من الذي يستطيع تغيير سعر في الثانية صباحًا

هامش ربح يبدو خطأ على أمر بيع كبير. يفتح أحدهم السجل: سعر البيع على ثلاثة سطور تغير بعد اعتماد عرض السعر وقبل الفاتورة. التغيير مسجل. السجل يقول إنه وقع الساعة 02:14 يوم سبت، وإن المستخدم admin.

لا أحد في الغرفة يعرف من هو admin. المرشحون أربعة: مدير المالية الذي أعد النظام، ومقاول تقنية المعلومات، واستشاري من شريك تنفيذ لم يعمل معه أحد منذ سنتين، ومن أعطي كلمة المرور بعدهم. السجل كامل تقنيًا وعديم القيمة كدليل.

هذه ليست حادثة أمنية. هي نتيجة عادية لقرار اتخذ في الأسبوع الثالث من التنفيذ، حين عجز مستخدم عن ترحيل مستند، وكان تاريخ التشغيل ثابتًا وأسرع حل متاح توسيع الدور. لم يكتبه أحد. نجح. ومضى الجميع.

قرار الأسبوع الثالث

عرفت الأدوار في ورشة، وصفها أناس يصفون منظمة مثالية. ثم يبدأ اختبار القبول فتصل الحقيقة: أمين المخزن لا يستطيع الاستلام مقابل أمر شراء أصدره المشتري، ومراقب الائتمان لا يرى أمر البيع المطلوب منه اعتماده، والمحاسب لا يستطيع ترحيل قيد في شركة هو مسؤول عنها.

كل واحدة عائق حقيقي يرفع الساعة الرابعة على خطة بلا فائض وقت. والردان المتاحان: إصلاح الدور إصلاحًا صحيحًا، أو نسخ دور يعمل. النسخ يأخذ تسعين ثانية. الإصلاح يأخذ يومًا ومحادثة.

الدور المنسوخ واسع دائمًا تقريبًا، لأن الأدوار الواسعة هي التي لا تنتج عوائق. فعند التشغيل تحمل نسبة معتبرة من المستخدمين صلاحيات لم تصمم لهم، ولا شيء يزيلها بعد ذلك: لا حدث في عمر النظام يدفع أحدًا إلى السؤال هل ما زالت لازمة. الناس ينتقلون بين الوظائف، والمقاولون ينتهون فتبقى حساباتهم، وتنجرف المجموعة أربع سنوات في اتجاه واحد هو الخارج.

هذا نمط عام في التسعين يومًا المحيطة بالتشغيل، وهو موضوع أخطر يوم في مشروعك ليس اليوم الأول. والصلاحيات أطول الحلول المؤقتة ذيلًا، لأن أحدًا لا يشعر بها مشكلة حتى تصير مكلفة.

ما الذي يعنيه الفصل بين المهام

المبدأ أقدم من أي برنامج: لا يجوز لشخص واحد أن ينشئ التزامًا ويسدده، ولا أن يسبب دفعة ويخفيها. المسألة ليست ثقة، بل إزالة الوضع الذي لا يقف فيه أمام خطأ شخص واحد زوج ثانٍ من العيون. وهو يعني عمليًا تركيبات معدودة، مرتبة حسب حجم الضرر الذي تتيحه.

اسأل في كل صف من يستطيع الاثنين عندك، وتحقق بالنظر في الأدوار لا بالسؤال. الناس يجيبون بالهيكل التنظيمي، والنظام يجيب بالصلاحيات.

ابدأ بصف البيانات الرئيسية

في الحوادث التي فحصتها، نادرًا ما كانت المعاملة نقطة الهجوم. البيانات الرئيسية هي نقطة الهجوم، لأن تغيير سجل رئيسي غير مرئي في كل تقرير ينظر إليه أحد: حساب بنك مورد يتغير قبل دورة الدفع بأسبوع، ومركز تكلفة يعاد ربطه فينزل الإنفاق في مجمع لا يراجعه أحد. كل منها يغير نتيجة مئات المعاملات ولا يظهر في أي منها.

ومن هنا قاعدة تستحق التبني مهما فعلت: الحقول التي تحدد وجهة المال تحتاج ضبط تغيير لا ضبط صلاحية فقط. حسابات بنوك الموردين، وحدود ائتمان العملاء، وقوائم الأسعار، والرموز الضريبية، وحدود الاعتماد. ضبط التغيير يعني تسجيله باسم إنسان حقيقي، ويعني في الحساب البنكي أن يعتمده شخص غير الذي أجراه قبل أن يسري. معظم الأنظمة تفعل هذا بالإعداد لا بالبرمجة، وقليل منها معد لفعله لأن المتطلب لم يظهر في ورشة.

