Bài viết này tổng hợp thiết kế phân quyền mà quản trị viên (Chủ sở hữu / Quản trị viên nhóm) thực hiện khi sử dụng Dive tại nhiều công ty, nhà máy và phòng ban, cùng với các công việc định kỳ cần thực hiện để duy trì vận hành.

Để quyết định gộp hợp đồng (team) thành một hay tách riêng, xin xem Ưu và nhược điểm khi gộp nhiều công ty hoặc tổ chức thành một team (đơn vị hợp đồng). Về thiết lập ban đầu khi gộp thành một team, xin xem Thiết lập ban đầu và lưu ý khi vận hành ở nhiều phòng ban.

Điều kiện tiên quyết: mối quan hệ giữa team, nhóm và thư mục

Vận hành trên nhiều tổ chức được quyết định bởi sự kết hợp của ba đơn vị sau.

Team: Đơn vị hợp đồng. Đại diện cho toàn công ty, và trong Dive chỉ tồn tại một team. Các team khác nhau sẽ hoàn toàn độc lập về SOP, người dùng, quyền hạn, gói dịch vụ, Cài đặt bảo mật và Báo cáo sử dụng.
Nhóm: Đơn vị bên trong team, như phòng ban, tổ hoặc dự án. Có thể sắp xếp thành cấu trúc phân cấp (ví dụ: Bộ phận Sản xuất → Tổ Sản xuất 2), và một người dùng có thể thuộc nhiều nhóm. Số nhóm có thể tạo và số cấp nhóm con phụ thuộc vào gói dịch vụ của bạn (xem mục tiếp theo).
Thư mục: Nơi lưu trữ SOP. Với mỗi thư mục, bạn chỉ định các nhóm được phép truy cập. Thành viên của các nhóm đã chỉ định và của các nhóm thuộc cấp dưới của chúng có thể truy cập thư mục. Ngoài ra, bạn có thể chỉ định riêng nhóm nào được chỉnh sửa trong thư mục, nhờ đó có thể phân chia để một số người chỉ được xem mà không được chỉnh sửa.

Nói cách khác, bạn quyết định “ai” được xem theo nhóm, và “cái gì” được xem theo thư mục. Ngay cả khi trải qua nhiều công ty hoặc địa điểm, bạn vẫn thiết kế phạm vi hiển thị dựa trên hai trục này.

Giới hạn theo gói dịch vụ

Việc vận hành trên nhiều công ty và nhà máy bị ảnh hưởng bởi số nhóm có thể tạo và số cấp lồng nhau. Vui lòng kiểm tra những điểm này trước khi bắt đầu thiết kế.

Nhóm: Gói Free và Lite không thể tạo nhóm. Gói Core tối đa 5 nhóm, còn gói Pro và Enterprise không giới hạn.
Nhóm con (cấu trúc phân cấp của nhóm): Gói Core và Pro chỉ cho phép 1 cấp (ví dụ: Bộ phận Sản xuất → Tổ Sản xuất 2). Cấu trúc sâu hơn chỉ có ở gói Enterprise.
Mời khách (guest): Có từ gói Core trở lên. Bạn có thể mời tối đa gấp 3 lần số tài khoản, và số này được tính riêng với các tài khoản có vai trò từ Chủ sở hữu đến Người dùng chỉ xem.
Quy trình phê duyệt: Có từ gói Pro trở lên.
Đăng nhập một lần (SSO) và bắt buộc xác thực 2 bước cho tất cả người dùng: Chỉ có ở gói Enterprise.
Giới hạn địa chỉ IP và Chính sách mật khẩu: Có ở tất cả các gói.

Bạn cũng có thể xem giới hạn có thể dùng theo hợp đồng hiện tại từ biểu tượng [Hồ sơ] ở góc trên bên phải màn hình → [Hợp đồng / báo giá / đặt hàng] → tab [Thông tin hợp đồng].

Cách phân bổ quyền hạn

Khi trải qua nhiều công ty hoặc địa điểm, việc đầu tiên cần quyết định là “ai sẽ giữ vai trò Chủ sở hữu”.

