Wat zijn questionnaires?

Een questionnaire is het vaste instrument zelf: een afgebakende lijst met vragen, in een vaste volgorde en opmaak, die elke respondent onder dezelfde voorwaarden beantwoordt, zodat de antwoorden kunnen worden vergeleken of beoordeeld. De vragen zijn bedoeld om specifieke, statistische of persoonlijke informatie te verkrijgen van iedereen die ze beantwoordt. Het instrument zelf is een document, op papier of op een scherm, met een vaste ruimte voor elk antwoord. Dankzij die basisvorm (vaste vragen, gestructureerde antwoordvelden en een afgebakende groep respondenten) kan een questionnaire als beoordelingsinstrument dienen in plaats van als open correspondentie.

Wat een questionnaire is

Structuur en doel

Een questionnaire is bedoeld om veel antwoorden vergelijkbaar te maken, niet alleen om informatie te verzamelen. Het doel is beoordeling of besluitvorming: iemand leest de ingevulde questionnaire, kent er een score aan toe of gebruikt deze om een oordeel te vormen over de respondent.

Het mechanisme is standaardisatie. Elke respondent krijgt dezelfde formulering, dezelfde volgorde van vragen en doorgaans dezelfde antwoordformaten te zien (meerkeuze, schaal, vrije tekst of documentupload). Dit voorkomt de variatie die anders zou ontstaan als elke respondent simpelweg werd gevraagd zichzelf in eigen woorden te beschrijven.

Het gevolg is dat het ontwerp van een questionnaire bepaalt welke inzichten eruit kunnen worden verkregen. Een slecht geformuleerde vraag levert slechte gegevens op, hoe zorgvuldig de responses achteraf ook worden beoordeeld. Daarom geldt het ontwerpen van questionnaires bij aanbestedingen en compliance als een governancevraagstuk, niet als een administratieve taak.

Questionnaire versus enquête

Een questionnaire is het instrument; een survey is het proces waarbij die wordt afgenomen, responses worden verzameld en resultaten worden geanalyseerd. In alledaags taalgebruik worden de twee termen vaak door elkaar gebruikt, maar in commerciële en onderzoekscontexten is het onderscheid van belang omdat het ontwerpinstrument zo wordt onderscheiden van het onderzoek waarin het wordt gebruikt.

Eén questionnaire kan voor meerdere surveys worden hergebruikt, en dezelfde survey kan soms meerdere questionnaires combineren (bijvoorbeeld een security questionnaire en een questionnaire over de financiële positie die samen worden afgenomen als onderdeel van één onboardingtraject voor leveranciers). Het instrument staat vast; de afname varieert.

Voor een organisatie die de vragen beantwoordt, is dit onderscheid praktisch en niet academisch. De questionnaire bepaalt precies welke vragen moeten worden beantwoord en hoe. Het bijbehorende onderzoeksproces bepaalt de deadlines, de weging van de scores en wie aan de kant van de koper de antwoorden beoordeelt. Wie beide verwart, onderhandelt op het verkeerde moment over de verkeerde kwestie.

Veelgebruikte formats

Questionnaires komen voor als gedrukte formulieren, online portals, spreadsheets en steeds vaker als gestructureerde velden in platforms voor procurement of leveranciersrisicobeheer. De vorm bepaalt hoe antwoorden kunnen worden hergebruikt en gecontroleerd.

De vragen in een questionnaire kunnen open of gesloten zijn (ja/nee, meerkeuze, Likertschaal), of een combinatie van beide. De questionnaire kan telefonisch, online of persoonlijk worden afgenomen. Gesloten vraagvormen ondersteunen scoring en vergelijking. Open vraagvormen bieden ruimte voor nuance, maar bemoeilijken een consistente beoordeling van grote aantallen respondenten.

In commerciële aanbestedings- en complianceomgevingen kunnen antwoorden in spreadsheet- en portalformaten worden geëxporteerd, van versies worden voorzien en aan bewijsdocumenten worden gekoppeld. Een questionnaire die als ongestructureerd document wordt aangeleverd, zoals een brief met vragen die in doorlopende tekst zijn verwerkt, is moeilijker consistent te beoordelen.

