Welke koppelingen draaien er in jouw bedrijf? Het register dat je in een middag aanlegt

Er ligt een mail van een softwareleverancier: op een datum in 2027 vervalt een tokenformaat dat je nooit hebt gekozen. Eén vraag beslist of dit jou raakt, en je kunt hem niet beantwoorden. Welke koppelingen draaien er eigenlijk bij mij, en hangt er eentje aan?

Bij de meeste bedrijven van tien tot honderd man staat dat antwoord nergens. Niet uit slordigheid. Elke koppeling is los ontstaan, op een ander moment, door iemand anders, en niemand kreeg ooit de opdracht om ze bij elkaar te zetten. Deze gids legt die lijst aan: in een middag, in een spreadsheet, zonder systeembeheerder.

Wat een koppelingenregister is, en wat het niet is

Een koppelingenregister is één lijst met elke automatische gegevensstroom in je bedrijf erop, met per stroom acht vaste velden: wat er van waar naar waar gaat, hoe vaak, op welk account of token het draait, wie de eigenaar is, wie je belt als hij omvalt, wat hij per jaar kost, welke einddatum al bekend is, en wat er misgaat als hij een week stilstaat.

Het is geen bewakingslaag. Bewaking slaat alarm op de afwezigheid van succes in plaats van op een foutmelding, en die kun je pas bouwen als je weet welke stromen er zijn. Het is ook geen keuze tussen koppelplatformen. Je kiest hier niets. Je telt.

Dat tellen is de laatste jaren zwaarder werk geworden. BetterCloud ondervroeg 525 IT- en securityverantwoordelijken en zag het gemiddelde aantal applicaties bij middelgrote organisaties in één jaar van 116 naar 164 groeien, terwijl maar 56 procent van alle gebruikte apps goedkeuring van IT draagt (gepubliceerd 15 juli 2026). Een app is nog geen koppeling. Maar elke app die aan je mail, je agenda of je administratie hangt, is er wel een, en de helft ervan is nooit langs iemand gegaan die het overzicht bewaakt.

Wat je nodig hebt: een middag en zes soorten toegang

De klus zelf is saai en kort. Waar hij strandt is toegang: halverwege de middag blijkt dat de enige beheerder van je mailomgeving je webbouwer is, en dan ligt de inventarisatie een week stil. Regel deze zes dingen vooraf.

• Twaalf maanden bankafschrift, of de crediteurenlijst uit je boekhouding. Inclusief de zakelijke creditcard van de directie, want daar staan de kleine abonnementen op.
• Beheerderstoegang tot je mailomgeving. Het Microsoft 365-beheercentrum plus Microsoft Entra, of de beheerdersconsole van Google Workspace. Heb je die zelf niet, zet dan nu de naam erbij van wie hem wel heeft.
• Een inlog in elk vakpakket, met zicht op de pagina waar de gekoppelde apps en tokens staan. In Exact Online, AFAS, Moneybird, je planningspakket, je webshop.
• Toegang tot de machine op kantoor. Die ene pc of server waar nog iets nachtelijks op draait, en het wachtwoord van de gebruiker onder wie dat draait.
• De inbox of gedeelde postbus van je administratie, met zoekrechten over minstens een jaar.
• Twee tot vier uur aaneengesloten, met iemand die het bedrijf kent. Niet per se een techneut. Wel iemand die weet waarom die map "import" ooit is gemaakt.

Verder heb je een spreadsheet met acht kolommen nodig en niets anders. Geen tool, geen project. Een register dat je in een tool moet aanleggen, leg je niet aan.

De vindronde: vijf sporen die je zelf kunt lopen

Je vindt koppelingen niet door naar koppelingen te zoeken. Je vindt ze door hun sporen te volgen: geld, toestemmingen, geplande taken, facturen en foutmails. Elk spoor vindt iets dat de andere vier missen, dus loop ze alle vijf, ook als het derde saai wordt.

Spoor 1. Het bankafschrift en de crediteurenlijst

Dit spoor levert de meeste vondsten per minuut. Filter twaalf maanden aan afschrijvingen op alles wat terugkeert, en let vooral op de kleine bedragen tussen de 5 en 50 euro die niemand ooit opmerkt. Je zoekt naar namen als Zapier, Make, n8n, Pipedream en Workato, naar connectorlicenties van je pakketleverancier, naar EDI- en verzenddiensten, en naar een koppelpartij met een maandbedrag.

