L'auditoria no va trobar una intrusió espectacular. Va trobar el nom de la Laia en una carpeta de proveïdors. Laia dissenya producte i havia obtingut aquell accés en un dia de presses: calia revisar materials d'un contracte nou abans de presentar un prototip. Sis mesos més tard, el prototip s'havia lliurat, el contracte havia canviat de mans i la carpeta contenia ofertes, adreces i converses que ella ja no necessitava. Al registre hi havia una nota: «temporal fins al final del projecte». No hi havia, però, ni una data, ni un avís, ni algú encarregat de traduir aquella frase en una retirada real.
Aquesta és la manera discreta com neix el deute dels permisos temporals. Concedir un accés resol una necessitat present; definir-ne el final requereix imaginar què passarà després, mantenir una responsabilitat i revisar-la quan el context canvia. Si el segon treball no forma part del disseny, el sistema conserva el permís per defecte. I allò que semblava una excepció funcional es converteix, sense cap decisió explícita, en una capacitat permanent.
El temps no caduca permisos per si sol#
Parlem sovint de permisos com si fossin claus: o obren o no obren. Aquesta imatge és massa simple. Un permís també vincula una persona a una informació, crea un camí de consulta i permet que tercers confiïn en un accés que potser ja no correspon. Quan una companya sap que la Laia pot entrar a la carpeta, és fàcil que li demani una dada en lloc d'acudir a compres. Amb cada petit favor, l'accés deixa de ser una resposta a un encàrrec i es transforma en una peça informal del procés.
Parlem sovint de permisos com si fossin claus: o obren o no obren. Aquesta imatge és massa simple.
No és un problema de disciplina individual. Demanar a cada persona que recordi tots els permisos que ha rebut és confiar en una memòria que l'organització no pot verificar. Tampoc n'hi ha prou amb fer una gran neteja anual: entre una neteja i la següent poden canviar contractes, funcions i riscos. La pregunta útil no és si algú mereix confiança, sinó si l'accés encara és necessari, proporcionat i atribuïble a una tasca coneguda.
La resposta importa especialment quan hi ha informació de tercers. Les condicions d'un proveïdor, els contactes comercials o els esborranys de negociació no s'han de tractar com un arxiu sense història. Un accés que ja no té finalitat amplia el cercle de persones que poden reutilitzar, malinterpretar o exposar aquella informació. Fins i tot si ningú no ho fa, l'organització perd la capacitat d'explicar quina necessitat justifica el risc.
Dissenyar l'excepció perquè es pugui tancar#
Un bon procés no converteix tota urgència en una cadena de formularis. Fa visible l'excepció i li dona una sortida. Per a cada accés temporal, calen quatre peces que es puguin llegir sense conèixer el projecte: propòsit, propietari, data de retirada i revisió vinculada a un fet de treball. Amb aquestes dades, una autorització deixa de ser una concessió genèrica i passa a ser un encàrrec delimitat.
El propòsit ha de descriure una acció. «Suport al projecte» amaga massa coses; «verificar les imatges i les especificacions del catàleg abans de la versió final» permet limitar recursos i durada. Aquesta precisió protegeix tant qui rep el permís com qui el concedeix, perquè evita que una categoria professional substitueixi la necessitat concreta. Laia necessita veure unes especificacions durant un termini; no adquireix una llicència indefinida per a les negociacions.
El propietari és qui haurà de decidir quan arribi la revisió. Pot ser la responsable de compres, la persona que va obrir el projecte o un rol d'equip, però no pot ser un nom simbòlic que desapareix en unes vacances. Aquest paper ha de rebre un avís i disposar d'opcions clares: renovar amb una justificació, reduir l'abast, substituir el recurs o retirar l'accés. Deixar sense resposta un recordatori no és una decisió; per tant, el sistema ha de tenir una conseqüència previsible.
La data de retirada no promet que tot acabarà aquell dia. Marca el moment en què la continuïtat necessita una nova raó. En alguns casos, la retirada automàtica serà segura. En d'altres, convindrà passar l'accés a només lectura, avisar abans o oferir una recuperació ràpida mentre es resol una incidència. Diferenciar aquests casos és més rigorós que deixar-los tots oberts per por de bloquejar la feina.
De la llista d'accessos a l'evidència de decisió#
Després de la troballa, l'equip de la Laia no va fer una llista ornamental. Va reconstruir què havia passat. La petició havia arribat per missatge; la data de tancament no era al sistema de permisos; la responsable inicial havia canviat de departament; i ningú no havia comprovat els accessos en tancar l'encàrrec. Aquesta història va mostrar on calia intervenir: no calia recordar a la gent que fos prudent, calia unir el tancament del treball amb la revisió de les capacitats que aquell treball havia creat.
Van crear un inventari d'excepcions amb el recurs, el nivell d'accés, la finalitat, el propietari, les dates i una nota sobre la regla d'absència de resposta. També hi van anotar si hi havia una alternativa de menor privilegi: una exportació, una carpeta separada, un compte de lectura o un rol limitat. Aquest últim camp va canviar moltes decisions. En comptes de mantenir una porta gran oberta perquè una consulta podia reaparèixer, l'equip va preparar una via més estreta per a la necessitat probable.
L'inventari només serà útil si no queda tancat a seguretat. Les persones que tanquen contractes, projecten lliuraments o canvien persones de rol han de poder activar la revisió. Per això, l'equip va afegir quatre minuts a la llista de tancament dels projectes: «quins accessos van néixer per aquest encàrrec, qui n'és responsable avui i què queda justificat després d'avui?». La pregunta no exigeix una auditoria exhaustiva; exigeix una decisió que es pugui trobar més endavant.
La caducitat és una forma de respecte operatiu#
Retirar un permís no és desconfiar de la persona que l'ha fet servir bé. És reconèixer que les persones i les tasques no són intercanviables. Quan l'organització diu que un accés té una finalitat i un final, protegeix la persona autoritzada de ser convertida en un punt permanent de dependència. També facilita que el relleu sigui net: qui assumeixi el següent encàrrec sabrà què ha de demanar i per què, en lloc d'heretar privilegis que no entén.
La mesura més valuosa és modesta. Trieu deu permisos temporals antics i seguiu-ne la història, no només la data. Per a cada un, anoteu la tasca, el recurs, el propietari actual i la data en què hauria de desaparèixer o tornar a justificar-se. Si no podeu respondre una d'aquestes preguntes, no marqueu el cas com a resolt: convertiu-lo en una acció amb responsable. Així la caducitat deixa de ser una gesta posterior i passa a formar part del tancament real del treball.
Hi ha una comprovació final que evita que la retirada esdevingui un gest cec: assajar el retorn. Abans de tancar un permís especialment sensible, l'equip pot demanar a la persona que en depenia que expliqui quin recurs alternatiu faria servir si demà ja no hi pogués entrar. Si la resposta és «no ho sé», no cal conservar l'accés indefinidament; cal documentar una via de sol·licitud, un contacte i un termini de resposta. Aquesta diferència transforma la por de quedar-se sense servei en una garantia operativa. La retirada deixa una porta clara per a una necessitat nova, però no manté oberta la porta antiga per inèrcia.
