Governance uitrollen

Het Execute-niveau en de instelling "Altijd goedkeuring vereisen" resulteren samen in twee modi:

• Snelle doorgang voor sommigen, goedkeuring voor de rest. Vergrendel het beleid met "Altijd goedkeuring vereisen" UIT. Leden met Execute in hun profiel ronden verzoeken direct af; alle anderen doorlopen het goedkeuringsproces. De vergrendeling voorkomt dat iemand de regels zelfstandig kan versoepelen.
• Goedkeuring voor iedereen. Vergrendel het beleid met "Altijd goedkeuring vereisen" AAN. Elk verzoek, ook dat van de Eigenaar, doorloopt een onafhankelijk goedkeuringsproces. Niemand kan een beheerde bewerking zelfstandig afronden.

Verschillende workflows kunnen verschillende modi hebben. Een veelgebruikte opzet: goedkeuring voor iedereen bij Opnameverzoek, een snelle doorgang bij Overboekingsverzoek (tegoeden blijven binnen de Organisatie), en goedkeuring bij Beheer beleid om de regels zelf te beschermen.

De eerste drie stappen zijn eenvoudig terug te draaien. Vergrendelen is de definitieve stap.

Stap 1 - Bootstrap

De Owner start met het systeemgedefinieerde Admin-profiel en de rol Volledige toegang: Execute op elke workflow, elke toestemming op elk Account. Het beleid van elke workflow start als Open. Als organisatie met één gebruiker werk je precies zoals voorheen: niets wacht op goedkeuring, want er is niemand die kan goedkeuren.

Stap 2 - Configureren

Stel de goedkeuringsstructuur in voor één workflow – doorgaans eerst Withdrawal Request – terwijl "Altijd goedkeuring vereisen" UIT staat:

1. Nodig Members uit en wijs Workflow-profielen toe met Approve op de betreffende workflow. Het systeemgedefinieerde Approver-profiel verleent goedkeuringsrechten op elke workflow; Funds Manager dekt het starten en goedkeuren van overboekingen en opnames.
2. Wijs Account-rollen toe zodat initiators de juiste rechten voor tegoedenmutaties hebben op de juiste Accounts.
3. Stel het vereiste aantal goedkeuringen in op de betreffende workflow.
4. Als je van plan bent te vergrendelen (Stap 4), stel dan nu de ontgrendelingsroute in via Manage Policies: een Member die een Manage Policies-verzoek kan starten, plus evenveel andere Members met Approve op Manage Policies als die workflow vereist. Het systeem controleert dit niet voordat je kunt vergrendelen.

Er wordt nog niets afgedwongen. Je behoudt Execute en werkt gewoon door terwijl alles op zijn plek valt.

Stap 3 - Valideren

Zet „Altijd goedkeuring vereisen“ AAN voor de doelworkflow. Alle verzoeken, inclusief die van jou, komen nu in de wachtrij. Controleer met echte verzoeken:

• Goedkeurders zien openstaande verzoeken en kunnen ze goedkeuren of afwijzen.
• Het vereiste aantal goedkeuringen is haalbaar met je huidige team.
• De volledige flow, van initiatie tot afronding, verloopt zoals verwacht. Controleer of de bijbehorende beveiligingsgebeurtenissen terugverwijzen naar hun verzoeken.

Dit is het veilige venster: het bestuur is actief, maar het beleid is nog niet vergrendeld. Je kunt de instelling dus UIT zetten, aanpassingen doorvoeren en dit zo vaak herhalen als nodig. Beslis of de definitieve configuratie „Altijd goedkeuring vereisen“ AAN of UIT houdt, voordat je het beleid vergrendelt.

Stap 4 - Vergrendelen

Vergrendel het beleid. Vergrendelen is zelf een verzoek via Beleid beheren: als Beleid beheren al goedkeuring vereist, treedt de vergrendeling in werking zodra een ander Lid het goedkeurt. Vanaf dit moment:

• Alle verzoeken volgen de geconfigureerde goedkeuringsregels.
• Elke wijziging aan dit beleid – het aantal vereiste goedkeuringen, de instelling „Altijd goedkeuring vereisen“, ontgrendelen – wacht op akkoord van een ander Lid met Goedkeuren op Beleid beheren. Execute op Beleid beheren omzeilt dit niet: de vergrendeling heeft voorrang op directe uitvoering voor het vergrendelde beleid.
• De wijzigingen van de Eigenaar doorlopen dezelfde beoordeling als die van ieder ander.

