Cloudkosten beheersen: van verbruik tot meerjarenraming

Cloudkosten beheersen: van verbruik naar meerjarenraming

Cloudkosten beheersen gaat verder dan een maandfactuur verlagen. Je stuurt op waarde, risico en voorspelbaarheid: welke diensten leveren echt iets op, welke afhankelijkheden ontstaan en wat betekent het verbruik van vandaag voor de begroting van de komende jaren? FinOps sluit daarbij aan: stuur niet alleen op lagere kosten, maar ook op de waarde van technologie-uitgaven.

Dat sturen is niet vanzelfsprekend. De Algemene Rekenkamer concludeerde in januari 2025 in Donkere wolken pakken samen dat het Rijk ondoordacht de cloud in ging en beperkt zicht heeft op clouddiensten. Voor twee derde van de belangrijkste clouddiensten waren de vereiste risicoafwegingen niet gemaakt. Tegelijk werkt de Nederlandse overheid aan een overheidsbrede soevereine cloudaanpak om minder afhankelijk te worden van een klein aantal externe leveranciers.

Dit artikel doorloopt de keten: van zicht op verbruik via toerekening en risicoafweging naar FinOps, monitoring en een onderbouwde meerjarenraming. De rode draad: kostenbeheersing en risicobeheersing zijn dezelfde afweging.

Eerst zicht op alle clouddiensten en verbruiksvormen

Je kunt niet beheren wat je niet ziet. Cloud zit op veel plekken in de IT-omgeving: kant-en-klare software (SaaS), platformen waarop je zelf applicaties bouwt (PaaS) en gehuurde servers en netwerkcapaciteit (IaaS). Daarnaast zijn er afgeleide vormen zoals virtuele desktops, e-mail en samenwerkingsplatformen, vaak ingekocht via verschillende afdelingen. Zonder totaalbeeld is onduidelijk waarvoor je betaalt en of dat het geld waard is.

Hoe versnipperd dat kan zijn, laat het Rijk zien. Van de 1.588 in het Rekenkameronderzoek gerapporteerde clouddiensten was van ruim een kwart (26%) niet bekend om welke cloudvorm het ging. De Rekenkamer noemt dat verontrustend, omdat de soort cloud een basaal gegeven is. Begin daarom met een inventarisatie per dienst: soort cloud, leverancier, eigenaar, verbruikseenheid en contractvorm.

Verzamel bij die inventarisatie direct de verbruiksdata van de leverancier: facturen, gebruiksrapporten, abonnementsaantallen en verbruiksmetrieken. Alleen daarmee kun je later toewijzen, budgetteren en ramen.

Van tags en teams naar kostenplaatsen

Zodra je weet wat je hebt, koppel je elke clouddienst aan een eigenaar. Dat gebeurt met tagging: labels aan resources toekennen, vergelijkbaar met hashtags, zodat zichtbaar is bij welk team, bedrijfsonderdeel of welke waardestroom een asset hoort. Zonder adequate tagging is het vrijwel onmogelijk te zien welke assets bij welke gebruikers horen. Maak tagging daarom verplicht bij inkoop en inrichting, met vaste velden zoals team, kostenplaats, omgeving en toepassing.

Naast tagging is een beheerkader nodig: regels en grenzen voor effectief cloudgebruik, met goedkeuring of weigering wanneer iemand resources inzet. Zo'n kader geeft medewerkers richtlijnen om geld efficiënt te besteden, in plaats van dat elke afdeling zelf beslist.

Koppel de toerekening aan je financiële administratie. Elke tag vertaalt zich in een kostenplaats of project, zodat maandelijkse cloudkosten aansluiten op de begroting en afdelingsmanagers hun eigen verbruik herkennen.

Kosten en cloudrisico’s in dezelfde afweging

Kostenbeheersing zonder risicobeheersing geeft een vertekend beeld. De Rekenkamer onderzocht de belangrijkste public cloud-diensten bij het Rijk: meer dan de helft wordt ingekocht bij de Amerikaanse bedrijven Amazon, Microsoft en Google. Dat brengt risico’s mee, bijvoorbeeld als buitenlandse overheden gegevens opeisen bij de cloudaanbieder, of als zo’n bedrijf failliet gaat of gehackt wordt. Van de 126 belangrijkste public cloud-diensten was bij 84 (67%) geen risicoafweging gemaakt.

De Rekenkamer wijst er ook op dat cloudstrategie en cloudbeleid per ministerie verschillen. Die versnippering bemoeilijkt afspraken tussen bijvoorbeeld ministeries, overheidsdatacentra en cloudleveranciers.

De Nederlandse Digitaliseringsstrategie (NDS) noemt cloud als prioriteit en constateert dat de overheid te afhankelijk is van een klein aantal externe leveranciers. De inzet: een overheidsbrede soevereine clouddienst, een centrale overheidsmarktplaats voor cloudtechnologieën en essentiële gegevens en diensten niet langer in de publieke cloud onderbrengen. Voor individuele organisaties geldt dezelfde les: weeg afhankelijkheid, soevereiniteit en uitwijkbaarheid mee naast prijs en gemak.

