Waar staan je Business Central-gegevens als je rapporteert in Excel?

Door Thomas Werkhoven, CEO van Exsion365, registeraccountant, eerder group controller en CFO.

Halverwege de selectie van een rapportagetool stelt iemand van IT de vraag waar finance nog niet aan had gedacht: waar bewaart dit ding onze gegevens eigenlijk? Het is een terechte vraag, hij verandert het contract dat je op het punt staat te tekenen, en bijna geen enkele leverancierspagina beantwoordt hem direct.

Het korte antwoord

Rapportagetools voor Business Central gebruiken een van drie architecturen. De eerste kopieert je Business Central-gegevens volgens een schema naar een database die de leverancier beheert, en je rapporteert op die kopie. De tweede bevraagt Business Central live als de ingelogde gebruiker en bewaart er niets tussenin, zodat de enige kopie het werkboek is dat de gebruiker opslaat. De derde mengt beide.

Geen van de drie is fout. Wat telt, is dat je weet welke je koopt en dat je er drie vragen over kunt beantwoorden: waar staat de kopie, wie beveiligt hem, en onder welke voorwaarden. Bewaart de tool niets, dan vervallen alle drie de vragen, en dat is een kleiner compliance-oppervlak, geen langere functielijst.

Alles hieronder is bewijs, in de eigen bewoordingen van elke leverancier, geverifieerd op 19 september 2026. Aan het einde beantwoorden we onze eigen checklist, inclusief de vraag waarop ons antwoord nee is.

Wat cloud reporting voor Business Central meestal betekent

Neem Cosmos als uitgewerkt voorbeeld, omdat de documentatie ongewoon duidelijk is over het mechanisme.

Je installeert een Business Central-extensie. Het installatieartikel van Cosmos zegt dat de extensie "enables Cosmos to extract data from Business Central and bring it into the Cosmos reporting database", en dat de stappen moeten worden uitgevoerd door een Business Central-gebruiker met beheerdersrechten of Extension Management-rechten (support.cosmosdatatech.com). De tabellen die je kiest, beheer je in wat Cosmos de Staging Area noemt, omschreven als "a single place to select the tables and fields that should be brought into Cosmos from your data source(s)", waarbij gegevens uit een bron als Business Central "also incrementally loaded into the Staging Area when the pipelines are run" (Overview of the Staging Area).

Laden is dus een geplande taak en geen bevraging: vraag je om een volledige herlaad en start je die niet handmatig, dan draait die "during the next scheduled data refresh" (How to Manually Run a Full Load).

Aan de productkant stelt Cosmos dat "everything resides on Microsoft Azure" en dat "each Cosmos customer has their own environment (tenant) and database, so your data is never accessible by anyone else", waarbij beveiliging op rapportniveau, op rijniveau en op mapniveau binnen Cosmos wordt ingericht (features/cloud). De prijspagina rekent "Azure Storage and Consumption" mee in het basistarief van 500 dollar per maand, wat erop wijst dat de database in het Azure-abonnement van Cosmos draait en niet in dat van jou (pricing). Cosmos omschrijft het resultaat zelf als "all the benefits of a traditional data warehouse (without the expensive price tag)" (features/reporting). Het artikel over het aanmaken van de omgeving beschrijft een tenant die bij de eerste aanmelding op het portaal ontstaat, zonder keuze voor een regio of een abonnement ergens in die stroom (Creating Your Cosmos Tenant).

Nuchter samengevat: je grootboek krijgt er een tweede huis bij, volgens een schema, in infrastructuur die de leverancier beheert. Dat is de architectuur. Nu de afruil, in beide richtingen.

Wat een gegevenskopie je oplevert

Een warehouse-kopie is een echte technische keuze met echte voordelen, en een vergelijking die daaraan voorbijgaat is het lezen niet waard.

Rapporteren op een kopie betekent dat je rapportage de Business Central-omgeving niet belast, hoeveel mensen er tegelijk draaien en hoe breed de bevraging ook is. Het betekent ook dat je Business Central-gegevens kunt combineren met gegevens die niet in Business Central staan, en dat is precies wat Cosmos als uitbreiding verkoopt: onbeperkte Excel-databestandsverbindingen, Azure SQL-databases en een Dataverse-connector, elk tot 10 GB, voor 150 dollar per maand per stuk.

