Architectuur en Audit

Architectuur en Audit De rol van de IT-auditor bij de inzet van informatiearchitectuur als instrument bij besluitvorming David Campbell Jurre Horsels

Foto: met dank aan Waterland Yacht Charter

Architectuur en Audit De rol van de IT-auditor bij de inzet van informatiearchitectuur als instrument bij besluitvorming

Datum:

Versie:

5 juni 2009

2.0

Bedrijfscoach Rijksauditdienst:

Bedrijfscoach Deloitte:

drs. Piet Goeyenbier RE RA RO

Rob Pietersma AA RE

Scriptiebegeleider VU:

Scriptienummer:

dr. René Matthijsse RE

912

Auteurs: drs. ing. David Campbell (Rijksauditdienst)

drs. Jurre Horsels (Deloitte Accountants B.V.)


[email protected]


[email protected]


06 18 30 42 56


: 06 12 01 17 47

1

Voorwoord “Architectuur is als de kiel van een zeilschip. Ze brengt rust in de koers van de organisatie en voorkomt ongecontroleerd heen en weer slingeren. Hierdoor wordt de organisatie stuurbaar.” Dit zei één van de personen die wij hebben geïnterviewd tijdens ons onderzoek. Deze uitspraak dekt naar onze mening volkomen de lading van het nut en de noodzaak van architectuur en in het bijzonder van informatiearchitectuur. Het nut van informatiearchitectuur is onmiskenbaar het bieden van de informatie die noodzakelijk is om goed onderbouwde besluiten te kunnen nemen die de koers van de organisatie bepalen. Het is daarom niet meer dan logisch dat een bestuurder (aanvullende) zekerheid wil over de kwaliteit van zijn informatiearchitectuur. Deze scriptie is het resultaat van een onderzoek dat is uitgevoerd aan de Vrije Universiteit van Amsterdam (VU) in het kader van de IT-auditopleiding. Dit is een drie jarige opleiding, bestaande uit grofweg 3 hoofdblokken. Auditen is een vakgebied waarin het uitvoeren van gefundeerd onderzoek naar de kwaliteit van een zeker object centraal staat. Een auditor voert deze onderzoeken uit om de opdrachtgever van het onderzoek van aanvullende zekerheid te voorzien over de waarde van de genoemde kwaliteitsaspecten in relatie tot het onderzoeksobject. Het eerste jaar biedt een goede basis om een dergelijk onderzoek op te zetten. De onderzoeken van een auditor richten zich doorgaans op een afgebakend kennisgebied. Voor de IT-auditor is dit kennisgebied de informatietechnologie. Om die reden wordt de IT-auditor tijdens het tweede jaar voorzien van basiskennis in dit vakgebied. Tijdens het derde jaar komen de eerste twee jaar samen en wordt behandeld hoe een IT-audit in een technische omgeving wordt uitgevoerd. Informatiearchitectuur is het ontwerp van de informatiehuishouding dat de samenhang tussen informatie en communicatie beschrijft. Het object van onderzoek van een IT-auditor is de inrichting van de IT in organisaties. Wij zijn van mening dat informatiearchitectuur, en de rol die de IT-auditor kan innemen tijdens de beoordeling van de kwaliteit daarvan, direct als waardevol voor het IT-auditvak zijn. Tijdens onze werkzaamheden als IT-auditor hebben wij gemerkt dat behoefte is aan kennis over dit onderwerp. Centraal in dit onderzoek staat niet een auditaanpak, maar de inzet van informatiearchitectuur in een organisatie en de aandachtspunten die hierbij zijn te onderkennen. Wij zijn van mening dat het pas mogelijk is een gefundeerde, breed geaccepteerde auditaanpak te ontwikkelen als voldoende inzicht bestaat in het auditobject en de aandachtspunten. David Campbell en Jurre Horsels

2

Dankwoord Deze scriptie is tot stand gekomen dankzij de inzet en ondersteuning van diverse vakgenoten. Wij willen in elk geval een algemeen dankwoord uitspreken aan iedereen die ons tijdens het schrijven van de scriptie heeft geholpen. Deloitte en de Rijksauditdienst verdienen onze dank voor de middelen die zij ter beschikking hebben gesteld, welke ons de in de gelegenheid hebben gesteld dit onderzoek uit te voeren. Het onderbouwen van onze theorie en het valideren van het model heeft plaatsgevonden aan de hand van interviews. Wij willen de geïnterviewden bedanken voor hun medewerkering. Zonder hun inbreng zouden wij onze visie op het onderwerp niet hebben kunnen verdiepen en aanscherpen tot het huidige resultaat. Onze dank gaat daarom uit naar Guido Bayens, Bart Bockhorst, Theo de Breed, Michiel Borgers, Leo Geubbels, Baudien Glashouwer, Piet de Kam, Wouter Keller, Rob Meijer, Daan Rijsenbrij, Erik Proper, en Jaap Schekkerman voor de tijd die zij beschikbaar hebben gesteld. Onze dank gaat ook uit naar de medewerkers van team MARIJ van ICTU, die vanuit de uitdagingen waarvoor zij zelf staan, interessante inzichten hebben geboden, waarmee zij ons geholpen hebben in het formuleren van de onderzoeksconclusie. Verder willen wij Piet Goeyenbier en Rob Pietersma bedanken. Bij de begeleiding van dit onderzoek boden ze steeds een kritische blik en een klankbord waartegen wij onze gedachtes hebben kunnen reflecteren en ordenen. Ook René Mattijsse bedanken wij voor zijn bijdrage. Het schrijven van de scriptie en het uitvoeren van het onderzoek hebben een groot beslag gelegd op onze tijd. Dit heeft ertoe geleid dat wij soms tot in de late uurtjes en in het weekend achter een computer hebben gezeten. Een bijzonder dankwoord daarom, tot slot, aan onze partners, omdat zij het geduld hadden om ons te ondersteunen. David Campbell en Jurre Horsels

3

Inhoudsopgave Managementsamenvatting.......................................................................................................... 6 Hoofdstuk 1 Inleiding................................................................................................................. 8 Hoofdstuk 2 Onderzoeksopzet ................................................................................................. 10 2.1 Aanleiding ...................................................................................................................... 10 2.2 Scope .............................................................................................................................. 10 2.3 Probleemstelling............................................................................................................. 11 2.4 Basismodel ..................................................................................................................... 11 2.5 Aanpak ........................................................................................................................... 14 Hoofdstuk 3 Informatiearchitectuur in de context van besluitvorming ................................... 15 3.1 Het organisatiebeleidsvlak ............................................................................................. 16 3.1.1 Activiteit in het organisatiebeleidsvlak ................................................................... 16 3.1.2 Antwoord op deelvraag 1 ........................................................................................ 19 3.2 Het informatiebeleidsvlak .............................................................................................. 19 3.2.1 activiteit in het informatiebeleidsvlak ..................................................................... 19 3.2.2 Afstemming tussen organisatie- en informatiebeleid.............................................. 20 3.3 Het informatiearchitectuurvlak ...................................................................................... 22 3.3.1 Activiteit in het informatiearchitectuurvlak ............................................................ 22 3.3.2 Antwoord op deelvraag 2 ........................................................................................ 25 3.4 Organisatiebeleid en informatiearchitectuur .................................................................. 25 3.4.1 Informatiearchitectuur betrokken bij besluitvorming.............................................. 26 3.4.2 Antwoord op deelvraag 3 ........................................................................................ 27 Hoofdstuk 4 Informatiearchitectuur bij de besluitvorming in de praktijk .................................... 28 4.1 Aanpak praktijkonderzoek ............................................................................................. 28 4.2 Beeld van de betrokkenheid van informatiearchitectuur bij besluitvorming ...................... 29 4.2.1 Beeld van bestuurders ............................................................................................. 29 4.2.2 Beeld van architecten .............................................................................................. 31 Hoofdstuk 5 Vergelijking theoretische beschouwing en praktijk ............................................ 34 5.1 Vergelijking resultaten bestuurders en architecten ........................................................ 34 5.2. Analyse resultaten bestuurders...................................................................................... 36 5.3. Analyse resultaten architecten....................................................................................... 38 5.4. Vergelijking tussen analyse van architecten en bestuurders ......................................... 39 5.5. Antwoord op deelvraag 4 .............................................................................................. 40 Hoofdstuk 6 Auditing van informatiearchitectuur ................................................................... 41 6.1 Theoretische beschouwing: Informatiearchitectuur als auditobject............................... 41 6.1.1 Wijze van toetsen .................................................................................................... 41 6.1.2 Informatiearchitectuur ............................................................................................. 43 6.1.3 Architectuur governance ......................................................................................... 44 6.1.4 Compliancy aan architectuur................................................................................... 46 6.2 Praktijkvalidatie van de theoretische beschouwing........................................................ 47 6.2.1 Validatie door IT-auditors ....................................................................................... 47 6.2.2 Validatie op basis van een bestaande informatiearchitectuur ................................. 50 6.3 Antwoord op deelvraag 5 ............................................................................................... 54

4

Hoofdstuk 7 Conclusie en vervolgactiviteiten ......................................................................... 55 7.1 Inrichting van de architectuurfunctie ............................................................................. 55 7.2 Rol van de IT-auditor ..................................................................................................... 56 7.3 Antwoord op de probleemstelling .................................................................................. 58 7.4 Vervolgactiviteiten ......................................................................................................... 58 Hoofdstuk 8 Reflectie............................................................................................................... 60 8.1 Onderzoeksaanpak ......................................................................................................... 60 8.2 Resultaten van het onderzoek......................................................................................... 60 Bijlagen .................................................................................................................................... 62 Bijlage A Literatuur ................................................................................................................. 63 Gerefereerde literatuur ......................................................................................................... 63 Achtergrondinformatie ......................................................................................................... 64 Bijlage B Overzicht van tabellen ............................................................................................. 65 Bijlage C Overzicht van figuren............................................................................................... 66 Bijlage D Lijst van interviews.................................................................................................. 67 Bijlage E Wijzigingen deze versie ........................................................................................... 68

5

Managementsamenvatting Besluitvorming binnen organisaties is een actueel onderwerp. De omgeving waarin veel moderne organisaties zich bevinden is continu in ontwikkeling. Veranderingen in de omgeving volgen elkaar in hoog tempo op waardoor het bestuur gedwongen wordt om besluiten te nemen ten behoeve van het realiseren van de organisatiedoelstellingen. Het bestuur neemt een beslissing waarna nagedacht wordt over de invulling hiervan. Deze beslissing initieert een nieuw besluitvormingsproces over de invulling. Bij dit onderzoek hebben wij ons gericht op het onderwerp rationele besluitvorming over de invulling. Hierbij wordt in ons model gebruik gemaakt van informatiearchitectuur. Een goed ingerichte informatievoorziening is onmisbaar voor de bedrijfsvoering. Informatiearchitectuur is een middel dat kan bijdragen aan goede inrichting. Een informatiearchitectuur bevat principes die richting geven aan de bouw en inzet van informatiesystemen. Ook de huidige inrichting van het informatielandschap is hierbij van belang. Verder bevat informatiearchitectuur modellen van het beschouwde object. Met dit onderzoek willen wij aantonen dat door informatiearchitectuur in te zetten als instrument tijdens het besluitvormingsproces, de inrichting van de informatievoorziening beter afgestemd wordt op de doelstellingen van het bestuur. Vanuit de vakgebieden organisatiekunde en informatiekunde hebben wij onderzoek verricht naar de mogelijke inzet van informatiearchitectuur bij het besluitvormingsproces door het bestuur van organisaties. Hiertoe hebben wij informatiearchitectuur gepositioneerd ten opzichte van het model van het rationele besluitvormingsproces. Dit model beschrijft besluitvorming als een proces bestaande uit een aantal stappen. Op basis van een literatuurstudie is beschreven hoe de informatiearchitectuurfunctie vormgegeven kan worden en hoe (tijdens welke stappen) deze functie kan dienen als adviesorgaan tijdens de besluitvorming. Vervolgens is deze theoretische visie gevalideerd middels interviews met experts (architecten, auditors en bestuurders) uit de praktijk. Tevens is hun mening gevraagd naar de huidige stand van zaken met betrekking tot de inzet van architectuur op deze wijze. Besluitvorming over door te voeren veranderingen vindt vaak plaats over projecten die de verandering moeten bewerkstelligen. Een overkoepelde beheersing van projecten aan de hand van een ‘shared vision’ kan worden georganiseerd middels projectportfoliomanagement. Informatiearchitectuur kan worden ingezet om de inhoud van het projectenportfolio vorm te geven door de besluitvorming hierover te ondersteunen. Hierbij vindt toetsing plaats of het project voldoet aan de principes zoals verwoord in de informatiearchitectuur. Deze toetsing is een uitdaging aangezien dit voornamelijk plaatsvindt aan de hand van softe normen. Dit maakt inhoudelijke expertise noodzakelijk. De toetsing wordt in de praktijk uitgevoerd door een architecture board. Door informatiearchitectuur in te zetten bij de besluitvorming over de ontwikkeling en inrichting van informatiesystemen wordt informatiearchitectuur een belangrijk onderzoeksobject. In dit onderzoek is een afzonderlijk hoofdstuk gewijd aan de rol van de IT-auditor bij het beschouwen van het object informatiearchitectuur. De inzet van informatiearchitectuur bij de besluitvorming zorgt voor behoefte aan additionele zekerheid over de informatiearchitectuur en de wijze waarop hieronder wordt gewerkt.

6

Wij stellen dat de IT-auditor in elk geval op drie momenten kan worden ingezet: Moment 1: Beoordelen van het object informatiearchitectuur Moment 2: Beoordelen van de architectuur governance Moment 3: Beoordelen of de informatiearchitectuur wordt betrokken bij de besluitvorming De conclusie van het onderzoek luidt: door informatiearchitectuur in te zetten bij besluitvorming, worden besluiten meer gefundeerd genomen, rekening houdend met belangen en consequenties vanuit de IT. Een betere afstemming tussen het organisatiebeleid en de inrichting van de informatievoorziening is het gevolg. Hiervoor zijn een tweetal randvoorwaarden noodzakelijk: 1. Een volwassen en in de organisatie ingebedde informatiearchitectuur met een adequate positionering van de CIO-functie. 2. Wederzijdse beïnvloeding door communicatie tussen het bestuur en de informatiearchitecten. Het initiatief om informatiearchitectuur te betrekken bij de besluitvorming ligt bij degene die de besluitvorming uitvoert. Hier wordt initiatief alleen genomen indien de informatiearchitectuur en de input die zij kan leveren voldoende aansluit op de business en een goede kwaliteit heeft. Om deze aansluiting te bereiken en de kwaliteit te waarborgen is de IT-auditor van belang. De IT-auditor kan vaststellen dat de belangen van de bestuurder in de informatiearchitectuur zijn besloten. Voorwaarde hierbij is dat de kwaliteitsaspecten aansluiten bij de wensen van de bestuurder. Naast de kwaliteitsaspecten integriteit en controleerbaarheid, die zorgen voor een betrouwbare architectuur, is behoefte aan effectiviteit en efficiëntie. Deze behoefte is aanwezig omdat een bestuurder efficiënte en effectieve uitvoering van zijn besluiten wil zien. Een belangrijke randvoorwaarde die de IT-auditor in staat stelt deze kwaliteitscriteria te toetsen is dat de hij beschikt over kennis van informatiearchitectuur en de activiteiten die plaatsvinden in het organisatiebeleidsvlak. Hierbij is individuele specialisatie op dit onderwerp wenselijk. Immers, het toetsen van een informatiearchitectuur is wezenlijk anders dan het toetsen van een rekencentrum.

7

Hoofdstuk 1 Inleiding Voor u ligt een scriptie die is geschreven in het kader van het afstuderen aan de EDPauditopleiding van de Vrije Universiteit van Amsterdam (VU). Het onderwerp van de scriptie is veel besproken in de vakgebieden van de organisatiekunde en de informatiekunde. Het onderwerp binnen de organisatiekunde is rationele besluitvorming (hierna besluitvormingsproces genoemd) (Heijnsdijk, 2005) en het vakgebied binnen de informatiekunde is informatiearchitectuur. De definitie van rationele besluitvorming die gehanteerd wordt tijdens dit onderzoek is (Heijnsdijk, 2005): “Besluitvorming is de op bepaalde criteria gebaseerde keuze van een gedragsalternatief” Voor informatiearchitectuur wordt de volgende definitie gehanteerd (vrij naar Wagter, 2001): “Informatiearchitectuur geeft een consistent geheel van principes en modellen dat richting geeft aan het ontwerp en realisatie van de informatievoorziening van een organisatie” In dit onderzoek komen beide onderwerpen bij elkaar en wordt een geïntegreerde theorie geïntroduceerd over informatiearchitectuur tijdens het besluitvormingsproces. Besluitvorming binnen organisaties is een actueel onderwerp. De omgeving waarin veel moderne organisaties zich bevinden is continu in ontwikkeling. Veranderingen in de omgeving volgen elkaar in hoog tempo op. Hierdoor wordt het bestuur van de organisaties continu gedwongen tot het maken van besluiten naar aanleiding van deze veranderingen. Informatie speelt in een dynamische omgeving een belangrijke rol. Een goede informatievoorziening is onmisbaar voor de bedrijfsvoering. Moderne informatiesystemen zijn onmisbaar geworden voor organisaties. De besluitvorming van een bestuurder, heeft in toenemende mate impact op de wijze waarop informatiesystemen worden ingezet. Om de inzet van informatiesystemen beheerst te laten verlopen wordt door veel organisaties gebruik gemaakt van een informatiearchitectuur. Bij het ontwerpen en ontwikkelen van nieuwe informatiesystemen speelt informatiearchitectuur een belangrijke rol. Informatiearchitectuur wordt gezien als instrument dat zorgt voor optimale afstemming tussen organisatiedoelstelling en de informatiehuishouding; nu en in de toekomst. Mede hierdoor verschuift de aandacht van de bestuurder (en daarmee van de IT-auditor) naar de informatiearchitectuur. Immers, hierin ligt de basis van de toekomstige inrichting van de informatiesystemen; het traditionele onderzoeksobject van een IT-auditor. Doel van het onderzoek is te beschrijven welke gevolgen informatiearchitectuur bij de besluitvorming heeft voor de rol van de IT-auditor. De opzet van het onderzoek, de probleemstelling en de toegepaste modellen zijn beschreven in hoofdstuk 2 van deze scriptie. Hoofdstuk 3 bevat de resultaten van het literatuuronderzoek. In dit hoofdstuk wordt het onderzoek gepositioneerd in de vakgebieden organisatiekunde en informatiekunde. Hierdoor wordt het theoretische kader gevormd waarbinnen de beïnvloeding tussen organisatiebeleid en informatiearchitectuur wordt beschreven. In hoofdstuk 4 worden de resultaten van het praktijkonderzoek uiteen gezet, bestaande uit een serie interviews met architecten en bestuurders. Doel van het praktijkonderzoek is de in hoofdstuk 3 gevormde theorie te

8

valideren. Daarnaast kan met de resultaten de theorie worden aangescherpt en verbeterd. Hiertoe worden in hoofdstuk 5 de resultaten van het praktijkonderzoek vergeleken met de theorie. Het zesde hoofdstuk beschrijft de positionering van de IT-auditfunctie in relatie tot het object informatiearchitectuur. De rol van de IT-auditor en de verschillende onderzoeken die hij uit kan voeren wordt beschreven in dit hoofdstuk. Verder wordt in dit hoofdstuk aan de hand van inbreng van IT-auditors en een bestaande informatiearchitectuur de beschreven theorie gevalideerd. In hoofdstuk 7 worden op basis van de analyse en bevindingen uit hoofdstuk 5 en 6 conclusies getrokken die een antwoord geven op de probleemstelling van het onderzoek. Hoofdstuk 7 bevat tevens enkele aanbevelingen richting bestuurders, architecten en IT-auditors over hoe een organisatie informatiearchitectuur succesvol in kan zetten tijdens het besluitvormingsproces. Tot slot bevat hoofdstuk 7 enkele adviezen over aanvullend onderzoek. Hoofdstuk 8 geeft als afsluiting van de scriptie een reflectie op het verloop van het onderzoek en de bevindingen die zijn gedaan. De opbouw van de scriptie is schematisch weergegeven in Figuur 1 'Leeswijzer'

Figuur 1 'Leeswijzer'

Dit onderzoek heeft als doelgroep bestuurders, architecten en IT-auditors. De insteek van het onderzoek is gericht op de bruikbaarheid van architectuur voor bestuurders. De bestuurder wil zijn besluitvorming verbeteren met behulp van informatiearchitectuur, waardoor de kwaliteit van de informatiearchitectuur van belang wordt. De IT-auditor kan hierover een uitspraak doen door deze te toetsen. Door inzicht te verwerven in de wijze waarop architectuur kan worden ingezet tijdens de rationele besluitvorming wordt het mogelijk risico’s en aandachtsgebieden te onderkennen. De bestuurder heeft behoefte aan het verkrijgen van zekerheid over de mate waarin hij deze risico’s beheerst. De IT-auditor kan deze zekerheid bieden. 9

Hoofdstuk 2 Onderzoeksopzet Dit hoofdstuk beschrijft de opzet van het onderzoek. Als eerste wordt de aanleiding van het onderzoek beschreven. Op basis van de aanleiding voor het onderzoek wordt de scope bepaald. Vervolgens wordt de probleemstelling binnen de kaders van de scope geformuleerd. Tot slot is de aanpak beschreven, waarbij de toegepaste onderzoeksmethodieken en modellen worden gepresenteerd en toegelicht.

2.1 Aanleiding Het organisatiebeleid wordt sterk beïnvloed door factoren die enerzijds vanuit de organisatie (intern) en anderzijds vanuit de omgeving (extern) komen. Bij externe veranderingen valt te denken aan wijzigende politieke of economische omstandigheden. Deze invloeden dwingen het bestuur van een organisatie continu beslissingen te nemen over de doelstellingen en het daarvan afgeleide organisatiebeleid. Wijzigingen in het organisatiebeleid hebben vaak direct of indirect gevolgen op de informatiehuishouding. Om als bestuurder goed zicht te hebben op deze gevolgen wordt door veel organisaties een informatiearchitectuur opgesteld. Een informatiearchitectuur creëert de randvoorwaarden en geeft richting aan het ontwerp en de realisatie van de informatievoorziening. Een bestuurder wil een antwoord hebben op de vraag of de beslissing efficiënt en effectief kan worden doorgevoerd. Dit onderzoek wordt uitgevoerd door de managementlaag onder het bestuur die zorgen voor een invulling van het besluit. Het is van belang dat de invulling van de beslissing past binnen de huidige informatiehuishouding. Een bestuurder heeft deze informatie nodig om ‘in control’ te zijn over de bedrijfsrisico’s. Zie in dit kader ook de brief van de Minister van BZK aan de tweedekamer (BZK, 2008) Maakt de bestuurder geen gebruik van deze informatie, dan ontstaat het risico dat de genomen beslissingen en het ingezette beleid van de organisatie niet afgestemd zijn op de informatievoorziening. De informatievoorziening biedt in dat geval onvoldoende ondersteuning bij het uitvoeren van het organisatiebeleid. De Algemene Rekenkamer heeft diverse rapporten geschreven die onder meer deze problematiek behandelen (AR, 2007; AR, 2008 A; AR, 2008 B). Informatiearchitectuur biedt vanuit haar kaderstellende karakter een bron van informatie die de bestuurder kunnen ondersteunen. Om deze reden wordt in de bijlage van de eerder genoemde brief van de Minister van BZK richtlijnen voor een standaard rapportage geeft, waarbij voor architectuur bijzondere aandacht is weggelegd. De kwaliteit van de informatiearchitectuur en het proces waarmee met architectuur wordt gewerkt zijn daarom van belang. Vanuit dit oogpunt is een belangrijke rol voor de IT-auditor is weggelegd bij de beoordeling van de architectuur, het beheer op de architectuur en het werken onder architectuur (Rijsenbrij, 2009).