Chủ sở hữu và Quản trị viên Nhóm có thể truy cập tất cả thư mục trong team bất kể Cài đặt hạn chế truy cập. Nếu gộp nhiều công ty vào một team, người từ bất kỳ công ty nào trong số đó cũng có thể xem toàn bộ SOP, kể cả SOP của các công ty khác. Nếu có SOP mà bạn không muốn công ty khác xem, bạn cần tách thành các team riêng.

Khi vận hành trong một team, sẽ dễ quản lý hơn nếu phân quyền theo hai tầng dưới đây.

Chủ sở hữu / Quản trị viên nhóm: Tập trung vai trò này vào một bộ phận, ví dụ Đảm bảo chất lượng hoặc Kỹ thuật sản xuất. Các thao tác liên quan đến Cài đặt bảo mật, nhật ký kiểm toán và hợp đồng đều cần quyền này.
Quản trị viên Nhóm: Bố trí mỗi địa điểm hoặc phòng ban một người. Người này phụ trách thêm người dùng vào nhóm của mình, tạo thư mục và phê duyệt.

Vì giới hạn truy cập thư mục đi ngược lên theo cấu trúc nhóm (tới nhóm cha), nên chỉ thuộc một nhóm cấp trên thì không thể mở các thư mục chỉ công bố cho nhóm cấp dưới. Nếu có người cần xem cùng lúc nhiều địa điểm, hãy cho họ thuộc từng nhóm cấp dưới một, hoặc bật [Phạm vi xem thư mục] trong [Quy tắc nghiệp vụ] ở Chức năng dành cho chủ sở hữu (mặc định là tắt). Khi bật, những người thuộc vai trò đã chọn (Quản trị viên Nhóm trở lên, Người tạo trở lên, Người dùng chỉ xem trở lên) cũng có thể mở các thư mục dành cho nhóm cấp dưới. Chi tiết xem tại Cho phép xem thư mục của các nhóm cấp dưới (Phạm vi xem thư mục).

Ngược lại, nếu bạn không muốn SOP trong thư mục đã bị nhóm cấp trên (ví dụ trụ sở chính) thu hẹp lại được hiển thị cho người ở địa điểm cấp dưới, hãy bật [Không hiển thị SOP trong thư mục được nhóm cấp trên thu hẹp cho người ở nhóm cấp dưới] trong cùng mục đó. Người thuộc nhóm cấp dưới vẫn có thể mở thư mục cấp trên để vào thư mục của địa điểm mình, nhưng các SOP đặt trong thư mục đó sẽ không được hiển thị.

Người làm SOP nên được đặt là Người tạo, còn người chỉ xem thì là Người dùng chỉ xem, và tránh tăng quá nhiều người có quyền cấp cao. Thao tác được phép theo từng quyền, xem Quyền người dùng và số lượng tài khoản.

Khi trải rộng qua nhiều địa điểm hoặc công ty, một cài đặt thường được dùng là “Nhóm cũng có thể chỉnh sửa” trong phần hạn chế truy cập của thư mục. Trong số các nhóm được phép truy cập, cài đặt này cho phép thu hẹp thêm những nhóm thực sự có thể chỉnh sửa. Ví dụ, bạn có thể cho xem SOP của địa điểm khác làm tài liệu tham khảo, nhưng chỉ cho phép nhân viên của địa điểm đó chỉnh sửa (Chủ sở hữu và Quản trị viên Nhóm luôn có thể chỉnh sửa).

Vận hành khi tách team

Khi tách team (hợp đồng) cho từng nhà máy, phòng ban hoặc công ty, mỗi team sẽ hoàn toàn độc lập. Khi vận hành, xin lưu ý những điểm sau.