مصفوفة الاعتماد: الحد ليس ضابطًا

كل تنفيذ يبني مصفوفة اعتماد: أوامر الشراء فوق قيمة تذهب إلى مدير، وفوق قيمة أعلى إلى مدير تنفيذي. ترسم وتعتمد وتعد، ثم يبطلها السلوك البشري العادي بهدوء في أربعة أنماط.

التجزئة. إن كان الحد رقمًا مستديرًا، وصلت المشتريات تحته بقليل مرتين. أي مصفوفة بلا آلية تنظر إلى الإنفاق التراكمي على مورد خلال مدة تقيس الوحدة الخطأ.

التفويض بلا أثر. يسافر المعتمد، وبدل إعداد تفويض يستعمل أحد اسم دخوله، فيعتمد كل شيء بالاسم الصحيح من الشخص الخطأ. هذه أشهر طريقة تصير بها المصفوفة خيالًا، وعلاجها تافه: وظيفة تفويض حقيقية لها تاريخ انتهاء.

الاعتماد بعد الواقعة. الطلب أعطي بالهاتف، ووصلت البضاعة، ثم أصدر أمر الشراء ليتفق الورق. الاعتماد صحيح ولا يفيد، لأن القرار اتخذه شخص آخر قبل أسبوع.

معتمد لا يستطيع التقييم. المدير الذي يعتمد أربعين أمر شراء يوميًا يعتمدها كلها. انتباهه مورد محدود، وهذه حجة ضبط الحدود بالمخاطرة لا بالقيمة وحدها.

والاختبار المفيد ليس وجود المصفوفة، بل: كم معاملة رفضت عند كل مستوى في آخر اثني عشر شهرًا؟ المستوى الذي لم يرفض شيئًا ليس ضابطًا، بل تأخير عليه توقيع.

سجل التدقيق

كل نظام يدعي وجود سجل تدقيق، والادعاء صحيح غالبًا وغير كاف، لأن السؤال الذي ستحتاج جوابه أدق مما صمم له السجل. السجل النافع يجيب أربعة أسئلة:

1. من — شخص مسمى، لا حساب مشترك ولا حساب خدمة ولا admin.
2. ماذا — الحقل والسجل والقيمة قبل والقيمة بعد. سطر يقول إن سجل عميل عدل لا يقول شيئًا.
3. متى — طابع زمني موثوق بمنطقة زمنية معروفة.
4. لماذا — سبب يلتقط لحظة التغيير، للمجموعة الصغيرة التي تستحق طلبه.

الرابع لا ينفذ تقريبًا أبدًا وهو الذي يغير طبيعة الضابط. حقل سبب على تجاوز سعر أو رفع حد ائتمان يكلف أربع ثوان، وينتج خلال سنة سردًا مقروءًا لكل استثناء صنعته الشركة. وله أثر في السلوك: من يطلب منه كتابة الدفاع يقلل ما لا يدافع عنه.

ومتطلب ثانٍ لا يظهر إلا تحت الفحص: مدة الحفظ. بعض الأنظمة تقلم السجلات لأجل الأداء، فاعرف مدتك قبل أن يسألها مدقق — الجواب أحيانًا تسعون يومًا، وهي قريبة من متطلبات الحفظ التي يفرضها تدقيق الهيئة الاتحادية للضرائب على نظامك لا على فريقك.

حين لا يمكن الفصل

الفصل بين المهام يفترض عددًا كافيًا من الناس. شركة تجارية في الإمارات فيها ستة أشخاص في المالية عاجزة عن توزيع ثماني وظائف متعارضة على ثمانية أفراد، ونصيحة كهذه تتجاهل بحق.

الجواب ليس الاستسلام، بل قبول التركيبة ووضع ضابط كشفي خلفها كتابة: من يستطيع فعل أمرين لا يجب جمعهما، ينظر غيره في النتيجة على وتيرة محددة. خمسة تعمل بكلفة قليلة:

1. تقرير تغيير الحسابات البنكية. كل تغيير على حساب بنك مورد، يراجعه شخص من خارج الحسابات الدائنة قبل دورة الدفع. عشر دقائق شهريًا.
2. تقرير تجاوز الأسعار والقيود اليدوية. كل بيع تحت قائمة الأسعار بالمستخدم والعميل وحقل السبب، وكل قيد لم تنتجه معاملة بشرحه.
3. قائمة الموردين الجدد. الموردون المنشأون في الفترة مع أول معاملة لكل منهم، وتطابق سنوي مع عناوين الموظفين وحساباتهم.
4. سجل الأدوات. أكثر الضوابط غيابًا: شركة تأجير تتابع الشيكات المؤجلة في ملف إكسل عند من يحملها جمعت حيازة الأداة مع تسجيلها. قائمة مؤرخة بما يستحق التقديم، يقرأها من لا يحمل الشيكات، هي الضابط كله.
5. إعادة اعتماد الصلاحيات. مرتين سنويًا، يستلم كل مدير قائمة ما يستطيع فريقه فعله فيؤكدها أو يقلمها. هي أكثر واحدة تعكس الانجراف، وأكثرها اقتراحًا بلا تنفيذ.

