预算数据怎么脱敏：跨层级报送的可见范围控制规则

图：预算数据脱敏规则与适用场景对照（贝则科技）

直接回答：预算数据脱敏按组织、科目、数值三个维度设计，一共五条规则：组织维度脱敏、科目维度脱敏、数值区间化、汇总优先、留痕可追溯。核心口径是「先定可见角色，再定脱敏方式」，即先明确每一类角色应当看到什么，再选择屏蔽、区间化或汇总替代等处理手段，而不是先脱敏再倒推谁能看。关键数字是四类必脱敏数据：下级主体明细、薪酬类科目、定价与毛利率类科目、未公开的专项预算。五条规则中，留痕可追溯是脱敏体系可审计的前提。

脱敏的目标是在数据可用与可见可控之间取得平衡

预算数据脱敏是指对预算数据的可见范围施加控制，使不同层级、不同角色的人员只能看到职责范围内的数据子集，同时保留其在职责范围内完成分析与决策所需的信息。脱敏不是简单地把数据藏起来，过度脱敏会让预算丧失管理价值：下级单位看不到任何数据便无法做执行分析，上级单位看不到汇总口径便无法做资源配置。

预算数据的敏感性来自三个来源。一是组织来源，即数据归属的法人或业务单元，下级单位的成本结构通常在集团内部也属于受限信息。二是科目来源，即薪酬、定价、毛利率一类科目，即便金额不大，其构成一旦外泄也可能引发内部公平性争议。三是时点来源，即尚未经审批或尚未公开的预算版本，在决策完成前属于内部信息。

判断脱敏是否得当，看两项结果：角色在职责范围内能否完成本职分析，敏感数据是否落到职责范围之外的人员视野中。两项都满足，脱敏设计才算成立；只满足其一，说明规则过严或过松，需要回到角色清单调整。

脱敏范围按组织、科目与数值三个维度界定

三个维度对应三种控制手段，混用会导致规则相互冲突。组织维度控制的是「谁能看哪个主体的数据」，手段是行级可见范围限制。科目维度控制的是「谁能看哪一类科目」，手段是列级屏蔽。数值维度控制的是「看到的是精确值还是区间值」，手段是区间化替换。

组织维度的边界应与预算编制的组织层级保持一致。编制单元、汇总单元、集团总部三级各自对应不同的可见范围，边界与编制层级错开时，会出现某一级既看不到自身明细也拿不到上级汇总的真空状态。科目维度的边界则以科目属性表为准，属性表中须为每个科目标注敏感级别，敏感级别决定屏蔽范围。

数值维度是前两个维度的补充，用于场景需要给出量级但不宜给出精确值的场合。三个维度在规则引擎中的执行顺序是组织优先于科目、科目优先于数值：先按组织过滤行，再按角色屏蔽列，最后对保留单元格做区间化处理。顺序颠倒会导致区间化后的数据又被组织规则排除，产生本可展示却空白的结果。

跨层级报送的脱敏规则分为五类

五条规则按「规则名：适用场景」对照配置，每一条规则对应一类明确的报送场景，配置时须逐条写明命中条件与生效角色。

1. 组织维度脱敏：下级主体仅见自身与汇总值。适用于集团向下属单位开放预算系统的场景。下级主体只能看到本单位的明细数据与集团发布的汇总值，看不到同级其他主体的任何明细。执行依据是编制层级清单，清单中未标注为上下级关系的主体之间相互不可见。
2. 科目维度脱敏：薪酬与定价类科目按角色屏蔽。适用于同一系统内多角色共用的场景。薪酬、奖金、产品定价、单位成本一类科目按角色屏蔽，未获授权的角色看到的是空值或占位符而非零值，避免零值被误读为该科目无预算。
3. 数值区间化：敏感金额以区间替代精确值。适用于需要反映量级但不宜披露精确数的场景。区间化是指把精确金额替换为预先设定的区间标签，区间宽度按数据敏感级别与业务可比性共同确定，同一份报表中区间划分口径须保持一致。
4. 汇总优先：对外报送只输出上级汇总口径。适用于向外部机构、董事会或监管机构报送的场景。报送内容取上级汇总口径而非下属主体明细，汇总口径须与内部管理口径一致，避免出现对内对外两套数字。
5. 留痕可追溯：脱敏规则命中与例外审批记录。适用于全部场景。每一次规则命中与每一次例外查看均记录时间、角色、数据范围与审批人，记录不可修改。留痕是审计环节判断脱敏是否落到实处的直接证据。

