金融分支机构 IM 方案：网点、总部与外包人员的权限分层

上线三个月后，常见的情形是：网点柜员能在通讯录里搜到总行各部门负责人，一个已经结束的驻场项目群里还留着外包人员的账号。系统运行正常，权限边界却没有跟着组织结构走。

金融分支机构的 IM 权限，难点不在聊天功能，而在三种关系同时存在：总部与网点的层级关系、业务条线之间的协作关系、正式员工与外包人员的身份关系。只分管理员和普通用户两级，后面只能靠人工补漏洞。这也是金融分支机构 IM 方案里容易漏掉的一段。

下面这套方法分成四层：身份、组织、协作、审计。每一层都给出网点、总部、外包人员的配置口径，再落到选型验证和上线顺序。它适用于银行、保险、证券等金融行业即时通讯场景，也适用于集团型机构的内部沟通平台。如果机构只有一层办公地点、没有外包驻场，四层可以简化成身份、协作、审计三层；层级越多、外包越多，组织层和审计层越不能省。

为什么两级权限在金融分支机构不够用

两级权限的问题不是管得不严，而是管错了对象。它把人分成管理员和普通用户，却没有回答三个更具体的问题：这个人属于哪个组织，能进哪些群，能带走哪些文件。

通讯录全量可见，是容易被忽略的越权入口。 网点人员通常只需要联系本网点同事、上级行对接人和常用条线。把全行通讯录一次性开放，等于把组织关系、岗位设置和人员信息交给所有人。信息本身未必敏感，但被用于营销骚扰、冒充上级或社会工程时，风险就出现了。

群组会绕过通讯录隔离。 跨部门项目拉一个群，群成员就能看到彼此、文件和历史消息；项目结束后群没有归档，离职人员没有退群，群文件长期开放。很多越权访问不是从后台配置进去的，而是从一个没人管理的群进去的。

外包账号的生命周期容易失控。 共用账号、离场不停用、项目结束后权限仍然有效，这三种情况都会让日志失去意义。出了问题，只能看到某个外包账号，找不到具体的人。

监管对这类边界有直接要求。《银行保险机构信息科技外包风险监管办法》（银保监办发〔2021〕141号）明确，银行保险机构不得将信息科技管理责任、网络安全主体责任外包，机构要承担外包风险管理的最终责任。外包人员的账号开通、权限变更、离场回收，不能交给供应商自己管。

监管长期强调的“必需知道”和“最小授权”，落到 IM 上就是：不该看到的通讯录不展示，不该进的群不拉入，不该带走的文件不开放导出。

权限分层的目标不是把系统管死，而是让每一次访问都有明确的人、组织、事由和期限。

四层权限模型：身份、组织、协作、审计

IM 权限分层可以拆成四层，每层只回答一个问题。层与层之间不能互相替代，也不能靠一个开关解决。

层级	回答的问题	主要配置	常见失误
身份层	账号是谁的	实名、账号类型、来源、有效期、一人一账号	外包共用账号、离职账号未停用
组织层	他属于哪个组织	总部、分行、网点、条线、通讯录可见范围、组织隔离、分级管理员	通讯录全行开放、管理员权限集中
协作层	他能和谁协作	单聊范围、群组、跨机构群、项目群、文件权限	拉群代替授权、群文件长期开放
审计层	他做过什么	登录、消息检索、文件操作、管理操作、审计员只读	审计员兼管理员、只看不记录

四层不是四个后台菜单，而是一套从账号到审计的规则链。

身份层：先确认账号是谁的

身份层是权限设计的起点。正式员工、外包人员、临时驻场人员要用不同账号类型，一人一账号，实名到人。账号来源尽量以 HR 系统、LDAP 或 AD 为准，避免 HR 一套、OA 一套、IM 再一套。

