Waarom één keer opruimen niet werkt

Een opschoonactie voelt als een resultaat. Tachtig licenties eruit, een mooie regel in het kwartaaloverzicht, iedereen tevreden. Een jaar later staat de teller op dezelfde hoogte, soms hoger. Niet omdat de actie slecht was, maar omdat de instroom nooit is aangepakt.

Dit artikel gaat over die instroom: waar de licenties vandaan komen, welke routine ze tegenhoudt en welke instellingen in je eigen beheeromgeving het werk overnemen.

Waarom loopt een opgeruimde licentieadministratie binnen een jaar weer vol?

Omdat de mechanismen die het overschot veroorzaakten na de opschoning gewoon doorlopen. Elke nieuwe medewerker krijgt de standaardbundel, elk afgerond project laat licenties achter en elke vertrekker blijft staan tot iemand het ziet. Een opschoning haalt de voorraad weg. De kraan blijft open.

De vier bronnen die we bij vrijwel elke klant terugzien:

• De onboardingstandaard. De IT-afdeling kopieert een sjabloongebruiker. Die heeft de zwaarste bundel, want ooit had iemand die nodig. Bij een bouwbedrijf met 480 mensen was daardoor de hele organisatie op E5 gezet, terwijl de meeste mensen alleen mail en agenda openden.
• Licenties voor de zekerheid. Bij de verlenging gaat het aantal van vorig jaar erin, plus een marge. Niemand wil de collega zijn die een nieuwe medewerker zonder licentie laat zitten. Die marge staat elk jaar op de factuur.
• Projecten die eindigen. Een tender, een BIM-model, een migratie. Voor de duur van het project krijgen vijf mensen Revit of Bluebeam. Het project stopt, de licenties blijven.
• Uit dienst zonder koppeling. HR weet het, IT hoort het later en bij de leverancier komt het nooit aan. Bij een installatiebedrijf met 340 medewerkers stond bijna de helft van 214 inactieve licenties op mensen die al weg waren.

Reken het eens door voor een organisatie van 340 mensen met 8% verloop. Dat zijn 27 vertrekkers per jaar. Blijft elke licentie gemiddeld 90 dagen staan, dan betaal je 27 × 90/365 × € 2.500 = ongeveer € 16.600 per jaar voor mensen die er niet meer werken. Dat bedrag komt terug, elk jaar, zolang de koppeling ontbreekt. En dan tel je de onboardingstandaard en de projectlicenties nog niet eens mee.

Flexera meldt in het 2026 State of ITAM Report (opent in een nieuw tabblad) (Engels) dat 43% van de 512 ondervraagde organisaties de verspilde SaaS-uitgaven ziet stijgen ten opzichte van een jaar eerder. Dat zijn organisaties met een ITAM-team. Het probleem is dus niet dat er niet wordt opgeruimd, maar dat opruimen geen proces is.

Hoe vaak moet je licentiegebruik controleren?

Eén keer per kwartaal een volledige ronde en één keer per maand een korte check op vertrokken medewerkers. Een kwartaal sluit aan op de rapportperiode van 90 dagen die de meeste beheertools zelf hanteren en op de looptijd van de meeste abonnementen. Jaarlijks is te weinig: dan betaal je gemiddeld een half jaar voor elke licentie die tussentijds leegloopt.

De maandelijkse check is klein: de lijst van HR met wie uit dienst is naast de licentielijst leggen. Dat kost een uur. De kwartaalronde is groter en heeft een eigenaar per platform nodig, anders komt het er niet van.

Let bij Microsoft-abonnementen op de opzegregels van New Commerce: na de eerste 7 dagen zit je vast aan de looptijd van het abonnement, zie het annuleringsbeleid (opent in een nieuw tabblad) (Microsoft Learn, Engels). Een licentie die je in maand twee niet meer nodig hebt, betaal je bij een jaarabonnement nog tien maanden door. De kwartaalronde moet daarom vóór de verlengdatum vallen, niet erna.