Een stabiel opgeslagen model is bovendien wat Power BI graag ziet, dus een warehouse maakt van een Power BI-laag eerder een instelling dan een project, en Cosmos noemt daarbovenop tweerichtingsintegratie met Power BI en ruim dertig kant-en-klare rapporten. Geplande distributie wordt er ook eenvoudiger van: omdat de gegevens al klaarstaan, kan Cosmos rapporten op een ingestelde datum, tijd en frequentie draaien en per mail versturen of in SharePoint zetten zonder dat iemand Excel opent. En voor een groep waarin Business Central slechts een van meerdere bronsystemen is, is een warehouse eerder het juiste antwoord dan een compromis.

Cosmos is Amerikaans, verkoopt in het Verenigd Koninkrijk via een exclusieve reseller en heeft daarbuiten in Europa een beperkte aanwezigheid. Voor een Amerikaanse koper met een Amerikaanse tenant zijn verschillende vragen uit de volgende paragraaf daardoor minder luid. Voor een Nederlandse holding zijn ze dat niet.

Wat een gegevenskopie je kost

Twee dingen, en geen van beide is een gebrek. Het zijn gevolgen.

Een tweede rechtenmodel

Business Central heeft zelf al beveiliging tot op recordniveau, en die gaat verder dan de meeste mensen denken. Microsoft is er expliciet over op de Engelstalige documentatiepagina over beveiligingsfilters: "For record-level security in Business Central, you use security filters to limit a user's access to data in a table. A security filter describes a set of records in a table that a user has permission to access." Het voorbeeld dat Microsoft geeft is een gebruiker die "can only read the records that contain information about a particular customer", en de handhaving is geen schijnvertoning, want "security filters are handled by SQL Server just like other filters" (Microsoft Learn, using security filters).

Zet een beveiligingsfilter op Grootboekpost, tabel 17, dat een gebruiker beperkt tot een waarde van een globale dimensie, bijvoorbeeld een werkmaatschappij of een project, en die beperking hangt aan de tabel in plaats van aan een pagina. Dat is de laag die je al bezit en al onderhoudt, boven op de rechten per administratie die elke Business Central-beheerder toch al inricht.

Kopieert een tool de gegevens naar buiten, dan reist die handhaving niet mee. De kopie kent je rechtensets niet, dus toegangsbeheer moet op de nieuwe plek opnieuw worden opgebouwd. Cosmos is duidelijk over waar dat gebeurt: beveiliging op rapport-, rij- en mapniveau richt je in binnen Cosmos. Velixo verwoordt het gevolg scherper op de eigen vergelijkingspagina, en dat hoor je te lezen als het standpunt van een concurrent en niet als neutraal feit: Velixo noemt Cosmos "a traditional cloud data warehouse (ETL/ELT) platform" dat "extracts your data, moves it to a separate cloud storage layer" en dat "requires your IT department to manually replicate and continuously manage your ERP security rules inside Cosmos" (velixo.com).

De praktische toets is simpel. Als een controller volgende maand van rol wisselt en je zijn rechten in Business Central versmalt, volgt de rapportagetool dan vanzelf, of moet iemand eraan denken dat ook op een tweede plek te doen? Een model dat op twee plekken wordt onderhouden, loopt uiteen, en dat blijft onzichtbaar tot een accountantscontrole of een vertrekkende medewerker het aan het licht brengt.

De vragen die de publieke pagina's niet beantwoorden

Hier loopt een Nederlandse evaluatie vast. Bij het doornemen van de product-, support-, beveiligings- en prijspagina's van Cosmos op 19 september 2026 vonden we geen gepubliceerd antwoord op het volgende: in welke Azure-regio de klantdatabase staat, of hosting in je eigen abonnement mogelijk is, wat de bewaar- en verwijderingstermijnen zijn, of er een verwerkersovereenkomst of AVG-pagina is, en wie eigenaar is van de opgeslagen gegevens.

