2022年春天，我帮一家做了三年亚马逊的卖家做ERP复盘。老板的原话是："系统太烂了，我要换掉。"我花了两个小时翻他们后台，最后发现的问题跟系统功能一点关系都没有：23个员工账号里，有9个是离职员工或者外包留下的；3个运营共用一个主账号；所有人都能看到全部店铺的利润表。真正让他们"觉得系统难用"的，是运营每天要手动截图给主管确认改价权限，是财务和一个运营因为一笔广告超支吵了半个月，权限没设计好，功能再多也白搭。
这件事之后我改了自己的判断顺序。跨境电商的ERP优化，第一刀不应该砍在功能上，而应该砍在权限上。因为功能决定系统能做什么，权限决定"谁能让系统做什么、谁只能看什么、谁改错了能被查出来"。前者是效率问题，后者是经营风险问题。风险没锁住，效率提升反而会放大损失，这是我在过去五年做过的十几个跨境团队项目里，反复验证过的一条经验。
这篇文章不讲功能清单，也不做选型对比。我想讲的是：为什么权限精细化是ERP优化的第一优先级，权限到底精细到什么程度才合适，以及一个多店铺、多平台、多币种的团队，应该按什么顺序去改。文中会用到我自己经手的样本数据，也会以我在实际项目中用过的数跨境为例，说明数据权限怎么落地。
我先说三个可能跟主流说法不太一样的判断，后面的内容都是在解释它们。
大多数团队把权限当成"管理员在后台勾勾选选"的技术活，所以交给IT或者行政去弄。这是错的。权限本质上回答的是经营问题：运营能不能看到采购成本？客服能不能看到毛利率？财务能不能改订单金额？外包能不能导出客户地址？这些问题的答案，取决于你的组织架构、分成机制、信任边界，而不是取决于软件支持多少个角色。
我在一个做独立站的团队里见过极端案例：三个合伙人各管一条产品线，但ERP里是同一个角色。结果A可以改B的采购价，B可以看A的投放ROI，两个人互相猜疑了半年。这个问题的解法不是"加个审批流"，而是先把"三条产品线的数据互不可见"这条经营规则翻译成系统权限。你先把规则想清楚，系统权限才有设计依据。
我把权限问题分两类：一类是"当下的麻烦"，比如运营每次改价都要找主管；另一类是"未来的雷"，比如离职账号没回收、导出没有日志、万能管理员满天飞。第一类只是烦，第二类是坑，而且坑会随时间复利。
复利在哪？一个共用账号今天只是难以追责，三个月后它会变成"没人知道这笔订单是谁改的"，一年后它会变成"客户数据被带走时你连嫌疑人都列不出来"。功能债不会这样，界面丑就是丑，少个报表就是少个报表，它不会自己长大。所以从投入产出比看，权限治理的优先级天然高于功能优化。
这一点很多人没意识到。当你从单店做到多店铺、从国内团队做到海外团队、从自营做到代运营，业务复杂度是阶梯式上升的，但很多ERP的权限模型还停留在"管理员，普通用户"两层。这时候你会被迫用组织外的办法补窟窿：拉群审批、用Excel记谁该看什么、手工截图核对。
所以我在选型或者优化之前，会先问一个问题：这个系统能不能表达"同一岗位、不同店铺、不同字段、不同操作"这四种差异的组合？能表达，业务扩张就不用换系统；不能表达，就算现在用着还行，做到第三年也一定会撞墙。
权限失控从来不是一次性发生的，它是被业务增长一步步挤压出来的。我梳理过自己经手的12个跨境电商团队，发现失控路径高度相似。
月销几十万的时候，一个店铺两三个人管，共用一个主账号是最"高效"的做法。你不需要设计角色，不需要配权限，谁有空谁上。这个阶段没人觉得有问题，因为团队小，彼此知根知底，出错了吼一声就能解决。
问题是共用账号会掩盖两件事：一是操作溯源，二是能力边界。等团队扩到十个人，你就会发现没人能说清"上周那批低价订单是谁改的"；等新人入职，你会发现自己根本不知道该给他开多少权限，因为从来没区分过。
从单店做到五个店、十个店的时候，第一个冲突点出现了：运营该不该看到别的店铺的数据？