2.2 Scope Om invulling te geven aan de informatiebehoefte bij besluitvorming richt het onderzoek zich op de onderwerpen besluitvorming, informatiearchitectuur en organisatiebeleid. Buiten de scope van dit onderzoek bevinden zich onderwerpen die gericht zijn op de daadwerkelijke uitvoering van het beleid en op de technische opbouw en constructie van de informatiesystemen die de informatievoorziening bewerkstelligen. Dit zijn namelijk gevolgen van de besluitvorming, informatiearchitectuur en het organisatiebeleid. Ze worden, mits adequate sturing aanwezig is, binnen de gestelde kaders van het organisatiebeleid en de informatiearchitectuur gebouwd.

10

2.3 Probleemstelling De bovengenoemde aanleiding en scope leiden tot een probleemstelling voor het onderzoek. De probleemstelling bestaat uit een doelstelling en een afgeleide vraagstelling. De doelstelling voor het onderzoek is: Door informatiearchitectuur in te zetten als instrument tijdens het besluitvormingsproces wordt de inrichting van de informatievoorziening afgestemd op de doelstellingen van het bestuur. Hierdoor verandert het werkveld van de IT-auditor. Deze doelstelling leidt tot de volgende vraagstelling: Hoe kan informatiearchitectuur worden ingezet tijdens het besluitvormingsproces om afstemming te bereiken tussen de organisatiedoelstellingen in het organisatiebeleid en de inrichting van de informatievoorziening en wat is de invloed hiervan op het werkveld van de IT-auditor? (Hoofdstuk 7) Om deze vraagstelling te beantwoorden zijn de volgende deelvragen van belang: 1. Hoe wordt invulling gegeven aan het besluitvormingsproces binnen een organisatie, zodat een organisatie haar doelstellingen conform haar organisatiebeleid behaalt? (Paragraaf 3.1) 2. Hoe kan informatiearchitectuur worden ingezet om richting te geven aan de inrichting van de informatievoorziening? (Paragraaf 3. 3) 3. Op welke manier beïnvloeden het organisatiebeleid en de informatiearchitectuur elkaar? (Paragraaf 3.4) 4. In hoeverre draagt informatiearchitectuur als instrument bij aan het besluitvormingsproces? (Hoofdstuk 4 en 5) 5. Wat is de invloed van de inzet van informatiearchitectuur als instrument tijdens het besluitvormingsproces op de rol en de werkzaamheden van de IT-auditor? (Hoofdstuk 6) Door deze deelvragen te beantwoorden kan een antwoord gegeven worden op de probleemstelling van dit onderzoek. Beantwoording van de diverse deelvragen en vraagstelling vindt plaats in de onderdelen van de scriptie die tussen haakjes zijn aangegeven. Hierover is meer beschreven in paragraaf 2.5 Aanpak.

2.4 Basismodel Uitgangspunt bij de beantwoording van de probleemstelling is de hypothese dat informatiearchitectuur een bijdrage levert bij het besluitvormingsproces. Op basis van het organisatiebeleid wordt een informatiebeleid opgesteld dat leidt tot een informatiearchitectuur en ingezet kan worden als instrument om doelstellingen uit het beleid te bewaken en behalen. Omgekeerd geldt dat de informatiearchitectuur het beleid beïnvloedt, aangezien ze gebaseerd is op principes en een toekomstvast karakter heeft. Het 9-vlaksmodel (Maes, 2002) is gekozen als model voor het onderzoek. Dit model wordt gebruikt om inzichtelijk te maken wat de samenhang is tussen organisatiebeleid en IToplossingen/ -beleid. Het gemaakte onderscheid in techniek, informatie en organisatie komt overeen met het onderscheid dat wordt gemaakt binnen de theorie van informatiearchitectuur. Bovendien vormt architectuur de eerste stap in de vertaling van beleid naar inrichting. Om deze reden en is het 9-vlaksmodel uitermate geschikt om als basis te dienen voor dit onderzoek. Een standaard 9-vlaksmodel is afgebeeld in Figuur 2: '9-Vlaksmodel'.

11

Figuur 2: '9-Vlaksmodel'

Het 9-vlaksmodel toont de relaties die tussen de vlakken worden onderkend. Een relatie tussen de vlakken in het 9-vlaksmodel definiëren we in dit onderzoek als volgt: “Een wederzijdse afhankelijkheid tussen twee bestuursniveaus en/of beleidskolommen, waarbij in aansturende zin sprake is van een beheercyclus van planning, uitvoering, controle en bijsturing en in aangestuurde zin sprake is van een adviserende en ondersteunende rol.” Uit de definitie blijkt dat bij een relatie sprake is van een wederzijdse afhankelijkheid. Vanuit het vlak waarin besluitvorming is belegd, worden kaders gesteld richting het vlak dat de gevolgen van de beslissingen in het andere vlak uitvoert. Vanuit het vlak waarin de gevolgen van de beslissingen worden uitgevoerd wordt middels advies en ondersteuning, richting aan de verdere vorming en wijziging van het beleid van het kaderstellende vlak gegeven. Met dit onderzoek willen wij aantonen dat deze wederzijdse afhankelijkheid cruciaal is bij de inzet van informatiearchitectuur als instrument tijdens besluitvorming. Immers, de informatiearchitectuur moet vanuit het organisatiebeleid, via het informatiebeleid input krijgen om vervolgens output te genereren en vice versa. Een deel van het 9-vlaksmodel dat conform de scope van het onderzoek van belang is wordt verder uitgewerkt in het hierop volgende hoofdstuk. In Figuur 3: 'Afbakening 9-vlaksmodel' is dit deel gemarkeerd. In scope van dit onderzoek vallen de onderwerpen organisatiebeleid (het organisatiebeleidsvlak), informatiebeleid (het organisatiebeleidsvlak) en de informatiearchitectuur (het informatieachitectuurvlak) wordt opgesteld en aangepast van belang. Belangrijk om te vermelden hierbij is dat uitgegaan wordt van activiteiten die plaatsvinden door bepaalde rollen in de vlakken en niet van personen. In veel organisaties is men niet continu werkzaam in de rol van informatiearchitect of CIO.

12

Bedrijfsdomein

Informatiedomein

Technologiedomein

Strategisch niveau

Tactisch niveau

Operationeel niveau

Figuur 3: 'Afbakening 9-vlaksmodel'

Het 9-vlaksmodel bevat enkel horizontale en verticale relaties. Onderzocht wordt of hierdoor een gebrek ontstaat aan de betrokkenheid van informatiearchitectuur tijdens het besluitvormingsproces op de inrichting van de informatievoorziening. Door wederzijdse betrokkenheid tussen het organisatiebeleidsvlak en het informatiearchitectuurvlak te creëren kan informatiearchitectuur als een instrument worden ingezet voor de strategische beheersing van de informatiehuishouding. Om informatiearchitectuur als instrument te kunnen gebruiken, is het van belang dat het organisatiebeleidsvlak de informatie afkomstig uit het informatiearchitectuurvlak betrekt bij de invulling van het organisatiebeleid. Het 9-vlaksmodel geeft weer hoe bestuurlijke niveaus in een organisatie zijn te definiëren en wat hun onderlinge samenhang (relatie) is door de lijnen tussen de vlakken weer te geven. Hoewel beide modellen geen wetenschappelijke fundament hebben dat berust op empirisch onderzoek, (Scheper, 2002) zijn ze geschikt als basis voor het model dat wij in dit onderzoek introduceren. De geschiktheid van het model komt tot uiting doordat de focus gericht is op het beschrijven van relaties tussen bestuurslagen en beleidskolommen. Het 9-vlaksmodel bestaat uit lagen welke elk een besturingsniveau representeren: • strategisch niveau (Beleid) • tactisch niveau (Inrichting) • operationeel niveau (Uitvoering) Elk niveau wordt vervolgens onderverdeeld in drie kolommen, die een domein weergeven dat gelijk staat aan een aandachtsgebied binnen de business IT-alignment: • bedrijfsdomein • informatiedomein • technologiedomein

13

2.5 Aanpak Het onderzoek bestaat uit een theoretisch en een praktisch deel. In het theoretische deel worden het organisatiebeleidsvlak, informatiebeleidsvlak en het informatiearchitectuurvlak ingevuld en de veronderstelde betrokkenheid uitgewerkt. De basis hiervoor is een literatuuronderzoek. Tijdens dit literatuuronderzoek wordt een antwoord gezocht op de eerste drie deelvragen van het onderzoek. Het resultaat is een theoretisch raamwerk, waarin het organisatiebeleidsvlak, het informatiearchitectuurvlak en de betrokkenheid die hiertussen verondersteld wordt zijn uitgewerkt. Daarnaast is uitgewerkt hoe input vanuit het informatiearchitectuurvlak een bijdrage kan leveren bij een rationelere besluitvorming. Vervolgens vindt een praktijkonderzoek plaats waarbij het theoretische raamwerk wordt voorgelegd aan een aantal bestuurders en architecten. De interviews zijn gehouden met personen die werkzaamheden uitvoeren binnen de publieke sector. De geïnterviewde bestuurders zijn CIO’s die werkzaam zijn in de hoge managementlagen van de organisaties. Het betreft hier nadrukkelijk geen leden van de bestuursraden. Zij zijn doorgaans niet betrokken bij de strategievorming van de organisatie, maar bij het realiseren van de strategie. Het doel van de interviews is een antwoord te krijgen op de vierde deelvraag van het onderzoek, waardoor een beeld wordt verkregen van de wijze waarop informatiearchitectuur wordt ingezet als instrument in de praktijk. Met dit beeld kan het theoretische model worden aangevuld / of verbeterd. Hierdoor ontstaat een breed gedragen invulling van de onderzochte betrokkenheid. Op basis van deze invulling hebben wij de onderzoeksvragen beantwoord. De antwoorden hebben wij vervolgens teruggekoppeld met de geïnterviewden om te waarborgen dat de getrokken conclusies in lijn zijn met de onderliggende interviews. Daarnaast hebben wij het theoretische model en de diverse antwoorden en uitwerkingen van deze scriptie besproken met collega IT-auditors, waardoor ook binnen de vakgroep draagvlak ontstaat voor onze conclusies.

14

Hoofdstuk 3 Informatiearchitectuur in de context van besluitvorming In dit hoofdstuk wordt het theoretische kader geschetst waar ons model op gebaseerd is. Het model stelt dat informatiearchitectuur kan worden ingezet als instrument tijdens het besluitvormingsproces. Hiertoe is het van belang om de volgende termen in dit hoofdstuk uit te werken: 1. Activiteiten in het organisatiebeleidsvlak en de relatie met aangrenzende vlakken; 2. Activiteiten in het informatiebeleidsvlak en de relatie met aangrenzende vlakken; 3. Activiteiten in het informatiearchitectuurvlak; 4. Besluitvorming op organisatiedoelstellingen met informatiearchitectuur (Betrokkenheid R). De opbouw van dit hoofdstuk is als volgt. Eerst wordt het organisatiebeleidsvlak toegelicht en de activiteiten die hierin plaatsvinden (3.1). Vervolgens wordt een paragraaf gewijd aan het informatiebeleidsvlak (3.2). Het derde vlak dat behandeld wordt is het informatiearchitectuur vlak waarbinnen de theorie van informatiearchitectuur en de activiteiten die in het informatiearchitectuurvlak plaatsvinden worden behandeld (3.3). Op basis van het kader dat in de eerste twee paragrafen schetst, wordt de theoretische achtergrond van de betrokkenheid (R) tussen het organisatiebeleidsvlak en informatiearchitectuurvlak beschouwd (3.4). Een visuele weergave van de inhoud van dit hoofdstuk is weergegeven in Figuur 4: 'Inhoud hoofdstuk 3'. Hierin zijn de in scope zijnde vlakken uit het 9-vlaksmodel weergegeven en de betrokkenheid waarvan het belang in deze scriptie verondersteld wordt.

Figuur 4: 'Inhoud hoofdstuk 3'

15

3.1 Het organisatiebeleidsvlak In deze paragraaf wordt het organisatiebeleidsvlak toegelicht, zie: Figuur 5: 'Paragraaf 3.1'. Dit organisatiebeleidsvlak wordt inhoudelijk beschreven door gebruik te maken van verschillende theorieën. Daarnaast wordt de relatie met de aangrenzende vlakken toegelicht. Doel van de paragraaf is een antwoord te geven op de eerste deelvraag van het onderzoek: Hoe wordt invulling gegeven aan het besluitvormingsproces binnen een organisatie, zodat een organisatie haar doelstellingen conform haar organisatiebeleid behaalt?

Figuur 5: 'Paragraaf 3.1'

3.1.1 Activiteit in het organisatiebeleidsvlak In het organisatiebeleidsvlak vinden activiteiten plaats, waarbij actoren met beslissingsbevoegdheid en bijbehorende verantwoordelijkheid betrokken zijn. Een activiteit wordt gedefinieerd als: “Een activiteit is een handeling gericht op het bereiken van een of meerdere doelstellingen.” Een randvoorwaarde voor het uitvoeren van een activiteit op het organisatiebeleidsvlak is dat de actor beslissingsbevoegdheid heeft; waarbij bijvoorbeeld de CEO de eindverantwoordelijk is. Voorbeelden van deze activiteiten zijn het formuleren van de missie, bepalen van de strategie en het formuleren van organisatiedoelstellingen. Onder de term missie verstaan wij (Dam, Marcus, 1999): “De missie van een organisatie bestaat uit een beschrijving van de product/marktcombinatie en de manier waarop men hiermee een structureel concurrentie voordeel kan creëren.” Op basis van de missie worden de organisatiedoelstellingen geformuleerd. De definitie van organisatiedoelstelling is als volgt (Dam, Marcus 1999): “Een organisatiedoelstelling geeft de relatie weer tussen de omgeving van de organisatie en haar werknemers.” Nadat de organisatiedoelstellingen helder zijn voor alle betrokkenen is het de primaire activiteit van het bestuur om deze doelstellingen te realiseren. Dit zal plaatsvinden aan de hand van een plan, dat ook wel de strategie van de organisatie genoemd wordt.

16

In dit onderzoek wordt strategie als volgt gedefinieerd (Dam, Marcus 1999): “Strategie is het plan om de organisatiedoelstellingen te realiseren.” Het bestuur, met als eindverantwoordelijke de CEO, is continu bezig om de wijzigende omgeving te analyseren en de strategie bij te stellen. Zodra de strategie is geformuleerd, moet hieraan invulling worden gegeven. Het geven van invulling aan de strategie vindt plaats aan de hand van formele processen van besluitvorming. In dit onderzoek wordt de theorie van de rationele besluitvorming (Heijnsdijk, 2005) gehanteerd. Het rationele besluitvormingsproces is gekozen aangezien het duidelijk gedefinieerde stappen bevat. Deze stappen zijn weergegeven in Figuur 6: 'Besluitvormingsproces'.

Figuur 6: 'Besluitvormingsproces'

De stappen in het besluitvormingsproces worden kort toegelicht: 1. Probleem onderzoek: Het in kaart brengen van de noodzaak / impuls die aanzet tot het nemen van een besluit. Een voorbeeld hiervan is de constatering dat een discrepantie is ontstaan tussen enerzijds de huidige situatie en anderzijds de gewenste situatie. 2. Ontwikkelen van alternatieven: In deze fase worden randvoorwaarden geschapen waarbinnen de alternatieven worden opgesteld. Op basis van de randvoorwaarden wordt een overzicht van alternatieven gegenereerd. 3. Evaluatie van alternatieven: De alternatieven die voldoen aan de randvoorwaarden worden geëvalueerd om een goede keuze te maken. In deze fase wordt aandacht besteed aan de gevolgen van de verschillende keuzemogelijkheden en wordt een inschatting gemaakt van de benodigde resources. 4. Maken van een keuze: In deze fase worden de resultaten uit de vorige fase tegen elkaar afgewogen. Als resultaat van deze fase wordt een keuze gemaakt. Hieraan wordt een actielijst gekoppeld en de taken, bevoegdheden en verantwoordelijkheden worden toebedeeld. 5. Evaluatie: Deze fase is geen direct onderdeel van het rationele besluitvormingsproces, maar vormt wel een belangrijk sluitstuk aangezien hierin gecontroleerd wordt of de beslissing het gewenste effect heeft bereikt.

17

Bij het rationele besluitvormingsproces moet opgemerkt worden dat het model uitgaat van een rationeel proces. Dit is van belang aangezien ook niet-rationele besluitvorming bestaat. Dit betreft beslissingen waarbij niet alle randvoorwaarden aanwezig zijn die bij een rationeel besluitvormingsproces noodzakelijk zijn. Het betreft: • onvoldoende beschikbare informatie • gebrek aan tijd • beperkte middelen • beperking in capaciteiten • belangentegenstellingen tussen bestuurders Niet-rationele besluitvorming is ongewenst en kan leiden tot ongewenste resultaten, zoals het niet bereiken van de doelstellingen. Daarom is het van belang om te streven naar een zo rationeel mogelijk besluitvormingsproces. Rationele besluitvorming vindt veelal plaats binnen projecten. Een overkoepeling van projecten aan de hand van een ‘shared vision’ wordt vaak projectportfoliomanagement of multiprojectenorganisatie genoemd. Voor het managen van projectportfolio’s kan gebruik worden gemaakt van de theorie van (Fröhlichs, 2000): “Projectportfoliomanagement kenmerkt zich doordat de projecten en activiteiten tegelijkertijd of in combinatie worden uitgevoerd. Tevens wordt gebruik gemaakt van hetzelfde type resources. Het resultaat van het portfolio dient optimaal bij te dragen aan de strategische doelstellingen van de organisatie.” Projectportfoliomanagement heeft als doelstelling om een stabiel en beheerst portfolio van projecten te vormen. Het doel is realistische schattingen van doorlooptijden te bepalen en reële inschattingen te kunnen maken van benodigde resources. De aanleiding van het implementeren van projectportfoliomanagement is vaak (AR, 2008 A; Op ’t Land, 2009): 1. Projectmanagers hebben vaak meer resources nodig om binnen de gestelde tijd af te kunnen ronden dan vooraf berekend. 2. Een bestuurder kiest ervoor om een nieuw project te starten zonder te toetsen of dit project past binnen het huidige aanbod van projecten. 3. Managers op lagere niveaus kunnen niet de resources vrijmaken die benodigd zijn, waardoor projectleiders vertraging oplopen. 4. Managers op lagere niveaus hebben gekozen voor een andere inzet van hun resources waardoor de projectleiders niet kunnen beschikken over deze resources. Informatiearchitectuur wordt binnen organisaties als hulpmiddel ingezet om te toetsen of projecten passen binnen het portfolio. Hierbij vindt toetsing plaats of het project voldoet aan de principes zoals verwoord in de informatiearchitectuur, die immers afgeleid zijn van de organisatiedoelstellingen. Hier zien we de betrokkenheid tussen het organisatiebeleidsvlak en het informatiearchitectuurvlak goed terugkomen. Deze toetsing is een uitdaging aangezien dit voornamelijk plaatsvindt aan de hand van softe1 normen. Dit maakt inhoudelijke expertise noodzakelijk. De toetsing wordt bijvoorbeeld uitgevoerd door een ‘architecture board’.

1

Onder softe normen worden voornamelijk de normen bedoeld die kwalitatief zijn. Hiertegenover staan de kwantitatieve normen die veel eenvoudiger zijn te meten.

18

3.1.2 Antwoord op deelvraag 1 Het doel van paragraaf 3.1 is een antwoord te geven op de eerste deelvraag van het onderzoek: Hoe wordt invulling gegeven aan het besluitvormingsproces binnen een organisatie, zodat een organisatie haar doelstellingen conform haar organisatiebeleid behaalt? De eerste paragraaf van hoofdstuk drie is een beschrijving van het eerste vlak binnen het negenvlaksmodel. De theorie van de rationele besluitvorming geeft een goed antwoord op de vraag hoe besluitvorming tot stand komt binnen organisaties. Binnen de stappen van besluitvorming verdient het de aanbeveling om aandacht te besteden aan kwaliteitsborging zodat de stappen zorgvuldig worden uitgevoerd. Een aansluitende theorie is de theorie van projectportfoliomanagement. Dit projectportfoliomanagement is direct gericht op het realiseren van de organisatiedoelstellingen. Dit wordt bereikt te beoordelen of projecten passen binnen de kaders van de informatiearchitectuur. Hierdoor vindt de beoordeling in samenhang en conform de huidige inrichting plaats. Informatiearchitectuur kan hierbij een rol spelen.

3.2 Het informatiebeleidsvlak In de vorige paragraaf is reeds besproken dat het van belang is om de organisatiedoelstellingen af te stemmen op het informatiebeleid. Informatiebeleidvorming is een activiteit die plaatsvindt binnen het informatiebeleidsvlak. In Figuur 7: 'Paragraaf 3.2' is het informatiebeleidsvlak gepositioneerd ten opzichte van de andere vlakken.

