Nove ruoli, un sistema: chi può vedere e fare cosa

La prima volta che un titolare consegna un tablet a un neoassunto, fa quasi sempre la stessa domanda: cosa può vedere questa persona?

È la domanda giusta, e la risposta onesta deve essere precisa.

Nove ruoli e a cosa serve ciascuno

Il punto non è la sfiducia. È che una schermata piena di cose su cui non puoi agire è una schermata che impari a ignorare — e a un cassiere a cui mostri il food cost hai dato una distrazione, non uno strumento.

Il perimetro per sede è imposto, non richiesto

Il fallimento più comune nel multi-sede è un responsabile che vede l’intera catena perché nessuno ha limitato la query. Dire «guarda solo la tua sede» è una policy. Impedirlo è un sistema.

Le richieste di un responsabile vengono verificate contro l’identificativo della sua sede — nel percorso, nei parametri e nel corpo di ciò che invia. Se chiede i numeri di un’altra sede, la risposta è no, su qualunque schermata abbia trovato il pulsante.

A cosa serve la pista di audit

Due registrazioni accompagnano ogni azione:

• Il log attività — un elenco leggibile di ciò che ha fatto il personale: questo cassiere ha annullato quell’articolo, questo responsabile ha approvato quel reso, a quell’ora.
• La pista di audit — la registrazione sottostante di ciò che è cambiato, con valori prima e dopo, utente e richiesta che l’ha portata.

Nessuna delle due interessa finché un giorno un numero non torna. Allora sono la differenza tra una discussione sui fatti e una sui ricordi. È anche il motivo per cui una scrittura registrata si storna invece di modificarla: uno storico modificabile non risponde a nulla.

Le regole che tengono insieme tutto

Tre abitudini valgono più di qualsiasi matrice di permessi:

1. Una persona, un account. Un login condiviso «cassa1» significa che ogni annullo, reso e sconto non è di nessuno. Se prendi una sola cosa da questo articolo, prendi questa.
2. Approvazione su ciò che muove denaro. Annulli, resi e sconti oltre una soglia dovrebbero richiedere un responsabile. Non perché il personale rubi: perché un secondo paio di occhi intercetta anche gli errori onesti.
3. Togli gli accessi il giorno in cui qualcuno se ne va. L’uscita non è solo restituire la divisa.

Cosa protegge l’account stesso

Sotto i ruoli stanno le difese ordinarie: password sottoposte a hash, blocco dell’account dopo cinque tentativi falliti, sessioni revocabili dispositivo per dispositivo e token di lunga durata che ruotano invece di vivere per sempre. Gli endpoint sensibili hanno limiti di frequenza, così uno script non può insistere sulla pagina di accesso.

Niente di tutto ciò è visibile in una giornata normale, ed è esattamente ciò che si chiede.

Una configurazione iniziale sensata

Per una sede singola: un Amministratore (tu), un account Cassiere per cassiere, uno Cucina per schermo — e, se hai un commercialista, un accesso Commercialista così smette di chiederti export.

Per una catena: aggiungi un Responsabile per sede e resisti alla tentazione di un secondo Amministratore «per comodità». È così che una catena finisce con quattro persone che possono cambiare i prezzi e nessun modo di sapere chi l’ha fatto.