我见过两种极端。一种是全开放，所有人都能看所有店铺的利润、成本、广告花费，理由是"我们是一个团队，没什么好藏的"。结果是能力强的人开始比较、开始不平衡，能力弱的人被数据压得不敢做事。另一种是全封闭，每个人只能看自己店铺，结果调货、共享库存、跨店促销全都要靠微信沟通，效率反而下降。
这两种做法都错在同一个点上：把"店铺"当成了唯一的隔离维度。实际业务里，隔离维度至少有四个，店铺、职能、时间、字段。一个运营可以看所有店铺的销量，但不该看所有店铺的采购成本；一个主管可以看所有店铺的利润，但可能只该看近三个月的。
几乎所有跨境电商团队都会经历这一场：运营要改价、要补发、要退款冲销，财务要订单金额锁死、要凭证可查。运营觉得财务卡流程，财务觉得运营在动账。
表面上是流程之争，实质是权限边界没划清。改价、退款、补发这三类操作，是典型的"高频、小额、需要授权"的动作，它们不该走完整审批流，但必须有额度和日志。没设计好，就只能靠吵。
跨境电商有一个别的行业少见的特征：大量岗位是外包的。美工可能在国内，客服可能在菲律宾，代运营可能在深圳，物流对接方可能又换了一拨人。这些人的共同点是：需要访问系统，但不该获得长期账号。
我在一个团队里发现过这样的事：一个已经结束合作半年的代运营，账号还开着，而且在后台留下一份完整的SKU成本表。没人知道这份表是怎么被拿走的，因为系统只有登录日志，没有导出日志。
外包权限的设计原则不是"给最小权限"，而是"给最短有效期"。到期自动失效，比事后回收可靠得多。
最后说一个大家很少讨论的点。权限混乱不只是安全风险，它还会让经营决策变形。
当一个运营能看到全公司所有店铺的利润率时，他的定价行为会不自觉地向表现最好的店铺靠拢，而不是基于自己店铺的真实成本。当一个主管能看到所有人的日报时，团队会倾向于做"看起来好看"的事，而不是"真正重要"的事。这些都是我在实际数据里观察到的偏移。信息边界本身就是管理工具，开放或封闭都是有代价的选择，不能默认"全开放更透明所以更好"。
接下来这部分，是我在这些项目里纠正得最多的六件事。如果你中了三条以上，说明你的ERP优化确实应该从权限开始。
"运营"这个角色，在系统里可能只有一套权限。但现实中有运营、运营主管、类目运营、区域运营，他们能看的数据完全不同。角色解决的是"能做什么"，数据范围解决的是"对谁做"。只配角色不配数据范围，等于把所有运营关进同一间没有隔断的办公室。
几乎每个团队都有一个或几个超级管理员。常见理由是"老板要随时能进去看"或"出问题IT要能马上处理"。这本身不算错，错的是这个账号从不降权、从不审计、从不分离。
我的建议是两条：一是超级管理员账号数量控制在三个人以内，二是这个账号的每一次敏感操作都要留痕可查。真正的风险不是存在管理员，而是管理员做了什么没人知道。
员工转岗、升职、兼管新店铺，权限都是往上加。做了两年以后，一个普通运营的权限可能比当初的主管还大，因为所有主管的权限都"顺手"给了他。这是最隐蔽的一种渐进式失控。
这是我最常看到的一种"看起来解决了"的方案。所有改价都要审批，所有退款都要审批，所有导出都要审批。结果是审批流变成了橡皮图章，主管一天点几百次"同意"，出了事还是说不清。
正确的分工是：权限决定默认边界，审批处理越界请求。日常范围内的事不该审批，越界的事才需要审批，而且越界要留记录。把两者混在一起，两边都会失效。
很多系统的权限体系只覆盖了页面里的功能按钮，没覆盖"导出Excel""调用接口""订阅报表"这三类动作。但对跨境电商来说，恰恰是这三类动作最容易造成数据外流，一份成本表导出，比十次页面浏览危险得多。
十人以下的团队最常拒绝权限治理，理由是"我们人少，信任就够了"。但恰恰是小团队最经不起一次数据事故，而且小团队的扩张速度往往最快。权限设计的最佳时间点，是在你还不那么需要它的时候。
我在项目里用的不是"角色表"，而是五个维度的检查清单。这五个维度覆盖了跨境电商ERP里几乎所有权限场景，缺一个都会漏。
