Wat is een licentieaudit en waarom krijg je er een?

Een licentieaudit, ook wel softwareaudit of nalevingscontrole genoemd, is een controle door de leverancier of je niet meer gebruikt dan je hebt gekocht. Het recht daartoe staat in het contract dat je hebt geaccepteerd, ook als niemand die bepaling ooit heeft gelezen. De controle kijkt maar één kant op: een tekort levert een rekening op; een overschot levert niets op.

Dit artikel gaat over de vijf grote leveranciers: wat hun voorwaarden toestaan, waarom je een controle krijgt en wat een tekort kost. Het is geen juridisch advies. Wat in jouw contract staat, gaat voor. Laat een jurist meekijken zodra er een brief ligt.

Wat is een licentieaudit?

Een licentieaudit is een controle, vastgelegd in de licentievoorwaarden, waarbij de leverancier of een auditor in diens opdracht vergelijkt wat je hebt geïnstalleerd en gebruikt met wat je hebt gekocht. Het overzicht van dat verschil per product heet in het vak de Effective License Position. Alleen een tekort telt: voor licenties die je te veel hebt, krijg je niets terug.

Dat de leverancier zo sterk staat, komt door het auteursrecht. Software gebruiken is software kopiëren. Volgens artikel 45i van de Auteurswet telt ook het laden, in beeld brengen en uitvoeren van een programma als verveelvoudigen, en dat mag alleen met toestemming van de rechthebbende. Artikel 45j maakt daarop een uitzondering voor de rechtmatige verkrijger, en alleen voor wat nodig is voor het beoogde gebruik, tenzij anders is overeengekomen; alleen het laden en in beeld brengen van het programma en het verbeteren van fouten mag een contract niet verbieden (wetten.overheid.nl (opent in een nieuw tabblad)). Wie rechtmatig verkrijger is en wat het beoogde gebruik is, volgt uit de licentie. Wie meer installeert of meer mensen laat werken dan de licentie toestaat, valt daarbuiten. Dat is contractbreuk en kan daarnaast een inbreuk op het auteursrecht zijn. Leveranciers gaan in hun brieven van dat laatste uit, en dat verklaart de toon.

Er zijn twee varianten: een review die de leverancier of een partner aanbiedt als hulp (bij Microsoft een SAM engagement, waarbij SAM staat voor Software Asset Management) en de controle die het contract regelt, met termijnen, een auditor en gevolgen bij een tekort. Beide zijn legitiem. Uit de brief moet blijken welke van de twee het is. Is dat niet duidelijk, vraag het dan schriftelijk na voordat je iets aanlevert.

Waarom krijg je een licentieaudit?

Omdat het contract het toestaat en leveranciers dat recht ook zonder verdenking gebruiken. Autodesk schrijft zelf dat elke klant geselecteerd kan worden. Wel zijn er aanleidingen die de kans vergroten: een verlenging of true-up, een overname, een sterk gegroeid personeelsbestand, onderhoud dat is verlopen, een product dat per medewerker wordt afgerekend of een melding van een ex-werknemer.

