Três meses depois de sair, a conta de separador dele ainda entrava.
Peguei isso durante uma auditoria de rotina de usuários num 3PL em Ontario, Califórnia — uns 80,000 pés quadrados, rotatividade anual beirando os 40%, temporários sendo metade do efetivo no pico. Puxei a lista de usuários ativos e lá estava ele: um separador que tinha saído 3 meses antes, ainda ativo, ainda sentado no grupo de permissões "separação + reposição". Perguntei ao supervisor de planta. Ele piscou. "Ele saiu, não foi?" Saiu. A conta dele só nunca recebeu o recado. Ainda conseguia escanear, ainda conseguia separar, ainda conseguia mover estoque no sistema.
Isso não é um caso isolado. Em 20 anos de armazéns vi o mesmo padrão em todo lugar: o provisionamento é entusiasmado, o desprovisionamento é "quando alguém lembrar". Hoje quero dissecar esse tema — como lidar com quem sai e quem muda de função, como distribuir permissões, com que frequência auditar — mais alguns naufrágios que presenciei em primeira mão.
Ninguém é dono do offboarding
Eis a verdade feia: quando um funcionário sai, o RH tem um checklist, a TI tem um checklist, e o gerente de operações tem um na cabeça. Nenhum dos três diz "avisa o administrador do WMS para matar a conta".
O armazém de Ontario que mencionei é o caso de manual. O offboarding do RH terminava em "recolhe o crachá, emite o último cheque". A TI era dona do e-mail e dos notebooks; as contas do WMS viviam num universo completamente diferente que a operação gerenciava por conta própria. O gerente de operações estava afogado e achou que uma conta sem uso murcharia sozinha. Ninguém disse nada ao WMS.
Quando fiz uma revisão completa, encontrei mais de 60 contas fantasma. Algumas ainda conseguiam entrar. Algumas ainda tinham as senhas padrão do primeiro dia. Desativei o lote de uma vez, e no dia 1 me ligaram 2 pessoas perguntando por que não conseguiam entrar. Uma era um temporário que tinha saído 6 meses antes e sido recontratado — o RH refez a papelada dele, mas ninguém mexeu na conta, então ele vinha trabalhando com o login velho o tempo todo. O outro estava emprestado de uma unidade irmã; o empréstimo tinha terminado semanas antes, mas as permissões não.
O problema nunca foi "dá para desativar tecnicamente". O problema é que ninguém é responsável por terminar o serviço. Minha solução é chata e funciona: coloque "offboarding da conta do WMS" no checklist de saída do RH, como etapa obrigatória antes de sair o último cheque. No último dia, rebaixe a conta para somente leitura; desative-a por completo 7 dias depois. Recontratados passam pelo fluxo completo de provisionamento de novo — não ressuscite simplesmente a conta velha, porque o grupo de permissões dela quase nunca combina mais com a nova função.
Excesso de permissão ganha de conta fantasma em periculosidade
Sinceramente, contas fantasma nem são o problema mais comum. Distribuir permissão com generosidade demais é. "Ele está cobrindo reposição também, só adiciona essa permissão." "Ela está ajudando no recebimento por 2 dias, adiciona agora, a gente resolve depois." Esse "depois" está fazendo um trabalho pesado — significa nunca.
Privilégio mínimo soa como capítulo de manual de TI. Na prática é 1 frase: dê a essa pessoa exatamente as permissões que o trabalho de hoje precisa, nada mais. Um separador não precisa ver dados de custo, não precisa exportar relatórios completos, e com certeza não precisa de direitos de transferência. Temporários merecem o tratamento mais rigoroso de todos. Já vi armazéns darem a temporários as mesmas permissões dos efetivos só para pular o atrito do onboarding. Isso poupa trabalho da TI, e um dia vira problema da operação.
Contas compartilhadas são o outro clássico. Alta temporada, pouco pessoal, 3 pessoas entrando nos coletores com a mesma conta genérica — acontece em todo lugar. Aí aparece uma divergência sob aquela conta e ninguém consegue te dizer quem fez o quê. Minha regra de ferro: 1 conta por pessoa, desativada na saída, e coletores exigem logins individuais. Custa um pouco mais em administração. A rastreabilidade vale a pena.
Transferências são a terceira zona de desastre. Um separador vai para o recebimento. As permissões de recebimento são adicionadas; as de separação nunca são retiradas. Elas só acumulam. Dê 1 ano e o conjunto de permissões de um veterano é enorme e ninguém — incluindo o veterano — consegue explicar para que serve tudo aquilo. Meu conselho: transferências vão "primeiro remove, depois adiciona". O novo grupo de permissões aterrissa no mesmo momento em que o velho é apagado. Sem acúmulo aditivo.
Minha regra dos 90 dias
Na cadência de auditoria, minha experiência diz trimestral, mais uma varredura extra antes da alta temporada.
Audite três coisas. Primeiro, puxe a lista completa de usuários e concilie com o efetivo ativo do RH, nome por nome, procurando quem não deveria estar lá. Segundo, revise o log de mudanças de permissão: quem ganhou permissões extras nos últimos 3 meses, quem mudou de função, se as permissões acompanharam a função. Terceiro, cheque os logs de login e desative tudo que está há muito tempo sem entrar — você sempre pode reativar.
Para um armazém de umas 200 pessoas, um administrador competente resolve isso em meio dia. Não pule. Em 2024 acompanhei uma auditoria de um embarcador — um cliente de eletrônicos de consumo — onde acharam mais de 30 contas de ex-funcionários ainda ativas. Custou ao 3PL pontos na revisão anual e quase matou a renovação. Embarcadores se importam com controle de acesso muito mais do que a maioria dos operadores pensa.
Como a TI e a operação do armazém deveriam dividir o trabalho? Eis o que recomendo: a TI é dona da parte técnica — login único, política de senhas, regras de bloqueio automático. A operação é dona da parte de negócio — quem deveria ter o quê, e sincronizar as informações de saídas e transferências. Entre as duas, uma ponte simples: o RH envia as movimentações de pessoal toda sexta-feira antes do fechamento, e a operação executa em cima disso. Não construa primeiro uma integração sofisticada. Coloque essa lista semanal para rodar.
Uma coisa que você pode fazer amanhã: peça ao seu administrador de WMS uma lista de usuários sem login há 90 dias. Aposto dinheiro que você vai ver nomes que achava que tinham sumido há tempos. Comece por essa lista. Escreva o offboarding no processo, aperte as permissões à função, audite a cada trimestre. Não custa dinheiro. Só precisa de um pouco de espinha dorsal de gestão.
Traduzido do inglês. Em caso de divergência, prevalece a versão em inglês.
