系统、数据与权限

稳定ID	系统	事实边界
SYS-F08-01 PIM/合规库	多市场商品属性、标签、证据版本
SYS-F08-02 平台/独立站	前台承诺、订单、税费与顾客交互
SYS-F08-03 OMS	多渠道订单、履约路由和售后编排
SYS-F08-04 国内WMS	批次、出口拣包、称重和交接
SYS-F08-05 物流/关务	申报、包裹、轨迹、清关和异常
SYS-F08-06 海外WMS	海外库位、库存状态、尾程与退货
SYS-F08-07 支付风控	支付、拒付、退款、冻结与准备金
SYS-F08-08 ERP/税务	多币种订单子账、库存价值、税务与总账
SYS-F08-09 CRM/客服	同意范围内身份、工单与跨语言服务
SYS-F08-10 BI/控制塔	成熟队列、库存、结算与异常桥接

正在绘制业务流程…

10.1 主键与状态

渠道订单号、支付单、企业订单、包裹、出口申报、国际主/子单、目的地进口记录、海外仓出库、尾程、退款、拒付和结算行必须可追溯。承运商换单号、拆包合包和退货新运单要保留父子关系。接口重复、延迟、乱序进入补偿队列，不靠人工覆盖原状态。

10.2 数据与权限

跨境电商会处理地址、联系方式、支付风控、设备、物流和营销数据。先画数据从顾客/平台到中国团队、海外仓、客服、广告和云服务的实际路径，判断各方角色、目的、字段、保存与跨境机制。不能因为平台提供下载就推定企业可无限导出和复用。

10.3 PIM与合规档案是上架源头

PIM保存营销可见的商品属性，合规档案保存属性如何被证据支持。一个字段可能有全球值、目的地值和渠道呈现值：例如尺寸是产品事实，单位与语言可本地化，适用范围和警示由市场版本控制。运营从已批准版本发布，不在平台后台单独改关键参数；紧急改文案也要回写版本。若证据到期、BOM变更或质量停售，PIM将相关市场SKU改为不可发布并向渠道发下架任务。

商品主数据至少连接父产品、可售SKU、物料/BOM版本、工厂、批次、条码、申报描述、归类判断入口、运输属性、市场准入、语言内容、包装和附件。不是所有字段都由一个岗位编辑：产品维护规格，质量维护放行，关务维护申报要素的受控判断，运营只能选择已批准呈现，IT实施权限和审计。

10.4 OMS是履约编排者，不是财务真相的全部

OMS接收渠道订单快照，验证主体、币种、支付、地址、商品版本和库存，再决定国内直邮或海外仓。它管理拆单、合包、路由、取消、补发、退货和退款编排，并给每次状态变化发事件。OMS可以显示“完成”，但收入、税务与结算仍由各自事实判断；财务通过订单事件建子账，不把OMS单一状态当会计结论。

路由规则按目的地、SKU属性、可售库存、承诺、成本、清关和风险设置优先级，并保留当时规则版本。库存不足时不要静默改成跨境直邮，因顾客时效、税费和进口角色可能改变；系统提出替代方案，由授权岗位和顾客承诺决定。补发生成新履约对象，保留原订单关系，避免双重确认收入或遗漏库存成本。

10.5 国内与海外WMS的共同库存语言

两个WMS字段不同，企业仍需统一最小状态：待收、待检、可售、预占、拣货、已交接、在途、退货待检、返工、残次、冻结、召回、丢失和已处置。接口映射写明哪些仓状态可以向哪个渠道承诺；不存在映射的状态默认不可售。批次和序列号粒度依商品风险确定，不能为了省扫描而失去召回能力。

库存调整采用原因码、证据和权限。仓库操作人可发起盘差，仓库主管复核数量，财务确认价值，质量决定状态，超过阈值由业务负责人批准。系统日志保留调整前后值。海外仓只提供汇总库存时，企业要求明细或设计补偿盘点；若长期无法获得，作为服务商和可售承诺风险处理。

10.6 物流关务系统的事件合同

企业与物流/关务接口约定字段、枚举、时间、重试、签名和错误响应。申报字段从受控主数据产生，业务用户不能在接口失败后自由填写近似名称。承运商轨迹映射到企业统一事件，但保留原始代码和时间；一个“异常”原码映射成清关、地址、天气、仓库或未知，未知必须有人核验，不能全部归因外部。

