AI voor MSP-servicedesks: van PSA-ticket naar gecontroleerd herstel

Een printerstoring in de ene klanttenant lijkt vaak op dezelfde storing in de volgende. Zelfs de servernaam kan gelijk zijn. Een agent die het ticket aan de verkeerde klant koppelt of buiten het runbook een service start, verplaatst de fout van een wachtrij naar een incident.

De Nederlandse ServiceNow-factsheet meldt een AI-agentincident bij 91% van een steekproef met 175 securityleiders. De openbare uitsplitsing geeft geen verdeling naar bedrijfsgrootte of incidenternst, dus gebruik dit als risicocontext en niet als mkb-voorspelling. De FLOH-duiding laat zien waarom die beperking bij de cijfers hoort.

Een tenantgebonden AI-herstelstroom koppelt een PSA-ticket eerst aan precies één klant en één beheerd endpoint. De agent leest alleen de bijbehorende context en voert toegestane read-only diagnostiek uit. Hij legt bron, risico en verwachte impact vast. Een technicus keurt iedere wijziging goed en controleert daarna het endpoint en de PSA-status.

Een klantenservicebot volgt de klantvraag, CRM-relatie en overdracht aan een medewerker. De klantgerichte proef met kennisbron, CRM-ticket, overdracht en terugleescontrole behandelt die kooproute. Hier staat één klanttenant en een herstelvoorstel voor een beheerd systeem centraal. Productdetails en prijzen zijn gecontroleerd op 7 november 2026.

Wat je nodig hebt

Begin met één PSA-ticketstroom en één soort herstel. Houd andere herstelklassen buiten de eerste proef.

• Een PSA en een RMM die je al beheert. Kies één systeem als bron van de klant, het ticket en het assetnummer. Autotask PSA werkt als concreet voorbeeld. SuperIT noemt native koppelingen voor ConnectWise PSA, Autotask, HaloPSA en Accelo, met een Digital Twin en Endpoint RMM Agent voor diagnose en goedgekeurde opdrachten. Zijn je tickets in ConnectWise PSA, gebruik dan dezelfde gegevensgrens met de board- en statusvelden van die omgeving.
• Een afgebakend tickettype. Kies bijvoorbeeld Monitoring / Printer / Incident voor tickets waarbij de Windows Print Spooler is gestopt. Neem de laatste 30 afgeronde tickets van dit type en noteer hoeveel de klant, het asset en het runbook goed koppelen.
• Een versiebeheerd runbook. Het document noemt de toegestane diagnose, het bewijs dat de diagnose ondersteunt, de enige herstelactie die de agent mag voorstellen, het verwachte gevolg en de terugvalroute. Zet een eigenaar, versienummer en herzieningsdatum op het document.
• Een stabiele tenant- en apparaatidentiteit. Gebruik de interne company-ID uit de PSA en het unieke asset- of configuration-item-ID. Een klantnaam of hostnaam uit de vrije tickettekst is onvoldoende als enige sleutel.
• Afzonderlijke rechten voor PSA en endpoint. De PSA-gebruiker beheert de ticketverbinding. De RMM-uitvoerder krijgt een eigen opdrachtbeleid. Gebruik geen gedeelde beheerderstoken voor tickets én PowerShell.
• Een testomgeving en proefdata. Maak een testticket voor de gekozen klant, één asset met een bekend probleem en één foutgeval met ontbrekende of dubbele apparaatidentiteit. Gebruik synthetische tickettekst zolang echte klantgegevens geen toegevoegde waarde geven.
• Een eigenaar voor iedere beslissing. Benoem de eigenaar van tenantmapping, runbooks, technische vrijgave en verificatie. Reserveer als startinschatting een halve dag beheerwerk en twee korte reviews met de servicedesklead.
• Een kostenblad met de juiste valuta. n8n Cloud Starter kost op de gecontroleerde pagina €20 per maand bij jaarlijkse betaling. SuperIT toont nu Free en Growth à US$499 per maand; de gratis route is beperkt in AI-oplossingscredits. Een model-API, inrichting, logging en beheer komen daar eventueel bij.

