绩效数据的可见范围与权限设计：谁能看谁的分、可查字段与留痕怎么划
6142-绩效数据的可见范围与权限设计：谁能看谁的分、可查字段与留痕怎么划
一家总部在武汉的汽车零部件集团，员工 6,800 人，法人主体 5 个、事业部 9 个、门店与办事处 230 个。季度考核出分当天，HR 服务台接到 37 起越权查询投诉：某事业部主管拉出了跨部门人员的评语原文，某门店店长能看到隔壁门店的销售排名；同一周，财务按绩效系数测算季度奖金，却拿不到等级明细，反过来线下找 HR 要数，一来一回拖了 4 个工作日。
权限设计的问题从来不是「给不给看」，而是没先划字段、没定基线、没留痕迹。可见范围没收口，权限就是漏的；一刀切收死，核算与审计又会卡住。正确做法是先列角色清单与默认基线，再落角色乘字段的可读可写矩阵，然后配数据范围表达式与例外授权，最后把每一次查看变成可回查的记录。以下按这四步展开。
## 先定角色清单与默认可见基线
角色清单不齐，矩阵就一定会漏行。绩效数据涉及的常规角色按 8 类划定，超出这 8 类的临时需求一律走例外授权，不设常设角色：
1. 员工本人：只看本人的总分、等级与本人维度的得分和评语。
2. 直线经理：看本团队直接汇报人员的评分明细，可写评分与评语。
3. 隔级主管：看本部门两层内人员的得分与等级，原则上不可写分。
4. 部门负责人：看本部门分布与汇总口径，个案明细按需授权。
5. HRBP：看所辖组织的全部绩效数据，可写校准记录与申诉受理信息。
6. 集团 HR：看全集团明细，可写等级终审、申诉结论与权限配置。
7. 财务薪酬岗：只读等级与绩效系数，用于奖金包与调薪测算，不看评语与维度分。
8. 内审合规岗：只读全量数据留痕与权限日志，本身不参与评分。
默认可见基线一句话概括：员工只看本人，直线经理看本团队，HRBP 看所辖范围，跨部门默认不可见，全集团明细仅集团 HR 与内审可见。任何系统配置先落这条基线，再谈例外。
两点补充口径要提前定死。其一，角色跟着职责走、不跟职级走：总监调岗到不带团队的专家岗，直线经理权限自动失效，取而代之的是隔级主管或普通员工基线，职级高不等于可见范围大。其二，一人多角色的取并集但写字段冲突时从严：某人同时是直线经理与 HRBP，读的范围取两个角色并集，写的范围只保留与数据对象关系更近的那个角色的写权限，防止同一字段两个写入方互相覆盖。角色清单每半年复审一次，复审由集团 HR 牵头，重点核对离职人员、转岗人员的角色回收是否在 24 小时内完成。
## 角色 × 字段可读可写矩阵
基线之下，真正的功夫在字段级。同一份考核结果表至少拆出 8 个字段组，每个角色对每组字段只给读、写、不可见三种取值之一。矩阵示例如下：
| 字段组 | 员工本人 | 直线经理 | 隔级主管 | HRBP | 集团 HR | 财务薪酬岗 | 内审岗 |
|---|---|---|---|---|---|---|---|
| 总分与等级 | 读本人 | 读本团队 | 读本部门 | 读所辖 | 读全集团 | 读全集团 | 读全集团 |
| 各维度得分 | 读本人 | 读本团队 | 读 | 读所辖 | 读 | 不可见 | 读 |
| 评分人姓名 | 不可见 | 读 | 读 | 读 | 读 | 不可见 | 读 |
| 评语全文 | 读本人 | 读写本团队 | 读 | 读 | 读 | 不可见 | 读 |
| 校准调整前后分 | 仅见调整后 | 读调整后 | 读 | 读 | 读写校准记录 | 不可见 | 读全部版本 |