Figuur 7: 'Paragraaf 3.2'

3.2.1 activiteit in het informatiebeleidsvlak Een verzamelnaam voor activiteiten die plaatsvinden binnen het informatiebeleidsvlak is ITgovernance. Voor IT-governance wordt een brede definitie gehanteerd: “IT-governance omvat het ontwikkelen, beheersen of beheren van beleid, alsmede besluitvorming en toezicht houden op een juiste uitvoering van dit beleid.” Het doel van IT-governance is het scheppen van waarborgen voor de realisatie van organisatiedoelstellingen. De samenhang tussen besluitvorming, beheersen, toezicht houden en verantwoording afleggen is onderdeel van IT-governance. Deze samenhangende activiteiten zijn in diverse theoretische modellen uitgewerkt (Demming 1986; de Leeuw 1990). In dit onderzoek wordt binnen de IT-governance alleen gekeken worden naar besluitvorming. Het is echter van belang te onderkennen dat de governance cirkel van plannen, uitvoeren, bewaken,

19

evalueren en bijsturen volledig dooropen moet worden om een adequate beheersing te bereiken. Afstemming van organisatiedoelstelling op het de informatiestrategie is te beschrijven aan de hand van het Business-IT alignment model van (Henderson, Venkatraman 1993) en het 9vlaksmodel van (Maes, 2002). Het 9-vlaksmodel (zie Figuur 2: '9-Vlaksmodel' uit hoofdstuk 2) is een uitbreiding op het model van Venkrataman. In Figuur 7: 'Paragraaf 3.2'wordt duidelijk hoe IT-alignment past binnen het 9-vlaksmodel. Bij besluitvorming in het organisatiebeleid wordt gevraagd van alle disciplines om mee te denken over alternatieven en deze te analyseren. Vanuit het informatiebeleidsvlak wordt een tweetal producten gevraagd: het overzicht van alternatieven en een rapport waarbij de evaluatie van de alternatieven is opgenomen. 3.2.2 Afstemming tussen organisatie- en informatiebeleid Ter verduidelijking van het besluitvormingsproces, is een voorbeeld uitgewerkt. Tijdens het probleemonderzoek in het organisatiebeleidsvlak is vastgesteld dat de kosten per klant te hoog zijn. Aan beleidsadviseurs vanuit verschillende disciplines wordt gevraagd dit probleem te analyseren, met als doel te komen tot een analyse van het probleem vanuit het perspectief van de betreffende discipline. Hierdoor wordt het bestuur voorzien van verschillende alternatieven om het probleem op te lossen. De beschrijving van het probleem is in dit geval de input voor de eerste fase; het ontwikkelen / inventariseren van de alternatieven binnen het informatiebeleidsvlak.

Figuur 8: 'Relatie organisatiebeleidsvlak en informatiebeleidsvlak'

Binnen het informatiebeleidsvlak gaat men aan de slag om verschillende alternatieven in kaart te brengen om het probleem op te lossen. Als dit is afgerond worden de volgende resultaten teruggekoppeld naar het organisatiebeleidsvlak (aangezien het een voorbeeld betreft, is gekozen voor twee alternatieven. Dit kunnen er uiteraard meerdere zijn): 1. kostenbesparing op de helpdesk; 2. opstarten van een internetafzetkanaal.

20

Vervolgens wordt gevraagd om ook te kijken naar de gevolgen van de alternatieven en deze door te rekenen. Hier komt een rapportage (Figuur 9: 'Rapportage van alternatieven.') uit die voorziet in de alternatieven die beiden de probleemstelling beantwoorden en invulling geven aan de strategie. 1.

Kostenbesparing op de helpdesk. Door het schrappen van 20% van het personeelsbestand worden onmiddellijk kosten bespaard. Enkele personen kunnen via een bedrijfsregeling eerder met pensioen gaan, waardoor de kosten af zullen nemen. Het gevolg voor de overige diensten is dat bedrijfsprocessen minder adequaat ondersteund worden. Dit houdt in dat de wachttijden oplopen waardoor de productiviteit aan de productiezijde ten gevolge van een verstoring zullen afnemen; Voordeel: onmiddellijke kostenbesparing. Nadeel: de serviceverlening van de helpdesk zal afnemen waardoor langere wachttijden ontstaan.

2.

Opstarten van een internetafzetkanaal. Hiertoe moeten processen worden ingericht om klanten via het internetafzetkanaal van dienst te zijn. Dit houdt in dat bestellingen worden verwerkt die middels een internetafzetkanaal binnen komen. Gevolgen voor overige bedrijfsonderdelen: het voorraadbeheer, de voorraadadministratie en het verkoopproces moeten hun activiteiten (bij voorkeur real-time) inzichtelijk maken, zodat de klant inzicht heeft in de status en voorraad van producten. Medewerkers moeten deze gegevens gaan vastleggen. De kosten van de uitvoering worden verhoogd met 1 fte per jaar en voor opleiding wordt 40 uur geraamd. Verdere gevolgen zijn: • Het CRM en het ERP systeem moeten worden aangepast zodat producten gevolgd kunnen worden. • Nieuwe software moet worden aangeschaft t.b.v. een webwinkel en een interface tussen het ERP en CRM systeem moet worden ontwikkeld. • Een beveiligingsbeleid en -plan voor toegang tot bedrijfsgegevens door klanten moet worden ontwikkeld. • Procedures en maatregelen over hoe om te gaan met het afhandelen van online transacties moet worden ontwikkeld. Voordeel: een groter bereik aan klanten (vergroting van de potentiële afzetmarkt); Nadeel: onbekend terrein en grote investeringen zijn nodig om de kans van slagen te vergroten.

Figuur 9: 'Rapportage van alternatieven.'

De verschillen tussen oplossingsalternatieven 1 en 2 zijn groot. Enerzijds wordt een beslissing genomen die onmiddellijk zorgt voor een kostenbesparing, terwijl het andere alternatief een lange termijn visie betreft, waarbij de resultaten onzeker zijn. Een ander verschil is een verschil in detail. Het eerste alternatief beschikt over weinig details, terwijl het tweede alternatief beschikt over veel details. Er zijn bij beide voorbeelden echter nog onvoldoende details voor de besluitvorming. Hiervoor is een uitgewerkte business case van belang, waarin de kosten van deze oplossing nauwkeurig worden afgewogen tegen de verwachte opbrengsten. In tegenstelling tot het eerste advies is het tweede advies voor de bestuurder bruikbaarder voor de besluitvorming, mits dit advies wordt geïntegreerd in de business case. Bij het schetsen van het eerste alternatief, is alleen informatie gebruikt die afkomstig is uit het informatiebeleidsvlak. Bij het tweede alternatief is gebruik gemaakt van informatie die afkomstig is uit de gehele informatiekolom. Bij het analyseren van dit alternatief is ervoor gekozen om advies te vragen aan het informatiearchitectuurvlak om een betere inschatting te geven van de gevolgen die het alternatief heeft. Hierdoor worden veelgenoemde risico’s afgedekt zoals: 1. Managers op lagere niveaus kunnen niet de resources vrijmaken die benodigd zijn, waardoor projectleiders vertraging oplopen. 2. Managers op lagere niveaus hebben gekozen voor een andere inzet van hun resources waardoor de projectleiders niet kunnen beschikken over deze resources. Over het informatiearchitectuurvlak gaat de volgende paragraaf.

21

3.3 Het informatiearchitectuurvlak In deze paragraaf lichten we het informatiearchitectuurvlak toe, zie: Figuur 10: 'Paragraaf 3.3'. Dit vlak wordt inhoudelijk beschreven door gebruik te maken van verschillende theorieën. Verder worden de activiteiten die in dit vlak plaatsvinden beschreven. Doel van de paragraaf is een antwoord te geven op de tweede deelvraag van het onderzoek: Hoe kan informatiearchitectuur worden ingezet om richting te geven aan de inrichting van de informatievoorziening?

Figuur 10: 'Paragraaf 3.3'

3.3.1 Activiteit in het informatiearchitectuurvlak In het informatiearchitectuurvlak worden net als in het organisatiebeleidsvlak en het informatiebeleidsvlak activiteiten uitgevoerd door actoren. Deze actoren hebben echter geen beslissingsbevoegdheid met betrekking tot de doelstellingen vanuit het organisatiebeleid, maar handelen vanuit het mandaat van het bestuur. De activiteiten in het informatiearchitectuurvlak zijn erop gericht informatiebeleidsuitgangspunten te vertalen naar een ontwerp van de informatievoorziening. Dit komt tot uitdrukking door de ontwikkeling van principes en richtlijnen voor de inrichting van de informatievoorziening. De actor die een rol speelt in dit vlak is de informatiearchitect. De activiteiten die plaatsvinden in het informatiearchitectuurvlak kunnen worden beschreven aan de hand van theorie vanuit het vakgebied van de Enterprise Architectuur (Bayens, 2007; Op ’t Land, 2009; McCarthy, 2006; Paauwe, 2004; Rijsenbrij 2005; Schekkerman, 2004; Wachter, 2001; Zachman, 1997). Enterprise Architectuur biedt een integrale beschouwing op de inrichting van processen, informatiehuishouding en techniek. Enterprise Architectuur heeft, vooral de afgelopen 10 jaar, een zelfstandige positie ingenomen in het denken over de wijze waarop IT kan worden bestuurd, complexiteit kan worden teruggedrongen en alignment tussen IT en organisatie kan worden bereikt. De theorie over Enterprise Architectuur is breder dan alleen informatiearchitectuur. Hoewel door verschillende standaarden en theorieën binnen het vakgebied Enterprise Architectuur verschillende domeinen worden onderkend, wordt breed onderscheid gemaakt in de volgende lagen (Greefhorst, 2003): • organisatie/procesarchitectuur • informatiearchitectuur • technische-infrastructuur architectuur Deze lagen sluiten aan bij het gehanteerde 9-vlaksmodel, dat ook een onderscheid maakt in de domeinen processen, informatie en technologie. Figuur 11: 'Positionering Enterprise Architectuur in het 9-vlaksmodel' geeft weer hoe Enterprise Architectuur is gepositioneerd in het 9-vlaksmodel. De domeinarchitecturen verhouden zich hierbij één op één aan de kolommen van het 9-vlaksmodel.

22

Enterprise Architectuur

Figuur 11: 'Positionering Enterprise Architectuur in het 9-vlaksmodel'

De activiteiten die plaatsvinden in het informatiearchitectuurvlak vallen in het domein van de informatiearchitectuur. Informatiearchitectuur is daarom het architectuurdomein waarop wij ons in dit onderzoek richten. Een informatiearchitectuur bevat principes die richting geven aan de bouw en inzet van informatiesystemen. Naast een visie op de inrichting in de toekomst is de huidige inrichting van het informatielandschap van belang. Verder bevat informatiearchitectuur modellen van het beschouwde object. De modellen zijn visualisaties van één of meer principes. Ze zijn naast richtinggevend voor de bouw en inzet, bedoeld als communicatiemiddel richting de belanghebbenden (Bayens, 2007; Paauwe, 2004; Rees, 2009; Rijsenbrij, 2005; Wagter, 2001). Afhankelijk van de belanghebbende aan wie de architectuur wordt gecommuniceerd kan de verschijningsvorm van de architectuur verschillen. Een voorbeeld is dat de belangrijkste principes worden geïllustreerd middels cartoons, om ze op die manier breed in de organisatie te verspreiden en draagvlak te creëren. Anderzijds kunnen de principes worden uitgeschreven met speciale sjablonen, waarbij ook aandacht wordt besteedt aan de achterliggende belangen, belanghebbenden en consequenties. Hierdoor krijgt de architectuur meer de vorm van een document. Een ander voorbeeld betreft de weergave van een architectuur aan de hand van modellen. Modellen kunnen een (vereenvoudigde) weergave zijn van de basisconcepten van de architectuur, gepresenteerd op een flip-over, zodat bestuurders zich hier een beeld van kunnen vormen. Modellen kunnen echter ook in meer detail en complexer, met onderlinge relaties tussen concepten zijn uitgewerkt, om ondersteuning te bieden aan impactanalyses bij het doorvoeren van veranderingen in informatiesystemen. Dit leidt tot grote overzichten (schema’s) op posterformaat. Belangrijk in het weergeven van een architectuur is dat de diverse verschijningsvormen onderling consistent en coherent zijn. Informatiearchitectuur vormt dus de vertaling van beleid en doelstellingen naar de daadwerkelijke inrichting en uitvoering. Informatiearchitectuur is daarom een tactisch instrument zoals weergegeven in Figuur 11: 'Positionering Enterprise Architectuur in het 9-vlaksmodel'. Het voordeel van informatiearchitectuur is dat het samenwerking en samenhang biedt tussen de verschillende lagen. Doordat informatiearchitectuur als onderdeel van Enterprise Architectuur deel uitmaakt van een integrale beschouwing op de inrichting van processen, informatie en technische infrastructuur, sluit zij aan op de informatiebehoefte (welke informatie, is op welk moment, op welke plek en in welke verschijningsvorm noodzakelijk) vanuit de ingerichte processen. 23

De activiteiten die door de informatiearchitect worden uitgevoerd in het informatiearchitectuurvlak, zijn gericht op het vertalen van het informatiebeleid naar principes en modellen die de inrichting van de informatievoorziening beschrijven. Hierbij is de informatiearchitectuur een afgeleide van het informatiebeleid. De activiteit in het informatiearchitectuurvlak is derhalve gericht op het uitvoeren van de wensen, behoeften en vereisten uit de aangrenzende vlakken. Om de inrichting en inzet van informatiearchitectuur binnen organisaties te verduidelijken, wordt het voorbeeld uit Figuur 9: 'Rapportage van alternatieven.' gebruikt. Het voorbeeld betrof een analyse van alternatieven waarbij het eerste alternatief (1) een reductie van personeel op de helpdesk betrof en het tweede alternatief (2) het opstarten van het internetafzetkanaal is. Beide analyses van de alternatieven kenmerken zich door een verschil in detail. Het eerste alternatief beschikt over nauwelijks details, terwijl het tweede alternatief beschikt over veel details.

Figuur 12: 'Informatiearchitectuur in het traditionele besluitvormingsproces'

24

Inmiddels heeft de CIO aangegeven bij alternatief 1 geen gebruik te hebben gemaakt van informatiearchitectuur en bij alternatief 2 wel gebruik gemaakt te hebben van informatiearchitectuur. Bij alternatief 2 heeft het informatiearchitectuurvlak in een advies aangegeven wat het effect is van het mogelijke besluit op de omliggende vlakken. In Figuur 12: 'Informatiearchitectuur in het traditionele besluitvormingsproces' wordt duidelijk hoe alternatief 2 tot stand is gekomen. Bij de analyse en evaluatie van de alternatieven is aan het informatiearchitectuurvlak gevraagd wat de alternatieven voor gevolgen hebben (zie pijl 1). Hier is een antwoord op gekomen door het informatiearchitectuurvlak in de vorm van een evaluatierapport (pijl 2). Dit evaluatierapport is via het informatiebeleidsvlak, terecht gekomen bij het organisatiebeleidsvlak. Indien het bestuur kiest voor het tweede alternatief, zal dit via de CIO bij het informatiearchitectuurvlak terecht komen. In dit geval zal de informatiearchitect voor terugkoppeling zorgen naar de omliggende vlakken. Dit kan in ons voorbeeld resulteren in de volgende acties: • Elk product moet een uniek nummer krijgen. Dit nummer is de sleutel tot een selectie gegevens over eigenschappen van het product, waaronder de locatie in het verkoop- en het leveringsproces. Communiceer dit binnen de tactische laag. • Een klant moet geïdentificeerd worden en krijgt op basis van het ordernummer inzicht in zijn bestelling, of op basis van het productnummer inzicht in voorraden. Communiceer dit richting de operationele laag. • Bestelling en betaling moeten via een beveiligde verbinding. Communiceer dit richting de operationele laag. We zien nu dat informatiearchitectuur een adviserende rol speelt binnen het besluitvormingsproces. 3.3.2 Antwoord op deelvraag 2 Het doel van paragraaf 3.3 is een antwoord te geven op de tweede deelvraag van het onderzoek: Hoe kan informatiearchitectuur worden ingezet om richting te geven aan de inrichting van de informatievoorziening? Indien informatiearchitectuur wordt ingezet bij het besluitvormingsproces kan het dienen als een adviserend middel. Informatiearchitectuur zorgt ervoor dat de alternatieven in kaart worden gebracht. Informatiearchitectuur brengt samenhang en samenwerking waardoor het mogelijk is om de consequenties van een alternatief beter in te schatten.

3.4 Organisatiebeleid en informatiearchitectuur De vlakken organisatiebeleidsvlak, informatiebeleidsvlak en informatiearchitectuurvlak zijn besproken in paragraaf 3.1, 3.2 en 3.3. In deze paragraaf wordt de betrokkenheid ‘R’ tussen het organisatiebeleidsvlak en het informatiearchitectuurvlak verder uitgewerkt en gemodelleerd; zie: Figuur 13: 'Paragraaf 3.4'. Doel van deze paragraaf is een antwoord te geven op deelvraag drie van het onderzoek: In hoeverre draagt informatiearchitectuur als instrument bij aan het besluitvormingsproces?

25

Figuur 13: 'Paragraaf 3.4'

3.4.1 Informatiearchitectuur betrokken bij besluitvorming De betrokkenheid tussen het informatiearchitectuurvlak en het organisatiebeleidsvlak heeft de volgende voordelen: • Beslissingen worden in samenhang genomen; • De kwaliteit van de evaluatie van alternatieven wordt beter; • De kwaliteit van de informatiearchitectuur zal verbeteren door de betrokkenheid. In Figuur 12: 'Informatiearchitectuur in het traditionele besluitvormingsproces', wordt een voorbeeld gegeven waarbij het informatiebeleidsvlak alleen communiceert met het organisatiebeleidsvlak en bij de analyse van alternatieven geen consultatie plaatsvindt met het informatiearchitectuurvlak. In Figuur 14: 'Weergave directe betrokkenheid' is weergegeven dat bij de analyse van alternatieven een rol is weggelegd voor informatiearchitectuur. Hierdoor worden de voordelen van informatiearchitectuur optimaal ingezet. De essentie van dit figuur is te vatten in twee punten: • Het ontwikkelen en inventariseren van alternatieven is een activiteit die plaatsvindt in het informatiebeleidsvlak (resultaat = overzicht van alternatieven); • Het evalueren en analyseren van de alternatieven is een activiteit die plaatsvindt in het informatiearchitectuurvlak. (resultaat = rapportage van de evaluatie).

Figuur 14: 'Weergave directe betrokkenheid'

26

De reden dat gekozen is voor dit model is de volgende: informatiearchitectuur biedt een integraal overzicht van het informatielandschap, waaronder de informatiebehoefte, afhankelijkheden, complexiteit, onderhoud, kosten, etc. Dit zijn zaken die invloed hebben op de besluitvorming. Informatiearchitectuur wordt in dit geval ingezet als instrument dat bijdraagt aan een rationele besluitvorming. Voor de goede orde: de organisatiedoelstelling verandert dus niet door de invloed vanuit de informatiearchitectuur. Wat verandert is dat keuzes over de invulling van de organisatiedoelstelling in samenhang en rationaliteit worden genomen. Om goed te kunnen informeren ten aanzien van de alternatieven moet een informatiearchitectuur niet alleen toekomstvast zijn, maar ook flexibel om te kunnen waarborgen dat de ze goed aansluit bij de huidige ontwikkelingen. Hierbij is het noodzakelijk dat het organisatiebeleidsvlak informatie over de huidige ontwikkelingen aan het informatiearchitectuurvlak verstrekt. In Figuur 3: 'Afbakening 9-vlaksmodel' (zie hoofdstuk 2) is een lijn getrokken tussen beide vlakken om de betrokkenheid aan te duiden tussen beide vlakken. 3.4.2 Antwoord op deelvraag 3 Het doel van paragraaf 3.4 is een antwoord te geven op de derde deelvraag van het onderzoek: Op welke manier beïnvloeden het organisatiebeleid en de informatiearchitectuur elkaar? Informatiearchitectuur is een geschikt instrument om in te zetten bij het analyseren van alternatieven voor de besluitvorming. Hierdoor ontstaat de mogelijkheid om direct inzicht te krijgen in de gevolgen voor de informatievoorziening bij de keuze van een alternatief. Een goede informatiearchitectuurfunctie biedt inzicht in deze gevolgen, waardoor meer gefundeerd besluiten worden genomen. Een juiste positionering van de CIO-functie in relatie tot de CEO en de informatiearchitect is hierbij van belang.

27

Hoofdstuk 4 Informatiearchitectuur bij de besluitvorming in de praktijk In dit hoofdstuk worden de resultaten van het praktijkonderzoek beschreven. Eerst wordt in paragraaf 4.1 de aanpak toegelicht die gehanteerd is bij de uitvoering van het onderzoek, gevolgd door een beschrijving van de resultaten in paragraaf 4.2.

4.1 Aanpak praktijkonderzoek Het praktijkonderzoek is uitgevoerd door het houden van interviews. De interviews zijn gehouden onder een drietal groepen; de architecten, auditors en de bestuurders, i.e. CIO’s. In dit hoofdstuk zijn alleen de resultaten van bestuurders en architecten uitgewerkt. Voor deze twee groepen is gekozen, omdat dit de actoren zijn die een rol spelen in de drie vlakken die binnen de scope van dit onderzoek vallen (zie hoofdstuk 2). De interviews hebben plaatsgevonden in de periode september 2008 – april 2009. De resultaten zijn afgestemd met de betrokkenen. Bijlage D Lijst van interviews bevat een overzicht van de geïnterviewden. Gezien het geringe aantal geïnterviewden willen wij benadrukken dat de gegevens die hieruit voortkomen een samenvattende visie beschrijft van experts uit het vakgebied. Hieruit kunnen geen empirische conclusies worden getrokken. Bij het afnemen van de interviews zijn aan de geïnterviewden gesloten vragen voorgelegd. De gesloten vragen moeten leiden tot een antwoord op de vierde deelvraag van het onderzoek: In hoeverre draagt informatiearchitectuur als instrument bij aan het besluitvormingsproces? Om een adequaat antwoord op deze deelvraag te geven moet inzichtelijk worden gemaakt op welke wijze in de praktijk invulling gegeven wordt aan de drie vlakken (organisatie- en informatiebeleidsvlak en informatiearchitectuurvlak). Verder wordt inzicht verkregen over de betrokkenheid tussen het informatiearchitectuurvlak en het organisatiebeleidsvlak. Daarom zijn vragen gesteld die betrekking hebben op de activiteiten (verandering) in het organisatiebeleidsvlak en het informatiearchitectuurvlak. Verder zijn de kenmerken van de betrokkenheid tussen het organisatiebeleidsvlak en het informatiearchitectuurvlak onderzocht. Iedere gesloten vraag bestaat uit twee delen, waarop de geïnterviewde een bevestigend of ontkennend antwoord kon geven: a. wordt de gesloten vraag in de theorie bevestigd, danwel ontkend (Ja/Nee)? b. wordt de gesloten vraag in de praktijk onderkend, of niet (Ja/Nee)? Het stellen van gesloten vragen is een krachtige methode die het mogelijk maakt resultaten onderling te vergelijken. Hierdoor is het mogelijk om een breed gedragen beeld te krijgen van de visie van architecten en bestuurders op de waarde van informatiearchitectuur als instrument bij de besluitvorming. Het nadeel van gesloten vragen is dat de keuzemogelijkheden voor de geïnterviewden gereduceerd worden tot een tweetal mogelijkheden. Hierdoor is weinig ruimte om antwoorden te nuanceren. Daarom zijn de geïnterviewden in de gelegenheid gesteld om per vraag een toelichting op het antwoord te geven. Hoewel de toelichtingen op de gesloten vragen minder goed bruikbaar zijn voor statistische doeleinden bevatten zij veel inzichten over de onderhavige problematiek. De gesloten vragen die aan de geïnterviewden zijn voorgelegd zijn weergegeven in Tabel 1: 'Gesloten vragen'.

