Neun Rollen, ein System: wer was sehen und tun darf

Wenn ein Inhaber zum ersten Mal einem neuen Mitarbeiter ein Tablet gibt, stellt er meist dieselbe Frage: Was kann diese Person sehen?

Es ist die richtige Frage, und die ehrliche Antwort muss konkret sein.

Neun Rollen und wozu jede da ist

Es geht nicht um Vertrauen. Es geht darum, dass ein Bildschirm voller Dinge, auf die man nicht reagieren kann, ein Bildschirm ist, den man ignorieren lernt — und wer einer Kassenkraft Ihren Wareneinsatz zeigt, hat ihr eine Ablenkung gegeben, kein Werkzeug.

Der Filialbezug wird erzwungen, nicht erbeten

Der häufigste Fehler im Filialbetrieb: eine Leitung, die die ganze Kette sieht, weil niemand die Abfrage eingeschränkt hat. „Schau nur auf deine Filiale“ ist eine Richtlinie. Es zu verhindern ist ein System.

Die Anfragen einer Filialleitung werden gegen die eigene Filial-Id geprüft — in der Route, in den Parametern und im Inhalt dessen, was sie absendet. Fragt sie die Zahlen einer anderen Filiale ab, lautet die Antwort nein, gleich auf welchem Bildschirm sie den Knopf gefunden hat.

Wozu der Audit-Trail da ist

Zwei Aufzeichnungen begleiten jede Aktion:

• Das Aktivitätsprotokoll — eine lesbare Liste dessen, was das Team getan hat: diese Kassenkraft hat jenen Artikel storniert, diese Leitung jene Erstattung freigegeben, zu dieser Zeit.
• Der Audit-Trail — die zugrunde liegende Aufzeichnung dessen, was sich geändert hat, mit Vorher- und Nachher-Werten, Benutzer und der auslösenden Anfrage.

Beides ist uninteressant, bis eine Zahl falsch ist. Dann sind sie der Unterschied zwischen einem Gespräch über Fakten und einem über Erinnerungen. Deshalb wird eine gebuchte Buchung storniert statt geändert: eine editierbare Historie beantwortet nichts.

Die Regeln, die es zusammenhalten

Drei Gewohnheiten wirken stärker als jede Rechtematrix:

1. Eine Person, ein Konto. Ein gemeinsames „kasse1“ bedeutet, dass jeder Storno, jede Erstattung und jeder Rabatt niemandem gehört. Wenn Sie eine Sache mitnehmen, dann diese.
2. Freigabe für alles, was Geld bewegt. Stornos, Erstattungen und Rabatte über einer Schwelle sollten eine Leitung erfordern. Nicht weil Personal stiehlt — weil ein zweites Augenpaar auch ehrliche Fehler fängt.
3. Zugriff am Austrittstag entziehen. Offboarding ist mehr als die Rückgabe der Dienstkleidung.

Was das Konto selbst schützt

Unter den Rollen liegen die gewöhnlichen Schutzmechanismen: Passwörter werden gehasht, fünf fehlgeschlagene Anmeldungen sperren ein Konto für eine Abkühlzeit, Sitzungen lassen sich gerätweise widerrufen, und langlebige Tokens rotieren, statt ewig zu leben. Sensible Endpunkte sind ratenbegrenzt, damit ein Skript nicht an der Anmeldeseite mahlen kann.

Nichts davon ist an einem normalen Tag sichtbar — genau das erwartet man davon.

Eine sinnvolle Startkonfiguration

Für einen Standort: ein Administrator (Sie), ein Kassenkonto je Kassenkraft, ein Küchenkonto je Bildschirm — und, falls Sie eine Buchhaltung haben, ein Buchhaltungszugang, damit sie aufhört, Exporte von Ihnen zu verlangen.

Für eine Kette: je Standort eine Filialleitung — und widerstehen Sie einem zweiten Administrator „der Einfachheit halber“. So endet eine Kette mit vier Leuten, die Preise ändern können, und ohne Möglichkeit zu wissen, wer es war.