系统、数据与权限

10.1 系统不是越多越专业

旅行社最小系统链应让一次输入尽量复用：CRM中确认的姓名、日期和特殊需求进入订单主档，订单引用产品版本，资源系统回写确认，调度只读冻结合同并生成任务，行中事件进入客服与安全台账，财务从已批准订单和签单结算。若十个Excel、五个群和三套系统分别维护名单，出发日一定会出现“哪个版本才是真的”。

正在绘制业务流程…

10.2 主数据

主数据	唯一标识	权威系统	关键质量规则
产品/团期	产品ID+出发批次	SYS-L05-02	版本、适用客群、许可、行程、售价与成本有效
订单	订单ID	SYS-L05-03	合同主体、客户、团号、金额、状态唯一
旅客	订单内旅客ID	SYS-L05-03	姓名与证件按使用目的校验，历史版本留痕
供应商	供应商ID	SYS-L05-04	签约收款主体、许可、账户、保险和状态一致
资源确认	资源确认ID	SYS-L05-04/05	规格、数量、名单、确认号、释放和付款准确
团队事件	事件ID	SYS-L05-06/09	时间地点人员、等级、指令、证据和关闭完整
财务结算	团号+结算批次	SYS-L05-08	收入成本应收应付退款追偿可勾稽

10.3 最小权限矩阵

数据/动作	销售	产品采购	OP/领队	客服安全	财务	IT/审计
客户联系方式	本人订单可见	原则上脱敏	必要团队可见	处理工单可见	付款必要字段	管配置与审计，不默认读内容
证件影像	仅采集/核对	不默认可见	必要时受控查看	事件所需最小范围	不看影像	加密、日志、到期删除
健康/特殊需求	采集并解释目的	只看影响产品的最小标签	与安全履约有关的必要信息	必要完整处理	不默认可见	不默认读取
产品价格成本	只看批准售价	可编辑职责范围	只看执行规格	只看补救所需	全部核算	权限与日志
退款/赔付	发起	提供事实	提供行中证据	判断并发起	复核支付	不能代业务批准
供应商账户	不可改	维护申请	只读必要联系人	只读	复核付款	监控变更与双人控制

10.4 四类高风险数据事件

1. 错发名单：把A团护照包发给B团地接。立即停止传播、要求删除、确认接收范围、评估报告与通知义务并整改。
2. 共享账号：多人共用票务或OTA后台，无法定位改名退票责任。应一人一号、强认证、最小权限和操作日志。
3. 导游设备丢失：设备含离线名单、健康提示和联系方式。应远程擦除、令牌失效、事件登记和风险评估。
4. 跨境云同步：境外地接或全球SaaS接收旅客信息。上线前核必要性、法律路径、合同、区域、字段、保存和事件协作，并链接第12章差异模块。

10.5 数据质量门

姓名、证件、出生日期、性别、航段、房型和紧急联系人错误可能直接导致无法出票、无法入境、错房或延误救助。系统要区分“客户填报”“已人工核验”“已供应商确认”“已出票/已签证”“已变更”状态；每次修改保留操作者、时间、原因和影响范围。不能用绿色单元格代表所有核验都完成。