收銀權限點樣作廢先安全：離職、調職、即時停權的 POS 帳號管理
一、POS 權限管理：無法例直接規定，但唔等於唔使做
首先要講清楚一點：香港無法例直接規定 POS 權限管理點樣做。無一條法例話明離職嗰陣幾時要取消 POS 帳號，亦無一條法例列明 POS 帳號要分幾多級。POS 權限管理屬於商戶內部管理範圍，點樣做由商戶自己訂，但訂咗就要跟足。
咁唔代表權限管理同法例完全無關。有幾條法例喺旁邊框住成件事，商戶起碼要識得佢哋嘅界線。《個人資料（私隱）條例》（第 486 章）保障資料第 4 原則要求，資料使用者須採取所有切實可行的步驟，保障個人資料不受未獲准許或意外的查閱、處理、刪除、喪失或者使用。但要留意，呢個原則只適用於持有顧客個人資料的情況，唔可以引伸為條例要求離職當日必須取消 POS 帳號，因為條例本身並無咁樣規定。
《稅務條例》（第 112 章）第 51C 條要求業務紀錄保留至少 7 年，作廢帳號唔等於刪除交易紀錄，呢點後面會再講。而《僱傭條例》（第 57 章）規管的是僱傭關係本身，並無 POS 帳號規定。換句話講，本文以下講的程序全部屬於內部管理建議，商戶應該將佢哋寫成白紙黑字的內部制度，而唔係當成法例要求去同員工或者顧客解釋。
二、四級權限建議模型：分工愈清，風險愈細
以下四級模型係建議做法，非法律要求。商戶可以按自己規模調整，但核心原則不變：每個人只拎到做自己工作所需的權限，高風險動作要有第二個人把關。級別之間唔應該疊加，權限愈高，限制反而要愈明確。
第一級係收銀：用個人帳號登入，負責收款找贖同當班對數。收銀不可退款、不可作廢、不可做折扣、不可改價錢，亦不可入後台。收銀做唔到的事，唔係「搵主管嚟撳個掣就得」咁簡單，而係要行下一節講的批核程序。第二級係主管：只可以喺限額內批核退款、作廢同折扣，而且要做第二人批核。主管不可開戶刪戶、不可改價錢主檔，亦不可批自己發起的退款——自己發起、自己批，批核就形同虛設。
第三級係店長：負責排班、暫停可疑帳號同跟進交接。店長不可單獨改價錢主檔、不可單獨批大額退款，亦不可刪除帳號或者紀錄。第四級係老闆：擁有全部管理權限，但不可長期下放高風險權限，亦不可用共用帳號做老闆操作。老闆親自做高風險操作嗰陣，同樣要用自己嘅個人帳號，等審計紀錄對得返人。
三、正常離職：最後工作日結束前停用
正常離職的處理原則好簡單：最後工作日結束前停用。商戶應該預先將「停用帳號」寫入離職流程，等員工交回制服、歸還設備嗰陣同步處理，唔好拖到「有時間先搞」。離職手續完成之後，帳號應該已經停用，而唔係仲可以登入。
停用唔係刪除。停用係指帳號唔再可以登入，唔可以再做任何操作，但帳號本身同佢做過的交易紀錄、審計紀錄都要保留落嚟。呢個分別好重要，因為交易紀錄要按稅務要求保留至少 7 年，刪除帳號連同紀錄一齊刪走，隨時令商戶之後對唔返數。
實務上，老闆或者店長應該喺離職當日親自確認帳號已經停用，而唔係「叫咗人做就當做咗」。確認之後要留低書面紀錄，寫明邊個、幾時、停用咗邊啲權限，放入員工離職檔案存檔，之後有疑問先至有得查。
四、解僱同涉嫌不當行為：即時停權，先停權後點算
解僱或者涉嫌不當行為的情況，處理節奏同正常離職完全唔同：要即時停權。先停權，後點算，後交接。呢個係內部管理決定，目的係喺最短時間內切斷未授權操作的可能性，唔好等點算完、傾完先至停。
即時停權之後，先至做點算同交接：點算當班現金，核對 POS 分類總數，交接未完成事項，包括待批退款、未完成訂單、作廢單同顧客查詢。點算嗰陣最好有第二個人在場，雙方簽名確認，唔好一個人喺房入面自己點完就算。
要留意，即時停權唔代表商戶可以跳過正常程序去指控員工，亦唔代表可以即刻刪除任何紀錄。停權係保安措施，之後的調查、紀律程序同紀錄保留，仍然要按商戶既定制度同相關法例要求去做。程序做得愈穩，商戶之後先至企得愈穩。
五、調職：先收回舊角色，再授新權限
調職最容易出問題嘅地方，係舊權限無收回、新權限又加上去，結果一個人拎住兩個角色的權限。正確做法係：先收回舊角色，再授新權限，不可疊加。調職生效嗰日，舊角色的權限應該已經停用，新角色的權限先至生效。