28

Tabel 1: 'Gesloten vragen'

# Onderwerp

#

Gesloten vraag

1

1.1

Wordt de Informatiearchitectuur aangepast op basis van het wijzigen van de organisatiedoelstelling?

1.2

Wordt bij wijzigingen van organisatiedoelstellingen getoetst of de wijzigingen passen binnen de informatiearchitectuur?

2.1

Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen?

2.2

Is het wenselijk dat een IA, de beleidsdoelstellingen beïnvloedt?

3.1

Wordt betrokkenheid vereist vanuit beide vlakken bij het initiëren van een wijziging binnen één van de vlakken?

3.2

Moet toetsing plaatsvinden op de impact (bijvoorbeeld vanuit een risico-inventarisatie) van de wijzigingen in de informatiearchitectuur?

2

3

Organisatiebeleidsvlak

Informatiearchitectuurvlak

Betrokkenheid R

4.2 Beeld van de betrokkenheid van informatiearchitectuur bij besluitvorming In deze paragraaf wordt een overzicht gegeven van de opinie van bestuurders en architecten met betrekking tot de betrokkenheid tussen organisatiebeleid en informatiearchitectuur. Hierbij worden eerst de resultaten van de bestuurders besproken in 4.2.1 Beeld van bestuurders, waarna in 4.2.2 Beeld van architecten een overzicht van de resultaten van de architecten wordt gegeven. Telkens wordt eerst de vraag genoemd, waarna een samenvatting van de gegeven antwoorden volgt. 4.2.1 Beeld van bestuurders 1.1 Wordt de informatiearchitectuur aangepast op basis van het wijzigen van de organisatiedoelstellingen? In het organisatiebeleidsvlak worden de producten en diensten van de organisatie in hun onderlinge samenhang beschreven. Dit zijn in feite de doelstellingen van de organisatie. Informatiearchitectuur geeft de informatiestromen weer tussen deze producten en diensten en vormt de basis waarop zij worden vervaardigd. De informatiearchitectuur is dus een afgeleide van de business architectuur en is daarmee dus ook een afgeleide van de doelstellingen van de organisatie. Wijzigingen in de organisatiedoelstellingen moeten leiden tot wijzigingen in de informatiearchitectuur. 1.2 Wordt bij wijzigingen van organisatiedoelstellingen getoetst of de wijzigingen passen binnen de informatiearchitectuur? Het is de taak van de architect om het bestuur te adviseren over oplossingen die kunnen bijdragen tot het behalen van de organisatiedoelstellingen. Hierbij is onder meer het scheppen van een realistisch verwachtingspatroon van belang. In de praktijk vindt dit vaak onvoldoende plaats, waardoor een te hoge verwachting bestaat van de mogelijkheden van techniek. Hierdoor ontbreekt een volledig uitgangspunt voor het plannen van ontwikkelingen. De oorzaak hiervan ligt enerzijds bij de architectengemeenschap, die zich te vaak opstelt als een inhoudelijk bekwame groep mensen die in staat is om goede architectuur te ontwikkelen, maar niet in staat is zich goed te kunnen verdiepen in de vraagstukken van het bestuur van een organisatie. Anderzijds is het van belang dat de opdrachtgevers (bestuurders) voldoende op de hoogte zijn van de mogelijkheden van architectuur en de wijze waarop architectuur ingezet kan worden. Ook hier ligt echter een verantwoordelijkheid van de architect, die de bestuurder zal moeten voorlichten en adviseren.

29

Het proces van het doorvoeren van wijzigingen in de organisatiedoelstellingen en het beleid wordt beschreven aan de hand van twee PDCA-cycli. Op organisatiebeleidsniveau is sprake van een PDCA-cyclus (A) en op informatiearchitectuurniveau is sprake van een PDCA-cyclus (B). Op organisatieniveau wordt het organisatiebeleid en de ontwerparchitectuur opgezet in de planfase, in de do-fase wordt dit naar de architectuur vertaald, waardoor vanuit deze fase (doA) de PDCA-cyclus op niveau B start. In cyclus B wordt de informatiearchitectuur geraadpleegd en (indien dit wenselijk is) gewijzigd. Hierbij worden de wijzigingen gepland (Plan) op basis van gewijzigde doelstellingen, geïmplementeerd (Do), gevalideerd (Check) en uitgevoerd (Act). Resultaten worden teruggekoppeld, zodat in de check-fase van Cyclus A de feedback kan worden gebruikt om eventueel bij te sturen (act-A). Het gevolg van een wijziging in de doelstellingen van de organisatie is veelal dat een nieuwe werkwijze in gang wordt gezet. Hierbij wordt niet gekeken naar de mogelijkheden, noodzaak en risico’s die vanuit de informatiearchitectuur kunnen worden onderkend. Een dergelijke analyse zou wenselijk zijn. Concreet blijft een toetsing dus achterwege. 2.1 Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen? Uitgangspunt bij het doorvoeren van wijzigingen in het organisatiebeleidsvlak is de strategische koers die het bestuur uitzet. Informatiearchitectuur biedt kaders waarbinnen de koers gevaren wordt. Informatiearchitectuur is een middel en nooit het doel. Het bestuur beslist over de koers van de organisatie. 2.2 Is het wenselijk dat een informatiearchitectuur de organisatiedoelstellingen beïnvloedt? Het organisatiebeleid (of bedrijfsbeleid) is leidend en hier ligt ook de beschikkende rol. Zowel het organisatiebeleid als de informatiearchitectuur zijn onderhevig aan wijzigingen, geïnitieerd door verschillende factoren (de PEST-, c.q. STOEP-criteria)2. Wijzigingen in het organisatiebeleidsvlak worden doorgevoerd naar de informatiearchitectuur. Hierdoor wordt de wijziging vastgelegd in de informatiearchitectuur. De informatiearchitectuur is in dit geval een borgingsinstrument. Naast borging van doelstellingen en de daaruit voortvloeiende beleidskeuzes is terugkoppeling van de gevolgen van deze doelstellingen en keuzes tussen het informatiearchitectuurvlak en het organisatiebeleidsvlak mogelijk. Deze resultaten kunnen dienen als informatie ten behoeve van de besluitvorming over de inrichting van een projectenpportfolio, waardoor informatiearchitectuur als instrument bij deze besluitvorming kan worden ingezet. Bovendien ontstaat vanuit een analyse van de behoeftes, risico’s en beschikbare middelen die vanuit de informatiearchitectuur kunnen worden beschouwd, de mogelijkheid om de problematiek van voorgenomen beleid aan het management inzichtelijk te maken. Op deze manier kan het management een geïnformeerde keuze maken haar beleid op een bepaalde wijze in werking te laten stellen. Deze terugkoppeling vindt echter beperkt plaats, waardoor de inzet van architectuur als instrument bij de besluitvorming onvoldoende plaats vindt. In de praktijk komt het voor dat van bovenaf een werkwijze wordt opgelegd die van invloed is op de informatiearchitectuur, zonder dat deze geraadpleegd wordt. Dit kan leiden tot een onbedoeld of onwenselijk gebruik van de informatieobjecten.

2

STOEP is een afkorting voor Sociale, Technische, Organisatorische, Economisch en Politieke factoren, PEST neemt de (interne) Organisatorische factoren niet mee.

30

3.1 Wordt betrokkenheid vereist vanuit beide vlakken bij het initiëren van een wijziging binnen één van de vlakken? Architectuur gaat om het proces en niet om het product. Het tot stand komen van de architectuur is derhalve veel belangrijker dan het beschrijvend document dat hiervan het resultaat is. Alle belanghebbenden dienen betrokken te zijn bij deze totstandkoming. Betrokkenheid vanuit beide vlakken is dus van belang. Bestuurders moeten zich bewust zijn van hoe je met architectuur moet werken. Hier ligt een verantwoordelijkheid voor architecten. Zij moeten bestuurders hierover voorlichten. Voorwaarde is wel dat het een inhoudelijk relevant onderwerp betreft. In de praktijk is het te vaak zo dat architecten ‘vooral mooie schema’s tekenen’, maar onvoldoende hierover communiceren met de belanghebbenden, waardoor bewustzijn over het onderwerp bij het bestuur uitblijft. In het organisatiebeleidsvlak is beperkte kennis aanwezig ten aanzien van de informatiearchitectuur. In de praktijk blijkt dat informatiearchitectuur weinig geïntegreerd wordt in het organisatiebeleid. Mogelijke redenen hiervoor zijn de complexiteit van IT en de daarop gebaseerde informatiearchitectuur. Verder ontbreekt het aan een directe prikkel om de informatiearchitectuur te betrekken bij de invulling van strategische wijzigingen. 3.2 Moet toetsing plaatsvinden op de impact (bijvoorbeeld vanuit een risico-inventarisatie) van de wijzigingen in de informatiearchitectuur? Wijzigingen worden meestal doorgevoerd middels projecten. Bij het starten van projecten kan beoordeeld worden of het project past binnen de principes van de architectuur. Indien nodig kunnen aspecten van het project worden aangepast. De doelstellingen blijven in principe ongewijzigd, aangezien deze afkomstig zijn uit het organisatiebeleidsvlak. De planningshorizon van verschillende organisatorische keuzes die gemaakt moeten wordt steeds korter. Tegelijkertijd wordt de planningshorizon voor grote IT-projecten steeds langer (denk hierbij aan complexe ERP-implementaties). Wanneer organisaties de risico’s (lange en korte termijn) niet in samenhang benaderen blijven risicogebieden onafgedekt. Sturen op risico’s vanuit een integrale risicoaanpak verdient de voorkeur aangezien dit de samenhang bewaakt tussen de verschillende maatregelen die getroffen worden. Een informatiearchitectuur biedt een integraal overzicht van de relevante informatieobjecten waar risico’s (kunnen) liggen. In deze hoedanigheid kan informatiearchitectuur als hulpmiddel dienen om de samenhang van de risicobenadering te bewaken. 4.2.2 Beeld van architecten 1.1 Wordt de informatiearchitectuur aangepast op basis van het wijzigen van de organisatiedoelstellingen? Wijzigingen in de organisatiedoelstellingen ontstaan onder invloed van ontwikkelingen die zich voordoen binnen (intern) en buiten (extern) de organisatie. Deze wijzigingen kunnen leiden tot wijzigingen in de Enterprise Architectuur. Indien de wijzigingen in de organisatiedoelstellingen een belangrijk informatiecomponent bevatten, leidt dit tot wijzigingen in de informatiearchitectuur. In het organisatiebeleidsvlak wordt sturing gegeven aan de organisatie. De strategie bepaalt waar de organisatie uiteindelijk naartoe moet gaan. De wijze waarop, wordt beschreven in de architectuur. In een organisatie met een volwassen architectuurfunctie kan deze functie meedenken en adviseren over de door te voeren wijzigingen. Als meerdere manieren zich aandienen om de doelen te bereiken kan onder architectuur bepaald worden wat de beste

31

oplossing is. Voor vraagstukken die effect hebben op de informatiehuishouding is dit de informatiearchitectuur. In de praktijk blijkt vaak dat een architectuur ‘in beton gegoten’ wordt en dus niet kan worden gewijzigd. De geïnterviewden omschreven het als volgt: ‘In de praktijk wordt de architectuur als statisch object beschouwd. Hierdoor verliest de architectuur zijn waarde, omdat wijzigingen in een organisatie noodzakelijk zijn.’ Architectuur moet verandering ondersteunen. Nieuw beleid moet uitgevoerd kunnen worden. De architectuur moet zonodig op deze wijzigingen worden aangepast. 1.2 Wordt bij wijzigingen van organisatiedoelstellingen getoetst of de wijzigingen passen binnen de informatiearchitectuur? Bij een beleidswijziging zou de CIO zich moeten laten informeren door de informatiearchitect over de gevolgen van de gewijzigde doelstelling. Architectuur biedt immers kaders waarbinnen nieuwe ontwikkelingen, die op verschillende niveaus (organisatie, informatie en techniek) plaatsvinden, kunnen worden getoetst. In de praktijk communiceren bestuurders en architecten onvoldoende met elkaar. Een reden hiervoor is dat architecten vaak niet de taal van de bestuurder spreken en bestuurders niet de inhoudelijke kennis hebben van architecten. Zonder advies van de informatiearchitect maken bestuurders beslissingen waarbij eigenschappen en vereisten vanuit de informatievoorziening geen rol hebben gespeeld. Toetsing aan de architectuur komt hierdoor weinig voor. Een geïnterviewde beschrijft het nut van toetsen aan de architectuur als volgt: “Architectuur is als de kiel van een zeilschip. Ze brengt rust in de koers van de organisatie en voorkomt ongecontroleerd heen en weer slingeren. Hierdoor wordt de organisatie stuurbaar.” De fase waarin getoetst wordt of de wijziging van de organisatiedoelstelling past binnen de informatiearchitectuur is bij het opstarten van projecten. Borging en toetsing aan informatiearchitectuur moet plaatsvinden binnen de normale managementcyclus. In de praktijk blijkt dat de volwassenheid van architectuur binnen programma’s of projecten vaak te laag is (onvoldoende bruikbare kaders biedt) om te kunnen spreken van een reële toetsing. Een organisatie kan zich afvragen of het wenselijk is dat wijzigingen worden getoetst aan architectuur. Het project moet het namelijk ook toelaten om getoetst te worden aan een architectuur. Zo voegt een toetsing het meeste toe wanneer het geen unieke of onderscheidende projecten betreft, maar gemeenschappelijk gebruikte voorzieningen. 2.1 Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen? Uitgangspunt bij het doorvoeren van wijzigingen is het organisatiebeleid. Het bestuur beslist over de koers van de organisatie. Architectuur kan hierin adviseren aangezien het kaderstellend is, maar is niet bepalend. Informatiearchitectuur kan dus de wijze waarop invulling wordt gegeven aan de beleidsdoelstellingen beïnvloeden, maar niet bepalen. Informatiearchitectuur vindt plaats op tactisch niveau en voegt alleen wat toe als het een onderwerp betreft dat een informatiedragend karakter heeft. 2.2 Is het wenselijk dat een IA, de organisatiedoelstellingen beïnvloedt? Beïnvloeding van de organisatiedoelstellingen is alleen mogelijk indien de reputatie en volwassenheid van de architectuurfunctie goed is. De architectuurfunctie moet een realistisch verwachtingspatroon schetsen bij het bestuur. Informatiearchitectuur heeft dan een begeleidend vermogen richting de beleidsvorming.

32

Middels toetsing van beleidswijzigingen aan de informatiearchitectuur kunnen de gevolgen van de wijziging inzichtelijk gemaakt worden. Dit vindt in de praktijk echter zelden plaats. De doelstelling op zich wordt niet veranderd, wel de weg naar het doel toe. 3.1 Wordt betrokkenheid vereist vanuit beide vlakken bij het initiëren van een wijziging binnen één van de vlakken? In een organisatie met een volwassen architectuurfunctie is helder beschreven wie waarvoor verantwoordelijk is, wie de uitvoering op zich neemt en welke mensen vanuit een adviserende rol een bijdrage aan de architectuur leveren. Bij een volwassen inzet van architectuur wordt de architectuur beheerd. Het is een levend document dat meegroeit met de wijzigende organisatiedoelstellingen. Architectuur kan alleen worden beheerd als het bestuur in voldoende mate bewust is van architectuur en als de architectuurfunctie haar adviesrol kan vervullen. Verantwoordelijkheid voor het beheer moet ook zijn belegd. Verantwoordelijkheid voor de architectuur en het beheer/onderhoud moet zijn belegd binnen de lijn. Het is immers de lijnmanager die eigenaar is van de systemen en processen, hij dient daarom ook de eigenaar te zijn van de informatiearchitectuur. Bij het doorvoeren van een beleidswijziging moet hij de wijziging (laten) toetsen aan de informatiearchitectuur. De architect heeft een uitvoerende functie in de zin dat hij de informatiearchitectuur opzet. Hij vertaalt de wensen van de bestuurder naar de principes, representaties en concepten van de informatiearchitectuur. Daarnaast heeft hij een adviserende functie richting de lijnmanager ter ondersteuning van zijn keuzes. Doordat enerzijds architectuur nog vaak vanuit IT wordt benaderd en anderzijds een informatiearchitectuur te star wordt gehanteerd, vindt samenwerking tussen bestuur en architecten (zoals hierboven beschreven) in de praktijk onvoldoende plaats. Het is daarom van belang dat het bestuur zich committeert aan de informatiearchitectuur en het gebruik van informatiearchitectuur binnen de organisatie communiceert. Daarnaast moeten architecten bestuurders voorzien van informatie die ze ten behoeve van de besluitvorming nodig hebben; geen inhoudelijke details, maar voldoende diepgang om gefundeerde besluiten te kunnen nemen. 3.2 Moet toetsing plaatsvinden op de impact (bijvoorbeeld vanuit een risico-inventarisatie) van de wijzigingen in de informatiearchitectuur? Architectuur is bij uitstek geschikt om te fungeren als instrument bij impact-analyse van managementbesluiten. Doordat architectuur een referentie biedt waaraan beslissingen getoetst kunnen worden, is het een middel waarmee beslissingen in samenhang kunnen worden genomen. Bovendien kan de impact van deze beslissingen in samenhang worden onderkend. In de praktijk zien we dat informatiearchitectuur slechts beperkt hiervoor ingezet wordt. Een mogelijke invulling van de toetsende rol van architectuur vindt plaats middels een architect board. Projecten kunnen door dit board worden getoetst aan de kaders van de architectuur. Wanneer het project niet bijdraagt aan het behalen van de organisatiedoelstellingen, wordt het project niet goedgekeurd. (Informatie)architectuur wordt op deze manier ingezet om meer samenhang te creëren tussen de verschillende projecten.

33

Hoofdstuk 5 Vergelijking theoretische beschouwing en praktijk In dit hoofdstuk wordt geanalyseerd hoe de inzet van informatiearchitectuur in het besluitvormingsproces, zoals beschreven in hoofdstuk 3, zich verhoudt tot de praktijk uit hoofdstuk 4. In dit hoofdstuk worden de antwoorden op de stellingen naast elkaar gezet en visueel inzichtelijk gemaakt. Vervolgens worden de resultaten van bestuurders en architecten onderling vergeleken. Hierdoor ontstaat een beeld van de inzet van architectuur als instrument bij de besluitvorming in de praktijk en de ervaring die architecten en bestuurders hiermee hebben.

5.1 Vergelijking resultaten bestuurders en architecten In de onderstaande tabel is weergegeven wat de antwoorden op de zes stellingen zijn van de verschillende personen die geïnterviewd zijn. Deze tabel is opgesteld om de verschillen tussen architecten en bestuurders in beeld te brengen. Per deelvraag zijn twee vragen gesteld: Validatie van de theorie en ervaring uit de praktijk. De opzet hiervan is enerzijds dat geïnterviewden kunnen aangeven of zij zich in theorie kunnen vinden in de voorgelegde stelling, waardoor de theorie uit hoofdstuk 3 wordt gevalideerd. Anderzijds wordt op deze wijze inzichtelijk gemaakt of de geïnterviewden deze theoretische werkwijze in de praktijk ook ervaren. Tabel 2: 'Overzicht antwoorden geïnterviewden' #

Onderwerp

#

Gesloten vraag

Architect

Bestuurder

1

Organisatiebeleidsvlak

1.1

1.1 Wordt de Informatiearchitectuur aanpast op basis van het wijzigen van de organisatiedoelstelling?

Th

Pr.

Th

Pr.

Juist

5

2

4

2

Onjuist

0

3

0

2

Th

Pr.

Th

Pr.

Juist

5

1

4

2

Onjuist

0

4

0

2

Th

Pr.

Th

Pr.

Juist

1

1

1

0

Onjuist

4

4

3

4

Th

Pr.

Th

Pr.

Juist

5

1

4

0

Onjuist

0

4

0

4

Th

Pr.

Th

Pr.

Juist

5

1

4

0

Onjuist

0

4

0

4

Th

Pr.

Th

Pr.

Juist

5

1

4

1

Onjuist

0

4

0

3

1.2

2

Informatiearchitectuurvlak

2.1

2.2

3

Betrokkenheid R

3.1

3.2

1.2 Wordt bij wijzigingen van organisatiedoelstellingen getoetst of de wijzigingen passen binnen de informatiearchitectuur? Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen? Is het wenselijk dat een IA, de beleidsdoelstellingen beïnvloedt? Wordt betrokkenheid vereist vanuit beide vlakken bij het initiëren van een wijziging binnen één van de vlakken? Moet toetsing plaatsvinden op de impact (bijvoorbeeld vanuit een risico-inventarisatie) van de wijzigingen in de informatiearchitectuur?

34

Om de resultaten visueel weer te geven zijn twee staafdiagrammen gemaakt (Figuur 15: 'Theoretische validatie' en Figuur 16: 'Praktische validatie'). De zes vragen zijn hierin horizontaal uitgezet. Verticaal is weergegeven hoeveel procent van de ondervraagden een antwoordmogelijkheid heeft gekozen. Om analyse mogelijk te maken kunnen de antwoorden worden ingedeeld in drie categorieën: • eens • oneens • onbepaald Om met enige betrouwbaarheid een algemene mening per groep (architecten en bestuurders) te definiëren is gekozen voor een significant verschil tussen categorieën ‘eens’ en ‘oneens’ van 40% (= 2 personen). Als niet aan deze voorwaarde wordt voldaan valt een antwoord in de categorie ‘onbepaald’ Gebruikmakend van deze verdeling tekent zich voor de meeste stellingen een significante meerderheid af voor eens of oneens.

