HORA (Hoger Onderwijs Referentie Architectuur) is een verzameling van instrumenten voor het inrichten van de organisatie en informatiehuishouding van Nederlandse instellingen voor Hoger Onderwijs. De HORA is een referentie-architectuur; een generieke architectuur die van toepassing is op meerdere organisaties. (...) Ze beschrijft een HO-instelling op een niveau waarop het onafhankelijk is van instellingsspecifieke keuzes. Ze kan door HO-instellingen gebruikt worden als spiegel voor de eigen organisatie-inrichting en informatiehuishouding. De focus van de HORA ligt op informatievoorziening; het geheel van mensen, middelen en maatregelen gericht op de informatiebehoefte van die organisatie. De HORA geeft richting maar de instellingen kunnen zelf bepalen hoe ze deze richting vertalen in een eigen inrichting.
Binnen de HORA vormen het bedrijfsfunctiemodel, het informatiemodel ('bedrijfsobjectenmodelen') en het applicatiemodel een soort drie-eenheid die bij elkaar de meest belangrijke informatievoorzieningsaspecten beschrijven. Hieronder worden deze modellen nader beschreven:
(1) Bedrijfsfunctiemodel
Een bedrijfsfunctiemodel is een model van de bedrijfsfuncties van een organisatie. Het beschrijft wat een organisatie doet onafhankelijk van hoe het wordt uitgevoerd. Het kijkt naar een organisatie als een verzameling van activiteiten die worden uitgevoerd en clustert deze tot logische eenheden die soortgelijke kennis en competenties vragen. Het model vormt een neutraal referentiekader waarin nog geen organisatie-specifieke keuzen staan. Aangezien organisaties in tijd meestal dezelfde activiteiten blijven uitvoeren is het model daardoor stabiel van aard. Veranderingen vinden vooral plaats op het niveau van bedrijfsprocessen, waarin bedrijfsfuncties op een specifieke manier worden ingevuld en met elkaar gecombineerd tot een stroom van activiteiten. Dit maakt het bedrijfsfunctiemodel structureel anders dan een procesmodel. Een procesmodel legt de nadruk op het afhandelen van gebeurtenissen door een specifieke volgordelijkheid van activiteiten aan de hand van specifieke bedrijfsregels.
De toepassingsmogelijkheden van een bedrijfsfunctiemodel zijn breed. Vanwege de stabiliteit van het model is het erg geschikt om gebruikt te worden als algemeen ankerpunt om andere modellen aan te relateren waarbij in eerste instantie nog niet gesproken wordt over organisatie- en IT-inrichting.
In het onderstaande worden de meer generieke bedrijfsfuncties verder gespecificeerd:
STURING
Strategie en governance
• Strategische planning
• Enterprise governance
• Organisatiemanagement
• Enterprise risicomanagement
Beleid en planvorming
• Beleidsvorming en evaluatie
• Enterprise architectuur
• Tactische planning
• Productportfoliomanagement
Verandermanagement
• Programma en project- portfoliomanagement
• Programmamanagement
• Projectmanagement
• Innovatie
Verbetermanagement
• Procesmanagement
• Performancemanagement
• Kwaliteitsmanagement
• Operationeel management
Verantwoording
• Interne rapportages
• Jaarverslaglegging
• Accreditatie
• Uitvoering Standard Evaluation Protocol
• Overige externe rapportages
• Integrale veiligheidsbewaking
BEDRIJFSVOERING
Human Resource Management
• Formatieplanning
• Werving en selectie
• Medewerkerontwikkeling
• Medewerkerbeoordeling
• Medewerkeradministratie
• Tijdregistratie
• Salaris- en declaratieverwerking
• Ziekte en verzuimadministratie
Financieel management
• Begrotingsconstructie
• Grootboekbeheer
• Activabeheer
• Facturering
• Debiteurenbeheer