事件合同还定义何时超时。例如已交仓若在约定窗口没有揽收扫描，建立交接差异；到达目的地后未进入进口节点，建立清关监控；派送失败需要地址或自提动作。系统按风险和顾客承诺派工，客服看到可解释信息，物流岗位看到原始证据，财务看到是否需要预计损失或索赔。

10.7 支付、退款与拒付账本

支付系统对每个尝试保留交易号、订单、币种、金额、渠道、认证/风险结果和终态。一次订单可能多次失败后成功，只有成功事件进入收款，但失败信号可供风控。退款使用独立退款号，支持部分、多次和失败重试，累计退款不得无授权超过可退边界。拒付对象连接原支付，而非只连接订单，因同一订单可能有多个支付。

平台或收单准备金按币种、账户、原因、释放预期和可用性进入账本。账户通知、费率或结算周期变化被版本化，并触发财务现金、运营投放和法务合同复核。API返回成功不等于资金终态，需通过后续事件和结算对账确认。

10.8 ERP多币种子账与数据仓库

ERP接收订单经济事件，而非每天一笔平台净额。收入、退款、商品成本、平台/支付、物流、广告、税费、库存调整和汇兑按主体、市场、渠道、SKU、订单/批次与币种记录；实际会计维度按企业系统能力设计，但必须保留追溯。结算明细映射总账科目，未知费项进入受控暂挂并在关账前处理。

数据仓库汇总时保留“业务发生时间”和“系统收到时间”，迟到事件回补历史队列而非全部计入当天。成熟贡献指标锁定口径版本；若退货窗口变化或成本模型调整，重算范围和变更说明可查。管理层看到数字可点击到订单或库存证据，不能只看无法解释的图表。

10.9 权限矩阵与高风险操作

权限以岗位任务和主体/市场范围授予。运营可编辑草稿但不能绕过商品放行；客服可在限额内退款但不能改收款账户；仓库可执行移动但不能自行把隔离品变可售；财务可做会计映射但不能改原始订单；IT管理员可维护系统却不应独自批准业务结果。超级管理员、API密钥和支付凭据进入保险库并定期复核。

高风险操作	发起	复核/批准	监控证据
商品首次上架/复售	产品/运营	合规质量+授权业务	版本、证据与页面快照
收款账户/结算币变更	财务申请人	法务主体核验+独立批准	平台通知、回拨验证、银行对账
大额/批量退款	客服/运营	支付风控+财务/负责人	订单、理由、累计金额、支付终态
海外库存转可售	仓库	质量规则/复核	批次、质检、状态日志
申报主数据变更	关务	贸易合规复核	判断依据、版本、生效范围
顾客数据批量导出	业务申请	隐私安全+数据所有人	目的、字段、期限、下载日志

10.10 监控、降级与灾难恢复

系统可用不代表业务正确。监控分技术和业务：接口错误率、延迟、队列积压属于技术；支付无订单、负库存、已退款仍发货、已签收无收入事件、退货待检超时、结算未知费项属于业务。每个告警有阈值、值班、处置手册、升级和关闭证据，避免告警太多无人相信。

降级先保护顾客和事实。库存接口失效时限制下单或采用保守库存，不盲卖；物流轨迹中断时保留订单并告知范围，不伪造节点；支付回调不明时不重复扣款；合规库不可用时禁止新上架但可按已验证条件处理既有订单。恢复后重放幂等事件并做数量金额对账，不仅重启服务。

灾难恢复覆盖平台账户、独立站、OMS、仓库、支付、客服、财务和证据库。定义可接受数据丢失与恢复时间、备份、密钥、替代沟通和手工最小流程；每年至少按风险演练，实际频率由企业政策。海外仓或单一平台中断还涉及实物和合同，不是IT备份能独自解决。

10.11 数据质量责任

数据质量不是IT清洗。市场对国家和语言、产品对规格、质量对批次状态、关务对申报要素、仓库对数量位置、运营对页面价格、支付对资金事件、财务对经济口径分别负责。数据产品展示冲突，不擅自选择“看起来合理”的值。主数据变更经过申请、影响分析、批准、生效和回滚，历史订单保留旧版本。

核心质量规则包括唯一、完整、及时、有效和一致。例如一个包裹只能有一个当前主状态但可有多个历史事件；可售库存不得为负；退款累计不超过授权范围；结算行必须有费项映射；商品市场版本必须有放行；受限批次不得出库。指标越界直接连接流程所有人和风险，不作为技术报表留在角落。