Prawie każde wdrożenie ERP w małej firmie zaczyna się od tego samego skrótu: „na razie dajmy wszystkim pełny dostęp, poukładamy to później". Później nigdy nie przychodzi. Po dwóch–trzech latach nikt już nie wie, kto co widzi, komu można kasować faktury i dlaczego konto Ani, która odeszła w 2023 roku, wciąż loguje się z jakiegoś adresu IP w Warszawie.
To nie jest problem paranoi bezpieczeństwa. To jest problem zwykłej higieny. W MŚP, gdzie w ERP siedzi kilkanaście osób z różnych działów, uprawnienia decydują o tym, kto zobaczy Twoje marże, kto wygeneruje raport wynagrodzeń i kto — celowo lub przypadkiem — usunie kartotekę klienta razem z całą historią zamówień.
Matryca ról to nudna, urzędnicza robota. I dlatego prawie nikt jej nie robi. Ten tekst jest o tym, jak zrobić ją raz i utrzymać przy życiu.
Co się dzieje, gdy nikt tego nie pilnuje
Trzy typowe scenariusze, wszystkie widziane u klientów w ciągu ostatnich dwóch lat.
Pierwszy — 30-osobowa hurtownia budowlana z Comarch Optima. Wdrożenie zrobił zewnętrzny dostawca w trybie „dopnijmy do produkcji, resztę zrobimy potem". Po dwóch latach z ciekawości sprawdziliśmy stan kont. Aktywnych loginów było 22 przy 27 pracownikach mających kontakt z systemem. Z tego 18 miało profil zbliżony do administratora — mogli edytować cenniki, kasować dokumenty, wystawiać korekty bez akceptacji. Trzy konta należały do osób, które nie pracowały tam od ponad roku.
Drugi — 15-osobowe biuro projektowe na Subiekt GT. Handlowiec przed odejściem do konkurencji przez tydzień eksportował kartoteki kontrahentów i historię zamówień. Nikt nie zauważył, bo miał na to standardowe uprawnienia „handlowiec = pełny dostęp do sprzedaży". Nie było nawet logu, kto co eksportował.
Trzeci — 40-osobowa firma produkcyjna z enova365. Nowy pracownik księgowości, w ramach onboardingu, dostał kopię uprawnień od koleżanki, która pracowała tam od 8 lat. Skopiowano wszystko — łącznie z dostępem do modułu kadrowego, którego on nie potrzebował, ale którego nikt nie odjął. Widział pensje wszystkich, w tym swoich przełożonych. Wyszło przy najbliższym audycie.
Żadna z tych sytuacji nie jest wynikiem złej wiary. Wszystkie są wynikiem tego, że nikt nie miał obowiązku ani czasu, żeby to poukładać.
Zasada minimalnych uprawnień, po ludzku
Kanoniczna zasada bezpieczeństwa brzmi: każdy użytkownik ma dostęp tylko do tego, co jest mu niezbędne do wykonywania jego pracy — i ani grama więcej. W realiach MŚP tłumaczymy to prościej: jeśli nie potrafisz w jednym zdaniu wyjaśnić, po co komu dany moduł, to znaczy, że nie powinien go mieć.
Handlowiec potrzebuje sprzedaży, kartoteki klientów i historii swoich zamówień. Nie potrzebuje modułu kadrowego, nie potrzebuje edycji cennika (widzieć — tak, edytować — nie), nie potrzebuje raportu marży ogólnofirmowej. Magazynier potrzebuje dokumentów magazynowych i kartoteki towarów. Nie potrzebuje księgowości ani sprzedaży w pełnym zakresie.
To brzmi oczywisto, dopóki nie zaczniesz to konfigurować w prawdziwym systemie. Wtedy okazuje się, że „handlowiec" to nie jest jedna rola, tylko cztery: młodszy handlowiec bez dostępu do marży, senior handlowiec z marżą, key account manager z dostępem do rabatów specjalnych, kierownik sprzedaży z uprawnieniem do zatwierdzania korekt.
Jak zbudować matrycę ról
Matryca to zwykła tabelka: wiersze to role biznesowe, kolumny to moduły ERP (lub funkcje w modułach), a komórki mówią, co dana rola może zrobić — zwykle w konwencji CRUD (odczyt, zapis, edycja, usunięcie). W formacie A4 mieści się z sensem 8–12 ról i 15–20 kolumn. Więcej znaczy, że komplikujesz na zapas.
