Unterorganisationen, Zweige und Gruppen — und wann Sie welches brauchen

Eine Unterorganisation ist eine vollwertige untergeordnete Organisation innerhalb einer anderen, mit eigenen Menschen, Programmen, Rollen, eigenem Branding und eigener Domain. Ein Zweig ist ein Baum innerhalb einer einzelnen Organisation — Campus, Abteilungen, Regionen —, in dem eine an einem Zweig vergebene Rolle für alles darunter gilt. Eine Gruppe ist die Kohorte, die Klasse oder das Team, worüber Menschen tatsächlich eingeschrieben werden. Fast jede Plattform verkauft eines oder zwei der drei unter demselben Wort, und fast jeder Käufer fragt nach allen dreien, ohne sie zu unterscheiden.

Sie sind keine Alternativen zueinander. Ein funktionierender Aufbau nutzt alle drei gleichzeitig, auf verschiedenen Höhen: Unterorganisationen für Grenzen, Zweige für den Geltungsbereich, Gruppen für die Einschreibung. Ein Stück Ihrer Struktur auf der falschen Höhe anzusiedeln ist nicht fatal, aber es ist teuer rückgängig zu machen — denn wenn Sie es bemerken, hängt an dem, woraus Sie die Menschen nun herausholen wollen, längst ihre Historie.

• Unterorganisation — braucht dieser Teil der Struktur eine eigene Marke, eine eigene Domain, eine eigene Administration oder eine eigene Grenze in der Sicherheitsprüfung von jemandem? Dann ist es eine Unterorganisation.
• Zweig — gibt es diesen Teil, damit jemand die Verantwortung für einen Ausschnitt der Organisation übernehmen kann? Dann ist es ein Zweig.
• Gruppe — gibt es diesen Teil, damit eine Reihe von Menschen zwischen zwei Terminen gemeinsam eingeschrieben, unterrichtet und benotet werden kann? Dann ist es eine Gruppe.

Die Reihenfolge zählt. Eine Unterorganisation ist die schwerste Antwort und die, die sich am schwersten zurücknehmen lässt — sie sollte deshalb die sein, für die man begründen muss. Eine Gruppe ist die leichteste, und ein überraschender Teil dessen, was in einem Anforderungsdokument verlangt wird, entpuppt sich als Gruppe mit einem wichtig klingenden Namen.

ORGANISATION  Northwind Academy               one tenant, one contract
 SUB-ORG      Acme Corp                       own domain, own admins, own boundary
  BRANCH      EMEA                            a role granted here reaches all below
   BRANCH     Dubai office
    GROUP     Compliance intake, September     40 people, one programme, two dates

Von oben nach unten gelesen, beantwortet jede Ebene eine andere Frage. Wer von wem getrennt ist. Wer wofür verantwortlich ist. Wer das hier gerade gemeinsam lernt.

Unterorganisation: eine Grenze, die Sie übergeben könnten

In einem Modell mit Unterorganisationen ist die Organisation ein vollwertiger Datensatz, und eine Organisation kann eine übergeordnete haben. Branding, Domain, Nutzer, Rollen, Inhalte, Einschreibungen und Reporting hängen alle an ihr. Eine übergeordnete Organisation kann in ihre untergeordneten hineinsehen; eine untergeordnete sieht weder nach oben noch zur Seite. Die Verschachtelung reicht so tief wie Ihre tatsächliche Struktur — ein Schulverbund, jede einzelne Schule, und in manchen Trägerschaften ein Dachverband über dem Verbund.

Auf diesem letzten Punkt lohnt es sich, bei jedem Anbieter zu bohren, bei uns eingeschlossen. Wenn ein Mandant eine Spalte in einer Zeile ist, dann ist die Trennung genau das, wonach der Anwendungscode zu filtern nicht vergessen hat, und sie hält bis zur nächsten ausgelieferten Funktion. Liegt die Regel in der Datenbank, gibt die Abfrage nichts zurück, wenn der Filter fehlt.

Das Gewicht einer Unterorganisation ist real. Jede wird einmal eingerichtet: Branding, eine Domain und ihr Zertifikat, Administration, Rollen, Aufbewahrungs- und Einwilligungseinstellungen. Dafür bekommen Sie etwas, das Sie übergeben können. Eine Unterorganisation hat eine Eigentümerschaft, die nicht Sie sind, und Offboarding ist ein Teilbaum, den Sie löschen, statt einer Liste aus Nutzern, Gruppen, Kursen und Berichten, von der jemand hofft, dass sie vollständig ist.

Zweig: wo eine Vergabe endet

Ein Zweig ist ein operativer Knoten innerhalb einer Organisation. Campus, Abteilungen, Fakultäten, Regionen, Schulungszentren, Kostenstellen, Franchisegebiete — was auch immer in Ihrem Organigramm tatsächlich steht. Zweige teilen sich die Marke der Organisation, ihre Domain, ihre Nutzer und ihre Inhaltsbibliothek. Was sie tragen, ist der Geltungsbereich.

