Ruoli, Profili e Autorizzazioni

L'accesso di un Membro è composto da due elementi di base, risolti da un terzo:

• I Ruoli Account rispondono alla domanda "cosa può fare questo Membro e su quali account?" Includono le autorizzazioni sull'account – Visualizza, Trade, Earn Allocate, Earn Deallocate, Prelievo, Trasferimento – ciascuna limitata a un insieme di account. Un Membro a cui sono assegnati più Ruoli Account eredita tutte le autorizzazioni di ciascun ruolo.
• Il Profilo Workflow risponde alla domanda "quali azioni può intraprendere questo Membro sulle operazioni soggette a governance?" Per ogni workflow, definisce la capacità del Membro di Visualizzare, Avviare, Approvare o Eseguire l'operazione. Ogni Membro può avere un solo Profilo Workflow.
• Le Politiche rispondono alla domanda "come si completa un'operazione soggetta a governance?" La politica di ogni workflow stabilisce se le richieste vengono eseguite immediatamente o richiedono più approvazioni. Le politiche sono trattate in Politiche, approvazioni e governance.

In sintesi:

Accesso effettivo = un Profilo Workflow + l'unione dei Ruoli Account + la politica del workflow

Ruoli e profili sono volutamente tenuti separati. I Ruoli Account sono limitati agli account; i livelli del Profilo Workflow non lo sono. Presentarli come un unico pacchetto farebbe pensare che i diritti di approvazione varino in base all'account, ma non è mai così. Un Membro che può approvare le richieste di prelievo può farlo su qualsiasi account dell'Organizzazione.

Le autorizzazioni sugli account sono associate ai Ruoli Account. Ogni autorizzazione è concessa per singolo account: averla su un account non garantisce nulla sugli altri.

Autorizzazioni dirette

Hanno effetto immediato, senza richieste né approvazioni:

Autorizzazioni di movimento fondi

Queste due autorizzazioni funzionano in modo diverso: da sole non concedono nulla. Determinano invece da quali account un Membro può prelevare o effettuare trasferimenti tramite un flusso di approvazione. Il Membro deve avere un Workflow Profile che gli consenta di avviare queste operazioni.

Per una panoramica completa su come viene elaborato un prelievo o un trasferimento, consulta Trasferimenti e prelievi.

Un Account Role è un pacchetto riutilizzabile: un insieme di permessi account applicati a un insieme di account. Un ruolo di trading può concedere Read e Trade sugli account di un desk; un ruolo di gestione fondi può concedere Read, Transfer e Withdraw sugli account gestiti dal tuo team operativo. Definisci il ruolo una sola volta e assegnalo a tutti i Membri che ne hanno bisogno.

• I Membri possono avere più Account Role. I permessi si sommano: un Membro con un ruolo di trading e uno di gestione fondi eredita entrambi gli insiemi di accessi.
• I ruoli sono risorse attive, non modelli. Modificare un ruolo aggiorna immediatamente l'accesso per tutti i Membri che lo detengono. Prima di salvare, il sistema mostra quali Membri sono interessati dalla modifica al ruolo e in che modo.

Il Workflow Profile è la componente di governance dell'accesso di un Membro. Per ogni workflow, definisce i livelli assegnati al Membro:

I livelli rappresentano facoltà, non gradi gerarchici:

• Visualizza è il livello base. Qualsiasi altro livello include sempre Visualizza.
• Avvia e Approva sono indipendenti. Un membro può approvare senza poter avviare richieste, o può avviare richieste senza poter approvare. Questa granularità garantisce la separazione dei ruoli.
• Esegui include Avvia e Approva. Un membro abilitato a completare azioni senza ulteriori approvazioni potrà anche avviare ed esaminare le richieste.

Due caratteristiche meritano attenzione:

• I livelli del profilo si applicano all'intera organizzazione. Approva sulla Richiesta di prelievo significa che il membro può esaminare ogni richiesta di prelievo nell'organizzazione, indipendentemente dall'account di provenienza. Solo l'avvio dei prelievi è vincolato all'account: un membro può avviare prelievi e trasferimenti solo sugli account per cui dispone di un'autorizzazione di movimentazione fondi.
• Ogni membro ha esattamente un profilo. I profili non si cumulano: leggere il profilo di un membro ti mostra la sua posizione di governance completa in un colpo d'occhio. Come gli Account Roles, i profili sono risorse attive: modificarne uno cambia le facoltà di ogni membro che lo detiene. Il sistema mostra sempre i membri interessati prima che tu salvi una modifica a un profilo esistente.