Questionnaires bij inkoop

Prekwalificatievragenlijsten (PQQ)

Een prekwalificatievragenlijst is een lijst met vragen die opdrachtnemers of leveranciers moeten beantwoorden voordat zij mogen inschrijven. Organisaties gebruiken deze vragenlijst om kandidaten efficiënt te selecteren. Volgens de London Chamber of Commerce and Industry bieden prekwalificatievragenlijsten organisaties een efficiënte manier om leveranciers te selecteren door hun antwoorden te beoordelen.

Dit mechanisme vormt een toegangspoort vóór de hoofdprocedure van de aanbesteding. In plaats van volledige offertes van elke geïnteresseerde leverancier te beoordelen, selecteert de inkopende organisatie kandidaten met een korter, gestandaardiseerd instrument op basis van hun basiscapaciteiten, financiële positie en nalevingshistorie. Alleen kandidaten die aan de eisen voldoen, mogen een inhoudelijke offerte indienen.

Voor leveranciers betekent dit dat afwijzing bij de PQQ deelname beëindigt voordat de technische of commerciële kwaliteit zelfs maar is beoordeeld. Antwoorden op een PQQ zijn doorgaans feitelijk en onderbouwd met bewijs, zoals omzet, verzekeringsdekking en prestaties uit het verleden, en niet zozeer overtuigend. Daarom zijn juistheid en volledigheid belangrijker dan formulering.

Aanbestedingsspecifieke vragenlijsten (PSQ)

Een procurement specific questionnaire is een gestandaardiseerd prekwalificatiedocument waarmee leveranciers kunnen aantonen dat zij aan de eisen voldoen en over de vereiste capaciteiten beschikken wanneer zij inschrijven op overheidsopdrachten boven de drempelwaarde. Het verving eerdere standaardvragenlijsten voor selectie en prekwalificatie die bij Britse overheidsaanbestedingen werden gebruikt, en bracht vergelijkbare vereisten samen in één erkend format.

Het mechanisme berust op standaardisatie tussen aanbestedende diensten. In plaats van dat elke overheidsinstantie een eigen prekwalificatieformulier opstelt, hanteert een PSQ een gemeenschappelijke structuur. Zo beantwoorden leveranciers grotendeels vergelijkbare vragen, ongeacht welke instantie de aanbesteding organiseert. Dit vermindert dubbel werk voor leveranciers die inschrijven op meerdere procedures in de publieke sector.

Er blijft een praktische beperking: standaardisatie omvat de algemene vragen over geschiktheid en compliance, maar aanbestedende diensten kunnen nog steeds aanvullende vragen toevoegen die specifiek zijn voor de sector of de opdracht. Leveranciers mogen er niet van uitgaan dat een PSQ-response die voor de ene aanbesteding is opgesteld, zonder beoordeling ongewijzigd kan worden gebruikt voor een andere.

Zakelijke questionnaires bij openbare aanbestedingen

Een zakelijke vragenlijst bij een openbare aanbesteding is een formeel document waarin essentiële informatie wordt verzameld over de capaciteiten, ervaring, financiële positie en naleving van wet- en regelgeving van een leverancier, voordat deze doorgaat naar de hoofdfase van de aanbesteding. De vragenlijst vormt de bewijsbasis voor de kwalificatiefase.

Het mechanisme bestaat uit informatieverstrekking die is gestructureerd om inschrijvers te vergelijken: omzet over recente boekjaren, relevante contractreferenties, verzekeringscertificaten en verklaringen over naleving van wettelijke voorschriften worden in een vast format opgevraagd, zodat beoordelaars deze aan de hand van vastgestelde drempelwaarden kunnen beoordelen. In de Verenigde Staten merkt de Federal Transit Administration op dat kwalificatievragenlijsten voor inschrijvers verplichte onderdelen zijn van inschrijvingen voor veel overheidsopdrachten voor werken en diensten boven vastgestelde financiële drempelwaarden, en als onderdeel van de bid documentatie moeten worden ingediend.

Het gevolg voor leveranciers is dat antwoorden op bedrijfsvragenlijsten vaak voor meerdere bids worden hergebruikt, omdat de onderliggende feiten (omzet, certificeringen, referenties) niet vaak veranderen. Door een nauwkeurige, actuele bron voor deze antwoorden bij te houden, verkleint u het risico dat u bij gelijktijdige bids verouderde of tegenstrijdige cijfers indient.

