组织架构与角色权限 P29 · 权限与系统管理
权限设计的本质是用系统表达组织的管理意图：谁能看什么、谁能批什么、谁不能同时拥有哪两个权限。 设计错了，轻则效率下降，重则出舞弊事故。
组织模型与四类主体、RBAC 授权模型、角色与岗位的区别、角色继承、职责分离 SoD、临时授权与代理。
组织/法人/工厂/仓库、岗位 Position、角色 Role、用户组、RBAC、角色继承、权限互斥 SoD、代理人机制。
把"岗位"当成"角色"直接授权。人一调动权限就乱，且无法表达"一人多岗"（如某人既是采购员又是某品类审批人）。 正确的做法：岗位是组织属性，角色是权限集合，两者分离。
1. 组织模型：权限挂在哪些层级上
法人主体
决定账套、税务、合同主体。跨公司的业务要走内部交易，库存与账务不能混。
工厂 / 仓库
决定库存归属与数据权限范围。仓管员通常只能看自己仓库的数据。
采购/销售组织
决定业务单据的归口与审批路径。不同采购组织的价格与供应商可以隔离。
2. RBAC：用户 – 角色 – 权限
为什么要多一层"角色"
如果直接给用户挂权限，1000 个用户就要配 1000 次。引入角色后， 同类岗位共享一套权限，调整时改角色即可，所有人同步生效。
角色继承
上级角色自动包含下级角色的权限（如"采购经理"继承"采购员"全部权限 + 审批权）， 避免重复配置。但要注意继承层数不宜超过 3 层，否则权限来源难以追溯。
3. 职责分离 SoD：不能让一个人完成一整件事
内控的基本原则：业务执行、审批、资产保管、账务记录这四类职责应相互分离， 防止一个人完成全部环节而无人制衡。
| 互斥角色对 | 为什么不能兼有 |
|---|---|
| 采购下单 ↔ 供应商准入审批 | 可自行引入关联供应商并下单，形成利益输送闭环 |
| 采购下单 ↔ 收货确认 | 可虚增收货数量，套取货款 |
| 收货 ↔ 付款审批 | 可对未实际收到的货物付款 |
| 库存盘点 ↔ 库存调整审批 | 可自行调整盘亏以掩盖丢货 |
| 主数据维护 ↔ 业务单据录入 | 可自建物料或改价格后自行使用 |
4. 授权实务：四种场景
常规授权
入职时按岗位分配角色，随岗位变动自动调整。建议与 HR 系统打通，避免离职账号遗留。
临时授权
项目制或借调时临时授予，必须设定到期时间。到期未回收是权限失控的主要来源。
代理人
出差/休假期间由他人代批，需指定代理人与有效期， 且代理行为要标记为"代 XXX 审批"，保证责任可追溯。
离职/调岗回收
账号禁用而非删除（保留历史操作记录）， 交接清单需包含：未完成单据、在途审批、代理关系。
「审批人休假了，单子卡住没人批」——这不是权限设计问题，而是没有代理人机制。 所以做权限模块时，代理功能不是加分项，是必做项。