Når der sker noget mærkeligt i webshoppens administration, kan webshoppen ofte selv vise, hvad der skete. De fleste platforme registrerer, hvilken medarbejderkonto der oprettede rabatkoder, lavede refusioner, ændrede ordrer eller eksporterede kundedata. Men loggen gemmes ikke altid længe, og den viser kun noget brugbart, hvis hver medarbejder har sin egen konto. Sikr den hurtigt, og ret ikke noget, før I har gemt det, I kan se.
Typiske situationer
- Rabatkoder med høje rabatter, som ingen har godkendt, bliver brugt af de samme kunder igen og igen.
- Refusioner bliver lavet til ordrer, der aldrig er returneret, eller til et andet betalingskort.
- Ordrer bliver markeret som betalt eller sendt uden at være det.
- Gratis fragt eller gratis varer bliver lagt på ordrer til bestemte kunder.
- Kundelisten bliver eksporteret kort før en medarbejder stopper.
- Priser eller lagertal bliver ændret uden forklaring.
- En tidligere medarbejder eller et tidligere bureau har stadig adgang.
Hvad webshoppen typisk kan vise
Platformene er forskellige, men de fleste kan vise noget af følgende:
- Aktivitetslog eller ordrehistorik: hvem ændrede en ordre, og hvornår.
- Refusioner: hvem lavede refusionen, beløb, og til hvilken betalingsform.
- Rabatkoder: hvem oprettede koden, hvornår, og hvor mange gange den er brugt.
- Medarbejderkonti: hvem har adgang, og med hvilke rettigheder.
- Login-historik: hvornår en konto var logget ind, og nogle gange fra hvilken IP-adresse.
- Eksporter: om der er lavet eksport af kunder eller ordrer.
Betalingsudbyderen har sine egne data om refusioner, chargebacks og betalingskort. Sammenhold dem med webshoppens data.
Hubben beskriver, hvordan webshops og markedspladser sikres som dokumentation: → Bevissikring af webshops og markedspladser
Hvad gør I nu?
1. Hold kredsen lille
Kun ejer og den, der er ansvarlig for webshoppen, skal kende mistanken, medmindre det er den ansvarlige selv, sagen handler om. Så skal ejeren eller en ekstern stå for sikringen.
2. Gem det, I kan se, før noget ændres
Tag eksporter og skærmbilleder af:
- de relevante ordrer med historik,
- refusioner med dato, beløb og bruger,
- rabatkoder med oprettelsesdato og brug,
- medarbejderkonti og rettigheder,
- login-historik, hvis den findes.
Notér, hvem der tog dem, og hvornår. Tjek, hvor længe platformen gemmer loggen. Nogle gemmer den kun i en kort periode, og så er tiden knap. Kontakt platformens support, hvis I har brug for data, der rækker længere tilbage.
3. Hent data fra betalingsudbyderen
Eksportér refusioner og betalinger fra betalingsudbyderen for samme periode. Det viser, hvor pengene gik hen, og om refusioner gik til andre kort end det, kunden betalte med.
4. Find mønstret
Lav en tidslinje: hvem oprettede, hvem brugte, hvem refunderede, og hvornår. Se efter gentagelser: de samme kunder, de samme adresser, de samme betalingskort eller de samme tidspunkter. Opgør også beløbet: hvor meget er givet i rabat, refunderet eller sendt uden betaling. Hold det, der kan forklares, adskilt fra det, der ikke kan. En opgørelse, der skelner tydeligt, er lettere at bruge både i samtalen og i et eventuelt krav.
5. Skift adgange, når sporene er gemt
Når data er sikret, kan I fjerne eller begrænse adgange og slette ubrugte rabatkoder. Gør det dokumenteret, og notér tidspunktet for hver ændring.
