Nouă roluri, un sistem: cine poate vedea și face ce

Prima dată când un patron dă o tabletă unui angajat nou, pune de obicei aceeași întrebare: ce poate vedea persoana asta?

E întrebarea corectă, iar răspunsul onest trebuie să fie concret.

Nouă roluri și la ce servește fiecare

Miza nu e că oamenii nu sunt de încredere. Miza e că un ecran plin de lucruri asupra cărora nu poți acționa e un ecran pe care înveți să-l ignori — iar unui casier căruia îi arăți marja la materie primă i-ai dat o distragere, nu un instrument.

Limitarea pe filială e impusă, nu cerută

Cea mai frecventă eroare în operațiunile multi-locație e un manager care vede tot lanțul pentru că nimeni n-a restrâns interogarea. Să-i spui cuiva „uită-te doar la locația ta” e o politică. Să-l împiedici e un sistem.

Cererile unui manager sunt verificate față de identificatorul propriei locații — în rută, în parametri și în conținutul a ceea ce trimite. Dacă cere cifrele altei locații, răspunsul e nu, indiferent pe ce ecran a găsit butonul.

La ce servește pista de audit

Două înregistrări însoțesc fiecare acțiune:

• Jurnalul de activitate — o listă lizibilă cu ce a făcut personalul: acest casier a anulat acel produs, acest manager a aprobat acea restituire, la ora asta.
• Pista de audit — înregistrarea de bază a ceea ce s-a schimbat, cu valorile dinainte și de după, utilizatorul și cererea care a purtat-o.

Niciuna nu e interesantă până în ziua în care o cifră e greșită. Atunci sunt diferența dintre o discuție despre fapte și una despre amintiri. Din același motiv o notă contabilă înregistrată se stornează, nu se editează: un istoric editabil nu răspunde la întrebări.

Regulile care țin totul

Trei obiceiuri fac mai mult decât orice matrice de permisiuni:

1. O persoană, un cont. Un login comun „casier1” înseamnă că fiecare anulare, restituire și reducere nu aparține nimănui. Dacă iei un singur lucru din articolul ăsta, ia-l pe acesta.
2. Aprobare pe ce mișcă bani. Anulările, restituirile și reducerile peste un prag ar trebui să ceară un manager. Nu pentru că personalul fură — ci pentru că o a doua pereche de ochi prinde și greșelile oneste.
3. Retrage accesul în ziua în care cineva pleacă. Ieșirea din firmă nu înseamnă doar predarea uniformei.

Ce protejează contul în sine

Sub roluri stau apărările obișnuite: parolele sunt stocate ca hash, cinci încercări eșuate de autentificare blochează contul pentru o perioadă de răcire, sesiunile pot fi revocate dispozitiv cu dispozitiv, iar token-urile de durată lungă se rotesc în loc să trăiască la nesfârșit. Punctele sensibile au limite de rată, ca un script să nu poată insista la pagina de autentificare.

Nimic din toate astea nu se vede într-o zi normală, ceea ce e exact ce îi ceri.

O configurație inițială rezonabilă

Pentru o singură locație: un Administrator (tu), un cont de Casier pentru fiecare casier, unul de Bucătărie pentru fiecare ecran — și, dacă ai contabil, un acces de Contabil ca să nu-ți mai ceară exporturi.

Pentru un lanț: adaugă un Manager de filială pentru fiecare locație și rezistă tentației unui al doilea Administrator „ca să fie mai simplu”. Așa ajunge un lanț cu patru oameni care pot schimba prețurile și fără nicio cale de a ști care a făcut-o.