Recurso gratuito
O Checklist de prontidão de TI para cannabis
15 perguntas que todo dispensário, cultivador e processador em um estado com Metrc deveria saber responder sobre sua tecnologia e conformidade. Cada uma tem uma resposta Verde, Amarela e Vermelha e um próximo passo. Reserve cerca de 15 minutos.
O checklist completo está nesta página, e a planilha de pontuação para impressão traz as mesmas perguntas com caixas de seleção.
Cerca de 15 minpara concluir
15 perguntasem 5 áreas
Com pontuaçãopara você saber o que corrigir primeiro
Plataformas abrangidas
Como funciona a avaliação
Clique na resposta que corresponde ao seu negócio hoje. Sua pontuação parcial aparece na seção Avalie-se.
Verde: você está bemAmarelo: vale corrigir em breveVermelho: resolva isto primeiro
1. Etiquetagem e conformidade de cannabis
Três perguntas sobre etiquetas, COAs e regras de cada estado. A KawaConnect é integradora licenciada do Metrc e desenvolve o Tagestry, uma plataforma de etiquetas para estados com Metrc. Veja nossos serviços de TI para operadores de cannabis.
P1.As etiquetas do Metrc são impressas por meio de uma integração validada que registra quem imprimiu o quê, quando e a partir de qual modelo?
VerdeSoftware de etiquetas com integração ao Metrc (nós desenvolvemos o Tagestry) que registra cada impressão em um UID de pacote, permite recuperar uma etiqueta errada e mantém a trilha de auditoria durante todo o período de retenção.
AmareloSoftware de etiquetas genérico com preenchimento manual dos campos do Metrc. Impressões erradas às vezes causam bloqueios.
VermelhoEtiquetas digitadas à mão ou capturas de tela do Metrc coladas no Word.
Próximo passo: Passe a imprimir etiquetas com um software integrado ao Metrc. O Tagestry sincroniza os dados dos pacotes a partir do Metrc e mantém um registro de auditoria de cada impressão.
P2.Os Certificados de Análise (COAs) estão vinculados a pacotes específicos do Metrc e ao cardápio que o cliente vê?
VerdeOs PDFs dos COAs são anexados automaticamente aos pacotes no recebimento, os QR codes do cardápio levam ao COA certo de cada lote e o vínculo sobrevive a uma reimpressão de etiqueta.
AmareloCOAs em uma pasta do Google Drive. Para achar o COA certo de cada pacote, é preciso que um gerente procure.
VermelhoO cliente pede um COA e a equipe chuta.
Próximo passo: Vincule os COAs aos UIDs dos pacotes, não aos SKUs. O Tagestry guarda a referência do COA em cada impressão, de modo que uma nova etiqueta mantém o vínculo.
P3.Se você opera em mais de um estado, mantém uma matriz de conformidade por estado (regras de tags, retenção, relatórios)?
VerdeUm documento atualizado cobre as diferenças entre cada estado com Metrc em que você tem licença. O treinamento da equipe é específico para cada estado.
AmareloVocê supõe que as regras são parecidas o bastante. As surpresas aparecem nas auditorias.
VermelhoOperadora em vários estados seguindo POPs de um só estado.
Próximo passo: Monte uma matriz estado a estado com formatos de tag, prazos de retenção e calendários de inspeção. O Tagestry cuida dos formatos de etiqueta de cada estado.
2. Inteligência de mercado e dados da concorrência
Três perguntas sobre o que você consegue ver do mercado além do seu próprio cardápio. Criamos o PryceHawk, nosso produto de dados de mercado, para respondê-las.
P4.Você consegue ver seus produtos (e os dos concorrentes) em vários dispensários ou obter dados de um estado inteiro?
VerdeVocê consulta um feed de dados de mercado (API PryceHawk / CannQuest, BDSA, Headset) por marca, SKU ou produto em centenas de lojas de um estado, com atualização diária.
AmareloUm funcionário abre alguns cardápios de concorrentes à mão na segunda-feira e faz anotações.
VermelhoVocê só vê o seu próprio cardápio.
Próximo passo: O PryceHawk acompanha mais de 400 dispensários em Ohio e na Pensilvânia, em nove plataformas. Uma chave de API somente leitura dá acesso a dados de várias lojas sem que ninguém precise abrir cardápios à mão.
P5.Você sabe quando um concorrente baixa o preço ou lança uma nova promoção em um produto que você também vende?
