一、权限架构先搭三层：角色、权限、数据范围各管各的
权限设计的标准做法是三层结构：角色层定义什么人，权限层定义能做什么，数据范围层定义能看哪些数据。三层分开管，才不会出现给了退款权限就等于能看全部财务数据这种连锁风险。很多景区权限混乱，根源就是把三层揉在一起配，改一个就牵一发动全身。
角色和账号分离是基本要求：员工变动时只调整账号和角色的绑定关系，不用重建账号；一人多岗就挂多个角色，权限取并集。账号必须实名，一个账号一个人用，账号共用是权限管理的大忌，出了事连是谁操作的都查不清，审计时更是说不清楚。
数据范围按景区、门店、渠道、票种维度划分：分景区售票员只能看本景区的订单和报表，不能看到集团其他景区的数据；渠道运营只能看自己负责渠道的销售情况。数据范围控制不住，权限再小也可能泄露关键经营数据，这个层级最容易被忽略，也最值得先配，先把数据范围这一层立起来。
二、常见角色怎么设计：售票、检票、财务、运营、管理员
常见的角色分五类。售票员：负责窗口和线上订单处理，能售票、查单、处理常规问题，不能退款改价；检票员：只负责闸机验票和现场核销，能看到验票结果但看不到财务数据；财务：负责对账、退款审核、报表导出，不碰现场售票操作。团队票窗口、旅行社对接这类专职岗位可以单独建角色，权限范围比通用售票员更窄。
运营人员：配置票种、活动、渠道价格，查看客流和销售分析数据，但退款和资金操作要单独授权；系统管理员：管账号、角色、权限和系统参数，日常业务操作尽量不参与。多景区集团还可以设集团运营、分景区运营两级角色，数据范围天然隔离，权限审批权收在集团端。
每个角色的权限要够用就好：售票员不需要的按钮，就不要出现在他的界面上。权限给得多不是信任的体现，而是风险的累积，最小化授权是行业里一致认同的做法。角色清单每半年过一遍，岗位变了、系统功能加了，角色定义也要跟着更新，别让旧角色顶着新权限继续运行。
三、退款调价这类敏感操作，双人复核才安全
退款、改价、报表导出、手工出票这几类操作风险最高，行业里通行做法是双人复核：一个人发起，另一个人审核通过后才生效。复核人不能是操作人本人，也不建议是同一班组的同事，财务类操作一般由财务负责人或更高权限的人复核。涉及大额退款或批量调价的，还可以设置更高一级的审批线，金额越大复核层级越高。
双人复核要在系统里做成硬流程，而不是线下口头确认：操作人提交后，复核人登录自己的账号确认，系统记录双方账号和操作时间。权限再大的人也不能绕过这个流程，这是防止监守自盗和误操作的最有效手段。复核不过的单子要能退回修改并留痕，别默默作废。
临时单人处理的情况也要留痕、事后补复核，比如高峰期值班经理紧急退款。所有绕过流程的操作在审计日志里都应有标记，方便事后追溯。例外操作一多，流程就名存实亡，建议每月统计一次例外操作的数量和原因，连续偏高的要查是不是流程设计不合理，别让例外悄悄变成惯例。
四、操作审计日志：记什么、留多久、怎么查
审计日志要记录四类信息：谁（账号和真实姓名）、什么时间、做了什么操作、操作前后数据变化，比如退款前后的订单状态和金额。系统要能按账号、时间、操作类型组合查询，财务审计和纠纷溯源时直接能用。查询结果要支持导出，审计人员做月度分析不用对着屏幕一页页翻。
日志留存时间行业里一般不少于3年，涉及资金的操作建议留存更久，并做异地备份，防止服务器故障把日志一起带走。日志要防篡改：普通员工看不到也改不了日志，只有审计权限的账号能查询，管理员也不应能修改历史记录。备份的可用性要定期验证，别等要查的时候发现备份早坏了，恢复演练至少每年做一次。
定期抽查日志比出事后再查更有威慑力。每月随机抽几笔退款、改价、导出操作，核对操作人、复核人和业务单据是否一致，发现异常立即追查。抽查结果记入月度运营纪要，让员工知道操作都在监控里，这个习惯比事后追责管用得多。
