业务能改价、内勤能导出客户、会计能看别家公司——这三件事任何一件发生，都够你头疼很久。权限不是防谁，是让每个人恰好能干活、且多不了半步。这篇讲四件事：按角色授权、跨公司隔离、敏感操作留痕、按季度复盘。
一、按角色授权：五类角色一张表
| 角色 | 能做什么 | 不能碰 |
|---|---|---|
| 老板 | 全部公司、全部数据，重点看报表和应收 | 改价删单也要留痕——痕迹是老板自己的保护 |
| 财务 | 本公司财务模块、报表、结账 | 别家公司的任何数据 |
| 内勤 | 本公司开单、对账、报表查询 | 资金审批、批量导出 |
| 业务 | 本公司开单、自己的客户 | 改价单独授权且有上限；别家客户 |
| 仓管 | 本公司指定仓库的入库、出库、盘点 | 别家货位、价格和客户数据 |
按角色打包授权，不要对着每个人点功能：一个角色一套权限组，新员工选角色即上岗。权限多到要逐项配，最后一定配乱。
角色也不是越多越好。公司小的时候，老板、财务、内勤三个角色就够用；拆得太细，配权限的日子就变成了日常。等真有人手了，再从内勤里拆出业务和仓管。角色跟着组织长，别照着别家的架构图硬套。
授权清单建议一页纸写清：哪个角色、能进哪几家、能看哪些菜单、敏感功能单独授了谁。写不清的，配出来一定是乱的；写清了，配置只是照单抓药。
二、跨公司数据隔离：两条原则
- 账号按公司授。能进哪几家公司、进哪家用哪些功能，分别配。会计只在一家公司任职，就只授一家。
- 货位授权到人。A 公司的库管，看不到 B 公司的库存明细——多公司最常见的「串数据」，不是发生在报表，是发生在货位。
隔离做得真不真，测一次就知道：用普通账号试着打开别家的客户列表和报表。打不开，隔离成立；打得开，那只是「没给他看」。
隔离的另一半，是「看得见该看的」。管得太死，内勤开不了别家的单、共享岗位直接瘫痪；管得太松，等于没隔离。权限的功课，一半在「放」，一半在「收」——收得干净，才放得放心。
隔离还要防一类漏洞：共用报表和导出文件。把报表发到群里、把客户名单邮件外发，系统里隔离做得再好也白搭——数据出门这一步，要靠制度加留痕双管齐下。
三、敏感操作留痕：盯住三件事
- 改价。谁、哪一单、原价多少、改成多少、什么时间、什么理由——六要素一个不能少。
- 删单作废。删的是哪张、内容是什么，记录要还原得回来。
- 导出。谁、导了什么、多少条。导出是数据离开系统的正门，也是最该留痕的动作。
留痕不是不信任，是出事时说得清。等到查不清的那天，你最想要的，恰恰是这些记录。
留痕的粒度也有讲究：改价必须到单、删单必须到内容、导出必须到条数。粗到「有人动过数据」的记录等于没有——真出了事，你还是说不清是谁、动了什么。粒度到位，痕迹才是证据；粒度不到，痕迹只是心理安慰。
敏感操作的名单也要定期更新：哪些功能算敏感，不是一成不变的。客户名单批量导出、成本价查看，这些权限给谁、为什么给，每季度跟着复盘一起过。
四、权限季度复盘：人动了，权限就得动
- 季度全量过一遍。离职账号清没清、兼职的人权限是不是过宽、新开的公司权限齐没齐。
- 异动当天就改。入职、调岗、离职，权限当天跟着变，不等季度。
- 权限表留档。每次改动记一本账：谁批的、改了什么、什么时候——季度复盘，就从这本账开始。
复盘时不只要做减法，也要做加法：新业务开出来，老角色罩不住；新公司立起来，权限要跟着配。权限这件事，一季不动，就会开始长出问题——账号越攒越多、范围越放越宽，都是这么来的。
复盘建议形成固定动作：拉出全部账号清单，一个个念给相关负责人听——这个账号还在用吗、权限还匹配现在的岗位吗。当面过，比看表快，也比看表准。
权限最大的风险不是坏人，是「临时给他开一下」，然后忘了关。
五、落到工具上
权限靠文档约束人，不如靠系统约束操作。奇秘书权限组授权到菜单和功能点，货位授权到人，改价、删单、导出全程留痕；一个账号关联多家公司，进哪家、用什么，全按配置走。详见多公司与代理商解决方案，实操细节参考多公司做账与数据隔离实务。权限改完，记得跟当事人说一句——不然下周他就会来问「怎么用不了」。
权限设计的终点，是「出事能追溯、日常不添堵」。两条有一条做不到，就还有功课要做。
常见问题
权限配太细，会不会拖慢效率？
会，所以按角色打包、不逐项点。一个角色一套权限组，新员工选角色即用——效率靠角色化保，安全靠隔离保，两件事不冲突。觉得卡手，先查是不是角色划分不合理，别靠逐个开权限解决。角色本身也每季度看一眼：用不上的功能从角色里拿掉，界面干净，效率也高。
老板要不要受权限约束？
数据上不必，操作上要。老板改价、删单同样留痕。不是防老板，是万一出事，痕迹就是老板自己的证据。真想给老板开特例，就用独立账号开，出了事能分清是谁的操作。规矩从自己做起，下面的人才没话说。
共用账号行不行？省得每人开一个。
不行。共用账号等于没有留痕：出了事说不清是谁做的，权限也形同虚设。正规做法是一人一号、按角色授权；代账会计、兼职人员同理，离职当天回收。账号开通时把角色、数据范围、生效日期一起记进权限台账。
怎么确认权限真的隔离了？
每季度做一次抽查：拿每个角色的账号登录，试着打开职责范围外的公司和数据。看得见打不开，是页面权限；点得开打得开，就是真漏洞。抽查不必兴师动众，三五个账号、半小时就能过一遍；记录留好，和权限台账放在一起。
