权限收口三步走：定角色、划范围、常盘点
不少公司刚上系统的时候，权限是认真配过的——谁能看什么、谁能改什么，一条一条列得很清楚。可过了半年一年再回头看，往往已经面目全非：新人进来先给一套全的，想着回头再收；老员工做着做着权限越滚越大；人离职了账号还挂着。权限这东西不会自己变乱，它是被一天天松掉的。
想让它稳住，靠的不是一次性的大动作，而是三件能长期运转的小事：定角色、划范围、常盘点。这三步走顺了，权限就不容易失控。
一、定角色：按岗位说清楚，谁能看、谁能改、谁能导
权限的起点不是具体的人，是岗位。先把公司里一共有哪几种角色梳理出来——跑业务的、带团队的、做财务的、管售后的，各是一个角色。同一个岗位的人，权限应该是一样的；换了人，权限照旧，不用重新想一遍。
每个角色配权限的时候，问三个问题就够了：
- 能看哪些：这个岗位日常要接触的数据范围是什么
- 能改哪些：哪些字段可以动，哪些只能看不能碰
- 能导哪些：能不能把数据整包导出，这一项要单独把关
这三个问题的答案写下来，就是一份角色权限表。表立住了，后面给谁开权限就是照着填，不必每次都临时判断。
二、划范围：数据要分层，部门归部门，本人归本人
光有角色还不够，还得管数据范围。同样是跑业务这个角色，A 组的业务不该看到 B 组的客户，这是横向的分层；一个业务只看自己跟进的客户，还是能看到全组，这是纵向的深浅。这两条不划清楚，权限就算配了也等于没配。
常用的做法是两条线：
- 横向按团队分：本部门的数据本部门看，跨部门要看，得单独走一次授权
- 纵向按归属分：自己跟进的归自己，团队负责人的范围向下覆盖一层
关键在默认不给。范围划完之后，没被划进去的就是看不到的，想看得单独申请。反过来做——先全给再往回收，几乎收不动。
三、常盘点：一个季度过一遍，别让它悄悄长回来
前两步做完，权限能稳一阵子。真正的考验是时间：调岗、离职、项目结束、临时支援，人一动，权限就跟着漂。没人定期回头看一眼，用不了多久又会回到老样子。
所以第三步是盘点，按季度做一次就够。盘的时候重点看三类：
- 长期没用过的权限：留着多半是冗余，可以收回
- 超出岗位范围的权限：对不上的，问清楚缘由
- 已经离岗但还没停的账号：这一类要当场处理
盘点不用搞得很重，一次一两个小时就能过完，但它能把权限往回拉一把，防止它一年年地漂。
四、落到日常，其实就三件小事
上面的三步是框架，日常执行靠的是三个小习惯：
- 开权限走同一个入口：谁申请、谁批、批了多久，都从这一处走，不私下口头答应
- 每次改动留个记录：今天给谁加了什么、撤了什么，记下来，日后对得上
- 盘点结果落到人：盘出来要收的权限，指定一个人跟进，别盘完就散会
这三件事都很小，难的是坚持。能坚持下来的团队，权限基本都是清的。
五、系统这一层怎么配合
拿表格和口头约定的方式也能做，只是人一多就顾不过来。更省事的做法，是把角色、范围和记录都放进系统里。鲲极CRM系统在客户管理之外，单独有一块管账号和权限——角色怎么分、范围怎么定、权限什么时候由谁改的，都留在系统里，盘点的时候不用挨个问人，拉出来就能看。
再往深一层是数据放哪儿的问题。权限设置、客户数据、改动记录，这些都是公司的核心资产。放在别人的服务器上，权限划得再细，心里也未必踏实。鲲极CRM系统采用独立部署，这些内容装在公司自己的机器上，谁能看、谁能改、谁能导，公司自己说了算。
权限收口这件事，说到底是把权限的边界讲明白，并且让它一直明白。定角色、划范围、常盘点，三步走顺，再加上日常那三个小习惯，权限就不会再是一笔糊涂账。把权限和数据分区放在基础位置，是鲲极CRM系统做客户管理的一贯做法——权限不清，后面的数据再全也没底。
