系统、数据与权限

10.1 数据对象与稳定ID

对象	稳定ID	不可变字段	可版本字段	关键关系
法人	ENTITY-J04-*	注册身份、司法辖区	名称、地址、许可状态	管理产品、签合同、拥有自有账户
产品	FUND-J04-* 或 PLAN-J04-*	内部产品唯一键	名称、状态、策略、规则包	份额、账户、投资、估值、披露
份额类别	SHARECLASS-J04-*	类别唯一键	费率、币种、销售地域、状态	投资者权益与净值
投资者	INVESTOR-J04-*	内部客户主键	KYC、资格、税务、授权	账户、订单、份额、认缴实缴
订单	ORDER-J04-*	来源幂等键	状态、拒绝原因、确认值	投资者、产品、现金、份额
投资	INVESTMENT-J04-*	投资事件主键	成本、权属、估值、退出状态	决议、交易对手、基金、现金
估值事件	VALUATION-J04-*	产品+估值日+正式批次	价格、费用、状态、修订原因	持仓、现金、份额、托管复核
费用事件	FEE-J04-*	产品+费用类型+期间+规则版	金额、应付、付款与冲销状态	产品费用、管理人收入、税务

基金简称、证券名称、客户名称会变且可能重复，不适合作主键。估值批次不能只用日期，因为纠正批次与原批次必须并存；订单幂等键不能只用客户和金额，因为合法分笔订单可能相同；费用事件必须包含期间和规则版本，防止批次重跑重复计费。跨境系统还要保留母地ID、客地注册ID、ISIN或当地代码的映射，但内部主键保持稳定。

10.2 最小权限矩阵

权限	投资经理	交易员	TA	估值	清算	合规风险	科技运维
建议投资	R	-	-	-	-	C	-
发送市场订单	-	R	-	-	-	监控	-
修改投资限制	-	-	-	-	-	提议/复核	技术执行但无业务批准权
接受客户申赎	-	-	R	-	C	监控	-
修改价格或模型参数	-	-	-	R	-	C	无业务修改权
发布正式净值	-	-	使用	R	C	放行/监控	不得单独发布
发起产品付款	-	-	C	C	R	-	不得业务发起
批准产品付款	-	-	-	-	独立授权人	-	不得因管理员权限批准
查看敏感客户明细	最小化	最小化	必要	脱敏/必要	必要	必要	临时受控
删除审计日志	禁止	禁止	禁止	禁止	禁止	禁止	禁止；只能依保留政策归档

10.3 估值批次的技术控制

正在绘制业务流程…

状态只能正向推进，纠正不覆盖原记录。每个节点保存输入哈希、规则版本、操作者、时间、差异清单和签名。科技管理员可以恢复服务或部署获批规则，不能直接把 Quarantined 改为 Released。紧急人工操作要双人、限时、全量日志并在恢复后回录正式系统。

10.4 数据质量规则

规则ID	公式/判断	触发动作	所有者
DQ-J04-01	资产-负债=净资产	冻结净值	ROLE-J04-13
DQ-J04-02	净资产÷有效份额=单位净值	冻结TA与发布	ROLE-J04-13
DQ-J04-03	期初份额+新增-注销=期末份额	冻结份额批次	ROLE-J04-12
DQ-J04-04	托管现金=账面现金±已识别在途	建差异单、限制付款	ROLE-J04-14
DQ-J04-05	成交数量=已交收+失败+取消+未到期	阻断虚假可用持仓	ROLE-J04-06
DQ-J04-06	管理人收入=收款+应收变动±合同负债变动	暂停关账	ROLE-J04-17
DQ-J04-07	同一费用幂等键只能有一个有效事件	隔离重复批次	ROLE-J04-13
DQ-J04-08	客地销售产品必须有有效当地状态与材料版本	阻断订单	ROLE-J04-08

10.5 变更、接口与业务连续性

任何规则、费率、价格源、模型、份额精度、日历、接口字段或权限变更都要先识别受影响产品和历史期间，再在脱敏数据上回归测试，业务、风险合规与科技共同签署，上线后对首个批次加强复核，并保留回退能力。接口测试既看技术返回码，也看业务恒等式：订单数、份额、现金、持仓、费用和净值逐项一致。灾备演练必须从备份恢复一个完整估值日并重放正常、重复与撤销消息，证明RTO和RPO不是纸面指标。[SRC-J03-CSRC-IT-MGMT-2021][SRC-J03-CSRC-CYBERSEC-2023]