Vink af of bedrijfssleutel, asset-ID, queue, runbookversie en bevoegde technicus in de testdata staan.

Concrete stappen: van PSA-ticket naar goedgekeurd herstel

De volgorde is vast: identiteit, runbook, read-only diagnose, voorstel, technicusvrijgave, uitvoering en controle. De agent mag geen stap overslaan omdat de tickettekst overtuigend klinkt.

1. Kies een ticketklasse die één oorzaak en één herstelactie heeft

Kies een terugkerend patroon, bijvoorbeeld Monitoring / Printer / Incident wanneer de Windows Print Spooler is gestopt. Printer werkt niet is te breed. Houd andere printertickets buiten de pilot, ook als de melder hetzelfde probleem vermoedt.

Trek de laatste 30 tickets uit de gekozen queue. Noteer company-ID, asset-ID, diagnose, runbookversie en minuten tot de eerste technische conclusie. Deel ze in als juiste diagnose, geen match of onvoldoende gegevens. Een identieke titel bewijst niet dat twee tickets dezelfde herstelroute hebben.

Controle: je kunt alle 30 tickets aan dezelfde queue en één runbook koppelen. Zo niet, verklein het tickettype voordat je een agent instelt.

2. Koppel ticket, tenant en asset met vaste sleutels

Maak de PSA-company-ID en het asset-ID verplicht. Een hostnaam uit vrije tekst is geen tweede sleutel: die kan zijn hergebruikt of ook in een andere klanttenant voorkomen. Laat een lege, dubbele of conflicterende match meteen naar de gewone servicedeskqueue gaan.

In Autotask heet het klantrecord Company; afhankelijk van de lokale terminologie kan het Account, Organization, Client, Business Unit of Site heten. SuperIT synchroniseert de company pas nadat een beheerder die bewust aan een apart managed team koppelt. De Autotask-koppeling gebruikt per klantcompany een afzonderlijk beheerd team. Open Settings → Integrations → PSA provider → Manage teams, koppel één pilotklant en laat de rest van de database nog buiten scope.

Controle: een testticket van tenant A is alleen zichtbaar binnen team A. Een asset-ID uit tenant B stopt vóór de diagnose. Bewaar de mislukte match als bewijs dat de grens werkt.

3. Maak een eigen API-gebruiker voor Autotask

Kopieer in Autotask het beveiligingsniveau API User (system) (API-only) naar een herkenbare integratierol. Maak een aparte API-only gebruiker, koppel die rol en genereer een eigen gebruikersnaam en geheim. Gebruik geen persoonlijk beheerdersaccount.

SuperIT’s setup registreert webhooks voor tickets en notities. De rol heeft daarvoor Can create WebHooks nodig en een maximum van minstens 2. Kies Integration Vendor: SuperIT; Custom geeft volgens de handleiding een ander tracking-ID. Laat Ticket polling fallback aan, met de huidige standaard-lookback van 240 minuten. De Autotask-handleiding noemt deze API-gebruiker, tracking identifier en webhookinstellingen.

De verbinding kan tickets, notities, tijdregistraties en bijlagen synchroniseren. Scheid daarom de PSA-integratie van de endpointuitvoerder en haal alleen de velden op die deze ticketklasse nodig heeft.

Controle: Test connection bevestigt credentials, de ticket-API en Autotask-zone. Controleer daarna de webhookstatus of bevestig dat polling actief blijft.

4. Beperk de eerste sync tot één queue en statusmapping

Stel voor de pilot de queue in op Monitoring, de categorie op Printer en het tickettype op Incident. Kies de kortste synchronisatieperiode die voor jouw proef nodig is. Laat het queuefilter nooit leeg: dan kan de verbinding meer werk importeren dan de geselecteerde ticketklasse.