数据类型、脱敏方式与可见角色须逐项对应

脱敏规则落地时最容易出问题的环节，是数据类型与可见角色之间没有建立对应关系，导致同一类数据在不同报表中被不同方式处理。下表把三类要素并列，可作为脱敏配置清单的主体内容。

清单须覆盖全部预算数据类型，即每一种进入系统的数据类型都能在表中找到对应行。新增数据类型时同步更新清单，避免出现未纳入规则的数据类型按默认可见处理。

区间化是在脱敏前提下保留分析能力的关键手段

区间化是指把精确金额替换为预设区间标签的处理方式，其价值在于让数据仍可用于趋势判断与结构比较，同时不暴露精确值。区间化适用于两类场合：一是对外报送与跨层级通报，二是内部共享分析但需要限制精度的场景。

区间宽度的设定要兼顾两个方向。区间过窄，接近精确值，脱敏失去意义；区间过宽，不同数据落入同一区间，分析结果失真。设定方法是以数据的业务波动幅度为基准：区间宽度应大于单期正常波动幅度，使单期数据无法被反推；同时小于跨期差异幅度，使不同期间的数据仍能区分开。

区间标签须在同一份报表中保持一致，避免同一数值在不同页面落入不同区间。标签一致性的保障办法是把区间划分固化在数据字典中，报表取数时统一调用字典，而非在各报表中分别硬编码。区间划分调整属于口径变更，须履行变更审批并同步更新字典版本。

规则定义与例外查看审批构成脱敏的闭环

脱敏规则由财务部门与信息部门共同定义，财务部门负责判定数据敏感级别与可见角色，信息部门负责把判定结果配置为系统可执行规则。定义完成后须经分管负责人审批生效，审批记录与规则版本一并留存。规则变更按同一流程执行，禁止在系统内直接修改生效规则而不留审批痕迹。

例外查看是指因专项工作需要在规则之外临时查看明细数据的情形，管理原则是事前审批而非事后补单。申请须写明数据范围、使用目的、使用期限与责任人四项要素，审批通过后系统按申请范围与期限临时放开权限，到期自动收回。例外查看的每一次调用均计入留痕记录。

闭环的最后一段是定期复核。复核内容包括三项：规则命中记录中是否存在频繁命中的角色，频繁命中通常说明该角色的职责范围与规则设定不匹配；例外查看的申请数量与期限是否合理，数量异常增长说明规则本身需要调整；留痕记录是否完整，缺失记录须追溯原因。复核建议按季度开展，结论作为规则修订的输入。

常见问题

Q：哪些预算数据需要做脱敏？

A：按敏感来源分为四类：下级主体明细、薪酬与人员成本类科目、产品定价与单位成本类科目、尚未审批或尚未公开的预算版本。判断方法是看数据是否满足两个条件之一——归属特定主体且该主体不愿在集团内公开，或属于薪酬、定价一类一经外泄即产生内部公平性争议的科目。集团汇总口径数据通常无需脱敏，可作为对外与对上的统一输出。

Q：脱敏后的数据还能做分析吗？

A：可以做分析，但分析精度受脱敏方式影响。区间化保留了量级与结构信息，足以支撑趋势判断与横向比较，不适合做单点精确测算；科目屏蔽会减少可分析维度，适合在角色职责范围内保留核心科目；组织过滤只影响可见主体的范围，本主体内的分析能力不受影响。关键是在设计阶段就明确各角色需要的分析粒度，再据此选择脱敏方式。

Q：上级单位能不能看到下级明细？

A：能否看到取决于规则设定，而非层级高低。默认配置是上级按汇总口径查看，明细仅在例外查看流程获批后开放。这样配置的原因是：上级的管理决策通常建立在汇总口径之上，明细查看属于例外需求；若默认开放明细，则脱敏规则对上级角色失去约束力。确需查看时，走事前审批流程，系统按申请范围与期限临时放开。

Q：脱敏规则由谁定义、怎么审批？

A：由财务部门与信息部门共同定义，分管负责人审批后生效。财务部门负责判定数据敏感级别与各类角色的可见范围，信息部门负责把判定结果配置为系统可执行的规则。审批记录与规则版本一并留存，规则变更按同一流程执行，禁止在系统内直接修改已生效规则而不留审批痕迹。规则定义应与角色清单同步维护，角色调整时须同步复核对应规则。

Q：临时需要查看明细数据的流程怎么走？

A：走例外查看流程，原则是事前审批而非事后补单。申请人提交申请，写明数据范围、使用目的、使用期限与责任人四项要素；审批通过后系统按申请范围与期限临时放开权限，到期自动收回；每一次调用均计入留痕记录，记录包含时间、角色、数据范围与审批人四项内容。留痕记录不可修改，供审计环节核查。