À l'automne 2019, je faisais du support système dans un entrepôt 3PL de 120 000 pieds carrés à Chino, en Californie. Le pic de Thanksgiving venait de se terminer, un nouveau client s'installait et le responsable d'entrepôt m'a demandé de faire d'abord un inventaire tournant. Au troisième jour, le système et le stock physique ne correspondaient pas : plus de 40 cartons manquaient, pour une valeur de plusieurs centaines de milliers de dollars. Pire, quelqu'un avait touché les enregistrements de sortie dans le système : il y avait un trou dans la numérotation des documents là où des enregistrements auraient dû se trouver. Qui les avait supprimés, et quand ? Les journaux ne pouvaient pas nous le dire.
Pendant une semaine entière, une douzaine de personnes de ce bâtiment ont été interrogées une par une. Nous avons fini par réduire la liste à un éventail de suspects, mais il n'y avait aucune preuve pour désigner qui avait réellement cliqué sur supprimer. Le client a failli retirer son activité à cause de cet incident. Il m'a appris quelque chose que je n'ai pas oublié depuis : dans la plupart des entrepôts, les autorisations WMS ne sont pas « trop compliquées » — elles n'ont tout simplement jamais été sérieusement configurées.
Personne ne pense aux autorisations un jour normal. Le jour du go-live, le consultant de mise en œuvre a pris le chemin facile et a donné à tout le monde à peu près le même accès. Ensuite les gens sont venus et repartis, et les autorisations n'ont fait que s'ajouter, jamais se retirer. Quand quelque chose a enfin mal tourné, chaque compte à l'écran ressemblait à un suspect.
Qui peut supprimer des documents ?
Ma position est simple : dans un entrepôt, le nombre de personnes pouvant supprimer des documents devrait être de un — le responsable d'entrepôt.
La première chose que nous avons faite après l'incident a été d'exporter les autorisations de tous les comptes du système. Le résultat était laid : sept ou huit comptes avaient des droits de suppression. Outre le responsable et les superviseurs, même les représentants du service client et deux intérimaires pouvaient supprimer des documents de réception et d'ajustement. La représentante du service client avait une excuse parfaitement raisonnable : un client avait appelé pour dire qu'une commande avait été mal saisie, alors elle l'a supprimée et ressaisie — sans laisser aucune trace dans le système.
Supprimer et annuler sont deux choses différentes, et la distinction compte. Annuler fait passer le statut d'un document à annulé ; l'enregistrement reste, et un audit peut le retrouver. Supprimer efface l'enregistrement complètement — personne ne peut le récupérer. En fonctionnement normal, annuler suffit toujours ; la fonction de suppression n'est utilisée que quelques fois par an. Mon approche : désactiver les droits de suppression pour tous les rôles normaux et ne garder que l'annulation. Donner la suppression au seul responsable d'entrepôt, et exiger un motif à chaque utilisation, avec le motif inscrit dans le journal.
Un détail de plus que les gens manquent : dans beaucoup de produits WMS, les journaux de suppression et les journaux métier sont séparés, et la journalisation des suppressions est désactivée par défaut. Lors de l'acceptation du go-live, testez vous-même — créez un document de test, supprimez-le, puis vérifiez si le journal montre qui l'a fait, quand, et quel document. Si ce n'est pas le cas, l'acceptation n'est pas terminée.
Pourquoi le réceptionnaire peut-il ajuster les stocks ?
Le deuxième piège est l'absence de séparation des tâches. Si la personne qui valide les quantités reçues peut aussi enregistrer des ajustements de stock, elle est à la fois joueur et arbitre.
Le cas le plus typique que j'ai vu : un réceptionnaire a scanné un arrivage avec un lecteur Zebra, a constaté que le comptage ne correspondait pas au bon de livraison — une douzaine de cartons manquants. Au lieu de le signaler, il a enregistré lui-même un ajustement de stock et a équilibré les livres. Trois mois plus tard, le client a découvert le manquant lors d'un comptage, le délai de réclamation auprès du fournisseur avait expiré depuis longtemps et l'entrepôt a absorbé la perte. Le réceptionnaire ne volait pas ; il voulait juste éviter les tracas et une réprimande. Un petit problème laissé seul devient un gros.