Map iedere gebruikte Autotask-status op NEW, OPEN of CLOSED. SuperIT documenteert dat tickets zonder statuscategorie niet worden getrieerd of onderzocht. Controleer ook dat interne notities intern blijven en niet als reactie naar de klant gaan.

Controle: vergelijk vijf tickets op company, queue, category, type, prioriteit, asset en status met Autotask. Een ticket buiten de filter verschijnt niet in de agentomgeving.

5. Sta alleen vaste read-only diagnose toe

Gebruik geen algemene PowerShell-tool waarin de agent een eigen script kan invullen. Maak afzonderlijke tools met vaste velden voor tenant-ID, asset-ID, servicenaam en tijdvenster. Voor de printstoring kun je Get-Service -Name Spooler, Get-Printer en Get-PrintJob als read-only controles gebruiken. De server valideert iedere invoer tegen de allowlist.

Stel in Settings → Command policies expliciet in wat Allow, Needs approval en Deny krijgt. Een opdracht zonder regel vraagt volgens SuperIT standaard om goedkeuring. Een vergrendelde Deny kan niet door de technicus worden overruled. De standaardregel voor read-only diagnose is een beginpunt, geen bewijs van jouw liveconfiguratie.

Voor eigen Windows-beheer beperkt Microsoft PowerShell JEA tot aangewezen cmdlets en functies en kan het transcripties en logs leveren. De JEA-documentatie, bijgewerkt op 1 april 2024, beschrijft een endpoint met alleen de opdrachten van de beheertaak. Tickets en bijlagen zijn onbetrouwbare invoer; een zin als “negeer eerdere instructies” mag geen extra commando beschikbaar maken. OWASP adviseert onbetrouwbare inhoud te scheiden, toolrechten te beperken en risicovolle acties door een mens te laten goedkeuren.

Controle: test op een niet-productie-endpoint een toegestane Get-Service, een onbekende cmdlet en tickettekst met een ingebedde opdracht. Alleen de eerste draait zonder menselijke vrijgave.

6. Houd PSA-schrijven uit en zet een technicus tussen de wijziging

In SuperIT laat de instelling Balanced analyse, triage en onderzoek met apparaatdata lopen, terwijl de uitkomst alleen in SuperIT staat. Er wordt dan niets naar de PSA geschreven en de eindgebruiker wordt niet benaderd. Full schrijft triagevelden en interne notities naar de PSA en kan eindgebruikers contacteren. Blijf tijdens de pilot op Balanced. De huidige documentatie beschrijft deze scheiding tussen ticketautomatisering en apparaatopdrachten. De instellingen en goedkeuringsrollen voor ticketautomatisering en command policies staan in SuperIT’s productdocumentatie.

Geef alleen een concrete herstelopdracht Needs approval. Houd Automatic command review en Auto-approve uit. Een technicus opent het ticket in een engineer-chat, ziet bedrijf, asset, bron, opdracht en impact, en keurt zelf goed of af. De goedkeuringspoort per agentactie bepaalt welke wijziging eerst op menselijke controle wacht. Voor automatische ticketanalyse zonder chat zegt de documentatie dat opdrachten die goedkeuring vragen worden overgeslagen.

n8n kan een geselecteerde AI-tool laten wachten op een reviewer, die de voorgestelde parameters ziet. De menselijke klik vervangt de servercontrole van company-ID, asset-ID en toegestane waarden niet. n8n laat een workflow pauzeren tot iemand de toolaanroep goedkeurt of afwijst. Als je de beslissing in Teams wilt tonen, laat de klik terugkomen bij de PSA- of workflowregistratie. Een Teams-app kan een akkoordkaart doorgeven aan het systeem dat de aanvraag beheert.

