Vijf vereisten voor digitale bureaus om enterprise-klanten te winnen
Veel digital agencies willen de stap zetten van het (enkel) bedienen van mkb-klanten naar enterprise-klanten. Die stap is echter niet zomaar gezet. Experts van MNP Solutions delen wat ervoor nodig is om ‘enterprise-ready’ te worden en succesvol voor zulke klanten te werken.
Werken voor enterprise-klanten, zoals grote corporates, publieke instellingen en andere grote organisaties, brengt nieuwe en andere requirements met zich mee. Digital agencies kunnen bijvoorbeeld te maken krijgen met GRC-afdelingen (governance, risk en compliance) en procurement-teams, die werken met uitgebreide processen en vragenlijsten en eisen stellen aan onder meer informatiebeveiliging, toegangsbeheer en leveranciersmanagement.
Enterprise-klanten beoordelen daarbij niet alleen de kwaliteit van het werk, maar ook de organisatie daarachter: zijn processen en verantwoordelijkheden goed geregeld en aantoonbaar?
Dat laatste is belangrijk, omdat enterprise-klanten niet alleen willen weten dat zaken goed geregeld zijn, maar dit ook willen zien. GRC- en procurement-teams beoordelen op basis van bewijs: wie heeft toegang tot welke systemen, hoe is dat vastgelegd, wat gebeurt er bij een incident en hoe worden eigen leveranciers beoordeeld? Het verschil tussen ‘wij doen dat goed’ en ‘wij kunnen dat laten zien’ staat daarmee centraal bij enterprise-readiness.
Vijf vereisten om enterprise-klanten te winnen
Kortom, digitale agencies die enterprise-klanten willen winnen, moeten kunnen laten zien dat verantwoordelijkheden, processen en informatiebeveiliging aantoonbaar op orde zijn. Vijf criteria komen daarbij veelvuldig terug in vendor assessments:
1. Toegangsbeheer: Geregeld én geregistreerd
Dit is veruit de meest bevraagde categorie. En de minst verrassende: een digital agency heeft toegang tot systemen van zijn klant, dus die klant wil precies weten wie dat zijn, hoe die toegang is geregeld en wat er gebeurt als iemand uit dienst gaat of van rol wisselt. Een bureau dat hier direct op kan antwoorden, met documentatie, zet meteen de toon voor de rest van het gesprek.
Problematisch wordt het wanneer toegang wordt beheerd door mensen die het ‘wel weten’, maar zonder dat er iets is vastgelegd. Processen die in hoofden zitten bestaan niet voor iemand die dit beoordeelt.
2. Eén aanspreekpunt voor informatiebeveiliging
Er hoeft geen fulltime Security Officer te zijn. Maar er moet iemand zijn die de vraag kan beantwoorden. Dat klinkt laagdrempelig, maar in de praktijk zijn bureaus waarbij informatiebeveiliging impliciet bij de CTO zit, of waarbij het eigenlijk niemands specifieke taak is, aanzienlijk kwetsbaarder bij een beoordeling. Dat is dus niet omdat de intenties niet goed zijn, maar omdat een assessor ook een naam wil; een functie, een aanspreekpunt.
3. Incidenten worden vastgelegd, niet alleen opgelost
Iedereen lost incidenten op. Bureaus die enterprise-ready zijn, leggen ze ook vast: wanneer, wat, welke impact, wat er gedaan is en wat ervan geleerd is. Dat logboek is geen bureaucratische overhead, het is het bewijs dat een organisatie kijkt, leert en bijstuurt.
Een beoordelaar die vraagt naar incidentbeheer en het antwoord krijgt ‘we lossen het altijd snel op’, heeft onvoldoende informatie om positief te beoordelen. Goed bedoeld, maar onvoldoende voor enterprise-level.
4. Zicht op de eigen leveranciers
Enterprise-klanten kijken niet alleen naar een digital agency, maar ook naar de partijen die het bureau inschakelt. Hostingpartijen, cloudplatforms, freelancers en tools met toegang tot klantdata vallen daar bijvoorbeeld onder. De vraag is eenvoudig: heeft het bureau zicht op de eigen keten en hoe worden die partijen beoordeeld?
Ketenverantwoordelijkheid stopt dus niet bij de eigen voordeur, die verwachting geldt ook voor een bureau als leverancier.
5. Een vendor assessment binnen twee weken kunnen beantwoorden
Dit is tegelijkertijd een criterium en een test. Niet doordat een vragenlijst snel wordt ingevuld door intern alles te reconstrueren, maar doordat de informatie er gewoon al ligt. De bewijsstructuur is op orde, iedereen weet wie verantwoordelijk is en de antwoorden zijn consistent. Twee weken is dan ineens ruim genoeg, omdat een bureau eigenlijk in een middag kan aantonen wat er staat.
Van requirements naar enterprise-readiness
Een veelvoorkomende misvatting is dat het doorlopen van een ISO 27001-traject een organisatie automatisch enterprise-ready maakt. De route naar enterprise-readiness dient echter te beginnen met het inzichtelijk maken van welke diensten, klantomgevingen en data binnen de scope vallen en het opbouwen van een eenvoudige bewijsstructuur. Denk aan vastgelegde toegangsrechten, incidentregistratie en een overzicht van leveranciers.
Door deze zaken vervolgens structureel te controleren en bij te werken, ontstaat een werkwijze die ook bij een volgende beoordeling standhoudt.
Enterprise-readiness kan daarmee ook een onderscheidend vermogen worden in het salesproces. Een bureau dat vragen van procurement en GRC snel en aantoonbaar kan beantwoorden, wekt vertrouwen nog voordat een project begint. De vraag is daarom niet óf enterprise-klanten naar dit soort zaken vragen, maar hoe goed een bureau daarop is voorbereid.