VerdeAlertas diários de preços abaixo do seu e de descontos nos SKUs que importam para você. O comprador ajusta antes que o cliente perceba.
AmareloVocê descobre quando um cliente habitual conta que a loja da esquina está US$ 5 mais barata.
VermelhoNenhum acompanhamento de preços da concorrência.
Próximo passo: Assine um relatório de concorrência no varejo (o PryceHawk envia por e-mail análises de preços abaixo do seu, detalhamento de descontos e comparações de THC por loja). Comece com alertas diários para os seus 50 principais SKUs.
P6.Na sua operação de cultivo ou atacado, você acompanha quais dispensários passam a vender marcas novas e quais deixam de vendê-las?
VerdeUm acompanhamento diário do atacado (estoque da marca nas lojas, alertas de novas listagens e de exclusões) alimenta a reunião de segunda-feira da equipe comercial.
AmareloOs representantes perguntam aos compradores pessoalmente e confiam nas respostas.
VermelhoVocê descobre meses depois que uma rede deixou de vender sua marca.
Próximo passo: Use um relatório de presença no atacado (o PryceHawk acompanha novas listagens, exclusões e cobertura de prateleira por empresa de marca) para que os representantes saibam de uma exclusão logo depois que ela acontece.
3. Videovigilância e segurança física
As regras estaduais definem como os locais de cannabis licenciados gravam e guardam vídeo. Estas três perguntas tratam de retenção, quedas e exportações.
P7.A retenção de vídeo atende à regra estadual mais rigorosa aplicável a qualquer uma das suas licenças?
VerdeO armazenamento é dimensionado para o maior período de retenção exigido por qualquer licença que você tenha, e você tem por escrito a regra vigente de cada estado.
AmareloA retenção atende à regra de um estado, mas você também tem licença em um estado que exige mais tempo.
VermelhoA retenção é a que o gravador usa por padrão.
Próximo passo: Confira a regra de retenção de câmeras do seu estado e dimensione o armazenamento para cumpri-la. Se você tem licenças em mais de um estado, dimensione para o período mais longo.
P8.As quedas de câmeras são detectadas e alertadas automaticamente, com logs mantidos para inspeções?
VerdeO NVR envia alertas de integridade para a operação; as quedas são registradas com horário de início e de fim. O registro de manutenção cobre pelo menos um ano.
AmareloAs quedas são notadas quando alguém revisa as gravações e encontra uma lacuna.
VermelhoNenhum monitoramento. Quem percebe primeiro é o órgão regulador.
Próximo passo: Muitas plataformas de câmeras atuais (Verkada, Eagle Eye, Hanwha Wisenet) incluem alertas de integridade. Ative o recurso e direcione os alertas a uma caixa de entrada monitorada.
P9.Você consegue entregar exportações de vídeo autenticadas a um órgão regulador dentro do prazo que ele estabelecer?
VerdeUm fluxo de exportação testado. MP4 autenticado com hash e horários preservados. O gerente já fez uma para uma solicitação de um órgão regulador.
AmareloA exportação funciona na teoria, mas ninguém faz uma de verdade há um ano.
VermelhoVocê pesquisaria como exportar do gravador no dia em que o órgão regulador pedir.
Próximo passo: Faça um simulado trimestral de exportação. Salve o runbook na mesma pasta dos POPs.
4. Segmentação de rede e cibersegurança
O PDV, as máquinas de conformidade e as câmeras não devem compartilhar rede com o Wi-Fi de visitantes. As perguntas abaixo tratam de separação de rede, autenticação e proteção de endpoints.
P10.PDV, câmeras, máquinas de conformidade e Wi-Fi de visitantes estão em VLANs separadas, com controle de acesso?
VerdeProjeto em camadas: VLAN 10 corporativa, 20 PDV, 30 Metrc e conformidade, 40 câmeras, 50 visitantes. Tráfego entre VLANs negado por padrão.
AmareloExiste um SSID de visitantes, e todo o resto fica em uma única LAN plana.
VermelhoUma única rede plana. O visitante que se conecta ao Wi-Fi consegue dar ping no PDV.
Próximo passo: Com um firewall atual e switches gerenciados (Ubiquiti UDM, pfSense com UniFi, Meraki MX), isso leva cerca de uma tarde em uma única loja.
P11.A MFA é exigida no administrador do PDV, no Metrc, no banco, no e-mail e em todo login de portal de órgão regulador?
