2026年人事账号分级权限设置管控规定

2026年人事账号分级权限设置管控规定目录第一章总则第二章职责划分第三章账号分级与核心权限配置规则第四章账号生命周期全流程管控要求第五章权限动态调整与日常巡检机制第六章违规约束与处理第七章申诉机制第八章附则附件1《人事账号权限分级对照表》附件2《人事权限调整申请审批单》附件3《人事账号异常操作排查台账》第一章总则1.1制定目的为规范公司人事信息系统的账号管理，防范员工薪酬、社保、个人隐私、劳动关系等敏感信息违规泄露风险，保障人事业务操作全流程可追溯，所有条款严格符合《中华人民共和国劳动合同法》《中华人民共和国社会保险法》相关要求，避免因信息管理不合规引发的劳资纠纷、信息泄露事件，支撑人事业务高效、安全运转。1.2适用范围本规定适用于所有接入公司官方人事信息系统的账号主体，覆盖类别包括：人事部门各业务模块操作岗账号、各部门人事对接专属管理员账号、业务部门授权薪酬核算/绩效统计岗账号、IT系统运维岗账号、外部人力资源服务商（社保代缴、薪酬代发、招聘外包等合作方）授权操作账号、临时调试/审计场景下的临时授权账号。普通员工登录人事系统自主查询个人考勤、薪资明细、年休假余额的自助服务账号，不纳入本分级权限管控范围，按照《员工自助服务系统使用规则》单独管理。1.3管控原则全程执行四项核心原则：一是最小必要原则，所有账号的权限配置仅覆盖对应岗位履职必需的操作范围，超出履职需求的权限一律不予开通；二是权责对等原则，账号使用人对本人账号下的所有操作行为承担全部责任；三是全程留痕原则，所有账号操作日志留存时长不低于3年，满足劳动争议处理、社保合规审计的回溯要求；四是动态管控原则，权限随岗位变动、人员离职、合作到期同步调整，不存在永久有效、无边界授权的账号。第二章职责划分本规定明确双维度权责边界，执行部门、监督部门完全分离，避免同部门既管操作又管监督的风险：1.执行牵头部门：人事行政中心下属人事数据组负责人事账号管控规则的落地执行，包括权限申请初审、账号信息台账更新、权限需求匹配校验、操作日志日常检索、员工人事信息安全宣传等日常工作，每月5号前同步上月全量账号变动信息至监督部门备案。人事各业务模块（招聘、薪酬、绩效、员工关系）负责人为对应模块的业务审核人，负责提交本岗位员工的权限配置需求，核验下属员工权限和履职需求的匹配度。2.技术支撑执行部门：信息技术部系统运维组负责从技术层面落地分级权限配置，保障操作日志完整存储、系统访问安全加固、异常操作自动预警功能稳定运行，无合规审批手续不得擅自调整任何账号的权限参数。3.独立监督部门：内控审计部为人事账号权限管控的唯一监督主体，每季度开展全覆盖合规抽查，受理全公司的人事信息违规操作线索举报，定期评估管控规则的合理性，对违规行为出具最终处理意见。第三章具体管理内容本章节为落地执行的核心规则，所有权限配置严格按照分级标准执行，无特殊审批流程不得突破以下边界：3.1账号分级标准全量管控类人事账号共分为5个常规等级+2个特殊类别，每个等级的权限边界完全明确：1.1级账号（基础操作岗）：适用人群为人事部门招聘专员、员工关系专员、基层培训岗，仅开放履职必需的碎片化操作权限：招聘类账号仅可访问应聘人员简历库、面试评估模块，不得查看任何在职员工的薪酬、社保明细信息；员工关系类账号仅可操作本人分管业务条线的劳动合同续签、考勤异常核对、入离职手续发起流程，不得导出全公司范围内的批量员工信息。2.2级账号（模块主管岗）：适用人群为薪酬主管、绩效主管、招聘主管，可查看全公司对应业务模块的汇总统计数据，支持导出分管模块的明细业务数据，但不得修改人事系统底层的薪酬核算公式、社保缴费基数参数等核心配置规则，导出数据的单次最大条数不得超过系统预设的1000条阈值。3.3级账号（部门负责人岗）：适用人群为人事部门负责人、各业务部门对接人事工作的负责人，可查看全公司人事维度的汇总报表，拥有人事权限调整申请的最终业务审批权，无特殊申请不得批量导出所有在职员工的身份证号、银行卡号、社保个人账户明细等高度敏感信息。4.4级账号（超级管理员岗）：全公司仅设置2个4级账号名额，分别由人事数据组负责人、信息技术部运维负责人共管，账号密码采取分段设置模式，需两个人同时验证身份才能登录，仅可在系统故障排查、年度数据灾备恢复场景下使用，不得用于日常人事业务操作。5.