Vergeet de jaarlijkse afschrijvingen niet. Die staan in de maand waarin ze ooit begonnen, dus een filter over zes maanden mist ze structureel.

De gratis lagen bepalen of een koppeling überhaupt op je afschrift verschijnt. Zapier laat je 100 taken per maand draaien over een onbeperkt aantal Zaps op één gebruiker, dus een kleine koppeling kost daar nul euro en laat geen spoor na. n8n Cloud heeft geen gratis laag en begint bij 20 euro per maand met jaarbetaling voor 2.500 uitvoeringen, maar draai je n8n zelf op je eigen server, dan is hij gratis en zie je hem dus ook nergens terug.

Die laatste tabelrij is precies waarom dit spoor niet genoeg is. Een koppeling die niets extra's kost, laat hier geen spoor achter, en wat je binnen je Microsoft 365-licentie aan flows mag bouwen loopt tegen een andere grens dan je budget. Hetzelfde geldt voor de ingebouwde koppeling van je boekhoudpakket. Gratis betekent onzichtbaar, niet afwezig.

Spoor 2. De app- en tokenlijsten in je pakketten

Hier vind je de koppelingen die iemand met één klik heeft aangezet. In Google Workspace loop je in de beheerdersconsole naar Beveiliging, dan Toegangs- en gegevensbeheer, dan API-beheer, waar de apps staan die je gegevens al hebben opgehaald, met hun status van vertrouwd tot geblokkeerd. In Microsoft 365 zitten de equivalenten in het beheercentrum onder Geïntegreerde apps en in Entra onder Bedrijfstoepassingen.

Doe hier één ding extra dat de meeste inventarisaties overslaan: noteer per app wie de toestemming heeft gegeven. Dat is straks je eigenaarskolom. In Entra vind je toestemmingen die individuele gebruikers zelf gaven alleen via Microsoft Graph PowerShell, herkenbaar doordat ConsentType niet op AllPrincipals staat.

Loop daarna je vakpakketten af. Exact Online heeft een overzicht van toegestane apps per administratie. Bij AFAS bepaalt een App connector per externe applicatie welke connectoren gebruikt mogen worden en met welke token, en die maak je zelf aan, dus dat overzicht staat in je eigen omgeving. In Moneybird, je webshop en je planningspakket zoek je naar API-tokens, koppelingen of apps.

Spoor 3. De machine op kantoor

Dit spoor is het saaiste en levert de gevaarlijkste vondsten. Ergens staat een pc of een kleine server met geplande taken, een scanmap, een FTP-map, een Access-database of een batchbestand dat elke nacht om drie uur iets doet.

Open de Taakplanner, of vraag om een uitdraai via PowerShell: Get-ScheduledTask haalt de taakdefinities op van alle taken die op een machine geregistreerd staan. Filter de map \Microsoft\ eruit, dan houd je over wat mensen zelf hebben aangemaakt. Noteer per taak welk programma hij start, onder welke gebruiker hij draait en wanneer hij voor het laatst is gelukt.

Die gebruikersnaam is vaak de eerste echte vondst van de middag. Draait de nachtelijke import onder het account van iemand die twee jaar geleden is vertrokken, dan is dat geen taak maar een tijdbom.

Let ook op de bestandsnamen, want die overleven een migratie niet altijd. Bij de overstap naar Exact Globe+ krijgen de programma's achter je geplande taken andere namen, waarbij ASImport.exe Exact.XML.Launcher wordt. Een nachtelijke import die niemand aanpast start daarna zonder foutmelding gewoon niet meer.

Spoor 4. De facturen van je koppelpartij en je webbouwer

Pak de laatste drie facturen van elke IT-partij en lees ze regel voor regel. Zoek op woorden als koppeling, sync, API, webhook, import, export en onderhoud. Elke regel is een stroom die iemand voor je beheert, en waarvan jij de naam nu opschrijft.

Stuur ze daarna één mail met vier vragen: welke koppelingen beheren jullie voor mijn bedrijf, op wiens account draaien ze, welke einddatums staan er al bekend, en wat gebeurt er met die koppelingen als de samenwerking eindigt. Het antwoord is je register, maar dan van hun kant. Verwacht niet dat het compleet is: zij kennen alleen wat zij hebben gebouwd.

Kijk in dezelfde beweging naar de beheerrelatie zelf, want die is zelden opgezegd. Bij een leverancierswissel beëindig je gedelegeerde beheerrechten in Microsoft 365 op de pagina Partner relationships met Remove roles, en pas nadat je een eigen globale beheerder hebt die aantoonbaar werkt.