• Crediteurenbeheer
• Betalingen
• Vermogensbeheer
Facilitair management
• Gebouwbeveiliging
• Cateringbeheer
• Schoonmaak
• Afvalbeheer
• Vastgoedontwikkeling
• Gebouwbeheer
• Goederenafhandeling
• Bedrijfshulpverlening
• Documentafhandeling en archivering
Informatie en Technologie management
• Functioneel beheer
• Gegevensbeheer
• Informatiebeveiliging
• Identiteitenbeheer
• Applicatie-ontwikkeling
• Applicatiebeheer
• IT-infrastructuurontwikkeling
• IT-infrastructuurbeheer Communicatiemanagement
Communicatiemanagement
• Imago-ontwikkeling
• Interne communicatie
• Externe communicatie
Inkoopmanagement
• Aanbesteden
• Leveranciersbeheer
• Contractbeheer
• Bestellen
Contactmanagement
• Contactbeheer
• Servicemanagement
• Relatiebeheer
• Alumnibeheer
Juridisch management
• Compliancebeheer
• Juridisch adviseren
• Juridische bescherming
• Afhandeling bezwaren en beroepen
• Klachtenafhandeling
(2) Informatiemodel
"Het informatiemodel beschrijft de gegevens die instellingen voor onderwijs en onderzoek beheren. Het wordt ook wel een bedrijfsobjectmodel of een conceptueel gegevensmodel genoemd. Het is nadrukkelijk nog geen logisch gegevensmodel. Het model beschrijft de grotere eenheden van gegevens in een taal die breed in de organisatie herkenbaar is en geeft dus nog geen details over de precieze gegevensstructuur. Het legt focus op bedrijfsobjecten met een grotere verzameling van gestructureerde gegevens die breed worden gedeeld in de organisatie. Het model lijkt op het bedrijfsfunctiemodel in de zin dat het ook onafhankelijk is van de inrichting van organisatie en IT en daardoor ook een stabiel referentiekader biedt. Nog meer dan het bedrijfsfunctiemodel creëert het een gemeenschappelijke taal voor de meest gebruikte objecten waar instellingen mee werken. De namen die voor de bedrijfsobjecten gekozen zijn hebben in de dagelijkse praktijk soms niet een eenduidige betekenis. Het model probeert onduidelijkheden over betekenis te vermijden en bevat daardoor op een aantal plaatsen woorden die minder herkenbaar zijn, maar wel een eenduidige betekenis hebben. Zo is bijvoorbeeld het woord “deelnemer” gekozen in plaats van “student” omdat er in de praktijk allerlei mensen deel kunnen nemen aan het onderwijs die niet volledig te vatten zijn onder de term “student”. Denk daarbij aan prospects (voorbereidend onderwijs), promovendi, extranei en cursisten (postacademisch onderwijs) die aan (een deel van de) onderwijsactiviteiten kunnen deelnemen. We hebben niet geprobeerd al deze (en anderssoortige) rollen uit te modelleren in het informatiemodel. Vanuit het perspectief van het informatiemodel is alleen relevant dat al deze mensen kunnen deelnemen aan het onderwijs.
De toepassing van het informatiemodel ligt vooral in het ondersteunen van organisatiebrede discussies over verantwoordelijkheden voor het beheren van gegevens. In veel instellingen zijn het bronsysteem en het eigenaarschap van gegevens onvoldoende helder aangewezen. Deze onduidelijkheden veroorzaken een lagere kwaliteit van gegevens waardoor het lastig is een consistent en integraal beeld te krijgen. In het kader van verantwoording, die steeds meer aandacht krijgt vanuit de overheid, is dit onacceptabel. Van elk bedrijfsobject zou duidelijk moeten zijn wie eindverantwoordelijk is en wie de gegevens functioneel beheert. Een andere belangrijke toepassing is het bepalen van de applicatie die kan worden beschouwd als bron voor de bij het bedrijfsobject behorende gegevens (ook wel: “system of record”)."
