IT-outsourcing op ‘as is’ basis: impact voor de contractpraktijk

Stel, de organisatie waar u werkt telt 300 medewerkers die vrijwel allemaal een digitale werkplek hebben. Er zijn honderden verschillende softwareapplicaties in gebruik, die deels op basis van licenties in eigen huis draaien en deels als SaaS uit de Cloud worden betrokken. Op onderdelen zijn uw machinepark en netwerk verouderd of dreigen binnenkort ‘End-of-Life’ te zijn. Uw eigen IT-beheerders blijken onvoldoende vertrouwd te zijn met moderne IT en aanvulling met frisse, meer eigentijdse IT-ers is in een arbeidsmarkt met forse schaarste nauwelijks haalbaar. Uw directie, die sowieso meer focus aan de kernactiviteiten van de organisatie wenst te geven, overweegt daarom ‘een groot deel van de IT’ te gaan outsourcen naar een professionele IT-dienstverlener.

Outsourcingscontract

Om dat mogelijk te maken wordt met een zorgvuldig geselecteerde IT-dienstverlener een outsourcingscontract aangegaan. Daarin wordt, afgestemd op de IT die in huis is, een groot aantal technische, operationele, organisatorische, financiële en juridische onderwerpen geregeld. Outsourcingscontracten zijn er in de praktijk in vele soorten en maten, dus in dat besef is het opstellen van een maatwerkcontract ook hier aan de orde.

Er zullen afspraken worden gemaakt over bijvoorbeeld de vraag welk deel van de bestaande IT van uw organisatie naar de IT-infrastructuur van de dienstverlener ‘verhuist’, welke beheer- en supportdiensten de dienstverlener gaat verlenen en op welke ondersteuning (support) de eindgebruikers mogen rekenen. Niet zelden zijn dergelijke outsourcingscontracten vanwege complexiteit, veelheid aan onderwerpen en vergaande onderlinge afhankelijkheden vuistdik.

Transitie en transformatie

Veel outsourcingstrajecten bestaan – abstract bezien – uit twee fasen. De eerste wordt wel de transitiefase genoemd, de tweede de transformatiefase. Outsourcingscontracten knopen dikwijls aan bij deze niet ongebruikelijke tweedeling. De beide fasen kennen elk hun eigen spelregels over prijzen, tarieven, verantwoordelijkheden, decharge en aansprakelijkheid.

Tijdens de transitie wordt – eenvoudig gezegd – de bestaande IT-infrastructuur fysiek of digitaal naar de IT-dienstverlener verhuisd. Gaat het om veelomvattende of ingewikkelde IT, dan kan zo’n verhuizing, die gewoonlijk projectmatig wordt uitgevoerd, soms wel vele maanden in beslag nemen.

Begrijpelijkerwijs willen de medewerkers van uw organisatie gedurende die tijd kunnen doorwerken op de manier waarop zij gewend waren te doen. Daarom wordt de bestaande IT op basis van een ‘as is’ model door de IT-dienstverlener overgenomen en in beheer genomen. ‘As-is’ houdt in dat de wijze waarop de bestaande IT van uw organisatie functioneert aanvankelijk ongewijzigd of zonder noemenswaardige aanpassingen wordt voortgezet. De IT wordt in zo’n aanpak dus primair overgenomen in de stand waarin deze zich bij uw organisatie als outsourcende partij bevindt. Zie de transitiefase vooral als een overgangsfase.

IT naar een hoger niveau tillen

De outsourcing is, zoals de directie van uw organisatie voor ogen had, echter ook ingegeven door de wens om de kwaliteit van de IT in veel opzichten naar een hoger niveau te tillen. Zo moeten verzoeken van de eindgebruikers voor ondersteuning sneller en beter dan voorheen worden afgewikkeld, de service-levels worden verzwaard, het risico van IT-uitval worden verkleind, de IT-infrastructuur worden geoptimaliseerd, de werkwijze binnen uw organisatie worden aangepast, de IT-security worden opgepoetst, autorisatieprocedures strakker worden ingeregeld et cetera. Dat alles gebeurt op basis van het contract tijdens de transformatie, welke fase veelal pas begint na afronding van de transitie.

De praktijk is evenwel weerbarstig en dus zien we ook wel dat al tijdens de fase van de transitie met een deel van de transformatie wordt begonnen, bijvoorbeeld door de ingebruikneming van nieuwe of andere systemen. Zo’n parallelle aanpak maakt een outsourcingscontract nog eens extra complex.

‘As is’ en oude IT-meuk

Kiest uw organisatie voor een outsourcing op basis van een ‘as is’ transitie, dan ligt het voor de hand dat men ook ‘oude IT-meuk’ bij de dienstverlener naar binnen schuift. Daar kunnen systemen bij zijn die ondermaats zijn beveiligd, waarvoor security-patches niet langer beschikbaar zijn of waarvoor zelfs goede documentatie over de security-opzet ontbreekt. Pas in de fase van de transformatie wordt, na grondige analyse van de zwakke punten of inefficiënties op het gebied van security, de IT-security geheel of gedeeltelijk veranderd of verbeterd.

Outsourcing gaat in zo’n geval dus gepaard met een meer of minder lange overgangsperiode waarin de IT-dienstverlener de ‘as is’ overgenomen IT in de lucht houdt, dus inclusief alle zwakheden en gebreken op het vlak van security. Daaraan kleven uiteraard risico’s, waaronder juridische risico’s. De IT-dienstverlener zal daarom contractuele afspraken willen maken waarin hij de gevolgen van onverhoopte security-incidenten juist tijdens die overgangsperiode zoveel mogelijk van zijn lijf probeert te houden. En dat is begrijpelijk, want het is – gegeven de keuze voor een ‘as is’ aanpak – weinig realistisch als uw organisatie van de dienstverlener zou verwachten dat deze direct al op dag 1 de oude, gebrekkige security van uw organisatie op een hoger niveau heeft.

Security-afspraken

Mede daarom is het zaak om heldere contractuele afspraken te maken hoe en in welk tempo de IT-security in het kader van een professionele transformatie naar een passend niveau wordt opgepoetst. Maar ook wie op de blaren moet zitten als zich in de transitiefase, wat zoals gezegd niet meer is dan een overgangsfase, zich een security-incident voordoet. Het regime rondom security zal in een goed outsourcingscontract een duidelijk onderscheid maken tussen de fase vóór en die na de transitie. Security is op zich al een dynamisch onderwerp, maar in outsourcingscontracten vraagt dat om wel heel bijzondere aandacht.