Spoor 5. De foutmail in de inbox van je administratie

Het laatste spoor is het goedkoopste. Zoek in de mailbox van je administratie en in de gedeelde postbus op: synchronisatie, mislukt, failed, webhook, token, verlopen, expired, autorisatie. Zoek ook op de mailregel die zulke berichten automatisch naar een map verplaatst, want die bestaat verrassend vaak.

Elke foutmail is een koppeling met een naam, een afzender en een tijdstip. Vind je hier iets dat al maanden loopt, dan heb je meteen een tweede klus liggen, want een inhaalslag over een gat van meerdere dagen redt je niet met de idempotentiesleutel van je leverancier.

De acht velden, en waarom precies deze acht

Elk veld beantwoordt een vraag die je op een slechte dag krijgt. Schrap er een, en je moet op die dag alsnog gaan zoeken.

Veld 1 tot 3 en veld 5 vul je in een paar minuten per stroom. Veld 4, 6, 7 en 8 kosten je de rest van de middag, en dat is precies waar het register zijn waarde vandaan haalt. Twee kolommen verdienen apart aandacht.

Kolom 4: van wie is dit account eigenlijk?

Dit is de hardste kolom en de reden dat je dit doet. De meeste koppelingen draaien op het persoonlijke account van iemand die er nog werkt, of op een token dat een oud-medewerker ooit heeft aangemaakt. Dat is geen slordigheid van je beheerder, zo zijn die systemen gebouwd: het uitzetten van een gebruikersaccount trekt niet in wat die gebruiker zelf aan toegang heeft uitgegeven.

Schrijf per vondst een naam op. Niet "IT", niet "de leverancier", maar een mens die deze week bereikbaar is. Neem dan één van drie besluiten en zet dat besluit in dezelfde regel:

• Overzetten naar een gedeeld dienstaccount. De inlog op een gedeelde postbus, de tweede factor in de wachtwoordkluis van het bedrijf, en een licentie erop als het pakket die eist. Dit is het juiste antwoord voor alles wat geld of bewijs draagt.
• Bewust laten staan, met een datum. Soms kan het niet anders, bijvoorbeeld omdat de koppeling aan een persoonlijke autorisatie hangt die je niet kunt delen. Dan noteer je de naam plus de datum waarop je dit opnieuw bekijkt, en die datum gaat in de agenda.
• Uitzetten. Dat mag pas als je weet waar de stroom voor diende. Zie de valkuilen hieronder voor de manier waarop je dat veilig doet.

Overzetten is niet gratis. Een OAuth-koppeling opnieuw autoriseren betekent hem een moment stilzetten, dus doe dat buiten je piekuren en tel achteraf beide kanten na.

Kolom 7: de datums die nu al vastliggen

Er zijn twee soorten einddatums, en de tweede vergeet vrijwel iedereen.

De eerste zijn de aangekondigde leveranciersdeadlines. Die staan in je mailbox en in de kennisbank van je pakket. Een greep uit wat er op dit moment loopt: Microsoft zet EWS voor mail- en agendakoppelingen uit vanaf 1 oktober 2026, Rabobank stopt op 15 november 2026 met de MT-formaten en vervangt MT940 door camt.053, KING Financieel en KING Factureren zijn per 31 oktober 2026 alleen nog te raadplegen, Exact Online zet zijn XML-API's uit vanaf januari 2027, AFAS laat de classic tokens verlopen op 15 februari 2027 en Nmbrs zet de SOAP-API uit op 1 maart 2027.

De tweede soort zijn de technische vervaldatums die niemand aankondigt, omdat ze in de standaardinstellingen zitten. Die zijn per platform anders en ze zijn hard:

• Client secrets in Microsoft Entra hebben een maximale levensduur van twee jaar, en Microsoft adviseert zelf een waarde onder de twaalf maanden (pagina bijgewerkt juni 2026). Loopt hij af, dan stopt de koppeling zonder waarschuwing.
• API-tokens van Atlassian kun je bij het aanmaken instellen op één dag tot maximaal één jaar. Eeuwige tokens bestaan daar niet meer.
• Refresh tokens van Google vervallen na zeven dagen zolang je project de publicatiestatus Testing heeft, en na zes maanden zonder gebruik. Dat eerste raakt vooral zelfgebouwde koppelingen die nooit officieel zijn ingediend.
• Exact Online geeft je een access token dat tien minuten geldig is, en sinds juli 2021 zijn refresh tokens nog maar 30 dagen geldig. Een koppeling die een maand niets doet, is daarna verbroken.
• Een PSD2-bankkoppeling vraagt om herbevestiging: voor een PSD2-koppeling moet je iedere 180 dagen opnieuw toestemming geven. Staat die toestemming op de privé-inlog van je directeur, dan valt je bankimport stil als hij twee weken op reis is.

