5 noodzakelijke aanpassingen op artikel 47 van ARBIT

In juli 2010 heeft de Rijksoverheid ARBIT geïntroduceerd. ARBIT staat voor Algemene Rijksvoorwaarden Bij IT-overeenkomsten. In de eerste versie, ARBIT 2010, is in artikel 47 een aantal escrow-clausules opgenomen. Deze clausules zijn in de latere ARBIT-versies ongewijzigd gebleven. Vanuit de escrow-branche juichen wij dit artikel uiteraard toe. Maar ARBIT kan nog beter aansluiten op de praktijk. Om de meerwaarde van een escrow-regeling als IT-risicobeheerinstrument adequaat te realiseren, zijn de volgende vijf aanpassingen noodzakelijk:

1. Minder vrijblijvendheid, wees concreter

ARBIT bedingt dat de opdrachtnemer altijd, wanneer de opdrachtgever dat nodig acht, een escrow-regeling moet treffen. Wat momenteel ontbreekt, zijn richtlijnen voor in welke gevallen een escrow-regeling vereist is (need to have versus nice to have). Enkele voorbeelden van criteria voor de verplichtstelling van escrow:
• Toepassing: bedrijfskritische applicaties die de kern van dienstverlening van de overheidsinstelling raken (Midoffice, Zaaksystemen); financiële pakketten.
• Hoogte investering: bij meer dan € 100.000 per jaar aan licentie en onderhoud.
• Kwaliteit leverancier: de leverancier is een start-up (bijv. korter dan vijf jaar actief) of behaalt een lage dan wel gemiddelde score bij credit rating bureaus (zoals D&B of Graydon).

Als vuistregels kunnen worden aangehouden:
• Is een van de drie criteria van toepassing: escrow vereist
• Zijn twee van de drie van toepassing: escrow met uitgebreide verificatie vereist

Bij een uitgebreide verificatie wordt de werking van de software gecontroleerd. Bijvoorbeeld door de broncode te compileren, eventueel de omgeving (Operating System, databases, etc.) op te bouwen tot de werkende oplossing. Bij een basisverificatie wordt alleen gekeken naar de beschikbaarheid van de componenten. Vergelijk het met een bouwpakket van IKEA: de basisverificatie is een check op de aanwezigheid van de onderdelen. Zijn alle planken, schroeven, moertjes, documentatie etc. in de juiste samenstelling aanwezig? De uitgebreide verificatie is het daadwerkelijk in elkaar zetten van het meubelstuk op basis van de documentatie.

2. Maak onderscheid tussen on-premises versus SaaS en Cloud

De focus van ‘traditionele’ escrow is het kunnen voortzetten van onderhoud en het implementeren van bug fixes, etc. Bij SaaS- en cloud-diensten daarentegen heeft een escrow-regeling tot doel het waarborgen van de continuïteit van het gebruik (functionaliteit) en de onbelemmerde toegang tot de eigen data. Onderhoud van de software is veel minder klemmend en komt op het tweede plan.

3. Besteed aandacht aan maatwerk

Laat de leverancier het maatwerk mee deponeren in de escrow-regeling. Hoewel ARBIT bedingt dat de IE-rechten van het maatwerk toebehoren aan de overheidsopdrachtgever, heeft geen enkele inkoper of IT-afdeling een actuele kopie van de broncode van het maatwerk in de bureaulade of – nog beter – in een brandveilige kluis liggen. Een escrow-regeling voor louter standaardprogrammatuur is dus half werk. Het opnemen van maatwerk in de clausule is een kleine moeite met groot plezier tot resultaat.

4. Vraag direct om een bewijs van deelname van de escrow-agent

Zo’n verklaring is vergelijkbaar met de Groene Kaart als verzekeringsbewijs bij het huren of leasen van een auto. Welke informatie moet zo’n bewijs van deelname bevatten?
Dat er een escrow-regeling is getroffen.
Dat de escrow-regeling daadwerkelijk voor uw organisatie geldt. Vaak is er wel een escrow-regeling, maar staat u ook geregistreerd als ‘begunstigde’?
Dat de escrow-regeling de door u gebruikte versie van het softwarepakket dekt. Overheidsklanten kunnen conservatief zijn met het doorvoeren van updates en blijven soms lang bij de oudere versies.

5. Regelmatigde controle

Een regeling opzetten is één ding, het onderhouden ervan een tweede. En ook het bijhouden van eventuele aanpassingen. Dat vraagt om transparante communicatie. Het is tegenwoordig gebruikelijk dat de escrow-agent de actuele status laat weten op het klantportaal dan wel via e-mail. Het is belangrijk niet louter af te gaan op wat de leverancier zegt. Vertrouwen is goed, controle is beter.
Kortom: Het huidige Artikel 47 van ARBIT is een goede eerste stap geweest. Nu is het zaak de puntjes op de i te zetten.

ARBIT
Artikel 47. Escrow
47.1. Opdrachtgever heeft er te allen tijde aanspraak op dat Leverancier in Escrow voorziet, ook indien dat aanvankelijk niet is overeengekomen.
47.2. Escrow omvat alle niet openbaargemaakte informatie die Opdrachtgever redelijkerwijs nodig heeft voor foutherstel, onderhoud en beheer van de Standaardprogrammatuur zodat hij daarvan het Overeengekomen gebruik kan blijven maken. Escrow voldoet aan hetgeen dienaangaande ten tijde van het afsluiten daarvan op de Nederlandse markt gebruikelijk is.
47.3. Indien Escrow onderdeel van de Overeenkomst uitmaakt legt Leverancier aan Opdrachtgever bewijs over waaruit blijkt dat de Escrow voldoet aan hetgeen dienaangaande in de Overeenkomst is bepaald of zorgt Leverancier met bekwame spoed voor het treffen van een dergelijke voorziening.
47.4. Indien Escrow geen onderdeel uitmaakt van de Overeenkomst heeft Opdrachtgever ook nadien het recht te verlangen dat een dergelijke regeling alsnog wordt aangegaan c.q. mag hij te allen tijde aansluiten bij een overeenkomst van Escrow als bedoeld in artikel 47.2. Daaraan verbonden redelijke kosten zijn voor rekening van Opdrachtgever.

Staatscourant 2010 nr. 11138 19 juli 2010