系统、数据、接口与权限

10.1 系统目标是“一票、一货、一套责任事实”

货代数字化不是把邮件搬进TMS，而是让每个关键事实有唯一权威源、合法状态转换和完整审计。客户主数据以获批主体记录为准；价卡以已批准版本为准；订舱与装载状态以承运人回执为外部证据；实装以仓库/场站事件为准；海关状态以官方回执为准；会计余额以ERP为准。BI只能汇总，不能反过来改权威事实。

10.2 主数据对象

对象	必备字段	数据所有者	高风险变更
客户主体	法定名称、编号、地址、关联、信用、授权人	ROLE-G05-02/06/15	收款/付款账户、授权邮箱
供应商	主体、服务范围、资质、银行、币种、有效期	ROLE-G05-04/13/16	银行账户、签单/报关范围
商品	描述、材质、用途、型号、HS依据、限制条件	客户事实所有者+ROLE-G05-10复核	归类、危险属性、最终用途
航线产品	起讫点、运输方式、承运人、截点、时效、备选	ROLE-G05-03	承运人、转运港、免费期
价卡	收费项、单位、币种、税口径、有效期	ROLE-G05-04/05	成本、汇率、适用客户
票务	票号、合同身份、路由、任务、外部编号	ROLE-G05-07	主体、货物、目的地、状态
单证模板	主分单规则、字段映射、签发主体	ROLE-G05-09/17	收发货人、放单方式

主数据变更必须有效期化：旧价卡不删除，新价卡有生效时间；客户更名保留历史主体；HS复核结论记录适用商品版本；海外代理银行账户变更采用独立回拨和双人批准。直接覆盖会让历史订单无法解释。

10.3 最小事件模型

每个状态事件至少包含：内部票号、事件代码、发生时间、时区、地点、对象编号（箱/单/货）、来源系统、外部回执、创建人/接口、接收时间、证据链接、是否人工更正、原事件引用和审批。预计时间与实际时间分字段；“预计开航”不能覆盖“实际开航”。

正在绘制业务流程…

10.4 字段一致性引擎

系统可自动比较但不能替人判断。推荐规则：

• 箱号校验位、封志号与仓库实装一致；
• 主分单件数、毛重、体积与舱单映射；
• 报关单商品项与发票、装箱单、许可证关联；
• 船名航次、起讫港与订舱确认一致；
• 收发货人变更触发授权和筛查；
• 实际重量/体积超过报价阈值触发重计费；
• 海关放行而承运人未装载保持两个状态；
• 供应商账单无票号、重复号或超价卡进入差异队列。

规则命中不是自动认定违规，而是阻断下游并要求责任岗位解释、补证或更正。所有“强制通过”须带权限、理由和到期复核。

10.5 权限与职责分离

高风险动作	发起	批准/复核	禁止组合
新客户与额度	销售	准入+财务	销售自批无限额度
低价/负毛利报价	报价	产品+经营授权	报价员删成本后自批
商品申报方案	关务复核	客户确认事实+授权关务负责人	申报员凭经验改商品事实
报关提交	申报员	按风险分层复核	共用账号
提单改单	单证	客户授权+主管/风控	创建人单独放单
电放/无单放货	单证	财务信用+法务/授权主管	仅凭即时消息
供应商银行变更	采购/代理管理	财务独立回拨+双人审批	邮件直接替换
付款	应付	授权审批+银行复核	建供应商、录账、付款一人完成
账单折让	客户经理	计费+财务/经营授权	为降逾期私自冲减收入

10.6 报关与舱单系统的身份安全

申报、舱单、单一窗口和承运人账号关联外部法律行为。必须实名、最小权限、强认证、终端控制、登录异常监测和定期复核；离职当日撤权；服务商远程访问限时；禁止浏览器保存共享密码。关键提交回执和原始报文要进入防篡改档案。错误提交只能通过合法更正流程处理，不能删日志。

10.7 接口失败

接口应有幂等键，确保重试不会重复建票、重复申报或重复付款；有消息序号和回执状态，区分“未发送、发送中、对方已收、业务接受、业务拒绝”；有死信队列和人工处理SLA；恢复后运行总量、金额、状态三类对账。操作员看到网页超时，应先查接口日志和外部回执，不得连续重发。

