Suborganisaties, vestigingen en groepen — en wanneer u welke nodig heeft

Een suborganisatie is een volwaardige onderliggende organisatie die in een andere is genest, met eigen mensen, eigen programma's, eigen rollen, een eigen huisstijl en een eigen domein. Een vestiging is een boomstructuur binnen één organisatie — campussen, afdelingen, regio's — waarbij een rol die op een vestiging wordt toegekend, geldt voor alles eronder. Een groep is het cohort, de klas of het team waar mensen daadwerkelijk doorheen worden ingeschreven. Bijna elk platform verkoopt één of twee van de drie onder hetzelfde woord, en bijna elke koper vraagt om alle drie zonder ze te onderscheiden.

Het zijn geen alternatieven. Een werkende inrichting gebruikt alle drie tegelijk, op verschillende hoogtes: suborganisaties voor grenzen, vestigingen voor bereik, groepen voor inschrijving. Een stuk van uw structuur op de verkeerde hoogte zetten is niet fataal, maar het is duur om terug te draaien, want tegen de tijd dat u het merkt, hebben mensen historie hangen aan het ding waar u ze nu uit wilt halen.

• Suborganisatie — heeft dit deel van de structuur een eigen merk nodig, een eigen domein, eigen beheerders, of een eigen grens in iemands securityreview? Dan is het een suborganisatie.
• Vestiging — bestaat dit deel zodat iemand de verantwoordelijkheid kan krijgen over een stuk van de organisatie? Dan is het een vestiging.
• Groep — bestaat dit deel zodat een vaste verzameling mensen samen ingeschreven, onderwezen en beoordeeld kan worden, tussen twee data? Dan is het een groep.

De volgorde doet ertoe. Een suborganisatie is het zwaarste antwoord en het lastigst terug te draaien, dus dat zou het antwoord moeten zijn waarvoor u moet pleiten. Een groep is het lichtste, en een verrassend deel van wat mensen in een programma van eisen vragen, blijkt een groep met een gewichtig klinkende naam.

ORGANISATION  Northwind Academy               one tenant, one contract
 SUB-ORG      Acme Corp                       own domain, own admins, own boundary
  BRANCH      EMEA                            a role granted here reaches all below
   BRANCH     Dubai office
    GROUP     Compliance intake, September     40 people, one programme, two dates

Van boven naar beneden gelezen beantwoordt elke laag een andere vraag. Wie is gescheiden van wie. Wie is waarvoor verantwoordelijk. Wie leert dit, samen, nu.

Suborganisatie: een grens die u zou kunnen overdragen

In een suborganisatiemodel is de organisatie een eersteklas record en kan een organisatie een ouder hebben. Huisstijl, domein, gebruikers, rollen, content, inschrijvingen en rapportage hangen er allemaal aan. Een ouder kan in zijn kinderen kijken; een kind kan niet omhoog of opzij kijken. Het nesten gaat zo diep als uw werkelijke structuur gaat — een scholengroep, elke school, en bij sommige besturen een federatie boven de groep.

Op dat laatste punt is het de moeite waard elke leverancier door te vragen, de onze inbegrepen. Is een tenant een kolom op een rij, dan is de scheiding precies datgene waar de applicatiecode aan dacht te filteren, en houdt zij stand tot de volgende functie live gaat. Zit de regel in de database, dan geeft de query niets terug wanneer het filter ontbreekt.

Het gewicht van een suborganisatie is echt. Elke suborganisatie wordt één keer ingericht: huisstijl, een domein met het bijbehorende certificaat, beheerders, rollen, bewaartermijnen en toestemmingsinstellingen. Daarvoor krijgt u iets terug dat u kunt overdragen. Een suborganisatie heeft een eigenaar die u niet bent, en offboarding is een deelboom die u verwijdert in plaats van een checklist met gebruikers, groepen, cursussen en rapportages waarvan iemand hoopt dat hij compleet is.

Vestiging: waar een toekenning ophoudt

Een vestiging is een operationele node binnen één organisatie. Campussen, afdelingen, faculteiten, regio's, uitvoeringslocaties, kostenplaatsen, franchisegebieden — wat er ook werkelijk op uw organogram staat. Vestigingen delen het merk van de organisatie, haar domein, haar gebruikers en haar contentbibliotheek. Wat ze dragen is bereik.

