Quand une seule personne gère le stock, les droits d’accès ne posent pas de question. Dès qu’une deuxième personne intervient, il faut décider qui peut faire quoi. Beaucoup d’entreprises donnent tous les droits à tout le monde parce que c’est plus rapide. Elles en voient les limites le jour où un mouvement apparaît dans l’historique sans que personne puisse l’expliquer.
Les droits d’accès ne sont pas une question de confiance. Ils permettent qu’une erreur soit vue par quelqu’un d’autre que la personne qui l’a commise.
Quatre tâches à séparer
Créer un bon de commande et l’approuver. La personne qui demande une dépense ne devrait pas être celle qui l’autorise. Dans une équipe de trois personnes, le dirigeant peut approuver les commandes. Dans une équipe plus grande, chaque service peut avoir son approbateur. L’essentiel est qu’une deuxième personne examine chaque engagement.
Réceptionner les marchandises et approuver la commande. La personne à la réception note ce qui est arrivé. Si elle a aussi approuvé la commande, elle pourrait faire correspondre une livraison incomplète à une commande modifiée sans que personne ne s’en aperçoive.
Déplacer le stock et voir sa valeur. Le personnel de l’entrepôt a besoin de connaître les quantités, les emplacements et les étagères. Il n’a pas besoin de savoir qu’une palette vaut 40 000 €. Afficher ce montant à tout le monde expose une information confidentielle sans aider au travail quotidien.
Corriger le stock et réaliser l’inventaire. L’inventaire révèle un écart ; la correction le résout. Si la même personne compte puis valide la correction sans autre vérification, l’inventaire perd son rôle de contrôle.
Il ne faut pas une grande équipe pour séparer ces tâches. Il faut que deux personnes, et non une seule, interviennent dans chaque suite d’opérations.
Qui doit voir les valeurs ?
Moins de personnes qu’on ne le pense. Les valeurs sont utiles à celles qui fixent les prix, approuvent les dépenses ou préparent les comptes, ainsi qu’au dirigeant. Les acheteurs voient de toute façon les prix de leurs propres commandes. Les autres peuvent travailler avec les quantités.
Masquer les valeurs ne protège pas seulement la confidentialité. Cela évite aussi qu’un montant jugé trop élevé pousse à corriger le stock là où une simple quantité inciterait d’abord à recompter.
Les rôles donnent un point de départ
Des rôles prédéfinis font gagner du temps : administrateur, acheteur, comptable, opérateur d’entrepôt. Vous attribuez un rôle et la personne reçoit les droits correspondants. Mais les responsabilités ne suivent pas toujours ces catégories. Un responsable d’entrepôt peut aussi commander des consommables ; une comptable peut participer à l’inventaire de fin d’année. Attribuez un rôle, puis ajustez les autorisations une par une. Notez ce qui a changé et pourquoi.
Deux règles aident à garder des droits cohérents :
- Accordez l’autorisation nécessaire, pas un rôle plus large. La comptable peut avoir accès aux inventaires sans devenir administratrice.
- En cas de doute, retirez un droit plutôt que d’en ajouter un. Un droit inutilisé peut être détourné sans que personne ne le remarque.
Services et accès aux données
Si plusieurs services achètent et stockent des produits différents, limitez l’accès de chacun aux produits, mouvements et commandes de son service. L’atelier voit son propre stock. Il s’agit moins de garder des secrets que d’éviter de surcharger les listes : 200 produits restent faciles à parcourir, 3 000 beaucoup moins.
Garder le nom de chaque intervenant
Chaque mouvement, commande, approbation et correction devrait indiquer qui a agi et quand. Les autorisations déterminent qui peut agir ; l’historique montre qui l’a fait. Consulter l’historique des mouvements permet de repérer les droits accordés aux mauvaises personnes.
À vérifier chaque trimestre
- Comparez la liste des utilisateurs à celle du personnel. Retirez l’accès d’une personne le jour de son départ, sans effacer ses actions passées de l’historique.
- Relisez les droits des personnes qui peuvent approuver. Ces droits ont tendance à s’étendre avec le temps.
- Vérifiez qui peut voir les valeurs. Cette liste s’allonge plus facilement qu’elle ne raccourcit.
- Activez l’authentification à deux facteurs pour les comptes qui peuvent approuver, enregistrer des paiements ou modifier les paramètres.
Les autorisations dans StockBold
Dans StockBold, environ 40 autorisations distinctes couvrent chacune une action : enregistrer ou supprimer des mouvements, gérer la réception des marchandises, créer ou approuver des bons de commande, gérer les coûts et les paiements, réaliser des inventaires, clôturer un exercice, gérer les utilisateurs ou voir les valeurs. Cinq rôles servent de modèles : Administrateur, Achats, Comptabilité, Opérateur et Responsable de l’organisation. Un opérateur, par exemple, enregistre des mouvements et travaille sur les assemblages, mais ne voit ni les valeurs ni les rapports. Vous pouvez ajouter ou retirer des autorisations une par une, quel que soit le rôle attribué. Une autorisation retirée reste retirée même si le rôle change ensuite.
Certaines décisions sont réservées au propriétaire : modifier les paramètres de l’organisation ou la méthode de valorisation, exporter toutes les données et transférer l’organisation à une autre personne. Vous pouvez définir des approbateurs par service et limiter une personne aux produits, mouvements et commandes des services sélectionnés. Sans l’autorisation de voir les valeurs, elle voit les quantités, mais aucun montant. Chaque mouvement et chaque approbation sont enregistrés avec un nom et une heure. Quand vous retirez l’accès à quelqu’un, cette personne ne peut plus se connecter, mais ses actions restent dans l’historique. L’authentification à deux facteurs est disponible pour chaque compte, et une clé API ne peut jamais avoir plus de droits que la personne qui l’a créée.
Pour aller plus loin, consultez la page Équipe, rôles et autorisations ou le guide Comprendre ce que chaque personne peut voir et faire.