الدليل بعد الحادثة: كيف نجيب عن سؤال «مَن أذن بهذا»

حالة افتراضية، والمشكلة خلفها، وما بنيناه كي لا تتكرر

الحالة

يأتي إلينا عميل — ليس شركة ناشئة، بل شركة لديها عملية: طلبات وموافقات ومدفوعات. ننشر وكيلاً يدير جزءاً من هذه العملية. وبعد شهرين تحدث حادثة: أرسل الوكيل دفعة لم يوافق عليها أحد.

تبدأ المراجعة بسؤال بسيط: «أرونا على أي أساس فعل ذلك». ويتبيّن أنه لا يوجد ما يُعرض.

هناك سجلات. وهناك محادثات. وهناك تصدير من نظام العملاء. لكن أياً من هذه الآثار لا يجيب: هل كان للوكيل حق في هذا الفعل في تلك الثانية، ومَن منحه إياه. الصلاحية في مكان، والقرار في آخر، والإرسال في ثالث، وواقعة التنفيذ عند المتلقي — ولم يفحصها أحد معاً.

المشكلة

صغناها لأنفسنا هكذا: هناك فجوة بين الصلاحية والقرار والإرسال والأثر، والصناعة تسدّها بالوعود لا بالأدلة.

تجيب الشهادة ومعايير الهوية عن «مَن على الطرف الآخر»: أي عبء عمل، وأي مفتاح. وهذا ضروري، لكنه لا يجيب «بأي حق تصرّفتم». فخادم موثَّق بشكل صحيح قد يقبل فعلاً خارج النطاق المفوَّض دون أن تُنتهك أي خصيصة من خصائص الشهادة.

وتجيب السجلات عن «ماذا حدث»، لا عن «هل كان مسموحاً». قد يكون السجل كاملاً وهو يصف فعلاً لم يأذن به أحد.

لذلك يبقى العميل بعد الحادثة بكثير من البيانات وبلا جواب. ويبقى المورّد بعبارة «كل شيء مسجَّل»، وهي لا تصمد في مراجعة.

ما بنيناه

لم نبنِ تطبيق وكيل آخر. بنينا أداة تتيح التحقق من الادعاءات المتعلقة بالصلاحيات — ادعاءاتنا وادعاءات الآخرين — وفق قواعد واحدة.

عقد مقارنة. أربعة سيناريوهات تكسر معظم التصاميم: الرفض عند نقطة القرار، قرار على دليل قديم، جهة مُجيزة غير متاحة، إلغاء بعد الإرسال. وأربعة عشر حقلاً إلزامياً — من الصلاحية والقرار إلى الأثر الفعلي والإيصال وبصمة الفعل والأجل وعدد المحاولات. وأربع حالات للدليل: مقيس، غير منطبق، غير مُصدَر، غير مقيس.

والأخيرة هي المفتاح. فهي تمنع التلاعب الأساسي في التقارير: تقديم «لم نقِس» على أنه «لا ينطبق».

مدقّق يعمل دون اتصال مع ضوابط سلبية. على الفحص أن يرفض حزمة حُذفت منها حالة أو كُرّرت أو قُلبت نتيجتها أو أُزيل سجل مُستشهد به أو تبادل صفّان إيصالاتهما. وعليه أن يقبل الحزمة غير المعدّلة. يبدو هذا شكلياً حتى يُفعَّل: في إحدى الحزم المنشورة ادّعى سجل أن المنفّذ رفض عند حدّه، بينما أظهر سجل المهمة محاولة معلّقة ورفضاً لاحقاً عند الإعادة. لا يكشف ذلك أي فحص سلامة — بل مقابلة الادعاء بالسجل.

الانفتاح. العقد والحالات وقواعد الرفض منشورة؛ والعمل يجري في مجموعة عمل مفتوحة للهوية والثقة، والنتائج في مستودع عام وفي ورقة قيد المراجعة. نحن لا نطلب الثقة بالكلام: يمكن لأي طرف أخذ حزمة وتشغيل الفحص.

ماذا يمنح العميل

بعد الحادثة — لا «سجل»، بل تحليل: أي صلاحية كانت سارية، وأي قرار اتُّخذ، وما أُرسل، وما حدث لدى الطرف الآخر، وأين تنقص الأدلة. وقبل الحادثة — إمكانية الاتفاق مسبقاً على ما يُعدّ طبيعياً وما يُعدّ حادثة.

والأهم: إمكانية التحقق منّا عبر طرف ثالث. وهذا تحديداً ما يغيب عن «ثقوا بنا، كل شيء تحت السيطرة».

ما لا ندّعيه

لا نصدر شهادات ولا ندّعي مطابقة معيار. لم نُثبت أن الوكيل آمن عموماً. ونقول صراحة إن جزءاً من الضمان يعيش عند المنفّذ وعند الهدف: نستطيع أن نُظهر أن القرار اتُّخذ داخل الصلاحية الممنوحة، لكننا لا نستطيع وحدنا إثبات أن المتلقي نفّذ هذا الفعل بالذات.

ونعلن حدود منهجنا: المقارنة تجري دون اتصال على سجلات محفوظة؛ ولا تُثبت الإنفاذ الحيّ ولا الآثار عند الطرف الهدف.

كيف يبدو ذلك عملياً

تجربة أولية: ننظر في سجلات وكيلكم، ونمرّرها على العقد، ونُظهر ما تُثبته وما لا تُثبته. بعد ذلك إمّا تُحسَّن طريقة التسجيل، أو تُعدَّل حدود الصلاحية، أو يُكتب الجزء غير المغطّى بأمانة في العقد.

إن كان لديكم وكيل يعمل وسؤال «ماذا سنُظهر إذا حدث خطأ» — من هناك نبدأ.