Figuur 15: 'Theoretische validatie'

Uit Figuur 15: 'Theoretische validatie' blijkt dat architecten en bestuurders het vanuit een theoretisch oogpunt eens zijn over de stellingen. Alleen uit de resultaten bij vraag 2.1 blijken bestuurders het oneens zijn en geldt voor architecten dat de mening onbepaald is. Vraag 2.1 luidde: Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen? Uit de toelichting op de antwoorden die zijn gegeven (Hoofdstuk 4) blijkt dat zowel architecten als bestuurders van mening zijn dat het beleid van het bestuur leidend is en dat architectuur hieraan ten dienst staat. In vraag 2.2 geven zowel bestuurders als architecten aan van mening te zijn dat beïnvloeding van het beleid door architectuur wel mogelijk is, maar dat dit vanuit het organisatiebeleidsvlak plaatsvindt. De conclusie die uit de resultaten van de theoretische validatie kan worden getrokken is dat het model, zoals dat is gepresenteerd en uitgewerkt in het derde hoofdstuk, zich goed leent voor de beschrijving van de inzet van informatiearchitectuur in het besluitvormingsproces. Verder wordt de visie (zoals weergegeven in hoofdstuk 3) op informatiearchitectuur in combinatie met besluitvorming gedeeld. Naast de theoretische validatie, zijn dezelfde zes vragen gesteld aan de geïnterviewden, dit keer benaderd vanuit de praktijk. De vraag was of de ervaring met architectuur in de praktijk

35

vergelijkbaar is met de theorie. Het doel hiervan is om meer inzicht te krijgen in de feitelijke inzet van informatiearchitectuur als instrument bij de besluitvorming. Figuur 16: 'Praktische validatie' is een weergave van de resultaten van deze vragenronde.

Figuur 16: 'Praktische validatie'

Uit Figuur 16: 'Praktische validatie', blijkt dat bestuurders en architecten het eens zijn over de voorgelegde stellingen. Hiermee geven beide groepen aan dat in de praktijk niet gewerkt wordt volgens de theorie zoals beschreven in hoofdstuk 3. Over vraag 1.1 zijn zowel de meningen van architecten als van bestuurders verdeeld. Bij vraag 1.2 is voor bestuurders geen eenduidige mening af te leiden. Opvallend in dit overzicht is dat vanuit de praktijk bezien de ervaringen van bestuurders en architecten niet in overeenstemming zijn met de theorie. Vanuit de theorie zijn bestuurders en architecten compleet eensgezind over de wijze waarop informatiearchitectuur moet worden ingezet. Uit de praktische ervaringen blijkt dat informatiearchitectuur niet ingezet wordt op de manier waarop bestuurders en architecten dit zouden willen. Dit verschil in ervaring is interessant om nader te analyseren.

5.2. Analyse resultaten bestuurders Allereerst wordt een analyse van de antwoorden van bestuurders gepresenteerd: 1.1 Wordt de informatiearchitectuur aangepast op basis van het wijzigen van de organisatiedoelstellingen? Antwoord: Onbepaald. Analyse: Uit de theorie blijkt dat informatiearchitectuur flexibel moet zijn ten aanzien van wijzigingen in de organisatiedoelstellingen en dat informatiearchitectuur altijd dienend is aan de bedrijfsdoelstellingen. In de praktijk blijkt dat deze ervaring niet overal gedeeld wordt. Een deel van de bestuurders zien informatiearchitectuur als een bruikbaar middel bij het stroomlijnen van de verschillende projecten binnen een organisatie. De combinatie met portfoliomanagement komt veel voor. Informatiearchitectuur kan in dit geval geraadpleegd worden bij het nemen van beslissingen over het al dan niet uitvoeren van programma’s en projecten. Een voorwaarde om als middel in het besluitvormingsproces te fungeren is dat de informatie-

36

architectuur flexibel is en een afspiegeling is van de huidige situatie in de organisatie. Een deel van de bestuurders geeft aan dat deze flexibiliteit niet aanwezig is in de praktijk. 1.2 Wordt bij wijzigingen van organisatiedoelstellingen getoetst of de wijzigingen passen binnen de informatiearchitectuur? Antwoord: Onbepaald. Analyse: Wederom zijn de ervaringen uit de praktijk verdeeld en deels afwijkend van de theorie. Bestuurders vinden het de taak van de architect om toetsing uit te voeren aangezien bij hen het beheer van de informatiearchitectuur ligt. Bestuurders zien een scheiding in de rollen van de bestuurder en de architect. Informatiearchitectuur wordt gezien als de verantwoordelijkheid van de architect. De rol die een architect zou moeten spelen is voornamelijk adviserend richting bestuurders, zodat zij de benodigde informatie voor hun besluitvorming ontvangen. Een deel van de bestuurders is echter kritisch ten aanzien van het inlevingsvermogen van architecten en geeft aan onvoldoende ondersteuning te ervaren vanuit de informatiearchitectuurfunctie bij hun besluitvorming. 2.1 Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen? Antwoord: Oneens. Analyse: Informatiearchitectuur wordt gezien als kaderstellend, echter de betrokkenheid bij de besluitvorming is beperkt. Bestuurders vinden het van belang dat beslissingen worden genomen binnen kaders van de informatiearchitectuur, deze kaders zijn echter niet doorslaggevend. In de praktijk blijkt werken onder architectuur moeizaam. Verschillende architecturen zijn omvangrijk en lastig interpreteerbaar voor een bestuurder. 2.2 Is het wenselijk dat de informatiearchitectuur, de organisatiedoelstellingen beïnvloedt? Antwoord: Oneens. Analyse: Bestuurders ervaren informatiearchitectuur als moeilijk interpreteerbaar en onnodig complex. Door de complexiteit wordt informatiearchitectuur onvoldoende ingezet als adviserend middel. De informatiewaarde van informatiearchitectuur is voor de bestuurder laag. De beïnvloeding wordt bepaald door de bruikbaarheid van informatiearchitectuur. Als de bruikbaarheid van de adviezen vanuit de informatiearchitectuur hoog is, zal het gewicht dat wordt toegekend aan informatiearchitectuur binnen de organisatie groter worden. 3.1 Wordt betrokkenheid vereist vanuit beide vlakken bij het initiëren van een wijziging binnen één van de vlakken? Antwoord: Oneens. Analyse: Van betrokkenheid vanuit beide vlakken is in de praktijk weinig zichtbaar. Om deze betrokkenheid te vergroten moet de architect zich verder ontwikkelen in het communiceren richting bestuurders. De bestuurder moet beter geïnformeerd worden over informatiearchitectuur en de toegevoegde waarde ervan tijdens de besluitvorming. 3.2 Vindt toetsing plaats op de impact (bijvoorbeeld vanuit een risico-inventarisatie) van de wijzigingen in de informatiearchitectuur? Antwoord: Oneens. Analyse: Bij de start van een project vindt toetsing onvoldoende plaats. Voordat besloten wordt een project van start te laten gaan is het van belang om te toetsen of het past binnen de strategie van de organisatie. Dit wordt vaak gedaan in het kader van portfoliomanagement. Denk hierbij bijvoorbeeld aan het business case model. Architectuur kan een adviserende rol spelen bij deze besluitvorming. In de praktijk wordt veel geëxperimenteerd met architect37

boards. Een succesfactor hierbij is de volwassenheid van de architectuur. Op dit moment is de volwassenheid van architectuur te beperkt om een goede rol hierin te spelen.

5.3. Analyse resultaten architecten Ook de antwoorden van de architecten worden nader beschouwd: 1.1 Wordt de informatiearchitectuur aangepast op basis van het wijzigen van de organisatiedoelstellingen? Antwoord: Onbepaald. Analyse: Hoewel consensus vanuit de theorie is dat een informatiearchitectuur flexibel moet zijn ten aanzien van wijzigingen in de organisatiedoelstellingen. Informatiearchitectuur is altijd dienend aan de bedrijfsdoelstellingen. Het blijkt dat in de praktijk de ervaring hierover verdeeld zijn. Informatiearchitectuur wordt door sommige architecten als star en inflexibel beschreven. Het aanpassen van de architectuur blijkt in de praktijk volgens een deel van de architecten vaak onvoldoende plaats te vinden. Architectuur is in dat geval een vaste inflexibele schets van de gewenste situatie. Hierdoor wordt verandering en de besluitvorming hierover onvoldoende ondersteund. 1.2 Wordt bij wijzigingen van organisatiedoelstellingen getoetst of de wijzigingen passen binnen de informatiearchitectuur? Antwoord: Oneens. Analyse: In de praktijk vindt een dergelijke toetsing zelden plaats. Architecten zijn van mening dat voldoende betrokkenheid aanwezig is van informatiearchitectuur bij de besluitvorming. Zij zien informatiearchitectuur als een instrument dat ingezet wordt bij bijvoorbeeld portfoliomanagement. Hierbij worden op basis van de informatiearchitectuur beslissingen genomen over het al dan niet initiëren van projecten en programma’s. Enkele organisaties trachten door een architectboard te installeren het toetsen van nieuwe projecten aan de architectuur verder door te voeren. Dergelijke initiatieven vinden nog beperkt plaats. 2.1 Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen? Antwoord: Oneens. Analyse: Informatiearchitectuur is uiteindelijk een afgeleide van de organisatiedoelstellingen. Architecten zijn van mening dat informatiearchitectuur een bijdrage levert aan de realisatie van de organisatiedoelstellingen. Deze dienende rol zorgt ervoor dat input vanuit het organisatiebeleidsvlak, maar ook de omliggende vlakken van essentieel belang is. Het is dus niet zo dat het organisatiebeleid wordt bepaald door de informatiearchitectuur. 2.2 Is het wenselijk dat een IA, de organisatiedoelstellingen beïnvloedt? Antwoord: Oneens. Analyse: Dit is wenselijk indien de informatiearchitectuur volwassen is en van toegevoegde waarde is. Architecten zien graag dat architectuur ingezet wordt binnen een organisatie. De beperkte rol van de architect in een organisatie is hen een doorn in het oog en wordt als voornaamste reden genoemd dat een dergelijke beïnvloeding momenteel niet plaats vindt. De algemeen geldende mening is dat toetsing plaats moet vinden bij nieuwe projecten aan de architectuur. Een architectboard is een middel om architectuur verder in te bedden in de organisatie. Als gekeken wordt naar de betrokkenheid van architectuur bij besluitvorming, dan wordt dit als minimaal ervaren. Uiteraard blijft het organisatiebeleid leidend.

38

3.1 Wordt betrokkenheid vereist vanuit beide vlakken bij het initiëren van een wijziging binnen één van de vlakken? Antwoord: Oneens. Analyse: bij een volwassen architectuurfunctie wordt vanuit beide vlakken betrokkenheid verwacht. Architecten beschouwen informatiearchitectuur als een schakel die adviserend richting het bestuur kan dienen. Een voorwaarde is dat architecten over voldoende informatie beschikt. Daarnaast dienen verantwoordelijkheden in voldoende mate te zijn uitgekristalliseerd. Verder is het van belang dat de architectuur wordt beheerd. Het beheer van architectuur is de verantwoordelijkheid van het bestuur en de architect. Architecten ervaren echter onvoldoende betrokkenheid vanuit het organisatiebeleidsvlak. De oorzaak van dit gebrek aan betrokkenheid is volgens architecten tweeledig. Ten eerste biedt de informatiearchitectuurfunctie niet de gewenste informatie voor bestuurders. Ten tweede zijn bestuurders zich onvoldoende bewust van de toegevoegde waarde van informatiearchitectuur. 3.2 Vindt toetsing plaats op de impact (bijvoorbeeld vanuit een risico-inventarisatie) van de wijzigingen in de informatiearchitectuur? Antwoord: Oneens. Analyse: Architectuur leent zich als toetsingsintrument binnen besluitvorming om te bepalen in welke mate een alternatief bijdraagt aan de organisatiedoelstellingen. Architecten zijn van mening dat met architectuur men in staat is om een gefundeerd advies te geven ten behoeve van de besluitvorming in het organisatiebeleidsvlak. Architecten betreuren het dat informatiearchitectuur in de praktijk slechts beperkt wordt ingezet als middel om de impact te bepalen.

5.4. Vergelijking tussen analyse van architecten en bestuurders De verschillen in resultaten zijn weergegeven bij de praktijkevaluatie Tabel 3: 'Vergelijking antwoorden architecten en bestuurders' Vraag

Antwoord bestuurder

Antwoord architect

1.1 Wordt de informatiearchitectuur aanpast op basis van het wijzigen van de organisatiedoelstellingen?

Onbepaald

Onbepaald

1.2 Wordt bij wijzigingen van organisatiedoelstellingen getoetst of de wijzigingen passen binnen de informatiearchitectuur?

Onbepaald

Oneens

2.1 Beïnvloeden wijzigingen in de informatiearchitectuur de beleidsdoelstellingen?

Oneens

Oneens

2.2 Is het wenselijk dat de informatiearchitectuur, de organisatiedoelstellingen beïnvloedt?

Oneens

Oneens

3.1 Wordt betrokkenheid vereist vanuit beide vlakken bij het initiëren van een wijziging binnen één van de vlakken?

Oneens

Oneens

3.2 Vindt toetsing plaats op de impact (bijvoorbeeld vanuit een risicoinventarisatie) van de wijzigingen in de informatiearchitectuur?

Oneens

Oneens

Opvallend is dat zowel architecten en bestuurders het op alle punten oneens zijn met de stellingen, benaderd vanuit de praktische inzet van architectuur. Immers, eerder is vastgesteld dat architecten en bestuurders in theorie een grotendeels vergelijkbaar beeld hebben van de wijze waarop informatiearchitectuur wordt ingezet. Hieruit is af te leiden dat bestuurders en architecten beiden beschikken over dezelfde theoretische kennis ten aanzien van de inzet van informatiearchitectuur als instrument bij de besluitvorming, maar een ander beeld hebben van de praktische inzet.

39

5.5. Antwoord op deelvraag 4 In paragraaf 4.2 Beeld van de betrokkenheid zijn de vragen beantwoord door architecten en bestuurders die een beeld moeten geven van de wijze waarop informatiearchitectuur kan worden ingezet tijdens het besluitvormingsproces ten einde de doelstellingen en uit het organisatiebeleid en de inrichting van de informatievoorziening op elkaar af te stemmen. Hiermee kan een antwoord worden gegeven op de vierde deelvraag van het onderzoek: In hoeverre draagt informatiearchitectuur als instrument bij aan het besluitvormingsproces? We hebben gezien dat informatiearchitectuur in theorie door zowel bestuurders als architecten beschouwd wordt als waardevol instrument dat gebruikt kan worden tijdens het besluitvormingsproces om de gevolgen van mogelijke alternatieven inzichtelijk te maken. Het organisatiebeleid en de doelstellingen die hieruit voortkomen worden als leidend beschouwd. Informatiearchitectuur wordt ingezet in het besluitvormingsproces om de inrichting van de informatievoorziening af te stemmen op deze doelstellingen. Doelstellingen uit het organisatiebeleid kunnen worden beïnvloed door informatiearchitectuur, maar blijven leidend. Zowel bestuurders als architecten achten betrokkenheid vanuit zowel het organisatiebeleidsvlak als het informatiearchitectuurvlak van belang. De positionering van de CIOfunctie ten opzichte van de CEO en de informatiearchitect speelt hierbij een centrale rol We zien echter tegelijkertijd dat de praktijk volgens zowel bestuurders als architecten weerbarstiger is. Deze conclusie is teruggekoppeld met de geïnterviewden. Uit de respons blijkt dat zij zich herkennen in het samengevatte beeld.

40

Hoofdstuk 6 Auditing van informatiearchitectuur In de voorgaande hoofdstukken is zowel vanuit de theorie als de praktijk informatiearchitectuur gepositioneerd als instrument dat kan bijdragen aan de besluitvorming over de inhoud van een projectportfolio voor IT-projecten. Als informatiearchitectuur op deze wijze wordt benut ontstaat de behoefte aan zekerheid over het object informatiearchitectuur in de context van besluitvorming. De IT-auditor is bij uitstek de aangewezen persoon om het ITobject te beoordelen. In dit hoofdstuk wordt onderzocht of de IT-auditor in staat is aanvullende zekerheid te geven over het IT-object informatiearchitectuur door een antwoord te geven op deelvraag vijf van het onderzoek: Wat is de invloed van de inzet van informatiearchitectuur als instrument tijdens het besluitvormingsproces op de rol en de werkzaamheden van de IT-auditor? In paragraaf 6.1 wordt informatiearchitectuur vanuit de architectuur- en audittheorie als onderzoeksobject van de IT-auditor beschouwd. In de daarop volgende paragraaf wordt gevalideerd of de theoretische beschouwing juist is. Deze validatie vindt plaats door de theoretische beschouwing voor te leggen aan een aantal IT-auditors. Op basis hiervan wordt in paragraaf 6.3 een antwoord gegeven op deelvraag 5.

6.1 Theoretische beschouwing: Informatiearchitectuur als auditobject Het werkveld van een IT-auditor richt zich traditioneel op een IT-object. Informatiearchitectuur vormt in steeds meer organisaties de basis voor de inrichting van IT-objecten en stelt de kaders die gehanteerd worden bij de inrichting. Hierdoor ontstaat bij bestuurders de behoefte om aanvullende zekerheid te krijgen over het object informatiearchitectuur, van een onafhankelijk opererende functie (Rijsenbrij, 2009; Matthijsse, 2009). Bovendien vormt architectuur de norm van de organisatie waarbij informatiearchitectuur het ontwerp is voor de inrichting van de informatievoorziening. Op verzoek van de opdrachtgever kan informatiearchitectuur de norm zijn die gehanteerd wordt tijdens de onderzoeken van de IT-auditor. 6.1.1 Wijze van toetsen Een onderzoek naar het object informatiearchitectuur is gericht op het geven van antwoord op de vraag die bestuurders hebben: Ga ik met mijn informatiearchitectuur de geformuleerde doelstellingen efficiënt realiseren? De vraag draagt een tweetal kwaliteitsaspecten in zich die aangeven wanneer de informatiearchitectuur voor de bestuurder goed is: effectiviteit en efficiency. Vanuit het auditperspectief wordt gewerkt met een selectie van de kwaliteitsaspecten. Het betreft de kwaliteitsaspecten die zijn gedefinieerd in het NOREA geschrift nr. 1, effectiviteit, efficiëntie, exclusiviteit, integriteit, controleerbaarheid, continuïteit, onweerlegbaarheid en beheersbaarheid (NOREA, 1999; Praat, 2004). Vanuit de vraag van de bestuurder kan een doelstelling voor de informatiearchitectuur worden opgesteld: De inzet van een integere informatiearchitectuur, leidt op controleerbare wijze tot effectieve en efficiënte besluiten. Tabel 4: 'Kwaliteitsaspecten in relatie tot de informatiearchitectuur' bevat de definities van de kwaliteitsaspecten die bij dit onderzoek worden gehanteerd. De definities voor kwaliteitsaspecten in de tabel zijn opgesteld vanuit het bovenstaande uitgangspunt. 41

Vanuit dit uitgangspunt vallen de kwaliteitsaspecten onweerlegbaarheid, beheersbaarheid, en exclusiviteit buiten de scope van het onderzoek. In de tabel is onderscheid gemaakt in primaire en secundaire kwaliteitsaspecten. Primaire kwaliteitsaspecten zijn de aspecten die vanuit de bestuurder bezien van waarde zijn. De bestuurder wil door architectuur in te zetten effectievere en efficiëntere besluiten maken. Secundaire kwaliteitsaspecten zijn randvoorwaardelijk voor de primaire aspecten. Tabel 4: 'Kwaliteitsaspecten in relatie tot de informatiearchitectuur' Kwaliteitsaspect

Toelichting

Primaire kwaliteitscriteria Effectiviteit

Efficiëntie

De mate waarin de informatiearchitectuur in overeenstemming is met de eisen en doelstellingen van de gebruikers en de mate waarin de informatiearchitectuur bijdraagt aan de organisatiedoelstellingen, zoals die in de informatiestrategie zijn vastgelegd. De verhouding tussen de (te verwachte) realisatiekosten het (te verwachte) effect van een mogelijke oplossing voortvloeiend uit een besluit. Het effect is de mate waarin de mogelijke oplossing bijdraagt aan 3 de organisatiedoelstelling.

Secundaire kwaliteitscriteria (randvoorwaardelijk) Integriteit

Controleerbaarheid

De mate waarin de informatiearchitectuur (gegevens, informatie en informatiesystemen,) in overeenstemming is met de afgebeelde werkelijkheid. De mate waarin het mogelijk is kennis te verkrijgen over de structurering (documentatie) en werking van de informatiearchitectuur. Tevens omvat dit kwaliteitsaspect de mate waarin het mogelijk is vast te stellen dat de inzet van de informatiearchitectuur heeft plaatsgevonden in overeenstemming met de eisen ten aanzien van de overige kwaliteitsaspecten.

Belangrijk bij het toetsen van de informatiearchitectuur is dat een organisatie een architectuurmethodiek en een bijpassend raamwerk kiest dat goed aansluit op de organisatie. De kwaliteitscriteria van Tabel 4: 'Kwaliteitsaspecten in relatie tot de informatiearchitectuur' vormen een vertrekpunt bij het maken van die keuze. Bij het beoordelen van de kwaliteitsaspecten van een onderzoeksobject maakt IS0 9000:2000 onderscheid in een tweetal benaderingen: • productgerichte benadering • procesgerichte benadering Een productgerichte benadering is erop gericht de interne kwaliteitsaspecten van een object te beoordelen. Hiervoor moet éénduidig zijn vastgelegd aan welke kwaliteit(standaard) het object moet voldoen. De mate waarin het mogelijk is de kwaliteitsaspecten van een object te beoordelen is ondermeer afhankelijk van de volgende factoren: • complexiteit van het object • tastbaarheid, c.q. concreetheid van het object • aanwezige kennis over het object

3

De meest efficiënte mogelijke oplossing is dus de oplossing die het meeste effect heeft tegen de laagste kosten. Dit is niet per definitie de meest effectieve oplossing

42

Het voordeel van een productgerichte benadering is dat voor de beoordeling van het object de scoping voor de IT-auditor duidelijk is. Een nadeel van deze benadering is dat de kwaliteitsaspecten slechts beoordeeld worden op het moment dat de auditor zijn onderzoek uitvoert. Bij een procesgerichte benadering worden de kwaliteitsaspecten van een object beoordeeld door te steunen op het proces van totstandkoming. De gedachte hierachter is dat de kwaliteitsaspecten van een object bepaald worden door het proces waarmee het object tot stand komt. Maatregelen in een proces die leiden tot een verbetering van de kwaliteit van een object kunnen zijn: • een gefaseerde ontwikkelaanpak (bijvoorbeeld onderscheid tussen ontwerp, ontwikkeling en acceptatie) • een gestandaardiseerde ontwikkelaanpak gebaseerd op bewezen standaarden • voldoende betrokkenheid van belanghebbenden • voldoende betrokkenheid van personeel met voldoende inhoudelijke kennis • monitoring van de door het proces geleverde producten • onafhankelijke audit op de inrichting en uitvoering van het proces Het voordeel van een procesgerichte benadering is dat door te steunen op beheersmaatregelen rondom de totstandkoming en beheersing van het object de IT-auditor de kwaliteitsaspecten kan beoordelen in de tijd. Het nadeel van de procesgerichte benadering is dat de scoping van het onderzoek breder is. Met een combinatie van de product- en procesgerichte benadering kan een IT-auditor de bestuurder aanvullende zekerheid te bieden over het object informatiearchitectuur en de wijze waarop dit wordt ingezet tijdens de besluitvorming over de vulling van een projectenportfolio. Drie typen onderzoeken zijn hiervoor noodzakelijk, namelijk: • Een onderzoek naar de het object informatiearchitectuur in de context van besluitvorming. (paragraaf 6.1.2) • Een onderzoek naar het beheer van de informatiearchitectuur (architectuur governance). (paragraaf 6.1.3) • Een onderzoek naar het werken onder informatiearchitectuur (architectuur compliance). (paragraaf 6.1.4) 6.1.2 Informatiearchitectuur Om een informatiearchitectuur te beoordelen wordt eerst uitgegaan van de productgerichte benadering. Hiertoe worden de kwaliteitsaspecten uit tabel 4 vertaald naar productnormen. Het onderzoek (Campbell, 2007) geeft een aanzet voor productnormen gebaseerd op een brede vergelijking van diverse architectuurraamwerken en methodieken die kunnen worden gebruikt om een informatiearchitectuur op te stellen. Het betreft nadrukkelijk geen normenkader met enige formele status. Met deze normen is het mogelijk de formele aanwezigheid van diverse objecten in een informatiearchitectuur te beoordelen4. Dit is weergegeven in Tabel 5: 'Productnormen informatiearchitectuur afgezet tegen kwaliteitsaspecten'. Uit de tabel blijkt dat voor het adequaat toetsen van alle kwaliteitsaspecten formele toetsing aan productnormen mogelijkheden biedt. Informatiearchitectuur is echter geen statisch object, maar is continu in beweging. Hierdoor is beheer nodig, zodat de informatiearchitectuur

4

De productnormen zijn afgezet tegen de kwaliteitsaspecten op basis van een informele brainstormsessie met collega IT-auditors. Een afzetting op basis van een empirisch onderzoek onder IT-auditors is noodzakelijk voor een brede acceptatie.