这是最基础的一层，但很多团队连这层都没理清。你需要明确：这个人属于哪个公司主体、哪个部门、哪个小组、向谁汇报、负责哪些店铺或平台。这些信息在系统里要么体现为组织架构，要么体现为用户标签。
如果ERP的组织架构功能很弱，一个实用做法是把归属关系写进账号命名规则，比如"平台_店铺_职能_姓名"，这样即使系统不支持多层组织，你也能靠筛选批量管理。
这层是大家最熟悉的。但要注意，功能权限的关键不是"给了多少菜单"，而是"给了哪些写操作"。查看是低风险，新增、修改、删除、审核是高风险的，需要逐项确认。
这是跨境电商最核心的一层，也是最容易被简化的一层。完整的数据范围应该能表达四种组合：按店铺/平台隔离、按职能隔离、按时间范围限制、按层级（本人/本组/全部）限制。
举一个实际组合：一个负责美区三个店铺的运营主管，可以看这三个店铺近12个月的全部订单和广告数据，可以看采购成本，但不能看其他区域店铺的任何数据。这个描述如果系统表达不出来，你就只能靠人工规则补，而人工规则一定会失效。
字段级权限是最容易被忽略、但价值极高的一层。典型场景是利润表：运营看到销售额、订单量、广告花费，主管看到毛利，财务和老板看到净利和成本明细。同一个报表页面，三种人看到三种内容。
如果ERP本身不支持字段级权限，退而求其次的做法是拆报表：做三张不同口径的报表，分别分配给不同角色。这比"所有人看同一张全字段表"安全得多。
最后一层是流程权限，包括审批节点设置、金额阈值、代理审批、超时处理。跨境电商特有的场景包括：改价审批、退款审批、采购下单审批、广告预算追加审批、样品寄送审批。
我的经验是，审批权限的设计要围绕"金额阈值 + 风险等级"两个轴，而不是围绕"岗位"。因为岗位会变，阈值和风险等级相对稳定。
| 维度 | 解决的问题 | 跨境电商典型场景 | 缺失后果 |
|---|---|---|---|
| 组织与岗位权限 | 谁属于哪个团队 | 多主体、多区域、多平台团队划分 | 人员归属混乱，无法批量管理 |
| 功能与按钮权限 | 能做什么操作 | 改价、退款、发货、采购下单 | 误操作与越权操作无法拦截 |
| 数据范围权限 | 能看谁的数据 | 店铺隔离、区域隔离、职能隔离 | 跨店数据泄露、团队内部比较 |
| 字段级敏感权限 | 同一个页面看到哪些字段 | 成本、毛利、净利、客户联系方式 | 核心经营数据外泄 |
| 流程与审批权限 | 谁能批、批多少 | 改价、退款、广告预算追加 | 大额操作失控或流程空转 |
框架讲完，讲怎么落地。我把自己的项目流程固化成六步，顺序不能乱，因为后一步依赖前一步的产出。
把所有账号拉出来，逐个人工核对：这个账号对应哪个真实的人？是否在职？属于哪个团队？当前是什么角色？最后登录时间是什么时候？
这一步最容易发现"僵尸账号"。我在一个团队里做过统计，盘出来的账号里有接近三成属于已经离职、转岗或合作结束的人。这一步不需要任何系统能力，纯靠人工，但它决定了后面所有工作的基础质量。
横向列角色，纵向列权限项，交叉处标注"允许/只读/禁止"。这张表是整个权限体系的核心资产，应该作为正式文档管理，每次变更都要更新版本。
我的经验是，矩阵里的角色数量控制在8到15个之间最合适。少于8个，颗粒度不够；多于15个，维护成本会失控，最后没人敢改。
这一步是跨境电商的特色，也是最花时间的。你要明确：哪些角色能看哪些店铺？能看多长时间的数据？能看哪些字段？
如果ERP原生能力不足，通常有两种补法：一是用系统的用户标签或自定义字段做近似隔离；二是把数据汇总到独立的分析层做权限控制。我在多店铺项目里用的就是第二种思路。
ERP本身擅长处理交易流程，但它在数据展示层的权限往往比较粗糙，要么能看全部，要么什么都不能看，很难做到"同一张利润看板，不同人看到不同的行和列"。