Những việc có thể làm

Cho phép xem lẫn nhau: Bằng cách mời nhau làm khách (guest) vào team của nhau, bạn có thể xem liên tục theo từng thư mục. Có từ gói Core trở lên. Chi tiết xem tại Mời khách (guest) là gì?.
Chia sẻ một SOP: Khi phát hành URL chia sẻ bên ngoài, người khác có thể xem một SOP mà không cần đăng nhập. Sự khác nhau được giải thích tại Chia sẻ SOP ra bên ngoài: hướng dẫn chọn cách phù hợp.
Dùng cả hai team bằng một tài khoản: Một tài khoản có thể thuộc nhiều team và chuyển đổi giữa các team. Đây cũng là cách quản trị viên trụ sở xem team của từng công ty. Các bước thực hiện xem tại Chuyển team (khi thuộc nhiều team).

Những việc không thể làm

Không thể cùng chỉnh sửa SOP trong team khác. Người được mời làm khách chỉ có quyền xem.
Không thể chuyển SOP hoặc tư liệu video sang team khác. Ngay cả khi sau này tách hoặc gộp team, SOP đã tạo cũng không thể chuyển tiếp, vì vậy hãy quyết định đơn vị trước khi bắt đầu vận hành.
Không thể xem tập trung người dùng và tình hình sử dụng của nhiều team ở một nơi. Việc kiểm kê định kỳ và xem Báo cáo sử dụng phải thực hiện theo từng team.

Công việc định kỳ của quản trị viên

Số người dùng càng tăng, việc kiểm tra xem cài đặt còn phù hợp với hiện trạng hay không càng quan trọng hơn chính cài đặt. Dưới đây, chúng tôi tổng hợp theo tần suất những công việc mà các khách hàng đang vận hành Dive thực tế thực hiện.

Hàng tháng

Thêm người dùng cho nhân viên mới và người được điều chuyển, đồng thời cập nhật Nhóm trực thuộc của họ. Nếu có nhiều người, bạn cũng có thể nhập hàng loạt từ Excel.
Vô hiệu hóa người dùng đã nghỉ việc hoặc được điều chuyển. Khi vô hiệu hóa, số lượng tài khoản sẽ được giải phóng để gán cho người tiếp theo. Lịch sử sử dụng vẫn được giữ lại và có thể khôi phục sau.
Kiểm tra các URL chia sẻ bên ngoài đã phát hành, và vô hiệu hóa những URL không còn cần thiết.

Hàng quý

Đối chiếu Danh sách người dùng với dữ liệu nhân sự, và kiểm tra xem còn người đã nghỉ việc nào trong danh sách hay không.
Xuất nhật ký kiểm toán ra CSV và lưu làm hồ sơ vận hành nội bộ. Nhật ký ghi lại các hoạt động như đăng nhập, thêm và xóa người dùng, thay đổi quyền hạn, thay đổi Cài đặt bảo mật, phát hành và vô hiệu hóa URL chia sẻ bên ngoài. Chỉ Chủ sở hữu mới xuất được. Các bước thực hiện xem tại Xuất nhật ký kiểm toán ra CSV.
Xem lại xem giới hạn truy cập thư mục đã theo kịp thay đổi của tổ chức hay chưa.
Dùng Báo cáo sử dụng để tìm các SOP có lượt xem rất ít. Xác định xem nội dung đã lỗi thời hay người liên quan chưa được thông báo.

Hàng năm

Xem lại các SOP theo thứ tự ngày cập nhật gần nhất, từ cũ đến mới, và kiểm tra xem chúng còn khớp với công việc tại hiện trường hay không.
Kiểm tra mức sử dụng số lượng tài khoản, và ước tính số người dùng cho kỳ tài chính tiếp theo. Bạn cũng có thể tăng Giới hạn số tài khoản bằng cách thêm Tùy chọn.
Xem lại Cài đặt bảo mật. Danh sách các mục cài đặt được tổng hợp tại Tổng quan Cài đặt bảo mật (Chức năng dành cho chủ sở hữu).

Những việc cần quyết định trước khi triển khai

Đây là những mục khó thay đổi sau khi số người dùng đã tăng. Nếu quyết định trước khi thêm địa điểm hoặc công ty, công việc về sau sẽ ít hơn.

