De meeste software die IT niet kent, staat gewoon in de boekhouding, in Entra ID of in het hoofd van een afdelingshoofd. Vier routes die je vandaag kunt lopen en wat elke route mist.
De software die IT niet kent, is zelden onzichtbaar. Ze staat op de creditcardafschrijving van marketing, in de lijst met apps waarop iemand met zijn werkaccount heeft ingelogd of in het hoofd van een afdelingshoofd dat het ooit “even snel” regelde. Wat ontbreekt is niet de informatie, maar iemand die de lijstjes naast elkaar legt.
Dit artikel beschrijft vier routes die je zonder nieuwe tool kunt lopen, met de precieze plek in elk systeem. Reken op een middag voor de eerste ronde, verdeeld over de controller en de beheerder van Microsoft 365 of Google Workspace.
Hoe begin je met het inventariseren van shadow IT?
Bij het geld, niet bij de techniek. Alles wat iets kost, staat ergens in de boekhouding, op een creditcardafschrijving of in een declaratie. Begin daar, want die route vindt precies de software waar je iets aan kunt doen: betaalde abonnementen. Daarna vul je aan met Entra ID of Google Workspace voor wat gratis is of via een collega loopt.
De volgorde is praktisch. De financiële route geeft je bedragen en de naam van wie betaalt. De technische route geeft je gebruikers maar geen bedragen. Samen krijg je een lijst waarbij je per regel weet wat het kost en wie het gebruikt. Met alleen een van de twee kom je halverwege.
Hoe vind je softwareabonnementen in de boekhouding?
Vraag de controller om een export van twaalf maanden: de grootboekrekeningen voor software, automatisering en abonnementen, plus de creditcardtransacties en de declaraties. Zoek daarin op bekende leveranciersnamen, op het woord “subscription”, op bedragen in dollars en op facturen met verlegde btw. Dat is een uur werk.
Waar je op filtert:
- Leveranciersnamen. Zoek op de namen die je verwacht, zoals Adobe, Atlassian, Canva, Miro, Notion, Zoom, Dropbox, Slack, Figma, Mailchimp, LinkedIn en OpenAI. Kijk ook naar betaaldiensten die namens softwaremakers factureren, zoals Paddle en FastSpring: de echte leverancier staat dan pas op de factuur zelf.
- Omschrijvingen. “Subscription”, “abonnement”, “licence”, “license”, “seat”, “plan”, “pro”, “team”, “monthly”, “annual”.
- Valuta. Bedragen in USD of GBP op een creditcard zijn bijna altijd software of advertenties. Een vast bedrag dat elke maand terugkomt, is bijna altijd software.
- Btw verlegd. Veel softwarebedrijven factureren vanuit Ierland of een ander EU-land met verlegde btw. Een filter op die btw-code brengt ze in één keer naar boven.
- De verkeerde grootboekrekening. Software die als “kantoorkosten”, “marketing” of “opleiding” is geboekt, vind je alleen op leveranciersnaam, niet op rekening.
Zet de treffers in één lijst met per regel: leverancier, bedrag per maand, betaalwijze (factuur, creditcard, declaratie), kostenplaats en de naam van wie betaalt. Die laatste kolom is het belangrijkst: daar staat de persoon die je straks vraagt of het nog nodig is.
Welke apps laat Microsoft Entra ID zien?
Elke app waarin iemand met zijn werkaccount inlogt of waaraan iemand toegang tot zijn mailbox of bestanden gaf. Je vindt ze in het Microsoft Entra-beheercentrum onder Entra ID > Enterprise apps > All applications. Zet het filter Application Type op Enterprise Applications: dan zie je alleen apps die niet van Microsoft zelf zijn.
De stappen, zoals Microsoft ze documenteert (opent in een nieuw tabblad) (Microsoft Learn, Engels):
- Log in op het Entra-beheercentrum met minimaal de rol Cloud Application Administrator.
- Ga naar Entra ID > Enterprise apps > All applications.
- Kies bij Application Type de optie Enterprise Applications en klik op Apply.
- Voeg via Add filters het filter Created on toe als je alleen wilt zien wat het afgelopen jaar is bijgekomen.
Per app kun je daarna zien wie toestemming heeft gegeven en waarvoor. Open de app en kies Permissions. Het tabblad Admin consent toont wat een beheerder voor de hele organisatie heeft goedgekeurd, het tabblad User consent wat individuele gebruikers zelf hebben toegestaan (Microsoft Learn, Engels (opent in een nieuw tabblad)). Een app met alleen user consent is per definitie niet door IT gekozen. Dat is je shadow IT in strikte zin.