外包账号要额外记录供应商、项目、进场日期和有效期。项目结束或人员离场，账号随项目状态停用，而不是等人事想起来再处理。

共用账号看起来省事，实际会让日志失去意义。出了问题，只能看到某个外包账号，找不到具体的人。

组织层：通讯录只展示该看到的人

组织层解决他属于哪。总部、分行、支行或网点、业务条线要在通讯录里保持清晰的层级。项目组、专项组用协作组或标签表达，不要为每个临时项目新建部门，否则组织架构很快失真。

通讯录默认只展示姓名、部门、岗位等必要字段，手机号、邮箱等字段按需开放。网点人员通常只需要看到本网点、上级行和对接条线，不需要全行搜索。

组织隔离要落到通讯录可见范围、人员搜索和跨机构建群上。只把部门名称分开，不限制搜索，等于没有隔离。

协作层：群组是协作边界，不是权限边界

协作层解决他能和谁一起做事。部门群、网点群、条线群、项目群要分开管理，跨机构群单独审批，群主必须是正式员工。

群组只是协作的容器，不是授权依据。把一个敏感文件放进一个几百人的大群，等于一次性给几百人授权。文件权限要跟随群组和部门，成员退群或调岗时同步回收。

外包人员只进指定项目群，不进入内部业务群，不自行建群、拉人、发全员通知。项目群名称带上项目名和期限，结束后归档或解散。

审计层：能查到谁在什么时候做了什么

审计层解决事后怎么查。登录、消息检索、文件操作、管理操作都要留痕，审计员只读，不能修改配置。审计范围按组织划分，总部审计员不必默认看到各网点。

审计账号和平台管理员账号要分开。一个人既能改权限又能看审计，出了问题很难自证。

留存期限、检索范围、导出权限要写进制度，不能留在管理员个人习惯里。

网点、总部、外包人员的权限怎么配

银行即时通讯的权限配置，通常从这张矩阵开始。把四层落到三类人身上，可以得到一张基础表，实际配置时再按业务条线微调。

人员类型	通讯录与搜索	群组与协作	文件与高风险操作	管理与审计
网点人员	本网点、上级行、对接条线；默认不全行搜索	本网点群、部门群；跨网点协作走审批群	文件随群组，不开放批量导出	无管理权限，操作可被审计
总部人员	本部门、本条线、授权范围；跨分行按职责开放	条线群、项目群；跨机构群明确群主和期限	按部门或群组授权，导出需审批	部门管理员只管本部门；审计员独立
外包人员	不进内部通讯录，只保留项目联系人	只进指定项目群，不能自行建群、拉人	默认关闭批量导出和全量下载	无管理权限，操作留痕，到期停用

网点人员：按上下级和对接条线开放

网点人员常用的是本网点同事、上级行对接人和常用条线。通讯录开放到这一层，已经能覆盖大部分业务；跨区域找人不妨走申请或指定协作组。

网点人员不需要管理权限，也不建议开放批量导出。移动端可以开放，但要走企业统一的接入方式，不能让个人设备绕过边界。

总部人员：跨机构不等于全量可见

总部人员跨分行协作多，权限应按条线和项目分配。一个总行部门管理员只管本部门成员和群组，不自动获得全行审计权限。

需要看全行数据的总部岗位，单独授权、单独留痕，不要用总部这个身份一刀切。

外包人员：单独身份、单独群、单独期限

外包人员的目标是完成项目，不是融入组织。账号单独标识，通讯录只保留项目联系人，群组只进项目群，权限只覆盖项目需要的内容。

批量导出、全量下载、全员通知、自行建群这几类高风险操作，默认关闭。确需开放时，走审批并设置期限。

三类人员的共同底线是：授权、审计、运维分开，不让一个账号同时拥有建群、发通知、导出文件和查看审计的能力。

外包人员按进场、在岗、离场管理

外包人员账号管理要按进场、在岗、离场三段来做。 外包人员的风险不在入职那一刻，而在项目结束之后。 账号还在、群还在、文件还在，才是常见漏洞。

阶段	关键动作	权限设置	需要留下的记录
进场	供应商资质、保密协议、背景审查、项目申请	一人一账号，标注供应商和项目，设有效期，只进项目群	审批单、账号台账、保密协议
在岗	最小权限、定期复核、异常登录检查	关闭批量导出和全量下载，按需开启界面水印、IP 登录限制	权限变更记录、操作日志、复核记录
离场	当天停用账号、移出相关群组、回收文件	权限清零，项目群归档或解散	回收确认、供应商确认、退场单

