第 10 章 · 共 15 章
系统、数据与权限
10.1 系统架构
CRM管理客户与商机，CPQ或报价工具管理产品价格，合同系统管版本和签署，项目系统管计划工时风险，LMS管参与和成果，讲师系统管认证排期，工单管问题，ERP管收入成本应收，数据仓管指标。每个系统有权威对象，报表不能直接从临时Excel覆盖。
10.2 主数据
客户主体、集团关系、联系人、产品版、价格、讲师、课程、项目、参与者和场次都有ID。客户简称不作主键，员工邮箱变化保留历史。合同、SOW、订单和变更互相关联；项目拆多期或多国时保留父子关系。收入事件指向具体里程碑与证据。
10.3 参与者数据
企业提供名单前明确字段、目的、告知和责任；只为发邀请通常不需要身份证、家庭或完整员工档案。测评、录像、发言和经理反馈可能更敏感，分别确定访问和保留。个人信息处理遵循目的明确、最小必要、公开透明和安全等要求。[SRC-NPC-PIPL-2021]
10.4 权限
销售看客户和商机，不看个人测评；讲师看自己场次必要画像，不看商业价格；项目经理看计划与参与状态，不改收入；财务看合同和验收，不改学习结果；客户管理员看其组织获授权汇总，不默认看个人答案；平台管理员临时运维，不能成为业务审批人。
| 禁止组合 | 风险 | 控制 |
|---|---|---|
| 销售自批折扣和合同 | 利益冲突 | 价格与法务授权 |
| 项目经理自建变更又验收 | 免费扩围/虚假完成 | 双方授权人 |
| 讲师改出勤又发证 | 学习证据失真 | 运营复核 |
| 财务改里程碑 | 提前收入 | 项目与客户证据 |
| 管理员导出又删日志 | 数据滥用 | 到期权限、不可变日志 |
10.5 线上学习与AI
在线活动以实际学习行为和成果为证据，不以账号开通或视频播放完自动证明能力。AI可辅助需求归纳、案例草拟和反馈，但客户机密与员工数据不进入未批准服务；输出由教研或讲师复核。自动评分与人才画像有目的、偏差、人工复核、申诉和退出。
10.6 数据质量
参与者关联有效项目与授权；场次关联讲师、课程版和时间；出勤不超过场次；测评有题版和评分规则；证书条件齐；里程碑与交付证据对应；开票不超过合同或变更；收入不超过已履约对价；退款或贷项不超过可退；就业或绩效结果不冒充培训因果。
10.7 灾备与供应商退出
恢复抽取待开、学习中、改期、取消、已完成、评价争议和待验收项目，检查名单、权限、课程、活动、成果和财务。供应商退出前导出课程、提交、成绩、证书和日志，验证替代平台、撤销账号和数据删除。能登录不等于业务恢复。
10.8 业务事件与状态机
系统不应只保存一列可随意修改的“项目状态”，而应记录导致状态变化的事件，例如 SOW_APPROVED、ROSTER_LOCKED、SESSION_DELIVERED、ATTENDANCE_CONFIRMED、MILESTONE_ACCEPTED、INVOICE_ISSUED 和 CASH_RECEIVED。事件包含唯一ID、发生时间、业务时间、操作者、对象、前后状态和证据链接。【典型做法】
状态机规定谁能触发、需要哪些前置条件、是否可逆以及逆转怎样审计。“删除已交付课程再重录”会破坏收入和出勤证据，应使用冲销或更正事件保留原记录。
10.9 集成、幂等与对账
CRM、项目系统、LMS和财务系统传递订单、学员、场次、验收与开票时，每条消息使用唯一幂等键。接收方重复收到同一消息只能产生一次业务效果；失败进入可重试队列，并由每日对账发现“源系统成功、目标系统缺失”的断点。【典型做法】