VerdeMFA obrigatória, resistente a phishing nas contas de administrador e do Metrc quando a plataforma permite.
AmareloMFA no e-mail, só senha no administrador do PDV e no Metrc.
VermelhoLogins compartilhados de budtenders, senha afixada na parede dos fundos.
Próximo passo: Dê a cada funcionário sua própria conta no PDV e exija MFA em todo perfil de administrador.
P12.EDR e aplicação de patches são obrigatórios nos endpoints do PDV e na estação de trabalho do Metrc?
VerdeEDR gerenciado (Huntress, SentinelOne, Defender for Business com um SOC) em todo terminal de PDV. Patches do sistema operacional e do software do PDV em até 14 dias após o lançamento.
AmareloHá antivírus, os patches são manuais e a máquina do Metrc não é reiniciada há meses.
VermelhoApenas o antivírus embutido. Os patches vêm quando o fornecedor do PDV os envia.
Próximo passo: Instale EDR gerenciado em todo terminal de PDV e na estação de trabalho do Metrc, com uma pessoa revisando os alertas, e defina um cronograma de patches.
5. Operações, treinamento e preparo para inspeções
As três últimas perguntas tratam de simulados de inspeção, treinamento da equipe e desligamento de funcionários.
P13.Você conseguiria entregar uma exportação completa do Metrc, os COAs de laboratório e as gravações das câmeras que um órgão regulador pedir, dentro do prazo?
VerdeUm runbook de inspeção testado duas vezes por ano. O gerente de conformidade fez um simulado nos últimos 90 dias.
AmareloVocê conseguiria, mas isso consumiria um dia inteiro de toda a equipe de operações.
VermelhoVocê ligaria para o advogado e tentaria.
Próximo passo: Faça uma inspeção simulada a cada trimestre e cronometre. Corrija o que atrasou você antes da próxima.
P14.Budtenders, cultivadores e processadores fizeram treinamento de conscientização sobre phishing nos últimos 12 meses?
VerdeMódulos mensais de cinco minutos e phishing simulado a cada trimestre. Treinamento registrado por funcionário no RH.
AmareloTreinamento único na contratação.
VermelhoNenhum treinamento. O gerente de conformidade já clicou em um phishing real no último ano.
Próximo passo: Comece um treinamento mensal de cinco minutos com um phishing simulado a cada trimestre e acompanhe a conclusão por funcionário.
P15.Existe um processo de desligamento documentado que revoga os acessos ao PDV, ao Metrc, ao banco e ao espaço físico em até um dia útil?
VerdeUm checklist que cobre, por funcionário, o PDV, o usuário do Metrc, os signatários bancários, os códigos de alarme, os chaveiros de acesso e o M365/Google.
AmareloO e-mail e o PDV são desativados rápido, mas o usuário do Metrc fica ativo por semanas.
VermelhoEx-budtenders ainda podem ter um login funcionando.
Próximo passo: Monte esta semana um checklist de desligamento de uma página e coloque a remoção do usuário do Metrc no topo.
Avalie-se
Suas respostas Verde, Amarela e Vermelha nas 15 perguntas são contadas aqui conforme você clica.
Você respondeu 0 de 15. Clique, em cada pergunta acima, na resposta que corresponde ao seu caso.
0Verde
0Amarelo
0Vermelho
0/15Respondidas
13 ou mais Verdes: você está bem. Continue assim com um simulado trimestral de exportação, uma revisão anual das políticas e uma revisão semanal dos dados de mercado.
8 a 12 Verdes: o básico está quase todo no lugar. Escolha os três Amarelos mais sérios e resolva-os em até 90 dias.
Menos de 8 Verdes, ou qualquer Vermelho nas P1, P7, P10 ou P11: corrija primeiro qualquer Vermelho nessas quatro perguntas, depois os demais Vermelhos e, por fim, os Amarelos.
Peça uma segunda opinião
A KawaConnect desenvolve ferramentas de TI e de dados para operadores de cannabis. Criamos o Tagestry, uma plataforma de etiquetas para estados com Metrc, e o PryceHawk, que acompanha mais de 400 dispensários em Ohio e na Pensilvânia. A conversa de 30 minutos sobre prontidão é gratuita. Apresente suas respostas e diremos o que corrigiríamos primeiro. Saiba mais sobre nossos serviços de TI para operadores de cannabis.
Agende uma conversa gratuita sobre prontidãoBaixar a planilha de pontuação0 / 15 respondidasVer minha pontuação
