Wat is Supply Chain Management?
Supply Chain Management (SCM) is het plannen, aansturen en verbeteren van alle stromen van goederen, informatie en geld tussen grondstofleveranciers, producenten, distributeurs en eindklanten, zodat producten en diensten tegen de juiste kosten, op het juiste moment en in de juiste hoeveelheid bij de afnemer komen. Het omvat inkoop, productieplanning, logistiek, voorraadbeheer, retourstromen en de samenwerking met externe partijen. De term werd in 1982 bekend toen consultant Keith Oliver van Booz Allen Hamilton hem in een interview met de Financial Times gebruikte.
In OT-context is SCM niet alleen een logistieke discipline, maar ook een kritische schakel in cybersecurity, omdat leveranciers vaak diep toegang hebben tot systemen, software en hardware.
🧠 Welke kernfuncties heeft supply chain management?
- Inkoop - leveranciers selecteren, contracten afsluiten en leveranciersprestaties beoordelen
- Planning - vraag voorspellen en afstemmen op capaciteit, vaak in een maandelijkse Sales & Operations Planning-cyclus (S&OP)
- Productie - orders inplannen en uitvoeren op de werkvloer
- Logistiek - transport, opslag, ontvangst en uitgifte van materialen en gereed product
- Voorraadbeheer - voorraadniveaus optimaliseren tussen leverbetrouwbaarheid en kapitaalbeslag
- Leveranciersrelatiebeheer - samenwerken op basis van vertrouwen, prestatieafspraken en gedeelde prognoses
- Traceerbaarheid - herkomst, batch en status van onderdelen en producten volgen, onder meer met tracking and tracing
- Retourlogistiek - reparatie, terugname en recycling van producten en verpakkingen
De Amerikaanse beroepsvereniging CSCMP vat het samen als het plannen en beheren van sourcing, inkoop, conversie en logistiek, plus de coördinatie met ketenpartners zoals leveranciers, tussenpersonen, logistiek dienstverleners en klanten.
🔄 Hoe beschrijft het SCOR-model de keten?
Het bekendste referentiemodel voor SCM is SCOR (Supply Chain Operations Reference), sinds 1996 ontwikkeld door de Supply Chain Council en nu beheerd door ASCM. In 2022 verscheen de SCOR Digital Standard (SCOR DS), een ingrijpende herziening die de lineaire procesketen vervangt door een netwerk van zeven processen. SCOR DS is gratis online te raadplegen met een ASCM-account.
| Oorspronkelijk SCOR | SCOR DS (2022) | Wat het proces omvat |
|---|---|---|
| Enable | Orchestrate | Strategie, bedrijfsregels, netwerkontwerp, technologie, data-analyse, compliance en duurzaamheid |
| Plan | Plan | Roadmaps, capaciteitstekorten en acties over alle andere processen |
| Deliver (deel) | Order | Klantorders, prijzen, betaalwijzen en orderstatus |
| Source | Source | Inkopen, bestellen, ontvangen en overdragen van goederen en diensten |
| Make | Transform | Produceren, assembleren, demonteren en onderhouden |
| Deliver (deel) | Fulfill | Plannen van levering, picken, verpakken, verzenden, installeren en factureren |
| Return | Return | Retourstromen: conditie vaststellen, rechten beoordelen en afvoeren |
SCOR koppelt elk proces aan prestatie-indicatoren en best practices. Daardoor kunnen bedrijven hun keten vergelijken met die van andere organisaties, ook als ze verschillende software gebruiken.
🏭 Waar zit SCM in de IT/OT-architectuur?