BIV-classificatie
Een BIV-classificatie geeft aan welke mate van beschikbaarheid, integriteit en vertrouwelijkheid gewenst is voor een bepaald gegeven. Het is de basis voor het bepalen van passende informatiebeveiligingsmaatregelen, die op zowel processen, organisatie als technologie impact zullen hebben. (...) Een BIV-classificatie bestaat uit drie scores: een B-score, I-score en V-score. De waardes van deze scores kunnen zijn: hoog, middel of laag. Voor vertrouwelijkheid is er ook een “openbaar” die aangeeft dat specifieke gegevens publiek beschikbaar zijn. Gegevens die een grote rol spelen in de dagelijke operatie van een instelling zijn geclassificeerd met een hogere B-score. Gegevens die nodig zijn voor geplande bijeenkomsten zoals toetsmateriaal scoren de hoogste B-score. De integriteit van sturende en financiële gegevens scoren een verhoogde I score. De gegevens die nodig zijn voor een goede uitvoering van het onderwijs scoren de hoogste I score. De vertrouwelijkheidsscore wordt bepaald door de bedrijfseconomische waarde en door de regelgeving rond de bescherming van persoonsgegevens. Gegevens die de identiteit, nationaliteit of ras vastleggen en gegevens die een economische situatie beschrijven scoren een hogere V-score. Gegevens die de medische, psychische of sociale situatie beschrijven van een persoon krijgen de hoogste V-score.
De V-score wordt in een aantal gevallen sterk beïnvloedt door specifieke attributen. Dit geldt met name voor bedrijfsobjecten met persoonsgegevens doordat de Wet Bescherming Persoonsgegevens allerlei eisen stelt aan vertrouwelijkheid. Het College Bescherming Persoonsgegevens heeft specifieke richtsnoeren opgesteld voor het publiceren van persoonsgegevens op internet [37]. Zuivere persoonsgegevens bevinden zich in de bedrijfsobjecten deelnemer, medewerker en individu. Er zijn bedrijfsobjecten die de relatie tussen de instelling en de personen weergeven. Zo bestaan er rond een deelmer de gevoelige bedrijfsobjecten onderwijsovereenkomst, examenprogramma, onderwijseenheiddeelname, leer- en lesgroep, toetsresultaat en onderwijseenheidresultaat. Dit zijn alle transactiegeoriënteerde gegevenssets met een beperkte set aan attributen. Het heeft geen zin dergelijke bedrijfsobjecten nader te bestuderen op attribuutniveau.
(3) Applicatiemodel
"Het applicatiemodel (ook wel 'applicatie-architectuur') beschrijft de een organisatie nodig heeft om haar processen te ondersteunen. Het model beschrijft deze applicaties (ook wel 'applicatiecomponenten') op een logisch niveau, onafhankelijk van specifieke productkeuzen. Applicaties worden primair gevormd door functionaliteit die ze aanbieden en de gegevens die ze beheren. Het bedrijfsfunctiemodel, het bedrijfsobjectenmodelen het applicatiemodel vormen daardoor een soort drie-eenheid die bij elkaar de meest belangrijke informatievoorzieningsaspecten beschrijven. Het onderscheid in technische deelcomponenten is in het applicatiemodel niet relevant.
Binnen het applicatiemodel kan onderscheid worden gemaakt tussen applicaties die bedrijfsfuncties direct ondersteunen (specifieke applicaties) en applicaties die in veel verschillende bedrijfsfuncties worden gebruikt (generieke applicaties)."
BIV-classificatie
Ook applicaties kunnen worden voorzien van een BIV-classificatie als basis voor informatiebeveiligingsmaatregelen. De BIV-classificatie van bedrijfsobjecten kan gebruikt worden om een BIV-classificatie voor applicaties af te leiden. Cruciaal voor het bepalen van de BIV-classificatie van een applicatie is de vraag of een applicatie die geen bronsysteem voor een bepaald bedrijfsobject is, de gevoelige attributen van dat bedrijfsobject ontsluit. Als die gevoelige attributen niet ontsloten worden kan de BIV-classificatie van dat bedrijfsobject buiten beschouwing worden gelaten bij de classificatie van die applicatie."