10.8 数据保护与跨境

客户、发货人、收货人、联系人、货物、价格、贸易路线和银行信息可能涉及个人信息、商业秘密或重要业务数据。收集应有目的与最小范围，外发海外代理要明确角色、用途、字段、保留、再转移与安全措施；客户门户默认遮蔽证件号、电话和银行信息；批量导出、下载和共享链接受控。数据出境须按数据类型、数量、主体、目的地和最新规则评估适用路径。（来源：SRC-NPC-DATA-SECURITY-LAW-2021、SRC-NPC-PIPL-2021、SRC-CAC-CROSS-BORDER-DATA-2024）

01国际货代数字控制塔把客户

02订舱

03仓运

04舱单

05报关

10.9 业务连续性

恢复目标按风险分级：报关/舱单截点任务优先于普通报表；放单与付款权限优先保护完整性而非只追求速度。备份必须可恢复，备用联系人、替代网络、手工票号、离线表单和回补SOP至少每半年演练。演练要模拟“主系统不可用且承运人截点临近”，验证业务能否在不借账号、不重复提交、不泄露数据的条件下继续或安全暂停。

10.10 控制塔不是一张世界地图

有效控制塔按异常优先级组织工作，而不是展示大量绿色航线。首页至少呈现未来72小时截点、已放行未装载、预计到达偏差、转运衔接不足、即将耗尽免费期、客户信用超额、供应账单缺失和受限方待复核。每个红灯点开后应看到票号、真实来源、最后更新时间、负责人、下一动作、截止时间和升级规则。

状态新鲜度比状态数量重要。海外代理三天前上传的“清关中”不应继续显示绿色；承运人预计到港变化后，客户门户须标注这是新预计而非实际；人工录入状态要与外部事件分色。管理层关注红灯关闭时长和重复原因，不要求员工为了大屏好看手工改绿。

10.11 客户门户的承诺边界

门户应让客户看到其有权查看的订单、单证、预计/实际事件、异常选择、费用和对账，但不能泄露其他客户拼箱信息、供应商底价、报关内部风控意见或员工个人数据。下载提单草稿、报关资料和账单要有版本与水印/审计；客户上传新文件后，旧文件保留并触发任务，不直接覆盖已申报版本。

预计时效必须写计算口径和最近更新时间，不能包装成保证到达。客户自助修改收货人、货物描述、放单或银行信息时，门户只接收请求，仍进入授权与合规审批；“自助”不等于绕开高风险控制。

10.12 自动化与AI能做什么

自动化适合抽取发票装箱单字段、比对主分单、校验箱号、计算体积重、识别价卡漏项、匹配供应商账单和生成异常摘要；AI可辅助翻译品名、归纳商品资料、建议问询问题和检索历史相似票。但商品归类、受限交易、危险属性、申报提交、放单、责任认定和重大费用不能让不可解释模型单独决定。

每个自动建议要显示原始来源、置信/规则、版本和人工确认人；模型输出不得自动写回法定申报字段；训练或调用外部服务前评估客户保密与数据跨境；错误样本进入复盘而非被删除。衡量自动化不只看节省工时，还看误报、漏报、人工推翻、异常提前量和最终损失。

10.13 数据质量责任

数据质量分准确、完整、及时、唯一、一致和可追溯六维。客户对商品与交易事实负责，仓库对实装负责，承运人对运输事件负责，海关回执证明监管状态，财务对账面与银行负责；IT负责让这些责任可执行而非替业务“拥有所有数据”。月度数据委员会只处理跨部门规则和主数据冲突，日常错误仍由源头岗位关闭。

数据问题	发现规则	业务负责人	修复标准
件重尺冲突	订舱、实装、舱单阈值比较	ROLE-G05-07/12	确认真实值并同步受影响单据
收发货人不一致	主分单、报关与授权比对	ROLE-G05-09/06	有授权、筛查和版本映射
装载状态冲突	承运人、码头与TMS事件比对	ROLE-G05-07	保留预计/实际并确认航次
成本归属缺失	供应账单无票号/重复号	ROLE-G05-16/04	匹配服务证据或退回
申报版本不可追	报文、附件、审批无关联	ROLE-G05-10/11	原始、提交、回执完整可回放

---

<a id="g05-ch11"></a>