• Geen aanleiding nodig. Autodesk zegt over de Software License Review dat elke klant met een Autodesk-product geselecteerd kan worden, en voegt eraan toe: “it doesn’t mean that Autodesk suspects your company of noncompliance” (Autodesk, Engels (opent in een nieuw tabblad)). Een deel van de controles is dus gewoon een steekproef.
• Hoe vaak het gebeurt. Voor het State of ITAM Report 2026 vroeg Flexera 512 ITAM-professionals wereldwijd of hun organisatie was gecontroleerd (Flexera, opzet van het onderzoek, Engels (opent in een nieuw tabblad)): bij 48% was dat in het afgelopen jaar gebeurd, en van die groep noemde 64% Microsoft als controlerende leverancier (Flexera, Engels (opent in een nieuw tabblad)). Dat zijn organisaties die al iemand op licentiebeheer hebben zitten. Voor een organisatie van 250 mensen is de kans kleiner, maar niet nul.
• Verlenging, true-up of overname. Bij een Enterprise Agreement geef je groei jaarlijks door met de true-up-order. Een verlenging waarbij je minder licenties wilt dan vorig jaar, roept bij de accountmanager vragen op; zie wat je moet weten voordat je een verlenging tekent. Bij een overname worden twee licentieadministraties samengevoegd, en dat is een moment waarop de leverancier graag zelf komt tellen. In onze ervaring vallen controles vaak met zulke momenten samen.
• Verlopen onderhoud op eeuwigdurende licenties. Computer Weekly meldde in mei 2025 dat Broadcom sommatiebrieven stuurde aan klanten van wie het onderhoud op eeuwigdurende VMware-licenties was verlopen, met de eis om geen updates en patches van na de einddatum meer te gebruiken, met uitzondering van kritieke beveiligingspatches. Een licentieadviseur meldde in hetzelfde artikel dat meerdere klanten een auditaankondiging van Broadcom hadden ontvangen (Computer Weekly, Engels (opent in een nieuw tabblad)). Een leverancier die van eeuwigdurend naar abonnement wil, gebruikt de controle als hefboom.
• Java per medewerker. Nieuwe Java SE-abonnementen verkoopt Oracle sinds januari 2023 alleen nog per medewerker (Oracle, FAQ, Engels (opent in een nieuw tabblad)). Volgens de prijslijst tellen alle medewerkers mee, vast, tijdelijk of in deeltijd, plus die van je vertegenwoordigers, opdrachtnemers, outsourcingpartners en consultants die je bedrijfsvoering ondersteunen, “and not just the actual number of employees that use the Programs” (Oracle, prijslijst, Engels (opent in een nieuw tabblad)). In een onderzoek van Dimensional Research in opdracht van ITAM Forum en Azul, een leverancier van opensource-Java, zei 75% van de 500 ondervraagde licentiebeheerders dat hun organisatie in de afgelopen drie jaar door Oracle op Java was gecontroleerd (Computer Weekly, Engels (opent in een nieuw tabblad)). Eén betaalde Java-installatie leidt zo tot een gesprek over het hele personeelsbestand.
• Een melding van een (ex-)medewerker. BSA | The Software Alliance, de branchevereniging van grote softwareleveranciers, heeft een meldportaal waar medewerkers illegaal gebruik vertrouwelijk kunnen melden, met een beloning bij een schikking (BSA, Engels (opent in een nieuw tabblad)). In 2015 meldde BSA in de Nederlandse vakpers dat 60% van de meldingen van ex-werknemers kwam en dat de beloning kon oplopen tot € 10.000 (Dutch IT Channel (opent in een nieuw tabblad)). Zo’n actie begint vaak met een brief van BSA of haar advocaten met het verzoek om een licentieoverzicht. Wie voldoende aannemelijk maakt dat er inbreuk op zijn auteursrecht is gemaakt of dreigt, kan de voorzieningenrechter om verlof vragen voor een conservatoir bewijsbeslag (artikel 1019b Rv, wetten.overheid.nl (opent in een nieuw tabblad)). BSA doet dat namens de aangesloten leveranciers, en dan staan er een deurwaarder en een IT-deskundige aan de deur.
• Groei zonder groei in licenties. Wat we zien: het personeelsbestand groeit, het aantal licenties niet, omdat nieuwe mensen het account van een vertrokken collega krijgen of een gedeeld account gebruiken. Dat patroon komt aan het licht zodra de auditor de gebruikerslijst naast de personeelsadministratie en de inhuurcontracten legt.

Wat staat er over audits in de voorwaarden van Microsoft, Oracle, Adobe, Autodesk en SAP?

Bij alle vijf leveranciers staat het recht op controle in de voorwaarden. Microsoft moet 30 dagen van tevoren aankondigen, Oracle 45 en Adobe zeven; Autodesk en SAP noemen op hun pagina’s geen termijn. Het verschil zit in wie controleert, wat je aanlevert en wat een tekort kost. Alleen Microsoft noemt een opslag: 25% bij een tekort van 5% of meer.