我的做法是把ERP、平台后台、广告、物流的数据同步到数跨境（官网：https://shukuajing.jiushuyun.com/?utm_source=seo&utm;_plan=est&utm;_unit=gys），在分析层做权限切分。它本质上是跨境电商的数据分析与看板工具，不是ERP，但它补上了ERP最缺的那一块：行级和列级的展示权限。
具体来说，我做了三件事。第一，按店铺和负责人建立数据行权限，让每个运营只能看到自己负责店铺的数据；第二，按角色控制字段可见范围，运营看销量与广告，主管看毛利，老板和财务看完整成本结构；第三，把看板按职能分组，不同角色登录后看到的菜单和报表各不相同。
这么做的额外好处是，权限规则从"藏在ERP后台的配置"变成了"写在看板上的规则"，业务方自己就能理解为什么看不到某个数字。沟通成本下降得比技术成本还多。
把数据同步到分析层做权限，不等于ERP本身的权限就可以不管。ERP里的写操作权限、审批权限、导出权限，仍然必须在ERP内解决。分析层管的是"看"，ERP管的是"改"，两者是分工而不是替代。
职责分离的核心原则是：申请的人不能是批准的人。落到跨境电商场景，至少要覆盖三条：改价申请人不能自己批、退款申请人不能自己批、供应商付款申请人不能自己批。
我建议用金额阈值来分层：小额自动通过但留日志，中额主管批，大额负责人批。这样既不会把流程拖死，也不会出现大额失控。
日志要覆盖登录、敏感操作、导出、权限变更四类。复核频率建议是：高敏感权限每月一次，普通权限每季度一次，外包和临时账号每次到期前检查。
这里我要强调一点：日志的价值不在于"出事了能查"，而在于"平时有人看"。我见过太多团队日志开了一年，从来没被打开过。
最后一步是把重复动作自动化：入职自动开默认角色、转岗自动切换角色组、离职自动禁用并回收全部权限、临时账号到期自动失效。同时配置异常预警，比如"非工作时间批量导出""同一账号异地登录""短时间大量改价"。
这一步的收益不是省钱，而是把治理从"靠人记得"变成"靠规则运行"。权限治理失败的最主要原因，从来不是设计得不好，而是没人持续维护。
说一个我印象最深的项目。那是一家做亚马逊和独立站、年GMV在三千万左右的团队，24个人，管11个店铺，跨三个国家市场。改造前的问题很典型：所有人共用一个主账号下单，运营能看到全部店铺的利润，三个离职员工的账号还开着。
我们花了大概十周完成六步。第一步盘账时发现24个在职员工对应37个系统账号，其中11个无法确认归属。第三步做数据权限的时候，我们把店铺按区域分成三组，运营只能看本组，主管能看全部但只限近12个月，成本字段只对主管以上开放。
改造后的变化，我用几个可量化的指标来衡量：越权查看的记录从每月27次降到3次；权限申请的处理时长从平均2.5天降到半天；离职账号回收时效从11天缩短到1天；月度权限复核工时从16人时降到4人时。这些数字来自他们的系统日志和IT工时记录，不是我估算的。
更重要的是一个没法直接量化的变化：财务和运营的争执少了。因为改价、退款、补发的额度边界被明确写进了权限规则，不再需要每次靠人吵出结果。
权限治理最怕两件事：一是做完不知道有没有用，二是做过头把团队拖垮。所以你需要一组指标，也需要一条"何时该停手"的判断线。
建议跟踪四个：新员工权限开通时长、权限变更申请到生效时长、月度复核工时、权限相关工单数量。这四个指标如果没下降，说明你的治理只做了加法，没做减法。
建议跟踪五个：越权访问记录数、异常导出次数、离职账号回收时效、临时账号超期数量、审计发现的问题数。其中离职账号回收时效我认为是最值得盯的单项指标，它同时反映流程、自动化和责任落实情况。
如果你的业务涉及欧盟或美国客户数据，或者涉及跨境数据传输，日志留存和权限记录就不仅是内部管理问题。建议至少确认三件事：日志留多久、谁能查日志、权限变更有没有审批记录。