Security- en compliancequestionnaires

Security questionnaires

Een security questionnaire is een gestructureerde reeks vragen om de beveiligingspositie van een leverancier te beoordelen. Dit gebeurt doorgaans vóór of na de onboarding, of periodiek wanneer diensten of werkwijzen voor gegevensverwerking veranderen. Het is een samengestelde lijst, vaak technisch en gedetailleerd, die bedoeld is om de positie van een bedrijf op het gebied van beveiliging en compliance vast te stellen.

Het mechanisme is zelfverklaring, onderbouwd met bewijs. Leveranciers beantwoorden vragen over toegangscontroles, encryptie, incidentrespons en governance. Naast toelichtende antwoorden leveren zij vaak ondersteunende documenten aan, zoals samenvattingen van penetratietests of certificeringsverklaringen. Het security- of aanbestedingsteam van de koper beoordeelt de response vervolgens aan de hand van interne risicodrempels.

Security questionnaires blijven een fundamenteel instrument voor risicobeheer van derden, juist omdat ze gestructureerde, zelfverklaarde gegevens bieden over de beheersmaatregelen, governance, certificeringen en het vermogen tot incidentrespons van leveranciers. Deze gegevens zijn voor veel leveranciers onderling vergelijkbaar. De beperking is dat ze berusten op zelfrapportage. Een questionnaire alleen verifieert niet of een beheersmaatregel bestaat. Daarom combineren kopers responses op questionnaires vaak met auditrapporten of onafhankelijke certificeringen.

Questionnaires voor securitycompliance

Een security compliance questionnaire is een document waarmee organisaties vaststellen of hun leveranciers voldoen aan specifieke beveiligingsnormen. Waar een algemene security questionnaire de beveiligingsstatus breed onderzoekt, koppelt een compliance questionnaire de vragen rechtstreeks aan een specifieke norm of wettelijke verplichting.

Het mechanisme is gebaseerd op koppeling: elke vraag correspondeert met een specifieke bepaling, beheersmaatregel of wettelijke vereiste, zodat de ingevulde questionnaire ook als compliancedossier dient. Dankzij deze structuur kan een koper in zijn eigen audit trail eenvoudig aantonen dat hij een leverancier heeft getoetst aan een vastgestelde norm, in plaats van aan een informele lijst met aandachtspunten.

Voor de leverancier die de vragenlijst beantwoordt, betekent dit dat nauwkeurig taalgebruik vereist is. Het antwoord “ja, wij versleutelen gegevens” is niet hetzelfde als een antwoord op een specifieke bepaling die versleuteling van opgeslagen gegevens en gegevens tijdens overdracht volgens een benoemde algoritmestandaard vereist. Compliance-questionnaires vragen doorgaans om dit laatste niveau van specificiteit en onduidelijke antwoorden worden vaak ter verduidelijking teruggestuurd.

Questionnaires afgestemd op ISO 27001

Een ISO 27001-questionnaire is een reeks vragen waarmee wordt beoordeeld hoe een organisatie informatiebeveiliging beheert in overeenstemming met de ISO/IEC 27001-norm. De questionnaire dient als controlelijst voor domeinen zoals beveiligingsbeleid, toegangsbeheer en gegevensbescherming. Het is een van de meest gebruikte raamwerken om security questionnaires te structureren, omdat de beheersingsdomeinen van de norm logisch aansluiten op de verschillende vraagsecties.

Het mechanisme berust op afstemming, niet op overdracht van certificering: een leverancier met een ISO/IEC 27001-certificering kan zo'n questionnaire vaak vlot beantwoorden door te verwijzen naar de Verklaring van Toepasselijkheid en het auditcertificaat, aangezien de certificeringsinstantie de onderliggende beheersmaatregelen al onafhankelijk heeft geverifieerd. Leveranciers zonder certificering moeten elke vraag over beheersmaatregelen vanaf de basis beantwoorden.

De praktische beperking is de reikwijdte. Een ISO/IEC 27001-certificering geldt voor een afgebakend informatiebeveiligingsmanagementsysteem en omvat mogelijk niet elk systeem of bedrijfsonderdeel waarover een koper informatie wil. Een leverancier die in een response op een ISO-vragenlijst naar certificering verwijst, moet controleren of de gecertificeerde reikwijdte overeenkomt met wat de koper vraagt.

