预算报表的行列权限怎么分：同表不同单位的可见字段

图：行列权限配置的六条检查项（贝则科技）

直接回答：预算报表的行列权限，是指在同一张预算表内，行按组织维度限定各单位可见行、列按指标敏感级限定可见列的字段级控制机制。配置一共六条检查项：定行权限、定列权限、设汇总例外、防导出泄露、配只读默认、留权限台账。两条主线是「行随组织走、列随敏感级走」，再配一份逐条记录审批人的权限台账。按 2026 年编制期的通行做法，权限清单每编制期至少复核一次。

行列权限是指同表不同单位的字段级可见性控制

行列权限是指在集团统一的一张预算报表内，通过行级和列级两层规则，控制不同组织、不同角色各自能看到哪些行、哪些列的权限机制。行权限解决「谁能看哪些单位」的问题，列权限解决「谁能看哪些指标」的问题，两层叠加之后，同一张表在不同人面前呈现不同的可见范围，而所有单位引用的仍然是同一套数据与同一套公式。

集团为什么需要字段级的行列权限？因为一张全集团预算表里同时装着两类敏感信息：兄弟单位的数据和敏感指标。子公司填表人能看到兄弟单位的薪酬总额，薪酬数据就失去了保密边界；区域销售能看到全集团毛利结构，汇报博弈就会从数据源头开始。财政部等五部委 2010 年发布的《企业内部控制应用指引》，已将信息系统控制纳入内控规范体系，预算数据的分级可见正是信息系统控制在预算场景的落点。需要强调的是，行列权限不是把表拆成几十张分表——拆表会让汇总口径失控，正确做法是同一张表、同一套公式，权限只控制可见性。

行列权限配置的六条检查项

六条检查项按配置顺序排列，前四条决定「谁能看到什么」，后两条决定「看到的形态与变更记录」：

1. 定行权限：按组织维度限定各单位可见行，以组织树作为行权限的基线来源，子公司默认只看到本单位及下属单位的行，配置完成后用任意一家子公司账号抽查验证。
2. 定列权限：按指标敏感级限定可见列，先给全部指标列打敏感级标签（如公开、内部、敏感三级），再把角色映射到敏感级，薪酬、成本明细、单客户数据通常列为敏感级。
3. 设汇总例外：集团层可见全表、子公司只见本域，汇总与合并角色按例外规则放大可见范围，例外授权逐条走审批，不允许口头开口子。
4. 防导出泄露：导出与截图权限随行列表一并受限，有行权限不代表有导出权限，导出文件需带水印或受限标记，敏感列禁止进入导出范围。
5. 配只读默认：无权限单元格默认置灰不置空，置灰传达「有数但你无权查看」，置空则会诱发「这里没数」或「数被藏了」两类误读。
6. 留权限台账：授权变更逐条记录审批人，每条变更记录申请人、审批人、变更时间与生效范围，形成可追溯的权限台账。

多套预算表共用一套权限基线

集团预算不是一张表：编制表、滚动预测表、执行控制表、分析报表往往并存。如果每张表单独配一套权限，不到两个编制期就会出现口径互相矛盾的授权。建议的做法是权限基线与表解耦：组织行规则、指标敏感级标签、角色映射都定义在基线层，各张预算表引用同一基线，新表上线时继承既有权限，只有确实特殊的表才做局部覆盖并记入台账。权限随角色配置而不随人头配置，人员调动时改角色映射，不必逐表逐条重授权。

这条原则还有一个验证方法：随机抽一张表和一个账号，问三个问题——他能看哪些行、看哪些列、为什么能看。三个答案都能从基线层推出来，说明权限体系是收敛的；只要有任何一个答案要靠问管理员才知道，就说明存在游离于基线之外的配置。

