Gids · IT en management: SharePoint in kaart brengen met AI: wat de schermen je niet laten zien

Wie wil weten waar een medewerker overal bij kan in SharePoint, moet in de standaardschermen site voor site gaan kijken. Dat kost uren, en het antwoord is zelden compleet. Automatisering en AI veranderen dat. Ze verzamelen alle rechten in één keer, herleiden groepen tot echte mensen en laten patronen zien die geen enkel scherm toont. De echte winst zit alleen niet in de techniek. Die zit in wat er vrijkomt: tijd en aandacht voor de keuzes die alleen een mens kan maken.

Wat SharePoint je laat zien, en wat niet

SharePoint is gebouwd om samen te werken, niet om overzicht te geven. Dat merk je zodra je een vraag stelt die over meer dan één site gaat.

In de standaardschermen werk je per plek:

• Per site zie je de eigenaren en leden. Bij een teamsite lopen die via de gekoppelde Microsoft 365-groep of het team in Teams, bij een communicatiesite via de SharePoint-groepen Eigenaren, Leden en Bezoekers.
• Per bestand of map zie je via Toegang beheren (Manage access) wie erbij kan en welke deellinks er zijn.
• Voor de hele omgeving stel je in het SharePoint-beheercentrum in wat er mag, zoals extern delen. Dat staat standaard aan.

Wat je niet ziet, is het overzicht. Welke sites staan open voor de hele organisatie? Welke gasten hebben nog toegang tot iets? En vooral: waar kan één bepaalde persoon allemaal bij?

Microsoft heeft daar wel rapporten voor. In het onderdeel Data access governance onder Rapporten vind je onder meer een rapport met alle sites waar een gebruiker toegang toe heeft, rechtstreeks of via groepen. Er zijn ook AI-inzichten die met een taalmodel patronen uit die rapporten halen. Maar die functies horen bij SharePoint Advanced Management. Daarvoor heb je een Enterprise-basisabonnement nodig, zoals Microsoft 365 E3 of E5, plus een Copilot-licentie of een losse add-on. Veel organisaties in het MKB werken met een Business-abonnement en hebben die rapporten dus niet.

De vraag die bijna niemand snel kan beantwoorden

"Waar heeft deze persoon allemaal toegang toe?" Die vraag komt vaker voor dan je denkt. Bij een vertrek, bij een andere functie, na een incident, of gewoon omdat een manager het wil weten. En direct daarna komt de tweede vraag: hoe snel kun je het intrekken?

Het lastige is dat toegang zelden via één route loopt. Een medewerker kan op meerdere manieren ergens bij komen:

1. Als lid van een groep. Wie lid is van een Microsoft 365-groep of team, is lid van de bijbehorende site.
2. Via een groep in een groep. Een beveiligingsgroep kan lid zijn van een SharePoint-groep. Microsoft raadt geneste beveiligingsgroepen af, maar in de praktijk komen ze voor.
3. Via de hele organisatie. De groep Iedereen behalve externe gebruikers (Everyone except external users) bevat automatisch alle interne gebruikers. Staat die op een site, dan kan iedereen erbij.
4. Via een deellink. Een link op één bestand of map geeft toegang, los van de site. Een link voor iedereen (Anyone) werkt zelfs zonder in te loggen.

Wie de routes kent, kan ook snel intrekken. Iemand uit een groep halen is één handeling. Een deellink verwijderen ook. Maar wie alleen de voor de hand liggende route ziet, haalt iemand uit het team en mist de link op de map Contracten.

Zes patronen die pas zichtbaar worden als je alles naast elkaar legt

Elk van deze patronen is in de standaardschermen te vinden, als je weet waar je moet kijken. De waarde ontstaat pas als je ze naast elkaar legt, voor alle sites tegelijk.