43

blijvend ingezet kan worden conform de doelstelling zoals in de vorige paragraaf geformuleerd. Daarom moet het object beoordeeld worden aan de hand van het totstandkoming- en beheerproces (6.1.3 Architectuur governance). Verder is een correcte inzet van de informatiearchitectuur van belang. De IT-auditor kan deze toepassing vaststellen 6.1.4 Compliancy aan architectuur. Bij het toetsen van de architectuur governance en de toepassing van de informatiearchitectuur, wordt de procesgerichte benadering toegepast.

X X X X X X

X

Controleerbaarheid

X

Integriteit

Zijn de missie, visie en strategie van het beschouwde domein beschreven? Is de omgeving van het beschouwde domein beschreven? Zijn de belanghebbenden en hun belangen beschreven? Zijn relevante regels, richtlijnen en standaarden beschreven? Zijn de architectuurprincipes beschreven en afgeleid van de belangen van de belanghebbenden? Zijn de principes ordentelijk beschreven (denk aan prioritering en groepering? Bevat de informatiearchitectuur modellen afgeleid van de principes? Bevat de informatiearchitectuur views en viewpoints afgestemd op de behoefte van de belanghebbenden en doelgroep(en) van de architectuur? Is de rationalisatieketen op orde (de onderlinge afleidbaarheid van belangen, principes, modellen, etc.)? Zijn kansen en bedreigingen (risico’s) voor de architectuur (met name het behalen van de SOLL) beschreven? Is het doel van de architectuur beschreven? Is een door de organisatie geadopteerd architectuurraamwerk (inclusief methode) toegepast Is de architectuur ordelijk en overzichtelijk opgezet?

Efficiëntie

Productnorm

Effectiviteit

Tabel 5: 'Productnormen informatiearchitectuur afgezet tegen kwaliteitsaspecten'

X X X X X

X

X X

X X

X

X

X X X

X

X X X

X

X X

X

X

X

6.1.3 Architectuur governance Een informatiearchitectuur is geen statisch object. Net als de omgeving waarin de informatiearchitectuur zich bevindt, is de informatiearchitectuur zelf aan verandering onderhevig. Om te kunnen waarborgen dat de informatiearchitectuur goed blijft voor de organisatie is het noodzakelijk om een procesgericht onderzoek te doen naar de architectuur governance. Architectuur governance wordt gedefinieerd als (vrij vertaald uit TOGAF): Architectuur governance is het bedrijven en inzichtelijk maken van de wijze waarop (informatie)architectuur wordt beheerd en gecontroleerd. Een onderzoek naar de architectuur governance, is erop gericht de bestuurder meer zekerheid te geven over de kwaliteit van de wijze waarop hij deze governance heeft ingericht. Bij het opstellen van de informatiearchitectuur en het doorvoeren van een wijziging op de informatiearchitectuur kan de gevolgde werkwijze getoetst worden door een IT-auditor. Hierdoor wordt 44

aanvullende zekerheid verschaft dat wijzigingen in de informatiearchitectuur beheerst doorgevoerd worden en dat de samenhang van de informatiearchitectuur geborgd blijft. Voor een aanpak van een dergelijk onderzoek biedt het onderdeel architecture governance van het TOGAF Architecture Capability Framework (The Open Group, 2009) aanknopingspunten. TOGAF beschrijft op een praktische manier hoe het beheer uitgevoerd kan worden. Auditing is als onderdeel gedefinieerd in deze aanpak. Activiteiten die hier deel van uitmaken zijn: 1. Het implementeren van een kwaliteitssysteem dat toeziet op de ontwikkeling en bewaking van architectuuronderdelen en activiteiten. De doelstelling hiervan is dat gewaarborgd wordt dat het ontwerp, de implementatie en het onderhoud van architectuuronderdelen effectief binnen de organisatie verloopt. 2. Het implementeren van een systeem dat waarborgt dat de architectuur in overeenstemming is met interne en externe standaarden en regels. 3. Het ontwikkelen van methodieken die het mogelijk maken om verantwoording af te leggen over de inhoud van de architectuur richting de geïdentificeerde belanghebbenden, zowel binnen als buiten de organisatie. De IT-auditor kan een rol vervullen bij de inrichting van en controle op de deze drie governanceactiviteiten. TOGAF biedt in dat geval aanknopingspunten voor het definiëren van normen. In Tabel 6: 'Procesnormen architectuur governance afgezet tegen kwaliteitsaspecten' zijn enkele van deze normen afgezet5 tegen de kwaliteitsaspecten uit Tabel 4. Wederom is het niet de bedoeling een normenkader te presenteren, maar om inzichtelijk te maken hoe dit opgezet kan worden.

5

X

Integriteit

Controleerbaarheid

Is verantwoordelijkheid voor de architectuur governance belegd bij het bestuur van de organisatie? Vindt architectuur governance plaats onder architectuur? Zijn er principes opgesteld voor de governance processen? Heeft de organisatie een kwaliteitssysteem ingericht dat toeziet op de ontwikkeling en bewaking van architectuuronderdelen en activiteiten? Heeft de organisatie een systeem ingericht dat waarborgt dat de architectuur in overeenstemming is met interne en externe standaarden, beleid en regels? Is een systeem ingericht waarmee verantwoording wordt afgelegd aan de belanghebbenden bij de architectuur. Er is een systeem ingericht dat waarborgt dat de architectuur juist wordt toegepast in de organisatie. Is er een organisatiebreed architecture board ingesteld dat verantwoordelijk is voor het bewaken van de bovengenoemde systemen?

Efficiëntie

Procesnorm

Effectiviteit

Tabel 6: 'Procesnormen architectuur governance afgezet tegen kwaliteitsaspecten'

X

X

X X

X

X

X

X

X

X

X

X

X

X

X

X

X

Zie voetnoot 4.

45

De rol die de IT-auditor kan innemen ten aanzien van het controleren van de architectuur governance kan pas ingevuld worden als de organisatie beschikt over een zekere mate van volwassenheid6 ten aanzien van informatiearchitectuur. 6.1.4 Compliancy aan architectuur Het derde punt, een onderzoek naar de compliance van de organisatie aan de informatiearchitectuur, is gericht op de beoordeling van de toepassing van architectuur in de organisatie. Bij compliancy onderzoek richt de IT-auditor zich op het verschaffen van zekerheid of de informatiearchitectuur op de juiste manier wordt ingezet. Dit onderzoek richt zich op de inzet bij de besluitvorming, zoals is weergegeven in Figuur 17: 'Inzet architectuur bij besluitvorming'. In de figuur is de focus van de IT-auditor omcirkeld. Indien de bestuurder zekerheid heeft over de juiste inzet van architectuur, heeft hij meer zekerheid ten aanzien van de effectiviteit en efficiëntie van de besluitvorming.

Figuur 17: 'Inzet architectuur bij besluitvorming'

Het bestuur van de organisatie moet zelf een controlesysteem inrichten om ervoor te zorgen dat bij de besluitvorming architectuur wordt ingezet. Dit maakt echter onderdeel uit van de architectuur governance. Voor de compliancy van de inzet van informatiearchitectuur tijdens het besluitvormingsproces in combinatie met projectportfoliomanagement is in Tabel 7: 'Procesnormen architectuur governance afgezet tegen kwaliteitsaspecten' op basis van overleg met diverse IT-auditors een aanzet gedaan voor enkele procesnormen.

6

Bijvoorbeeld TOGAF niveau 2 ‘Under construction’.

46

X

X

X X

Controleerbaarheid

Integriteit

Worden projectvoorstellen voor opname in het projectenporfolio getoetst aan de informatiearchitectuur Is de gevolgde werkwijze bij de toetsing aan de informatiearchitectuur beschreven? Wordt het resultaat van de toetsing aan de informatiearchitectuur vastgelegd? Worden wijzigingen in de projecten teruggekoppeld naar de architectuur? Vindt monitoring en validatie plaats op de procesgang?

Efficiëntie

Procesnorm

Effectiviteit

Tabel 7: 'Procesnormen architectuur governance afgezet tegen kwaliteitsaspecten'

X X

X X

X X

X

6.2 Praktijkvalidatie van de theoretische beschouwing In deze paragraaf wordt de theorie uit paragraaf 6.1 gevalideerd. De validatie heeft plaatsgevonden onder een groep IT-auditors. Bijlage D Lijst van interviews bevat een overzicht van de geïnterviewden. Om een goed beeld te krijgen van het werkgebied van de IT-auditor en de aandachtsgebieden waarop gelet dient te worden tijdens het toetsen van een informatiearchitectuur, is het van belang om te weten welke maatregelen reeds onderkend worden in de praktijk. Bovendien is het van belang om te weten welke actoren een rol spelen in het architectuurproces en het bij vormgeven van de informatiearchitectuurfunctie. Om dit inzichtelijk te maken zijn de volgende twee open vragen gesteld: 3.3 Hoe toont men aan in control te zijn over de wijziging die wordt doorgevoerd? Welke methodes/managementmodellen worden hiervoor gehanteerd? 3.4 Zijn rollen gedefinieerd die de betrokkenheid bewaken? In de vorige paragraaf zijn drie onderzoeksgebieden onderkend en inhoudelijk uitgewerkt. Om de uitwerking van de onderzoeksgebieden te valideren is aan de IT-auditors gevraagd om naast een antwoord op de twee vragen, ook een inhoudelijke reactie per onderzoeksgebied te geven. Het resultaat van de validatie onder IT-auditors wordt besproken in paragraaf 6.2.1. Bij de beantwoording van de vragen wordt steeds eerst de vraag genoemd, waarna een samenvatting en analyse van de gegeven antwoorden volgt. Vervolgens wordt in paragraaf 6.2.2 aan de hand van een bestaande informatiearchitectuur van een uitvoeringsorganisatie van de overheid de kwaliteitsaspecten gevalideerd. 6.2.1 Validatie door IT-auditors Informatiearchitectuur kan worden ingezet tijdens de besluitvorming zoals beschreven in hoofdstuk 3, zodat dit leidt tot besluiten die op beheersbare wijze tot stand komen op basis van betrouwbaardere informatie. In paragraaf 6.1 zijn een drietal onderzoeksgebieden beschreven. Door deze werkzaamheden uit te voeren kan de IT-auditor een bijdrage leveren aan de inzet van informatiearchitectuur. De drie onderzoeksgebieden zijn: 1. Een onderzoek naar het object informatiearchitectuur. 2. Een onderzoek naar het beheer van de architectuur (architectuur governance). 3. Een onderzoek naar werken onder architectuur (architectuur compliance).

47

Deze onderzoeksgebieden zijn voorgelegd aan IT-auditors. Een samenvatting van deze gesprekken is deels weergegeven in (Campbell e.a, 2009). Per onderzoeksgebied is samenvattend het beeld van de IT-auditors beschreven. Validatie onderzoeksgebied kwaliteit van informatiearchitectuur Een audit naar de informatiearchitectuur is gericht op de verschaffing van aanvullende zekerheid over het instrument informatiearchitectuur. Volgens IT-auditors spelen bij dit type onderzoek met name de secundaire kwaliteitsaspecten uit Tabel 4: 'Kwaliteitsaspecten in relatie tot de informatiearchitectuur' een rol. Overigens wordt de relevantie van de primaire aspecten door diverse IT-auditors onderkend. Aangegeven wordt dat de primaire aspecten (efficiëntie en effectiviteit) voor een IT-auditor een uitdaging vormen om vast te stellen. Dit is een uitdaging, aangezien de primaire kwaliteitsaspecten impliciet liggen besloten in de informatiearchitectuur. Hiervoor is veel inhoudelijke kennis nodig van zowel de business als de architectuur. Het ontbreekt de IT-auditor vaak aan tijd om de organisatie te leren kennen en aan inhoudelijke kennis van informatiearchitectuur. Van een informatiearchitect wordt verwacht dat hij inhoudelijke kennis heeft van informatiearchitectuur en op de hoogte is van de business. Daarom wordt bij de werkzaamheden van de IT-auditor in belangrijke mate gesteund op de werkzaamheden van de informatiearchitect. Een IT-auditor steunt in dat geval op het proces van totstandkoming van de informatiearchitectuur, waarbij de bestuurders navolgbaar betrokken dienen te worden. Met betrekking tot de diverse kwaliteitsaspecten geeft een IT-auditor aan dat het mogelijk is deze verder te concretiseren. Een concretiseringslag maakt de vertaling naar normen eenvoudiger. Een suggestie die hierbij wordt genoemd is het verder concretiseren van de kwaliteitsaspecten middels een kwaliteitsboom. Dit is een concept waarbij kwaliteitsaspecten op een hoog niveau concreter worden uitgewerkt door meer gedetailleerdere en in scope beperktere kwaliteitsaspecten. Hierdoor wordt het formuleren van concretere kwaliteitsnormen mogelijk. Een andere geïnterviewde geeft aan dat het onderscheid tussen product en procesgerichte controle erg belangrijk is. Een informatiearchitectuur is een complex product, waardoor de IT-auditor moet beschikken over inhoudelijke kennis om een complete objectieve productgerichte controle uit te voeren. Validatie onderzoeksgebied architectuur governance IT-auditors stellen dat bij een IT-audit naar het proces van totstandkoming en onderhoud van de informatiearchitectuur (architectuur governance) een tweetal centrale vragen een rol speelt. Dit zijn: • Zijn de belangen van alle relevante betrokkenen meegenomen in de ontwikkeling? • Zijn wijzigingen in de informatiearchitectuur beheerst (dus ook "onder architectuur") doorgevoerd? Door deze audit wordt de bestuurder voorzien van aanvullende zekerheid over de mate waarin de organisatie haar architectuur governance beheerst en de mate waarin het eindresultaat van dit proces kan worden bestuurd. IT-auditors zijn van mening dat een audit van een architectuur een middel is om het werken onder informatiearchitectuur te waarborgen, waardoor de doelstelling van informatiearchitectuur. Van primair belang is een goed ingericht architectuurproces met voldoende kennis en kunde. De IT-auditor kan vanuit een auditrol adviezen geven over de inrichting van dit proces. Uiteindelijk heeft dit alleen toegevoegde waarde indien de organisatie dit proces op een zodanige wijze inricht dat de auditor de uitvoering navolgbaar kan vaststellen. Dit impliceert navolgbaar ingerichte processen, vastleggingen van de uitgevoerde werkzaamheden in goed gestructureerde ‘rapportages’ en een stelsel van interne controle op de juiste 48

uitvoering van deze processen en de kwaliteit van de rapportages. Ofwel, de organisatie zal zelf een controleerbare en beheersbare architectuur governance moeten opzetten. Validatie onderzoeksgebied compliancy aan informatiearchitectuur Met een audit naar het werken onder architectuur (architectuur compliance) stelt de IT-auditor vast in welke mate de organisatie (of onderdelen daarvan) feitelijk werkt volgens de vastgestelde architectuur. De architectuur is bij een dergelijk onderzoek de norm. Door deze audit wordt de bestuurder voorzien van aanvullende zekerheid over de mate waarin het werken onder architectuur bijdraagt aan de beheersbaarheid en controleerbaarheid van het beheer en de verdere ontwikkeling van de processen en informatiesystemen. Collega ITauditors geven aan dat een dergelijk onderzoek van belang is, indien een auditor op basis van de informatiearchitectuur een uitspraak wil doen over de kwaliteit van de inrichting van de informatievoorziening van een organisatie. De analyse van alternatieven tijdens de besluitvorming wordt ook herkend als onderdeel van een compliancy onderzoek. Dit aspect richt zich op het verschaffen van zekerheid of de informatiearchitectuur daadwerkelijk wordt ingezet bij besluitvorming. De IT-auditor kan achteraf als onafhankelijk deskundige toetsen of de principes in de architectuur goed zijn toegepast tijdens de analyse en of alle alternatieven zijn getoetst. Door collega IT-auditors wordt aangegeven dat deze analyse doorgaans niet zo gestructureerd en controleerbaar plaatsvindt. Hierdoor is de uitvoerbaarheid van een dergelijk onderzoek in de praktijk een uitdaging. Beantwoording van de vragen Tenslotte hebben wij aan IT-auditors het tweetal open vragen voorgelegd. Hieronder een samenvatting van de antwoorden. 3.3 Hoe toont men aan in control te zijn over de wijziging die wordt doorgevoerd? Welke methodes/managementmodellen worden hiervoor gehanteerd? Er zijn diverse raamwerken en methodieken die een architect kunnen helpen bij het opstellen van een informatiearchitectuur. Het hanteren van deze raamwerken draagt bij aan de kwaliteit van informatiearchitectuur. Het is opvallend dat wanneer de diverse bestaande architectuurraamwerken in beschouwing worden genomen, blijkt dat met name aandacht wordt besteedt aan de aspecten integriteit en controleerbaarheid. De raamwerken geven richtlijnen ten aanzien van de inrichting van een informatiearchitectuur. Deze richtlijnen bevatten een beschrijving van de verschillende elementen van een informatiearchitectuur. Voor wat betreft de wijzigingen op de informatiearchitectuur wordt veel gebruik gemaakt van methodieken als TOGAF die beschrijft hoe de governance op architectuur plaats zou moeten vinden. Voor wat betreft het inrichten en beschrijven van architectuur wordt gebruik gemaakt van Archimate als methodiek. Hiermee wordt gewaarborgd dat wijzigingen conform een standaard werkwijze worden doorgevoerd. 3.4 Zijn rollen gedefinieerd die de betrokkenheid bewaken? Bij het werken is het noodzakelijk dat de juiste stakeholders worden betrokken bij het proces, zodat de aansluiting en samenhang gewaarborgd is. De IT-auditor kan een sleutelrol spelen bij het bewaken van het werken onder architectuur, bijvoorbeeld op de betrokkenheid van de stakeholders. Verder kan hij ondersteunen bij het inrichten van verschillende kwaliteitssystemen en toetsen op de naleving. Ook bij de inrichting van een informatiearchitectuur is betrokkenheid van de IT-auditor van belang. Dit is van belang aangezien in deze fase de toetsbaarheid van de informatiearchitectuur opgenomen kan worden in de informatiearchitectuur.

49

6.2.2 Validatie op basis van een bestaande informatiearchitectuur Als aanvulling op de validatie bij de IT-auditors zijn de kwaliteitsaspecten gevalideerd op basis van een bestaande informatiearchitectuur die in productie is bij een uitvoeringsorganisatie van de overheid. Beschrijving van de informatiearchitectuur De informatiearchitectuur maakt deel uit van een SOA-enterprise architectuur. De gedocumenteerde informatiearchitectuur is weergegeven in een serie presentatiesheets. Hierin zijn de leidende principes en modellen overzichtelijk gepresenteerd. Principes zijn opgenomen in een tabel. Uitgangspunt voor de modellen is het Informatiemodel. De principes en modellen zijn afgeleid van de informatiebeleidsuitgangspunten. Er zijn diverse informatiedomeinen gedefinieerd. Per domein is een gegevensarchitectuur opgesteld en zijn gedetailleerdere modellen en principes beschreven. Delen van de informatiearchitectuur behoeven verdere uitwerking. Dit is in de informatiearchitectuur aangegeven. Validatie van de kwaliteitsaspecten De validatie van de kwaliteitsaspecten heeft plaatsgevonden door te verifiëren dat de in Tabel 4: 'Kwaliteitsaspecten in relatie tot de informatiearchitectuur' genoemde kwaliteitsaspecten terugkomen in de formulering van de informatiearchitectuur. Hiertoe is gebruik gemaakt van de productnormen uit Tabel 5: 'Productnormen informatiearchitectuur afgezet tegen kwaliteitsaspecten'. Aan de hand van de productnormen is de informatiearchitectuur beoordeeld. Aangezien we geen toegang hebben tot de organisatie die de architectuur heeft opgesteld hebben we de procesnormen voor de deelonderzoeken architectuur governance en architectuur compliance niet in een praktijksituatie toegepast. Het resultaat van de beoordeling van de productnormen is weergegeven in Tabel 8: 'Beoordeling informatiearchitectuur aan de hand van productnormen'. Tabel 8: 'Beoordeling informatiearchitectuur aan de hand van productnormen' Productnorm

Bevindingen

Zijn de missie, visie en strategie van het beschouwde domein beschreven? Is de omgeving van het beschouwde domein beschreven? Zijn de belanghebbenden en hun belangen beschreven?

De missie visie en de strategie zijn kernachtig samengevat in een strategiehoofdstuk. De informatiearchitectuur sluit hierop aan.

Zij relevante regels, richtlijnen en standaarden beschreven?

Zijn de architectuurprincipes beschreven, afgeleid van de belangen van de belanghebbenden?

