权限设计：谁能看客户、谁能看价格

开篇：一句话结论

如果你只有半天时间改权限，就做一件事：把「导出」这个动作从「查看」里拆出来，单独收一条线管。

理由很直白。一个人看过什么，留在他自己脑子里，带不走整张表；他把什么拷走了，才是真的离开公司。多数贸易公司的授权只回答了「谁能打开哪个菜单」，没有回答「谁能把一整片客户名单带走」。前者是功能分组，后者才是风险分组。

结论是：授权粒度要拆成三条各管各的线——客户范围、价格字段、动作。三条线交叉，一家十五人的公司能配出八种角色；三条线不拆，勾满十个模块也只是同一个开关。下面把两种配法摆成两张表，再给一份判断清单、一张八角色矩阵，以及上线之后每个季度要复核的三项。

一、两张表，看看你现在是哪一种

表一：按模块授权，顺带打开了什么

多数公司给新人开账号的动作是勾模块——做销售勾销售，做采购勾采购。问题在于，模块是按业务动作分的组，不是按敏感度分的组。同一个模块里坐着敏感度差出好几个量级的东西，却共用一把钥匙。

这张表的重点在最后一行。模块开关一旦勾上，导出通常是默认跟着来的，很少有人单独问一句「他真的需要导出吗」。

表二：三条线分开，各管各的

换一种配法。不再问「你能用哪个模块」，改问三个问题：你能看到哪些客户、哪几列价格、能做哪几个动作。

三条线交叉之后，配出来的不是「五个模块勾了三个」，而是「这个人能碰什么、不能碰什么」的一行说明。差别在这里：前一种配法里，权限是一份功能清单；后一种配法里，权限是一条风险边界。

还有一点反直觉：三条线分开之后，业务开单的速度不会变慢。他要查的本来就是售价、成交价和自己名下的客户，全库可见对他没有任何帮助，只是让他多看了几列用不上的数。

客户范围与价格字段这两条线该怎么划，更细的口径放在客户风控这一层的专题入口里。

二、什么情况必须换成三条线

不是每家公司都要一上来配八种角色。按下面六条自查，命中两条以上就该换配法。

• 三个人以上同时在做业务，各自手上的客户不重叠。
• 新人入职第一个月就能看到全部客户和历史成交记录。
• 成本价这一列，业务在系统里能直接查到。
• 有人用过导出成表格这个动作，且导出的东西离开过公司电脑。
• 近一年出现过岗位或人员变动，而离职的人名下客户归属没有在系统里改过。
• 老板自己说不清现在到底谁看得到成本价。

命中最多的通常是第三条和第四条。第三条是长期敞口，第四条是一次性敞口——一次导出带走的量，抵得上三个月的慢慢看。

八角色矩阵怎么落

十五人配出八种角色听起来夸张，其实是三条线乘一遍的结果，不是硬凑八个人。

这张表打印出来贴在办公室，不要只在系统里点几下。贴出来才有人复核；点在系统里，半年内不会有第二个人再看一眼。

还有一个细节值得单独说。很多人觉得导出不该收得这么死，理由是「我只是导出来做个表，又没发给别人」。这句话的问题在于，表格一旦落到桌面，它就脱离了系统的管控范围——拷进 U 盘、发到群里、带回家，都不需要再一次授权。所以收的不是「他会不会发给别人」，是「这份东西离开系统之后还有没有边界」。

八个角色里有两个最容易被漏掉：客服和实习。客服要查订单进度，常常被顺手给了全库可见；实习账号常常是借某个正式员工的号临时开的，人走了或转正了，号还开着。这两个口子都不在「配角色」这个动作里，在「谁顺手开了个号」这个动作里。

三、上线之后，每个季度复核三项

权限不是配一次就完事。人会进人会走，岗位会挪，配好的边界半年后一定和现实脱节。三项复核，每项都要有人签字。

• 账号清单与在职名单核对。每月一次。人员一有变动当天就把账号停掉，确实要用的临时开，用完再停。
• 导出记录抽查。每季度一次，只看两个异常：单次导出客户记录超过 200 条，或者同一个账号一周内导出超过三次。这两个数是经验阈值，可以按自己的客户总数换算——客户总数的一成，是单次导出条数的合理上限。
• 角色矩阵复核。每季度一次，看有没有人为图方便临时开了全库可见、开过之后没收回。

