系统、数据、接口与权限

10.1 目标架构

正在绘制业务流程…

系统建设优先顺序：先统一ID和状态，再做接口；先保证可追溯，再做自动化；先把高风险动作设门禁，再追求录单速度。用RPA把错误主数据更快提交给海关或银行只会扩大损失。

10.2 十二类主数据

主数据	所有者	关键字段	变更控制
客户	销售运营+合规	法律名、注册、地址、税号/识别、关联、国家	关键字段二次审核
付款人/收货人/最终用户	合规	与客户关系、地址、用途、授权	每次新增重筛
供应商/制造商	采购+质量+合规	主体、工厂、账户、品类、产能	账户变化独立回拨
SKU/型号	产品	规格、材料、用途、版本、图片	工程变更流程
HS/申报要素	关务	候选编码、依据、申报字段、有效期	产品/税则变化触发
许可与管制	合规	清单/许可结论、范围、期限、条件	业务日动态复核
原产地	原产地专员	规则、BOM、生产、证明、协定	供应/BOM/规则变化
国家/地区	市场+合规	准入、制裁、税务、标签、当地负责人	90天或重大变化复核
贸易术语地点	运营/法务	规则、版本、精确地点、责任扩展	合同审批
银行账户	资金	户名、账号、银行、币种、证明	创建/修改双人审批
单证模板	单证+法务/关务	用途、字段、版本、语言	不覆盖历史版本
税务参数	税务	税率/退税率、主体、商品、日期、来源	动态来源和审批

10.3 状态权威源

状态	权威源	辅助源	禁止做法
合同生效	已签合同/批准电子签与先决条件	CRM	业务员手工勾选即生效
定金收到	银行权威回执并完成认领	客户水单	截图当到账
质量放行	QMS批准记录	供应商报告	口头“没问题”
申报放行	海关权威回执	报关行消息	群消息当结关
已装运	承运证据+实际交接	GPS/货代节点	仅订舱成功
信用证相符交单	银行交单/审单状态	内部预审	客户承诺接受
尾款收到	银行回执并认领	SWIFT/客户通知	销售预测
退税完成	税务回执+银行到账/账务	申报受理	提交即视为现金
订单关闭	七账对账审批	单部门“完结”	发货后自动关单

10.4 最小权限与相斥矩阵

高风险动作	创建	复核/批准	不得兼任
新建客户/最终用户	销售运营	合规/信用	同一销售自批
修改收付款账户	主数据/资金操作	资金主管+业务原联系人核验	付款执行人单独修改
新建/修改HS和监管结论	关务/产品	独立关务/合规	货代直接写企业主数据
商品合规放行	合规分析	授权合规负责人	销售或采购覆盖
质量放行	检验员	质量授权人	采购单独放行
报关提交	报关操作/受托方	企业关务复核	同人改事实并提交
生成信用证单据	单证	另一单证/资金复核	制单人自认无不符点
供应商付款	AP/资金操作	业务验收+财务授权	账户维护与付款同人
客户退款/折让	客服/销售发起	财务+法务/经营授权	销售私下承诺并执行
退税申报	税务操作	税务主管/会计复核	业务员提供虚假匹配

10.5 接口失败与人工兜底

接口失败时不能静默回落为自由文本。建立队列：失败订单、字段、源系统、目标系统、最后成功时间、重试、人工复核、补传结果。海关、银行和税务等外部状态必须保存原始回执；人工录入要附回执并由第二人复核。系统恢复后做增量对账，防止重复申报、重复付款、重复收款认领或重复退税申报。

10.6 数据与隐私

客户联系人、身份证件、签名、银行账户、最终用户资料和员工信息按目的最小化收集、分级访问、加密传输与期限保存。个人信息跨境提供可能触发专门义务，本篇只设R10决策入口；不得把整套尽调和信用证材料发到未经批准的个人邮箱、公共网盘或聊天群。[SRC-NPC-PIPL-2021]

技术图纸、BOM、源代码、性能数据还可能是商业秘密、受许可技术资料或管制相关数据；数据权限不能只按“是否含个人信息”判断。下载、批量导出、外发、打印和永久删除都要留痕，高风险资料按项目和最终用户隔离。

10.7 审计日志与业务连续性

必须记录谁在何时查看/修改客户、商品、编码、合规决策、合同、账户、单证、申报、付款、退款和税务参数；记录修改前后值、理由、关联审批和来源。日志不可由业务管理员随意删除。定期演练：ERP不可用如何发货；单一窗口异常如何留待办；银行接口中断如何防重复付款；单证库损坏如何恢复原件；关键单证员缺席如何交接。连续性预案同样受四门放行约束，系统故障不是绕过合规的理由。