Roles y permisos de usuario en el WMS: por qué los preparadores no deben tener derecho a ajustar el inventario

Cuando los gerentes de almacén hablan de roles y permisos de usuario en el WMS, la primera reacción suele ser técnica: ¿el sistema admite roles y se puede configurar por niveles? Mi observación, tras años de recorrer almacenes y revisar sus registros, apunta a otro lugar. Los fallos de permisos rara vez ocurren porque el sistema no pueda hacer el trabajo. Ocurren porque la dirección ha aceptado silenciosamente una premisa: para que el almacén avance rápido, no hay que frenar a la gente con controles. Las cuentas se multiplican, los privilegios se amplían y, el día en que las cifras de existencias dejan de cuadrar, nadie puede decir quién movió qué lote de mercancía.

Por qué los roles y permisos de usuario en el WMS derivan hacia que todos sean administradores

Esta deriva rara vez es resultado de una sola decisión. Se acumula a través de una serie de pequeñas concesiones, cada una defendible por sí sola. En noviembre de 2022, durante una promoción punta, vi cómo se desarrollaba este patrón en un almacén de comercio electrónico en el este de China. El jefe del equipo de picking enfermó y, para mantener en marcha el turno de noche, el supervisor prestó su propia cuenta. El jefe escribió entonces la contraseña en la pizarra del equipo. En tres días, esa cuenta realizó 41 ajustes de inventario, nueve de los cuales simplemente cancelaron errores de picking en el sistema en lugar de reportarlos como discrepancias. Cuando terminó la promoción, el recuento reveló diferencias en 17 SKU, más de 260 unidades en total, y finanzas tardó dos semanas en conciliar los libros hasta un estado aceptable. El registro del sistema mostraba solo una cuenta de supervisor compartida, así que no había forma de reconstruir quién había hecho cada ajuste ni en qué circunstancias.

El coste de las cuentas compartidas y los privilegios excesivos no aparece solo el día del inventario. Recorre una cadena bastante predecible. Primero, la responsabilidad desaparece: cuando un problema es de todos, no es de nadie. Segundo, el personal aprende que los ajustes pueden encubrir errores operativos, así que se eluden los pasos de revisión integrados en el proceso. Tercero, los datos con los que se gestiona empiezan a distorsionarse, y las decisiones de reposición y compra se toman entonces sobre cifras de existencias que han sido suavizadas en silencio. Ningún paso de esta cadena requiere mala intención. Solo requiere personas razonables, bajo presión de tiempo, trabajando en un entorno sin restricciones. El propósito del diseño de permisos es romper esta cadena pronto, no investigarla después de que haya seguido su curso.

Una matriz de mínimo privilegio para los roles y permisos de usuario en el WMS

La segregación de funciones es el principio central aquí, y puede expresarse con claridad: la persona que mueve la mercancía no debe ser quien pueda reescribir el registro, y quien pueda reescribir el registro no debe poder aprobar solo su propio cambio. Una sola tabla, publicada y aplicada, suele hacer más que cien reglas verbales. La matriz siguiente es un punto de partida que he visto funcionar en varios almacenes. Las operaciones más grandes o más pequeñas pueden adaptarla, pero la separación entre picking y ajuste es la línea que yo no movería.

Hay un juicio contraintuitivo incorporado en esta tabla, y merece explicarse: endurecer los permisos puede hacer que el almacén sea más rápido, no más lento. El mecanismo es sencillo. Cuando un preparador no puede ajustar existencias, un error de picking solo puede viajar a través del informe de discrepancia, que llega al controlador de inventario el mismo día y se rastrea hasta una ubicación y un lote concretos. Cuando todos pueden ajustar a voluntad, los errores se encubren en el acto y afloran semanas después, en el inventario, cuando la pila de documentos por revisar y ubicaciones por verificar puede ser decenas de veces mayor. Endurecer parece añadir un paso de informe, pero sustituye un gran coste de investigación retrasado por una serie de pequeños costes de gestión inmediatos. Esta compensación se mantiene bajo una condición: el canal de informe debe ser realmente fácil, un escaneo, una foto y un código de motivo en tres pasos. Si no lo es, el personal encontrará igualmente una forma de eludir el sistema.

