Social media rolrechten: de 6-rollen setup voor agencies

Role-based access control (RBAC) betekent simpel: de rol bepaalt wat iemand mag doen, niet de persoon. Voor een social media team heb je zes rollen nodig, geen twintig: creator, editor, approver, publisher, analyst, admin. Baken elke persoon af op specifieke klantaccounts, zodat niemand werk ziet dat niet van hen is, en houd bij wie wat heeft goedgekeurd.

Agencies gaan meestal op één van twee manieren de fout in. Iedereen deelt één login, of elke post wacht op de oprichter. Beide los je in een middag op.

TLDR: Zes rollen, per klant afgebakend, met goedkeuringen als poort en elke handtekening vastgelegd. Uitzonderingen per persoon zijn wat het hele model onhoudbaar maakt.

De zes rollen die bijna elk team dekt

Rol	Kan	Kan niet
Creator	Posts opstellen, assets uploaden	Publiceren, accounts koppelen
Editor	Elke draft binnen scope bewerken, ter goedkeuring indienen	Eigen werk goedkeuren
Approver	Drafts goedkeuren, afkeuren, van commentaar voorzien	Gekoppelde accounts bewerken
Publisher	Goedgekeurde posts inplannen en publiceren	Goedkeuren, gebruikers toevoegen
Analyst	Analytics bekijken, rapporten exporteren	Content aanraken
Admin	Accounts koppelen, gebruikers en rollen beheren	Niets, dus houd het bij twee personen

Twee regels voorkomen dat dit verloopt. Niemand keurt eigen werk goed, en admin blijft bij precies twee personen, zodat er altijd een back-up is en nooit een commissie.

Weersta rechten per persoon. Op het moment dat je "Sarah, maar zij mag ook op donderdagen publiceren" hebt, heb je een setup die niemand over zes maanden nog kan auditen. Los de uitzondering op met een tijdelijke rolwijziging en zet hem daarna terug.

Scope: het onderdeel waar agencies de fout ingaan

Een rol op zichzelf is niet genoeg. Een creator op Klant A moet Klant B niet kunnen zien. Dat is scope, en het is het eerste dat breekt wanneer een agency uit één gedeelde login groeit.

Scope op drie assen:

• Klant of merk. De harde grens. Freelancers krijgen er precies één.
• Kanaal. Iemand kan Instagram en TikTok bezitten zonder de LinkedIn company page aan te raken.
• Fase. Toegang tot drafts impliceert nooit toegang tot publiceren.

Dit vereist echte scheiding, geen filter. Als een freelancer de accountkiezer kan veranderen en in de inbox van een andere klant belandt, heb je een standaardweergave in plaats van isolatie. Workspaces is hoe Mydrop die lijn trekt: elke klant is een eigen ruimte met eigen leden, kalender en gekoppelde accounts.

Klant-stakeholders zijn een ander probleem. De meesten zouden helemaal geen gebruikers moeten zijn. Een clientportaal zonder inlog laat hen eigen content reviewen en goedkeuren, zonder seat, wachtwoord of een rechtenniveau dat je na afloop van het project voor altijd onderhoudt.

Goedkeuringen zijn de poort, niet de senioriteitsladder

Rechten bepalen wie mag handelen. Goedkeuringen bepalen wanneer. Houd die twee gescheiden, anders maak je mensen admin alleen maar om een vrijdagpost te deblokkeren.

Routeer op risico, niet op functietitel:

Content	Reviewers
Getemplateerde, terugkerende posts	Eén editor
Nieuwe campagne of een nieuwe claim	Klant of merkleider
Gereguleerd, juridisch of crisis	Genoemde juridische reviewer, zonder fallback

Geef de eerste twee rijen een fallback-approver, zodat een vakantie het publiceren niet stopt. De derde rij moet écht blokkeren. Goedkeuringsworkflows houden de post vast tot de handtekeningen binnen zijn. Zo blijven "goedgekeurd" en "gepubliceerd" één record, in plaats van twee lijsten die je handmatig moet reconciliëren.

Wat jouw audittrail moet vastleggen

"Wie heeft dit veranderd?" komt altijd op het slechtst mogelijke moment, en een log die alleen de huidige staat opslaat, kan die vraag niet beantwoorden.

Leg vijf dingen vast per actie:

1. Wie het deed, als genoemd persoon en nooit als gedeeld account.
2. Welke rol ze op dat moment hadden. Mensen wisselen van rol, en een log die de rol bij het lezen bepaalt, herschrijft stilletjes de geschiedenis.
3. Wat er veranderde, met de vorige versie nog leesbaar.
4. Wanneer, met een tijdzone.
5. Onder welke goedkeuring het publiceerde.

Twee praktische regels. Bewaar goedkeuringsrecords langer dan operationele logs, want de goedkeuring is waar iedereen daadwerkelijk om vraagt. En maak ze doorzoekbaar op klant en datumbereik, want in die vorm komt elk auditverzoek binnen.

Vendors vergelijken is hier makkelijk: vraag elke partij om de goedkeuringsgeschiedenis van een specifieke post van drie maanden geleden op te halen. Die bestaat in de demo, of niet.

Wat je checkt vóór je koopt

De functies die een echt rechtenmodel scheiden van een instellingenpagina:

• Rollen instelbaar per klant, niet één globale rol per gebruiker.
• Isolatie die de accountswitcher overleeft, getest met een echte freelancerlogin.
• Goedkeuringsrouting met genoemde reviewers en een gedefinieerde fallback.
• Exporteerbare goedkeuringsgeschiedenis voor één post.
• Reviewertoegang zonder seat, zodat klantgoedkeuring geen licentie kost.
• SSO en directory provisioning als IT eigenaar is van jullie gebruikerslijst. De meeste social tools reserveren dit voor enterprise-plannen, dus vraag het in het eerste gesprek, niet pas bij de contractfase.

Planable en Sprout Social kunnen allebei meerstapsgoedkeuringen met vaste rollen aan. Mydrop zet per-klant workspaces, rollen, comments op de draft zelf, goedkeuringspoorten en de reviewlink zonder inlog in één systeem. Dat is de combinatie die agencies het vaakst uit twee losse tools in elkaar zetten. Voor de rest van de operationele setup eromheen dekt social media agencies de bredere stack.

Zet het deze week op

Drie stappen, in deze volgorde:

1. Zet iedereen op een rij die vandaag kan publiceren. Inclusief voormalige freelancers en de gedeelde login. De lijst is altijd langer dan iemand verwacht.
2. Geef iedereen één rol en één klantscope. Geen uitzonderingen in de eerste ronde.
3. Verplaats klant-stakeholders naar reviewlinks en verwijder hun gebruikersaccounts.

Zet een herinnering over 90 dagen in de kalender om stap één opnieuw te doen, want verouderde toegang is de fout die elke keer terugkomt. Je kunt gratis starten en de rollen en klant-workspaces in kaart hebben vóór de volgende campagne begint.