Cine ce vede: rolurile într-o echipă care lucrează cu facturi

Într-o firmă de cinci oameni, discuția despre roluri și permisiuni pare birocrație. Toți se cunosc, toți au încredere unii în alții, iar accesul complet pentru toată lumea e mai simplu decât orice configurare.

Funcționează. Până la primul incident — care rareori e o fraudă și aproape întotdeauna o greșeală.

Ce se strică, în ordinea probabilității

Ștergerea accidentală. Cineva curăță ce crede că e un duplicat. Nu era.

Plata greșită. Doi oameni văd aceeași factură neplătită și o plătesc amândoi, fiecare crezând că celălalt a uitat.

Plecarea unui om. Angajatul care se ocupa de facturi pleacă și rămâne cu accesul activ luni de zile, pentru că nimeni nu ține evidența cine ce acces are.

Întrebarea fără răspuns. „Cine a modificat asta și când?” Fără roluri și fără urmă, răspunsul e o discuție, nu o verificare.

Niciunul nu presupune rea-credință. Toate presupun doar că mai mulți oameni pot face același lucru fără să știe unii de alții.

Cele trei tipuri de acces

Nu ai nevoie de o schemă complicată. Trei niveluri acoperă aproape toate situațiile.

Vizualizare

Poate căuta, citi, descărca. Nu poate modifica nimic.

Potrivit pentru: contabilul extern care are nevoie de documente, un manager care urmărește cheltuielile, un asociat care vrea vizibilitate fără implicare operațională.

E cel mai subutilizat nivel. Majoritatea oamenilor cărora li se dă acces complet aveau nevoie doar de atât.

Operare

Vizualizare, plus acțiunile zilnice: încărcarea documentelor, marcarea plăților, organizarea, corespondența cu furnizorii.

Potrivit pentru: persoana care se ocupă efectiv de facturi.

Administrare

Tot, inclusiv gestionarea celorlalți utilizatori, conexiunile la sisteme externe, setările firmei.

Potrivit pentru: proprietar și, eventual, o singură persoană de încredere. Nu pentru toată echipa — cu cât mai mulți administratori, cu atât mai puțin înseamnă rolul.

Regula de aur: cel mai mic acces care permite treaba

Întrebarea corectă nu e „am încredere în el?”, ci „ce trebuie să facă?”.

Sunt două lucruri complet diferite. Ai încredere deplină în contabilul tău, dar el nu are nevoie să poată schimba conexiunea la SPV. Nu pentru că ar face ceva rău, ci pentru că nu e treaba lui, iar o modificare accidentală acolo îți oprește preluarea facturilor.

Accesul limitat protejează și persoana: cine nu poate strica ceva nu poate fi bănuit că a stricat.

Cazul special al contabilului extern

Aici se face cea mai frecventă greșeală de securitate din firmele mici: i se dau datele proprii de acces la SPV.

E o idee proastă din trei motive. Nu mai știi cine a intrat și când. Nu poți revoca accesul fără să-ți schimbi propriile date. Iar dacă lucrează pentru mai mulți clienți, credențialele tale circulă într-un context pe care nu-l controlezi.

Varianta corectă e un acces propriu, pe numele lui, limitat la ce are nevoie și revocabil separat. Când colaborarea se încheie, dezactivezi un cont și ai terminat.

Momentele în care se revizuiesc accesurile

Nu „când ne aducem aminte”. Patru momente fixe:

• La angajare — se acordă minimul necesar, nu se copiază accesul altcuiva.
• La schimbarea rolului — se adaugă ce trebuie și se scoate ce nu mai trebuie. A doua parte se sare aproape mereu.
• La plecare — în aceeași zi. Nu la sfârșitul lunii.
• Trimestrial — o trecere în revistă de zece minute a listei de utilizatori.

Revizuirea trimestrială e cea care prinde conturile uitate. În aproape orice firmă care n-a făcut-o niciodată, prima verificare scoate la iveală cel puțin un cont activ al cuiva care a plecat.

Ce urmărești, dacă ai mai multe firme

Separarea pe firmă e la fel de importantă ca separarea pe rol. Contabilul firmei A nu are ce căuta în documentele firmei C, chiar dacă e aceeași persoană de încredere.

Nu e neîncredere — e reducerea numărului de ocazii în care un document ajunge unde nu trebuie. Am scris despre asta în articolul despre gestionarea mai multor firme.

Testul de zece minute

Deschide lista utilizatorilor cu acces la documentele firmei și răspunde la trei întrebări:

1. Recunoști fiecare nume?
2. Fiecare mai lucrează cu firma?
3. Fiecare are nevoie de exact ce poate face?

Dacă la vreuna eziți, ai găsit ce e de curățat. E cea mai bună zece minute pe care le poți investi în securitatea firmei tale, și nu costă nimic.