## 3. 权限对象识别：角色、用户组、岗位、组织单元
### 适用场景
在企业权限体系设计或流程SOP建模过程中，您需要明确“哪些实体可以拥有权限”以及“这些实体之间如何层级嵌套”。本章适用于以下典型场景：
- 新系统上线时，需要从零构建权限模型
- 已有权限体系混乱，权限与职责不对应，需要重构
- 跨部门协作流程中，需要按组织层级或岗位分配操作权限
- 引入RBAC（基于角色的访问控制）或ABAC（基于属性的访问控制）时，识别并定义权限对象
- 定期权限审计和清理，识别冗余或无效的权限关联
### 前置条件
- 已收集并梳理清晰的业务流程清单
- 已定义业务流程中的操作节点和功能模块
- 组织架构图已更新至最新版本，包含部门、岗位编制
- 已完成岗位职责说明书（岗位JD）的整理或修订
- 用户管理模块（HR系统或IT账号管理系统）可提供员工信息
### 操作步骤
#### 步骤1：梳理组织单元（OU）层级
从组织架构图出发，列出所有部门、处室、项目组等组织单元，按树形结构记录其上下级关系。
示例：
| 层级 | 组织单元名称 | 上级组织单元 |
|------|--------------|--------------|
| 1 | 集团总部 | 无 |
| 2 | 财务部 | 集团总部 |
| 3 | 应付组 | 财务部 |
| 2 | 采购部 | 集团总部 |
#### 步骤2：定义岗位（Position）
根据岗位JD，为每个岗位分配一个唯一的岗位标识。
记录每个岗位所属的组织单元。
**关键映射**：一个岗位只属于一个组织单元，但一个组织单元可以有多个岗位。
示例：
| 岗位名称 | 岗位编码 | 所属组织单元 |
|----------|----------|--------------|
| 应付会计 | ACCT-AP | 应付组 |
| 采购员 | PUR-001 | 采购部 |
#### 步骤3：建立用户组（User Group）
用户组是一组用户的聚合，用于批量授予公共权限，如“全公司员工”“财务部所有人”等。
建议将用户组与组织单元或岗位做关联，减少后期维护量。
示例：
| 用户组名称 | 关联策略 | 说明 |
|----------------|--------------------------|----------------------------|
| FIN_ALL | 自动同步财务部所有员工 | 财务部通用操作权限 |
| FIN_AP | 自动同步应付组所有员工 | 应付业务流程专属权限 |
#### 步骤4：定义角色（Role）
角色是权限的集合，代表一组可执行的操作（如“审核付款”“创建采购订单”）。
角色不需要与用户直接关联，而是与岗位或用户组关联，用户通过归属关系获得角色。
示例：
| 角色名称 | 包含权限列表 | 建议关联对象 |
|---------------|----------------------------------|--------------------|
| 付款审核员 | 查看付款单、审核付款（额度≤5万）| 岗位：应付会计 |
| 采购订单创建员| 创建采购订单、查询供应商 | 用户组：PUR_ALL |
#### 步骤5：映射关系建模
将上述四类对象按下图关系进行连接，形成完整的权限对象图谱。
最佳实践：优先将角色授予岗位而非用户组或具体用户。因为岗位相对稳定，人员流动时只需更新用户与岗位的挂接关系，无需修改权限配置。用户组适合授予不需要岗位区分的公共权限（如企业门户浏览权限）。
### 输入输出物
| 物项名称 | 输入/输出 | 说明 | 典型格式 |
|----------|-----------|------|----------|
| 组织架构清单 | 输入 | 含部门编码、部门名称、上级部门、所属公司 | Excel / CSV |
| 岗位目录 | 输出 | 含岗位编码、岗位名称、编制数、所属组织 | Excel / CSV |
| 用户组清单 | 输出 | 含用户组名称、包含规则、创建日期 | Excel / 数据库表 |
| 角色定义表 | 输出 | 含角色名称、权限列表、生效范围、备注 | Word / Excel |
| 权限对象关联矩阵 | 输出 | 四类对象之间的映射关系表 | Excel / 数据库关系图 |
### 责任边界
- **业务部门负责人**：确认组织单元、岗位与用户的真实对应关系；签字确认角色权限范围。
- **IT/权限管理员**：负责在系统中创建用户组、角色；维护关联关系；提供技术支持。
- **流程架构师/SOP编写者**：负责将业务流程中的操作节点映射到角色；交付权限对象识别清单。
- **HR部门**：提供准确的组织架构与岗位编制信息，确保用户与岗位挂接及时更新。
- **内审/合规部门**：审核角色权限分配是否遵循职责分离（SoD）原则；定期抽查权限对象的一致性。
### 记录材料
- 权限对象识别会议纪要（含参会人员、确认结论）
- 组织单元、岗位、用户组、角色四类对象的定义文档（版本号，修改日期）
- 权限对象关联矩阵表（含手工调整记录）
- 每个对象的审批记录（部门负责人签字或电子审批截图）
- 权限识别问题跟踪清单，记录待解决事项与责任人
### 异常处理
| 异常场景 | 处理步骤 | 责任人 |
|----------|----------|--------|
| 组织架构频繁变动 | 与HR约定定期批量同步机制，避免手动逐个调整 | IT管理员 |
| 用户同时属于多个用户组导致权限冲突 | 临时启用权限冲突检测工具，生成冲突报告并按最小权限原则调整 | 权限管理员 |
| 岗位信息缺失或滞后 | 发起岗位信息核查流程，协调HR限期补充 | 流程架构师 |
| 角色名称重复或定义不一致 | 统一权限对象命名规范，使用编码+说明方式，避免歧义 | 流程架构师 |
| 部门负责人无法确认角色授权范围 | 提供流程操作清单，辅助负责人逐项勾选确认，并保留审批记录 | SOP编写者 |
### 验收标准
1. 组织单元清单与最新组织架构一致，无重复或遗漏部门。
2. 每个岗位都有唯一编码，且与所属组织单元正确关联。
3. 用户组定义明确、包含规则可复现（自动同步或手动名单并存）。
4. 角色权限描述清晰，无“其他权限”“所有权限”等模糊表述。
5. 权限对象关联矩阵完整覆盖所有已识别的流程节点，不含未定义的权限对象。
6. 所有对象记录均通过至少一次审批，审批记录可追溯。
7. 随机抽取3~5个用户，能准确找到其通过岗位/用户组获取的角色及对应权限。
8. 权限对象识别文档已归档至统一知识库，版本控制与变更日志完整。