审核员要看谁能改订单、谁能放行不合格品。IT连夜开一个\"auditor\"账号，路径演示很顺。问日常账号和三个月日志，拿不出来。客户验厂看系统权限，是在看控制是否存在于每一天，而不是存在于审核这一天。临时开通解决不了日常空白，空白会被记成体系缺陷。
权限模型要先于验厂存在：角色、最小权限、离职关闭、日志可抽。
日常账号才是证据
岗位对应角色，敏感操作双人，放行和改单有痕迹。审核员用只读角色看真实菜单，而不是看为他做的演示菜单。抽查某张出货单的修改历史，必须能打开。打不开，等于没有控制。
- 禁止共用账号，验厂最容易在这里翻车。
- 临时账号若必须，要有起止时间和审计标记，不能当日常。
- 权限矩阵与组织架构一起维护，调岗当天改角色。
把验厂当抽查而不是演出
XYN 数智化系统按角色裁剪外贸与质量操作，日志按票可回放。验厂前做一次自己抽查：随便点一个离职人员和一张改单。过不了自己，过不了客户。过得了自己，临时账号就不再需要。
权限矩阵先上墙后进系统。系统里没有的，墙上写了也算空白。
