En el otoño de 2019, daba soporte de sistemas en un almacén 3PL de 120,000 pies cuadrados en Chino, California. El pico de Acción de Gracias acababa de terminar, un nuevo cliente se estaba instalando y el gerente del almacén me pidió que hiciera primero un conteo cíclico. Al tercer día, el sistema y el inventario físico no cuadraban: faltaban más de 40 cartones, por un valor de varios cientos de miles de dólares. Peor aún, alguien había tocado los registros de salida en el sistema: había un hueco en la numeración de documentos donde antes había registros. ¿Quién los eliminó y cuándo? Los registros no podían decírnoslo.
Durante una semana entera, una docena de personas de ese edificio fueron entrevistadas una por una. Al final redujimos la lista a un rango de sospechosos, pero no había evidencia para señalar a quien realmente hizo clic en eliminar. El cliente casi retira su negocio por el incidente. Ese episodio me enseñó algo que no he olvidado desde entonces: en la mayoría de los almacenes, los permisos del WMS no son "demasiado complicados": simplemente nunca se configuraron en serio.
Nadie piensa en los permisos un día normal. El día del go-live, el consultor de implementación tomó el camino fácil y dio a todo el mundo más o menos el mismo acceso. Después la gente vino y se fue, y los permisos solo se sumaban, nunca se quitaban. Cuando por fin algo salió mal, cada cuenta en la pantalla parecía un sospechoso.
¿Quién puede eliminar documentos?
Mi postura es simple: en un almacén, la cantidad de personas que pueden eliminar documentos debería ser una: el gerente del almacén.
Lo primero que hicimos tras el incidente fue exportar los permisos de todas las cuentas del sistema. El resultado era feo: siete u ocho cuentas tenían derechos de eliminación. Además del gerente y los supervisores, hasta los representantes de atención al cliente y dos trabajadores temporales podían eliminar documentos de recepción y de ajuste. La representante de atención al cliente tenía una excusa perfectamente razonable: un cliente llamó para decir que un pedido se había registrado mal, así que lo eliminó y lo volvió a registrar, sin dejar ningún rastro en el sistema.
Eliminar y anular son dos cosas distintas, y la distinción importa. Anular cambia el estado de un documento a cancelado; el registro permanece y una auditoría puede encontrarlo. Eliminar borra el registro por completo: nadie puede recuperarlo. En la operación normal, anular siempre basta; la función de eliminar se usa quizá unas pocas veces al año. Mi enfoque: desactivar los derechos de eliminación para todos los roles normales y dejar solo la anulación. Dar la eliminación únicamente al gerente del almacén, y exigir un motivo cada vez que se use, con el motivo escrito en el registro.
Un detalle más que la gente pasa por alto: en muchos productos WMS, los registros de eliminación y los registros de negocio están separados, y el registro de eliminación viene desactivado por defecto. Durante la aceptación del go-live, pruébelo usted mismo: cree un documento de prueba, elimínelo y compruebe si el registro muestra quién lo hizo, cuándo y qué documento. Si no lo muestra, la aceptación no está completa.
¿Por qué puede el receptor ajustar el inventario?
La segunda trampa es no separar funciones. Si la persona que confirma las cantidades recibidas también puede registrar ajustes de inventario, es juez y parte a la vez.
El caso más típico que he visto: un receptor escaneó un envío con un lector Zebra, vio que el conteo no coincidía con el albarán: una docena de cartones de menos. En lugar de reportarlo, registró él mismo un ajuste de inventario y cuadró los libros. Tres meses después el cliente encontró el faltante durante un conteo, el plazo de reclamación al proveedor ya había expirado hacía tiempo y el almacén asumió la pérdida. El receptor no estaba robando; solo quería evitar molestias y una regañina. Un problema pequeño que se deja solo se convierte en uno grande.