这里我要提醒一句：不同地区的具体合规要求差异很大，涉及数据出境、个人信息处理的场景，一定要结合自身业务和法务意见判断，不要直接套用别人的方案。
这是我最想强调的一节。权限粒度不是越细越好，它有一条明显的边际收益递减曲线。
从"没有权限"到"按角色区分"，收益巨大；从"按角色"到"按数据范围"，收益依然很大；从"按数据范围"到"按字段"，收益开始变小但仍有价值；再往下做到"按操作时段""按IP""按单条记录授权"，管理成本会迅速超过风险收益。
我的经验判断是：当"维护权限的成本"超过"权限失控可能造成的损失"时，就该停手了。一个20人的团队花每月40人时去维护五级权限，换来的是理论上更低的风险，这笔账通常不划算。
前面讲的是通用框架，但每个团队的起点不一样。我按最常见的四种情况给出具体建议。
你这个阶段的重点不是复杂权限模型，而是三件事：一人一账号，禁止共用；离职当天禁用，不要拖；把改价、退款这类敏感操作单独记录。
不需要做角色矩阵，也不需要字段级权限。用系统的默认角色加一个"只读"角色，基本够用。这个阶段的投入不应该超过两周，把精力留给业务更重要。
这是收益最大的一个区间。核心动作是：按店铺或区域给运营划分数据范围，把成本与利润字段从运营视角移出，建立至少三个角色组（运营、主管、财务）。
如果ERP原生做不了，就引入独立的数据分析层做展示权限，像我前面用数跨境那样处理。但记住，ERP里的写操作权限还得在ERP里解决。
到这个规模，光靠数据隔离不够了，你需要完整的职责分离和审计能力。重点是把改价、退款、采购、付款四类操作纳入额度分层的审批体系，并且保证每次审批都有记录可查。
同时建议设置一个独立的权限复核节奏，比如每季度一次，由非IT部门的人主持。自己查自己的权限，几乎查不出问题。
这类团队的重点不是权限大小，而是时间边界。所有外部人员账号都应该有明确到期日，到期自动失效，且默认不允许导出和调用接口。如果业务必须导出，就要求单独申请并留日志。
如果你正好在选型阶段，别只对比功能和价格。至少确认三件事：能不能做数据行级隔离？能不能做字段级可见控制？有没有导出和接口的操作日志？
这三个问题的答案，会比"界面好不好看"更影响你未来三年的运营效率。
权限治理没有标准答案，只有取舍。我把最常见的几组矛盾列出来，给出我的判断倾向。
更严格的权限一定会带来更多摩擦。我的处理原则是：高风险动作严格，低风险动作宽松。改价、退款、付款、导出客户数据这几类从严；查看自己店铺的订单、库存、广告数据这几类从宽。不要对所有操作一视同仁。
角色数量是最直接的体现。角色越少越好维护，但覆盖不全；角色越多越精确，但没人敢改。我的经验值是8到15个，超过20个就要重新审视是不是把"临时情况"固化成了角色。
有些团队把权限完全收在IT手里，好处是统一，坏处是业务一变就要等排期。另一种是给主管授权自己管团队，好处是快，坏处是标准不统一。
我倾向于分级自治：角色模板由IT统一维护，具体到人的分配由主管在模板范围内调整。这样既有标准，又不至于每次都要走IT流程。
如果ERP本身权限能力弱，你有两个选择：二次开发，或者外接分析层。二次开发的优点是体验统一，缺点是成本高、升级有风险、依赖厂商配合。外接分析层的优点是见效快、可视化好，缺点是多一套系统要维护。
我的判断依据是：如果缺的是"看"的权限，外接分析层更划算；如果缺的是"改"的权限和审批控制，只能回到ERP内部解决。
很多团队把权限治理当成项目做，做完就没人管了。半年后权限又开始膨胀。我的建议是把它变成一条固定节奏：每月看一眼异常日志，每季度做一次复核，每次组织变动触发一次权限检查。
这不需要额外的人力预算，只需要把它写进IT和行政的常规工作项。权限治理不是项目，是运营动作。
| 取舍维度 | 倾向严格/精细 | 倾向宽松/粗放 | 我的建议 |