Het strategische hoofdstuk bevat een overzicht waarin de omgeving in termen van klanten is weergegeven. In de informatiearchitectuur zijn bovendien de relevante ketenpartijen benoemd. Er zijn thema’s gedefinieerd in het overzicht in het strategische hoofdstuk. De thema’s zijn afgeleid van belangen van ondermeer de organisatie en de klanten. Het betreft kostenefficiëntie, verbeterde dienstverlening, omgaan met veranderende omgeving en ketenintegratie. In de informatiearchitectuur zijn uitgangspunten beschreven welke mogelijk zijn afgeleid van de vier thema’s. Dit is echter niet transparant weergegeven. Aangegeven is dat NORA leidend is. Verder is een uitgangspunt opgenomen dat voorschrijft dat zoveel mogelijk van open standaarden en beproefde oplossingen gebruik gemaakt dient te worden. Een verwijzing naar relevante wet en regelgeving is echter niet (eenvoudig) terug te vinden. De informatiearchitectuur bevat inrichtingsprincipes die richting geven aan de verdere modellering van de informatie en gegevens. Daarnaast gegeven de principes richting aan de wijze waarop de architectuur verder ontwikkeld dient te worden richting het ontwerp.

50

Productnorm

Bevindingen

Zijn de principes ordelijk beschreven (denk aan prioritering en groepering? Bevat de informatiearchitectuur modellen afgeleid van de principes?

De inrichtingsprincipes staan allemaal bij elkaar in een tabel. Er mist echter een verwijzing naar de onderliggende belangen en onderbouwing. Ook ontbreekt enige groepering of prioritering

Bevat de informatiearchitectuur views en viewpoints afgestemd op de behoefte van de belanghebbenden en doelgroep(en) van de architectuur? Is de rationalisatieketen op orde (de onderlinge afleidbaarheid van belangen, principes, modellen, etc.)?

Zijn kansen en bedreigingen (risico’s) voor de informatiearchitectuur (vooral het behalen van de SOLL) beschreven? Is het doel van de beschrijving van de informatiearchitectuur beschreven? Is een door de organisatie geadopteerd architectuurraamwerk (inclusief methode) toegepast Is de informatiearchitectuur ordelijk en overzichtelijk opgezet?

De informatiearchitectuur bevat diverse modellen. Er zijn informatiemodellen en gegevensmodellen. Er zijn modellen die illustreren hoe processen ondersteund worden door de informatievoorziening en het applicatielandschap. De informatiearchitectuur is opgedeeld in verschillende informatiedomeinen met elk hun eigen deelarchitecturen. Verder zijn er modellen gericht op gegevens, informatiestromen en procesondersteuning. De diverse deelarchitecturen zijn onderling consistent. Verder is subjectief vast te stellen dat uitgaande van de missie, visie en strategie thema’s zijn gedefinieerd die zijn vertaald naar uitgangspunten voor de informatiearchitectuur. Dit is echter niet transparant gedaan, middels bijvoorbeeld verwijzingen, waardoor de wijze waarop onderdelen met elkaar in verband staan moeilijk is vast te stellen. Kansen en bedreigingen zijn niet herkenbaar in de informatiearchitectuur uitgewerkt.

Het doel van de beschrijving van de informatiearchitectuur is niet expliciet besschreven. De onderbouwing achter de keuze om voor een presentatiestijl te gaan, en de doelgroep die men wil bereiken is onduidelijk. Er is gebruik gemaakt van het NOVIUS enterprise architectuur raamwerk. De architectuur is conform het raamwerk opgesteld en dit is consistent toegepast over de diverse domeinarchitecturen. Voor de informatiearchitectuur is dit ook het geval. De informatiearchitectuur is opgezet in een presentatieformat, gebruikmakend van lijsten, tabellen en figuren. Er zijn weinig lappen tekst, waardoor de leesbaarheid goed is.

Op basis van de bevindingen in Tabel 8 is Tabel 9: 'Resultaten toetsing informatiearchitectuur aan productnormen afgezet tegen kwaliteitsaspecten' gevuld. Hierin is aangegeven welke kwaliteitsaspecten in de architectuur aanwezig zijn. De kruisjes in de tabel geven de kwaliteitsaspecten afgezet tegen de productnormen weer. Op basis van de bevinding bij de productnorm zijn de kruisjes ingekleurd. Hierbij zijn drie opties mogelijk: • Groen: aanwezig in de informatiearchitectuur • Oranje: deels aanwezig in de informatiearchitectuur • Rood: niet aanwezig in de informatiearchitectuur. Tijdens het toetsen van de productnormen zijn bevindingen gedaan die wijzen op een kwaliteitsaspect dat niet was afgezet tegen de betreffende productnorm. Dit is met lichtgroen aangegeven. Het moet benadrukt worden dat de kleurcodering niet indicatief is voor een oordeel. Het is niet de bedoeling de informatiearchitectuur te beoordelen, maar om de kwaliteitsaspecten uit het kwaliteitsmodel te valideren.

51

X X

X

X X X X

X X X

X

X

X

Controleerbaarheid

X

Integriteit

Zijn de missie, visie en strategie van het beschouwde domein beschreven? Is de omgeving van het beschouwde domein beschreven? Zijn de belanghebbenden en hun belangen beschreven? Zijn relevante regels, richtlijnen en standaarden beschreven? Zijn de architectuurprincipes beschreven en afgeleid van de belangen van de belanghebbenden? Zijn de principes ordentelijk beschreven (denk aan prioritering en groepering? Bevat de informatiearchitectuur modellen afgeleid van de principes? Bevat de informatiearchitectuur views en viewpoints afgestemd op de behoefte van de belanghebbenden en doelgroep(en) van de architectuur? Is de rationalisatieketen op orde (de onderlinge afleidbaarheid van belangen, principes, modellen, etc.)? Zijn kansen en bedreigingen (risico’s) voor de architectuur (met name het behalen van de SOLL) beschreven? Is het doel van de architectuur beschreven? Is een door de organisatie geadopteerd architectuurraamwerk (inclusief methode) toegepast Is de architectuur ordelijk en overzichtelijk opgezet?

Efficiëntie

Productnorm

Effectiviteit

Tabel 9: 'Resultaten toetsing informatiearchitectuur aan productnormen afgezet tegen kwaliteitsaspecten'

X

X

X

X

X

X

X

X

X

X

X

X

X

X

X

X

X

X

X

In Tabel 10: 'Validatie kwaliteitsaspecten aan de hand van informatiearchitectuur' zijn de resultaten weergegeven per kwaliteitsaspect van de validatie aan de informatiearchitectuur op basis van de invulling van Tabel 9. Tabel 10: 'Validatie kwaliteitsaspecten aan de hand van informatiearchitectuur' Kwaliteitsaspect

Toelichting

Primaire kwaliteitscriteria Effectiviteit

De informatiearchitectuur beschrijft een IST situatie en een toekomstbeeld. Hierbij wordt een expliciete koppeling gemaakt met de organisatiedoelstellingen, het informatiebeleid en het hierop gebaseerde informatiemodel. Belangen van belanghebbenden en relevante regels en richtlijnen worden beschreven en vormen de basis voor de architectuurprincipes en modellen. Deze kenmerken van de informatiearchitectuur tonen aan dat aandacht besteedt is aan de effectiviteit van de informatiearchitectuur, namelijk het voldoen aan wetgeving en het ondersteunen van belangen van belanghebbenden.

Efficiëntie

De informatiearchitectuur houdt rekening met regels richtlijnen en standaarden, maar is hierin niet volledig (bijvoorbeeld een verwijzing naar het Voorschrift Informatiebeveiliging Rijksdienst ontbreekt). Een integrale compliancy aan relevante wet en regelgeving wordt hierdoor niet bereikt. Diverse belangen van belanghebbenden worden benoemd en werken door in de principes en modellen. Het betreft ondermeer het gebruik maken van standaardoplossingen.

52

De informatiearchitectuur is opgezet conform een bestaand raamwerk en methodiek. Tevens zijn views en viewpoints toegepast, waarbij voor deeldomeinen deelarchitecturen zijn opgesteld. Dit maakt de informatiearchitectuur goed onderhoudbaar en flexibel, maar ook overzichtelijk. Eén en ander draagt bij aan een efficiënte inzet van de informatiearchitectuur. Er is geen prioritering van de architectuurprincipes toegepast, waardoor niet inzichtelijk is in geval van conflicten tussen belangen welke principes het meest bijdrage tot de doelstellingen in de SOLL-situatie. De bovenstaande bevindingen tonen aan dat het mogelijk is de efficiëntie van een informatiearchitectuur te toetsen. Secundaire kwaliteitscriteria Integriteit

De informatiearchitectuur bevat een SOLL en IST beschrijving. Met name de SOLL beschrijving is uitgewerkt. Belangen van belanghebbenden zijn beschreven. Ook wordt verwezen naar de relevante wet en regelgeving. Hierin is de informatiearchitectuur echter niet volledig. Views en viewpoints zijn toegepast waardoor de onderhoudbaarheid toeneemt. Een raamwerk en methodiek zijn door de organisatie geadopteerd, waardoor de volledigheid en juistheid zijn geborgd. Uit bovenstaande bevindingen blijkt dat een informatiearchitectuur te toetsen is op het kwaliteitsaspecten integriteit.

Controleerbaarheid

Op een viertal productnormen in de informatiearchitectuur in overeenstemming. De andere twee normen zijn toetsbaar, maar komen niet voor in de architectuur. Het betreft de ordelijke weergave van principes en de beschrijving van het doel van de architectuurbeschrijving. De architectuur beschikt over een versienummer. Hierdoor is het mogelijk om voorgaande versies met elkaar te vergelijken en hiermee de wijzigingen vast te kunnen stellen. Op basis van het bovenstaande is vast te stellen dat controleerbaarheidaspecten te toetsen zijn in een informatiearchitectuur.

De resultaten van de praktijkvalidatie met een informatiearchitectuur laten zien dat de kwaliteitsaspecten van Tabel 4 bruikbaar zijn in relatie tot informatiearchitectuur. Wel moet worden opgemerkt dat op basis van de productgerichte aanpak, zoals die bij de validatie is toegepast, geen uitspraken over de feitelijke inzet van de informatiearchitectuur tijdens de besluitvorming kunnen worden gedaan. Een voorbeeld is de controleerbaarheid. De informatiearchitectuur vertoont eigenschappen die het mogelijk maken de controleerbaarheid vast te stellen. Ze is de opbouw overzichtelijk en zijn modellen afgeleid van principes. Om een uitspraak te kunnen doen over de controleerbaarheid van de inzet tijdens de besluitvorming is het echter nodig om het proces dat die inzet waarborgt (governance) te toetsen, evenals een aantal voorbeelden waarbij een projectvoorstel feitelijk is getoetst (compliancy) aan de informatiearchitectuur. De kwaliteitsaspecten efficiëntie en effectiviteit komen met de uitgevoerde validatie tot uitdrukking in de informatiearchitectuur. Het betreft echter een oppervlakkige vaststelling. Meer zekerheid over deze aspecten kan wellicht worden verkregen door vast te stellen of de informatiearchitectuur is opgesteld en wordt onderhouden volgens goede processen. Bij de processen dienen de juiste personen qua kennis, vaardigheden, belangen en ervaringen betrokken te zijn.

53

6.3 Antwoord op deelvraag 5 Het doel van paragraaf 6.3 is een antwoord te geven op de vijfde deelvraag van het onderzoek: Wat is de invloed van de inzet van informatiearchitectuur als instrument tijdens het besluitvormingsproces op de rol en de werkzaamheden van de IT-auditor? Door informatiearchitectuur in te zetten tijdens het besluitvormingsproces over de invulling van een projectenporfolio kan afstemming worden bereikt tussen de doelstellingen uit het organisatiebeleid en de inrichting van de informatievoorziening. De IT-auditor krijgt hierdoor een rol bij het beoordelen van (het werken onder) informatiearchitectuur. Deze beoordeling is ingewikkeld, omdat breed geaccepteerde kwaliteitsstandaarden ontbreken. Dit beeld wordt bevestigd door de diverse geïnterviewden. Op basis van een breed vergelijkend onderzoek van architectuurraamwerken en TOGAF is een aanzet gepresenteerd die weergeeft hoe een normenset voor architectuur (product en procesgericht) vormgegeven kan worden. IT-auditors stellen dat zij een rol hebben bij de beoordeling van informatiearchitectuur. Door de inhoudelijke kennis die hiervoor nodig is, de complexiteit van het object en de behoefte aan zekerheid over de continue inzet van informatiearchitectuur is een combinatie van product- en procesgerichte controle nodig. Hierdoor zijn ook de architectuur governance en de mate van compliancy van de organisatie aan de architectuur van belang. Diverse IT-auditors onderschrijven deze zienswijze. Uit de validatie op basis van een informatiearchitectuur blijkt dat het toetsen van de kwaliteit van een informatiearchitectuur aan de hand van het in dit onderzoek gehanteerde kwaliteitsmodel haalbaar is. Dit geldt vooral voor kwaliteitsaspecten die met toetsbare normen zijn te beoordelen. Voor de aspecten die met meer kwalitatief toetsbare normen getoets moeten worden is de auditor doorgaans aangewezen op een procesgerichte controle. Een andere reden om een procesgerichte controle te hanteren is de mogelijkheid om de inzet van de informatiearchitectuur over een periode te beoordelen.

54

Hoofdstuk 7 Conclusie en vervolgactiviteiten In dit hoofdstuk wordt de balans opgemaakt op basis van de voorgaande hoofdstukken. In hoofdstuk 3 is een hypothese geformuleerd over hoe een architectuurfunctie vorm gegeven kan worden. Deze hypothese is in hoofdstuk 4 getoetst, waarna de resultaten in hoofdstuk 5 zijn geanalyseerd en vergeleken met geformuleerde de hypothese. Bovendien is hierbij telkens de rol van de IT-auditor in beschouwing genomen. Hierdoor kan de probleemstelling van dit onderzoek beantwoord worden. Hoe kan informatiearchitectuur worden ingezet tijdens het besluitvormingsproces om afstemming te bereiken tussen de organisatiedoelstellingen in het organisatiebeleid en de inrichting van de informatievoorziening en wat is de invloed hiervan op het werkveld van de IT-auditor? In paragraaf 7.1 wordt beschreven aan welke eisen de inrichting van de architectuurfunctie en de betrokkenheid tussen organisatiebeleid en informatiearchitectuur moet voldoen. Enerzijds heeft het onderzoek duidelijke richtlijnen hiertoe opgeleverd. Anderzijds is gebleken dat op onderdelen aanvullend onderzoek noodzakelijk is. Paragraaf 7.2 geeft een slotevaluatie over de rol van de IT-auditor bij de inzet van informatiearchitectuur bij besluitvorming over de invulling van een projectenportfolio. Paragraaf 7.3 bevat het antwoord op de hoofdvraag en in paragraaf 7.4 worden de belangrijkste vervolgstappen en aanbevelingen beschreven.

7.1 Inrichting van de architectuurfunctie Tijdens dit onderzoek is vastgesteld dat sprake is van een grote diversiteit aan de wijze waarop onder informatiearchitectuur wordt gewerkt en op de manier waarop over het onderwerp wordt nagedacht. In het onderzoek is het 9-vlaksmodel gehanteerd als basis voor de theoretische beschouwing. Binnen organisaties wordt de inhoud van de vlakken van het 9vlaksmodel steeds anders ingevuld. Als het 9-vlaksmodel wordt gebruikt om de betrokkenheid tussen besluitvorming door het bestuur en de rol die informatiearchitectuur hierbij heeft te modelleren. Hierbij wordt zichtbaar dat de wijze waarop de architectuurfunctie is ingericht een directe invloed heeft op de mate van de betrokkenheid. In de praktijk is zichtbaar geworden dat de positionering van de informatiearchitectuurfunctie (met name de informatiearchitectuur en de CIO-functie) in organisaties sterk verschilt. Wij hebben grofweg drie varianten kunnen onderkennen die zijn weergegeven in Figuur 18: 'Positionering van de informatiearchitectuurfunctie'. In alle varianten is informatiearchitectuur gepositioneerd op het tactische niveau. Informatiearchitectuur is immers de eerste stap naar de inrichting van de informatievoorziening. De varianten verschillen onderling in de opbouw van de informatiearchitectuurfunctie in de organisatie. In variant A is informatiearchitectuur een schets van de inrichting van de informatievoorziening conform de kaders die zijn gesteld vanuit het informatiebeleid. Er is in dit geval niet echt sprake van een betrokkenheid met de besluitvorming. De besluitvorming is genomen en de informatiearchitectuur wordt gebruikt als borgingsinstrument om informatiebeleidsuitgangspunten in vast te leggen. In variant B wordt de rol van de CIO geïntroduceerd. De CIO is gepositioneerd in het informatiebeleidsvlak als brug tussen de bestuurder en IT. De CIO heeft in deze variant een functie als beleidsadviseur richting het bestuur, waarbij hij, mede op basis van input uit de informatiearchitectuur adviseert richting het bestuur. Informatiearchitectuur wordt in dit geval indirect betrokken bij het besluitvormingsproces. Hierdoor is sprake van weinig betrokkenheid bij de besluitvorming.

55

Positionering van Informatiearchitectuur A: Positionering op tactisch niveau. Geen rol bij de besluitvorming. Positionering van de CIO-functie Positionering van de CIOfunctie

Positionering van Informatiearchitectuur

B: Positionering op tactisch niveau als werkwijze en op strategisch niveau als instrument bij de vorming van informatiebeleid. CIO bewaakt de kwaliteit. Indirecte betrokkenheid bij de besluitvorming, middels beïnvloeding van het informatiebeleid.

Positionering van Informatiearchitectuur

C: Positionering op tactisch niveau als werkwijze en op strategisch niveau als instrument bij de vorming van informatiebeleid. CIO is onderdeel van het bestuur in het organisatiebeleidsvlak met als portefeuille het informatiebeleid. Hij bewaakt de kwaliteit en betrekt input vanuit de informatiearchitectuurfunctie bij de besluitvorming.

Figuur 18: 'Positionering van de informatiearchitectuurfunctie'

In variant C is de sterkste betrokkenheid weergegeven. De CIO is gepositioneerd in het organisatiebeleidsvlak en maakt deel uit van het bestuur. Hij heeft als portefeuille het informatiebeleid. Hierdoor worden IT belangen meegenomen in de besluitvorming rond projectportfolio’s. De CIO is verantwoordelijk voor het opstellen van het informatiebeleid, waarvoor hij een beleidsafdeling (informatiebeleidsvlak) heeft. Vanuit deze afdeling worden de kaders gesteld voor de informatiehuishouding, op basis waarvan de informatiearchitectuur wordt opgesteld. Vanuit de inrichting ontvangt de CIO advies over de invulling van de alternatieven aangaande de besluitvorming. Hierdoor zijn gevolgen van de te nemen besluiten beter inzichtelijk. Dit proces is vergelijkbaar met de inzet van een business case bij rationele besluitvorming. Bij het opstellen van de business case worden immers ook inrichtingsspecialisten op tactisch niveau betrokken.

7.2 Rol van de IT-auditor Uit de voorgaande paragraaf blijkt dat informatiearchitectuur, een rol kan vervullen bij besluitvorming. Het werkveld van een IT-auditor richt zich traditioneel op de organisatie van de informatievoorziening en de beheersmaatregelen die zijn getroffen om een continue juiste organisatie te waarborgen (Praat, 2004). Aangezien informatiearchitectuur de basis vormt

56

voor de inrichting van deze systemen is het noodzakelijk dat de IT-auditor de informatiearchitectuur meeneemt in zijn onderzoek. Bovendien willen bestuurders aanvullende zekerheid dat de informatiearchitectuur en de wijze waarop deze wordt gehanteerd binnen de organisatie goed is (Rijsenbrij, 2009; Matthijsse, 2009). Om aanvullende zekerheid te bieden over de kwaliteit van de architectuurfunctie zijn kwaliteitsaspecten geselecteerd. Uitgangspunt hiervoor is de doelstelling van de bestuurder, die een integere informatiearchitectuur in wil zetten, om op controleerbare wijze tot effectieve en efficiënte besluiten te komen. Het beoordelen van de kwaliteitsaspecten effectiviteit en efficiëntie zijn hiervan de primaire doelstelling. Randvoorwaardelijk hiervoor zijn de kwaliteitsaspecten integriteit en controleerbaarheid. Immers, door een betrouwbare (integere en controleerbare) informatiearchitectuur in te zetten tijdens de besluitvorming neemt de efficiëntie en effectiviteit van de genomen besluiten toe. Bij het beoordelen van de kwaliteitsaspecten van een onderzoeksobject maakt IS0 9000:2000 onderscheid in een tweetal benaderingen: • Productgerichte benadering • Procesgerichte benadering Een combinatie van deze beide benaderingen is noodzakelijk om te komen tot een complete beoordeling van het object informatiearchitectuur in de context van besluitvorming. De IT-auditor kan worden ingezet bij drie typen onderzoeken, namelijk: 1. Een onderzoek naar het object de informatiearchitectuur. 2. Een onderzoek naar het beheer van de architectuur (architectuur governance). 3. Een onderzoek naar het werken onder architectuur (architectuur compliance). Het eerste punt, een onderzoek naar het object informatiearchitectuur, is erop gericht de bestuurder meer zekerheid te geven over de kwaliteitsaspecten van de informatiearchitectuur. Het is de verantwoordelijkheid van de organisatie om de kwaliteitsstandaard voor haar informatiearchitectuur vast te stellen. De reeds genoemde kwaliteitsaspecten vormen hiervoor een uitgangspunt. Een onderzoek naar de kwaliteit van de architectuur governance, is erop gericht de bestuurder meer zekerheid te geven over de wijze waarop de beheersing van de informatiearchitectuur is ingericht. Bij het opstellen van de informatiearchitectuur en het doorvoeren van een wijziging op de informatiearchitectuur kan de gevolgde werkwijze getoetst worden, door de IT-auditor, waardoor meer zekerheid verschaft wordt dat de wijzigingen in de informatiearchitectuur beheerst doorgevoerd zijn en dat de samenhang van de architectuur geborgd blijft. Voor een aanpak van een dergelijk onderzoek biedt TOGAF architecture governance aanknopingspunten. Een onderzoek naar de kwaliteit van het werken onder informatiearchitectuur, is gericht op de inzet van informatiearchitectuur als controlemaatregel. Door informatiearchitectuur op deze wijze in te zetten krijgt de bestuurder zekerheid over de kwaliteit van de inrichting van de informatiehuishouding van de organisatie. De IT-auditor kan steunen op de informatiearchitectuur bij het beoordelen van de informatiehuishouding. Immers, de informatiearchitectuur vormt de basis voor de inrichting. De IT-auditor richt zich op het verschaffen van zekerheid of de informatiearchitectuur op de juiste manier wordt ingezet bij tijdens de besluitvorming. De IT-auditor toetst in dit geval een correcte toepassing van de principes uit de informatiearchitectuur. Hierbij kunnen de eerder genoemde kwaliteitsaspecten als uitgangspunt dienen.