Cosmos publiceert dit niet, en dat is iets anders dan zeggen dat het niet bestaat of dat de antwoorden ongunstig zijn. Het betekent dat je ernaar moet vragen, het antwoord schriftelijk moet krijgen en het aan het contract moet hangen in plaats van aan een verkoopgesprek.

De eigen beveiligingspost van Cosmos gaat in algemene termen over de cloud, met een verwijzing naar "200+ physical data centers" van Azure en versleuteling volgens de gangbare standaarden, zonder uitspraak over de regio, het eigenaarschap of verwijdering (Busting Cloud Security Myths, gepubliceerd januari 2024). Op compliance meldde Cosmos in juni 2026 het afronden van SOC 2 Type 1.

Dat onderscheid is de moeite waard in elk leveranciersgesprek, bij welke leverancier dan ook. Een Type 1-rapport beoordeelt of de beheersmaatregelen op een bepaald moment goed zijn opgezet; een Type 2-rapport toetst of ze over een periode, meestal zes tot twaalf maanden, ook echt zo hebben gewerkt. Beide horen bij de SOC-diensten van de AICPA. Type 1 is een echte mijlpaal en een logische plek voor een jonger product. Het is alleen niet dezelfde zekerheid als Type 2, en je accountant kent het verschil. En om elk misverstand over wie hier wat bepleit weg te nemen: wij hebben geen van beide rapporten, en we leggen aan het einde van dit artikel uit waarom.

De route zonder kopie: live bevragen

Het alternatief is de gegevens laten staan waar ze al staan. Exsion Reporting is een Excel-add-in die rechtstreeks verbinding maakt met Business Central, zodat een controller live gegevens uit elke Business Central-tabel in Excel haalt, met een klik ververst en het rapport blijft hergebruiken. Exsion slaat zelf geen gegevens op. Er is geen staging area om te vullen, geen pipelineschema om in de gaten te houden en geen tweede database, dus de enige kopie van je grootboekgegevens is het werkboek dat de gebruiker bewaart, en dat valt onder je eigen Microsoft 365-beheer net als elk ander financieel bestand.

Het gevolg voor rechten is het nuttige deel. De rechten zijn die van Business Central zelf, omdat de bevraging draait als de ingelogde gebruiker. Heeft iemand alleen rechten op een administratie, dan ziet hij in Excel ook alleen die administratie, zonder dat iemand een bijpassende regel in een tweede product inricht. Datzelfde geldt een niveau dieper: een beveiligingsfilter op Grootboekpost dat een gebruiker beperkt tot een waarde van een globale dimensie, werkt door in de Exsion-bevraging, omdat die bevraging nu eenmaal die gebruiker is. Er is geen tweede rechtenmodel dat je gelijk moet houden, en niets om na te bouwen. Exsion leest Business Central via OData-webservices, de interface die Microsoft daarvoor documenteert (Microsoft Learn, webservices in Business Central, Engelstalig).

Voor consolidatie geldt hetzelfde principe. Exsion Corporate verzorgt groepsrapportage, inclusief eliminaties zoals intercompany, op consolidatieniveau en telt van daaruit op, zodat de onderliggende administraties ongewijzigd blijven. De eliminaties kunnen daarbij in een aparte Business Central-administratie worden geboekt, dus de groepscijfers worden niet op een apart platform samengesteld en de werkmaatschappijen houden hun eigen boeken zoals ze zijn. Onze handleiding over consolideren in Business Central met meerdere administraties in een Excel-rapportage laat zien hoe dat er in de praktijk uitziet, en is ook de plek waar de maand- en jaarafsluiting van een holding concreet wordt.

Exsion is Nederlands, gevestigd in Gouda en Zoetermeer, en actief in de Nederlandse, Duitse en Engelstalige markt. Dat is meteen de reden dat deze vragen bij ons beantwoordbaar zijn: ze komen bij elke Europese kick-off op tafel. Wij hebben een verwerkersovereenkomst en sturen die voor ondertekening toe.

