Een SLA facilitaire leverancier is de set service-afspraken waarmee je stuurt op de prestaties van een uitbestede dienst, zoals beveiliging, schoonmaak of onderhoud. Sturen betekent hier niet dat je afspraken op papier hebt, maar dat je op elk moment uit een objectieve bron kunt halen of die afspraken zijn nagekomen, en dat een afwijking doorwerkt naar de factuur. GRIP is contractmanagement-software voor leverancierscontracten van Nederlandse organisaties in zorg, onderwijs en publieke sector.
Om 03:12 ging het alarm af op een nevenlocatie. De volgende ochtend meldt de beveiliger dat alles conform afspraak is opgevolgd. Maar de werkelijke responstijd kun je niet reconstrueren, de surveillanceronde van 02:00 staat nergens geregistreerd, en de camera bij de achteringang bleek offline. Je hebt een SLA met je facilitaire leverancier, netjes vastgelegd. Alleen: je kunt niet aantonen wat er echt gebeurde. Dat is precies het moment waarop een SLA tandeloos blijkt. Deze invalshoek verdiept onze eerdere stukken over NIS2 en leveranciersrisico’s, nu toegespitst op beveiliging: van responstijd tot surveillanceronde.
Welke KPI’s een beveiligingscontract echt sturen
Niet elke KPI stuurt. Een beveiligings-SLA met tien zachte afspraken over “betrokkenheid” en “proactieve houding” levert niets op, omdat je ze niet kunt meten. De harde KPI’s die wél sturen zijn objectief af te lezen uit een systeem. Richt je contract daar op in.
- Responstijd alarmopvolging: de tijd tussen melding en aanwezigheid ter plaatse. Bijvoorbeeld: binnen 20 minuten op de hoofdlocatie, binnen 30 op nevenlocaties. Een afspraak, geen wettelijke norm.
- Uitgevoerde surveillancerondes: aantal gelopen rondes per nacht tegen het afgesproken aantal, inclusief de gepasseerde controlepunten.
- Incidentafhandeling: percentage incidenten dat binnen de afgesproken tijd is gelogd, opgevolgd en teruggekoppeld.
- Beschikbaarheid meldkamer: uptime van de meldkameraansluiting en reactiesnelheid op binnenkomende meldingen.
Zachte factoren als samenwerking en meedenken zijn waardevol, maar horen in het kwartaaloverleg, niet in de maandelijkse prestatiemeting. Houd die twee gescheiden, anders verwatert je sturing.
Meten zonder databron is gokken
Een responstijd op papier is waardeloos als je de werkelijke tijd niet uit een objectieve bron haalt. De kracht van een beveiligingscontract is dat bijna elke KPI een systeem heeft dat de waarheid vastlegt. Koppel elke afspraak aan één databron, zodat je nooit afhankelijk bent van het woord van de leverancier.
- Rondecontrolesysteem of GPS: bewijst welke controlepunten op welk tijdstip zijn gepasseerd. Een gemiste ronde wordt hiermee een feit, geen discussie.
- Meldkamerlog: registreert het exacte tijdstip van melding, uitruk en aanwezigheid. Hieruit haal je de werkelijke responstijd.
- Toegangscontrole-logs: tonen aan of de beveiliger daadwerkelijk aanwezig was en wanneer.
- Incidentregistratie: het logboek waarin afhandeling en terugkoppeling zijn vastgelegd.
De les is simpel: spreek geen KPI af waarvoor geen objectieve bron bestaat. Anders meet je gevoel, en dan wint bij een conflict degene met de beste verdediging, niet degene met de feiten.
Van afwijking naar euro: malus, bonus en de factuur
Hier laten de meeste organisaties geld liggen. Je betaalt een vast maandbedrag, ook als de dienst niet volledig is geleverd. Een SLA facilitaire leverancier wordt pas een stuurmiddel als een afwijking terugwerkt op wat je betaalt.
Reken het voor. Stel: je betaalt 24.000 euro per maand voor nachtelijke surveillance. Afgesproken zijn vier rondes per nacht, over 30 nachten dus 120 rondes. Uit het rondecontrolesysteem blijkt dat er 113 zijn gelopen. Dat is 94 procent. Je betaalt 100 procent voor 94 procent geleverde prestatie. Zonder meetsysteem haalt niemand dat verschil terug.
Met een malusafspraak van 0,5 procent creditering per gemiste ronde boven een drempel van drie, kom je op vier te crediteren rondes. Dat is 2 procent van 24.000 euro: 480 euro over één maand. Over een jaar, op een contract met jaarlijkse indexatie, loopt dat snel op. Een bonus werkt dezelfde kant op: lever je drie maanden op rij 100 procent, dan verdien je een opslag. Zo stuur je op prestatie in plaats van op aanwezigheid alleen.
De kern voor contractmanager en financieel verantwoordelijke: een gemeten afwijking die niet doorwerkt naar de factuur is een gemiste besparing. Elke ronde die je terughaalt, elke overschreden responstijd die je crediteert, is geld dat anders in het vaste maandbedrag verdwijnt.