Standardized Information Gathering (SIG)-vragenlijst

De SIG-vragenlijst is een integrale reeks vragen die meerdere risicodomeinen bestrijkt. De vragenlijst is bedoeld om consistente informatie over risico's van derden te verzamelen en de beveiligingspositie van leveranciers te beoordelen binnen een breder programma voor risicobeheer van derden. De vragenlijst moet de wildgroei aan op maat gemaakte security questionnaires in de sector beperken.

Het mechanisme is een gedeelde vragenbank. In plaats van dat elke afnemer zelf een security questionnaire voor leveranciers opstelt, gebruiken afnemers een gemeenschappelijke reeks vragen over onderwerpen als toegangsbeheer, bedrijfscontinuïteit en gegevensprivacy. Leveranciers kunnen één centrale set antwoorden voorbereiden die de meeste of alle vragen beantwoordt.

Het voordeel voor leveranciers die veel security questionnaires beantwoorden, is hergebruik: een goed onderhouden SIG-response kan worden aangepast aan aanvullende vragen van een specifieke koper, in plaats van telkens vanaf nul te worden opgebouwd. De beperking is dat kopers vaak nog hun eigen aanvullende vragen aan de gestandaardiseerde set toevoegen. Een SIG-response vermindert dus de inspanning, maar neemt maatwerk niet volledig weg.

Leveranciersrisico en due diligence

Vragenlijsten voor leveranciersrisicobeoordeling

Een vragenlijst voor leveranciersrisicobeoordeling beoordeelt het risicoprofiel van een leverancier op gebieden als cybersecuritypraktijken, naleving van regelgeving voor gegevensbescherming, financiële stabiliteit en operationele betrouwbaarheid. De reikwijdte is breder dan die van een zuivere security questionnaire, omdat ook bedrijfscontinuïteit en financiële risico's worden onderzocht, en niet alleen technische beheersmaatregelen.

Het mechanisme is scoring over meerdere domeinen: een vragenlijst voor leveranciersrisicobeoordeling levert doorgaans een samengestelde risicoscore of beoordeling op voor verschillende categorieën. De risico- of aanbestedingsfunctie van een afnemer gebruikt die om te beslissen of een leverancier wordt toegelaten, intensiever wordt gemonitord of wordt afgewezen. Antwoorden binnen het ene domein, bijvoorbeeld financiële instabiliteit, kunnen bij de berekening van de samengestelde score sterke antwoorden binnen een ander domein, bijvoorbeeld volwassenheid op het gebied van beveiliging, tenietdoen.

Een gestandaardiseerde reeks vragen waarmee specifiek wordt beoordeeld hoe externe leveranciers omgaan met beveiliging, gegevens beschermen en cyberrisico's beheersen, wordt soms uitgegeven als een beperktere deelverzameling van deze bredere questionnaire, uitsluitend gericht op cybersecurity. Leveranciers moeten nagaan welke reikwijdte zij moeten invullen voordat zij antwoorden opstellen, omdat een beperkte response over beveiliging niet volstaat voor een verzoek om een volledige risicobeoordeling.

Due diligence questionnaires

Een due diligence questionnaire is een uitgebreid instrument om een potentiële investeringsmogelijkheid, zakelijke samenwerking, fusie of overname te beoordelen. De vragenlijst verzamelt informatie over de bedrijfsvoering, financiële prestaties, naleving van wet- en regelgeving en andere belangrijke aspecten van een onderneming. De belangen en diepgang verschillen van die van questionnaires voor aanbestedingen en leveranciersrisico's: de antwoorden kunnen wezenlijke gevolgen hebben voor de waardering of voltooiing van een transactie.

Het mechanisme bestaat uit gestructureerde informatieverstrekking om verplichtingen aan het licht te brengen voordat kapitaal van eigenaar wisselt of een partnerschap wordt geformaliseerd. De vragen gaan doorgaans over de bedrijfsstructuur, de proceshistorie, materiële contracten, het eigendom van intellectuele eigendom en de naleving van wet- en regelgeving. Voor elk onderdeel is ondersteunende documentatie vereist, niet alleen een toelichting.

