← На главную
В конфигурации 1С:Зарплата и Управление Персоналом ред. 2.5 при ведении многофирменного учета часто возникает задача ограничить доступ пользователя (например, кадровика филиала) кадровыми документами и сотрудниками исключительно одного обособленного подразделения или филиала, полностью скрыв данные центрального офиса (головной организации).
При попытке решить эту задачу стандартными средствами ограничения прав на уровне записей (RLS) администраторы сталкиваются с архитектурными особенностями типовой конфигурации. Разберем, почему возникает проблема, как настроить систему штатными инструментами и какие существуют альтернативные пути решения.
В чем заключается архитектурная проблема типового RLS
Проанализируем поведение системы при стандартных настройках прав:
- Если дать доступ только к организации-филиалу: кадровые документы филиала становятся видны, однако список сотрудников оказывается пустым. Причина кроется в методологии учета: сотрудники и физлица юридически привязаны к головной организации (центральному офису), а филиал выступает обособленным подразделением. Ограничение RLS, наложенное только на организацию, отсекает чтение сотрудников центрального офиса.
- Если открыть доступ к филиалу и головной организации: сотрудники и документы филиала становятся доступны, но кадровик получает доступ к сотрудникам и кадровым приказам центрального офиса.
- Механизм проверки многострочных документов: в типовых шаблонах RLS действует строгое правило: если в табличной части документа (например, общем кадровом перемещении или приказе о приеме) присутствует хотя бы одно физическое лицо, к которому у пользователя нет доступа, документ полностью блокируется для чтения.
Вариант 1. Настройка прав через комбинацию организаций и групп доступа физлиц
Рассмотрим по шагам типовой вариант настройки доступа без внесения изменений в конфигурацию:
- Настройка групп пользователей и доступа к организациям: для кадровика филиала в правах доступа обязательно разрешаем чтение двух организаций — головной организации (центрального офиса) и конкретного филиала. Это необходимо, чтобы платформа корректно видела сотрудников, числящихся в головном юридическом лице.
- Включение ограничения по физическим лицам: в настройках программы активируем использование групп доступа физических лиц.
- Формирование групп доступа: создаем группы физлиц, разделяя сотрудников по местам работы (например, «ЦО» и «Филиалы» или отдельные группы под каждый филиал).
- Привязка прав пользователя к группам физлиц: в профиле прав кадровика филиала разрешаем доступ только к группе физлиц своего филиала. За счет этого документы центрального офиса, где фигурируют физлица из группы «ЦО», будут скрыты от пользователя.
Ограничения и нюансы данного подхода:
Если сотрудник работает по совместительству одновременно в головной организации и в филиале, либо при переходе сотрудника между филиалами, кадровик филиала увидит документы головного офиса, оформленные исключительно на это конкретное физическое лицо. Кроме того, при открытии справочника СотрудникиОрганизаций могут отображаться элементы списка без доступа к детальной персональной информации физлица.
Вариант 2. Автоматизация распределения физлиц по группам доступа
Чтобы избежать ошибок ручного ведения справочников при частых кадровых перемещениях между филиалами, рассмотрим возможность программной автоматизации.
Для этого в конфигурации создается подписка на события при проведении кадровых документов (ПриемНаРаботуВОрганизацию, КадровоеПеремещениеОрганизаций, УвольнениеИзОрганизаций). Программный код обработчика определяет текущее подразделение сотрудника и автоматически перезаписывает реквизит ГруппаДоступа у соответствующего элемента справочника ФизическиеЛица.
Вариант 3. Изоляция данных через распределенную информационную базу (РИБ)
Если политика информационной безопасности компании категорически запрещает присутствие любых данных головного офиса в интерфейсе сотрудников филиалов, наиболее надежным решением является разделение единой базы.
Разберем архитектуру решения:
- Создается распределенная информационная база (РИБ) с фильтрацией данных по организациям и подразделениям.
- В периферийную базу филиала передаются только справочники, кадровые приказы и расчетные документы, относящиеся к данному филиалу.
- В центральную базу стекаются данные всех филиалов для формирования консолидированной отчетности и регламентированного расчета налогов.
Такой подход полностью исключает работу RLS в филиальной базе, гарантирует максимальное быстродействие интерфейса и исключает утечку персональных данных сотрудников центрального аппарата.