Leverancier	Aankondiging	Wie controleert	Wat je moet aanleveren	Bij een tekort
Microsoft, Customer Agreement (bron (opent in een nieuw tabblad), Engels)	30 dagen	Een onafhankelijke auditor onder geheimhouding of een self-audit, een vragenlijst die je zelf invult	Administratie, gegevens en toegang tot de systemen waarop de producten draaien	Binnen 30 dagen licenties bestellen voor de periode van het tekort. Bij 5% of meer van het totale gebruik: 125% van de dan geldende prijs, plus de kosten van de controle
Oracle, License and Services Agreement; nieuwere contracten hebben een Oracle Master Agreement met dezelfde bepaling (bron (opent in een nieuw tabblad), Engels)	45 dagen, schriftelijk	Oracle, meestal License Management Services	Medewerking en toegang tot informatie; in de praktijk draai je zelf de meetscripts van Oracle en stuur je de uitkomst op	Binnen 30 dagen betalen voor gebruik boven je licentierechten, vaak inclusief achterstallig onderhoud. Betaal je niet, dan mag Oracle de ondersteuning en de licenties beëindigen. De kosten van je eigen medewerking betaal je zelf
Adobe, Algemene gebruiksvoorwaarden artikel 15; een eigen ondernemingsovereenkomst gaat voor (bron (opent in een nieuw tabblad))	Minimaal zeven dagen; hoogstens één keer per twaalf maanden	Medewerkers van Adobe of een onafhankelijke accountant, met inzage in administratie, systemen en faciliteiten	Alle gevraagde stukken en gegevens binnen 30 dagen	Onmiddellijk de ontbrekende licenties en lidmaatschappen kopen, plus achterstallig onderhoud en ondersteuning
Autodesk, Software License Review (bron (opent in een nieuw tabblad), Engels)	Brief of e-mail; de pagina noemt geen termijn	License Compliance van Autodesk	Een scan van je apparaten met de Autodesk Inventory Tool (AIT)	Afwikkelen met een medewerker van License Compliance volgens de Terms of Use; de pagina noemt geen opslag
SAP, auditpagina van SAP Support; de bepaling zelf staat in de General Terms and Conditions bij je contract (bron (opent in een nieuw tabblad), Engels)	Op gezette tijden; de pagina noemt geen termijn	Jij, met USMM en LAW, of samen met SAP op je eigen systemen	Het meetresultaat, direct en ongewijzigd doorgestuurd	Afwijkingen ten opzichte van je licentierechten zijn “the basis for further interactions”; geen percentage genoemd

In het Microsoft Customer Agreement staat: “At Microsoft’s expense, Microsoft may verify Customer’s and its Affiliates’ compliance with this Agreement at any time upon 30 days’ notice.” Bij een tekort van 5% of meer koop je de ontbrekende licenties “at 125% of the then-current Customer price” (Microsoft, Engels (opent in een nieuw tabblad)). “Then-current” is de prijs op het moment van de bevinding, niet wat je destijds betaalde; na een prijsronde is dat de hogere prijs, zie de Microsoft-prijswijzigingen. Het Customer Agreement accepteer je als je via een partner of rechtstreeks bij Microsoft koopt. Een Enterprise Agreement, vanaf 500 gebruikers of apparaten (Microsoft, Engels (opent in een nieuw tabblad)), valt onder het Microsoft Business and Services Agreement, met een vergelijkbare bepaling. Controleer je eigen versie.

Oracle houdt het kort: “Upon 45 days written notice, Oracle may audit your use of the programs”, en verderop “Oracle shall not be responsible for any of your costs incurred in cooperating with the audit” (Oracle, Engels (opent in een nieuw tabblad)). SAP zegt niets over een termijn, maar wel over de methode: “You must only use the tools provided by SAP, in their original state, for measurement. You should transfer the result of the measurement to SAP immediately and in an unchanged format” (SAP Help Portal, Engels (opent in een nieuw tabblad)).

