement (SLA), een verwerkersovereenkomst, de algemene voorwaarden van de leverancier waarnaar wordt verwezen, inkooporders, wijzigingen en actuele verzekeringscertificaten. Welke daarvan bepalend is, is een levende vraag. Het Nederlandse recht geeft er een scherpe regel voor. Artikel 6:225 lid 3 BW bepaalt dat als aanbod en aanvaarding naar verschillende algemene voorwaarden verwijzen, aan de tweede verwijzing geen werking toekomt, tenzij daarbij de toepasselijkheid van de eerst genoemde voorwaarden uitdrukkelijk van de hand wordt gewezen [4]. In gewoon Nederlands: wie het eerst verwijst, wint, tenzij de ander de voorwaarden van de eerste expliciet afwijst. En lid 1 voegt toe dat een aanvaarding die van het aanbod afwijkt geldt als een nieuw aanbod en als een verwerping van het oorspronkelijke.

Daarnaast telt of de voorwaarden daadwerkelijk zijn overhandigd. Artikel 6:233 onder b en artikel 6:234 BW maken bedingen vernietigbaar als de gebruiker geen redelijke mogelijkheid heeft geboden om er kennis van te nemen, en het ter hand stellen voor of bij het sluiten van de overeenkomst is de normale manier om dat te doen [5]. Let op de uitzondering: artikel 6:235 lid 1 BW sluit dat beroep uit voor partijen die hun jaarrekening publiceren of vijftig of meer werknemers hebben [5]. Is uw organisatie groot, dan hebt u dit vangnet niet. Leg het bepalende document en de rangorde vast als veld, niet als herinnering.

Spreek daarna de velden af. Voor elke leverancier hetzelfde vastleggen is wat losse documenten omzet in een portefeuille waarop u kunt filteren en rapporteren. Deze dragen het meeste terugkerende werk.

Veld	Waarom het telt
Statutaire namen en datum van ondertekening	Bepaalt wie u kunt aanspreken, en wie een wijziging moet tekenen
Bepalend document en rangorde	Beslist welk stuk voorgaat als raamovereenkomst, opdracht en voorwaarden botsen
Omvang van de goederen of diensten	De basis waartegen u levering en meerwerk afmeet
Soort looptijd: bepaald, doorlopend of rollend	Vertelt of stilte het contract beëindigt of verlengt
Ingangs-, eind- en verlengingsdata	De ruggengraat van elke andere datum in de overeenkomst
Opzegdeadline, adres en wijze van verzending	Hier sneuvelen de meeste opzeggingen, niet op de inhoud
Prijs, plafond op indexatie, valuta	Vertelt wat er verandert, wanneer en met hoeveel
Betalingstermijn en factuurritme	Waar finance en het contract het vaakst niet overeenkomen
Minimale afname of toegezegd volume	Het bedrag dat u betaalt of u het nu gebruikt of niet
Serviceniveaus en remedies	Legt vast wat als tekortkoming geldt en waar u recht op hebt
Audit- en rapportagerechten	Uw enige route naar bewijs als prestaties ter discussie staan
Verwerkersafspraken, subverwerkers, locatie van data	Verplicht bij persoonsgegevens, en de plek waar lekken ontstaan
Beveiligingsverplichtingen en meldtermijn bij incidenten	Maakt van een verwachting een afdwingbare deadline
Verzekering, vrijwaring en aansprakelijkheidsplafond	De omvang van de schade die de leverancier echt heeft aanvaard
Opzeggronden, hersteltermijnen en exitkosten	Of u weg kunt, hoe snel, en tegen welke prijs
Teruggave, verwijdering en transitiehulp	Wat u terugkrijgt, in welk formaat, als het eindigt
Overdracht en zeggenschapswijziging	Regelt wat er gebeurt als de leverancier wordt overgenomen
Interne eigenaar en fiatteur	De persoon die een herinnering moet bereiken

Bepaal tot slot wie wat doet. Eén persoon beheert het leveranciersdossier, één keurt een verlenging of een exit goed, één legt facturen naast de prijsafspraken, één beoordeelt beveiliging en gegevensbescherming, en iemand is bevoegd om te tekenen en een opzegging uit te brengen. Voor de clausulegewijze uitleg van wat deze velden in het document betekenen behandelt wat een leverancierscontract is de anatomie, zodat deze gids dat niet hoeft te doen.

Werkwijze voor leverancierscontracten, stap voor stap

1. Bouw de inventaris op vanuit het geld, niet vanuit het geheugen. Begin bij de crediteurenadministratie en de zakelijke kaartafschriften van de afgelopen twaalf maanden, en koppel aan elke begunstigde een contract. Dit is de stap die de twee situaties vindt die niemand uit zichzelf meldt: uitgaven zonder contract erachter, en contracten die stilzwijgend doorlopen voor een dienst die niemand gebruikt.

