Rond de securityreview af voordat die een deal doet stilvallen

Uw accountmanager stuurt een security questionnaire door van een koper die al voor u heeft gekozen, en de closing staat in de forecast. Behandel die vragenlijst als een stap in de deal en werk ze samen met sales af, van de eerste waarschuwing dat ze eraan komt tot wat u na de review aan sales teruggeeft. In het onderzoek van G2 uit 2026 bij 1.038 B2B-softwarebeslissers was de IT-securityreview met 39% de grootste afzonderlijke oorzaak van vertraging tussen de keuze van een leverancier en het afronden van de aankoop.

Waar een security questionnaire een deal doet stilvallen

Een security questionnaire doet een deal stilvallen bij de overdrachten tussen de accountmanager, de bidmanager en de securityexperts. U wint meer van die deals als u de vragenlijst afhandelt als één stap met één eigenaar, van het eerste signaal van de accountmanager tot het moment waarop wat de review aan het licht bracht, terugvloeit naar sales en naar uw volgende set antwoorden. Bij grote kopers staat er meer op het spel. In hetzelfde G2-onderzoek noemde de helft van de enterprisekopers de IT-securityreview als hun grootste vertraging na de keuze van een leverancier.

Neem een softwareleverancier die een koper net heeft gekozen. De accountmanager wist dat er een securityreview zou volgen, maar zei niets tot de aankoopdienst van de koper een SIG stuurde, met een scope die het eigen securityteam van de koper had bepaald. De bidmanager krijgt het bestand als doorgestuurde e-mail, zonder een woord over de inleverdatum die de accountmanager al half heeft beloofd. De securityexperts zijn met de uitvoering van klantopdrachten bezig en antwoorden dus vanuit een bestand dat ze voor een andere koper hebben ingevuld, met een andere scope. Eén antwoord over de locatie van de gegevens spreekt tegen wat de demo liet zien. Het ISO 27001-certificaat blijft op een gedeelde schijf staan tot de beoordelaar erom vraagt. Wanneer de vervolgvragen van de beoordelaar binnenkomen, belanden ze in de mailbox van de accountmanager, en elke vraag gaat naar wie de vorige keer heeft geantwoord.

Elk van die overdrachten kost iemand iets. De accountmanager ziet de closingdatum opschuiven bij een deal die al als gewonnen meetelt. De bidmanager herwerkt antwoorden die de eerste keer al juist hadden moeten zijn, en de experts worden voor een tweede en een derde ronde bij de uitvoering weggehaald. Hoe de volledige response los van de deal verloopt, leest u onder Security-questionnaire-response.

Informeer bij de accountmanager voordat de vragenlijst binnenkomt

Vraag de accountmanager zodra u op de shortlist staat of er een security questionnaire volgt en hoe die eruitziet. Het bestand bepaalt de werklast, en u kunt geen tijd van experts inplannen rond een bestand dat u nog niet hebt gezien.

Leg de accountmanager deze vragen voor:

• Stuurt de koper een security questionnaire, en op welk moment in de deal?
• Gaat het om de SIG, de CAIQ of een eigen formulier van de koper?
• Welke versie stuurt de koper, en welke onderdelen heeft hij in de scope opgenomen?
• Wie beoordeelt de vragenlijst bij de koper?
• Wanneer verwacht de koper de ingevulde vragenlijst terug?

De scope weegt zwaarder dan de naam op het bestand. Shared Assessments beschrijft de SIG als configureerbaar, met een scope die de koper bepaalt. Twee SIG-bestanden van twee kopers kunnen dus verschillen in wat ze vragen. Een team dat de scope kent, kan de experts voor die domeinen klaarzetten voordat het bestand binnenkomt. Spreek de inleverdatum met de accountmanager af op basis van de beschikbaarheid van de experts, zodat de koper een datum hoort die u kunt halen. Weet de accountmanager het antwoord niet, laat het dan navragen bij het volgende gesprek met de koper.

Beantwoord waarover de securitybeoordelaar beslist

De securitybeoordelaar van de koper beslist of elke beheersmaatregel bestaat, welk bewijs ze onderbouwt en hoe eventuele lacunes worden aangepakt. Beantwoord die drie punten bij elke vraag en laat het verkopen aan de accountmanager over.

Het formaat zelf laat dat zien. De Cloud Security Alliance publiceert de CAIQ als een reeks ja-neevragen over beheersmaatregelen. Een ja zegt dat de beheersmaatregel aanwezig is. Een alinea over uw toewijding aan security, geschreven waar een ja, een beleidsverwijzing en een verwijzing naar het bewijs thuishoren, geeft de beoordelaar niets om vast te leggen en lokt een vervolgvraag uit.

