系统、数据、接口与最小权限

10.1 八个权威对象

对象	稳定ID	权威系统	关键状态	禁止推断
客商/关联群	PARTY/GROUP	主数据+信用	待审/有效/限制/冻结	名称相似即同一主体
商品	COMMODITY	商品主数据	草稿/地区可用/冻结	品名自动决定许可税率
合同订单	CONTRACT/SO/PO	CTRM/ERP	报价/批准/履约/关闭	发票即履约
批次/库存	LOT/STOCK	WMS/CTRM	在途/待检/放行/分配/冻结/已交	仓单扫描即库存
价格/点价	PRICE/FIXATION	CTRM	待点/部分/终局/更正	聊天截图即价格
敞口/工具	EXPOSURE/HEDGE	风险/CTRM	开放/覆盖/越限/关闭	单腿盈亏即订单损益
结算/票款	SETTLEMENT/AR/AP	ERP/资金税务	暂结/终结/开票/核销	到账即收入
异常	INCIDENT/CAPA	QMS/风控	开放/遏制/调查/财务关闭/验证	客户不追究即可删

10.2 事件而不是覆盖

数量、价格、质量、账户、仓库、批次、点价、提货和发票的更正使用新事件连接原事件：谁、何时、为何、旧值、新值、证据、批准和下游影响。禁止直接覆盖历史。接口用幂等键避免重复订单/付款/出库；迟到事件按实际业务时间和系统接收时间双记录。

库存状态机建议：计划→供应确认→在途受控/未受控→到货待计量→待检→合格可用/隔离/受限→分配→出库在途→客户签收→技术/质量验收→关闭。所有权与物理位置是独立维度，不能把“在我仓”自动等于“我所有”。

正在绘制业务流程…

10.3 价格与行情治理

价格源分官方/交易所/合同认可指数/供应客户报价，记录来源、时区、时间戳、品种、地点、单位、币种、合约月和许可。自动取价失败不静默沿用旧值；标为陈旧并阻断相关报价/估值或按批准回退。人工价格须双人、来源附件和有效期。单位换算、含税/不含税、湿基/干基、吨/磅等转换集中配置并测试。

点价指令要求有权主体、合同、数量、窗口、基准、时间和回执；客户邮件/接口进入待验证队列，重复/超量/过期阻断。执行后回传成交/确定价格，运营与中台分别核对，财务只用终局版本结算。

10.4 仓库和物联网数据

摄像、电子封识、地磅、GPS和区块链可增强证据，但不替代主体授权、实物身份、权属和现场抽查。设备ID、校准、断线、时间同步和防篡改要管理；供应商提供的视频链接不能作为唯一盘点。高价值库点安排随机盘点、第三方确认和不经业务的直接沟通。

仓库接口的出入库/冻结/解冻/质押/提货事件进入不可忽略队列；接口失败时默认安全状态，不能为了报表顺畅自动放行。仓库系统数量、总账库存和实物盘点每日/周期勾稽，差异按批次、货权和金额分级。

10.5 交易和银行账户安全

风险工具账户、银行账户、税务/海关和仓库平台使用实名最小权限、多因素认证、设备/网络控制和操作日志。套保执行不能创建自己的限额或批准自己的指令；出金白名单变更由独立管理员与资金双批；API密钥不放个人电脑或聊天；异常登录、批量撤单、价差偏离、非工作时段大额操作实时报警。

供应商/仓库收款账户变更必须由主数据发起、财务用原有独立渠道核实、分权审批，付款批次只读已批准主数据。邮件中的新电话和附件不作为独立验证来源。首次/重大变更增加冷静期或小额测试，但小额成功不能单独证明账户归属。

10.6 数据权限矩阵

动作	发起	批准	执行/保管	独立复核
新客户/额度	业务/信用	信用授权人	主数据	风险/审计抽查
新供应/账户	采购	主数据/法务/财务	主数据	资金回拨复核
价格公式	业务/价格	品类+中台	CTRM管理员	结算/风险
套保指令	中台/授权业务	风险授权人	交易执行	中台确认/财务对账
仓单/提货	货权	货权授权人	仓库/保管人	盘点/审计
库存调整	仓库	库存控制/质量	WMS	财务/审计
付款	AP/资金	分权授权	银行操作	银行回单/会计
发票更正	财税	财税授权	税务系统	结算/会计

10.7 灾备与手工应急

关键系统RTO/RPO按风险设置，灾备覆盖行情、CTRM、WMS、银行/风险账户、通信和身份。每季演练价格源中断、仓库接口中断、银行不可用和主系统故障。离线表单预编号、限对象/金额/数量/期限，双人签，集中保管；恢复后先补事件再开放新单，独立对账所有离线动作。若无法确认敞口、信用、货权或余额，默认停止而不是“按经验继续”。

10.8 每日自动对账的九组断言

1. 每个开放销售承诺都有采购/库存/批准敞口覆盖；2. 现货数量、工具数量和风险方向能按商品地点期限聚合；3. WMS受控库存总量与CTRM/ERP分状态一致；4. 每个仓单/提货凭证只能连接允许的权利状态，注销后不可再用；5. 供应预付不得长期超过受控货值和批准无货预付；6. 客户信用占用不超额度且逾期自动阻断；7. 银行收付必须能关联已批准对手和对象；8. 最终数量价格与发票、应收应付一致；9. 已关闭订单库存、应收应付、敞口和异常不得残留。

自动断言失败进入带优先级的人工队列，不自动“修平”。系统展示差异金额、数量、关联对象、首次发生和老化；责任人处理后由独立岗位关闭。若通过批量接口把CTRM数据覆盖成ERP金额，账可能相等但事实丢失，因此保留原源和桥接差异。

10.9 模型与AI边界

AI可帮助抽取合同字段、匹配商品描述、识别单据重复、发现价格/联系人/图片异常和预测现金，但输出是候选。不得让模型自动决定商品许可、仓单法律有效、客户信用、替代质量、套保方向/数量或付款放货。高风险输出显示来源、置信度和差异，人工按职责批准；模型版本、输入、输出、覆核和误报漏报可追溯。

例如图片相似检测发现两张仓单使用同一货堆照片，只能触发冻结/调查，不能自动定性欺诈；合同抽取把“装运重量终局”识别错误，若无人工比对会改变结算。模型考核以减少损失和可解释性，不以自动通过率。