Das Durchreichen nach unten ist der ganze Sinn. Geben Sie jemandem eine Rolle am Zweig EMEA, dann deckt sie EMEA und alles darunter ab, heute und nachdem Sie zwei weitere Büros eröffnet haben. Ohne kaskadierenden Baum braucht dieselbe Person eine Vergabe je Knoten, und die Vergaben überleben ihren Anlass. Niemand denkt daran, die Vergabe für Dubai zurückzunehmen, wenn das Büro in Dubai schließt, weil niemand eine Liste hat.

An der Tiefe gehen Zweigbäume schief. Der Baum soll das Organigramm abbilden, nicht den Stundenplan. Jede Ebene, die Sie hinzufügen, ist eine Entscheidung, die ein Mensch jedes Mal trifft, wenn jemand dazukommt, und ein fünf Ebenen tiefer Baum mit einer einzigen Führungskraft darin ist Verwaltung ohne Leserschaft. Wenn auf einer Ebene niemals jemand eine Rolle bekommen wird, ist diese Ebene ein Berichtsfilter und kein Zweig.

Gruppe: die Einheit, über die eingeschrieben wird

Eine Gruppe ist eine Reihe von Menschen, die etwas gemeinsam lernen. Klasse 4B. Der Compliance-Jahrgang im September. Die Kohorte der Absolventinnen und Absolventen. Das Projektteam, das vor dem Launch die Schulung zum neuen Produkt macht. Eine Gruppe hat eine Mitgliedschaft, die sich ändert, meist ein angehängtes Programm und ein Ende.

In Gruppen gehört die Fluktuation hin, und das ist das Argument dafür, sie von den anderen beiden getrennt zu halten. Die Mitgliedschaft ändert sich wöchentlich. Jemand kommt spät dazu, jemand wechselt, jemand wiederholt ein Modul mit dem nächsten Jahrgang. Nichts davon sollte die Berechtigungen einer Person neu schreiben oder sie zwischen Organisationen verschieben. Eine lernende Person zwischen Gruppen zu verschieben ist eine Kleinigkeit; eine lernende Person zwischen Unterorganisationen zu verschieben ist eine Migration.

Drei Beispiele, durchgespielt

Ein Schulverbund

Eine Trägerschaft mit zwei Schulen oder ein Verlag, der 114 davon betreibt, hat dieselbe Form in unterschiedlicher Breite. Jede Schule ist eine Unterorganisation: Sie hat einen Namen, den Eltern kennen, eine Leitung, der ihre eigene Personalliste gehört, meist eine eigene Domain und oft eine eigene Schulaufsicht und eine eigene Finanzierungsvereinbarung. Die Trägerschaft sitzt darüber und kann nach unten sehen.

Innerhalb einer Schule sind Stufen und Fachbereiche Zweige — die Leitung der Naturwissenschaften ist eine Vergabe, die jede naturwissenschaftliche Klasse der Schule abdeckt. Klassen, Stammgruppen und Kurse sind Gruppen.

Riverside Trust                             the group
├── Riverside Primary       SUB-ORG         own domain, own head, own inspection
│   ├── Early years         BRANCH
│   └── Key stage 2         BRANCH
│       └── Class 4B        GROUP           28 pupils, one form tutor
└── Riverside High          SUB-ORG         own domain, own head
    ├── Sciences            BRANCH          head of department scoped here
    └── Humanities          BRANCH
        └── Year 10 history, set 2   GROUP

Die Falle sind hier die Jahrgangsstufen. Jemand will die Leistungen nach Jahrgang über die ganze Trägerschaft hinweg, also werden Jahrgangsstufen als Organisationen angelegt, und nun steckt jede Schülerin und jeder Schüler in der falschen Art von Behälter, und die Marken- und Domaineinstellungen jeder Schule müssen je Jahrgang wiederholt werden. Der Jahrgang ist ein Merkmal einer Gruppe und eine Dimension in einem Bericht. Er ist kein Mandant.

Eine Unternehmensakademie

Nehmen Sie eine Unternehmensakademie, die von einem Mandanten aus Schulungen für 15 Kundenunternehmen betreibt. Jedes Kundenunternehmen ist eine Unterorganisation. Es bekommt eine eigene Domain, eine eigene Administration, die veröffentlichen und Berichte ziehen kann, ohne der Akademie zu schreiben, ein eigenes Branding und eine Grenze, die hält, wenn das Sicherheitsteam des Kunden nach den anderen 14 fragt.

Innerhalb eines Kunden sind Geschäftsbereiche und Regionen Zweige, weil die Schulungsleitung des Kunden eine Vergabe braucht, die sie alle abdeckt, und eine Regionalleitung eine, die einen Ausschnitt abdeckt. Der Onboarding-Jahrgang im September, der jährliche Durchlauf zur Korruptionsprävention, die zwölf Personen im Führungskräfteprogramm — das sind Gruppen, und sie werden ständig angelegt und geschlossen.

Die Falle ist hier eine Unterorganisation je Auftrag. Ein Kunde bucht drei Kurse, also werden drei Organisationen angelegt, jede mit eigenem Branding zum Einrichten und eigener Administration zum Einladen, und dann bittet der Kunde um einen Bericht über alle drei, und niemand kann ihn erzeugen. Ein Kunde, eine Unterorganisation. Drei Kurse sind drei Gruppen.

