Kebijakan treasury untuk tim kecil: siapa yang boleh memindahkan uang

Saat sebuah perusahaan pertama kali memegang kripto, biasanya aset itu ada di dompet satu orang saja. Pendiri yang menyiapkannya, pendiri yang menyimpan frasa pemulihan, dan pendiri pula yang mengirim pembayaran. Cara ini berjalan — sampai orang tersebut sedang bepergian, sakit, keluar, terkena phishing, atau sekadar membuat kesalahan tanpa ada yang menyadarinya.

Kebijakan treasury adalah solusinya. Kebijakan ini tidak perlu panjang atau formal. Yang penting, ia menjawab beberapa pertanyaan dengan cukup jelas sehingga semua orang mengetahui aturannya sebelum uang berpindah, bukan sesudahnya.

Pertanyaan 1: siapa yang boleh membelanjakan?

Mulailah dengan memisahkan tiga peran yang sering tercampur:

• Pengusul — orang yang dapat menyiapkan pembayaran.
• Penyetuju — orang yang tanda tangannya diperlukan untuk mengirim pembayaran tersebut.
• Pemantau — orang yang perlu melihat saldo dan riwayat tetapi tidak boleh menyentuh dana, misalnya akuntan.

Kontrol utamanya adalah tidak ada satu orang pun yang dapat memindahkan dana sendirian. Di dunia kripto, hal ini ditegakkan dengan multisig: alamat treasury yang memerlukan M persetujuan dari N penanda tangan. Untuk tim berisi tiga sampai lima orang, 2-of-3 atau 3-of-5 adalah titik awal yang umum. Ambang yang lebih tinggi menambah keamanan sekaligus kerepotan dalam porsi yang sama.

Pertanyaan 2: bagaimana dengan kunci ketika orang pergi?

Setiap penanda tangan adalah manusia yang bisa keluar, kehilangan perangkat, atau berhenti merespons. Rencanakan hal itu:

• Ambang di bawah jumlah total. Dengan 2-of-3, kehilangan satu penanda tangan tidak membekukan dana.
• Tidak ada dua penanda tangan yang berbagi satu titik kegagalan yang sama — bukan brankas kantor yang sama, bukan laptop yang sama, idealnya juga bukan rumah tangga yang sama.
• Langkah offboarding. Ketika seseorang keluar, hapus dia sebagai penanda tangan dan, bila perlu, pindahkan dana ke vault tanpa kuncinya. Jangan menunggu sampai terjadi masalah.
• Jalur pemulihan yang terdokumentasi yang tidak bergantung pada satu orang yang ingat cara kerja semuanya.

Pertanyaan 3: tindakan mana yang perlu kehati-hatian ekstra?

Beberapa keputusan lebih berbahaya daripada pembayaran biasa: mengganti siapa saja penanda tangannya, mengalihkan kepemilikan, mengeluarkan orang, menghapus organisasi. Tindakan seperti ini seharusnya membutuhkan lebih dari sekadar satu klik dari akun yang sedang masuk. Tuliskan tindakan mana yang "kritis" dan konfirmasi apa yang dibutuhkan.

Pertanyaan 4: bagaimana pembayaran diperiksa?

Langkah persetujuan hanya bernilai jika penyetuju benar-benar memeriksa sesuatu. Daftar periksa singkat sudah cukup:

• Apakah sesuai dengan permintaan — faktur, penggajian, atau transfer yang sudah disepakati?
• Apakah alamatnya sudah diverifikasi — disimpan dan dikonfirmasi sebelumnya, bukan ditempel dari email?
• Apakah jumlahnya benar, termasuk aset dan jaringannya?
• Untuk interaksi kontrak, apakah hasil simulasi sesuai dengan tujuan?

Kerugian treasury yang paling umum bukanlah kunci yang diretas; melainkan faktur meyakinkan dengan alamat yang sudah diubah. Aturan bahwa alamat penerima baru harus dikonfirmasi melalui saluran kedua — telepon, atau kontak yang sudah dikenal — dapat mencegah banyak kasus seperti ini.