Voordelen en risico’s van afhankelijkheid van grote cloudleveranciers

Belangrijke cijfers uit het Rekenkameronderzoek (2025)

Ontwikkeling van de Nederlandse Digitaliseringsstrategie (NDS) – Prioriteit 1: Cloud

FinOps: sturen op waarde in plaats van alleen verlagen

FinOps verlegt de focus van cloudkosten verlagen naar het maximaliseren van de bedrijfswaarde van technologie-uitgaven. Dat betekent een vaste cyclus: budgetteren, verbruik volgen, afwijkingen signaleren en bijsturen. Zet per team of dienst een budget met signaleringen, en koppel overschrijdingen aan een goedkeuringsstap in plaats van aan een verrassing achteraf.

Rightsizing hoort in die cyclus: beoordeel periodiek of afgenomen capaciteit, licenties en abonnementen nog passen bij het werkelijke gebruik. Cloudkostentools richten zich vaak op budgettering, voorspelling en rightsizing. Belangrijker dan de tool is de afspraak wie waarvoor verantwoordelijk is en hoe vaak je bijstuurt.

Gartner voorspelt, zo citeert een VMware-blog uit 2023, dat 60% van de leiders te maken krijgt met kostenoverschrijdingen in de publieke cloud. Een expliciete kostenstrategie helpt organisaties de totale uitgaven en het gebruik van diensten te optimaliseren.

Monitoring als vroege waarschuwing voor kosten en prestaties

Monitoring waarschuwt vroeg bij zowel kosten als prestaties. Onderscheid realtime monitoring, die direct waarschuwt bij problemen en snelle interventie mogelijk maakt, en historische analyse, die patronen zichtbaar maakt voor capaciteitsplanning en prestatieverbetering op lange termijn.

Afhankelijk van je omgeving heb je verschillende tools nodig: API-monitoring voor communicatie tussen systemen, netwerkmonitoring voor de onderliggende infrastructuur en applicatie performance monitoring voor het gedrag van individuele applicaties. In cloudomgevingen komt daar monitoring bij die specifiek kijkt naar verbruik en naar de kwaliteit van diensten die via die integraties lopen.

Koppel de uitkomsten aan je afspraken: gebruik signaleringen om serviceafspraken (SLA’s) te bewaken, downtime te beperken en verbruiksdata te vertalen naar capaciteitsplanning. Zo worden technische signalen input voor budget en raming.

Van maandfactuur naar meerjarenraming

Een meerjarenraming bouw je op drie lagen. De eerste is historie: wat is de afgelopen periode werkelijk verbruikt en afgerekend, uitgesplitst naar dienst, team en verbruikseenheid. De tweede is groei: welke nieuwe medewerkers, klanten, applicaties of datavolumes zijn voorzien, en welk effect heeft dat op het verbruik. De derde is scenario: een voorzichtige, verwachte en ambitieuze variant, zodat je niet van één getal afhankelijk bent.

Werk bij het ramen met bandbreedtes in plaats van puntvoorspellingen, en benoem de aannames expliciet: contractduur, prijsindexatie, verwachte migraties en het moment waarop nieuwe diensten in gebruik gaan. Herijk de raming periodiek met actuele verbruiksdata, zodat de begroting meebeweegt met de werkelijkheid.

Betrek risico’s in de raming. Afhankelijkheid van een klein aantal leveranciers of van één regio kan betekenen dat je moet uitwijken, en dat kost geld en tijd. Neem zulke scenario’s mee in de financiële planning, niet als losstaand IT-risico.

Passende cloudmodellen en governance per organisatie

De beste keuze hangt af van bedrijfsomvang, IT-kennis in huis, beveiligingseisen en groeiambities. Voor veel MKB-bedrijven is SaaS het meest geschikt: geen eigen servers, voorspelbare abonnementskosten en direct beschikbare e-mail, documenten en samenwerking, zoals Microsoft 365 of Google Workspace. Bedrijven met meer maatwerk of eigen applicaties kiezen vaker voor een platform als Microsoft Azure of Google Cloud.

Verdeel de keuze langs de drie modellen: bij SaaS gebruik je kant-en-klare software, bij PaaS bouw je eigen applicaties op een cloudplatform en bij IaaS huur je alleen servers en netwerkcapaciteit. Hoe groter je maatwerkbehoefte en hoe meer controle je over de omgeving wilt, hoe verder je opschuift richting PaaS en IaaS — met verantwoordelijkheid voor beheer en beveiliging.

Versnipperd cloudbeleid is een terugkerend risico. De Rekenkamer zag dat cloudstrategie en cloudbeleid per ministerie verschilden, wat afspraken met leveranciers en datacentra bemoeilijkt. De NDS zet daar uniforme definities voor cloudsoorten, gebundeld inzicht in de vraag, geselecteerde standaarden (zoals Haven plus van de VNG en SURFCumulus van SURF) en een gezamenlijke aanpak tegenover. Voor elke organisatie geldt dezelfde basis: één beleidskader, eenduidige definities en een vaste route voor nieuwe cloudvragen.

Vergelijking van cloudmodellen: SaaS, PaaS en IaaS

Stappenplan: van verbruik naar beheersbare meerjarenraming

Stappenplan: van verbruik naar beheersbare meerjarenraming