Omdat antwoorden op due diligence questionnaires vaak rechtstreeks worden opgenomen in transactiedocumenten of garanties, kunnen onjuistheden juridische gevolgen hebben die verder gaan dan een gemiste verkoop. Organisaties die deze questionnaires beantwoorden, laten hun responses doorgaans vóór indiening juridisch beoordelen. Dit in tegenstelling tot reguliere inkoopvragenlijsten, die vaker alleen door bidteams of salesteams worden goedgekeurd.

NIST-questionnaires voor risico's in de toeleveringsketen

Een scopingvragenlijst voor de beoordeling van risicobeheer in de toeleveringsketen beschrijft welke kerninformatie nodig is om de grenzen, activiteiten en ondersteunende architectuur van een systeem vast te stellen voordat de gedetailleerde risicoanalyse begint. Het National Institute of Standards and Technology neemt zo'n vragenlijst op in zijn richtlijnen voor risicobeheer in de toeleveringsketen, als voorbereiding op een diepgaandere beoordeling.

Het mechanisme is eerst de reikwijdte bepalen en dan pas beoordelen. In plaats van direct elke beheersmaatregel afzonderlijk te evalueren, stelt de questionnaire eerst vast welk systeem, welke leveranciersrelatie of welk deel van de toeleveringsketen wordt beoordeeld en waar de grenzen liggen. Zo wordt voorkomen dat een daaropvolgende gedetailleerde beoordeling ten onrechte op de verkeerde reikwijdte wordt toegepast.

Het praktische gevolg is dat de volgorde ertoe doet. Organisaties die deze aanpak volgen, moeten ervan uitgaan dat een scoping questionnaire voorafgaat aan, en niet in de plaats komt van, een uitgebreidere technische risicobeoordeling. Ook moeten zij de eerste antwoorden over de scope beschouwen als de basis waarmee latere, meer gedetailleerde antwoorden op questionnaires consistent moeten blijven.

Het perspectief van de responderende organisatie

Werkdruk en coördinatie

Het beantwoorden van questionnaires, met name over security en compliance, vraagt inzet van meerdere disciplines, waaronder security, juridische zaken, compliance en sales- of bidteams. Geen enkele afdeling kan dit alleen afhandelen. Eén questionnaire voor leveranciersrisicobeoordeling kan in hetzelfde document technische beheersmaatregelen, contractvoorwaarden, financiële informatie en certificeringen behandelen.

Coördinatie maakt dit op grotere schaal werkbaar: een bid- of offertefunctie beheert de questionnaire doorgaans van begin tot eind, stuurt afzonderlijke onderdelen door naar de Subject Matter Expert die ze het nauwkeurigst kan beantwoorden en voegt de verzamelde antwoorden vervolgens samen tot één response, die vóór indiening wordt beoordeeld.

Zonder die coördinatie worden questionnaires vaak inconsistent beantwoord door degene die het verzoek toevallig ontvangt. Dit verlengt de doorlooptijd en vergroot het risico op feitelijke fouten. Organisaties die jaarlijks veel questionnaires ontvangen, leggen de verantwoordelijkheid doorgaans formeel vast in plaats van die ad hoc toe te wijzen.

Risico op inconsistente of onjuiste antwoorden

Onjuiste of inconsistente antwoorden op questionnaires brengen juridische en commerciële risico's en reputatierisico's met zich mee voor de organisatie die ze beantwoordt. Het gaat dus niet alleen om administratief ongemak. Een onjuist beschreven beheersmaatregel in een security questionnaire kan, als de koper daarop vertrouwt, een onjuiste voorstelling van zaken vormen met contractuele gevolgen.

Het mechanisme achter dit risico is dat kopers op de antwoorden vertrouwen. Zij gebruiken antwoorden op questionnaires als basis voor beslissingen over onboarding, risicoclassificaties of contractvoorwaarden. Daardoor weegt een onzorgvuldig gegeven antwoord even zwaar als een zorgvuldig gegeven antwoord. In de meeste processen wordt formeel geen onderscheid gemaakt tussen een overhaast antwoord en een geverifieerd antwoord.

