Chính sách ngân quỹ cho nhóm nhỏ: ai được phép chuyển tiền
Khi một công ty lần đầu nắm giữ tiền mã hóa, số tài sản đó thường nằm trong ví của một người duy nhất. Nhà sáng lập thiết lập ví, nhà sáng lập giữ cụm từ khôi phục và nhà sáng lập gửi các khoản thanh toán. Cách này vẫn ổn — cho đến khi người đó đi công tác, bị ốm, nghỉ việc, dính lừa đảo phishing hoặc đơn giản là mắc lỗi mà không ai phát hiện.
Chính sách ngân quỹ là giải pháp. Nó không cần dài hay trang trọng. Nó chỉ cần trả lời một vài câu hỏi đủ rõ ràng để mọi người biết quy tắc trước khi tiền được chuyển đi, chứ không phải sau đó.
Câu hỏi 1: ai được chi tiêu?
Hãy bắt đầu bằng cách tách biệt ba vai trò thường bị lẫn lộn:
- Người đề xuất — những người có thể chuẩn bị một khoản thanh toán.
- Người phê duyệt — những người mà chữ ký của họ là bắt buộc để gửi khoản thanh toán đó.
- Người xem — những người cần thấy số dư và lịch sử nhưng không bao giờ được động vào tiền, chẳng hạn như kế toán.
Biện pháp kiểm soát cốt lõi là không ai có thể tự mình chuyển tiền. Trong tiền mã hóa, điều này được thực thi bằng multisig: một địa chỉ ngân quỹ cần M lượt phê duyệt trên tổng số N người ký. Với một nhóm từ ba đến năm người, 2-of-3 hoặc 3-of-5 là những điểm khởi đầu phổ biến. Ngưỡng cao hơn tăng thêm an toàn và sự rườm rà ở mức ngang nhau.
Câu hỏi 2: còn khóa thì sao khi có người rời đi?
Mỗi người ký đều là một con người có thể nghỉ việc, làm mất thiết bị hoặc không còn phản hồi. Hãy lên kế hoạch cho điều đó:
- Ngưỡng thấp hơn tổng số. Với 2-of-3, mất một người ký không làm đóng băng tiền.
- Không có hai người ký nào dùng chung một điểm lỗi duy nhất — không cùng két sắt văn phòng, không cùng máy tính xách tay, lý tưởng nhất là không cùng một hộ gia đình.
- Một bước xử lý khi nghỉ việc. Khi ai đó rời đi, hãy gỡ họ khỏi danh sách người ký và nếu cần, chuyển tiền sang một kho không có khóa của họ. Đừng đợi đến khi có sự cố.
- Một quy trình khôi phục được ghi chép lại mà không phụ thuộc vào việc một người duy nhất nhớ mọi thứ vận hành ra sao.
Câu hỏi 3: hành động nào cần thận trọng hơn?
Một số quyết định nguy hiểm hơn một khoản thanh toán thông thường: thay đổi người ký, chuyển giao quyền sở hữu, xóa thành viên, xóa tổ chức. Những việc này nên đòi hỏi nhiều hơn một cú nhấp chuột từ một tài khoản đang đăng nhập. Hãy ghi rõ những hành động nào là "quan trọng" và chúng cần xác nhận gì.
Câu hỏi 4: các khoản thanh toán được kiểm tra thế nào?
Bước phê duyệt chỉ có giá trị khi người phê duyệt thực sự kiểm tra điều gì đó. Một danh sách kiểm tra ngắn là đủ:
- Khoản này có khớp với một yêu cầu không — một hóa đơn, một kỳ trả lương, một giao dịch chuyển tiền đã thỏa thuận?
- Địa chỉ đã được xác minh chưa — đã lưu và xác nhận từ trước, không phải dán từ email?
- Số tiền có đúng không, bao gồm cả tài sản và mạng lưới?
- Với các tương tác hợp đồng, kết quả mô phỏng có khớp với ý định không?
Tổn thất ngân quỹ phổ biến nhất không phải là khóa bị hack; mà là một hóa đơn trông rất thuyết phục với địa chỉ đã bị thay đổi. Một quy tắc yêu cầu xác nhận địa chỉ người nhận mới qua kênh thứ hai — một cuộc gọi, một liên hệ sẵn có — sẽ ngăn chặn phần lớn trường hợp này.
