超级管理员
楼主
ERP 权限配置是个容易被轻视、出事又很严重的事。这份内容整理自内部实施经验，几个原则值得固化下来。
原则一：最小必要 权限按岗位实际需要给，不是按职级给。
常见的问题是“给多了省事”。部门经理要一个查询报表，实施人员为了省事直接给了整个模块的读写权。半年后这个人调岗，权限没回收，风险就留下了。
具体做法：
- 每个岗位先列功能清单，只勾选确实需要的。
- 查询权和修改权分开。绝大多数人只需要查询。
- 敏感操作（反结账、反记账、删除凭证、修改科目）单独授权，不随模块权限一起给。
原则二：职责分离 不相容岗位要分离，这是内控的基本要求。在 K3 里主要体现为：
- 制单和审核不能是同一人。
- 采购申请、采购订单、入库、付款审批要分散在不同角色。
- 仓库的实物管理和账面记录尽量分开。
- 系统管理员不应同时拥有业务操作权限。
最后一条常被违反。很多中小企业让 IT 一个人管系统，同时又能做业务单据，这在审计时是明确的问题。
原则三：定期复核 权限不是配一次就完事。建议每季度做一次复核：
- 导出全部用户清单，跟在职人员名册比对，找出离职未禁用的账号。
- 检查调岗人员的权限，是否已经按新岗位调整（通常是只加不减，需要主动清理）。
- 检查高权限账号清单，确认这些人确实需要。
- 检查有没有共用账号。共用账号无法追溯，是完全的内控漏洞。
几个实操细节
- 离职流程要包含系统权限回收这一步，并且要有确认环节。很多公司离职清单里没有这一项。
- 临时权限要有到期时间。为了某个项目临时开的权限，项目结束往往忘了收。
- 密码策略要启用。密码有效期、复杂度、错误锁定，这几项能挡住大部分低级风险。
- 操作日志要开着并且定期看。很多单位日志功能是关的，出了问题无从查起。
在系统里怎么落地 K3 的角色机制是按角色授权、用户挂角色。不要用用户级直接授权——那样管理会失控。
角色设计建议按“岗位 + 模块”组合，比如“销售部-订单录入”“财务部-凭证审核”。角色粒度太粗会导致权限放大，太细则配置工作量爆炸。一般一个中等规模企业二三十个角色够用。
最后一点 权限配置要和业务流程一起评审。流程变了，权限必须跟着变。很多单位的权限配置是三年前上线时定的，业务早变了，权限还在原地。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。