Hoe ziet een kwartaalroutine per platform eruit?

Per platform één eigenaar, één rapport, één drempel en één actie. Zonder die vier onderdelen blijft het bij goede bedoelingen. De tabel hieronder is de checklist die we zelf gebruiken; pas de drempels aan je eigen contracten en seizoenspatronen aan.

Platform	Eigenaar	Rapport	Drempel	Actie
Microsoft 365	M365-beheerder	Beheercentrum > Reports > Usage > Microsoft 365 apps > Active users, periode 180 dagen, Export naar csv (documentatie (opent in een nieuw tabblad), Engels)	Geen “last active date” in de afgelopen 90 dagen op Exchange, Teams, SharePoint én OneDrive	Licentie verwijderen of terugzetten naar een lagere bundel; mailbox van vertrekkers omzetten naar gedeeld
Microsoft Entra ID	Identiteitsbeheerder	Lifecycle Workflows met trigger Sign-in inactivity, op basis van lastSuccessfulSignInDateTime (documentatie (opent in een nieuw tabblad), Engels)	Days of inactivity: 90	Account blokkeren, uit licentiegroepen halen, melding naar manager
Salesforce	CRM-beheerder	Laatste aanmelding per gebruiker in Setup (deactiveren (opent in een nieuw tabblad), Salesforce Help, Engels)	Geen aanmelding in 60 dagen	Gebruiker deactiveren; de licentie komt vrij voor een ander
Atlassian (Jira, Confluence)	Applicatiebeheerder	Last active dates per product via de organisatie-API; een productpagina telt als “actief” vanaf 2 seconden kijken, de gegevens lopen tot 24 uur achter (documentatie (opent in een nieuw tabblad), Engels)	Geen productactiviteit in 90 dagen	Producttoegang intrekken; bij de verlenging het aantal verlagen
Autodesk	CAD-coördinator	Gebruiksrapportage in Autodesk Account: licentiegebruik per product per gebruiker	0 gebruiksdagen in het kwartaal, buiten het tenderseizoen	Licentie overzetten naar een wachtende collega, of bij de verlenging laten vervallen
Adobe	Marketing of DTP	Admin Console toont toewijzing, geen gebruik; rondvragen bij de teamleider	Geen aanwijsbaar gebruik in het kwartaal volgens de teamleider	Uit het productprofiel halen
Alle platformen	Controller	Grootboekregels software versus het aantal licenties op de facturen	Meer licenties betaald dan medewerkers met die rol	Verschil terug naar de platformeigenaar met een datum

Twee opmerkingen bij de tabel. Bij Microsoft 365 kijk je naar alle services tegelijk: iemand die alleen Exchange gebruikt, is actief volgens het rapport maar heeft geen E5 nodig. En bij Autodesk en Adobe is de drempel per definitie zachter, omdat de tool minder laat zien; daarover hieronder meer.

Welke instellingen voorkomen dat het opnieuw volloopt?

Drie structurele oplossingen: licenties toewijzen via groepen, terugkerende access reviews en een automatische workflow voor inactieve accounts. Alle drie verplaatsen het werk van een mens die het moet onthouden naar een regel die het altijd doet. De eerste is gratis in je bestaande omgeving, de andere twee vragen een governance-licentie.

Groepsgebaseerde licentietoewijzing. Je koppelt de licentie aan een groep in plaats van aan een persoon. In het Microsoft 365-beheercentrum gaat dat via Billing > Licenses > Assign licenses, waar je een groep kiest in plaats van een gebruiker, zie de handleiding (opent in een nieuw tabblad) (Microsoft Learn, Engels). Wie de groep verlaat, verliest de licentie. Maak de groep dynamisch op basis van afdeling of functie uit het HR-systeem, en de HR-mutatie wordt vanzelf de licentiemutatie. Let op: geneste groepen worden niet ondersteund, en bij het verplaatsen van een gebruiker tussen twee licentiegroepen voeg je hem eerst toe aan de nieuwe groep en haal je hem daarna pas uit de oude.