进场阶段要把供应商资质、保密协议、人员背景审查和账号申请放在一起。账号申请单上写清项目、角色、需要进入的群、有效期和审批人。

在岗阶段按月或按季度复核。重点看三件事：账号是否仍然有效，群成员是否仍然匹配项目，是否出现了批量导出或异常登录。界面水印和 IP 登录限制能提高截图外传和异地登录的成本，但不能替代权限复核。

离场阶段要当天停用账号、移出相关群组、回收文件权限，并让供应商确认。项目延期的，走续期审批，不要默认永久有效。

《银行保险机构信息科技外包风险监管办法》强调机构承担最终责任。外包人员出了问题，监管找的是机构，不是供应商。账号台账、审批记录和回收记录要能拿得出来。

账号台账至少记录姓名、供应商、项目、账号、开通日期、有效期、审批人和回收日期。 这张表比后台里的账号列表更有用，因为它能回答这个账号为什么存在、什么时候该消失。

跨网点、跨条线的协作怎么开口子

权限分层不是把所有人关起来。业务需要跨网点、跨条线协作时，要留下可控的入口。

常见的有三种情形。

• 总行专项：总行牵头，成员按名单进组，群主为总行正式员工，设定期限。
• 网点互助：由上级行审批，群名写清区域、事项和期限，结束后归档。
• 外包驻场：单独项目群，只含项目相关人，不拉入内部业务群。

开口子的规则可以统一成五条。

1. 群主必须是正式员工，离岗时由流程触发转移。
2. 邀请外包或外部人员进群要审批。
3. 群文件归属部门，不归属个人。
4. 群名包含组织、事项和期限。
5. 每季度清理长期不活跃的群。

这五条看起来是群管理，实际是权限管理。 群组失控，后面的通讯录隔离和账号回收都会被绕过。

如果平台支持组织隔离和协作组，可以把跨机构协作放在单独的组里，而不是把两个部门的人拉进一个大群。群组和文件的具体能力，可以先看 即时聊天页面的说明。

选型时用这六项做验证

金融行业即时通讯的选型，演示环境里几乎每款产品都能说支持组织架构、权限管理和审计。真正要验证的是，这些能力能不能落到上面的矩阵。

验证项	具体动作	通过标准
组织同步	用测试 LDAP 或 AD 导入总部、分行、网点三级，模拟一次调岗	调岗后部门、群组和可见范围同步变化
通讯录可见	用网点账号搜索总行人员，检查手机号等字段	只看到授权范围，字段按需展示
账号生命周期	创建一个设有效期的外包账号，模拟项目结束	到期停用，离场后无法登录
群与文件	建一个跨机构群，邀请外包人员，再让成员退群	邀请需审批，退群后文件权限同步回收
审计	用审计员账号按组织、时间、关键词检索	能查到记录，不能修改配置，查看行为本身留痕
部署与网络	断开外网，测试消息、文件和移动端接入	内网可用，移动端经过企业安全边界

私有化部署即时通讯的验证，还要看组织、账号和审计能不能落到同一套规则里。以喧喧IM为例，它由禅道软件（青岛）集团有限公司自主研发，采用 私有化部署，数据留在机构自己的服务器；支持通过 LDAP 或 AD 同步组织架构。组织隔离、消息审计、界面水印、IP 登录限制等高级安全能力与版本有关，需要按版本清单确认。

