Recurso gratuito
La lista de verificación de preparación de TI para cannabis
15 preguntas que todo dispensario, cultivador y procesador de un estado con Metrc debería poder responder sobre su tecnología y su cumplimiento normativo. Cada una tiene una respuesta Verde, Amarilla y Roja y un siguiente paso. Calcule unos 15 minutos.
La lista de verificación completa está en esta página, y la hoja de puntuación imprimible tiene las mismas preguntas con casillas para marcar.
Unos 15 minpara completarla
15 preguntasen 5 áreas
Con puntuaciónpara saber qué corregir primero
Plataformas incluidas
Cómo funciona la rúbrica
Haga clic en la respuesta que corresponda a su negocio hoy. Su puntuación acumulada aparece en la sección Califíquese.
Verde: está en buen estadoAmarillo: conviene corregirlo prontoRojo: atiéndalo primero
1. Etiquetado de cannabis y cumplimiento normativo
Tres preguntas sobre etiquetas, COA y reglas de cada estado. KawaConnect es un integrador autorizado de Metrc y desarrolla Tagestry, una plataforma de etiquetas para estados con Metrc. Consulte nuestros servicios de TI para operadores de cannabis.
P1.¿Las etiquetas de Metrc se imprimen mediante una integración validada que registra quién imprimió qué, cuándo y desde qué plantilla?
VerdeSoftware de etiquetas con integración con Metrc (nosotros desarrollamos Tagestry) que registra cada impresión contra un UID de paquete, permite recuperarse de una etiqueta errónea y conserva la bitácora de auditoría durante todo el periodo de retención.
AmarilloSoftware de etiquetas genérico con captura manual de campos de Metrc. Las impresiones erróneas causan retenciones de vez en cuando.
RojoEtiquetas escritas a mano o capturas de pantalla de Metrc pegadas en Word.
Siguiente paso: Pase la impresión de etiquetas a un software con integración con Metrc. Tagestry sincroniza los datos de los paquetes desde Metrc y conserva una bitácora de auditoría de cada impresión.
P2.¿Los certificados de análisis (COA) están vinculados a paquetes específicos de Metrc y al menú que ve el cliente?
VerdeLos PDF de COA se adjuntan automáticamente a los paquetes al recibirlos, los códigos QR del menú llevan al COA correcto de cada lote, y el vínculo se conserva al reimprimir una etiqueta.
AmarilloLos COA están en una carpeta de Google Drive. Para encontrar el COA correcto de cada paquete, un gerente tiene que buscarlo.
RojoEl cliente pide un COA y el personal adivina.
Siguiente paso: Vincule los COA a los UID de paquete en lugar de a los SKU. Tagestry guarda la referencia del COA con cada impresión, de modo que al reetiquetar se conserva el vínculo.
P3.Si opera en más de un estado, ¿mantiene una matriz de cumplimiento por estado (reglas de etiquetas, retención, reportes)?
VerdeUn documento actualizado cubre las diferencias entre cada estado con Metrc en el que tiene licencia. La capacitación del personal es específica de cada estado.
AmarilloSupone que las reglas son lo bastante parecidas. Las sorpresas llegan en las auditorías.
RojoOperador de varios estados que aplica procedimientos operativos de un solo estado.
Siguiente paso: Elabore una matriz estado por estado con los formatos de etiqueta, los plazos de retención y los calendarios de inspección. Tagestry maneja los formatos de etiqueta de cada estado.
2. Inteligencia de mercado y datos de la competencia
Tres preguntas sobre lo que puede ver del mercado más allá de su propio menú. Creamos PryceHawk, nuestro producto de datos de mercado, para responderlas.
P4.¿Puede ver sus productos (y los de sus competidores) en varios dispensarios, o extraer datos de todo un estado?
VerdeConsulta una fuente de datos de mercado (PryceHawk / API de CannQuest, BDSA, Headset) por marca, SKU o producto en cientos de tiendas de un estado, con actualización diaria.
AmarilloUn empleado abre a mano algunos menús de la competencia el lunes y toma notas.
RojoSolo ve su propio menú.
Siguiente paso: PryceHawk da seguimiento a más de 400 dispensarios de Ohio y Pensilvania en nueve plataformas. Una clave de API de solo lectura le da datos entre tiendas sin que nadie tenga que abrir menús a mano.
P5.¿Se entera cuando un competidor baja el precio o lanza una nueva promoción de un producto que usted también vende?
VerdeAlertas diarias de precios más bajos y descuentos en los SKU que le importan. El comprador ajusta antes de que el cliente lo note.