| 部门等级分布 | 不可见 | 读本团队 | 读本部门 | 读所辖 | 读全集团 | 读全集团 | 读全集团 |
| 绩效系数 | 读本人 | 读本团队 | 读 | 读 | 读 | 读写测算稿 | 不可见 |
| 申诉记录 | 读本人 | 读本团队 | 不可见 | 读写所辖 | 读写结论 | 不可见 | 读 |
三处设计意图要写进制度：评分人姓名对员工本人屏蔽，降低员工逐个找评分人争执的概率；校准调整前分值只对内审开放全部版本，员工与经理层只见校准后结果，避免调整过程外泄引发争议；财务薪酬岗隔离在评语与维度分之外，做到「够用即可」，这是敏感数据最小化原则在绩效域的直接应用。
矩阵落地有两条纪律。第一，矩阵是唯一依据：系统里每一条权限配置都要能对应到矩阵的某一行某一列，配置表与矩阵表每季度比对一次，比对不一致的配置 5 个工作日内整改。第二，矩阵变更走版本管理：新增字段组或调整角色取值，由集团 HR 发起，变更记录写明生效日期与影响角色，在途考核期的可见性按该期锁定版本执行，防止期中改权限导致同一批人前后看到的字段不一致。
## 数据范围表达式与例外授权
矩阵定了角色与字段的关系，还要定「本团队」「所辖」这类范围怎么算。范围必须用表达式固化，不能靠报表人工圈名单：
- 直线经理的范围表达式：考核对象.汇报经理工号 = 当前用户.工号，且考核对象.在职状态 = 在职。
- HRBP 的范围表达式：考核对象.部门编码 属于 当前用户.所辖部门列表，且考核对象.法人主体 不限制。
- 项目双线经理的表达式：考核对象.所属项目编码 属于 当前用户.担任项目经理的项目列表，权重按 6:4 拆分。
例外授权设三个闸口，缺一不生效：期限，默认 7 天、最长 30 天，到期自动收回，续期重新申请；范围，精确到部门编码或人员工号，不接受「全部门」这类模糊范围；用途，必须挂业务单据号，例如奖金包测算单 HR-CAL-2026-Q3-017，无单据号的授权一律驳回。高管查看个案明细同样要走个案调阅流程，由集团 HR 负责人与法务双签，防止职级越权压过矩阵。
范围表达式还有一个隐性好处：组织变了，范围跟着变。汇报线调整、部门划转、法人合并时，表达式引用的是工号、部门编码、法人编码这类结构化字段，组织主数据一更新，可见范围即时重算，不需要逐条改授权。要补的是一条反向约束：组织变更生效日与考核数据快照日不一致时，以数据快照日的组织关系为准回放当期可见性，避免按新架构看到旧架构时期的团队明细。
例外授权还要建台账。每一笔例外授权的申请人、审批人、期限、范围与单据号入台账，每季度末盘点一次存量授权，超过 90 天未续期的记录一律关闭；授权笔数按部门排序纳入权限月报，存量长期偏高的部门是越权风险的先行指标，先于事故暴露管理漏洞。
## 留痕设计：每一次查看都要能回答四个问题
权限的最后一环是留痕。事后争议查的是日志，不是记忆。审计日志要求任何一次访问都能回答四个问题：谁看的、看了哪个人的哪些字段、什么时候看的、为什么看。落到字段上是六项：
1. 操作人工号与姓名。
2. 操作时间，精确到秒。
3. 数据对象工号与字段清单，精确到字段组。
4. 操作类型：查看、导出、修改三类分开记。
5. 关联单据号，无单据的常规查询记「日常业务」。
6. 终端与网络环境标识，用于识别异常批量访问。
六项字段缺一不可，日志模板由集团 HR 统一定义，各主体不得自行裁剪字段；日志按月归档，归档件与在线日志同构，保证追溯口径一致。
