"Kan een apparaat een bevoegdheid hebben?"

"Kan een apparaat een handeling uitvoeren?"

In de wereld van Identity en Access Management liggen deze vragen nog wel eens op tafel...

Er is een reden dat 'handeling' en 'bevoegdheid' niet aan apparaten  kunnen worden toegekend.

De eerste Wet van Systeemdenken

De essentie van systeemdenken is dat elk van de essentiële componenten van het systeem niet kan wat een andere component kan, of wat het systeem kan. Er is dus zuivere exclusiviteit als het om essentiële componenten gaat. Als je die eerste basiswet van systeemdenken loslaat ontwerp je op basis van redundante bouwblokken en is elke oplossing inefficiënt.

USM, c.q. het NORA Basisconcept van Dienstverlening, legt uit dat de essentiële componenten van een (dus elke) dienstverlenende organisatie bestaan uit mensen (entiteiten), processen (bestaande uit handelingen), en (technologische) hulpmiddelen. Elke (dienstverlenende) organisatie is "een stel mensen die dingen doet met spullen", die daarmee diensten leveren die waarde creëren voor afnemers. Dat is de essentie van dienstverlening.

Uit deze indeling van essentiële componenten volgt meteen dat alleen mensen handelingen kunnen uitvoeren, en daarbij zetten die mensen naar behoefte hulpmiddelen in om die diensten te leveren.

Een apparaat is een artefact en een hulpmiddel. Een apparaat is dus geen mens. En aangezien alleen mensen handelingen kunnen uitvoeren, kan een apparaat geen handelingen uitvoeren.

De tweede Wet van Systeemdenken

Het gevolg van wederzijds exclusieve, essentiële componenten is dat voor de prestatie van het gehele systeem alle essentiële componenten nodig zijn - anders waren die componenten immers niet essentieel. De combinatie van de drie essentiële componenten heet in USM de werkwijze. In een dienstverleningsmaatschappij is de prestatie van dat systeem een service (dienst). Elke service wordt dus geleverd door zo'n werkwijze, bestaande de combinatie van mensen, processen en hulpmiddelen.

Een apparaat is een hulpmiddel, dus een apparaat kan in z'n eentje geen services leveren.

Een apparaat is daarom geen dienstverlener; met een apparaat kun je geen onderhandelingen voeren; een apparaat kan geen afspraken maken met een afnemer; bij een apparaat kun je geen klachten kwijt; en een apparaat kan ook geen verantwoordelijkheid dragen. De logische conclusie is dan:

Aan een apparaat kun je geen bevoegdheid toekennen.

Mechanisatie bevordert capabilities

Zodra een handeling van een mens wordt gemechaniseerd (c.q. geautomatiseerd) verschuift die combinatie (mens & proces) naar een functie van een hulpmiddel. Daarna kan die mens de beoogde prestatie waarschijnlijk sneller/beter/handiger met dat hulpmiddel doen, waarna die mens méér kan presteren in minder tijd, of een bétere uitvoering kan geven aan die prestatie.

Zodra een apparaat iets 'kan' is dat een functie van dat apparaat geworden. Het apparaat is niet een mens (of een entiteit), en dus is er ook nu weer een mens die een handeling uitvoert mét dat apparaat als hulpmiddel. Ook als de directe verbinding tussen de mens en het apparaat niet meer fysiek aanwezig, bijvoorbeeld bij een robot die ook zonder de aanwezigheid van de mens functies uitvoert, dan nog heeft die mens de robot gemaakt en geïnstrueerd of geprogrammeerd om bepaalde functies uit te voeren. Ook een AI-agent is door een mens geprogrammeerd, en dien AI-agent voert uitsluitend functies uit die door die mens zijn ingesteld.

Op die manier 'vreet' mechanisatie - c.q. automatisering - langzamerhand de oorspronkelijk handmatige werkzaamheden van de organisatie op. Omdat we tegelijkertijd steeds meer taken aan diezelfde organisatie toekennen, neemt de 'capability' van die organisatie toe in de tijd.

Consequenties voor IAM

Op basis van bovenstaande is het dus onmogelijk dat een apparaat een handeling kan uitvoeren en daartoe een bevoegdheid kan verkrijgen. Dat apparaat kan hooguit een functie hebben als de mens dat apparaat zodanig programmeert dat die mens het apparaat gebruikt voor het uitvoeren van een prestatie d.m.v. een werkwijze. Die mens is dan nog steeds de uitvoerder en die mens heeft dan de bevoegdheid en ook de bijbehorende verantwoordelijkheid. Het apparaat heeft alleen functies - geen bevoegdheid, en ook geen verantwoordelijkheid. Het kunnen tonen van een (gedocumenteerde) 'bevoegdheidsverklaring' is dan gewoon deel van de functie van dat apparaat.