Delte konti ødelægger sagen
I mange små webshops bruger flere medarbejdere samme administratorkonto. Så kan loggen ikke vise, hvem der gjorde hvad. Opret personlige konti, og giv hver medarbejder de rettigheder, der er nødvendige for jobbet, ikke mere. → Delte logins og fælleskonti
Bureauer og freelancere
Mange webshops har bureauer, udviklere og freelancere med administratoradgang. Når samarbejdet stopper, bliver adgangen ofte glemt. Gennemgå medarbejderkonti og apps med adgang, og fjern dem, der ikke længere skal have det. → Konsulenter og freelancere: adgang og data ved ophør
Når kundelisten er eksporteret
En særlig situation er, når en medarbejder har eksporteret kunder eller ordrer kort før fratrædelsen. Det kan være en del af jobbet, fx til et nyhedsbrev eller en analyse, men det kan også være et forsøg på at tage kunderne med. Gem oplysningerne om eksporten: hvem lavede den, hvornår, og hvad den indeholdt. Undersøg derefter, hvor filen er havnet. Det kræver ofte en gennemgang af medarbejderens computer, mail og cloudkonti, og den skal ske inden for jeres politikker og reglerne om kontrol. Kundelisten indeholder persondata, så I skal også vurdere, om der er tale om et brud på persondatasikkerheden.
Samtalen med medarbejderen
Peger data på en bestemt medarbejder, skal samtalen forberedes med advokat eller HR. Fremlæg fakta: ordrenumre, rabatkoder, refusioner, tidspunkter og den konto, der blev brugt. Giv medarbejderen mulighed for at forklare sig. Der kan være en forklaring, I ikke kendte, fx at en leder har bedt om rabatter til bestemte kunder, eller at kolleger har brugt den samme konto. Beslut på forhånd, hvad der sker med adgangen til webshoppen under og efter samtalen, og skriv referat samme dag.
Hvis det er en kunde, der står bag
Nogle gange viser det sig, at misbruget kommer fra en kunde, der har fundet en svaghed, fx en rabatkode, der kan bruges igen og igen. Så er det en anden type sag, men loggen er lige så vigtig. Gem den, før I lukker hullet.
Hvem gør hvad?
- Ejer · Ejer sagen og beslutter næste skridt
- E-handelsansvarlig · Eksporterer data, medmindre det er vedkommende, sagen angår
- Bogholder · Afstemmer refusioner og betalinger
- Platform og betalingsudbyder · Udleverer logs og bevarer data
- Advokat · Rådgiver om samtale, krav og ansættelsesretlige skridt
Det må I ikke gøre
- Slette rabatkoder eller medarbejderkonti, før loggen er gemt. Så kan historikken forsvinde.
- Spørge medarbejderen, før data er gemt.
- Kontakte de kunder, der har brugt koderne, før advokaten har vurderet det.
- Indføre ny overvågning af medarbejdernes aktivitet i stilhed. Brug den log, platformen har, og tjek reglerne for nye kontroller. → Hvad må arbejdsgiveren kontrollere?
Chargebacks og refusioner
Nogle sager starter ikke hos medarbejderne, men hos kunderne: chargebacks, der ikke passer, eller refusioner, som kunden siger, de aldrig har fået. De sager skal håndteres anderledes. → Chargebacks i webshoppen: hvad skal I have klar?
Forebyg næste gang
- Personlige konti og to-faktor-login for alle.
- Rabatkoder over en vis procent kræver godkendelse.
- Refusioner over et vist beløb kræver en anden persons godkendelse.
- Ugentlig gennemgang af refusioner og brugte rabatkoder.
- Gennemgang af medarbejderkonti og apps hvert kvartal.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis beløbene er store, hvis loggen skal sammenholdes med data fra betalingsudbyder, mail og computere, eller hvis medarbejderen afviser og hævder, at nogen har brugt vedkommendes konto. En IT-sagkyndig kan sikre data, før de forsvinder, og dokumentere sammenhængen. Denne artikel handler om interne undersøgelser og civile krav.
Læs også: Skift af bogføringssystem: bevar historik og ændringslog · E-signatur: hvem underskrev på virksomhedens vegne?
→ Intern IT-undersøgelse · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