In een productiebedrijf loopt SCM dwars door de lagen van ISA-95 en het Purdue Model. De planning gebeurt in de kantoor-IT, de uitvoering op de werkvloer:
| Laag | Typische systemen | Rol in de keten | Tijdschaal |
|---|---|---|---|
| Niveau 4 – bedrijfsplanning en logistiek | ERP, MRP, APS, EDI met klanten en leveranciers | Vraagplanning, inkoop, orders, voorraadwaardering | Maanden tot dagen |
| Niveau 3 – productie-operaties | MES, WMS, kwaliteitssystemen | Gedetailleerde planning, materiaalverbruik, batchregistratie, magazijnbewegingen | Dagen tot seconden |
| Niveau 0–2 – besturing | PLC, SCADA, scanners en RFID-lezers | Uitvoering, meting, identificatie van producten en ladingdragers | Seconden en sneller |
Een goederenontvangst laat zien hoe de lagen samenwerken: de leverancier stuurt een elektronisch verzendbericht via EDI, de chauffeur levert pallets met een SSCC-label, de magazijnmedewerker scant het barcode-label en het WMS boekt de ontvangst, waarna ERP de voorraad en de crediteur bijwerkt. Op productniveau zorgt de GTIN van GS1 voor een eenduidige identificatie. Met de GS1-standaard EPCIS, waarvan versie 2.0 in juni 2022 werd geratificeerd, delen ketenpartners gebeurtenissen als wat, wanneer, waar en waarom met elkaar.
Hoe dichter ERP en MES op elkaar aansluiten, hoe meer de keten profiteert van actuele OT-data. Dat is een kernidee van Industrie 4.0 en OT-convergentie. Het vergroot ook het aanvalsoppervlak: een koppeling tussen de leveranciersportal en het MES is een mogelijke route naar de productie.
📈 Wat is het bullwhip-effect en hoe meet u ketenprestaties?
Het bullwhip-effect is het verschijnsel dat bestellingen verderop in de keten steeds sterker schommelen dan de werkelijke klantvraag. Jay Forrester beschreef het in 1961 in Industrial Dynamics; het MIT ontwikkelde er in de jaren zestig het beer game voor. Lee, Padmanabhan en Whang noemden in 1997 vier oorzaken: het opblazen van vraagsignalen, rantsoeneringsgedrag bij tekorten, bestellen in grote batches en prijsacties. Gedeelde voorraad- en verkoopdata, kleinere bestelhoeveelheden en stabiele prijzen dempen het effect.
Ketenprestaties worden gemeten met een beperkt aantal indicatoren:
| Indicator | Definitie | Waarom relevant |
|---|---|---|
| OTIF (On Time In Full) | Aandeel orders dat op tijd én compleet is geleverd | Directe maat voor leverbetrouwbaarheid |
| Perfect order | Aandeel orders zonder enige fout in tijd, aantal, documenten of kwaliteit | Strenger dan OTIF, kernindicator in SCOR |
| Voorraadomloopsnelheid | Kostprijs van de omzet gedeeld door de gemiddelde voorraad | Laat zien hoeveel kapitaal in voorraad vastzit |
| Cash-to-cash-cyclus | Voorraaddagen plus debiteurendagen min crediteurendagen | Tijd tussen betalen van de leverancier en ontvangen van de klant |
| Forecast accuracy | Afwijking tussen prognose en werkelijke vraag, vaak als MAPE | Basis voor voorraad- en capaciteitsbeslissingen |
LEAN en just-in-time verlagen voorraden en doorlooptijden, maar maken de keten gevoeliger voor verstoringen. Na de chiptekorten van 2021 en 2022 kozen veel industriële bedrijven daarom weer voor buffervoorraad van kritieke componenten.
🔐 Waarom is de supply chain een cybersecurityrisico?
Leveranciers van OT-systemen leveren niet alleen hardware, maar ook firmware, software, updates en onderhoud op afstand. Elk van die stromen kan een aanvaller misbruiken:
| Cyberrisico | Voorbeeld in OT |
|---|---|
| Gecompromitteerde component | Malware in de firmware van een PLC van een externe leverancier |
| Ongecontroleerde toegang op afstand | Onderhoudspartij heeft permanente VPN-toegang tot de SCADA-omgeving |
| Shadow IT en niet-gevalideerde tools | Installatie van niet-goedgekeurde software in de productieomgeving |
| Software-integriteit | Manipulatie van updatebestanden die zonder code signing worden verspreid |
| Onbekende afhankelijkheden | Kwetsbare open-sourcebibliotheek in een apparaat zonder SBOM |
Aanvallen als SolarWinds (2020), NotPetya (2017) en 3CX (2023) liepen via leveranciers. NotPetya kwam binnen via een update van Oekraïense boekhoudsoftware en legde bij Maersk de IT plat; de containerterminals van APM Terminals op de Maasvlakte lagen ruim een week grotendeels stil. Maersk schatte de schade op 200 tot 300 miljoen dollar. Het voorbeeld toont dat een logistieke keten ook stopt als alleen de IT voor planning en orders uitvalt. Een volledig overzicht staat in supply chain-risico’s.