لا شيء منها يحتاج برنامجًا لا تملكه، بل قرارًا بأنها عمل شخص بعينه في تاريخ بعينه — فعل حوكمة لا فعل تقني، ولهذا تسبق الحوكمة المنصة في الخطة.

الحسابات التي يجب ألا توجد

ثلاثة أشياء تفحص اليوم قبل أي مراجعة أوسع.

حسابات مشتركة. تهدم «من» في كل سطر تظهر فيه. توجد لأن الرخصة كانت غالية أو لأن طرفية المخزن يستعملها من في الدوام، ولكل حالة جواب أرخص من الحادثة: حسابات مسماة، أو هوية على مستوى الجهاز مع اختيار المستخدم.

حسابات خاملة بصلاحيات حية. استشاري التنفيذ. الموظف الذي غادر في مارس. المستخدم التجريبي المنشأ في الاختبار بكل صلاحية. أخرج تقرير الحسابات بلا دخول منذ تسعين يومًا: القائمة أطول مما يتوقع أحد، وفيها على الأقل حساب بصلاحيات كاملة.

صلاحية المستخدم الخارق محفوظة دائمًا. لا بد أن يصلح أحد الأمور، وهو في شركة صغيرة مدير المالية أو شريك دعم. لكن حفظها دائمًا شيء، والقدرة على الحصول عليها عند اللزوم شيء آخر. الترتيب الأفضل حساب طوارئ: بيانات دخول محفوظة مغلقة، تصرف عند الحاجة بأثر يسجل من طلبها ولماذا، وتغير بعدها. إعداده يأخذ ساعة، ويحول بابًا مفتوحًا إلى واقعة مسجلة.

باختصار

لا شيء مما سبق يطالب بمشروع أثقل، بل بقرار يتخذ بطريقة أخرى تحت الضغط: حين يظهر عائق في الاختبار وأسرع حل توسيع الدور، وسعه واكتبه — سطر فيه من طلب وماذا منح ولماذا وتاريخ للمراجعة. يأخذ السطر دقيقة، وعند التشغيل تكون القائمة سجل كل تنازل صنعه المشروع.

ثم بعد أربعة إلى ستة أسابيع، حين ينزل الضغط، تعالج القائمة: بعض بنودها يتبين صحيحًا فيصير دائمًا، وبعضها كان التفافًا على خطأ إعداد يصلح الآن، وبعضها يزال ولا يلاحظ أحد. البديل أن تبقى التنازلات غير مرئية، موزعة على أربعمئة سطر صلاحيات، يكتشفها بعد سنوات من يستعلم عن سجل يقول إن admin غير سعرًا في الثانية صباحًا.

وعملية واحدة تستحق التسمية لأن غياب هذه الضوابط فيها أشد أثرًا مباشرًا: الرواتب تحرّك مالًا إلى أفراد بتعليمة دائمة، وفي كثير من الشركات يستطيع شخص واحد إنشاء المستفيد وتحديد المبلغ واعتماد التشغيل والإفراج عن الملف. والفحوص والفصول التي تغلق ذلك رخيصة وقياسية ولا تكاد تُهيَّأ.

وصنف من الصلاحيات يستحق معالجة منفصلة لأن تسجيله هو الضابط الوحيد المتاح. فحيث يكون الضرر في القراءة لا في التغيير — سجل مريض، أو راتب، أو تسعيرة عميل — يكون سجل الاطلاع هو الآلية كلها، ولا يساوي شيئًا ما لم يكن قابلًا للاستعلام وما لم يعجز الجميع عن تحريره. وأشد صور هذا المطلب المنشورة ما الذي يجب أن يسجّله النظام السريري ويحفظه.

ومن أراد صورة منظمة لصلاحياته وضوابطه قبل أن يخبره مدقق أو حادثة، فمن هناك تبدأ أي مراجعة نجريها. والصلاحيات ليست وحدها ما يقرر تحت ذلك الضغط: تقييم مخاطر التشغيل يمشي على البقية بالمنطق نفسه — تجربة التحويل، والأرصدة الافتتاحية، وتعريف «حرج»، ومن يقرر التراجع.