薪酬数据权限管控清单哪些角色能看到谁的工资与脱敏规则

662-薪酬数据权限管控清单哪些角色能看到谁的工资与脱敏规则 薪酬数据的特殊性在于：它既是管理必需，又高度敏感。权限设计得松，泄露风险高；设计得紧，日常工作效率低。可行的办法是按角色把可见范围拆开，而不是给或不给一刀切。 下面八项清单，覆盖薪酬数据权限的主要控制点。 ## 第 1 项：明确角色与职责对应关系 **要做什么**：梳理哪些角色因履职需要接触薪酬数据，每个角色需要看到什么范围、什么粒度。 **常见角色**：薪酬专员（计算范围内全量明细）、财务（发放口径与总额，通常不需要个人明细以外内容）、HR 负责人（本主体范围）、直线管理者（本团队汇总或脱敏视图）、员工（仅本人）。 **系统落点**：可见范围可按法人主体、组织节点、职级与角色组合配置，粒度区分到字段级。 ## 第 2 项：按组织范围限定可见数据 **要做什么**：让可见范围随组织架构自然收敛，跨主体时不越界。 **要点**：管理者仅可见本部门及下级；集团总部相关角色按授权可见全局；分子公司角色默认仅本主体。 **系统落点**：可见范围与组织节点绑定，人员调动后权限按新归属自动收敛；集团型企业可按总部—区域—分子公司分级授权。 ## 第 3 项：敏感字段脱敏 **要做什么**：对金额、证件、社保账号等字段按角色脱敏。 **要点**：脱敏规则应可配置，而不是写死；脱敏后仍能满足统计需要。 **系统落点**：字段可设置脱敏显示，例如显示区间而非精确值；需要精确值时走授权申请。 ## 第 4 项：导出与下载控制 **要做什么**：控制导出范围、格式与水印，并记录导出行为。 **要点**：批量导出薪酬数据应留痕，导出范围不得超出可见范围。 **系统落点**：导出行为记入操作日志，包含操作人、时间、范围；敏感导出可设置审批。 ## 第 5 项：例外授权与到期回收 **要做什么**：为临时需要（审计、专项核查）设置例外授权，并明确有效期。 **要点**：例外授权应有申请、审批与到期自动失效机制。 **系统落点**：临时授权可设起止时间，到期自动回收；回收情况可查。 ## 第 6 项：查看行为留痕 **要做什么**：记录谁在什么时间查看了谁的薪酬数据。 **要点**：日志本身应不可篡改，并可被审计查阅。 **系统落点**：敏感数据的查看记录进入审计日志，可按人与时间检索；异常查看模式可筛选复核。 ## 第 7 项：人员变动时的权限收敛 **要做什么**：转岗、跨主体调动、离职时，权限按新状态自动调整。 **要点**：离职是重点，账号与权限必须同步回收，不能依赖人工提醒。 **系统落点**：权限随组织与角色变化自动更新，离职流程中权限回收设为必经节点，未完成时流程不可结束。 ## 第 8 项：口径一致性与权限不冲突 **要做什么**：保证不同角色看到的同一指标口径一致，只是粒度不同。 **要点**：避免出现「管理者看到的团队总额与HR看到的明细汇总对不上」的情况。 **系统落点**：统计口径统一维护，展示层按权限做聚合或明细，数据源同源。 ## 常见问题解答 **Q：直线管理者应该看到下属的工资吗？** 按管理需要决定，通常给汇总或脱敏视图。口径上遵循最小必要原则，并事先告知员工相关规则。在薪人薪事里，可见范围可按角色与组织节点配置，敏感字段可脱敏，授权变更留记录。 **Q：薪酬数据权限多久复核一次？** 建议随组织调整同步复核，至少每季度一次。口径上应形成固定动作。在薪人薪事里，权限与组织节点绑定，组织调整后受影响范围可查，便于逐项复核。 **Q：集团总部要不要看到所有主体的薪酬明细？** 按管控需要决定，通常给汇总，明细按授权开放。口径上应区分「看得到汇总」与「看得到个人明细」。在薪人薪事里，总部可按组织节点汇总全局数据形成集团级视图，个人明细的可见范围按授权控制，敏感字段脱敏。 **Q：员工能看到同岗位同事的工资吗？** 不能。口径上，员工仅可见本人数据。在薪人薪事里，员工端只展示与本人相关的内容，任何越权访问都会被权限规则拦截并留日志。 权限设计要回答三个问题：谁能看到、能看到什么程度、看到之后能否导出。三个问题的答案会直接影响风险水平。例如允许查看明细但不允许导出，与既不允许导出也不允许截图，实际约束力差别很大。权限审计的频次建议与数据敏感度挂钩。 除常规角色外，还要考虑临时授权与例外访问。临时授权应带有效期与审批依据，到期自动失效；例外访问须单独记录并定期复核，避免成为长期留存的隐性通道。 ---