Controle: zonder engineer-chat loopt alleen de toegestane diagnose. De herstelactie wacht tot een bevoegde technicus de exacte opdracht goedkeurt. Afwijzen stopt de uitvoering; er is geen automatische tweede route die dezelfde wijziging toch doet.

7. Laat het voorstel bron, risico en impact tonen

Bewaar PSA-ticket-ID, company-ID, asset-ID, runbooknaam en versie, tijdstip, read-only resultaten, bronpassages, voorgestelde actie, risico, verwachte impact, stopregel en goedkeurder. Zet bron-ID en ticket-ID naast de tekst zodat een reviewer de bron kan openen.

Houd waarneming en gevolgtrekking uit elkaar. “Spooler staat gestopt” is een waarneming. “Een driverupdate veroorzaakte het” vraagt apart bewijs. Als een bron ontbreekt, de runbookversie verlopen is of twee bronnen botsen, gaat het voorstel naar menselijke controle.

De technicus moet begrijpen welke gebruikers een servicestart kan raken en welke controle na afloop nodig is. Een servicestatus die weer op “Running” staat bewijst niet dat de afdruk is verwerkt. De algemene productiescorecard voor AI-agents meet per taaktype bewijs, vrijgavetijd, herstelduur en teruglezing. De bredere agentbewaking met audittrail en kill-switch helpt acties achteraf reconstrueren en de route zo nodig stoppen.

Controle: laat een technicus die niet bij de test was het voorstel beoordelen. Die moet uit ticket, bron en runbook kunnen aanwijzen waarom klant, endpoint en actie bij elkaar horen. Ontbreekt één sleutel of impactregel, dan blijft het ticket in de uitzonderingsqueue.

8. Oefen time-outs, teruglezing en uitzonderingen

Test vier foutgevallen: ontbrekende company-ID, dubbel assetrecord, verouderd runbook en een diagnose zonder oorzaak. Gebruik minstens tien tickets uit dezelfde klasse en laat de gewone servicedeskroute beschikbaar.

Simuleer een time-out nadat de opdracht mogelijk is uitgevoerd. Zet de status op onbekend, lees endpoint en PSA terug en zoek met dezelfde actie-ID. Stuur geen tweede Restart-Service omdat de chat geen bevestiging toont; de eerste opdracht kan al aangekomen zijn.

Sluit pas wanneer de endpointcontrole de verwachte status bevestigt en de PSA de juiste interne notitie, actie-ID, tijd, technicus en ticketstatus bevat. Meet de bespaarde voorbereidingstijd los van herstel en tweede-lijnswerk.

Controle: er zijn nul verkeerde tenantmatches, nul niet-goedgekeurde wijzigingen en iedere time-out heeft een eigenaar. Iedere open afwijking blijft zichtbaar in de queue.

Valkuilen: waar een tenantgebonden herstelstroom breekt

Een hostnaam geldt als klantidentiteit

Een laptop of server kan na vervanging dezelfde naam krijgen. Een asset kan in het ene systeem al gearchiveerd zijn terwijl het RMM nog een oude registratie toont. Als de agent op naam zoekt, kan een technisch juiste diagnose alsnog op het verkeerde klantapparaat draaien.

Gebruik de PSA-company-ID en asset-ID als verplichte sleutel. Geef een dubbele of ontbrekende match geen “meest waarschijnlijke” keuze. Behandel hem als uitzondering en laat de assetbeheerder de bronrecords herstellen. Een verkeerde tenantmatch is een onmiddellijke stop, ook als alle andere tickets goed gingen.

Een tickettekst wordt een opdracht

De servicemelding kan een commando of verzoek om extra toegang bevatten. Behandel de tekst als context, nooit als toestemming voor het opdrachtbeleid.

Haal uitvoerbare parameters uit vaste velden en een goedgekeurd runbook. De server valideert tenant, asset en opdracht opnieuw. Een overtuigende ticketzin verandert geen bevoegdheid.