Naast elkaar: waar staan je gegevens

[[TABLE_START]]

Criterium | Cosmos | Exsion Reporting

Waar de rapportagegegevens staan | Cosmos-rapportagedatabase op Azure, per klant een eigen omgeving en database, tabellen geladen via een Staging Area | In Business Central. Exsion slaat niets op; de enige kopie is het werkboek dat de gebruiker bewaart

Verversingsmodel | Geplande incrementele pipelineruns; een niet gestarte volledige herlaad draait bij de eerstvolgende geplande verversing | Live bevraging bij verversen, met een klik

Rechtenmodel | Beveiliging op rapport-, rij- en mapniveau, ingericht binnen Cosmos | Rechten uit Business Central: rechten per administratie en beveiligingsfilters op tabelniveau werken beide door

Keuze van regio | Niet gepubliceerd; de tenant ontstaat bij de eerste aanmelding, zonder keuze voor regio of abonnement | De gegevens blijven in je eigen Business Central-tenant, dus jouw Microsoft-regio geldt

Gepubliceerde compliance-verklaringen | SOC 2 Type 1, juni 2026; bewaartermijn, verwijdering, verwerkersovereenkomst en eigenaarschap niet gepubliceerd | Verwerkersovereenkomst beschikbaar; geen SOC 2 Type 1 of Type 2-rapport

Prijstransparantie | Gepubliceerd: 500 dollar per maand basis, 150 dollar per uitbreiding, 50 en 15 dollar per extra gebruiker; geen proefperiode vermeld | Gepubliceerde prijspagina, proefperiode van 30 dagen via AppSource

[[TABLE_END]]

Hoe je kiest

Kies de kopie als je echt nodig hebt wat hij oplevert. Rapporteert finance over Business Central plus andere systemen, staan Power BI-modellen centraal in hoe de organisatie cijfers consumeert, is geplande distributie naar mensen die nooit Excel openen dagelijkse kost, of is belasting van de productieomgeving een reeel probleem, dan verdient een warehouse zijn plek en is het extra governance-werk een faire prijs.

Kies de live bevraging als niets daarvan opgaat. Is de klus Business Central-gegevens in Excel voor controllers, dan is de kopie optioneel, en optionele kopieen van een grootboek kun je beter vermijden. Elke kopie voegt een locatie toe die je moet vastleggen, een bewaartermijn die je moet beantwoorden, een toegangsmodel dat je synchroon moet houden en een verwerker die je in je register moet noemen. Rapporteert je groep in meerdere landen, dan kan alleen de regiovraag de hele toolselectie al overleven.

En wees eerlijk over het derde geval: koop je de kopie om governance-redenen, controleer dan de redenering. Governance is vandaag al afdwingbaar in Business Central, tot op recordniveau, op de tabellen die ertoe doen. Een kopie creeert geen governance. Een kopie creeert een tweede plek waar governance moet worden ingericht en onderhouden.

Vijf vragen voor je evaluatie

Plak deze in de mail en vraag om schriftelijke antwoorden.

1. Slaat het product onze Business Central-gegevens op buiten onze eigen tenant? Zo ja, in welke Azure-regio, in wiens abonnement, en kunnen wij kiezen?

2. Hoe wordt toegang tot die opgeslagen kopie geregeld, en volgt die automatisch onze rechten uit Business Central als die veranderen?

3. Wat is het bewaar- en verwijderingsbeleid, en wat gebeurt er binnen hoeveel dagen na beeindiging met de opgeslagen gegevens?

4. Tekenen jullie een verwerkersovereenkomst met vermelding van subverwerkers, en mogen wij die voor ondertekening inzien?

5. Welk SOC 2-rapport hebben jullie, Type 1 of Type 2, en welke periode dekt het?

Beantwoordt een leverancier alle vijf schriftelijk, dan is de kopie een ontwerpkeuze waarmee je kunt leven. Zijn de antwoorden moeilijk los te krijgen, dan is dat op zichzelf het antwoord.

Onze eigen antwoorden op die vijf vragen

Het zou slordig zijn om een checklist te publiceren zonder hem zelf te beantwoorden, dus hier staat Exsion op de regel.