1. Sites die openstaan voor iedereen. De groep Iedereen behalve externe gebruikers op een site met gevoelige documenten. Vaak ooit toegevoegd om het makkelijk te maken, en daarna vergeten.
2. Links zonder vervaldatum. Een link voor iedereen vraagt geen aanmelding, en Microsoft geeft zelf aan dat de toegang via zo'n link niet te herleiden is. Zonder vervaldatum blijft hij werken.
3. Gasten die niet meer meedoen. Externe gebruikers die ooit voor een project zijn uitgenodigd, en nog steeds toegang hebben.
4. Mappen met eigen rechten. Waar de overerving van rechten is verbroken, gelden andere regels dan op de site. Wie alleen de site controleert, ziet dat niet.
5. Toegang via een omweg. Groepen in groepen, waardoor iemand toegang heeft zonder dat zijn naam ergens op de site staat.
6. Sites zonder actieve eigenaar. Niemand voelt zich verantwoordelijk, dus niemand ruimt op.

Los zijn dit aandachtspunten. Samen vertellen ze een verhaal. Een site die openstaat voor iedereen, geen eigenaar meer heeft en een oude externe link bevat, is een ander risico dan elk van die drie apart. Dat soort combinaties zie je alleen als alles in één beeld staat.

Snelheid: van uren zoeken naar een overzicht dat klaarstaat

Met de hand ziet het werk er zo uit: site openen, leden noteren, groepen openklappen, de volgende site. Daarna in Excel combineren, en hopen dat je niets over het hoofd ziet. Voor één vraag over één persoon ben je al snel uren bezig.

Bij een AI-first aanpak verzamelt de automatisering alles in één keer: alle sites, alle groepen, alle deellinks en alle gasten. Groepen worden teruggerekend naar echte mensen. Daarna kun je twee kanten op zoeken: per site wie erbij kan, en per persoon waar die bij kan. De vraag die eerst uren kostte, is dan een zoekopdracht.

Het verschil zit niet alleen in de snelheid. Het zit in waar de tijd naartoe gaat. Bij handwerk gaat het meeste werk op aan verzamelen, en is er weinig energie over om na te denken over wat je vindt. Bij een AI-first aanpak is dat precies andersom.

Voorspelbaarheid: dezelfde vragen, dezelfde uitkomst

Snelheid zonder betrouwbaarheid levert weinig op. Daarom is voorspelbaarheid net zo belangrijk. Voor mij betekent dat drie dingen:

• Dezelfde uitkomst. Dezelfde omgeving levert dezelfde bevindingen op, ook bij een tweede meting. Alleen dan zie je wat er echt veranderd is.
• Leesbare overzichten. Een cijfer, een overzicht per thema en een lijst met wat het eerst moet. Zo dat een manager het begrijpt zonder SharePoint te kennen.
• Dezelfde taken. Elke keer worden dezelfde onderwerpen nagelopen, in dezelfde volgorde. Er valt niets weg omdat iemand een drukke dag had.

Hier zit een belangrijk verschil binnen AI. Een taalmodel is sterk in samenvatten en uitleggen, maar formuleert niet elke keer hetzelfde. Microsoft schrijft zelf dat de AI-inzichten in SharePoint op een deel van de gegevens zijn gebaseerd, en dat de uitkomst van generatieve AI niet gegarandeerd feitelijk juist is. Daarom werk ik met een duidelijke verdeling. Automatisering verzamelt. Vaste regels bepalen wat een bevinding is, zodat je altijd kunt nalopen waarom iets is gemeld. AI-first betekent voor mij: alles wat herhaalbaar is automatiseren, en het oordeel vastleggen in regels die je kunt controleren.

Waar de mens het verschil maakt

Hier wordt het interessant. Als het verzamelen en het controleren geautomatiseerd zijn, wat blijft er dan over? Juist het deel dat het meeste oplevert.

Context: wat is gevoelig, en voor wie

Geen scan weet dat de site Projecten Noord eigenlijk de salarisadministratie bevat, of dat een externe partner nog drie maanden aan een project werkt. Een overzicht laat zien dat er een gast toegang heeft. Alleen een mens weet of dat klopt. Die context bepaalt of een bevinding een risico is of gewoon werk.

