集团型企业账号与数据权限的定期复核机制与执行要点：落地要点

866-集团型企业账号与数据权限的定期复核机制与执行要点落地要点 某集团型企业有员工 9,600 人，横跨 4 个法人主体、27 家分子公司与 6 个区域中心，系统里并行着三类账号：总部统管账号、区域共享账号、分子公司自建账号。年度信息安全自查时，内审拉出一份名单：离职超过 30 天仍未停权的账号 23 个，其中 7 个还能导出所在分子公司的员工花名册，4 个保留了薪酬明细的查看权限，还有 2 个是两年前组织调整留下的历史账号，连责任人都说不清。这 23 个账号分属 3 个用工主体，人力认为停权是信息化部门的收尾动作，信息化部门认为离职事实该由人力推送，双方各有一本账，一年下来谁也说不清漏了多少。 账号与数据权限的定期复核不是一次突击检查，而是一套有周期、有范围、有触发源、有处置路径的常规动作。把它拆开看，无非是"谁在什么时候、以什么身份、能看见哪些数据"这句话的反复校验。 ## 账号从开通到注销的七个节点与责任划分 把生命周期切成节点，是让复核有抓手的第一步。多数集团出问题，不是没做复核，而是节点本身没有主，谁都能开、谁都不负责关。 1. **入职开通**：录用审批通过是唯一触发源，账号由员工主数据生成，命名规则固定为"法人主体代码+工号"，不沿用姓名或拼音。新账号默认挂岗位序列对应的权限包，不采用"复制同岗位某人权限"的做法，后者是权限膨胀最主要的入口。 2. **调岗改权**：以组织变更生效日为基准，原岗位权限先回收、再按新岗位权限包授予，两个动作在同一次操作里完成，避免出现同时持有新旧两套权限的窗口期。 3. **兼岗与代理授权**：必须填写有效期，一般不超过 90 天，到期自动失效。兼岗授权的审批人应当是目标岗位的上一级负责人，而不是本人所在部门负责人。 4. **派驻与借调授权**：权限与派驻证明绑定，派驻结束日期即授权失效日期，不允许"先开着，回头再关"。 5. **长假与停薪留职**：账号冻结而非删除，冻结期间保留历史操作记录的可查性，复岗时按当时的岗位重新授予。 6. **离职停权**：离职审批通过当天写入主数据，停权动作与离职日期绑定，而不与"交接完成"绑定。 7. **账号注销**：停权满 90 天后注销，注销只清除登录凭证，不删除操作日志与访问记录。 七个节点里，责任分工可以概括成三句话：业务与人力负责提供事实（入职、调岗、离职、派驻的生效时点），信息化负责执行动作（开通、改权、冻结、注销），内控与审计负责抽查结果。缺少任何一方的签署，节点就不算走完。 ## 复核周期、范围划定与离职停权的触发执行 复核频率要和风险等级挂钩，一年一次的"运动式盘点"既查不出问题，也留不下证据。 **周期分三档：** - 季度全量复核：覆盖全部法人主体、全部账号，逐条比对账号状态与人员在职状态，输出差异清单。 - 月度重点复核：只盯四类敏感权限——薪酬明细查看、员工花名册导出、批量数据导出、跨主体数据访问。 - 事件触发复核：离职生效、组织调整生效、权限包变更、外包合同到期、集成接口新增，任一事件发生后 3 个工作日内完成定向复核。 **范围划定的三种口径**，选哪一种取决于本次复核要回答什么问题：按法人主体划分，适合回答"某个主体是否干净"；按权限对象划分，适合回答"薪酬数据被谁看过"；按角色划分，适合回答"某类岗位的权限是否超标"。三种口径可以叠加使用，但不能混着统计，否则差异清单无法归因。 **离职停权的执行链条**要闭环，任何一环断了，账号就会漏在系统里： 离职申请审批通过 → 离职日期写入员工主数据 → 停权任务在离职日当天自动执行 → 次日生成"应停未停"告警 → 主管与信息化双向确认 → 账号转入冻结池。 回看那 23 个未回收账号，成因其实很集中：11 个是离职信息根本没进系统（口头离职、事后补单），4 个是停薪留职被误判为离职后又复岗，5 个是外包与劳务派遣人员从未纳入账号台账，3 个是历史遗留账号。四类成因对应四种修法，混在一起整改，往往只修掉最容易的那一类。 ## 越权识别规则、处置路径与审计留痕 复核不能只停留在"账号还在不在"，还要回答"在的账号是不是干了不该干的事"。 **五条越权识别规则：** 1. 权限基线偏离：账号实际权限超出岗位权限包 20% 以上，或存在手工单独授予且无审批记录的项目。 2. 跨主体访问：A 法人主体的账号访问 B 法人主体的人事或薪酬数据。 3. 导出行为异常：单次导出超过 500 条，或同一账号 7 天内导出超过 3 次。 4. 时间异常：22:00 至次日 06:00 之间的敏感数据访问。 5. 离职后活动：停权前 7 天内的批量导出，或停权后仍存在登录尝试。 识别出来之后，处置分四级，避免"一刀切停权"影响业务：立即停权或降权（适用于跨主体访问、离职后登录）；限期整改（权限基线偏离，3 个工作日内说明或回收）；通报与培训（时间异常且无正当理由）；升级合规调查（导出行为异常且涉及薪酬数据）。 