I workflow disponibili sono:

Ogni organizzazione include fin dall'inizio un set di Account Role e Workflow Profile predefiniti dal sistema. Coprono i casi d'uso più comuni, così puoi configurare il team senza dover creare nulla di personalizzato, e fungono da esempi pratici per progettare la tua governance.

Account Role predefiniti dal sistema

I ruoli predefiniti dal sistema coprono tutti gli account attuali e futuri: un Membro con il ruolo Trade all potrà fare trading su un account creato domani senza che il suo accesso venga aggiornato per includere il nuovo account. È anche possibile creare un ruolo personalizzato limitato a un elenco specifico e statico di account.

I profili e i ruoli di sistema non possono essere modificati né eliminati. È però possibile clonarne uno e modificare la copia per adattarla alle esigenze specifiche della tua Organizzazione.

Profili Workflow di sistema

Un profilo che include Initiate o Execute su Withdrawal Request deve includere anche View su Manage Addresses. Questo rende visibile, nella configurazione del profilo, l'accesso alla whitelist degli indirizzi di prelievo dell'Organizzazione. View su Manage Addresses non concede il permesso di avviare o approvare modifiche agli indirizzi.

Funds Manager può proporre un nuovo indirizzo di prelievo o la sostituzione di uno esistente, ma non può approvare modifiche agli indirizzi. In questo modo, l'approvazione di una modifica a un indirizzo rimane indipendente dalla persona che potrà in seguito avviare o approvare i prelievi verso quell'indirizzo.

I profili Initiator, Approver e Auditor corrispondono ai tre ruoli di un processo di revisione: chi propone, chi approva e chi supervisiona. Funds Manager è il profilo operativo per chi gestisce i movimenti di fondi e può proporre gli indirizzi di destinazione necessari.

L'accesso effettivo di un Membro è determinato dal Workflow Profile e dagli Account Roles assegnati, più la policy corrente per ciascun workflow.

1. Vai a Team e seleziona il Membro, oppure seleziona Invite Member per aggiungere un nuovo utente.
2. Scegli il suo Workflow Profile, uno dei profili predefiniti dal sistema o uno personalizzato.
3. Aggiungi uno o più Account Roles che coprono gli account su cui opera.
4. Esamina l'anteprima dell'accesso effettivo. Mostra profilo e ruoli separatamente, quindi li risolve: per ciascun account, cosa può fare direttamente il Membro, e per ciascun permesso di movimentazione fondi, come verrebbe completata una sua richiesta in base alle policy correnti.
5. Confirm. Se il workflow Manage Team & Access prevede una policy che richiede approvazione, l'assegnazione entra prima nella coda di approvazione.

L'anteprima segnala anche le combinazioni che concedono meno di quanto sembrano: ad esempio, un ruolo che assegna Withdraw su un account abbinato a un profilo che non può avviare richieste di prelievo. Nessuna delle due assegnazioni è errata, ma insieme non consentono ancora al Membro di prelevare; l'anteprima mostra questo stato prima che tu salvi.

Withdraw è un permesso account che determina da quali account il Membro può prelevare, a condizione che gli venga assegnato un Workflow Profile che gli consenta di avviare richieste di prelievo. Verifica il suo profilo: deve avere Initiate (o Execute) sul workflow Withdrawal Request. L'anteprima dell'accesso effettivo nella pagina del Membro mostra questa risoluzione per ciascun account.

È il comportamento previsto ed è così che funziona Approve. I livelli del Workflow Profile si applicano a tutti gli account dell'Organization. Un Membro con il livello Approve sulle richieste di prelievo può approvare qualsiasi richiesta di prelievo. Il modello attuale non supporta diritti di approvazione limitati al singolo account.

È una scelta progettuale. I ruoli sono risorse attive: ogni Membro che detiene un ruolo eredita i permessi che quel ruolo comporta. Quando modifichi un ruolo, il passaggio di conferma mostra come cambierà l'accesso dei Membri prima del salvataggio. Per modificare l'accesso di un solo Membro, definisci e assegna un nuovo ruolo invece di modificarne uno condiviso.

Ogni Member può avere un solo Workflow Profile. Se nessun profilo esistente è adatto, crea un profilo personalizzato con la combinazione di livelli necessaria e assegnalo.

I Member hanno bisogno di visibilità sugli account che gestiscono, e i ruoli che concedono permessi di trade includono in genere i diritti di lettura sugli stessi account. Per limitare un Member al trading con minore visibilità sugli altri account, restringi l'insieme di account del relativo ruolo anziché i permessi al suo interno.