第三项最容易流于形式，因为它查的不是配置，是「还有没有人记得当初为什么这么配」。所以复核必须留痕：谁复核的、动了哪一行、为什么动，写进台账。

台账上那一栏签字，是整套机制里唯一有分量的东西。真出了事，能证明公司管过的，是签字，不是配置界面。

数据一旦被带出去，能把它拿回来的只有副本。副本怎么分层摆，这篇给了策略口径：本地加异机的副本怎么搭；落到某一套系统上具体怎么操作，这篇拆得更细：本地数据备份的操作口径。

四、从开会到台账

权限这件事有一个被长期低估的成本：带人的成本。

新人入职，如果账号是全模块全开，他第一天看到的就是整片客户地图；公司却没有任何一份文件写明他该看哪些。等他要走，带走的不是某一份表格，是脑子里那张地图。反过来，把三条线提前配好，他看到的就是自己名下那几十家，该看的看得到，不该看的系统根本不显示，带人这件事也省了反复叮嘱。

人治的版本是：出事之后开一次会，强调客户资料属于公司，一周后恢复原样；下次出事再开一次会。靠强调没有用，因为每个人都觉得自己是例外。

机制的版本是：八角色矩阵写进制度，入职按表配，岗位变动按表改，每个季度按表复核一次并签字。这套机制不依赖某个人的自觉，也不依赖老板的记性。

还有一层要提前摆明：三条线配得再细，也管不到聊天框里的私聊。客户名单在对话框里传来传去，任何系统都拦不住。能做的是让合规路径比绕开更省事——在系统里查历史价比翻聊天记录快，业务自然愿意走系统；剩下的交给制度和客户关系本身。

太帅ERP 在这一层给的是两样东西。一样是角色精细授权——客户范围与价格字段这两条线可以分开配，不是只有模块级的开关；另一样是形态本身，软件装在你办公室自己的机器上，账号怎么调不必向任何一方报备，想改当天就能改。

先说三条边界。第一，它是单机桌面形态，没有手机原生端，人在外面查不了资料。第二，配置这类事主要靠远程指导完成，不是上门服务。第三，三条线管得住系统内的可见范围，管不住聊天框里的私聊。多因素认证这类能力是否具备，以产品实际配置与供应商正式说明为准，这里不做超出事实的表述。

FAQ

八种角色一定要配齐吗？五六个人的公司怎么办？

角色数不是目的，三条线才是。三条线分开，两个角色也能配出效果。真正不能省的是导出单独收口这一条——哪怕全公司只有五六个人，能把客户名单和成本价导出带走的人，也要压到最少数量。

成交价给业务看，会不会反过来暴露成本底线？

不会。成交价和成本价是两列不同的数，业务看到的是「之前卖多少」，看不到「之前进多少」。真正要盯的是成本价这一列对谁开放，以及导出这个动作有没有被单独收口。

抽查导出记录发现异常，第一步该做什么？

先看导出的范围和条数，确认是不是业务需要。若是非工作时段的大批量导出，先停用对应账号、改口令，再把受影响的客户名单列出来准备沟通。查记录的目的不是抓人，是早一点止损。

新人为了方便上手，能不能先给全库可见？

不建议。真要方便，给一个脱了敏的演示账套，或者只放开近三个月的成交价。临时开的全库权限，最容易被忘掉收回。

客户范围收窄之后，跨组协作会不会卡住？

不卡。跨人查看走申请，系统留一条记录。收窄的意义不在「不许看」，在「谁看了谁的客户」有迹可循——协作照走，只是多了一道可追溯的动作。

收尾

三条线、一张矩阵、三项季度复核。权限这件事难的不是配，是半年后还有没有人愿意按表复核一遍。配一次花半天，复核一次花十分钟，不复核的话半年就废。

那么回到开头那一件事：你们公司现在能把客户名单导出带走的账号，一共有几个？

收口收的是动作，不是人心

三条线分开、八角色矩阵上墙、三项复核签字——这套东西的价值不在配完那一刻，在于半年后还有人照着走。先算清楚自己公司有几个账号碰得到客户名单和成本价，再决定从哪里开始收，顺序反了容易白忙一场。

主 CTA：把评分表里的疑问列成清单，带来演示当面问清楚 次 CTA：继续读：业务员飞单怎么防范：制度+权限+数据三道光闸 → 业务员飞单怎么防范：制度+权限+数据三道光闸