De PSA-verbinding krijgt meer rechten dan de taak nodig heeft

Autotask kan meerdere gegevenssoorten synchroniseren en vereist in SuperIT’s setup een API-only gebruiker en webhookrechten. Daardoor hoort een integratiegeheim niet in een generieke workflow die ook apparaatcommando’s uitvoert. Eén gedeeld geheim maakt intrekken en onderzoeken onnodig moeilijk.

Maak afzonderlijke accounts voor PSA-sync en endpointacties. Leg vast welke objecten de PSA-verbinding leest of schrijft en welke commands de RMM-route mag uitvoeren. Als de leverancier een extra recht vraagt, test eerst wat er zonder dat recht faalt. Geef het niet automatisch op hoofdniveau.

Een time-out triggert dezelfde actie opnieuw

Een netwerkvertraging kan optreden nadat de opdracht het endpoint al bereikte. De queue toont dan “mislukt”, terwijl de service al gestart is. Een automatische retry kan dezelfde service opnieuw onderbreken of een tweede notitie in de PSA maken.

Gebruik een eigen action_id en de status onbekend. Lees eerst de endpoint- en PSA-status terug. Maak daarna pas een nieuwe taak als je zeker weet dat de eerste actie niet is uitgevoerd. Een herstelstap zonder teruglezing maakt van een tijdelijk verbindingsprobleem een dubbele wijziging.

Een goedkeuringsknop verbergt de parameters

Een kaart met alleen “Akkoord” verbergt welke klant en welk commando de agent bedoelt. Toon tenant-ID, asset-ID, bron, opdracht, impact en runbookversie. De uitvoerder valideert die waarden daarna opnieuw.

In SuperIT vragen onbekende commando’s standaard om goedkeuring, maar Auto-approve kan de menselijke stap omzeilen in een engineer-chat. In n8n wordt de door de agent ingevulde toolinvoer getoond aan de reviewer. Behandel beide instellingen als onderdeel van de proef en controleer de liveconfiguratie voordat er echte klanttenants zijn aangesloten.

Een leveranciersscore wordt gelezen als autonome herstelratio

SuperIT rapporteert in vroege evaluaties dat technicusdoelen in 91,1% van de beoordeelde gesprekken volledig of deels werden bereikt; 74,1% werd duidelijk nuttig of doorslaggevend gevonden. Het zijn leveranciersuitkomsten, geen autonome herstelratio’s. ChannelE2E schrijft beide cijfers toe aan SuperIT’s vroege evaluatie bij MSP-partners. Vraag naar selectie, noemer, betekenis van “deels” en resterende technicustijd voordat je de resultaten met je eigen proef vergelijkt.

Gegevenslocatie en verwerking blijven buiten beeld

ChannelE2E meldde dat SuperIT klantdata in Australië opslaat en AI-functies Amerikaanse modelproviders gebruiken; de uitspraak dat die data niet voor modeltraining wordt gebruikt komt ook van SuperIT. Controleer vóór synchronisatie verwerkers, bewaartermijn, verwijdering en doorgifte. De Europese Commissie noemt dataminimalisatie en transparantie over doorgifte buiten de EU als principes. De Commissie adviseert alleen noodzakelijke persoonsgegevens te verwerken en overdracht buiten de EU te melden.

Gebruik kleine proefdata en scherm namen, contactgegevens, externe IP-adressen en geheimen af. Past de leverancier niet bij de afgesproken opslagregio, kies een passende route of houd de taak handmatig.

Beslis-kader: wanneer kopen, bouwen of handmatig afhandelen?

De keuze wordt bepaald door het aandeel tickets dat veilig met vaste context kan worden onderzocht, de tijdwinst na menselijke review en de controle over tenant- en endpointrechten. Een groot totaalvolume helpt niet wanneer slechts een klein deel een uniek asset en een actueel runbook heeft.