2. Vat elke leverancier samen in de afgesproken velden. Werk vanuit de volledige documentketen, leg het bepalende document en de rangorde vast, en noteer welke wijziging welk feit heeft veranderd. Houd een link van de samenvatting naar het bronbestand, zodat iedereen een veld kan controleren tegen de tekst in plaats van op de samenvatting te vertrouwen.

3. Zet de data om in een agenda met aanlooptijd. Zet niet de einddatum in de agenda. Zet de opzegdeadline erin en reken vanaf daar terug met de tijd die uw organisatie echt nodig heeft om te besluiten, akkoord te krijgen en op te zeggen in de vorm die het contract eist. Alles wat jaarlijks terugkomt, zoals verzekeringscertificaten, securityrapportages en prijsherzieningen, krijgt een terugkerende herinnering in plaats van een eenmalige.

4. Wijs eigenaren en toegang toe. Elke leverancier krijgt een benoemde eigenaar en een benoemde fiatteur. Iedereen die het contract nodig heeft moet erbij kunnen zonder te vragen, en niemand die het niet hoeft te wijzigen zou dat moeten kunnen.

5. Leg de facturen naast het contract. Vergelijk de tarieven, het indexatieplafond, het toegezegde volume en het factuurritme met wat er werkelijk in rekening wordt gebracht. Controleer daarna de andere richting: servicecredits waar u recht op had en die u nooit hebt geclaimd. Let ook op de betalingstermijn zelf. Artikel 6:119a lid 5 BW staat partijen toe een uiterste betaaldag van ten hoogste 60 dagen af te spreken, tenzij zij uitdrukkelijk een langere termijn opnemen die niet kennelijk onbillijk is jegens de schuldeiser, en lid 6 maakt een beding nietig waarmee een grote onderneming een mkb-leverancier langer dan 30 dagen laat wachten [6]. Een serviceniveau dat niemand meet is een zin, geen beheersmaatregel.

6. Beoordeel de portefeuille volgens een vast ritme. Voor de meeste teams is per kwartaal genoeg. Kijk naar verlengingen in de komende vier kwartalen, leveranciers zonder eigenaar, samenvattingen die sinds de laatste wijziging niet zijn nagelopen, verlopen certificaten of verouderde verwerkersafspraken, en onopgeloste servicefouten. DORA legt dezelfde gedachte vast voor financiële entiteiten: contracten worden bijgehouden in een register en herzien wanneer het risico verandert [2]. Maak het daarna af: een besluit om weg te gaan dat nooit schriftelijk is uitgebracht, is geen besluit.

7. Voer de exit net zo bewust uit als de start. Als een contract eindigt zijn de vragen elke keer hetzelfde: is uw data teruggegeven of vernietigd, wie betaalt de transitie, welke opzegtermijn gold er, en wat gebeurt er met een resterende licentie of gehost account. DORA vraagt precies dat van financiële entiteiten: toegang tot, herstel van en teruggave van data in een eenvoudig toegankelijk formaat bij beëindiging, en voor kritieke functies een exitstrategie met een verplichte, passende transitieperiode [2]. Dat is ook de lijst die u wilt hebben afgesproken voordat u haar nodig hebt.

Veelvoorkomende faalpatronen

De herinnering hangt aan de einddatum. Een agendapunt op de expiratiedatum is nutteloos als de opzegging negentig dagen eerder moest zijn verstuurd. De opzegdeadline is de werkzame datum, en dat is de datum om te volgen.

Stilzwijgende verlenging wordt als formaliteit behandeld. Het is een standaardinstelling die geld verplaatst. Het Nederlandse vangnet daarvoor geldt niet voor u. Artikel 6:236 onder j BW merkt een beding dat leidt tot stilzwijgende verlenging zonder opzegmogelijkheid met een termijn van ten hoogste een maand aan als onredelijk bezwarend, maar alleen bij een overeenkomst met een natuurlijk persoon die niet handelt in de uitoefening van een beroep of bedrijf [6]. Tussen bedrijven verlengt stilte gewoon. De datum is de enige beheersmaatregel die u hebt.

Niemand is eigenaar van de leverancier. Data die in een gedeelde mailbox binnenkomen bereiken iedereen en niemand. Een herinnering heeft een naam nodig voordat zij als beheersmaatregel telt.