El principio es directo: el trabajo del receptor es registrar con fidelidad, y el poder de ajustar pertenece a otra persona. La práctica estándar es un ajuste en dos pasos: el solicitante escribe el motivo de la diferencia, un supervisor o superior lo revisa y lo aprueba, y el sistema registra ambos nombres en las dos acciones. Para ajustes mayores, digamos de más de uno o dos mil dólares en valor de mercancía, añada otro nivel de aprobación. Fije el umbral contra el valor promedio de pedido de su propio almacén; no copie el número de otro.
Además, trate de forma distinta los ajustes de conteo y los ajustes del día a día. Un conteo físico existe para encontrar diferencias, así que los documentos de diferencia siguen el proceso normal. Pero un ajuste manual hecho fuera del horario de conteo merece una mirada más atenta, cada uno de ellos. Me gusta que el sistema envíe al gerente por correo una lista diaria de todos los ajustes manuales; cualquier cosa más larga que unas pocas líneas, y el gerente entra a mirar. Mantenga ese hábito y la mayoría de los pequeños juegos se detienen antes de crecer.
¿Quién cierra las cuentas de los que se van?
La tercera trampa es la más aburrida y la más común: la persona se va, pero la cuenta sigue viva.
Cualquiera que trabaje en 3PL sabe que la rotación en planta es alta: se contrata un lote de temporales para la temporada pico y se les deja ir cuando afloja. He revisado varios almacenes y casi todos tenían cuentas que seguían funcionando tres meses después de que el empleado se fuera. ¿Quién tiene esas cuentas? A veces el empleado que se fue; a veces un trabajador actual que la "pide prestada": "su cuenta tiene todos los permisos, la uso y me ahorro la solicitud". Cuando varias personas comparten una cuenta y algo sale mal, ni siquiera se puede preguntar a las personas correctas.
La solución no es complicada; lo difícil es mantenerla. Dos reglas de hierro. Primera, la cuenta se desactiva antes de que el empleado marque la salida en su último día: es parte del aviso de baja de RR. HH., no una tarea de "cuando me acuerde". Segunda, conciliar una vez al mes la lista de personal de RR. HH. con las cuentas del sistema; todo lo que no cuadre se desactiva primero y se pregunta después. Las cuentas temporales de temporada pico llevan fecha de caducidad desde el inicio y mueren solas, así nadie tiene que acordarse.
Hay un escenario más: alguien cambia de rol dentro del almacén: de preparador a verificador, o del turno de noche a líder del turno de día. El rol cambió, así que los permisos tienen que cambiar con él, y los antiguos se devuelven. La mayoría de los almacenes solo suma permisos y nunca los quita, así que un veterano de tres años termina con un montón de accesos que no debería tener. Mi sugerencia: cada cambio de rol dispara un restablecimiento de permisos: primero se pone todo a cero y luego se otorgan de nuevo para el nuevo rol. Diez minutos extra, una mina enterrada menos.
Hay una prueba simple para saber si sus permisos están en forma: si mañana por la mañana falta un cartón, ¿puede encontrar, en una hora, desde los registros del sistema, quién tocó ese cartón y cuándo? Si sí, sus permisos y registros están vivos. Si no, está operando desnudo, igual que nosotros en 2019.
Tres cosas que puede hacer mañana: primera, exporte todas las cuentas y permisos, y recupere los tres derechos de alto riesgo: eliminar documentos, ajustes manuales, exportar datos maestros, dejándolos solo en manos del gerente del almacén. Segunda, busque cuentas de empleados que se fueron y desactívelas el mismo día; ponga fechas de caducidad a las cuentas temporales. Tercera, active el registro de operaciones y haga su propia prueba de crear-editar-eliminar para confirmar que cada paso deja rastro. Haga esas tres cosas y sus controles internos ya estarán por delante de la mayoría de los almacenes.
Un último recordatorio: con los permisos, empiece ajustado y afloje después, nunca al revés. Lo ajustado le trae quejas; lo flojo le cuesta dinero de verdad cuando algo sale mal.
Traducido del inglés. En caso de discrepancia, prevalece la versión en inglés.