Stap 5 - Herhalen

Alle andere workflows behouden hun huidige instelling totdat je terugkeert naar stap 2. Elke combinatie van beheerde en onbeheerde workflows is een geldige eindsituatie – de volgorde is een aanbeveling, geen vereiste.

De laatste stap – Beleid beheren zelf vergrendelen

Beleid beheren heeft zijn eigen beleid en zijn eigen vergrendeling. Dit vergrendelen is de eindtoestand van de uitrol: vanaf dat moment vereist elke regelwijziging binnen de Organisatie – beleidsinstellingen, vergrendelingen en ontgrendelingen, op elke workflow – onafhankelijke goedkeuring, en kan niemand het bestuur via het product afzwakken.

Voer deze stap als laatste uit, zodra elke workflow die je wilt beheren geconfigureerd en vergrendeld is. Controleer eerst of een Beleid beheren-verzoek nog gestart en goedgekeurd kan worden zonder jou: iemand die het kan starten, plus zo veel andere Leden met Goedkeuren op Beleid beheren als die workflow vereist – allen geverifieerd en actief. Vergrendeld beleid blijft aanpasbaar zolang die route bestaat – het systeem controleert dit niet voor je. Zie Beleid, goedkeuringen en bestuur voor het gedrag van deze vergrendeling.

Een CFO wil opnames direct zelf verwerken, terwijl elke opname van de fondsmanagers via haar beoordeling loopt.

Workflow-profielen:

Alle drie hebben een Account Role die Opnemen op de operationele accounts verleent. De niveaus in dit voorbeeld gelden alleen voor Withdrawal Request. Het ingebouwde Initiator-profiel verleent ook Initiate op alle andere workflows. Gebruik een aangepast profiel als fondsbeheerders opnames mogen initiëren, maar geen andere bestuurde workflows.

Withdrawal Request-beleid: vereiste goedkeuringen: 1, “Altijd goedkeuring vereisen” UIT, beleid vergrendeld.

Het resultaat: de opnames van de CFO worden direct via Execute afgerond. De opname van elke fondsbeheerder wacht op één goedkeuring – in de praktijk die van de CFO, omdat zij de enige goedkeurder is. Niemand kan deze regels alleen wijzigen, omdat het beleid vergrendeld is.

Controleer vóór het vergrendelen of een Manage Policies-verzoek nog goedgekeurd kan worden zonder de persoon die het indient: er moeten voldoende leden met Approve op Manage Policies zijn voor het vereiste aantal goedkeuringen. Die leden keuren toekomstige beleidswijzigingen en ontgrendelingsverzoeken goed. Het systeem controleert dit niet voor je.

Later aanscherpen. Wanneer het bedrijf besluit dat alle opnames – ook die van de CFO – beoordeeld moeten worden, verloopt de wijziging via een beleidsverzoek (onafhankelijke goedkeuring vereist, omdat het beleid vergrendeld is):

1. Verplaats de fondsbeheerders naar een profiel met Goedkeuren, zodat ze elkaars verzoeken en die van de CFO kunnen beoordelen.
2. Verhoog het vereiste aantal goedkeuringen naar 2.
3. Zet “Altijd goedkeuring vereisen” AAN.

Execute blijft op het profiel van de CFO staan, maar is inactief. Als het bedrijf het beleid ooit versoepelt, is haar snelle route direct weer actief zonder dat iemand opnieuw toegang hoeft toe te wijzen.

Een team van vier personen op de Withdrawal Request-workflow, met een overzicht van de goedkeuringsrechten per verzoek:

Beleid: vereiste goedkeuringen: 2, "Altijd goedkeuring vereisen" AAN (zodat Execute van de Owner inactief is).

• Withdrawal Request geconfigureerd, gevalideerd en vergrendeld
• Transfer Request-instelling bepaald (snelle route of volledige goedkeuring) en vergrendeld
• Goedkeuringsvereisten voor Manage Addresses ingesteld; de whitelist bewaakt elke opname
• Beleid voor Manage Team & Access en Manage API Keys ingesteld; toegangswijzigingen en nieuwe inloggegevens verdienen regelmatige controle
• Manage Policies onder governance geplaatst en, als definitieve stap, het eigen beleid vergrendeld – zodat de regels zelf beschermd zijn
• Een Manage Policies-verzoek kan nog steeds worden gestart en goedgekeurd zonder één specifieke persoon: iemand om het te starten, plus evenveel andere Members met Approve op Manage Policies als die workflow vereist – zodat vergrendeld beleid aanpasbaar blijft
• Een periodieke toegangsbeoordeling ingepland via beveiligingsgebeurtenissen