Wil je ook weten welke apps echt gebruikt worden, ga dan naar Entra ID > Monitoring & health > Usage & insights en open het rapport Microsoft Entra application activity. Dat toont per app het aantal geslaagde en mislukte aanmeldingen in de gekozen periode (Microsoft Learn, Engels (opent in een nieuw tabblad)). Hiervoor heb je Entra ID P1 of P2 nodig. Microsoft 365 E3 en E5 bevatten die al (Microsoft Nederland (opent in een nieuw tabblad)).
Let op de bewaartermijn. De aanmeldlogboeken onder Entra ID > Monitoring & health > Sign-in logs blijven 7 dagen bewaard met Entra ID Free en 30 dagen met P1 of P2 (Microsoft Learn, Engels (opent in een nieuw tabblad)). Een app die iemand eens per kwartaal gebruikt, zie je dus niet in de logboeken, wel in de lijst met enterprise apps.
Wil je de instroom afremmen, kijk dan onder Enterprise apps > Consent and permissions > User consent settings. Daar bepaal je of gebruikers zelf apps toegang mogen geven, en of dat alleen mag voor apps van een geverifieerde uitgever (Microsoft Learn, Engels (opent in een nieuw tabblad)). Een wijziging geldt alleen voor nieuwe toestemmingen. Wat al is toegestaan, blijft staan.
Wat voegt Defender for Cloud Apps toe, en welke licentie heb je nodig?
Cloud Discovery vergelijkt je netwerkverkeer met een catalogus van meer dan 31.000 cloudapps. Daarmee zie je ook diensten waarop niemand met een werkaccount inlogt. Een beperkte versie, Cloud App Discovery, zit in Entra ID P1 en dus in Microsoft 365 E3. De volledige Defender for Cloud Apps zit in Microsoft 365 E5.
Het verschil zit in hoe de gegevens binnenkomen. Met Cloud App Discovery upload je zelf logbestanden van je firewall of proxy, handmatig of automatisch (Microsoft Learn, Engels (opent in een nieuw tabblad)). Heb je geen firewall die bruikbare logs levert, dan heb je hier in E3 weinig aan. Met de volledige Defender for Cloud Apps kan het verkeer ook rechtstreeks van de laptops komen, via de koppeling met Defender for Endpoint. Die koppeling vereist naast Defender for Cloud Apps ook Defender for Endpoint Plan 2 (Microsoft Learn, Engels (opent in een nieuw tabblad)). Microsoft 365 E5 heeft beide, E3 heeft Defender for Endpoint Plan 1.
De resultaten staan in de Microsoft Defender-portal onder Cloud Apps > Cloud Discovery, tabblad Discovered apps. Per app zie je op het tabblad Usage hoeveel gebruikers en hoeveel verkeer er is (Microsoft Learn, Engels (opent in een nieuw tabblad)). Twee kanttekeningen uit Microsofts eigen documentatie: apps die niet in de catalogus staan, worden standaard niet herkend, en de gegevens worden vier keer per dag bijgewerkt (Microsoft Learn, Engels (opent in een nieuw tabblad)).
Hoe zie je in Google Workspace welke apps toegang hebben?
In de Google Admin-console onder Menu > Security > Access and data control > API controls. Klik op Manage Third-Party App Access en daarna bij Accessed apps op View list. Je ziet per app hoeveel gebruikers er toegang aan gaven en tot welke Google-diensten, zoals Gmail of Drive.
Met Download list krijg je de hele tabel als CSV. De lijst loopt 24 tot 48 uur achter op nieuwe toestemmingen (Google Workspace Admin Help, Engels (opent in een nieuw tabblad)). Net als bij Entra zie je hier alleen apps die via een Google-account zijn gekoppeld. Een dienst met een eigen gebruikersnaam en wachtwoord staat er niet in.
Wat vraag je aan afdelingshoofden?
Een korte lijst die ze in tien minuten kunnen invullen, met een deadline van een week. Vraag niet “gebruiken jullie shadow IT”, want dat woord kent niemand buiten IT. Vraag welke software het team gebruikt die niet via IT is geregeld, en laat ze de kolommen zelf invullen.
De kolommen:
- Naam van de software en waarvoor het team het gebruikt.
- Hoeveel mensen het gebruiken.
- Wie het betaalt: factuur, creditcard, declaratie of gratis.
- Bedrag per maand of per jaar, als ze het weten.
- Wanneer het abonnement wordt verlengd, als ze het weten.
- Of er klantgegevens of persoonsgegevens in staan.
- Wie de eigenaar is als er iets moet gebeuren.
Stuur de lijst pas nadat je de financiële en de Entra-route hebt gelopen, en vul in wat je al weet. Een afdelingshoofd dat ziet dat drie regels al zijn ingevuld, vult de vierde eerder aan dan iemand die een leeg formulier krijgt. En de vraag “klopt het dat jullie Miro gebruiken via de creditcard van Sanne?” krijgt sneller antwoord dan een open vraag.