Inconsistenties tussen gelijktijdige questionnaires vergroten het risico. Als twee kopers afzonderlijk de antwoorden van een leverancier verifiëren en tegenstrijdige cijfers aantreffen over hetzelfde onderliggende feit, bijvoorbeeld het aantal medewerkers of de certificeringsstatus, vormt de afwijking op zichzelf al een waarschuwingssignaal, ongeacht of een van beide afzonderlijke antwoorden juist was.

Responsebibliotheken en hergebruik

Een response library is een beheerde verzameling van eerder goedgekeurde antwoorden op questionnaires, die een organisatie gebruikt om nieuwe questionnaires sneller en consistenter te beantwoorden. Hiermee wordt het volumeprobleem aangepakt dat ontstaat doordat jaarlijks veel overlappende questionnaires over security, compliance en aanbestedingen moeten worden beantwoord.

Het mechanisme is hergebruik met controle: in plaats van elk antwoord vanaf nul op te stellen, haalt een bidteam of complianceteam het best passende eerdere antwoord op, toetst het aan actuele feiten en bewijsstukken en past het vóór herindiening aan de specifieke formulering van de vraag aan. Dit is sneller dan een volledig nieuw antwoord opstellen, maar de betrouwbaarheid hangt af van hoe actueel de bibliotheek zelf is.

Een bibliotheek die niet actief wordt onderhouden, wordt een risico in plaats van een waardevol hulpmiddel. Een verouderd antwoord dat zonder controle wordt hergebruikt, kan namelijk precies het hierboven beschreven risico op inconsistenties en onjuistheden opnieuw introduceren. Organisaties die sterk op antwoordbibliotheken vertrouwen, wijzen doorgaans expliciet iemand aan die ervoor verantwoordelijk is dat de inhoud actueel blijft bij wijzigingen in certificeringen, beleid en beheersmaatregelen.

Questionnaires in het bredere bid- en compliance-ecosysteem

Relatie tot RFPs en aanbestedingen

Questionnaires maken vaak deel uit van offerteaanvragen en aanbestedingen, of lopen parallel daaraan, in plaats van volledig afzonderlijke processen te vormen. Een prekwalificatievragenlijst gaat doorgaans vooraf aan de hoofdfase van de RFP, terwijl security questionnaires en compliancevragenlijsten vaak als bijlagen aan de RFP zelf worden toegevoegd.

Het mechanisme berust op een vaste volgorde binnen één aanbestedingscyclus: kwalificatievragenlijsten selecteren kandidaten, via de RFP worden de offertes op de shortlist beoordeeld op kwaliteit en prijs, en aanvullende questionnaires (security, compliance en financieel) leveren naast de offerte de onderbouwing waarvoor een verhalende response zich minder goed leent.

Het is belangrijk om deze documenten als één samenhangend traject te behandelen en niet als losse documenten. Inconsistenties tussen de inhoudelijke claims in een offerte en de feitelijke antwoorden in een questionnaire leiden namelijk vaak tot zorgen bij beoordelaars. Een leverancier die in de tekst stelt dat de informatiebeveiliging zeer volwassen is, maar in de bijbehorende security questionnaire oppervlakkige of algemene antwoorden geeft, ondermijnt beide.

Relatie met contracten en audits

Antwoorden op questionnaires dienen vaak als referentie in het uiteindelijke contract en bij latere audits, in plaats van te verdwijnen zodra een beslissing is genomen. De verstrekte informatie in een due diligence questionnaire kan worden opgenomen in garanties bij een transactie; antwoorden op een security questionnaire voor leveranciers kunnen worden aangehaald in dienstverleningsovereenkomsten of opnieuw worden beoordeeld tijdens periodieke leveranciersaudits.

Het mechanisme is traceerbaarheid: inkopers bewaren ingevulde questionnaires specifiek om, als een beheersmaatregel tekortschiet of er later een geschil ontstaat, te kunnen nagaan wat oorspronkelijk is verklaard en wat er daadwerkelijk was ingericht. Daardoor blijft de questionnaire nog lang relevant nadat de oorspronkelijke beslissing is genomen.

Voor de organisatie die de questionnaire invult, betekent dit dat antwoorden met dezelfde zorgvuldigheid moeten worden behandeld als een contractuele verklaring, omdat ze dat in de praktijk kunnen worden. Een antwoord dat tijdens een dynamisch verkooptraject onnauwkeurig is geformuleerd, kan jaren later ongewijzigd terugkomen bij een audit.