外部合作方专属账号：仅面向经法务部门备案的正规人力资源服务商开通，权限严格限定在合作范围内，比如社保代缴服务商的账号仅可查看对应合作城市的参保人员名册，无法访问任何薪酬相关数据，账号有效期和双方合作协议有效期完全绑定，到期后系统自动失效。6.临时账号：仅面向系统调试、第三方审计等临时场景开通，最长有效期不得超过7天，仅开放指定操作模块权限，完全关闭数据下载、导出功能，到期后系统自动注销。3.2日常操作硬性要求所有管控类账号使用必须满足以下要求：密码长度不得低于8位，需同时包含数字、字母、特殊符号，系统每90天强制触发密码更新，不得使用近3次历史密码；严禁账号转借、共用，多人共用同一账号的行为直接判定为违规；系统自动对非工作时段（当日20:00-次日8:00）登录、单次下载数据超过100条、异地IP登录三类异常行为触发实时预警，人事数据组需在1小时内对预警信息完成排查核实。第四章账号生命周期全流程管控1.账号开通流程：所有新账号开通不得接受口头申请，必须由使用人本人填写《人事权限调整申请审批单》，明确标注申请的权限范围、对应履职需求，依次经业务部门负责人审批、人事数据组初审校验权限匹配度、内控审计部复核通过后，由信息技术部在2个工作日内完成配置，账号交付使用前必须完成操作规范告知。2.岗位变动权限调整流程：账号使用人发生内部调岗、岗位权责变动的，所属部门负责人需在岗位调整生效后3个工作日内发起权限变更申请，人事数据组同步完成旧权限回收、新权限配置，不得出现岗位调整后仍保留原岗位高等级权限的漏洞。3.账号注销流程：账号使用人办理离职手续当日，所属部门负责人必须第一时间向人事数据组提交账号冻结申请，信息技术部需在离职手续办结后1小时内完成账号冻结，7个工作日内完成账号彻底注销，冻结期间账号无法登录系统，无任何操作权限。第五章违规约束与处理本规定执行奖惩对等原则，明确所有违规行为的对应处理标准，无模糊判定空间：1.正向激励规则：年度内账号使用零违规，主动上报潜在权限风险、协助规避信息泄露事件的员工，年度绩效考核可直接加2分，给予500-1000元的合规专项奖励，奖励经费从年度内控合规预算中列支。2.一般违规行为及处理：违规情形包括账号密码设置不符合规范、未按要求定期更新密码、临时转借账号给同部门同事使用但未造成任何信息泄露后果的，首次违规给予口头警告，扣除当月绩效50元；二次违规给予全公司通报批评，扣除当月绩效200元，由人事数据组组织专项合规学习1天。3.较重违规行为及处理：违规情形包括超出权限范围查询非本职需求的员工敏感信息、未走审批流程私自下载超出履职需求的人事数据、非工作必要触发3次以上系统异常预警且无法给出合理解释的，首次违规给予全公司通报批评，扣除当月绩效10%，取消当年度所有评优评先资格；二次违规直接做岗位调整，调离所有涉及人事信息操作的岗位，降薪一级。4.严重违规行为及处理：违规情形包括私自对外泄露员工薪酬、身份证、社保等敏感信息、批量下载人事数据用于非工作用途、利用人事账号权限谋取不当利益的，属于严重违反公司规章制度，公司可依据《劳动合同法》相关规定与其解除劳动合同，无需支付经济补偿，对公司或员工造成经济损失的，违规人需承担全部赔偿责任，情节严重的移送司法机关处理。5.管理连带责任：执行部门未按审批流程擅自开通、调整账号权限的，直接追责对应审核人员责任，与违规使用人承担同等处罚；监督部门连续两个季度抽查发现同一权限配置漏洞未督促整改的，扣除内控审计部对应责任人当月绩效10%，同时追究相关业务条线分管领导的管理责任，扣除当月绩效15%。第六章申诉机制账号使用人如果对违规处理结果存在异议，可在收到处理通知的5个工作日内，向内控审计部提交书面申诉材料及相关佐证信息：1.内控审计部收到申诉后需在7个工作日内完成全量复查，通过回溯操作日志、问询相关关联人员、核验业务场景合理性，出具正式的书面复查结论。2.经复查判定原处理结果有误的，立即撤销原处理决定，全额返还对应的绩效扣除额度，在涉及的部门范围内发布澄清通知，不得对申诉人进行任何形式的打击报复。3.申诉期间原处理决定暂时中止执行，不得影响申诉人的正常岗位履职、薪资发放。第七章附则1.本规定自2026年1月1日起正式施行，此前公司发布的所有涉及人事账号权限管理的相关规则全部作废。2.本规定的最终解释权归人事行政中心所有，每年12月由人事数据组联合内控审计部