Het contract in het dossier is niet het contract dat wordt uitgevoerd. De inkooporder zegt het ene, de bevestiging van de leverancier het andere, en het werk loopt door op wat het laatst binnenkwam. Artikel 6:225 lid 3 BW beslist dat niet in het voordeel van de laatste: de tweede verwijzing naar algemene voorwaarden heeft geen werking als de eerste niet uitdrukkelijk van de hand is gewezen [4]. De praktische oplossing zit stroomopwaarts: bepaal welk document voorgaat, wijs de andere voorwaarden expliciet af als dat nodig is, en leg het vast.

De verwerkersafspraken ontbreken of zijn algemeen. Waar de AVG geldt is de EDPB expliciet dat de overeenkomst niet slechts de bepalingen van de verordening mag herhalen en in plaats daarvan specifieke, concrete informatie moet bevatten over hoe aan de eisen wordt voldaan en welk beveiligingsniveau vereist is voor de betreffende verwerking [3]. Een verwerkersovereenkomst die artikel 28 terugleest vertelt u niets over wat de leverancier daadwerkelijk met de data doet.

Serviceniveaus worden nooit gemeten en credits nooit geclaimd. De remedies zijn uitonderhandeld, meegenomen in de prijs, en daarna ongebruikt gebleven omdat niemand de prestatiegegevens bijhield. Dit is het faalpatroon met het meeste geld erin en de minste drukte eromheen.

De exit is niet gepland. De opzegrechten bestaan, maar de overgang niet: geen afgesproken exportformaat, geen periode met ondersteuning, geen verdeling van de kosten. De onderhandelingsruimte daarvoor verdwijnt bij ondertekening.

Finance en operatie houden verschillende lijsten bij. Worden het uitgavenoverzicht en het contractregister apart bijgehouden, dan hebben ze allebei deels gelijk. Eén dossier, met de velden die finance nodig heeft erop, is de enige versie die klopt blijft.

Praktische checklist

Gebruik dit als de staande definitie van een leverancierscontract dat onder controle is.

• De volledige documentketen staat op één plek: raamovereenkomst, opdrachten, SLA, verwerkersovereenkomst, wijzigingen, inkooporders, certificaten
• Het bepalende document en de rangorde zijn als veld vastgelegd
• Is naar algemene voorwaarden verwezen, dan is vastgelegd wie het eerst verwees, of de ander ze uitdrukkelijk heeft afgewezen, en of ze ter hand zijn gesteld
• De samenvatting gebruikt dezelfde velden als elke andere leverancier, en elk veld is te herleiden tot een document
• De samenvatting is nagelopen na de laatste wijziging
• Opzegdeadlines, verlengingsdata, prijsherzieningen en certificaatvervaldata zijn alle vastgelegd, niet alleen de einddatum
• Elke datum heeft een herinnering met genoeg aanlooptijd voor het besluit, de goedkeuring en het uitbrengen van de opzegging
• Elke leverancier heeft een benoemde eigenaar en een benoemde fiatteur
• Het adres en de wijze van opzeggen staan bij de deadline, niet weggestopt in het document
• De verwerkersafspraken benoemen de verwerking, de subverwerkers en de locatie van de data, en zijn actueel
• De laatste drie facturen zijn naast de prijsafspraken gelegd, niet alleen goedgekeurd
• De betalingstermijn past binnen wat artikel 6:119a BW toelaat
• Serviceniveaus worden gemeten, en verschuldigde credits zijn geclaimd
• De exitafspraken dekken teruggave van data, transitiehulp en wie betaalt
• Finance en operatie lezen hetzelfde leveranciersdossier

Waar software helpt

Een spreadsheet is een prima begin, en heel wat teams draaien er jarenlang twintig leveranciers in. Hij schiet op een voorspelbaar moment tekort: als een datum een persoon moet bereiken in plaats van in een cel te blijven staan, als finance en legal verschillende toegang tot hetzelfde bestand nodig hebben, als u moet kunnen aantonen wie wanneer een veld heeft gewijzigd, of als niemand meer weet welke van vier kopieën de actuele is.

Waar u op let is weinig spectaculair. Een doorzoekbare opslag voor de documenten zelf. Extractie die contracttaal omzet in velden waarop u kunt filteren. Herinneringen die aan de opzegdatum hangen, zich herhalen en naar benoemde ontvangers gaan. Agendakoppeling, zodat de data verschijnen waar mensen al werken. Rapportage die kan groeperen op leverancier en op waarde. Rechten en een audittrail, zodat toegang en historie feiten zijn in plaats van aannames.

