技能提升网季度权限复核表有上千行，业务负责人很容易一路点“保留”。其中一个高权限账号数月没有使用，另一个看似闲置的角色却承担月底结账的备用职责。只看登录频率，两项都会被处理错。
AI可以整理岗位、角色、使用和历史审批的冲突，不能直接撤权，也不能把业务负责人沉默当成同意。高风险权限要逐项确认职责和替代安排。
先确认复核对象和所有者
锁定员工、外包人员、服务账号、共享账号和系统角色的截止快照。每项权限必须有业务所有者、系统所有者和可执行撤权的人。已离职、调岗或失效账号可分流到对应流程，不与本批在职复核混在一起。
使用记录只能当一条证据
| 证据 | 能说明什么 | 不能单独证明 |
|---|---|---|
| 近期使用 | 账号或权限曾被调用 | 业务仍然需要 |
| 岗位职责 | 理论上承担某项工作 | 当前权限级别合理 |
| 历史审批 | 过去曾经被批准 | 本期仍应保留 |
| 备用职责 | 特定日期或事故时启用 | 可以无限期高权闲置 |
系统日志可能缺失、共享或只记录登录。关键权限要结合实际业务步骤、职责分离和替代人员判断。
把结论分成四个队列
- 保留，岗位需要且级别合适
- 收回，职责结束或存在闲置风险
- 补理由，所有者尚未提供可核验证据
- 升级复核，高权限、职责冲突或异常使用
所有例外写明理由、批准人、范围和到期日。永久例外往往只是没有设置复查时间。
执行后必须从系统回读
- 先处理确认收回的低风险权限
- 高风险撤权确认业务窗口和应急联系人
- 从系统侧读取最终角色而不是只看工单状态
- 记录失败、残留组权限和替代访问路径
- 将未关闭项带入整改追踪并设截止日
用备用权限和闲置权限测试规则
选择一个确实需要保留的月末备用权限、一个长期闲置权限和一个职责冲突的高权限，检查模型能否把使用频率与业务必要性分开。先确认字段能对应、规则能区分边界项，再扩大到完整范围。首轮测试的目标是发现漏项和误判方向，不追求一次给完所有结论。
角色：信息安全、IT与业务系统负责人。
触发：季度权限复核覆盖大量在职员工，岗位、系统角色和实际使用记录并不一致。
资料：员工与岗位清单、系统角色、权限使用日志、高风险权限定义、例外审批、上期复核结果。
判断：哪些权限可保留、应收回、需补业务理由或升级高风险复核。
交付：权限复核矩阵、异常项、责任人确认记录和整改追踪表。
要求：每条结论标出证据位置、资料版本、未知项和需要谁确认，只生成建议与复核记录。
权限复核结果怎样交给执行团队
| 能力步骤 | 接收资料 | 交付结果 |
|---|---|---|
| 核对权限基线、职责分离和例外规则 | 本步骤对应资料 | 可交接结果 |
| 形成抽样证据、责任人确认和整改追踪 | 本步骤对应资料 | 可交接结果 |
最终应交付权限复核矩阵、异常项、责任人确认记录和整改追踪表。每个结论都保留输入版本、原始位置、人工修改和批准状态，接手人可以从异常行继续，而不是重新读完整资料。
高权限所有者缺席时停止审批
- 关键资料缺少版本、时间范围或唯一编号
- 不同来源给出冲突事实，且没有已授权的基准
- 动作会直接触发付款、合同、权限、生产、人事或对外承诺
- 继续处理可能导致保留闲置高权限形成安全敞口，或误收回关键权限造成业务中断
停止自动处理后，保留已经完成的证据整理和影响范围，标出阻塞项、接管人和期望回复时间。不要清空结果，也不要用模型猜测填补缺口。
制度核对与审计记录怎样衔接
policy-lookup负责定位最小权限、职责分离、定期复核和例外审批规则；Audit Support负责组织权限样本、所有者确认、例外证据和整改追踪。两项能力接力使用，前一步的输出要成为后一步可复核的输入。
AI不能撤销账号、解释所有系统日志或代表业务所有者批准。高权限、服务账号和职责冲突由安全、IT与业务负责人共同复核。