Dezelfde aanpak werkt bij schoonmaak, onderhoud en ICT
Beveiliging is een goed voorbeeld, maar de methodiek is contractbreed. Het principe blijft: spreek een meetbare norm af, koppel een objectieve databron, en laat afwijkingen doorwerken op de factuur.
- Schoonmaak: DKS- en VSR-metingen tegen een afgesproken kwaliteitsscore. Een objectieve meting in plaats van een steekproef op gevoel maakt het verschil hard.
- Technisch onderhoud: afgehandelde storingen binnen de SLA-tijd, meetbaar uit het meldingensysteem van je FMIS.
- ICT en hosting: uptime en reactietijd op incidenten, af te lezen uit monitoring- en ticketsystemen.
Of het nu een surveillanceronde of een storingsoplossing is: je stuurt op hetzelfde mechanisme. Dat maakt de aanpak herbruikbaar over je hele contractenportefeuille, niet alleen op één dienst.
Afwijkingen zichtbaar op het contractdashboard, niet pas bij de jaarevaluatie
Het grootste lek zit in het ritme. Komen afwijkingen pas bij de jaarlijkse evaluatie boven water, dan is correctie of creditering te laat. In het contractdashboard koppel je de meting rechtstreeks aan de contractverplichting en aan de factuur.
Een gemiste ronde of overschreden responstijd wordt direct zichtbaar, niet maanden later. Via prestatiemetingen leg je per KPI de bron en de norm vast. Houd een maandelijks operationeel overleg aan voor de harde cijfers en een kwartaaloverleg voor de koers. Zo verschuif je van uitvoerend reageren naar regie voeren op je leveranciers.
Aantoonbaar sturen is ook compliance
Beveiliging is voor veel organisaties een kritieke uitbestede dienst. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, trad op 15 augustus 2026 in werking (Staatsblad 2026, 189). Die wet verplicht je om risico’s uit je leveranciersketen aantoonbaar te beheersen: weten welke leveranciers er zijn, welke continuïteits- en beveiligingseisen in de contracten staan, en welke afspraken openstaan.
Hetzelfde meetsysteem dat je gebruikt om een malus te onderbouwen, levert het bewijs dat je zorgplicht wordt nagekomen. GRIP is zelf ISO 27001 en ISO 9001 gecertificeerd en verwerkt je contractdata binnen Europa. Zo maakt het sturen op je beveiligings-SLA niet alleen geld vrij, het helpt je ook naleving aantonen.
Veelgestelde vragen
Welke KPI’s horen in een SLA met een beveiligingsleverancier?
De sturende KPI’s zijn responstijd bij alarmopvolging, het aantal uitgevoerde surveillancerondes, incidentafhandeling binnen de afgesproken tijd en de beschikbaarheid van de meldkamer. Elk daarvan is objectief af te lezen uit een systeem.
Hoe toon je aan dat surveillancerondes echt zijn gelopen?
Via een rondecontrolesysteem of GPS dat registreert welke controlepunten op welk tijdstip zijn gepasseerd. Daarmee wordt een gemiste ronde een feit in plaats van een discussie op basis van vertrouwen.
Hoe koppel je een gemiste prestatie aan de factuur?
Met een malusafspraak die een creditpercentage koppelt aan het aantal afwijkingen boven een drempel. De gemeten afwijking werkt dan automatisch door naar het factuurbedrag, zodat je niet 100 procent betaalt voor minder dan 100 procent prestatie.
Werkt deze aanpak ook voor andere contracttypes?
Ja. Dezelfde methodiek van meetbare norm, objectieve databron en factuurkoppeling werkt bij schoonmaak (DKS/VSR), technisch onderhoud (storingsafhandeling) en ICT (uptime en reactietijd).
Wat heeft NIS2 met een beveiligings-SLA te maken?
De Cyberbeveiligingswet verplicht organisaties om risico’s uit de leveranciersketen aantoonbaar te beheersen. Een beveiligingsdienst is vaak kritiek, dus het aantoonbaar sturen van die SLA ondersteunt je zorgplicht onder deze wet.
Hoe vaak moet je een beveiligings-SLA bespreken?
Houd een maandelijks operationeel overleg aan voor de harde cijfers en creditering, en een kwartaaloverleg voor de bredere samenwerking en koers. Zo corrigeer je op tijd in plaats van pas bij de jaarevaluatie.
Maakt GRIP mijn organisatie NIS2-compliant?
Nee. GRIP is geen cybersecurity- of compliancetool en maakt niemand NIS2-compliant. GRIP geeft je grip op de contractkant van je zorgplicht: welke eisen in de contracten staan en welke afspraken openstaan.
Bekijk hoe je responstijden, surveillancerondes en credities in één overzicht bewaakt. Boek een demo van GRIP en zie hoe je afwijkingen koppelt aan je factuur.