Kiezen wat eerst moet

Een omgeving met tientallen aandachtspunten vraagt om keuzes. Wat heeft de meeste impact? Wat is snel op te lossen? Wat kan wachten tot na de drukke periode? Een goede prioritering houdt rekening met de organisatie, niet alleen met de techniek. Dat gesprek voer je met mensen, niet met een rapport.

Het gesprek met de eigenaren

Rechten zijn er niet voor niets. Achter elke toegang zit een reden, ook als die reden achterhaald is. Wie opruimt zonder te overleggen, legt werk stil en verliest het vertrouwen van de mensen die ermee werken. De sterkste aanpak is samen met de eigenaren van de sites: dit hebben we gevonden, klopt het nog, en wat gaan we doen?

Uitleggen aan het management

Een directie wil niet weten hoeveel deellinks er zijn. Die wil weten wat het risico is, wat het kost om het op te lossen en wat er besloten moet worden. Het vertalen van bevindingen naar een besluit is mensenwerk. Een leesbaar overzicht helpt, maar het gesprek maakt het verschil.

Borgen dat het goed blijft

Een opgeruimde omgeving groeit weer scheef als niemand erop let. Afspraken over eigenaarschap, regels voor extern delen en een vast moment om opnieuw te kijken: dat moet iemand bedenken, uitleggen en bewaken.

Dat is de kern van hoe ik werk. Meer aandacht voor het resultaat, voor snelheid en voor persoonlijk contact. De techniek automatiseren waar dat kan, zodat er tijd is voor het werk dat ertoe doet.

Wat ik in de praktijk zie

De vraag die ik het vaakst hoor, is niet "is onze omgeving veilig?". Het is concreter: waar heeft deze persoon toegang toe, en hoe snel krijg ik dat dicht? Op die vraag is in de standaardschermen geen eenvoudig antwoord.

Organisaties schrikken daarbij meestal niet van wat er boven komt. Wat ze vooral ervaren, is dat het zo omslachtig is om inzicht te krijgen. Uren klikken voor een antwoord dat bij de volgende wijziging alweer verouderd is. Daar zit de winst van een AI-first aanpak: niet in spectaculaire ontdekkingen, maar in het feit dat het overzicht er gewoon is, elke keer op dezelfde manier.

Waarom Copilot dit urgenter maakt

Microsoft 365 Copilot laat een medewerker alleen gegevens zien waar die medewerker minimaal leesrechten op heeft. Dat klinkt geruststellend, maar het betekent ook dat Copilot elke te ruime toegang benut. Een map die openstaat voor iedereen, was vroeger moeilijk te vinden. Met Copilot is één vraag genoeg om de inhoud te gebruiken in een antwoord.

Wie Copilot wil invoeren, doet er dus goed aan eerst te weten hoe de rechten erbij staan. Dat is geen reden om Copilot uit te stellen, wel een reden om eerst het overzicht te maken.

Zo begin je

1. Kies je vraag. Gaat het om personen, om gevoelige sites of om externe toegang? Een duidelijke vraag maakt de rest eenvoudiger.
2. Kijk wat je licentie biedt. Heb je een Enterprise-abonnement met SharePoint Advanced Management, open dan de rapporten onder Data access governance in het beheercentrum. Microsoft adviseert de momentopnames elk kwartaal te draaien en de activiteitenrapporten elke maand.
3. Maak anders één keer een volledig beeld. Zonder die licentie is een eenmalige, volledige scan de snelste weg. Dat is precies wat de SharePoint Audit doet. In het voorbeeldrapport zie je hoe zo'n overzicht eruitziet, inclusief zoeken op persoon en site.
4. Plan het gesprek. Bespreek de bevindingen met de eigenaren van de sites en kies samen wat eerst moet. Hoe ik zo'n traject opbouw, lees je bij de werkwijze.
5. Houd het bij. Spreek af wie wat bewaakt en wanneer je opnieuw kijkt. Wil je dat uitbesteden, dan kan dat met SharePoint-beheer.