แบ่งสิทธิ์พนักงานที่ดูแลเรื่องเงิน ลดความเสี่ยงจากคนใน
อ่าน 1 นาที
ไม่มีรูปภาพ
ความเสี่ยงด้านการเงินของร้านไม่ได้มาจากคนนอกเท่านั้น บางครั้งเป็นความผิดพลาดของพนักงานที่หวังดี หรือในกรณีที่น้อยกว่าคือการทุจริตจากคนใน แนวคิดที่ใช้กันทั่วไปคือ ให้สิทธิ์เท่าที่จำเป็นต่อหน้าที่ และไม่ให้คนเดียวคุมทุกขั้นตอนของเงินตั้งแต่ต้นจนจบ
หลัก least privilege
หมายถึงให้คนแต่ละคนทำได้เฉพาะสิ่งที่งานต้องใช้ เช่น พนักงานแพ็กของต้องเห็นรายการที่ชำระแล้วเพื่อเตรียมส่ง แต่ไม่จำเป็นต้องแก้เลขบัญชีรับเงิน หรือดูข้อมูลส่วนตัวของลูกค้าทั้งหมด การให้สิทธิ์เกินจำเป็นไม่ได้ทำให้ทำงานเร็วขึ้นเสมอไป แต่ทำให้ความเสียหายใหญ่ขึ้นเมื่อบัญชีนั้นถูกยึดหรือทำพลาด
แยกหน้าที่ (segregation of duties)
ถ้าเป็นไปได้ อย่าให้คนเดียวทำครบทั้งรับคำสั่งซื้อ ยืนยันว่าเงินเข้า และคืนเงิน ตัวอย่างการแบ่งแบบง่าย
| บทบาท | ควรทำได้ | ไม่ควรทำได้ |
|---|---|---|
| แอดมินแชต | ตอบลูกค้า ส่งใบแจ้งหนี้ตามแบบ | แก้บัญชีรับเงิน คืนเงิน |
| ผู้ตรวจรายการเงิน | ดูผลตรวจสลิป กระทบยอด | ส่งของ แก้ราคา |
| ผู้จัดส่ง | ดูรายการที่ชำระแล้ว | ยืนยันการชำระเอง |
| เจ้าของ/ผู้จัดการ | อนุมัติคืนเงิน เปลี่ยนการตั้งค่าสำคัญ | - |
ตารางนี้เป็นตัวอย่างแนวคิด ปรับตามขนาดร้านของคุณ ร้านเล็กที่มีคนเดียวอาจทำไม่ได้ทุกข้อ แต่แค่ให้เจ้าของเป็นผู้อนุมัติการคืนเงินเองก็ช่วยลดความเสี่ยงได้มาก
จุดสำคัญที่ควรควบคุมเป็นพิเศษ
- การเปลี่ยนเลขบัญชีหรือพร้อมเพย์ที่ใช้รับเงิน
- การคืนเงินและการยกเลิกใบแจ้งหนี้
- การออกคีย์ API หรือตั้งค่า webhook
- การส่งออกข้อมูลลูกค้าจำนวนมาก
- การลบหรือแก้ไขประวัติรายการ
PPay มีระบบสิทธิ์และ API key แยกตามบัญชีสมาชิก และให้เปิด 2FA ได้ ควรจัดผู้มีสิทธิ์เข้าถึงให้น้อยที่สุด ดูเรื่องคีย์ที่ ความปลอดภัยของ API key
ตรวจทานเป็นประจำ
การให้สิทธิ์เป็นแค่ครึ่งเดียว อีกครึ่งคือการตรวจทาน กำหนดวันตรวจรายชื่อผู้มีสิทธิ์ทุกเดือนหรือทุกไตรมาส ถามตัวเองว่า ยังจำเป็นต้องมีสิทธิ์นี้อยู่หรือไม่ สอดคล้องกับ การกระทบยอดรายวัน ซึ่งช่วยจับความผิดปกติได้เร็ว
เช็กลิสต์
- เขียนแผนผังบทบาทและสิ่งที่แต่ละบทบาททำได้
- ให้การคืนเงินต้องผ่านผู้อนุมัติอีกคน
- เปิด 2FA กับทุกคนที่เข้าถึงข้อมูลเงิน
- ถอนสิทธิ์ทันทีเมื่อเปลี่ยนหน้าที่หรือลาออก
- เก็บบันทึกว่าใครทำอะไรเมื่อไร
ร้านขนาดเล็กทำอย่างไร
ถ้าร้านมีสองสามคน อาจไม่มีงบหรือคนพอจะแยกบทบาทครบ ให้เริ่มจากสามข้อ คือเจ้าของเป็นผู้เดียวที่แก้บัญชีรับเงินและอนุมัติคืนเงิน พนักงานทุกคนใช้บัญชีของตนเอง และมีการดูสรุปรายการเงินเข้าทุกสิ้นวัน แค่นี้ก็ปิดช่องโหว่ใหญ่ ๆ ได้โดยไม่ต้องเพิ่มต้นทุน
หากต้องการเริ่มจัดระบบรับชำระของร้านให้เป็นระเบียบ เปิดดู เริ่มต้นใช้งาน ได้เลย เรื่องกฎหมายแรงงานหรือการลงโทษทางวินัย โปรดปรึกษาผู้เชี่ยวชาญ