Meet de nulmeting op 30 recente tickets. Gebruik als eerste grens dat minstens 70% de juiste klant-ID, asset-ID, queue en runbookversie heeft. Dit is een pilotdrempel, geen sectorbenchmark. Zit je eronder, herstel eerst de PSA- en RMM-registraties. AI kan die gegevens opvragen, maar een waarschijnlijkheidsmatch is geen klanttenantcontrole.

Bereken daarna de tijdwinst voor alleen de eerste diagnose en ticketvoorbereiding:

Netto uren per maand = eligible tickets × (handmatige minuten − reviewminuten) / 60 − vaste beheeruren

In deze gids neem ik als rekenvoorbeeld 18 minuten handmatige diagnose, 4 minuten review en 4 vaste beheeruren per maand. Daarmee leveren 45 contextcomplete tickets ongeveer 6,5 uur netto capaciteit op: 45 × 14 / 60 − 4 = 6,5. Deze 45 tickets en circa 6 uur vormen alleen een operationele grens voor een korte pilot, geen koop- of opschalingsadvies. Bij een interne waarde van €60 per uur is die capaciteit theoretisch €390 waard, maar alleen als je haar factureert, extra werk opvangt of aantoonbaar inhuur of overwerk vermijdt.

Toets vóór opschaling ook de totale maandwaarde: (geschikte tickets × (handmatige minuten − reviewminuten) / 60 − beheeruren) × werkelijk inzetbare uurwaarde − licentie − extra credits/model-API − hosting/logging − inrichting per maand. Gebruik één valuta, zet eenmalige inrichting om naar een maandbedrag en tel beheeruren niet dubbel als je ze al van de urenwinst aftrekt. Vervang de aannames door je nulmeting. Als tickets niet snel terugkomen of de servicedesk al ruimte heeft, is vrijgekomen tijd niet vanzelf een besparing.

Laat de technicus het runbook volgen wanneer je onder ongeveer 45 geschikte tickets per maand blijft, minder dan 6 uur netto capaciteit wint, geen eigenaar hebt voor uitzonderingen en verificatie, of geen begrensd pilotbudget kunt vrijmaken. Zet de agent eventueel in een afgesloten testomgeving voor het opstellen van voorstellen. Houd in productie de huidige handmatige uitvoering aan.

Beproef een MSP-agent met de bestaande PSA-koppeling wanneer je minstens 45 geschikte tickets per maand hebt, de PSA-company en het asset exact te koppelen zijn, één bestaande RMM-route volstaat, de leverancier de dataopslag en goedkeuringsregels accepteert en een eigenaar het pilotbudget goedkeurt. Begin met één tenant, één queue en één actietype. De 45 tickets en 6 uur zeggen alleen dat de stroom operationeel genoeg is om te beproeven; schaal pas op nadat de toets op maandwaarde positief is of een expliciet niet-financieel doel de kosten rechtvaardigt.

Bouw een begrensde workflow rond PSA en RMM-API’s wanneer je meer dan één PSA of RMM combineert, een eigen opslagregio nodig hebt, tenantmapping in je bestaande datalaag moet blijven of de goedkeuringsstap in je eigen servicedesk moet landen. Gebruik n8n voor de orkestratie als het past, maar zet de tenantcontrole, vaste commandoparameters, goedkeuring en append-only actielog achter je eigen API. Je bouwt dan ook het beheer, foutafhandeling en herstelpad.

Een verkeerde tenant, een wijziging zonder technicusvrijgave en een onverklaarde read-back zijn altijd harde stopcriteria. De scorecard voor productieagents gebruikt taaktype, bewijs, vrijgavetijd, herstelduur en gecontroleerde teruglezing om opschaling te beoordelen. Deze gids gebruikt zulke meetpunten om één PSA-taak te toetsen; de scorecard helpt bepalen wanneer je de capaciteit over meerdere perioden verhoogt.

