Uprawnienia użytkowników w enova365: kto widzi co i dlaczego to ważne

Kto w Twojej firmie może dziś otworzyć listę płac prezesa? Jeśli odpowiedź brzmi „chyba tylko kadrowa, ale nie jestem pewien”, przyjrzyj się, jak ustawione są uprawnienia użytkowników w enova365. System daje bardzo precyzyjne narzędzia do kontroli dostępu, ale działają one tylko wtedy, gdy ktoś z nich świadomie korzysta. Większość problemów nie wynika z braków systemu, tylko z decyzji podjętych na szybko przy starcie wdrożenia.

Poniżej opisujemy błędy, które widzimy najczęściej, i sposoby ich naprawy.

Operatorzy i role: jak to działa w enova365

Każda osoba pracująca w systemie loguje się jako operator. Operatorom przypisuje się role, a role określają, do jakich modułów, list, dokumentów i operacji mają dostęp. Uprawnienia można zawęzić do konkretnych obszarów, np. tylko odczyt danych kontrahentów, brak dostępu do płac albo prawo do wystawiania dokumentów bez prawa ich usuwania.

Dzięki temu o dostępie myśli się w kategoriach stanowisk, a nie konkretnych ludzi. Nowy handlowiec dostaje rolę „Handlowiec” i od pierwszego dnia ma dokładnie to, czego potrzebuje.

Błąd 1: wszyscy jako administratorzy

Na starcie wdrożenia, gdy trzeba szybko przetestować system, najprościej dać wszystkim pełne prawa. Plan jest taki, że „potem się to uporządkuje”. Potem nigdy nie nadchodzi, a po roku połowa firmy może zmieniać konfigurację, usuwać dokumenty i przeglądać wynagrodzenia.

Naprawa: pełne uprawnienia zostaw jednej lub dwóm osobom odpowiedzialnym za system. Pozostałym przydziel role robocze, nawet jeśli na początku będą zbyt szerokie. Zawężać jest łatwiej, niż odbierać wszystko naraz.

Błąd 2: uprawnienia nadawane osobom, nie rolom

Gdy każdemu operatorowi ustawia się dostęp indywidualnie, po kilku latach nikt nie wie, dlaczego pani z zakupów widzi rozrachunki, a jej koleżanka z tego samego działu nie. Każda zmiana wymaga przeglądania dziesiątek ustawień.

Naprawa: zdefiniuj role odpowiadające stanowiskom (księgowa, kadrowa, handlowiec, magazynier, kierownik działu, zarząd). Wyjątki rób rzadko i zapisuj, dlaczego zostały wprowadzone.

Błąd 3: współdzielone konta

Jeden login „magazyn” dla trzech magazynierów albo „ksiegowosc” dla całego działu oszczędza licencje, ale drogo kosztuje. Nie da się ustalić, kto wystawił błędny dokument, kto zmienił cenę ani kto skasował zapis. Dziennik zmian traci sens.

Naprawa: każdy pracownik ma własnego operatora. Jeśli ograniczeniem są licencje, porozmawiaj z partnerem o modelu licencjonowania. Często da się to rozwiązać bez współdzielenia haseł.

Błąd 4: dane kadrowo-płacowe bez dodatkowej ochrony

Płace to najbardziej wrażliwy obszar w każdym systemie ERP. Dostęp do nich powinien mieć wąski krąg osób. Kierownicy działów widzą co najwyżej dane swoich podwładnych i tylko w zakresie potrzebnym do pracy, np. urlopy czy ewidencję czasu pracy.

Naprawa: sprawdź, które role mają dostęp do list płac, kartotek pracowników i wydruków PIT. Rozważ ograniczenie widoczności według działów. Więcej o tym piszemy w tekście o bezpieczeństwie danych kadrowo-płacowych.

Błąd 5: brak procedury przy zmianie stanowiska i odejściu

Pracownik przechodzi z księgowości do sprzedaży i zachowuje stare uprawnienia, bo nikt o tym nie pomyślał. Inny odchodzi z firmy, a jego operator jest aktywny jeszcze przez pół roku. Takie luki wychodzą zwykle dopiero przy audycie lub incydencie.