✅ Welke beveiligingsmaatregelen horen bij SCM?
| Maatregel | Toelichting |
|---|---|
| Supplier Security-beleid | Beveiligingseisen, meldplicht en auditrecht opnemen in contracten |
| Third Party Risk Management | Risicobeoordeling en blijvende monitoring van externe partijen |
| Asset Inventory | Weten welke componenten, firmwareversies en leveranciers in de installatie zitten |
| Secure Boot en firmware signing | Alleen ondertekende firmware en software laten starten of installeren |
| Access Control en Jump Server | Toegang op afstand via gecontroleerde, tijdgebonden en gelogde routes |
| Patchmanagement | Updates via betrouwbare kanalen ophalen, controleren en eerst testen |
| Monitoring en Anomaliedetectie | Ongebruikelijke activiteit op leveranciersverbindingen detecteren |
⚖️ Welke wetten en normen raken supply chain security?
| Kader | Relevantie voor de keten |
|---|---|
| NIS2 artikel 21 | Essentiële en belangrijke entiteiten moeten de beveiliging van hun toeleveringsketen beheersen, inclusief relaties met directe leveranciers |
| Cyberbeveiligingswet en Cyberbeveiligingsbesluit | Nederlandse uitwerking van NIS2, in werking sinds 15 augustus 2026; artikel 10 van het besluit regelt beleid voor de toeleveringsketen |
| Cyber Resilience Act | Fabrikanten moeten veilige producten met beveiligingsupdates leveren en een SBOM opstellen; meldplicht vanaf 11 september 2026, volledig van toepassing vanaf 11 december 2027 |
| IEC 62443-2-4 | Securityeisen voor integratoren en onderhoudspartijen van industriële systemen |
| ISO 27001:2022 | Annex A-maatregelen 5.19 tot en met 5.23 voor leveranciersrelaties en de ICT-keten |
| ISO 27036 | Aparte normenreeks met richtlijnen voor informatiebeveiliging in leveranciersrelaties |
| SOC 2 en ISAE 3402 | Assurancerapporten over de beheersmaatregelen van dienstverleners; SOC 2 toetst de Trust Services Criteria (altijd beveiliging, optioneel onder meer beschikbaarheid en vertrouwelijkheid), ISAE 3402 processen die de financiële verslaggeving raken |
Daarnaast speelt de herkomst van leveranciers een rol in kritieke infrastructuur, zie hoog-risicoleveranciers. De Europese Ecodesignverordening (EU) 2024/1781, sinds 18 juli 2024 van kracht, introduceert bovendien het digitale productpaspoort, dat per productgroep via gedelegeerde handelingen verplicht wordt. Het batterijpaspoort volgt vanaf 18 februari 2027 uit de Batterijverordening. Zo wordt traceerbaarheidsdata over de keten steeds vaker een wettelijke eis.
📦 Wat is het verschil tussen de digitale en fysieke keten?
| Digitale keten | Fysieke keten |
|---|---|
| Softwareleveranciers, updates, clouddiensten | Onderdelen, apparatuur, reserveonderdelen |
| Toegang op afstand, e-maintenance | Installatie op locatie, field engineers |
| IT/OT-integraties en dataplatforms | Verpakking, opslag, just-in-time levering |
In OT zijn beide ketens sterk met elkaar verbonden en moeten ze gelijktijdig beheerst en beveiligd worden. Een vervangende PLC uit de fysieke keten brengt immers ook firmware uit de digitale keten mee.
🧭 Hoe versterkt u SCM stap voor stap?