Het doorwerken is het hele punt. Geef iemand een rol op de vestiging EMEA en die dekt EMEA en alles eronder, vandaag en nadat u nog twee kantoren opent. Zonder doorwerkende boom heeft dezelfde persoon een toekenning per node nodig, en overleven de toekenningen de reden waarvoor ze bestonden. Niemand denkt eraan de toekenning voor Dubai in te trekken wanneer het kantoor in Dubai sluit, want niemand heeft een lijst.

Diepte is waar vestigingsbomen misgaan. De boom hoort het organogram te spiegelen, niet het rooster. Elk niveau dat u toevoegt is een beslissing die een mens neemt telkens wanneer er iemand bij komt, en een boom van vijf niveaus diep met één manager erin is administratie zonder lezer. Krijgt niemand ooit een rol op een bepaald niveau, dan is dat niveau een rapportagefilter en geen vestiging.

Groep: de eenheid waar mensen doorheen worden ingeschreven

Een groep is een verzameling mensen die samen iets leren. Klas 4B. De compliance-instroom van september. Het traineecohort. Het projectteam dat vóór de lancering de training over het nieuwe product doet. Een groep heeft een ledenbestand dat verandert, meestal een programma dat eraan hangt, en een einde.

Groepen zijn de plek waar verloop thuishoort, en dat is het argument om ze gescheiden te houden van de andere twee. Het ledenbestand verandert wekelijks. Iemand komt laat binnen, iemand stapt over, iemand doet een module opnieuw met de volgende instroom. Niets daarvan hoort iemands rechten te herschrijven of hem tussen organisaties te verplaatsen. Een cursist tussen groepen verplaatsen is een kleine handeling; een cursist tussen suborganisaties verplaatsen is een migratie.

Drie uitgewerkte voorbeelden

Een scholengroep

Een bestuur met twee scholen, of een uitgever die er 114 draait, heeft dezelfde vorm op verschillende breedtes. Elke school is een suborganisatie: ze heeft een naam die ouders herkennen, een schoolleider die de eigen personeelslijst bezit, meestal een eigen domein, en vaak een eigen inspectie en een eigen bekostigingsafspraak. Het bestuur zit erboven en kan naar beneden kijken.

Binnen een school zijn afdelingen en secties vestigingen — het sectiehoofd bèta is één toekenning die elke bètales in de school dekt. Klassen, mentorgroepen en niveaugroepen zijn groepen.

Riverside Trust                             the group
├── Riverside Primary       SUB-ORG         own domain, own head, own inspection
│   ├── Early years         BRANCH
│   └── Key stage 2         BRANCH
│       └── Class 4B        GROUP           28 pupils, one form tutor
└── Riverside High          SUB-ORG         own domain, own head
    ├── Sciences            BRANCH          head of department scoped here
    └── Humanities          BRANCH
        └── Year 10 history, set 2   GROUP

De valkuil hier zijn leerjaren. Iemand wil prestaties per leerjaar over het hele bestuur, dus worden leerjaren als organisatie aangemaakt, en nu zit elke leerling in het verkeerde soort container en moeten de merk- en domeininstellingen van elke school per leerjaar herhaald worden. Leerjaar is een attribuut van een groep en een dimensie in een rapportage. Het is geen tenant.

Een bedrijfsacademie

Neem een bedrijfsacademie die vanuit één tenant training verzorgt voor 15 klantbedrijven. Elk klantbedrijf is een suborganisatie. Het krijgt een eigen domein, eigen beheerders die kunnen publiceren en rapportages kunnen ophalen zonder de academie te mailen, een eigen huisstijl, en een grens die standhoudt wanneer het securityteam van de klant naar de andere 14 vraagt.

Binnen een klant zijn business units en regio's vestigingen, want de eigen opleidingsdirecteur van de klant heeft één toekenning nodig die ze allemaal dekt, en een regiomanager één die een deel dekt. De onboarding-instroom van september, de jaarlijkse ronde over anticorruptie, de twaalf mensen die het leiderschapsprogramma doen — dat zijn groepen, en die worden voortdurend aangemaakt en afgesloten.

De valkuil hier is een suborganisatie per opdracht. Een klant tekent voor drie cursussen, dus worden er drie organisaties aangemaakt, elk met een eigen huisstijl om in te richten en eigen beheerders om uit te nodigen, en dan vraagt de klant om één rapportage over alle drie en kan niemand die maken. Eén klant, één suborganisatie. Drie cursussen zijn drie groepen.