Eén regel maakt deze kolom bruikbaar: elke datum die je vindt gaat direct in de agenda van het bedrijf, met zes weken marge, en niet alleen in de kolom. Een datum in een spreadsheet waarschuwt niemand.

Het beslis-kader: geld, bewijs of gemak

Nu wordt het register nuttig in plaats van netjes. Deel elke stroom in bij precies één van drie klassen, op basis van wat hij draagt, niet op basis van hoe ingewikkeld hij is.

Geld. Bankafschriften, betaalprovider, verkoop- en inkoopfacturen, salaris. Valt hier iets stil, dan komt er geld niet binnen of gaat het verkeerd de deur uit, en de schade loopt op per dag. Deze klasse krijgt als eerste een dienstaccount, als eerste een bewakingslaag en als eerste je telefoontje.

Bewijs. Dossiers, urenregistratie, orderhistorie, contracten, alles waarmee je achteraf aantoont wat er is gebeurd. De schade is hier niet zichtbaar op de dag zelf, maar bij een geschil of een controle. Je bent verplicht je administratie 7 jaar te bewaren, en gegevens over onroerende zaken 10 jaar, dus bij deze klasse controleer je niet alleen of de stroom loopt, maar ook of wat hij oplevert lang genoeg bewaard blijft.

Gemak. Meldingen naar Teams of Slack, een rapportage die zichzelf vult, een lijst die automatisch bijwerkt. Stilstand kost irritatie en een handmatig kwartiertje. Dit is de klasse waaruit je zonder pijn kunt schrappen.

Die volgorde bepaalt drie besluiten tegelijk: wat je als eerste herstelt na een storing, waar je bewakingsbudget heen gaat, en wat je vanmiddag nog kunt uitzetten. Reken bij die laatste vraag mee dat elke draaiende koppeling je vier tot zestien uur onderhoud per jaar kost, ook de koppelingen in de klasse gemak.

Waar houd je het register bij? Onder ongeveer vijftien stromen is een gedeeld spreadsheet het eerlijke antwoord, en elke tool die je daarboven overweegt moet eerst de vraag beantwoorden wie hem bijhoudt. Een beheertool voor je applicatielandschap verdient zich pas terug bij een paar honderd apps en iemand met die taak in zijn functieomschrijving. Tot die tijd is de tool niet het probleem, de gewoonte is dat.

En kant-en-klaar tegenover maatwerk? Dat besluit hoort ná de telling, niet ervoor. Pas als je op één blad ziet dat drie kant-en-klare koppelingen elk de helft van hetzelfde werk doen, met drie abonnementen en drie eigenaren, kun je eerlijk afwegen of één gebouwde stroom goedkoper is. Zonder register is dat een gevoel.

Waar het in de praktijk misgaat

Zes faalmodi, elk met de mitigatie erbij. Alle zes zie ik terug bij inventarisaties die op papier klopten.

• Je telt tools in plaats van stromen. Eén pakket kan drie stromen dragen, en één stroom kan door drie systemen lopen. Mitigatie: één regel per richting per gegevenssoort, dus verkooporders heen en voorraadmutaties terug zijn twee regels.
• De eigenaarskolom vullen met "IT" of "de leverancier". Dat is geen eigenaar, dat is een afdeling. Mitigatie: een naam van een mens die deze week bereikbaar is, en bij twijfel de naam van degene die de rekening betaalt.
• Alleen opschrijven wat iemand nog weet. De koppelingen die je herinnert zijn precies de koppelingen die je al bewaakt. Mitigatie: de vijf sporen in volgorde, ook spoor 3, juist spoor 3.
• Het register in een document dat niemand terugvindt. Na drie maanden bestaan er twee versies en gelooft niemand meer in een van beide. Mitigatie: één plek, gedeeld, met een link ernaartoe in je offboardingchecklist en in je inkoopproces.
• De datums blijven in de kolom staan. Een spreadsheetcel waarschuwt niemand. Mitigatie: elke einddatum als agenda-afspraak met zes weken marge, op naam van een mens.
• Uitzetten omdat niemand weet waar het voor is. Dat is de duurste manier om erachter te komen. Mitigatie: pauzeer in plaats van verwijderen, zet 30 dagen in de agenda, en pas dan opzeggen. Noteer in het register wat je hebt uitgezet en wanneer, want die regel is over een jaar het antwoord op "sinds wanneer komt dat rapport niet meer binnen".