Contracko dekt die vorm van werk. Het contractrepository is een centrale opslag met zoekfunctie, metadata, toegangsrechten en bijlagen, waarin u contracttypen definieert en metadata vastlegt om overeenkomsten te filteren en terug te vinden, het hoofdcontract naast de bijbehorende bestanden bewaart en versies duidelijk markeert. Contractdata-extractie neemt geüploade pdf's, Word-documenten en gescande afbeeldingen en haalt er automatisch data, partijen, waarden, opzegtermijnen en eigen velden uit, met export naar CSV of Excel, wat is wat u wilt als u honderd leveranciers samenvat in plaats van één. Verloopherinneringen volgen expiraties, verlengings- en einddata, kunnen meeverlengen met het contract, en kunnen worden toegewezen aan teamleden zodat de herinnering een persoon bereikt in plaats van een mailbox. Met eigen velden legt u de leveranciersspecifieke gegevens vast die een generiek contractdossier niet heeft, zoals het toegezegde volume, het indexatieplafond of het tarief van de servicecredits.

Voor het portefeuillebeeld toont rapportage verlengingen, leveranciersuitgaven en portefeuillewaarde in één actueel overzicht, met een deellink die uw filters bewaart voor collega's die normaal geen contracttoegang hebben, en een pdf-export voor evaluaties. Clara, de assistent die over de hele werkruimte werkt in plaats van over één document, legt verbanden tussen overeenkomsten bloot, waaronder concentratie bij één leverancier. De prijzenpagina zet uiteen welke mogelijkheden, waaronder de audittrail en de rechtengroepen, bij welk abonnement horen.

Voor één overeenkomst neemt de rekentool voor leverancierscontracten een einddatum en een opzegtermijn en geeft de opzegdeadline, de resterende dagen en hoe urgent het is. Een snelle manier om één verlenging te toetsen zonder iets in te richten.

Volgende stap

Begin met tien leveranciers, niet met tweehonderd. Neem de tien met de grootste jaarlijkse uitgave of de dichtstbijzijnde verlenging, breng per leverancier de volledige documentketen samen, vat ze samen in dezelfde velden, en zet de opzegdeadlines in een agenda met een benoemde eigenaar. Dat is doorgaans genoeg om zichtbaar te maken wat er mis is in de manier waarop de rest wordt behandeld.

Bent u toe aan de hele leveranciersportefeuille op één plek, start dan een gratis proefperiode en upload een representatieve set contracten om de data en kernafspraken in één overzicht terug te zien, met herinneringen die aan de opzegvensters hangen in plaats van aan de einddata. Verwerken uw leveranciers persoonsgegevens, dan behandelt AVG-compliance voor contracten wat u moet volgen, en gaat de gids over de tracker voor contractverplichtingen over toezeggingen die niet aan een datum hangen. Voor de bredere werkgewoonten hierachter is 7 best practices voor contractbeheer het kortere zusterstuk.

Bronnen

[1] Verizon. Betrokkenheid van derden bij datalekken met 60 procent gestegen, goed voor 48 procent van alle datalekken, in het Data Breach Investigations Report 2026, gepubliceerd op 19 mei 2026 op basis van data uit 2025. verizon.com/about/news/breach-industry-wide-dbir-finds

[2] Europees Parlement en Raad, Verordening (EU) 2022/2554 (DORA), van toepassing sinds 17 januari 2025 (artikel 28 over exitstrategieën en artikel 30 over verplichte contractbepalingen, voor financiële entiteiten). eur-lex.europa.eu/eli/reg/2022/2554/oj

[3] Europees Comité voor gegevensbescherming, Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG, versie 2.1, vastgesteld op 7 juli 2021 (schriftelijk contract verplicht, ontbreken is een inbreuk, en het mag de verordening niet louter herhalen). edpb.europa.eu/system/files/documents/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf

[4] Burgerlijk Wetboek Boek 6, artikel 225 (afwijkende aanvaarding geldt als nieuw aanbod; bij verwijzing naar verschillende algemene voorwaarden heeft de tweede verwijzing geen werking zonder uitdrukkelijke afwijzing van de eerste). wetten.overheid.nl/BWBR0005289

[5] Burgerlijk Wetboek Boek 6, artikelen 233, 234 en 235 (redelijke mogelijkheid tot kennisname en ter hand stellen, vernietigbaarheid, en uitsluiting voor ondernemingen met een gepubliceerde jaarrekening of vijftig of meer werknemers). wetten.overheid.nl/BWBR0005289

[6] Burgerlijk Wetboek Boek 6, artikel 236 onder j (stilzwijgende verlenging, alleen bij consumenten) en artikel 119a leden 5 en 6 (betaaltermijn van ten hoogste 60 dagen, en nietigheid van een langere termijn dan 30 dagen bij een grote afnemer en een kleinere leverancier). wetten.overheid.nl/BWBR0005289

De afbeeldingen in dit artikel zijn gegenereerd met behulp van AI.