- Breng de keten in kaart - leg vast welke leveranciers, onderleveranciers, transportroutes en systemen elk kritiek product raken, gekoppeld aan uw assetinventaris.
- Bepaal kritikaliteit - welke leverancier of component kan bij uitval de productie of de veiligheid stilleggen? Leg dit vast in uw bedrijfscontinuïteitsplan.
- Maak de informatiestroom eenduidig - gebruik GS1-identificatie, EDI en duidelijke systeemgrenzen tussen ERP, WMS en MES volgens ISA-95.
- Deel data met ketenpartners - gedeelde prognoses en voorraadposities dempen het bullwhip-effect.
- Stel beveiligingseisen - neem IEC 62443-2-4, een SBOM en meldafspraken op in inkoopvoorwaarden.
- Beperk en bewaak toegang - leveranciers alleen via een jump server en toegang op afstand met logging.
- Meet en evalueer - volg OTIF, voorraadomloop en leveranciersincidenten en herbeoordeel kritieke leveranciers minstens jaarlijks.
❓ Veelgestelde vragen
Wat is het verschil tussen supply chain management en logistiek?
Logistiek gaat over het fysiek verplaatsen en opslaan van goederen. Supply chain management is breder en omvat ook inkoop, planning, productie, retourstromen en de samenwerking met ketenpartners. Logistiek is dus één onderdeel van supply chain management.
Welke software wordt gebruikt voor supply chain management?
De kern is meestal een ERP-systeem voor orders, inkoop en voorraad, aangevuld met een WMS voor het magazijn, een TMS voor transport en een MES voor de werkvloer. Voor complexe planning gebruiken bedrijven vaak een apart APS-pakket. Via EDI wisselen deze systemen orders en verzendberichten uit met klanten en leveranciers.
Wat is het SCOR-model?
Het SCOR-model is een referentiemodel voor supply chain management dat processen, prestatie-indicatoren en best practices beschrijft. De huidige versie, de SCOR Digital Standard uit 2022, kent zeven processen: Orchestrate, Plan, Order, Source, Transform, Fulfill en Return. ASCM beheert het model.
Waarom is supply chain management belangrijk voor OT-security?
Leveranciers leveren firmware, software en onderhoud op afstand aan OT-systemen en krijgen daarvoor vaak vergaande toegang. Een gecompromitteerde leverancier of update kan daardoor rechtstreeks de productie raken, zoals bij NotPetya en SolarWinds. Daarom horen beveiligingseisen en toegangsbeheer bij professioneel supply chain management.
Verplicht NIS2 mij om mijn leveranciers te beoordelen?
Ja, als uw organisatie onder NIS2 valt, vraagt artikel 21 om maatregelen voor de beveiliging van de toeleveringsketen, inclusief de relaties met directe leveranciers. In Nederland is dat uitgewerkt in de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. U moet daarbij onder meer de kwetsbaarheden en de ontwikkelpraktijken van leveranciers meewegen.
Hoe helpt traceerbaarheid in de supply chain?
Traceerbaarheid maakt zichtbaar waar een product of batch vandaan komt en waar het naartoe is gegaan. Met GS1-codes zoals GTIN en SSCC en gebeurtenisdata via EPCIS kunt u bij een terugroepactie snel bepalen welke partijen zijn geraakt. Dezelfde gegevens vormen de basis voor het digitale productpaspoort dat de Europese Ecodesignverordening per productgroep verplicht stelt.
📌 Samengevat
Supply Chain Management stuurt de stromen van goederen, informatie en geld van leverancier tot klant en is in OT-omgevingen tegelijk een kritische cybersecurityschakel.
SCM verbindt planning in ERP met uitvoering in MES, WMS en de besturing op de werkvloer. Referentiemodellen als SCOR, GS1-identificatie en indicatoren als OTIF maken de keten beheersbaar en meetbaar. Omdat leveranciers firmware, updates en toegang op afstand leveren, horen supplier security, toegangsbeheer en traceerbaarheid er onlosmakelijk bij, zeker nu NIS2, de Cyberbeveiligingswet en de Cyber Resilience Act daar eisen aan stellen.