library · guida sul campo

Il capo non dovrebbe essere il superutente.

Sembra sbagliato dire a chi possiede l'azienda che il sistema risponde di no. Così l'account del titolare riceve tutto, e i pulsanti più larghi e più irreversibili dell'attività finiscono all'unica persona che apre il software meno di tutti.

autorità e accesso

Avere l'ultima parola non è la stessa cosa che avere ogni pulsante.

Una cosa riguarda chi decide. L'altra riguarda di chi è la mano sul meccanismo nel momento in cui si muove. In un'azienda piccola risponde la stessa persona a entrambe le domande, e nessuno si chiede mai perché.

come succede

Il primo account mai creato, e mai più guardato.

Le aziende piccole vanno avanti con una specie di democrazia silenziosa. Sei o dieci persone, quasi tutte con due mansioni, decisioni prese in piedi attorno a un bancale o davanti a un caffè, e il titolare che ha l'ultima parola quando la stanza non si mette d'accordo. Funziona. È uno dei veri vantaggi di essere piccoli.

Poi l'azienda compra un gestionale. Il titolare è quello che si è seduto alla demo, quello che ha firmato, quello con la cui email è stato configurato tutto. Il suo account viene creato per primo e riceve ogni cosa, perché in quel momento non c'è nessun altro e nessun motivo per pensarci. Nessuno decide questo. È un valore predefinito impostato il primo giorno e mai più rivisto.

E dopo il titolare torna a fare quello che un titolare fa davvero: i clienti, le messe a dimora della stagione, il direttore di banca, la cosa che si è rotta nel tunnel quattro. Il sistema diventa lo strumento che gli altri usano otto ore al giorno. Due anni dopo, la persona che detiene più potere nel software è quella che lo apre di meno, e la distanza fra questi due fatti si allarga ogni mese, senza che si veda, fino al giorno in cui costa qualcosa.

I pulsanti più larghi, nelle mani meno allenate.

raggio d'azione

I pulsanti più larghi, nelle mani meno allenate.

Un permesso non è un grado. È una capacità con delle conseguenze attaccate, e le conseguenze quasi mai si vedono dal pulsante. Annullare una fattura già trasmessa all'Agenzia delle Entrate. Cambiare una regola IVA. Cancellare un cliente che ha ordini aperti alle spalle. Unire due schede prodotto. Riscrivere un listino da cui leggono tre canali. Riaprire un periodo di magazzino già chiuso e dichiarato.

Ognuna di queste è un clic solo e una finestra di conferma. Chi le fa quasi tutte le settimane sa quali sono ordinarie un martedì pomeriggio e quali chiedono prima il commercialista in stanza. Quella conoscenza è pratica, e se non la usi decade in fretta.

Così il titolare apre il sistema per la prima volta dopo tre settimane, vede lo stesso pulsante con la stessa etichetta, e di quella conoscenza non ha niente. Non per sbadataggine. Per il fatto del tutto ragionevole che il suo anno l'ha passato a fare altro.

E adesso tutto fa la fila davanti a una scrivania sola.

l'altra metà della faccenda

E adesso tutto fa la fila davanti a una scrivania sola.

L'immagine speculare di un titolare che può fare tutto è una squadra che non può fare granché. Se solo un account può approvare il fido, correggere la fattura, sbloccare il prezzo o aprire un account per il nuovo stagionale, allora quel lavoro succede soltanto quando quella persona è libera.

È in fiera. È su un camion. Ogni tanto è perfino in ferie. Quindi succede una di due cose, ed entrambe sono peggio del problema da cui nascono. O il lavoro si ferma e un cliente aspetta, oppure la password viene letta ad alta voce sopra il bancale, "solo per questa cosa qui".

Ora l'account più potente dell'azienda lo sta usando chiunque ne avesse bisogno quella mattina, e ogni registrazione che tocca porta il nome del titolare. Il modello dei permessi che doveva esprimere fiducia ha silenziosamente distrutto l'unica cosa per cui i permessi esistono: sapere chi ha fatto davvero cosa.

la distinzione che risolve

Tieni il mazzo di chiavi. Non portarle tutte addosso.

La vera prerogativa di un titolare è decidere chi tiene cosa, vedere tutto, e poter riprendere indietro qualsiasi cosa domani. Niente di tutto questo richiede il possesso permanente di ogni azione pericolosa dell'azienda.

Smontato pezzo per pezzo, quello che un titolare chiede davvero a un gestionale è un elenco corto, e un solo punto di quell'elenco è un potere di cui qualcuno potrebbe abusare.

Vedere tutto. Leggere non è un rischio. I margini, il libro mastro, ogni ordine, i numeri scomodi: un titolare deve poter arrivare a tutto senza chiedere il permesso, perché è lì che il giudizio di un titolare si applica davvero. Nessuna azienda è mai stata danneggiata da un capo che poteva leggere i report.

Decidere chi tiene cosa. Creare le persone, dare loro un ruolo, toglierlo il giorno in cui non è più appropriato. Questo è il vero potere di governo, appartiene alla proprietà senza discussione, ed è utile che sia un permesso a sé, del tutto separabile dai verbi operativi.

