子账号权限不是给不给，是谁能触发高风险动作

给新人开子账号，大部分人的做法是照着一个现成的角色复制一份，能进哪个模块就勾哪个模块。这个做法的问题在于，模块是一个容器，里面装的动作风险差得很远。

同一个 Listing 模块里，改一个错别字和批量替换属性字段，是两种量级的动作。勾了模块，等于两种都给了。

权限按动作分三档

我现在不给模块，给三档动作。

同一个模块里，单人可执行、双人复核、禁止下放可以并存

单人可执行，指的是做了就做了，事后留痕即可，比如文案与图片改动。双人复核，指的是提交前要第二个人确认，比如大促前的批量改动、超过一定金额的退款豁免。禁止下放，指的是无论谁都不能在子账号上做，比如账户资料变更、申诉与违规回复。

三档的划分依据不是重要程度，是不可逆程度。能撤回的放第一档，撤不回但影响可控的放第二档，撤不回且牵连账户主体的放第三档。

三个反模式

我把见过的权限配置问题归成三类，每一类都很常见。

第一个最普遍。权限是一次性动作，人是流动的。给的时候没记录，人走了没回收，两年后权限表上有十几个不知道是谁的账号。

第二个看着是效率问题，实际是风险集中。一个人拿全部权限，等于把所有不可逆动作放在一个人的判断上，而人赶时间时判断会下降。

第三个最隐蔽。有人从广告岗转到运营岗，广告权限没收，运营权限加上了。半年后他自己都不记得能改什么。

权限变更也要留痕

多数团队给权限变更留的记录是"某年某月给某人开了某权限"。这条记录没有用，因为它回答不了两年后的问题：为什么开，谁批的，现在还需要吗。

我要求权限变更记录写四列。改了什么权限，谁申请的，谁批的，预计什么时间回收。

第四列是关键。临时权限一定要有回收日期，没有回收日期的临时权限就是永久权限。我把临时权限的默认期限设成十四天，到期进复核清单，要延长的重新申请。

第三档为什么必须死守

第三档的动作有一个共同点：它们改的是账户本身，不是账户里的货。改动的结果会留在账户历史上，下一次审核、下一次争议都会看到。

这一类动作我不放给任何子账号，也不因为"这次赶时间"就破例。破例一次，第二次就有理由，第三次它就变成常态，而常态是最难收回的东西。

一个判断

权限管理的目的不是防人，是让每一次不可逆动作都能找到人。

这两句话的差别很大。防人的思路是把权限收得越紧越好，结果是所有人都来找你要权限，你成了瓶颈，最后大家用一个共用的高权限账号干活，风险反而更大。

找得到人的思路是，动作可以分散，但每个不可逆动作必须挂在一个人名下，并且有第二个人在场。按这个思路，权限可以给得宽，只要档位清楚、变更有记录。

我自己的做法是能放的都放，只有第三档死守，第三档每一次操作必须两个人同时在线。团队跑得动，出事也知道该找谁。

相关阅读：账号交给外部团队的责任边界、合规文件的四列归档。