Zo ziet zo'n middag eruit

Neem een installatiebedrijf van 22 mensen als rekenvoorbeeld: Exact Online voor de administratie, een planningspakket voor de buitendienst, Nmbrs voor de salarissen, een kleine WooCommerce-webshop voor onderdelen, Mollie voor de betalingen. Op de vraag hoeveel koppelingen er draaien, zegt de kantoormanager: een stuk of vijf.

Het worden er elf, in drie uur en veertig minuten, inclusief twee telefoontjes. Acht ervan zien er zo uit.

De oogst van die middag: drie stromen zonder doel, waarvan er twee direct uitgingen en 468 dollar per jaar aan abonnementen meenamen. Twee stromen die draaiden op het account van iemand die er niet meer werkt. Eén token waarvan niemand wist wie het had aangemaakt. En vier datums die al vaststonden en nu in de agenda staan, waarvan de vroegste over vijf maanden valt.

De kantoormanager schatte vijf koppelingen en zat er ruim de helft naast. Dat is geen kritiek op haar. Het is het normale verschil tussen wat een bedrijf denkt te draaien en wat het draait.

De drie momenten waarop je dit blad openslaat

Een register dat je één keer aanlegt en daarna nooit meer opent, is een middag die je hebt weggegooid. Er zijn precies drie gebeurtenissen waarbij hij per definitie op tafel komt, plus één vast moment per jaar.

1. Een aangekondigde einddatum. De mail van je leverancier stelt altijd dezelfde vraag: raakt dit jou? Met een register beantwoord je die in twee minuten door kolom 3 te filteren op het formaat of het tokentype dat vervalt.
2. Een medewerker gaat uit dienst. Voordat je zijn account uitzet, filter je kolom 4 op zijn naam. Wat daar staat is de lijst met dingen die je eerst moet overzetten, want een account uitzetten trekt niet in wat die persoon zelf heeft uitgegeven.
3. Een pakket- of leverancierswissel. Dit is het duurste moment om geen lijst te hebben. Bij een migratie naar een nieuw pakket geldt vaak wat Bjorn Lunden bij KING zelf opschrijft: bestaande integraties en aanpassingen worden niet gemigreerd. Alles wat in kolom 1 staat, bouw je opnieuw, en dat is een offerteregel.

Het vaste moment is een jaarlijks rondje langs de vervaldatums uit kolom 7. Hang het aan iets dat toch al gebeurt, zoals de week na je jaarafsluiting, en loop dan alleen de tokens en secrets langs die binnen achttien maanden verlopen.

Eén gewoonte houdt het register levend, en het is de enige die werkt: elke nieuwe koppeling krijgt zijn regel op de dag dat hij wordt aangezet, door degene die hem aanzet. Registers verouderen omdat ze los worden bijgehouden van de handeling waar ze over gaan. Zet de regel binnen de handeling, en het bijhouden kost niemand een middag meer.

De rekening die je vandaag al terugverdient

Het aardige aan deze klus is dat hij zichzelf betaalt voordat de eerste deadline in zicht komt. Zylo analyseerde meer dan 40 miljoen SaaS-licenties en 75 miljard dollar aan uitgaven en vond dat organisaties gemiddeld 36 procent van hun licenties onbenut laten (januari 2026). Bij koppelingen is dat percentage in mijn ervaring niet lager, want een koppeling wordt aangezet voor een proces, en processen veranderen sneller dan abonnementen worden opgezegd.

Dat is de opruimwinst: de stromen die nog trouw elke nacht draaien voor een rapportage die niemand meer opent, voor een webshop die je vorig jaar hebt vervangen, voor een collega die er niet meer werkt. Ze kosten je geld, ze houden een token in leven dat iemand ooit kan misbruiken, en ze staan in de weg bij elke migratie.

Een koppelingenregister is uiteindelijk geen administratief document. Het is het antwoord op de enige vraag die er bij elke einddatum, elk vertrek en elke leverancierswissel toe doet: welke van deze dingen zijn van mij, en wie belt er als hij stopt. Die vraag komt altijd op een moment dat je geen middag hebt.