常见三组对账是合同对订单、已交付场次对可验收场次、开票收款对财务凭证。差异分为时间差、主数据差、重复、遗漏和真实争议，并指定关闭时限。Excel人工补录可以应急，但补录也要有工单、双人复核和后续根因修复。
10.10 可观测性与审计日志
线上课堂的“系统可用”不只看页面能否打开。运营应观察登录成功率、直播延迟、音视频失败、测评提交成功率、证书生成失败和客服响应。告警分级与课程重要性、在线人数和可恢复时间相匹配。重要直播前完成容量、备用会议室、录制和热线演练。【典型做法】
审计日志至少覆盖权限授予、名单导出、成绩修改、证书撤销、验收文件替换和财务字段变更。普通管理员不得自行删除日志，并规定查询审批和保留期限。日志不是监控所有员工，而是在争议时还原谁在何时依据什么做了什么。
10.11 AI辅助教学治理
AI可用于大纲草拟、案例生成、作业反馈和知识问答，但不能默认把客户资料、学员答案、录音和商业秘密发送到外部模型。产品负责人先登记使用场景、输入类别、模型或供应商、输出用途、人工复核、保留和退出方式，再决定是否上线。【风险提示】
对会影响学员评价、人才盘点或晋升建议的输出，必须保留人工复核、申诉和纠错；不能把模型生成的能力结论包装成确定事实。课程材料还要检查版权、事实错误、偏见和提示注入。供应商升级模型后，重新验证关键用例，不假定新版一定更好。
10.12 权限全生命周期
权限从入职、换岗、项目加入、临时支持到离职形成闭环。客户空间默认按项目隔离，外部讲师只看到授课所需的最小名单和材料，不浏览客户全部人才数据。临时权限自动到期；高权限操作使用多因素认证和定期复核。【典型做法】
项目关闭时，经理发起访问回收清单：客户共享盘、LMS班级、直播主持、问卷后台、录像、财务台账和供应商账号逐项确认。离职人员个人云盘若保存唯一版本，说明项目从开始就缺少组织级资产管理。
10.13 云与供应商退出演练
采购平台时除功能评分，还验证数据导出格式、耗时、批量停用、录像获取、接口文档、服务终止后的删除证明和替代方案。合同里的“可导出”必须实际演练，否则可能只得到无法关联项目ID的零散文件。【风险提示】
至少每年选一个非高峰班级演练导出名单、出勤、进度、测评、证书和审计日志，在隔离环境恢复并抽样核对。记录恢复点、恢复时间、缺失字段和修复责任人。对单一供应商依赖的直播或考试服务，准备人工签到、备用会议和延后通知剧本。
10.14 需求、变更与发布
系统需求应从业务控制出发。“项目经理能修改出勤”还需说明时间窗、原因代码、证据、审批及对证书和结算的影响。产品、运营、财务与合规共同验收跨域变更，避免页面改好却使收入台账和客户报告错位。【典型做法】
开发、测试、预生产、生产环境隔离。重要课程前设置冻结窗口；紧急修复需要审批、回退方案和事后复盘。证书门槛、问卷匿名性和保留期等配置也要版本化，因为配置错误同样会造成大规模事故。
10.15 数据保留、删除与证据
数据保留不是越久越好。合同、会计凭证、验收、学习记录、录像和营销线索的目的与期限不同。数据负责人建立保留表：类别、目的、依据、存储、负责人、期限、删除方式、诉讼保全例外和销毁证明。【风险提示】
学员要求更正资料时，判断哪个系统是权威源并同步下游；客户要求删除项目数据时，先识别依法或依合同必须保留的财务和争议证据。删除动作可验证，备份按既定轮换到期并限制恢复用途，不能承诺技术上无法实现的“立即清除所有副本”。
章末理解检查
合上原文，你能讲明白了吗？
不看原文，用自己的话解释「系统、数据与权限」真正要解决什么业务问题。
已输入 0 个字，还需 12 个字；提交后会显示自检标准，并把本章记为已完成。