Wij slaan niets van jouw gegevens op. De add-in maakt rechtstreeks verbinding met Business Central, dus er valt geen regio en geen abonnement te bespreken, omdat er geen tweede database is. Toegangsbeheer is wat je al in Business Central hebt ingericht, toegepast omdat de bevraging als de ingelogde gebruiker draait, en daarom ziet iemand met rechten op een administratie in Excel alleen die administratie. Bewaren en verwijderen zijn om dezelfde reden niet op ons van toepassing, en het werkboek dat een gebruiker opslaat blijft binnen jouw eigen Microsoft 365-omgeving onder jouw eigen bewaarregels. Wij hebben een verwerkersovereenkomst en verstrekken die voor ondertekening.

Op de vijfde vraag is ons antwoord nee. Exsion heeft geen SOC 2 Type 1 en geen Type 2-rapport. De eerlijke formulering lijkt ons deze: een SOC 2-rapport is een zekerheid over de beheersmaatregelen van een dienstverlener rond de gegevens die hij onder zich houdt, en wij houden geen van jouw rapportagegegevens onder ons, dus het risico waarvoor dat rapport is bedoeld ontstaat bij ons niet op dezelfde manier. Dat is een redenering en geen certificaat, en verlangt jullie beleid van elke leverancier een SOC 2-rapport ongeacht de architectuur, weeg dat dan open af in plaats van je dat door ons uit het hoofd te laten praten. Stel de vraag vooral. Een leverancier die de ongemakkelijke vraag schriftelijk beantwoordt, zegt daarmee iets nuttigs over de andere vier.

Voor de Business Central-kant is de Engelstalige Microsoft-pagina over beveiligingsfilters de pagina om te bewaren, en onze Engelstalige vergelijking van Business Central Excel-rapportagetools zet de bredere markt naast elkaar, inclusief Cosmos en Velixo.

Veelgestelde vragen

[[FAQ_START]]

Slaat Cosmos mijn Business Central-gegevens op? | Ja, dat is de opzet. De documentatie van Cosmos beschrijft een Business Central-extensie die gegevens onttrekt naar de Cosmos-rapportagedatabase, waarbij de geselecteerde tabellen incrementeel in een Staging Area worden geladen zodra de pipelines draaien. Cosmos publiceert niet in welke Azure-regio dat is, of hosting in je eigen abonnement mogelijk is, en wat het bewaar- en verwijderingsbeleid is, dus vraag daar schriftelijk naar.

Is een rapportagekopie van Business Central-gegevens een AVG-probleem? | Niet automatisch. Het is een verwerking die je moet vastleggen. Slaat een leverancier jouw grootboekgegevens op, dan is die leverancier verwerker, en dan heb je een verwerkersovereenkomst nodig, een vastgelegde locatie, een bewaartermijn en een afspraak over verwijdering. Een tool die niets opslaat laat de verwerking vervallen in plaats van hem op te lossen.

Wat is het verschil tussen SOC 2 Type 1 en Type 2? | Een Type 1-rapport beoordeelt of de beheersmaatregelen op een bepaald moment goed zijn opgezet. Een Type 2-rapport toetst of ze over een periode, meestal zes tot twaalf maanden, ook echt effectief hebben gewerkt. Exsion heeft geen van beide, omdat Exsion geen van jouw rapportagegegevens opslaat.

Slaat Exsion Business Central-gegevens op? | Nee. Exsion Reporting maakt rechtstreeks verbinding met Business Central en slaat zelf geen gegevens op, dus de rapportagegegevens blijven in je eigen Business Central-tenant en de enige kopie is het werkboek dat een gebruiker opslaat in je eigen Microsoft 365-omgeving.

Neemt Exsion de rechten uit Business Central over? | Ja. De bevraging draait als de ingelogde gebruiker, dus de rechten die je al in Business Central hebt ingesteld gelden, zonder tweede rechtenmodel. Wie alleen rechten op een administratie heeft, ziet in Excel alleen die administratie, en een beveiligingsfilter op tabelniveau werkt op dezelfde manier door.

Kan ik zelf de Azure-regio kiezen waar mijn rapportagegegevens staan? | Bij een tool die live bevraagt speelt die vraag niet, omdat de gegevens in je eigen Business Central-tenant blijven en jouw Microsoft-regio geldt. Bij een warehouse van een leverancier hangt het volledig van die leverancier af. Cosmos publiceert geen keuze voor een regio, dus dit is een vraag voor hun verkoopteam en niet voor hun website.

[[FAQ_END]]