Cấu trúc phân cấp nhóm: Trước hết hãy định nghĩa nhóm theo cơ cấu tổ chức hiện tại, sau đó thêm các dự án liên tổ chức thành nhóm riêng nếu cần.
Cấu trúc thư mục: Nếu nghĩ theo ba lớp “Chung toàn công ty”, “Chung địa điểm / phòng ban” và “Chỉ tổ này”, thì việc chuyển nhóm khi điều chuyển nhân sự sẽ được giảm tối thiểu. Sao chép nguyên sơ đồ tổ chức đồng nghĩa với việc phải làm lại mỗi khi tổ chức thay đổi. Ngoài ra, nếu đặt hạn chế truy cập cho cả thư mục cấp trên lẫn thư mục cấp dưới, thì chỉ những người thuộc cả hai nhóm đó mới truy cập được. Chỉ đặt hạn chế ở những cấp thực sự cần thiết.
Quy tắc đặt tên: Quy tắc đơn giản là được, ví dụ mã địa điểm hoặc tên công đoạn. Đổi tên hàng trăm SOP sau này là một công việc rất nặng nhọc.
Kiểm tra trước khi công bố: Quy trình phê duyệt (từ gói Pro trở lên) có thể thiết lập theo “Chung toàn công ty” hoặc “Theo nhóm”. Sau khi cài đặt, khi phát hành hoặc sửa đổi SOP sẽ cần sự phê duyệt của người phê duyệt được chỉ định. Người phê duyệt có thể được chỉ định theo các điều kiện như: quản trị viên ở cấp trên tính từ người khởi tạo, quản trị viên của một nhóm cụ thể (ví dụ Đảm bảo chất lượng hoặc quản lý an toàn), hoặc người có chứng chỉ. Nếu muốn cho các bên liên quan xem bản nháp và nhận nhận xét trước khi công bố, bạn cũng có thể dùng Chia sẻ bản nháp.
Điểm xuất phát cho điều chuyển và nghỉ việc: Nếu chờ báo cáo từ hiện trường thì sẽ bỏ sót. Gửi danh sách nhân sự hàng tháng cho quản trị viên sẽ chắc chắn hơn. Ở gói Enterprise, bạn có thể tự động đồng bộ danh sách từ hệ thống nhân sự hoặc Microsoft Entra ID, và việc điều chuyển, nghỉ việc sẽ được phản ánh tự động vào Dive (Tự động đồng bộ danh sách từ hệ thống nhân sự (SCIM)).
Cài đặt bảo mật: Giới hạn địa chỉ IP, Chính sách mật khẩu và cài đặt cấm chia sẻ bên ngoài đều có ở tất cả các gói. Đăng nhập một lần (Microsoft Entra ID / SAML 2.0) và bắt buộc xác thực 2 bước cho tất cả người dùng chỉ có ở gói Enterprise. Việc áp dụng sau khi số người dùng đã tăng sẽ tốn nhiều công sức, vì vậy nên quyết định trước khi triển khai.

Câu hỏi thường gặp

Trong một team, có thể tách phạm vi quản trị viên nhìn thấy theo từng công ty không?
Không thể. Chủ sở hữu và Quản trị viên Nhóm có thể truy cập tất cả thư mục trong team. Nếu cần quản lý của mỗi công ty được tách biệt khỏi các công ty khác, vui lòng ký hợp đồng với các team riêng.

Sau này có thể tách team (hoặc gộp team) không?
Có thể thêm team, nhưng SOP và tư liệu video đã tạo không thể chuyển sang team khác. Nếu cần chuyển, bạn sẽ phải tạo lại.

Nhân viên công ty trong tập đoàn khi được mời có dùng số lượng tài khoản không?
Nếu chỉ cần xem, vui lòng dùng mời khách (guest). Mời khách có thể mời tối đa gấp 3 lần số tài khoản, và được tính riêng với các tài khoản có vai trò từ Chủ sở hữu đến Người dùng chỉ xem. Nếu họ cũng cần tạo hoặc chỉnh sửa SOP, bạn cần thêm họ làm người dùng thông thường.

Có nhân viên tại hiện trường không có địa chỉ email.
Bạn có thể phát hành “Tài khoản không cần email” đăng nhập bằng ID đăng nhập.

Thông tin liên quan