Lacunes vragen de meeste zorg. Zeg duidelijk dat een beheersmaatregel ontbreekt of maar gedeeltelijk bestaat, wat u in de plaats hebt, en wat u eraan doet en tegen wanneer, als daar intern een plan voor is afgesproken. Een antwoord dat een lacune verdoezelt, kan terugkomen in een vervolgvraag of in het contract, waar het moeilijker recht te zetten is.

De beoordelaar is niet de enige lezer. Volgens Gartner telt de groep die over een B2B-aankoop beslist vijf tot 16 personen uit maximaal vier afdelingen, zodat de aankoopafdeling, de juridische afdeling en de business owner dezelfde antwoorden kunnen lezen. Elk antwoord moet op zichzelf staan, zonder verkoper in de kamer om het toe te lichten. Hoe u elk antwoord zo schrijft dat uw team erachter kan staan, staat beschreven in verdedigbare antwoorden op security questionnaires.

Houd de antwoorden in lijn met wat sales heeft gezegd

Toets de antwoorden voor ze vertrekken aan de demo, de e-mails en de offerte van de accountmanager, de securitybepalingen in het ontwerpcontract en elke eerdere vragenlijst die u deze koper hebt gestuurd. Een koper die in het salesmateriaal het ene leest en in de vragenlijst het andere, heeft een reden om aan allebei te twijfelen.

Een tegenstrijdigheid geeft de groep die over de aankoop beslist iets nieuws om uit te klaren, en zulke groepen raken nu al moeilijk tot een akkoord: in een Gartner-onderzoek bij 632 B2B-kopers vertoonde 74% van de teams aan de kant van de koper ongezonde conflicten tijdens de aankoopbeslissing.

Vindt u een tegenstrijdigheid, leg ze dan voor aan de accountmanager en aan de expert die eigenaar is van de beheersmaatregel, voordat er iets vertrekt. Het juiste antwoord komt in de vragenlijst, en de accountmanager zet zijn verhaal bij de koper recht. Klopt het ontwerpcontract niet, dan moet de juridische afdeling dat nu horen, zolang de voorwaarden nog kunnen veranderen.

Bied het bewijs aan voordat de beoordelaar erom vraagt

Stuur uw certificaat, met de beschrijving van het toepassingsgebied, en een samenvatting van uw laatste penetratietest mee met de eerste indiening. Elk document dat de beoordelaar moet opvragen, levert een extra ronde vervolgvragen op, en elke ronde verschuift de closing.

ISO stelt dat een managementsysteem voor informatiebeveiliging dat aan ISO/IEC 27001 voldoet, belanghebbenden het vertrouwen geeft dat risico's adequaat worden beheerd. Dat vertrouwen bereikt de beoordelaar alleen als het certificaat hem bereikt, en alleen als het toepassingsgebied de dienst dekt die de koper koopt. Deel rapporten die u volgens uw beleid niet vrij deelt, zoals een SOC 2-rapport, onder NDA in diezelfde eerste ronde.

Ga ervan uit dat de beoordelaar het dossier zonder u leest. Het Gartner-onderzoek uit 2026 bij 646 B2B-kopers toont dat 67% liever koopt zonder contact met een verkoper. Dat gaat over aankopen in het algemeen, maar het wijst erop dat een beoordelaar heel goed vanuit uw documenten kan werken in plaats van vanuit een gesprek met uw accountmanager. Heeft uw bedrijf een vermelding in CSA STAR, verwijs er dan naar in dezelfde indiening. Of een trustcentrum dit bewijs kan aanleveren in plaats van antwoorden, komt aan bod in trustcentrum versus security questionnaire.

Wijs één eigenaar aan voor de vervolgvragen

Geef de beoordelaar van de koper één vast aanspreekpunt voor vervolgvragen, de bidmanager of de presalesverantwoordelijke, en stuur elke vraag van daaruit door naar de expert die eigenaar is van die beheersmaatregel. Zonder één eigenaar raken de vragen verspreid over mailboxen en kan niemand de accountmanager zeggen wanneer de antwoorden terug zijn.

Bepaal de antwoordtermijn op basis van de beschikbaarheid van de experts. De eigenaar spreekt hem af met elke expert, de accountmanager belooft hem aan de koper, en de eigenaar volgt elke open vraag op tot ze gesloten is. Is een expert met verlof of zit hij met een deadline voor een klantopdracht, dan wijst de eigenaar een vervanger aan of laat hij de accountmanager weten dat de datum verschoven is, voordat de koper ernaar moet vragen.

