Почему в 1С:ЗУП 2.5 не работает RLS по подразделениям и как настроить разграничение прав?

При администрировании прав доступа в конфигурации «1С:Зарплата и управление персоналом 2.5» часто возникает ситуация: администратор активирует ограничение на уровне записей (RLS), создает группу пользователей с ограничением по конкретным подразделениям, назначает ее пользователю, однако расчетчик или кадровик по-прежнему видит документы чужих подразделений или вообще не получает ожидаемой фильтрации списков. Разберем, почему типовой механизм ведет себя именно так, для чего в действительности предназначена настройка по подразделениям и какими способами можно разграничить доступ к данным.

Архитектурные и методологические причины отсутствия RLS по подразделениям

Выясним причину, по которой разработчики фирмы «1С» не реализовали RLS по подразделениям для основных расчетных и кадровых документов конфигурации:

1. Методология расчета налогов и взносов: Расчет НДФЛ, страховых взносов, а также расчет среднего заработка (для отпусков, больничных и командировок) по законодательству ведется в целом по физическому лицу за налоговый или расчетный период. Если сотрудник в течение месяца переводится из одного подразделения в другое, расчетчику необходима вся история начислений. Ограничение видимости по подразделениям привело бы к тому, что программа не смогла бы корректно рассчитать налог с нарастающим итогом или учесть предшествующие доходы физлица.
2. Ограничения шаблонов RLS в типовых ролях: В типовых ролях конфигурации шаблоны RLS для документов по начислению зарплаты (НачислениеЗарплатыРаботникамОрганизаций), кадровых приказов и основных регистров расчета содержат проверку условий только по полям Организация и ГруппаДоступаФизическогоЛица. Проверка по полю ПодразделениеОрганизации в них попросту отсутствует.
3. Особенности работы платформы с табличными частями: Если документ является многострочным (содержит данные по сотрудникам нескольких подразделений), то при попытке открыть такой документ пользователем, у которого нет прав хотя бы на одну строку, платформа «1С:Предприятие» полностью блокирует чтение документа либо выдает ошибку нарушения прав доступа.

Для чего добавлена настройка по подразделениям в группы пользователей?

Проанализируем, на какие объекты все же распространяется типовое ограничение по подразделениям. В ЗУП 2.5 RLS по подразделениям задействован в ограниченном контуре подсистемы кадрового планирования:

1. Ограничение доступа к позициям справочника ШтатноеРасписаниеОрганизаций.
2. Ограничение доступа к связанным регистрам сведений, хранящим сведения о штатных единицах и ставках.

Для кадровых документов (ПриемНаРаботуВОрганизацию, КадровоеПеремещениеОрганизаций, УвольнениеИзОрганизаций) и документов расчета зарплаты данное ограничение платформой не применяется.

Настройка разграничения доступа через группы физических лиц

Рассмотрим основной типовой способ разделения видимости данных между пользователями в 1С:ЗУП 2.5 — использование групп доступа физических лиц. Разберем по шагам весь процесс настройки:

1. Включение механизма ограничения прав: Перейдем в меню Сервис → Настройка учета → Настройка программы. На вкладке Ограничение доступа установим флаг «Использовать ограничения прав доступа на уровне записей».
2. Создание групп доступа физических лиц: Откроем справочник Группы доступа физических лиц (находится в интерфейсе администратора или через меню Предприятие → Доступ на уровне записей). Создадим необходимые группы, соответствующие структуре отделов или категориям персонала (например, «Производственный цех», «Администрация», «Топ-менеджмент»).
3. Привязка сотрудников к группам: Откроем справочник Физические лица. В карточке каждого физического лица на вкладке Общие найдем реквизит Группа доступа и выберем соответствующее значение.
4. Настройка групп пользователей: Откроем справочник Группы пользователей, выберем нужную группу, перейдем на вкладку Объекты доступа, выберем вид объекта Физические лица и укажем список разрешенных групп доступа физических лиц.
5. Назначение ролей: Убедимся, что пользователю назначены типовые роли кадровика или расчетчика (с поддержкой RLS) и пользователь включен в настроенную группу пользователей.

Важный нюанс: Если сотрудник переводится в другое подразделение, за которое отвечает другой расчетчик, необходимо изменить группу доступа в карточке физического лица. В противном случае прежний расчетчик продолжит видеть сотрудника, а новый не получит к нему доступ.

Альтернативные варианты решения

Если специфика предприятия требует жесткого разделения видимости именно по подразделениям, рассмотрим возможные альтернативные подходы:

1. Доработка шаблонов RLS в конфигураторе: Можно модифицировать условия RLS в типовых ролях, добавив проверку подразделений через срезы последних кадровых регистров сведений. Следует учитывать, что сложные запросы внутри RLS существенно снижают производительность СУБД при расчете зарплаты и проведении документов.
2. Разделение на несколько информационных баз: Для крупных обособленных филиалов или конфиденциального учета руководства создаются отдельные базы данных ЗУП, а в общую бухгалтерскую базу выгружаются только сводные проводки через документ ОтражениеЗарплатыВРеглУчете.

Правила администрирования RLS в 1С

При настройке прав важно помнить два фундаментальных правила платформы 1С:

1. Роль «Полные права»: Полностью игнорирует любые RLS-ограничения. Пользователь с полными правами всегда видит все организации, подразделения и физлица.
2. Принцип объединения ролей: В платформе действует логика разрешения: если пользователю назначены две роли, и в одной из них на чтение объекта стоит ограничение RLS, а во второй RLS отсутствует (полный доступ к объекту), то доступ будет предоставлен без каких-либо ограничений.