Sensowny minimalny zestaw ról dla firmy 20–50 osób:
- Handlowiec (junior/senior). Sprzedaż, kartoteka klienta, oferty, ale bez modułu finansowego i bez ogólnej marży.
- Kierownik sprzedaży. Wszystko powyższe plus zatwierdzanie korekt, raport marży zespołu, edycja cenników w wyznaczonym zakresie.
- Magazynier. Dokumenty magazynowe, kartoteka towarów (odczyt), inwentaryzacje.
- Kierownik magazynu. Powyższe plus konfiguracja lokalizacji, zatwierdzanie różnic inwentaryzacyjnych.
- Księgowość. Faktury, rejestry VAT, raporty finansowe, JPK. Bez modułu kadrowego i bez uprawnień do zmiany cenników.
- Kadry i płace. Wyłącznie moduł HR — i tylko dla pracowników, których obsługuje.
- Zarząd / właściciel. Pełny odczyt wszystkiego, edycja tylko tam, gdzie faktycznie coś robi.
- Administrator systemu. Konfiguracja i uprawnienia. Osobne, imienne konto — nie dziel go między osobami.
Reguła kciuka: jeśli dana osoba wykonuje w systemie coś, czego nie robi żadna inna osoba w firmie — to nie jest rola, to jest wyjątek. Wyjątków też może być kilka, ale muszą być udokumentowane.
Kwartalny przegląd, żeby to żyło
Matryca zrobiona raz i wrzucona do folderu „dokumentacja" zestarzeje się w pół roku. Ludzie dochodzą, ludzie odchodzą, ktoś awansuje, ktoś zaczyna łączyć dwie role. Bez rytuału przeglądu wracasz do punktu wyjścia.
Prosty schemat, który sprawdza się u klientów:
- Raz na kwartał wyeksportuj listę aktywnych kont z ERP.
- Porównaj z listą pracowników z kadr. Konta ludzi, którzy już nie pracują, dezaktywuj tego samego dnia.
- Dla każdego pozostałego konta zaznacz aktualną rolę i porównaj z faktycznymi uprawnieniami. Odchyły — do korekty.
- Zapisz datę, kto robił przegląd, ile kont dezaktywowano, ile ról poprawiono. To wszystko.
W hurtowni budowlanej z pierwszego przykładu, po wprowadzeniu 6 ról biznesowych i pierwszym pełnym przeglądzie, liczba kont z pełnymi uprawnieniami spadła z 18 do 4 (właściciel, dwóch kierowników i imienne konto administratora). Konta byłych pracowników — z 3 do 0. Przegląd zajmuje im teraz około godziny na kwartał.
Najczęstsze błędy
- Konto ogólne „biuro" albo „kasa". Loguje się z niego pięć osób, wpisuje ręcznie hasło ze ściany. W logach nie widać, kto co zrobił. Zawsze imienne konta.
- Kopiowanie uprawnień „takich jak Marysi". Marysia pracuje 12 lat i przez ten czas zbierała dostępy warstwami. Kopiowanie tego jednym kliknięciem to gwarancja, że nowa osoba dostanie za dużo.
- Uprawnienia „na czas urlopu". Ktoś odchodzi na urlop, ktoś inny dostaje jego dostępy „awaryjnie". Po powrocie nikt tego nie zdejmuje. Jeśli musisz tak zrobić, ustaw sobie przypomnienie w kalendarzu na dzień powrotu.
- Administrator = jedna osoba, jedno hasło. Kiedy ta osoba jest chora albo odchodzi, masz problem. Minimum dwa imienne konta administracyjne, dostępy do haseł w managerze, procedura awaryjna.
Co dalej
Zacznij od trzech pytań do zespołu (lub do dostawcy IT):
- Ile aktywnych kont mamy w ERP i ile osób faktycznie z niego korzysta?
- Ile z tych kont ma uprawnienia zbliżone do administratora?
- Kiedy ostatnio ktoś przeszedł listę kont i skonfrontował ją z listą pracowników?
Jeśli odpowiedzi brzmią „nie wiem", „chyba wszyscy" albo „nigdy" — nie jest źle, jest normalnie. Ale to jest dokładnie ten moment, w którym warto to raz uporządkować, zanim uporządkuje to za Ciebie audytor, były pracownik albo ransomware. Jeśli chcesz to zrobić sensownie i bez tygodni pracy, pomagamy MŚP układać matryce ról regularnie. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
„Damy wszystkim pełny dostęp, poukładamy to później" to zdanie, po którym w firmie zawsze zaczyna się „później".