On kişilik bir atölyede "yetki" kelimesi fazla kurumsal durur. Ama soruyu somutlaştırınca herkes aynı cevabı verir: Atölyedeki usta, müşterinin ödediği fiyatı ve firmanın kâr marjını görmeli mi? Cevap hayırsa, yetki yönetimine ihtiyacınız var demektir.
Yetki, güvensizlik değildir
Yetki ayarlamak "çalışanıma güvenmiyorum" demek değildir. Üç pratik sebebi vardır:
- Sadelik: ustanın ekranında yalnızca kendi işleri varsa daha hızlı çalışır. Görmediği ekran, kaybolmadığı ekrandır.
- Kaza koruması: yanlış tuşa basıp bir cari kaydı silmek, kötü niyetten çok daha sık yaşanır.
- Ayrılıkta veri: işten ayrılan bir kişinin telefonunda tüm müşteri listeniz ve fiyatlarınız varsa, bu artık sizin değil onun listenizdir.
Pratik bir yetki çerçevesi
Küçük işletmede üç seviye çoğu zaman yeter:
Yönetici: her şeyi görür ve değiştirir. Bu rolde olabildiğince az kişi olmalıdır.
Ofis/muhasebe: müşteri, sipariş, cari ve tahsilatı görür; kullanıcı yönetimi ve sistem ayarlarına dokunmaz.
Üretim/saha: yalnızca kendi işlerini ve üretim aşamalarını görür. Fiyat, kâr ve cari bilgisi ekranında hiç yoktur.
Bunun üstüne ince ayarlar eklenebilir: kimin görev atayabileceği, kimin masraf onaylayabileceği gibi. Ama önce kaba seviyeyi doğru kurun; ince ayar sonra gelir.
Aynı mantık dışarıya açılan sayfalar için de geçerlidir: müşteriye gönderdiğiniz bir sipariş takip bağlantısı siparişin durumunu göstermeli, tutar ve bakiyeyi göstermemelidir.
Yetki sunucu tarafında olmalı
Bu teknik ama önemli bir nokta: bir ekranı yalnızca gizlemek yetki değildir. Veri tarayıcıya gönderiliyor ve sadece görünmüyorsa, bilen biri onu görebilir. Doğru kurgu, yetkisi olmayan kullanıcıya o verinin hiç gönderilmemesidir. Bir yazılımı değerlendirirken bu soruyu sormakta fayda var: "Personel hesabıyla giren biri, maaş bilgisini teknik olarak görebilir mi?"
Kim ne yaptı: kayıt izi
Bir tutar değiştiğinde ya da bir kayıt silindiğinde, bunu kimin ne zaman yaptığı görülebilmelidir. Amaç suçlu aramak değil, hatayı geri sarabilmektir. "Bu fatura 45.000'di, neden 4.500 görünüyor?" sorusunun cevabı kayıt izinde bulunur. Özellikle para hareketlerinde bu iz şarttır.
Yedekleme: olmadığı gün anlaşılır
Yedek üç soruyla test edilir: Ne sıklıkla alınıyor? Nereye alınıyor? En son ne zaman geri yüklemeyi denediniz? Üçüncü soru en önemlisidir. Hiç denenmemiş yedek, yedek değil temennidir. Ayrıca yedeğin sunucuyla aynı yerde durması tek başına yeterli değildir; sunucuyu kaybettiren bir olay yedeği de kaybettirir.
Müşteri verisi ve KVKK
Müşteri adı, telefonu, adresi kişisel veridir ve korunması yasal bir sorumluluktur. Burada teknik tarafın gereklilikleri nettir: veriye ihtiyacı olan kişinin erişmesi, bağlantının şifreli olması (SSL), erişimlerin izlenebilmesi ve müşteri talep ettiğinde verisinin silinebilmesi. Mevzuatın işletmenize özel gereklilikleri — aydınlatma metni, açık rıza, VERBİS kaydı gibi — durumunuza göre değişir; bu konuda avukatınıza ya da mali müşavirinize danışın. Bu yazı hukuki tavsiye değildir.
Küçükken kurun
Veri taşınabilirliği de bu başlığın parçasıdır: verinizi istediğiniz an dışa aktarabiliyorsanız hiçbir yazılıma mahkûm değilsinizdir — Excel'den CRM'e geçiş yazımızda bu konuya değindik.
Yetki ve yedek düzeni, ihtiyaç duyulduğu gün kurulmaz — ihtiyaç duyulduğu gün keşke kurulmuş olsaydı denir. Beş kişilik ekipte on dakikada halledilen iş, otuz kişiye çıkınca haftalar süren bir düzen çalışmasına dönüşür.
krkbos'ta her kullanıcının göreceği sayfalar ve yapabileceği işlemler ayrı ayrı ayarlanır; kısıtlı bir kullanıcıya finans verisi sunucu tarafında hiç gönderilmez, yalnızca ekranda gizlenmez. Para hareketleri ve kayıt değişiklikleri denetim kaydına yazılır. Yedekler her gece otomatik alınır ve şifreli bir kopyası sunucu dışına gönderilebilir. 14 gün ücretsiz deneyin.