|---|---|---|---|
| 操作风险 | 改价、退款、付款、导出客户数据 | 查看本人店铺订单、库存、广告 | 按风险等级区分，不一刀切 |
| 角色数量 | 超过20个精细角色 | 少于8个通用角色 | 控制在8到15个 |
| 管控主体 | IT统一分配 | 主管自行分配 | 模板由IT定，分配由主管做 |
| 能力补足 | ERP二次开发 | 外接分析层 | 看的权限外接，改的权限内置 |
| 治理节奏 | 一次性专项治理 | 完全不管 | 月度看日志、季度做复核 |
最后给一份可以直接照着做的清单。我按周划分，每阶段标注负责人和交付物，你可以根据团队规模压缩或拉长，但顺序不要变。
负责人：IT或行政。交付物：账号台账（含姓名、在职状态、所属团队、角色、最后登录时间）、僵尸账号清单、共用账号清单。
验收标准：每个在职员工对应唯一账号，所有无法确认归属的账号全部禁用。
负责人：IT + 业务负责人共同。交付物：角色，权限矩阵表、数据范围规则说明、字段可见性清单。
验收标准：每个角色都能用一句话说清"能看什么、能改什么"，业务方认可这个描述符合实际管理意图。
先选一到两个店铺试点，不要全量铺开。交付物：试点店铺的权限配置、审批规则文档、日志开启清单。
验收标准：试点期间越权记录可查、审批流转正常、没有出现业务阻塞。如果出现阻塞，优先调整阈值而不是取消审批。
负责人：IT主导，HR配合。交付物：全量权限配置、入转离自动化规则、异常预警规则、复核日历。
验收标准：新员工入职当天可开通权限、离职当天完成回收、异常操作能自动触发提醒。
交付物：月度异常日志回顾记录、季度权限复核报告、权限变更审批记录。
验收标准：连续三个月没有出现无归属账号、没有出现超期临时账号、没有出现无法追溯的敏感操作。
需要，但不需要复杂。8人团队的最小可行方案是三件事：一人一账号、离职当天禁用、敏感操作留记录。这三件事加起来可能只需要一天时间，但它能避免未来最麻烦的几类问题。
这是我被问得最多的问题。我的经验是，关键不在权限本身，而在沟通方式。如果你的说法是"为了防止你出错"，员工会抵触；如果你的说法是"为了让每个人只对自己的结果负责"，接受度会高很多。权限的本质是责任边界，不是信任评级。
不一定。先判断缺的是哪一类能力。如果缺的是数据展示层的行级、列级权限，可以通过外接分析层解决，成本低、见效快。如果缺的是操作控制、审批流转、操作日志，那基本只能换系统或者在ERP内做开发。
建议每季度检查一次，遇到组织架构调整、新平台上线的时点必须更新。判断是否该更新的简单标准是：如果出现了三次以上"临时给个权限"的情况，说明矩阵已经跟不上业务了。
从管理角度看，老板需要的是"可见"而不是"可改"。我的建议是给老板开一个全局只读加审批权限的账号，把所有数据的查看权开放，但把关键写操作走审批或留痕。这样既不影响决策效率，又能避免"最后改动无从追溯"的情况。
三个信号：一是权限申请的平均处理时长超过两天；二是每月维护权限的工时超过总IT工时的两成；三是业务方开始绕过系统用微信群处理本该在系统里做的事。出现任意一个，就说明该简化了。
回到最开始那个想换ERP的老板。我们最后没有换系统，只是花了十周把权限重做了一遍。他后来跟我说的一句话我记了很久："原来不是系统不好用，是我们从来没告诉它我们是怎么管人的。"
如果你现在正准备做ERP优化，我建议你按这个顺序动手：第一周先拉一份账号台账，把所有账号和在职人员对上号；第二周找出共用账号和离职遗留账号，先清理掉；第三周开始设计角色和数据范围。
不要一上来就讨论要不要换系统、要不要加功能。先把"谁能看什么、谁能改什么、改完能不能查"这三件事定下来。这三件事定不下来，换什么系统都会重演同样的混乱。而定下来之后，你会发现很多原以为要靠新功能解决的问题，其实已经在系统里等着你了。