五、员工离职，权限当天就要收回来
员工离职当天，账号权限就要冻结或注销，一天都不能拖。行业里出过不少离职员工用旧账号改价格、导数据的案例，多数发生在离职后一两周内。离职流程要固定：人事发起、系统管理员执行封号、财务确认其经手的退款单和报表已交接，三个环节一个都不能少。
离职交接清单要包含：名下待处理的退款单、未导出的报表、绑定的支付和渠道账号。离职后建议再观察一个周期，确认没有异常操作再彻底注销。员工转岗也一样，先收回旧角色再授予新角色，别让新旧权限叠加出超范围权限。离职回收要形成固定动作清单，交接单签字确认后才算完成。
账号回收之后，还要检查员工名下的第三方绑定：曾用管理员账号绑定过支付商户号、短信平台、渠道后台的，要逐一解绑或更换绑定人。这类外部账号常被忽略，却是离职权限回收里最容易被漏掉的一环，漏一个就多一个潜在后门。
六、权限不是配完就完事：每季度盘点三件事
权限盘点建议每季度做一次，三件事：一是清单核对，导出所有账号和角色，和实际在职人员名单比对，找出僵尸账号；二是权限复核，确认每个账号的权限和岗位职责匹配，重点检查有没有人同时持有发起加复核的双重权限，复查记录留档备查；三是密码和绑定检查，强制更新弱密码，确认手机验证码、管理员账号等绑定信息仍是本人在用。
盘点结果要有记录、有整改：发现的过期账号当场注销，权限过大的当场调整，并把盘点报告存档备查。权限管理是持续动作，节假日前、财务月末对账前各加一次专项检查，比固定季度盘点更能挡住风险，尤其是长假前的高频操作期，把高风险窗口单独过一遍。
权限这件事，宁可每次盘点时多花一小时，也别等出事以后花一周去查。把盘点变成习惯，权限体系才能一直保持干净。人手紧张的话，可以借助系统自带的账号活跃度报告和权限到期提醒，让盘点从纯人工变成半自动。
| 功能/角色 | 售票员 | 检票员 | 财务 | 运营 | 管理员 |
|---|---|---|---|---|---|
| 售票/退票 | 售票可、退票否 | 否 | 否 | 否 | 全部 |
| 验票核销 | 否 | 可 | 否 | 否 | 全部 |
| 退款审核 | 否 | 否 | 可（双人复核） | 否 | 全部 |
| 票价/活动配置 | 否 | 否 | 否 | 可 | 全部 |
| 报表导出 | 仅本景区 | 否 | 全部财务报表 | 销售分析 | 全部 |
| 账号/权限管理 | 否 | 否 | 否 | 否 | 可 |
常见问题 FAQ
小景区就三五个人，也要搞权限分层吗？
更要。人越少越容易出现账号共用和一人多权，出了事连是谁操作的都查不清。哪怕只有三个人，也建议售票、财务、管理各一个账号，退款改价走双人复核，成本几乎为零，风险却降一大截。
双人复核会不会太麻烦，影响高峰期效率？
可以分场景：常规售票不设复核，只有退款、改价、手工出票这类高风险操作才需要。复核流程在系统里走，手机端就能完成，一般几十秒。高峰期可以把复核权限临时授权给值班经理，事后回收。
审计日志一般要保存多久？
行业里一般不少于3年，涉及资金的操作建议保存5年以上并做异地备份。留存不是目的，可查询、可追溯才是。建议每季度抽查一次日志完整性，确认备份可用，避免真要查的时候发现日志已经丢了。
员工权限给了之后还能收回来吗？
可以，权限管理本来就是动态的。系统里调整角色或解绑账号即可，即时生效。建议转岗、晋升、请假超过一个月等节点都做一次权限复核，离职当天必收，别等想起来再处理。
数据范围权限是什么，为什么重要？
数据范围决定一个账号能看哪些数据，比如按景区、按门店、按票种划分。没有数据范围控制，一个售票员登录后可能看到全公司的收入和成本数据，信息泄露风险极大。按岗位最小化授权，是权限管理的基本功。