De route is ook anders dan generieke agentbewaking. Een audittrail met actiegeschiedenis, budgetten en een kill-switch laat zien hoe je agents in productie bestuurt. Hier is het eerste ontwerpbesluit welk ticket aan welke tenant en welk endpoint mag worden gekoppeld, en welke wijziging na expliciete technicusvrijgave wordt uitgevoerd.

Uitgewerkt voorbeeld: een printspooler-ticket door de hele keten

Neem een fictieve MSP, Noordkade IT, die Autotask PSA met een RMM gebruikt. De klanttenant heet Kade Administratie en de ticketklasse is een gestopte Windows Print Spooler-service. Alle gegevens hieronder zijn voorbeeldwaarden. De technische stappen gebruiken echte product- en opdrachtbenamingen; de aantallen beschrijven dit fictieve team.

De maand begint met 120 tickets die als printspoolerstoring zijn ingediend. De eerste handmatige diagnose en het voorbereiden van een ticketnotitie kost gemiddeld 18 minuten per ticket. Dat is 120 × 18 = 2.160 minuten, of 36 uur per maand. Dit getal telt de eerste diagnose en ticketvoorbereiding; het omvat geen reparatie of tweede-lijnsonderzoek.

Van die 120 tickets hebben er 84 een exact gekoppelde company-ID, asset-ID, actuele runbookversie en ticketstatus. Dat is 70%. De overige 36 gaan rechtstreeks naar een technicus omdat een sleutel ontbreekt, een apparaat dubbel voorkomt of de queue buiten de pilot valt. De agent voert geen apparaatopdracht uit op die 36 tickets.

Een geldig ticket is AT-26418, met PSA-company-ID C-042, asset-ID A-8803 en endpoint KA-PRINT-02. De bijbehorende runbookversie is in dit fictieve voorbeeld PRN-04 v3. Een read-only Get-Service -Name Spooler toont dat de service gestopt is. Get-PrintJob toont drie wachtende printtaken op het gekoppelde apparaat. Dit is het soort bewijs dat de technicus kan controleren tegen de tickettekst en het assetrecord.

De agent doet één voorstel: Start-Service -Name Spooler, de PowerShell 7.6-opdracht om een service op naam te starten. De verwachte impact is dat actieve printverwerking op deze server weer kan lopen. De technicus controleert eerst dat KA-PRINT-02 de juiste klantserver is en dat het runbook deze actie toestaat. De technicus keurt de opdracht persoonlijk goed. Daarna leest een tweede read-only controle de servicestatus terug en test de medewerker een printopdracht. In Autotask wordt een interne notitie met bron, actie-ID, goedkeurder en uitkomst opgeslagen. Het ticket sluit pas nadat zowel de servercontrole als de PSA-notitie klopt.

Een tweede ticket maakt de grens zichtbaar. Ticket AT-26419 noemt KA-PRINT-02, maar de RMM-inventaris bevat ook KA-PRINT-02-OLD met een vrijwel identieke naam. Het ticket heeft geen asset-ID en de company-koppeling levert geen unieke match. De agent rapporteert twee mogelijke endpoints, voert geen diagnose uit en zet het ticket terug naar de menselijke queue. Dit is een van de 36 contextuitzonderingen, niet een reden om de best passende host te kiezen.

Van de 84 contextcomplete tickets levert de read-only diagnose in 60 gevallen genoeg bewijs voor een herstelvoorstel. In 24 gevallen ontbreekt een oorzaak of is het signaal tegenstrijdig, dus die tickets gaan verder naar een technicus. Van de 60 voorstellen keurt de technicus er 48 goed en wijst er 12 af. Bij de 48 goedgekeurde acties worden er 45 na controle als hersteld afgesloten. Drie acties falen de verificatie en gaan naar een technicus. De uitkomst telt precies op: 45 hersteld + 12 afgewezen + 3 verificatiefouten + 24 onduidelijke diagnose + 36 contextuitzonderingen = 120 tickets.