传输与服务端文件采用 AES 256 位加密，消息在数据库中加密存储。相关能力可以在 通讯安全页面核对。

开源版提供核心通讯功能，专业版面向信创适配和更完整的企业级安全与管理需求，具体差异可以查看 版本与购买页面。

如果机构要把账号、组织、审计都放在自有环境，又希望后续与禅道项目管理集成，可以把喧喧IM放进验证清单。如果更看重公有云办公生态，则要单独评估数据存放位置、外包账号的管控边界和审计范围。两条路线各有适用条件，取决于数据边界和运维投入。

比较时把采购、实施、迁移、运维和退出成本放在一张表里，不要只看软件报价。

我建议的验证顺序是，先确认部署方式和数据边界，再验证组织同步和账号生命周期，最后看群组、文件和审计。 顺序反过来，容易被界面和功能数量带偏。

上线顺序：先定规则，再配后台

权限分层失败，多数不是后台配不出来，而是规则没定就打开后台。

这类项目通常由信息科技部牵头，合规、审计、人力和外包管理共同参与。任何一方缺席，权限矩阵都容易停在纸面。

1. 盘点。 列出总部、分行、网点、业务条线、现有群、外包项目和敏感数据，标出哪些群跨机构、哪些账号来源不明。
2. 定矩阵。 按三类人员乘四层权限，写清谁申请、谁审批、谁配置、谁审计，特别是外包账号和跨机构群。
3. 配后台。 接组织同步，设账号类型和有效期，收窄通讯录字段，建立群组命名规范，单独设置审计角色。
4. 试点。 选一个分行、两个网点和一个外包项目，跑两到四周，重点观察越权搜索、群邀请、文件回收和离场停用。
5. 复核。 每月检查账号台账和异常群，每季度做一次权限清理，把发现的问题写回规则。

试点时重点看四件事：网点人员能不能搜到不该看的人，外包账号到期会不会停，离职人员还在不在群里，审计员能不能按组织查到记录。这四件事跑通，再全行推广。

后台配置可以参考 服务端管理手册。配置本身不难，难的是把账号、群组和审计的规则固定下来，并且有人定期看。

常见的坑有六个。

• 只在上线时配一次权限，之后靠人工补。
• 管理员权限过大，一个账号能建群、发通知、导出文件和看审计。
• 外包账号共用，日志无法定位到人。
• 群文件长期开放，离职人员不退群。
• 把私有化部署当成权限管理，忽略授权规则。
• 审计只看不改，发现问题没有后续动作。

上线后至少留下五份东西：权限矩阵、账号台账、群组规范、审计复核表、外包退场单。它们比一次演示更能说明权限分层有没有落地。

FAQ

网点员工能看到全行通讯录吗

默认不需要。按本网点、上级行和对接条线开放即可，跨区域找人不妨走申请或指定协作组。通讯录开放得越少，越容易解释谁为什么能看到谁。

外包人员能用内部 IM 吗

可以，但要单独账号、单独分组、限定项目群和有效期。外包人员不进内部通讯录，不授予管理权限，不开放批量导出和全员通知。项目结束当天停用账号。

总部管理员能查看全行聊天记录吗

不建议。审计权限按组织范围分配，审计员只读，查看行为本身也要留痕。需要跨组织审计的岗位单独授权，不要用总部身份一刀切。

群主离职了怎么办

群主必须是正式员工。离职流程触发群主转移和成员复核，长期不活跃的群归档或解散。群主转移不是技术细节，它决定了这个群以后由谁负责。

私有化部署是不是就不用做权限分层

不是。私有化部署解决数据存放在哪里，权限分层解决谁能访问什么。两者不能互相替代。系统装在自己的服务器上，通讯录全量开放、外包账号不回收，风险仍然存在。

开源版够不够用

看需求。开源版提供核心通讯功能。如果要使用 LDAP 或 AD 同步、组织隔离、消息审计、界面水印、IP 登录限制等高级安全能力，需要核对专业版的能力清单和版本差异，再决定是否采购。

参考资料：《银行保险机构信息科技外包风险监管办法》（银保监办发〔2021〕141号，2021年12月30日印发施行）。