Kies daarbij een lage standaard. De onboardinggroep krijgt de laagste bundel die de meeste mensen nodig hebben; zwaardere bundels zitten in aparte groepen met een eigenaar die moet instemmen.

Access reviews. Een terugkerende vraag aan de groepseigenaar of iedereen in de groep er nog in hoort. In Microsoft Entra ID Governance stel je een review in voor een groep of een app en laat je die wekelijks, maandelijks, per kwartaal of jaarlijks terugkomen, zie What are access reviews? (opent in een nieuw tabblad) (Microsoft Learn, Engels). Wie niet wordt bevestigd, verliest de toegang. Dit vereist een Entra ID Governance- of Entra Suite-licentie; sommige onderdelen werken met Entra ID P2. Stel de review in voor de groepen met dure licenties, niet voor alles.

Workflow voor inactieve accounts. Lifecycle Workflows kan een reeks taken uitvoeren zodra een account een ingesteld aantal dagen geen geslaagde aanmelding heeft. Je kiest in het Entra-beheercentrum ID Governance > Lifecycle workflows, maakt een workflow op basis van een leaver-sjabloon en kiest de trigger Sign-in inactivity met een aantal Days of inactivity, zie de handleiding (opent in een nieuw tabblad) (Microsoft Learn, Engels). Ook dit vraagt een Entra ID Governance- of Entra Suite-licentie.

Buiten Microsoft is het principe hetzelfde: koppel de toegang aan de identiteit (SCIM of SSO), zodat een geblokkeerd account bij Salesforce, Atlassian en Adobe vanzelf de licentie vrijgeeft. Waar dat niet kan, zoals bij veel CAD-abonnementen, blijft de kwartaalronde de enige rem.

Wat laat een kwartaalcontrole niet zien?

Een kwartaalcontrole toont wie een licentie heeft en wie een vlag “actief” heeft. Ze toont niet of de licentie de juiste is, en de vlag is bij de meeste leveranciers ruim gedefinieerd. Daardoor laat zelfs een goed uitgevoerde routine licenties staan die feitelijk ongebruikt zijn.

• Bij Microsoft 365 telt elke handeling als activiteit. Eén bericht in Teams maakt iemand actief, ook als de Excel-, Defender- en Power BI-onderdelen van de E5-bundel nooit worden geopend. Het rapport zegt “actief”, niet “heeft deze bundel nodig”.
• De Microsoft-rapporten lopen 24 tot 48 uur achter en tonen gegevens per dag voor hooguit 28 dagen; voor een langere periode moet je zelf exports bewaren.
• Adobe Admin Console laat toewijzing zien, geen gebruik. De drempel in de tabel hierboven is daarom een gesprek, geen getal.
• Atlassian telt iemand als actief zodra een productpagina twee seconden openstaat. Een link uit een e-mail volgen is genoeg.
• Een kwartaal is een momentopname. Een calculator die alleen in het tenderseizoen tekent, staat in het derde kwartaal op nul en in het vierde op twintig dagen. Alleen meten over meerdere maanden maakt dat onderscheid.
• Gedeelde accounts en serviceaccounts zijn volgens elk rapport actief, maar horen geen persoonsgebonden licentie te hebben.

Dit is ook precies het gat dat wij dichten: we meten maandenlang per licentie en per medewerker wat er werkelijk gebeurt, ook op platformen die zelf niets tonen, en leveren de lijst die de kwartaalronde niet kan maken.

Wat doe je deze week?

Wijs per platform een eigenaar aan, plan de eerste kwartaalronde vóór de eerstvolgende verlengdatum en zet als proef één licentie om naar toewijzing via een groep. De tabel hierboven kun je zo overnemen in een spreadsheet of een wikipagina; vul de kolom Eigenaar in en de rest volgt.

Het resultaat van een opschoning verdwijnt binnen een jaar. Het resultaat van een routine niet. En als je wilt weten wat er ondanks de routine nog staat, kun je het laten meten; dat is werk dat wij graag doen, aan jouw kant.