Een opleider

Een opleider draait een mengeling, en juist die mengeling maakt dat het model zijn kosten terugverdient. Er is een openbaar aanbod met open inschrijvingen onder het eigen merk van de opleider. Er zijn zakelijke contracten, die elk een academie willen die eruitziet als de klant. Er zijn geaccrediteerde programma's met vaste cohorten, examinatoren en een exameninstituut dat om dossiers zal vragen.

Your training company                       everything below is yours to administer
├── Public catalogue        BRANCH          open enrolments, your own brand
│   └── Project management, Nov intake      GROUP
├── Acme Corp               SUB-ORG         learn.acme.com, Acme's own admins
│   ├── EMEA                BRANCH
│   └── Americas            BRANCH
└── Borden Group            SUB-ORG         training.bordengroup.com
    └── Borden Manufacturing    SUB-ORG     a subsidiary with its own brand

Twee dingen om op te merken. Het openbare aanbod is een vestiging en geen suborganisatie, want het is uw merk, uw domein en uw personeel — er valt niets te scheiden. En het derde niveau is echt: een klant met dochterondernemingen die een eigen identiteit hebben is een normaal geval voor een opleider, en het is precies het geval dat een subaccountmodel van één niveau diep niet kan uitdrukken zonder naamgevingsafspraken.

Vier vragen voordat u de boom tekent

1. Voor welke delen zou de browser van een buitenstaander een ander merk en een ander adres moeten tonen? Dat zijn suborganisaties.
2. Over welke delen moet een met naam genoemd persoon de verantwoordelijkheid krijgen? Dat zijn vestigingen.
3. Welke delen hebben een begindatum en een einddatum? Dat zijn groepen.
4. Welke delen bestaan alleen omdat een rapportage een filter nodig heeft? Dat is geen van de drie.

De vierde vraag bespaart het meeste werk. Er wordt heel wat structuur gebouwd omdat iemand cijfers op een bepaalde manier uitgesplitst wil zien, en structuur is de duurst denkbare manier om aan een filter te komen. Het rapportagebereik hoort de vestigingsboom en de groep te volgen, niet andersom.

Hoe dit in Lurno werkt

Lurno heeft alle drie als afzonderlijke bouwstenen, en daarom is dit artikel zijn lengte waard. Suborganisaties nestelen willekeurig diep, elk met een eigen huisstijl en een eigen domein met automatische TLS — de kant van huisstijl en domeinen staat op white-label. Binnen een organisatie zit een tweede, aparte boom van vestigingen, en een rol die op een vestiging wordt toegekend, werkt daarin naar beneden door. Groepen zijn de bouwsteen voor inschrijving, en ze dragen zelf geen rechten.

De grens wordt afgedwongen in Postgres in plaats van in de applicatiecode: 868 row-level security-policies verspreid over 676 migraties, zodat een query die zijn filter vergeet niets teruggeeft. Dat is de claim om bij elke leverancier te controleren — de details staan op de securitypagina.

Twee beperkingen, ronduit genoemd omdat ze veranderen hoe u een uitrol plant. Accounts worden op uitnodiging aangemaakt — selfservice-registratie en betalingen zijn in ontwikkeling, dus een klantorganisatie wordt opgezet en gefactureerd in plaats van dat ze zichzelf koopt. En partneraanmelding (silent SSO) is vandaag beschikbaar, terwijl SAML en OIDC op de roadmap staan en niet zijn geleverd; heeft de IT-afdeling van een klant al besloten hoe het personeel zich gaat authenticeren, breng dat dan vroeg ter sprake. Het leveringsmodel voor opleiders die training doorverkopen staat op de pagina voor opleiders.

De korte versie

Suborganisaties scheiden. Vestigingen bakenen af. Groepen schrijven in. Weet u niet zeker welke van de drie een stuk van uw structuur is, vraag dan wat er stukgaat als u het fout heeft: een grens zetten waar een vestiging hoorde, kost u herhaalde inrichting en een rapportage die u niet kunt draaien, en een vestiging zetten waar een grens hoorde, kost u een gesprek met iemands securityteam. Teken de boom voordat u de data inlaadt, en laat iemand elke suborganisatie op de lijst verdedigen.