Pertanyaan 5: apa yang dicatat?

Setiap pembayaran harus meninggalkan jejak: siapa yang mengusulkan, siapa yang menyetujui, kapan, dan mengapa. Itulah yang membuat kebijakan dapat diaudit, dan yang memungkinkan tim merekonstruksi kejadian jika terjadi masalah.

Templat untuk memulai

Untuk tim kecil, kira-kira seperti ini sudah cukup sebagai awal:

1. Treasury disimpan di vault multisig dengan ambang 2-of-3 (atau 3-of-5).
2. Penanda tangan adalah orang-orang yang disebutkan namanya; tanpa akun bersama, tanpa perangkat bersama.
3. Siapa pun di tim keuangan boleh mengusulkan; hanya penanda tangan yang menyetujui.
4. Alamat penerima baru diverifikasi melalui saluran terpisah sebelum digunakan pertama kali.
5. Perubahan penanda tangan dan pengalihan kepemilikan adalah tindakan kritis yang memerlukan konfirmasi ulang.
6. Usulan, persetujuan, dan tujuan setiap pembayaran disimpan sebagai catatan.
7. Offboarding mencakup penghapusan sebagai penanda tangan pada hari terakhir orang tersebut.
8. Kebijakan ditinjau setiap enam bulan, atau setelah terjadi insiden apa pun.

Bagaimana SSP Enterprise memetakan hal ini

SSP Enterprise dibangun berdasarkan pertanyaan-pertanyaan ini:

• Peran. Organisasi memiliki pemilik, admin, anggota, dan pemantau, sehingga mengusulkan, menyetujui, dan melihat menjadi terpisah. Peran dan izin menjelaskan apa yang dapat dilakukan masing-masing.
• Vault M-of-N. Setiap vault memiliki ambang dan kumpulan penanda tangannya sendiri, dan satu organisasi dapat menjalankan beberapa vault — misalnya rekening operasional dan cadangan dengan ambang lebih tinggi. Dalam mode bawaan, setiap penanda tangan menyetujui dengan SSP Wallet sekaligus SSP Key, sehingga persetujuan satu penanda tangan pun sudah merupakan 2-of-2. Karena alamat vault dibentuk dari kunci para penanda tangannya, mengubah siapa yang dapat menandatangani berarti memindahkan dana ke vault baru — hal yang patut direncanakan dalam proses offboarding.
• Tindakan kritis. Mengalihkan kepemilikan, mengeluarkan anggota, menghapus organisasi, dan mengubah email perusahaan memerlukan penandatanganan ulang dengan kunci identitas, bukan sekadar sesi yang sedang masuk.
• Pemeriksaan sebelum menandatangani. Usulan menampilkan penerima dan jumlah, dan interaksi kontrak mendapatkan simulasi serta peringatan risiko sebelum penanda tangan menyetujui.
• Catatan setiap pembayaran. Usulan menyimpan siapa yang mengusulkan, siapa yang sudah menandatangani, dan siapa yang masih tertunda, serta tersedia ekspor untuk keperluan akuntansi.

Jika Anda memulai dari nol, panduan menyiapkan vault enterprise pertama Anda akan memandu langkah demi langkah.

Ringkasan jujur

Kebijakan treasury menjawab lima pertanyaan: siapa yang boleh membelanjakan, apa yang terjadi ketika orang pergi, tindakan mana yang kritis, bagaimana pembayaran diperiksa, dan catatan apa yang disimpan. Tuliskan jawabannya sebelum Anda membutuhkannya.

Multisig menegakkan aturan yang paling penting — tidak ada satu orang pun yang dapat memindahkan dana sendirian. Selebihnya adalah kebiasaan: alamat yang terverifikasi, pemeriksaan sungguhan sebelum menyetujui, dan offboarding yang dilakukan tepat waktu.