AmarilloSe entera cuando un cliente habitual le dice que el local de la calle de al lado está $5 más barato.
RojoNo da seguimiento alguno a los precios de la competencia.
Siguiente paso: Suscríbase a un reporte de competidores minoristas (PryceHawk envía por correo análisis de precios más bajos, desglose de descuentos y comparaciones de THC por tienda). Comience con alertas diarias de sus 50 SKU principales.
P6.En su área de cultivo o de venta al mayoreo, ¿da seguimiento a qué dispensarios adoptan marcas nuevas y cuáles dejan que caduquen?
VerdeUn rastreador diario de mayoreo (inventario de marcas por tienda, alertas de nuevos listados y retiros de listado) alimenta la reunión de los lunes del equipo de representantes.
AmarilloLos representantes preguntan en persona a los compradores y confían en sus respuestas.
RojoSe entera meses después de que una cadena dejó de vender su marca.
Siguiente paso: Use un reporte de presencia en mayoreo (PryceHawk da seguimiento a nuevos listados, retiros de listado y cobertura de anaquel por empresa de marca) para que los representantes se enteren de un retiro poco después de que ocurra.
3. Videovigilancia y seguridad física
Las reglas estatales establecen cómo los sitios de cannabis con licencia graban y conservan el video. Estas tres preguntas cubren la retención, las interrupciones y las exportaciones.
P7.¿La retención de video cumple la regla estatal más estricta aplicable a cualquiera de sus licencias?
VerdeEl almacenamiento está dimensionado para el periodo de retención más largo que exija cualquiera de sus licencias, y tiene por escrito la regla vigente de cada estado.
AmarilloLa retención cumple la regla de un estado, pero también tiene licencia en un estado que exige más tiempo.
RojoLa retención es la que traiga el grabador de forma predeterminada.
Siguiente paso: Revise la regla de retención de cámaras de su estado y dimensione el almacenamiento para cumplirla. Si tiene licencias en más de un estado, dimensione para el periodo más largo.
P8.¿Las interrupciones de las cámaras se detectan y se alertan automáticamente, con registros conservados para las inspecciones?
VerdeEl NVR envía alertas de estado a operaciones; las interrupciones se registran con marcas de tiempo de inicio y fin. La bitácora de mantenimiento abarca al menos un año.
AmarilloLas interrupciones se notan cuando alguien revisa las grabaciones y encuentra un hueco.
RojoSin monitoreo. Un regulador lo nota primero.
Siguiente paso: Muchas plataformas de cámaras actuales (Verkada, Eagle Eye, Hanwha Wisenet) incluyen alertas de estado. Actívelas y diríjalas a un buzón monitoreado.
P9.¿Puede entregar a un regulador exportaciones de video autenticadas dentro del plazo que le indique?
VerdeUn flujo de exportación probado. MP4 autenticado con hash y marcas de tiempo conservadas. El gerente ya completó una para una consulta de un regulador.
AmarilloLa exportación funciona en teoría, pero nadie ha hecho una real en un año.
RojoBuscaría cómo exportar desde el grabador el día en que un regulador se lo pida.
Siguiente paso: Haga un simulacro de exportación cada trimestre. Guarde el manual de procedimientos en la misma carpeta que los procedimientos operativos.
4. Segmentación de red y ciberseguridad
El punto de venta, las máquinas de cumplimiento y las cámaras no deben compartir red con el Wi-Fi de invitados. Las preguntas siguientes cubren la separación de redes, el inicio de sesión y la protección de endpoints.
P10.¿El punto de venta, las cámaras, las máquinas de cumplimiento y el Wi-Fi de invitados están en VLAN separadas con control de acceso?
VerdeDiseño por capas: VLAN 10 corporativa, 20 punto de venta, 30 Metrc y cumplimiento, 40 cámaras, 50 invitados. Tráfico entre VLAN denegado de forma predeterminada.
AmarilloExiste un SSID de invitados, y todo lo demás está en una sola LAN plana.
RojoUna sola red plana. El invitado que se conecta al Wi-Fi puede hacer ping al punto de venta.
Siguiente paso: Con un firewall actual y switches administrados (Ubiquiti UDM, pfSense más UniFi, Meraki MX), esto toma aproximadamente una tarde en una sola tienda.
P11.¿Se exige MFA en la administración del punto de venta, Metrc, la banca, el correo y todos los inicios de sesión en portales de reguladores?
VerdeMFA obligatoria, resistente al phishing en las cuentas de administración y de Metrc donde la plataforma lo admite.