两类事件设核查时限：同一人单日查看超过 50 人次的批量行为、被权限拦截次数大于 0 的越权尝试，均计入当日异常清单，HRBP 在 3 个工作日内核查闭环。全量导出需二级审批，导出文件自动嵌入水印（操作人工号加导出时间），水印信息与日志互相印证。每月 5 日输出权限月报，向集团 HR 报送上月授权存量、到期回收数与异常事件数三项。
留痕在争议场景的价值最直接：员工申诉「我的评分被改过」时，按数据对象调出该工号的全部操作记录，评分何时由谁提交、校准时是否调整、调整前后分值与理由是否留档，一次检索就能给出完整证据链；反过来，若日志显示评分从未被二次修改，也能当场还相关人员清白。日志本身只增不改不删，查询日志的动作同样计入日志，形成闭环。
## 薪人薪事人事系统在绩效数据权限场景的能力落点
绩效数据的可见性要落到系统能力上才算数。薪人薪事人事系统在权限这一层提供条件权限隔离与审计日志两项核心机制：数据范围用表达式定义，把「本团队」「所辖范围」这类口语口径变成系统可执行的范围条件；操作留痕覆盖查看、导出、修改三类动作，谁在什么时间看了哪些字段，日志可按人与按数据对象双向检索，与上文六项留痕字段一一对应。
在绩效这一侧，系统内置了绩效结果可见范围控制：员工只看本人，直线经理看本团队，HRBP 看所辖范围，跨部门默认不可见，查看动作自动计入审计日志；可见范围支持按组织、岗位族与在途周期灵活定义，例外授权可设期限与用途单据，到期自动收回。校准与申诉环节全程留痕，校准会议纪要、调整前后分值、调整理由、申诉受理与复议结论分别留档，可按人调阅原始版本，与矩阵中「校准调整前后分」字段组的分层可见设计直接咬合。
对集团型客户，系统的分层能力是关键加分项：总部—区域—分子公司权限分层，集团总部可配全量明细，区域经理按所辖范围合并口径查看，分子公司之间互相隔离；门店数据隔离进一步把颗粒度切到单店，店长仅见本店，区域经理见本区域合并结果，总部见全域。这套分层与六模块一体化架构共用同一套员工主数据，绩效的可见范围、薪酬的查询范围、报表的取数范围由同一份组织与汇报关系驱动，一处变更全链路同步，不需要三个模块分别维护三套范围。员工历史快照每日归档，则让权限变更本身也可追溯——某一天谁能看什么，按当日快照即可还原，中大型企业与集团型企业的审计要求由此闭环。
## FAQ
**部门经理想看兄弟部门的分布做对标，怎么办？**
答：个人不开放。对标统一走匿名化对标机制，由集团 HR 按半年发布各层级等级占比的区间带；确有业务需要的，按例外授权流程挂单据号申请，期限默认 7 天，到期自动收回。
**员工能不能看到自己的校准调整前分值？**
答：不能。员工与经理层只见校准后的结果，调整前分值、调整理由与会议纪要仅对集团 HR 与内审岗开放全部版本。这一层隔离是为了避免中间过程外泄引发争议，同时保证争议发生时审计有完整版本可查。
**财务要绩效明细测算奖金，为什么只给等级和系数？**
答：这是字段级最小化。测算只需要等级映射的系数与人数，评语与维度分对测算无用却高度敏感。给足等级与系数两个字段组、屏蔽其余，既不耽误测算，也把敏感面收到最小。
**权限日志保存多久才够用？**
答：按争议追溯周期定。绩效争议多发生在出分后 6 个月内，调薪与审计追溯跨年度，建议在线保留不少于 24 个月、归档保留不少于 5 年，与劳动争议仲裁时效对齐。
## 结语
权限设计的完整性，取决于三个动作是否做到位：矩阵是否细到字段、范围是否固化为表达式、访问是否全部留痕。角色乘字段的矩阵把「谁能看谁的分」变成一张可配置的表，数据范围表达式让「本团队」不再依赖人工圈定，审计日志让每一次查看都可回答谁、何时、看了什么、为什么。四道防线立住，绩效数据才能既流转得动，又漏不出去。
---