ابدأ بتحديد حالات الطلب والانتقالات المسموحة ومن يملك كل انتقال، قبل تصميم شاشة «اعتماد». الأتمتة لا تصلح سياسة متناقضة؛ بل تجعل تناقضها أسرع. المطلوب إجراء يمكن شرح قراره ومراجعته، حتى عند الغياب أو تعديل الطلب أو فشل التكامل.
ارسم دورة حياة الطلب
خذ طلب شراء افتراضياً: مسودة، مقدّم، تحت المراجعة، معتمد، مرفوض، أو ملغى. لكل انتقال شرط ودور مخوّل. من يكتب الطلب لا يملك بالضرورة صلاحية اعتماده، ومدير القسم لا يرى بالضرورة كل أقسام الشركة. لا تخلط اسم الوظيفة مع حدود الوصول الفعلية.
اتفق مع صاحب العملية على أثر التعديل. إذا تغيرت قيمة طلب بعد الموافقة، هل يعود إلى المراجعة؟ وإذا تغير المورد فقط، هل يستلزم ذلك اعتماداً جديداً؟ احتفظ بنسخة البيانات التي اعتمدها المسؤول، لا بعلامة موافقة منفصلة عن محتواها.
مصفوفة استثناءات قبل التطوير
| الحالة | القرار المطلوب | دليل القبول |
|---|---|---|
| مقدم الطلب هو مدير القسم | مسار اعتماد بديل | لا يوافق على طلبه إذا منعت السياسة ذلك |
| غياب المعتمد | تفويض محدود المدة والنطاق | يظهر من فوّض ومن نفذ |
| تغير مبلغ معتمد | إعادة اعتماد أو رفض التعديل | لا يبقى الاعتماد القديم صالحاً خطأ |
| اعتمادان متزامنان | انتقال واحد صالح | لا ينفذ الأثر المالي مرتين |
| فشل الربط مع ERP | حالة انتظار قابلة للمتابعة | لا يظهر نجاح وهمي للمستخدم |
هذه خيارات أعمال تُعتمد من المنشأة، وليست سياسة عامة يجب فرضها على جميع المؤسسات. اختبر الاستثناءات بأمثلة قيم وحدود فعلية منقحة قبل تحويلها إلى قواعد ثابتة.
نفّذ الصلاحية في الخادم
إخفاء زر في الواجهة ليس منعاً للوصول. يجب أن يتحقق الخادم من المستخدم والمنشأة والطلب وحالته في كل عملية. أعد الاختبار باستخدام رابط مباشر وطلب قديم بعد تغير الحالة، وحساب من مؤسسة أخرى. وسجل محاولات الرفض بما يكفي للتحقيق دون نسخ المستندات الحساسة إلى السجلات.
عند وجود أثر خارجي، مثل إنشاء أمر شراء، استخدم معرفاً ثابتاً للعملية وآلية تمنع التنفيذ المكرر. صمّم شاشة للاستثناءات تبين آخر محاولة وسبب التعثر والخطوة المسموحة، ولا تجعل المستخدم يعيد العملية عشوائياً.
لا تنس تشغيل الإجراء
حدّد مسؤولاً لتعديل السياسة ومراجعة الصلاحيات وسحب التفويض عند انتهاء الحاجة. وفر تقريراً عن الطلبات المتوقفة، لكن لا تعتمد أوقات موافقة مستهدفة قبل معرفة عبء الفريق. بعد اختبار دورة كاملة، ابدأ بنطاق محدود وقارن النتيجة بالإجراء المعتمد.
لرسم هذا النطاق، راجع تطوير أنظمة الأعمال وتكامل الأنظمة. وتساعدك أسئلة موجز المشروع على جمع القرارات قبل طلب عرض.
مصادر ومراجعة
- OWASP: إرشادات التحقق من الصلاحيات.
- المساهمة الأصلية: مصفوفة الاستثناءات وسيناريوهات القبول؛ مثال تصميم لا تنفيذ عميل.