Câu hỏi 5: cái gì được ghi lại?
Mỗi khoản thanh toán nên để lại dấu vết: ai đề xuất, ai phê duyệt, khi nào và vì sao. Đó là điều khiến một chính sách có thể kiểm toán được và giúp nhóm tái dựng lại sự việc nếu có sự cố.
Một mẫu để bắt đầu
Với một nhóm nhỏ, những điều như sau là đủ để bắt đầu:
- Ngân quỹ được giữ trong một kho multisig với ngưỡng 2-of-3 (hoặc 3-of-5).
- Người ký là những người có danh tính cụ thể; không dùng chung tài khoản, không dùng chung thiết bị.
- Bất kỳ ai trong nhóm tài chính đều có thể đề xuất; chỉ người ký mới được phê duyệt.
- Địa chỉ người nhận mới được xác minh qua một kênh riêng trước lần sử dụng đầu tiên.
- Thay đổi người ký và chuyển giao quyền sở hữu là các hành động quan trọng cần xác nhận lại.
- Đề xuất, các lượt phê duyệt và mục đích của từng khoản thanh toán đều được lưu hồ sơ.
- Quy trình nghỉ việc bao gồm gỡ người đó khỏi danh sách người ký vào ngày làm việc cuối cùng của họ.
- Chính sách được rà soát sáu tháng một lần hoặc sau bất kỳ sự cố nào.
SSP Enterprise đáp ứng điều này như thế nào
SSP Enterprise được xây dựng xoay quanh những câu hỏi này:
- Vai trò. Tổ chức có chủ sở hữu, quản trị viên, thành viên và người xem, nên việc đề xuất, phê duyệt và xem được tách biệt. Vai trò và quyền hạn giải thích mỗi vai trò có thể làm gì.
- Kho M-of-N. Mỗi kho có ngưỡng và nhóm người ký riêng, và một tổ chức có thể vận hành nhiều kho — chẳng hạn một tài khoản vận hành và một quỹ dự trữ có ngưỡng cao hơn. Ở chế độ mặc định, mỗi người ký phê duyệt bằng cả SSP Wallet và SSP Key, vì vậy ngay cả phê duyệt của một người ký cũng tự nó là một 2-of-2. Vì địa chỉ của kho được tạo từ khóa của các người ký, thay đổi người được ký đồng nghĩa với việc chuyển tiền sang một kho mới — điều đáng đưa vào kế hoạch xử lý nghỉ việc.
- Hành động quan trọng. Chuyển giao quyền sở hữu, xóa thành viên, xóa tổ chức và thay đổi email doanh nghiệp đòi hỏi ký lại bằng khóa định danh, chứ không chỉ là một phiên đang đăng nhập.
- Kiểm tra trước khi ký. Các đề xuất hiển thị người nhận và số tiền, còn các tương tác hợp đồng được mô phỏng và có cảnh báo rủi ro trước khi người ký phê duyệt.
- Hồ sơ cho mọi khoản thanh toán. Các đề xuất lưu lại ai đã đề xuất, ai đã ký và ai vẫn đang chờ, đồng thời có sẵn chức năng xuất dữ liệu cho kế toán.
Nếu bạn bắt đầu từ con số không, hướng dẫn thiết lập kho doanh nghiệp đầu tiên sẽ đưa bạn qua từng bước.
Tóm tắt thẳng thắn
Một chính sách ngân quỹ trả lời năm câu hỏi: ai được chi tiêu, điều gì xảy ra khi có người rời đi, hành động nào là quan trọng, các khoản thanh toán được kiểm tra thế nào và hồ sơ nào được lưu giữ. Hãy viết ra câu trả lời trước khi bạn cần đến chúng.
Multisig thực thi quy tắc quan trọng nhất — không ai có thể tự mình chuyển tiền. Phần còn lại là thói quen: địa chỉ đã xác minh, kiểm tra thực sự trước khi phê duyệt và xử lý nghỉ việc đúng hạn.