De tijdsvergelijking meet alleen de eerste diagnose en ticketvoorbereiding. In de agentroute neemt een technicus 4 minuten voor de controle van elk van de 84 contextcomplete dossiers. Dat is 84 × 4 = 336 minuten, of 5,6 uur. De 36 contextuitzonderingen blijven volledig handmatig: 36 × 18 = 648 minuten, of 10,8 uur. Zet 4 uur per maand opzij voor beheer van de runbookversie, rechten, uitzonderingen en de steekproefcontrole. Samen is dat 5,6 + 10,8 + 4 = 20,4 uur. Tegenover 36 uur blijft 15,6 uur per maand over voor ander werk. Reparaties en extra tweede-lijnsonderzoek zijn aan beide kanten buiten deze rekensom gehouden.

Bij een interne rekeneenheid van €60 per uur vertegenwoordigt 15,6 uur €936 aan capaciteit per maand. Dat bedrag is geen directe cashbesparing zolang de uren niet werkelijk wegvallen of aan factureerbaar werk worden besteed. De actuele SuperIT-prijspagina vermeldt op 7 november Free met 200 credits (ongeveer 15 tickets) en Growth met 5.900 credits (ongeveer 450 tickets) voor US$499 per maand. De aankondiging van 2 november noemde betaalde plannen vanaf US$99. Vraag schriftelijk na of die trede nog bestaat.

Voor dit voorbeeld zijn 84 onderzoeken à 11 credits samen 924 credits. Als elk van de 60 voorgestelde herstelgesprekken minimaal 10 credits gebruikt, komen daar minstens 600 credits bij. De ondergrens is dus 1.524 credits voor de maand, vóór herhaalonderzoeken of extra gesprekken. De Free-capaciteit van 200 credits is daarvoor te klein; 5.900 Growth-credits lijken op de huidige gepubliceerde indicatie ruim genoeg. De werkelijke kosten hangen af van complexiteit. De berekende capaciteit is in euro's en het abonnement in Amerikaanse dollars, dus de MSP moet een wisselkoers, inrichting, modelverbruik en beheertijd meenemen voordat hij een terugverdienclaim maakt.

Dit voorbeeld laat zien waarom een bruikbaar herstelpercentage niet de hele beslissing draagt. De 45 afgesloten tickets zijn alleen waardevol doordat de tenantkoppeling klopt, de technicus de exacte actie heeft vrijgegeven en de uitkomst aan de juiste PSA-ticket is teruggelezen. De uitzondering op AT-26419 blijft een geslaagde veiligheidsuitkomst, hoewel de agent geen herstel uitvoerde.

Vergelijkingstabel: welke route past bij één MSP-ticketstroom?

Productdetails en prijzen zijn gecontroleerd op 7 november 2026. Bedragen blijven in de valuta waarin de leverancier ze publiceert. Vergelijk de benodigde rechten, bewaartermijn, implementatie en beheer naast de licentieprijs.

De leveranciersbeschrijving is een shortlist, geen bewijs dat jouw klantmapping klopt. Controleer de tenantgrens en teruglezing daarom op tickets uit je eigen PSA-queue.

n8n rekent per volledige workflowuitvoering, niet per node. De prijspagina toont Starter voor €20 per maand bij jaarlijkse betaling en 2.500 uitvoeringen; de handleiding voor menselijke toolgoedkeuring laat zien welke parameters de reviewer ziet. De API moet tenant en asset daarna nog steeds zelf valideren.

Tel naast abonnementen ook inrichting, API-rechten, modelkosten, logging en handmatige uitzonderingen. Een goedkope licentie weegt niet op tegen een storing waarvan je de oorzaak en actie niet kunt reconstrueren.

Breid de queue pas uit wanneer een technicus de juiste tenant, bewijsbron, runbookactie en bevestigde endpoint- en PSA-uitkomst kan aanwijzen.