De termijnen in de tabel zijn aankondigingstermijnen, geen voorbereidingstijd: in 30 dagen bouw je geen overzicht van contracten, installaties en gebruikers uit het niets.

Hoe verloopt een licentieaudit in de praktijk?

In vier stappen: een brief die de controle aankondigt en de producten noemt, het verzamelen van gegevens met de meetprogramma’s van de leverancier, een vergelijking van dat resultaat met je licentierechten en een afwikkeling waarin je het tekort bijkoopt. De stap die je zelf in de hand hebt, is de tweede. Wat je aanlevert, bepaalt wat er wordt gevonden.

Autodesk noemt vier soorten tekort: nagemaakte of gekraakte Autodesk-software, meer installaties dan eeuwigdurende licenties, meer gebruikers dan abonnementen en onderwijslicenties die commercieel worden gebruikt. Over dat derde punt is Autodesk duidelijk: een abonnement voor één gebruiker mag op drie apparaten staan, maar die gebruiker mag maar op één apparaat tegelijk werken en mag de inloggegevens met niemand delen (Autodesk, Engels (opent in een nieuw tabblad)). Waar tekenwerk buiten het ontwerpteam terechtkomt, ontstaan precies die fouten; zie ontwerplicenties buiten het ontwerpteam.

Bij SAP doe je het meeste werk zelf. USMM telt per systeem “the number of users and the chargeable objects of the Engines”, de License Administration Workbench (LAW) voegt de systemen samen en het resultaat gaat ongewijzigd naar SAP (SAP Help Portal, Engels (opent in een nieuw tabblad)). Hoe de meting werkt en waar de klassieke fouten zitten, staat op de platformpagina over SAP.

Oracle kent twee diensten. De Assurance Service vraag jij aan en jij bepaalt de omvang: beperkt of volledig, ook voor een toekomstige omgeving. De Audit Service is in de woorden van Oracle “LMS-initiated and LMS-driven” en heeft de hele huidige installatie als omvang. License Management Services noemt zichzelf “the sole Oracle licensing authority that can verify your licensing requirements” (Oracle, Engels (opent in een nieuw tabblad)). Een Audit Service die LMS start, vervang je niet door zelf een Assurance Service aan te vragen.

Wat kost een licentieaudit als je te weinig licenties hebt?

De ontbrekende licenties over de periode dat je ze gebruikte, tegen de prijs die geldt op het moment van de bevinding. Bij Microsoft komt daar bij een tekort van 5% of meer een opslag van 25% bovenop, plus de kosten van de controle. Voor 30 inhuurkrachten zonder eigen licentie: ongeveer € 17.000 in plaats van € 13.600.

Neem een organisatie van 250 mensen met Microsoft 365 E3 voor iedereen. Veel Microsoft-bevindingen gaan in de praktijk over servers, zoals SQL Server en Windows Server, maar E3 heeft een openbare Nederlandse prijs en laat de rekensom goed zien: € 37,78 per gebruiker per maand bij een jaarabonnement, exclusief btw (Microsoft Nederland (opent in een nieuw tabblad)). De tenant telt 250 accounts met een licentie, maar uit de personeels- en inhuuradministratie die de auditor ernaast legt, blijkt dat 280 mensen in de omgeving werken: 30 inhuurkrachten werken via gedeelde accounts. Volgens de Product Terms moet elke gebruiker van een onlinedienst een eigen gebruikerslicentie hebben, tenzij die alleen werkt via een apparaat met een apparaatlicentie of de productspecifieke voorwaarden anders bepalen (Microsoft, Engels (opent in een nieuw tabblad)). Wij rekenen voor het gemak met de volledige E3-prijs; voor zo’n groep is in werkelijkheid vaak een goedkopere licentie mogelijk. De prijs houden we op twee decimalen en de sommen ronden we af op hele euro’s.

• Per licentie per jaar: € 37,78 × 12 = € 453,36.
• Het tekort over twaalf maanden: 30 × € 453,36 = € 13.601.
• Het aandeel: 30 van 280 gebruikers is 10,7%, dus boven de 5%.
• Met de opslag van 25%: € 13.601 × 1,25 = € 17.001.
• Daar komen de kosten van de controle bij. De overeenkomst noemt daar geen bedrag voor.

