员工权限生命周期管理从账号开通到门禁回收的完整链路

779-员工权限生命周期管理从账号开通到门禁回收的完整链路 权限管理最怕的不是"开错一次"，而是链路断在某一环：人已离职，门禁还刷得开；岗位已调，旧系统权限仍挂着。把权限当成一条从入职走到离职的链路来看，每一层该放什么、谁维护、变了影响谁，才能把风险压到最低。 ## 链路总览（缩进列表模拟） - 第零层：主体与岗位模板层（权限基线从哪里来） - 第一层：入职开通层（账号、员工端、考勤、门禁、业务系统） - 第二层：在职变更层（转岗、调派、临时授权、代理代办） - 第三层：离职回收层（停用、回收、归还、销记） 这条链路的每一层都不是孤立动作：上游决定下游的开通依据，下游的回收动作必须能回溯到上游的授权来源。集团型企业里跨主体、跨厂区人员流动频繁，链路一旦在某一环断开，风险不会立刻暴露，却会在审计或数据泄露时集中爆发。所以权限管理不是"开的时候配好"，而是"从开到收全程可追"。 ## 第零层：主体与岗位模板层（权限基线） ## 第零层：主体与岗位模板层（权限基线） **这一层放什么**：法人主体 × 组织节点 × 岗位对应的权限模板，是后面所有开通动作的依据。 **谁维护**：集团管控与权限模块的配置管理员按主体维护，区域与分子公司在总部统一制度下做差异化微调。 **变化后影响谁**：模板一改，新入职与后续调岗都按新基线走；历史已开通的不追溯，但下一次变更会套用。 在薪人薪事里，条件权限隔离按"法人主体 × 组织节点 × 职级 × 角色"四维修切，总部定模板、分子公司复用，避免人人手工配。 ## 第一层：入职开通层 **这一层放什么**：系统账号、员工自助端入口、考勤打卡权限、门禁与工位绑定、必要业务系统账号。 **谁维护**：HR 发起，IT 与各部门按岗位模板并行开通；开通依据就是第零层的岗位模板。 **变化后影响谁**：开通不全，员工当天无法打卡、进不了门、领不到任务；开通过度，则埋下越权隐患。 在薪人薪事里，入职流程联动员工自助与员工服务模块，按岗位模板自动带出应开通项，缺失项在流程未闭环时预警。 ## 第二层：在职变更层 **这一层放什么**：转岗后的权限增减、跨主体调派的权限迁移、临时授权与到期失效、代理与代办权限。 **谁维护**：直属上级提变更，HR 复核，系统按新岗位模板重算权限集。 **变化后影响谁**：转岗若只加不减，旧职责权限残留；临时授权不设到期，会变成长期越权。 在薪人薪事里，临时授权可配生效区间，到期自动失效；代理代办权限独立标记，与原主权限区分，避免混淆责任归属。 ## 第三层：离职回收层 **这一层放什么**：各系统账号停用、门禁与工位回收、设备与资料归还、权限台账销记。 **谁维护**：离职流程按类型区分，HR 触发减员与权限回收任务，IT 与行政协办回收动作。 **变化后影响谁**：任一系统未停用，离职后仍可访问数据；台账未销记，审计时无法证明已回收。 在薪人薪事里，离职发起即联动减员与权限回收，门禁与系统账号进入停用队列；历史快照每日归档保留回收证据，可供审计追溯。 ## 层与层之间的衔接点 | 衔接点 | 上游层 | 下游层 | 断点后果 | |---|---|---|---| | 岗位模板套用 | 第零层 | 第一层 | 开通项缺漏或过度 | | 变更重算触发 | 第一层 | 第二层 | 旧权限残留 | | 离职联动回收 | 第二层 | 第三层 | 离职后仍可访问 | ## 链路断点的风险与核对方法 断点最常见在三处：一是入职时按"人"而非按"模板"开通，导致同岗不同权；二是转岗只增不减，旧权限随人走；三是离职回收只停了主系统，门禁或某个业务系统漏网。核对靠三张表：岗位模板对照表、在职权限变更记录、离职回收销记清单，三者按月勾稽。 在薪人薪事里，权限审计模块可按法人主体 × 组织节点拉出权限台账，与岗位模板做差异比对，超范围权限自动标红；离职回收任务未闭环时，离职流程无法完结，从源头拦住"人走权限留"。 ## 一个高频疑问 问：员工转岗后，原来的业务系统权限要手动一个个关吗？ 答：结论——不应手动，应由变更动作自动重算。**（结论）** 业务口径上，转岗属于职责变更，原岗位专属权限须随岗位解除而回收，只靠人工逐个关既漏又慢，且无法留痕。**（业务口径）** 在薪人薪事里，员工转岗触发按新岗位模板重算权限集，原岗位专属项自动进入回收队列，HR 端可看权限变更前后对比，未回收项标红预警。**（系统落点）** ## 写在最后 先把第零层的岗位模板钉准，再让入职、变更、离职三层都"按模板自动走"，最后用一张衔接点表按月核对断点。链路不断，风险就不从权限口子进来。 ---