Конфликт между системным администратором и главным бухгалтером по поводу «полных прав» в системе 1С — это классическая ситуация, с которой сталкивается практически каждый специалист по внедрению или сопровождению. С одной стороны, мы имеем требования информационной безопасности и принцип минимальных полномочий, с другой — необходимость бухгалтерии оперативно решать задачи, которые зачастую выходят за рамки простого ввода первичных документов. Разберем детально, почему возникает эта проблема, какие функции действительно требуют повышенных прав и как удовлетворить потребности пользователя, не создавая дыру в безопасности системы.
Прежде всего, нам необходимо четко разделять, о каких именно правах идет речь. Зачастую бухгалтеры не разделяют операционную систему и прикладную программу. Проанализируем два уровня доступа:
КриптоПро CSP или VipNet CSP), установки драйверов для защищенных токенов (Рутокен, еТокен) или обновления самой платформы 1С. Без этих прав бухгалтер не сможет самостоятельно актуализировать сертификаты ЭЦП для сдачи отчетности или обмена через ЭДО.Конфигуратору, позволяют удалять данные напрямую без контроля ссылочной целостности, изменять структуру метаданных и управлять списком других пользователей.Рассмотрим ситуацию, когда главбух просит «права админа». Наша задача — выяснить, какую конкретно кнопку он не может нажать или какую операцию не может выполнить. Как показывает практика, в 90% случаев пользователю нужен не доступ к Конфигуратору, а конкретные сервисные функции внутри пользовательского интерфейса.
Давайте разберем по шагам, какие именно задачи в типовых конфигурациях (например, «1С:Бухгалтерия 8.3» или «1С:ERP») по умолчанию «зашиты» под роль ПолныеПрава или требуют специальных разрешений, отсутствующих в стандартном профиле «Главный бухгалтер»:
1. Удаление помеченных объектов. В современных конфигурациях 1С (на базе БСП) для удаления объектов выделена отдельная роль. Однако часто по привычке считается, что удалять данные может только администратор. Бухгалтеру это необходимо для очистки базы от ошибочно введенных документов, чтобы они не мешали при закрытии месяца.
2. Изменение даты запрета редактирования. Проанализируем ситуацию: наступил период отчетности, и главному бухгалтеру нужно оперативно «открыть» прошлый период для внесения правок сотрудниками, а затем снова его «закрыть». Если это право есть только у администратора, бухгалтер становится зависимым от ИТ-отдела, что создает простои в работе.
3. Групповое изменение реквизитов. Это мощнейший инструмент (обработка ГрупповоеИзменениеРеквизитов), который позволяет массово исправить ошибки в справочниках или документах (например, поменять ставку НДС в 100 документах сразу). По умолчанию доступ к этой обработке ограничен, так как неосторожное использование может «развалить» учет.
4. Корректировка регистров напрямую. Иногда стандартные документы (например, «Операция, введенная вручную») не позволяют исправить сложные ошибки в налоговом или управленческом учете. В таких случаях требуется использование документа КорректировкаРегистров, доступ к которому часто ограничен административными ролями.
5. Управление регламентными и фоновыми заданиями. Обновление классификаторов банков, курсов валют или адресного классификатора часто требует прав на запуск или контроль регламентных заданий. Если права ограничены, бухгалтер может столкнуться с тем, что отчетность не формируется из-за устаревших данных.
Выясним причину, по которой системные администраторы и аудиторы так противятся выдаче полных прав. В международной практике это называется Segregation of Duties (SoD) — разделение полномочий. Основные риски:
Журнала регистрации, скрыв следы своего вмешательства.Конфигуратор или изменение настроек синхронизации данных может привести к повреждению структуры базы данных или дублированию информации.Вместо того чтобы давать опасную роль ПолныеПрава, мы можем настроить специальный профиль. В современных версиях 1С 8.3 это делается через механизм профилей групп доступа. Рассмотрим, как это реализовать.
Перейдем в раздел Администрирование — Настройки пользователей и прав — Профили групп доступа. Создадим новый профиль, например, «Главный бухгалтер (расширенный)», и добавим в него следующие роли помимо стандартных:
- Интерактивное удаление помеченных объектов
- Просмотр журнала регистрации
- Использование обработки "Групповое изменение реквизитов"
- Изменение дат запрета изменения
- Добавление и изменение дополнительных отчетов и обработок
Такой подход позволяет бухгалтеру быть автономным в решении своих профессиональных задач, но при этом система остается защищенной от необратимых изменений конфигурации.
Если бухгалтер настаивает на «правах администратора», но не может внятно объяснить зачем, воспользуемся советом опытных специалистов. Попросим пользователя продемонстрировать рабочий процесс:
«Покажите, пожалуйста, на какую кнопку вы нажимаете и какую ошибку выдает программа». Проанализируем результат. Часто выясняется, что пользователю просто нужно включить другой интерфейс или добавить одну специфическую роль, о которой он не знал. Как в примере из практики: директор магазина требовала прав администратора просто потому, что видела у коллеги другой набор кнопок на панели инструментов.
Если вы программист 1С, вы можете программно проверить наличие определенных прав у пользователя, прежде чем позволять ему выполнение опасных операций. Посмотрим на пример кода, который можно использовать в обработках:
Если НЕ РольДоступна("ПолныеПрава") И НЕ РольДоступна("АдминистрированиеДанных") Тогда
Сообщить("У вас недостаточно прав для выполнения этой операции.
Обратитесь к администратору для назначения профиля 'Расширенный доступ'.");
Возврат;
КонецЕсли;
Использование подобных проверок внутри кастомных обработок позволяет гибко управлять доступом, даже если вы решили дать пользователю чуть больше полномочий, чем обычно.
Подводя итог, можно сказать, что требование главного бухгалтера о предоставлении прав администратора часто имеет под собой рациональное зерно (необходимость сервисных инструментов). Однако «Полные права» в 1С — это избыточное решение. Правильный путь — это детальный аудит функций, которых не хватает пользователю, и создание индивидуального профиля доступа. Это обеспечит и комфортную работу бухгалтерии, и безопасность данных предприятия.