01资管核心系统以产品和投资者主数据为中轴连接交易

02托管

03份额

04估值

05披露与公司财务并由权限日志统一约束

10.6 对账引擎不是“比较两个总数”

对账分三层。文件层先验证发送方、日期、产品范围、记录数、控制总额、哈希和是否完整重传；记录层用稳定ID匹配订单、成交、证券、现金和费用，区分一对一、一对多、未匹配和重复；业务层判断差异是合法时间差、主数据差、金额差、状态差还是所有权差。合法时间差也要有预计关闭日，不能永久挂在“在途”。行业数据接口标准可作为结构化对账参考，但接口接收成功不等于业务一致。[SRC-J04-CSRC-AM-INTERFACE-2023]

差异类型	示例	是否可自动调账	责任	关闭条件
时间差	成交已记账、托管待市场交收	否；先标预计交收	ROLE-J04-14	到期交收或确认失败处置
主数据差	同一证券代码映射到不同资产	否	ROLE-J04-18 与数据所有者	修复映射、评估历史并全量重跑
金额差	管理费一方0.210、一方0.200	否	ROLE-J04-13、ROLE-J04-17	合同与费基确定正确数，错误方冲销
状态差	TA已确认、银行款仍未匹配	否，必要时冻结权益	ROLE-J04-12、ROLE-J04-14	资金合法匹配或撤销份额并通知
重复	渠道同一订单发送两次	不自动选一，先隔离	ROLE-J04-12	唯一有效来源确认，重复影响为0
所有权差	基金现金误入管理人账户	严禁以内部往来长期挂账	ROLE-J04-01、ROLE-J04-08	资金纠正、影响与报告判断、根因关闭

对账SLA按风险而非金额单一排序。客户份额、产品现金、证券权属、净值和监管报告差异即使金额小，也可能说明系统性问题；同类差异集中出现要升级为事件。差异关闭人不能是原始数据唯一修改人，关闭证据包括正确记录、反向核对、受影响下游重发和历史范围评估。

10.7 权限申请、紧急访问与季度复核

常规权限由岗位模板提供最小集合，业务负责人确认必要性，数据所有者确认范围，合规或安全按敏感度复核，科技执行；权限带法人、产品、环境、功能、字段、地域和期限。调岗先撤旧权再授新权；离任以人力事件触发即时撤权；服务账号绑定系统和用途，不挂个人邮箱。季度复核不是把名单发给经理点“全部保留”，而是提供最近使用、敏感操作、异常时间和冲突组合，让负责人逐项作保留、缩减或撤销决定。

紧急访问只用于明确事故或恢复任务，采用工单、双人批准、短时凭证、命令或会话记录、禁止批量导出、任务结束自动撤权和次日独立复核。数据库管理员不能因技术权限直接修改份额、价格、费用或付款状态；若恢复需要数据修复，业务所有者提供获批修复清单，先备份原记录，在隔离环境验证，双人执行并重跑全部下游对账。

10.8 数据血缘验收

任取一个正式单位净值，应能从披露页面回到发布批次、托管复核、基金资产负债、每项价格和费用、投资持仓与成交、现金与银行价值日、TA份额和客户订单。任取一笔管理费收入，应能回到管理人总账、应收和收款，再回到产品费用事件、已复核费基、规则版本和合同条款。若数据仓库只保存最终数而不保存源事件和转换逻辑，就无法处理重述、错价或规则变更。

终点字段	必须追溯	必须保留的变换	复演结果
单位净值	净资产、份额、资产负债、价格费用	汇率、精度、估值与费用规则版本	相同输入得到相同正式批次
投资收益	期初持仓、交易、价格、收入与公司行动	已实现/未实现分类、外汇和费用	产品收益不进入管理人收入
份额	期初、订单、净值、确认与注销	截止、精度、拒绝和纠正规则	金额与份额反算在容差内
管理费收入	产品费基、费率、期间、履约与收款	税前税后、冲销、应收与合同负债	收入桥和现金桥同时闭合