Poter entrare quando serve davvero, prendendosi l'accesso in modo deliberato: per un motivo dichiarato, con una registrazione, possibilmente con una scadenza. Una via d'emergenza che va usata viene trattata come un'emergenza. Una che è semplicemente sempre accesa diventa il modo in cui si fanno le cose.

E il tavolo dell'azienda piccola non ci perde niente. Quando la stanza decide di stralciare il lotto, l'autorità del titolare sta nella decisione; non richiede che siano le sue mani a eseguirla. Nessuno pensa che il titolare abbia perso il controllo del parco mezzi perché non guida di persona il camion.

Dai il pulsante a chi lo usa di martedì.

chi dovrebbe tenerlo

Dai il pulsante a chi lo usa di martedì.

Una volta che smetti di assegnare gli accessi per grado, la risposta giusta di solito è ovvia. Chi fa gli inventari dovrebbe tenere lo stralcio. Chi tiene la contabilità dovrebbe tenere la nota di credito. Il responsabile spedizioni dovrebbe tenere la forzatura sulla consegna. In un'azienda di otto persone ci si fida di tutti; quello che cambia è che l'uso quotidiano ti insegna cosa fa un pulsante dopo che lo hai premuto.

Questo dà anche a ciascuno di loro una cosa che un titolare non può delegare in nessun altro modo: la proprietà di un ambito. Chi tiene il permesso è la persona che si accorge quando i numeri sembrano sbagliati, perché è l'unica che li tocca.

Il corollario è scomodo ma vale la pena dirlo ad alta voce. Se un permesso non ha un utente abituale, probabilmente non dovrebbe essere acceso per nessuno, e se in tutta l'azienda lo tiene una persona sola, hai scambiato un account rischioso con un punto singolo di rottura. Ogni chiave ha bisogno di un secondo detentore, con nome e cognome.

Le azioni pericolose dovrebbero dire cosa stanno per fare.

progettare per l'errore

Le azioni pericolose dovrebbero dire cosa stanno per fare.

Una parte di questo è colpa del software, ed è giusto pretendere di meglio. Un pulsante che dice Elimina sopra una finestra che chiede Sei sicuro? non ha detto niente a nessuno. Sicuro di cosa? Sicuro dei dodici ordini aperti e delle tre fatture non pagate appese alla scheda che sta per togliere?

Un sistema che si aspetta utenti occasionali scrive per esteso la conseguenza nel momento del clic, e preferisce meccanismi che si possono annullare: annullare invece di cancellare, nota di credito invece di modifica silenziosa, sospendere invece di rimuovere. La reversibilità è la funzione di sicurezza che costa meno di tutte: la registrazione resta, e una decisione sbagliata costa un pomeriggio invece di un trimestre.

Dove un'azione davvero non si può annullare, merita un secondo paio di occhi prima di passare. Non una procedura appesa al muro. Una seconda persona con nome e cognome dentro il sistema.

atlas core

Come Atlas Core lascia il comando al titolare senza il raggio d'azione

Atlas Core non ha un account magico da proprietario, ed è voluto: non c'è niente nel sistema che aggiri in silenzio le regole per via di chi sei.

  • Ogni ruolo è un insieme definito di permessi, compreso quello più alto. Amministratore è un pacchetto con un nome come Amministrazione, Logistica, Produzione, Account Manager o Responsabile di propagazione: un elenco che puoi vedere e modellare, non una scorciatoia. Un titolare prende il ruolo che corrisponde a quello che fa davvero.
  • Gestire le persone è un permesso a sé, a doppia mandata. Creare o modificare un utente richiede insieme i permessi utenti e gestire le impostazioni, così il "chi tiene cosa" può stare saldamente in mano al titolare mentre i verbi operativi di annullare, cancellare e stralciare stanno con chi quel lavoro lo fa ogni giorno.
  • Le registrazioni portano la persona che c'è dietro. Ordini, registri di produzione e decisioni di accettazione merce conservano il nome di chi li ha creati e modificati, così alla domanda "chi ha fatto questo?" si risponde senza che nessuno debba ricostruirlo.
  • Gli utenti sospesi non si pagano, quindi nessuno ha motivo di condividere una password. Uno stagionale ha il suo account; a fine stagione l'account viene sospeso, il suo storico resta attaccato al suo nome e smette di occupare una postazione. Contano verso la licenza solo gli utenti interni attivi.
  • Anche il nostro accesso di emergenza ha una scadenza. Quando il supporto Atlas ha bisogno dei privilegi di root su un'istanza è un atto deliberato: un motivo dichiarato, il nome dell'istanza digitato per esteso, scadenza automatica dopo un numero fissato di ore e una voce nel registro di sicurezza. Ci teniamo alla regola che questo articolo sostiene: nessun superutente permanente, da nessuna parte.

Continua a leggere

Tieni l'ultima parola. Lascia perdere il raggio d'azione.

Ruoli, aree di permesso e una gestione utenti pulita: guarda come l'accesso si adatterebbe al modo in cui la tua azienda si divide davvero il lavoro.