Ein Weiterbildungsanbieter

Ein Anbieter betreibt eine Mischung, und es ist die Mischung, die das Modell seinen Aufwand wert macht. Da ist ein öffentlicher Katalog mit offenen Einschreibungen unter der eigenen Marke des Anbieters. Da sind Unternehmensverträge, von denen jeder eine Akademie will, die aussieht wie der Kunde. Da sind akkreditierte Programme mit festen Kohorten, mit Prüfenden und mit einer Zertifizierungsstelle, die nach Nachweisen fragen wird.

Your training company                       everything below is yours to administer
├── Public catalogue        BRANCH          open enrolments, your own brand
│   └── Project management, Nov intake      GROUP
├── Acme Corp               SUB-ORG         learn.acme.com, Acme's own admins
│   ├── EMEA                BRANCH
│   └── Americas            BRANCH
└── Borden Group            SUB-ORG         training.bordengroup.com
    └── Borden Manufacturing    SUB-ORG     a subsidiary with its own brand

Zwei Dinge fallen auf. Der öffentliche Katalog ist ein Zweig und keine Unterorganisation, weil er Ihre Marke, Ihre Domain und Ihr Personal ist — da gibt es nichts zu trennen. Und die dritte Ebene ist real: Ein Kunde mit Tochtergesellschaften, die eine eigene Identität haben, ist für einen Anbieter ein Normalfall, und es ist genau der Fall, den ein nur eine Ebene tiefes Unterkontenmodell ohne Namenskonventionen nicht ausdrücken kann.

Vier Fragen, bevor Sie den Baum zeichnen

1. Für welche Teile müsste der Browser einer fremden Person eine andere Marke und eine andere Adresse zeigen? Das sind Unterorganisationen.
2. Für welche Teile muss eine namentlich benannte Person die Verantwortung übernehmen? Das sind Zweige.
3. Welche Teile haben ein Anfangsdatum und ein Enddatum? Das sind Gruppen.
4. Welche Teile gibt es nur, weil ein Bericht einen Filter braucht? Das sind keines der drei.

Die vierte Frage spart die meiste Arbeit. Sehr viel Struktur entsteht, weil jemand Zahlen auf eine bestimmte Weise geschnitten haben will, und Struktur ist der teuerste denkbare Weg zu einem Filter. Der Geltungsbereich des Reportings sollte dem Zweigbaum und der Gruppe folgen, nicht umgekehrt.

Wie das in Lurno funktioniert

Lurno hat alle drei als eigenständige Grundelemente, und deshalb ist dieser Text seine Länge wert. Unterorganisationen verschachteln sich beliebig tief, jede mit eigenem Branding und einer eigenen Domain mit automatischem TLS — die Seite zu Branding und Domains ist White-Label. Innerhalb einer Organisation gibt es einen zweiten, davon getrennten Baum aus Zweigen, und eine an einem Zweig vergebene Rolle wird darin nach unten durchgereicht. Gruppen sind das Grundelement für die Einschreibung, und sie tragen keine eigenen Berechtigungen.

Die Grenze wird in Postgres durchgesetzt und nicht im Anwendungscode: 868 Row-Level-Security-Richtlinien über 676 Migrationen, sodass eine Abfrage, die ihren Filter vergisst, nichts zurückgibt. Das ist die Behauptung, die man bei jedem Anbieter prüfen sollte — die Einzelheiten stehen auf der Sicherheitsseite.

Zwei Grenzen, klar gesagt, weil sie verändern, wie Sie eine Einführung planen. Konten werden per Einladung angelegt — die Selbstregistrierung und Zahlungen sind in Entwicklung, eine Kundenorganisation wird also eingerichtet und in Rechnung gestellt, statt sich selbst zu kaufen. Und die Partner-Anmeldung (Silent SSO) ist heute verfügbar, während SAML und OIDC auf der Roadmap stehen und nicht ausgeliefert sind; wenn die IT-Abteilung eines Kunden bereits entschieden hat, wie sich ihre Beschäftigten authentifizieren, sprechen Sie das früh an. Das Liefermodell für Anbieter, die Schulungen weiterverkaufen, steht auf der Seite für Weiterbildungsanbieter.

Die Kurzfassung

Unterorganisationen trennen. Zweige begrenzen den Geltungsbereich. Gruppen schreiben ein. Wenn Sie unsicher sind, was ein Stück Ihrer Struktur ist, fragen Sie, was kaputtgeht, wenn Sie danebenliegen: eine Grenze dort zu setzen, wo ein Zweig hingehört hätte, kostet Sie wiederholte Einrichtung und einen Bericht, den Sie nicht ziehen können; einen Zweig dort zu setzen, wo eine Grenze hingehört hätte, kostet Sie ein Gespräch mit dem Sicherheitsteam von jemandem. Zeichnen Sie den Baum, bevor Sie die Daten laden, und lassen Sie jede Unterorganisation auf der Liste von jemandem verteidigen.