Tu POS guarda dos cosas que vale la pena robar: los datos de tarjeta de tus clientes y tu propio efectivo. Los roban personas distintas, de maneras distintas, y casi todos los restaurantes se defienden del primero e ignoran el segundo. Este tema cubre los dos, en orden de qué tan probable es que te pasen.
🎭 Dos riesgos, no uno
| Desde afuera | Desde adentro | |
| Quién | Alguien que nunca pisa el local | Alguien que tiene usuario y horario |
| Qué se llevan | Datos de tarjeta, en volumen | Efectivo, comida, o un descuento que va a un amigo |
| Cómo | Un sistema sin actualizar, una contraseña débil, una red abierta | Anulaciones después del pago, cortesías, reembolsos sin registrar, aperturas de caja sin venta |
| Qué tan probable | Raro, y caro cuando pasa | Común, y gotea |
| Qué lo frena | Actualizaciones, higiene de red, dejar que el procesador guarde los datos | Un usuario por persona, permisos limitados, leer el reporte de excepciones |
Las dos defensas son baratas. Ninguna es automática.
🔐 El riesgo de afuera, en cristiano
La buena noticia es que la industria se llevó la parte difícil lejos de ti. Los lectores de tarjeta modernos cifran la tarjeta en el momento en que se inserta o se acerca, así que el número nunca existe en forma legible dentro de tu POS. Tu trabajo es no deshacer eso:
- Nunca anotes un número de tarjeta. Ni en una libreta, ni en la nota de un pedido, ni en un mensaje de texto. Si tomas pedidos por teléfono, usa lo que tu sistema tenga para eso, y destruye ese mismo día cualquier cosa que quede en papel.
- Instala las actualizaciones. La forma más común en que vulneran a un negocio pequeño es un sistema que lleva meses sin actualizar. Ponle una hora fija — después de cerrar, una vez al mes — en vez de darle a "recordármelo después" durante un año.
- Separa las redes. El wifi de los clientes y el POS no pueden ser la misma red. Pídele a tu instalador que te lo confirme por escrito; muchas veces queda como vino de fábrica.
- Cambia las contraseñas de fábrica. En el router, en las terminales, en el acceso al back office. Las credenciales de fábrica de los equipos más comunes están publicadas abiertamente.
- Activa la verificación en dos pasos en el back office y en las cuentas de administrador. No en las terminales del salón, donde haría imposible el servicio: en las cuentas que pueden cambiar precios y ver reportes.
- Pregúntale a tu proveedor de quién es la responsabilidad del cumplimiento PCI y qué parte hace por ti. Hay un cuestionario; tu procesador te dirá cuál te toca. Es trabajo administrativo, y saltárselo puede salirte con recargos.
👁️ El riesgo de adentro, y el reporte que lo encuentra
La pérdida interna casi nunca es dramática. Es pequeña, repetida, y vive en las transacciones que hacen desaparecer el dinero después de que la venta ya existe. Casi todos los POS traen un reporte de excepciones que lista justo esas. Averigua dónde está el tuyo y léelo cada semana:
- Anulaciones después del pago. El pedido se registró, el cliente pagó en efectivo, el plato se anuló. Es la clásica, y aparece como un patrón con un nombre detrás.
- Cortesías y descuentos. No que existan, sino que los de una persona sean el triple que los de todos los demás.
- Aperturas de caja sin venta. Que la caja se abra sin transacción tiene una razón. A veces buena.
- Reembolsos fuera del horario. O en una terminal donde no había nadie trabajando.
- Cuentas reimpresas en la misma mesa, una y otra vez.
Fija las reglas antes de necesitarlas: quién puede anular un plato ya registrado, quién puede dar cortesías, y si hace falta un código de gerente. Y después aplícate a ti mismo la misma regla. Un reporte que todos saben que se lee cambia la conducta mucho antes de que atrape a nadie.
💾 Respaldos y el papeleo aburrido
Dos cosas más, rápidas de organizar y dolorosas de no tener:
- Averigua dónde viven tus datos. Los sistemas en la nube se respaldan solos; uno que corre en una PC de tu oficina puede que no. Haz la pregunta directa: "Si esta noche se roban esta máquina, ¿qué pierdo?"
- Guarda tu propia exportación. Cada mes, en un formato que puedas abrir sin ellos. Te cubre ante una disputa, ante una auditoría y el día que cambies de proveedor.
- Quita el usuario el día que alguien se va. Ponlo en la lista de salida, al lado de las llaves. Un usuario activo de alguien que ya no trabaja contigo es el hallazgo más común en cualquier revisión de un negocio pequeño.
- Ten anotado a quién llamar si sospechas una filtración: tu procesador y tu proveedor de POS, con números, en papel. Las redes de tarjetas tienen obligaciones de aviso y plazos que empiezan a correr.