Wat vindt elke route en wat mist die?
Geen enkele route is compleet. De boekhouding ziet geld maar geen gebruik, Entra en Google zien gebruik maar geen geld, en het afdelingshoofd weet wat het team doet maar vergeet wat het vorig jaar opzette. Pas als je ze combineert, heb je per regel zowel een bedrag als een eigenaar.
| Route | Vindt | Mist |
|---|---|---|
| Grootboek, creditcard, declaraties | Alles wat betaald wordt, met bedrag en betaler | Gratis accounts, privé betaalde tools, gebruik |
| Entra ID enterprise apps en toestemmingen | Apps met inlog via het werkaccount, ook gratis | Apps met eigen wachtwoord, bedragen |
| Defender for Cloud Apps Cloud Discovery | Verkeer naar bekende cloudapps, ook zonder werkaccount | Apps buiten de catalogus, verkeer buiten de gemeten apparaten |
| Google Workspace API controls | Apps gekoppeld aan een Google-account | Alles zonder Google-koppeling, bedragen |
| Lijst voor afdelingshoofden | Waarvoor het wordt gebruikt en wie de eigenaar is | Wat ze vergeten of liever niet noemen |
Hoe ziet het rekenvoorbeeld eruit?
Neem een organisatie van 150 mensen. Met het gemiddelde van € 2.500 licentiekosten per medewerker per jaar dat wij in de praktijk zien, gaat er zo’n € 375.000 per jaar naar software die IT kent. De inventarisatie vindt daarnaast 40 abonnementen die niet op de lijst van IT stonden.
Stel dat die 40 abonnementen gemiddeld € 45 per maand kosten. Dat bedrag is een aanname voor dit voorbeeld: een klein teamabonnement of een paar losse licenties. Dan is het 40 × € 45 × 12 = € 21.600 per jaar, bijna 6 procent bovenop wat IT al beheert.
Niet alles daarvan kan weg. In de praktijk valt de lijst uiteen in drie groepen:
- Dubbel. Een eigen Dropbox naast OneDrive, een eigen Zoom naast Teams. Stel dat het er 12 zijn: 12 × € 45 × 12 = € 6.480 per jaar die je zonder verlies van functionaliteit kunt opzeggen.
- Vergeten. Een tool voor een project dat klaar is, of van een collega die vertrokken is. Stel 8: nog eens € 4.320 per jaar.
- Nodig. De overige 20 lossen een echt probleem op. Die kosten gewoon geld, maar horen op de lijst van IT, met een eigenaar en een verlengdatum.
Samen € 10.800 per jaar die je in een middag vindt. Microsoft schrijft in zijn eigen documentatie dat IT-beheerders het aantal gebruikte cloudapps meestal op 30 of 40 schatten, terwijl het gemiddelde boven de 1.000 ligt (Microsoft Learn, Engels (opent in een nieuw tabblad)). Dat getal telt alle apps, ook gratis en eenmalig gebruik. Het betaalde deel is veel kleiner, maar het is het deel dat elke maand terugkomt.
Wat zie je met deze routes niet?
Drie dingen blijven buiten beeld, hoe goed je de routes ook loopt. Gratis accounts zonder werkaccount, tools die iemand privé betaalt en nooit declareert, en software die er via SSO goedgekeurd uitziet terwijl niemand weet wie ervoor betaalt of hoeveel licenties er zijn gekocht.
- Gratis versies. Ze kosten nu niets, maar er staan wel bedrijfsgegevens in. En ze gaan geld kosten zodra het team groeit of de gratis versie verdwijnt.
- Privé betaald. Een medewerker die ChatGPT of Canva zelf betaalt en niet declareert, staat nergens. Dat is geen kostenprobleem maar wel een dataprobleem. Alleen de vraag aan afdelingshoofden kan dit naar boven halen, en dan nog niet altijd.
- Achter SSO. Een app die netjes in Entra staat, lijkt goedgekeurd. Maar Entra zegt niets over hoeveel licenties er bij de leverancier zijn gekocht, of dat er naast het centrale contract nog een tweede abonnement van een andere afdeling loopt. De lijst met apps is geen lijst met contracten.
In die laatste groep zit het meeste geld: software die wel bekend is, maar waarvan niemand per licentie bijhoudt of die nog wordt gebruikt. Wij sluiten met alleen leesrechten aan op die platformen en meten het gebruik per licentie, zodat een lijst als deze elke maand vanzelf bijgewerkt wordt.
is wat een gemiddelde medewerker per jaar aan inactieve licenties kost. Bij 400 mensen is dat twee ton. Wij meten hoeveel het bij jou is. No cure, no pay.
Plan een doorlichting