57

Door een IT-auditor op de bovenstaande drie manieren in te zetten kan een bestuurder meer zekerheid verkrijgen over hoe de architectuurfunctie in zijn organisatie functioneert. Bovendien draagt de inzet, zoals hierboven beschreven, bij aan het architectuurproces waardoor de inzet van de informatiearchitectuur bij de besluitvorming van grotere toegevoegde waarde is.

7.3 Antwoord op de probleemstelling Bij dit onderzoek is de volgende probleemstelling geformuleerd: Hoe kan informatiearchitectuur worden ingezet tijdens het besluitvormingsproces om afstemming te bereiken tussen de organisatiedoelstellingen in het organisatiebeleid en de inrichting van de informatievoorziening en wat is de invloed hiervan op het werkveld van de IT-auditor? Deze probleemstelling kan nu worden beantwoord door te stellen dat informatiearchitectuur betrokken moet worden bij de besluitvorming (bijvoorbeeld bij de inrichting van projectportfolio’s). Hierdoor worden besluiten meer gefundeerd genomen, rekening houdend met belangen en consequenties vanuit de IT. Een betere afstemming tussen het organisatiebeleid en de inrichting van de informatievoorziening is het gevolg. Hiervoor zijn een tweetal randvoorwaarden noodzakelijk: 1. Een volwassen en in de organisatie ingebedde informatiearchitectuur met een adequate positionering van de CIO-functie. 2. Wederzijdse beïnvloeding door communicatie tussen het bestuur en de informatiearchitecten. Het initiatief om informatiearchitectuur te betrekken bij de besluitvorming ligt bij het organisatiebeleidsvlak. Zij zullen dit initiatief echter alleen nemen indien de informatiearchitectuur en de input die zij kan leveren voldoende aansluit op de business. Om deze aansluiting te bereiken en de kwaliteit te waarborgen is de IT-auditor van belang. Het bestuur van de organisatie zal immers aanvullende zekerheid wensen over het functioneren van hun architectuurfunctie.

7.4 Vervolgactiviteiten Uit het voorgaande wordt duidelijk dat er meer onderzoek nodig is. Hierbij worden drie aandachtsgebieden onderkend: 1. de positionering en de inrichting van de architectuurfunctie 2. algemeen geaccepteerde kwaliteitsstandaarden 3. instrumenten voor bestuurders, architecten en auditors om te bepalen of het architectuurproces ‘in control’ is Het eerste aandachtsgebied betreft de inrichting van de architectuurfunctie. Een efficiënte en effectieve communicatie tussen bestuurders en architecten is hierbij van bijzonder belang evenals een goede positionering van de architectuurfunctie ten opzichte van het bestuur (Matthijsse, 2009). Een interessant startpunt wordt geboden door (Wieringa, 2008), waarin de competenties van architecten uiteen worden gezet. Een tweede aandachtsgebied waar meer onderzoek naar nodig is, zijn algemeen geaccepteerde kwaliteitsstandaarden waar een architectuur aan zou moeten voldoen. Verschillende groepen doen hiertoe een poging en men is ook druk doende met het accrediteren van theorieën en methodieken (TOGAF en Archimate zijn hier voorbeelden van). Vanuit de auditdiscipline is het raadzaam hier een aandeel in te nemen. Immers, het is het vak van de IT-auditor om kwaliteit te toetsen op basis van gefundeerde normen.

58

Het derde punt betreft de ontwikkeling van instrumenten die bestuurders, architecten en auditors in staat stellen te bepalen of het architectuurproces in control is. Ook zijn instrumenten nodig die ondersteunen bij het besluitvormingsproces inzake de ontwikkeling, implementatie en het onderhoud van de informatievoorziening. Deze instrumenten zouden opgesteld moeten worden in samenspraak met bestuurders (in het bijzonder een juist gepositioneerde CIO) en architecten. (Scheepstra, 2004) en (Perdeck, 2001) bieden inzichten in de vereisten voor een goede Architectuur governance.

59

Hoofdstuk 8 Reflectie In dit hoofdstuk wordt eerst gereflecteerd op de onderzoeksaanpak. Vervolgens vindt reflectie plaats op de resultaten van het onderzoek.

8.1 Onderzoeksaanpak Voorafgaand aan het onderzoek hebben we gezocht naar een onderwerp dat past binnen de opleiding en voor de beroepsgroep van toegevoegde waarde is. Informatiearchitectuur gekoppeld aan het IT-audit vakgebied, is een onderwerp dat aan de hierboven beschreven criteria voldoet. In de scriptie hebben wij ons beperkt tot het domein informatiearchitectuur en niet op andere domeinen. De reden hiervan is dat informatiearchitectuur past binnen het IT karakter van de opleiding. Enterprise architectuur is een veel breder onderwerp dan alleen IT. Wij merkten dat het onontkoombaar is om ook naar de procesarchitectuur te kijken. Uit de validatie van de architectuur (hoofdstuk 6) is gebleken dat veel onderwerpen uit de informatiearchitectuur ook opgenomen zijn in andere delen van de architectuur. In het hoofdstuk waarin de theorie is getoetst kozen wij voor een serie interviews met een groep bestuurders en een groep architecten. Het heeft geholpen dat wij diverse contacten hadden die bereid waren mee te werken aan het onderzoek. Uit de serie interviews bleek dat het onderwerp leeft binnen de twee groepen. De reacties waren positief en zonder meer constructief. Ze hebben ons geholpen in het verder aanscherpen van de theorie. Op basis van feedback op de eerste versie van de scriptie is besloten om ook IT-auditors te interviewen over het onderwerp. Uit collegiale discussies met collega’s zijn waardevolle inzichten gekomen waarmee we de theorie ten aanzien van de gevolgen voor IT-auditors verder hebben kunnen aanvullen.

8.2 Resultaten van het onderzoek De resultaten van het praktijkonderzoek zijn vastgelegd in interviewverslagen, welke zijn afgestemd met de betrokkenen. Verder hebben wij de geïnterviewden stellingen voorgelegd die verwerkt zijn in staafdiagrammen. Deze methode heeft als voordeel dat de resultaten onderling goed vergelijkbaar zijn. Als nadeel brengt deze methode met zich mee dat het niet mogelijk is om een antwoord te nuanceren. Deze methode hebben wij daarom gebruikt als aanvulling op het interviewverslag waardoor dit nadeel gecompenseerd is. Het onderwerp informatiearchitectuur is geen traditioneel IT-audit onderwerp. Bovendien betreft het een vakgebied dat nog volop in ontwikkeling is. Dit heeft ervoor gezorgd dat bestpractises nog ontwikkeld worden. Het object informatiearchitectuur is niet volledig uitgekristalliseerd waardoor wij ervoor gekozen hebben hier een eerste aanzet voor te doen. Door informatiearchitectuur te positioneren in de context van rationele besluitvorming, is de doelstelling van informatiearchitectuur duidelijk. Vanuit de doelstelling is geredeneerd naar de kwaliteitsaspecten die de doelstelling moeten realiseren. Om informatiearchitectuur als object te kunnen beschouwen, zijn verschillende kwaliteitsaspecten benoemd. Hierbij is een onderscheid gemaakt in de primaire kwaliteitsaspecten en de secundaire kwaliteitsaspecten. De primaire kwaliteitsaspecten moeten ondersteunend zijn aan de doelstelling van de bestuurder (effectiviteit en efficiency) en de secundaire kwaliteitsaspecten zijn ondersteunend aan de primaire kwaliteitsaspecten. Gedurende het onderzoek bleek dat effectiviteit en efficiency kwaliteitsaspecten zijn met een sterk subjectief karakter. Vervolgonderzoek zou een methode op moeten leveren die een invulling geeft aan deze begrippen. Deze invulling zou kunnen bestaan uit een inventarisatie 60

die uitgevoerd is met verschillende personen binnen een organisatie. Door deze inventarisatie wordt het kwaliteitsaspect concreter waardoor het beter toetsbaar wordt. De IT-auditor kan hierbij een rol spelen. Het ontbreken van kwaliteitsaspecten voor informatiearchitectuur vormt een belangrijke beperking, waardoor de toetsbaarheid van de kwaliteit van informatiearchitectuur op dit moment is begrensd. Tot slot stellen wij het op prijs als u als lezer opmerkingen, aanvullingen of discussie wilt voeren over dit onderzoek. Wij denken dat het noodzakelijk is dat bestuurders, architecten en IT-auditors met elkaar van gedachten wisselen over hoe de toekomst van architectuur (en de toegevoegde waarden van een audit hierop) eruit ziet. Immers, bestuurders hebben baat bij de inzet van architectuur bij hun besluitvorming en architecten hebben baat bij goede input van hun bestuurders. De IT-auditor kan in onze visie beide partijen bij elkaar brengen en een centrale rol spelen in de communicatie tussen beide partijen.

61

Bijlagen

62

Bijlage A Literatuur Gerefereerde literatuur AR. 2007. Aanbesteding ICT-component P-Direkt. Den Haag: Algemene Rekenkamer. AR. 2008. Lessen uit ICT-projecten bij de overheid; Deel A. Den Haag: Algemene Rekenkamer. AR. 2008. Lessen uit ICT-projecten bij de overheid; Deel B. Den Haag: Algemene Rekenkamer. Bayens, G. (2007). Managers bedrijven architectuur: Succesvol ondernemen met bedrijfsarchitectuur. Soest: Uitgeverij Nelissen. BZK. 2008. Brief van de minister van binnenlandse zaken en koninkrijksrelaties aan de tweedekamer 135, 12-12-2008 Campbell, D.S. Chorus, G.J.N.M. Janse, Y.H.C. e.a. (2007). Architectuurdocumentatie Evaluatie: Aanzet tot een methode om architectuurdocumentatie te evalueren. Nijmegen: Radboud Universiteit Nijmegen. Campbell, D.S. De Vries, A.M. 2009. Architectuuraudit: de toegevoegde waarde. Den Haag: Rijksauditdienst. Dam, N.H.M. van. Marcus, J.A. (1999). Een praktijkgerichte benadering van Organisatie en Management. Houten: EPN. Deming, W. E. (1986). Out of the Crisis. MIT Center for Advanced Engineering Study. Fröhlichs, G. Platje, A. (2000). Project based management: inrichting en beheersing van de multiprojectorganisatie. Alphen aan den Rijn: Kluwer. Greefhorst, D. Koning, H. Vliet, H. van, (2003). De dimensies in architectuurbeschrijvingen. IBM Business Consulting Services / Vrije Universiteit, Amsterdam, pp.2-3. Heijnsdijk, J. (2005). Besturen van het bedrijf: leidinggeven en interne organisatie. Groningen: Wolters-Noordhoff. Henderson, J.C. Venkatraman, N. (1993). Strategic alignment: leveraging information technology for transforming organizations. IBM Systems Journal, vol.32. Op ’t Land, M. Proper, E. Waage, M. e.a. (2009). Enterprise Architecture: Creating Value by Informed Governance. Berlijn: Springer. Leeuw, A.C.J. de (1990), Organisaties: Management, analyse, ontwerp en yerandering. Assen: Van Gorcum. Maes, R. (2002). Architectuur en Alignment. Universiteit van Amsterdam / Prima Vera Working Paper, pp.7. Matthijsse, R. (2009). IT-auditor te vaak buiten beeld. Automatisering Gids, nr. 8, p.p. 16-17. McCarthy, R.V. (2006). Toward a unified Enterprise Architecture framework: an analytical evaluation. Quinnipiac University. NOREA (1999). NOREA geschrift no. 1: IT-auditing aangeduid. Amsterdam: NOREA. NOREA (2002). Studierapport 3: Raamwerk voor de ontwikkeling van normenstelsels en standaarden: een facalitair instrument bij de beroepsuitoefening. NOREA. 63

Paauwe, M. (2004). Uitwisselbaar en (Her)bruikbaar Architectuurwerk: De kracht van een Metamodel voor Informatie Architectuur. Amarant Training. Praat, J. Suerink, H. (2004). Inleiding EDP-auditing. Ten Hagen & Stam uitgevers. Perdeck, M. (2001). Kritieke succesfactoren voor werken onder architectuur. Rijsenbrij, D.B.B. (2005). Architectuur in de digitale wereld, Syllabus: Inleiding in de Digitale Architectuur. http://www.digital-architecture.net/collegedictaat.htm. Rijsenbrij, D.B.B. (2009). Column architectuuraudit. Automatisering Gids, nr. 5. Schekkerman, J. (2004). How to survive in the jungle of Enterprise Architecture Frameworks. Victoria:Institute for Enterprise Architecture Development / Trafford Publishing. Scheper, W.J. (2002). Business IT alignment: Oplossing voor de productiviteitsparadox. Utrecht: Universiteit Utrecht. Scheepstra, M. (2004). Architecture Governance. Nijmegen: Radboud Universiteit Nijmegen. The Open Group. (2009). http://www.opengroup.org/togaf. TOGAF v9 Wagter, R. Van den Berg, M.J.B.K. Luijpers, J. e.a. (2001). DYA®: snelheid en samenhang in business- en ICT-architectuur. Den Bosch: Tutein Nolthenius . Wieringa, R. Eck, P. van, Steghuis, C. (2008). e.a. Competences of IT Architects. Den Haag: Sdu Uitgevers. Zachman, J.A. (1997). Concepts of the framework for Enterprise Architecture.

Achtergrondinformatie Bunker, D. Kautz, K.H. Nguyen, A.L.T. (2007). Role of value compatibility in IT-adoption. Journal of information Technology, vol. 22. Dietz, J.L.G. (2008). Architecture: Building strategy into design. Den Haag: Sdu Uitgevers. Luftman, J.N. (2000). Assessing business-IT alignment maturity. Communications of the Association of Information Systems, vol. 4. Hendriks, C.M. Oosterhaven, J.A. e.a. (2008). Architectuur maakt de toekomst mogelijk: LAC 2008. Den Haag: Sdu Uitgevers. Luftman, J.N. Papp, R. Brier, T. (1999). Enablers and inhibitors of business-IT-alignment. Communications of the Association of Information Systems, vol. 1. Olugbode, M. Richards, R. Biss, T. (2007). The role of information technology in achieving the organisation’s strategic development goals. Elsevier.

64

Bijlage B Overzicht van tabellen Tabel 1: 'Gesloten vragen' ........................................................................................................ 29 Tabel 2: 'Overzicht antwoorden geïnterviewden' ..................................................................... 34 Tabel 3: 'Vergelijking antwoorden architecten en bestuurders' ............................................... 39 Tabel 4: 'Kwaliteitsaspecten in relatie tot de informatiearchitectuur' ...................................... 42 Tabel 5: 'Productnormen informatiearchitectuur afgezet tegen kwaliteitsaspecten' ................ 44 Tabel 6: 'Procesnormen architectuur governance afgezet tegen kwaliteitsaspecten' ............... 45 Tabel 7: 'Procesnormen architectuur governance afgezet tegen kwaliteitsaspecten' ............... 47 Tabel 9: 'Beoordeling informatiearchitectuur aan de hand van productnormen' ..................... 50 Tabel 10: 'Resultaten toetsing informatiearchitectuur aan productnormen afgezet tegen kwaliteitsaspecten'............................................................................................................. 52 Tabel 11: 'Validatie kwaliteitsaspecten aan de hand van informatiearchitectuur'.................... 52 Tabel 12: 'Lijst van organisaties waar interviews hebben plaatsgevonden' ............................. 67 Tabel 13: 'overzicht van wijzigingen ten opzichte van voorgaande versies'............................ 68

65

Bijlage C Overzicht van figuren Figuur 1 'Leeswijzer' .................................................................................................................. 9 Figuur 2: '9-Vlaksmodel' .......................................................................................................... 12 Figuur 3: 'Afbakening 9-vlaksmodel' ....................................................................................... 13 Figuur 4: 'Inhoud hoofdstuk 3' ................................................................................................. 15 Figuur 5: 'Paragraaf 3.1' ........................................................................................................... 16 Figuur 6: 'Besluitvormingsproces'............................................................................................ 17 Figuur 7: 'Paragraaf 3.2' ........................................................................................................... 19 Figuur 8: 'Relatie organisatiebeleidsvlak en informatiebeleidsvlak' ........................................ 20 Figuur 9: 'Rapportage van alternatieven.'................................................................................. 21 Figuur 10: 'Paragraaf 3.3' ......................................................................................................... 22 Figuur 11: 'Positionering Enterprise Architectuur in het 9-vlaksmodel' .................................. 23 Figuur 12: 'Informatiearchitectuur in het traditionele besluitvormingsproces' ........................ 24 Figuur 13: 'Paragraaf 3.4' ......................................................................................................... 26 Figuur 14: 'Weergave directe betrokkenheid'........................................................................... 26 Figuur 15: 'Theoretische validatie' ........................................................................................... 35 Figuur 16: 'Praktische validatie' ............................................................................................... 36 Figuur 17: 'Inzet architectuur bij besluitvorming' .................................................................... 46 Figuur 18: 'Positionering van de informatiearchitectuurfunctie' .............................................. 56

66

Bijlage D Lijst van interviews Voor het onderzoek zijn een negental interviews gehouden met experts. Het doel van de interviews is tweeledig. Enerzijds wordt op deze wijze een beeld verkregen van de wijze waarop informatiearchitectuur wordt ingezet als instrument bij de besluitvorming binnen organisaties. Anderzijds bieden de interviews ons de gelegenheid de in dit onderzoek geformuleerde hypothese over de betrokkenheid tussen besluitvorming en informatiearchitectuur te valideren. De groep experts die zich beschikbaar hebben gesteld voor het onderzoek zijn door ons opgedeeld in drie groepen: • Bestuurders (verantwoordelijk voor het formuleren van de doelstellingen van de organisatie en voor het besturen van doorgevoerde veranderingen) • Architecten (inhoudelijk betrokken bij het opstellen van de informatiearchitectuur en adviserend richting beleidsvorming) • IT-auditors (verantwoordelijk voor de controle op de architectuurfunctie) Op deze manier ontstaat een evenwichtig beeld van hoe informatiearchitectuur wordt ingezet in organisaties en wat de bruikbaarheid is van de informatiearchitectuur als instrument bij de besluitvorming. Daarnaast leveren de IT-auditors vakinhoudelijke onderbouwing van het door ons opgestelde kwaliteitsmodel. Een overzicht van geïnterviewden en de organisaties waarin zij actief zijn is weergegeven in Tabel 11: 'Lijst van organisaties waar interviews hebben plaatsgevonden'. Een overzicht van de interviewverslagen is te vinden in bijlage F. Bijlage F is in de gepubliceerde versie van deze scriptie niet opgenomen om individuele uitspraken die de geïnterviewden hebben gedaan niet openbaar te maken. De gesprekken met IT-auditors hebben in collegiale settings plaatsgevonden, waar geen verslagen van zijn gemaakt. Daarnaast hebben zij de scriptie becommentarieerd. Tabel 11: 'Lijst van organisaties waar interviews hebben plaatsgevonden' Geïnterviewde Theo de Breed Piet de Kam Rob Meijer Jaap Schekkerman

Organisatie Deloitte ERS SVB Rijksoverheid (DGOBR) LogicaCMG

Rol Bestuurder Bestuurder Bestuurder Bestuurder

Guido Bayens Leo Geubbels Michiel Borgers Daan Rijsenbrij

Novius ICTU ICTRA Rijsenbrij Digitecture

Architect Architect Architect Architect

Bart Bockhorst Pieter Boere Wim van Dommelen Hemke Havinga Boudien Glashouwer Piet Goeyenbier Rob Pietersma Arjan de Vries

Belastingdienst VenW RAD RAD HEC RAD Deloitte ERS RAD

IT-auditor IT-auditor IT-auditor IT-auditor IT-auditor IT-auditor IT-auditor IT-auditor

67

Bijlage E Wijzigingen deze versie Tabel 12: 'overzicht van wijzigingen ten opzichte van voorgaande versies' Wijziging en rationale

Locatie

Diverse tekstuele wijzigingen, aanscherpingen en correcties.

Gehele document

Aanpassing in het theoretische model. Relatie tussen informatiearchitectuurvlak en organisatiebeleidsvlak is aangepast om nauwkeuriger de situatie in de praktijk weer te geven. Hierbij is niet langer sprake van een wederzijdse beïnvloeding, maar een betrokkenheid van de informatiearchitectuur bij de besluitvorming. Gesproken wordt over betrokkenheid in plaats van relatie.

Hoofdstuk 3

Kwaliteitsaspecten aan informatiearchitectuur zijn afgestemd op de vraag en doelstelling van de bestuurder. De bestuurder is geïnteresseerd in een efficiënte en effectieve besluitvorming (mede) op basis van de informatiearchitectuur. De architect tracht deze doelstellingen te waarborgen door een integere en controleerbare architectuur op te leveren.

Hoofdstuk 6.1

De doelstelling en achterliggende beredenering van de drie onderzoeksgebieden (kwaliteit architectuur, architectuur governance en architectuur compliance) is verder uitgewerkt en gekoppeld aan product- en procesgeoriënteerde controle.

Hoofdstuk 6.1

De definitie van informatiearchitectuur wordt eerder gepresenteerd dan in hoofdstuk 3.

Hoofdstuk 1.

Het rationele besluitvormingsmodel wordt eerder gepresenteerd dan in hoofdstuk 3.

Hoofdstuk 1

Informatiearchitectuur wordt uitgebreider toegelicht in hoofdstuk 3, waarbij meer aandacht is voor de inhoudelijke aspecten hiervan.

Hoofdstuk 3.3

De beschrijving van de aanpak van het onderzoek in hoofdstuk 2 is aangepast om de werkzaamheden voor versie 2 te reflecteren.

Hoofdstuk 2.5

De antwoorden op de deelvragen in hoofdstuk 5 zijn deels aangepast (met in achtneming van de uitgebreidere definitie van kwaliteit van informatiearchitectuur). De auditdeelvraag (deelvraag 5) is bovendien naar hoofdstuk 6 verplaatst.

Hoofdstuk 5.5

De antwoorden op de deelvraag in hoofdstuk 5 zijn afgestemd met de geïnterviewden.

Hoofdstuk 5.5

De gevolgen voor de IT-audit en andere IT-auditgerelateerde stof is in een nieuw hoofdstuk opgenomen. Hierdoor wordt de nadruk meer op het verschil tussen theoretische beschouwing van informatiearchitectuur in de gebruikerscontext (besluitvorming rond portfoliomanagement) en de beschouwing van informatiearchitectuur als auditobject gelegd.

Hoofdstuk 6

De afstemmingsactiviteiten met collega IT-auditors is uitvoeriger beschreven.

Hoofdstuk 6.2

Het kwaliteitsmodel is gevalideerd aan de hand van een informatiearchitectuur.

Hoofdstuk 6.2

De conclusie is aangepast op basis van nieuwe inzichten.

Hoofdstuk 7

De reflectie is aangepast op basis van de uitvoering van aanvullende werkzaamheden voor versie 2.

Hoofdstuk 8

68