留痕是整套机制能否被审计认可的关键。每一次权限变更至少记录六个字段：变更时间、操作人、被变更人、变更前权限、变更后权限、变更依据（对应的审批单号或事件单号）。月度复核报告固定四段：本期复核范围与口径、差异清单与成因归类、已处置与待处置事项、上期遗留问题的关闭情况。 ## 权限复核在薪人薪事里怎么落地 薪人薪事主要服务中大型企业与集团型企业，账号与数据权限的复核不是靠外挂一套工具，而是长在组织人事与权限审计这两块地基上。承载这个场景的，是组织人事模块的账号生命周期管理，加上条件权限隔离与审计日志。 关键配置有四类。一是**权限包与角色**：按管理序列与专业序列建成岗位权限包，新账号默认继承权限包，减少逐条手工授权，也便于把"超标"定义成可比较的数字。二是**条件权限隔离**：把"所属法人主体""所属门店或成本中心""在职状态"作为可见条件的判断项，同一份员工花名册，总部人力看到全量，区域 HR 只看到本区域，分子公司 HR 只看到本公司，且无法通过改查询条件绕过。三是**字段级控制**：薪酬明细、证件号码、银行账号等敏感字段单独设置可见范围，导出的文件同样受这一层约束。四是**审批链与生效规则**：权限变更走审批链，通过后按生效日期自动执行，支持"先回收后授予"的时序设置。 数据流转上，这套机制吃三个上游信号。**组织变更**实时同步权限与审批链，组织调整生效当天，汇报线上的权限自动重算；**人事异动**（入职、调岗、离职、派驻、停薪留职）把生效时点写进同一套员工主数据，再由主数据驱动账号动作；**员工历史快照每日归档**，让任何一次复核都能回到"某月某日这个人的权限是什么"的时点，而不是只看当前状态。24 家分子公司的复核结果还可以上到集团级看板，用组织维度与角色维度看权限分布是否偏离基线。 边界也要说清楚。系统能拦住的是：未停权账号在导出时被条件权限拦截、跨法人主体的越权访问被拒绝、无审批的手工授权无法生效、所有权限变更留下不可修改的日志。系统拦不住的是：账号凭证被同事转借登录、已在线下导出的文件被二次传播、员工用本人正常权限截图外发，以及第三方此前已经拿到的存量数据。技术手段必须与保密协议、岗位职责说明、离岗面谈这些管理动作配合，缺一不可。 ## 常见问题 **离职员工的账号，应该在离职当天停，还是交接完成后再停？** 直接结论是按离职日当天停，不按交接完成停。业务口径上，账号停用属于信息安全范畴，交接属于业务范畴，把两者绑在一起等于把信息安全押在业务进度上；劳动合同解除或终止之日，员工对系统的访问资格即告结束，交接可以线下另行安排。在薪人薪事里，离职审批通过即写入员工主数据，账号状态由主数据驱动，离职生效日自动触发停权，次日生成应停未停告警；确有短暂保留访问权的特殊情形，通过有时限的临时授权单独申请，而不是推迟离职日期。 **业务负责人能不能自行给下属开通薪酬查看权限？** 不能自行开通，但可以发起申请。口径上，薪酬数据属于敏感个人信息，可见范围应当由制度规定，而不是由直接上级自由裁量，否则保密要求形同虚设。在薪人薪事里，权限申请走统一审批链，薪酬类字段的授权需要人力负责人与对应法人主体负责人共同确认，审批通过后由条件权限生效并记录审批单号；授权默认带有效期，到期回收，避免形成长期敞口。 **账号和权限的复核多久做一次才算做到位？** 全量每季度一次、重点每月一次、事件触发随时启动，三档并行。口径上，内审与外部检查关注的是"能否证明你一直在管"，而不是"某一次查得多干净"，所以周期本身要有书面依据，复核记录要能追溯到执行人和日期。在薪人薪事里，复核任务按周期配置成自动生成，到期推送给指定责任人，未完成的在集团级看板显示为待办；差异清单由系统按账号状态与在职状态自动比对得出，人力逐条确认处置方式，确认结果连同操作日志一起归档。 **外包与劳务派遣人员的账号要不要纳入复核范围？** 要纳入，并且建议单列一类，不与正式员工混算。口径上，这类人员的用工关系在第三方，但其访问的是本集团的数据，风险归属仍在集团；同时他们进出更频繁，是最容易产生闲置账号的群体。在薪人薪事里，这类人员可以在员工主数据中以用工性质标识区分，账号与合同或派驻周期的结束日期绑定，到期自动停权；其权限包显式排除薪酬明细等敏感字段，跨主体访问一律拒绝，访问记录由审计日志单独统计。 ## 结语 先把三件事做完。第一件，把离职停权从"人工通知"改成"主数据触发"，让离职日期成为唯一的停权依据，并把历史遗留账号一次性清底，逐个补上责任人。第二件，出一份覆盖全部法人主体、全部用工性质的账号台账，把账号、权限包、责任人、有效期四列对齐，找不到责任人的账号先冻结再核查。第三件，把季度全量复核的范围、口径与记录字段固化成配置，完整跑一轮并留档，下一季度只做增量维护。 ---