De drempel maakt het verschil. Vijf procent van 280 gebruikers is 14. Bij 13 ontbrekende licenties of minder had je tegen de gewone prijs bijgekocht: 13 × € 453,36 = € 5.894, zonder opslag en zonder de kosten van de controle. Eén kanttekening: Microsoft rekent het percentage over “Customer’s total use of all Products”, dus al je Microsoft-producten bij elkaar, en de overeenkomst zegt niet of dat naar aantal of naar waarde is. Het voorbeeld houdt het bij één product.

Ter vergelijking: Flexera meldt dat 44% van de ondervraagde organisaties in drie jaar meer dan 1 miljoen dollar aan audits uitgaf (Flexera, Engels (opent in een nieuw tabblad)). Bij 250 mensen gaat het om tienduizenden euro’s, maar wel in één keer, op een moment dat je niet kiest.

Waarom kopen bedrijven uit angst voor een audit te veel licenties?

Omdat een tekort een rekening en een lastig gesprek oplevert, en een overschot alleen een regel op de factuur die niemand ziet. Wie de aantallen niet kent, koopt er een marge bij. Die marge staat elk jaar opnieuw op de factuur, en een audit meldt hooguit dat je die licenties hebt; of iemand ze gebruikt, meet een auditor niet.

Dezelfde 30 licenties, de andere kant op. Een organisatie van 250 mensen die 30 licenties aanhoudt voor de zekerheid, betaalt daarvoor 30 × € 453,36 = € 13.601 per jaar. Over drie jaar is dat 3 × € 13.601 = € 40.803. Het slechtste geval uit het rekenvoorbeeld hierboven kostte € 17.001, één keer, voor een tekort dat een jaar bestond, en daarvan was € 13.601 de prijs van licenties die je toch nodig had. De eigenlijke opslag was € 3.400 plus de kosten van de controle, en alleen als je echt tekortkwam. De marge betaal je zeker; de opslag alleen misschien.

Dit is geen argument om te weinig licenties te kopen, maar om het aantal te kennen. De marge ontstaat bij de verlenging, als iemand tekent voor het aantal van vorig jaar met een paar licenties erbij voor de zekerheid, en na een opschoning loopt de lijst binnen een jaar weer vol. Bij een eerste meting vinden we gemiddeld 18% van de licenties zonder gebruik; gepubliceerde cijfers lopen uiteen van 18% tot 46%, zie hoeveel softwarelicenties worden niet gebruikt.

Hoe bereid je je voor op een licentieaudit?

Door vóór de auditor te weten wat die gaat vinden. Dat vraagt vier dingen die je toch al nodig hebt voor een verlenging: alle contracten en aantallen in één overzicht, het gebruik per licentie en per persoon over minimaal drie maanden, een offboarding die licenties ook echt intrekt en zicht op software die buiten IT om is gekocht.

• Contractoverzicht. Per leverancier: wat je hebt gekocht, met welke entiteit, welke bepaling over controle er staat en welke aankondigingstermijn. Zet de bepaling en de termijn als twee extra kolommen in de contractkalender.
• Gebruik per licentie en per persoon. Niet wie een licentie heeft, maar wie er de afgelopen maanden mee heeft gewerkt: minimaal drie maanden, zodat niemand de uitkomst kan afdoen als een vakantiemaand of een project dat net afliep. Wat “actief” betekent, verschilt per leverancier. De rapporten en drempels per platform staan in de kwartaalroutine per platform.
• Offboarding die licenties intrekt. Het account van iemand die uit dienst is, telt bij een controle gewoon mee zolang er een licentie aan hangt; zie de duurste medewerker. Bij SAP telt een named user volgens de evaluatieregels van SAP zelfs mee als het account vergrendeld is, zolang de geldigheidsdatum niet is verstreken; zie de platformpagina over SAP.
• Software buiten IT. Een abonnement dat een afdeling op een creditcard heeft gezet, is een apart contract met eigen voorwaarden, vaak op naam van een medewerker. Het gebruik telt bij een controle mee; de licentie alleen als die aantoonbaar op naam van je bedrijf staat. Zie shadow IT in kaart brengen.

