U wilt escrow? Heel verstandig. Maar van wie? Er is immers veel kaf onder het koren. Elke goede escrow-accountmanager heeft zijn sales-praatje paraat. Maar voordat u een escrow-regeling afsluit wilt u weten hoe het er in de keuken echt aan toe gaat. vijf lastige vragen om door het verkoopverhaal heen te prikken:
1. Heeft u een ISO27001-certificering?
Informatiebeveiliging is de rode draad in de dienstverlening van iedere escrow-provider. Dus is ISO27001 het minimale wat u mag verwachten. Elke piloot heeft toch zeker zijn vliegbrevet? Helaas leert de praktijk anders. Er zijn immers geen wettelijke kaders of richtlijnen van brancheverenigingen waaraan de escrow-provider moet voldoen. Kortom: vrijheid blijheid.
Komt er een positief antwoord op uw vraag naar certificering, laat u dan niet met een kluitje in het riet sturen:
‘Ons datacenter is ISO27001 gecertificeerd.’ Tja, welk datacenter is dat tegenwoordig niet? ‘Onze werkprocessen zijn gebaseerd op ISO27001-standaarden.’ Aardig bedoeld, maar ze zijn dus niet gecertificeerd? ‘Ons moederbedrijf heeft een ISO27001-certificering.’ Pardon? Daar doe ik toch geen zaken mee?
Als informatiebeveiliging een strategische component is van je diensten en je vindt jezelf een professional, dan heb je je allang door alle 114 beheermaatregelen geworsteld en laat je met trots je certificering zien. Een ISO27001-certificering is niet zaligmakend; het niet hebben geeft daarentegen te denken.
2. Zijn uw escrow-regelingen bewezen effectief?
The proof of the pudding is in the eating. Dit gaat natuurlijk ook op voor escrow-oplossingen. Iedere doorgewinterde escrow-provider heeft ermee te maken gehad: de escrow-regeling wordt afgeroepen. Waren updates en verificaties tijdig en effectief uitgevoerd? Was de continuïteit daadwerkelijk gewaarborgd? Vraag om cases en referenties.
3. Wat gebeurt er als u failliet gaat?
Dit is een belangrijke vraag. Ook een escrow-provider kan failliet gaan. ‘Wij zijn beursgenoteerd en gaan niet failliet’ is natuurlijk flauwekul. Net als: ‘Wij zijn een stichting en kunnen niet failliet’.
Serieuze softwarebedrijven zetten escrow-regelingen op. Een escrow-bedrijf zou dat voor de eigen dienstverlening natuurlijk ook kunnen doen, maar is een back-up voor de fall-back niet wat teveel van het goede?
Het juiste antwoord is dat bij faillissement van de escrow-provider een verplichting rust bij de software-vendor om snel opnieuw een gelijkluidende escrow-regeling op te zetten. Simpel en effectief zonder complexe fall-back scenario’s. Het is niet realistisch dat de escrow-provider en de softwareleverancier kort na elkaar failliet gaan; het is in ieder geval een aanvaardbaar risico.
4. Kan ik iemand spreken over de technische processen?
Het is sales-mensen eigen om de zaken zo mooi mogelijk te presenteren. En om de minder fraaie kanten buiten beeld te houden. Vaak krijg je een beter (lees: realistisch) beeld door technische en procesmatige vragen rechtstreeks te stellen aan degenen die het werk daadwerkelijk gaan uitvoeren. Is dat niet mogelijk, dan is het wellicht zaak om maar eens verderop te kijken. En als u deze mensen wel te spreken krijgt, vraag dan of ze full-time in dienst zijn van de escrow-provider, dan wel als ZZP-er of op detacheringsbasis zijn ingehuurd. Ook dan is het ook zaak om verder te kijken. Dat is immers net zoiets als het restaurant dat het koken uitbesteedt.
5. Kunnen we de escrow-overeenkomst wijzigen?
Alles verandert. Ook uw business en uw behoeften. Uw escrow-regelingen mogen niet in de weg zitten. Ze moeten u juist ondersteunen in uw bedrijfsvoering. Luidt het antwoord ontkennend, dan weet u zeker dat escrow gaat knellen. Kunnen wel wijzigingen worden doorgevoerd, vraag dan door naar de kosten en condities. Als eventuele aanpassingen alleen maar tegen hoge kosten doorgevoerd worden, dan zal het financiële plaatje er anders uit komen te zien dan de verkoper u nu presenteert.
Kortom: ga niet over een nacht ijs bij de keuze van een escrow-provider. Zorg dat u het eerlijke verhaal krijgt.
Herman Kui, directeur van Escrow4all