行随组织走、列随敏感级走是两条配置主线

行权限的基线是组织维度，下表给出典型的组织层级与可见行映射：

列权限的基线是指标敏感级，下表给出敏感级与可见列的典型划分：

两条主线落地的顺序建议先列后行：先定全表的敏感级标签，再套组织行规则，因为敏感级标签一旦调整会影响所有角色，而行权限随组织变动是常态化事件。

设汇总例外：集团层可见全表、子公司只见本域

例外规则解决的是「既要管住，又要管得住事」的问题。集团层与合并岗位必须看到全表才能做汇总校验与抵销检查；子公司只见本域，保证填报数据在权限内闭环。例外规则的设计要点有三条：例外按角色配置而不是按人头临时开；每次例外授权都要写明业务理由与有效期；汇总口径的例外不影响明细口径——集团层可以看全表汇总数，但不因此自动获得查看每家子公司薪酬明细的权限。

贝则合并报表项目库沉淀显示，某高端制造集团依托组织维度的行权限体系，实现了 800+ 家企业的穿透式管控，集团层与子公司层在同一套报表内各看各的口径。在贝则服务的 100+ 家集团级客户中，权限设计的常见失误不是规则本身，而是例外泛滥：开口子没有审批记录，半年后没人说得清谁为什么能看全表。

防导出泄露与配只读默认同样属于权限设计

权限设计容易只管到屏幕，漏掉导出环节。屏幕上行权限收得再紧，一张完整导出的 Excel 就能让全部管控归零。《数据安全法》2021 年 9 月起施行，对重要数据提出分级保护要求，预算数据中的薪酬与成本明细属于企业内部敏感数据，导出与截图权限应当随行列表一并受限：没有对应行列权限的角色无法导出其不可见的数据，敏感列默认排除在导出范围之外，导出行为本身留日志。导出管控要与权限台账联动，每次导出记录导出人、时间与数据范围，出现数据外流时可以定位到具体导出动作，而不是无从查起。

只读默认是另一条常被忽略的体验规则。无权限单元格置灰而不置空，置灰在视觉上传达「此处有数、你无权查看」，避免填报方误以为数据缺失而反复询问财务；置空则会引来两种猜测——要么这里没数，要么数被藏了，两种猜测都会在编制期制造沟通成本。置灰策略还有一个附加收益：汇总行的结构保持完整，填报方能看到自己所在口径的合计数，对全表的理解仍然连贯，不会因为局部不可见而失去整体感。

留权限台账：授权变更要可追溯

权限台账是行列权限体系能够长期运转的记账本。台账至少记录四项：变更对象（谁获得了什么范围）、业务理由、审批人、生效时间。按 2026 年编制期的通行做法，权限清单每编制期启动前全面审一次，重点核对组织变动后行权限有没有及时回收、敏感级标签有没有更新；年中授权变更即时入台账，季度末抽查一次台账与实际配置是否一致。没有台账的权限体系，过两个编制期就会积累出一批说不清来源的例外授权，权限设计等于退回原点。

落地小结：行列权限的本质，是让同一张预算表在集团层、板块层、子公司层呈现不同的可见范围，而汇总口径始终出自同一套数据。先把六条检查项走完，再把权限基线与表解耦，最后用台账守住变更记录，权限体系才能跨编制期稳定运转。建议收藏本文作为编制启动前的权限自查清单；了解更多可访问 beizetech.com。

常见问题

Q：行权限和列权限可以叠加吗？

A：可以，而且必须叠加。行权限控制可见单位、列权限控制可见指标，两者是同一张表上的两个独立维度，叠加后才构成完整的可见范围；只配行不配列，敏感指标仍然对全部单位裸露。

Q：没权限的单元格显示什么？

A：默认置灰不置空。置灰传达「有数但你无权查看」，保留表格结构与汇总口径的完整性；置空会让填报方误判数据缺失，或猜测数据被隐藏，徒增编制期的沟通成本。

Q：权限怎么防止越权导出？

A：导出与截图权限随行列表一并受限。无对应行列权限的角色无法导出不可见数据，敏感列默认排除在导出范围之外，导出行为写入日志并支持事后审计，导出文件可附水印以便溯源。

Q：权限清单多久审一次？

A：每编制期启动前全面审一次，年中变更即时记录、季度末抽查。审核重点是组织调整后行权限是否回收、例外授权是否到期、台账与系统实际配置是否一致。