第1章 现状调研与基线建立

权限映射的迭代优化必须始于对当前状态的清醒认知。本章聚焦于通过系统性调研方法摸清组织现有权限分配与业务活动的映射关系，识别其中的断点、冗余与冲突，并以此为基底构建可量化的基线文档，为后续重构提供可靠参照系。

1.1 适用场景

• 首次建立权限映射体系：组织尚未形成结构化权限清单，需从零搭建映射基线。
• 权限映射体系重构：现有映射已运行1年以上，需验证其与当前业务流程的匹配度。
• 合并/收购后整合：多套权限体系需统一归并，必须先完成各自现状的基线化描述。
• 合规审计触发：外部审计或内部风控发现权限与职责脱节，需快速定位问题根因。

1.2 前置条件

1.3 操作步骤

步骤一：确定调研范围与粒度

按组织单元→业务流程→岗位角色→权限对象四级逐层聚焦，明确本次调研的边界。使用RACI矩阵锁定每个层级的负责人与受访人。

调研范围声明示例：
- 组织单元：电商事业部（含运营、商品、供应链3个二级部门）
- 业务流程：商品上架→库存同步→订单履约→售后处理
- 岗位角色：运营专员、运营主管、商品编辑、仓管员、客服专员
- 权限对象：CMS商品模块、OMS订单模块、WMS库存模块

步骤二：设计调研方法与采集计划

采用三方交叉验证策略提升数据可信度：

• 文档审查：收集现有SOP、岗位说明书、权限申请记录、系统日志。
• 问卷调研：向岗位角色发放权限匹配度自评问卷（1-5分制），回收率需≥85%。
• 焦点访谈：每个部门选取1名业务骨干+1名管理者进行半结构化访谈，时长45分钟/场。
• 系统快照：在IAM/ERP中导出当前权限分配清单，标记最后变更时间与审批人。

步骤三：执行数据采集与清洗

按计划启动采集，同步建立数据质量日志记录异常值、空值、重复记录。对采集结果执行去重、格式统一、关联字段补全。

# 数据清洗规则示例（Python伪代码）
清洗规则：
1. 权限对象编码统一为：{系统代码}_{模块}_{操作类型}
2. 去除岗位角色名称中的空格、全角字符
3. 时间戳统一转为ISO 8601格式
4. 标记“长期未使用 >180天”的权限为待确认

步骤四：识别现有权限映射问题

对照业务活动—权限矩阵进行逐项比对，按以下分类标识问题：

步骤五：建立基线文档

将经过清洗和问题标注的数据填入基线模板，形成V1.0版本。基线文档需包含：

• 权限映射全景图（组织-流程-角色-权限四维视图）
• 问题清单及影响评估
• 数据采集元数据（时间范围、样本量、数据源）
• 已知限制与未覆盖区域

1.4 输入输出物

1.5 责任边界

1.6 记录材料

• 访谈录音与速记稿：按“日期_部门_受访人”命名，存储于项目共享盘。
• 问卷原始答卷与统计报告：保留每份答卷的填答时间、IP、设备信息用于可信度校验。
• 权限导出原始快照：压缩打包并计算MD5校验值，防止后续被篡改。
• 基线文档签批单：纸质或电子签批，包含业务Owner、IT代表、合规代表的签字/盖章。
• 数据清洗操作日志：记录每条数据的清洗前内容、清洗规则、清洗后内容、操作人、时间戳。

1.7 异常处理

1.8 验收标准

1. 完整性：基线文档覆盖调研范围内所有组织单元、流程节点、岗位角色及权限对象，无遗漏。
2. 准确性：随机抽取10%的映射关系进行人工复核，准确率≥98%。
3. 可追溯性：每条权限映射记录均能追溯到原始数据来源（系统导出批次/问卷ID/访谈记录编号）。
4. 问题可量化：问题清单中每个问题均标注严重等级、影响范围、发现方式，并按优先级排序。
5. 签批闭环：基线文档获得业务Owner、IT安全代表、合规审计三方的正式签批，无遗留待决事项。