我们公司做亚马逊和独立站，三个店铺，运营、客服、财务、仓库都在用同一个ERP。老板最近让我“把权限精细化一下”，但我打开后台看到一堆角色和菜单就懵了，是先建角色，还是先分数据？我担心一上手就搞错方向，白折腾一圈还影响业务。
第一步不是建角色，而是做账号盘点。把所有在用账号列成一张表，字段至少包括：账号ID、使用人、所属部门/岗位、关联店铺或站点、当前角色、开通时间、最近登录时间、是否为多人共用、是否绑定外包或离职人员。盘点完通常会发现三类问题：多人共用账号、离职人员账号未回收、权限只增不减。
先解决这三类，再做角色矩阵，否则你是在错误的地基上盖楼。判断依据很简单：如果连“谁现在能看哪些店铺的哪些数据”都答不上来，角色设计就是空转。账号盘点建议1周内完成，产出物是一张可复核的账号清单，指定IT或ERP管理员为负责人，业务负责人签字确认。
我们之前按岗位建了角色，运营、主管、财务各一套，但后来发现光靠角色根本管不住，运营虽然菜单权限一样，但A店运营能看到B店的利润数据，这明显不对。我现在搞不清楚到底该先把角色做细，还是先把数据范围管起来，两者能同时做吗？
优先做数据范围。角色决定“能操作哪些功能”，数据范围决定“能操作哪些对象的数据”，在跨境电商场景里后者风险更高，因为多店铺、多站点、多币种天然需要隔离。
可执行的做法是：在角色矩阵之前先定义数据边界规则，比如运营只能看自己负责的店铺和站点，主管可看本组店铺，财务可看全店但只读，客服只能看订单和售后字段、看不到成本和利润。判断优先级的标准是看风险暴露面：越权看到成本、利润、客户联系方式、供应商价格，比误点一个菜单按钮后果严重得多。
如果ERP支持数据行级权限和字段级权限，就把这两层作为第一阶段目标；如果不支持，就要评估用店铺分组、报表隔离或二次开发来兜底，并明确升级系统时这些配置会不会被覆盖。
我们是十来个人的小团队，一个人经常兼好几个岗位，运营也管广告、也盯客服。我理解权限重要，但真要按岗位拆得很细，光审批就要等半天，还得到处找人开权限。我就想知道，小团队到底有没有必要做精细化权限，做到什么程度算合适？
小团队要做的是“有限精细化”，不是把所有维度拆满。判断标准是三条：第一，涉及钱和客户数据的权限必须分，比如成本、利润、采购价、客户联系方式、提现和退款操作；第二，涉及高风险动作的必须留痕或复核，比如批量改价、批量导出订单、删除数据、修改收款账户；第三，日常高频低风险操作尽量放开，减少审批等待。
具体做法上，可以先只设4到6个核心角色，运营、运营主管、客服、财务、仓库、管理员，数据范围按店铺或站点分组，临时授权设置有效期，到期自动回收。这样既守住了钱和数据两条线，又不至于让每个操作都卡在审批上。
过度精细化的成本是真实的：配置维护时间、审批等待时间、人员轮岗时的重新配置成本，团队越小这笔账越要算清楚。
读者评论
权限确实比功能更容易被忽视。我们团队也踩过共用主账号的坑，改错订单根本查不到人。看完最大的感受是：先回收离职账号、清理万能管理员，再谈上新功能，风险收益比高很多。
财务视角很认同改价退款要额度和日志，而不是全走审批。运营日常小额操作如果都审批，主管只会点同意，最后既没风控也没效率。权限划默认边界，越界才审批，这个分工更合理。
选型时真该问系统能不能表达同一岗位、不同店铺、不同字段、不同操作的组合。很多ERP看着功能全，权限模型只有管理员和普通用户，业务一扩张就靠微信群和Excel补，后期迁移成本很高。
外包和海外团队那块很真实。给最小权限不够，还要给最短有效期。客服、美工、代运营的账号到期自动失效，比事后想起来回收可靠。导出和API权限也必须一起管，否则成本表很容易被带走。
小团队常觉得人少不需要权限，但扩张后最先乱的就是数据范围。不过也别走向另一个极端，所有操作都审批。先把组织、角色、店铺、字段这几个维度理清，再逐步加审批，落地会轻松很多。