AmarilloMFA en el correo, solo contraseña en la administración del punto de venta y en Metrc.
RojoCuentas compartidas de dependientes y contraseña pegada en la pared de la trastienda.
Siguiente paso: Dé a cada empleado su propia cuenta del punto de venta y exija MFA en todos los roles de administración.
P12.¿Se aplican EDR y parches en los endpoints del punto de venta y en la estación de trabajo de Metrc?
VerdeEDR administrado (Huntress, SentinelOne, Defender for Business con un SOC) en cada terminal del punto de venta. Parches del sistema operativo y del software del punto de venta dentro de los 14 días posteriores a su lanzamiento.
AmarilloHay antivirus, los parches son manuales y la máquina de Metrc no se ha reiniciado en meses.
RojoSolo el antivirus integrado. Se aplican parches cuando el proveedor del punto de venta los envía.
Siguiente paso: Instale EDR administrado en cada terminal del punto de venta y en la estación de trabajo de Metrc, con una persona que revise las alertas, y defina un calendario de parches.
5. Operaciones, capacitación y preparación para inspecciones
Las últimas tres preguntas cubren los simulacros de inspección, la capacitación del personal y las bajas.
P13.¿Podría entregar una exportación completa de Metrc, los COA de laboratorio y las grabaciones de cámaras que pida un regulador dentro de su plazo?
VerdeUn manual de inspección probado dos veces al año. El gerente de cumplimiento hizo un simulacro en los últimos 90 días.
AmarilloPodría hacerlo, pero consumiría un día completo de todo el equipo de operaciones.
RojoLlamaría a su abogado y lo intentaría.
Siguiente paso: Haga una inspección simulada cada trimestre y cronométrela. Corrija lo que lo haya retrasado antes de la siguiente.
P14.¿Los dependientes, cultivadores y procesadores han recibido capacitación sobre phishing en los últimos 12 meses?
VerdeMódulos mensuales de cinco minutos y simulacros de phishing cada trimestre. La capacitación se registra por empleado en Recursos Humanos.
AmarilloUna sola capacitación al contratar.
RojoSin capacitación. El gerente de cumplimiento ha hecho clic en un phishing real en el último año.
Siguiente paso: Comience con capacitación mensual de cinco minutos con un simulacro de phishing cada trimestre, y dé seguimiento a su finalización por empleado.
P15.¿Existe un proceso de baja documentado que revoque el acceso al punto de venta, a Metrc, a la banca y el acceso físico en un plazo de un día hábil?
VerdeUna lista de verificación que abarca el punto de venta por empleado, el usuario de Metrc, los firmantes bancarios, los códigos de alarma, los llaveros de acceso y M365/Google.
AmarilloEl correo y el punto de venta se deshabilitan rápido, pero el usuario de Metrc permanece semanas.
RojoLos antiguos dependientes quizá aún tengan un inicio de sesión que funciona.
Siguiente paso: Elabore esta semana una lista de verificación de bajas de una página, y ponga en primer lugar la eliminación del usuario de Metrc.
Califíquese
Sus respuestas Verde, Amarilla y Roja de las 15 preguntas se cuentan aquí a medida que hace clic.
Ha respondido 0 de 15. Haga clic en la respuesta que corresponda a su caso en cada pregunta de arriba.
0Verde
0Amarillo
0Rojo
0/15Respondidas
13 o más en Verde: está en buen estado. Manténgalo así con un simulacro de exportación trimestral, una revisión anual de políticas y una revisión semanal de datos de mercado.
De 8 a 12 en Verde: lo básico ya está en su mayor parte. Elija los tres Amarillos más serios y ciérrelos en un plazo de 90 días.
Menos de 8 en Verde, o cualquier Rojo en P1, P7, P10 o P11: corrija primero cualquier Rojo en esas cuatro preguntas, luego el resto de sus Rojos y después los Amarillos.
Obtenga una segunda opinión
KawaConnect crea herramientas de TI y de datos para operadores de cannabis. Desarrollamos Tagestry, una plataforma de etiquetas para estados con Metrc, y PryceHawk, que da seguimiento a más de 400 dispensarios de Ohio y Pensilvania. La llamada de preparación de 30 minutos es gratuita. Repase sus respuestas con nosotros y le diremos qué corregiríamos primero. Lea más sobre nuestros servicios de TI para operadores de cannabis.
Reservar una llamada de preparación gratuitaDescargar la hoja de puntuación0 / 15 respondidasVer mi puntuación