Una pista de auditoría es la otra mitad de esta tabla. Un registro de ajuste necesita al menos cuatro elementos: quién lo hizo, cuándo, qué cambió de qué a qué, y qué documento lo justifica. Si falta alguno de ellos, el registro es un flujo de entradas, no una prueba. He visto un almacén donde el motivo del ajuste era un campo de texto libre, y en seis meses acumuló miles de entradas que decían 'petición del cliente', 'problema del sistema' u 'otro'. En el momento de la auditoría, esas entradas no valían nada. Los códigos de motivo como lista desplegable, con motivos anómalos que exigen un número de documento, parecen pequeños detalles. Son lo que determina si un sistema de permisos puede sostenerse después de los hechos.

Cuentas de temporada: fáciles de emitir, difíciles de recuperar

La mano de obra de temporada es donde los sistemas de permisos más a menudo gotean. En la primavera de 2024, mientras investigaba un almacén de terceros en el sur de China, descubrí que se había contratado a más de 60 trabajadores temporales para la temporada alta, con cuentas creadas en lotes por equipo y privilegios copiados directamente de la plantilla habitual de preparador. Cuando terminó la temporada alta, nadie era dueño del trabajo de recuperar esas cuentas. Una comprobación tres meses después encontró 23 cuentas pertenecientes a personas que ya se habían marchado todavía activas, cuatro de ellas conservando privilegios de consulta más allá del alcance del picking. No se había producido ninguna pérdida, pero eso fue suerte: un solo uso indebido o robo de una de esas cuentas habría puesto en riesgo todo el registro de existencias del almacén.

Gestionar las cuentas temporales es un problema de ciclo de vida, no un problema de aprobación en el momento de la creación. Las cuentas deben emitirse a partir de una plantilla de rol con el privilegio mínimo, llevar una fecha de caducidad y congelarse automáticamente cuando esa fecha pase, en lugar de esperar a que alguien lo recuerde. Cuando un trabajador cambia de rol, los privilegios antiguos deben retirarse antes de emitir los nuevos. Una vez al mes, alguien distinto del administrador del sistema debe muestrear las cuentas inactivas, congelando cualquiera que no haya iniciado sesión en más de 30 días pendiente de confirmación. El paso que más a menudo se omite es la caducidad automática, porque la recuperación manual depende de la memoria, y la memoria es menos fiable justo después de que termina una temporada alta. Hacer que la recuperación sea el valor predeterminado del sistema es, paradójicamente, la forma más barata de gestionarla.

El diseño de permisos, en última instancia, pone a prueba algo distinto de lo caro que sea el sistema. Pone a prueba si la dirección está dispuesta a admitir que la velocidad del almacén y la credibilidad de los datos están separadas por una frontera que hay que trazar deliberadamente. Diferentes almacenes pueden trazar esa frontera en diferentes lugares, pero un almacén sin ella descubrirá, cada vez que las existencias fallen, que su investigación solo puede terminar en conjeturas. Cuando los roles, las aprobaciones y los registros están escritos y se aplican, los permisos dejan de ser un tema que solo surge tras un incidente y se convierten en una restricción silenciosa y permanente dentro de las operaciones diarias. Cuán estricta deba ser esa frontera depende de cuánta fricción diaria esté dispuesto a aceptar un almacén a cambio de confiar en sus propias cifras, y esa es una compensación sin respuesta universal, solo una respuesta local que debe revisarse a medida que cambia la operación.

Por Dr. Chen, Investigador de la cadena de suministro

Traducido del inglés. En caso de discrepancia, prevalece la versión en inglés.