Le principe est simple : le travail du réceptionnaire est d'enregistrer fidèlement, et le pouvoir d'ajuster appartient à quelqu'un d'autre. La pratique standard est un ajustement en deux étapes : le demandeur écrit le motif de l'écart, un superviseur ou au-dessus examine et approuve, et le système enregistre les deux noms sur les deux actions. Pour les ajustements plus importants — disons, au-delà de mille ou deux mille dollars de valeur de marchandise — ajoutez un niveau d'approbation supplémentaire. Fixez le seuil par rapport à la valeur moyenne des commandes de votre propre entrepôt ; ne copiez pas le chiffre de quelqu'un d'autre.
Aussi, traitez différemment les ajustements d'inventaire et les ajustements quotidiens. Un inventaire physique existe pour trouver les écarts, donc les documents d'écart suivent simplement le processus normal. Mais un ajustement manuel effectué en dehors des heures d'inventaire mérite un regard plus attentif, chacun d'eux. J'aime que le système envoie au responsable par e-mail une liste quotidienne de tous les ajustements manuels ; tout ce qui dépasse quelques lignes, et le responsable clique pour regarder. Gardez cette habitude, et la plupart des petits jeux sont stoppés avant de grandir.
Qui ferme les comptes de ceux qui partent ?
Le troisième piège est le plus ennuyeux et le plus courant : la personne part, mais le compte reste actif.
Quiconque travaille en 3PL sait que le turnover en production est élevé — on embauche un lot d'intérimaires pour la haute saison, on les laisse partir quand ça se calme. J'ai vérifié plusieurs entrepôts, et presque tous avaient des comptes encore actifs trois mois après le départ de l'employé. Qui détient ces comptes ? Parfois l'employé parti ; parfois un salarié actuel qui l'« emprunte » — « son compte a tous les droits, je l'utilise et je m'épargne la demande ». Quand plusieurs personnes partagent un compte et que quelque chose tourne mal, on ne peut même pas poser les bonnes questions.
La solution n'est pas compliquée ; s'y tenir l'est. Deux règles de fer. Premièrement, le compte est désactivé avant que l'employé ne pointe sa sortie le dernier jour — cela fait partie de la notification de départ des RH, pas une tâche à faire « quand j'aurai le temps ». Deuxièmement, rapprocher une fois par mois la liste des effectifs des RH avec les comptes système ; tout ce qui ne correspond pas est désactivé d'abord, les questions après. Les comptes temporaires de haute saison reçoivent une date d'expiration dès le départ et meurent automatiquement, pour que personne n'ait à s'en souvenir.
Il y a un autre scénario : quelqu'un change de rôle dans l'entrepôt — préparateur vers contrôleur, ou équipe de nuit vers chef d'équipe de jour. Le rôle a changé, donc les autorisations doivent changer avec, et les anciennes sont rendues. La plupart des entrepôts ne font qu'ajouter des autorisations sans jamais les retirer, si bien qu'un vétéran de trois ans se retrouve avec un tas d'accès qu'il ne devrait pas avoir. Ma suggestion : chaque changement de rôle déclenche une réinitialisation des autorisations — on remet tout à zéro d'abord, puis on réattribue pour le nouveau rôle. Dix minutes de plus, une mine enterrée en moins.
Il existe un test simple pour savoir si vos autorisations sont en bon état : si un carton disparaît demain matin, pouvez-vous retrouver — en une heure, depuis les journaux du système — qui a touché ce carton et quand ? Si oui, vos autorisations et vos journaux sont vivants. Sinon, vous opérez à nu, exactement comme nous en 2019.
Trois choses que vous pouvez faire demain : premièrement, exportez tous les comptes et autorisations, et récupérez les trois droits à haut risque — supprimer des documents, ajustements manuels, exporter les données de base — en les laissant au seul responsable d'entrepôt. Deuxièmement, traquez les comptes des employés partis et désactivez-les le jour même ; mettez des dates d'expiration sur les comptes temporaires. Troisièmement, activez la journalisation des opérations et faites votre propre test de création-modification-suppression pour confirmer que chaque étape laisse une trace. Faites ces trois choses, et vos contrôles internes seront déjà en avance sur la plupart des entrepôts.
Un dernier rappel : avec les autorisations, commencez serré et desserrez ensuite — jamais l'inverse. Le serré vous apporte des plaintes ; le lâche vous fait perdre de l'argent réel quand quelque chose tourne mal.
Traduit de l'anglais. En cas de divergence, la version anglaise fait foi.
