Voor MSP’s begint het waarborgen van naleving bij zichzelf

Als je in een vliegtuig zit, wordt je verteld dat je eerst je eigen zuurstofmasker moet opzetten voordat je iemand anders helpt. Niemand heeft bezwaar tegen dat advies, want het is volkomen logisch. Je kunt anderen niet helpen als je zelf in moeilijkheden verkeert. Hetzelfde geldt voor compliance.

Het is me opgevallen dat veel MSP’s compliance-diensten willen toevoegen omdat hun klanten daar om vragen, de regelgeving verandert of ze daarin een nieuwe kans zien om inkomsten te genereren. Allemaal volkomen legitieme redenen. Maar hier is de ongemakkelijke waarheid:

Als je het compliance-traject niet zelf hebt doorlopen, verkoop je theorie, geen expertise.

En klanten merken het verschil. Uw klanten zijn niet op zoek naar iemand die het raamwerk heeft gelezen. Ze zijn op zoek naar iemand die de uitdagingen zelf heeft meegemaakt, de hiaten heeft overbrugd en begrijpt hoe het er in de praktijk in de praktijk uitziet.

Zonder die ervaring vraag je klanten om je iets toe te vertrouwen wat je zelf nog nooit hebt gedaan. Dat is een gesprek dat je moeilijk kunt winnen.

De auto-industrie heeft deze les al geleerd

Toen gevestigde autofabrikanten begonnen te reageren op nieuwe concurrenten, maakten velen van hen een klassieke fout.

Ze hebben niet alleen hun producten gemoderniseerd. Ze begonnen ook af te stappen van de expertise die hen in de eerste plaats succesvol had gemaakt. Volkswagen bijvoorbeeld zette sterk in op touchscreen-interfaces en schrapte bedieningselementen waarop klanten al jaren vertrouwden. Het resultaat was geen innovatie, maar frustratie. Uiteindelijk hebben ze het roer omgegooid.

De les voor MSP’s is simpel:

Moderniseer uw bedrijf. Laat uw sterke punten niet los.

Het aanbieden van compliance-diensten betekent niet dat je een compliance-bedrijf wordt. Het betekent dat je voortbouwt op het vertrouwen dat je al hebt opgebouwd. Je klanten willen geen totaal andere MSP. Ze willen dat de MSP die ze al vertrouwen, hen helpt bij het oplossen van een nieuw probleem.

Naleving wordt steeds meer een aankoopcriterium

Jarenlang konden MSP’s vooral concurreren op het gebied van servicekwaliteit, reactievermogen en technische expertise. Dat is nu niet meer voldoende.

Regelgeving zoals NIS2 in de EU of de Cyber Security and Resilience Bill (CSRB) in het Verenigd Koninkrijk zorgt voor toenemende druk op het gebied van naleving in heel Europa, en ook elders duiken soortgelijke eisen op. Veel organisaties komen erachter dat naleving niet alleen gevolgen heeft voor henzelf, maar ook voor elke leverancier waarvan zij afhankelijk zijn.

Dat geeft een heel andere wending aan het gesprek.

Klanten vragen steeds vaker niet: „Kunt u mijn IT beheren?”, maar: „Kunt u mij helpen de risico’s in mijn bedrijf te verminderen?”

Dat zijn heel verschillende vragen. De MSP die kan aantonen dat hij beschikt over operationele volwassenheid, goed bestuur, beveiliging en bewustzijn op het gebied van compliance, zal een aanzienlijk voordeel hebben ten opzichte van de MSP die alleen maar over tickets en SLA’s praat.

Met andere woorden: naleving is niet langer alleen maar een kans om omzet te genereren. Het wordt steeds meer een vereiste om concurrerend te blijven. Als je het lang genoeg negeert, zal iemand anders dat gesprek met je klant voeren.

Bij naleving gaat het om vertrouwen, niet om regelgeving

Een fout die ik in het verleden heb gemaakt en die ik nu nog vaak zie, is dat compliance wordt beschouwd als een kwestie van wetgeving. Dat is het niet. Wetgeving is slechts één van de bronnen van druk. Investeerders willen voorspelbaarheid. Banken willen veerkracht. Verzekeraars willen minder risico. Klanten willen geruststelling.

Iedereen stelt zich eigenlijk dezelfde vraag: “Kan ik dit bedrijf vertrouwen?”

Daarom is naleving zo belangrijk. Wat klanten eigenlijk kopen, is geen raamwerk, geen audit en geen beleidsdocument. Ze kopen vertrouwen.

En de snelste manier om je geloofwaardigheid te verliezen, is door advies te geven dat je zelf niet hebt opgevolgd.

Doe het werk voordat je het werk verkoopt

Dit is waar veel MSP’s het verkeerd aanpakken. Ze stellen eerst een dienstenaanbod samen en werken de operationele details pas later uit. Ik zou juist het tegenovergestelde aanraden. Zorg eerst dat je aan de voorschriften voldoet. Zet vervolgens wat je hebt geleerd om in een product.

De tekortkomingen die je binnen je eigen bedrijf ontdekt, zijn vaak dezelfde tekortkomingen waar je klanten mee worstelen. De vragen die je auditors stellen, zijn de vragen waarmee je klanten te maken zullen krijgen. De documentatie die je nodig hebt, is de documentatie die je klanten nodig zullen hebben. Het proces wordt het product. En dat is waar echte waarde wordt gecreëerd.

Niet uit theorie, maar uit ervaring.

Begin met één vraag

Als ik vandaag een MSP zou runnen, zou ik niet beginnen met het opzetten van een compliance-dienst. Ik zou beginnen met een veel eenvoudigere vraag te stellen: wat is op dit moment het grootste risico voor mijn eigen bedrijf?

Niet vijf risico’s, niet tien. Slechts één.

Zoek het op. Meet het. Pak het aan. Leg vast wat je hebt geleerd. En herhaal het vervolgens.

Want dit is nu eenmaal de realiteit:

Als je je eigen risicopositie niet kunt uitleggen, zullen je klanten er niet op vertrouwen dat je die van hen kunt verbeteren.

Oproep tot actie

Breng vóór het einde van deze maand de grootste compliance- of operationele risico’s binnen je eigen MSP in kaart. Begin niet met een klantbeoordeling. Begin niet met een marketingplan. Begin bij je eigen bedrijf. Bekijk je documentatie, je processen en je controles, en breng de tekortkomingen in kaart. Stel jezelf vervolgens een eenvoudige vraag:

Zou ik me op mijn gemak voelen als ik deze tekortkoming aan mijn grootste klant zou moeten uitleggen?

Als het antwoord ‘nee’ is, heb je zojuist je uitgangspunt gevonden. Want de beste MSP’s zijn niet degenen die over compliance praten. Het zijn degenen die bewijzen dat ze het al hebben gedaan.