Wat lost meten niet op?

Een meting van licentiegebruik vindt wat er te veel is, niet alles wat er te weinig is. Serverlicenties, indirect gebruik bij SAP, Java per medewerker en verlopen onderhoud op VMware vallen buiten wat een gebruiksmeting laat zien. En de lezing van het contract blijft werk voor een jurist, niet voor een rapport.

• Serverlicenties. Windows Server, SQL Server en Oracle Database rekenen per core of per toegang, niet per persoon die inlogt. Daar heb je een inventarisatie van je servers en virtualisatie voor nodig, geen gebruiksmeting.
• Indirect gebruik. SAP rekent bij Digital Access per document dat een ander systeem in SAP aanmaakt; zie de platformpagina over SAP. Daar komt geen named user aan te pas, dus een gebruiksmeting ziet het niet.
• Java SE. Het aantal installaties bepaalt alleen óf je een abonnement nodig hebt; wat je betaalt, hangt af van het aantal mensen dat voor je werkt, zoals hierboven beschreven. Een gebruiksmeting telt wie Java gebruikt, en dat aantal doet er bij Oracle niet toe.
• Verlopen onderhoud. Een eeuwigdurende licentie zonder onderhoud blijft geldig, maar de updates van na de einddatum vallen erbuiten; Broadcom maakte in de brieven alleen een uitzondering voor kritieke beveiligingspatches. Dat staat in geen enkel gebruiksrapport.

Welke entiteit heeft getekend, welk recht van toepassing is en wat “gebruik” in jouw voorwaarden precies betekent, staat evenmin in een rapport.

Wij staan niet naast je aan tafel bij een audit. Wij meten met alleen leesrechten welke licenties niet worden gebruikt en leveren maandelijks de lijst: de lijst die een auditor niet maakt, want die telt wie een licentie heeft, niet wie ermee werkt.

Wat doe je als de brief er ligt?

Lees eerst de bepaling in je eigen contract, niet alleen de brief, en noteer de termijn. Controleer wat voor brief het is: een uitnodiging voor een SAM engagement is geen controle op grond van het contract, en een verzoek om een licentieoverzicht is geen bewijsbeslag. Wat de afzender mag, staat in de bepaling die je net hebt gelezen.

Aan een SAM engagement hoef je niet mee te werken, maar wie weigert, kan alsnog de formele controle krijgen, en wat je in zo’n review aanlevert, gebruikt de leverancier net zo goed als bewijs. De controle uit het contract weiger je niet: dat is contractbreuk. Werk je mee, dan gelden zes regels:

• Eén contactpersoon die alles ziet voordat het naar de leverancier gaat.
• De omvang schriftelijk: welke producten, welke entiteiten, welke periode.
• Niets scannen of aanleveren buiten die omvang, hoe onschuldig de vraag ook klinkt.
• Na de brief niets verwijderen of deïnstalleren buiten je normale beheer, en vastleggen wat er in die periode wel wijzigt: het gebruik over de afgelopen periode telt toch mee, en opruimen na de brief oogt als het wegwerken van bewijs.
• Van alles wat je verstuurt een kopie, met datum. Leg de rekensom van de leverancier naast je eigen contracten voordat je iets tekent; auditors rekenen vaak met lijstprijzen of met de prijs die op dat moment voor jou geldt, en met de strengste lezing van de voorwaarden.
• Niets kopen voordat je zelf weet wat het tekort is: anders koop je het verkeerde aantal of de verkeerde licentie, en voor de achterliggende periode lost het niets op. Bij Microsoft begint de termijn van 30 dagen om bij te bestellen bovendien bij de bevinding, niet bij de brief (Microsoft, Engels (opent in een nieuw tabblad)).

Een audit is saai voor wie de cijfers al heeft. Dat is het enige doel van de voorbereiding.