No outono de 2019, eu fazia suporte de sistemas num armazém 3PL de 120.000 pés quadrados em Chino, Califórnia. O pico do Dia de Ação de Graças tinha acabado de passar, um novo cliente estava se instalando e o gerente do armazém me pediu para fazer primeiro uma contagem cíclica. No terceiro dia, o sistema e o estoque físico não batiam: faltavam mais de 40 caixas, no valor de várias centenas de milhares de dólares. Pior ainda, alguém tinha mexido nos registros de saída do sistema: havia uma lacuna na numeração de documentos onde antes havia registros. Quem os excluiu, e quando? Os logs não sabiam nos dizer.
Durante uma semana inteira, uma dúzia de pessoas daquele prédio foi entrevistada uma a uma. No fim, reduzimos a um grupo de suspeitos, mas não havia evidência para apontar quem realmente clicou em excluir. O cliente quase retirou o negócio por causa do incidente. Aquele episódio me ensinou algo que não esqueci desde então: na maioria dos armazéns, as permissões do WMS não são "complicadas demais" — elas simplesmente nunca foram configuradas a sério.
Ninguém pensa em permissões num dia normal. No dia do go-live, o consultor de implementação pegou o caminho fácil e deu a todo mundo mais ou menos o mesmo acesso. Depois as pessoas foram e vieram, e as permissões só foram somadas, nunca retiradas. Quando finalmente algo deu errado, cada conta na tela parecia um suspeito.
Quem pode excluir documentos?
Minha posição é simples: num armazém, o número de pessoas que podem excluir documentos deveria ser um — o gerente do armazém.
A primeira coisa que fizemos após o incidente foi exportar as permissões de todas as contas do sistema. O resultado foi feio: sete ou oito contas tinham direitos de exclusão. Além do gerente e dos supervisores, até representantes de atendimento ao cliente e dois temporários podiam excluir documentos de recebimento e de ajuste. A representante de atendimento tinha uma desculpa perfeitamente razoável: um cliente ligou dizendo que um pedido foi digitado errado, então ela excluiu e digitou de novo — sem deixar nenhum rastro no sistema.
Excluir e anular são duas coisas diferentes, e a distinção importa. Anular muda o status de um documento para cancelado; o registro fica, e uma auditoria pode encontrá-lo. Excluir apaga o registro por completo — ninguém pode recuperá-lo. Na operação normal, anular sempre basta; a função de excluir é usada talvez algumas vezes por ano. Minha abordagem: desligar os direitos de exclusão de todos os papéis normais e manter só a anulação. Dar a exclusão apenas ao gerente do armazém, e exigir um motivo cada vez que for usada, com o motivo escrito no log.
Mais um detalhe que as pessoas perdem: em muitos produtos WMS, os logs de exclusão e os logs de negócio são separados, e o log de exclusão vem desligado por padrão. Na aceitação do go-live, teste você mesmo — crie um documento de teste, exclua-o e confira se o log mostra quem fez, quando e qual documento. Se não mostrar, a aceitação não está concluída.
Por que o recebedor pode ajustar o estoque?
A segunda armadilha é a falta de segregação de funções. Se a pessoa que confirma as quantidades recebidas também pode lançar ajustes de estoque, ela é jogador e juiz ao mesmo tempo.
O caso mais típico que já vi: um recebedor escaneou um recebimento com um coletor Zebra, viu que a contagem não batia com a nota — uma dúzia de caixas a menos. Em vez de reportar, lançou ele mesmo um ajuste de estoque e acertou os livros. Três meses depois o cliente achou a falta numa contagem, o prazo de reclamação com o fornecedor já tinha expirado há muito tempo e o armazém arcou com o prejuízo. O recebedor não estava roubando; só queria evitar aborrecimento e bronca. Um problema pequeno deixado sozinho vira um grande.
O princípio é direto: o trabalho do recebedor é registrar com fidelidade, e o poder de ajustar pertence a outra pessoa. A prática padrão é um ajuste em duas etapas: o solicitante escreve o motivo da divergência, um supervisor ou superior revisa e aprova, e o sistema registra os dois nomes nas duas ações. Para ajustes maiores — digamos, acima de um ou dois mil dólares em valor de mercadoria — adicione mais um nível de aprovação. Defina o limite com base no valor médio de pedido do seu próprio armazém; não copie o número de outro.
Além disso, trate ajustes de contagem e ajustes do dia a dia de forma diferente. Uma contagem física existe para achar divergências, então documentos de divergência seguem o processo normal. Mas um ajuste manual feito fora do horário de contagem merece um olhar mais atento, cada um deles. Gosto de fazer o sistema enviar ao gerente por e-mail uma lista diária de todos os ajustes manuais; qualquer coisa mais longa que algumas linhas, e o gerente clica para olhar. Mantenha esse hábito, e a maioria dos pequenos jogos é detida antes de crescer.
Quem fecha as contas de quem sai?
A terceira armadilha é a mais chata e a mais comum: a pessoa sai, mas a conta continua viva.
Quem trabalha com 3PL sabe que a rotatividade na operação é alta — contrata-se um lote de temporários para a alta temporada, dispensa-se quando esfria. Já verifiquei vários armazéns, e quase todos tinham contas que ainda funcionavam três meses depois da saída do funcionário. Quem detém essas contas? Às vezes o próprio ex-funcionário; às vezes um funcionário atual que a "pega emprestada" — "a conta dele tem permissão total, vou usar e pular o pedido". Quando várias pessoas compartilham uma conta e algo dá errado, nem se pode fazer as perguntas certas.
A solução não é complicada; difícil é manter. Duas regras de ferro. Primeira, a conta é desativada antes de o funcionário bater o ponto no último dia — faz parte do aviso de desligamento do RH, não uma tarefa de "quando der". Segunda, conciliar uma vez por mês a lista de pessoal do RH com as contas do sistema; tudo que não bater é desativado primeiro, perguntas depois. Contas temporárias de alta temporada ganham data de expiração desde o início e morrem sozinhas, para ninguém precisar lembrar.
Há mais um cenário: alguém muda de função dentro do armazém — de separador para conferente, ou do turno da noite para líder do turno do dia. A função mudou, então as permissões têm que mudar junto, e as antigas são devolvidas. A maioria dos armazéns só soma permissões e nunca tira, então um veterano de três anos acaba com um monte de acessos que não deveria ter. Minha sugestão: cada mudança de função dispara uma redefinição de permissões — zera-se primeiro, depois concede-se de novo para a nova função. Dez minutos a mais, uma mina enterrada a menos.
Há um teste simples para saber se suas permissões estão em forma: se amanhã de manhã uma caixa sumir, você consegue achar — em uma hora, pelos logs do sistema — quem tocou aquela caixa e quando? Se sim, suas permissões e logs estão vivos. Se não, você está operando nu, igual a nós em 2019.
Três coisas que você pode fazer amanhã: primeira, exporte todas as contas e permissões, e recupere os três direitos de alto risco — excluir documentos, ajustes manuais, exportar dados mestres — deixando-os só com o gerente do armazém. Segunda, varra as contas de ex-funcionários e desative-as no mesmo dia; coloque datas de expiração nas contas temporárias. Terceira, ative o log de operações e faça seu próprio teste de criar-editar-excluir para confirmar que cada etapa deixa rastro. Faça essas três coisas, e seus controles internos já estarão à frente da maioria dos armazéns.
Um último lembrete: com permissões, comece apertado e afrouxe depois — nunca o contrário. O apertado traz reclamações; o frouxo custa dinheiro de verdade quando algo dá errado.
Traduzido do inglês. Em caso de divergência, prevalece a versão em inglês.