Naprawa: włącz system ERP do procedury zmian kadrowych. Dział kadr informuje administratora o każdej zmianie stanowiska i odejściu, a administrator zmienia rolę lub blokuje operatora w ustalonym terminie. Szerszą listę kroków znajdziesz w artykule o odbieraniu dostępów przy odejściu pracownika.

Błąd 6: zbyt szerokie uprawnienia do usuwania i edycji

Podgląd danych to jedno, a możliwość ich zmiany to drugie. W wielu firmach handlowcy mogą edytować ceny w cenniku, a magazynierzy usuwać dokumenty magazynowe. Pojedyncza pomyłka potrafi rozjechać stany albo marże na długie tygodnie.

Naprawa: rozdziel uprawnienia do odczytu, tworzenia, edycji i usuwania. Operacje nieodwracalne lub wpływające na księgi zostaw osobom, które za nie odpowiadają. Tam, gdzie zmiana wymaga akceptacji, użyj obiegu dokumentów, który opisujemy w tekście o workflow w enova365.

Błąd 7: brak przeglądu uprawnień

Uprawnienia ustawione poprawnie przy wdrożeniu z czasem się rozjeżdżają. Dochodzą wyjątki, nowe moduły i nowi ludzie, a bez okresowego przeglądu nikt nie widzi całości.

Naprawa: raz na pół roku lub raz w roku przejrzyj listę operatorów i ich ról razem z kierownikami działów. Przy każdej osobie zapytaj, czy nadal pracuje, czy nadal potrzebuje tego dostępu i czy nie ma dostępu, którego mieć nie powinna. Wynik przeglądu zapisz, bo przyda się przy audycie i wykazywaniu zgodności z RODO.

Porządki w uprawnieniach w pięciu krokach

Jeśli rozpoznajesz u siebie kilka z powyższych błędów, nie naprawiaj wszystkiego jednego dnia. Rozsądna kolejność wygląda tak:

1. Wyeksportuj listę aktywnych operatorów i porównaj ją z listą zatrudnionych osób. Zablokuj konta osób, które już nie pracują.
2. Sprawdź, kto ma pełne uprawnienia administracyjne, i ogranicz tę grupę.
3. Zabezpiecz obszar płac i danych kadrowych.
4. Rozpisz matrycę ról: stanowiska w wierszach, moduły i operacje w kolumnach. Uzgodnij ją z kierownikami.
5. Przenieś operatorów na nowe role etapami, dział po dziale, i zbieraj zgłoszenia o brakujących dostępach.

Zmiany najpierw przetestuj w kopii bazy. Odebranie komuś uprawnienia w środku zamknięcia miesiąca skutecznie zniechęca zespół do porządków.

Uprawnienia użytkowników a RODO i bezpieczeństwo

Zasada minimalnego dostępu jest też elementem wymogów ochrony danych osobowych. Administrator danych powinien umieć wykazać, kto ma dostęp do danych osobowych i dlaczego. Dobrze ułożone role w systemie ERP ułatwiają odpowiedź na to pytanie. Uzupełnieniem jest uwierzytelnianie i polityka haseł na poziomie całej infrastruktury IT.

Możemy przygotować matrycę ról dla Twojej struktury i wdrożyć ją w enova365. Pracę zaczynamy od przeglądu obecnych operatorów, więc pierwszy krok to kontakt z nami. Więcej o naszych usługach przy systemie znajdziesz na stronie enova365.

Pytania o role i uprawnienia

Ile ról zdefiniować w średniej firmie?

Zwykle wystarcza kilka do kilkunastu ról odpowiadających stanowiskom. Jeśli ról jest tyle, ile pracowników, model przestaje być czytelny i trzeba je połączyć.

Czy kierownik może widzieć tylko swoich pracowników?

Tak, widoczność danych kadrowych można zawęzić do wybranych działów lub grup pracowników. Wymaga to poprawnie prowadzonej struktury organizacyjnej w systemie.

Kto powinien zatwierdzać nadanie uprawnień?

Najlepiej przełożony pracownika, a przy danych wrażliwych również właściciel danego obszaru, np. główna księgowa lub kierownik kadr. Administrator wykonuje zmianę, ale o niej nie decyduje.