舉個例子，收銀調升做主管，主管權限係新增的，但收銀以外的高風險權限唔應該因為「佢以前都係收銀」而保留落嚟。反過嚟，主管調去其他分店做收銀，主管的批核權限亦應該同步收回，唔好因為「佢做過主管」就留返。權限跟隨而家個角色，唔跟隨個人資歷。
調職嗰陣同樣要做交接：未完成事項要交代清楚，待批退款、未完成訂單、作廢單同顧客查詢唔可以因為換咗人就無人跟。交接完成之後要書面確認，寫明舊權限已收回、新權限已授予，雙方簽名存檔。
六、停用唔等於刪除：交易紀錄要保留，收款渠道要逐個核對
好多商戶以為「停咗 POS 帳號」就等於「停晒所有嘢」，其實唔係。POS 只做付款方式記錄同分類對數，收款本身經八達通機、KPay、YedPay 等獨立渠道進行。停咗 POS 帳號，唔等於停晒呢啲獨立渠道的權限，商戶必須逐個收款渠道核對，確認離職員工已經唔再可以操作或者查閱各渠道終端。
同樣道理，停用帳號唔等於刪除交易紀錄。根據《稅務條例》（第 112 章）第 51C 條，業務紀錄要保留至少 7 年。離職員工經手過的交易、退款、作廢同折扣紀錄，全部都係業務紀錄的一部分，應該完整保留，唔可以因為員工離職就刪除。
離職之後，商戶應該抽查審計紀錄，睇下停用前後有無異常操作，例如離職前最後幾日有無不尋常的退款、作廢或者折扣。抽查唔需要每日做，但要有定期機制，而且抽查結果要留紀錄。呢個步驟唔係為咗懷疑員工，而係為咗令商戶自己對得返數。
七、離職交接十項清單：逐項對，唔好靠記性
以下十項清單適用於離職交接，調職都可以參考。第一，停用登入、PIN、後台、退款同折扣權限，並且終止未登出的階段，唔好留低一個仲登入緊的階段俾下一個人用。第二，收回獨立收款渠道權限，逐個渠道核對八達通機、KPay、YedPay 等終端，確認離職員工已經唔再可以操作。第三，重設共用密碼——如果舖頭有任何共用密碼，離職嗰陣就要重設，唔好假設「佢唔會記得」。
第四，點算當班現金，並且核對 POS 分類總數，雙方簽名確認。第五，交接未完成事項，包括待批退款、未完成訂單、作廢單同顧客查詢，逐項寫低邊個接手。第六，交還設備，包括鑰匙、員工卡等實物。第七，確認無未結班次或者未批申請，唔好留低一個「仲未批」的申請喺系統入面無人理。
第八，停權覆核：由老闆或者店長確認以上項目已經完成，唔好由離職員工自己確認自己。第九，保留紀錄：交易按稅務要求保留至少 7 年，員工個人資料只保留至實際需要為止，唔好無限期保留。第十，書面確認存檔：成個交接過程要有書面確認，雙方簽名，放入檔案。十項做齊，交接先算完成。
八、日常實務原則：一人一帳號，高風險動作要第二人批核
權限管理唔係離職嗰日先至做，而係日常就要守住幾條原則。第一，一人一帳號，唔共用登入同 PIN。共用帳號的最大問題，係出事嗰陣無人知邊個做過，審計紀錄對唔返人。第二，PIN 唔好明文儲存，管理員只能重設 PIN，唔應該睇到或者抄到員工的 PIN。
第三，高風險動作要有第二人批核，加原因碼，再加審計紀錄。退款、作廢、折扣同改價錢，全部屬於高風險動作，批核嗰陣要寫低原因，例如係顧客投訴定係收錯錢，等之後查閱嗰陣知點解。第四，定期檢視權限清單，睇下有無已經唔應該有權限的人仲拎住權限，特別係調職同離職之後。
最後要講，成套制度要寫低、講明、跟足。寫低係指有書面程序；講明係指新員工入職嗰陣已經要知自己有咩權限、咩嘢唔做得；跟足係指老闆同店長自己都要跟，唔好因為趕時間就借個帳號俾人用。制度只對「唔跟的人」寬鬆一次，就等於對所有人寬鬆。
POS 權限管理無法例直接規定，屬於內部管理，但商戶必須訂明制度並跟足：四級權限只係建議做法，非法律要求；正常離職喺最後工作日結束前停用，解僱或者涉嫌不當行為要即時停權，調職要先收回舊角色再授新權限；停用唔等於刪除，交易紀錄按稅務要求保留至少 7 年，收款渠道要逐個核對；日常要一人一帳號、唔共用登入同 PIN，高風險動作要第二人批核加原因碼加審計紀錄。