Een antwoordtermijn die u nakomt, doet meer dan vragen afsluiten. Volgens het Gartner-onderzoek uit 2026 meldden kopers met veel vertrouwen in hun beslissing twee keer zo vaak een deal van hoge kwaliteit als kopers met weinig vertrouwen in hun beslissing. Die bevinding gaat over B2B-aankopen in het algemeen. Toch heeft een beoordelaar die op de beloofde datum duidelijke antwoorden krijgt, minder reden om een beslissing in twijfel te trekken die de business al heeft genomen.

Geef wat de review opleverde terug aan sales

Leg bij het afsluiten van de review vast wat de beoordelaar vroeg, welk bewijs hij opvroeg en wat u hebt toegezegd. De accountmanager en de juridische afdeling hebben die registratie nodig voordat het contract wordt ondertekend, want de koper kan verwachten dat een toezegging uit een antwoord op een vervolgvraag in het contract terechtkomt.

Zeg de accountmanager duidelijk wat er beloofd is, zoals een beheersmaatregel die u zult invoeren of een rapport dat u elk jaar zult delen, zodat niets wat later in de klantrelatie wordt gezegd ermee in strijd is. Werk daarna uw goedgekeurde antwoorden bij met wat de review naar boven bracht, elk met een eigenaar en een herzieningsdatum. Een vraag die deze beoordelaar stelde, kan ook van de volgende koper komen.

Beschouw de bijgewerkte antwoorden niet als af. Shared Assessments werkt de SIG minstens één keer per jaar bij, dus het bestand van de volgende koper komt misschien niet overeen met dit bestand, ook waar een vraag bekend lijkt. Hoe u hergebruikte antwoorden actueel houdt, leest u in antwoorden op security questionnaires hergebruiken.

Hoe SEQUESTO de security questionnaire in een deal afhandelt

In het agentic operating system (aOS) van SEQUESTO opent de bidmanager een project voor de softwaredeal op basis van de inrichting voor security questionnaires, zodra de accountmanager waarschuwt dat er een SIG aankomt. Wanneer het bestand van de koper binnenkomt, zet Agent Force, de gespecialiseerde agents, elke rij van elk tabblad om in een lijst met vragen, en onduidelijke rijen komen terug ter controle. James, de AI-bidagent van SEQUESTO, voegt de goedkeuringsstappen en controlemomenten van het team toe als mijlpalen, elk met een tijdstip en een aangewezen reviewer.

James stelt elk antwoord op vanuit de Knowledge Hub, en bij elk antwoord ziet u uit welk document het komt. Het ontwerpcontract en de offerte van de accountmanager zitten in hetzelfde project, zodat het team de antwoorden er op één plek aan toetst. Bewijs zoals een SOC 2-rapport wordt gekoppeld aan het antwoord dat het onderbouwt, en content waarvan de herzieningsdatum verstreken is, wordt gemarkeerd voordat die opnieuw wordt gebruikt.

Wanneer de vervolgvragen van de beoordelaar binnenkomen, wijst James elke vraag toe aan de expert die eigenaar is van de beheersmaatregel, en die expert krijgt een melding in SEQUESTO. James rapporteert wat nog openstaat en bij wie het ligt, en laat een opmerking achter voor iedereen die nog een antwoord schuldig is. De bidmanager kan de accountmanager dan een datum geven op basis van wat er werkelijk nog uitstaat.

Elke indiening wordt gelogd met tijdstempels, goedkeurders en bronnen, en het logboek is doorzoekbaar en exporteerbaar. De bidmanager geeft de definitieve goedkeuring voor elke set antwoorden, en goedgekeurde antwoorden gaan terug naar de Knowledge Hub voor de volgende koper.

Checklist voor een security questionnaire in een lopende deal

Vink elke regel af voordat u de vragenlijst als afgerond beschouwt.

• U weet of er een vragenlijst komt, en u kent het formaat, de versie, de scope van de koper en de inleverdatum.
• De inleverdatum is met de accountmanager afgesproken op basis van de beschikbaarheid van de experts.
• Elk antwoord vermeldt of de beheersmaatregel bestaat, welk bewijs erachter zit en hoe een eventuele lacune wordt aangepakt.
• Elk antwoord stemt overeen met de demo, de salescorrespondentie, het ontwerpcontract en eerdere antwoorden aan deze koper.
• Het certificaat, met de beschrijving van het toepassingsgebied, en de samenvatting van de laatste test gingen mee met de eerste indiening.
• De beoordelaar heeft één vast aanspreekpunt, en elke vervolgvraag heeft een expert als eigenaar en een antwoordtermijn die de accountmanager heeft beloofd.
• De accountmanager en de juridische afdeling hebben een registratie van wat de review vroeg en wat u hebt toegezegd.
• De goedgekeurde antwoorden staan weer in uw bibliotheek, elk met een eigenaar en een herzieningsdatum.